本节总结了 Center for Internet Security (CIS) Amazon 基金会基准特定版本（v5.0.0、v3.0.0、v1.4.0 和 v1.2.0）之间的区别。AmazonSecurity Hub CSPM 支持 CIS Amazon 基金会基准的所有这些版本。但是，建议使用 v5.0.0 以了解最新的安全最佳实践。您可以同时启用多个版本的 CIS Amazon 基金会基准标准。有关启用标准的信息，请参阅启用安全标准。如果要升级到 v5.0.0，请先启用新版本，然后再禁用旧版本。这可以防止您的安全检查出现漏洞。如果您使用 Security Hub CSPM 与 Amazon Organizations 的集成，并希望在多个账户中批量启用 v5.0.0，则建议使用中心配置。

将控件映射到每个版本中的 CIS 要求

了解每个版本的 CIS Amazon 基金会基准支持的控件。

控件 ID 和标题	CIS v5.0.0 要求	CIS v3.0.0 要求	CIS v1.4.0 要求	CIS v1.2.0 要求
[Account.1] 应为 Amazon Web Services 账户提供安全联系人信息。	1.2	1.2	1.2	1.18
[CloudTrail.1] 应启用 CloudTrail 并配置至少一个包含读取和写入管理事件的多区域跟踪	3.1	3.1	3.1	2.1
[CloudTrail.2] CloudTrail 应启用静态加密	3.5	3.5	3.7	2.7
[CloudTrail.4] 应启用 CloudTrail 日志文件验证	3.2	3.2	3.2	2.2
[CloudTrail.5] CloudTrail 轨迹应与 Amazon CloudWatch Logs 集成	不支持 – CIS 删除了此要求	不支持 – CIS 删除了此要求	3.4	2.4
[CloudTrail.6] 确保用来存储 CloudTrail 日志的 S3 存储桶不可公开访问	不支持 – CIS 删除了此要求	不支持 – CIS 删除了此要求	3.3	2.3
[CloudTrail.7] 确保在 CloudTrail S3 存储桶上启用 S3 存储桶访问日志记录	3.4	3.4	3.6	2.6
[PCI.CW.1] 应具有有关“根”用户使用的日志指标筛选条件和警报	不支持 – 手动检查	不支持 – 手动检查	4.3	3.3
[CloudWatch.2] 确保存在关于未经授权的 API 调用的日志指标筛选条件和警报	不支持 – 手动检查	不支持 – 手动检查	不支持 – 手动检查	3.1
[CloudWatch.3] 确保存在关于无 MFA 的管理控制台登录的日志指标筛选条件和警报	不支持 – 手动检查	不支持 – 手动检查	不支持 – 手动检查	3.2
[CloudWatch.4] 确保存在关于 IAM policy 更改的日志指标筛选条件和警报	不支持 – 手动检查	不支持 – 手动检查	4.4	3.4
[CloudWatch.5] 确保存在关于 CloudTrail 配置更改的日志指标筛选条件和警报	不支持 – 手动检查	不支持 – 手动检查	4.5	3.5
[CloudWatch.6] 确保存在关于 Amazon Web Services 管理控制台身份验证失败的日志指标筛选条件和警报	不支持 – 手动检查	不支持 – 手动检查	4.6	3.6
[CloudWatch.7] 确保存在日志指标筛选条件和警报，用于禁用或计划删除客户托管式密钥	不支持 – 手动检查	不支持 – 手动检查	4.7	3.7
[CloudWatch.8] 确保针对 S3 存储桶策略更改存在日志指标筛选条件和警报	不支持 – 手动检查	不支持 – 手动检查	4.8	3.8
[CloudWatch.9] 确保存在关于 Amazon Config 配置更改的日志指标筛选条件和警报	不支持 – 手动检查	不支持 – 手动检查	4.9	3.9
[CloudWatch.10] 确保存在关于安全组更改的日志指标筛选条件和警报	不支持 – 手动检查	不支持 – 手动检查	4.10	3.10
[CloudWatch.11] 确保存在关于网络访问控制列表 (NACL) 更改的日志指标筛选条件和警报	不支持 – 手动检查	不支持 – 手动检查	4.11	3.11
[CloudWatch.12] 确保存在关于网络网关更改的日志指标筛选条件和警报	不支持 – 手动检查	不支持 – 手动检查	4.12	3.12
[CloudWatch.13] 确保存在关于路由表更改的日志指标筛选条件和警报	不支持 – 手动检查	不支持 – 手动检查	4.13	3.13
[CloudWatch.14] 确保存在关于 VPC 更改的日志指标筛选条件和警报	不支持 – 手动检查	不支持 – 手动检查	4.14	3.14
[Config.1] 应启用 Amazon Config 并使用服务相关角色进行资源记录	3.3	3.3	3.5	2.5
[EC2.2] VPC 默认安全组不应允许入站或出站流量	5.5	5.4	5.3	4.3
[EC2.6] 应在所有 VPC 中启用 VPC 流日志记录	3.7	3.7	3.9	2.9
[EC2.7] 应启用 EBS 默认加密	5.1.1	2.2.1	2.2.1	不支持
[EC2.8] EC2 实例应使用实例元数据服务版本 2 (IMDSv2)	5.7	5.6	不支持	不支持
[EC2.13] 安全组不应允许从 0.0.0.0/0 或 ::/0 到端口 22 的入口流量	不支持 – 替换为要求 5.3 和 5.4	不支持 – 替换为要求 5.2 和 5.3	不支持 – 替换为要求 5.2 和 5.3	4.1
[EC2.14] 安全组不应允许从 0.0.0.0/0 或 ::/0 到端口 3389 的入口流量	不支持 – 替换为要求 5.3 和 5.4	不支持 – 替换为要求 5.2 和 5.3	不支持 – 替换为要求 5.2 和 5.3	4.2
[EC2.21] 网络 ACL 不应允许从 0.0.0.0/0 进入端口 22 或端口 3389	5.2	5.1	5.1	不支持
[EC2.53] EC2 安全组不应允许从 0.0.0.0/0 进入远程服务器管理端口	5.3	5.2	不支持	不支持
[EC2.54] EC2 安全组不应允许从 ::/0 进入远程服务器管理端口	5.4	5.3	不支持	不支持
[EFS.1] Elastic File System 应配置为使用 Amazon KMS 加密文件静态数据	2.3.1	2.4.1	不支持	不支持
[EFS.8] 应对 EFS 文件系统进行静态加密	2.3.1	不支持	不支持	不支持
[IAM.1] IAM policy 不应允许完整的“*”管理权限	不支持	不支持	1.16	1.22
[IAM.2] IAM 用户不应附加 IAM policy	1.14	1.15	不支持	1.16
[IAM.3] IAM 用户访问密钥应每 90 天或更短时间轮换一次	1.13	1.14	1.14	1.4
[IAM.4] 不应存在 IAM 根用户访问密钥	1.3	1.4	1.4	1.12
[IAM.5] 应为拥有控制台密码的所有 IAM 用户启用 MFA	1.9	1.10	1.10	1.2
[IAM.6] 应该为根用户启用硬件 MFA	1.5	1.6	1.6	1.14
[IAM.8] 应移除未使用的 IAM 用户凭证	不支持 – 改为参阅 [IAM.22] 应移除在 45 天内未使用的 IAM 用户凭证	不支持 – 改为参阅 [IAM.22] 应移除在 45 天内未使用的 IAM 用户凭证	不支持 – 改为参阅 [IAM.22] 应移除在 45 天内未使用的 IAM 用户凭证	1.3
[IAM.9] 应为根用户启用 MFA	1.4	1.5	1.5	1.13
[IAM.11] 确保 IAM 密码策略要求包含至少一个大写字母	不支持 – CIS 删除了此要求	不支持 – CIS 删除了此要求	不支持 – CIS 删除了此要求	1.5
[IAM.12] 确保 IAM 密码策略要求包含至少一个小写字母	不支持 – CIS 删除了此要求	不支持 – CIS 删除了此要求	不支持 – CIS 删除了此要求	1.6
[IAM.13] 确保 IAM 密码策略要求包含至少一个符号	不支持 – CIS 删除了此要求	不支持 – CIS 删除了此要求	不支持 – CIS 删除了此要求	1.7
[IAM.14] 确保 IAM 密码策略要求包含至少一个数字	不支持 – CIS 删除了此要求	不支持 – CIS 删除了此要求	不支持 – CIS 删除了此要求	1.8
[IAM.15] 确保 IAM 密码策略要求最短密码长度不低于 14	1.7	1.8	1.8	1.9
[IAM.16] 确保 IAM 密码策略阻止重复使用密码	1.8	1.9	1.9	1.10
[IAM.17] 确保 IAM 密码策略使密码在 90 天或更短时间内失效	不支持 – CIS 删除了此要求	不支持 – CIS 删除了此要求	不支持 – CIS 删除了此要求	1.11
[IAM.18] 确保创建支持角色来管理涉及 Amazon Web Services 支持的事务	1.16	1.17	1.17	1.2
[IAM.20] 避免使用根用户	不支持 – CIS 删除了此要求	不支持 – CIS 删除了此要求	不支持 – CIS 删除了此要求	1.1
[IAM.22] 应移除在 45 天内未使用的 IAM 用户凭证	1.11	1.12	1.12	不支持 – CIS 在更高版本中添加了此要求
[IAM.26] 应删除 IAM 中管理的过期 SSL/TLS 证书	1.18	1.19	不支持 – CIS 在更高版本中添加了此要求	不支持 – CIS 在更高版本中添加了此要求
[IAM.27] IAM 身份不应附加 AWSCloudShellFullAccess 策略	1.21	1.22	不支持 – CIS 在更高版本中添加了此要求	不支持 – CIS 在更高版本中添加了此要求
[IAM.28] 应启用 IAM Access Analyzer 外部访问分析器	1.19	1.20	不支持 – CIS 在更高版本中添加了此要求	不支持 – CIS 在更高版本中添加了此要求
[KMS.4] 应启用 Amazon KMS 密钥轮换	3.6	3.6	3.8	2.8
[Macie.1] 应启用 Amazon Macie	不支持 – 手动检查	不支持 – 手动检查	不支持 – 手动检查	不支持 – 手动检查
[RDS.2] RDS 数据库实例应禁止公共访问，这取决于 PubliclyAccessible 配置	2.2.3	2.3.3	不支持 – CIS 在更高版本中添加了此要求	不支持 – CIS 在更高版本中添加了此要求
[RDS.3] RDS 数据库实例应启用静态加密	2.2.1	2.3.1	2.3.1	不支持 – CIS 在更高版本中添加了此要求
[RDS.5] RDS 数据库实例应配置多个可用区	2.2.4	不支持 – CIS 在更高版本中添加了此要求	不支持 – CIS 在更高版本中添加了此要求	不支持 – CIS 在更高版本中添加了此要求
[RDS.13] 应启用 RDS 自动次要版本升级	2.2.2	2.3.2	不支持 – CIS 在更高版本中添加了此要求	不支持 – CIS 在更高版本中添加了此要求
[RDS.15] 应为多个可用区配置 RDS 数据库集群	2.2.4	不支持 – CIS 在更高版本中添加了此要求	不支持 – CIS 在更高版本中添加了此要求	不支持 – CIS 在更高版本中添加了此要求
[S3.1] S3 通用存储桶应启用屏蔽公共访问权限设置	2.1.4	2.1.4	2.1.5	不支持 – CIS 在更高版本中添加了此要求
[S3.5] S3 通用存储桶应需要请求才能使用 SSL	2.1.1	2.1.1	2.1.2	不支持 – CIS 在更高版本中添加了此要求
[S3.8] S3 通用存储桶应屏蔽公共访问权限	2.1.4	2.1.4	2.1.5	不支持 – CIS 在更高版本中添加了此要求
[S3.20] S3 通用存储桶应启用 MFA 删除	2.1.2	2.1.2	2.1.3	不支持 – CIS 在更高版本中添加了此要求

CIS Amazon 基金会基准的 ARN

启用 CIS Amazon 基金会基准的一个或多个版本后，您将开始以 Amazon 安全调查发现格式 (ASFF) 接收调查发现。在 ASFF 中，每个版本都使用以下 Amazon 资源名称（ARN）：

CIS Amazon 基金会基准 v5.0.0: arn:aws:securityhub:region::standards/cis-aws-foundations-benchmark/v/5.0.0
CIS Amazon 基金会基准 v3.0.0: arn:aws:securityhub:region::standards/cis-aws-foundations-benchmark/v/3.0.0
CIS Amazon 基金会基准 v1.4.0: arn:aws:securityhub:region::standards/cis-aws-foundations-benchmark/v/1.4.0
CIS Amazon 基金会基准 v1.2.0: arn:aws:securityhub:::ruleset/cis-aws-foundations-benchmark/v/1.2.0

您可以使用 Security Hub CSPM API 的 GetEnabledStandards 操作找出已启用标准的 ARN。

前面的值与 StandardsArn 对应。但是，StandardsSubscriptionArn 是指在您通过在某个区域中调用 BatchEnableStandards 订阅标准时 Security Hub CSPM 创建的标准订阅资源。

注意

启用 CIS Amazon 基金会基准的某个版本后，Security Hub CSPM 最多可能需要 18 小时才能为使用与其他已启用标准中的已启用控件相同的 Amazon Config 服务相关规则的控件生成调查发现。有关生成控件调查发现的时间表的更多信息，请参阅有关运行安全检查的计划。

如果您启用了整合的控件调查发现，则调查发现字段会有所不同。有关这些区别的信息，请参阅合并对 ASFF 字段和值的影响。有关控件调查发现样本，请参阅控件调查发现样本。

Security Hub CSPM 不支持的 CIS 要求

如上表所述，Security Hub CSPM 并不支持每个版本的 CIS Amazon 基金会基准中的所有 CIS 要求。许多不受支持的要求只能通过查看 Amazon 资源的状态手动评估。

Javascript 在您的浏览器中被禁用或不可用。

要使用 Amazon Web Services 文档，必须启用 Javascript。请参阅浏览器的帮助页面以了解相关说明。

Amazon为资源添加标签

NIST SP 800-53 修订版 5