Registro de cambios en los controles de Security Hub

El siguiente registro de cambios registra los cambios importantes en los controles de AWS Security Hub seguridad existentes, que pueden provocar cambios en el estado general de un control y en el estado de cumplimiento de sus hallazgos. Para obtener información sobre cómo evalúa Security Hub el estado de los controles, consulte Estado de cumplimiento y estado de control. Los cambios pueden tardar unos días después de su entrada en este registro y afectar a todos los elementos Regiones de AWS en los que esté disponible el control.

Este registro realiza el seguimiento de los cambios que se han producido desde abril de 2023.

Seleccione un control para ver más detalles sobre él. Los cambios de título se indican en la descripción detallada de cada control durante 90 días.

Fecha del cambio	ID y título de control	Descripción del cambio
25 de junio de 2024	[Config.1] AWS Config debe estar habilitado y usar el rol vinculado al servicio para el registro de recursos	Este control comprueba si AWS Config está activado, utiliza la función vinculada al servicio y registra los recursos de los controles habilitados. Security Hub actualizó el título del control para reflejar lo que evalúa el control.
14 de junio de 2024	[RDS.34] Los clústeres de Aurora My SQL DB deberían publicar los registros de auditoría en Logs CloudWatch	Este control comprueba si un clúster de base de datos Amazon Aurora MySQL está configurado para publicar registros de auditoría en Amazon CloudWatch Logs. Security Hub actualizó el control para que no genere hallazgos para los clústeres de bases de datos Aurora Serverless v1.
11 de junio de 2024	[EKS.2] EKS los clústeres deberían ejecutarse en una versión compatible de Kubernetes	Este control comprueba si un clúster de Amazon Elastic Kubernetes Service (Amazon EKS) se ejecuta en una versión de Kubernetes compatible. La versión compatible más antigua es. 1.27
10 de junio de 2024	[Config.1] AWS Config debe estar habilitado y usar el rol vinculado al servicio para el registro de recursos	Este control comprueba si AWS Config está activado y si el registro de AWS Config recursos está activado. Anteriormente, el control solo producía una PASSED comprobación si se configuraba el registro para todos los recursos. Security Hub actualizó el control para PASSED detectar cuando se activa la grabación para los recursos necesarios para los controles habilitados. El control también se ha actualizado para comprobar si se utiliza la función AWS Config vinculada al servicio, que proporciona permisos para registrar los recursos necesarios.
8 de mayo de 2024	[S3.20] Los cubos de uso general de S3 deberían tener habilitada la función de eliminación MFA	Este control comprueba si un bucket versionado de uso general de Amazon S3 tiene habilitada la eliminación mediante autenticación multifactor (MFA). Anteriormente, el control detectaba los buckets que FAILED tenían una configuración de ciclo de vida. Sin embargo, la eliminación de MFA con control de versiones no se puede habilitar en un bucket que tenga una configuración de ciclo de vida. Security Hub actualizó el control para que no se detectaran depósitos con una configuración de ciclo de vida. La descripción del control se actualizó para reflejar el comportamiento actual.
2 de mayo de 2024	[EKS.2] EKS los clústeres deberían ejecutarse en una versión compatible de Kubernetes	Security Hub actualizó la versión compatible más antigua de Kubernetes en la que puede ejecutar el clúster de Amazon EKS para producir un resultado aprobado. La versión compatible más antigua actual es Kubernetes 1.26.
30 de abril de 2024	[CloudTrail.3] Debe estar habilitada al menos una CloudTrail ruta	Se cambió el título del control de CloudTrail Debería estar habilitado a Al menos un CloudTrail sendero debe estar habilitado. Actualmente, este control produce un PASSED resultado si un sendero Cuenta de AWS tiene activado al menos un CloudTrail sendero. El título y la descripción se han modificado para reflejar con precisión el comportamiento actual.
29 de abril de 2024	[AutoScaling.1] Los grupos de Auto Scaling asociados a un balanceador de cargas deben usar controles de ELB estado	Se cambió el título del control: los grupos de Auto Scaling asociados a un balanceador de carga clásico deberían usar verificaciones de estado del balanceador de cargas a los grupos de Auto Scaling asociados a un balanceador de cargas deberían usar verificaciones de estado ELB. Actualmente, este control evalúa los balanceadores de carga clásicos, de red y de aplicaciones. El título y la descripción se han modificado para reflejar con precisión el comportamiento actual.
19 de abril de 2024	[CloudTrail.1] CloudTrail debe habilitarse y configurarse con al menos un registro multirregional que incluya eventos de administración de lectura y escritura	El control comprueba si AWS CloudTrail está habilitado y configurado con al menos un registro multirregional que incluya eventos de administración de lectura y escritura. Anteriormente, el control generaba PASSED resultados de forma incorrecta cuando una cuenta tenía CloudTrail habilitada y configurada al menos un registro multirregional, incluso si ningún registro capturaba los eventos de administración de lectura y escritura. El control ahora genera un PASSED resultado solo cuando CloudTrail está habilitado y configurado con al menos un registro multirregional que captura los eventos de administración de lectura y escritura.
10 de abril de 2024	[Athena.1] Los grupos de trabajo de Athena deben estar cifrados en reposo	Security Hub ha retirado este control y lo ha eliminado de todos los estándares. Los grupos de trabajo de Athena envían registros a los buckets de Amazon Simple Storage Service (Amazon S3). Amazon S3 ahora proporciona cifrado predeterminado con claves administradas por S3 (SS3-S3) en buckets S3 nuevos y existentes.
10 de abril de 2024	[AutoScaling.4] La configuración de inicio de grupos de Auto Scaling no debe tener un límite de saltos de respuesta de metadatos superior a 1	Security Hub ha retirado este control y lo ha eliminado de todos los estándares. Los límites de saltos de respuesta de metadatos para las instancias de Amazon Elastic Compute Cloud (Amazon EC2) dependen de la carga de trabajo.
10 de abril de 2024	[CloudFormation.1] las CloudFormation pilas deben integrarse con el Simple Notification Service (SNS)	Security Hub ha retirado este control y lo ha eliminado de todos los estándares. Integrar AWS CloudFormation pilas con temas de Amazon SNS ya no es una práctica recomendada de seguridad. Si bien la integración de CloudFormation pilas importantes con los temas de SNS puede resultar útil, no es necesaria para todas las pilas.
10 de abril de 2024	[CodeBuild.5] Los entornos de CodeBuild proyectos no deberían tener habilitado el modo privilegiado	Security Hub ha retirado este control y lo ha eliminado de todos los estándares. Habilitar el modo privilegiado en un CodeBuild proyecto no supone un riesgo adicional para el entorno del cliente.
10 de abril de 2024	[IAM.20] Evite el uso del usuario root	Security Hub ha retirado este control y lo ha eliminado de todos los estándares. El propósito de este control está cubierto por otro control,. [CloudWatch.1] Debe haber un filtro de métricas de registro y una alarma para que los utilice el usuario «root»
10 de abril de 2024	[SNS.2] Debe habilitarse el registro del estado de entrega de los mensajes de notificación enviados a un tema	Security Hub ha retirado este control y lo ha eliminado de todos los estándares. Registrar el estado de entrega de los temas de SNS ya no es una práctica recomendada de seguridad. Aunque registrar el estado de entrega de los temas importantes del SNS puede resultar útil, no es obligatorio para todos los temas.
10 de abril de 2024	[S3.10] Los depósitos de uso general de S3 con el control de versiones habilitado deben tener configuraciones de ciclo de vida	Security Hub eliminó este control de AWS Foundational Security Best Practices y Service-Managed Standard:. AWS Control Tower El propósito de este control está cubierto por otros dos controles: y. [S3.13] Los depósitos de uso general de S3 deben tener configuraciones de ciclo de vida [S3.14] Los buckets de uso general de S3 deberían tener habilitado el control de versiones Este control sigue formando parte del NIST SP 800-53 Rev. 5.
10 de abril de 2024	[S3.11] Los buckets de uso general de S3 deberían tener habilitadas las notificaciones de eventos	Security Hub eliminó este control de AWS Foundational Security Best Practices y Service-Managed Standard:. AWS Control Tower Aunque hay algunos casos en los que las notificaciones de eventos para los buckets de S3 son útiles, esta no es una mejor práctica de seguridad universal. Este control sigue formando parte del NIST SP 800-53 Rev. 5.
10 de abril de 2024	[SNS.1] SNS los temas deben cifrarse en reposo mediante AWS KMS	Security Hub eliminó este control de AWS Foundational Security Best Practices y Service-Managed Standard:. AWS Control Tower Dado que SNS ya cifra los temas de forma predeterminada, ya no se recomienda su uso AWS KMS como práctica recomendada de seguridad. Este control sigue formando parte del NIST SP 800-53 Rev. 5.
8 de abril de 2024	[ELB.6] Los balanceadores de carga de aplicaciones, puertas de enlace y redes deben tener habilitada la protección de eliminación	El título de control modificado de Application Load Balancer debe estar habilitada la protección contra eliminaciones a Application, Gateway y Network Load Balancers debe tener habilitada la protección contra eliminaciones. Actualmente, este control evalúa los balanceadores de carga de aplicaciones, puertas de enlace y redes. El título y la descripción se han modificado para reflejar con precisión el comportamiento actual.
22 de marzo de 2024	[Opensearch.8] Las conexiones a los dominios deben cifrarse OpenSearch según la política de seguridad más reciente TLS	Se cambió el título de control de Las conexiones a OpenSearch los dominios deben cifrarse mediante TLS 1.2 a Las conexiones a OpenSearch los dominios deben cifrarse mediante la última política de seguridad de TLS. Anteriormente, el control solo comprobaba si las conexiones a los OpenSearch dominios utilizaban TLS 1.2. El control ahora determina si los OpenSearch dominios están cifrados con la última política de seguridad de TLS. PASSED El título y la descripción del control se han actualizado para reflejar el comportamiento actual.
22 de marzo de 2024	[ES.8] Las conexiones a los dominios de Elasticsearch deben cifrarse con la política de seguridad más reciente TLS	Si se ha cambiado el título del control, de Connections a Elasticsearch, los dominios deben cifrarse con TLS 1.2, y las conexiones a Elasticsearch. Los dominios deben cifrarse con la política de seguridad de TLS más reciente. Anteriormente, el control solo comprobaba si las conexiones a los dominios de Elasticsearch utilizaban TLS 1.2. El control ahora determina si los dominios de PASSED Elasticsearch están cifrados con la última política de seguridad de TLS. El título y la descripción del control se han actualizado para reflejar el comportamiento actual.
12 de marzo de 2024	[S3.1] Los depósitos de uso general de S3 deberían tener habilitada la configuración de bloqueo de acceso público	Se cambió el título: la configuración de acceso público por bloques de S3 debe estar habilitada a los buckets de uso general de S3 si la configuración de acceso público por bloques debe estar habilitada. Security Hub cambió el título para dar cuenta de un nuevo tipo de bucket de S3.
12 de marzo de 2024	[S3.2] Los depósitos de uso general de S3 deberían bloquear el acceso público de lectura	El cambio de título de los buckets S3 debería prohibir el acceso de lectura público a los buckets de uso general de S3 y bloquear el acceso de lectura público. Security Hub cambió el título para dar cuenta de un nuevo tipo de bucket de S3.
12 de marzo de 2024	[S3.3] Los cubos de uso general de S3 deberían bloquear el acceso público de escritura	El cambio de nombre de los buckets de S3 debería prohibir el acceso de escritura público a los buckets de S3 de uso general y debería bloquear el acceso de escritura público. Security Hub cambió el título para dar cuenta de un nuevo tipo de bucket de S3.
12 de marzo de 2024	[S3.5] Los depósitos de uso general de S3 deberían requerir solicitudes de uso SSL	El nombre de los buckets S3 debería requerir solicitudes para usar Secure Socket Layer a los buckets de uso general de S3 si requieren solicitudes para usar SSL. Security Hub cambió el título para dar cuenta de un nuevo tipo de bucket de S3.
12 de marzo de 2024	[S3.6] Las políticas de compartimentos de uso general de S3 deberían restringir el acceso a otros Cuentas de AWS	Si se ha cambiado el título de S3, los permisos concedidos a otras Cuentas de AWS políticas de bucket deberían restringirse a las políticas de bucket de uso general de S3 y deberían restringir el acceso a otras políticas Cuentas de AWS. Security Hub cambió el título para dar cuenta de un nuevo tipo de bucket de S3.
12 de marzo de 2024	[S3.7] Los buckets de uso general de S3 deberían utilizar la replicación entre regiones	Se ha cambiado el título de los buckets de S3 que deben tener habilitada la replicación entre regiones a S3. Los buckets de uso general de S3 deben usar la replicación entre regiones. Security Hub cambió el título para dar cuenta de un nuevo tipo de bucket de S3.
12 de marzo de 2024	[S3.7] Los buckets de uso general de S3 deberían utilizar la replicación entre regiones	Se ha cambiado el título de los buckets de S3 que deben tener habilitada la replicación entre regiones a S3. Los buckets de uso general de S3 deben usar la replicación entre regiones. Security Hub cambió el título para dar cuenta de un nuevo tipo de bucket de S3.
12 de marzo de 2024	[S3.8] Los depósitos de uso general de S3 deberían bloquear el acceso público	Se ha cambiado el título: la configuración de acceso público por bloques de S3 debe estar habilitada en el nivel de los cubos a los buckets de uso general de S3, que deben bloquear el acceso público. Security Hub cambió el título para dar cuenta de un nuevo tipo de bucket de S3.
12 de marzo de 2024	[S3.9] Los depósitos de uso general de S3 deberían tener habilitado el registro de acceso al servidor	Se cambió el título: El registro de acceso al servidor de bucket de S3 debe estar habilitado a El registro de acceso al servidor debe estar habilitado para los buckets de uso general de S3. Security Hub cambió el título para dar cuenta de un nuevo tipo de bucket de S3.
12 de marzo de 2024	[S3.10] Los depósitos de uso general de S3 con el control de versiones habilitado deben tener configuraciones de ciclo de vida	El nombre de los buckets de S3 con el control de versiones activado debe tener las políticas de ciclo de vida configuradas a los buckets de uso general de S3 con el control de versiones activado y debe tener configuraciones de ciclo de vida. Security Hub cambió el título para dar cuenta de un nuevo tipo de bucket de S3.
12 de marzo de 2024	[S3.11] Los buckets de uso general de S3 deberían tener habilitadas las notificaciones de eventos	Se cambió el título de los buckets de S3 que deberían tener habilitadas las notificaciones de eventos a los buckets de uso general de S3 que deberían tener habilitadas las notificaciones de eventos. Security Hub cambió el título para dar cuenta de un nuevo tipo de bucket de S3.
12 de marzo de 2024	[S3.12] no ACLs debe usarse para administrar el acceso de los usuarios a los depósitos de uso general de S3	Se cambió el título: las listas de control de acceso (ACL) de S3 no deberían utilizarse para gestionar el acceso de los usuarios a los depósitos y ahora las ACL no deberían utilizarse para gestionar el acceso de los usuarios a los depósitos de uso general de S3. Security Hub cambió el título para dar cuenta de un nuevo tipo de bucket de S3.
12 de marzo de 2024	[S3.13] Los depósitos de uso general de S3 deben tener configuraciones de ciclo de vida	Se ha cambiado el título de los buckets de S3 que deben tener políticas de ciclo de vida configuradas a los buckets de uso general de S3 que deben tener configuraciones de ciclo de vida. Security Hub cambió el título para dar cuenta de un nuevo tipo de bucket de S3.
12 de marzo de 2024	[S3.14] Los buckets de uso general de S3 deberían tener habilitado el control de versiones	Se cambió el título de los buckets de S3 que deberían usar el control de versiones a los buckets de uso general de S3 que deberían tener el control de versiones habilitado. Security Hub cambió el título para dar cuenta de un nuevo tipo de bucket de S3.
12 de marzo de 2024	[S3.15] Los depósitos de uso general de S3 deberían tener activado Object Lock	Se ha cambiado el nombre de los buckets S3 que deben configurarse para usar Object Lock a los buckets de uso general de S3 que deben tener Object Lock activado. Security Hub cambió el título para dar cuenta de un nuevo tipo de bucket de S3.
12 de marzo de 2024	[S3.17] Los depósitos de uso general de S3 deben cifrarse en reposo con AWS KMS keys	Se ha cambiado el título, de los depósitos de S3 deben cifrarse en reposo AWS KMS keys a los depósitos de uso general de S3. AWS KMS keys Security Hub cambió el título para dar cuenta de un nuevo tipo de bucket de S3.
7 de marzo de 2024	[Lambda.2] Las funciones de Lambda deben usar los tiempos de ejecución admitidos	Lambda.2 comprueba si la configuración de la AWS Lambda función para los tiempos de ejecución coincide con los valores esperados establecidos para los tiempos de ejecución admitidos en cada idioma. Security Hub ahora admite nodejs20.x y ruby3.3 como parámetro.
22 de febrero de 2024	[Lambda.2] Las funciones de Lambda deben usar los tiempos de ejecución admitidos	Lambda.2 comprueba si la configuración de la AWS Lambda función para los tiempos de ejecución coincide con los valores esperados establecidos para los tiempos de ejecución admitidos en cada idioma. Ahora Security Hub admite dotnet8 como parámetro.
5 de febrero de 2024	[EKS.2] EKS los clústeres deberían ejecutarse en una versión compatible de Kubernetes	Security Hub actualizó la versión compatible más antigua de Kubernetes en la que puede ejecutar el clúster de Amazon EKS para producir un resultado aprobado. La versión compatible más antigua actual es Kubernetes 1.25.
10 de enero de 2024	[CodeBuild.1] CodeBuild El repositorio fuente de Bitbucket no URLs debe contener credenciales confidenciales	El título modificado CodeBuild GitHub o las URL del repositorio fuente de Bitbucket deben usar OAuth a las URL del repositorio fuente de CodeBuild Bitbucket no deben contener credenciales confidenciales. Security Hub eliminó la mención de OAuth porque otros métodos de conexión también pueden ser seguros. Security Hub eliminó la mención GitHub porque ya no es posible tener un token de acceso personal o un nombre de usuario y una contraseña en las URL del repositorio de GitHub origen.
8 de enero de 2024	[Lambda.2] Las funciones de Lambda deben usar los tiempos de ejecución admitidos	Lambda.2 comprueba si la configuración de la AWS Lambda función para los tiempos de ejecución coincide con los valores esperados establecidos para los tiempos de ejecución admitidos en cada idioma. Security Hub ya no admite go1.x ni java8 como parámetros porque se trata de tiempos de ejecución retirados.
29 de diciembre de 2023	[RDS.8] Las RDS instancias de base de datos deben tener habilitada la protección contra la eliminación	RDS.8 comprueba si una instancia de base de datos de Amazon RDS que utiliza uno de los motores de bases de datos compatibles tiene habilitada la protección contra eliminaciones. Security Hub admite ahora custom-oracle-ee, oracle-ee-cdb y oracle-se2-cdb como motores de bases de datos.
22 de diciembre de 2023	[Lambda.2] Las funciones de Lambda deben usar los tiempos de ejecución admitidos	Lambda.2 comprueba si la configuración de la AWS Lambda función para los tiempos de ejecución coincide con los valores esperados establecidos para los tiempos de ejecución admitidos en cada idioma. Security Hub admite ahora java21 y python3.12 como parámetros. Security Hub ha dejado de admitir ruby2.7 como parámetro.
15 de diciembre de 2023	[CloudFront.1] CloudFront las distribuciones deben tener configurado un objeto raíz predeterminado	CloudFront.1 comprueba si una CloudFront distribución de Amazon tiene configurado un objeto raíz predeterminado. Security Hub ha reducido la gravedad de este control de CRÍTICA a ALTA, ya que se recomienda agregar el objeto raíz predeterminado, que depende de la aplicación y los requisitos específicos del usuario.
5 de diciembre de 2023	[EC2.13] Los grupos de seguridad no deberían permitir la entrada desde el 0.0.0.0/0 o: :/0 al puerto 22	Se ha cambiado el título del control de Los grupos de seguridad no deben permitir la entrada desde 0.0.0.0/0 al puerto 22 a Los grupos de seguridad no deben permitir la entrada desde 0.0.0.0/0 o ::/0 al puerto 22.
5 de diciembre de 2023	[EC2.14] Los grupos de seguridad no deberían permitir la entrada desde el 0.0.0.0/0 o: :/0 al puerto 3389	Se ha cambiado el título del control de Asegúrese de que ningún grupo de seguridad permita la entrada desde 0.0.0.0/0 al puerto 3389 a Los grupos de seguridad no deben permitir la entrada desde 0.0.0.0/0 o ::/0 al puerto 3389.
5 de diciembre de 2023	[RDS.9] Las RDS instancias de base de datos deben publicar registros en Logs CloudWatch	Si se ha cambiado el título del control, el registro de bases de datos debe estar activado y las instancias de base de datos de RDS deben publicar los registros en los CloudWatch registros. Security Hub identificó que este control solo comprueba si los registros se publican en Amazon CloudWatch Logs y no comprueba si los registros de RDS están habilitados. El control determina si las instancias PASSED de base de datos de RDS están configuradas para publicar registros en Logs. CloudWatch El título del control se ha actualizado para reflejar el comportamiento actual.
17 de noviembre de 2023	[EC2.19] Los grupos de seguridad no deberían permitir el acceso sin restricciones a los puertos de alto riesgo	EC2.19 comprueba si el tráfico ilimitado entrante de un grupo de seguridad es accesible para los puertos especificados que se consideran de mayor riesgo. Security Hub ha actualizado este control para tener en cuenta las listas de prefijos administrados cuando se proporcionan como origen de una regla de grupo de seguridad. El control genera un resultado FAILED si las listas de prefijos contienen las cadenas “0.0.0.0/0” o “::/0”.
16 de noviembre de 2023	[CloudWatch.15] CloudWatch las alarmas deben tener configuradas las acciones especificadas	Se cambió el título del control: CloudWatch las alarmas deberían tener una acción configurada para el estado de ALARMA a CloudWatch las alarmas deberían tener configuradas acciones especificadas.
16 de noviembre de 2023	[CloudWatch.16] Los grupos de CloudWatch registros deben conservarse durante un período de tiempo específico	El título de control modificado, de grupos de CloudWatch registros, debe conservarse durante al menos 1 año, a grupos de CloudWatch registros, debe conservarse durante un período de tiempo específico.
16 de noviembre de 2023	[Lambda.5] Las funciones VPC Lambda deben funcionar en varias zonas de disponibilidad	Se ha cambiado el título de control de Las funciones de Lambda de la VPC deben funcionar en más de una zona de disponibilidad a Las funciones de Lambda de la VPC deben funcionar en varias zonas de disponibilidad.
16 de noviembre de 2023	[AppSync.2] AWS AppSync debe tener habilitado el registro a nivel de campo	Se ha cambiado el título de control de AWS AppSync debe tener activado el registro a nivel de solicitud y a nivel de campo a AWS AppSync debe tener habilitado el registro a nivel de campo.
16 de noviembre de 2023	[EMR.1] Los nodos principales EMR del clúster de Amazon no deben tener direcciones IP públicas	Se cambió el título de control de los nodos maestros del MapReduce clúster de Amazon Elastic no deberían tener direcciones IP públicas a los nodos principales del clúster de Amazon EMR no deberían tener direcciones IP públicas.
16 de noviembre de 2023	Los OpenSearch dominios [Opensearch.2] no deben ser de acceso público	El título de control modificado de OpenSearch los dominios debería estar en una VPC a OpenSearchdominios que no deberían ser de acceso público.
16 de noviembre de 2023	[ES.2] Los dominios de Elasticsearch no deben ser de acceso público	Se ha cambiado el título de control de Los dominios de Elasticsearch deben estar en una VPC a Los dominios de Elasticsearch no deben ser de acceso público.
31 de octubre de 2023	[ES.4] Debe estar habilitado el registro de errores de dominio de Elasticsearch en los CloudWatch registros	ES.4 comprueba si los dominios de Elasticsearch están configurados para enviar registros de errores a Amazon Logs. CloudWatch Anteriormente, el control PASSED encontró un dominio de Elasticsearch que tenía todos los registros configurados para enviarlos a Logs. CloudWatch Security Hub actualizó el control para producir una PASSED búsqueda solo para un dominio de Elasticsearch que esté configurado para enviar registros de errores a Logs. CloudWatch El control también se actualizó para excluir de la evaluación versiones de Elasticsearch que no admiten registros de errores.
16 de octubre de 2023	[EC2.13] Los grupos de seguridad no deberían permitir la entrada desde el 0.0.0.0/0 o: :/0 al puerto 22	EC2.13 comprueba si los grupos de seguridad permiten el acceso de entrada sin restricciones al puerto 22. Security Hub ha actualizado este control para tener en cuenta las listas de prefijos administrados cuando se proporcionan como origen de una regla de grupo de seguridad. El control genera un resultado FAILED si las listas de prefijos contienen las cadenas “0.0.0.0/0” o “::/0”.
16 de octubre de 2023	[EC2.14] Los grupos de seguridad no deberían permitir la entrada desde el 0.0.0.0/0 o: :/0 al puerto 3389	EC2.14 comprueba si los grupos de seguridad permiten el acceso de entrada sin restricciones al puerto 3389. Security Hub ha actualizado este control para tener en cuenta las listas de prefijos administrados cuando se proporcionan como origen de una regla de grupo de seguridad. El control genera un resultado FAILED si las listas de prefijos contienen las cadenas “0.0.0.0/0” o “::/0”.
16 de octubre de 2023	[EC2.18] Los grupos de seguridad solo deberían permitir el tráfico entrante sin restricciones en los puertos autorizados	EC2.18 comprueba si los grupos de seguridad que se están utilizando permiten el acceso de tráfico ilimitado entrante. Security Hub ha actualizado este control para tener en cuenta las listas de prefijos administrados cuando se proporcionan como origen de una regla de grupo de seguridad. El control genera un resultado FAILED si las listas de prefijos contienen las cadenas “0.0.0.0/0” o “::/0”.
16 de octubre de 2023	[Lambda.2] Las funciones de Lambda deben usar los tiempos de ejecución admitidos	Lambda.2 comprueba si la configuración de la AWS Lambda función para los tiempos de ejecución coincide con los valores esperados establecidos para los tiempos de ejecución admitidos en cada idioma. Ahora Security Hub admite python3.11 como parámetro.
4 de octubre de 2023	[S3.7] Los buckets de uso general de S3 deberían utilizar la replicación entre regiones	Security Hub agregó el parámetro ReplicationType con un valor CROSS-REGION para garantizar que los buckets de S3 tengan habilitada la replicación entre regiones en lugar de la replicación en la misma región.
27 de septiembre de 2023	[EKS.2] EKS los clústeres deberían ejecutarse en una versión compatible de Kubernetes	Security Hub actualizó la versión compatible más antigua de Kubernetes en la que puede ejecutar el clúster de Amazon EKS para producir un resultado aprobado. La versión compatible más antigua actual es Kubernetes 1.24.
20 de septiembre de 2023	CloudFront.2 — las CloudFront distribuciones deben tener habilitada la identidad de acceso de origen	Security Hub ha retirado este control y lo ha eliminado de todos los estándares. En su lugar, consulte [CloudFront.13] CloudFront las distribuciones deben usar el control de acceso al origen. El control de acceso de Origin es la mejor práctica de seguridad actual. Este control se eliminará de la documentación en 90 días.
20 de septiembre de 2023	[EC2.22] Los grupos de EC2 seguridad de Amazon no utilizados deberían eliminarse	Security Hub eliminó este control de las prácticas recomendadas de seguridad AWS fundamentales (FSBP) y del Instituto Nacional de Estándares y Tecnología (NIST) SP 800-53 Rev. 5. Sigue formando parte del estándar de gestión de servicios:. AWS Control Tower Este control de produce un resultado aprobado si los grupos de seguridad están conectados a instancias EC2 o a una interfaz de red elástica. Sin embargo, en algunos casos de uso, los grupos de seguridad independientes no representan un riesgo para la seguridad. Puede usar otros controles de EC2, como EC2.2, EC2.13, EC2.14, EC2.18 y EC2.19, para supervisar sus grupos de seguridad.
20 de septiembre de 2023	EC2.29: las instancias EC2 deben lanzarse en una VPC	Security Hub ha retirado este control y lo ha eliminado de todos los estándares. Amazon EC2 ha migrado las instancias EC2-Classic a una VPC. Este control se eliminará de la documentación en 90 días.
20 de septiembre de 2023	S3.4: los buckets de S3 deben tener habilitado el cifrado del lado del servidor	Security Hub ha retirado este control y lo ha eliminado de todos los estándares. Amazon S3 ahora proporciona cifrado predeterminado con claves administradas por S3 (SS3-S3) en buckets S3 nuevos y existentes. La configuración de cifrado no cambia para los buckets existentes cifrados con SS3-S3 o SS3-KMS del lado del servidor. Este control se eliminará de la documentación en 90 días.
14 de septiembre de 2023	[EC2.2] Los grupos de seguridad VPC predeterminados no deberían permitir el tráfico entrante o saliente	Se cambió el título de control de El grupo de seguridad predeterminado de VPC no debe permitir el tráfico entrante ni saliente a Los grupos de seguridad predeterminados de VPC no deben permitir el tráfico entrante ni saliente.
14 de septiembre de 2023	[IAM.9] MFA debe estar activado para el usuario root	Se cambió el título de control de La MFA virtual debe estar habilitada para el usuario raíz a La MFA debe estar habilitada para el usuario raíz.
14 de septiembre de 2023	[RDS.19] Las suscripciones de notificación de RDS eventos existentes deben configurarse para los eventos críticos del clúster	Se cambió el título de control de Se debe configurar una suscripción a las notificaciones de eventos de RDS para los eventos de clúster críticos a Las suscripciones de notificación de eventos de RDS existentes deben configurarse para los eventos de clúster críticos.
14 de septiembre de 2023	[RDS.20] Las suscripciones de notificaciones de RDS eventos existentes deben configurarse para eventos críticos de instancias de bases de datos	Se cambió el título de control de Se debe configurar una suscripción a las notificaciones de eventos de RDS para los eventos críticos de instancias de bases de datos a Las suscripciones de notificación de eventos de RDS existentes deben configurarse para los eventos críticos de instancias de bases de datos.
14 de septiembre de 2023	[WAF.2] Las reglas regionales AWS WAF clásicas deben tener al menos una condición	Se cambió el título de control de Una regla regional de WAF debe tener al menos una condición a Las reglas regionales de AWS WAF Classic deben tener al menos una condición.
14 de septiembre de 2023	[WAF.3] Los grupos de reglas regionales AWS WAF clásicos deben tener al menos una regla	Se cambió el título de control de Un grupo de reglas regionales de WAF debe tener al menos una regla a Los grupos de reglas regionales de AWS WAF Classic deben tener al menos una regla.
14 de septiembre de 2023	[WAF.4] La web regional AWS WAF clásica ACLs debe tener al menos una regla o grupo de reglas	Se cambió el título de control de Una ACL web regional de WAF debe tener al menos una regla o grupo de reglas a Las ACL web regionales de AWS WAF Classic deben tener al menos una regla o grupo de reglas.
14 de septiembre de 2023	[WAF.6] Las reglas globales AWS WAF clásicas deben tener al menos una condición	Se cambió el título de control de Una regla global de WAF debe tener al menos una condición a Las reglas globales de AWS WAF Classic deben tener al menos una condición.
14 de septiembre de 2023	[WAF.7] Los grupos de reglas globales AWS WAF clásicos deben tener al menos una regla	Se cambió el título de control de Un grupo de reglas globales de WAF debe tener al menos una regla a Los grupos de reglas globales de AWS WAF Classic deben tener al menos una regla.
14 de septiembre de 2023	[WAF.8] La web global AWS WAF clásica ACLs debe tener al menos una regla o grupo de reglas	Se cambió el título de control de Una ACL web global de WAF debe tener al menos una regla o grupo de reglas a Las ACL web globales de AWS WAF Classic deben tener al menos una regla o grupo de reglas.
14 de septiembre de 2023	[WAF.10] la AWS WAF web ACLs debe tener al menos una regla o grupo de reglas	Se cambió el título de control de Una ACL web de WAFv2 debe tener al menos una regla o grupo de reglas a Las ACL de AWS WAF deben tener al menos una regla o grupo de reglas.
14 de septiembre de 2023	[WAF.11] El ACL registro AWS WAF web debe estar habilitado	Se cambió el título de control de El registro de la ACL web de AWS WAF v2 debe estar activado a El registro de la ACL web de AWS WAF debe estar habilitado.
20 de julio de 2023	S3.4: los buckets de S3 deben tener habilitado el cifrado del lado del servidor	S3.4 comprueba si el bucket de Amazon S3 tiene habilitado el cifrado del lado del servidor o que la política de bucket de S3 deniega explícitamente las solicitudes PutObject sin cifrado del lado del servidor. Security Hub actualizó este control para incluir el cifrado de doble capa del lado del servidor con claves de KMS (DSSE-KMS). El control genera un resultado aprobado cuando un bucket de S3 está cifrado con SSE-S3, SSE-KMS o DSSE-KMS.
17 de julio de 2023	[S3.17] Los depósitos de uso general de S3 deben cifrarse en reposo con AWS KMS keys	S3.17 comprueba si un bucket de Amazon S3 está cifrado con un AWS KMS key. Security Hub actualizó este control para incluir el cifrado de doble capa del lado del servidor con claves de KMS (DSSE-KMS). El control genera un resultado aprobado cuando un bucket de S3 está cifrado con SSE-KMS o DSSE-KMS.
9 de junio de 2023	[EKS.2] EKS los clústeres deberían ejecutarse en una versión compatible de Kubernetes	EKS.2 comprueba si un clúster de Amazon EKS se está ejecutando en una versión compatible de Kubernetes. La versión compatible más antigua es ahora 1.23.
9 de junio de 2023	[Lambda.2] Las funciones de Lambda deben usar los tiempos de ejecución admitidos	Lambda.2 comprueba si la configuración de la AWS Lambda función para los tiempos de ejecución coincide con los valores esperados establecidos para los tiempos de ejecución admitidos en cada idioma. Ahora Security Hub admite ruby3.2 como parámetro.
5 de junio de 2023	[APIGateway.5] Los datos de la REST API caché de API Gateway deben cifrarse en reposo	APIGateway.5 comprueba si todos los métodos de las etapas de la API de REST de Amazon API Gateway están cifradas en reposo. Security Hub actualizó el control para evaluar el cifrado de un método en particular solo cuando el almacenamiento en caché está habilitado para ese método.
18 de mayo de 2023	[Lambda.2] Las funciones de Lambda deben usar los tiempos de ejecución admitidos	Lambda.2 comprueba si la configuración de la AWS Lambda función para los tiempos de ejecución coincide con los valores esperados establecidos para los tiempos de ejecución admitidos en cada idioma. Ahora Security Hub admite java17 como parámetro.
18 de mayo de 2023	[Lambda.2] Las funciones de Lambda deben usar los tiempos de ejecución admitidos	Lambda.2 comprueba si la configuración de la AWS Lambda función para los tiempos de ejecución coincide con los valores esperados establecidos para los tiempos de ejecución admitidos en cada idioma. Security Hub ha dejado de admitir nodejs12.x como parámetro.
23 de abril de 2023	[ECS.10] Los servicios de ECS Fargate deberían ejecutarse en la última versión de la plataforma Fargate	ECS.10 comprueba si los servicios Fargate de Amazon ECS ejecutan la versión de la plataforma Fargate más reciente. Los clientes pueden implementar Amazon ECS a través de ECS directamente o mediante CodeDeploy. Security Hub actualizó este control para generar resultados aprobados cuando se utilizan CodeDeploy para implementar los servicios Fargate de ECS.
20 de abril de 2023	[S3.6] Las políticas de compartimentos de uso general de S3 deberían restringir el acceso a otros Cuentas de AWS	El S3.6 comprueba si una política de bucket de Amazon Simple Storage Service (Amazon S3) impide que los directores de Cuentas de AWS otras entidades realicen acciones denegadas en los recursos del bucket de S3. Security Hub actualizó el control para tener en cuenta los condicionales de una política de bucket.
18 de abril de 2023	[Lambda.2] Las funciones de Lambda deben usar los tiempos de ejecución admitidos	Lambda.2 comprueba si la configuración de la AWS Lambda función para los tiempos de ejecución coincide con los valores esperados establecidos para los tiempos de ejecución admitidos en cada idioma. Ahora Security Hub admite python3.10 como parámetro.
18 de abril de 2023	[Lambda.2] Las funciones de Lambda deben usar los tiempos de ejecución admitidos	Lambda.2 comprueba si la configuración de la AWS Lambda función para los tiempos de ejecución coincide con los valores esperados establecidos para los tiempos de ejecución admitidos en cada idioma. Security Hub ha dejado de admitir dotnetcore3.1 como parámetro.
17 de abril de 2023	[RDS.11] las RDS instancias deben tener habilitadas las copias de seguridad automáticas	RDS.11 comprueba si las instancias de Amazon RDS tienen habilitadas las copias de seguridad automáticas, con un periodo de retención de las copias de seguridad superior o igual a siete días. Security Hub actualizó este control para excluir las réplicas de lectura de la evaluación, ya que no todos los motores admiten copias de seguridad automatizadas en las réplicas de lectura. Además, RDS no ofrece la opción de especificar un periodo de retención de las copias de seguridad al crear réplicas de lectura. Las réplicas de lectura se crean con un periodo de retención predeterminado de la copia de seguridad de 0.