AWS Benchmark CIS v1.2.0

AWS Audit Manager fournit deux frameworks prédéfinis qui prennent en charge le Benchmark v1.2.0 du Center for Internet Security (CIS) Amazon Web Services (AWS).

Note

• Pour plus d’informations sur les frameworks Audit Manager compatibles avec la version v1.3.0, consultez AWS Benchmark CIS v1.3.0.

• Pour plus d’informations sur les frameworks Audit Manager compatibles avec la version v1.4.0, consultez AWS Benchmark CIS v1.4.0.

Qu’est-ce que le CIS ?

Le CIS est une organisation à but non lucratif qui a développé le CIS AWS Foundations Benchmark. Ce benchmark sert d'ensemble de meilleures pratiques de configuration de sécurité pour AWS. Ces meilleures pratiques reconnues par le secteur vont au-delà des directives de sécurité de haut niveau déjà disponibles dans la mesure où elles vous fournissent des procédures claires de step-by-step mise en œuvre et d'évaluation.

Pour plus d'informations, consultez les articles du blog CIS AWS Foundations Benchmark sur le blog AWS de sécurité.

Différence entre les benchmarks CIS et les contrôles CIS

Les benchmarks CIS sont des directives relatives aux bonnes pratiques de sécurité spécifiques aux produits des fournisseurs. Qu’il s’agisse de systèmes d’exploitation, de services cloud ou d’appareils réseau, les paramètres appliqués à partir d’un benchmark protègent les systèmes spécifiques utilisés par votre entreprise. Les contrôles CIS sont des directives de bonnes pratiques de base que les systèmes au niveau de l’organisation doivent suivre pour se protéger contre les vecteurs de cyberattaques connus.

Exemples

• Les benchmarks CIS sont prescriptifs. Ils font généralement référence à un paramètre spécifique qui peut être revu et défini dans le produit du fournisseur.

  Exemple : CIS AWS Benchmark v1.2.0 - Assurez-vous que le MFA est activé pour le compte « utilisateur root ».

  Cette recommandation fournit des conseils prescriptifs sur la manière de vérifier cela et de le définir sur le compte racine de l' AWS environnement.

• Les contrôles CIS s’appliquent à l’ensemble de votre organisation. Ils ne sont pas spécifiques à un seul produit d’un fournisseur.

  Exemple : CIS v7.1 - Utiliser l'authentification multifactorielle pour tous les accès administratifs

  Ce contrôle décrit ce qui est censé être appliqué au sein de votre organisation. Il ne décrit pas comment vous devez l’appliquer aux systèmes et aux charges de travail que vous exécutez (quel que soit leur emplacement).

Utilisation de ce framework

Vous pouvez utiliser les frameworks CIS AWS Benchmark v1.2 pour vous aider AWS Audit Manager à vous préparer aux audits CIS. Vous pouvez également personnaliser ces frameworks et leurs contrôles pour prendre en charge les audits internes répondant à des exigences spécifiques.

En utilisant les frameworks comme point de départ, vous pouvez créer une évaluation Audit Manager et commencer à collecter des éléments probants pertinents pour votre audit. Après avoir créé une évaluation, Audit Manager commence à évaluer vos AWS ressources. Cette fonction se base sur les contrôles définis dans le framework CIS. Au moment d’effectuer un audit, vous (ou le délégué de votre choix) pouvez examiner les preuves collectées par Audit Manager. Vous pouvez parcourir les dossiers de preuves dans votre évaluation et sélectionner les preuves que vous souhaitez inclure dans votre rapport d’évaluation. Ou, si vous avez activé l’outil de recherche de preuves, vous pouvez rechercher des preuves spécifiques et les exporter au format CSV, ou créer un rapport d’évaluation à partir des résultats de votre recherche. Dans tous les cas, vous pouvez utiliser ce rapport d’évaluation pour attester le bon fonctionnement de vos contrôles.

Les détails du framework sont les suivants :

Nom du framework dans AWS Audit Manager	Nombre de contrôles automatisés	Nombre de contrôles manuels	Nombre d’ensembles de contrôles
Centre de sécurité Internet (CIS) Amazon Web Services (AWS) Benchmark v1.2.0, niveau 1	35	1	4
Centre de sécurité Internet (CIS) Amazon Web Services (AWS) Benchmark v1.2.0, niveaux 1 et 2	48	1	4

Astuce

Pour consulter la liste des AWS Config règles utilisées comme mappages de sources de données pour ces frameworks standard, téléchargez les fichiers suivants :

1. AuditManager_ ConfigDataSourceMappings _CIS-AWS-Benchmark-v1.2.0, -Level-1.zip

2. AuditManager_ ConfigDataSourceMappings _CIS-AWS-Benchmark-v1.2.0, -Level-1-and-2.zip

Les contrôles de ces frameworks ne visent pas à vérifier si vos systèmes sont conformes aux meilleures pratiques du CIS AWS Benchmark. De plus, ils ne peuvent pas garantir que vous passerez un audit CIS. AWS Audit Manager ne vérifie pas automatiquement les contrôles procéduraux qui nécessitent la collecte manuelle de preuves.

Vous pouvez trouver ces frameworks sous l'onglet Frameworks standard de la bibliothèque de frameworks dans Audit Manager.

Prérequis pour l’utilisation de ces frameworks

De nombreux contrôles des frameworks CIS AWS Benchmark v1.2 sont utilisés AWS Config comme type de source de données. Pour prendre en charge ces contrôles, vous devez les activer AWS Config sur tous les comptes sur Région AWS lesquels vous avez activé Audit Manager. Vous devez également vous assurer que des AWS Config règles spécifiques sont activées et qu'elles sont correctement configurées.

Les AWS Config règles et paramètres suivants sont nécessaires pour collecter les preuves correctes et déterminer un statut de conformité précis pour le CIS AWS Foundations Benchmark v1.2. Pour obtenir des instructions sur la façon d’activer ou configurer une règle, consultez la section Utilisation des règles gérées AWS Config.

AWS Config Règle requise	Paramètres requis
ACCESS_KEYS_ROTATED	maxAccessKeyAge Nombre maximal de jours sans rotation. Type : Int Par défaut : 90 jours Exigence de conformité : 90 jours maximum
CLOUD_TRAIL_CLOUD_WATCH_LOGS_ENABLED	Ne s’applique pas
CLOUD_TRAIL_ENCRYPTION_ENABLED	Ne s’applique pas
CLOUD_TRAIL_LOG_FILE_VALIDATION_ENABLED	Ne s’applique pas
CMK_BACKING_KEY_ROTATION_ENABLED	Ne s’applique pas
IAM_PASSWORD_POLICY	MaxPasswordAge (facultatif) Nombre de jours avant l’expiration du mot de passe. Type : int Par défaut : 90 Exigence de conformité : 90 jours maximum
IAM_PASSWORD_POLICY	MinimumPasswordLength (facultatif) La longueur minimale du mot de passe. Type : int Par défaut : 14 Exigence de conformité : 14 caractères minimum
IAM_PASSWORD_POLICY	PasswordReusePrevention (facultatif) Nombre de mots de passe avant d’autoriser la réutilisation. Type : int Par défaut : 24 Exigence de conformité : un minimum de 24 mots de passe avant réutilisation
IAM_PASSWORD_POLICY	RequireLowercaseCharacters (facultatif) Au moins un caractère minuscule est requis dans le mot de passe. Type : booléen Valeur par défaut : True Exigence de conformité : au moins un caractère minuscule est requis
IAM_PASSWORD_POLICY	RequireNumbers (facultatif) Au moins un chiffre est requis dans le mot de passe. Type : booléen Valeur par défaut : True Exigence de conformité : au moins un chiffre est requis
IAM_PASSWORD_POLICY	RequireSymbols (facultatif) Au moins un symbole est requis dans le mot de passe. Type : booléen Valeur par défaut : True Exigence de conformité : au moins un caractère symbolique est requis
IAM_PASSWORD_POLICY	RequireUppercaseCharacters (facultatif) Au moins un caractère majuscule est requis dans le mot de passe. Type : booléen Valeur par défaut : True Exigence de conformité : au moins un caractère majuscule est requis
IAM_POLICY_IN_USE	policyARN Un ARN de politique IAM à vérifier. Type : chaîne Exigence de conformité : crée un rôle IAM pour gérer les incidents avec AWS. policyUsageType (facultatif) Spécifie si vous souhaitez que la politique soit attachée à un utilisateur, un groupe ou un rôle. Type : chaîne Valeurs valides : IAM_USER | IAM_GROUP | IAM_ROLE | ANY Valeur par défaut : ANY Exigence de conformité : associez la politique de confiance au rôle IAM créé
IAM_POLICY_NO_STATEMENTS_WITH_ADMIN_ACCESS	Ne s’applique pas
IAM_ROOT_ACCESS_KEY_CHECK	Ne s’applique pas
IAM_USER_NO_POLICIES_CHECK	Ne s’applique pas
IAM_USER_UNUSED_CREDENTIALS_CHECK	maxCredentialUsageAge Nombre maximal de jours pendant lesquels les informations d’identification ne peuvent être utilisées. Type : Int Par défaut : 90 jours Exigence de conformité : 90 jours ou plus
INCOMING_SSH_DISABLED	Ne s’applique pas
MFA_ENABLED_FOR_IAM_CONSOLE_ACCESS	Ne s’applique pas
MULTI_REGION_CLOUD_TRAIL_ENABLED	Ne s’applique pas
RESTRICTED_INCOMING_TRAFFIC	blockedPort1 (facultatif) Numéro du port TCP bloqué. Type : int Par défaut : 20 Exigence de conformité : assurez-vous qu’aucun groupe de sécurité n’autorise l’entrée sur les ports bloqués blockedPort2 (facultatif) Numéro du port TCP bloqué. Type : int Par défaut : 21 Exigence de conformité : assurez-vous qu’aucun groupe de sécurité n’autorise l’entrée sur les ports bloqués blockedPort3 (facultatif) Numéro du port TCP bloqué. Type : int Par défaut : 3389 Exigence de conformité : assurez-vous qu’aucun groupe de sécurité n’autorise l’entrée sur les ports bloqués blockedPort4 (facultatif) Numéro du port TCP bloqué. Type : int Par défaut : 3306 Exigence de conformité : assurez-vous qu’aucun groupe de sécurité n’autorise l’entrée sur les ports bloqués blockedPort5 (facultatif) Numéro du port TCP bloqué. Type : int Par défaut : 4333 Exigence de conformité : assurez-vous qu’aucun groupe de sécurité n’autorise l’entrée sur les ports bloqués
ROOT_ACCOUNT_HARDWARE_MFA_ENABLED	Ne s’applique pas
ROOT_ACCOUNT_MFA_ENABLED	Ne s’applique pas
S3_BUCKET_LOGGING_ENABLED	targetBucket (facultatif) Compartiment S3 cible pour stocker les journaux d’accès au serveur. Type : chaîne Exigence de conformité : activer la journalisation targetPrefix (facultatif) Préfixe du compartiment S3 cible pour stocker les journaux d’accès au serveur. Type : chaîne Exigence de conformité : identifier le compartiment S3 pour la CloudTrail journalisation
S3_BUCKET_PUBLIC_READ_PROHIBITED	Ne s’applique pas
VPC_DEFAULT_SECURITY_GROUP_CLOSED	Ne s’applique pas
VPC_FLOW_LOGS_ENABLED	trafficType (facultatif) Le trafficType des journaux de flux. Type : chaîne Exigence de conformité : La journalisation des flux est activée

Étapes suivantes

Pour des instructions sur la façon de créer une évaluation à l’aide de ces frameworks, consultez Création d'une évaluation dans AWS Audit Manager.

Pour obtenir des instructions sur la façon de personnaliser ces frameworks afin de répondre à vos besoins spécifiques, consultezCréation d'une copie modifiable d'un framework existant dans AWS Audit Manager.

Ressources supplémentaires

• Le benchmark de CIS AWS Foundations v1.2.0

• Articles du blog CIS AWS Foundations Benchmark sur le blog de sécuritéAWS