Meilleures pratiques opérationnelles pour les contrôles de sécurité CIS critiques v8 IG2 - AWS Config

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Meilleures pratiques opérationnelles pour les contrôles de sécurité CIS critiques v8 IG2

Les packs de conformité fournissent un cadre de conformité à usage général conçu pour vous permettre de créer des contrôles de gouvernance en matière de sécurité, d'exploitation ou d'optimisation des coûts à l'aide de AWS Config règles gérées ou personnalisées et d'actions correctives. AWS Config Les packs de conformité, en tant qu'exemples de modèle, ne sont pas conçus pour garantir pleinement la conformité à une norme de gouvernance ou de conformité spécifique. Il vous incombe de déterminer vous-même si votre utilisation des services est conforme aux exigences légales et réglementaires applicables.

Vous trouverez ci-dessous un exemple de mappage entre le Center for Internet Security (CIS) Critical Security Controls v8 IG2 et les règles de configuration AWS gérées. Chacune AWS Config s'applique à une AWS ressource spécifique et concerne un ou plusieurs contrôles CIS Critical Security Controls v8IG2. Un IG2 contrôle CIS Critical Security Controls v8 peut être associé à plusieurs AWS Config règles. Reportez-vous au tableau ci-dessous pour obtenir plus de détails et des conseils relatifs à ces mappages.

ID du contrôle Description du contrôle AWS Règle de configuration Conseils
1.1 Établir et tenir à jour un inventaire détaillé des actifs de l'entreprise

eip-attached

Cette règle garantit que les Elastic IPs alloués à un Amazon Virtual Private Cloud (AmazonVPC) sont attachés aux instances Amazon Elastic Compute Cloud (AmazonEC2) ou aux interfaces réseau Elastic en cours d'utilisation. Cette règle permet de surveiller les utilisations non utilisées EIPs dans votre environnement.
1.1 Établir et tenir à jour un inventaire détaillé des actifs de l'entreprise

ec2-stopped-instance

Activez cette règle pour faciliter la configuration de base des instances Amazon Elastic Compute Cloud (AmazonEC2) en vérifiant si les EC2 instances Amazon ont été arrêtées pendant plus de jours que le nombre de jours autorisé, conformément aux normes de votre organisation.
1.1 Établir et tenir à jour un inventaire détaillé des actifs de l'entreprise

vpc-network-acl-unused-vérifier

Cette règle garantit que les listes de contrôle d'accès au réseau Amazon Virtual Private Cloud (VPC) sont utilisées. La surveillance des listes de contrôle d'accès réseau inutilisées peut faciliter l'inventaire et la gestion précis de votre environnement.
1.1 Établir et tenir à jour un inventaire détaillé des actifs de l'entreprise

ec2- -manager instance-managed-by-systems

Un inventaire des plateformes logicielles et des applications au sein de l'organisation est possible en gérant les instances Amazon Elastic Compute Cloud (AmazonEC2) avec AWS Systems Manager. Utilisez AWS Systems Manager pour fournir des configurations système détaillées, les niveaux de correctif du système d'exploitation, le nom et le type de service, les installations logicielles, le nom, l'éditeur et la version de l'application, ainsi que d'autres informations sur votre environnement.
1.1 Établir et tenir à jour un inventaire détaillé des actifs de l'entreprise

ec2- -check managedinstance-association-compliance-status

Utilisez AWS les associations de Systems Manager pour vous aider à inventorier les plateformes logicielles et les applications au sein d'une organisation. AWS Systems Manager attribue un état de configuration à vos instances gérées et vous permet de définir des références pour les niveaux de correctifs du système d'exploitation, les installations logicielles, les configurations d'application et d'autres informations relatives à votre environnement.
1.1 Établir et tenir à jour un inventaire détaillé des actifs de l'entreprise

ec2- -eni security-group-attached-to

Cette règle garantit que les groupes de sécurité sont attachés à une instance Amazon Elastic Compute Cloud (AmazonEC2) ou à unENI. Cette règle permet de surveiller les groupes de sécurité non utilisés dans l'inventaire et de gérer votre environnement.
2.2 Veiller à ce que les logiciels autorisés soient actuellement pris en charge

elastic-beanstalk-managed-updates-activé

L'activation des mises à jour de plateforme gérées pour un environnement Amazon Elastic Beanstalk garantit l'installation des derniers correctifs, mises à jour et fonctionnalités de la plateforme disponibles pour l'environnement. La sécurisation des systèmes passe par la mise à jour de l'installation des correctifs.
2.2 Veiller à ce que les logiciels autorisés soient actuellement pris en charge

ec2- -check managedinstance-patch-compliance-status

Activez cette règle pour faciliter l'identification et la documentation des vulnérabilités d'Amazon Elastic Compute Cloud (AmazonEC2). La règle vérifie si les correctifs d'EC2instance Amazon sont conformes dans AWS Systems Manager conformément aux politiques et procédures de votre entreprise.
2.2 Veiller à ce que les logiciels autorisés soient actuellement pris en charge

ecs-fargate-latest-platform-version

Les mises à jour de sécurité et les correctifs sont déployés automatiquement pour vos tâches AWS Fargate. Si un problème de sécurité affectant une version de la plateforme AWS Fargate est détecté AWS , corrige la version de la plate-forme. Pour faciliter la gestion des correctifs de vos tâches Amazon Elastic Container Service (ECS) exécutant AWS Fargate, mettez à jour les tâches autonomes de vos services afin d'utiliser la version la plus récente de la plateforme.
2,4 Utiliser des outils d'inventaire logiciel automatisés

ec2- -manager instance-managed-by-systems

Un inventaire des plateformes logicielles et des applications au sein de l'organisation est possible en gérant les instances Amazon Elastic Compute Cloud (AmazonEC2) avec AWS Systems Manager. Utilisez AWS Systems Manager pour fournir des configurations système détaillées, les niveaux de correctif du système d'exploitation, le nom et le type de service, les installations logicielles, le nom, l'éditeur et la version de l'application, ainsi que d'autres informations sur votre environnement.
2,4 Utiliser des outils d'inventaire logiciel automatisés

ec2- -check managedinstance-association-compliance-status

Utilisez AWS les associations de Systems Manager pour vous aider à inventorier les plateformes logicielles et les applications au sein d'une organisation. AWS Systems Manager attribue un état de configuration à vos instances gérées et vous permet de définir des références pour les niveaux de correctifs du système d'exploitation, les installations logicielles, les configurations d'application et d'autres informations relatives à votre environnement.
3.3 Configurer les listes de contrôle d'accès aux données

ec2-imdsv2-check

Assurez-vous que la méthode Instance Metadata Service Version 2 (IMDSv2) est activée pour protéger l'accès et le contrôle des métadonnées des instances Amazon Elastic Compute Cloud (AmazonEC2). La IMDSv2 méthode utilise des commandes basées sur les sessions. AvecIMDSv2, des contrôles peuvent être mis en œuvre pour limiter les modifications apportées aux métadonnées de l'instance.
3.3 Configurer les listes de contrôle d'accès aux données

ec2- instance-profile-attached

EC2les profils d'instance transmettent un IAM rôle à une EC2 instance. L'association d'un profil d'instance à vos instances peut faciliter la gestion du moindre privilège et des autorisations.
3.3 Configurer les listes de contrôle d'accès aux données

dms-replication-not-public

Gérez l'accès au AWS cloud en vous assurant que les instances de DMS réplication ne sont pas accessibles au public. DMSles instances de réplication peuvent contenir des informations sensibles et un contrôle d'accès est requis pour ces comptes.
3.3 Configurer les listes de contrôle d'accès aux données

ebs-snapshot-public-restorable-vérifier

Gérez l'accès au AWS cloud en vous assurant que les EBS instantanés ne sont pas restaurables publiquement. EBSles instantanés de volume peuvent contenir des informations sensibles et un contrôle d'accès est requis pour ces comptes.
3.3 Configurer les listes de contrôle d'accès aux données

emr-kerberos-enabled

Les autorisations et autorisations d'accès peuvent être gérées et intégrées selon les principes du moindre privilège et de la séparation des tâches, en activant Kerberos pour les clusters Amazon. EMR Dans Kerberos, les services et utilisateurs qui ont besoin de s'authentifier sont appelés principaux. Les principaux existent au sein d'un domaine Kerberos. Dans le domaine, un serveur Kerberos est appelé centre de distribution de clés ()KDC. Il fournit aux principaux un moyen de s'authentifier. Il s'KDCauthentifie en émettant des tickets d'authentification. Il KDC gère une base de données des principaux de son domaine, leurs mots de passe et d'autres informations administratives sur chaque principal.
3.3 Configurer les listes de contrôle d'accès aux données

iam-group-has-users-vérifier

AWS Identity and Access Management (IAM) peut vous aider à intégrer les principes du moindre privilège et de la séparation des tâches aux autorisations et autorisations d'accès, en garantissant que IAM les groupes comptent au moins un utilisateur. Placer les utilisateurs dans des groupes en fonction des autorisations ou des fonctions qui leur sont associées est une manière d'intégrer le moindre privilège.
3.3 Configurer les listes de contrôle d'accès aux données

iam-no-inline-policy-vérifier

Assurez-vous qu'un utilisateur, un IAM rôle ou un IAM groupe AWS Identity and Access Management (IAM) ne dispose pas d'une politique intégrée pour contrôler l'accès aux systèmes et aux actifs. AWS recommande d'utiliser des politiques gérées plutôt que des politiques intégrées. Les politiques gérées permettent la réutilisation, la gestion des versions et la restauration, ainsi que la délégation de la gestion des autorisations.
3.3 Configurer les listes de contrôle d'accès aux données

ec2- instance-no-public-ip

Gérez l'accès au AWS cloud en vous assurant que les instances Amazon Elastic Compute Cloud (AmazonEC2) ne sont pas accessibles au public. Les EC2 instances Amazon peuvent contenir des informations sensibles et un contrôle d'accès est requis pour ces comptes.
3.3 Configurer les listes de contrôle d'accès aux données

iam-policy-no-statements-with-full-access

Assurez-vous que les IAM actions sont limitées aux seules actions nécessaires. Permettre aux utilisateurs d'avoir plus de privilèges que nécessaire pour effectuer une tâche peut enfreindre le principe du moindre privilège et de la séparation des tâches.
3.3 Configurer les listes de contrôle d'accès aux données

elasticsearch-in-vpc-only

Gérez l'accès au AWS cloud en vous assurant que les domaines Amazon OpenSearch OpenSearch Service (Service) se trouvent dans un Amazon Virtual Private Cloud (AmazonVPC). Un domaine de OpenSearch service au sein d'Amazon VPC permet une communication sécurisée entre le OpenSearch service et les autres services d'Amazon VPC sans avoir besoin d'une passerelle Internet, d'un NAT appareil ou d'une VPN connexion.
3.3 Configurer les listes de contrôle d'accès aux données

iam-user-group-membership-vérifier

AWS Identity and Access Management (IAM) peut vous aider à restreindre les autorisations et les autorisations d'accès en vous assurant que les utilisateurs sont membres d'au moins un groupe. Accorder aux utilisateurs plus de privilèges que nécessaire pour effectuer une tâche peut enfreindre le principe du moindre privilège et de la séparation des tâches.
3.3 Configurer les listes de contrôle d'accès aux données

ec2- instances-in-vpc

Déployez des instances Amazon Elastic Compute Cloud (AmazonEC2) au sein d'un Amazon Virtual Private Cloud (AmazonVPC) pour permettre une communication sécurisée entre une instance et d'autres services au sein d'AmazonVPC, sans avoir besoin de passerelle Internet, d'NATappareil ou de VPN connexion. Tout le trafic reste sécurisé dans le AWS cloud. En raison de leur isolation logique, les domaines situés au sein d'un Amazon VPC disposent d'une couche de sécurité supplémentaire par rapport aux domaines utilisant des points de terminaison publics. Attribuez EC2 des instances Amazon à un Amazon VPC pour gérer correctement l'accès.
3.3 Configurer les listes de contrôle d'accès aux données

emr-master-no-public-IP

Gérez l'accès au AWS cloud en vous assurant que les nœuds EMR principaux du cluster Amazon ne sont pas accessibles au public. Les nœuds EMR principaux du cluster Amazon peuvent contenir des informations sensibles et un contrôle d'accès est requis pour ces comptes.
3.3 Configurer les listes de contrôle d'accès aux données

iam-policy-no-statements-with-admin-access

AWS Identity and Access Management (IAM) peut vous aider à intégrer les principes du moindre privilège et de la séparation des tâches dans les autorisations et autorisations d'accès, en empêchant les politiques de contenir « Effect » : « Allow » avec « Action » : « * » plutôt que « Resource » : « * ». Permettre aux utilisateurs d'avoir plus de privilèges que nécessaire pour effectuer une tâche peut enfreindre le principe du moindre privilège et de la séparation des tâches.
3.3 Configurer les listes de contrôle d'accès aux données

iam-user-no-policies-vérifier

Cette règle garantit que les politiques AWS Identity and Access Management (IAM) ne sont associées qu'à des groupes ou à des rôles afin de contrôler l'accès aux systèmes et aux actifs. L'attribution de privilèges au niveau du groupe ou du rôle permet de réduire les risques qu'une identité reçoive ou conserve des privilèges excessifs.
3.3 Configurer les listes de contrôle d'accès aux données

iam-root-access-key-vérifier

L'accès aux systèmes et aux actifs peut être contrôlé en vérifiant que l'utilisateur root ne dispose pas de clés d'accès associées à son rôle AWS Identity and Access Management (IAM). Assurez-vous que les clés d'accès root ont été supprimées. Créez et utilisez plutôt la fonction basée sur Comptes AWS les rôles pour intégrer le principe de moindre fonctionnalité.
3.3 Configurer les listes de contrôle d'accès aux données

iam-user-unused-credentials-vérifier

AWS Identity and Access Management (IAM) peut vous aider à obtenir des autorisations et des autorisations d'accès en vérifiant les IAM mots de passe et les clés d'accès qui ne sont pas utilisés pendant une période donnée. Si de telles informations d'identification non utilisées sont identifiées, vous devez les désactiver et/ou les supprimer afin de ne pas risquer d'enfreindre le principe du moindre privilège. Cette règle vous oblige à définir une valeur sur maxCredentialUsage Age (Config Default : 90). La valeur réelle doit refléter les politiques de votre organisation.
3.3 Configurer les listes de contrôle d'accès aux données

iam-customer-policy-blocked-kms-actions

AWS Identity and Access Management (IAM) peut vous aider à intégrer les principes du moindre privilège et de la séparation des tâches aux autorisations et autorisations d'accès, en empêchant les politiques de contenir des actions bloquées sur toutes les clés du AWS Key Management Service. Avoir plus de privilèges que nécessaire pour effectuer une tâche peut enfreindre le principe du moindre privilège et de la séparation des tâches. Cette règle vous permet de définir le blockedActionsPatterns paramètre. (Valeur des meilleures pratiques de sécuritéAWS fondamentales : kms: Déchiffrer, kms:ReEncryptFrom). Les valeurs réelles doivent refléter les politiques de votre organisation
3.3 Configurer les listes de contrôle d'accès aux données

iam-inline-policy-blocked-kms-actions

Assurez-vous qu'un utilisateur, un IAM rôle ou un IAM groupe AWS Identity and Access Management (IAM) ne dispose pas d'une politique intégrée autorisant le blocage d'actions sur toutes les AWS clés du Key Management Service. AWS recommande d'utiliser des politiques gérées plutôt que des politiques intégrées. Les politiques gérées permettent la réutilisation, la gestion des versions, la restauration, ainsi que la délégation de la gestion des autorisations. Cette règle vous permet de définir le blockedActionsPatterns paramètre. (Valeur des meilleures pratiques de sécuritéAWS fondamentales : kms: Déchiffrer, kms:ReEncryptFrom). Les valeurs réelles doivent refléter les politiques de votre organisation.
3.3 Configurer les listes de contrôle d'accès aux données

lambda-function-public-access-interdit

Gérez l'accès aux ressources dans le AWS cloud en vous assurant que les fonctions AWS Lambda ne sont pas accessibles au public. Un accès public peut potentiellement entraîner une dégradation de la disponibilité des ressources.
3.3 Configurer les listes de contrôle d'accès aux données

lambda-inside-vpc

Déployez des fonctions AWS Lambda au sein d'un Amazon Virtual Private Cloud VPC (Amazon) pour une communication sécurisée entre une fonction et d'autres services au sein d'Amazon. VPC Avec cette configuration, il n'est pas nécessaire de disposer d'une passerelle Internet, d'un NAT appareil ou d'une VPN connexion. Tout le trafic reste sécurisé dans le AWS cloud. En raison de leur isolation logique, les domaines situés au sein d'un Amazon VPC disposent d'une couche de sécurité supplémentaire par rapport aux domaines utilisant des points de terminaison publics. Pour gérer correctement l'accès, les fonctions AWS Lambda doivent être attribuées à un. VPC
3.3 Configurer les listes de contrôle d'accès aux données

rds-snapshots-public-prohibited

Gérez l'accès aux ressources dans le AWS cloud en vous assurant que les instances Amazon Relational Database Service (RDSAmazon) ne sont pas publiques. Les instances RDS de base de données Amazon peuvent contenir des informations et des principes sensibles et un contrôle d'accès est requis pour ces comptes.
3.3 Configurer les listes de contrôle d'accès aux données

rds-instance-public-access-vérifier

Gérez l'accès aux ressources dans le AWS cloud en vous assurant que les instances Amazon Relational Database Service (RDSAmazon) ne sont pas publiques. Les instances RDS de base de données Amazon peuvent contenir des informations sensibles, et des principes et un contrôle d'accès sont requis pour ces comptes.
3.3 Configurer les listes de contrôle d'accès aux données

redshift-cluster-public-access-vérifier

Gérez l'accès aux ressources dans le AWS cloud en vous assurant que les clusters Amazon Redshift ne sont pas publics. Les clusters Amazon Redshift peuvent contenir des informations sensibles, c'est pourquoi des principes et un contrôle des accès sont requis pour ces comptes.
3.3 Configurer les listes de contrôle d'accès aux données

s3- bucket-level-public-access -interdit

Gérez l'accès aux ressources dans le AWS cloud en veillant à ce que les compartiments Amazon Simple Storage Service (Amazon S3) ne soient pas accessibles au public. Cette règle permet de protéger les données sensibles contre les utilisateurs distants non autorisés en empêchant l'accès public au niveau du compartiment.
3.3 Configurer les listes de contrôle d'accès aux données

s3- account-level-public-access -blocs-périodique

Gérez l'accès aux ressources dans le AWS cloud en veillant à ce que les compartiments Amazon Simple Storage Service (Amazon S3) ne soient pas accessibles au public. Cette règle permet de protéger les données sensibles contre les utilisateurs distants non autorisés en empêchant l'accès public. Cette règle vous permet de définir éventuellement les paramètres ignorePublicAcls (Config Default : True), blockPublicPolicy (Config Default : True), blockPublicAcls (Config Default : True) et restrictPublicBuckets les paramètres (Config Default : True). Les valeurs réelles doivent refléter les politiques de votre organisation.
3.3 Configurer les listes de contrôle d'accès aux données

s3- bucket-public-read-prohibited

Gérez l'accès aux ressources dans le AWS cloud en autorisant uniquement les utilisateurs, les processus et les appareils autorisés à accéder aux compartiments Amazon Simple Storage Service (Amazon S3). La gestion des accès doit être cohérente avec la classification des données.
3.3 Configurer les listes de contrôle d'accès aux données

s3- bucket-public-write-prohibited

Gérez l'accès aux ressources dans le AWS cloud en autorisant uniquement les utilisateurs, les processus et les appareils autorisés à accéder aux compartiments Amazon Simple Storage Service (Amazon S3). La gestion des accès doit être cohérente avec la classification des données.
3.3 Configurer les listes de contrôle d'accès aux données

sagemaker-notebook-no-direct-accès à Internet

Gérez l'accès aux ressources dans le AWS cloud en vous assurant que les SageMaker blocs-notes Amazon ne permettent pas un accès direct à Internet. En empêchant l'accès direct à Internet, vous pouvez empêcher les utilisateurs non autorisés d'accéder à des données sensibles.
3.3 Configurer les listes de contrôle d'accès aux données

subnet-auto-assign-public-IP désactivé

Gérez l'accès au AWS cloud en vous assurant que les sous-réseaux Amazon Virtual Private Cloud (VPC) ne se voient pas automatiquement attribuer une adresse IP publique. Les instances Amazon Elastic Compute Cloud (EC2) lancées dans des sous-réseaux sur lesquels cet attribut est activé ont une adresse IP publique attribuée à leur interface réseau principale.
3.3 Configurer les listes de contrôle d'accès aux données

ssm-document-not-public

Assurez-vous que AWS les documents de Systems Manager (SSM) ne sont pas publics, car cela peut permettre un accès involontaire à vos SSM documents. Un SSM document public peut exposer des informations sur votre compte, vos ressources et vos processus internes.
3.3 Configurer les listes de contrôle d'accès aux données

ecs-task-definition-user-for-host-mode-check

Si une définition de tâche dispose de privilèges élevés, c'est parce que le client a spécifiquement opté pour ces configurations. Ce contrôle vérifie qu'il n'y a pas d'élévation des privilèges inattendue lorsqu'une définition de tâche a activé la mise en réseau de l'hôte, mais que le client n'a pas opté pour l'élévation des privilèges.
3.3 Configurer les listes de contrôle d'accès aux données

ecs-task-definition-nonroot-utilisateur

Pour faciliter la mise en œuvre du principe du moindre privilège, assurez-vous qu'un utilisateur non root est désigné pour accéder à vos définitions de tâches Amazon Elastic Container Service (AmazonECS).
3.3 Configurer les listes de contrôle d'accès aux données

autoscaling-launch-config-public-IP désactivé

Si vous configurez vos interfaces réseau avec une adresse IP publique, les ressources associées à ces interfaces réseau sont accessibles depuis Internet. EC2les ressources ne doivent pas être accessibles au public, car cela peut permettre un accès involontaire à vos applications ou à vos serveurs.
3.3 Configurer les listes de contrôle d'accès aux données

opensearch-in-vpc-only

Gérez l'accès au AWS cloud en vous assurant que les domaines Amazon OpenSearch Service se trouvent dans un Amazon Virtual Private Cloud (AmazonVPC). Un domaine Amazon OpenSearch Service au sein d'un Amazon VPC permet une communication sécurisée entre Amazon OpenSearch Service et d'autres services au sein d'Amazon VPC sans avoir besoin d'une passerelle Internet, d'un NAT appareil ou d'une VPN connexion.
3.3 Configurer les listes de contrôle d'accès aux données

efs-access-point-enforce-répertoire racine

L'application d'un répertoire racine pour un point d'accès Amazon Elastic File System (AmazonEFS) permet de restreindre l'accès aux données en garantissant que les utilisateurs du point d'accès ne peuvent accéder qu'aux fichiers du sous-répertoire spécifié.
3.4 Appliquer la conservation des données

s3- version-lifecycle-policy-check

Assurez-vous que les politiques de cycle de vie d'Amazon S3 sont configurées pour vous aider à définir les actions qu'Amazon S3 doit effectuer au cours de la durée de vie d'un objet (par exemple, transférer les objets vers une autre classe de stockage, les archiver ou les supprimer au bout d'une certaine période).
3.4 Appliquer la conservation des données

cw-loggroup-retention-period-vérifier

Assurez-vous que la durée minimale de conservation des données des journaux d'événements pour vos groupes de journaux est suffisante pour faciliter le dépannage et les enquêtes judiciaires. Le manque de données disponibles dans les journaux d'événements passés complique la reconstitution et l'identification des événements potentiellement malveillants.
3,10 Chiffrer les données sensibles en transit

api-gw-ssl-enabled

Assurez-vous que REST API les étapes Amazon API Gateway sont configurées avec SSL des certificats afin de permettre aux systèmes principaux d'authentifier que les demandes proviennent de API Gateway.
3,10 Chiffrer les données sensibles en transit

alb-http-to-https-vérification de redirection

Pour protéger les données en transit, assurez-vous que votre Application Load Balancer redirige automatiquement les demandes non HTTP chiffrées vers. HTTPS Comme il peut y avoir des données sensibles, activez le chiffrement en transit pour protéger ces données.
3,10 Chiffrer les données sensibles en transit

elb-acm-certificate-required

Comme il peut y avoir des données sensibles et pour protéger les données en transit, assurez-vous que le chiffrement est activé pour votre Elastic Load Balancing. Utilisez AWS Certificate Manager pour gérer, approvisionner et déployer des TLS certificats publics et SSL privés avec des AWS services et des ressources internes.
3,10 Chiffrer les données sensibles en transit

elb-tls-https-listeners-uniquement

Assurez-vous que vos Elastic Load Balancers (ELBs) sont configurés avec des écouteurs SSL ou des HTTPS écouteurs. Comme il peut y avoir des données sensibles, activez le chiffrement en transit pour protéger ces données.
3,10 Chiffrer les données sensibles en transit

s3- bucket-ssl-requests-only

Pour protéger les données en transit, assurez-vous que vos compartiments Amazon Simple Storage Service (Amazon S3) nécessitent des demandes d'utilisation du protocole Secure Socket Layer (). SSL Comme il peut y avoir des données sensibles, activez le chiffrement en transit pour protéger ces données.
3,10 Chiffrer les données sensibles en transit

redshift-require-tls-ssl

Assurez-vous que vos clusters Amazon Redshift nécessitent un SSL chiffrement TLS pour se connecter aux SQL clients. Comme il peut y avoir des données sensibles, activez le chiffrement en transit pour protéger ces données.
3,10 Chiffrer les données sensibles en transit

elbv2- acm-certificate-required

Comme il peut y avoir des données sensibles et pour protéger les données en transit, assurez-vous que le chiffrement est activé pour votre Elastic Load Balancing. Utilisez AWS Certificate Manager pour gérer, approvisionner et déployer des TLS certificats publics et SSL privés avec des AWS services et des ressources internes.
3,10 Chiffrer les données sensibles en transit

opensearch-https-required

Étant donné que des données sensibles peuvent exister et pour protéger les données en transit, assurez-vous HTTPS que les connexions à vos domaines Amazon OpenSearch Service sont activées.
3,10 Chiffrer les données sensibles en transit

elasticsearch-node-to-node-vérification du chiffrement

Assurez-vous que node-to-node le chiffrement pour Amazon OpenSearch Service est activé. Node-to-nodele chiffrement permet le chiffrement TLS 1.2 pour toutes les communications au sein d'Amazon Virtual Private Cloud (AmazonVPC). Comme il peut y avoir des données sensibles, activez le chiffrement en transit pour protéger ces données.
3,10 Chiffrer les données sensibles en transit

opensearch-node-to-node-vérification du chiffrement

Assurez-vous que node-to-node le chiffrement pour Amazon OpenSearch Service est activé. Node-to-nodele chiffrement permet le chiffrement TLS 1.2 pour toutes les communications au sein d'Amazon Virtual Private Cloud (AmazonVPC). Comme il peut y avoir des données sensibles, activez le chiffrement en transit pour protéger ces données.
3,11 Chiffrer les données sensibles au repos

cloud-trail-encryption-enabled

Comme il peut y avoir des données sensibles et pour protéger les données au repos, assurez-vous que le chiffrement est activé pour vos journaux de suivi AWS CloudTrail.
3,11 Chiffrer les données sensibles au repos

encrypted-volumes

Étant donné que des données sensibles peuvent exister et pour protéger les données au repos, assurez-vous que le chiffrement est activé pour vos volumes Amazon Elastic Block Store (AmazonEBS).
3,11 Chiffrer les données sensibles au repos

ec2- ebs-encryption-by-default

Pour protéger les données au repos, assurez-vous que le chiffrement est activé pour vos volumes Amazon Elastic Block Store (AmazonEBS). Comme il peut y avoir des données sensibles au repos dans ces volumes, activez le chiffrement au repos pour protéger ces données.
3,11 Chiffrer les données sensibles au repos

efs-encrypted-check

Étant donné que des données sensibles peuvent exister et pour protéger les données au repos, assurez-vous que le chiffrement est activé pour votre Amazon Elastic File System (EFS).
3,11 Chiffrer les données sensibles au repos

backup-recovery-point-encrypted

Assurez-vous que le chiffrement est activé pour vos points AWS de restauration Backup. Comme il peut y avoir des données sensibles au repos, activez le chiffrement au repos pour protéger ces données.
3,11 Chiffrer les données sensibles au repos

elasticsearch-encrypted-at-rest

Étant donné que des données sensibles peuvent exister et pour protéger les données au repos, assurez-vous que le chiffrement est activé pour vos domaines Amazon OpenSearch OpenSearch Service (Service).
3,11 Chiffrer les données sensibles au repos

redshift-cluster-kms-enabled

Pour protéger les données au repos, assurez-vous que le chiffrement avec AWS Key Management Service (AWS KMS) est activé pour votre cluster Amazon Redshift. Comme il peut y avoir des données sensibles au repos dans les clusters Redshift, activez le chiffrement au repos pour protéger ces données.
3,11 Chiffrer les données sensibles au repos

rds-storage-encrypted

Pour protéger les données au repos, assurez-vous que le chiffrement est activé pour vos instances Amazon Relational Database Service (RDSAmazon). Étant donné que des données sensibles peuvent exister au repos dans RDS les instances Amazon, activez le chiffrement au repos pour protéger ces données.
3,11 Chiffrer les données sensibles au repos

rds-snapshot-encrypted

Assurez-vous que le chiffrement est activé pour vos instantanés Amazon Relational Database Service (RDSAmazon). Comme il peut y avoir des données sensibles au repos, activez le chiffrement au repos pour protéger ces données.
3,11 Chiffrer les données sensibles au repos

s3- default-encryption-kms

Assurez-vous que le chiffrement est activé pour vos compartiments Amazon Simple Storage Service (Amazon S3). Comme il peut y avoir des données sensibles au repos dans un compartiment Amazon S3, activez le chiffrement au repos pour protéger ces données.
3,11 Chiffrer les données sensibles au repos

redshift-cluster-configuration-check

Pour protéger les données au repos, assurez-vous que le chiffrement est activé pour vos clusters Amazon Redshift. Vous devez également vous assurer que les configurations requises sont déployées sur les clusters Amazon Redshift. La journalisation des audits doit être activée pour fournir des informations sur les connexions et les activités de l'utilisateur dans la base de données. Cette règle nécessite qu'une valeur soit définie pour clusterDbEncrypted (Config Default :TRUE) et loggingEnabled (Config Default :TRUE). Les valeurs réelles doivent refléter les politiques de votre organisation.
3,11 Chiffrer les données sensibles au repos

sagemaker-endpoint-configuration-kms-configuré par clé

Pour protéger les données au repos, assurez-vous que le chiffrement avec AWS Key Management Service (AWS KMS) est activé pour votre SageMaker terminal. Étant donné que les données sensibles peuvent exister au repos sur le SageMaker terminal, activez le chiffrement au repos pour protéger ces données.
3,11 Chiffrer les données sensibles au repos

sagemaker-notebook-instance-kms-configuré par clé

Pour protéger les données au repos, assurez-vous que le chiffrement avec le service de gestion des AWS clés (AWS KMS) est activé pour votre SageMaker ordinateur portable. Étant donné que des données sensibles peuvent exister au repos dans le SageMaker bloc-notes, activez le chiffrement au repos pour protéger ces données.
3,11 Chiffrer les données sensibles au repos

secretsmanager-using-cmk

Pour protéger les données au repos, assurez-vous que le chiffrement avec AWS Key Management Service (AWS KMS) est activé pour les AWS secrets de Secrets Manager. Comme il peut y avoir des données sensibles au repos dans les secrets Secrets Manager, activez le chiffrement au repos pour protéger ces données.
3,11 Chiffrer les données sensibles au repos

compatible avec bucket-server-side-encryption s3

Pour protéger les données au repos, assurez-vous que le chiffrement est activé pour vos compartiments Amazon Simple Storage Service (Amazon S3). Comme il peut y avoir des données sensibles au repos dans les compartiments Amazon S3, activez le chiffrement pour protéger ces données.
3,11 Chiffrer les données sensibles au repos

sns-encrypted-kms

Pour protéger les données au repos, assurez-vous que vos rubriques Amazon Simple Notification Service (AmazonSNS) nécessitent un chiffrement à l'aide du AWS Key Management Service (AWS KMS). Comme il peut y avoir des données sensibles au repos dans les messages publiés, activez le chiffrement au repos pour protéger ces données.
3,11 Chiffrer les données sensibles au repos

dynamodb-table-encrypted-kms

Assurez-vous que le chiffrement est activé pour vos tables Amazon DynamoDB. Comme il peut y avoir des données sensibles au repos dans ces tables, activez le chiffrement au repos pour protéger ces données. Par défaut, les tables DynamoDB sont chiffrées à l'aide AWS d'une clé principale propre au client (). CMK
3,11 Chiffrer les données sensibles au repos

opensearch-encrypted-at-rest

Étant donné que des données sensibles peuvent exister et pour protéger les données au repos, assurez-vous que le chiffrement est activé pour vos domaines Amazon OpenSearch Service.
4.1 Établir et maintenir un processus de configuration sécurisé

account-part-of-organizations

La gestion centralisée Comptes AWS au sein des AWS Organisations permet de garantir la conformité des comptes. L'absence de gouvernance centralisée des comptes peut entraîner des configurations de comptes incohérentes, ce qui peut exposer des ressources et des données sensibles.
4.1 Établir et maintenir un processus de configuration sécurisé

ec2-stopped-instance

Activez cette règle pour faciliter la configuration de base des instances Amazon Elastic Compute Cloud (AmazonEC2) en vérifiant si les EC2 instances Amazon ont été arrêtées pendant plus de jours que le nombre de jours autorisé, conformément aux normes de votre organisation.
4.1 Établir et maintenir un processus de configuration sécurisé

ec2- volume-inuse-check

Cette règle garantit que les volumes Amazon Elastic Block Store attachés aux instances Amazon Elastic Compute Cloud (AmazonEC2) sont marqués pour suppression lorsqu'une instance est résiliée. Si un EBS volume Amazon n'est pas supprimé lorsque l'instance à laquelle il est attaché est résiliée, cela peut enfreindre le concept de moindre fonctionnalité.
4.1 Établir et maintenir un processus de configuration sécurisé

redshift-cluster-maintenancesettings-check

Cette règle garantit que les clusters Amazon Redshift disposent des paramètres préférés de votre organisation. Plus précisément, qu'ils disposent de fenêtres de maintenance préférées et de périodes de conservation des instantanés automatisées pour la base de données. Cette règle vous oblige à définir le allowVersionUpgrade. Par défaut, la valeur est true. Il vous permet également de définir éventuellement le preferredMaintenanceWindow (la valeur par défaut est samedi : 16h00 - samedi : 16h30) et la automatedSnapshotRetention période (la valeur par défaut est 1). Les valeurs réelles doivent refléter les politiques de votre organisation.
4.1 Établir et maintenir un processus de configuration sécurisé

ec2- -manager instance-managed-by-systems

Un inventaire des plateformes logicielles et des applications au sein de l'organisation est possible en gérant les instances Amazon Elastic Compute Cloud (AmazonEC2) avec AWS Systems Manager. Utilisez AWS Systems Manager pour fournir des configurations système détaillées, les niveaux de correctif du système d'exploitation, le nom et le type de service, les installations logicielles, le nom, l'éditeur et la version de l'application, ainsi que d'autres informations sur votre environnement.
4.1 Établir et maintenir un processus de configuration sécurisé

ec2- -check managedinstance-association-compliance-status

Utilisez AWS les associations de Systems Manager pour vous aider à inventorier les plateformes logicielles et les applications au sein d'une organisation. AWS Systems Manager attribue un état de configuration à vos instances gérées et vous permet de définir des références pour les niveaux de correctifs du système d'exploitation, les installations logicielles, les configurations d'application et d'autres informations relatives à votre environnement.
4.1 Établir et maintenir un processus de configuration sécurisé

efs-access-point-enforce-répertoire racine

L'application d'un répertoire racine pour un point d'accès Amazon Elastic File System (AmazonEFS) permet de restreindre l'accès aux données en garantissant que les utilisateurs du point d'accès ne peuvent accéder qu'aux fichiers du sous-répertoire spécifié.
4.1 Établir et maintenir un processus de configuration sécurisé

secretsmanager-rotation-enabled-check

Cette règle garantit que la rotation AWS des secrets de Secrets Manager est activée. La rotation régulière des secrets peut raccourcir la période pendant laquelle un secret est actif et potentiellement réduire l'impact commercial s'il est compromis.
4.1 Établir et maintenir un processus de configuration sécurisé

access-keys-rotated

Les informations d'identification sont auditées pour les appareils, les utilisateurs et les processus autorisés en veillant IAM à ce que les clés d'accès soient alternées conformément à la politique de l'organisation. La modification régulière des clés d'accès est une bonne pratique de sécurité. Cela permet de raccourcir la période pendant laquelle une clé d'accès est active et de réduire l'impact commercial en cas de compromission des clés. Cette règle nécessite une valeur de rotation des clés d'accès (configuration par défaut : 90). La valeur réelle doit refléter les politiques de votre organisation.
4.6 Gérer de manière sécurisée les actifs et logiciels de l'entreprise

alb-http-to-https-vérification de redirection

Pour protéger les données en transit, assurez-vous que votre Application Load Balancer redirige automatiquement les demandes non HTTP chiffrées vers. HTTPS Comme il peut y avoir des données sensibles, activez le chiffrement en transit pour protéger ces données.
4.6 Gérer de manière sécurisée les actifs et logiciels de l'entreprise

elb-tls-https-listeners-uniquement

Assurez-vous que vos Elastic Load Balancers (ELBs) sont configurés avec des écouteurs SSL ou des HTTPS écouteurs. Comme il peut y avoir des données sensibles, activez le chiffrement en transit pour protéger ces données.
4.6 Gérer de manière sécurisée les actifs et logiciels de l'entreprise

api-gw-ssl-enabled

Assurez-vous que REST API les étapes Amazon API Gateway sont configurées avec SSL des certificats afin de permettre aux systèmes principaux d'authentifier que les demandes proviennent de API Gateway.
4.6 Gérer de manière sécurisée les actifs et logiciels de l'entreprise

redshift-require-tls-ssl

Assurez-vous que vos clusters Amazon Redshift nécessitent un SSL chiffrement TLS pour se connecter aux SQL clients. Comme il peut y avoir des données sensibles, activez le chiffrement en transit pour protéger ces données.
4.6 Gérer de manière sécurisée les actifs et logiciels de l'entreprise

s3- bucket-ssl-requests-only

Pour protéger les données en transit, assurez-vous que vos compartiments Amazon Simple Storage Service (Amazon S3) nécessitent des demandes d'utilisation du protocole Secure Socket Layer (). SSL Comme il peut y avoir des données sensibles, activez le chiffrement en transit pour protéger ces données.
4.6 Gérer de manière sécurisée les actifs et logiciels de l'entreprise

opensearch-https-required

Étant donné que des données sensibles peuvent exister et pour protéger les données en transit, assurez-vous HTTPS que les connexions à vos domaines Amazon OpenSearch Service sont activées.
4,7 Gérer les comptes par défaut sur les actifs et logiciels de l'entreprise

iam-root-access-key-vérifier

L'accès aux systèmes et aux actifs peut être contrôlé en vérifiant que l'utilisateur root ne dispose pas de clés d'accès associées à son rôle AWS Identity and Access Management (IAM). Assurez-vous que les clés d'accès root ont été supprimées. Créez et utilisez plutôt la fonction basée sur Comptes AWS les rôles pour intégrer le principe de moindre fonctionnalité.
5.1 Établir et maintenir un inventaire des comptes

account-part-of-organizations

La gestion centralisée Comptes AWS au sein des AWS Organisations permet de garantir la conformité des comptes. L'absence de gouvernance centralisée des comptes peut entraîner des configurations de comptes incohérentes, ce qui peut exposer des ressources et des données sensibles.
5.2 Utiliser des mots de passe uniques

iam-password-policy

Les identités et les informations d'identification sont émises, gérées et vérifiées sur la base d'une politique de IAM mot de passe organisationnelle. Ils respectent ou dépassent les exigences énoncées dans le NIST SP 800-63 et dans la norme AWS Foundational Security Best Practices en matière de robustesse des mots de passe. Cette règle vous permet de définir éventuellement RequireUppercaseCharacters (valeur des meilleures pratiques de sécurité de AWS base : vrai), RequireLowercaseCharacters (valeur des meilleures pratiques de sécurité de AWS base : vrai), RequireSymbols (valeur des meilleures pratiques de sécurité de AWS base : vrai), RequireNumbers (valeur des meilleures pratiques de sécurité de AWS base : vrai), MinimumPasswordLength (valeur des meilleures pratiques de sécurité de AWS base : 14), PasswordReusePrevention (valeur des meilleures pratiques de sécurité de AWS base : 24) et MaxPasswordAge (valeur des meilleures pratiques de sécurité de AWS base : 90) pour votre IAMPolitique de mot de passe. Les valeurs réelles doivent refléter les politiques de votre organisation.
5.2 Utiliser des mots de passe uniques

iam-user-mfa-enabled

Activez cette règle pour limiter l'accès aux ressources dans le Cloud  AWS . Cette règle garantit que l'authentification multifactorielle (MFA) est activée pour tous les utilisateurs. MFAajoute une couche de protection supplémentaire en plus du nom d'utilisateur et du mot de passe. Réduisez les incidents liés à des comptes compromis en exigeant MFA des utilisateurs.
5.2 Utiliser des mots de passe uniques

mfa-enabled-for-iam-accès à la console

Gérez l'accès aux ressources dans le AWS cloud en vous assurant qu'il MFA est activé pour tous les utilisateurs AWS d'Identity and Access Management (IAM) dotés d'un mot de passe de console. MFAajoute une couche de protection supplémentaire en plus des informations de connexion. En exigeant MFA des utilisateurs, vous pouvez réduire les incidents liés à des comptes compromis et empêcher les utilisateurs non autorisés d'accéder aux données sensibles.
5.2 Utiliser des mots de passe uniques

root-account-mfa-enabled

Gérez l'accès aux ressources dans le AWS cloud en vous assurant MFA qu'il est activé pour l'utilisateur root. L'utilisateur root est l'utilisateur disposant du plus haut niveau de privilèges dans un Compte AWS. MFAAjoute une couche de protection supplémentaire pour le nom d'utilisateur et le mot de passe. En exigeant l'MFAutilisateur root, vous pouvez réduire le nombre d'incidents de compromission Comptes AWS.
5.3 Désactiver les comptes inactifs

iam-user-unused-credentials-vérifier

AWS Identity and Access Management (IAM) peut vous aider à obtenir des autorisations et des autorisations d'accès en vérifiant les IAM mots de passe et les clés d'accès qui ne sont pas utilisés pendant une période donnée. Si de telles informations d'identification non utilisées sont identifiées, vous devez les désactiver et/ou les supprimer afin de ne pas risquer d'enfreindre le principe du moindre privilège. Cette règle vous oblige à définir une valeur sur maxCredentialUsage Age (Config Default : 90). La valeur réelle doit refléter les politiques de votre organisation.
5.4 Limiter les privilèges d'administrateur aux comptes d'administrateur dédiés

iam-root-access-key-vérifier

L'accès aux systèmes et aux actifs peut être contrôlé en vérifiant que l'utilisateur root ne dispose pas de clés d'accès associées à son rôle AWS Identity and Access Management (IAM). Assurez-vous que les clés d'accès root ont été supprimées. Créez et utilisez plutôt la fonction basée sur Comptes AWS les rôles pour intégrer le principe de moindre fonctionnalité.
5.4 Limiter les privilèges d'administrateur aux comptes d'administrateur dédiés

iam-policy-no-statements-with-admin-access

AWS Identity and Access Management (IAM) peut vous aider à intégrer les principes du moindre privilège et de la séparation des tâches dans les autorisations et autorisations d'accès, en empêchant les politiques de contenir « Effect » : « Allow » avec « Action » : « * » plutôt que « Resource » : « * ». Permettre aux utilisateurs d'avoir plus de privilèges que nécessaire pour effectuer une tâche peut enfreindre le principe du moindre privilège et de la séparation des tâches.
5.6 Centraliser la gestion des comptes

account-part-of-organizations

La gestion centralisée Comptes AWS au sein des AWS Organisations permet de garantir la conformité des comptes. L'absence de gouvernance centralisée des comptes peut entraîner des configurations de comptes incohérentes, ce qui peut exposer des ressources et des données sensibles.
6.4 MFANécessite un accès réseau à distance

iam-user-mfa-enabled

Activez cette règle pour limiter l'accès aux ressources dans le Cloud  AWS . Cette règle garantit que l'authentification multifactorielle (MFA) est activée pour tous les utilisateurs. MFAajoute une couche de protection supplémentaire en plus du nom d'utilisateur et du mot de passe. Réduisez les incidents liés à des comptes compromis en exigeant MFA des utilisateurs.
6.4 MFANécessite un accès réseau à distance

mfa-enabled-for-iam-accès à la console

Gérez l'accès aux ressources dans le AWS cloud en vous assurant qu'il MFA est activé pour tous les utilisateurs AWS d'Identity and Access Management (IAM) dotés d'un mot de passe de console. MFAajoute une couche de protection supplémentaire en plus des informations de connexion. En exigeant MFA des utilisateurs, vous pouvez réduire les incidents liés à des comptes compromis et empêcher les utilisateurs non autorisés d'accéder aux données sensibles.
6.4 MFANécessite un accès réseau à distance

root-account-mfa-enabled

Gérez l'accès aux ressources dans le AWS cloud en vous assurant MFA qu'il est activé pour l'utilisateur root. L'utilisateur root est l'utilisateur disposant du plus haut niveau de privilèges dans un Compte AWS. MFAAjoute une couche de protection supplémentaire pour le nom d'utilisateur et le mot de passe. En exigeant l'MFAutilisateur root, vous pouvez réduire le nombre d'incidents de compromission Comptes AWS.
6,5 Exiger MFA un accès administratif

root-account-hardware-mfa-activé

Gérez l'accès aux ressources dans le AWS cloud en vous assurant que le matériel MFA est activé pour l'utilisateur root. L'utilisateur root est l'utilisateur disposant du plus haut niveau de privilèges dans un Compte AWS. Cela MFA ajoute une couche de protection supplémentaire pour les informations de connexion. En exigeant l'MFAutilisateur root, vous pouvez réduire le nombre d'incidents de compromission Comptes AWS.
6.7 Centraliser le contrôle d'accès

account-part-of-organizations

La gestion centralisée Comptes AWS au sein des AWS Organisations permet de garantir la conformité des comptes. L'absence de gouvernance centralisée des comptes peut entraîner des configurations de comptes incohérentes, ce qui peut exposer des ressources et des données sensibles.
7.1 Établir et maintenir un processus de gestion des vulnérabilités

guardduty-enabled-centralized

Amazon GuardDuty peut vous aider à surveiller et à détecter les événements potentiels liés à la cybersécurité en utilisant des flux de renseignements sur les menaces. Il s'agit notamment de listes de programmes malveillants IPs et d'apprentissage automatique pour identifier les activités inattendues, non autorisées et malveillantes au sein de votre environnement AWS cloud.
7.1 Établir et maintenir un processus de gestion des vulnérabilités

securityhub-enabled

AWS Security Hub permet de surveiller le personnel, les connexions, les appareils et les logiciels non autorisés. AWS Security Hub regroupe, organise et hiérarchise les alertes de sécurité, ou les résultats, provenant de plusieurs services. AWS Parmi ces services figurent Amazon Security Hub, Amazon Inspector, Amazon Macie, AWS Identity and Access Management (IAM) Access Analyzer et AWS Firewall Manager, ainsi AWS que des solutions partenaires.
7.1 Établir et maintenir un processus de gestion des vulnérabilités

ec2- -check managedinstance-patch-compliance-status

Activez cette règle pour faciliter l'identification et la documentation des vulnérabilités d'Amazon Elastic Compute Cloud (AmazonEC2). La règle vérifie si les correctifs d'EC2instance Amazon sont conformes dans AWS Systems Manager conformément aux politiques et procédures de votre entreprise.
7.3 Effectuer une gestion automatisée des correctifs du système d'exploitation

ec2- -check managedinstance-patch-compliance-status

Activez cette règle pour faciliter l'identification et la documentation des vulnérabilités d'Amazon Elastic Compute Cloud (AmazonEC2). La règle vérifie si les correctifs d'EC2instance Amazon sont conformes dans AWS Systems Manager conformément aux politiques et procédures de votre entreprise.
7.3 Effectuer une gestion automatisée des correctifs du système d'exploitation

elastic-beanstalk-managed-updates-activé

L'activation des mises à jour de plateforme gérées pour un environnement Amazon Elastic Beanstalk garantit l'installation des derniers correctifs, mises à jour et fonctionnalités de la plateforme disponibles pour l'environnement. La sécurisation des systèmes passe par la mise à jour de l'installation des correctifs.
7.3 Effectuer une gestion automatisée des correctifs du système d'exploitation

redshift-cluster-maintenancesettings-check

Cette règle garantit que les clusters Amazon Redshift disposent des paramètres préférés de votre organisation. Plus précisément, qu'ils disposent de fenêtres de maintenance préférées et de périodes de conservation des instantanés automatisées pour la base de données. Cette règle vous oblige à définir le allowVersionUpgrade. Par défaut, la valeur est true. Il vous permet également de définir éventuellement le preferredMaintenanceWindow (la valeur par défaut est samedi : 16h00 - samedi : 16h30) et la automatedSnapshotRetention période (la valeur par défaut est 1). Les valeurs réelles doivent refléter les politiques de votre organisation.
7.4 Effectuer une gestion automatisée des correctifs d'applications

ec2- -check managedinstance-patch-compliance-status

Activez cette règle pour faciliter l'identification et la documentation des vulnérabilités d'Amazon Elastic Compute Cloud (AmazonEC2). La règle vérifie si les correctifs d'EC2instance Amazon sont conformes dans AWS Systems Manager conformément aux politiques et procédures de votre entreprise.
7.4 Effectuer une gestion automatisée des correctifs d'applications

elastic-beanstalk-managed-updates-activé

L'activation des mises à jour de plateforme gérées pour un environnement Amazon Elastic Beanstalk garantit l'installation des derniers correctifs, mises à jour et fonctionnalités de la plateforme disponibles pour l'environnement. La sécurisation des systèmes passe par la mise à jour de l'installation des correctifs.
7.4 Effectuer une gestion automatisée des correctifs d'applications

redshift-cluster-maintenancesettings-check

Cette règle garantit que les clusters Amazon Redshift disposent des paramètres préférés de votre organisation. Plus précisément, qu'ils disposent de fenêtres de maintenance préférées et de périodes de conservation des instantanés automatisées pour la base de données. Cette règle vous oblige à définir le allowVersionUpgrade. Par défaut, la valeur est true. Il vous permet également de définir éventuellement le preferredMaintenanceWindow (la valeur par défaut est samedi : 16h00 - samedi : 16h30) et la automatedSnapshotRetention période (la valeur par défaut est 1). Les valeurs réelles doivent refléter les politiques de votre organisation.
7,5 Soumettre les actifs internes de l'entreprise à des analyses de vulnérabilité automatisées

ecr-private-image-scanning-activé

La numérisation d'images Amazon Elastic Container Repository (ECR) permet d'identifier les vulnérabilités logicielles dans les images de vos conteneurs. L'activation de la numérisation d'images dans ECR les référentiels ajoute une couche de vérification de l'intégrité et de la sécurité des images stockées.
8.1 Établir et maintenir un processus de gestion des journaux d'audit audit-log-policy-exists (Vérification du processus) Établissez et maintenez une politique de gestion des journaux d'audit qui définit les exigences de votre organisation en matière de journalisation. Cela inclut, sans s'y limiter, l'examen et la conservation des journaux d'audit.
8.2 Collecter les journaux d'audit

api-gw-execution-logging-activé

APILa journalisation de la passerelle affiche des vues détaillées API des utilisateurs qui ont accédé auAPI. Ces informations offrent une visibilité sur les activités des utilisateurs.
8.2 Collecter les journaux d'audit

multi-region-cloudtrail-enabled

AWS CloudTrail enregistre les actions et les API appels de la console de AWS gestion. Vous pouvez identifier les utilisateurs et les comptes appelés AWS, l'adresse IP source à partir de laquelle les appels ont été effectués et la date des appels. CloudTrail fournira les fichiers journaux de toutes les AWS régions à votre compartiment S3 si MULTI REGION _ CLOUD _ TRAIL _ ENABLED est activé. De plus, lors du AWS lancement d'une nouvelle région, le même parcours CloudTrail sera créé dans la nouvelle région. Par conséquent, vous recevrez des fichiers journaux contenant API l'activité de la nouvelle région sans aucune action.
8.2 Collecter les journaux d'audit

cloudtrail-s3-dataevents-enabled

La collecte d'événements de données Simple Storage Service (Amazon S3) aide à détecter toute activité anormale. Les détails incluent les informations du compte AWS qui a accédé à un compartiment Amazon S3, l'adresse IP et l'heure de l'événement.
8.2 Collecter les journaux d'audit

cloudtrail-enabled

AWS CloudTrail peut contribuer à la non-répudiation en enregistrant les actions et les appels AWS de la console de gestion. API Vous pouvez identifier les utilisateurs et la Comptes AWS personne qui a appelé un AWS service, l'adresse IP source à laquelle les appels ont été générés et les horaires des appels. Les détails des données capturées sont affichés dans le contenu de l' AWS CloudTrail enregistrement.
8.2 Collecter les journaux d'audit

cloud-trail-cloud-watch-activé pour les journaux

Utilisez Amazon CloudWatch pour collecter et gérer de manière centralisée l'activité des événements du journal. L'inclusion de AWS CloudTrail données fournit des détails sur l'activité des API appels au sein de votre Compte AWS.
8.2 Collecter les journaux d'audit

elasticsearch-logs-to-cloudwatch

Assurez-vous que les journaux d'erreurs sont activés sur les domaines Amazon OpenSearch Service et qu'ils sont transmis à Amazon CloudWatch Logs à des fins de conservation et de réponse. Les journaux d'erreurs de domaine peuvent faciliter les audits de sécurité et d'accès, ainsi que le diagnostic des problèmes de disponibilité.
8.2 Collecter les journaux d'audit

vpc-flow-logs-enabled

Les journaux de VPC flux fournissent des enregistrements détaillés contenant des informations sur le trafic IP à destination et en provenance des interfaces réseau de votre Amazon Virtual Private Cloud (AmazonVPC). Par défaut, le journal de flux inclut des valeurs pour les différents composants du flux IP, y compris la source, la destination et le protocole.
8.2 Collecter les journaux d'audit

elb-logging-enabled

L'activité Elastic Load Balancing est un point de communication central au sein d'un environnement. Assurez-vous que la ELB journalisation est activée. Les données collectées fournissent des informations détaillées sur les demandes envoyées auELB. Chaque journal contient des informations comme l'heure à laquelle la demande a été reçue, l'adresse IP du client, les latences, les chemins de demande et les réponses du serveur.
8.2 Collecter les journaux d'audit

rds-logging-enabled

Pour faciliter la journalisation et la surveillance au sein de votre environnement, assurez-vous que la journalisation Amazon Relational Database Service (RDSAmazon) est activée. Avec Amazon RDS Logging, vous pouvez capturer des événements tels que des connexions, des déconnexions, des requêtes ou des tables interrogées.
8.2 Collecter les journaux d'audit

s3- bucket-logging-enabled

La journalisation des accès au serveur Amazon Simple Storage Service (Amazon S3) permet de surveiller le réseau pour détecter d'éventuels événements de cybersécurité. Les événements sont surveillés en capturant des enregistrements détaillés pour les demandes envoyées à un compartiment Amazon S3. Chaque enregistrement du journal des accès fournit des détails sur une unique demande d'accès. Les détails incluent le demandeur, le nom du compartiment, l'heure de la demande, l'action de la demande, l'état de la réponse et un code d'erreur, le cas échéant.
8.2 Collecter les journaux d'audit

redshift-cluster-configuration-check

Pour protéger les données au repos, assurez-vous que le chiffrement est activé pour vos clusters Amazon Redshift. Vous devez également vous assurer que les configurations requises sont déployées sur les clusters Amazon Redshift. La journalisation des audits doit être activée pour fournir des informations sur les connexions et les activités de l'utilisateur dans la base de données. Cette règle nécessite qu'une valeur soit définie pour clusterDbEncrypted (Config Default :TRUE) et loggingEnabled (Config Default :TRUE). Les valeurs réelles doivent refléter les politiques de votre organisation.
8.2 Collecter les journaux d'audit

wafv2-logging-enabled

Pour faciliter la journalisation et la surveillance au sein de votre environnement, activez la journalisation AWS WAF (V2) sur le Web régional et mondialACLs. AWS WAFla journalisation fournit des informations détaillées sur le trafic analysé par votre site WebACL. Les journaux enregistrent l'heure à laquelle la demande AWS WAF a été reçue de votre AWS ressource, les informations relatives à la demande et une action pour la règle à laquelle chaque demande correspond.
8.2 Collecter les journaux d'audit

codebuild-project-logging-enabled

Assurez-vous que la journalisation AWS CodeBuild du projet est activée afin que les journaux de sortie de votre build soient envoyés à Amazon CloudWatch ou à Amazon Simple Storage Service (Amazon S3). Les journaux de résultats de génération fournissent des informations détaillées sur votre projet de génération.
8.3 Garantir un stockage adéquat des journaux d'audit

s3- version-lifecycle-policy-check

Assurez-vous que les politiques de cycle de vie d'Amazon S3 sont configurées pour vous aider à définir les actions qu'Amazon S3 doit effectuer au cours de la durée de vie d'un objet (par exemple, transférer les objets vers une autre classe de stockage, les archiver ou les supprimer au bout d'une certaine période).
8,5 Collecter des journaux d'audit détaillés

api-gw-execution-logging-activé

APILa journalisation de la passerelle affiche des vues détaillées API des utilisateurs qui ont accédé auAPI. Ces informations offrent une visibilité sur les activités des utilisateurs.
8,5 Collecter des journaux d'audit détaillés

multi-region-cloudtrail-enabled

AWS CloudTrail enregistre les actions et les API appels de la console de AWS gestion. Vous pouvez identifier les utilisateurs et les comptes appelés AWS, l'adresse IP source à partir de laquelle les appels ont été effectués et la date des appels. CloudTrail fournira les fichiers journaux de toutes les AWS régions à votre compartiment S3 si MULTI REGION _ CLOUD _ TRAIL _ ENABLED est activé. De plus, lors du AWS lancement d'une nouvelle région, le même parcours CloudTrail sera créé dans la nouvelle région. Par conséquent, vous recevrez des fichiers journaux contenant API l'activité de la nouvelle région sans aucune action.
8,5 Collecter des journaux d'audit détaillés

cloudtrail-s3-dataevents-enabled

La collecte d'événements de données Simple Storage Service (Amazon S3) aide à détecter toute activité anormale. Les détails incluent les informations du compte AWS qui a accédé à un compartiment Amazon S3, l'adresse IP et l'heure de l'événement.
8,5 Collecter des journaux d'audit détaillés

cloudtrail-enabled

AWS CloudTrail peut contribuer à la non-répudiation en enregistrant les actions et les appels AWS de la console de gestion. API Vous pouvez identifier les utilisateurs et la Comptes AWS personne qui a appelé un AWS service, l'adresse IP source à laquelle les appels ont été générés et les horaires des appels. Les détails des données capturées sont affichés dans le contenu de l' AWS CloudTrail enregistrement.
8,5 Collecter des journaux d'audit détaillés

cloud-trail-cloud-watch-activé pour les journaux

Utilisez Amazon CloudWatch pour collecter et gérer de manière centralisée l'activité des événements du journal. L'inclusion de AWS CloudTrail données fournit des détails sur l'activité des API appels au sein de votre Compte AWS.
8,5 Collecter des journaux d'audit détaillés

elasticsearch-logs-to-cloudwatch

Assurez-vous que les journaux d'erreurs sont activés sur les domaines Amazon OpenSearch Service et qu'ils sont transmis à Amazon CloudWatch Logs à des fins de conservation et de réponse. Les journaux d'erreurs de domaine peuvent faciliter les audits de sécurité et d'accès, ainsi que le diagnostic des problèmes de disponibilité.
8,5 Collecter des journaux d'audit détaillés

vpc-flow-logs-enabled

Les journaux de VPC flux fournissent des enregistrements détaillés contenant des informations sur le trafic IP à destination et en provenance des interfaces réseau de votre Amazon Virtual Private Cloud (AmazonVPC). Par défaut, le journal de flux inclut des valeurs pour les différents composants du flux IP, y compris la source, la destination et le protocole.
8,5 Collecter des journaux d'audit détaillés

elb-logging-enabled

L'activité Elastic Load Balancing est un point de communication central au sein d'un environnement. Assurez-vous que la ELB journalisation est activée. Les données collectées fournissent des informations détaillées sur les demandes envoyées auELB. Chaque journal contient des informations comme l'heure à laquelle la demande a été reçue, l'adresse IP du client, les latences, les chemins de demande et les réponses du serveur.
8,5 Collecter des journaux d'audit détaillés

rds-logging-enabled

Pour faciliter la journalisation et la surveillance au sein de votre environnement, assurez-vous que la journalisation Amazon Relational Database Service (RDSAmazon) est activée. Avec Amazon RDS Logging, vous pouvez capturer des événements tels que des connexions, des déconnexions, des requêtes ou des tables interrogées.
8,5 Collecter des journaux d'audit détaillés

s3- bucket-logging-enabled

La journalisation des accès au serveur Amazon Simple Storage Service (Amazon S3) permet de surveiller le réseau pour détecter d'éventuels événements de cybersécurité. Les événements sont surveillés en capturant des enregistrements détaillés pour les demandes envoyées à un compartiment Amazon S3. Chaque enregistrement du journal des accès fournit des détails sur une unique demande d'accès. Les détails incluent le demandeur, le nom du compartiment, l'heure de la demande, l'action de la demande, l'état de la réponse et un code d'erreur, le cas échéant.
8,5 Collecter des journaux d'audit détaillés

redshift-cluster-configuration-check

Pour protéger les données au repos, assurez-vous que le chiffrement est activé pour vos clusters Amazon Redshift. Vous devez également vous assurer que les configurations requises sont déployées sur les clusters Amazon Redshift. La journalisation des audits doit être activée pour fournir des informations sur les connexions et les activités de l'utilisateur dans la base de données. Cette règle nécessite qu'une valeur soit définie pour clusterDbEncrypted (Config Default :TRUE) et loggingEnabled (Config Default :TRUE). Les valeurs réelles doivent refléter les politiques de votre organisation.
8,5 Collecter des journaux d'audit détaillés

wafv2-logging-enabled

Pour faciliter la journalisation et la surveillance au sein de votre environnement, activez la journalisation AWS WAF (V2) sur le Web régional et mondialACLs. AWS WAFla journalisation fournit des informations détaillées sur le trafic analysé par votre site WebACL. Les journaux enregistrent l'heure à laquelle la demande AWS WAF a été reçue de votre AWS ressource, les informations relatives à la demande et une action pour la règle à laquelle chaque demande correspond.
8,5 Collecter des journaux d'audit détaillés

guardduty-enabled-centralized

Amazon GuardDuty peut vous aider à surveiller et à détecter les événements potentiels liés à la cybersécurité en utilisant des flux de renseignements sur les menaces. Il s'agit notamment de listes de programmes malveillants IPs et d'apprentissage automatique pour identifier les activités inattendues, non autorisées et malveillantes au sein de votre environnement AWS cloud.
8,5 Collecter des journaux d'audit détaillés

codebuild-project-logging-enabled

Assurez-vous que la journalisation AWS CodeBuild du projet est activée afin que les journaux de sortie de votre build soient envoyés à Amazon CloudWatch ou à Amazon Simple Storage Service (Amazon S3). Les journaux de résultats de génération fournissent des informations détaillées sur votre projet de génération.
8,7 Collectez les journaux d'audit des URL demandes

elb-logging-enabled

L'activité Elastic Load Balancing est un point de communication central au sein d'un environnement. Assurez-vous que la ELB journalisation est activée. Les données collectées fournissent des informations détaillées sur les demandes envoyées auELB. Chaque journal contient des informations comme l'heure à laquelle la demande a été reçue, l'adresse IP du client, les latences, les chemins de demande et les réponses du serveur.
8,9 Centraliser les journaux d'audit

cloud-trail-cloud-watch-activé pour les journaux

Utilisez Amazon CloudWatch pour collecter et gérer de manière centralisée l'activité des événements du journal. L'inclusion de AWS CloudTrail données fournit des détails sur l'activité des API appels au sein de votre Compte AWS.
8.10 Conserver les journaux d'audit

s3- version-lifecycle-policy-check

Assurez-vous que les politiques de cycle de vie d'Amazon S3 sont configurées pour vous aider à définir les actions qu'Amazon S3 doit effectuer au cours de la durée de vie d'un objet (par exemple, transférer les objets vers une autre classe de stockage, les archiver ou les supprimer au bout d'une certaine période).
8.10 Conserver les journaux d'audit

cw-loggroup-retention-period-vérifier

Assurez-vous que la durée minimale de conservation des données des journaux d'événements pour vos groupes de journaux est suffisante pour faciliter le dépannage et les enquêtes judiciaires. Le manque de données disponibles dans les journaux d'événements passés complique la reconstitution et l'identification des événements potentiellement malveillants.
10.1 Déployer et maintenir un logiciel de protection contre les programmes malveillants

guardduty-enabled-centralized

Amazon GuardDuty peut vous aider à surveiller et à détecter les événements potentiels liés à la cybersécurité en utilisant des flux de renseignements sur les menaces. Il s'agit notamment de listes de programmes malveillants IPs et d'apprentissage automatique pour identifier les activités inattendues, non autorisées et malveillantes au sein de votre environnement AWS cloud.
10.2 Configurer les mises à jour automatiques des signatures contre les programmes malveillants

guardduty-enabled-centralized

Amazon GuardDuty peut vous aider à surveiller et à détecter les événements potentiels liés à la cybersécurité en utilisant des flux de renseignements sur les menaces. Il s'agit notamment de listes de programmes malveillants IPs et d'apprentissage automatique pour identifier les activités inattendues, non autorisées et malveillantes au sein de votre environnement AWS cloud.
10.4 Configurer l'analyse automatique des programmes malveillants sur les supports amovibles

guardduty-enabled-centralized

Amazon GuardDuty peut vous aider à surveiller et à détecter les événements potentiels liés à la cybersécurité en utilisant des flux de renseignements sur les menaces. Il s'agit notamment de listes de programmes malveillants IPs et d'apprentissage automatique pour identifier les activités inattendues, non autorisées et malveillantes au sein de votre environnement AWS cloud.
10.6 Assurer une gestion centralisée des logiciels de protection contre les programmes malveillants

guardduty-enabled-centralized

Amazon GuardDuty peut vous aider à surveiller et à détecter les événements potentiels liés à la cybersécurité en utilisant des flux de renseignements sur les menaces. Il s'agit notamment de listes de programmes malveillants IPs et d'apprentissage automatique pour identifier les activités inattendues, non autorisées et malveillantes au sein de votre environnement AWS cloud.
10.7 Utiliser un logiciel contre les programmes malveillants basé sur le comportement

guardduty-enabled-centralized

Amazon GuardDuty peut vous aider à surveiller et à détecter les événements potentiels liés à la cybersécurité en utilisant des flux de renseignements sur les menaces. Il s'agit notamment de listes de programmes malveillants IPs et d'apprentissage automatique pour identifier les activités inattendues, non autorisées et malveillantes au sein de votre environnement AWS cloud.
11.2 Exécuter des sauvegardes automatiques 

dynamodb-in-backup-plan

Pour faciliter les processus de sauvegarde des données, assurez-vous que vos tables Amazon DynamoDB font partie d'un plan de AWS sauvegarde. AWS Backup est un service de sauvegarde entièrement géré doté d'une solution de sauvegarde basée sur des règles. Cette solution simplifie la gestion de vos sauvegardes et vous permet de répondre aux exigences de conformité de votre entreprise et aux réglementations en matière de sauvegarde.
11.2 Exécuter des sauvegardes automatiques 

ebs-in-backup-plan

Pour faciliter les processus de sauvegarde des données, assurez-vous que vos volumes Amazon Elastic Block Store (AmazonEBS) font partie d'un plan de AWS sauvegarde. AWS Backup est un service de sauvegarde entièrement géré doté d'une solution de sauvegarde basée sur des règles. Cette solution simplifie la gestion de vos sauvegardes et vous permet de répondre aux exigences de conformité de votre entreprise et aux réglementations en matière de sauvegarde.
11.2 Exécuter des sauvegardes automatiques 

ebs-optimized-instance

Une instance optimisée dans Amazon Elastic Block Store (AmazonEBS) fournit une capacité dédiée supplémentaire pour les opérations d'EBSE/S Amazon. Cette optimisation fournit les performances les plus efficaces pour vos EBS volumes en minimisant les conflits entre les opérations d'EBSE/S Amazon et le reste du trafic provenant de votre instance.
11.2 Exécuter des sauvegardes automatiques 

dynamodb-pitr-enabled

Activez cette règle pour vérifier que les informations ont été sauvegardées. Il gère également les sauvegardes en s'assurant que la point-in-time restauration est activée dans Amazon DynamoDB. La récupération permet de maintenir des sauvegardes continues de votre table pour les 35 derniers jours.
11.2 Exécuter des sauvegardes automatiques 

elasticache-redis-cluster-automatic-vérification des sauvegardes

Lorsque les sauvegardes automatiques sont activées, Amazon ElastiCache crée une sauvegarde du cluster quotidiennement. La sauvegarde peut être conservée pendant un nombre de jours défini par votre organisation. Les sauvegardes automatiques peuvent constituer une protection contre la perte de données. En cas de défaillance, vous pouvez créer un nouveau cluster, ce qui restaurera vos données à partir de la sauvegarde la plus récente.
11.2 Exécuter des sauvegardes automatiques 

efs-in-backup-plan

Pour faciliter les processus de sauvegarde des données, assurez-vous que vos systèmes de fichiers Amazon Elastic File System (AmazonEFS) font partie d'un plan de AWS sauvegarde. AWS Backup est un service de sauvegarde entièrement géré doté d'une solution de sauvegarde basée sur des règles. Cette solution simplifie la gestion de vos sauvegardes et vous permet de répondre aux exigences de conformité de votre entreprise et aux réglementations en matière de sauvegarde.
11.2 Exécuter des sauvegardes automatiques 

db-instance-backup-enabled

La fonction de sauvegarde d'Amazon RDS crée des sauvegardes de vos bases de données et de vos journaux de transactions. Amazon crée RDS automatiquement un instantané du volume de stockage de votre instance de base de données, en sauvegardant l'intégralité de l'instance de base de données. Le système vous permet de définir des périodes de conservation spécifiques pour répondre à vos exigences de résilience.
11.2 Exécuter des sauvegardes automatiques 

redshift-backup-enabled

Pour faciliter les processus de sauvegarde des données, assurez-vous que vos clusters Amazon Redshift disposent d'instantanés automatisés. Lorsque les instantanés automatiques sont activés pour un cluster, Redshift prend régulièrement des instantanés de ce cluster. Par défaut, Redshift prend un instantané toutes les huit heures ou tous les 5 Go pour chaque nœud de modification des données, ou selon la première éventualité.
11.2 Exécuter des sauvegardes automatiques 

s3- bucket-versioning-enabled

La gestion des versions d'un compartiment Amazon Simple Storage Service (Amazon S3) permet de conserver plusieurs variantes d'un objet dans le même compartiment Amazon S3. Utilisez la gestion des versions pour préserver, récupérer et restaurer chaque version de chaque objet stocké dans votre compartiment Amazon S3. La gestion des versions vous aide à récupérer facilement en cas d'action involontaire d'un utilisateur et de défaillance applicative.
11.2 Exécuter des sauvegardes automatiques 

redshift-cluster-maintenancesettings-check

Cette règle garantit que les clusters Amazon Redshift disposent des paramètres préférés de votre organisation. Plus précisément, qu'ils disposent de fenêtres de maintenance préférées et de périodes de conservation des instantanés automatisées pour la base de données. Cette règle vous oblige à définir le allowVersionUpgrade. Par défaut, la valeur est true. Il vous permet également de définir éventuellement le preferredMaintenanceWindow (la valeur par défaut est samedi : 16h00 - samedi : 16h30) et la automatedSnapshotRetention période (la valeur par défaut est 1). Les valeurs réelles doivent refléter les politiques de votre organisation.
11.2 Exécuter des sauvegardes automatiques 

s3- bucket-replication-enabled

Amazon Simple Storage Service (Amazon S3) Cross-Region Replication CRR () permet de maintenir une capacité et une disponibilité adéquates. CRRpermet la copie automatique et asynchrone des objets dans les compartiments Amazon S3 afin de garantir la disponibilité des données.
11.2 Exécuter des sauvegardes automatiques 

s3- version-lifecycle-policy-check

Assurez-vous que les politiques de cycle de vie d'Amazon S3 sont configurées pour vous aider à définir les actions qu'Amazon S3 doit effectuer au cours de la durée de vie d'un objet (par exemple, transférer les objets vers une autre classe de stockage, les archiver ou les supprimer au bout d'une certaine période).
11,3 Protéger les données de récupération

backup-recovery-point-encrypted

Assurez-vous que le chiffrement est activé pour vos points AWS de restauration Backup. Comme il peut y avoir des données sensibles au repos, activez le chiffrement au repos pour protéger ces données.
11,3 Protéger les données de récupération

encrypted-volumes

Étant donné que des données sensibles peuvent exister et pour protéger les données au repos, assurez-vous que le chiffrement est activé pour vos volumes Amazon Elastic Block Store (AmazonEBS).
11,3 Protéger les données de récupération

ec2- ebs-encryption-by-default

Pour protéger les données au repos, assurez-vous que le chiffrement est activé pour vos volumes Amazon Elastic Block Store (AmazonEBS). Comme il peut y avoir des données sensibles au repos dans ces volumes, activez le chiffrement au repos pour protéger ces données.
11,3 Protéger les données de récupération

rds-storage-encrypted

Pour protéger les données au repos, assurez-vous que le chiffrement est activé pour vos instances Amazon Relational Database Service (RDSAmazon). Étant donné que des données sensibles peuvent exister au repos dans RDS les instances Amazon, activez le chiffrement au repos pour protéger ces données.
11.4 Établir et gérer une instance isolée de données de récupération 

dynamodb-in-backup-plan

Pour faciliter les processus de sauvegarde des données, assurez-vous que vos tables Amazon DynamoDB font partie d'un plan de AWS sauvegarde. AWS Backup est un service de sauvegarde entièrement géré doté d'une solution de sauvegarde basée sur des règles. Cette solution simplifie la gestion de vos sauvegardes et vous permet de répondre aux exigences de conformité de votre entreprise et aux réglementations en matière de sauvegarde.
11.4 Établir et gérer une instance isolée de données de récupération 

ebs-in-backup-plan

Pour faciliter les processus de sauvegarde des données, assurez-vous que vos volumes Amazon Elastic Block Store (AmazonEBS) font partie d'un plan de AWS sauvegarde. AWS Backup est un service de sauvegarde entièrement géré doté d'une solution de sauvegarde basée sur des règles. Cette solution simplifie la gestion de vos sauvegardes et vous permet de répondre aux exigences de conformité de votre entreprise et aux réglementations en matière de sauvegarde.
11.4 Établir et gérer une instance isolée de données de récupération 

ebs-optimized-instance

Une instance optimisée dans Amazon Elastic Block Store (AmazonEBS) fournit une capacité dédiée supplémentaire pour les opérations d'EBSE/S Amazon. Cette optimisation fournit les performances les plus efficaces pour vos EBS volumes en minimisant les conflits entre les opérations d'EBSE/S Amazon et le reste du trafic provenant de votre instance.
11.4 Établir et gérer une instance isolée de données de récupération 

dynamodb-pitr-enabled

Activez cette règle pour vérifier que les informations ont été sauvegardées. Il gère également les sauvegardes en s'assurant que la point-in-time restauration est activée dans Amazon DynamoDB. La récupération permet de maintenir des sauvegardes continues de votre table pour les 35 derniers jours.
11.4 Établir et gérer une instance isolée de données de récupération 

elasticache-redis-cluster-automatic-vérification des sauvegardes

Lorsque les sauvegardes automatiques sont activées, Amazon ElastiCache crée une sauvegarde du cluster quotidiennement. La sauvegarde peut être conservée pendant un nombre de jours défini par votre organisation. Les sauvegardes automatiques peuvent constituer une protection contre la perte de données. En cas de défaillance, vous pouvez créer un nouveau cluster, ce qui restaurera vos données à partir de la sauvegarde la plus récente.
11.4 Établir et gérer une instance isolée de données de récupération 

efs-in-backup-plan

Pour faciliter les processus de sauvegarde des données, assurez-vous que vos systèmes de fichiers Amazon Elastic File System (AmazonEFS) font partie d'un plan de AWS sauvegarde. AWS Backup est un service de sauvegarde entièrement géré doté d'une solution de sauvegarde basée sur des règles. Cette solution simplifie la gestion de vos sauvegardes et vous permet de répondre aux exigences de conformité de votre entreprise et aux réglementations en matière de sauvegarde.
11.4 Établir et gérer une instance isolée de données de récupération 

db-instance-backup-enabled

La fonction de sauvegarde d'Amazon RDS crée des sauvegardes de vos bases de données et de vos journaux de transactions. Amazon crée RDS automatiquement un instantané du volume de stockage de votre instance de base de données, en sauvegardant l'intégralité de l'instance de base de données. Le système vous permet de définir des périodes de conservation spécifiques pour répondre à vos exigences de résilience.
11.4 Établir et gérer une instance isolée de données de récupération 

redshift-backup-enabled

Pour faciliter les processus de sauvegarde des données, assurez-vous que vos clusters Amazon Redshift disposent d'instantanés automatisés. Lorsque les instantanés automatiques sont activés pour un cluster, Redshift prend régulièrement des instantanés de ce cluster. Par défaut, Redshift prend un instantané toutes les huit heures ou tous les 5 Go pour chaque nœud de modification des données, ou selon la première éventualité.
11.4 Établir et gérer une instance isolée de données de récupération 

s3- bucket-versioning-enabled

La gestion des versions d'un compartiment Amazon Simple Storage Service (Amazon S3) permet de conserver plusieurs variantes d'un objet dans le même compartiment Amazon S3. Utilisez la gestion des versions pour préserver, récupérer et restaurer chaque version de chaque objet stocké dans votre compartiment Amazon S3. La gestion des versions vous aide à récupérer facilement en cas d'action involontaire d'un utilisateur et de défaillance applicative.
11.4 Établir et gérer une instance isolée de données de récupération 

redshift-cluster-maintenancesettings-check

Cette règle garantit que les clusters Amazon Redshift disposent des paramètres préférés de votre organisation. Plus précisément, qu'ils disposent de fenêtres de maintenance préférées et de périodes de conservation des instantanés automatisées pour la base de données. Cette règle vous oblige à définir le allowVersionUpgrade. Par défaut, la valeur est true. Il vous permet également de définir éventuellement le preferredMaintenanceWindow (la valeur par défaut est samedi : 16h00 - samedi : 16h30) et la automatedSnapshotRetention période (la valeur par défaut est 1). Les valeurs réelles doivent refléter les politiques de votre organisation.
11.4 Établir et gérer une instance isolée de données de récupération 

s3- bucket-replication-enabled

Amazon Simple Storage Service (Amazon S3) Cross-Region Replication CRR () permet de maintenir une capacité et une disponibilité adéquates. CRRpermet la copie automatique et asynchrone des objets dans les compartiments Amazon S3 afin de garantir la disponibilité des données.
11.4 Établir et gérer une instance isolée de données de récupération 

s3- version-lifecycle-policy-check

Assurez-vous que les politiques de cycle de vie d'Amazon S3 sont configurées pour vous aider à définir les actions qu'Amazon S3 doit effectuer au cours de la durée de vie d'un objet (par exemple, transférer les objets vers une autre classe de stockage, les archiver ou les supprimer au bout d'une certaine période).
12.2 Établir et maintenir une architecture réseau sécurisée

acm-certificate-expiration-check

Assurez-vous que l'intégrité du réseau est protégée en vous assurant que les certificats X509 sont émis par AWS ACM. Ces certificats doivent être valides et non expirés. Cette règle nécessite une valeur pour daysToExpiration (valeur des meilleures pratiques de sécuritéAWS fondamentales : 90). La valeur réelle doit refléter les politiques de votre organisation.
12.2 Établir et maintenir une architecture réseau sécurisée

dms-replication-not-public

Gérez l'accès au AWS cloud en vous assurant que les instances de DMS réplication ne sont pas accessibles au public. DMSles instances de réplication peuvent contenir des informations sensibles et un contrôle d'accès est requis pour ces comptes.
12.2 Établir et maintenir une architecture réseau sécurisée

ebs-snapshot-public-restorable-vérifier

Gérez l'accès au AWS cloud en vous assurant que les EBS instantanés ne sont pas restaurables publiquement. EBSles instantanés de volume peuvent contenir des informations sensibles et un contrôle d'accès est requis pour ces comptes.
12.2 Établir et maintenir une architecture réseau sécurisée

restricted-ssh

Les groupes de sécurité Amazon Elastic Compute Cloud (AmazonEC2) peuvent aider à gérer l'accès au réseau en fournissant un filtrage dynamique du trafic réseau entrant et sortant vers les ressources. AWS Ne pas autoriser le trafic entrant (ou distant) de 0.0.0.0/0 vers le port 22 sur vos ressources vous aide à restreindre l'accès à distance.
12.2 Établir et maintenir une architecture réseau sécurisée

vpc-default-security-group-fermé

Les groupes de sécurité Amazon Elastic Compute Cloud (AmazonEC2) peuvent contribuer à la gestion de l'accès au réseau en fournissant un filtrage dynamique du trafic réseau entrant et sortant vers les ressources. AWS La restriction de tout le trafic sur le groupe de sécurité par défaut permet de restreindre l'accès à distance à vos AWS ressources.
12.2 Établir et maintenir une architecture réseau sécurisée

ec2- instance-no-public-ip

Gérez l'accès au AWS cloud en vous assurant que les instances Amazon Elastic Compute Cloud (AmazonEC2) ne sont pas accessibles au public. Les EC2 instances Amazon peuvent contenir des informations sensibles et un contrôle d'accès est requis pour ces comptes.
12.2 Établir et maintenir une architecture réseau sécurisée

elasticsearch-in-vpc-only

Gérez l'accès au AWS cloud en vous assurant que les domaines Amazon OpenSearch OpenSearch Service (Service) se trouvent dans un Amazon Virtual Private Cloud (AmazonVPC). Un domaine de OpenSearch service au sein d'Amazon VPC permet une communication sécurisée entre le OpenSearch service et les autres services d'Amazon VPC sans avoir besoin d'une passerelle Internet, d'un NAT appareil ou d'une VPN connexion.
12.2 Établir et maintenir une architecture réseau sécurisée

ec2- instances-in-vpc

Déployez des instances Amazon Elastic Compute Cloud (AmazonEC2) au sein d'un Amazon Virtual Private Cloud (AmazonVPC) pour permettre une communication sécurisée entre une instance et d'autres services au sein d'AmazonVPC, sans avoir besoin de passerelle Internet, d'NATappareil ou de VPN connexion. Tout le trafic reste sécurisé dans le AWS cloud. En raison de leur isolation logique, les domaines situés au sein d'un Amazon VPC disposent d'une couche de sécurité supplémentaire par rapport aux domaines utilisant des points de terminaison publics. Attribuez EC2 des instances Amazon à un Amazon VPC pour gérer correctement l'accès.
12.2 Établir et maintenir une architecture réseau sécurisée

emr-master-no-public-IP

Gérez l'accès au AWS cloud en vous assurant que les nœuds EMR principaux du cluster Amazon ne sont pas accessibles au public. Les nœuds EMR principaux du cluster Amazon peuvent contenir des informations sensibles et un contrôle d'accès est requis pour ces comptes.
12.2 Établir et maintenir une architecture réseau sécurisée

no-unrestricted-route-to-igw

Assurez-vous que les tables de EC2 routage Amazon ne disposent pas de routes illimitées vers une passerelle Internet. La suppression ou la limitation de l'accès à Internet pour les charges de travail au sein d'Amazon VPCs peut réduire les accès involontaires au sein de votre environnement.
12.2 Établir et maintenir une architecture réseau sécurisée

lambda-function-public-access-interdit

Gérez l'accès aux ressources dans le AWS cloud en vous assurant que les fonctions AWS Lambda ne sont pas accessibles au public. Un accès public peut potentiellement entraîner une dégradation de la disponibilité des ressources.
12.2 Établir et maintenir une architecture réseau sécurisée

lambda-inside-vpc

Déployez des fonctions AWS Lambda au sein d'un Amazon Virtual Private Cloud VPC (Amazon) pour une communication sécurisée entre une fonction et d'autres services au sein d'Amazon. VPC Avec cette configuration, il n'est pas nécessaire de disposer d'une passerelle Internet, d'un NAT appareil ou d'une VPN connexion. Tout le trafic reste sécurisé dans le AWS cloud. En raison de leur isolation logique, les domaines situés au sein d'un Amazon VPC disposent d'une couche de sécurité supplémentaire par rapport aux domaines utilisant des points de terminaison publics. Pour gérer correctement l'accès, les fonctions AWS Lambda doivent être attribuées à un. VPC
12.2 Établir et maintenir une architecture réseau sécurisée

rds-snapshots-public-prohibited

Gérez l'accès aux ressources dans le AWS cloud en vous assurant que les instances Amazon Relational Database Service (RDSAmazon) ne sont pas publiques. Les instances RDS de base de données Amazon peuvent contenir des informations et des principes sensibles et un contrôle d'accès est requis pour ces comptes.
12.2 Établir et maintenir une architecture réseau sécurisée

rds-instance-public-access-vérifier

Gérez l'accès aux ressources dans le AWS cloud en vous assurant que les instances Amazon Relational Database Service (RDSAmazon) ne sont pas publiques. Les instances RDS de base de données Amazon peuvent contenir des informations sensibles, et des principes et un contrôle d'accès sont requis pour ces comptes.
12.2 Établir et maintenir une architecture réseau sécurisée

restricted-common-ports

Gérez l'accès aux ressources dans le AWS cloud en vous assurant que les ports courants sont restreints sur les groupes de sécurité Amazon Elastic Compute Cloud (AmazonEC2). Le fait de ne pas limiter l'accès aux ports à des sources fiables peut entraîner des attaques mettant en péril la disponibilité, l'intégrité et la confidentialité des systèmes. Cette règle vous permet de définir éventuellement blockedPort 1 à blockedPort 5 paramètres (Config Defaults : 20,21,3389,3306,4333). Les valeurs réelles doivent refléter les politiques de votre organisation.
12.2 Établir et maintenir une architecture réseau sécurisée

redshift-cluster-public-access-vérifier

Gérez l'accès aux ressources dans le AWS cloud en vous assurant que les clusters Amazon Redshift ne sont pas publics. Les clusters Amazon Redshift peuvent contenir des informations sensibles, c'est pourquoi des principes et un contrôle des accès sont requis pour ces comptes.
12.2 Établir et maintenir une architecture réseau sécurisée

s3- account-level-public-access -blocs-périodique

Gérez l'accès aux ressources dans le AWS cloud en veillant à ce que les compartiments Amazon Simple Storage Service (Amazon S3) ne soient pas accessibles au public. Cette règle permet de protéger les données sensibles contre les utilisateurs distants non autorisés en empêchant l'accès public. Cette règle vous permet de définir éventuellement les paramètres ignorePublicAcls (Config Default : True), blockPublicPolicy (Config Default : True), blockPublicAcls (Config Default : True) et restrictPublicBuckets les paramètres (Config Default : True). Les valeurs réelles doivent refléter les politiques de votre organisation.
12.2 Établir et maintenir une architecture réseau sécurisée

s3- bucket-public-read-prohibited

Gérez l'accès aux ressources dans le AWS cloud en autorisant uniquement les utilisateurs, les processus et les appareils autorisés à accéder aux compartiments Amazon Simple Storage Service (Amazon S3). La gestion des accès doit être cohérente avec la classification des données.
12.2 Établir et maintenir une architecture réseau sécurisée

s3- bucket-public-write-prohibited

Gérez l'accès aux ressources dans le AWS cloud en autorisant uniquement les utilisateurs, les processus et les appareils autorisés à accéder aux compartiments Amazon Simple Storage Service (Amazon S3). La gestion des accès doit être cohérente avec la classification des données.
12.2 Établir et maintenir une architecture réseau sécurisée

sagemaker-notebook-no-direct-accès à Internet

Gérez l'accès aux ressources dans le AWS cloud en vous assurant que les SageMaker blocs-notes Amazon ne permettent pas un accès direct à Internet. En empêchant l'accès direct à Internet, vous pouvez empêcher les utilisateurs non autorisés d'accéder à des données sensibles.
12.2 Établir et maintenir une architecture réseau sécurisée

subnet-auto-assign-public-IP désactivé

Gérez l'accès au AWS cloud en vous assurant que les sous-réseaux Amazon Virtual Private Cloud (VPC) ne se voient pas automatiquement attribuer une adresse IP publique. Les instances Amazon Elastic Compute Cloud (EC2) lancées dans des sous-réseaux sur lesquels cet attribut est activé ont une adresse IP publique attribuée à leur interface réseau principale.
12.2 Établir et maintenir une architecture réseau sécurisée

vpc-sg-open-only-to-authorized-ports

Gérez l'accès aux ressources dans le AWS cloud en vous assurant que les ports courants sont restreints sur les groupes de sécurité Amazon Elastic Compute Cloud (AmazonEC2). Le fait de ne pas limiter l'accès aux ports à des sources fiables peut entraîner des attaques mettant en péril la disponibilité, l'intégrité et la confidentialité des systèmes. En limitant l'accès aux ressources d'un groupe de sécurité depuis Internet (0.0.0.0/0), il est possible de contrôler l'accès à distance aux systèmes internes.
12.2 Établir et maintenir une architecture réseau sécurisée

ssm-document-not-public

Assurez-vous que AWS les documents de Systems Manager (SSM) ne sont pas publics, car cela peut permettre un accès involontaire à vos SSM documents. Un SSM document public peut exposer des informations sur votre compte, vos ressources et vos processus internes.
12.2 Établir et maintenir une architecture réseau sécurisée

autoscaling-launch-config-public-IP désactivé

Si vous configurez vos interfaces réseau avec une adresse IP publique, les ressources associées à ces interfaces réseau sont accessibles depuis Internet. EC2les ressources ne doivent pas être accessibles au public, car cela peut permettre un accès involontaire à vos applications ou à vos serveurs.
12.2 Établir et maintenir une architecture réseau sécurisée

redshift-enhanced-vpc-routing-activé

VPCLe routage amélioré oblige tout COPY le UNLOAD trafic entre le cluster et les référentiels de données à passer par votre AmazonVPC. Vous pouvez ensuite utiliser des VPC fonctionnalités telles que les groupes de sécurité et les listes de contrôle d'accès au réseau pour sécuriser le trafic réseau. Vous pouvez également utiliser les journaux de VPC flux pour surveiller le trafic réseau.
12.2 Établir et maintenir une architecture réseau sécurisée

dynamodb-autoscaling-enabled

Amazon DynamoDB Auto Scaling AWS utilise le service Application Auto Scaling pour ajuster la capacité de débit allouée afin qu'elle réponde automatiquement aux modèles de trafic réels. Cela permet à une table ou à un index secondaire global d'augmenter sa capacité de lecture/d'écriture approvisionnée afin de gérer les hausses soudaines de trafic sans limitation.
12.2 Établir et maintenir une architecture réseau sécurisée

elb-cross-zone-load-activé pour l'équilibrage

Activez l'équilibrage de charge entre zones pour vos équilibreurs de charge élastiques (ELBs) afin de maintenir une capacité et une disponibilité adéquates. L'équilibrage de charge entre zones réduit la nécessité de maintenir un nombre équivalent d'instances dans chaque zone de disponibilité activée. Cela améliore également la capacité de votre application à gérer la perte d'une ou de plusieurs instances.
12.2 Établir et maintenir une architecture réseau sécurisée

elb-deletion-protection-enabled

Cette règle garantit que la protection contre la suppression est activée pour Elastic Load Balancing. Utilisez cette fonctionnalité pour empêcher la suppression accidentelle ou malveillante de votre équilibreur de charge, ce qui pourrait entraîner une perte de disponibilité pour vos applications.
12.2 Établir et maintenir une architecture réseau sécurisée

rds-instance-deletion-protection-activé

Assurez-vous que la protection contre les suppressions est activée sur les instances RDS Amazon Relational Database Service (Amazon). Utilisez la protection contre la suppression pour éviter que vos RDS instances Amazon ne soient supprimées accidentellement ou de manière malveillante, ce qui pourrait entraîner une perte de disponibilité pour vos applications.
12.2 Établir et maintenir une architecture réseau sécurisée

rds-multi-az-support

Le support multi-AZ d'Amazon Relational Database Service (RDSAmazon) améliore la disponibilité et la durabilité des instances de base de données. Lorsque vous mettez en service une instance de base de données multi-AZ, Amazon crée RDS automatiquement une instance de base de données principale et réplique les données de manière synchrone sur une instance de secours située dans une autre zone de disponibilité. Chaque zone de disponibilité fonctionne sur sa propre infrastructure physiquement distincte et indépendante, et est conçue pour être hautement fiable. En cas de défaillance de l'infrastructure, Amazon RDS effectue un basculement automatique vers le mode veille afin que vous puissiez reprendre les opérations de base de données dès que le basculement est terminé.
12.2 Établir et maintenir une architecture réseau sécurisée

rds-cluster-multi-az-activé

Le support multi-AZ d'Amazon Relational Database Service (RDSAmazon) améliore la disponibilité et la durabilité des instances de base de données. Lorsque vous mettez en service une instance de base de données multi-AZ, Amazon crée RDS automatiquement une instance de base de données principale et réplique les données de manière synchrone sur une instance de secours située dans une autre zone de disponibilité. Chaque zone de disponibilité fonctionne sur sa propre infrastructure physiquement distincte et indépendante, et est conçue pour être hautement fiable. En cas de défaillance de l'infrastructure, Amazon RDS effectue un basculement automatique vers le mode veille afin que vous puissiez reprendre les opérations de base de données dès que le basculement est terminé.
12.2 Établir et maintenir une architecture réseau sécurisée

vpc-vpn-2-tunnels-up

Site-to-SiteVPNDes tunnels redondants peuvent être mis en œuvre pour répondre aux exigences de résilience. Il utilise deux tunnels pour garantir la connectivité au cas où l'une des Site-to-Site VPN connexions deviendrait indisponible. Pour éviter toute perte de connectivité, au cas où votre passerelle client deviendrait indisponible, vous pouvez configurer une deuxième Site-to-Site VPN connexion à votre Amazon Virtual Private Cloud (AmazonVPC) et à votre passerelle privée virtuelle en utilisant une deuxième passerelle client.
12.2 Établir et maintenir une architecture réseau sécurisée

opensearch-in-vpc-only

Gérez l'accès au AWS cloud en vous assurant que les domaines Amazon OpenSearch Service se trouvent dans un Amazon Virtual Private Cloud (AmazonVPC). Un domaine Amazon OpenSearch Service au sein d'un Amazon VPC permet une communication sécurisée entre Amazon OpenSearch Service et d'autres services au sein d'Amazon VPC sans avoir besoin d'une passerelle Internet, d'un NAT appareil ou d'une VPN connexion.
12.2 Établir et maintenir une architecture réseau sécurisée

elbv2-multiple-az

Elastic Load Balancing (ELB) distribue automatiquement votre trafic entrant sur plusieurs cibles, telles que EC2 les instances, les conteneurs et les adresses IP, dans une zone de disponibilité. Pour garantir une haute disponibilité, assurez-vous que vous avez ELB enregistré des instances provenant de plusieurs zones de disponibilité.
12.3 Gérer l'infrastructure réseau de manière sécurisée

api-gw-ssl-enabled

Assurez-vous que REST API les étapes Amazon API Gateway sont configurées avec SSL des certificats afin de permettre aux systèmes principaux d'authentifier que les demandes proviennent de API Gateway.
12.3 Gérer l'infrastructure réseau de manière sécurisée

alb-http-to-https-vérification de redirection

Pour protéger les données en transit, assurez-vous que votre Application Load Balancer redirige automatiquement les demandes non HTTP chiffrées vers. HTTPS Comme il peut y avoir des données sensibles, activez le chiffrement en transit pour protéger ces données.
12.3 Gérer l'infrastructure réseau de manière sécurisée

elb-acm-certificate-required

Comme il peut y avoir des données sensibles et pour protéger les données en transit, assurez-vous que le chiffrement est activé pour votre Elastic Load Balancing. Utilisez AWS Certificate Manager pour gérer, approvisionner et déployer des TLS certificats publics et SSL privés avec des AWS services et des ressources internes.
12.3 Gérer l'infrastructure réseau de manière sécurisée

elb-tls-https-listeners-uniquement

Assurez-vous que vos Elastic Load Balancers (ELBs) sont configurés avec des écouteurs SSL ou des HTTPS écouteurs. Comme il peut y avoir des données sensibles, activez le chiffrement en transit pour protéger ces données.
12.3 Gérer l'infrastructure réseau de manière sécurisée

s3- bucket-ssl-requests-only

Pour protéger les données en transit, assurez-vous que vos compartiments Amazon Simple Storage Service (Amazon S3) nécessitent des demandes d'utilisation du protocole Secure Socket Layer (). SSL Comme il peut y avoir des données sensibles, activez le chiffrement en transit pour protéger ces données.
12.3 Gérer l'infrastructure réseau de manière sécurisée

redshift-require-tls-ssl

Assurez-vous que vos clusters Amazon Redshift nécessitent un SSL chiffrement TLS pour se connecter aux SQL clients. Comme il peut y avoir des données sensibles, activez le chiffrement en transit pour protéger ces données.
12.3 Gérer l'infrastructure réseau de manière sécurisée

elbv2- acm-certificate-required

Comme il peut y avoir des données sensibles et pour protéger les données en transit, assurez-vous que le chiffrement est activé pour votre Elastic Load Balancing. Utilisez AWS Certificate Manager pour gérer, approvisionner et déployer des TLS certificats publics et SSL privés avec des AWS services et des ressources internes.
12.3 Gérer l'infrastructure réseau de manière sécurisée

opensearch-https-required

Étant donné que des données sensibles peuvent exister et pour protéger les données en transit, assurez-vous HTTPS que les connexions à vos domaines Amazon OpenSearch Service sont activées.
12.6 Utiliser des protocoles de communication et de gestion de réseau sécurisés 

api-gw-ssl-enabled

Assurez-vous que REST API les étapes Amazon API Gateway sont configurées avec SSL des certificats afin de permettre aux systèmes principaux d'authentifier que les demandes proviennent de API Gateway.
12.6 Utiliser des protocoles de communication et de gestion de réseau sécurisés 

alb-http-to-https-vérification de redirection

Pour protéger les données en transit, assurez-vous que votre Application Load Balancer redirige automatiquement les demandes non HTTP chiffrées vers. HTTPS Comme il peut y avoir des données sensibles, activez le chiffrement en transit pour protéger ces données.
12.6 Utiliser des protocoles de communication et de gestion de réseau sécurisés 

elb-acm-certificate-required

Comme il peut y avoir des données sensibles et pour protéger les données en transit, assurez-vous que le chiffrement est activé pour votre Elastic Load Balancing. Utilisez AWS Certificate Manager pour gérer, approvisionner et déployer des TLS certificats publics et SSL privés avec des AWS services et des ressources internes.
12.6 Utiliser des protocoles de communication et de gestion de réseau sécurisés 

elb-tls-https-listeners-uniquement

Assurez-vous que vos Elastic Load Balancers (ELBs) sont configurés avec des écouteurs SSL ou des HTTPS écouteurs. Comme il peut y avoir des données sensibles, activez le chiffrement en transit pour protéger ces données.
12.6 Utiliser des protocoles de communication et de gestion de réseau sécurisés 

s3- bucket-ssl-requests-only

Pour protéger les données en transit, assurez-vous que vos compartiments Amazon Simple Storage Service (Amazon S3) nécessitent des demandes d'utilisation du protocole Secure Socket Layer (). SSL Comme il peut y avoir des données sensibles, activez le chiffrement en transit pour protéger ces données.
12.6 Utiliser des protocoles de communication et de gestion de réseau sécurisés 

redshift-require-tls-ssl

Assurez-vous que vos clusters Amazon Redshift nécessitent un SSL chiffrement TLS pour se connecter aux SQL clients. Comme il peut y avoir des données sensibles, activez le chiffrement en transit pour protéger ces données.
12.6 Utiliser des protocoles de communication et de gestion de réseau sécurisés 

elbv2- acm-certificate-required

Comme il peut y avoir des données sensibles et pour protéger les données en transit, assurez-vous que le chiffrement est activé pour votre Elastic Load Balancing. Utilisez AWS Certificate Manager pour gérer, approvisionner et déployer des TLS certificats publics et SSL privés avec des AWS services et des ressources internes.
12.6 Utiliser des protocoles de communication et de gestion de réseau sécurisés 

opensearch-https-required

Étant donné que des données sensibles peuvent exister et pour protéger les données en transit, assurez-vous HTTPS que les connexions à vos domaines Amazon OpenSearch Service sont activées.
13.1 Centraliser les alertes relatives aux événements de sécurité

guardduty-enabled-centralized

Amazon GuardDuty peut vous aider à surveiller et à détecter les événements potentiels liés à la cybersécurité en utilisant des flux de renseignements sur les menaces. Il s'agit notamment de listes de programmes malveillants IPs et d'apprentissage automatique pour identifier les activités inattendues, non autorisées et malveillantes au sein de votre environnement AWS cloud.
13.1 Centraliser les alertes relatives aux événements de sécurité

securityhub-enabled

AWS Security Hub permet de surveiller le personnel, les connexions, les appareils et les logiciels non autorisés. AWS Security Hub regroupe, organise et hiérarchise les alertes de sécurité, ou les résultats, provenant de plusieurs services. AWS Parmi ces services figurent Amazon Security Hub, Amazon Inspector, Amazon Macie, AWS Identity and Access Management (IAM) Access Analyzer et AWS Firewall Manager, ainsi AWS que des solutions partenaires.
13,3 Déployer une solution de détection des intrusions sur le réseau

guardduty-enabled-centralized

Amazon GuardDuty peut vous aider à surveiller et à détecter les événements potentiels liés à la cybersécurité en utilisant des flux de renseignements sur les menaces. Il s'agit notamment de listes de programmes malveillants IPs et d'apprentissage automatique pour identifier les activités inattendues, non autorisées et malveillantes au sein de votre environnement AWS cloud.
13,6 Collecter les journaux des flux de trafic réseau

vpc-flow-logs-enabled

Les journaux de VPC flux fournissent des enregistrements détaillés contenant des informations sur le trafic IP à destination et en provenance des interfaces réseau de votre Amazon Virtual Private Cloud (AmazonVPC). Par défaut, le journal de flux inclut des valeurs pour les différents composants du flux IP, y compris la source, la destination et le protocole.
13,6 Collecter les journaux des flux de trafic réseau

wafv2-logging-enabled

Pour faciliter la journalisation et la surveillance au sein de votre environnement, activez la journalisation AWS WAF (V2) sur le Web régional et mondialACLs. AWS WAFla journalisation fournit des informations détaillées sur le trafic analysé par votre site WebACL. Les journaux enregistrent l'heure à laquelle la demande AWS WAF a été reçue de votre AWS ressource, les informations relatives à la demande et une action pour la règle à laquelle chaque demande correspond.
16,1 Établir et maintenir un processus de développement d'applications sécurisé

codebuild-project-envvar-awscred-vérifier

Assurez-vous que les informations AWS_ACCESS_KEY_ID d'authentification n' AWS_SECRET_ACCESS_KEY existent pas dans les environnements de projet AWS Codebuild. Ne stockez pas ces variables en clair. Le stockage de ces variables en clair entraîne une exposition involontaire des données et un accès non autorisé.
16,1 Établir et maintenir un processus de développement d'applications sécurisé

codebuild-project-source-repo-vérification de l'URL

Assurez-vous que le référentiel source GitHub ou Bitbucket URL ne contient pas de jetons d'accès personnels ni d'identifiants de connexion dans les environnements de projet AWS Codebuild. Utilisez OAuth plutôt des jetons d'accès personnels ou des identifiants de connexion pour autoriser l'accès aux GitHub référentiels Bitbucket.
16,1 Établir et maintenir un processus de développement d'applications sécurisé

codebuild-project-environment-privileged-vérifier

Pour faciliter la mise en œuvre du principe du moindre privilège, assurez-vous que le mode privilégié n'est pas activé dans votre environnement de CodeBuild projet Amazon. Ce paramètre doit être désactivé pour empêcher tout accès involontaire à Docker APIs ainsi qu'au matériel sous-jacent du conteneur.
16,1 Établir et maintenir un processus de développement d'applications sécurisé

codebuild-project-artifact-encryption

Pour protéger les données sensibles au repos, assurez-vous que le chiffrement est activé pour vos AWS CodeBuild artefacts.
16,1 Établir et maintenir un processus de développement d'applications sécurisé

codebuild-project-logging-enabled

Assurez-vous que la journalisation AWS CodeBuild du projet est activée afin que les journaux de sortie de votre build soient envoyés à Amazon CloudWatch ou à Amazon Simple Storage Service (Amazon S3). Les journaux de résultats de génération fournissent des informations détaillées sur votre projet de génération.

Modèle

Le modèle est disponible sur GitHub : Operational Best Practices for CIS Critical Security Controls v8 IG2.