Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Bonnes pratiques de fonctionnement pour NCSC Cyber Assesment Framework
Les packs de conformité fournissent un cadre de conformité à usage général conçu pour vous permettre de créer des contrôles de gouvernance en matière de sécurité, d'exploitation ou d'optimisation des coûts à l'aide de AWS Config règles gérées ou personnalisées et d'actions correctives. AWS Config Les packs de conformité, en tant qu'exemples de modèle, ne sont pas conçus pour garantir pleinement la conformité à une norme de gouvernance ou de conformité spécifique. Il vous incombe de déterminer vous-même si votre utilisation des services est conforme aux exigences légales et réglementaires applicables.
Vous trouverez ci-dessous un exemple de mappage entre les contrôles du cadre d'évaluation cybernétique (CAF) du National Cyber Security Centre (NCSC) du Royaume-Uni et les règles de AWS configuration gérées. Chaque règle de Config s'applique à une AWS ressource spécifique et concerne un ou plusieurs contrôles NCSC CAF britanniques. Un contrôle UK NCSC CAF peut être associé à plusieurs règles de configuration. Reportez-vous au tableau ci-dessous pour obtenir plus de détails et des conseils relatifs à ces mappages.
Cet exemple de modèle de pack de conformité contient des mappages avec des contrôles au sein du UK NCSC CAF (National Cyber Security Centre | NCSC CAF guidance
| ID du contrôle | Description du contrôle | AWS Règle de configuration | Conseils |
|---|---|---|---|
| A3.a Gestion des actifs | Tous les éléments nécessaires pour fournir, entretenir ou soutenir des réseaux et des systèmes d'information afin de garantir le bon fonctionnement des fonctions essentielles sont identifiés et compris. Cela inclut les données, les personnes et les systèmes, ainsi que toute infrastructure annexe (telle que l'alimentation ou le refroidissement). | Cette règle garantit que les listes de contrôle d'accès au réseau Amazon Virtual Private Cloud (VPC) sont utilisées. La surveillance des listes de contrôle d'accès réseau inutilisées peut faciliter l'inventaire et la gestion précis de votre environnement. | |
| A3.a Gestion des actifs | Tous les éléments nécessaires pour fournir, entretenir ou soutenir des réseaux et des systèmes d'information afin de garantir le bon fonctionnement des fonctions essentielles sont identifiés et compris. Cela inclut les données, les personnes et les systèmes, ainsi que toute infrastructure annexe (telle que l'alimentation ou le refroidissement). | Un inventaire des plateformes logicielles et des applications au sein de l'organisation est possible en gérant les instances Amazon Elastic Compute Cloud (Amazon EC2) avec Systems AWS Manager. Utilisez AWS Systems Manager pour fournir des configurations système détaillées, les niveaux de correctif du système d'exploitation, le nom et le type de service, les installations logicielles, le nom, l'éditeur et la version de l'application, ainsi que d'autres informations sur votre environnement. | |
| A3.a Gestion des actifs | Tous les éléments nécessaires pour fournir, entretenir ou soutenir des réseaux et des systèmes d'information afin de garantir le bon fonctionnement des fonctions essentielles sont identifiés et compris. Cela inclut les données, les personnes et les systèmes, ainsi que toute infrastructure annexe (telle que l'alimentation ou le refroidissement). | Activez cette règle pour faciliter la configuration de référence des instances Amazon Elastic Compute Cloud (Amazon EC2) en vérifiant si les instances Amazon EC2 ont été arrêtées pendant un nombre de jours supérieur au nombre autorisé, conformément aux normes de votre organisation. | |
| A3.a Gestion des actifs | Tous les éléments nécessaires pour fournir, entretenir ou soutenir des réseaux et des systèmes d'information afin de garantir le bon fonctionnement des fonctions essentielles sont identifiés et compris. Cela inclut les données, les personnes et les systèmes, ainsi que toute infrastructure annexe (telle que l'alimentation ou le refroidissement). | Cette règle garantit que les volumes Amazon Elastic Block Store attachés aux instances Amazon Elastic Compute Cloud (Amazon EC2) sont marqués pour suppression lorsqu'une instance est résiliée. Si un volume Amazon EBS n'est pas supprimé lorsque l'instance à laquelle il est attaché est résiliée, cela peut enfreindre le concept de moindre fonctionnalité. | |
| A3.a Gestion des actifs | Tous les éléments nécessaires pour fournir, entretenir ou soutenir des réseaux et des systèmes d'information afin de garantir le bon fonctionnement des fonctions essentielles sont identifiés et compris. Cela inclut les données, les personnes et les systèmes, ainsi que toute infrastructure annexe (telle que l'alimentation ou le refroidissement). | Cette règle garantit que les adresses IP Elastic (EIP) allouées à un réseau Amazon Virtual Private Cloud (Amazon VPC) sont attachées aux instances Amazon Elastic Compute Cloud (Amazon EC2) ou aux interfaces réseaux Elastic (ENI) en cours d'utilisation. Cette règle permet de surveiller les EIP non utilisées dans votre environnement. | |
| B2.a Vérification de l'identité, authentification et autorisation | Vous vérifiez, authentifiez et autorisez de manière fiable l'accès aux réseaux et aux systèmes d'information qui soutiennent votre fonction essentielle. | Les identités et les informations d'identification sont émises, gérées et vérifiées conformément à une politique de mot de passe IAM organisationnelle. Ils respectent ou dépassent les exigences énoncées par le NIST SP 800-63 et par la norme AWS Foundational Security Best Practices en matière de robustesse des mots de passe. Cette règle vous permet de définir éventuellement RequireUppercaseCharacters (valeur des meilleures pratiques de sécurité de AWS base : vrai), RequireLowercaseCharacters (valeur des meilleures pratiques de sécurité de AWS base : vrai), RequireSymbols (valeur des meilleures pratiques de sécurité de AWS base : vrai), RequireNumbers (valeur des meilleures pratiques de sécurité de AWS base : vrai), MinimumPasswordLength (valeur des meilleures pratiques de sécurité de AWS base : 14), PasswordReusePrevention (valeur des meilleures pratiques de sécurité de AWS base : 24) et MaxPasswordAge (valeur des meilleures pratiques de sécurité de AWS base : 90) pour votre IAM Politique de mot de passe. Les valeurs réelles doivent refléter les politiques de votre organisation. | |
| B2.a Vérification de l'identité, authentification et autorisation | Vous vérifiez, authentifiez et autorisez de manière fiable l'accès aux réseaux et aux systèmes d'information qui soutiennent votre fonction essentielle. | AWS Identity and Access Management (IAM) peut vous aider à intégrer les principes du moindre privilège et de la séparation des tâches aux autorisations et autorisations d'accès, en garantissant que les groupes IAM comptent au moins un utilisateur. Placer les utilisateurs dans des groupes en fonction des autorisations ou des fonctions qui leur sont associées est une manière d'intégrer le moindre privilège. | |
| B2.a Vérification de l'identité, authentification et autorisation | Vous vérifiez, authentifiez et autorisez de manière fiable l'accès aux réseaux et aux systèmes d'information qui soutiennent votre fonction essentielle. | Assurez-vous qu'un utilisateur, un rôle IAM ou un groupe IAM ( AWS Identity and Access Management) ne dispose pas d'une politique intégrée pour contrôler l'accès aux systèmes et aux actifs. AWS recommande d'utiliser des politiques gérées plutôt que des politiques intégrées. Les politiques gérées permettent la réutilisation, la gestion des versions et la restauration, ainsi que la délégation de la gestion des autorisations. | |
| B2.a Vérification de l'identité, authentification et autorisation | Vous vérifiez, authentifiez et autorisez de manière fiable l'accès aux réseaux et aux systèmes d'information qui soutiennent votre fonction essentielle. | AWS Identity and Access Management (IAM) peut vous aider à intégrer les principes du moindre privilège et de la séparation des tâches dans les autorisations et autorisations d'accès, en empêchant les politiques de contenir « Effect » : « Autoriser » avec « Action » : « * » plutôt que « Ressource » : « * ». Permettre aux utilisateurs d'avoir plus de privilèges que nécessaire pour effectuer une tâche peut enfreindre le principe du moindre privilège et de la séparation des tâches. | |
| B2.a Vérification de l'identité, authentification et autorisation | Vous vérifiez, authentifiez et autorisez de manière fiable l'accès aux réseaux et aux systèmes d'information qui soutiennent votre fonction essentielle. | AWS Identity and Access Management (IAM) peut vous aider à restreindre les autorisations et les autorisations d'accès en vous assurant que les utilisateurs sont membres d'au moins un groupe. Accorder aux utilisateurs plus de privilèges que nécessaire pour effectuer une tâche peut enfreindre le principe du moindre privilège et de la séparation des tâches. | |
| B2.a Vérification de l'identité, authentification et autorisation | Vous vérifiez, authentifiez et autorisez de manière fiable l'accès aux réseaux et aux systèmes d'information qui soutiennent votre fonction essentielle. | AWS Identity and Access Management (IAM) peut vous aider à obtenir des autorisations et des autorisations d'accès en vérifiant les mots de passe et les clés d'accès IAM qui ne sont pas utilisés pendant une période donnée. Si de telles informations d'identification non utilisées sont identifiées, vous devez les désactiver et/ou les supprimer afin de ne pas risquer d'enfreindre le principe du moindre privilège. Cette règle vous oblige à définir une valeur sur maxCredentialUsage Age (Config Default : 90). La valeur réelle doit refléter les politiques de votre organisation. | |
| B2.a Vérification de l'identité, authentification et autorisation | Vous vérifiez, authentifiez et autorisez de manière fiable l'accès aux réseaux et aux systèmes d'information qui soutiennent votre fonction essentielle. | Activez cette règle pour restreindre l'accès aux ressources dans le AWS cloud. Cette règle garantit que l'authentification multifactorielle (MFA) est activée pour tous les utilisateurs. La MFA ajoute une couche supplémentaire de protection, en plus des informations d'identification de connexion. Réduisez les incidents de comptes compromis en imposant la MFA aux utilisateurs. | |
| B2.a Vérification de l'identité, authentification et autorisation | Vous vérifiez, authentifiez et autorisez de manière fiable l'accès aux réseaux et aux systèmes d'information qui soutiennent votre fonction essentielle. | Gérez l'accès aux ressources dans le AWS cloud en vous assurant que le MFA est activé pour tous les utilisateurs AWS d'Identity and Access Management (IAM) dotés d'un mot de passe de console. La MFA ajoute une couche supplémentaire de protection, en plus des informations d'identification de connexion. En exigeant la MFA pour les utilisateurs, vous pouvez réduire les incidents liés à des comptes compromis et empêcher les utilisateurs non autorisés d'accéder aux données sensibles. | |
| B2.a Vérification de l'identité, authentification et autorisation | Vous vérifiez, authentifiez et autorisez de manière fiable l'accès aux réseaux et aux systèmes d'information qui soutiennent votre fonction essentielle. | Gérez l'accès aux ressources dans le AWS cloud en vous assurant que le matériel MFA est activé pour l'utilisateur root. L'utilisateur root est l'utilisateur disposant du plus haut niveau de privilèges dans un Compte AWS. La MFA ajoute une couche supplémentaire de protection pour les informations d'identification de connexion En exigeant l'authentification MFA pour l'utilisateur root, vous pouvez réduire le nombre d'incidents de compromission. Comptes AWS | |
| B2.a Vérification de l'identité, authentification et autorisation | Vous vérifiez, authentifiez et autorisez de manière fiable l'accès aux réseaux et aux systèmes d'information qui soutiennent votre fonction essentielle. | Gérez l'accès aux ressources dans le AWS cloud en vous assurant que le MFA est activé pour l'utilisateur root. L'utilisateur root est l'utilisateur disposant du plus haut niveau de privilèges dans un Compte AWS. La MFA ajoute une couche supplémentaire de protection pour les informations d'identification de connexion En exigeant l'authentification MFA pour l'utilisateur root, vous pouvez réduire le nombre d'incidents de compromission. Comptes AWS | |
| B2.a Vérification de l'identité, authentification et autorisation | Vous vérifiez, authentifiez et autorisez de manière fiable l'accès aux réseaux et aux systèmes d'information qui soutiennent votre fonction essentielle. | L'accès aux systèmes et aux actifs peut être contrôlé en vérifiant que l'utilisateur root ne dispose pas de clés d'accès associées à son AWS rôle Identity and Access Management (IAM). Assurez-vous que les clés d'accès root ont été supprimées. Créez et utilisez plutôt la fonction basée sur Comptes AWS les rôles pour intégrer le principe de moindre fonctionnalité. | |
| B2.a Vérification de l'identité, authentification et autorisation | Vous vérifiez, authentifiez et autorisez de manière fiable l'accès aux réseaux et aux systèmes d'information qui soutiennent votre fonction essentielle. | Cette règle garantit que les politiques AWS Identity and Access Management (IAM) ne sont associées qu'à des groupes ou à des rôles afin de contrôler l'accès aux systèmes et aux actifs. L'attribution de privilèges au niveau du groupe ou du rôle permet de réduire les risques qu'une identité reçoive ou conserve des privilèges excessifs. | |
| B2.a Vérification de l'identité, authentification et autorisation | Vous vérifiez, authentifiez et autorisez de manière fiable l'accès aux réseaux et aux systèmes d'information qui soutiennent votre fonction essentielle. | Assurez-vous que le contrôle d'accès détaillé est activé sur vos domaines Amazon OpenSearch Service. Le contrôle d'accès précis fournit des mécanismes d'autorisation améliorés pour obtenir un accès moins privilégié aux domaines Amazon Service. OpenSearch Il permet un contrôle d'accès au domaine basé sur les rôles, ainsi que la sécurité au niveau des index, des documents et des champs, la prise en charge des tableaux de bord de OpenSearch service, la mutualisation des tableaux de bord des services et l'authentification HTTP de base pour Service et Kibana. OpenSearch | |
| B2.a Vérification de l'identité, authentification et autorisation | Vous vérifiez, authentifiez et autorisez de manière fiable l'accès aux réseaux et aux systèmes d'information qui soutiennent votre fonction essentielle. | Les autorisations d'accès peuvent être gérées et intégrées selon les principes du moindre privilège et de la séparation des tâches, en activant Kerberos pour les clusters Amazon EMR. Dans Kerberos, les services et utilisateurs qui ont besoin de s'authentifier sont appelés principaux. Les principaux existent au sein d'un domaine Kerberos. Dans le domaine, un serveur Kerberos est connu sous le nom de centre de diffusion des clés (KDC). Il fournit aux principaux un moyen de s'authentifier. Le KDC s'authentifie en émettant des tickets d'authentification. Il gère une base de données des principaux au sein de son domaine, leurs mots de passe, ainsi que d'autres informations administratives sur chaque principal. | |
| B2.b Gestion des appareils | Vous connaissez parfaitement les appareils utilisés pour accéder à vos réseaux, à vos systèmes d'information et aux données qui soutiennent vos fonctions essentielles, et savez qu'il s'agit d'appareils sécurisés. | Un inventaire des plateformes logicielles et des applications au sein de l'organisation est possible en gérant les instances Amazon Elastic Compute Cloud (Amazon EC2) avec Systems AWS Manager. Utilisez AWS Systems Manager pour fournir des configurations système détaillées, les niveaux de correctif du système d'exploitation, le nom et le type de service, les installations logicielles, le nom, l'éditeur et la version de l'application, ainsi que d'autres informations sur votre environnement. | |
| B2.b Gestion des appareils | Vous connaissez parfaitement les appareils utilisés pour accéder à vos réseaux, à vos systèmes d'information et aux données qui soutiennent vos fonctions essentielles, et savez qu'il s'agit d'appareils sécurisés. | AWS Security Hub permet de surveiller le personnel, les connexions, les appareils et les logiciels non autorisés. AWS Security Hub regroupe, organise et hiérarchise les alertes de sécurité, ou les résultats, provenant de plusieurs services. AWS Parmi ces services figurent Amazon Security Hub, Amazon Inspector, Amazon Macie, AWS Identity and Access Management (IAM) Access Analyzer et AWS Firewall Manager, ainsi que des solutions partenaires. AWS | |
| B2.c Gestion des utilisateurs privilégiés | Vous gérez étroitement l'accès privilégié des utilisateurs aux réseaux et aux systèmes d'information qui soutiennent votre fonction essentielle. | AWS Identity and Access Management (IAM) peut vous aider à obtenir des autorisations et des autorisations d'accès en vérifiant les mots de passe et les clés d'accès IAM qui ne sont pas utilisés pendant une période donnée. Si de telles informations d'identification non utilisées sont identifiées, vous devez les désactiver et/ou les supprimer afin de ne pas risquer d'enfreindre le principe du moindre privilège. Cette règle vous oblige à définir une valeur sur maxCredentialUsage Age (Config Default : 90). La valeur réelle doit refléter les politiques de votre organisation. | |
| B2.c Gestion des utilisateurs privilégiés | Vous gérez étroitement l'accès privilégié des utilisateurs aux réseaux et aux systèmes d'information qui soutiennent votre fonction essentielle. | Pour faciliter la mise en œuvre du principe du moindre privilège, assurez-vous que le mode privilégié n'est pas activé dans votre environnement de CodeBuild projet Amazon. Ce paramètre doit être désactivé pour empêcher tout accès imprévu aux API Docker ainsi qu'au matériel sous-jacent du conteneur. | |
| B2.c Gestion des utilisateurs privilégiés | Vous gérez étroitement l'accès privilégié des utilisateurs aux réseaux et aux systèmes d'information qui soutiennent votre fonction essentielle. | Les profils d'instance EC2 transmettent un rôle IAM à une instance EC2. L'association d'un profil d'instance à vos instances peut faciliter la gestion du moindre privilège et des autorisations. | |
| B2.c Gestion des utilisateurs privilégiés | Vous gérez étroitement l'accès privilégié des utilisateurs aux réseaux et aux systèmes d'information qui soutiennent votre fonction essentielle. | Pour faciliter la mise en œuvre du principe du moindre privilège, les définitions de tâches Amazon Elastic Container Service (Amazon ECS) ne doivent pas comporter de privilèges élevés. Quand ce paramètre a la valeur true, le conteneur dispose de droits élevés sur l'instance de conteneur hôte (similaire à l'utilisateur root). | |
| B2.c Gestion des utilisateurs privilégiés | Vous gérez étroitement l'accès privilégié des utilisateurs aux réseaux et aux systèmes d'information qui soutiennent votre fonction essentielle. | L'activation de l'accès en lecture seule aux conteneurs Amazon Elastic Container Service (ECS) permet de respecter le principe du moindre privilège. Cette option peut réduire les vecteurs d'attaque, car le système de fichiers de l'instance de conteneur ne peut être modifié que s'il dispose d'autorisations explicites de lecture et d'écriture. | |
| B2.c Gestion des utilisateurs privilégiés | Vous gérez étroitement l'accès privilégié des utilisateurs aux réseaux et aux systèmes d'information qui soutiennent votre fonction essentielle. | Pour faciliter la mise en œuvre du principe du moindre privilège, assurez-vous qu'un utilisateur non root dispose d'un accès à vos définitions de tâches Amazon Elastic Container Service (Amazon ECS). | |
| B2.c Gestion des utilisateurs privilégiés | Vous gérez étroitement l'accès privilégié des utilisateurs aux réseaux et aux systèmes d'information qui soutiennent votre fonction essentielle. | Pour faciliter la mise en œuvre du principe du moindre privilège, assurez-vous que l'application des utilisateurs est activée pour votre Amazon Elastic File System (Amazon EFS). Lorsque cette option est activée, Amazon EFS remplace les ID utilisateur et de groupe du client NFS par l'identité configurée sur le point d'accès pour toutes les opérations du système de fichiers et n'accorde l'accès qu'à cette identité d'utilisateur appliquée. | |
| B2.c Gestion des utilisateurs privilégiés | Vous gérez étroitement l'accès privilégié des utilisateurs aux réseaux et aux systèmes d'information qui soutiennent votre fonction essentielle. | Les autorisations d'accès peuvent être gérées et intégrées selon les principes du moindre privilège et de la séparation des tâches, en activant Kerberos pour les clusters Amazon EMR. Dans Kerberos, les services et utilisateurs qui ont besoin de s'authentifier sont appelés principaux. Les principaux existent au sein d'un domaine Kerberos. Dans le domaine, un serveur Kerberos est connu sous le nom de centre de diffusion des clés (KDC). Il fournit aux principaux un moyen de s'authentifier. Le KDC s'authentifie en émettant des tickets d'authentification. Il gère une base de données des principaux au sein de son domaine, leurs mots de passe, ainsi que d'autres informations administratives sur chaque principal. | |
| B2.c Gestion des utilisateurs privilégiés | Vous gérez étroitement l'accès privilégié des utilisateurs aux réseaux et aux systèmes d'information qui soutiennent votre fonction essentielle. | AWS Identity and Access Management (IAM) peut vous aider à intégrer les principes du moindre privilège et de la séparation des tâches aux autorisations et autorisations d'accès, en empêchant les politiques de contenir des actions bloquées sur toutes les AWS clés du Key Management Service. Avoir plus de privilèges que nécessaire pour effectuer une tâche peut enfreindre le principe du moindre privilège et de la séparation des tâches. Cette règle vous permet de définir le blockedActionsPatterns paramètre. (Valeur des meilleures pratiques de sécuritéAWS fondamentales : KMS:Decrypt, kms : From). ReEncrypt Les valeurs réelles doivent refléter les politiques de votre organisation | |
| B2.c Gestion des utilisateurs privilégiés | Vous gérez étroitement l'accès privilégié des utilisateurs aux réseaux et aux systèmes d'information qui soutiennent votre fonction essentielle. | AWS Identity and Access Management (IAM) peut vous aider à intégrer les principes du moindre privilège et de la séparation des tâches aux autorisations et autorisations d'accès, en garantissant que les groupes IAM comptent au moins un utilisateur. Placer les utilisateurs dans des groupes en fonction des autorisations ou des fonctions qui leur sont associées est une manière d'intégrer le moindre privilège. | |
| B2.c Gestion des utilisateurs privilégiés | Vous gérez étroitement l'accès privilégié des utilisateurs aux réseaux et aux systèmes d'information qui soutiennent votre fonction essentielle. | AWS Identity and Access Management (IAM) peut vous aider à intégrer les principes du moindre privilège et de la séparation des tâches dans les autorisations et autorisations d'accès, en empêchant les politiques de contenir « Effect » : « Autoriser » avec « Action » : « * » plutôt que « Ressource » : « * ». Permettre aux utilisateurs d'avoir plus de privilèges que nécessaire pour effectuer une tâche peut enfreindre le principe du moindre privilège et de la séparation des tâches. | |
| B2.c Gestion des utilisateurs privilégiés | Vous gérez étroitement l'accès privilégié des utilisateurs aux réseaux et aux systèmes d'information qui soutiennent votre fonction essentielle. | Assurez-vous que les actions IAM sont limitées aux seules actions nécessaires. Permettre aux utilisateurs d'avoir plus de privilèges que nécessaire pour effectuer une tâche peut enfreindre le principe du moindre privilège et de la séparation des tâches. | |
| B2.c Gestion des utilisateurs privilégiés | Vous gérez étroitement l'accès privilégié des utilisateurs aux réseaux et aux systèmes d'information qui soutiennent votre fonction essentielle. | AWS Identity and Access Management (IAM) peut vous aider à restreindre les autorisations et autorisations d'accès en vous assurant que les utilisateurs sont membres d'au moins un groupe. Accorder aux utilisateurs plus de privilèges que nécessaire pour effectuer une tâche peut enfreindre le principe du moindre privilège et de la séparation des tâches. | |
| B2.c Gestion des utilisateurs privilégiés | Vous gérez étroitement l'accès privilégié des utilisateurs aux réseaux et aux systèmes d'information qui soutiennent votre fonction essentielle. | Si des informations d'identification non utilisées existent dans AWS Secrets Manager, vous devez les désactiver et/ou les supprimer, car cela pourrait violer le principe du moindre privilège. Cette règle vous permet de définir une valeur sur unusedForDays (Config Default : 90). La valeur réelle doit refléter les politiques de votre organisation. | |
| B2.c Gestion des utilisateurs privilégiés | Vous gérez étroitement l'accès privilégié des utilisateurs aux réseaux et aux systèmes d'information qui soutiennent votre fonction essentielle. | Activez cette règle pour restreindre l'accès aux ressources dans le AWS cloud. Cette règle garantit que l'authentification multifactorielle (MFA) est activée pour tous les utilisateurs. La MFA ajoute une couche supplémentaire de protection, en plus des informations d'identification de connexion. Réduisez les incidents de comptes compromis en imposant la MFA aux utilisateurs. | |
| B2.c Gestion des utilisateurs privilégiés | Vous gérez étroitement l'accès privilégié des utilisateurs aux réseaux et aux systèmes d'information qui soutiennent votre fonction essentielle. | Gérez l'accès aux ressources dans le AWS cloud en vous assurant que le MFA est activé pour tous les utilisateurs AWS d'Identity and Access Management (IAM) dotés d'un mot de passe de console. La MFA ajoute une couche supplémentaire de protection, en plus des informations d'identification de connexion. En exigeant la MFA pour les utilisateurs, vous pouvez réduire les incidents liés à des comptes compromis et empêcher les utilisateurs non autorisés d'accéder aux données sensibles. | |
| B2.c Gestion des utilisateurs privilégiés | Vous gérez étroitement l'accès privilégié des utilisateurs aux réseaux et aux systèmes d'information qui soutiennent votre fonction essentielle. | Gérez l'accès aux ressources dans le AWS cloud en vous assurant que le matériel MFA est activé pour l'utilisateur root. L'utilisateur root est l'utilisateur disposant du plus haut niveau de privilèges dans un Compte AWS. La MFA ajoute une couche supplémentaire de protection pour les informations d'identification de connexion En exigeant l'authentification MFA pour l'utilisateur root, vous pouvez réduire le nombre d'incidents de compromission. Comptes AWS | |
| B2.c Gestion des utilisateurs privilégiés | Vous gérez étroitement l'accès privilégié des utilisateurs aux réseaux et aux systèmes d'information qui soutiennent votre fonction essentielle. | Gérez l'accès aux ressources dans le AWS cloud en vous assurant que le MFA est activé pour l'utilisateur root. L'utilisateur root est l'utilisateur disposant du plus haut niveau de privilèges dans un Compte AWS. La MFA ajoute une couche supplémentaire de protection pour les informations d'identification de connexion En exigeant l'authentification MFA pour l'utilisateur root, vous pouvez réduire le nombre d'incidents de compromission. Comptes AWS | |
| B2.c Gestion des utilisateurs privilégiés | Vous gérez étroitement l'accès privilégié des utilisateurs aux réseaux et aux systèmes d'information qui soutiennent votre fonction essentielle. | L'accès aux systèmes et aux actifs peut être contrôlé en vérifiant que l'utilisateur root ne dispose pas de clés d'accès associées à son AWS rôle Identity and Access Management (IAM). Assurez-vous que les clés d'accès root ont été supprimées. Créez et utilisez plutôt la fonction basée sur Comptes AWS les rôles pour intégrer le principe de moindre fonctionnalité. | |
| B2.c Gestion des utilisateurs privilégiés | Vous gérez étroitement l'accès privilégié des utilisateurs aux réseaux et aux systèmes d'information qui soutiennent votre fonction essentielle. | Amazon GuardDuty peut vous aider à surveiller et à détecter les événements potentiels liés à la cybersécurité en utilisant des flux de renseignements sur les menaces. Il s'agit notamment de listes d'adresses IP malveillantes et de l'apprentissage automatique pour identifier les activités inattendues, non autorisées et malveillantes au sein de votre environnement AWS cloud. | |
| B2.c Gestion des utilisateurs privilégiés | Vous gérez étroitement l'accès privilégié des utilisateurs aux réseaux et aux systèmes d'information qui soutiennent votre fonction essentielle. | Amazon vous GuardDuty aide à comprendre l'impact d'un incident en classant les résultats par gravité : faible, moyenne et élevée. Vous pouvez utiliser ces classifications pour déterminer les stratégies et les priorités de correction. Cette règle vous permet de définir éventuellement daysLowSev (Config Default : 30), daysMediumSev (Config Default : 7) et daysHighSev (Config Default : 1) pour les résultats non archivés, comme l'exigent les politiques de votre organisation. | |
| B2.c Gestion des utilisateurs privilégiés | Vous gérez étroitement l'accès privilégié des utilisateurs aux réseaux et aux systèmes d'information qui soutiennent votre fonction essentielle. | Assurez-vous qu'un utilisateur, un rôle IAM ou un groupe IAM ( AWS Identity and Access Management) ne dispose pas d'une politique intégrée pour contrôler l'accès aux systèmes et aux actifs. AWS recommande d'utiliser des politiques gérées plutôt que des politiques intégrées. Les politiques gérées permettent la réutilisation, la gestion des versions et la restauration, ainsi que la délégation de la gestion des autorisations. | |
| B2.d Gestion des identités et des accès (IdAM) | Vous assurez la bonne gestion et la maintenance du contrôle de l'identité et des accès pour les réseaux et systèmes d'information soutenant votre fonction essentielle. | AWS Identity and Access Management (IAM) peut vous aider à intégrer les principes du moindre privilège et de la séparation des tâches aux autorisations et autorisations d'accès, en garantissant que les groupes IAM comptent au moins un utilisateur. Placer les utilisateurs dans des groupes en fonction des autorisations ou des fonctions qui leur sont associées est une manière d'intégrer le moindre privilège. | |
| B2.d Gestion des identités et des accès (IdAM) | Vous assurez la bonne gestion et la maintenance du contrôle de l'identité et des accès pour les réseaux et systèmes d'information soutenant votre fonction essentielle. | Assurez-vous qu'un utilisateur, un rôle IAM ou un groupe IAM ( AWS Identity and Access Management) ne dispose pas d'une politique intégrée pour contrôler l'accès aux systèmes et aux actifs. AWS recommande d'utiliser des politiques gérées plutôt que des politiques intégrées. Les politiques gérées permettent la réutilisation, la gestion des versions et la restauration, ainsi que la délégation de la gestion des autorisations. | |
| B2.d Gestion des identités et des accès (IdAM) | Vous assurez la bonne gestion et la maintenance du contrôle de l'identité et des accès pour les réseaux et systèmes d'information soutenant votre fonction essentielle. | AWS Identity and Access Management (IAM) peut vous aider à intégrer les principes du moindre privilège et de la séparation des tâches dans les autorisations et autorisations d'accès, en empêchant les politiques de contenir « Effect » : « Autoriser » avec « Action » : « * » plutôt que « Ressource » : « * ». Permettre aux utilisateurs d'avoir plus de privilèges que nécessaire pour effectuer une tâche peut enfreindre le principe du moindre privilège et de la séparation des tâches. | |
| B2.d Gestion des identités et des accès (IdAM) | Vous assurez la bonne gestion et la maintenance du contrôle de l'identité et des accès pour les réseaux et systèmes d'information soutenant votre fonction essentielle. | AWS Identity and Access Management (IAM) peut vous aider à restreindre les autorisations et autorisations d'accès en vous assurant que les utilisateurs sont membres d'au moins un groupe. Accorder aux utilisateurs plus de privilèges que nécessaire pour effectuer une tâche peut enfreindre le principe du moindre privilège et de la séparation des tâches. | |
| B2.d Gestion des identités et des accès (IdAM) | Vous assurez la bonne gestion et la maintenance du contrôle de l'identité et des accès pour les réseaux et systèmes d'information soutenant votre fonction essentielle. | AWS Identity and Access Management (IAM) peut vous aider à obtenir des autorisations et des autorisations d'accès en vérifiant les mots de passe et les clés d'accès IAM qui ne sont pas utilisés pendant une période donnée. Si de telles informations d'identification non utilisées sont identifiées, vous devez les désactiver et/ou les supprimer afin de ne pas risquer d'enfreindre le principe du moindre privilège. Cette règle vous oblige à définir une valeur sur maxCredentialUsage Age (Config Default : 90). La valeur réelle doit refléter les politiques de votre organisation. | |
| B2.d Gestion des identités et des accès (IdAM) | Vous assurez la bonne gestion et la maintenance du contrôle de l'identité et des accès pour les réseaux et systèmes d'information soutenant votre fonction essentielle. | La collecte d'événements de données Simple Storage Service (Amazon S3) aide à détecter toute activité anormale. Les détails incluent les Compte AWS informations qui ont accédé à un compartiment Amazon S3, l'adresse IP et l'heure de l'événement. | |
| B2.d Gestion des identités et des accès (IdAM) | Vous assurez la bonne gestion et la maintenance du contrôle de l'identité et des accès pour les réseaux et systèmes d'information soutenant votre fonction essentielle. | Pour protéger les données au repos, assurez-vous que le chiffrement est activé pour vos clusters Amazon Redshift. Vous devez également vous assurer que les configurations requises sont déployées sur les clusters Amazon Redshift. La journalisation des audits doit être activée pour fournir des informations sur les connexions et les activités de l'utilisateur dans la base de données. Cette règle nécessite qu'une valeur soit définie pour clusterDbEncrypted (Config Default : TRUE) et LoggingEnabled (Config Default : TRUE). Les valeurs réelles doivent refléter les politiques de votre organisation. | |
| B2.d Gestion des identités et des accès (IdAM) | Vous assurez la bonne gestion et la maintenance du contrôle de l'identité et des accès pour les réseaux et systèmes d'information soutenant votre fonction essentielle. | Amazon GuardDuty peut vous aider à surveiller et à détecter les événements potentiels liés à la cybersécurité en utilisant des flux de renseignements sur les menaces. Il s'agit notamment de listes d'adresses IP malveillantes et de l'apprentissage automatique pour identifier les activités inattendues, non autorisées et malveillantes au sein de votre environnement AWS cloud. | |
| B2.d Gestion des identités et des accès (IdAM) | Vous assurez la bonne gestion et la maintenance du contrôle de l'identité et des accès pour les réseaux et systèmes d'information soutenant votre fonction essentielle. | Amazon vous GuardDuty aide à comprendre l'impact d'un incident en classant les résultats par gravité : faible, moyenne et élevée. Vous pouvez utiliser ces classifications pour déterminer les stratégies et les priorités de correction. Cette règle vous permet de définir éventuellement daysLowSev (Config Default : 30), daysMediumSev (Config Default : 7) et daysHighSev (Config Default : 1) pour les résultats non archivés, comme l'exigent les politiques de votre organisation. | |
| B2.d Gestion des identités et des accès (IdAM) | Vous assurez la bonne gestion et la maintenance du contrôle de l'identité et des accès pour les réseaux et systèmes d'information soutenant votre fonction essentielle. | Utilisez Amazon CloudWatch pour collecter et gérer de manière centralisée l'activité des événements du journal. L'inclusion de AWS CloudTrail données fournit des détails sur l'activité des appels d'API au sein de votre Compte AWS. | |
| B2.d Gestion des identités et des accès (IdAM) | Vous assurez la bonne gestion et la maintenance du contrôle de l'identité et des accès pour les réseaux et systèmes d'information soutenant votre fonction essentielle. | Les identités et les informations d'identification sont émises, gérées et vérifiées conformément à une politique de mot de passe IAM organisationnelle. Ils respectent ou dépassent les exigences énoncées par le NIST SP 800-63 et par la norme AWS Foundational Security Best Practices en matière de robustesse des mots de passe. Cette règle vous permet de définir éventuellement RequireUppercaseCharacters (valeur des meilleures pratiques de sécurité de AWS base : vrai), RequireLowercaseCharacters (valeur des meilleures pratiques de sécurité de AWS base : vrai), RequireSymbols (valeur des meilleures pratiques de sécurité de AWS base : vrai), RequireNumbers (valeur des meilleures pratiques de sécurité de AWS base : vrai), MinimumPasswordLength (valeur des meilleures pratiques de sécurité de AWS base : 14), PasswordReusePrevention (valeur des meilleures pratiques de sécurité de AWS base : 24) et MaxPasswordAge (valeur des meilleures pratiques de sécurité de AWS base : 90) pour votre IAM Politique de mot de passe. Les valeurs réelles doivent refléter les politiques de votre organisation. | |
| B2.d Gestion des identités et des accès (IdAM) | Vous assurez la bonne gestion et la maintenance du contrôle de l'identité et des accès pour les réseaux et systèmes d'information soutenant votre fonction essentielle. | Amazon CloudWatch émet une alerte lorsqu'un indicateur dépasse le seuil pour un certain nombre de périodes d'évaluation. L’alarme réalise une ou plusieurs actions en fonction de la valeur de la métrique ou de l’expression par rapport à un seuil sur un certain nombre de périodes. Cette règle nécessite une valeur pour alarmActionRequired (Config Default : True), insufficientDataAction Required (Config Default : True), okActionRequired (Config Default : False). La valeur réelle doit refléter les actions d'alarme de votre environnement. | |
| B2.d Gestion des identités et des accès (IdAM) | Vous assurez la bonne gestion et la maintenance du contrôle de l'identité et des accès pour les réseaux et systèmes d'information soutenant votre fonction essentielle. | AWS Security Hub permet de surveiller le personnel, les connexions, les appareils et les logiciels non autorisés. AWS Security Hub regroupe, organise et hiérarchise les alertes de sécurité, ou les résultats, provenant de plusieurs services. AWS Parmi ces services figurent Amazon Security Hub, Amazon Inspector, Amazon Macie, AWS Identity and Access Management (IAM) Access Analyzer et AWS Firewall Manager, ainsi que des solutions partenaires. AWS | |
| B3.a Compréhension des données | Vous comprenez parfaitement les données cruciales pour le fonctionnement de votre fonction essentielle, l'endroit où elles sont stockées, où elles se déplacent, et comment leur indisponibilité, ou un accès, une modification ou une suppression non autorisés pourraient avoir un impact négatif sur votre fonction essentielle. Cela vaut également pour les tiers qui stockent ou accèdent à des données importantes pour le fonctionnement de vos fonctions essentielles. | Cette règle garantit que les volumes Amazon Elastic Block Store attachés aux instances Amazon Elastic Compute Cloud (Amazon EC2) sont marqués pour suppression lorsqu'une instance est résiliée. Si un volume Amazon EBS n'est pas supprimé lorsque l'instance à laquelle il est attaché est résiliée, cela peut enfreindre le concept de moindre fonctionnalité. | |
| B3.b Données en transit | Vous avez protégé le transit des données qui est important pour le fonctionnement de votre fonction essentielle. Cela inclut le transfert de données à des tiers. | Assurez-vous que l'intégrité du réseau est protégée en vous assurant que les certificats X509 sont émis par AWS ACM. Ces certificats doivent être valides et non expirés. Cette règle nécessite une valeur pour daysToExpiration (valeur des meilleures pratiques de sécuritéAWS fondamentales : 90). La valeur réelle doit refléter les politiques de votre organisation. | |
| B3.b Données en transit | Vous avez protégé le transit des données qui est important pour le fonctionnement de votre fonction essentielle. Cela inclut le transfert de données à des tiers. | Assurez-vous que vos équilibreurs de charge Elastic Load Balancing (ELB) sont configurés pour ne pas prendre en compte les en-têtes http. Comme il peut y avoir des données sensibles, activez le chiffrement en transit pour protéger ces données. | |
| B3.b Données en transit | Vous avez protégé le transit des données qui est important pour le fonctionnement de votre fonction essentielle. Cela inclut le transfert de données à des tiers. | Pour protéger les données en transit, assurez-vous que votre Application Load Balancer redirige automatiquement les requêtes HTTP non chiffrées vers HTTPS. Comme il peut y avoir des données sensibles, activez le chiffrement en transit pour protéger ces données. | |
| B3.b Données en transit | Vous avez protégé le transit des données qui est important pour le fonctionnement de votre fonction essentielle. Cela inclut le transfert de données à des tiers. | Assurez-vous que node-to-node le chiffrement pour Amazon OpenSearch Service est activé. ode-to-node Le chiffrement N active le chiffrement TLS 1.2 pour toutes les communications au sein d'Amazon Virtual Private Cloud (Amazon VPC). Comme il peut y avoir des données sensibles, activez le chiffrement en transit pour protéger ces données. | |
| B3.b Données en transit | Vous avez protégé le transit des données qui est important pour le fonctionnement de votre fonction essentielle. Cela inclut le transfert de données à des tiers. | Comme il peut y avoir des données sensibles et pour protéger les données en transit, assurez-vous que le chiffrement est activé pour votre Elastic Load Balancing. Utilisez AWS Certificate Manager pour gérer, fournir et déployer des certificats SSL/TLS publics et privés avec des AWS services et des ressources internes. | |
| B3.b Données en transit | Vous avez protégé le transit des données qui est important pour le fonctionnement de votre fonction essentielle. Cela inclut le transfert de données à des tiers. | Assurez-vous que vos équilibreurs de charge Elastic Load Balancing (ELB) sont configurés avec des écouteurs SSL ou HTTPS. Comme il peut y avoir des données sensibles, activez le chiffrement en transit pour protéger ces données. | |
| B3.b Données en transit | Vous avez protégé le transit des données qui est important pour le fonctionnement de votre fonction essentielle. Cela inclut le transfert de données à des tiers. | Assurez-vous que vos clusters Amazon Redshift nécessitent un chiffrement TLS/SSL pour se connecter aux clients SQL. Comme il peut y avoir des données sensibles, activez le chiffrement en transit pour protéger ces données. | |
| B3.b Données en transit | Vous avez protégé le transit des données qui est important pour le fonctionnement de votre fonction essentielle. Cela inclut le transfert de données à des tiers. | Pour protéger les données en transit, assurez-vous que vos compartiments Amazon Simple Storage Service (Amazon S3) exigent que les demandes utilisent Secure Socket Layer (SSL). Comme il peut y avoir des données sensibles, activez le chiffrement en transit pour protéger ces données. | |
| B3.b Données en transit | Vous avez protégé le transit des données qui est important pour le fonctionnement de votre fonction essentielle. Cela inclut le transfert de données à des tiers. | Assurez-vous que AWS le WAF est activé sur les Elastic Load Balancers (ELB) pour protéger les applications Web. Un WAF aide à protéger vos applications Web ou API contre les menaces Web courantes. Ces attaques Web peuvent affecter la disponibilité, compromettre la sécurité ou consommer des ressources excessives dans votre environnement. | |
| B3.b Données en transit | Vous avez protégé le transit des données qui est important pour le fonctionnement de votre fonction essentielle. Cela inclut le transfert de données à des tiers. | Gérez l'accès au AWS cloud en vous assurant que les instances de réplication DMS ne sont pas accessibles au public. Les instances de réplication DMS peuvent contenir des informations sensibles, c'est pourquoi un contrôle des accès est requis pour ces comptes. | |
| B3.b Données en transit | Vous avez protégé le transit des données qui est important pour le fonctionnement de votre fonction essentielle. Cela inclut le transfert de données à des tiers. | Gérez l'accès au AWS cloud en vous assurant que les instances Amazon Elastic Compute Cloud (Amazon EC2) ne sont pas accessibles au public. Les instances Amazon EC2 peuvent contenir des informations sensibles, c'est pourquoi un contrôle des accès est requis pour ces comptes. | |
| B3.b Données en transit | Vous avez protégé le transit des données qui est important pour le fonctionnement de votre fonction essentielle. Cela inclut le transfert de données à des tiers. | Gérez l'accès au AWS cloud en vous assurant que les domaines Amazon OpenSearch OpenSearch Service (Service) se trouvent dans un Amazon Virtual Private Cloud (Amazon VPC). Un domaine de OpenSearch service au sein d'un Amazon VPC permet une communication sécurisée entre le OpenSearch service et les autres services au sein d'Amazon VPC sans avoir besoin d'une passerelle Internet, d'un appareil NAT ou d'une connexion VPN. | |
| B3.b Données en transit | Vous avez protégé le transit des données qui est important pour le fonctionnement de votre fonction essentielle. Cela inclut le transfert de données à des tiers. | Gérez l'accès au AWS cloud en vous assurant que les nœuds maîtres du cluster Amazon EMR ne sont pas accessibles au public. Les nœuds principaux du cluster Amazon EMR peuvent contenir des informations sensibles, c'est pourquoi un contrôle des accès est requis pour ces comptes. | |
| B3.b Données en transit | Vous avez protégé le transit des données qui est important pour le fonctionnement de votre fonction essentielle. Cela inclut le transfert de données à des tiers. | Les groupes de sécurité Amazon Elastic Compute Cloud (Amazon EC2) peuvent aider à gérer l'accès au réseau en fournissant un filtrage dynamique du trafic réseau entrant et sortant vers les ressources. AWS Ne pas autoriser le trafic entrant (ou distant) de 0.0.0.0/0 vers le port 22 sur vos ressources vous aide à restreindre l'accès à distance. | |
| B3.b Données en transit | Vous avez protégé le transit des données qui est important pour le fonctionnement de votre fonction essentielle. Cela inclut le transfert de données à des tiers. | Déployez des instances Amazon Elastic Compute Cloud (Amazon EC2) au sein d'un réseau Amazon Virtual Private Cloud (Amazon VPC) pour permettre une communication sécurisée entre une instance et les autres services au sein du réseau Amazon VPC, sans nécessiter de passerelle Internet, de périphérique NAT ou de connexion VPN. Tout le trafic reste sécurisé dans le AWS cloud. En raison de leur isolement logique, les domaines résidant au sein d'un réseau Amazon VPC possèdent une couche de sécurité supplémentaire par rapport aux domaines qui utilisent des points de terminaison publics. Attribuez des instances Amazon EC2 à un réseau Amazon VPC pour une gestion correcte des accès. | |
| B3.b Données en transit | Vous avez protégé le transit des données qui est important pour le fonctionnement de votre fonction essentielle. Cela inclut le transfert de données à des tiers. | Gérez l'accès aux ressources dans le AWS cloud en vous assurant que les passerelles Internet ne sont connectées qu'à Amazon Virtual Private Cloud (Amazon VPC) autorisé. Les passerelles Internet permettent un accès bidirectionnel à Internet depuis et vers le réseau Amazon VPC, ce qui peut potentiellement entraîner un accès non autorisé aux ressources Amazon VPC. | |
| B3.b Données en transit | Vous avez protégé le transit des données qui est important pour le fonctionnement de votre fonction essentielle. Cela inclut le transfert de données à des tiers. | Déployez les fonctions AWS Lambda au sein d'un Amazon Virtual Private Cloud (Amazon VPC) pour une communication sécurisée entre une fonction et les autres services au sein d'Amazon VPC. Avec cette configuration, il n'est pas nécessaire d'avoir une passerelle Internet, un périphérique NAT ou une connexion VPN. Tout le trafic reste sécurisé dans le AWS cloud. En raison de leur isolement logique, les domaines résidant au sein d'un réseau Amazon VPC possèdent une couche de sécurité supplémentaire par rapport aux domaines qui utilisent des points de terminaison publics. Pour gérer correctement l'accès, les fonctions AWS Lambda doivent être attribuées à un VPC. | |
| B3.b Données en transit | Vous avez protégé le transit des données qui est important pour le fonctionnement de votre fonction essentielle. Cela inclut le transfert de données à des tiers. | Gérez l'accès aux ressources dans le AWS cloud en vous assurant que les instances Amazon Relational Database Service (Amazon RDS) ne sont pas publiques. Les instances de base de données Amazon RDS peuvent contenir des informations sensibles, c'est pourquoi des principes et un contrôle des accès sont requis pour ces comptes. | |
| B3.b Données en transit | Vous avez protégé le transit des données qui est important pour le fonctionnement de votre fonction essentielle. Cela inclut le transfert de données à des tiers. | Gérez l'accès aux ressources dans le AWS cloud en vous assurant que les clusters Amazon Redshift ne sont pas publics. Les clusters Amazon Redshift peuvent contenir des informations sensibles, c'est pourquoi des principes et un contrôle des accès sont requis pour ces comptes. | |
| B3.b Données en transit | Vous avez protégé le transit des données qui est important pour le fonctionnement de votre fonction essentielle. Cela inclut le transfert de données à des tiers. | Gérez l'accès aux ressources dans le AWS cloud en vous assurant que les ports courants sont restreints sur les groupes de sécurité Amazon Elastic Compute Cloud (Amazon EC2). Le fait de ne pas limiter l'accès aux ports à des sources fiables peut entraîner des attaques mettant en péril la disponibilité, l'intégrité et la confidentialité des systèmes. Cette règle vous permet éventuellement de définir les paramètres blockedPort1 à blockedPort5 (configuration par défaut : 20,21,3389,3306,4333). Les valeurs réelles doivent refléter les politiques de votre organisation. | |
| B3.b Données en transit | Vous avez protégé le transit des données qui est important pour le fonctionnement de votre fonction essentielle. Cela inclut le transfert de données à des tiers. | Gérez l'accès aux ressources dans le AWS cloud en vous assurant que les SageMaker blocs-notes Amazon ne permettent pas un accès direct à Internet. En empêchant l'accès direct à Internet, vous pouvez empêcher les utilisateurs non autorisés d'accéder à des données sensibles. | |
| B3.b Données en transit | Vous avez protégé le transit des données qui est important pour le fonctionnement de votre fonction essentielle. Cela inclut le transfert de données à des tiers. | Les groupes de sécurité Amazon Elastic Compute Cloud (Amazon EC2) peuvent contribuer à la gestion de l'accès au réseau en fournissant un filtrage dynamique du trafic réseau entrant et sortant vers les ressources. AWS La restriction de tout le trafic sur le groupe de sécurité par défaut permet de restreindre l'accès à distance à vos AWS ressources. | |
| B3.b Données en transit | Vous avez protégé le transit des données qui est important pour le fonctionnement de votre fonction essentielle. Cela inclut le transfert de données à des tiers. | Gérez l'accès aux ressources dans le AWS cloud en vous assurant que les ports courants sont restreints sur les groupes de sécurité Amazon Elastic Compute Cloud (Amazon EC2). Le fait de ne pas limiter l'accès aux ports à des sources fiables peut entraîner des attaques mettant en péril la disponibilité, l'intégrité et la confidentialité des systèmes. En limitant l'accès aux ressources d'un groupe de sécurité depuis Internet (0.0.0.0/0), il est possible de contrôler l'accès à distance aux systèmes internes. | |
| B3.b Données en transit | Vous avez protégé le transit des données qui est important pour le fonctionnement de votre fonction essentielle. Cela inclut le transfert de données à des tiers. | La surveillance de l'état Elastic Load Balancer (ELB) pour les groupes Auto Scaling Amazon Elastic Compute Cloud (Amazon EC2) permet de maintenir une capacité et une disponibilité adéquates. L'équilibreur de charge envoie périodiquement des pings, effectue des tentatives de connexion ou adresse des demandes pour tester l'état des instances Amazon EC2 dans un groupe Auto Scaling. Si une instance ne renvoie pas de rapport, le trafic est envoyé à une nouvelle instance Amazon EC2. | |
| B3.b Données en transit | Vous avez protégé le transit des données qui est important pour le fonctionnement de votre fonction essentielle. Cela inclut le transfert de données à des tiers. | Activez l'équilibrage de charge entre zones pour vos équilibreurs de charge Elastic Load Balancing (ELB) afin de maintenir une capacité et une disponibilité adéquates. L'équilibrage de charge entre zones réduit la nécessité de maintenir un nombre équivalent d'instances dans chaque zone de disponibilité activée. Cela améliore également la capacité de votre application à gérer la perte d'une ou de plusieurs instances. | |
| B3.b Données en transit | Vous avez protégé le transit des données qui est important pour le fonctionnement de votre fonction essentielle. Cela inclut le transfert de données à des tiers. | Cette règle garantit que la protection contre la suppression est activée pour Elastic Load Balancing. Utilisez cette fonctionnalité pour empêcher la suppression accidentelle ou malveillante de votre équilibreur de charge, ce qui pourrait entraîner une perte de disponibilité pour vos applications. | |
| B3.b Données en transit | Vous avez protégé le transit des données qui est important pour le fonctionnement de votre fonction essentielle. Cela inclut le transfert de données à des tiers. | Des tunnels Site-to-Site VPN redondants peuvent être mis en œuvre pour répondre aux exigences de résilience. Deux tunnels sont utilisés pour garantir la connectivité au cas où l'une des connexions Site-to-Site VPN deviendrait indisponible. Pour bénéficier d'une protection contre la perte de connectivité en cas d'indisponibilité de votre passerelle client, vous pouvez configurer une seconde connexion Site-to-Site VPN vers votre réseau Amazon Virtual Private Cloud (Amazon VPC) et votre passerelle privée virtuelle en ajoutant une seconde passerelle client. | |
| B3.b Données en transit | Vous avez protégé le transit des données qui est important pour le fonctionnement de votre fonction essentielle. Cela inclut le transfert de données à des tiers. | Pour protéger les données au repos, assurez-vous que le chiffrement est activé pour le cache de votre environnement API Gateway. Étant donné que des données sensibles peuvent être capturées pour la méthode API, activez le chiffrement au repos pour protéger ces données. | |
| B3.b Données en transit | Vous avez protégé le transit des données qui est important pour le fonctionnement de votre fonction essentielle. Cela inclut le transfert de données à des tiers. | Assurez-vous que node-to-node le chiffrement pour Amazon OpenSearch Service est activé. ode-to-node Le chiffrement N active le chiffrement TLS 1.2 pour toutes les communications au sein d'Amazon Virtual Private Cloud (Amazon VPC). Comme il peut y avoir des données sensibles, activez le chiffrement en transit pour protéger ces données. | |
| B3.b Données en transit | Vous avez protégé le transit des données qui est important pour le fonctionnement de votre fonction essentielle. Cela inclut le transfert de données à des tiers. | Gérez l'accès au AWS cloud en vous assurant que les domaines Amazon OpenSearch Service se trouvent dans un Amazon Virtual Private Cloud (Amazon VPC). Un domaine Amazon OpenSearch Service au sein d'un Amazon VPC permet une communication sécurisée entre Amazon OpenSearch Service et les autres services au sein d'Amazon VPC sans avoir besoin d'une passerelle Internet, d'un appareil NAT ou d'une connexion VPN. | |
| B3.c Données stockées | Vous avez protégé les données stockées importantes pour le fonctionnement de votre fonction essentielle. | Étant donné que des données sensibles peuvent exister et pour protéger les données au repos, assurez-vous que le cryptage est activé pour vos AWS CloudTrail pistes. | |
| B3.c Données stockées | Vous avez protégé les données stockées importantes pour le fonctionnement de votre fonction essentielle. | Pour protéger les données sensibles au repos, assurez-vous que le chiffrement est activé pour vos Amazon CloudWatch Log Groups. | |
| B3.c Données stockées | Vous avez protégé les données stockées importantes pour le fonctionnement de votre fonction essentielle. | Assurez-vous que le chiffrement est activé pour vos tables Amazon DynamoDB. Comme il peut y avoir des données sensibles au repos dans ces tables, activez le chiffrement au repos pour protéger ces données. Par défaut, les tables DynamoDB sont chiffrées à l'aide AWS d'une clé principale propre au client (CMK). | |
| B3.c Données stockées | Vous avez protégé les données stockées importantes pour le fonctionnement de votre fonction essentielle. | Pour protéger les données au repos, assurez-vous que le chiffrement est activé pour vos volumes Amazon Elastic Block Store (Amazon EBS). Comme il peut y avoir des données sensibles au repos dans ces volumes, activez le chiffrement au repos pour protéger ces données. | |
| B3.c Données stockées | Vous avez protégé les données stockées importantes pour le fonctionnement de votre fonction essentielle. | Comme il peut y avoir des données sensibles et pour protéger les données au repos, assurez-vous que le chiffrement est activé pour votre Amazon Elastic File System (EFS). | |
| B3.c Données stockées | Vous avez protégé les données stockées importantes pour le fonctionnement de votre fonction essentielle. | Étant donné que des données sensibles peuvent exister et pour protéger les données au repos, assurez-vous que le chiffrement est activé pour vos domaines Amazon OpenSearch OpenSearch Service (Service). | |
| B3.c Données stockées | Vous avez protégé les données stockées importantes pour le fonctionnement de votre fonction essentielle. | Comme il peut y avoir des données sensibles et pour protéger les données au repos, assurez-vous que le chiffrement est activé pour vos volumes Amazon Elastic Block Store (Amazon EBS). | |
| B3.c Données stockées | Vous avez protégé les données stockées importantes pour le fonctionnement de votre fonction essentielle. | Assurez-vous que le chiffrement est activé pour vos instantanés Amazon Relational Database Service (Amazon RDS). Comme il peut y avoir des données sensibles au repos, activez le chiffrement au repos pour protéger ces données. | |
| B3.c Données stockées | Vous avez protégé les données stockées importantes pour le fonctionnement de votre fonction essentielle. | Pour protéger les données au repos, assurez-vous que le chiffrement est activé pour vos instances Amazon Relational Database Service (Amazon RDS). Comme il peut y avoir des données sensibles au repos dans les instances Amazon RDS, activez le chiffrement au repos pour protéger ces données. | |
| B3.c Données stockées | Vous avez protégé les données stockées importantes pour le fonctionnement de votre fonction essentielle. | Pour protéger les données au repos, assurez-vous que le chiffrement est activé pour vos clusters Amazon Redshift. Vous devez également vous assurer que les configurations requises sont déployées sur les clusters Amazon Redshift. La journalisation des audits doit être activée pour fournir des informations sur les connexions et les activités de l'utilisateur dans la base de données. Cette règle nécessite qu'une valeur soit définie pour clusterDbEncrypted (Config Default : TRUE) et LoggingEnabled (Config Default : TRUE). Les valeurs réelles doivent refléter les politiques de votre organisation. | |
| B3.c Données stockées | Vous avez protégé les données stockées importantes pour le fonctionnement de votre fonction essentielle. | Pour protéger les données au repos, assurez-vous que le chiffrement est activé pour vos compartiments Amazon Simple Storage Service (Amazon S3). Comme il peut y avoir des données sensibles au repos dans les compartiments Amazon S3, activez le chiffrement pour protéger ces données. | |
| B3.c Données stockées | Vous avez protégé les données stockées importantes pour le fonctionnement de votre fonction essentielle. | Pour protéger les données au repos, assurez-vous que le chiffrement avec le service de gestion des AWS clés (AWS KMS) est activé pour votre SageMaker terminal. Étant donné que les données sensibles peuvent exister au repos sur le SageMaker terminal, activez le chiffrement au repos pour protéger ces données. | |
| B3.c Données stockées | Vous avez protégé les données stockées importantes pour le fonctionnement de votre fonction essentielle. | Pour protéger les données au repos, assurez-vous que le chiffrement avec le service de gestion des AWS clés (AWS KMS) est activé pour votre SageMaker ordinateur portable. Étant donné que des données sensibles peuvent exister au repos dans le SageMaker bloc-notes, activez le chiffrement au repos pour protéger ces données. | |
| B3.c Données stockées | Vous avez protégé les données stockées importantes pour le fonctionnement de votre fonction essentielle. | Pour protéger les données au repos, assurez-vous que vos rubriques Amazon Simple Notification Service (Amazon SNS) nécessitent un chiffrement à l' AWS aide du Key Management Service AWS (KMS). Comme il peut y avoir des données sensibles au repos dans les messages publiés, activez le chiffrement au repos pour protéger ces données. | |
| B3.c Données stockées | Vous avez protégé les données stockées importantes pour le fonctionnement de votre fonction essentielle. | Activez la rotation des clés pour vous assurer que les clés sont pivotées une fois qu'elles ont atteint la fin de leur période de chiffrement. | |
| B3.c Données stockées | Vous avez protégé les données stockées importantes pour le fonctionnement de votre fonction essentielle. | Pour protéger les données au repos, assurez-vous que la suppression des clés principales du client (CMK) nécessaires n'est pas planifiée dans le service de gestion des AWS clés (AWS KMS). La suppression de clés étant parfois nécessaire, cette règle peut aider à vérifier toutes les clés dont la suppression est prévue, au cas où la suppression d'une clé aurait été planifiée par inadvertance. | |
| B3.c Données stockées | Vous avez protégé les données stockées importantes pour le fonctionnement de votre fonction essentielle. | La fonctionnalité de sauvegarde d'Amazon RDS crée des sauvegardes de vos bases de données et de vos journaux de transactions. Amazon RDS crée automatiquement un instantané du volume de stockage de votre instance de base de données, en sauvegardant l'intégralité de cette dernière. Le système vous permet de définir des périodes de conservation spécifiques pour répondre à vos exigences de résilience. | |
| B3.c Données stockées | Vous avez protégé les données stockées importantes pour le fonctionnement de votre fonction essentielle. | Pour faciliter les processus de sauvegarde des données, assurez-vous que vos tables Amazon DynamoDB font partie d'un plan de AWS sauvegarde. AWS Backup est un service de sauvegarde entièrement géré doté d'une solution de sauvegarde basée sur des règles. Cette solution simplifie la gestion de vos sauvegardes et vous permet de répondre aux exigences de conformité de votre entreprise et aux réglementations en matière de sauvegarde. | |
| B3.c Données stockées | Vous avez protégé les données stockées importantes pour le fonctionnement de votre fonction essentielle. | Activez cette règle pour vérifier que les informations ont été sauvegardées. Il gère également les sauvegardes en s'assurant que la point-in-time restauration est activée dans Amazon DynamoDB. La récupération permet de maintenir des sauvegardes continues de votre table pour les 35 derniers jours. | |
| B3.c Données stockées | Vous avez protégé les données stockées importantes pour le fonctionnement de votre fonction essentielle. | Pour faciliter les processus de sauvegarde des données, assurez-vous que vos volumes Amazon Elastic Block Store (Amazon EBS) font partie d'un plan de sauvegarde. AWS AWS Backup est un service de sauvegarde entièrement géré doté d'une solution de sauvegarde basée sur des règles. Cette solution simplifie la gestion de vos sauvegardes et vous permet de répondre aux exigences de conformité de votre entreprise et aux réglementations en matière de sauvegarde. | |
| B3.c Données stockées | Vous avez protégé les données stockées importantes pour le fonctionnement de votre fonction essentielle. | Une instance optimisée dans Amazon Elastic Block Store (Amazon EBS) fournit une capacité supplémentaire dédiée aux opérations d'E/S d'Amazon EBS. Cette optimisation offre les performances les plus efficaces pour vos volumes EBS en minimisant les conflits entre les opérations d'E/S d'Amazon EBS et le trafic restant de votre instance. | |
| B3.c Données stockées | Vous avez protégé les données stockées importantes pour le fonctionnement de votre fonction essentielle. | Pour faciliter les processus de sauvegarde des données, assurez-vous que vos systèmes de fichiers Amazon Elastic File System (Amazon EFS) font partie d'un plan de AWS sauvegarde. AWS Backup est un service de sauvegarde entièrement géré doté d'une solution de sauvegarde basée sur des règles. Cette solution simplifie la gestion de vos sauvegardes et vous permet de répondre aux exigences de conformité de votre entreprise et aux réglementations en matière de sauvegarde. | |
| B3.c Données stockées | Vous avez protégé les données stockées importantes pour le fonctionnement de votre fonction essentielle. | Lorsque les sauvegardes automatiques sont activées, Amazon ElastiCache crée une sauvegarde du cluster quotidiennement. La sauvegarde peut être conservée pendant un nombre de jours défini par votre organisation. Les sauvegardes automatiques peuvent constituer une protection contre la perte de données. En cas de défaillance, vous pouvez créer un nouveau cluster, ce qui restaurera vos données à partir de la sauvegarde la plus récente. | |
| B3.c Données stockées | Vous avez protégé les données stockées importantes pour le fonctionnement de votre fonction essentielle. | Pour faciliter les processus de sauvegarde des données, assurez-vous que vos instances Amazon Relational Database Service (Amazon RDS) font partie d'un plan de sauvegarde. AWS AWS Backup est un service de sauvegarde entièrement géré doté d'une solution de sauvegarde basée sur des règles. Cette solution simplifie la gestion de vos sauvegardes et vous permet de répondre aux exigences de conformité de votre entreprise et aux réglementations en matière de sauvegarde. | |
| B3.c Données stockées | Vous avez protégé les données stockées importantes pour le fonctionnement de votre fonction essentielle. | La réplication entre régions (CRR) Amazon Simple Storage Service (Amazon S3) facilite le maintien d'une capacité et d'une disponibilité adéquates. La CRR permet la copie automatique et asynchrone d'objets entre les compartiments Amazon S3 afin de garantir le maintien de la disponibilité des données. | |
| B3.c Données stockées | Vous avez protégé les données stockées importantes pour le fonctionnement de votre fonction essentielle. | La gestion des versions d'un compartiment Amazon Simple Storage Service (Amazon S3) permet de conserver plusieurs variantes d'un objet dans le même compartiment Amazon S3. Utilisez la gestion des versions pour préserver, récupérer et restaurer chaque version de chaque objet stocké dans votre compartiment Amazon S3. La gestion des versions vous aide à récupérer facilement en cas d'action involontaire d'un utilisateur et de défaillance applicative. | |
| B3.c Données stockées | Vous avez protégé les données stockées importantes pour le fonctionnement de votre fonction essentielle. | Assurez-vous que la protection contre la suppression est activée sur les instances Amazon Relational Database Service (Amazon RDS). Utilisez la protection contre la suppression pour empêcher la suppression accidentelle ou malveillante des instances Amazon RDS, ce qui pourrait entraîner une perte de disponibilité pour vos applications. | |
| B3.c Données stockées | Vous avez protégé les données stockées importantes pour le fonctionnement de votre fonction essentielle. | Assurez-vous que le verrouillage est activé par défaut dans votre compartiment Amazon Simple Storage Service (Amazon S3). Comme il peut y avoir des données sensibles au repos dans les compartiments S3, appliquez le verrouillage d'objet au repos pour protéger ces données. | |
| B3.c Données stockées | Vous avez protégé les données stockées importantes pour le fonctionnement de votre fonction essentielle. | La prise en charge multi-AZ dans Amazon Relational Database Service (Amazon RDS) offre une disponibilité et une durabilité améliorées pour les instances de base de données. Lorsque vous mettez en service une instance de base de données multi-AZ, Amazon RDS crée automatiquement une instance de base de données principale et réplique de manière synchrone les données vers une instance de secours dans une autre zone de disponibilité. Chaque zone de disponibilité fonctionne sur sa propre infrastructure physiquement distincte et indépendante, et est conçue pour être hautement fiable. En cas de défaillance de l'infrastructure, Amazon RDS effectue un basculement automatique vers l'instance de secours afin que vous puissiez poursuivre les opérations de base de données dès que le basculement est terminé. | |
| B3.c Données stockées | Vous avez protégé les données stockées importantes pour le fonctionnement de votre fonction essentielle. | Assurez-vous que l'intégrité du réseau est protégée en vous assurant que les certificats X509 sont émis par AWS ACM. Ces certificats doivent être valides et non expirés. Cette règle nécessite une valeur pour daysToExpiration (valeur des meilleures pratiques de sécuritéAWS fondamentales : 90). La valeur réelle doit refléter les politiques de votre organisation. | |
| B3.c Données stockées | Vous avez protégé les données stockées importantes pour le fonctionnement de votre fonction essentielle. | Étant donné que des données sensibles peuvent exister et pour protéger les données au repos, assurez-vous que le chiffrement est activé pour vos domaines Amazon OpenSearch Service. | |
| B4.a Sécurité intégrée à la conception | Vous intégrez la sécurité au réseau et aux systèmes d'information qui garantissent le bon fonctionnement de vos fonctions essentielles dès la conception. Vous minimisez leur surface d'attaque et vous vous assurez que le fonctionnement de votre fonction essentielle n'est pas affecté par l'exploitation d'une seule vulnérabilité. | Assurez-vous que vos équilibreurs de charge Elastic Load Balancing (ELB) sont configurés pour ne pas prendre en compte les en-têtes http. Comme il peut y avoir des données sensibles, activez le chiffrement en transit pour protéger ces données. | |
| B4.a Sécurité intégrée à la conception | Vous intégrez la sécurité au réseau et aux systèmes d'information qui garantissent le bon fonctionnement de vos fonctions essentielles dès la conception. Vous minimisez leur surface d'attaque et vous vous assurez que le fonctionnement de votre fonction essentielle n'est pas affecté par l'exploitation d'une seule vulnérabilité. | Pour protéger les données en transit, assurez-vous que votre Application Load Balancer redirige automatiquement les requêtes HTTP non chiffrées vers HTTPS. Comme il peut y avoir des données sensibles, activez le chiffrement en transit pour protéger ces données. | |
| B4.a Sécurité intégrée à la conception | Vous intégrez la sécurité au réseau et aux systèmes d'information qui garantissent le bon fonctionnement de vos fonctions essentielles dès la conception. Vous minimisez leur surface d'attaque et vous vous assurez que le fonctionnement de votre fonction essentielle n'est pas affecté par l'exploitation d'une seule vulnérabilité. | Assurez-vous que AWS le WAF est activé sur les Elastic Load Balancers (ELB) pour protéger les applications Web. Un WAF aide à protéger vos applications Web ou API contre les menaces Web courantes. Ces attaques Web peuvent affecter la disponibilité, compromettre la sécurité ou consommer des ressources excessives dans votre environnement. | |
| B4.a Sécurité intégrée à la conception | Vous intégrez la sécurité au réseau et aux systèmes d'information qui garantissent le bon fonctionnement de vos fonctions essentielles dès la conception. Vous minimisez leur surface d'attaque et vous vous assurez que le fonctionnement de votre fonction essentielle n'est pas affecté par l'exploitation d'une seule vulnérabilité. | Gérez l'accès au AWS cloud en vous assurant que les instances de réplication DMS ne sont pas accessibles au public. Les instances de réplication DMS peuvent contenir des informations sensibles, c'est pourquoi un contrôle des accès est requis pour ces comptes. | |
| B4.a Sécurité intégrée à la conception | Vous intégrez la sécurité au réseau et aux systèmes d'information qui garantissent le bon fonctionnement de vos fonctions essentielles dès la conception. Vous minimisez leur surface d'attaque et vous vous assurez que le fonctionnement de votre fonction essentielle n'est pas affecté par l'exploitation d'une seule vulnérabilité. | Gérez l'accès au AWS cloud en vous assurant que les instantanés EBS ne sont pas restaurables publiquement. Les instantanés des volumes EBS peuvent contenir des informations sensibles, c'est pourquoi un contrôle des accès est requis pour ces comptes. | |
| B4.a Sécurité intégrée à la conception | Vous intégrez la sécurité au réseau et aux systèmes d'information qui garantissent le bon fonctionnement de vos fonctions essentielles dès la conception. Vous minimisez leur surface d'attaque et vous vous assurez que le fonctionnement de votre fonction essentielle n'est pas affecté par l'exploitation d'une seule vulnérabilité. | Gérez l'accès au AWS cloud en vous assurant que les instances Amazon Elastic Compute Cloud (Amazon EC2) ne sont pas accessibles au public. Les instances Amazon EC2 peuvent contenir des informations sensibles, c'est pourquoi un contrôle des accès est requis pour ces comptes. | |
| B4.a Sécurité intégrée à la conception | Vous intégrez la sécurité au réseau et aux systèmes d'information qui garantissent le bon fonctionnement de vos fonctions essentielles dès la conception. Vous minimisez leur surface d'attaque et vous vous assurez que le fonctionnement de votre fonction essentielle n'est pas affecté par l'exploitation d'une seule vulnérabilité. | Gérez l'accès au AWS cloud en vous assurant que les domaines Amazon OpenSearch OpenSearch Service (Service) se trouvent dans un Amazon Virtual Private Cloud (Amazon VPC). Un domaine de OpenSearch service au sein d'un Amazon VPC permet une communication sécurisée entre le OpenSearch service et les autres services au sein d'Amazon VPC sans avoir besoin d'une passerelle Internet, d'un appareil NAT ou d'une connexion VPN. | |
| B4.a Sécurité intégrée à la conception | Vous intégrez la sécurité au réseau et aux systèmes d'information qui garantissent le bon fonctionnement de vos fonctions essentielles dès la conception. Vous minimisez leur surface d'attaque et vous vous assurez que le fonctionnement de votre fonction essentielle n'est pas affecté par l'exploitation d'une seule vulnérabilité. | Comme il peut y avoir des données sensibles et pour protéger les données en transit, assurez-vous que le chiffrement est activé pour votre Elastic Load Balancing. Utilisez AWS Certificate Manager pour gérer, fournir et déployer des certificats SSL/TLS publics et privés avec des AWS services et des ressources internes. | |
| B4.a Sécurité intégrée à la conception | Vous intégrez la sécurité au réseau et aux systèmes d'information qui garantissent le bon fonctionnement de vos fonctions essentielles dès la conception. Vous minimisez leur surface d'attaque et vous vous assurez que le fonctionnement de votre fonction essentielle n'est pas affecté par l'exploitation d'une seule vulnérabilité. | Assurez-vous que vos équilibreurs de charge Elastic Load Balancing (ELB) sont configurés avec des écouteurs SSL ou HTTPS. Comme il peut y avoir des données sensibles, activez le chiffrement en transit pour protéger ces données. | |
| B4.a Sécurité intégrée à la conception | Vous intégrez la sécurité au réseau et aux systèmes d'information qui garantissent le bon fonctionnement de vos fonctions essentielles dès la conception. Vous minimisez leur surface d'attaque et vous vous assurez que le fonctionnement de votre fonction essentielle n'est pas affecté par l'exploitation d'une seule vulnérabilité. | Gérez l'accès au AWS cloud en vous assurant que les nœuds maîtres du cluster Amazon EMR ne sont pas accessibles au public. Les nœuds principaux du cluster Amazon EMR peuvent contenir des informations sensibles, c'est pourquoi un contrôle des accès est requis pour ces comptes. | |
| B4.a Sécurité intégrée à la conception | Vous intégrez la sécurité au réseau et aux systèmes d'information qui garantissent le bon fonctionnement de vos fonctions essentielles dès la conception. Vous minimisez leur surface d'attaque et vous vous assurez que le fonctionnement de votre fonction essentielle n'est pas affecté par l'exploitation d'une seule vulnérabilité. | Amazon GuardDuty peut vous aider à surveiller et à détecter les événements potentiels liés à la cybersécurité en utilisant des flux de renseignements sur les menaces. Il s'agit notamment de listes d'adresses IP malveillantes et de l'apprentissage automatique pour identifier les activités inattendues, non autorisées et malveillantes au sein de votre environnement AWS cloud. | |
| B4.a Sécurité intégrée à la conception | Vous intégrez la sécurité au réseau et aux systèmes d'information qui garantissent le bon fonctionnement de vos fonctions essentielles dès la conception. Vous minimisez leur surface d'attaque et vous vous assurez que le fonctionnement de votre fonction essentielle n'est pas affecté par l'exploitation d'une seule vulnérabilité. | Les groupes de sécurité Amazon Elastic Compute Cloud (Amazon EC2) peuvent aider à gérer l'accès au réseau en fournissant un filtrage dynamique du trafic réseau entrant et sortant vers les ressources. AWS Ne pas autoriser le trafic entrant (ou distant) de 0.0.0.0/0 vers le port 22 sur vos ressources vous aide à restreindre l'accès à distance. | |
| B4.a Sécurité intégrée à la conception | Vous intégrez la sécurité au réseau et aux systèmes d'information qui garantissent le bon fonctionnement de vos fonctions essentielles dès la conception. Vous minimisez leur surface d'attaque et vous vous assurez que le fonctionnement de votre fonction essentielle n'est pas affecté par l'exploitation d'une seule vulnérabilité. | Déployez des instances Amazon Elastic Compute Cloud (Amazon EC2) au sein d'un réseau Amazon Virtual Private Cloud (Amazon VPC) pour permettre une communication sécurisée entre une instance et les autres services au sein du réseau Amazon VPC, sans nécessiter de passerelle Internet, de périphérique NAT ou de connexion VPN. Tout le trafic reste sécurisé dans le AWS cloud. En raison de leur isolement logique, les domaines résidant au sein d'un réseau Amazon VPC possèdent une couche de sécurité supplémentaire par rapport aux domaines qui utilisent des points de terminaison publics. Attribuez des instances Amazon EC2 à un réseau Amazon VPC pour une gestion correcte des accès. | |
| B4.a Sécurité intégrée à la conception | Vous intégrez la sécurité au réseau et aux systèmes d'information qui garantissent le bon fonctionnement de vos fonctions essentielles dès la conception. Vous minimisez leur surface d'attaque et vous vous assurez que le fonctionnement de votre fonction essentielle n'est pas affecté par l'exploitation d'une seule vulnérabilité. | Gérez l'accès aux ressources dans le AWS cloud en vous assurant que les passerelles Internet ne sont connectées qu'à Amazon Virtual Private Cloud (Amazon VPC) autorisé. Les passerelles Internet permettent un accès bidirectionnel à Internet depuis et vers le réseau Amazon VPC, ce qui peut potentiellement entraîner un accès non autorisé aux ressources Amazon VPC. | |
| B4.a Sécurité intégrée à la conception | Vous intégrez la sécurité au réseau et aux systèmes d'information qui garantissent le bon fonctionnement de vos fonctions essentielles dès la conception. Vous minimisez leur surface d'attaque et vous vous assurez que le fonctionnement de votre fonction essentielle n'est pas affecté par l'exploitation d'une seule vulnérabilité. | Gérez l'accès aux ressources dans le AWS cloud en vous assurant que les fonctions AWS Lambda ne sont pas accessibles au public. Un accès public peut potentiellement entraîner une dégradation de la disponibilité des ressources. | |
| B4.a Sécurité intégrée à la conception | Vous intégrez la sécurité au réseau et aux systèmes d'information qui garantissent le bon fonctionnement de vos fonctions essentielles dès la conception. Vous minimisez leur surface d'attaque et vous vous assurez que le fonctionnement de votre fonction essentielle n'est pas affecté par l'exploitation d'une seule vulnérabilité. | Déployez les fonctions AWS Lambda au sein d'un Amazon Virtual Private Cloud (Amazon VPC) pour une communication sécurisée entre une fonction et les autres services au sein d'Amazon VPC. Avec cette configuration, il n'est pas nécessaire d'avoir une passerelle Internet, un périphérique NAT ou une connexion VPN. Tout le trafic reste sécurisé dans le AWS cloud. En raison de leur isolement logique, les domaines résidant au sein d'un réseau Amazon VPC possèdent une couche de sécurité supplémentaire par rapport aux domaines qui utilisent des points de terminaison publics. Pour gérer correctement l'accès, les fonctions AWS Lambda doivent être attribuées à un VPC. | |
| B4.a Sécurité intégrée à la conception | Vous intégrez la sécurité au réseau et aux systèmes d'information qui garantissent le bon fonctionnement de vos fonctions essentielles dès la conception. Vous minimisez leur surface d'attaque et vous vous assurez que le fonctionnement de votre fonction essentielle n'est pas affecté par l'exploitation d'une seule vulnérabilité. | Gérez l'accès aux ressources dans le AWS cloud en vous assurant que les instances Amazon Relational Database Service (Amazon RDS) ne sont pas publiques. Les instances de base de données Amazon RDS peuvent contenir des informations sensibles, c'est pourquoi des principes et un contrôle des accès sont requis pour ces comptes. | |
| B4.a Sécurité intégrée à la conception | Vous intégrez la sécurité au réseau et aux systèmes d'information qui garantissent le bon fonctionnement de vos fonctions essentielles dès la conception. Vous minimisez leur surface d'attaque et vous vous assurez que le fonctionnement de votre fonction essentielle n'est pas affecté par l'exploitation d'une seule vulnérabilité. | Gérez l'accès aux ressources dans le AWS cloud en vous assurant que les instances Amazon Relational Database Service (Amazon RDS) ne sont pas publiques. Les instances de base de données Amazon RDS peuvent contenir des informations sensibles, c'est pourquoi des principes et un contrôle des accès sont requis pour ces comptes. | |
| B4.a Sécurité intégrée à la conception | Vous intégrez la sécurité au réseau et aux systèmes d'information qui garantissent le bon fonctionnement de vos fonctions essentielles dès la conception. Vous minimisez leur surface d'attaque et vous vous assurez que le fonctionnement de votre fonction essentielle n'est pas affecté par l'exploitation d'une seule vulnérabilité. | Gérez l'accès aux ressources dans le AWS cloud en vous assurant que les clusters Amazon Redshift ne sont pas publics. Les clusters Amazon Redshift peuvent contenir des informations sensibles, c'est pourquoi des principes et un contrôle des accès sont requis pour ces comptes. | |
| B4.a Sécurité intégrée à la conception | Vous intégrez la sécurité au réseau et aux systèmes d'information qui garantissent le bon fonctionnement de vos fonctions essentielles dès la conception. Vous minimisez leur surface d'attaque et vous vous assurez que le fonctionnement de votre fonction essentielle n'est pas affecté par l'exploitation d'une seule vulnérabilité. | Gérez l'accès aux ressources dans le AWS cloud en vous assurant que les ports courants sont restreints sur les groupes de sécurité Amazon Elastic Compute Cloud (Amazon EC2). Le fait de ne pas limiter l'accès aux ports à des sources fiables peut entraîner des attaques mettant en péril la disponibilité, l'intégrité et la confidentialité des systèmes. Cette règle vous permet éventuellement de définir les paramètres blockedPort1 à blockedPort5 (configuration par défaut : 20,21,3389,3306,4333). Les valeurs réelles doivent refléter les politiques de votre organisation. | |
| B4.a Sécurité intégrée à la conception | Vous intégrez la sécurité au réseau et aux systèmes d'information qui garantissent le bon fonctionnement de vos fonctions essentielles dès la conception. Vous minimisez leur surface d'attaque et vous vous assurez que le fonctionnement de votre fonction essentielle n'est pas affecté par l'exploitation d'une seule vulnérabilité. | Gérez l'accès aux ressources dans le AWS cloud en veillant à ce que les compartiments Amazon Simple Storage Service (Amazon S3) ne soient pas accessibles au public. Cette règle permet de protéger les données sensibles contre les utilisateurs distants non autorisés en empêchant l'accès public. Cette règle vous permet de définir éventuellement les paramètres ignorePublicAcls (Config Default : True), blockPublicPolicy (Config Default : True), blockPublicAcls (Config Default : True) et restrictPublicBuckets les paramètres (Config Default : True). Les valeurs réelles doivent refléter les politiques de votre organisation. | |
| B4.a Sécurité intégrée à la conception | Vous intégrez la sécurité au réseau et aux systèmes d'information qui garantissent le bon fonctionnement de vos fonctions essentielles dès la conception. Vous minimisez leur surface d'attaque et vous vous assurez que le fonctionnement de votre fonction essentielle n'est pas affecté par l'exploitation d'une seule vulnérabilité. | Gérez l'accès aux ressources dans le AWS cloud en autorisant uniquement les utilisateurs, les processus et les appareils autorisés à accéder aux compartiments Amazon Simple Storage Service (Amazon S3). La gestion des accès doit être cohérente avec la classification des données. | |
| B4.a Sécurité intégrée à la conception | Vous intégrez la sécurité au réseau et aux systèmes d'information qui garantissent le bon fonctionnement de vos fonctions essentielles dès la conception. Vous minimisez leur surface d'attaque et vous vous assurez que le fonctionnement de votre fonction essentielle n'est pas affecté par l'exploitation d'une seule vulnérabilité. | Gérez l'accès aux ressources dans le AWS cloud en autorisant uniquement les utilisateurs, les processus et les appareils autorisés à accéder aux compartiments Amazon Simple Storage Service (Amazon S3). La gestion des accès doit être cohérente avec la classification des données. | |
| B4.a Sécurité intégrée à la conception | Vous intégrez la sécurité au réseau et aux systèmes d'information qui garantissent le bon fonctionnement de vos fonctions essentielles dès la conception. Vous minimisez leur surface d'attaque et vous vous assurez que le fonctionnement de votre fonction essentielle n'est pas affecté par l'exploitation d'une seule vulnérabilité. | Gérez l'accès aux ressources dans le AWS cloud en vous assurant que les SageMaker blocs-notes Amazon ne permettent pas un accès direct à Internet. En empêchant l'accès direct à Internet, vous pouvez empêcher les utilisateurs non autorisés d'accéder à des données sensibles. | |
| B4.a Sécurité intégrée à la conception | Vous intégrez la sécurité au réseau et aux systèmes d'information qui garantissent le bon fonctionnement de vos fonctions essentielles dès la conception. Vous minimisez leur surface d'attaque et vous vous assurez que le fonctionnement de votre fonction essentielle n'est pas affecté par l'exploitation d'une seule vulnérabilité. | Les groupes de sécurité Amazon Elastic Compute Cloud (Amazon EC2) peuvent contribuer à la gestion de l'accès au réseau en fournissant un filtrage dynamique du trafic réseau entrant et sortant vers les ressources. AWS La restriction de tout le trafic sur le groupe de sécurité par défaut permet de restreindre l'accès à distance à vos AWS ressources. | |
| B4.a Sécurité intégrée à la conception | Vous intégrez la sécurité au réseau et aux systèmes d'information qui garantissent le bon fonctionnement de vos fonctions essentielles dès la conception. Vous minimisez leur surface d'attaque et vous vous assurez que le fonctionnement de votre fonction essentielle n'est pas affecté par l'exploitation d'une seule vulnérabilité. | Gérez l'accès aux ressources dans le AWS cloud en vous assurant que les ports courants sont restreints sur les groupes de sécurité Amazon Elastic Compute Cloud (Amazon EC2). Le fait de ne pas limiter l'accès aux ports à des sources fiables peut entraîner des attaques mettant en péril la disponibilité, l'intégrité et la confidentialité des systèmes. En limitant l'accès aux ressources d'un groupe de sécurité depuis Internet (0.0.0.0/0), il est possible de contrôler l'accès à distance aux systèmes internes. | |
| B4.a Sécurité intégrée à la conception | Vous intégrez la sécurité au réseau et aux systèmes d'information qui garantissent le bon fonctionnement de vos fonctions essentielles dès la conception. Vous minimisez leur surface d'attaque et vous vous assurez que le fonctionnement de votre fonction essentielle n'est pas affecté par l'exploitation d'une seule vulnérabilité. | La surveillance de l'état Elastic Load Balancer (ELB) pour les groupes Auto Scaling Amazon Elastic Compute Cloud (Amazon EC2) permet de maintenir une capacité et une disponibilité adéquates. L'équilibreur de charge envoie périodiquement des pings, effectue des tentatives de connexion ou adresse des demandes pour tester l'état des instances Amazon EC2 dans un groupe Auto Scaling. Si une instance ne renvoie pas de rapport, le trafic est envoyé à une nouvelle instance Amazon EC2. | |
| B4.a Sécurité intégrée à la conception | Vous intégrez la sécurité au réseau et aux systèmes d'information qui garantissent le bon fonctionnement de vos fonctions essentielles dès la conception. Vous minimisez leur surface d'attaque et vous vous assurez que le fonctionnement de votre fonction essentielle n'est pas affecté par l'exploitation d'une seule vulnérabilité. | Amazon DynamoDB Auto Scaling AWS utilise le service Application Auto Scaling pour ajuster la capacité de débit allouée afin de répondre automatiquement aux modèles de trafic réels. Cela permet à une table ou à un index secondaire global d'augmenter sa capacité de lecture/d'écriture approvisionnée afin de gérer les hausses soudaines de trafic sans limitation. | |
| B4.a Sécurité intégrée à la conception | Vous intégrez la sécurité au réseau et aux systèmes d'information qui garantissent le bon fonctionnement de vos fonctions essentielles dès la conception. Vous minimisez leur surface d'attaque et vous vous assurez que le fonctionnement de votre fonction essentielle n'est pas affecté par l'exploitation d'une seule vulnérabilité. | Activez cette règle pour vous assurer que la capacité de débit allouée est vérifiée sur vos tables Amazon DynamoDB. Il s'agit du volume d'activité de lecture/d'écriture que chaque table peut prendre en charge. DynamoDB utilise ces informations pour réserver des ressources système suffisantes pour répondre à vos exigences de débit. Cette règle génère une alerte lorsque le débit approche de la limite maximale pour le compte d'un client. Cette règle vous permet de définir éventuellement les paramètres AccountRCU (ThresholdPercentage Config Default : 80) et AccountWCU ThresholdPercentage (Config Default : 80). Les valeurs réelles doivent refléter les politiques de votre organisation. | |
| B4.a Sécurité intégrée à la conception | Vous intégrez la sécurité au réseau et aux systèmes d'information qui garantissent le bon fonctionnement de vos fonctions essentielles dès la conception. Vous minimisez leur surface d'attaque et vous vous assurez que le fonctionnement de votre fonction essentielle n'est pas affecté par l'exploitation d'une seule vulnérabilité. | Activez l'équilibrage de charge entre zones pour vos équilibreurs de charge Elastic Load Balancing (ELB) afin de maintenir une capacité et une disponibilité adéquates. L'équilibrage de charge entre zones réduit la nécessité de maintenir un nombre équivalent d'instances dans chaque zone de disponibilité activée. Cela améliore également la capacité de votre application à gérer la perte d'une ou de plusieurs instances. | |
| B4.a Sécurité intégrée à la conception | Vous intégrez la sécurité au réseau et aux systèmes d'information qui garantissent le bon fonctionnement de vos fonctions essentielles dès la conception. Vous minimisez leur surface d'attaque et vous vous assurez que le fonctionnement de votre fonction essentielle n'est pas affecté par l'exploitation d'une seule vulnérabilité. | Cette règle garantit que la protection contre la suppression est activée pour Elastic Load Balancing. Utilisez cette fonctionnalité pour empêcher la suppression accidentelle ou malveillante de votre équilibreur de charge, ce qui pourrait entraîner une perte de disponibilité pour vos applications. | |
| B4.a Sécurité intégrée à la conception | Vous intégrez la sécurité au réseau et aux systèmes d'information qui garantissent le bon fonctionnement de vos fonctions essentielles dès la conception. Vous minimisez leur surface d'attaque et vous vous assurez que le fonctionnement de votre fonction essentielle n'est pas affecté par l'exploitation d'une seule vulnérabilité. | Cette règle assure que les limites de simultanéité élevées et basses d'une fonction Lambda ont été définies. Elle permet de référencer le nombre de demandes auxquelles votre fonction répond à un moment donné. | |
| B4.a Sécurité intégrée à la conception | Vous intégrez la sécurité au réseau et aux systèmes d'information qui garantissent le bon fonctionnement de vos fonctions essentielles dès la conception. Vous minimisez leur surface d'attaque et vous vous assurez que le fonctionnement de votre fonction essentielle n'est pas affecté par l'exploitation d'une seule vulnérabilité. | Assurez-vous que la protection contre la suppression est activée sur les instances Amazon Relational Database Service (Amazon RDS). Utilisez la protection contre la suppression pour empêcher la suppression accidentelle ou malveillante des instances Amazon RDS, ce qui pourrait entraîner une perte de disponibilité pour vos applications. | |
| B4.a Sécurité intégrée à la conception | Vous intégrez la sécurité au réseau et aux systèmes d'information qui garantissent le bon fonctionnement de vos fonctions essentielles dès la conception. Vous minimisez leur surface d'attaque et vous vous assurez que le fonctionnement de votre fonction essentielle n'est pas affecté par l'exploitation d'une seule vulnérabilité. | La prise en charge multi-AZ dans Amazon Relational Database Service (Amazon RDS) offre une disponibilité et une durabilité améliorées pour les instances de base de données. Lorsque vous mettez en service une instance de base de données multi-AZ, Amazon RDS crée automatiquement une instance de base de données principale et réplique de manière synchrone les données vers une instance de secours dans une autre zone de disponibilité. Chaque zone de disponibilité fonctionne sur sa propre infrastructure physiquement distincte et indépendante, et est conçue pour être hautement fiable. En cas de défaillance de l'infrastructure, Amazon RDS effectue un basculement automatique vers l'instance de secours afin que vous puissiez poursuivre les opérations de base de données dès que le basculement est terminé. | |
| B4.a Sécurité intégrée à la conception | Vous intégrez la sécurité au réseau et aux systèmes d'information qui garantissent le bon fonctionnement de vos fonctions essentielles dès la conception. Vous minimisez leur surface d'attaque et vous vous assurez que le fonctionnement de votre fonction essentielle n'est pas affecté par l'exploitation d'une seule vulnérabilité. | Assurez-vous que le verrouillage est activé par défaut dans votre compartiment Amazon Simple Storage Service (Amazon S3). Comme il peut y avoir des données sensibles au repos dans les compartiments S3, appliquez le verrouillage d'objet au repos pour protéger ces données. | |
| B4.a Sécurité intégrée à la conception | Vous intégrez la sécurité au réseau et aux systèmes d'information qui garantissent le bon fonctionnement de vos fonctions essentielles dès la conception. Vous minimisez leur surface d'attaque et vous vous assurez que le fonctionnement de votre fonction essentielle n'est pas affecté par l'exploitation d'une seule vulnérabilité. | Des tunnels Site-to-Site VPN redondants peuvent être mis en œuvre pour répondre aux exigences de résilience. Deux tunnels sont utilisés pour garantir la connectivité au cas où l'une des connexions Site-to-Site VPN deviendrait indisponible. Pour bénéficier d'une protection contre la perte de connectivité en cas d'indisponibilité de votre passerelle client, vous pouvez configurer une seconde connexion Site-to-Site VPN vers votre réseau Amazon Virtual Private Cloud (Amazon VPC) et votre passerelle privée virtuelle en ajoutant une seconde passerelle client. | |
| B4.a Sécurité intégrée à la conception | Vous intégrez la sécurité au réseau et aux systèmes d'information qui garantissent le bon fonctionnement de vos fonctions essentielles dès la conception. Vous minimisez leur surface d'attaque et vous vous assurez que le fonctionnement de votre fonction essentielle n'est pas affecté par l'exploitation d'une seule vulnérabilité. | Un inventaire des plateformes logicielles et des applications au sein de l'organisation est possible en gérant les instances Amazon Elastic Compute Cloud (Amazon EC2) avec Systems AWS Manager. Utilisez AWS Systems Manager pour fournir des configurations système détaillées, les niveaux de correctif du système d'exploitation, le nom et le type de service, les installations logicielles, le nom, l'éditeur et la version de l'application, ainsi que d'autres informations sur votre environnement. | |
| B4.a Sécurité intégrée à la conception | Vous intégrez la sécurité au réseau et aux systèmes d'information qui garantissent le bon fonctionnement de vos fonctions essentielles dès la conception. Vous minimisez leur surface d'attaque et vous vous assurez que le fonctionnement de votre fonction essentielle n'est pas affecté par l'exploitation d'une seule vulnérabilité. | Gérez l'accès au AWS cloud en vous assurant que les domaines Amazon OpenSearch Service se trouvent dans un Amazon Virtual Private Cloud (Amazon VPC). Un domaine Amazon OpenSearch Service au sein d'un Amazon VPC permet une communication sécurisée entre Amazon OpenSearch Service et les autres services au sein d'Amazon VPC sans avoir besoin d'une passerelle Internet, d'un appareil NAT ou d'une connexion VPN. | |
| B4.b Configuration sécurisée | Vous configurez en toute sécurité le réseau et les systèmes d'information qui garantissent le bon fonctionnement de vos fonctions essentielles. | Utilisez AWS les associations de Systems Manager pour vous aider à inventorier les plateformes logicielles et les applications au sein d'une organisation. AWS Systems Manager attribue un état de configuration à vos instances gérées et vous permet de définir des niveaux de référence pour les niveaux de correctifs du système d'exploitation, les installations de logiciels, les configurations d'applications et d'autres informations relatives à votre environnement. | |
| B4.b Configuration sécurisée | Vous configurez en toute sécurité le réseau et les systèmes d'information qui garantissent le bon fonctionnement de vos fonctions essentielles. | Activez cette règle pour faciliter l'identification et la documentation des vulnérabilités d'Amazon Elastic Compute Cloud (Amazon EC2). La règle vérifie si les correctifs d'instance Amazon EC2 sont conformes dans AWS Systems Manager conformément aux politiques et procédures de votre entreprise. | |
| B4.b Configuration sécurisée | Vous configurez en toute sécurité le réseau et les systèmes d'information qui garantissent le bon fonctionnement de vos fonctions essentielles. | Assurez-vous que la méthode Service des métadonnées d'instance Version 2 (IMDSv2) est activée pour protéger l'accès aux métadonnées d'instance Amazon Elastic Compute Cloud (Amazon EC2) et leur contrôle. La méthode IMDSv2 utilise des contrôles basés sur la session. Avec IMDSv2, des contrôles peuvent être mis en œuvre pour limiter les modifications apportées aux métadonnées des instances. | |
| B4.b Configuration sécurisée | Vous configurez en toute sécurité le réseau et les systèmes d'information qui garantissent le bon fonctionnement de vos fonctions essentielles. | Cette règle garantit que les clusters Amazon Redshift disposent des paramètres préférés de votre organisation. Plus précisément, qu'ils disposent de fenêtres de maintenance préférées et de périodes de conservation des instantanés automatisées pour la base de données. Cette règle vous oblige à définir le allowVersionUpgrade. Par défaut, la valeur est true. Il vous permet également de définir éventuellement le preferredMaintenanceWindow (la valeur par défaut est samedi : 16h00 - samedi : 16h30) et la automatedSnapshotRetention période (la valeur par défaut est 1). Les valeurs réelles doivent refléter les politiques de votre organisation. | |
| B4.c Gestion sécurisée | Vous gérez le réseau et les systèmes d'information de votre organisation qui garantissent le bon fonctionnement de vos fonctions essentielles pour assurer et préserver la sécurité. | Activez cette règle pour faciliter l'identification et la documentation des vulnérabilités d'Amazon Elastic Compute Cloud (Amazon EC2). La règle vérifie si les correctifs d'instance Amazon EC2 sont conformes dans AWS Systems Manager conformément aux politiques et procédures de votre entreprise. | |
| B4.c Gestion sécurisée | Vous gérez le réseau et les systèmes d'information de votre organisation qui garantissent le bon fonctionnement de vos fonctions essentielles pour assurer et préserver la sécurité. | Assurez-vous que la méthode Service des métadonnées d'instance Version 2 (IMDSv2) est activée pour protéger l'accès aux métadonnées d'instance Amazon Elastic Compute Cloud (Amazon EC2) et leur contrôle. La méthode IMDSv2 utilise des contrôles basés sur la session. Avec IMDSv2, des contrôles peuvent être mis en œuvre pour limiter les modifications apportées aux métadonnées des instances. | |
| B4.c Gestion sécurisée | Vous gérez le réseau et les systèmes d'information de votre organisation qui garantissent le bon fonctionnement de vos fonctions essentielles pour assurer et préserver la sécurité. | Un inventaire des plateformes logicielles et des applications au sein de l'organisation est possible en gérant les instances Amazon Elastic Compute Cloud (Amazon EC2) avec Systems AWS Manager. Utilisez AWS Systems Manager pour fournir des configurations système détaillées, les niveaux de correctif du système d'exploitation, le nom et le type de service, les installations logicielles, le nom, l'éditeur et la version de l'application, ainsi que d'autres informations sur votre environnement. | |
| B4.d. Vulnerability Management | Vous gérez les vulnérabilités connues de votre réseau et de vos systèmes d'information afin d'éviter tout impact négatif sur vos fonctions essentielles. | Utilisez AWS les associations de Systems Manager pour vous aider à inventorier les plateformes logicielles et les applications au sein d'une organisation. AWS Systems Manager attribue un état de configuration à vos instances gérées et vous permet de définir des niveaux de référence pour les niveaux de correctifs du système d'exploitation, les installations de logiciels, les configurations d'applications et d'autres informations relatives à votre environnement. | |
| B4.d. Vulnerability Management | Vous gérez les vulnérabilités connues de votre réseau et de vos systèmes d'information afin d'éviter tout impact négatif sur vos fonctions essentielles. | Activez cette règle pour faciliter l'identification et la documentation des vulnérabilités d'Amazon Elastic Compute Cloud (Amazon EC2). La règle vérifie si les correctifs d'instance Amazon EC2 sont conformes dans AWS Systems Manager conformément aux politiques et procédures de votre entreprise. | |
| B4.d. Vulnerability Management | Vous gérez les vulnérabilités connues de votre réseau et de vos systèmes d'information afin d'éviter tout impact négatif sur vos fonctions essentielles. | Assurez-vous que la méthode Service des métadonnées d'instance Version 2 (IMDSv2) est activée pour protéger l'accès aux métadonnées d'instance Amazon Elastic Compute Cloud (Amazon EC2) et leur contrôle. La méthode IMDSv2 utilise des contrôles basés sur la session. Avec IMDSv2, des contrôles peuvent être mis en œuvre pour limiter les modifications apportées aux métadonnées des instances. | |
| B4.d. Vulnerability Management | Vous gérez les vulnérabilités connues de votre réseau et de vos systèmes d'information afin d'éviter tout impact négatif sur vos fonctions essentielles. | Cette règle garantit que les clusters Amazon Redshift disposent des paramètres préférés de votre organisation. Plus précisément, qu'ils disposent de fenêtres de maintenance préférées et de périodes de conservation des instantanés automatisées pour la base de données. Cette règle vous oblige à définir le allowVersionUpgrade. Par défaut, la valeur est true. Il vous permet également de définir éventuellement le preferredMaintenanceWindow (la valeur par défaut est samedi : 16h00 - samedi : 16h30) et la automatedSnapshotRetention période (la valeur par défaut est 1). Les valeurs réelles doivent refléter les politiques de votre organisation. | |
| B4.d. Vulnerability Management | Vous gérez les vulnérabilités connues de votre réseau et de vos systèmes d'information afin d'éviter tout impact négatif sur vos fonctions essentielles. | AWS Security Hub permet de surveiller le personnel, les connexions, les appareils et les logiciels non autorisés. AWS Security Hub regroupe, organise et hiérarchise les alertes de sécurité, ou les résultats, provenant de plusieurs services. AWS Parmi ces services figurent Amazon Security Hub, Amazon Inspector, Amazon Macie, AWS Identity and Access Management (IAM) Access Analyzer et AWS Firewall Manager, ainsi que des solutions partenaires. AWS | |
| B4.d. Vulnerability Management | Vous gérez les vulnérabilités connues de votre réseau et de vos systèmes d'information afin d'éviter tout impact négatif sur vos fonctions essentielles. | Des tunnels Site-to-Site VPN redondants peuvent être mis en œuvre pour répondre aux exigences de résilience. Deux tunnels sont utilisés pour garantir la connectivité au cas où l'une des connexions Site-to-Site VPN deviendrait indisponible. Pour bénéficier d'une protection contre la perte de connectivité en cas d'indisponibilité de votre passerelle client, vous pouvez configurer une seconde connexion Site-to-Site VPN vers votre réseau Amazon Virtual Private Cloud (Amazon VPC) et votre passerelle privée virtuelle en ajoutant une seconde passerelle client. | |
| B5.b Conception axée sur la résilience | Vous concevez le réseau et les systèmes d'information qui garantissent le bon fonctionnement de votre fonction essentielle de manière à ce qu'ils soient résilients aux incidents de cybersécurité. Les systèmes sont correctement séparés et les limites de ressources sont atténuées. | Activez l'équilibrage de charge entre zones pour vos équilibreurs de charge Elastic Load Balancing (ELB) afin de maintenir une capacité et une disponibilité adéquates. L'équilibrage de charge entre zones réduit la nécessité de maintenir un nombre équivalent d'instances dans chaque zone de disponibilité activée. Cela améliore également la capacité de votre application à gérer la perte d'une ou de plusieurs instances. | |
| B5.b Conception axée sur la résilience | Vous concevez le réseau et les systèmes d'information qui garantissent le bon fonctionnement de votre fonction essentielle de manière à ce qu'ils soient résilients aux incidents de cybersécurité. Les systèmes sont correctement séparés et les limites de ressources sont atténuées. | La prise en charge multi-AZ dans Amazon Relational Database Service (Amazon RDS) offre une disponibilité et une durabilité améliorées pour les instances de base de données. Lorsque vous mettez en service une instance de base de données multi-AZ, Amazon RDS crée automatiquement une instance de base de données principale et réplique de manière synchrone les données vers une instance de secours dans une autre zone de disponibilité. Chaque zone de disponibilité fonctionne sur sa propre infrastructure physiquement distincte et indépendante, et est conçue pour être hautement fiable. En cas de défaillance de l'infrastructure, Amazon RDS effectue un basculement automatique vers l'instance de secours afin que vous puissiez poursuivre les opérations de base de données dès que le basculement est terminé. | |
| B5.b Conception axée sur la résilience | Vous concevez le réseau et les systèmes d'information qui garantissent le bon fonctionnement de votre fonction essentielle de manière à ce qu'ils soient résilients aux incidents de cybersécurité. Les systèmes sont correctement séparés et les limites de ressources sont atténuées. | La fonctionnalité de sauvegarde d'Amazon RDS crée des sauvegardes de vos bases de données et de vos journaux de transactions. Amazon RDS crée automatiquement un instantané du volume de stockage de votre instance de base de données, en sauvegardant l'intégralité de cette dernière. Le système vous permet de définir des périodes de conservation spécifiques pour répondre à vos exigences de résilience. | |
| B5.c Sauvegardes | Vous possédez des sauvegardes actualisées, accessibles et sécurisées des données et informations nécessaires pour rétablir le bon fonctionnement de votre fonction essentielle | Pour faciliter les processus de sauvegarde des données, assurez-vous que vos tables Amazon DynamoDB font partie d'un plan de AWS sauvegarde. AWS Backup est un service de sauvegarde entièrement géré doté d'une solution de sauvegarde basée sur des règles. Cette solution simplifie la gestion de vos sauvegardes et vous permet de répondre aux exigences de conformité de votre entreprise et aux réglementations en matière de sauvegarde. | |
| B5.c Sauvegardes | Vous possédez des sauvegardes actualisées, accessibles et sécurisées des données et informations nécessaires pour rétablir le bon fonctionnement de votre fonction essentielle | Activez cette règle pour vérifier que les informations ont été sauvegardées. Il gère également les sauvegardes en s'assurant que la point-in-time restauration est activée dans Amazon DynamoDB. La récupération permet de maintenir des sauvegardes continues de votre table pour les 35 derniers jours. | |
| B5.c Sauvegardes | Vous possédez des sauvegardes actualisées, accessibles et sécurisées des données et informations nécessaires pour rétablir le bon fonctionnement de votre fonction essentielle | Pour faciliter les processus de sauvegarde des données, assurez-vous que vos volumes Amazon Elastic Block Store (Amazon EBS) font partie d'un plan de sauvegarde. AWS AWS Backup est un service de sauvegarde entièrement géré doté d'une solution de sauvegarde basée sur des règles. Cette solution simplifie la gestion de vos sauvegardes et vous permet de répondre aux exigences de conformité de votre entreprise et aux réglementations en matière de sauvegarde. | |
| B5.c Sauvegardes | Vous possédez des sauvegardes actualisées, accessibles et sécurisées des données et informations nécessaires pour rétablir le bon fonctionnement de votre fonction essentielle | Une instance optimisée dans Amazon Elastic Block Store (Amazon EBS) fournit une capacité supplémentaire dédiée aux opérations d'E/S d'Amazon EBS. Cette optimisation offre les performances les plus efficaces pour vos volumes EBS en minimisant les conflits entre les opérations d'E/S d'Amazon EBS et le trafic restant de votre instance. | |
| B5.c Sauvegardes | Vous possédez des sauvegardes actualisées, accessibles et sécurisées des données et informations nécessaires pour rétablir le bon fonctionnement de votre fonction essentielle | Pour faciliter les processus de sauvegarde des données, assurez-vous que vos systèmes de fichiers Amazon Elastic File System (Amazon EFS) font partie d'un plan de AWS sauvegarde. AWS Backup est un service de sauvegarde entièrement géré doté d'une solution de sauvegarde basée sur des règles. Cette solution simplifie la gestion de vos sauvegardes et vous permet de répondre aux exigences de conformité de votre entreprise et aux réglementations en matière de sauvegarde. | |
| B5.c Sauvegardes | Vous possédez des sauvegardes actualisées, accessibles et sécurisées des données et informations nécessaires pour rétablir le bon fonctionnement de votre fonction essentielle | Lorsque les sauvegardes automatiques sont activées, Amazon ElastiCache crée une sauvegarde du cluster quotidiennement. La sauvegarde peut être conservée pendant un nombre de jours défini par votre organisation. Les sauvegardes automatiques peuvent constituer une protection contre la perte de données. En cas de défaillance, vous pouvez créer un nouveau cluster, ce qui restaurera vos données à partir de la sauvegarde la plus récente. | |
| B5.c Sauvegardes | Vous possédez des sauvegardes actualisées, accessibles et sécurisées des données et informations nécessaires pour rétablir le bon fonctionnement de votre fonction essentielle | Pour faciliter les processus de sauvegarde des données, assurez-vous que vos instances Amazon Relational Database Service (Amazon RDS) font partie d'un plan de sauvegarde. AWS AWS Backup est un service de sauvegarde entièrement géré doté d'une solution de sauvegarde basée sur des règles. Cette solution simplifie la gestion de vos sauvegardes et vous permet de répondre aux exigences de conformité de votre entreprise et aux réglementations en matière de sauvegarde. | |
| B5.c Sauvegardes | Vous possédez des sauvegardes actualisées, accessibles et sécurisées des données et informations nécessaires pour rétablir le bon fonctionnement de votre fonction essentielle | La réplication entre régions (CRR) Amazon Simple Storage Service (Amazon S3) facilite le maintien d'une capacité et d'une disponibilité adéquates. La CRR permet la copie automatique et asynchrone d'objets entre les compartiments Amazon S3 afin de garantir le maintien de la disponibilité des données. | |
| B5.c Sauvegardes | Vous possédez des sauvegardes actualisées, accessibles et sécurisées des données et informations nécessaires pour rétablir le bon fonctionnement de votre fonction essentielle | La gestion des versions d'un compartiment Amazon Simple Storage Service (Amazon S3) permet de conserver plusieurs variantes d'un objet dans le même compartiment Amazon S3. Utilisez la gestion des versions pour préserver, récupérer et restaurer chaque version de chaque objet stocké dans votre compartiment Amazon S3. La gestion des versions vous aide à récupérer facilement en cas d'action involontaire d'un utilisateur et de défaillance applicative. | |
| B5.c Sauvegardes | Vous possédez des sauvegardes actualisées, accessibles et sécurisées des données et informations nécessaires pour rétablir le bon fonctionnement de votre fonction essentielle | La surveillance de l'état Elastic Load Balancer (ELB) pour les groupes Auto Scaling Amazon Elastic Compute Cloud (Amazon EC2) permet de maintenir une capacité et une disponibilité adéquates. L'équilibreur de charge envoie périodiquement des pings, effectue des tentatives de connexion ou adresse des demandes pour tester l'état des instances Amazon EC2 dans un groupe Auto Scaling. Si une instance ne renvoie pas de rapport, le trafic est envoyé à une nouvelle instance Amazon EC2. | |
| C1.a Couverture de surveillance | Les sources de données que vous incluez dans votre surveillance permettent d'identifier rapidement les événements de sécurité susceptibles d'affecter le fonctionnement de votre fonction essentielle. | Utilisez Amazon CloudWatch pour collecter et gérer de manière centralisée l'activité des événements du journal. L'inclusion de AWS CloudTrail données fournit des détails sur l'activité des appels d'API au sein de votre Compte AWS. | |
| C1.a Couverture de surveillance | Les sources de données que vous incluez dans votre surveillance permettent d'identifier rapidement les événements de sécurité susceptibles d'affecter le fonctionnement de votre fonction essentielle. | Amazon CloudWatch émet une alerte lorsqu'un indicateur dépasse le seuil pour un certain nombre de périodes d'évaluation. L’alarme réalise une ou plusieurs actions en fonction de la valeur de la métrique ou de l’expression par rapport à un seuil sur un certain nombre de périodes. Cette règle nécessite une valeur pour alarmActionRequired (Config Default : True), insufficientDataAction Required (Config Default : True), okActionRequired (Config Default : False). La valeur réelle doit refléter les actions d'alarme de votre environnement. | |
| C1.a Couverture de surveillance | Les sources de données que vous incluez dans votre surveillance permettent d'identifier rapidement les événements de sécurité susceptibles d'affecter le fonctionnement de votre fonction essentielle. | Activez cette règle pour vous assurer que la capacité de débit allouée est vérifiée sur vos tables Amazon DynamoDB. Il s'agit du volume d'activité de lecture/d'écriture que chaque table peut prendre en charge. DynamoDB utilise ces informations pour réserver des ressources système suffisantes pour répondre à vos exigences de débit. Cette règle génère une alerte lorsque le débit approche de la limite maximale pour le compte d'un client. Cette règle vous permet de définir éventuellement les paramètres AccountRCU (ThresholdPercentage Config Default : 80) et AccountWCU ThresholdPercentage (Config Default : 80). Les valeurs réelles doivent refléter les politiques de votre organisation. | |
| C1.a Couverture de surveillance | Les sources de données que vous incluez dans votre surveillance permettent d'identifier rapidement les événements de sécurité susceptibles d'affecter le fonctionnement de votre fonction essentielle. | Activez cette règle pour améliorer la surveillance des instances Amazon Elastic Compute Cloud (Amazon EC2) sur la console Amazon EC2, qui affiche des graphiques de surveillance toutes les minutes pour l'instance. | |
| C1.a Couverture de surveillance | Les sources de données que vous incluez dans votre surveillance permettent d'identifier rapidement les événements de sécurité susceptibles d'affecter le fonctionnement de votre fonction essentielle. | Amazon GuardDuty peut vous aider à surveiller et à détecter les événements potentiels liés à la cybersécurité en utilisant des flux de renseignements sur les menaces. Il s'agit notamment de listes d'adresses IP malveillantes et de l'apprentissage automatique pour identifier les activités inattendues, non autorisées et malveillantes au sein de votre environnement AWS cloud. | |
| C1.a Couverture de surveillance | Les sources de données que vous incluez dans votre surveillance permettent d'identifier rapidement les événements de sécurité susceptibles d'affecter le fonctionnement de votre fonction essentielle. | Amazon vous GuardDuty aide à comprendre l'impact d'un incident en classant les résultats par gravité : faible, moyenne et élevée. Vous pouvez utiliser ces classifications pour déterminer les stratégies et les priorités de correction. Cette règle vous permet de définir éventuellement daysLowSev (Config Default : 30), daysMediumSev (Config Default : 7) et daysHighSev (Config Default : 1) pour les résultats non archivés, comme l'exigent les politiques de votre organisation. | |
| C1.a Couverture de surveillance | Les sources de données que vous incluez dans votre surveillance permettent d'identifier rapidement les événements de sécurité susceptibles d'affecter le fonctionnement de votre fonction essentielle. | Cette règle assure que les limites de simultanéité élevées et basses d'une fonction Lambda ont été définies. Elle permet de référencer le nombre de demandes auxquelles votre fonction répond à un moment donné. | |
| C1.a Couverture de surveillance | Les sources de données que vous incluez dans votre surveillance permettent d'identifier rapidement les événements de sécurité susceptibles d'affecter le fonctionnement de votre fonction essentielle. | Activez cette règle pour notifier le personnel concerné par l'intermédiaire d'Amazon Simple Queue Service (Amazon SQS) ou d'Amazon Simple Notification Service (Amazon SNS) en cas d'échec d'une fonction. | |
| C1.a Couverture de surveillance | Les sources de données que vous incluez dans votre surveillance permettent d'identifier rapidement les événements de sécurité susceptibles d'affecter le fonctionnement de votre fonction essentielle. | Activez Amazon Relational Database Service (Amazon RDS) pour surveiller la disponibilité d'Amazon RDS. Vous disposez ainsi d'une visibilité détaillée sur l'état de vos instances de base de données Amazon RDS. Lorsque le stockage Amazon RDS utilise plusieurs appareils physiques sous-jacents, Enhanced Monitoring collecte les données pour chaque appareil. En outre, lorsque l'instance de base de données Amazon RDS est exécutée dans le cadre d'un déploiement multi-AZ, les données de chaque appareil sur l'hôte secondaire sont collectées, ainsi que les métriques de l'hôte secondaire. | |
| C1.a Couverture de surveillance | Les sources de données que vous incluez dans votre surveillance permettent d'identifier rapidement les événements de sécurité susceptibles d'affecter le fonctionnement de votre fonction essentielle. | AWS Security Hub permet de surveiller le personnel, les connexions, les appareils et les logiciels non autorisés. AWS Security Hub regroupe, organise et hiérarchise les alertes de sécurité, ou les résultats, provenant de plusieurs services. AWS Parmi ces services figurent Amazon Security Hub, Amazon Inspector, Amazon Macie, AWS Identity and Access Management (IAM) Access Analyzer et AWS Firewall Manager, ainsi que des solutions partenaires. AWS | |
| C1.a Couverture de surveillance | Les sources de données que vous incluez dans votre surveillance permettent d'identifier rapidement les événements de sécurité susceptibles d'affecter le fonctionnement de votre fonction essentielle. | Assurez-vous que le verrouillage est activé par défaut dans votre compartiment Amazon Simple Storage Service (Amazon S3). Comme il peut y avoir des données sensibles au repos dans les compartiments S3, appliquez le verrouillage d'objet au repos pour protéger ces données. | |
| C1.b Sécurisation des journaux | Vous conservez les données de journalisation en toute sécurité et n'accordez un accès en lecture qu'aux comptes devant obtenir cet accès pour des raisons professionnelles. Si aucun employé ne modifie ni supprime les données de journalisation pendant une période de conservation prédéfinie, elles seront alors supprimées. | La journalisation des accès au serveur Amazon Simple Storage Service (Amazon S3) permet de surveiller le réseau pour détecter d'éventuels événements de cybersécurité. Les événements sont surveillés en capturant des enregistrements détaillés pour les demandes envoyées à un compartiment Amazon S3. Chaque enregistrement du journal des accès fournit des détails sur une unique demande d'accès. Les détails incluent le demandeur, le nom du compartiment, l'heure de la demande, l'action de la demande, l'état de la réponse et un code d'erreur, le cas échéant. | |
| C1.b Sécurisation des journaux | Vous conservez les données de journalisation en toute sécurité et n'accordez un accès en lecture qu'aux comptes devant obtenir cet accès pour des raisons professionnelles. Si aucun employé ne modifie ni supprime les données de journalisation pendant une période de conservation prédéfinie, elles seront alors supprimées. | Gérez l'accès au AWS cloud en activant s3_ bucket_policy_grantee_check. Cette règle vérifie que l'accès accordé par le compartiment Amazon S3 est limité par les principaux, les utilisateurs fédérés, AWS les principaux de service, les adresses IP ou les identifiants Amazon Virtual Private Cloud (Amazon VPC) que vous fournissez. | |
| C1.b Sécurisation des journaux | Vous conservez les données de journalisation en toute sécurité et n'accordez un accès en lecture qu'aux comptes devant obtenir cet accès pour des raisons professionnelles. Si aucun employé ne modifie ni supprime les données de journalisation pendant une période de conservation prédéfinie, elles seront alors supprimées. | Gérez l'accès aux ressources dans le AWS cloud en autorisant uniquement les utilisateurs, les processus et les appareils autorisés à accéder aux compartiments Amazon Simple Storage Service (Amazon S3). La gestion des accès doit être cohérente avec la classification des données. | |
| C1.b Sécurisation des journaux | Vous conservez les données de journalisation en toute sécurité et n'accordez un accès en lecture qu'aux comptes devant obtenir cet accès pour des raisons professionnelles. Si aucun employé ne modifie ni supprime les données de journalisation pendant une période de conservation prédéfinie, elles seront alors supprimées. | Gérez l'accès aux ressources dans le AWS cloud en autorisant uniquement les utilisateurs, les processus et les appareils autorisés à accéder aux compartiments Amazon Simple Storage Service (Amazon S3). La gestion des accès doit être cohérente avec la classification des données. | |
| C1.b Sécurisation des journaux | Vous conservez les données de journalisation en toute sécurité et n'accordez un accès en lecture qu'aux comptes devant obtenir cet accès pour des raisons professionnelles. Si aucun employé ne modifie ni supprime les données de journalisation pendant une période de conservation prédéfinie, elles seront alors supprimées. | La réplication entre régions (CRR) Amazon Simple Storage Service (Amazon S3) facilite le maintien d'une capacité et d'une disponibilité adéquates. La CRR permet la copie automatique et asynchrone d'objets entre les compartiments Amazon S3 afin de garantir le maintien de la disponibilité des données. | |
| C1.b Sécurisation des journaux | Vous conservez les données de journalisation en toute sécurité et n'accordez un accès en lecture qu'aux comptes devant obtenir cet accès pour des raisons professionnelles. Si aucun employé ne modifie ni supprime les données de journalisation pendant une période de conservation prédéfinie, elles seront alors supprimées. | Assurez-vous qu'un utilisateur, un rôle IAM ou un groupe IAM ( AWS Identity and Access Management) ne dispose pas d'une politique intégrée pour contrôler l'accès aux systèmes et aux actifs. AWS recommande d'utiliser des politiques gérées plutôt que des politiques intégrées. Les politiques gérées permettent la réutilisation, la gestion des versions et la restauration, ainsi que la délégation de la gestion des autorisations. | |
| C1.b Sécurisation des journaux | Vous conservez les données de journalisation en toute sécurité et n'accordez un accès en lecture qu'aux comptes devant obtenir cet accès pour des raisons professionnelles. Si aucun employé ne modifie ni supprime les données de journalisation pendant une période de conservation prédéfinie, elles seront alors supprimées. | AWS Identity and Access Management (IAM) peut vous aider à intégrer les principes du moindre privilège et de la séparation des tâches dans les autorisations et autorisations d'accès, en empêchant les politiques de contenir « Effect » : « Autoriser » avec « Action » : « * » plutôt que « Ressource » : « * ». Permettre aux utilisateurs d'avoir plus de privilèges que nécessaire pour effectuer une tâche peut enfreindre le principe du moindre privilège et de la séparation des tâches. | |
| C1.b Sécurisation des journaux | Vous conservez les données de journalisation en toute sécurité et n'accordez un accès en lecture qu'aux comptes devant obtenir cet accès pour des raisons professionnelles. Si aucun employé ne modifie ni supprime les données de journalisation pendant une période de conservation prédéfinie, elles seront alors supprimées. | AWS Identity and Access Management (IAM) peut vous aider à restreindre les autorisations et autorisations d'accès en vous assurant que les utilisateurs sont membres d'au moins un groupe. Accorder aux utilisateurs plus de privilèges que nécessaire pour effectuer une tâche peut enfreindre le principe du moindre privilège et de la séparation des tâches. | |
| C1.b Sécurisation des journaux | Vous conservez les données de journalisation en toute sécurité et n'accordez un accès en lecture qu'aux comptes devant obtenir cet accès pour des raisons professionnelles. Si aucun employé ne modifie ni supprime les données de journalisation pendant une période de conservation prédéfinie, elles seront alors supprimées. | Cette règle garantit que les politiques AWS Identity and Access Management (IAM) ne sont associées qu'à des groupes ou à des rôles afin de contrôler l'accès aux systèmes et aux actifs. L'attribution de privilèges au niveau du groupe ou du rôle permet de réduire les risques qu'une identité reçoive ou conserve des privilèges excessifs. | |
| C1.b Sécurisation des journaux | Vous conservez les données de journalisation en toute sécurité et n'accordez un accès en lecture qu'aux comptes devant obtenir cet accès pour des raisons professionnelles. Si aucun employé ne modifie ni supprime les données de journalisation pendant une période de conservation prédéfinie, elles seront alors supprimées. | AWS Identity and Access Management (IAM) peut vous aider à obtenir des autorisations et des autorisations d'accès en vérifiant les mots de passe et les clés d'accès IAM qui ne sont pas utilisés pendant une période donnée. Si de telles informations d'identification non utilisées sont identifiées, vous devez les désactiver et/ou les supprimer afin de ne pas risquer d'enfreindre le principe du moindre privilège. Cette règle vous oblige à définir une valeur sur maxCredentialUsage Age (Config Default : 90). La valeur réelle doit refléter les politiques de votre organisation. | |
| C1.b Sécurisation des journaux | Vous conservez les données de journalisation en toute sécurité et n'accordez un accès en lecture qu'aux comptes devant obtenir cet accès pour des raisons professionnelles. Si aucun employé ne modifie ni supprime les données de journalisation pendant une période de conservation prédéfinie, elles seront alors supprimées. | Amazon GuardDuty peut vous aider à surveiller et à détecter les événements potentiels liés à la cybersécurité en utilisant des flux de renseignements sur les menaces. Il s'agit notamment de listes d'adresses IP malveillantes et de l'apprentissage automatique pour identifier les activités inattendues, non autorisées et malveillantes au sein de votre environnement AWS cloud. | |
| C1.c Déclenchement d'alertes | Les preuves d'incidents de sécurité potentiels contenues dans vos données de surveillance sont identifiées de manière fiable et déclenchent des alertes. | Amazon vous GuardDuty aide à comprendre l'impact d'un incident en classant les résultats par gravité : faible, moyenne et élevée. Vous pouvez utiliser ces classifications pour déterminer les stratégies et les priorités de correction. Cette règle vous permet de définir éventuellement daysLowSev (Config Default : 30), daysMediumSev (Config Default : 7) et daysHighSev (Config Default : 1) pour les résultats non archivés, comme l'exigent les politiques de votre organisation. | |
| C1.c Déclenchement d'alertes | Les preuves d'incidents de sécurité potentiels contenues dans vos données de surveillance sont identifiées de manière fiable et déclenchent des alertes. | Amazon CloudWatch émet une alerte lorsqu'un indicateur dépasse le seuil pour un certain nombre de périodes d'évaluation. L’alarme réalise une ou plusieurs actions en fonction de la valeur de la métrique ou de l’expression par rapport à un seuil sur un certain nombre de périodes. Cette règle nécessite une valeur pour alarmActionRequired (Config Default : True), insufficientDataAction Required (Config Default : True), okActionRequired (Config Default : False). La valeur réelle doit refléter les actions d'alarme de votre environnement. | |
| C1.c Déclenchement d'alertes | Les preuves d'incidents de sécurité potentiels contenues dans vos données de surveillance sont identifiées de manière fiable et déclenchent des alertes. | Les notifications d'événements Amazon S3 peuvent alerter le personnel concerné de toute modification accidentelle ou intentionnelle des objets de votre compartiment. Voici quelques exemples d'alertes : création d'un nouvel objet, suppression d'un objet, restauration d'un objet, objets perdus ou répliqués. | |
| C1.c Déclenchement d'alertes | Les preuves d'incidents de sécurité potentiels contenues dans vos données de surveillance sont identifiées de manière fiable et déclenchent des alertes. | AWS Security Hub permet de surveiller le personnel, les connexions, les appareils et les logiciels non autorisés. AWS Security Hub regroupe, organise et hiérarchise les alertes de sécurité, ou les résultats, provenant de plusieurs services. AWS Parmi ces services figurent Amazon Security Hub, Amazon Inspector, Amazon Macie, AWS Identity and Access Management (IAM) Access Analyzer et AWS Firewall Manager, ainsi que des solutions partenaires. AWS | |
| C1.c Déclenchement d'alertes | Les preuves d'incidents de sécurité potentiels contenues dans vos données de surveillance sont identifiées de manière fiable et déclenchent des alertes. | La journalisation d'API Gateway affiche des vues détaillées des utilisateurs qui ont accédé à l'API et de la manière dont ils y ont accédé. Ces informations offrent une visibilité sur les activités des utilisateurs. | |
| C1.c Déclenchement d'alertes | Les preuves d'incidents de sécurité potentiels contenues dans vos données de surveillance sont identifiées de manière fiable et déclenchent des alertes. | Utilisez Amazon CloudWatch pour collecter et gérer de manière centralisée l'activité des événements du journal. L'inclusion de AWS CloudTrail données fournit des détails sur l'activité des appels d'API au sein de votre Compte AWS. | |
| C1.c Déclenchement d'alertes | Les preuves d'incidents de sécurité potentiels contenues dans vos données de surveillance sont identifiées de manière fiable et déclenchent des alertes. | La collecte d'événements de données Simple Storage Service (Amazon S3) aide à détecter toute activité anormale. Les détails incluent les Compte AWS informations qui ont accédé à un compartiment Amazon S3, l'adresse IP et l'heure de l'événement. | |
| C1.c Déclenchement d'alertes | Les preuves d'incidents de sécurité potentiels contenues dans vos données de surveillance sont identifiées de manière fiable et déclenchent des alertes. | Cette règle permet de garantir l'utilisation des meilleures pratiques de sécurité AWS recommandées pour AWS CloudTrail, en vérifiant l'activation de plusieurs paramètres. Il s'agit notamment de l'utilisation du chiffrement des journaux, de la validation des journaux et de AWS CloudTrail l'activation dans plusieurs régions. | |
| C1.c Déclenchement d'alertes | Les preuves d'incidents de sécurité potentiels contenues dans vos données de surveillance sont identifiées de manière fiable et déclenchent des alertes. | Assurez-vous que la durée minimale de conservation des données des journaux d'événements pour vos groupes de journaux est suffisante pour faciliter le dépannage et les enquêtes judiciaires. Le manque de données disponibles dans les journaux d'événements passés complique la reconstitution et l'identification des événements potentiellement malveillants. | |
| C1.c Déclenchement d'alertes | Les preuves d'incidents de sécurité potentiels contenues dans vos données de surveillance sont identifiées de manière fiable et déclenchent des alertes. | L'activité Elastic Load Balancing est un point de communication central au sein d'un environnement. Assurez-vous que la journalisation ELB est activée. Les données collectées fournissent des informations détaillées sur les demandes envoyées à l'ELB. Chaque journal contient des informations comme l'heure à laquelle la demande a été reçue, l'adresse IP du client, les latences, les chemins de demande et les réponses du serveur. | |
| C1.c Déclenchement d'alertes | Les preuves d'incidents de sécurité potentiels contenues dans vos données de surveillance sont identifiées de manière fiable et déclenchent des alertes. | Pour faciliter la journalisation et la surveillance au sein de votre environnement, assurez-vous que la journalisation Amazon Relational Database Service (Amazon RDS) est activée. Avec la journalisation Amazon RDS, vous pouvez capturer des événements tels que des connexions, des déconnexions, des requêtes ou des tables interrogées. | |
| C1.c Déclenchement d'alertes | Les preuves d'incidents de sécurité potentiels contenues dans vos données de surveillance sont identifiées de manière fiable et déclenchent des alertes. | Pour protéger les données au repos, assurez-vous que le chiffrement est activé pour vos clusters Amazon Redshift. Vous devez également vous assurer que les configurations requises sont déployées sur les clusters Amazon Redshift. La journalisation des audits doit être activée pour fournir des informations sur les connexions et les activités de l'utilisateur dans la base de données. Cette règle nécessite qu'une valeur soit définie pour clusterDbEncrypted (Config Default : TRUE) et LoggingEnabled (Config Default : TRUE). Les valeurs réelles doivent refléter les politiques de votre organisation. | |
| C1.c Déclenchement d'alertes | Les preuves d'incidents de sécurité potentiels contenues dans vos données de surveillance sont identifiées de manière fiable et déclenchent des alertes. | La journalisation des accès au serveur Amazon Simple Storage Service (Amazon S3) permet de surveiller le réseau pour détecter d'éventuels événements de cybersécurité. Les événements sont surveillés en capturant des enregistrements détaillés pour les demandes envoyées à un compartiment Amazon S3. Chaque enregistrement du journal des accès fournit des détails sur une unique demande d'accès. Les détails incluent le demandeur, le nom du compartiment, l'heure de la demande, l'action de la demande, l'état de la réponse et un code d'erreur, le cas échéant. | |
| C1.c Déclenchement d'alertes | Les preuves d'incidents de sécurité potentiels contenues dans vos données de surveillance sont identifiées de manière fiable et déclenchent des alertes. | Les journaux de flux VPC fournissent des informations détaillées sur le trafic IP circulant vers et depuis les interfaces réseau de votre réseau Amazon Virtual Private Cloud (Amazon VPC). Par défaut, le journal de flux inclut des valeurs pour les différents composants du flux IP, y compris la source, la destination et le protocole. | |
| C1.c Déclenchement d'alertes | Les preuves d'incidents de sécurité potentiels contenues dans vos données de surveillance sont identifiées de manière fiable et déclenchent des alertes. | Pour faciliter la journalisation et la surveillance au sein de votre environnement, activez la journalisation AWS WAF (V2) sur les ACL Web régionales et mondiales. AWS La journalisation WAF fournit des informations détaillées sur le trafic analysé par votre ACL Web. Les journaux enregistrent l'heure à laquelle AWS WAF a reçu la demande de votre AWS ressource, des informations sur la demande et une action pour la règle à laquelle chaque demande correspondait. | |
| C1.c Déclenchement d'alertes | Les preuves d'incidents de sécurité potentiels contenues dans vos données de surveillance sont identifiées de manière fiable et déclenchent des alertes. | Amazon GuardDuty peut vous aider à surveiller et à détecter les événements potentiels liés à la cybersécurité en utilisant des flux de renseignements sur les menaces. Il s'agit notamment de listes d'adresses IP malveillantes et de l'apprentissage automatique pour identifier les activités inattendues, non autorisées et malveillantes au sein de votre environnement AWS cloud. | |
| C1.d Identification des incidents de sécurité | Vous contextualisez les alertes en tenant compte de la menace et de vos systèmes, afin d'identifier les incidents de sécurité nécessitant une certaine forme de réponse. | AWS Security Hub permet de surveiller le personnel, les connexions, les appareils et les logiciels non autorisés. AWS Security Hub regroupe, organise et hiérarchise les alertes de sécurité, ou les résultats, provenant de plusieurs services. AWS Parmi ces services figurent Amazon Security Hub, Amazon Inspector, Amazon Macie, AWS Identity and Access Management (IAM) Access Analyzer et AWS Firewall Manager, ainsi que des solutions partenaires. AWS | |
| C1.d Identification des incidents de sécurité | Vous contextualisez les alertes en tenant compte de la menace et de vos systèmes, afin d'identifier les incidents de sécurité nécessitant une certaine forme de réponse. | Amazon GuardDuty peut vous aider à surveiller et à détecter les événements potentiels liés à la cybersécurité en utilisant des flux de renseignements sur les menaces. Il s'agit notamment de listes d'adresses IP malveillantes et de l'apprentissage automatique pour identifier les activités inattendues, non autorisées et malveillantes au sein de votre environnement AWS cloud. | |
| C1.e Outils et compétences liés à la surveillance | La surveillance des compétences, des outils et des rôles de la main-d'œuvre, y compris ceux qui sont externalisés, doit tenir compte des exigences en matière de gouvernance et de création de rapports, des menaces prévisionnelles, et de la complexité du réseau ou des données du système qu'il doit utiliser. La main-d'œuvre chargée de la surveillance connaît les fonctions essentielles qu'elle doit protéger. | Amazon vous GuardDuty aide à comprendre l'impact d'un incident en classant les résultats par gravité : faible, moyenne et élevée. Vous pouvez utiliser ces classifications pour déterminer les stratégies et les priorités de correction. Cette règle vous permet de définir éventuellement daysLowSev (Config Default : 30), daysMediumSev (Config Default : 7) et daysHighSev (Config Default : 1) pour les résultats non archivés, comme l'exigent les politiques de votre organisation. | |
| C1.e Outils et compétences liés à la surveillance | La surveillance des compétences, des outils et des rôles de la main-d'œuvre, y compris ceux qui sont externalisés, doit tenir compte des exigences en matière de gouvernance et de création de rapports, des menaces prévisionnelles, et de la complexité du réseau ou des données du système qu'il doit utiliser. La main-d'œuvre chargée de la surveillance connaît les fonctions essentielles qu'elle doit protéger. | AWS Security Hub permet de surveiller le personnel, les connexions, les appareils et les logiciels non autorisés. AWS Security Hub regroupe, organise et hiérarchise les alertes de sécurité, ou les résultats, provenant de plusieurs services. AWS Parmi ces services figurent Amazon Security Hub, Amazon Inspector, Amazon Macie, AWS Identity and Access Management (IAM) Access Analyzer et AWS Firewall Manager, ainsi que des solutions partenaires. AWS | |
| C1.e Outils et compétences liés à la surveillance | La surveillance des compétences, des outils et des rôles de la main-d'œuvre, y compris ceux qui sont externalisés, doit tenir compte des exigences en matière de gouvernance et de création de rapports, des menaces prévisionnelles, et de la complexité du réseau ou des données du système qu'il doit utiliser. La main-d'œuvre chargée de la surveillance connaît les fonctions essentielles qu'elle doit protéger. | Amazon GuardDuty peut vous aider à surveiller et à détecter les événements potentiels liés à la cybersécurité en utilisant des flux de renseignements sur les menaces. Il s'agit notamment de listes d'adresses IP malveillantes et de l'apprentissage automatique pour identifier les activités inattendues, non autorisées et malveillantes au sein de votre environnement AWS cloud. | |
| C2.a Anomalies du système pour la détection des attaques | Vous définissez des exemples d'anomalies dans le comportement du système afin de créer des moyens pratiques de détecter des activités malveillantes difficiles à identifier d'une autre manière. | AWS Security Hub permet de surveiller le personnel, les connexions, les appareils et les logiciels non autorisés. AWS Security Hub regroupe, organise et hiérarchise les alertes de sécurité, ou les résultats, provenant de plusieurs services. AWS Parmi ces services figurent Amazon Security Hub, Amazon Inspector, Amazon Macie, AWS Identity and Access Management (IAM) Access Analyzer et AWS Firewall Manager, ainsi que des solutions partenaires. AWS | |
| C2.a Anomalies du système pour la détection des attaques | Vous définissez des exemples d'anomalies dans le comportement du système afin de créer des moyens pratiques de détecter des activités malveillantes difficiles à identifier d'une autre manière. | Amazon GuardDuty peut vous aider à surveiller et à détecter les événements potentiels liés à la cybersécurité en utilisant des flux de renseignements sur les menaces. Il s'agit notamment de listes d'adresses IP malveillantes et de l'apprentissage automatique pour identifier les activités inattendues, non autorisées et malveillantes au sein de votre environnement AWS cloud. | |
| D1.c Tests et exercices | Votre organisation effectue des exercices pour tester les plans de réponse en s'appuyant sur les incidents qui ont affecté votre organisation (et d'autres) dans le passé, et sur des scénarios tenant compte des renseignements sur les menaces et de votre évaluation des risques. | response-plan-exists-maintained (Vérification du processus) | Assurez-vous que des plans de réponse aux incidents sont établis, maintenus et distribués au personnel responsable. Le fait de disposer de plans de réponse mis à jour et officiellement documentés permet de s'assurer que le personnel d'intervention comprend les rôles, les responsabilités et les processus à suivre en cas d'incident. |
| D1.c Tests et exercices | Votre organisation effectue des exercices pour tester les plans de réponse en s'appuyant sur les incidents qui ont affecté votre organisation (et d'autres) dans le passé, et sur des scénarios tenant compte des renseignements sur les menaces et de votre évaluation des risques. | response-plan-tested (Vérification du processus) | Assurez-vous que les plans de réponse et de reprise sont testés. Cela peut vous aider à comprendre si votre plan sera efficace en cas d'incident et si des lacunes doivent être corrigées ou des mises à jour effectuées. |
Modèle
Le modèle est disponible sur GitHub : Operational Best Practices for NCSC Cyber Assessment
