Contrôles Security Hub pour CloudWatch

Ces contrôles évaluent le CloudWatch service et les ressources Amazon.

Il se peut que ces commandes ne soient pas disponibles dans tous les cas Régions AWS. Pour plus d'informations, consultezDisponibilité des contrôles par région.

[CloudWatch.1] Un filtre logarithmique et une alarme doivent exister pour l'utilisation de l'utilisateur « root »

Exigences connexes : PCI DSS v3.2.1/7.2.1, CIS AWS Foundations Benchmark v1.2.0/1.1, CIS AWS Foundations Benchmark v1.2.0/3.3, CIS AWS Foundations Benchmark v1.4.0/1.7, CIS AWS Foundations Benchmark v1.4.0/4.3

Catégorie : Détecter - Services de détection

Gravité : Faible

Type de ressource :AWS::Logs::MetricFilter,AWS::CloudWatch::Alarm,AWS::CloudTrail::Trail, AWS::SNS::Topic

AWS Config règle : Aucune (règle Security Hub personnalisée)

Type de calendrier : Périodique

Paramètres : Aucun

L'utilisateur root a un accès illimité à tous les services et ressources d'un Compte AWS. Nous vous recommandons vivement d'éviter d'utiliser l'utilisateur root pour les tâches quotidiennes. Minimiser l'utilisation de l'utilisateur root et adopter le principe du moindre privilège pour la gestion des accès réduisent le risque de modifications accidentelles et de divulgation involontaire d'informations d'identification hautement privilégiées.

Il est recommandé d'utiliser les informations d'identification de votre utilisateur root uniquement lorsque cela est nécessaire pour effectuer des tâches de gestion des comptes et des services. Appliquer AWS Identity and Access Management (IAM) politiques appliquées directement aux groupes et aux rôles, mais pas aux utilisateurs. Pour un didacticiel sur la configuration d'un administrateur pour une utilisation quotidienne, voir Création de votre premier utilisateur et de votre premier groupe d'IAMadministrateurs dans le guide de IAM l'utilisateur

Pour exécuter cette vérification, Security Hub utilise une logique personnalisée pour effectuer les étapes d'audit exactes prescrites pour le contrôle 1.7 dans le CIS AWS Foundations Benchmark v1.4.0. Ce contrôle échoue si les filtres métriques exacts prescrits par ne CIS sont pas utilisés. Des champs ou des termes supplémentaires ne peuvent pas être ajoutés aux filtres de métrique.

Note

Lorsque Security Hub vérifie ce contrôle, il recherche les CloudTrail traces utilisées par le compte courant. Ces parcours peuvent être des parcours d'organisation appartenant à un autre compte. Les sentiers multirégionaux peuvent également être basés dans une région différente.

La vérification aboutit à FAILED des constatations dans les cas suivants :

Aucune piste n'est configurée.
Les sentiers disponibles qui se trouvent dans la région actuelle et qui appartiennent à un compte courant ne répondent pas aux exigences de contrôle.

La vérification aboutit à un état de contrôle NO_DATA dans les cas suivants :

Un sentier multirégional est basé dans une région différente. Security Hub ne peut générer des résultats que dans la région où le sentier est basé.
Un sentier multirégional appartient à un compte différent. Security Hub peut uniquement générer des résultats pour le compte propriétaire de la piste.

Nous vous recommandons de suivre les événements liés à de nombreux comptes d'une organisation. Les sentiers d'organisation sont des sentiers multirégionaux par défaut et ne peuvent être gérés que par le AWS Organizations compte de gestion ou compte administrateur CloudTrail délégué. L'utilisation d'un suivi de l'organisation permet d'obtenir un statut de contrôle NO_DATA de quatre contrôles évalués dans les comptes des membres de l'organisation. Dans les comptes membres, Security Hub génère uniquement des résultats pour les ressources appartenant aux membres. Les résultats relatifs aux parcours de l'organisation sont générés dans le compte du propriétaire de la ressource. Vous pouvez consulter ces résultats dans votre compte d'administrateur délégué Security Hub en utilisant l'agrégation entre régions.

Pour déclencher l'alarme, le compte courant doit soit être propriétaire de la SNS rubrique Amazon référencée, soit avoir accès à la SNS rubrique Amazon en appelantListSubscriptionsByTopic. Sinon, Security Hub génère WARNING des résultats pour le contrôle.

Correction

Pour passer ce contrôle, procédez comme suit pour créer un SNS sujet Amazon, un AWS CloudTrail trail, un filtre métrique et une alarme pour le filtre métrique.

Créez un SNS sujet Amazon. Pour obtenir des instructions, consultez Getting started with Amazon SNS dans le guide du développeur Amazon Simple Notification Service. Créez une rubrique qui reçoit toutes les CIS alarmes et créez au moins un abonnement à cette rubrique.
Créez un CloudTrail parcours qui s'applique à tous Régions AWS. Pour obtenir des instructions, reportez-vous à la section Création d'un parcours dans AWS CloudTrail Guide de l'utilisateur.

Notez le nom du groupe de CloudWatch journaux Logs que vous associez au CloudTrail parcours. Vous allez créer le filtre métrique pour ce groupe de journaux à l'étape suivante.

Créez un filtre de métrique. Pour obtenir des instructions, consultez la section Création d'un filtre métrique pour un groupe de journaux dans le guide de CloudWatch l'utilisateur Amazon. Utilisez les valeurs suivantes :

Champ	Valeur
Définir le modèle, Filtrer le modèle	`{$.userIdentity.type="Root" && $.userIdentity.invokedBy NOT EXISTS && $.eventType !="AwsServiceEvent"}`
Espace de noms métrique	`LogMetrics`
Valeur de la métrique	`1`
Valeur par défaut	`0`

Créez une alarme en fonction du filtre. Pour obtenir des instructions, consultez la section Création CloudWatch d'une alarme basée sur un filtre métrique de groupe de journaux dans le guide de CloudWatch l'utilisateur Amazon. Utilisez les valeurs suivantes :

Champ	Valeur
Conditions, type de seuil	Statique
N'importe quand `your-metric-name` c'est...	Plus grand/égal
que...	`1`

[CloudWatch.2] Assurez-vous qu'un filtre logarithmique et une alarme existent pour les API appels non autorisés

Exigences connexes : CIS AWS Foundations Benchmark v1.2.0/3.1

Catégorie : Détecter - Services de détection

Gravité : Faible

Type de ressource :AWS::Logs::MetricFilter,AWS::CloudWatch::Alarm,AWS::CloudTrail::Trail, AWS::SNS::Topic

AWS Config règle : Aucune (règle Security Hub personnalisée)

Type de calendrier : Périodique

Paramètres : Aucun

Vous pouvez surveiller les API appels en temps réel en dirigeant CloudTrail les journaux vers les CloudWatch journaux et en établissant des filtres métriques et des alarmes correspondants.

CISvous recommande de créer un filtre métrique et de signaler les API appels non autorisés. La surveillance des API appels non autorisés permet de détecter les erreurs d'application et de réduire le temps de détection des activités malveillantes.

Pour exécuter cette vérification, Security Hub utilise une logique personnalisée pour effectuer les étapes d'audit exactes prescrites pour le contrôle 3.1 dans le CIS AWS Foundations Benchmark v1.2. Ce contrôle échoue si les filtres métriques exacts prescrits par ne CIS sont pas utilisés. Des champs ou des termes supplémentaires ne peuvent pas être ajoutés aux filtres de métrique.

Note

La vérification aboutit à FAILED des constatations dans les cas suivants :

Aucune piste n'est configurée.
Les sentiers disponibles qui se trouvent dans la région actuelle et qui appartiennent à un compte courant ne répondent pas aux exigences de contrôle.

La vérification aboutit à un état de contrôle NO_DATA dans les cas suivants :

Un sentier multirégional est basé dans une région différente. Security Hub ne peut générer des résultats que dans la région où le sentier est basé.
Un sentier multirégional appartient à un compte différent. Security Hub ne peut générer des résultats que pour le compte propriétaire de la piste.

Nous vous recommandons de suivre les événements liés à de nombreux comptes d'une organisation. Les sentiers d'organisation sont des sentiers multirégionaux par défaut et ne peuvent être gérés que par le AWS Organizations compte de gestion ou compte administrateur CloudTrail délégué. L'utilisation d'un suivi de l'organisation permet d'obtenir un statut de contrôle NO_DATA de quatre contrôles évalués dans les comptes des membres de l'organisation. Dans les comptes membres, Security Hub génère uniquement des résultats pour les ressources appartenant aux membres. Les résultats relatifs aux parcours de l'organisation sont générés dans le compte du propriétaire de la ressource. Vous pouvez consulter ces résultats dans votre compte d'administrateur délégué Security Hub en utilisant l'agrégation entre régions.

Correction

Pour passer ce contrôle, procédez comme suit pour créer un SNS sujet Amazon, un AWS CloudTrail trail, un filtre métrique et une alarme pour le filtre métrique.

Créez un SNS sujet Amazon. Pour obtenir des instructions, consultez Getting started with Amazon SNS dans le guide du développeur Amazon Simple Notification Service. Créez une rubrique qui reçoit toutes les CIS alarmes et créez au moins un abonnement à cette rubrique.
Créez un CloudTrail parcours qui s'applique à tous Régions AWS. Pour obtenir des instructions, reportez-vous à la section Création d'un parcours dans AWS CloudTrail Guide de l'utilisateur.

Notez le nom du groupe de CloudWatch journaux Logs que vous associez au CloudTrail parcours. Vous allez créer le filtre métrique pour ce groupe de journaux à l'étape suivante.

Champ	Valeur
Définir le modèle, Filtrer le modèle	`{($.errorCode="UnauthorizedOperation") \|\| ($.errorCode="AccessDenied")}`
Espace de noms métrique	`LogMetrics`
Valeur de la métrique	`1`
Valeur par défaut	`0`

Champ	Valeur
Conditions, type de seuil	Statique
N'importe quand `your-metric-name` c'est...	Plus grand/égal
que...	`1`

[CloudWatch.3] Assurez-vous qu'un filtre métrique et une alarme de journal existent pour la connexion à la console de gestion sans MFA

Exigences connexes : CIS AWS Foundations Benchmark v1.2.0/3.2

Catégorie : Détecter - Services de détection

Gravité : Faible

Type de ressource :AWS::Logs::MetricFilter,AWS::CloudWatch::Alarm,AWS::CloudTrail::Trail, AWS::SNS::Topic

AWS Config règle : Aucune (règle Security Hub personnalisée)

Type de calendrier : Périodique

Paramètres : Aucun

Vous pouvez surveiller les API appels en temps réel en dirigeant CloudTrail les journaux vers les CloudWatch journaux et en établissant des filtres métriques et des alarmes correspondants.

CISvous recommande de créer un filtre métrique et des connexions à la console d'alarme qui ne soient pas protégées parMFA. La surveillance des connexions à la console à facteur unique augmente la visibilité sur les comptes qui ne sont pas protégés par. MFA

Pour exécuter cette vérification, Security Hub utilise une logique personnalisée pour effectuer les étapes d'audit exactes prescrites pour le contrôle 3.2 dans le CIS AWS Foundations Benchmark v1.2. Ce contrôle échoue si les filtres métriques exacts prescrits par ne CIS sont pas utilisés. Des champs ou des termes supplémentaires ne peuvent pas être ajoutés aux filtres de métrique.

Note

La vérification aboutit à FAILED des constatations dans les cas suivants :

Aucune piste n'est configurée.
Les sentiers disponibles qui se trouvent dans la région actuelle et qui appartiennent à un compte courant ne répondent pas aux exigences de contrôle.

La vérification aboutit à un état de contrôle NO_DATA dans les cas suivants :

Un sentier multirégional est basé dans une région différente. Security Hub ne peut générer des résultats que dans la région où le sentier est basé.
Un sentier multirégional appartient à un compte différent. Security Hub ne peut générer des résultats que pour le compte propriétaire de la piste.

Nous vous recommandons de suivre les événements liés à de nombreux comptes d'une organisation. Les sentiers d'organisation sont des sentiers multirégionaux par défaut et ne peuvent être gérés que par le AWS Organizations compte de gestion ou compte administrateur CloudTrail délégué. L'utilisation d'un suivi de l'organisation permet d'obtenir un statut de contrôle NO_DATA de quatre contrôles évalués dans les comptes des membres de l'organisation. Dans les comptes membres, Security Hub génère uniquement des résultats pour les ressources appartenant aux membres. Les résultats relatifs aux parcours de l'organisation sont générés dans le compte du propriétaire de la ressource. Vous pouvez consulter ces résultats dans votre compte d'administrateur délégué Security Hub en utilisant l'agrégation entre régions.

Correction

Pour passer ce contrôle, procédez comme suit pour créer un SNS sujet Amazon, un AWS CloudTrail trail, un filtre métrique et une alarme pour le filtre métrique.

Créez un SNS sujet Amazon. Pour obtenir des instructions, consultez Getting started with Amazon SNS dans le manuel Amazon Simple Notification Service Developer Guide. Créez une rubrique qui reçoit toutes les CIS alarmes et créez au moins un abonnement à cette rubrique.
Créez un CloudTrail parcours qui s'applique à tous Régions AWS. Pour obtenir des instructions, reportez-vous à la section Création d'un parcours dans AWS CloudTrail Guide de l'utilisateur.

Notez le nom du groupe de CloudWatch journaux Logs que vous associez au CloudTrail parcours. Vous allez créer le filtre métrique pour ce groupe de journaux à l'étape suivante.

Champ	Valeur
Définir le modèle, Filtrer le modèle	`{ ($.eventName = "ConsoleLogin") && ($.additionalEventData.MFAUsed != "Yes") && ($.userIdentity.type = "IAMUser") && ($.responseElements.ConsoleLogin = "Success") }`
Espace de noms métrique	`LogMetrics`
Valeur de la métrique	`1`
Valeur par défaut	`0`

Champ	Valeur
Conditions, type de seuil	Statique
N'importe quand `your-metric-name` c'est...	Plus grand/égal
que...	`1`

[CloudWatch.4] Assurez-vous qu'un filtre logarithmique et une alarme existent pour les modifications IAM de politique

Exigences connexes : CIS AWS Foundations Benchmark v1.2.0/3.4, CIS AWS Foundations Benchmark v1.4.0/4.4

Catégorie : Détecter - Services de détection

Gravité : Faible

Type de ressource :AWS::Logs::MetricFilter,AWS::CloudWatch::Alarm,AWS::CloudTrail::Trail, AWS::SNS::Topic

AWS Config règle : Aucune (règle Security Hub personnalisée)

Type de calendrier : Périodique

Paramètres : Aucun

CISvous recommande de créer un filtre métrique et une alarme pour les modifications apportées aux IAM politiques. Ceci permet de s'assurer que les contrôles d'authentification et d'autorisation restent inchangés.

Note

La vérification aboutit à FAILED des constatations dans les cas suivants :

Aucune piste n'est configurée.
Les sentiers disponibles qui se trouvent dans la région actuelle et qui appartiennent à un compte courant ne répondent pas aux exigences de contrôle.

La vérification aboutit à un état de contrôle NO_DATA dans les cas suivants :

Un sentier multirégional est basé dans une région différente. Security Hub ne peut générer des résultats que dans la région où le sentier est basé.
Un sentier multirégional appartient à un compte différent. Security Hub ne peut générer des résultats que pour le compte propriétaire de la piste.

Nous vous recommandons de suivre les événements liés à de nombreux comptes d'une organisation. Les sentiers d'organisation sont des sentiers multirégionaux par défaut et ne peuvent être gérés que par le AWS Organizations compte de gestion ou compte administrateur CloudTrail délégué. L'utilisation d'un suivi de l'organisation permet d'obtenir un statut de contrôle NO_DATA de quatre contrôles évalués dans les comptes des membres de l'organisation. Dans les comptes membres, Security Hub génère uniquement des résultats pour les ressources appartenant aux membres. Les résultats relatifs aux parcours de l'organisation sont générés dans le compte du propriétaire de la ressource. Vous pouvez consulter ces résultats dans votre compte d'administrateur délégué Security Hub en utilisant l'agrégation entre régions.

Correction

Note

Le modèle de filtre que nous recommandons pour ces étapes de correction est différent du modèle de filtre indiqué dans le CIS guide. Les filtres que nous recommandons ciblent uniquement les événements provenant d'IAMAPIappels.

Pour passer ce contrôle, procédez comme suit pour créer un SNS sujet Amazon, un AWS CloudTrail trail, un filtre métrique et une alarme pour le filtre métrique.

Créez un SNS sujet Amazon. Pour obtenir des instructions, consultez Getting started with Amazon SNS dans le manuel Amazon Simple Notification Service Developer Guide. Créez une rubrique qui reçoit toutes les CIS alarmes et créez au moins un abonnement à cette rubrique.
Créez un CloudTrail parcours qui s'applique à tous Régions AWS. Pour obtenir des instructions, reportez-vous à la section Création d'un parcours dans AWS CloudTrail Guide de l'utilisateur.

Notez le nom du groupe de CloudWatch journaux Logs que vous associez au CloudTrail parcours. Vous allez créer le filtre métrique pour ce groupe de journaux à l'étape suivante.

Champ	Valeur
Définir le modèle, Filtrer le modèle	{($.eventSource=iam.amazonaws.com) && (($.eventName=DeleteGroupPolicy) \|\| ($.eventName=DeleteRolePolicy) \|\| ($.eventName=DeleteUserPolicy) \|\| ($.eventName=PutGroupPolicy) \|\| ($.eventName=PutRolePolicy) \|\| ($.eventName=PutUserPolicy) \|\| ($.eventName=CreatePolicy) \|\| ($.eventName=DeletePolicy) \|\| ($.eventName=CreatePolicyVersion) \|\| ($.eventName=DeletePolicyVersion) \|\| ($.eventName=AttachRolePolicy) \|\| ($.eventName=DetachRolePolicy) \|\| ($.eventName=AttachUserPolicy) \|\| ($.eventName=DetachUserPolicy) \|\| ($.eventName=AttachGroupPolicy) \|\| ($.eventName=DetachGroupPolicy))}
Espace de noms métrique	`LogMetrics`
Valeur de la métrique	`1`
Valeur par défaut	`0`

Champ	Valeur
Conditions, type de seuil	Statique
N'importe quand `your-metric-name` c'est...	Plus grand/égal
que...	`1`

[CloudWatch.5] Assurez-vous qu'un filtre logarithmique et une alarme existent pour CloudTrail AWS Config changements de durée

Exigences connexes : CIS AWS Foundations Benchmark v1.2.0/3.5, CIS AWS Foundations Benchmark v1.4.0/4.5

Catégorie : Détecter - Services de détection

Gravité : Faible

Type de ressource :AWS::Logs::MetricFilter,AWS::CloudWatch::Alarm,AWS::CloudTrail::Trail, AWS::SNS::Topic

AWS Config règle : Aucune (règle Security Hub personnalisée)

Type de calendrier : Périodique

Paramètres : Aucun

Vous pouvez surveiller les API appels en temps réel en dirigeant CloudTrail les journaux vers les CloudWatch journaux et en établissant des filtres métriques et des alarmes correspondants.

CISrecommande de créer un filtre métrique et une alarme pour les modifications apportées aux paramètres CloudTrail de configuration. Ceci permet de garantir une visibilité constante sur les activités du compte.

Pour exécuter cette vérification, Security Hub utilise une logique personnalisée pour effectuer les étapes d'audit exactes prescrites pour le contrôle 4.5 dans le CIS AWS Foundations Benchmark v1.4.0. Ce contrôle échoue si les filtres métriques exacts prescrits par ne CIS sont pas utilisés. Des champs ou des termes supplémentaires ne peuvent pas être ajoutés aux filtres de métrique.

Note

La vérification aboutit à FAILED des constatations dans les cas suivants :

Aucune piste n'est configurée.
Les sentiers disponibles qui se trouvent dans la région actuelle et qui appartiennent à un compte courant ne répondent pas aux exigences de contrôle.

La vérification aboutit à un état de contrôle NO_DATA dans les cas suivants :

Un sentier multirégional est basé dans une région différente. Security Hub ne peut générer des résultats que dans la région où le sentier est basé.
Un sentier multirégional appartient à un compte différent. Security Hub ne peut générer des résultats que pour le compte propriétaire de la piste.

Nous vous recommandons de suivre les événements liés à de nombreux comptes d'une organisation. Les sentiers d'organisation sont des sentiers multirégionaux par défaut et ne peuvent être gérés que par le AWS Organizations compte de gestion ou compte administrateur CloudTrail délégué. L'utilisation d'un suivi de l'organisation permet d'obtenir un statut de contrôle NO_DATA de quatre contrôles évalués dans les comptes des membres de l'organisation. Dans les comptes membres, Security Hub génère uniquement des résultats pour les ressources appartenant aux membres. Les résultats relatifs aux parcours de l'organisation sont générés dans le compte du propriétaire de la ressource. Vous pouvez consulter ces résultats dans votre compte d'administrateur délégué Security Hub en utilisant l'agrégation entre régions.

Correction

Pour passer ce contrôle, procédez comme suit pour créer un SNS sujet Amazon, un AWS CloudTrail trail, un filtre métrique et une alarme pour le filtre métrique.

Créez un SNS sujet Amazon. Pour obtenir des instructions, consultez Getting started with Amazon SNS dans le manuel Amazon Simple Notification Service Developer Guide. Créez une rubrique qui reçoit toutes les CIS alarmes et créez au moins un abonnement à cette rubrique.
Créez un CloudTrail parcours qui s'applique à tous Régions AWS. Pour obtenir des instructions, reportez-vous à la section Création d'un parcours dans AWS CloudTrail Guide de l'utilisateur.

Notez le nom du groupe de CloudWatch journaux Logs que vous associez au CloudTrail parcours. Vous allez créer le filtre métrique pour ce groupe de journaux à l'étape suivante.

Champ	Valeur
Définir le modèle, Filtrer le modèle	`{($.eventName=CreateTrail) \|\| ($.eventName=UpdateTrail) \|\| ($.eventName=DeleteTrail) \|\| ($.eventName=StartLogging) \|\| ($.eventName=StopLogging)}`
Espace de noms métrique	`LogMetrics`
Valeur de la métrique	`1`
Valeur par défaut	`0`

Champ	Valeur
Conditions, type de seuil	Statique
N'importe quand `your-metric-name` c'est...	Plus grand/égal
que...	`1`

[CloudWatch.6] Assurez-vous qu'un filtre logarithmique et une alarme existent pour AWS Management Console échecs d'authentification

Exigences connexes : CIS AWS Foundations Benchmark v1.2.0/3.6, CIS AWS Foundations Benchmark v1.4.0/4.6

Catégorie : Détecter - Services de détection

Gravité : Faible

Type de ressource :AWS::Logs::MetricFilter,AWS::CloudWatch::Alarm,AWS::CloudTrail::Trail, AWS::SNS::Topic

AWS Config règle : Aucune (règle Security Hub personnalisée)

Type de calendrier : Périodique

Paramètres : Aucun

Vous pouvez surveiller les API appels en temps réel en dirigeant CloudTrail les journaux vers les CloudWatch journaux et en établissant des filtres métriques et des alarmes correspondants.

CISrecommande de créer un filtre métrique et une alarme en cas d'échec des tentatives d'authentification sur console. La surveillance des échecs de connexion à la console peut contribuer à réduire les délais de détection d'une tentative de connexion en force, ce qui peut fournir un indicateur, telle une adresse IP source, qui pourra servir dans d'autres corrélations d'événements.

Pour exécuter cette vérification, Security Hub utilise une logique personnalisée pour effectuer les étapes d'audit exactes prescrites pour le contrôle 4.6 dans le CIS AWS Foundations Benchmark v1.4.0. Ce contrôle échoue si les filtres métriques exacts prescrits par ne CIS sont pas utilisés. Des champs ou des termes supplémentaires ne peuvent pas être ajoutés aux filtres de métrique.

Note

La vérification aboutit à FAILED des constatations dans les cas suivants :

Aucune piste n'est configurée.
Les sentiers disponibles qui se trouvent dans la région actuelle et qui appartiennent à un compte courant ne répondent pas aux exigences de contrôle.

La vérification aboutit à un état de contrôle NO_DATA dans les cas suivants :

Un sentier multirégional est basé dans une région différente. Security Hub ne peut générer des résultats que dans la région où le sentier est basé.
Un sentier multirégional appartient à un compte différent. Security Hub ne peut générer des résultats que pour le compte propriétaire de la piste.

Nous vous recommandons de suivre les événements liés à de nombreux comptes d'une organisation. Les sentiers d'organisation sont des sentiers multirégionaux par défaut et ne peuvent être gérés que par le AWS Organizations compte de gestion ou compte administrateur CloudTrail délégué. L'utilisation d'un suivi de l'organisation permet d'obtenir un statut de contrôle NO_DATA de quatre contrôles évalués dans les comptes des membres de l'organisation. Dans les comptes membres, Security Hub génère uniquement des résultats pour les ressources appartenant aux membres. Les résultats relatifs aux parcours de l'organisation sont générés dans le compte du propriétaire de la ressource. Vous pouvez consulter ces résultats dans votre compte d'administrateur délégué Security Hub en utilisant l'agrégation entre régions.

Correction

Pour passer ce contrôle, procédez comme suit pour créer un SNS sujet Amazon, un AWS CloudTrail trail, un filtre métrique et une alarme pour le filtre métrique.

Créez un SNS sujet Amazon. Pour obtenir des instructions, consultez Getting started with Amazon SNS dans le manuel Amazon Simple Notification Service Developer Guide. Créez une rubrique qui reçoit toutes les CIS alarmes et créez au moins un abonnement à cette rubrique.
Créez un CloudTrail parcours qui s'applique à tous Régions AWS. Pour obtenir des instructions, reportez-vous à la section Création d'un parcours dans AWS CloudTrail Guide de l'utilisateur.

Notez le nom du groupe de CloudWatch journaux Logs que vous associez au CloudTrail parcours. Vous allez créer le filtre métrique pour ce groupe de journaux à l'étape suivante.

Champ	Valeur
Définir le modèle, Filtrer le modèle	`{($.eventName=ConsoleLogin) && ($.errorMessage="Failed authentication")}`
Espace de noms métrique	`LogMetrics`
Valeur de la métrique	`1`
Valeur par défaut	`0`

Champ	Valeur
Conditions, type de seuil	Statique
N'importe quand `your-metric-name` c'est...	Plus grand/égal
que...	`1`

[CloudWatch.7] Assurez-vous qu'un filtre métrique et une alarme existent pour désactiver ou planifier la suppression des clés gérées par le client

Exigences connexes : CIS AWS Foundations Benchmark v1.2.0/3.7 CIS AWS Foundations Benchmark v1.4.0/4.7

Catégorie : Détecter - Services de détection

Gravité : Faible

Type de ressource :AWS::Logs::MetricFilter,AWS::CloudWatch::Alarm,AWS::CloudTrail::Trail, AWS::SNS::Topic

AWS Config règle : Aucune (règle Security Hub personnalisée)

Type de calendrier : Périodique

Paramètres : Aucun

Vous pouvez surveiller les API appels en temps réel en dirigeant CloudTrail les journaux vers les CloudWatch journaux et en établissant des filtres métriques et des alarmes correspondants.

CISvous recommande de créer un filtre métrique et une alarme pour les clés gérées par le client dont l'état est passé à désactivé ou à suppression planifiée. Les données chiffrées avec des clés désactivées ou supprimées ne sont plus accessibles.

Pour exécuter cette vérification, Security Hub utilise une logique personnalisée pour effectuer les étapes d'audit exactes prescrites pour le contrôle 4.7 dans le CIS AWS Foundations Benchmark v1.4.0. Ce contrôle échoue si les filtres métriques exacts prescrits par ne CIS sont pas utilisés. Des champs ou des termes supplémentaires ne peuvent pas être ajoutés aux filtres de métrique. Le contrôle échoue également s'il ExcludeManagementEventSources contientkms.amazonaws.com.

Note

La vérification aboutit à FAILED des constatations dans les cas suivants :

Aucune piste n'est configurée.
Les sentiers disponibles qui se trouvent dans la région actuelle et qui appartiennent à un compte courant ne répondent pas aux exigences de contrôle.

La vérification aboutit à un état de contrôle NO_DATA dans les cas suivants :

Un sentier multirégional est basé dans une région différente. Security Hub ne peut générer des résultats que dans la région où le sentier est basé.
Un sentier multirégional appartient à un compte différent. Security Hub ne peut générer des résultats que pour le compte propriétaire de la piste.

Nous vous recommandons de suivre les événements liés à de nombreux comptes d'une organisation. Les sentiers d'organisation sont des sentiers multirégionaux par défaut et ne peuvent être gérés que par le AWS Organizations compte de gestion ou compte administrateur CloudTrail délégué. L'utilisation d'un suivi de l'organisation permet d'obtenir un statut de contrôle NO_DATA de quatre contrôles évalués dans les comptes des membres de l'organisation. Dans les comptes membres, Security Hub génère uniquement des résultats pour les ressources appartenant aux membres. Les résultats relatifs aux parcours de l'organisation sont générés dans le compte du propriétaire de la ressource. Vous pouvez consulter ces résultats dans votre compte d'administrateur délégué Security Hub en utilisant l'agrégation entre régions.

Correction

Pour passer ce contrôle, procédez comme suit pour créer un SNS sujet Amazon, un AWS CloudTrail trail, un filtre métrique et une alarme pour le filtre métrique.

Créez un SNS sujet Amazon. Pour obtenir des instructions, consultez Getting started with Amazon SNS dans le manuel Amazon Simple Notification Service Developer Guide. Créez une rubrique qui reçoit toutes les CIS alarmes et créez au moins un abonnement à cette rubrique.
Créez un CloudTrail parcours qui s'applique à tous Régions AWS. Pour obtenir des instructions, reportez-vous à la section Création d'un parcours dans AWS CloudTrail Guide de l'utilisateur.

Notez le nom du groupe de CloudWatch journaux Logs que vous associez au CloudTrail parcours. Vous allez créer le filtre métrique pour ce groupe de journaux à l'étape suivante.

Champ	Valeur
Définir le modèle, Filtrer le modèle	`{($.eventSource=kms.amazonaws.com) && (($.eventName=DisableKey) \|\| ($.eventName=ScheduleKeyDeletion))}`
Espace de noms métrique	`LogMetrics`
Valeur de la métrique	`1`
Valeur par défaut	`0`

Champ	Valeur
Conditions, type de seuil	Statique
N'importe quand `your-metric-name` c'est...	Plus grand/égal
que...	`1`

[CloudWatch.8] Assurez-vous qu'un filtre de métriques de log et une alarme existent pour les modifications de politique du compartiment S3

Exigences connexes : CIS AWS Foundations Benchmark v1.2.0/3.8, CIS AWS Foundations Benchmark v1.4.0/4.8

Catégorie : Détecter - Services de détection

Gravité : Faible

Type de ressource :AWS::Logs::MetricFilter,AWS::CloudWatch::Alarm,AWS::CloudTrail::Trail, AWS::SNS::Topic

AWS Config règle : Aucune (règle Security Hub personnalisée)

Type de calendrier : Périodique

Paramètres : Aucun

Vous pouvez surveiller les API appels en temps réel en dirigeant CloudTrail les journaux vers les CloudWatch journaux et en établissant des filtres métriques et des alarmes correspondants.

CISvous recommande de créer un filtre métrique et une alarme pour les modifications apportées aux politiques du compartiment S3. La surveillance de ces modifications peut contribuer à réduire les délais de détection et de correction des stratégies permissives associées aux compartiments S3 sensibles.

Pour exécuter cette vérification, Security Hub utilise une logique personnalisée pour effectuer les étapes d'audit exactes prescrites pour le contrôle 4.8 dans le CIS AWS Foundations Benchmark v1.4.0. Ce contrôle échoue si les filtres métriques exacts prescrits par ne CIS sont pas utilisés. Des champs ou des termes supplémentaires ne peuvent pas être ajoutés aux filtres de métrique.

Note

La vérification aboutit à FAILED des constatations dans les cas suivants :

Aucune piste n'est configurée.
Les sentiers disponibles qui se trouvent dans la région actuelle et qui appartiennent à un compte courant ne répondent pas aux exigences de contrôle.

La vérification aboutit à un état de contrôle NO_DATA dans les cas suivants :

Un sentier multirégional est basé dans une région différente. Security Hub ne peut générer des résultats que dans la région où le sentier est basé.
Un sentier multirégional appartient à un compte différent. Security Hub ne peut générer des résultats que pour le compte propriétaire de la piste.

Nous vous recommandons de suivre les événements liés à de nombreux comptes d'une organisation. Les sentiers d'organisation sont des sentiers multirégionaux par défaut et ne peuvent être gérés que par le AWS Organizations compte de gestion ou compte administrateur CloudTrail délégué. L'utilisation d'un suivi de l'organisation permet d'obtenir un statut de contrôle NO_DATA de quatre contrôles évalués dans les comptes des membres de l'organisation. Dans les comptes membres, Security Hub génère uniquement des résultats pour les ressources appartenant aux membres. Les résultats relatifs aux parcours de l'organisation sont générés dans le compte du propriétaire de la ressource. Vous pouvez consulter ces résultats dans votre compte d'administrateur délégué Security Hub en utilisant l'agrégation entre régions.

Correction

Pour passer ce contrôle, procédez comme suit pour créer un SNS sujet Amazon, un AWS CloudTrail trail, un filtre métrique et une alarme pour le filtre métrique.

Créez un SNS sujet Amazon. Pour obtenir des instructions, consultez Getting started with Amazon SNS dans le manuel Amazon Simple Notification Service Developer Guide. Créez une rubrique qui reçoit toutes les CIS alarmes et créez au moins un abonnement à cette rubrique.
Créez un CloudTrail parcours qui s'applique à tous Régions AWS. Pour obtenir des instructions, reportez-vous à la section Création d'un parcours dans AWS CloudTrail Guide de l'utilisateur.

Notez le nom du groupe de CloudWatch journaux Logs que vous associez au CloudTrail parcours. Vous allez créer le filtre métrique pour ce groupe de journaux à l'étape suivante.

Champ	Valeur
Définir le modèle, Filtrer le modèle	`{($.eventSource=s3.amazonaws.com) && (($.eventName=PutBucketAcl) \|\| ($.eventName=PutBucketPolicy) \|\| ($.eventName=PutBucketCors) \|\| ($.eventName=PutBucketLifecycle) \|\| ($.eventName=PutBucketReplication) \|\| ($.eventName=DeleteBucketPolicy) \|\| ($.eventName=DeleteBucketCors) \|\| ($.eventName=DeleteBucketLifecycle) \|\| ($.eventName=DeleteBucketReplication))}`
Espace de noms métrique	`LogMetrics`
Valeur de la métrique	`1`
Valeur par défaut	`0`

Champ	Valeur
Conditions, type de seuil	Statique
N'importe quand `your-metric-name` c'est...	Plus grand/égal
que...	`1`

[CloudWatch.9] Assurez-vous qu'un filtre logarithmique et une alarme existent pour AWS Config modifications de configuration

Exigences connexes : CIS AWS Foundations Benchmark v1.2.0/3.9, CIS AWS Foundations Benchmark v1.4.0/4.9

Catégorie : Détecter - Services de détection

Gravité : Faible

Type de ressource :AWS::Logs::MetricFilter,AWS::CloudWatch::Alarm,AWS::CloudTrail::Trail, AWS::SNS::Topic

AWS Config règle : Aucune (règle Security Hub personnalisée)

Type de calendrier : Périodique

Paramètres : Aucun

Vous pouvez surveiller les API appels en temps réel en dirigeant CloudTrail les journaux vers les CloudWatch journaux et en établissant des filtres métriques et des alarmes correspondants.

CISvous recommande de créer un filtre métrique et une alarme pour les modifications apportées à AWS Config paramètres de configuration. La surveillance de ces modifications permet de garantir une visibilité constante sur les éléments de configuration du compte.

Pour exécuter cette vérification, Security Hub utilise une logique personnalisée pour effectuer les étapes d'audit exactes prescrites pour le contrôle 4.9 dans le CIS AWS Foundations Benchmark v1.4.0. Ce contrôle échoue si les filtres métriques exacts prescrits par ne CIS sont pas utilisés. Des champs ou des termes supplémentaires ne peuvent pas être ajoutés aux filtres de métrique.

Note

La vérification aboutit à FAILED des constatations dans les cas suivants :

Aucune piste n'est configurée.
Les sentiers disponibles qui se trouvent dans la région actuelle et qui appartiennent à un compte courant ne répondent pas aux exigences de contrôle.

La vérification aboutit à un état de contrôle NO_DATA dans les cas suivants :

Un sentier multirégional est basé dans une région différente. Security Hub ne peut générer des résultats que dans la région où le sentier est basé.
Un sentier multirégional appartient à un compte différent. Security Hub ne peut générer des résultats que pour le compte propriétaire de la piste.

Nous vous recommandons de suivre les événements liés à de nombreux comptes d'une organisation. Les sentiers d'organisation sont des sentiers multirégionaux par défaut et ne peuvent être gérés que par le AWS Organizations compte de gestion ou compte administrateur CloudTrail délégué. L'utilisation d'un suivi de l'organisation permet d'obtenir un statut de contrôle NO_DATA de quatre contrôles évalués dans les comptes des membres de l'organisation. Dans les comptes membres, Security Hub génère uniquement des résultats pour les ressources appartenant aux membres. Les résultats relatifs aux parcours de l'organisation sont générés dans le compte du propriétaire de la ressource. Vous pouvez consulter ces résultats dans votre compte d'administrateur délégué Security Hub en utilisant l'agrégation entre régions.

Correction

Pour passer ce contrôle, procédez comme suit pour créer un SNS sujet Amazon, un AWS CloudTrail trail, un filtre métrique et une alarme pour le filtre métrique.

Créez un SNS sujet Amazon. Pour obtenir des instructions, consultez Getting started with Amazon SNS dans le manuel Amazon Simple Notification Service Developer Guide. Créez une rubrique qui reçoit toutes les CIS alarmes et créez au moins un abonnement à cette rubrique.
Créez un CloudTrail parcours qui s'applique à tous Régions AWS. Pour obtenir des instructions, reportez-vous à la section Création d'un parcours dans AWS CloudTrail Guide de l'utilisateur.

Notez le nom du groupe de CloudWatch journaux Logs que vous associez au CloudTrail parcours. Vous allez créer le filtre métrique pour ce groupe de journaux à l'étape suivante.

Champ	Valeur
Définir le modèle, Filtrer le modèle	`{($.eventSource=config.amazonaws.com) && (($.eventName=StopConfigurationRecorder) \|\| ($.eventName=DeleteDeliveryChannel) \|\| ($.eventName=PutDeliveryChannel) \|\| ($.eventName=PutConfigurationRecorder))}`
Espace de noms métrique	`LogMetrics`
Valeur de la métrique	`1`
Valeur par défaut	`0`

Champ	Valeur
Conditions, type de seuil	Statique
N'importe quand `your-metric-name` c'est...	Plus grand/égal
que...	`1`

[CloudWatch.10] Assurez-vous qu'un filtre métrique journal et une alarme existent pour les modifications du groupe de sécurité

Exigences connexes : CIS AWS Foundations Benchmark v1.2.0/3.10, CIS AWS Foundations Benchmark v1.4.0/4.10

Catégorie : Détecter - Services de détection

Gravité : Faible

Type de ressource :AWS::Logs::MetricFilter,AWS::CloudWatch::Alarm,AWS::CloudTrail::Trail, AWS::SNS::Topic

AWS Config règle : Aucune (règle Security Hub personnalisée)

Type de calendrier : Périodique

Paramètres : Aucun

Vous pouvez surveiller les API appels en temps réel en dirigeant CloudTrail les journaux vers les CloudWatch journaux et en établissant des filtres métriques et des alarmes correspondants. Les groupes de sécurité sont un filtre de paquets dynamique qui contrôle le trafic entrant et sortant dans un. VPC

CISrecommande de créer un filtre métrique et une alarme pour les modifications apportées aux groupes de sécurité. La surveillance de ces modifications permet de s'assurer que les ressources et les services ne sont pas involontairement exposés.

Pour exécuter cette vérification, Security Hub utilise une logique personnalisée pour effectuer les étapes d'audit exactes prescrites pour le contrôle 4.10 dans le CIS AWS Foundations Benchmark v1.4.0. Ce contrôle échoue si les filtres métriques exacts prescrits par ne CIS sont pas utilisés. Des champs ou des termes supplémentaires ne peuvent pas être ajoutés aux filtres de métrique.

Note

La vérification aboutit à FAILED des constatations dans les cas suivants :

Aucune piste n'est configurée.
Les sentiers disponibles qui se trouvent dans la région actuelle et qui appartiennent à un compte courant ne répondent pas aux exigences de contrôle.

La vérification aboutit à un état de contrôle NO_DATA dans les cas suivants :

Un sentier multirégional est basé dans une région différente. Security Hub ne peut générer des résultats que dans la région où le sentier est basé.
Un sentier multirégional appartient à un compte différent. Security Hub ne peut générer des résultats que pour le compte propriétaire de la piste.

Nous vous recommandons de suivre les événements liés à de nombreux comptes d'une organisation. Les sentiers d'organisation sont des sentiers multirégionaux par défaut et ne peuvent être gérés que par le AWS Organizations compte de gestion ou compte administrateur CloudTrail délégué. L'utilisation d'un suivi de l'organisation permet d'obtenir un statut de contrôle NO_DATA de quatre contrôles évalués dans les comptes des membres de l'organisation. Dans les comptes membres, Security Hub génère uniquement des résultats pour les ressources appartenant aux membres. Les résultats relatifs aux parcours de l'organisation sont générés dans le compte du propriétaire de la ressource. Vous pouvez consulter ces résultats dans votre compte d'administrateur délégué Security Hub en utilisant l'agrégation entre régions.

Correction

Pour passer ce contrôle, procédez comme suit pour créer un SNS sujet Amazon, un AWS CloudTrail trail, un filtre métrique et une alarme pour le filtre métrique.

Créez un SNS sujet Amazon. Pour obtenir des instructions, consultez Getting started with Amazon SNS dans le manuel Amazon Simple Notification Service Developer Guide. Créez une rubrique qui reçoit toutes les CIS alarmes et créez au moins un abonnement à cette rubrique.
Créez un CloudTrail parcours qui s'applique à tous Régions AWS. Pour obtenir des instructions, reportez-vous à la section Création d'un parcours dans AWS CloudTrail Guide de l'utilisateur.

Notez le nom du groupe de CloudWatch journaux Logs que vous associez au CloudTrail parcours. Vous allez créer le filtre métrique pour ce groupe de journaux à l'étape suivante.

Champ	Valeur
Définir le modèle, Filtrer le modèle	`{($.eventName=AuthorizeSecurityGroupIngress) \|\| ($.eventName=AuthorizeSecurityGroupEgress) \|\| ($.eventName=RevokeSecurityGroupIngress) \|\| ($.eventName=RevokeSecurityGroupEgress) \|\| ($.eventName=CreateSecurityGroup) \|\| ($.eventName=DeleteSecurityGroup)}`
Espace de noms métrique	`LogMetrics`
Valeur de la métrique	`1`
Valeur par défaut	`0`

Champ	Valeur
Conditions, type de seuil	Statique
N'importe quand `your-metric-name` c'est...	Plus grand/égal
que...	`1`

[CloudWatch.11] Assurez-vous qu'un filtre logarithmique et une alarme existent pour les modifications apportées aux listes de contrôle d'accès au réseau () NACL

Exigences connexes : CIS AWS Foundations Benchmark v1.2.0/3.11, CIS AWS Foundations Benchmark v1.4.0/4.11

Catégorie : Détecter - Services de détection

Gravité : Faible

Type de ressource :AWS::Logs::MetricFilter,AWS::CloudWatch::Alarm,AWS::CloudTrail::Trail, AWS::SNS::Topic

AWS Config règle : Aucune (règle Security Hub personnalisée)

Type de calendrier : Périodique

Paramètres : Aucun

Vous pouvez surveiller les API appels en temps réel en dirigeant CloudTrail les journaux vers les CloudWatch journaux et en établissant des filtres métriques et des alarmes correspondants. NACLssont utilisés comme filtre de paquets sans état pour contrôler le trafic entrant et sortant des sous-réseaux d'un. VPC

CISvous recommande de créer un filtre métrique et une alarme pour les modifications apportées àNACLs. Le suivi de ces modifications permet de s'assurer que AWS les ressources et les services ne sont pas exposés involontairement.

Pour exécuter cette vérification, Security Hub utilise une logique personnalisée pour effectuer les étapes d'audit exactes prescrites pour le contrôle 4.11 dans le CIS AWS Foundations Benchmark v1.4.0. Ce contrôle échoue si les filtres métriques exacts prescrits par ne CIS sont pas utilisés. Des champs ou des termes supplémentaires ne peuvent pas être ajoutés aux filtres de métrique.

Note

La vérification aboutit à FAILED des constatations dans les cas suivants :

Aucune piste n'est configurée.
Les sentiers disponibles qui se trouvent dans la région actuelle et qui appartiennent à un compte courant ne répondent pas aux exigences de contrôle.

La vérification aboutit à un état de contrôle NO_DATA dans les cas suivants :

Un sentier multirégional est basé dans une région différente. Security Hub ne peut générer des résultats que dans la région où le sentier est basé.
Un sentier multirégional appartient à un compte différent. Security Hub ne peut générer des résultats que pour le compte propriétaire de la piste.

Nous vous recommandons de suivre les événements liés à de nombreux comptes d'une organisation. Les sentiers d'organisation sont des sentiers multirégionaux par défaut et ne peuvent être gérés que par le AWS Organizations compte de gestion ou compte administrateur CloudTrail délégué. L'utilisation d'un suivi de l'organisation permet d'obtenir un statut de contrôle NO_DATA de quatre contrôles évalués dans les comptes des membres de l'organisation. Dans les comptes membres, Security Hub génère uniquement des résultats pour les ressources appartenant aux membres. Les résultats relatifs aux parcours de l'organisation sont générés dans le compte du propriétaire de la ressource. Vous pouvez consulter ces résultats dans votre compte d'administrateur délégué Security Hub en utilisant l'agrégation entre régions.

Correction

Pour passer ce contrôle, procédez comme suit pour créer un SNS sujet Amazon, un AWS CloudTrail trail, un filtre métrique et une alarme pour le filtre métrique.

Créez un SNS sujet Amazon. Pour obtenir des instructions, consultez Getting started with Amazon SNS dans le manuel Amazon Simple Notification Service Developer Guide. Créez une rubrique qui reçoit toutes les CIS alarmes et créez au moins un abonnement à cette rubrique.
Créez un CloudTrail parcours qui s'applique à tous Régions AWS. Pour obtenir des instructions, reportez-vous à la section Création d'un parcours dans AWS CloudTrail Guide de l'utilisateur.

Notez le nom du groupe de CloudWatch journaux Logs que vous associez au CloudTrail parcours. Vous allez créer le filtre métrique pour ce groupe de journaux à l'étape suivante.

Champ	Valeur
Définir le modèle, Filtrer le modèle	`{($.eventName=CreateNetworkAcl) \|\| ($.eventName=CreateNetworkAclEntry) \|\| ($.eventName=DeleteNetworkAcl) \|\| ($.eventName=DeleteNetworkAclEntry) \|\| ($.eventName=ReplaceNetworkAclEntry) \|\| ($.eventName=ReplaceNetworkAclAssociation)}`
Espace de noms métrique	`LogMetrics`
Valeur de la métrique	`1`
Valeur par défaut	`0`

Champ	Valeur
Conditions, type de seuil	Statique
N'importe quand `your-metric-name` c'est...	Plus grand/égal
que...	`1`

[CloudWatch.12] Assurez-vous qu'un filtre log métrique et une alarme existent pour les modifications apportées aux passerelles réseau

Exigences connexes : CIS AWS Foundations Benchmark v1.2.0/3.12, CIS AWS Foundations Benchmark v1.4.0/4.12

Catégorie : Détecter - Services de détection

Gravité : Faible

Type de ressource :AWS::Logs::MetricFilter,AWS::CloudWatch::Alarm,AWS::CloudTrail::Trail, AWS::SNS::Topic

AWS Config règle : Aucune (règle Security Hub personnalisée)

Type de calendrier : Périodique

Paramètres : Aucun

Vous pouvez surveiller les API appels en temps réel en dirigeant CloudTrail les journaux vers les CloudWatch journaux et en établissant des filtres métriques et des alarmes correspondants. Les passerelles réseau sont nécessaires pour envoyer et recevoir du trafic vers une destination en dehors d'unVPC.

CISrecommande de créer un filtre métrique et une alarme pour les modifications apportées aux passerelles réseau. Le suivi de ces modifications permet de s'assurer que tout le trafic entrant et sortant traverse la VPC frontière par un chemin contrôlé.

Pour exécuter cette vérification, Security Hub utilise une logique personnalisée pour effectuer les étapes d'audit exactes prescrites pour le contrôle 4.12 dans le CIS AWS Foundations Benchmark v1.2. Ce contrôle échoue si les filtres métriques exacts prescrits par ne CIS sont pas utilisés. Des champs ou des termes supplémentaires ne peuvent pas être ajoutés aux filtres de métrique.

Note

La vérification aboutit à FAILED des constatations dans les cas suivants :

Aucune piste n'est configurée.
Les sentiers disponibles qui se trouvent dans la région actuelle et qui appartiennent à un compte courant ne répondent pas aux exigences de contrôle.

La vérification aboutit à un état de contrôle NO_DATA dans les cas suivants :

Un sentier multirégional est basé dans une région différente. Security Hub ne peut générer des résultats que dans la région où le sentier est basé.
Un sentier multirégional appartient à un compte différent. Security Hub ne peut générer des résultats que pour le compte propriétaire de la piste.

Nous vous recommandons de suivre les événements liés à de nombreux comptes d'une organisation. Les sentiers d'organisation sont des sentiers multirégionaux par défaut et ne peuvent être gérés que par le AWS Organizations compte de gestion ou compte administrateur CloudTrail délégué. L'utilisation d'un suivi de l'organisation permet d'obtenir un statut de contrôle NO_DATA de quatre contrôles évalués dans les comptes des membres de l'organisation. Dans les comptes membres, Security Hub génère uniquement des résultats pour les ressources appartenant aux membres. Les résultats relatifs aux parcours de l'organisation sont générés dans le compte du propriétaire de la ressource. Vous pouvez consulter ces résultats dans votre compte d'administrateur délégué Security Hub en utilisant l'agrégation entre régions.

Correction

Pour passer ce contrôle, procédez comme suit pour créer un SNS sujet Amazon, un AWS CloudTrail trail, un filtre métrique et une alarme pour le filtre métrique.

Créez un SNS sujet Amazon. Pour obtenir des instructions, consultez Getting started with Amazon SNS dans le manuel Amazon Simple Notification Service Developer Guide. Créez une rubrique qui reçoit toutes les CIS alarmes et créez au moins un abonnement à cette rubrique.
Créez un CloudTrail parcours qui s'applique à tous Régions AWS. Pour obtenir des instructions, reportez-vous à la section Création d'un parcours dans AWS CloudTrail Guide de l'utilisateur.

Notez le nom du groupe de CloudWatch journaux Logs que vous associez au CloudTrail parcours. Vous allez créer le filtre métrique pour ce groupe de journaux à l'étape suivante.

Champ	Valeur
Définir le modèle, Filtrer le modèle	`{($.eventName=CreateCustomerGateway) \|\| ($.eventName=DeleteCustomerGateway) \|\| ($.eventName=AttachInternetGateway) \|\| ($.eventName=CreateInternetGateway) \|\| ($.eventName=DeleteInternetGateway) \|\| ($.eventName=DetachInternetGateway)}`
Espace de noms métrique	`LogMetrics`
Valeur de la métrique	`1`
Valeur par défaut	`0`

Champ	Valeur
Conditions, type de seuil	Statique
N'importe quand `your-metric-name` c'est...	Plus grand/égal
que...	`1`

[CloudWatch.13] Assurez-vous qu'un filtre métrique journal et une alarme existent pour les modifications de la table de routage

Exigences connexes : CIS AWS Foundations Benchmark v1.2.0/3.13, CIS AWS Foundations Benchmark v1.4.0/4.13

Catégorie : Détecter - Services de détection

Gravité : Faible

Type de ressource :AWS::Logs::MetricFilter,AWS::CloudWatch::Alarm,AWS::CloudTrail::Trail, AWS::SNS::Topic

AWS Config règle : Aucune (règle Security Hub personnalisée)

Type de calendrier : Périodique

Paramètres : Aucun

Ce contrôle vérifie si vous surveillez les API appels en temps réel en dirigeant CloudTrail les journaux vers les CloudWatch journaux et en établissant les filtres métriques et les alarmes correspondants. Les tables de routage acheminent le trafic réseau entre les sous-réseaux et vers les passerelles réseau.

CISrecommande de créer un filtre métrique et une alarme pour les modifications apportées aux tables de routage. La surveillance de ces modifications permet de s'assurer que tout VPC le trafic emprunte le chemin prévu.

Note

La vérification aboutit à FAILED des constatations dans les cas suivants :

Aucune piste n'est configurée.
Les sentiers disponibles qui se trouvent dans la région actuelle et qui appartiennent à un compte courant ne répondent pas aux exigences de contrôle.

La vérification aboutit à un état de contrôle NO_DATA dans les cas suivants :

Un sentier multirégional est basé dans une région différente. Security Hub ne peut générer des résultats que dans la région où le sentier est basé.
Un sentier multirégional appartient à un compte différent. Security Hub ne peut générer des résultats que pour le compte propriétaire de la piste.

Nous vous recommandons de suivre les événements liés à de nombreux comptes d'une organisation. Les sentiers d'organisation sont des sentiers multirégionaux par défaut et ne peuvent être gérés que par le AWS Organizations compte de gestion ou compte administrateur CloudTrail délégué. L'utilisation d'un suivi de l'organisation permet d'obtenir un statut de contrôle NO_DATA de quatre contrôles évalués dans les comptes des membres de l'organisation. Dans les comptes membres, Security Hub génère uniquement des résultats pour les ressources appartenant aux membres. Les résultats relatifs aux parcours de l'organisation sont générés dans le compte du propriétaire de la ressource. Vous pouvez consulter ces résultats dans votre compte d'administrateur délégué Security Hub en utilisant l'agrégation entre régions.

Correction

Note

Le modèle de filtre que nous recommandons pour ces étapes de correction est différent du modèle de filtre indiqué dans le CIS guide. Nos filtres recommandés ciblent uniquement les événements provenant d'APIappels Amazon Elastic Compute Cloud (EC2).

Pour passer ce contrôle, procédez comme suit pour créer un SNS sujet Amazon, un AWS CloudTrail trail, un filtre métrique et une alarme pour le filtre métrique.

Créez un SNS sujet Amazon. Pour obtenir des instructions, consultez Getting started with Amazon SNS dans le manuel Amazon Simple Notification Service Developer Guide. Créez une rubrique qui reçoit toutes les CIS alarmes et créez au moins un abonnement à cette rubrique.
Créez un CloudTrail parcours qui s'applique à tous Régions AWS. Pour obtenir des instructions, reportez-vous à la section Création d'un parcours dans AWS CloudTrail Guide de l'utilisateur.

Notez le nom du groupe de CloudWatch journaux Logs que vous associez au CloudTrail parcours. Vous allez créer le filtre métrique pour ce groupe de journaux à l'étape suivante.

Champ	Valeur
Définir le modèle, Filtrer le modèle	`{($.eventSource=ec2.amazonaws.com) && (($.eventName=CreateRoute) \|\| ($.eventName=CreateRouteTable) \|\| ($.eventName=ReplaceRoute) \|\| ($.eventName=ReplaceRouteTableAssociation) \|\| ($.eventName=DeleteRouteTable) \|\| ($.eventName=DeleteRoute) \|\| ($.eventName=DisassociateRouteTable))}`
Espace de noms métrique	`LogMetrics`
Valeur de la métrique	`1`
Valeur par défaut	`0`

Champ	Valeur
Conditions, type de seuil	Statique
N'importe quand `your-metric-name` c'est...	Plus grand/égal
que...	`1`

[CloudWatch.14] Assurez-vous qu'un filtre logarithmique et une alarme existent pour les modifications VPC

Exigences connexes : CIS AWS Foundations Benchmark v1.2.0/3.14, CIS AWS Foundations Benchmark v1.4.0/4.14

Catégorie : Détecter - Services de détection

Gravité : Faible

Type de ressource :AWS::Logs::MetricFilter,AWS::CloudWatch::Alarm,AWS::CloudTrail::Trail, AWS::SNS::Topic

AWS Config règle : Aucune (règle Security Hub personnalisée)

Type de calendrier : Périodique

Paramètres : Aucun

Vous pouvez surveiller les API appels en temps réel en dirigeant CloudTrail les journaux vers les CloudWatch journaux et en établissant des filtres métriques et des alarmes correspondants. Vous pouvez en avoir plusieurs VPC dans un compte, et vous pouvez créer une connexion homologue entre deuxVPCs, permettant ainsi au trafic réseau d'être acheminé entre euxVPCs.

CISvous recommande de créer un filtre métrique et une alarme pour les modifications apportées àVPCs. Ceci permet de s'assurer que les contrôles d'authentification et d'autorisation restent inchangés.

Pour exécuter cette vérification, Security Hub utilise une logique personnalisée pour effectuer les étapes d'audit exactes prescrites pour le contrôle 4.14 dans le CIS AWS Foundations Benchmark v1.4.0. Ce contrôle échoue si les filtres métriques exacts prescrits par ne CIS sont pas utilisés. Des champs ou des termes supplémentaires ne peuvent pas être ajoutés aux filtres de métrique.

Note

La vérification aboutit à FAILED des constatations dans les cas suivants :

Aucune piste n'est configurée.
Les sentiers disponibles qui se trouvent dans la région actuelle et qui appartiennent à un compte courant ne répondent pas aux exigences de contrôle.

La vérification aboutit à un état de contrôle NO_DATA dans les cas suivants :

Un sentier multirégional est basé dans une région différente. Security Hub ne peut générer des résultats que dans la région où le sentier est basé.
Un sentier multirégional appartient à un compte différent. Security Hub ne peut générer des résultats que pour le compte propriétaire de la piste.

Nous vous recommandons de suivre les événements liés à de nombreux comptes d'une organisation. Les sentiers d'organisation sont des sentiers multirégionaux par défaut et ne peuvent être gérés que par le AWS Organizations compte de gestion ou compte administrateur CloudTrail délégué. L'utilisation d'un suivi de l'organisation permet d'obtenir un statut de contrôle NO_DATA de quatre contrôles évalués dans les comptes des membres de l'organisation. Dans les comptes membres, Security Hub génère uniquement des résultats pour les ressources appartenant aux membres. Les résultats relatifs aux parcours de l'organisation sont générés dans le compte du propriétaire de la ressource. Vous pouvez consulter ces résultats dans votre compte d'administrateur délégué Security Hub en utilisant l'agrégation entre régions.

Correction

Pour passer ce contrôle, procédez comme suit pour créer un SNS sujet Amazon, un AWS CloudTrail trail, un filtre métrique et une alarme pour le filtre métrique.

Créez un SNS sujet Amazon. Pour obtenir des instructions, consultez Getting started with Amazon SNS dans le manuel Amazon Simple Notification Service Developer Guide. Créez une rubrique qui reçoit toutes les CIS alarmes et créez au moins un abonnement à cette rubrique.
Créez un CloudTrail parcours qui s'applique à tous Régions AWS. Pour obtenir des instructions, reportez-vous à la section Création d'un parcours dans AWS CloudTrail Guide de l'utilisateur.

Notez le nom du groupe de CloudWatch journaux Logs que vous associez au CloudTrail parcours. Vous allez créer le filtre métrique pour ce groupe de journaux à l'étape suivante.

Champ	Valeur
Définir le modèle, Filtrer le modèle	`{($.eventName=CreateVpc) \|\| ($.eventName=DeleteVpc) \|\| ($.eventName=ModifyVpcAttribute) \|\| ($.eventName=AcceptVpcPeeringConnection) \|\| ($.eventName=CreateVpcPeeringConnection) \|\| ($.eventName=DeleteVpcPeeringConnection) \|\| ($.eventName=RejectVpcPeeringConnection) \|\| ($.eventName=AttachClassicLinkVpc) \|\| ($.eventName=DetachClassicLinkVpc) \|\| ($.eventName=DisableVpcClassicLink) \|\| ($.eventName=EnableVpcClassicLink)}`
Espace de noms métrique	`LogMetrics`
Valeur de la métrique	`1`
Valeur par défaut	`0`

Champ	Valeur
Conditions, type de seuil	Statique
N'importe quand `your-metric-name` c'est...	Plus grand/égal
que...	`1`

[CloudWatch.15] les CloudWatch alarmes doivent avoir des actions spécifiées configurées

Catégorie : Détecter - Services de détection

Exigences connexes : NIST .800-53.r5 IR-4 (1) NIST.800-53.r5 AU-6(1), NIST.800-53.r5 AU-6(5), NIST.800-53.r5 CA-7, .800-53.r5 IR-4 (5), NIST .800-53.r5 SI-2, .800-53.r5 SI-20, .800-53.r5 SI-4 (12), NIST .800-53.r5 SI-4 (5) NIST NIST NIST

Gravité : Élevée

Type de ressource : AWS::CloudWatch::Alarm

AWS Config règle : cloudwatch-alarm-action-check

Type de calendrier : changement déclenché

Paramètres :

Paramètre	Description	Type	Valeurs personnalisées autorisées	Valeur par défaut de Security Hub
`alarmActionRequired`	La commande produit une `PASSED` constatation si le paramètre est réglé sur `true` et l'alarme agit lorsque l'état de l'alarme passe à`ALARM`.	Booléen	Non personnalisable	`true`
`insufficientDataActionRequired`	La commande produit une `PASSED` constatation si le paramètre est réglé sur `true` et l'alarme agit lorsque l'état de l'alarme passe à`INSUFFICIENT_DATA`.	Booléen	`true` ou `false`	`false`
`okActionRequired`	La commande produit une `PASSED` constatation si le paramètre est réglé sur `true` et l'alarme agit lorsque l'état de l'alarme passe à`OK`.	Booléen	`true` ou `false`	`false`

Ce contrôle vérifie si au moins une action est configurée pour l'ALARMétat d'une CloudWatch alarme Amazon. Le contrôle échoue si aucune action de l'alarme n'est configurée pour ALARM cet état. Vous pouvez éventuellement inclure des valeurs de paramètres personnalisées afin de demander également des actions d'alarme pour les OK états INSUFFICIENT_DATA ou.

Note

Security Hub évalue ce contrôle en fonction des alarmes CloudWatch métriques. Les alarmes métriques peuvent faire partie d'alarmes composites dont les actions spécifiées sont configurées. Le contrôle génère FAILED des résultats dans les cas suivants :

Les actions spécifiées ne sont pas configurées pour une alarme métrique.
L'alarme métrique fait partie d'une alarme composite dont les actions spécifiées sont configurées.

Ce contrôle se concentre sur le fait de savoir si une CloudWatch action d'alarme est configurée pour une alarme, tandis que CloudWatch.17 se concentre sur l'état d'activation d'une action CloudWatch d'alarme.

Nous recommandons des actions CloudWatch d'alarme pour vous avertir automatiquement lorsqu'une métrique surveillée dépasse le seuil défini. Les alarmes de surveillance vous aident à identifier les activités inhabituelles et à réagir rapidement aux problèmes de sécurité et de fonctionnement lorsqu'une alarme passe dans un état spécifique. Le type d'action d'alarme le plus courant consiste à avertir un ou plusieurs utilisateurs en envoyant un message à une rubrique Amazon Simple Notification Service (AmazonSNS).

Correction

Pour plus d'informations sur les actions prises en charge par les CloudWatch alarmes, consultez la section Actions d'alarme dans le guide de CloudWatch l'utilisateur Amazon.

[CloudWatch.16] les groupes de CloudWatch journaux doivent être conservés pendant une période spécifiée

Catégorie : Identifier - Journalisation

Exigences connexes : NIST.800-53.r5 AU-10, NIST.800-53.r5 AU-11, NIST.800-53.r5 AU-6(3), NIST.800-53.r5 AU-6(4), NIST.800-53.r5 CA-7 NIST .800-53.r5 SI-12

Gravité : Moyenne

Type de ressource : AWS::Logs::LogGroup

AWS Config règle : cw-loggroup-retention-period-check

Type de calendrier : Périodique

Paramètres :

Paramètre	Description	Type	Valeurs personnalisées autorisées	Valeur par défaut de Security Hub
`minRetentionTime`	Période de conservation minimale en jours pour les groupes de CloudWatch journaux	Enum	`365, 400, 545, 731, 1827, 3653`	`365`

Ce contrôle vérifie si un groupe de CloudWatch journaux Amazon a une période de conservation d'au moins le nombre de jours spécifié. Le contrôle échoue si la période de rétention est inférieure au nombre spécifié. À moins que vous ne fournissiez une valeur de paramètre personnalisée pour la période de rétention, Security Hub utilise une valeur par défaut de 365 jours.

CloudWatch Logs : centralisez les journaux de tous vos systèmes, applications et Services AWS dans un service unique et hautement évolutif. Vous pouvez utiliser CloudWatch Logs pour surveiller, stocker et accéder à vos fichiers journaux à partir d'instances Amazon Elastic Compute Cloud (EC2), AWS CloudTrail, Amazon Route 53 et d'autres sources. La conservation de vos journaux pendant au moins un an peut vous aider à respecter les normes de conservation des journaux.

Correction

Pour configurer les paramètres de conservation des journaux, consultez la section Conservation des données des CloudWatch journaux des modifications dans Logs du guide de CloudWatch l'utilisateur Amazon.

[CloudWatch.17] les actions CloudWatch d'alarme doivent être activées

Catégorie : Détecter - Services de détection

Exigences connexes : NIST .800-53.r5 SI-2 NIST.800-53.r5 AU-6(1), NIST.800-53.r5 AU-6(5), NIST.800-53.r5 CA-7, .800-53.r5 SI-4 (12) NIST

Gravité : Élevée

Type de ressource : AWS::CloudWatch::Alarm

AWS Config règle : cloudwatch-alarm-action-enabled-check

Type de calendrier : changement déclenché

Paramètres : Aucun

Cette commande vérifie si les actions CloudWatch d'alarme sont activées (elles ActionEnabled doivent être réglées sur true). La commande échoue si l'action d'alarme associée à une CloudWatch alarme est désactivée.

Note

Security Hub évalue ce contrôle en fonction des alarmes CloudWatch métriques. Les alarmes métriques peuvent faire partie d'alarmes composites dont les actions d'alarme sont activées. Le contrôle génère FAILED des résultats dans les cas suivants :

Les actions spécifiées ne sont pas configurées pour une alarme métrique.
L'alarme métrique fait partie d'une alarme composite dont les actions d'alarme sont activées.

Ce contrôle se concentre sur l'état d'activation d'une action CloudWatch d'alarme, tandis que CloudWatch.15 se concentre sur la configuration d'une ALARM action dans une CloudWatch alarme.

Les actions d'alarme vous alertent automatiquement lorsqu'une métrique surveillée dépasse le seuil défini. Si l'action d'alarme est désactivée, aucune action n'est exécutée lorsque l'alarme change d'état, et vous ne serez pas averti des modifications des mesures surveillées. Nous vous recommandons CloudWatch d'activer les actions d'alarme pour vous aider à réagir rapidement aux problèmes de sécurité et de fonctionnement.

Correction

Pour activer une action CloudWatch d'alarme (console)

Ouvrez la CloudWatch console à l'adresse https://console.aws.amazon.com/cloudwatch/.
Dans le volet de navigation, sous Alarmes, sélectionnez Toutes les alarmes.
Sélectionnez l'alarme pour laquelle vous souhaitez activer des actions.
Pour Actions, choisissez Actions d'alarme : nouveau, puis sélectionnez Activer.

Pour plus d'informations sur l'activation des actions CloudWatch d'alarme, consultez la section Actions d'alarme dans le guide de CloudWatch l'utilisateur Amazon.

Avertissement JavaScript est désactivé ou n'est pas disponible dans votre navigateur.

Pour que vous puissiez utiliser la documentation AWS, Javascript doit être activé. Vous trouverez des instructions sur les pages d'aide de votre navigateur.

Conventions de rédaction

AWS CloudTrail commandes

AWS CodeArtifact contrôles