Kontrol Security Hub yang mungkin ingin Anda nonaktifkan

Kami merekomendasikan untuk menonaktifkan beberapa AWS Security Hub kontrol untuk mengurangi kebisingan dan membatasi biaya.

Kontrol yang berhubungan dengan sumber daya global

Beberapa Layanan AWS mendukung sumber daya global, yang berarti Anda dapat mengakses sumber daya dari mana pun Wilayah AWS. Untuk menghemat biaya AWS Config, Anda dapat menonaktifkan perekaman sumber daya global di semua kecuali satu Wilayah. Namun, setelah Anda melakukannya, Security Hub tetap menjalankan pemeriksaan keamanan di semua Wilayah di mana kontrol diaktifkan dan menagih Anda berdasarkan jumlah cek per akun per Wilayah. Oleh karena itu, untuk mengurangi kebisingan dan menghemat biaya Security Hub, Anda juga harus menonaktifkan kontrol yang melibatkan sumber daya global di semua Wilayah kecuali Wilayah yang mencatat sumber daya global.

Jika kontrol melibatkan sumber daya global tetapi hanya tersedia di satu Wilayah, menonaktifkannya di Wilayah tersebut mencegah Anda mendapatkan temuan apa pun untuk sumber daya yang mendasarinya. Dalam hal ini, kami sarankan untuk tetap mengaktifkan kontrol. Saat menggunakan agregasi lintas wilayah, wilayah di mana kontrol tersedia harus merupakan Wilayah agregasi atau salah satu Wilayah yang ditautkan. Kontrol berikut melibatkan sumber daya global tetapi hanya tersedia di satu Wilayah:

• Semua CloudFront kontrol - Hanya tersedia di AS Timur (Virginia N.)

• GlobalAccelerator.1 — Hanya tersedia di AS Barat (Oregon)

• Route53.2 - Hanya tersedia di AS Timur (Virginia N.)

• WAF.1, WAF.6, WAF.7, dan WAF.8 - Hanya tersedia di AS Timur (Virginia N.)

catatan

Jika Anda menggunakan konfigurasi pusat, Security Hub secara otomatis menonaktifkan kontrol yang melibatkan sumber daya global di semua Wilayah kecuali Wilayah asal. Kontrol lain yang Anda pilih untuk diaktifkan meskipun kebijakan konfigurasi diaktifkan di semua Wilayah yang tersedia. Untuk membatasi temuan untuk kontrol ini hanya pada satu Wilayah, Anda dapat memperbarui pengaturan AWS Config perekam dan menonaktifkan perekaman sumber daya global di semua Wilayah kecuali Wilayah asal. Saat Anda menggunakan konfigurasi pusat, Anda tidak memiliki cakupan untuk kontrol yang tidak tersedia di Wilayah asal dan Wilayah yang ditautkan. Untuk informasi selengkapnya tentang konfigurasi pusat, lihatCara kerja konfigurasi pusat.

Untuk kontrol dengan jenis jadwal berkala, menonaktifkannya di Security Hub diperlukan untuk mencegah penagihan. Menyetel AWS Config parameter includeGlobalResourceTypes ke false tidak memengaruhi kontrol Security Hub berkala.

Berikut ini adalah daftar kontrol Security Hub yang melibatkan sumber daya global:

• [Akun.1] Informasi kontak keamanan harus disediakan untuk Akun AWS

• [Akun.2] Akun AWS harus menjadi bagian dari organisasi AWS Organizations

• [CloudFront.1] CloudFront distribusi harus memiliki objek root default yang dikonfigurasi

• [CloudFront.3] CloudFront distribusi harus memerlukan enkripsi dalam perjalanan

• [CloudFront.4] CloudFront distribusi harus memiliki failover asal yang dikonfigurasi

• [CloudFront.5] CloudFront distribusi seharusnya mengaktifkan logging

• [CloudFront.6] CloudFront distribusi harus mengaktifkan WAF

• [CloudFront.7] CloudFront distribusi harus menggunakan sertifikat SSL/TLS khusus

• [CloudFront.8] CloudFront distribusi harus menggunakan SNI untuk melayani permintaan HTTPS

• [CloudFront.9] CloudFront distribusi harus mengenkripsi lalu lintas ke asal khusus

• [CloudFront.10] CloudFront distribusi tidak boleh menggunakan protokol SSL yang tidak digunakan lagi antara lokasi tepi dan asal khusus

• [CloudFront.12] CloudFront distribusi seharusnya tidak menunjukkan asal S3 yang tidak ada

• [CloudFront.13] CloudFront distribusi harus menggunakan kontrol akses asal

• [EventBridge.4] titik akhir EventBridge global harus mengaktifkan replikasi acara

• [GlobalAccelerator.1] Akselerator Akselerator Global harus diberi tag

• [IAM.1] Kebijakan IAM seharusnya tidak mengizinkan hak administratif “*” penuh

• [IAM.2] Pengguna IAM seharusnya tidak memiliki kebijakan IAM yang dilampirkan

• [IAM.3] Kunci akses pengguna IAM harus diputar setiap 90 hari atau kurang

• [IAM.4] Kunci akses pengguna root IAM seharusnya tidak ada

• [IAM.5] MFA harus diaktifkan untuk semua pengguna IAM yang memiliki kata sandi konsol

• [IAM.6] MFA perangkat keras harus diaktifkan untuk pengguna root

• [IAM.7] Kebijakan kata sandi untuk pengguna IAM harus memiliki konfigurasi yang kuat

• [IAM.8] Kredensyal pengguna IAM yang tidak digunakan harus dihapus

• [IAM.9] MFA harus diaktifkan untuk pengguna root

• [IAM.10] Kebijakan kata sandi untuk pengguna IAM harus memiliki urasi yang kuat AWS Config

• [IAM.11] Pastikan kebijakan kata sandi IAM membutuhkan setidaknya satu huruf besar

• [IAM.12] Pastikan kebijakan kata sandi IAM membutuhkan setidaknya satu huruf kecil

• [IAM.13] Pastikan kebijakan kata sandi IAM membutuhkan setidaknya satu simbol

• [IAM.14] Pastikan kebijakan kata sandi IAM membutuhkan setidaknya satu nomor

• [IAM.15] Pastikan kebijakan kata sandi IAM membutuhkan panjang kata sandi minimum 14 atau lebih

• [IAM.16] Pastikan kebijakan kata sandi IAM mencegah penggunaan kembali kata sandi

• [IAM.17] Pastikan kebijakan kata sandi IAM kedaluwarsa kata sandi dalam waktu 90 hari atau kurang

• [IAM.18] Memastikan peran dukungan telah dibuat untuk mengelola insiden dengan AWS Support

• [IAM.19] MFA harus diaktifkan untuk semua pengguna IAM

• [IAM.21] Kebijakan terkelola pelanggan IAM yang Anda buat seharusnya tidak mengizinkan tindakan wildcard untuk layanan

• [IAM.22] Kredensyal pengguna IAM yang tidak digunakan selama 45 hari harus dihapus

• [IAM.24] Peran IAM harus ditandai

• [IAM.25] Pengguna IAM harus diberi tag

• [IAM.26] Sertifikat SSL/TLS kedaluwarsa yang dikelola di IAM harus dihapus

• [IAM.27] Identitas IAM seharusnya tidak memiliki kebijakan yang dilampirkan AWSCloudShellFullAccess

• [KMS.1] Kebijakan yang dikelola pelanggan IAM tidak boleh mengizinkan tindakan dekripsi pada semua kunci KMS

• [KMS.2] Prinsipal IAM tidak boleh memiliki kebijakan inline IAM yang memungkinkan tindakan dekripsi pada semua kunci KMS

• [Route53.2] Route 53 zona yang dihosting publik harus mencatat kueri DNS

• [WAF.1] Pencatatan ACL Web Global AWS WAF Klasik harus diaktifkan

• [WAF.6] Aturan global AWS WAF klasik harus memiliki setidaknya satu syarat

• [WAF.7] Kelompok aturan global AWS WAF klasik harus memiliki setidaknya satu aturan

• [WAF.8] ACL web global AWS WAF klasik harus memiliki setidaknya satu aturan atau kelompok aturan

• [WAF.10] ACL AWS WAF web harus memiliki setidaknya satu aturan atau kelompok aturan

• [WAF.11] pencatatan ACL AWS WAF web harus diaktifkan

Kontrol yang berhubungan dengan CloudTrail logging

Kontrol ini berkaitan dengan penggunaan AWS Key Management Service (AWS KMS) untuk mengenkripsi log AWS CloudTrail jejak. Jika Anda mencatat jejak ini di akun logging terpusat, Anda hanya perlu mengaktifkan kontrol ini di akun dan Wilayah tempat pencatatan terpusat berlangsung.

catatan

Jika Anda menggunakan konfigurasi pusat, status pengaktifan kontrol disejajarkan di seluruh Wilayah beranda dan Wilayah yang ditautkan. Anda tidak dapat menonaktifkan kontrol di beberapa Wilayah dan mengaktifkannya di wilayah lain. Dalam hal ini, tekan temuan dari kontrol berikut untuk mengurangi kebisingan temuan.

• [CloudTrail.2] CloudTrail harus mengaktifkan enkripsi saat istirahat

Kontrol yang menangani CloudWatch alarm

Jika Anda lebih suka menggunakan Amazon GuardDuty untuk deteksi anomali daripada CloudWatch alarm Amazon, Anda dapat menonaktifkan kontrol ini, yang berfokus pada alarm. CloudWatch

• [CloudWatch.1] Filter metrik log dan alarm harus ada untuk penggunaan pengguna “root”

• [CloudWatch.2] Pastikan filter metrik log dan alarm ada untuk panggilan API yang tidak sah

• [CloudWatch.3] Pastikan filter metrik log dan alarm ada untuk login Konsol Manajemen tanpa MFA

• [CloudWatch.4] Pastikan filter metrik log dan alarm ada untuk perubahan kebijakan IAM

• [CloudWatch.5] Pastikan filter metrik log dan alarm ada untuk perubahan CloudTrail AWS Config urasi

• [CloudWatch.6] Pastikan filter metrik log dan alarm ada untuk kegagalan AWS Management Console otentikasi

• [CloudWatch.7] Pastikan filter metrik log dan alarm ada untuk menonaktifkan atau menjadwalkan penghapusan kunci yang dikelola pelanggan

• [CloudWatch.8] Pastikan filter metrik log dan alarm ada untuk perubahan kebijakan bucket S3

• [CloudWatch.9] Pastikan filter metrik log dan alarm ada untuk perubahan AWS Config konfigurasi

• [CloudWatch.10] Pastikan filter metrik log dan alarm ada untuk perubahan grup keamanan

• [CloudWatch.11] Pastikan filter metrik log dan alarm ada untuk perubahan pada Daftar Kontrol Akses Jaringan (NACL)

• [CloudWatch.12] Pastikan filter metrik log dan alarm ada untuk perubahan pada gateway jaringan

• [CloudWatch.13] Pastikan filter metrik log dan alarm ada untuk perubahan tabel rute

• [CloudWatch.14] Pastikan filter metrik log dan alarm ada untuk perubahan VPC