Profil CRI v2.2 di CSPM Security Hub

Profil CRI adalah kerangka kerja keamanan siber yang dikembangkan oleh Cyber Risk Institute (CRI), sebuah koalisi nirlaba lembaga keuangan dan asosiasi perdagangan. Kerangka kerja ini menyelaraskan harapan keamanan siber dan peraturan untuk sektor jasa keuangan ke dalam serangkaian persyaratan umum. Ini memungkinkan organisasi menilai dirinya sendiri sekali dan melaporkan terhadap beberapa peraturan. Untuk informasi lebih lanjut tentang kerangka kerja dan persyaratannya, lihat ikhtisar Profil CRI di situs web Cyber Risk Institute.

AWS Security Hub CSPM menyediakan kontrol keamanan yang mendukung subset persyaratan Profil CRI v2.2. Kontrol melakukan pemeriksaan keamanan otomatis untuk sumber daya tertentu Layanan AWS dan. Untuk mengaktifkan dan mengelola kontrol ini, Anda dapat mengaktifkan CRI Profile v2.2 sebagai standar di Security Hub CSPM. Perhatikan bahwa kontrol tidak mendukung persyaratan Profil CRI v2.2 yang memerlukan pemeriksaan manual.

Mengaktifkan standar ini, dan meneruskan pemeriksaan untuk kontrolnya, tidak dengan sendirinya menetapkan atau mengesahkan kepatuhan dengan Profil CRI v2.2. Kepatuhan tergantung pada praktik organisasi dan operasional yang tidak dapat dievaluasi oleh CSPM Security Hub.

Kontrol yang berlaku untuk standar

Daftar berikut menentukan kontrol CSPM Security Hub mana yang berlaku untuk Profil CRI v2.2. Untuk meninjau detail kontrol, pilih kontrol.

• [Account.1] Informasi kontak keamanan harus disediakan untuk Akun AWS

• [Account.2] Akun AWS harus menjadi bagian dari sebuah AWS Organizations organisasi

• [ACM.1] Impor dan ACM-issued sertifikat harus diperpanjang setelah jangka waktu tertentu

• [ACM.2] Sertifikat RSA yang dikelola oleh ACM harus menggunakan panjang kunci minimal 2.048 bit

• [Amplify.2] Amplify branch harus diberi tag

• [APIGateway.1] API Gateway REST dan pencatatan eksekusi WebSocket API harus diaktifkan

• [APIGateway.2] Tahapan API Gateway REST API harus dikonfigurasi untuk menggunakan sertifikat SSL untuk otentikasi backend

• [APIGateway.3] Tahapan API Gateway REST API harus memiliki AWS X-Ray penelusuran diaktifkan

• [APIGateway.4] API Gateway harus dikaitkan dengan WAF Web ACL

• [APIGateway.5] Data cache API Gateway REST API harus dienkripsi saat istirahat

• [APIGateway.8] Rute API Gateway harus menentukan jenis otorisasi

• [APIGateway.9] Pencatatan akses harus dikonfigurasi untuk Tahap API Gateway V2

• [AppFlow.1] AppFlow Aliran Amazon harus ditandai

• [AppRunner.1] Layanan Pelari Aplikasi harus ditandai

• [AppSync.2] AWS AppSync harus mengaktifkan logging tingkat lapangan

• [AppSync.5] AWS AppSync GraphQL API tidak boleh diautentikasi dengan kunci API

• [Athena.4] Kelompok kerja Athena seharusnya mengaktifkan pencatatan

• [AutoScaling.1] Grup Auto Scaling yang terkait dengan penyeimbang beban harus menggunakan pemeriksaan kesehatan ELB

• [AutoScaling.2] Grup Amazon EC2 Auto Scaling harus mencakup beberapa Availability Zone

• [AutoScaling.3] Konfigurasi peluncuran grup Auto Scaling harus mengonfigurasi instans EC2 agar memerlukan Layanan Metadata Instans Versi 2 (IMDSv2)

• [Autoscaling.5] Instans Amazon EC2 yang diluncurkan menggunakan konfigurasi peluncuran grup Auto Scaling seharusnya tidak memiliki alamat IP Publik

• [AutoScaling.6] Grup Auto Scaling harus menggunakan beberapa jenis instance di beberapa Availability Zone

• [AutoScaling.9] Grup Amazon EC2 Auto Scaling harus menggunakan templat peluncuran Amazon EC2

• [Backup.1] AWS Backup titik pemulihan harus dienkripsi saat istirahat

• [Batch.2] Kebijakan penjadwalan Batch harus ditandai

• [Batch.4] Properti sumber daya komputasi di lingkungan komputasi Batch terkelola harus ditandai

• [CloudFront.1] CloudFront distribusi harus memiliki objek root default yang dikonfigurasi

• [CloudFront.3] CloudFront distribusi harus memerlukan enkripsi dalam perjalanan

• [CloudFront.4] CloudFront distribusi harus memiliki failover asal yang dikonfigurasi

• [CloudFront.5] CloudFront distribusi seharusnya mengaktifkan logging

• [CloudFront.6] CloudFront distribusi harus mengaktifkan WAF

• [CloudFront.7] CloudFront distribusi harus menggunakan sertifikat khusus SSL/TLS

• [CloudFront.8] CloudFront distribusi harus menggunakan SNI untuk melayani permintaan HTTPS

• [CloudFront.9] CloudFront distribusi harus mengenkripsi lalu lintas ke asal khusus

• [CloudFront.10] CloudFront distribusi tidak boleh menggunakan protokol SSL yang tidak digunakan lagi antara lokasi tepi dan asal kustom

• [CloudFront.12] CloudFront distribusi seharusnya tidak menunjukkan asal S3 yang tidak ada

• [CloudFront.13] CloudFront distribusi harus menggunakan kontrol akses asal

• [CloudFront.15] CloudFront distribusi harus menggunakan kebijakan keamanan TLS yang direkomendasikan

• [CloudTrail.1] CloudTrail harus diaktifkan dan dikonfigurasi dengan setidaknya satu jejak Multi-wilayah yang mencakup acara manajemen baca dan tulis

• [CloudTrail.2] CloudTrail harus mengaktifkan enkripsi saat istirahat

• [CloudTrail.3] Setidaknya satu CloudTrail jejak harus diaktifkan

• [CloudTrail.4] validasi file CloudTrail log harus diaktifkan

• [CloudTrail.5] CloudTrail jalur harus diintegrasikan dengan Amazon Logs CloudWatch

• [CloudTrail.6] Pastikan bucket S3 yang digunakan untuk menyimpan CloudTrail log tidak dapat diakses publik

• [CloudTrail.7] Pastikan pencatatan akses bucket S3 diaktifkan pada bucket CloudTrail S3

• [CloudWatch.1] Filter metrik log dan alarm harus ada untuk penggunaan pengguna “root”

• [CloudWatch.2] Pastikan filter metrik log dan alarm ada untuk panggilan API yang tidak sah

• [CloudWatch.3] Pastikan filter metrik log dan alarm ada untuk login Konsol Manajemen tanpa MFA

• [CloudWatch.4] Pastikan filter metrik log dan alarm ada untuk perubahan kebijakan IAM

• [CloudWatch.5] Pastikan filter metrik log dan alarm ada untuk perubahan CloudTrail konfigurasi

• [CloudWatch.6] Pastikan filter metrik log dan alarm ada untuk Konsol Manajemen AWS kegagalan otentikasi

• [CloudWatch.7] Pastikan filter metrik log dan alarm ada untuk menonaktifkan atau menjadwalkan penghapusan kunci yang dikelola pelanggan

• [CloudWatch.8] Pastikan filter metrik log dan alarm ada untuk perubahan kebijakan bucket S3

• [CloudWatch.9] Pastikan filter metrik log dan alarm ada untuk AWS Config perubahan konfigurasi

• [CloudWatch.10] Pastikan filter metrik log dan alarm ada untuk perubahan grup keamanan

• [CloudWatch.11] Pastikan filter metrik log dan alarm ada untuk perubahan pada Daftar Kontrol Akses Jaringan (NACL)

• [CloudWatch.12] Pastikan filter metrik log dan alarm ada untuk perubahan gateway jaringan

• [CloudWatch.13] Pastikan filter metrik log dan alarm ada untuk perubahan tabel rute

• [CloudWatch.14] Pastikan filter metrik log dan alarm ada untuk perubahan VPC

• [CloudWatch.15] CloudWatch alarm harus memiliki tindakan tertentu yang dikonfigurasi

• [CloudWatch.16] grup CloudWatch log harus dipertahankan untuk jangka waktu tertentu

• [CloudWatch.17] tindakan CloudWatch alarm harus diaktifkan

• [CodeBuild.1] URL repositori sumber CodeBuild Bitbucket tidak boleh berisi kredensyal sensitif

• [CodeBuild.2] variabel lingkungan CodeBuild proyek tidak boleh berisi kredensyal teks yang jelas

• [CodeBuild.3] CodeBuild Log S3 harus dienkripsi

• [CodeBuild.4] lingkungan CodeBuild proyek harus memiliki pencatatan AWS Config buang air kecil

• [CodeBuild.7] ekspor kelompok CodeBuild laporan harus dienkripsi saat istirahat

• [CodeGuruProfiler.1] Grup CodeGuru profil profiler harus ditandai

• [CodeGuruReviewer.1] Asosiasi CodeGuru repositori peninjau harus ditandai

• [Cognito.2] Kumpulan identitas Cognito seharusnya tidak mengizinkan identitas yang tidak diautentikasi

• [Cognito.3] Kebijakan kata sandi untuk kumpulan pengguna Cognito harus memiliki konfigurasi yang kuat

• [Config.1] AWS Config harus diaktifkan dan menggunakan peran terkait layanan untuk perekaman sumber daya

• [Connect.2] Connect Instans Pelanggan seharusnya mengaktifkan CloudWatch pencatatan

• [DataFirehose.1] Aliran pengiriman Firehose harus dienkripsi saat istirahat

• [DataSync.1] DataSync tugas harus mengaktifkan pencatatan

• [DataSync.2] DataSync tugas harus ditandai

• [DMS.1] Instans replikasi Layanan Migrasi Database tidak boleh bersifat publik

• [DMS.6] Instans replikasi DMS harus mengaktifkan peningkatan versi minor otomatis

• [DMS.7] Tugas replikasi DMS untuk database target harus mengaktifkan logging

• [DMS.8] Tugas replikasi DMS untuk database sumber harus mengaktifkan logging

• [DMS.9] Titik akhir DMS harus menggunakan SSL

• [DMS.10] Titik akhir DMS untuk database Neptunus harus mengaktifkan otorisasi IAM

• [DMS.11] Titik akhir DMS untuk MongoDB harus mengaktifkan mekanisme otentikasi

• [DMS.12] Titik akhir DMS untuk Redis OSS seharusnya mengaktifkan TLS

• [DocumentDB.1] Cluster Amazon DocumentDB harus dienkripsi saat istirahat

• [DocumentDB.2] Cluster Amazon DocumentDB harus memiliki periode retensi cadangan yang memadai

• [DocumentDB.3] Cuplikan cluster manual Amazon DocumentDB seharusnya tidak bersifat publik

• [DocumentDB.4] Cluster Amazon DocumentDB harus mempublikasikan log audit ke Log CloudWatch

• [DocumentDB.5] Cluster Amazon DocumentDB harus mengaktifkan perlindungan penghapusan

• [DocumentDB.6] Cluster Amazon DocumentDB harus dienkripsi saat transit

• [DynamoDB.1] Tabel DynamoDB harus secara otomatis menskalakan kapasitas dengan permintaan

• [DynamoDB.2] Tabel DynamoDB harus mengaktifkan pemulihan point-in-time

• [DynamoDB.3] Cluster DynamoDB Accelerator (DAX) harus dienkripsi saat istirahat

• [DynamoDB.4] Tabel DynamoDB harus ada dalam rencana cadangan

• [DynamoDB.6] Tabel DynamoDB harus mengaktifkan perlindungan penghapusan

• [DynamoDB.7] Cluster DynamoDB Accelerator harus dienkripsi saat transit

• [EC2.1] Snapshot Amazon EBS tidak boleh dikonfigurasi agar dapat dipulihkan secara publik

• [EC2.2] Grup keamanan default VPC tidak boleh mengizinkan lalu lintas masuk atau keluar

• [EC2.3] Volume Amazon EBS yang terlampir harus dienkripsi saat istirahat

• [EC2.4] Instans EC2 yang dihentikan harus dihapus setelah periode waktu tertentu

• [EC2.6] Pencatatan aliran VPC harus diaktifkan di semua VPC

• [EC2.7] Enkripsi default EBS harus diaktifkan

• [EC2.8] Instans EC2 harus menggunakan Layanan Metadata Instance Versi 2 (IMDSv2)

• [EC2.9] Instans Amazon EC2 seharusnya tidak memiliki alamat IPv4 publik

• [EC2.10] Amazon EC2 harus dikonfigurasi untuk menggunakan titik akhir VPC yang dibuat untuk layanan Amazon EC2

• [EC2.12] EIP Amazon EC2 yang tidak digunakan harus dihapus

• [EC2.13] Grup keamanan tidak boleh mengizinkan masuknya dari 0.0.0. 0/0 atau: :/0 ke port 22

• [EC2.14] Grup keamanan tidak boleh mengizinkan masuknya dari 0.0.0. 0/0 atau: :/0 ke port 3389

• [EC2.15] Subnet Amazon EC2 seharusnya tidak secara otomatis menetapkan alamat IP publik

• [EC2.16] Daftar Kontrol Akses Jaringan yang Tidak Digunakan harus dihapus

• [EC2.17] Instans Amazon EC2 tidak boleh menggunakan beberapa ENI

• [EC2.18] Grup keamanan seharusnya hanya mengizinkan lalu lintas masuk yang tidak terbatas untuk port resmi

• [EC2.19] Kelompok keamanan tidak boleh mengizinkan akses tidak terbatas ke port dengan risiko tinggi

• [EC2.20] Kedua terowongan VPN untuk AWS Site-to-Site Koneksi VPN harus aktif

• [EC2.21] ACL jaringan seharusnya tidak mengizinkan masuknya dari 0.0.0. 0/0 ke port 22 atau port 3389

• [EC2.22] Grup keamanan Amazon EC2 yang tidak digunakan harus dihapus

• [EC2.23] Amazon EC2 Transit Gateways seharusnya tidak secara otomatis menerima permintaan lampiran VPC

• [EC2.24] Jenis instans paravirtual Amazon EC2 tidak boleh digunakan

• [EC2.25] Templat peluncuran Amazon EC2 tidak boleh menetapkan IP publik ke antarmuka jaringan

• [EC2.28] Volume EBS harus dicakup oleh rencana cadangan

• [EC2.51] Titik akhir EC2 Client VPN harus mengaktifkan pencatatan koneksi klien

• [EC2.53] Grup keamanan EC2 seharusnya tidak mengizinkan masuknya dari 0.0.0. 0/0 ke port administrasi server jarak jauh

• [EC2.54] Grup keamanan EC2 tidak boleh mengizinkan masuknya dari: :/0 ke port administrasi server jarak jauh

• [EC2.170] Template peluncuran EC2 harus menggunakan Layanan Metadata Instans Versi 2 (IMDSv2)

• [EC2.171] Koneksi VPN EC2 seharusnya mengaktifkan logging

• [EC2.173] Permintaan Armada Spot EC2 dengan parameter peluncuran harus mengaktifkan enkripsi untuk volume EBS terlampir

• [EC2.174] Set opsi EC2 DHCP harus ditandai

• [EC2.176] Daftar awalan EC2 harus ditandai

• [EC2.177] Sesi cermin lalu lintas EC2 harus ditandai

• [EC2.178] Filter cermin lalu lintas EC2 harus ditandai

• [EC2.180] Antarmuka jaringan EC2 seharusnya mengaktifkan pemeriksaan source/destination

• [EC2.181] Templat peluncuran EC2 harus mengaktifkan enkripsi untuk volume EBS terlampir

• [ECR.1] Repositori pribadi ECR harus memiliki pemindaian gambar yang dikonfigurasi

• [ECR.2] Repositori pribadi ECR harus memiliki kekekalan tag yang dikonfigurasi

• [ECR.3] Repositori ECR harus memiliki setidaknya satu kebijakan siklus hidup yang dikonfigurasi

• [ECS.2] Layanan ECS seharusnya tidak memiliki alamat IP publik yang ditetapkan kepadanya secara otomatis

• [ECS.3] Definisi tugas ECS tidak boleh membagikan namespace proses host

• [ECS.4] Kontainer ECS harus berjalan sebagai non-istimewa

• [ECS.5] Definisi tugas ECS harus mengonfigurasi wadah agar dibatasi pada akses hanya-baca ke sistem file root

• [ECS.8] Rahasia tidak boleh diteruskan sebagai variabel lingkungan kontainer

• [ECS.9] Definisi tugas ECS harus memiliki konfigurasi logging

• [ECS.10] Layanan ECS Fargate harus berjalan pada versi platform Fargate terbaru

• [ECS.12] Cluster ECS harus menggunakan Wawasan Kontainer

• [ECS.16] Kumpulan tugas ECS seharusnya tidak secara otomatis menetapkan alamat IP publik

• [ECS.17] Definisi tugas ECS tidak boleh menggunakan mode jaringan host

• [EFS.1] Sistem File Elastis harus dikonfigurasi untuk mengenkripsi data file saat istirahat menggunakan AWS KMS

• [EFS.2] Volume Amazon EFS harus dalam rencana cadangan

• [EFS.3] Titik akses EFS harus menegakkan direktori root

• [EFS.4] Titik akses EFS harus menegakkan identitas pengguna

• [EFS.6] Target pemasangan EFS tidak boleh dikaitkan dengan subnet yang menetapkan alamat IP publik saat diluncurkan

• [EFS.7] Sistem file EFS harus mengaktifkan pencadangan otomatis

• [EFS.8] Sistem file EFS harus dienkripsi saat istirahat

• [EKS.1] Titik akhir klaster EKS seharusnya tidak dapat diakses publik

• [EKS.2] Kluster EKS harus berjalan pada versi Kubernetes yang didukung

• [EKS.8] Kluster EKS harus mengaktifkan pencatatan audit

• [ElastiCache.1] ElastiCache (Redis OSS) cluster harus mengaktifkan pencadangan otomatis

• [ElastiCache.2] ElastiCache cluster harus mengaktifkan peningkatan versi minor otomatis

• [ElastiCache.3] grup ElastiCache replikasi harus mengaktifkan failover otomatis

• [ElastiCache.4] grup ElastiCache replikasi harus dienkripsi saat istirahat

• [ElastiCache.5] grup ElastiCache replikasi harus dienkripsi dalam perjalanan

• [ElastiCache.6] ElastiCache (Redis OSS) grup replikasi dari versi sebelumnya harus mengaktifkan Redis OSS AUTH

• [ElastiCache.7] ElastiCache cluster tidak boleh menggunakan grup subnet default

• [ElasticBeanstalk.1] Lingkungan Elastic Beanstalk seharusnya mengaktifkan pelaporan kesehatan yang ditingkatkan

• [ElasticBeanstalk.2] Pembaruan platform yang dikelola Elastic Beanstalk harus diaktifkan

• [ElasticBeanstalk.3] Elastic Beanstalk harus mengalirkan log ke CloudWatch

• [ELB.1] Application Load Balancer harus dikonfigurasi untuk mengalihkan semua permintaan HTTP ke HTTPS

• [ELB.2] Classic Load Balancer dengan SSL/HTTPS pendengar harus menggunakan sertifikat yang disediakan oleh AWS Certificate Manager

• [ELB.3] Pendengar Classic Load Balancer harus dikonfigurasi dengan penghentian HTTPS atau TLS

• [ELB.4] Application Load Balancer harus dikonfigurasi untuk menjatuhkan header http yang tidak valid

• [ELB.5] Pencatatan Aplikasi dan Classic Load Balancer harus diaktifkan

• [ELB.6] Application, Gateway, dan Network Load Balancers harus mengaktifkan perlindungan penghapusan

• [ELB.7] Classic Load Balancers harus mengaktifkan pengurasan koneksi

• [ELB.8] Classic Load Balancer dengan pendengar SSL harus menggunakan kebijakan keamanan yang telah ditentukan sebelumnya yang memiliki kekuatan AWS Config buang air kecil

• [ELB.9] Penyeimbang Beban Klasik harus mengaktifkan penyeimbangan beban lintas zona

• [ELB.10] Classic Load Balancer harus menjangkau beberapa Availability Zone

• [ELB.12] Application Load Balancer harus dikonfigurasi dengan mode mitigasi desync defensif atau paling ketat

• [ELB.13] Penyeimbang Beban Aplikasi, Jaringan, dan Gateway harus mencakup beberapa Availability Zone

• [ELB.14] Classic Load Balancer harus dikonfigurasi dengan mode mitigasi desync defensif atau paling ketat

• [ELB.16] Application Load Balancer harus dikaitkan dengan AWS WAF web ACL

• [ELB.17] Aplikasi dan Network Load Balancer dengan pendengar harus menggunakan kebijakan keamanan yang direkomendasikan

• [ELB.18] Pendengar Aplikasi dan Network Load Balancer harus menggunakan protokol aman untuk mengenkripsi data dalam perjalanan

• [ELB.21] Grup sasaran Aplikasi dan Network Load Balancer harus menggunakan protokol pemeriksaan kesehatan terenkripsi

• [ELB.22] Kelompok target ELB harus menggunakan protokol transportasi terenkripsi

• [EMR.1] Node utama klaster EMR Amazon seharusnya tidak memiliki alamat IP publik

• [EMR.2] Pengaturan akses publik blok EMR Amazon harus diaktifkan

• [EMR.3] Konfigurasi keamanan Amazon EMR harus dienkripsi saat istirahat

• [EMR.4] Konfigurasi keamanan Amazon EMR harus dienkripsi saat transit

• [ES.1] Domain Elasticsearch harus mengaktifkan enkripsi saat istirahat

• [ES.2] Domain Elasticsearch tidak boleh diakses publik

• [ES.3] Domain Elasticsearch harus mengenkripsi data yang dikirim antar node

• [ES.4] Kesalahan domain Elasticsearch yang masuk ke CloudWatch Log harus diaktifkan

• [ES.5] Domain Elasticsearch harus mengaktifkan pencatatan audit

• [ES.6] Domain Elasticsearch harus memiliki setidaknya tiga node data

• [ES.7] Domain Elasticsearch harus dikonfigurasi dengan setidaknya tiga node master khusus

• [ES.8] Koneksi ke domain Elasticsearch harus dienkripsi menggunakan kebijakan keamanan TLS terbaru

• [EventBridge.3] bus acara EventBridge khusus harus memiliki kebijakan berbasis sumber daya terlampir

• [EventBridge.4] titik akhir EventBridge global harus mengaktifkan replikasi acara

• [FSx.1] FSx untuk sistem file OpenZFS harus dikonfigurasi untuk menyalin tag ke cadangan dan volume

• [FSx.2] Sistem file FSx for Lustre harus dikonfigurasi untuk menyalin tag ke cadangan

• [FSx.3] FSx untuk sistem file OpenZFS harus dikonfigurasi untuk penerapan Multi-AZ

• [FSx.5] Sistem file FSx for Windows File Server harus dikonfigurasi untuk penyebaran Multi-AZ

• [Glue.3] AWS Glue transformasi pembelajaran mesin harus dienkripsi saat istirahat

• [Glue.4] AWS Glue Pekerjaan percikan harus berjalan pada versi yang didukung AWS Glue

• [GuardDuty.1] GuardDuty harus diaktifkan

• [GuardDuty.5] Pemantauan Log Audit GuardDuty EKS harus diaktifkan

• [GuardDuty.6] Perlindungan GuardDuty Lambda harus diaktifkan

• [GuardDuty.7] GuardDuty EKS Runtime Monitoring harus diaktifkan

• [GuardDuty.8] Perlindungan GuardDuty Malware untuk EC2 harus diaktifkan

• [GuardDuty.9] Perlindungan GuardDuty RDS harus diaktifkan

• [GuardDuty.10] Perlindungan GuardDuty S3 harus diaktifkan

• [GuardDuty.11] GuardDuty Runtime Monitoring harus diaktifkan

• [GuardDuty.12] GuardDuty ECS Runtime Monitoring harus diaktifkan

• [GuardDuty.13] GuardDuty EC2 Runtime Monitoring harus diaktifkan

• [IAM.1] Kebijakan IAM seharusnya tidak mengizinkan hak administratif “*” penuh

• [IAM.2] Pengguna IAM seharusnya tidak memiliki kebijakan IAM yang dilampirkan

• [IAM.3] Kunci akses pengguna IAM harus diputar setiap 90 hari atau kurang

• [IAM.4] Kunci akses pengguna root IAM seharusnya tidak ada

• [IAM.5] MFA harus diaktifkan untuk semua pengguna IAM yang memiliki kata sandi konsol

• [IAM.6] MFA perangkat keras harus diaktifkan untuk pengguna root

• [IAM.7] Kebijakan kata sandi untuk pengguna IAM harus memiliki konfigurasi yang kuat

• [IAM.8] Kredensi pengguna IAM yang tidak digunakan harus dihapus

• [IAM.9] MFA harus diaktifkan untuk pengguna root

• [IAM.10] Kebijakan kata sandi untuk pengguna IAM harus memiliki konfigurasi yang kuat

• [IAM.11] Pastikan kebijakan kata sandi IAM membutuhkan setidaknya satu huruf besar

• [IAM.12] Pastikan kebijakan kata sandi IAM membutuhkan setidaknya satu huruf kecil

• [IAM.13] Pastikan kebijakan kata sandi IAM membutuhkan setidaknya satu simbol

• [IAM.14] Pastikan kebijakan kata sandi IAM membutuhkan setidaknya satu nomor

• [IAM.15] Pastikan kebijakan kata sandi IAM memerlukan panjang kata sandi minimum 14 atau lebih

• [IAM.16] Pastikan kebijakan kata sandi IAM mencegah penggunaan kembali kata sandi

• [IAM.17] Pastikan kebijakan kata sandi IAM kedaluwarsa kata sandi dalam waktu 90 hari atau kurang

• [IAM.18] Pastikan peran dukungan telah dibuat untuk mengelola insiden dengan AWS Dukungan

• [IAM.19] MFA harus diaktifkan untuk semua pengguna IAM

• [IAM.21] Kebijakan terkelola pelanggan IAM yang Anda buat seharusnya tidak mengizinkan tindakan wildcard untuk layanan

• [IAM.22] Kredensi pengguna IAM yang tidak digunakan selama 45 hari harus dihapus

• [IAM.26] SSL/TLS Sertifikat kedaluwarsa yang dikelola di IAM harus dihapus

• [IAM.27] Identitas IAM seharusnya tidak memiliki kebijakan yang dilampirkan AWSCloudShellFullAccess

• [IAM.28] IAM Access Analyzer penganalisis akses eksternal harus diaktifkan

• [Inspector.1] Pemindaian Amazon Inspector EC2 harus diaktifkan

• [Inspector.2] Pemindaian ECR Amazon Inspector harus diaktifkan

• [Inspector.3] Pemindaian kode Amazon Inspector Lambda harus diaktifkan

• [Inspector.4] Pemindaian standar Amazon Inspector Lambda harus diaktifkan

• [IoTTwinMaker.2] AWS TwinMaker Ruang kerja IoT harus diberi tag

• [IVS.1] Pasangan kunci pemutaran IVS harus ditandai

• [IVS.2] Konfigurasi perekaman IVS harus ditandai

• [Keyspaces.1] Ruang kunci Amazon Keyspaces harus diberi tag

• [Kinesis.1] Aliran Kinesis harus dienkripsi saat istirahat

• [KMS.1] Kebijakan yang dikelola pelanggan IAM tidak boleh mengizinkan tindakan dekripsi pada semua kunci KMS

• [KMS.2] Prinsipal IAM seharusnya tidak memiliki kebijakan inline IAM yang memungkinkan tindakan dekripsi pada semua kunci KMS

• [KMS.3] AWS KMS keys tidak boleh dihapus secara tidak sengaja

• [KMS.4] AWS KMS rotasi kunci harus diaktifkan

• [KMS.5] Kunci KMS tidak boleh diakses publik

• [Lambda.1] Kebijakan fungsi Lambda harus melarang akses publik

• [Lambda.2] Fungsi Lambda harus menggunakan runtime yang didukung

• [Lambda.3] Fungsi Lambda harus dalam VPC

• [Lambda.5] Fungsi VPC Lambda harus beroperasi di beberapa Availability Zone

• [Lambda.7] Fungsi Lambda seharusnya AWS X-Ray penelusuran aktif diaktifkan

• [Macie.1] Amazon Macie harus diaktifkan

• [Macie.2] Penemuan data sensitif otomatis Macie harus diaktifkan

• [MQ.2] Pialang ActiveMQ harus mengalirkan log audit ke CloudWatch

• [MQ.5] Broker ActiveMQ harus menggunakan mode penerapan active/standby

• [MQ.6] Broker RabbitMQ harus menggunakan mode penerapan cluster

• [MSK.1] Cluster MSK harus dienkripsi dalam perjalanan di antara node broker

• [MSK.2] Kluster MSK seharusnya memiliki pemantauan yang ditingkatkan yang dikonfigurasi

• [MSK.3] Konektor MSK Connect harus dienkripsi saat transit

• [MSK.4] Kluster MSK harus menonaktifkan akses publik

• [MSK.5] Konektor MSK seharusnya mengaktifkan logging

• [MSK.6] Kluster MSK harus menonaktifkan akses yang tidak diautentikasi

• [Neptune.1] Cluster DB Neptunus harus dienkripsi saat istirahat

• [Neptune.2] Cluster DB Neptunus harus menerbitkan log audit ke Log CloudWatch

• [Neptune.3] Snapshot cluster DB Neptunus seharusnya tidak bersifat publik

• [Neptune.4] Cluster DB Neptunus harus mengaktifkan perlindungan penghapusan

• [Neptune.5] Cluster DB Neptunus harus mengaktifkan cadangan otomatis

• [Neptune.6] Snapshot cluster DB Neptunus harus dienkripsi saat istirahat

• [Neptune.7] Cluster DB Neptunus harus mengaktifkan otentikasi basis data IAM

• [Neptune.8] Cluster DB Neptunus harus dikonfigurasi untuk menyalin tag ke snapshot

• [Neptune.9] Cluster DB Neptunus harus digunakan di beberapa Availability Zone

• [NetworkFirewall.1] Firewall Firewall Jaringan harus digunakan di beberapa Availability Zone

• [NetworkFirewall.2] Pencatatan Firewall Jaringan harus diaktifkan

• [NetworkFirewall.3] Kebijakan Network Firewall harus memiliki setidaknya satu kelompok aturan yang terkait

• [NetworkFirewall.4] Tindakan stateless default untuk kebijakan Network Firewall harus drop atau forward untuk paket penuh

• [NetworkFirewall.5] Tindakan stateless default untuk kebijakan Network Firewall harus drop atau forward untuk paket yang terfragmentasi

• [NetworkFirewall.6] Grup aturan Stateless Network Firewall tidak boleh kosong

• [NetworkFirewall.9] Firewall Firewall Jaringan harus mengaktifkan perlindungan penghapusan

• [NetworkFirewall.10] Firewall Firewall Jaringan harus mengaktifkan perlindungan perubahan subnet

• [Opensearch.1] OpenSearch domain harus mengaktifkan enkripsi saat istirahat

• [Opensearch.2] OpenSearch domain tidak boleh diakses publik

• [Opensearch.3] OpenSearch domain harus mengenkripsi data yang dikirim antar node

• [Opensearch.4] login kesalahan OpenSearch domain ke CloudWatch Log harus diaktifkan

• [Opensearch.5] OpenSearch domain harus mengaktifkan pencatatan audit

• [Opensearch.6] OpenSearch domain harus memiliki setidaknya tiga node data

• [Opensearch.7] OpenSearch domain harus mengaktifkan kontrol akses berbutir halus

• [Opensearch.8] Koneksi ke OpenSearch domain harus dienkripsi menggunakan kebijakan keamanan TLS terbaru

• [Opensearch.10] OpenSearch domain harus menginstal pembaruan perangkat lunak terbaru

• [Opensearch.11] OpenSearch domain harus memiliki setidaknya tiga node primer khusus

• [PCA.1] AWS Private CA otoritas sertifikat root harus dinonaktifkan

• [RDS.1] Snapshot RDS harus pribadi

• [RDS.2] Instans RDS DB harus melarang akses publik, sebagaimana ditentukan oleh konfigurasi PubliclyAccessible

• [RDS.3] Instans RDS DB harus mengaktifkan enkripsi saat istirahat

• [RDS.4] Snapshot cluster RDS dan snapshot database harus dienkripsi saat istirahat

• [RDS.5] Instans RDS DB harus dikonfigurasi dengan beberapa Availability Zone

• [RDS.6] Pemantauan yang ditingkatkan harus dikonfigurasi untuk instans RDS DB

• [RDS.7] Cluster RDS harus mengaktifkan perlindungan penghapusan

• [RDS.8] Instans RDS DB harus mengaktifkan perlindungan penghapusan

• [RDS.9] Instans RDS DB harus menerbitkan log ke Log CloudWatch

• [RDS.10] Otentikasi IAM harus dikonfigurasi untuk instance RDS

• [RDS.11] Instans RDS harus mengaktifkan pencadangan otomatis

• [RDS.12] Otentikasi IAM harus dikonfigurasi untuk cluster RDS

• [RDS.13] Peningkatan versi minor otomatis RDS harus diaktifkan

• [RDS.14] Cluster Amazon Aurora seharusnya mengaktifkan backtracking

• [RDS.15] Cluster RDS DB harus dikonfigurasi untuk beberapa Availability Zone

• [RDS.16] Cluster Aurora DB harus dikonfigurasi untuk menyalin tag ke snapshot DB

• [RDS.17] Instans RDS DB harus dikonfigurasi untuk menyalin tag ke snapshot

• [RDS.19] Langganan pemberitahuan acara RDS yang ada harus dikonfigurasi untuk peristiwa klaster kritis

• [RDS.20] Langganan pemberitahuan acara RDS yang ada harus dikonfigurasi untuk peristiwa instance database penting

• [RDS.21] Langganan pemberitahuan acara RDS harus dikonfigurasi untuk peristiwa grup parameter basis data kritis

• [RDS.22] Langganan pemberitahuan acara RDS harus dikonfigurasi untuk acara grup keamanan basis data penting

• [RDS.23] Instans RDS tidak boleh menggunakan port default mesin database

• [RDS.24] Kluster Database RDS harus menggunakan nama pengguna administrator khusus

• [RDS.25] Contoh database RDS harus menggunakan nama pengguna administrator khusus

• [RDS.26] Instans RDS DB harus dilindungi oleh rencana cadangan

• [RDS.27] Cluster RDS DB harus dienkripsi saat istirahat

• [RDS.34] Cluster Aurora MySQL DB harus menerbitkan log audit ke Log CloudWatch

• [RDS.35] Cluster RDS DB harus mengaktifkan peningkatan versi minor otomatis

• [RDS.36] RDS untuk instance PostgreSQL DB harus menerbitkan log ke Log CloudWatch

• [RDS.37] Cluster Aurora PostgreSQL DB harus menerbitkan log ke Log CloudWatch

• [RDS.38] RDS untuk instance PostgreSQL DB harus dienkripsi saat transit

• [RDS.39] RDS untuk instance MySQL DB harus dienkripsi saat transit

• [RDS.41] RDS untuk instance SQL Server DB harus dienkripsi saat transit

• [RDS.44] RDS untuk instance MariaDB DB harus dienkripsi saat transit

• [RDS.45] Cluster Aurora MySQL DB harus mengaktifkan pencatatan audit

• [Redshift.1] Cluster Amazon Redshift harus melarang akses publik

• [Redshift.2] Koneksi ke cluster Amazon Redshift harus dienkripsi saat transit

• [Redshift.3] Cluster Amazon Redshift harus mengaktifkan snapshot otomatis

• [Redshift.4] Cluster Amazon Redshift harus mengaktifkan pencatatan audit

• [Redshift.6] Amazon Redshift harus mengaktifkan peningkatan otomatis ke versi utama

• [Redshift.7] Cluster Redshift harus menggunakan perutean VPC yang ditingkatkan

• [Redshift.8] Cluster Amazon Redshift tidak boleh menggunakan nama pengguna Admin default

• [Redshift.10] Cluster Redshift harus dienkripsi saat istirahat

• [Redshift.15] Grup keamanan Redshift harus mengizinkan masuknya port cluster hanya dari asal yang dibatasi

• [Redshift.16] Grup subnet cluster Redshift harus memiliki subnet dari beberapa Availability Zone

• [Redshift.18] Cluster Redshift harus mengaktifkan penerapan Multi-AZ

• [RedshiftServerless.1] Grup kerja Amazon Redshift Tanpa Server harus menggunakan perutean VPC yang disempurnakan

• [RedshiftServerless.2] Koneksi ke grup kerja Redshift Serverless harus diperlukan untuk menggunakan SSL

• [RedshiftServerless.3] Kelompok kerja Redshift Tanpa Server harus melarang akses publik

• [RedshiftServerless.6] Ruang nama Redshift Tanpa Server harus mengekspor log ke Log CloudWatch

• [Route53.2] Rute 53 zona yang dihosting publik harus mencatat kueri DNS

• [S3.1] Bucket tujuan umum S3 harus mengaktifkan pengaturan akses publik blok

• [S3.2] Bucket tujuan umum S3 harus memblokir akses baca publik

• [S3.3] Bucket tujuan umum S3 harus memblokir akses tulis publik

• [S3.5] Bucket tujuan umum S3 harus memerlukan permintaan untuk menggunakan TLS

• [S3.6] Kebijakan bucket tujuan umum S3 harus membatasi akses ke yang lain Akun AWS

• [S3.7] Ember tujuan umum S3 harus menggunakan replikasi lintas wilayah

• [S3.8] Bucket tujuan umum S3 harus memblokir akses publik

• [S3.9] Bucket tujuan umum S3 harus mengaktifkan pencatatan akses server

• [S3.10] Bucket tujuan umum S3 dengan versi diaktifkan harus memiliki konfigurasi Siklus Hidup

• [S3.11] Bucket tujuan umum S3 harus mengaktifkan pemberitahuan acara

• [S3.12] ACL tidak boleh digunakan untuk mengelola akses pengguna ke bucket tujuan umum S3

• [S3.13] Bucket tujuan umum S3 harus memiliki konfigurasi Siklus Hidup

• [S3.14] Bucket tujuan umum S3 harus mengaktifkan versi

• [S3.15] Bucket tujuan umum S3 harus mengaktifkan Object Lock

• [S3.17] Ember tujuan umum S3 harus dienkripsi saat istirahat AWS KMS keys

• [S3.19] Titik akses S3 harus mengaktifkan pengaturan akses publik blok

• [S3.20] Bucket tujuan umum S3 harus mengaktifkan penghapusan MFA

• [S3.22] Bucket tujuan umum S3 harus mencatat peristiwa penulisan tingkat objek

• [S3.23] Bucket tujuan umum S3 harus mencatat peristiwa pembacaan tingkat objek

• [S3.24] Poin Multi-Region Akses S3 harus mengaktifkan pengaturan akses publik blok

• [SageMaker.1] Instans SageMaker notebook Amazon seharusnya tidak memiliki akses internet langsung

• [SageMaker.2] instance SageMaker notebook harus diluncurkan dalam VPC khusus

• [SageMaker.3] Pengguna seharusnya tidak memiliki akses root ke instance SageMaker notebook

• [SageMaker.4] varian produksi SageMaker titik akhir harus memiliki jumlah instance awal yang lebih besar dari 1

• [SageMaker.5] SageMaker model harus mengaktifkan isolasi jaringan

• [SageMaker.8] instance SageMaker notebook harus berjalan pada platform yang didukung

• [SecretsManager.1] Rahasia Secrets Manager harus mengaktifkan rotasi otomatis

• [SecretsManager.2] Rahasia Secrets Manager yang dikonfigurasi dengan rotasi otomatis harus berhasil diputar

• [SecretsManager.3] Hapus rahasia Secrets Manager yang tidak digunakan

• [SecretsManager.4] Rahasia Secrets Manager harus diputar dalam jumlah hari tertentu

• [ServiceCatalog.1] Portofolio Service Catalog harus dibagikan dalam AWS organisasi saja

• [SNS.1] Topik SNS harus dienkripsi saat istirahat menggunakan AWS KMS

• [SNS.4] Kebijakan akses topik SNS seharusnya tidak mengizinkan akses publik

• [SQS.1] Antrian Amazon SQS harus dienkripsi saat istirahat

• [SQS.3] Kebijakan akses antrian SQS seharusnya tidak mengizinkan akses publik

• [SSM.1] Instans Amazon EC2 harus dikelola oleh AWS Systems Manager

• [SSM.2] Instans Amazon EC2 yang dikelola oleh Systems Manager harus memiliki status kepatuhan patch COMPLIANT setelah instalasi patch

• [SSM.3] Instans Amazon EC2 yang dikelola oleh Systems Manager harus memiliki status kepatuhan asosiasi COMPLIANT

• [SSM.4] Dokumen SSM seharusnya tidak bersifat publik

• [SSM.6] Otomatisasi SSM seharusnya mengaktifkan CloudWatch pencatatan

• [SSM.7] Dokumen SSM harus mengaktifkan pengaturan blok berbagi publik

• [StepFunctions.1] Mesin status Step Functions seharusnya mengaktifkan logging

• [Transfer.2] Server Transfer Family tidak boleh menggunakan protokol FTP untuk koneksi titik akhir

• [Transfer.3] Konektor Transfer Family seharusnya mengaktifkan logging

• [Transfer.4] Perjanjian Transfer Family harus ditandai

• [Transfer.6] Konektor Transfer Family harus diberi tag

• [WAF.1] AWS WAF Pencatatan ACL Web Global Klasik harus diaktifkan

• [WAF.2] AWS WAF Aturan Regional Klasik harus memiliki setidaknya satu syarat

• [WAF.3] AWS WAF Kelompok aturan Regional klasik harus memiliki setidaknya satu aturan

• [WAF.4] AWS WAF ACL web Regional Klasik harus memiliki setidaknya satu aturan atau grup aturan

• [WAF.6] AWS WAF Aturan global klasik harus memiliki setidaknya satu syarat

• [WAF.7] AWS WAF Kelompok aturan global klasik harus memiliki setidaknya satu aturan

• [WAF.8] AWS WAF ACL web global klasik harus memiliki setidaknya satu aturan atau grup aturan

• [WAF.10] AWS WAF ACL web harus memiliki setidaknya satu aturan atau kelompok aturan

• [WAF.11] AWS WAF pencatatan ACL web harus diaktifkan

• [WAF.12] AWS WAF aturan harus mengaktifkan CloudWatch metrik

• [WorkSpaces.1] volume WorkSpaces pengguna harus dienkripsi saat istirahat

• [WorkSpaces.2] volume WorkSpaces root harus dienkripsi saat istirahat