Controlli Amazon Elastic File System

Questi controlli sono correlati alle EFS risorse di Amazon.

Questi controlli potrebbero non essere disponibili in tutti Regioni AWS. Per ulteriori informazioni, consulta Disponibilità dei controlli per regione.

[EFS.1] Elastic File System deve essere configurato per crittografare i dati dei file archiviati utilizzando AWS KMS

Requisiti correlati: CIS AWS Foundations Benchmark v3.0.0/2.4.1, NIST .800-53.r5 CA-9 (1), .800-53.r5 CM-3 (6), NIST .800-53.r5 SC-13, .800-53.r5 SC-28, NIST .800-53.r5 SC-28 (1), NIST .800-53.r5 SC-7 (10), NIST .800-53.r5 SI-7 (6) NIST NIST

Categoria: Protezione > Protezione dei dati > Crittografia di data-at-rest

Gravità: media

Tipo di risorsa: AWS::EFS::FileSystem

Regola AWS Config : efs-encrypted-check

Tipo di pianificazione: periodica

Parametri: nessuno

Questo controllo verifica se Amazon Elastic File System è configurato per crittografare i dati dei file utilizzando AWS KMS. Il controllo non riesce nei seguenti casi.

• Encrypted è impostato su false nella risposta DescribeFileSystems.

• La chiave KmsKeyId nella risposta DescribeFileSystems non corrisponde al parametro KmsKeyId per efs-encrypted-check.

Questo controllo non utilizza il parametro KmsKeyId per efs-encrypted-check. Controlla solo il valore di Encrypted.

Per un ulteriore livello di sicurezza per i tuoi dati sensibili in AmazonEFS, dovresti creare file system crittografati. Amazon EFS supporta la crittografia per i file system inattivi. Puoi abilitare la crittografia dei dati inattivi quando crei un EFS file system Amazon. Per ulteriori informazioni sulla EFS crittografia Amazon, consulta la sezione Crittografia dei dati EFS in Amazon nella Amazon Elastic File System User Guide.

Correzione

Per dettagli su come crittografare un nuovo EFS file system Amazon, consulta Encrypting data at rest nella Amazon Elastic File System User Guide.

[EFS.2] EFS I volumi Amazon devono essere inclusi nei piani di backup

Requisiti correlati: NIST .800-53.r5 CP-10, .800-53.r5 CP-6, NIST .800-53.r5 CP-6 (1), NIST .800-53.r5 CP-6 (2), .800-53.r5 CP-9, .800-53.r5 SC-5 (2), NIST .800-53.r5 SI-12, NIST .800-53.r5 SI-13 (5) NIST NIST NIST

Categoria: Recupero > Resilienza > Backup

Gravità: media

Tipo di risorsa: AWS::EFS::FileSystem

Regola AWS Config : efs-in-backup-plan

Tipo di pianificazione: periodica

Parametri: nessuno

Questo controllo verifica se i file system Amazon Elastic File System (AmazonEFS) vengono aggiunti ai piani di backup in AWS Backup. Il controllo fallisce se i EFS file system Amazon non sono inclusi nei piani di backup.

L'inclusione dei EFS file system nei piani di backup consente di proteggere i dati dalla cancellazione e dalla perdita di dati.

Correzione

Per abilitare i backup automatici per un EFS file system Amazon esistente, consulta Getting started 4: Create Amazon EFS automatic backup nella AWS Backup Developer Guide.

[EFS.3] i punti di EFS accesso devono applicare una directory principale

Requisiti correlati: NIST .800-53.r5 AC-6 (10)

Categoria: Protezione > Gestione degli accessi sicuri

Gravità: media

Tipo di risorsa: AWS::EFS::AccessPoint

Regola AWS Config : efs-access-point-enforce-root-directory

Tipo di pianificazione: modifica attivata

Parametri: nessuno

Questo controllo verifica se i punti di EFS accesso Amazon sono configurati per applicare una directory principale. Il controllo fallisce se il valore di Path è impostato su / (la directory principale predefinita del file system).

Quando si impone una directory principale, il NFS client che utilizza il punto di accesso utilizza la directory principale configurata sul punto di accesso anziché la directory principale del file system. L'applicazione di una directory principale per un punto di accesso consente di limitare l'accesso ai dati garantendo che gli utenti del punto di accesso possano accedere solo ai file della sottodirectory specificata.

Correzione

Per istruzioni su come applicare una directory principale per un punto di EFS accesso Amazon, consulta Implementazione di una directory principale con un punto di accesso nella Amazon Elastic File System User Guide.

[EFS.4] i punti di EFS accesso devono imporre l'identità di un utente

Requisiti correlati: NIST .800-53.r5 AC-6 (2)

Categoria: Protezione > Gestione degli accessi sicuri

Gravità: media

Tipo di risorsa: AWS::EFS::AccessPoint

Regola AWS Config : efs-access-point-enforce-user-identity

Tipo di pianificazione: modifica attivata

Parametri: nessuno

Questo controllo verifica se i punti di EFS accesso Amazon sono configurati per applicare un'identità utente. Questo controllo fallisce se non viene definita un'identità POSIX utente durante la creazione del punto di EFS accesso.

I punti di EFS accesso Amazon sono punti di ingresso specifici dell'applicazione in un EFS file system che semplificano la gestione dell'accesso delle applicazioni ai set di dati condivisi. Gli access point possono applicare un'identità utente, inclusi i POSIX gruppi di utenti, per tutte le richieste di file system effettuate tramite il punto di accesso. I punti di accesso possono inoltre applicare una directory radice diversa per il file system in modo che i client possano accedere solo ai dati nella directory specificata o nelle sue sottodirectory.

Correzione

Per applicare un'identità utente per un punto di EFS accesso Amazon, consulta la sezione Applicazione dell'identità utente utilizzando un punto di accesso nella Amazon Elastic File System User Guide.

[EFS.5] i punti di EFS accesso devono essere etichettati

Categoria: Identificazione > Inventario > Etichettatura

Gravità: bassa

Tipo di risorsa: AWS::EFS::AccessPoint

AWS Config regola: tagged-efs-accesspoint (regola Security Hub personalizzata)

Tipo di pianificazione: modifica attivata

Parametri:

Parametro	Descrizione	Type	Valori personalizzati consentiti	Valore predefinito di Security Hub
requiredTagKeys	Elenco delle chiavi di tag non di sistema che la risorsa valutata deve contenere. Le chiavi dei tag prevedono una distinzione tra lettere maiuscole e minuscole.	StringList	Elenco di tag che soddisfano i requisiti AWS	Nessun valore predefinito

Questo controllo verifica se un punto di EFS accesso Amazon dispone di tag con le chiavi specifiche definite nel parametrorequiredTagKeys. Il controllo fallisce se il punto di accesso non dispone di chiavi di tag o se non ha tutte le chiavi specificate nel parametrorequiredTagKeys. Se il parametro requiredTagKeys non viene fornito, il controllo verifica solo l'esistenza di una chiave di tag e fallisce se il punto di accesso non è etichettato con alcuna chiave. I tag di sistema, che vengono applicati automaticamente e iniziano conaws:, vengono ignorati.

Un tag è un'etichetta che si assegna a una AWS risorsa e consiste in una chiave e un valore opzionale. È possibile creare tag per suddividere le risorse in categorie in base a scopo, proprietari, ambiente o ad altri criteri. I tag possono aiutarti a identificare, organizzare, cercare e filtrare le risorse. L'etichettatura consente inoltre di tenere traccia delle azioni e delle notifiche dei proprietari delle risorse responsabili. Quando si utilizza il tagging, è possibile implementare il controllo di accesso basato sugli attributi (ABAC) come strategia di autorizzazione, che definisce le autorizzazioni in base ai tag. È possibile allegare tag alle IAM entità (utenti o ruoli) e alle risorse. AWS È possibile creare una singola ABAC politica o un insieme separato di politiche per IAM i responsabili. È possibile progettare queste ABAC politiche per consentire le operazioni quando il tag del principale corrisponde al tag della risorsa. Per ulteriori informazioni, consulta A cosa ABAC serve AWS? nella Guida IAM per l'utente.

Nota

Non aggiungere informazioni di identificazione personale (PII) o altre informazioni riservate o sensibili nei tag. I tag sono accessibili a molti AWS servizi, tra cui. AWS Billing Per ulteriori best practice in materia di etichettatura, consulta Taggare le AWS risorse in. Riferimenti generali di AWS

Correzione

Per aggiungere tag a un punto di EFS accesso, consulta Tagging EFS delle risorse Amazon nella Amazon Elastic File System User Guide.

[EFS.6] gli obiettivi di EFS montaggio non devono essere associati a una sottorete pubblica

Categoria: Protezione > Configurazione di rete sicura > Risorse non accessibili al pubblico

Gravità: media

Tipo di risorsa: AWS::EFS::FileSystem

Regola AWS Config : efs-mount-target-public-accessible

Tipo di pianificazione: periodica

Parametri: nessuno

Questo controllo verifica se un target di EFS montaggio Amazon è associato a una sottorete privata. Il controllo fallisce se la destinazione di montaggio è associata a una sottorete pubblica.

Per impostazione predefinita, un file system è accessibile solo dal cloud privato virtuale (VPC) in cui è stato creato. Ti consigliamo di creare target di EFS montaggio in sottoreti private non accessibili da Internet. Questo aiuta a garantire che il file system sia accessibile solo agli utenti autorizzati e non sia vulnerabile ad accessi o attacchi non autorizzati.

Correzione

Non è possibile modificare l'associazione tra una destinazione di EFS montaggio e una sottorete dopo aver creato la destinazione di montaggio. Per associare una destinazione di montaggio esistente a una sottorete diversa, è necessario creare una nuova destinazione di montaggio in una sottorete privata e quindi rimuovere la vecchia destinazione di montaggio. Per informazioni sulla gestione degli obiettivi di montaggio, consulta Creazione e gestione di destinazioni di montaggio e gruppi di sicurezza nella Amazon Elastic File System User Guide.