Limiti regionali sui controlli

AWS I controlli del Security Hub potrebbero non essere disponibili tutti Regioni AWS. Questa pagina specifica quali controlli non sono disponibili in regioni specifiche. Un controllo non viene visualizzato nell'elenco dei controlli sulla console Security Hub se non è disponibile nella regione a cui hai effettuato l'accesso.

Stati Uniti orientali (Virginia settentrionale)

I seguenti controlli non sono supportati nella regione Stati Uniti orientali (Virginia settentrionale).

• [ElastiCache.4] i gruppi di ElastiCache replica devono essere crittografati quando sono inattivi

• [ElastiCache.5] i gruppi di ElastiCache replica devono essere crittografati in transito

• [ElastiCache.6] ElastiCache (Redis OSS) i gruppi di replica delle versioni precedenti devono avere Redis OSS AUTH abilitato

• [ElastiCache.7] ElastiCache i cluster non devono utilizzare il gruppo di sottoreti predefinito

• [GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati

• [S3.24] I punti di accesso multiregionali S3 devono avere le impostazioni di blocco dell'accesso pubblico abilitate

Stati Uniti orientali (Ohio)

I seguenti controlli non sono supportati nella regione Stati Uniti orientali (Ohio).

• [AppSync.1] Le cache AWS AppSync delle API devono essere crittografate quando sono inattive

• [AppSync.6] Le cache delle AWS AppSync API devono essere crittografate in transito

• [CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato

• [CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito

• [CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine

• [CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata

• [CloudFront.6] le CloudFront distribuzioni devono avere WAF abilitato

• [CloudFront.7] le CloudFront distribuzioni devono utilizzare certificati SSL/TLS personalizzati

• [CloudFront.8] le CloudFront distribuzioni devono utilizzare SNI per soddisfare le richieste HTTPS

• [CloudFront.9] le CloudFront distribuzioni devono crittografare il traffico verso origini personalizzate

• [CloudFront.10] CloudFront le distribuzioni non devono utilizzare protocolli SSL obsoleti tra edge location e origini personalizzate

• [CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti

• [CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine

• [CloudFront.14] le distribuzioni devono essere etichettate CloudFront

• [Connect.1] I tipi di oggetto Amazon Connect Customer Profiles devono essere etichettati

• [Connect.2] Le istanze Amazon Connect devono avere la registrazione abilitata CloudWatch

• [EC2.24] I tipi di istanze EC2 paravirtuali di Amazon non devono essere utilizzati

• [ECR.4] Gli archivi pubblici ECR devono essere etichettati

• [GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati

• [IAM.26] I certificati SSL/TLS scaduti gestiti in IAM devono essere rimossi

• [Io TTwin Maker.1] I lavori di TwinMaker sincronizzazione AWS IoT devono essere etichettati

• [Io TTwin Maker.2] Gli spazi di TwinMaker lavoro AWS IoT devono essere etichettati

• [Io TTwin Maker.3] Le TwinMaker scene AWS IoT devono essere etichettate

• [Io TTwin Maker.4] Le TwinMaker entità AWS IoT devono essere etichettate

• [Io TWireless .1] I gruppi multicast AWS IoT Wireless devono essere etichettati

• [Io TWireless .2] I profili dei servizi AWS IoT Wireless devono essere etichettati

• [Io TWireless .3] Le attività AWS IOT FUOTA devono essere etichettate

• [IVS.1] Le coppie di chiavi di riproduzione IVS devono essere etichettate

• [IVS.2] Le configurazioni di registrazione IVS devono essere contrassegnate

• [IVS.3] I canali IVS devono essere etichettati

• [RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati

• [Route53.1] I controlli sanitari della Route 53 devono essere etichettati

• [Route53.2] Le zone ospitate pubbliche di Route 53 devono registrare le query DNS

• [S3.24] I punti di accesso multiregionali S3 devono avere le impostazioni di blocco dell'accesso pubblico abilitate

• [WAF.1] La registrazione AWS WAF classica Global Web ACL deve essere abilitata

• [WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione

• [WAF.7] I gruppi di regole globali AWS WAF classici dovrebbero avere almeno una regola

• [WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole

• [WorkSpaces.1] i volumi WorkSpaces utente devono essere crittografati quando sono inattivi

• [WorkSpaces.2] i volumi WorkSpaces root devono essere crittografati quando sono inattivi

Stati Uniti occidentali (California settentrionale)

I seguenti controlli non sono supportati nella regione Stati Uniti occidentali (California settentrionale).

• [AppRunner.1] I servizi App Runner devono essere etichettati

• [AppRunner.2] I connettori VPC App Runner devono essere etichettati

• [AppSync.1] Le cache AWS AppSync delle API devono essere crittografate quando sono inattive

• [AppSync.6] Le cache delle AWS AppSync API devono essere crittografate in transito

• [CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato

• [CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito

• [CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine

• [CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata

• [CloudFront.6] le CloudFront distribuzioni devono avere WAF abilitato

• [CloudFront.7] le CloudFront distribuzioni devono utilizzare certificati SSL/TLS personalizzati

• [CloudFront.8] le CloudFront distribuzioni devono utilizzare SNI per soddisfare le richieste HTTPS

• [CloudFront.9] le CloudFront distribuzioni devono crittografare il traffico verso origini personalizzate

• [CloudFront.10] CloudFront le distribuzioni non devono utilizzare protocolli SSL obsoleti tra edge location e origini personalizzate

• [CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti

• [CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine

• [CloudFront.14] le distribuzioni devono essere etichettate CloudFront

• [CodeArtifact.1] i CodeArtifact repository devono essere etichettati

• [CodeGuruProfiler.1] I gruppi di CodeGuru profilazione Profiler devono essere etichettati

• [CodeGuruReviewer.1] Le associazioni dei repository dei CodeGuru revisori devono essere etichettate

• [Connect.1] I tipi di oggetto Amazon Connect Customer Profiles devono essere etichettati

• [Connect.2] Le istanze Amazon Connect devono avere la registrazione abilitata CloudWatch

• [DocumentDB.1] I cluster Amazon DocumentDB devono essere crittografati quando sono inattivi

• [DocumentDB.2] I cluster Amazon DocumentDB devono avere un periodo di conservazione dei backup adeguato

• [DocumentDB.3] Le istantanee manuali dei cluster di Amazon DocumentDB non devono essere pubbliche

• [DocumentDB.4] I cluster Amazon DocumentDB devono pubblicare i log di controllo su Logs CloudWatch

• [DocumentDB.5] I cluster Amazon DocumentDB devono avere la protezione da eliminazione abilitata

• [ECR.4] Gli archivi pubblici ECR devono essere etichettati

• [FraudDetector.1] I tipi di entità Amazon Fraud Detector devono essere etichettati

• [FraudDetector.2] Le etichette di Amazon Fraud Detector devono essere etichettate

• [FraudDetector.3] I risultati di Amazon Fraud Detector devono essere etichettati

• [FraudDetector.4] Le variabili di Amazon Fraud Detector devono essere etichettate

• [GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati

• [IAM.26] I certificati SSL/TLS scaduti gestiti in IAM devono essere rimossi

• [Inspector.3] La scansione del codice Amazon Inspector Lambda deve essere abilitata

• [Io TEvents .1] Gli input di AWS IoT Events devono essere etichettati

• [Io TEvents .2] I modelli di rilevatori AWS IoT Events devono essere etichettati

• [Io TEvents .3] I modelli di allarme AWS IoT Events devono essere etichettati

• [Io TSite Wise.1] I modelli di SiteWise asset AWS IoT devono essere etichettati

• [Io TSite Wise.2] Le SiteWise dashboard AWS IoT devono essere etichettate

• [Io TSite Wise.3] I SiteWise gateway AWS IoT devono essere etichettati

• [Io TSite Wise.4] I SiteWise portali AWS IoT devono essere etichettati

• [Io TSite Wise.5] I SiteWise progetti AWS IoT devono essere etichettati

• [Io TTwin Maker.1] I lavori di TwinMaker sincronizzazione AWS IoT devono essere etichettati

• [Io TTwin Maker.2] Gli spazi di TwinMaker lavoro AWS IoT devono essere etichettati

• [Io TTwin Maker.3] Le TwinMaker scene AWS IoT devono essere etichettate

• [Io TTwin Maker.4] Le TwinMaker entità AWS IoT devono essere etichettate

• [Io TWireless .1] I gruppi multicast AWS IoT Wireless devono essere etichettati

• [Io TWireless .2] I profili dei servizi AWS IoT Wireless devono essere etichettati

• [Io TWireless .3] Le attività AWS IOT FUOTA devono essere etichettate

• [IVS.1] Le coppie di chiavi di riproduzione IVS devono essere etichettate

• [IVS.2] Le configurazioni di registrazione IVS devono essere contrassegnate

• [IVS.3] I canali IVS devono essere etichettati

• [RDS.35] Nei cluster RDS DB deve essere abilitato l'aggiornamento automatico delle versioni secondarie

• [Route53.1] I controlli sanitari della Route 53 devono essere etichettati

• [Route53.2] Le zone ospitate pubbliche di Route 53 devono registrare le query DNS

• [S3.24] I punti di accesso multiregionali S3 devono avere le impostazioni di blocco dell'accesso pubblico abilitate

• [WAF.1] La registrazione AWS WAF classica Global Web ACL deve essere abilitata

• [WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione

• [WAF.7] I gruppi di regole globali AWS WAF classici dovrebbero avere almeno una regola

• [WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole

• [WorkSpaces.1] i volumi WorkSpaces utente devono essere crittografati quando sono inattivi

• [WorkSpaces.2] i volumi WorkSpaces root devono essere crittografati quando sono inattivi

US West (Oregon)

I seguenti controlli non sono supportati nella regione Stati Uniti occidentali (Oregon).

• [AppSync.1] Le cache AWS AppSync delle API devono essere crittografate quando sono inattive

• [AppSync.6] Le cache delle AWS AppSync API devono essere crittografate in transito

• [CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato

• [CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito

• [CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine

• [CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata

• [CloudFront.6] le CloudFront distribuzioni devono avere WAF abilitato

• [CloudFront.7] le CloudFront distribuzioni devono utilizzare certificati SSL/TLS personalizzati

• [CloudFront.8] le CloudFront distribuzioni devono utilizzare SNI per soddisfare le richieste HTTPS

• [CloudFront.9] le CloudFront distribuzioni devono crittografare il traffico verso origini personalizzate

• [CloudFront.10] CloudFront le distribuzioni non devono utilizzare protocolli SSL obsoleti tra edge location e origini personalizzate

• [CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti

• [CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine

• [CloudFront.14] le distribuzioni devono essere etichettate CloudFront

• [ECR.4] Gli archivi pubblici ECR devono essere etichettati

• [IAM.26] I certificati SSL/TLS scaduti gestiti in IAM devono essere rimossi

• [Route53.1] I controlli sanitari della Route 53 devono essere etichettati

• [Route53.2] Le zone ospitate pubbliche di Route 53 devono registrare le query DNS

• [WAF.1] La registrazione AWS WAF classica Global Web ACL deve essere abilitata

• [WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione

• [WAF.7] I gruppi di regole globali AWS WAF classici dovrebbero avere almeno una regola

• [WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole

Africa (Città del Capo)

I seguenti controlli non sono supportati nella regione Africa (Città del Capo).

• [AppRunner.1] I servizi App Runner devono essere etichettati

• [AppRunner.2] I connettori VPC App Runner devono essere etichettati

• [AppSync.1] Le cache AWS AppSync delle API devono essere crittografate quando sono inattive

• [AppSync.6] Le cache delle AWS AppSync API devono essere crittografate in transito

• [CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato

• [CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito

• [CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine

• [CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata

• [CloudFront.6] le CloudFront distribuzioni devono avere WAF abilitato

• [CloudFront.7] le CloudFront distribuzioni devono utilizzare certificati SSL/TLS personalizzati

• [CloudFront.8] le CloudFront distribuzioni devono utilizzare SNI per soddisfare le richieste HTTPS

• [CloudFront.9] le CloudFront distribuzioni devono crittografare il traffico verso origini personalizzate

• [CloudFront.10] CloudFront le distribuzioni non devono utilizzare protocolli SSL obsoleti tra edge location e origini personalizzate

• [CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti

• [CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine

• [CloudFront.14] le distribuzioni devono essere etichettate CloudFront

• [CodeArtifact.1] i CodeArtifact repository devono essere etichettati

• [CodeGuruProfiler.1] I gruppi di CodeGuru profilazione Profiler devono essere etichettati

• [CodeGuruReviewer.1] Le associazioni dei repository dei CodeGuru revisori devono essere etichettate

• [Cognito.1] I pool di utenti di Cognito dovrebbero avere la protezione dalle minacce attivata con la modalità di imposizione completa delle funzioni per l'autenticazione standard

• [DMS.1] Le istanze di replica del Database Migration Service non devono essere pubbliche

• [DMS.10] Gli endpoint DMS per i database Neptune devono avere l'autorizzazione IAM abilitata

• [DocumentDB.1] I cluster Amazon DocumentDB devono essere crittografati quando sono inattivi

• [DocumentDB.2] I cluster Amazon DocumentDB devono avere un periodo di conservazione dei backup adeguato

• [DocumentDB.3] Le istantanee manuali dei cluster di Amazon DocumentDB non devono essere pubbliche

• [DocumentDB.4] I cluster Amazon DocumentDB devono pubblicare i log di controllo su Logs CloudWatch

• [DocumentDB.5] I cluster Amazon DocumentDB devono avere la protezione da eliminazione abilitata

• [DynamoDB.3] I cluster DynamoDB Accelerator (DAX) devono essere crittografati quando sono inattivi

• [DynamoDB.7] I cluster DynamoDB Accelerator devono essere crittografati in transito

• [EC2.4] Le EC2 istanze interrotte devono essere rimosse dopo un periodo di tempo specificato

• [EC2.8] EC2 le istanze devono utilizzare Instance Metadata Service versione 2 () IMDSv2

• [EC2.14] I gruppi di sicurezza non devono consentire l'accesso da 0.0.0.0/0 o: :/0 alla porta 3389

• [EC2.24] I tipi di istanze EC2 paravirtuali di Amazon non devono essere utilizzati

• [EC2.58] VPCs deve essere configurato con un endpoint di interfaccia per Systems Manager Incident Manager Contacts

• [EC2.60] VPCs deve essere configurato con un endpoint di interfaccia per Systems Manager Incident Manager

• [ECR.4] Gli archivi pubblici ECR devono essere etichettati

• [ELB.2] I sistemi Classic Load Balancer con listener SSL/HTTPS devono utilizzare un certificato fornito da AWS Certificate Manager

• [ES.3] I domini Elasticsearch devono crittografare i dati inviati tra i nodi

• [EventBridge.4] EventBridge gli endpoint globali dovrebbero avere la replica degli eventi abilitata

• [FraudDetector.1] I tipi di entità Amazon Fraud Detector devono essere etichettati

• [FraudDetector.2] Le etichette di Amazon Fraud Detector devono essere etichettate

• [FraudDetector.3] I risultati di Amazon Fraud Detector devono essere etichettati

• [FraudDetector.4] Le variabili di Amazon Fraud Detector devono essere etichettate

• [GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati

• [IAM.18] Assicurati che sia stato creato un ruolo di supporto per gestire gli incidenti con Supporto

• [IAM.26] I certificati SSL/TLS scaduti gestiti in IAM devono essere rimossi

• [Inspector.3] La scansione del codice Amazon Inspector Lambda deve essere abilitata

• [IoT.1] i profili di AWS IoT Device Defender sicurezza devono essere etichettati

• [IoT.2] le azioni di AWS IoT Core mitigazione devono essere etichettate

• [IoT.3] le AWS IoT Core dimensioni devono essere etichettate

• gli AWS IoT Core autorizzatori [IoT.4] devono essere etichettati

• [IoT.5] gli alias dei AWS IoT Core ruoli devono essere etichettati

• [IoT.6] AWS IoT Core le politiche devono essere etichettate

• [Io TEvents .1] Gli input di AWS IoT Events devono essere etichettati

• [Io TEvents .2] I modelli di rilevatori AWS IoT Events devono essere etichettati

• [Io TEvents .3] I modelli di allarme AWS IoT Events devono essere etichettati

• [Io TSite Wise.1] I modelli di SiteWise asset AWS IoT devono essere etichettati

• [Io TSite Wise.2] Le SiteWise dashboard AWS IoT devono essere etichettate

• [Io TSite Wise.3] I SiteWise gateway AWS IoT devono essere etichettati

• [Io TSite Wise.4] I SiteWise portali AWS IoT devono essere etichettati

• [Io TSite Wise.5] I SiteWise progetti AWS IoT devono essere etichettati

• [Io TTwin Maker.1] I lavori di TwinMaker sincronizzazione AWS IoT devono essere etichettati

• [Io TTwin Maker.2] Gli spazi di TwinMaker lavoro AWS IoT devono essere etichettati

• [Io TTwin Maker.3] Le TwinMaker scene AWS IoT devono essere etichettate

• [Io TTwin Maker.4] Le TwinMaker entità AWS IoT devono essere etichettate

• [Io TWireless .1] I gruppi multicast AWS IoT Wireless devono essere etichettati

• [Io TWireless .2] I profili dei servizi AWS IoT Wireless devono essere etichettati

• [Io TWireless .3] Le attività AWS IOT FUOTA devono essere etichettate

• [IVS.1] Le coppie di chiavi di riproduzione IVS devono essere etichettate

• [IVS.2] Le configurazioni di registrazione IVS devono essere contrassegnate

• [IVS.3] I canali IVS devono essere etichettati

• [Keyspaces.1] Gli spazi chiave di Amazon Keyspaces devono essere etichettati

• [MSK.3] I connettori MSK Connect devono essere crittografati in transito

• [RDS.1] L'istantanea RDS deve essere privata

• [RDS.14] I cluster Amazon Aurora devono avere il backtracking abilitato

• [RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati

• [RedshiftServerless.1] I gruppi di lavoro Serverless di Amazon Redshift devono utilizzare un routing VPC avanzato

• [Route53.1] I controlli sanitari della Route 53 devono essere etichettati

• [Route53.2] Le zone ospitate pubbliche di Route 53 devono registrare le query DNS

• [S3.24] I punti di accesso multiregionali S3 devono avere le impostazioni di blocco dell'accesso pubblico abilitate

• [SSM.3] EC2 Le istanze Amazon gestite da Systems Manager devono avere uno stato di conformità dell'associazione pari a COMPLIANT

• [WAF.1] La registrazione AWS WAF classica Global Web ACL deve essere abilitata

• [WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione

• [WAF.7] I gruppi di regole globali AWS WAF classici dovrebbero avere almeno una regola

• [WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole

• [WAF.11] La registrazione AWS WAF web ACL deve essere abilitata

Asia Pacifico (Hong Kong)

I seguenti controlli non sono supportati nella regione Asia Pacifico (Hong Kong).

• [AppFlow.1] I AppFlow flussi Amazon devono essere etichettati

• [AppRunner.1] I servizi App Runner devono essere etichettati

• [AppRunner.2] I connettori VPC App Runner devono essere etichettati

• [AppSync.1] Le cache AWS AppSync delle API devono essere crittografate quando sono inattive

• [AppSync.6] Le cache delle AWS AppSync API devono essere crittografate in transito

• [CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato

• [CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito

• [CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine

• [CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata

• [CloudFront.6] le CloudFront distribuzioni devono avere WAF abilitato

• [CloudFront.7] le CloudFront distribuzioni devono utilizzare certificati SSL/TLS personalizzati

• [CloudFront.8] le CloudFront distribuzioni devono utilizzare SNI per soddisfare le richieste HTTPS

• [CloudFront.9] le CloudFront distribuzioni devono crittografare il traffico verso origini personalizzate

• [CloudFront.10] CloudFront le distribuzioni non devono utilizzare protocolli SSL obsoleti tra edge location e origini personalizzate

• [CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti

• [CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine

• [CloudFront.14] le distribuzioni devono essere etichettate CloudFront

• [CodeArtifact.1] i CodeArtifact repository devono essere etichettati

• [CodeGuruProfiler.1] I gruppi di CodeGuru profilazione Profiler devono essere etichettati

• [CodeGuruReviewer.1] Le associazioni dei repository dei CodeGuru revisori devono essere etichettate

• [Cognito.1] I pool di utenti di Cognito dovrebbero avere la protezione dalle minacce attivata con la modalità di imposizione completa delle funzioni per l'autenticazione standard

• [Connect.1] I tipi di oggetto Amazon Connect Customer Profiles devono essere etichettati

• [Connect.2] Le istanze Amazon Connect devono avere la registrazione abilitata CloudWatch

• [DynamoDB.3] I cluster DynamoDB Accelerator (DAX) devono essere crittografati quando sono inattivi

• [DynamoDB.7] I cluster DynamoDB Accelerator devono essere crittografati in transito

• [EC2.24] I tipi di istanze EC2 paravirtuali di Amazon non devono essere utilizzati

• [EC2.58] VPCs deve essere configurato con un endpoint di interfaccia per Systems Manager Incident Manager Contacts

• [EC2.60] VPCs deve essere configurato con un endpoint di interfaccia per Systems Manager Incident Manager

• [ECR.4] Gli archivi pubblici ECR devono essere etichettati

• [EventBridge.4] EventBridge gli endpoint globali dovrebbero avere la replica degli eventi abilitata

• [FraudDetector.1] I tipi di entità Amazon Fraud Detector devono essere etichettati

• [FraudDetector.2] Le etichette di Amazon Fraud Detector devono essere etichettate

• [FraudDetector.3] I risultati di Amazon Fraud Detector devono essere etichettati

• [FraudDetector.4] Le variabili di Amazon Fraud Detector devono essere etichettate

• [GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati

• [IAM.26] I certificati SSL/TLS scaduti gestiti in IAM devono essere rimossi

• [Inspector.3] La scansione del codice Amazon Inspector Lambda deve essere abilitata

• [Io TEvents .1] Gli input di AWS IoT Events devono essere etichettati

• [Io TEvents .2] I modelli di rilevatori AWS IoT Events devono essere etichettati

• [Io TEvents .3] I modelli di allarme AWS IoT Events devono essere etichettati

• [Io TSite Wise.1] I modelli di SiteWise asset AWS IoT devono essere etichettati

• [Io TSite Wise.2] Le SiteWise dashboard AWS IoT devono essere etichettate

• [Io TSite Wise.3] I SiteWise gateway AWS IoT devono essere etichettati

• [Io TSite Wise.4] I SiteWise portali AWS IoT devono essere etichettati

• [Io TSite Wise.5] I SiteWise progetti AWS IoT devono essere etichettati

• [Io TTwin Maker.1] I lavori di TwinMaker sincronizzazione AWS IoT devono essere etichettati

• [Io TTwin Maker.2] Gli spazi di TwinMaker lavoro AWS IoT devono essere etichettati

• [Io TTwin Maker.3] Le TwinMaker scene AWS IoT devono essere etichettate

• [Io TTwin Maker.4] Le TwinMaker entità AWS IoT devono essere etichettate

• [Io TWireless .1] I gruppi multicast AWS IoT Wireless devono essere etichettati

• [Io TWireless .2] I profili dei servizi AWS IoT Wireless devono essere etichettati

• [Io TWireless .3] Le attività AWS IOT FUOTA devono essere etichettate

• [IVS.1] Le coppie di chiavi di riproduzione IVS devono essere etichettate

• [IVS.2] Le configurazioni di registrazione IVS devono essere contrassegnate

• [IVS.3] I canali IVS devono essere etichettati

• [MSK.3] I connettori MSK Connect devono essere crittografati in transito

• [RDS.14] I cluster Amazon Aurora devono avere il backtracking abilitato

• [RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati

• [RedshiftServerless.1] I gruppi di lavoro Serverless di Amazon Redshift devono utilizzare un routing VPC avanzato

• [Route53.1] I controlli sanitari della Route 53 devono essere etichettati

• [Route53.2] Le zone ospitate pubbliche di Route 53 devono registrare le query DNS

• [S3.24] I punti di accesso multiregionali S3 devono avere le impostazioni di blocco dell'accesso pubblico abilitate

• [SES.1] Gli elenchi di contatti SES devono essere etichettati

• [SES.2] I set di configurazione SES devono essere etichettati

• [WAF.1] La registrazione AWS WAF classica Global Web ACL deve essere abilitata

• [WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione

• [WAF.7] I gruppi di regole globali AWS WAF classici dovrebbero avere almeno una regola

• [WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole

• [WorkSpaces.1] i volumi WorkSpaces utente devono essere crittografati quando sono inattivi

• [WorkSpaces.2] i volumi WorkSpaces root devono essere crittografati quando sono inattivi

Asia Pacific (Hyderabad)

I seguenti controlli non sono supportati nella regione Asia Pacifico (Hyderabad).

• [Account.2] Account AWS deve far parte di un'organizzazione AWS Organizations

• [APIGateway.8] Le rotte API Gateway devono specificare un tipo di autorizzazione

• [APIGateway.9] La registrazione degli accessi deve essere configurata per API Gateway V2 Stages

• [AppConfig.1] AWS AppConfig le applicazioni devono essere etichettate

• [AppConfig.2] i profili AWS AppConfig di configurazione devono essere etichettati

• [AppConfig.3] AWS AppConfig gli ambienti devono essere etichettati

• [AppFlow.1] I AppFlow flussi Amazon devono essere etichettati

• [AppRunner.1] I servizi App Runner devono essere etichettati

• [AppRunner.2] I connettori VPC App Runner devono essere etichettati

• [AppSync.1] Le cache AWS AppSync delle API devono essere crittografate quando sono inattive

• [AppSync.6] Le cache delle AWS AppSync API devono essere crittografate in transito

• [Backup.1] i punti di AWS Backup ripristino devono essere crittografati a riposo

• [Backup.4] i piani di AWS Backup report devono essere etichettati

• [CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato

• [CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito

• [CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine

• [CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata

• [CloudFront.6] le CloudFront distribuzioni devono avere WAF abilitato

• [CloudFront.7] le CloudFront distribuzioni devono utilizzare certificati SSL/TLS personalizzati

• [CloudFront.8] le CloudFront distribuzioni devono utilizzare SNI per soddisfare le richieste HTTPS

• [CloudFront.9] le CloudFront distribuzioni devono crittografare il traffico verso origini personalizzate

• [CloudFront.10] CloudFront le distribuzioni non devono utilizzare protocolli SSL obsoleti tra edge location e origini personalizzate

• [CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti

• [CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine

• [CloudFront.14] le distribuzioni devono essere etichettate CloudFront

• [CloudTrail.6] Assicurati che il bucket S3 utilizzato per archiviare i log non sia accessibile al pubblico CloudTrail

• [CloudTrail.7] Assicurati che la registrazione degli accessi al bucket S3 sia abilitata sul bucket S3 CloudTrail

• [CodeArtifact.1] i CodeArtifact repository devono essere etichettati

• [CodeBuild.1] L'archivio sorgente di CodeBuild Bitbucket non URLs deve contenere credenziali sensibili

• [CodeBuild.2] Le variabili di ambiente CodeBuild del progetto non devono contenere credenziali in chiaro

• [CodeGuruProfiler.1] I gruppi di CodeGuru profilazione Profiler devono essere etichettati

• [CodeGuruReviewer.1] Le associazioni dei repository dei CodeGuru revisori devono essere etichettate

• [Cognito.1] I pool di utenti di Cognito dovrebbero avere la protezione dalle minacce attivata con la modalità di imposizione completa delle funzioni per l'autenticazione standard

• [Connect.1] I tipi di oggetto Amazon Connect Customer Profiles devono essere etichettati

• [Connect.2] Le istanze Amazon Connect devono avere la registrazione abilitata CloudWatch

• [Detective.1] I grafici del comportamento dei Detective devono essere etichettati

• [DMS.1] Le istanze di replica del Database Migration Service non devono essere pubbliche

• [DMS.2] I certificati DMS devono essere etichettati

• [DMS.3] Le sottoscrizioni agli eventi DMS devono essere contrassegnate

• [DMS.4] Le istanze di replica DMS devono essere contrassegnate

• [DMS.5] I gruppi di sottoreti di replica DMS devono essere etichettati

• [DMS.6] Le istanze di replica DMS devono avere l'aggiornamento automatico delle versioni secondarie abilitato

• [DMS.7] Le attività di replica DMS per il database di destinazione devono avere la registrazione abilitata

• [DMS.8] Le attività di replica DMS per il database di origine devono avere la registrazione abilitata

• [DMS.9] Gli endpoint DMS devono utilizzare SSL

• [DMS.10] Gli endpoint DMS per i database Neptune devono avere l'autorizzazione IAM abilitata

• [DMS.11] Gli endpoint DMS per MongoDB devono avere un meccanismo di autenticazione abilitato

• [DMS.12] Gli endpoint DMS per Redis OSS devono avere TLS abilitato

• [DynamoDB.3] I cluster DynamoDB Accelerator (DAX) devono essere crittografati quando sono inattivi

• [DynamoDB.4] Le tabelle DynamoDB devono essere presenti in un piano di backup

• [DynamoDB.7] I cluster DynamoDB Accelerator devono essere crittografati in transito

• [EC2.14] I gruppi di sicurezza non devono consentire l'accesso da 0.0.0.0/0 o: :/0 alla porta 3389

• [EC2.22] I gruppi di EC2 sicurezza Amazon non utilizzati devono essere rimossi

• [EC2.24] I tipi di istanze EC2 paravirtuali di Amazon non devono essere utilizzati

• [EC2.25] I modelli di EC2 lancio di Amazon non devono assegnare interfacce IPs di rete pubbliche

• [EC2.28] I volumi EBS devono essere coperti da un piano di backup

• [EC2.34] Le tabelle delle rotte dei gateway di EC2 transito devono essere etichettate

• [EC2.40] I gateway EC2 NAT devono essere etichettati

• [EC2.48] I log di flusso di Amazon VPC devono essere etichettati

• [EC2.51] Gli endpoint EC2 Client VPN devono avere la registrazione delle connessioni client abilitata

• [EC2.58] VPCs deve essere configurato con un endpoint di interfaccia per Systems Manager Incident Manager Contacts

• [EC2.60] VPCs deve essere configurato con un endpoint di interfaccia per Systems Manager Incident Manager

• [EC2.170] i modelli di EC2 avvio devono utilizzare Instance Metadata Service Version 2 () IMDSv2

• [ECR.4] Gli archivi pubblici ECR devono essere etichettati

• [EFS.1] Elastic File System deve essere configurato per crittografare i dati dei file inattivi utilizzando AWS KMS

• [EFS.2] I volumi Amazon EFS devono essere inclusi nei piani di backup

• I cluster [ElastiCache.1] ElastiCache (Redis OSS) devono avere i backup automatici abilitati

• [ElastiCache.6] ElastiCache (Redis OSS) i gruppi di replica delle versioni precedenti devono avere Redis OSS AUTH abilitato

• [ElastiCache.7] ElastiCache i cluster non devono utilizzare il gruppo di sottoreti predefinito

• [ElasticBeanstalk.1] Gli ambienti Elastic Beanstalk dovrebbero avere la reportistica sullo stato avanzata abilitata

• [ElasticBeanstalk.2] Gli aggiornamenti della piattaforma gestita da Elastic Beanstalk devono essere abilitati

• [ElasticBeanstalk.3] Elastic Beanstalk dovrebbe trasmettere i log a CloudWatch

• [ELB.5] La registrazione delle applicazioni e dei sistemi Classic Load Balancers deve essere abilitata

• [ELB.14] Classic Load Balancer deve essere configurato con la modalità di mitigazione della desincronizzazione difensiva o più rigorosa

• [ELB.17] Gli Application and Network Load Balancer con listener devono utilizzare le politiche di sicurezza consigliate

• [EMR.1] I nodi primari del cluster Amazon EMR non devono avere indirizzi IP pubblici

• [ES.4] La registrazione degli errori del dominio Elasticsearch nei log deve essere abilitata CloudWatch

• [EventBridge.4] EventBridge gli endpoint globali dovrebbero avere la replica degli eventi abilitata

• [FraudDetector.1] I tipi di entità Amazon Fraud Detector devono essere etichettati

• [FraudDetector.2] Le etichette di Amazon Fraud Detector devono essere etichettate

• [FraudDetector.3] I risultati di Amazon Fraud Detector devono essere etichettati

• [FraudDetector.4] Le variabili di Amazon Fraud Detector devono essere etichettate

• [GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati

• [Glue.4] I job AWS Glue Spark dovrebbero essere eseguiti su versioni supportate di AWS Glue

• [GuardDuty.2] GuardDuty i filtri devono essere etichettati

• [IAM.1] Le politiche IAM non dovrebbero consentire privilegi amministrativi «*» completi

• [IAM.2] Gli utenti IAM non devono avere policy IAM allegate

• [IAM.3] Le chiavi di accesso degli utenti IAM devono essere ruotate ogni 90 giorni o meno

• [IAM.5] MFA deve essere abilitata per tutti gli utenti IAM che dispongono di una password della console

• [IAM.8] Le credenziali utente IAM non utilizzate devono essere rimosse

• [IAM.18] Assicurati che sia stato creato un ruolo di supporto per gestire gli incidenti con Supporto

• [IAM.19] L'MFA deve essere abilitata per tutti gli utenti IAM

• [IAM.21] Le policy gestite dai clienti IAM che create non dovrebbero consentire azioni jolly per i servizi

• [IAM.22] Le credenziali utente IAM non utilizzate per 45 giorni devono essere rimosse

• [IAM.24] I ruoli IAM devono essere etichettati

• [IAM.25] Gli utenti IAM devono essere etichettati

• [IAM.26] I certificati SSL/TLS scaduti gestiti in IAM devono essere rimossi

• [IAM.27] Le identità IAM non devono avere la policy allegata AWSCloud ShellFullAccess

• [Inspector.1] La scansione di Amazon Inspector deve essere abilitata EC2

• [Inspector.2] La scansione ECR di Amazon Inspector deve essere abilitata

• [Inspector.3] La scansione del codice Amazon Inspector Lambda deve essere abilitata

• [Inspector.4] La scansione standard di Amazon Inspector Lambda deve essere abilitata

• [IoT.1] i profili di AWS IoT Device Defender sicurezza devono essere etichettati

• [IoT.2] le azioni di AWS IoT Core mitigazione devono essere etichettate

• [IoT.3] le AWS IoT Core dimensioni devono essere etichettate

• gli AWS IoT Core autorizzatori [IoT.4] devono essere etichettati

• [IoT.5] gli alias dei AWS IoT Core ruoli devono essere etichettati

• [IoT.6] AWS IoT Core le politiche devono essere etichettate

• [Io TEvents .1] Gli input di AWS IoT Events devono essere etichettati

• [Io TEvents .2] I modelli di rilevatori AWS IoT Events devono essere etichettati

• [Io TEvents .3] I modelli di allarme AWS IoT Events devono essere etichettati

• [Io TSite Wise.1] I modelli di SiteWise asset AWS IoT devono essere etichettati

• [Io TSite Wise.2] Le SiteWise dashboard AWS IoT devono essere etichettate

• [Io TSite Wise.3] I SiteWise gateway AWS IoT devono essere etichettati

• [Io TSite Wise.4] I SiteWise portali AWS IoT devono essere etichettati

• [Io TSite Wise.5] I SiteWise progetti AWS IoT devono essere etichettati

• [Io TTwin Maker.1] I lavori di TwinMaker sincronizzazione AWS IoT devono essere etichettati

• [Io TTwin Maker.2] Gli spazi di TwinMaker lavoro AWS IoT devono essere etichettati

• [Io TTwin Maker.3] Le TwinMaker scene AWS IoT devono essere etichettate

• [Io TTwin Maker.4] Le TwinMaker entità AWS IoT devono essere etichettate

• [Io TWireless .1] I gruppi multicast AWS IoT Wireless devono essere etichettati

• [Io TWireless .2] I profili dei servizi AWS IoT Wireless devono essere etichettati

• [Io TWireless .3] Le attività AWS IOT FUOTA devono essere etichettate

• [IVS.1] Le coppie di chiavi di riproduzione IVS devono essere etichettate

• [IVS.2] Le configurazioni di registrazione IVS devono essere contrassegnate

• [IVS.3] I canali IVS devono essere etichettati

• [Keyspaces.1] Gli spazi chiave di Amazon Keyspaces devono essere etichettati

• [KMS.1] Le politiche gestite dai clienti di IAM non dovrebbero consentire azioni di decrittografia su tutte le chiavi KMS

• [KMS.2] I principali IAM non devono disporre di policy IAM in linea che consentano azioni di decrittografia su tutte le chiavi KMS

• [Macie.1] Amazon Macie dovrebbe essere abilitato

• [Macie.2] Il rilevamento automatico dei dati sensibili di Macie deve essere abilitato

• [MQ.2] I broker ActiveMQ devono trasmettere i log di controllo a CloudWatch

• [MQ.3] I broker Amazon MQ dovrebbero avere abilitato l'aggiornamento automatico delle versioni secondarie

• [MQ.4] I broker Amazon MQ devono essere etichettati

• [MQ.5] I broker ActiveMQ devono utilizzare la modalità di distribuzione attiva/standby

• [MQ.6] I broker RabbitMQ dovrebbero utilizzare la modalità di distribuzione del cluster

• [MSK.3] I connettori MSK Connect devono essere crittografati in transito

• [Neptune.1] I cluster Neptune DB devono essere crittografati a riposo

• [Neptune.2] I cluster Neptune DB devono pubblicare i log di controllo su Logs CloudWatch

• [Neptune.3] Le istantanee del cluster Neptune DB non devono essere pubbliche

• [Neptune.4] I cluster Neptune DB devono avere la protezione da eliminazione abilitata

• [Neptune.5] I cluster Neptune DB devono avere i backup automatici abilitati

• [Neptune.6] Le istantanee del cluster Neptune DB devono essere crittografate quando sono inattive

• [Neptune.7] I cluster Neptune DB devono avere l'autenticazione del database IAM abilitata

• [Neptune.8] I cluster Neptune DB devono essere configurati per copiare i tag nelle istantanee

• [Neptune.9] I cluster Neptune DB devono essere distribuiti su più zone di disponibilità

• I OpenSearch domini [Opensearch.1] devono avere la crittografia a riposo abilitata

• I OpenSearch domini [Opensearch.2] non devono essere accessibili al pubblico

• I OpenSearch domini [Opensearch.3] devono crittografare i dati inviati tra i nodi

• La registrazione degli errori del OpenSearch dominio [Opensearch.4] nei log dovrebbe essere abilitata CloudWatch

• I OpenSearch domini [Opensearch.5] devono avere la registrazione di controllo abilitata

• I OpenSearch domini [Opensearch.6] devono avere almeno tre nodi di dati

• I OpenSearch domini [Opensearch.7] devono avere un controllo degli accessi granulare abilitato

• [Opensearch.8] Le connessioni ai OpenSearch domini devono essere crittografate utilizzando la più recente politica di sicurezza TLS

• I OpenSearch domini [Opensearch.9] devono essere etichettati

• Nei OpenSearch domini [Opensearch.10] deve essere installato l'ultimo aggiornamento software

• I OpenSearch domini [Opensearch.11] devono avere almeno tre nodi primari dedicati

• [RDS.2] Le istanze DB RDS dovrebbero vietare l'accesso pubblico, come determinato dalla configurazione PubliclyAccessible

• [RDS.14] I cluster Amazon Aurora devono avere il backtracking abilitato

• [RDS.15] I cluster RDS DB devono essere configurati per più zone di disponibilità

• [RDS.26] Le istanze DB RDS devono essere protette da un piano di backup

• [RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati

• [RDS.35] Nei cluster RDS DB deve essere abilitato l'aggiornamento automatico delle versioni secondarie

• [RDS.37] I cluster Aurora PostgreSQL DB devono pubblicare i log nei log CloudWatch

• [Redshift.1] I cluster Amazon Redshift dovrebbero vietare l'accesso pubblico

• [Redshift.6] Amazon Redshift dovrebbe avere gli upgrade automatici alle versioni principali abilitati

• [Redshift.10] I cluster Redshift devono essere crittografati a riposo

• [RedshiftServerless.1] I gruppi di lavoro Serverless di Amazon Redshift devono utilizzare un routing VPC avanzato

• [Route53.1] I controlli sanitari della Route 53 devono essere etichettati

• [Route53.2] Le zone ospitate pubbliche di Route 53 devono registrare le query DNS

• [S3.6] Le policy generiche relative ai bucket di S3 dovrebbero limitare l'accesso ad altri Account AWS

• [S3.17] I bucket generici S3 devono essere crittografati quando sono inattivi con AWS KMS keys

• [S3.24] I punti di accesso multiregionali S3 devono avere le impostazioni di blocco dell'accesso pubblico abilitate

• [SageMaker.1] Le istanze di SageMaker notebook Amazon non devono avere accesso diretto a Internet

• [SageMaker.2] le istanze dei SageMaker notebook devono essere avviate in un VPC personalizzato

• [SageMaker.3] Gli utenti non devono avere accesso root alle SageMaker istanze dei notebook

• [SageMaker.5] i SageMaker modelli dovrebbero bloccare il traffico in entrata

• [SES.1] Gli elenchi di contatti SES devono essere etichettati

• [SES.2] I set di configurazione SES devono essere etichettati

• [SQS.1] Le code di Amazon SQS devono essere crittografate quando sono inattive

• [SQS.2] Le code SQS devono essere etichettate

• [SQS.3] Le politiche di accesso alla coda SQS non devono consentire l'accesso pubblico

• [SSM.2] EC2 Le istanze Amazon gestite da Systems Manager devono avere uno stato di conformità alla patch pari a COMPLIANT dopo l'installazione della patch

• [SSM.3] EC2 Le istanze Amazon gestite da Systems Manager devono avere uno stato di conformità dell'associazione pari a COMPLIANT

• [WAF.1] La registrazione AWS WAF classica Global Web ACL deve essere abilitata

• [WAF.3] I gruppi di regole regionali AWS WAF classici dovrebbero avere almeno una regola

• [WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione

• [WAF.7] I gruppi di regole globali AWS WAF classici dovrebbero avere almeno una regola

• [WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole

• [WAF.10] AWS WAF web ACLs dovrebbe avere almeno una regola o un gruppo di regole

• [WAF.11] La registrazione AWS WAF web ACL deve essere abilitata

• [WorkSpaces.1] i volumi WorkSpaces utente devono essere crittografati quando sono inattivi

• [WorkSpaces.2] i volumi WorkSpaces root devono essere crittografati quando sono inattivi

Asia Pacifico (Giacarta)

I seguenti controlli non sono supportati nella regione Asia Pacifico (Giacarta).

• [Account.2] Account AWS deve far parte di un'organizzazione AWS Organizations

• [APIGateway.8] Le rotte API Gateway devono specificare un tipo di autorizzazione

• [APIGateway.9] La registrazione degli accessi deve essere configurata per API Gateway V2 Stages

• [AppFlow.1] I AppFlow flussi Amazon devono essere etichettati

• [AppRunner.1] I servizi App Runner devono essere etichettati

• [AppRunner.2] I connettori VPC App Runner devono essere etichettati

• [AppSync.1] Le cache AWS AppSync delle API devono essere crittografate quando sono inattive

• [AppSync.6] Le cache delle AWS AppSync API devono essere crittografate in transito

• [Backup.1] i punti di AWS Backup ripristino devono essere crittografati a riposo

• [Backup.4] i piani di AWS Backup report devono essere etichettati

• [CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato

• [CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito

• [CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine

• [CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata

• [CloudFront.6] le CloudFront distribuzioni devono avere WAF abilitato

• [CloudFront.7] le CloudFront distribuzioni devono utilizzare certificati SSL/TLS personalizzati

• [CloudFront.8] le CloudFront distribuzioni devono utilizzare SNI per soddisfare le richieste HTTPS

• [CloudFront.9] le CloudFront distribuzioni devono crittografare il traffico verso origini personalizzate

• [CloudFront.10] CloudFront le distribuzioni non devono utilizzare protocolli SSL obsoleti tra edge location e origini personalizzate

• [CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti

• [CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine

• [CloudFront.14] le distribuzioni devono essere etichettate CloudFront

• [CodeArtifact.1] i CodeArtifact repository devono essere etichettati

• [CodeBuild.1] L'archivio sorgente di CodeBuild Bitbucket non URLs deve contenere credenziali sensibili

• [CodeBuild.2] Le variabili di ambiente CodeBuild del progetto non devono contenere credenziali in chiaro

• [CodeBuild.3] I log CodeBuild S3 devono essere crittografati

• [CodeBuild.4] Gli ambienti di CodeBuild progetto devono avere una durata di registrazione AWS Config

• [CodeGuruProfiler.1] I gruppi di CodeGuru profilazione Profiler devono essere etichettati

• [CodeGuruReviewer.1] Le associazioni dei repository dei CodeGuru revisori devono essere etichettate

• [Cognito.1] I pool di utenti di Cognito dovrebbero avere la protezione dalle minacce attivata con la modalità di imposizione completa delle funzioni per l'autenticazione standard

• [Connect.1] I tipi di oggetto Amazon Connect Customer Profiles devono essere etichettati

• [Connect.2] Le istanze Amazon Connect devono avere la registrazione abilitata CloudWatch

• [Detective.1] I grafici del comportamento dei Detective devono essere etichettati

• [DMS.1] Le istanze di replica del Database Migration Service non devono essere pubbliche

• [DMS.2] I certificati DMS devono essere etichettati

• [DMS.3] Le sottoscrizioni agli eventi DMS devono essere contrassegnate

• [DMS.4] Le istanze di replica DMS devono essere contrassegnate

• [DMS.5] I gruppi di sottoreti di replica DMS devono essere etichettati

• [DMS.6] Le istanze di replica DMS devono avere l'aggiornamento automatico delle versioni secondarie abilitato

• [DMS.7] Le attività di replica DMS per il database di destinazione devono avere la registrazione abilitata

• [DMS.8] Le attività di replica DMS per il database di origine devono avere la registrazione abilitata

• [DMS.9] Gli endpoint DMS devono utilizzare SSL

• [DMS.10] Gli endpoint DMS per i database Neptune devono avere l'autorizzazione IAM abilitata

• [DMS.11] Gli endpoint DMS per MongoDB devono avere un meccanismo di autenticazione abilitato

• [DMS.12] Gli endpoint DMS per Redis OSS devono avere TLS abilitato

• [DocumentDB.1] I cluster Amazon DocumentDB devono essere crittografati quando sono inattivi

• [DocumentDB.2] I cluster Amazon DocumentDB devono avere un periodo di conservazione dei backup adeguato

• [DocumentDB.3] Le istantanee manuali dei cluster di Amazon DocumentDB non devono essere pubbliche

• [DocumentDB.4] I cluster Amazon DocumentDB devono pubblicare i log di controllo su Logs CloudWatch

• [DocumentDB.5] I cluster Amazon DocumentDB devono avere la protezione da eliminazione abilitata

• [DynamoDB.3] I cluster DynamoDB Accelerator (DAX) devono essere crittografati quando sono inattivi

• [DynamoDB.4] Le tabelle DynamoDB devono essere presenti in un piano di backup

• [DynamoDB.7] I cluster DynamoDB Accelerator devono essere crittografati in transito

• [EC2.14] I gruppi di sicurezza non devono consentire l'accesso da 0.0.0.0/0 o: :/0 alla porta 3389

• [EC2.22] I gruppi di EC2 sicurezza Amazon non utilizzati devono essere rimossi

• [EC2.24] I tipi di istanze EC2 paravirtuali di Amazon non devono essere utilizzati

• [EC2.28] I volumi EBS devono essere coperti da un piano di backup

• [EC2.51] Gli endpoint EC2 Client VPN devono avere la registrazione delle connessioni client abilitata

• [EC2.58] VPCs deve essere configurato con un endpoint di interfaccia per Systems Manager Incident Manager Contacts

• [EC2.60] VPCs deve essere configurato con un endpoint di interfaccia per Systems Manager Incident Manager

• [ECR.4] Gli archivi pubblici ECR devono essere etichettati

• [EFS.1] Elastic File System deve essere configurato per crittografare i dati dei file inattivi utilizzando AWS KMS

• [EFS.2] I volumi Amazon EFS devono essere inclusi nei piani di backup

• I cluster [ElastiCache.1] ElastiCache (Redis OSS) devono avere i backup automatici abilitati

• [ElastiCache.6] ElastiCache (Redis OSS) i gruppi di replica delle versioni precedenti devono avere Redis OSS AUTH abilitato

• [ElastiCache.7] ElastiCache i cluster non devono utilizzare il gruppo di sottoreti predefinito

• [ElasticBeanstalk.1] Gli ambienti Elastic Beanstalk dovrebbero avere la reportistica sullo stato avanzata abilitata

• [ElasticBeanstalk.2] Gli aggiornamenti della piattaforma gestita da Elastic Beanstalk devono essere abilitati

• [ELB.17] Gli Application and Network Load Balancer con listener devono utilizzare le politiche di sicurezza consigliate

• [EventBridge.4] EventBridge gli endpoint globali dovrebbero avere la replica degli eventi abilitata

• [FraudDetector.1] I tipi di entità Amazon Fraud Detector devono essere etichettati

• [FraudDetector.2] Le etichette di Amazon Fraud Detector devono essere etichettate

• [FraudDetector.3] I risultati di Amazon Fraud Detector devono essere etichettati

• [FraudDetector.4] Le variabili di Amazon Fraud Detector devono essere etichettate

• [GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati

• [GuardDuty.2] GuardDuty i filtri devono essere etichettati

• [IAM.18] Assicurati che sia stato creato un ruolo di supporto per gestire gli incidenti con Supporto

• [IAM.26] I certificati SSL/TLS scaduti gestiti in IAM devono essere rimossi

• [Inspector.3] La scansione del codice Amazon Inspector Lambda deve essere abilitata

• [IoT.1] i profili di AWS IoT Device Defender sicurezza devono essere etichettati

• [IoT.2] le azioni di AWS IoT Core mitigazione devono essere etichettate

• [IoT.3] le AWS IoT Core dimensioni devono essere etichettate

• gli AWS IoT Core autorizzatori [IoT.4] devono essere etichettati

• [IoT.5] gli alias dei AWS IoT Core ruoli devono essere etichettati

• [IoT.6] AWS IoT Core le politiche devono essere etichettate

• [Io TEvents .1] Gli input di AWS IoT Events devono essere etichettati

• [Io TEvents .2] I modelli di rilevatori AWS IoT Events devono essere etichettati

• [Io TEvents .3] I modelli di allarme AWS IoT Events devono essere etichettati

• [Io TSite Wise.1] I modelli di SiteWise asset AWS IoT devono essere etichettati

• [Io TSite Wise.2] Le SiteWise dashboard AWS IoT devono essere etichettate

• [Io TSite Wise.3] I SiteWise gateway AWS IoT devono essere etichettati

• [Io TSite Wise.4] I SiteWise portali AWS IoT devono essere etichettati

• [Io TSite Wise.5] I SiteWise progetti AWS IoT devono essere etichettati

• [Io TTwin Maker.1] I lavori di TwinMaker sincronizzazione AWS IoT devono essere etichettati

• [Io TTwin Maker.2] Gli spazi di TwinMaker lavoro AWS IoT devono essere etichettati

• [Io TTwin Maker.3] Le TwinMaker scene AWS IoT devono essere etichettate

• [Io TTwin Maker.4] Le TwinMaker entità AWS IoT devono essere etichettate

• [Io TWireless .1] I gruppi multicast AWS IoT Wireless devono essere etichettati

• [Io TWireless .2] I profili dei servizi AWS IoT Wireless devono essere etichettati

• [Io TWireless .3] Le attività AWS IOT FUOTA devono essere etichettate

• [IVS.1] Le coppie di chiavi di riproduzione IVS devono essere etichettate

• [IVS.2] Le configurazioni di registrazione IVS devono essere contrassegnate

• [IVS.3] I canali IVS devono essere etichettati

• [Keyspaces.1] Gli spazi chiave di Amazon Keyspaces devono essere etichettati

• [Macie.1] Amazon Macie dovrebbe essere abilitato

• [Macie.2] Il rilevamento automatico dei dati sensibili di Macie deve essere abilitato

• [MSK.3] I connettori MSK Connect devono essere crittografati in transito

• [Neptune.1] I cluster Neptune DB devono essere crittografati a riposo

• [Neptune.2] I cluster Neptune DB devono pubblicare i log di controllo su Logs CloudWatch

• [Neptune.3] Le istantanee del cluster Neptune DB non devono essere pubbliche

• [Neptune.4] I cluster Neptune DB devono avere la protezione da eliminazione abilitata

• [Neptune.5] I cluster Neptune DB devono avere i backup automatici abilitati

• [Neptune.6] Le istantanee del cluster Neptune DB devono essere crittografate quando sono inattive

• [Neptune.7] I cluster Neptune DB devono avere l'autenticazione del database IAM abilitata

• [Neptune.8] I cluster Neptune DB devono essere configurati per copiare i tag nelle istantanee

• [Neptune.9] I cluster Neptune DB devono essere distribuiti su più zone di disponibilità

• I OpenSearch domini [Opensearch.5] devono avere la registrazione di controllo abilitata

• I OpenSearch domini [Opensearch.6] devono avere almeno tre nodi di dati

• [RDS.14] I cluster Amazon Aurora devono avere il backtracking abilitato

• [RDS.26] Le istanze DB RDS devono essere protette da un piano di backup

• [RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati

• [Redshift.1] I cluster Amazon Redshift dovrebbero vietare l'accesso pubblico

• [RedshiftServerless.1] I gruppi di lavoro Serverless di Amazon Redshift devono utilizzare un routing VPC avanzato

• [Route53.1] I controlli sanitari della Route 53 devono essere etichettati

• [Route53.2] Le zone ospitate pubbliche di Route 53 devono registrare le query DNS

• [S3.11] I bucket generici S3 devono avere le notifiche degli eventi abilitate

• [S3.24] I punti di accesso multiregionali S3 devono avere le impostazioni di blocco dell'accesso pubblico abilitate

• [ServiceCatalog.1] I portafogli Service Catalog devono essere condivisi solo all'interno di un'organizzazione AWS

• [SQS.1] Le code di Amazon SQS devono essere crittografate quando sono inattive

• [SQS.2] Le code SQS devono essere etichettate

• [SQS.3] Le politiche di accesso alla coda SQS non devono consentire l'accesso pubblico

• [SSM.3] EC2 Le istanze Amazon gestite da Systems Manager devono avere uno stato di conformità dell'associazione pari a COMPLIANT

• [WAF.1] La registrazione AWS WAF classica Global Web ACL deve essere abilitata

• [WAF.3] I gruppi di regole regionali AWS WAF classici dovrebbero avere almeno una regola

• [WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione

• [WAF.7] I gruppi di regole globali AWS WAF classici dovrebbero avere almeno una regola

• [WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole

• [WAF.10] AWS WAF web ACLs dovrebbe avere almeno una regola o un gruppo di regole

• [WorkSpaces.1] i volumi WorkSpaces utente devono essere crittografati quando sono inattivi

• [WorkSpaces.2] i volumi WorkSpaces root devono essere crittografati quando sono inattivi

Asia Pacifico (Malesia)

I seguenti controlli non sono supportati nella regione Asia Pacifico (Malesia).

• [Account.1] Le informazioni di contatto di sicurezza devono essere fornite per un Account AWS

• [Account.2] Account AWS deve far parte di un'organizzazione AWS Organizations

• [ACM.1] I certificati importati ed emessi da ACM devono essere rinnovati dopo un periodo di tempo specificato

• [ACM.2] I certificati RSA gestiti da ACM devono utilizzare una lunghezza di chiave di almeno 2.048 bit

• [APIGateway.1] API Gateway REST e la registrazione dell'esecuzione dell' WebSocket API devono essere abilitati

• [APIGateway.2] Le fasi API REST di API Gateway devono essere configurate per utilizzare i certificati SSL per l'autenticazione del backend

• [APIGateway.3] Le fasi API REST di API Gateway devono avere la AWS X-Ray traccia abilitata

• [APIGateway.4] API Gateway deve essere associato a un ACL Web WAF

• [APIGateway.8] Le rotte API Gateway devono specificare un tipo di autorizzazione

• [APIGateway.9] La registrazione degli accessi deve essere configurata per API Gateway V2 Stages

• [AppConfig.1] AWS AppConfig le applicazioni devono essere etichettate

• [AppConfig.2] i profili AWS AppConfig di configurazione devono essere etichettati

• [AppConfig.3] AWS AppConfig gli ambienti devono essere etichettati

• [AppConfig.4] le associazioni di AWS AppConfig estensioni devono essere etichettate

• [AppFlow.1] I AppFlow flussi Amazon devono essere etichettati

• [AppRunner.1] I servizi App Runner devono essere etichettati

• [AppRunner.2] I connettori VPC App Runner devono essere etichettati

• [AppSync.1] Le cache AWS AppSync delle API devono essere crittografate quando sono inattive

• [AppSync.2] AWS AppSync dovrebbe avere la registrazione a livello di campo abilitata

• [AppSync.4] AWS AppSync APIs GraphQL dovrebbe essere taggato

• [AppSync.5] AWS AppSync APIs GraphQL non deve essere autenticato con chiavi API

• [AppSync.6] Le cache delle AWS AppSync API devono essere crittografate in transito

• [Athena.2] I cataloghi di dati Athena devono essere etichettati

• [Athena.3] I gruppi di lavoro Athena devono essere etichettati

• [Athena.4] I gruppi di lavoro Athena devono avere la registrazione abilitata

• [AutoScaling.1] I gruppi di Auto Scaling associati a un sistema di bilanciamento del carico devono utilizzare i controlli di integrità ELB

• [AutoScaling.2] Il gruppo Amazon EC2 Auto Scaling dovrebbe coprire più zone di disponibilità

• [AutoScaling.3] Le configurazioni di avvio del gruppo Auto Scaling devono EC2 configurare le istanze in modo da richiedere Instance Metadata Service versione 2 () IMDSv2

• [Autoscaling.5] Le istanze EC2 Amazon avviate utilizzando le configurazioni di avvio del gruppo Auto Scaling non devono avere indirizzi IP pubblici

• [AutoScaling.6] I gruppi di Auto Scaling devono utilizzare più tipi di istanze in più zone di disponibilità

• [AutoScaling.9] I gruppi Amazon EC2 Auto Scaling devono utilizzare i modelli di lancio di Amazon EC2

• [Backup.1] i punti di AWS Backup ripristino devono essere crittografati a riposo

• [Backup.2] i punti di AWS Backup ripristino devono essere etichettati

• I AWS Backup vault [Backup.3] devono essere etichettati

• [Backup.4] i piani di AWS Backup report devono essere etichettati

• [Backup.5] i piani di AWS Backup backup devono essere etichettati

• [Batch.1] Le code di processi in batch devono essere etichettate

• [Batch.2] Le politiche di pianificazione dei batch devono essere etichettate

• [Batch.3] Gli ambienti di calcolo in batch devono essere etichettati

• [CloudFormation.2] CloudFormation gli stack devono essere etichettati

• [CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato

• [CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito

• [CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine

• [CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata

• [CloudFront.6] le CloudFront distribuzioni devono avere WAF abilitato

• [CloudFront.7] le CloudFront distribuzioni devono utilizzare certificati SSL/TLS personalizzati

• [CloudFront.8] le CloudFront distribuzioni devono utilizzare SNI per soddisfare le richieste HTTPS

• [CloudFront.9] le CloudFront distribuzioni devono crittografare il traffico verso origini personalizzate

• [CloudFront.10] CloudFront le distribuzioni non devono utilizzare protocolli SSL obsoleti tra edge location e origini personalizzate

• [CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti

• [CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine

• [CloudFront.14] le distribuzioni devono essere etichettate CloudFront

• [CloudTrail.6] Assicurati che il bucket S3 utilizzato per archiviare i log non sia accessibile al pubblico CloudTrail

• [CloudTrail.7] Assicurati che la registrazione degli accessi al bucket S3 sia abilitata sul bucket S3 CloudTrail

• [CloudWatch.17] le azioni di CloudWatch allarme devono essere attivate

• [CodeArtifact.1] i CodeArtifact repository devono essere etichettati

• [CodeBuild.1] L'archivio sorgente di CodeBuild Bitbucket non URLs deve contenere credenziali sensibili

• [CodeBuild.2] Le variabili di ambiente CodeBuild del progetto non devono contenere credenziali in chiaro

• [CodeBuild.3] I log CodeBuild S3 devono essere crittografati

• [CodeBuild.4] Gli ambienti di CodeBuild progetto devono avere una durata di registrazione AWS Config

• [CodeBuild.7] Le esportazioni dei gruppi di CodeBuild report devono essere crittografate quando sono inattive

• [CodeGuruProfiler.1] I gruppi di CodeGuru profilazione Profiler devono essere etichettati

• [CodeGuruReviewer.1] Le associazioni dei repository dei CodeGuru revisori devono essere etichettate

• [Cognito.1] I pool di utenti di Cognito dovrebbero avere la protezione dalle minacce attivata con la modalità di imposizione completa delle funzioni per l'autenticazione standard

• [Connect.1] I tipi di oggetto Amazon Connect Customer Profiles devono essere etichettati

• [Connect.2] Le istanze Amazon Connect devono avere la registrazione abilitata CloudWatch

• [DataFirehose.1] I flussi di distribuzione di Firehose devono essere crittografati quando sono inattivi

• [DataSync.1] DataSync le attività devono avere la registrazione abilitata

• [Detective.1] I grafici del comportamento dei Detective devono essere etichettati

• [DMS.1] Le istanze di replica del Database Migration Service non devono essere pubbliche

• [DMS.2] I certificati DMS devono essere etichettati

• [DMS.3] Le sottoscrizioni agli eventi DMS devono essere contrassegnate

• [DMS.4] Le istanze di replica DMS devono essere contrassegnate

• [DMS.5] I gruppi di sottoreti di replica DMS devono essere etichettati

• [DMS.6] Le istanze di replica DMS devono avere l'aggiornamento automatico delle versioni secondarie abilitato

• [DMS.7] Le attività di replica DMS per il database di destinazione devono avere la registrazione abilitata

• [DMS.8] Le attività di replica DMS per il database di origine devono avere la registrazione abilitata

• [DMS.9] Gli endpoint DMS devono utilizzare SSL

• [DMS.10] Gli endpoint DMS per i database Neptune devono avere l'autorizzazione IAM abilitata

• [DMS.11] Gli endpoint DMS per MongoDB devono avere un meccanismo di autenticazione abilitato

• [DMS.12] Gli endpoint DMS per Redis OSS devono avere TLS abilitato

• [DocumentDB.1] I cluster Amazon DocumentDB devono essere crittografati quando sono inattivi

• [DocumentDB.2] I cluster Amazon DocumentDB devono avere un periodo di conservazione dei backup adeguato

• [DocumentDB.3] Le istantanee manuali dei cluster di Amazon DocumentDB non devono essere pubbliche

• [DocumentDB.4] I cluster Amazon DocumentDB devono pubblicare i log di controllo su Logs CloudWatch

• [DocumentDB.5] I cluster Amazon DocumentDB devono avere la protezione da eliminazione abilitata

• [DynamoDB.3] I cluster DynamoDB Accelerator (DAX) devono essere crittografati quando sono inattivi

• [DynamoDB.4] Le tabelle DynamoDB devono essere presenti in un piano di backup

• [DynamoDB.6] Le tabelle DynamoDB devono avere la protezione da eliminazione abilitata

• [DynamoDB.7] I cluster DynamoDB Accelerator devono essere crittografati in transito

• [EC2.4] Le EC2 istanze interrotte devono essere rimosse dopo un periodo di tempo specificato

• [EC2.21] La rete non ACLs dovrebbe consentire l'ingresso dalla porta 0.0.0.0/0 alla porta 22 o alla porta 3389

• [EC2.22] I gruppi di EC2 sicurezza Amazon non utilizzati devono essere rimossi

• [EC2.23] Amazon EC2 Transit Gateways non dovrebbe accettare automaticamente le richieste di allegati VPC

• [EC2.24] I tipi di istanze EC2 paravirtuali di Amazon non devono essere utilizzati

• [EC2.25] I modelli di EC2 lancio di Amazon non devono assegnare interfacce IPs di rete pubbliche

• [EC2.28] I volumi EBS devono essere coperti da un piano di backup

• [EC2.33] Gli allegati di EC2 Transit Gateway devono essere etichettati

• [EC2.34] Le tabelle delle rotte dei gateway di EC2 transito devono essere etichettate

• [EC2.37] Gli indirizzi IP EC2 elastici devono essere etichettati

• [EC2.40] I gateway EC2 NAT devono essere etichettati

• [EC2.48] I log di flusso di Amazon VPC devono essere etichettati

• [EC2.51] Gli endpoint EC2 Client VPN devono avere la registrazione delle connessioni client abilitata

• [EC2.52] i gateway di EC2 transito devono essere etichettati

• [EC2.53] i gruppi EC2 di sicurezza non dovrebbero consentire l'accesso da 0.0.0.0/0 alle porte di amministrazione remota del server

• [EC2.54] i gruppi EC2 di sicurezza non dovrebbero consentire l'accesso da: :/0 alle porte di amministrazione remota del server

• [EC2.55] VPCs deve essere configurato con un endpoint di interfaccia per l'API ECR

• [EC2.56] VPCs deve essere configurato con un endpoint di interfaccia per Docker Registry

• [EC2.57] VPCs deve essere configurato con un endpoint di interfaccia per Systems Manager

• [EC2.58] VPCs deve essere configurato con un endpoint di interfaccia per Systems Manager Incident Manager Contacts

• [EC2.60] VPCs deve essere configurato con un endpoint di interfaccia per Systems Manager Incident Manager

• [EC2.170] i modelli di EC2 avvio devono utilizzare Instance Metadata Service Version 2 () IMDSv2

• [EC2.171] Le connessioni EC2 VPN devono avere la registrazione abilitata

• [ECR.1] Gli archivi privati ECR devono avere la scansione delle immagini configurata

• [ECR.2] I repository privati ECR devono avere l'immutabilità dei tag configurata

• [ECR.3] I repository ECR devono avere almeno una politica del ciclo di vita configurata

• [ECR.4] Gli archivi pubblici ECR devono essere etichettati

• [ECR.5] I repository ECR devono essere crittografati e gestiti dal cliente AWS KMS keys

• [ECS.1] Le definizioni delle attività di Amazon ECS devono avere modalità di rete e definizioni utente sicure.

• [ECS.3] Le definizioni delle attività ECS non devono condividere lo spazio dei nomi dei processi dell'host

• [ECS.4] I contenitori ECS devono essere eseguiti come non privilegiati

• [ECS.5] I contenitori ECS devono essere limitati all'accesso in sola lettura ai filesystem root

• [ECS.8] I segreti non devono essere passati come variabili di ambiente del contenitore

• [ECS.9] Le definizioni delle attività ECS devono avere una configurazione di registrazione

• [ECS.10] I servizi ECS Fargate devono essere eseguiti sulla versione più recente della piattaforma Fargate

• [ECS.12] I cluster ECS devono utilizzare Container Insights

• [ECS.16] I set di attività ECS non devono assegnare automaticamente indirizzi IP pubblici

• [EFS.1] Elastic File System deve essere configurato per crittografare i dati dei file inattivi utilizzando AWS KMS

• [EFS.2] I volumi Amazon EFS devono essere inclusi nei piani di backup

• [EFS.3] I punti di accesso EFS devono applicare una directory principale

• [EFS.4] I punti di accesso EFS devono applicare un'identità utente

• [EFS.5] I punti di accesso EFS devono essere etichettati

• [EFS.6] I target di montaggio EFS non devono essere associati a una sottorete pubblica

• [EFS.7] I file system EFS devono avere i backup automatici abilitati

• [EFS.8] I file system EFS devono essere crittografati quando sono inattivi

• [EKS.1] Gli endpoint del cluster EKS non dovrebbero essere accessibili al pubblico

• [EKS.2] I cluster EKS devono essere eseguiti su una versione Kubernetes supportata

• [EKS.3] I cluster EKS devono utilizzare segreti Kubernetes crittografati

• [EKS.6] I cluster EKS devono essere etichettati

• [EKS.7] Le configurazioni dei provider di identità EKS devono essere contrassegnate

• [EKS.8] I cluster EKS devono avere la registrazione di controllo abilitata

• I cluster [ElastiCache.1] ElastiCache (Redis OSS) devono avere i backup automatici abilitati

• [ElastiCache.2] i ElastiCache cluster dovrebbero avere gli aggiornamenti automatici delle versioni secondarie abilitati

• [ElastiCache.3] i gruppi di ElastiCache replica devono avere il failover automatico abilitato

• [ElastiCache.4] i gruppi di ElastiCache replica devono essere crittografati quando sono inattivi

• [ElastiCache.5] i gruppi di ElastiCache replica devono essere crittografati in transito

• [ElastiCache.6] ElastiCache (Redis OSS) i gruppi di replica delle versioni precedenti devono avere Redis OSS AUTH abilitato

• [ElastiCache.7] ElastiCache i cluster non devono utilizzare il gruppo di sottoreti predefinito

• [ElasticBeanstalk.1] Gli ambienti Elastic Beanstalk dovrebbero avere la reportistica sullo stato avanzata abilitata

• [ElasticBeanstalk.2] Gli aggiornamenti della piattaforma gestita da Elastic Beanstalk devono essere abilitati

• [ElasticBeanstalk.3] Elastic Beanstalk dovrebbe trasmettere i log a CloudWatch

• [ELB.10] Classic Load Balancer dovrebbe estendersi su più zone di disponibilità

• [ELB.12] Application Load Balancer deve essere configurato con la modalità di mitigazione della desincronizzazione difensiva o più rigorosa

• [ELB.13] I Load Balancer per applicazioni, reti e gateway devono estendersi su più zone di disponibilità

• [ELB.14] Classic Load Balancer deve essere configurato con la modalità di mitigazione della desincronizzazione difensiva o più rigorosa

• [ELB.16] Gli Application Load Balancer devono essere associati a un ACL web AWS WAF

• [ELB.17] Gli Application and Network Load Balancer con listener devono utilizzare le politiche di sicurezza consigliate

• [EMR.1] I nodi primari del cluster Amazon EMR non devono avere indirizzi IP pubblici

• [EMR.2] L'impostazione di accesso pubblico a blocchi di Amazon EMR deve essere abilitata

• [EMR.3] Le configurazioni di sicurezza di Amazon EMR devono essere crittografate quando sono inattive

• [EMR.4] Le configurazioni di sicurezza di Amazon EMR devono essere crittografate in transito

• [ES.1] I domini Elasticsearch devono avere la crittografia a riposo abilitata

• [ES.2] I domini Elasticsearch non devono essere accessibili al pubblico

• [ES.3] I domini Elasticsearch devono crittografare i dati inviati tra i nodi

• [ES.4] La registrazione degli errori del dominio Elasticsearch nei log deve essere abilitata CloudWatch

• [ES.9] I domini Elasticsearch devono essere etichettati

• [EventBridge.2] i bus EventBridge degli eventi devono essere etichettati

• [EventBridge.3] i bus di eventi EventBridge personalizzati devono avere una politica basata sulle risorse allegata

• [EventBridge.4] EventBridge gli endpoint globali dovrebbero avere la replica degli eventi abilitata

• [FraudDetector.1] I tipi di entità Amazon Fraud Detector devono essere etichettati

• [FraudDetector.2] Le etichette di Amazon Fraud Detector devono essere etichettate

• [FraudDetector.3] I risultati di Amazon Fraud Detector devono essere etichettati

• [FraudDetector.4] Le variabili di Amazon Fraud Detector devono essere etichettate

• [FSx.1] FSx per i file system OpenZFS deve essere configurato per copiare i tag su backup e volumi

• [FSx.2] FSx per i file system Lustre devono essere configurati per copiare i tag nei backup

• [FSx.3] FSx per i file system OpenZFS deve essere configurato per l'implementazione Multi-AZ

• [FSx.4] FSx per i file system NetApp ONTAP deve essere configurato per l'implementazione Multi-AZ

• [FSx.5] FSx per i file system Windows File Server devono essere configurati per l'implementazione Multi-AZ

• [GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati

• [Glue.1] i AWS Glue lavori devono essere etichettati

• [Glue.3] le trasformazioni di apprendimento AWS Glue automatico devono essere crittografate a riposo

• [Glue.4] I job AWS Glue Spark dovrebbero essere eseguiti su versioni supportate di AWS Glue

• [GuardDuty.1] GuardDuty dovrebbe essere abilitato

• [GuardDuty.2] GuardDuty i filtri devono essere etichettati

• [GuardDuty.3] GuardDuty IPSets deve essere taggato

• [GuardDuty.4] i GuardDuty rilevatori devono essere etichettati

• [GuardDuty.5] GuardDuty EKS Audit Log Monitoring deve essere abilitato

• [GuardDuty.6] La protezione GuardDuty Lambda deve essere abilitata

• [GuardDuty.7] GuardDuty EKS Runtime Monitoring deve essere abilitato

• [GuardDuty.8] La protezione GuardDuty da malware per EC2 deve essere abilitata

• [GuardDuty.9] La protezione GuardDuty RDS deve essere abilitata

• [GuardDuty.10] La protezione GuardDuty S3 deve essere abilitata

• [GuardDuty.11] Il monitoraggio del GuardDuty runtime deve essere abilitato

• [GuardDuty.12] Il monitoraggio del runtime GuardDuty ECS deve essere abilitato

• [GuardDuty.13] Il monitoraggio del GuardDuty EC2 runtime deve essere abilitato

• [IAM.1] Le politiche IAM non dovrebbero consentire privilegi amministrativi «*» completi

• [IAM.2] Gli utenti IAM non devono avere policy IAM allegate

• [IAM.3] Le chiavi di accesso degli utenti IAM devono essere ruotate ogni 90 giorni o meno

• [IAM.4] La chiave di accesso utente root IAM non dovrebbe esistere

• [IAM.5] MFA deve essere abilitata per tutti gli utenti IAM che dispongono di una password della console

• [IAM.6] L'autenticazione MFA per l'hardware deve essere abilitata per l'utente root

• [IAM.7] Le politiche relative alle password per gli utenti IAM devono avere configurazioni avanzate

• [IAM.8] Le credenziali utente IAM non utilizzate devono essere rimosse

• [IAM.9] L'MFA deve essere abilitata per l'utente root

• [IAM.10] Le politiche relative alle password per gli utenti IAM dovrebbero avere durate elevate AWS Config

• [IAM.11] Assicurati che la politica delle password IAM richieda almeno una lettera maiuscola

• [IAM.12] Assicurati che la politica delle password IAM richieda almeno una lettera minuscola

• [IAM.13] Assicurati che la politica delle password IAM richieda almeno un simbolo

• [IAM.14] Assicurati che la politica delle password IAM richieda almeno un numero

• [IAM.15] Assicurati che la politica delle password di IAM richieda una lunghezza minima della password pari o superiore a 14

• [IAM.16] Assicurati che la politica delle password di IAM impedisca il riutilizzo delle password

• [IAM.17] Assicurati che la policy sulle password di IAM faccia scadere le password entro 90 giorni o meno

• [IAM.18] Assicurati che sia stato creato un ruolo di supporto per gestire gli incidenti con Supporto

• [IAM.19] L'MFA deve essere abilitata per tutti gli utenti IAM

• [IAM.21] Le policy gestite dai clienti IAM che create non dovrebbero consentire azioni jolly per i servizi

• [IAM.22] Le credenziali utente IAM non utilizzate per 45 giorni devono essere rimosse

• [IAM.23] Gli analizzatori IAM Access Analyzer devono essere etichettati

• [IAM.24] I ruoli IAM devono essere etichettati

• [IAM.25] Gli utenti IAM devono essere etichettati

• [IAM.26] I certificati SSL/TLS scaduti gestiti in IAM devono essere rimossi

• [IAM.27] Le identità IAM non devono avere la policy allegata AWSCloud ShellFullAccess

• [IAM.28] L'analizzatore di accesso esterno IAM Access Analyzer deve essere abilitato

• [Inspector.1] La scansione di Amazon Inspector deve essere abilitata EC2

• [Inspector.2] La scansione ECR di Amazon Inspector deve essere abilitata

• [Inspector.3] La scansione del codice Amazon Inspector Lambda deve essere abilitata

• [Inspector.4] La scansione standard di Amazon Inspector Lambda deve essere abilitata

• [IoT.1] i profili di AWS IoT Device Defender sicurezza devono essere etichettati

• [IoT.2] le azioni di AWS IoT Core mitigazione devono essere etichettate

• [IoT.3] le AWS IoT Core dimensioni devono essere etichettate

• gli AWS IoT Core autorizzatori [IoT.4] devono essere etichettati

• [IoT.5] gli alias dei AWS IoT Core ruoli devono essere etichettati

• [IoT.6] AWS IoT Core le politiche devono essere etichettate

• [Io TEvents .1] Gli input di AWS IoT Events devono essere etichettati

• [Io TEvents .2] I modelli di rilevatori AWS IoT Events devono essere etichettati

• [Io TEvents .3] I modelli di allarme AWS IoT Events devono essere etichettati

• [Io TSite Wise.1] I modelli di SiteWise asset AWS IoT devono essere etichettati

• [Io TSite Wise.2] Le SiteWise dashboard AWS IoT devono essere etichettate

• [Io TSite Wise.3] I SiteWise gateway AWS IoT devono essere etichettati

• [Io TSite Wise.4] I SiteWise portali AWS IoT devono essere etichettati

• [Io TSite Wise.5] I SiteWise progetti AWS IoT devono essere etichettati

• [Io TTwin Maker.1] I lavori di TwinMaker sincronizzazione AWS IoT devono essere etichettati

• [Io TTwin Maker.2] Gli spazi di TwinMaker lavoro AWS IoT devono essere etichettati

• [Io TTwin Maker.3] Le TwinMaker scene AWS IoT devono essere etichettate

• [Io TTwin Maker.4] Le TwinMaker entità AWS IoT devono essere etichettate

• [Io TWireless .1] I gruppi multicast AWS IoT Wireless devono essere etichettati

• [Io TWireless .2] I profili dei servizi AWS IoT Wireless devono essere etichettati

• [Io TWireless .3] Le attività AWS IOT FUOTA devono essere etichettate

• [IVS.1] Le coppie di chiavi di riproduzione IVS devono essere etichettate

• [IVS.2] Le configurazioni di registrazione IVS devono essere contrassegnate

• [IVS.3] I canali IVS devono essere etichettati

• [Keyspaces.1] Gli spazi chiave di Amazon Keyspaces devono essere etichettati

• [Kinesis.1] Gli stream Kinesis devono essere crittografati quando sono inattivi

• [Kinesis.2] Gli stream Kinesis devono essere etichettati

• [Kinesis.3] I flussi Kinesis devono avere un periodo di conservazione dei dati adeguato

• [KMS.1] Le politiche gestite dai clienti di IAM non dovrebbero consentire azioni di decrittografia su tutte le chiavi KMS

• [KMS.2] I principali IAM non devono disporre di policy IAM in linea che consentano azioni di decrittografia su tutte le chiavi KMS

• [KMS.5] Le chiavi KMS non devono essere accessibili al pubblico

• [Lambda.5] Le funzioni VPC Lambda devono funzionare in più zone di disponibilità

• [Macie.1] Amazon Macie dovrebbe essere abilitato

• [Macie.2] Il rilevamento automatico dei dati sensibili di Macie deve essere abilitato

• [MQ.2] I broker ActiveMQ devono trasmettere i log di controllo a CloudWatch

• [MQ.3] I broker Amazon MQ dovrebbero avere abilitato l'aggiornamento automatico delle versioni secondarie

• [MQ.4] I broker Amazon MQ devono essere etichettati

• [MQ.5] I broker ActiveMQ devono utilizzare la modalità di distribuzione attiva/standby

• [MQ.6] I broker RabbitMQ dovrebbero utilizzare la modalità di distribuzione del cluster

• [MSK.1] I cluster MSK devono essere crittografati durante il transito tra i nodi del broker

• [MSK.2] I cluster MSK dovrebbero avere configurato un monitoraggio avanzato

• [MSK.3] I connettori MSK Connect devono essere crittografati in transito

• [Neptune.1] I cluster Neptune DB devono essere crittografati a riposo

• [Neptune.2] I cluster Neptune DB devono pubblicare i log di controllo su Logs CloudWatch

• [Neptune.3] Le istantanee del cluster Neptune DB non devono essere pubbliche

• [Neptune.4] I cluster Neptune DB devono avere la protezione da eliminazione abilitata

• [Neptune.5] I cluster Neptune DB devono avere i backup automatici abilitati

• [Neptune.6] Le istantanee del cluster Neptune DB devono essere crittografate quando sono inattive

• [Neptune.7] I cluster Neptune DB devono avere l'autenticazione del database IAM abilitata

• [Neptune.8] I cluster Neptune DB devono essere configurati per copiare i tag nelle istantanee

• [Neptune.9] I cluster Neptune DB devono essere distribuiti su più zone di disponibilità

• [NetworkFirewall.1] I firewall Network Firewall devono essere distribuiti su più zone di disponibilità

• [NetworkFirewall.2] La registrazione del Network Firewall deve essere abilitata

• [NetworkFirewall.3] Le policy di Network Firewall devono avere almeno un gruppo di regole associato

• [NetworkFirewall.4] L'azione stateless predefinita per le policy del Network Firewall dovrebbe essere drop or forward per pacchetti completi

• [NetworkFirewall.5] L'azione stateless predefinita per le policy del Network Firewall dovrebbe essere drop or forward per i pacchetti frammentati

• [NetworkFirewall.6] Il gruppo di regole Stateless Network Firewall non deve essere vuoto

• [NetworkFirewall.9] I firewall Network Firewall devono avere la protezione da eliminazione abilitata

• [NetworkFirewall.10] I firewall Network Firewall devono avere la protezione da cambio di sottorete abilitata

• I OpenSearch domini [Opensearch.1] devono avere la crittografia a riposo abilitata

• I OpenSearch domini [Opensearch.2] non devono essere accessibili al pubblico

• I OpenSearch domini [Opensearch.3] devono crittografare i dati inviati tra i nodi

• La registrazione degli errori del OpenSearch dominio [Opensearch.4] nei log dovrebbe essere abilitata CloudWatch

• I OpenSearch domini [Opensearch.5] devono avere la registrazione di controllo abilitata

• I OpenSearch domini [Opensearch.6] devono avere almeno tre nodi di dati

• I OpenSearch domini [Opensearch.7] devono avere un controllo degli accessi granulare abilitato

• [Opensearch.8] Le connessioni ai OpenSearch domini devono essere crittografate utilizzando la più recente politica di sicurezza TLS

• I OpenSearch domini [Opensearch.9] devono essere etichettati

• Nei OpenSearch domini [Opensearch.10] deve essere installato l'ultimo aggiornamento software

• I OpenSearch domini [Opensearch.11] devono avere almeno tre nodi primari dedicati

• L'autorità di certificazione AWS Private CA principale [PCA.1] deve essere disabilitata

• [PCA.2] Le autorità di certificazione CA AWS private devono essere etichettate

• [RDS.14] I cluster Amazon Aurora devono avere il backtracking abilitato

• [RDS.17] Le istanze DB RDS devono essere configurate per copiare i tag nelle istantanee

• [RDS.18] Le istanze RDS devono essere distribuite in un VPC

• [RDS.23] Le istanze RDS non devono utilizzare una porta predefinita del motore di database

• [RDS.24] I cluster di database RDS devono utilizzare un nome utente di amministratore personalizzato

• [RDS.25] Le istanze del database RDS devono utilizzare un nome utente amministratore personalizzato

• [RDS.26] Le istanze DB RDS devono essere protette da un piano di backup

• [RDS.27] I cluster RDS DB devono essere crittografati quando sono inattivi

• [RDS.30] Le istanze DB RDS devono essere etichettate

• [RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati

• [RDS.32] Gli snapshot RDS DB devono essere etichettati

• [RDS.34] I cluster Aurora MySQL DB devono pubblicare i log di controllo nei registri CloudWatch

• [RDS.35] Nei cluster RDS DB deve essere abilitato l'aggiornamento automatico delle versioni secondarie

• [RDS.36] Le istanze DB di RDS per PostgreSQL devono pubblicare i log nei log CloudWatch

• [RDS.37] I cluster Aurora PostgreSQL DB devono pubblicare i log nei log CloudWatch

• [RDS.38] Le istanze DB di RDS per PostgreSQL devono essere crittografate in transito

• [RDS.39] Le istanze DB di RDS per MySQL devono essere crittografate in transito

• [RDS.40] Le istanze DB di RDS per SQL Server devono pubblicare i log nei log CloudWatch

• [Redshift.1] I cluster Amazon Redshift dovrebbero vietare l'accesso pubblico

• [Redshift.2] Le connessioni ai cluster Amazon Redshift devono essere crittografate in transito

• [Redshift.3] I cluster Amazon Redshift devono avere le istantanee automatiche abilitate

• [Redshift.4] I cluster Amazon Redshift devono avere la registrazione di controllo abilitata

• [Redshift.6] Amazon Redshift dovrebbe avere gli upgrade automatici alle versioni principali abilitati

• [Redshift.7] I cluster Redshift devono utilizzare un routing VPC avanzato

• [Redshift.8] I cluster Amazon Redshift non devono utilizzare il nome utente amministratore predefinito

• [Redshift.9] I cluster Redshift non devono utilizzare il nome di database predefinito

• [Redshift.10] I cluster Redshift devono essere crittografati a riposo

• [Redshift.11] I cluster Redshift devono essere etichettati

• [Redshift.13] Le istantanee del cluster Redshift devono essere etichettate

• [Redshift.15] I gruppi di sicurezza Redshift dovrebbero consentire l'ingresso sulla porta del cluster solo da origini limitate

• [Redshift.16] I sottoreti del cluster Redshift devono avere sottoreti da più zone di disponibilità

• [RedshiftServerless.1] I gruppi di lavoro Serverless di Amazon Redshift devono utilizzare un routing VPC avanzato

• [Route53.1] I controlli sanitari della Route 53 devono essere etichettati

• [Route53.2] Le zone ospitate pubbliche di Route 53 devono registrare le query DNS

• [S3.7] I bucket S3 per uso generico devono utilizzare la replica tra regioni

• [S3.10] I bucket generici S3 con il controllo delle versioni abilitato devono avere configurazioni del ciclo di vita

• [S3.11] I bucket generici S3 devono avere le notifiche degli eventi abilitate

• [S3.12] non ACLs deve essere usato per gestire l'accesso degli utenti ai bucket generici S3

• [S3.13] I bucket generici S3 devono avere configurazioni del ciclo di vita

• [S3.17] I bucket generici S3 devono essere crittografati quando sono inattivi con AWS KMS keys

• [S3.19] I punti di accesso S3 devono avere le impostazioni di blocco dell'accesso pubblico abilitate

• [S3.20] I bucket S3 per uso generico devono avere l'eliminazione MFA abilitata

• [S3.22] I bucket S3 per uso generico devono registrare gli eventi di scrittura a livello di oggetto

• [S3.23] I bucket S3 per uso generico devono registrare gli eventi di lettura a livello di oggetto

• [S3.24] I punti di accesso multiregionali S3 devono avere le impostazioni di blocco dell'accesso pubblico abilitate

• [SageMaker.1] Le istanze di SageMaker notebook Amazon non devono avere accesso diretto a Internet

• [SageMaker.2] le istanze dei SageMaker notebook devono essere avviate in un VPC personalizzato

• [SageMaker.3] Gli utenti non devono avere accesso root alle SageMaker istanze dei notebook

• [SageMaker.4] Le varianti di produzione di SageMaker endpoint devono avere un numero iniziale di istanze superiore a 1

• [SageMaker.5] i SageMaker modelli dovrebbero bloccare il traffico in entrata

• [SecretsManager.1] I segreti di Secrets Manager devono avere la rotazione automatica abilitata

• [SecretsManager.2] I segreti di Secrets Manager configurati con rotazione automatica dovrebbero ruotare correttamente

• [SecretsManager.3] Rimuovi i segreti inutilizzati di Secrets Manager

• [SecretsManager.4] I segreti di Secrets Manager devono essere ruotati entro un determinato numero di giorni

• [ServiceCatalog.1] I portafogli Service Catalog devono essere condivisi solo all'interno di un'organizzazione AWS

• [SES.1] Gli elenchi di contatti SES devono essere etichettati

• [SES.2] I set di configurazione SES devono essere etichettati

• [SNS.4] Le politiche di accesso agli argomenti SNS non dovrebbero consentire l'accesso pubblico

• [SQS.1] Le code di Amazon SQS devono essere crittografate quando sono inattive

• [SQS.2] Le code SQS devono essere etichettate

• [SQS.3] Le politiche di accesso alla coda SQS non devono consentire l'accesso pubblico

• [SSM.1] Le EC2 istanze Amazon devono essere gestite da AWS Systems Manager

• [SSM.2] EC2 Le istanze Amazon gestite da Systems Manager devono avere uno stato di conformità alla patch pari a COMPLIANT dopo l'installazione della patch

• [SSM.3] EC2 Le istanze Amazon gestite da Systems Manager devono avere uno stato di conformità dell'associazione pari a COMPLIANT

• [SSM.4] I documenti SSM non devono essere pubblici

• [StepFunctions.1] Le macchine a stati Step Functions dovrebbero avere la registrazione attivata

• [StepFunctions.2] Le attività di Step Functions devono essere etichettate

• I AWS Transfer Family flussi di lavoro [Transfer.1] devono essere etichettati

• [Transfer.2] I server Transfer Family non devono utilizzare il protocollo FTP per la connessione agli endpoint

• [Transfer.3] I connettori Transfer Family devono avere la registrazione abilitata

• [WAF.1] La registrazione AWS WAF classica Global Web ACL deve essere abilitata

• [WAF.2] Le regole regionali AWS WAF classiche devono avere almeno una condizione

• [WAF.3] I gruppi di regole regionali AWS WAF classici dovrebbero avere almeno una regola

• [WAF.4] Il sito Web regionale AWS WAF classico ACLs deve avere almeno una regola o un gruppo di regole

• [WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione

• [WAF.7] I gruppi di regole globali AWS WAF classici dovrebbero avere almeno una regola

• [WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole

• [WAF.10] AWS WAF web ACLs dovrebbe avere almeno una regola o un gruppo di regole

• [WAF.11] La registrazione AWS WAF web ACL deve essere abilitata

• Le regole [WAF.12] devono avere le metriche abilitate AWS WAF CloudWatch

• [WorkSpaces.1] i volumi WorkSpaces utente devono essere crittografati quando sono inattivi

• [WorkSpaces.2] i volumi WorkSpaces root devono essere crittografati quando sono inattivi

Asia Pacifico (Melbourne)

I seguenti controlli non sono supportati nella regione Asia Pacifico (Melbourne).

• [APIGateway.8] Le rotte API Gateway devono specificare un tipo di autorizzazione

• [APIGateway.9] La registrazione degli accessi deve essere configurata per API Gateway V2 Stages

• [AppFlow.1] I AppFlow flussi Amazon devono essere etichettati

• [AppRunner.1] I servizi App Runner devono essere etichettati

• [AppRunner.2] I connettori VPC App Runner devono essere etichettati

• [AppSync.1] Le cache AWS AppSync delle API devono essere crittografate quando sono inattive

• [AppSync.2] AWS AppSync dovrebbe avere la registrazione a livello di campo abilitata

• [AppSync.5] AWS AppSync APIs GraphQL non deve essere autenticato con chiavi API

• [AppSync.6] Le cache delle AWS AppSync API devono essere crittografate in transito

• [Backup.1] i punti di AWS Backup ripristino devono essere crittografati a riposo

• [Backup.4] i piani di AWS Backup report devono essere etichettati

• [Batch.1] Le code di processi in batch devono essere etichettate

• [Batch.3] Gli ambienti di calcolo in batch devono essere etichettati

• [CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato

• [CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito

• [CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine

• [CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata

• [CloudFront.6] le CloudFront distribuzioni devono avere WAF abilitato

• [CloudFront.7] le CloudFront distribuzioni devono utilizzare certificati SSL/TLS personalizzati

• [CloudFront.8] le CloudFront distribuzioni devono utilizzare SNI per soddisfare le richieste HTTPS

• [CloudFront.9] le CloudFront distribuzioni devono crittografare il traffico verso origini personalizzate

• [CloudFront.10] CloudFront le distribuzioni non devono utilizzare protocolli SSL obsoleti tra edge location e origini personalizzate

• [CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti

• [CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine

• [CloudFront.14] le distribuzioni devono essere etichettate CloudFront

• [CodeArtifact.1] i CodeArtifact repository devono essere etichettati

• [CodeGuruProfiler.1] I gruppi di CodeGuru profilazione Profiler devono essere etichettati

• [CodeGuruReviewer.1] Le associazioni dei repository dei CodeGuru revisori devono essere etichettate

• [Cognito.1] I pool di utenti di Cognito dovrebbero avere la protezione dalle minacce attivata con la modalità di imposizione completa delle funzioni per l'autenticazione standard

• [Connect.1] I tipi di oggetto Amazon Connect Customer Profiles devono essere etichettati

• [Connect.2] Le istanze Amazon Connect devono avere la registrazione abilitata CloudWatch

• [Detective.1] I grafici del comportamento dei Detective devono essere etichettati

• [DMS.1] Le istanze di replica del Database Migration Service non devono essere pubbliche

• [DMS.2] I certificati DMS devono essere etichettati

• [DMS.3] Le sottoscrizioni agli eventi DMS devono essere contrassegnate

• [DMS.4] Le istanze di replica DMS devono essere contrassegnate

• [DMS.5] I gruppi di sottoreti di replica DMS devono essere etichettati

• [DMS.6] Le istanze di replica DMS devono avere l'aggiornamento automatico delle versioni secondarie abilitato

• [DMS.7] Le attività di replica DMS per il database di destinazione devono avere la registrazione abilitata

• [DMS.8] Le attività di replica DMS per il database di origine devono avere la registrazione abilitata

• [DMS.9] Gli endpoint DMS devono utilizzare SSL

• [DMS.10] Gli endpoint DMS per i database Neptune devono avere l'autorizzazione IAM abilitata

• [DMS.11] Gli endpoint DMS per MongoDB devono avere un meccanismo di autenticazione abilitato

• [DMS.12] Gli endpoint DMS per Redis OSS devono avere TLS abilitato

• [DocumentDB.1] I cluster Amazon DocumentDB devono essere crittografati quando sono inattivi

• [DocumentDB.2] I cluster Amazon DocumentDB devono avere un periodo di conservazione dei backup adeguato

• [DocumentDB.3] Le istantanee manuali dei cluster di Amazon DocumentDB non devono essere pubbliche

• [DocumentDB.4] I cluster Amazon DocumentDB devono pubblicare i log di controllo su Logs CloudWatch

• [DocumentDB.5] I cluster Amazon DocumentDB devono avere la protezione da eliminazione abilitata

• [DynamoDB.3] I cluster DynamoDB Accelerator (DAX) devono essere crittografati quando sono inattivi

• [DynamoDB.4] Le tabelle DynamoDB devono essere presenti in un piano di backup

• [DynamoDB.7] I cluster DynamoDB Accelerator devono essere crittografati in transito

• [EC2.1] Gli snapshot di Amazon EBS non devono essere ripristinabili pubblicamente

• [EC2.4] Le EC2 istanze interrotte devono essere rimosse dopo un periodo di tempo specificato

• [EC2.8] EC2 le istanze devono utilizzare Instance Metadata Service versione 2 () IMDSv2

• [EC2.14] I gruppi di sicurezza non devono consentire l'accesso da 0.0.0.0/0 o: :/0 alla porta 3389

• [EC2.18] I gruppi di sicurezza devono consentire il traffico in entrata senza restrizioni solo per le porte autorizzate

• [EC2.22] I gruppi di EC2 sicurezza Amazon non utilizzati devono essere rimossi

• [EC2.23] Amazon EC2 Transit Gateways non dovrebbe accettare automaticamente le richieste di allegati VPC

• [EC2.24] I tipi di istanze EC2 paravirtuali di Amazon non devono essere utilizzati

• [EC2.25] I modelli di EC2 lancio di Amazon non devono assegnare interfacce IPs di rete pubbliche

• [EC2.28] I volumi EBS devono essere coperti da un piano di backup

• [EC2.34] Le tabelle delle rotte dei gateway di EC2 transito devono essere etichettate

• [EC2.40] I gateway EC2 NAT devono essere etichettati

• [EC2.48] I log di flusso di Amazon VPC devono essere etichettati

• [EC2.58] VPCs deve essere configurato con un endpoint di interfaccia per Systems Manager Incident Manager Contacts

• [EC2.60] VPCs deve essere configurato con un endpoint di interfaccia per Systems Manager Incident Manager

• [EC2.170] i modelli di EC2 avvio devono utilizzare Instance Metadata Service Version 2 () IMDSv2

• [ECR.4] Gli archivi pubblici ECR devono essere etichettati

• [EFS.1] Elastic File System deve essere configurato per crittografare i dati dei file inattivi utilizzando AWS KMS

• [EFS.2] I volumi Amazon EFS devono essere inclusi nei piani di backup

• I cluster [ElastiCache.1] ElastiCache (Redis OSS) devono avere i backup automatici abilitati

• [ElastiCache.2] i ElastiCache cluster dovrebbero avere gli aggiornamenti automatici delle versioni secondarie abilitati

• [ElastiCache.3] i gruppi di ElastiCache replica devono avere il failover automatico abilitato

• [ElastiCache.4] i gruppi di ElastiCache replica devono essere crittografati quando sono inattivi

• [ElastiCache.5] i gruppi di ElastiCache replica devono essere crittografati in transito

• [ElastiCache.6] ElastiCache (Redis OSS) i gruppi di replica delle versioni precedenti devono avere Redis OSS AUTH abilitato

• [ElastiCache.7] ElastiCache i cluster non devono utilizzare il gruppo di sottoreti predefinito

• [ElasticBeanstalk.1] Gli ambienti Elastic Beanstalk dovrebbero avere la reportistica sullo stato avanzata abilitata

• [ElasticBeanstalk.2] Gli aggiornamenti della piattaforma gestita da Elastic Beanstalk devono essere abilitati

• [ElasticBeanstalk.3] Elastic Beanstalk dovrebbe trasmettere i log a CloudWatch

• [ELB.14] Classic Load Balancer deve essere configurato con la modalità di mitigazione della desincronizzazione difensiva o più rigorosa

• [ELB.17] Gli Application and Network Load Balancer con listener devono utilizzare le politiche di sicurezza consigliate

• [EMR.1] I nodi primari del cluster Amazon EMR non devono avere indirizzi IP pubblici

• [ES.4] La registrazione degli errori del dominio Elasticsearch nei log deve essere abilitata CloudWatch

• [EventBridge.4] EventBridge gli endpoint globali dovrebbero avere la replica degli eventi abilitata

• [FraudDetector.1] I tipi di entità Amazon Fraud Detector devono essere etichettati

• [FraudDetector.2] Le etichette di Amazon Fraud Detector devono essere etichettate

• [FraudDetector.3] I risultati di Amazon Fraud Detector devono essere etichettati

• [FraudDetector.4] Le variabili di Amazon Fraud Detector devono essere etichettate

• [FSx.1] FSx per i file system OpenZFS deve essere configurato per copiare i tag su backup e volumi

• [FSx.3] FSx per i file system OpenZFS deve essere configurato per l'implementazione Multi-AZ

• [GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati

• [Glue.4] I job AWS Glue Spark dovrebbero essere eseguiti su versioni supportate di AWS Glue

• [GuardDuty.2] GuardDuty i filtri devono essere etichettati

• [IAM.1] Le politiche IAM non dovrebbero consentire privilegi amministrativi «*» completi

• [IAM.2] Gli utenti IAM non devono avere policy IAM allegate

• [IAM.3] Le chiavi di accesso degli utenti IAM devono essere ruotate ogni 90 giorni o meno

• [IAM.5] MFA deve essere abilitata per tutti gli utenti IAM che dispongono di una password della console

• [IAM.6] L'autenticazione MFA per l'hardware deve essere abilitata per l'utente root

• [IAM.8] Le credenziali utente IAM non utilizzate devono essere rimosse

• [IAM.10] Le politiche relative alle password per gli utenti IAM dovrebbero avere durate elevate AWS Config

• [IAM.11] Assicurati che la politica delle password IAM richieda almeno una lettera maiuscola

• [IAM.12] Assicurati che la politica delle password IAM richieda almeno una lettera minuscola

• [IAM.13] Assicurati che la politica delle password IAM richieda almeno un simbolo

• [IAM.14] Assicurati che la politica delle password IAM richieda almeno un numero

• [IAM.15] Assicurati che la politica delle password di IAM richieda una lunghezza minima della password pari o superiore a 14

• [IAM.16] Assicurati che la politica delle password di IAM impedisca il riutilizzo delle password

• [IAM.17] Assicurati che la policy sulle password di IAM faccia scadere le password entro 90 giorni o meno

• [IAM.18] Assicurati che sia stato creato un ruolo di supporto per gestire gli incidenti con Supporto

• [IAM.19] L'MFA deve essere abilitata per tutti gli utenti IAM

• [IAM.21] Le policy gestite dai clienti IAM che create non dovrebbero consentire azioni jolly per i servizi

• [IAM.22] Le credenziali utente IAM non utilizzate per 45 giorni devono essere rimosse

• [IAM.24] I ruoli IAM devono essere etichettati

• [IAM.25] Gli utenti IAM devono essere etichettati

• [IAM.26] I certificati SSL/TLS scaduti gestiti in IAM devono essere rimossi

• [IAM.27] Le identità IAM non devono avere la policy allegata AWSCloud ShellFullAccess

• [Inspector.1] La scansione di Amazon Inspector deve essere abilitata EC2

• [Inspector.2] La scansione ECR di Amazon Inspector deve essere abilitata

• [Inspector.3] La scansione del codice Amazon Inspector Lambda deve essere abilitata

• [Inspector.4] La scansione standard di Amazon Inspector Lambda deve essere abilitata

• [IoT.1] i profili di AWS IoT Device Defender sicurezza devono essere etichettati

• [IoT.2] le azioni di AWS IoT Core mitigazione devono essere etichettate

• [IoT.3] le AWS IoT Core dimensioni devono essere etichettate

• gli AWS IoT Core autorizzatori [IoT.4] devono essere etichettati

• [IoT.5] gli alias dei AWS IoT Core ruoli devono essere etichettati

• [IoT.6] AWS IoT Core le politiche devono essere etichettate

• [Io TEvents .1] Gli input di AWS IoT Events devono essere etichettati

• [Io TEvents .2] I modelli di rilevatori AWS IoT Events devono essere etichettati

• [Io TEvents .3] I modelli di allarme AWS IoT Events devono essere etichettati

• [Io TSite Wise.1] I modelli di SiteWise asset AWS IoT devono essere etichettati

• [Io TSite Wise.2] Le SiteWise dashboard AWS IoT devono essere etichettate

• [Io TSite Wise.3] I SiteWise gateway AWS IoT devono essere etichettati

• [Io TSite Wise.4] I SiteWise portali AWS IoT devono essere etichettati

• [Io TSite Wise.5] I SiteWise progetti AWS IoT devono essere etichettati

• [Io TTwin Maker.1] I lavori di TwinMaker sincronizzazione AWS IoT devono essere etichettati

• [Io TTwin Maker.2] Gli spazi di TwinMaker lavoro AWS IoT devono essere etichettati

• [Io TTwin Maker.3] Le TwinMaker scene AWS IoT devono essere etichettate

• [Io TTwin Maker.4] Le TwinMaker entità AWS IoT devono essere etichettate

• [Io TWireless .1] I gruppi multicast AWS IoT Wireless devono essere etichettati

• [Io TWireless .2] I profili dei servizi AWS IoT Wireless devono essere etichettati

• [Io TWireless .3] Le attività AWS IOT FUOTA devono essere etichettate

• [IVS.1] Le coppie di chiavi di riproduzione IVS devono essere etichettate

• [IVS.2] Le configurazioni di registrazione IVS devono essere contrassegnate

• [IVS.3] I canali IVS devono essere etichettati

• [Keyspaces.1] Gli spazi chiave di Amazon Keyspaces devono essere etichettati

• [Kinesis.1] Gli stream Kinesis devono essere crittografati quando sono inattivi

• [KMS.1] Le politiche gestite dai clienti di IAM non dovrebbero consentire azioni di decrittografia su tutte le chiavi KMS

• [KMS.2] I principali IAM non devono disporre di policy IAM in linea che consentano azioni di decrittografia su tutte le chiavi KMS

• [Macie.1] Amazon Macie dovrebbe essere abilitato

• [Macie.2] Il rilevamento automatico dei dati sensibili di Macie deve essere abilitato

• [MQ.6] I broker RabbitMQ dovrebbero utilizzare la modalità di distribuzione del cluster

• [MSK.3] I connettori MSK Connect devono essere crittografati in transito

• [Neptune.1] I cluster Neptune DB devono essere crittografati a riposo

• [Neptune.2] I cluster Neptune DB devono pubblicare i log di controllo su Logs CloudWatch

• [Neptune.3] Le istantanee del cluster Neptune DB non devono essere pubbliche

• [Neptune.4] I cluster Neptune DB devono avere la protezione da eliminazione abilitata

• [Neptune.5] I cluster Neptune DB devono avere i backup automatici abilitati

• [Neptune.6] Le istantanee del cluster Neptune DB devono essere crittografate quando sono inattive

• [Neptune.7] I cluster Neptune DB devono avere l'autenticazione del database IAM abilitata

• [Neptune.8] I cluster Neptune DB devono essere configurati per copiare i tag nelle istantanee

• [Neptune.9] I cluster Neptune DB devono essere distribuiti su più zone di disponibilità

• I OpenSearch domini [Opensearch.1] devono avere la crittografia a riposo abilitata

• I OpenSearch domini [Opensearch.2] non devono essere accessibili al pubblico

• I OpenSearch domini [Opensearch.3] devono crittografare i dati inviati tra i nodi

• La registrazione degli errori del OpenSearch dominio [Opensearch.4] nei log dovrebbe essere abilitata CloudWatch

• I OpenSearch domini [Opensearch.5] devono avere la registrazione di controllo abilitata

• I OpenSearch domini [Opensearch.6] devono avere almeno tre nodi di dati

• I OpenSearch domini [Opensearch.7] devono avere un controllo degli accessi granulare abilitato

• [Opensearch.8] Le connessioni ai OpenSearch domini devono essere crittografate utilizzando la più recente politica di sicurezza TLS

• I OpenSearch domini [Opensearch.9] devono essere etichettati

• Nei OpenSearch domini [Opensearch.10] deve essere installato l'ultimo aggiornamento software

• I OpenSearch domini [Opensearch.11] devono avere almeno tre nodi primari dedicati

• [RDS.1] L'istantanea RDS deve essere privata

• [RDS.14] I cluster Amazon Aurora devono avere il backtracking abilitato

• [RDS.15] I cluster RDS DB devono essere configurati per più zone di disponibilità

• [RDS.26] Le istanze DB RDS devono essere protette da un piano di backup

• [RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati

• [RDS.35] Nei cluster RDS DB deve essere abilitato l'aggiornamento automatico delle versioni secondarie

• [RDS.37] I cluster Aurora PostgreSQL DB devono pubblicare i log nei log CloudWatch

• [RedshiftServerless.1] I gruppi di lavoro Serverless di Amazon Redshift devono utilizzare un routing VPC avanzato

• [Route53.1] I controlli sanitari della Route 53 devono essere etichettati

• [Route53.2] Le zone ospitate pubbliche di Route 53 devono registrare le query DNS

• [S3.24] I punti di accesso multiregionali S3 devono avere le impostazioni di blocco dell'accesso pubblico abilitate

• [SageMaker.1] Le istanze di SageMaker notebook Amazon non devono avere accesso diretto a Internet

• [SageMaker.2] le istanze dei SageMaker notebook devono essere avviate in un VPC personalizzato

• [SageMaker.3] Gli utenti non devono avere accesso root alle SageMaker istanze dei notebook

• [SageMaker.5] i SageMaker modelli dovrebbero bloccare il traffico in entrata

• [SES.1] Gli elenchi di contatti SES devono essere etichettati

• [SES.2] I set di configurazione SES devono essere etichettati

• [SQS.1] Le code di Amazon SQS devono essere crittografate quando sono inattive

• [SQS.2] Le code SQS devono essere etichettate

• [SQS.3] Le politiche di accesso alla coda SQS non devono consentire l'accesso pubblico

• [SSM.3] EC2 Le istanze Amazon gestite da Systems Manager devono avere uno stato di conformità dell'associazione pari a COMPLIANT

• [SSM.4] I documenti SSM non devono essere pubblici

• [StepFunctions.1] Le macchine a stati Step Functions dovrebbero avere la registrazione attivata

• [Transfer.3] I connettori Transfer Family devono avere la registrazione abilitata

• [WAF.1] La registrazione AWS WAF classica Global Web ACL deve essere abilitata

• [WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione

• [WAF.7] I gruppi di regole globali AWS WAF classici dovrebbero avere almeno una regola

• [WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole

• [WAF.11] La registrazione AWS WAF web ACL deve essere abilitata

• [WorkSpaces.1] i volumi WorkSpaces utente devono essere crittografati quando sono inattivi

• [WorkSpaces.2] i volumi WorkSpaces root devono essere crittografati quando sono inattivi

Asia Pacifico (Mumbai)

I seguenti controlli non sono supportati nella regione Asia Pacifico (Mumbai).

• [AppSync.1] Le cache AWS AppSync delle API devono essere crittografate quando sono inattive

• [AppSync.6] Le cache delle AWS AppSync API devono essere crittografate in transito

• [CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato

• [CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito

• [CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine

• [CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata

• [CloudFront.6] le CloudFront distribuzioni devono avere WAF abilitato

• [CloudFront.7] le CloudFront distribuzioni devono utilizzare certificati SSL/TLS personalizzati

• [CloudFront.8] le CloudFront distribuzioni devono utilizzare SNI per soddisfare le richieste HTTPS

• [CloudFront.9] le CloudFront distribuzioni devono crittografare il traffico verso origini personalizzate

• [CloudFront.10] CloudFront le distribuzioni non devono utilizzare protocolli SSL obsoleti tra edge location e origini personalizzate

• [CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti

• [CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine

• [CloudFront.14] le distribuzioni devono essere etichettate CloudFront

• [CodeGuruProfiler.1] I gruppi di CodeGuru profilazione Profiler devono essere etichettati

• [CodeGuruReviewer.1] Le associazioni dei repository dei CodeGuru revisori devono essere etichettate

• [Connect.1] I tipi di oggetto Amazon Connect Customer Profiles devono essere etichettati

• [Connect.2] Le istanze Amazon Connect devono avere la registrazione abilitata CloudWatch

• [EC2.24] I tipi di istanze EC2 paravirtuali di Amazon non devono essere utilizzati

• [ECR.4] Gli archivi pubblici ECR devono essere etichettati

• [FraudDetector.1] I tipi di entità Amazon Fraud Detector devono essere etichettati

• [FraudDetector.2] Le etichette di Amazon Fraud Detector devono essere etichettate

• [FraudDetector.3] I risultati di Amazon Fraud Detector devono essere etichettati

• [FraudDetector.4] Le variabili di Amazon Fraud Detector devono essere etichettate

• [GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati

• [IAM.26] I certificati SSL/TLS scaduti gestiti in IAM devono essere rimossi

• [Inspector.3] La scansione del codice Amazon Inspector Lambda deve essere abilitata

• [Io TTwin Maker.4] Le TwinMaker entità AWS IoT devono essere etichettate

• [Io TWireless .1] I gruppi multicast AWS IoT Wireless devono essere etichettati

• [Io TWireless .2] I profili dei servizi AWS IoT Wireless devono essere etichettati

• [Io TWireless .3] Le attività AWS IOT FUOTA devono essere etichettate

• [RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati

• [Route53.1] I controlli sanitari della Route 53 devono essere etichettati

• [Route53.2] Le zone ospitate pubbliche di Route 53 devono registrare le query DNS

• [S3.24] I punti di accesso multiregionali S3 devono avere le impostazioni di blocco dell'accesso pubblico abilitate

• [WAF.1] La registrazione AWS WAF classica Global Web ACL deve essere abilitata

• [WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione

• [WAF.7] I gruppi di regole globali AWS WAF classici dovrebbero avere almeno una regola

• [WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole

Asia Pacifico (Osaka-Locale)

I seguenti controlli non sono supportati nella regione Asia Pacifico (Osaka).

• [Account.2] Account AWS deve far parte di un'organizzazione AWS Organizations

• [ACM.1] I certificati importati ed emessi da ACM devono essere rinnovati dopo un periodo di tempo specificato

• [AppFlow.1] I AppFlow flussi Amazon devono essere etichettati

• [AppRunner.1] I servizi App Runner devono essere etichettati

• [AppRunner.2] I connettori VPC App Runner devono essere etichettati

• [AppSync.1] Le cache AWS AppSync delle API devono essere crittografate quando sono inattive

• [AppSync.6] Le cache delle AWS AppSync API devono essere crittografate in transito

• [Backup.1] i punti di AWS Backup ripristino devono essere crittografati a riposo

• [Backup.4] i piani di AWS Backup report devono essere etichettati

• [CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato

• [CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito

• [CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine

• [CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata

• [CloudFront.6] le CloudFront distribuzioni devono avere WAF abilitato

• [CloudFront.7] le CloudFront distribuzioni devono utilizzare certificati SSL/TLS personalizzati

• [CloudFront.8] le CloudFront distribuzioni devono utilizzare SNI per soddisfare le richieste HTTPS

• [CloudFront.9] le CloudFront distribuzioni devono crittografare il traffico verso origini personalizzate

• [CloudFront.10] CloudFront le distribuzioni non devono utilizzare protocolli SSL obsoleti tra edge location e origini personalizzate

• [CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti

• [CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine

• [CloudFront.14] le distribuzioni devono essere etichettate CloudFront

• [CloudWatch.16] i gruppi di CloudWatch log devono essere conservati per un periodo di tempo specificato

• [CodeArtifact.1] i CodeArtifact repository devono essere etichettati

• [CodeGuruProfiler.1] I gruppi di CodeGuru profilazione Profiler devono essere etichettati

• [CodeGuruReviewer.1] Le associazioni dei repository dei CodeGuru revisori devono essere etichettate

• [Connect.1] I tipi di oggetto Amazon Connect Customer Profiles devono essere etichettati

• [Connect.2] Le istanze Amazon Connect devono avere la registrazione abilitata CloudWatch

• [Detective.1] I grafici del comportamento dei Detective devono essere etichettati

• [DMS.7] Le attività di replica DMS per il database di destinazione devono avere la registrazione abilitata

• [DMS.8] Le attività di replica DMS per il database di origine devono avere la registrazione abilitata

• [DMS.10] Gli endpoint DMS per i database Neptune devono avere l'autorizzazione IAM abilitata

• [DocumentDB.1] I cluster Amazon DocumentDB devono essere crittografati quando sono inattivi

• [DocumentDB.2] I cluster Amazon DocumentDB devono avere un periodo di conservazione dei backup adeguato

• [DocumentDB.3] Le istantanee manuali dei cluster di Amazon DocumentDB non devono essere pubbliche

• [DocumentDB.4] I cluster Amazon DocumentDB devono pubblicare i log di controllo su Logs CloudWatch

• [DocumentDB.5] I cluster Amazon DocumentDB devono avere la protezione da eliminazione abilitata

• [DynamoDB.3] I cluster DynamoDB Accelerator (DAX) devono essere crittografati quando sono inattivi

• [DynamoDB.7] I cluster DynamoDB Accelerator devono essere crittografati in transito

• [EC2.1] Gli snapshot di Amazon EBS non devono essere ripristinabili pubblicamente

• [EC2.4] Le EC2 istanze interrotte devono essere rimosse dopo un periodo di tempo specificato

• [EC2.8] EC2 le istanze devono utilizzare Instance Metadata Service versione 2 () IMDSv2

• [EC2.14] I gruppi di sicurezza non devono consentire l'accesso da 0.0.0.0/0 o: :/0 alla porta 3389

• [EC2.20] Entrambi i tunnel VPN per una connessione AWS Site-to-Site VPN dovrebbero essere attivi

• [EC2.22] I gruppi di EC2 sicurezza Amazon non utilizzati devono essere rimossi

• [EC2.23] Amazon EC2 Transit Gateways non dovrebbe accettare automaticamente le richieste di allegati VPC

• [EC2.24] I tipi di istanze EC2 paravirtuali di Amazon non devono essere utilizzati

• [EC2.55] VPCs deve essere configurato con un endpoint di interfaccia per l'API ECR

• [EC2.56] VPCs deve essere configurato con un endpoint di interfaccia per Docker Registry

• [EC2.57] VPCs deve essere configurato con un endpoint di interfaccia per Systems Manager

• [EC2.58] VPCs deve essere configurato con un endpoint di interfaccia per Systems Manager Incident Manager Contacts

• [EC2.60] VPCs deve essere configurato con un endpoint di interfaccia per Systems Manager Incident Manager

• [ECR.4] Gli archivi pubblici ECR devono essere etichettati

• I cluster [ElastiCache.1] ElastiCache (Redis OSS) devono avere i backup automatici abilitati

• [ElastiCache.7] ElastiCache i cluster non devono utilizzare il gruppo di sottoreti predefinito

• [ElasticBeanstalk.1] Gli ambienti Elastic Beanstalk dovrebbero avere la reportistica sullo stato avanzata abilitata

• [ElasticBeanstalk.2] Gli aggiornamenti della piattaforma gestita da Elastic Beanstalk devono essere abilitati

• [ELB.1] Application Load Balancer deve essere configurato per reindirizzare tutte le richieste HTTP a HTTPS

• [ELB.2] I sistemi Classic Load Balancer con listener SSL/HTTPS devono utilizzare un certificato fornito da AWS Certificate Manager

• [ELB.3] I listener Classic Load Balancer devono essere configurati con terminazione HTTPS o TLS

• [ELB.4] L'Application Load Balancer deve essere configurato per eliminare le intestazioni http non valide

• [ELB.6] Application, Gateway e Network Load Balancer devono avere la protezione da eliminazione abilitata

• [ELB.8] I Classic Load Balancer con listener SSL devono utilizzare una politica di sicurezza predefinita con una durata elevata AWS Config

• [ELB.16] Gli Application Load Balancer devono essere associati a un ACL web AWS WAF

• [EMR.1] I nodi primari del cluster Amazon EMR non devono avere indirizzi IP pubblici

• [FraudDetector.1] I tipi di entità Amazon Fraud Detector devono essere etichettati

• [FraudDetector.2] Le etichette di Amazon Fraud Detector devono essere etichettate

• [FraudDetector.3] I risultati di Amazon Fraud Detector devono essere etichettati

• [FraudDetector.4] Le variabili di Amazon Fraud Detector devono essere etichettate

• [GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati

• [IAM.4] La chiave di accesso utente root IAM non dovrebbe esistere

• [IAM.18] Assicurati che sia stato creato un ruolo di supporto per gestire gli incidenti con Supporto

• [IAM.21] Le policy gestite dai clienti IAM che create non dovrebbero consentire azioni jolly per i servizi

• [IAM.26] I certificati SSL/TLS scaduti gestiti in IAM devono essere rimossi

• [Inspector.3] La scansione del codice Amazon Inspector Lambda deve essere abilitata

• [IoT.1] i profili di AWS IoT Device Defender sicurezza devono essere etichettati

• [IoT.2] le azioni di AWS IoT Core mitigazione devono essere etichettate

• [IoT.3] le AWS IoT Core dimensioni devono essere etichettate

• gli AWS IoT Core autorizzatori [IoT.4] devono essere etichettati

• [IoT.5] gli alias dei AWS IoT Core ruoli devono essere etichettati

• [IoT.6] AWS IoT Core le politiche devono essere etichettate

• [Io TEvents .1] Gli input di AWS IoT Events devono essere etichettati

• [Io TEvents .2] I modelli di rilevatori AWS IoT Events devono essere etichettati

• [Io TEvents .3] I modelli di allarme AWS IoT Events devono essere etichettati

• [Io TSite Wise.1] I modelli di SiteWise asset AWS IoT devono essere etichettati

• [Io TSite Wise.2] Le SiteWise dashboard AWS IoT devono essere etichettate

• [Io TSite Wise.3] I SiteWise gateway AWS IoT devono essere etichettati

• [Io TSite Wise.4] I SiteWise portali AWS IoT devono essere etichettati

• [Io TSite Wise.5] I SiteWise progetti AWS IoT devono essere etichettati

• [Io TTwin Maker.1] I lavori di TwinMaker sincronizzazione AWS IoT devono essere etichettati

• [Io TTwin Maker.2] Gli spazi di TwinMaker lavoro AWS IoT devono essere etichettati

• [Io TTwin Maker.3] Le TwinMaker scene AWS IoT devono essere etichettate

• [Io TTwin Maker.4] Le TwinMaker entità AWS IoT devono essere etichettate

• [Io TWireless .1] I gruppi multicast AWS IoT Wireless devono essere etichettati

• [Io TWireless .2] I profili dei servizi AWS IoT Wireless devono essere etichettati

• [Io TWireless .3] Le attività AWS IOT FUOTA devono essere etichettate

• [IVS.1] Le coppie di chiavi di riproduzione IVS devono essere etichettate

• [IVS.2] Le configurazioni di registrazione IVS devono essere contrassegnate

• [IVS.3] I canali IVS devono essere etichettati

• [Keyspaces.1] Gli spazi chiave di Amazon Keyspaces devono essere etichettati

• [KMS.1] Le politiche gestite dai clienti di IAM non dovrebbero consentire azioni di decrittografia su tutte le chiavi KMS

• [KMS.2] I principali IAM non devono disporre di policy IAM in linea che consentano azioni di decrittografia su tutte le chiavi KMS

• [MSK.3] I connettori MSK Connect devono essere crittografati in transito

• [RDS.15] I cluster RDS DB devono essere configurati per più zone di disponibilità

• [RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati

• [RedshiftServerless.1] I gruppi di lavoro Serverless di Amazon Redshift devono utilizzare un routing VPC avanzato

• [Route53.1] I controlli sanitari della Route 53 devono essere etichettati

• [Route53.2] Le zone ospitate pubbliche di Route 53 devono registrare le query DNS

• [S3.24] I punti di accesso multiregionali S3 devono avere le impostazioni di blocco dell'accesso pubblico abilitate

• [SSM.2] EC2 Le istanze Amazon gestite da Systems Manager devono avere uno stato di conformità alla patch pari a COMPLIANT dopo l'installazione della patch

• [SSM.3] EC2 Le istanze Amazon gestite da Systems Manager devono avere uno stato di conformità dell'associazione pari a COMPLIANT

• [WAF.1] La registrazione AWS WAF classica Global Web ACL deve essere abilitata

• [WAF.3] I gruppi di regole regionali AWS WAF classici dovrebbero avere almeno una regola

• [WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione

• [WAF.7] I gruppi di regole globali AWS WAF classici dovrebbero avere almeno una regola

• [WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole

• [WAF.10] AWS WAF web ACLs dovrebbe avere almeno una regola o un gruppo di regole

• [WAF.11] La registrazione AWS WAF web ACL deve essere abilitata

• [WorkSpaces.1] i volumi WorkSpaces utente devono essere crittografati quando sono inattivi

• [WorkSpaces.2] i volumi WorkSpaces root devono essere crittografati quando sono inattivi

Asia Pacifico (Seoul)

I seguenti controlli non sono supportati nella regione Asia Pacifico (Seoul).

• [AppRunner.1] I servizi App Runner devono essere etichettati

• [AppRunner.2] I connettori VPC App Runner devono essere etichettati

• [AppSync.1] Le cache AWS AppSync delle API devono essere crittografate quando sono inattive

• [AppSync.6] Le cache delle AWS AppSync API devono essere crittografate in transito

• [CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato

• [CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito

• [CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine

• [CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata

• [CloudFront.6] le CloudFront distribuzioni devono avere WAF abilitato

• [CloudFront.7] le CloudFront distribuzioni devono utilizzare certificati SSL/TLS personalizzati

• [CloudFront.8] le CloudFront distribuzioni devono utilizzare SNI per soddisfare le richieste HTTPS

• [CloudFront.9] le CloudFront distribuzioni devono crittografare il traffico verso origini personalizzate

• [CloudFront.10] CloudFront le distribuzioni non devono utilizzare protocolli SSL obsoleti tra edge location e origini personalizzate

• [CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti

• [CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine

• [CloudFront.14] le distribuzioni devono essere etichettate CloudFront

• [CodeArtifact.1] i CodeArtifact repository devono essere etichettati

• [CodeGuruProfiler.1] I gruppi di CodeGuru profilazione Profiler devono essere etichettati

• [CodeGuruReviewer.1] Le associazioni dei repository dei CodeGuru revisori devono essere etichettate

• [DynamoDB.3] I cluster DynamoDB Accelerator (DAX) devono essere crittografati quando sono inattivi

• [DynamoDB.7] I cluster DynamoDB Accelerator devono essere crittografati in transito

• [EC2.24] I tipi di istanze EC2 paravirtuali di Amazon non devono essere utilizzati

• [ECR.4] Gli archivi pubblici ECR devono essere etichettati

• [FraudDetector.1] I tipi di entità Amazon Fraud Detector devono essere etichettati

• [FraudDetector.2] Le etichette di Amazon Fraud Detector devono essere etichettate

• [FraudDetector.3] I risultati di Amazon Fraud Detector devono essere etichettati

• [FraudDetector.4] Le variabili di Amazon Fraud Detector devono essere etichettate

• [GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati

• [Glue.4] I job AWS Glue Spark dovrebbero essere eseguiti su versioni supportate di AWS Glue

• [IAM.26] I certificati SSL/TLS scaduti gestiti in IAM devono essere rimossi

• [Inspector.3] La scansione del codice Amazon Inspector Lambda deve essere abilitata

• [Io TTwin Maker.4] Le TwinMaker entità AWS IoT devono essere etichettate

• [Io TWireless .1] I gruppi multicast AWS IoT Wireless devono essere etichettati

• [Io TWireless .2] I profili dei servizi AWS IoT Wireless devono essere etichettati

• [Io TWireless .3] Le attività AWS IOT FUOTA devono essere etichettate

• [RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati

• [Route53.1] I controlli sanitari della Route 53 devono essere etichettati

• [Route53.2] Le zone ospitate pubbliche di Route 53 devono registrare le query DNS

• [S3.24] I punti di accesso multiregionali S3 devono avere le impostazioni di blocco dell'accesso pubblico abilitate

• [WAF.1] La registrazione AWS WAF classica Global Web ACL deve essere abilitata

• [WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione

• [WAF.7] I gruppi di regole globali AWS WAF classici dovrebbero avere almeno una regola

• [WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole

Asia Pacifico (Singapore)

I seguenti controlli non sono supportati nella regione Asia Pacifico (Singapore).

• [AppSync.1] Le cache AWS AppSync delle API devono essere crittografate quando sono inattive

• [AppSync.6] Le cache delle AWS AppSync API devono essere crittografate in transito

• [CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato

• [CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito

• [CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine

• [CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata

• [CloudFront.6] le CloudFront distribuzioni devono avere WAF abilitato

• [CloudFront.7] le CloudFront distribuzioni devono utilizzare certificati SSL/TLS personalizzati

• [CloudFront.8] le CloudFront distribuzioni devono utilizzare SNI per soddisfare le richieste HTTPS

• [CloudFront.9] le CloudFront distribuzioni devono crittografare il traffico verso origini personalizzate

• [CloudFront.10] CloudFront le distribuzioni non devono utilizzare protocolli SSL obsoleti tra edge location e origini personalizzate

• [CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti

• [CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine

• [CloudFront.14] le distribuzioni devono essere etichettate CloudFront

• [ECR.4] Gli archivi pubblici ECR devono essere etichettati

• [GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati

• [IAM.26] I certificati SSL/TLS scaduti gestiti in IAM devono essere rimossi

• [Io TWireless .1] I gruppi multicast AWS IoT Wireless devono essere etichettati

• [Io TWireless .2] I profili dei servizi AWS IoT Wireless devono essere etichettati

• [Io TWireless .3] Le attività AWS IOT FUOTA devono essere etichettate

• [IVS.1] Le coppie di chiavi di riproduzione IVS devono essere etichettate

• [IVS.2] Le configurazioni di registrazione IVS devono essere contrassegnate

• [IVS.3] I canali IVS devono essere etichettati

• [Route53.1] I controlli sanitari della Route 53 devono essere etichettati

• [Route53.2] Le zone ospitate pubbliche di Route 53 devono registrare le query DNS

• [S3.24] I punti di accesso multiregionali S3 devono avere le impostazioni di blocco dell'accesso pubblico abilitate

• [WAF.1] La registrazione AWS WAF classica Global Web ACL deve essere abilitata

• [WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione

• [WAF.7] I gruppi di regole globali AWS WAF classici dovrebbero avere almeno una regola

• [WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole

Asia Pacifico (Sydney)

I seguenti controlli non sono supportati nella regione Asia Pacifico (Sydney).

• [AppSync.1] Le cache AWS AppSync delle API devono essere crittografate quando sono inattive

• [AppSync.6] Le cache delle AWS AppSync API devono essere crittografate in transito

• [CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato

• [CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito

• [CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine

• [CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata

• [CloudFront.6] le CloudFront distribuzioni devono avere WAF abilitato

• [CloudFront.7] le CloudFront distribuzioni devono utilizzare certificati SSL/TLS personalizzati

• [CloudFront.8] le CloudFront distribuzioni devono utilizzare SNI per soddisfare le richieste HTTPS

• [CloudFront.9] le CloudFront distribuzioni devono crittografare il traffico verso origini personalizzate

• [CloudFront.10] CloudFront le distribuzioni non devono utilizzare protocolli SSL obsoleti tra edge location e origini personalizzate

• [CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti

• [CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine

• [CloudFront.14] le distribuzioni devono essere etichettate CloudFront

• [ECR.4] Gli archivi pubblici ECR devono essere etichettati

• [GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati

• [IAM.26] I certificati SSL/TLS scaduti gestiti in IAM devono essere rimossi

• [IVS.1] Le coppie di chiavi di riproduzione IVS devono essere etichettate

• [IVS.2] Le configurazioni di registrazione IVS devono essere contrassegnate

• [IVS.3] I canali IVS devono essere etichettati

• [Route53.1] I controlli sanitari della Route 53 devono essere etichettati

• [Route53.2] Le zone ospitate pubbliche di Route 53 devono registrare le query DNS

• [S3.24] I punti di accesso multiregionali S3 devono avere le impostazioni di blocco dell'accesso pubblico abilitate

• [WAF.1] La registrazione AWS WAF classica Global Web ACL deve essere abilitata

• [WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione

• [WAF.7] I gruppi di regole globali AWS WAF classici dovrebbero avere almeno una regola

• [WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole

Asia Pacifico (Tailandia)

I seguenti controlli non sono supportati nella regione Asia Pacifico (Tailandia).

• [ACM.1] I certificati importati ed emessi da ACM devono essere rinnovati dopo un periodo di tempo specificato

• [ACM.2] I certificati RSA gestiti da ACM devono utilizzare una lunghezza di chiave di almeno 2.048 bit

• [ACM.3] I certificati ACM devono essere etichettati

• [Account.1] Le informazioni di contatto di sicurezza devono essere fornite per un Account AWS

• [Account.2] Account AWS deve far parte di un'organizzazione AWS Organizations

• [APIGateway.1] API Gateway REST e la registrazione dell'esecuzione dell' WebSocket API devono essere abilitati

• [APIGateway.2] Le fasi API REST di API Gateway devono essere configurate per utilizzare i certificati SSL per l'autenticazione del backend

• [APIGateway.3] Le fasi API REST di API Gateway devono avere la AWS X-Ray traccia abilitata

• [APIGateway.4] API Gateway deve essere associato a un ACL Web WAF

• [APIGateway.5] I dati della cache dell'API REST di API Gateway devono essere crittografati quando sono inattivi

• [APIGateway.8] Le rotte API Gateway devono specificare un tipo di autorizzazione

• [APIGateway.9] La registrazione degli accessi deve essere configurata per API Gateway V2 Stages

• [AppConfig.1] AWS AppConfig le applicazioni devono essere etichettate

• [AppConfig.2] i profili AWS AppConfig di configurazione devono essere etichettati

• [AppConfig.3] AWS AppConfig gli ambienti devono essere etichettati

• [AppConfig.4] le associazioni di AWS AppConfig estensioni devono essere etichettate

• [AppFlow.1] I AppFlow flussi Amazon devono essere etichettati

• [AppRunner.1] I servizi App Runner devono essere etichettati

• [AppRunner.2] I connettori VPC App Runner devono essere etichettati

• [AppSync.1] Le cache AWS AppSync delle API devono essere crittografate quando sono inattive

• [AppSync.2] AWS AppSync dovrebbe avere la registrazione a livello di campo abilitata

• [AppSync.4] AWS AppSync APIs GraphQL dovrebbe essere taggato

• [AppSync.5] AWS AppSync APIs GraphQL non deve essere autenticato con chiavi API

• [AppSync.6] Le cache delle AWS AppSync API devono essere crittografate in transito

• [Athena.2] I cataloghi di dati Athena devono essere etichettati

• [Athena.3] I gruppi di lavoro Athena devono essere etichettati

• [Athena.4] I gruppi di lavoro Athena devono avere la registrazione abilitata

• [AutoScaling.1] I gruppi di Auto Scaling associati a un sistema di bilanciamento del carico devono utilizzare i controlli di integrità ELB

• [AutoScaling.2] Il gruppo Amazon EC2 Auto Scaling dovrebbe coprire più zone di disponibilità

• [AutoScaling.3] Le configurazioni di avvio del gruppo Auto Scaling devono EC2 configurare le istanze in modo da richiedere Instance Metadata Service versione 2 () IMDSv2

• [AutoScaling.6] I gruppi di Auto Scaling devono utilizzare più tipi di istanze in più zone di disponibilità

• [AutoScaling.9] I gruppi Amazon EC2 Auto Scaling devono utilizzare i modelli di lancio di Amazon EC2

• [AutoScaling.10] I gruppi EC2 Auto Scaling devono essere etichettati

• [Autoscaling.5] Le istanze EC2 Amazon avviate utilizzando le configurazioni di avvio del gruppo Auto Scaling non devono avere indirizzi IP pubblici

• [Backup.1] i punti di AWS Backup ripristino devono essere crittografati a riposo

• [Backup.2] i punti di AWS Backup ripristino devono essere etichettati

• I AWS Backup vault [Backup.3] devono essere etichettati

• [Backup.4] i piani di AWS Backup report devono essere etichettati

• [Backup.5] i piani di AWS Backup backup devono essere etichettati

• [Batch.1] Le code di processi in batch devono essere etichettate

• [Batch.2] Le politiche di pianificazione dei batch devono essere etichettate

• [Batch.3] Gli ambienti di calcolo in batch devono essere etichettati

• [CloudFormation.2] CloudFormation gli stack devono essere etichettati

• [CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato

• [CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito

• [CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine

• [CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata

• [CloudFront.6] le CloudFront distribuzioni devono avere WAF abilitato

• [CloudFront.7] le CloudFront distribuzioni devono utilizzare certificati SSL/TLS personalizzati

• [CloudFront.8] le CloudFront distribuzioni devono utilizzare SNI per soddisfare le richieste HTTPS

• [CloudFront.9] le CloudFront distribuzioni devono crittografare il traffico verso origini personalizzate

• [CloudFront.10] CloudFront le distribuzioni non devono utilizzare protocolli SSL obsoleti tra edge location e origini personalizzate

• [CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti

• [CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine

• [CloudFront.14] le distribuzioni devono essere etichettate CloudFront

• [CloudTrail.6] Assicurati che il bucket S3 utilizzato per archiviare i log non sia accessibile al pubblico CloudTrail

• [CloudTrail.7] Assicurati che la registrazione degli accessi al bucket S3 sia abilitata sul bucket S3 CloudTrail

• [CloudTrail.9] i percorsi devono essere etichettati CloudTrail

• [CloudWatch.17] le azioni di CloudWatch allarme devono essere attivate

• [CodeArtifact.1] i CodeArtifact repository devono essere etichettati

• [CodeBuild.1] L'archivio sorgente di CodeBuild Bitbucket non URLs deve contenere credenziali sensibili

• [CodeBuild.2] Le variabili di ambiente CodeBuild del progetto non devono contenere credenziali in chiaro

• [CodeBuild.3] I log CodeBuild S3 devono essere crittografati

• [CodeBuild.4] Gli ambienti di CodeBuild progetto devono avere una durata di registrazione AWS Config

• [CodeBuild.7] Le esportazioni dei gruppi di CodeBuild report devono essere crittografate quando sono inattive

• [CodeGuruProfiler.1] I gruppi di CodeGuru profilazione Profiler devono essere etichettati

• [CodeGuruReviewer.1] Le associazioni dei repository dei CodeGuru revisori devono essere etichettate

• [Cognito.1] I pool di utenti di Cognito dovrebbero avere la protezione dalle minacce attivata con la modalità di imposizione completa delle funzioni per l'autenticazione standard

• [Connect.1] I tipi di oggetto Amazon Connect Customer Profiles devono essere etichettati

• [DataFirehose.1] I flussi di distribuzione di Firehose devono essere crittografati quando sono inattivi

• [DataSync.1] DataSync le attività devono avere la registrazione abilitata

• [Detective.1] I grafici del comportamento dei Detective devono essere etichettati

• [DMS.1] Le istanze di replica del Database Migration Service non devono essere pubbliche

• [DMS.2] I certificati DMS devono essere etichettati

• [DMS.3] Le sottoscrizioni agli eventi DMS devono essere contrassegnate

• [DMS.4] Le istanze di replica DMS devono essere contrassegnate

• [DMS.5] I gruppi di sottoreti di replica DMS devono essere etichettati

• [DMS.6] Le istanze di replica DMS devono avere l'aggiornamento automatico delle versioni secondarie abilitato

• [DMS.7] Le attività di replica DMS per il database di destinazione devono avere la registrazione abilitata

• [DMS.8] Le attività di replica DMS per il database di origine devono avere la registrazione abilitata

• [DMS.9] Gli endpoint DMS devono utilizzare SSL

• [DMS.10] Gli endpoint DMS per i database Neptune devono avere l'autorizzazione IAM abilitata

• [DMS.11] Gli endpoint DMS per MongoDB devono avere un meccanismo di autenticazione abilitato

• [DMS.12] Gli endpoint DMS per Redis OSS devono avere TLS abilitato

• [DocumentDB.1] I cluster Amazon DocumentDB devono essere crittografati quando sono inattivi

• [DocumentDB.2] I cluster Amazon DocumentDB devono avere un periodo di conservazione dei backup adeguato

• [DocumentDB.3] Le istantanee manuali dei cluster di Amazon DocumentDB non devono essere pubbliche

• [DocumentDB.4] I cluster Amazon DocumentDB devono pubblicare i log di controllo su Logs CloudWatch

• [DocumentDB.5] I cluster Amazon DocumentDB devono avere la protezione da eliminazione abilitata

• [DynamoDB.3] I cluster DynamoDB Accelerator (DAX) devono essere crittografati quando sono inattivi

• [DynamoDB.4] Le tabelle DynamoDB devono essere presenti in un piano di backup

• [DynamoDB.5] Le tabelle DynamoDB devono essere etichettate

• [DynamoDB.6] Le tabelle DynamoDB devono avere la protezione da eliminazione abilitata

• [DynamoDB.7] I cluster DynamoDB Accelerator devono essere crittografati in transito

• [EC2.4] Le EC2 istanze interrotte devono essere rimosse dopo un periodo di tempo specificato

• [EC2.10] Amazon EC2 deve essere configurato per utilizzare gli endpoint VPC creati per il servizio Amazon EC2

• [EC2.19] I gruppi di sicurezza non devono consentire l'accesso illimitato alle porte ad alto rischio

• [EC2.21] La rete non ACLs dovrebbe consentire l'ingresso dalla porta 0.0.0.0/0 alla porta 22 o alla porta 3389

• [EC2.22] I gruppi di EC2 sicurezza Amazon non utilizzati devono essere rimossi

• [EC2.23] Amazon EC2 Transit Gateways non dovrebbe accettare automaticamente le richieste di allegati VPC

• [EC2.24] I tipi di istanze EC2 paravirtuali di Amazon non devono essere utilizzati

• [EC2.25] I modelli di EC2 lancio di Amazon non devono assegnare interfacce IPs di rete pubbliche

• [EC2.28] I volumi EBS devono essere coperti da un piano di backup

• [EC2.33] Gli allegati di EC2 Transit Gateway devono essere etichettati

• [EC2.34] Le tabelle delle rotte dei gateway di EC2 transito devono essere etichettate

• [EC2.35] le interfacce EC2 di rete devono essere etichettate

• [EC2.36] I gateway per i EC2 clienti devono essere etichettati

• [EC2.37] Gli indirizzi IP EC2 elastici devono essere etichettati

• [EC2.38] EC2 le istanze devono essere etichettate

• [EC2.39] i gateway EC2 Internet devono essere etichettati

• [EC2.40] I gateway EC2 NAT devono essere etichettati

• [EC2.41] la EC2 rete ACLs deve essere etichettata

• [EC2.42] le tabelle delle EC2 rotte devono essere etichettate

• [EC2.43] i gruppi EC2 di sicurezza devono essere etichettati

• [EC24.4] le EC2 sottoreti devono essere etichettate

• [EC2.45] i EC2 volumi devono essere etichettati

• [EC2.46] Amazon VPCs dovrebbe essere taggato

• [EC2.47] I servizi endpoint Amazon VPC devono essere etichettati

• [EC2.48] I log di flusso di Amazon VPC devono essere etichettati

• [EC2.49] Le connessioni peering Amazon VPC devono essere etichettate

• [EC2.50] I gateway EC2 VPN devono essere etichettati

• [EC2.51] Gli endpoint EC2 Client VPN devono avere la registrazione delle connessioni client abilitata

• [EC2.52] i gateway di EC2 transito devono essere etichettati

• [EC2.53] i gruppi EC2 di sicurezza non dovrebbero consentire l'accesso da 0.0.0.0/0 alle porte di amministrazione remota del server

• [EC2.54] i gruppi EC2 di sicurezza non dovrebbero consentire l'accesso da: :/0 alle porte di amministrazione remota del server

• [EC2.55] VPCs deve essere configurato con un endpoint di interfaccia per l'API ECR

• [EC2.56] VPCs deve essere configurato con un endpoint di interfaccia per Docker Registry

• [EC2.57] VPCs deve essere configurato con un endpoint di interfaccia per Systems Manager

• [EC2.58] VPCs deve essere configurato con un endpoint di interfaccia per Systems Manager Incident Manager Contacts

• [EC2.60] VPCs deve essere configurato con un endpoint di interfaccia per Systems Manager Incident Manager

• [EC2.170] i modelli di EC2 avvio devono utilizzare Instance Metadata Service Version 2 () IMDSv2

• [EC2.171] Le connessioni EC2 VPN devono avere la registrazione abilitata

• [EC2.172] Le impostazioni EC2 VPC Block Public Access dovrebbero bloccare il traffico del gateway Internet

• [ECR.1] Gli archivi privati ECR devono avere la scansione delle immagini configurata

• [ECR.2] I repository privati ECR devono avere l'immutabilità dei tag configurata

• [ECR.3] I repository ECR devono avere almeno una politica del ciclo di vita configurata

• [ECR.4] Gli archivi pubblici ECR devono essere etichettati

• [ECS.1] Le definizioni delle attività di Amazon ECS devono avere modalità di rete e definizioni utente sicure.

• [ECS.2] Ai servizi ECS non devono essere assegnati automaticamente indirizzi IP pubblici

• [ECS.3] Le definizioni delle attività ECS non devono condividere lo spazio dei nomi dei processi dell'host

• [ECS.4] I contenitori ECS devono essere eseguiti come non privilegiati

• [ECS.5] I contenitori ECS devono essere limitati all'accesso in sola lettura ai filesystem root

• [ECS.8] I segreti non devono essere passati come variabili di ambiente del contenitore

• [ECS.9] Le definizioni delle attività ECS devono avere una configurazione di registrazione

• [ECS.10] I servizi ECS Fargate devono essere eseguiti sulla versione più recente della piattaforma Fargate

• [ECS.12] I cluster ECS devono utilizzare Container Insights

• [ECS.13] I servizi ECS devono essere etichettati

• [ECS.14] I cluster ECS devono essere etichettati

• [ECS.15] Le definizioni delle attività ECS devono essere etichettate

• [ECS.16] I set di attività ECS non devono assegnare automaticamente indirizzi IP pubblici

• [EFS.1] Elastic File System deve essere configurato per crittografare i dati dei file inattivi utilizzando AWS KMS

• [EFS.2] I volumi Amazon EFS devono essere inclusi nei piani di backup

• [EFS.3] I punti di accesso EFS devono applicare una directory principale

• [EFS.4] I punti di accesso EFS devono applicare un'identità utente

• [EFS.5] I punti di accesso EFS devono essere etichettati

• [EFS.6] I target di montaggio EFS non devono essere associati a una sottorete pubblica

• [EFS.7] I file system EFS devono avere i backup automatici abilitati

• [EFS.8] I file system EFS devono essere crittografati quando sono inattivi

• [EKS.1] Gli endpoint del cluster EKS non dovrebbero essere accessibili al pubblico

• [EKS.2] I cluster EKS devono essere eseguiti su una versione Kubernetes supportata

• [EKS.3] I cluster EKS devono utilizzare segreti Kubernetes crittografati

• [EKS.6] I cluster EKS devono essere etichettati

• [EKS.7] Le configurazioni dei provider di identità EKS devono essere contrassegnate

• [EKS.8] I cluster EKS devono avere la registrazione di controllo abilitata

• [ELB.2] I sistemi Classic Load Balancer con listener SSL/HTTPS devono utilizzare un certificato fornito da AWS Certificate Manager

• [ELB.3] I listener Classic Load Balancer devono essere configurati con terminazione HTTPS o TLS

• [ELB.7] I Classic Load Balancer devono avere il drenaggio della connessione abilitato

• [ELB.8] I Classic Load Balancer con listener SSL devono utilizzare una politica di sicurezza predefinita con una durata elevata AWS Config

• [ELB.10] Classic Load Balancer dovrebbe estendersi su più zone di disponibilità

• [ELB.12] Application Load Balancer deve essere configurato con la modalità di mitigazione della desincronizzazione difensiva o più rigorosa

• [ELB.13] I Load Balancer per applicazioni, reti e gateway devono estendersi su più zone di disponibilità

• [ELB.14] Classic Load Balancer deve essere configurato con la modalità di mitigazione della desincronizzazione difensiva o più rigorosa

• [ELB.16] Gli Application Load Balancer devono essere associati a un ACL web AWS WAF

• I cluster [ElastiCache.1] ElastiCache (Redis OSS) devono avere i backup automatici abilitati

• [ElastiCache.2] i ElastiCache cluster dovrebbero avere gli aggiornamenti automatici delle versioni secondarie abilitati

• [ElastiCache.3] i gruppi di ElastiCache replica devono avere il failover automatico abilitato

• [ElastiCache.4] i gruppi di ElastiCache replica devono essere crittografati quando sono inattivi

• [ElastiCache.5] i gruppi di ElastiCache replica devono essere crittografati in transito

• [ElastiCache.6] ElastiCache (Redis OSS) i gruppi di replica delle versioni precedenti devono avere Redis OSS AUTH abilitato

• [ElastiCache.7] ElastiCache i cluster non devono utilizzare il gruppo di sottoreti predefinito

• [ElasticBeanstalk.1] Gli ambienti Elastic Beanstalk dovrebbero avere la reportistica sullo stato avanzata abilitata

• [ElasticBeanstalk.2] Gli aggiornamenti della piattaforma gestita da Elastic Beanstalk devono essere abilitati

• [ElasticBeanstalk.3] Elastic Beanstalk dovrebbe trasmettere i log a CloudWatch

• [EMR.1] I nodi primari del cluster Amazon EMR non devono avere indirizzi IP pubblici

• [EMR.2] L'impostazione di accesso pubblico a blocchi di Amazon EMR deve essere abilitata

• [EMR.3] Le configurazioni di sicurezza di Amazon EMR devono essere crittografate quando sono inattive

• [EMR.4] Le configurazioni di sicurezza di Amazon EMR devono essere crittografate in transito

• [ES.1] I domini Elasticsearch devono avere la crittografia a riposo abilitata

• [ES.2] I domini Elasticsearch non devono essere accessibili al pubblico

• [ES.3] I domini Elasticsearch devono crittografare i dati inviati tra i nodi

• [ES.4] La registrazione degli errori del dominio Elasticsearch nei log deve essere abilitata CloudWatch

• [ES.5] I domini Elasticsearch devono avere la registrazione di controllo abilitata

• [ES.6] I domini Elasticsearch devono avere almeno tre nodi di dati

• [ES.7] I domini Elasticsearch devono essere configurati con almeno tre nodi master dedicati

• [ES.8] Le connessioni ai domini Elasticsearch devono essere crittografate utilizzando la più recente politica di sicurezza TLS

• [ES.9] I domini Elasticsearch devono essere etichettati

• [EventBridge.2] i bus EventBridge degli eventi devono essere etichettati

• [EventBridge.3] i bus di eventi EventBridge personalizzati devono avere una politica basata sulle risorse allegata

• [EventBridge.4] EventBridge gli endpoint globali dovrebbero avere la replica degli eventi abilitata

• [FraudDetector.1] I tipi di entità Amazon Fraud Detector devono essere etichettati

• [FraudDetector.2] Le etichette di Amazon Fraud Detector devono essere etichettate

• [FraudDetector.3] I risultati di Amazon Fraud Detector devono essere etichettati

• [FraudDetector.4] Le variabili di Amazon Fraud Detector devono essere etichettate

• [FSx.1] FSx per i file system OpenZFS deve essere configurato per copiare i tag su backup e volumi

• [FSx.2] FSx per i file system Lustre devono essere configurati per copiare i tag nei backup

• [GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati

• [Glue.1] i AWS Glue lavori devono essere etichettati

• [Glue.3] le trasformazioni di apprendimento AWS Glue automatico devono essere crittografate a riposo

• [GuardDuty.1] GuardDuty dovrebbe essere abilitato

• [GuardDuty.2] GuardDuty i filtri devono essere etichettati

• [GuardDuty.3] GuardDuty IPSets deve essere taggato

• [GuardDuty.4] i GuardDuty rilevatori devono essere etichettati

• [GuardDuty.5] GuardDuty EKS Audit Log Monitoring deve essere abilitato

• [GuardDuty.6] La protezione GuardDuty Lambda deve essere abilitata

• [GuardDuty.7] GuardDuty EKS Runtime Monitoring deve essere abilitato

• [GuardDuty.8] La protezione GuardDuty da malware per EC2 deve essere abilitata

• [GuardDuty.9] La protezione GuardDuty RDS deve essere abilitata

• [GuardDuty.10] La protezione GuardDuty S3 deve essere abilitata

• [IAM.1] Le politiche IAM non dovrebbero consentire privilegi amministrativi «*» completi

• [IAM.2] Gli utenti IAM non devono avere policy IAM allegate

• [IAM.3] Le chiavi di accesso degli utenti IAM devono essere ruotate ogni 90 giorni o meno

• [IAM.4] La chiave di accesso utente root IAM non dovrebbe esistere

• [IAM.5] MFA deve essere abilitata per tutti gli utenti IAM che dispongono di una password della console

• [IAM.6] L'autenticazione MFA per l'hardware deve essere abilitata per l'utente root

• [IAM.7] Le politiche relative alle password per gli utenti IAM devono avere configurazioni avanzate

• [IAM.8] Le credenziali utente IAM non utilizzate devono essere rimosse

• [IAM.9] L'MFA deve essere abilitata per l'utente root

• [IAM.10] Le politiche relative alle password per gli utenti IAM dovrebbero avere durate elevate AWS Config

• [IAM.11] Assicurati che la politica delle password IAM richieda almeno una lettera maiuscola

• [IAM.12] Assicurati che la politica delle password IAM richieda almeno una lettera minuscola

• [IAM.13] Assicurati che la politica delle password IAM richieda almeno un simbolo

• [IAM.14] Assicurati che la politica delle password IAM richieda almeno un numero

• [IAM.15] Assicurati che la politica delle password di IAM richieda una lunghezza minima della password pari o superiore a 14

• [IAM.16] Assicurati che la politica delle password di IAM impedisca il riutilizzo delle password

• [IAM.17] Assicurati che la policy sulle password di IAM faccia scadere le password entro 90 giorni o meno

• [IAM.18] Assicurati che sia stato creato un ruolo di supporto per gestire gli incidenti con Supporto

• [IAM.19] L'MFA deve essere abilitata per tutti gli utenti IAM

• [IAM.21] Le policy gestite dai clienti IAM che create non dovrebbero consentire azioni jolly per i servizi

• [IAM.22] Le credenziali utente IAM non utilizzate per 45 giorni devono essere rimosse

• [IAM.23] Gli analizzatori IAM Access Analyzer devono essere etichettati

• [IAM.24] I ruoli IAM devono essere etichettati

• [IAM.25] Gli utenti IAM devono essere etichettati

• [IAM.26] I certificati SSL/TLS scaduti gestiti in IAM devono essere rimossi

• [IAM.27] Le identità IAM non devono avere la policy allegata AWSCloud ShellFullAccess

• [IAM.28] L'analizzatore di accesso esterno IAM Access Analyzer deve essere abilitato

• [Inspector.1] La scansione di Amazon Inspector deve essere abilitata EC2

• [Inspector.2] La scansione ECR di Amazon Inspector deve essere abilitata

• [Inspector.3] La scansione del codice Amazon Inspector Lambda deve essere abilitata

• [Inspector.4] La scansione standard di Amazon Inspector Lambda deve essere abilitata

• [IoT.1] i profili di AWS IoT Device Defender sicurezza devono essere etichettati

• [IoT.2] le azioni di AWS IoT Core mitigazione devono essere etichettate

• [IoT.3] le AWS IoT Core dimensioni devono essere etichettate

• gli AWS IoT Core autorizzatori [IoT.4] devono essere etichettati

• [IoT.5] gli alias dei AWS IoT Core ruoli devono essere etichettati

• [IoT.6] AWS IoT Core le politiche devono essere etichettate

• [Io TEvents .1] Gli input di AWS IoT Events devono essere etichettati

• [Io TEvents .2] I modelli di rilevatori AWS IoT Events devono essere etichettati

• [Io TEvents .3] I modelli di allarme AWS IoT Events devono essere etichettati

• [Io TSite Wise.1] I modelli di SiteWise asset AWS IoT devono essere etichettati

• [Io TSite Wise.2] Le SiteWise dashboard AWS IoT devono essere etichettate

• [Io TSite Wise.3] I SiteWise gateway AWS IoT devono essere etichettati

• [Io TSite Wise.4] I SiteWise portali AWS IoT devono essere etichettati

• [Io TSite Wise.5] I SiteWise progetti AWS IoT devono essere etichettati

• [Io TTwin Maker.1] I lavori di TwinMaker sincronizzazione AWS IoT devono essere etichettati

• [Io TTwin Maker.2] Gli spazi di TwinMaker lavoro AWS IoT devono essere etichettati

• [Io TTwin Maker.3] Le TwinMaker scene AWS IoT devono essere etichettate

• [Io TTwin Maker.4] Le TwinMaker entità AWS IoT devono essere etichettate

• [Io TWireless .1] I gruppi multicast AWS IoT Wireless devono essere etichettati

• [Io TWireless .2] I profili dei servizi AWS IoT Wireless devono essere etichettati

• [Io TWireless .3] Le attività AWS IOT FUOTA devono essere etichettate

• [IVS.1] Le coppie di chiavi di riproduzione IVS devono essere etichettate

• [IVS.2] Le configurazioni di registrazione IVS devono essere contrassegnate

• [IVS.3] I canali IVS devono essere etichettati

• [Keyspaces.1] Gli spazi chiave di Amazon Keyspaces devono essere etichettati

• [Kinesis.1] Gli stream Kinesis devono essere crittografati quando sono inattivi

• [Kinesis.2] Gli stream Kinesis devono essere etichettati

• [Kinesis.3] I flussi Kinesis devono avere un periodo di conservazione dei dati adeguato

• [KMS.1] Le politiche gestite dai clienti di IAM non dovrebbero consentire azioni di decrittografia su tutte le chiavi KMS

• [KMS.2] I principali IAM non devono disporre di policy IAM in linea che consentano azioni di decrittografia su tutte le chiavi KMS

• [KMS.3] AWS KMS keys non deve essere eliminato involontariamente

• [KMS.5] Le chiavi KMS non devono essere accessibili al pubblico

• [Lambda.5] Le funzioni VPC Lambda devono funzionare in più zone di disponibilità

• [Lambda.6] Le funzioni Lambda devono essere etichettate

• [Macie.1] Amazon Macie dovrebbe essere abilitato

• [Macie.2] Il rilevamento automatico dei dati sensibili di Macie deve essere abilitato

• [MQ.2] I broker ActiveMQ devono trasmettere i log di controllo a CloudWatch

• [MQ.3] I broker Amazon MQ dovrebbero avere abilitato l'aggiornamento automatico delle versioni secondarie

• [MQ.4] I broker Amazon MQ devono essere etichettati

• [MQ.5] I broker ActiveMQ devono utilizzare la modalità di distribuzione attiva/standby

• [MQ.6] I broker RabbitMQ dovrebbero utilizzare la modalità di distribuzione del cluster

• [MSK.1] I cluster MSK devono essere crittografati durante il transito tra i nodi del broker

• [MSK.2] I cluster MSK dovrebbero avere configurato un monitoraggio avanzato

• [MSK.3] I connettori MSK Connect devono essere crittografati in transito

• [Neptune.1] I cluster Neptune DB devono essere crittografati a riposo

• [Neptune.2] I cluster Neptune DB devono pubblicare i log di controllo su Logs CloudWatch

• [Neptune.3] Le istantanee del cluster Neptune DB non devono essere pubbliche

• [Neptune.4] I cluster Neptune DB devono avere la protezione da eliminazione abilitata

• [Neptune.5] I cluster Neptune DB devono avere i backup automatici abilitati

• [Neptune.6] Le istantanee del cluster Neptune DB devono essere crittografate quando sono inattive

• [Neptune.7] I cluster Neptune DB devono avere l'autenticazione del database IAM abilitata

• [Neptune.8] I cluster Neptune DB devono essere configurati per copiare i tag nelle istantanee

• [Neptune.9] I cluster Neptune DB devono essere distribuiti su più zone di disponibilità

• [NetworkFirewall.1] I firewall Network Firewall devono essere distribuiti su più zone di disponibilità

• [NetworkFirewall.2] La registrazione del Network Firewall deve essere abilitata

• [NetworkFirewall.3] Le policy di Network Firewall devono avere almeno un gruppo di regole associato

• [NetworkFirewall.4] L'azione stateless predefinita per le policy del Network Firewall dovrebbe essere drop or forward per pacchetti completi

• [NetworkFirewall.5] L'azione stateless predefinita per le policy del Network Firewall dovrebbe essere drop or forward per i pacchetti frammentati

• [NetworkFirewall.6] Il gruppo di regole Stateless Network Firewall non deve essere vuoto

• [NetworkFirewall.7] I firewall Network Firewall devono essere etichettati

• [NetworkFirewall.8] Le politiche firewall di Network Firewall devono essere etichettate

• [NetworkFirewall.9] I firewall Network Firewall devono avere la protezione da eliminazione abilitata

• I OpenSearch domini [Opensearch.1] devono avere la crittografia a riposo abilitata

• I OpenSearch domini [Opensearch.2] non devono essere accessibili al pubblico

• I OpenSearch domini [Opensearch.3] devono crittografare i dati inviati tra i nodi

• La registrazione degli errori del OpenSearch dominio [Opensearch.4] nei log dovrebbe essere abilitata CloudWatch

• I OpenSearch domini [Opensearch.5] devono avere la registrazione di controllo abilitata

• I OpenSearch domini [Opensearch.6] devono avere almeno tre nodi di dati

• I OpenSearch domini [Opensearch.7] devono avere un controllo degli accessi granulare abilitato

• [Opensearch.8] Le connessioni ai OpenSearch domini devono essere crittografate utilizzando la più recente politica di sicurezza TLS

• I OpenSearch domini [Opensearch.9] devono essere etichettati

• Nei OpenSearch domini [Opensearch.10] deve essere installato l'ultimo aggiornamento software

• I OpenSearch domini [Opensearch.11] devono avere almeno tre nodi primari dedicati

• L'autorità di certificazione AWS Private CA principale [PCA.1] deve essere disabilitata

• [PCA.2] Le autorità di certificazione CA AWS private devono essere etichettate

• [RDS.14] I cluster Amazon Aurora devono avere il backtracking abilitato

• [RDS.16] I cluster RDS DB devono essere configurati per copiare i tag nelle istantanee

• [RDS.17] Le istanze DB RDS devono essere configurate per copiare i tag nelle istantanee

• [RDS.18] Le istanze RDS devono essere distribuite in un VPC

• [RDS.19] Le sottoscrizioni esistenti per le notifiche di eventi RDS devono essere configurate per gli eventi critici del cluster

• [RDS.20] Le sottoscrizioni di notifica degli eventi RDS esistenti devono essere configurate per gli eventi critici delle istanze di database

• [RDS.21] È necessario configurare un abbonamento alle notifiche di eventi RDS per gli eventi critici del gruppo di parametri del database

• [RDS.22] È necessario configurare un abbonamento alle notifiche di eventi RDS per gli eventi critici dei gruppi di sicurezza del database

• [RDS.23] Le istanze RDS non devono utilizzare una porta predefinita del motore di database

• [RDS.24] I cluster di database RDS devono utilizzare un nome utente di amministratore personalizzato

• [RDS.25] Le istanze del database RDS devono utilizzare un nome utente amministratore personalizzato

• [RDS.26] Le istanze DB RDS devono essere protette da un piano di backup

• [RDS.27] I cluster RDS DB devono essere crittografati quando sono inattivi

• [RDS.28] I cluster RDS DB devono essere etichettati

• [RDS.29] Gli snapshot del cluster RDS DB devono essere etichettati

• [RDS.30] Le istanze DB RDS devono essere etichettate

• [RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati

• [RDS.32] Gli snapshot RDS DB devono essere etichettati

• [RDS.33] I gruppi di sottoreti RDS DB devono essere etichettati

• [RDS.34] I cluster Aurora MySQL DB devono pubblicare i log di controllo nei registri CloudWatch

• [RDS.35] Nei cluster RDS DB deve essere abilitato l'aggiornamento automatico delle versioni secondarie

• [RDS.36] Le istanze DB di RDS per PostgreSQL devono pubblicare i log nei log CloudWatch

• [RDS.37] I cluster Aurora PostgreSQL DB devono pubblicare i log nei log CloudWatch

• [RDS.38] Le istanze DB di RDS per PostgreSQL devono essere crittografate in transito

• [RDS.39] Le istanze DB di RDS per MySQL devono essere crittografate in transito

• [Redshift.1] I cluster Amazon Redshift dovrebbero vietare l'accesso pubblico

• [Redshift.2] Le connessioni ai cluster Amazon Redshift devono essere crittografate in transito

• [Redshift.3] I cluster Amazon Redshift devono avere le istantanee automatiche abilitate

• [Redshift.4] I cluster Amazon Redshift devono avere la registrazione di controllo abilitata

• [Redshift.6] Amazon Redshift dovrebbe avere gli upgrade automatici alle versioni principali abilitati

• [Redshift.7] I cluster Redshift devono utilizzare un routing VPC avanzato

• [Redshift.8] I cluster Amazon Redshift non devono utilizzare il nome utente amministratore predefinito

• [Redshift.9] I cluster Redshift non devono utilizzare il nome di database predefinito

• [Redshift.10] I cluster Redshift devono essere crittografati a riposo

• [Redshift.11] I cluster Redshift devono essere etichettati

• [Redshift.12] Le sottoscrizioni alle notifiche degli eventi Redshift devono essere contrassegnate

• [Redshift.13] Le istantanee del cluster Redshift devono essere etichettate

• [Redshift.14] I gruppi di sottoreti del cluster Redshift devono essere etichettati

• [Redshift.15] I gruppi di sicurezza Redshift dovrebbero consentire l'ingresso sulla porta del cluster solo da origini limitate

• [Redshift.16] I sottoreti del cluster Redshift devono avere sottoreti da più zone di disponibilità

• [Route53.1] I controlli sanitari della Route 53 devono essere etichettati

• [Route53.2] Le zone ospitate pubbliche di Route 53 devono registrare le query DNS

• [S3.7] I bucket S3 per uso generico devono utilizzare la replica tra regioni

• [S3.10] I bucket generici S3 con il controllo delle versioni abilitato devono avere configurazioni del ciclo di vita

• [S3.11] I bucket generici S3 devono avere le notifiche degli eventi abilitate

• [S3.12] non ACLs deve essere usato per gestire l'accesso degli utenti ai bucket generici S3

• [S3.13] I bucket generici S3 devono avere configurazioni del ciclo di vita

• [S3.17] I bucket generici S3 devono essere crittografati quando sono inattivi con AWS KMS keys

• [S3.19] I punti di accesso S3 devono avere le impostazioni di blocco dell'accesso pubblico abilitate

• [S3.20] I bucket S3 per uso generico devono avere l'eliminazione MFA abilitata

• [S3.22] I bucket S3 per uso generico devono registrare gli eventi di scrittura a livello di oggetto

• [S3.23] I bucket S3 per uso generico devono registrare gli eventi di lettura a livello di oggetto

• [S3.24] I punti di accesso multiregionali S3 devono avere le impostazioni di blocco dell'accesso pubblico abilitate

• [SageMaker.1] Le istanze di SageMaker notebook Amazon non devono avere accesso diretto a Internet

• [SageMaker.2] le istanze dei SageMaker notebook devono essere avviate in un VPC personalizzato

• [SageMaker.3] Gli utenti non devono avere accesso root alle SageMaker istanze dei notebook

• [SageMaker.4] Le varianti di produzione di SageMaker endpoint devono avere un numero iniziale di istanze superiore a 1

• [SageMaker.5] i SageMaker modelli dovrebbero bloccare il traffico in entrata

• [SES.1] Gli elenchi di contatti SES devono essere etichettati

• [SES.2] I set di configurazione SES devono essere etichettati

• [SecretsManager.1] I segreti di Secrets Manager devono avere la rotazione automatica abilitata

• [SecretsManager.2] I segreti di Secrets Manager configurati con rotazione automatica dovrebbero ruotare correttamente

• [SecretsManager.3] Rimuovi i segreti inutilizzati di Secrets Manager

• [SecretsManager.4] I segreti di Secrets Manager devono essere ruotati entro un determinato numero di giorni

• [SecretsManager.5] I segreti di Secrets Manager devono essere etichettati

• [ServiceCatalog.1] I portafogli Service Catalog devono essere condivisi solo all'interno di un'organizzazione AWS

• [SNS.3] Gli argomenti SNS devono essere etichettati

• [SNS.4] Le politiche di accesso agli argomenti SNS non dovrebbero consentire l'accesso pubblico

• [SQS.1] Le code di Amazon SQS devono essere crittografate quando sono inattive

• [SQS.2] Le code SQS devono essere etichettate

• [SSM.1] Le EC2 istanze Amazon devono essere gestite da AWS Systems Manager

• [SSM.2] EC2 Le istanze Amazon gestite da Systems Manager devono avere uno stato di conformità alla patch pari a COMPLIANT dopo l'installazione della patch

• [SSM.3] EC2 Le istanze Amazon gestite da Systems Manager devono avere uno stato di conformità dell'associazione pari a COMPLIANT

• [SSM.4] I documenti SSM non devono essere pubblici

• [StepFunctions.1] Le macchine a stati Step Functions dovrebbero avere la registrazione attivata

• [StepFunctions.2] Le attività di Step Functions devono essere etichettate

• I AWS Transfer Family flussi di lavoro [Transfer.1] devono essere etichettati

• [Transfer.2] I server Transfer Family non devono utilizzare il protocollo FTP per la connessione agli endpoint

• [WAF.1] La registrazione AWS WAF classica Global Web ACL deve essere abilitata

• [WAF.2] Le regole regionali AWS WAF classiche devono avere almeno una condizione

• [WAF.3] I gruppi di regole regionali AWS WAF classici dovrebbero avere almeno una regola

• [WAF.4] Il sito Web regionale AWS WAF classico ACLs deve avere almeno una regola o un gruppo di regole

• [WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione

• [WAF.7] I gruppi di regole globali AWS WAF classici dovrebbero avere almeno una regola

• [WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole

• [WAF.10] AWS WAF web ACLs dovrebbe avere almeno una regola o un gruppo di regole

• [WAF.11] La registrazione AWS WAF web ACL deve essere abilitata

• Le regole [WAF.12] devono avere le metriche abilitate AWS WAF CloudWatch

• [WorkSpaces.1] i volumi WorkSpaces utente devono essere crittografati quando sono inattivi

• [WorkSpaces.2] i volumi WorkSpaces root devono essere crittografati quando sono inattivi

Asia Pacifico (Tokyo)

I seguenti controlli non sono supportati nella regione Asia Pacifico (Tokyo).

• [AppSync.1] Le cache AWS AppSync delle API devono essere crittografate quando sono inattive

• [AppSync.6] Le cache delle AWS AppSync API devono essere crittografate in transito

• [CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato

• [CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito

• [CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine

• [CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata

• [CloudFront.6] le CloudFront distribuzioni devono avere WAF abilitato

• [CloudFront.7] le CloudFront distribuzioni devono utilizzare certificati SSL/TLS personalizzati

• [CloudFront.8] le CloudFront distribuzioni devono utilizzare SNI per soddisfare le richieste HTTPS

• [CloudFront.9] le CloudFront distribuzioni devono crittografare il traffico verso origini personalizzate

• [CloudFront.10] CloudFront le distribuzioni non devono utilizzare protocolli SSL obsoleti tra edge location e origini personalizzate

• [CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti

• [CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine

• [CloudFront.14] le distribuzioni devono essere etichettate CloudFront

• [ECR.4] Gli archivi pubblici ECR devono essere etichettati

• [FraudDetector.1] I tipi di entità Amazon Fraud Detector devono essere etichettati

• [FraudDetector.2] Le etichette di Amazon Fraud Detector devono essere etichettate

• [FraudDetector.3] I risultati di Amazon Fraud Detector devono essere etichettati

• [FraudDetector.4] Le variabili di Amazon Fraud Detector devono essere etichettate

• [GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati

• [IAM.26] I certificati SSL/TLS scaduti gestiti in IAM devono essere rimossi

• [Io TTwin Maker.4] Le TwinMaker entità AWS IoT devono essere etichettate

• [Route53.1] I controlli sanitari della Route 53 devono essere etichettati

• [Route53.2] Le zone ospitate pubbliche di Route 53 devono registrare le query DNS

• [S3.24] I punti di accesso multiregionali S3 devono avere le impostazioni di blocco dell'accesso pubblico abilitate

• [WAF.1] La registrazione AWS WAF classica Global Web ACL deve essere abilitata

• [WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione

• [WAF.7] I gruppi di regole globali AWS WAF classici dovrebbero avere almeno una regola

• [WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole

Canada (Centrale)

I seguenti controlli non sono supportati nella regione Canada (Centrale).

• [AppRunner.1] I servizi App Runner devono essere etichettati

• [AppRunner.2] I connettori VPC App Runner devono essere etichettati

• [AppSync.1] Le cache AWS AppSync delle API devono essere crittografate quando sono inattive

• [AppSync.6] Le cache delle AWS AppSync API devono essere crittografate in transito

• [CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato

• [CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito

• [CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine

• [CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata

• [CloudFront.6] le CloudFront distribuzioni devono avere WAF abilitato

• [CloudFront.7] le CloudFront distribuzioni devono utilizzare certificati SSL/TLS personalizzati

• [CloudFront.8] le CloudFront distribuzioni devono utilizzare SNI per soddisfare le richieste HTTPS

• [CloudFront.9] le CloudFront distribuzioni devono crittografare il traffico verso origini personalizzate

• [CloudFront.10] CloudFront le distribuzioni non devono utilizzare protocolli SSL obsoleti tra edge location e origini personalizzate

• [CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti

• [CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine

• [CloudFront.14] le distribuzioni devono essere etichettate CloudFront

• [CodeArtifact.1] i CodeArtifact repository devono essere etichettati

• [CodeGuruProfiler.1] I gruppi di CodeGuru profilazione Profiler devono essere etichettati

• [CodeGuruReviewer.1] Le associazioni dei repository dei CodeGuru revisori devono essere etichettate

• [DynamoDB.3] I cluster DynamoDB Accelerator (DAX) devono essere crittografati quando sono inattivi

• [DynamoDB.7] I cluster DynamoDB Accelerator devono essere crittografati in transito

• [EC2.24] I tipi di istanze EC2 paravirtuali di Amazon non devono essere utilizzati

• [ECR.4] Gli archivi pubblici ECR devono essere etichettati

• [FraudDetector.1] I tipi di entità Amazon Fraud Detector devono essere etichettati

• [FraudDetector.2] Le etichette di Amazon Fraud Detector devono essere etichettate

• [FraudDetector.3] I risultati di Amazon Fraud Detector devono essere etichettati

• [FraudDetector.4] Le variabili di Amazon Fraud Detector devono essere etichettate

• [GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati

• [IAM.26] I certificati SSL/TLS scaduti gestiti in IAM devono essere rimossi

• [Inspector.3] La scansione del codice Amazon Inspector Lambda deve essere abilitata

• [Io TTwin Maker.1] I lavori di TwinMaker sincronizzazione AWS IoT devono essere etichettati

• [Io TTwin Maker.2] Gli spazi di TwinMaker lavoro AWS IoT devono essere etichettati

• [Io TTwin Maker.3] Le TwinMaker scene AWS IoT devono essere etichettate

• [Io TTwin Maker.4] Le TwinMaker entità AWS IoT devono essere etichettate

• [Io TWireless .1] I gruppi multicast AWS IoT Wireless devono essere etichettati

• [Io TWireless .2] I profili dei servizi AWS IoT Wireless devono essere etichettati

• [Io TWireless .3] Le attività AWS IOT FUOTA devono essere etichettate

• [IVS.1] Le coppie di chiavi di riproduzione IVS devono essere etichettate

• [IVS.2] Le configurazioni di registrazione IVS devono essere contrassegnate

• [IVS.3] I canali IVS devono essere etichettati

• [Kinesis.3] I flussi Kinesis devono avere un periodo di conservazione dei dati adeguato

• [RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati

• [Route53.1] I controlli sanitari della Route 53 devono essere etichettati

• [Route53.2] Le zone ospitate pubbliche di Route 53 devono registrare le query DNS

• [S3.24] I punti di accesso multiregionali S3 devono avere le impostazioni di blocco dell'accesso pubblico abilitate

• [WAF.1] La registrazione AWS WAF classica Global Web ACL deve essere abilitata

• [WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione

• [WAF.7] I gruppi di regole globali AWS WAF classici dovrebbero avere almeno una regola

• [WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole

Canada occidentale (Calgary)

I seguenti controlli non sono supportati nella regione Canada occidentale (Calgary).

• [Account.1] Le informazioni di contatto di sicurezza devono essere fornite per un Account AWS

• [Account.2] Account AWS deve far parte di un'organizzazione AWS Organizations

• [ACM.1] I certificati importati ed emessi da ACM devono essere rinnovati dopo un periodo di tempo specificato

• [ACM.2] I certificati RSA gestiti da ACM devono utilizzare una lunghezza di chiave di almeno 2.048 bit

• [APIGateway.1] API Gateway REST e la registrazione dell'esecuzione dell' WebSocket API devono essere abilitati

• [APIGateway.2] Le fasi API REST di API Gateway devono essere configurate per utilizzare i certificati SSL per l'autenticazione del backend

• [APIGateway.3] Le fasi API REST di API Gateway devono avere la AWS X-Ray traccia abilitata

• [APIGateway.4] API Gateway deve essere associato a un ACL Web WAF

• [APIGateway.8] Le rotte API Gateway devono specificare un tipo di autorizzazione

• [APIGateway.9] La registrazione degli accessi deve essere configurata per API Gateway V2 Stages

• [AppConfig.1] AWS AppConfig le applicazioni devono essere etichettate

• [AppConfig.2] i profili AWS AppConfig di configurazione devono essere etichettati

• [AppConfig.3] AWS AppConfig gli ambienti devono essere etichettati

• [AppConfig.4] le associazioni di AWS AppConfig estensioni devono essere etichettate

• [AppFlow.1] I AppFlow flussi Amazon devono essere etichettati

• [AppRunner.1] I servizi App Runner devono essere etichettati

• [AppRunner.2] I connettori VPC App Runner devono essere etichettati

• [AppSync.1] Le cache AWS AppSync delle API devono essere crittografate quando sono inattive

• [AppSync.2] AWS AppSync dovrebbe avere la registrazione a livello di campo abilitata

• [AppSync.4] AWS AppSync APIs GraphQL dovrebbe essere taggato

• [AppSync.5] AWS AppSync APIs GraphQL non deve essere autenticato con chiavi API

• [AppSync.6] Le cache delle AWS AppSync API devono essere crittografate in transito

• [Athena.4] I gruppi di lavoro Athena devono avere la registrazione abilitata

• [AutoScaling.1] I gruppi di Auto Scaling associati a un sistema di bilanciamento del carico devono utilizzare i controlli di integrità ELB

• [AutoScaling.2] Il gruppo Amazon EC2 Auto Scaling dovrebbe coprire più zone di disponibilità

• [AutoScaling.3] Le configurazioni di avvio del gruppo Auto Scaling devono EC2 configurare le istanze in modo da richiedere Instance Metadata Service versione 2 () IMDSv2

• [Autoscaling.5] Le istanze EC2 Amazon avviate utilizzando le configurazioni di avvio del gruppo Auto Scaling non devono avere indirizzi IP pubblici

• [AutoScaling.6] I gruppi di Auto Scaling devono utilizzare più tipi di istanze in più zone di disponibilità

• [AutoScaling.9] I gruppi Amazon EC2 Auto Scaling devono utilizzare i modelli di lancio di Amazon EC2

• [Backup.1] i punti di AWS Backup ripristino devono essere crittografati a riposo

• [Backup.4] i piani di AWS Backup report devono essere etichettati

• [Batch.1] Le code di processi in batch devono essere etichettate

• [Batch.3] Gli ambienti di calcolo in batch devono essere etichettati

• [CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato

• [CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito

• [CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine

• [CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata

• [CloudFront.6] le CloudFront distribuzioni devono avere WAF abilitato

• [CloudFront.7] le CloudFront distribuzioni devono utilizzare certificati SSL/TLS personalizzati

• [CloudFront.8] le CloudFront distribuzioni devono utilizzare SNI per soddisfare le richieste HTTPS

• [CloudFront.9] le CloudFront distribuzioni devono crittografare il traffico verso origini personalizzate

• [CloudFront.10] CloudFront le distribuzioni non devono utilizzare protocolli SSL obsoleti tra edge location e origini personalizzate

• [CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti

• [CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine

• [CloudFront.14] le distribuzioni devono essere etichettate CloudFront

• [CloudTrail.6] Assicurati che il bucket S3 utilizzato per archiviare i log non sia accessibile al pubblico CloudTrail

• [CloudTrail.7] Assicurati che la registrazione degli accessi al bucket S3 sia abilitata sul bucket S3 CloudTrail

• [CloudWatch.17] le azioni di CloudWatch allarme devono essere attivate

• [CodeArtifact.1] i CodeArtifact repository devono essere etichettati

• [CodeBuild.1] L'archivio sorgente di CodeBuild Bitbucket non URLs deve contenere credenziali sensibili

• [CodeBuild.2] Le variabili di ambiente CodeBuild del progetto non devono contenere credenziali in chiaro

• [CodeBuild.3] I log CodeBuild S3 devono essere crittografati

• [CodeBuild.4] Gli ambienti di CodeBuild progetto devono avere una durata di registrazione AWS Config

• [CodeBuild.7] Le esportazioni dei gruppi di CodeBuild report devono essere crittografate quando sono inattive

• [CodeGuruProfiler.1] I gruppi di CodeGuru profilazione Profiler devono essere etichettati

• [CodeGuruReviewer.1] Le associazioni dei repository dei CodeGuru revisori devono essere etichettate

• [Cognito.1] I pool di utenti di Cognito dovrebbero avere la protezione dalle minacce attivata con la modalità di imposizione completa delle funzioni per l'autenticazione standard

• [Connect.1] I tipi di oggetto Amazon Connect Customer Profiles devono essere etichettati

• [Connect.2] Le istanze Amazon Connect devono avere la registrazione abilitata CloudWatch

• [DataFirehose.1] I flussi di distribuzione di Firehose devono essere crittografati quando sono inattivi

• [DataSync.1] DataSync le attività devono avere la registrazione abilitata

• [Detective.1] I grafici del comportamento dei Detective devono essere etichettati

• [DMS.1] Le istanze di replica del Database Migration Service non devono essere pubbliche

• [DMS.2] I certificati DMS devono essere etichettati

• [DMS.3] Le sottoscrizioni agli eventi DMS devono essere contrassegnate

• [DMS.4] Le istanze di replica DMS devono essere contrassegnate

• [DMS.5] I gruppi di sottoreti di replica DMS devono essere etichettati

• [DMS.6] Le istanze di replica DMS devono avere l'aggiornamento automatico delle versioni secondarie abilitato

• [DMS.7] Le attività di replica DMS per il database di destinazione devono avere la registrazione abilitata

• [DMS.8] Le attività di replica DMS per il database di origine devono avere la registrazione abilitata

• [DMS.9] Gli endpoint DMS devono utilizzare SSL

• [DMS.10] Gli endpoint DMS per i database Neptune devono avere l'autorizzazione IAM abilitata

• [DMS.11] Gli endpoint DMS per MongoDB devono avere un meccanismo di autenticazione abilitato

• [DMS.12] Gli endpoint DMS per Redis OSS devono avere TLS abilitato

• [DocumentDB.1] I cluster Amazon DocumentDB devono essere crittografati quando sono inattivi

• [DocumentDB.2] I cluster Amazon DocumentDB devono avere un periodo di conservazione dei backup adeguato

• [DocumentDB.3] Le istantanee manuali dei cluster di Amazon DocumentDB non devono essere pubbliche

• [DocumentDB.4] I cluster Amazon DocumentDB devono pubblicare i log di controllo su Logs CloudWatch

• [DocumentDB.5] I cluster Amazon DocumentDB devono avere la protezione da eliminazione abilitata

• [DynamoDB.3] I cluster DynamoDB Accelerator (DAX) devono essere crittografati quando sono inattivi

• [DynamoDB.4] Le tabelle DynamoDB devono essere presenti in un piano di backup

• [DynamoDB.6] Le tabelle DynamoDB devono avere la protezione da eliminazione abilitata

• [DynamoDB.7] I cluster DynamoDB Accelerator devono essere crittografati in transito

• [EC2.4] Le EC2 istanze interrotte devono essere rimosse dopo un periodo di tempo specificato

• [EC2.21] La rete non ACLs dovrebbe consentire l'ingresso dalla porta 0.0.0.0/0 alla porta 22 o alla porta 3389

• [EC2.22] I gruppi di EC2 sicurezza Amazon non utilizzati devono essere rimossi

• [EC2.23] Amazon EC2 Transit Gateways non dovrebbe accettare automaticamente le richieste di allegati VPC

• [EC2.24] I tipi di istanze EC2 paravirtuali di Amazon non devono essere utilizzati

• [EC2.25] I modelli di EC2 lancio di Amazon non devono assegnare interfacce IPs di rete pubbliche

• [EC2.28] I volumi EBS devono essere coperti da un piano di backup

• [EC2.33] Gli allegati di EC2 Transit Gateway devono essere etichettati

• [EC2.34] Le tabelle delle rotte dei gateway di EC2 transito devono essere etichettate

• [EC2.37] Gli indirizzi IP EC2 elastici devono essere etichettati

• [EC2.40] I gateway EC2 NAT devono essere etichettati

• [EC2.48] I log di flusso di Amazon VPC devono essere etichettati

• [EC2.51] Gli endpoint EC2 Client VPN devono avere la registrazione delle connessioni client abilitata

• [EC2.53] i gruppi EC2 di sicurezza non dovrebbero consentire l'accesso da 0.0.0.0/0 alle porte di amministrazione remota del server

• [EC2.54] i gruppi EC2 di sicurezza non dovrebbero consentire l'accesso da: :/0 alle porte di amministrazione remota del server

• [EC2.55] VPCs deve essere configurato con un endpoint di interfaccia per l'API ECR

• [EC2.56] VPCs deve essere configurato con un endpoint di interfaccia per Docker Registry

• [EC2.57] VPCs deve essere configurato con un endpoint di interfaccia per Systems Manager

• [EC2.58] VPCs deve essere configurato con un endpoint di interfaccia per Systems Manager Incident Manager Contacts

• [EC2.60] VPCs deve essere configurato con un endpoint di interfaccia per Systems Manager Incident Manager

• [EC2.170] i modelli di EC2 avvio devono utilizzare Instance Metadata Service Version 2 () IMDSv2

• [EC2.171] Le connessioni EC2 VPN devono avere la registrazione abilitata

• [ECR.1] Gli archivi privati ECR devono avere la scansione delle immagini configurata

• [ECR.2] I repository privati ECR devono avere l'immutabilità dei tag configurata

• [ECR.3] I repository ECR devono avere almeno una politica del ciclo di vita configurata

• [ECR.4] Gli archivi pubblici ECR devono essere etichettati

• [ECR.5] I repository ECR devono essere crittografati e gestiti dal cliente AWS KMS keys

• [ECS.1] Le definizioni delle attività di Amazon ECS devono avere modalità di rete e definizioni utente sicure.

• [ECS.3] Le definizioni delle attività ECS non devono condividere lo spazio dei nomi dei processi dell'host

• [ECS.4] I contenitori ECS devono essere eseguiti come non privilegiati

• [ECS.5] I contenitori ECS devono essere limitati all'accesso in sola lettura ai filesystem root

• [ECS.8] I segreti non devono essere passati come variabili di ambiente del contenitore

• [ECS.9] Le definizioni delle attività ECS devono avere una configurazione di registrazione

• [ECS.10] I servizi ECS Fargate devono essere eseguiti sulla versione più recente della piattaforma Fargate

• [ECS.12] I cluster ECS devono utilizzare Container Insights

• [ECS.16] I set di attività ECS non devono assegnare automaticamente indirizzi IP pubblici

• [EFS.1] Elastic File System deve essere configurato per crittografare i dati dei file inattivi utilizzando AWS KMS

• [EFS.2] I volumi Amazon EFS devono essere inclusi nei piani di backup

• [EFS.3] I punti di accesso EFS devono applicare una directory principale

• [EFS.4] I punti di accesso EFS devono applicare un'identità utente

• [EFS.6] I target di montaggio EFS non devono essere associati a una sottorete pubblica

• [EFS.7] I file system EFS devono avere i backup automatici abilitati

• [EFS.8] I file system EFS devono essere crittografati quando sono inattivi

• [EKS.1] Gli endpoint del cluster EKS non dovrebbero essere accessibili al pubblico

• [EKS.2] I cluster EKS devono essere eseguiti su una versione Kubernetes supportata

• [EKS.3] I cluster EKS devono utilizzare segreti Kubernetes crittografati

• [EKS.6] I cluster EKS devono essere etichettati

• [EKS.7] Le configurazioni dei provider di identità EKS devono essere contrassegnate

• [EKS.8] I cluster EKS devono avere la registrazione di controllo abilitata

• I cluster [ElastiCache.1] ElastiCache (Redis OSS) devono avere i backup automatici abilitati

• [ElastiCache.2] i ElastiCache cluster dovrebbero avere gli aggiornamenti automatici delle versioni secondarie abilitati

• [ElastiCache.3] i gruppi di ElastiCache replica devono avere il failover automatico abilitato

• [ElastiCache.4] i gruppi di ElastiCache replica devono essere crittografati quando sono inattivi

• [ElastiCache.5] i gruppi di ElastiCache replica devono essere crittografati in transito

• [ElastiCache.6] ElastiCache (Redis OSS) i gruppi di replica delle versioni precedenti devono avere Redis OSS AUTH abilitato

• [ElastiCache.7] ElastiCache i cluster non devono utilizzare il gruppo di sottoreti predefinito

• [ElasticBeanstalk.1] Gli ambienti Elastic Beanstalk dovrebbero avere la reportistica sullo stato avanzata abilitata

• [ElasticBeanstalk.2] Gli aggiornamenti della piattaforma gestita da Elastic Beanstalk devono essere abilitati

• [ElasticBeanstalk.3] Elastic Beanstalk dovrebbe trasmettere i log a CloudWatch

• [ELB.2] I sistemi Classic Load Balancer con listener SSL/HTTPS devono utilizzare un certificato fornito da AWS Certificate Manager

• [ELB.10] Classic Load Balancer dovrebbe estendersi su più zone di disponibilità

• [ELB.12] Application Load Balancer deve essere configurato con la modalità di mitigazione della desincronizzazione difensiva o più rigorosa

• [ELB.13] I Load Balancer per applicazioni, reti e gateway devono estendersi su più zone di disponibilità

• [ELB.14] Classic Load Balancer deve essere configurato con la modalità di mitigazione della desincronizzazione difensiva o più rigorosa

• [ELB.16] Gli Application Load Balancer devono essere associati a un ACL web AWS WAF

• [ELB.17] Gli Application and Network Load Balancer con listener devono utilizzare le politiche di sicurezza consigliate

• [EMR.1] I nodi primari del cluster Amazon EMR non devono avere indirizzi IP pubblici

• [EMR.2] L'impostazione di accesso pubblico a blocchi di Amazon EMR deve essere abilitata

• [EMR.3] Le configurazioni di sicurezza di Amazon EMR devono essere crittografate quando sono inattive

• [ES.1] I domini Elasticsearch devono avere la crittografia a riposo abilitata

• [ES.2] I domini Elasticsearch non devono essere accessibili al pubblico

• [ES.3] I domini Elasticsearch devono crittografare i dati inviati tra i nodi

• [ES.4] La registrazione degli errori del dominio Elasticsearch nei log deve essere abilitata CloudWatch

• [EventBridge.3] i bus di eventi EventBridge personalizzati devono avere una politica basata sulle risorse allegata

• [EventBridge.4] EventBridge gli endpoint globali dovrebbero avere la replica degli eventi abilitata

• [FraudDetector.1] I tipi di entità Amazon Fraud Detector devono essere etichettati

• [FraudDetector.2] Le etichette di Amazon Fraud Detector devono essere etichettate

• [FraudDetector.3] I risultati di Amazon Fraud Detector devono essere etichettati

• [FraudDetector.4] Le variabili di Amazon Fraud Detector devono essere etichettate

• [FSx.1] FSx per i file system OpenZFS deve essere configurato per copiare i tag su backup e volumi

• [FSx.2] FSx per i file system Lustre devono essere configurati per copiare i tag nei backup

• [FSx.3] FSx per i file system OpenZFS deve essere configurato per l'implementazione Multi-AZ

• [FSx.4] FSx per i file system NetApp ONTAP deve essere configurato per l'implementazione Multi-AZ

• [FSx.5] FSx per i file system Windows File Server devono essere configurati per l'implementazione Multi-AZ

• [GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati

• [Glue.3] le trasformazioni di apprendimento AWS Glue automatico devono essere crittografate a riposo

• [Glue.4] I job AWS Glue Spark dovrebbero essere eseguiti su versioni supportate di AWS Glue

• [GuardDuty.1] GuardDuty dovrebbe essere abilitato

• [GuardDuty.2] GuardDuty i filtri devono essere etichettati

• [GuardDuty.3] GuardDuty IPSets deve essere taggato

• [GuardDuty.5] GuardDuty EKS Audit Log Monitoring deve essere abilitato

• [GuardDuty.6] La protezione GuardDuty Lambda deve essere abilitata

• [GuardDuty.7] GuardDuty EKS Runtime Monitoring deve essere abilitato

• [GuardDuty.8] La protezione GuardDuty da malware per EC2 deve essere abilitata

• [GuardDuty.9] La protezione GuardDuty RDS deve essere abilitata

• [GuardDuty.10] La protezione GuardDuty S3 deve essere abilitata

• [GuardDuty.11] Il monitoraggio del GuardDuty runtime deve essere abilitato

• [GuardDuty.12] Il monitoraggio del runtime GuardDuty ECS deve essere abilitato

• [GuardDuty.13] Il monitoraggio del GuardDuty EC2 runtime deve essere abilitato

• [IAM.1] Le politiche IAM non dovrebbero consentire privilegi amministrativi «*» completi

• [IAM.2] Gli utenti IAM non devono avere policy IAM allegate

• [IAM.3] Le chiavi di accesso degli utenti IAM devono essere ruotate ogni 90 giorni o meno

• [IAM.4] La chiave di accesso utente root IAM non dovrebbe esistere

• [IAM.5] MFA deve essere abilitata per tutti gli utenti IAM che dispongono di una password della console

• [IAM.6] L'autenticazione MFA per l'hardware deve essere abilitata per l'utente root

• [IAM.7] Le politiche relative alle password per gli utenti IAM devono avere configurazioni avanzate

• [IAM.8] Le credenziali utente IAM non utilizzate devono essere rimosse

• [IAM.9] L'MFA deve essere abilitata per l'utente root

• [IAM.10] Le politiche relative alle password per gli utenti IAM dovrebbero avere durate elevate AWS Config

• [IAM.11] Assicurati che la politica delle password IAM richieda almeno una lettera maiuscola

• [IAM.12] Assicurati che la politica delle password IAM richieda almeno una lettera minuscola

• [IAM.13] Assicurati che la politica delle password IAM richieda almeno un simbolo

• [IAM.14] Assicurati che la politica delle password IAM richieda almeno un numero

• [IAM.15] Assicurati che la politica delle password di IAM richieda una lunghezza minima della password pari o superiore a 14

• [IAM.16] Assicurati che la politica delle password di IAM impedisca il riutilizzo delle password

• [IAM.17] Assicurati che la policy sulle password di IAM faccia scadere le password entro 90 giorni o meno

• [IAM.18] Assicurati che sia stato creato un ruolo di supporto per gestire gli incidenti con Supporto

• [IAM.19] L'MFA deve essere abilitata per tutti gli utenti IAM

• [IAM.21] Le policy gestite dai clienti IAM che create non dovrebbero consentire azioni jolly per i servizi

• [IAM.22] Le credenziali utente IAM non utilizzate per 45 giorni devono essere rimosse

• [IAM.24] I ruoli IAM devono essere etichettati

• [IAM.25] Gli utenti IAM devono essere etichettati

• [IAM.26] I certificati SSL/TLS scaduti gestiti in IAM devono essere rimossi

• [IAM.27] Le identità IAM non devono avere la policy allegata AWSCloud ShellFullAccess

• [IAM.28] L'analizzatore di accesso esterno IAM Access Analyzer deve essere abilitato

• [Inspector.1] La scansione di Amazon Inspector deve essere abilitata EC2

• [Inspector.2] La scansione ECR di Amazon Inspector deve essere abilitata

• [Inspector.3] La scansione del codice Amazon Inspector Lambda deve essere abilitata

• [Inspector.4] La scansione standard di Amazon Inspector Lambda deve essere abilitata

• [IoT.1] i profili di AWS IoT Device Defender sicurezza devono essere etichettati

• [IoT.2] le azioni di AWS IoT Core mitigazione devono essere etichettate

• [IoT.3] le AWS IoT Core dimensioni devono essere etichettate

• gli AWS IoT Core autorizzatori [IoT.4] devono essere etichettati

• [IoT.5] gli alias dei AWS IoT Core ruoli devono essere etichettati

• [IoT.6] AWS IoT Core le politiche devono essere etichettate

• [Io TEvents .1] Gli input di AWS IoT Events devono essere etichettati

• [Io TEvents .2] I modelli di rilevatori AWS IoT Events devono essere etichettati

• [Io TEvents .3] I modelli di allarme AWS IoT Events devono essere etichettati

• [Io TSite Wise.1] I modelli di SiteWise asset AWS IoT devono essere etichettati

• [Io TSite Wise.2] Le SiteWise dashboard AWS IoT devono essere etichettate

• [Io TSite Wise.3] I SiteWise gateway AWS IoT devono essere etichettati

• [Io TSite Wise.4] I SiteWise portali AWS IoT devono essere etichettati

• [Io TSite Wise.5] I SiteWise progetti AWS IoT devono essere etichettati

• [Io TTwin Maker.1] I lavori di TwinMaker sincronizzazione AWS IoT devono essere etichettati

• [Io TTwin Maker.2] Gli spazi di TwinMaker lavoro AWS IoT devono essere etichettati

• [Io TTwin Maker.3] Le TwinMaker scene AWS IoT devono essere etichettate

• [Io TTwin Maker.4] Le TwinMaker entità AWS IoT devono essere etichettate

• [Io TWireless .1] I gruppi multicast AWS IoT Wireless devono essere etichettati

• [Io TWireless .2] I profili dei servizi AWS IoT Wireless devono essere etichettati

• [Io TWireless .3] Le attività AWS IOT FUOTA devono essere etichettate

• [IVS.1] Le coppie di chiavi di riproduzione IVS devono essere etichettate

• [IVS.2] Le configurazioni di registrazione IVS devono essere contrassegnate

• [IVS.3] I canali IVS devono essere etichettati

• [Keyspaces.1] Gli spazi chiave di Amazon Keyspaces devono essere etichettati

• [Kinesis.1] Gli stream Kinesis devono essere crittografati quando sono inattivi

• [Kinesis.2] Gli stream Kinesis devono essere etichettati

• [Kinesis.3] I flussi Kinesis devono avere un periodo di conservazione dei dati adeguato

• [KMS.1] Le politiche gestite dai clienti di IAM non dovrebbero consentire azioni di decrittografia su tutte le chiavi KMS

• [KMS.2] I principali IAM non devono disporre di policy IAM in linea che consentano azioni di decrittografia su tutte le chiavi KMS

• [KMS.5] Le chiavi KMS non devono essere accessibili al pubblico

• [Lambda.5] Le funzioni VPC Lambda devono funzionare in più zone di disponibilità

• [Macie.1] Amazon Macie dovrebbe essere abilitato

• [Macie.2] Il rilevamento automatico dei dati sensibili di Macie deve essere abilitato

• [MQ.2] I broker ActiveMQ devono trasmettere i log di controllo a CloudWatch

• [MQ.3] I broker Amazon MQ dovrebbero avere abilitato l'aggiornamento automatico delle versioni secondarie

• [MQ.4] I broker Amazon MQ devono essere etichettati

• [MQ.5] I broker ActiveMQ devono utilizzare la modalità di distribuzione attiva/standby

• [MQ.6] I broker RabbitMQ dovrebbero utilizzare la modalità di distribuzione del cluster

• [MSK.1] I cluster MSK devono essere crittografati durante il transito tra i nodi del broker

• [MSK.2] I cluster MSK dovrebbero avere configurato un monitoraggio avanzato

• [MSK.3] I connettori MSK Connect devono essere crittografati in transito

• [Neptune.1] I cluster Neptune DB devono essere crittografati a riposo

• [Neptune.2] I cluster Neptune DB devono pubblicare i log di controllo su Logs CloudWatch

• [Neptune.3] Le istantanee del cluster Neptune DB non devono essere pubbliche

• [Neptune.4] I cluster Neptune DB devono avere la protezione da eliminazione abilitata

• [Neptune.5] I cluster Neptune DB devono avere i backup automatici abilitati

• [Neptune.6] Le istantanee del cluster Neptune DB devono essere crittografate quando sono inattive

• [Neptune.7] I cluster Neptune DB devono avere l'autenticazione del database IAM abilitata

• [Neptune.8] I cluster Neptune DB devono essere configurati per copiare i tag nelle istantanee

• [Neptune.9] I cluster Neptune DB devono essere distribuiti su più zone di disponibilità

• [NetworkFirewall.1] I firewall Network Firewall devono essere distribuiti su più zone di disponibilità

• [NetworkFirewall.2] La registrazione del Network Firewall deve essere abilitata

• [NetworkFirewall.3] Le policy di Network Firewall devono avere almeno un gruppo di regole associato

• [NetworkFirewall.4] L'azione stateless predefinita per le policy del Network Firewall dovrebbe essere drop or forward per pacchetti completi

• [NetworkFirewall.5] L'azione stateless predefinita per le policy del Network Firewall dovrebbe essere drop or forward per i pacchetti frammentati

• [NetworkFirewall.6] Il gruppo di regole Stateless Network Firewall non deve essere vuoto

• [NetworkFirewall.9] I firewall Network Firewall devono avere la protezione da eliminazione abilitata

• [NetworkFirewall.10] I firewall Network Firewall devono avere la protezione da cambio di sottorete abilitata

• I OpenSearch domini [Opensearch.1] devono avere la crittografia a riposo abilitata

• I OpenSearch domini [Opensearch.2] non devono essere accessibili al pubblico

• I OpenSearch domini [Opensearch.3] devono crittografare i dati inviati tra i nodi

• La registrazione degli errori del OpenSearch dominio [Opensearch.4] nei log dovrebbe essere abilitata CloudWatch

• I OpenSearch domini [Opensearch.5] devono avere la registrazione di controllo abilitata

• I OpenSearch domini [Opensearch.6] devono avere almeno tre nodi di dati

• I OpenSearch domini [Opensearch.7] devono avere un controllo degli accessi granulare abilitato

• [Opensearch.8] Le connessioni ai OpenSearch domini devono essere crittografate utilizzando la più recente politica di sicurezza TLS

• I OpenSearch domini [Opensearch.9] devono essere etichettati

• Nei OpenSearch domini [Opensearch.10] deve essere installato l'ultimo aggiornamento software

• I OpenSearch domini [Opensearch.11] devono avere almeno tre nodi primari dedicati

• L'autorità di certificazione AWS Private CA principale [PCA.1] deve essere disabilitata

• [RDS.14] I cluster Amazon Aurora devono avere il backtracking abilitato

• [RDS.17] Le istanze DB RDS devono essere configurate per copiare i tag nelle istantanee

• [RDS.18] Le istanze RDS devono essere distribuite in un VPC

• [RDS.23] Le istanze RDS non devono utilizzare una porta predefinita del motore di database

• [RDS.24] I cluster di database RDS devono utilizzare un nome utente di amministratore personalizzato

• [RDS.25] Le istanze del database RDS devono utilizzare un nome utente amministratore personalizzato

• [RDS.26] Le istanze DB RDS devono essere protette da un piano di backup

• [RDS.27] I cluster RDS DB devono essere crittografati quando sono inattivi

• [RDS.30] Le istanze DB RDS devono essere etichettate

• [RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati

• [RDS.32] Gli snapshot RDS DB devono essere etichettati

• [RDS.34] I cluster Aurora MySQL DB devono pubblicare i log di controllo nei registri CloudWatch

• [RDS.35] Nei cluster RDS DB deve essere abilitato l'aggiornamento automatico delle versioni secondarie

• [RDS.36] Le istanze DB di RDS per PostgreSQL devono pubblicare i log nei log CloudWatch

• [RDS.37] I cluster Aurora PostgreSQL DB devono pubblicare i log nei log CloudWatch

• [RDS.38] Le istanze DB di RDS per PostgreSQL devono essere crittografate in transito

• [RDS.39] Le istanze DB di RDS per MySQL devono essere crittografate in transito

• [RDS.40] Le istanze DB di RDS per SQL Server devono pubblicare i log nei log CloudWatch

• [Redshift.1] I cluster Amazon Redshift dovrebbero vietare l'accesso pubblico

• [Redshift.2] Le connessioni ai cluster Amazon Redshift devono essere crittografate in transito

• [Redshift.3] I cluster Amazon Redshift devono avere le istantanee automatiche abilitate

• [Redshift.6] Amazon Redshift dovrebbe avere gli upgrade automatici alle versioni principali abilitati

• [Redshift.7] I cluster Redshift devono utilizzare un routing VPC avanzato

• [Redshift.8] I cluster Amazon Redshift non devono utilizzare il nome utente amministratore predefinito

• [Redshift.9] I cluster Redshift non devono utilizzare il nome di database predefinito

• [Redshift.10] I cluster Redshift devono essere crittografati a riposo

• [Redshift.15] I gruppi di sicurezza Redshift dovrebbero consentire l'ingresso sulla porta del cluster solo da origini limitate

• [Redshift.16] I sottoreti del cluster Redshift devono avere sottoreti da più zone di disponibilità

• [RedshiftServerless.1] I gruppi di lavoro Serverless di Amazon Redshift devono utilizzare un routing VPC avanzato

• [Route53.1] I controlli sanitari della Route 53 devono essere etichettati

• [Route53.2] Le zone ospitate pubbliche di Route 53 devono registrare le query DNS

• [S3.7] I bucket S3 per uso generico devono utilizzare la replica tra regioni

• [S3.10] I bucket generici S3 con il controllo delle versioni abilitato devono avere configurazioni del ciclo di vita

• [S3.11] I bucket generici S3 devono avere le notifiche degli eventi abilitate

• [S3.12] non ACLs deve essere usato per gestire l'accesso degli utenti ai bucket generici S3

• [S3.13] I bucket generici S3 devono avere configurazioni del ciclo di vita

• [S3.17] I bucket generici S3 devono essere crittografati quando sono inattivi con AWS KMS keys

• [S3.19] I punti di accesso S3 devono avere le impostazioni di blocco dell'accesso pubblico abilitate

• [S3.20] I bucket S3 per uso generico devono avere l'eliminazione MFA abilitata

• [S3.22] I bucket S3 per uso generico devono registrare gli eventi di scrittura a livello di oggetto

• [S3.23] I bucket S3 per uso generico devono registrare gli eventi di lettura a livello di oggetto

• [S3.24] I punti di accesso multiregionali S3 devono avere le impostazioni di blocco dell'accesso pubblico abilitate

• [SageMaker.1] Le istanze di SageMaker notebook Amazon non devono avere accesso diretto a Internet

• [SageMaker.2] le istanze dei SageMaker notebook devono essere avviate in un VPC personalizzato

• [SageMaker.3] Gli utenti non devono avere accesso root alle SageMaker istanze dei notebook

• [SageMaker.4] Le varianti di produzione di SageMaker endpoint devono avere un numero iniziale di istanze superiore a 1

• [SageMaker.5] i SageMaker modelli dovrebbero bloccare il traffico in entrata

• [SecretsManager.1] I segreti di Secrets Manager devono avere la rotazione automatica abilitata

• [SecretsManager.2] I segreti di Secrets Manager configurati con rotazione automatica dovrebbero ruotare correttamente

• [SecretsManager.3] Rimuovi i segreti inutilizzati di Secrets Manager

• [SecretsManager.4] I segreti di Secrets Manager devono essere ruotati entro un determinato numero di giorni

• [ServiceCatalog.1] I portafogli Service Catalog devono essere condivisi solo all'interno di un'organizzazione AWS

• [SES.1] Gli elenchi di contatti SES devono essere etichettati

• [SES.2] I set di configurazione SES devono essere etichettati

• [SNS.4] Le politiche di accesso agli argomenti SNS non dovrebbero consentire l'accesso pubblico

• [SQS.1] Le code di Amazon SQS devono essere crittografate quando sono inattive

• [SQS.2] Le code SQS devono essere etichettate

• [SQS.3] Le politiche di accesso alla coda SQS non devono consentire l'accesso pubblico

• [SSM.1] Le EC2 istanze Amazon devono essere gestite da AWS Systems Manager

• [SSM.2] EC2 Le istanze Amazon gestite da Systems Manager devono avere uno stato di conformità alla patch pari a COMPLIANT dopo l'installazione della patch

• [SSM.3] EC2 Le istanze Amazon gestite da Systems Manager devono avere uno stato di conformità dell'associazione pari a COMPLIANT

• [SSM.4] I documenti SSM non devono essere pubblici

• [StepFunctions.1] Le macchine a stati Step Functions dovrebbero avere la registrazione attivata

• [Transfer.2] I server Transfer Family non devono utilizzare il protocollo FTP per la connessione agli endpoint

• [Transfer.3] I connettori Transfer Family devono avere la registrazione abilitata

• [WAF.1] La registrazione AWS WAF classica Global Web ACL deve essere abilitata

• [WAF.2] Le regole regionali AWS WAF classiche devono avere almeno una condizione

• [WAF.3] I gruppi di regole regionali AWS WAF classici dovrebbero avere almeno una regola

• [WAF.4] Il sito Web regionale AWS WAF classico ACLs deve avere almeno una regola o un gruppo di regole

• [WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione

• [WAF.7] I gruppi di regole globali AWS WAF classici dovrebbero avere almeno una regola

• [WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole

• [WAF.10] AWS WAF web ACLs dovrebbe avere almeno una regola o un gruppo di regole

• [WAF.11] La registrazione AWS WAF web ACL deve essere abilitata

• Le regole [WAF.12] devono avere le metriche abilitate AWS WAF CloudWatch

• [WorkSpaces.1] i volumi WorkSpaces utente devono essere crittografati quando sono inattivi

• [WorkSpaces.2] i volumi WorkSpaces root devono essere crittografati quando sono inattivi

Cina (Pechino)

I seguenti controlli non sono supportati nella regione Cina (Pechino).

• [Account.2] Account AWS deve far parte di un'organizzazione AWS Organizations

• [ACM.1] I certificati importati ed emessi da ACM devono essere rinnovati dopo un periodo di tempo specificato

• [ACM.2] I certificati RSA gestiti da ACM devono utilizzare una lunghezza di chiave di almeno 2.048 bit

• [ACM.3] I certificati ACM devono essere etichettati

• [APIGateway.2] Le fasi API REST di API Gateway devono essere configurate per utilizzare i certificati SSL per l'autenticazione del backend

• [APIGateway.3] Le fasi API REST di API Gateway devono avere la AWS X-Ray traccia abilitata

• [APIGateway.4] API Gateway deve essere associato a un ACL Web WAF

• [AppConfig.1] AWS AppConfig le applicazioni devono essere etichettate

• [AppConfig.2] i profili AWS AppConfig di configurazione devono essere etichettati

• [AppConfig.3] AWS AppConfig gli ambienti devono essere etichettati

• [AppConfig.4] le associazioni di AWS AppConfig estensioni devono essere etichettate

• [AppFlow.1] I AppFlow flussi Amazon devono essere etichettati

• [AppRunner.1] I servizi App Runner devono essere etichettati

• [AppRunner.2] I connettori VPC App Runner devono essere etichettati

• [AppSync.1] Le cache AWS AppSync delle API devono essere crittografate quando sono inattive

• [AppSync.4] AWS AppSync APIs GraphQL dovrebbe essere taggato

• [AppSync.6] Le cache delle AWS AppSync API devono essere crittografate in transito

• [Athena.2] I cataloghi di dati Athena devono essere etichettati

• [Athena.3] I gruppi di lavoro Athena devono essere etichettati

• [AutoScaling.10] I gruppi EC2 Auto Scaling devono essere etichettati

• [Backup.1] i punti di AWS Backup ripristino devono essere crittografati a riposo

• [Backup.2] i punti di AWS Backup ripristino devono essere etichettati

• I AWS Backup vault [Backup.3] devono essere etichettati

• [Backup.4] i piani di AWS Backup report devono essere etichettati

• [Backup.5] i piani di AWS Backup backup devono essere etichettati

• [Batch.1] Le code di processi in batch devono essere etichettate

• [Batch.2] Le politiche di pianificazione dei batch devono essere etichettate

• [Batch.3] Gli ambienti di calcolo in batch devono essere etichettati

• [CloudFormation.2] CloudFormation gli stack devono essere etichettati

• [CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato

• [CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito

• [CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine

• [CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata

• [CloudFront.6] le CloudFront distribuzioni devono avere WAF abilitato

• [CloudFront.7] le CloudFront distribuzioni devono utilizzare certificati SSL/TLS personalizzati

• [CloudFront.8] le CloudFront distribuzioni devono utilizzare SNI per soddisfare le richieste HTTPS

• [CloudFront.9] le CloudFront distribuzioni devono crittografare il traffico verso origini personalizzate

• [CloudFront.10] CloudFront le distribuzioni non devono utilizzare protocolli SSL obsoleti tra edge location e origini personalizzate

• [CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine

• [CloudFront.14] le distribuzioni devono essere etichettate CloudFront

• [CloudTrail.9] i percorsi devono essere etichettati CloudTrail

• [CloudWatch.15] gli CloudWatch allarmi devono avere azioni specificate configurate

• [CloudWatch.16] i gruppi di CloudWatch log devono essere conservati per un periodo di tempo specificato

• [CodeArtifact.1] i CodeArtifact repository devono essere etichettati

• [CodeGuruProfiler.1] I gruppi di CodeGuru profilazione Profiler devono essere etichettati

• [CodeGuruReviewer.1] Le associazioni dei repository dei CodeGuru revisori devono essere etichettate

• [Cognito.1] I pool di utenti di Cognito dovrebbero avere la protezione dalle minacce attivata con la modalità di imposizione completa delle funzioni per l'autenticazione standard

• [Connect.1] I tipi di oggetto Amazon Connect Customer Profiles devono essere etichettati

• [Connect.2] Le istanze Amazon Connect devono avere la registrazione abilitata CloudWatch

• [DataFirehose.1] I flussi di distribuzione di Firehose devono essere crittografati quando sono inattivi

• [Detective.1] I grafici del comportamento dei Detective devono essere etichettati

• [DMS.2] I certificati DMS devono essere etichettati

• [DMS.3] Le sottoscrizioni agli eventi DMS devono essere contrassegnate

• [DMS.4] Le istanze di replica DMS devono essere contrassegnate

• [DMS.5] I gruppi di sottoreti di replica DMS devono essere etichettati

• [DMS.10] Gli endpoint DMS per i database Neptune devono avere l'autorizzazione IAM abilitata

• [DMS.11] Gli endpoint DMS per MongoDB devono avere un meccanismo di autenticazione abilitato

• [DMS.12] Gli endpoint DMS per Redis OSS devono avere TLS abilitato

• [DocumentDB.1] I cluster Amazon DocumentDB devono essere crittografati quando sono inattivi

• [DocumentDB.2] I cluster Amazon DocumentDB devono avere un periodo di conservazione dei backup adeguato

• [DocumentDB.3] Le istantanee manuali dei cluster di Amazon DocumentDB non devono essere pubbliche

• [DocumentDB.4] I cluster Amazon DocumentDB devono pubblicare i log di controllo su Logs CloudWatch

• [DocumentDB.5] I cluster Amazon DocumentDB devono avere la protezione da eliminazione abilitata

• [DynamoDB.3] I cluster DynamoDB Accelerator (DAX) devono essere crittografati quando sono inattivi

• [DynamoDB.4] Le tabelle DynamoDB devono essere presenti in un piano di backup

• [DynamoDB.5] Le tabelle DynamoDB devono essere etichettate

• [DynamoDB.7] I cluster DynamoDB Accelerator devono essere crittografati in transito

• [EC2.15] Le EC2 sottoreti Amazon non devono assegnare automaticamente indirizzi IP pubblici

• [EC2.16] Gli elenchi di controllo degli accessi alla rete non utilizzati devono essere rimossi

• [EC2.20] Entrambi i tunnel VPN per una connessione AWS Site-to-Site VPN dovrebbero essere attivi

• [EC2.22] I gruppi di EC2 sicurezza Amazon non utilizzati devono essere rimossi

• [EC2.23] Amazon EC2 Transit Gateways non dovrebbe accettare automaticamente le richieste di allegati VPC

• [EC2.28] I volumi EBS devono essere coperti da un piano di backup

• [EC2.33] Gli allegati di EC2 Transit Gateway devono essere etichettati

• [EC2.34] Le tabelle delle rotte dei gateway di EC2 transito devono essere etichettate

• [EC2.35] le interfacce EC2 di rete devono essere etichettate

• [EC2.36] I gateway per i EC2 clienti devono essere etichettati

• [EC2.37] Gli indirizzi IP EC2 elastici devono essere etichettati

• [EC2.38] EC2 le istanze devono essere etichettate

• [EC2.39] i gateway EC2 Internet devono essere etichettati

• [EC2.40] I gateway EC2 NAT devono essere etichettati

• [EC2.41] la EC2 rete ACLs deve essere etichettata

• [EC2.42] le tabelle delle EC2 rotte devono essere etichettate

• [EC2.43] i gruppi EC2 di sicurezza devono essere etichettati

• [EC24.4] le EC2 sottoreti devono essere etichettate

• [EC2.45] i EC2 volumi devono essere etichettati

• [EC2.46] Amazon VPCs dovrebbe essere taggato

• [EC2.47] I servizi endpoint Amazon VPC devono essere etichettati

• [EC2.48] I log di flusso di Amazon VPC devono essere etichettati

• [EC2.49] Le connessioni peering Amazon VPC devono essere etichettate

• [EC2.50] I gateway EC2 VPN devono essere etichettati

• [EC2.51] Gli endpoint EC2 Client VPN devono avere la registrazione delle connessioni client abilitata

• [EC2.52] i gateway di EC2 transito devono essere etichettati

• [EC2.53] i gruppi EC2 di sicurezza non dovrebbero consentire l'accesso da 0.0.0.0/0 alle porte di amministrazione remota del server

• [EC2.54] i gruppi EC2 di sicurezza non dovrebbero consentire l'accesso da: :/0 alle porte di amministrazione remota del server

• [EC2.58] VPCs deve essere configurato con un endpoint di interfaccia per Systems Manager Incident Manager Contacts

• [EC2.60] VPCs deve essere configurato con un endpoint di interfaccia per Systems Manager Incident Manager

• [EC2.171] Le connessioni EC2 VPN devono avere la registrazione abilitata

• [ECR.1] Gli archivi privati ECR devono avere la scansione delle immagini configurata

• [ECR.4] Gli archivi pubblici ECR devono essere etichettati

• [ECS.1] Le definizioni delle attività di Amazon ECS devono avere modalità di rete e definizioni utente sicure.

• [ECS.13] I servizi ECS devono essere etichettati

• [ECS.14] I cluster ECS devono essere etichettati

• [ECS.15] Le definizioni delle attività ECS devono essere etichettate

• [EFS.5] I punti di accesso EFS devono essere etichettati

• [EFS.6] I target di montaggio EFS non devono essere associati a una sottorete pubblica

• [EKS.3] I cluster EKS devono utilizzare segreti Kubernetes crittografati

• [EKS.6] I cluster EKS devono essere etichettati

• [EKS.7] Le configurazioni dei provider di identità EKS devono essere contrassegnate

• I cluster [ElastiCache.1] ElastiCache (Redis OSS) devono avere i backup automatici abilitati

• [ElasticBeanstalk.1] Gli ambienti Elastic Beanstalk dovrebbero avere la reportistica sullo stato avanzata abilitata

• [ElasticBeanstalk.2] Gli aggiornamenti della piattaforma gestita da Elastic Beanstalk devono essere abilitati

• [ElasticBeanstalk.3] Elastic Beanstalk dovrebbe trasmettere i log a CloudWatch

• [ELB.2] I sistemi Classic Load Balancer con listener SSL/HTTPS devono utilizzare un certificato fornito da AWS Certificate Manager

• [ELB.16] Gli Application Load Balancer devono essere associati a un ACL web AWS WAF

• [ELB.17] Gli Application and Network Load Balancer con listener devono utilizzare le politiche di sicurezza consigliate

• [EMR.2] L'impostazione di accesso pubblico a blocchi di Amazon EMR deve essere abilitata

• [EMR.3] Le configurazioni di sicurezza di Amazon EMR devono essere crittografate quando sono inattive

• [EMR.4] Le configurazioni di sicurezza di Amazon EMR devono essere crittografate in transito

• [ES.3] I domini Elasticsearch devono crittografare i dati inviati tra i nodi

• [ES.4] La registrazione degli errori del dominio Elasticsearch nei log deve essere abilitata CloudWatch

• [ES.9] I domini Elasticsearch devono essere etichettati

• [EventBridge.2] i bus EventBridge degli eventi devono essere etichettati

• [EventBridge.4] EventBridge gli endpoint globali dovrebbero avere la replica degli eventi abilitata

• [FraudDetector.1] I tipi di entità Amazon Fraud Detector devono essere etichettati

• [FraudDetector.2] Le etichette di Amazon Fraud Detector devono essere etichettate

• [FraudDetector.3] I risultati di Amazon Fraud Detector devono essere etichettati

• [FraudDetector.4] Le variabili di Amazon Fraud Detector devono essere etichettate

• [FSx.1] FSx per i file system OpenZFS deve essere configurato per copiare i tag su backup e volumi

• [FSx.2] FSx per i file system Lustre devono essere configurati per copiare i tag nei backup

• [FSx.5] FSx per i file system Windows File Server devono essere configurati per l'implementazione Multi-AZ

• [GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati

• [Glue.1] i AWS Glue lavori devono essere etichettati

• [GuardDuty.1] GuardDuty dovrebbe essere abilitato

• [GuardDuty.2] GuardDuty i filtri devono essere etichettati

• [GuardDuty.3] GuardDuty IPSets deve essere taggato

• [GuardDuty.4] i GuardDuty rilevatori devono essere etichettati

• [GuardDuty.5] GuardDuty EKS Audit Log Monitoring deve essere abilitato

• [GuardDuty.6] La protezione GuardDuty Lambda deve essere abilitata

• [GuardDuty.7] GuardDuty EKS Runtime Monitoring deve essere abilitato

• [GuardDuty.8] La protezione GuardDuty da malware per EC2 deve essere abilitata

• [GuardDuty.9] La protezione GuardDuty RDS deve essere abilitata

• [GuardDuty.10] La protezione GuardDuty S3 deve essere abilitata

• [GuardDuty.11] Il monitoraggio del GuardDuty runtime deve essere abilitato

• [GuardDuty.12] Il monitoraggio del runtime GuardDuty ECS deve essere abilitato

• [GuardDuty.13] Il monitoraggio del GuardDuty EC2 runtime deve essere abilitato

• [IAM.6] L'autenticazione MFA per l'hardware deve essere abilitata per l'utente root

• [IAM.9] L'MFA deve essere abilitata per l'utente root

• [IAM.21] Le policy gestite dai clienti IAM che create non dovrebbero consentire azioni jolly per i servizi

• [IAM.23] Gli analizzatori IAM Access Analyzer devono essere etichettati

• [IAM.24] I ruoli IAM devono essere etichettati

• [IAM.25] Gli utenti IAM devono essere etichettati

• [IAM.26] I certificati SSL/TLS scaduti gestiti in IAM devono essere rimossi

• [IAM.27] Le identità IAM non devono avere la policy allegata AWSCloud ShellFullAccess

• [IAM.28] L'analizzatore di accesso esterno IAM Access Analyzer deve essere abilitato

• [Inspector.1] La scansione di Amazon Inspector deve essere abilitata EC2

• [Inspector.2] La scansione ECR di Amazon Inspector deve essere abilitata

• [Inspector.3] La scansione del codice Amazon Inspector Lambda deve essere abilitata

• [Inspector.4] La scansione standard di Amazon Inspector Lambda deve essere abilitata

• [IoT.1] i profili di AWS IoT Device Defender sicurezza devono essere etichettati

• [IoT.2] le azioni di AWS IoT Core mitigazione devono essere etichettate

• [IoT.3] le AWS IoT Core dimensioni devono essere etichettate

• gli AWS IoT Core autorizzatori [IoT.4] devono essere etichettati

• [IoT.5] gli alias dei AWS IoT Core ruoli devono essere etichettati

• [IoT.6] AWS IoT Core le politiche devono essere etichettate

• [Io TEvents .1] Gli input di AWS IoT Events devono essere etichettati

• [Io TEvents .2] I modelli di rilevatori AWS IoT Events devono essere etichettati

• [Io TEvents .3] I modelli di allarme AWS IoT Events devono essere etichettati

• [Io TSite Wise.1] I modelli di SiteWise asset AWS IoT devono essere etichettati

• [Io TSite Wise.2] Le SiteWise dashboard AWS IoT devono essere etichettate

• [Io TSite Wise.3] I SiteWise gateway AWS IoT devono essere etichettati

• [Io TSite Wise.4] I SiteWise portali AWS IoT devono essere etichettati

• [Io TSite Wise.5] I SiteWise progetti AWS IoT devono essere etichettati

• [Io TTwin Maker.1] I lavori di TwinMaker sincronizzazione AWS IoT devono essere etichettati

• [Io TTwin Maker.2] Gli spazi di TwinMaker lavoro AWS IoT devono essere etichettati

• [Io TTwin Maker.3] Le TwinMaker scene AWS IoT devono essere etichettate

• [Io TTwin Maker.4] Le TwinMaker entità AWS IoT devono essere etichettate

• [Io TWireless .1] I gruppi multicast AWS IoT Wireless devono essere etichettati

• [Io TWireless .2] I profili dei servizi AWS IoT Wireless devono essere etichettati

• [Io TWireless .3] Le attività AWS IOT FUOTA devono essere etichettate

• [IVS.1] Le coppie di chiavi di riproduzione IVS devono essere etichettate

• [IVS.2] Le configurazioni di registrazione IVS devono essere contrassegnate

• [IVS.3] I canali IVS devono essere etichettati

• [Keyspaces.1] Gli spazi chiave di Amazon Keyspaces devono essere etichettati

• [Kinesis.2] Gli stream Kinesis devono essere etichettati

• [Lambda.6] Le funzioni Lambda devono essere etichettate

• [Macie.1] Amazon Macie dovrebbe essere abilitato

• [Macie.2] Il rilevamento automatico dei dati sensibili di Macie deve essere abilitato

• [MQ.2] I broker ActiveMQ devono trasmettere i log di controllo a CloudWatch

• [MQ.4] I broker Amazon MQ devono essere etichettati

• [MSK.3] I connettori MSK Connect devono essere crittografati in transito

• [Neptune.1] I cluster Neptune DB devono essere crittografati a riposo

• [Neptune.2] I cluster Neptune DB devono pubblicare i log di controllo su Logs CloudWatch

• [Neptune.3] Le istantanee del cluster Neptune DB non devono essere pubbliche

• [Neptune.4] I cluster Neptune DB devono avere la protezione da eliminazione abilitata

• [Neptune.5] I cluster Neptune DB devono avere i backup automatici abilitati

• [Neptune.6] Le istantanee del cluster Neptune DB devono essere crittografate quando sono inattive

• [Neptune.7] I cluster Neptune DB devono avere l'autenticazione del database IAM abilitata

• [Neptune.8] I cluster Neptune DB devono essere configurati per copiare i tag nelle istantanee

• [Neptune.9] I cluster Neptune DB devono essere distribuiti su più zone di disponibilità

• [NetworkFirewall.1] I firewall Network Firewall devono essere distribuiti su più zone di disponibilità

• [NetworkFirewall.2] La registrazione del Network Firewall deve essere abilitata

• [NetworkFirewall.3] Le policy di Network Firewall devono avere almeno un gruppo di regole associato

• [NetworkFirewall.4] L'azione stateless predefinita per le policy del Network Firewall dovrebbe essere drop or forward per pacchetti completi

• [NetworkFirewall.5] L'azione stateless predefinita per le policy del Network Firewall dovrebbe essere drop or forward per i pacchetti frammentati

• [NetworkFirewall.6] Il gruppo di regole Stateless Network Firewall non deve essere vuoto

• [NetworkFirewall.7] I firewall Network Firewall devono essere etichettati

• [NetworkFirewall.8] Le politiche firewall di Network Firewall devono essere etichettate

• [NetworkFirewall.9] I firewall Network Firewall devono avere la protezione da eliminazione abilitata

• [NetworkFirewall.10] I firewall Network Firewall devono avere la protezione da cambio di sottorete abilitata

• I OpenSearch domini [Opensearch.1] devono avere la crittografia a riposo abilitata

• I OpenSearch domini [Opensearch.2] non devono essere accessibili al pubblico

• I OpenSearch domini [Opensearch.3] devono crittografare i dati inviati tra i nodi

• La registrazione degli errori del OpenSearch dominio [Opensearch.4] nei log dovrebbe essere abilitata CloudWatch

• I OpenSearch domini [Opensearch.5] devono avere la registrazione di controllo abilitata

• I OpenSearch domini [Opensearch.6] devono avere almeno tre nodi di dati

• I OpenSearch domini [Opensearch.7] devono avere un controllo degli accessi granulare abilitato

• [Opensearch.8] Le connessioni ai OpenSearch domini devono essere crittografate utilizzando la più recente politica di sicurezza TLS

• I OpenSearch domini [Opensearch.9] devono essere etichettati

• I OpenSearch domini [Opensearch.11] devono avere almeno tre nodi primari dedicati

• L'autorità di certificazione AWS Private CA principale [PCA.1] deve essere disabilitata

• [PCA.2] Le autorità di certificazione CA AWS private devono essere etichettate

• [RDS.7] I cluster RDS devono avere la protezione da eliminazione abilitata

• [RDS.10] L'autenticazione IAM deve essere configurata per le istanze RDS

• [RDS.12] L'autenticazione IAM deve essere configurata per i cluster RDS

• [RDS.13] Gli aggiornamenti automatici delle versioni secondarie di RDS devono essere abilitati

• [RDS.14] I cluster Amazon Aurora devono avere il backtracking abilitato

• [RDS.15] I cluster RDS DB devono essere configurati per più zone di disponibilità

• [RDS.16] I cluster RDS DB devono essere configurati per copiare i tag nelle istantanee

• [RDS.24] I cluster di database RDS devono utilizzare un nome utente di amministratore personalizzato

• [RDS.25] Le istanze del database RDS devono utilizzare un nome utente amministratore personalizzato

• [RDS.26] Le istanze DB RDS devono essere protette da un piano di backup

• [RDS.27] I cluster RDS DB devono essere crittografati quando sono inattivi

• [RDS.28] I cluster RDS DB devono essere etichettati

• [RDS.29] Gli snapshot del cluster RDS DB devono essere etichettati

• [RDS.30] Le istanze DB RDS devono essere etichettate

• [RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati

• [RDS.32] Gli snapshot RDS DB devono essere etichettati

• [RDS.33] I gruppi di sottoreti RDS DB devono essere etichettati

• [RDS.34] I cluster Aurora MySQL DB devono pubblicare i log di controllo nei registri CloudWatch

• [RDS.35] Nei cluster RDS DB deve essere abilitato l'aggiornamento automatico delle versioni secondarie

• [RDS.37] I cluster Aurora PostgreSQL DB devono pubblicare i log nei log CloudWatch

• [Redshift.7] I cluster Redshift devono utilizzare un routing VPC avanzato

• [Redshift.10] I cluster Redshift devono essere crittografati a riposo

• [Redshift.11] I cluster Redshift devono essere etichettati

• [Redshift.12] Le sottoscrizioni alle notifiche degli eventi Redshift devono essere contrassegnate

• [Redshift.13] Le istantanee del cluster Redshift devono essere etichettate

• [Redshift.14] I gruppi di sottoreti del cluster Redshift devono essere etichettati

• [Redshift.15] I gruppi di sicurezza Redshift dovrebbero consentire l'ingresso sulla porta del cluster solo da origini limitate

• [RedshiftServerless.1] I gruppi di lavoro Serverless di Amazon Redshift devono utilizzare un routing VPC avanzato

• [Route53.1] I controlli sanitari della Route 53 devono essere etichettati

• [Route53.2] Le zone ospitate pubbliche di Route 53 devono registrare le query DNS

• [S3.1] I bucket generici S3 devono avere le impostazioni di blocco dell'accesso pubblico abilitate

• [S3.8] I bucket generici S3 dovrebbero bloccare l'accesso pubblico

• [S3.14] I bucket generici S3 devono avere il controllo delle versioni abilitato

• [S3.22] I bucket S3 per uso generico devono registrare gli eventi di scrittura a livello di oggetto

• [S3.23] I bucket S3 per uso generico devono registrare gli eventi di lettura a livello di oggetto

• [S3.24] I punti di accesso multiregionali S3 devono avere le impostazioni di blocco dell'accesso pubblico abilitate

• [SageMaker.1] Le istanze di SageMaker notebook Amazon non devono avere accesso diretto a Internet

• [SageMaker.4] Le varianti di produzione di SageMaker endpoint devono avere un numero iniziale di istanze superiore a 1

• [SageMaker.5] i SageMaker modelli dovrebbero bloccare il traffico in entrata

• [SecretsManager.3] Rimuovi i segreti inutilizzati di Secrets Manager

• [SecretsManager.4] I segreti di Secrets Manager devono essere ruotati entro un determinato numero di giorni

• [SecretsManager.5] I segreti di Secrets Manager devono essere etichettati

• [ServiceCatalog.1] I portafogli Service Catalog devono essere condivisi solo all'interno di un'organizzazione AWS

• [SES.1] Gli elenchi di contatti SES devono essere etichettati

• [SES.2] I set di configurazione SES devono essere etichettati

• [SNS.3] Gli argomenti SNS devono essere etichettati

• [SQS.2] Le code SQS devono essere etichettate

• [StepFunctions.2] Le attività di Step Functions devono essere etichettate

• I AWS Transfer Family flussi di lavoro [Transfer.1] devono essere etichettati

• [Transfer.2] I server Transfer Family non devono utilizzare il protocollo FTP per la connessione agli endpoint

• [WAF.1] La registrazione AWS WAF classica Global Web ACL deve essere abilitata

• [WAF.3] I gruppi di regole regionali AWS WAF classici dovrebbero avere almeno una regola

• [WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione

• [WAF.7] I gruppi di regole globali AWS WAF classici dovrebbero avere almeno una regola

• [WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole

• [WAF.11] La registrazione AWS WAF web ACL deve essere abilitata

• [WorkSpaces.1] i volumi WorkSpaces utente devono essere crittografati quando sono inattivi

• [WorkSpaces.2] i volumi WorkSpaces root devono essere crittografati quando sono inattivi

Cina (Ningxia)

I seguenti controlli non sono supportati nella regione Cina (Ningxia).

• [Account.2] Account AWS deve far parte di un'organizzazione AWS Organizations

• [ACM.1] I certificati importati ed emessi da ACM devono essere rinnovati dopo un periodo di tempo specificato

• [ACM.2] I certificati RSA gestiti da ACM devono utilizzare una lunghezza di chiave di almeno 2.048 bit

• [ACM.3] I certificati ACM devono essere etichettati

• [APIGateway.2] Le fasi API REST di API Gateway devono essere configurate per utilizzare i certificati SSL per l'autenticazione del backend

• [APIGateway.3] Le fasi API REST di API Gateway devono avere la AWS X-Ray traccia abilitata

• [APIGateway.4] API Gateway deve essere associato a un ACL Web WAF

• [AppConfig.1] AWS AppConfig le applicazioni devono essere etichettate

• [AppConfig.2] i profili AWS AppConfig di configurazione devono essere etichettati

• [AppConfig.3] AWS AppConfig gli ambienti devono essere etichettati

• [AppConfig.4] le associazioni di AWS AppConfig estensioni devono essere etichettate

• [AppFlow.1] I AppFlow flussi Amazon devono essere etichettati

• [AppRunner.1] I servizi App Runner devono essere etichettati

• [AppRunner.2] I connettori VPC App Runner devono essere etichettati

• [AppSync.1] Le cache AWS AppSync delle API devono essere crittografate quando sono inattive

• [AppSync.4] AWS AppSync APIs GraphQL dovrebbe essere taggato

• [AppSync.6] Le cache delle AWS AppSync API devono essere crittografate in transito

• [Athena.2] I cataloghi di dati Athena devono essere etichettati

• [Athena.3] I gruppi di lavoro Athena devono essere etichettati

• [AutoScaling.10] I gruppi EC2 Auto Scaling devono essere etichettati

• [Backup.1] i punti di AWS Backup ripristino devono essere crittografati a riposo

• [Backup.2] i punti di AWS Backup ripristino devono essere etichettati

• I AWS Backup vault [Backup.3] devono essere etichettati

• [Backup.4] i piani di AWS Backup report devono essere etichettati

• [Backup.5] i piani di AWS Backup backup devono essere etichettati

• [Batch.1] Le code di processi in batch devono essere etichettate

• [Batch.2] Le politiche di pianificazione dei batch devono essere etichettate

• [Batch.3] Gli ambienti di calcolo in batch devono essere etichettati

• [CloudFormation.2] CloudFormation gli stack devono essere etichettati

• [CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato

• [CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito

• [CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine

• [CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata

• [CloudFront.6] le CloudFront distribuzioni devono avere WAF abilitato

• [CloudFront.7] le CloudFront distribuzioni devono utilizzare certificati SSL/TLS personalizzati

• [CloudFront.8] le CloudFront distribuzioni devono utilizzare SNI per soddisfare le richieste HTTPS

• [CloudFront.9] le CloudFront distribuzioni devono crittografare il traffico verso origini personalizzate

• [CloudFront.10] CloudFront le distribuzioni non devono utilizzare protocolli SSL obsoleti tra edge location e origini personalizzate

• [CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti

• [CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine

• [CloudFront.14] le distribuzioni devono essere etichettate CloudFront

• [CloudTrail.9] i percorsi devono essere etichettati CloudTrail

• [CloudWatch.15] gli CloudWatch allarmi devono avere azioni specificate configurate

• [CloudWatch.16] i gruppi di CloudWatch log devono essere conservati per un periodo di tempo specificato

• [CodeArtifact.1] i CodeArtifact repository devono essere etichettati

• [CodeGuruProfiler.1] I gruppi di CodeGuru profilazione Profiler devono essere etichettati

• [CodeGuruReviewer.1] Le associazioni dei repository dei CodeGuru revisori devono essere etichettate

• [Cognito.1] I pool di utenti di Cognito dovrebbero avere la protezione dalle minacce attivata con la modalità di imposizione completa delle funzioni per l'autenticazione standard

• [Connect.1] I tipi di oggetto Amazon Connect Customer Profiles devono essere etichettati

• [Connect.2] Le istanze Amazon Connect devono avere la registrazione abilitata CloudWatch

• [DataFirehose.1] I flussi di distribuzione di Firehose devono essere crittografati quando sono inattivi

• [Detective.1] I grafici del comportamento dei Detective devono essere etichettati

• [DMS.2] I certificati DMS devono essere etichettati

• [DMS.3] Le sottoscrizioni agli eventi DMS devono essere contrassegnate

• [DMS.4] Le istanze di replica DMS devono essere contrassegnate

• [DMS.5] I gruppi di sottoreti di replica DMS devono essere etichettati

• [DMS.10] Gli endpoint DMS per i database Neptune devono avere l'autorizzazione IAM abilitata

• [DMS.11] Gli endpoint DMS per MongoDB devono avere un meccanismo di autenticazione abilitato

• [DMS.12] Gli endpoint DMS per Redis OSS devono avere TLS abilitato

• [DocumentDB.3] Le istantanee manuali dei cluster di Amazon DocumentDB non devono essere pubbliche

• [DynamoDB.3] I cluster DynamoDB Accelerator (DAX) devono essere crittografati quando sono inattivi

• [DynamoDB.4] Le tabelle DynamoDB devono essere presenti in un piano di backup

• [DynamoDB.5] Le tabelle DynamoDB devono essere etichettate

• [DynamoDB.7] I cluster DynamoDB Accelerator devono essere crittografati in transito

• [EC2.15] Le EC2 sottoreti Amazon non devono assegnare automaticamente indirizzi IP pubblici

• [EC2.16] Gli elenchi di controllo degli accessi alla rete non utilizzati devono essere rimossi

• [EC2.20] Entrambi i tunnel VPN per una connessione AWS Site-to-Site VPN dovrebbero essere attivi

• [EC2.22] I gruppi di EC2 sicurezza Amazon non utilizzati devono essere rimossi

• [EC2.23] Amazon EC2 Transit Gateways non dovrebbe accettare automaticamente le richieste di allegati VPC

• [EC2.24] I tipi di istanze EC2 paravirtuali di Amazon non devono essere utilizzati

• [EC2.28] I volumi EBS devono essere coperti da un piano di backup

• [EC2.33] Gli allegati di EC2 Transit Gateway devono essere etichettati

• [EC2.34] Le tabelle delle rotte dei gateway di EC2 transito devono essere etichettate

• [EC2.35] le interfacce EC2 di rete devono essere etichettate

• [EC2.36] I gateway per i EC2 clienti devono essere etichettati

• [EC2.37] Gli indirizzi IP EC2 elastici devono essere etichettati

• [EC2.38] EC2 le istanze devono essere etichettate

• [EC2.39] i gateway EC2 Internet devono essere etichettati

• [EC2.40] I gateway EC2 NAT devono essere etichettati

• [EC2.41] la EC2 rete ACLs deve essere etichettata

• [EC2.42] le tabelle delle EC2 rotte devono essere etichettate

• [EC2.43] i gruppi EC2 di sicurezza devono essere etichettati

• [EC24.4] le EC2 sottoreti devono essere etichettate

• [EC2.45] i EC2 volumi devono essere etichettati

• [EC2.46] Amazon VPCs dovrebbe essere taggato

• [EC2.47] I servizi endpoint Amazon VPC devono essere etichettati

• [EC2.48] I log di flusso di Amazon VPC devono essere etichettati

• [EC2.49] Le connessioni peering Amazon VPC devono essere etichettate

• [EC2.50] I gateway EC2 VPN devono essere etichettati

• [EC2.51] Gli endpoint EC2 Client VPN devono avere la registrazione delle connessioni client abilitata

• [EC2.52] i gateway di EC2 transito devono essere etichettati

• [EC2.58] VPCs deve essere configurato con un endpoint di interfaccia per Systems Manager Incident Manager Contacts

• [EC2.60] VPCs deve essere configurato con un endpoint di interfaccia per Systems Manager Incident Manager

• [EC2.171] Le connessioni EC2 VPN devono avere la registrazione abilitata

• [ECR.1] Gli archivi privati ECR devono avere la scansione delle immagini configurata

• [ECR.4] Gli archivi pubblici ECR devono essere etichettati

• [ECS.1] Le definizioni delle attività di Amazon ECS devono avere modalità di rete e definizioni utente sicure.

• [ECS.13] I servizi ECS devono essere etichettati

• [ECS.14] I cluster ECS devono essere etichettati

• [ECS.15] Le definizioni delle attività ECS devono essere etichettate

• [EFS.3] I punti di accesso EFS devono applicare una directory principale

• [EFS.4] I punti di accesso EFS devono applicare un'identità utente

• [EFS.5] I punti di accesso EFS devono essere etichettati

• [EFS.6] I target di montaggio EFS non devono essere associati a una sottorete pubblica

• [EKS.3] I cluster EKS devono utilizzare segreti Kubernetes crittografati

• [EKS.6] I cluster EKS devono essere etichettati

• [EKS.7] Le configurazioni dei provider di identità EKS devono essere contrassegnate

• I cluster [ElastiCache.1] ElastiCache (Redis OSS) devono avere i backup automatici abilitati

• [ElasticBeanstalk.1] Gli ambienti Elastic Beanstalk dovrebbero avere la reportistica sullo stato avanzata abilitata

• [ElasticBeanstalk.2] Gli aggiornamenti della piattaforma gestita da Elastic Beanstalk devono essere abilitati

• [ElasticBeanstalk.3] Elastic Beanstalk dovrebbe trasmettere i log a CloudWatch

• [ELB.2] I sistemi Classic Load Balancer con listener SSL/HTTPS devono utilizzare un certificato fornito da AWS Certificate Manager

• [ELB.16] Gli Application Load Balancer devono essere associati a un ACL web AWS WAF

• [ELB.17] Gli Application and Network Load Balancer con listener devono utilizzare le politiche di sicurezza consigliate

• [EMR.2] L'impostazione di accesso pubblico a blocchi di Amazon EMR deve essere abilitata

• [EMR.3] Le configurazioni di sicurezza di Amazon EMR devono essere crittografate quando sono inattive

• [EMR.4] Le configurazioni di sicurezza di Amazon EMR devono essere crittografate in transito

• [ES.1] I domini Elasticsearch devono avere la crittografia a riposo abilitata

• [ES.3] I domini Elasticsearch devono crittografare i dati inviati tra i nodi

• [ES.4] La registrazione degli errori del dominio Elasticsearch nei log deve essere abilitata CloudWatch

• [ES.9] I domini Elasticsearch devono essere etichettati

• [EventBridge.2] i bus EventBridge degli eventi devono essere etichettati

• [EventBridge.4] EventBridge gli endpoint globali dovrebbero avere la replica degli eventi abilitata

• [FraudDetector.1] I tipi di entità Amazon Fraud Detector devono essere etichettati

• [FraudDetector.2] Le etichette di Amazon Fraud Detector devono essere etichettate

• [FraudDetector.3] I risultati di Amazon Fraud Detector devono essere etichettati

• [FraudDetector.4] Le variabili di Amazon Fraud Detector devono essere etichettate

• [FSx.1] FSx per i file system OpenZFS deve essere configurato per copiare i tag su backup e volumi

• [FSx.2] FSx per i file system Lustre devono essere configurati per copiare i tag nei backup

• [FSx.5] FSx per i file system Windows File Server devono essere configurati per l'implementazione Multi-AZ

• [GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati

• [Glue.1] i AWS Glue lavori devono essere etichettati

• [Glue.3] le trasformazioni di apprendimento AWS Glue automatico devono essere crittografate a riposo

• [GuardDuty.1] GuardDuty dovrebbe essere abilitato

• [GuardDuty.2] GuardDuty i filtri devono essere etichettati

• [GuardDuty.3] GuardDuty IPSets deve essere taggato

• [GuardDuty.4] i GuardDuty rilevatori devono essere etichettati

• [GuardDuty.5] GuardDuty EKS Audit Log Monitoring deve essere abilitato

• [GuardDuty.6] La protezione GuardDuty Lambda deve essere abilitata

• [GuardDuty.7] GuardDuty EKS Runtime Monitoring deve essere abilitato

• [GuardDuty.8] La protezione GuardDuty da malware per EC2 deve essere abilitata

• [GuardDuty.9] La protezione GuardDuty RDS deve essere abilitata

• [GuardDuty.10] La protezione GuardDuty S3 deve essere abilitata

• [GuardDuty.11] Il monitoraggio del GuardDuty runtime deve essere abilitato

• [GuardDuty.12] Il monitoraggio del runtime GuardDuty ECS deve essere abilitato

• [GuardDuty.13] Il monitoraggio del GuardDuty EC2 runtime deve essere abilitato

• [IAM.6] L'autenticazione MFA per l'hardware deve essere abilitata per l'utente root

• [IAM.9] L'MFA deve essere abilitata per l'utente root

• [IAM.21] Le policy gestite dai clienti IAM che create non dovrebbero consentire azioni jolly per i servizi

• [IAM.23] Gli analizzatori IAM Access Analyzer devono essere etichettati

• [IAM.24] I ruoli IAM devono essere etichettati

• [IAM.25] Gli utenti IAM devono essere etichettati

• [IAM.26] I certificati SSL/TLS scaduti gestiti in IAM devono essere rimossi

• [IAM.27] Le identità IAM non devono avere la policy allegata AWSCloud ShellFullAccess

• [IAM.28] L'analizzatore di accesso esterno IAM Access Analyzer deve essere abilitato

• [Inspector.1] La scansione di Amazon Inspector deve essere abilitata EC2

• [Inspector.2] La scansione ECR di Amazon Inspector deve essere abilitata

• [Inspector.3] La scansione del codice Amazon Inspector Lambda deve essere abilitata

• [Inspector.4] La scansione standard di Amazon Inspector Lambda deve essere abilitata

• [IoT.1] i profili di AWS IoT Device Defender sicurezza devono essere etichettati

• [IoT.2] le azioni di AWS IoT Core mitigazione devono essere etichettate

• [IoT.3] le AWS IoT Core dimensioni devono essere etichettate

• gli AWS IoT Core autorizzatori [IoT.4] devono essere etichettati

• [IoT.5] gli alias dei AWS IoT Core ruoli devono essere etichettati

• [IoT.6] AWS IoT Core le politiche devono essere etichettate

• [Io TEvents .1] Gli input di AWS IoT Events devono essere etichettati

• [Io TEvents .2] I modelli di rilevatori AWS IoT Events devono essere etichettati

• [Io TEvents .3] I modelli di allarme AWS IoT Events devono essere etichettati

• [Io TSite Wise.1] I modelli di SiteWise asset AWS IoT devono essere etichettati

• [Io TSite Wise.2] Le SiteWise dashboard AWS IoT devono essere etichettate

• [Io TSite Wise.3] I SiteWise gateway AWS IoT devono essere etichettati

• [Io TSite Wise.4] I SiteWise portali AWS IoT devono essere etichettati

• [Io TSite Wise.5] I SiteWise progetti AWS IoT devono essere etichettati

• [Io TTwin Maker.1] I lavori di TwinMaker sincronizzazione AWS IoT devono essere etichettati

• [Io TTwin Maker.2] Gli spazi di TwinMaker lavoro AWS IoT devono essere etichettati

• [Io TTwin Maker.3] Le TwinMaker scene AWS IoT devono essere etichettate

• [Io TTwin Maker.4] Le TwinMaker entità AWS IoT devono essere etichettate

• [Io TWireless .1] I gruppi multicast AWS IoT Wireless devono essere etichettati

• [Io TWireless .2] I profili dei servizi AWS IoT Wireless devono essere etichettati

• [Io TWireless .3] Le attività AWS IOT FUOTA devono essere etichettate

• [IVS.1] Le coppie di chiavi di riproduzione IVS devono essere etichettate

• [IVS.2] Le configurazioni di registrazione IVS devono essere contrassegnate

• [IVS.3] I canali IVS devono essere etichettati

• [Keyspaces.1] Gli spazi chiave di Amazon Keyspaces devono essere etichettati

• [Kinesis.2] Gli stream Kinesis devono essere etichettati

• [Lambda.1] Le politiche delle funzioni Lambda dovrebbero vietare l'accesso pubblico

• [Lambda.2] Le funzioni Lambda devono utilizzare runtime supportati

• [Lambda.3] Le funzioni Lambda devono trovarsi in un VPC

• [Lambda.5] Le funzioni VPC Lambda devono funzionare in più zone di disponibilità

• [Lambda.6] Le funzioni Lambda devono essere etichettate

• [Macie.1] Amazon Macie dovrebbe essere abilitato

• [Macie.2] Il rilevamento automatico dei dati sensibili di Macie deve essere abilitato

• [MQ.2] I broker ActiveMQ devono trasmettere i log di controllo a CloudWatch

• [MQ.4] I broker Amazon MQ devono essere etichettati

• [MSK.3] I connettori MSK Connect devono essere crittografati in transito

• [Neptune.3] Le istantanee del cluster Neptune DB non devono essere pubbliche

• [NetworkFirewall.1] I firewall Network Firewall devono essere distribuiti su più zone di disponibilità

• [NetworkFirewall.2] La registrazione del Network Firewall deve essere abilitata

• [NetworkFirewall.3] Le policy di Network Firewall devono avere almeno un gruppo di regole associato

• [NetworkFirewall.4] L'azione stateless predefinita per le policy del Network Firewall dovrebbe essere drop or forward per pacchetti completi

• [NetworkFirewall.5] L'azione stateless predefinita per le policy del Network Firewall dovrebbe essere drop or forward per i pacchetti frammentati

• [NetworkFirewall.6] Il gruppo di regole Stateless Network Firewall non deve essere vuoto

• [NetworkFirewall.7] I firewall Network Firewall devono essere etichettati

• [NetworkFirewall.8] Le politiche firewall di Network Firewall devono essere etichettate

• [NetworkFirewall.9] I firewall Network Firewall devono avere la protezione da eliminazione abilitata

• [NetworkFirewall.10] I firewall Network Firewall devono avere la protezione da cambio di sottorete abilitata

• I OpenSearch domini [Opensearch.1] devono avere la crittografia a riposo abilitata

• I OpenSearch domini [Opensearch.2] non devono essere accessibili al pubblico

• I OpenSearch domini [Opensearch.3] devono crittografare i dati inviati tra i nodi

• La registrazione degli errori del OpenSearch dominio [Opensearch.4] nei log dovrebbe essere abilitata CloudWatch

• I OpenSearch domini [Opensearch.5] devono avere la registrazione di controllo abilitata

• I OpenSearch domini [Opensearch.6] devono avere almeno tre nodi di dati

• I OpenSearch domini [Opensearch.7] devono avere un controllo degli accessi granulare abilitato

• [Opensearch.8] Le connessioni ai OpenSearch domini devono essere crittografate utilizzando la più recente politica di sicurezza TLS

• I OpenSearch domini [Opensearch.9] devono essere etichettati

• I OpenSearch domini [Opensearch.11] devono avere almeno tre nodi primari dedicati

• L'autorità di certificazione AWS Private CA principale [PCA.1] deve essere disabilitata

• [RDS.7] I cluster RDS devono avere la protezione da eliminazione abilitata

• [RDS.9] Le istanze DB RDS devono pubblicare i log nei registri CloudWatch

• [RDS.10] L'autenticazione IAM deve essere configurata per le istanze RDS

• [RDS.12] L'autenticazione IAM deve essere configurata per i cluster RDS

• [RDS.13] Gli aggiornamenti automatici delle versioni secondarie di RDS devono essere abilitati

• [RDS.14] I cluster Amazon Aurora devono avere il backtracking abilitato

• [RDS.15] I cluster RDS DB devono essere configurati per più zone di disponibilità

• [RDS.24] I cluster di database RDS devono utilizzare un nome utente di amministratore personalizzato

• [RDS.25] Le istanze del database RDS devono utilizzare un nome utente amministratore personalizzato

• [RDS.26] Le istanze DB RDS devono essere protette da un piano di backup

• [RDS.28] I cluster RDS DB devono essere etichettati

• [RDS.29] Gli snapshot del cluster RDS DB devono essere etichettati

• [RDS.30] Le istanze DB RDS devono essere etichettate

• [RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati

• [RDS.32] Gli snapshot RDS DB devono essere etichettati

• [RDS.33] I gruppi di sottoreti RDS DB devono essere etichettati

• [RDS.34] I cluster Aurora MySQL DB devono pubblicare i log di controllo nei registri CloudWatch

• [RDS.35] Nei cluster RDS DB deve essere abilitato l'aggiornamento automatico delle versioni secondarie

• [Redshift.3] I cluster Amazon Redshift devono avere le istantanee automatiche abilitate

• [Redshift.7] I cluster Redshift devono utilizzare un routing VPC avanzato

• [Redshift.10] I cluster Redshift devono essere crittografati a riposo

• [Redshift.11] I cluster Redshift devono essere etichettati

• [Redshift.12] Le sottoscrizioni alle notifiche degli eventi Redshift devono essere contrassegnate

• [Redshift.13] Le istantanee del cluster Redshift devono essere etichettate

• [Redshift.14] I gruppi di sottoreti del cluster Redshift devono essere etichettati

• [Redshift.15] I gruppi di sicurezza Redshift dovrebbero consentire l'ingresso sulla porta del cluster solo da origini limitate

• [RedshiftServerless.1] I gruppi di lavoro Serverless di Amazon Redshift devono utilizzare un routing VPC avanzato

• [Route53.1] I controlli sanitari della Route 53 devono essere etichettati

• [Route53.2] Le zone ospitate pubbliche di Route 53 devono registrare le query DNS

• [S3.1] I bucket generici S3 devono avere le impostazioni di blocco dell'accesso pubblico abilitate

• [S3.8] I bucket generici S3 dovrebbero bloccare l'accesso pubblico

• [S3.14] I bucket generici S3 devono avere il controllo delle versioni abilitato

• [S3.24] I punti di accesso multiregionali S3 devono avere le impostazioni di blocco dell'accesso pubblico abilitate

• [SageMaker.1] Le istanze di SageMaker notebook Amazon non devono avere accesso diretto a Internet

• [SageMaker.4] Le varianti di produzione di SageMaker endpoint devono avere un numero iniziale di istanze superiore a 1

• [SageMaker.5] i SageMaker modelli dovrebbero bloccare il traffico in entrata

• [SecretsManager.3] Rimuovi i segreti inutilizzati di Secrets Manager

• [SecretsManager.4] I segreti di Secrets Manager devono essere ruotati entro un determinato numero di giorni

• [SecretsManager.5] I segreti di Secrets Manager devono essere etichettati

• [ServiceCatalog.1] I portafogli Service Catalog devono essere condivisi solo all'interno di un'organizzazione AWS

• [SES.1] Gli elenchi di contatti SES devono essere etichettati

• [SES.2] I set di configurazione SES devono essere etichettati

• [SNS.3] Gli argomenti SNS devono essere etichettati

• [SQS.2] Le code SQS devono essere etichettate

• [StepFunctions.2] Le attività di Step Functions devono essere etichettate

• I AWS Transfer Family flussi di lavoro [Transfer.1] devono essere etichettati

• [Transfer.2] I server Transfer Family non devono utilizzare il protocollo FTP per la connessione agli endpoint

• [WAF.1] La registrazione AWS WAF classica Global Web ACL deve essere abilitata

• [WAF.3] I gruppi di regole regionali AWS WAF classici dovrebbero avere almeno una regola

• [WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione

• [WAF.7] I gruppi di regole globali AWS WAF classici dovrebbero avere almeno una regola

• [WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole

• [WAF.11] La registrazione AWS WAF web ACL deve essere abilitata

Europa (Francoforte)

I seguenti controlli non sono supportati nella regione Europa (Francoforte).

• [CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato

• [CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito

• [CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine

• [CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata

• [CloudFront.6] le CloudFront distribuzioni devono avere WAF abilitato

• [CloudFront.7] le CloudFront distribuzioni devono utilizzare certificati SSL/TLS personalizzati

• [CloudFront.8] le CloudFront distribuzioni devono utilizzare SNI per soddisfare le richieste HTTPS

• [CloudFront.9] le CloudFront distribuzioni devono crittografare il traffico verso origini personalizzate

• [CloudFront.10] CloudFront le distribuzioni non devono utilizzare protocolli SSL obsoleti tra edge location e origini personalizzate

• [CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti

• [CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine

• [CloudFront.14] le distribuzioni devono essere etichettate CloudFront

• [ECR.4] Gli archivi pubblici ECR devono essere etichettati

• [FraudDetector.1] I tipi di entità Amazon Fraud Detector devono essere etichettati

• [FraudDetector.2] Le etichette di Amazon Fraud Detector devono essere etichettate

• [FraudDetector.3] I risultati di Amazon Fraud Detector devono essere etichettati

• [FraudDetector.4] Le variabili di Amazon Fraud Detector devono essere etichettate

• [GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati

• [IAM.26] I certificati SSL/TLS scaduti gestiti in IAM devono essere rimossi

• [RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati

• [Route53.1] I controlli sanitari della Route 53 devono essere etichettati

• [Route53.2] Le zone ospitate pubbliche di Route 53 devono registrare le query DNS

• [S3.24] I punti di accesso multiregionali S3 devono avere le impostazioni di blocco dell'accesso pubblico abilitate

• [WAF.1] La registrazione AWS WAF classica Global Web ACL deve essere abilitata

• [WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione

• [WAF.7] I gruppi di regole globali AWS WAF classici dovrebbero avere almeno una regola

• [WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole

Europa (Irlanda)

I seguenti controlli non sono supportati nella regione Europa (Irlanda).

• [AppSync.1] Le cache AWS AppSync delle API devono essere crittografate quando sono inattive

• [AppSync.6] Le cache delle AWS AppSync API devono essere crittografate in transito

• [CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato

• [CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito

• [CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine

• [CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata

• [CloudFront.6] le CloudFront distribuzioni devono avere WAF abilitato

• [CloudFront.7] le CloudFront distribuzioni devono utilizzare certificati SSL/TLS personalizzati

• [CloudFront.8] le CloudFront distribuzioni devono utilizzare SNI per soddisfare le richieste HTTPS

• [CloudFront.9] le CloudFront distribuzioni devono crittografare il traffico verso origini personalizzate

• [CloudFront.10] CloudFront le distribuzioni non devono utilizzare protocolli SSL obsoleti tra edge location e origini personalizzate

• [CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti

• [CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine

• [CloudFront.14] le distribuzioni devono essere etichettate CloudFront

• [Connect.1] I tipi di oggetto Amazon Connect Customer Profiles devono essere etichettati

• [Connect.2] Le istanze Amazon Connect devono avere la registrazione abilitata CloudWatch

• [ECR.4] Gli archivi pubblici ECR devono essere etichettati

• [GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati

• [IAM.26] I certificati SSL/TLS scaduti gestiti in IAM devono essere rimossi

• [Route53.1] I controlli sanitari della Route 53 devono essere etichettati

• [Route53.2] Le zone ospitate pubbliche di Route 53 devono registrare le query DNS

• [S3.24] I punti di accesso multiregionali S3 devono avere le impostazioni di blocco dell'accesso pubblico abilitate

• [WAF.1] La registrazione AWS WAF classica Global Web ACL deve essere abilitata

• [WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione

• [WAF.7] I gruppi di regole globali AWS WAF classici dovrebbero avere almeno una regola

• [WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole

Europa (Londra)

I seguenti controlli non sono supportati nella regione Europa (Londra).

• [AppRunner.2] I connettori VPC App Runner devono essere etichettati

• [AppSync.1] Le cache AWS AppSync delle API devono essere crittografate quando sono inattive

• [AppSync.6] Le cache delle AWS AppSync API devono essere crittografate in transito

• [CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato

• [CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito

• [CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine

• [CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata

• [CloudFront.6] le CloudFront distribuzioni devono avere WAF abilitato

• [CloudFront.7] le CloudFront distribuzioni devono utilizzare certificati SSL/TLS personalizzati

• [CloudFront.8] le CloudFront distribuzioni devono utilizzare SNI per soddisfare le richieste HTTPS

• [CloudFront.9] le CloudFront distribuzioni devono crittografare il traffico verso origini personalizzate

• [CloudFront.10] CloudFront le distribuzioni non devono utilizzare protocolli SSL obsoleti tra edge location e origini personalizzate

• [CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti

• [CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine

• [CloudFront.14] le distribuzioni devono essere etichettate CloudFront

• [EC2.24] I tipi di istanze EC2 paravirtuali di Amazon non devono essere utilizzati

• [ECR.4] Gli archivi pubblici ECR devono essere etichettati

• [FraudDetector.1] I tipi di entità Amazon Fraud Detector devono essere etichettati

• [FraudDetector.2] Le etichette di Amazon Fraud Detector devono essere etichettate

• [FraudDetector.3] I risultati di Amazon Fraud Detector devono essere etichettati

• [FraudDetector.4] Le variabili di Amazon Fraud Detector devono essere etichettate

• [GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati

• [IAM.26] I certificati SSL/TLS scaduti gestiti in IAM devono essere rimossi

• [Io TSite Wise.1] I modelli di SiteWise asset AWS IoT devono essere etichettati

• [Io TSite Wise.2] Le SiteWise dashboard AWS IoT devono essere etichettate

• [Io TSite Wise.3] I SiteWise gateway AWS IoT devono essere etichettati

• [Io TSite Wise.4] I SiteWise portali AWS IoT devono essere etichettati

• [Io TSite Wise.5] I SiteWise progetti AWS IoT devono essere etichettati

• [Io TTwin Maker.1] I lavori di TwinMaker sincronizzazione AWS IoT devono essere etichettati

• [Io TTwin Maker.2] Gli spazi di TwinMaker lavoro AWS IoT devono essere etichettati

• [Io TTwin Maker.3] Le TwinMaker scene AWS IoT devono essere etichettate

• [Io TTwin Maker.4] Le TwinMaker entità AWS IoT devono essere etichettate

• [Io TWireless .1] I gruppi multicast AWS IoT Wireless devono essere etichettati

• [Io TWireless .2] I profili dei servizi AWS IoT Wireless devono essere etichettati

• [Io TWireless .3] Le attività AWS IOT FUOTA devono essere etichettate

• [IVS.1] Le coppie di chiavi di riproduzione IVS devono essere etichettate

• [IVS.2] Le configurazioni di registrazione IVS devono essere contrassegnate

• [IVS.3] I canali IVS devono essere etichettati

• [RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati

• [Route53.1] I controlli sanitari della Route 53 devono essere etichettati

• [Route53.2] Le zone ospitate pubbliche di Route 53 devono registrare le query DNS

• [S3.24] I punti di accesso multiregionali S3 devono avere le impostazioni di blocco dell'accesso pubblico abilitate

• [WAF.1] La registrazione AWS WAF classica Global Web ACL deve essere abilitata

• [WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione

• [WAF.7] I gruppi di regole globali AWS WAF classici dovrebbero avere almeno una regola

• [WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole

Europa (Milano)

I seguenti controlli non sono supportati nella regione Europa (Milano).

• [AppFlow.1] I AppFlow flussi Amazon devono essere etichettati

• [AppRunner.1] I servizi App Runner devono essere etichettati

• [AppRunner.2] I connettori VPC App Runner devono essere etichettati

• [AppSync.1] Le cache AWS AppSync delle API devono essere crittografate quando sono inattive

• [AppSync.6] Le cache delle AWS AppSync API devono essere crittografate in transito

• [CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato

• [CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito

• [CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine

• [CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata

• [CloudFront.6] le CloudFront distribuzioni devono avere WAF abilitato

• [CloudFront.7] le CloudFront distribuzioni devono utilizzare certificati SSL/TLS personalizzati

• [CloudFront.8] le CloudFront distribuzioni devono utilizzare SNI per soddisfare le richieste HTTPS

• [CloudFront.9] le CloudFront distribuzioni devono crittografare il traffico verso origini personalizzate

• [CloudFront.10] CloudFront le distribuzioni non devono utilizzare protocolli SSL obsoleti tra edge location e origini personalizzate

• [CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti

• [CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine

• [CloudFront.14] le distribuzioni devono essere etichettate CloudFront

• [CodeGuruProfiler.1] I gruppi di CodeGuru profilazione Profiler devono essere etichettati

• [CodeGuruReviewer.1] Le associazioni dei repository dei CodeGuru revisori devono essere etichettate

• [Connect.1] I tipi di oggetto Amazon Connect Customer Profiles devono essere etichettati

• [Connect.2] Le istanze Amazon Connect devono avere la registrazione abilitata CloudWatch

• [DMS.1] Le istanze di replica del Database Migration Service non devono essere pubbliche

• [DMS.10] Gli endpoint DMS per i database Neptune devono avere l'autorizzazione IAM abilitata

• [DynamoDB.3] I cluster DynamoDB Accelerator (DAX) devono essere crittografati quando sono inattivi

• [DynamoDB.7] I cluster DynamoDB Accelerator devono essere crittografati in transito

• [EC2.4] Le EC2 istanze interrotte devono essere rimosse dopo un periodo di tempo specificato

• [EC2.8] EC2 le istanze devono utilizzare Instance Metadata Service versione 2 () IMDSv2

• [EC2.14] I gruppi di sicurezza non devono consentire l'accesso da 0.0.0.0/0 o: :/0 alla porta 3389

• [EC2.24] I tipi di istanze EC2 paravirtuali di Amazon non devono essere utilizzati

• [EC2.58] VPCs deve essere configurato con un endpoint di interfaccia per Systems Manager Incident Manager Contacts

• [EC2.60] VPCs deve essere configurato con un endpoint di interfaccia per Systems Manager Incident Manager

• [ECR.4] Gli archivi pubblici ECR devono essere etichettati

• [ELB.2] I sistemi Classic Load Balancer con listener SSL/HTTPS devono utilizzare un certificato fornito da AWS Certificate Manager

• [EventBridge.4] EventBridge gli endpoint globali dovrebbero avere la replica degli eventi abilitata

• [FraudDetector.1] I tipi di entità Amazon Fraud Detector devono essere etichettati

• [FraudDetector.2] Le etichette di Amazon Fraud Detector devono essere etichettate

• [FraudDetector.3] I risultati di Amazon Fraud Detector devono essere etichettati

• [FraudDetector.4] Le variabili di Amazon Fraud Detector devono essere etichettate

• [GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati

• [IAM.18] Assicurati che sia stato creato un ruolo di supporto per gestire gli incidenti con Supporto

• [IAM.26] I certificati SSL/TLS scaduti gestiti in IAM devono essere rimossi

• [Inspector.3] La scansione del codice Amazon Inspector Lambda deve essere abilitata

• [IoT.1] i profili di AWS IoT Device Defender sicurezza devono essere etichettati

• [IoT.2] le azioni di AWS IoT Core mitigazione devono essere etichettate

• [IoT.3] le AWS IoT Core dimensioni devono essere etichettate

• gli AWS IoT Core autorizzatori [IoT.4] devono essere etichettati

• [IoT.5] gli alias dei AWS IoT Core ruoli devono essere etichettati

• [IoT.6] AWS IoT Core le politiche devono essere etichettate

• [Io TEvents .1] Gli input di AWS IoT Events devono essere etichettati

• [Io TEvents .2] I modelli di rilevatori AWS IoT Events devono essere etichettati

• [Io TEvents .3] I modelli di allarme AWS IoT Events devono essere etichettati

• [Io TSite Wise.1] I modelli di SiteWise asset AWS IoT devono essere etichettati

• [Io TSite Wise.2] Le SiteWise dashboard AWS IoT devono essere etichettate

• [Io TSite Wise.3] I SiteWise gateway AWS IoT devono essere etichettati

• [Io TSite Wise.4] I SiteWise portali AWS IoT devono essere etichettati

• [Io TSite Wise.5] I SiteWise progetti AWS IoT devono essere etichettati

• [Io TTwin Maker.1] I lavori di TwinMaker sincronizzazione AWS IoT devono essere etichettati

• [Io TTwin Maker.2] Gli spazi di TwinMaker lavoro AWS IoT devono essere etichettati

• [Io TTwin Maker.3] Le TwinMaker scene AWS IoT devono essere etichettate

• [Io TTwin Maker.4] Le TwinMaker entità AWS IoT devono essere etichettate

• [Io TWireless .1] I gruppi multicast AWS IoT Wireless devono essere etichettati

• [Io TWireless .2] I profili dei servizi AWS IoT Wireless devono essere etichettati

• [Io TWireless .3] Le attività AWS IOT FUOTA devono essere etichettate

• [IVS.1] Le coppie di chiavi di riproduzione IVS devono essere etichettate

• [IVS.2] Le configurazioni di registrazione IVS devono essere contrassegnate

• [IVS.3] I canali IVS devono essere etichettati

• [Keyspaces.1] Gli spazi chiave di Amazon Keyspaces devono essere etichettati

• [MSK.3] I connettori MSK Connect devono essere crittografati in transito

• [Neptune.1] I cluster Neptune DB devono essere crittografati a riposo

• [Neptune.2] I cluster Neptune DB devono pubblicare i log di controllo su Logs CloudWatch

• [Neptune.3] Le istantanee del cluster Neptune DB non devono essere pubbliche

• [Neptune.4] I cluster Neptune DB devono avere la protezione da eliminazione abilitata

• [Neptune.5] I cluster Neptune DB devono avere i backup automatici abilitati

• [Neptune.6] Le istantanee del cluster Neptune DB devono essere crittografate quando sono inattive

• [Neptune.7] I cluster Neptune DB devono avere l'autenticazione del database IAM abilitata

• [Neptune.8] I cluster Neptune DB devono essere configurati per copiare i tag nelle istantanee

• [Neptune.9] I cluster Neptune DB devono essere distribuiti su più zone di disponibilità

• [RDS.1] L'istantanea RDS deve essere privata

• [RDS.14] I cluster Amazon Aurora devono avere il backtracking abilitato

• [RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati

• [RedshiftServerless.1] I gruppi di lavoro Serverless di Amazon Redshift devono utilizzare un routing VPC avanzato

• [Route53.1] I controlli sanitari della Route 53 devono essere etichettati

• [Route53.2] Le zone ospitate pubbliche di Route 53 devono registrare le query DNS

• [S3.24] I punti di accesso multiregionali S3 devono avere le impostazioni di blocco dell'accesso pubblico abilitate

• [SSM.2] EC2 Le istanze Amazon gestite da Systems Manager devono avere uno stato di conformità alla patch pari a COMPLIANT dopo l'installazione della patch

• [SSM.3] EC2 Le istanze Amazon gestite da Systems Manager devono avere uno stato di conformità dell'associazione pari a COMPLIANT

• [WAF.1] La registrazione AWS WAF classica Global Web ACL deve essere abilitata

• [WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione

• [WAF.7] I gruppi di regole globali AWS WAF classici dovrebbero avere almeno una regola

• [WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole

• [WAF.11] La registrazione AWS WAF web ACL deve essere abilitata

• [WorkSpaces.1] i volumi WorkSpaces utente devono essere crittografati quando sono inattivi

• [WorkSpaces.2] i volumi WorkSpaces root devono essere crittografati quando sono inattivi

Europa (Parigi)

I seguenti controlli non sono supportati nella regione Europa (Parigi).

• [AppSync.1] Le cache AWS AppSync delle API devono essere crittografate quando sono inattive

• [AppSync.6] Le cache delle AWS AppSync API devono essere crittografate in transito

• [CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato

• [CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito

• [CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine

• [CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata

• [CloudFront.6] le CloudFront distribuzioni devono avere WAF abilitato

• [CloudFront.7] le CloudFront distribuzioni devono utilizzare certificati SSL/TLS personalizzati

• [CloudFront.8] le CloudFront distribuzioni devono utilizzare SNI per soddisfare le richieste HTTPS

• [CloudFront.9] le CloudFront distribuzioni devono crittografare il traffico verso origini personalizzate

• [CloudFront.10] CloudFront le distribuzioni non devono utilizzare protocolli SSL obsoleti tra edge location e origini personalizzate

• [CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti

• [CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine

• [CloudFront.14] le distribuzioni devono essere etichettate CloudFront

• [CodeGuruProfiler.1] I gruppi di CodeGuru profilazione Profiler devono essere etichettati

• [CodeGuruReviewer.1] Le associazioni dei repository dei CodeGuru revisori devono essere etichettate

• [Connect.1] I tipi di oggetto Amazon Connect Customer Profiles devono essere etichettati

• [Connect.2] Le istanze Amazon Connect devono avere la registrazione abilitata CloudWatch

• [EC2.24] I tipi di istanze EC2 paravirtuali di Amazon non devono essere utilizzati

• [ECR.4] Gli archivi pubblici ECR devono essere etichettati

• [FraudDetector.1] I tipi di entità Amazon Fraud Detector devono essere etichettati

• [FraudDetector.2] Le etichette di Amazon Fraud Detector devono essere etichettate

• [FraudDetector.3] I risultati di Amazon Fraud Detector devono essere etichettati

• [FraudDetector.4] Le variabili di Amazon Fraud Detector devono essere etichettate

• [FSx.5] FSx per i file system Windows File Server devono essere configurati per l'implementazione Multi-AZ

• [GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati

• [IAM.26] I certificati SSL/TLS scaduti gestiti in IAM devono essere rimossi

• [Inspector.3] La scansione del codice Amazon Inspector Lambda deve essere abilitata

• [Io TEvents .1] Gli input di AWS IoT Events devono essere etichettati

• [Io TEvents .2] I modelli di rilevatori AWS IoT Events devono essere etichettati

• [Io TEvents .3] I modelli di allarme AWS IoT Events devono essere etichettati

• [Io TSite Wise.1] I modelli di SiteWise asset AWS IoT devono essere etichettati

• [Io TSite Wise.2] Le SiteWise dashboard AWS IoT devono essere etichettate

• [Io TSite Wise.3] I SiteWise gateway AWS IoT devono essere etichettati

• [Io TSite Wise.4] I SiteWise portali AWS IoT devono essere etichettati

• [Io TSite Wise.5] I SiteWise progetti AWS IoT devono essere etichettati

• [Io TTwin Maker.1] I lavori di TwinMaker sincronizzazione AWS IoT devono essere etichettati

• [Io TTwin Maker.2] Gli spazi di TwinMaker lavoro AWS IoT devono essere etichettati

• [Io TTwin Maker.3] Le TwinMaker scene AWS IoT devono essere etichettate

• [Io TTwin Maker.4] Le TwinMaker entità AWS IoT devono essere etichettate

• [Io TWireless .1] I gruppi multicast AWS IoT Wireless devono essere etichettati

• [Io TWireless .2] I profili dei servizi AWS IoT Wireless devono essere etichettati

• [Io TWireless .3] Le attività AWS IOT FUOTA devono essere etichettate

• [IVS.1] Le coppie di chiavi di riproduzione IVS devono essere etichettate

• [IVS.2] Le configurazioni di registrazione IVS devono essere contrassegnate

• [IVS.3] I canali IVS devono essere etichettati

• [RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati

• [Route53.1] I controlli sanitari della Route 53 devono essere etichettati

• [Route53.2] Le zone ospitate pubbliche di Route 53 devono registrare le query DNS

• [S3.24] I punti di accesso multiregionali S3 devono avere le impostazioni di blocco dell'accesso pubblico abilitate

• [WAF.1] La registrazione AWS WAF classica Global Web ACL deve essere abilitata

• [WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione

• [WAF.7] I gruppi di regole globali AWS WAF classici dovrebbero avere almeno una regola

• [WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole

• [WorkSpaces.1] i volumi WorkSpaces utente devono essere crittografati quando sono inattivi

• [WorkSpaces.2] i volumi WorkSpaces root devono essere crittografati quando sono inattivi

Europa (Spagna)

I seguenti controlli non sono supportati nella regione Europa (Spagna).

• [Account.2] Account AWS deve far parte di un'organizzazione AWS Organizations

• [APIGateway.8] Le rotte API Gateway devono specificare un tipo di autorizzazione

• [APIGateway.9] La registrazione degli accessi deve essere configurata per API Gateway V2 Stages

• [AppConfig.1] AWS AppConfig le applicazioni devono essere etichettate

• [AppConfig.2] i profili AWS AppConfig di configurazione devono essere etichettati

• [AppConfig.3] AWS AppConfig gli ambienti devono essere etichettati

• [AppFlow.1] I AppFlow flussi Amazon devono essere etichettati

• [AppRunner.1] I servizi App Runner devono essere etichettati

• [AppRunner.2] I connettori VPC App Runner devono essere etichettati

• [AppSync.1] Le cache AWS AppSync delle API devono essere crittografate quando sono inattive

• [AppSync.6] Le cache delle AWS AppSync API devono essere crittografate in transito

• [Backup.1] i punti di AWS Backup ripristino devono essere crittografati a riposo

• [Backup.4] i piani di AWS Backup report devono essere etichettati

• [CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato

• [CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito

• [CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine

• [CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata

• [CloudFront.6] le CloudFront distribuzioni devono avere WAF abilitato

• [CloudFront.7] le CloudFront distribuzioni devono utilizzare certificati SSL/TLS personalizzati

• [CloudFront.8] le CloudFront distribuzioni devono utilizzare SNI per soddisfare le richieste HTTPS

• [CloudFront.9] le CloudFront distribuzioni devono crittografare il traffico verso origini personalizzate

• [CloudFront.10] CloudFront le distribuzioni non devono utilizzare protocolli SSL obsoleti tra edge location e origini personalizzate

• [CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti

• [CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine

• [CloudFront.14] le distribuzioni devono essere etichettate CloudFront

• [CloudTrail.6] Assicurati che il bucket S3 utilizzato per archiviare i log non sia accessibile al pubblico CloudTrail

• [CloudTrail.7] Assicurati che la registrazione degli accessi al bucket S3 sia abilitata sul bucket S3 CloudTrail

• [CloudWatch.16] i gruppi di CloudWatch log devono essere conservati per un periodo di tempo specificato

• [CodeArtifact.1] i CodeArtifact repository devono essere etichettati

• [CodeBuild.1] L'archivio sorgente di CodeBuild Bitbucket non URLs deve contenere credenziali sensibili

• [CodeBuild.2] Le variabili di ambiente CodeBuild del progetto non devono contenere credenziali in chiaro

• [CodeGuruProfiler.1] I gruppi di CodeGuru profilazione Profiler devono essere etichettati

• [CodeGuruReviewer.1] Le associazioni dei repository dei CodeGuru revisori devono essere etichettate

• [Cognito.1] I pool di utenti di Cognito dovrebbero avere la protezione dalle minacce attivata con la modalità di imposizione completa delle funzioni per l'autenticazione standard

• [Connect.1] I tipi di oggetto Amazon Connect Customer Profiles devono essere etichettati

• [Connect.2] Le istanze Amazon Connect devono avere la registrazione abilitata CloudWatch

• [Detective.1] I grafici del comportamento dei Detective devono essere etichettati

• [DMS.1] Le istanze di replica del Database Migration Service non devono essere pubbliche

• [DMS.2] I certificati DMS devono essere etichettati

• [DMS.3] Le sottoscrizioni agli eventi DMS devono essere contrassegnate

• [DMS.4] Le istanze di replica DMS devono essere contrassegnate

• [DMS.5] I gruppi di sottoreti di replica DMS devono essere etichettati

• [DMS.6] Le istanze di replica DMS devono avere l'aggiornamento automatico delle versioni secondarie abilitato

• [DMS.7] Le attività di replica DMS per il database di destinazione devono avere la registrazione abilitata

• [DMS.8] Le attività di replica DMS per il database di origine devono avere la registrazione abilitata

• [DMS.9] Gli endpoint DMS devono utilizzare SSL

• [DMS.10] Gli endpoint DMS per i database Neptune devono avere l'autorizzazione IAM abilitata

• [DMS.11] Gli endpoint DMS per MongoDB devono avere un meccanismo di autenticazione abilitato

• [DMS.12] Gli endpoint DMS per Redis OSS devono avere TLS abilitato

• [DocumentDB.1] I cluster Amazon DocumentDB devono essere crittografati quando sono inattivi

• [DocumentDB.2] I cluster Amazon DocumentDB devono avere un periodo di conservazione dei backup adeguato

• [DocumentDB.3] Le istantanee manuali dei cluster di Amazon DocumentDB non devono essere pubbliche

• [DocumentDB.4] I cluster Amazon DocumentDB devono pubblicare i log di controllo su Logs CloudWatch

• [DocumentDB.5] I cluster Amazon DocumentDB devono avere la protezione da eliminazione abilitata

• [DynamoDB.1] Le tabelle DynamoDB dovrebbero scalare automaticamente la capacità in base alla domanda

• [DynamoDB.3] I cluster DynamoDB Accelerator (DAX) devono essere crittografati quando sono inattivi

• [DynamoDB.4] Le tabelle DynamoDB devono essere presenti in un piano di backup

• [DynamoDB.7] I cluster DynamoDB Accelerator devono essere crittografati in transito

• [EC2.1] Gli snapshot di Amazon EBS non devono essere ripristinabili pubblicamente

• [EC2.2] I gruppi di sicurezza VPC predefiniti non dovrebbero consentire il traffico in entrata o in uscita

• [EC2.4] Le EC2 istanze interrotte devono essere rimosse dopo un periodo di tempo specificato

• [EC2.8] EC2 le istanze devono utilizzare Instance Metadata Service versione 2 () IMDSv2

• [EC2.14] I gruppi di sicurezza non devono consentire l'accesso da 0.0.0.0/0 o: :/0 alla porta 3389

• [EC2.17] EC2 Le istanze Amazon non devono utilizzare più istanze ENIs

• [EC2.20] Entrambi i tunnel VPN per una connessione AWS Site-to-Site VPN dovrebbero essere attivi

• [EC2.22] I gruppi di EC2 sicurezza Amazon non utilizzati devono essere rimossi

• [EC2.24] I tipi di istanze EC2 paravirtuali di Amazon non devono essere utilizzati

• [EC2.25] I modelli di EC2 lancio di Amazon non devono assegnare interfacce IPs di rete pubbliche

• [EC2.28] I volumi EBS devono essere coperti da un piano di backup

• [EC2.34] Le tabelle delle rotte dei gateway di EC2 transito devono essere etichettate

• [EC2.40] I gateway EC2 NAT devono essere etichettati

• [EC2.48] I log di flusso di Amazon VPC devono essere etichettati

• [EC2.51] Gli endpoint EC2 Client VPN devono avere la registrazione delle connessioni client abilitata

• [EC2.58] VPCs deve essere configurato con un endpoint di interfaccia per Systems Manager Incident Manager Contacts

• [EC2.60] VPCs deve essere configurato con un endpoint di interfaccia per Systems Manager Incident Manager

• [EC2.170] i modelli di EC2 avvio devono utilizzare Instance Metadata Service Version 2 () IMDSv2

• [ECR.4] Gli archivi pubblici ECR devono essere etichettati

• [EFS.1] Elastic File System deve essere configurato per crittografare i dati dei file inattivi utilizzando AWS KMS

• [EFS.2] I volumi Amazon EFS devono essere inclusi nei piani di backup

• I cluster [ElastiCache.1] ElastiCache (Redis OSS) devono avere i backup automatici abilitati

• [ElastiCache.6] ElastiCache (Redis OSS) i gruppi di replica delle versioni precedenti devono avere Redis OSS AUTH abilitato

• [ElastiCache.7] ElastiCache i cluster non devono utilizzare il gruppo di sottoreti predefinito

• [ElasticBeanstalk.1] Gli ambienti Elastic Beanstalk dovrebbero avere la reportistica sullo stato avanzata abilitata

• [ElasticBeanstalk.2] Gli aggiornamenti della piattaforma gestita da Elastic Beanstalk devono essere abilitati

• [ElasticBeanstalk.3] Elastic Beanstalk dovrebbe trasmettere i log a CloudWatch

• [ELB.2] I sistemi Classic Load Balancer con listener SSL/HTTPS devono utilizzare un certificato fornito da AWS Certificate Manager

• [ELB.5] La registrazione delle applicazioni e dei sistemi Classic Load Balancers deve essere abilitata

• [ELB.14] Classic Load Balancer deve essere configurato con la modalità di mitigazione della desincronizzazione difensiva o più rigorosa

• [ELB.16] Gli Application Load Balancer devono essere associati a un ACL web AWS WAF

• [ELB.17] Gli Application and Network Load Balancer con listener devono utilizzare le politiche di sicurezza consigliate

• [EMR.1] I nodi primari del cluster Amazon EMR non devono avere indirizzi IP pubblici

• [ES.4] La registrazione degli errori del dominio Elasticsearch nei log deve essere abilitata CloudWatch

• [EventBridge.4] EventBridge gli endpoint globali dovrebbero avere la replica degli eventi abilitata

• [FraudDetector.1] I tipi di entità Amazon Fraud Detector devono essere etichettati

• [FraudDetector.2] Le etichette di Amazon Fraud Detector devono essere etichettate

• [FraudDetector.3] I risultati di Amazon Fraud Detector devono essere etichettati

• [FraudDetector.4] Le variabili di Amazon Fraud Detector devono essere etichettate

• [GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati

• [Glue.4] I job AWS Glue Spark dovrebbero essere eseguiti su versioni supportate di AWS Glue

• [GuardDuty.2] GuardDuty i filtri devono essere etichettati

• [GuardDuty.3] GuardDuty IPSets deve essere taggato

• [IAM.1] Le politiche IAM non dovrebbero consentire privilegi amministrativi «*» completi

• [IAM.2] Gli utenti IAM non devono avere policy IAM allegate

• [IAM.3] Le chiavi di accesso degli utenti IAM devono essere ruotate ogni 90 giorni o meno

• [IAM.4] La chiave di accesso utente root IAM non dovrebbe esistere

• [IAM.5] MFA deve essere abilitata per tutti gli utenti IAM che dispongono di una password della console

• [IAM.8] Le credenziali utente IAM non utilizzate devono essere rimosse

• [IAM.18] Assicurati che sia stato creato un ruolo di supporto per gestire gli incidenti con Supporto

• [IAM.19] L'MFA deve essere abilitata per tutti gli utenti IAM

• [IAM.21] Le policy gestite dai clienti IAM che create non dovrebbero consentire azioni jolly per i servizi

• [IAM.22] Le credenziali utente IAM non utilizzate per 45 giorni devono essere rimosse

• [IAM.24] I ruoli IAM devono essere etichettati

• [IAM.25] Gli utenti IAM devono essere etichettati

• [IAM.26] I certificati SSL/TLS scaduti gestiti in IAM devono essere rimossi

• [IAM.27] Le identità IAM non devono avere la policy allegata AWSCloud ShellFullAccess

• [Inspector.1] La scansione di Amazon Inspector deve essere abilitata EC2

• [Inspector.2] La scansione ECR di Amazon Inspector deve essere abilitata

• [Inspector.3] La scansione del codice Amazon Inspector Lambda deve essere abilitata

• [Inspector.4] La scansione standard di Amazon Inspector Lambda deve essere abilitata

• [IoT.1] i profili di AWS IoT Device Defender sicurezza devono essere etichettati

• [IoT.2] le azioni di AWS IoT Core mitigazione devono essere etichettate

• [IoT.3] le AWS IoT Core dimensioni devono essere etichettate

• gli AWS IoT Core autorizzatori [IoT.4] devono essere etichettati

• [IoT.5] gli alias dei AWS IoT Core ruoli devono essere etichettati

• [IoT.6] AWS IoT Core le politiche devono essere etichettate

• [Io TEvents .1] Gli input di AWS IoT Events devono essere etichettati

• [Io TEvents .2] I modelli di rilevatori AWS IoT Events devono essere etichettati

• [Io TEvents .3] I modelli di allarme AWS IoT Events devono essere etichettati

• [Io TSite Wise.1] I modelli di SiteWise asset AWS IoT devono essere etichettati

• [Io TSite Wise.2] Le SiteWise dashboard AWS IoT devono essere etichettate

• [Io TSite Wise.3] I SiteWise gateway AWS IoT devono essere etichettati

• [Io TSite Wise.4] I SiteWise portali AWS IoT devono essere etichettati

• [Io TSite Wise.5] I SiteWise progetti AWS IoT devono essere etichettati

• [Io TTwin Maker.1] I lavori di TwinMaker sincronizzazione AWS IoT devono essere etichettati

• [Io TTwin Maker.2] Gli spazi di TwinMaker lavoro AWS IoT devono essere etichettati

• [Io TTwin Maker.3] Le TwinMaker scene AWS IoT devono essere etichettate

• [Io TTwin Maker.4] Le TwinMaker entità AWS IoT devono essere etichettate

• [Io TWireless .1] I gruppi multicast AWS IoT Wireless devono essere etichettati

• [Io TWireless .2] I profili dei servizi AWS IoT Wireless devono essere etichettati

• [Io TWireless .3] Le attività AWS IOT FUOTA devono essere etichettate

• [IVS.1] Le coppie di chiavi di riproduzione IVS devono essere etichettate

• [IVS.2] Le configurazioni di registrazione IVS devono essere contrassegnate

• [IVS.3] I canali IVS devono essere etichettati

• [Keyspaces.1] Gli spazi chiave di Amazon Keyspaces devono essere etichettati

• [KMS.1] Le politiche gestite dai clienti di IAM non dovrebbero consentire azioni di decrittografia su tutte le chiavi KMS

• [KMS.2] I principali IAM non devono disporre di policy IAM in linea che consentano azioni di decrittografia su tutte le chiavi KMS

• [Lambda.1] Le politiche delle funzioni Lambda dovrebbero vietare l'accesso pubblico

• [Macie.1] Amazon Macie dovrebbe essere abilitato

• [Macie.2] Il rilevamento automatico dei dati sensibili di Macie deve essere abilitato

• [MQ.2] I broker ActiveMQ devono trasmettere i log di controllo a CloudWatch

• [MQ.3] I broker Amazon MQ dovrebbero avere abilitato l'aggiornamento automatico delle versioni secondarie

• [MQ.4] I broker Amazon MQ devono essere etichettati

• [MQ.5] I broker ActiveMQ devono utilizzare la modalità di distribuzione attiva/standby

• [MQ.6] I broker RabbitMQ dovrebbero utilizzare la modalità di distribuzione del cluster

• [MSK.3] I connettori MSK Connect devono essere crittografati in transito

• [Neptune.1] I cluster Neptune DB devono essere crittografati a riposo

• [Neptune.2] I cluster Neptune DB devono pubblicare i log di controllo su Logs CloudWatch

• [Neptune.3] Le istantanee del cluster Neptune DB non devono essere pubbliche

• [Neptune.4] I cluster Neptune DB devono avere la protezione da eliminazione abilitata

• [Neptune.5] I cluster Neptune DB devono avere i backup automatici abilitati

• [Neptune.6] Le istantanee del cluster Neptune DB devono essere crittografate quando sono inattive

• [Neptune.7] I cluster Neptune DB devono avere l'autenticazione del database IAM abilitata

• [Neptune.8] I cluster Neptune DB devono essere configurati per copiare i tag nelle istantanee

• [Neptune.9] I cluster Neptune DB devono essere distribuiti su più zone di disponibilità

• I OpenSearch domini [Opensearch.1] devono avere la crittografia a riposo abilitata

• I OpenSearch domini [Opensearch.2] non devono essere accessibili al pubblico

• I OpenSearch domini [Opensearch.3] devono crittografare i dati inviati tra i nodi

• La registrazione degli errori del OpenSearch dominio [Opensearch.4] nei log dovrebbe essere abilitata CloudWatch

• I OpenSearch domini [Opensearch.5] devono avere la registrazione di controllo abilitata

• I OpenSearch domini [Opensearch.6] devono avere almeno tre nodi di dati

• I OpenSearch domini [Opensearch.7] devono avere un controllo degli accessi granulare abilitato

• [Opensearch.8] Le connessioni ai OpenSearch domini devono essere crittografate utilizzando la più recente politica di sicurezza TLS

• I OpenSearch domini [Opensearch.9] devono essere etichettati

• Nei OpenSearch domini [Opensearch.10] deve essere installato l'ultimo aggiornamento software

• I OpenSearch domini [Opensearch.11] devono avere almeno tre nodi primari dedicati

• [RDS.1] L'istantanea RDS deve essere privata

• [RDS.2] Le istanze DB RDS dovrebbero vietare l'accesso pubblico, come determinato dalla configurazione PubliclyAccessible

• [RDS.4] Le istantanee dei cluster RDS e le istantanee del database devono essere crittografate quando sono inattive

• [RDS.7] I cluster RDS devono avere la protezione da eliminazione abilitata

• [RDS.12] L'autenticazione IAM deve essere configurata per i cluster RDS

• [RDS.14] I cluster Amazon Aurora devono avere il backtracking abilitato

• [RDS.15] I cluster RDS DB devono essere configurati per più zone di disponibilità

• [RDS.26] Le istanze DB RDS devono essere protette da un piano di backup

• [RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati

• [RDS.35] Nei cluster RDS DB deve essere abilitato l'aggiornamento automatico delle versioni secondarie

• [RDS.37] I cluster Aurora PostgreSQL DB devono pubblicare i log nei log CloudWatch

• [Redshift.1] I cluster Amazon Redshift dovrebbero vietare l'accesso pubblico

• [Redshift.6] Amazon Redshift dovrebbe avere gli upgrade automatici alle versioni principali abilitati

• [Redshift.10] I cluster Redshift devono essere crittografati a riposo

• [Route53.1] I controlli sanitari della Route 53 devono essere etichettati

• [Route53.2] Le zone ospitate pubbliche di Route 53 devono registrare le query DNS

• [S3.1] I bucket generici S3 devono avere le impostazioni di blocco dell'accesso pubblico abilitate

• [S3.6] Le policy generiche relative ai bucket di S3 dovrebbero limitare l'accesso ad altri Account AWS

• [S3.15] I bucket generici S3 devono avere Object Lock abilitato

• [S3.17] I bucket generici S3 devono essere crittografati quando sono inattivi con AWS KMS keys

• [S3.24] I punti di accesso multiregionali S3 devono avere le impostazioni di blocco dell'accesso pubblico abilitate

• [SageMaker.1] Le istanze di SageMaker notebook Amazon non devono avere accesso diretto a Internet

• [SageMaker.2] le istanze dei SageMaker notebook devono essere avviate in un VPC personalizzato

• [SageMaker.3] Gli utenti non devono avere accesso root alle SageMaker istanze dei notebook

• [SageMaker.5] i SageMaker modelli dovrebbero bloccare il traffico in entrata

• [SES.1] Gli elenchi di contatti SES devono essere etichettati

• [SES.2] I set di configurazione SES devono essere etichettati

• [SNS.1] Gli argomenti SNS devono essere crittografati quando sono inattivi utilizzando AWS KMS

• [SQS.1] Le code di Amazon SQS devono essere crittografate quando sono inattive

• [SQS.2] Le code SQS devono essere etichettate

• [SQS.3] Le politiche di accesso alla coda SQS non devono consentire l'accesso pubblico

• [SSM.2] EC2 Le istanze Amazon gestite da Systems Manager devono avere uno stato di conformità alla patch pari a COMPLIANT dopo l'installazione della patch

• [SSM.3] EC2 Le istanze Amazon gestite da Systems Manager devono avere uno stato di conformità dell'associazione pari a COMPLIANT

• [Transfer.3] I connettori Transfer Family devono avere la registrazione abilitata

• [WAF.1] La registrazione AWS WAF classica Global Web ACL deve essere abilitata

• [WAF.3] I gruppi di regole regionali AWS WAF classici dovrebbero avere almeno una regola

• [WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione

• [WAF.7] I gruppi di regole globali AWS WAF classici dovrebbero avere almeno una regola

• [WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole

• [WAF.10] AWS WAF web ACLs dovrebbe avere almeno una regola o un gruppo di regole

• [WAF.11] La registrazione AWS WAF web ACL deve essere abilitata

• [WorkSpaces.1] i volumi WorkSpaces utente devono essere crittografati quando sono inattivi

• [WorkSpaces.2] i volumi WorkSpaces root devono essere crittografati quando sono inattivi

Europa (Stoccolma)

I seguenti controlli non sono supportati nella regione Europa (Stoccolma).

• [AppFlow.1] I AppFlow flussi Amazon devono essere etichettati

• [AppRunner.1] I servizi App Runner devono essere etichettati

• [AppRunner.2] I connettori VPC App Runner devono essere etichettati

• [AppSync.1] Le cache AWS AppSync delle API devono essere crittografate quando sono inattive

• [AppSync.6] Le cache delle AWS AppSync API devono essere crittografate in transito

• [CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato

• [CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito

• [CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine

• [CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata

• [CloudFront.6] le CloudFront distribuzioni devono avere WAF abilitato

• [CloudFront.7] le CloudFront distribuzioni devono utilizzare certificati SSL/TLS personalizzati

• [CloudFront.8] le CloudFront distribuzioni devono utilizzare SNI per soddisfare le richieste HTTPS

• [CloudFront.9] le CloudFront distribuzioni devono crittografare il traffico verso origini personalizzate

• [CloudFront.10] CloudFront le distribuzioni non devono utilizzare protocolli SSL obsoleti tra edge location e origini personalizzate

• [CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti

• [CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine

• [CloudFront.14] le distribuzioni devono essere etichettate CloudFront

• [Connect.1] I tipi di oggetto Amazon Connect Customer Profiles devono essere etichettati

• [Connect.2] Le istanze Amazon Connect devono avere la registrazione abilitata CloudWatch

• [DocumentDB.1] I cluster Amazon DocumentDB devono essere crittografati quando sono inattivi

• [DocumentDB.2] I cluster Amazon DocumentDB devono avere un periodo di conservazione dei backup adeguato

• [DocumentDB.3] Le istantanee manuali dei cluster di Amazon DocumentDB non devono essere pubbliche

• [DocumentDB.4] I cluster Amazon DocumentDB devono pubblicare i log di controllo su Logs CloudWatch

• [DocumentDB.5] I cluster Amazon DocumentDB devono avere la protezione da eliminazione abilitata

• [DynamoDB.3] I cluster DynamoDB Accelerator (DAX) devono essere crittografati quando sono inattivi

• [DynamoDB.7] I cluster DynamoDB Accelerator devono essere crittografati in transito

• [EC2.24] I tipi di istanze EC2 paravirtuali di Amazon non devono essere utilizzati

• [ECR.4] Gli archivi pubblici ECR devono essere etichettati

• [FraudDetector.1] I tipi di entità Amazon Fraud Detector devono essere etichettati

• [FraudDetector.2] Le etichette di Amazon Fraud Detector devono essere etichettate

• [FraudDetector.3] I risultati di Amazon Fraud Detector devono essere etichettati

• [FraudDetector.4] Le variabili di Amazon Fraud Detector devono essere etichettate

• [GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati

• [IAM.26] I certificati SSL/TLS scaduti gestiti in IAM devono essere rimossi

• [Io TEvents .1] Gli input di AWS IoT Events devono essere etichettati

• [Io TEvents .2] I modelli di rilevatori AWS IoT Events devono essere etichettati

• [Io TEvents .3] I modelli di allarme AWS IoT Events devono essere etichettati

• [Io TSite Wise.1] I modelli di SiteWise asset AWS IoT devono essere etichettati

• [Io TSite Wise.2] Le SiteWise dashboard AWS IoT devono essere etichettate

• [Io TSite Wise.3] I SiteWise gateway AWS IoT devono essere etichettati

• [Io TSite Wise.4] I SiteWise portali AWS IoT devono essere etichettati

• [Io TSite Wise.5] I SiteWise progetti AWS IoT devono essere etichettati

• [Io TTwin Maker.1] I lavori di TwinMaker sincronizzazione AWS IoT devono essere etichettati

• [Io TTwin Maker.2] Gli spazi di TwinMaker lavoro AWS IoT devono essere etichettati

• [Io TTwin Maker.3] Le TwinMaker scene AWS IoT devono essere etichettate

• [Io TTwin Maker.4] Le TwinMaker entità AWS IoT devono essere etichettate

• [Io TWireless .1] I gruppi multicast AWS IoT Wireless devono essere etichettati

• [Io TWireless .2] I profili dei servizi AWS IoT Wireless devono essere etichettati

• [Io TWireless .3] Le attività AWS IOT FUOTA devono essere etichettate

• [IVS.1] Le coppie di chiavi di riproduzione IVS devono essere etichettate

• [IVS.2] Le configurazioni di registrazione IVS devono essere contrassegnate

• [IVS.3] I canali IVS devono essere etichettati

• [RDS.14] I cluster Amazon Aurora devono avere il backtracking abilitato

• [RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati

• [Route53.1] I controlli sanitari della Route 53 devono essere etichettati

• [Route53.2] Le zone ospitate pubbliche di Route 53 devono registrare le query DNS

• [S3.24] I punti di accesso multiregionali S3 devono avere le impostazioni di blocco dell'accesso pubblico abilitate

• [WAF.1] La registrazione AWS WAF classica Global Web ACL deve essere abilitata

• [WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione

• [WAF.7] I gruppi di regole globali AWS WAF classici dovrebbero avere almeno una regola

• [WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole

• [WorkSpaces.1] i volumi WorkSpaces utente devono essere crittografati quando sono inattivi

• [WorkSpaces.2] i volumi WorkSpaces root devono essere crittografati quando sono inattivi

Europa (Zurigo)

I seguenti controlli non sono supportati nella regione Europa (Zurigo).

• [APIGateway.8] Le rotte API Gateway devono specificare un tipo di autorizzazione

• [APIGateway.9] La registrazione degli accessi deve essere configurata per API Gateway V2 Stages

• [AppConfig.1] AWS AppConfig le applicazioni devono essere etichettate

• [AppConfig.2] i profili AWS AppConfig di configurazione devono essere etichettati

• [AppConfig.3] AWS AppConfig gli ambienti devono essere etichettati

• [AppFlow.1] I AppFlow flussi Amazon devono essere etichettati

• [AppRunner.1] I servizi App Runner devono essere etichettati

• [AppRunner.2] I connettori VPC App Runner devono essere etichettati

• [AppSync.1] Le cache AWS AppSync delle API devono essere crittografate quando sono inattive

• [AppSync.6] Le cache delle AWS AppSync API devono essere crittografate in transito

• [Backup.1] i punti di AWS Backup ripristino devono essere crittografati a riposo

• [Backup.4] i piani di AWS Backup report devono essere etichettati

• [CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato

• [CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito

• [CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine

• [CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata

• [CloudFront.6] le CloudFront distribuzioni devono avere WAF abilitato

• [CloudFront.7] le CloudFront distribuzioni devono utilizzare certificati SSL/TLS personalizzati

• [CloudFront.8] le CloudFront distribuzioni devono utilizzare SNI per soddisfare le richieste HTTPS

• [CloudFront.9] le CloudFront distribuzioni devono crittografare il traffico verso origini personalizzate

• [CloudFront.10] CloudFront le distribuzioni non devono utilizzare protocolli SSL obsoleti tra edge location e origini personalizzate

• [CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti

• [CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine

• [CloudFront.14] le distribuzioni devono essere etichettate CloudFront

• [CloudTrail.6] Assicurati che il bucket S3 utilizzato per archiviare i log non sia accessibile al pubblico CloudTrail

• [CloudTrail.7] Assicurati che la registrazione degli accessi al bucket S3 sia abilitata sul bucket S3 CloudTrail

• [CodeArtifact.1] i CodeArtifact repository devono essere etichettati

• [CodeBuild.1] L'archivio sorgente di CodeBuild Bitbucket non URLs deve contenere credenziali sensibili

• [CodeBuild.2] Le variabili di ambiente CodeBuild del progetto non devono contenere credenziali in chiaro

• [CodeGuruProfiler.1] I gruppi di CodeGuru profilazione Profiler devono essere etichettati

• [CodeGuruReviewer.1] Le associazioni dei repository dei CodeGuru revisori devono essere etichettate

• [Cognito.1] I pool di utenti di Cognito dovrebbero avere la protezione dalle minacce attivata con la modalità di imposizione completa delle funzioni per l'autenticazione standard

• [Connect.1] I tipi di oggetto Amazon Connect Customer Profiles devono essere etichettati

• [Connect.2] Le istanze Amazon Connect devono avere la registrazione abilitata CloudWatch

• [Detective.1] I grafici del comportamento dei Detective devono essere etichettati

• [DMS.1] Le istanze di replica del Database Migration Service non devono essere pubbliche

• [DMS.2] I certificati DMS devono essere etichettati

• [DMS.3] Le sottoscrizioni agli eventi DMS devono essere contrassegnate

• [DMS.4] Le istanze di replica DMS devono essere contrassegnate

• [DMS.5] I gruppi di sottoreti di replica DMS devono essere etichettati

• [DMS.6] Le istanze di replica DMS devono avere l'aggiornamento automatico delle versioni secondarie abilitato

• [DMS.7] Le attività di replica DMS per il database di destinazione devono avere la registrazione abilitata

• [DMS.8] Le attività di replica DMS per il database di origine devono avere la registrazione abilitata

• [DMS.9] Gli endpoint DMS devono utilizzare SSL

• [DMS.10] Gli endpoint DMS per i database Neptune devono avere l'autorizzazione IAM abilitata

• [DMS.11] Gli endpoint DMS per MongoDB devono avere un meccanismo di autenticazione abilitato

• [DMS.12] Gli endpoint DMS per Redis OSS devono avere TLS abilitato

• [DocumentDB.1] I cluster Amazon DocumentDB devono essere crittografati quando sono inattivi

• [DocumentDB.2] I cluster Amazon DocumentDB devono avere un periodo di conservazione dei backup adeguato

• [DocumentDB.3] Le istantanee manuali dei cluster di Amazon DocumentDB non devono essere pubbliche

• [DocumentDB.4] I cluster Amazon DocumentDB devono pubblicare i log di controllo su Logs CloudWatch

• [DocumentDB.5] I cluster Amazon DocumentDB devono avere la protezione da eliminazione abilitata

• [DynamoDB.1] Le tabelle DynamoDB dovrebbero scalare automaticamente la capacità in base alla domanda

• [DynamoDB.3] I cluster DynamoDB Accelerator (DAX) devono essere crittografati quando sono inattivi

• [DynamoDB.4] Le tabelle DynamoDB devono essere presenti in un piano di backup

• [DynamoDB.7] I cluster DynamoDB Accelerator devono essere crittografati in transito

• [EC2.2] I gruppi di sicurezza VPC predefiniti non dovrebbero consentire il traffico in entrata o in uscita

• [EC2.4] Le EC2 istanze interrotte devono essere rimosse dopo un periodo di tempo specificato

• [EC2.8] EC2 le istanze devono utilizzare Instance Metadata Service versione 2 () IMDSv2

• [EC2.14] I gruppi di sicurezza non devono consentire l'accesso da 0.0.0.0/0 o: :/0 alla porta 3389

• [EC2.17] EC2 Le istanze Amazon non devono utilizzare più istanze ENIs

• [EC2.20] Entrambi i tunnel VPN per una connessione AWS Site-to-Site VPN dovrebbero essere attivi

• [EC2.22] I gruppi di EC2 sicurezza Amazon non utilizzati devono essere rimossi

• [EC2.24] I tipi di istanze EC2 paravirtuali di Amazon non devono essere utilizzati

• [EC2.25] I modelli di EC2 lancio di Amazon non devono assegnare interfacce IPs di rete pubbliche

• [EC2.28] I volumi EBS devono essere coperti da un piano di backup

• [EC2.58] VPCs deve essere configurato con un endpoint di interfaccia per Systems Manager Incident Manager Contacts

• [EC2.60] VPCs deve essere configurato con un endpoint di interfaccia per Systems Manager Incident Manager

• [EC2.170] i modelli di EC2 avvio devono utilizzare Instance Metadata Service Version 2 () IMDSv2

• [ECR.4] Gli archivi pubblici ECR devono essere etichettati

• [EFS.1] Elastic File System deve essere configurato per crittografare i dati dei file inattivi utilizzando AWS KMS

• [EFS.2] I volumi Amazon EFS devono essere inclusi nei piani di backup

• I cluster [ElastiCache.1] ElastiCache (Redis OSS) devono avere i backup automatici abilitati

• [ElastiCache.6] ElastiCache (Redis OSS) i gruppi di replica delle versioni precedenti devono avere Redis OSS AUTH abilitato

• [ElastiCache.7] ElastiCache i cluster non devono utilizzare il gruppo di sottoreti predefinito

• [ElasticBeanstalk.1] Gli ambienti Elastic Beanstalk dovrebbero avere la reportistica sullo stato avanzata abilitata

• [ElasticBeanstalk.2] Gli aggiornamenti della piattaforma gestita da Elastic Beanstalk devono essere abilitati

• [ElasticBeanstalk.3] Elastic Beanstalk dovrebbe trasmettere i log a CloudWatch

• [ELB.2] I sistemi Classic Load Balancer con listener SSL/HTTPS devono utilizzare un certificato fornito da AWS Certificate Manager

• [ELB.14] Classic Load Balancer deve essere configurato con la modalità di mitigazione della desincronizzazione difensiva o più rigorosa

• [ELB.16] Gli Application Load Balancer devono essere associati a un ACL web AWS WAF

• [ELB.17] Gli Application and Network Load Balancer con listener devono utilizzare le politiche di sicurezza consigliate

• [EMR.1] I nodi primari del cluster Amazon EMR non devono avere indirizzi IP pubblici

• [ES.4] La registrazione degli errori del dominio Elasticsearch nei log deve essere abilitata CloudWatch

• [EventBridge.4] EventBridge gli endpoint globali dovrebbero avere la replica degli eventi abilitata

• [FraudDetector.1] I tipi di entità Amazon Fraud Detector devono essere etichettati

• [FraudDetector.2] Le etichette di Amazon Fraud Detector devono essere etichettate

• [FraudDetector.3] I risultati di Amazon Fraud Detector devono essere etichettati

• [FraudDetector.4] Le variabili di Amazon Fraud Detector devono essere etichettate

• [GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati

• [Glue.4] I job AWS Glue Spark dovrebbero essere eseguiti su versioni supportate di AWS Glue

• [GuardDuty.2] GuardDuty i filtri devono essere etichettati

• [GuardDuty.3] GuardDuty IPSets deve essere taggato

• [IAM.1] Le politiche IAM non dovrebbero consentire privilegi amministrativi «*» completi

• [IAM.2] Gli utenti IAM non devono avere policy IAM allegate

• [IAM.3] Le chiavi di accesso degli utenti IAM devono essere ruotate ogni 90 giorni o meno

• [IAM.4] La chiave di accesso utente root IAM non dovrebbe esistere

• [IAM.5] MFA deve essere abilitata per tutti gli utenti IAM che dispongono di una password della console

• [IAM.8] Le credenziali utente IAM non utilizzate devono essere rimosse

• [IAM.18] Assicurati che sia stato creato un ruolo di supporto per gestire gli incidenti con Supporto

• [IAM.19] L'MFA deve essere abilitata per tutti gli utenti IAM

• [IAM.21] Le policy gestite dai clienti IAM che create non dovrebbero consentire azioni jolly per i servizi

• [IAM.22] Le credenziali utente IAM non utilizzate per 45 giorni devono essere rimosse

• [IAM.24] I ruoli IAM devono essere etichettati

• [IAM.25] Gli utenti IAM devono essere etichettati

• [IAM.26] I certificati SSL/TLS scaduti gestiti in IAM devono essere rimossi

• [IAM.27] Le identità IAM non devono avere la policy allegata AWSCloud ShellFullAccess

• [Inspector.3] La scansione del codice Amazon Inspector Lambda deve essere abilitata

• [IoT.1] i profili di AWS IoT Device Defender sicurezza devono essere etichettati

• [IoT.2] le azioni di AWS IoT Core mitigazione devono essere etichettate

• [IoT.3] le AWS IoT Core dimensioni devono essere etichettate

• gli AWS IoT Core autorizzatori [IoT.4] devono essere etichettati

• [IoT.5] gli alias dei AWS IoT Core ruoli devono essere etichettati

• [IoT.6] AWS IoT Core le politiche devono essere etichettate

• [Io TEvents .1] Gli input di AWS IoT Events devono essere etichettati

• [Io TEvents .2] I modelli di rilevatori AWS IoT Events devono essere etichettati

• [Io TEvents .3] I modelli di allarme AWS IoT Events devono essere etichettati

• [Io TSite Wise.1] I modelli di SiteWise asset AWS IoT devono essere etichettati

• [Io TSite Wise.2] Le SiteWise dashboard AWS IoT devono essere etichettate

• [Io TSite Wise.3] I SiteWise gateway AWS IoT devono essere etichettati

• [Io TSite Wise.4] I SiteWise portali AWS IoT devono essere etichettati

• [Io TSite Wise.5] I SiteWise progetti AWS IoT devono essere etichettati

• [Io TTwin Maker.1] I lavori di TwinMaker sincronizzazione AWS IoT devono essere etichettati

• [Io TTwin Maker.2] Gli spazi di TwinMaker lavoro AWS IoT devono essere etichettati

• [Io TTwin Maker.3] Le TwinMaker scene AWS IoT devono essere etichettate

• [Io TTwin Maker.4] Le TwinMaker entità AWS IoT devono essere etichettate

• [Io TWireless .1] I gruppi multicast AWS IoT Wireless devono essere etichettati

• [Io TWireless .2] I profili dei servizi AWS IoT Wireless devono essere etichettati

• [Io TWireless .3] Le attività AWS IOT FUOTA devono essere etichettate

• [IVS.1] Le coppie di chiavi di riproduzione IVS devono essere etichettate

• [IVS.2] Le configurazioni di registrazione IVS devono essere contrassegnate

• [IVS.3] I canali IVS devono essere etichettati

• [Keyspaces.1] Gli spazi chiave di Amazon Keyspaces devono essere etichettati

• [KMS.1] Le politiche gestite dai clienti di IAM non dovrebbero consentire azioni di decrittografia su tutte le chiavi KMS

• [KMS.2] I principali IAM non devono disporre di policy IAM in linea che consentano azioni di decrittografia su tutte le chiavi KMS

• [Macie.1] Amazon Macie dovrebbe essere abilitato

• [Macie.2] Il rilevamento automatico dei dati sensibili di Macie deve essere abilitato

• [MQ.2] I broker ActiveMQ devono trasmettere i log di controllo a CloudWatch

• [MQ.3] I broker Amazon MQ dovrebbero avere abilitato l'aggiornamento automatico delle versioni secondarie

• [MQ.4] I broker Amazon MQ devono essere etichettati

• [MQ.5] I broker ActiveMQ devono utilizzare la modalità di distribuzione attiva/standby

• [MQ.6] I broker RabbitMQ dovrebbero utilizzare la modalità di distribuzione del cluster

• [MSK.3] I connettori MSK Connect devono essere crittografati in transito

• [Neptune.1] I cluster Neptune DB devono essere crittografati a riposo

• [Neptune.2] I cluster Neptune DB devono pubblicare i log di controllo su Logs CloudWatch

• [Neptune.3] Le istantanee del cluster Neptune DB non devono essere pubbliche

• [Neptune.4] I cluster Neptune DB devono avere la protezione da eliminazione abilitata

• [Neptune.5] I cluster Neptune DB devono avere i backup automatici abilitati

• [Neptune.6] Le istantanee del cluster Neptune DB devono essere crittografate quando sono inattive

• [Neptune.7] I cluster Neptune DB devono avere l'autenticazione del database IAM abilitata

• [Neptune.8] I cluster Neptune DB devono essere configurati per copiare i tag nelle istantanee

• [Neptune.9] I cluster Neptune DB devono essere distribuiti su più zone di disponibilità

• I OpenSearch domini [Opensearch.1] devono avere la crittografia a riposo abilitata

• I OpenSearch domini [Opensearch.2] non devono essere accessibili al pubblico

• I OpenSearch domini [Opensearch.3] devono crittografare i dati inviati tra i nodi

• La registrazione degli errori del OpenSearch dominio [Opensearch.4] nei log dovrebbe essere abilitata CloudWatch

• I OpenSearch domini [Opensearch.5] devono avere la registrazione di controllo abilitata

• I OpenSearch domini [Opensearch.6] devono avere almeno tre nodi di dati

• I OpenSearch domini [Opensearch.7] devono avere un controllo degli accessi granulare abilitato

• [Opensearch.8] Le connessioni ai OpenSearch domini devono essere crittografate utilizzando la più recente politica di sicurezza TLS

• I OpenSearch domini [Opensearch.9] devono essere etichettati

• Nei OpenSearch domini [Opensearch.10] deve essere installato l'ultimo aggiornamento software

• I OpenSearch domini [Opensearch.11] devono avere almeno tre nodi primari dedicati

• [RDS.1] L'istantanea RDS deve essere privata

• [RDS.14] I cluster Amazon Aurora devono avere il backtracking abilitato

• [RDS.26] Le istanze DB RDS devono essere protette da un piano di backup

• [RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati

• [RDS.35] Nei cluster RDS DB deve essere abilitato l'aggiornamento automatico delle versioni secondarie

• [Route53.1] I controlli sanitari della Route 53 devono essere etichettati

• [Route53.2] Le zone ospitate pubbliche di Route 53 devono registrare le query DNS

• [S3.1] I bucket generici S3 devono avere le impostazioni di blocco dell'accesso pubblico abilitate

• [S3.24] I punti di accesso multiregionali S3 devono avere le impostazioni di blocco dell'accesso pubblico abilitate

• [SageMaker.1] Le istanze di SageMaker notebook Amazon non devono avere accesso diretto a Internet

• [SageMaker.2] le istanze dei SageMaker notebook devono essere avviate in un VPC personalizzato

• [SageMaker.3] Gli utenti non devono avere accesso root alle SageMaker istanze dei notebook

• [SageMaker.5] i SageMaker modelli dovrebbero bloccare il traffico in entrata

• [SES.1] Gli elenchi di contatti SES devono essere etichettati

• [SES.2] I set di configurazione SES devono essere etichettati

• [SNS.1] Gli argomenti SNS devono essere crittografati quando sono inattivi utilizzando AWS KMS

• [SQS.1] Le code di Amazon SQS devono essere crittografate quando sono inattive

• [SQS.2] Le code SQS devono essere etichettate

• [SQS.3] Le politiche di accesso alla coda SQS non devono consentire l'accesso pubblico

• [SSM.3] EC2 Le istanze Amazon gestite da Systems Manager devono avere uno stato di conformità dell'associazione pari a COMPLIANT

• [Transfer.3] I connettori Transfer Family devono avere la registrazione abilitata

• [WAF.1] La registrazione AWS WAF classica Global Web ACL deve essere abilitata

• [WAF.3] I gruppi di regole regionali AWS WAF classici dovrebbero avere almeno una regola

• [WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione

• [WAF.7] I gruppi di regole globali AWS WAF classici dovrebbero avere almeno una regola

• [WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole

• [WAF.10] AWS WAF web ACLs dovrebbe avere almeno una regola o un gruppo di regole

• [WAF.11] La registrazione AWS WAF web ACL deve essere abilitata

• [WorkSpaces.1] i volumi WorkSpaces utente devono essere crittografati quando sono inattivi

• [WorkSpaces.2] i volumi WorkSpaces root devono essere crittografati quando sono inattivi

Israele (Tel Aviv)

I seguenti controlli non sono supportati nella regione di Israele (Tel Aviv).

• [APIGateway.8] Le rotte API Gateway devono specificare un tipo di autorizzazione

• [APIGateway.9] La registrazione degli accessi deve essere configurata per API Gateway V2 Stages

• [AppFlow.1] I AppFlow flussi Amazon devono essere etichettati

• [AppRunner.1] I servizi App Runner devono essere etichettati

• [AppRunner.2] I connettori VPC App Runner devono essere etichettati

• [AppSync.1] Le cache AWS AppSync delle API devono essere crittografate quando sono inattive

• [AppSync.2] AWS AppSync dovrebbe avere la registrazione a livello di campo abilitata

• [AppSync.5] AWS AppSync APIs GraphQL non deve essere autenticato con chiavi API

• [AppSync.6] Le cache delle AWS AppSync API devono essere crittografate in transito

• [Backup.1] i punti di AWS Backup ripristino devono essere crittografati a riposo

• [Backup.4] i piani di AWS Backup report devono essere etichettati

• [Batch.1] Le code di processi in batch devono essere etichettate

• [Batch.3] Gli ambienti di calcolo in batch devono essere etichettati

• [CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato

• [CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito

• [CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine

• [CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata

• [CloudFront.6] le CloudFront distribuzioni devono avere WAF abilitato

• [CloudFront.7] le CloudFront distribuzioni devono utilizzare certificati SSL/TLS personalizzati

• [CloudFront.8] le CloudFront distribuzioni devono utilizzare SNI per soddisfare le richieste HTTPS

• [CloudFront.9] le CloudFront distribuzioni devono crittografare il traffico verso origini personalizzate

• [CloudFront.10] CloudFront le distribuzioni non devono utilizzare protocolli SSL obsoleti tra edge location e origini personalizzate

• [CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti

• [CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine

• [CloudFront.14] le distribuzioni devono essere etichettate CloudFront

• [CodeArtifact.1] i CodeArtifact repository devono essere etichettati

• [CodeBuild.1] L'archivio sorgente di CodeBuild Bitbucket non URLs deve contenere credenziali sensibili

• [CodeBuild.2] Le variabili di ambiente CodeBuild del progetto non devono contenere credenziali in chiaro

• [CodeGuruProfiler.1] I gruppi di CodeGuru profilazione Profiler devono essere etichettati

• [CodeGuruReviewer.1] Le associazioni dei repository dei CodeGuru revisori devono essere etichettate

• [Connect.1] I tipi di oggetto Amazon Connect Customer Profiles devono essere etichettati

• [Connect.2] Le istanze Amazon Connect devono avere la registrazione abilitata CloudWatch

• [DMS.1] Le istanze di replica del Database Migration Service non devono essere pubbliche

• [DMS.2] I certificati DMS devono essere etichettati

• [DMS.3] Le sottoscrizioni agli eventi DMS devono essere contrassegnate

• [DMS.4] Le istanze di replica DMS devono essere contrassegnate

• [DMS.5] I gruppi di sottoreti di replica DMS devono essere etichettati

• [DMS.6] Le istanze di replica DMS devono avere l'aggiornamento automatico delle versioni secondarie abilitato

• [DMS.7] Le attività di replica DMS per il database di destinazione devono avere la registrazione abilitata

• [DMS.8] Le attività di replica DMS per il database di origine devono avere la registrazione abilitata

• [DMS.9] Gli endpoint DMS devono utilizzare SSL

• [DMS.10] Gli endpoint DMS per i database Neptune devono avere l'autorizzazione IAM abilitata

• [DMS.11] Gli endpoint DMS per MongoDB devono avere un meccanismo di autenticazione abilitato

• [DMS.12] Gli endpoint DMS per Redis OSS devono avere TLS abilitato

• [DocumentDB.1] I cluster Amazon DocumentDB devono essere crittografati quando sono inattivi

• [DocumentDB.2] I cluster Amazon DocumentDB devono avere un periodo di conservazione dei backup adeguato

• [DocumentDB.3] Le istantanee manuali dei cluster di Amazon DocumentDB non devono essere pubbliche

• [DocumentDB.4] I cluster Amazon DocumentDB devono pubblicare i log di controllo su Logs CloudWatch

• [DocumentDB.5] I cluster Amazon DocumentDB devono avere la protezione da eliminazione abilitata

• [DynamoDB.3] I cluster DynamoDB Accelerator (DAX) devono essere crittografati quando sono inattivi

• [DynamoDB.4] Le tabelle DynamoDB devono essere presenti in un piano di backup

• [DynamoDB.7] I cluster DynamoDB Accelerator devono essere crittografati in transito

• [EC2.4] Le EC2 istanze interrotte devono essere rimosse dopo un periodo di tempo specificato

• [EC2.6] La registrazione del flusso VPC deve essere abilitata in tutti i casi VPCs

• [EC2.10] Amazon EC2 deve essere configurato per utilizzare gli endpoint VPC creati per il servizio Amazon EC2

• [EC2.14] I gruppi di sicurezza non devono consentire l'accesso da 0.0.0.0/0 o: :/0 alla porta 3389

• [EC2.18] I gruppi di sicurezza devono consentire il traffico in entrata senza restrizioni solo per le porte autorizzate

• [EC2.20] Entrambi i tunnel VPN per una connessione AWS Site-to-Site VPN dovrebbero essere attivi

• [EC2.22] I gruppi di EC2 sicurezza Amazon non utilizzati devono essere rimossi

• [EC2.23] Amazon EC2 Transit Gateways non dovrebbe accettare automaticamente le richieste di allegati VPC

• [EC2.24] I tipi di istanze EC2 paravirtuali di Amazon non devono essere utilizzati

• [EC2.25] I modelli di EC2 lancio di Amazon non devono assegnare interfacce IPs di rete pubbliche

• [EC2.28] I volumi EBS devono essere coperti da un piano di backup

• [EC2.33] Gli allegati di EC2 Transit Gateway devono essere etichettati

• [EC2.34] Le tabelle delle rotte dei gateway di EC2 transito devono essere etichettate

• [EC2.40] I gateway EC2 NAT devono essere etichettati

• [EC2.48] I log di flusso di Amazon VPC devono essere etichettati

• [EC2.51] Gli endpoint EC2 Client VPN devono avere la registrazione delle connessioni client abilitata

• [EC2.55] VPCs deve essere configurato con un endpoint di interfaccia per l'API ECR

• [EC2.56] VPCs deve essere configurato con un endpoint di interfaccia per Docker Registry

• [EC2.57] VPCs deve essere configurato con un endpoint di interfaccia per Systems Manager

• [EC2.58] VPCs deve essere configurato con un endpoint di interfaccia per Systems Manager Incident Manager Contacts

• [EC2.60] VPCs deve essere configurato con un endpoint di interfaccia per Systems Manager Incident Manager

• [EC2.170] i modelli di EC2 avvio devono utilizzare Instance Metadata Service Version 2 () IMDSv2

• [ECR.2] I repository privati ECR devono avere l'immutabilità dei tag configurata

• [ECR.3] I repository ECR devono avere almeno una politica del ciclo di vita configurata

• [ECR.4] Gli archivi pubblici ECR devono essere etichettati

• [ECR.5] I repository ECR devono essere crittografati e gestiti dal cliente AWS KMS keys

• [ECS.1] Le definizioni delle attività di Amazon ECS devono avere modalità di rete e definizioni utente sicure.

• [ECS.16] I set di attività ECS non devono assegnare automaticamente indirizzi IP pubblici

• [EFS.1] Elastic File System deve essere configurato per crittografare i dati dei file inattivi utilizzando AWS KMS

• [EFS.2] I volumi Amazon EFS devono essere inclusi nei piani di backup

• [EFS.3] I punti di accesso EFS devono applicare una directory principale

• [EFS.4] I punti di accesso EFS devono applicare un'identità utente

• [EFS.8] I file system EFS devono essere crittografati quando sono inattivi

• [EKS.2] I cluster EKS devono essere eseguiti su una versione Kubernetes supportata

• [EKS.6] I cluster EKS devono essere etichettati

• [EKS.7] Le configurazioni dei provider di identità EKS devono essere contrassegnate

• [EKS.8] I cluster EKS devono avere la registrazione di controllo abilitata

• I cluster [ElastiCache.1] ElastiCache (Redis OSS) devono avere i backup automatici abilitati

• [ElastiCache.2] i ElastiCache cluster dovrebbero avere gli aggiornamenti automatici delle versioni secondarie abilitati

• [ElastiCache.3] i gruppi di ElastiCache replica devono avere il failover automatico abilitato

• [ElastiCache.4] i gruppi di ElastiCache replica devono essere crittografati quando sono inattivi

• [ElastiCache.5] i gruppi di ElastiCache replica devono essere crittografati in transito

• [ElastiCache.6] ElastiCache (Redis OSS) i gruppi di replica delle versioni precedenti devono avere Redis OSS AUTH abilitato

• [ElastiCache.7] ElastiCache i cluster non devono utilizzare il gruppo di sottoreti predefinito

• [ElasticBeanstalk.1] Gli ambienti Elastic Beanstalk dovrebbero avere la reportistica sullo stato avanzata abilitata

• [ElasticBeanstalk.2] Gli aggiornamenti della piattaforma gestita da Elastic Beanstalk devono essere abilitati

• [ElasticBeanstalk.3] Elastic Beanstalk dovrebbe trasmettere i log a CloudWatch

• [ELB.1] Application Load Balancer deve essere configurato per reindirizzare tutte le richieste HTTP a HTTPS

• [ELB.2] I sistemi Classic Load Balancer con listener SSL/HTTPS devono utilizzare un certificato fornito da AWS Certificate Manager

• [ELB.4] L'Application Load Balancer deve essere configurato per eliminare le intestazioni http non valide

• [ELB.14] Classic Load Balancer deve essere configurato con la modalità di mitigazione della desincronizzazione difensiva o più rigorosa

• [ELB.16] Gli Application Load Balancer devono essere associati a un ACL web AWS WAF

• [ELB.17] Gli Application and Network Load Balancer con listener devono utilizzare le politiche di sicurezza consigliate

• [EMR.1] I nodi primari del cluster Amazon EMR non devono avere indirizzi IP pubblici

• [EMR.3] Le configurazioni di sicurezza di Amazon EMR devono essere crittografate quando sono inattive

• [ES.1] I domini Elasticsearch devono avere la crittografia a riposo abilitata

• [ES.2] I domini Elasticsearch non devono essere accessibili al pubblico

• [ES.3] I domini Elasticsearch devono crittografare i dati inviati tra i nodi

• [ES.4] La registrazione degli errori del dominio Elasticsearch nei log deve essere abilitata CloudWatch

• [EventBridge.4] EventBridge gli endpoint globali dovrebbero avere la replica degli eventi abilitata

• [FraudDetector.1] I tipi di entità Amazon Fraud Detector devono essere etichettati

• [FraudDetector.2] Le etichette di Amazon Fraud Detector devono essere etichettate

• [FraudDetector.3] I risultati di Amazon Fraud Detector devono essere etichettati

• [FraudDetector.4] Le variabili di Amazon Fraud Detector devono essere etichettate

• [GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati

• [Glue.4] I job AWS Glue Spark dovrebbero essere eseguiti su versioni supportate di AWS Glue

• [GuardDuty.1] GuardDuty dovrebbe essere abilitato

• [GuardDuty.2] GuardDuty i filtri devono essere etichettati

• [GuardDuty.3] GuardDuty IPSets deve essere taggato

• [IAM.1] Le politiche IAM non dovrebbero consentire privilegi amministrativi «*» completi

• [IAM.2] Gli utenti IAM non devono avere policy IAM allegate

• [IAM.3] Le chiavi di accesso degli utenti IAM devono essere ruotate ogni 90 giorni o meno

• [IAM.4] La chiave di accesso utente root IAM non dovrebbe esistere

• [IAM.5] MFA deve essere abilitata per tutti gli utenti IAM che dispongono di una password della console

• [IAM.6] L'autenticazione MFA per l'hardware deve essere abilitata per l'utente root

• [IAM.7] Le politiche relative alle password per gli utenti IAM devono avere configurazioni avanzate

• [IAM.8] Le credenziali utente IAM non utilizzate devono essere rimosse

• [IAM.9] L'MFA deve essere abilitata per l'utente root

• [IAM.10] Le politiche relative alle password per gli utenti IAM dovrebbero avere durate elevate AWS Config

• [IAM.11] Assicurati che la politica delle password IAM richieda almeno una lettera maiuscola

• [IAM.12] Assicurati che la politica delle password IAM richieda almeno una lettera minuscola

• [IAM.13] Assicurati che la politica delle password IAM richieda almeno un simbolo

• [IAM.14] Assicurati che la politica delle password IAM richieda almeno un numero

• [IAM.15] Assicurati che la politica delle password di IAM richieda una lunghezza minima della password pari o superiore a 14

• [IAM.16] Assicurati che la politica delle password di IAM impedisca il riutilizzo delle password

• [IAM.17] Assicurati che la policy sulle password di IAM faccia scadere le password entro 90 giorni o meno

• [IAM.18] Assicurati che sia stato creato un ruolo di supporto per gestire gli incidenti con Supporto

• [IAM.19] L'MFA deve essere abilitata per tutti gli utenti IAM

• [IAM.21] Le policy gestite dai clienti IAM che create non dovrebbero consentire azioni jolly per i servizi

• [IAM.22] Le credenziali utente IAM non utilizzate per 45 giorni devono essere rimosse

• [IAM.24] I ruoli IAM devono essere etichettati

• [IAM.25] Gli utenti IAM devono essere etichettati

• [IAM.26] I certificati SSL/TLS scaduti gestiti in IAM devono essere rimossi

• [IAM.27] Le identità IAM non devono avere la policy allegata AWSCloud ShellFullAccess

• [IAM.28] L'analizzatore di accesso esterno IAM Access Analyzer deve essere abilitato

• [Inspector.1] La scansione di Amazon Inspector deve essere abilitata EC2

• [Inspector.2] La scansione ECR di Amazon Inspector deve essere abilitata

• [Inspector.3] La scansione del codice Amazon Inspector Lambda deve essere abilitata

• [Inspector.4] La scansione standard di Amazon Inspector Lambda deve essere abilitata

• [IoT.1] i profili di AWS IoT Device Defender sicurezza devono essere etichettati

• [IoT.2] le azioni di AWS IoT Core mitigazione devono essere etichettate

• [IoT.3] le AWS IoT Core dimensioni devono essere etichettate

• gli AWS IoT Core autorizzatori [IoT.4] devono essere etichettati

• [IoT.5] gli alias dei AWS IoT Core ruoli devono essere etichettati

• [IoT.6] AWS IoT Core le politiche devono essere etichettate

• [Io TEvents .1] Gli input di AWS IoT Events devono essere etichettati

• [Io TEvents .2] I modelli di rilevatori AWS IoT Events devono essere etichettati

• [Io TEvents .3] I modelli di allarme AWS IoT Events devono essere etichettati

• [Io TSite Wise.1] I modelli di SiteWise asset AWS IoT devono essere etichettati

• [Io TSite Wise.2] Le SiteWise dashboard AWS IoT devono essere etichettate

• [Io TSite Wise.3] I SiteWise gateway AWS IoT devono essere etichettati

• [Io TSite Wise.4] I SiteWise portali AWS IoT devono essere etichettati

• [Io TSite Wise.5] I SiteWise progetti AWS IoT devono essere etichettati

• [Io TTwin Maker.1] I lavori di TwinMaker sincronizzazione AWS IoT devono essere etichettati

• [Io TTwin Maker.2] Gli spazi di TwinMaker lavoro AWS IoT devono essere etichettati

• [Io TTwin Maker.3] Le TwinMaker scene AWS IoT devono essere etichettate

• [Io TTwin Maker.4] Le TwinMaker entità AWS IoT devono essere etichettate

• [Io TWireless .1] I gruppi multicast AWS IoT Wireless devono essere etichettati

• [Io TWireless .2] I profili dei servizi AWS IoT Wireless devono essere etichettati

• [Io TWireless .3] Le attività AWS IOT FUOTA devono essere etichettate

• [IVS.1] Le coppie di chiavi di riproduzione IVS devono essere etichettate

• [IVS.2] Le configurazioni di registrazione IVS devono essere contrassegnate

• [IVS.3] I canali IVS devono essere etichettati

• [Keyspaces.1] Gli spazi chiave di Amazon Keyspaces devono essere etichettati

• [Kinesis.1] Gli stream Kinesis devono essere crittografati quando sono inattivi

• [Kinesis.2] Gli stream Kinesis devono essere etichettati

• [Kinesis.3] I flussi Kinesis devono avere un periodo di conservazione dei dati adeguato

• [KMS.1] Le politiche gestite dai clienti di IAM non dovrebbero consentire azioni di decrittografia su tutte le chiavi KMS

• [KMS.2] I principali IAM non devono disporre di policy IAM in linea che consentano azioni di decrittografia su tutte le chiavi KMS

• [Lambda.5] Le funzioni VPC Lambda devono funzionare in più zone di disponibilità

• [Macie.1] Amazon Macie dovrebbe essere abilitato

• [MQ.2] I broker ActiveMQ devono trasmettere i log di controllo a CloudWatch

• [MQ.3] I broker Amazon MQ dovrebbero avere abilitato l'aggiornamento automatico delle versioni secondarie

• [MQ.4] I broker Amazon MQ devono essere etichettati

• [MQ.5] I broker ActiveMQ devono utilizzare la modalità di distribuzione attiva/standby

• [MQ.6] I broker RabbitMQ dovrebbero utilizzare la modalità di distribuzione del cluster

• [MSK.1] I cluster MSK devono essere crittografati durante il transito tra i nodi del broker

• [MSK.2] I cluster MSK dovrebbero avere configurato un monitoraggio avanzato

• [MSK.3] I connettori MSK Connect devono essere crittografati in transito

• [Neptune.3] Le istantanee del cluster Neptune DB non devono essere pubbliche

• [Neptune.6] Le istantanee del cluster Neptune DB devono essere crittografate quando sono inattive

• [NetworkFirewall.10] I firewall Network Firewall devono avere la protezione da cambio di sottorete abilitata

• I OpenSearch domini [Opensearch.1] devono avere la crittografia a riposo abilitata

• I OpenSearch domini [Opensearch.2] non devono essere accessibili al pubblico

• I OpenSearch domini [Opensearch.3] devono crittografare i dati inviati tra i nodi

• La registrazione degli errori del OpenSearch dominio [Opensearch.4] nei log dovrebbe essere abilitata CloudWatch

• I OpenSearch domini [Opensearch.5] devono avere la registrazione di controllo abilitata

• I OpenSearch domini [Opensearch.6] devono avere almeno tre nodi di dati

• I OpenSearch domini [Opensearch.7] devono avere un controllo degli accessi granulare abilitato

• [Opensearch.8] Le connessioni ai OpenSearch domini devono essere crittografate utilizzando la più recente politica di sicurezza TLS

• I OpenSearch domini [Opensearch.9] devono essere etichettati

• Nei OpenSearch domini [Opensearch.10] deve essere installato l'ultimo aggiornamento software

• I OpenSearch domini [Opensearch.11] devono avere almeno tre nodi primari dedicati

• [RDS.1] L'istantanea RDS deve essere privata

• [RDS.4] Le istantanee dei cluster RDS e le istantanee del database devono essere crittografate quando sono inattive

• [RDS.7] I cluster RDS devono avere la protezione da eliminazione abilitata

• [RDS.12] L'autenticazione IAM deve essere configurata per i cluster RDS

• [RDS.14] I cluster Amazon Aurora devono avere il backtracking abilitato

• [RDS.15] I cluster RDS DB devono essere configurati per più zone di disponibilità

• [RDS.26] Le istanze DB RDS devono essere protette da un piano di backup

• [RDS.29] Gli snapshot del cluster RDS DB devono essere etichettati

• [RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati

• [RDS.35] Nei cluster RDS DB deve essere abilitato l'aggiornamento automatico delle versioni secondarie

• [RDS.37] I cluster Aurora PostgreSQL DB devono pubblicare i log nei log CloudWatch

• [Redshift.3] I cluster Amazon Redshift devono avere le istantanee automatiche abilitate

• [Redshift.8] I cluster Amazon Redshift non devono utilizzare il nome utente amministratore predefinito

• [Redshift.9] I cluster Redshift non devono utilizzare il nome di database predefinito

• [RedshiftServerless.1] I gruppi di lavoro Serverless di Amazon Redshift devono utilizzare un routing VPC avanzato

• [Route53.1] I controlli sanitari della Route 53 devono essere etichettati

• [Route53.2] Le zone ospitate pubbliche di Route 53 devono registrare le query DNS

• [S3.1] I bucket generici S3 devono avere le impostazioni di blocco dell'accesso pubblico abilitate

• [S3.8] I bucket generici S3 dovrebbero bloccare l'accesso pubblico

• [S3.24] I punti di accesso multiregionali S3 devono avere le impostazioni di blocco dell'accesso pubblico abilitate

• [SageMaker.1] Le istanze di SageMaker notebook Amazon non devono avere accesso diretto a Internet

• [SageMaker.2] le istanze dei SageMaker notebook devono essere avviate in un VPC personalizzato

• [SageMaker.3] Gli utenti non devono avere accesso root alle SageMaker istanze dei notebook

• [SageMaker.5] i SageMaker modelli dovrebbero bloccare il traffico in entrata

• [ServiceCatalog.1] I portafogli Service Catalog devono essere condivisi solo all'interno di un'organizzazione AWS

• [SNS.1] Gli argomenti SNS devono essere crittografati quando sono inattivi utilizzando AWS KMS

• [SQS.1] Le code di Amazon SQS devono essere crittografate quando sono inattive

• [SQS.2] Le code SQS devono essere etichettate

• [SQS.3] Le politiche di accesso alla coda SQS non devono consentire l'accesso pubblico

• [SSM.3] EC2 Le istanze Amazon gestite da Systems Manager devono avere uno stato di conformità dell'associazione pari a COMPLIANT

• [SSM.4] I documenti SSM non devono essere pubblici

• [StepFunctions.1] Le macchine a stati Step Functions dovrebbero avere la registrazione attivata

• [Transfer.3] I connettori Transfer Family devono avere la registrazione abilitata

• [WAF.1] La registrazione AWS WAF classica Global Web ACL deve essere abilitata

• [WAF.3] I gruppi di regole regionali AWS WAF classici dovrebbero avere almeno una regola

• [WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione

• [WAF.7] I gruppi di regole globali AWS WAF classici dovrebbero avere almeno una regola

• [WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole

• [WAF.11] La registrazione AWS WAF web ACL deve essere abilitata

• [WorkSpaces.1] i volumi WorkSpaces utente devono essere crittografati quando sono inattivi

• [WorkSpaces.2] i volumi WorkSpaces root devono essere crittografati quando sono inattivi

Messico (centrale)

I seguenti controlli non sono supportati nella regione Messico (Centrale).

• [ACM.2] I certificati RSA gestiti da ACM devono utilizzare una lunghezza di chiave di almeno 2.048 bit

• [ACM.3] I certificati ACM devono essere etichettati

• [Account.1] Le informazioni di contatto di sicurezza devono essere fornite per un Account AWS

• [Account.2] Account AWS deve far parte di un'organizzazione AWS Organizations

• [APIGateway.1] API Gateway REST e la registrazione dell'esecuzione dell' WebSocket API devono essere abilitati

• [APIGateway.2] Le fasi API REST di API Gateway devono essere configurate per utilizzare i certificati SSL per l'autenticazione del backend

• [APIGateway.3] Le fasi API REST di API Gateway devono avere la AWS X-Ray traccia abilitata

• [APIGateway.4] API Gateway deve essere associato a un ACL Web WAF

• [APIGateway.5] I dati della cache dell'API REST di API Gateway devono essere crittografati quando sono inattivi

• [APIGateway.8] Le rotte API Gateway devono specificare un tipo di autorizzazione

• [APIGateway.9] La registrazione degli accessi deve essere configurata per API Gateway V2 Stages

• [AppConfig.1] AWS AppConfig le applicazioni devono essere etichettate

• [AppConfig.2] i profili AWS AppConfig di configurazione devono essere etichettati

• [AppConfig.3] AWS AppConfig gli ambienti devono essere etichettati

• [AppConfig.4] le associazioni di AWS AppConfig estensioni devono essere etichettate

• [AppFlow.1] I AppFlow flussi Amazon devono essere etichettati

• [AppRunner.1] I servizi App Runner devono essere etichettati

• [AppRunner.2] I connettori VPC App Runner devono essere etichettati

• [AppSync.1] Le cache AWS AppSync delle API devono essere crittografate quando sono inattive

• [AppSync.2] AWS AppSync dovrebbe avere la registrazione a livello di campo abilitata

• [AppSync.4] AWS AppSync APIs GraphQL dovrebbe essere taggato

• [AppSync.5] AWS AppSync APIs GraphQL non deve essere autenticato con chiavi API

• [AppSync.6] Le cache delle AWS AppSync API devono essere crittografate in transito

• [Athena.2] I cataloghi di dati Athena devono essere etichettati

• [Athena.3] I gruppi di lavoro Athena devono essere etichettati

• [Athena.4] I gruppi di lavoro Athena devono avere la registrazione abilitata

• [AutoScaling.1] I gruppi di Auto Scaling associati a un sistema di bilanciamento del carico devono utilizzare i controlli di integrità ELB

• [AutoScaling.2] Il gruppo Amazon EC2 Auto Scaling dovrebbe coprire più zone di disponibilità

• [AutoScaling.3] Le configurazioni di avvio del gruppo Auto Scaling devono EC2 configurare le istanze in modo da richiedere Instance Metadata Service versione 2 () IMDSv2

• [AutoScaling.6] I gruppi di Auto Scaling devono utilizzare più tipi di istanze in più zone di disponibilità

• [AutoScaling.9] I gruppi Amazon EC2 Auto Scaling devono utilizzare i modelli di lancio di Amazon EC2

• [AutoScaling.10] I gruppi EC2 Auto Scaling devono essere etichettati

• [Autoscaling.5] Le istanze EC2 Amazon avviate utilizzando le configurazioni di avvio del gruppo Auto Scaling non devono avere indirizzi IP pubblici

• [Backup.1] i punti di AWS Backup ripristino devono essere crittografati a riposo

• [Backup.2] i punti di AWS Backup ripristino devono essere etichettati

• I AWS Backup vault [Backup.3] devono essere etichettati

• [Backup.4] i piani di AWS Backup report devono essere etichettati

• [Backup.5] i piani di AWS Backup backup devono essere etichettati

• [Batch.1] Le code di processi in batch devono essere etichettate

• [Batch.2] Le politiche di pianificazione dei batch devono essere etichettate

• [Batch.3] Gli ambienti di calcolo in batch devono essere etichettati

• [CloudFormation.2] CloudFormation gli stack devono essere etichettati

• [CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato

• [CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito

• [CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine

• [CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata

• [CloudFront.6] le CloudFront distribuzioni devono avere WAF abilitato

• [CloudFront.7] le CloudFront distribuzioni devono utilizzare certificati SSL/TLS personalizzati

• [CloudFront.8] le CloudFront distribuzioni devono utilizzare SNI per soddisfare le richieste HTTPS

• [CloudFront.9] le CloudFront distribuzioni devono crittografare il traffico verso origini personalizzate

• [CloudFront.10] CloudFront le distribuzioni non devono utilizzare protocolli SSL obsoleti tra edge location e origini personalizzate

• [CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti

• [CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine

• [CloudFront.14] le distribuzioni devono essere etichettate CloudFront

• [CloudTrail.6] Assicurati che il bucket S3 utilizzato per archiviare i log non sia accessibile al pubblico CloudTrail

• [CloudTrail.7] Assicurati che la registrazione degli accessi al bucket S3 sia abilitata sul bucket S3 CloudTrail

• [CloudTrail.9] i percorsi devono essere etichettati CloudTrail

• [CloudWatch.17] le azioni di CloudWatch allarme devono essere attivate

• [CodeArtifact.1] i CodeArtifact repository devono essere etichettati

• [CodeBuild.1] L'archivio sorgente di CodeBuild Bitbucket non URLs deve contenere credenziali sensibili

• [CodeBuild.2] Le variabili di ambiente CodeBuild del progetto non devono contenere credenziali in chiaro

• [CodeBuild.3] I log CodeBuild S3 devono essere crittografati

• [CodeBuild.4] Gli ambienti di CodeBuild progetto devono avere una durata di registrazione AWS Config

• [CodeBuild.7] Le esportazioni dei gruppi di CodeBuild report devono essere crittografate quando sono inattive

• [CodeGuruProfiler.1] I gruppi di CodeGuru profilazione Profiler devono essere etichettati

• [CodeGuruReviewer.1] Le associazioni dei repository dei CodeGuru revisori devono essere etichettate

• [Cognito.1] I pool di utenti di Cognito dovrebbero avere la protezione dalle minacce attivata con la modalità di imposizione completa delle funzioni per l'autenticazione standard

• [Connect.1] I tipi di oggetto Amazon Connect Customer Profiles devono essere etichettati

• [DataFirehose.1] I flussi di distribuzione di Firehose devono essere crittografati quando sono inattivi

• [DataSync.1] DataSync le attività devono avere la registrazione abilitata

• [Detective.1] I grafici del comportamento dei Detective devono essere etichettati

• [DMS.1] Le istanze di replica del Database Migration Service non devono essere pubbliche

• [DMS.2] I certificati DMS devono essere etichettati

• [DMS.3] Le sottoscrizioni agli eventi DMS devono essere contrassegnate

• [DMS.4] Le istanze di replica DMS devono essere contrassegnate

• [DMS.5] I gruppi di sottoreti di replica DMS devono essere etichettati

• [DMS.6] Le istanze di replica DMS devono avere l'aggiornamento automatico delle versioni secondarie abilitato

• [DMS.7] Le attività di replica DMS per il database di destinazione devono avere la registrazione abilitata

• [DMS.8] Le attività di replica DMS per il database di origine devono avere la registrazione abilitata

• [DMS.9] Gli endpoint DMS devono utilizzare SSL

• [DMS.10] Gli endpoint DMS per i database Neptune devono avere l'autorizzazione IAM abilitata

• [DMS.11] Gli endpoint DMS per MongoDB devono avere un meccanismo di autenticazione abilitato

• [DMS.12] Gli endpoint DMS per Redis OSS devono avere TLS abilitato

• [DocumentDB.1] I cluster Amazon DocumentDB devono essere crittografati quando sono inattivi

• [DocumentDB.2] I cluster Amazon DocumentDB devono avere un periodo di conservazione dei backup adeguato

• [DocumentDB.3] Le istantanee manuali dei cluster di Amazon DocumentDB non devono essere pubbliche

• [DocumentDB.4] I cluster Amazon DocumentDB devono pubblicare i log di controllo su Logs CloudWatch

• [DocumentDB.5] I cluster Amazon DocumentDB devono avere la protezione da eliminazione abilitata

• [DynamoDB.3] I cluster DynamoDB Accelerator (DAX) devono essere crittografati quando sono inattivi

• [DynamoDB.4] Le tabelle DynamoDB devono essere presenti in un piano di backup

• [DynamoDB.5] Le tabelle DynamoDB devono essere etichettate

• [DynamoDB.6] Le tabelle DynamoDB devono avere la protezione da eliminazione abilitata

• [DynamoDB.7] I cluster DynamoDB Accelerator devono essere crittografati in transito

• [EC2.4] Le EC2 istanze interrotte devono essere rimosse dopo un periodo di tempo specificato

• [EC2.10] Amazon EC2 deve essere configurato per utilizzare gli endpoint VPC creati per il servizio Amazon EC2

• [EC2.19] I gruppi di sicurezza non devono consentire l'accesso illimitato alle porte ad alto rischio

• [EC2.21] La rete non ACLs dovrebbe consentire l'ingresso dalla porta 0.0.0.0/0 alla porta 22 o alla porta 3389

• [EC2.22] I gruppi di EC2 sicurezza Amazon non utilizzati devono essere rimossi

• [EC2.23] Amazon EC2 Transit Gateways non dovrebbe accettare automaticamente le richieste di allegati VPC

• [EC2.24] I tipi di istanze EC2 paravirtuali di Amazon non devono essere utilizzati

• [EC2.25] I modelli di EC2 lancio di Amazon non devono assegnare interfacce IPs di rete pubbliche

• [EC2.28] I volumi EBS devono essere coperti da un piano di backup

• [EC2.33] Gli allegati di EC2 Transit Gateway devono essere etichettati

• [EC2.34] Le tabelle delle rotte dei gateway di EC2 transito devono essere etichettate

• [EC2.35] le interfacce EC2 di rete devono essere etichettate

• [EC2.36] I gateway per i EC2 clienti devono essere etichettati

• [EC2.37] Gli indirizzi IP EC2 elastici devono essere etichettati

• [EC2.38] EC2 le istanze devono essere etichettate

• [EC2.39] i gateway EC2 Internet devono essere etichettati

• [EC2.40] I gateway EC2 NAT devono essere etichettati

• [EC2.41] la EC2 rete ACLs deve essere etichettata

• [EC2.42] le tabelle delle EC2 rotte devono essere etichettate

• [EC2.43] i gruppi EC2 di sicurezza devono essere etichettati

• [EC24.4] le EC2 sottoreti devono essere etichettate

• [EC2.45] i EC2 volumi devono essere etichettati

• [EC2.46] Amazon VPCs dovrebbe essere taggato

• [EC2.47] I servizi endpoint Amazon VPC devono essere etichettati

• [EC2.48] I log di flusso di Amazon VPC devono essere etichettati

• [EC2.49] Le connessioni peering Amazon VPC devono essere etichettate

• [EC2.50] I gateway EC2 VPN devono essere etichettati

• [EC2.51] Gli endpoint EC2 Client VPN devono avere la registrazione delle connessioni client abilitata

• [EC2.52] i gateway di EC2 transito devono essere etichettati

• [EC2.53] i gruppi EC2 di sicurezza non dovrebbero consentire l'accesso da 0.0.0.0/0 alle porte di amministrazione remota del server

• [EC2.54] i gruppi EC2 di sicurezza non dovrebbero consentire l'accesso da: :/0 alle porte di amministrazione remota del server

• [EC2.55] VPCs deve essere configurato con un endpoint di interfaccia per l'API ECR

• [EC2.56] VPCs deve essere configurato con un endpoint di interfaccia per Docker Registry

• [EC2.57] VPCs deve essere configurato con un endpoint di interfaccia per Systems Manager

• [EC2.58] VPCs deve essere configurato con un endpoint di interfaccia per Systems Manager Incident Manager Contacts

• [EC2.60] VPCs deve essere configurato con un endpoint di interfaccia per Systems Manager Incident Manager

• [EC2.170] i modelli di EC2 avvio devono utilizzare Instance Metadata Service Version 2 () IMDSv2

• [EC2.171] Le connessioni EC2 VPN devono avere la registrazione abilitata

• [EC2.172] Le impostazioni EC2 VPC Block Public Access dovrebbero bloccare il traffico del gateway Internet

• [ECR.1] Gli archivi privati ECR devono avere la scansione delle immagini configurata

• [ECR.2] I repository privati ECR devono avere l'immutabilità dei tag configurata

• [ECR.3] I repository ECR devono avere almeno una politica del ciclo di vita configurata

• [ECR.4] Gli archivi pubblici ECR devono essere etichettati

• [ECS.1] Le definizioni delle attività di Amazon ECS devono avere modalità di rete e definizioni utente sicure.

• [ECS.2] Ai servizi ECS non devono essere assegnati automaticamente indirizzi IP pubblici

• [ECS.3] Le definizioni delle attività ECS non devono condividere lo spazio dei nomi dei processi dell'host

• [ECS.4] I contenitori ECS devono essere eseguiti come non privilegiati

• [ECS.5] I contenitori ECS devono essere limitati all'accesso in sola lettura ai filesystem root

• [ECS.8] I segreti non devono essere passati come variabili di ambiente del contenitore

• [ECS.9] Le definizioni delle attività ECS devono avere una configurazione di registrazione

• [ECS.10] I servizi ECS Fargate devono essere eseguiti sulla versione più recente della piattaforma Fargate

• [ECS.12] I cluster ECS devono utilizzare Container Insights

• [ECS.13] I servizi ECS devono essere etichettati

• [ECS.14] I cluster ECS devono essere etichettati

• [ECS.15] Le definizioni delle attività ECS devono essere etichettate

• [ECS.16] I set di attività ECS non devono assegnare automaticamente indirizzi IP pubblici

• [EFS.1] Elastic File System deve essere configurato per crittografare i dati dei file inattivi utilizzando AWS KMS

• [EFS.2] I volumi Amazon EFS devono essere inclusi nei piani di backup

• [EFS.3] I punti di accesso EFS devono applicare una directory principale

• [EFS.4] I punti di accesso EFS devono applicare un'identità utente

• [EFS.5] I punti di accesso EFS devono essere etichettati

• [EFS.6] I target di montaggio EFS non devono essere associati a una sottorete pubblica

• [EFS.7] I file system EFS devono avere i backup automatici abilitati

• [EFS.8] I file system EFS devono essere crittografati quando sono inattivi

• [EKS.1] Gli endpoint del cluster EKS non dovrebbero essere accessibili al pubblico

• [EKS.2] I cluster EKS devono essere eseguiti su una versione Kubernetes supportata

• [EKS.3] I cluster EKS devono utilizzare segreti Kubernetes crittografati

• [EKS.6] I cluster EKS devono essere etichettati

• [EKS.7] Le configurazioni dei provider di identità EKS devono essere contrassegnate

• [EKS.8] I cluster EKS devono avere la registrazione di controllo abilitata

• [ELB.2] I sistemi Classic Load Balancer con listener SSL/HTTPS devono utilizzare un certificato fornito da AWS Certificate Manager

• [ELB.3] I listener Classic Load Balancer devono essere configurati con terminazione HTTPS o TLS

• [ELB.7] I Classic Load Balancer devono avere il drenaggio della connessione abilitato

• [ELB.8] I Classic Load Balancer con listener SSL devono utilizzare una politica di sicurezza predefinita con una durata elevata AWS Config

• [ELB.10] Classic Load Balancer dovrebbe estendersi su più zone di disponibilità

• [ELB.12] Application Load Balancer deve essere configurato con la modalità di mitigazione della desincronizzazione difensiva o più rigorosa

• [ELB.13] I Load Balancer per applicazioni, reti e gateway devono estendersi su più zone di disponibilità

• [ELB.14] Classic Load Balancer deve essere configurato con la modalità di mitigazione della desincronizzazione difensiva o più rigorosa

• [ELB.16] Gli Application Load Balancer devono essere associati a un ACL web AWS WAF

• I cluster [ElastiCache.1] ElastiCache (Redis OSS) devono avere i backup automatici abilitati

• [ElastiCache.2] i ElastiCache cluster dovrebbero avere gli aggiornamenti automatici delle versioni secondarie abilitati

• [ElastiCache.3] i gruppi di ElastiCache replica devono avere il failover automatico abilitato

• [ElastiCache.4] i gruppi di ElastiCache replica devono essere crittografati quando sono inattivi

• [ElastiCache.5] i gruppi di ElastiCache replica devono essere crittografati in transito

• [ElastiCache.6] ElastiCache (Redis OSS) i gruppi di replica delle versioni precedenti devono avere Redis OSS AUTH abilitato

• [ElastiCache.7] ElastiCache i cluster non devono utilizzare il gruppo di sottoreti predefinito

• [ElasticBeanstalk.1] Gli ambienti Elastic Beanstalk dovrebbero avere la reportistica sullo stato avanzata abilitata

• [ElasticBeanstalk.2] Gli aggiornamenti della piattaforma gestita da Elastic Beanstalk devono essere abilitati

• [ElasticBeanstalk.3] Elastic Beanstalk dovrebbe trasmettere i log a CloudWatch

• [EMR.1] I nodi primari del cluster Amazon EMR non devono avere indirizzi IP pubblici

• [EMR.2] L'impostazione di accesso pubblico a blocchi di Amazon EMR deve essere abilitata

• [EMR.3] Le configurazioni di sicurezza di Amazon EMR devono essere crittografate quando sono inattive

• [EMR.4] Le configurazioni di sicurezza di Amazon EMR devono essere crittografate in transito

• [ES.1] I domini Elasticsearch devono avere la crittografia a riposo abilitata

• [ES.2] I domini Elasticsearch non devono essere accessibili al pubblico

• [ES.3] I domini Elasticsearch devono crittografare i dati inviati tra i nodi

• [ES.4] La registrazione degli errori del dominio Elasticsearch nei log deve essere abilitata CloudWatch

• [ES.5] I domini Elasticsearch devono avere la registrazione di controllo abilitata

• [ES.6] I domini Elasticsearch devono avere almeno tre nodi di dati

• [ES.7] I domini Elasticsearch devono essere configurati con almeno tre nodi master dedicati

• [ES.8] Le connessioni ai domini Elasticsearch devono essere crittografate utilizzando la più recente politica di sicurezza TLS

• [ES.9] I domini Elasticsearch devono essere etichettati

• [EventBridge.2] i bus EventBridge degli eventi devono essere etichettati

• [EventBridge.3] i bus di eventi EventBridge personalizzati devono avere una politica basata sulle risorse allegata

• [EventBridge.4] EventBridge gli endpoint globali dovrebbero avere la replica degli eventi abilitata

• [FraudDetector.1] I tipi di entità Amazon Fraud Detector devono essere etichettati

• [FraudDetector.2] Le etichette di Amazon Fraud Detector devono essere etichettate

• [FraudDetector.3] I risultati di Amazon Fraud Detector devono essere etichettati

• [FraudDetector.4] Le variabili di Amazon Fraud Detector devono essere etichettate

• [FSx.1] FSx per i file system OpenZFS deve essere configurato per copiare i tag su backup e volumi

• [FSx.2] FSx per i file system Lustre devono essere configurati per copiare i tag nei backup

• [GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati

• [Glue.1] i AWS Glue lavori devono essere etichettati

• [Glue.3] le trasformazioni di apprendimento AWS Glue automatico devono essere crittografate a riposo

• [GuardDuty.1] GuardDuty dovrebbe essere abilitato

• [GuardDuty.2] GuardDuty i filtri devono essere etichettati

• [GuardDuty.3] GuardDuty IPSets deve essere taggato

• [GuardDuty.4] i GuardDuty rilevatori devono essere etichettati

• [GuardDuty.5] GuardDuty EKS Audit Log Monitoring deve essere abilitato

• [GuardDuty.6] La protezione GuardDuty Lambda deve essere abilitata

• [GuardDuty.7] GuardDuty EKS Runtime Monitoring deve essere abilitato

• [GuardDuty.8] La protezione GuardDuty da malware per EC2 deve essere abilitata

• [GuardDuty.9] La protezione GuardDuty RDS deve essere abilitata

• [GuardDuty.10] La protezione GuardDuty S3 deve essere abilitata

• [IAM.1] Le politiche IAM non dovrebbero consentire privilegi amministrativi «*» completi

• [IAM.2] Gli utenti IAM non devono avere policy IAM allegate

• [IAM.3] Le chiavi di accesso degli utenti IAM devono essere ruotate ogni 90 giorni o meno

• [IAM.4] La chiave di accesso utente root IAM non dovrebbe esistere

• [IAM.5] MFA deve essere abilitata per tutti gli utenti IAM che dispongono di una password della console

• [IAM.6] L'autenticazione MFA per l'hardware deve essere abilitata per l'utente root

• [IAM.7] Le politiche relative alle password per gli utenti IAM devono avere configurazioni avanzate

• [IAM.8] Le credenziali utente IAM non utilizzate devono essere rimosse

• [IAM.9] L'MFA deve essere abilitata per l'utente root

• [IAM.10] Le politiche relative alle password per gli utenti IAM dovrebbero avere durate elevate AWS Config

• [IAM.11] Assicurati che la politica delle password IAM richieda almeno una lettera maiuscola

• [IAM.12] Assicurati che la politica delle password IAM richieda almeno una lettera minuscola

• [IAM.13] Assicurati che la politica delle password IAM richieda almeno un simbolo

• [IAM.14] Assicurati che la politica delle password IAM richieda almeno un numero

• [IAM.15] Assicurati che la politica delle password di IAM richieda una lunghezza minima della password pari o superiore a 14

• [IAM.16] Assicurati che la politica delle password di IAM impedisca il riutilizzo delle password

• [IAM.17] Assicurati che la policy sulle password di IAM faccia scadere le password entro 90 giorni o meno

• [IAM.18] Assicurati che sia stato creato un ruolo di supporto per gestire gli incidenti con Supporto

• [IAM.19] L'MFA deve essere abilitata per tutti gli utenti IAM

• [IAM.21] Le policy gestite dai clienti IAM che create non dovrebbero consentire azioni jolly per i servizi

• [IAM.22] Le credenziali utente IAM non utilizzate per 45 giorni devono essere rimosse

• [IAM.23] Gli analizzatori IAM Access Analyzer devono essere etichettati

• [IAM.24] I ruoli IAM devono essere etichettati

• [IAM.25] Gli utenti IAM devono essere etichettati

• [IAM.26] I certificati SSL/TLS scaduti gestiti in IAM devono essere rimossi

• [IAM.27] Le identità IAM non devono avere la policy allegata AWSCloud ShellFullAccess

• [IAM.28] L'analizzatore di accesso esterno IAM Access Analyzer deve essere abilitato

• [Inspector.1] La scansione di Amazon Inspector deve essere abilitata EC2

• [Inspector.2] La scansione ECR di Amazon Inspector deve essere abilitata

• [Inspector.3] La scansione del codice Amazon Inspector Lambda deve essere abilitata

• [Inspector.4] La scansione standard di Amazon Inspector Lambda deve essere abilitata

• [IoT.1] i profili di AWS IoT Device Defender sicurezza devono essere etichettati

• [IoT.2] le azioni di AWS IoT Core mitigazione devono essere etichettate

• [IoT.3] le AWS IoT Core dimensioni devono essere etichettate

• gli AWS IoT Core autorizzatori [IoT.4] devono essere etichettati

• [IoT.5] gli alias dei AWS IoT Core ruoli devono essere etichettati

• [IoT.6] AWS IoT Core le politiche devono essere etichettate

• [Io TEvents .1] Gli input di AWS IoT Events devono essere etichettati

• [Io TEvents .2] I modelli di rilevatori AWS IoT Events devono essere etichettati

• [Io TEvents .3] I modelli di allarme AWS IoT Events devono essere etichettati

• [Io TSite Wise.1] I modelli di SiteWise asset AWS IoT devono essere etichettati

• [Io TSite Wise.2] Le SiteWise dashboard AWS IoT devono essere etichettate

• [Io TSite Wise.3] I SiteWise gateway AWS IoT devono essere etichettati

• [Io TSite Wise.4] I SiteWise portali AWS IoT devono essere etichettati

• [Io TSite Wise.5] I SiteWise progetti AWS IoT devono essere etichettati

• [Io TTwin Maker.1] I lavori di TwinMaker sincronizzazione AWS IoT devono essere etichettati

• [Io TTwin Maker.2] Gli spazi di TwinMaker lavoro AWS IoT devono essere etichettati

• [Io TTwin Maker.3] Le TwinMaker scene AWS IoT devono essere etichettate

• [Io TTwin Maker.4] Le TwinMaker entità AWS IoT devono essere etichettate

• [Io TWireless .1] I gruppi multicast AWS IoT Wireless devono essere etichettati

• [Io TWireless .2] I profili dei servizi AWS IoT Wireless devono essere etichettati

• [Io TWireless .3] Le attività AWS IOT FUOTA devono essere etichettate

• [IVS.1] Le coppie di chiavi di riproduzione IVS devono essere etichettate

• [IVS.2] Le configurazioni di registrazione IVS devono essere contrassegnate

• [IVS.3] I canali IVS devono essere etichettati

• [Keyspaces.1] Gli spazi chiave di Amazon Keyspaces devono essere etichettati

• [Kinesis.1] Gli stream Kinesis devono essere crittografati quando sono inattivi

• [Kinesis.2] Gli stream Kinesis devono essere etichettati

• [Kinesis.3] I flussi Kinesis devono avere un periodo di conservazione dei dati adeguato

• [KMS.1] Le politiche gestite dai clienti di IAM non dovrebbero consentire azioni di decrittografia su tutte le chiavi KMS

• [KMS.2] I principali IAM non devono disporre di policy IAM in linea che consentano azioni di decrittografia su tutte le chiavi KMS

• [KMS.3] AWS KMS keys non deve essere eliminato involontariamente

• [KMS.5] Le chiavi KMS non devono essere accessibili al pubblico

• [Lambda.5] Le funzioni VPC Lambda devono funzionare in più zone di disponibilità

• [Lambda.6] Le funzioni Lambda devono essere etichettate

• [Macie.1] Amazon Macie dovrebbe essere abilitato

• [Macie.2] Il rilevamento automatico dei dati sensibili di Macie deve essere abilitato

• [MQ.2] I broker ActiveMQ devono trasmettere i log di controllo a CloudWatch

• [MQ.3] I broker Amazon MQ dovrebbero avere abilitato l'aggiornamento automatico delle versioni secondarie

• [MQ.4] I broker Amazon MQ devono essere etichettati

• [MQ.5] I broker ActiveMQ devono utilizzare la modalità di distribuzione attiva/standby

• [MQ.6] I broker RabbitMQ dovrebbero utilizzare la modalità di distribuzione del cluster

• [MSK.1] I cluster MSK devono essere crittografati durante il transito tra i nodi del broker

• [MSK.2] I cluster MSK dovrebbero avere configurato un monitoraggio avanzato

• [MSK.3] I connettori MSK Connect devono essere crittografati in transito

• [Neptune.1] I cluster Neptune DB devono essere crittografati a riposo

• [Neptune.2] I cluster Neptune DB devono pubblicare i log di controllo su Logs CloudWatch

• [Neptune.3] Le istantanee del cluster Neptune DB non devono essere pubbliche

• [Neptune.4] I cluster Neptune DB devono avere la protezione da eliminazione abilitata

• [Neptune.5] I cluster Neptune DB devono avere i backup automatici abilitati

• [Neptune.6] Le istantanee del cluster Neptune DB devono essere crittografate quando sono inattive

• [Neptune.7] I cluster Neptune DB devono avere l'autenticazione del database IAM abilitata

• [Neptune.8] I cluster Neptune DB devono essere configurati per copiare i tag nelle istantanee

• [Neptune.9] I cluster Neptune DB devono essere distribuiti su più zone di disponibilità

• [NetworkFirewall.1] I firewall Network Firewall devono essere distribuiti su più zone di disponibilità

• [NetworkFirewall.2] La registrazione del Network Firewall deve essere abilitata

• [NetworkFirewall.3] Le policy di Network Firewall devono avere almeno un gruppo di regole associato

• [NetworkFirewall.4] L'azione stateless predefinita per le policy del Network Firewall dovrebbe essere drop or forward per pacchetti completi

• [NetworkFirewall.5] L'azione stateless predefinita per le policy del Network Firewall dovrebbe essere drop or forward per i pacchetti frammentati

• [NetworkFirewall.6] Il gruppo di regole Stateless Network Firewall non deve essere vuoto

• [NetworkFirewall.7] I firewall Network Firewall devono essere etichettati

• [NetworkFirewall.8] Le politiche firewall di Network Firewall devono essere etichettate

• [NetworkFirewall.9] I firewall Network Firewall devono avere la protezione da eliminazione abilitata

• I OpenSearch domini [Opensearch.1] devono avere la crittografia a riposo abilitata

• I OpenSearch domini [Opensearch.2] non devono essere accessibili al pubblico

• I OpenSearch domini [Opensearch.3] devono crittografare i dati inviati tra i nodi

• La registrazione degli errori del OpenSearch dominio [Opensearch.4] nei log dovrebbe essere abilitata CloudWatch

• I OpenSearch domini [Opensearch.5] devono avere la registrazione di controllo abilitata

• I OpenSearch domini [Opensearch.6] devono avere almeno tre nodi di dati

• I OpenSearch domini [Opensearch.7] devono avere un controllo degli accessi granulare abilitato

• [Opensearch.8] Le connessioni ai OpenSearch domini devono essere crittografate utilizzando la più recente politica di sicurezza TLS

• I OpenSearch domini [Opensearch.9] devono essere etichettati

• Nei OpenSearch domini [Opensearch.10] deve essere installato l'ultimo aggiornamento software

• I OpenSearch domini [Opensearch.11] devono avere almeno tre nodi primari dedicati

• L'autorità di certificazione AWS Private CA principale [PCA.1] deve essere disabilitata

• [PCA.2] Le autorità di certificazione CA AWS private devono essere etichettate

• [RDS.14] I cluster Amazon Aurora devono avere il backtracking abilitato

• [RDS.16] I cluster RDS DB devono essere configurati per copiare i tag nelle istantanee

• [RDS.17] Le istanze DB RDS devono essere configurate per copiare i tag nelle istantanee

• [RDS.18] Le istanze RDS devono essere distribuite in un VPC

• [RDS.19] Le sottoscrizioni esistenti per le notifiche di eventi RDS devono essere configurate per gli eventi critici del cluster

• [RDS.20] Le sottoscrizioni di notifica degli eventi RDS esistenti devono essere configurate per gli eventi critici delle istanze di database

• [RDS.21] È necessario configurare un abbonamento alle notifiche di eventi RDS per gli eventi critici del gruppo di parametri del database

• [RDS.22] È necessario configurare un abbonamento alle notifiche di eventi RDS per gli eventi critici dei gruppi di sicurezza del database

• [RDS.23] Le istanze RDS non devono utilizzare una porta predefinita del motore di database

• [RDS.24] I cluster di database RDS devono utilizzare un nome utente di amministratore personalizzato

• [RDS.25] Le istanze del database RDS devono utilizzare un nome utente amministratore personalizzato

• [RDS.26] Le istanze DB RDS devono essere protette da un piano di backup

• [RDS.27] I cluster RDS DB devono essere crittografati quando sono inattivi

• [RDS.28] I cluster RDS DB devono essere etichettati

• [RDS.29] Gli snapshot del cluster RDS DB devono essere etichettati

• [RDS.30] Le istanze DB RDS devono essere etichettate

• [RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati

• [RDS.32] Gli snapshot RDS DB devono essere etichettati

• [RDS.33] I gruppi di sottoreti RDS DB devono essere etichettati

• [RDS.34] I cluster Aurora MySQL DB devono pubblicare i log di controllo nei registri CloudWatch

• [RDS.35] Nei cluster RDS DB deve essere abilitato l'aggiornamento automatico delle versioni secondarie

• [RDS.36] Le istanze DB di RDS per PostgreSQL devono pubblicare i log nei log CloudWatch

• [RDS.37] I cluster Aurora PostgreSQL DB devono pubblicare i log nei log CloudWatch

• [RDS.38] Le istanze DB di RDS per PostgreSQL devono essere crittografate in transito

• [RDS.39] Le istanze DB di RDS per MySQL devono essere crittografate in transito

• [Redshift.1] I cluster Amazon Redshift dovrebbero vietare l'accesso pubblico

• [Redshift.2] Le connessioni ai cluster Amazon Redshift devono essere crittografate in transito

• [Redshift.3] I cluster Amazon Redshift devono avere le istantanee automatiche abilitate

• [Redshift.4] I cluster Amazon Redshift devono avere la registrazione di controllo abilitata

• [Redshift.6] Amazon Redshift dovrebbe avere gli upgrade automatici alle versioni principali abilitati

• [Redshift.7] I cluster Redshift devono utilizzare un routing VPC avanzato

• [Redshift.8] I cluster Amazon Redshift non devono utilizzare il nome utente amministratore predefinito

• [Redshift.9] I cluster Redshift non devono utilizzare il nome di database predefinito

• [Redshift.10] I cluster Redshift devono essere crittografati a riposo

• [Redshift.11] I cluster Redshift devono essere etichettati

• [Redshift.12] Le sottoscrizioni alle notifiche degli eventi Redshift devono essere contrassegnate

• [Redshift.13] Le istantanee del cluster Redshift devono essere etichettate

• [Redshift.14] I gruppi di sottoreti del cluster Redshift devono essere etichettati

• [Redshift.15] I gruppi di sicurezza Redshift dovrebbero consentire l'ingresso sulla porta del cluster solo da origini limitate

• [Redshift.16] I sottoreti del cluster Redshift devono avere sottoreti da più zone di disponibilità

• [Route53.1] I controlli sanitari della Route 53 devono essere etichettati

• [Route53.2] Le zone ospitate pubbliche di Route 53 devono registrare le query DNS

• [S3.7] I bucket S3 per uso generico devono utilizzare la replica tra regioni

• [S3.10] I bucket generici S3 con il controllo delle versioni abilitato devono avere configurazioni del ciclo di vita

• [S3.11] I bucket generici S3 devono avere le notifiche degli eventi abilitate

• [S3.12] non ACLs deve essere usato per gestire l'accesso degli utenti ai bucket generici S3

• [S3.13] I bucket generici S3 devono avere configurazioni del ciclo di vita

• [S3.17] I bucket generici S3 devono essere crittografati quando sono inattivi con AWS KMS keys

• [S3.19] I punti di accesso S3 devono avere le impostazioni di blocco dell'accesso pubblico abilitate

• [S3.20] I bucket S3 per uso generico devono avere l'eliminazione MFA abilitata

• [S3.22] I bucket S3 per uso generico devono registrare gli eventi di scrittura a livello di oggetto

• [S3.23] I bucket S3 per uso generico devono registrare gli eventi di lettura a livello di oggetto

• [S3.24] I punti di accesso multiregionali S3 devono avere le impostazioni di blocco dell'accesso pubblico abilitate

• [SageMaker.1] Le istanze di SageMaker notebook Amazon non devono avere accesso diretto a Internet

• [SageMaker.2] le istanze dei SageMaker notebook devono essere avviate in un VPC personalizzato

• [SageMaker.3] Gli utenti non devono avere accesso root alle SageMaker istanze dei notebook

• [SageMaker.4] Le varianti di produzione di SageMaker endpoint devono avere un numero iniziale di istanze superiore a 1

• [SageMaker.5] i SageMaker modelli dovrebbero bloccare il traffico in entrata

• [SES.1] Gli elenchi di contatti SES devono essere etichettati

• [SES.2] I set di configurazione SES devono essere etichettati

• [SecretsManager.1] I segreti di Secrets Manager devono avere la rotazione automatica abilitata

• [SecretsManager.2] I segreti di Secrets Manager configurati con rotazione automatica dovrebbero ruotare correttamente

• [SecretsManager.3] Rimuovi i segreti inutilizzati di Secrets Manager

• [SecretsManager.4] I segreti di Secrets Manager devono essere ruotati entro un determinato numero di giorni

• [SecretsManager.5] I segreti di Secrets Manager devono essere etichettati

• [ServiceCatalog.1] I portafogli Service Catalog devono essere condivisi solo all'interno di un'organizzazione AWS

• [SNS.3] Gli argomenti SNS devono essere etichettati

• [SNS.4] Le politiche di accesso agli argomenti SNS non dovrebbero consentire l'accesso pubblico

• [SQS.1] Le code di Amazon SQS devono essere crittografate quando sono inattive

• [SQS.2] Le code SQS devono essere etichettate

• [SSM.1] Le EC2 istanze Amazon devono essere gestite da AWS Systems Manager

• [SSM.2] EC2 Le istanze Amazon gestite da Systems Manager devono avere uno stato di conformità alla patch pari a COMPLIANT dopo l'installazione della patch

• [SSM.3] EC2 Le istanze Amazon gestite da Systems Manager devono avere uno stato di conformità dell'associazione pari a COMPLIANT

• [SSM.4] I documenti SSM non devono essere pubblici

• [StepFunctions.1] Le macchine a stati Step Functions dovrebbero avere la registrazione attivata

• [StepFunctions.2] Le attività di Step Functions devono essere etichettate

• I AWS Transfer Family flussi di lavoro [Transfer.1] devono essere etichettati

• [Transfer.2] I server Transfer Family non devono utilizzare il protocollo FTP per la connessione agli endpoint

• [WAF.1] La registrazione AWS WAF classica Global Web ACL deve essere abilitata

• [WAF.2] Le regole regionali AWS WAF classiche devono avere almeno una condizione

• [WAF.3] I gruppi di regole regionali AWS WAF classici dovrebbero avere almeno una regola

• [WAF.4] Il sito Web regionale AWS WAF classico ACLs deve avere almeno una regola o un gruppo di regole

• [WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione

• [WAF.7] I gruppi di regole globali AWS WAF classici dovrebbero avere almeno una regola

• [WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole

• [WAF.10] AWS WAF web ACLs dovrebbe avere almeno una regola o un gruppo di regole

• [WAF.11] La registrazione AWS WAF web ACL deve essere abilitata

• Le regole [WAF.12] devono avere le metriche abilitate AWS WAF CloudWatch

• [WorkSpaces.1] i volumi WorkSpaces utente devono essere crittografati quando sono inattivi

• [WorkSpaces.2] i volumi WorkSpaces root devono essere crittografati quando sono inattivi

Medio Oriente (Bahrein)

I seguenti controlli non sono supportati nella regione Medio Oriente (Bahrein).

• [AppFlow.1] I AppFlow flussi Amazon devono essere etichettati

• [AppRunner.1] I servizi App Runner devono essere etichettati

• [AppRunner.2] I connettori VPC App Runner devono essere etichettati

• [CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato

• [CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito

• [CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine

• [CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata

• [CloudFront.6] le CloudFront distribuzioni devono avere WAF abilitato

• [CloudFront.7] le CloudFront distribuzioni devono utilizzare certificati SSL/TLS personalizzati

• [CloudFront.8] le CloudFront distribuzioni devono utilizzare SNI per soddisfare le richieste HTTPS

• [CloudFront.9] le CloudFront distribuzioni devono crittografare il traffico verso origini personalizzate

• [CloudFront.10] CloudFront le distribuzioni non devono utilizzare protocolli SSL obsoleti tra edge location e origini personalizzate

• [CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti

• [CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine

• [CloudFront.14] le distribuzioni devono essere etichettate CloudFront

• [CodeArtifact.1] i CodeArtifact repository devono essere etichettati

• [CodeGuruProfiler.1] I gruppi di CodeGuru profilazione Profiler devono essere etichettati

• [CodeGuruReviewer.1] Le associazioni dei repository dei CodeGuru revisori devono essere etichettate

• [Connect.1] I tipi di oggetto Amazon Connect Customer Profiles devono essere etichettati

• [Connect.2] Le istanze Amazon Connect devono avere la registrazione abilitata CloudWatch

• [DocumentDB.1] I cluster Amazon DocumentDB devono essere crittografati quando sono inattivi

• [DocumentDB.2] I cluster Amazon DocumentDB devono avere un periodo di conservazione dei backup adeguato

• [DocumentDB.3] Le istantanee manuali dei cluster di Amazon DocumentDB non devono essere pubbliche

• [DocumentDB.4] I cluster Amazon DocumentDB devono pubblicare i log di controllo su Logs CloudWatch

• [DocumentDB.5] I cluster Amazon DocumentDB devono avere la protezione da eliminazione abilitata

• [DynamoDB.3] I cluster DynamoDB Accelerator (DAX) devono essere crittografati quando sono inattivi

• [DynamoDB.7] I cluster DynamoDB Accelerator devono essere crittografati in transito

• [EC2.20] Entrambi i tunnel VPN per una connessione AWS Site-to-Site VPN dovrebbero essere attivi

• [EC2.24] I tipi di istanze EC2 paravirtuali di Amazon non devono essere utilizzati

• [EC2.58] VPCs deve essere configurato con un endpoint di interfaccia per Systems Manager Incident Manager Contacts

• [EC2.60] VPCs deve essere configurato con un endpoint di interfaccia per Systems Manager Incident Manager

• [ECR.4] Gli archivi pubblici ECR devono essere etichettati

• [ECR.5] I repository ECR devono essere crittografati e gestiti dal cliente AWS KMS keys

• [ELB.17] Gli Application and Network Load Balancer con listener devono utilizzare le politiche di sicurezza consigliate

• [EventBridge.4] EventBridge gli endpoint globali dovrebbero avere la replica degli eventi abilitata

• [FraudDetector.1] I tipi di entità Amazon Fraud Detector devono essere etichettati

• [FraudDetector.2] Le etichette di Amazon Fraud Detector devono essere etichettate

• [FraudDetector.3] I risultati di Amazon Fraud Detector devono essere etichettati

• [FraudDetector.4] Le variabili di Amazon Fraud Detector devono essere etichettate

• [FSx.3] FSx per i file system OpenZFS deve essere configurato per l'implementazione Multi-AZ

• [FSx.4] FSx per i file system NetApp ONTAP deve essere configurato per l'implementazione Multi-AZ

• [FSx.5] FSx per i file system Windows File Server devono essere configurati per l'implementazione Multi-AZ

• [GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati

• [Glue.4] I job AWS Glue Spark dovrebbero essere eseguiti su versioni supportate di AWS Glue

• [GuardDuty.11] Il monitoraggio del GuardDuty runtime deve essere abilitato

• [GuardDuty.12] Il monitoraggio del runtime GuardDuty ECS deve essere abilitato

• [GuardDuty.13] Il monitoraggio del GuardDuty EC2 runtime deve essere abilitato

• [IAM.26] I certificati SSL/TLS scaduti gestiti in IAM devono essere rimossi

• [Inspector.3] La scansione del codice Amazon Inspector Lambda deve essere abilitata

• [Io TEvents .1] Gli input di AWS IoT Events devono essere etichettati

• [Io TEvents .2] I modelli di rilevatori AWS IoT Events devono essere etichettati

• [Io TEvents .3] I modelli di allarme AWS IoT Events devono essere etichettati

• [Io TSite Wise.1] I modelli di SiteWise asset AWS IoT devono essere etichettati

• [Io TSite Wise.2] Le SiteWise dashboard AWS IoT devono essere etichettate

• [Io TSite Wise.3] I SiteWise gateway AWS IoT devono essere etichettati

• [Io TSite Wise.4] I SiteWise portali AWS IoT devono essere etichettati

• [Io TSite Wise.5] I SiteWise progetti AWS IoT devono essere etichettati

• [Io TTwin Maker.1] I lavori di TwinMaker sincronizzazione AWS IoT devono essere etichettati

• [Io TTwin Maker.2] Gli spazi di TwinMaker lavoro AWS IoT devono essere etichettati

• [Io TTwin Maker.3] Le TwinMaker scene AWS IoT devono essere etichettate

• [Io TTwin Maker.4] Le TwinMaker entità AWS IoT devono essere etichettate

• [Io TWireless .1] I gruppi multicast AWS IoT Wireless devono essere etichettati

• [Io TWireless .2] I profili dei servizi AWS IoT Wireless devono essere etichettati

• [Io TWireless .3] Le attività AWS IOT FUOTA devono essere etichettate

• [IVS.1] Le coppie di chiavi di riproduzione IVS devono essere etichettate

• [IVS.2] Le configurazioni di registrazione IVS devono essere contrassegnate

• [IVS.3] I canali IVS devono essere etichettati

• [MSK.3] I connettori MSK Connect devono essere crittografati in transito

• [NetworkFirewall.10] I firewall Network Firewall devono avere la protezione da cambio di sottorete abilitata

• [RDS.14] I cluster Amazon Aurora devono avere il backtracking abilitato

• [RDS.15] I cluster RDS DB devono essere configurati per più zone di disponibilità

• [RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati

• [Redshift.6] Amazon Redshift dovrebbe avere gli upgrade automatici alle versioni principali abilitati

• [RedshiftServerless.1] I gruppi di lavoro Serverless di Amazon Redshift devono utilizzare un routing VPC avanzato

• [Route53.1] I controlli sanitari della Route 53 devono essere etichettati

• [Route53.2] Le zone ospitate pubbliche di Route 53 devono registrare le query DNS

• [S3.24] I punti di accesso multiregionali S3 devono avere le impostazioni di blocco dell'accesso pubblico abilitate

• [SQS.3] Le politiche di accesso alla coda SQS non devono consentire l'accesso pubblico

• [Transfer.3] I connettori Transfer Family devono avere la registrazione abilitata

• [WAF.1] La registrazione AWS WAF classica Global Web ACL deve essere abilitata

• [WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione

• [WAF.7] I gruppi di regole globali AWS WAF classici dovrebbero avere almeno una regola

• [WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole

• [WorkSpaces.1] i volumi WorkSpaces utente devono essere crittografati quando sono inattivi

• [WorkSpaces.2] i volumi WorkSpaces root devono essere crittografati quando sono inattivi

Medio Oriente (Emirati Arabi Uniti)

I seguenti controlli non sono supportati nella regione del Medio Oriente (Emirati Arabi Uniti).

• [APIGateway.8] Le rotte API Gateway devono specificare un tipo di autorizzazione

• [APIGateway.9] La registrazione degli accessi deve essere configurata per API Gateway V2 Stages

• [AppConfig.1] AWS AppConfig le applicazioni devono essere etichettate

• [AppConfig.2] i profili AWS AppConfig di configurazione devono essere etichettati

• [AppConfig.3] AWS AppConfig gli ambienti devono essere etichettati

• [AppFlow.1] I AppFlow flussi Amazon devono essere etichettati

• [AppRunner.1] I servizi App Runner devono essere etichettati

• [AppRunner.2] I connettori VPC App Runner devono essere etichettati

• [AppSync.1] Le cache AWS AppSync delle API devono essere crittografate quando sono inattive

• [AppSync.6] Le cache delle AWS AppSync API devono essere crittografate in transito

• [AutoScaling.1] I gruppi di Auto Scaling associati a un sistema di bilanciamento del carico devono utilizzare i controlli di integrità ELB

• [Backup.1] i punti di AWS Backup ripristino devono essere crittografati a riposo

• [Backup.4] i piani di AWS Backup report devono essere etichettati

• [CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato

• [CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito

• [CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine

• [CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata

• [CloudFront.6] le CloudFront distribuzioni devono avere WAF abilitato

• [CloudFront.7] le CloudFront distribuzioni devono utilizzare certificati SSL/TLS personalizzati

• [CloudFront.8] le CloudFront distribuzioni devono utilizzare SNI per soddisfare le richieste HTTPS

• [CloudFront.9] le CloudFront distribuzioni devono crittografare il traffico verso origini personalizzate

• [CloudFront.10] CloudFront le distribuzioni non devono utilizzare protocolli SSL obsoleti tra edge location e origini personalizzate

• [CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti

• [CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine

• [CloudFront.14] le distribuzioni devono essere etichettate CloudFront

• [CloudTrail.1] CloudTrail deve essere abilitato e configurato con almeno un percorso multiregionale che includa eventi di gestione di lettura e scrittura

• [CloudTrail.6] Assicurati che il bucket S3 utilizzato per archiviare i log non sia accessibile al pubblico CloudTrail

• [CloudWatch.16] i gruppi di CloudWatch log devono essere conservati per un periodo di tempo specificato

• [CodeArtifact.1] i CodeArtifact repository devono essere etichettati

• [CodeBuild.1] L'archivio sorgente di CodeBuild Bitbucket non URLs deve contenere credenziali sensibili

• [CodeGuruProfiler.1] I gruppi di CodeGuru profilazione Profiler devono essere etichettati

• [CodeGuruReviewer.1] Le associazioni dei repository dei CodeGuru revisori devono essere etichettate

• [Cognito.1] I pool di utenti di Cognito dovrebbero avere la protezione dalle minacce attivata con la modalità di imposizione completa delle funzioni per l'autenticazione standard

• [Connect.1] I tipi di oggetto Amazon Connect Customer Profiles devono essere etichettati

• [Connect.2] Le istanze Amazon Connect devono avere la registrazione abilitata CloudWatch

• [Detective.1] I grafici del comportamento dei Detective devono essere etichettati

• [DMS.1] Le istanze di replica del Database Migration Service non devono essere pubbliche

• [DMS.2] I certificati DMS devono essere etichettati

• [DMS.3] Le sottoscrizioni agli eventi DMS devono essere contrassegnate

• [DMS.4] Le istanze di replica DMS devono essere contrassegnate

• [DMS.5] I gruppi di sottoreti di replica DMS devono essere etichettati

• [DMS.6] Le istanze di replica DMS devono avere l'aggiornamento automatico delle versioni secondarie abilitato

• [DMS.7] Le attività di replica DMS per il database di destinazione devono avere la registrazione abilitata

• [DMS.8] Le attività di replica DMS per il database di origine devono avere la registrazione abilitata

• [DMS.9] Gli endpoint DMS devono utilizzare SSL

• [DMS.10] Gli endpoint DMS per i database Neptune devono avere l'autorizzazione IAM abilitata

• [DMS.11] Gli endpoint DMS per MongoDB devono avere un meccanismo di autenticazione abilitato

• [DMS.12] Gli endpoint DMS per Redis OSS devono avere TLS abilitato

• [DynamoDB.3] I cluster DynamoDB Accelerator (DAX) devono essere crittografati quando sono inattivi

• [DynamoDB.4] Le tabelle DynamoDB devono essere presenti in un piano di backup

• [DynamoDB.7] I cluster DynamoDB Accelerator devono essere crittografati in transito

• [EC2.4] Le EC2 istanze interrotte devono essere rimosse dopo un periodo di tempo specificato

• [EC2.8] EC2 le istanze devono utilizzare Instance Metadata Service versione 2 () IMDSv2

• [EC2.12] Amazon non utilizzato EC2 EIPs deve essere rimosso

• [EC2.14] I gruppi di sicurezza non devono consentire l'accesso da 0.0.0.0/0 o: :/0 alla porta 3389

• [EC2.22] I gruppi di EC2 sicurezza Amazon non utilizzati devono essere rimossi

• [EC2.24] I tipi di istanze EC2 paravirtuali di Amazon non devono essere utilizzati

• [EC2.25] I modelli di EC2 lancio di Amazon non devono assegnare interfacce IPs di rete pubbliche

• [EC2.28] I volumi EBS devono essere coperti da un piano di backup

• [EC2.51] Gli endpoint EC2 Client VPN devono avere la registrazione delle connessioni client abilitata

• [EC2.58] VPCs deve essere configurato con un endpoint di interfaccia per Systems Manager Incident Manager Contacts

• [EC2.60] VPCs deve essere configurato con un endpoint di interfaccia per Systems Manager Incident Manager

• [EC2.170] i modelli di EC2 avvio devono utilizzare Instance Metadata Service Version 2 () IMDSv2

• [ECR.4] Gli archivi pubblici ECR devono essere etichettati

• [ECS.1] Le definizioni delle attività di Amazon ECS devono avere modalità di rete e definizioni utente sicure.

• [EFS.1] Elastic File System deve essere configurato per crittografare i dati dei file inattivi utilizzando AWS KMS

• [EFS.2] I volumi Amazon EFS devono essere inclusi nei piani di backup

• I cluster [ElastiCache.1] ElastiCache (Redis OSS) devono avere i backup automatici abilitati

• [ElastiCache.2] i ElastiCache cluster dovrebbero avere gli aggiornamenti automatici delle versioni secondarie abilitati

• [ElastiCache.3] i gruppi di ElastiCache replica devono avere il failover automatico abilitato

• [ElastiCache.4] i gruppi di ElastiCache replica devono essere crittografati quando sono inattivi

• [ElastiCache.5] i gruppi di ElastiCache replica devono essere crittografati in transito

• [ElastiCache.6] ElastiCache (Redis OSS) i gruppi di replica delle versioni precedenti devono avere Redis OSS AUTH abilitato

• [ElastiCache.7] ElastiCache i cluster non devono utilizzare il gruppo di sottoreti predefinito

• [ElasticBeanstalk.1] Gli ambienti Elastic Beanstalk dovrebbero avere la reportistica sullo stato avanzata abilitata

• [ElasticBeanstalk.2] Gli aggiornamenti della piattaforma gestita da Elastic Beanstalk devono essere abilitati

• [ElasticBeanstalk.3] Elastic Beanstalk dovrebbe trasmettere i log a CloudWatch

• [ELB.3] I listener Classic Load Balancer devono essere configurati con terminazione HTTPS o TLS

• [ELB.14] Classic Load Balancer deve essere configurato con la modalità di mitigazione della desincronizzazione difensiva o più rigorosa

• [ELB.16] Gli Application Load Balancer devono essere associati a un ACL web AWS WAF

• [ELB.17] Gli Application and Network Load Balancer con listener devono utilizzare le politiche di sicurezza consigliate

• [EMR.1] I nodi primari del cluster Amazon EMR non devono avere indirizzi IP pubblici

• [EventBridge.4] EventBridge gli endpoint globali dovrebbero avere la replica degli eventi abilitata

• [FraudDetector.1] I tipi di entità Amazon Fraud Detector devono essere etichettati

• [FraudDetector.2] Le etichette di Amazon Fraud Detector devono essere etichettate

• [FraudDetector.3] I risultati di Amazon Fraud Detector devono essere etichettati

• [FraudDetector.4] Le variabili di Amazon Fraud Detector devono essere etichettate

• [GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati

• [Glue.4] I job AWS Glue Spark dovrebbero essere eseguiti su versioni supportate di AWS Glue

• [GuardDuty.2] GuardDuty i filtri devono essere etichettati

• [IAM.1] Le politiche IAM non dovrebbero consentire privilegi amministrativi «*» completi

• [IAM.2] Gli utenti IAM non devono avere policy IAM allegate

• [IAM.3] Le chiavi di accesso degli utenti IAM devono essere ruotate ogni 90 giorni o meno

• [IAM.4] La chiave di accesso utente root IAM non dovrebbe esistere

• [IAM.5] MFA deve essere abilitata per tutti gli utenti IAM che dispongono di una password della console

• [IAM.6] L'autenticazione MFA per l'hardware deve essere abilitata per l'utente root

• [IAM.8] Le credenziali utente IAM non utilizzate devono essere rimosse

• [IAM.9] L'MFA deve essere abilitata per l'utente root

• [IAM.18] Assicurati che sia stato creato un ruolo di supporto per gestire gli incidenti con Supporto

• [IAM.19] L'MFA deve essere abilitata per tutti gli utenti IAM

• [IAM.21] Le policy gestite dai clienti IAM che create non dovrebbero consentire azioni jolly per i servizi

• [IAM.22] Le credenziali utente IAM non utilizzate per 45 giorni devono essere rimosse

• [IAM.24] I ruoli IAM devono essere etichettati

• [IAM.25] Gli utenti IAM devono essere etichettati

• [IAM.26] I certificati SSL/TLS scaduti gestiti in IAM devono essere rimossi

• [IAM.27] Le identità IAM non devono avere la policy allegata AWSCloud ShellFullAccess

• [Inspector.1] La scansione di Amazon Inspector deve essere abilitata EC2

• [Inspector.2] La scansione ECR di Amazon Inspector deve essere abilitata

• [Inspector.3] La scansione del codice Amazon Inspector Lambda deve essere abilitata

• [Inspector.4] La scansione standard di Amazon Inspector Lambda deve essere abilitata

• [Io TEvents .1] Gli input di AWS IoT Events devono essere etichettati

• [Io TEvents .2] I modelli di rilevatori AWS IoT Events devono essere etichettati

• [Io TEvents .3] I modelli di allarme AWS IoT Events devono essere etichettati

• [Io TSite Wise.1] I modelli di SiteWise asset AWS IoT devono essere etichettati

• [Io TSite Wise.2] Le SiteWise dashboard AWS IoT devono essere etichettate

• [Io TSite Wise.3] I SiteWise gateway AWS IoT devono essere etichettati

• [Io TSite Wise.4] I SiteWise portali AWS IoT devono essere etichettati

• [Io TSite Wise.5] I SiteWise progetti AWS IoT devono essere etichettati

• [Io TTwin Maker.1] I lavori di TwinMaker sincronizzazione AWS IoT devono essere etichettati

• [Io TTwin Maker.2] Gli spazi di TwinMaker lavoro AWS IoT devono essere etichettati

• [Io TTwin Maker.3] Le TwinMaker scene AWS IoT devono essere etichettate

• [Io TTwin Maker.4] Le TwinMaker entità AWS IoT devono essere etichettate

• [Io TWireless .1] I gruppi multicast AWS IoT Wireless devono essere etichettati

• [Io TWireless .2] I profili dei servizi AWS IoT Wireless devono essere etichettati

• [Io TWireless .3] Le attività AWS IOT FUOTA devono essere etichettate

• [IVS.1] Le coppie di chiavi di riproduzione IVS devono essere etichettate

• [IVS.2] Le configurazioni di registrazione IVS devono essere contrassegnate

• [IVS.3] I canali IVS devono essere etichettati

• [Keyspaces.1] Gli spazi chiave di Amazon Keyspaces devono essere etichettati

• [KMS.1] Le politiche gestite dai clienti di IAM non dovrebbero consentire azioni di decrittografia su tutte le chiavi KMS

• [KMS.2] I principali IAM non devono disporre di policy IAM in linea che consentano azioni di decrittografia su tutte le chiavi KMS

• [KMS.4] la rotazione dei tasti dovrebbe essere abilitata AWS KMS

• [Macie.1] Amazon Macie dovrebbe essere abilitato

• [Macie.2] Il rilevamento automatico dei dati sensibili di Macie deve essere abilitato

• [MSK.3] I connettori MSK Connect devono essere crittografati in transito

• I OpenSearch domini [Opensearch.1] devono avere la crittografia a riposo abilitata

• I OpenSearch domini [Opensearch.2] non devono essere accessibili al pubblico

• I OpenSearch domini [Opensearch.3] devono crittografare i dati inviati tra i nodi

• La registrazione degli errori del OpenSearch dominio [Opensearch.4] nei log dovrebbe essere abilitata CloudWatch

• I OpenSearch domini [Opensearch.5] devono avere la registrazione di controllo abilitata

• I OpenSearch domini [Opensearch.6] devono avere almeno tre nodi di dati

• I OpenSearch domini [Opensearch.7] devono avere un controllo degli accessi granulare abilitato

• [Opensearch.8] Le connessioni ai OpenSearch domini devono essere crittografate utilizzando la più recente politica di sicurezza TLS

• I OpenSearch domini [Opensearch.9] devono essere etichettati

• Nei OpenSearch domini [Opensearch.10] deve essere installato l'ultimo aggiornamento software

• I OpenSearch domini [Opensearch.11] devono avere almeno tre nodi primari dedicati

• [RDS.2] Le istanze DB RDS dovrebbero vietare l'accesso pubblico, come determinato dalla configurazione PubliclyAccessible

• [RDS.14] I cluster Amazon Aurora devono avere il backtracking abilitato

• [RDS.26] Le istanze DB RDS devono essere protette da un piano di backup

• [RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati

• [RDS.35] Nei cluster RDS DB deve essere abilitato l'aggiornamento automatico delle versioni secondarie

• [RedshiftServerless.1] I gruppi di lavoro Serverless di Amazon Redshift devono utilizzare un routing VPC avanzato

• [Route53.1] I controlli sanitari della Route 53 devono essere etichettati

• [Route53.2] Le zone ospitate pubbliche di Route 53 devono registrare le query DNS

• [S3.24] I punti di accesso multiregionali S3 devono avere le impostazioni di blocco dell'accesso pubblico abilitate

• [SageMaker.1] Le istanze di SageMaker notebook Amazon non devono avere accesso diretto a Internet

• [SageMaker.2] le istanze dei SageMaker notebook devono essere avviate in un VPC personalizzato

• [SageMaker.3] Gli utenti non devono avere accesso root alle SageMaker istanze dei notebook

• [SageMaker.5] i SageMaker modelli dovrebbero bloccare il traffico in entrata

• [SES.1] Gli elenchi di contatti SES devono essere etichettati

• [SES.2] I set di configurazione SES devono essere etichettati

• [SNS.1] Gli argomenti SNS devono essere crittografati quando sono inattivi utilizzando AWS KMS

• [SQS.1] Le code di Amazon SQS devono essere crittografate quando sono inattive

• [SQS.2] Le code SQS devono essere etichettate

• [SQS.3] Le politiche di accesso alla coda SQS non devono consentire l'accesso pubblico

• [SSM.1] Le EC2 istanze Amazon devono essere gestite da AWS Systems Manager

• [WAF.1] La registrazione AWS WAF classica Global Web ACL deve essere abilitata

• [WAF.3] I gruppi di regole regionali AWS WAF classici dovrebbero avere almeno una regola

• [WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione

• [WAF.7] I gruppi di regole globali AWS WAF classici dovrebbero avere almeno una regola

• [WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole

• [WAF.10] AWS WAF web ACLs dovrebbe avere almeno una regola o un gruppo di regole

• [WAF.11] La registrazione AWS WAF web ACL deve essere abilitata

• [WorkSpaces.1] i volumi WorkSpaces utente devono essere crittografati quando sono inattivi

• [WorkSpaces.2] i volumi WorkSpaces root devono essere crittografati quando sono inattivi

Sud America (San Paolo)

I seguenti controlli non sono supportati nella regione Sud America (San Paolo).

• [AppRunner.1] I servizi App Runner devono essere etichettati

• [AppRunner.2] I connettori VPC App Runner devono essere etichettati

• [CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato

• [CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito

• [CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine

• [CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata

• [CloudFront.6] le CloudFront distribuzioni devono avere WAF abilitato

• [CloudFront.7] le CloudFront distribuzioni devono utilizzare certificati SSL/TLS personalizzati

• [CloudFront.8] le CloudFront distribuzioni devono utilizzare SNI per soddisfare le richieste HTTPS

• [CloudFront.9] le CloudFront distribuzioni devono crittografare il traffico verso origini personalizzate

• [CloudFront.10] CloudFront le distribuzioni non devono utilizzare protocolli SSL obsoleti tra edge location e origini personalizzate

• [CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti

• [CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine

• [CloudFront.14] le distribuzioni devono essere etichettate CloudFront

• [CodeArtifact.1] i CodeArtifact repository devono essere etichettati

• [CodeGuruProfiler.1] I gruppi di CodeGuru profilazione Profiler devono essere etichettati

• [CodeGuruReviewer.1] Le associazioni dei repository dei CodeGuru revisori devono essere etichettate

• [Connect.1] I tipi di oggetto Amazon Connect Customer Profiles devono essere etichettati

• [Connect.2] Le istanze Amazon Connect devono avere la registrazione abilitata CloudWatch

• [ECR.4] Gli archivi pubblici ECR devono essere etichettati

• [FraudDetector.1] I tipi di entità Amazon Fraud Detector devono essere etichettati

• [FraudDetector.2] Le etichette di Amazon Fraud Detector devono essere etichettate

• [FraudDetector.3] I risultati di Amazon Fraud Detector devono essere etichettati

• [FraudDetector.4] Le variabili di Amazon Fraud Detector devono essere etichettate

• [GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati

• [IAM.26] I certificati SSL/TLS scaduti gestiti in IAM devono essere rimossi

• [Inspector.3] La scansione del codice Amazon Inspector Lambda deve essere abilitata

• [IoT.1] i profili di AWS IoT Device Defender sicurezza devono essere etichettati

• [IoT.2] le azioni di AWS IoT Core mitigazione devono essere etichettate

• [IoT.3] le AWS IoT Core dimensioni devono essere etichettate

• [Io TEvents .1] Gli input di AWS IoT Events devono essere etichettati

• [Io TEvents .2] I modelli di rilevatori AWS IoT Events devono essere etichettati

• [Io TEvents .3] I modelli di allarme AWS IoT Events devono essere etichettati

• [Io TSite Wise.1] I modelli di SiteWise asset AWS IoT devono essere etichettati

• [Io TSite Wise.2] Le SiteWise dashboard AWS IoT devono essere etichettate

• [Io TSite Wise.3] I SiteWise gateway AWS IoT devono essere etichettati

• [Io TSite Wise.4] I SiteWise portali AWS IoT devono essere etichettati

• [Io TSite Wise.5] I SiteWise progetti AWS IoT devono essere etichettati

• [Io TTwin Maker.1] I lavori di TwinMaker sincronizzazione AWS IoT devono essere etichettati

• [Io TTwin Maker.2] Gli spazi di TwinMaker lavoro AWS IoT devono essere etichettati

• [Io TTwin Maker.3] Le TwinMaker scene AWS IoT devono essere etichettate

• [Io TTwin Maker.4] Le TwinMaker entità AWS IoT devono essere etichettate

• [IVS.1] Le coppie di chiavi di riproduzione IVS devono essere etichettate

• [IVS.2] Le configurazioni di registrazione IVS devono essere contrassegnate

• [IVS.3] I canali IVS devono essere etichettati

• [RDS.14] I cluster Amazon Aurora devono avere il backtracking abilitato

• [RDS.15] I cluster RDS DB devono essere configurati per più zone di disponibilità

• [RedshiftServerless.1] I gruppi di lavoro Serverless di Amazon Redshift devono utilizzare un routing VPC avanzato

• [Route53.1] I controlli sanitari della Route 53 devono essere etichettati

• [Route53.2] Le zone ospitate pubbliche di Route 53 devono registrare le query DNS

• [S3.24] I punti di accesso multiregionali S3 devono avere le impostazioni di blocco dell'accesso pubblico abilitate

• [WAF.1] La registrazione AWS WAF classica Global Web ACL deve essere abilitata

• [WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione

• [WAF.7] I gruppi di regole globali AWS WAF classici dovrebbero avere almeno una regola

• [WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole

AWS GovCloud (Stati Uniti orientali)

I seguenti controlli non sono supportati nella regione AWS GovCloud (Stati Uniti orientali).

• [Account.1] Le informazioni di contatto di sicurezza devono essere fornite per un Account AWS

• [Account.2] Account AWS deve far parte di un'organizzazione AWS Organizations

• [ACM.2] I certificati RSA gestiti da ACM devono utilizzare una lunghezza di chiave di almeno 2.048 bit

• [ACM.3] I certificati ACM devono essere etichettati

• [APIGateway.2] Le fasi API REST di API Gateway devono essere configurate per utilizzare i certificati SSL per l'autenticazione del backend

• [APIGateway.3] Le fasi API REST di API Gateway devono avere la AWS X-Ray traccia abilitata

• [APIGateway.4] API Gateway deve essere associato a un ACL Web WAF

• [APIGateway.8] Le rotte API Gateway devono specificare un tipo di autorizzazione

• [APIGateway.9] La registrazione degli accessi deve essere configurata per API Gateway V2 Stages

• [AppConfig.1] AWS AppConfig le applicazioni devono essere etichettate

• [AppConfig.2] i profili AWS AppConfig di configurazione devono essere etichettati

• [AppConfig.3] AWS AppConfig gli ambienti devono essere etichettati

• [AppConfig.4] le associazioni di AWS AppConfig estensioni devono essere etichettate

• [AppFlow.1] I AppFlow flussi Amazon devono essere etichettati

• [AppRunner.1] I servizi App Runner devono essere etichettati

• [AppRunner.2] I connettori VPC App Runner devono essere etichettati

• [AppSync.1] Le cache AWS AppSync delle API devono essere crittografate quando sono inattive

• [AppSync.2] AWS AppSync dovrebbe avere la registrazione a livello di campo abilitata

• [AppSync.4] AWS AppSync APIs GraphQL dovrebbe essere taggato

• [AppSync.5] AWS AppSync APIs GraphQL non deve essere autenticato con chiavi API

• [AppSync.6] Le cache delle AWS AppSync API devono essere crittografate in transito

• [Athena.2] I cataloghi di dati Athena devono essere etichettati

• [Athena.3] I gruppi di lavoro Athena devono essere etichettati

• [AutoScaling.2] Il gruppo Amazon EC2 Auto Scaling dovrebbe coprire più zone di disponibilità

• [AutoScaling.3] Le configurazioni di avvio del gruppo Auto Scaling devono EC2 configurare le istanze in modo da richiedere Instance Metadata Service versione 2 () IMDSv2

• [Autoscaling.5] Le istanze EC2 Amazon avviate utilizzando le configurazioni di avvio del gruppo Auto Scaling non devono avere indirizzi IP pubblici

• [AutoScaling.6] I gruppi di Auto Scaling devono utilizzare più tipi di istanze in più zone di disponibilità

• [AutoScaling.9] I gruppi Amazon EC2 Auto Scaling devono utilizzare i modelli di lancio di Amazon EC2

• [AutoScaling.10] I gruppi EC2 Auto Scaling devono essere etichettati

• [Backup.2] i punti di AWS Backup ripristino devono essere etichettati

• I AWS Backup vault [Backup.3] devono essere etichettati

• [Backup.4] i piani di AWS Backup report devono essere etichettati

• [Backup.5] i piani di AWS Backup backup devono essere etichettati

• [Batch.1] Le code di processi in batch devono essere etichettate

• [Batch.2] Le politiche di pianificazione dei batch devono essere etichettate

• [Batch.3] Gli ambienti di calcolo in batch devono essere etichettati

• [CloudFormation.2] CloudFormation gli stack devono essere etichettati

• [CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato

• [CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito

• [CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine

• [CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata

• [CloudFront.6] le CloudFront distribuzioni devono avere WAF abilitato

• [CloudFront.7] le CloudFront distribuzioni devono utilizzare certificati SSL/TLS personalizzati

• [CloudFront.8] le CloudFront distribuzioni devono utilizzare SNI per soddisfare le richieste HTTPS

• [CloudFront.9] le CloudFront distribuzioni devono crittografare il traffico verso origini personalizzate

• [CloudFront.10] CloudFront le distribuzioni non devono utilizzare protocolli SSL obsoleti tra edge location e origini personalizzate

• [CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti

• [CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine

• [CloudFront.14] le distribuzioni devono essere etichettate CloudFront

• [CloudTrail.9] i percorsi devono essere etichettati CloudTrail

• [CloudWatch.15] gli CloudWatch allarmi devono avere azioni specificate configurate

• [CloudWatch.16] i gruppi di CloudWatch log devono essere conservati per un periodo di tempo specificato

• [CloudWatch.17] le azioni di CloudWatch allarme devono essere attivate

• [CodeArtifact.1] i CodeArtifact repository devono essere etichettati

• [CodeBuild.1] L'archivio sorgente di CodeBuild Bitbucket non URLs deve contenere credenziali sensibili

• [CodeBuild.2] Le variabili di ambiente CodeBuild del progetto non devono contenere credenziali in chiaro

• [CodeBuild.3] I log CodeBuild S3 devono essere crittografati

• [CodeBuild.4] Gli ambienti di CodeBuild progetto devono avere una durata di registrazione AWS Config

• [CodeGuruProfiler.1] I gruppi di CodeGuru profilazione Profiler devono essere etichettati

• [CodeGuruReviewer.1] Le associazioni dei repository dei CodeGuru revisori devono essere etichettate

• [Cognito.1] I pool di utenti di Cognito dovrebbero avere la protezione dalle minacce attivata con la modalità di imposizione completa delle funzioni per l'autenticazione standard

• [Connect.1] I tipi di oggetto Amazon Connect Customer Profiles devono essere etichettati

• [Connect.2] Le istanze Amazon Connect devono avere la registrazione abilitata CloudWatch

• [Detective.1] I grafici del comportamento dei Detective devono essere etichettati

• [DMS.2] I certificati DMS devono essere etichettati

• [DMS.3] Le sottoscrizioni agli eventi DMS devono essere contrassegnate

• [DMS.4] Le istanze di replica DMS devono essere contrassegnate

• [DMS.5] I gruppi di sottoreti di replica DMS devono essere etichettati

• [DMS.6] Le istanze di replica DMS devono avere l'aggiornamento automatico delle versioni secondarie abilitato

• [DMS.7] Le attività di replica DMS per il database di destinazione devono avere la registrazione abilitata

• [DMS.8] Le attività di replica DMS per il database di origine devono avere la registrazione abilitata

• [DMS.9] Gli endpoint DMS devono utilizzare SSL

• [DocumentDB.1] I cluster Amazon DocumentDB devono essere crittografati quando sono inattivi

• [DocumentDB.2] I cluster Amazon DocumentDB devono avere un periodo di conservazione dei backup adeguato

• [DocumentDB.3] Le istantanee manuali dei cluster di Amazon DocumentDB non devono essere pubbliche

• [DocumentDB.4] I cluster Amazon DocumentDB devono pubblicare i log di controllo su Logs CloudWatch

• [DocumentDB.5] I cluster Amazon DocumentDB devono avere la protezione da eliminazione abilitata

• [DynamoDB.1] Le tabelle DynamoDB dovrebbero scalare automaticamente la capacità in base alla domanda

• [DynamoDB.3] I cluster DynamoDB Accelerator (DAX) devono essere crittografati quando sono inattivi

• [DynamoDB.4] Le tabelle DynamoDB devono essere presenti in un piano di backup

• [DynamoDB.5] Le tabelle DynamoDB devono essere etichettate

• [DynamoDB.7] I cluster DynamoDB Accelerator devono essere crittografati in transito

• [EC2.15] Le EC2 sottoreti Amazon non devono assegnare automaticamente indirizzi IP pubblici

• [EC2.16] Gli elenchi di controllo degli accessi alla rete non utilizzati devono essere rimossi

• [EC2.17] EC2 Le istanze Amazon non devono utilizzare più istanze ENIs

• [EC2.21] La rete non ACLs dovrebbe consentire l'ingresso dalla porta 0.0.0.0/0 alla porta 22 o alla porta 3389

• [EC2.22] I gruppi di EC2 sicurezza Amazon non utilizzati devono essere rimossi

• [EC2.23] Amazon EC2 Transit Gateways non dovrebbe accettare automaticamente le richieste di allegati VPC

• [EC2.24] I tipi di istanze EC2 paravirtuali di Amazon non devono essere utilizzati

• [EC2.25] I modelli di EC2 lancio di Amazon non devono assegnare interfacce IPs di rete pubbliche

• [EC2.28] I volumi EBS devono essere coperti da un piano di backup

• [EC2.33] Gli allegati di EC2 Transit Gateway devono essere etichettati

• [EC2.34] Le tabelle delle rotte dei gateway di EC2 transito devono essere etichettate

• [EC2.35] le interfacce EC2 di rete devono essere etichettate

• [EC2.36] I gateway per i EC2 clienti devono essere etichettati

• [EC2.37] Gli indirizzi IP EC2 elastici devono essere etichettati

• [EC2.38] EC2 le istanze devono essere etichettate

• [EC2.39] i gateway EC2 Internet devono essere etichettati

• [EC2.40] I gateway EC2 NAT devono essere etichettati

• [EC2.41] la EC2 rete ACLs deve essere etichettata

• [EC2.42] le tabelle delle EC2 rotte devono essere etichettate

• [EC2.43] i gruppi EC2 di sicurezza devono essere etichettati

• [EC24.4] le EC2 sottoreti devono essere etichettate

• [EC2.45] i EC2 volumi devono essere etichettati

• [EC2.46] Amazon VPCs dovrebbe essere taggato

• [EC2.47] I servizi endpoint Amazon VPC devono essere etichettati

• [EC2.48] I log di flusso di Amazon VPC devono essere etichettati

• [EC2.49] Le connessioni peering Amazon VPC devono essere etichettate

• [EC2.50] I gateway EC2 VPN devono essere etichettati

• [EC2.52] i gateway di EC2 transito devono essere etichettati

• [EC2.58] VPCs deve essere configurato con un endpoint di interfaccia per Systems Manager Incident Manager Contacts

• [EC2.60] VPCs deve essere configurato con un endpoint di interfaccia per Systems Manager Incident Manager

• [EC2.170] i modelli di EC2 avvio devono utilizzare Instance Metadata Service Version 2 () IMDSv2

• [ECR.1] Gli archivi privati ECR devono avere la scansione delle immagini configurata

• [ECR.2] I repository privati ECR devono avere l'immutabilità dei tag configurata

• [ECR.3] I repository ECR devono avere almeno una politica del ciclo di vita configurata

• [ECR.4] Gli archivi pubblici ECR devono essere etichettati

• [ECS.1] Le definizioni delle attività di Amazon ECS devono avere modalità di rete e definizioni utente sicure.

• [ECS.3] Le definizioni delle attività ECS non devono condividere lo spazio dei nomi dei processi dell'host

• [ECS.4] I contenitori ECS devono essere eseguiti come non privilegiati

• [ECS.5] I contenitori ECS devono essere limitati all'accesso in sola lettura ai filesystem root

• [ECS.8] I segreti non devono essere passati come variabili di ambiente del contenitore

• [ECS.9] Le definizioni delle attività ECS devono avere una configurazione di registrazione

• [ECS.10] I servizi ECS Fargate devono essere eseguiti sulla versione più recente della piattaforma Fargate

• [ECS.12] I cluster ECS devono utilizzare Container Insights

• [ECS.13] I servizi ECS devono essere etichettati

• [ECS.14] I cluster ECS devono essere etichettati

• [ECS.15] Le definizioni delle attività ECS devono essere etichettate

• [EFS.2] I volumi Amazon EFS devono essere inclusi nei piani di backup

• [EFS.3] I punti di accesso EFS devono applicare una directory principale

• [EFS.4] I punti di accesso EFS devono applicare un'identità utente

• [EFS.5] I punti di accesso EFS devono essere etichettati

• [EKS.1] Gli endpoint del cluster EKS non dovrebbero essere accessibili al pubblico

• [EKS.2] I cluster EKS devono essere eseguiti su una versione Kubernetes supportata

• [EKS.6] I cluster EKS devono essere etichettati

• [EKS.7] Le configurazioni dei provider di identità EKS devono essere contrassegnate

• [EKS.8] I cluster EKS devono avere la registrazione di controllo abilitata

• I cluster [ElastiCache.1] ElastiCache (Redis OSS) devono avere i backup automatici abilitati

• [ElastiCache.2] i ElastiCache cluster dovrebbero avere gli aggiornamenti automatici delle versioni secondarie abilitati

• [ElastiCache.3] i gruppi di ElastiCache replica devono avere il failover automatico abilitato

• [ElastiCache.4] i gruppi di ElastiCache replica devono essere crittografati quando sono inattivi

• [ElastiCache.5] i gruppi di ElastiCache replica devono essere crittografati in transito

• [ElastiCache.6] ElastiCache (Redis OSS) i gruppi di replica delle versioni precedenti devono avere Redis OSS AUTH abilitato

• [ElastiCache.7] ElastiCache i cluster non devono utilizzare il gruppo di sottoreti predefinito

• [ElasticBeanstalk.1] Gli ambienti Elastic Beanstalk dovrebbero avere la reportistica sullo stato avanzata abilitata

• [ElasticBeanstalk.2] Gli aggiornamenti della piattaforma gestita da Elastic Beanstalk devono essere abilitati

• [ElasticBeanstalk.3] Elastic Beanstalk dovrebbe trasmettere i log a CloudWatch

• [ELB.2] I sistemi Classic Load Balancer con listener SSL/HTTPS devono utilizzare un certificato fornito da AWS Certificate Manager

• [ELB.8] I Classic Load Balancer con listener SSL devono utilizzare una politica di sicurezza predefinita con una durata elevata AWS Config

• [ELB.10] Classic Load Balancer dovrebbe estendersi su più zone di disponibilità

• [ELB.12] Application Load Balancer deve essere configurato con la modalità di mitigazione della desincronizzazione difensiva o più rigorosa

• [ELB.13] I Load Balancer per applicazioni, reti e gateway devono estendersi su più zone di disponibilità

• [ELB.14] Classic Load Balancer deve essere configurato con la modalità di mitigazione della desincronizzazione difensiva o più rigorosa

• [ELB.16] Gli Application Load Balancer devono essere associati a un ACL web AWS WAF

• [EMR.2] L'impostazione di accesso pubblico a blocchi di Amazon EMR deve essere abilitata

• [EMR.3] Le configurazioni di sicurezza di Amazon EMR devono essere crittografate quando sono inattive

• [EMR.4] Le configurazioni di sicurezza di Amazon EMR devono essere crittografate in transito

• [ES.4] La registrazione degli errori del dominio Elasticsearch nei log deve essere abilitata CloudWatch

• [ES.9] I domini Elasticsearch devono essere etichettati

• [EventBridge.2] i bus EventBridge degli eventi devono essere etichettati

• [EventBridge.3] i bus di eventi EventBridge personalizzati devono avere una politica basata sulle risorse allegata

• [EventBridge.4] EventBridge gli endpoint globali dovrebbero avere la replica degli eventi abilitata

• [FraudDetector.1] I tipi di entità Amazon Fraud Detector devono essere etichettati

• [FraudDetector.2] Le etichette di Amazon Fraud Detector devono essere etichettate

• [FraudDetector.3] I risultati di Amazon Fraud Detector devono essere etichettati

• [FraudDetector.4] Le variabili di Amazon Fraud Detector devono essere etichettate

• [FSx.1] FSx per i file system OpenZFS deve essere configurato per copiare i tag su backup e volumi

• [FSx.2] FSx per i file system Lustre devono essere configurati per copiare i tag nei backup

• [GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati

• [Glue.1] i AWS Glue lavori devono essere etichettati

• [Glue.3] le trasformazioni di apprendimento AWS Glue automatico devono essere crittografate a riposo

• [GuardDuty.1] GuardDuty dovrebbe essere abilitato

• [GuardDuty.2] GuardDuty i filtri devono essere etichettati

• [GuardDuty.3] GuardDuty IPSets deve essere taggato

• [GuardDuty.4] i GuardDuty rilevatori devono essere etichettati

• [GuardDuty.7] GuardDuty EKS Runtime Monitoring deve essere abilitato

• [GuardDuty.8] La protezione GuardDuty da malware per EC2 deve essere abilitata

• [GuardDuty.9] La protezione GuardDuty RDS deve essere abilitata

• [GuardDuty.11] Il monitoraggio del GuardDuty runtime deve essere abilitato

• [GuardDuty.12] Il monitoraggio del runtime GuardDuty ECS deve essere abilitato

• [GuardDuty.13] Il monitoraggio del GuardDuty EC2 runtime deve essere abilitato

• [IAM.6] L'autenticazione MFA per l'hardware deve essere abilitata per l'utente root

• [IAM.9] L'MFA deve essere abilitata per l'utente root

• [IAM.21] Le policy gestite dai clienti IAM che create non dovrebbero consentire azioni jolly per i servizi

• [IAM.23] Gli analizzatori IAM Access Analyzer devono essere etichettati

• [IAM.24] I ruoli IAM devono essere etichettati

• [IAM.25] Gli utenti IAM devono essere etichettati

• [IAM.26] I certificati SSL/TLS scaduti gestiti in IAM devono essere rimossi

• [IAM.28] L'analizzatore di accesso esterno IAM Access Analyzer deve essere abilitato

• [Inspector.3] La scansione del codice Amazon Inspector Lambda deve essere abilitata

• [IoT.1] i profili di AWS IoT Device Defender sicurezza devono essere etichettati

• [IoT.2] le azioni di AWS IoT Core mitigazione devono essere etichettate

• [IoT.3] le AWS IoT Core dimensioni devono essere etichettate

• gli AWS IoT Core autorizzatori [IoT.4] devono essere etichettati

• [IoT.5] gli alias dei AWS IoT Core ruoli devono essere etichettati

• [IoT.6] AWS IoT Core le politiche devono essere etichettate

• [Io TEvents .1] Gli input di AWS IoT Events devono essere etichettati

• [Io TEvents .2] I modelli di rilevatori AWS IoT Events devono essere etichettati

• [Io TEvents .3] I modelli di allarme AWS IoT Events devono essere etichettati

• [Io TSite Wise.1] I modelli di SiteWise asset AWS IoT devono essere etichettati

• [Io TSite Wise.2] Le SiteWise dashboard AWS IoT devono essere etichettate

• [Io TSite Wise.3] I SiteWise gateway AWS IoT devono essere etichettati

• [Io TSite Wise.4] I SiteWise portali AWS IoT devono essere etichettati

• [Io TSite Wise.5] I SiteWise progetti AWS IoT devono essere etichettati

• [Io TTwin Maker.1] I lavori di TwinMaker sincronizzazione AWS IoT devono essere etichettati

• [Io TTwin Maker.2] Gli spazi di TwinMaker lavoro AWS IoT devono essere etichettati

• [Io TTwin Maker.3] Le TwinMaker scene AWS IoT devono essere etichettate

• [Io TTwin Maker.4] Le TwinMaker entità AWS IoT devono essere etichettate

• [Io TWireless .1] I gruppi multicast AWS IoT Wireless devono essere etichettati

• [Io TWireless .2] I profili dei servizi AWS IoT Wireless devono essere etichettati

• [Io TWireless .3] Le attività AWS IOT FUOTA devono essere etichettate

• [IVS.1] Le coppie di chiavi di riproduzione IVS devono essere etichettate

• [IVS.2] Le configurazioni di registrazione IVS devono essere contrassegnate

• [IVS.3] I canali IVS devono essere etichettati

• [Keyspaces.1] Gli spazi chiave di Amazon Keyspaces devono essere etichettati

• [Kinesis.1] Gli stream Kinesis devono essere crittografati quando sono inattivi

• [Kinesis.2] Gli stream Kinesis devono essere etichettati

• [KMS.5] Le chiavi KMS non devono essere accessibili al pubblico

• [Lambda.5] Le funzioni VPC Lambda devono funzionare in più zone di disponibilità

• [Lambda.6] Le funzioni Lambda devono essere etichettate

• [Macie.1] Amazon Macie dovrebbe essere abilitato

• [Macie.2] Il rilevamento automatico dei dati sensibili di Macie deve essere abilitato

• [MQ.3] I broker Amazon MQ dovrebbero avere abilitato l'aggiornamento automatico delle versioni secondarie

• [MQ.4] I broker Amazon MQ devono essere etichettati

• [MQ.5] I broker ActiveMQ devono utilizzare la modalità di distribuzione attiva/standby

• [MQ.6] I broker RabbitMQ dovrebbero utilizzare la modalità di distribuzione del cluster

• [MSK.1] I cluster MSK devono essere crittografati durante il transito tra i nodi del broker

• [MSK.2] I cluster MSK dovrebbero avere configurato un monitoraggio avanzato

• [MSK.3] I connettori MSK Connect devono essere crittografati in transito

• [Neptune.1] I cluster Neptune DB devono essere crittografati a riposo

• [Neptune.2] I cluster Neptune DB devono pubblicare i log di controllo su Logs CloudWatch

• [Neptune.3] Le istantanee del cluster Neptune DB non devono essere pubbliche

• [Neptune.4] I cluster Neptune DB devono avere la protezione da eliminazione abilitata

• [Neptune.5] I cluster Neptune DB devono avere i backup automatici abilitati

• [Neptune.6] Le istantanee del cluster Neptune DB devono essere crittografate quando sono inattive

• [Neptune.7] I cluster Neptune DB devono avere l'autenticazione del database IAM abilitata

• [Neptune.8] I cluster Neptune DB devono essere configurati per copiare i tag nelle istantanee

• [Neptune.9] I cluster Neptune DB devono essere distribuiti su più zone di disponibilità

• [NetworkFirewall.1] I firewall Network Firewall devono essere distribuiti su più zone di disponibilità

• [NetworkFirewall.2] La registrazione del Network Firewall deve essere abilitata

• [NetworkFirewall.3] Le policy di Network Firewall devono avere almeno un gruppo di regole associato

• [NetworkFirewall.4] L'azione stateless predefinita per le policy del Network Firewall dovrebbe essere drop or forward per pacchetti completi

• [NetworkFirewall.5] L'azione stateless predefinita per le policy del Network Firewall dovrebbe essere drop or forward per i pacchetti frammentati

• [NetworkFirewall.6] Il gruppo di regole Stateless Network Firewall non deve essere vuoto

• [NetworkFirewall.7] I firewall Network Firewall devono essere etichettati

• [NetworkFirewall.8] Le politiche firewall di Network Firewall devono essere etichettate

• [NetworkFirewall.9] I firewall Network Firewall devono avere la protezione da eliminazione abilitata

• I OpenSearch domini [Opensearch.1] devono avere la crittografia a riposo abilitata

• I OpenSearch domini [Opensearch.2] non devono essere accessibili al pubblico

• I OpenSearch domini [Opensearch.3] devono crittografare i dati inviati tra i nodi

• La registrazione degli errori del OpenSearch dominio [Opensearch.4] nei log dovrebbe essere abilitata CloudWatch

• I OpenSearch domini [Opensearch.5] devono avere la registrazione di controllo abilitata

• I OpenSearch domini [Opensearch.6] devono avere almeno tre nodi di dati

• I OpenSearch domini [Opensearch.7] devono avere un controllo degli accessi granulare abilitato

• [Opensearch.8] Le connessioni ai OpenSearch domini devono essere crittografate utilizzando la più recente politica di sicurezza TLS

• I OpenSearch domini [Opensearch.9] devono essere etichettati

• L'autorità di certificazione AWS Private CA principale [PCA.1] deve essere disabilitata

• [PCA.2] Le autorità di certificazione CA AWS private devono essere etichettate

• [RDS.12] L'autenticazione IAM deve essere configurata per i cluster RDS

• [RDS.13] Gli aggiornamenti automatici delle versioni secondarie di RDS devono essere abilitati

• [RDS.14] I cluster Amazon Aurora devono avere il backtracking abilitato

• [RDS.15] I cluster RDS DB devono essere configurati per più zone di disponibilità

• [RDS.24] I cluster di database RDS devono utilizzare un nome utente di amministratore personalizzato

• [RDS.25] Le istanze del database RDS devono utilizzare un nome utente amministratore personalizzato

• [RDS.26] Le istanze DB RDS devono essere protette da un piano di backup

• [RDS.27] I cluster RDS DB devono essere crittografati quando sono inattivi

• [RDS.28] I cluster RDS DB devono essere etichettati

• [RDS.29] Gli snapshot del cluster RDS DB devono essere etichettati

• [RDS.30] Le istanze DB RDS devono essere etichettate

• [RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati

• [RDS.32] Gli snapshot RDS DB devono essere etichettati

• [RDS.33] I gruppi di sottoreti RDS DB devono essere etichettati

• [RDS.34] I cluster Aurora MySQL DB devono pubblicare i log di controllo nei registri CloudWatch

• [RDS.35] Nei cluster RDS DB deve essere abilitato l'aggiornamento automatico delle versioni secondarie

• [Redshift.7] I cluster Redshift devono utilizzare un routing VPC avanzato

• [Redshift.8] I cluster Amazon Redshift non devono utilizzare il nome utente amministratore predefinito

• [Redshift.9] I cluster Redshift non devono utilizzare il nome di database predefinito

• [Redshift.10] I cluster Redshift devono essere crittografati a riposo

• [Redshift.11] I cluster Redshift devono essere etichettati

• [Redshift.12] Le sottoscrizioni alle notifiche degli eventi Redshift devono essere contrassegnate

• [Redshift.13] Le istantanee del cluster Redshift devono essere etichettate

• [Redshift.14] I gruppi di sottoreti del cluster Redshift devono essere etichettati

• [RedshiftServerless.1] I gruppi di lavoro Serverless di Amazon Redshift devono utilizzare un routing VPC avanzato

• [Route53.1] I controlli sanitari della Route 53 devono essere etichettati

• [Route53.2] Le zone ospitate pubbliche di Route 53 devono registrare le query DNS

• [S3.1] I bucket generici S3 devono avere le impostazioni di blocco dell'accesso pubblico abilitate

• [S3.8] I bucket generici S3 dovrebbero bloccare l'accesso pubblico

• [S3.10] I bucket generici S3 con il controllo delle versioni abilitato devono avere configurazioni del ciclo di vita

• [S3.11] I bucket generici S3 devono avere le notifiche degli eventi abilitate

• [S3.12] non ACLs deve essere usato per gestire l'accesso degli utenti ai bucket generici S3

• [S3.13] I bucket generici S3 devono avere configurazioni del ciclo di vita

• [S3.14] I bucket generici S3 devono avere il controllo delle versioni abilitato

• [S3.20] I bucket S3 per uso generico devono avere l'eliminazione MFA abilitata

• [S3.24] I punti di accesso multiregionali S3 devono avere le impostazioni di blocco dell'accesso pubblico abilitate

• [SageMaker.1] Le istanze di SageMaker notebook Amazon non devono avere accesso diretto a Internet

• [SageMaker.2] le istanze dei SageMaker notebook devono essere avviate in un VPC personalizzato

• [SageMaker.3] Gli utenti non devono avere accesso root alle SageMaker istanze dei notebook

• [SageMaker.5] i SageMaker modelli dovrebbero bloccare il traffico in entrata

• [SecretsManager.3] Rimuovi i segreti inutilizzati di Secrets Manager

• [SecretsManager.4] I segreti di Secrets Manager devono essere ruotati entro un determinato numero di giorni

• [SecretsManager.5] I segreti di Secrets Manager devono essere etichettati

• [SES.1] Gli elenchi di contatti SES devono essere etichettati

• [SES.2] I set di configurazione SES devono essere etichettati

• [SNS.3] Gli argomenti SNS devono essere etichettati

• [SNS.4] Le politiche di accesso agli argomenti SNS non dovrebbero consentire l'accesso pubblico

• [SQS.2] Le code SQS devono essere etichettate

• [SQS.3] Le politiche di accesso alla coda SQS non devono consentire l'accesso pubblico

• [SSM.4] I documenti SSM non devono essere pubblici

• [StepFunctions.1] Le macchine a stati Step Functions dovrebbero avere la registrazione attivata

• [StepFunctions.2] Le attività di Step Functions devono essere etichettate

• I AWS Transfer Family flussi di lavoro [Transfer.1] devono essere etichettati

• [WAF.1] La registrazione AWS WAF classica Global Web ACL deve essere abilitata

• [WAF.2] Le regole regionali AWS WAF classiche devono avere almeno una condizione

• [WAF.3] I gruppi di regole regionali AWS WAF classici dovrebbero avere almeno una regola

• [WAF.4] Il sito Web regionale AWS WAF classico ACLs deve avere almeno una regola o un gruppo di regole

• [WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione

• [WAF.7] I gruppi di regole globali AWS WAF classici dovrebbero avere almeno una regola

• [WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole

• [WAF.10] AWS WAF web ACLs dovrebbe avere almeno una regola o un gruppo di regole

• [WAF.11] La registrazione AWS WAF web ACL deve essere abilitata

• Le regole [WAF.12] devono avere le metriche abilitate AWS WAF CloudWatch

• [WorkSpaces.1] i volumi WorkSpaces utente devono essere crittografati quando sono inattivi

• [WorkSpaces.2] i volumi WorkSpaces root devono essere crittografati quando sono inattivi

AWS GovCloud (Stati Uniti occidentali)

I seguenti controlli non sono supportati nella regione AWS GovCloud (Stati Uniti occidentali).

• [Account.1] Le informazioni di contatto di sicurezza devono essere fornite per un Account AWS

• [Account.2] Account AWS deve far parte di un'organizzazione AWS Organizations

• [ACM.2] I certificati RSA gestiti da ACM devono utilizzare una lunghezza di chiave di almeno 2.048 bit

• [ACM.3] I certificati ACM devono essere etichettati

• [APIGateway.2] Le fasi API REST di API Gateway devono essere configurate per utilizzare i certificati SSL per l'autenticazione del backend

• [APIGateway.3] Le fasi API REST di API Gateway devono avere la AWS X-Ray traccia abilitata

• [APIGateway.4] API Gateway deve essere associato a un ACL Web WAF

• [APIGateway.8] Le rotte API Gateway devono specificare un tipo di autorizzazione

• [APIGateway.9] La registrazione degli accessi deve essere configurata per API Gateway V2 Stages

• [AppConfig.1] AWS AppConfig le applicazioni devono essere etichettate

• [AppConfig.2] i profili AWS AppConfig di configurazione devono essere etichettati

• [AppConfig.3] AWS AppConfig gli ambienti devono essere etichettati

• [AppConfig.4] le associazioni di AWS AppConfig estensioni devono essere etichettate

• [AppFlow.1] I AppFlow flussi Amazon devono essere etichettati

• [AppRunner.1] I servizi App Runner devono essere etichettati

• [AppRunner.2] I connettori VPC App Runner devono essere etichettati

• [AppSync.1] Le cache AWS AppSync delle API devono essere crittografate quando sono inattive

• [AppSync.2] AWS AppSync dovrebbe avere la registrazione a livello di campo abilitata

• [AppSync.4] AWS AppSync APIs GraphQL dovrebbe essere taggato

• [AppSync.5] AWS AppSync APIs GraphQL non deve essere autenticato con chiavi API

• [AppSync.6] Le cache delle AWS AppSync API devono essere crittografate in transito

• [Athena.2] I cataloghi di dati Athena devono essere etichettati

• [Athena.3] I gruppi di lavoro Athena devono essere etichettati

• [AutoScaling.2] Il gruppo Amazon EC2 Auto Scaling dovrebbe coprire più zone di disponibilità

• [AutoScaling.3] Le configurazioni di avvio del gruppo Auto Scaling devono EC2 configurare le istanze in modo da richiedere Instance Metadata Service versione 2 () IMDSv2

• [Autoscaling.5] Le istanze EC2 Amazon avviate utilizzando le configurazioni di avvio del gruppo Auto Scaling non devono avere indirizzi IP pubblici

• [AutoScaling.6] I gruppi di Auto Scaling devono utilizzare più tipi di istanze in più zone di disponibilità

• [AutoScaling.9] I gruppi Amazon EC2 Auto Scaling devono utilizzare i modelli di lancio di Amazon EC2

• [AutoScaling.10] I gruppi EC2 Auto Scaling devono essere etichettati

• [Backup.2] i punti di AWS Backup ripristino devono essere etichettati

• I AWS Backup vault [Backup.3] devono essere etichettati

• [Backup.4] i piani di AWS Backup report devono essere etichettati

• [Backup.5] i piani di AWS Backup backup devono essere etichettati

• [Batch.1] Le code di processi in batch devono essere etichettate

• [Batch.2] Le politiche di pianificazione dei batch devono essere etichettate

• [Batch.3] Gli ambienti di calcolo in batch devono essere etichettati

• [CloudFormation.2] CloudFormation gli stack devono essere etichettati

• [CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato

• [CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito

• [CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine

• [CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata

• [CloudFront.6] le CloudFront distribuzioni devono avere WAF abilitato

• [CloudFront.7] le CloudFront distribuzioni devono utilizzare certificati SSL/TLS personalizzati

• [CloudFront.8] le CloudFront distribuzioni devono utilizzare SNI per soddisfare le richieste HTTPS

• [CloudFront.9] le CloudFront distribuzioni devono crittografare il traffico verso origini personalizzate

• [CloudFront.10] CloudFront le distribuzioni non devono utilizzare protocolli SSL obsoleti tra edge location e origini personalizzate

• [CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti

• [CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine

• [CloudFront.14] le distribuzioni devono essere etichettate CloudFront

• [CloudTrail.9] i percorsi devono essere etichettati CloudTrail

• [CloudWatch.15] gli CloudWatch allarmi devono avere azioni specificate configurate

• [CloudWatch.16] i gruppi di CloudWatch log devono essere conservati per un periodo di tempo specificato

• [CloudWatch.17] le azioni di CloudWatch allarme devono essere attivate

• [CodeArtifact.1] i CodeArtifact repository devono essere etichettati

• [CodeBuild.1] L'archivio sorgente di CodeBuild Bitbucket non URLs deve contenere credenziali sensibili

• [CodeBuild.2] Le variabili di ambiente CodeBuild del progetto non devono contenere credenziali in chiaro

• [CodeBuild.3] I log CodeBuild S3 devono essere crittografati

• [CodeBuild.4] Gli ambienti di CodeBuild progetto devono avere una durata di registrazione AWS Config

• [CodeGuruProfiler.1] I gruppi di CodeGuru profilazione Profiler devono essere etichettati

• [CodeGuruReviewer.1] Le associazioni dei repository dei CodeGuru revisori devono essere etichettate

• [Cognito.1] I pool di utenti di Cognito dovrebbero avere la protezione dalle minacce attivata con la modalità di imposizione completa delle funzioni per l'autenticazione standard

• [Connect.1] I tipi di oggetto Amazon Connect Customer Profiles devono essere etichettati

• [Detective.1] I grafici del comportamento dei Detective devono essere etichettati

• [DMS.2] I certificati DMS devono essere etichettati

• [DMS.3] Le sottoscrizioni agli eventi DMS devono essere contrassegnate

• [DMS.4] Le istanze di replica DMS devono essere contrassegnate

• [DMS.5] I gruppi di sottoreti di replica DMS devono essere etichettati

• [DMS.6] Le istanze di replica DMS devono avere l'aggiornamento automatico delle versioni secondarie abilitato

• [DMS.7] Le attività di replica DMS per il database di destinazione devono avere la registrazione abilitata

• [DMS.8] Le attività di replica DMS per il database di origine devono avere la registrazione abilitata

• [DMS.9] Gli endpoint DMS devono utilizzare SSL

• [DocumentDB.1] I cluster Amazon DocumentDB devono essere crittografati quando sono inattivi

• [DocumentDB.2] I cluster Amazon DocumentDB devono avere un periodo di conservazione dei backup adeguato

• [DocumentDB.3] Le istantanee manuali dei cluster di Amazon DocumentDB non devono essere pubbliche

• [DocumentDB.4] I cluster Amazon DocumentDB devono pubblicare i log di controllo su Logs CloudWatch

• [DocumentDB.5] I cluster Amazon DocumentDB devono avere la protezione da eliminazione abilitata

• [DynamoDB.1] Le tabelle DynamoDB dovrebbero scalare automaticamente la capacità in base alla domanda

• [DynamoDB.3] I cluster DynamoDB Accelerator (DAX) devono essere crittografati quando sono inattivi

• [DynamoDB.4] Le tabelle DynamoDB devono essere presenti in un piano di backup

• [DynamoDB.5] Le tabelle DynamoDB devono essere etichettate

• [DynamoDB.7] I cluster DynamoDB Accelerator devono essere crittografati in transito

• [EC2.15] Le EC2 sottoreti Amazon non devono assegnare automaticamente indirizzi IP pubblici

• [EC2.16] Gli elenchi di controllo degli accessi alla rete non utilizzati devono essere rimossi

• [EC2.17] EC2 Le istanze Amazon non devono utilizzare più istanze ENIs

• [EC2.21] La rete non ACLs dovrebbe consentire l'ingresso dalla porta 0.0.0.0/0 alla porta 22 o alla porta 3389

• [EC2.22] I gruppi di EC2 sicurezza Amazon non utilizzati devono essere rimossi

• [EC2.23] Amazon EC2 Transit Gateways non dovrebbe accettare automaticamente le richieste di allegati VPC

• [EC2.24] I tipi di istanze EC2 paravirtuali di Amazon non devono essere utilizzati

• [EC2.25] I modelli di EC2 lancio di Amazon non devono assegnare interfacce IPs di rete pubbliche

• [EC2.28] I volumi EBS devono essere coperti da un piano di backup

• [EC2.33] Gli allegati di EC2 Transit Gateway devono essere etichettati

• [EC2.34] Le tabelle delle rotte dei gateway di EC2 transito devono essere etichettate

• [EC2.35] le interfacce EC2 di rete devono essere etichettate

• [EC2.36] I gateway per i EC2 clienti devono essere etichettati

• [EC2.37] Gli indirizzi IP EC2 elastici devono essere etichettati

• [EC2.38] EC2 le istanze devono essere etichettate

• [EC2.39] i gateway EC2 Internet devono essere etichettati

• [EC2.40] I gateway EC2 NAT devono essere etichettati

• [EC2.41] la EC2 rete ACLs deve essere etichettata

• [EC2.42] le tabelle delle EC2 rotte devono essere etichettate

• [EC2.43] i gruppi EC2 di sicurezza devono essere etichettati

• [EC24.4] le EC2 sottoreti devono essere etichettate

• [EC2.45] i EC2 volumi devono essere etichettati

• [EC2.46] Amazon VPCs dovrebbe essere taggato

• [EC2.47] I servizi endpoint Amazon VPC devono essere etichettati

• [EC2.48] I log di flusso di Amazon VPC devono essere etichettati

• [EC2.49] Le connessioni peering Amazon VPC devono essere etichettate

• [EC2.50] I gateway EC2 VPN devono essere etichettati

• [EC2.52] i gateway di EC2 transito devono essere etichettati

• [EC2.58] VPCs deve essere configurato con un endpoint di interfaccia per Systems Manager Incident Manager Contacts

• [EC2.60] VPCs deve essere configurato con un endpoint di interfaccia per Systems Manager Incident Manager

• [EC2.170] i modelli di EC2 avvio devono utilizzare Instance Metadata Service Version 2 () IMDSv2

• [ECR.1] Gli archivi privati ECR devono avere la scansione delle immagini configurata

• [ECR.2] I repository privati ECR devono avere l'immutabilità dei tag configurata

• [ECR.3] I repository ECR devono avere almeno una politica del ciclo di vita configurata

• [ECR.4] Gli archivi pubblici ECR devono essere etichettati

• [ECS.1] Le definizioni delle attività di Amazon ECS devono avere modalità di rete e definizioni utente sicure.

• [ECS.3] Le definizioni delle attività ECS non devono condividere lo spazio dei nomi dei processi dell'host

• [ECS.4] I contenitori ECS devono essere eseguiti come non privilegiati

• [ECS.5] I contenitori ECS devono essere limitati all'accesso in sola lettura ai filesystem root

• [ECS.8] I segreti non devono essere passati come variabili di ambiente del contenitore

• [ECS.9] Le definizioni delle attività ECS devono avere una configurazione di registrazione

• [ECS.10] I servizi ECS Fargate devono essere eseguiti sulla versione più recente della piattaforma Fargate

• [ECS.12] I cluster ECS devono utilizzare Container Insights

• [ECS.13] I servizi ECS devono essere etichettati

• [ECS.14] I cluster ECS devono essere etichettati

• [ECS.15] Le definizioni delle attività ECS devono essere etichettate

• [EFS.2] I volumi Amazon EFS devono essere inclusi nei piani di backup

• [EFS.3] I punti di accesso EFS devono applicare una directory principale

• [EFS.4] I punti di accesso EFS devono applicare un'identità utente

• [EFS.5] I punti di accesso EFS devono essere etichettati

• [EKS.1] Gli endpoint del cluster EKS non dovrebbero essere accessibili al pubblico

• [EKS.2] I cluster EKS devono essere eseguiti su una versione Kubernetes supportata

• [EKS.6] I cluster EKS devono essere etichettati

• [EKS.7] Le configurazioni dei provider di identità EKS devono essere contrassegnate

• [EKS.8] I cluster EKS devono avere la registrazione di controllo abilitata

• I cluster [ElastiCache.1] ElastiCache (Redis OSS) devono avere i backup automatici abilitati

• [ElastiCache.2] i ElastiCache cluster dovrebbero avere gli aggiornamenti automatici delle versioni secondarie abilitati

• [ElastiCache.3] i gruppi di ElastiCache replica devono avere il failover automatico abilitato

• [ElastiCache.4] i gruppi di ElastiCache replica devono essere crittografati quando sono inattivi

• [ElastiCache.5] i gruppi di ElastiCache replica devono essere crittografati in transito

• [ElastiCache.6] ElastiCache (Redis OSS) i gruppi di replica delle versioni precedenti devono avere Redis OSS AUTH abilitato

• [ElastiCache.7] ElastiCache i cluster non devono utilizzare il gruppo di sottoreti predefinito

• [ElasticBeanstalk.1] Gli ambienti Elastic Beanstalk dovrebbero avere la reportistica sullo stato avanzata abilitata

• [ElasticBeanstalk.2] Gli aggiornamenti della piattaforma gestita da Elastic Beanstalk devono essere abilitati

• [ElasticBeanstalk.3] Elastic Beanstalk dovrebbe trasmettere i log a CloudWatch

• [ELB.10] Classic Load Balancer dovrebbe estendersi su più zone di disponibilità

• [ELB.12] Application Load Balancer deve essere configurato con la modalità di mitigazione della desincronizzazione difensiva o più rigorosa

• [ELB.13] I Load Balancer per applicazioni, reti e gateway devono estendersi su più zone di disponibilità

• [ELB.14] Classic Load Balancer deve essere configurato con la modalità di mitigazione della desincronizzazione difensiva o più rigorosa

• [ELB.16] Gli Application Load Balancer devono essere associati a un ACL web AWS WAF

• [EMR.2] L'impostazione di accesso pubblico a blocchi di Amazon EMR deve essere abilitata

• [EMR.3] Le configurazioni di sicurezza di Amazon EMR devono essere crittografate quando sono inattive

• [EMR.4] Le configurazioni di sicurezza di Amazon EMR devono essere crittografate in transito

• [ES.4] La registrazione degli errori del dominio Elasticsearch nei log deve essere abilitata CloudWatch

• [ES.9] I domini Elasticsearch devono essere etichettati

• [EventBridge.2] i bus EventBridge degli eventi devono essere etichettati

• [EventBridge.3] i bus di eventi EventBridge personalizzati devono avere una politica basata sulle risorse allegata

• [EventBridge.4] EventBridge gli endpoint globali dovrebbero avere la replica degli eventi abilitata

• [FraudDetector.1] I tipi di entità Amazon Fraud Detector devono essere etichettati

• [FraudDetector.2] Le etichette di Amazon Fraud Detector devono essere etichettate

• [FraudDetector.3] I risultati di Amazon Fraud Detector devono essere etichettati

• [FraudDetector.4] Le variabili di Amazon Fraud Detector devono essere etichettate

• [FSx.1] FSx per i file system OpenZFS deve essere configurato per copiare i tag su backup e volumi

• [FSx.2] FSx per i file system Lustre devono essere configurati per copiare i tag nei backup

• [GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati

• [Glue.1] i AWS Glue lavori devono essere etichettati

• [GuardDuty.2] GuardDuty i filtri devono essere etichettati

• [GuardDuty.3] GuardDuty IPSets deve essere taggato

• [GuardDuty.4] i GuardDuty rilevatori devono essere etichettati

• [GuardDuty.7] GuardDuty EKS Runtime Monitoring deve essere abilitato

• [GuardDuty.8] La protezione GuardDuty da malware per EC2 deve essere abilitata

• [GuardDuty.9] La protezione GuardDuty RDS deve essere abilitata

• [GuardDuty.11] Il monitoraggio del GuardDuty runtime deve essere abilitato

• [GuardDuty.12] Il monitoraggio del runtime GuardDuty ECS deve essere abilitato

• [GuardDuty.13] Il monitoraggio del GuardDuty EC2 runtime deve essere abilitato

• [IAM.6] L'autenticazione MFA per l'hardware deve essere abilitata per l'utente root

• [IAM.9] L'MFA deve essere abilitata per l'utente root

• [IAM.21] Le policy gestite dai clienti IAM che create non dovrebbero consentire azioni jolly per i servizi

• [IAM.23] Gli analizzatori IAM Access Analyzer devono essere etichettati

• [IAM.24] I ruoli IAM devono essere etichettati

• [IAM.25] Gli utenti IAM devono essere etichettati

• [IAM.28] L'analizzatore di accesso esterno IAM Access Analyzer deve essere abilitato

• [Inspector.3] La scansione del codice Amazon Inspector Lambda deve essere abilitata

• [IoT.1] i profili di AWS IoT Device Defender sicurezza devono essere etichettati

• [IoT.2] le azioni di AWS IoT Core mitigazione devono essere etichettate

• [IoT.3] le AWS IoT Core dimensioni devono essere etichettate

• gli AWS IoT Core autorizzatori [IoT.4] devono essere etichettati

• [IoT.5] gli alias dei AWS IoT Core ruoli devono essere etichettati

• [IoT.6] AWS IoT Core le politiche devono essere etichettate

• [Io TEvents .1] Gli input di AWS IoT Events devono essere etichettati

• [Io TEvents .2] I modelli di rilevatori AWS IoT Events devono essere etichettati

• [Io TEvents .3] I modelli di allarme AWS IoT Events devono essere etichettati

• [Io TSite Wise.1] I modelli di SiteWise asset AWS IoT devono essere etichettati

• [Io TSite Wise.2] Le SiteWise dashboard AWS IoT devono essere etichettate

• [Io TSite Wise.3] I SiteWise gateway AWS IoT devono essere etichettati

• [Io TSite Wise.4] I SiteWise portali AWS IoT devono essere etichettati

• [Io TSite Wise.5] I SiteWise progetti AWS IoT devono essere etichettati

• [Io TTwin Maker.1] I lavori di TwinMaker sincronizzazione AWS IoT devono essere etichettati

• [Io TTwin Maker.2] Gli spazi di TwinMaker lavoro AWS IoT devono essere etichettati

• [Io TTwin Maker.3] Le TwinMaker scene AWS IoT devono essere etichettate

• [Io TTwin Maker.4] Le TwinMaker entità AWS IoT devono essere etichettate

• [Io TWireless .1] I gruppi multicast AWS IoT Wireless devono essere etichettati

• [Io TWireless .2] I profili dei servizi AWS IoT Wireless devono essere etichettati

• [Io TWireless .3] Le attività AWS IOT FUOTA devono essere etichettate

• [IVS.1] Le coppie di chiavi di riproduzione IVS devono essere etichettate

• [IVS.2] Le configurazioni di registrazione IVS devono essere contrassegnate

• [IVS.3] I canali IVS devono essere etichettati

• [Keyspaces.1] Gli spazi chiave di Amazon Keyspaces devono essere etichettati

• [Kinesis.1] Gli stream Kinesis devono essere crittografati quando sono inattivi

• [Kinesis.2] Gli stream Kinesis devono essere etichettati

• [KMS.5] Le chiavi KMS non devono essere accessibili al pubblico

• [Lambda.5] Le funzioni VPC Lambda devono funzionare in più zone di disponibilità

• [Lambda.6] Le funzioni Lambda devono essere etichettate

• [Macie.1] Amazon Macie dovrebbe essere abilitato

• [Macie.2] Il rilevamento automatico dei dati sensibili di Macie deve essere abilitato

• [MQ.3] I broker Amazon MQ dovrebbero avere abilitato l'aggiornamento automatico delle versioni secondarie

• [MQ.4] I broker Amazon MQ devono essere etichettati

• [MQ.5] I broker ActiveMQ devono utilizzare la modalità di distribuzione attiva/standby

• [MQ.6] I broker RabbitMQ dovrebbero utilizzare la modalità di distribuzione del cluster

• [MSK.1] I cluster MSK devono essere crittografati durante il transito tra i nodi del broker

• [MSK.2] I cluster MSK dovrebbero avere configurato un monitoraggio avanzato

• [MSK.3] I connettori MSK Connect devono essere crittografati in transito

• [Neptune.1] I cluster Neptune DB devono essere crittografati a riposo

• [Neptune.2] I cluster Neptune DB devono pubblicare i log di controllo su Logs CloudWatch

• [Neptune.3] Le istantanee del cluster Neptune DB non devono essere pubbliche

• [Neptune.4] I cluster Neptune DB devono avere la protezione da eliminazione abilitata

• [Neptune.5] I cluster Neptune DB devono avere i backup automatici abilitati

• [Neptune.6] Le istantanee del cluster Neptune DB devono essere crittografate quando sono inattive

• [Neptune.7] I cluster Neptune DB devono avere l'autenticazione del database IAM abilitata

• [Neptune.8] I cluster Neptune DB devono essere configurati per copiare i tag nelle istantanee

• [Neptune.9] I cluster Neptune DB devono essere distribuiti su più zone di disponibilità

• [NetworkFirewall.1] I firewall Network Firewall devono essere distribuiti su più zone di disponibilità

• [NetworkFirewall.2] La registrazione del Network Firewall deve essere abilitata

• [NetworkFirewall.3] Le policy di Network Firewall devono avere almeno un gruppo di regole associato

• [NetworkFirewall.4] L'azione stateless predefinita per le policy del Network Firewall dovrebbe essere drop or forward per pacchetti completi

• [NetworkFirewall.5] L'azione stateless predefinita per le policy del Network Firewall dovrebbe essere drop or forward per i pacchetti frammentati

• [NetworkFirewall.6] Il gruppo di regole Stateless Network Firewall non deve essere vuoto

• [NetworkFirewall.7] I firewall Network Firewall devono essere etichettati

• [NetworkFirewall.8] Le politiche firewall di Network Firewall devono essere etichettate

• [NetworkFirewall.9] I firewall Network Firewall devono avere la protezione da eliminazione abilitata

• I OpenSearch domini [Opensearch.1] devono avere la crittografia a riposo abilitata

• I OpenSearch domini [Opensearch.2] non devono essere accessibili al pubblico

• I OpenSearch domini [Opensearch.3] devono crittografare i dati inviati tra i nodi

• La registrazione degli errori del OpenSearch dominio [Opensearch.4] nei log dovrebbe essere abilitata CloudWatch

• I OpenSearch domini [Opensearch.5] devono avere la registrazione di controllo abilitata

• I OpenSearch domini [Opensearch.6] devono avere almeno tre nodi di dati

• I OpenSearch domini [Opensearch.7] devono avere un controllo degli accessi granulare abilitato

• [Opensearch.8] Le connessioni ai OpenSearch domini devono essere crittografate utilizzando la più recente politica di sicurezza TLS

• I OpenSearch domini [Opensearch.9] devono essere etichettati

• L'autorità di certificazione AWS Private CA principale [PCA.1] deve essere disabilitata

• [PCA.2] Le autorità di certificazione CA AWS private devono essere etichettate

• [RDS.12] L'autenticazione IAM deve essere configurata per i cluster RDS

• [RDS.13] Gli aggiornamenti automatici delle versioni secondarie di RDS devono essere abilitati

• [RDS.14] I cluster Amazon Aurora devono avere il backtracking abilitato

• [RDS.15] I cluster RDS DB devono essere configurati per più zone di disponibilità

• [RDS.24] I cluster di database RDS devono utilizzare un nome utente di amministratore personalizzato

• [RDS.25] Le istanze del database RDS devono utilizzare un nome utente amministratore personalizzato

• [RDS.26] Le istanze DB RDS devono essere protette da un piano di backup

• [RDS.27] I cluster RDS DB devono essere crittografati quando sono inattivi

• [RDS.28] I cluster RDS DB devono essere etichettati

• [RDS.29] Gli snapshot del cluster RDS DB devono essere etichettati

• [RDS.30] Le istanze DB RDS devono essere etichettate

• [RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati

• [RDS.32] Gli snapshot RDS DB devono essere etichettati

• [RDS.33] I gruppi di sottoreti RDS DB devono essere etichettati

• [RDS.34] I cluster Aurora MySQL DB devono pubblicare i log di controllo nei registri CloudWatch

• [RDS.35] Nei cluster RDS DB deve essere abilitato l'aggiornamento automatico delle versioni secondarie

• [Redshift.7] I cluster Redshift devono utilizzare un routing VPC avanzato

• [Redshift.8] I cluster Amazon Redshift non devono utilizzare il nome utente amministratore predefinito

• [Redshift.9] I cluster Redshift non devono utilizzare il nome di database predefinito

• [Redshift.10] I cluster Redshift devono essere crittografati a riposo

• [Redshift.11] I cluster Redshift devono essere etichettati

• [Redshift.12] Le sottoscrizioni alle notifiche degli eventi Redshift devono essere contrassegnate

• [Redshift.13] Le istantanee del cluster Redshift devono essere etichettate

• [Redshift.14] I gruppi di sottoreti del cluster Redshift devono essere etichettati

• [RedshiftServerless.1] I gruppi di lavoro Serverless di Amazon Redshift devono utilizzare un routing VPC avanzato

• [Route53.1] I controlli sanitari della Route 53 devono essere etichettati

• [Route53.2] Le zone ospitate pubbliche di Route 53 devono registrare le query DNS

• [S3.1] I bucket generici S3 devono avere le impostazioni di blocco dell'accesso pubblico abilitate

• [S3.8] I bucket generici S3 dovrebbero bloccare l'accesso pubblico

• [S3.10] I bucket generici S3 con il controllo delle versioni abilitato devono avere configurazioni del ciclo di vita

• [S3.11] I bucket generici S3 devono avere le notifiche degli eventi abilitate

• [S3.12] non ACLs deve essere usato per gestire l'accesso degli utenti ai bucket generici S3

• [S3.13] I bucket generici S3 devono avere configurazioni del ciclo di vita

• [S3.14] I bucket generici S3 devono avere il controllo delle versioni abilitato

• [S3.20] I bucket S3 per uso generico devono avere l'eliminazione MFA abilitata

• [S3.24] I punti di accesso multiregionali S3 devono avere le impostazioni di blocco dell'accesso pubblico abilitate

• [SageMaker.2] le istanze dei SageMaker notebook devono essere avviate in un VPC personalizzato

• [SageMaker.3] Gli utenti non devono avere accesso root alle SageMaker istanze dei notebook

• [SageMaker.5] i SageMaker modelli dovrebbero bloccare il traffico in entrata

• [SecretsManager.3] Rimuovi i segreti inutilizzati di Secrets Manager

• [SecretsManager.4] I segreti di Secrets Manager devono essere ruotati entro un determinato numero di giorni

• [SecretsManager.5] I segreti di Secrets Manager devono essere etichettati

• [SES.1] Gli elenchi di contatti SES devono essere etichettati

• [SES.2] I set di configurazione SES devono essere etichettati

• [SNS.3] Gli argomenti SNS devono essere etichettati

• [SNS.4] Le politiche di accesso agli argomenti SNS non dovrebbero consentire l'accesso pubblico

• [SQS.2] Le code SQS devono essere etichettate

• [SQS.3] Le politiche di accesso alla coda SQS non devono consentire l'accesso pubblico

• [SSM.4] I documenti SSM non devono essere pubblici

• [StepFunctions.1] Le macchine a stati Step Functions dovrebbero avere la registrazione attivata

• [StepFunctions.2] Le attività di Step Functions devono essere etichettate

• I AWS Transfer Family flussi di lavoro [Transfer.1] devono essere etichettati

• [WAF.1] La registrazione AWS WAF classica Global Web ACL deve essere abilitata

• [WAF.2] Le regole regionali AWS WAF classiche devono avere almeno una condizione

• [WAF.3] I gruppi di regole regionali AWS WAF classici dovrebbero avere almeno una regola

• [WAF.4] Il sito Web regionale AWS WAF classico ACLs deve avere almeno una regola o un gruppo di regole

• [WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione

• [WAF.7] I gruppi di regole globali AWS WAF classici dovrebbero avere almeno una regola

• [WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole

• [WAF.10] AWS WAF web ACLs dovrebbe avere almeno una regola o un gruppo di regole

• [WAF.11] La registrazione AWS WAF web ACL deve essere abilitata

• Le regole [WAF.12] devono avere le metriche abilitate AWS WAF CloudWatch