Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
Limiti regionali sui controlli
AWS I controlli del Security Hub potrebbero non essere disponibili tutti Regioni AWS. Questa pagina mostra quali controlli non sono disponibili in regioni specifiche. Un controllo non viene visualizzato nell'elenco dei controlli nella console Security Hub se non è disponibile nella regione a cui hai effettuato l'accesso. L'eccezione è se hai effettuato l'accesso a una regione di aggregazione. In tal caso, puoi visualizzare i controlli disponibili nella regione di aggregazione o in una o più regioni collegate.
Indice
- Stati Uniti orientali (Virginia settentrionale)
- Stati Uniti orientali (Ohio)
- Stati Uniti occidentali (California settentrionale)
- US West (Oregon)
- Africa (Città del Capo)
- Asia Pacifico (Hong Kong)
- Asia Pacific (Hyderabad)
- Asia Pacifico (Giacarta)
- Asia Pacifico (Mumbai)
- Asia Pacifico (Melbourne)
- Asia Pacifico (Osaka-Locale)
- Asia Pacifico (Seoul)
- Asia Pacifico (Singapore)
- Asia Pacifico (Sydney)
- Asia Pacifico (Tokyo)
- Canada (Centrale)
- Cina (Pechino)
- Cina (Ningxia)
- Europa (Francoforte)
- Europa (Irlanda)
- Europa (Londra)
- Europa (Milano)
- Europa (Parigi)
- Europa (Spagna)
- Europa (Stoccolma)
- Europa (Zurigo)
- Israele (Tel Aviv)
- Medio Oriente (Bahrein)
- Medio Oriente () UAE
- Sud America (San Paolo)
- AWS GovCloud (Stati Uniti orientali)
- AWS GovCloud (Stati Uniti occidentali)
Stati Uniti orientali (Virginia settentrionale)
I seguenti controlli non sono supportati negli Stati Uniti orientali (Virginia settentrionale).
Stati Uniti orientali (Ohio)
I seguenti controlli non sono supportati negli Stati Uniti orientali (Ohio).
-
[CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato
-
[CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito
-
[CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine
-
[CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata
-
[CloudFront.6] le distribuzioni avrebbero dovuto essere abilitate CloudFront WAF
-
[CloudFront.7] CloudFront le distribuzioni devono utilizzare certificati/personalizzati SSL TLS
-
[CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti
-
[CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine
-
[CloudFront.14] CloudFront le distribuzioni devono essere etichettate
-
[EC2.24] I tipi di istanze EC2 paravirtuali di Amazon non devono essere utilizzati
-
[GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati
-
[IAM.26] ScadutiSSL/TLSi certificati gestiti in devono essere rimossi IAM
-
[RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati
-
[Route53.1] I controlli sanitari della Route 53 devono essere etichettati
-
[Route53.2] Le zone ospitate pubblicamente su Route 53 devono registrare le interrogazioni DNS
-
[WAF.1] La ACL registrazione Web globale AWS WAF classica deve essere abilitata
-
[WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione
-
[WAF.7] I gruppi di regole globali AWS WAF classici devono avere almeno una regola
-
[WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole
Stati Uniti occidentali (California settentrionale)
I seguenti controlli non sono supportati negli Stati Uniti occidentali (California settentrionale).
-
[CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato
-
[CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito
-
[CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine
-
[CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata
-
[CloudFront.6] le distribuzioni avrebbero dovuto essere abilitate CloudFront WAF
-
[CloudFront.7] CloudFront le distribuzioni devono utilizzare certificati/personalizzati SSL TLS
-
[CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti
-
[CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine
-
[CloudFront.14] CloudFront le distribuzioni devono essere etichettate
-
[CodeArtifact.1] i CodeArtifact repository devono essere etichettati
-
[DocumentDB.1] I cluster Amazon DocumentDB devono essere crittografati quando sono inattivi
-
[DocumentDB.3] Le istantanee manuali dei cluster di Amazon DocumentDB non devono essere pubbliche
-
[DocumentDB.4] I cluster Amazon DocumentDB devono pubblicare i log di controllo su Logs CloudWatch
-
[DocumentDB.5] I cluster Amazon DocumentDB devono avere la protezione da eliminazione abilitata
-
[FSx.1] FSx per i ZFS file system Open deve essere configurato per copiare i tag su backup e volumi
-
[GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati
-
[IAM.26] ScadutiSSL/TLSi certificati gestiti in devono essere rimossi IAM
-
[Inspector.3] La scansione del codice Amazon Inspector Lambda deve essere abilitata
-
[Route53.1] I controlli sanitari della Route 53 devono essere etichettati
-
[Route53.2] Le zone ospitate pubblicamente su Route 53 devono registrare le interrogazioni DNS
-
[WAF.1] La ACL registrazione Web globale AWS WAF classica deve essere abilitata
-
[WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione
-
[WAF.7] I gruppi di regole globali AWS WAF classici devono avere almeno una regola
-
[WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole
US West (Oregon)
I seguenti controlli non sono supportati negli Stati Uniti occidentali (Oregon).
-
[CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato
-
[CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito
-
[CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine
-
[CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata
-
[CloudFront.6] le distribuzioni avrebbero dovuto essere abilitate CloudFront WAF
-
[CloudFront.7] CloudFront le distribuzioni devono utilizzare certificati/personalizzati SSL TLS
-
[CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti
-
[CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine
-
[CloudFront.14] CloudFront le distribuzioni devono essere etichettate
-
[IAM.26] ScadutiSSL/TLSi certificati gestiti in devono essere rimossi IAM
-
[Route53.1] I controlli sanitari della Route 53 devono essere etichettati
-
[Route53.2] Le zone ospitate pubblicamente su Route 53 devono registrare le interrogazioni DNS
-
[WAF.1] La ACL registrazione Web globale AWS WAF classica deve essere abilitata
-
[WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione
-
[WAF.7] I gruppi di regole globali AWS WAF classici devono avere almeno una regola
-
[WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole
Africa (Città del Capo)
I seguenti controlli non sono supportati in Africa (Città del Capo).
-
[AppSync.2] AWS AppSync dovrebbe avere la registrazione a livello di campo abilitata
-
[AppSync.5] AWS AppSync APIs GraphQL non deve essere autenticato con chiavi API
-
[CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato
-
[CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito
-
[CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine
-
[CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata
-
[CloudFront.6] le distribuzioni avrebbero dovuto essere abilitate CloudFront WAF
-
[CloudFront.7] CloudFront le distribuzioni devono utilizzare certificati/personalizzati SSL TLS
-
[CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti
-
[CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine
-
[CloudFront.14] CloudFront le distribuzioni devono essere etichettate
-
[CodeArtifact.1] i CodeArtifact repository devono essere etichettati
-
[DMS.1] Le istanze di replica del Database Migration Service non devono essere pubbliche
-
[DMS.10] gli DMS endpoint per i database Neptune devono avere l'autorizzazione abilitata IAM
-
[DocumentDB.1] I cluster Amazon DocumentDB devono essere crittografati quando sono inattivi
-
[DocumentDB.3] Le istantanee manuali dei cluster di Amazon DocumentDB non devono essere pubbliche
-
[DocumentDB.4] I cluster Amazon DocumentDB devono pubblicare i log di controllo su Logs CloudWatch
-
[DocumentDB.5] I cluster Amazon DocumentDB devono avere la protezione da eliminazione abilitata
-
[DynamoDB.3] I cluster DynamoDB Accelerator () devono essere crittografati quando sono inattivi DAX
-
[DynamoDB.7] I cluster DynamoDB Accelerator devono essere crittografati in transito
-
[EC2.3] I EBS volumi Amazon collegati devono essere crittografati quando sono inattivi
-
[EC2.4] EC2 Le istanze interrotte devono essere rimosse dopo un periodo di tempo specificato
-
[EC2.8] EC2 le istanze devono utilizzare Instance Metadata Service versione 2 () IMDSv2
-
[EC2.13] I gruppi di sicurezza non devono consentire l'ingresso da 0.0.0.0/0 o: :/0 alla porta 22
-
[EC2.14] I gruppi di sicurezza non devono consentire l'accesso da 0.0.0.0/0 o: :/0 alla porta 3389
-
[EC2.24] I tipi di istanze EC2 paravirtuali di Amazon non devono essere utilizzati
-
[EFS.2] EFS I volumi Amazon devono essere inclusi nei piani di backup
-
[ELB.4] L'Application Load Balancer deve essere configurato per eliminare le intestazioni http
-
[ELB.16] Gli Application Load Balancer devono essere associati a un sito Web AWS WAF ACL
-
[EMR.1] I nodi primari EMR del cluster Amazon non devono avere indirizzi IP pubblici
-
[ES.3] I domini Elasticsearch devono crittografare i dati inviati tra i nodi
-
[EventBridge.4] gli endpoint EventBridge globali dovrebbero avere la replica degli eventi abilitata
-
[FSx.1] FSx per i ZFS file system Open deve essere configurato per copiare i tag su backup e volumi
-
[GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati
-
[IAM.26] ScadutiSSL/TLSi certificati gestiti in devono essere rimossi IAM
-
[Inspector.3] La scansione del codice Amazon Inspector Lambda deve essere abilitata
-
[IoT.1] i profili di AWS IoT Core sicurezza devono essere etichettati
-
[IoT.2] le azioni di AWS IoT Core mitigazione devono essere etichettate
-
[IoT.3] le AWS IoT Core dimensioni devono essere etichettate
-
gli AWS IoT Core autorizzatori [IoT.4] devono essere etichettati
-
[IoT.5] gli alias dei AWS IoT Core ruoli devono essere etichettati
-
I OpenSearch domini [Opensearch.1] devono avere la crittografia a riposo abilitata
-
I OpenSearch domini [Opensearch.2] non devono essere accessibili al pubblico
-
I OpenSearch domini [Opensearch.3] devono crittografare i dati inviati tra i nodi
-
I OpenSearch domini [Opensearch.5] devono avere la registrazione di controllo abilitata
-
I OpenSearch domini [Opensearch.6] devono avere almeno tre nodi di dati
-
I OpenSearch domini [Opensearch.7] devono avere un controllo degli accessi granulare abilitato
-
[RDS.9] Le istanze RDS DB devono pubblicare i log in Logs CloudWatch
-
[RDS.10] IAM l'autenticazione deve essere configurata per le istanze RDS
-
[RDS.14] I cluster Amazon Aurora dovrebbero avere il backtracking abilitato
-
[RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati
-
[Redshift.3] I cluster Amazon Redshift devono avere le istantanee automatiche abilitate
-
[Route53.1] I controlli sanitari della Route 53 devono essere etichettati
-
[Route53.2] Le zone ospitate pubblicamente su Route 53 devono registrare le interrogazioni DNS
-
[SageMaker.1] Le istanze di SageMaker notebook Amazon non devono avere accesso diretto a Internet
-
[WAF.1] La ACL registrazione Web globale AWS WAF classica deve essere abilitata
-
[WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione
-
[WAF.7] I gruppi di regole globali AWS WAF classici devono avere almeno una regola
-
[WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole
-
[WAF.11] la ACL registrazione AWS WAF web deve essere abilitata
Asia Pacifico (Hong Kong)
I seguenti controlli non sono supportati in Asia Pacifico (Hong Kong).
-
[CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato
-
[CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito
-
[CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine
-
[CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata
-
[CloudFront.6] le distribuzioni avrebbero dovuto essere abilitate CloudFront WAF
-
[CloudFront.7] CloudFront le distribuzioni devono utilizzare certificati/personalizzati SSL TLS
-
[CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti
-
[CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine
-
[CloudFront.14] CloudFront le distribuzioni devono essere etichettate
-
[CodeArtifact.1] i CodeArtifact repository devono essere etichettati
-
[DocumentDB.1] I cluster Amazon DocumentDB devono essere crittografati quando sono inattivi
-
[DocumentDB.3] Le istantanee manuali dei cluster di Amazon DocumentDB non devono essere pubbliche
-
[DocumentDB.4] I cluster Amazon DocumentDB devono pubblicare i log di controllo su Logs CloudWatch
-
[DocumentDB.5] I cluster Amazon DocumentDB devono avere la protezione da eliminazione abilitata
-
[DynamoDB.3] I cluster DynamoDB Accelerator () devono essere crittografati quando sono inattivi DAX
-
[DynamoDB.7] I cluster DynamoDB Accelerator devono essere crittografati in transito
-
[EC2.24] I tipi di istanze EC2 paravirtuali di Amazon non devono essere utilizzati
-
[EventBridge.4] gli endpoint EventBridge globali dovrebbero avere la replica degli eventi abilitata
-
[GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati
-
[IAM.26] ScadutiSSL/TLSi certificati gestiti in devono essere rimossi IAM
-
[Inspector.3] La scansione del codice Amazon Inspector Lambda deve essere abilitata
-
[RDS.10] IAM l'autenticazione deve essere configurata per le istanze RDS
-
[RDS.14] I cluster Amazon Aurora dovrebbero avere il backtracking abilitato
-
[RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati
-
[Route53.1] I controlli sanitari della Route 53 devono essere etichettati
-
[Route53.2] Le zone ospitate pubblicamente su Route 53 devono registrare le interrogazioni DNS
-
[SES.1] gli elenchi di SES contatti devono essere etichettati
-
[SES.2] i set di SES configurazione devono essere etichettati
-
[WAF.1] La ACL registrazione Web globale AWS WAF classica deve essere abilitata
-
[WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione
-
[WAF.7] I gruppi di regole globali AWS WAF classici devono avere almeno una regola
-
[WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole
Asia Pacific (Hyderabad)
I seguenti controlli non sono supportati in Asia Pacifico (Hyderabad).
-
[Account.2] Account AWS deve far parte di un'organizzazione AWS Organizations
-
[APIGateway.3] Le REST API fasi del API gateway devono avere AWS X-Ray la traccia abilitata
-
[APIGateway.4] Il API gateway deve essere associato a un sito Web WAF ACL
-
[APIGateway.8] Le route API gateway devono specificare un tipo di autorizzazione
-
[APIGateway.9] La registrazione degli accessi deve essere configurata per API Gateway V2 Stages
-
[AppSync.2] AWS AppSync dovrebbe avere la registrazione a livello di campo abilitata
-
[AppSync.5] AWS AppSync APIs GraphQL non deve essere autenticato con chiavi API
-
[Athena.2] I cataloghi di dati Athena devono essere etichettati
-
[Athena.3] I gruppi di lavoro Athena devono essere etichettati
-
[Backup.1] i punti di AWS Backup ripristino devono essere crittografati a riposo
-
[Backup.2] i punti di AWS Backup ripristino devono essere etichettati
-
[Backup.4] i piani di AWS Backup report devono essere etichettati
-
[Backup.5] i piani di AWS Backup backup devono essere etichettati
-
[CloudFormation.2] gli CloudFormation stack devono essere etichettati
-
[CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato
-
[CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito
-
[CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine
-
[CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata
-
[CloudFront.6] le distribuzioni avrebbero dovuto essere abilitate CloudFront WAF
-
[CloudFront.7] CloudFront le distribuzioni devono utilizzare certificati/personalizzati SSL TLS
-
[CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti
-
[CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine
-
[CloudFront.14] CloudFront le distribuzioni devono essere etichettate
-
[CodeArtifact.1] i CodeArtifact repository devono essere etichettati
-
[CodeBuild.3] I log CodeBuild S3 devono essere crittografati
-
[CodeBuild.4] Gli ambienti di CodeBuild progetto devono avere una durata di registrazione AWS Config
-
[Detective.1] I grafici del comportamento dei Detective devono essere etichettati
-
[DMS.1] Le istanze di replica del Database Migration Service non devono essere pubbliche
-
[DMS.3] le sottoscrizioni agli DMS eventi devono essere contrassegnate
-
[DMS.5] i sottoreti di DMS replica devono essere etichettati
-
[DMS.10] gli DMS endpoint per i database Neptune devono avere l'autorizzazione abilitata IAM
-
[DMS.11] gli DMS endpoint per MongoDB devono avere un meccanismo di autenticazione abilitato
-
[DMS.12] DMS gli endpoint per Redis avrebbero dovuto essere abilitati TLS
-
[DocumentDB.1] I cluster Amazon DocumentDB devono essere crittografati quando sono inattivi
-
[DocumentDB.3] Le istantanee manuali dei cluster di Amazon DocumentDB non devono essere pubbliche
-
[DocumentDB.4] I cluster Amazon DocumentDB devono pubblicare i log di controllo su Logs CloudWatch
-
[DocumentDB.5] I cluster Amazon DocumentDB devono avere la protezione da eliminazione abilitata
-
[DynamoDB.3] I cluster DynamoDB Accelerator () devono essere crittografati quando sono inattivi DAX
-
[DynamoDB.4] Le tabelle DynamoDB devono essere presenti in un piano di backup
-
[DynamoDB.7] I cluster DynamoDB Accelerator devono essere crittografati in transito
-
[EC2.13] I gruppi di sicurezza non devono consentire l'ingresso da 0.0.0.0/0 o: :/0 alla porta 22
-
[EC2.14] I gruppi di sicurezza non devono consentire l'accesso da 0.0.0.0/0 o: :/0 alla porta 3389
-
[EC2.22] I gruppi di EC2 sicurezza Amazon non utilizzati devono essere rimossi
-
[EC2.24] I tipi di istanze EC2 paravirtuali di Amazon non devono essere utilizzati
-
[EC2.25] I modelli di EC2 lancio di Amazon non devono assegnare interfacce IPs di rete pubbliche
-
[EC2.28] EBS i volumi devono essere coperti da un piano di backup
-
[EC2.34] Le tabelle delle rotte dei gateway di EC2 transito devono essere etichettate
-
[EC2.48] I log di VPC flusso di Amazon devono essere etichettati
-
[ECR.1] I repository ECR privati dovrebbero avere la scansione delle immagini configurata
-
[ECR.2] I repository ECR privati devono avere configurata l'immutabilità dei tag
-
[ECR.3] I ECR repository devono avere almeno una politica del ciclo di vita configurata
-
[ECS.9] le definizioni delle ECS attività devono avere una configurazione di registrazione
-
[EFS.2] EFS I volumi Amazon devono essere inclusi nei piani di backup
-
[EFS.3] i punti di EFS accesso devono applicare una directory principale
-
[EFS.4] i punti di EFS accesso devono imporre l'identità di un utente
-
[EKS.2] EKS i cluster devono essere eseguiti su una versione di Kubernetes supportata
-
[ELB.5] La registrazione di Application e Classic Load Balancers deve essere abilitata
-
[ElastiCache.1] I cluster ElastiCache Redis dovrebbero avere il backup automatico abilitato
-
[ElastiCache.7] i ElastiCache cluster non devono utilizzare il gruppo di sottoreti predefinito
-
[ElasticBeanstalk.3] Elastic Beanstalk dovrebbe trasmettere i log a CloudWatch
-
[EMR.1] I nodi primari EMR del cluster Amazon non devono avere indirizzi IP pubblici
-
[ES.1] I domini Elasticsearch devono avere la crittografia a riposo abilitata
-
[ES.2] I domini Elasticsearch non devono essere accessibili al pubblico
-
[ES.3] I domini Elasticsearch devono crittografare i dati inviati tra i nodi
-
[EventBridge.2] i bus EventBridge degli eventi devono essere etichettati
-
[EventBridge.4] gli endpoint EventBridge globali dovrebbero avere la replica degli eventi abilitata
-
[FSx.1] FSx per i ZFS file system Open deve essere configurato per copiare i tag su backup e volumi
-
[GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati
-
[GuardDuty.4] i GuardDuty rilevatori devono essere etichettati
-
[GuardDuty.9] GuardDuty RDS La protezione deve essere abilitata
-
[IAM.1] IAM le politiche non dovrebbero consentire i privilegi amministrativi completi di tipo «*»
-
[IAM.2] IAM gli utenti non dovrebbero avere politiche allegate IAM
-
[IAM.3] le chiavi di accesso IAM degli utenti devono essere ruotate ogni 90 giorni o meno
-
[IAM.5] MFA deve essere abilitato per tutti IAM gli utenti che dispongono di una password di console
-
[IAM.8] Le credenziali IAM utente non utilizzate devono essere rimosse
-
[IAM.22] le credenziali IAM utente non utilizzate per 45 giorni devono essere rimosse
-
[IAM.26] ScadutiSSL/TLSi certificati gestiti in devono essere rimossi IAM
-
[IAM.27] IAM alle identità non dovrebbe essere allegata la policy AWSCloudShellFullAccess
-
[Inspector.1] La scansione di Amazon Inspector deve essere abilitata EC2
-
[Inspector.2] La scansione di Amazon Inspector deve essere abilitata ECR
-
[Inspector.3] La scansione del codice Amazon Inspector Lambda deve essere abilitata
-
[Inspector.4] La scansione standard di Amazon Inspector Lambda deve essere abilitata
-
[IoT.1] i profili di AWS IoT Core sicurezza devono essere etichettati
-
[IoT.2] le azioni di AWS IoT Core mitigazione devono essere etichettate
-
[IoT.3] le AWS IoT Core dimensioni devono essere etichettate
-
gli AWS IoT Core autorizzatori [IoT.4] devono essere etichettati
-
[IoT.5] gli alias dei AWS IoT Core ruoli devono essere etichettati
-
[Kinesis.1] Gli stream Kinesis devono essere crittografati quando sono inattivi
-
[Lambda.5] Le funzioni VPC Lambda devono funzionare in più zone di disponibilità
-
[Macie.2] Il rilevamento automatico dei dati sensibili di Macie deve essere abilitato
-
[MQ.2] I broker ActiveMQ devono trasmettere i log di controllo a CloudWatch
-
[MQ.5] I broker ActiveMQ devono utilizzare la modalità di distribuzione attiva/standby
-
[MQ.6] I broker RabbitMQ dovrebbero utilizzare la modalità di distribuzione del cluster
-
[MSK.1] MSK i cluster devono essere crittografati durante il transito tra i nodi broker
-
[MSK.2] i MSK cluster dovrebbero avere configurato un monitoraggio avanzato
-
[Neptune.1] I cluster Neptune DB devono essere crittografati a riposo
-
[Neptune.2] I cluster Neptune DB devono pubblicare i log di controllo su Logs CloudWatch
-
[Neptune.3] Le istantanee del cluster Neptune DB non devono essere pubbliche
-
[Neptune.4] I cluster Neptune DB devono avere la protezione da eliminazione abilitata
-
[Neptune.5] I cluster Neptune DB devono avere i backup automatici abilitati
-
[Neptune.6] Le istantanee del cluster Neptune DB devono essere crittografate quando sono inattive
-
[Neptune.7] I cluster Neptune DB devono avere l'autenticazione del database abilitata IAM
-
[Neptune.8] I cluster Neptune DB devono essere configurati per copiare i tag nelle istantanee
-
[Neptune.9] I cluster Neptune DB devono essere distribuiti su più zone di disponibilità
-
[NetworkFirewall.2] La registrazione del Network Firewall deve essere abilitata
-
[NetworkFirewall.3] Le policy di Network Firewall devono avere almeno un gruppo di regole associato
-
[NetworkFirewall.6] Il gruppo di regole Stateless Network Firewall non deve essere vuoto
-
[NetworkFirewall.9] I firewall Network Firewall devono avere la protezione da eliminazione abilitata
-
I OpenSearch domini [Opensearch.1] devono avere la crittografia a riposo abilitata
-
I OpenSearch domini [Opensearch.2] non devono essere accessibili al pubblico
-
I OpenSearch domini [Opensearch.3] devono crittografare i dati inviati tra i nodi
-
I OpenSearch domini [Opensearch.5] devono avere la registrazione di controllo abilitata
-
I OpenSearch domini [Opensearch.6] devono avere almeno tre nodi di dati
-
I OpenSearch domini [Opensearch.7] devono avere un controllo degli accessi granulare abilitato
-
I OpenSearch domini [Opensearch.9] devono essere etichettati
-
Nei OpenSearch domini [Opensearch.10] deve essere installato l'ultimo aggiornamento software
-
I OpenSearch domini [Opensearch.11] devono avere almeno tre nodi primari dedicati
-
[RDS.7] RDS i cluster dovrebbero avere la protezione da eliminazione abilitata
-
[RDS.9] Le istanze RDS DB devono pubblicare i log in Logs CloudWatch
-
[RDS.12] IAM l'autenticazione deve essere configurata per i cluster RDS
-
[RDS.14] I cluster Amazon Aurora dovrebbero avere il backtracking abilitato
-
[RDS.15] I cluster RDS DB devono essere configurati per più zone di disponibilità
-
[RDS.16] I cluster RDS DB devono essere configurati per copiare i tag nelle istantanee
-
[RDS.24] I cluster di RDS database devono utilizzare un nome utente di amministratore personalizzato
-
[RDS.26] Le istanze RDS DB devono essere protette da un piano di backup
-
[RDS.27] I cluster RDS DB devono essere crittografati quando sono inattivi
-
[RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati
-
[RDS.34] Aurora I SQL miei cluster DB dovrebbero pubblicare i log di controllo in Logs CloudWatch
-
[Redshift.1] I cluster Amazon Redshift dovrebbero vietare l'accesso pubblico
-
[Redshift.2] Le connessioni ai cluster Amazon Redshift devono essere crittografate in transito
-
[Redshift.3] I cluster Amazon Redshift devono avere le istantanee automatiche abilitate
-
[Redshift.7] I cluster Redshift dovrebbero utilizzare un routing avanzato VPC
-
[Redshift.10] I cluster Redshift devono essere crittografati a riposo
-
[Redshift.12] Le sottoscrizioni alle notifiche degli eventi Redshift devono essere contrassegnate
-
[Route53.1] I controlli sanitari della Route 53 devono essere etichettati
-
[Route53.2] Le zone ospitate pubblicamente su Route 53 devono registrare le interrogazioni DNS
-
[S3.17] I bucket generici S3 devono essere crittografati quando sono inattivi con AWS KMS keys
-
[SageMaker.1] Le istanze di SageMaker notebook Amazon non devono avere accesso diretto a Internet
-
[SageMaker.2] le istanze di SageMaker notebook devono essere avviate in modo personalizzato VPC
-
[SageMaker.3] Gli utenti non devono avere accesso root alle SageMaker istanze dei notebook
-
[SES.1] gli elenchi di SES contatti devono essere etichettati
-
[SES.2] i set di SES configurazione devono essere etichettati
-
[SQS.1] Le SQS code di Amazon devono essere crittografate quando sono inattive
-
[SSM.1] EC2 Le istanze Amazon devono essere gestite da AWS Systems Manager
-
[StepFunctions.1] Le macchine a stati Step Functions dovrebbero avere la registrazione attivata
-
I AWS Transfer Family flussi di lavoro [Transfer.1] devono essere etichettati
-
[WAF.1] La ACL registrazione Web globale AWS WAF classica deve essere abilitata
-
[WAF.2] Le regole regionali AWS WAF classiche devono avere almeno una condizione
-
[WAF.3] I gruppi di regole regionali AWS WAF classici devono avere almeno una regola
-
[WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione
-
[WAF.7] I gruppi di regole globali AWS WAF classici devono avere almeno una regola
-
[WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole
-
[WAF.10] AWS WAF web ACLs dovrebbe avere almeno una regola o un gruppo di regole
-
[WAF.11] la ACL registrazione AWS WAF web deve essere abilitata
Asia Pacifico (Giacarta)
I seguenti controlli non sono supportati in Asia Pacifico (Giacarta).
-
[Account.2] Account AWS deve far parte di un'organizzazione AWS Organizations
-
[APIGateway.3] Le REST API fasi del API gateway devono avere AWS X-Ray la traccia abilitata
-
[APIGateway.4] Il API gateway deve essere associato a un sito Web WAF ACL
-
[APIGateway.8] Le route API gateway devono specificare un tipo di autorizzazione
-
[APIGateway.9] La registrazione degli accessi deve essere configurata per API Gateway V2 Stages
-
[AppSync.2] AWS AppSync dovrebbe avere la registrazione a livello di campo abilitata
-
[AppSync.5] AWS AppSync APIs GraphQL non deve essere autenticato con chiavi API
-
[AutoScaling.9] I gruppi Amazon EC2 Auto Scaling devono utilizzare i modelli di lancio di Amazon EC2
-
[Backup.1] i punti di AWS Backup ripristino devono essere crittografati a riposo
-
[Backup.2] i punti di AWS Backup ripristino devono essere etichettati
-
[Backup.4] i piani di AWS Backup report devono essere etichettati
-
[Backup.5] i piani di AWS Backup backup devono essere etichettati
-
[CloudFormation.2] gli CloudFormation stack devono essere etichettati
-
[CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato
-
[CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito
-
[CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine
-
[CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata
-
[CloudFront.6] le distribuzioni avrebbero dovuto essere abilitate CloudFront WAF
-
[CloudFront.7] CloudFront le distribuzioni devono utilizzare certificati/personalizzati SSL TLS
-
[CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti
-
[CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine
-
[CloudFront.14] CloudFront le distribuzioni devono essere etichettate
-
[CloudWatch.17] le azioni di CloudWatch allarme devono essere attivate
-
[CodeArtifact.1] i CodeArtifact repository devono essere etichettati
-
[CodeBuild.3] I log CodeBuild S3 devono essere crittografati
-
[CodeBuild.4] Gli ambienti di CodeBuild progetto devono avere una durata di registrazione AWS Config
-
[Detective.1] I grafici del comportamento dei Detective devono essere etichettati
-
[DMS.1] Le istanze di replica del Database Migration Service non devono essere pubbliche
-
[DMS.3] le sottoscrizioni agli DMS eventi devono essere contrassegnate
-
[DMS.5] i sottoreti di DMS replica devono essere etichettati
-
[DMS.10] gli DMS endpoint per i database Neptune devono avere l'autorizzazione abilitata IAM
-
[DMS.11] gli DMS endpoint per MongoDB devono avere un meccanismo di autenticazione abilitato
-
[DMS.12] DMS gli endpoint per Redis avrebbero dovuto essere abilitati TLS
-
[DocumentDB.1] I cluster Amazon DocumentDB devono essere crittografati quando sono inattivi
-
[DocumentDB.3] Le istantanee manuali dei cluster di Amazon DocumentDB non devono essere pubbliche
-
[DocumentDB.4] I cluster Amazon DocumentDB devono pubblicare i log di controllo su Logs CloudWatch
-
[DocumentDB.5] I cluster Amazon DocumentDB devono avere la protezione da eliminazione abilitata
-
[DynamoDB.3] I cluster DynamoDB Accelerator () devono essere crittografati quando sono inattivi DAX
-
[DynamoDB.4] Le tabelle DynamoDB devono essere presenti in un piano di backup
-
[DynamoDB.7] I cluster DynamoDB Accelerator devono essere crittografati in transito
-
[EC2.13] I gruppi di sicurezza non devono consentire l'ingresso da 0.0.0.0/0 o: :/0 alla porta 22
-
[EC2.14] I gruppi di sicurezza non devono consentire l'accesso da 0.0.0.0/0 o: :/0 alla porta 3389
-
[EC2.22] I gruppi di EC2 sicurezza Amazon non utilizzati devono essere rimossi
-
[EC2.24] I tipi di istanze EC2 paravirtuali di Amazon non devono essere utilizzati
-
[EC2.28] EBS i volumi devono essere coperti da un piano di backup
-
[ECR.1] I repository ECR privati dovrebbero avere la scansione delle immagini configurata
-
[ECR.2] I repository ECR privati devono avere configurata l'immutabilità dei tag
-
[ECR.3] I ECR repository devono avere almeno una politica del ciclo di vita configurata
-
[ECS.2] ECS ai servizi non devono essere assegnati automaticamente indirizzi IP pubblici
-
[ECS.4] ECS I contenitori devono essere eseguiti come non privilegiati
-
[ECS.5] ECS I contenitori devono essere limitati all'accesso in sola lettura ai filesystem root
-
[ECS.8] I segreti non devono essere passati come variabili di ambiente del contenitore
-
[ECS.9] le definizioni delle ECS attività devono avere una configurazione di registrazione
-
[EFS.2] EFS I volumi Amazon devono essere inclusi nei piani di backup
-
[EFS.3] i punti di EFS accesso devono applicare una directory principale
-
[EFS.4] i punti di EFS accesso devono imporre l'identità di un utente
-
[EKS.2] EKS i cluster devono essere eseguiti su una versione di Kubernetes supportata
-
[ElastiCache.1] I cluster ElastiCache Redis dovrebbero avere il backup automatico abilitato
-
[ElastiCache.7] i ElastiCache cluster non devono utilizzare il gruppo di sottoreti predefinito
-
[EMR.1] I nodi primari EMR del cluster Amazon non devono avere indirizzi IP pubblici
-
[ES.1] I domini Elasticsearch devono avere la crittografia a riposo abilitata
-
[ES.2] I domini Elasticsearch non devono essere accessibili al pubblico
-
[ES.3] I domini Elasticsearch devono crittografare i dati inviati tra i nodi
-
[EventBridge.4] gli endpoint EventBridge globali dovrebbero avere la replica degli eventi abilitata
-
[FSx.1] FSx per i ZFS file system Open deve essere configurato per copiare i tag su backup e volumi
-
[GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati
-
[GuardDuty.4] i GuardDuty rilevatori devono essere etichettati
-
[IAM.26] ScadutiSSL/TLSi certificati gestiti in devono essere rimossi IAM
-
[Inspector.3] La scansione del codice Amazon Inspector Lambda deve essere abilitata
-
[IoT.1] i profili di AWS IoT Core sicurezza devono essere etichettati
-
[IoT.2] le azioni di AWS IoT Core mitigazione devono essere etichettate
-
[IoT.3] le AWS IoT Core dimensioni devono essere etichettate
-
gli AWS IoT Core autorizzatori [IoT.4] devono essere etichettati
-
[IoT.5] gli alias dei AWS IoT Core ruoli devono essere etichettati
-
[Kinesis.1] Gli stream Kinesis devono essere crittografati quando sono inattivi
-
[Lambda.5] Le funzioni VPC Lambda devono funzionare in più zone di disponibilità
-
[Macie.2] Il rilevamento automatico dei dati sensibili di Macie deve essere abilitato
-
[MSK.1] MSK i cluster devono essere crittografati durante il transito tra i nodi broker
-
[MSK.2] i MSK cluster dovrebbero avere configurato un monitoraggio avanzato
-
[Neptune.1] I cluster Neptune DB devono essere crittografati a riposo
-
[Neptune.2] I cluster Neptune DB devono pubblicare i log di controllo su Logs CloudWatch
-
[Neptune.3] Le istantanee del cluster Neptune DB non devono essere pubbliche
-
[Neptune.4] I cluster Neptune DB devono avere la protezione da eliminazione abilitata
-
[Neptune.5] I cluster Neptune DB devono avere i backup automatici abilitati
-
[Neptune.6] Le istantanee del cluster Neptune DB devono essere crittografate quando sono inattive
-
[Neptune.7] I cluster Neptune DB devono avere l'autenticazione del database abilitata IAM
-
[Neptune.8] I cluster Neptune DB devono essere configurati per copiare i tag nelle istantanee
-
[Neptune.9] I cluster Neptune DB devono essere distribuiti su più zone di disponibilità
-
[NetworkFirewall.3] Le policy di Network Firewall devono avere almeno un gruppo di regole associato
-
[NetworkFirewall.6] Il gruppo di regole Stateless Network Firewall non deve essere vuoto
-
I OpenSearch domini [Opensearch.1] devono avere la crittografia a riposo abilitata
-
I OpenSearch domini [Opensearch.2] non devono essere accessibili al pubblico
-
I OpenSearch domini [Opensearch.3] devono crittografare i dati inviati tra i nodi
-
I OpenSearch domini [Opensearch.5] devono avere la registrazione di controllo abilitata
-
I OpenSearch domini [Opensearch.6] devono avere almeno tre nodi di dati
-
I OpenSearch domini [Opensearch.7] devono avere un controllo degli accessi granulare abilitato
-
[RDS.9] Le istanze RDS DB devono pubblicare i log in Logs CloudWatch
-
[RDS.14] I cluster Amazon Aurora dovrebbero avere il backtracking abilitato
-
[RDS.16] I cluster RDS DB devono essere configurati per copiare i tag nelle istantanee
-
[RDS.24] I cluster di RDS database devono utilizzare un nome utente di amministratore personalizzato
-
[RDS.26] Le istanze RDS DB devono essere protette da un piano di backup
-
[RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati
-
[Redshift.1] I cluster Amazon Redshift dovrebbero vietare l'accesso pubblico
-
[Redshift.2] Le connessioni ai cluster Amazon Redshift devono essere crittografate in transito
-
[Redshift.3] I cluster Amazon Redshift devono avere le istantanee automatiche abilitate
-
[Redshift.7] I cluster Redshift dovrebbero utilizzare un routing avanzato VPC
-
[Redshift.9] I cluster Redshift non devono utilizzare il nome di database predefinito
-
[Redshift.10] I cluster Redshift devono essere crittografati a riposo
-
[Redshift.12] Le sottoscrizioni alle notifiche degli eventi Redshift devono essere contrassegnate
-
[Route53.1] I controlli sanitari della Route 53 devono essere etichettati
-
[Route53.2] Le zone ospitate pubblicamente su Route 53 devono registrare le interrogazioni DNS
-
[S3.11] I bucket generici S3 devono avere le notifiche degli eventi abilitate
-
[S3.13] I bucket S3 per uso generico devono avere configurazioni del ciclo di vita
-
[SageMaker.1] Le istanze di SageMaker notebook Amazon non devono avere accesso diretto a Internet
-
[SageMaker.2] le istanze di SageMaker notebook devono essere avviate in modo personalizzato VPC
-
[SageMaker.3] Gli utenti non devono avere accesso root alle SageMaker istanze dei notebook
-
[SQS.1] Le SQS code di Amazon devono essere crittografate quando sono inattive
-
[SSM.1] EC2 Le istanze Amazon devono essere gestite da AWS Systems Manager
-
[WAF.1] La ACL registrazione Web globale AWS WAF classica deve essere abilitata
-
[WAF.2] Le regole regionali AWS WAF classiche devono avere almeno una condizione
-
[WAF.3] I gruppi di regole regionali AWS WAF classici devono avere almeno una regola
-
[WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione
-
[WAF.7] I gruppi di regole globali AWS WAF classici devono avere almeno una regola
-
[WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole
-
[WAF.10] AWS WAF web ACLs dovrebbe avere almeno una regola o un gruppo di regole
Asia Pacifico (Mumbai)
I seguenti controlli non sono supportati in Asia Pacifico (Mumbai).
-
[CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato
-
[CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito
-
[CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine
-
[CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata
-
[CloudFront.6] le distribuzioni avrebbero dovuto essere abilitate CloudFront WAF
-
[CloudFront.7] CloudFront le distribuzioni devono utilizzare certificati/personalizzati SSL TLS
-
[CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti
-
[CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine
-
[CloudFront.14] CloudFront le distribuzioni devono essere etichettate
-
[EC2.24] I tipi di istanze EC2 paravirtuali di Amazon non devono essere utilizzati
-
[GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati
-
[IAM.26] ScadutiSSL/TLSi certificati gestiti in devono essere rimossi IAM
-
[Inspector.3] La scansione del codice Amazon Inspector Lambda deve essere abilitata
-
[RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati
-
[Route53.1] I controlli sanitari della Route 53 devono essere etichettati
-
[Route53.2] Le zone ospitate pubblicamente su Route 53 devono registrare le interrogazioni DNS
-
[WAF.1] La ACL registrazione Web globale AWS WAF classica deve essere abilitata
-
[WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione
-
[WAF.7] I gruppi di regole globali AWS WAF classici devono avere almeno una regola
-
[WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole
Asia Pacifico (Melbourne)
I seguenti controlli non sono supportati in Asia Pacifico (Melbourne).
-
[APIGateway.8] Le route API gateway devono specificare un tipo di autorizzazione
-
[APIGateway.9] La registrazione degli accessi deve essere configurata per API Gateway V2 Stages
-
[AppSync.2] AWS AppSync dovrebbe avere la registrazione a livello di campo abilitata
-
[AppSync.4] AWS AppSync APIs GraphQL dovrebbe essere taggato
-
[AppSync.5] AWS AppSync APIs GraphQL non deve essere autenticato con chiavi API
-
[Athena.2] I cataloghi di dati Athena devono essere etichettati
-
[Athena.3] I gruppi di lavoro Athena devono essere etichettati
-
[Backup.1] i punti di AWS Backup ripristino devono essere crittografati a riposo
-
[Backup.2] i punti di AWS Backup ripristino devono essere etichettati
-
[Backup.4] i piani di AWS Backup report devono essere etichettati
-
[Backup.5] i piani di AWS Backup backup devono essere etichettati
-
[CloudFormation.2] gli CloudFormation stack devono essere etichettati
-
[CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato
-
[CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito
-
[CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine
-
[CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata
-
[CloudFront.6] le distribuzioni avrebbero dovuto essere abilitate CloudFront WAF
-
[CloudFront.7] CloudFront le distribuzioni devono utilizzare certificati/personalizzati SSL TLS
-
[CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti
-
[CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine
-
[CloudFront.14] CloudFront le distribuzioni devono essere etichettate
-
[CodeArtifact.1] i CodeArtifact repository devono essere etichettati
-
[CodeBuild.3] I log CodeBuild S3 devono essere crittografati
-
[CodeBuild.4] Gli ambienti di CodeBuild progetto devono avere una durata di registrazione AWS Config
-
[Detective.1] I grafici del comportamento dei Detective devono essere etichettati
-
[DMS.1] Le istanze di replica del Database Migration Service non devono essere pubbliche
-
[DMS.3] le sottoscrizioni agli DMS eventi devono essere contrassegnate
-
[DMS.5] i sottoreti di DMS replica devono essere etichettati
-
[DMS.10] gli DMS endpoint per i database Neptune devono avere l'autorizzazione abilitata IAM
-
[DMS.11] gli DMS endpoint per MongoDB devono avere un meccanismo di autenticazione abilitato
-
[DMS.12] DMS gli endpoint per Redis avrebbero dovuto essere abilitati TLS
-
[DocumentDB.1] I cluster Amazon DocumentDB devono essere crittografati quando sono inattivi
-
[DocumentDB.3] Le istantanee manuali dei cluster di Amazon DocumentDB non devono essere pubbliche
-
[DocumentDB.4] I cluster Amazon DocumentDB devono pubblicare i log di controllo su Logs CloudWatch
-
[DocumentDB.5] I cluster Amazon DocumentDB devono avere la protezione da eliminazione abilitata
-
[DynamoDB.3] I cluster DynamoDB Accelerator () devono essere crittografati quando sono inattivi DAX
-
[DynamoDB.4] Le tabelle DynamoDB devono essere presenti in un piano di backup
-
[DynamoDB.7] I cluster DynamoDB Accelerator devono essere crittografati in transito
-
[EC2.1] Le EBS istantanee di Amazon non devono essere ripristinabili pubblicamente
-
[EC2.4] EC2 Le istanze interrotte devono essere rimosse dopo un periodo di tempo specificato
-
[EC2.8] EC2 le istanze devono utilizzare Instance Metadata Service versione 2 () IMDSv2
-
[EC2.9] EC2 Le istanze Amazon non devono avere un indirizzo pubblico IPv4
-
[EC2.13] I gruppi di sicurezza non devono consentire l'ingresso da 0.0.0.0/0 o: :/0 alla porta 22
-
[EC2.14] I gruppi di sicurezza non devono consentire l'accesso da 0.0.0.0/0 o: :/0 alla porta 3389
-
[EC2.22] I gruppi di EC2 sicurezza Amazon non utilizzati devono essere rimossi
-
[EC2.24] I tipi di istanze EC2 paravirtuali di Amazon non devono essere utilizzati
-
[EC2.25] I modelli di EC2 lancio di Amazon non devono assegnare interfacce IPs di rete pubbliche
-
[EC2.28] EBS i volumi devono essere coperti da un piano di backup
-
[EC2.33] Gli allegati di EC2 Transit Gateway devono essere etichettati
-
[EC2.34] Le tabelle delle rotte dei gateway di EC2 transito devono essere etichettate
-
[EC2.48] I log di VPC flusso di Amazon devono essere etichettati
-
[EC2.52] i gateway di EC2 transito devono essere etichettati
-
[ECR.1] I repository ECR privati dovrebbero avere la scansione delle immagini configurata
-
[ECS.9] le definizioni delle ECS attività devono avere una configurazione di registrazione
-
[EFS.2] EFS I volumi Amazon devono essere inclusi nei piani di backup
-
[EFS.3] i punti di EFS accesso devono applicare una directory principale
-
[EFS.4] i punti di EFS accesso devono imporre l'identità di un utente
-
[EKS.2] EKS i cluster devono essere eseguiti su una versione di Kubernetes supportata
-
[EKS.7] le configurazioni dei provider di EKS identità devono essere contrassegnate
-
[EKS.8] i EKS cluster dovrebbero avere la registrazione di controllo abilitata
-
[ElastiCache.1] I cluster ElastiCache Redis dovrebbero avere il backup automatico abilitato
-
[ElastiCache.5] I gruppi di replica ElastiCache (RedisOSS) devono essere crittografati in transito
-
[ElastiCache.7] i ElastiCache cluster non devono utilizzare il gruppo di sottoreti predefinito
-
[ElasticBeanstalk.3] Elastic Beanstalk dovrebbe trasmettere i log a CloudWatch
-
[EMR.1] I nodi primari EMR del cluster Amazon non devono avere indirizzi IP pubblici
-
[ES.1] I domini Elasticsearch devono avere la crittografia a riposo abilitata
-
[ES.2] I domini Elasticsearch non devono essere accessibili al pubblico
-
[ES.3] I domini Elasticsearch devono crittografare i dati inviati tra i nodi
-
[EventBridge.2] i bus EventBridge degli eventi devono essere etichettati
-
[EventBridge.4] gli endpoint EventBridge globali dovrebbero avere la replica degli eventi abilitata
-
[FSx.1] FSx per i ZFS file system Open deve essere configurato per copiare i tag su backup e volumi
-
[FSx.2] FSx per i file system Lustre deve essere configurato per copiare i tag nei backup
-
[GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati
-
[GuardDuty.4] i GuardDuty rilevatori devono essere etichettati
-
[GuardDuty.9] GuardDuty RDS La protezione deve essere abilitata
-
[IAM.1] IAM le politiche non dovrebbero consentire i privilegi amministrativi completi di tipo «*»
-
[IAM.2] IAM gli utenti non dovrebbero avere politiche allegate IAM
-
[IAM.3] le chiavi di accesso IAM degli utenti devono essere ruotate ogni 90 giorni o meno
-
[IAM.5] MFA deve essere abilitato per tutti IAM gli utenti che dispongono di una password di console
-
[IAM.6] L'hardware MFA deve essere abilitato per l'utente root
-
[IAM.8] Le credenziali IAM utente non utilizzate devono essere rimosse
-
[IAM.11] Assicurati che IAM la politica delle password richieda almeno una lettera maiuscola
-
[IAM.12] Assicurati che la politica delle IAM password richieda almeno una lettera minuscola
-
[IAM.13] Assicurati che la politica delle IAM password richieda almeno un simbolo
-
[IAM.14] Assicurati che IAM la politica delle password richieda almeno un numero
-
[IAM.16] Assicurati che IAM la politica delle password impedisca il riutilizzo della password
-
[IAM.22] le credenziali IAM utente non utilizzate per 45 giorni devono essere rimosse
-
[IAM.26] ScadutiSSL/TLSi certificati gestiti in devono essere rimossi IAM
-
[IAM.27] IAM alle identità non dovrebbe essere allegata la policy AWSCloudShellFullAccess
-
[Inspector.1] La scansione di Amazon Inspector deve essere abilitata EC2
-
[Inspector.2] La scansione di Amazon Inspector deve essere abilitata ECR
-
[Inspector.3] La scansione del codice Amazon Inspector Lambda deve essere abilitata
-
[Inspector.4] La scansione standard di Amazon Inspector Lambda deve essere abilitata
-
[IoT.1] i profili di AWS IoT Core sicurezza devono essere etichettati
-
[IoT.2] le azioni di AWS IoT Core mitigazione devono essere etichettate
-
[IoT.3] le AWS IoT Core dimensioni devono essere etichettate
-
gli AWS IoT Core autorizzatori [IoT.4] devono essere etichettati
-
[IoT.5] gli alias dei AWS IoT Core ruoli devono essere etichettati
-
[Kinesis.1] Gli stream Kinesis devono essere crittografati quando sono inattivi
-
[Lambda.5] Le funzioni VPC Lambda devono funzionare in più zone di disponibilità
-
[Macie.2] Il rilevamento automatico dei dati sensibili di Macie deve essere abilitato
-
[MQ.2] I broker ActiveMQ devono trasmettere i log di controllo a CloudWatch
-
[MQ.5] I broker ActiveMQ devono utilizzare la modalità di distribuzione attiva/standby
-
[MQ.6] I broker RabbitMQ dovrebbero utilizzare la modalità di distribuzione del cluster
-
[MSK.1] MSK i cluster devono essere crittografati durante il transito tra i nodi broker
-
[MSK.2] i MSK cluster dovrebbero avere configurato un monitoraggio avanzato
-
[Neptune.1] I cluster Neptune DB devono essere crittografati a riposo
-
[Neptune.2] I cluster Neptune DB devono pubblicare i log di controllo su Logs CloudWatch
-
[Neptune.3] Le istantanee del cluster Neptune DB non devono essere pubbliche
-
[Neptune.4] I cluster Neptune DB devono avere la protezione da eliminazione abilitata
-
[Neptune.5] I cluster Neptune DB devono avere i backup automatici abilitati
-
[Neptune.6] Le istantanee del cluster Neptune DB devono essere crittografate quando sono inattive
-
[Neptune.7] I cluster Neptune DB devono avere l'autenticazione del database abilitata IAM
-
[Neptune.8] I cluster Neptune DB devono essere configurati per copiare i tag nelle istantanee
-
[Neptune.9] I cluster Neptune DB devono essere distribuiti su più zone di disponibilità
-
[NetworkFirewall.2] La registrazione del Network Firewall deve essere abilitata
-
[NetworkFirewall.3] Le policy di Network Firewall devono avere almeno un gruppo di regole associato
-
[NetworkFirewall.6] Il gruppo di regole Stateless Network Firewall non deve essere vuoto
-
[NetworkFirewall.9] I firewall Network Firewall devono avere la protezione da eliminazione abilitata
-
I OpenSearch domini [Opensearch.1] devono avere la crittografia a riposo abilitata
-
I OpenSearch domini [Opensearch.2] non devono essere accessibili al pubblico
-
I OpenSearch domini [Opensearch.3] devono crittografare i dati inviati tra i nodi
-
I OpenSearch domini [Opensearch.5] devono avere la registrazione di controllo abilitata
-
I OpenSearch domini [Opensearch.6] devono avere almeno tre nodi di dati
-
I OpenSearch domini [Opensearch.7] devono avere un controllo degli accessi granulare abilitato
-
I OpenSearch domini [Opensearch.9] devono essere etichettati
-
Nei OpenSearch domini [Opensearch.10] deve essere installato l'ultimo aggiornamento software
-
I OpenSearch domini [Opensearch.11] devono avere almeno tre nodi primari dedicati
-
[RDS.3] Le istanze RDS DB devono avere la crittografia a riposo abilitata
-
[RDS.7] RDS i cluster dovrebbero avere la protezione da eliminazione abilitata
-
[RDS.12] IAM l'autenticazione deve essere configurata per i cluster RDS
-
[RDS.14] I cluster Amazon Aurora dovrebbero avere il backtracking abilitato
-
[RDS.15] I cluster RDS DB devono essere configurati per più zone di disponibilità
-
[RDS.16] I cluster RDS DB devono essere configurati per copiare i tag nelle istantanee
-
[RDS.24] I cluster di RDS database devono utilizzare un nome utente di amministratore personalizzato
-
[RDS.26] Le istanze RDS DB devono essere protette da un piano di backup
-
[RDS.27] I cluster RDS DB devono essere crittografati quando sono inattivi
-
[RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati
-
[RDS.34] Aurora I SQL miei cluster DB dovrebbero pubblicare i log di controllo in Logs CloudWatch
-
[Redshift.12] Le sottoscrizioni alle notifiche degli eventi Redshift devono essere contrassegnate
-
[Route53.1] I controlli sanitari della Route 53 devono essere etichettati
-
[Route53.2] Le zone ospitate pubblicamente su Route 53 devono registrare le interrogazioni DNS
-
[S3.14] I bucket generici S3 devono avere il controllo delle versioni abilitato
-
[S3.15] I bucket generici S3 devono avere Object Lock abilitato
-
[SageMaker.1] Le istanze di SageMaker notebook Amazon non devono avere accesso diretto a Internet
-
[SageMaker.2] le istanze di SageMaker notebook devono essere avviate in modo personalizzato VPC
-
[SageMaker.3] Gli utenti non devono avere accesso root alle SageMaker istanze dei notebook
-
[SES.1] gli elenchi di SES contatti devono essere etichettati
-
[SES.2] i set di SES configurazione devono essere etichettati
-
[SNS.1] SNS gli argomenti devono essere crittografati quando sono inattivi utilizzando AWS KMS
-
[SQS.1] Le SQS code di Amazon devono essere crittografate quando sono inattive
-
[StepFunctions.1] Le macchine a stati Step Functions dovrebbero avere la registrazione attivata
-
[StepFunctions.2] Le attività di Step Functions devono essere etichettate
-
I AWS Transfer Family flussi di lavoro [Transfer.1] devono essere etichettati
-
[WAF.1] La ACL registrazione Web globale AWS WAF classica deve essere abilitata
-
[WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione
-
[WAF.7] I gruppi di regole globali AWS WAF classici devono avere almeno una regola
-
[WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole
-
[WAF.11] la ACL registrazione AWS WAF web deve essere abilitata
Asia Pacifico (Osaka-Locale)
I seguenti controlli non sono supportati in Asia Pacifico (Osaka).
-
[Account.2] Account AWS deve far parte di un'organizzazione AWS Organizations
-
[APIGateway.3] Le REST API fasi del API gateway devono avere AWS X-Ray la traccia abilitata
-
[APIGateway.4] Il API gateway deve essere associato a un sito Web WAF ACL
-
[Backup.1] i punti di AWS Backup ripristino devono essere crittografati a riposo
-
[Backup.4] i piani di AWS Backup report devono essere etichettati
-
[CloudFormation.2] gli CloudFormation stack devono essere etichettati
-
[CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato
-
[CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito
-
[CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine
-
[CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata
-
[CloudFront.6] le distribuzioni avrebbero dovuto essere abilitate CloudFront WAF
-
[CloudFront.7] CloudFront le distribuzioni devono utilizzare certificati/personalizzati SSL TLS
-
[CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti
-
[CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine
-
[CloudFront.14] CloudFront le distribuzioni devono essere etichettate
-
[CloudWatch.15] gli CloudWatch allarmi devono avere azioni specificate configurate
-
[CodeArtifact.1] i CodeArtifact repository devono essere etichettati
-
[CodeBuild.3] I log CodeBuild S3 devono essere crittografati
-
[CodeBuild.4] Gli ambienti di CodeBuild progetto devono avere una durata di registrazione AWS Config
-
[Detective.1] I grafici del comportamento dei Detective devono essere etichettati
-
[DMS.10] gli DMS endpoint per i database Neptune devono avere l'autorizzazione abilitata IAM
-
[DocumentDB.1] I cluster Amazon DocumentDB devono essere crittografati quando sono inattivi
-
[DocumentDB.3] Le istantanee manuali dei cluster di Amazon DocumentDB non devono essere pubbliche
-
[DocumentDB.4] I cluster Amazon DocumentDB devono pubblicare i log di controllo su Logs CloudWatch
-
[DocumentDB.5] I cluster Amazon DocumentDB devono avere la protezione da eliminazione abilitata
-
[DynamoDB.2] Le tabelle DynamoDB dovrebbero avere il ripristino abilitato point-in-time
-
[DynamoDB.3] I cluster DynamoDB Accelerator () devono essere crittografati quando sono inattivi DAX
-
[DynamoDB.4] Le tabelle DynamoDB devono essere presenti in un piano di backup
-
[DynamoDB.7] I cluster DynamoDB Accelerator devono essere crittografati in transito
-
[EC2.1] Le EBS istantanee di Amazon non devono essere ripristinabili pubblicamente
-
[EC2.3] I EBS volumi Amazon collegati devono essere crittografati quando sono inattivi
-
[EC2.4] EC2 Le istanze interrotte devono essere rimosse dopo un periodo di tempo specificato
-
[EC2.7] la crittografia EBS predefinita deve essere abilitata
-
[EC2.8] EC2 le istanze devono utilizzare Instance Metadata Service versione 2 () IMDSv2
-
[EC2.9] EC2 Le istanze Amazon non devono avere un indirizzo pubblico IPv4
-
[EC2.13] I gruppi di sicurezza non devono consentire l'ingresso da 0.0.0.0/0 o: :/0 alla porta 22
-
[EC2.14] I gruppi di sicurezza non devono consentire l'accesso da 0.0.0.0/0 o: :/0 alla porta 3389
-
[EC2.15] Le EC2 sottoreti Amazon non devono assegnare automaticamente indirizzi IP pubblici
-
[EC2.16] Gli elenchi di controllo degli accessi alla rete non utilizzati devono essere rimossi
-
[EC2.17] EC2 Le istanze Amazon non devono utilizzare più istanze ENIs
-
[EC2.20] Entrambi i VPN tunnel per una connessione da sito a AWS sito dovrebbero essere attivi VPN
-
[EC2.22] I gruppi di EC2 sicurezza Amazon non utilizzati devono essere rimossi
-
[EC2.24] I tipi di istanze EC2 paravirtuali di Amazon non devono essere utilizzati
-
[EC2.28] EBS i volumi devono essere coperti da un piano di backup
-
[EC2.52] i gateway di EC2 transito devono essere etichettati
-
[ECR.1] I repository ECR privati dovrebbero avere la scansione delle immagini configurata
-
[ECR.2] I repository ECR privati devono avere configurata l'immutabilità dei tag
-
[ECS.2] ECS ai servizi non devono essere assegnati automaticamente indirizzi IP pubblici
-
[ECS.4] ECS I contenitori devono essere eseguiti come non privilegiati
-
[ECS.8] I segreti non devono essere passati come variabili di ambiente del contenitore
-
[ECS.9] le definizioni delle ECS attività devono avere una configurazione di registrazione
-
[EFS.2] EFS I volumi Amazon devono essere inclusi nei piani di backup
-
[EKS.2] EKS i cluster devono essere eseguiti su una versione di Kubernetes supportata
-
[ELB.3] I listener Classic Load Balancer devono essere configurati con o terminazione HTTPS TLS
-
[ELB.4] L'Application Load Balancer deve essere configurato per eliminare le intestazioni http
-
[ELB.9] I Classic Load Balancer devono avere il bilanciamento del carico tra zone abilitato
-
[ELB.16] Gli Application Load Balancer devono essere associati a un sito Web AWS WAF ACL
-
[ElastiCache.1] I cluster ElastiCache Redis dovrebbero avere il backup automatico abilitato
-
[ElastiCache.7] i ElastiCache cluster non devono utilizzare il gruppo di sottoreti predefinito
-
[ElasticBeanstalk.3] Elastic Beanstalk dovrebbe trasmettere i log a CloudWatch
-
[EMR.1] I nodi primari EMR del cluster Amazon non devono avere indirizzi IP pubblici
-
[ES.1] I domini Elasticsearch devono avere la crittografia a riposo abilitata
-
[ES.3] I domini Elasticsearch devono crittografare i dati inviati tra i nodi
-
[FSx.1] FSx per i ZFS file system Open deve essere configurato per copiare i tag su backup e volumi
-
[GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati
-
[IAM.4] la chiave di accesso per l'utente IAM root non dovrebbe esistere
-
[IAM.26] ScadutiSSL/TLSi certificati gestiti in devono essere rimossi IAM
-
[Inspector.3] La scansione del codice Amazon Inspector Lambda deve essere abilitata
-
[IoT.1] i profili di AWS IoT Core sicurezza devono essere etichettati
-
[IoT.2] le azioni di AWS IoT Core mitigazione devono essere etichettate
-
[IoT.3] le AWS IoT Core dimensioni devono essere etichettate
-
gli AWS IoT Core autorizzatori [IoT.4] devono essere etichettati
-
[IoT.5] gli alias dei AWS IoT Core ruoli devono essere etichettati
-
[Kinesis.1] Gli stream Kinesis devono essere crittografati quando sono inattivi
-
[KMS.3] non AWS KMS keys deve essere eliminato involontariamente
-
[Lambda.1] Le politiche delle funzioni Lambda dovrebbero vietare l'accesso pubblico
-
[Lambda.2] Le funzioni Lambda devono utilizzare runtime supportati
-
[Lambda.5] Le funzioni VPC Lambda devono funzionare in più zone di disponibilità
-
[Neptune.1] I cluster Neptune DB devono essere crittografati a riposo
-
[Neptune.2] I cluster Neptune DB devono pubblicare i log di controllo su Logs CloudWatch
-
[Neptune.3] Le istantanee del cluster Neptune DB non devono essere pubbliche
-
[Neptune.4] I cluster Neptune DB devono avere la protezione da eliminazione abilitata
-
[Neptune.5] I cluster Neptune DB devono avere i backup automatici abilitati
-
[Neptune.6] Le istantanee del cluster Neptune DB devono essere crittografate quando sono inattive
-
[Neptune.7] I cluster Neptune DB devono avere l'autenticazione del database abilitata IAM
-
[Neptune.8] I cluster Neptune DB devono essere configurati per copiare i tag nelle istantanee
-
[Neptune.9] I cluster Neptune DB devono essere distribuiti su più zone di disponibilità
-
I OpenSearch domini [Opensearch.1] devono avere la crittografia a riposo abilitata
-
I OpenSearch domini [Opensearch.2] non devono essere accessibili al pubblico
-
I OpenSearch domini [Opensearch.3] devono crittografare i dati inviati tra i nodi
-
I OpenSearch domini [Opensearch.5] devono avere la registrazione di controllo abilitata
-
I OpenSearch domini [Opensearch.6] devono avere almeno tre nodi di dati
-
I OpenSearch domini [Opensearch.7] devono avere un controllo degli accessi granulare abilitato
-
[RDS.6] Il monitoraggio avanzato deve essere configurato per le istanze DB RDS
-
[RDS.7] RDS i cluster dovrebbero avere la protezione da eliminazione abilitata
-
[RDS.8] Le istanze RDS DB devono avere la protezione da eliminazione abilitata
-
[RDS.9] Le istanze RDS DB devono pubblicare i log in Logs CloudWatch
-
[RDS.10] IAM l'autenticazione deve essere configurata per le istanze RDS
-
[RDS.12] IAM l'autenticazione deve essere configurata per i cluster RDS
-
[RDS.13] gli aggiornamenti RDS automatici delle versioni secondarie devono essere abilitati
-
[RDS.14] I cluster Amazon Aurora dovrebbero avere il backtracking abilitato
-
[RDS.15] I cluster RDS DB devono essere configurati per più zone di disponibilità
-
[RDS.26] Le istanze RDS DB devono essere protette da un piano di backup
-
[RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati
-
[Redshift.2] Le connessioni ai cluster Amazon Redshift devono essere crittografate in transito
-
[Redshift.3] I cluster Amazon Redshift devono avere le istantanee automatiche abilitate
-
[Redshift.7] I cluster Redshift dovrebbero utilizzare un routing avanzato VPC
-
[Redshift.10] I cluster Redshift devono essere crittografati a riposo
-
[Route53.1] I controlli sanitari della Route 53 devono essere etichettati
-
[Route53.2] Le zone ospitate pubblicamente su Route 53 devono registrare le interrogazioni DNS
-
[S3.8] I bucket generici S3 dovrebbero bloccare l'accesso pubblico
-
[S3.15] I bucket generici S3 devono avere Object Lock abilitato
-
[S3.17] I bucket generici S3 devono essere crittografati quando sono inattivi con AWS KMS keys
-
[SageMaker.1] Le istanze di SageMaker notebook Amazon non devono avere accesso diretto a Internet
-
[SNS.1] SNS gli argomenti devono essere crittografati quando sono inattivi utilizzando AWS KMS
-
[WAF.1] La ACL registrazione Web globale AWS WAF classica deve essere abilitata
-
[WAF.3] I gruppi di regole regionali AWS WAF classici devono avere almeno una regola
-
[WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione
-
[WAF.7] I gruppi di regole globali AWS WAF classici devono avere almeno una regola
-
[WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole
-
[WAF.10] AWS WAF web ACLs dovrebbe avere almeno una regola o un gruppo di regole
-
[WAF.11] la ACL registrazione AWS WAF web deve essere abilitata
Asia Pacifico (Seoul)
I seguenti controlli non sono supportati in Asia Pacifico (Seoul).
-
[CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato
-
[CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito
-
[CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine
-
[CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata
-
[CloudFront.6] le distribuzioni avrebbero dovuto essere abilitate CloudFront WAF
-
[CloudFront.7] CloudFront le distribuzioni devono utilizzare certificati/personalizzati SSL TLS
-
[CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti
-
[CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine
-
[CloudFront.14] CloudFront le distribuzioni devono essere etichettate
-
[CodeArtifact.1] i CodeArtifact repository devono essere etichettati
-
[DynamoDB.3] I cluster DynamoDB Accelerator () devono essere crittografati quando sono inattivi DAX
-
[DynamoDB.7] I cluster DynamoDB Accelerator devono essere crittografati in transito
-
[EC2.24] I tipi di istanze EC2 paravirtuali di Amazon non devono essere utilizzati
-
[GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati
-
[IAM.26] ScadutiSSL/TLSi certificati gestiti in devono essere rimossi IAM
-
[Inspector.3] La scansione del codice Amazon Inspector Lambda deve essere abilitata
-
[RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati
-
[Route53.1] I controlli sanitari della Route 53 devono essere etichettati
-
[Route53.2] Le zone ospitate pubblicamente su Route 53 devono registrare le interrogazioni DNS
-
[WAF.1] La ACL registrazione Web globale AWS WAF classica deve essere abilitata
-
[WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione
-
[WAF.7] I gruppi di regole globali AWS WAF classici devono avere almeno una regola
-
[WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole
Asia Pacifico (Singapore)
I seguenti controlli non sono supportati in Asia Pacifico (Singapore).
-
[CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato
-
[CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito
-
[CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine
-
[CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata
-
[CloudFront.6] le distribuzioni avrebbero dovuto essere abilitate CloudFront WAF
-
[CloudFront.7] CloudFront le distribuzioni devono utilizzare certificati/personalizzati SSL TLS
-
[CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti
-
[CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine
-
[CloudFront.14] CloudFront le distribuzioni devono essere etichettate
-
[GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati
-
[IAM.26] ScadutiSSL/TLSi certificati gestiti in devono essere rimossi IAM
-
[Route53.1] I controlli sanitari della Route 53 devono essere etichettati
-
[Route53.2] Le zone ospitate pubblicamente su Route 53 devono registrare le interrogazioni DNS
-
[WAF.1] La ACL registrazione Web globale AWS WAF classica deve essere abilitata
-
[WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione
-
[WAF.7] I gruppi di regole globali AWS WAF classici devono avere almeno una regola
-
[WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole
Asia Pacifico (Sydney)
I seguenti controlli non sono supportati in Asia Pacifico (Sydney).
-
[CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato
-
[CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito
-
[CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine
-
[CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata
-
[CloudFront.6] le distribuzioni avrebbero dovuto essere abilitate CloudFront WAF
-
[CloudFront.7] CloudFront le distribuzioni devono utilizzare certificati/personalizzati SSL TLS
-
[CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti
-
[CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine
-
[CloudFront.14] CloudFront le distribuzioni devono essere etichettate
-
[GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati
-
[IAM.26] ScadutiSSL/TLSi certificati gestiti in devono essere rimossi IAM
-
[Route53.1] I controlli sanitari della Route 53 devono essere etichettati
-
[Route53.2] Le zone ospitate pubblicamente su Route 53 devono registrare le interrogazioni DNS
-
[WAF.1] La ACL registrazione Web globale AWS WAF classica deve essere abilitata
-
[WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione
-
[WAF.7] I gruppi di regole globali AWS WAF classici devono avere almeno una regola
-
[WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole
Asia Pacifico (Tokyo)
I seguenti controlli non sono supportati in Asia Pacifico (Tokyo).
-
[CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato
-
[CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito
-
[CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine
-
[CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata
-
[CloudFront.6] le distribuzioni avrebbero dovuto essere abilitate CloudFront WAF
-
[CloudFront.7] CloudFront le distribuzioni devono utilizzare certificati/personalizzati SSL TLS
-
[CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti
-
[CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine
-
[CloudFront.14] CloudFront le distribuzioni devono essere etichettate
-
[GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati
-
[IAM.26] ScadutiSSL/TLSi certificati gestiti in devono essere rimossi IAM
-
[Route53.1] I controlli sanitari della Route 53 devono essere etichettati
-
[Route53.2] Le zone ospitate pubblicamente su Route 53 devono registrare le interrogazioni DNS
-
[WAF.1] La ACL registrazione Web globale AWS WAF classica deve essere abilitata
-
[WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione
-
[WAF.7] I gruppi di regole globali AWS WAF classici devono avere almeno una regola
-
[WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole
Canada (Centrale)
I seguenti controlli non sono supportati in Canada (Central).
-
[CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato
-
[CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito
-
[CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine
-
[CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata
-
[CloudFront.6] le distribuzioni avrebbero dovuto essere abilitate CloudFront WAF
-
[CloudFront.7] CloudFront le distribuzioni devono utilizzare certificati/personalizzati SSL TLS
-
[CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti
-
[CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine
-
[CloudFront.14] CloudFront le distribuzioni devono essere etichettate
-
[CodeArtifact.1] i CodeArtifact repository devono essere etichettati
-
[DynamoDB.3] I cluster DynamoDB Accelerator () devono essere crittografati quando sono inattivi DAX
-
[DynamoDB.7] I cluster DynamoDB Accelerator devono essere crittografati in transito
-
[EC2.24] I tipi di istanze EC2 paravirtuali di Amazon non devono essere utilizzati
-
[GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati
-
[IAM.26] ScadutiSSL/TLSi certificati gestiti in devono essere rimossi IAM
-
[Inspector.3] La scansione del codice Amazon Inspector Lambda deve essere abilitata
-
[RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati
-
[Route53.1] I controlli sanitari della Route 53 devono essere etichettati
-
[Route53.2] Le zone ospitate pubblicamente su Route 53 devono registrare le interrogazioni DNS
-
[WAF.1] La ACL registrazione Web globale AWS WAF classica deve essere abilitata
-
[WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione
-
[WAF.7] I gruppi di regole globali AWS WAF classici devono avere almeno una regola
-
[WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole
Cina (Pechino)
I seguenti controlli non sono supportati in Cina (Pechino).
-
[Account.2] Account AWS deve far parte di un'organizzazione AWS Organizations
-
[APIGateway.3] Le REST API fasi del API gateway devono avere AWS X-Ray la traccia abilitata
-
[APIGateway.4] Il API gateway deve essere associato a un sito Web WAF ACL
-
[AppSync.4] AWS AppSync APIs GraphQL dovrebbe essere taggato
-
[Athena.2] I cataloghi di dati Athena devono essere etichettati
-
[Athena.3] I gruppi di lavoro Athena devono essere etichettati
-
[AutoScaling.10] I gruppi EC2 Auto Scaling devono essere etichettati
-
[Backup.1] i punti di AWS Backup ripristino devono essere crittografati a riposo
-
[Backup.2] i punti di AWS Backup ripristino devono essere etichettati
-
[Backup.4] i piani di AWS Backup report devono essere etichettati
-
[Backup.5] i piani di AWS Backup backup devono essere etichettati
-
[CloudFormation.2] gli CloudFormation stack devono essere etichettati
-
[CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato
-
[CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito
-
[CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine
-
[CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata
-
[CloudFront.6] le distribuzioni avrebbero dovuto essere abilitate CloudFront WAF
-
[CloudFront.7] CloudFront le distribuzioni devono utilizzare certificati/personalizzati SSL TLS
-
[CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine
-
[CloudFront.14] CloudFront le distribuzioni devono essere etichettate
-
[CloudTrail.9] i percorsi devono essere etichettati CloudTrail
-
[CloudWatch.15] gli CloudWatch allarmi devono avere azioni specificate configurate
-
[CodeArtifact.1] i CodeArtifact repository devono essere etichettati
-
[Detective.1] I grafici del comportamento dei Detective devono essere etichettati
-
[DMS.3] le sottoscrizioni agli DMS eventi devono essere contrassegnate
-
[DMS.5] i sottoreti di DMS replica devono essere etichettati
-
[DMS.10] gli DMS endpoint per i database Neptune devono avere l'autorizzazione abilitata IAM
-
[DMS.11] gli DMS endpoint per MongoDB devono avere un meccanismo di autenticazione abilitato
-
[DMS.12] DMS gli endpoint per Redis avrebbero dovuto essere abilitati TLS
-
[DocumentDB.1] I cluster Amazon DocumentDB devono essere crittografati quando sono inattivi
-
[DocumentDB.3] Le istantanee manuali dei cluster di Amazon DocumentDB non devono essere pubbliche
-
[DocumentDB.4] I cluster Amazon DocumentDB devono pubblicare i log di controllo su Logs CloudWatch
-
[DocumentDB.5] I cluster Amazon DocumentDB devono avere la protezione da eliminazione abilitata
-
[DynamoDB.3] I cluster DynamoDB Accelerator () devono essere crittografati quando sono inattivi DAX
-
[DynamoDB.4] Le tabelle DynamoDB devono essere presenti in un piano di backup
-
[DynamoDB.7] I cluster DynamoDB Accelerator devono essere crittografati in transito
-
[EC2.15] Le EC2 sottoreti Amazon non devono assegnare automaticamente indirizzi IP pubblici
-
[EC2.16] Gli elenchi di controllo degli accessi alla rete non utilizzati devono essere rimossi
-
[EC2.20] Entrambi i VPN tunnel per una connessione da sito a AWS sito dovrebbero essere attivi VPN
-
[EC2.22] I gruppi di EC2 sicurezza Amazon non utilizzati devono essere rimossi
-
[EC2.28] EBS i volumi devono essere coperti da un piano di backup
-
[EC2.33] Gli allegati di EC2 Transit Gateway devono essere etichettati
-
[EC2.34] Le tabelle delle rotte dei gateway di EC2 transito devono essere etichettate
-
[EC2.35] le interfacce EC2 di rete devono essere etichettate
-
[EC2.36] I gateway per i EC2 clienti devono essere etichettati
-
[EC2.37] Gli indirizzi IP EC2 elastici devono essere etichettati
-
[EC2.42] le tabelle delle EC2 rotte devono essere etichettate
-
[EC2.43] i gruppi EC2 di sicurezza devono essere etichettati
-
[EC2.47] I servizi VPC endpoint di Amazon devono essere etichettati
-
[EC2.48] I log di VPC flusso di Amazon devono essere etichettati
-
[EC2.49] Le connessioni VPC peering di Amazon devono essere etichettate
-
[EC2.52] i gateway di EC2 transito devono essere etichettati
-
[ECR.1] I repository ECR privati dovrebbero avere la scansione delle immagini configurata
-
[ECS.15] le definizioni delle ECS attività devono essere etichettate
-
[EFS.6] gli obiettivi di EFS montaggio non devono essere associati a una sottorete pubblica
-
[EKS.3] i EKS cluster devono utilizzare segreti Kubernetes criptati
-
[EKS.7] le configurazioni dei provider di EKS identità devono essere contrassegnate
-
[ELB.16] Gli Application Load Balancer devono essere associati a un sito Web AWS WAF ACL
-
[ElastiCache.1] I cluster ElastiCache Redis dovrebbero avere il backup automatico abilitato
-
[ElasticBeanstalk.3] Elastic Beanstalk dovrebbe trasmettere i log a CloudWatch
-
[EMR.2] L'impostazione di EMR blocco dell'accesso pubblico di Amazon deve essere abilitata
-
[ES.3] I domini Elasticsearch devono crittografare i dati inviati tra i nodi
-
[EventBridge.2] i bus EventBridge degli eventi devono essere etichettati
-
[EventBridge.4] gli endpoint EventBridge globali dovrebbero avere la replica degli eventi abilitata
-
[FSx.1] FSx per i ZFS file system Open deve essere configurato per copiare i tag su backup e volumi
-
[FSx.2] FSx per i file system Lustre deve essere configurato per copiare i tag nei backup
-
[GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati
-
[GuardDuty.4] i GuardDuty rilevatori devono essere etichettati
-
[GuardDuty.5] Il monitoraggio GuardDuty EKS dei log di controllo deve essere abilitato
-
[GuardDuty.6] La protezione GuardDuty Lambda deve essere abilitata
-
[GuardDuty.8] La protezione GuardDuty da malware per deve essere abilitata EC2
-
[GuardDuty.9] GuardDuty RDS La protezione deve essere abilitata
-
[GuardDuty.10] La protezione GuardDuty S3 deve essere abilitata
-
[IAM.6] L'hardware MFA deve essere abilitato per l'utente root
-
[IAM.23] Gli analizzatori IAM Access Analyzer devono essere etichettati
-
[IAM.26] ScadutiSSL/TLSi certificati gestiti in devono essere rimossi IAM
-
[IAM.27] IAM alle identità non dovrebbe essere allegata la policy AWSCloudShellFullAccess
-
[IAM.28] IAM L'analizzatore di accesso esterno Access Analyzer deve essere abilitato
-
[Inspector.1] La scansione di Amazon Inspector deve essere abilitata EC2
-
[Inspector.2] La scansione di Amazon Inspector deve essere abilitata ECR
-
[Inspector.3] La scansione del codice Amazon Inspector Lambda deve essere abilitata
-
[Inspector.4] La scansione standard di Amazon Inspector Lambda deve essere abilitata
-
[IoT.1] i profili di AWS IoT Core sicurezza devono essere etichettati
-
[IoT.2] le azioni di AWS IoT Core mitigazione devono essere etichettate
-
[IoT.3] le AWS IoT Core dimensioni devono essere etichettate
-
gli AWS IoT Core autorizzatori [IoT.4] devono essere etichettati
-
[IoT.5] gli alias dei AWS IoT Core ruoli devono essere etichettati
-
[Macie.2] Il rilevamento automatico dei dati sensibili di Macie deve essere abilitato
-
[MQ.2] I broker ActiveMQ devono trasmettere i log di controllo a CloudWatch
-
[Neptune.1] I cluster Neptune DB devono essere crittografati a riposo
-
[Neptune.2] I cluster Neptune DB devono pubblicare i log di controllo su Logs CloudWatch
-
[Neptune.3] Le istantanee del cluster Neptune DB non devono essere pubbliche
-
[Neptune.4] I cluster Neptune DB devono avere la protezione da eliminazione abilitata
-
[Neptune.5] I cluster Neptune DB devono avere i backup automatici abilitati
-
[Neptune.6] Le istantanee del cluster Neptune DB devono essere crittografate quando sono inattive
-
[Neptune.7] I cluster Neptune DB devono avere l'autenticazione del database abilitata IAM
-
[Neptune.8] I cluster Neptune DB devono essere configurati per copiare i tag nelle istantanee
-
[Neptune.9] I cluster Neptune DB devono essere distribuiti su più zone di disponibilità
-
[NetworkFirewall.2] La registrazione del Network Firewall deve essere abilitata
-
[NetworkFirewall.3] Le policy di Network Firewall devono avere almeno un gruppo di regole associato
-
[NetworkFirewall.6] Il gruppo di regole Stateless Network Firewall non deve essere vuoto
-
[NetworkFirewall.7] I firewall Network Firewall devono essere etichettati
-
[NetworkFirewall.8] Le politiche firewall di Network Firewall devono essere etichettate
-
[NetworkFirewall.9] I firewall Network Firewall devono avere la protezione da eliminazione abilitata
-
I OpenSearch domini [Opensearch.1] devono avere la crittografia a riposo abilitata
-
I OpenSearch domini [Opensearch.2] non devono essere accessibili al pubblico
-
I OpenSearch domini [Opensearch.3] devono crittografare i dati inviati tra i nodi
-
I OpenSearch domini [Opensearch.5] devono avere la registrazione di controllo abilitata
-
I OpenSearch domini [Opensearch.6] devono avere almeno tre nodi di dati
-
I OpenSearch domini [Opensearch.7] devono avere un controllo degli accessi granulare abilitato
-
I OpenSearch domini [Opensearch.9] devono essere etichettati
-
I OpenSearch domini [Opensearch.11] devono avere almeno tre nodi primari dedicati
-
[PCA.1] l'autorità di certificazione AWS Private CA principale deve essere disabilitata
-
[RDS.7] RDS i cluster dovrebbero avere la protezione da eliminazione abilitata
-
[RDS.10] IAM l'autenticazione deve essere configurata per le istanze RDS
-
[RDS.12] IAM l'autenticazione deve essere configurata per i cluster RDS
-
[RDS.13] gli aggiornamenti RDS automatici delle versioni secondarie devono essere abilitati
-
[RDS.14] I cluster Amazon Aurora dovrebbero avere il backtracking abilitato
-
[RDS.15] I cluster RDS DB devono essere configurati per più zone di disponibilità
-
[RDS.16] I cluster RDS DB devono essere configurati per copiare i tag nelle istantanee
-
[RDS.24] I cluster di RDS database devono utilizzare un nome utente di amministratore personalizzato
-
[RDS.26] Le istanze RDS DB devono essere protette da un piano di backup
-
[RDS.27] I cluster RDS DB devono essere crittografati quando sono inattivi
-
[RDS.29] Le istantanee dei cluster RDS DB devono essere etichettate
-
[RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati
-
[RDS.33] I gruppi di RDS sottoreti DB devono essere etichettati
-
[RDS.34] Aurora I SQL miei cluster DB dovrebbero pubblicare i log di controllo in Logs CloudWatch
-
[Redshift.7] I cluster Redshift dovrebbero utilizzare un routing avanzato VPC
-
[Redshift.10] I cluster Redshift devono essere crittografati a riposo
-
[Redshift.12] Le sottoscrizioni alle notifiche degli eventi Redshift devono essere contrassegnate
-
[Redshift.13] Le istantanee del cluster Redshift devono essere etichettate
-
[Redshift.14] I gruppi di sottoreti del cluster Redshift devono essere etichettati
-
[Route53.1] I controlli sanitari della Route 53 devono essere etichettati
-
[Route53.2] Le zone ospitate pubblicamente su Route 53 devono registrare le interrogazioni DNS
-
[S3.1] I bucket generici S3 devono avere le impostazioni di blocco dell'accesso pubblico abilitate
-
[S3.8] I bucket generici S3 dovrebbero bloccare l'accesso pubblico
-
[S3.14] I bucket generici S3 devono avere il controllo delle versioni abilitato
-
[S3.22] I bucket S3 per uso generico devono registrare gli eventi di scrittura a livello di oggetto
-
[S3.23] I bucket S3 per uso generico devono registrare gli eventi di lettura a livello di oggetto
-
[SageMaker.1] Le istanze di SageMaker notebook Amazon non devono avere accesso diretto a Internet
-
[SES.1] gli elenchi di SES contatti devono essere etichettati
-
[SES.2] i set di SES configurazione devono essere etichettati
-
[SecretsManager.3] Rimuovi i segreti inutilizzati di Secrets Manager
-
[SecretsManager.5] I segreti di Secrets Manager devono essere etichettati
-
[StepFunctions.2] Le attività di Step Functions devono essere etichettate
-
I AWS Transfer Family flussi di lavoro [Transfer.1] devono essere etichettati
-
[WAF.1] La ACL registrazione Web globale AWS WAF classica deve essere abilitata
-
[WAF.3] I gruppi di regole regionali AWS WAF classici devono avere almeno una regola
-
[WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione
-
[WAF.7] I gruppi di regole globali AWS WAF classici devono avere almeno una regola
-
[WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole
-
[WAF.11] la ACL registrazione AWS WAF web deve essere abilitata
Cina (Ningxia)
I seguenti controlli non sono supportati in Cina (Ningxia).
-
[Account.2] Account AWS deve far parte di un'organizzazione AWS Organizations
-
[APIGateway.3] Le REST API fasi del API gateway devono avere AWS X-Ray la traccia abilitata
-
[APIGateway.4] Il API gateway deve essere associato a un sito Web WAF ACL
-
[AppSync.4] AWS AppSync APIs GraphQL dovrebbe essere taggato
-
[Athena.2] I cataloghi di dati Athena devono essere etichettati
-
[Athena.3] I gruppi di lavoro Athena devono essere etichettati
-
[AutoScaling.10] I gruppi EC2 Auto Scaling devono essere etichettati
-
[Backup.1] i punti di AWS Backup ripristino devono essere crittografati a riposo
-
[Backup.2] i punti di AWS Backup ripristino devono essere etichettati
-
[Backup.4] i piani di AWS Backup report devono essere etichettati
-
[Backup.5] i piani di AWS Backup backup devono essere etichettati
-
[CloudFormation.2] gli CloudFormation stack devono essere etichettati
-
[CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato
-
[CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito
-
[CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine
-
[CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata
-
[CloudFront.6] le distribuzioni avrebbero dovuto essere abilitate CloudFront WAF
-
[CloudFront.7] CloudFront le distribuzioni devono utilizzare certificati/personalizzati SSL TLS
-
[CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti
-
[CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine
-
[CloudFront.14] CloudFront le distribuzioni devono essere etichettate
-
[CloudTrail.9] i percorsi devono essere etichettati CloudTrail
-
[CloudWatch.15] gli CloudWatch allarmi devono avere azioni specificate configurate
-
[CodeArtifact.1] i CodeArtifact repository devono essere etichettati
-
[Detective.1] I grafici del comportamento dei Detective devono essere etichettati
-
[DMS.3] le sottoscrizioni agli DMS eventi devono essere contrassegnate
-
[DMS.5] i sottoreti di DMS replica devono essere etichettati
-
[DMS.10] gli DMS endpoint per i database Neptune devono avere l'autorizzazione abilitata IAM
-
[DMS.11] gli DMS endpoint per MongoDB devono avere un meccanismo di autenticazione abilitato
-
[DMS.12] DMS gli endpoint per Redis avrebbero dovuto essere abilitati TLS
-
[DocumentDB.3] Le istantanee manuali dei cluster di Amazon DocumentDB non devono essere pubbliche
-
[DynamoDB.3] I cluster DynamoDB Accelerator () devono essere crittografati quando sono inattivi DAX
-
[DynamoDB.4] Le tabelle DynamoDB devono essere presenti in un piano di backup
-
[DynamoDB.7] I cluster DynamoDB Accelerator devono essere crittografati in transito
-
[EC2.15] Le EC2 sottoreti Amazon non devono assegnare automaticamente indirizzi IP pubblici
-
[EC2.16] Gli elenchi di controllo degli accessi alla rete non utilizzati devono essere rimossi
-
[EC2.20] Entrambi i VPN tunnel per una connessione da sito a AWS sito dovrebbero essere attivi VPN
-
[EC2.22] I gruppi di EC2 sicurezza Amazon non utilizzati devono essere rimossi
-
[EC2.24] I tipi di istanze EC2 paravirtuali di Amazon non devono essere utilizzati
-
[EC2.28] EBS i volumi devono essere coperti da un piano di backup
-
[EC2.33] Gli allegati di EC2 Transit Gateway devono essere etichettati
-
[EC2.34] Le tabelle delle rotte dei gateway di EC2 transito devono essere etichettate
-
[EC2.35] le interfacce EC2 di rete devono essere etichettate
-
[EC2.36] I gateway per i EC2 clienti devono essere etichettati
-
[EC2.37] Gli indirizzi IP EC2 elastici devono essere etichettati
-
[EC2.42] le tabelle delle EC2 rotte devono essere etichettate
-
[EC2.43] i gruppi EC2 di sicurezza devono essere etichettati
-
[EC2.47] I servizi VPC endpoint di Amazon devono essere etichettati
-
[EC2.48] I log di VPC flusso di Amazon devono essere etichettati
-
[EC2.49] Le connessioni VPC peering di Amazon devono essere etichettate
-
[EC2.52] i gateway di EC2 transito devono essere etichettati
-
[ECR.1] I repository ECR privati dovrebbero avere la scansione delle immagini configurata
-
[ECS.15] le definizioni delle ECS attività devono essere etichettate
-
[EFS.3] i punti di EFS accesso devono applicare una directory principale
-
[EFS.4] i punti di EFS accesso devono imporre l'identità di un utente
-
[EFS.6] gli obiettivi di EFS montaggio non devono essere associati a una sottorete pubblica
-
[EKS.3] i EKS cluster devono utilizzare segreti Kubernetes criptati
-
[EKS.7] le configurazioni dei provider di EKS identità devono essere contrassegnate
-
[ELB.16] Gli Application Load Balancer devono essere associati a un sito Web AWS WAF ACL
-
[ElastiCache.1] I cluster ElastiCache Redis dovrebbero avere il backup automatico abilitato
-
[ElasticBeanstalk.3] Elastic Beanstalk dovrebbe trasmettere i log a CloudWatch
-
[EMR.2] L'impostazione di EMR blocco dell'accesso pubblico di Amazon deve essere abilitata
-
[ES.1] I domini Elasticsearch devono avere la crittografia a riposo abilitata
-
[ES.3] I domini Elasticsearch devono crittografare i dati inviati tra i nodi
-
[EventBridge.2] i bus EventBridge degli eventi devono essere etichettati
-
[EventBridge.4] gli endpoint EventBridge globali dovrebbero avere la replica degli eventi abilitata
-
[FSx.1] FSx per i ZFS file system Open deve essere configurato per copiare i tag su backup e volumi
-
[FSx.2] FSx per i file system Lustre deve essere configurato per copiare i tag nei backup
-
[GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati
-
[GuardDuty.4] i GuardDuty rilevatori devono essere etichettati
-
[GuardDuty.5] Il monitoraggio GuardDuty EKS dei log di controllo deve essere abilitato
-
[GuardDuty.6] La protezione GuardDuty Lambda deve essere abilitata
-
[GuardDuty.8] La protezione GuardDuty da malware per deve essere abilitata EC2
-
[GuardDuty.9] GuardDuty RDS La protezione deve essere abilitata
-
[GuardDuty.10] La protezione GuardDuty S3 deve essere abilitata
-
[IAM.6] L'hardware MFA deve essere abilitato per l'utente root
-
[IAM.23] Gli analizzatori IAM Access Analyzer devono essere etichettati
-
[IAM.26] ScadutiSSL/TLSi certificati gestiti in devono essere rimossi IAM
-
[IAM.27] IAM alle identità non dovrebbe essere allegata la policy AWSCloudShellFullAccess
-
[IAM.28] IAM L'analizzatore di accesso esterno Access Analyzer deve essere abilitato
-
[Inspector.1] La scansione di Amazon Inspector deve essere abilitata EC2
-
[Inspector.2] La scansione di Amazon Inspector deve essere abilitata ECR
-
[Inspector.3] La scansione del codice Amazon Inspector Lambda deve essere abilitata
-
[Inspector.4] La scansione standard di Amazon Inspector Lambda deve essere abilitata
-
[IoT.1] i profili di AWS IoT Core sicurezza devono essere etichettati
-
[IoT.2] le azioni di AWS IoT Core mitigazione devono essere etichettate
-
[IoT.3] le AWS IoT Core dimensioni devono essere etichettate
-
gli AWS IoT Core autorizzatori [IoT.4] devono essere etichettati
-
[IoT.5] gli alias dei AWS IoT Core ruoli devono essere etichettati
-
[Lambda.1] Le politiche delle funzioni Lambda dovrebbero vietare l'accesso pubblico
-
[Lambda.2] Le funzioni Lambda devono utilizzare runtime supportati
-
[Lambda.5] Le funzioni VPC Lambda devono funzionare in più zone di disponibilità
-
[Macie.2] Il rilevamento automatico dei dati sensibili di Macie deve essere abilitato
-
[MQ.2] I broker ActiveMQ devono trasmettere i log di controllo a CloudWatch
-
[Neptune.3] Le istantanee del cluster Neptune DB non devono essere pubbliche
-
[NetworkFirewall.2] La registrazione del Network Firewall deve essere abilitata
-
[NetworkFirewall.3] Le policy di Network Firewall devono avere almeno un gruppo di regole associato
-
[NetworkFirewall.6] Il gruppo di regole Stateless Network Firewall non deve essere vuoto
-
[NetworkFirewall.7] I firewall Network Firewall devono essere etichettati
-
[NetworkFirewall.8] Le politiche firewall di Network Firewall devono essere etichettate
-
[NetworkFirewall.9] I firewall Network Firewall devono avere la protezione da eliminazione abilitata
-
I OpenSearch domini [Opensearch.1] devono avere la crittografia a riposo abilitata
-
I OpenSearch domini [Opensearch.2] non devono essere accessibili al pubblico
-
I OpenSearch domini [Opensearch.3] devono crittografare i dati inviati tra i nodi
-
I OpenSearch domini [Opensearch.5] devono avere la registrazione di controllo abilitata
-
I OpenSearch domini [Opensearch.6] devono avere almeno tre nodi di dati
-
I OpenSearch domini [Opensearch.7] devono avere un controllo degli accessi granulare abilitato
-
I OpenSearch domini [Opensearch.9] devono essere etichettati
-
I OpenSearch domini [Opensearch.11] devono avere almeno tre nodi primari dedicati
-
[PCA.1] l'autorità di certificazione AWS Private CA principale deve essere disabilitata
-
[RDS.7] RDS i cluster dovrebbero avere la protezione da eliminazione abilitata
-
[RDS.9] Le istanze RDS DB devono pubblicare i log in Logs CloudWatch
-
[RDS.10] IAM l'autenticazione deve essere configurata per le istanze RDS
-
[RDS.12] IAM l'autenticazione deve essere configurata per i cluster RDS
-
[RDS.13] gli aggiornamenti RDS automatici delle versioni secondarie devono essere abilitati
-
[RDS.14] I cluster Amazon Aurora dovrebbero avere il backtracking abilitato
-
[RDS.15] I cluster RDS DB devono essere configurati per più zone di disponibilità
-
[RDS.24] I cluster di RDS database devono utilizzare un nome utente di amministratore personalizzato
-
[RDS.26] Le istanze RDS DB devono essere protette da un piano di backup
-
[RDS.29] Le istantanee dei cluster RDS DB devono essere etichettate
-
[RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati
-
[RDS.33] I gruppi di RDS sottoreti DB devono essere etichettati
-
[RDS.34] Aurora I SQL miei cluster DB dovrebbero pubblicare i log di controllo in Logs CloudWatch
-
[Redshift.3] I cluster Amazon Redshift devono avere le istantanee automatiche abilitate
-
[Redshift.7] I cluster Redshift dovrebbero utilizzare un routing avanzato VPC
-
[Redshift.10] I cluster Redshift devono essere crittografati a riposo
-
[Redshift.12] Le sottoscrizioni alle notifiche degli eventi Redshift devono essere contrassegnate
-
[Redshift.13] Le istantanee del cluster Redshift devono essere etichettate
-
[Redshift.14] I gruppi di sottoreti del cluster Redshift devono essere etichettati
-
[Route53.1] I controlli sanitari della Route 53 devono essere etichettati
-
[Route53.2] Le zone ospitate pubblicamente su Route 53 devono registrare le interrogazioni DNS
-
[S3.1] I bucket generici S3 devono avere le impostazioni di blocco dell'accesso pubblico abilitate
-
[S3.8] I bucket generici S3 dovrebbero bloccare l'accesso pubblico
-
[S3.14] I bucket generici S3 devono avere il controllo delle versioni abilitato
-
[SageMaker.1] Le istanze di SageMaker notebook Amazon non devono avere accesso diretto a Internet
-
[SES.1] gli elenchi di SES contatti devono essere etichettati
-
[SES.2] i set di SES configurazione devono essere etichettati
-
[SecretsManager.3] Rimuovi i segreti inutilizzati di Secrets Manager
-
[SecretsManager.5] I segreti di Secrets Manager devono essere etichettati
-
[StepFunctions.2] Le attività di Step Functions devono essere etichettate
-
I AWS Transfer Family flussi di lavoro [Transfer.1] devono essere etichettati
-
[WAF.1] La ACL registrazione Web globale AWS WAF classica deve essere abilitata
-
[WAF.3] I gruppi di regole regionali AWS WAF classici devono avere almeno una regola
-
[WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione
-
[WAF.7] I gruppi di regole globali AWS WAF classici devono avere almeno una regola
-
[WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole
-
[WAF.11] la ACL registrazione AWS WAF web deve essere abilitata
Europa (Francoforte)
I seguenti controlli non sono supportati in Europa (Francoforte).
-
[CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato
-
[CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito
-
[CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine
-
[CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata
-
[CloudFront.6] le distribuzioni avrebbero dovuto essere abilitate CloudFront WAF
-
[CloudFront.7] CloudFront le distribuzioni devono utilizzare certificati/personalizzati SSL TLS
-
[CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti
-
[CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine
-
[CloudFront.14] CloudFront le distribuzioni devono essere etichettate
-
[GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati
-
[IAM.26] ScadutiSSL/TLSi certificati gestiti in devono essere rimossi IAM
-
[RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati
-
[Route53.1] I controlli sanitari della Route 53 devono essere etichettati
-
[Route53.2] Le zone ospitate pubblicamente su Route 53 devono registrare le interrogazioni DNS
-
[WAF.1] La ACL registrazione Web globale AWS WAF classica deve essere abilitata
-
[WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione
-
[WAF.7] I gruppi di regole globali AWS WAF classici devono avere almeno una regola
-
[WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole
Europa (Irlanda)
I seguenti controlli non sono supportati in Europa (Irlanda).
-
[CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato
-
[CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito
-
[CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine
-
[CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata
-
[CloudFront.6] le distribuzioni avrebbero dovuto essere abilitate CloudFront WAF
-
[CloudFront.7] CloudFront le distribuzioni devono utilizzare certificati/personalizzati SSL TLS
-
[CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti
-
[CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine
-
[CloudFront.14] CloudFront le distribuzioni devono essere etichettate
-
[GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati
-
[IAM.26] ScadutiSSL/TLSi certificati gestiti in devono essere rimossi IAM
-
[Route53.1] I controlli sanitari della Route 53 devono essere etichettati
-
[Route53.2] Le zone ospitate pubblicamente su Route 53 devono registrare le interrogazioni DNS
-
[WAF.1] La ACL registrazione Web globale AWS WAF classica deve essere abilitata
-
[WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione
-
[WAF.7] I gruppi di regole globali AWS WAF classici devono avere almeno una regola
-
[WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole
Europa (Londra)
I seguenti controlli non sono supportati in Europa (Londra).
-
[CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato
-
[CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito
-
[CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine
-
[CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata
-
[CloudFront.6] le distribuzioni avrebbero dovuto essere abilitate CloudFront WAF
-
[CloudFront.7] CloudFront le distribuzioni devono utilizzare certificati/personalizzati SSL TLS
-
[CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti
-
[CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine
-
[CloudFront.14] CloudFront le distribuzioni devono essere etichettate
-
[EC2.24] I tipi di istanze EC2 paravirtuali di Amazon non devono essere utilizzati
-
[GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati
-
[IAM.26] ScadutiSSL/TLSi certificati gestiti in devono essere rimossi IAM
-
[RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati
-
[Route53.1] I controlli sanitari della Route 53 devono essere etichettati
-
[Route53.2] Le zone ospitate pubblicamente su Route 53 devono registrare le interrogazioni DNS
-
[WAF.1] La ACL registrazione Web globale AWS WAF classica deve essere abilitata
-
[WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione
-
[WAF.7] I gruppi di regole globali AWS WAF classici devono avere almeno una regola
-
[WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole
Europa (Milano)
I seguenti controlli non sono supportati in Europa (Milano).
-
[CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato
-
[CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito
-
[CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine
-
[CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata
-
[CloudFront.6] le distribuzioni avrebbero dovuto essere abilitate CloudFront WAF
-
[CloudFront.7] CloudFront le distribuzioni devono utilizzare certificati/personalizzati SSL TLS
-
[CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti
-
[CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine
-
[CloudFront.14] CloudFront le distribuzioni devono essere etichettate
-
[DMS.1] Le istanze di replica del Database Migration Service non devono essere pubbliche
-
[DMS.10] gli DMS endpoint per i database Neptune devono avere l'autorizzazione abilitata IAM
-
[DynamoDB.3] I cluster DynamoDB Accelerator () devono essere crittografati quando sono inattivi DAX
-
[DynamoDB.7] I cluster DynamoDB Accelerator devono essere crittografati in transito
-
[EC2.3] I EBS volumi Amazon collegati devono essere crittografati quando sono inattivi
-
[EC2.4] EC2 Le istanze interrotte devono essere rimosse dopo un periodo di tempo specificato
-
[EC2.8] EC2 le istanze devono utilizzare Instance Metadata Service versione 2 () IMDSv2
-
[EC2.13] I gruppi di sicurezza non devono consentire l'ingresso da 0.0.0.0/0 o: :/0 alla porta 22
-
[EC2.14] I gruppi di sicurezza non devono consentire l'accesso da 0.0.0.0/0 o: :/0 alla porta 3389
-
[EC2.24] I tipi di istanze EC2 paravirtuali di Amazon non devono essere utilizzati
-
[EFS.2] EFS I volumi Amazon devono essere inclusi nei piani di backup
-
[ELB.4] L'Application Load Balancer deve essere configurato per eliminare le intestazioni http
-
[ELB.16] Gli Application Load Balancer devono essere associati a un sito Web AWS WAF ACL
-
[EMR.1] I nodi primari EMR del cluster Amazon non devono avere indirizzi IP pubblici
-
[ES.3] I domini Elasticsearch devono crittografare i dati inviati tra i nodi
-
[EventBridge.4] gli endpoint EventBridge globali dovrebbero avere la replica degli eventi abilitata
-
[FSx.1] FSx per i ZFS file system Open deve essere configurato per copiare i tag su backup e volumi
-
[GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati
-
[IAM.26] ScadutiSSL/TLSi certificati gestiti in devono essere rimossi IAM
-
[Inspector.3] La scansione del codice Amazon Inspector Lambda deve essere abilitata
-
[IoT.1] i profili di AWS IoT Core sicurezza devono essere etichettati
-
[IoT.2] le azioni di AWS IoT Core mitigazione devono essere etichettate
-
[IoT.3] le AWS IoT Core dimensioni devono essere etichettate
-
gli AWS IoT Core autorizzatori [IoT.4] devono essere etichettati
-
[IoT.5] gli alias dei AWS IoT Core ruoli devono essere etichettati
-
[KMS.3] non AWS KMS keys deve essere eliminato involontariamente
-
[Neptune.1] I cluster Neptune DB devono essere crittografati a riposo
-
[Neptune.2] I cluster Neptune DB devono pubblicare i log di controllo su Logs CloudWatch
-
[Neptune.3] Le istantanee del cluster Neptune DB non devono essere pubbliche
-
[Neptune.4] I cluster Neptune DB devono avere la protezione da eliminazione abilitata
-
[Neptune.5] I cluster Neptune DB devono avere i backup automatici abilitati
-
[Neptune.6] Le istantanee del cluster Neptune DB devono essere crittografate quando sono inattive
-
[Neptune.7] I cluster Neptune DB devono avere l'autenticazione del database abilitata IAM
-
[Neptune.8] I cluster Neptune DB devono essere configurati per copiare i tag nelle istantanee
-
[Neptune.9] I cluster Neptune DB devono essere distribuiti su più zone di disponibilità
-
I OpenSearch domini [Opensearch.1] devono avere la crittografia a riposo abilitata
-
I OpenSearch domini [Opensearch.2] non devono essere accessibili al pubblico
-
I OpenSearch domini [Opensearch.3] devono crittografare i dati inviati tra i nodi
-
I OpenSearch domini [Opensearch.5] devono avere la registrazione di controllo abilitata
-
I OpenSearch domini [Opensearch.6] devono avere almeno tre nodi di dati
-
I OpenSearch domini [Opensearch.7] devono avere un controllo degli accessi granulare abilitato
-
[RDS.9] Le istanze RDS DB devono pubblicare i log in Logs CloudWatch
-
[RDS.14] I cluster Amazon Aurora dovrebbero avere il backtracking abilitato
-
[RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati
-
[Redshift.2] Le connessioni ai cluster Amazon Redshift devono essere crittografate in transito
-
[Redshift.3] I cluster Amazon Redshift devono avere le istantanee automatiche abilitate
-
[Route53.1] I controlli sanitari della Route 53 devono essere etichettati
-
[Route53.2] Le zone ospitate pubblicamente su Route 53 devono registrare le interrogazioni DNS
-
[SageMaker.1] Le istanze di SageMaker notebook Amazon non devono avere accesso diretto a Internet
-
[WAF.1] La ACL registrazione Web globale AWS WAF classica deve essere abilitata
-
[WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione
-
[WAF.7] I gruppi di regole globali AWS WAF classici devono avere almeno una regola
-
[WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole
-
[WAF.11] la ACL registrazione AWS WAF web deve essere abilitata
Europa (Parigi)
I seguenti controlli non sono supportati in Europa (Parigi).
-
[CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato
-
[CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito
-
[CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine
-
[CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata
-
[CloudFront.6] le distribuzioni avrebbero dovuto essere abilitate CloudFront WAF
-
[CloudFront.7] CloudFront le distribuzioni devono utilizzare certificati/personalizzati SSL TLS
-
[CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti
-
[CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine
-
[CloudFront.14] CloudFront le distribuzioni devono essere etichettate
-
[EC2.24] I tipi di istanze EC2 paravirtuali di Amazon non devono essere utilizzati
-
[FSx.1] FSx per i ZFS file system Open deve essere configurato per copiare i tag su backup e volumi
-
[GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati
-
[IAM.26] ScadutiSSL/TLSi certificati gestiti in devono essere rimossi IAM
-
[Inspector.3] La scansione del codice Amazon Inspector Lambda deve essere abilitata
-
[RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati
-
[Route53.1] I controlli sanitari della Route 53 devono essere etichettati
-
[Route53.2] Le zone ospitate pubblicamente su Route 53 devono registrare le interrogazioni DNS
-
[WAF.1] La ACL registrazione Web globale AWS WAF classica deve essere abilitata
-
[WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione
-
[WAF.7] I gruppi di regole globali AWS WAF classici devono avere almeno una regola
-
[WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole
Europa (Spagna)
I seguenti controlli non sono supportati in Europa (Spagna).
-
[Account.2] Account AWS deve far parte di un'organizzazione AWS Organizations
-
[APIGateway.3] Le REST API fasi del API gateway devono avere AWS X-Ray la traccia abilitata
-
[APIGateway.4] Il API gateway deve essere associato a un sito Web WAF ACL
-
[APIGateway.8] Le route API gateway devono specificare un tipo di autorizzazione
-
[APIGateway.9] La registrazione degli accessi deve essere configurata per API Gateway V2 Stages
-
[AppSync.2] AWS AppSync dovrebbe avere la registrazione a livello di campo abilitata
-
[AppSync.5] AWS AppSync APIs GraphQL non deve essere autenticato con chiavi API
-
[Athena.2] I cataloghi di dati Athena devono essere etichettati
-
[Athena.3] I gruppi di lavoro Athena devono essere etichettati
-
[Backup.1] i punti di AWS Backup ripristino devono essere crittografati a riposo
-
[Backup.2] i punti di AWS Backup ripristino devono essere etichettati
-
[Backup.4] i piani di AWS Backup report devono essere etichettati
-
[Backup.5] i piani di AWS Backup backup devono essere etichettati
-
[CloudFormation.2] gli CloudFormation stack devono essere etichettati
-
[CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato
-
[CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito
-
[CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine
-
[CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata
-
[CloudFront.6] le distribuzioni avrebbero dovuto essere abilitate CloudFront WAF
-
[CloudFront.7] CloudFront le distribuzioni devono utilizzare certificati/personalizzati SSL TLS
-
[CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti
-
[CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine
-
[CloudFront.14] CloudFront le distribuzioni devono essere etichettate
-
[CodeArtifact.1] i CodeArtifact repository devono essere etichettati
-
[CodeBuild.3] I log CodeBuild S3 devono essere crittografati
-
[CodeBuild.4] Gli ambienti di CodeBuild progetto devono avere una durata di registrazione AWS Config
-
[Detective.1] I grafici del comportamento dei Detective devono essere etichettati
-
[DMS.1] Le istanze di replica del Database Migration Service non devono essere pubbliche
-
[DMS.3] le sottoscrizioni agli DMS eventi devono essere contrassegnate
-
[DMS.5] i sottoreti di DMS replica devono essere etichettati
-
[DMS.10] gli DMS endpoint per i database Neptune devono avere l'autorizzazione abilitata IAM
-
[DMS.11] gli DMS endpoint per MongoDB devono avere un meccanismo di autenticazione abilitato
-
[DMS.12] DMS gli endpoint per Redis avrebbero dovuto essere abilitati TLS
-
[DocumentDB.1] I cluster Amazon DocumentDB devono essere crittografati quando sono inattivi
-
[DocumentDB.3] Le istantanee manuali dei cluster di Amazon DocumentDB non devono essere pubbliche
-
[DocumentDB.4] I cluster Amazon DocumentDB devono pubblicare i log di controllo su Logs CloudWatch
-
[DocumentDB.5] I cluster Amazon DocumentDB devono avere la protezione da eliminazione abilitata
-
[DynamoDB.1] Le tabelle DynamoDB dovrebbero scalare automaticamente la capacità in base alla domanda
-
[DynamoDB.2] Le tabelle DynamoDB dovrebbero avere il ripristino abilitato point-in-time
-
[DynamoDB.3] I cluster DynamoDB Accelerator () devono essere crittografati quando sono inattivi DAX
-
[DynamoDB.4] Le tabelle DynamoDB devono essere presenti in un piano di backup
-
[DynamoDB.7] I cluster DynamoDB Accelerator devono essere crittografati in transito
-
[EC2.1] Le EBS istantanee di Amazon non devono essere ripristinabili pubblicamente
-
[EC2.3] I EBS volumi Amazon collegati devono essere crittografati quando sono inattivi
-
[EC2.4] EC2 Le istanze interrotte devono essere rimosse dopo un periodo di tempo specificato
-
[EC2.6] la registrazione VPC del flusso deve essere abilitata in tutto VPCs
-
[EC2.7] la crittografia EBS predefinita deve essere abilitata
-
[EC2.8] EC2 le istanze devono utilizzare Instance Metadata Service versione 2 () IMDSv2
-
[EC2.9] EC2 Le istanze Amazon non devono avere un indirizzo pubblico IPv4
-
[EC2.13] I gruppi di sicurezza non devono consentire l'ingresso da 0.0.0.0/0 o: :/0 alla porta 22
-
[EC2.14] I gruppi di sicurezza non devono consentire l'accesso da 0.0.0.0/0 o: :/0 alla porta 3389
-
[EC2.15] Le EC2 sottoreti Amazon non devono assegnare automaticamente indirizzi IP pubblici
-
[EC2.16] Gli elenchi di controllo degli accessi alla rete non utilizzati devono essere rimossi
-
[EC2.17] EC2 Le istanze Amazon non devono utilizzare più istanze ENIs
-
[EC2.20] Entrambi i VPN tunnel per una connessione da sito a AWS sito dovrebbero essere attivi VPN
-
[EC2.22] I gruppi di EC2 sicurezza Amazon non utilizzati devono essere rimossi
-
[EC2.24] I tipi di istanze EC2 paravirtuali di Amazon non devono essere utilizzati
-
[EC2.25] I modelli di EC2 lancio di Amazon non devono assegnare interfacce IPs di rete pubbliche
-
[EC2.28] EBS i volumi devono essere coperti da un piano di backup
-
[EC2.34] Le tabelle delle rotte dei gateway di EC2 transito devono essere etichettate
-
[EC2.48] I log di VPC flusso di Amazon devono essere etichettati
-
[ECR.1] I repository ECR privati dovrebbero avere la scansione delle immagini configurata
-
[ECR.2] I repository ECR privati devono avere configurata l'immutabilità dei tag
-
[ECR.3] I ECR repository devono avere almeno una politica del ciclo di vita configurata
-
[ECS.9] le definizioni delle ECS attività devono avere una configurazione di registrazione
-
[EFS.2] EFS I volumi Amazon devono essere inclusi nei piani di backup
-
[EFS.3] i punti di EFS accesso devono applicare una directory principale
-
[EFS.4] i punti di EFS accesso devono imporre l'identità di un utente
-
[EKS.2] EKS i cluster devono essere eseguiti su una versione di Kubernetes supportata
-
[ELB.3] I listener Classic Load Balancer devono essere configurati con o terminazione HTTPS TLS
-
[ELB.4] L'Application Load Balancer deve essere configurato per eliminare le intestazioni http
-
[ELB.5] La registrazione di Application e Classic Load Balancers deve essere abilitata
-
[ELB.9] I Classic Load Balancer devono avere il bilanciamento del carico tra zone abilitato
-
[ELB.16] Gli Application Load Balancer devono essere associati a un sito Web AWS WAF ACL
-
[ElastiCache.1] I cluster ElastiCache Redis dovrebbero avere il backup automatico abilitato
-
[ElastiCache.7] i ElastiCache cluster non devono utilizzare il gruppo di sottoreti predefinito
-
[ElasticBeanstalk.3] Elastic Beanstalk dovrebbe trasmettere i log a CloudWatch
-
[EMR.1] I nodi primari EMR del cluster Amazon non devono avere indirizzi IP pubblici
-
[ES.1] I domini Elasticsearch devono avere la crittografia a riposo abilitata
-
[ES.2] I domini Elasticsearch non devono essere accessibili al pubblico
-
[ES.3] I domini Elasticsearch devono crittografare i dati inviati tra i nodi
-
[EventBridge.2] i bus EventBridge degli eventi devono essere etichettati
-
[EventBridge.4] gli endpoint EventBridge globali dovrebbero avere la replica degli eventi abilitata
-
[FSx.1] FSx per i ZFS file system Open deve essere configurato per copiare i tag su backup e volumi
-
[GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati
-
[GuardDuty.4] i GuardDuty rilevatori devono essere etichettati
-
[GuardDuty.9] GuardDuty RDS La protezione deve essere abilitata
-
[IAM.1] IAM le politiche non dovrebbero consentire i privilegi amministrativi completi di tipo «*»
-
[IAM.2] IAM gli utenti non dovrebbero avere politiche allegate IAM
-
[IAM.3] le chiavi di accesso IAM degli utenti devono essere ruotate ogni 90 giorni o meno
-
[IAM.4] la chiave di accesso per l'utente IAM root non dovrebbe esistere
-
[IAM.5] MFA deve essere abilitato per tutti IAM gli utenti che dispongono di una password di console
-
[IAM.8] Le credenziali IAM utente non utilizzate devono essere rimosse
-
[IAM.22] le credenziali IAM utente non utilizzate per 45 giorni devono essere rimosse
-
[IAM.26] ScadutiSSL/TLSi certificati gestiti in devono essere rimossi IAM
-
[IAM.27] IAM alle identità non dovrebbe essere allegata la policy AWSCloudShellFullAccess
-
[Inspector.1] La scansione di Amazon Inspector deve essere abilitata EC2
-
[Inspector.2] La scansione di Amazon Inspector deve essere abilitata ECR
-
[Inspector.3] La scansione del codice Amazon Inspector Lambda deve essere abilitata
-
[Inspector.4] La scansione standard di Amazon Inspector Lambda deve essere abilitata
-
[IoT.1] i profili di AWS IoT Core sicurezza devono essere etichettati
-
[IoT.2] le azioni di AWS IoT Core mitigazione devono essere etichettate
-
[IoT.3] le AWS IoT Core dimensioni devono essere etichettate
-
gli AWS IoT Core autorizzatori [IoT.4] devono essere etichettati
-
[IoT.5] gli alias dei AWS IoT Core ruoli devono essere etichettati
-
[Kinesis.1] Gli stream Kinesis devono essere crittografati quando sono inattivi
-
[KMS.4] la rotazione dei AWS KMS tasti dovrebbe essere abilitata
-
[Lambda.1] Le politiche delle funzioni Lambda dovrebbero vietare l'accesso pubblico
-
[Lambda.2] Le funzioni Lambda devono utilizzare runtime supportati
-
[Lambda.5] Le funzioni VPC Lambda devono funzionare in più zone di disponibilità
-
[Macie.2] Il rilevamento automatico dei dati sensibili di Macie deve essere abilitato
-
[MQ.2] I broker ActiveMQ devono trasmettere i log di controllo a CloudWatch
-
[MQ.5] I broker ActiveMQ devono utilizzare la modalità di distribuzione attiva/standby
-
[MQ.6] I broker RabbitMQ dovrebbero utilizzare la modalità di distribuzione del cluster
-
[MSK.1] MSK i cluster devono essere crittografati durante il transito tra i nodi broker
-
[MSK.2] i MSK cluster dovrebbero avere configurato un monitoraggio avanzato
-
[Neptune.1] I cluster Neptune DB devono essere crittografati a riposo
-
[Neptune.2] I cluster Neptune DB devono pubblicare i log di controllo su Logs CloudWatch
-
[Neptune.3] Le istantanee del cluster Neptune DB non devono essere pubbliche
-
[Neptune.4] I cluster Neptune DB devono avere la protezione da eliminazione abilitata
-
[Neptune.5] I cluster Neptune DB devono avere i backup automatici abilitati
-
[Neptune.6] Le istantanee del cluster Neptune DB devono essere crittografate quando sono inattive
-
[Neptune.7] I cluster Neptune DB devono avere l'autenticazione del database abilitata IAM
-
[Neptune.8] I cluster Neptune DB devono essere configurati per copiare i tag nelle istantanee
-
[Neptune.9] I cluster Neptune DB devono essere distribuiti su più zone di disponibilità
-
[NetworkFirewall.2] La registrazione del Network Firewall deve essere abilitata
-
[NetworkFirewall.3] Le policy di Network Firewall devono avere almeno un gruppo di regole associato
-
[NetworkFirewall.6] Il gruppo di regole Stateless Network Firewall non deve essere vuoto
-
[NetworkFirewall.9] I firewall Network Firewall devono avere la protezione da eliminazione abilitata
-
I OpenSearch domini [Opensearch.1] devono avere la crittografia a riposo abilitata
-
I OpenSearch domini [Opensearch.2] non devono essere accessibili al pubblico
-
I OpenSearch domini [Opensearch.3] devono crittografare i dati inviati tra i nodi
-
I OpenSearch domini [Opensearch.5] devono avere la registrazione di controllo abilitata
-
I OpenSearch domini [Opensearch.6] devono avere almeno tre nodi di dati
-
I OpenSearch domini [Opensearch.7] devono avere un controllo degli accessi granulare abilitato
-
I OpenSearch domini [Opensearch.9] devono essere etichettati
-
Nei OpenSearch domini [Opensearch.10] deve essere installato l'ultimo aggiornamento software
-
I OpenSearch domini [Opensearch.11] devono avere almeno tre nodi primari dedicati
-
[RDS.3] Le istanze RDS DB devono avere la crittografia a riposo abilitata
-
[RDS.5] Le istanze RDS DB devono essere configurate con più zone di disponibilità
-
[RDS.6] Il monitoraggio avanzato deve essere configurato per le istanze DB RDS
-
[RDS.7] RDS i cluster dovrebbero avere la protezione da eliminazione abilitata
-
[RDS.8] Le istanze RDS DB devono avere la protezione da eliminazione abilitata
-
[RDS.9] Le istanze RDS DB devono pubblicare i log in Logs CloudWatch
-
[RDS.10] IAM l'autenticazione deve essere configurata per le istanze RDS
-
[RDS.11] RDS le istanze devono avere i backup automatici abilitati
-
[RDS.12] IAM l'autenticazione deve essere configurata per i cluster RDS
-
[RDS.13] gli aggiornamenti RDS automatici delle versioni secondarie devono essere abilitati
-
[RDS.14] I cluster Amazon Aurora dovrebbero avere il backtracking abilitato
-
[RDS.15] I cluster RDS DB devono essere configurati per più zone di disponibilità
-
[RDS.16] I cluster RDS DB devono essere configurati per copiare i tag nelle istantanee
-
[RDS.24] I cluster di RDS database devono utilizzare un nome utente di amministratore personalizzato
-
[RDS.26] Le istanze RDS DB devono essere protette da un piano di backup
-
[RDS.27] I cluster RDS DB devono essere crittografati quando sono inattivi
-
[RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati
-
[RDS.34] Aurora I SQL miei cluster DB dovrebbero pubblicare i log di controllo in Logs CloudWatch
-
[Redshift.1] I cluster Amazon Redshift dovrebbero vietare l'accesso pubblico
-
[Redshift.2] Le connessioni ai cluster Amazon Redshift devono essere crittografate in transito
-
[Redshift.3] I cluster Amazon Redshift devono avere le istantanee automatiche abilitate
-
[Redshift.7] I cluster Redshift dovrebbero utilizzare un routing avanzato VPC
-
[Redshift.10] I cluster Redshift devono essere crittografati a riposo
-
[Redshift.12] Le sottoscrizioni alle notifiche degli eventi Redshift devono essere contrassegnate
-
[Route53.1] I controlli sanitari della Route 53 devono essere etichettati
-
[Route53.2] Le zone ospitate pubblicamente su Route 53 devono registrare le interrogazioni DNS
-
[S3.1] I bucket generici S3 devono avere le impostazioni di blocco dell'accesso pubblico abilitate
-
[S3.5] I bucket generici S3 devono richiedere l'utilizzo di richieste SSL
-
[S3.8] I bucket generici S3 dovrebbero bloccare l'accesso pubblico
-
[S3.9] I bucket generici S3 devono avere la registrazione degli accessi al server abilitata
-
[S3.15] I bucket generici S3 devono avere Object Lock abilitato
-
[S3.17] I bucket generici S3 devono essere crittografati quando sono inattivi con AWS KMS keys
-
[SageMaker.1] Le istanze di SageMaker notebook Amazon non devono avere accesso diretto a Internet
-
[SageMaker.2] le istanze di SageMaker notebook devono essere avviate in modo personalizzato VPC
-
[SageMaker.3] Gli utenti non devono avere accesso root alle SageMaker istanze dei notebook
-
[SES.1] gli elenchi di SES contatti devono essere etichettati
-
[SES.2] i set di SES configurazione devono essere etichettati
-
[SNS.1] SNS gli argomenti devono essere crittografati quando sono inattivi utilizzando AWS KMS
-
[SQS.1] Le SQS code di Amazon devono essere crittografate quando sono inattive
-
[SSM.1] EC2 Le istanze Amazon devono essere gestite da AWS Systems Manager
-
[StepFunctions.1] Le macchine a stati Step Functions dovrebbero avere la registrazione attivata
-
I AWS Transfer Family flussi di lavoro [Transfer.1] devono essere etichettati
-
[WAF.1] La ACL registrazione Web globale AWS WAF classica deve essere abilitata
-
[WAF.2] Le regole regionali AWS WAF classiche devono avere almeno una condizione
-
[WAF.3] I gruppi di regole regionali AWS WAF classici devono avere almeno una regola
-
[WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione
-
[WAF.7] I gruppi di regole globali AWS WAF classici devono avere almeno una regola
-
[WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole
-
[WAF.10] AWS WAF web ACLs dovrebbe avere almeno una regola o un gruppo di regole
-
[WAF.11] la ACL registrazione AWS WAF web deve essere abilitata
Europa (Stoccolma)
I seguenti controlli non sono supportati in Europa (Stoccolma).
-
[CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato
-
[CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito
-
[CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine
-
[CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata
-
[CloudFront.6] le distribuzioni avrebbero dovuto essere abilitate CloudFront WAF
-
[CloudFront.7] CloudFront le distribuzioni devono utilizzare certificati/personalizzati SSL TLS
-
[CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti
-
[CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine
-
[CloudFront.14] CloudFront le distribuzioni devono essere etichettate
-
[DocumentDB.1] I cluster Amazon DocumentDB devono essere crittografati quando sono inattivi
-
[DocumentDB.3] Le istantanee manuali dei cluster di Amazon DocumentDB non devono essere pubbliche
-
[DocumentDB.4] I cluster Amazon DocumentDB devono pubblicare i log di controllo su Logs CloudWatch
-
[DocumentDB.5] I cluster Amazon DocumentDB devono avere la protezione da eliminazione abilitata
-
[DynamoDB.3] I cluster DynamoDB Accelerator () devono essere crittografati quando sono inattivi DAX
-
[DynamoDB.7] I cluster DynamoDB Accelerator devono essere crittografati in transito
-
[EC2.24] I tipi di istanze EC2 paravirtuali di Amazon non devono essere utilizzati
-
[GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati
-
[IAM.26] ScadutiSSL/TLSi certificati gestiti in devono essere rimossi IAM
-
[RDS.14] I cluster Amazon Aurora dovrebbero avere il backtracking abilitato
-
[RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati
-
[Route53.1] I controlli sanitari della Route 53 devono essere etichettati
-
[Route53.2] Le zone ospitate pubblicamente su Route 53 devono registrare le interrogazioni DNS
-
[WAF.1] La ACL registrazione Web globale AWS WAF classica deve essere abilitata
-
[WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione
-
[WAF.7] I gruppi di regole globali AWS WAF classici devono avere almeno una regola
-
[WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole
Europa (Zurigo)
I seguenti controlli non sono supportati in Europa (Zurigo).
-
[APIGateway.8] Le route API gateway devono specificare un tipo di autorizzazione
-
[APIGateway.9] La registrazione degli accessi deve essere configurata per API Gateway V2 Stages
-
[AppSync.2] AWS AppSync dovrebbe avere la registrazione a livello di campo abilitata
-
[AppSync.5] AWS AppSync APIs GraphQL non deve essere autenticato con chiavi API
-
[Athena.2] I cataloghi di dati Athena devono essere etichettati
-
[Athena.3] I gruppi di lavoro Athena devono essere etichettati
-
[Backup.1] i punti di AWS Backup ripristino devono essere crittografati a riposo
-
[Backup.2] i punti di AWS Backup ripristino devono essere etichettati
-
[Backup.4] i piani di AWS Backup report devono essere etichettati
-
[Backup.5] i piani di AWS Backup backup devono essere etichettati
-
[CloudFormation.2] gli CloudFormation stack devono essere etichettati
-
[CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato
-
[CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito
-
[CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine
-
[CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata
-
[CloudFront.6] le distribuzioni avrebbero dovuto essere abilitate CloudFront WAF
-
[CloudFront.7] CloudFront le distribuzioni devono utilizzare certificati/personalizzati SSL TLS
-
[CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti
-
[CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine
-
[CloudFront.14] CloudFront le distribuzioni devono essere etichettate
-
[CodeArtifact.1] i CodeArtifact repository devono essere etichettati
-
[CodeBuild.3] I log CodeBuild S3 devono essere crittografati
-
[CodeBuild.4] Gli ambienti di CodeBuild progetto devono avere una durata di registrazione AWS Config
-
[Detective.1] I grafici del comportamento dei Detective devono essere etichettati
-
[DMS.1] Le istanze di replica del Database Migration Service non devono essere pubbliche
-
[DMS.3] le sottoscrizioni agli DMS eventi devono essere contrassegnate
-
[DMS.5] i sottoreti di DMS replica devono essere etichettati
-
[DMS.10] gli DMS endpoint per i database Neptune devono avere l'autorizzazione abilitata IAM
-
[DMS.11] gli DMS endpoint per MongoDB devono avere un meccanismo di autenticazione abilitato
-
[DMS.12] DMS gli endpoint per Redis avrebbero dovuto essere abilitati TLS
-
[DocumentDB.1] I cluster Amazon DocumentDB devono essere crittografati quando sono inattivi
-
[DocumentDB.3] Le istantanee manuali dei cluster di Amazon DocumentDB non devono essere pubbliche
-
[DocumentDB.4] I cluster Amazon DocumentDB devono pubblicare i log di controllo su Logs CloudWatch
-
[DocumentDB.5] I cluster Amazon DocumentDB devono avere la protezione da eliminazione abilitata
-
[DynamoDB.1] Le tabelle DynamoDB dovrebbero scalare automaticamente la capacità in base alla domanda
-
[DynamoDB.2] Le tabelle DynamoDB dovrebbero avere il ripristino abilitato point-in-time
-
[DynamoDB.3] I cluster DynamoDB Accelerator () devono essere crittografati quando sono inattivi DAX
-
[DynamoDB.4] Le tabelle DynamoDB devono essere presenti in un piano di backup
-
[DynamoDB.7] I cluster DynamoDB Accelerator devono essere crittografati in transito
-
[EC2.3] I EBS volumi Amazon collegati devono essere crittografati quando sono inattivi
-
[EC2.4] EC2 Le istanze interrotte devono essere rimosse dopo un periodo di tempo specificato
-
[EC2.6] la registrazione VPC del flusso deve essere abilitata in tutto VPCs
-
[EC2.8] EC2 le istanze devono utilizzare Instance Metadata Service versione 2 () IMDSv2
-
[EC2.9] EC2 Le istanze Amazon non devono avere un indirizzo pubblico IPv4
-
[EC2.13] I gruppi di sicurezza non devono consentire l'ingresso da 0.0.0.0/0 o: :/0 alla porta 22
-
[EC2.14] I gruppi di sicurezza non devono consentire l'accesso da 0.0.0.0/0 o: :/0 alla porta 3389
-
[EC2.15] Le EC2 sottoreti Amazon non devono assegnare automaticamente indirizzi IP pubblici
-
[EC2.16] Gli elenchi di controllo degli accessi alla rete non utilizzati devono essere rimossi
-
[EC2.17] EC2 Le istanze Amazon non devono utilizzare più istanze ENIs
-
[EC2.20] Entrambi i VPN tunnel per una connessione da sito a AWS sito dovrebbero essere attivi VPN
-
[EC2.22] I gruppi di EC2 sicurezza Amazon non utilizzati devono essere rimossi
-
[EC2.24] I tipi di istanze EC2 paravirtuali di Amazon non devono essere utilizzati
-
[EC2.25] I modelli di EC2 lancio di Amazon non devono assegnare interfacce IPs di rete pubbliche
-
[EC2.28] EBS i volumi devono essere coperti da un piano di backup
-
[ECR.1] I repository ECR privati dovrebbero avere la scansione delle immagini configurata
-
[ECR.2] I repository ECR privati devono avere configurata l'immutabilità dei tag
-
[ECR.3] I ECR repository devono avere almeno una politica del ciclo di vita configurata
-
[ECS.9] le definizioni delle ECS attività devono avere una configurazione di registrazione
-
[EFS.2] EFS I volumi Amazon devono essere inclusi nei piani di backup
-
[EFS.3] i punti di EFS accesso devono applicare una directory principale
-
[EFS.4] i punti di EFS accesso devono imporre l'identità di un utente
-
[EKS.2] EKS i cluster devono essere eseguiti su una versione di Kubernetes supportata
-
[ELB.3] I listener Classic Load Balancer devono essere configurati con o terminazione HTTPS TLS
-
[ELB.4] L'Application Load Balancer deve essere configurato per eliminare le intestazioni http
-
[ELB.9] I Classic Load Balancer devono avere il bilanciamento del carico tra zone abilitato
-
[ELB.16] Gli Application Load Balancer devono essere associati a un sito Web AWS WAF ACL
-
[ElastiCache.1] I cluster ElastiCache Redis dovrebbero avere il backup automatico abilitato
-
[ElastiCache.7] i ElastiCache cluster non devono utilizzare il gruppo di sottoreti predefinito
-
[ElasticBeanstalk.3] Elastic Beanstalk dovrebbe trasmettere i log a CloudWatch
-
[EMR.1] I nodi primari EMR del cluster Amazon non devono avere indirizzi IP pubblici
-
[ES.1] I domini Elasticsearch devono avere la crittografia a riposo abilitata
-
[ES.2] I domini Elasticsearch non devono essere accessibili al pubblico
-
[ES.3] I domini Elasticsearch devono crittografare i dati inviati tra i nodi
-
[EventBridge.2] i bus EventBridge degli eventi devono essere etichettati
-
[EventBridge.4] gli endpoint EventBridge globali dovrebbero avere la replica degli eventi abilitata
-
[FSx.1] FSx per i ZFS file system Open deve essere configurato per copiare i tag su backup e volumi
-
[GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati
-
[GuardDuty.4] i GuardDuty rilevatori devono essere etichettati
-
[GuardDuty.9] GuardDuty RDS La protezione deve essere abilitata
-
[IAM.1] IAM le politiche non dovrebbero consentire i privilegi amministrativi completi di tipo «*»
-
[IAM.2] IAM gli utenti non dovrebbero avere politiche allegate IAM
-
[IAM.3] le chiavi di accesso IAM degli utenti devono essere ruotate ogni 90 giorni o meno
-
[IAM.4] la chiave di accesso per l'utente IAM root non dovrebbe esistere
-
[IAM.5] MFA deve essere abilitato per tutti IAM gli utenti che dispongono di una password di console
-
[IAM.8] Le credenziali IAM utente non utilizzate devono essere rimosse
-
[IAM.22] le credenziali IAM utente non utilizzate per 45 giorni devono essere rimosse
-
[IAM.26] ScadutiSSL/TLSi certificati gestiti in devono essere rimossi IAM
-
[IAM.27] IAM alle identità non dovrebbe essere allegata la policy AWSCloudShellFullAccess
-
[Inspector.3] La scansione del codice Amazon Inspector Lambda deve essere abilitata
-
[IoT.1] i profili di AWS IoT Core sicurezza devono essere etichettati
-
[IoT.2] le azioni di AWS IoT Core mitigazione devono essere etichettate
-
[IoT.3] le AWS IoT Core dimensioni devono essere etichettate
-
gli AWS IoT Core autorizzatori [IoT.4] devono essere etichettati
-
[IoT.5] gli alias dei AWS IoT Core ruoli devono essere etichettati
-
[Kinesis.1] Gli stream Kinesis devono essere crittografati quando sono inattivi
-
[Lambda.5] Le funzioni VPC Lambda devono funzionare in più zone di disponibilità
-
[Macie.2] Il rilevamento automatico dei dati sensibili di Macie deve essere abilitato
-
[MQ.2] I broker ActiveMQ devono trasmettere i log di controllo a CloudWatch
-
[MQ.5] I broker ActiveMQ devono utilizzare la modalità di distribuzione attiva/standby
-
[MQ.6] I broker RabbitMQ dovrebbero utilizzare la modalità di distribuzione del cluster
-
[MSK.1] MSK i cluster devono essere crittografati durante il transito tra i nodi broker
-
[MSK.2] i MSK cluster dovrebbero avere configurato un monitoraggio avanzato
-
[Neptune.1] I cluster Neptune DB devono essere crittografati a riposo
-
[Neptune.2] I cluster Neptune DB devono pubblicare i log di controllo su Logs CloudWatch
-
[Neptune.3] Le istantanee del cluster Neptune DB non devono essere pubbliche
-
[Neptune.4] I cluster Neptune DB devono avere la protezione da eliminazione abilitata
-
[Neptune.5] I cluster Neptune DB devono avere i backup automatici abilitati
-
[Neptune.6] Le istantanee del cluster Neptune DB devono essere crittografate quando sono inattive
-
[Neptune.7] I cluster Neptune DB devono avere l'autenticazione del database abilitata IAM
-
[Neptune.8] I cluster Neptune DB devono essere configurati per copiare i tag nelle istantanee
-
[Neptune.9] I cluster Neptune DB devono essere distribuiti su più zone di disponibilità
-
[NetworkFirewall.2] La registrazione del Network Firewall deve essere abilitata
-
[NetworkFirewall.3] Le policy di Network Firewall devono avere almeno un gruppo di regole associato
-
[NetworkFirewall.6] Il gruppo di regole Stateless Network Firewall non deve essere vuoto
-
[NetworkFirewall.9] I firewall Network Firewall devono avere la protezione da eliminazione abilitata
-
I OpenSearch domini [Opensearch.1] devono avere la crittografia a riposo abilitata
-
I OpenSearch domini [Opensearch.2] non devono essere accessibili al pubblico
-
I OpenSearch domini [Opensearch.3] devono crittografare i dati inviati tra i nodi
-
I OpenSearch domini [Opensearch.5] devono avere la registrazione di controllo abilitata
-
I OpenSearch domini [Opensearch.6] devono avere almeno tre nodi di dati
-
I OpenSearch domini [Opensearch.7] devono avere un controllo degli accessi granulare abilitato
-
I OpenSearch domini [Opensearch.9] devono essere etichettati
-
Nei OpenSearch domini [Opensearch.10] deve essere installato l'ultimo aggiornamento software
-
I OpenSearch domini [Opensearch.11] devono avere almeno tre nodi primari dedicati
-
[RDS.3] Le istanze RDS DB devono avere la crittografia a riposo abilitata
-
[RDS.5] Le istanze RDS DB devono essere configurate con più zone di disponibilità
-
[RDS.8] Le istanze RDS DB devono avere la protezione da eliminazione abilitata
-
[RDS.14] I cluster Amazon Aurora dovrebbero avere il backtracking abilitato
-
[RDS.16] I cluster RDS DB devono essere configurati per copiare i tag nelle istantanee
-
[RDS.24] I cluster di RDS database devono utilizzare un nome utente di amministratore personalizzato
-
[RDS.26] Le istanze RDS DB devono essere protette da un piano di backup
-
[RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati
-
[Redshift.3] I cluster Amazon Redshift devono avere le istantanee automatiche abilitate
-
[Redshift.12] Le sottoscrizioni alle notifiche degli eventi Redshift devono essere contrassegnate
-
[Route53.1] I controlli sanitari della Route 53 devono essere etichettati
-
[Route53.2] Le zone ospitate pubblicamente su Route 53 devono registrare le interrogazioni DNS
-
[S3.1] I bucket generici S3 devono avere le impostazioni di blocco dell'accesso pubblico abilitate
-
[S3.8] I bucket generici S3 dovrebbero bloccare l'accesso pubblico
-
[SageMaker.1] Le istanze di SageMaker notebook Amazon non devono avere accesso diretto a Internet
-
[SageMaker.2] le istanze di SageMaker notebook devono essere avviate in modo personalizzato VPC
-
[SageMaker.3] Gli utenti non devono avere accesso root alle SageMaker istanze dei notebook
-
[SES.1] gli elenchi di SES contatti devono essere etichettati
-
[SES.2] i set di SES configurazione devono essere etichettati
-
[SNS.1] SNS gli argomenti devono essere crittografati quando sono inattivi utilizzando AWS KMS
-
[SQS.1] Le SQS code di Amazon devono essere crittografate quando sono inattive
-
[StepFunctions.1] Le macchine a stati Step Functions dovrebbero avere la registrazione attivata
-
I AWS Transfer Family flussi di lavoro [Transfer.1] devono essere etichettati
-
[WAF.1] La ACL registrazione Web globale AWS WAF classica deve essere abilitata
-
[WAF.2] Le regole regionali AWS WAF classiche devono avere almeno una condizione
-
[WAF.3] I gruppi di regole regionali AWS WAF classici devono avere almeno una regola
-
[WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione
-
[WAF.7] I gruppi di regole globali AWS WAF classici devono avere almeno una regola
-
[WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole
-
[WAF.10] AWS WAF web ACLs dovrebbe avere almeno una regola o un gruppo di regole
-
[WAF.11] la ACL registrazione AWS WAF web deve essere abilitata
Israele (Tel Aviv)
I seguenti controlli non sono supportati in Israele (Tel Aviv).
-
[APIGateway.8] Le route API gateway devono specificare un tipo di autorizzazione
-
[APIGateway.9] La registrazione degli accessi deve essere configurata per API Gateway V2 Stages
-
[AppSync.2] AWS AppSync dovrebbe avere la registrazione a livello di campo abilitata
-
[AppSync.4] AWS AppSync APIs GraphQL dovrebbe essere taggato
-
[AppSync.5] AWS AppSync APIs GraphQL non deve essere autenticato con chiavi API
-
[Athena.2] I cataloghi di dati Athena devono essere etichettati
-
[Athena.3] I gruppi di lavoro Athena devono essere etichettati
-
[Backup.1] i punti di AWS Backup ripristino devono essere crittografati a riposo
-
[Backup.2] i punti di AWS Backup ripristino devono essere etichettati
-
[Backup.4] i piani di AWS Backup report devono essere etichettati
-
[Backup.5] i piani di AWS Backup backup devono essere etichettati
-
[CloudFormation.2] gli CloudFormation stack devono essere etichettati
-
[CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato
-
[CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito
-
[CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine
-
[CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata
-
[CloudFront.6] le distribuzioni avrebbero dovuto essere abilitate CloudFront WAF
-
[CloudFront.7] CloudFront le distribuzioni devono utilizzare certificati/personalizzati SSL TLS
-
[CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti
-
[CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine
-
[CloudFront.14] CloudFront le distribuzioni devono essere etichettate
-
[CodeArtifact.1] i CodeArtifact repository devono essere etichettati
-
[CodeBuild.3] I log CodeBuild S3 devono essere crittografati
-
[CodeBuild.4] Gli ambienti di CodeBuild progetto devono avere una durata di registrazione AWS Config
-
[Detective.1] I grafici del comportamento dei Detective devono essere etichettati
-
[DMS.1] Le istanze di replica del Database Migration Service non devono essere pubbliche
-
[DMS.3] le sottoscrizioni agli DMS eventi devono essere contrassegnate
-
[DMS.5] i sottoreti di DMS replica devono essere etichettati
-
[DMS.10] gli DMS endpoint per i database Neptune devono avere l'autorizzazione abilitata IAM
-
[DMS.11] gli DMS endpoint per MongoDB devono avere un meccanismo di autenticazione abilitato
-
[DMS.12] DMS gli endpoint per Redis avrebbero dovuto essere abilitati TLS
-
[DocumentDB.1] I cluster Amazon DocumentDB devono essere crittografati quando sono inattivi
-
[DocumentDB.3] Le istantanee manuali dei cluster di Amazon DocumentDB non devono essere pubbliche
-
[DocumentDB.4] I cluster Amazon DocumentDB devono pubblicare i log di controllo su Logs CloudWatch
-
[DocumentDB.5] I cluster Amazon DocumentDB devono avere la protezione da eliminazione abilitata
-
[DynamoDB.3] I cluster DynamoDB Accelerator () devono essere crittografati quando sono inattivi DAX
-
[DynamoDB.4] Le tabelle DynamoDB devono essere presenti in un piano di backup
-
[DynamoDB.7] I cluster DynamoDB Accelerator devono essere crittografati in transito
-
[EC2.3] I EBS volumi Amazon collegati devono essere crittografati quando sono inattivi
-
[EC2.4] EC2 Le istanze interrotte devono essere rimosse dopo un periodo di tempo specificato
-
[EC2.6] la registrazione VPC del flusso deve essere abilitata in tutto VPCs
-
[EC2.13] I gruppi di sicurezza non devono consentire l'ingresso da 0.0.0.0/0 o: :/0 alla porta 22
-
[EC2.14] I gruppi di sicurezza non devono consentire l'accesso da 0.0.0.0/0 o: :/0 alla porta 3389
-
[EC2.20] Entrambi i VPN tunnel per una connessione da sito a AWS sito dovrebbero essere attivi VPN
-
[EC2.22] I gruppi di EC2 sicurezza Amazon non utilizzati devono essere rimossi
-
[EC2.24] I tipi di istanze EC2 paravirtuali di Amazon non devono essere utilizzati
-
[EC2.25] I modelli di EC2 lancio di Amazon non devono assegnare interfacce IPs di rete pubbliche
-
[EC2.28] EBS i volumi devono essere coperti da un piano di backup
-
[EC2.33] Gli allegati di EC2 Transit Gateway devono essere etichettati
-
[EC2.34] Le tabelle delle rotte dei gateway di EC2 transito devono essere etichettate
-
[EC2.48] I log di VPC flusso di Amazon devono essere etichettati
-
[EC2.52] i gateway di EC2 transito devono essere etichettati
-
[ECR.2] I repository ECR privati devono avere configurata l'immutabilità dei tag
-
[ECR.3] I ECR repository devono avere almeno una politica del ciclo di vita configurata
-
[ECS.9] le definizioni delle ECS attività devono avere una configurazione di registrazione
-
[EFS.2] EFS I volumi Amazon devono essere inclusi nei piani di backup
-
[EFS.3] i punti di EFS accesso devono applicare una directory principale
-
[EFS.4] i punti di EFS accesso devono imporre l'identità di un utente
-
[EFS.6] gli obiettivi di EFS montaggio non devono essere associati a una sottorete pubblica
-
[EKS.2] EKS i cluster devono essere eseguiti su una versione di Kubernetes supportata
-
[EKS.3] i EKS cluster devono utilizzare segreti Kubernetes criptati
-
[EKS.7] le configurazioni dei provider di EKS identità devono essere contrassegnate
-
[EKS.8] i EKS cluster dovrebbero avere la registrazione di controllo abilitata
-
[ELB.4] L'Application Load Balancer deve essere configurato per eliminare le intestazioni http
-
[ELB.16] Gli Application Load Balancer devono essere associati a un sito Web AWS WAF ACL
-
[ElastiCache.1] I cluster ElastiCache Redis dovrebbero avere il backup automatico abilitato
-
[ElastiCache.5] I gruppi di replica ElastiCache (RedisOSS) devono essere crittografati in transito
-
[ElastiCache.7] i ElastiCache cluster non devono utilizzare il gruppo di sottoreti predefinito
-
[ElasticBeanstalk.3] Elastic Beanstalk dovrebbe trasmettere i log a CloudWatch
-
[EMR.1] I nodi primari EMR del cluster Amazon non devono avere indirizzi IP pubblici
-
[ES.1] I domini Elasticsearch devono avere la crittografia a riposo abilitata
-
[ES.2] I domini Elasticsearch non devono essere accessibili al pubblico
-
[ES.3] I domini Elasticsearch devono crittografare i dati inviati tra i nodi
-
[EventBridge.2] i bus EventBridge degli eventi devono essere etichettati
-
[EventBridge.4] gli endpoint EventBridge globali dovrebbero avere la replica degli eventi abilitata
-
[FSx.1] FSx per i ZFS file system Open deve essere configurato per copiare i tag su backup e volumi
-
[FSx.2] FSx per i file system Lustre deve essere configurato per copiare i tag nei backup
-
[GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati
-
[GuardDuty.4] i GuardDuty rilevatori devono essere etichettati
-
[GuardDuty.9] GuardDuty RDS La protezione deve essere abilitata
-
[IAM.1] IAM le politiche non dovrebbero consentire i privilegi amministrativi completi di tipo «*»
-
[IAM.2] IAM gli utenti non dovrebbero avere politiche allegate IAM
-
[IAM.3] le chiavi di accesso IAM degli utenti devono essere ruotate ogni 90 giorni o meno
-
[IAM.4] la chiave di accesso per l'utente IAM root non dovrebbe esistere
-
[IAM.5] MFA deve essere abilitato per tutti IAM gli utenti che dispongono di una password di console
-
[IAM.6] L'hardware MFA deve essere abilitato per l'utente root
-
[IAM.7] Le politiche relative alle password per IAM gli utenti devono avere configurazioni sicure
-
[IAM.8] Le credenziali IAM utente non utilizzate devono essere rimosse
-
[IAM.11] Assicurati che IAM la politica delle password richieda almeno una lettera maiuscola
-
[IAM.12] Assicurati che la politica delle IAM password richieda almeno una lettera minuscola
-
[IAM.13] Assicurati che la politica delle IAM password richieda almeno un simbolo
-
[IAM.14] Assicurati che IAM la politica delle password richieda almeno un numero
-
[IAM.16] Assicurati che IAM la politica delle password impedisca il riutilizzo della password
-
[IAM.22] le credenziali IAM utente non utilizzate per 45 giorni devono essere rimosse
-
[IAM.23] Gli analizzatori IAM Access Analyzer devono essere etichettati
-
[IAM.26] ScadutiSSL/TLSi certificati gestiti in devono essere rimossi IAM
-
[IAM.27] IAM alle identità non dovrebbe essere allegata la policy AWSCloudShellFullAccess
-
[IAM.28] IAM L'analizzatore di accesso esterno Access Analyzer deve essere abilitato
-
[Inspector.1] La scansione di Amazon Inspector deve essere abilitata EC2
-
[Inspector.2] La scansione di Amazon Inspector deve essere abilitata ECR
-
[Inspector.3] La scansione del codice Amazon Inspector Lambda deve essere abilitata
-
[Inspector.4] La scansione standard di Amazon Inspector Lambda deve essere abilitata
-
[IoT.1] i profili di AWS IoT Core sicurezza devono essere etichettati
-
[IoT.2] le azioni di AWS IoT Core mitigazione devono essere etichettate
-
[IoT.3] le AWS IoT Core dimensioni devono essere etichettate
-
gli AWS IoT Core autorizzatori [IoT.4] devono essere etichettati
-
[IoT.5] gli alias dei AWS IoT Core ruoli devono essere etichettati
-
[Kinesis.1] Gli stream Kinesis devono essere crittografati quando sono inattivi
-
[Lambda.5] Le funzioni VPC Lambda devono funzionare in più zone di disponibilità
-
[MQ.2] I broker ActiveMQ devono trasmettere i log di controllo a CloudWatch
-
[MQ.5] I broker ActiveMQ devono utilizzare la modalità di distribuzione attiva/standby
-
[MQ.6] I broker RabbitMQ dovrebbero utilizzare la modalità di distribuzione del cluster
-
[MSK.1] MSK i cluster devono essere crittografati durante il transito tra i nodi broker
-
[MSK.2] i MSK cluster dovrebbero avere configurato un monitoraggio avanzato
-
[Neptune.1] I cluster Neptune DB devono essere crittografati a riposo
-
[Neptune.2] I cluster Neptune DB devono pubblicare i log di controllo su Logs CloudWatch
-
[Neptune.3] Le istantanee del cluster Neptune DB non devono essere pubbliche
-
[Neptune.4] I cluster Neptune DB devono avere la protezione da eliminazione abilitata
-
[Neptune.5] I cluster Neptune DB devono avere i backup automatici abilitati
-
[Neptune.6] Le istantanee del cluster Neptune DB devono essere crittografate quando sono inattive
-
[Neptune.7] I cluster Neptune DB devono avere l'autenticazione del database abilitata IAM
-
[Neptune.8] I cluster Neptune DB devono essere configurati per copiare i tag nelle istantanee
-
[Neptune.9] I cluster Neptune DB devono essere distribuiti su più zone di disponibilità
-
[NetworkFirewall.2] La registrazione del Network Firewall deve essere abilitata
-
[NetworkFirewall.3] Le policy di Network Firewall devono avere almeno un gruppo di regole associato
-
[NetworkFirewall.6] Il gruppo di regole Stateless Network Firewall non deve essere vuoto
-
[NetworkFirewall.9] I firewall Network Firewall devono avere la protezione da eliminazione abilitata
-
I OpenSearch domini [Opensearch.1] devono avere la crittografia a riposo abilitata
-
I OpenSearch domini [Opensearch.2] non devono essere accessibili al pubblico
-
I OpenSearch domini [Opensearch.3] devono crittografare i dati inviati tra i nodi
-
I OpenSearch domini [Opensearch.5] devono avere la registrazione di controllo abilitata
-
I OpenSearch domini [Opensearch.6] devono avere almeno tre nodi di dati
-
I OpenSearch domini [Opensearch.7] devono avere un controllo degli accessi granulare abilitato
-
I OpenSearch domini [Opensearch.9] devono essere etichettati
-
Nei OpenSearch domini [Opensearch.10] deve essere installato l'ultimo aggiornamento software
-
I OpenSearch domini [Opensearch.11] devono avere almeno tre nodi primari dedicati
-
[PCA.1] l'autorità di certificazione AWS Private CA principale deve essere disabilitata
-
[RDS.7] RDS i cluster dovrebbero avere la protezione da eliminazione abilitata
-
[RDS.8] Le istanze RDS DB devono avere la protezione da eliminazione abilitata
-
[RDS.12] IAM l'autenticazione deve essere configurata per i cluster RDS
-
[RDS.14] I cluster Amazon Aurora dovrebbero avere il backtracking abilitato
-
[RDS.15] I cluster RDS DB devono essere configurati per più zone di disponibilità
-
[RDS.16] I cluster RDS DB devono essere configurati per copiare i tag nelle istantanee
-
[RDS.24] I cluster di RDS database devono utilizzare un nome utente di amministratore personalizzato
-
[RDS.26] Le istanze RDS DB devono essere protette da un piano di backup
-
[RDS.27] I cluster RDS DB devono essere crittografati quando sono inattivi
-
[RDS.29] Le istantanee dei cluster RDS DB devono essere etichettate
-
[RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati
-
[RDS.34] Aurora I SQL miei cluster DB dovrebbero pubblicare i log di controllo in Logs CloudWatch
-
[Redshift.3] I cluster Amazon Redshift devono avere le istantanee automatiche abilitate
-
[Redshift.9] I cluster Redshift non devono utilizzare il nome di database predefinito
-
[Redshift.12] Le sottoscrizioni alle notifiche degli eventi Redshift devono essere contrassegnate
-
[Route53.1] I controlli sanitari della Route 53 devono essere etichettati
-
[Route53.2] Le zone ospitate pubblicamente su Route 53 devono registrare le interrogazioni DNS
-
[S3.1] I bucket generici S3 devono avere le impostazioni di blocco dell'accesso pubblico abilitate
-
[S3.2] I bucket generici S3 dovrebbero bloccare l'accesso pubblico in lettura
-
[S3.3] I bucket generici S3 dovrebbero bloccare l'accesso pubblico in scrittura
-
[S3.8] I bucket generici S3 dovrebbero bloccare l'accesso pubblico
-
[S3.9] I bucket generici S3 devono avere la registrazione degli accessi al server abilitata
-
[SageMaker.1] Le istanze di SageMaker notebook Amazon non devono avere accesso diretto a Internet
-
[SageMaker.2] le istanze di SageMaker notebook devono essere avviate in modo personalizzato VPC
-
[SageMaker.3] Gli utenti non devono avere accesso root alle SageMaker istanze dei notebook
-
[SES.1] gli elenchi di SES contatti devono essere etichettati
-
[SES.2] i set di SES configurazione devono essere etichettati
-
[SNS.1] SNS gli argomenti devono essere crittografati quando sono inattivi utilizzando AWS KMS
-
[SQS.1] Le SQS code di Amazon devono essere crittografate quando sono inattive
-
[SSM.1] EC2 Le istanze Amazon devono essere gestite da AWS Systems Manager
-
[StepFunctions.1] Le macchine a stati Step Functions dovrebbero avere la registrazione attivata
-
[StepFunctions.2] Le attività di Step Functions devono essere etichettate
-
I AWS Transfer Family flussi di lavoro [Transfer.1] devono essere etichettati
-
[WAF.1] La ACL registrazione Web globale AWS WAF classica deve essere abilitata
-
[WAF.2] Le regole regionali AWS WAF classiche devono avere almeno una condizione
-
[WAF.3] I gruppi di regole regionali AWS WAF classici devono avere almeno una regola
-
[WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione
-
[WAF.7] I gruppi di regole globali AWS WAF classici devono avere almeno una regola
-
[WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole
-
[WAF.11] la ACL registrazione AWS WAF web deve essere abilitata
-
[WAF.12] AWS WAF le regole devono avere le metriche abilitate CloudWatch
Medio Oriente (Bahrein)
I seguenti controlli non sono supportati in Medio Oriente (Bahrain).
-
[CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato
-
[CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito
-
[CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine
-
[CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata
-
[CloudFront.6] le distribuzioni avrebbero dovuto essere abilitate CloudFront WAF
-
[CloudFront.7] CloudFront le distribuzioni devono utilizzare certificati/personalizzati SSL TLS
-
[CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti
-
[CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine
-
[CloudFront.14] CloudFront le distribuzioni devono essere etichettate
-
[CodeArtifact.1] i CodeArtifact repository devono essere etichettati
-
[DocumentDB.1] I cluster Amazon DocumentDB devono essere crittografati quando sono inattivi
-
[DocumentDB.3] Le istantanee manuali dei cluster di Amazon DocumentDB non devono essere pubbliche
-
[DocumentDB.4] I cluster Amazon DocumentDB devono pubblicare i log di controllo su Logs CloudWatch
-
[DocumentDB.5] I cluster Amazon DocumentDB devono avere la protezione da eliminazione abilitata
-
[DynamoDB.3] I cluster DynamoDB Accelerator () devono essere crittografati quando sono inattivi DAX
-
[DynamoDB.7] I cluster DynamoDB Accelerator devono essere crittografati in transito
-
[EC2.20] Entrambi i VPN tunnel per una connessione da sito a AWS sito dovrebbero essere attivi VPN
-
[EC2.24] I tipi di istanze EC2 paravirtuali di Amazon non devono essere utilizzati
-
[ElasticBeanstalk.3] Elastic Beanstalk dovrebbe trasmettere i log a CloudWatch
-
[EventBridge.4] gli endpoint EventBridge globali dovrebbero avere la replica degli eventi abilitata
-
[FSx.1] FSx per i ZFS file system Open deve essere configurato per copiare i tag su backup e volumi
-
[GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati
-
[IAM.26] ScadutiSSL/TLSi certificati gestiti in devono essere rimossi IAM
-
[Inspector.3] La scansione del codice Amazon Inspector Lambda deve essere abilitata
-
[RDS.7] RDS i cluster dovrebbero avere la protezione da eliminazione abilitata
-
[RDS.12] IAM l'autenticazione deve essere configurata per i cluster RDS
-
[RDS.14] I cluster Amazon Aurora dovrebbero avere il backtracking abilitato
-
[RDS.15] I cluster RDS DB devono essere configurati per più zone di disponibilità
-
[RDS.16] I cluster RDS DB devono essere configurati per copiare i tag nelle istantanee
-
[RDS.24] I cluster di RDS database devono utilizzare un nome utente di amministratore personalizzato
-
[RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati
-
[Route53.1] I controlli sanitari della Route 53 devono essere etichettati
-
[Route53.2] Le zone ospitate pubblicamente su Route 53 devono registrare le interrogazioni DNS
-
[WAF.1] La ACL registrazione Web globale AWS WAF classica deve essere abilitata
-
[WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione
-
[WAF.7] I gruppi di regole globali AWS WAF classici devono avere almeno una regola
-
[WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole
Medio Oriente () UAE
I seguenti controlli non sono supportati in Medio Oriente (UAE).
-
[APIGateway.8] Le route API gateway devono specificare un tipo di autorizzazione
-
[APIGateway.9] La registrazione degli accessi deve essere configurata per API Gateway V2 Stages
-
[AppSync.2] AWS AppSync dovrebbe avere la registrazione a livello di campo abilitata
-
[AppSync.5] AWS AppSync APIs GraphQL non deve essere autenticato con chiavi API
-
[Athena.2] I cataloghi di dati Athena devono essere etichettati
-
[Athena.3] I gruppi di lavoro Athena devono essere etichettati
-
[Backup.1] i punti di AWS Backup ripristino devono essere crittografati a riposo
-
[Backup.2] i punti di AWS Backup ripristino devono essere etichettati
-
[Backup.4] i piani di AWS Backup report devono essere etichettati
-
[Backup.5] i piani di AWS Backup backup devono essere etichettati
-
[CloudFormation.2] gli CloudFormation stack devono essere etichettati
-
[CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato
-
[CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito
-
[CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine
-
[CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata
-
[CloudFront.6] le distribuzioni avrebbero dovuto essere abilitate CloudFront WAF
-
[CloudFront.7] CloudFront le distribuzioni devono utilizzare certificati/personalizzati SSL TLS
-
[CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti
-
[CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine
-
[CloudFront.14] CloudFront le distribuzioni devono essere etichettate
-
[CloudWatch.15] gli CloudWatch allarmi devono avere azioni specificate configurate
-
[CloudWatch.17] le azioni di CloudWatch allarme devono essere attivate
-
[CodeArtifact.1] i CodeArtifact repository devono essere etichettati
-
[CodeBuild.3] I log CodeBuild S3 devono essere crittografati
-
[CodeBuild.4] Gli ambienti di CodeBuild progetto devono avere una durata di registrazione AWS Config
-
[Detective.1] I grafici del comportamento dei Detective devono essere etichettati
-
[DMS.1] Le istanze di replica del Database Migration Service non devono essere pubbliche
-
[DMS.3] le sottoscrizioni agli DMS eventi devono essere contrassegnate
-
[DMS.5] i sottoreti di DMS replica devono essere etichettati
-
[DMS.10] gli DMS endpoint per i database Neptune devono avere l'autorizzazione abilitata IAM
-
[DMS.11] gli DMS endpoint per MongoDB devono avere un meccanismo di autenticazione abilitato
-
[DMS.12] DMS gli endpoint per Redis avrebbero dovuto essere abilitati TLS
-
[DocumentDB.1] I cluster Amazon DocumentDB devono essere crittografati quando sono inattivi
-
[DocumentDB.3] Le istantanee manuali dei cluster di Amazon DocumentDB non devono essere pubbliche
-
[DocumentDB.4] I cluster Amazon DocumentDB devono pubblicare i log di controllo su Logs CloudWatch
-
[DocumentDB.5] I cluster Amazon DocumentDB devono avere la protezione da eliminazione abilitata
-
[DynamoDB.3] I cluster DynamoDB Accelerator () devono essere crittografati quando sono inattivi DAX
-
[DynamoDB.4] Le tabelle DynamoDB devono essere presenti in un piano di backup
-
[DynamoDB.7] I cluster DynamoDB Accelerator devono essere crittografati in transito
-
[EC2.3] I EBS volumi Amazon collegati devono essere crittografati quando sono inattivi
-
[EC2.4] EC2 Le istanze interrotte devono essere rimosse dopo un periodo di tempo specificato
-
[EC2.6] la registrazione VPC del flusso deve essere abilitata in tutto VPCs
-
[EC2.8] EC2 le istanze devono utilizzare Instance Metadata Service versione 2 () IMDSv2
-
[EC2.13] I gruppi di sicurezza non devono consentire l'ingresso da 0.0.0.0/0 o: :/0 alla porta 22
-
[EC2.14] I gruppi di sicurezza non devono consentire l'accesso da 0.0.0.0/0 o: :/0 alla porta 3389
-
[EC2.22] I gruppi di EC2 sicurezza Amazon non utilizzati devono essere rimossi
-
[EC2.24] I tipi di istanze EC2 paravirtuali di Amazon non devono essere utilizzati
-
[EC2.25] I modelli di EC2 lancio di Amazon non devono assegnare interfacce IPs di rete pubbliche
-
[EC2.28] EBS i volumi devono essere coperti da un piano di backup
-
[ECR.1] I repository ECR privati dovrebbero avere la scansione delle immagini configurata
-
[ECR.2] I repository ECR privati devono avere configurata l'immutabilità dei tag
-
[ECR.3] I ECR repository devono avere almeno una politica del ciclo di vita configurata
-
[ECS.9] le definizioni delle ECS attività devono avere una configurazione di registrazione
-
[EFS.2] EFS I volumi Amazon devono essere inclusi nei piani di backup
-
[EFS.3] i punti di EFS accesso devono applicare una directory principale
-
[EFS.4] i punti di EFS accesso devono imporre l'identità di un utente
-
[EKS.2] EKS i cluster devono essere eseguiti su una versione di Kubernetes supportata
-
[ELB.3] I listener Classic Load Balancer devono essere configurati con o terminazione HTTPS TLS
-
[ELB.9] I Classic Load Balancer devono avere il bilanciamento del carico tra zone abilitato
-
[ELB.16] Gli Application Load Balancer devono essere associati a un sito Web AWS WAF ACL
-
[ElastiCache.1] I cluster ElastiCache Redis dovrebbero avere il backup automatico abilitato
-
[ElastiCache.5] I gruppi di replica ElastiCache (RedisOSS) devono essere crittografati in transito
-
[ElastiCache.7] i ElastiCache cluster non devono utilizzare il gruppo di sottoreti predefinito
-
[ElasticBeanstalk.3] Elastic Beanstalk dovrebbe trasmettere i log a CloudWatch
-
[EMR.1] I nodi primari EMR del cluster Amazon non devono avere indirizzi IP pubblici
-
[EventBridge.2] i bus EventBridge degli eventi devono essere etichettati
-
[EventBridge.4] gli endpoint EventBridge globali dovrebbero avere la replica degli eventi abilitata
-
[FSx.1] FSx per i ZFS file system Open deve essere configurato per copiare i tag su backup e volumi
-
[GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati
-
[GuardDuty.4] i GuardDuty rilevatori devono essere etichettati
-
[GuardDuty.9] GuardDuty RDS La protezione deve essere abilitata
-
[IAM.1] IAM le politiche non dovrebbero consentire i privilegi amministrativi completi di tipo «*»
-
[IAM.2] IAM gli utenti non dovrebbero avere politiche allegate IAM
-
[IAM.3] le chiavi di accesso IAM degli utenti devono essere ruotate ogni 90 giorni o meno
-
[IAM.4] la chiave di accesso per l'utente IAM root non dovrebbe esistere
-
[IAM.5] MFA deve essere abilitato per tutti IAM gli utenti che dispongono di una password di console
-
[IAM.6] L'hardware MFA deve essere abilitato per l'utente root
-
[IAM.8] Le credenziali IAM utente non utilizzate devono essere rimosse
-
[IAM.22] le credenziali IAM utente non utilizzate per 45 giorni devono essere rimosse
-
[IAM.26] ScadutiSSL/TLSi certificati gestiti in devono essere rimossi IAM
-
[IAM.27] IAM alle identità non dovrebbe essere allegata la policy AWSCloudShellFullAccess
-
[Inspector.1] La scansione di Amazon Inspector deve essere abilitata EC2
-
[Inspector.2] La scansione di Amazon Inspector deve essere abilitata ECR
-
[Inspector.3] La scansione del codice Amazon Inspector Lambda deve essere abilitata
-
[Inspector.4] La scansione standard di Amazon Inspector Lambda deve essere abilitata
-
[IoT.1] i profili di AWS IoT Core sicurezza devono essere etichettati
-
[IoT.2] le azioni di AWS IoT Core mitigazione devono essere etichettate
-
[IoT.3] le AWS IoT Core dimensioni devono essere etichettate
-
[Kinesis.1] Gli stream Kinesis devono essere crittografati quando sono inattivi
-
[KMS.4] la rotazione dei AWS KMS tasti dovrebbe essere abilitata
-
[Lambda.5] Le funzioni VPC Lambda devono funzionare in più zone di disponibilità
-
[Macie.2] Il rilevamento automatico dei dati sensibili di Macie deve essere abilitato
-
[MSK.1] MSK i cluster devono essere crittografati durante il transito tra i nodi broker
-
[MSK.2] i MSK cluster dovrebbero avere configurato un monitoraggio avanzato
-
[Neptune.1] I cluster Neptune DB devono essere crittografati a riposo
-
[Neptune.2] I cluster Neptune DB devono pubblicare i log di controllo su Logs CloudWatch
-
[Neptune.3] Le istantanee del cluster Neptune DB non devono essere pubbliche
-
[Neptune.4] I cluster Neptune DB devono avere la protezione da eliminazione abilitata
-
[Neptune.5] I cluster Neptune DB devono avere i backup automatici abilitati
-
[Neptune.6] Le istantanee del cluster Neptune DB devono essere crittografate quando sono inattive
-
[Neptune.7] I cluster Neptune DB devono avere l'autenticazione del database abilitata IAM
-
[Neptune.8] I cluster Neptune DB devono essere configurati per copiare i tag nelle istantanee
-
[Neptune.9] I cluster Neptune DB devono essere distribuiti su più zone di disponibilità
-
[NetworkFirewall.2] La registrazione del Network Firewall deve essere abilitata
-
[NetworkFirewall.3] Le policy di Network Firewall devono avere almeno un gruppo di regole associato
-
[NetworkFirewall.6] Il gruppo di regole Stateless Network Firewall non deve essere vuoto
-
[NetworkFirewall.7] I firewall Network Firewall devono essere etichettati
-
[NetworkFirewall.8] Le politiche firewall di Network Firewall devono essere etichettate
-
[NetworkFirewall.9] I firewall Network Firewall devono avere la protezione da eliminazione abilitata
-
I OpenSearch domini [Opensearch.1] devono avere la crittografia a riposo abilitata
-
I OpenSearch domini [Opensearch.2] non devono essere accessibili al pubblico
-
I OpenSearch domini [Opensearch.3] devono crittografare i dati inviati tra i nodi
-
I OpenSearch domini [Opensearch.5] devono avere la registrazione di controllo abilitata
-
I OpenSearch domini [Opensearch.6] devono avere almeno tre nodi di dati
-
I OpenSearch domini [Opensearch.7] devono avere un controllo degli accessi granulare abilitato
-
I OpenSearch domini [Opensearch.9] devono essere etichettati
-
Nei OpenSearch domini [Opensearch.10] deve essere installato l'ultimo aggiornamento software
-
I OpenSearch domini [Opensearch.11] devono avere almeno tre nodi primari dedicati
-
[RDS.3] Le istanze RDS DB devono avere la crittografia a riposo abilitata
-
[RDS.5] Le istanze RDS DB devono essere configurate con più zone di disponibilità
-
[RDS.6] Il monitoraggio avanzato deve essere configurato per le istanze DB RDS
-
[RDS.8] Le istanze RDS DB devono avere la protezione da eliminazione abilitata
-
[RDS.11] RDS le istanze devono avere i backup automatici abilitati
-
[RDS.14] I cluster Amazon Aurora dovrebbero avere il backtracking abilitato
-
[RDS.16] I cluster RDS DB devono essere configurati per copiare i tag nelle istantanee
-
[RDS.24] I cluster di RDS database devono utilizzare un nome utente di amministratore personalizzato
-
[RDS.26] Le istanze RDS DB devono essere protette da un piano di backup
-
[RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati
-
[Redshift.9] I cluster Redshift non devono utilizzare il nome di database predefinito
-
[Redshift.12] Le sottoscrizioni alle notifiche degli eventi Redshift devono essere contrassegnate
-
[Route53.1] I controlli sanitari della Route 53 devono essere etichettati
-
[Route53.2] Le zone ospitate pubblicamente su Route 53 devono registrare le interrogazioni DNS
-
[S3.2] I bucket generici S3 dovrebbero bloccare l'accesso pubblico in lettura
-
[S3.3] I bucket generici S3 dovrebbero bloccare l'accesso pubblico in scrittura
-
[S3.5] I bucket generici S3 devono richiedere l'utilizzo di richieste SSL
-
[S3.14] I bucket generici S3 devono avere il controllo delle versioni abilitato
-
[SageMaker.1] Le istanze di SageMaker notebook Amazon non devono avere accesso diretto a Internet
-
[SageMaker.2] le istanze di SageMaker notebook devono essere avviate in modo personalizzato VPC
-
[SageMaker.3] Gli utenti non devono avere accesso root alle SageMaker istanze dei notebook
-
[SES.1] gli elenchi di SES contatti devono essere etichettati
-
[SES.2] i set di SES configurazione devono essere etichettati
-
[SNS.1] SNS gli argomenti devono essere crittografati quando sono inattivi utilizzando AWS KMS
-
[SQS.1] Le SQS code di Amazon devono essere crittografate quando sono inattive
-
[SSM.1] EC2 Le istanze Amazon devono essere gestite da AWS Systems Manager
-
[StepFunctions.1] Le macchine a stati Step Functions dovrebbero avere la registrazione attivata
-
I AWS Transfer Family flussi di lavoro [Transfer.1] devono essere etichettati
-
[WAF.1] La ACL registrazione Web globale AWS WAF classica deve essere abilitata
-
[WAF.2] Le regole regionali AWS WAF classiche devono avere almeno una condizione
-
[WAF.3] I gruppi di regole regionali AWS WAF classici devono avere almeno una regola
-
[WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione
-
[WAF.7] I gruppi di regole globali AWS WAF classici devono avere almeno una regola
-
[WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole
-
[WAF.10] AWS WAF web ACLs dovrebbe avere almeno una regola o un gruppo di regole
-
[WAF.11] la ACL registrazione AWS WAF web deve essere abilitata
Sud America (San Paolo)
I seguenti controlli non sono supportati in Sud America (San Paolo).
-
[CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato
-
[CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito
-
[CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine
-
[CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata
-
[CloudFront.6] le distribuzioni avrebbero dovuto essere abilitate CloudFront WAF
-
[CloudFront.7] CloudFront le distribuzioni devono utilizzare certificati/personalizzati SSL TLS
-
[CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti
-
[CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine
-
[CloudFront.14] CloudFront le distribuzioni devono essere etichettate
-
[CodeArtifact.1] i CodeArtifact repository devono essere etichettati
-
[FSx.1] FSx per i ZFS file system Open deve essere configurato per copiare i tag su backup e volumi
-
[GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati
-
[IAM.26] ScadutiSSL/TLSi certificati gestiti in devono essere rimossi IAM
-
[Inspector.3] La scansione del codice Amazon Inspector Lambda deve essere abilitata
-
[IoT.1] i profili di AWS IoT Core sicurezza devono essere etichettati
-
[IoT.2] le azioni di AWS IoT Core mitigazione devono essere etichettate
-
[IoT.3] le AWS IoT Core dimensioni devono essere etichettate
-
[RDS.7] RDS i cluster dovrebbero avere la protezione da eliminazione abilitata
-
[RDS.12] IAM l'autenticazione deve essere configurata per i cluster RDS
-
[RDS.14] I cluster Amazon Aurora dovrebbero avere il backtracking abilitato
-
[RDS.15] I cluster RDS DB devono essere configurati per più zone di disponibilità
-
[RDS.24] I cluster di RDS database devono utilizzare un nome utente di amministratore personalizzato
-
[Route53.1] I controlli sanitari della Route 53 devono essere etichettati
-
[Route53.2] Le zone ospitate pubblicamente su Route 53 devono registrare le interrogazioni DNS
-
[WAF.1] La ACL registrazione Web globale AWS WAF classica deve essere abilitata
-
[WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione
-
[WAF.7] I gruppi di regole globali AWS WAF classici devono avere almeno una regola
-
[WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole
AWS GovCloud (Stati Uniti orientali)
I seguenti controlli non sono supportati in AWS GovCloud (Stati Uniti orientali).
-
[Account.1] Le informazioni di contatto di sicurezza devono essere fornite per un Account AWS
-
[Account.2] Account AWS deve far parte di un'organizzazione AWS Organizations
-
[APIGateway.3] Le REST API fasi del API gateway devono avere AWS X-Ray la traccia abilitata
-
[APIGateway.4] Il API gateway deve essere associato a un sito Web WAF ACL
-
[APIGateway.8] Le route API gateway devono specificare un tipo di autorizzazione
-
[APIGateway.9] La registrazione degli accessi deve essere configurata per API Gateway V2 Stages
-
[AppSync.2] AWS AppSync dovrebbe avere la registrazione a livello di campo abilitata
-
[AppSync.4] AWS AppSync APIs GraphQL dovrebbe essere taggato
-
[AppSync.5] AWS AppSync APIs GraphQL non deve essere autenticato con chiavi API
-
[Athena.2] I cataloghi di dati Athena devono essere etichettati
-
[Athena.3] I gruppi di lavoro Athena devono essere etichettati
-
[AutoScaling.2] Il gruppo Amazon EC2 Auto Scaling dovrebbe coprire più zone di disponibilità
-
[AutoScaling.9] I gruppi Amazon EC2 Auto Scaling devono utilizzare i modelli di lancio di Amazon EC2
-
[AutoScaling.10] I gruppi EC2 Auto Scaling devono essere etichettati
-
[Backup.2] i punti di AWS Backup ripristino devono essere etichettati
-
[Backup.4] i piani di AWS Backup report devono essere etichettati
-
[Backup.5] i piani di AWS Backup backup devono essere etichettati
-
[CloudFormation.2] gli CloudFormation stack devono essere etichettati
-
[CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato
-
[CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito
-
[CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine
-
[CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata
-
[CloudFront.6] le distribuzioni avrebbero dovuto essere abilitate CloudFront WAF
-
[CloudFront.7] CloudFront le distribuzioni devono utilizzare certificati/personalizzati SSL TLS
-
[CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti
-
[CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine
-
[CloudFront.14] CloudFront le distribuzioni devono essere etichettate
-
[CloudTrail.9] i percorsi devono essere etichettati CloudTrail
-
[CloudWatch.15] gli CloudWatch allarmi devono avere azioni specificate configurate
-
[CloudWatch.17] le azioni di CloudWatch allarme devono essere attivate
-
[CodeArtifact.1] i CodeArtifact repository devono essere etichettati
-
[CodeBuild.3] I log CodeBuild S3 devono essere crittografati
-
[CodeBuild.4] Gli ambienti di CodeBuild progetto devono avere una durata di registrazione AWS Config
-
[Detective.1] I grafici del comportamento dei Detective devono essere etichettati
-
[DMS.3] le sottoscrizioni agli DMS eventi devono essere contrassegnate
-
[DMS.5] i sottoreti di DMS replica devono essere etichettati
-
[DocumentDB.1] I cluster Amazon DocumentDB devono essere crittografati quando sono inattivi
-
[DocumentDB.3] Le istantanee manuali dei cluster di Amazon DocumentDB non devono essere pubbliche
-
[DocumentDB.4] I cluster Amazon DocumentDB devono pubblicare i log di controllo su Logs CloudWatch
-
[DocumentDB.5] I cluster Amazon DocumentDB devono avere la protezione da eliminazione abilitata
-
[DynamoDB.1] Le tabelle DynamoDB dovrebbero scalare automaticamente la capacità in base alla domanda
-
[DynamoDB.3] I cluster DynamoDB Accelerator () devono essere crittografati quando sono inattivi DAX
-
[DynamoDB.4] Le tabelle DynamoDB devono essere presenti in un piano di backup
-
[DynamoDB.7] I cluster DynamoDB Accelerator devono essere crittografati in transito
-
[EC2.15] Le EC2 sottoreti Amazon non devono assegnare automaticamente indirizzi IP pubblici
-
[EC2.16] Gli elenchi di controllo degli accessi alla rete non utilizzati devono essere rimossi
-
[EC2.17] EC2 Le istanze Amazon non devono utilizzare più istanze ENIs
-
[EC2.22] I gruppi di EC2 sicurezza Amazon non utilizzati devono essere rimossi
-
[EC2.24] I tipi di istanze EC2 paravirtuali di Amazon non devono essere utilizzati
-
[EC2.25] I modelli di EC2 lancio di Amazon non devono assegnare interfacce IPs di rete pubbliche
-
[EC2.28] EBS i volumi devono essere coperti da un piano di backup
-
[EC2.33] Gli allegati di EC2 Transit Gateway devono essere etichettati
-
[EC2.34] Le tabelle delle rotte dei gateway di EC2 transito devono essere etichettate
-
[EC2.35] le interfacce EC2 di rete devono essere etichettate
-
[EC2.36] I gateway per i EC2 clienti devono essere etichettati
-
[EC2.37] Gli indirizzi IP EC2 elastici devono essere etichettati
-
[EC2.42] le tabelle delle EC2 rotte devono essere etichettate
-
[EC2.43] i gruppi EC2 di sicurezza devono essere etichettati
-
[EC2.47] I servizi VPC endpoint di Amazon devono essere etichettati
-
[EC2.48] I log di VPC flusso di Amazon devono essere etichettati
-
[EC2.49] Le connessioni VPC peering di Amazon devono essere etichettate
-
[EC2.52] i gateway di EC2 transito devono essere etichettati
-
[ECR.1] I repository ECR privati dovrebbero avere la scansione delle immagini configurata
-
[ECR.2] I repository ECR privati devono avere configurata l'immutabilità dei tag
-
[ECR.3] I ECR repository devono avere almeno una politica del ciclo di vita configurata
-
[ECS.4] ECS I contenitori devono essere eseguiti come non privilegiati
-
[ECS.5] ECS I contenitori devono essere limitati all'accesso in sola lettura ai filesystem root
-
[ECS.8] I segreti non devono essere passati come variabili di ambiente del contenitore
-
[ECS.9] le definizioni delle ECS attività devono avere una configurazione di registrazione
-
[ECS.15] le definizioni delle ECS attività devono essere etichettate
-
[EFS.2] EFS I volumi Amazon devono essere inclusi nei piani di backup
-
[EFS.3] i punti di EFS accesso devono applicare una directory principale
-
[EFS.4] i punti di EFS accesso devono imporre l'identità di un utente
-
[EKS.1] gli endpoint EKS del cluster non dovrebbero essere accessibili al pubblico
-
[EKS.2] EKS i cluster devono essere eseguiti su una versione di Kubernetes supportata
-
[EKS.7] le configurazioni dei provider di EKS identità devono essere contrassegnate
-
[EKS.8] i EKS cluster dovrebbero avere la registrazione di controllo abilitata
-
[ELB.10] Classic Load Balancer dovrebbe estendersi su più zone di disponibilità
-
[ELB.16] Gli Application Load Balancer devono essere associati a un sito Web AWS WAF ACL
-
[ElastiCache.1] I cluster ElastiCache Redis dovrebbero avere il backup automatico abilitato
-
[ElastiCache.5] I gruppi di replica ElastiCache (RedisOSS) devono essere crittografati in transito
-
[ElastiCache.7] i ElastiCache cluster non devono utilizzare il gruppo di sottoreti predefinito
-
[ElasticBeanstalk.3] Elastic Beanstalk dovrebbe trasmettere i log a CloudWatch
-
[EMR.2] L'impostazione di EMR blocco dell'accesso pubblico di Amazon deve essere abilitata
-
[EventBridge.2] i bus EventBridge degli eventi devono essere etichettati
-
[EventBridge.4] gli endpoint EventBridge globali dovrebbero avere la replica degli eventi abilitata
-
[FSx.1] FSx per i ZFS file system Open deve essere configurato per copiare i tag su backup e volumi
-
[FSx.2] FSx per i file system Lustre deve essere configurato per copiare i tag nei backup
-
[GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati
-
[GuardDuty.4] i GuardDuty rilevatori devono essere etichettati
-
[GuardDuty.8] La protezione GuardDuty da malware per deve essere abilitata EC2
-
[GuardDuty.9] GuardDuty RDS La protezione deve essere abilitata
-
[IAM.6] L'hardware MFA deve essere abilitato per l'utente root
-
[IAM.23] Gli analizzatori IAM Access Analyzer devono essere etichettati
-
[IAM.26] ScadutiSSL/TLSi certificati gestiti in devono essere rimossi IAM
-
[IAM.28] IAM L'analizzatore di accesso esterno Access Analyzer deve essere abilitato
-
[Inspector.3] La scansione del codice Amazon Inspector Lambda deve essere abilitata
-
[IoT.1] i profili di AWS IoT Core sicurezza devono essere etichettati
-
[IoT.2] le azioni di AWS IoT Core mitigazione devono essere etichettate
-
[IoT.3] le AWS IoT Core dimensioni devono essere etichettate
-
gli AWS IoT Core autorizzatori [IoT.4] devono essere etichettati
-
[IoT.5] gli alias dei AWS IoT Core ruoli devono essere etichettati
-
[Kinesis.1] Gli stream Kinesis devono essere crittografati quando sono inattivi
-
[Lambda.5] Le funzioni VPC Lambda devono funzionare in più zone di disponibilità
-
[Macie.2] Il rilevamento automatico dei dati sensibili di Macie deve essere abilitato
-
[MQ.5] I broker ActiveMQ devono utilizzare la modalità di distribuzione attiva/standby
-
[MQ.6] I broker RabbitMQ dovrebbero utilizzare la modalità di distribuzione del cluster
-
[MSK.1] MSK i cluster devono essere crittografati durante il transito tra i nodi broker
-
[MSK.2] i MSK cluster dovrebbero avere configurato un monitoraggio avanzato
-
[Neptune.1] I cluster Neptune DB devono essere crittografati a riposo
-
[Neptune.2] I cluster Neptune DB devono pubblicare i log di controllo su Logs CloudWatch
-
[Neptune.3] Le istantanee del cluster Neptune DB non devono essere pubbliche
-
[Neptune.4] I cluster Neptune DB devono avere la protezione da eliminazione abilitata
-
[Neptune.5] I cluster Neptune DB devono avere i backup automatici abilitati
-
[Neptune.6] Le istantanee del cluster Neptune DB devono essere crittografate quando sono inattive
-
[Neptune.7] I cluster Neptune DB devono avere l'autenticazione del database abilitata IAM
-
[Neptune.8] I cluster Neptune DB devono essere configurati per copiare i tag nelle istantanee
-
[Neptune.9] I cluster Neptune DB devono essere distribuiti su più zone di disponibilità
-
[NetworkFirewall.2] La registrazione del Network Firewall deve essere abilitata
-
[NetworkFirewall.3] Le policy di Network Firewall devono avere almeno un gruppo di regole associato
-
[NetworkFirewall.6] Il gruppo di regole Stateless Network Firewall non deve essere vuoto
-
[NetworkFirewall.7] I firewall Network Firewall devono essere etichettati
-
[NetworkFirewall.8] Le politiche firewall di Network Firewall devono essere etichettate
-
[NetworkFirewall.9] I firewall Network Firewall devono avere la protezione da eliminazione abilitata
-
I OpenSearch domini [Opensearch.1] devono avere la crittografia a riposo abilitata
-
I OpenSearch domini [Opensearch.2] non devono essere accessibili al pubblico
-
I OpenSearch domini [Opensearch.3] devono crittografare i dati inviati tra i nodi
-
I OpenSearch domini [Opensearch.5] devono avere la registrazione di controllo abilitata
-
I OpenSearch domini [Opensearch.6] devono avere almeno tre nodi di dati
-
I OpenSearch domini [Opensearch.7] devono avere un controllo degli accessi granulare abilitato
-
I OpenSearch domini [Opensearch.9] devono essere etichettati
-
[PCA.1] l'autorità di certificazione AWS Private CA principale deve essere disabilitata
-
[RDS.12] IAM l'autenticazione deve essere configurata per i cluster RDS
-
[RDS.13] gli aggiornamenti RDS automatici delle versioni secondarie devono essere abilitati
-
[RDS.14] I cluster Amazon Aurora dovrebbero avere il backtracking abilitato
-
[RDS.15] I cluster RDS DB devono essere configurati per più zone di disponibilità
-
[RDS.24] I cluster di RDS database devono utilizzare un nome utente di amministratore personalizzato
-
[RDS.26] Le istanze RDS DB devono essere protette da un piano di backup
-
[RDS.27] I cluster RDS DB devono essere crittografati quando sono inattivi
-
[RDS.29] Le istantanee dei cluster RDS DB devono essere etichettate
-
[RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati
-
[RDS.33] I gruppi di RDS sottoreti DB devono essere etichettati
-
[RDS.34] Aurora I SQL miei cluster DB dovrebbero pubblicare i log di controllo in Logs CloudWatch
-
[Redshift.7] I cluster Redshift dovrebbero utilizzare un routing avanzato VPC
-
[Redshift.9] I cluster Redshift non devono utilizzare il nome di database predefinito
-
[Redshift.10] I cluster Redshift devono essere crittografati a riposo
-
[Redshift.12] Le sottoscrizioni alle notifiche degli eventi Redshift devono essere contrassegnate
-
[Redshift.13] Le istantanee del cluster Redshift devono essere etichettate
-
[Redshift.14] I gruppi di sottoreti del cluster Redshift devono essere etichettati
-
[Route53.1] I controlli sanitari della Route 53 devono essere etichettati
-
[Route53.2] Le zone ospitate pubblicamente su Route 53 devono registrare le interrogazioni DNS
-
[S3.1] I bucket generici S3 devono avere le impostazioni di blocco dell'accesso pubblico abilitate
-
[S3.8] I bucket generici S3 dovrebbero bloccare l'accesso pubblico
-
[S3.11] I bucket generici S3 devono avere le notifiche degli eventi abilitate
-
[S3.12] non ACLs deve essere usato per gestire l'accesso degli utenti ai bucket generici S3
-
[S3.13] I bucket S3 per uso generico devono avere configurazioni del ciclo di vita
-
[S3.14] I bucket generici S3 devono avere il controllo delle versioni abilitato
-
[S3.20] I bucket generici S3 dovrebbero avere l'opzione di cancellazione abilitata MFA
-
[SageMaker.1] Le istanze di SageMaker notebook Amazon non devono avere accesso diretto a Internet
-
[SageMaker.2] le istanze di SageMaker notebook devono essere avviate in modo personalizzato VPC
-
[SageMaker.3] Gli utenti non devono avere accesso root alle SageMaker istanze dei notebook
-
[SES.1] gli elenchi di SES contatti devono essere etichettati
-
[SES.2] i set di SES configurazione devono essere etichettati
-
[SecretsManager.3] Rimuovi i segreti inutilizzati di Secrets Manager
-
[SecretsManager.5] I segreti di Secrets Manager devono essere etichettati
-
[StepFunctions.1] Le macchine a stati Step Functions dovrebbero avere la registrazione attivata
-
[StepFunctions.2] Le attività di Step Functions devono essere etichettate
-
I AWS Transfer Family flussi di lavoro [Transfer.1] devono essere etichettati
-
[WAF.1] La ACL registrazione Web globale AWS WAF classica deve essere abilitata
-
[WAF.2] Le regole regionali AWS WAF classiche devono avere almeno una condizione
-
[WAF.3] I gruppi di regole regionali AWS WAF classici devono avere almeno una regola
-
[WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione
-
[WAF.7] I gruppi di regole globali AWS WAF classici devono avere almeno una regola
-
[WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole
-
[WAF.10] AWS WAF web ACLs dovrebbe avere almeno una regola o un gruppo di regole
-
[WAF.11] la ACL registrazione AWS WAF web deve essere abilitata
-
[WAF.12] AWS WAF le regole devono avere le metriche abilitate CloudWatch
AWS GovCloud (Stati Uniti occidentali)
I seguenti controlli non sono supportati in AWS GovCloud (Stati Uniti occidentali).
-
[Account.1] Le informazioni di contatto di sicurezza devono essere fornite per un Account AWS
-
[Account.2] Account AWS deve far parte di un'organizzazione AWS Organizations
-
[APIGateway.3] Le REST API fasi del API gateway devono avere AWS X-Ray la traccia abilitata
-
[APIGateway.4] Il API gateway deve essere associato a un sito Web WAF ACL
-
[APIGateway.8] Le route API gateway devono specificare un tipo di autorizzazione
-
[APIGateway.9] La registrazione degli accessi deve essere configurata per API Gateway V2 Stages
-
[AppSync.2] AWS AppSync dovrebbe avere la registrazione a livello di campo abilitata
-
[AppSync.4] AWS AppSync APIs GraphQL dovrebbe essere taggato
-
[AppSync.5] AWS AppSync APIs GraphQL non deve essere autenticato con chiavi API
-
[Athena.2] I cataloghi di dati Athena devono essere etichettati
-
[Athena.3] I gruppi di lavoro Athena devono essere etichettati
-
[AutoScaling.2] Il gruppo Amazon EC2 Auto Scaling dovrebbe coprire più zone di disponibilità
-
[AutoScaling.9] I gruppi Amazon EC2 Auto Scaling devono utilizzare i modelli di lancio di Amazon EC2
-
[AutoScaling.10] I gruppi EC2 Auto Scaling devono essere etichettati
-
[Backup.2] i punti di AWS Backup ripristino devono essere etichettati
-
[Backup.4] i piani di AWS Backup report devono essere etichettati
-
[Backup.5] i piani di AWS Backup backup devono essere etichettati
-
[CloudFormation.2] gli CloudFormation stack devono essere etichettati
-
[CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato
-
[CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito
-
[CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine
-
[CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata
-
[CloudFront.6] le distribuzioni avrebbero dovuto essere abilitate CloudFront WAF
-
[CloudFront.7] CloudFront le distribuzioni devono utilizzare certificati/personalizzati SSL TLS
-
[CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti
-
[CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine
-
[CloudFront.14] CloudFront le distribuzioni devono essere etichettate
-
[CloudTrail.9] i percorsi devono essere etichettati CloudTrail
-
[CloudWatch.15] gli CloudWatch allarmi devono avere azioni specificate configurate
-
[CloudWatch.17] le azioni di CloudWatch allarme devono essere attivate
-
[CodeArtifact.1] i CodeArtifact repository devono essere etichettati
-
[CodeBuild.3] I log CodeBuild S3 devono essere crittografati
-
[CodeBuild.4] Gli ambienti di CodeBuild progetto devono avere una durata di registrazione AWS Config
-
[Detective.1] I grafici del comportamento dei Detective devono essere etichettati
-
[DMS.3] le sottoscrizioni agli DMS eventi devono essere contrassegnate
-
[DMS.5] i sottoreti di DMS replica devono essere etichettati
-
[DocumentDB.1] I cluster Amazon DocumentDB devono essere crittografati quando sono inattivi
-
[DocumentDB.3] Le istantanee manuali dei cluster di Amazon DocumentDB non devono essere pubbliche
-
[DocumentDB.4] I cluster Amazon DocumentDB devono pubblicare i log di controllo su Logs CloudWatch
-
[DocumentDB.5] I cluster Amazon DocumentDB devono avere la protezione da eliminazione abilitata
-
[DynamoDB.1] Le tabelle DynamoDB dovrebbero scalare automaticamente la capacità in base alla domanda
-
[DynamoDB.3] I cluster DynamoDB Accelerator () devono essere crittografati quando sono inattivi DAX
-
[DynamoDB.4] Le tabelle DynamoDB devono essere presenti in un piano di backup
-
[DynamoDB.7] I cluster DynamoDB Accelerator devono essere crittografati in transito
-
[EC2.15] Le EC2 sottoreti Amazon non devono assegnare automaticamente indirizzi IP pubblici
-
[EC2.16] Gli elenchi di controllo degli accessi alla rete non utilizzati devono essere rimossi
-
[EC2.17] EC2 Le istanze Amazon non devono utilizzare più istanze ENIs
-
[EC2.22] I gruppi di EC2 sicurezza Amazon non utilizzati devono essere rimossi
-
[EC2.24] I tipi di istanze EC2 paravirtuali di Amazon non devono essere utilizzati
-
[EC2.25] I modelli di EC2 lancio di Amazon non devono assegnare interfacce IPs di rete pubbliche
-
[EC2.28] EBS i volumi devono essere coperti da un piano di backup
-
[EC2.33] Gli allegati di EC2 Transit Gateway devono essere etichettati
-
[EC2.34] Le tabelle delle rotte dei gateway di EC2 transito devono essere etichettate
-
[EC2.35] le interfacce EC2 di rete devono essere etichettate
-
[EC2.36] I gateway per i EC2 clienti devono essere etichettati
-
[EC2.37] Gli indirizzi IP EC2 elastici devono essere etichettati
-
[EC2.42] le tabelle delle EC2 rotte devono essere etichettate
-
[EC2.43] i gruppi EC2 di sicurezza devono essere etichettati
-
[EC2.47] I servizi VPC endpoint di Amazon devono essere etichettati
-
[EC2.48] I log di VPC flusso di Amazon devono essere etichettati
-
[EC2.49] Le connessioni VPC peering di Amazon devono essere etichettate
-
[EC2.52] i gateway di EC2 transito devono essere etichettati
-
[ECR.1] I repository ECR privati dovrebbero avere la scansione delle immagini configurata
-
[ECR.2] I repository ECR privati devono avere configurata l'immutabilità dei tag
-
[ECR.3] I ECR repository devono avere almeno una politica del ciclo di vita configurata
-
[ECS.4] ECS I contenitori devono essere eseguiti come non privilegiati
-
[ECS.5] ECS I contenitori devono essere limitati all'accesso in sola lettura ai filesystem root
-
[ECS.8] I segreti non devono essere passati come variabili di ambiente del contenitore
-
[ECS.9] le definizioni delle ECS attività devono avere una configurazione di registrazione
-
[ECS.15] le definizioni delle ECS attività devono essere etichettate
-
[EFS.2] EFS I volumi Amazon devono essere inclusi nei piani di backup
-
[EFS.3] i punti di EFS accesso devono applicare una directory principale
-
[EFS.4] i punti di EFS accesso devono imporre l'identità di un utente
-
[EKS.1] gli endpoint EKS del cluster non dovrebbero essere accessibili al pubblico
-
[EKS.2] EKS i cluster devono essere eseguiti su una versione di Kubernetes supportata
-
[EKS.7] le configurazioni dei provider di EKS identità devono essere contrassegnate
-
[EKS.8] i EKS cluster dovrebbero avere la registrazione di controllo abilitata
-
[ELB.10] Classic Load Balancer dovrebbe estendersi su più zone di disponibilità
-
[ELB.16] Gli Application Load Balancer devono essere associati a un sito Web AWS WAF ACL
-
[ElastiCache.1] I cluster ElastiCache Redis dovrebbero avere il backup automatico abilitato
-
[ElastiCache.5] I gruppi di replica ElastiCache (RedisOSS) devono essere crittografati in transito
-
[ElastiCache.7] i ElastiCache cluster non devono utilizzare il gruppo di sottoreti predefinito
-
[ElasticBeanstalk.3] Elastic Beanstalk dovrebbe trasmettere i log a CloudWatch
-
[EMR.2] L'impostazione di EMR blocco dell'accesso pubblico di Amazon deve essere abilitata
-
[EventBridge.2] i bus EventBridge degli eventi devono essere etichettati
-
[EventBridge.4] gli endpoint EventBridge globali dovrebbero avere la replica degli eventi abilitata
-
[FSx.1] FSx per i ZFS file system Open deve essere configurato per copiare i tag su backup e volumi
-
[FSx.2] FSx per i file system Lustre deve essere configurato per copiare i tag nei backup
-
[GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati
-
[GuardDuty.4] i GuardDuty rilevatori devono essere etichettati
-
[GuardDuty.8] La protezione GuardDuty da malware per deve essere abilitata EC2
-
[GuardDuty.9] GuardDuty RDS La protezione deve essere abilitata
-
[IAM.6] L'hardware MFA deve essere abilitato per l'utente root
-
[IAM.23] Gli analizzatori IAM Access Analyzer devono essere etichettati
-
[IAM.28] IAM L'analizzatore di accesso esterno Access Analyzer deve essere abilitato
-
[Inspector.3] La scansione del codice Amazon Inspector Lambda deve essere abilitata
-
[IoT.1] i profili di AWS IoT Core sicurezza devono essere etichettati
-
[IoT.2] le azioni di AWS IoT Core mitigazione devono essere etichettate
-
[IoT.3] le AWS IoT Core dimensioni devono essere etichettate
-
gli AWS IoT Core autorizzatori [IoT.4] devono essere etichettati
-
[IoT.5] gli alias dei AWS IoT Core ruoli devono essere etichettati
-
[Kinesis.1] Gli stream Kinesis devono essere crittografati quando sono inattivi
-
[Lambda.5] Le funzioni VPC Lambda devono funzionare in più zone di disponibilità
-
[Macie.2] Il rilevamento automatico dei dati sensibili di Macie deve essere abilitato
-
[MQ.5] I broker ActiveMQ devono utilizzare la modalità di distribuzione attiva/standby
-
[MQ.6] I broker RabbitMQ dovrebbero utilizzare la modalità di distribuzione del cluster
-
[MSK.1] MSK i cluster devono essere crittografati durante il transito tra i nodi broker
-
[MSK.2] i MSK cluster dovrebbero avere configurato un monitoraggio avanzato
-
[Neptune.1] I cluster Neptune DB devono essere crittografati a riposo
-
[Neptune.2] I cluster Neptune DB devono pubblicare i log di controllo su Logs CloudWatch
-
[Neptune.3] Le istantanee del cluster Neptune DB non devono essere pubbliche
-
[Neptune.4] I cluster Neptune DB devono avere la protezione da eliminazione abilitata
-
[Neptune.5] I cluster Neptune DB devono avere i backup automatici abilitati
-
[Neptune.6] Le istantanee del cluster Neptune DB devono essere crittografate quando sono inattive
-
[Neptune.7] I cluster Neptune DB devono avere l'autenticazione del database abilitata IAM
-
[Neptune.8] I cluster Neptune DB devono essere configurati per copiare i tag nelle istantanee
-
[Neptune.9] I cluster Neptune DB devono essere distribuiti su più zone di disponibilità
-
[NetworkFirewall.2] La registrazione del Network Firewall deve essere abilitata
-
[NetworkFirewall.3] Le policy di Network Firewall devono avere almeno un gruppo di regole associato
-
[NetworkFirewall.6] Il gruppo di regole Stateless Network Firewall non deve essere vuoto
-
[NetworkFirewall.7] I firewall Network Firewall devono essere etichettati
-
[NetworkFirewall.8] Le politiche firewall di Network Firewall devono essere etichettate
-
[NetworkFirewall.9] I firewall Network Firewall devono avere la protezione da eliminazione abilitata
-
I OpenSearch domini [Opensearch.1] devono avere la crittografia a riposo abilitata
-
I OpenSearch domini [Opensearch.2] non devono essere accessibili al pubblico
-
I OpenSearch domini [Opensearch.3] devono crittografare i dati inviati tra i nodi
-
I OpenSearch domini [Opensearch.5] devono avere la registrazione di controllo abilitata
-
I OpenSearch domini [Opensearch.6] devono avere almeno tre nodi di dati
-
I OpenSearch domini [Opensearch.7] devono avere un controllo degli accessi granulare abilitato
-
I OpenSearch domini [Opensearch.9] devono essere etichettati
-
[PCA.1] l'autorità di certificazione AWS Private CA principale deve essere disabilitata
-
[RDS.12] IAM l'autenticazione deve essere configurata per i cluster RDS
-
[RDS.13] gli aggiornamenti RDS automatici delle versioni secondarie devono essere abilitati
-
[RDS.14] I cluster Amazon Aurora dovrebbero avere il backtracking abilitato
-
[RDS.15] I cluster RDS DB devono essere configurati per più zone di disponibilità
-
[RDS.24] I cluster di RDS database devono utilizzare un nome utente di amministratore personalizzato
-
[RDS.26] Le istanze RDS DB devono essere protette da un piano di backup
-
[RDS.27] I cluster RDS DB devono essere crittografati quando sono inattivi
-
[RDS.29] Le istantanee dei cluster RDS DB devono essere etichettate
-
[RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati
-
[RDS.33] I gruppi di RDS sottoreti DB devono essere etichettati
-
[RDS.34] Aurora I SQL miei cluster DB dovrebbero pubblicare i log di controllo in Logs CloudWatch
-
[Redshift.7] I cluster Redshift dovrebbero utilizzare un routing avanzato VPC
-
[Redshift.9] I cluster Redshift non devono utilizzare il nome di database predefinito
-
[Redshift.10] I cluster Redshift devono essere crittografati a riposo
-
[Redshift.12] Le sottoscrizioni alle notifiche degli eventi Redshift devono essere contrassegnate
-
[Redshift.13] Le istantanee del cluster Redshift devono essere etichettate
-
[Redshift.14] I gruppi di sottoreti del cluster Redshift devono essere etichettati
-
[Route53.1] I controlli sanitari della Route 53 devono essere etichettati
-
[Route53.2] Le zone ospitate pubblicamente su Route 53 devono registrare le interrogazioni DNS
-
[S3.1] I bucket generici S3 devono avere le impostazioni di blocco dell'accesso pubblico abilitate
-
[S3.8] I bucket generici S3 dovrebbero bloccare l'accesso pubblico
-
[S3.11] I bucket generici S3 devono avere le notifiche degli eventi abilitate
-
[S3.12] non ACLs deve essere usato per gestire l'accesso degli utenti ai bucket generici S3
-
[S3.13] I bucket S3 per uso generico devono avere configurazioni del ciclo di vita
-
[S3.14] I bucket generici S3 devono avere il controllo delle versioni abilitato
-
[S3.20] I bucket generici S3 dovrebbero avere l'opzione di cancellazione abilitata MFA
-
[SageMaker.2] le istanze di SageMaker notebook devono essere avviate in modo personalizzato VPC
-
[SageMaker.3] Gli utenti non devono avere accesso root alle SageMaker istanze dei notebook
-
[SES.1] gli elenchi di SES contatti devono essere etichettati
-
[SES.2] i set di SES configurazione devono essere etichettati
-
[SecretsManager.3] Rimuovi i segreti inutilizzati di Secrets Manager
-
[SecretsManager.5] I segreti di Secrets Manager devono essere etichettati
-
[StepFunctions.1] Le macchine a stati Step Functions dovrebbero avere la registrazione attivata
-
[StepFunctions.2] Le attività di Step Functions devono essere etichettate
-
I AWS Transfer Family flussi di lavoro [Transfer.1] devono essere etichettati
-
[WAF.1] La ACL registrazione Web globale AWS WAF classica deve essere abilitata
-
[WAF.2] Le regole regionali AWS WAF classiche devono avere almeno una condizione
-
[WAF.3] I gruppi di regole regionali AWS WAF classici devono avere almeno una regola
-
[WAF.6] Le regole globali AWS WAF classiche devono avere almeno una condizione
-
[WAF.7] I gruppi di regole globali AWS WAF classici devono avere almeno una regola
-
[WAF.8] Il Web globale AWS WAF classico ACLs dovrebbe avere almeno una regola o un gruppo di regole
-
[WAF.10] AWS WAF web ACLs dovrebbe avere almeno una regola o un gruppo di regole
-
[WAF.11] la ACL registrazione AWS WAF web deve essere abilitata
-
[WAF.12] AWS WAF le regole devono avere le metriche abilitate CloudWatch