Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
AWS Secrets Manager controlli
Questi controlli sono correlati alle risorse di Secrets Manager.
Questi controlli potrebbero non essere disponibili in tutti Regioni AWS. Per ulteriori informazioni, consulta Disponibilità dei controlli per regione.
[SecretsManager.1] I segreti di Secrets Manager devono avere la rotazione automatica abilitata
Requisiti correlati: NIST .800-53.r5 AC-2 (1), .800-53.r5 AC-3 (15) NIST
Categoria: Protezione > Sviluppo protetto
Gravità: media
Tipo di risorsa: AWS::SecretsManager::Secret
Regola AWS Config : secretsmanager-rotation-enabled-check
Tipo di pianificazione: modifica attivata
Parametri:
| Parametro | Descrizione | Type | Valori personalizzati consentiti | Valore predefinito di Security Hub |
|---|---|---|---|---|
|
|
Numero massimo di giorni consentito per la frequenza di rotazione segreta |
Numero intero |
|
Nessun valore predefinito |
Questo controllo verifica se un segreto memorizzato in AWS Secrets Manager è configurato con rotazione automatica. Il controllo fallisce se il segreto non è configurato con la rotazione automatica. Se si fornisce un valore personalizzato per il maximumAllowedRotationFrequency parametro, il controllo passa solo se il segreto viene ruotato automaticamente all'interno della finestra temporale specificata.
Secrets Manager ti aiuta a migliorare il livello di sicurezza della tua organizzazione. I segreti includono credenziali del database, password e chiavi di terze parti. API È possibile utilizzare Secrets Manager per archiviare i segreti centralmente, crittografarli automaticamente, controllare l'accesso ai segreti e ruotare i segreti in modo sicuro e automatico.
Secrets Manager può ruotare i segreti. È possibile utilizzare la rotazione per sostituire i segreti a lungo termine con segreti a breve termine. La rotazione dei segreti limita il tempo per cui un utente non autorizzato può utilizzare un segreto compromesso. Per questo motivo, dovresti ruotare frequentemente i tuoi segreti. Per saperne di più sulla rotazione, consulta Ruotare AWS Secrets Manager i tuoi segreti nella Guida per l'AWS Secrets Manager utente.
Correzione
Per attivare la rotazione automatica per i segreti di Secrets Manager, consulta Configurare la rotazione automatica per AWS Secrets Manager i segreti utilizzando la console nella Guida per l'AWS Secrets Manager utente. È necessario scegliere e configurare una AWS Lambda funzione per la rotazione.
[SecretsManager.2] I segreti di Secrets Manager configurati con rotazione automatica dovrebbero ruotare correttamente
Requisiti correlati: NIST .800-53.r5 AC-2 (1), .800-53.r5 AC-3 (15) NIST
Categoria: Protezione > Sviluppo protetto
Gravità: media
Tipo di risorsa: AWS::SecretsManager::Secret
Regola AWS Config : secretsmanager-scheduled-rotation-success-check
Tipo di pianificazione: modifica attivata
Parametri: nessuno
Questo controllo verifica se un AWS Secrets Manager segreto è stato ruotato correttamente in base al programma di rotazione. Se lo RotationOccurringAsScheduled èfalse, il controllo fallisce. Il controllo valuta solo i segreti per i quali la rotazione è attivata.
Secrets Manager ti aiuta a migliorare il livello di sicurezza della tua organizzazione. I segreti includono credenziali del database, password e chiavi di terze parti. API È possibile utilizzare Secrets Manager per archiviare i segreti centralmente, crittografarli automaticamente, controllare l'accesso ai segreti e ruotare i segreti in modo sicuro e automatico.
Secrets Manager può ruotare i segreti. È possibile utilizzare la rotazione per sostituire i segreti a lungo termine con segreti a breve termine. La rotazione dei segreti limita il tempo per cui un utente non autorizzato può utilizzare un segreto compromesso. Per questo motivo, dovresti ruotare frequentemente i tuoi segreti.
Oltre a configurare i segreti in modo che ruotino automaticamente, è necessario assicurarsi che tali segreti ruotino correttamente in base alla pianificazione di rotazione.
Per ulteriori informazioni sulla rotazione, consulta Rotating your AWS Secrets Manager secret nella Guida per l'utente.AWS Secrets Manager
Correzione
Se la rotazione automatica fallisce, Secrets Manager potrebbe aver riscontrato degli errori nella configurazione. Per ruotare i segreti in Secrets Manager, si utilizza una funzione Lambda che definisce come interagire con il database o il servizio proprietario del segreto.
Per facilitare la diagnosi e la correzione degli errori comuni relativi alla rotazione dei segreti, consulta Risoluzione dei problemi relativi alla AWS Secrets Manager rotazione dei segreti nella Guida per l'AWS Secrets Manager utente.
[SecretsManager.3] Rimuovi i segreti inutilizzati di Secrets Manager
Requisiti correlati: NIST .800-53.r5 AC-2 (1), .800-53.r5 AC-3 (15) NIST
Categoria: Protezione > Gestione degli accessi sicuri
Gravità: media
Tipo di risorsa: AWS::SecretsManager::Secret
Regola AWS Config : secretsmanager-secret-unused
Tipo di pianificazione: periodica
Parametri:
| Parametro | Descrizione | Type | Valori personalizzati consentiti | Valore predefinito di Security Hub |
|---|---|---|---|---|
|
|
Numero massimo di giorni in cui un segreto può rimanere inutilizzato |
Numero intero |
|
|
Questo controllo verifica se è stato effettuato l'accesso a un AWS Secrets Manager segreto entro il periodo di tempo specificato. Il controllo ha esito negativo se un segreto non viene utilizzato oltre il periodo di tempo specificato. A meno che non si fornisca un valore di parametro personalizzato per il periodo di accesso, Security Hub utilizza un valore predefinito di 90 giorni.
L'eliminazione dei segreti inutilizzati è importante tanto quanto la rotazione dei segreti. I segreti non utilizzati possono essere sfruttati in modo improprio dai precedenti utenti, che non hanno più bisogno di accedere a questi segreti. Inoltre, man mano che sempre più utenti accedono a un segreto, qualcuno potrebbe averlo gestito male e divulgato a un'entità non autorizzata, il che aumenta il rischio di abuso. L'eliminazione di segreti inutilizzati aiuta a revocare l'accesso segreto agli utenti che non ne hanno più bisogno. Inoltre aiuta a ridurre i costi di utilizzo di Secrets Manager. Pertanto, è essenziale eliminare regolarmente i segreti non utilizzati.
Correzione
Per eliminare i segreti inattivi di Secrets Manager, consulta Eliminare un AWS Secrets Manager segreto nella Guida per l'AWS Secrets Manager utente.
[SecretsManager.4] I segreti di Secrets Manager devono essere ruotati entro un determinato numero di giorni
Requisiti correlati: NIST .800-53.r5 AC-2 (1), .800-53.r5 AC-3 (15) NIST
Categoria: Protezione > Gestione degli accessi sicuri
Gravità: media
Tipo di risorsa: AWS::SecretsManager::Secret
Regola AWS Config : secretsmanager-secret-periodic-rotation
Tipo di pianificazione: periodica
Parametri:
| Parametro | Descrizione | Type | Valori personalizzati consentiti | Valore predefinito di Security Hub |
|---|---|---|---|---|
|
|
Numero massimo di giorni in cui un segreto può rimanere invariato |
Numero intero |
|
|
Questo controllo verifica se un AWS Secrets Manager segreto viene ruotato almeno una volta entro l'intervallo di tempo specificato. Il controllo fallisce se un segreto non viene ruotato almeno così frequentemente. A meno che non si fornisca un valore di parametro personalizzato per il periodo di rotazione, Security Hub utilizza un valore predefinito di 90 giorni.
La rotazione dei segreti può aiutarti a ridurre il rischio di un uso non autorizzato dei tuoi segreti al tuo interno. Account AWS Gli esempi includono credenziali di database, password, API chiavi di terze parti e persino testo arbitrario. Se non si modificano i segreti per un lungo periodo di tempo, è più probabile che i segreti vengano compromessi.
Man mano che sempre più utenti accedono a un segreto, è più probabile che qualcuno lo abbia gestito male e lo abbia divulgato a un'entità non autorizzata. I segreti possono essere fatti trapelare attraverso i log e i dati della cache. Possono essere condivisi per scopi di debug e non modificati o revocati una volta completato il debug. Per tutti questi motivi, i segreti dovrebbero essere ruotati frequentemente.
È possibile configurare la rotazione automatica dei segreti in. AWS Secrets Manager Con la rotazione automatica, è possibile sostituire i segreti a lungo termine con quelli a breve termine, riducendo notevolmente il rischio di compromissione. Ti consigliamo di configurare la rotazione automatica per i tuoi segreti di Secrets Manager. Per ulteriori informazioni, consulta Rotazione dei segreti AWS Secrets Manager nella Guida per l'utente di AWS Secrets Manager .
Correzione
Per attivare la rotazione automatica per i segreti di Secrets Manager, consulta Configurare la rotazione automatica per AWS Secrets Manager i segreti utilizzando la console nella Guida per l'AWS Secrets Manager utente. È necessario scegliere e configurare una AWS Lambda funzione per la rotazione.
[SecretsManager.5] I segreti di Secrets Manager devono essere etichettati
Categoria: Identificazione > Inventario > Etichettatura
Gravità: bassa
Tipo di risorsa: AWS::SecretsManager::Secret
AWS Config regola: tagged-secretsmanager-secret (regola Security Hub personalizzata)
Tipo di pianificazione: modifica attivata
Parametri:
| Parametro | Descrizione | Type | Valori personalizzati consentiti | Valore predefinito di Security Hub |
|---|---|---|---|---|
requiredTagKeys
|
Elenco delle chiavi di tag non di sistema che la risorsa valutata deve contenere. Le chiavi dei tag prevedono una distinzione tra lettere maiuscole e minuscole. | StringList | Elenco di tag che soddisfano i requisiti AWS |
No default value
|
Questo controllo verifica se un AWS Secrets Manager segreto contiene tag con le chiavi specifiche definite nel parametrorequiredTagKeys. Il controllo fallisce se il segreto non ha alcuna chiave di tag o se non ha tutte le chiavi specificate nel parametrorequiredTagKeys. Se il parametro requiredTagKeys non viene fornito, il controllo verifica solo l'esistenza di una chiave di tag e fallisce se il segreto non è etichettato con alcuna chiave. I tag di sistema, che vengono applicati automaticamente e iniziano conaws:, vengono ignorati.
Un tag è un'etichetta che si assegna a una AWS risorsa e consiste in una chiave e un valore opzionale. È possibile creare tag per suddividere le risorse in categorie in base a scopo, proprietari, ambiente o ad altri criteri. I tag possono aiutarti a identificare, organizzare, cercare e filtrare le risorse. L'etichettatura consente inoltre di tenere traccia delle azioni e delle notifiche dei proprietari delle risorse responsabili. Quando si utilizza il tagging, è possibile implementare il controllo di accesso basato sugli attributi (ABAC) come strategia di autorizzazione, che definisce le autorizzazioni in base ai tag. È possibile allegare tag alle IAM entità (utenti o ruoli) e alle risorse. AWS È possibile creare una singola ABAC politica o un insieme separato di politiche per IAM i responsabili. È possibile progettare queste ABAC politiche per consentire le operazioni quando il tag del principale corrisponde al tag della risorsa. Per ulteriori informazioni, consulta A cosa ABAC serve AWS? nella Guida IAM per l'utente.
Nota
Non aggiungere informazioni di identificazione personale (PII) o altre informazioni riservate o sensibili nei tag. I tag sono accessibili a molti AWS servizi, tra cui. AWS Billing Per ulteriori best practice in materia di etichettatura, consulta Taggare le AWS risorse in. Riferimenti generali di AWS
Correzione
Per aggiungere tag a un segreto di Secrets Manager, consulta Tag AWS Secrets Manager secrets nella Guida AWS Secrets Manager per l'utente.
