Profilo CRI v2.2 nel Security Hub CSPM

Il CRI Profile è un framework di sicurezza informatica sviluppato dal Cyber Risk Institute (CRI), una coalizione senza scopo di lucro di istituzioni finanziarie e associazioni di categoria. Il framework armonizza la sicurezza informatica e le aspettative normative per il settore dei servizi finanziari in una serie di requisiti comuni. Ciò consente a un'organizzazione di valutare se stessa una sola volta e di riferire in base a più normative. Per ulteriori informazioni sul framework e sui relativi requisiti, consulta la panoramica del profilo CRI sul sito Web del Cyber Risk Institute.

AWS Security Hub CSPM fornisce controlli di sicurezza che supportano un sottoinsieme di requisiti CRI Profile v2.2. I controlli eseguono controlli di sicurezza automatici per determinate risorse. Servizi AWS Per abilitare e gestire questi controlli, è possibile abilitare CRI Profile v2.2 come standard in Security Hub CSPM. Tieni presente che i controlli non supportano i requisiti del profilo CRI v2.2 che richiedono controlli manuali.

L'attivazione di questo standard e il superamento dei relativi controlli non stabiliscono o certificano di per sé la conformità al CRI Profile v2.2. La conformità dipende dalle pratiche organizzative e operative che Security Hub CSPM non è in grado di valutare.

Controlli che si applicano allo standard

L'elenco seguente specifica quali controlli CSPM di Security Hub si applicano al profilo CRI v2.2. Per esaminare i dettagli di un controllo, scegli il controllo.

• [Account.1] Le informazioni di contatto per la sicurezza devono essere fornite per un Account AWS

• [Account.2] Account AWS dovrebbe far parte di un AWS Organizations organizzazione

• [ACM.1] ACM-issued I certificati importati devono essere rinnovati dopo un periodo di tempo specificato

• [ACM.2] I certificati RSA gestiti da ACM devono utilizzare una lunghezza di chiave di almeno 2.048 bit

• [Amplify.2] I rami Amplify devono essere etichettati

• [APIGateway.1] API Gateway REST e la registrazione dell'esecuzione dell' WebSocket API devono essere abilitati

• [APIGateway.2] Le fasi API REST di API Gateway devono essere configurate per utilizzare i certificati SSL per l'autenticazione del backend

• [APIGateway.3] Le fasi API REST di API Gateway dovrebbero avere AWS X-Ray tracciamento abilitato

• [APIGateway.4] API Gateway deve essere associato a un ACL Web WAF

• [APIGateway.5] I dati della cache dell'API REST di API Gateway devono essere crittografati quando sono inattivi

• [APIGateway.8] Le rotte API Gateway devono specificare un tipo di autorizzazione

• [APIGateway.9] La registrazione degli accessi deve essere configurata per API Gateway V2 Stages

• [AppFlow.1] I AppFlow flussi Amazon devono essere etichettati

• [AppRunner.1] I servizi App Runner devono essere etichettati

• [AppSync.2] AWS AppSync dovrebbe avere la registrazione a livello di campo abilitata

• [AppSync.5] AWS AppSync Le API GraphQL non devono essere autenticate con chiavi API

• [Athena.4] I gruppi di lavoro Athena dovrebbero avere la registrazione abilitata

• [AutoScaling.1] I gruppi di Auto Scaling associati a un sistema di bilanciamento del carico devono utilizzare i controlli di integrità ELB

• [AutoScaling.2] Il gruppo Amazon EC2 Auto Scaling dovrebbe coprire più zone di disponibilità

• [AutoScaling.3] Le configurazioni di avvio del gruppo Auto Scaling devono configurare le istanze EC2 in modo che richiedano Instance Metadata Service Version 2 (IMDSv2)

• [Autoscaling.5] Le istanze Amazon EC2 avviate utilizzando le configurazioni di avvio del gruppo Auto Scaling non devono avere indirizzi IP pubblici

• [AutoScaling.6] I gruppi di Auto Scaling devono utilizzare più tipi di istanze in più zone di disponibilità

• [AutoScaling.9] I gruppi Amazon EC2 Auto Scaling devono utilizzare i modelli di lancio di Amazon EC2

• [Backup.1] AWS Backup i punti di ripristino devono essere crittografati quando sono inattivi

• [Batch.2] Le politiche di pianificazione dei batch devono essere etichettate

• [Batch.4] Le proprietà delle risorse di calcolo negli ambienti di calcolo Batch gestiti devono essere etichettate

• [CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato

• [CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito

• [CloudFront.4] le CloudFront distribuzioni dovrebbero avere il failover di origine configurato

• [CloudFront.5] CloudFront le distribuzioni dovrebbero avere la registrazione abilitata

• [CloudFront.6] le CloudFront distribuzioni devono avere WAF abilitato

• [CloudFront.7] CloudFront le distribuzioni devono utilizzare certificati personalizzati SSL/TLS

• [CloudFront.8] CloudFront le distribuzioni devono utilizzare SNI per soddisfare le richieste HTTPS

• [CloudFront.9] CloudFront le distribuzioni devono crittografare il traffico verso origini personalizzate

• [CloudFront.10] CloudFront le distribuzioni non devono utilizzare protocolli SSL obsoleti tra edge location e origini personalizzate

• [CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti

• [CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine

• [CloudFront.15] CloudFront le distribuzioni devono utilizzare la politica di sicurezza TLS consigliata

• [CloudTrail.1] CloudTrail deve essere abilitato e configurato con almeno un percorso multiregionale che includa eventi di gestione di lettura e scrittura

• [CloudTrail.2] CloudTrail dovrebbe avere la crittografia a riposo abilitata

• [CloudTrail.3] Almeno un CloudTrail percorso deve essere abilitato

• [CloudTrail.4] la convalida dei file di CloudTrail registro dovrebbe essere abilitata

• [CloudTrail.5] i CloudTrail trail devono essere integrati con Amazon CloudWatch Logs

• [CloudTrail.6] Assicurati che il bucket S3 utilizzato per archiviare i CloudTrail log non sia accessibile al pubblico

• [CloudTrail.7] Assicurati che la registrazione degli accessi al bucket S3 sia abilitata sul bucket S3 CloudTrail

• [CloudWatch.1] Dovrebbero esistere un filtro metrico di registro e un allarme per l'utilizzo da parte dell'utente «root»

• [CloudWatch.2] Assicurati che esistano un filtro metrico di log e un allarme per le chiamate API non autorizzate

• [CloudWatch.3] Assicurati che esistano un filtro metrico di registro e un allarme per l'accesso alla console di gestione senza MFA

• [CloudWatch.4] Assicurati che esistano un filtro metrico di log e un allarme per le modifiche alle policy IAM

• [CloudWatch.5] Assicurati che esistano un filtro metrico di registro e un allarme per le modifiche CloudTrail alla configurazione

• [CloudWatch.6] Assicurati che esistano un filtro metrico di registro e un allarme per Console di gestione AWS errori di autenticazione

• [CloudWatch.7] Assicurati che esistano un filtro metrico di registro e un allarme per la disabilitazione o l'eliminazione pianificata delle chiavi gestite dal cliente

• [CloudWatch.8] Assicurati che esistano un filtro metrico di log e un allarme per le modifiche alle policy dei bucket S3

• [CloudWatch.9] Assicurati che esistano un filtro metrico di registro e un allarme per AWS Config modifiche alla configurazione

• [CloudWatch.10] Assicurati che esistano un filtro metrico di registro e un allarme per le modifiche ai gruppi di sicurezza

• [CloudWatch.11] Assicurati che esistano un filtro metrico di registro e un allarme per le modifiche alle liste di controllo degli accessi alla rete (NACL)

• [CloudWatch.12] Assicurati che esistano un filtro metrico di registro e un allarme per le modifiche ai gateway di rete

• [CloudWatch.13] Assicurati che esistano un filtro metrico di log e un allarme per le modifiche alla tabella delle rotte

• [CloudWatch.14] Assicurati che esistano un filtro metrico di registro e un allarme per le modifiche al VPC

• [CloudWatch.15] gli CloudWatch allarmi dovrebbero avere azioni specificate configurate

• [CloudWatch.16] i gruppi di CloudWatch log devono essere conservati per un periodo di tempo specificato

• [CloudWatch.17] le azioni CloudWatch di allarme devono essere attivate

• [CodeBuild.1] Gli URL del repository di origine di CodeBuild Bitbucket non devono contenere credenziali sensibili

• [CodeBuild.2] le variabili di ambiente CodeBuild del progetto non devono contenere credenziali di testo non crittografato

• [CodeBuild.3] I log CodeBuild S3 devono essere crittografati

• [CodeBuild.4] gli ambienti di CodeBuild progetto dovrebbero avere una registrazione AWS Config[durata]

• [CodeBuild.7] le esportazioni dei gruppi di CodeBuild report devono essere crittografate quando sono inattive

• [CodeGuruProfiler.1] I gruppi CodeGuru di profilazione Profiler devono essere etichettati

• [CodeGuruReviewer.1] Le associazioni CodeGuru dei repository dei revisori devono essere etichettate

• [Cognito.2] I pool di identità di Cognito non dovrebbero consentire identità non autenticate

• [Cognito.3] Le politiche relative alle password per i pool di utenti di Cognito devono avere configurazioni avanzate

• [Config.1] AWS Config deve essere abilitato e utilizzare il ruolo collegato al servizio per la registrazione delle risorse

• [Connect.2] Le istanze Connect Customer devono avere la CloudWatch registrazione abilitata

• [DataFirehose.1] I flussi di distribuzione di Firehose devono essere crittografati quando sono inattivi

• [DataSync.1] DataSync le attività dovrebbero avere la registrazione abilitata

• [DataSync.2] le DataSync attività devono essere etichettate

• [DMS.1] Le istanze di replica del Database Migration Service non devono essere pubbliche

• [DMS.6] L'aggiornamento automatico delle versioni secondarie delle istanze di replica DMS deve essere abilitato

• [DMS.7] Le attività di replica DMS per il database di destinazione devono avere la registrazione abilitata

• [DMS.8] Le attività di replica DMS per il database di origine devono avere la registrazione abilitata

• [DMS.9] Gli endpoint DMS devono utilizzare SSL

• [DMS.10] Gli endpoint DMS per i database Neptune devono avere l'autorizzazione IAM abilitata

• [DMS.11] Gli endpoint DMS per MongoDB dovrebbero avere un meccanismo di autenticazione abilitato

• [DMS.12] Gli endpoint DMS per Redis OSS devono avere TLS abilitato

• [DocumentDB.1] I cluster Amazon DocumentDB devono essere crittografati quando sono inattivi

• [DocumentDB.2] I cluster Amazon DocumentDB devono avere un periodo di conservazione dei backup adeguato

• [DocumentDB.3] Le istantanee manuali dei cluster di Amazon DocumentDB non devono essere pubbliche

• [DocumentDB.4] I cluster Amazon DocumentDB devono pubblicare i log di controllo su Logs CloudWatch

• [DocumentDB.5] I cluster Amazon DocumentDB devono avere la protezione da eliminazione abilitata

• [DocumentDB.6] I cluster Amazon DocumentDB devono essere crittografati in transito

• [DynamoDB.1] Le tabelle DynamoDB dovrebbero scalare automaticamente la capacità in base alla domanda

• [DynamoDB.2] Le tabelle DynamoDB dovrebbero avere il ripristino point-in-time abilitato

• [DynamoDB.3] I cluster DynamoDB Accelerator (DAX) devono essere crittografati quando sono inattivi

• [DynamoDB.4] Le tabelle DynamoDB devono essere presenti in un piano di backup

• [DynamoDB.6] Le tabelle DynamoDB devono avere la protezione da eliminazione abilitata

• [DynamoDB.7] I cluster DynamoDB Accelerator devono essere crittografati in transito

• [EC2.1] Le istantanee di Amazon EBS non devono essere configurate per essere ripristinabili pubblicamente

• [EC2.2] I gruppi di sicurezza VPC predefiniti non dovrebbero consentire il traffico in entrata o in uscita

• [EC2.3] I volumi Amazon EBS collegati devono essere crittografati quando sono inattivi

• [EC2.4] Le istanze EC2 interrotte devono essere rimosse dopo un periodo di tempo specificato

• [EC2.6] La registrazione del flusso VPC deve essere abilitata in tutti i VPC

• [EC2.7] La crittografia predefinita di EBS deve essere abilitata

• [EC2.8] Le istanze EC2 devono utilizzare Instance Metadata Service Version 2 (IMDSv2)

• [EC2.9] Le istanze Amazon EC2 non devono avere un indirizzo IPv4 pubblico

• [EC2.10] Amazon EC2 deve essere configurato per utilizzare gli endpoint VPC creati per il servizio Amazon EC2

• [EC2.12] Gli EIP Amazon EC2 non utilizzati devono essere rimossi

• [EC2.13] I gruppi di sicurezza non dovrebbero consentire l'ingresso da 0.0.0. 0/0 oppure: :/0 alla porta 22

• [EC2.14] I gruppi di sicurezza non dovrebbero consentire l'ingresso da 0.0.0. 0/0 oppure: :/0 alla porta 3389

• [EC2.15] Le sottoreti Amazon EC2 non devono assegnare automaticamente indirizzi IP pubblici

• [EC2.16] Le liste di controllo degli accessi alla rete non utilizzate devono essere rimosse

• [EC2.17] Le istanze Amazon EC2 non devono utilizzare più ENI

• [EC2.18] I gruppi di sicurezza devono consentire il traffico in entrata senza restrizioni solo per le porte autorizzate

• [EC2.19] I gruppi di sicurezza non devono consentire l'accesso illimitato alle porte ad alto rischio

• [EC2.20] Entrambi i tunnel VPN per un AWS Site-to-Site La connessione VPN dovrebbe essere attiva

• [EC2.21] Gli ACL di rete non dovrebbero consentire l'ingresso a partire dalla versione 0.0.0. 0/0 alla porta 22 o alla porta 3389

• [EC2.22] I gruppi di sicurezza Amazon EC2 non utilizzati devono essere rimossi

• [EC2.23] I gateway di transito Amazon EC2 non dovrebbero accettare automaticamente richieste di allegati VPC

• [EC2.24] I tipi di istanze paravirtuali di Amazon EC2 non devono essere utilizzati

• [EC2.25] I modelli di lancio di Amazon EC2 non devono assegnare IP pubblici alle interfacce di rete

• [EC2.28] I volumi EBS devono essere coperti da un piano di backup

• [EC2.51] Gli endpoint EC2 Client VPN devono avere la registrazione della connessione client abilitata

• [EC2.53] I gruppi di sicurezza EC2 non dovrebbero consentire l'ingresso da 0.0.0. 0/0 alle porte di amministrazione del server remoto

• [EC2.54] I gruppi di sicurezza EC2 non dovrebbero consentire l'accesso da: :/0 alle porte di amministrazione remota del server

• [EC2.170] I modelli di avvio EC2 devono utilizzare Instance Metadata Service Version 2 (IMDSv2)

• [EC2.171] Le connessioni VPN EC2 devono avere la registrazione abilitata

• [EC2.173] Le richieste EC2 Spot Fleet con parametri di avvio dovrebbero abilitare la crittografia per i volumi EBS collegati

• [EC2.174] I set di opzioni DHCP EC2 devono essere etichettati

• [EC2.176] Gli elenchi di prefissi EC2 devono essere etichettati

• [EC2.177] Le sessioni Traffic Mirror di EC2 devono essere etichettate

• [EC2.178] I filtri Traffic Mirror EC2 devono essere etichettati

• [EC2.180] Le interfacce di rete EC2 dovrebbero avere il controllo abilitato source/destination

• [EC2.181] I modelli di lancio EC2 dovrebbero abilitare la crittografia per i volumi EBS collegati

• [ECR.1] I repository privati ECR dovrebbero avere la scansione delle immagini configurata

• [ECR.2] I repository privati ECR devono avere configurata l'immutabilità dei tag

• [ECR.3] I repository ECR devono avere almeno una politica del ciclo di vita configurata

• [ECS.2] Ai servizi ECS non dovrebbero essere assegnati automaticamente indirizzi IP pubblici

• [ECS.3] Le definizioni delle attività ECS non devono condividere lo spazio dei nomi dei processi dell'host

• [ECS.4] I contenitori ECS devono essere eseguiti come non privilegiati

• [ECS.5] Le definizioni delle attività ECS devono configurare i contenitori in modo che siano limitati all'accesso in sola lettura ai filesystem root

• [ECS.8] I segreti non devono essere passati come variabili di ambiente del contenitore

• [ECS.9] Le definizioni delle attività ECS devono avere una configurazione di registrazione

• [ECS.10] I servizi ECS Fargate devono essere eseguiti sulla versione più recente della piattaforma Fargate

• [ECS.12] I cluster ECS devono utilizzare Container Insights

• [ECS.16] I set di attività ECS non devono assegnare automaticamente indirizzi IP pubblici

• [ECS.17] Le definizioni delle attività ECS non devono utilizzare la modalità di rete host

• [EFS.1] Elastic File System deve essere configurato per crittografare i dati dei file archiviati utilizzando AWS KMS

• [EFS.2] I volumi Amazon EFS devono essere inclusi nei piani di backup

• [EFS.3] I punti di accesso EFS devono applicare una directory principale

• [EFS.4] I punti di accesso EFS devono applicare un'identità utente

• [EFS.6] I target di montaggio EFS non devono essere associati a sottoreti che assegnano indirizzi IP pubblici all'avvio

• [EFS.7] I file system EFS devono avere i backup automatici abilitati

• [EFS.8] I file system EFS devono essere crittografati quando sono inattivi

• [EKS.1] Gli endpoint del cluster EKS non dovrebbero essere accessibili al pubblico

• [EKS.2] I cluster EKS devono essere eseguiti su una versione Kubernetes supportata

• [EKS.8] I cluster EKS dovrebbero avere la registrazione di controllo abilitata

• I cluster [ElastiCache.1] ElastiCache (Redis OSS) devono avere i backup automatici abilitati

• [ElastiCache.2] i ElastiCache cluster dovrebbero avere gli aggiornamenti automatici delle versioni secondarie abilitati

• [ElastiCache.3] i gruppi di ElastiCache replica devono avere il failover automatico abilitato

• [ElastiCache.4] i gruppi di ElastiCache replica devono essere crittografati quando sono inattivi

• [ElastiCache.5] i gruppi di ElastiCache replica devono essere crittografati in transito

• [ElastiCache.6] ElastiCache (Redis OSS) i gruppi di replica delle versioni precedenti devono avere Redis OSS AUTH abilitato

• [ElastiCache.7] i ElastiCache cluster non devono utilizzare il gruppo di sottoreti predefinito

• [ElasticBeanstalk.1] Gli ambienti Elastic Beanstalk dovrebbero avere la reportistica sanitaria avanzata abilitata

• [ElasticBeanstalk.2] Gli aggiornamenti della piattaforma gestita da Elastic Beanstalk devono essere abilitati

• [ElasticBeanstalk.3] Elastic Beanstalk dovrebbe trasmettere i log a CloudWatch

• [ELB.1] Application Load Balancer deve essere configurato per reindirizzare tutte le richieste HTTP a HTTPS

• [ELB.2] I sistemi Classic Load Balancer con SSL/HTTPS listener devono utilizzare un certificato fornito da AWS Certificate Manager

• [ELB.3] I listener Classic Load Balancer devono essere configurati con terminazione HTTPS o TLS

• [ELB.4] Application Load Balancer deve essere configurato per eliminare le intestazioni http non valide

• [ELB.5] La registrazione di Application e Classic Load Balancers deve essere abilitata

• [ELB.6] Application, Gateway e Network Load Balancer devono avere la protezione da eliminazione abilitata

• [ELB.7] I Classic Load Balancer dovrebbero avere abilitato il drenaggio della connessione

• [ELB.8] I Classic Load Balancer con listener SSL devono utilizzare una politica di sicurezza predefinita che sia solida AWS Config Durata

• [ELB.9] I Classic Load Balancer devono avere il bilanciamento del carico tra zone abilitato

• [ELB.10] Classic Load Balancer dovrebbe estendersi su più zone di disponibilità

• [ELB.12] Application Load Balancer deve essere configurato con la modalità di mitigazione della desincronizzazione difensiva o più rigorosa

• [ELB.13] I Load Balancer per applicazioni, reti e gateway devono estendersi su più zone di disponibilità

• [ELB.14] Classic Load Balancer deve essere configurato con la modalità di mitigazione della desincronizzazione difensiva o più rigorosa

• [ELB.16] Application Load Balancers deve essere associato a un AWS WAF ACL Web

• [ELB.17] Gli Application and Network Load Balancer con listener devono utilizzare le politiche di sicurezza consigliate

• [ELB.18] I listener di Application e Network Load Balancer devono utilizzare protocolli sicuri per crittografare i dati in transito

• [ELB.21] I gruppi target di Application e Network Load Balancer devono utilizzare protocolli di controllo dello stato crittografati

• [ELB.22] I gruppi target ELB devono utilizzare protocolli di trasporto crittografati

• [EMR.1] I nodi primari del cluster Amazon EMR non devono avere indirizzi IP pubblici

• [EMR.2] L'impostazione di accesso pubblico a blocchi di Amazon EMR deve essere abilitata

• [EMR.3] Le configurazioni di sicurezza di Amazon EMR devono essere crittografate a riposo

• [EMR.4] Le configurazioni di sicurezza di Amazon EMR devono essere crittografate in transito

• [ES.1] I domini Elasticsearch devono avere la crittografia a riposo abilitata

• [ES.2] I domini Elasticsearch non devono essere accessibili al pubblico

• [ES.3] I domini Elasticsearch devono crittografare i dati inviati tra i nodi

• [ES.4] La registrazione degli errori del dominio Elasticsearch nei log deve essere abilitata CloudWatch

• [ES.5] I domini Elasticsearch devono avere la registrazione di controllo abilitata

• [ES.6] I domini Elasticsearch devono avere almeno tre nodi di dati

• [ES.7] I domini Elasticsearch devono essere configurati con almeno tre nodi master dedicati

• [ES.8] Le connessioni ai domini Elasticsearch devono essere crittografate utilizzando la più recente politica di sicurezza TLS

• [EventBridge.3] i bus di eventi EventBridge personalizzati dovrebbero avere una politica basata sulle risorse allegata

• [EventBridge.4] gli endpoint EventBridge globali dovrebbero avere la replica degli eventi abilitata

• [FSx.1] I file system FSx per OpenZFS devono essere configurati per copiare i tag su backup e volumi

• [FSx.2] I file system FSx for Lustre devono essere configurati per copiare i tag nei backup

• [FSx.3] I file system FSx for OpenZFS devono essere configurati per la distribuzione Multi-AZ

• [FSx.5] I file system FSx for Windows File Server devono essere configurati Multi-AZ per la distribuzione

• [Glue.3] AWS Glue le trasformazioni di apprendimento automatico devono essere crittografate quando sono inutilizzate

• [Glue.4] AWS Glue I job Spark devono essere eseguiti su versioni supportate di AWS Glue

• [GuardDuty.1] GuardDuty dovrebbe essere abilitato

• [GuardDuty.5] GuardDuty EKS Audit Log Monitoring deve essere abilitato

• [GuardDuty.6] La protezione GuardDuty Lambda deve essere abilitata

• [GuardDuty.7] GuardDuty EKS Runtime Monitoring deve essere abilitato

• [GuardDuty.8] La protezione GuardDuty da malware per EC2 deve essere abilitata

• [GuardDuty.9] La protezione GuardDuty RDS deve essere abilitata

• [GuardDuty.10] La protezione GuardDuty S3 deve essere abilitata

• [GuardDuty.11] Il monitoraggio del GuardDuty runtime deve essere abilitato

• [GuardDuty.12] Il monitoraggio del runtime GuardDuty ECS deve essere abilitato

• [GuardDuty.13] Il monitoraggio del runtime GuardDuty EC2 deve essere abilitato

• [IAM.1] Le politiche IAM non dovrebbero consentire privilegi amministrativi «*» completi

• [IAM.2] Gli utenti IAM non devono avere policy IAM allegate

• [IAM.3] Le chiavi di accesso degli utenti IAM devono essere ruotate ogni 90 giorni o meno

• [IAM.4] La chiave di accesso utente root IAM non dovrebbe esistere

• [IAM.5] L'MFA deve essere abilitata per tutti gli utenti IAM che dispongono di una password di console

• [IAM.6] La MFA hardware deve essere abilitata per l'utente root

• [IAM.7] Le politiche relative alle password per gli utenti IAM devono avere configurazioni solide

• [IAM.8] Le credenziali utente IAM non utilizzate devono essere rimosse

• [IAM.9] L'MFA deve essere abilitata per l'utente root

• [IAM.10] Le politiche relative alle password per gli utenti IAM devono avere configurazioni solide

• [IAM.11] Assicurati che la politica delle password IAM richieda almeno una lettera maiuscola

• [IAM.12] Assicurati che la politica delle password IAM richieda almeno una lettera minuscola

• [IAM.13] Assicurati che la politica delle password IAM richieda almeno un simbolo

• [IAM.14] Assicurati che la policy sulle password di IAM richieda almeno un numero

• [IAM.15] Assicurati che la politica delle password di IAM richieda una lunghezza minima della password pari o superiore a 14

• [IAM.16] Assicurati che la politica delle password di IAM impedisca il riutilizzo delle password

• [IAM.17] Assicurati che la policy sulle password di IAM faccia scadere le password entro 90 giorni o meno

• [IAM.18] Assicurati che sia stato creato un ruolo di supporto per gestire gli incidenti con Supporto AWS

• [IAM.19] L'MFA deve essere abilitata per tutti gli utenti IAM

• [IAM.21] Le policy gestite dai clienti IAM che crei non dovrebbero consentire azioni jolly per i servizi

• [IAM.22] Le credenziali utente IAM non utilizzate per 45 giorni devono essere rimosse

• [IAM.26] SSL/TLS I certificati scaduti gestiti in IAM devono essere rimossi

• [IAM.27] Le identità IAM non devono avere la AWSCloudShellFullAccess policy allegata

• [IAM.28] L'analizzatore di accesso esterno IAM Access Analyzer deve essere abilitato

• [Inspector.1] La scansione di Amazon Inspector EC2 deve essere abilitata

• [Inspector.2] La scansione ECR di Amazon Inspector deve essere abilitata

• [Inspector.3] La scansione del codice Amazon Inspector Lambda deve essere abilitata

• [Inspector.4] La scansione standard di Amazon Inspector Lambda deve essere abilitata

• [IoTTwinMaker.2] AWS TwinMaker Gli spazi di lavoro IoT devono essere etichettati

• [IVS.1] Le coppie di tasti di riproduzione IVS devono essere etichettate

• [IVS.2] Le configurazioni di registrazione IVS devono essere etichettate

• [Keyspaces.1] Gli spazi chiave di Amazon Keyspaces devono essere etichettati

• [Kinesis.1] Gli stream Kinesis devono essere crittografati quando sono inattivi

• [KMS.1] Le politiche gestite dai clienti IAM non dovrebbero consentire azioni di decrittografia su tutte le chiavi KMS

• [KMS.2] I responsabili IAM non dovrebbero disporre di policy IAM in linea che consentano azioni di decrittografia su tutte le chiavi KMS

• [KMS.3] AWS KMS keys non devono essere eliminati involontariamente

• [KMS.4] AWS KMS la rotazione dei tasti dovrebbe essere abilitata

• [KMS.5] Le chiavi KMS non devono essere accessibili al pubblico

• [Lambda.1] Le politiche delle funzioni Lambda dovrebbero vietare l'accesso pubblico

• [Lambda.2] Le funzioni Lambda devono utilizzare i runtime supportati

• [Lambda.3] Le funzioni Lambda devono trovarsi in un VPC

• [Lambda.5] Le funzioni VPC Lambda devono funzionare in più zone di disponibilità

• [Lambda.7] Le funzioni Lambda dovrebbero avere AWS X-Ray tracciamento attivo abilitato

• [Macie.1] Amazon Macie dovrebbe essere abilitato

• [Macie.2] Il rilevamento automatico dei dati sensibili di Macie deve essere abilitato

• [MQ.2] I broker ActiveMQ devono trasmettere i log di controllo a CloudWatch

• [MQ.5] I broker ActiveMQ devono utilizzare la modalità di distribuzione active/standby

• [MQ.6] I broker RabbitMQ dovrebbero utilizzare la modalità di distribuzione del cluster

• [MSK.1] I cluster MSK devono essere crittografati durante il transito tra i nodi del broker

• [MSK.2] I cluster MSK dovrebbero avere configurato un monitoraggio avanzato

• [MSK.3] I connettori MSK Connect devono essere crittografati in transito

• [MSK.4] L'accesso pubblico ai cluster MSK dovrebbe essere disabilitato

• [MSK.5] I connettori MSK devono avere la registrazione abilitata

• [MSK.6] I cluster MSK devono disabilitare l'accesso non autenticato

• [Neptune.1] I cluster Neptune DB devono essere crittografati quando sono inattivi

• [Neptune.2] I cluster Neptune DB devono pubblicare i log di controllo su Logs CloudWatch

• [Neptune.3] Le istantanee del cluster Neptune DB non devono essere pubbliche

• [Neptune.4] I cluster Neptune DB dovrebbero avere la protezione da eliminazione abilitata

• [Neptune.5] I cluster Neptune DB dovrebbero avere i backup automatici abilitati

• [Neptune.6] Le istantanee del cluster Neptune DB devono essere crittografate quando sono inattive

• [Neptune.7] I cluster Neptune DB devono avere l'autenticazione del database IAM abilitata

• [Neptune.8] I cluster Neptune DB devono essere configurati per copiare i tag nelle istantanee

• [Neptune.9] I cluster Neptune DB devono essere distribuiti su più zone di disponibilità

• [NetworkFirewall.1] I firewall Network Firewall devono essere distribuiti su più zone di disponibilità

• [NetworkFirewall.2] La registrazione del Network Firewall deve essere abilitata

• [NetworkFirewall.3] Le politiche del Network Firewall devono avere almeno un gruppo di regole associato

• [NetworkFirewall.4] L'azione stateless predefinita per le policy di Network Firewall dovrebbe essere drop or forward per pacchetti completi

• [NetworkFirewall.5] L'azione stateless predefinita per le policy di Network Firewall dovrebbe essere drop or forward per i pacchetti frammentati

• [NetworkFirewall.6] Il gruppo di regole Stateless Network Firewall non deve essere vuoto

• [NetworkFirewall.9] I firewall Network Firewall devono avere la protezione da eliminazione abilitata

• [NetworkFirewall.10] I firewall Network Firewall devono avere la protezione da cambio di sottorete abilitata

• [Opensearch.1] OpenSearch i domini devono avere la crittografia a riposo abilitata

• [Opensearch.2] i OpenSearch domini non devono essere accessibili al pubblico

• [Opensearch.3] i OpenSearch domini devono crittografare i dati inviati tra i nodi

• [Opensearch.4] la registrazione degli errori di OpenSearch dominio nei registri dovrebbe essere abilitata CloudWatch

• [Opensearch.5] i OpenSearch domini devono avere la registrazione di controllo abilitata

• [Opensearch.6] i OpenSearch domini devono avere almeno tre nodi di dati

• [Opensearch.7] i OpenSearch domini devono avere un controllo granulare degli accessi abilitato

• [Opensearch.8] Le connessioni ai OpenSearch domini devono essere crittografate utilizzando la politica di sicurezza TLS più recente

• [Opensearch.10] OpenSearch sui domini dovrebbe essere installato l'ultimo aggiornamento software

• [Opensearch.11] OpenSearch i domini devono avere almeno tre nodi primari dedicati

• [PCA.1] AWS Private CA l'autorità di certificazione principale deve essere disabilitata

• [RDS.1] L'istantanea RDS deve essere privata

• [RDS.2] Le istanze DB RDS dovrebbero vietare l'accesso pubblico, come determinato dalla configurazione PubliclyAccessible

• [RDS.3] Le istanze DB RDS devono avere la crittografia a riposo abilitata

• [RDS.4] Gli snapshot del cluster RDS e gli snapshot del database devono essere crittografati quando sono inattivi

• [RDS.5] Le istanze DB RDS devono essere configurate con più zone di disponibilità

• [RDS.6] Il monitoraggio avanzato deve essere configurato per le istanze DB RDS

• [RDS.7] I cluster RDS devono avere la protezione da eliminazione abilitata

• [RDS.8] Le istanze DB RDS devono avere la protezione da eliminazione abilitata

• [RDS.9] Le istanze DB RDS devono pubblicare i log in Logs CloudWatch

• [RDS.10] L'autenticazione IAM deve essere configurata per le istanze RDS

• [RDS.11] Le istanze RDS devono avere i backup automatici abilitati

• [RDS.12] L'autenticazione IAM deve essere configurata per i cluster RDS

• [RDS.13] Gli aggiornamenti automatici delle versioni secondarie di RDS devono essere abilitati

• [RDS.14] I cluster Amazon Aurora dovrebbero avere il backtracking abilitato

• [RDS.15] I cluster RDS DB devono essere configurati per più zone di disponibilità

• [RDS.16] I cluster Aurora DB devono essere configurati per copiare i tag nelle istantanee DB

• [RDS.17] Le istanze DB RDS devono essere configurate per copiare i tag negli snapshot

• [RDS.19] Le sottoscrizioni esistenti per le notifiche degli eventi RDS devono essere configurate per gli eventi critici del cluster

• [RDS.20] Le sottoscrizioni esistenti per le notifiche degli eventi RDS devono essere configurate per gli eventi critici delle istanze di database

• [RDS.21] È necessario configurare un abbonamento alle notifiche di eventi RDS per gli eventi critici del gruppo di parametri del database

• [RDS.22] È necessario configurare un abbonamento alle notifiche di eventi RDS per gli eventi critici dei gruppi di sicurezza del database

• [RDS.23] Le istanze RDS non devono utilizzare una porta predefinita del motore di database

• [RDS.24] I cluster di database RDS devono utilizzare un nome utente di amministratore personalizzato

• [RDS.25] Le istanze del database RDS devono utilizzare un nome utente amministratore personalizzato

• [RDS.26] Le istanze DB RDS devono essere protette da un piano di backup

• [RDS.27] I cluster RDS DB devono essere crittografati quando sono inattivi

• [RDS.34] I cluster Aurora MySQL DB devono pubblicare i log di controllo su Logs CloudWatch

• [] RDS.35 I cluster RDS DB devono avere l'aggiornamento automatico delle versioni secondarie abilitato

• [RDS.36] Le istanze DB di RDS per PostgreSQL devono pubblicare i log in Logs CloudWatch

• [RDS.37] I cluster Aurora PostgreSQL DB devono pubblicare i log in Logs CloudWatch

• [RDS.38] Le istanze DB RDS per PostgreSQL devono essere crittografate in transito

• [RDS.39] Le istanze DB RDS per MySQL devono essere crittografate in transito

• [RDS.41] Le istanze DB di RDS per SQL Server devono essere crittografate in transito

• [RDS.44] Le istanze RDS per MariaDB DB devono essere crittografate in transito

• [RDS.45] I cluster Aurora MySQL DB devono avere la registrazione di controllo abilitata

• [Redshift.1] I cluster Amazon Redshift dovrebbero vietare l'accesso pubblico

• [Redshift.2] Le connessioni ai cluster Amazon Redshift devono essere crittografate in transito

• [Redshift.3] I cluster Amazon Redshift devono avere le istantanee automatiche abilitate

• [Redshift.4] I cluster Amazon Redshift devono avere la registrazione di controllo abilitata

• [Redshift.6] Amazon Redshift dovrebbe avere gli upgrade automatici alle versioni principali abilitati

• [Redshift.7] I cluster Redshift devono utilizzare un routing VPC avanzato

• [Redshift.8] I cluster Amazon Redshift non devono utilizzare il nome utente amministratore predefinito

• [Redshift.10] I cluster Redshift devono essere crittografati a riposo

• [Redshift.15] I gruppi di sicurezza Redshift dovrebbero consentire l'accesso alla porta del cluster solo da origini limitate

• [Redshift.16] I gruppi di sottoreti del cluster Redshift devono avere sottoreti provenienti da più zone di disponibilità

• [Redshift.18] I cluster Redshift dovrebbero avere le implementazioni abilitate Multi-AZ

• [RedshiftServerless.1] I gruppi di lavoro Serverless di Amazon Redshift devono utilizzare un routing VPC avanzato

• [RedshiftServerless.2] Le connessioni ai gruppi di lavoro Serverless di Redshift devono essere necessarie per utilizzare SSL

• [RedshiftServerless.3] I gruppi di lavoro Serverless di Redshift dovrebbero vietare l'accesso pubblico

• [RedshiftServerless.6] I namespace Redshift Serverless dovrebbero esportare i log in Logs CloudWatch

• [Route53.2] Le zone ospitate pubbliche di Route 53 devono registrare le query DNS

• [S3.1] I bucket S3 per uso generico devono avere le impostazioni di blocco dell'accesso pubblico abilitate

• [S3.2] I bucket S3 per uso generico dovrebbero bloccare l'accesso pubblico in lettura

• [S3.3] I bucket S3 per uso generico dovrebbero bloccare l'accesso pubblico in scrittura

• [S3.5] I bucket S3 per uso generico dovrebbero richiedere richieste di utilizzo di TLS

• [S3.6] Le policy generiche relative ai bucket di S3 dovrebbero limitare l'accesso ad altri Account AWS

• [S3.7] I bucket S3 per uso generico devono utilizzare la replica tra regioni

• [S3.8] I bucket generici S3 dovrebbero bloccare l'accesso pubblico

• [S3.9] I bucket generici S3 devono avere la registrazione degli accessi al server abilitata

• [S3.10] I bucket S3 per uso generico con il controllo delle versioni abilitato devono avere configurazioni del ciclo di vita

• [] I bucket S3 per uso generico devono S3.11 avere le notifiche degli eventi abilitate

• [S3.12] Gli ACL non devono essere utilizzati per gestire l'accesso degli utenti ai bucket generici S3

• [S3.13] I bucket S3 per uso generico devono avere configurazioni del ciclo di vita

• S3.14[] I bucket S3 per uso generico devono avere il controllo delle versioni abilitato

• [S3.15] I bucket generici S3 devono avere Object Lock abilitato

• [S3.17] I bucket S3 per uso generico devono essere crittografati quando sono inattivi con AWS KMS keys

• [S3.19] I punti di accesso S3 devono avere le impostazioni di blocco dell'accesso pubblico abilitate

• [S3.20] I bucket S3 per uso generico devono avere l'eliminazione MFA abilitata

• [S3.22] I bucket S3 per uso generico devono registrare gli eventi di scrittura a livello di oggetto

• [S3.23] I bucket S3 per uso generico devono registrare gli eventi di lettura a livello di oggetto

• [S3.24] I punti di accesso S3 Multi-Region devono avere le impostazioni di blocco dell'accesso pubblico abilitate

• [SageMaker.1] Le istanze di SageMaker notebook Amazon non devono avere accesso diretto a Internet

• [SageMaker.2] le istanze di SageMaker notebook devono essere avviate in un VPC personalizzato

• [SageMaker.3] Gli utenti non devono avere accesso root alle istanze dei SageMaker notebook

• [SageMaker.4] Le varianti di produzione di SageMaker endpoint devono avere un numero iniziale di istanze superiore a 1

• [SageMaker.5] SageMaker i modelli dovrebbero avere l'isolamento della rete abilitato

• [SageMaker.8] le istanze SageMaker notebook devono essere eseguite su piattaforme supportate

• [SecretsManager.1] I segreti di Secrets Manager devono avere la rotazione automatica abilitata

• [SecretsManager.2] I segreti di Secrets Manager configurati con rotazione automatica dovrebbero ruotare correttamente

• [SecretsManager.3] Rimuovi i segreti inutilizzati di Secrets Manager

• [SecretsManager.4] I segreti di Secrets Manager devono essere ruotati entro un determinato numero di giorni

• [ServiceCatalog.1] I portafogli Service Catalog devono essere condivisi all'interno di un AWS solo organizzazione

• [SNS.1] Gli argomenti SNS devono essere crittografati quando sono inattivi utilizzando AWS KMS

• [SNS.4] Le politiche di accesso agli argomenti SNS non dovrebbero consentire l'accesso pubblico

• [SQS.1] Le code di Amazon SQS devono essere crittografate quando sono inattive

• [SQS.3] Le politiche di accesso alla coda di SQS non dovrebbero consentire l'accesso pubblico

• [SSM.1] Le istanze Amazon EC2 devono essere gestite da AWS Systems Manager

• [SSM.2] Le istanze Amazon EC2 gestite da Systems Manager dovrebbero avere uno stato di conformità delle patch pari a COMPLIANT dopo l'installazione della patch

• [SSM.3] Le istanze Amazon EC2 gestite da Systems Manager devono avere uno stato di conformità dell'associazione pari a COMPLIANT

• [SSM.4] I documenti SSM non devono essere pubblici

• [SSM.6] SSM Automation dovrebbe avere la registrazione abilitata CloudWatch

• [SSM.7] I documenti SSM devono avere l'impostazione di condivisione pubblica a blocchi abilitata

• [StepFunctions.1] Le macchine a stati Step Functions dovrebbero avere la registrazione attivata

• [Transfer.2] I server Transfer Family non devono utilizzare il protocollo FTP per la connessione agli endpoint

• [Transfer.3] I connettori Transfer Family dovrebbero avere la registrazione abilitata

• [Transfer.4] Gli accordi Transfer Family devono essere etichettati

• [Transfer.6] I connettori Transfer Family devono essere etichettati

• [WAF.1] AWS WAF La registrazione classica Global Web ACL deve essere abilitata

• [WAF.2] AWS WAF Le regole regionali classiche devono avere almeno una condizione

• [WAF.3] AWS WAF I gruppi di regole regionali classici devono avere almeno una regola

• [WAF.4] AWS WAF Gli ACL Web regionali classici devono avere almeno una regola o un gruppo di regole

• [WAF.6] AWS WAF Le regole globali classiche devono avere almeno una condizione

• [WAF.7] AWS WAF I gruppi di regole globali classici devono avere almeno una regola

• [WAF.8] AWS WAF Gli ACL Web globali classici devono avere almeno una regola o un gruppo di regole

• [WAF.10] AWS WAF gli ACL web devono avere almeno una regola o un gruppo di regole

• [WAF.11] AWS WAF la registrazione ACL web deve essere abilitata

• [WAF.12] AWS WAF le regole dovrebbero avere le metriche abilitate CloudWatch

• [WorkSpaces.1] i volumi WorkSpaces utente devono essere crittografati quando sono inattivi

• [WorkSpaces.2] i volumi WorkSpaces root devono essere crittografati quando sono inattivi