CIS AWS 벤치마크 v1.2.0 - AWS Audit Manager
무엇입니까? CIS 이 프레임워크 사용다음 단계추가 리소스

기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

CIS AWS 벤치마크 v1.2.0

AWS Audit Manager 인터넷 보안 센터 (CIS) 를 지원하는 사전 구축된 두 개의 프레임워크를 제공합니다. Amazon Web Services (AWS) 벤치마크 v1.2.0.

참고

무엇입니까? CIS

를 개발한 비영리 CIS 단체입니다. CIS AWS 재단 벤치마크. 이 벤치마크는 다음과 같은 보안 구성 모범 사례의 집합으로 사용됩니다. AWS. 업계에서 인정받는 이러한 모범 사례는 명확한 step-by-step 구현 및 평가 절차를 제공한다는 점에서 이미 제공되는 높은 수준의 보안 지침을 뛰어 넘습니다.

자세한 내용은 다음을 참조하십시오. CIS AWS 재단의 벤치마크 블로그 게시물은 AWS 보안 블로그.

CIS벤치마크와 CIS 컨트롤의 차이점

CIS벤치마크는 공급업체 제품에만 적용되는 보안 모범 사례 지침입니다. 운영 체제에서 클라우드 서비스 및 네트워크 디바이스에 이르기까지 벤치마크에서 적용되는 설정은 조직에서 사용하는 특정 시스템을 보호합니다. CIS통제는 알려진 사이버 공격 벡터로부터 보호하기 위해 조직 수준 시스템이 준수해야 하는 기본 모범 사례 지침입니다.

예시

  • CIS벤치마크는 규범적입니다. 이는 일반적으로 공급업체 제품에서 검토 및 설정할 수 있는 특정 설정을 참조합니다.

    예: CIS AWS 벤치마크 v1.2.0 - “루트 사용자” 계정이 MFA 활성화되어 있는지 확인하십시오.

    이 권장 사항은 이를 확인하는 방법과 루트 계정에서 이를 설정하는 방법에 대한 규범적 지침을 제공합니다. AWS 환경.

  • CIS통제는 조직 전체를 위한 것입니다. 특정 공급업체 제품에만 적용되는 것은 아닙니다.

    예: CIS v7.1 - 모든 관리 액세스에 다단계 인증 사용

    이 컨트롤은 조직 내에 적용될 것으로 예상되는 사항을 설명합니다. 실행 중인 시스템 및 워크로드(위치에 관계없이)에 이를 어떻게 적용해야 하는지는 설명되어 있지 않습니다.

이 프레임워크 사용

다음을 사용할 수 있습니다. CIS AWS 에서 v1.2 프레임워크를 벤치마크하십시오. AWS Audit Manager 감사를 준비하는 데 도움이 됩니다. CIS 또한 특정 요구 사항에 따른 내부 감사를 지원하도록 이러한 프레임워크와 해당 컨트롤을 사용자 지정할 수 있습니다.

프레임워크를 출발점으로 사용하여 Audit Manager 평가를 생성하고 감사와 관련된 증거 수집을 시작할 수 있습니다. 평가를 생성하면 Audit Manager가 평가를 시작합니다. AWS 있습니다. CIS프레임워크에 정의된 제어를 기반으로 이 작업을 수행합니다. 감사 시기가 되면 사용자 또는 사용자가 선택한 대리인이 Audit Manager에서 수집한 증거를 검토할 수 있습니다. 어느 방식으로든 평가에서 증거 폴더를 찾아보고 평가 보고서에 포함할 증거를 선택할 수 있습니다. 또는 증거 찾기를 활성화한 경우 특정 증거를 검색하여 CSV 형식으로 내보내거나 검색 결과에서 평가 보고서를 만들 수 있습니다. 둘 중 하나의 방식으로 이 평가 보고서를 사용하여 제어가 의도한 대로 작동하고 있음을 보여줄 수 있습니다.

프레임워크 세부 정보는 다음과 같습니다.

프레임워크 이름: AWS Audit Manager 자동화된 컨트롤 수 수동 컨트롤 수 컨트롤 세트 수
인터넷 보안 센터 (CIS) 아마존 웹 서비스 (AWS) 벤치마크 v1.2.0, 레벨 1 33 3 4
인터넷 보안 센터 (CIS) 아마존 웹 서비스 (AWS) 벤치마크 v1.2.0, 레벨 1 및 2 45 4 4
작은 정보

목록을 검토하려면 AWS Config 이러한 표준 프레임워크의 데이터 소스 매핑으로 사용되는 규칙은 다음 파일을 다운로드하십시오.

  1. AuditManager_ ConfigDataSourceMappings _ CIS - AWS -벤치마크-V1.2.0, -Level-1.zip

  2. AuditManager_ _ - -벤치마크-V1.2.0, -Level-1-and-2.zip ConfigDataSourceMappings CIS AWS

이러한 프레임워크의 컨트롤은 시스템이 다음 규정을 준수하는지 확인하기 위한 것이 아닙니다. CIS AWS 벤치마크 모범 사례. 게다가 CIS 감사 통과를 보장할 수도 없습니다. AWS Audit Manager 수동 증거 수집이 필요한 절차적 제어를 자동으로 확인하지 않습니다.

Audit Manager의 프레임워크 라이브러리의 표준 프레임워크 탭에서 이러한 프레임워크를 찾을 수 있습니다.

이러한 프레임워크 사용을 위한 필수 조건

다양한 제어 기능이 있습니다. CIS AWS 벤치마크 v1.2 프레임워크 사용 AWS Config 데이터 소스 유형으로. 이러한 컨트롤을 지원하려면 활성화해야 합니다. AWS Config각 계정의 모든 계정에서 AWS 리전 여기서 Audit Manager를 활성화했습니다. 또한 다음과 같은 구체적인 사항도 확인해야 합니다. AWS Config 규칙이 활성화되어 있고 이러한 규칙이 올바르게 구성되었는지 확인하십시오.

다음 사항은 다음과 같습니다. AWS Config 올바른 증거를 수집하고 이에 대한 정확한 규정 준수 상태를 파악하려면 규칙과 매개변수가 필요합니다. CIS AWS 파운데이션 벤치마크 v1.2. 규칙을 활성화하거나 구성하는 방법에 대한 지침은 다음 작업을 참조하십시오. AWS Config 관리형 규칙.

필수 AWS Config 규칙 필수 파라미터
ACCESS_KEYS_ROTATED
maxAccessKeyAge

  • 교체를 사용하지 않는 최대 일수입니다.

  • 유형: Int

  • 기본값: 90일

  • 규정 준수 요구 사항: 최대 90일
CLOUD_TRAIL_CLOUD_WATCH_LOGS_ENABLED 해당 사항 없음
CLOUD_TRAIL_ENCRYPTION_ENABLED 해당 사항 없음
CLOUD_TRAIL_LOG_FILE_VALIDATION_ENABLED 해당 사항 없음
CMK_BACKING_KEY_ROTATION_ENABLED 해당 사항 없음
IAM_PASSWORD_POLICY
MaxPasswordAge(선택 사항)

  • 암호 만료 이전의 일수입니다.

  • 유형: int

  • 기본값: 90

  • 규정 준수 요구 사항: 최대 90일
IAM_PASSWORD_POLICY
MinimumPasswordLength(선택 사항)

  • 암호의 최소 길이입니다.

  • 유형: int

  • 기본값: 14

  • 규정 준수 요구 사항: 최소 14자
IAM_PASSWORD_POLICY
PasswordReusePrevention(선택 사항)

  • 재사용을 허가받기까지 사용할 수 있는 암호 개수입니다.

  • 유형: int

  • 기본값: 24

  • 규정 준수 요구 사항: 재사용 전 최소 24개의 암호
IAM_PASSWORD_POLICY
RequireLowercaseCharacters(선택 사항)

  • 암호에 소문자가 한 개 이상이어야 합니다.

  • 타입: 부울

  • 기본값: True

  • 규정 준수 요구 사항: 하나 이상의 소문자 필요
IAM_PASSWORD_POLICY
RequireNumbers(선택 사항)

  • 암호에 숫자가 한 개 이상이어야 합니다.

  • 타입: 부울

  • 기본값: True

  • 규정 준수 요구 사항: 하나 이상의 숫자
IAM_PASSWORD_POLICY
RequireSymbols(선택 사항)

  • 암호에 기호가 한 개 이상이어야 합니다.

  • 타입: 부울

  • 기본값: True

  • 규정 준수 요구 사항: 하나 이상의 기호 문자
IAM_PASSWORD_POLICY
RequireUppercaseCharacters(선택 사항)

  • 암호에 대문자가 한 개 이상이어야 합니다.

  • 타입: 부울

  • 기본값: True

  • 규정 준수 요구 사항: 하나 이상의 대문자

IAM_ POLICY _IN_ USE
policyARN

  • IAM정책 확인 ARN 예정.

  • 유형: 문자열

  • 규정 준수 요구 사항: 다음과 같은 인시던트를 관리하기 위한 IAM 역할을 생성합니다. AWS.

policyUsageType(선택 사항)

  • 정책을 사용자, 그룹 또는 역할에 연결할 것으로 예상하는지 여부를 지정합니다.

  • 유형: 문자열

  • 유효한 값: IAM_USER | IAM_GROUP | IAM_ROLE | ANY

  • 기본 값: ANY

  • 규정 준수 요구 사항: 생성된 IAM 역할에 신뢰 정책 연결
IAM_ POLICY _NO_ _ _ _ STATEMENTS _ WITH ADMIN ACCESS 해당 사항 없음
IAM_ROOT_ACCESS_KEY_CHECK 해당 사항 없음
IAM_ _아니요_ _ USER POLICIES CHECK 해당 사항 없음
IAM_USER_UNUSED_CREDENTIALS_CHECK
maxCredentialUsageAge

  • 보안 인증을 사용할 수 없는 최대 일수.

  • 유형: Int

  • 기본값: 90일

  • 규정 준수 요구 사항: 90일 이상
INCOMING_SSH_DISABLED 해당 사항 없음
MFA_ENABLED_FOR_IAM_CONSOLE_ACCESS 해당 사항 없음
MULTI_REGION_CLOUD_TRAIL_ENABLED 해당 사항 없음
RESTRICTED_INCOMING_TRAFFIC
blockedPort1(선택 사항)

  • 차단된 TCP 포트 번호.

  • 유형: int

  • 기본값: 20

  • 규정 준수 요구 사항: 차단된 포트에 대한 침입을 허용하는 보안 그룹이 없는지 확인합니다.

blockedPort2(선택 사항)

  • 차단된 TCP 포트 번호입니다.

  • 유형: int

  • 기본값: 21

  • 규정 준수 요구 사항: 차단된 포트에 대한 침입을 허용하는 보안 그룹이 없는지 확인합니다.

blockedPort3(선택 사항)

  • 차단된 TCP 포트 번호입니다.

  • 유형: int

  • 기본값: 3389

  • 규정 준수 요구 사항: 차단된 포트에 대한 침입을 허용하는 보안 그룹이 없는지 확인합니다.

blockedPort4(선택 사항)

  • 차단된 TCP 포트 번호입니다.

  • 유형: int

  • 기본값: 3306

  • 규정 준수 요구 사항: 차단된 포트에 대한 침입을 허용하는 보안 그룹이 없는지 확인합니다.

blockedPort5(선택 사항)

  • 차단된 TCP 포트 번호입니다.

  • 유형: int

  • 기본값: 4333

  • 규정 준수 요구 사항: 차단된 포트에 대한 침입을 허용하는 보안 그룹이 없는지 확인합니다.
ROOT_ACCOUNT_HARDWARE_MFA_ENABLED 해당 사항 없음
ROOT_ACCOUNT_MFA_ENABLED 해당 사항 없음
S3_ _ _ BUCKET LOGGING ENABLED
targetBucket(선택 사항)

  • 서버 액세스 로그 저장을 위한 대상 S3 버킷.

  • 유형: 문자열

  • 규정 준수 요구 사항: 로깅 활성화

targetPrefix(선택 사항)

  • 서버 액세스 로그 저장을 위한 대상 S3 버킷의 접두사.

  • 유형: 문자열

  • 규정 준수 요구 사항: 로깅을 위한 S3 버킷 식별 CloudTrail
S3_ _ _ BUCKET _ PUBLIC READ PROHIBITED 해당 사항 없음
VPC_DEFAULT_SECURITY_GROUP_CLOSED 해당 사항 없음
VPC_FLOW_LOGS_ENABLED
trafficType(선택 사항)

  • 흐름 로그의 trafficType.

  • 유형: 문자열

  • 규정 준수 요구 사항: 흐름 로깅이 활성화됩니다.

다음 단계

이 프레임워크를 사용하여 평가를 생성하는 방법에 대한 지침은 에서 평가 생성하기 AWS Audit Manager을 참조하세요.

특정 요구 사항을 지원하도록 이러한 프레임워크를 사용자 지정하는 방법에 대한 지침은 을 참조하십시오. 에서 기존 프레임워크의 편집 가능한 사본 만들기 AWS Audit Manager

추가 리소스