FedRAMP(Moderate) 운영 모범 사례

적합성 팩은 관리형 또는 사용자 지정 규칙 및 수정 조치를 사용하여 보안, 운영 또는 비용 최적화 거버넌스 검사를 만들 수 있도록 설계된 범용 규정 준수 프레임워크를 제공합니다. AWS Config AWS Config 샘플 템플릿인 적합성 팩은 특정 거버넌스 또는 규정 준수 표준을 완벽하게 준수하도록 설계되지 않았습니다. 사용자는 서비스 이용이 관련 법률 및 규제 요구 사항을 충족하는지 여부를 스스로 평가할 책임이 있습니다.

다음은 연방 위험 및 권한 관리 프로그램 (FedRAMP) 과 AWS 관리형 Config 규칙 간의 샘플 매핑을 제공합니다. 각 Config 규칙은 특정 AWS 리소스에 적용되며 하나 이상의 FedRAMP 컨트롤과 관련이 있습니다. FedRAMP 제어는 여러 Config 규칙과 관련될 수 있습니다. 이러한 매핑과 관련된 자세한 내용 및 지침은 아래 표를 참조하세요.

이 적합성 팩은 결제 카드 업계 공인 AWS 보안 평가사 (AWS QSA), HITRUST 공인 공통 보안 프레임워크 전문가 (CCSFP), 다양한 업계 프레임워크에 대한 지침 및 평가를 제공하도록 인증된 규정 준수 전문가로 구성된 팀인 보안 보증 서비스 LLC (SAS) 의 검증을 받았습니다. AWS SAS 전문가들은 고객이 FedRAMP 제어 장치의 일부에 맞춰 조정할 수 있도록 이 컴포맨스 팩을 설계했습니다.

제어 ID	제어 설명	AWS Config 규칙	지침
AC-2(1)	조직은 자동화된 메커니즘을 사용하여 정보 시스템 계정 관리를 지원합니다.	iam-no-inline-policy-체크	AWS ID 및 액세스 관리 (IAM) 사용자, IAM 역할 또는 IAM 그룹에 시스템 및 자산에 대한 액세스를 제어하는 인라인 정책이 없는지 확인하십시오. AWS 인라인 정책 대신 관리형 정책을 사용할 것을 권장합니다. 관리형 정책을 사용하면 재사용, 버전 관리, 롤백 및 권한 위임 관리가 가능합니다.
AC-2(1)	조직은 자동화된 메커니즘을 사용하여 정보 시스템 계정 관리를 지원합니다.	securityhub-enabled	AWS Security Hub는 승인되지 않은 사용자, 연결, 장치 및 소프트웨어를 모니터링하는 데 도움이 됩니다. AWS Security Hub는 여러 서비스의 보안 경고 또는 조사 결과를 집계하고 구성하며 우선 순위를 지정합니다. AWS 이러한 서비스로는 Amazon Security Hub, Amazon Inspector, Amazon AWS Macie, Identity 및 Access Management (IAM) 액세스 분석기, 방화벽 관리자, 파트너 솔루션 AWS 등이 있습니다. AWS
AC-2(1)	조직은 자동화된 메커니즘을 사용하여 정보 시스템 계정 관리를 지원합니다.	access-keys-rotated	조직 정책에 지정된 대로 IAM 액세스 키가 교체되도록 하여 인증된 디바이스, 사용자 및 프로세스에 대한 자격 증명을 감사합니다. 정기적인 일정에 따라 액세스 키를 변경하는 것이 보안 모범 사례입니다. 이렇게 하면 액세스 키가 활성화되는 기간이 단축되고 키가 손상될 경우 비즈니스에 미치는 영향을 줄일 수 있습니다. 이 규칙에는 액세스 키 교체 값이 필요합니다(Config 기본값: 90). 실제 값은 조직의 정책을 반영해야 합니다.
AC-2(1)	조직은 자동화된 메커니즘을 사용하여 정보 시스템 계정 관리를 지원합니다.	guardduty-enabled-centralized	Amazon은 위협 인텔리전스 피드를 사용하여 잠재적인 사이버 보안 이벤트를 모니터링하고 탐지하는 데 도움을 줄 GuardDuty 수 있습니다. 여기에는 클라우드 환경 내에서 예상치 못한 무단 악의적인 활동을 식별하기 위한 악성 IP 및 기계 학습 목록이 포함됩니다. AWS
AC-2(1)	조직은 자동화된 메커니즘을 사용하여 정보 시스템 계정 관리를 지원합니다.	iam-password-policy	ID 및 보안 인증 정보는 조직의 IAM 암호 정책을 기반으로 발급, 관리 및 검증됩니다. NIST SP 800-63에 명시된 요구 사항 및 암호 강도에 대한 AWS 기본 보안 모범 사례 표준을 충족하거나 초과합니다. 이 규칙을 사용하면 IAM에 대해 RequireUppercaseCharacters (AWS 기본 보안 모범 사례 값: true), RequireLowercaseCharacters (AWS 기본 보안 모범 사례 값: true), RequireSymbols (AWS 기본 보안 모범 사례 값: true), RequireNumbers (AWS 기본 보안 모범 사례 값: true), MinimumPasswordLength (AWS 기본 보안 모범 사례 값: 14), PasswordReusePrevention (AWS 기본 보안 모범 사례 값: 24), MaxPasswordAge (AWS 기본 보안 모범 사례 값: 90) 을 선택적으로 설정할 수 있습니다.비밀번호 정책. 실제 값은 조직의 정책을 반영해야 합니다.
AC-2(1)	조직은 자동화된 메커니즘을 사용하여 정보 시스템 계정 관리를 지원합니다.	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 를 사용하면 최소 권한 및 직무 분리 원칙을 액세스 권한 및 승인과 통합하여 정책에 “리소스”: “*” 대신 “효과”: “허용”과 “조치”: “*”를 포함하는 것을 제한할 수 있습니다. 작업을 완료하는 데 필요한 것보다 더 많은 권한을 갖도록 허용하는 것은 최소 권한 및 업무 분리 원칙에 위배될 수 있습니다.
AC-2(1)	조직은 자동화된 메커니즘을 사용하여 정보 시스템 계정 관리를 지원합니다.	iam-root-access-key-체크	루트 사용자의 AWS Identity and Access Management (IAM) 역할에 연결된 액세스 키가 없는지 확인하여 시스템 및 자산에 대한 액세스를 제어할 수 있습니다. 루트 액세스 키가 삭제되었는지 확인하세요. 대신 기능 최소화 원칙을 AWS 계정 통합하는 데 도움이 되도록 역할 기반 솔루션을 만들어 사용하세요.
AC-2(1)	조직은 자동화된 메커니즘을 사용하여 정보 시스템 계정 관리를 지원합니다.	iam-user-group-membership-체크	AWS Identity and Access Management (IAM) 를 사용하면 사용자가 하나 이상의 그룹에 속하도록 하여 액세스 권한 및 권한 부여를 제한할 수 있습니다. 사용자에게 작업을 완료하는 데 필요한 것보다 더 많은 권한을 허용하면 최소 권한 및 업무 분리 원칙에 위배될 수 있습니다.
AC-2(1)	조직은 자동화된 메커니즘을 사용하여 정보 시스템 계정 관리를 지원합니다.	iam-user-mfa-enabled	이 규칙을 활성화하면 클라우드의 리소스에 대한 액세스를 제한할 수 있습니다. AWS 이 규칙은 모든 사용자에 대해 다중 인증(MFA)이 활성화되도록 합니다. MFA를 통해 로그인 보안 인증 외에 보호 계층이 한 단계 더 추가됩니다. 사용자에게 MFA를 요구하여 계정 보안 침해 사고를 줄이십시오.
AC-2(1)	조직은 자동화된 메커니즘을 사용하여 정보 시스템 계정 관리를 지원합니다.	iam-user-no-policies-check	이 규칙을 사용하면 AWS Identity 및 Access Management (IAM) 정책을 그룹 또는 역할에만 연결하여 시스템 및 자산에 대한 액세스를 제어할 수 있습니다. 그룹 또는 역할 수준에서 권한을 할당하면 ID가 과도한 권한을 받거나 보유할 기회를 줄이는 데 도움이 됩니다.
AC-2(1)	조직은 자동화된 메커니즘을 사용하여 정보 시스템 계정 관리를 지원합니다.	iam-user-unused-credentials-check	AWS Identity 및 Access Management (IAM) 는 지정된 기간 동안 사용되지 않은 IAM 암호와 액세스 키를 확인하여 액세스 권한 및 권한 부여에 도움을 줄 수 있습니다. 이러한 미사용 보안 인증 정보가 발견되면 최소 권한의 원칙에 위배될 수 있으므로 해당 보안 인증 정보를 비활성화 및/또는 제거해야 합니다. 이 규칙을 사용하려면 값을 Age로 설정해야 합니다 maxCredentialUsage (Config 기본값: 90). 실제 값은 조직의 정책을 반영해야 합니다.
AC-2(1)	조직은 자동화된 메커니즘을 사용하여 정보 시스템 계정 관리를 지원합니다.	mfa-enabled-for-iam-콘솔 액세스	콘솔 암호가 있는 모든 AWS Identity 및 Access Management (IAM) 사용자가 MFA를 사용하도록 설정하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. MFA를 통해 로그인 보안 인증 외에 보호 계층이 한 단계 더 추가됩니다. 사용자에게 MFA를 요구하면 계정이 침해되는 사고를 줄이고 승인되지 않은 사용자가 민감한 데이터에 액세스하는 것을 방지할 수 있습니다.
AC-2(1)	조직은 자동화된 메커니즘을 사용하여 정보 시스템 계정 관리를 지원합니다.	root-account-hardware-mfa-활성화됨	루트 사용자가 하드웨어 MFA를 사용하도록 설정하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 루트 사용자는 권한이 가장 많은 AWS 계정사용자입니다. MFA는 로그인 보안 인증에 보호 계층을 한 단계 더 추가합니다. 루트 사용자에게 MFA를 요구하면 보안 침해 사고를 줄일 수 있습니다. AWS 계정
AC-2(1)	조직은 자동화된 메커니즘을 사용하여 정보 시스템 계정 관리를 지원합니다.	root-account-mfa-enabled	루트 사용자에 대해 MFA가 활성화되도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 루트 사용자는 권한이 가장 많은 AWS 계정사용자입니다. MFA는 로그인 보안 인증에 보호 계층을 한 단계 더 추가합니다. 루트 사용자에게 MFA를 요구하면 보안 침해 사고를 줄일 수 있습니다. AWS 계정
AC-2(3)	정보 시스템은 90일이 지나면 사용자의 비활성 계정을 자동으로 비활성화합니다.	iam-password-policy	ID 및 보안 인증 정보는 조직의 IAM 암호 정책을 기반으로 발급, 관리 및 검증됩니다. NIST SP 800-63에 명시된 요구 사항 및 암호 강도에 대한 AWS 기본 보안 모범 사례 표준을 충족하거나 초과합니다. 이 규칙을 사용하면 IAM에 대해 RequireUppercaseCharacters (AWS 기본 보안 모범 사례 값: true), RequireLowercaseCharacters (AWS 기본 보안 모범 사례 값: true), RequireSymbols (AWS 기본 보안 모범 사례 값: true), RequireNumbers (AWS 기본 보안 모범 사례 값: true), MinimumPasswordLength (AWS 기본 보안 모범 사례 값: 14), PasswordReusePrevention (AWS 기본 보안 모범 사례 값: 24), MaxPasswordAge (AWS 기본 보안 모범 사례 값: 90) 을 선택적으로 설정할 수 있습니다.비밀번호 정책. 실제 값은 조직의 정책을 반영해야 합니다.
AC-2(3)	정보 시스템은 90일이 지나면 사용자의 비활성 계정을 자동으로 비활성화합니다.	iam-user-unused-credentials-체크	AWS Identity 및 Access Management (IAM) 는 지정된 기간 동안 사용되지 않은 IAM 암호와 액세스 키를 확인하여 액세스 권한 및 권한 부여에 도움을 줄 수 있습니다. 이러한 미사용 보안 인증 정보가 발견되면 최소 권한의 원칙에 위배될 수 있으므로 해당 보안 인증 정보를 비활성화 및/또는 제거해야 합니다. 이 규칙을 사용하려면 값을 Age로 설정해야 합니다 maxCredentialUsage (Config 기본값: 90). 실제 값은 조직의 정책을 반영해야 합니다.
AC-2(4)	정보 시스템은 계정 생성, 수정, 활성화, 비활성화 및 제거 작업을 자동으로 감사하고 [할당: 조직에서 정의한 직원 또는 역할]을 알립니다.	codebuild-project-logging-enabled	빌드 출력 로그가 Amazon CloudWatch 또는 Amazon Simple Storage Service (Amazon S3) 로 전송되도록 AWS CodeBuild 프로젝트 로깅이 활성화되어 있는지 확인하십시오. 빌드 출력 로그는 빌드 프로젝트에 관한 자세한 정보를 제공합니다.
AC-2(4)	정보 시스템은 계정 생성, 수정, 활성화, 비활성화 및 제거 작업을 자동으로 감사하고 [할당: 조직에서 정의한 직원 또는 역할]을 알립니다.	multi-region-cloudtrail-enabled	AWS CloudTrail AWS 관리 콘솔 작업 및 API 호출을 기록합니다. 전화를 건 사용자 및 계정 AWS, 호출이 이루어진 소스 IP 주소, 호출이 발생한 시간을 식별할 수 있습니다. CloudTrail MULTI_REGION_CLOUD_TRAIL_ENABLED가 활성화된 경우 모든 AWS 지역의 로그 파일을 S3 버킷으로 전송합니다. 또한 새 지역을 AWS 시작하면 새 지역에 동일한 트레일이 생성됩니다. CloudTrail 따라서 별도의 조치를 취하지 않아도 새 리전의 API 활동이 포함된 로그 파일을 받게 됩니다.
AC-2(4)	정보 시스템은 계정 생성, 수정, 활성화, 비활성화 및 제거 작업을 자동으로 감사하고 [할당: 조직에서 정의한 직원 또는 역할]을 알립니다.	rds-logging-enabled	환경 내에서 로깅 및 모니터링에 도움이 되도록 Amazon Relational Database Service(RDS) 로깅이 활성화되어 있는지 확인합니다. Amazon RDS 로깅을 사용하면 연결, 연결 끊김, 쿼리 또는 쿼리된 테이블과 같은 이벤트를 캡처할 수 있습니다.
AC-2(4)	정보 시스템은 계정 생성, 수정, 활성화, 비활성화 및 제거 작업을 자동으로 감사하고 [할당: 조직에서 정의한 직원 또는 역할]을 알립니다.	securityhub-enabled	AWS Security Hub는 승인되지 않은 사용자, 연결, 장치 및 소프트웨어를 모니터링하는 데 도움이 됩니다. AWS Security Hub는 여러 서비스의 보안 경고 또는 조사 결과를 집계하고 구성하며 우선 순위를 지정합니다. AWS 이러한 서비스로는 Amazon Security Hub, Amazon Inspector, Amazon AWS Macie, Identity 및 Access Management (IAM) 액세스 분석기, 방화벽 관리자, 파트너 솔루션 AWS 등이 있습니다. AWS
AC-2(4)	정보 시스템은 계정 생성, 수정, 활성화, 비활성화 및 제거 작업을 자동으로 감사하고 [할당: 조직에서 정의한 직원 또는 역할]을 알립니다.	cloud-trail-cloud-watch-로그 지원	CloudWatch Amazon을 사용하여 로그 이벤트 활동을 중앙에서 수집하고 관리할 수 있습니다. AWS CloudTrail 데이터를 포함하면 사용자 내의 API 호출 활동에 대한 세부 정보가 제공됩니다. AWS 계정
AC-2(4)	정보 시스템은 계정 생성, 수정, 활성화, 비활성화 및 제거 작업을 자동으로 감사하고 [할당: 조직에서 정의한 직원 또는 역할]을 알립니다.	cloudtrail-enabled	AWS CloudTrail AWS 관리 콘솔 작업 및 API 호출을 기록하여 부인 방지에 도움이 될 수 있습니다. 사용자와 AWS 서비스를 AWS 계정 호출한 사용자, 호출이 생성된 소스 IP 주소, 통화 시간을 식별할 수 있습니다. 캡처된 데이터의 세부 정보는 AWS CloudTrail 레코드 컨텐츠에서 볼 수 있습니다.
AC-2(4)	정보 시스템은 계정 생성, 수정, 활성화, 비활성화 및 제거 작업을 자동으로 감사하고 [할당: 조직에서 정의한 직원 또는 역할]을 알립니다.	cloudtrail-s3-dataevents-enabled	Amazon Simple Storage Service(S3) 데이터 이벤트를 수집하면 모든 변칙적 활동을 탐지하는 데 도움이 됩니다. 세부 AWS 계정 정보에는 Amazon S3 버킷에 액세스한 정보, IP 주소, 이벤트 시간이 포함됩니다.
AC-2(4)	정보 시스템은 계정 생성, 수정, 활성화, 비활성화 및 제거 작업을 자동으로 감사하고 [할당: 조직에서 정의한 직원 또는 역할]을 알립니다.	cloudwatch-alarm-action-check	Amazon은 지표가 지정된 평가 기간 수의 임계값을 위반할 경우 CloudWatch 경보를 보냅니다. 이러한 경보는 여러 기간에 대해 지정된 임계값과 지표 또는 표현식의 값을 비교하여 하나 이상의 작업을 수행합니다. 이 규칙에는 alarmActionRequired (구성 기본값: True), insufficientDataAction 필수 (구성 기본값: True), ( okActionRequired 구성 기본값: False) 값이 필요합니다. 실제 값은 사용자 환경의 경보 동작을 반영해야 합니다.
AC-2(4)	정보 시스템은 계정 생성, 수정, 활성화, 비활성화 및 제거 작업을 자동으로 감사하고 [할당: 조직에서 정의한 직원 또는 역할]을 알립니다.	guardduty-enabled-centralized	Amazon은 위협 인텔리전스 피드를 사용하여 잠재적인 사이버 보안 이벤트를 모니터링하고 탐지하는 데 도움을 줄 GuardDuty 수 있습니다. 여기에는 클라우드 환경 내에서 예상치 못한 무단 악의적인 활동을 식별하기 위한 악성 IP 및 기계 학습 목록이 포함됩니다. AWS
AC-2(4)	정보 시스템은 계정 생성, 수정, 활성화, 비활성화 및 제거 작업을 자동으로 감사하고 [할당: 조직에서 정의한 직원 또는 역할]을 알립니다.	redshift-cluster-configuration-check	저장 데이터를 보호하기 위해 Amazon Redshift 클러스터에 대해 암호화가 활성화되어 있는지 확인합니다. 또한 필수 구성이 Amazon Redshift 클러스터에 배포되었는지 확인해야 합니다. 데이터베이스의 연결 및 사용자 활동에 관한 정보를 제공하려면 감사 로깅을 활성화해야 합니다. 이 규칙을 사용하려면 clusterDbEncrypted (구성 기본값: TRUE) 에 값을 설정하고 로깅을 활성화해야 합니다 (구성 기본값: TRUE). 실제 값은 조직의 정책을 반영해야 합니다.
AC-2(4)	정보 시스템은 계정 생성, 수정, 활성화, 비활성화 및 제거 작업을 자동으로 감사하고 [할당: 조직에서 정의한 직원 또는 역할]을 알립니다.	s3- bucket-logging-enabled	Amazon Simple Storage Service(S3) 서버 액세스 로깅은 네트워크에 잠재적인 사이버 보안 이벤트가 있는지 모니터링하는 방법을 제공합니다. 이벤트는 Amazon S3 버킷에 대해 이루어진 요청에 대한 상세한 레코드를 캡처하여 모니터링됩니다. 각 액세스 로그 레코드는 단일 액세스 요청에 관한 세부 정보를 제공합니다. 세부 정보에는 요청자, 버킷 이름, 요청 시간, 요청 작업, 응답 상태, 오류 코드(해당하는 경우)가 포함됩니다.
AC-2(7)	조직은 (a) 허용된 정보 시스템 액세스 및 권한을 역할별로 구성하는 역할 기반 액세스 체계에 따라 권한이 있는 사용자를 설정하고 관리합니다. (b) 권한이 부여된 역할 할당을 모니터링합니다. (c) 권한이 부여된 역할 할당이 더 이상 적절하지 않을 경우 [할당: 조직에서 정의한 조치]를 수행합니다. 추가 지침: 권한이 있는 역할은 개인에게 할당되는 조직 정의 역할로, 이러한 개인은 일반 사용자가 수행할 수 없는 특정 보안 관련 기능을 수행할 수 있습니다. 이러한 권한 있는 역할에는 키 관리, 계정 관리, 네트워크 및 시스템 관리, 데이터베이스 관리, 웹 관리 등이 포함됩니다.	iam-customer-policy-blocked-kms-액션	AWS Identity and Access Management (IAM) 를 사용하면 최소 권한 및 직무 분리 원칙을 액세스 권한 및 승인과 통합하여 정책이 모든 키 관리 서비스 키에 대해 차단된 작업을 포함하지 못하도록 제한할 수 있습니다. AWS 작업을 완료하는 데 필요한 것보다 더 많은 권한을 갖는 것은 최소 권한 및 업무 분리 원칙에 위배될 수 있습니다. 이 규칙을 사용하면 파라미터를 설정할 수 있습니다. blockedActionsPatterns (AWS 기본 보안 모범 사례 값: KMS:암호 해독, kms:). ReEncryptFrom 실제 값은 조직의 정책을 반영해야 합니다.
AC-2(7)	조직은 (a) 허용된 정보 시스템 액세스 및 권한을 역할별로 구성하는 역할 기반 액세스 체계에 따라 권한이 있는 사용자를 설정하고 관리합니다. (b) 권한이 부여된 역할 할당을 모니터링합니다. (c) 권한이 부여된 역할 할당이 더 이상 적절하지 않을 경우 [할당: 조직에서 정의한 조치]를 수행합니다. 추가 지침: 권한이 있는 역할은 개인에게 할당되는 조직 정의 역할로, 이러한 개인은 일반 사용자가 수행할 수 없는 특정 보안 관련 기능을 수행할 수 있습니다. 이러한 권한 있는 역할에는 키 관리, 계정 관리, 네트워크 및 시스템 관리, 데이터베이스 관리, 웹 관리 등이 포함됩니다.	iam-group-has-users-체크	AWS Identity and Access Management (IAM) 를 사용하면 IAM 그룹에 최소 한 명의 사용자를 지정하여 최소 권한 및 직무 분리 원칙을 액세스 권한 및 승인과 통합할 수 있습니다. 관련 권한 또는 직무에 따라 사용자를 그룹에 배치하는 것은 최소 권한을 통합하는 한 가지 방법입니다.
AC-2(7)	조직은 (a) 허용된 정보 시스템 액세스 및 권한을 역할별로 구성하는 역할 기반 액세스 체계에 따라 권한이 있는 사용자를 설정하고 관리합니다. (b) 권한이 부여된 역할 할당을 모니터링합니다. (c) 권한이 부여된 역할 할당이 더 이상 적절하지 않을 경우 [할당: 조직에서 정의한 조치]를 수행합니다. 추가 지침: 권한이 있는 역할은 개인에게 할당되는 조직 정의 역할로, 이러한 개인은 일반 사용자가 수행할 수 없는 특정 보안 관련 기능을 수행할 수 있습니다. 이러한 권한 있는 역할에는 키 관리, 계정 관리, 네트워크 및 시스템 관리, 데이터베이스 관리, 웹 관리 등이 포함됩니다.	iam-inline-policy-blocked-kms-actions	AWS Identity 및 Access Management (IAM) 사용자, IAM 역할 또는 IAM 그룹에 모든 키 관리 서비스 키에 대한 차단된 작업을 허용하는 인라인 정책이 없는지 확인하십시오. AWS AWS 인라인 정책 대신 관리형 정책을 사용할 것을 권장합니다. 관리형 정책을 사용하면 재사용, 버전 관리, 롤백 및 권한 위임 관리가 가능합니다. 이 규칙을 사용하면 blockedActionsPatterns 매개변수를 설정할 수 있습니다. (AWS 기본 보안 모범 사례 값: KMS:암호 해독, kms:). ReEncryptFrom 실제 값은 조직의 정책을 반영해야 합니다.
AC-2(7)	조직은 (a) 허용된 정보 시스템 액세스 및 권한을 역할별로 구성하는 역할 기반 액세스 체계에 따라 권한이 있는 사용자를 설정하고 관리합니다. (b) 권한이 부여된 역할 할당을 모니터링합니다. (c) 권한이 부여된 역할 할당이 더 이상 적절하지 않을 경우 [할당: 조직에서 정의한 조치]를 수행합니다. 추가 지침: 권한이 있는 역할은 개인에게 할당되는 조직 정의 역할로, 이러한 개인은 일반 사용자가 수행할 수 없는 특정 보안 관련 기능을 수행할 수 있습니다. 이러한 권한 있는 역할에는 키 관리, 계정 관리, 네트워크 및 시스템 관리, 데이터베이스 관리, 웹 관리 등이 포함됩니다.	iam-no-inline-policy-체크	AWS ID 및 액세스 관리 (IAM) 사용자, IAM 역할 또는 IAM 그룹에 시스템 및 자산에 대한 액세스를 제어하는 인라인 정책이 없는지 확인하십시오. AWS 인라인 정책 대신 관리형 정책을 사용할 것을 권장합니다. 관리형 정책을 사용하면 재사용, 버전 관리, 롤백 및 권한 위임 관리가 가능합니다.
AC-2(7)	조직은 (a) 허용된 정보 시스템 액세스 및 권한을 역할별로 구성하는 역할 기반 액세스 체계에 따라 권한이 있는 사용자를 설정하고 관리합니다. (b) 권한이 부여된 역할 할당을 모니터링합니다. (c) 권한이 부여된 역할 할당이 더 이상 적절하지 않을 경우 [할당: 조직에서 정의한 조치]를 수행합니다. 추가 지침: 권한이 있는 역할은 개인에게 할당되는 조직 정의 역할로, 이러한 개인은 일반 사용자가 수행할 수 없는 특정 보안 관련 기능을 수행할 수 있습니다. 이러한 권한 있는 역할에는 키 관리, 계정 관리, 네트워크 및 시스템 관리, 데이터베이스 관리, 웹 관리 등이 포함됩니다.	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 를 사용하면 최소 권한 및 직무 분리 원칙을 액세스 권한 및 승인과 통합하여 정책에 “리소스”: “*” 대신 “효과”: “허용”과 “조치”: “*”를 포함하는 것을 제한할 수 있습니다. 작업을 완료하는 데 필요한 것보다 더 많은 권한을 갖도록 허용하는 것은 최소 권한 및 업무 분리 원칙에 위배될 수 있습니다.
AC-2(7)	조직은 (a) 허용된 정보 시스템 액세스 및 권한을 역할별로 구성하는 역할 기반 액세스 체계에 따라 권한이 있는 사용자를 설정하고 관리합니다. (b) 권한이 부여된 역할 할당을 모니터링합니다. (c) 권한이 부여된 역할 할당이 더 이상 적절하지 않을 경우 [할당: 조직에서 정의한 조치]를 수행합니다. 추가 지침: 권한이 있는 역할은 개인에게 할당되는 조직 정의 역할로, 이러한 개인은 일반 사용자가 수행할 수 없는 특정 보안 관련 기능을 수행할 수 있습니다. 이러한 권한 있는 역할에는 키 관리, 계정 관리, 네트워크 및 시스템 관리, 데이터베이스 관리, 웹 관리 등이 포함됩니다.	iam-policy-no-statements-with-full-access	IAM 작업을 필요한 작업으로만 제한해야 합니다. 작업을 완료하는 데 필요한 것보다 더 많은 권한을 갖도록 허용하는 것은 최소 권한 및 업무 분리 원칙에 위배될 수 있습니다.
AC-2(12)(a)	조직: a. 정보 시스템 계정의 [할당: 조직에서 정의한 비정형 용도] 활동을 모니터링합니다.	securityhub-enabled	AWS Security Hub는 승인되지 않은 사용자, 연결, 장치 및 소프트웨어를 모니터링하는 데 도움이 됩니다. AWS Security Hub는 여러 서비스의 보안 경고 또는 조사 결과를 집계하고 구성하며 우선 순위를 지정합니다. AWS 이러한 서비스로는 Amazon Security Hub, Amazon Inspector, Amazon AWS Macie, Identity 및 Access Management (IAM) 액세스 분석기, 방화벽 관리자, 파트너 솔루션 AWS 등이 있습니다. AWS
AC-2(12)(a)	조직: a. 정보 시스템 계정의 [할당: 조직에서 정의한 비정형 용도] 활동을 모니터링합니다.	guardduty-enabled-centralized	Amazon은 위협 인텔리전스 피드를 사용하여 잠재적인 사이버 보안 이벤트를 모니터링하고 탐지하는 데 도움을 줄 GuardDuty 수 있습니다. 여기에는 클라우드 환경 내에서 예상치 못한 무단 악의적인 활동을 식별하기 위한 악성 IP 및 기계 학습 목록이 포함됩니다. AWS
AC-2(f)	조직: f. [할당: 조직에서 정의한 절차 또는 조건]에 따라 정보 시스템 계정을 생성, 활성화, 수정, 비활성화 및 제거합니다.	iam-inline-policy-blocked-kms-actions	AWS Identity 및 Access Management (IAM) 사용자, IAM 역할 또는 IAM 그룹에 모든 키 관리 서비스 키에 대한 차단된 작업을 허용하는 인라인 정책이 없는지 확인하십시오. AWS AWS 인라인 정책 대신 관리형 정책을 사용할 것을 권장합니다. 관리형 정책을 사용하면 재사용, 버전 관리, 롤백 및 권한 위임 관리가 가능합니다. 이 규칙을 사용하면 blockedActionsPatterns 매개변수를 설정할 수 있습니다. (AWS 기본 보안 모범 사례 값: KMS:암호 해독, kms:). ReEncryptFrom 실제 값은 조직의 정책을 반영해야 합니다.
AC-2(f)	조직: f. [할당: 조직에서 정의한 절차 또는 조건]에 따라 정보 시스템 계정을 생성, 활성화, 수정, 비활성화 및 제거합니다.	iam-no-inline-policy-체크	AWS ID 및 액세스 관리 (IAM) 사용자, IAM 역할 또는 IAM 그룹에 시스템 및 자산에 대한 액세스를 제어하는 인라인 정책이 없는지 확인하십시오. AWS 인라인 정책 대신 관리형 정책을 사용할 것을 권장합니다. 관리형 정책을 사용하면 재사용, 버전 관리, 롤백 및 권한 위임 관리가 가능합니다.
AC-2(f)	조직: f. [할당: 조직에서 정의한 절차 또는 조건]에 따라 정보 시스템 계정을 생성, 활성화, 수정, 비활성화 및 제거합니다.	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 를 사용하면 최소 권한 및 직무 분리 원칙을 액세스 권한 및 승인과 통합하여 정책에 “리소스”: “*” 대신 “효과”: “허용”과 “조치”: “*”를 포함하는 것을 제한할 수 있습니다. 작업을 완료하는 데 필요한 것보다 더 많은 권한을 갖도록 허용하는 것은 최소 권한 및 업무 분리 원칙에 위배될 수 있습니다.
AC-2(f)	조직: f. [할당: 조직에서 정의한 절차 또는 조건]에 따라 정보 시스템 계정을 생성, 활성화, 수정, 비활성화 및 제거합니다.	iam-policy-no-statements-with-full-access	IAM 작업을 필요한 작업으로만 제한해야 합니다. 작업을 완료하는 데 필요한 것보다 더 많은 권한을 갖도록 허용하는 것은 최소 권한 및 업무 분리 원칙에 위배될 수 있습니다.
AC-2(f)	조직: f. [할당: 조직에서 정의한 절차 또는 조건]에 따라 정보 시스템 계정을 생성, 활성화, 수정, 비활성화 및 제거합니다.	access-keys-rotated	IAM 액세스 키가 조직 정책에 지정된 대로 순환되도록 하여 인증된 장치, 사용자 및 프로세스에 대한 자격 증명을 감사합니다. 정기적인 일정에 따라 액세스 키를 변경하는 것이 보안 모범 사례입니다. 이렇게 하면 액세스 키가 활성화되는 기간이 단축되고 키가 손상될 경우 비즈니스에 미치는 영향을 줄일 수 있습니다. 이 규칙에는 액세스 키 교체 값이 필요합니다(Config 기본값: 90). 실제 값은 조직의 정책을 반영해야 합니다.
AC-2(f)	조직: f. [할당: 조직에서 정의한 절차 또는 조건]에 따라 정보 시스템 계정을 생성, 활성화, 수정, 비활성화 및 제거합니다.	iam-password-policy	ID 및 보안 인증 정보는 조직의 IAM 암호 정책을 기반으로 발급, 관리 및 검증됩니다. NIST SP 800-63 및 암호 강도에 대한 AWS 기본 보안 모범 사례 표준에 명시된 요구 사항을 충족하거나 초과합니다. 이 규칙을 사용하면 IAM에 대해 RequireUppercaseCharacters (AWS 기본 보안 모범 사례 값: true), RequireLowercaseCharacters (AWS 기본 보안 모범 사례 값: true), RequireSymbols (AWS 기본 보안 모범 사례 값: true), RequireNumbers (AWS 기본 보안 모범 사례 값: true), MinimumPasswordLength (AWS 기본 보안 모범 사례 값: 14), PasswordReusePrevention (AWS 기본 보안 모범 사례 값: 24), MaxPasswordAge (AWS 기본 보안 모범 사례 값: 90) 을 선택적으로 설정할 수 있습니다.비밀번호 정책. 실제 값은 조직의 정책을 반영해야 합니다.
AC-2(f)	조직: f. [할당: 조직에서 정의한 절차 또는 조건]에 따라 정보 시스템 계정을 생성, 활성화, 수정, 비활성화 및 제거합니다.	iam-root-access-key-체크	루트 사용자의 AWS Identity and Access Management (IAM) 역할에 연결된 액세스 키가 없는지 확인하여 시스템 및 자산에 대한 액세스를 제어할 수 있습니다. 루트 액세스 키가 삭제되었는지 확인하세요. 대신 기능 최소화 원칙을 AWS 계정 통합하는 데 도움이 되도록 역할 기반 솔루션을 만들어 사용하세요.
AC-2(f)	조직: f. [할당: 조직에서 정의한 절차 또는 조건]에 따라 정보 시스템 계정을 생성, 활성화, 수정, 비활성화 및 제거합니다.	iam-user-group-membership-체크	AWS Identity and Access Management (IAM) 를 사용하면 사용자가 하나 이상의 그룹에 속하도록 하여 액세스 권한 및 권한 부여를 제한할 수 있습니다. 사용자에게 작업을 완료하는 데 필요한 것보다 더 많은 권한을 허용하면 최소 권한 및 업무 분리 원칙에 위배될 수 있습니다.
AC-2(f)	조직: f. [할당: 조직에서 정의한 절차 또는 조건]에 따라 정보 시스템 계정을 생성, 활성화, 수정, 비활성화 및 제거합니다.	iam-user-mfa-enabled	이 규칙을 활성화하면 클라우드의 리소스에 대한 액세스를 제한할 수 있습니다. AWS 이 규칙은 모든 사용자에 대해 다중 인증(MFA)이 활성화되도록 합니다. MFA를 통해 로그인 보안 인증 외에 보호 계층이 한 단계 더 추가됩니다. 사용자에게 MFA를 요구하여 계정 보안 침해 사고를 줄이십시오.
AC-2(f)	조직: f. [할당: 조직에서 정의한 절차 또는 조건]에 따라 정보 시스템 계정을 생성, 활성화, 수정, 비활성화 및 제거합니다.	iam-user-no-policies-check	이 규칙을 사용하면 AWS Identity 및 Access Management (IAM) 정책을 그룹 또는 역할에만 연결하여 시스템 및 자산에 대한 액세스를 제어할 수 있습니다. 그룹 또는 역할 수준에서 권한을 할당하면 ID가 과도한 권한을 받거나 보유할 기회를 줄이는 데 도움이 됩니다.
AC-2(f)	조직: f. [할당: 조직에서 정의한 절차 또는 조건]에 따라 정보 시스템 계정을 생성, 활성화, 수정, 비활성화 및 제거합니다.	iam-user-unused-credentials-check	AWS Identity 및 Access Management (IAM) 는 지정된 기간 동안 사용되지 않은 IAM 암호와 액세스 키를 확인하여 액세스 권한 및 권한 부여에 도움을 줄 수 있습니다. 이러한 미사용 보안 인증 정보가 발견되면 최소 권한의 원칙에 위배될 수 있으므로 해당 보안 인증 정보를 비활성화 및/또는 제거해야 합니다. 이 규칙을 사용하려면 값을 Age로 설정해야 합니다 maxCredentialUsage (Config 기본값: 90). 실제 값은 조직의 정책을 반영해야 합니다.
AC-2(f)	조직: f. [할당: 조직에서 정의한 절차 또는 조건]에 따라 정보 시스템 계정을 생성, 활성화, 수정, 비활성화 및 제거합니다.	mfa-enabled-for-iam-콘솔 액세스	콘솔 암호가 있는 모든 AWS Identity 및 Access Management (IAM) 사용자가 MFA를 사용하도록 설정하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. MFA를 통해 로그인 보안 인증 외에 보호 계층이 한 단계 더 추가됩니다. 사용자에게 MFA를 요구하면 계정이 침해되는 사고를 줄이고 승인되지 않은 사용자가 민감한 데이터에 액세스하는 것을 방지할 수 있습니다.
AC-2(f)	조직: f. [할당: 조직에서 정의한 절차 또는 조건]에 따라 정보 시스템 계정을 생성, 활성화, 수정, 비활성화 및 제거합니다.	root-account-hardware-mfa-활성화됨	루트 사용자가 하드웨어 MFA를 사용하도록 설정하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 루트 사용자는 권한이 가장 많은 AWS 계정사용자입니다. MFA는 로그인 보안 인증에 보호 계층을 한 단계 더 추가합니다. 루트 사용자에게 MFA를 요구하면 보안 침해 사고를 줄일 수 있습니다. AWS 계정
AC-2(f)	조직: f. [할당: 조직에서 정의한 절차 또는 조건]에 따라 정보 시스템 계정을 생성, 활성화, 수정, 비활성화 및 제거합니다.	root-account-mfa-enabled	루트 사용자에 대해 MFA가 활성화되도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 루트 사용자는 권한이 가장 많은 AWS 계정사용자입니다. MFA는 로그인 보안 인증에 보호 계층을 한 단계 더 추가합니다. 루트 사용자에게 MFA를 요구하면 보안 침해 사고를 줄일 수 있습니다. AWS 계정
AC-2(g)	조직: g. 정보 시스템 계정 사용을 모니터링합니다.	api-gw-execution-logging-활성화됨	API Gateway 로깅에는 API에 액세스한 사용자 및 액세스 방식에 관한 세부 정보 보기가 표시됩니다. 이러한 인사이트를 통해 사용자 활동을 파악할 수 있습니다.
AC-2(g)	조직: g. 정보 시스템 계정 사용을 모니터링합니다.	codebuild-project-logging-enabled	빌드 출력 로그가 Amazon CloudWatch 또는 Amazon Simple Storage Service (Amazon S3) 로 전송되도록 AWS CodeBuild 프로젝트 로깅이 활성화되어 있는지 확인하십시오. 빌드 출력 로그는 빌드 프로젝트에 관한 자세한 정보를 제공합니다.
AC-2(g)	조직: g. 정보 시스템 계정 사용을 모니터링합니다.	elasticsearch-logs-to-cloudwatch	Amazon OpenSearch Service 도메인에 오류 로그가 활성화되어 있고 보존 및 응답을 위해 Amazon CloudWatch Logs로 스트리밍되는지 확인하십시오. 도메인 오류 로그는 보안 및 액세스 감사에 도움이 되며 가용성 문제를 진단하는 데 도움이 될 수 있습니다.
AC-2(g)	조직: g. 정보 시스템 계정 사용을 모니터링합니다.	multi-region-cloudtrail-enabled	AWS CloudTrail AWS 관리 콘솔 작업 및 API 호출을 기록합니다. 전화를 건 사용자 및 계정 AWS, 호출이 이루어진 소스 IP 주소, 호출이 발생한 시간을 식별할 수 있습니다. CloudTrail MULTI_REGION_CLOUD_TRAIL_ENABLED가 활성화된 경우 모든 AWS 지역의 로그 파일을 S3 버킷으로 전송합니다. 또한 새 지역을 AWS 시작하면 새 지역에 동일한 트레일이 생성됩니다. CloudTrail 따라서 별도의 조치를 취하지 않아도 새 리전의 API 활동이 포함된 로그 파일을 받게 됩니다.
AC-2(g)	조직: g. 정보 시스템 계정 사용을 모니터링합니다.	rds-logging-enabled	환경 내에서 로깅 및 모니터링에 도움이 되도록 Amazon Relational Database Service(RDS) 로깅이 활성화되어 있는지 확인합니다. Amazon RDS 로깅을 사용하면 연결, 연결 끊김, 쿼리 또는 쿼리된 테이블과 같은 이벤트를 캡처할 수 있습니다.
AC-2(g)	조직: g. 정보 시스템 계정 사용을 모니터링합니다.	securityhub-enabled	AWS Security Hub는 승인되지 않은 사용자, 연결, 장치 및 소프트웨어를 모니터링하는 데 도움이 됩니다. AWS Security Hub는 여러 서비스의 보안 경고 또는 조사 결과를 집계하고 구성하며 우선 순위를 지정합니다. AWS 이러한 서비스로는 Amazon Security Hub, Amazon Inspector, Amazon AWS Macie, Identity 및 Access Management (IAM) 액세스 분석기, 방화벽 관리자, 파트너 솔루션 AWS 등이 있습니다. AWS
AC-2(g)	조직: g. 정보 시스템 계정 사용을 모니터링합니다.	wafv2-logging-enabled	환경 내에서 로깅 및 모니터링을 지원하려면 지역 및 글로벌 웹 ACL에서 AWS WAF (V2) 로깅을 활성화하십시오. AWS WAF 로깅은 웹 ACL에서 분석된 트래픽에 대한 자세한 정보를 제공합니다. 로그에는 AWS WAF가 AWS 리소스로부터 요청을 받은 시간, 요청에 대한 정보, 각 요청이 일치하는 규칙에 대한 조치가 기록됩니다.
AC-2(g)	조직: g. 정보 시스템 계정 사용을 모니터링합니다.	cloud-trail-cloud-watch-로그 활성화	CloudWatch Amazon을 사용하여 로그 이벤트 활동을 중앙에서 수집하고 관리할 수 있습니다. AWS CloudTrail 데이터를 포함하면 사용자 내의 API 호출 활동에 대한 세부 정보가 제공됩니다. AWS 계정
AC-2(g)	조직: g. 정보 시스템 계정 사용을 모니터링합니다.	cloudtrail-enabled	AWS CloudTrail AWS 관리 콘솔 작업 및 API 호출을 기록하여 부인 방지에 도움이 될 수 있습니다. 사용자와 AWS 서비스를 AWS 계정 호출한 사용자, 호출이 생성된 소스 IP 주소, 통화 시간을 식별할 수 있습니다. 캡처된 데이터의 세부 정보는 AWS CloudTrail 레코드 컨텐츠에서 볼 수 있습니다.
AC-2(g)	조직: g. 정보 시스템 계정 사용을 모니터링합니다.	cloudtrail-s3-dataevents-enabled	Amazon Simple Storage Service(S3) 데이터 이벤트를 수집하면 모든 변칙적 활동을 탐지하는 데 도움이 됩니다. 세부 AWS 계정 정보에는 Amazon S3 버킷에 액세스한 정보, IP 주소, 이벤트 시간이 포함됩니다.
AC-2(g)	조직: g. 정보 시스템 계정 사용을 모니터링합니다.	guardduty-enabled-centralized	Amazon은 위협 인텔리전스 피드를 사용하여 잠재적인 사이버 보안 이벤트를 모니터링하고 탐지하는 데 도움을 줄 GuardDuty 수 있습니다. 여기에는 클라우드 환경 내에서 예상치 못한 무단 악의적인 활동을 식별하기 위한 악성 IP 및 기계 학습 목록이 포함됩니다. AWS
AC-2(g)	조직: g. 정보 시스템 계정 사용을 모니터링합니다.	opensearch-logs-to-cloudwatch	Amazon OpenSearch Service 도메인에 오류 로그가 활성화되어 있고 보존 및 응답을 위해 Amazon CloudWatch Logs로 스트리밍되는지 확인하십시오. OpenSearch 서비스 오류 로그는 보안 및 액세스 감사에 도움이 되며 가용성 문제를 진단하는 데 도움이 될 수 있습니다.
AC-2(g)	조직: g. 정보 시스템 계정 사용을 모니터링합니다.	redshift-cluster-configuration-check	저장 데이터를 보호하기 위해 Amazon Redshift 클러스터에 대해 암호화가 활성화되어 있는지 확인합니다. 또한 필수 구성이 Amazon Redshift 클러스터에 배포되었는지 확인해야 합니다. 데이터베이스의 연결 및 사용자 활동에 관한 정보를 제공하려면 감사 로깅을 활성화해야 합니다. 이 규칙을 사용하려면 clusterDbEncrypted (구성 기본값: TRUE) 에 값을 설정하고 로깅을 활성화해야 합니다 (구성 기본값: TRUE). 실제 값은 조직의 정책을 반영해야 합니다.
AC-2(g)	조직: g. 정보 시스템 계정 사용을 모니터링합니다.	s3- bucket-logging-enabled	Amazon Simple Storage Service(S3) 서버 액세스 로깅은 네트워크에 잠재적인 사이버 보안 이벤트가 있는지 모니터링하는 방법을 제공합니다. 이벤트는 Amazon S3 버킷에 대해 이루어진 요청에 대한 상세한 레코드를 캡처하여 모니터링됩니다. 각 액세스 로그 레코드는 단일 액세스 요청에 관한 세부 정보를 제공합니다. 세부 정보에는 요청자, 버킷 이름, 요청 시간, 요청 작업, 응답 상태, 오류 코드(해당하는 경우)가 포함됩니다.
AC-2(j)	조직: j. 계정이 계정 관리 요구 사항을 준수하는지 [할당: 조직에서 정의한 빈도]로 검토합니다.	ec2- instance-profile-attached	EC2 인스턴스 프로파일은 EC2 인스턴스에 IAM 역할을 전달합니다. 인스턴스 프로파일을 인스턴스에 연결하면 최소 권한 및 권한 관리에 도움이 될 수 있습니다.
AC-2(j)	조직: j. 계정이 계정 관리 요구 사항을 준수하는지 [할당: 조직에서 정의한 빈도]로 검토합니다.	ecs-task-definition-user-for-host-mode-check	작업 정의에 승격된 권한이 있는 경우는 고객이 해당 구성을 특별히 선택했기 때문입니다. 이 제어는 작업 정의에 호스트 네트워킹이 활성화되어 있지만 고객이 승격된 권한을 선택하지 않은 경우 예상치 못한 권한 에스컬레이션을 검사합니다.
AC-2(j)	조직: j. 계정이 계정 관리 요구 사항을 준수하는지 [할당: 조직에서 정의한 빈도]로 검토합니다.	iam-customer-policy-blocked-kms-액션	AWS Identity and Access Management (IAM) 를 사용하면 최소 권한 및 직무 분리 원칙을 액세스 권한 및 승인과 통합하여 정책이 모든 키 관리 서비스 키에 대해 차단된 작업을 포함하지 못하도록 제한할 수 있습니다. AWS 작업을 완료하는 데 필요한 것보다 더 많은 권한을 갖는 것은 최소 권한 및 업무 분리 원칙에 위배될 수 있습니다. 이 규칙을 사용하면 파라미터를 설정할 수 있습니다. blockedActionsPatterns (AWS 기본 보안 모범 사례 값: KMS:암호 해독, kms:). ReEncryptFrom 실제 값은 조직의 정책을 반영해야 합니다.
AC-2(j)	조직: j. 계정이 계정 관리 요구 사항을 준수하는지 [할당: 조직에서 정의한 빈도]로 검토합니다.	iam-inline-policy-blocked-kms-actions	AWS Identity 및 Access Management (IAM) 사용자, IAM 역할 또는 IAM 그룹에 모든 키 관리 서비스 키에 대한 차단된 작업을 허용하는 인라인 정책이 없는지 확인하십시오. AWS AWS 인라인 정책 대신 관리형 정책을 사용할 것을 권장합니다. 관리형 정책을 사용하면 재사용, 버전 관리, 롤백 및 권한 위임 관리가 가능합니다. 이 규칙을 사용하면 blockedActionsPatterns 매개변수를 설정할 수 있습니다. (AWS 기본 보안 모범 사례 값: KMS:암호 해독, kms:). ReEncryptFrom 실제 값은 조직의 정책을 반영해야 합니다.
AC-2(j)	조직: j. 계정이 계정 관리 요구 사항을 준수하는지 [할당: 조직에서 정의한 빈도]로 검토합니다.	iam-no-inline-policy-체크	AWS ID 및 액세스 관리 (IAM) 사용자, IAM 역할 또는 IAM 그룹에 시스템 및 자산에 대한 액세스를 제어하는 인라인 정책이 없는지 확인하십시오. AWS 인라인 정책 대신 관리형 정책을 사용할 것을 권장합니다. 관리형 정책을 사용하면 재사용, 버전 관리, 롤백 및 권한 위임 관리가 가능합니다.
AC-2(j)	조직: j. 계정이 계정 관리 요구 사항을 준수하는지 [할당: 조직에서 정의한 빈도]로 검토합니다.	iam-policy-no-statements-with-full-access	IAM 작업을 필요한 작업으로만 제한해야 합니다. 작업을 완료하는 데 필요한 것보다 더 많은 권한을 갖도록 허용하는 것은 최소 권한 및 업무 분리 원칙에 위배될 수 있습니다.
AC-2(j)	조직: j. 계정이 계정 관리 요구 사항을 준수하는지 [할당: 조직에서 정의한 빈도]로 검토합니다.	iam-user-mfa-enabled	이 규칙을 활성화하면 AWS 클라우드의 리소스에 대한 액세스를 제한할 수 있습니다. 이 규칙은 모든 사용자에 대해 다중 인증(MFA)이 활성화되도록 합니다. MFA를 통해 로그인 보안 인증 외에 보호 계층이 한 단계 더 추가됩니다. 사용자에게 MFA를 요구하여 계정 보안 침해 사고를 줄이십시오.
AC-2(j)	조직: j. 계정이 계정 관리 요구 사항을 준수하는지 [할당: 조직에서 정의한 빈도]로 검토합니다.	iam-user-unused-credentials-check	AWS Identity 및 Access Management (IAM) 는 지정된 기간 동안 사용되지 않은 IAM 암호와 액세스 키를 확인하여 액세스 권한 및 권한 부여에 도움을 줄 수 있습니다. 이러한 미사용 보안 인증 정보가 발견되면 최소 권한의 원칙에 위배될 수 있으므로 해당 보안 인증 정보를 비활성화 및/또는 제거해야 합니다. 이 규칙을 사용하려면 값을 Age로 설정해야 합니다 maxCredentialUsage (Config 기본값: 90). 실제 값은 조직의 정책을 반영해야 합니다.
AC-2(j)	조직: j. 계정이 계정 관리 요구 사항을 준수하는지 [할당: 조직에서 정의한 빈도]로 검토합니다.	mfa-enabled-for-iam-콘솔 액세스	콘솔 암호가 있는 모든 AWS Identity 및 Access Management (IAM) 사용자가 MFA를 사용하도록 설정하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. MFA를 통해 로그인 보안 인증 외에 보호 계층이 한 단계 더 추가됩니다. 사용자에게 MFA를 요구하면 계정이 침해되는 사고를 줄이고 승인되지 않은 사용자가 민감한 데이터에 액세스하는 것을 방지할 수 있습니다.
AC-2(j)	조직: j. 계정이 계정 관리 요구 사항을 준수하는지 [할당: 조직에서 정의한 빈도]로 검토합니다.	access-keys-rotated	IAM 액세스 키가 조직 정책에 지정된 대로 교체되도록 하여 인증된 디바이스, 사용자 및 프로세스에 대한 자격 증명을 감사합니다. 정기적인 일정에 따라 액세스 키를 변경하는 것이 보안 모범 사례입니다. 이렇게 하면 액세스 키가 활성화되는 기간이 단축되고 키가 손상될 경우 비즈니스에 미치는 영향을 줄일 수 있습니다. 이 규칙에는 액세스 키 교체 값이 필요합니다(Config 기본값: 90). 실제 값은 조직의 정책을 반영해야 합니다.
AC-2(j)	조직: j. 계정이 계정 관리 요구 사항을 준수하는지 [할당: 조직에서 정의한 빈도]로 검토합니다.	iam-group-has-users-check	AWS Identity and Access Management (IAM) 를 사용하면 IAM 그룹에 최소 한 명의 사용자를 지정하여 최소 권한 및 직무 분리 원칙을 액세스 권한 및 승인과 통합할 수 있습니다. 관련 권한 또는 직무에 따라 사용자를 그룹에 배치하는 것은 최소 권한을 통합하는 한 가지 방법입니다.
AC-2(j)	조직: j. 계정이 계정 관리 요구 사항을 준수하는지 [할당: 조직에서 정의한 빈도]로 검토합니다.	iam-password-policy	ID 및 보안 인증 정보는 조직의 IAM 암호 정책을 기반으로 발급, 관리 및 검증됩니다. 이들은 NIST SP 800-63 및 암호 강도에 대한 AWS 기본 보안 모범 사례 표준에 명시된 요구 사항을 충족하거나 초과합니다. 이 규칙을 사용하면 IAM에 대해 RequireUppercaseCharacters (AWS 기본 보안 모범 사례 값: true), RequireLowercaseCharacters (AWS 기본 보안 모범 사례 값: true), RequireSymbols (AWS 기본 보안 모범 사례 값: true), RequireNumbers (AWS 기본 보안 모범 사례 값: true), MinimumPasswordLength (AWS 기본 보안 모범 사례 값: 14), PasswordReusePrevention (AWS 기본 보안 모범 사례 값: 24), MaxPasswordAge (AWS 기본 보안 모범 사례 값: 90) 을 선택적으로 설정할 수 있습니다.비밀번호 정책. 실제 값은 조직의 정책을 반영해야 합니다.
AC-2(j)	조직: j. 계정이 계정 관리 요구 사항을 준수하는지 [할당: 조직에서 정의한 빈도]로 검토합니다.	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 를 사용하면 최소 권한 및 직무 분리 원칙을 액세스 권한 및 승인과 통합하여 정책에 “리소스”: “*” 대신 “효과”: “허용”과 “조치”: “*”를 포함하는 것을 제한할 수 있습니다. 작업을 완료하는 데 필요한 것보다 더 많은 권한을 갖도록 허용하는 것은 최소 권한 및 업무 분리 원칙에 위배될 수 있습니다.
AC-2(j)	조직: j. 계정이 계정 관리 요구 사항을 준수하는지 [할당: 조직에서 정의한 빈도]로 검토합니다.	iam-root-access-key-체크	루트 사용자의 AWS Identity and Access Management (IAM) 역할에 연결된 액세스 키가 없는지 확인하여 시스템 및 자산에 대한 액세스를 제어할 수 있습니다. 루트 액세스 키가 삭제되었는지 확인하세요. 대신 기능 최소화 원칙을 AWS 계정 통합하는 데 도움이 되도록 역할 기반 솔루션을 만들어 사용하세요.
AC-2(j)	조직: j. 계정이 계정 관리 요구 사항을 준수하는지 [할당: 조직에서 정의한 빈도]로 검토합니다.	iam-user-group-membership-체크	AWS Identity and Access Management (IAM) 를 사용하면 사용자가 하나 이상의 그룹에 속하도록 하여 액세스 권한 및 권한 부여를 제한할 수 있습니다. 사용자에게 작업을 완료하는 데 필요한 것보다 더 많은 권한을 허용하면 최소 권한 및 업무 분리 원칙에 위배될 수 있습니다.
AC-2(j)	조직: j. 계정이 계정 관리 요구 사항을 준수하는지 [할당: 조직에서 정의한 빈도]로 검토합니다.	iam-user-no-policies-check	이 규칙을 사용하면 AWS Identity 및 Access Management (IAM) 정책을 그룹 또는 역할에만 연결하여 시스템 및 자산에 대한 액세스를 제어할 수 있습니다. 그룹 또는 역할 수준에서 권한을 할당하면 ID가 과도한 권한을 받거나 보유할 기회를 줄이는 데 도움이 됩니다.
AC-2(j)	조직: j. 계정이 계정 관리 요구 사항을 준수하는지 [할당: 조직에서 정의한 빈도]로 검토합니다.	root-account-mfa-enabled	루트 사용자에 대해 MFA가 활성화되도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 루트 사용자는 권한이 가장 많은 AWS 계정사용자입니다. MFA는 로그인 보안 인증에 보호 계층을 한 단계 더 추가합니다. 루트 사용자에게 MFA를 요구하면 보안 침해 사고를 줄일 수 있습니다. AWS 계정
AC-3	정보 시스템은 해당 액세스 제어 정책에 따라 정보 및 시스템 리소스에 대한 논리적 액세스에 대해 승인된 권한을 적용합니다.	autoscaling-launch-config-public-ip-비활성화됨	퍼블릭 IP 주소로 네트워크 인터페이스를 구성하면 인터넷에서 해당 네트워크 인터페이스에 연결된 리소스에 도달할 수 있습니다. EC2 리소스에는 공개적으로 액세스할 수 없어야 합니다. 애플리케이션이나 서버에 의도하지 않은 액세스가 허용될 수 있기 때문입니다.
AC-3	정보 시스템은 해당 액세스 제어 정책에 따라 정보 및 시스템 리소스에 대한 논리적 액세스에 대해 승인된 권한을 적용합니다.	ec2-imdsv2-check	Amazon Elastic Compute Cloud(Amazon EC2) 인스턴스 메타데이터의 액세스 및 제어를 위해 인스턴스 메타데이터 서비스 버전 2(IMDSv2) 메서드가 활성화되어 있는지 확인합니다. IMDSv2 메서드는 세션 기반 제어를 사용합니다. IMDSv2를 사용하면 제어를 구현하여 인스턴스 메타데이터 변경을 제한할 수 있습니다.
AC-3	정보 시스템은 해당 액세스 제어 정책에 따라 정보 및 시스템 리소스에 대한 논리적 액세스에 대해 승인된 권한을 적용합니다.	ec2- instance-profile-attached	EC2 인스턴스 프로파일은 EC2 인스턴스에 IAM 역할을 전달합니다. 인스턴스 프로파일을 인스턴스에 연결하면 최소 권한 및 권한 관리에 도움이 될 수 있습니다.
AC-3	정보 시스템은 해당 액세스 제어 정책에 따라 정보 및 시스템 리소스에 대한 논리적 액세스에 대해 승인된 권한을 적용합니다.	ecs-task-definition-user-for-host-mode-check	작업 정의에 승격된 권한이 있는 경우는 고객이 해당 구성을 특별히 선택했기 때문입니다. 이 제어는 작업 정의에 호스트 네트워킹이 활성화되어 있지만 고객이 승격된 권한을 선택하지 않은 경우 예상치 못한 권한 에스컬레이션을 검사합니다.
AC-3	정보 시스템은 해당 액세스 제어 정책에 따라 정보 및 시스템 리소스에 대한 논리적 액세스에 대해 승인된 권한을 적용합니다.	iam-no-inline-policy-체크	AWS ID 및 액세스 관리 (IAM) 사용자, IAM 역할 또는 IAM 그룹에 시스템 및 자산에 대한 액세스를 제어하는 인라인 정책이 없는지 확인하십시오. AWS 인라인 정책 대신 관리형 정책을 사용할 것을 권장합니다. 관리형 정책을 사용하면 재사용, 버전 관리, 롤백 및 권한 위임 관리가 가능합니다.
AC-3	정보 시스템은 해당 액세스 제어 정책에 따라 정보 및 시스템 리소스에 대한 논리적 액세스에 대해 승인된 권한을 적용합니다.	iam-policy-no-statements-with-full-access	IAM 작업을 필요한 작업으로만 제한해야 합니다. 작업을 완료하는 데 필요한 것보다 더 많은 권한을 갖도록 허용하는 것은 최소 권한 및 업무 분리 원칙에 위배될 수 있습니다.
AC-3	정보 시스템은 해당 액세스 제어 정책에 따라 정보 및 시스템 리소스에 대한 논리적 액세스에 대해 승인된 권한을 적용합니다.	ssm-document-not-public	AWS Systems Manager (SSM) 문서는 공개되지 않도록 하십시오. 이렇게 하면 SSM 문서에 의도하지 않은 액세스가 발생할 수 있습니다. 퍼블릭 SSM 문서를 통해 계정, 리소스 및 내부 프로세스에 관한 정보가 노출될 수 있습니다.
AC-3	정보 시스템은 해당 액세스 제어 정책에 따라 정보 및 시스템 리소스에 대한 논리적 액세스에 대해 승인된 권한을 적용합니다.	dms-replication-not-public	DMS 복제 인스턴스에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드에 대한 액세스를 관리합니다. DMS 복제 인스턴스에는 민감한 정보가 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
AC-3	정보 시스템은 해당 액세스 제어 정책에 따라 정보 및 시스템 리소스에 대한 논리적 액세스에 대해 승인된 권한을 적용합니다.	ebs-snapshot-public-restorable-check	EBS 스냅샷을 공개적으로 복원할 수 없도록 하여 AWS 클라우드에 대한 액세스를 관리합니다. EBS 볼륨 스냅샷에는 민감한 정보가 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
AC-3	정보 시스템은 해당 액세스 제어 정책에 따라 정보 및 시스템 리소스에 대한 논리적 액세스에 대해 승인된 권한을 적용합니다.	ec2- instance-no-public-ip	Amazon Elastic Compute AWS Cloud (Amazon EC2) 인스턴스에 공개적으로 액세스할 수 없도록 하여 클라우드에 대한 액세스를 관리합니다. Amazon EC2 인스턴스에는 민감한 정보가 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
AC-3	정보 시스템은 해당 액세스 제어 정책에 따라 정보 및 시스템 리소스에 대한 논리적 액세스에 대해 승인된 권한을 적용합니다.	elasticsearch-in-vpc-only	Amazon OpenSearch 서비스 (OpenSearch 서비스) 도메인이 Amazon VPC (가상 사설 클라우드) 내에 있는지 확인하여 클라우드에 대한 액세스를 관리합니다. AWS Amazon VPC 내의 OpenSearch 서비스 도메인을 사용하면 인터넷 게이트웨이, NAT 디바이스 또는 VPN 연결 없이 Amazon VPC 내의 서비스와 다른 OpenSearch 서비스 간에 안전하게 통신할 수 있습니다.
AC-3	정보 시스템은 해당 액세스 제어 정책에 따라 정보 및 시스템 리소스에 대한 논리적 액세스에 대해 승인된 권한을 적용합니다.	emr-master-no-public-ip	Amazon EMR 클러스터 마스터 노드에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드에 대한 액세스를 관리합니다. Amazon EMR 클러스터 프라이머리 노드에는 민감한 정보가 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
AC-3	정보 시스템은 해당 액세스 제어 정책에 따라 정보 및 시스템 리소스에 대한 논리적 액세스에 대해 승인된 권한을 적용합니다.	iam-group-has-users-체크	AWS Identity and Access Management (IAM) 를 사용하면 IAM 그룹에 최소 한 명의 사용자를 지정하여 최소 권한 및 직무 분리 원칙을 액세스 권한 및 승인과 통합할 수 있습니다. 관련 권한 또는 직무에 따라 사용자를 그룹에 배치하는 것은 최소 권한을 통합하는 한 가지 방법입니다.
AC-3	정보 시스템은 해당 액세스 제어 정책에 따라 정보 및 시스템 리소스에 대한 논리적 액세스에 대해 승인된 권한을 적용합니다.	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 를 사용하면 최소 권한 및 직무 분리 원칙을 액세스 권한 및 승인과 통합하여 정책에 “리소스”: “*” 대신 “효과”: “허용”과 “조치”: “*”를 포함하는 것을 제한할 수 있습니다. 작업을 완료하는 데 필요한 것보다 더 많은 권한을 갖도록 허용하는 것은 최소 권한 및 업무 분리 원칙에 위배될 수 있습니다.
AC-3	정보 시스템은 해당 액세스 제어 정책에 따라 정보 및 시스템 리소스에 대한 논리적 액세스에 대해 승인된 권한을 적용합니다.	iam-root-access-key-체크	루트 사용자의 AWS Identity and Access Management (IAM) 역할에 연결된 액세스 키가 없는지 확인하여 시스템 및 자산에 대한 액세스를 제어할 수 있습니다. 루트 액세스 키가 삭제되었는지 확인하세요. 대신 기능 최소화 원칙을 AWS 계정 통합하는 데 도움이 되도록 역할 기반 솔루션을 만들어 사용하세요.
AC-3	정보 시스템은 해당 액세스 제어 정책에 따라 정보 및 시스템 리소스에 대한 논리적 액세스에 대해 승인된 권한을 적용합니다.	iam-user-group-membership-체크	AWS Identity and Access Management (IAM) 를 사용하면 사용자가 하나 이상의 그룹에 속하도록 하여 액세스 권한 및 권한 부여를 제한할 수 있습니다. 사용자에게 작업을 완료하는 데 필요한 것보다 더 많은 권한을 허용하면 최소 권한 및 업무 분리 원칙에 위배될 수 있습니다.
AC-3	정보 시스템은 해당 액세스 제어 정책에 따라 정보 및 시스템 리소스에 대한 논리적 액세스에 대해 승인된 권한을 적용합니다.	iam-user-no-policies-check	이 규칙을 사용하면 AWS Identity 및 Access Management (IAM) 정책을 그룹 또는 역할에만 연결하여 시스템 및 자산에 대한 액세스를 제어할 수 있습니다. 그룹 또는 역할 수준에서 권한을 할당하면 ID가 과도한 권한을 받거나 보유할 기회를 줄이는 데 도움이 됩니다.
AC-3	정보 시스템은 해당 액세스 제어 정책에 따라 정보 및 시스템 리소스에 대한 논리적 액세스에 대해 승인된 권한을 적용합니다.	iam-user-unused-credentials-check	AWS Identity 및 Access Management (IAM) 는 지정된 기간 동안 사용되지 않은 IAM 암호와 액세스 키를 확인하여 액세스 권한 및 권한 부여에 도움을 줄 수 있습니다. 이러한 미사용 보안 인증 정보가 발견되면 최소 권한의 원칙에 위배될 수 있으므로 해당 보안 인증 정보를 비활성화 및/또는 제거해야 합니다. 이 규칙을 사용하려면 값을 Age로 설정해야 합니다 maxCredentialUsage (Config 기본값: 90). 실제 값은 조직의 정책을 반영해야 합니다.
AC-3	정보 시스템은 해당 액세스 제어 정책에 따라 정보 및 시스템 리소스에 대한 논리적 액세스에 대해 승인된 권한을 적용합니다.	lambda-function-public-access-금지됨	AWS Lambda 함수에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 퍼블릭 액세스는 잠재적으로 리소스 가용성을 저하시킬 수 있습니다.
AC-3	정보 시스템은 해당 액세스 제어 정책에 따라 정보 및 시스템 리소스에 대한 논리적 액세스에 대해 승인된 권한을 적용합니다.	lambda-inside-vpc	Amazon VPC 내의 함수와 다른 서비스 간의 안전한 통신을 위해 Amazon VPC (가상 사설 클라우드) 내에 Lambda 함수를 AWS 배포하십시오. 이 구성을 사용하면 인터넷 게이트웨이, NAT 디바이스 또는 VPN 연결이 필요하지 않습니다. 모든 트래픽은 클라우드 내에서 안전하게 유지됩니다. AWS 논리적 격리로 인해 퍼블릭 엔드포인트를 사용할 때에 비해, Amazon VPC에 상주하는 도메인에는 보안 계층이 하나 추가됩니다. 액세스를 적절하게 관리하려면 AWS Lambda 함수를 VPC에 할당해야 합니다.
AC-3	정보 시스템은 해당 액세스 제어 정책에 따라 정보 및 시스템 리소스에 대한 논리적 액세스에 대해 승인된 권한을 적용합니다.	rds-instance-public-access-check	Amazon RDatabase Service (Amazon RDS) 인스턴스가 퍼블릭되지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. Amazon RDS 데이터베이스 인스턴스에는 민감한 정보와 원칙이 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
AC-3	정보 시스템은 해당 액세스 제어 정책에 따라 정보 및 시스템 리소스에 대한 논리적 액세스에 대해 승인된 권한을 적용합니다.	rds-snapshots-public-prohibited	Amazon RDatabase Service (Amazon RDS) 인스턴스가 퍼블릭되지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. Amazon RDS 데이터베이스 인스턴스에는 민감한 정보와 원칙이 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
AC-3	정보 시스템은 해당 액세스 제어 정책에 따라 정보 및 시스템 리소스에 대한 논리적 액세스에 대해 승인된 권한을 적용합니다.	redshift-cluster-public-access-check	Amazon Redshift 클러스터가 퍼블릭되지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. Amazon Redshift 클러스터에는 민감한 정보와 원칙이 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
AC-3	정보 시스템은 해당 액세스 제어 정책에 따라 정보 및 시스템 리소스에 대한 논리적 액세스에 대해 승인된 권한을 적용합니다.	s3- 블록 - account-level-public-access 주기적	Amazon Simple Storage Service (Amazon S3) 버킷에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 이 규칙은 퍼블릭 액세스를 방지하여 권한이 없는 원격 사용자로부터 민감한 데이터를 안전하게 보호하는 데 도움이 됩니다. 이 규칙을 사용하면 (구성 기본값: True), ignorePublicAcls (구성 기본값: True), ( blockPublicPolicy 구성 기본값: True) 및 매개변수 restrictPublicBuckets ( blockPublicAcls 구성 기본값: True) 를 선택적으로 설정할 수 있습니다. 실제 값은 조직의 정책을 반영해야 합니다.
AC-3	정보 시스템은 해당 액세스 제어 정책에 따라 정보 및 시스템 리소스에 대한 논리적 액세스에 대해 승인된 권한을 적용합니다.	s3 bucket-level-public-access - 금지	Amazon Simple Storage Service (Amazon S3) 버킷에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 이 규칙은 버킷 수준에서 퍼블릭 액세스를 차단하여 권한이 없는 원격 사용자로부터 민감한 데이터를 안전하게 보호하는 데 도움이 됩니다.
AC-3	정보 시스템은 해당 액세스 제어 정책에 따라 정보 및 시스템 리소스에 대한 논리적 액세스에 대해 승인된 권한을 적용합니다.	s3- bucket-public-read-prohibited	승인된 사용자, 프로세스 및 디바이스만 Amazon Simple Storage Service (Amazon S3) 버킷에 액세스할 수 있도록 허용하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 액세스 관리는 데이터 분류와 일치해야 합니다.
AC-3	정보 시스템은 해당 액세스 제어 정책에 따라 정보 및 시스템 리소스에 대한 논리적 액세스에 대해 승인된 권한을 적용합니다.	s3- bucket-public-write-prohibited	승인된 사용자, 프로세스 및 디바이스만 Amazon Simple Storage Service (Amazon S3) 버킷에 액세스할 수 있도록 허용하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 액세스 관리는 데이터 분류와 일치해야 합니다.
AC-3	정보 시스템은 해당 액세스 제어 정책에 따라 정보 및 시스템 리소스에 대한 논리적 액세스에 대해 승인된 권한을 적용합니다.	sagemaker-notebook-no-direct-인터넷 액세스	Amazon SageMaker 노트북에서 직접 인터넷 액세스를 허용하지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 직접 인터넷 액세스를 방지함으로써 권한이 없는 사용자가 민감한 데이터에 액세스하는 것을 방지할 수 있습니다.
AC-3	정보 시스템은 해당 액세스 제어 정책에 따라 정보 및 시스템 리소스에 대한 논리적 액세스에 대해 승인된 권한을 적용합니다.	subnet-auto-assign-public-ip-비활성화됨	Amazon VPC (Virtual Private Cloud) 서브넷에 퍼블릭 IP 주소가 자동으로 할당되지 않도록 하여 클라우드에 대한 액세스를 관리합니다. AWS 이 속성이 활성화된 서브넷에서 시작되는 Amazon Elastic Compute Cloud(EC2) 인스턴스에는 기본 네트워크 인터페이스에 할당된 퍼블릭 IP 주소가 있습니다.
AC-4	정보 시스템은 [할당: 조직이 정의한 정보 흐름 제어 정책]에 따라 시스템 내 및 상호 연결된 시스템 간의 정보 흐름을 제어할 수 있는 승인된 권한을 적용합니다.	ec2- instances-in-vpc	Amazon Elastic Compute Cloud(Amazon EC2) 인스턴스를 Amazon Virtual Private Cloud(VPC) 내에 배포하면 인터넷 게이트웨이, NAT 디바이스 또는 VPN 연결 없이 Amazon VPC 내부에서 인스턴스와 다른 서비스 간에 보안 통신이 가능합니다. 모든 트래픽은 AWS 클라우드 내에서 안전하게 유지됩니다. 논리적 격리로 인해 퍼블릭 엔드포인트를 사용할 때에 비해, Amazon VPC에 상주하는 도메인에는 보안 계층이 하나 추가됩니다. Amazon EC2 인스턴스를 Amazon VPC에 할당하여 액세스를 적절하게 관리합니다.
AC-4	정보 시스템은 [할당: 조직이 정의한 정보 흐름 제어 정책]에 따라 시스템 내 및 상호 연결된 시스템 간의 정보 흐름을 제어할 수 있는 승인된 권한을 적용합니다.	acm-certificate-expiration-check	ACM에서 X509 인증서를 발급하도록 하여 AWS 네트워크 무결성이 보호되도록 하십시오. 이러한 인증서는 유효하고 만료되지 않은 것이어야 합니다. 이 규칙에는 daysToExpiration (AWS 기본 보안 모범 사례 값: 90) 의 값이 필요합니다. 실제 값은 조직의 정책을 반영해야 합니다.
AC-4	정보 시스템은 [할당: 조직이 정의한 정보 흐름 제어 정책]에 따라 시스템 내 및 상호 연결된 시스템 간의 정보 흐름을 제어할 수 있는 승인된 권한을 적용합니다.	dms-replication-not-public	DMS 복제 인스턴스에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드에 대한 액세스를 관리합니다. DMS 복제 인스턴스에는 민감한 정보가 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
AC-4	정보 시스템은 [할당: 조직이 정의한 정보 흐름 제어 정책]에 따라 시스템 내 및 상호 연결된 시스템 간의 정보 흐름을 제어할 수 있는 승인된 권한을 적용합니다.	ebs-snapshot-public-restorable-check	EBS 스냅샷을 공개적으로 복원할 수 없도록 하여 AWS 클라우드에 대한 액세스를 관리합니다. EBS 볼륨 스냅샷에는 민감한 정보가 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
AC-4	정보 시스템은 [할당: 조직이 정의한 정보 흐름 제어 정책]에 따라 시스템 내 및 상호 연결된 시스템 간의 정보 흐름을 제어할 수 있는 승인된 권한을 적용합니다.	ec2- instance-no-public-ip	Amazon Elastic Compute AWS Cloud (Amazon EC2) 인스턴스에 공개적으로 액세스할 수 없도록 하여 클라우드에 대한 액세스를 관리합니다. Amazon EC2 인스턴스에는 민감한 정보가 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
AC-4	정보 시스템은 [할당: 조직이 정의한 정보 흐름 제어 정책]에 따라 시스템 내 및 상호 연결된 시스템 간의 정보 흐름을 제어할 수 있는 승인된 권한을 적용합니다.	elasticsearch-in-vpc-only	Amazon OpenSearch 서비스 (OpenSearch 서비스) 도메인이 Amazon VPC (가상 사설 클라우드) 내에 있는지 확인하여 클라우드에 대한 액세스를 관리합니다. AWS Amazon VPC 내의 OpenSearch 서비스 도메인을 사용하면 인터넷 게이트웨이, NAT 디바이스 또는 VPN 연결 없이 Amazon VPC 내의 서비스와 다른 OpenSearch 서비스 간에 안전하게 통신할 수 있습니다.
AC-4	정보 시스템은 [할당: 조직이 정의한 정보 흐름 제어 정책]에 따라 시스템 내 및 상호 연결된 시스템 간의 정보 흐름을 제어할 수 있는 승인된 권한을 적용합니다.	emr-master-no-public-ip	Amazon EMR 클러스터 마스터 노드에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드에 대한 액세스를 관리합니다. Amazon EMR 클러스터 프라이머리 노드에는 민감한 정보가 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
AC-4	정보 시스템은 [할당: 조직이 정의한 정보 흐름 제어 정책]에 따라 시스템 내 및 상호 연결된 시스템 간의 정보 흐름을 제어할 수 있는 승인된 권한을 적용합니다.	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) 보안 그룹은 리소스에 대한 수신 및 송신 네트워크 트래픽의 상태 기반 필터링을 제공하여 네트워크 액세스를 관리하는 데 도움을 줄 수 있습니다. AWS 리소스의 0.0.0.0/0에서 포트 22로 수신(또는 원격) 트래픽을 허용하지 않으면 원격 액세스를 제한하는 데 도움이 됩니다.
AC-4	정보 시스템은 [할당: 조직이 정의한 정보 흐름 제어 정책]에 따라 시스템 내 및 상호 연결된 시스템 간의 정보 흐름을 제어할 수 있는 승인된 권한을 적용합니다.	lambda-function-public-access-금지됨	AWS Lambda 함수에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 퍼블릭 액세스는 잠재적으로 리소스 가용성을 저하시킬 수 있습니다.
AC-4	정보 시스템은 [할당: 조직이 정의한 정보 흐름 제어 정책]에 따라 시스템 내 및 상호 연결된 시스템 간의 정보 흐름을 제어할 수 있는 승인된 권한을 적용합니다.	lambda-inside-vpc	Amazon VPC 내의 함수와 다른 서비스 간의 안전한 통신을 위해 Amazon VPC (가상 사설 클라우드) 내에 Lambda 함수를 AWS 배포하십시오. 이 구성을 사용하면 인터넷 게이트웨이, NAT 디바이스 또는 VPN 연결이 필요하지 않습니다. 모든 트래픽은 클라우드 내에서 안전하게 유지됩니다. AWS 논리적 격리로 인해 퍼블릭 엔드포인트를 사용할 때에 비해, Amazon VPC에 상주하는 도메인에는 보안 계층이 하나 추가됩니다. 액세스를 적절하게 관리하려면 AWS Lambda 함수를 VPC에 할당해야 합니다.
AC-4	정보 시스템은 [할당: 조직이 정의한 정보 흐름 제어 정책]에 따라 시스템 내 및 상호 연결된 시스템 간의 정보 흐름을 제어할 수 있는 승인된 권한을 적용합니다.	rds-instance-public-access-check	Amazon RDatabase Service (Amazon RDS) 인스턴스가 퍼블릭되지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. Amazon RDS 데이터베이스 인스턴스에는 민감한 정보와 원칙이 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
AC-4	정보 시스템은 [할당: 조직이 정의한 정보 흐름 제어 정책]에 따라 시스템 내 및 상호 연결된 시스템 간의 정보 흐름을 제어할 수 있는 승인된 권한을 적용합니다.	rds-snapshots-public-prohibited	Amazon RDatabase Service (Amazon RDS) 인스턴스가 퍼블릭되지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. Amazon RDS 데이터베이스 인스턴스에는 민감한 정보와 원칙이 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
AC-4	정보 시스템은 [할당: 조직이 정의한 정보 흐름 제어 정책]에 따라 시스템 내 및 상호 연결된 시스템 간의 정보 흐름을 제어할 수 있는 승인된 권한을 적용합니다.	redshift-cluster-public-access-check	Amazon Redshift 클러스터가 퍼블릭되지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. Amazon Redshift 클러스터에는 민감한 정보와 원칙이 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
AC-4	정보 시스템은 [할당: 조직이 정의한 정보 흐름 제어 정책]에 따라 시스템 내 및 상호 연결된 시스템 간의 정보 흐름을 제어할 수 있는 승인된 권한을 적용합니다.	restricted-common-ports	Amazon Elastic Compute AWS Cloud (Amazon EC2) 보안 그룹에서 공통 포트를 제한하여 클라우드의 리소스에 대한 액세스를 관리합니다. 포트 액세스를 신뢰할 수 있는 소스로 제한하지 않으면 시스템의 가용성, 무결성 및 기밀성에 대한 공격이 발생할 수 있습니다. 이 규칙을 사용하면 blockedPort1 ~ blockedPort5 파라미터를 선택적으로 설정할 수 있습니다(Config 기본값: 20,21,3389,3306,4333). 실제 값은 조직의 정책을 반영해야 합니다.
AC-4	정보 시스템은 [할당: 조직이 정의한 정보 흐름 제어 정책]에 따라 시스템 내 및 상호 연결된 시스템 간의 정보 흐름을 제어할 수 있는 승인된 권한을 적용합니다.	s3- bucket-public-read-prohibited	승인된 사용자, 프로세스 및 디바이스만 Amazon Simple Storage Service (Amazon S3) 버킷에 액세스할 수 있도록 허용하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 액세스 관리는 데이터 분류와 일치해야 합니다.
AC-4	정보 시스템은 [할당: 조직이 정의한 정보 흐름 제어 정책]에 따라 시스템 내 및 상호 연결된 시스템 간의 정보 흐름을 제어할 수 있는 승인된 권한을 적용합니다.	s3- bucket-public-write-prohibited	승인된 사용자, 프로세스 및 디바이스만 Amazon Simple Storage Service (Amazon S3) 버킷에 액세스할 수 있도록 허용하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 액세스 관리는 데이터 분류와 일치해야 합니다.
AC-4	정보 시스템은 [할당: 조직이 정의한 정보 흐름 제어 정책]에 따라 시스템 내 및 상호 연결된 시스템 간의 정보 흐름을 제어할 수 있는 승인된 권한을 적용합니다.	sagemaker-notebook-no-direct-인터넷 액세스	Amazon SageMaker 노트북에서 직접 인터넷 액세스를 허용하지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 직접 인터넷 액세스를 방지함으로써 권한이 없는 사용자가 민감한 데이터에 액세스하는 것을 방지할 수 있습니다.
AC-4	정보 시스템은 [할당: 조직이 정의한 정보 흐름 제어 정책]에 따라 시스템 내 및 상호 연결된 시스템 간의 정보 흐름을 제어할 수 있는 승인된 권한을 적용합니다.	vpc-default-security-group-닫혔습니다.	Amazon Elastic Compute Cloud (Amazon EC2) 보안 그룹은 리소스에 대한 수신 및 송신 네트워크 트래픽의 상태 기반 필터링을 제공하여 네트워크 액세스를 관리하는 데 도움을 줄 수 있습니다. AWS 기본 보안 그룹의 모든 트래픽을 제한하면 리소스에 대한 원격 액세스를 제한하는 데 도움이 됩니다. AWS
AC-4	정보 시스템은 [할당: 조직이 정의한 정보 흐름 제어 정책]에 따라 시스템 내 및 상호 연결된 시스템 간의 정보 흐름을 제어할 수 있는 승인된 권한을 적용합니다.	vpc-sg-open-only-to-authorized-ports	Amazon Elastic Compute AWS Cloud (Amazon EC2) 보안 그룹에서 공통 포트를 제한하여 클라우드의 리소스에 대한 액세스를 관리합니다. 포트 액세스를 신뢰할 수 있는 소스로 제한하지 않으면 시스템의 가용성, 무결성 및 기밀성에 대한 공격이 발생할 수 있습니다. 인터넷(0.0.0.0/0)에서 보안 그룹 내 리소스에 대한 액세스를 제한함으로써 내부 시스템에 대한 원격 액세스를 제어할 수 있습니다.
AC-5c	조직: c. 업무 분리를 지원하는 정보 시스템 액세스 권한을 정의합니다.	ecs-task-definition-user-for-host-mode-check	작업 정의에 승격된 권한이 있는 경우는 고객이 해당 구성을 특별히 선택했기 때문입니다. 이 제어는 작업 정의에 호스트 네트워킹이 활성화되어 있지만 고객이 승격된 권한을 선택하지 않은 경우 예상치 못한 권한 에스컬레이션을 검사합니다.
AC-5c	조직: c. 업무 분리를 지원하는 정보 시스템 액세스 권한을 정의합니다.	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) 를 사용하면 최소 권한 및 직무 분리 원칙을 액세스 권한 및 승인과 통합하여 정책이 모든 키 관리 서비스 키에 대해 차단된 작업을 포함하지 못하도록 제한할 수 있습니다. AWS 작업을 완료하는 데 필요한 것보다 더 많은 권한을 갖는 것은 최소 권한 및 업무 분리 원칙에 위배될 수 있습니다. 이 규칙을 사용하면 파라미터를 설정할 수 있습니다. blockedActionsPatterns (AWS 기본 보안 모범 사례 값: KMS:암호 해독, kms:). ReEncryptFrom 실제 값은 조직의 정책을 반영해야 합니다.
AC-5c	조직: c. 업무 분리를 지원하는 정보 시스템 액세스 권한을 정의합니다.	iam-inline-policy-blocked-kms-actions	AWS Identity 및 Access Management (IAM) 사용자, IAM 역할 또는 IAM 그룹에 모든 키 관리 서비스 키에 대한 차단된 작업을 허용하는 인라인 정책이 없는지 확인하십시오. AWS AWS 인라인 정책 대신 관리형 정책을 사용할 것을 권장합니다. 관리형 정책을 사용하면 재사용, 버전 관리, 롤백 및 권한 위임 관리가 가능합니다. 이 규칙을 사용하면 blockedActionsPatterns 매개변수를 설정할 수 있습니다. (AWS 기본 보안 모범 사례 값: KMS:암호 해독, kms:). ReEncryptFrom 실제 값은 조직의 정책을 반영해야 합니다.
AC-5c	조직: c. 업무 분리를 지원하는 정보 시스템 액세스 권한을 정의합니다.	iam-no-inline-policy-체크	AWS ID 및 액세스 관리 (IAM) 사용자, IAM 역할 또는 IAM 그룹에 시스템 및 자산에 대한 액세스를 제어하는 인라인 정책이 없는지 확인하십시오. AWS 인라인 정책 대신 관리형 정책을 사용할 것을 권장합니다. 관리형 정책을 사용하면 재사용, 버전 관리, 롤백 및 권한 위임 관리가 가능합니다.
AC-5c	조직: c. 업무 분리를 지원하는 정보 시스템 액세스 권한을 정의합니다.	iam-password-policy	ID 및 보안 인증 정보는 조직의 IAM 암호 정책을 기반으로 발급, 관리 및 검증됩니다. NIST SP 800-63 및 암호 강도에 대한 AWS 기본 보안 모범 사례 표준에 명시된 요구 사항을 충족하거나 초과합니다. 이 규칙을 사용하면 IAM에 대해 RequireUppercaseCharacters (AWS 기본 보안 모범 사례 값: true), RequireLowercaseCharacters (AWS 기본 보안 모범 사례 값: true), RequireSymbols (AWS 기본 보안 모범 사례 값: true), RequireNumbers (AWS 기본 보안 모범 사례 값: true), MinimumPasswordLength (AWS 기본 보안 모범 사례 값: 14), PasswordReusePrevention (AWS 기본 보안 모범 사례 값: 24), MaxPasswordAge (AWS 기본 보안 모범 사례 값: 90) 을 선택적으로 설정할 수 있습니다.비밀번호 정책. 실제 값은 조직의 정책을 반영해야 합니다.
AC-5c	조직: c. 업무 분리를 지원하는 정보 시스템 액세스 권한을 정의합니다.	iam-policy-no-statements-with-full-access	IAM 작업을 필요한 작업으로만 제한해야 합니다. 작업을 완료하는 데 필요한 것보다 더 많은 권한을 갖도록 허용하는 것은 최소 권한 및 업무 분리 원칙에 위배될 수 있습니다.
AC-5c	조직: c. 업무 분리를 지원하는 정보 시스템 액세스 권한을 정의합니다.	iam-root-access-key-체크	루트 사용자의 AWS Identity and Access Management (IAM) 역할에 연결된 액세스 키가 없는지 확인하여 시스템 및 자산에 대한 액세스를 제어할 수 있습니다. 루트 액세스 키가 삭제되었는지 확인하세요. 대신 기능 최소화 원칙을 AWS 계정 통합하는 데 도움이 되도록 역할 기반 솔루션을 만들어 사용하세요.
AC-5c	조직: c. 업무 분리를 지원하는 정보 시스템 액세스 권한을 정의합니다.	iam-user-group-membership-체크	AWS Identity and Access Management (IAM) 를 사용하면 사용자가 하나 이상의 그룹에 속하도록 하여 액세스 권한 및 권한 부여를 제한할 수 있습니다. 사용자에게 작업을 완료하는 데 필요한 것보다 더 많은 권한을 허용하면 최소 권한 및 업무 분리 원칙에 위배될 수 있습니다.
AC-5c	조직: c. 업무 분리를 지원하는 정보 시스템 액세스 권한을 정의합니다.	iam-user-unused-credentials-check	AWS Identity 및 Access Management (IAM) 는 지정된 기간 동안 사용되지 않은 IAM 암호와 액세스 키를 확인하여 액세스 권한 및 권한 부여에 도움을 줄 수 있습니다. 이러한 미사용 보안 인증 정보가 발견되면 최소 권한의 원칙에 위배될 수 있으므로 해당 보안 인증 정보를 비활성화 및/또는 제거해야 합니다. 이 규칙을 사용하려면 값을 Age로 설정해야 합니다 maxCredentialUsage (Config 기본값: 90). 실제 값은 조직의 정책을 반영해야 합니다.
AC-5c	조직: c. 업무 분리를 지원하는 정보 시스템 액세스 권한을 정의합니다.	iam-group-has-users-check	AWS Identity and Access Management (IAM) 를 사용하면 IAM 그룹에 최소 한 명의 사용자를 지정하여 최소 권한 및 직무 분리 원칙을 액세스 권한 및 승인과 통합할 수 있습니다. 관련 권한 또는 직무에 따라 사용자를 그룹에 배치하는 것은 최소 권한을 통합하는 한 가지 방법입니다.
AC-5c	조직: c. 업무 분리를 지원하는 정보 시스템 액세스 권한을 정의합니다.	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 를 사용하면 최소 권한 및 직무 분리 원칙을 액세스 권한 및 승인과 통합하여 정책에 “리소스”: “*” 대신 “효과”: “허용”과 “조치”: “*”를 포함하는 것을 제한할 수 있습니다. 작업을 완료하는 데 필요한 것보다 더 많은 권한을 갖도록 허용하는 것은 최소 권한 및 업무 분리 원칙에 위배될 수 있습니다.
AC-5c	조직: c. 업무 분리를 지원하는 정보 시스템 액세스 권한을 정의합니다.	iam-user-no-policies-체크	이 규칙을 사용하면 AWS Identity 및 Access Management (IAM) 정책을 그룹 또는 역할에만 연결하여 시스템 및 자산에 대한 액세스를 제어할 수 있습니다. 그룹 또는 역할 수준에서 권한을 할당하면 ID가 과도한 권한을 받거나 보유할 기회를 줄이는 데 도움이 됩니다.
AC-6(10)	정보 시스템은 권한이 없는 사용자가 구현된 보안 보호 장치 및 대응 조치를 비활성화, 우회 또는 변경하는 것을 포함하는 권한 있는 기능을 실행하는 것을 방지합니다.	iam-policy-no-statements-with-full-access	IAM 작업을 필요한 작업으로만 제한해야 합니다. 작업을 완료하는 데 필요한 것보다 더 많은 권한을 갖도록 허용하는 것은 최소 권한 및 업무 분리 원칙에 위배될 수 있습니다.
AC-6(10)	정보 시스템은 권한이 없는 사용자가 구현된 보안 보호 장치 및 대응 조치를 비활성화, 우회 또는 변경하는 것을 포함하는 권한 있는 기능을 실행하는 것을 방지합니다.	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 를 사용하면 최소 권한 및 직무 분리 원칙을 액세스 권한 및 승인과 통합하여 정책에 “리소스”: “*” 대신 “효과”: “허용”과 “조치”: “*”를 포함하는 것을 제한할 수 있습니다. 작업을 완료하는 데 필요한 것보다 더 많은 권한을 갖도록 허용하는 것은 최소 권한 및 업무 분리 원칙에 위배될 수 있습니다.
AC-6(10)	정보 시스템은 권한이 없는 사용자가 구현된 보안 보호 장치 및 대응 조치를 비활성화, 우회 또는 변경하는 것을 포함하는 권한 있는 기능을 실행하는 것을 방지합니다.	iam-root-access-key-체크	루트 사용자의 AWS Identity and Access Management (IAM) 역할에 연결된 액세스 키가 없는지 확인하여 시스템 및 자산에 대한 액세스를 제어할 수 있습니다. 루트 액세스 키가 삭제되었는지 확인하세요. 대신 기능 최소화 원칙을 AWS 계정 통합하는 데 도움이 되도록 역할 기반 솔루션을 만들어 사용하세요.
AC-6	조직은 최소 권한 원칙을 이용하여 조직의 임무 및 업무 기능에 따라 할당된 작업을 수행하는 데 필요한 사용자(또는 사용자를 대신하는 프로세스)에 대한 승인된 액세스만 허용합니다.	ec2-imdsv2-check	Amazon Elastic Compute Cloud(Amazon EC2) 인스턴스 메타데이터의 액세스 및 제어를 위해 인스턴스 메타데이터 서비스 버전 2(IMDSv2) 메서드가 활성화되어 있는지 확인합니다. IMDSv2 메서드는 세션 기반 제어를 사용합니다. IMDSv2를 사용하면 제어를 구현하여 인스턴스 메타데이터 변경을 제한할 수 있습니다.
AC-6	조직은 최소 권한 원칙을 이용하여 조직의 임무 및 업무 기능에 따라 할당된 작업을 수행하는 데 필요한 사용자(또는 사용자를 대신하는 프로세스)에 대한 승인된 액세스만 허용합니다.	iam-no-inline-policy-체크	AWS ID 및 액세스 관리 (IAM) 사용자, IAM 역할 또는 IAM 그룹에 시스템 및 자산에 대한 액세스를 제어하는 인라인 정책이 없는지 확인하십시오. AWS 인라인 정책 대신 관리형 정책을 사용할 것을 권장합니다. 관리형 정책을 사용하면 재사용, 버전 관리, 롤백 및 권한 위임 관리가 가능합니다.
AC-6	조직은 최소 권한 원칙을 이용하여 조직의 임무 및 업무 기능에 따라 할당된 작업을 수행하는 데 필요한 사용자(또는 사용자를 대신하는 프로세스)에 대한 승인된 액세스만 허용합니다.	ec2- instances-in-vpc	Amazon Elastic Compute Cloud(Amazon EC2) 인스턴스를 Amazon Virtual Private Cloud(VPC) 내에 배포하면 인터넷 게이트웨이, NAT 디바이스 또는 VPN 연결 없이 Amazon VPC 내부에서 인스턴스와 다른 서비스 간에 보안 통신이 가능합니다. 모든 트래픽은 AWS 클라우드 내에서 안전하게 유지됩니다. 논리적 격리로 인해 퍼블릭 엔드포인트를 사용할 때에 비해, Amazon VPC에 상주하는 도메인에는 보안 계층이 하나 추가됩니다. Amazon EC2 인스턴스를 Amazon VPC에 할당하여 액세스를 적절하게 관리합니다.
AC-6	조직은 최소 권한 원칙을 이용하여 조직의 임무 및 업무 기능에 따라 할당된 작업을 수행하는 데 필요한 사용자(또는 사용자를 대신하는 프로세스)에 대한 승인된 액세스만 허용합니다.	codebuild-project-envvar-awscred-체크	인증 자격 증명 AWS_ACCESS_KEY_ID 및 AWS_SECRET_ACCESS_KEY가 코드빌드 프로젝트 환경 내에 존재하지 않는지 확인하십시오. AWS 이러한 변수를 일반 텍스트로 저장하지 마십시오. 이러한 변수를 일반 텍스트로 저장하면 의도하지 않은 데이터 노출 및 무단 액세스가 발생할 수 있습니다.
AC-6	조직은 최소 권한 원칙을 이용하여 조직의 임무 및 업무 기능에 따라 할당된 작업을 수행하는 데 필요한 사용자(또는 사용자를 대신하는 프로세스)에 대한 승인된 액세스만 허용합니다.	dms-replication-not-public	DMS 복제 인스턴스에 공개적으로 액세스할 수 없도록 AWS 하여 클라우드에 대한 액세스를 관리합니다. DMS 복제 인스턴스에는 민감한 정보가 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
AC-6	조직은 최소 권한 원칙을 이용하여 조직의 임무 및 업무 기능에 따라 할당된 작업을 수행하는 데 필요한 사용자(또는 사용자를 대신하는 프로세스)에 대한 승인된 액세스만 허용합니다.	ebs-snapshot-public-restorable-check	EBS 스냅샷을 공개적으로 복원할 수 없도록 하여 AWS 클라우드에 대한 액세스를 관리합니다. EBS 볼륨 스냅샷에는 민감한 정보가 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
AC-6	조직은 최소 권한 원칙을 이용하여 조직의 임무 및 업무 기능에 따라 할당된 작업을 수행하는 데 필요한 사용자(또는 사용자를 대신하는 프로세스)에 대한 승인된 액세스만 허용합니다.	ec2- instance-no-public-ip	Amazon Elastic Compute AWS Cloud (Amazon EC2) 인스턴스에 공개적으로 액세스할 수 없도록 하여 클라우드에 대한 액세스를 관리합니다. Amazon EC2 인스턴스에는 민감한 정보가 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
AC-6	조직은 최소 권한 원칙을 이용하여 조직의 임무 및 업무 기능에 따라 할당된 작업을 수행하는 데 필요한 사용자(또는 사용자를 대신하는 프로세스)에 대한 승인된 액세스만 허용합니다.	elasticsearch-in-vpc-only	Amazon OpenSearch 서비스 (OpenSearch 서비스) 도메인이 Amazon VPC (가상 사설 클라우드) 내에 있는지 확인하여 클라우드에 대한 액세스를 관리합니다. AWS Amazon VPC 내의 OpenSearch 서비스 도메인을 사용하면 인터넷 게이트웨이, NAT 디바이스 또는 VPN 연결 없이 Amazon VPC 내의 서비스와 다른 OpenSearch 서비스 간에 안전하게 통신할 수 있습니다.
AC-6	조직은 최소 권한 원칙을 이용하여 조직의 임무 및 업무 기능에 따라 할당된 작업을 수행하는 데 필요한 사용자(또는 사용자를 대신하는 프로세스)에 대한 승인된 액세스만 허용합니다.	emr-master-no-public-ip	Amazon EMR 클러스터 마스터 노드에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드에 대한 액세스를 관리합니다. Amazon EMR 클러스터 프라이머리 노드에는 민감한 정보가 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
AC-6	조직은 최소 권한 원칙을 이용하여 조직의 임무 및 업무 기능에 따라 할당된 작업을 수행하는 데 필요한 사용자(또는 사용자를 대신하는 프로세스)에 대한 승인된 액세스만 허용합니다.	iam-group-has-users-체크	AWS Identity and Access Management (IAM) 를 사용하면 IAM 그룹에 최소 한 명의 사용자를 지정하여 최소 권한 및 직무 분리 원칙을 액세스 권한 및 승인과 통합할 수 있습니다. 관련 권한 또는 직무에 따라 사용자를 그룹에 배치하는 것은 최소 권한을 통합하는 한 가지 방법입니다.
AC-6	조직은 최소 권한 원칙을 이용하여 조직의 임무 및 업무 기능에 따라 할당된 작업을 수행하는 데 필요한 사용자(또는 사용자를 대신하는 프로세스)에 대한 승인된 액세스만 허용합니다.	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 를 사용하면 최소 권한 및 직무 분리 원칙을 액세스 권한 및 승인과 통합하여 정책에 “리소스”: “*” 대신 “효과”: “허용”과 “조치”: “*”를 포함하는 것을 제한할 수 있습니다. 작업을 완료하는 데 필요한 것보다 더 많은 권한을 갖도록 허용하는 것은 최소 권한 및 업무 분리 원칙에 위배될 수 있습니다.
AC-6	조직은 최소 권한 원칙을 이용하여 조직의 임무 및 업무 기능에 따라 할당된 작업을 수행하는 데 필요한 사용자(또는 사용자를 대신하는 프로세스)에 대한 승인된 액세스만 허용합니다.	iam-root-access-key-체크	루트 사용자의 AWS Identity and Access Management (IAM) 역할에 연결된 액세스 키가 없는지 확인하여 시스템 및 자산에 대한 액세스를 제어할 수 있습니다. 루트 액세스 키가 삭제되었는지 확인하세요. 대신 기능 최소화 원칙을 AWS 계정 통합하는 데 도움이 되도록 역할 기반 솔루션을 만들어 사용하세요.
AC-6	조직은 최소 권한 원칙을 이용하여 조직의 임무 및 업무 기능에 따라 할당된 작업을 수행하는 데 필요한 사용자(또는 사용자를 대신하는 프로세스)에 대한 승인된 액세스만 허용합니다.	iam-user-group-membership-체크	AWS Identity and Access Management (IAM) 를 사용하면 사용자가 하나 이상의 그룹에 속하도록 하여 액세스 권한 및 권한 부여를 제한할 수 있습니다. 사용자에게 작업을 완료하는 데 필요한 것보다 더 많은 권한을 허용하면 최소 권한 및 업무 분리 원칙에 위배될 수 있습니다.
AC-6	조직은 최소 권한 원칙을 이용하여 조직의 임무 및 업무 기능에 따라 할당된 작업을 수행하는 데 필요한 사용자(또는 사용자를 대신하는 프로세스)에 대한 승인된 액세스만 허용합니다.	iam-user-no-policies-check	이 규칙을 사용하면 AWS Identity 및 Access Management (IAM) 정책을 그룹 또는 역할에만 연결하여 시스템 및 자산에 대한 액세스를 제어할 수 있습니다. 그룹 또는 역할 수준에서 권한을 할당하면 ID가 과도한 권한을 받거나 보유할 기회를 줄이는 데 도움이 됩니다.
AC-6	조직은 최소 권한 원칙을 이용하여 조직의 임무 및 업무 기능에 따라 할당된 작업을 수행하는 데 필요한 사용자(또는 사용자를 대신하는 프로세스)에 대한 승인된 액세스만 허용합니다.	iam-user-unused-credentials-check	AWS Identity 및 Access Management (IAM) 는 지정된 기간 동안 사용되지 않은 IAM 암호와 액세스 키를 확인하여 액세스 권한 및 권한 부여에 도움을 줄 수 있습니다. 이러한 미사용 보안 인증 정보가 발견되면 최소 권한의 원칙에 위배될 수 있으므로 해당 보안 인증 정보를 비활성화 및/또는 제거해야 합니다. 이 규칙을 사용하려면 값을 Age로 설정해야 합니다 maxCredentialUsage (Config 기본값: 90). 실제 값은 조직의 정책을 반영해야 합니다.
AC-6	조직은 최소 권한 원칙을 이용하여 조직의 임무 및 업무 기능에 따라 할당된 작업을 수행하는 데 필요한 사용자(또는 사용자를 대신하는 프로세스)에 대한 승인된 액세스만 허용합니다.	lambda-function-public-access-금지됨	AWS Lambda 함수에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 퍼블릭 액세스는 잠재적으로 리소스 가용성을 저하시킬 수 있습니다.
AC-6	조직은 최소 권한 원칙을 이용하여 조직의 임무 및 업무 기능에 따라 할당된 작업을 수행하는 데 필요한 사용자(또는 사용자를 대신하는 프로세스)에 대한 승인된 액세스만 허용합니다.	lambda-inside-vpc	Amazon VPC 내의 함수와 다른 서비스 간의 안전한 통신을 위해 Amazon VPC (가상 사설 클라우드) 내에 Lambda 함수를 AWS 배포하십시오. 이 구성을 사용하면 인터넷 게이트웨이, NAT 디바이스 또는 VPN 연결이 필요하지 않습니다. 모든 트래픽은 클라우드 내에서 안전하게 유지됩니다. AWS 논리적 격리로 인해 퍼블릭 엔드포인트를 사용할 때에 비해, Amazon VPC에 상주하는 도메인에는 보안 계층이 하나 추가됩니다. 액세스를 적절하게 관리하려면 AWS Lambda 함수를 VPC에 할당해야 합니다.
AC-6	조직은 최소 권한 원칙을 이용하여 조직의 임무 및 업무 기능에 따라 할당된 작업을 수행하는 데 필요한 사용자(또는 사용자를 대신하는 프로세스)에 대한 승인된 액세스만 허용합니다.	rds-instance-public-access-check	Amazon RDatabase Service (Amazon RDS) 인스턴스가 퍼블릭되지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. Amazon RDS 데이터베이스 인스턴스에는 민감한 정보와 원칙이 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
AC-6	조직은 최소 권한 원칙을 이용하여 조직의 임무 및 업무 기능에 따라 할당된 작업을 수행하는 데 필요한 사용자(또는 사용자를 대신하는 프로세스)에 대한 승인된 액세스만 허용합니다.	rds-snapshots-public-prohibited	Amazon RDatabase Service (Amazon RDS) 인스턴스가 퍼블릭되지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. Amazon RDS 데이터베이스 인스턴스에는 민감한 정보와 원칙이 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
AC-6	조직은 최소 권한 원칙을 이용하여 조직의 임무 및 업무 기능에 따라 할당된 작업을 수행하는 데 필요한 사용자(또는 사용자를 대신하는 프로세스)에 대한 승인된 액세스만 허용합니다.	redshift-cluster-public-access-check	Amazon Redshift 클러스터가 퍼블릭되지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. Amazon Redshift 클러스터에는 민감한 정보와 원칙이 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
AC-6	조직은 최소 권한 원칙을 이용하여 조직의 임무 및 업무 기능에 따라 할당된 작업을 수행하는 데 필요한 사용자(또는 사용자를 대신하는 프로세스)에 대한 승인된 액세스만 허용합니다.	s3- 블록 - account-level-public-access 주기적	Amazon Simple Storage Service (Amazon S3) 버킷에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 이 규칙은 퍼블릭 액세스를 방지하여 권한이 없는 원격 사용자로부터 민감한 데이터를 안전하게 보호하는 데 도움이 됩니다. 이 규칙을 사용하면 (구성 기본값: True), ignorePublicAcls (구성 기본값: True), ( blockPublicPolicy 구성 기본값: True) 및 매개변수 restrictPublicBuckets ( blockPublicAcls 구성 기본값: True) 를 선택적으로 설정할 수 있습니다. 실제 값은 조직의 정책을 반영해야 합니다.
AC-6	조직은 최소 권한 원칙을 이용하여 조직의 임무 및 업무 기능에 따라 할당된 작업을 수행하는 데 필요한 사용자(또는 사용자를 대신하는 프로세스)에 대한 승인된 액세스만 허용합니다.	s3 bucket-level-public-access - 금지	Amazon Simple Storage Service (Amazon S3) 버킷에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 이 규칙은 버킷 수준에서 퍼블릭 액세스를 차단하여 권한이 없는 원격 사용자로부터 민감한 데이터를 안전하게 보호하는 데 도움이 됩니다.
AC-6	조직은 최소 권한 원칙을 이용하여 조직의 임무 및 업무 기능에 따라 할당된 작업을 수행하는 데 필요한 사용자(또는 사용자를 대신하는 프로세스)에 대한 승인된 액세스만 허용합니다.	s3- bucket-public-read-prohibited	승인된 사용자, 프로세스 및 디바이스만 Amazon Simple Storage Service (Amazon S3) 버킷에 액세스할 수 있도록 허용하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 액세스 관리는 데이터 분류와 일치해야 합니다.
AC-6	조직은 최소 권한 원칙을 이용하여 조직의 임무 및 업무 기능에 따라 할당된 작업을 수행하는 데 필요한 사용자(또는 사용자를 대신하는 프로세스)에 대한 승인된 액세스만 허용합니다.	s3- bucket-public-write-prohibited	승인된 사용자, 프로세스 및 디바이스만 Amazon Simple Storage Service (Amazon S3) 버킷에 액세스할 수 있도록 허용하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 액세스 관리는 데이터 분류와 일치해야 합니다.
AC-6	조직은 최소 권한 원칙을 이용하여 조직의 임무 및 업무 기능에 따라 할당된 작업을 수행하는 데 필요한 사용자(또는 사용자를 대신하는 프로세스)에 대한 승인된 액세스만 허용합니다.	sagemaker-notebook-no-direct-인터넷 액세스	Amazon SageMaker 노트북에서 직접 인터넷 액세스를 허용하지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 직접 인터넷 액세스를 방지함으로써 권한이 없는 사용자가 민감한 데이터에 액세스하는 것을 방지할 수 있습니다.
AC-6	조직은 최소 권한 원칙을 이용하여 조직의 임무 및 업무 기능에 따라 할당된 작업을 수행하는 데 필요한 사용자(또는 사용자를 대신하는 프로세스)에 대한 승인된 액세스만 허용합니다.	subnet-auto-assign-public-ip-비활성화됨	Amazon VPC (Virtual Private Cloud) 서브넷에 퍼블릭 IP 주소가 자동으로 할당되지 않도록 하여 클라우드에 대한 액세스를 관리합니다. AWS 이 속성이 활성화된 서브넷에서 시작되는 Amazon Elastic Compute Cloud(EC2) 인스턴스에는 기본 네트워크 인터페이스에 할당된 퍼블릭 IP 주소가 있습니다.
AC-17(1)	정보 시스템은 원격 액세스 방법을 모니터링하고 제어합니다.	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) 보안 그룹은 리소스에 대한 수신 및 송신 네트워크 트래픽의 상태 기반 필터링을 제공하여 네트워크 액세스를 관리하는 데 도움을 줄 수 있습니다. AWS 리소스의 0.0.0.0/0에서 포트 22로 수신(또는 원격) 트래픽을 허용하지 않으면 원격 액세스를 제한하는 데 도움이 됩니다.
AC-17(1)	정보 시스템은 원격 액세스 방법을 모니터링하고 제어합니다.	ec2- instances-in-vpc	Amazon Elastic Compute Cloud(Amazon EC2) 인스턴스를 Amazon Virtual Private Cloud(VPC) 내에 배포하면 인터넷 게이트웨이, NAT 디바이스 또는 VPN 연결 없이 Amazon VPC 내부에서 인스턴스와 다른 서비스 간에 보안 통신이 가능합니다. 모든 트래픽은 AWS 클라우드 내에서 안전하게 유지됩니다. 논리적 격리로 인해 퍼블릭 엔드포인트를 사용할 때에 비해, Amazon VPC에 상주하는 도메인에는 보안 계층이 하나 추가됩니다. Amazon EC2 인스턴스를 Amazon VPC에 할당하여 액세스를 적절하게 관리합니다.
AC-17(1)	정보 시스템은 원격 액세스 방법을 모니터링하고 제어합니다.	securityhub-enabled	AWS Security Hub는 승인되지 않은 사용자, 연결, 장치 및 소프트웨어를 모니터링하는 데 도움이 됩니다. AWS Security Hub는 여러 서비스의 보안 경고 또는 조사 결과를 집계하고 구성하며 우선 순위를 지정합니다. AWS 이러한 서비스로는 Amazon Security Hub, Amazon Inspector, Amazon AWS Macie, Identity 및 Access Management (IAM) 액세스 분석기, 방화벽 관리자, 파트너 솔루션 AWS 등이 있습니다. AWS
AC-17(1)	정보 시스템은 원격 액세스 방법을 모니터링하고 제어합니다.	dms-replication-not-public	DMS 복제 인스턴스에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드에 대한 액세스를 관리합니다. DMS 복제 인스턴스에는 민감한 정보가 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
AC-17(1)	정보 시스템은 원격 액세스 방법을 모니터링하고 제어합니다.	ebs-snapshot-public-restorable-check	EBS 스냅샷을 공개적으로 복원할 수 없도록 하여 AWS 클라우드에 대한 액세스를 관리합니다. EBS 볼륨 스냅샷에는 민감한 정보가 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
AC-17(1)	정보 시스템은 원격 액세스 방법을 모니터링하고 제어합니다.	ec2- instance-no-public-ip	Amazon Elastic Compute AWS Cloud (Amazon EC2) 인스턴스에 공개적으로 액세스할 수 없도록 하여 클라우드에 대한 액세스를 관리합니다. Amazon EC2 인스턴스에는 민감한 정보가 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
AC-17(1)	정보 시스템은 원격 액세스 방법을 모니터링하고 제어합니다.	elasticsearch-in-vpc-only	Amazon OpenSearch 서비스 (OpenSearch 서비스) 도메인이 Amazon VPC (가상 사설 클라우드) 내에 있는지 확인하여 클라우드에 대한 액세스를 관리합니다. AWS Amazon VPC 내의 OpenSearch 서비스 도메인을 사용하면 인터넷 게이트웨이, NAT 디바이스 또는 VPN 연결 없이 Amazon VPC 내의 서비스와 다른 OpenSearch 서비스 간에 안전하게 통신할 수 있습니다.
AC-17(1)	정보 시스템은 원격 액세스 방법을 모니터링하고 제어합니다.	emr-master-no-public-ip	Amazon EMR 클러스터 마스터 노드에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드에 대한 액세스를 관리합니다. Amazon EMR 클러스터 프라이머리 노드에는 민감한 정보가 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
AC-17(1)	정보 시스템은 원격 액세스 방법을 모니터링하고 제어합니다.	guardduty-enabled-centralized	Amazon은 위협 인텔리전스 피드를 사용하여 잠재적인 사이버 보안 이벤트를 모니터링하고 탐지하는 데 도움을 줄 GuardDuty 수 있습니다. 여기에는 클라우드 환경 내에서 예상치 못한 무단 악의적인 활동을 식별하기 위한 악성 IP 및 기계 학습 목록이 포함됩니다. AWS
AC-17(1)	정보 시스템은 원격 액세스 방법을 모니터링하고 제어합니다.	lambda-function-public-access-금지됨	AWS Lambda 함수에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 퍼블릭 액세스는 잠재적으로 리소스 가용성을 저하시킬 수 있습니다.
AC-17(1)	정보 시스템은 원격 액세스 방법을 모니터링하고 제어합니다.	lambda-inside-vpc	Amazon VPC 내의 함수와 다른 서비스 간의 안전한 통신을 위해 Amazon VPC (가상 사설 클라우드) 내에 Lambda 함수를 AWS 배포하십시오. 이 구성을 사용하면 인터넷 게이트웨이, NAT 디바이스 또는 VPN 연결이 필요하지 않습니다. 모든 트래픽은 클라우드 내에서 안전하게 유지됩니다. AWS 논리적 격리로 인해 퍼블릭 엔드포인트를 사용할 때에 비해, Amazon VPC에 상주하는 도메인에는 보안 계층이 하나 추가됩니다. 액세스를 적절하게 관리하려면 AWS Lambda 함수를 VPC에 할당해야 합니다.
AC-17(1)	정보 시스템은 원격 액세스 방법을 모니터링하고 제어합니다.	rds-instance-public-access-check	Amazon RDatabase Service (Amazon RDS) 인스턴스가 퍼블릭되지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. Amazon RDS 데이터베이스 인스턴스에는 민감한 정보와 원칙이 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
AC-17(1)	정보 시스템은 원격 액세스 방법을 모니터링하고 제어합니다.	rds-snapshots-public-prohibited	Amazon RDatabase Service (Amazon RDS) 인스턴스가 퍼블릭되지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. Amazon RDS 데이터베이스 인스턴스에는 민감한 정보와 원칙이 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
AC-17(1)	정보 시스템은 원격 액세스 방법을 모니터링하고 제어합니다.	redshift-cluster-public-access-check	Amazon Redshift 클러스터가 퍼블릭되지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. Amazon Redshift 클러스터에는 민감한 정보와 원칙이 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
AC-17(1)	정보 시스템은 원격 액세스 방법을 모니터링하고 제어합니다.	restricted-common-ports	Amazon Elastic Compute AWS Cloud (Amazon EC2) 보안 그룹에서 공통 포트를 제한하여 클라우드의 리소스에 대한 액세스를 관리합니다. 포트 액세스를 신뢰할 수 있는 소스로 제한하지 않으면 시스템의 가용성, 무결성 및 기밀성에 대한 공격이 발생할 수 있습니다. 이 규칙을 사용하면 blockedPort1 ~ blockedPort5 파라미터를 선택적으로 설정할 수 있습니다(Config 기본값: 20,21,3389,3306,4333). 실제 값은 조직의 정책을 반영해야 합니다.
AC-17(1)	정보 시스템은 원격 액세스 방법을 모니터링하고 제어합니다.	S3- 블록 - account-level-public-access 주기적	Amazon Simple Storage Service (Amazon S3) 버킷에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 이 규칙은 퍼블릭 액세스를 방지하여 권한이 없는 원격 사용자로부터 민감한 데이터를 안전하게 보호하는 데 도움이 됩니다. 이 규칙을 사용하면 (구성 기본값: True), ignorePublicAcls (구성 기본값: True), ( blockPublicPolicy 구성 기본값: True) 및 매개변수 restrictPublicBuckets ( blockPublicAcls 구성 기본값: True) 를 선택적으로 설정할 수 있습니다. 실제 값은 조직의 정책을 반영해야 합니다.
AC-17(1)	정보 시스템은 원격 액세스 방법을 모니터링하고 제어합니다.	s3 bucket-level-public-access - 금지	Amazon Simple Storage Service (Amazon S3) 버킷에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 이 규칙은 버킷 수준에서 퍼블릭 액세스를 차단하여 권한이 없는 원격 사용자로부터 민감한 데이터를 안전하게 보호하는 데 도움이 됩니다.
AC-17(1)	정보 시스템은 원격 액세스 방법을 모니터링하고 제어합니다.	s3- bucket-public-read-prohibited	승인된 사용자, 프로세스 및 디바이스만 Amazon Simple Storage Service (Amazon S3) 버킷에 액세스할 수 있도록 허용하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 액세스 관리는 데이터 분류와 일치해야 합니다.
AC-17(1)	정보 시스템은 원격 액세스 방법을 모니터링하고 제어합니다.	s3- bucket-public-write-prohibited	승인된 사용자, 프로세스 및 디바이스만 Amazon Simple Storage Service (Amazon S3) 버킷에 액세스할 수 있도록 허용하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 액세스 관리는 데이터 분류와 일치해야 합니다.
AC-17(1)	정보 시스템은 원격 액세스 방법을 모니터링하고 제어합니다.	sagemaker-notebook-no-direct-인터넷 액세스	Amazon SageMaker 노트북에서 직접 인터넷 액세스를 허용하지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 직접 인터넷 액세스를 방지함으로써 권한이 없는 사용자가 민감한 데이터에 액세스하는 것을 방지할 수 있습니다.
AC-17(1)	정보 시스템은 원격 액세스 방법을 모니터링하고 제어합니다.	subnet-auto-assign-public-ip-비활성화됨	Amazon VPC (Virtual Private Cloud) 서브넷에 퍼블릭 IP 주소가 자동으로 할당되지 않도록 하여 클라우드에 대한 액세스를 관리합니다. AWS 이 속성이 활성화된 서브넷에서 시작되는 Amazon Elastic Compute Cloud(EC2) 인스턴스에는 기본 네트워크 인터페이스에 할당된 퍼블릭 IP 주소가 있습니다.
AC-17(1)	정보 시스템은 원격 액세스 방법을 모니터링하고 제어합니다.	vpc-default-security-group-닫혔습니다.	Amazon Elastic Compute Cloud (Amazon EC2) 보안 그룹은 리소스에 대한 수신 및 송신 네트워크 트래픽의 상태 기반 필터링을 제공하여 네트워크 액세스를 관리하는 데 도움을 줄 수 있습니다. AWS 기본 보안 그룹의 모든 트래픽을 제한하면 리소스에 대한 원격 액세스를 제한하는 데 도움이 됩니다. AWS
AC-17(1)	정보 시스템은 원격 액세스 방법을 모니터링하고 제어합니다.	vpc-sg-open-only-to-authorized-ports	Amazon Elastic Compute AWS Cloud (Amazon EC2) 보안 그룹에서 공통 포트를 제한하여 클라우드의 리소스에 대한 액세스를 관리합니다. 포트 액세스를 신뢰할 수 있는 소스로 제한하지 않으면 시스템의 가용성, 무결성 및 기밀성에 대한 공격이 발생할 수 있습니다. 인터넷(0.0.0.0/0)에서 보안 그룹 내 리소스에 대한 액세스를 제한함으로써 내부 시스템에 대한 원격 액세스를 제어할 수 있습니다.
AC-17(2)	정보 시스템은 암호화 메커니즘을 구현하여 원격 액세스 세션의 기밀성과 무결성을 보호합니다.	elb-tls-https-listeners전용	Elastic Load Balancer(ELB)가 SSL 또는 HTTPS 리스너로 구성되어 있는지 확인하세요. 민감한 데이터가 존재할 수 있으므로 전송 중 암호화를 활성화하여 해당 데이터를 보호합니다.
AC-17(2)	정보 시스템은 암호화 메커니즘을 구현하여 원격 액세스 세션의 기밀성과 무결성을 보호합니다.	acm-certificate-expiration-check	ACM에서 X509 인증서를 발급하도록 하여 AWS 네트워크 무결성을 보호하십시오. 이러한 인증서는 유효하고 만료되지 않은 것이어야 합니다. 이 규칙에는 daysToExpiration (AWS 기본 보안 모범 사례 값: 90) 의 값이 필요합니다. 실제 값은 조직의 정책을 반영해야 합니다.
AC-17(2)	정보 시스템은 암호화 메커니즘을 구현하여 원격 액세스 세션의 기밀성과 무결성을 보호합니다.	alb-http-to-https-리디렉션 검사	전송 중 데이터를 보호하려면 Application Load Balancer가 암호화되지 않은 HTTP 요청을 자동으로 HTTPS로 리디렉션하도록 해야 합니다. 민감한 데이터가 존재할 수 있으므로 전송 중 암호화를 활성화하여 해당 데이터를 보호합니다.
AC-17(2)	정보 시스템은 암호화 메커니즘을 구현하여 원격 액세스 세션의 기밀성과 무결성을 보호합니다.	redshift-require-tls-ssl	Amazon Redshift 클러스터를 SQL 클라이언트에 연결하려면 TLS/SSL 암호화가 필요한지 확인하세요. 민감한 데이터가 존재할 수 있으므로 전송 중 암호화를 활성화하여 해당 데이터를 보호합니다.
AC-17(2)	정보 시스템은 암호화 메커니즘을 구현하여 원격 액세스 세션의 기밀성과 무결성을 보호합니다.	s3- bucket-ssl-requests-only	전송 중 데이터 데이터를 보호하려면 Amazon Simple Storage Service(S3) 버킷에 보안 소켓 계층(SSL) 사용 요청이 필요한지 확인하세요. 민감한 데이터가 존재할 수 있으므로 전송 중 암호화를 활성화하여 해당 데이터를 보호합니다.
AC-21(b)	조직: b. [할당: 조직에서 정의한 자동화 메커니즘 또는 수동 프로세스]를 사용하여 사용자가 정보 공유 및 협업 결정을 내리는 데 도움을 줍니다.	autoscaling-launch-config-public-ip - 비활성화됨	퍼블릭 IP 주소로 네트워크 인터페이스를 구성하면 인터넷에서 해당 네트워크 인터페이스에 연결된 리소스에 도달할 수 있습니다. EC2 리소스에는 공개적으로 액세스할 수 없어야 합니다. 애플리케이션이나 서버에 의도하지 않은 액세스가 허용될 수 있기 때문입니다.
AC-21(b)	조직: b. [할당: 조직에서 정의한 자동화 메커니즘 또는 수동 프로세스]를 사용하여 사용자가 정보 공유 및 협업 결정을 내리는 데 도움을 줍니다.	no-unrestricted-route-to-igw	Amazon EC2 라우팅 테이블에는 인터넷 게이트웨이에 대한 무제한 경로가 없어야 합니다. Amazon VPC 내 워크로드의 인터넷 액세스를 제거하거나 제한하면 환경 내에서 의도하지 않은 액세스를 줄일 수 있습니다.
AC-21(b)	조직: b. [할당: 조직에서 정의한 자동화 메커니즘 또는 수동 프로세스]를 사용하여 사용자가 정보 공유 및 협업 결정을 내리는 데 도움을 줍니다.	restricted-common-ports	Amazon Elastic Compute AWS Cloud (Amazon EC2) 보안 그룹에서 공통 포트를 제한하여 클라우드의 리소스에 대한 액세스를 관리합니다. 포트 액세스를 신뢰할 수 있는 소스로 제한하지 않으면 시스템의 가용성, 무결성 및 기밀성에 대한 공격이 발생할 수 있습니다. 이 규칙을 사용하면 blockedPort1 ~ blockedPort5 파라미터를 선택적으로 설정할 수 있습니다(Config 기본값: 20,21,3389,3306,4333). 실제 값은 조직의 정책을 반영해야 합니다.
AC-21(b)	조직: b. [할당: 조직에서 정의한 자동화 메커니즘 또는 수동 프로세스]를 사용하여 사용자가 정보 공유 및 협업 결정을 내리는 데 도움을 줍니다.	S3- 블록 - account-level-public-access 주기적	Amazon Simple Storage Service (Amazon S3) 버킷에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 이 규칙은 퍼블릭 액세스를 방지하여 권한이 없는 원격 사용자로부터 민감한 데이터를 안전하게 보호하는 데 도움이 됩니다. 이 규칙을 사용하면 (구성 기본값: True), ignorePublicAcls (구성 기본값: True), ( blockPublicPolicy 구성 기본값: True) 및 매개변수 restrictPublicBuckets ( blockPublicAcls 구성 기본값: True) 를 선택적으로 설정할 수 있습니다. 실제 값은 조직의 정책을 반영해야 합니다.
AC-21(b)	조직: b. [할당: 조직에서 정의한 자동화 메커니즘 또는 수동 프로세스]를 사용하여 사용자가 정보 공유 및 협업 결정을 내리는 데 도움을 줍니다.	vpc-default-security-group-닫혔습니다.	Amazon Elastic Compute Cloud (Amazon EC2) 보안 그룹은 리소스에 대한 수신 및 송신 네트워크 트래픽의 상태 기반 필터링을 제공하여 네트워크 액세스를 관리하는 데 도움을 줄 수 있습니다. AWS 기본 보안 그룹의 모든 트래픽을 제한하면 리소스에 대한 원격 액세스를 제한하는 데 도움이 됩니다. AWS
AC-21(b)	조직: b. [할당: 조직에서 정의한 자동화 메커니즘 또는 수동 프로세스]를 사용하여 사용자가 정보 공유 및 협업 결정을 내리는 데 도움을 줍니다.	vpc-sg-open-only-to-authorized-ports	Amazon Elastic Compute AWS Cloud (Amazon EC2) 보안 그룹에서 공통 포트를 제한하여 클라우드의 리소스에 대한 액세스를 관리합니다. 포트 액세스를 신뢰할 수 있는 소스로 제한하지 않으면 시스템의 가용성, 무결성 및 기밀성에 대한 공격이 발생할 수 있습니다. 인터넷(0.0.0.0/0)에서 보안 그룹 내 리소스에 대한 액세스를 제한함으로써 내부 시스템에 대한 원격 액세스를 제어할 수 있습니다.
AC-21(b)	조직: b. [할당: 조직에서 정의한 자동화 메커니즘 또는 수동 프로세스]를 사용하여 사용자가 정보 공유 및 협업 결정을 내리는 데 도움을 줍니다.	dms-replication-not-public	DMS 복제 인스턴스에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드에 대한 액세스를 관리합니다. DMS 복제 인스턴스에는 민감한 정보가 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
AC-21(b)	조직: b. [할당: 조직에서 정의한 자동화 메커니즘 또는 수동 프로세스]를 사용하여 사용자가 정보 공유 및 협업 결정을 내리는 데 도움을 줍니다.	ebs-snapshot-public-restorable-check	EBS 스냅샷을 공개적으로 복원할 수 없도록 하여 AWS 클라우드에 대한 액세스를 관리합니다. EBS 볼륨 스냅샷에는 민감한 정보가 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
AC-21(b)	조직: b. [할당: 조직에서 정의한 자동화 메커니즘 또는 수동 프로세스]를 사용하여 사용자가 정보 공유 및 협업 결정을 내리는 데 도움을 줍니다.	ec2- instance-no-public-ip	Amazon Elastic Compute AWS Cloud (Amazon EC2) 인스턴스에 공개적으로 액세스할 수 없도록 하여 클라우드에 대한 액세스를 관리합니다. Amazon EC2 인스턴스에는 민감한 정보가 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
AC-21(b)	조직: b. [할당: 조직에서 정의한 자동화 메커니즘 또는 수동 프로세스]를 사용하여 사용자가 정보 공유 및 협업 결정을 내리는 데 도움을 줍니다.	emr-master-no-public-ip	Amazon EMR 클러스터 마스터 노드에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드에 대한 액세스를 관리합니다. Amazon EMR 클러스터 프라이머리 노드에는 민감한 정보가 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
AC-21(b)	조직: b. [할당: 조직에서 정의한 자동화 메커니즘 또는 수동 프로세스]를 사용하여 사용자가 정보 공유 및 협업 결정을 내리는 데 도움을 줍니다.	lambda-function-public-access-금지됨	AWS Lambda 함수에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 퍼블릭 액세스는 잠재적으로 리소스 가용성을 저하시킬 수 있습니다.
AC-21(b)	조직: b. [할당: 조직에서 정의한 자동화 메커니즘 또는 수동 프로세스]를 사용하여 사용자가 정보 공유 및 협업 결정을 내리는 데 도움을 줍니다.	rds-instance-public-access-check	Amazon RDatabase Service (Amazon RDS) 인스턴스가 퍼블릭되지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. Amazon RDS 데이터베이스 인스턴스에는 민감한 정보와 원칙이 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
AC-21(b)	조직: b. [할당: 조직에서 정의한 자동화 메커니즘 또는 수동 프로세스]를 사용하여 사용자가 정보 공유 및 협업 결정을 내리는 데 도움을 줍니다.	rds-snapshots-public-prohibited	Amazon RDatabase Service (Amazon RDS) 인스턴스가 퍼블릭되지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. Amazon RDS 데이터베이스 인스턴스에는 민감한 정보와 원칙이 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
AC-21(b)	조직: b. [할당: 조직에서 정의한 자동화 메커니즘 또는 수동 프로세스]를 사용하여 사용자가 정보 공유 및 협업 결정을 내리는 데 도움을 줍니다.	redshift-cluster-public-access-check	Amazon Redshift 클러스터가 퍼블릭되지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. Amazon Redshift 클러스터에는 민감한 정보와 원칙이 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
AC-21(b)	조직: b. [할당: 조직에서 정의한 자동화 메커니즘 또는 수동 프로세스]를 사용하여 사용자가 정보 공유 및 협업 결정을 내리는 데 도움을 줍니다.	s3- - 금지됨 bucket-level-public-access	Amazon Simple Storage Service (Amazon S3) 버킷에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 이 규칙은 버킷 수준에서 퍼블릭 액세스를 차단하여 권한이 없는 원격 사용자로부터 민감한 데이터를 안전하게 보호하는 데 도움이 됩니다.
AC-21(b)	조직: b. [할당: 조직에서 정의한 자동화 메커니즘 또는 수동 프로세스]를 사용하여 사용자가 정보 공유 및 협업 결정을 내리는 데 도움을 줍니다.	s3- bucket-public-read-prohibited	승인된 사용자, 프로세스 및 디바이스만 Amazon Simple Storage Service (Amazon S3) 버킷에 액세스할 수 있도록 허용하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 액세스 관리는 데이터 분류와 일치해야 합니다.
AC-21(b)	조직: b. [할당: 조직에서 정의한 자동화 메커니즘 또는 수동 프로세스]를 사용하여 사용자가 정보 공유 및 협업 결정을 내리는 데 도움을 줍니다.	s3- bucket-public-write-prohibited	승인된 사용자, 프로세스 및 디바이스만 Amazon Simple Storage Service (Amazon S3) 버킷에 액세스할 수 있도록 허용하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 액세스 관리는 데이터 분류와 일치해야 합니다.
AC-21(b)	조직: b. [할당: 조직에서 정의한 자동화 메커니즘 또는 수동 프로세스]를 사용하여 사용자가 정보 공유 및 협업 결정을 내리는 데 도움을 줍니다.	sagemaker-notebook-no-direct-인터넷 액세스	Amazon SageMaker 노트북에서 직접 인터넷 액세스를 허용하지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 직접 인터넷 액세스를 방지함으로써 권한이 없는 사용자가 민감한 데이터에 액세스하는 것을 방지할 수 있습니다.
AC-21(b)	조직: b. [할당: 조직에서 정의한 자동화 메커니즘 또는 수동 프로세스]를 사용하여 사용자가 정보 공유 및 협업 결정을 내리는 데 도움을 줍니다.	subnet-auto-assign-public-ip-비활성화됨	Amazon VPC (Virtual Private Cloud) 서브넷에 퍼블릭 IP 주소가 자동으로 할당되지 않도록 하여 클라우드에 대한 액세스를 관리합니다. AWS 이 속성이 활성화된 서브넷에서 시작되는 Amazon Elastic Compute Cloud(EC2) 인스턴스에는 기본 네트워크 인터페이스에 할당된 퍼블릭 IP 주소가 있습니다.
AU-2(a)(d)	조직: a. 정보 시스템이 성공 및 실패한 계정 로그온 이벤트, 계정 관리 이벤트, 객체 액세스, 정책 변경, 권한 기능, 프로세스 추적, 시스템 이벤트 등의 이벤트를 감사할 수 있는지 확인합니다. 웹 애플리케이션의 경우: 모든 관리자 활동, 인증 검사, 권한 부여 검사, 데이터 삭제, 데이터 액세스, 데이터 변경, 권한 변경. d. 정보 시스템 내에서 다음 이벤트를 감사할지 결정합니다. [AU-2 a에 정의된 감사 가능 이벤트 중 조직이 정의한 하위 집합을 식별된 각 이벤트에 대해 지속적으로 감사해야 함].	codebuild-project-logging-enabled	빌드 출력 로그가 Amazon CloudWatch 또는 Amazon Simple Storage Service (Amazon S3) 로 전송되도록 AWS CodeBuild 프로젝트 로깅이 활성화되어 있는지 확인하십시오. 빌드 출력 로그는 빌드 프로젝트에 관한 자세한 정보를 제공합니다.
AU-2(a)(d)	조직: a. 정보 시스템이 성공 및 실패한 계정 로그온 이벤트, 계정 관리 이벤트, 객체 액세스, 정책 변경, 권한 기능, 프로세스 추적, 시스템 이벤트 등의 이벤트를 감사할 수 있는지 확인합니다. 웹 애플리케이션의 경우: 모든 관리자 활동, 인증 검사, 권한 부여 검사, 데이터 삭제, 데이터 액세스, 데이터 변경, 권한 변경. d. 정보 시스템 내에서 다음 이벤트를 감사할지 결정합니다. [AU-2 a에 정의된 감사 가능 이벤트 중 조직이 정의한 하위 집합을 식별된 각 이벤트에 대해 지속적으로 감사해야 함].	multi-region-cloudtrail-enabled	AWS CloudTrail AWS 관리 콘솔 작업 및 API 호출을 기록합니다. 전화를 건 사용자 및 계정 AWS, 호출이 이루어진 소스 IP 주소, 호출이 발생한 시간을 식별할 수 있습니다. CloudTrail MULTI_REGION_CLOUD_TRAIL_ENABLED가 활성화된 경우 모든 AWS 지역의 로그 파일을 S3 버킷으로 전송합니다. 또한 새 지역을 AWS 시작하면 새 지역에 동일한 트레일이 생성됩니다. CloudTrail 따라서 별도의 조치를 취하지 않아도 새 리전의 API 활동이 포함된 로그 파일을 받게 됩니다.
AU-2(a)(d)	조직: a. 정보 시스템이 성공 및 실패한 계정 로그온 이벤트, 계정 관리 이벤트, 객체 액세스, 정책 변경, 권한 기능, 프로세스 추적, 시스템 이벤트 등의 이벤트를 감사할 수 있는지 확인합니다. 웹 애플리케이션의 경우: 모든 관리자 활동, 인증 검사, 권한 부여 검사, 데이터 삭제, 데이터 액세스, 데이터 변경, 권한 변경. d. 정보 시스템 내에서 다음 이벤트를 감사할지 결정합니다. [AU-2 a에 정의된 감사 가능 이벤트 중 조직이 정의한 하위 집합을 식별된 각 이벤트에 대해 지속적으로 감사해야 함].	rds-logging-enabled	환경 내에서 로깅 및 모니터링에 도움이 되도록 Amazon Relational Database Service(RDS) 로깅이 활성화되어 있는지 확인합니다. Amazon RDS 로깅을 사용하면 연결, 연결 끊김, 쿼리 또는 쿼리된 테이블과 같은 이벤트를 캡처할 수 있습니다.
AU-2(a)(d)	조직: a. 정보 시스템이 성공 및 실패한 계정 로그온 이벤트, 계정 관리 이벤트, 객체 액세스, 정책 변경, 권한 기능, 프로세스 추적, 시스템 이벤트 등의 이벤트를 감사할 수 있는지 확인합니다. 웹 애플리케이션의 경우: 모든 관리자 활동, 인증 검사, 권한 부여 검사, 데이터 삭제, 데이터 액세스, 데이터 변경, 권한 변경. d. 정보 시스템 내에서 다음 이벤트를 감사할지 결정합니다. [AU-2 a에 정의된 감사 가능 이벤트 중 조직이 정의한 하위 집합을 식별된 각 이벤트에 대해 지속적으로 감사해야 함].	wafv2-logging-enabled	환경 내에서 로깅 및 모니터링을 지원하려면 지역 및 글로벌 웹 ACL에서 AWS WAF (V2) 로깅을 활성화하십시오. AWS WAF 로깅은 웹 ACL에서 분석된 트래픽에 대한 자세한 정보를 제공합니다. 로그에는 AWS WAF가 AWS 리소스로부터 요청을 받은 시간, 요청에 대한 정보, 각 요청이 일치하는 규칙에 대한 조치가 기록됩니다.
AU-2(a)(d)	조직: a. 정보 시스템이 성공 및 실패한 계정 로그온 이벤트, 계정 관리 이벤트, 객체 액세스, 정책 변경, 권한 기능, 프로세스 추적, 시스템 이벤트 등의 이벤트를 감사할 수 있는지 확인합니다. 웹 애플리케이션의 경우: 모든 관리자 활동, 인증 검사, 권한 부여 검사, 데이터 삭제, 데이터 액세스, 데이터 변경, 권한 변경. d. 정보 시스템 내에서 다음 이벤트를 감사할지 결정합니다. [AU-2 a에 정의된 감사 가능 이벤트 중 조직이 정의한 하위 집합을 식별된 각 이벤트에 대해 지속적으로 감사해야 함].	api-gw-execution-logging-enabled	API Gateway 로깅에는 API에 액세스한 사용자 및 액세스 방식에 관한 세부 정보 보기가 표시됩니다. 이러한 인사이트를 통해 사용자 활동을 파악할 수 있습니다.
AU-2(a)(d)	조직: a. 정보 시스템이 성공 및 실패한 계정 로그온 이벤트, 계정 관리 이벤트, 객체 액세스, 정책 변경, 권한 기능, 프로세스 추적, 시스템 이벤트 등의 이벤트를 감사할 수 있는지 확인합니다. 웹 애플리케이션의 경우: 모든 관리자 활동, 인증 검사, 권한 부여 검사, 데이터 삭제, 데이터 액세스, 데이터 변경, 권한 변경. d. 정보 시스템 내에서 다음 이벤트를 감사할지 결정합니다. [AU-2 a에 정의된 감사 가능 이벤트 중 조직이 정의한 하위 집합을 식별된 각 이벤트에 대해 지속적으로 감사해야 함].	cloud-trail-cloud-watch-로그 활성화됨	CloudWatch Amazon을 사용하여 로그 이벤트 활동을 중앙에서 수집하고 관리할 수 있습니다. AWS CloudTrail 데이터를 포함하면 사용자 내의 API 호출 활동에 대한 세부 정보가 제공됩니다. AWS 계정
AU-2(a)(d)	조직: a. 정보 시스템이 성공 및 실패한 계정 로그온 이벤트, 계정 관리 이벤트, 객체 액세스, 정책 변경, 권한 기능, 프로세스 추적, 시스템 이벤트 등의 이벤트를 감사할 수 있는지 확인합니다. 웹 애플리케이션의 경우: 모든 관리자 활동, 인증 검사, 권한 부여 검사, 데이터 삭제, 데이터 액세스, 데이터 변경, 권한 변경. d. 정보 시스템 내에서 다음 이벤트를 감사할지 결정합니다. [AU-2 a에 정의된 감사 가능 이벤트 중 조직이 정의한 하위 집합을 식별된 각 이벤트에 대해 지속적으로 감사해야 함].	cloudtrail-enabled	AWS CloudTrail AWS 관리 콘솔 작업 및 API 호출을 기록하여 부인 방지에 도움이 될 수 있습니다. 사용자와 AWS 서비스를 AWS 계정 호출한 사용자, 호출이 생성된 소스 IP 주소, 통화 시간을 식별할 수 있습니다. 캡처된 데이터의 세부 정보는 AWS CloudTrail 레코드 컨텐츠에서 볼 수 있습니다.
AU-2(a)(d)	조직: a. 정보 시스템이 성공 및 실패한 계정 로그온 이벤트, 계정 관리 이벤트, 객체 액세스, 정책 변경, 권한 기능, 프로세스 추적, 시스템 이벤트 등의 이벤트를 감사할 수 있는지 확인합니다. 웹 애플리케이션의 경우: 모든 관리자 활동, 인증 검사, 권한 부여 검사, 데이터 삭제, 데이터 액세스, 데이터 변경, 권한 변경. d. 정보 시스템 내에서 다음 이벤트를 감사할지 결정합니다. [AU-2 a에 정의된 감사 가능 이벤트 중 조직이 정의한 하위 집합을 식별된 각 이벤트에 대해 지속적으로 감사해야 함].	cloudtrail-s3-dataevents-enabled	Amazon Simple Storage Service(S3) 데이터 이벤트를 수집하면 모든 변칙적 활동을 탐지하는 데 도움이 됩니다. 세부 AWS 계정 정보에는 Amazon S3 버킷에 액세스한 정보, IP 주소, 이벤트 시간이 포함됩니다.
AU-2(a)(d)	조직: a. 정보 시스템이 성공 및 실패한 계정 로그온 이벤트, 계정 관리 이벤트, 객체 액세스, 정책 변경, 권한 기능, 프로세스 추적, 시스템 이벤트 등의 이벤트를 감사할 수 있는지 확인합니다. 웹 애플리케이션의 경우: 모든 관리자 활동, 인증 검사, 권한 부여 검사, 데이터 삭제, 데이터 액세스, 데이터 변경, 권한 변경. d. 정보 시스템 내에서 다음 이벤트를 감사할지 결정합니다. [AU-2 a에 정의된 감사 가능 이벤트 중 조직이 정의한 하위 집합을 식별된 각 이벤트에 대해 지속적으로 감사해야 함].	elb-logging-enabled	Elastic Load Balancing 활동은 환경 내 통신의 중심 지점입니다. ELB 로깅이 활성화되었는지 확인합니다. 수집된 데이터는 ELB로 전송된 요청에 관한 자세한 정보를 제공합니다. 각 로그에는 요청을 받은 시간, 클라이언트의 IP 주소, 지연 시간, 요청 경로 및 서버 응답과 같은 정보가 포함되어 있습니다.
AU-2(a)(d)	조직: a. 정보 시스템이 성공 및 실패한 계정 로그온 이벤트, 계정 관리 이벤트, 객체 액세스, 정책 변경, 권한 기능, 프로세스 추적, 시스템 이벤트 등의 이벤트를 감사할 수 있는지 확인합니다. 웹 애플리케이션의 경우: 모든 관리자 활동, 인증 검사, 권한 부여 검사, 데이터 삭제, 데이터 액세스, 데이터 변경, 권한 변경. d. 정보 시스템 내에서 다음 이벤트를 감사할지 결정합니다. [AU-2 a에 정의된 감사 가능 이벤트 중 조직이 정의한 하위 집합을 식별된 각 이벤트에 대해 지속적으로 감사해야 함].	redshift-cluster-configuration-check	저장 데이터를 보호하기 위해 Amazon Redshift 클러스터에 대해 암호화가 활성화되어 있는지 확인합니다. 또한 필수 구성이 Amazon Redshift 클러스터에 배포되었는지 확인해야 합니다. 데이터베이스의 연결 및 사용자 활동에 관한 정보를 제공하려면 감사 로깅을 활성화해야 합니다. 이 규칙을 사용하려면 clusterDbEncrypted (구성 기본값: TRUE) 에 값을 설정하고 로깅을 활성화해야 합니다 (구성 기본값: TRUE). 실제 값은 조직의 정책을 반영해야 합니다.
AU-2(a)(d)	조직: a. 정보 시스템이 성공 및 실패한 계정 로그온 이벤트, 계정 관리 이벤트, 객체 액세스, 정책 변경, 권한 기능, 프로세스 추적, 시스템 이벤트 등의 이벤트를 감사할 수 있는지 확인합니다. 웹 애플리케이션의 경우: 모든 관리자 활동, 인증 검사, 권한 부여 검사, 데이터 삭제, 데이터 액세스, 데이터 변경, 권한 변경. d. 정보 시스템 내에서 다음 이벤트를 감사할지 결정합니다. [AU-2 a에 정의된 감사 가능 이벤트 중 조직이 정의한 하위 집합을 식별된 각 이벤트에 대해 지속적으로 감사해야 함].	s3- bucket-logging-enabled	Amazon Simple Storage Service(S3) 서버 액세스 로깅은 네트워크에 잠재적인 사이버 보안 이벤트가 있는지 모니터링하는 방법을 제공합니다. 이벤트는 Amazon S3 버킷에 대해 이루어진 요청에 대한 상세한 레코드를 캡처하여 모니터링됩니다. 각 액세스 로그 레코드는 단일 액세스 요청에 관한 세부 정보를 제공합니다. 세부 정보에는 요청자, 버킷 이름, 요청 시간, 요청 작업, 응답 상태, 오류 코드(해당하는 경우)가 포함됩니다.
AU-2(a)(d)	조직: a. 정보 시스템이 성공 및 실패한 계정 로그온 이벤트, 계정 관리 이벤트, 객체 액세스, 정책 변경, 권한 기능, 프로세스 추적, 시스템 이벤트 등의 이벤트를 감사할 수 있는지 확인합니다. 웹 애플리케이션의 경우: 모든 관리자 활동, 인증 검사, 권한 부여 검사, 데이터 삭제, 데이터 액세스, 데이터 변경, 권한 변경. d. 정보 시스템 내에서 다음 이벤트를 감사할지 결정합니다. [AU-2 a에 정의된 감사 가능 이벤트 중 조직이 정의한 하위 집합을 식별된 각 이벤트에 대해 지속적으로 감사해야 함].	vpc-flow-logs-enabled	VPC 흐름 로그는 Amazon Virtual Private Cloud(VPC)의 네트워크 인터페이스에서 들어오고 나가는 IP 트래픽에 관한 정보의 자세한 기록을 제공합니다. 기본적으로 이 흐름 로그 레코드에는 소스, 대상, 프로토콜 등 IP 흐름의 다양한 구성 요소에 대한 값이 포함됩니다.
AU-3	정보 시스템은 어떤 유형의 이벤트가 발생했는지, 언제 발생했는지, 어디서 발생했는지, 이벤트의 출처, 이벤트 결과, 이벤트와 관련된 개인 또는 주체의 ID를 확인하는 정보가 포함된 감사 기록을 생성합니다.	codebuild-project-logging-enabled	빌드 출력 로그가 Amazon CloudWatch 또는 Amazon Simple Storage Service (Amazon S3) 로 전송되도록 AWS CodeBuild 프로젝트 로깅이 활성화되어 있는지 확인하십시오. 빌드 출력 로그는 빌드 프로젝트에 관한 자세한 정보를 제공합니다.
AU-3	정보 시스템은 어떤 유형의 이벤트가 발생했는지, 언제 발생했는지, 어디서 발생했는지, 이벤트의 출처, 이벤트 결과, 이벤트와 관련된 개인 또는 주체의 ID를 확인하는 정보가 포함된 감사 기록을 생성합니다.	multi-region-cloudtrail-enabled	AWS CloudTrail AWS 관리 콘솔 작업 및 API 호출을 기록합니다. 전화를 건 사용자 및 계정 AWS, 호출이 이루어진 소스 IP 주소, 호출이 발생한 시간을 식별할 수 있습니다. CloudTrail MULTI_REGION_CLOUD_TRAIL_ENABLED가 활성화된 경우 모든 AWS 지역의 로그 파일을 S3 버킷으로 전송합니다. 또한 새 지역을 AWS 시작하면 새 지역에 동일한 트레일이 생성됩니다. CloudTrail 따라서 별도의 조치를 취하지 않아도 새 리전의 API 활동이 포함된 로그 파일을 받게 됩니다.
AU-3	정보 시스템은 어떤 유형의 이벤트가 발생했는지, 언제 발생했는지, 어디서 발생했는지, 이벤트의 출처, 이벤트 결과, 이벤트와 관련된 개인 또는 주체의 ID를 확인하는 정보가 포함된 감사 기록을 생성합니다.	rds-logging-enabled	환경 내에서 로깅 및 모니터링에 도움이 되도록 Amazon Relational Database Service(RDS) 로깅이 활성화되어 있는지 확인합니다. Amazon RDS 로깅을 사용하면 연결, 연결 끊김, 쿼리 또는 쿼리된 테이블과 같은 이벤트를 캡처할 수 있습니다.
AU-3	정보 시스템은 어떤 유형의 이벤트가 발생했는지, 언제 발생했는지, 어디서 발생했는지, 이벤트의 출처, 이벤트 결과, 이벤트와 관련된 개인 또는 주체의 ID를 확인하는 정보가 포함된 감사 기록을 생성합니다.	wafv2-logging-enabled	환경 내에서 로깅 및 모니터링을 지원하려면 지역 및 글로벌 웹 ACL에서 AWS WAF (V2) 로깅을 활성화하십시오. AWS WAF 로깅은 웹 ACL에서 분석된 트래픽에 대한 자세한 정보를 제공합니다. 로그에는 AWS WAF가 AWS 리소스로부터 요청을 받은 시간, 요청에 대한 정보, 각 요청이 일치하는 규칙에 대한 조치가 기록됩니다.
AU-3	정보 시스템은 어떤 유형의 이벤트가 발생했는지, 언제 발생했는지, 어디서 발생했는지, 이벤트의 출처, 이벤트 결과, 이벤트와 관련된 개인 또는 주체의 ID를 확인하는 정보가 포함된 감사 기록을 생성합니다.	api-gw-execution-logging-enabled	API Gateway 로깅에는 API에 액세스한 사용자 및 액세스 방식에 관한 세부 정보 보기가 표시됩니다. 이러한 인사이트를 통해 사용자 활동을 파악할 수 있습니다.
AU-3	정보 시스템은 어떤 유형의 이벤트가 발생했는지, 언제 발생했는지, 어디서 발생했는지, 이벤트의 출처, 이벤트 결과, 이벤트와 관련된 개인 또는 주체의 ID를 확인하는 정보가 포함된 감사 기록을 생성합니다.	cloud-trail-cloud-watch-로그 활성화됨	CloudWatch Amazon을 사용하여 로그 이벤트 활동을 중앙에서 수집하고 관리할 수 있습니다. AWS CloudTrail 데이터를 포함하면 사용자 내의 API 호출 활동에 대한 세부 정보가 제공됩니다. AWS 계정
AU-3	정보 시스템은 어떤 유형의 이벤트가 발생했는지, 언제 발생했는지, 어디서 발생했는지, 이벤트의 출처, 이벤트 결과, 이벤트와 관련된 개인 또는 주체의 ID를 확인하는 정보가 포함된 감사 기록을 생성합니다.	cloudtrail-enabled	AWS CloudTrail AWS 관리 콘솔 작업 및 API 호출을 기록하여 부인 방지에 도움이 될 수 있습니다. 사용자와 AWS 서비스를 AWS 계정 호출한 사용자, 호출이 생성된 소스 IP 주소, 통화 시간을 식별할 수 있습니다. 캡처된 데이터의 세부 정보는 AWS CloudTrail 레코드 컨텐츠에서 볼 수 있습니다.
AU-3	정보 시스템은 어떤 유형의 이벤트가 발생했는지, 언제 발생했는지, 어디서 발생했는지, 이벤트의 출처, 이벤트 결과, 이벤트와 관련된 개인 또는 주체의 ID를 확인하는 정보가 포함된 감사 기록을 생성합니다.	cloudtrail-s3-dataevents-enabled	Amazon Simple Storage Service(S3) 데이터 이벤트를 수집하면 모든 변칙적 활동을 탐지하는 데 도움이 됩니다. 세부 AWS 계정 정보에는 Amazon S3 버킷에 액세스한 정보, IP 주소, 이벤트 시간이 포함됩니다.
AU-3	정보 시스템은 어떤 유형의 이벤트가 발생했는지, 언제 발생했는지, 어디서 발생했는지, 이벤트의 출처, 이벤트 결과, 이벤트와 관련된 개인 또는 주체의 ID를 확인하는 정보가 포함된 감사 기록을 생성합니다.	elb-logging-enabled	Elastic Load Balancing 활동은 환경 내 통신의 중심 지점입니다. ELB 로깅이 활성화되었는지 확인합니다. 수집된 데이터는 ELB로 전송된 요청에 관한 자세한 정보를 제공합니다. 각 로그에는 요청을 받은 시간, 클라이언트의 IP 주소, 지연 시간, 요청 경로 및 서버 응답과 같은 정보가 포함되어 있습니다.
AU-3	정보 시스템은 어떤 유형의 이벤트가 발생했는지, 언제 발생했는지, 어디서 발생했는지, 이벤트의 출처, 이벤트 결과, 이벤트와 관련된 개인 또는 주체의 ID를 확인하는 정보가 포함된 감사 기록을 생성합니다.	redshift-cluster-configuration-check	저장 데이터를 보호하기 위해 Amazon Redshift 클러스터에 대해 암호화가 활성화되어 있는지 확인합니다. 또한 필수 구성이 Amazon Redshift 클러스터에 배포되었는지 확인해야 합니다. 데이터베이스의 연결 및 사용자 활동에 관한 정보를 제공하려면 감사 로깅을 활성화해야 합니다. 이 규칙을 사용하려면 clusterDbEncrypted (구성 기본값: TRUE) 에 값을 설정하고 로깅을 활성화해야 합니다 (구성 기본값: TRUE). 실제 값은 조직의 정책을 반영해야 합니다.
AU-3	정보 시스템은 어떤 유형의 이벤트가 발생했는지, 언제 발생했는지, 어디서 발생했는지, 이벤트의 출처, 이벤트 결과, 이벤트와 관련된 개인 또는 주체의 ID를 확인하는 정보가 포함된 감사 기록을 생성합니다.	s3- bucket-logging-enabled	Amazon Simple Storage Service(S3) 서버 액세스 로깅은 네트워크에 잠재적인 사이버 보안 이벤트가 있는지 모니터링하는 방법을 제공합니다. 이벤트는 Amazon S3 버킷에 대해 이루어진 요청에 대한 상세한 레코드를 캡처하여 모니터링됩니다. 각 액세스 로그 레코드는 단일 액세스 요청에 관한 세부 정보를 제공합니다. 세부 정보에는 요청자, 버킷 이름, 요청 시간, 요청 작업, 응답 상태, 오류 코드(해당하는 경우)가 포함됩니다.
AU-3	정보 시스템은 어떤 유형의 이벤트가 발생했는지, 언제 발생했는지, 어디서 발생했는지, 이벤트의 출처, 이벤트 결과, 이벤트와 관련된 개인 또는 주체의 ID를 확인하는 정보가 포함된 감사 기록을 생성합니다.	vpc-flow-logs-enabled	VPC 흐름 로그는 Amazon Virtual Private Cloud(VPC)의 네트워크 인터페이스에서 들어오고 나가는 IP 트래픽에 관한 정보의 자세한 기록을 제공합니다. 기본적으로 이 흐름 로그 레코드에는 소스, 대상, 프로토콜 등 IP 흐름의 다양한 구성 요소에 대한 값이 포함됩니다.
AU-6(1)(3)	(1) 조직은 자동화된 메커니즘을 사용하여 감사 검토, 분석 및 보고 프로세스를 통합하여 의심스러운 활동에 대한 조사 및 대응을 위한 조직 프로세스를 지원합니다. (3) 조직은 여러 리포지토리의 감사 기록을 분석하고 상호 연관시켜 조직 전반의 상황을 파악합니다.	codebuild-project-logging-enabled	빌드 출력 로그가 Amazon CloudWatch 또는 Amazon Simple Storage Service (Amazon S3) 로 전송되도록 AWS CodeBuild 프로젝트 로깅이 활성화되어 있는지 확인하십시오. 빌드 출력 로그는 빌드 프로젝트에 관한 자세한 정보를 제공합니다.
AU-6(1)(3)	(1) 조직은 자동화된 메커니즘을 사용하여 감사 검토, 분석 및 보고 프로세스를 통합하여 의심스러운 활동에 대한 조사 및 대응을 위한 조직 프로세스를 지원합니다. (3) 조직은 여러 리포지토리의 감사 기록을 분석하고 상호 연관시켜 조직 전반의 상황을 파악합니다.	cw-loggroup-retention-period-check	문제 해결 및 포렌식 조사에 도움이 되도록 로그 그룹에 대한 이벤트 로그 데이터를 최소 기간 동안 유지하세요. 사용 가능한 과거 이벤트 로그 데이터가 부족하면 잠재적으로 악의적인 이벤트를 재구성하고 식별하기가 어렵습니다.
AU-6(1)(3)	(1) 조직은 자동화된 메커니즘을 사용하여 감사 검토, 분석 및 보고 프로세스를 통합하여 의심스러운 활동에 대한 조사 및 대응을 위한 조직 프로세스를 지원합니다. (3) 조직은 여러 리포지토리의 감사 기록을 분석하고 상호 연관시켜 조직 전반의 상황을 파악합니다.	multi-region-cloudtrail-enabled	AWS CloudTrail AWS 관리 콘솔 작업 및 API 호출을 기록합니다. 전화를 건 사용자 및 계정 AWS, 호출이 이루어진 소스 IP 주소, 호출이 발생한 시간을 식별할 수 있습니다. CloudTrail MULTI_REGION_CLOUD_TRAIL_ENABLED가 활성화된 경우 모든 AWS 지역의 로그 파일을 S3 버킷으로 전송합니다. 또한 새 지역을 AWS 시작하면 새 지역에 동일한 트레일이 생성됩니다. CloudTrail 따라서 별도의 조치를 취하지 않아도 새 리전의 API 활동이 포함된 로그 파일을 받게 됩니다.
AU-6(1)(3)	(1) 조직은 자동화된 메커니즘을 사용하여 감사 검토, 분석 및 보고 프로세스를 통합하여 의심스러운 활동에 대한 조사 및 대응을 위한 조직 프로세스를 지원합니다. (3) 조직은 여러 리포지토리의 감사 기록을 분석하고 상호 연관시켜 조직 전반의 상황을 파악합니다.	securityhub-enabled	AWS Security Hub는 승인되지 않은 사용자, 연결, 장치 및 소프트웨어를 모니터링하는 데 도움이 됩니다. AWS Security Hub는 여러 서비스의 보안 경고 또는 조사 결과를 집계하고 구성하며 우선 순위를 지정합니다. AWS 이러한 서비스로는 Amazon Security Hub, Amazon Inspector, Amazon AWS Macie, Identity 및 Access Management (IAM) 액세스 분석기, 방화벽 관리자, 파트너 솔루션 AWS 등이 있습니다. AWS
AU-6(1)(3)	(1) 조직은 자동화된 메커니즘을 사용하여 감사 검토, 분석 및 보고 프로세스를 통합하여 의심스러운 활동에 대한 조사 및 대응을 위한 조직 프로세스를 지원합니다. (3) 조직은 여러 리포지토리의 감사 기록을 분석하고 상호 연관시켜 조직 전반의 상황을 파악합니다.	wafv2-logging-enabled	환경 내에서 로깅 및 모니터링을 지원하려면 지역 및 글로벌 웹 ACL에서 AWS WAF (V2) 로깅을 활성화하십시오. AWS WAF 로깅은 웹 ACL에서 분석된 트래픽에 대한 자세한 정보를 제공합니다. 로그에는 AWS WAF가 AWS 리소스로부터 요청을 받은 시간, 요청에 대한 정보, 각 요청이 일치하는 규칙에 대한 조치가 기록됩니다.
AU-6(1)(3)	(1) 조직은 자동화된 메커니즘을 사용하여 감사 검토, 분석 및 보고 프로세스를 통합하여 의심스러운 활동에 대한 조사 및 대응을 위한 조직 프로세스를 지원합니다. (3) 조직은 여러 리포지토리의 감사 기록을 분석하고 상호 연관시켜 조직 전반의 상황을 파악합니다.	api-gw-execution-logging-enabled	API Gateway 로깅에는 API에 액세스한 사용자 및 액세스 방식에 관한 세부 정보 보기가 표시됩니다. 이러한 인사이트를 통해 사용자 활동을 파악할 수 있습니다.
AU-6(1)(3)	(1) 조직은 자동화된 메커니즘을 사용하여 감사 검토, 분석 및 보고 프로세스를 통합하여 의심스러운 활동에 대한 조사 및 대응을 위한 조직 프로세스를 지원합니다. (3) 조직은 여러 리포지토리의 감사 기록을 분석하고 상호 연관시켜 조직 전반의 상황을 파악합니다.	cloud-trail-cloud-watch-로그 활성화됨	CloudWatch Amazon을 사용하여 로그 이벤트 활동을 중앙에서 수집하고 관리할 수 있습니다. AWS CloudTrail 데이터를 포함하면 사용자 내의 API 호출 활동에 대한 세부 정보가 제공됩니다. AWS 계정
AU-6(1)(3)	(1) 조직은 자동화된 메커니즘을 사용하여 감사 검토, 분석 및 보고 프로세스를 통합하여 의심스러운 활동에 대한 조사 및 대응을 위한 조직 프로세스를 지원합니다. (3) 조직은 여러 리포지토리의 감사 기록을 분석하고 상호 연관시켜 조직 전반의 상황을 파악합니다.	cloudtrail-enabled	AWS CloudTrail AWS 관리 콘솔 작업 및 API 호출을 기록하여 부인 방지에 도움이 될 수 있습니다. 사용자와 AWS 서비스를 AWS 계정 호출한 사용자, 호출이 생성된 소스 IP 주소, 통화 시간을 식별할 수 있습니다. 캡처된 데이터의 세부 정보는 AWS CloudTrail 레코드 컨텐츠에서 볼 수 있습니다.
AU-6(1)(3)	(1) 조직은 자동화된 메커니즘을 사용하여 감사 검토, 분석 및 보고 프로세스를 통합하여 의심스러운 활동에 대한 조사 및 대응을 위한 조직 프로세스를 지원합니다. (3) 조직은 여러 리포지토리의 감사 기록을 분석하고 상호 연관시켜 조직 전반의 상황을 파악합니다.	cloudtrail-s3-dataevents-enabled	Amazon Simple Storage Service(S3) 데이터 이벤트를 수집하면 모든 변칙적 활동을 탐지하는 데 도움이 됩니다. 세부 AWS 계정 정보에는 Amazon S3 버킷에 액세스한 정보, IP 주소, 이벤트 시간이 포함됩니다.
AU-6(1)(3)	(1) 조직은 자동화된 메커니즘을 사용하여 감사 검토, 분석 및 보고 프로세스를 통합하여 의심스러운 활동에 대한 조사 및 대응을 위한 조직 프로세스를 지원합니다. (3) 조직은 여러 리포지토리의 감사 기록을 분석하고 상호 연관시켜 조직 전반의 상황을 파악합니다.	cloudwatch-alarm-action-check	Amazon은 지표가 지정된 평가 기간 수의 임계값을 위반할 경우 CloudWatch 경보를 보냅니다. 이러한 경보는 여러 기간에 대해 지정된 임계값과 지표 또는 표현식의 값을 비교하여 하나 이상의 작업을 수행합니다. 이 규칙에는 alarmActionRequired (구성 기본값: True), insufficientDataAction 필수 (구성 기본값: True), ( okActionRequired 구성 기본값: False) 값이 필요합니다. 실제 값은 사용자 환경의 경보 동작을 반영해야 합니다.
AU-6(1)(3)	(1) 조직은 자동화된 메커니즘을 사용하여 감사 검토, 분석 및 보고 프로세스를 통합하여 의심스러운 활동에 대한 조사 및 대응을 위한 조직 프로세스를 지원합니다. (3) 조직은 여러 리포지토리의 감사 기록을 분석하고 상호 연관시켜 조직 전반의 상황을 파악합니다.	elb-logging-enabled	Elastic Load Balancing 활동은 환경 내 통신의 중심 지점입니다. ELB 로깅이 활성화되었는지 확인합니다. 수집된 데이터는 ELB로 전송된 요청에 관한 자세한 정보를 제공합니다. 각 로그에는 요청을 받은 시간, 클라이언트의 IP 주소, 지연 시간, 요청 경로 및 서버 응답과 같은 정보가 포함되어 있습니다.
AU-6(1)(3)	(1) 조직은 자동화된 메커니즘을 사용하여 감사 검토, 분석 및 보고 프로세스를 통합하여 의심스러운 활동에 대한 조사 및 대응을 위한 조직 프로세스를 지원합니다. (3) 조직은 여러 리포지토리의 감사 기록을 분석하고 상호 연관시켜 조직 전반의 상황을 파악합니다.	guardduty-enabled-centralized	Amazon은 위협 인텔리전스 피드를 사용하여 잠재적인 사이버 보안 이벤트를 모니터링하고 탐지하는 데 도움을 줄 GuardDuty 수 있습니다. 여기에는 클라우드 환경 내에서 예상치 못한 무단 악의적인 활동을 식별하기 위한 악성 IP 및 기계 학습 목록이 포함됩니다. AWS
AU-6(1)(3)	(1) 조직은 자동화된 메커니즘을 사용하여 감사 검토, 분석 및 보고 프로세스를 통합하여 의심스러운 활동에 대한 조사 및 대응을 위한 조직 프로세스를 지원합니다. (3) 조직은 여러 리포지토리의 감사 기록을 분석하고 상호 연관시켜 조직 전반의 상황을 파악합니다.	rds-logging-enabled	환경 내에서 로깅 및 모니터링에 도움이 되도록 Amazon Relational Database Service(RDS) 로깅이 활성화되어 있는지 확인합니다. Amazon RDS 로깅을 사용하면 연결, 연결 끊김, 쿼리 또는 쿼리된 테이블과 같은 이벤트를 캡처할 수 있습니다.
AU-6(1)(3)	(1) 조직은 자동화된 메커니즘을 사용하여 감사 검토, 분석 및 보고 프로세스를 통합하여 의심스러운 활동에 대한 조사 및 대응을 위한 조직 프로세스를 지원합니다. (3) 조직은 여러 리포지토리의 감사 기록을 분석하고 상호 연관시켜 조직 전반의 상황을 파악합니다.	redshift-cluster-configuration-check	저장 데이터를 보호하기 위해 Amazon Redshift 클러스터에 대해 암호화가 활성화되어 있는지 확인합니다. 또한 필수 구성이 Amazon Redshift 클러스터에 배포되었는지 확인해야 합니다. 데이터베이스의 연결 및 사용자 활동에 관한 정보를 제공하려면 감사 로깅을 활성화해야 합니다. 이 규칙을 사용하려면 clusterDbEncrypted (구성 기본값: TRUE) 에 값을 설정하고 로깅을 활성화해야 합니다 (구성 기본값: TRUE). 실제 값은 조직의 정책을 반영해야 합니다.
AU-6(1)(3)	(1) 조직은 자동화된 메커니즘을 사용하여 감사 검토, 분석 및 보고 프로세스를 통합하여 의심스러운 활동에 대한 조사 및 대응을 위한 조직 프로세스를 지원합니다. (3) 조직은 여러 리포지토리의 감사 기록을 분석하고 상호 연관시켜 조직 전반의 상황을 파악합니다.	s3- bucket-logging-enabled	Amazon Simple Storage Service(S3) 서버 액세스 로깅은 네트워크에 잠재적인 사이버 보안 이벤트가 있는지 모니터링하는 방법을 제공합니다. 이벤트는 Amazon S3 버킷에 대해 이루어진 요청에 대한 상세한 레코드를 캡처하여 모니터링됩니다. 각 액세스 로그 레코드는 단일 액세스 요청에 관한 세부 정보를 제공합니다. 세부 정보에는 요청자, 버킷 이름, 요청 시간, 요청 작업, 응답 상태, 오류 코드(해당하는 경우)가 포함됩니다.
AU-6(1)(3)	(1) 조직은 자동화된 메커니즘을 사용하여 감사 검토, 분석 및 보고 프로세스를 통합하여 의심스러운 활동에 대한 조사 및 대응을 위한 조직 프로세스를 지원합니다. (3) 조직은 여러 리포지토리의 감사 기록을 분석하고 상호 연관시켜 조직 전반의 상황을 파악합니다.	vpc-flow-logs-enabled	VPC 흐름 로그는 Amazon Virtual Private Cloud(VPC)의 네트워크 인터페이스에서 들어오고 나가는 IP 트래픽에 관한 정보의 자세한 기록을 제공합니다. 기본적으로 이 흐름 로그 레코드에는 소스, 대상, 프로토콜 등 IP 흐름의 다양한 구성 요소에 대한 값이 포함됩니다.
AU-7(1)	정보 시스템은 [할당: 감사 기록 내 조직이 정의한 감사 필드]를 기반으로 관심 이벤트에 대한 감사 기록을 처리할 수 있는 기능을 제공합니다.	cloud-trail-cloud-watch-로그 활성화됨	CloudWatch Amazon을 사용하여 로그 이벤트 활동을 중앙에서 수집하고 관리할 수 있습니다. AWS CloudTrail 데이터를 포함하면 사용자 내의 API 호출 활동에 대한 세부 정보가 제공됩니다. AWS 계정
AU-7(1)	정보 시스템은 [할당: 감사 기록 내 조직이 정의한 감사 필드]를 기반으로 관심 이벤트에 대한 감사 기록을 처리할 수 있는 기능을 제공합니다.	cloudwatch-alarm-action-check	Amazon은 지표가 지정된 평가 기간 수의 임계값을 위반할 경우 CloudWatch 경보를 보냅니다. 이러한 경보는 여러 기간에 대해 지정된 임계값과 지표 또는 표현식의 값을 비교하여 하나 이상의 작업을 수행합니다. 이 규칙에는 alarmActionRequired (구성 기본값: True), insufficientDataAction 필수 (구성 기본값: True), ( okActionRequired 구성 기본값: False) 값이 필요합니다. 실제 값은 사용자 환경의 경보 동작을 반영해야 합니다.
AU-9(2)	정보 시스템은 감사 기록을 최소한 매주 감사 대상 시스템 또는 구성 요소와 물리적으로 다른 시스템 또는 시스템 구성 요소에 백업합니다.	s3- bucket-replication-enabled	Amazon Simple Storage Service(S3) 교차 리전 복제(CRR)는 적절한 용량과 가용성을 유지할 수 있도록 지원합니다. CRR은 Amazon S3 버킷 전체에 걸쳐 객체를 비동기식으로 자동 복사할 수 있으므로 데이터 가용성 유지에 도움이 됩니다.
AU-9(2)	정보 시스템은 감사 기록을 최소한 매주 감사 대상 시스템 또는 구성 요소와 물리적으로 다른 시스템 또는 시스템 구성 요소에 백업합니다.	s3- bucket-versioning-enabled	Amazon Simple Storage Service(S3) 버킷 버전 관리를 사용하면 동일한 Amazon S3 버킷 내에 객체의 여러 변형을 보유할 수 있습니다. 버전 관리를 사용하여 Amazon S3 버킷에 저장된 모든 버전의 모든 객체를 보존, 검색 및 복원합니다. 버전 관리는 의도치 않은 사용자 작업 및 애플리케이션 장애로부터 복구하는 데 도움이 됩니다.
AU-9	정보 시스템은 감사 정보 및 감사 도구를 무단 액세스, 수정 및 삭제로부터 보호합니다.	cloud-trail-encryption-enabled	민감한 데이터가 존재할 수 있고 저장된 데이터를 보호하는 데 도움이 될 수 있으므로 AWS CloudTrail 트레일에 암호화를 활성화해야 합니다.
AU-9	정보 시스템은 감사 정보 및 감사 도구를 무단 액세스, 수정 및 삭제로부터 보호합니다.	cloud-trail-log-file-유효성 검사 활성화	AWS CloudTrail 로그 파일 검증을 활용하여 로그의 무결성을 확인합니다. CloudTrail 로그 파일 검증은 로그 파일이 CloudTrail 전송된 후 수정되거나 삭제되었는지 또는 변경되지 않았는지 확인하는 데 도움이 됩니다. 이 기능은 산업 표준 알고리즘(해시의 경우 SHA-256, 디지털 서명의 경우 RSA 포함 SHA-256)으로 구축되었습니다. 따라서 탐지 없이 로그 파일을 수정, 삭제 또는 CloudTrail 위조하는 것은 계산상 불가능합니다.
AU-9	정보 시스템은 감사 정보 및 감사 도구를 무단 액세스, 수정 및 삭제로부터 보호합니다.	cloudwatch-log-group-encrypted	저장된 민감한 데이터를 보호하려면 Amazon CloudWatch Log Groups에 암호화가 활성화되어 있는지 확인하십시오.
AU-11	조직은 보안 사고 after-the-fact 조사를 지원하고 규제 및 조직의 정보 보존 요구 사항을 충족하기 위해 최소 90일 동안 감사 기록을 보관합니다.	cw-loggroup-retention-period-체크	문제 해결 및 포렌식 조사에 도움이 되도록 로그 그룹에 대한 이벤트 로그 데이터를 최소 기간 동안 유지하세요. 사용 가능한 과거 이벤트 로그 데이터가 부족하면 잠재적으로 악의적인 이벤트를 재구성하고 식별하기가 어렵습니다.
AU-12(a)(c)	정보 시스템: a. 감사 기능이 배포된/사용 가능한 모든 정보 시스템 및 네트워크 구성 요소에서 AU-2 a.에 정의된 감사 가능한 이벤트에 대한 감사 레코드 생성 기능을 제공합니다. c. AU-3에 정의된 내용과 함께 AU-2 d에 정의된 이벤트에 대한 감사 기록을 생성합니다.	codebuild-project-logging-enabled	빌드 출력 로그가 Amazon CloudWatch 또는 Amazon Simple Storage Service (Amazon S3) 로 전송되도록 AWS CodeBuild 프로젝트 로깅이 활성화되어 있는지 확인하십시오. 빌드 출력 로그는 빌드 프로젝트에 관한 자세한 정보를 제공합니다.
AU-12(a)(c)	정보 시스템: a. 감사 기능이 배포된/사용 가능한 모든 정보 시스템 및 네트워크 구성 요소에서 AU-2 a.에 정의된 감사 가능한 이벤트에 대한 감사 레코드 생성 기능을 제공합니다. c. AU-3에 정의된 내용과 함께 AU-2 d에 정의된 이벤트에 대한 감사 기록을 생성합니다.	multi-region-cloudtrail-enabled	AWS CloudTrail AWS 관리 콘솔 작업 및 API 호출을 기록합니다. 전화를 건 사용자 및 계정 AWS, 호출이 이루어진 소스 IP 주소, 호출이 발생한 시간을 식별할 수 있습니다. CloudTrail MULTI_REGION_CLOUD_TRAIL_ENABLED가 활성화된 경우 모든 AWS 지역의 로그 파일을 S3 버킷으로 전송합니다. 또한 새 지역을 AWS 시작하면 새 지역에 동일한 트레일이 생성됩니다. CloudTrail 따라서 별도의 조치를 취하지 않아도 새 리전의 API 활동이 포함된 로그 파일을 받게 됩니다.
AU-12(a)(c)	정보 시스템: a. 감사 기능이 배포된/사용 가능한 모든 정보 시스템 및 네트워크 구성 요소에서 AU-2 a.에 정의된 감사 가능한 이벤트에 대한 감사 레코드 생성 기능을 제공합니다. c. AU-3에 정의된 내용과 함께 AU-2 d에 정의된 이벤트에 대한 감사 기록을 생성합니다.	rds-logging-enabled	환경 내에서 로깅 및 모니터링에 도움이 되도록 Amazon Relational Database Service(RDS) 로깅이 활성화되어 있는지 확인합니다. Amazon RDS 로깅을 사용하면 연결, 연결 끊김, 쿼리 또는 쿼리된 테이블과 같은 이벤트를 캡처할 수 있습니다.
AU-12(a)(c)	정보 시스템: a. 감사 기능이 배포된/사용 가능한 모든 정보 시스템 및 네트워크 구성 요소에서 AU-2 a.에 정의된 감사 가능한 이벤트에 대한 감사 레코드 생성 기능을 제공합니다. c. AU-3에 정의된 내용과 함께 AU-2 d에 정의된 이벤트에 대한 감사 기록을 생성합니다.	wafv2-logging-enabled	환경 내에서 로깅 및 모니터링을 지원하려면 지역 및 글로벌 웹 ACL에서 AWS WAF (V2) 로깅을 활성화하십시오. AWS WAF 로깅은 웹 ACL에서 분석된 트래픽에 대한 자세한 정보를 제공합니다. 로그에는 AWS WAF가 AWS 리소스로부터 요청을 받은 시간, 요청에 대한 정보, 각 요청이 일치하는 규칙에 대한 조치가 기록됩니다.
AU-12(a)(c)	정보 시스템: a. 감사 기능이 배포된/사용 가능한 모든 정보 시스템 및 네트워크 구성 요소에서 AU-2 a.에 정의된 감사 가능한 이벤트에 대한 감사 레코드 생성 기능을 제공합니다. c. AU-3에 정의된 내용과 함께 AU-2 d에 정의된 이벤트에 대한 감사 기록을 생성합니다.	api-gw-execution-logging-enabled	API Gateway 로깅에는 API에 액세스한 사용자 및 액세스 방식에 관한 세부 정보 보기가 표시됩니다. 이러한 인사이트를 통해 사용자 활동을 파악할 수 있습니다.
AU-12(a)(c)	정보 시스템: a. 감사 기능이 배포된/사용 가능한 모든 정보 시스템 및 네트워크 구성 요소에서 AU-2 a.에 정의된 감사 가능한 이벤트에 대한 감사 레코드 생성 기능을 제공합니다. c. AU-3에 정의된 내용과 함께 AU-2 d에 정의된 이벤트에 대한 감사 기록을 생성합니다.	cloud-trail-cloud-watch-로그 활성화됨	CloudWatch Amazon을 사용하여 로그 이벤트 활동을 중앙에서 수집하고 관리할 수 있습니다. AWS CloudTrail 데이터를 포함하면 사용자 내의 API 호출 활동에 대한 세부 정보가 제공됩니다. AWS 계정
AU-12(a)(c)	정보 시스템: a. 감사 기능이 배포된/사용 가능한 모든 정보 시스템 및 네트워크 구성 요소에서 AU-2 a.에 정의된 감사 가능한 이벤트에 대한 감사 레코드 생성 기능을 제공합니다. c. AU-3에 정의된 내용과 함께 AU-2 d에 정의된 이벤트에 대한 감사 기록을 생성합니다.	cloudtrail-enabled	AWS CloudTrail AWS 관리 콘솔 작업 및 API 호출을 기록하여 부인 방지에 도움이 될 수 있습니다. 사용자와 AWS 서비스를 AWS 계정 호출한 사용자, 호출이 생성된 소스 IP 주소, 통화 시간을 식별할 수 있습니다. 캡처된 데이터의 세부 정보는 AWS CloudTrail 레코드 컨텐츠에서 볼 수 있습니다.
AU-12(a)(c)	정보 시스템: a. 감사 기능이 배포된/사용 가능한 모든 정보 시스템 및 네트워크 구성 요소에서 AU-2 a.에 정의된 감사 가능한 이벤트에 대한 감사 레코드 생성 기능을 제공합니다. c. AU-3에 정의된 내용과 함께 AU-2 d에 정의된 이벤트에 대한 감사 기록을 생성합니다.	cloudtrail-s3-dataevents-enabled	Amazon Simple Storage Service(S3) 데이터 이벤트를 수집하면 모든 변칙적 활동을 탐지하는 데 도움이 됩니다. 세부 AWS 계정 정보에는 Amazon S3 버킷에 액세스한 정보, IP 주소, 이벤트 시간이 포함됩니다.
AU-12(a)(c)	정보 시스템: a. 감사 기능이 배포된/사용 가능한 모든 정보 시스템 및 네트워크 구성 요소에서 AU-2 a.에 정의된 감사 가능한 이벤트에 대한 감사 레코드 생성 기능을 제공합니다. c. AU-3에 정의된 내용과 함께 AU-2 d에 정의된 이벤트에 대한 감사 기록을 생성합니다.	elb-logging-enabled	Elastic Load Balancing 활동은 환경 내 통신의 중심 지점입니다. ELB 로깅이 활성화되었는지 확인합니다. 수집된 데이터는 ELB로 전송된 요청에 관한 자세한 정보를 제공합니다. 각 로그에는 요청을 받은 시간, 클라이언트의 IP 주소, 지연 시간, 요청 경로 및 서버 응답과 같은 정보가 포함되어 있습니다.
AU-12(a)(c)	정보 시스템: a. 감사 기능이 배포된/사용 가능한 모든 정보 시스템 및 네트워크 구성 요소에서 AU-2 a.에 정의된 감사 가능한 이벤트에 대한 감사 레코드 생성 기능을 제공합니다. c. AU-3에 정의된 내용과 함께 AU-2 d에 정의된 이벤트에 대한 감사 기록을 생성합니다.	redshift-cluster-configuration-check	저장 데이터를 보호하기 위해 Amazon Redshift 클러스터에 대해 암호화가 활성화되어 있는지 확인합니다. 또한 필수 구성이 Amazon Redshift 클러스터에 배포되었는지 확인해야 합니다. 데이터베이스의 연결 및 사용자 활동에 관한 정보를 제공하려면 감사 로깅을 활성화해야 합니다. 이 규칙을 사용하려면 clusterDbEncrypted (구성 기본값: TRUE) 에 값을 설정하고 로깅을 활성화해야 합니다 (구성 기본값: TRUE). 실제 값은 조직의 정책을 반영해야 합니다.
AU-12(a)(c)	정보 시스템: a. 감사 기능이 배포된/사용 가능한 모든 정보 시스템 및 네트워크 구성 요소에서 AU-2 a.에 정의된 감사 가능한 이벤트에 대한 감사 레코드 생성 기능을 제공합니다. c. AU-3에 정의된 내용과 함께 AU-2 d에 정의된 이벤트에 대한 감사 기록을 생성합니다.	s3- bucket-logging-enabled	Amazon Simple Storage Service(S3) 서버 액세스 로깅은 네트워크에 잠재적인 사이버 보안 이벤트가 있는지 모니터링하는 방법을 제공합니다. 이벤트는 Amazon S3 버킷에 대해 이루어진 요청에 대한 상세한 레코드를 캡처하여 모니터링됩니다. 각 액세스 로그 레코드는 단일 액세스 요청에 관한 세부 정보를 제공합니다. 세부 정보에는 요청자, 버킷 이름, 요청 시간, 요청 작업, 응답 상태, 오류 코드(해당하는 경우)가 포함됩니다.
AU-12(a)(c)	정보 시스템: a. 감사 기능이 배포된/사용 가능한 모든 정보 시스템 및 네트워크 구성 요소에서 AU-2 a.에 정의된 감사 가능한 이벤트에 대한 감사 레코드 생성 기능을 제공합니다. c. AU-3에 정의된 내용과 함께 AU-2 d에 정의된 이벤트에 대한 감사 기록을 생성합니다.	vpc-flow-logs-enabled	VPC 흐름 로그는 Amazon Virtual Private Cloud(VPC)의 네트워크 인터페이스에서 들어오고 나가는 IP 트래픽에 관한 정보의 자세한 기록을 제공합니다. 기본적으로 이 흐름 로그 레코드에는 소스, 대상, 프로토콜 등 IP 흐름의 다양한 구성 요소에 대한 값이 포함됩니다.
CA-7(a)(b)	조직 a: 지속적 모니터링 전략을 개발하고 다음을 포함하는 지속적 모니터링 프로그램을 구현합니다. 모니터링할 [할당: 조직 정의 지표] 설정. 조직 b: 모니터링을 위한 [할당: 조직 정의 주파수] 설정 및 이러한 모니터링을 지원하는 평가를 위한 [할당: 조직 정의 빈도] 설정	lambda-concurrency-check	이 규칙은 Lambda 함수의 동시성 상한 및 하한이 설정되도록 합니다. 이는 특정 시점에 함수가 처리하는 요청 수에 대한 기준 설정에 도움이 될 수 있습니다.
CA-7(a)(b)	조직 a: 지속적 모니터링 전략을 개발하고 다음을 포함하는 지속적 모니터링 프로그램을 구현합니다. 모니터링할 [할당: 조직 정의 지표] 설정. 조직 b: 모니터링을 위한 [할당: 조직 정의 주파수] 설정 및 이러한 모니터링을 지원하는 평가를 위한 [할당: 조직 정의 빈도] 설정	lambda-dlq-check	이 규칙을 활성화하면 함수가 실패했을 때 Amazon Simple Queue Service(Amazon SQS) 또는 Amazon Simple Notification Service(SNS)를 통해 담당 직원에게 알리는 데 도움이 됩니다.
CA-7(a)(b)	조직 a: 지속적 모니터링 전략을 개발하고 다음을 포함하는 지속적 모니터링 프로그램을 구현합니다. 모니터링할 [할당: 조직 정의 지표] 설정. 조직 b: 모니터링을 위한 [할당: 조직 정의 주파수] 설정 및 이러한 모니터링을 지원하는 평가를 위한 [할당: 조직 정의 빈도] 설정	multi-region-cloudtrail-enabled	AWS CloudTrail AWS 관리 콘솔 작업 및 API 호출을 기록합니다. 전화를 건 사용자 및 계정 AWS, 호출이 이루어진 소스 IP 주소, 호출이 발생한 시간을 식별할 수 있습니다. CloudTrail MULTI_REGION_CLOUD_TRAIL_ENABLED가 활성화된 경우 모든 AWS 지역의 로그 파일을 S3 버킷으로 전송합니다. 또한 새 지역을 AWS 시작하면 새 지역에 동일한 트레일이 생성됩니다. CloudTrail 따라서 별도의 조치를 취하지 않아도 새 리전의 API 활동이 포함된 로그 파일을 받게 됩니다.
CA-7(a)(b)	조직 a: 지속적 모니터링 전략을 개발하고 다음을 포함하는 지속적 모니터링 프로그램을 구현합니다. 모니터링할 [할당: 조직 정의 지표] 설정. 조직 b: 모니터링을 위한 [할당: 조직 정의 주파수] 설정 및 이러한 모니터링을 지원하는 평가를 위한 [할당: 조직 정의 빈도] 설정	rds-enhanced-monitoring-enabled	Amazon Relational Database Service(RDS)를 활성화함으로써 Amazon RDS 가용성을 모니터링하는 데 도움이 됩니다. 이를 통해 Amazon RDS 데이터베이스 인스턴스의 상태를 자세히 파악할 수 있습니다. Amazon RDS 스토리지가 두 개 이상의 기본 물리적 디바이스를 사용하는 경우, 향상된 모니터링은 각 디바이스에 대한 데이터를 수집합니다. 또한 Amazon RDS 데이터베이스 인스턴스가 다중 AZ 배포에서 실행되는 경우, 보조 호스트의 각 디바이스에 대한 데이터와 보조 호스트 지표가 수집됩니다.
CA-7(a)(b)	조직 a: 지속적 모니터링 전략을 개발하고 다음을 포함하는 지속적 모니터링 프로그램을 구현합니다. 모니터링할 [할당: 조직 정의 지표] 설정. 조직 b: 모니터링을 위한 [할당: 조직 정의 주파수] 설정 및 이러한 모니터링을 지원하는 평가를 위한 [할당: 조직 정의 빈도] 설정	securityhub-enabled	AWS Security Hub는 승인되지 않은 사용자, 연결, 장치 및 소프트웨어를 모니터링하는 데 도움이 됩니다. AWS Security Hub는 여러 서비스의 보안 경고 또는 조사 결과를 집계하고 구성하며 우선 순위를 지정합니다. AWS 이러한 서비스로는 Amazon Security Hub, Amazon Inspector, Amazon AWS Macie, Identity 및 Access Management (IAM) 액세스 분석기, 방화벽 관리자, 파트너 솔루션 AWS 등이 있습니다. AWS
CA-7(a)(b)	조직 a: 지속적 모니터링 전략을 개발하고 다음을 포함하는 지속적 모니터링 프로그램을 구현합니다. 모니터링할 [할당: 조직 정의 지표] 설정. 조직 b: 모니터링을 위한 [할당: 조직 정의 주파수] 설정 및 이러한 모니터링을 지원하는 평가를 위한 [할당: 조직 정의 빈도] 설정	autoscaling-group-elb-healthcheck-필수	Amazon Elastic Compute Cloud(Amazon EC2) Auto Scaling 그룹의 Elastic Load Balancer(ELB) 상태 확인은 적절한 용량과 가용성의 유지 관리를 지원합니다. 로드 밸런서가 정기적으로 ping을 전송하거나, 연결을 시도하거나, 요청을 전송하여 Auto Scaling 그룹의 Amazon EC2 인스턴스 상태를 테스트합니다. 인스턴스가 다시 보고하지 않는 경우, 트래픽은 새 Amazon EC2 인스턴스로 전송됩니다.
CA-7(a)(b)	조직 a: 지속적 모니터링 전략을 개발하고 다음을 포함하는 지속적 모니터링 프로그램을 구현합니다. 모니터링할 [할당: 조직 정의 지표] 설정. 조직 b: 모니터링을 위한 [할당: 조직 정의 주파수] 설정 및 이러한 모니터링을 지원하는 평가를 위한 [할당: 조직 정의 빈도] 설정	beanstalk-enhanced-health-reporting-활성화됨	AWS Elastic Beanstalk의 향상된 상태 보고 기능을 사용하면 기본 인프라의 상태 변화에 보다 신속하게 대응할 수 있습니다. 이러한 변경으로 인해 애플리케이션 가용성이 떨어질 수 있습니다. Elastic Beanstalk 강화된 상태 보고는 식별된 문제의 심각도를 판단하고 조사할 가능한 원인을 식별할 수 있는 상태 설명자를 제공합니다.
CA-7(a)(b)	조직 a: 지속적 모니터링 전략을 개발하고 다음을 포함하는 지속적 모니터링 프로그램을 구현합니다. 모니터링할 [할당: 조직 정의 지표] 설정. 조직 b: 모니터링을 위한 [할당: 조직 정의 주파수] 설정 및 이러한 모니터링을 지원하는 평가를 위한 [할당: 조직 정의 빈도] 설정	cloudtrail-enabled	AWS CloudTrail AWS 관리 콘솔 작업 및 API 호출을 기록하여 부인 방지에 도움이 될 수 있습니다. 사용자와 AWS 서비스를 AWS 계정 호출한 사용자, 호출이 생성된 소스 IP 주소, 통화 시간을 식별할 수 있습니다. 캡처된 데이터의 세부 정보는 AWS CloudTrail 레코드 컨텐츠에서 볼 수 있습니다.
CA-7(a)(b)	조직 a: 지속적 모니터링 전략을 개발하고 다음을 포함하는 지속적 모니터링 프로그램을 구현합니다. 모니터링할 [할당: 조직 정의 지표] 설정. 조직 b: 모니터링을 위한 [할당: 조직 정의 주파수] 설정 및 이러한 모니터링을 지원하는 평가를 위한 [할당: 조직 정의 빈도] 설정	cloudtrail-s3-dataevents-enabled	Amazon Simple Storage Service(S3) 데이터 이벤트를 수집하면 모든 변칙적 활동을 탐지하는 데 도움이 됩니다. 세부 AWS 계정 정보에는 Amazon S3 버킷에 액세스한 정보, IP 주소, 이벤트 시간이 포함됩니다.
CA-7(a)(b)	조직 a: 지속적 모니터링 전략을 개발하고 다음을 포함하는 지속적 모니터링 프로그램을 구현합니다. 모니터링할 [할당: 조직 정의 지표] 설정. 조직 b: 모니터링을 위한 [할당: 조직 정의 주파수] 설정 및 이러한 모니터링을 지원하는 평가를 위한 [할당: 조직 정의 빈도] 설정	cloudwatch-alarm-action-check	Amazon은 지표가 지정된 평가 기간 수의 임계값을 위반할 경우 CloudWatch 경보를 보냅니다. 이러한 경보는 여러 기간에 대해 지정된 임계값과 지표 또는 표현식의 값을 비교하여 하나 이상의 작업을 수행합니다. 이 규칙에는 alarmActionRequired (구성 기본값: True), insufficientDataAction 필수 (구성 기본값: True), ( okActionRequired 구성 기본값: False) 값이 필요합니다. 실제 값은 사용자 환경의 경보 동작을 반영해야 합니다.
CA-7(a)(b)	조직 a: 지속적 모니터링 전략을 개발하고 다음을 포함하는 지속적 모니터링 프로그램을 구현합니다. 모니터링할 [할당: 조직 정의 지표] 설정. 조직 b: 모니터링을 위한 [할당: 조직 정의 주파수] 설정 및 이러한 모니터링을 지원하는 평가를 위한 [할당: 조직 정의 빈도] 설정	dynamodb-throughput-limit-check	Amazon DynamoDB 테이블에서 프로비저닝된 처리 용량을 확인하려면 이 규칙을 활성화하세요. 이는 각 테이블에서 지원할 수 있는 읽기 및 쓰기 활동의 양입니다. DynamoDB는 이 정보를 사용하여 처리량 요구 사항에 맞는 충분한 시스템 리소스를 예약합니다. 이 규칙은 처리량이 고객 계정의 최대 한도에 도달하면 알림을 생성합니다. 이 규칙을 사용하면 AccountRCU (ThresholdPercentage 구성 기본값: 80) 및 AccountWCU (ThresholdPercentage 구성 기본값: 80) 매개변수를 선택적으로 설정할 수 있습니다. 실제 값은 조직의 정책을 반영해야 합니다.
CA-7(a)(b)	조직 a: 지속적 모니터링 전략을 개발하고 다음을 포함하는 지속적 모니터링 프로그램을 구현합니다. 모니터링할 [할당: 조직 정의 지표] 설정. 조직 b: 모니터링을 위한 [할당: 조직 정의 주파수] 설정 및 이러한 모니터링을 지원하는 평가를 위한 [할당: 조직 정의 빈도] 설정	ec2- instance-detailed-monitoring-enabled	이 규칙을 활성화하면 Amazon EC2 콘솔에서 인스턴스에 대한 1분 모니터링 그래프를 표시하는 Amazon Elastic Compute Cloud(Amazon EC2) 인스턴스 모니터링을 개선하는 데 도움이 됩니다.
CA-7(a)(b)	조직 a: 지속적 모니터링 전략을 개발하고 다음을 포함하는 지속적 모니터링 프로그램을 구현합니다. 모니터링할 [할당: 조직 정의 지표] 설정. 조직 b: 모니터링을 위한 [할당: 조직 정의 주파수] 설정 및 이러한 모니터링을 지원하는 평가를 위한 [할당: 조직 정의 빈도] 설정	guardduty-enabled-centralized	Amazon은 위협 인텔리전스 피드를 사용하여 잠재적인 사이버 보안 이벤트를 모니터링하고 탐지하는 데 도움을 줄 GuardDuty 수 있습니다. 여기에는 클라우드 환경 내에서 예상치 못한 무단 악의적인 활동을 식별하기 위한 악성 IP 및 기계 학습 목록이 포함됩니다. AWS
CA-7(a)(b)	조직 a: 지속적 모니터링 전략을 개발하고 다음을 포함하는 지속적 모니터링 프로그램을 구현합니다. 모니터링할 [할당: 조직 정의 지표] 설정. 조직 b: 모니터링을 위한 [할당: 조직 정의 주파수] 설정 및 이러한 모니터링을 지원하는 평가를 위한 [할당: 조직 정의 빈도] 설정	redshift-cluster-configuration-check	저장 데이터를 보호하기 위해 Amazon Redshift 클러스터에 대해 암호화가 활성화되어 있는지 확인합니다. 또한 필수 구성이 Amazon Redshift 클러스터에 배포되었는지 확인해야 합니다. 데이터베이스의 연결 및 사용자 활동에 관한 정보를 제공하려면 감사 로깅을 활성화해야 합니다. 이 규칙을 사용하려면 clusterDbEncrypted (구성 기본값: TRUE) 에 값을 설정하고 로깅을 활성화해야 합니다 (구성 기본값: TRUE). 실제 값은 조직의 정책을 반영해야 합니다.
CM-2	조직은 구성 제어 하에 정보 시스템의 현재 기본 구성을 개발, 문서화 및 유지 관리합니다.	alb-waf-enabled	웹 애플리케이션을 보호하는 데 도움이 되도록 엘라스틱 로드 밸런서 (ELB) 에서 AWS WAF를 활성화해야 합니다. WAF는 일반적인 웹 익스플로잇으로부터 웹 애플리케이션 또는 API를 보호하는 데 도움이 됩니다. 이러한 웹 익스플로잇은 사용자 환경에서 가용성에 영향을 미치거나, 보안을 손상시키거나, 리소스를 과도하게 소비할 수 있습니다.
CM-2	조직은 구성 제어 하에 정보 시스템의 현재 기본 구성을 개발, 문서화 및 유지 관리합니다.	api-gw-associated-with-와프	AWS WAF를 사용하면 정의한 사용자 지정 가능한 웹 보안 규칙 및 조건에 따라 웹 요청을 허용, 차단 또는 계산하는 규칙 세트 (웹 액세스 제어 목록 (웹 ACL)) 를 구성할 수 있습니다. 악의적인 공격으로부터 보호하기 위해 Amazon API Gateway 스테이지가 WAF 웹 ACL과 연결되어 있도록 합니다.
CM-2	조직은 구성 제어 하에 정보 시스템의 현재 기본 구성을 개발, 문서화 및 유지 관리합니다.	autoscaling-launch-config-public-ip-disabled	퍼블릭 IP 주소로 네트워크 인터페이스를 구성하면 인터넷에서 해당 네트워크 인터페이스에 연결된 리소스에 도달할 수 있습니다. EC2 리소스에는 공개적으로 액세스할 수 없어야 합니다. 애플리케이션이나 서버에 의도하지 않은 액세스가 허용될 수 있기 때문입니다.
CM-2	조직은 구성 제어 하에 정보 시스템의 현재 기본 구성을 개발, 문서화 및 유지 관리합니다.	dms-replication-not-public	DMS 복제 인스턴스에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드에 대한 액세스를 관리합니다. DMS 복제 인스턴스에는 민감한 정보가 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
CM-2	조직은 구성 제어 하에 정보 시스템의 현재 기본 구성을 개발, 문서화 및 유지 관리합니다.	ebs-snapshot-public-restorable-check	EBS 스냅샷을 공개적으로 복원할 수 없도록 하여 AWS 클라우드에 대한 액세스를 관리합니다. EBS 볼륨 스냅샷에는 민감한 정보가 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
CM-2	조직은 구성 제어 하에 정보 시스템의 현재 기본 구성을 개발, 문서화 및 유지 관리합니다.	ec2- instance-no-public-ip	Amazon Elastic Compute AWS Cloud (Amazon EC2) 인스턴스에 공개적으로 액세스할 수 없도록 하여 클라우드에 대한 액세스를 관리합니다. Amazon EC2 인스턴스에는 민감한 정보가 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
CM-2	조직은 구성 제어 하에 정보 시스템의 현재 기본 구성을 개발, 문서화 및 유지 관리합니다.	elasticsearch-in-vpc-only	Amazon OpenSearch 서비스 (OpenSearch 서비스) 도메인이 Amazon VPC (가상 사설 클라우드) 내에 있는지 확인하여 클라우드에 대한 액세스를 관리합니다. AWS Amazon VPC 내의 OpenSearch 서비스 도메인을 사용하면 인터넷 게이트웨이, NAT 디바이스 또는 VPN 연결 없이 Amazon VPC 내의 서비스와 다른 OpenSearch 서비스 간에 안전하게 통신할 수 있습니다.
CM-2	조직은 구성 제어 하에 정보 시스템의 현재 기본 구성을 개발, 문서화 및 유지 관리합니다.	emr-master-no-public-ip	Amazon EMR 클러스터 마스터 노드에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드에 대한 액세스를 관리합니다. Amazon EMR 클러스터 프라이머리 노드에는 민감한 정보가 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
CM-2	조직은 구성 제어 하에 정보 시스템의 현재 기본 구성을 개발, 문서화 및 유지 관리합니다.	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) 보안 그룹은 리소스에 대한 수신 및 송신 네트워크 트래픽의 상태 기반 필터링을 제공하여 네트워크 액세스를 관리하는 데 도움을 줄 수 있습니다. AWS 리소스의 0.0.0.0/0에서 포트 22로 수신(또는 원격) 트래픽을 허용하지 않으면 원격 액세스를 제한하는 데 도움이 됩니다.
CM-2	조직은 구성 제어 하에 정보 시스템의 현재 기본 구성을 개발, 문서화 및 유지 관리합니다.	ec2- instances-in-vpc	Amazon Elastic Compute Cloud(Amazon EC2) 인스턴스를 Amazon Virtual Private Cloud(VPC) 내에 배포하면 인터넷 게이트웨이, NAT 디바이스 또는 VPN 연결 없이 Amazon VPC 내부에서 인스턴스와 다른 서비스 간에 보안 통신이 가능합니다. 모든 트래픽은 AWS 클라우드 내에서 안전하게 유지됩니다. 논리적 격리로 인해 퍼블릭 엔드포인트를 사용할 때에 비해, Amazon VPC에 상주하는 도메인에는 보안 계층이 하나 추가됩니다. Amazon EC2 인스턴스를 Amazon VPC에 할당하여 액세스를 적절하게 관리합니다.
CM-2	조직은 구성 제어 하에 정보 시스템의 현재 기본 구성을 개발, 문서화 및 유지 관리합니다.	lambda-function-public-access-금지됨	AWS Lambda 함수에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 퍼블릭 액세스는 잠재적으로 리소스 가용성을 저하시킬 수 있습니다.
CM-2	조직은 구성 제어 하에 정보 시스템의 현재 기본 구성을 개발, 문서화 및 유지 관리합니다.	lambda-inside-vpc	Amazon VPC 내의 함수와 다른 서비스 간의 안전한 통신을 위해 Amazon VPC (가상 사설 클라우드) 내에 Lambda 함수를 AWS 배포하십시오. 이 구성을 사용하면 인터넷 게이트웨이, NAT 디바이스 또는 VPN 연결이 필요하지 않습니다. 모든 트래픽은 클라우드 내에서 안전하게 유지됩니다. AWS 논리적 격리로 인해 퍼블릭 엔드포인트를 사용할 때에 비해, Amazon VPC에 상주하는 도메인에는 보안 계층이 하나 추가됩니다. 액세스를 적절하게 관리하려면 AWS Lambda 함수를 VPC에 할당해야 합니다.
CM-2	조직은 구성 제어 하에 정보 시스템의 현재 기본 구성을 개발, 문서화 및 유지 관리합니다.	no-unrestricted-route-to-igw	Amazon EC2 라우팅 테이블에는 인터넷 게이트웨이에 대한 무제한 경로가 없어야 합니다. Amazon VPC 내 워크로드의 인터넷 액세스를 제거하거나 제한하면 환경 내에서 의도하지 않은 액세스를 줄일 수 있습니다.
CM-2	조직은 구성 제어 하에 정보 시스템의 현재 기본 구성을 개발, 문서화 및 유지 관리합니다.	rds-instance-public-access-체크	Amazon RDatabase Service (Amazon RDS) 인스턴스가 퍼블릭되지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. Amazon RDS 데이터베이스 인스턴스에는 민감한 정보와 원칙이 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
CM-2	조직은 구성 제어 하에 정보 시스템의 현재 기본 구성을 개발, 문서화 및 유지 관리합니다.	rds-snapshots-public-prohibited	Amazon RDatabase Service (Amazon RDS) 인스턴스가 퍼블릭되지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. Amazon RDS 데이터베이스 인스턴스에는 민감한 정보와 원칙이 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
CM-2	조직은 구성 제어 하에 정보 시스템의 현재 기본 구성을 개발, 문서화 및 유지 관리합니다.	redshift-cluster-public-access-check	Amazon Redshift 클러스터가 퍼블릭되지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. Amazon Redshift 클러스터에는 민감한 정보와 원칙이 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
CM-2	조직은 구성 제어 하에 정보 시스템의 현재 기본 구성을 개발, 문서화 및 유지 관리합니다.	s3- account-level-public-access 블록 주기적	Amazon Simple Storage Service (Amazon S3) 버킷에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 이 규칙은 퍼블릭 액세스를 방지하여 권한이 없는 원격 사용자로부터 민감한 데이터를 안전하게 보호하는 데 도움이 됩니다. 이 규칙을 사용하면 (구성 기본값: True), ignorePublicAcls (구성 기본값: True), ( blockPublicPolicy 구성 기본값: True) 및 매개변수 restrictPublicBuckets ( blockPublicAcls 구성 기본값: True) 를 선택적으로 설정할 수 있습니다. 실제 값은 조직의 정책을 반영해야 합니다.
CM-2	조직은 구성 제어 하에 정보 시스템의 현재 기본 구성을 개발, 문서화 및 유지 관리합니다.	s3- bucket-public-read-prohibited	승인된 사용자, 프로세스 및 디바이스만 Amazon Simple Storage Service (Amazon S3) 버킷에 액세스할 수 있도록 허용하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 액세스 관리는 데이터 분류와 일치해야 합니다.
CM-2	조직은 구성 제어 하에 정보 시스템의 현재 기본 구성을 개발, 문서화 및 유지 관리합니다.	s3- bucket-public-write-prohibited	승인된 사용자, 프로세스 및 디바이스만 Amazon Simple Storage Service (Amazon S3) 버킷에 액세스할 수 있도록 허용하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 액세스 관리는 데이터 분류와 일치해야 합니다.
CM-2	조직은 구성 제어 하에 정보 시스템의 현재 기본 구성을 개발, 문서화 및 유지 관리합니다.	sagemaker-notebook-no-direct-인터넷 액세스	Amazon SageMaker 노트북에서 직접 인터넷 액세스를 허용하지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 직접 인터넷 액세스를 방지함으로써 권한이 없는 사용자가 민감한 데이터에 액세스하는 것을 방지할 수 있습니다.
CM-2	조직은 구성 제어 하에 정보 시스템의 현재 기본 구성을 개발, 문서화 및 유지 관리합니다.	vpc-default-security-group-닫혔습니다.	Amazon Elastic Compute Cloud (Amazon EC2) 보안 그룹은 리소스에 대한 수신 및 송신 네트워크 트래픽의 상태 기반 필터링을 제공하여 네트워크 액세스를 관리하는 데 도움을 줄 수 있습니다. AWS 기본 보안 그룹의 모든 트래픽을 제한하면 리소스에 대한 원격 액세스를 제한하는 데 도움이 됩니다. AWS
CM-2	조직은 구성 제어 하에 정보 시스템의 현재 기본 구성을 개발, 문서화 및 유지 관리합니다.	vpc-sg-open-only-to-authorized-ports	Amazon Elastic Compute AWS Cloud (Amazon EC2) 보안 그룹에서 공통 포트를 제한하여 클라우드의 리소스에 대한 액세스를 관리합니다. 포트 액세스를 신뢰할 수 있는 소스로 제한하지 않으면 시스템의 가용성, 무결성 및 기밀성에 대한 공격이 발생할 수 있습니다. 인터넷(0.0.0.0/0)에서 보안 그룹 내 리소스에 대한 액세스를 제한함으로써 내부 시스템에 대한 원격 액세스를 제어할 수 있습니다.
CM-2	조직은 구성 제어 하에 정보 시스템의 현재 기본 구성을 개발, 문서화 및 유지 관리합니다.	ec2- -매니저 instance-managed-by-systems	Systems AWS Manager를 사용하여 Amazon Elastic Compute Cloud (Amazon EC2) 인스턴스를 관리하면 조직 내 소프트웨어 플랫폼 및 애플리케이션의 인벤토리를 작성할 수 있습니다. AWS Systems Manager를 사용하여 자세한 시스템 구성, 운영 체제 패치 수준, 서비스 이름 및 유형, 소프트웨어 설치, 애플리케이션 이름, 게시자 및 버전, 사용자 환경에 대한 기타 세부 정보를 제공할 수 있습니다.
CM-2	조직은 구성 제어 하에 정보 시스템의 현재 기본 구성을 개발, 문서화 및 유지 관리합니다.	ec2- -check managedinstance-association-compliance-status	AWS Systems Manager 연결을 사용하면 조직 내 소프트웨어 플랫폼 및 애플리케이션의 인벤토리를 관리하는 데 도움이 됩니다. AWS Systems Manager는 관리형 인스턴스에 구성 상태를 할당하고 운영 체제 패치 수준, 소프트웨어 설치, 애플리케이션 구성 및 환경에 대한 기타 세부 정보의 기준을 설정할 수 있도록 합니다.
CM-2	조직은 구성 제어 하에 정보 시스템의 현재 기본 구성을 개발, 문서화 및 유지 관리합니다.	ec2-stopped-instance	이 규칙을 활성화하면 조직의 표준에 따라 Amazon EC2 인스턴스가 허용된 일수를 초과하여 중지되었는지 확인하여 Amazon Elastic Compute Cloud(Amazon EC2) 인스턴스의 기본 구성을 쉽게 수행할 수 있습니다.
CM-2	조직은 구성 제어 하에 정보 시스템의 현재 기본 구성을 개발, 문서화 및 유지 관리합니다.	ec2- volume-inuse-check	이 규칙은 인스턴스 종료 시 Amazon Elastic Compute Cloud(Amazon EC2) 인스턴스에 연결된 Amazon Elastic Block Store 볼륨이 삭제 대상으로 표시되도록 합니다. 연결된 인스턴스가 종료될 때 Amazon EBS 볼륨이 삭제되지 않으면 최소 기능 개념을 위반할 수 있습니다.
CM-2	조직은 구성 제어 하에 정보 시스템의 현재 기본 구성을 개발, 문서화 및 유지 관리합니다.	elb-deletion-protection-enabled	이 규칙은 Elastic Load Balancing이 삭제 방지 기능을 사용하도록 합니다. 이 기능을 사용하면 로드 밸런서가 실수로 또는 악의적으로 삭제되어 애플리케이션의 가용성이 손실되는 것을 방지할 수 있습니다.
CM-2	조직은 구성 제어 하에 정보 시스템의 현재 기본 구성을 개발, 문서화 및 유지 관리합니다.	restricted-common-ports	Amazon Elastic Compute AWS Cloud (Amazon EC2) 보안 그룹에서 공통 포트를 제한하여 클라우드의 리소스에 대한 액세스를 관리합니다. 포트 액세스를 신뢰할 수 있는 소스로 제한하지 않으면 시스템의 가용성, 무결성 및 기밀성에 대한 공격이 발생할 수 있습니다. 이 규칙을 사용하면 blockedPort1 ~ blockedPort5 파라미터를 선택적으로 설정할 수 있습니다(Config 기본값: 20,21,3389,3306,4333). 실제 값은 조직의 정책을 반영해야 합니다.
CM-2	조직은 구성 제어 하에 정보 시스템의 현재 기본 구성을 개발, 문서화 및 유지 관리합니다.	s3- - 금지됨 bucket-level-public-access	Amazon Simple Storage Service (Amazon S3) 버킷에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 이 규칙은 버킷 수준에서 퍼블릭 액세스를 차단하여 권한이 없는 원격 사용자로부터 민감한 데이터를 안전하게 보호하는 데 도움이 됩니다.
CM-2	조직은 구성 제어 하에 정보 시스템의 현재 기본 구성을 개발, 문서화 및 유지 관리합니다.	subnet-auto-assign-public-ip-비활성화됨	Amazon VPC (Virtual Private Cloud) 서브넷에 퍼블릭 IP 주소가 자동으로 할당되지 않도록 하여 클라우드에 대한 액세스를 관리합니다. AWS 이 속성이 활성화된 서브넷에서 시작되는 Amazon Elastic Compute Cloud(EC2) 인스턴스에는 기본 네트워크 인터페이스에 할당된 퍼블릭 IP 주소가 있습니다.
CM-7(a)	조직: a. 필수 기능만 제공하도록 정보 시스템을 구성합니다.	ec2- instance-profile-attached	EC2 인스턴스 프로파일은 EC2 인스턴스에 IAM 역할을 전달합니다. 인스턴스 프로파일을 인스턴스에 연결하면 최소 권한 및 권한 관리에 도움이 될 수 있습니다.
CM-7(a)	조직: a. 필수 기능만 제공하도록 정보 시스템을 구성합니다.	ec2- -매니저 instance-managed-by-systems	Systems AWS Manager를 사용하여 Amazon Elastic Compute Cloud (Amazon EC2) 인스턴스를 관리하면 조직 내 소프트웨어 플랫폼 및 애플리케이션의 인벤토리를 작성할 수 있습니다. AWS Systems Manager를 사용하여 자세한 시스템 구성, 운영 체제 패치 수준, 서비스 이름 및 유형, 소프트웨어 설치, 애플리케이션 이름, 게시자 및 버전, 사용자 환경에 대한 기타 세부 정보를 제공할 수 있습니다.
CM-7(a)	조직: a. 필수 기능만 제공하도록 정보 시스템을 구성합니다.	ec2- -check managedinstance-association-compliance-status	AWS Systems Manager 연결을 사용하면 조직 내 소프트웨어 플랫폼 및 애플리케이션의 인벤토리를 관리하는 데 도움이 됩니다. AWS Systems Manager는 관리형 인스턴스에 구성 상태를 할당하고 운영 체제 패치 수준, 소프트웨어 설치, 애플리케이션 구성 및 환경에 대한 기타 세부 정보의 기준을 설정할 수 있도록 합니다.
CM-8(1)	조직은 구성 요소 설치, 제거 및 정보 시스템 업데이트의 필수 부분으로 정보 시스템 구성 요소 인벤토리를 업데이트합니다.	ec2- -manager instance-managed-by-systems	Systems AWS Manager를 사용하여 Amazon Elastic Compute Cloud (Amazon EC2) 인스턴스를 관리하면 조직 내 소프트웨어 플랫폼 및 애플리케이션의 인벤토리를 작성할 수 있습니다. AWS Systems Manager를 사용하여 자세한 시스템 구성, 운영 체제 패치 수준, 서비스 이름 및 유형, 소프트웨어 설치, 애플리케이션 이름, 게시자 및 버전, 사용자 환경에 대한 기타 세부 정보를 제공할 수 있습니다.
CM-8(1)	조직은 구성 요소 설치, 제거 및 정보 시스템 업데이트의 필수 부분으로 정보 시스템 구성 요소 인벤토리를 업데이트합니다.	ec2- -check managedinstance-association-compliance-status	AWS Systems Manager 연결을 사용하면 조직 내 소프트웨어 플랫폼 및 애플리케이션의 인벤토리를 관리하는 데 도움이 됩니다. AWS Systems Manager는 관리형 인스턴스에 구성 상태를 할당하고 운영 체제 패치 수준, 소프트웨어 설치, 애플리케이션 구성 및 환경에 대한 기타 세부 정보의 기준을 설정할 수 있도록 합니다.
CM-8(3)(a)	조직: a. 탐지 시 최대 5분 지연되는 자동 메커니즘을 사용하여 정보 시스템 내에 승인되지 않은 하드웨어, 소프트웨어 및 펌웨어 구성 요소가 있는지 탐지하는 자동 메커니즘을 지속적으로 적용합니다.	ec2- -manager instance-managed-by-systems	Systems AWS Manager를 사용하여 Amazon Elastic Compute Cloud (Amazon EC2) 인스턴스를 관리하면 조직 내 소프트웨어 플랫폼 및 애플리케이션의 인벤토리를 작성할 수 있습니다. AWS Systems Manager를 사용하여 자세한 시스템 구성, 운영 체제 패치 수준, 서비스 이름 및 유형, 소프트웨어 설치, 애플리케이션 이름, 게시자 및 버전, 사용자 환경에 대한 기타 세부 정보를 제공할 수 있습니다.
CM-8(3)(a)	조직: a. 탐지 시 최대 5분 지연되는 자동 메커니즘을 사용하여 정보 시스템 내에 승인되지 않은 하드웨어, 소프트웨어 및 펌웨어 구성 요소가 있는지 탐지하는 자동 메커니즘을 지속적으로 적용합니다.	ec2- -check managedinstance-association-compliance-status	AWS Systems Manager 연결을 사용하면 조직 내 소프트웨어 플랫폼 및 애플리케이션의 인벤토리를 관리하는 데 도움이 됩니다. AWS Systems Manager는 관리형 인스턴스에 구성 상태를 할당하고 운영 체제 패치 수준, 소프트웨어 설치, 애플리케이션 구성 및 환경에 대한 기타 세부 정보의 기준을 설정할 수 있도록 합니다.
CM-8(3)(a)	조직: a. 탐지 시 최대 5분 지연되는 자동 메커니즘을 사용하여 정보 시스템 내에 승인되지 않은 하드웨어, 소프트웨어 및 펌웨어 구성 요소가 있는지 탐지하는 자동 메커니즘을 지속적으로 적용합니다.	ec2- -check managedinstance-patch-compliance-status	이 규칙을 활성화하면 Amazon Elastic Compute Cloud(Amazon EC2) 취약성을 식별하고 문서화하는 데 도움이 됩니다. 이 규칙은 조직의 정책 및 절차에 따라 AWS Systems Manager에서 Amazon EC2 인스턴스 패치 규정 준수 여부를 확인합니다.
CM-8(3)(a)	조직: a. 탐지 시 최대 5분 지연되는 자동 메커니즘을 사용하여 정보 시스템 내에 승인되지 않은 하드웨어, 소프트웨어 및 펌웨어 구성 요소가 있는지 탐지하는 자동 메커니즘을 지속적으로 적용합니다.	guardduty-enabled-centralized	Amazon은 위협 인텔리전스 피드를 사용하여 잠재적인 사이버 보안 이벤트를 모니터링하고 탐지하는 데 도움을 줄 GuardDuty 수 있습니다. 여기에는 클라우드 환경 내에서 예상치 못한 무단 악의적인 활동을 식별하기 위한 악성 IP 및 기계 학습 목록이 포함됩니다. AWS
CP-9(b)	조직: b. 정보 시스템에 포함된 시스템 수준 정보를 백업합니다(매일 증분, 매주 전체).	aurora-resources-protected-by-백업 계획	데이터 백업 프로세스에 도움이 되도록 Amazon Aurora 리소스가 AWS Backup 플랜에 포함되어 있는지 확인하십시오. AWS Backup은 정책 기반 백업 솔루션을 갖춘 완전 관리형 백업 서비스입니다. 이 솔루션을 사용하면 백업 관리를 단순화하고 비즈니스 및 규제 백업 규정 준수 요구 사항을 충족할 수 있습니다.
CP-9(b)	조직: b. 정보 시스템에 포함된 시스템 수준 정보를 백업합니다(매일 증분, 매주 전체).	backup-plan-min-frequency-and-min-retention-check	데이터 백업 프로세스를 지원하려면 AWS 백업 계획이 최소 빈도 및 보존 기간으로 설정되어 있는지 확인하세요. AWS Backup은 정책 기반 백업 솔루션을 갖춘 완전 관리형 백업 서비스입니다. 이 솔루션을 사용하면 백업 관리를 단순화하고 비즈니스 및 규제 백업 규정 준수 요구 사항을 충족할 수 있습니다. 이 규칙을 사용하면 (구성 기본값: 1), requiredFrequencyValue (구성 기본값: 35) 및 ( requiredRetentionDays requiredFrequencyUnit 구성 기본값: 일) 매개변수를 설정할 수 있습니다. 실제 값은 조직의 요구 사항을 반영해야 합니다.
CP-9(b)	조직: b. 정보 시스템에 포함된 시스템 수준 정보를 백업합니다(매일 증분, 매주 전체).	dynamodb-resources-protected-by-백업 계획	데이터 백업 프로세스에 도움이 되도록 Amazon DynamoDB 리소스가 Backup 플랜에 포함되어 있는지 확인하십시오. AWS AWS Backup은 정책 기반 백업 솔루션을 갖춘 완전 관리형 백업 서비스입니다. 이 솔루션을 사용하면 백업 관리를 단순화하고 비즈니스 및 규제 백업 규정 준수 요구 사항을 충족할 수 있습니다.
CP-9(b)	조직: b. 정보 시스템에 포함된 시스템 수준 정보를 백업합니다(매일 증분, 매주 전체).	ebs-resources-protected-by-백업 계획	데이터 백업 프로세스를 지원하려면 Amazon Elastic Block Store (Amazon EBS) 리소스가 백업 계획의 일부인지 확인하십시오. AWS AWS Backup은 정책 기반 백업 솔루션을 갖춘 완전 관리형 백업 서비스입니다. 이 솔루션을 사용하면 백업 관리를 단순화하고 비즈니스 및 규제 백업 규정 준수 요구 사항을 충족할 수 있습니다.
CP-9(b)	조직: b. 정보 시스템에 포함된 시스템 수준 정보를 백업합니다(매일 증분, 매주 전체).	ec2- -플랜 resources-protected-by-backup	데이터 백업 프로세스를 지원하려면 Amazon Elastic Compute Cloud (Amazon EC2) 리소스가 백업 계획의 일부인지 확인하십시오. AWS AWS Backup은 정책 기반 백업 솔루션을 갖춘 완전 관리형 백업 서비스입니다. 이 솔루션을 사용하면 백업 관리를 단순화하고 비즈니스 및 규제 백업 규정 준수 요구 사항을 충족할 수 있습니다.
CP-9(b)	조직: b. 정보 시스템에 포함된 시스템 수준 정보를 백업합니다(매일 증분, 매주 전체).	efs-resources-protected-by-백업 계획	데이터 백업 프로세스를 지원하려면 Amazon Elastic File System (Amazon EFS) 파일 시스템이 AWS 백업 계획의 일부인지 확인하십시오. AWS Backup은 정책 기반 백업 솔루션을 갖춘 완전 관리형 백업 서비스입니다. 이 솔루션을 사용하면 백업 관리를 단순화하고 비즈니스 및 규제 백업 규정 준수 요구 사항을 충족할 수 있습니다.
CP-9(b)	조직: b. 정보 시스템에 포함된 시스템 수준 정보를 백업합니다(매일 증분, 매주 전체).	fsx-resources-protected-by-백업 계획	데이터 백업 프로세스를 지원하려면 Amazon FSx 파일 시스템이 Backup 계획의 일부인지 확인하십시오. AWS AWS Backup은 정책 기반 백업 솔루션을 갖춘 완전 관리형 백업 서비스입니다. 이 솔루션을 사용하면 백업 관리를 단순화하고 비즈니스 및 규제 백업 규정 준수 요구 사항을 충족할 수 있습니다.
CP-9(b)	조직: b. 정보 시스템에 포함된 시스템 수준 정보를 백업합니다(매일 증분, 매주 전체).	rds-resources-protected-by-백업 계획	데이터 백업 프로세스를 지원하려면 Amazon 관계형 데이터베이스 서비스 (Amazon RDS) 리소스가 백업 계획의 일부인지 확인하십시오. AWS AWS Backup은 정책 기반 백업 솔루션을 갖춘 완전 관리형 백업 서비스입니다. 이 솔루션을 사용하면 백업 관리를 단순화하고 비즈니스 및 규제 백업 규정 준수 요구 사항을 충족할 수 있습니다.
CP-9(b)	조직: b. 정보 시스템에 포함된 시스템 수준 정보를 백업합니다(매일 증분, 매주 전체).	redshift-backup-enabled	데이터 백업 프로세스에 도움이 되도록 Amazon Redshift 클러스터에 자동 스냅샷이 있는지 확인하세요. 클러스터에 자동 스냅샷이 사용되면 Redshift는 정기적으로 해당 클러스터의 스냅샷을 생성합니다. 기본적으로 Redshift는 각 데이터 변경 노드에 대해 8시간마다 또는 5GB마다 또는 둘 중 먼저 발생하는 시점에 스냅샷을 생성합니다.
CP-9(b)	조직: b. 정보 시스템에 포함된 시스템 수준 정보를 백업합니다(매일 증분, 매주 전체).	db-instance-backup-enabled	Amazon RDS의 백업 기능은 데이터베이스 및 트랜잭션 로그의 백업을 생성합니다. Amazon RDS는 전체 DB 인스턴스를 백업하여 DB 인스턴스의 스토리지 볼륨 스냅샷을 생성합니다. 시스템에서 복원력 요구 사항을 충족하도록 특정 보존 기간을 설정할 수 있습니다.
CP-9(b)	조직: b. 정보 시스템에 포함된 시스템 수준 정보를 백업합니다(매일 증분, 매주 전체).	dynamodb-pitr-enabled	이 규칙을 사용하면 정보가 백업되었는지 확인할 수 있습니다. 또한 Amazon DynamoDB에서 point-in-time 복구가 활성화되었는지 확인하여 백업을 유지 관리합니다. 복구를 통해 지난 35일 동안의 테이블 연속 백업이 유지됩니다.
CP-9(b)	조직: b. 정보 시스템에 포함된 시스템 수준 정보를 백업합니다(매일 증분, 매주 전체).	elasticache-redis-cluster-automatic-백업 확인	자동 백업이 활성화되면 Amazon은 매일 클러스터 백업을 ElastiCache 생성합니다. 백업은 조직에서 지정한 기간 동안 유지할 수 있습니다. 자동 백업은 데이터 손실을 막는 데 도움이 됩니다. 장애가 발생할 경우 새로운 클러스터를 생성해 최신 백업에서 모든 데이터를 복원할 수 있습니다.
CP-9(b)	조직: b. 정보 시스템에 포함된 시스템 수준 정보를 백업합니다(매일 증분, 매주 전체).	s3- bucket-replication-enabled	Amazon Simple Storage Service(S3) 교차 리전 복제(CRR)는 적절한 용량과 가용성을 유지할 수 있도록 지원합니다. CRR은 Amazon S3 버킷 전체에 걸쳐 객체를 비동기식으로 자동 복사할 수 있으므로 데이터 가용성 유지에 도움이 됩니다.
CP-9(b)	조직: b. 정보 시스템에 포함된 시스템 수준 정보를 백업합니다(매일 증분, 매주 전체).	s3- bucket-versioning-enabled	Amazon Simple Storage Service(S3) 버킷 버전 관리를 사용하면 동일한 Amazon S3 버킷 내에 객체의 여러 변형을 보유할 수 있습니다. 버전 관리를 사용하여 Amazon S3 버킷에 저장된 모든 버전의 모든 객체를 보존, 검색 및 복원합니다. 버전 관리는 의도치 않은 사용자 작업 및 애플리케이션 장애로부터 복구하는 데 도움이 됩니다.
CP-10	조직은 중단, 손상 또는 장애 발생 후 정보 시스템을 알려진 상태로 복구 및 재구성할 수 있도록 지원합니다.	aurora-resources-protected-by-백업 계획	데이터 백업 프로세스에 도움이 되도록 Amazon Aurora 리소스가 AWS Backup 플랜에 포함되어 있는지 확인하십시오. AWS Backup은 정책 기반 백업 솔루션을 갖춘 완전 관리형 백업 서비스입니다. 이 솔루션을 사용하면 백업 관리를 단순화하고 비즈니스 및 규제 백업 규정 준수 요구 사항을 충족할 수 있습니다.
CP-10	조직은 중단, 손상 또는 장애 발생 후 정보 시스템을 알려진 상태로 복구 및 재구성할 수 있도록 지원합니다.	backup-plan-min-frequency-and-min-retention-check	데이터 백업 프로세스를 지원하려면 AWS 백업 계획이 최소 빈도 및 보존 기간으로 설정되어 있는지 확인하세요. AWS Backup은 정책 기반 백업 솔루션을 갖춘 완전 관리형 백업 서비스입니다. 이 솔루션을 사용하면 백업 관리를 단순화하고 비즈니스 및 규제 백업 규정 준수 요구 사항을 충족할 수 있습니다. 이 규칙을 사용하면 (구성 기본값: 1), requiredFrequencyValue (구성 기본값: 35) 및 ( requiredRetentionDays requiredFrequencyUnit 구성 기본값: 일) 매개변수를 설정할 수 있습니다. 실제 값은 조직의 요구 사항을 반영해야 합니다.
CP-10	조직은 중단, 손상 또는 장애 발생 후 정보 시스템을 알려진 상태로 복구 및 재구성할 수 있도록 지원합니다.	dynamodb-resources-protected-by-백업 계획	데이터 백업 프로세스에 도움이 되도록 Amazon DynamoDB 리소스가 Backup 플랜에 포함되어 있는지 확인하십시오. AWS AWS Backup은 정책 기반 백업 솔루션을 갖춘 완전 관리형 백업 서비스입니다. 이 솔루션을 사용하면 백업 관리를 단순화하고 비즈니스 및 규제 백업 규정 준수 요구 사항을 충족할 수 있습니다.
CP-10	조직은 중단, 손상 또는 장애 발생 후 정보 시스템을 알려진 상태로 복구 및 재구성할 수 있도록 지원합니다.	ebs-resources-protected-by-백업 계획	데이터 백업 프로세스를 지원하려면 Amazon Elastic Block Store (Amazon EBS) 리소스가 백업 계획의 일부인지 확인하십시오. AWS AWS Backup은 정책 기반 백업 솔루션을 갖춘 완전 관리형 백업 서비스입니다. 이 솔루션을 사용하면 백업 관리를 단순화하고 비즈니스 및 규제 백업 규정 준수 요구 사항을 충족할 수 있습니다.
CP-10	조직은 중단, 손상 또는 장애 발생 후 정보 시스템을 알려진 상태로 복구 및 재구성할 수 있도록 지원합니다.	ec2- -플랜 resources-protected-by-backup	데이터 백업 프로세스를 지원하려면 Amazon Elastic Compute Cloud (Amazon EC2) 리소스가 백업 계획의 일부인지 확인하십시오. AWS AWS Backup은 정책 기반 백업 솔루션을 갖춘 완전 관리형 백업 서비스입니다. 이 솔루션을 사용하면 백업 관리를 단순화하고 비즈니스 및 규제 백업 규정 준수 요구 사항을 충족할 수 있습니다.
CP-10	조직은 중단, 손상 또는 장애 발생 후 정보 시스템을 알려진 상태로 복구 및 재구성할 수 있도록 지원합니다.	efs-resources-protected-by-백업 계획	데이터 백업 프로세스를 지원하려면 Amazon Elastic File System (Amazon EFS) 파일 시스템이 AWS 백업 계획의 일부인지 확인하십시오. AWS Backup은 정책 기반 백업 솔루션을 갖춘 완전 관리형 백업 서비스입니다. 이 솔루션을 사용하면 백업 관리를 단순화하고 비즈니스 및 규제 백업 규정 준수 요구 사항을 충족할 수 있습니다.
CP-10	조직은 중단, 손상 또는 장애 발생 후 정보 시스템을 알려진 상태로 복구 및 재구성할 수 있도록 지원합니다.	elb-cross-zone-load-밸런싱 지원	Elastic Load Balancer(ELB)의 영역 간 로드 밸런싱 활성화는 적절한 용량과 가용성을 유지하는 데 도움이 됩니다. 영역 간 로드 밸런싱을 사용하면 활성화된 각 가용성 영역에서 동일한 수의 인스턴스를 유지해야 할 필요성이 줄어듭니다. 또한 애플리케이션이 보다 효과적으로 하나 이상의 인스턴스 손실을 처리할 수 있습니다.
CP-10	조직은 중단, 손상 또는 장애 발생 후 정보 시스템을 알려진 상태로 복구 및 재구성할 수 있도록 지원합니다.	fsx-resources-protected-by-백업 계획	데이터 백업 프로세스를 지원하려면 Amazon FSx 파일 시스템이 Backup 계획의 일부인지 확인하십시오. AWS AWS Backup은 정책 기반 백업 솔루션을 갖춘 완전 관리형 백업 서비스입니다. 이 솔루션을 사용하면 백업 관리를 단순화하고 비즈니스 및 규제 백업 규정 준수 요구 사항을 충족할 수 있습니다.
CP-10	조직은 중단, 손상 또는 장애 발생 후 정보 시스템을 알려진 상태로 복구 및 재구성할 수 있도록 지원합니다.	rds-resources-protected-by-백업 계획	데이터 백업 프로세스를 지원하려면 Amazon 관계형 데이터베이스 서비스 (Amazon RDS) 리소스가 백업 계획의 일부인지 확인하십시오. AWS AWS Backup은 정책 기반 백업 솔루션을 갖춘 완전 관리형 백업 서비스입니다. 이 솔루션을 사용하면 백업 관리를 단순화하고 비즈니스 및 규제 백업 규정 준수 요구 사항을 충족할 수 있습니다.
CP-10	조직은 중단, 손상 또는 장애 발생 후 정보 시스템을 알려진 상태로 복구 및 재구성할 수 있도록 지원합니다.	redshift-backup-enabled	데이터 백업 프로세스에 도움이 되도록 Amazon Redshift 클러스터에 자동 스냅샷이 있는지 확인하세요. 클러스터에 자동 스냅샷이 사용되면 Redshift는 정기적으로 해당 클러스터의 스냅샷을 생성합니다. 기본적으로 Redshift는 각 데이터 변경 노드에 대해 8시간마다 또는 5GB마다 또는 둘 중 먼저 발생하는 시점에 스냅샷을 생성합니다.
CP-10	조직은 중단, 손상 또는 장애 발생 후 정보 시스템을 알려진 상태로 복구 및 재구성할 수 있도록 지원합니다.	db-instance-backup-enabled	Amazon RDS의 백업 기능은 데이터베이스 및 트랜잭션 로그의 백업을 생성합니다. Amazon RDS는 전체 DB 인스턴스를 백업하여 DB 인스턴스의 스토리지 볼륨 스냅샷을 생성합니다. 시스템에서 복원력 요구 사항을 충족하도록 특정 보존 기간을 설정할 수 있습니다.
CP-10	조직은 중단, 손상 또는 장애 발생 후 정보 시스템을 알려진 상태로 복구 및 재구성할 수 있도록 지원합니다.	dynamodb-autoscaling-enabled	Amazon DynamoDB Auto AWS Scaling은 Application Auto Scaling 서비스를 사용하여 실제 트래픽 패턴에 자동으로 응답하는 프로비저닝된 처리 용량을 조정합니다. 따라서 테이블 또는 글로벌 보조 인덱스에 따라 할당된 읽기/쓰기 용량을 늘려 제한 없이 갑작스러운 트래픽 증가를 처리할 수 있습니다.
CP-10	조직은 중단, 손상 또는 장애 발생 후 정보 시스템을 알려진 상태로 복구 및 재구성할 수 있도록 지원합니다.	dynamodb-pitr-enabled	이 규칙을 사용하면 정보가 백업되었는지 확인할 수 있습니다. 또한 Amazon DynamoDB에서 point-in-time 복구가 활성화되었는지 확인하여 백업을 유지 관리합니다. 복구를 통해 지난 35일 동안의 테이블 연속 백업이 유지됩니다.
CP-10	조직은 중단, 손상 또는 장애 발생 후 정보 시스템을 알려진 상태로 복구 및 재구성할 수 있도록 지원합니다.	ebs-optimized-instance	Amazon Elastic Block Store(Amazon EBS)의 최적화된 인스턴스는 Amazon EBS I/O 작업을 위한 추가 전용 용량을 제공합니다. 이 최적화는 Amazon EBS I/O 작업과 인스턴스의 기타 트래픽 간의 경합을 최소화하여 EBS 볼륨에 가장 효율적인 성능을 제공합니다.
CP-10	조직은 중단, 손상 또는 장애 발생 후 정보 시스템을 알려진 상태로 복구 및 재구성할 수 있도록 지원합니다.	elasticache-redis-cluster-automatic-백업 확인	자동 백업이 활성화되면 Amazon은 매일 클러스터 백업을 ElastiCache 생성합니다. 백업은 조직에서 지정한 기간 동안 유지할 수 있습니다. 자동 백업은 데이터 손실을 막는 데 도움이 됩니다. 장애가 발생할 경우 새로운 클러스터를 생성해 최신 백업에서 모든 데이터를 복원할 수 있습니다.
CP-10	조직은 중단, 손상 또는 장애 발생 후 정보 시스템을 알려진 상태로 복구 및 재구성할 수 있도록 지원합니다.	elb-deletion-protection-enabled	이 규칙은 Elastic Load Balancing이 삭제 방지 기능을 사용하도록 합니다. 이 기능을 사용하면 로드 밸런서가 실수로 또는 악의적으로 삭제되어 애플리케이션의 가용성이 손실되는 것을 방지할 수 있습니다.
CP-10	조직은 중단, 손상 또는 장애 발생 후 정보 시스템을 알려진 상태로 복구 및 재구성할 수 있도록 지원합니다.	rds-multi-az-support	Amazon Relational Database Service(RDS)의 다중 AZ 지원은 데이터베이스 인스턴스의 가용성과 내구성을 향상시킵니다. 다중 AZ 데이터베이스 인스턴스를 프로비저닝하면 Amazon RDS가 자동으로 기본 데이터베이스 인스턴스를 생성하고 다른 가용 영역에 있는 대기 인스턴스에 데이터를 동기식으로 복제합니다. 각 가용 영역은 물리적으로 구분된 자체 독립 인프라에서 실행되며 안정성이 높도록 설계되었습니다. 인프라 장애가 발생할 경우, Amazon RDS는 대기 인프라로 자동 장애 조치를 수행하므로 장애 조치가 완료되는 즉시 데이터베이스 작업을 재개할 수 있습니다.
CP-10	조직은 중단, 손상 또는 장애 발생 후 정보 시스템을 알려진 상태로 복구 및 재구성할 수 있도록 지원합니다.	s3- bucket-replication-enabled	Amazon Simple Storage Service(S3) 교차 리전 복제(CRR)는 적절한 용량과 가용성을 유지할 수 있도록 지원합니다. CRR은 Amazon S3 버킷 전체에 걸쳐 객체를 비동기식으로 자동 복사할 수 있으므로 데이터 가용성 유지에 도움이 됩니다.
CP-10	조직은 중단, 손상 또는 장애 발생 후 정보 시스템을 알려진 상태로 복구 및 재구성할 수 있도록 지원합니다.	s3- bucket-versioning-enabled	Amazon Simple Storage Service(S3) 버킷 버전 관리를 사용하면 동일한 Amazon S3 버킷 내에 객체의 여러 변형을 보유할 수 있습니다. 버전 관리를 사용하여 Amazon S3 버킷에 저장된 모든 버전의 모든 객체를 보존, 검색 및 복원합니다. 버전 관리는 의도치 않은 사용자 작업 및 애플리케이션 장애로부터 복구하는 데 도움이 됩니다.
CP-10	조직은 중단, 손상 또는 장애 발생 후 정보 시스템을 알려진 상태로 복구 및 재구성할 수 있도록 지원합니다.	vpc-vpn-2-tunnels-up	중복되는 Site-to-Site VPN 터널을 구현하여 복원력 요구 사항을 달성할 수 있습니다. 두 개의 터널을 사용하여 Site-to-Site VPN 연결 중 하나를 사용할 수 없는 경우를 대비하고 계속적인 연결을 보장합니다. 고객 게이트웨이를 사용할 수 없을 때 연결이 끊어지지 않도록, 두 번째 고객 게이트웨이를 사용하여 Amazon Virtual Private Cloud(VPC)와 가상 프라이빗 게이트웨이에 대한 두 번째 Site-to-Site VPN 연결을 설정할 수 있습니다.
IA-2(1)(2)	(1) 정보 시스템은 권한 있는 계정에 대한 네트워크 액세스를 위한 다중 인증을 구현합니다. (2) 정보 시스템은 권한이 없는 계정에 대한 네트워크 액세스를 위해 다중 인증을 구현합니다.	root-account-mfa-enabled	루트 사용자에 대해 MFA가 활성화되도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 루트 사용자는 권한이 가장 많은 AWS 계정사용자입니다. MFA는 로그인 보안 인증에 보호 계층을 한 단계 더 추가합니다. 루트 사용자에게 MFA를 요구하면 보안 침해 사고를 줄일 수 있습니다. AWS 계정
IA-2(1)(2)	(1) 정보 시스템은 권한 있는 계정에 대한 네트워크 액세스를 위한 다중 인증을 구현합니다. (2) 정보 시스템은 권한이 없는 계정에 대한 네트워크 액세스를 위해 다중 인증을 구현합니다.	iam-user-mfa-enabled	이 규칙을 활성화하면 클라우드의 리소스에 대한 액세스를 제한할 수 있습니다. AWS 이 규칙은 모든 사용자에 대해 다중 인증(MFA)이 활성화되도록 합니다. MFA를 통해 로그인 보안 인증 외에 보호 계층이 한 단계 더 추가됩니다. 사용자에게 MFA를 요구하여 계정 보안 침해 사고를 줄이십시오.
IA-2(1)(2)	(1) 정보 시스템은 권한 있는 계정에 대한 네트워크 액세스를 위한 다중 인증을 구현합니다. (2) 정보 시스템은 권한이 없는 계정에 대한 네트워크 액세스를 위해 다중 인증을 구현합니다.	mfa-enabled-for-iam-콘솔 액세스	콘솔 암호가 있는 모든 AWS Identity 및 Access Management (IAM) 사용자가 MFA를 사용하도록 설정하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. MFA를 통해 로그인 보안 인증 외에 보호 계층이 한 단계 더 추가됩니다. 사용자에게 MFA를 요구하면 계정이 침해되는 사고를 줄이고 승인되지 않은 사용자가 민감한 데이터에 액세스하는 것을 방지할 수 있습니다.
IA-2(1)(2)	(1) 정보 시스템은 권한 있는 계정에 대한 네트워크 액세스를 위한 다중 인증을 구현합니다. (2) 정보 시스템은 권한이 없는 계정에 대한 네트워크 액세스를 위해 다중 인증을 구현합니다.	root-account-hardware-mfa-활성화됨	루트 사용자가 하드웨어 MFA를 사용하도록 설정하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 루트 사용자는 권한이 가장 많은 AWS 계정사용자입니다. MFA는 로그인 보안 인증에 보호 계층을 한 단계 더 추가합니다. 루트 사용자에게 MFA를 요구하면 보안 침해 사고를 줄일 수 있습니다. AWS 계정
IA-2(1)	(1) 정보 시스템은 권한 있는 계정에 대한 네트워크 액세스를 위한 다중 인증을 구현합니다.	iam-user-mfa-enabled	이 규칙을 활성화하면 클라우드의 리소스에 대한 액세스를 제한할 수 있습니다. AWS 이 규칙은 모든 사용자에 대해 다중 인증(MFA)이 활성화되도록 합니다. MFA를 통해 로그인 보안 인증 외에 보호 계층이 한 단계 더 추가됩니다. 사용자에게 MFA를 요구하여 계정 보안 침해 사고를 줄이십시오.
IA-2(1)	(1) 정보 시스템은 권한 있는 계정에 대한 네트워크 액세스를 위한 다중 인증을 구현합니다.	mfa-enabled-for-iam-콘솔 액세스	콘솔 암호가 있는 모든 AWS Identity 및 Access Management (IAM) 사용자가 MFA를 사용하도록 설정하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. MFA를 통해 로그인 보안 인증 외에 보호 계층이 한 단계 더 추가됩니다. 사용자에게 MFA를 요구하면 계정이 침해되는 사고를 줄이고 승인되지 않은 사용자가 민감한 데이터에 액세스하는 것을 방지할 수 있습니다.
IA-2(1)	(1) 정보 시스템은 권한 있는 계정에 대한 네트워크 액세스를 위한 다중 인증을 구현합니다.	root-account-hardware-mfa-활성화됨	루트 사용자가 하드웨어 MFA를 사용하도록 설정하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 루트 사용자는 권한이 가장 많은 AWS 계정사용자입니다. MFA는 로그인 보안 인증에 보호 계층을 한 단계 더 추가합니다. 루트 사용자에게 MFA를 요구하면 보안 침해 사고를 줄일 수 있습니다. AWS 계정
IA-2(1)	(1) 정보 시스템은 권한 있는 계정에 대한 네트워크 액세스를 위한 다중 인증을 구현합니다.	root-account-mfa-enabled	루트 사용자에 대해 MFA가 활성화되도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 루트 사용자는 권한이 가장 많은 AWS 계정사용자입니다. MFA는 로그인 보안 인증에 보호 계층을 한 단계 더 추가합니다. 루트 사용자에게 MFA를 요구하면 보안 침해 사고를 줄일 수 있습니다. AWS 계정
IA-2	정보 시스템은 조직 사용자(또는 조직 사용자를 대신하여 활동하는 프로세스)를 고유하게 식별하고 인증합니다.	iam-password-policy	ID 및 보안 인증 정보는 조직의 IAM 암호 정책을 기반으로 발급, 관리 및 검증됩니다. NIST SP 800-63에 명시된 요구 사항 및 암호 강도에 대한 AWS 기본 보안 모범 사례 표준을 충족하거나 초과합니다. 이 규칙을 사용하면 IAM에 대해 RequireUppercaseCharacters (AWS 기본 보안 모범 사례 값: true), RequireLowercaseCharacters (AWS 기본 보안 모범 사례 값: true), RequireSymbols (AWS 기본 보안 모범 사례 값: true), RequireNumbers (AWS 기본 보안 모범 사례 값: true), MinimumPasswordLength (AWS 기본 보안 모범 사례 값: 14), PasswordReusePrevention (AWS 기본 보안 모범 사례 값: 24), MaxPasswordAge (AWS 기본 보안 모범 사례 값: 90) 을 선택적으로 설정할 수 있습니다.비밀번호 정책. 실제 값은 조직의 정책을 반영해야 합니다.
IA-2	정보 시스템은 조직 사용자(또는 조직 사용자를 대신하여 활동하는 프로세스)를 고유하게 식별하고 인증합니다.	iam-root-access-key-체크	루트 사용자의 AWS Identity and Access Management (IAM) 역할에 연결된 액세스 키가 없는지 확인하여 시스템 및 자산에 대한 액세스를 제어할 수 있습니다. 루트 액세스 키가 삭제되었는지 확인하세요. 대신 기능 최소화 원칙을 AWS 계정 통합하는 데 도움이 되도록 역할 기반 솔루션을 만들어 사용하세요.
IA-5(1)(a)(d)(e)	암호 기반 인증을 위한 정보 시스템: a. a. 최소한의 암호 복잡성 수준 강제[할당: 각 유형에 대한 최소 요구 사항을 포함하여 대소문자 구분, 문자 수, 대소문자 혼합, 숫자 및 특수 문자에 대한 조직에서 정의한 요구 사항] d. 암호의 최소 및 최대 수명 제한 적용[할당: 조직에서 정의한 최소 수명 및 최대 수명] 24회 생성에 암호 재사용을 금지합니다.	iam-password-policy	ID 및 보안 인증 정보는 조직의 IAM 암호 정책을 기반으로 발급, 관리 및 검증됩니다. NIST SP 800-63에 명시된 요구 사항 및 암호 강도에 대한 AWS 기본 보안 모범 사례 표준을 충족하거나 초과합니다. 이 규칙을 사용하면 IAM에 대해 RequireUppercaseCharacters (AWS 기본 보안 모범 사례 값: true), RequireLowercaseCharacters (AWS 기본 보안 모범 사례 값: true), RequireSymbols (AWS 기본 보안 모범 사례 값: true), RequireNumbers (AWS 기본 보안 모범 사례 값: true), MinimumPasswordLength (AWS 기본 보안 모범 사례 값: 14), PasswordReusePrevention (AWS 기본 보안 모범 사례 값: 24), MaxPasswordAge (AWS 기본 보안 모범 사례 값: 90) 을 선택적으로 설정할 수 있습니다.비밀번호 정책. 실제 값은 조직의 정책을 반영해야 합니다.
IA-5(4)	조직에서는 자동화된 도구를 사용하여 암호 인증자가 [할당: 조직에서 정의한 요구 사항]을 충족할 만큼 충분히 강력한지 판단합니다.	iam-password-policy	ID 및 보안 인증 정보는 조직의 IAM 암호 정책을 기반으로 발급, 관리 및 검증됩니다. NIST SP 800-63 및 암호 강도에 대한 AWS 기본 보안 모범 사례 표준에 명시된 요구 사항을 충족하거나 초과합니다. 이 규칙을 사용하면 IAM에 대해 RequireUppercaseCharacters (AWS 기본 보안 모범 사례 값: true), RequireLowercaseCharacters (AWS 기본 보안 모범 사례 값: true), RequireSymbols (AWS 기본 보안 모범 사례 값: true), RequireNumbers (AWS 기본 보안 모범 사례 값: true), MinimumPasswordLength (AWS 기본 보안 모범 사례 값: 14), PasswordReusePrevention (AWS 기본 보안 모범 사례 값: 24), MaxPasswordAge (AWS 기본 보안 모범 사례 값: 90) 을 선택적으로 설정할 수 있습니다.비밀번호 정책. 실제 값은 조직의 정책을 반영해야 합니다.
IA-5(7)	조직은 암호화되지 않은 정적 인증자가 애플리케이션이나 액세스 스크립트에 내장되거나 기능 키에 저장되지 않도록 합니다.	codebuild-project-envvar-awscred-체크	인증 자격 증명 AWS_ACCESS_KEY_ID 및 AWS_SECRET_ACCESS_KEY가 코드빌드 프로젝트 환경 내에 존재하지 않는지 확인하십시오. AWS 이러한 변수를 일반 텍스트로 저장하지 마십시오. 이러한 변수를 일반 텍스트로 저장하면 의도하지 않은 데이터 노출 및 무단 액세스가 발생할 수 있습니다.
IR-4(1)	조직은 자동화된 메커니즘을 사용하여 인시던트 처리 프로세스를 지원합니다.	autoscaling-group-elb-healthcheck-필수	Amazon Elastic Compute Cloud(Amazon EC2) Auto Scaling 그룹의 Elastic Load Balancer(ELB) 상태 확인은 적절한 용량과 가용성의 유지 관리를 지원합니다. 로드 밸런서가 정기적으로 ping을 전송하거나, 연결을 시도하거나, 요청을 전송하여 Auto Scaling 그룹의 Amazon EC2 인스턴스 상태를 테스트합니다. 인스턴스가 다시 보고하지 않는 경우, 트래픽은 새 Amazon EC2 인스턴스로 전송됩니다.
IR-4(1)	조직은 자동화된 메커니즘을 사용하여 인시던트 처리 프로세스를 지원합니다.	guardduty-enabled-centralized	Amazon은 위협 인텔리전스 피드를 사용하여 잠재적인 사이버 보안 이벤트를 모니터링하고 탐지하는 데 도움을 줄 GuardDuty 수 있습니다. 여기에는 클라우드 환경 내에서 예상치 못한 무단 악의적인 활동을 식별하기 위한 악성 IP 및 기계 학습 목록이 포함됩니다. AWS
IR-4(1)	조직은 자동화된 메커니즘을 사용하여 인시던트 처리 프로세스를 지원합니다.	guardduty-non-archived-findings	GuardDuty Amazon은 조사 결과를 심각도 (낮음, 중간, 높음) 별로 분류하여 사고의 영향을 이해하도록 도와줍니다. 이러한 분류를 사용하여 해결 전략 및 우선 순위를 결정할 수 있습니다. 이 규칙을 사용하면 조직의 정책에 따라 보관되지 않은 검색 결과에 대해 daysLowSev (구성 기본값: 30), ( daysMediumSev 구성 기본값: 7) 및 ( daysHighSev 구성 기본값: 1) 을 선택적으로 설정할 수 있습니다.
IR-4(1)	조직은 자동화된 메커니즘을 사용하여 인시던트 처리 프로세스를 지원합니다.	securityhub-enabled	AWS Security Hub는 승인되지 않은 사용자, 연결, 장치 및 소프트웨어를 모니터링하는 데 도움이 됩니다. AWS Security Hub는 여러 서비스의 보안 경고 또는 조사 결과를 집계하고 구성하며 우선 순위를 지정합니다. AWS 이러한 서비스로는 Amazon Security Hub, Amazon Inspector, Amazon AWS Macie, Identity 및 Access Management (IAM) 액세스 분석기, 방화벽 관리자, 파트너 솔루션 AWS 등이 있습니다. AWS
IR-4(1)	조직은 자동화된 메커니즘을 사용하여 인시던트 처리 프로세스를 지원합니다.	cloudwatch-alarm-action-check	Amazon은 지표가 지정된 평가 기간 수의 임계값을 위반할 경우 CloudWatch 경보를 보냅니다. 이러한 경보는 여러 기간에 대해 지정된 임계값과 지표 또는 표현식의 값을 비교하여 하나 이상의 작업을 수행합니다. 이 규칙에는 alarmActionRequired (구성 기본값: True), insufficientDataAction 필수 (구성 기본값: True), ( okActionRequired 구성 기본값: False) 값이 필요합니다. 실제 값은 사용자 환경의 경보 동작을 반영해야 합니다.
IR-6(1)	조직은 자동화된 메커니즘을 사용하여 보안 인시던트를 보고하는 것을 지원합니다.	guardduty-enabled-centralized	Amazon은 위협 인텔리전스 피드를 사용하여 잠재적인 사이버 보안 이벤트를 모니터링하고 탐지하는 데 도움을 줄 GuardDuty 수 있습니다. 여기에는 클라우드 환경 내에서 예상치 못한 무단 악의적인 활동을 식별하기 위한 악성 IP 및 기계 학습 목록이 포함됩니다. AWS
IR-6(1)	조직은 자동화된 메커니즘을 사용하여 보안 인시던트를 보고하는 것을 지원합니다.	guardduty-non-archived-findings	GuardDuty Amazon은 조사 결과를 심각도 (낮음, 중간, 높음) 별로 분류하여 사고의 영향을 이해하도록 도와줍니다. 이러한 분류를 사용하여 해결 전략 및 우선 순위를 결정할 수 있습니다. 이 규칙을 사용하면 조직의 정책에 따라 보관되지 않은 검색 결과에 대해 daysLowSev (구성 기본값: 30), ( daysMediumSev 구성 기본값: 7) 및 ( daysHighSev 구성 기본값: 1) 을 선택적으로 설정할 수 있습니다.
IR-6(1)	조직은 자동화된 메커니즘을 사용하여 보안 인시던트를 보고하는 것을 지원합니다.	securityhub-enabled	AWS Security Hub는 승인되지 않은 사용자, 연결, 장치 및 소프트웨어를 모니터링하는 데 도움이 됩니다. AWS Security Hub는 여러 서비스의 보안 경고 또는 조사 결과를 집계하고 구성하며 우선 순위를 지정합니다. AWS 이러한 서비스로는 Amazon Security Hub, Amazon Inspector, Amazon AWS Macie, Identity 및 Access Management (IAM) 액세스 분석기, 방화벽 관리자, 파트너 솔루션 AWS 등이 있습니다. AWS
IR-7(1)	조직은 자동화된 메커니즘을 사용하여 인시던트 대응 관련 정보 및 지원의 가용성을 높입니다.	guardduty-enabled-centralized	Amazon은 위협 인텔리전스 피드를 사용하여 잠재적인 사이버 보안 이벤트를 모니터링하고 탐지하는 데 도움을 줄 GuardDuty 수 있습니다. 여기에는 클라우드 환경 내에서 예상치 못한 무단 악의적인 활동을 식별하기 위한 악성 IP 및 기계 학습 목록이 포함됩니다. AWS
IR-7(1)	조직은 자동화된 메커니즘을 사용하여 인시던트 대응 관련 정보 및 지원의 가용성을 높입니다.	guardduty-non-archived-findings	GuardDuty Amazon은 조사 결과를 심각도 (낮음, 중간, 높음) 별로 분류하여 사고의 영향을 이해하도록 도와줍니다. 이러한 분류를 사용하여 해결 전략 및 우선 순위를 결정할 수 있습니다. 이 규칙을 사용하면 조직의 정책에 따라 보관되지 않은 검색 결과에 대해 daysLowSev (구성 기본값: 30), ( daysMediumSev 구성 기본값: 7) 및 ( daysHighSev 구성 기본값: 1) 을 선택적으로 설정할 수 있습니다.
IR-7(1)	조직은 자동화된 메커니즘을 사용하여 인시던트 대응 관련 정보 및 지원의 가용성을 높입니다.	securityhub-enabled	AWS Security Hub는 승인되지 않은 사용자, 연결, 장치 및 소프트웨어를 모니터링하는 데 도움이 됩니다. AWS Security Hub는 여러 서비스의 보안 경고 또는 조사 결과를 집계하고 구성하며 우선 순위를 지정합니다. AWS 이러한 서비스로는 Amazon Security Hub, Amazon Inspector, Amazon AWS Macie, Identity 및 Access Management (IAM) 액세스 분석기, 방화벽 관리자, 파트너 솔루션 AWS 등이 있습니다. AWS
RA-5(1)	조직은 검사할 정보 시스템 취약성을 즉시 업데이트할 수 있는 기능이 포함된 취약성 검사 도구를 사용합니다. 보충 지침: 새로운 취약성이 발견되고 발표되고 검사 방법이 개발되면 검사할 취약성을 즉시 업데이트해야 합니다. 이 업데이트 프로세스는 정보 시스템의 잠재적 취약성을 최대한 빨리 식별하고 해결하는 데 도움이 됩니다. 관련 규제 항목: SI-3, SI-7.	guardduty-enabled-centralized	Amazon은 위협 인텔리전스 피드를 사용하여 잠재적인 사이버 보안 이벤트를 모니터링하고 탐지하는 데 도움을 줄 GuardDuty 수 있습니다. 여기에는 클라우드 환경 내에서 예상치 못한 무단 악의적인 활동을 식별하기 위한 악성 IP 및 기계 학습 목록이 포함됩니다. AWS
RA-5(1)	조직은 검사할 정보 시스템 취약성을 즉시 업데이트할 수 있는 기능이 포함된 취약성 검사 도구를 사용합니다. 보충 지침: 새로운 취약성이 발견되고 발표되고 검사 방법이 개발되면 검사할 취약성을 즉시 업데이트해야 합니다. 이 업데이트 프로세스는 정보 시스템의 잠재적 취약성을 최대한 빨리 식별하고 해결하는 데 도움이 됩니다. 관련 규제 항목: SI-3, SI-7.	guardduty-non-archived-findings	GuardDuty Amazon은 조사 결과를 심각도 (낮음, 중간, 높음) 별로 분류하여 사고의 영향을 이해하도록 도와줍니다. 이러한 분류를 사용하여 해결 전략 및 우선 순위를 결정할 수 있습니다. 이 규칙을 사용하면 조직의 정책에 따라 보관되지 않은 검색 결과에 대해 daysLowSev (구성 기본값: 30), ( daysMediumSev 구성 기본값: 7) 및 ( daysHighSev 구성 기본값: 1) 을 선택적으로 설정할 수 있습니다.
RA-5(1)	조직은 검사할 정보 시스템 취약성을 즉시 업데이트할 수 있는 기능이 포함된 취약성 검사 도구를 사용합니다. 보충 지침: 새로운 취약성이 발견되고 발표되고 검사 방법이 개발되면 검사할 취약성을 즉시 업데이트해야 합니다. 이 업데이트 프로세스는 정보 시스템의 잠재적 취약성을 최대한 빨리 식별하고 해결하는 데 도움이 됩니다. 관련 규제 항목: SI-3, SI-7.	securityhub-enabled	AWS Security Hub는 승인되지 않은 사용자, 연결, 장치 및 소프트웨어를 모니터링하는 데 도움이 됩니다. AWS Security Hub는 여러 서비스의 보안 경고 또는 조사 결과를 집계하고 구성하며 우선 순위를 지정합니다. AWS 이러한 서비스로는 Amazon Security Hub, Amazon Inspector, Amazon AWS Macie, Identity 및 Access Management (IAM) 액세스 분석기, 방화벽 관리자, 파트너 솔루션 AWS 등이 있습니다. AWS
RA-5	조직: a. 매월 [운영 체제/인프라, 월간 웹 애플리케이션 및 데이터베이스], 그리고 시스템/애플리케이션에 영향을 미칠 수 있는 새로운 취약성이 식별되고 보고되는 시점을 기준으로 정보 시스템 및 호스팅된 애플리케이션의 취약성을 검사합니다. b. 조직 b: 다음에 대한 표준을 사용하여 도구 간의 상호 운용성을 촉진하고 취약성 관리 프로세스의 일부를 자동화하는 취약성 스캔 도구 및 기법을 사용합니다. 1. 플랫폼, 소프트웨어 결함 및 부적절한 구성 열거 2. 체크리스트 및 테스트 절차 형식 지정 3. 취약성 영향 측정 조직 c: 취약성 검사 보고서 및 보안 통제 평가 결과를 분석합니다. 합법적인 취약성을 해결합니다. 조직의 위험 평가에 따라 발견일로부터 30일 이내에 완화된 고위험 취약성, 발견일로부터 90일 이내에 완화된 중간 위험 취약성, 발견일로부터 180일 이내에 완화된 저위험 취약성, e. 조직 e: 취약성 검사 프로세스 및 보안 통제 평가에서 얻은 정보를 [할당: 조직이 정의한 직원 또는 역할]과 공유하여 다른 정보 시스템의 유사한 취약성(예: 시스템적 약점 또는 결함)을 제거하는 데 도움을 줍니다.	guardduty-non-archived-findings	GuardDuty Amazon은 조사 결과를 심각도 (낮음, 중간, 높음) 별로 분류하여 사고의 영향을 이해하도록 도와줍니다. 이러한 분류를 사용하여 해결 전략 및 우선 순위를 결정할 수 있습니다. 이 규칙을 사용하면 조직의 정책에 따라 보관되지 않은 검색 결과에 대해 daysLowSev (구성 기본값: 30), ( daysMediumSev 구성 기본값: 7) 및 ( daysHighSev 구성 기본값: 1) 을 선택적으로 설정할 수 있습니다.
RA-5	조직: a. 정보 시스템 및 호스팅된 애플리케이션에 대한 취약성 스캔을 [할당: 조직이 정의한 빈도 및/또는 조직이 정의한 프로세스에 따라 무작위로] 및 시스템/애플리케이션에 영향을 미칠 수 있는 새로운 취약성이 식별되고 보고되는 시점에 수행합니다. 조직 b: 다음에 대한 표준을 사용하여 도구 간의 상호 운용성을 촉진하고 취약성 관리 프로세스의 일부를 자동화하는 취약성 스캔 도구 및 기법을 사용합니다. 1. 플랫폼, 소프트웨어 결함 및 부적절한 구성 열거 2. 체크리스트 및 테스트 절차 형식 지정 3. 취약성 영향 측정 조직 c: 취약성 검사 보고서 및 보안 통제 평가 결과를 분석합니다. 조직 d: 조직의 위험 평가에 따라 정상적인 취약성을 [할당: 조직이 정의한 대응 시간] 내에 교정합니다. 조직 e: 취약성 검사 프로세스 및 보안 통제 평가에서 얻은 정보를 [할당: 조직이 정의한 직원 또는 역할]과 공유하여 다른 정보 시스템의 유사한 취약성(예: 시스템적 약점 또는 결함)을 제거하는 데 도움을 줍니다.	guardduty-enabled-centralized	Amazon은 위협 인텔리전스 피드를 사용하여 잠재적인 사이버 보안 이벤트를 모니터링하고 탐지하는 데 도움을 줄 GuardDuty 수 있습니다. 여기에는 클라우드 환경 내에서 예상치 못한 무단 악의적인 활동을 식별하기 위한 악성 IP 및 기계 학습 목록이 포함됩니다. AWS
SA-3(a)	조직: a. 정보 보안 고려 사항을 포함하는 [할당: 조직이 정의한 시스템 개발 수명 주기]를 사용하여 정보 시스템을 관리합니다.	codebuild-project-envvar-awscred-체크	인증 자격 증명 AWS_ACCESS_KEY_ID 및 AWS_SECRET_ACCESS_KEY가 코드빌드 프로젝트 환경 내에 존재하지 않는지 확인하십시오. AWS 이러한 변수를 일반 텍스트로 저장하지 마십시오. 이러한 변수를 일반 텍스트로 저장하면 의도하지 않은 데이터 노출 및 무단 액세스가 발생할 수 있습니다.
SA-3(a)	조직: a. 정보 보안 고려 사항을 포함하는 [할당: 조직이 정의한 시스템 개발 수명 주기]를 사용하여 정보 시스템을 관리합니다.	codebuild-project-source-repo-url-check	GitHub 또는 Bitbucket 소스 리포지토리 URL에 Codebuild 프로젝트 환경 내의 개인 액세스 토큰, 로그인 자격 증명이 포함되어 있지 않은지 확인하십시오. AWS 개인 액세스 토큰이나 로그인 자격 증명 대신 OAuth를 사용하여 Bitbucket 리포지토리 또는 Bitbucket 리포지토리에 대한 액세스 권한을 부여하십시오. GitHub
SA-3(a)	조직: a. 정보 보안 고려 사항을 포함하는 [할당: 조직이 정의한 시스템 개발 수명 주기]를 사용하여 정보 시스템을 관리합니다.	instance-managed-by-systemsec2- -매니저	Systems AWS Manager를 사용하여 Amazon Elastic Compute Cloud (Amazon EC2) 인스턴스를 관리하면 조직 내 소프트웨어 플랫폼 및 애플리케이션의 인벤토리를 작성할 수 있습니다. AWS Systems Manager를 사용하여 자세한 시스템 구성, 운영 체제 패치 수준, 서비스 이름 및 유형, 소프트웨어 설치, 애플리케이션 이름, 게시자 및 버전, 사용자 환경에 대한 기타 세부 정보를 제공할 수 있습니다.
SA-10	조직은 정보 시스템, 시스템 구성 요소 또는 정보 시스템 서비스 개발자에게 다음을 요구합니다. 시스템, 구성 요소 또는 서비스 개발, 구현 및 운영 중에 구성 관리를 수행합니다. b. b. [할당: 구성 관리 중인 조직 정의 구성 항목]에 대한 변경 사항의 무결성을 문서화, 관리 및 제어 c. 시스템, 구성 요소 또는 서비스에 대해 조직에서 승인한 변경 사항만 구현 d. 시스템, 구성 요소 또는 서비스에 대한 승인된 변경 사항과 그러한 변경으로 인한 잠재적 보안 영향 문서화 시스템, 구성 요소 또는 서비스 내의 보안 결함 및 결함 해결을 추적하고 결과를 [할당: 조직 정의 담당자]에게 보고.	guardduty-non-archived-findings	GuardDuty Amazon은 조사 결과를 심각도 (낮음, 중간, 높음) 별로 분류하여 사고의 영향을 이해하도록 도와줍니다. 이러한 분류를 사용하여 해결 전략 및 우선 순위를 결정할 수 있습니다. 이 규칙을 사용하면 조직의 정책에 따라 보관되지 않은 검색 결과에 대해 daysLowSev (구성 기본값: 30), ( daysMediumSev 구성 기본값: 7) 및 ( daysHighSev 구성 기본값: 1) 을 선택적으로 설정할 수 있습니다.
SA-10	조직은 정보 시스템, 시스템 구성 요소 또는 정보 시스템 서비스 개발자에게 다음을 요구합니다. 시스템, 구성 요소 또는 서비스 개발, 구현 및 운영 중에 구성 관리를 수행합니다. b. b. [할당: 구성 관리 중인 조직 정의 구성 항목]에 대한 변경 사항의 무결성을 문서화, 관리 및 제어 c. 시스템, 구성 요소 또는 서비스에 대해 조직에서 승인한 변경 사항만 구현 d. 시스템, 구성 요소 또는 서비스에 대한 승인된 변경 사항과 그러한 변경으로 인한 잠재적 보안 영향 문서화 시스템, 구성 요소 또는 서비스 내의 보안 결함 및 결함 해결을 추적하고 결과를 [할당: 조직 정의 담당자]에게 보고.	securityhub-enabled	AWS Security Hub는 승인되지 않은 사용자, 연결, 장치 및 소프트웨어를 모니터링하는 데 도움이 됩니다. AWS Security Hub는 여러 서비스의 보안 경고 또는 조사 결과를 집계하고 구성하며 우선 순위를 지정합니다. AWS 이러한 서비스로는 Amazon Security Hub, Amazon Inspector, Amazon AWS Macie, Identity 및 Access Management (IAM) 액세스 분석기, 방화벽 관리자, 파트너 솔루션 AWS 등이 있습니다. AWS
SA-10	조직은 정보 시스템, 시스템 구성 요소 또는 정보 시스템 서비스 개발자에게 다음을 요구합니다. 시스템, 구성 요소 또는 서비스 개발, 구현 및 운영 중에 구성 관리를 수행합니다. b. b. [할당: 구성 관리 중인 조직 정의 구성 항목]에 대한 변경 사항의 무결성을 문서화, 관리 및 제어 c. 시스템, 구성 요소 또는 서비스에 대해 조직에서 승인한 변경 사항만 구현 d. 시스템, 구성 요소 또는 서비스에 대한 승인된 변경 사항과 그러한 변경으로 인한 잠재적 보안 영향 문서화 시스템, 구성 요소 또는 서비스 내의 보안 결함 및 결함 해결을 추적하고 결과를 [할당: 조직 정의 담당자]에게 보고.	ec2- -manager instance-managed-by-systems	Systems AWS Manager를 사용하여 Amazon Elastic Compute Cloud (Amazon EC2) 인스턴스를 관리하면 조직 내 소프트웨어 플랫폼 및 애플리케이션의 인벤토리를 작성할 수 있습니다. AWS Systems Manager를 사용하여 자세한 시스템 구성, 운영 체제 패치 수준, 서비스 이름 및 유형, 소프트웨어 설치, 애플리케이션 이름, 게시자 및 버전, 사용자 환경에 대한 기타 세부 정보를 제공할 수 있습니다.
SA-10	조직은 정보 시스템, 시스템 구성 요소 또는 정보 시스템 서비스 개발자에게 다음을 요구합니다. 시스템, 구성 요소 또는 서비스 개발, 구현 및 운영 중에 구성 관리를 수행합니다. b. b. [할당: 구성 관리 중인 조직 정의 구성 항목]에 대한 변경 사항의 무결성을 문서화, 관리 및 제어 c. 시스템, 구성 요소 또는 서비스에 대해 조직에서 승인한 변경 사항만 구현 d. 시스템, 구성 요소 또는 서비스에 대한 승인된 변경 사항과 그러한 변경으로 인한 잠재적 보안 영향 문서화 시스템, 구성 요소 또는 서비스 내의 보안 결함 및 결함 해결을 추적하고 결과를 [할당: 조직 정의 담당자]에게 보고.	guardduty-enabled-centralized	Amazon은 위협 인텔리전스 피드를 사용하여 잠재적인 사이버 보안 이벤트를 모니터링하고 탐지하는 데 도움을 줄 GuardDuty 수 있습니다. 여기에는 클라우드 환경 내에서 예상치 못한 무단 악의적인 활동을 식별하기 위한 악성 IP 및 기계 학습 목록이 포함됩니다. AWS
SC-2	정보 시스템은 사용자 기능(사용자 인터페이스 서비스 포함)을 정보 시스템 관리 기능과 분리합니다.	iam-no-inline-policy-체크	AWS ID 및 액세스 관리 (IAM) 사용자, IAM 역할 또는 IAM 그룹에 시스템 및 자산에 대한 액세스를 제어하는 인라인 정책이 없는지 확인하십시오. AWS 인라인 정책 대신 관리형 정책을 사용할 것을 권장합니다. 관리형 정책을 사용하면 재사용, 버전 관리, 롤백 및 권한 위임 관리가 가능합니다.
SC-2	정보 시스템은 사용자 기능(사용자 인터페이스 서비스 포함)을 정보 시스템 관리 기능과 분리합니다.	iam-user-group-membership-check	AWS Identity and Access Management (IAM) 를 사용하면 사용자가 하나 이상의 그룹에 속하도록 하여 액세스 권한 및 권한 부여를 제한할 수 있습니다. 사용자에게 작업을 완료하는 데 필요한 것보다 더 많은 권한을 허용하면 최소 권한 및 업무 분리 원칙에 위배될 수 있습니다.
SC-2	정보 시스템은 사용자 기능(사용자 인터페이스 서비스 포함)을 정보 시스템 관리 기능과 분리합니다.	iam-user-no-policies-check	이 규칙을 사용하면 AWS Identity 및 Access Management (IAM) 정책을 그룹 또는 역할에만 연결하여 시스템 및 자산에 대한 액세스를 제어할 수 있습니다. 그룹 또는 역할 수준에서 권한을 할당하면 ID가 과도한 권한을 받거나 보유할 기회를 줄이는 데 도움이 됩니다.
SC-2	정보 시스템은 사용자 기능(사용자 인터페이스 서비스 포함)을 정보 시스템 관리 기능과 분리합니다.	iam-group-has-users-check	AWS Identity and Access Management (IAM) 를 사용하면 IAM 그룹에 최소 한 명의 사용자를 지정하여 최소 권한 및 직무 분리 원칙을 액세스 권한 및 승인과 통합할 수 있습니다. 관련 권한 또는 직무에 따라 사용자를 그룹에 배치하는 것은 최소 권한을 통합하는 한 가지 방법입니다.
SC-2	정보 시스템은 사용자 기능(사용자 인터페이스 서비스 포함)을 정보 시스템 관리 기능과 분리합니다.	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 를 사용하면 최소 권한 및 직무 분리 원칙을 액세스 권한 및 승인과 통합하여 정책에 “리소스”: “*” 대신 “효과”: “허용”과 “조치”: “*”를 포함하는 것을 제한할 수 있습니다. 작업을 완료하는 데 필요한 것보다 더 많은 권한을 갖도록 허용하는 것은 최소 권한 및 업무 분리 원칙에 위배될 수 있습니다.
SC-4	정보 시스템은 공유 시스템 리소스에서 무단 및 의도하지 않은 정보 전송을 방지합니다.	dms-replication-not-public	DMS 복제 인스턴스에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드에 대한 액세스를 관리합니다. DMS 복제 인스턴스에는 민감한 정보가 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
SC-4	정보 시스템은 공유 시스템 리소스에서 무단으로 또는 의도하지 않은 정보 전송을 방지합니다.	ebs-snapshot-public-restorable-check	EBS 스냅샷을 공개적으로 복원할 수 없도록 하여 AWS 클라우드에 대한 액세스를 관리합니다. EBS 볼륨 스냅샷에는 민감한 정보가 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
SC-4	정보 시스템은 공유 시스템 리소스에서 무단으로 또는 의도하지 않은 정보 전송을 방지합니다.	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) 보안 그룹은 리소스에 대한 수신 및 송신 네트워크 트래픽의 상태 기반 필터링을 제공하여 네트워크 액세스를 관리하는 데 도움을 줄 수 있습니다. AWS 리소스의 0.0.0.0/0에서 포트 22로 수신(또는 원격) 트래픽을 허용하지 않으면 원격 액세스를 제한하는 데 도움이 됩니다.
SC-4	정보 시스템은 공유 시스템 리소스로부터의 무단 및 의도하지 않은 정보 전송을 방지합니다.	lambda-function-public-access-금지됨	AWS Lambda 함수에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 퍼블릭 액세스는 잠재적으로 리소스 가용성을 저하시킬 수 있습니다.
SC-4	정보 시스템은 공유 시스템 리소스로부터의 무단 및 의도하지 않은 정보 전송을 방지합니다.	no-unrestricted-route-to-igw	Amazon EC2 라우팅 테이블에는 인터넷 게이트웨이에 대한 무제한 경로가 없어야 합니다. Amazon VPC 내 워크로드의 인터넷 액세스를 제거하거나 제한하면 환경 내에서 의도하지 않은 액세스를 줄일 수 있습니다.
SC-4	정보 시스템은 공유 시스템 리소스에서 무단으로 또는 의도하지 않은 정보 전송을 방지합니다.	rds-instance-public-access-check	Amazon RDatabase Service (Amazon RDS) 인스턴스가 퍼블릭되지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. Amazon RDS 데이터베이스 인스턴스에는 민감한 정보와 원칙이 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
SC-4	정보 시스템은 공유 시스템 리소스로부터의 무단 및 의도하지 않은 정보 전송을 방지합니다.	rds-snapshots-public-prohibited	Amazon RDatabase Service (Amazon RDS) 인스턴스가 퍼블릭되지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. Amazon RDS 데이터베이스 인스턴스에는 민감한 정보와 원칙이 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
SC-4	정보 시스템은 공유 시스템 리소스로부터의 무단 및 의도하지 않은 정보 전송을 방지합니다.	redshift-cluster-public-access-check	Amazon Redshift 클러스터가 퍼블릭되지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. Amazon Redshift 클러스터에는 민감한 정보와 원칙이 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
SC-4	정보 시스템은 공유 시스템 리소스로부터의 무단 및 의도하지 않은 정보 전송을 방지합니다.	restricted-common-ports	Amazon Elastic Compute AWS Cloud (Amazon EC2) 보안 그룹에서 공통 포트를 제한하여 클라우드의 리소스에 대한 액세스를 관리합니다. 포트 액세스를 신뢰할 수 있는 소스로 제한하지 않으면 시스템의 가용성, 무결성 및 기밀성에 대한 공격이 발생할 수 있습니다. 이 규칙을 사용하면 blockedPort1 ~ blockedPort5 파라미터를 선택적으로 설정할 수 있습니다(Config 기본값: 20,21,3389,3306,4333). 실제 값은 조직의 정책을 반영해야 합니다.
SC-4	정보 시스템은 공유 시스템 리소스로부터의 무단 및 의도하지 않은 정보 전송을 방지합니다.	s3- 블록 - account-level-public-access 주기적	Amazon Simple Storage Service (Amazon S3) 버킷에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 이 규칙은 퍼블릭 액세스를 방지하여 권한이 없는 원격 사용자로부터 민감한 데이터를 안전하게 보호하는 데 도움이 됩니다. 이 규칙을 사용하면 (구성 기본값: True), ignorePublicAcls (구성 기본값: True), ( blockPublicPolicy 구성 기본값: True) 및 매개변수 restrictPublicBuckets ( blockPublicAcls 구성 기본값: True) 를 선택적으로 설정할 수 있습니다. 실제 값은 조직의 정책을 반영해야 합니다.
SC-4	정보 시스템은 공유 시스템 리소스에서 무단 및 의도하지 않은 정보 전송을 방지합니다.	s3- - 금지됨 bucket-level-public-access	Amazon Simple Storage Service (Amazon S3) 버킷에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 이 규칙은 버킷 수준에서 퍼블릭 액세스를 차단하여 권한이 없는 원격 사용자로부터 민감한 데이터를 안전하게 보호하는 데 도움이 됩니다.
SC-4	정보 시스템은 공유 시스템 리소스로부터의 무단 및 의도하지 않은 정보 전송을 방지합니다.	s3- bucket-public-read-prohibited	승인된 사용자, 프로세스 및 디바이스만 Amazon Simple Storage Service (Amazon S3) 버킷에 액세스할 수 있도록 허용하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 액세스 관리는 데이터 분류와 일치해야 합니다.
SC-4	정보 시스템은 공유 시스템 리소스로부터의 무단 및 의도하지 않은 정보 전송을 방지합니다.	s3- bucket-public-write-prohibited	승인된 사용자, 프로세스 및 디바이스만 Amazon Simple Storage Service (Amazon S3) 버킷에 액세스할 수 있도록 허용하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 액세스 관리는 데이터 분류와 일치해야 합니다.
SC-4	정보 시스템은 공유 시스템 리소스로부터의 무단 및 의도하지 않은 정보 전송을 방지합니다.	sagemaker-notebook-no-direct-인터넷 액세스	Amazon SageMaker 노트북에서 직접 인터넷 액세스를 허용하지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 직접 인터넷 액세스를 방지함으로써 권한이 없는 사용자가 민감한 데이터에 액세스하는 것을 방지할 수 있습니다.
SC-4	정보 시스템은 공유 시스템 리소스로부터의 무단 및 의도하지 않은 정보 전송을 방지합니다.	ssm-document-not-public	AWS Systems Manager (SSM) 문서는 공개되지 않도록 하십시오. 이렇게 하면 SSM 문서에 의도하지 않은 액세스가 발생할 수 있습니다. 퍼블릭 SSM 문서를 통해 계정, 리소스 및 내부 프로세스에 관한 정보가 노출될 수 있습니다.
SC-4	정보 시스템은 공유 시스템 리소스에서 무단으로 또는 의도하지 않은 정보 전송을 방지합니다.	vpc-default-security-group-폐쇄됨	Amazon Elastic Compute Cloud (Amazon EC2) 보안 그룹은 리소스에 대한 수신 및 송신 네트워크 트래픽의 상태 기반 필터링을 제공하여 네트워크 액세스를 관리하는 데 도움을 줄 수 있습니다. AWS 기본 보안 그룹의 모든 트래픽을 제한하면 리소스에 대한 원격 액세스를 제한하는 데 도움이 됩니다. AWS
SC-4	정보 시스템은 공유 시스템 리소스에서 무단으로 또는 의도하지 않은 정보 전송을 방지합니다.	vpc-sg-open-only-to-authorized-ports	Amazon Elastic Compute AWS Cloud (Amazon EC2) 보안 그룹에서 공통 포트를 제한하여 클라우드의 리소스에 대한 액세스를 관리합니다. 포트 액세스를 신뢰할 수 있는 소스로 제한하지 않으면 시스템의 가용성, 무결성 및 기밀성에 대한 공격이 발생할 수 있습니다. 인터넷(0.0.0.0/0)에서 보안 그룹 내 리소스에 대한 액세스를 제한함으로써 내부 시스템에 대한 원격 액세스를 제어할 수 있습니다.
SC-4	정보 시스템은 공유 시스템 리소스로부터의 무단 및 의도하지 않은 정보 전송을 방지합니다.	ec2- volume-inuse-check	이 규칙은 인스턴스 종료 시 Amazon Elastic Compute Cloud(Amazon EC2) 인스턴스에 연결된 Amazon Elastic Block Store 볼륨이 삭제 대상으로 표시되도록 합니다. 연결된 인스턴스가 종료될 때 Amazon EBS 볼륨이 삭제되지 않으면 최소 기능 개념을 위반할 수 있습니다.
SC-5	정보 시스템은 [할당: 조직이 정의한 보안 보호 장치]를 사용하여 [할당: 조직에서 정의한 유형의 서비스 거부 공격 또는 해당 정보의 출처에 대한 참조]와 같은 유형의 서비스 거부 공격으로부터 보호하거나 그 영향을 제한합니다.	elb-cross-zone-load-밸런싱 활성화	Elastic Load Balancer(ELB)의 영역 간 로드 밸런싱 활성화는 적절한 용량과 가용성을 유지하는 데 도움이 됩니다. 영역 간 로드 밸런싱을 사용하면 활성화된 각 가용성 영역에서 동일한 수의 인스턴스를 유지해야 할 필요성이 줄어듭니다. 또한 애플리케이션이 보다 효과적으로 하나 이상의 인스턴스 손실을 처리할 수 있습니다.
SC-5	정보 시스템은 [할당: 조직이 정의한 보안 보호 장치]를 사용하여 [할당: 조직에서 정의한 유형의 서비스 거부 공격 또는 해당 정보의 출처에 대한 참조]와 같은 유형의 서비스 거부 공격으로부터 보호하거나 그 영향을 제한합니다.	rds-instance-deletion-protection-활성화됨	Amazon Relational Database Service(RDS) 인스턴스에 삭제 방지 기능이 활성화되어 있는지 확인하세요. 삭제 방지를 사용하면 Amazon RDS 인스턴스가 실수로 또는 악의적으로 삭제되어 애플리케이션의 가용성이 손실되는 것을 방지할 수 있습니다.
SC-5	정보 시스템은 [할당: 조직이 정의한 보안 보호 장치]를 사용하여 [할당: 조직에서 정의한 유형의 서비스 거부 공격 또는 해당 정보의 출처에 대한 참조]와 같은 유형의 서비스 거부 공격으로부터 보호하거나 그 영향을 제한합니다.	autoscaling-group-elb-healthcheck-필수	Amazon Elastic Compute Cloud(Amazon EC2) Auto Scaling 그룹의 Elastic Load Balancer(ELB) 상태 확인은 적절한 용량과 가용성의 유지 관리를 지원합니다. 로드 밸런서가 정기적으로 ping을 전송하거나, 연결을 시도하거나, 요청을 전송하여 Auto Scaling 그룹의 Amazon EC2 인스턴스 상태를 테스트합니다. 인스턴스가 다시 보고하지 않는 경우, 트래픽은 새 Amazon EC2 인스턴스로 전송됩니다.
SC-5	정보 시스템은 [할당: 조직이 정의한 보안 보호 장치]를 사용하여 [할당: 조직에서 정의한 유형의 서비스 거부 공격 또는 해당 정보의 출처에 대한 참조]와 같은 유형의 서비스 거부 공격으로부터 보호하거나 그 영향을 제한합니다.	dynamodb-autoscaling-enabled	Amazon DynamoDB Auto AWS Scaling은 Application Auto Scaling 서비스를 사용하여 실제 트래픽 패턴에 자동으로 응답하는 프로비저닝된 처리 용량을 조정합니다. 따라서 테이블 또는 글로벌 보조 인덱스에 따라 할당된 읽기 및 쓰기 용량을 늘려 제한 없이 갑작스러운 트래픽 증가를 처리할 수 있습니다.
SC-5	정보 시스템은 [할당: 조직이 정의한 보안 보호 장치]를 사용하여 [할당: 조직에서 정의한 유형의 서비스 거부 공격 또는 해당 정보의 출처에 대한 참조]와 같은 유형의 서비스 거부 공격으로부터 보호하거나 그 영향을 제한합니다.	dynamodb-pitr-enabled	이 규칙을 사용하면 정보가 백업되었는지 확인할 수 있습니다. 또한 Amazon DynamoDB에서 point-in-time 복구가 활성화되었는지 확인하여 백업을 유지 관리합니다. 복구를 통해 지난 35일 동안의 테이블 연속 백업이 유지됩니다.
SC-5	정보 시스템은 [할당: 조직이 정의한 보안 보호 장치]를 사용하여 [할당: 조직에서 정의한 유형의 서비스 거부 공격 또는 해당 정보의 출처에 대한 참조]와 같은 유형의 서비스 거부 공격으로부터 보호하거나 그 영향을 제한합니다.	ebs-optimized-instance	Amazon Elastic Block Store(Amazon EBS)의 최적화된 인스턴스는 Amazon EBS I/O 작업을 위한 추가 전용 용량을 제공합니다. 이 최적화는 Amazon EBS I/O 작업과 인스턴스의 기타 트래픽 간의 경합을 최소화하여 EBS 볼륨에 가장 효율적인 성능을 제공합니다.
SC-5	정보 시스템은 [할당: 조직이 정의한 보안 보호 장치]를 사용하여 [할당: 조직에서 정의한 유형의 서비스 거부 공격 또는 해당 정보의 출처에 대한 참조]와 같은 유형의 서비스 거부 공격으로부터 보호하거나 그 영향을 제한합니다.	elasticache-redis-cluster-automatic-백업 확인	자동 백업이 활성화되면 Amazon은 매일 클러스터 백업을 ElastiCache 생성합니다. 백업은 조직에서 지정한 기간 동안 유지할 수 있습니다. 자동 백업은 데이터 손실을 막는 데 도움이 됩니다. 장애가 발생할 경우 새로운 클러스터를 생성해 최신 백업에서 모든 데이터를 복원할 수 있습니다.
SC-5	정보 시스템은 [할당: 조직이 정의한 보안 보호 장치]를 사용하여 [할당: 조직에서 정의한 유형의 서비스 거부 공격 또는 해당 정보의 출처에 대한 참조]와 같은 유형의 서비스 거부 공격으로부터 보호하거나 그 영향을 제한합니다.	elb-deletion-protection-enabled	이 규칙은 Elastic Load Balancing이 삭제 방지 기능을 사용하도록 합니다. 이 기능을 사용하면 로드 밸런서가 실수로 또는 악의적으로 삭제되어 애플리케이션의 가용성이 손실되는 것을 방지할 수 있습니다.
SC-5	정보 시스템은 [할당: 조직이 정의한 보안 보호 장치]를 사용하여 [할당: 조직에서 정의한 유형의 서비스 거부 공격 또는 해당 정보의 출처에 대한 참조]와 같은 유형의 서비스 거부 공격으로부터 보호하거나 그 영향을 제한합니다.	guardduty-enabled-centralized	Amazon은 위협 인텔리전스 피드를 사용하여 잠재적인 사이버 보안 이벤트를 모니터링하고 탐지하는 데 도움을 줄 GuardDuty 수 있습니다. 여기에는 클라우드 환경 내에서 예상치 못한 무단 악의적인 활동을 식별하기 위한 악성 IP 및 기계 학습 목록이 포함됩니다. AWS
SC-5	정보 시스템은 [할당: 조직이 정의한 보안 보호 장치]를 사용하여 [할당: 조직에서 정의한 유형의 서비스 거부 공격 또는 해당 정보의 출처에 대한 참조]와 같은 유형의 서비스 거부 공격으로부터 보호하거나 그 영향을 제한합니다.	rds-multi-az-support	Amazon Relational Database Service(RDS)의 다중 AZ 지원은 데이터베이스 인스턴스의 가용성과 내구성을 향상시킵니다. 다중 AZ 데이터베이스 인스턴스를 프로비저닝하면 Amazon RDS가 자동으로 기본 데이터베이스 인스턴스를 생성하고 다른 가용 영역에 있는 대기 인스턴스에 데이터를 동기식으로 복제합니다. 각 가용 영역은 물리적으로 구분된 자체 독립 인프라에서 실행되며 안정성이 높도록 설계되었습니다. 인프라 장애가 발생할 경우, Amazon RDS는 대기 인프라로 자동 장애 조치를 수행하므로 장애 조치가 완료되는 즉시 데이터베이스 작업을 재개할 수 있습니다.
SC-5	정보 시스템은 [할당: 조직이 정의한 보안 보호 장치]를 사용하여 [할당: 조직에서 정의한 유형의 서비스 거부 공격 또는 해당 정보의 출처에 대한 참조]와 같은 유형의 서비스 거부 공격으로부터 보호하거나 그 영향을 제한합니다.	s3- bucket-replication-enabled	Amazon Simple Storage Service(S3) 교차 리전 복제(CRR)는 적절한 용량과 가용성을 유지할 수 있도록 지원합니다. CRR은 Amazon S3 버킷 전체에 걸쳐 객체를 비동기식으로 자동 복사할 수 있으므로 데이터 가용성 유지에 도움이 됩니다.
SC-5	정보 시스템은 [할당: 조직이 정의한 보안 보호 장치]를 사용하여 [할당: 조직에서 정의한 유형의 서비스 거부 공격 또는 해당 정보의 출처에 대한 참조]와 같은 유형의 서비스 거부 공격으로부터 보호하거나 그 영향을 제한합니다.	s3- bucket-versioning-enabled	Amazon Simple Storage Service(S3) 버킷 버전 관리를 사용하면 동일한 Amazon S3 버킷 내에 객체의 여러 변형을 보유할 수 있습니다. 버전 관리를 사용하여 Amazon S3 버킷에 저장된 모든 버전의 모든 객체를 보존, 검색 및 복원합니다. 버전 관리는 의도치 않은 사용자 작업 및 애플리케이션 장애로부터 복구하는 데 도움이 됩니다.
SC-5	정보 시스템은 [할당: 조직이 정의한 보안 보호 장치]를 사용하여 [할당: 조직에서 정의한 유형의 서비스 거부 공격 또는 해당 정보의 출처에 대한 참조]와 같은 유형의 서비스 거부 공격으로부터 보호하거나 그 영향을 제한합니다.	vpc-vpn-2-tunnels-up	중복되는 Site-to-Site VPN 터널을 구현하여 복원력 요구 사항을 달성할 수 있습니다. 두 개의 터널을 사용하여 Site-to-Site VPN 연결 중 하나를 사용할 수 없는 경우를 대비하고 계속적인 연결을 보장합니다. 고객 게이트웨이를 사용할 수 없을 때 연결이 끊어지지 않도록, 두 번째 고객 게이트웨이를 사용하여 Amazon Virtual Private Cloud(VPC)와 가상 프라이빗 게이트웨이에 대한 두 번째 Site-to-Site VPN 연결을 설정할 수 있습니다.
SC-7(3)	정보 시스템에 대한 외부 네트워크 연결 수를 제한합니다.	autoscaling-launch-config-public-ip - 비활성화됨	퍼블릭 IP 주소로 네트워크 인터페이스를 구성하면 인터넷에서 해당 네트워크 인터페이스에 연결된 리소스에 도달할 수 있습니다. EC2 리소스에는 공개적으로 액세스할 수 없어야 합니다. 애플리케이션이나 서버에 의도하지 않은 액세스가 허용될 수 있기 때문입니다.
SC-7(3)	정보 시스템에 대한 외부 네트워크 연결 수를 제한합니다.	ec2- instances-in-vpc	Amazon Elastic Compute Cloud(Amazon EC2) 인스턴스를 Amazon Virtual Private Cloud(VPC) 내에 배포하면 인터넷 게이트웨이, NAT 디바이스 또는 VPN 연결 없이 Amazon VPC 내부에서 인스턴스와 다른 서비스 간에 보안 통신이 가능합니다. 모든 트래픽은 AWS 클라우드 내에서 안전하게 유지됩니다. 논리적 격리로 인해 퍼블릭 엔드포인트를 사용할 때에 비해, Amazon VPC에 상주하는 도메인에는 보안 계층이 하나 추가됩니다. Amazon EC2 인스턴스를 Amazon VPC에 할당하여 액세스를 적절하게 관리합니다.
SC-7(3)	정보 시스템에 대한 외부 네트워크 연결 수를 제한합니다.	ssm-document-not-public	AWS Systems Manager (SSM) 문서는 공개되지 않도록 하십시오. 이렇게 하면 SSM 문서에 의도하지 않은 액세스가 발생할 수 있습니다. 퍼블릭 SSM 문서를 통해 계정, 리소스 및 내부 프로세스에 관한 정보가 노출될 수 있습니다.
SC-7(3)	정보 시스템에 대한 외부 네트워크 연결 수를 제한합니다.	dms-replication-not-public	DMS 복제 인스턴스에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드에 대한 액세스를 관리합니다. DMS 복제 인스턴스에는 민감한 정보가 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
SC-7(3)	정보 시스템에 대한 외부 네트워크 연결 수를 제한합니다.	ebs-snapshot-public-restorable-check	EBS 스냅샷을 공개적으로 복원할 수 없도록 하여 AWS 클라우드에 대한 액세스를 관리합니다. EBS 볼륨 스냅샷에는 민감한 정보가 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
SC-7(3)	정보 시스템에 대한 외부 네트워크 연결 수를 제한합니다.	ec2- instance-no-public-ip	Amazon Elastic Compute AWS Cloud (Amazon EC2) 인스턴스에 공개적으로 액세스할 수 없도록 하여 클라우드에 대한 액세스를 관리합니다. Amazon EC2 인스턴스에는 민감한 정보가 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
SC-7(3)	정보 시스템에 대한 외부 네트워크 연결 수를 제한합니다.	elasticsearch-in-vpc-only	Amazon OpenSearch 서비스 (OpenSearch 서비스) 도메인이 Amazon VPC (가상 사설 클라우드) 내에 있는지 확인하여 클라우드에 대한 액세스를 관리합니다. AWS Amazon VPC 내의 OpenSearch 서비스 도메인을 사용하면 인터넷 게이트웨이, NAT 디바이스 또는 VPN 연결 없이 Amazon VPC 내의 서비스와 다른 OpenSearch 서비스 간에 안전하게 통신할 수 있습니다.
SC-7(3)	정보 시스템에 대한 외부 네트워크 연결 수를 제한합니다.	emr-master-no-public-ip	Amazon EMR 클러스터 마스터 노드에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드에 대한 액세스를 관리합니다. Amazon EMR 클러스터 프라이머리 노드에는 민감한 정보가 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
SC-7(3)	정보 시스템에 대한 외부 네트워크 연결 수를 제한합니다.	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) 보안 그룹은 리소스에 대한 수신 및 송신 네트워크 트래픽의 상태 기반 필터링을 제공하여 네트워크 액세스를 관리하는 데 도움을 줄 수 있습니다. AWS 리소스의 0.0.0.0/0에서 포트 22로 수신(또는 원격) 트래픽을 허용하지 않으면 원격 액세스를 제한하는 데 도움이 됩니다.
SC-7(3)	정보 시스템에 대한 외부 네트워크 연결 수를 제한합니다.	lambda-function-public-access-금지됨	AWS Lambda 함수에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 퍼블릭 액세스는 잠재적으로 리소스 가용성을 저하시킬 수 있습니다.
SC-7(3)	정보 시스템에 대한 외부 네트워크 연결 수를 제한합니다.	lambda-inside-vpc	Amazon VPC 내의 함수와 다른 서비스 간의 안전한 통신을 위해 Amazon VPC (가상 사설 클라우드) 내에 Lambda 함수를 AWS 배포하십시오. 이 구성을 사용하면 인터넷 게이트웨이, NAT 디바이스 또는 VPN 연결이 필요하지 않습니다. 모든 트래픽은 클라우드 내에서 안전하게 유지됩니다. AWS 논리적 격리로 인해 퍼블릭 엔드포인트를 사용할 때에 비해, Amazon VPC에 상주하는 도메인에는 보안 계층이 하나 추가됩니다. 액세스를 적절하게 관리하려면 AWS Lambda 함수를 VPC에 할당해야 합니다.
SC-7(3)	정보 시스템에 대한 외부 네트워크 연결 수를 제한합니다.	rds-instance-public-access-check	Amazon RDatabase Service (Amazon RDS) 인스턴스가 퍼블릭되지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. Amazon RDS 데이터베이스 인스턴스에는 민감한 정보와 원칙이 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
SC-7(3)	정보 시스템에 대한 외부 네트워크 연결 수를 제한합니다.	rds-snapshots-public-prohibited	Amazon RDatabase Service (Amazon RDS) 인스턴스가 퍼블릭되지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. Amazon RDS 데이터베이스 인스턴스에는 민감한 정보와 원칙이 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
SC-7(3)	정보 시스템에 대한 외부 네트워크 연결 수를 제한합니다.	redshift-cluster-public-access-check	Amazon Redshift 클러스터가 퍼블릭되지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. Amazon Redshift 클러스터에는 민감한 정보와 원칙이 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
SC-7(3)	정보 시스템에 대한 외부 네트워크 연결 수를 제한합니다.	restricted-common-ports	Amazon Elastic Compute AWS Cloud (Amazon EC2) 보안 그룹에서 공통 포트를 제한하여 클라우드의 리소스에 대한 액세스를 관리합니다. 포트 액세스를 신뢰할 수 있는 소스로 제한하지 않으면 시스템의 가용성, 무결성 및 기밀성에 대한 공격이 발생할 수 있습니다. 이 규칙을 사용하면 blockedPort1 ~ blockedPort5 파라미터를 선택적으로 설정할 수 있습니다(Config 기본값: 20,21,3389,3306,4333). 실제 값은 조직의 정책을 반영해야 합니다.
SC-7(3)	정보 시스템에 대한 외부 네트워크 연결 수를 제한합니다.	S3- 블록 - account-level-public-access 주기적	Amazon Simple Storage Service (Amazon S3) 버킷에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 이 규칙은 퍼블릭 액세스를 방지하여 권한이 없는 원격 사용자로부터 민감한 데이터를 안전하게 보호하는 데 도움이 됩니다. 이 규칙을 사용하면 (구성 기본값: True), ignorePublicAcls (구성 기본값: True), ( blockPublicPolicy 구성 기본값: True) 및 매개변수 restrictPublicBuckets ( blockPublicAcls 구성 기본값: True) 를 선택적으로 설정할 수 있습니다. 실제 값은 조직의 정책을 반영해야 합니다.
SC-7(3)	정보 시스템에 대한 외부 네트워크 연결 수를 제한합니다.	s3 bucket-level-public-access - 금지	Amazon Simple Storage Service (Amazon S3) 버킷에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 이 규칙은 버킷 수준에서 퍼블릭 액세스를 차단하여 권한이 없는 원격 사용자로부터 민감한 데이터를 안전하게 보호하는 데 도움이 됩니다.
SC-7(3)	정보 시스템에 대한 외부 네트워크 연결 수를 제한합니다.	s3- bucket-public-read-prohibited	승인된 사용자, 프로세스 및 디바이스만 Amazon Simple Storage Service (Amazon S3) 버킷에 액세스할 수 있도록 허용하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 액세스 관리는 데이터 분류와 일치해야 합니다.
SC-7(3)	정보 시스템에 대한 외부 네트워크 연결 수를 제한합니다.	s3- bucket-public-write-prohibited	승인된 사용자, 프로세스 및 디바이스만 Amazon Simple Storage Service (Amazon S3) 버킷에 액세스할 수 있도록 허용하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 액세스 관리는 데이터 분류와 일치해야 합니다.
SC-7(3)	정보 시스템에 대한 외부 네트워크 연결 수를 제한합니다.	sagemaker-notebook-no-direct-인터넷 액세스	Amazon SageMaker 노트북에서 직접 인터넷 액세스를 허용하지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 직접 인터넷 액세스를 방지함으로써 권한이 없는 사용자가 민감한 데이터에 액세스하는 것을 방지할 수 있습니다.
SC-7(3)	정보 시스템에 대한 외부 네트워크 연결 수를 제한합니다.	subnet-auto-assign-public-ip-비활성화됨	Amazon VPC (Virtual Private Cloud) 서브넷에 퍼블릭 IP 주소가 자동으로 할당되지 않도록 하여 클라우드에 대한 액세스를 관리합니다. AWS 이 속성이 활성화된 서브넷에서 시작되는 Amazon Elastic Compute Cloud(EC2) 인스턴스에는 기본 네트워크 인터페이스에 할당된 퍼블릭 IP 주소가 있습니다.
SC-7(3)	정보 시스템에 대한 외부 네트워크 연결 수를 제한합니다.	vpc-default-security-group-닫혔습니다.	Amazon Elastic Compute Cloud (Amazon EC2) 보안 그룹은 리소스에 대한 수신 및 송신 네트워크 트래픽의 상태 기반 필터링을 제공하여 네트워크 액세스를 관리하는 데 도움을 줄 수 있습니다. AWS 기본 보안 그룹의 모든 트래픽을 제한하면 리소스에 대한 원격 액세스를 제한하는 데 도움이 됩니다. AWS
SC-7(3)	정보 시스템에 대한 외부 네트워크 연결 수를 제한합니다.	vpc-sg-open-only-to-authorized-ports	Amazon Elastic Compute AWS Cloud (Amazon EC2) 보안 그룹에서 공통 포트를 제한하여 클라우드의 리소스에 대한 액세스를 관리합니다. 포트 액세스를 신뢰할 수 있는 소스로 제한하지 않으면 시스템의 가용성, 무결성 및 기밀성에 대한 공격이 발생할 수 있습니다. 인터넷(0.0.0.0/0)에서 보안 그룹 내 리소스에 대한 액세스를 제한함으로써 내부 시스템에 대한 원격 액세스를 제어할 수 있습니다.
SC-7(4)	조직: (a) 각 외부 통신 서비스에 대한 관리 인터페이스를 구현하고, (b) 각 관리 인터페이스에 대한 트래픽 흐름 정책을 수립하고, (c) 각 인터페이스를 통해 전송되는 정보의 기밀성과 무결성을 보호하고, (d) 트래픽 흐름 정책에 대한 각 예외를 지원하는 임무/비즈니스 요구 사항 및 해당 요구 기간과 함께 문서화하고, (e) 트래픽 흐름 정책에 대한 예외를 검토하고 [할당: 조직에서 정의한 빈도] 명시적 임무/비즈니스 필요에서 더 이상 지원되지 않는 예외를 제거합니다. 추가 지침: 관련 제어: SC-8.	rds-snapshots-public-prohibited	Amazon RDatabase Service (Amazon RDS) 인스턴스가 퍼블릭되지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. Amazon RDS 데이터베이스 인스턴스에는 민감한 정보와 원칙이 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
SC-7(4)	조직: (a) 각 외부 통신 서비스에 대한 관리 인터페이스를 구현하고, (b) 각 관리 인터페이스에 대한 트래픽 흐름 정책을 수립하고, (c) 각 인터페이스를 통해 전송되는 정보의 기밀성과 무결성을 보호하고, (d) 트래픽 흐름 정책에 대한 각 예외를 지원하는 임무/비즈니스 요구 사항 및 해당 요구 기간과 함께 문서화하고, (e) 트래픽 흐름 정책에 대한 예외를 검토하고 [할당: 조직에서 정의한 빈도] 명시적 임무/비즈니스 필요에서 더 이상 지원되지 않는 예외를 제거합니다. 추가 지침: 관련 제어: SC-8.	rds-snapshot-encrypted	Amazon Relational Database Service(RDS) 스냅샷에 대해 암호화가 활성화되었는지 확인합니다. 저장 중 민감한 데이터가 존재할 수 있으므로 저장 중 암호화를 활성화하여 해당 데이터를 보호합니다.
SC-7(4)	조직: (a) 각 외부 통신 서비스에 대한 관리 인터페이스를 구현하고, (b) 각 관리 인터페이스에 대한 트래픽 흐름 정책을 수립하고, (c) 각 인터페이스를 통해 전송되는 정보의 기밀성과 무결성을 보호하고, (d) 트래픽 흐름 정책에 대한 각 예외를 지원하는 임무/비즈니스 요구 사항 및 해당 요구 기간과 함께 문서화하고, (e) 트래픽 흐름 정책에 대한 예외를 검토하고 [할당: 조직에서 정의한 빈도] 명시적 임무/비즈니스 필요에서 더 이상 지원되지 않는 예외를 제거합니다. 추가 지침: 관련 제어: SC-8.	rds-storage-encrypted	저장 데이터를 보호하기 위해 Amazon Relational Database Service(RDS) 인스턴스에 대해 암호화가 활성화되었는지 확인합니다. Amazon RDS 인스턴스에 저장 중 민감한 데이터가 존재할 수 있으므로 저장 중 암호화를 활성화하여 해당 데이터를 보호합니다.
SC-7(4)	조직: (a) 각 외부 통신 서비스에 대한 관리 인터페이스를 구현하고, (b) 각 관리 인터페이스에 대한 트래픽 흐름 정책을 수립하고, (c) 각 인터페이스를 통해 전송되는 정보의 기밀성과 무결성을 보호하고, (d) 트래픽 흐름 정책에 대한 각 예외를 지원하는 임무/비즈니스 요구 사항 및 해당 요구 기간과 함께 문서화하고, (e) 트래픽 흐름 정책에 대한 예외를 검토하고 [할당: 조직에서 정의한 빈도] 명시적 임무/비즈니스 필요에서 더 이상 지원되지 않는 예외를 제거합니다. 추가 지침: 관련 제어: SC-8.	vpc-default-security-group-닫혔습니다.	Amazon Elastic Compute Cloud (Amazon EC2) 보안 그룹은 리소스에 대한 수신 및 송신 네트워크 트래픽의 상태 기반 필터링을 제공하여 네트워크 액세스를 관리하는 데 도움을 줄 수 있습니다. AWS 기본 보안 그룹의 모든 트래픽을 제한하면 리소스에 대한 원격 액세스를 제한하는 데 도움이 됩니다. AWS
SC-7(4)	조직: (a) 각 외부 통신 서비스에 대한 관리 인터페이스를 구현하고, (b) 각 관리 인터페이스에 대한 트래픽 흐름 정책을 수립하고, (c) 각 인터페이스를 통해 전송되는 정보의 기밀성과 무결성을 보호하고, (d) 트래픽 흐름 정책에 대한 각 예외를 지원하는 임무/비즈니스 요구 사항 및 해당 요구 기간과 함께 문서화하고, (e) 트래픽 흐름 정책에 대한 예외를 검토하고 [할당: 조직에서 정의한 빈도] 명시적 임무/비즈니스 필요에서 더 이상 지원되지 않는 예외를 제거합니다. 추가 지침: 관련 제어: SC-8.	vpc-flow-logs-enabled	VPC 흐름 로그는 Amazon Virtual Private Cloud(VPC)의 네트워크 인터페이스에서 들어오고 나가는 IP 트래픽에 관한 정보의 자세한 기록을 제공합니다. 기본적으로 이 흐름 로그 레코드에는 소스, 대상, 프로토콜 등 IP 흐름의 다양한 구성 요소에 대한 값이 포함됩니다.
SC-7(4)	조직: (a) 각 외부 통신 서비스에 대한 관리 인터페이스를 구현하고, (b) 각 관리 인터페이스에 대한 트래픽 흐름 정책을 수립하고, (c) 각 인터페이스를 통해 전송되는 정보의 기밀성과 무결성을 보호하고, (d) 트래픽 흐름 정책에 대한 각 예외를 지원하는 임무/비즈니스 요구 사항 및 해당 요구 기간과 함께 문서화하고, (e) 트래픽 흐름 정책에 대한 예외를 검토하고 [할당: 조직에서 정의한 빈도] 명시적 임무/비즈니스 필요에서 더 이상 지원되지 않는 예외를 제거합니다. 추가 지침: 관련 제어: SC-8.	redshift-cluster-kms-enabled	저장된 데이터를 보호하려면 Amazon Redshift 클러스터에AWS KMS ( AWS 키 관리 서비스) 를 통한 암호화가 활성화되어 있는지 확인하십시오. Redshift 클러스터에 저장 중 민감한 데이터가 존재할 수 있으므로 저장 중 암호화를 활성화하여 해당 데이터를 보호합니다.
SC-7(5)	관리형 인터페이스의 정보 시스템은 기본적으로 네트워크 통신 트래픽을 거부하고 예외적으로 네트워크 통신 트래픽을 허용합니다(즉, 모두 거부, 예외에 의한 허용). 추가 지침: 이 제어 개선 사항은 인바운드 및 아웃바운드 네트워크 통신 트래픽에 모두 적용됩니다. permit-by-exception 네트워크 통신 트래픽 거부 정책은 필수적이고 승인된 연결만 허용하도록 보장합니다.	vpc-sg-open-only-to-authorized-ports	Amazon Elastic Compute AWS Cloud (Amazon EC2) 보안 그룹에서 공통 포트를 제한하여 클라우드의 리소스에 대한 액세스를 관리합니다. 포트 액세스를 신뢰할 수 있는 소스로 제한하지 않으면 시스템의 가용성, 무결성 및 기밀성에 대한 공격이 발생할 수 있습니다. 인터넷(0.0.0.0/0)에서 보안 그룹 내 리소스에 대한 액세스를 제한함으로써 내부 시스템에 대한 원격 액세스를 제어할 수 있습니다.
SC-7	정보 시스템: a. a. 시스템 외부 경계 및 시스템 내 주요 내부 경계에서의 통신을 모니터링하고 제어합니다. b. [선택: 물리적으로, 논리적으로] 내부 조직 네트워크와 분리된 공개적으로 액세스할 수 있는 시스템 구성 요소를 위한 서브네트워크를 구현합니다. c. 조직 보안 아키텍처에 따라 정렬된 경계 보호 장치로 구성된 관리형 인터페이스를 통해서만 외부 네트워크 또는 정보 시스템에 연결합니다.	alb-waf-enabled	웹 애플리케이션을 보호하는 데 도움이 되도록 엘라스틱 로드 밸런서 (ELB) 에서 AWS WAF를 활성화해야 합니다. WAF는 일반적인 웹 익스플로잇으로부터 웹 애플리케이션 또는 API를 보호하는 데 도움이 됩니다. 이러한 웹 익스플로잇은 사용자 환경에서 가용성에 영향을 미치거나, 보안을 손상시키거나, 리소스를 과도하게 소비할 수 있습니다.
SC-7	정보 시스템: a. a. 시스템 외부 경계 및 시스템 내 주요 내부 경계에서의 통신을 모니터링하고 제어합니다. b. [선택: 물리적으로, 논리적으로] 내부 조직 네트워크와 분리된 공개적으로 액세스할 수 있는 시스템 구성 요소를 위한 서브네트워크를 구현합니다. c. 조직 보안 아키텍처에 따라 정렬된 경계 보호 장치로 구성된 관리형 인터페이스를 통해서만 외부 네트워크 또는 정보 시스템에 연결합니다.	elasticsearch-node-to-node-암호화 검사	Amazon OpenSearch 서비스에 대한 node-to-node 암호화가 활성화되어 있는지 확인하십시오. ode-to-node 암호화는 Amazon VPC (가상 사설 클라우드) 내의 모든 통신에 대해 TLS 1.2 암호화를 가능하게 합니다. 민감한 데이터가 존재할 수 있으므로 전송 중 암호화를 활성화하여 해당 데이터를 보호합니다.
SC-7	정보 시스템: a. a. 시스템 외부 경계 및 시스템 내 주요 내부 경계에서의 통신을 모니터링하고 제어합니다. b. [선택: 물리적으로, 논리적으로] 내부 조직 네트워크와 분리된 공개적으로 액세스할 수 있는 시스템 구성 요소를 위한 서브네트워크를 구현합니다. c. 조직 보안 아키텍처에 따라 정렬된 경계 보호 장치로 구성된 관리형 인터페이스를 통해서만 외부 네트워크 또는 정보 시스템에 연결합니다.	elb-tls-https-listeners전용	Elastic Load Balancer(ELB)가 SSL 또는 HTTPS 리스너로 구성되어 있는지 확인하세요. 민감한 데이터가 존재할 수 있으므로 전송 중 암호화를 활성화하여 해당 데이터를 보호합니다.
SC-7	정보 시스템: a. a. 시스템 외부 경계 및 시스템 내 주요 내부 경계에서의 통신을 모니터링하고 제어합니다. b. [선택: 물리적으로, 논리적으로] 내부 조직 네트워크와 분리된 공개적으로 액세스할 수 있는 시스템 구성 요소를 위한 서브네트워크를 구현합니다. c. 조직 보안 아키텍처에 따라 정렬된 경계 보호 장치로 구성된 관리형 인터페이스를 통해서만 외부 네트워크 또는 정보 시스템에 연결합니다.	ec2- instances-in-vpc	Amazon Elastic Compute Cloud(Amazon EC2) 인스턴스를 Amazon Virtual Private Cloud(VPC) 내에 배포하면 인터넷 게이트웨이, NAT 디바이스 또는 VPN 연결 없이 Amazon VPC 내부에서 인스턴스와 다른 서비스 간에 보안 통신이 가능합니다. 모든 트래픽은 AWS 클라우드 내에서 안전하게 유지됩니다. 논리적 격리로 인해 퍼블릭 엔드포인트를 사용할 때에 비해, Amazon VPC에 상주하는 도메인에는 보안 계층이 하나 추가됩니다. Amazon EC2 인스턴스를 Amazon VPC에 할당하여 액세스를 적절하게 관리합니다.
SC-7	정보 시스템: a. a. 시스템 외부 경계 및 시스템 내 주요 내부 경계에서의 통신을 모니터링하고 제어합니다. b. [선택: 물리적으로, 논리적으로] 내부 조직 네트워크와 분리된 공개적으로 액세스할 수 있는 시스템 구성 요소를 위한 서브네트워크를 구현합니다. c. 조직 보안 아키텍처에 따라 정렬된 경계 보호 장치로 구성된 관리형 인터페이스를 통해서만 외부 네트워크 또는 정보 시스템에 연결합니다.	wafv2-logging-enabled	환경 내에서 로깅 및 모니터링을 지원하려면 지역 및 글로벌 웹 ACL에서 AWS WAF (V2) 로깅을 활성화하십시오. AWS WAF 로깅은 웹 ACL에서 분석된 트래픽에 대한 자세한 정보를 제공합니다. 로그에는 AWS WAF가 AWS 리소스로부터 요청을 받은 시간, 요청에 대한 정보, 각 요청이 일치하는 규칙에 대한 조치가 기록됩니다.
SC-7	정보 시스템: a. a. 시스템 외부 경계 및 시스템 내 주요 내부 경계에서의 통신을 모니터링하고 제어합니다. b. [선택: 물리적으로, 논리적으로] 내부 조직 네트워크와 분리된 공개적으로 액세스할 수 있는 시스템 구성 요소를 위한 서브네트워크를 구현합니다. c. 조직 보안 아키텍처에 따라 정렬된 경계 보호 장치로 구성된 관리형 인터페이스를 통해서만 외부 네트워크 또는 정보 시스템에 연결합니다.	alb-http-to-https-리디렉션 검사	전송 중 데이터를 보호하려면 Application Load Balancer가 암호화되지 않은 HTTP 요청을 자동으로 HTTPS로 리디렉션하도록 해야 합니다. 민감한 데이터가 존재할 수 있으므로 전송 중 암호화를 활성화하여 해당 데이터를 보호합니다.
SC-7	정보 시스템: a. a. 시스템 외부 경계 및 시스템 내 주요 내부 경계에서의 통신을 모니터링하고 제어합니다. b. [선택: 물리적으로, 논리적으로] 내부 조직 네트워크와 분리된 공개적으로 액세스할 수 있는 시스템 구성 요소를 위한 서브네트워크를 구현합니다. c. 조직 보안 아키텍처에 따라 정렬된 경계 보호 장치로 구성된 관리형 인터페이스를 통해서만 외부 네트워크 또는 정보 시스템에 연결합니다.	dms-replication-not-public	DMS 복제 인스턴스에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드에 대한 액세스를 관리합니다. DMS 복제 인스턴스에는 민감한 정보가 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
SC-7	정보 시스템: a. a. 시스템 외부 경계 및 시스템 내 주요 내부 경계에서의 통신을 모니터링하고 제어합니다. b. [선택: 물리적으로, 논리적으로] 내부 조직 네트워크와 분리된 공개적으로 액세스할 수 있는 시스템 구성 요소를 위한 서브네트워크를 구현합니다. c. 조직 보안 아키텍처에 따라 정렬된 경계 보호 장치로 구성된 관리형 인터페이스를 통해서만 외부 네트워크 또는 정보 시스템에 연결합니다.	ebs-snapshot-public-restorable-check	EBS 스냅샷을 공개적으로 복원할 수 없도록 하여 AWS 클라우드에 대한 액세스를 관리합니다. EBS 볼륨 스냅샷에는 민감한 정보가 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
SC-7	정보 시스템: a. a. 시스템 외부 경계 및 시스템 내 주요 내부 경계에서의 통신을 모니터링하고 제어합니다. b. [선택: 물리적으로, 논리적으로] 내부 조직 네트워크와 분리된 공개적으로 액세스할 수 있는 시스템 구성 요소를 위한 서브네트워크를 구현합니다. c. 조직 보안 아키텍처에 따라 정렬된 경계 보호 장치로 구성된 관리형 인터페이스를 통해서만 외부 네트워크 또는 정보 시스템에 연결합니다.	ec2- instance-no-public-ip	Amazon Elastic Compute AWS Cloud (Amazon EC2) 인스턴스에 공개적으로 액세스할 수 없도록 하여 클라우드에 대한 액세스를 관리합니다. Amazon EC2 인스턴스에는 민감한 정보가 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
SC-7	정보 시스템: a. a. 시스템 외부 경계 및 시스템 내 주요 내부 경계에서의 통신을 모니터링하고 제어합니다. b. [선택: 물리적으로, 논리적으로] 내부 조직 네트워크와 분리된 공개적으로 액세스할 수 있는 시스템 구성 요소를 위한 서브네트워크를 구현합니다. c. 조직 보안 아키텍처에 따라 정렬된 경계 보호 장치로 구성된 관리형 인터페이스를 통해서만 외부 네트워크 또는 정보 시스템에 연결합니다.	elasticsearch-in-vpc-only	Amazon OpenSearch 서비스 (OpenSearch 서비스) 도메인이 Amazon VPC (가상 사설 클라우드) 내에 있는지 확인하여 클라우드에 대한 액세스를 관리합니다. AWS Amazon VPC 내의 OpenSearch 서비스 도메인을 사용하면 인터넷 게이트웨이, NAT 디바이스 또는 VPN 연결 없이 Amazon VPC 내의 서비스와 다른 OpenSearch 서비스 간에 안전하게 통신할 수 있습니다.
SC-7	정보 시스템: a. a. 시스템 외부 경계 및 시스템 내 주요 내부 경계에서의 통신을 모니터링하고 제어합니다. b. [선택: 물리적으로, 논리적으로] 내부 조직 네트워크와 분리된 공개적으로 액세스할 수 있는 시스템 구성 요소를 위한 서브네트워크를 구현합니다. c. 조직 보안 아키텍처에 따라 정렬된 경계 보호 장치로 구성된 관리형 인터페이스를 통해서만 외부 네트워크 또는 정보 시스템에 연결합니다.	emr-master-no-public-ip	Amazon EMR 클러스터 마스터 노드에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드에 대한 액세스를 관리합니다. Amazon EMR 클러스터 프라이머리 노드에는 민감한 정보가 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
SC-7	정보 시스템: a. a. 시스템 외부 경계 및 시스템 내 주요 내부 경계에서의 통신을 모니터링하고 제어합니다. b. [선택: 물리적으로, 논리적으로] 내부 조직 네트워크와 분리된 공개적으로 액세스할 수 있는 시스템 구성 요소를 위한 서브네트워크를 구현합니다. c. 조직 보안 아키텍처에 따라 정렬된 경계 보호 장치로 구성된 관리형 인터페이스를 통해서만 외부 네트워크 또는 정보 시스템에 연결합니다.	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) 보안 그룹은 리소스에 대한 수신 및 송신 네트워크 트래픽의 상태 기반 필터링을 제공하여 네트워크 액세스를 관리하는 데 도움을 줄 수 있습니다. AWS 리소스의 0.0.0.0/0에서 포트 22로 수신(또는 원격) 트래픽을 허용하지 않으면 원격 액세스를 제한하는 데 도움이 됩니다.
SC-7	정보 시스템: a. a. 시스템 외부 경계 및 시스템 내 주요 내부 경계에서의 통신을 모니터링하고 제어합니다. b. [선택: 물리적으로, 논리적으로] 내부 조직 네트워크와 분리된 공개적으로 액세스할 수 있는 시스템 구성 요소를 위한 서브네트워크를 구현합니다. c. 조직 보안 아키텍처에 따라 정렬된 경계 보호 장치로 구성된 관리형 인터페이스를 통해서만 외부 네트워크 또는 정보 시스템에 연결합니다.	lambda-function-public-access-금지됨	AWS Lambda 함수에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 퍼블릭 액세스는 잠재적으로 리소스 가용성을 저하시킬 수 있습니다.
SC-7	정보 시스템: a. a. 시스템 외부 경계 및 시스템 내 주요 내부 경계에서의 통신을 모니터링하고 제어합니다. b. [선택: 물리적으로, 논리적으로] 내부 조직 네트워크와 분리된 공개적으로 액세스할 수 있는 시스템 구성 요소를 위한 서브네트워크를 구현합니다. c. 조직 보안 아키텍처에 따라 정렬된 경계 보호 장치로 구성된 관리형 인터페이스를 통해서만 외부 네트워크 또는 정보 시스템에 연결합니다.	lambda-inside-vpc	Amazon VPC 내의 함수와 다른 서비스 간의 안전한 통신을 위해 Amazon VPC (가상 사설 클라우드) 내에 Lambda 함수를 AWS 배포하십시오. 이 구성을 사용하면 인터넷 게이트웨이, NAT 디바이스 또는 VPN 연결이 필요하지 않습니다. 모든 트래픽은 클라우드 내에서 안전하게 유지됩니다. AWS 논리적 격리로 인해 퍼블릭 엔드포인트를 사용할 때에 비해, Amazon VPC에 상주하는 도메인에는 보안 계층이 하나 추가됩니다. 액세스를 적절하게 관리하려면 AWS Lambda 함수를 VPC에 할당해야 합니다.
SC-7	정보 시스템: a. a. 시스템 외부 경계 및 시스템 내 주요 내부 경계에서의 통신을 모니터링하고 제어합니다. b. [선택: 물리적으로, 논리적으로] 내부 조직 네트워크와 분리된 공개적으로 액세스할 수 있는 시스템 구성 요소를 위한 서브네트워크를 구현합니다. c. 조직 보안 아키텍처에 따라 정렬된 경계 보호 장치로 구성된 관리형 인터페이스를 통해서만 외부 네트워크 또는 정보 시스템에 연결합니다.	rds-instance-public-access-check	Amazon RDatabase Service (Amazon RDS) 인스턴스가 퍼블릭되지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. Amazon RDS 데이터베이스 인스턴스에는 민감한 정보와 원칙이 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
SC-7	정보 시스템: a. a. 시스템 외부 경계 및 시스템 내 주요 내부 경계에서의 통신을 모니터링하고 제어합니다. b. [선택: 물리적으로, 논리적으로] 내부 조직 네트워크와 분리된 공개적으로 액세스할 수 있는 시스템 구성 요소를 위한 서브네트워크를 구현합니다. c. 조직 보안 아키텍처에 따라 정렬된 경계 보호 장치로 구성된 관리형 인터페이스를 통해서만 외부 네트워크 또는 정보 시스템에 연결합니다.	rds-snapshots-public-prohibited	Amazon RDatabase Service (Amazon RDS) 인스턴스가 퍼블릭되지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. Amazon RDS 데이터베이스 인스턴스에는 민감한 정보와 원칙이 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
SC-7	정보 시스템: a. a. 시스템 외부 경계 및 시스템 내 주요 내부 경계에서의 통신을 모니터링하고 제어합니다. b. [선택: 물리적으로, 논리적으로] 내부 조직 네트워크와 분리된 공개적으로 액세스할 수 있는 시스템 구성 요소를 위한 서브네트워크를 구현합니다. c. 조직 보안 아키텍처에 따라 정렬된 경계 보호 장치로 구성된 관리형 인터페이스를 통해서만 외부 네트워크 또는 정보 시스템에 연결합니다.	redshift-cluster-public-access-check	Amazon Redshift 클러스터가 퍼블릭되지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. Amazon Redshift 클러스터에는 민감한 정보와 원칙이 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
SC-7	정보 시스템: a. a. 시스템 외부 경계 및 시스템 내 주요 내부 경계에서의 통신을 모니터링하고 제어합니다. b. [선택: 물리적으로, 논리적으로] 내부 조직 네트워크와 분리된 공개적으로 액세스할 수 있는 시스템 구성 요소를 위한 서브네트워크를 구현합니다. c. 조직 보안 아키텍처에 따라 정렬된 경계 보호 장치로 구성된 관리형 인터페이스를 통해서만 외부 네트워크 또는 정보 시스템에 연결합니다.	redshift-require-tls-ssl	Amazon Redshift 클러스터를 SQL 클라이언트에 연결하려면 TLS/SSL 암호화가 필요한지 확인하세요. 민감한 데이터가 존재할 수 있으므로 전송 중 암호화를 활성화하여 해당 데이터를 보호합니다.
SC-7	정보 시스템: a. a. 시스템 외부 경계 및 시스템 내 주요 내부 경계에서의 통신을 모니터링하고 제어합니다. b. [선택: 물리적으로, 논리적으로] 내부 조직 네트워크와 분리된 공개적으로 액세스할 수 있는 시스템 구성 요소를 위한 서브네트워크를 구현합니다. c. 조직 보안 아키텍처에 따라 정렬된 경계 보호 장치로 구성된 관리형 인터페이스를 통해서만 외부 네트워크 또는 정보 시스템에 연결합니다.	restricted-common-ports	Amazon Elastic Compute AWS Cloud (Amazon EC2) 보안 그룹에서 공통 포트를 제한하여 클라우드의 리소스에 대한 액세스를 관리합니다. 포트 액세스를 신뢰할 수 있는 소스로 제한하지 않으면 시스템의 가용성, 무결성 및 기밀성에 대한 공격이 발생할 수 있습니다. 이 규칙을 사용하면 blockedPort1 ~ blockedPort5 파라미터를 선택적으로 설정할 수 있습니다(Config 기본값: 20,21,3389,3306,4333). 실제 값은 조직의 정책을 반영해야 합니다.
SC-7	정보 시스템: a. a. 시스템 외부 경계 및 시스템 내 주요 내부 경계에서의 통신을 모니터링하고 제어합니다. b. [선택: 물리적으로, 논리적으로] 내부 조직 네트워크와 분리된 공개적으로 액세스할 수 있는 시스템 구성 요소를 위한 서브네트워크를 구현합니다. c. 조직 보안 아키텍처에 따라 정렬된 경계 보호 장치로 구성된 관리형 인터페이스를 통해서만 외부 네트워크 또는 정보 시스템에 연결합니다.	S3- 블록 - account-level-public-access 주기적	Amazon Simple Storage Service (Amazon S3) 버킷에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 이 규칙은 퍼블릭 액세스를 방지하여 권한이 없는 원격 사용자로부터 민감한 데이터를 안전하게 보호하는 데 도움이 됩니다. 이 규칙을 사용하면 (구성 기본값: True), ignorePublicAcls (구성 기본값: True), ( blockPublicPolicy 구성 기본값: True) 및 매개변수 restrictPublicBuckets ( blockPublicAcls 구성 기본값: True) 를 선택적으로 설정할 수 있습니다. 실제 값은 조직의 정책을 반영해야 합니다.
SC-7	정보 시스템: a. a. 시스템 외부 경계 및 시스템 내 주요 내부 경계에서의 통신을 모니터링하고 제어합니다. b. [선택: 물리적으로, 논리적으로] 내부 조직 네트워크와 분리된 공개적으로 액세스할 수 있는 시스템 구성 요소를 위한 서브네트워크를 구현합니다. c. 조직 보안 아키텍처에 따라 정렬된 경계 보호 장치로 구성된 관리형 인터페이스를 통해서만 외부 네트워크 또는 정보 시스템에 연결합니다.	s3 bucket-level-public-access - 금지	Amazon Simple Storage Service (Amazon S3) 버킷에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 이 규칙은 버킷 수준에서 퍼블릭 액세스를 차단하여 권한이 없는 원격 사용자로부터 민감한 데이터를 안전하게 보호하는 데 도움이 됩니다.
SC-7	정보 시스템: a. a. 시스템 외부 경계 및 시스템 내 주요 내부 경계에서의 통신을 모니터링하고 제어합니다. b. [선택: 물리적으로, 논리적으로] 내부 조직 네트워크와 분리된 공개적으로 액세스할 수 있는 시스템 구성 요소를 위한 서브네트워크를 구현합니다. c. 조직 보안 아키텍처에 따라 정렬된 경계 보호 장치로 구성된 관리형 인터페이스를 통해서만 외부 네트워크 또는 정보 시스템에 연결합니다.	s3- bucket-public-read-prohibited	승인된 사용자, 프로세스 및 디바이스만 Amazon Simple Storage Service (Amazon S3) 버킷에 액세스할 수 있도록 허용하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 액세스 관리는 데이터 분류와 일치해야 합니다.
SC-7	정보 시스템: a. a. 시스템 외부 경계 및 시스템 내 주요 내부 경계에서의 통신을 모니터링하고 제어합니다. b. [선택: 물리적으로, 논리적으로] 내부 조직 네트워크와 분리된 공개적으로 액세스할 수 있는 시스템 구성 요소를 위한 서브네트워크를 구현합니다. c. 조직 보안 아키텍처에 따라 정렬된 경계 보호 장치로 구성된 관리형 인터페이스를 통해서만 외부 네트워크 또는 정보 시스템에 연결합니다.	s3- bucket-public-write-prohibited	승인된 사용자, 프로세스 및 디바이스만 Amazon Simple Storage Service (Amazon S3) 버킷에 액세스할 수 있도록 허용하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 액세스 관리는 데이터 분류와 일치해야 합니다.
SC-7	정보 시스템: a. a. 시스템 외부 경계 및 시스템 내 주요 내부 경계에서의 통신을 모니터링하고 제어합니다. b. [선택: 물리적으로, 논리적으로] 내부 조직 네트워크와 분리된 공개적으로 액세스할 수 있는 시스템 구성 요소를 위한 서브네트워크를 구현합니다. c. 조직 보안 아키텍처에 따라 정렬된 경계 보호 장치로 구성된 관리형 인터페이스를 통해서만 외부 네트워크 또는 정보 시스템에 연결합니다.	s3- bucket-ssl-requests-only	전송 중 데이터 데이터를 보호하려면 Amazon Simple Storage Service(S3) 버킷에 보안 소켓 계층(SSL) 사용 요청이 필요한지 확인하세요. 민감한 데이터가 존재할 수 있으므로 전송 중 암호화를 활성화하여 해당 데이터를 보호합니다.
SC-7	정보 시스템: a. a. 시스템 외부 경계 및 시스템 내 주요 내부 경계에서의 통신을 모니터링하고 제어합니다. b. [선택: 물리적으로, 논리적으로] 내부 조직 네트워크와 분리된 공개적으로 액세스할 수 있는 시스템 구성 요소를 위한 서브네트워크를 구현합니다. c. 조직 보안 아키텍처에 따라 정렬된 경계 보호 장치로 구성된 관리형 인터페이스를 통해서만 외부 네트워크 또는 정보 시스템에 연결합니다.	sagemaker-notebook-no-direct-인터넷 액세스	Amazon SageMaker 노트북에서 직접 인터넷 액세스를 허용하지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 직접 인터넷 액세스를 방지함으로써 권한이 없는 사용자가 민감한 데이터에 액세스하는 것을 방지할 수 있습니다.
SC-7	정보 시스템: a. a. 시스템 외부 경계 및 시스템 내 주요 내부 경계에서의 통신을 모니터링하고 제어합니다. b. [선택: 물리적으로, 논리적으로] 내부 조직 네트워크와 분리된 공개적으로 액세스할 수 있는 시스템 구성 요소를 위한 서브네트워크를 구현합니다. c. 조직 보안 아키텍처에 따라 정렬된 경계 보호 장치로 구성된 관리형 인터페이스를 통해서만 외부 네트워크 또는 정보 시스템에 연결합니다.	subnet-auto-assign-public-ip-비활성화됨	Amazon VPC (Virtual Private Cloud) 서브넷에 퍼블릭 IP 주소가 자동으로 할당되지 않도록 하여 클라우드에 대한 액세스를 관리합니다. AWS 이 속성이 활성화된 서브넷에서 시작되는 Amazon Elastic Compute Cloud(EC2) 인스턴스에는 기본 네트워크 인터페이스에 할당된 퍼블릭 IP 주소가 있습니다.
SC-7	정보 시스템: a. a. 시스템 외부 경계 및 시스템 내 주요 내부 경계에서의 통신을 모니터링하고 제어합니다. b. [선택: 물리적으로, 논리적으로] 내부 조직 네트워크와 분리된 공개적으로 액세스할 수 있는 시스템 구성 요소를 위한 서브네트워크를 구현합니다. c. 조직 보안 아키텍처에 따라 정렬된 경계 보호 장치로 구성된 관리형 인터페이스를 통해서만 외부 네트워크 또는 정보 시스템에 연결합니다.	vpc-default-security-group-닫혔습니다.	Amazon Elastic Compute Cloud (Amazon EC2) 보안 그룹은 리소스에 대한 수신 및 송신 네트워크 트래픽의 상태 기반 필터링을 제공하여 네트워크 액세스를 관리하는 데 도움을 줄 수 있습니다. AWS 기본 보안 그룹의 모든 트래픽을 제한하면 리소스에 대한 원격 액세스를 제한하는 데 도움이 됩니다. AWS
SC-7	정보 시스템: a. a. 시스템 외부 경계 및 시스템 내 주요 내부 경계에서의 통신을 모니터링하고 제어합니다. b. [선택: 물리적으로, 논리적으로] 내부 조직 네트워크와 분리된 공개적으로 액세스할 수 있는 시스템 구성 요소를 위한 서브네트워크를 구현합니다. c. 조직 보안 아키텍처에 따라 정렬된 경계 보호 장치로 구성된 관리형 인터페이스를 통해서만 외부 네트워크 또는 정보 시스템에 연결합니다.	vpc-sg-open-only-to-authorized-ports	Amazon Elastic Compute AWS Cloud (Amazon EC2) 보안 그룹에서 공통 포트를 제한하여 클라우드의 리소스에 대한 액세스를 관리합니다. 포트 액세스를 신뢰할 수 있는 소스로 제한하지 않으면 시스템의 가용성, 무결성 및 기밀성에 대한 공격이 발생할 수 있습니다. 인터넷(0.0.0.0/0)에서 보안 그룹 내 리소스에 대한 액세스를 제한함으로써 내부 시스템에 대한 원격 액세스를 제어할 수 있습니다.
SC-8(1)	정보 시스템은 [할당: 조직이 정의한 대체 물리적 보호 장치]에 의해 달리 보호되지 않는 한 전송 중에 [선택(하나 이상): 정보의 무단 공개 방지, 정보 변경 감지]를 위한 암호화 메커니즘을 구현합니다.	elasticsearch-node-to-node-암호화 검사	Amazon OpenSearch 서비스에 대한 node-to-node 암호화가 활성화되어 있는지 확인하십시오. ode-to-node 암호화는 Amazon VPC (가상 사설 클라우드) 내의 모든 통신에 대해 TLS 1.2 암호화를 가능하게 합니다. 민감한 데이터가 존재할 수 있으므로 전송 중 암호화를 활성화하여 해당 데이터를 보호합니다.
SC-8(1)	정보 시스템은 [할당: 조직이 정의한 대체 물리적 보호 장치]에 의해 달리 보호되지 않는 한 전송 중에 [선택(하나 이상): 정보의 무단 공개 방지, 정보 변경 감지]를 위한 암호화 메커니즘을 구현합니다.	elbv2- acm-certificate-required	민감한 데이터가 존재할 수 있으므로 전송 시 데이터를 보호하는 데 도움이 되도록 Elastic Load Balancing에 대해 암호화가 활성화되었는지 확인합니다. AWS Certificate Manager를 사용하여 AWS 서비스 및 내부 리소스가 포함된 공개 및 사설 SSL/TLS 인증서를 관리, 프로비저닝 및 배포할 수 있습니다.
SC-8(1)	정보 시스템은 [할당: 조직이 정의한 대체 물리적 보호 장치]에 의해 달리 보호되지 않는 한 전송 중에 [선택(하나 이상): 정보의 무단 공개 방지, 정보 변경 감지]를 위한 암호화 메커니즘을 구현합니다.	elb-tls-https-listeners전용	Elastic Load Balancer(ELB)가 SSL 또는 HTTPS 리스너로 구성되어 있는지 확인하세요. 민감한 데이터가 존재할 수 있으므로 전송 중 암호화를 활성화하여 해당 데이터를 보호합니다.
SC-8(1)	정보 시스템은 [할당: 조직이 정의한 대체 물리적 보호 장치]에 의해 달리 보호되지 않는 한 전송 중에 [선택(하나 이상): 정보의 무단 공개 방지, 정보 변경 감지]를 위한 암호화 메커니즘을 구현합니다.	alb-http-to-https-리다이렉션 체크	전송 중 데이터를 보호하려면 Application Load Balancer가 암호화되지 않은 HTTP 요청을 자동으로 HTTPS로 리디렉션하도록 해야 합니다. 민감한 데이터가 존재할 수 있으므로 전송 중 암호화를 활성화하여 해당 데이터를 보호합니다.
SC-8(1)	정보 시스템은 [할당: 조직이 정의한 대체 물리적 보호 장치]에 의해 달리 보호되지 않는 한 전송 중에 [선택(하나 이상): 정보의 무단 공개 방지, 정보 변경 감지]를 위한 암호화 메커니즘을 구현합니다.	api-gw-ssl-enabled	Amazon API Gateway REST API 스테이지를 SSL 인증서로 구성하여 요청이 API Gateway에서 시작되었음을 백엔드 시스템이 인증할 수 있도록 하세요.
SC-8(1)	정보 시스템은 [할당: 조직이 정의한 대체 물리적 보호 장치]에 의해 달리 보호되지 않는 한 전송 중에 [선택(하나 이상): 정보의 무단 공개 방지, 정보 변경 감지]를 위한 암호화 메커니즘을 구현합니다.	redshift-require-tls-ssl	Amazon Redshift 클러스터를 SQL 클라이언트에 연결하려면 TLS/SSL 암호화가 필요한지 확인하세요. 민감한 데이터가 존재할 수 있으므로 전송 중 암호화를 활성화하여 해당 데이터를 보호합니다.
SC-8(1)	정보 시스템은 [할당: 조직이 정의한 대체 물리적 보호 장치]에 의해 달리 보호되지 않는 한 전송 중에 [선택(하나 이상): 정보의 무단 공개 방지, 정보 변경 감지]를 위한 암호화 메커니즘을 구현합니다.	s3- bucket-ssl-requests-only	전송 중 데이터 데이터를 보호하려면 Amazon Simple Storage Service(S3) 버킷에 보안 소켓 계층(SSL) 사용 요청이 필요한지 확인하세요. 민감한 데이터가 존재할 수 있으므로 전송 중 암호화를 활성화하여 해당 데이터를 보호합니다.
SC-8	정보 시스템은 전송된 정보의 기밀성과 무결성을 보호합니다.	elasticsearch-node-to-node-암호화 검사	Amazon OpenSearch 서비스에 대한 node-to-node 암호화가 활성화되어 있는지 확인하십시오. ode-to-node 암호화는 Amazon VPC (가상 사설 클라우드) 내의 모든 통신에 대해 TLS 1.2 암호화를 가능하게 합니다. 민감한 데이터가 존재할 수 있으므로 전송 중 암호화를 활성화하여 해당 데이터를 보호합니다.
SC-8	정보 시스템은 전송된 정보의 기밀성과 무결성을 보호합니다.	elbv2- acm-certificate-required	민감한 데이터가 존재할 수 있으므로 전송 시 데이터를 보호하는 데 도움이 되도록 Elastic Load Balancing에 대해 암호화가 활성화되었는지 확인합니다. AWS Certificate Manager를 사용하여 AWS 서비스 및 내부 리소스가 포함된 공개 및 사설 SSL/TLS 인증서를 관리, 프로비저닝 및 배포할 수 있습니다.
SC-8	정보 시스템은 전송된 정보의 기밀성과 무결성을 보호합니다.	elb-tls-https-listeners전용	Elastic Load Balancer(ELB)가 SSL 또는 HTTPS 리스너로 구성되어 있는지 확인하세요. 민감한 데이터가 존재할 수 있으므로 전송 중 암호화를 활성화하여 해당 데이터를 보호합니다.
SC-8	정보 시스템은 전송된 정보의 기밀성과 무결성을 보호합니다.	alb-http-to-https-리다이렉션 체크	전송 중 데이터를 보호하려면 Application Load Balancer가 암호화되지 않은 HTTP 요청을 자동으로 HTTPS로 리디렉션하도록 해야 합니다. 민감한 데이터가 존재할 수 있으므로 전송 중 암호화를 활성화하여 해당 데이터를 보호합니다.
SC-8	정보 시스템은 전송된 정보의 기밀성과 무결성을 보호합니다.	api-gw-ssl-enabled	Amazon API Gateway REST API 스테이지를 SSL 인증서로 구성하여 요청이 API Gateway에서 시작되었음을 백엔드 시스템이 인증할 수 있도록 하세요.
SC-8	정보 시스템은 전송된 정보의 기밀성과 무결성을 보호합니다.	redshift-require-tls-ssl	Amazon Redshift 클러스터를 SQL 클라이언트에 연결하려면 TLS/SSL 암호화가 필요한지 확인하세요. 민감한 데이터가 존재할 수 있으므로 전송 중 암호화를 활성화하여 해당 데이터를 보호합니다.
SC-8	정보 시스템은 전송된 정보의 기밀성과 무결성을 보호합니다.	s3- bucket-ssl-requests-only	전송 중 데이터 데이터를 보호하려면 Amazon Simple Storage Service(S3) 버킷에 보안 소켓 계층(SSL) 사용 요청이 필요한지 확인하세요. 민감한 데이터가 존재할 수 있으므로 전송 중 암호화를 활성화하여 해당 데이터를 보호합니다.
SC-12	조직은 [할당: 키 생성, 배포, 저장, 액세스 및 폐기에 대한 조직이 정의한 요구 사항]에 따라 정보 시스템 내에서 사용되는 필수 암호화를 위한 암호화 키를 설정하고 관리합니다.	cmk-backing-key-rotation-활성화됨	키 로테이션을 활성화하여 암호화 기간이 종료된 후 키가 교체되도록 하세요.
SC-12	조직은 [할당: 키 생성, 배포, 저장, 액세스 및 폐기에 대한 조직이 정의한 요구 사항]에 따라 정보 시스템 내에서 사용되는 필수 암호화를 위한 암호화 키를 설정하고 관리합니다.	acm-certificate-expiration-check	ACM에서 X509 인증서를 발급하도록 하여 네트워크 무결성이 보호되도록 하십시오. AWS 이러한 인증서는 유효하고 만료되지 않은 것이어야 합니다. 이 규칙에는 daysToExpiration (AWS 기본 보안 모범 사례 값: 90) 의 값이 필요합니다. 실제 값은 조직의 정책을 반영해야 합니다.
SC-12	조직은 [할당: 키 생성, 배포, 저장, 액세스 및 폐기에 대한 조직이 정의한 요구 사항]에 따라 정보 시스템 내에서 사용되는 필수 암호화를 위한 암호화 키를 설정하고 관리합니다.	kms-cmk-not-scheduled-삭제용	저장된 데이터를 보호하려면 필요한 고객 마스터 키 (CMK) 가 KMS ( AWS 키 관리 서비스) 에서 삭제되도록 예약되지 않도록 하십시오.AWS 때때로 키 삭제가 필요하기 때문에 이 규칙은 실수로 키가 예약된 경우 삭제가 예약된 모든 키를 확인하는 데 도움을 줄 수 있습니다.
SC-13	정보 시스템은 관련 연방법, 행정 명령, 지침, 정책, 규정 및 표준에 따라 FIPS 검증 또는 NSA 승인 암호화를 구현합니다.	kms-cmk-not-scheduled-삭제용	저장된 데이터를 보호하려면 필요한 고객 마스터 키 (CMK) 가 KMS ( AWS 키 관리 서비스) 에서 삭제되도록 예약되지 않도록 하십시오.AWS 때때로 키 삭제가 필요하기 때문에 이 규칙은 실수로 키가 예약된 경우 삭제가 예약된 모든 키를 확인하는 데 도움을 줄 수 있습니다.
SC-13	정보 시스템은 관련 연방법, 행정 명령, 지침, 정책, 규정 및 표준에 따라 FIPS 검증 또는 NSA 승인 암호화를 구현합니다.	s3- default-encryption-kms	Amazon Simple Storage Service(S3) 버킷에 대해 암호화가 활성화되어 있는지 확인합니다. Amazon S3 버킷에 저장 중 민감한 데이터가 존재할 수 있으므로 저장 중 암호화를 활성화하여 해당 데이터를 보호합니다.
SC-13	정보 시스템은 관련 연방법, 행정 명령, 지침, 정책, 규정 및 표준에 따라 FIPS 검증 또는 NSA 승인 암호화를 구현합니다.	sagemaker-endpoint-configuration-kms-키 구성	저장된 데이터를 보호하려면 엔드포인트에AWS KMS ( AWS 키 관리 서비스) 를 통한 암호화가 활성화되어 있는지 확인하십시오. SageMaker 민감한 데이터가 SageMaker 엔드포인트에 저장되어 있을 수 있으므로 저장 중 암호화를 활성화하면 해당 데이터를 보호하는 데 도움이 됩니다.
SC-13	정보 시스템은 관련 연방법, 행정 명령, 지침, 정책, 규정 및 표준에 따라 FIPS 검증 또는 NSA 승인 암호화를 구현합니다.	sagemaker-notebook-instance-kms-키 구성	저장된 데이터를 보호하려면 노트북에AWS KMS ( AWS 키 관리 서비스) 를 통한 암호화가 활성화되어 있는지 확인하십시오. SageMaker 민감한 데이터가 SageMaker 노트북에 저장되어 있을 수 있으므로 저장 시 암호화를 활성화하면 해당 데이터를 보호하는 데 도움이 됩니다.
SC-13	정보 시스템은 관련 연방법, 행정 명령, 지침, 정책, 규정 및 표준에 따라 FIPS 검증 또는 NSA 승인 암호화를 구현합니다.	sns-encrypted-kms	저장된 데이터를 보호하려면 Amazon Simple Notification Service (Amazon SNS) 주제에 KMS (키 관리 서비스AWS ) AWS 를 사용한 암호화가 필수인지 확인하십시오. 게시된 메시지에 민감한 데이터가 저장될 수 있으므로 저장 중 암호화를 활성화하여 해당 데이터를 보호합니다.
SC-13	정보 시스템은 관련 연방법, 행정 명령, 지침, 정책, 규정 및 표준에 따라 FIPS 검증 또는 NSA 승인 암호화를 구현합니다.	redshift-cluster-kms-enabled	저장된 데이터를 보호하려면 Amazon Redshift 클러스터에AWS KMS ( AWS 키 관리 서비스) 를 통한 암호화가 활성화되어 있는지 확인하십시오. Redshift 클러스터에 저장 중 민감한 데이터가 존재할 수 있으므로 저장 중 암호화를 활성화하여 해당 데이터를 보호합니다.
SC-23	정보 시스템은 통신 세션의 신뢰성을 보호합니다.	elasticsearch-node-to-node-암호화 검사	Amazon OpenSearch 서비스에 대한 node-to-node 암호화가 활성화되어 있는지 확인하십시오. ode-to-node 암호화는 Amazon VPC (가상 사설 클라우드) 내의 모든 통신에 대해 TLS 1.2 암호화를 가능하게 합니다. 민감한 데이터가 존재할 수 있으므로 전송 중 암호화를 활성화하여 해당 데이터를 보호합니다.
SC-23	정보 시스템은 통신 세션의 신뢰성을 보호합니다.	elb-tls-https-listeners전용	Elastic Load Balancer(ELB)가 SSL 또는 HTTPS 리스너로 구성되어 있는지 확인하세요. 민감한 데이터가 존재할 수 있으므로 전송 중 암호화를 활성화하여 해당 데이터를 보호합니다.
SC-23	정보 시스템은 통신 세션의 신뢰성을 보호합니다.	alb-http-to-https-리다이렉션 체크	전송 중 데이터를 보호하려면 Application Load Balancer가 암호화되지 않은 HTTP 요청을 자동으로 HTTPS로 리디렉션하도록 해야 합니다. 민감한 데이터가 존재할 수 있으므로 전송 중 암호화를 활성화하여 해당 데이터를 보호합니다.
SC-23	정보 시스템은 통신 세션의 신뢰성을 보호합니다.	api-gw-ssl-enabled	Amazon API Gateway REST API 스테이지를 SSL 인증서로 구성하여 요청이 API Gateway에서 시작되었음을 백엔드 시스템이 인증할 수 있도록 하세요.
SC-23	정보 시스템은 통신 세션의 신뢰성을 보호합니다.	redshift-require-tls-ssl	Amazon Redshift 클러스터를 SQL 클라이언트에 연결하려면 TLS/SSL 암호화가 필요한지 확인하세요. 민감한 데이터가 존재할 수 있으므로 전송 중 암호화를 활성화하여 해당 데이터를 보호합니다.
SC-23	정보 시스템은 통신 세션의 신뢰성을 보호합니다.	s3- bucket-ssl-requests-only	전송 중 데이터 데이터를 보호하려면 Amazon Simple Storage Service(S3) 버킷에 보안 소켓 계층(SSL) 사용 요청이 필요한지 확인하세요. 민감한 데이터가 존재할 수 있으므로 전송 중 암호화를 활성화하여 해당 데이터를 보호합니다.
SC-28	정보 시스템은 [할당: 조직이 정의한 저장된 정보]의 기밀성과 무결성을 보호합니다.	s3- bucket-default-lock-enabled	Amazon Simple Storage Service(S3) 버킷에 기본적으로 잠금이 활성화되어 있는지 확인합니다. S3 버킷에 저장 중 민감한 데이터가 있을 수 있으므로 해당 데이터를 보호할 수 있도록 저장 시 객체 잠금을 적용합니다.
SC-28	정보 시스템은 [할당: 조직이 정의한 저장된 정보]의 기밀성과 무결성을 보호합니다.	s3- default-encryption-kms	Amazon Simple Storage Service(S3) 버킷에 대해 암호화가 활성화되어 있는지 확인합니다. Amazon S3 버킷에 저장 중 민감한 데이터가 존재할 수 있으므로 저장 중 암호화를 활성화하여 해당 데이터를 보호합니다.
SC-28	정보 시스템은 [할당: 조직이 정의한 저장된 정보]의 기밀성과 무결성을 보호합니다.	sagemaker-notebook-instance-kms-키 구성	저장된 데이터를 보호하려면 노트북에AWS KMS ( AWS 키 관리 서비스) 를 통한 암호화가 활성화되어 있는지 확인하십시오. SageMaker 민감한 데이터가 SageMaker 노트북에 저장되어 있을 수 있으므로 저장 시 암호화를 활성화하면 해당 데이터를 보호하는 데 도움이 됩니다.
SC-28	정보 시스템은 [할당: 조직이 정의한 저장된 정보]의 기밀성과 무결성을 보호합니다.	sns-encrypted-kms	저장된 데이터를 보호하려면 Amazon Simple Notification Service (Amazon SNS) 주제에 KMS (키 관리 서비스AWS ) AWS 를 사용한 암호화가 필수인지 확인하십시오. 게시된 메시지에 저장 중 민감한 데이터가 존재할 수 있으므로 저장 중 암호화를 활성화하여 해당 데이터를 보호합니다.
SC-28	정보 시스템은 [할당: 조직이 정의한 저장된 정보]의 기밀성과 무결성을 보호합니다.	api-gw-cache-enabled-그리고 암호화되었습니다.	저장 데이터를 보호하려면 API Gateway 단계의 캐시에 암호화가 활성화되어 있어야 합니다. API 메서드에서 민감한 데이터를 캡처할 수 있으므로 저장 중 암호화를 활성화하면 해당 데이터를 보호하는 데 도움이 됩니다.
SC-28	정보 시스템은 [할당: 조직이 정의한 저장된 정보]의 기밀성과 무결성을 보호합니다.	cloud-trail-encryption-enabled	민감한 데이터가 존재할 수 있으며 저장된 데이터를 보호하는 데 도움이 되므로 트레일에 암호화를 활성화해야 AWS CloudTrail 합니다.
SC-28	정보 시스템은 [할당: 조직이 정의한 저장된 정보]의 기밀성과 무결성을 보호합니다.	cloudwatch-log-group-encrypted	저장된 민감한 데이터를 보호하려면 Amazon CloudWatch Log Groups에 암호화가 활성화되어 있는지 확인하십시오.
SC-28	정보 시스템은 [할당: 조직이 정의한 저장된 정보]의 기밀성과 무결성을 보호합니다.	ec2- ebs-encryption-by-default	저장 데이터를 보호하려면Amazon Elastic Block Store(Amazon EBS) 볼륨에 대해 암호화를 활성화해야 합니다. 이러한 볼륨에 저장 중 민감한 데이터가 존재할 수 있으므로 저장 중 암호화를 활성화하여 해당 데이터를 보호합니다.
SC-28	정보 시스템은 [할당: 조직이 정의한 저장된 정보]의 기밀성과 무결성을 보호합니다.	efs-encrypted-check	민감한 데이터가 존재할 수 있으므로 저장 데이터를 보호하는 데 도움이 되도록 Amazon Elastic File System(EFS)에 대해 암호화가 활성화되어 있는지 확인합니다.
SC-28	정보 시스템은 [할당: 조직이 정의한 저장된 정보]의 기밀성과 무결성을 보호합니다.	elasticsearch-encrypted-at-rest	민감한 데이터가 존재할 수 있고 저장된 데이터를 보호하는 데 도움이 되므로 Amazon OpenSearch Service (OpenSearch Service) 도메인에 암호화가 활성화되어 있는지 확인하십시오.
SC-28	정보 시스템은 [할당: 조직이 정의한 저장된 정보]의 기밀성과 무결성을 보호합니다.	encrypted-volumes	민감한 데이터가 존재할 수 있으므로 저장 데이터를 보호하는 데 도움이 되도록 Amazon Elastic Block Store(Amazon EBS)에 대해 암호화가 활성화되어 있는지 확인합니다.
SC-28	정보 시스템은 [할당: 조직이 정의한 저장된 정보]의 기밀성과 무결성을 보호합니다.	kms-cmk-not-scheduled-삭제용	저장된 데이터를 보호하려면 필요한 고객 마스터 키 (CMK) 가 KMS ( AWS 키 관리 서비스) 에서 삭제되도록 예약되지 않도록 하십시오.AWS 때때로 키 삭제가 필요하기 때문에 이 규칙은 실수로 키가 예약된 경우 삭제가 예약된 모든 키를 확인하는 데 도움을 줄 수 있습니다.
SC-28	정보 시스템은 [할당: 조직이 정의한 저장된 정보]의 기밀성과 무결성을 보호합니다.	rds-snapshot-encrypted	Amazon Relational Database Service(RDS) 스냅샷에 대해 암호화가 활성화되었는지 확인합니다. 저장 중 민감한 데이터가 존재할 수 있으므로 저장 중 암호화를 활성화하여 해당 데이터를 보호합니다.
SC-28	정보 시스템은 [할당: 조직이 정의한 저장된 정보]의 기밀성과 무결성을 보호합니다.	rds-storage-encrypted	저장 데이터를 보호하기 위해 Amazon Relational Database Service(RDS) 인스턴스에 대해 암호화가 활성화되었는지 확인합니다. Amazon RDS 인스턴스에 저장 중 민감한 데이터가 존재할 수 있으므로 저장 중 암호화를 활성화하여 해당 데이터를 보호합니다.
SC-28	정보 시스템은 [할당: 조직이 정의한 저장된 정보]의 기밀성과 무결성을 보호합니다.	redshift-cluster-configuration-check	저장 데이터를 보호하기 위해 Amazon Redshift 클러스터에 대해 암호화가 활성화되어 있는지 확인합니다. 또한 필수 구성이 Amazon Redshift 클러스터에 배포되었는지 확인해야 합니다. 데이터베이스의 연결 및 사용자 활동에 관한 정보를 제공하려면 감사 로깅을 활성화해야 합니다. 이 규칙을 사용하려면 clusterDbEncrypted (구성 기본값: TRUE) 에 값을 설정하고 로깅을 활성화해야 합니다 (구성 기본값: TRUE). 실제 값은 조직의 정책을 반영해야 합니다.
SC-28	정보 시스템은 [할당: 조직이 정의한 저장된 정보]의 기밀성과 무결성을 보호합니다.	redshift-cluster-kms-enabled	저장된 데이터를 보호하려면 Amazon Redshift 클러스터에AWS KMS ( AWS 키 관리 서비스) 를 통한 암호화가 활성화되어 있는지 확인하십시오. Redshift 클러스터에 저장 중 민감한 데이터가 존재할 수 있으므로 저장 중 암호화를 활성화하여 해당 데이터를 보호합니다.
SC-28	정보 시스템은 [할당: 조직이 정의한 저장된 정보]의 기밀성과 무결성을 보호합니다.	s3- 지원 bucket-server-side-encryption	저장 데이터를 보호하려면 Amazon Simple Storage Service(S3) 버킷에 대해 암호화가 활성화되어 있는지 확인합니다. Amazon S3 버킷에 저장 중 민감한 데이터가 존재할 수 있으므로 암호화를 활성화하여 해당 데이터를 보호합니다.
SC-28	정보 시스템은 [할당: 조직이 정의한 저장된 정보]의 기밀성과 무결성을 보호합니다.	sagemaker-endpoint-configuration-kms-키 구성	저장된 데이터를 보호하려면 엔드포인트에AWS KMS ( AWS 키 관리 서비스) 를 통한 암호화가 활성화되어 있는지 확인하십시오. SageMaker 민감한 데이터가 SageMaker 엔드포인트에 저장되어 있을 수 있으므로 저장 중 암호화를 활성화하면 해당 데이터를 보호하는 데 도움이 됩니다.
SI-2(2)	조직은 자동화된 메커니즘을 최소 매월 사용하여 결함 수정과 관련된 정보 시스템 구성 요소의 상태를 결정합니다.	ec2- -manager instance-managed-by-systems	Systems AWS Manager를 사용하여 Amazon Elastic Compute Cloud (Amazon EC2) 인스턴스를 관리하면 조직 내 소프트웨어 플랫폼 및 애플리케이션의 인벤토리를 작성할 수 있습니다. AWS Systems Manager를 사용하여 자세한 시스템 구성, 운영 체제 패치 수준, 서비스 이름 및 유형, 소프트웨어 설치, 애플리케이션 이름, 게시자 및 버전, 사용자 환경에 대한 기타 세부 정보를 제공할 수 있습니다.
SI-2(2)	조직은 자동화된 메커니즘을 최소 매월 사용하여 결함 수정과 관련된 정보 시스템 구성 요소의 상태를 결정합니다.	ec2- -check managedinstance-association-compliance-status	AWS Systems Manager 연결을 사용하면 조직 내 소프트웨어 플랫폼 및 애플리케이션의 인벤토리를 관리하는 데 도움이 됩니다. AWS Systems Manager는 관리형 인스턴스에 구성 상태를 할당하고 운영 체제 패치 수준, 소프트웨어 설치, 애플리케이션 구성 및 환경에 대한 기타 세부 정보의 기준을 설정할 수 있도록 합니다.
SI-2(2)	조직은 자동화된 메커니즘을 최소 매월 사용하여 결함 수정과 관련된 정보 시스템 구성 요소의 상태를 결정합니다.	ec2- -check managedinstance-patch-compliance-status	이 규칙을 활성화하면 Amazon Elastic Compute Cloud(Amazon EC2) 취약성을 식별하고 문서화하는 데 도움이 됩니다. 이 규칙은 조직의 정책 및 절차에 따라 AWS Systems Manager에서 Amazon EC2 인스턴스 패치 규정 준수 여부를 확인합니다.
SI-2(2)	조직은 자동화된 메커니즘을 최소 매월 사용하여 결함 수정과 관련된 정보 시스템 구성 요소의 상태를 결정합니다.	elastic-beanstalk-managed-updates-활성화됨	Amazon Elastic Beanstalk 환경에서 관리형 플랫폼 업데이트를 활성화하면 사용 가능한 최신 플랫폼 수정, 업데이트 및 환경 기능이 설치됩니다. 패치 설치를 최신 상태로 유지하는 것이 시스템 보안의 모범 사례입니다.
SI-3	조직: a. 정보 시스템 진입 및 출구 지점에 악성 코드 차단 메커니즘을 사용하여 악성 코드를 탐지하고 근절합니다. b. 조직 구성 관리 정책 및 절차에 따라 새 릴리스가 출시될 때마다 악성 코드 차단 메커니즘을 업데이트합니다. c. 악성 코드 차단 메커니즘을 다음과 같이 구성합니다. 1. 조직 보안 정책에 따라 파일을 다운로드, 열거나 실행할 때 정보 시스템을 [할당: 조직에서 정의한 빈도]로 정기적으로 검사하고 [선택 (하나 이상), 엔드포인트, 네트워크 진입/종료 지점]에서 외부 소스의 파일을 실시간으로 검사합니다. 2. [선택 (하나 이상): 악성 코드 차단, 악성 코드 격리, 관리자에게 알림 전송, [할당: 조직이 정의한 조치]] 악성 코드 탐지 대응, d. 악성 코드 탐지 및 제거 중에 오탐이 발생하여 정보 시스템의 가용성에 미칠 수 있는 잠재적 영향을 해결합니다. 추가 지침: 정보 시스템 진입 및 출구 지점에는 방화벽, 전자 메일 서버, 웹 서버, 프록시 서버, 원격 액세스 서버, 워크스테이션, 노트북 컴퓨터, 모바일 디바이스 등이 포함됩니다. 악성 코드에는 바이러스, 웜, 트로이 목마, 스파이웨어 등이 포함됩니다. 악성 코드는 다양한 형식 (예: UUENCODE, Unicode) 으로 인코딩되거나, 압축 또는 숨겨진 파일에 포함되거나, 스테가노그래피를 사용하여 파일에 숨겨질 수도 있습니다. 악성 코드는 웹 액세스, 전자 메일, 전자 메일 첨부 파일, 휴대용 저장 장치 등 다양한 수단을 통해 전송될 수 있습니다. 악성 코드 삽입은 정보 시스템 취약성을 악용하여 발생합니다. 악성 코드 차단 메커니즘에는 바이러스 백신 시그니처 정의 및 평판 기반 기술 등이 포함됩니다. 악성 코드의 영향을 제한하거나 제거하기 위한 다양한 기술과 방법이 있습니다. 광범위한 구성 관리 및 포괄적인 소프트웨어 무결성 제어는 무단 코드의 실행을 방지하는 데 효과적일 수 있습니다. 상용 off-the-shelf 소프트웨어 외에도 사용자 지정 소프트웨어에도 악성 코드가 있을 수 있습니다. 여기에는 로직 폭탄, 백도어 및 조직의 임무/비즈니스 기능에 영향을 미칠 수 있는 기타 유형의 사이버 공격 등이 포함될 수 있습니다. 기존의 악성 코드 차단 메커니즘이 이러한 코드를 항상 탐지할 수는 없습니다. 이러한 상황에서 조직은 소프트웨어가 의도한 기능 이외의 기능을 수행하지 않도록 하기 위한 보안 코딩 관행, 구성 관리 및 제어, 신뢰할 수 있는 조달 프로세스, 모니터링 관행 등 다른 보호 조치를 대신 사용합니다. 조직은 악성 코드 탐지에 대한 대응으로 다른 조치가 필요하다고 판단할 수 있습니다. 예를 들어 조직에서는 정기 검사 중 악성 코드 탐지에 대한 대응 조치, 악성 다운로드 탐지에 대한 대응 조치 및/또는 파일을 열거나 실행하려 할 때의 악의성 탐지에 대한 대응 조치를 정의할 수 있습니다. 관련 규제 항목: CM-3, MP-2, SA-4, SA-8, SA-12, SA-13, SC-7, SC-26, SC-44, SI-2, SI-4, SI-7 참고 문헌: NIST 특별 간행물 800-83.	codebuild-project-envvar-awscred-체크	인증 자격 증명 AWS_ACCESS_KEY_ID 및 AWS_SECRET_ACCESS_KEY가 코드빌드 프로젝트 환경 내에 존재하지 않는지 확인하십시오. AWS 이러한 변수를 일반 텍스트로 저장하지 마십시오. 이러한 변수를 일반 텍스트로 저장하면 의도하지 않은 데이터 노출 및 무단 액세스가 발생할 수 있습니다.
SI-3	조직: a. 정보 시스템 진입 및 출구 지점에 악성 코드 차단 메커니즘을 사용하여 악성 코드를 탐지하고 근절합니다. b. 조직 구성 관리 정책 및 절차에 따라 새 릴리스가 출시될 때마다 악성 코드 차단 메커니즘을 업데이트합니다. c. 악성 코드 차단 메커니즘을 다음과 같이 구성합니다. 1. 조직 보안 정책에 따라 파일을 다운로드, 열거나 실행할 때 정보 시스템을 [할당: 조직에서 정의한 빈도]로 정기적으로 검사하고 [선택 (하나 이상), 엔드포인트, 네트워크 진입/종료 지점]에서 외부 소스의 파일을 실시간으로 검사합니다. 2. [선택 (하나 이상): 악성 코드 차단, 악성 코드 격리, 관리자에게 알림 전송, [할당: 조직이 정의한 조치]] 악성 코드 탐지 대응, d. 악성 코드 탐지 및 제거 중에 오탐이 발생하여 정보 시스템의 가용성에 미칠 수 있는 잠재적 영향을 해결합니다. 추가 지침: 정보 시스템 진입 및 출구 지점에는 방화벽, 전자 메일 서버, 웹 서버, 프록시 서버, 원격 액세스 서버, 워크스테이션, 노트북 컴퓨터, 모바일 디바이스 등이 포함됩니다. 악성 코드에는 바이러스, 웜, 트로이 목마, 스파이웨어 등이 포함됩니다. 악성 코드는 다양한 형식 (예: UUENCODE, Unicode) 으로 인코딩되거나, 압축 또는 숨겨진 파일 내에 포함되거나, 스테가노그래피를 사용하여 파일에 숨겨질 수도 있습니다. 악성 코드는 웹 액세스, 전자 메일, 전자 메일 첨부 파일, 휴대용 저장 장치 등 다양한 수단을 통해 전송될 수 있습니다. 악성 코드 삽입은 정보 시스템 취약성을 악용하여 발생합니다. 악성 코드 차단 메커니즘에는 바이러스 백신 시그니처 정의 및 평판 기반 기술 등이 포함됩니다. 악성 코드의 영향을 제한하거나 제거하기 위한 다양한 기술과 방법이 있습니다. 광범위한 구성 관리 및 포괄적인 소프트웨어 무결성 제어는 무단 코드의 실행을 방지하는 데 효과적일 수 있습니다. 상용 off-the-shelf 소프트웨어 외에도 사용자 지정 소프트웨어에도 악성 코드가 있을 수 있습니다. 여기에는 로직 폭탄, 백도어 및 조직의 임무/비즈니스 기능에 영향을 미칠 수 있는 기타 유형의 사이버 공격 등이 포함될 수 있습니다. 기존의 악성 코드 차단 메커니즘이 이러한 코드를 항상 탐지할 수는 없습니다. 이러한 상황에서 조직은 소프트웨어가 의도한 기능 이외의 기능을 수행하지 않도록 하기 위한 보안 코딩 관행, 구성 관리 및 제어, 신뢰할 수 있는 조달 프로세스, 모니터링 관행 등 다른 보호 조치를 대신 사용합니다. 조직은 악성 코드 탐지에 대한 대응으로 다른 조치가 필요하다고 판단할 수 있습니다. 예를 들어 조직에서는 정기 검사 중 악성 코드 탐지에 대한 대응 조치, 악성 다운로드 탐지에 대한 대응 조치 및/또는 파일을 열거나 실행하려 할 때의 악의성 탐지에 대한 대응 조치를 정의할 수 있습니다. 관련 규제 항목: CM-3, MP-2, SA-4, SA-8, SA-12, SA-13, SC-7, SC-26, SC-44, SI-2, SI-4, SI-7 참고 문헌: NIST 특별 간행물 800-83.	codebuild-project-source-repo-url-check	GitHub 또는 Bitbucket 소스 리포지토리 URL에 Codebuild 프로젝트 환경 내의 개인 액세스 토큰, 로그인 자격 증명이 포함되어 있지 않은지 확인하십시오. AWS 개인 액세스 토큰이나 로그인 자격 증명 대신 OAuth를 사용하여 Bitbucket 리포지토리 또는 Bitbucket 리포지토리에 대한 액세스 권한을 부여하십시오. GitHub
SI-3	조직: a. 정보 시스템 진입 및 출구 지점에 악성 코드 차단 메커니즘을 사용하여 악성 코드를 탐지하고 근절합니다. b. 조직 구성 관리 정책 및 절차에 따라 새 릴리스가 출시될 때마다 악성 코드 차단 메커니즘을 업데이트합니다. c. 악성 코드 차단 메커니즘을 다음과 같이 구성합니다. 1. 조직 보안 정책에 따라 파일을 다운로드, 열거나 실행할 때 정보 시스템을 [할당: 조직에서 정의한 빈도]로 정기적으로 검사하고 [선택 (하나 이상), 엔드포인트, 네트워크 진입/종료 지점]에서 외부 소스의 파일을 실시간으로 검사합니다. 2. [선택 (하나 이상): 악성 코드 차단, 악성 코드 격리, 관리자에게 알림 전송, [할당: 조직이 정의한 조치]] 악성 코드 탐지 대응, d. 악성 코드 탐지 및 제거 중에 오탐이 발생하여 정보 시스템의 가용성에 미칠 수 있는 잠재적 영향을 해결합니다. 추가 지침: 정보 시스템 진입 및 출구 지점에는 방화벽, 전자 메일 서버, 웹 서버, 프록시 서버, 원격 액세스 서버, 워크스테이션, 노트북 컴퓨터, 모바일 디바이스 등이 포함됩니다. 악성 코드에는 바이러스, 웜, 트로이 목마, 스파이웨어 등이 포함됩니다. 악성 코드는 다양한 형식 (예: UUENCODE, Unicode) 으로 인코딩되거나, 압축 또는 숨겨진 파일 내에 포함되거나, 스테가노그래피를 사용하여 파일에 숨겨질 수도 있습니다. 악성 코드는 웹 액세스, 전자 메일, 전자 메일 첨부 파일, 휴대용 저장 장치 등 다양한 수단을 통해 전송될 수 있습니다. 악성 코드 삽입은 정보 시스템 취약성을 악용하여 발생합니다. 악성 코드 차단 메커니즘에는 바이러스 백신 시그니처 정의 및 평판 기반 기술 등이 포함됩니다. 악성 코드의 영향을 제한하거나 제거하기 위한 다양한 기술과 방법이 있습니다. 광범위한 구성 관리 및 포괄적인 소프트웨어 무결성 제어는 무단 코드의 실행을 방지하는 데 효과적일 수 있습니다. 상용 off-the-shelf 소프트웨어 외에도 사용자 지정 소프트웨어에도 악성 코드가 있을 수 있습니다. 여기에는 로직 폭탄, 백도어 및 조직의 임무/비즈니스 기능에 영향을 미칠 수 있는 기타 유형의 사이버 공격 등이 포함될 수 있습니다. 기존의 악성 코드 차단 메커니즘이 이러한 코드를 항상 탐지할 수는 없습니다. 이러한 상황에서 조직은 소프트웨어가 의도한 기능 이외의 기능을 수행하지 않도록 하기 위한 보안 코딩 관행, 구성 관리 및 제어, 신뢰할 수 있는 조달 프로세스, 모니터링 관행 등 다른 보호 조치를 대신 사용합니다. 조직은 악성 코드 탐지에 대한 대응으로 다른 조치가 필요하다고 판단할 수 있습니다. 예를 들어 조직에서는 정기 검사 중 악성 코드 탐지에 대한 대응 조치, 악성 다운로드 탐지에 대한 대응 조치 및/또는 파일을 열거나 실행하려 할 때의 악의성 탐지에 대한 대응 조치를 정의할 수 있습니다. 관련 규제 항목: CM-3, MP-2, SA-4, SA-8, SA-12, SA-13, SC-7, SC-26, SC-44, SI-2, SI-4, SI-7 참고 문헌: NIST 특별 간행물 800-83.	ecs-task-definition-memory-하드 리밋	Amazon Elastic Container Service(ECS) 컨테이너에 사용할 수 있는 최대 메모리를 제한하면 컨테이너에 악의적으로 액세스하는 경우 리소스 사용이 남용되는 것을 방지할 수 있습니다.
SI-4(1)	조직은 개별 침입 탐지 도구를 정보 시스템 전체의 침입 탐지 시스템에 연결하고 구성합니다.	guardduty-enabled-centralized	Amazon은 위협 인텔리전스 피드를 사용하여 잠재적인 사이버 보안 이벤트를 모니터링하고 탐지하는 데 도움을 줄 GuardDuty 수 있습니다. 여기에는 클라우드 환경 내에서 예상치 못한 무단 악의적인 활동을 식별하기 위한 악성 IP 및 기계 학습 목록이 포함됩니다. AWS
SI-4(2)	조직은 자동화된 도구를 사용하여 이벤트를 실시간에 가깝게 분석할 수 있습니다.	multi-region-cloudtrail-enabled	AWS CloudTrail AWS 관리 콘솔 작업 및 API 호출을 기록합니다. 전화를 건 사용자 및 계정 AWS, 호출이 이루어진 소스 IP 주소, 호출이 발생한 시간을 식별할 수 있습니다. CloudTrail MULTI_REGION_CLOUD_TRAIL_ENABLED가 활성화된 경우 모든 AWS 지역의 로그 파일을 S3 버킷으로 전송합니다. 또한 새 지역을 AWS 시작하면 새 지역에 동일한 트레일이 생성됩니다. CloudTrail 따라서 별도의 조치를 취하지 않아도 새 리전의 API 활동이 포함된 로그 파일을 받게 됩니다.
SI-4(2)	조직은 자동화된 도구를 사용하여 이벤트를 실시간에 가깝게 분석할 수 있습니다.	securityhub-enabled	AWS Security Hub는 승인되지 않은 사용자, 연결, 장치 및 소프트웨어를 모니터링하는 데 도움이 됩니다. AWS Security Hub는 여러 서비스의 보안 경고 또는 조사 결과를 집계하고 구성하며 우선 순위를 지정합니다. AWS 이러한 서비스로는 Amazon Security Hub, Amazon Inspector, Amazon AWS Macie, Identity 및 Access Management (IAM) 액세스 분석기, 방화벽 관리자, 파트너 솔루션 AWS 등이 있습니다. AWS
SI-4(2)	조직은 자동화된 도구를 사용하여 이벤트를 실시간에 가깝게 분석할 수 있습니다.	cloudtrail-enabled	AWS CloudTrail 관리 콘솔 작업 및 API 호출을 AWS 기록하여 부인 방지에 도움을 줄 수 있습니다. 사용자와 AWS 서비스를 AWS 계정 호출한 사용자, 호출이 생성된 소스 IP 주소, 통화 시간을 식별할 수 있습니다. 캡처된 데이터의 세부 정보는 AWS CloudTrail 레코드 컨텐츠에서 볼 수 있습니다.
SI-4(2)	조직은 자동화된 도구를 사용하여 이벤트를 실시간에 가깝게 분석할 수 있습니다.	cloudtrail-s3-dataevents-enabled	Amazon Simple Storage Service(S3) 데이터 이벤트를 수집하면 모든 변칙적 활동을 탐지하는 데 도움이 됩니다. 세부 AWS 계정 정보에는 Amazon S3 버킷에 액세스한 정보, IP 주소, 이벤트 시간이 포함됩니다.
SI-4(2)	조직은 자동화된 도구를 사용하여 이벤트를 실시간에 가깝게 분석할 수 있습니다.	cloudwatch-alarm-action-check	Amazon은 지표가 지정된 평가 기간 수의 임계값을 위반할 경우 CloudWatch 경보를 보냅니다. 이러한 경보는 여러 기간에 대해 지정된 임계값과 지표 또는 표현식의 값을 비교하여 하나 이상의 작업을 수행합니다. 이 규칙에는 alarmActionRequired (구성 기본값: True), insufficientDataAction 필수 (구성 기본값: True), ( okActionRequired 구성 기본값: False) 값이 필요합니다. 실제 값은 사용자 환경의 경보 동작을 반영해야 합니다.
SI-4(2)	조직은 자동화된 도구를 사용하여 이벤트를 실시간에 가깝게 분석할 수 있습니다.	ec2- instance-detailed-monitoring-enabled	이 규칙을 활성화하면 Amazon EC2 콘솔에서 인스턴스에 대한 1분 모니터링 그래프를 표시하는 Amazon Elastic Compute Cloud(Amazon EC2) 인스턴스 모니터링을 개선하는 데 도움이 됩니다.
SI-4(2)	조직은 자동화된 도구를 사용하여 이벤트를 실시간에 가깝게 분석할 수 있습니다.	guardduty-enabled-centralized	Amazon은 위협 인텔리전스 피드를 사용하여 잠재적인 사이버 보안 이벤트를 모니터링하고 탐지하는 데 도움을 줄 GuardDuty 수 있습니다. 여기에는 클라우드 환경 내에서 예상치 못한 무단 악의적인 활동을 식별하기 위한 악성 IP 및 기계 학습 목록이 포함됩니다. AWS
SI-4(2)	조직은 자동화된 도구를 사용하여 이벤트를 실시간에 가깝게 분석할 수 있습니다.	redshift-cluster-configuration-check	저장 데이터를 보호하기 위해 Amazon Redshift 클러스터에 대해 암호화가 활성화되어 있는지 확인합니다. 또한 필수 구성이 Amazon Redshift 클러스터에 배포되었는지 확인해야 합니다. 데이터베이스의 연결 및 사용자 활동에 관한 정보를 제공하려면 감사 로깅을 활성화해야 합니다. 이 규칙을 사용하려면 clusterDbEncrypted (구성 기본값: TRUE) 에 값을 설정하고 로깅을 활성화해야 합니다 (구성 기본값: TRUE). 실제 값은 조직의 정책을 반영해야 합니다.
SI-4(4)	정보 시스템은 인바운드 및 아웃바운드 통신 트래픽을 지속적으로 모니터링하여 비정상적이거나 승인되지 않은 활동이나 조건을 확인합니다.	securityhub-enabled	AWS Security Hub는 승인되지 않은 사용자, 연결, 장치 및 소프트웨어를 모니터링하는 데 도움이 됩니다. AWS Security Hub는 여러 서비스의 보안 경고 또는 조사 결과를 집계하고 구성하며 우선 순위를 지정합니다. AWS 이러한 서비스로는 Amazon Security Hub, Amazon Inspector, Amazon AWS Macie, Identity 및 Access Management (IAM) 액세스 분석기, 방화벽 관리자, 파트너 솔루션 AWS 등이 있습니다. AWS
SI-4(4)	정보 시스템은 인바운드 및 아웃바운드 통신 트래픽을 지속적으로 모니터링하여 비정상적이거나 승인되지 않은 활동이나 조건을 확인합니다.	cloud-trail-cloud-watch-로그 지원	CloudWatch Amazon을 사용하여 로그 이벤트 활동을 중앙에서 수집하고 관리할 수 있습니다. AWS CloudTrail 데이터를 포함하면 사용자 내의 API 호출 활동에 대한 세부 정보가 제공됩니다. AWS 계정
SI-4(4)	정보 시스템은 인바운드 및 아웃바운드 통신 트래픽을 지속적으로 모니터링하여 비정상적이거나 승인되지 않은 활동이나 조건을 확인합니다.	cloudwatch-alarm-action-check	Amazon은 지표가 지정된 평가 기간 수의 임계값을 위반할 경우 CloudWatch 경보를 보냅니다. 이러한 경보는 여러 기간에 대해 지정된 임계값과 지표 또는 표현식의 값을 비교하여 하나 이상의 작업을 수행합니다. 이 규칙에는 alarmActionRequired (구성 기본값: True), insufficientDataAction 필수 (구성 기본값: True), ( okActionRequired 구성 기본값: False) 값이 필요합니다. 실제 값은 사용자 환경의 경보 동작을 반영해야 합니다.
SI-4(4)	정보 시스템은 인바운드 및 아웃바운드 통신 트래픽을 지속적으로 모니터링하여 비정상적이거나 승인되지 않은 활동이나 조건을 확인합니다.	guardduty-enabled-centralized	Amazon은 위협 인텔리전스 피드를 사용하여 잠재적인 사이버 보안 이벤트를 모니터링하고 탐지하는 데 도움을 줄 GuardDuty 수 있습니다. 여기에는 클라우드 환경 내에서 예상치 못한 무단 악의적인 활동을 식별하기 위한 악성 IP 및 기계 학습 목록이 포함됩니다. AWS
SI-4(5)	정보 시스템은 [할당: 조직이 정의한 침해 지표]의 침해 또는 잠재적 침해 징후가 발생할 경우 [할당: 조직에서 정의한 직원 또는 역할]에게 경보를 보냅니다.	securityhub-enabled	AWS Security Hub는 승인되지 않은 사용자, 연결, 장치 및 소프트웨어를 모니터링하는 데 도움이 됩니다. AWS Security Hub는 여러 서비스의 보안 경고 또는 조사 결과를 집계하고 구성하며 우선 순위를 지정합니다. AWS 이러한 서비스로는 Amazon Security Hub, Amazon Inspector, Amazon AWS Macie, Identity 및 Access Management (IAM) 액세스 분석기, 방화벽 관리자, 파트너 솔루션 AWS 등이 있습니다. AWS
SI-4(5)	정보 시스템은 [할당: 조직이 정의한 침해 지표]의 침해 또는 잠재적 침해 징후가 발생할 경우 [할당: 조직에서 정의한 직원 또는 역할]에게 경보를 보냅니다.	cloud-trail-cloud-watch-로그 지원	CloudWatch Amazon을 사용하여 로그 이벤트 활동을 중앙에서 수집하고 관리할 수 있습니다. AWS CloudTrail 데이터를 포함하면 사용자 내의 API 호출 활동에 대한 세부 정보가 제공됩니다. AWS 계정
SI-4(5)	정보 시스템은 [할당: 조직이 정의한 침해 지표]의 침해 또는 잠재적 침해 징후가 발생할 경우 [할당: 조직에서 정의한 직원 또는 역할]에게 경보를 보냅니다.	cloudwatch-alarm-action-check	Amazon은 지표가 지정된 평가 기간 수의 임계값을 위반할 경우 CloudWatch 경보를 보냅니다. 이러한 경보는 여러 기간에 대해 지정된 임계값과 지표 또는 표현식의 값을 비교하여 하나 이상의 작업을 수행합니다. 이 규칙에는 alarmActionRequired (구성 기본값: True), insufficientDataAction 필수 (구성 기본값: True), ( okActionRequired 구성 기본값: False) 값이 필요합니다. 실제 값은 사용자 환경의 경보 동작을 반영해야 합니다.
SI-4(5)	정보 시스템은 [할당: 조직이 정의한 침해 지표]의 침해 또는 잠재적 침해 징후가 발생할 경우 [할당: 조직에서 정의한 직원 또는 역할]에게 경보를 보냅니다.	guardduty-enabled-centralized	Amazon은 위협 인텔리전스 피드를 사용하여 잠재적인 사이버 보안 이벤트를 모니터링하고 탐지하는 데 도움을 줄 GuardDuty 수 있습니다. 여기에는 클라우드 환경 내에서 예상치 못한 무단 악의적인 활동을 식별하기 위한 악성 IP 및 기계 학습 목록이 포함됩니다. AWS
SI-4(16)	조직은 정보 시스템 전반에 사용되는 모니터링 도구의 정보를 상호 연관시킵니다.	multi-region-cloudtrail-enabled	AWS CloudTrail AWS 관리 콘솔 작업 및 API 호출을 기록합니다. 전화를 건 사용자 및 계정 AWS, 호출이 이루어진 소스 IP 주소, 호출이 발생한 시간을 식별할 수 있습니다. CloudTrail MULTI_REGION_CLOUD_TRAIL_ENABLED가 활성화된 경우 모든 AWS 지역의 로그 파일을 S3 버킷으로 전송합니다. 또한 새 지역을 AWS 시작하면 새 지역에 동일한 트레일이 생성됩니다. CloudTrail 따라서 별도의 조치를 취하지 않아도 새 리전의 API 활동이 포함된 로그 파일을 받게 됩니다.
SI-4(16)	조직은 정보 시스템 전반에 사용되는 모니터링 도구의 정보를 상호 연관시킵니다.	securityhub-enabled	AWS Security Hub는 승인되지 않은 사용자, 연결, 장치 및 소프트웨어를 모니터링하는 데 도움이 됩니다. AWS Security Hub는 여러 서비스의 보안 경고 또는 조사 결과를 집계하고 구성하며 우선 순위를 지정합니다. AWS 이러한 서비스로는 Amazon Security Hub, Amazon Inspector, Amazon AWS Macie, Identity 및 Access Management (IAM) 액세스 분석기, 방화벽 관리자, 파트너 솔루션 AWS 등이 있습니다. AWS
SI-4(16)	조직은 정보 시스템 전반에 사용되는 모니터링 도구의 정보를 상호 연관시킵니다.	cloudtrail-enabled	AWS CloudTrail 관리 콘솔 작업 및 API 호출을 AWS 기록하여 부인 방지에 도움을 줄 수 있습니다. 사용자와 AWS 서비스를 AWS 계정 호출한 사용자, 호출이 생성된 소스 IP 주소, 통화 시간을 식별할 수 있습니다. 캡처된 데이터의 세부 정보는 AWS CloudTrail 레코드 컨텐츠에서 볼 수 있습니다.
SI-4(16)	조직은 정보 시스템 전반에 사용되는 모니터링 도구의 정보를 상호 연관시킵니다.	cloudtrail-s3-dataevents-enabled	Amazon Simple Storage Service(S3) 데이터 이벤트를 수집하면 모든 변칙적 활동을 탐지하는 데 도움이 됩니다. 세부 AWS 계정 정보에는 Amazon S3 버킷에 액세스한 정보, IP 주소, 이벤트 시간이 포함됩니다.
SI-4(16)	조직은 정보 시스템 전반에 사용되는 모니터링 도구의 정보를 상호 연관시킵니다.	guardduty-enabled-centralized	Amazon은 위협 인텔리전스 피드를 사용하여 잠재적인 사이버 보안 이벤트를 모니터링하고 탐지하는 데 도움을 줄 GuardDuty 수 있습니다. 여기에는 클라우드 환경 내에서 예상치 못한 무단 악의적인 활동을 식별하기 위한 악성 IP 및 기계 학습 목록이 포함됩니다. AWS
SI-4(16)	조직은 정보 시스템 전반에 사용되는 모니터링 도구의 정보를 상호 연관시킵니다.	redshift-cluster-configuration-check	저장 데이터를 보호하기 위해 Amazon Redshift 클러스터에 대해 암호화가 활성화되어 있는지 확인합니다. 또한 필수 구성이 Amazon Redshift 클러스터에 배포되었는지 확인해야 합니다. 데이터베이스의 연결 및 사용자 활동에 관한 정보를 제공하려면 감사 로깅을 활성화해야 합니다. 이 규칙을 사용하려면 clusterDbEncrypted (구성 기본값: TRUE) 에 값을 설정하고 로깅을 활성화해야 합니다 (구성 기본값: TRUE). 실제 값은 조직의 정책을 반영해야 합니다.
SI-4(a)(b)(c)	조직: a. 정보 시스템을 모니터링하여 다음을 탐지합니다. 1. [과제: 조직이 정의한 모니터링 목표]에 따른 공격 및 잠재적 공격의 지표. 2. 무단 로컬, 네트워크 및 원격 연결 조직 b: [과제: 조직에서 정의한 기법 및 방법]을 통해 정보 시스템의 무단 사용 식별. c. 조직 c: 모니터링 장치 배치. 1) 조직이 결정한 필수 정보를 수집하기 위해 정보 시스템 내에 전략적으로 배치 2) 조직이 관심을 갖는 특정 유형의 거래를 추적하기 위해 시스템 내 애드혹 위치에 배치	alb-waf-enabled	웹 애플리케이션을 보호하는 데 도움이 되도록 엘라스틱 로드 밸런서 (ELB) 에서 AWS WAF를 활성화해야 합니다. WAF는 일반적인 웹 익스플로잇으로부터 웹 애플리케이션 또는 API를 보호하는 데 도움이 됩니다. 이러한 웹 익스플로잇은 사용자 환경에서 가용성에 영향을 미치거나, 보안을 손상시키거나, 리소스를 과도하게 소비할 수 있습니다.
SI-4(a)(b)(c)	조직: a. 정보 시스템을 모니터링하여 다음을 탐지합니다. 1. [과제: 조직이 정의한 모니터링 목표]에 따른 공격 및 잠재적 공격의 지표. 2. 무단 로컬, 네트워크 및 원격 연결 조직 b: [과제: 조직에서 정의한 기법 및 방법]을 통해 정보 시스템의 무단 사용 식별. c. 조직 c: 모니터링 장치 배치. 1) 조직이 결정한 필수 정보를 수집하기 위해 정보 시스템 내에 전략적으로 배치 2) 조직이 관심을 갖는 특정 유형의 거래를 추적하기 위해 시스템 내 애드혹 위치에 배치	api-gw-associated-with-와프	AWS WAF를 사용하면 정의한 사용자 지정 가능한 웹 보안 규칙 및 조건에 따라 웹 요청을 허용, 차단 또는 계산하는 규칙 세트 (웹 액세스 제어 목록 (웹 ACL)) 를 구성할 수 있습니다. 악의적인 공격으로부터 보호하기 위해 Amazon API Gateway 스테이지가 WAF 웹 ACL과 연결되어 있도록 합니다.
SI-4(a)(b)(c)	조직: a. 정보 시스템을 모니터링하여 다음을 탐지합니다. 1. [과제: 조직이 정의한 모니터링 목표]에 따른 공격 및 잠재적 공격의 지표. 2. 무단 로컬, 네트워크 및 원격 연결 조직 b: [과제: 조직에서 정의한 기법 및 방법]을 통해 정보 시스템의 무단 사용 식별. c. 조직 c: 모니터링 장치 배치. 1) 조직이 결정한 필수 정보를 수집하기 위해 정보 시스템 내에 전략적으로 배치 2) 조직이 관심을 갖는 특정 유형의 거래를 추적하기 위해 시스템 내 애드혹 위치에 배치	guardduty-non-archived-findings	GuardDuty Amazon은 조사 결과를 심각도 (낮음, 중간, 높음) 별로 분류하여 사고의 영향을 이해하도록 도와줍니다. 이러한 분류를 사용하여 해결 전략 및 우선 순위를 결정할 수 있습니다. 이 규칙을 사용하면 조직의 정책에 따라 보관되지 않은 검색 결과에 대해 daysLowSev (구성 기본값: 30), ( daysMediumSev 구성 기본값: 7) 및 ( daysHighSev 구성 기본값: 1) 을 선택적으로 설정할 수 있습니다.
SI-4(a)(b)(c)	조직: a. 정보 시스템을 모니터링하여 다음을 탐지합니다. 1. [과제: 조직이 정의한 모니터링 목표]에 따른 공격 및 잠재적 공격의 지표. 2. 무단 로컬, 네트워크 및 원격 연결 조직 b: [과제: 조직에서 정의한 기법 및 방법]을 통해 정보 시스템의 무단 사용 식별. c. 조직 c: 모니터링 장치 배치. 1) 조직이 결정한 필수 정보를 수집하기 위해 정보 시스템 내에 전략적으로 배치 2) 조직이 관심을 갖는 특정 유형의 거래를 추적하기 위해 시스템 내 애드혹 위치에 배치	securityhub-enabled	AWS Security Hub는 승인되지 않은 사용자, 연결, 장치 및 소프트웨어를 모니터링하는 데 도움이 됩니다. AWS Security Hub는 여러 서비스의 보안 경고 또는 조사 결과를 집계하고 구성하며 우선 순위를 지정합니다. AWS 이러한 서비스로는 Amazon Security Hub, Amazon Inspector, Amazon AWS Macie, Identity 및 Access Management (IAM) 액세스 분석기, 방화벽 관리자, 파트너 솔루션 AWS 등이 있습니다. AWS
SI-4(a)(b)(c)	조직: a. 정보 시스템을 모니터링하여 다음을 탐지합니다. 1. [과제: 조직이 정의한 모니터링 목표]에 따른 공격 및 잠재적 공격의 지표. 2. 무단 로컬, 네트워크 및 원격 연결 조직 b: [과제: 조직에서 정의한 기법 및 방법]을 통해 정보 시스템의 무단 사용 식별. c. 조직 c: 모니터링 장치 배치. 1) 조직이 결정한 필수 정보를 수집하기 위해 정보 시스템 내에 전략적으로 배치 2) 조직이 관심을 갖는 특정 유형의 거래를 추적하기 위해 시스템 내 애드혹 위치에 배치	wafv2-logging-enabled	환경 내에서 로깅 및 모니터링을 지원하려면 지역 및 글로벌 웹 ACL에서 AWS WAF (V2) 로깅을 활성화하십시오. AWS WAF 로깅은 웹 ACL에서 분석된 트래픽에 대한 자세한 정보를 제공합니다. 로그에는 AWS WAF가 AWS 리소스로부터 요청을 받은 시간, 요청에 대한 정보, 각 요청이 일치하는 규칙에 대한 조치가 기록됩니다.
SI-4(a)(b)(c)	조직: a. 정보 시스템을 모니터링하여 다음을 탐지합니다. 1. [과제: 조직이 정의한 모니터링 목표]에 따른 공격 및 잠재적 공격의 지표. 2. 무단 로컬, 네트워크 및 원격 연결 조직 b: [과제: 조직에서 정의한 기법 및 방법]을 통해 정보 시스템의 무단 사용 식별. c. 조직 c: 모니터링 장치 배치. 1) 조직이 결정한 필수 정보를 수집하기 위해 정보 시스템 내에 전략적으로 배치 2) 조직이 관심을 갖는 특정 유형의 거래를 추적하기 위해 시스템 내 애드혹 위치에 배치	cloud-trail-cloud-watch-로그 활성화	CloudWatch Amazon을 사용하여 로그 이벤트 활동을 중앙에서 수집하고 관리할 수 있습니다. AWS CloudTrail 데이터를 포함하면 사용자 내의 API 호출 활동에 대한 세부 정보가 제공됩니다. AWS 계정
SI-4(a)(b)(c)	조직: a. 정보 시스템을 모니터링하여 다음을 탐지합니다. 1. [과제: 조직이 정의한 모니터링 목표]에 따른 공격 및 잠재적 공격의 지표. 2. 무단 로컬, 네트워크 및 원격 연결 조직 b: [과제: 조직에서 정의한 기법 및 방법]을 통해 정보 시스템의 무단 사용 식별. c. 조직 c: 모니터링 장치 배치. 1) 조직이 결정한 필수 정보를 수집하기 위해 정보 시스템 내에 전략적으로 배치 2) 조직이 관심을 갖는 특정 유형의 거래를 추적하기 위해 시스템 내 애드혹 위치에 배치	cloudwatch-alarm-action-check	Amazon은 지표가 지정된 평가 기간 수의 임계값을 위반할 경우 CloudWatch 경보를 보냅니다. 이러한 경보는 여러 기간에 대해 지정된 임계값과 지표 또는 표현식의 값을 비교하여 하나 이상의 작업을 수행합니다. 이 규칙에는 alarmActionRequired (구성 기본값: True), insufficientDataAction 필수 (구성 기본값: True), ( okActionRequired 구성 기본값: False) 값이 필요합니다. 실제 값은 사용자 환경의 경보 동작을 반영해야 합니다.
SI-4(a)(b)(c)	조직: a. 정보 시스템을 모니터링하여 다음을 탐지합니다. 1. [과제: 조직이 정의한 모니터링 목표]에 따른 공격 및 잠재적 공격의 지표. 2. 무단 로컬, 네트워크 및 원격 연결 조직 b: [과제: 조직에서 정의한 기법 및 방법]을 통해 정보 시스템의 무단 사용 식별. c. 조직 c: 모니터링 장치 배치. 1) 조직이 결정한 필수 정보를 수집하기 위해 정보 시스템 내에 전략적으로 배치 2) 조직이 관심을 갖는 특정 유형의 거래를 추적하기 위해 시스템 내 애드혹 위치에 배치	ec2- instance-detailed-monitoring-enabled	이 규칙을 활성화하면 Amazon EC2 콘솔에서 인스턴스에 대한 1분 모니터링 그래프를 표시하는 Amazon Elastic Compute Cloud(Amazon EC2) 인스턴스 모니터링을 개선하는 데 도움이 됩니다.
SI-4(a)(b)(c)	조직: a. 정보 시스템을 모니터링하여 다음을 탐지합니다. 1. [과제: 조직이 정의한 모니터링 목표]에 따른 공격 및 잠재적 공격의 지표. 2. 무단 로컬, 네트워크 및 원격 연결 조직 b: [과제: 조직에서 정의한 기법 및 방법]을 통해 정보 시스템의 무단 사용 식별. c. 조직 c: 모니터링 장치 배치. 1) 조직이 결정한 필수 정보를 수집하기 위해 정보 시스템 내에 전략적으로 배치 2) 조직이 관심을 갖는 특정 유형의 거래를 추적하기 위해 시스템 내 애드혹 위치에 배치	guardduty-enabled-centralized	Amazon은 위협 인텔리전스 피드를 사용하여 잠재적인 사이버 보안 이벤트를 모니터링하고 탐지하는 데 도움을 줄 GuardDuty 수 있습니다. 여기에는 클라우드 환경 내에서 예상치 못한 무단 악의적인 활동을 식별하기 위한 악성 IP 및 기계 학습 목록이 포함됩니다. AWS
SI-5	조직: a. [할당: 조직에서 정의한 외부 조직]으로부터 정보 시스템 보안 경고, 권고 및 지침을 지속적으로 받습니다. b. 필요하다고 판단되는 경우 내부 보안 경고, 권고 및 지침을 생성합니다. c. 보안 경고, 권고 및 지침을 다음에 전파합니다. [선택 (한나 이상): [할당: 조직에서 정의한 직원 또는 역할], [할당: 조직에서 정의한 조직 내 요소], [할당: 조직에서 정의한 외부 조직]] d. 정해진 일정에 따라 보안 지침을 구현하거나 발급 조직에 미준수 정도를 알립니다. 추가 지침: 미국 컴퓨터 비상 준비 팀(US-CERT)은 연방 정부 전체에 상황 인식을 유지하기 위해 보안 경고 및 권고를 생성합니다. 보안 지침은 OMB 또는 해당 지침을 발행할 책임과 권한을 가진 기타 지정 기관에서 발행합니다. 이러한 지침 중 상당수가 매우 중요하며, 지침이 적시에 시행되지 않을 경우 조직 운영 및 자산, 개인, 기타 조직 및 국가에 즉각적인 악영향을 미칠 수 있기 때문에 보안 지침을 준수하는 것이 필수적입니다. 외부 조직에는 예를 들어 외부 미션/비즈니스 파트너, 공급망 파트너, 외부 서비스 제공업체 및 기타 동료/지원 조직이 포함됩니다. 관련 통제: SI-2. 참고 문헌: NIST 특별 간행물 800-40.	cloudwatch-alarm-action-check	Amazon은 지표가 지정된 평가 기간 수의 임계값을 위반할 경우 CloudWatch 경보를 보냅니다. 이러한 경보는 여러 기간에 대해 지정된 임계값과 지표 또는 표현식의 값을 비교하여 하나 이상의 작업을 수행합니다. 이 규칙에는 alarmActionRequired (구성 기본값: True), insufficientDataAction 필수 (구성 기본값: True), ( okActionRequired 구성 기본값: False) 값이 필요합니다. 실제 값은 사용자 환경의 경보 동작을 반영해야 합니다.
SI-5	조직: a. [할당: 조직에서 정의한 외부 조직]으로부터 정보 시스템 보안 경고, 권고 및 지침을 지속적으로 받습니다. b. 필요하다고 판단되는 경우 내부 보안 경고, 권고 및 지침을 생성합니다. c. 보안 경고, 권고 및 지침을 다음에 전파합니다. [선택 (한나 이상): [할당: 조직에서 정의한 직원 또는 역할], [할당: 조직에서 정의한 조직 내 요소], [할당: 조직에서 정의한 외부 조직]] d. 정해진 일정에 따라 보안 지침을 구현하거나 발급 조직에 미준수 정도를 알립니다. 추가 지침: 미국 컴퓨터 비상 준비 팀(US-CERT)은 연방 정부 전체에 상황 인식을 유지하기 위해 보안 경고 및 권고를 생성합니다. 보안 지침은 OMB 또는 해당 지침을 발행할 책임과 권한을 가진 기타 지정 기관에서 발행합니다. 이러한 지침 중 상당수가 매우 중요하며, 지침이 적시에 시행되지 않을 경우 조직 운영 및 자산, 개인, 기타 조직 및 국가에 즉각적인 악영향을 미칠 수 있기 때문에 보안 지침을 준수하는 것이 필수적입니다. 외부 조직에는 예를 들어 외부 미션/비즈니스 파트너, 공급망 파트너, 외부 서비스 제공업체 및 기타 동료/지원 조직이 포함됩니다. 관련 통제: SI-2. 참고 문헌: NIST 특별 간행물 800-40.	guardduty-enabled-centralized	Amazon은 위협 인텔리전스 피드를 사용하여 잠재적인 사이버 보안 이벤트를 모니터링하고 탐지하는 데 도움을 줄 GuardDuty 수 있습니다. 여기에는 클라우드 환경 내에서 예상치 못한 무단 악의적인 활동을 식별하기 위한 악성 IP 및 기계 학습 목록이 포함됩니다. AWS
SI-5	조직: a. [할당: 조직에서 정의한 외부 조직]으로부터 정보 시스템 보안 경고, 권고 및 지침을 지속적으로 받습니다. b. 필요하다고 판단되는 경우 내부 보안 경고, 권고 및 지침을 생성합니다. c. 보안 경고, 권고 및 지침을 다음에 전파합니다. [선택 (한나 이상): [할당: 조직에서 정의한 직원 또는 역할], [할당: 조직에서 정의한 조직 내 요소], [할당: 조직에서 정의한 외부 조직]] d. 정해진 일정에 따라 보안 지침을 구현하거나 발급 조직에 미준수 정도를 알립니다. 추가 지침: 미국 컴퓨터 비상 준비 팀(US-CERT)은 연방 정부 전체에 상황 인식을 유지하기 위해 보안 경고 및 권고를 생성합니다. 보안 지침은 OMB 또는 해당 지침을 발행할 책임과 권한을 가진 기타 지정 기관에서 발행합니다. 이러한 지침 중 상당수가 매우 중요하며, 지침이 적시에 시행되지 않을 경우 조직 운영 및 자산, 개인, 기타 조직 및 국가에 즉각적인 악영향을 미칠 수 있기 때문에 보안 지침을 준수하는 것이 필수적입니다. 외부 조직에는 예를 들어 외부 미션/비즈니스 파트너, 공급망 파트너, 외부 서비스 제공업체 및 기타 동료/지원 조직이 포함됩니다. 관련 통제: SI-2. 참고 문헌: NIST 특별 간행물 800-40.	guardduty-non-archived-findings	GuardDuty Amazon은 조사 결과를 심각도 (낮음, 중간, 높음) 별로 분류하여 사고의 영향을 이해하도록 도와줍니다. 이러한 분류를 사용하여 해결 전략 및 우선 순위를 결정할 수 있습니다. 이 규칙을 사용하면 조직의 정책에 따라 보관되지 않은 검색 결과에 대해 daysLowSev (구성 기본값: 30), ( daysMediumSev 구성 기본값: 7) 및 ( daysHighSev 구성 기본값: 1) 을 선택적으로 설정할 수 있습니다.
SI-5	조직: a. [할당: 조직에서 정의한 외부 조직]으로부터 정보 시스템 보안 경고, 권고 및 지침을 지속적으로 받습니다. b. 필요하다고 판단되는 경우 내부 보안 경고, 권고 및 지침을 생성합니다. c. 보안 경고, 권고 및 지침을 다음에 전파합니다. [선택 (한나 이상): [할당: 조직에서 정의한 직원 또는 역할], [할당: 조직에서 정의한 조직 내 요소], [할당: 조직에서 정의한 외부 조직]] d. 정해진 일정에 따라 보안 지침을 구현하거나 발급 조직에 미준수 정도를 알립니다. 추가 지침: 미국 컴퓨터 비상 준비 팀(US-CERT)은 연방 정부 전체에 상황 인식을 유지하기 위해 보안 경고 및 권고를 생성합니다. 보안 지침은 OMB 또는 해당 지침을 발행할 책임과 권한을 가진 기타 지정 기관에서 발행합니다. 이러한 지침 중 상당수가 매우 중요하며, 지침이 적시에 시행되지 않을 경우 조직 운영 및 자산, 개인, 기타 조직 및 국가에 즉각적인 악영향을 미칠 수 있기 때문에 보안 지침을 준수하는 것이 필수적입니다. 외부 조직에는 예를 들어 외부 미션/비즈니스 파트너, 공급망 파트너, 외부 서비스 제공업체 및 기타 동료/지원 조직이 포함됩니다. 관련 통제: SI-2. 참고 문헌: NIST 특별 간행물 800-40.	securityhub-enabled	AWS Security Hub는 승인되지 않은 사용자, 연결, 장치 및 소프트웨어를 모니터링하는 데 도움이 됩니다. AWS Security Hub는 여러 서비스의 보안 경고 또는 조사 결과를 집계하고 구성하며 우선 순위를 지정합니다. AWS 이러한 서비스로는 Amazon Security Hub, Amazon Inspector, Amazon AWS Macie, Identity 및 Access Management (IAM) 액세스 분석기, 방화벽 관리자, 파트너 솔루션 AWS 등이 있습니다. AWS
SI-7(1)	정보 시스템은 적어도 한 달에 한 번 무결성 검사 보안 관련 이벤트를 수행합니다.	cloud-trail-log-file-검증 지원	AWS CloudTrail 로그 파일 검증을 활용하여 로그의 무결성을 확인합니다. CloudTrail 로그 파일 검증은 로그 파일이 CloudTrail 전송된 후 수정되거나 삭제되었는지 또는 변경되지 않았는지 확인하는 데 도움이 됩니다. 이 기능은 산업 표준 알고리즘(해시의 경우 SHA-256, 디지털 서명의 경우 RSA 포함 SHA-256)으로 구축되었습니다. 따라서 탐지 없이 로그 파일을 수정, 삭제 또는 CloudTrail 위조하는 것은 계산상 불가능합니다.
SI-7(1)	정보 시스템은 적어도 한 달에 한 번 무결성 검사 보안 관련 이벤트를 수행합니다.	instance-managed-by-systemsec2- -매니저	Systems AWS Manager를 사용하여 Amazon Elastic Compute Cloud (Amazon EC2) 인스턴스를 관리하면 조직 내 소프트웨어 플랫폼 및 애플리케이션의 인벤토리를 작성할 수 있습니다. AWS Systems Manager를 사용하여 자세한 시스템 구성, 운영 체제 패치 수준, 서비스 이름 및 유형, 소프트웨어 설치, 애플리케이션 이름, 게시자 및 버전, 사용자 환경에 대한 기타 세부 정보를 제공할 수 있습니다.
SI-7(1)	정보 시스템은 적어도 한 달에 한 번 무결성 검사 보안 관련 이벤트를 수행합니다.	ec2- -check managedinstance-patch-compliance-status	이 규칙을 활성화하면 Amazon Elastic Compute Cloud(Amazon EC2) 취약성을 식별하고 문서화하는 데 도움이 됩니다. 이 규칙은 조직의 정책 및 절차에 따라 AWS Systems Manager에서 Amazon EC2 인스턴스 패치 규정 준수 여부를 확인합니다.
SI-7	조직은 무결성 검증 도구를 사용하여 [할당: 조직 정의 소프트웨어, 펌웨어 및 정보]의 무단 변경을 탐지합니다.	cloud-trail-log-file-검증이 활성화되었습니다.	AWS CloudTrail 로그 파일 검증을 활용하여 로그의 무결성을 확인합니다. CloudTrail 로그 파일 검증은 로그 파일이 CloudTrail 전송된 후 수정되거나 삭제되었는지 또는 변경되지 않았는지 확인하는 데 도움이 됩니다. 이 기능은 산업 표준 알고리즘(해시의 경우 SHA-256, 디지털 서명의 경우 RSA 포함 SHA-256)으로 구축되었습니다. 따라서 탐지 없이 로그 파일을 수정, 삭제 또는 CloudTrail 위조하는 것은 계산상 불가능합니다.
SI-11	정보 시스템: a. 공격자가 악용할 수 있는 정보는 밝히지 않으면서 시정 조치에 필요한 정보를 제공하는 오류 메시지를 생성합니다. b. [할당: 조직에서 정의한 직원 또는 역할]에게만 오류 메시지를 표시합니다. 추가 지침: 조직에서는 오류 메시지의 구조/내용을 신중하게 고려합니다. 정보 시스템이 오류 조건을 식별하고 처리할 수 있는 정도는 조직 정책 및 운영 요구 사항에 따라 결정됩니다. 공격자가 악용할 수 있는 정보에는 예를 들어 사용자 이름으로 잘못 입력한 암호를 사용한 잘못된 로그온 시도, 기록된 정보에서 파생될 수 있는 (명시적으로 밝히지 않은 경우) 사명/비즈니스 정보, 계좌 번호, 주민등록번호, 신용 카드 번호와 같은 개인 정보가 있습니다. 또한 오류 메시지는 정보를 전송하기 위한 은밀한 채널을 제공할 수 있습니다. 관련 규제: AU-2, AU-3, SC-31. 제어 개선 사항: 없음. 참고: 없음.	api-gw-execution-logging-활성화됨	API Gateway 로깅에는 API에 액세스한 사용자 및 액세스 방식에 관한 세부 정보 보기가 표시됩니다. 이러한 인사이트를 통해 사용자 활동을 파악할 수 있습니다.
SI-11	정보 시스템: a. 공격자가 악용할 수 있는 정보는 밝히지 않으면서 시정 조치에 필요한 정보를 제공하는 오류 메시지를 생성합니다. b. [할당: 조직에서 정의한 직원 또는 역할]에게만 오류 메시지를 표시합니다. 추가 지침: 조직에서는 오류 메시지의 구조/내용을 신중하게 고려합니다. 정보 시스템이 오류 조건을 식별하고 처리할 수 있는 정도는 조직 정책 및 운영 요구 사항에 따라 결정됩니다. 공격자가 악용할 수 있는 정보에는 예를 들어 사용자 이름으로 잘못 입력한 암호를 사용한 잘못된 로그온 시도, 기록된 정보에서 파생될 수 있는 (명시적으로 밝히지 않은 경우) 사명/비즈니스 정보, 계좌 번호, 주민등록번호, 신용 카드 번호와 같은 개인 정보가 있습니다. 또한 오류 메시지는 정보를 전송하기 위한 은밀한 채널을 제공할 수 있습니다. 관련 규제: AU-2, AU-3, SC-31. 제어 개선 사항: 없음. 참고: 없음.	cloud-trail-cloud-watch-로그 활성화됨	CloudWatch Amazon을 사용하여 로그 이벤트 활동을 중앙에서 수집하고 관리할 수 있습니다. AWS CloudTrail 데이터를 포함하면 사용자 내의 API 호출 활동에 대한 세부 정보가 제공됩니다. AWS 계정
SI-11	정보 시스템: a. 공격자가 악용할 수 있는 정보는 밝히지 않으면서 시정 조치에 필요한 정보를 제공하는 오류 메시지를 생성합니다. b. [할당: 조직에서 정의한 직원 또는 역할]에게만 오류 메시지를 표시합니다. 추가 지침: 조직에서는 오류 메시지의 구조/내용을 신중하게 고려합니다. 정보 시스템이 오류 조건을 식별하고 처리할 수 있는 정도는 조직 정책 및 운영 요구 사항에 따라 결정됩니다. 공격자가 악용할 수 있는 정보에는 예를 들어 사용자 이름으로 잘못 입력한 암호를 사용한 잘못된 로그온 시도, 기록된 정보에서 파생될 수 있는 (명시적으로 밝히지 않은 경우) 사명/비즈니스 정보, 계좌 번호, 주민등록번호, 신용 카드 번호와 같은 개인 정보가 있습니다. 또한 오류 메시지는 정보를 전송하기 위한 은밀한 채널을 제공할 수 있습니다. 관련 규제: AU-2, AU-3, SC-31. 제어 개선 사항: 없음. 참고: 없음.	codebuild-project-logging-enabled	빌드 출력 로그가 Amazon CloudWatch 또는 Amazon Simple Storage Service (Amazon S3) 로 전송되도록 AWS CodeBuild 프로젝트 로깅이 활성화되어 있는지 확인하십시오. 빌드 출력 로그는 빌드 프로젝트에 관한 자세한 정보를 제공합니다.
SI-11	정보 시스템: a. 공격자가 악용할 수 있는 정보는 밝히지 않으면서 시정 조치에 필요한 정보를 제공하는 오류 메시지를 생성합니다. b. [할당: 조직에서 정의한 직원 또는 역할]에게만 오류 메시지를 표시합니다. 추가 지침: 조직에서는 오류 메시지의 구조/내용을 신중하게 고려합니다. 정보 시스템이 오류 조건을 식별하고 처리할 수 있는 정도는 조직 정책 및 운영 요구 사항에 따라 결정됩니다. 공격자가 악용할 수 있는 정보에는 예를 들어 사용자 이름으로 잘못 입력한 암호를 사용한 잘못된 로그온 시도, 기록된 정보에서 파생될 수 있는 (명시적으로 밝히지 않은 경우) 사명/비즈니스 정보, 계좌 번호, 주민등록번호, 신용 카드 번호와 같은 개인 정보가 있습니다. 또한 오류 메시지는 정보를 전송하기 위한 은밀한 채널을 제공할 수 있습니다. 관련 규제: AU-2, AU-3, SC-31. 제어 개선 사항: 없음. 참고: 없음.	elasticsearch-logs-to-cloudwatch	Amazon OpenSearch Service 도메인에 오류 로그가 활성화되어 있고 보존 및 응답을 위해 Amazon CloudWatch Logs로 스트리밍되는지 확인하십시오. 도메인 오류 로그는 보안 및 액세스 감사에 도움이 되며 가용성 문제를 진단하는 데 도움이 될 수 있습니다.
SI-11	정보 시스템: a. 공격자가 악용할 수 있는 정보는 밝히지 않으면서 시정 조치에 필요한 정보를 제공하는 오류 메시지를 생성합니다. b. [할당: 조직에서 정의한 직원 또는 역할]에게만 오류 메시지를 표시합니다. 추가 지침: 조직에서는 오류 메시지의 구조/내용을 신중하게 고려합니다. 정보 시스템이 오류 조건을 식별하고 처리할 수 있는 정도는 조직 정책 및 운영 요구 사항에 따라 결정됩니다. 공격자가 악용할 수 있는 정보에는 예를 들어 사용자 이름으로 잘못 입력한 암호를 사용한 잘못된 로그온 시도, 기록된 정보에서 파생될 수 있는 (명시적으로 밝히지 않은 경우) 사명/비즈니스 정보, 계좌 번호, 주민등록번호, 신용 카드 번호와 같은 개인 정보가 있습니다. 또한 오류 메시지는 정보를 전송하기 위한 은밀한 채널을 제공할 수 있습니다. 관련 규제: AU-2, AU-3, SC-31. 제어 개선 사항: 없음. 참고: 없음.	s3- bucket-logging-enabled	Amazon Simple Storage Service(S3) 서버 액세스 로깅은 네트워크에 잠재적인 사이버 보안 이벤트가 있는지 모니터링하는 방법을 제공합니다. 이벤트는 Amazon S3 버킷에 대해 이루어진 요청에 대한 상세한 레코드를 캡처하여 모니터링됩니다. 각 액세스 로그 레코드는 단일 액세스 요청에 관한 세부 정보를 제공합니다. 세부 정보에는 요청자, 버킷 이름, 요청 시간, 요청 작업, 응답 상태, 오류 코드(해당하는 경우)가 포함됩니다.
SI-11	정보 시스템: a. 공격자가 악용할 수 있는 정보는 밝히지 않으면서 시정 조치에 필요한 정보를 제공하는 오류 메시지를 생성합니다. b. [할당: 조직에서 정의한 직원 또는 역할]에게만 오류 메시지를 표시합니다. 추가 지침: 조직에서는 오류 메시지의 구조/내용을 신중하게 고려합니다. 정보 시스템이 오류 조건을 식별하고 처리할 수 있는 정도는 조직 정책 및 운영 요구 사항에 따라 결정됩니다. 공격자가 악용할 수 있는 정보에는 예를 들어 사용자 이름으로 잘못 입력한 암호를 사용한 잘못된 로그온 시도, 기록된 정보에서 파생될 수 있는 (명시적으로 밝히지 않은 경우) 사명/비즈니스 정보, 계좌 번호, 주민등록번호, 신용 카드 번호와 같은 개인 정보가 있습니다. 또한 오류 메시지는 정보를 전송하기 위한 은밀한 채널을 제공할 수 있습니다. 관련 규제: AU-2, AU-3, SC-31. 제어 개선 사항: 없음. 참고: 없음.	vpc-flow-logs-enabled	VPC 흐름 로그는 Amazon Virtual Private Cloud(VPC)의 네트워크 인터페이스에서 들어오고 나가는 IP 트래픽에 관한 정보의 자세한 기록을 제공합니다. 기본적으로 이 흐름 로그 레코드에는 소스, 대상, 프로토콜 등 IP 흐름의 다양한 구성 요소에 대한 값이 포함됩니다.
SI-11	정보 시스템: a. 공격자가 악용할 수 있는 정보는 밝히지 않으면서 시정 조치에 필요한 정보를 제공하는 오류 메시지를 생성합니다. b. [할당: 조직에서 정의한 직원 또는 역할]에게만 오류 메시지를 표시합니다. 추가 지침: 조직에서는 오류 메시지의 구조/내용을 신중하게 고려합니다. 정보 시스템이 오류 조건을 식별하고 처리할 수 있는 정도는 조직 정책 및 운영 요구 사항에 따라 결정됩니다. 공격자가 악용할 수 있는 정보에는 예를 들어 사용자 이름으로 잘못 입력한 암호를 사용한 잘못된 로그온 시도, 기록된 정보에서 파생될 수 있는 (명시적으로 밝히지 않은 경우) 사명/비즈니스 정보, 계좌 번호, 주민등록번호, 신용 카드 번호와 같은 개인 정보가 있습니다. 또한 오류 메시지는 정보를 전송하기 위한 은밀한 채널을 제공할 수 있습니다. 관련 규제: AU-2, AU-3, SC-31. 제어 개선 사항: 없음. 참고: 없음.	opensearch-logs-to-cloudwatch	Amazon OpenSearch Service 도메인에 오류 로그가 활성화되어 있고 보존 및 응답을 위해 Amazon CloudWatch Logs로 스트리밍되는지 확인하십시오. OpenSearch 서비스 오류 로그는 보안 및 액세스 감사에 도움이 되며 가용성 문제를 진단하는 데 도움이 될 수 있습니다.
SI-12	조직은 관련 연방법, 행정 명령, 지침, 정책, 규정, 표준 및 운영 요구 사항에 따라 정보 시스템 내의 정보와 시스템에서 출력되는 정보를 처리하고 유지합니다.	aurora-resources-protected-by-백업 계획	데이터 백업 프로세스에 도움이 되도록 Amazon Aurora 리소스가 AWS Backup 플랜에 포함되어 있는지 확인하십시오. AWS Backup은 정책 기반 백업 솔루션을 갖춘 완전 관리형 백업 서비스입니다. 이 솔루션을 사용하면 백업 관리를 단순화하고 비즈니스 및 규제 백업 규정 준수 요구 사항을 충족할 수 있습니다.
SI-12	조직은 관련 연방법, 행정 명령, 지침, 정책, 규정, 표준 및 운영 요구 사항에 따라 정보 시스템 내의 정보와 시스템에서 출력되는 정보를 처리하고 유지합니다.	backup-plan-min-frequency-and-min-retention-check	데이터 백업 프로세스를 지원하려면 AWS 백업 계획이 최소 빈도 및 보존 기간으로 설정되어 있는지 확인하세요. AWS Backup은 정책 기반 백업 솔루션을 갖춘 완전 관리형 백업 서비스입니다. 이 솔루션을 사용하면 백업 관리를 단순화하고 비즈니스 및 규제 백업 규정 준수 요구 사항을 충족할 수 있습니다. 이 규칙을 사용하면 (구성 기본값: 1), requiredFrequencyValue (구성 기본값: 35) 및 ( requiredRetentionDays requiredFrequencyUnit 구성 기본값: 일) 매개변수를 설정할 수 있습니다. 실제 값은 조직의 요구 사항을 반영해야 합니다.
SI-12	조직은 관련 연방법, 행정 명령, 지침, 정책, 규정, 표준 및 운영 요구 사항에 따라 정보 시스템 내의 정보와 시스템에서 출력되는 정보를 처리하고 유지합니다.	cw-loggroup-retention-period-check	문제 해결 및 포렌식 조사에 도움이 되도록 로그 그룹에 대한 이벤트 로그 데이터를 최소 기간 동안 유지하세요. 사용 가능한 과거 이벤트 로그 데이터가 부족하면 잠재적으로 악의적인 이벤트를 재구성하고 식별하기가 어렵습니다.
SI-12	조직은 관련 연방법, 행정 명령, 지침, 정책, 규정, 표준 및 운영 요구 사항에 따라 정보 시스템 내의 정보와 시스템에서 출력되는 정보를 처리하고 유지합니다.	dynamodb-resources-protected-by-백업 계획	데이터 백업 프로세스에 도움이 되도록 Amazon DynamoDB 리소스가 Backup 플랜에 포함되어 있는지 확인하십시오. AWS AWS Backup은 정책 기반 백업 솔루션을 갖춘 완전 관리형 백업 서비스입니다. 이 솔루션을 사용하면 백업 관리를 단순화하고 비즈니스 및 규제 백업 규정 준수 요구 사항을 충족할 수 있습니다.
SI-12	조직은 관련 연방법, 행정 명령, 지침, 정책, 규정, 표준 및 운영 요구 사항에 따라 정보 시스템 내의 정보와 시스템에서 출력되는 정보를 처리하고 유지합니다.	ebs-resources-protected-by-백업 계획	데이터 백업 프로세스를 지원하려면 Amazon Elastic Block Store (Amazon EBS) 리소스가 백업 계획의 일부인지 확인하십시오. AWS AWS Backup은 정책 기반 백업 솔루션을 갖춘 완전 관리형 백업 서비스입니다. 이 솔루션을 사용하면 백업 관리를 단순화하고 비즈니스 및 규제 백업 규정 준수 요구 사항을 충족할 수 있습니다.
SI-12	조직은 관련 연방법, 행정 명령, 지침, 정책, 규정, 표준 및 운영 요구 사항에 따라 정보 시스템 내의 정보와 시스템에서 출력되는 정보를 처리하고 유지합니다.	ec2- -플랜 resources-protected-by-backup	데이터 백업 프로세스를 지원하려면 Amazon Elastic Compute Cloud (Amazon EC2) 리소스가 백업 계획의 일부인지 확인하십시오. AWS AWS Backup은 정책 기반 백업 솔루션을 갖춘 완전 관리형 백업 서비스입니다. 이 솔루션을 사용하면 백업 관리를 단순화하고 비즈니스 및 규제 백업 규정 준수 요구 사항을 충족할 수 있습니다.
SI-12	조직은 관련 연방법, 행정 명령, 지침, 정책, 규정, 표준 및 운영 요구 사항에 따라 정보 시스템 내의 정보와 시스템에서 출력되는 정보를 처리하고 유지합니다.	efs-resources-protected-by-백업 계획	데이터 백업 프로세스를 지원하려면 Amazon Elastic File System (Amazon EFS) 파일 시스템이 AWS 백업 계획의 일부인지 확인하십시오. AWS Backup은 정책 기반 백업 솔루션을 갖춘 완전 관리형 백업 서비스입니다. 이 솔루션을 사용하면 백업 관리를 단순화하고 비즈니스 및 규제 백업 규정 준수 요구 사항을 충족할 수 있습니다.
SI-12	조직은 관련 연방법, 행정 명령, 지침, 정책, 규정, 표준 및 운영 요구 사항에 따라 정보 시스템 내의 정보와 시스템에서 출력되는 정보를 처리하고 유지합니다.	fsx-resources-protected-by-백업 계획	데이터 백업 프로세스를 지원하려면 Amazon FSx 파일 시스템이 Backup 계획의 일부인지 확인하십시오. AWS AWS Backup은 정책 기반 백업 솔루션을 갖춘 완전 관리형 백업 서비스입니다. 이 솔루션을 사용하면 백업 관리를 단순화하고 비즈니스 및 규제 백업 규정 준수 요구 사항을 충족할 수 있습니다.
SI-12	조직은 관련 연방법, 행정 명령, 지침, 정책, 규정, 표준 및 운영 요구 사항에 따라 정보 시스템 내의 정보와 시스템에서 출력되는 정보를 처리하고 유지합니다.	rds-resources-protected-by-백업 계획	데이터 백업 프로세스를 지원하려면 Amazon 관계형 데이터베이스 서비스 (Amazon RDS) 리소스가 백업 계획의 일부인지 확인하십시오. AWS AWS Backup은 정책 기반 백업 솔루션을 갖춘 완전 관리형 백업 서비스입니다. 이 솔루션을 사용하면 백업 관리를 단순화하고 비즈니스 및 규제 백업 규정 준수 요구 사항을 충족할 수 있습니다.
SI-12	조직은 관련 연방법, 행정 명령, 지침, 정책, 규정, 표준 및 운영 요구 사항에 따라 정보 시스템 내의 정보와 시스템에서 출력되는 정보를 처리하고 유지합니다.	redshift-backup-enabled	데이터 백업 프로세스에 도움이 되도록 Amazon Redshift 클러스터에 자동 스냅샷이 있는지 확인하세요. 클러스터에 자동 스냅샷이 사용되면 Redshift는 정기적으로 해당 클러스터의 스냅샷을 생성합니다. 기본적으로 Redshift는 각 데이터 변경 노드에 대해 8시간마다 또는 5GB마다 또는 둘 중 먼저 발생하는 시점에 스냅샷을 생성합니다.
SI-12	조직은 관련 연방법, 행정 명령, 지침, 정책, 규정, 표준 및 운영 요구 사항에 따라 정보 시스템 내의 정보와 시스템에서 출력되는 정보를 처리하고 유지합니다.	db-instance-backup-enabled	Amazon RDS의 백업 기능은 데이터베이스 및 트랜잭션 로그의 백업을 생성합니다. Amazon RDS는 전체 DB 인스턴스를 백업하여 DB 인스턴스의 스토리지 볼륨 스냅샷을 생성합니다. 시스템에서 복원력 요구 사항을 충족하도록 특정 보존 기간을 설정할 수 있습니다.
SI-12	조직은 관련 연방법, 행정 명령, 지침, 정책, 규정, 표준 및 운영 요구 사항에 따라 정보 시스템 내의 정보와 시스템에서 출력되는 정보를 처리하고 유지합니다.	dynamodb-pitr-enabled	이 규칙을 사용하면 정보가 백업되었는지 확인할 수 있습니다. 또한 Amazon DynamoDB에서 point-in-time 복구가 활성화되었는지 확인하여 백업을 유지 관리합니다. 복구를 통해 지난 35일 동안 테이블의 연속 백업이 유지됩니다.
SI-12	조직은 관련 연방법, 행정 명령, 지침, 정책, 규정, 표준 및 운영 요구 사항에 따라 정보 시스템 내의 정보와 시스템에서 출력되는 정보를 처리하고 유지합니다.	elasticache-redis-cluster-automatic-백업 확인	자동 백업이 활성화되면 Amazon은 매일 클러스터 백업을 ElastiCache 생성합니다. 백업은 조직에서 지정한 기간 동안 유지할 수 있습니다. 자동 백업은 데이터 손실을 막는 데 도움이 됩니다. 장애가 발생할 경우 새로운 클러스터를 생성해 최신 백업에서 모든 데이터를 복원할 수 있습니다.
SI-12	조직은 관련 연방법, 행정 명령, 지침, 정책, 규정, 표준 및 운영 요구 사항에 따라 정보 시스템 내의 정보와 시스템에서 출력되는 정보를 처리하고 유지합니다.	s3- bucket-versioning-enabled	Amazon Simple Storage Service(S3) 버킷 버전 관리를 사용하면 동일한 Amazon S3 버킷 내에 객체의 여러 변형을 보유할 수 있습니다. 버전 관리를 사용하여 Amazon S3 버킷에 저장된 모든 버전의 모든 객체를 보존, 검색 및 복원합니다. 버전 관리는 의도치 않은 사용자 작업 및 애플리케이션 장애로부터 복구하는 데 도움이 됩니다.
SI-16	정보 시스템은 무단 코드 실행으로부터 메모리를 보호하기 위해 [할당: 조직에서 정의한 보안 보호 장치]를 구현합니다. 추가 지침: 일부 공격자는 실행 불가능한 메모리 영역이나 금지된 메모리 위치에서 코드를 실행하려는 의도로 공격을 시작합니다. 메모리 보호를 위해 사용되는 보안 보호 장치에는 데이터 실행 방지 및 주소 공간 레이아웃 무작위화 등이 포함됩니다. 데이터 실행 방지 보호 장치는 하드웨어에 적용하거나 메커니즘의 강도를 높이는 하드웨어와 함게 소프트웨어에 적용할 수 있습니다. 관련 규제 항목: AC-25, SC-3. 제어 개선 사항: 없음. 참고: 없음.	ecs-task-definition-memory-하드 리밋	Amazon Elastic Container Service(ECS) 컨테이너에 사용할 수 있는 최대 메모리를 제한하면 컨테이너에 악의적으로 액세스하는 경우 리소스 사용이 남용되는 것을 방지할 수 있습니다.

템플릿

템플릿은 FedRAMP 운영 모범 사례 (보통) 에서 사용할 수 GitHub 있습니다.