As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.
Melhores práticas operacionais para o FedRAMP (Low)
Os pacotes de conformidade fornecem uma estrutura de conformidade de uso geral projetada para permitir que você crie verificações de governança de segurança, operacionais ou de otimização de custos usando controles gerenciados ou personalizadosAWS Configregras eAWS Configações de remediação. Os pacotes de conformidade, como modelos de exemplo, não foram projetados para garantir totalmente a conformidade com um padrão específico de governança ou conformidade. Você é responsável por fazer sua própria avaliação sobre se o uso dos Serviços atende aos requisitos legais e regulamentares aplicáveis.
O seguinte fornece um exemplo de mapeamento entre os controles de baixa linha de base do Programa Federal de Gerenciamento de Riscos e Autorizações (FedRAMP) eAWSregras de configuração gerenciadas. Cada regra de configuração se aplica a um específicoAWSrecurso e está relacionado a um ou mais controles do FedRAMP. Um controle do FedRAMP pode estar relacionado a várias regras de configuração. Consulte a tabela abaixo para obter mais detalhes e orientações relacionadas a esses mapeamentos.
| ID de controle | Descrição do controle | AWSRegra de configuração | Orientação |
|---|---|---|---|
| AC-2 | GERENCIAMENTO DE CONTAS | GarantaAWS CodeBuildo registro de projetos está habilitado para que seus registros de saída de compilação sejam enviados para qualquer uma das AmazonCloudWatchou Amazon Simple Storage Service (Amazon S3). Os registros de saída de compilação fornecem informações detalhadas sobre seu projeto de construção. | |
| AC-2 | GERENCIAMENTO DE CONTAS | AWSO Gerenciamento de Identidade e Acesso (IAM) pode ajudá-lo a incorporar os princípios de menor privilégio e separação de funções com permissões e autorizações de acesso, impedindo que as políticas contenham ações bloqueadas em todosAWSChaves do serviço de gerenciamento de chaves. Ter mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio do menor privilégio e da separação de deveres. Essa regra permite que você defina oblockedActionsPatternsparâmetro. (AWSValor fundamental das melhores práticas de segurança: kms:decrypt, kms:ReEncryptFrom). Os valores reais devem refletir as políticas da sua organização | |
| AC-2 | GERENCIAMENTO DE CONTAS | AWSO Gerenciamento de Identidade e Acesso (IAM) pode ajudar você a incorporar os princípios de menor privilégio e separação de funções com permissões e autorizações de acesso, garantindo que os grupos do IAM tenham pelo menos um usuário. Colocar usuários em grupos com base nas permissões associadas ou na função de trabalho é uma forma de incorporar o mínimo de privilégios. | |
| AC-2 | GERENCIAMENTO DE CONTAS | Garanta umAWSO usuário, a função ou o grupo do IAM (Identity and Access Management) não têm uma política embutida para permitir ações bloqueadas em todosAWSChaves do serviço de gerenciamento de chaves.AWSrecomenda usar políticas gerenciadas em vez de políticas em linha. As políticas gerenciadas permitem a reutilização, o controle de versões, a reversão e a delegação do gerenciamento de permissões. Essa regra permite que você defina oblockedActionsPatternsparâmetro. (AWSValor fundamental das melhores práticas de segurança: kms:decrypt, kms:ReEncryptFrom). Os valores reais devem refletir as políticas da sua organização. | |
| AC-2 | GERENCIAMENTO DE CONTAS | Garanta umAWSO usuário, a função ou o grupo do IAM (Identity and Access Management) não têm uma política em linha para controlar o acesso a sistemas e ativos.AWSrecomenda usar políticas gerenciadas em vez de políticas em linha. As políticas gerenciadas permitem a reutilização, o controle de versões e a reversão, além da delegação do gerenciamento de permissões. | |
| AC-2 | GERENCIAMENTO DE CONTAS | Certifique-se de que as ações do IAM sejam restritas somente às ações necessárias. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio do menor privilégio e da separação de funções. | |
| AC-2 | GERENCIAMENTO DE CONTAS | AWS CloudTrailregistrosAWSAções do Management Console e chamadas de API. Você pode identificar quais usuários e contas ligaramAWS, o endereço IP de origem de onde as chamadas foram feitas e quando as chamadas ocorreram. CloudTrailentregará arquivos de log de todosAWSRegiões para seu bucket do S3 se MULTI_REGION_CLOUD_TRAIL_ENABLED estiver ativado. Além disso, quandoAWSlança uma nova região,CloudTrailcriará a mesma trilha na nova região. Como resultado, você receberá arquivos de log contendo a atividade da API para a nova região sem realizar nenhuma ação. | |
| AC-2 | GERENCIAMENTO DE CONTAS | Para ajudar com o registro e o monitoramento em seu ambiente, certifique-se de que o registro do Amazon Relational Database Service (Amazon RDS) esteja ativado. Com o registro do Amazon RDS, você pode capturar eventos como conexões, desconexões, consultas ou tabelas consultadas. | |
| AC-2 | GERENCIAMENTO DE CONTAS | AWSO Security Hub ajuda a monitorar pessoal, conexões, dispositivos e software não autorizados.AWS O Security Hub agrega, organiza e prioriza os alertas de segurança, ou descobertas, de váriosAWSserviços. Alguns desses serviços são o Amazon Security Hub, o Amazon Inspector, o Amazon Macie,AWSAnalisador de acesso de gerenciamento de identidade e acesso (IAM) eAWSGerenciador de Firewall eAWSSoluções de parceiros. | |
| AC-2 | GERENCIAMENTO DE CONTAS | As credenciais são auditadas para dispositivos, usuários e processos autorizados, garantindo que as chaves de acesso do IAM sejam alternadas de acordo com a política organizacional. Alterar as chaves de acesso regularmente é uma prática recomendada de segurança. Isso reduz o período em que uma chave de acesso está ativa e reduz o impacto nos negócios se as chaves forem comprometidas. Essa regra exige um valor de rotação da chave de acesso (padrão de configuração: 90). O valor real deve refletir as políticas da sua organização. | |
| AC-2 | GERENCIAMENTO DE CONTAS | Use a AmazonCloudWatchpara coletar e gerenciar centralmente a atividade de eventos de registro. Inclusão deAWS CloudTrailos dados fornecem detalhes da atividade de chamadas de API em seuAWSconta. | |
| AC-2 | GERENCIAMENTO DE CONTAS | AWS CloudTrailpode ajudar na não repúdio gravandoAWSAções do Management Console e chamadas de API. Você pode identificar os usuários eAWScontas que chamaram umAWSserviço, o endereço IP de origem onde as chamadas foram geradas e os horários das chamadas. Os detalhes dos dados capturados são vistos emAWS CloudTrailGrave o conteúdo. | |
| AC-2 | GERENCIAMENTO DE CONTAS | A coleta de eventos de dados do Simple Storage Service (Amazon S3) ajuda a detectar qualquer atividade anômala. Os detalhes incluemAWSinformações da conta que acessaram um bucket do Amazon S3, endereço IP e hora do evento. | |
| AC-2 | GERENCIAMENTO DE CONTAS | AmazôniaCloudWatchalertam quando uma métrica ultrapassa o limite de um determinado número de períodos de avaliação. O alarme realiza uma ou mais ações com base no valor da métrica ou na expressão relativa a um limite em alguns períodos. Essa regra exige um valor paraalarmActionRequired(Padrão de configuração: verdadeiro),insufficientDataActionObrigatório (padrão de configuração: verdadeiro),okActionRequired(Padrão de configuração: falso). O valor real deve refletir as ações de alarme do seu ambiente. | |
| AC-2 | GERENCIAMENTO DE CONTAS | AmazôniaGuardDutypode ajudar a monitorar e detectar possíveis eventos de segurança cibernética usando feeds de inteligência de ameaças. Isso inclui listas de IPs maliciosos e aprendizado de máquina para identificar atividades inesperadas, não autorizadas e maliciosas em seuAWSAmbiente em nuvem. | |
| AC-2 | GERENCIAMENTO DE CONTAS | As identidades e as credenciais são emitidas, gerenciadas e verificadas com base em uma política de senha organizacional do IAM. Eles atendem ou excedem os requisitos, conforme declarado pelo NIST SP 800-63 e peloAWSPadrão básico de melhores práticas de segurança para a segurança da senha. Essa regra permite que você defina opcionalmenteRequireUppercaseCharacters(AWSAs melhores práticas básicas de segurança (valor: verdadeiro),RequireLowercaseCharacters(AWSAs melhores práticas básicas de segurança (valor: verdadeiro),RequireSymbols(AWSAs melhores práticas básicas de segurança (valor: verdadeiro),RequireNumbers(AWSAs melhores práticas básicas de segurança (valor: verdadeiro),MinimumPasswordLength(AWSValor fundamental das melhores práticas de segurança: 14),PasswordReusePrevention(AWSValor fundamental das melhores práticas de segurança: 24) eMaxPasswordAge(AWSValor fundamental das melhores práticas de segurança: 90) para sua política de senha do IAM. Os valores reais devem refletir as políticas da sua organização. | |
| AC-2 | GERENCIAMENTO DE CONTAS | AWSO Gerenciamento de Identidade e Acesso (IAM) pode ajudá-lo a incorporar os princípios de menor privilégio e separação de funções com permissões e autorizações de acesso, impedindo que as políticas contenham “Efeito”: “Permitir” com “Ação”: “*” em vez de “Recurso”: “*”. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio do menor privilégio e da separação de funções. | |
| AC-2 | GERENCIAMENTO DE CONTAS | O acesso a sistemas e ativos pode ser controlado verificando se o usuário root não tem chaves de acesso anexadas aos seusAWSFunção de gerenciamento de identidade e acesso (IAM). Certifique-se de que as chaves de acesso root sejam excluídas. Em vez disso, crie e use com base em funçõesAWScontas para ajudar a incorporar o princípio da menor funcionalidade. | |
| AC-2 | GERENCIAMENTO DE CONTAS | AWSO Gerenciamento de Identidade e Acesso (IAM) pode ajudar você a restringir as permissões e autorizações de acesso, garantindo que os usuários sejam membros de pelo menos um grupo. Permitir aos usuários mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio do menor privilégio e da separação de deveres. | |
| AC-2 | GERENCIAMENTO DE CONTAS | Ative essa regra para restringir o acesso aos recursos noAWSNuvem. Essa regra garante que a autenticação multifator (MFA) esteja habilitada para todos os usuários. A MFA adiciona uma camada extra de proteção às credenciais de login. Reduza os incidentes de contas comprometidas exigindo MFA para os usuários. | |
| AC-2 | GERENCIAMENTO DE CONTAS | Esta regra garanteAWSAs políticas de gerenciamento de identidade e acesso (IAM) são vinculadas somente a grupos ou funções para controlar o acesso a sistemas e ativos. A atribuição de privilégios no nível do grupo ou da função ajuda a reduzir a oportunidade de uma identidade receber ou reter privilégios excessivos. | |
| AC-2 | GERENCIAMENTO DE CONTAS | AWSO Gerenciamento de Identidade e Acesso (IAM) pode ajudá-lo com permissões e autorizações de acesso verificando as senhas e chaves de acesso do IAM que não são usadas por um período de tempo especificado. Se essas credenciais não utilizadas forem identificadas, você deverá desabilitar e/ou remover as credenciais, pois isso pode violar o princípio do menor privilégio. Essa regra exige que você defina um valor para omaxCredentialUsageIdade (padrão de configuração: 90). O valor real deve refletir as políticas da sua organização. | |
| AC-2 | GERENCIAMENTO DE CONTAS | Gerencie o acesso aos recursos noAWSNuvem, garantindo que a MFA esteja habilitada para todosAWSUsuários do Gerenciamento de Identidade e Acesso (IAM) que têm uma senha de console. A MFA adiciona uma camada extra de proteção às credenciais de login. Ao exigir a MFA para os usuários, você pode reduzir os incidentes de contas comprometidas e impedir que dados confidenciais sejam acessados por usuários não autorizados. | |
| AC-2 | GERENCIAMENTO DE CONTAS | Para proteger os dados em repouso, certifique-se de que a criptografia esteja habilitada para seus clusters do Amazon Redshift. Você também deve garantir que as configurações necessárias sejam implantadas nos clusters do Amazon Redshift. O registro de auditoria deve estar habilitado para fornecer informações sobre conexões e atividades do usuário no banco de dados. Essa regra exige que um valor seja definido paraclusterDbEncrypted(Config Default: TRUE) e LoggingEnabled (Config Default: TRUE). Os valores reais devem refletir as políticas da sua organização. | |
| AC-2 | GERENCIAMENTO DE CONTAS | Gerencie o acesso aos recursos noAWSNuvem, garantindo que a MFA de hardware esteja habilitada para o usuário root. O usuário root é o usuário mais privilegiado em umAWSconta. O MFA adiciona uma camada extra de proteção às credenciais de login. Ao exigir MFA para o usuário root, você pode reduzir os incidentes de comprometimentoAWScontas. | |
| AC-2 | GERENCIAMENTO DE CONTAS | Gerencie o acesso aos recursos noAWSNuvem, garantindo que o MFA esteja habilitado para o usuário root. O usuário root é o usuário mais privilegiado em umAWSconta. O MFA adiciona uma camada extra de proteção às credenciais de login. Ao exigir MFA para o usuário root, você pode reduzir os incidentes de comprometimentoAWScontas. | |
| AC-2 | GERENCIAMENTO DE CONTAS | O registro de acesso ao servidor do Amazon Simple Storage Service (Amazon S3) fornece um método para monitorar a rede em busca de possíveis eventos de segurança cibernética. Os eventos são monitorados por meio da captura de registros detalhados das solicitações feitas a um bucket do Amazon S3. Cada registro de registro de acesso fornece detalhes sobre uma única solicitação de acesso. Os detalhes incluem o solicitante, nome do bucket, hora da solicitação, ação da solicitação, status da resposta e um código de erro, se relevante. | |
| AC-3 | FISCALIZAÇÃO DO ACESSO | Se você configurar suas interfaces de rede com um endereço IP público, os recursos associados a essas interfaces de rede poderão ser acessados pela Internet. Os recursos do EC2 não devem ser acessíveis ao público, pois isso pode permitir acesso não intencional aos seus aplicativos ou servidores. | |
| AC-3 | FISCALIZAÇÃO DO ACESSO | Certifique-se de que o método Instance Metadata Service Versão 2 (IMDSv2) esteja ativado para ajudar a proteger o acesso e o controle dos metadados da instância do Amazon Elastic Compute Cloud (Amazon EC2). O método IMDSv2 usa controles baseados em sessão. Com o IMDSv2, os controles podem ser implementados para restringir as alterações nos metadados da instância. | |
| AC-3 | FISCALIZAÇÃO DO ACESSO | Os perfis de instância do EC2 transmitem uma função do IAM para uma instância do EC2. Anexar um perfil de instância às suas instâncias pode ajudar no menor gerenciamento de privilégios e permissões. | |
| AC-3 | FISCALIZAÇÃO DO ACESSO | Se uma definição de tarefa tem privilégios elevados, é porque o cliente optou especificamente por essas configurações. Esse controle verifica o aumento inesperado de privilégios quando uma definição de tarefa tem a rede do host habilitada, mas o cliente não optou por privilégios elevados. | |
| AC-3 | FISCALIZAÇÃO DO ACESSO | Garanta umAWSO usuário, a função ou o grupo do IAM (Identity and Access Management) não têm uma política em linha para controlar o acesso a sistemas e ativos.AWSrecomenda usar políticas gerenciadas em vez de políticas em linha. As políticas gerenciadas permitem a reutilização, o controle de versões e a reversão, além da delegação do gerenciamento de permissões. | |
| AC-3 | FISCALIZAÇÃO DO ACESSO | Certifique-se de que as ações do IAM sejam restritas somente às ações necessárias. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio do menor privilégio e da separação de funções. | |
| AC-3 | FISCALIZAÇÃO DO ACESSO | GarantaAWSOs documentos do Systems Manager (SSM) não são públicos, pois isso pode permitir acesso não intencional aos seus documentos SSM. Um documento SSM público pode expor informações sobre sua conta, recursos e processos internos. | |
| AC-3 | FISCALIZAÇÃO DO ACESSO | Gerencie o acesso aoAWSNuvem, garantindo que as instâncias de replicação do DMS não possam ser acessadas publicamente. As instâncias de replicação do DMS podem conter informações confidenciais e o controle de acesso é necessário para essas contas. | |
| AC-3 | FISCALIZAÇÃO DO ACESSO | Gerencie o acesso aoAWSNuvem garantindo que os snapshots do EBS não possam ser restaurados publicamente. Os instantâneos de volume do EBS podem conter informações confidenciais e o controle de acesso é necessário para essas contas. | |
| AC-3 | FISCALIZAÇÃO DO ACESSO | Gerencie o acesso aoAWSNuvem garantindo que as instâncias do Amazon Elastic Compute Cloud (Amazon EC2) não possam ser acessadas publicamente. As instâncias do Amazon EC2 podem conter informações confidenciais e o controle de acesso é necessário para essas contas. | |
| AC-3 | FISCALIZAÇÃO DO ACESSO | Gerencie o acesso aoAWSNuvem ao garantir a AmazonOpenSearchServiço (OpenSearch(Serviço) Os domínios estão dentro de uma Amazon Virtual Private Cloud (Amazon VPC). UmOpenSearchO domínio de serviço em um Amazon VPC permite a comunicação segura entreOpenSearchServiço e outros serviços dentro do Amazon VPC sem a necessidade de um gateway de internet, dispositivo NAT ou conexão VPN. | |
| AC-3 | FISCALIZAÇÃO DO ACESSO | Gerencie o acesso aoAWSNuvem, garantindo que os nós principais do cluster Amazon EMR não possam ser acessados publicamente. Os nós principais do cluster do Amazon EMR podem conter informações confidenciais e o controle de acesso é necessário para essas contas. | |
| AC-3 | FISCALIZAÇÃO DO ACESSO | AWSO Gerenciamento de Identidade e Acesso (IAM) pode ajudar você a incorporar os princípios de menor privilégio e separação de funções com permissões e autorizações de acesso, garantindo que os grupos do IAM tenham pelo menos um usuário. Colocar usuários em grupos com base nas permissões associadas ou na função de trabalho é uma forma de incorporar o mínimo de privilégios. | |
| AC-3 | FISCALIZAÇÃO DO ACESSO | AWSO Gerenciamento de Identidade e Acesso (IAM) pode ajudá-lo a incorporar os princípios de menor privilégio e separação de funções com permissões e autorizações de acesso, impedindo que as políticas contenham “Efeito”: “Permitir” com “Ação”: “*” em vez de “Recurso”: “*”. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio do menor privilégio e da separação de funções. | |
| AC-3 | FISCALIZAÇÃO DO ACESSO | O acesso a sistemas e ativos pode ser controlado verificando se o usuário root não tem chaves de acesso anexadas aos seusAWSFunção de gerenciamento de identidade e acesso (IAM). Certifique-se de que as chaves de acesso root sejam excluídas. Em vez disso, crie e use com base em funçõesAWScontas para ajudar a incorporar o princípio da menor funcionalidade. | |
| AC-3 | FISCALIZAÇÃO DO ACESSO | AWSO Gerenciamento de Identidade e Acesso (IAM) pode ajudar você a restringir as permissões e autorizações de acesso, garantindo que os usuários sejam membros de pelo menos um grupo. Permitir aos usuários mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio do menor privilégio e da separação de deveres. | |
| AC-3 | FISCALIZAÇÃO DO ACESSO | Esta regra garanteAWSAs políticas de gerenciamento de identidade e acesso (IAM) são vinculadas somente a grupos ou funções para controlar o acesso a sistemas e ativos. A atribuição de privilégios no nível do grupo ou da função ajuda a reduzir a oportunidade de uma identidade receber ou reter privilégios excessivos. | |
| AC-3 | FISCALIZAÇÃO DO ACESSO | AWSO Gerenciamento de Identidade e Acesso (IAM) pode ajudá-lo com permissões e autorizações de acesso verificando as senhas e chaves de acesso do IAM que não são usadas por um período de tempo especificado. Se essas credenciais não utilizadas forem identificadas, você deverá desabilitar e/ou remover as credenciais, pois isso pode violar o princípio do menor privilégio. Essa regra exige que você defina um valor para omaxCredentialUsageIdade (padrão de configuração: 90). O valor real deve refletir as políticas da sua organização. | |
| AC-3 | FISCALIZAÇÃO DO ACESSO | Gerencie o acesso aos recursos noAWSNuvem, garantindoAWSAs funções do Lambda não podem ser acessadas publicamente. O acesso público pode potencialmente levar à degradação da disponibilidade de recursos. | |
| AC-3 | FISCALIZAÇÃO DO ACESSO | ImplantarAWSO Lambda funciona em uma Amazon Virtual Private Cloud (Amazon VPC) para uma comunicação segura entre uma função e outros serviços dentro da Amazon VPC. Com essa configuração, não há necessidade de um gateway de Internet, dispositivo NAT ou conexão VPN. Todo o tráfego permanece seguro dentro doAWSNuvem. Devido ao isolamento lógico, os domínios que residem em um Amazon VPC têm uma camada extra de segurança quando comparados aos domínios que usam endpoints públicos. Para gerenciar adequadamente o acesso,AWSAs funções lambda devem ser atribuídas a uma VPC. | |
| AC-3 | FISCALIZAÇÃO DO ACESSO | Gerencie o acesso aoAWSNuvem ao garantir a AmazonOpenSearchOs domínios de serviço estão dentro de uma Amazon Virtual Private Cloud (Amazon VPC). Uma AmazôniaOpenSearchO domínio de serviço em um Amazon VPC permite a comunicação segura entre a AmazonOpenSearchServiço e outros serviços dentro do Amazon VPC sem a necessidade de um gateway de internet, dispositivo NAT ou conexão VPN. | |
| AC-3 | FISCALIZAÇÃO DO ACESSO | Gerencie o acesso aos recursos noAWSNuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações confidenciais, e princípios e controle de acesso são necessários para essas contas. | |
| AC-3 | FISCALIZAÇÃO DO ACESSO | Gerencie o acesso aos recursos noAWSNuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações e princípios confidenciais, e o controle de acesso é necessário para essas contas. | |
| AC-3 | FISCALIZAÇÃO DO ACESSO | Gerencie o acesso aos recursos noAWSNuvem garantindo que os clusters do Amazon Redshift não sejam públicos. Os clusters do Amazon Redshift podem conter informações e princípios confidenciais, e o controle de acesso é necessário para essas contas. | |
| AC-3 | FISCALIZAÇÃO DO ACESSO | Gerencie o acesso aos recursos noAWSNuvem garantindo que os buckets do Amazon Simple Storage Service (Amazon S3) não possam ser acessados publicamente. Essa regra ajuda a manter os dados confidenciais protegidos de usuários remotos não autorizados, impedindo o acesso público. Essa regra permite que você defina opcionalmente oignorePublicAcls(Padrão de configuração: verdadeiro),blockPublicPolicy(Padrão de configuração: verdadeiro),blockPublicAcls(Config Default: True), erestrictPublicBucketsparâmetros (Config Default: True). Os valores reais devem refletir as políticas da sua organização. | |
| AC-3 | FISCALIZAÇÃO DO ACESSO | Gerencie o acesso aos recursos noAWSNuvem garantindo que os buckets do Amazon Simple Storage Service (Amazon S3) não possam ser acessados publicamente. Essa regra ajuda a manter os dados confidenciais protegidos de usuários remotos não autorizados, impedindo o acesso público no nível do bucket. | |
| AC-3 | FISCALIZAÇÃO DO ACESSO | Gerencie o acesso aos recursos noAWSNuvem ao permitir que usuários, processos e dispositivos autorizados acessem apenas buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados. | |
| AC-3 | FISCALIZAÇÃO DO ACESSO | Gerencie o acesso aos recursos noAWSNuvem ao permitir que usuários, processos e dispositivos autorizados acessem apenas buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados. | |
| AC-3 | FISCALIZAÇÃO DO ACESSO | Gerencie o acesso aos recursos noAWSNuvem, garantindo que a AmazonSageMakeros notebooks não permitem acesso direto à internet. Ao impedir o acesso direto à Internet, você pode impedir que dados confidenciais sejam acessados por usuários não autorizados. | |
| AC-3 | FISCALIZAÇÃO DO ACESSO | Gerencie o acesso aoAWSNuvem garantindo que as sub-redes Amazon Virtual Private Cloud (VPC) não recebam automaticamente um endereço IP público. As instâncias do Amazon Elastic Compute Cloud (EC2) que são lançadas em sub-redes que têm esse atributo ativado têm um endereço IP público atribuído à sua interface de rede primária. | |
| AC-17 | ACESSO REMOTO | Certifique-se de que seus Elastic Load Balancers (ELBs) estejam configurados com ouvintes SSL ou HTTPS. Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados. | |
| AC-17 | ACESSO REMOTO | Os grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2) podem ajudar a gerenciar o acesso à rede fornecendo filtragem de estado do tráfego de entrada e saída da rede paraAWSrecursos. Não permitir tráfego de entrada (ou remoto) de 0.0.0.0/0 para a porta 22 em seus recursos ajuda a restringir o acesso remoto. | |
| AC-17 | ACESSO REMOTO | Implante instâncias do Amazon Elastic Compute Cloud (Amazon EC2) em uma Amazon Virtual Private Cloud (Amazon VPC) para permitir a comunicação segura entre uma instância e outros serviços dentro da Amazon VPC, sem exigir um gateway de internet, dispositivo NAT ou conexão VPN. Todo o tráfego permanece com segurança na Nuvem AWS. Devido ao isolamento lógico, os domínios que residem em um Amazon VPC têm uma camada extra de segurança quando comparados aos domínios que usam endpoints públicos. Atribua instâncias do Amazon EC2 a uma Amazon VPC para gerenciar adequadamente o acesso. | |
| AC-17 | ACESSO REMOTO | AWSO Security Hub ajuda a monitorar pessoal, conexões, dispositivos e software não autorizados.AWS O Security Hub agrega, organiza e prioriza os alertas de segurança, ou descobertas, de váriosAWSserviços. Alguns desses serviços são o Amazon Security Hub, o Amazon Inspector, o Amazon Macie,AWSAnalisador de acesso de gerenciamento de identidade e acesso (IAM) eAWSGerenciador de Firewall eAWSSoluções de parceiros. | |
| AC-17 | ACESSO REMOTO | Garanta que a integridade da rede esteja protegida, garantindo que os certificados X509 sejam emitidos porAWSACM. Esses certificados devem ser válidos e não expirados. Essa regra exige um valor paradaysToExpiration(AWSValor das melhores práticas básicas de segurança: 90). O valor real deve refletir as políticas da sua organização. | |
| AC-17 | ACESSO REMOTO | Para ajudar a proteger os dados em trânsito, certifique-se de que seu Application Load Balancer redirecione automaticamente solicitações HTTP não criptografadas para HTTPS. Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados. | |
| AC-17 | ACESSO REMOTO | Gerencie o acesso aoAWSNuvem, garantindo que as instâncias de replicação do DMS não possam ser acessadas publicamente. As instâncias de replicação do DMS podem conter informações confidenciais e o controle de acesso é necessário para essas contas. | |
| AC-17 | ACESSO REMOTO | Gerencie o acesso aoAWSNuvem garantindo que os snapshots do EBS não possam ser restaurados publicamente. Os instantâneos de volume do EBS podem conter informações confidenciais e o controle de acesso é necessário para essas contas. | |
| AC-17 | ACESSO REMOTO | Gerencie o acesso aoAWSNuvem garantindo que as instâncias do Amazon Elastic Compute Cloud (Amazon EC2) não possam ser acessadas publicamente. As instâncias do Amazon EC2 podem conter informações confidenciais e o controle de acesso é necessário para essas contas. | |
| AC-17 | ACESSO REMOTO | Gerencie o acesso aoAWSNuvem ao garantir a AmazonOpenSearchServiço (OpenSearch(Serviço) Os domínios estão dentro de uma Amazon Virtual Private Cloud (Amazon VPC). UmOpenSearchO domínio de serviço em um Amazon VPC permite a comunicação segura entreOpenSearchServiço e outros serviços dentro do Amazon VPC sem a necessidade de um gateway de internet, dispositivo NAT ou conexão VPN. | |
| AC-17 | ACESSO REMOTO | Gerencie o acesso aoAWSNuvem, garantindo que os nós principais do cluster Amazon EMR não possam ser acessados publicamente. Os nós principais do cluster do Amazon EMR podem conter informações confidenciais e o controle de acesso é necessário para essas contas. | |
| AC-17 | ACESSO REMOTO | AmazôniaGuardDutypode ajudar a monitorar e detectar possíveis eventos de segurança cibernética usando feeds de inteligência de ameaças. Isso inclui listas de IPs maliciosos e aprendizado de máquina para identificar atividades inesperadas, não autorizadas e maliciosas em seuAWSAmbiente em nuvem. | |
| AC-17 | ACESSO REMOTO | Gerencie o acesso aos recursos noAWSNuvem, garantindoAWSAs funções do Lambda não podem ser acessadas publicamente. O acesso público pode potencialmente levar à degradação da disponibilidade de recursos. | |
| AC-17 | ACESSO REMOTO | ImplantarAWSO Lambda funciona em uma Amazon Virtual Private Cloud (Amazon VPC) para uma comunicação segura entre uma função e outros serviços dentro da Amazon VPC. Com essa configuração, não há necessidade de um gateway de Internet, dispositivo NAT ou conexão VPN. Todo o tráfego permanece seguro dentro doAWSNuvem. Devido ao isolamento lógico, os domínios que residem em um Amazon VPC têm uma camada extra de segurança quando comparados aos domínios que usam endpoints públicos. Para gerenciar adequadamente o acesso,AWSAs funções lambda devem ser atribuídas a uma VPC. | |
| AC-17 | ACESSO REMOTO | Gerencie o acesso aoAWSNuvem ao garantir a AmazonOpenSearchOs domínios de serviço estão dentro de uma Amazon Virtual Private Cloud (Amazon VPC). Uma AmazôniaOpenSearchO domínio de serviço em um Amazon VPC permite a comunicação segura entre a AmazonOpenSearchServiço e outros serviços dentro do Amazon VPC sem a necessidade de um gateway de internet, dispositivo NAT ou conexão VPN. | |
| AC-17 | ACESSO REMOTO | Gerencie o acesso aos recursos noAWSNuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações confidenciais, e princípios e controle de acesso são necessários para essas contas. | |
| AC-17 | ACESSO REMOTO | Gerencie o acesso aos recursos noAWSNuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações e princípios confidenciais, e o controle de acesso é necessário para essas contas. | |
| AC-17 | ACESSO REMOTO | Gerencie o acesso aos recursos noAWSNuvem garantindo que os clusters do Amazon Redshift não sejam públicos. Os clusters do Amazon Redshift podem conter informações e princípios confidenciais, e o controle de acesso é necessário para essas contas. | |
| AC-17 | ACESSO REMOTO | Certifique-se de que seus clusters do Amazon Redshift exijam criptografia TLS/SSL para se conectar aos clientes SQL. Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados. | |
| AC-17 | ACESSO REMOTO | Gerencie o acesso aos recursos noAWSNuvem garantindo que as portas comuns sejam restritas nos grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2). Não restringir o acesso às portas a fontes confiáveis pode levar a ataques contra a disponibilidade, integridade e confidencialidade dos sistemas. Essa regra permite que você defina opcionalmente os parâmetros BlockedPort1 - BlockedPort5 (Padrões de configuração: 20,21,3389,3306,4333). Os valores reais devem refletir as políticas da sua organização. | |
| AC-17 | ACESSO REMOTO | Gerencie o acesso aos recursos noAWSNuvem garantindo que os buckets do Amazon Simple Storage Service (Amazon S3) não possam ser acessados publicamente. Essa regra ajuda a manter os dados confidenciais protegidos de usuários remotos não autorizados, impedindo o acesso público. Essa regra permite que você defina opcionalmente oignorePublicAcls(Padrão de configuração: verdadeiro),blockPublicPolicy(Padrão de configuração: verdadeiro),blockPublicAcls(Config Default: True), erestrictPublicBucketsparâmetros (Config Default: True). Os valores reais devem refletir as políticas da sua organização. | |
| AC-17 | ACESSO REMOTO | Gerencie o acesso aos recursos noAWSNuvem garantindo que os buckets do Amazon Simple Storage Service (Amazon S3) não possam ser acessados publicamente. Essa regra ajuda a manter os dados confidenciais protegidos de usuários remotos não autorizados, impedindo o acesso público no nível do bucket. | |
| AC-17 | ACESSO REMOTO | Gerencie o acesso aos recursos noAWSNuvem ao permitir que usuários, processos e dispositivos autorizados acessem apenas buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados. | |
| AC-17 | ACESSO REMOTO | Gerencie o acesso aos recursos noAWSNuvem ao permitir que usuários, processos e dispositivos autorizados acessem apenas buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados. | |
| AC-17 | ACESSO REMOTO | Para ajudar a proteger os dados em trânsito, certifique-se de que seus buckets do Amazon Simple Storage Service (Amazon S3) exijam solicitações para usar o Secure Socket Layer (SSL). Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados. | |
| AC-17 | ACESSO REMOTO | Gerencie o acesso aos recursos noAWSNuvem, garantindo que a AmazonSageMakeros notebooks não permitem acesso direto à internet. Ao impedir o acesso direto à Internet, você pode impedir que dados confidenciais sejam acessados por usuários não autorizados. | |
| AC-17 | ACESSO REMOTO | Gerencie o acesso aoAWSNuvem garantindo que as sub-redes Amazon Virtual Private Cloud (VPC) não recebam automaticamente um endereço IP público. As instâncias do Amazon Elastic Compute Cloud (EC2) que são lançadas em sub-redes que têm esse atributo ativado têm um endereço IP público atribuído à sua interface de rede primária. | |
| AC-17 | ACESSO REMOTO | Os grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2) podem ajudar no gerenciamento do acesso à rede fornecendo filtragem de estado do tráfego de entrada e saída da rede paraAWSrecursos. Restringir todo o tráfego no grupo de segurança padrão ajuda a restringir o acesso remoto ao seuAWSrecursos. | |
| AC-17 | ACESSO REMOTO | Gerencie o acesso aos recursos noAWSNuvem garantindo que as portas comuns sejam restritas nos grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2). Não restringir o acesso às portas a fontes confiáveis pode levar a ataques contra a disponibilidade, integridade e confidencialidade dos sistemas. Ao restringir o acesso a recursos dentro de um grupo de segurança da Internet (0.0.0.0/0), o acesso remoto pode ser controlado aos sistemas internos. | |
| AU-2 | EVENTOS DE AUDITORIA | GarantaAWS CodeBuildo registro de projetos está habilitado para que seus registros de saída de compilação sejam enviados para qualquer uma das AmazonCloudWatchou Amazon Simple Storage Service (Amazon S3). Os registros de saída de compilação fornecem informações detalhadas sobre seu projeto de construção. | |
| AU-2 | EVENTOS DE AUDITORIA | AWS CloudTrailregistrosAWSAções do Management Console e chamadas de API. Você pode identificar quais usuários e contas ligaramAWS, o endereço IP de origem de onde as chamadas foram feitas e quando as chamadas ocorreram. CloudTrailentregará arquivos de log de todosAWSRegiões para seu bucket do S3 se MULTI_REGION_CLOUD_TRAIL_ENABLED estiver ativado. Além disso, quandoAWSlança uma nova região,CloudTrailcriará a mesma trilha na nova região. Como resultado, você receberá arquivos de log contendo a atividade da API para a nova região sem realizar nenhuma ação. | |
| AU-2 | EVENTOS DE AUDITORIA | Para ajudar com o registro e o monitoramento em seu ambiente, certifique-se de que o registro do Amazon Relational Database Service (Amazon RDS) esteja ativado. Com o registro do Amazon RDS, você pode capturar eventos como conexões, desconexões, consultas ou tabelas consultadas. | |
| AU-2 | EVENTOS DE AUDITORIA | Para ajudar com o registro e o monitoramento em seu ambiente, habiliteAWSRegistro WAF (V2) em ACLs da web regionais e globais.AWS O registro do WAF fornece informações detalhadas sobre o tráfego que é analisado pela sua ACL da web. Os registros registram a hora em queAWSO WAF recebeu a solicitação do seuAWSrecurso, informações sobre a solicitação e uma ação para a regra à qual cada solicitação correspondeu. | |
| AU-2 | EVENTOS DE AUDITORIA | O registro do API Gateway exibe visualizações detalhadas dos usuários que acessaram a API e a forma como acessaram a API. Esse insight permite a visibilidade das atividades do usuário. | |
| AU-2 | EVENTOS DE AUDITORIA | Use a AmazonCloudWatchpara coletar e gerenciar centralmente a atividade de eventos de registro. Inclusão deAWS CloudTrailos dados fornecem detalhes da atividade de chamadas de API em seuAWSconta. | |
| AU-2 | EVENTOS DE AUDITORIA | AWS CloudTrailpode ajudar na não repúdio gravandoAWSAções do Management Console e chamadas de API. Você pode identificar os usuários eAWScontas que chamaram umAWSserviço, o endereço IP de origem onde as chamadas foram geradas e os horários das chamadas. Os detalhes dos dados capturados são vistos emAWS CloudTrailGrave o conteúdo. | |
| AU-2 | EVENTOS DE AUDITORIA | A coleta de eventos de dados do Simple Storage Service (Amazon S3) ajuda a detectar qualquer atividade anômala. Os detalhes incluemAWSinformações da conta que acessaram um bucket do Amazon S3, endereço IP e hora do evento. | |
| AU-2 | EVENTOS DE AUDITORIA | A atividade do Elastic Load Balancing é um ponto central de comunicação dentro de um ambiente. Certifique-se de que o registro do ELB esteja ativado. Os dados coletados fornecem informações detalhadas sobre as solicitações enviadas ao ELB. Cada log contém informações como a hora em que a solicitação foi recebida, o endereço IP do cliente, latências, caminhos de solicitação e respostas do servidor. | |
| AU-2 | EVENTOS DE AUDITORIA | Para proteger os dados em repouso, certifique-se de que a criptografia esteja habilitada para seus clusters do Amazon Redshift. Você também deve garantir que as configurações necessárias sejam implantadas nos clusters do Amazon Redshift. O registro de auditoria deve estar habilitado para fornecer informações sobre conexões e atividades do usuário no banco de dados. Essa regra exige que um valor seja definido paraclusterDbEncrypted(Config Default: TRUE) e LoggingEnabled (Config Default: TRUE). Os valores reais devem refletir as políticas da sua organização. | |
| AU-2 | EVENTOS DE AUDITORIA | O registro de acesso ao servidor do Amazon Simple Storage Service (Amazon S3) fornece um método para monitorar a rede em busca de possíveis eventos de segurança cibernética. Os eventos são monitorados por meio da captura de registros detalhados das solicitações feitas a um bucket do Amazon S3. Cada registro de registro de acesso fornece detalhes sobre uma única solicitação de acesso. Os detalhes incluem o solicitante, nome do bucket, hora da solicitação, ação da solicitação, status da resposta e um código de erro, se relevante. | |
| AU-2 | EVENTOS DE AUDITORIA | Os registros de fluxo do VPC fornecem registros detalhados de informações sobre o tráfego IP que vai e vem das interfaces de rede em sua Amazon Virtual Private Cloud (Amazon VPC). Por padrão, o registro do log de fluxo inclui valores para os diferentes componentes do fluxo IP, incluindo a origem, o destino e o protocolo. | |
| AU-3 | CONTEÚDO DOS REGISTROS DE AUDITORIA | GarantaAWS CodeBuildo registro de projetos está habilitado para que seus registros de saída de compilação sejam enviados para qualquer uma das AmazonCloudWatchou Amazon Simple Storage Service (Amazon S3). Os registros de saída de compilação fornecem informações detalhadas sobre seu projeto de construção. | |
| AU-3 | CONTEÚDO DOS REGISTROS DE AUDITORIA | AWS CloudTrailregistrosAWSAções do Management Console e chamadas de API. Você pode identificar quais usuários e contas ligaramAWS, o endereço IP de origem de onde as chamadas foram feitas e quando as chamadas ocorreram. CloudTrailentregará arquivos de log de todosAWSRegiões para seu bucket do S3 se MULTI_REGION_CLOUD_TRAIL_ENABLED estiver ativado. Além disso, quandoAWSlança uma nova região,CloudTrailcriará a mesma trilha na nova região. Como resultado, você receberá arquivos de log contendo a atividade da API para a nova região sem realizar nenhuma ação. | |
| AU-3 | CONTEÚDO DOS REGISTROS DE AUDITORIA | Para ajudar com o registro e o monitoramento em seu ambiente, certifique-se de que o registro do Amazon Relational Database Service (Amazon RDS) esteja ativado. Com o registro do Amazon RDS, você pode capturar eventos como conexões, desconexões, consultas ou tabelas consultadas. | |
| AU-3 | CONTEÚDO DOS REGISTROS DE AUDITORIA | Para ajudar com o registro e o monitoramento em seu ambiente, habiliteAWSRegistro WAF (V2) em ACLs da web regionais e globais.AWS O registro do WAF fornece informações detalhadas sobre o tráfego que é analisado pela sua ACL da web. Os registros registram a hora em queAWSO WAF recebeu a solicitação do seuAWSrecurso, informações sobre a solicitação e uma ação para a regra à qual cada solicitação correspondeu. | |
| AU-3 | CONTEÚDO DOS REGISTROS DE AUDITORIA | O registro do API Gateway exibe visualizações detalhadas dos usuários que acessaram a API e a forma como acessaram a API. Esse insight permite a visibilidade das atividades do usuário. | |
| AU-3 | CONTEÚDO DOS REGISTROS DE AUDITORIA | Use a AmazonCloudWatchpara coletar e gerenciar centralmente a atividade de eventos de registro. Inclusão deAWS CloudTrailos dados fornecem detalhes da atividade de chamadas de API em seuAWSconta. | |
| AU-3 | CONTEÚDO DOS REGISTROS DE AUDITORIA | AWS CloudTrailpode ajudar na não repúdio gravandoAWSAções do Management Console e chamadas de API. Você pode identificar os usuários eAWScontas que chamaram umAWSserviço, o endereço IP de origem onde as chamadas foram geradas e os horários das chamadas. Os detalhes dos dados capturados são vistos emAWS CloudTrailGrave o conteúdo. | |
| AU-3 | CONTEÚDO DOS REGISTROS DE AUDITORIA | A coleta de eventos de dados do Simple Storage Service (Amazon S3) ajuda a detectar qualquer atividade anômala. Os detalhes incluemAWSinformações da conta que acessaram um bucket do Amazon S3, endereço IP e hora do evento. | |
| AU-3 | CONTEÚDO DOS REGISTROS DE AUDITORIA | A atividade do Elastic Load Balancing é um ponto central de comunicação dentro de um ambiente. Certifique-se de que o registro do ELB esteja ativado. Os dados coletados fornecem informações detalhadas sobre as solicitações enviadas ao ELB. Cada log contém informações como a hora em que a solicitação foi recebida, o endereço IP do cliente, latências, caminhos de solicitação e respostas do servidor. | |
| AU-3 | CONTEÚDO DOS REGISTROS DE AUDITORIA | Para proteger os dados em repouso, certifique-se de que a criptografia esteja habilitada para seus clusters do Amazon Redshift. Você também deve garantir que as configurações necessárias sejam implantadas nos clusters do Amazon Redshift. O registro de auditoria deve estar habilitado para fornecer informações sobre conexões e atividades do usuário no banco de dados. Essa regra exige que um valor seja definido paraclusterDbEncrypted(Config Default: TRUE) e LoggingEnabled (Config Default: TRUE). Os valores reais devem refletir as políticas da sua organização. | |
| AU-3 | CONTEÚDO DOS REGISTROS DE AUDITORIA | O registro de acesso ao servidor do Amazon Simple Storage Service (Amazon S3) fornece um método para monitorar a rede em busca de possíveis eventos de segurança cibernética. Os eventos são monitorados por meio da captura de registros detalhados das solicitações feitas a um bucket do Amazon S3. Cada registro de registro de acesso fornece detalhes sobre uma única solicitação de acesso. Os detalhes incluem o solicitante, nome do bucket, hora da solicitação, ação da solicitação, status da resposta e um código de erro, se relevante. | |
| AU-3 | CONTEÚDO DOS REGISTROS DE AUDITORIA | Os registros de fluxo do VPC fornecem registros detalhados de informações sobre o tráfego IP que vai e vem das interfaces de rede em sua Amazon Virtual Private Cloud (Amazon VPC). Por padrão, o registro do log de fluxo inclui valores para os diferentes componentes do fluxo IP, incluindo a origem, o destino e o protocolo. | |
| AU-6 | REVISÃO, ANÁLISE E EMISSÃO DE RELATÓRIOS DE AUDITORIA | GarantaAWS CodeBuildo registro de projetos está habilitado para que seus registros de saída de compilação sejam enviados para qualquer uma das AmazonCloudWatchou Amazon Simple Storage Service (Amazon S3). Os registros de saída de compilação fornecem informações detalhadas sobre seu projeto de construção. | |
| AU-6 | REVISÃO, ANÁLISE E EMISSÃO DE RELATÓRIOS DE AUDITORIA | Garanta que uma duração mínima dos dados do registro de eventos seja mantida para seus grupos de registros para ajudar na solução de problemas e nas investigações forenses. A falta de dados de registros de eventos anteriores disponíveis dificulta a reconstrução e a identificação de eventos potencialmente maliciosos. | |
| AU-6 | REVISÃO, ANÁLISE E EMISSÃO DE RELATÓRIOS DE AUDITORIA | AWS CloudTrailregistrosAWSAções do Management Console e chamadas de API. Você pode identificar quais usuários e contas ligaramAWS, o endereço IP de origem de onde as chamadas foram feitas e quando as chamadas ocorreram. CloudTrailentregará arquivos de log de todosAWSRegiões para seu bucket do S3 se MULTI_REGION_CLOUD_TRAIL_ENABLED estiver ativado. Além disso, quandoAWSlança uma nova região,CloudTrailcriará a mesma trilha na nova região. Como resultado, você receberá arquivos de log contendo a atividade da API para a nova região sem realizar nenhuma ação. | |
| AU-6 | REVISÃO, ANÁLISE E EMISSÃO DE RELATÓRIOS DE AUDITORIA | AWSO Security Hub ajuda a monitorar pessoal, conexões, dispositivos e software não autorizados.AWS O Security Hub agrega, organiza e prioriza os alertas de segurança, ou descobertas, de váriosAWSserviços. Alguns desses serviços são o Amazon Security Hub, o Amazon Inspector, o Amazon Macie,AWSAnalisador de acesso de gerenciamento de identidade e acesso (IAM) eAWSGerenciador de Firewall eAWSSoluções de parceiros. | |
| AU-6 | REVISÃO, ANÁLISE E EMISSÃO DE RELATÓRIOS DE AUDITORIA | Para ajudar com o registro e o monitoramento em seu ambiente, habiliteAWSRegistro WAF (V2) em ACLs da web regionais e globais.AWS O registro do WAF fornece informações detalhadas sobre o tráfego que é analisado pela sua ACL da web. Os registros registram a hora em queAWSO WAF recebeu a solicitação do seuAWSrecurso, informações sobre a solicitação e uma ação para a regra à qual cada solicitação correspondeu. | |
| AU-6 | REVISÃO, ANÁLISE E EMISSÃO DE RELATÓRIOS DE AUDITORIA | O registro do API Gateway exibe visualizações detalhadas dos usuários que acessaram a API e a forma como acessaram a API. Esse insight permite a visibilidade das atividades do usuário. | |
| AU-6 | REVISÃO, ANÁLISE E EMISSÃO DE RELATÓRIOS DE AUDITORIA | Use a AmazonCloudWatchpara coletar e gerenciar centralmente a atividade de eventos de registro. Inclusão deAWS CloudTrailos dados fornecem detalhes da atividade de chamadas de API em seuAWSconta. | |
| AU-6 | REVISÃO, ANÁLISE E EMISSÃO DE RELATÓRIOS DE AUDITORIA | AWS CloudTrailpode ajudar na não repúdio gravandoAWSAções do Management Console e chamadas de API. Você pode identificar os usuários eAWScontas que chamaram umAWSserviço, o endereço IP de origem onde as chamadas foram geradas e os horários das chamadas. Os detalhes dos dados capturados são vistos emAWS CloudTrailGrave o conteúdo. | |
| AU-6 | REVISÃO, ANÁLISE E EMISSÃO DE RELATÓRIOS DE AUDITORIA | A coleta de eventos de dados do Simple Storage Service (Amazon S3) ajuda a detectar qualquer atividade anômala. Os detalhes incluemAWSinformações da conta que acessaram um bucket do Amazon S3, endereço IP e hora do evento. | |
| AU-6 | REVISÃO, ANÁLISE E EMISSÃO DE RELATÓRIOS DE AUDITORIA | AmazôniaCloudWatchalertam quando uma métrica ultrapassa o limite de um determinado número de períodos de avaliação. O alarme realiza uma ou mais ações com base no valor da métrica ou na expressão relativa a um limite em alguns períodos. Essa regra exige um valor paraalarmActionRequired(Padrão de configuração: verdadeiro),insufficientDataActionObrigatório (padrão de configuração: verdadeiro),okActionRequired(Padrão de configuração: falso). O valor real deve refletir as ações de alarme do seu ambiente. | |
| AU-6 | REVISÃO, ANÁLISE E EMISSÃO DE RELATÓRIOS DE AUDITORIA | A atividade do Elastic Load Balancing é um ponto central de comunicação dentro de um ambiente. Certifique-se de que o registro do ELB esteja ativado. Os dados coletados fornecem informações detalhadas sobre as solicitações enviadas ao ELB. Cada log contém informações como a hora em que a solicitação foi recebida, o endereço IP do cliente, latências, caminhos de solicitação e respostas do servidor. | |
| AU-6 | REVISÃO, ANÁLISE E EMISSÃO DE RELATÓRIOS DE AUDITORIA | AmazôniaGuardDutypode ajudar a monitorar e detectar possíveis eventos de segurança cibernética usando feeds de inteligência de ameaças. Isso inclui listas de IPs maliciosos e aprendizado de máquina para identificar atividades inesperadas, não autorizadas e maliciosas em seuAWSAmbiente em nuvem. | |
| AU-6 | REVISÃO, ANÁLISE E EMISSÃO DE RELATÓRIOS DE AUDITORIA | Para ajudar com o registro e o monitoramento em seu ambiente, certifique-se de que o registro do Amazon Relational Database Service (Amazon RDS) esteja ativado. Com o registro do Amazon RDS, você pode capturar eventos como conexões, desconexões, consultas ou tabelas consultadas. | |
| AU-6 | REVISÃO, ANÁLISE E EMISSÃO DE RELATÓRIOS DE AUDITORIA | Para proteger os dados em repouso, certifique-se de que a criptografia esteja habilitada para seus clusters do Amazon Redshift. Você também deve garantir que as configurações necessárias sejam implantadas nos clusters do Amazon Redshift. O registro de auditoria deve estar habilitado para fornecer informações sobre conexões e atividades do usuário no banco de dados. Essa regra exige que um valor seja definido paraclusterDbEncrypted(Config Default: TRUE) e LoggingEnabled (Config Default: TRUE). Os valores reais devem refletir as políticas da sua organização. | |
| AU-6 | REVISÃO, ANÁLISE E EMISSÃO DE RELATÓRIOS DE AUDITORIA | O registro de acesso ao servidor do Amazon Simple Storage Service (Amazon S3) fornece um método para monitorar a rede em busca de possíveis eventos de segurança cibernética. Os eventos são monitorados por meio da captura de registros detalhados das solicitações feitas a um bucket do Amazon S3. Cada registro de registro de acesso fornece detalhes sobre uma única solicitação de acesso. Os detalhes incluem o solicitante, nome do bucket, hora da solicitação, ação da solicitação, status da resposta e um código de erro, se relevante. | |
| AU-6 | REVISÃO, ANÁLISE E EMISSÃO DE RELATÓRIOS DE AUDITORIA | Os registros de fluxo do VPC fornecem registros detalhados de informações sobre o tráfego IP que vai e vem das interfaces de rede em sua Amazon Virtual Private Cloud (Amazon VPC). Por padrão, o registro do log de fluxo inclui valores para os diferentes componentes do fluxo IP, incluindo a origem, o destino e o protocolo. | |
| AU-9 | PROTEÇÃO DAS INFORMAÇÕES DE AUDITORIA | A replicação entre regiões (CRR) do Amazon Simple Storage Service (Amazon S3) suporta a manutenção de capacidade e disponibilidade adequadas. A CRR permite a cópia automática e assíncrona de objetos em buckets do Amazon S3 para ajudar a garantir que a disponibilidade dos dados seja mantida. | |
| AU-9 | PROTEÇÃO DAS INFORMAÇÕES DE AUDITORIA | Como podem existir dados confidenciais e, para ajudar a proteger os dados em repouso, certifique-se de que a criptografia esteja habilitada para seuAWS CloudTrailtrilhas. | |
| AU-9 | PROTEÇÃO DAS INFORMAÇÕES DE AUDITORIA | UtilizeAWS CloudTrailvalidação do arquivo de log para verificar a integridade doCloudTrailtroncos. A validação do arquivo de log ajuda a determinar se um arquivo de log foi modificado, excluído ou inalterado apósCloudTrailentregou. Esse recurso é criado usando algoritmos padrão do setor: SHA-256 para hashing e SHA-256 com RSA para assinaturas digitais. Desse modo, é computacionalmente impraticável modificar, excluir ou forjar arquivos de log CloudTrail sem detectar tais ações. | |
| AU-9 | PROTEÇÃO DAS INFORMAÇÕES DE AUDITORIA | Para ajudar a proteger dados confidenciais em repouso, garanta que a criptografia esteja habilitada para sua AmazonCloudWatchGrupos de registro. | |
| AU-9 | PROTEÇÃO DAS INFORMAÇÕES DE AUDITORIA | O controle de versão do bucket do Amazon Simple Storage Service (Amazon S3) ajuda a manter várias variantes de um objeto no mesmo bucket do Amazon S3. Use o controle de versão para preservar, recuperar e restaurar todas as versões de cada objeto armazenado em seu bucket do Amazon S3. O controle de versão ajuda você a se recuperar facilmente de ações não intencionais do usuário e falhas de aplicativos. | |
| AU-11 | RETENÇÃO DE REGISTROS DE AUDITORIA | Garanta que uma duração mínima dos dados do registro de eventos seja mantida para seus grupos de registros para ajudar na solução de problemas e nas investigações forenses. A falta de dados de registros de eventos anteriores disponíveis dificulta a reconstrução e a identificação de eventos potencialmente maliciosos. | |
| AU-12 | GERAÇÃO DE AUDITORIA | GarantaAWS CodeBuildo registro de projetos está habilitado para que seus registros de saída de compilação sejam enviados para qualquer uma das AmazonCloudWatchou Amazon Simple Storage Service (Amazon S3). Os registros de saída de compilação fornecem informações detalhadas sobre seu projeto de construção. | |
| AU-12 | GERAÇÃO DE AUDITORIA | AWS CloudTrailregistrosAWSAções do Management Console e chamadas de API. Você pode identificar quais usuários e contas ligaramAWS, o endereço IP de origem de onde as chamadas foram feitas e quando as chamadas ocorreram. CloudTrailentregará arquivos de log de todosAWSRegiões para seu bucket do S3 se MULTI_REGION_CLOUD_TRAIL_ENABLED estiver ativado. Além disso, quandoAWSlança uma nova região,CloudTrailcriará a mesma trilha na nova região. Como resultado, você receberá arquivos de log contendo a atividade da API para a nova região sem realizar nenhuma ação. | |
| AU-12 | GERAÇÃO DE AUDITORIA | Para ajudar com o registro e o monitoramento em seu ambiente, certifique-se de que o registro do Amazon Relational Database Service (Amazon RDS) esteja ativado. Com o registro do Amazon RDS, você pode capturar eventos como conexões, desconexões, consultas ou tabelas consultadas. | |
| AU-12 | GERAÇÃO DE AUDITORIA | Para ajudar com o registro e o monitoramento em seu ambiente, habiliteAWSRegistro WAF (V2) em ACLs da web regionais e globais.AWS O registro do WAF fornece informações detalhadas sobre o tráfego que é analisado pela sua ACL da web. Os registros registram a hora em queAWSO WAF recebeu a solicitação do seuAWSrecurso, informações sobre a solicitação e uma ação para a regra à qual cada solicitação correspondeu. | |
| AU-12 | GERAÇÃO DE AUDITORIA | O registro do API Gateway exibe visualizações detalhadas dos usuários que acessaram a API e a forma como acessaram a API. Esse insight permite a visibilidade das atividades do usuário. | |
| AU-12 | GERAÇÃO DE AUDITORIA | Use a AmazonCloudWatchpara coletar e gerenciar centralmente a atividade de eventos de registro. Inclusão deAWS CloudTrailos dados fornecem detalhes da atividade de chamadas de API em seuAWSconta. | |
| AU-12 | GERAÇÃO DE AUDITORIA | AWS CloudTrailpode ajudar na não repúdio gravandoAWSAções do Management Console e chamadas de API. Você pode identificar os usuários eAWScontas que chamaram umAWSserviço, o endereço IP de origem onde as chamadas foram geradas e os horários das chamadas. Os detalhes dos dados capturados são vistos emAWS CloudTrailGrave o conteúdo. | |
| AU-12 | GERAÇÃO DE AUDITORIA | A coleta de eventos de dados do Simple Storage Service (Amazon S3) ajuda a detectar qualquer atividade anômala. Os detalhes incluemAWSinformações da conta que acessaram um bucket do Amazon S3, endereço IP e hora do evento. | |
| AU-12 | GERAÇÃO DE AUDITORIA | A atividade do Elastic Load Balancing é um ponto central de comunicação dentro de um ambiente. Certifique-se de que o registro do ELB esteja ativado. Os dados coletados fornecem informações detalhadas sobre as solicitações enviadas ao ELB. Cada log contém informações como a hora em que a solicitação foi recebida, o endereço IP do cliente, latências, caminhos de solicitação e respostas do servidor. | |
| AU-12 | GERAÇÃO DE AUDITORIA | Para proteger os dados em repouso, certifique-se de que a criptografia esteja habilitada para seus clusters do Amazon Redshift. Você também deve garantir que as configurações necessárias sejam implantadas nos clusters do Amazon Redshift. O registro de auditoria deve estar habilitado para fornecer informações sobre conexões e atividades do usuário no banco de dados. Essa regra exige que um valor seja definido paraclusterDbEncrypted(Config Default: TRUE) e LoggingEnabled (Config Default: TRUE). Os valores reais devem refletir as políticas da sua organização. | |
| AU-12 | GERAÇÃO DE AUDITORIA | O registro de acesso ao servidor do Amazon Simple Storage Service (Amazon S3) fornece um método para monitorar a rede em busca de possíveis eventos de segurança cibernética. Os eventos são monitorados por meio da captura de registros detalhados das solicitações feitas a um bucket do Amazon S3. Cada registro de registro de acesso fornece detalhes sobre uma única solicitação de acesso. Os detalhes incluem o solicitante, nome do bucket, hora da solicitação, ação da solicitação, status da resposta e um código de erro, se relevante. | |
| AU-12 | GERAÇÃO DE AUDITORIA | Os registros de fluxo do VPC fornecem registros detalhados de informações sobre o tráfego IP que vai e vem das interfaces de rede em sua Amazon Virtual Private Cloud (Amazon VPC). Por padrão, o registro do log de fluxo inclui valores para os diferentes componentes do fluxo IP, incluindo a origem, o destino e o protocolo. | |
| CA-7 | MONITORAMENTO CONTÍNUO | Essa regra garante que os limites altos e baixos de simultaneidade de uma função Lambda sejam estabelecidos. Isso pode ajudar a definir como base o número de solicitações que sua função está atendendo a qualquer momento. | |
| CA-7 | MONITORAMENTO CONTÍNUO | Ative essa regra para ajudar a notificar a equipe apropriada por meio do Amazon Simple Queue Service (Amazon SQS) ou do Amazon Simple Notification Service (Amazon SNS) quando uma função falhar. | |
| CA-7 | MONITORAMENTO CONTÍNUO | AWS CloudTrailregistrosAWSAções do Management Console e chamadas de API. Você pode identificar quais usuários e contas ligaramAWS, o endereço IP de origem de onde as chamadas foram feitas e quando as chamadas ocorreram. CloudTrailentregará arquivos de log de todosAWSRegiões para seu bucket do S3 se MULTI_REGION_CLOUD_TRAIL_ENABLED estiver ativado. Além disso, quandoAWSlança uma nova região,CloudTrailcriará a mesma trilha na nova região. Como resultado, você receberá arquivos de log contendo a atividade da API para a nova região sem realizar nenhuma ação. | |
| CA-7 | MONITORAMENTO CONTÍNUO | Habilite o Amazon Relational Database Service (Amazon RDS) para ajudar a monitorar a disponibilidade do Amazon RDS. Isso fornece visibilidade detalhada da integridade de suas instâncias de banco de dados do Amazon RDS. Quando o armazenamento do Amazon RDS usa mais de um dispositivo físico subjacente, o Enhanced Monitoring coleta os dados de cada dispositivo. Além disso, quando a instância do banco de dados do Amazon RDS está sendo executada em uma implantação Multi-AZ, os dados de cada dispositivo no host secundário são coletados e as métricas do host secundário. | |
| CA-7 | MONITORAMENTO CONTÍNUO | AWSO Security Hub ajuda a monitorar pessoal, conexões, dispositivos e software não autorizados.AWS O Security Hub agrega, organiza e prioriza os alertas de segurança, ou descobertas, de váriosAWSserviços. Alguns desses serviços são o Amazon Security Hub, o Amazon Inspector, o Amazon Macie,AWSAnalisador de acesso de gerenciamento de identidade e acesso (IAM) eAWSGerenciador de Firewall eAWSSoluções de parceiros. | |
| CA-7 | MONITORAMENTO CONTÍNUO | As verificações de integridade do Elastic Load Balancer (ELB) para grupos de Auto Scaling do Amazon Elastic Compute Cloud (Amazon EC2) oferecem suporte à manutenção de capacidade e disponibilidade adequadas. O balanceador de carga envia periodicamente pings, tenta conexões ou envia solicitações para testar a integridade das instâncias do Amazon EC2 em um grupo de escalonamento automático. Se uma instância não estiver reportando, o tráfego será enviado para uma nova instância do Amazon EC2. | |
| CA-7 | MONITORAMENTO CONTÍNUO | AWSOs relatórios de saúde aprimorados do Elastic Beanstalk permitem uma resposta mais rápida às mudanças na integridade da infraestrutura subjacente. Essas mudanças podem resultar na falta de disponibilidade do aplicativo. Os relatórios de saúde aprimorados do Elastic Beanstalk fornecem um descritor de status para avaliar a gravidade dos problemas identificados e identificar possíveis causas a serem investigadas. | |
| CA-7 | MONITORAMENTO CONTÍNUO | AWS CloudTrailpode ajudar na não repúdio gravandoAWSAções do Management Console e chamadas de API. Você pode identificar os usuários eAWScontas que chamaram umAWSserviço, o endereço IP de origem onde as chamadas foram geradas e os horários das chamadas. Os detalhes dos dados capturados são vistos emAWS CloudTrailGrave o conteúdo. | |
| CA-7 | MONITORAMENTO CONTÍNUO | A coleta de eventos de dados do Simple Storage Service (Amazon S3) ajuda a detectar qualquer atividade anômala. Os detalhes incluemAWSinformações da conta que acessaram um bucket do Amazon S3, endereço IP e hora do evento. | |
| CA-7 | MONITORAMENTO CONTÍNUO | AmazôniaCloudWatchalertam quando uma métrica ultrapassa o limite de um determinado número de períodos de avaliação. O alarme realiza uma ou mais ações com base no valor da métrica ou na expressão relativa a um limite em alguns períodos. Essa regra exige um valor paraalarmActionRequired(Padrão de configuração: verdadeiro),insufficientDataActionObrigatório (padrão de configuração: verdadeiro),okActionRequired(Padrão de configuração: falso). O valor real deve refletir as ações de alarme do seu ambiente. | |
| CA-7 | MONITORAMENTO CONTÍNUO | Ative essa regra para garantir que a capacidade de taxa de transferência provisionada seja verificada em suas tabelas do Amazon DynamoDB. Essa é a quantidade de atividade de leitura/gravação que cada tabela pode suportar. O DynamoDB usa essas informações para reservar recursos suficientes do sistema para atender aos seus requisitos de throughput. Essa regra gera um alerta quando a taxa de transferência se aproxima do limite máximo da conta de um cliente. Essa regra permite que você defina opcionalmente AccountRCUThresholdPercentage(Configuração padrão: 80) e AccountWCUThresholdPercentage(Padrão de configuração: 80) parâmetros. Os valores reais devem refletir as políticas da sua organização. | |
| CA-7 | MONITORAMENTO CONTÍNUO | Ative essa regra para ajudar a melhorar o monitoramento de instâncias do Amazon Elastic Compute Cloud (Amazon EC2) no console do Amazon EC2, que exibe gráficos de monitoramento com um período de 1 minuto para a instância. | |
| CA-7 | MONITORAMENTO CONTÍNUO | AmazôniaGuardDutypode ajudar a monitorar e detectar possíveis eventos de segurança cibernética usando feeds de inteligência de ameaças. Isso inclui listas de IPs maliciosos e aprendizado de máquina para identificar atividades inesperadas, não autorizadas e maliciosas em seuAWSAmbiente em nuvem. | |
| CA-7 | MONITORAMENTO CONTÍNUO | Para proteger os dados em repouso, certifique-se de que a criptografia esteja habilitada para seus clusters do Amazon Redshift. Você também deve garantir que as configurações necessárias sejam implantadas nos clusters do Amazon Redshift. O registro de auditoria deve estar habilitado para fornecer informações sobre conexões e atividades do usuário no banco de dados. Essa regra exige que um valor seja definido paraclusterDbEncrypted(Config Default: TRUE) e LoggingEnabled (Config Default: TRUE). Os valores reais devem refletir as políticas da sua organização. | |
| CM-2 | CONFIGURAÇÃO DE LINHA DE BASE | GarantaAWSO WAF está habilitado nos Elastic Load Balancers (ELB) para ajudar a proteger os aplicativos da web. Um WAF ajuda a proteger seus aplicativos ou APIs da web contra explorações comuns da web. Essas explorações na web podem afetar a disponibilidade, comprometer a segurança ou consumir recursos excessivos em seu ambiente. | |
| CM-2 | CONFIGURAÇÃO DE LINHA DE BASE | AWSO WAF permite que você configure um conjunto de regras (chamado de lista de controle de acesso à web (ACL da web)) que permitem, bloqueiam ou contam solicitações da Web com base nas regras e condições de segurança da Web personalizáveis que você define. Certifique-se de que seu estágio do Amazon API Gateway esteja associado a uma WAF Web ACL para protegê-lo contra ataques maliciosos | |
| CM-2 | CONFIGURAÇÃO DE LINHA DE BASE | Se você configurar suas interfaces de rede com um endereço IP público, os recursos associados a essas interfaces de rede poderão ser acessados pela Internet. Os recursos do EC2 não devem ser acessíveis ao público, pois isso pode permitir acesso não intencional aos seus aplicativos ou servidores. | |
| CM-2 | CONFIGURAÇÃO DE LINHA DE BASE | Gerencie o acesso aoAWSNuvem, garantindo que as instâncias de replicação do DMS não possam ser acessadas publicamente. As instâncias de replicação do DMS podem conter informações confidenciais e o controle de acesso é necessário para essas contas. | |
| CM-2 | CONFIGURAÇÃO DE LINHA DE BASE | Gerencie o acesso aoAWSNuvem garantindo que os snapshots do EBS não possam ser restaurados publicamente. Os instantâneos de volume do EBS podem conter informações confidenciais e o controle de acesso é necessário para essas contas. | |
| CM-2 | CONFIGURAÇÃO DE LINHA DE BASE | Gerencie o acesso aoAWSNuvem garantindo que as instâncias do Amazon Elastic Compute Cloud (Amazon EC2) não possam ser acessadas publicamente. As instâncias do Amazon EC2 podem conter informações confidenciais e o controle de acesso é necessário para essas contas. | |
| CM-2 | CONFIGURAÇÃO DE LINHA DE BASE | Gerencie o acesso aoAWSNuvem ao garantir a AmazonOpenSearchServiço (OpenSearch(Serviço) Os domínios estão dentro de uma Amazon Virtual Private Cloud (Amazon VPC). UmOpenSearchO domínio de serviço em um Amazon VPC permite a comunicação segura entreOpenSearchServiço e outros serviços dentro do Amazon VPC sem a necessidade de um gateway de internet, dispositivo NAT ou conexão VPN. | |
| CM-2 | CONFIGURAÇÃO DE LINHA DE BASE | Gerencie o acesso aoAWSNuvem, garantindo que os nós principais do cluster Amazon EMR não possam ser acessados publicamente. Os nós principais do cluster do Amazon EMR podem conter informações confidenciais e o controle de acesso é necessário para essas contas. | |
| CM-2 | CONFIGURAÇÃO DE LINHA DE BASE | Os grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2) podem ajudar a gerenciar o acesso à rede fornecendo filtragem de estado do tráfego de entrada e saída da rede paraAWSrecursos. Não permitir tráfego de entrada (ou remoto) de 0.0.0.0/0 para a porta 22 em seus recursos ajuda a restringir o acesso remoto. | |
| CM-2 | CONFIGURAÇÃO DE LINHA DE BASE | Implante instâncias do Amazon Elastic Compute Cloud (Amazon EC2) em uma Amazon Virtual Private Cloud (Amazon VPC) para permitir a comunicação segura entre uma instância e outros serviços dentro da Amazon VPC, sem exigir um gateway de internet, dispositivo NAT ou conexão VPN. Todo o tráfego permanece com segurança na Nuvem AWS. Devido ao isolamento lógico, os domínios que residem em um Amazon VPC têm uma camada extra de segurança quando comparados aos domínios que usam endpoints públicos. Atribua instâncias do Amazon EC2 a uma Amazon VPC para gerenciar adequadamente o acesso. | |
| CM-2 | CONFIGURAÇÃO DE LINHA DE BASE | Gerencie o acesso aos recursos noAWSNuvem, garantindoAWSAs funções do Lambda não podem ser acessadas publicamente. O acesso público pode potencialmente levar à degradação da disponibilidade de recursos. | |
| CM-2 | CONFIGURAÇÃO DE LINHA DE BASE | ImplantarAWSO Lambda funciona em uma Amazon Virtual Private Cloud (Amazon VPC) para uma comunicação segura entre uma função e outros serviços dentro da Amazon VPC. Com essa configuração, não há necessidade de um gateway de Internet, dispositivo NAT ou conexão VPN. Todo o tráfego permanece seguro dentro doAWSNuvem. Devido ao isolamento lógico, os domínios que residem em um Amazon VPC têm uma camada extra de segurança quando comparados aos domínios que usam endpoints públicos. Para gerenciar adequadamente o acesso,AWSAs funções lambda devem ser atribuídas a uma VPC. | |
| CM-2 | CONFIGURAÇÃO DE LINHA DE BASE | Certifique-se de que as tabelas de rotas do Amazon EC2 não tenham rotas irrestritas para um gateway da Internet. Remover ou limitar o acesso à Internet para cargas de trabalho nas Amazon VPCs pode reduzir o acesso não intencional em seu ambiente. | |
| CM-2 | CONFIGURAÇÃO DE LINHA DE BASE | Gerencie o acesso aos recursos noAWSNuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações confidenciais, e princípios e controle de acesso são necessários para essas contas. | |
| CM-2 | CONFIGURAÇÃO DE LINHA DE BASE | Gerencie o acesso aos recursos noAWSNuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações e princípios confidenciais, e o controle de acesso é necessário para essas contas. | |
| CM-2 | CONFIGURAÇÃO DE LINHA DE BASE | Gerencie o acesso aos recursos noAWSNuvem garantindo que os clusters do Amazon Redshift não sejam públicos. Os clusters do Amazon Redshift podem conter informações e princípios confidenciais, e o controle de acesso é necessário para essas contas. | |
| CM-2 | CONFIGURAÇÃO DE LINHA DE BASE | Gerencie o acesso aos recursos noAWSNuvem garantindo que os buckets do Amazon Simple Storage Service (Amazon S3) não possam ser acessados publicamente. Essa regra ajuda a manter os dados confidenciais protegidos de usuários remotos não autorizados, impedindo o acesso público. Essa regra permite que você defina opcionalmente oignorePublicAcls(Padrão de configuração: verdadeiro),blockPublicPolicy(Padrão de configuração: verdadeiro),blockPublicAcls(Config Default: True), erestrictPublicBucketsparâmetros (Config Default: True). Os valores reais devem refletir as políticas da sua organização. | |
| CM-2 | CONFIGURAÇÃO DE LINHA DE BASE | Gerencie o acesso aos recursos noAWSNuvem ao permitir que usuários, processos e dispositivos autorizados acessem apenas buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados. | |
| CM-2 | CONFIGURAÇÃO DE LINHA DE BASE | Gerencie o acesso aos recursos noAWSNuvem ao permitir que usuários, processos e dispositivos autorizados acessem apenas buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados. | |
| CM-2 | CONFIGURAÇÃO DE LINHA DE BASE | Gerencie o acesso aos recursos noAWSNuvem, garantindo que a AmazonSageMakeros notebooks não permitem acesso direto à internet. Ao impedir o acesso direto à Internet, você pode impedir que dados confidenciais sejam acessados por usuários não autorizados. | |
| CM-2 | CONFIGURAÇÃO DE LINHA DE BASE | Os grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2) podem ajudar no gerenciamento do acesso à rede fornecendo filtragem de estado do tráfego de entrada e saída da rede paraAWSrecursos. Restringir todo o tráfego no grupo de segurança padrão ajuda a restringir o acesso remoto ao seuAWSrecursos. | |
| CM-2 | CONFIGURAÇÃO DE LINHA DE BASE | Gerencie o acesso aos recursos noAWSNuvem garantindo que as portas comuns sejam restritas nos grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2). Não restringir o acesso às portas a fontes confiáveis pode levar a ataques contra a disponibilidade, integridade e confidencialidade dos sistemas. Ao restringir o acesso a recursos dentro de um grupo de segurança da Internet (0.0.0.0/0), o acesso remoto pode ser controlado aos sistemas internos. | |
| CM-2 | CONFIGURAÇÃO DE LINHA DE BASE | É possível fazer um inventário das plataformas de software e aplicativos dentro da organização gerenciando instâncias do Amazon Elastic Compute Cloud (Amazon EC2) comAWSGerente de sistemas. UsarAWSSystems Manager para fornecer configurações detalhadas do sistema, níveis de patch do sistema operacional, nome e tipo de serviços, instalações de software, nome do aplicativo, editor e versão e outros detalhes sobre seu ambiente. | |
| CM-2 | CONFIGURAÇÃO DE LINHA DE BASE | UsarAWSAssociações de gerentes de sistemas para ajudar no inventário de plataformas e aplicativos de software em uma organização.AWS O Systems Manager atribui um estado de configuração às suas instâncias gerenciadas e permite que você defina linhas de base dos níveis de patch do sistema operacional, instalações de software, configurações de aplicativos e outros detalhes sobre seu ambiente. | |
| CM-2 | CONFIGURAÇÃO DE LINHA DE BASE | Habilite essa regra para ajudar na configuração básica das instâncias do Amazon Elastic Compute Cloud (Amazon EC2) verificando se as instâncias do Amazon EC2 foram interrompidas por mais do que o número permitido de dias, de acordo com os padrões da sua organização. | |
| CM-2 | CONFIGURAÇÃO DE LINHA DE BASE | Essa regra garante que os volumes do Amazon Elastic Block Store anexados às instâncias do Amazon Elastic Compute Cloud (Amazon EC2) sejam marcados para exclusão quando uma instância for encerrada. Se um volume do Amazon EBS não for excluído quando a instância à qual ele está conectado for encerrada, ele poderá violar o conceito de menor funcionalidade. | |
| CM-2 | CONFIGURAÇÃO DE LINHA DE BASE | Essa regra garante que o Elastic Load Balancing tenha a proteção contra exclusão ativada. Use esse recurso para evitar que seu balanceador de carga seja excluído acidental ou maliciosamente, o que pode levar à perda de disponibilidade de seus aplicativos. | |
| CM-2 | CONFIGURAÇÃO DE LINHA DE BASE | Gerencie o acesso aoAWSNuvem ao garantir a AmazonOpenSearchOs domínios de serviço estão dentro de uma Amazon Virtual Private Cloud (Amazon VPC). Uma AmazôniaOpenSearchO domínio de serviço em um Amazon VPC permite a comunicação segura entre a AmazonOpenSearchServiço e outros serviços dentro do Amazon VPC sem a necessidade de um gateway de internet, dispositivo NAT ou conexão VPN. | |
| CM-2 | CONFIGURAÇÃO DE LINHA DE BASE | Gerencie o acesso aos recursos noAWSNuvem garantindo que as portas comuns sejam restritas nos grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2). Não restringir o acesso às portas a fontes confiáveis pode levar a ataques contra a disponibilidade, integridade e confidencialidade dos sistemas. Essa regra permite que você defina opcionalmente os parâmetros BlockedPort1 - BlockedPort5 (Padrões de configuração: 20,21,3389,3306,4333). Os valores reais devem refletir as políticas da sua organização. | |
| CM-2 | CONFIGURAÇÃO DE LINHA DE BASE | Gerencie o acesso aos recursos noAWSNuvem garantindo que os buckets do Amazon Simple Storage Service (Amazon S3) não possam ser acessados publicamente. Essa regra ajuda a manter os dados confidenciais protegidos de usuários remotos não autorizados, impedindo o acesso público no nível do bucket. | |
| CM-2 | CONFIGURAÇÃO DE LINHA DE BASE | Gerencie o acesso aoAWSNuvem garantindo que as sub-redes Amazon Virtual Private Cloud (VPC) não recebam automaticamente um endereço IP público. As instâncias do Amazon Elastic Compute Cloud (EC2) que são lançadas em sub-redes que têm esse atributo ativado têm um endereço IP público atribuído à sua interface de rede primária. | |
| CM-7 | MENOR FUNCIONALIDADE | Os perfis de instância do EC2 transmitem uma função do IAM para uma instância do EC2. Anexar um perfil de instância às suas instâncias pode ajudar no menor gerenciamento de privilégios e permissões. | |
| CM-7 | MENOR FUNCIONALIDADE | É possível fazer um inventário das plataformas de software e aplicativos dentro da organização gerenciando instâncias do Amazon Elastic Compute Cloud (Amazon EC2) comAWSGerente de sistemas. UsarAWSSystems Manager para fornecer configurações detalhadas do sistema, níveis de patch do sistema operacional, nome e tipo de serviços, instalações de software, nome do aplicativo, editor e versão e outros detalhes sobre seu ambiente. | |
| CM-7 | MENOR FUNCIONALIDADE | UsarAWSAssociações de gerentes de sistemas para ajudar no inventário de plataformas e aplicativos de software em uma organização.AWS O Systems Manager atribui um estado de configuração às suas instâncias gerenciadas e permite que você defina linhas de base dos níveis de patch do sistema operacional, instalações de software, configurações de aplicativos e outros detalhes sobre seu ambiente. | |
| CM-8 | INVENTÁRIO DE COMPONENTES DO SISTEMA DE INFORMAÇÃO | É possível fazer um inventário das plataformas de software e aplicativos dentro da organização gerenciando instâncias do Amazon Elastic Compute Cloud (Amazon EC2) comAWSGerente de sistemas. UsarAWSSystems Manager para fornecer configurações detalhadas do sistema, níveis de patch do sistema operacional, nome e tipo de serviços, instalações de software, nome do aplicativo, editor e versão e outros detalhes sobre seu ambiente. | |
| CM-8 | INVENTÁRIO DE COMPONENTES DO SISTEMA DE INFORMAÇÃO | UsarAWSAssociações de gerentes de sistemas para ajudar no inventário de plataformas e aplicativos de software em uma organização.AWS O Systems Manager atribui um estado de configuração às suas instâncias gerenciadas e permite que você defina linhas de base dos níveis de patch do sistema operacional, instalações de software, configurações de aplicativos e outros detalhes sobre seu ambiente. | |
| CM-8 | INVENTÁRIO DE COMPONENTES DO SISTEMA DE INFORMAÇÃO | Ative essa regra para ajudar na identificação e documentação das vulnerabilidades do Amazon Elastic Compute Cloud (Amazon EC2). A regra verifica se a instância do Amazon EC2 está em conformidade com o patch emAWSGerenciador de sistemas conforme exigido pelas políticas e procedimentos da sua organização. | |
| CM-8 | INVENTÁRIO DE COMPONENTES DO SISTEMA DE INFORMAÇÃO | AmazôniaGuardDutypode ajudar a monitorar e detectar possíveis eventos de segurança cibernética usando feeds de inteligência de ameaças. Isso inclui listas de IPs maliciosos e aprendizado de máquina para identificar atividades inesperadas, não autorizadas e maliciosas em seuAWSAmbiente em nuvem. | |
| CP-9 | BACKUP DO SISTEMA DE INFORMAÇÃO | Para ajudar nos processos de backup de dados, garanta que seus recursos do Amazon Aurora sejam parte de umAWSPlano de backup.AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos de conformidade comercial e regulamentar de backup. | |
| CP-9 | BACKUP DO SISTEMA DE INFORMAÇÃO | Para ajudar nos processos de backup de dados, garanta queAWSO plano de backup está definido para uma frequência e retenção mínimas.AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos de conformidade comercial e regulamentar de backup. Essa regra permite que você defina orequiredFrequencyValue(Configuração padrão: 1),requiredRetentionDays(Configuração padrão: 35) erequiredFrequencyUnit(Padrão de configuração: dias) parâmetros. O valor real deve refletir os requisitos de sua organização. | |
| CP-9 | BACKUP DO SISTEMA DE INFORMAÇÃO | Para ajudar nos processos de backup de dados, garanta que seus recursos do Amazon DynamoDB façam parte de umAWSPlano de backup.AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos de conformidade comercial e regulamentar de backup. | |
| CP-9 | BACKUP DO SISTEMA DE INFORMAÇÃO | Para ajudar nos processos de backup de dados, garanta que seus recursos do Amazon Elastic Block Store (Amazon EBS) façam parte de umAWSPlano de backup.AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos de conformidade comercial e regulamentar de backup. | |
| CP-9 | BACKUP DO SISTEMA DE INFORMAÇÃO | Para ajudar nos processos de backup de dados, garanta que seus recursos do Amazon Elastic Compute Cloud (Amazon EC2) façam parte de umAWSPlano de backup.AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos de conformidade comercial e regulamentar de backup. | |
| CP-9 | BACKUP DO SISTEMA DE INFORMAÇÃO | Para ajudar nos processos de backup de dados, garanta que seus sistemas de arquivos do Amazon Elastic File System (Amazon EFS) façam parte de umAWSPlano de backup.AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos de conformidade comercial e regulamentar de backup. | |
| CP-9 | BACKUP DO SISTEMA DE INFORMAÇÃO | Para ajudar nos processos de backup de dados, garanta que seus sistemas de arquivos Amazon FSx façam parte de umAWSPlano de backup.AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos de conformidade comercial e regulamentar de backup. | |
| CP-9 | BACKUP DO SISTEMA DE INFORMAÇÃO | Para ajudar nos processos de backup de dados, garanta que seus recursos do Amazon Relational Database Service (Amazon RDS) façam parte de umAWSPlano de backup.AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos de conformidade comercial e regulamentar de backup. | |
| CP-9 | BACKUP DO SISTEMA DE INFORMAÇÃO | Para ajudar nos processos de backup de dados, garanta que seus clusters do Amazon Redshift tenham snapshots automatizados. Quando os instantâneos automatizados são habilitados para um cluster, o Redshift tira instantâneos desse cluster periodicamente. Por padrão, o Redshift tira um instantâneo a cada oito horas ou a cada 5 GB por nó de alterações de dados, ou o que ocorrer primeiro. | |
| CP-9 | BACKUP DO SISTEMA DE INFORMAÇÃO | O recurso de backup do Amazon RDS cria backups de seus bancos de dados e registros de transações. O Amazon RDS cria automaticamente um snapshot do volume de armazenamento da sua instância de banco de dados, fazendo backup de toda a instância de banco de dados. O sistema permite que você defina períodos de retenção específicos para atender aos seus requisitos de resiliência. | |
| CP-9 | BACKUP DO SISTEMA DE INFORMAÇÃO | Ative essa regra para verificar se as informações foram copiadas. Ele também mantém os backups, garantindo quepoint-in-timea recuperação está habilitada no Amazon DynamoDB. A recuperação mantém backups contínuos de sua tabela nos últimos 35 dias. | |
| CP-9 | BACKUP DO SISTEMA DE INFORMAÇÃO | Quando os backups automáticos estão habilitados, a AmazonElastiCachecria um backup do cluster diariamente. O backup pode ser retido por alguns dias, conforme especificado pela sua organização. Os backups automáticos podem ajudar a proteger contra a perda de dados. Se ocorrer uma falha, você poderá criar um novo cluster, que restaura seus dados do backup mais recente. | |
| CP-9 | BACKUP DO SISTEMA DE INFORMAÇÃO | A replicação entre regiões (CRR) do Amazon Simple Storage Service (Amazon S3) suporta a manutenção de capacidade e disponibilidade adequadas. A CRR permite a cópia automática e assíncrona de objetos em buckets do Amazon S3 para ajudar a garantir que a disponibilidade dos dados seja mantida. | |
| CP-9 | BACKUP DO SISTEMA DE INFORMAÇÃO | O controle de versão do bucket do Amazon Simple Storage Service (Amazon S3) ajuda a manter várias variantes de um objeto no mesmo bucket do Amazon S3. Use o controle de versão para preservar, recuperar e restaurar todas as versões de cada objeto armazenado em seu bucket do Amazon S3. O controle de versão ajuda você a se recuperar facilmente de ações não intencionais do usuário e falhas de aplicativos. | |
| CP-10 | RECUPERAÇÃO E RECONSTITUIÇÃO DO SISTEMA DE INFORMAÇÃO | Para ajudar nos processos de backup de dados, garanta que seus recursos do Amazon Aurora sejam parte de umAWSPlano de backup.AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos de conformidade comercial e regulamentar de backup. | |
| CP-10 | RECUPERAÇÃO E RECONSTITUIÇÃO DO SISTEMA DE INFORMAÇÃO | Para ajudar nos processos de backup de dados, garanta queAWSO plano de backup está definido para uma frequência e retenção mínimas.AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos de conformidade comercial e regulamentar de backup. Essa regra permite que você defina orequiredFrequencyValue(Configuração padrão: 1),requiredRetentionDays(Configuração padrão: 35) erequiredFrequencyUnit(Padrão de configuração: dias) parâmetros. O valor real deve refletir os requisitos de sua organização. | |
| CP-10 | RECUPERAÇÃO E RECONSTITUIÇÃO DO SISTEMA DE INFORMAÇÃO | Para ajudar nos processos de backup de dados, garanta que seus recursos do Amazon DynamoDB façam parte de umAWSPlano de backup.AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos de conformidade comercial e regulamentar de backup. | |
| CP-10 | RECUPERAÇÃO E RECONSTITUIÇÃO DO SISTEMA DE INFORMAÇÃO | Para ajudar nos processos de backup de dados, garanta que seus recursos do Amazon Elastic Block Store (Amazon EBS) façam parte de umAWSPlano de backup.AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos de conformidade comercial e regulamentar de backup. | |
| CP-10 | RECUPERAÇÃO E RECONSTITUIÇÃO DO SISTEMA DE INFORMAÇÃO | Para ajudar nos processos de backup de dados, garanta que seus recursos do Amazon Elastic Compute Cloud (Amazon EC2) façam parte de umAWSPlano de backup.AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos de conformidade comercial e regulamentar de backup. | |
| CP-10 | RECUPERAÇÃO E RECONSTITUIÇÃO DO SISTEMA DE INFORMAÇÃO | Para ajudar nos processos de backup de dados, garanta que seus sistemas de arquivos do Amazon Elastic File System (Amazon EFS) façam parte de umAWSPlano de backup.AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos de conformidade comercial e regulamentar de backup. | |
| CP-10 | RECUPERAÇÃO E RECONSTITUIÇÃO DO SISTEMA DE INFORMAÇÃO | Habilite o balanceamento de carga entre zonas para seus Elastic Load Balancers (ELBs) para ajudar a manter a capacidade e a disponibilidade adequadas. O balanceamento de carga entre zonas reduz a necessidade de manter números equivalentes de instâncias em cada zona de disponibilidade ativada. Também melhora a capacidade do seu aplicativo de lidar com a perda de uma ou mais instâncias. | |
| CP-10 | RECUPERAÇÃO E RECONSTITUIÇÃO DO SISTEMA DE INFORMAÇÃO | Para ajudar nos processos de backup de dados, garanta que seus sistemas de arquivos Amazon FSx façam parte de umAWSPlano de backup.AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos de conformidade comercial e regulamentar de backup. | |
| CP-10 | RECUPERAÇÃO E RECONSTITUIÇÃO DO SISTEMA DE INFORMAÇÃO | Para ajudar nos processos de backup de dados, garanta que seus recursos do Amazon Relational Database Service (Amazon RDS) façam parte de umAWSPlano de backup.AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos de conformidade comercial e regulamentar de backup. | |
| CP-10 | RECUPERAÇÃO E RECONSTITUIÇÃO DO SISTEMA DE INFORMAÇÃO | Para ajudar nos processos de backup de dados, garanta que seus clusters do Amazon Redshift tenham snapshots automatizados. Quando os instantâneos automatizados são habilitados para um cluster, o Redshift tira instantâneos desse cluster periodicamente. Por padrão, o Redshift tira um instantâneo a cada oito horas ou a cada 5 GB por nó de alterações de dados, ou o que ocorrer primeiro. | |
| CP-10 | RECUPERAÇÃO E RECONSTITUIÇÃO DO SISTEMA DE INFORMAÇÃO | O recurso de backup do Amazon RDS cria backups de seus bancos de dados e registros de transações. O Amazon RDS cria automaticamente um snapshot do volume de armazenamento da sua instância de banco de dados, fazendo backup de toda a instância de banco de dados. O sistema permite que você defina períodos de retenção específicos para atender aos seus requisitos de resiliência. | |
| CP-10 | RECUPERAÇÃO E RECONSTITUIÇÃO DO SISTEMA DE INFORMAÇÃO | O escalonamento automático do Amazon DynamoDB usa oAWSServiço de escalonamento automático de aplicativos para ajustar a capacidade de transferência provisionada que responde automaticamente aos padrões reais de tráfego. Isso permite que uma tabela ou um índice secundário global aumente sua capacidade de leitura/gravação provisionada para lidar com aumentos repentinos no tráfego, sem limitação. | |
| CP-10 | RECUPERAÇÃO E RECONSTITUIÇÃO DO SISTEMA DE INFORMAÇÃO | Ative essa regra para verificar se as informações foram copiadas. Ele também mantém os backups, garantindo quepoint-in-timea recuperação está habilitada no Amazon DynamoDB. A recuperação mantém backups contínuos de sua tabela nos últimos 35 dias. | |
| CP-10 | RECUPERAÇÃO E RECONSTITUIÇÃO DO SISTEMA DE INFORMAÇÃO | Uma instância otimizada no Amazon Elastic Block Store (Amazon EBS) fornece capacidade adicional dedicada para as operações de I/O do Amazon EBS. Essa otimização fornece o desempenho mais eficiente para seus volumes do EBS, minimizando a contenção entre as operações de I/O do Amazon EBS e outros tráfegos da sua instância. | |
| CP-10 | RECUPERAÇÃO E RECONSTITUIÇÃO DO SISTEMA DE INFORMAÇÃO | Quando os backups automáticos estão habilitados, a AmazonElastiCachecria um backup do cluster diariamente. O backup pode ser retido por alguns dias, conforme especificado pela sua organização. Os backups automáticos podem ajudar a proteger contra a perda de dados. Se ocorrer uma falha, você poderá criar um novo cluster, que restaura seus dados do backup mais recente. | |
| CP-10 | RECUPERAÇÃO E RECONSTITUIÇÃO DO SISTEMA DE INFORMAÇÃO | Essa regra garante que o Elastic Load Balancing tenha a proteção contra exclusão ativada. Use esse recurso para evitar que seu balanceador de carga seja excluído acidental ou maliciosamente, o que pode levar à perda de disponibilidade de seus aplicativos. | |
| CP-10 | RECUPERAÇÃO E RECONSTITUIÇÃO DO SISTEMA DE INFORMAÇÃO | O suporte Multi-AZ no Amazon Relational Database Service (Amazon RDS) oferece maior disponibilidade e durabilidade para instâncias de banco de dados. Quando você provisiona uma instância de banco de dados Multi-AZ, o Amazon RDS cria automaticamente uma instância de banco de dados principal e replica os dados de forma síncrona para uma instância em espera em uma zona de disponibilidade diferente. Cada zona de disponibilidade funciona em sua própria infraestrutura fisicamente distinta e independente e foi projetada para ser altamente confiável. No caso de uma falha na infraestrutura, o Amazon RDS executa um failover automático no modo de espera para que você possa retomar as operações do banco de dados assim que o failover for concluído. | |
| CP-10 | RECUPERAÇÃO E RECONSTITUIÇÃO DO SISTEMA DE INFORMAÇÃO | A replicação entre regiões (CRR) do Amazon Simple Storage Service (Amazon S3) suporta a manutenção de capacidade e disponibilidade adequadas. A CRR permite a cópia automática e assíncrona de objetos em buckets do Amazon S3 para ajudar a garantir que a disponibilidade dos dados seja mantida. | |
| CP-10 | RECUPERAÇÃO E RECONSTITUIÇÃO DO SISTEMA DE INFORMAÇÃO | O controle de versão do bucket do Amazon Simple Storage Service (Amazon S3) ajuda a manter várias variantes de um objeto no mesmo bucket do Amazon S3. Use o controle de versão para preservar, recuperar e restaurar todas as versões de cada objeto armazenado em seu bucket do Amazon S3. O controle de versão ajuda você a se recuperar facilmente de ações não intencionais do usuário e falhas de aplicativos. | |
| CP-10 | RECUPERAÇÃO E RECONSTITUIÇÃO DO SISTEMA DE INFORMAÇÃO | Túneis VPN redundantes de site a site podem ser implementados para atingir os requisitos de resiliência. Ele usa dois túneis para ajudar a garantir a conectividade caso uma das conexões VPN site a site fique indisponível. Para se proteger contra a perda de conectividade, caso o gateway do cliente fique indisponível, você pode configurar uma segunda conexão VPN site a site com a Amazon Virtual Private Cloud (Amazon VPC) e o gateway privado virtual usando um segundo gateway do cliente. | |
| IA-2 | IDENTIFICAÇÃO E AUTENTICAÇÃO (USUÁRIOS ORGANIZACIONAIS) | As identidades e as credenciais são emitidas, gerenciadas e verificadas com base em uma política de senha organizacional do IAM. Eles atendem ou excedem os requisitos, conforme declarado pelo NIST SP 800-63 e peloAWSPadrão básico de melhores práticas de segurança para a segurança da senha. Essa regra permite que você defina opcionalmenteRequireUppercaseCharacters(AWSAs melhores práticas básicas de segurança (valor: verdadeiro),RequireLowercaseCharacters(AWSAs melhores práticas básicas de segurança (valor: verdadeiro),RequireSymbols(AWSAs melhores práticas básicas de segurança (valor: verdadeiro),RequireNumbers(AWSAs melhores práticas básicas de segurança (valor: verdadeiro),MinimumPasswordLength(AWSValor fundamental das melhores práticas de segurança: 14),PasswordReusePrevention(AWSValor fundamental das melhores práticas de segurança: 24) eMaxPasswordAge(AWSValor fundamental das melhores práticas de segurança: 90) para sua política de senha do IAM. Os valores reais devem refletir as políticas da sua organização. | |
| IA-2 | IDENTIFICAÇÃO E AUTENTICAÇÃO (USUÁRIOS ORGANIZACIONAIS) | O acesso a sistemas e ativos pode ser controlado verificando se o usuário root não tem chaves de acesso anexadas aos seusAWSFunção de gerenciamento de identidade e acesso (IAM). Certifique-se de que as chaves de acesso root sejam excluídas. Em vez disso, crie e use com base em funçõesAWScontas para ajudar a incorporar o princípio da menor funcionalidade. | |
| IA-2 | IDENTIFICAÇÃO E AUTENTICAÇÃO (USUÁRIOS ORGANIZACIONAIS) | Ative essa regra para restringir o acesso aos recursos noAWSNuvem. Essa regra garante que a autenticação multifator (MFA) esteja habilitada para todos os usuários. A MFA adiciona uma camada extra de proteção às credenciais de login. Reduza os incidentes de contas comprometidas exigindo MFA para os usuários. | |
| IA-2 | IDENTIFICAÇÃO E AUTENTICAÇÃO (USUÁRIOS ORGANIZACIONAIS) | Gerencie o acesso aos recursos noAWSNuvem, garantindo que a MFA esteja habilitada para todosAWSUsuários do Gerenciamento de Identidade e Acesso (IAM) que têm uma senha de console. A MFA adiciona uma camada extra de proteção às credenciais de login. Ao exigir a MFA para os usuários, você pode reduzir os incidentes de contas comprometidas e impedir que dados confidenciais sejam acessados por usuários não autorizados. | |
| IA-2 | IDENTIFICAÇÃO E AUTENTICAÇÃO (USUÁRIOS ORGANIZACIONAIS) | Gerencie o acesso aos recursos noAWSNuvem, garantindo que a MFA de hardware esteja habilitada para o usuário root. O usuário root é o usuário mais privilegiado em umAWSconta. O MFA adiciona uma camada extra de proteção às credenciais de login. Ao exigir MFA para o usuário root, você pode reduzir os incidentes de comprometimentoAWScontas. | |
| IA-2 | IDENTIFICAÇÃO E AUTENTICAÇÃO (USUÁRIOS ORGANIZACIONAIS) | Gerencie o acesso aos recursos noAWSNuvem, garantindo que o MFA esteja habilitado para o usuário root. O usuário root é o usuário mais privilegiado em umAWSconta. O MFA adiciona uma camada extra de proteção às credenciais de login. Ao exigir MFA para o usuário root, você pode reduzir os incidentes de comprometimentoAWScontas. | |
| IA-5 | GERENCIAMENTO DE AUTENTICADORES | Certifique-se de que as credenciais de autenticação AWS_ACCESS_KEY_ID e AWS_SECRET_ACCESS_KEY não existam emAWSAmbientes de projeto Codebuild. Não armazene essas variáveis em texto não criptografado. Armazenar essas variáveis em texto não criptografado leva à exposição não intencional dos dados e ao acesso não autorizado. | |
| IA-5 | GERENCIAMENTO DE AUTENTICADORES | As identidades e as credenciais são emitidas, gerenciadas e verificadas com base em uma política de senha organizacional do IAM. Eles atendem ou excedem os requisitos, conforme declarado pelo NIST SP 800-63 e peloAWSPadrão básico de melhores práticas de segurança para a segurança da senha. Essa regra permite que você defina opcionalmenteRequireUppercaseCharacters(AWSAs melhores práticas básicas de segurança (valor: verdadeiro),RequireLowercaseCharacters(AWSAs melhores práticas básicas de segurança (valor: verdadeiro),RequireSymbols(AWSAs melhores práticas básicas de segurança (valor: verdadeiro),RequireNumbers(AWSAs melhores práticas básicas de segurança (valor: verdadeiro),MinimumPasswordLength(AWSValor fundamental das melhores práticas de segurança: 14),PasswordReusePrevention(AWSValor fundamental das melhores práticas de segurança: 24) eMaxPasswordAge(AWSValor fundamental das melhores práticas de segurança: 90) para sua política de senha do IAM. Os valores reais devem refletir as políticas da sua organização. | |
| IR-4 | TRATAMENTO DE INCIDENTES | As verificações de integridade do Elastic Load Balancer (ELB) para grupos de Auto Scaling do Amazon Elastic Compute Cloud (Amazon EC2) oferecem suporte à manutenção de capacidade e disponibilidade adequadas. O balanceador de carga envia periodicamente pings, tenta conexões ou envia solicitações para testar a integridade das instâncias do Amazon EC2 em um grupo de escalonamento automático. Se uma instância não estiver reportando, o tráfego será enviado para uma nova instância do Amazon EC2. | |
| IR-4 | TRATAMENTO DE INCIDENTES | AmazôniaGuardDutypode ajudar a monitorar e detectar possíveis eventos de segurança cibernética usando feeds de inteligência de ameaças. Isso inclui listas de IPs maliciosos e aprendizado de máquina para identificar atividades inesperadas, não autorizadas e maliciosas em seuAWSAmbiente em nuvem. | |
| IR-4 | TRATAMENTO DE INCIDENTES | AmazôniaGuardDutyajuda você a entender o impacto de um incidente classificando as descobertas por gravidade: baixa, média e alta. Você pode usar essas classificações para determinar as estratégias e prioridades de remediação. Essa regra permite que você defina opcionalmente odaysLowSev(Configuração padrão: 30),daysMediumSev(Configuração padrão: 7) edaysHighSev(Padrão de configuração: 1) para descobertas não arquivadas, conforme exigido pelas políticas da sua organização. | |
| IR-4 | TRATAMENTO DE INCIDENTES | AWSO Security Hub ajuda a monitorar pessoal, conexões, dispositivos e software não autorizados.AWS O Security Hub agrega, organiza e prioriza os alertas de segurança, ou descobertas, de váriosAWSserviços. Alguns desses serviços são o Amazon Security Hub, o Amazon Inspector, o Amazon Macie,AWSAnalisador de acesso de gerenciamento de identidade e acesso (IAM) eAWSFirewall Manager eAWSSoluções de parceiros. | |
| IR-4 | TRATAMENTO DE INCIDENTES | AmazôniaCloudWatchalertam quando uma métrica ultrapassa o limite de um determinado número de períodos de avaliação. O alarme realiza uma ou mais ações com base no valor da métrica ou na expressão relativa a um limite em alguns períodos. Essa regra exige um valor paraalarmActionRequired(Padrão de configuração: verdadeiro),insufficientDataActionObrigatório (padrão de configuração: verdadeiro),okActionRequired(Padrão de configuração: falso). O valor real deve refletir as ações de alarme do seu ambiente. | |
| IR-6 | NOTIFICAÇÃO DE INCIDENTES | AmazôniaGuardDutypode ajudar a monitorar e detectar possíveis eventos de segurança cibernética usando feeds de inteligência de ameaças. Isso inclui listas de IPs maliciosos e aprendizado de máquina para identificar atividades inesperadas, não autorizadas e maliciosas em seuAWSAmbiente em nuvem. | |
| IR-6 | NOTIFICAÇÃO DE INCIDENTES | AmazôniaGuardDutyajuda você a entender o impacto de um incidente classificando as descobertas por gravidade: baixa, média e alta. Você pode usar essas classificações para determinar as estratégias e prioridades de remediação. Essa regra permite que você defina opcionalmente odaysLowSev(Configuração padrão: 30),daysMediumSev(Configuração padrão: 7) edaysHighSev(Padrão de configuração: 1) para descobertas não arquivadas, conforme exigido pelas políticas da sua organização. | |
| IR-6 | NOTIFICAÇÃO DE INCIDENTES | AWSO Security Hub ajuda a monitorar pessoal, conexões, dispositivos e software não autorizados.AWS O Security Hub agrega, organiza e prioriza os alertas de segurança, ou descobertas, de váriosAWSserviços. Alguns desses serviços são o Amazon Security Hub, o Amazon Inspector, o Amazon Macie,AWSAnalisador de acesso de gerenciamento de identidade e acesso (IAM) eAWSFirewall Manager eAWSSoluções de parceiros. | |
| IR-7 | ASSISTÊNCIA DE RESPOSTA A INCIDENTES | AmazôniaGuardDutypode ajudar a monitorar e detectar possíveis eventos de segurança cibernética usando feeds de inteligência de ameaças. Isso inclui listas de IPs maliciosos e aprendizado de máquina para identificar atividades inesperadas, não autorizadas e maliciosas em seuAWSAmbiente em nuvem. | |
| IR-7 | ASSISTÊNCIA DE RESPOSTA A INCIDENTES | AmazôniaGuardDutyajuda você a entender o impacto de um incidente classificando as descobertas por gravidade: baixa, média e alta. Você pode usar essas classificações para determinar as estratégias e prioridades de remediação. Essa regra permite que você defina opcionalmente odaysLowSev(Configuração padrão: 30),daysMediumSev(Configuração padrão: 7) edaysHighSev(Padrão de configuração: 1) para descobertas não arquivadas, conforme exigido pelas políticas da sua organização. | |
| IR-7 | ASSISTÊNCIA DE RESPOSTA A INCIDENTES | AWSO Security Hub ajuda a monitorar pessoal, conexões, dispositivos e software não autorizados.AWS O Security Hub agrega, organiza e prioriza os alertas de segurança, ou descobertas, de váriosAWSserviços. Alguns desses serviços são o Amazon Security Hub, o Amazon Inspector, o Amazon Macie,AWSAnalisador de acesso de gerenciamento de identidade e acesso (IAM) eAWSFirewall Manager eAWSSoluções de parceiros. | |
| RA-5 | VERIFICAÇÃO DE VULNERABILIDADES | AmazôniaGuardDutyajuda você a entender o impacto de um incidente classificando as descobertas por gravidade: baixa, média e alta. Você pode usar essas classificações para determinar as estratégias e prioridades de remediação. Essa regra permite que você defina opcionalmente odaysLowSev(Configuração padrão: 30),daysMediumSev(Configuração padrão: 7) edaysHighSev(Padrão de configuração: 1) para descobertas não arquivadas, conforme exigido pelas políticas da sua organização. | |
| RA-5 | VERIFICAÇÃO DE VULNERABILIDADES | AWSO Security Hub ajuda a monitorar pessoal, conexões, dispositivos e software não autorizados.AWS O Security Hub agrega, organiza e prioriza os alertas de segurança, ou descobertas, de váriosAWSserviços. Alguns desses serviços são o Amazon Security Hub, o Amazon Inspector, o Amazon Macie,AWSAnalisador de acesso de gerenciamento de identidade e acesso (IAM) eAWSFirewall Manager eAWSSoluções de parceiros. | |
| RA-5 | VERIFICAÇÃO DE VULNERABILIDADES | AmazôniaGuardDutypode ajudar a monitorar e detectar possíveis eventos de segurança cibernética usando feeds de inteligência de ameaças. Isso inclui listas de IPs maliciosos e aprendizado de máquina para identificar atividades inesperadas, não autorizadas e maliciosas em seuAWSAmbiente em nuvem. | |
| SA-3 | CICLO DE VIDA DE DESENVOLVIMENTO DO SISTEMA | Certifique-se de que as credenciais de autenticação AWS_ACCESS_KEY_ID e AWS_SECRET_ACCESS_KEY não existam emAWSAmbientes de projeto Codebuild. Não armazene essas variáveis em texto não criptografado. Armazenar essas variáveis em texto não criptografado leva à exposição não intencional dos dados e ao acesso não autorizado. | |
| SA-3 | CICLO DE VIDA DE DESENVOLVIMENTO DO SISTEMA | Garanta que oGitHubou o URL do repositório de origem do Bitbucket não contém tokens de acesso pessoal nem credenciais de loginAWSAmbientes de projeto Codebuild. Use OAuth em vez de tokens de acesso pessoal ou credenciais de login para conceder autorização de acessoGitHubou repositórios Bitbucket. | |
| SA-3 | CICLO DE VIDA DE DESENVOLVIMENTO DO SISTEMA | É possível fazer um inventário das plataformas de software e aplicativos dentro da organização gerenciando instâncias do Amazon Elastic Compute Cloud (Amazon EC2) comAWSGerente de sistemas. UsarAWSSystems Manager para fornecer configurações detalhadas do sistema, níveis de patch do sistema operacional, nome e tipo de serviços, instalações de software, nome do aplicativo, editor e versão e outros detalhes sobre seu ambiente. | |
| SC-5 | PROTEÇÃO DE NEGAÇÃO DE SERVIÇO | Habilite o balanceamento de carga entre zonas para seus Elastic Load Balancers (ELBs) para ajudar a manter a capacidade e a disponibilidade adequadas. O balanceamento de carga entre zonas reduz a necessidade de manter números equivalentes de instâncias em cada zona de disponibilidade ativada. Também melhora a capacidade do seu aplicativo de lidar com a perda de uma ou mais instâncias. | |
| SC-5 | PROTEÇÃO DE NEGAÇÃO DE SERVIÇO | Garanta que as instâncias do Amazon Relational Database Service (Amazon RDS) tenham a proteção contra exclusão ativada. Use a proteção contra exclusão para evitar que suas instâncias do Amazon RDS sejam excluídas acidental ou maliciosamente, o que pode levar à perda de disponibilidade de seus aplicativos. | |
| SC-5 | PROTEÇÃO DE NEGAÇÃO DE SERVIÇO | As verificações de integridade do Elastic Load Balancer (ELB) para grupos de Auto Scaling do Amazon Elastic Compute Cloud (Amazon EC2) oferecem suporte à manutenção de capacidade e disponibilidade adequadas. O balanceador de carga envia periodicamente pings, tenta conexões ou envia solicitações para testar a integridade das instâncias do Amazon EC2 em um grupo de escalonamento automático. Se uma instância não estiver reportando, o tráfego será enviado para uma nova instância do Amazon EC2. | |
| SC-5 | PROTEÇÃO DE NEGAÇÃO DE SERVIÇO | O escalonamento automático do Amazon DynamoDB usa oAWSServiço de escalonamento automático de aplicativos para ajustar a capacidade de transferência provisionada que responde automaticamente aos padrões reais de tráfego. Isso permite que uma tabela ou um índice secundário global aumente sua capacidade de leitura/gravação provisionada para lidar com aumentos repentinos no tráfego, sem limitação. | |
| SC-5 | PROTEÇÃO DE NEGAÇÃO DE SERVIÇO | Ative essa regra para verificar se as informações foram copiadas. Ele também mantém os backups, garantindo quepoint-in-timea recuperação está habilitada no Amazon DynamoDB. A recuperação mantém backups contínuos de sua tabela nos últimos 35 dias. | |
| SC-5 | PROTEÇÃO DE NEGAÇÃO DE SERVIÇO | Uma instância otimizada no Amazon Elastic Block Store (Amazon EBS) fornece capacidade adicional dedicada para as operações de I/O do Amazon EBS. Essa otimização fornece o desempenho mais eficiente para seus volumes do EBS, minimizando a contenção entre as operações de I/O do Amazon EBS e outros tráfegos da sua instância. | |
| SC-5 | PROTEÇÃO DE NEGAÇÃO DE SERVIÇO | Quando os backups automáticos estão habilitados, a AmazonElastiCachecria um backup do cluster diariamente. O backup pode ser retido por alguns dias, conforme especificado pela sua organização. Os backups automáticos podem ajudar a proteger contra a perda de dados. Se ocorrer uma falha, você poderá criar um novo cluster, que restaura seus dados do backup mais recente. | |
| SC-5 | PROTEÇÃO DE NEGAÇÃO DE SERVIÇO | Essa regra garante que o Elastic Load Balancing tenha a proteção contra exclusão ativada. Use esse recurso para evitar que seu balanceador de carga seja excluído acidental ou maliciosamente, o que pode levar à perda de disponibilidade de seus aplicativos. | |
| SC-5 | PROTEÇÃO DE NEGAÇÃO DE SERVIÇO | AmazôniaGuardDutypode ajudar a monitorar e detectar possíveis eventos de segurança cibernética usando feeds de inteligência de ameaças. Isso inclui listas de IPs maliciosos e aprendizado de máquina para identificar atividades inesperadas, não autorizadas e maliciosas em seuAWSAmbiente em nuvem. | |
| SC-5 | PROTEÇÃO DE NEGAÇÃO DE SERVIÇO | O suporte Multi-AZ no Amazon Relational Database Service (Amazon RDS) oferece maior disponibilidade e durabilidade para instâncias de banco de dados. Quando você provisiona uma instância de banco de dados Multi-AZ, o Amazon RDS cria automaticamente uma instância de banco de dados principal e replica os dados de forma síncrona para uma instância em espera em uma zona de disponibilidade diferente. Cada zona de disponibilidade funciona em sua própria infraestrutura fisicamente distinta e independente e foi projetada para ser altamente confiável. No caso de uma falha na infraestrutura, o Amazon RDS executa um failover automático no modo de espera para que você possa retomar as operações do banco de dados assim que o failover for concluído. | |
| SC-5 | PROTEÇÃO DE NEGAÇÃO DE SERVIÇO | A replicação entre regiões (CRR) do Amazon Simple Storage Service (Amazon S3) suporta a manutenção de capacidade e disponibilidade adequadas. A CRR permite a cópia automática e assíncrona de objetos em buckets do Amazon S3 para ajudar a garantir que a disponibilidade dos dados seja mantida. | |
| SC-5 | PROTEÇÃO DE NEGAÇÃO DE SERVIÇO | O controle de versão do bucket do Amazon Simple Storage Service (Amazon S3) ajuda a manter várias variantes de um objeto no mesmo bucket do Amazon S3. Use o controle de versão para preservar, recuperar e restaurar todas as versões de cada objeto armazenado em seu bucket do Amazon S3. O controle de versão ajuda você a se recuperar facilmente de ações não intencionais do usuário e falhas de aplicativos. | |
| SC-5 | PROTEÇÃO DE NEGAÇÃO DE SERVIÇO | Túneis VPN redundantes de site a site podem ser implementados para atingir os requisitos de resiliência. Ele usa dois túneis para ajudar a garantir a conectividade caso uma das conexões VPN site a site fique indisponível. Para se proteger contra a perda de conectividade, caso o gateway do cliente fique indisponível, você pode configurar uma segunda conexão VPN site a site com a Amazon Virtual Private Cloud (Amazon VPC) e o gateway privado virtual usando um segundo gateway do cliente. | |
| SC-7 | PROTEÇÃO DE LIMITES | GarantaAWSO WAF está habilitado nos Elastic Load Balancers (ELB) para ajudar a proteger os aplicativos da web. Um WAF ajuda a proteger seus aplicativos ou APIs da web contra explorações comuns da web. Essas explorações na web podem afetar a disponibilidade, comprometer a segurança ou consumir recursos excessivos em seu ambiente. | |
| SC-7 | PROTEÇÃO DE LIMITES | Se você configurar suas interfaces de rede com um endereço IP público, os recursos associados a essas interfaces de rede poderão ser acessados pela Internet. Os recursos do EC2 não devem ser acessíveis ao público, pois isso pode permitir acesso não intencional aos seus aplicativos ou servidores. | |
| SC-7 | PROTEÇÃO DE LIMITES | Certifique-se de que seus Elastic Load Balancers (ELBs) estejam configurados com ouvintes SSL ou HTTPS. Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados. | |
| SC-7 | PROTEÇÃO DE LIMITES | Implante instâncias do Amazon Elastic Compute Cloud (Amazon EC2) em uma Amazon Virtual Private Cloud (Amazon VPC) para permitir a comunicação segura entre uma instância e outros serviços dentro da Amazon VPC, sem exigir um gateway de internet, dispositivo NAT ou conexão VPN. Todo o tráfego permanece com segurança na Nuvem AWS. Devido ao isolamento lógico, os domínios que residem em um Amazon VPC têm uma camada extra de segurança quando comparados aos domínios que usam endpoints públicos. Atribua instâncias do Amazon EC2 a uma Amazon VPC para gerenciar adequadamente o acesso. | |
| SC-7 | PROTEÇÃO DE LIMITES | GarantaAWSOs documentos do Systems Manager (SSM) não são públicos, pois isso pode permitir acesso não intencional aos seus documentos SSM. Um documento SSM público pode expor informações sobre sua conta, recursos e processos internos. | |
| SC-7 | PROTEÇÃO DE LIMITES | Os registros de fluxo do VPC fornecem registros detalhados de informações sobre o tráfego IP que vai e vem das interfaces de rede em sua Amazon Virtual Private Cloud (Amazon VPC). Por padrão, o registro do log de fluxo inclui valores para os diferentes componentes do fluxo IP, incluindo a origem, o destino e o protocolo. | |
| SC-7 | PROTEÇÃO DE LIMITES | Para ajudar com o registro e o monitoramento em seu ambiente, habiliteAWSRegistro WAF (V2) em ACLs da web regionais e globais.AWS O registro do WAF fornece informações detalhadas sobre o tráfego que é analisado pela sua ACL da web. Os registros registram a hora em queAWSO WAF recebeu a solicitação do seuAWSrecurso, informações sobre a solicitação e uma ação para a regra à qual cada solicitação correspondeu. | |
| SC-7 | PROTEÇÃO DE LIMITES | Para ajudar a proteger os dados em trânsito, certifique-se de que seu Application Load Balancer redirecione automaticamente solicitações HTTP não criptografadas para HTTPS. Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados. | |
| SC-7 | PROTEÇÃO DE LIMITES | Os grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2) podem ajudar a gerenciar o acesso à rede fornecendo filtragem de estado do tráfego de entrada e saída da rede paraAWSrecursos. Não permitir tráfego de entrada (ou remoto) de 0.0.0.0/0 para a porta 22 em seus recursos ajuda a restringir o acesso remoto. | |
| SC-7 | PROTEÇÃO DE LIMITES | ImplantarAWSO Lambda funciona em uma Amazon Virtual Private Cloud (Amazon VPC) para uma comunicação segura entre uma função e outros serviços dentro da Amazon VPC. Com essa configuração, não há necessidade de um gateway de Internet, dispositivo NAT ou conexão VPN. Todo o tráfego permanece seguro dentro doAWSNuvem. Devido ao isolamento lógico, os domínios que residem em um Amazon VPC têm uma camada extra de segurança quando comparados aos domínios que usam endpoints públicos. Para gerenciar adequadamente o acesso,AWSAs funções lambda devem ser atribuídas a uma VPC. | |
| SC-7 | PROTEÇÃO DE LIMITES | Gerencie o acesso aos recursos noAWSNuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações confidenciais, e princípios e controle de acesso são necessários para essas contas. | |
| SC-7 | PROTEÇÃO DE LIMITES | Gerencie o acesso aos recursos noAWSNuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações e princípios confidenciais, e o controle de acesso é necessário para essas contas. | |
| SC-7 | PROTEÇÃO DE LIMITES | Gerencie o acesso aos recursos noAWSNuvem garantindo que os clusters do Amazon Redshift não sejam públicos. Os clusters do Amazon Redshift podem conter informações e princípios confidenciais, e o controle de acesso é necessário para essas contas. | |
| SC-7 | PROTEÇÃO DE LIMITES | Certifique-se de que seus clusters do Amazon Redshift exijam criptografia TLS/SSL para se conectar aos clientes SQL. Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados. | |
| SC-7 | PROTEÇÃO DE LIMITES | Gerencie o acesso aos recursos noAWSNuvem garantindo que as portas comuns sejam restritas nos grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2). Não restringir o acesso às portas a fontes confiáveis pode levar a ataques contra a disponibilidade, integridade e confidencialidade dos sistemas. Essa regra permite que você defina opcionalmente os parâmetros BlockedPort1 - BlockedPort5 (Padrões de configuração: 20,21,3389,3306,4333). Os valores reais devem refletir as políticas da sua organização. | |
| SC-7 | PROTEÇÃO DE LIMITES | Gerencie o acesso aos recursos noAWSNuvem ao permitir que usuários, processos e dispositivos autorizados acessem apenas buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados. | |
| SC-7 | PROTEÇÃO DE LIMITES | Gerencie o acesso aos recursos noAWSNuvem ao permitir que usuários, processos e dispositivos autorizados acessem apenas buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados. | |
| SC-7 | PROTEÇÃO DE LIMITES | Para ajudar a proteger os dados em trânsito, certifique-se de que seus buckets do Amazon Simple Storage Service (Amazon S3) exijam solicitações para usar o Secure Socket Layer (SSL). Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados. | |
| SC-7 | PROTEÇÃO DE LIMITES | Gerencie o acesso aos recursos noAWSNuvem, garantindo que a AmazonSageMakeros notebooks não permitem acesso direto à internet. Ao impedir o acesso direto à Internet, você pode impedir que dados confidenciais sejam acessados por usuários não autorizados. | |
| SC-7 | PROTEÇÃO DE LIMITES | Gerencie o acesso aoAWSNuvem garantindo que as sub-redes Amazon Virtual Private Cloud (VPC) não recebam automaticamente um endereço IP público. As instâncias do Amazon Elastic Compute Cloud (EC2) que são lançadas em sub-redes que têm esse atributo ativado têm um endereço IP público atribuído à sua interface de rede primária. | |
| SC-7 | PROTEÇÃO DE LIMITES | Os grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2) podem ajudar no gerenciamento do acesso à rede fornecendo filtragem de estado do tráfego de entrada e saída da rede paraAWSrecursos. Restringir todo o tráfego no grupo de segurança padrão ajuda a restringir o acesso remoto ao seuAWSrecursos. | |
| SC-7 | PROTEÇÃO DE LIMITES | Gerencie o acesso aos recursos noAWSNuvem garantindo que as portas comuns sejam restritas nos grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2). Não restringir o acesso às portas a fontes confiáveis pode levar a ataques contra a disponibilidade, integridade e confidencialidade dos sistemas. Ao restringir o acesso a recursos dentro de um grupo de segurança da Internet (0.0.0.0/0), o acesso remoto pode ser controlado aos sistemas internos. | |
| SC-7 | PROTEÇÃO DE LIMITES | Uma ACL da Web anexada a umAWSO WAF pode conter uma coleção de regras e grupos de regras para inspecionar e controlar solicitações da Web. Se uma ACL da Web estiver vazia, o tráfego da web passará sem ser detectado ou acionado pelo WAF. | |
| SC-12 | ESTABELECIMENTO E GERENCIAMENTO DE CHAVES CRIPTOGRÁFICAS | Ative a rotação de chaves para garantir que as chaves sejam giradas quando chegarem ao final do período criptográfico. | |
| SC-12 | ESTABELECIMENTO E GERENCIAMENTO DE CHAVES CRIPTOGRÁFICAS | Garanta que a integridade da rede esteja protegida, garantindo que os certificados X509 sejam emitidos porAWSACM. Esses certificados devem ser válidos e não expirados. Essa regra exige um valor paradaysToExpiration(AWSValor das melhores práticas básicas de segurança: 90). O valor real deve refletir as políticas da sua organização. | |
| SC-12 | ESTABELECIMENTO E GERENCIAMENTO DE CHAVES CRIPTOGRÁFICAS | Para ajudar a proteger os dados em repouso, certifique-se de que as chaves mestras do cliente (CMKs) necessárias não estejam programadas para exclusão noAWSServiço de gerenciamento de chaves (AWSKMS). Como a exclusão da chave às vezes é necessária, essa regra pode ajudar a verificar todas as chaves programadas para exclusão, caso uma chave tenha sido agendada sem querer. | |
| SC-13 | PROTEÇÃO CRIPTOGRÁFICA | Para ajudar a proteger os dados em repouso, certifique-se de que as chaves mestras do cliente (CMKs) necessárias não estejam programadas para exclusão noAWSServiço de gerenciamento de chaves (AWSKMS). Como a exclusão da chave às vezes é necessária, essa regra pode ajudar a verificar todas as chaves programadas para exclusão, caso uma chave tenha sido agendada sem querer. | |
| SC-13 | PROTEÇÃO CRIPTOGRÁFICA | Certifique-se de que a criptografia esteja habilitada para seus buckets do Amazon Simple Storage Service (Amazon S3). Como dados confidenciais podem existir em repouso em um bucket do Amazon S3, habilite a criptografia em repouso para ajudar a proteger esses dados. | |
| SC-13 | PROTEÇÃO CRIPTOGRÁFICA | Para ajudar a proteger os dados em repouso, garanta a criptografia comAWSServiço de gerenciamento de chaves (AWSO KMS) está habilitado para seuSageMakerponto final. Porque dados confidenciais podem existir em repouso noSageMakerendpoint, habilite a criptografia em repouso para ajudar a proteger esses dados. | |
| SC-13 | PROTEÇÃO CRIPTOGRÁFICA | Para ajudar a proteger os dados em repouso, garanta a criptografia comAWSServiço de gerenciamento de chaves (AWSO KMS) está habilitado para seuSageMakercaderno. Porque dados confidenciais podem existir em repouso noSageMakernotebook, habilite a criptografia em repouso para ajudar a proteger esses dados. | |
| SC-13 | PROTEÇÃO CRIPTOGRÁFICA | Para ajudar a proteger os dados em repouso, certifique-se de que seus tópicos do Amazon Simple Notification Service (Amazon SNS) exijam criptografia usandoAWSServiço de gerenciamento de chaves (AWSKMS). Como dados confidenciais podem existir em repouso nas mensagens publicadas, habilite a criptografia em repouso para ajudar a proteger esses dados. | |
| SC-13 | PROTEÇÃO CRIPTOGRÁFICA | Para ajudar a proteger os dados em repouso, garanta a criptografia comAWSServiço de gerenciamento de chaves (AWSO KMS) está habilitado para seu cluster do Amazon Redshift. Como dados confidenciais podem existir em repouso nos clusters do Redshift, habilite a criptografia em repouso para ajudar a proteger esses dados. | |
| SI-2 | REMEDIAÇÃO DE FALHAS | É possível fazer um inventário das plataformas de software e aplicativos dentro da organização gerenciando instâncias do Amazon Elastic Compute Cloud (Amazon EC2) comAWSGerente de sistemas. UsarAWSSystems Manager para fornecer configurações detalhadas do sistema, níveis de patch do sistema operacional, nome e tipo de serviços, instalações de software, nome do aplicativo, editor e versão e outros detalhes sobre seu ambiente. | |
| SI-2 | REMEDIAÇÃO DE FALHAS | UsarAWSAssociações de gerentes de sistemas para ajudar no inventário de plataformas e aplicativos de software em uma organização.AWS O Systems Manager atribui um estado de configuração às suas instâncias gerenciadas e permite que você defina linhas de base dos níveis de patch do sistema operacional, instalações de software, configurações de aplicativos e outros detalhes sobre seu ambiente. | |
| SI-2 | REMEDIAÇÃO DE FALHAS | Ative essa regra para ajudar na identificação e documentação das vulnerabilidades do Amazon Elastic Compute Cloud (Amazon EC2). A regra verifica se a instância do Amazon EC2 está em conformidade com o patch emAWSGerenciador de sistemas conforme exigido pelas políticas e procedimentos da sua organização. | |
| SI-2 | REMEDIAÇÃO DE FALHAS | A ativação de atualizações gerenciadas de plataforma para um ambiente do Amazon Elastic Beanstalk garante que as últimas correções, atualizações e recursos de plataforma disponíveis para o ambiente sejam instalados. Manter-se atualizado com a instalação de patches é a melhor prática para proteger os sistemas. | |
| SI-3 | REMEDIAÇÃO DE FALHAS | Certifique-se de que as credenciais de autenticação AWS_ACCESS_KEY_ID e AWS_SECRET_ACCESS_KEY não existam emAWSAmbientes de projeto Codebuild. Não armazene essas variáveis em texto não criptografado. Armazenar essas variáveis em texto não criptografado leva à exposição não intencional dos dados e ao acesso não autorizado. | |
| SI-3 | REMEDIAÇÃO DE FALHAS | Garanta que oGitHubou o URL do repositório de origem do Bitbucket não contém tokens de acesso pessoal nem credenciais de loginAWSAmbientes de projeto Codebuild. Use OAuth em vez de tokens de acesso pessoal ou credenciais de login para conceder autorização de acessoGitHubou repositórios Bitbucket. | |
| SI-3 | REMEDIAÇÃO DE FALHAS | Limitar o máximo de memória disponível para seus contêineres do Amazon Elastic Container Service (ECS) garante que seu uso de recursos não possa ser abusado no caso de acesso malicioso aos seus contêineres. | |
| SI-4 | MONITORAMENTO DO SISTEMA DE INFORMAÇÃO | GarantaAWSO WAF está habilitado nos Elastic Load Balancers (ELB) para ajudar a proteger os aplicativos da web. Um WAF ajuda a proteger seus aplicativos ou APIs da web contra explorações comuns da web. Essas explorações na web podem afetar a disponibilidade, comprometer a segurança ou consumir recursos excessivos em seu ambiente. | |
| SI-4 | MONITORAMENTO DO SISTEMA DE INFORMAÇÃO | AWSO WAF permite que você configure um conjunto de regras (chamado de lista de controle de acesso à web (ACL da web)) que permitem, bloqueiam ou contam solicitações da Web com base nas regras e condições de segurança da Web personalizáveis que você define. Certifique-se de que seu estágio do Amazon API Gateway esteja associado a uma WAF Web ACL para protegê-lo contra ataques maliciosos | |
| SI-4 | MONITORAMENTO DO SISTEMA DE INFORMAÇÃO | AmazôniaGuardDutyajuda você a entender o impacto de um incidente classificando as descobertas por gravidade: baixa, média e alta. Você pode usar essas classificações para determinar as estratégias e prioridades de remediação. Essa regra permite que você defina opcionalmente odaysLowSev(Configuração padrão: 30),daysMediumSev(Configuração padrão: 7) edaysHighSev(Padrão de configuração: 1) para descobertas não arquivadas, conforme exigido pelas políticas da sua organização. | |
| SI-4 | MONITORAMENTO DO SISTEMA DE INFORMAÇÃO | AWS CloudTrailregistrosAWSAções do Management Console e chamadas de API. Você pode identificar quais usuários e contas ligaramAWS, o endereço IP de origem de onde as chamadas foram feitas e quando as chamadas ocorreram. CloudTrailentregará arquivos de log de todosAWSRegiões para seu bucket do S3 se MULTI_REGION_CLOUD_TRAIL_ENABLED estiver ativado. Além disso, quandoAWSlança uma nova região,CloudTrailcriará a mesma trilha na nova região. Como resultado, você receberá arquivos de log contendo a atividade da API para a nova região sem realizar nenhuma ação. | |
| SI-4 | MONITORAMENTO DO SISTEMA DE INFORMAÇÃO | AWSO Security Hub ajuda a monitorar pessoal, conexões, dispositivos e software não autorizados.AWS O Security Hub agrega, organiza e prioriza os alertas de segurança, ou descobertas, de váriosAWSserviços. Alguns desses serviços são o Amazon Security Hub, o Amazon Inspector, o Amazon Macie,AWSAnalisador de acesso de gerenciamento de identidade e acesso (IAM) eAWSFirewall Manager eAWSSoluções de parceiros. | |
| SI-4 | MONITORAMENTO DO SISTEMA DE INFORMAÇÃO | Para ajudar com o registro e o monitoramento em seu ambiente, habiliteAWSRegistro WAF (V2) em ACLs da web regionais e globais.AWS O registro do WAF fornece informações detalhadas sobre o tráfego que é analisado pela sua ACL da web. Os registros registram a hora em queAWSO WAF recebeu a solicitação do seuAWSrecurso, informações sobre a solicitação e uma ação para a regra à qual cada solicitação correspondeu. | |
| SI-4 | MONITORAMENTO DO SISTEMA DE INFORMAÇÃO | Use a AmazonCloudWatchpara coletar e gerenciar centralmente a atividade de eventos de registro. Inclusão deAWS CloudTrailos dados fornecem detalhes da atividade de chamadas de API em seuAWSconta. | |
| SI-4 | MONITORAMENTO DO SISTEMA DE INFORMAÇÃO | AWS CloudTrailpode ajudar na não repúdio gravandoAWSAções do Management Console e chamadas de API. Você pode identificar os usuários eAWScontas que chamaram umAWSserviço, o endereço IP de origem onde as chamadas foram geradas e os horários das chamadas. Os detalhes dos dados capturados são vistos emAWS CloudTrailGrave o conteúdo. | |
| SI-4 | MONITORAMENTO DO SISTEMA DE INFORMAÇÃO | A coleta de eventos de dados do Simple Storage Service (Amazon S3) ajuda a detectar qualquer atividade anômala. Os detalhes incluemAWSinformações da conta que acessaram um bucket do Amazon S3, endereço IP e hora do evento. | |
| SI-4 | MONITORAMENTO DO SISTEMA DE INFORMAÇÃO | AmazôniaCloudWatchalertam quando uma métrica ultrapassa o limite de um determinado número de períodos de avaliação. O alarme realiza uma ou mais ações com base no valor da métrica ou na expressão relativa a um limite em alguns períodos. Essa regra exige um valor paraalarmActionRequired(Padrão de configuração: verdadeiro),insufficientDataActionObrigatório (padrão de configuração: verdadeiro),okActionRequired(Padrão de configuração: falso). O valor real deve refletir as ações de alarme do seu ambiente. | |
| SI-4 | MONITORAMENTO DO SISTEMA DE INFORMAÇÃO | Ative essa regra para ajudar a melhorar o monitoramento de instâncias do Amazon Elastic Compute Cloud (Amazon EC2) no console do Amazon EC2, que exibe gráficos de monitoramento com um período de 1 minuto para a instância. | |
| SI-4 | MONITORAMENTO DO SISTEMA DE INFORMAÇÃO | AmazôniaGuardDutypode ajudar a monitorar e detectar possíveis eventos de segurança cibernética usando feeds de inteligência de ameaças. Isso inclui listas de IPs maliciosos e aprendizado de máquina para identificar atividades inesperadas, não autorizadas e maliciosas em seuAWSAmbiente em nuvem. | |
| SI-4 | MONITORAMENTO DO SISTEMA DE INFORMAÇÃO | Para proteger os dados em repouso, certifique-se de que a criptografia esteja habilitada para seus clusters do Amazon Redshift. Você também deve garantir que as configurações necessárias sejam implantadas nos clusters do Amazon Redshift. O registro de auditoria deve estar habilitado para fornecer informações sobre conexões e atividades do usuário no banco de dados. Essa regra exige que um valor seja definido paraclusterDbEncrypted(Config Default: TRUE) e LoggingEnabled (Config Default: TRUE). Os valores reais devem refletir as políticas da sua organização. | |
| SI-5 | ALERTAS, RECOMENDAÇÕES E DIRETRIZES DE SEGURANÇA | AmazôniaCloudWatchalertam quando uma métrica ultrapassa o limite de um determinado número de períodos de avaliação. O alarme realiza uma ou mais ações com base no valor da métrica ou na expressão relativa a um limite em alguns períodos. Essa regra exige um valor paraalarmActionRequired(Padrão de configuração: verdadeiro),insufficientDataActionObrigatório (padrão de configuração: verdadeiro),okActionRequired(Padrão de configuração: falso). O valor real deve refletir as ações de alarme do seu ambiente. | |
| SI-5 | ALERTAS, RECOMENDAÇÕES E DIRETRIZES DE SEGURANÇA | AmazôniaGuardDutypode ajudar a monitorar e detectar possíveis eventos de segurança cibernética usando feeds de inteligência de ameaças. Isso inclui listas de IPs maliciosos e aprendizado de máquina para identificar atividades inesperadas, não autorizadas e maliciosas em seuAWSAmbiente em nuvem. | |
| SI-5 | ALERTAS, RECOMENDAÇÕES E DIRETRIZES DE SEGURANÇA | AmazôniaGuardDutyajuda você a entender o impacto de um incidente classificando as descobertas por gravidade: baixa, média e alta. Você pode usar essas classificações para determinar as estratégias e prioridades de remediação. Essa regra permite que você defina opcionalmente odaysLowSev(Configuração padrão: 30),daysMediumSev(Configuração padrão: 7) edaysHighSev(Padrão de configuração: 1) para descobertas não arquivadas, conforme exigido pelas políticas da sua organização. | |
| SI-5 | ALERTAS, RECOMENDAÇÕES E DIRETRIZES DE SEGURANÇA | AWSO Security Hub ajuda a monitorar pessoal, conexões, dispositivos e software não autorizados.AWS O Security Hub agrega, organiza e prioriza os alertas de segurança, ou descobertas, de váriosAWSserviços. Alguns desses serviços são o Amazon Security Hub, o Amazon Inspector, o Amazon Macie,AWSAnalisador de acesso de gerenciamento de identidade e acesso (IAM) eAWSFirewall Manager eAWSSoluções de parceiros. | |
| SI-12 | TRATAMENTO E RETENÇÃO DE INFORMAÇÕES | Para ajudar nos processos de backup de dados, garanta que seus recursos do Amazon Aurora sejam parte de umAWSPlano de backup.AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos de conformidade comercial e regulamentar de backup. | |
| SI-12 | TRATAMENTO E RETENÇÃO DE INFORMAÇÕES | Para ajudar nos processos de backup de dados, garanta queAWSO plano de backup está definido para uma frequência e retenção mínimas.AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos de conformidade comercial e regulamentar de backup. Essa regra permite que você defina orequiredFrequencyValue(Configuração padrão: 1),requiredRetentionDays(Configuração padrão: 35) erequiredFrequencyUnit(Padrão de configuração: dias) parâmetros. O valor real deve refletir os requisitos de sua organização. | |
| SI-12 | TRATAMENTO E RETENÇÃO DE INFORMAÇÕES | Garanta que uma duração mínima dos dados do registro de eventos seja mantida para seus grupos de registros para ajudar na solução de problemas e nas investigações forenses. A falta de dados de registros de eventos anteriores disponíveis dificulta a reconstrução e a identificação de eventos potencialmente maliciosos. | |
| SI-12 | TRATAMENTO E RETENÇÃO DE INFORMAÇÕES | Para ajudar nos processos de backup de dados, garanta que seus recursos do Amazon DynamoDB façam parte de umAWSPlano de backup.AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos de conformidade comercial e regulamentar de backup. | |
| SI-12 | TRATAMENTO E RETENÇÃO DE INFORMAÇÕES | Para ajudar nos processos de backup de dados, garanta que seus recursos do Amazon Elastic Block Store (Amazon EBS) façam parte de umAWSPlano de backup.AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos de conformidade comercial e regulamentar de backup. | |
| SI-12 | TRATAMENTO E RETENÇÃO DE INFORMAÇÕES | Para ajudar nos processos de backup de dados, garanta que seus recursos do Amazon Elastic Compute Cloud (Amazon EC2) façam parte de umAWSPlano de backup.AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos de conformidade comercial e regulamentar de backup. | |
| SI-12 | TRATAMENTO E RETENÇÃO DE INFORMAÇÕES | Para ajudar nos processos de backup de dados, garanta que seus sistemas de arquivos do Amazon Elastic File System (Amazon EFS) façam parte de umAWSPlano de backup.AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos de conformidade comercial e regulamentar de backup. | |
| SI-12 | TRATAMENTO E RETENÇÃO DE INFORMAÇÕES | Para ajudar nos processos de backup de dados, garanta que seus sistemas de arquivos Amazon FSx façam parte de umAWSPlano de backup.AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos de conformidade comercial e regulamentar de backup. | |
| SI-12 | TRATAMENTO E RETENÇÃO DE INFORMAÇÕES | Para ajudar nos processos de backup de dados, garanta que seus recursos do Amazon Relational Database Service (Amazon RDS) façam parte de umAWSPlano de backup.AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos de conformidade comercial e regulamentar de backup. | |
| SI-12 | TRATAMENTO E RETENÇÃO DE INFORMAÇÕES | Para ajudar nos processos de backup de dados, garanta que seus clusters do Amazon Redshift tenham snapshots automatizados. Quando os instantâneos automatizados são habilitados para um cluster, o Redshift tira instantâneos desse cluster periodicamente. Por padrão, o Redshift tira um instantâneo a cada oito horas ou a cada 5 GB por nó de alterações de dados, ou o que ocorrer primeiro. | |
| SI-12 | TRATAMENTO E RETENÇÃO DE INFORMAÇÕES | O recurso de backup do Amazon RDS cria backups de seus bancos de dados e registros de transações. O Amazon RDS cria automaticamente um snapshot do volume de armazenamento da sua instância de banco de dados, fazendo backup de toda a instância de banco de dados. O sistema permite que você defina períodos de retenção específicos para atender aos seus requisitos de resiliência. | |
| SI-12 | TRATAMENTO E RETENÇÃO DE INFORMAÇÕES | Ative essa regra para verificar se as informações foram copiadas. Ele também mantém os backups, garantindo quepoint-in-timea recuperação está habilitada no Amazon DynamoDB. A recuperação mantém backups contínuos de sua tabela nos últimos 35 dias. | |
| SI-12 | TRATAMENTO E RETENÇÃO DE INFORMAÇÕES | Quando os backups automáticos estão habilitados, a AmazonElastiCachecria um backup do cluster diariamente. O backup pode ser retido por alguns dias, conforme especificado pela sua organização. Os backups automáticos podem ajudar a proteger contra a perda de dados. Se ocorrer uma falha, você poderá criar um novo cluster, que restaura seus dados do backup mais recente. | |
| SI-12 | TRATAMENTO E RETENÇÃO DE INFORMAÇÕES | O controle de versão do bucket do Amazon Simple Storage Service (Amazon S3) ajuda a manter várias variantes de um objeto no mesmo bucket do Amazon S3. Use o controle de versão para preservar, recuperar e restaurar todas as versões de cada objeto armazenado em seu bucket do Amazon S3. O controle de versão ajuda você a se recuperar facilmente de ações não intencionais do usuário e falhas de aplicativos. | |
| SI-16 | PROTEÇÃO DE MEMÓRIA | Limitar o máximo de memória disponível para seus contêineres do Amazon Elastic Container Service (ECS) garante que seu uso de recursos não possa ser abusado no caso de acesso malicioso aos seus contêineres. |
Modelo
O modelo está disponível emGitHub:Melhores práticas operacionais para o FedRAMP (Low)
