Melhores práticas operacionais para o NIST 800-53 rev 5

Os pacotes de conformidade fornecem uma estrutura de conformidade de uso geral projetada para permitir que você crie verificações de governança de segurança, operacionais ou de otimização de custos usando controles gerenciados ou personalizadosAWS Configregras eAWS Configações de remediação. Os pacotes de conformidade, como modelos de exemplo, não foram projetados para garantir totalmente a conformidade com um padrão específico de governança ou conformidade. Você é responsável por fazer sua própria avaliação sobre se o uso dos Serviços atende aos requisitos legais e regulamentares aplicáveis.

O seguinte fornece um exemplo de mapeamento entre o NIST 800-53 eAWSregras de configuração gerenciadas. Cada regra de configuração se aplica a um específicoAWSrecurso e está relacionado a um ou mais controles do NIST 800-53. Um controle NIST 800-53 pode estar relacionado a várias regras de configuração. Consulte a tabela abaixo para obter mais detalhes e orientações relacionadas a esses mapeamentos.

ID de controle	Descrição do controle	AWSRegra de configuração	Orientação
AC-2 (1)	Gerenciamento de contas | Gerenciamento automatizado de contas do sistema	ecs-containers-readonly-access	Habilitar o acesso somente para leitura aos contêineres do Amazon Elastic Container Service (ECS) pode ajudar a cumprir o princípio do menor privilégio. Essa opção pode reduzir os vetores de ataque, pois o sistema de arquivos da instância do contêiner não pode ser modificado a menos que tenha permissões explícitas de leitura e gravação.
AC-2 (1)	Gerenciamento de contas | Gerenciamento automatizado de contas do sistema	ecs-task-definition-user-for-host-mode-check	Se uma definição de tarefa tem privilégios elevados, é porque o cliente optou especificamente por essas configurações. Esse controle verifica o aumento inesperado de privilégios quando uma definição de tarefa tem a rede do host habilitada, mas o cliente não optou por privilégios elevados.
AC-2 (1)	Gerenciamento de contas | Gerenciamento automatizado de contas do sistema	iam-no-inline-policy-verifique	Garanta umAWSO usuário, a função ou o grupo do IAM (Identity and Access Management) não têm uma política em linha para controlar o acesso a sistemas e ativos.AWSrecomenda usar políticas gerenciadas em vez de políticas em linha. As políticas gerenciadas permitem reutilização, controle de versão e reversão, além de delegar o gerenciamento de permissões.
AC-2 (1)	Gerenciamento de contas | Gerenciamento automatizado de contas do sistema	iam-policy-no-statements-with-full-access	Certifique-se de que as ações do IAM sejam restritas somente às ações necessárias. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio do menor privilégio e da separação de funções.
AC-2 (1)	Gerenciamento de contas | Gerenciamento automatizado de contas do sistema	access-keys-rotated	As credenciais são auditadas para dispositivos, usuários e processos autorizados, garantindo que as chaves de acesso do IAM sejam alternadas de acordo com a política organizacional. Alterar as chaves de acesso regularmente é uma prática recomendada de segurança. Isso reduz o período em que uma chave de acesso está ativa e reduz o impacto nos negócios se as chaves forem comprometidas. Essa regra exige um valor de rotação da chave de acesso (padrão de configuração: 90). O valor real deve refletir as políticas da sua organização.
AC-2 (1)	Gerenciamento de contas | Gerenciamento automatizado de contas do sistema	iam-customer-policy-blocked-kms - ações	AWSO Gerenciamento de Identidade e Acesso (IAM) pode ajudá-lo a incorporar os princípios de menor privilégio e separação de funções com permissões e autorizações de acesso, impedindo que as políticas contenham ações bloqueadas em todosAWSChaves do serviço de gerenciamento de chaves. Ter mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio do menor privilégio e da separação de deveres. Essa regra permite que você defina oblockedActionsPatternsparâmetro. (AWSValor fundamental das melhores práticas de segurança: kms:decrypt, kms:ReEncryptFrom). Os valores reais devem refletir as políticas da sua organização
AC-2 (1)	Gerenciamento de contas | Gerenciamento automatizado de contas do sistema	iam-inline-policy-blocked-kms - ações	Garanta umAWSO usuário, a função ou o grupo do IAM (Identity and Access Management) não têm uma política embutida para permitir ações bloqueadas em todosAWSChaves do serviço de gerenciamento de chaves.AWSrecomenda usar políticas gerenciadas em vez de políticas em linha. As políticas gerenciadas permitem a reutilização, o controle de versões, a reversão e a delegação do gerenciamento de permissões. Essa regra permite que você defina oblockedActionsPatternsparâmetro. (AWSValor fundamental das melhores práticas de segurança: kms:decrypt, kms:ReEncryptFrom). Os valores reais devem refletir as políticas da sua organização.
AC-2 (1)	Gerenciamento de contas | Gerenciamento automatizado de contas do sistema	iam-password-policy	As identidades e as credenciais são emitidas, gerenciadas e verificadas com base em uma política de senha organizacional do IAM. Eles atendem ou excedem os requisitos, conforme declarado pelo NIST SP 800-63 e peloAWSPadrão básico de melhores práticas de segurança para a segurança da senha. Essa regra permite que você defina opcionalmenteRequireUppercaseCharacters(AWSAs melhores práticas básicas de segurança (valor: verdadeiro),RequireLowercaseCharacters(AWSAs melhores práticas básicas de segurança (valor: verdadeiro),RequireSymbols(AWSAs melhores práticas básicas de segurança (valor: verdadeiro),RequireNumbers(AWSAs melhores práticas básicas de segurança (valor: verdadeiro),MinimumPasswordLength(AWSValor fundamental das melhores práticas de segurança: 14),PasswordReusePrevention(AWSValor fundamental das melhores práticas de segurança: 24) eMaxPasswordAge(AWSValor fundamental das melhores práticas de segurança: 90) para sua política de senha do IAM. Os valores reais devem refletir as políticas da sua organização.
AC-2 (1)	Gerenciamento de contas | Gerenciamento automatizado de contas do sistema	iam-policy-no-statements-with-admin-access	AWSO Gerenciamento de Identidade e Acesso (IAM) pode ajudá-lo a incorporar os princípios de menor privilégio e separação de funções com permissões e autorizações de acesso, impedindo que as políticas contenham “Efeito”: “Permitir” com “Ação”: “*” em vez de “Recurso”: “*”. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio do menor privilégio e da separação de funções.
AC-2 (1)	Gerenciamento de contas | Gerenciamento automatizado de contas do sistema	iam-root-access-key-verifique	O acesso a sistemas e ativos pode ser controlado verificando se o usuário root não tem chaves de acesso anexadas aos seusAWSFunção de gerenciamento de identidade e acesso (IAM). Certifique-se de que as chaves de acesso root sejam excluídas. Em vez disso, crie e use com base em funçõesAWScontas para ajudar a incorporar o princípio da menor funcionalidade.
AC-2 (1)	Gerenciamento de contas | Gerenciamento automatizado de contas do sistema	iam-user-group-membership-verifique	AWSO Gerenciamento de Identidade e Acesso (IAM) pode ajudar você a restringir as permissões e autorizações de acesso, garantindo que os usuários sejam membros de pelo menos um grupo. Permitir aos usuários mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio do menor privilégio e da separação de funções.
AC-2 (1)	Gerenciamento de contas | Gerenciamento automatizado de contas do sistema	iam-user-mfa-enabled	Ative essa regra para restringir o acesso aos recursos noAWSNuvem. Essa regra garante que a autenticação multifator (MFA) esteja habilitada para todos os usuários. A MFA adiciona uma camada extra de proteção às credenciais de login. Reduza os incidentes de contas comprometidas exigindo MFA para os usuários.
AC-2 (1)	Gerenciamento de contas | Gerenciamento automatizado de contas do sistema	iam-user-unused-credentials-verifique	AWSO Gerenciamento de Identidade e Acesso (IAM) pode ajudá-lo com permissões e autorizações de acesso verificando as senhas e chaves de acesso do IAM que não são usadas por um período de tempo especificado. Se essas credenciais não utilizadas forem identificadas, você deverá desabilitar e/ou remover as credenciais, pois isso pode violar o princípio do menor privilégio. Essa regra exige que você defina um valor para omaxCredentialUsageIdade (padrão de configuração: 90). O valor real deve refletir as políticas da sua organização.
AC-2 (1)	Gerenciamento de contas | Gerenciamento automatizado de contas do sistema	mfa-enabled-for-iam-acesso ao console	Gerencie o acesso aos recursos noAWSNuvem, garantindo que a MFA esteja habilitada para todosAWSUsuários do Gerenciamento de Identidade e Acesso (IAM) que têm uma senha de console. A MFA adiciona uma camada extra de proteção às credenciais de login. Ao exigir a MFA para os usuários, você pode reduzir os incidentes de contas comprometidas e impedir que dados confidenciais sejam acessados por usuários não autorizados.
AC-2 (1)	Gerenciamento de contas | Gerenciamento automatizado de contas do sistema	root-account-hardware-mfa-ativado	Gerencie o acesso aos recursos noAWSNuvem, garantindo que a MFA de hardware esteja habilitada para o usuário root. O usuário root é o usuário mais privilegiado em umAWSconta. O MFA adiciona uma camada extra de proteção às credenciais de login. Ao exigir MFA para o usuário root, você pode reduzir os incidentes de comprometimentoAWScontas.
AC-2 (1)	Gerenciamento de contas | Gerenciamento automatizado de contas do sistema	root-account-mfa-enabled	Gerencie o acesso aos recursos noAWSNuvem, garantindo que o MFA esteja habilitado para o usuário root. O usuário root é o usuário mais privilegiado em umAWSconta. O MFA adiciona uma camada extra de proteção às credenciais de login. Ao exigir MFA para o usuário root, você pode reduzir os incidentes de comprometimentoAWScontas.
AC-2 (1)	Gerenciamento de contas | Gerenciamento automatizado de contas do sistema	secretsmanager-rotation-enabled-check	Esta regra garanteAWSOs segredos do Secrets Manager têm a rotação ativada. A rotação de segredos em um cronograma regular pode reduzir o período em que um segredo está ativo e, potencialmente, reduzir o impacto nos negócios se o segredo for comprometido.
AC-2 (3)	Gerenciamento de contas | Desativar contas	access-keys-rotated	As credenciais são auditadas para dispositivos, usuários e processos autorizados, garantindo que as chaves de acesso do IAM sejam alternadas de acordo com a política organizacional. Alterar as chaves de acesso regularmente é uma prática recomendada de segurança. Isso reduz o período em que uma chave de acesso está ativa e reduz o impacto nos negócios se as chaves forem comprometidas. Essa regra exige um valor de rotação da chave de acesso (padrão de configuração: 90). O valor real deve refletir as políticas da sua organização.
AC-2 (3)	Gerenciamento de contas | Desativar contas	iam-password-policy	As identidades e as credenciais são emitidas, gerenciadas e verificadas com base em uma política de senha organizacional do IAM. Eles atendem ou excedem os requisitos, conforme declarado pelo NIST SP 800-63 e peloAWSPadrão básico de melhores práticas de segurança para a segurança da senha. Essa regra permite que você defina opcionalmenteRequireUppercaseCharacters(AWSAs melhores práticas básicas de segurança (valor: verdadeiro),RequireLowercaseCharacters(AWSAs melhores práticas básicas de segurança (valor: verdadeiro),RequireSymbols(AWSAs melhores práticas básicas de segurança (valor: verdadeiro),RequireNumbers(AWSAs melhores práticas básicas de segurança (valor: verdadeiro),MinimumPasswordLength(AWSValor fundamental das melhores práticas de segurança: 14),PasswordReusePrevention(AWSValor fundamental das melhores práticas de segurança: 24) eMaxPasswordAge(AWSValor fundamental das melhores práticas de segurança: 90) para sua política de senha do IAM. Os valores reais devem refletir as políticas da sua organização.
AC-2 (3)	Gerenciamento de contas | Desativar contas	iam-user-unused-credentials-verifique	AWSO Gerenciamento de Identidade e Acesso (IAM) pode ajudá-lo com permissões e autorizações de acesso verificando as senhas e chaves de acesso do IAM que não são usadas por um período de tempo especificado. Se essas credenciais não utilizadas forem identificadas, você deverá desabilitar e/ou remover as credenciais, pois isso pode violar o princípio do menor privilégio. Essa regra exige que você defina um valor para omaxCredentialUsageIdade (padrão de configuração: 90). O valor real deve refletir as políticas da sua organização.
AC-2 (4)	Gerenciamento de contas | Ações de auditoria automatizadas	elasticsearch-logs-to-cloudwatch	Garanta a AmazonOpenSearchOs domínios de serviço têm registros de erros habilitados e transmitidos para a AmazonCloudWatchRegistros para retenção e resposta. Os registros de erros do domínio podem ajudar nas auditorias de segurança e acesso e podem ajudar a diagnosticar problemas de disponibilidade.
AC-2 (4)	Gerenciamento de contas | Ações de auditoria automatizadas	multi-region-cloudtrail-enabled	AWS CloudTrailregistrosAWSAções do Management Console e chamadas de API. Você pode identificar quais usuários e contas ligaramAWS, o endereço IP de origem de onde as chamadas foram feitas e quando as chamadas ocorreram. CloudTrailentregará arquivos de log de todosAWSRegiões para seu bucket do S3 se MULTI_REGION_CLOUD_TRAIL_ENABLED estiver ativado. Além disso, quandoAWSlança uma nova região,CloudTrailcriará a mesma trilha na nova região. Como resultado, você receberá arquivos de log contendo a atividade da API para a nova região sem realizar nenhuma ação.
AC-2 (4)	Gerenciamento de contas | Ações de auditoria automatizadas	opensearch-logs-to-cloudwatch	Garanta a AmazonOpenSearchOs domínios de serviço têm registros de erros habilitados e transmitidos para a AmazonCloudWatchRegistros para retenção e resposta. OpenSearchOs registros de erros do serviço podem ajudar nas auditorias de segurança e acesso e podem ajudar a diagnosticar problemas de disponibilidade.
AC-2 (4)	Gerenciamento de contas | Ações de auditoria automatizadas	cloud-trail-cloud-watch-registros habilitados	Use a AmazonCloudWatchpara coletar e gerenciar centralmente a atividade de eventos de registro. Inclusão deAWS CloudTrailos dados fornecem detalhes da atividade de chamadas de API em seuAWSconta.
AC-2 (4)	Gerenciamento de contas | Ações de auditoria automatizadas	habilitado para cloudtrail	AWS CloudTrailpode ajudar na não repúdio gravandoAWSAções do Management Console e chamadas de API. Você pode identificar os usuários eAWScontas que chamaram umAWSserviço, o endereço IP de origem onde as chamadas foram geradas e os horários das chamadas. Os detalhes dos dados capturados são vistos emAWS CloudTrailGravar conteúdo.
AC-2 (4)	Gerenciamento de contas | Ações de auditoria automatizadas	cloudtrail-s3 - eventos de dados habilitados	A coleta de eventos de dados do Simple Storage Service (Amazon S3) ajuda a detectar qualquer atividade anômala. Os detalhes incluemAWSinformações da conta que acessaram um bucket do Amazon S3, endereço IP e hora do evento.
AC-2 (4)	Gerenciamento de contas | Ações de auditoria automatizadas	rds-logging-enabled	Para ajudar com o registro e o monitoramento em seu ambiente, certifique-se de que o registro do Amazon Relational Database Service (Amazon RDS) esteja ativado. Com o registro do Amazon RDS, você pode capturar eventos como conexões, desconexões, consultas ou tabelas consultadas.
AC-2 (4)	Gerenciamento de contas | Ações de auditoria automatizadas	redshift-cluster-configuration-check	Para proteger os dados em repouso, certifique-se de que a criptografia esteja habilitada para seus clusters do Amazon Redshift. Você também deve garantir que as configurações necessárias sejam implantadas nos clusters do Amazon Redshift. O registro de auditoria deve estar habilitado para fornecer informações sobre conexões e atividades do usuário no banco de dados. Essa regra exige que um valor seja definido paraclusterDbEncrypted(Config Default: TRUE) e LoggingEnabled (Config Default: TRUE). Os valores reais devem refletir as políticas da sua organização.
AC-2 (4)	Gerenciamento de contas | Ações de auditoria automatizadas	s3-bucket-logging-enabled	O registro de acesso ao servidor do Amazon Simple Storage Service (Amazon S3) fornece um método para monitorar a rede em busca de possíveis eventos de segurança cibernética. Os eventos são monitorados por meio da captura de registros detalhados das solicitações feitas a um bucket do Amazon S3. Cada registro de registro de acesso fornece detalhes sobre uma única solicitação de acesso. Os detalhes incluem o solicitante, nome do bucket, hora da solicitação, ação da solicitação, status da resposta e um código de erro, se relevante.
AC-2 (12)	Gerenciamento de contas | Monitoramento de contas para uso atípico	guardduty-enabled-centralized	AmazôniaGuardDutypode ajudar a monitorar e detectar possíveis eventos de segurança cibernética usando feeds de inteligência de ameaças. Isso inclui listas de IPs maliciosos e aprendizado de máquina para identificar atividades inesperadas, não autorizadas e maliciosas em seuAWSAmbiente em nuvem.
AC-2	Gerenciamento de contas	iam-no-inline-policy-verifique	Garanta umAWSO usuário, a função ou o grupo do IAM (Identity and Access Management) não têm uma política em linha para controlar o acesso a sistemas e ativos.AWSrecomenda usar políticas gerenciadas em vez de políticas em linha. As políticas gerenciadas permitem reutilização, controle de versão e reversão, além de delegar o gerenciamento de permissões.
AC-2	Gerenciamento de contas	iam-policy-no-statements-with-full-access	Certifique-se de que as ações do IAM sejam restritas somente às ações necessárias. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio do menor privilégio e da separação de funções.
AC-2	Gerenciamento de contas	iam-customer-policy-blocked-kms - ações	AWSO Gerenciamento de Identidade e Acesso (IAM) pode ajudá-lo a incorporar os princípios de menor privilégio e separação de funções com permissões e autorizações de acesso, impedindo que as políticas contenham ações bloqueadas em todosAWSChaves do serviço de gerenciamento de chaves. Ter mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio do menor privilégio e da separação de deveres. Essa regra permite que você defina oblockedActionsPatternsparâmetro. (AWSValor fundamental das melhores práticas de segurança: kms:decrypt, kms:ReEncryptFrom). Os valores reais devem refletir as políticas da sua organização
AC-2	Gerenciamento de contas	iam-inline-policy-blocked-kms - ações	Garanta umAWSO usuário, a função ou o grupo do IAM (Identity and Access Management) não têm uma política embutida para permitir ações bloqueadas em todosAWSChaves do serviço de gerenciamento de chaves.AWSrecomenda usar políticas gerenciadas em vez de políticas em linha. As políticas gerenciadas permitem a reutilização, o controle de versões, a reversão e a delegação do gerenciamento de permissões. Essa regra permite que você defina oblockedActionsPatternsparâmetro. (AWSValor fundamental das melhores práticas de segurança: kms:decrypt, kms:ReEncryptFrom). Os valores reais devem refletir as políticas da sua organização.
AC-2	Gerenciamento de contas	iam-policy-no-statements-with-admin-access	AWSO Gerenciamento de Identidade e Acesso (IAM) pode ajudá-lo a incorporar os princípios de menor privilégio e separação de funções com permissões e autorizações de acesso, impedindo que as políticas contenham “Efeito”: “Permitir” com “Ação”: “*” em vez de “Recurso”: “*”. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio do menor privilégio e da separação de funções.
AC-2	Gerenciamento de contas	iam-user-group-membership-verifique	AWSO Gerenciamento de Identidade e Acesso (IAM) pode ajudar você a restringir as permissões e autorizações de acesso, garantindo que os usuários sejam membros de pelo menos um grupo. Permitir aos usuários mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio do menor privilégio e da separação de funções.
AC-2	Gerenciamento de contas	iam-user-unused-credentials-verifique	AWSO Gerenciamento de Identidade e Acesso (IAM) pode ajudá-lo com permissões e autorizações de acesso verificando as senhas e chaves de acesso do IAM que não são usadas por um período de tempo especificado. Se essas credenciais não utilizadas forem identificadas, você deverá desabilitar e/ou remover as credenciais, pois isso pode violar o princípio do menor privilégio. Essa regra exige que você defina um valor para omaxCredentialUsageIdade (padrão de configuração: 90). O valor real deve refletir as políticas da sua organização.
AC-3 (7)	Aplicação de acesso | Controle de acesso baseado em funções	autoscaling-launch-config-public-ip desativado	Se você configurar suas interfaces de rede com um endereço IP público, os recursos associados a essas interfaces de rede poderão ser acessados pela Internet. Os recursos do EC2 não devem ser acessíveis ao público, pois isso pode permitir acesso não intencional aos seus aplicativos ou servidores.
AC-3 (7)	Aplicação de acesso | Controle de acesso baseado em funções	ec2-imdsv2-check	Certifique-se de que o método Instance Metadata Service Versão 2 (IMDSv2) esteja ativado para ajudar a proteger o acesso e o controle dos metadados da instância do Amazon Elastic Compute Cloud (Amazon EC2). O método IMDSv2 usa controles baseados em sessão. Com o IMDSv2, os controles podem ser implementados para restringir as alterações nos metadados da instância.
AC-3 (7)	Aplicação de acesso | Controle de acesso baseado em funções	ec2-instance-profile-attached	Os perfis de instância do EC2 transmitem uma função do IAM para uma instância do EC2. Anexar um perfil de instância às suas instâncias pode ajudar no menor gerenciamento de privilégios e permissões.
AC-3 (7)	Aplicação de acesso | Controle de acesso baseado em funções	ecs-containers-readonly-access	Habilitar o acesso somente para leitura aos contêineres do Amazon Elastic Container Service (ECS) pode ajudar a cumprir o princípio do menor privilégio. Essa opção pode reduzir os vetores de ataque, pois o sistema de arquivos da instância do contêiner não pode ser modificado a menos que tenha permissões explícitas de leitura e gravação.
AC-3 (7)	Aplicação de acesso | Controle de acesso baseado em funções	ecs-task-definition-user-for-host-mode-check	Se uma definição de tarefa tem privilégios elevados, é porque o cliente optou especificamente por essas configurações. Esse controle verifica o aumento inesperado de privilégios quando uma definição de tarefa tem a rede do host habilitada, mas o cliente não optou por privilégios elevados.
AC-3 (7)	Aplicação de acesso | Controle de acesso baseado em funções	iam-no-inline-policy-verifique	Garanta umAWSO usuário, a função ou o grupo do IAM (Identity and Access Management) não têm uma política em linha para controlar o acesso a sistemas e ativos.AWSrecomenda usar políticas gerenciadas em vez de políticas em linha. As políticas gerenciadas permitem reutilização, controle de versão e reversão, além de delegar o gerenciamento de permissões.
AC-3 (7)	Aplicação de acesso | Controle de acesso baseado em funções	iam-policy-no-statements-with-full-access	Certifique-se de que as ações do IAM sejam restritas somente às ações necessárias. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio do menor privilégio e da separação de funções.
AC-3 (7)	Aplicação de acesso | Controle de acesso baseado em funções	ec2-instances-in-vpc	Implante instâncias do Amazon Elastic Compute Cloud (Amazon EC2) em uma Amazon Virtual Private Cloud (Amazon VPC) para permitir a comunicação segura entre uma instância e outros serviços dentro da Amazon VPC, sem exigir um gateway de internet, dispositivo NAT ou conexão VPN. Todo o tráfego permanece com segurança na Nuvem AWS. Devido ao isolamento lógico, os domínios que residem em um Amazon VPC têm uma camada extra de segurança quando comparados aos domínios que usam endpoints públicos. Atribua instâncias do Amazon EC2 a uma Amazon VPC para gerenciar adequadamente o acesso.
AC-3 (7)	Aplicação de acesso | Controle de acesso baseado em funções	ssm-document-not-public	GarantaAWSOs documentos do Systems Manager (SSM) não são públicos, pois isso pode permitir acesso não intencional aos seus documentos SSM. Um documento SSM público pode expor informações sobre sua conta, recursos e processos internos.
AC-3 (7)	Aplicação de acesso | Controle de acesso baseado em funções	dms-replication-not-public	Gerencie o acesso aoAWSNuvem, garantindo que as instâncias de replicação do DMS não possam ser acessadas publicamente. As instâncias de replicação do DMS podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
AC-3 (7)	Aplicação de acesso | Controle de acesso baseado em funções	ebs-snapshot-public-restorable-verifique	Gerencie o acesso aoAWSNuvem garantindo que os snapshots do EBS não possam ser restaurados publicamente. Os instantâneos de volume do EBS podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
AC-3 (7)	Aplicação de acesso | Controle de acesso baseado em funções	ec2-instance-no-public-ip	Gerencie o acesso aoAWSNuvem garantindo que as instâncias do Amazon Elastic Compute Cloud (Amazon EC2) não possam ser acessadas publicamente. As instâncias do Amazon EC2 podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
AC-3 (7)	Aplicação de acesso | Controle de acesso baseado em funções	elasticsearch-in-vpc-only	Gerencie o acesso aoAWSNuvem ao garantir a AmazonOpenSearchServiço (OpenSearch(Serviço) Os domínios estão dentro de uma Amazon Virtual Private Cloud (Amazon VPC). UmOpenSearchO domínio de serviço em um Amazon VPC permite a comunicação segura entreOpenSearchServiço e outros serviços dentro do Amazon VPC sem a necessidade de um gateway de internet, dispositivo NAT ou conexão VPN.
AC-3 (7)	Aplicação de acesso | Controle de acesso baseado em funções	emr-master-no-public-ip	Gerencie o acesso aoAWSNuvem, garantindo que os nós principais do cluster Amazon EMR não possam ser acessados publicamente. Os nós principais do cluster do Amazon EMR podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
AC-3 (7)	Aplicação de acesso | Controle de acesso baseado em funções	iam-customer-policy-blocked-kms - ações	AWSO Gerenciamento de Identidade e Acesso (IAM) pode ajudá-lo a incorporar os princípios de menor privilégio e separação de funções com permissões e autorizações de acesso, impedindo que as políticas contenham ações bloqueadas em todosAWSChaves do serviço de gerenciamento de chaves. Ter mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio do menor privilégio e da separação de deveres. Essa regra permite que você defina oblockedActionsPatternsparâmetro. (AWSValor fundamental das melhores práticas de segurança: kms:decrypt, kms:ReEncryptFrom). Os valores reais devem refletir as políticas da sua organização
AC-3 (7)	Aplicação de acesso | Controle de acesso baseado em funções	iam-inline-policy-blocked-kms - ações	Garanta umAWSO usuário, a função ou o grupo do IAM (Identity and Access Management) não têm uma política embutida para permitir ações bloqueadas em todosAWSChaves do serviço de gerenciamento de chaves.AWSrecomenda usar políticas gerenciadas em vez de políticas em linha. As políticas gerenciadas permitem a reutilização, o controle de versões, a reversão e a delegação do gerenciamento de permissões. Essa regra permite que você defina oblockedActionsPatternsparâmetro. (AWSValor fundamental das melhores práticas de segurança: kms:decrypt, kms:ReEncryptFrom). Os valores reais devem refletir as políticas da sua organização.
AC-3 (7)	Aplicação de acesso | Controle de acesso baseado em funções	iam-policy-no-statements-with-admin-access	AWSO Gerenciamento de Identidade e Acesso (IAM) pode ajudá-lo a incorporar os princípios de menor privilégio e separação de funções com permissões e autorizações de acesso, impedindo que as políticas contenham “Efeito”: “Permitir” com “Ação”: “*” em vez de “Recurso”: “*”. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio do menor privilégio e da separação de funções.
AC-3 (7)	Aplicação de acesso | Controle de acesso baseado em funções	iam-root-access-key-verifique	O acesso a sistemas e ativos pode ser controlado verificando se o usuário root não tem chaves de acesso anexadas aos seusAWSFunção de gerenciamento de identidade e acesso (IAM). Certifique-se de que as chaves de acesso root sejam excluídas. Em vez disso, crie e use com base em funçõesAWScontas para ajudar a incorporar o princípio da menor funcionalidade.
AC-3 (7)	Aplicação de acesso | Controle de acesso baseado em funções	iam-user-group-membership-verifique	AWSO Gerenciamento de Identidade e Acesso (IAM) pode ajudar você a restringir as permissões e autorizações de acesso, garantindo que os usuários sejam membros de pelo menos um grupo. Permitir aos usuários mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio do menor privilégio e da separação de funções.
AC-3 (7)	Aplicação de acesso | Controle de acesso baseado em funções	iam-user-unused-credentials-verifique	AWSO Gerenciamento de Identidade e Acesso (IAM) pode ajudá-lo com permissões e autorizações de acesso verificando as senhas e chaves de acesso do IAM que não são usadas por um período de tempo especificado. Se essas credenciais não utilizadas forem identificadas, você deverá desabilitar e/ou remover as credenciais, pois isso pode violar o princípio do menor privilégio. Essa regra exige que você defina um valor para omaxCredentialUsageIdade (padrão de configuração: 90). O valor real deve refletir as políticas da sua organização.
AC-3 (7)	Aplicação de acesso | Controle de acesso baseado em funções	lambda-function-public-access-proibido	Gerencie o acesso aos recursos noAWSNuvem, garantindoAWSAs funções do Lambda não podem ser acessadas publicamente. O acesso público pode potencialmente levar à degradação da disponibilidade de recursos.
AC-3 (7)	Aplicação de acesso | Controle de acesso baseado em funções	lambda-inside-vpc	ImplantarAWSO Lambda funciona em uma Amazon Virtual Private Cloud (Amazon VPC) para uma comunicação segura entre uma função e outros serviços dentro da Amazon VPC. Com essa configuração, não há necessidade de um gateway de Internet, dispositivo NAT ou conexão VPN. Todo o tráfego permanece seguro dentro doAWSNuvem. Devido ao isolamento lógico, os domínios que residem em um Amazon VPC têm uma camada extra de segurança quando comparados aos domínios que usam endpoints públicos. Para gerenciar adequadamente o acesso,AWSAs funções lambda devem ser atribuídas a uma VPC.
AC-3 (7)	Aplicação de acesso | Controle de acesso baseado em funções	opensearch-in-vpc-only	Gerencie o acesso aoAWSNuvem ao garantir a AmazonOpenSearchOs domínios de serviço estão dentro de uma Amazon Virtual Private Cloud (Amazon VPC). Uma AmazôniaOpenSearchO domínio de serviço em um Amazon VPC permite a comunicação segura entre a AmazonOpenSearchServiço e outros serviços dentro do Amazon VPC sem a necessidade de um gateway de internet, dispositivo NAT ou conexão VPN.
AC-3 (7)	Aplicação de acesso | Controle de acesso baseado em funções	rds-instance-public-access-verifique	Gerencie o acesso aos recursos noAWSNuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações confidenciais, e princípios e controle de acesso são necessários para essas contas.
AC-3 (7)	Aplicação de acesso | Controle de acesso baseado em funções	rds-snapshots-public-prohibited	Gerencie o acesso aos recursos noAWSNuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações e princípios confidenciais, e o controle de acesso é necessário para essas contas.
AC-3 (7)	Aplicação de acesso | Controle de acesso baseado em funções	redshift-cluster-public-access-verifique	Gerencie o acesso aos recursos noAWSNuvem garantindo que os clusters do Amazon Redshift não sejam públicos. Os clusters do Amazon Redshift podem conter informações e princípios confidenciais, e o controle de acesso é necessário para essas contas.
AC-3 (7)	Aplicação de acesso | Controle de acesso baseado em funções	s3-account-level-public-access-blocos periódicos	Gerencie o acesso aos recursos noAWSNuvem garantindo que os buckets do Amazon Simple Storage Service (Amazon S3) não possam ser acessados publicamente. Essa regra ajuda a manter os dados confidenciais protegidos de usuários remotos não autorizados, impedindo o acesso público. Essa regra permite que você defina opcionalmente oignorePublicAcls(Padrão de configuração: verdadeiro),blockPublicPolicy(Padrão de configuração: verdadeiro),blockPublicAcls(Config Default: True), erestrictPublicBucketsparâmetros (Config Default: True). Os valores reais devem refletir as políticas da sua organização.
AC-3 (7)	Aplicação de acesso | Controle de acesso baseado em funções	s3-bucket-level-public-access-proibido	Gerencie o acesso aos recursos noAWSNuvem garantindo que os buckets do Amazon Simple Storage Service (Amazon S3) não possam ser acessados publicamente. Essa regra ajuda a manter os dados confidenciais protegidos de usuários remotos não autorizados, impedindo o acesso público no nível do bucket.
AC-3 (7)	Aplicação de acesso | Controle de acesso baseado em funções	s3-bucket-public-read-prohibited	Gerencie o acesso aos recursos noAWSNuvem ao permitir que usuários, processos e dispositivos autorizados acessem apenas buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados.
AC-3 (7)	Aplicação de acesso | Controle de acesso baseado em funções	s3-bucket-public-write-prohibited	Gerencie o acesso aos recursos noAWSNuvem ao permitir que usuários, processos e dispositivos autorizados acessem apenas buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados.
AC-3 (7)	Aplicação de acesso | Controle de acesso baseado em funções	sagemaker-notebook-no-direct-acesso à internet	Gerencie o acesso aos recursos noAWSNuvem, garantindo que a AmazonSageMakeros notebooks não permitem acesso direto à internet. Ao impedir o acesso direto à Internet, você pode impedir que dados confidenciais sejam acessados por usuários não autorizados.
AC-3 (7)	Aplicação de acesso | Controle de acesso baseado em funções	subnet-auto-assign-public-ip desativado	Gerencie o acesso aoAWSNuvem garantindo que as sub-redes Amazon Virtual Private Cloud (VPC) não recebam automaticamente um endereço IP público. As instâncias do Amazon Elastic Compute Cloud (EC2) que são lançadas em sub-redes que têm esse atributo ativado têm um endereço IP público atribuído à sua interface de rede primária.
AC-3 (15)	Aplicação de acesso | Controle de acesso discricionário e obrigatório	ec2-imdsv2-check	Certifique-se de que o método Instance Metadata Service Versão 2 (IMDSv2) esteja ativado para ajudar a proteger o acesso e o controle dos metadados da instância do Amazon Elastic Compute Cloud (Amazon EC2). O método IMDSv2 usa controles baseados em sessão. Com o IMDSv2, os controles podem ser implementados para restringir as alterações nos metadados da instância.
AC-3 (15)	Aplicação de acesso | Controle de acesso discricionário e obrigatório	ec2-instance-profile-attached	Os perfis de instância do EC2 transmitem uma função do IAM para uma instância do EC2. Anexar um perfil de instância às suas instâncias pode ajudar no menor gerenciamento de privilégios e permissões.
AC-3 (15)	Aplicação de acesso | Controle de acesso discricionário e obrigatório	ecs-containers-readonly-access	Habilitar o acesso somente para leitura aos contêineres do Amazon Elastic Container Service (ECS) pode ajudar a cumprir o princípio do menor privilégio. Essa opção pode reduzir os vetores de ataque, pois o sistema de arquivos da instância do contêiner não pode ser modificado a menos que tenha permissões explícitas de leitura e gravação.
AC-3 (15)	Aplicação de acesso | Controle de acesso discricionário e obrigatório	ecs-task-definition-user-for-host-mode-check	Se uma definição de tarefa tem privilégios elevados, é porque o cliente optou especificamente por essas configurações. Esse controle verifica o aumento inesperado de privilégios quando uma definição de tarefa tem a rede do host habilitada, mas o cliente não optou por privilégios elevados.
AC-3 (15)	Aplicação de acesso | Controle de acesso discricionário e obrigatório	iam-no-inline-policy-verifique	Garanta umAWSO usuário, a função ou o grupo do IAM (Identity and Access Management) não têm uma política em linha para controlar o acesso a sistemas e ativos.AWSrecomenda usar políticas gerenciadas em vez de políticas em linha. As políticas gerenciadas permitem reutilização, controle de versão e reversão, além de delegar o gerenciamento de permissões.
AC-3 (15)	Aplicação de acesso | Controle de acesso discricionário e obrigatório	iam-policy-no-statements-with-full-access	Certifique-se de que as ações do IAM sejam restritas somente às ações necessárias. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio do menor privilégio e da separação de funções.
AC-3 (15)	Aplicação de acesso | Controle de acesso discricionário e obrigatório	access-keys-rotated	As credenciais são auditadas para dispositivos, usuários e processos autorizados, garantindo que as chaves de acesso do IAM sejam alternadas de acordo com a política organizacional. Alterar as chaves de acesso regularmente é uma prática recomendada de segurança. Isso reduz o período em que uma chave de acesso está ativa e reduz o impacto nos negócios se as chaves forem comprometidas. Essa regra exige um valor de rotação da chave de acesso (padrão de configuração: 90). O valor real deve refletir as políticas da sua organização.
AC-3 (15)	Aplicação de acesso | Controle de acesso discricionário e obrigatório	iam-customer-policy-blocked-kms - ações	AWSO Gerenciamento de Identidade e Acesso (IAM) pode ajudá-lo a incorporar os princípios de menor privilégio e separação de funções com permissões e autorizações de acesso, impedindo que as políticas contenham ações bloqueadas em todosAWSChaves do serviço de gerenciamento de chaves. Ter mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio do menor privilégio e da separação de deveres. Essa regra permite que você defina oblockedActionsPatternsparâmetro. (AWSValor fundamental das melhores práticas de segurança: kms:decrypt, kms:ReEncryptFrom). Os valores reais devem refletir as políticas da sua organização
AC-3 (15)	Aplicação de acesso | Controle de acesso discricionário e obrigatório	iam-inline-policy-blocked-kms - ações	Garanta umAWSO usuário, a função ou o grupo do IAM (Identity and Access Management) não têm uma política embutida para permitir ações bloqueadas em todosAWSChaves do serviço de gerenciamento de chaves.AWSrecomenda usar políticas gerenciadas em vez de políticas em linha. As políticas gerenciadas permitem a reutilização, o controle de versões, a reversão e a delegação do gerenciamento de permissões. Essa regra permite que você defina oblockedActionsPatternsparâmetro. (AWSValor fundamental das melhores práticas de segurança: kms:decrypt, kms:ReEncryptFrom). Os valores reais devem refletir as políticas da sua organização.
AC-3 (15)	Aplicação de acesso | Controle de acesso discricionário e obrigatório	iam-password-policy	As identidades e as credenciais são emitidas, gerenciadas e verificadas com base em uma política de senha organizacional do IAM. Eles atendem ou excedem os requisitos, conforme declarado pelo NIST SP 800-63 e peloAWSPadrão básico de melhores práticas de segurança para a segurança da senha. Essa regra permite que você defina opcionalmenteRequireUppercaseCharacters(AWSAs melhores práticas básicas de segurança (valor: verdadeiro),RequireLowercaseCharacters(AWSAs melhores práticas básicas de segurança (valor: verdadeiro),RequireSymbols(AWSAs melhores práticas básicas de segurança (valor: verdadeiro),RequireNumbers(AWSAs melhores práticas básicas de segurança (valor: verdadeiro),MinimumPasswordLength(AWSValor fundamental das melhores práticas de segurança: 14),PasswordReusePrevention(AWSValor fundamental das melhores práticas de segurança: 24) eMaxPasswordAge(AWSValor fundamental das melhores práticas de segurança: 90) para sua política de senha do IAM. Os valores reais devem refletir as políticas da sua organização.
AC-3 (15)	Aplicação de acesso | Controle de acesso discricionário e obrigatório	iam-policy-no-statements-with-admin-access	AWSO Gerenciamento de Identidade e Acesso (IAM) pode ajudá-lo a incorporar os princípios de menor privilégio e separação de funções com permissões e autorizações de acesso, impedindo que as políticas contenham “Efeito”: “Permitir” com “Ação”: “*” em vez de “Recurso”: “*”. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio do menor privilégio e da separação de funções.
AC-3 (15)	Aplicação de acesso | Controle de acesso discricionário e obrigatório	iam-root-access-key-verifique	O acesso a sistemas e ativos pode ser controlado verificando se o usuário root não tem chaves de acesso anexadas aos seusAWSFunção de gerenciamento de identidade e acesso (IAM). Certifique-se de que as chaves de acesso root sejam excluídas. Em vez disso, crie e use com base em funçõesAWScontas para ajudar a incorporar o princípio da menor funcionalidade.
AC-3 (15)	Aplicação de acesso | Controle de acesso discricionário e obrigatório	iam-user-group-membership-verifique	AWSO Gerenciamento de Identidade e Acesso (IAM) pode ajudar você a restringir as permissões e autorizações de acesso, garantindo que os usuários sejam membros de pelo menos um grupo. Permitir aos usuários mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio do menor privilégio e da separação de funções.
AC-3 (15)	Aplicação de acesso | Controle de acesso discricionário e obrigatório	iam-user-mfa-enabled	Ative essa regra para restringir o acesso aos recursos noAWSNuvem. Essa regra garante que a autenticação multifator (MFA) esteja habilitada para todos os usuários. A MFA adiciona uma camada extra de proteção às credenciais de login. Reduza os incidentes de contas comprometidas exigindo MFA para os usuários.
AC-3 (15)	Aplicação de acesso | Controle de acesso discricionário e obrigatório	iam-user-unused-credentials-verifique	AWSO Gerenciamento de Identidade e Acesso (IAM) pode ajudá-lo com permissões e autorizações de acesso verificando as senhas e chaves de acesso do IAM que não são usadas por um período de tempo especificado. Se essas credenciais não utilizadas forem identificadas, você deverá desabilitar e/ou remover as credenciais, pois isso pode violar o princípio do menor privilégio. Essa regra exige que você defina um valor para omaxCredentialUsageIdade (padrão de configuração: 90). O valor real deve refletir as políticas da sua organização.
AC-3 (15)	Aplicação de acesso | Controle de acesso discricionário e obrigatório	mfa-enabled-for-iam-acesso ao console	Gerencie o acesso aos recursos noAWSNuvem, garantindo que a MFA esteja habilitada para todosAWSUsuários do Gerenciamento de Identidade e Acesso (IAM) que têm uma senha de console. A MFA adiciona uma camada extra de proteção às credenciais de login. Ao exigir a MFA para os usuários, você pode reduzir os incidentes de contas comprometidas e impedir que dados confidenciais sejam acessados por usuários não autorizados.
AC-3 (15)	Aplicação de acesso | Controle de acesso discricionário e obrigatório	root-account-hardware-mfa-ativado	Gerencie o acesso aos recursos noAWSNuvem, garantindo que a MFA de hardware esteja habilitada para o usuário root. O usuário root é o usuário mais privilegiado em umAWSconta. O MFA adiciona uma camada extra de proteção às credenciais de login. Ao exigir MFA para o usuário root, você pode reduzir os incidentes de comprometimentoAWScontas.
AC-3 (15)	Aplicação de acesso | Controle de acesso discricionário e obrigatório	root-account-mfa-enabled	Gerencie o acesso aos recursos noAWSNuvem, garantindo que o MFA esteja habilitado para o usuário root. O usuário root é o usuário mais privilegiado em umAWSconta. O MFA adiciona uma camada extra de proteção às credenciais de login. Ao exigir MFA para o usuário root, você pode reduzir os incidentes de comprometimentoAWScontas.
AC-3 (15)	Aplicação de acesso | Controle de acesso discricionário e obrigatório	secretsmanager-rotation-enabled-check	Esta regra garanteAWSOs segredos do Secrets Manager têm a rotação ativada. A rotação de segredos em um cronograma regular pode reduzir o período em que um segredo está ativo e, potencialmente, reduzir o impacto nos negócios se o segredo for comprometido.
AC-3	Aplicação do acesso	autoscaling-launch-config-public-ip desativado	Se você configurar suas interfaces de rede com um endereço IP público, os recursos associados a essas interfaces de rede poderão ser acessados pela Internet. Os recursos do EC2 não devem ser acessíveis ao público, pois isso pode permitir acesso não intencional aos seus aplicativos ou servidores.
AC-3	Aplicação do acesso	ec2-imdsv2-check	Certifique-se de que o método Instance Metadata Service Versão 2 (IMDSv2) esteja ativado para ajudar a proteger o acesso e o controle dos metadados da instância do Amazon Elastic Compute Cloud (Amazon EC2). O método IMDSv2 usa controles baseados em sessão. Com o IMDSv2, os controles podem ser implementados para restringir as alterações nos metadados da instância.
AC-3	Aplicação do acesso	ec2-instance-profile-attached	Os perfis de instância do EC2 transmitem uma função do IAM para uma instância do EC2. Anexar um perfil de instância às suas instâncias pode ajudar no menor gerenciamento de privilégios e permissões.
AC-3	Aplicação do acesso	ecs-containers-readonly-access	Habilitar o acesso somente para leitura aos contêineres do Amazon Elastic Container Service (ECS) pode ajudar a cumprir o princípio do menor privilégio. Essa opção pode reduzir os vetores de ataque, pois o sistema de arquivos da instância do contêiner não pode ser modificado a menos que tenha permissões explícitas de leitura e gravação.
AC-3	Aplicação do acesso	ecs-task-definition-user-for-host-mode-check	Se uma definição de tarefa tem privilégios elevados, é porque o cliente optou especificamente por essas configurações. Esse controle verifica o aumento inesperado de privilégios quando uma definição de tarefa tem a rede do host habilitada, mas o cliente não optou por privilégios elevados.
AC-3	Aplicação do acesso	iam-no-inline-policy-verifique	Garanta umAWSO usuário, a função ou o grupo do IAM (Identity and Access Management) não têm uma política em linha para controlar o acesso a sistemas e ativos.AWSrecomenda usar políticas gerenciadas em vez de políticas em linha. As políticas gerenciadas permitem reutilização, controle de versão e reversão, além de delegar o gerenciamento de permissões.
AC-3	Aplicação do acesso	iam-policy-no-statements-with-full-access	Certifique-se de que as ações do IAM sejam restritas somente às ações necessárias. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio do menor privilégio e da separação de funções.
AC-3	Aplicação do acesso	ssm-document-not-public	GarantaAWSOs documentos do Systems Manager (SSM) não são públicos, pois isso pode permitir acesso não intencional aos seus documentos SSM. Um documento SSM público pode expor informações sobre sua conta, recursos e processos internos.
AC-3	Aplicação do acesso	dms-replication-not-public	Gerencie o acesso aoAWSNuvem, garantindo que as instâncias de replicação do DMS não possam ser acessadas publicamente. As instâncias de replicação do DMS podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
AC-3	Aplicação do acesso	ebs-snapshot-public-restorable-verifique	Gerencie o acesso aoAWSNuvem garantindo que os snapshots do EBS não possam ser restaurados publicamente. Os instantâneos de volume do EBS podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
AC-3	Aplicação do acesso	ec2-instance-no-public-ip	Gerencie o acesso aoAWSNuvem garantindo que as instâncias do Amazon Elastic Compute Cloud (Amazon EC2) não possam ser acessadas publicamente. As instâncias do Amazon EC2 podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
AC-3	Fiscalização de acesso	elasticsearch-in-vpc-only	Gerencie o acesso aoAWSNuvem ao garantir a AmazonOpenSearchServiço (OpenSearch(Serviço) Os domínios estão dentro de uma Amazon Virtual Private Cloud (Amazon VPC). UmOpenSearchO domínio de serviço em um Amazon VPC permite a comunicação segura entreOpenSearchServiço e outros serviços dentro do Amazon VPC sem a necessidade de um gateway de internet, dispositivo NAT ou conexão VPN.
AC-3	Fiscalização de acesso	emr-master-no-public-ip	Gerencie o acesso aoAWSNuvem, garantindo que os nós principais do cluster Amazon EMR não possam ser acessados publicamente. Os nós principais do cluster do Amazon EMR podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
AC-3	Fiscalização de acesso	iam-customer-policy-blocked-kms - ações	AWSO Gerenciamento de Identidade e Acesso (IAM) pode ajudá-lo a incorporar os princípios de menor privilégio e separação de funções com permissões e autorizações de acesso, impedindo que as políticas contenham ações bloqueadas em todosAWSChaves do serviço de gerenciamento de chaves. Ter mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio do menor privilégio e da separação de deveres. Essa regra permite que você defina oblockedActionsPatternsparâmetro. (AWSValor fundamental das melhores práticas de segurança: kms:decrypt, kms:ReEncryptFrom). Os valores reais devem refletir as políticas da sua organização
AC-3	Fiscalização de acesso	iam-inline-policy-blocked-kms - ações	Garanta umAWSO usuário, a função ou o grupo do IAM (Identity and Access Management) não têm uma política embutida para permitir ações bloqueadas em todosAWSChaves do serviço de gerenciamento de chaves.AWSrecomenda usar políticas gerenciadas em vez de políticas em linha. As políticas gerenciadas permitem a reutilização, o controle de versões, a reversão e a delegação do gerenciamento de permissões. Essa regra permite que você defina oblockedActionsPatternsparâmetro. (AWSValor fundamental das melhores práticas de segurança: kms:decrypt, kms:ReEncryptFrom). Os valores reais devem refletir as políticas da sua organização.
AC-3	Fiscalização de acesso	iam-policy-no-statements-with-admin-access	AWSO Gerenciamento de Identidade e Acesso (IAM) pode ajudá-lo a incorporar os princípios de menor privilégio e separação de funções com permissões e autorizações de acesso, impedindo que as políticas contenham “Efeito”: “Permitir” com “Ação”: “*” em vez de “Recurso”: “*”. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio do menor privilégio e da separação de funções.
AC-3	Fiscalização de acesso	iam-user-group-membership-verifique	AWSO Gerenciamento de Identidade e Acesso (IAM) pode ajudar você a restringir as permissões e autorizações de acesso, garantindo que os usuários sejam membros de pelo menos um grupo. Permitir aos usuários mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio do menor privilégio e da separação de funções.
AC-3	Fiscalização de acesso	iam-user-unused-credentials-verifique	AWSO Gerenciamento de Identidade e Acesso (IAM) pode ajudá-lo com permissões e autorizações de acesso verificando as senhas e chaves de acesso do IAM que não são usadas por um período de tempo especificado. Se essas credenciais não utilizadas forem identificadas, você deverá desabilitar e/ou remover as credenciais, pois isso pode violar o princípio do menor privilégio. Essa regra exige que você defina um valor para omaxCredentialUsageIdade (padrão de configuração: 90). O valor real deve refletir as políticas da sua organização.
AC-3	Fiscalização de acesso	lambda-function-public-access-proibido	Gerencie o acesso aos recursos noAWSNuvem, garantindoAWSAs funções do Lambda não podem ser acessadas publicamente. O acesso público pode potencialmente levar à degradação da disponibilidade de recursos.
AC-3	Fiscalização de acesso	lambda-inside-vpc	ImplantarAWSO Lambda funciona em uma Amazon Virtual Private Cloud (Amazon VPC) para uma comunicação segura entre uma função e outros serviços dentro da Amazon VPC. Com essa configuração, não há necessidade de um gateway de Internet, dispositivo NAT ou conexão VPN. Todo o tráfego permanece seguro dentro doAWSNuvem. Devido ao isolamento lógico, os domínios que residem em um Amazon VPC têm uma camada extra de segurança quando comparados aos domínios que usam endpoints públicos. Para gerenciar adequadamente o acesso,AWSAs funções lambda devem ser atribuídas a uma VPC.
AC-3	Fiscalização de acesso	opensearch-in-vpc-only	Gerencie o acesso aoAWSNuvem ao garantir a AmazonOpenSearchOs domínios de serviço estão dentro de uma Amazon Virtual Private Cloud (Amazon VPC). Uma AmazôniaOpenSearchO domínio de serviço em um Amazon VPC permite a comunicação segura entre a AmazonOpenSearchServiço e outros serviços dentro do Amazon VPC sem a necessidade de um gateway de internet, dispositivo NAT ou conexão VPN.
AC-3	Fiscalização de acesso	rds-instance-public-access-verifique	Gerencie o acesso aos recursos noAWSNuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações confidenciais, e princípios e controle de acesso são necessários para essas contas.
AC-3	Fiscalização de acesso	rds-snapshots-public-prohibited	Gerencie o acesso aos recursos noAWSNuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações e princípios confidenciais, e o controle de acesso é necessário para essas contas.
AC-3	Fiscalização de acesso	redshift-cluster-public-access-verifique	Gerencie o acesso aos recursos noAWSNuvem garantindo que os clusters do Amazon Redshift não sejam públicos. Os clusters do Amazon Redshift podem conter informações e princípios confidenciais, e o controle de acesso é necessário para essas contas.
AC-3	Fiscalização de acesso	s3-account-level-public-access-blocos periódicos	Gerencie o acesso aos recursos noAWSNuvem garantindo que os buckets do Amazon Simple Storage Service (Amazon S3) não possam ser acessados publicamente. Essa regra ajuda a manter os dados confidenciais protegidos de usuários remotos não autorizados, impedindo o acesso público. Essa regra permite que você defina opcionalmente oignorePublicAcls(Padrão de configuração: verdadeiro),blockPublicPolicy(Padrão de configuração: verdadeiro),blockPublicAcls(Config Default: True), erestrictPublicBucketsparâmetros (Config Default: True). Os valores reais devem refletir as políticas da sua organização.
AC-3	Fiscalização de acesso	s3-bucket-level-public-access-proibido	Gerencie o acesso aos recursos noAWSNuvem garantindo que os buckets do Amazon Simple Storage Service (Amazon S3) não possam ser acessados publicamente. Essa regra ajuda a manter os dados confidenciais protegidos de usuários remotos não autorizados, impedindo o acesso público no nível do bucket.
AC-3	Fiscalização de acesso	s3-bucket-public-read-prohibited	Gerencie o acesso aos recursos noAWSNuvem ao permitir que usuários, processos e dispositivos autorizados acessem apenas buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados.
AC-3	Fiscalização de acesso	s3-bucket-public-write-prohibited	Gerencie o acesso aos recursos noAWSNuvem ao permitir que usuários, processos e dispositivos autorizados acessem apenas buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados.
AC-3	Fiscalização de acesso	sagemaker-notebook-no-direct-acesso à internet	Gerencie o acesso aos recursos noAWSNuvem, garantindo que a AmazonSageMakeros notebooks não permitem acesso direto à internet. Ao impedir o acesso direto à Internet, você pode impedir que dados confidenciais sejam acessados por usuários não autorizados.
AC-3	Fiscalização de acesso	subnet-auto-assign-public-ip desativado	Gerencie o acesso aoAWSNuvem garantindo que as sub-redes Amazon Virtual Private Cloud (VPC) não recebam automaticamente um endereço IP público. As instâncias do Amazon Elastic Compute Cloud (EC2) que são lançadas em sub-redes que têm esse atributo ativado têm um endereço IP público atribuído à sua interface de rede primária.
AC-4 (21)	Aplicação do fluxo de informações | Separação física ou lógica dos fluxos de informações	alb-waf-enabled	GarantaAWSO WAF está habilitado nos Elastic Load Balancers (ELB) para ajudar a proteger aplicativos da web. Um WAF ajuda a proteger seus aplicativos ou APIs da web contra explorações comuns da web. Essas explorações na web podem afetar a disponibilidade, comprometer a segurança ou consumir recursos excessivos em seu ambiente.
AC-4 (21)	Aplicação do fluxo de informações | Separação física ou lógica dos fluxos de informações	api-gw-associated-with-guerra	AWSO WAF permite que você configure um conjunto de regras (chamado de lista de controle de acesso à web (ACL da web)) que permitem, bloqueiam ou contam solicitações da Web com base nas regras e condições de segurança da Web personalizáveis que você define. Certifique-se de que seu estágio do Amazon API Gateway esteja associado a uma WAF Web ACL para protegê-lo contra ataques maliciosos
AC-4 (21)	Aplicação do fluxo de informações | Separação física ou lógica dos fluxos de informações	autoscaling-launch-config-public-ip desativado	Se você configurar suas interfaces de rede com um endereço IP público, os recursos associados a essas interfaces de rede poderão ser acessados pela Internet. Os recursos do EC2 não devem ser acessíveis ao público, pois isso pode permitir acesso não intencional aos seus aplicativos ou servidores.
AC-4 (21)	Aplicação do fluxo de informações | Separação física ou lógica dos fluxos de informações	ssh restrito	Os grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2) podem ajudar a gerenciar o acesso à rede fornecendo filtragem de estado do tráfego de entrada e saída da rede paraAWSrecursos. Não permitir tráfego de entrada (ou remoto) de 0.0.0.0/0 para a porta 22 em seus recursos ajuda a restringir o acesso remoto.
AC-4 (21)	Aplicação do fluxo de informações | Separação física ou lógica dos fluxos de informações	ec2-instances-in-vpc	Implante instâncias do Amazon Elastic Compute Cloud (Amazon EC2) em uma Amazon Virtual Private Cloud (Amazon VPC) para permitir a comunicação segura entre uma instância e outros serviços dentro da Amazon VPC, sem exigir um gateway de internet, dispositivo NAT ou conexão VPN. Todo o tráfego permanece com segurança na Nuvem AWS. Devido ao isolamento lógico, os domínios que residem em um Amazon VPC têm uma camada extra de segurança quando comparados aos domínios que usam endpoints públicos. Atribua instâncias do Amazon EC2 a uma Amazon VPC para gerenciar adequadamente o acesso.
AC-4 (21)	Aplicação do fluxo de informações | Separação física ou lógica dos fluxos de informações	no-unrestricted-route-to-igw	Certifique-se de que as tabelas de rotas do Amazon EC2 não tenham rotas irrestritas para um gateway da Internet. Remover ou limitar o acesso à Internet para cargas de trabalho nas Amazon VPCs pode reduzir o acesso não intencional em seu ambiente.
AC-4 (21)	Aplicação do fluxo de informações | Separação física ou lógica dos fluxos de informações	redshift-enhanced-vpc-routing-ativado	O roteamento aprimorado da VPC força todo o tráfego COPY e UNLOAD entre o cluster e os repositórios de dados a passar pelo Amazon VPC. Em seguida, você pode usar os recursos da VPC, como grupos de segurança e listas de controle de acesso à rede, para proteger o tráfego da rede. Você também pode usar os registros de fluxo da VPC para monitorar o tráfego da rede.
AC-4 (21)	Aplicação do fluxo de informações | Separação física ou lógica dos fluxos de informações	ssm-document-not-public	GarantaAWSOs documentos do Systems Manager (SSM) não são públicos, pois isso pode permitir acesso não intencional aos seus documentos SSM. Um documento SSM público pode expor informações sobre sua conta, recursos e processos internos.
AC-4 (21)	Aplicação do fluxo de informações | Separação física ou lógica dos fluxos de informações	dms-replication-not-public	Gerencie o acesso aoAWSNuvem, garantindo que as instâncias de replicação do DMS não possam ser acessadas publicamente. As instâncias de replicação do DMS podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
AC-4 (21)	Aplicação do fluxo de informações | Separação física ou lógica dos fluxos de informações	ebs-snapshot-public-restorable-verifique	Gerencie o acesso aoAWSNuvem garantindo que os snapshots do EBS não possam ser restaurados publicamente. Os instantâneos de volume do EBS podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
AC-4 (21)	Aplicação do fluxo de informações | Separação física ou lógica dos fluxos de informações	ec2-instance-no-public-ip	Gerencie o acesso aoAWSNuvem garantindo que as instâncias do Amazon Elastic Compute Cloud (Amazon EC2) não possam ser acessadas publicamente. As instâncias do Amazon EC2 podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
AC-4 (21)	Aplicação do fluxo de informações | Separação física ou lógica dos fluxos de informações	elasticsearch-in-vpc-only	Gerencie o acesso aoAWSNuvem ao garantir a AmazonOpenSearchServiço (OpenSearch(Serviço) Os domínios estão dentro de uma Amazon Virtual Private Cloud (Amazon VPC). UmOpenSearchO domínio de serviço em um Amazon VPC permite a comunicação segura entreOpenSearchServiço e outros serviços dentro do Amazon VPC sem a necessidade de um gateway de internet, dispositivo NAT ou conexão VPN.
AC-4 (21)	Aplicação do fluxo de informações | Separação física ou lógica dos fluxos de informações	emr-master-no-public-ip	Gerencie o acesso aoAWSNuvem, garantindo que os nós principais do cluster Amazon EMR não possam ser acessados publicamente. Os nós principais do cluster do Amazon EMR podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
AC-4 (21)	Aplicação do fluxo de informações | Separação física ou lógica dos fluxos de informações	lambda-function-public-access-proibido	Gerencie o acesso aos recursos noAWSNuvem, garantindoAWSAs funções do Lambda não podem ser acessadas publicamente. O acesso público pode potencialmente levar à degradação da disponibilidade de recursos.
AC-4 (21)	Aplicação do fluxo de informações | Separação física ou lógica dos fluxos de informações	lambda-inside-vpc	ImplantarAWSO Lambda funciona em uma Amazon Virtual Private Cloud (Amazon VPC) para uma comunicação segura entre uma função e outros serviços dentro da Amazon VPC. Com essa configuração, não há necessidade de um gateway de Internet, dispositivo NAT ou conexão VPN. Todo o tráfego permanece seguro dentro doAWSNuvem. Devido ao isolamento lógico, os domínios que residem em um Amazon VPC têm uma camada extra de segurança quando comparados aos domínios que usam endpoints públicos. Para gerenciar adequadamente o acesso,AWSAs funções lambda devem ser atribuídas a uma VPC.
AC-4 (21)	Aplicação do fluxo de informações | Separação física ou lógica dos fluxos de informações	opensearch-in-vpc-only	Gerencie o acesso aoAWSNuvem ao garantir a AmazonOpenSearchOs domínios de serviço estão dentro de uma Amazon Virtual Private Cloud (Amazon VPC). Uma AmazôniaOpenSearchO domínio de serviço em um Amazon VPC permite a comunicação segura entre a AmazonOpenSearchServiço e outros serviços dentro do Amazon VPC sem a necessidade de um gateway de internet, dispositivo NAT ou conexão VPN.
AC-4 (21)	Aplicação do fluxo de informações | Separação física ou lógica dos fluxos de informações	rds-instance-public-access-verifique	Gerencie o acesso aos recursos noAWSNuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações confidenciais, e princípios e controle de acesso são necessários para essas contas.
AC-4 (21)	Aplicação do fluxo de informações | Separação física ou lógica dos fluxos de informações	rds-snapshots-public-prohibited	Gerencie o acesso aos recursos noAWSNuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações e princípios confidenciais, e o controle de acesso é necessário para essas contas.
AC-4 (21)	Aplicação do fluxo de informações | Separação física ou lógica dos fluxos de informações	redshift-cluster-public-access-verifique	Gerencie o acesso aos recursos noAWSNuvem garantindo que os clusters do Amazon Redshift não sejam públicos. Os clusters do Amazon Redshift podem conter informações e princípios confidenciais, e o controle de acesso é necessário para essas contas.
AC-4 (21)	Aplicação do fluxo de informações | Separação física ou lógica dos fluxos de informações	restricted-common-ports	Gerencie o acesso aos recursos noAWSNuvem garantindo que as portas comuns sejam restritas nos grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2). Não restringir o acesso às portas a fontes confiáveis pode levar a ataques contra a disponibilidade, integridade e confidencialidade dos sistemas. Essa regra permite que você defina opcionalmente os parâmetros BlockedPort1 - BlockedPort5 (padrões de configuração: 20,21,3389,3306,4333). Os valores reais devem refletir as políticas da sua organização.
AC-4 (21)	Aplicação do fluxo de informações | Separação física ou lógica dos fluxos de informações	s3-account-level-public-access-blocos periódicos	Gerencie o acesso aos recursos noAWSNuvem garantindo que os buckets do Amazon Simple Storage Service (Amazon S3) não possam ser acessados publicamente. Essa regra ajuda a manter os dados confidenciais protegidos de usuários remotos não autorizados, impedindo o acesso público. Essa regra permite que você defina opcionalmente oignorePublicAcls(Padrão de configuração: verdadeiro),blockPublicPolicy(Padrão de configuração: verdadeiro),blockPublicAcls(Config Default: True), erestrictPublicBucketsparâmetros (Config Default: True). Os valores reais devem refletir as políticas da sua organização.
AC-4 (21)	Aplicação do fluxo de informações | Separação física ou lógica dos fluxos de informações	s3-bucket-level-public-access-proibido	Gerencie o acesso aos recursos noAWSNuvem garantindo que os buckets do Amazon Simple Storage Service (Amazon S3) não possam ser acessados publicamente. Essa regra ajuda a manter os dados confidenciais protegidos de usuários remotos não autorizados, impedindo o acesso público no nível do bucket.
AC-4 (21)	Aplicação do fluxo de informações | Separação física ou lógica dos fluxos de informações	s3-bucket-public-read-prohibited	Gerencie o acesso aos recursos noAWSNuvem ao permitir que usuários, processos e dispositivos autorizados acessem apenas buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados.
AC-4 (21)	Aplicação do fluxo de informações | Separação física ou lógica dos fluxos de informações	s3-bucket-public-write-prohibited	Gerencie o acesso aos recursos noAWSNuvem ao permitir que usuários, processos e dispositivos autorizados acessem apenas buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados.
AC-4 (21)	Aplicação do fluxo de informações | Separação física ou lógica dos fluxos de informações	sagemaker-notebook-no-direct-acesso à internet	Gerencie o acesso aos recursos noAWSNuvem, garantindo que a AmazonSageMakeros notebooks não permitem acesso direto à internet. Ao impedir o acesso direto à Internet, você pode impedir que dados confidenciais sejam acessados por usuários não autorizados.
AC-4 (21)	Aplicação do fluxo de informações | Separação física ou lógica dos fluxos de informações	subnet-auto-assign-public-ip desativado	Gerencie o acesso aoAWSNuvem garantindo que as sub-redes Amazon Virtual Private Cloud (VPC) não recebam automaticamente um endereço IP público. As instâncias do Amazon Elastic Compute Cloud (EC2) que são lançadas em sub-redes que têm esse atributo ativado têm um endereço IP público atribuído à sua interface de rede primária.
AC-4 (21)	Aplicação do fluxo de informações | Separação física ou lógica dos fluxos de informações	vpc-default-security-group-fechado	Os grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2) podem ajudar no gerenciamento do acesso à rede fornecendo filtragem de estado do tráfego de entrada e saída da rede paraAWSrecursos. Restringir todo o tráfego no grupo de segurança padrão ajuda a restringir o acesso remoto ao seuAWSrecursos.
AC-4 (21)	Aplicação do fluxo de informações | Separação física ou lógica dos fluxos de informações	vpc-sg-open-only-to-authorized-ports	Gerencie o acesso aos recursos noAWSNuvem garantindo que as portas comuns sejam restritas nos grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2). Não restringir o acesso às portas a fontes confiáveis pode levar a ataques contra a disponibilidade, integridade e confidencialidade dos sistemas. Ao restringir o acesso a recursos dentro de um grupo de segurança da Internet (0.0.0.0/0), o acesso remoto pode ser controlado aos sistemas internos.
AC-4 (26)	Aplicação do fluxo de informações | Ações de filtragem de auditoria	elasticsearch-logs-to-cloudwatch	Garanta a AmazonOpenSearchOs domínios de serviço têm registros de erros habilitados e transmitidos para a AmazonCloudWatchRegistros para retenção e resposta. Os registros de erros do domínio podem ajudar nas auditorias de segurança e acesso e podem ajudar a diagnosticar problemas de disponibilidade.
AC-4 (26)	Aplicação do fluxo de informações | Ações de filtragem de auditoria	multi-region-cloudtrail-enabled	AWS CloudTrailregistrosAWSAções do Management Console e chamadas de API. Você pode identificar quais usuários e contas ligaramAWS, o endereço IP de origem de onde as chamadas foram feitas e quando as chamadas ocorreram. CloudTrailentregará arquivos de log de todosAWSRegiões para seu bucket do S3 se MULTI_REGION_CLOUD_TRAIL_ENABLED estiver ativado. Além disso, quandoAWSlança uma nova região,CloudTrailcriará a mesma trilha na nova região. Como resultado, você receberá arquivos de log contendo a atividade da API para a nova região sem realizar nenhuma ação.
AC-4 (26)	Aplicação do fluxo de informações | Ações de filtragem de auditoria	opensearch-logs-to-cloudwatch	Garanta a AmazonOpenSearchOs domínios de serviço têm registros de erros habilitados e transmitidos para a AmazonCloudWatchRegistros para retenção e resposta. OpenSearchOs registros de erros do serviço podem ajudar nas auditorias de segurança e acesso e podem ajudar a diagnosticar problemas de disponibilidade.
AC-4 (26)	Aplicação do fluxo de informações | Ações de filtragem de auditoria	wafv2 ativado para registro	Para ajudar com o registro e o monitoramento em seu ambiente, habiliteAWSRegistro WAF (V2) em ACLs da web regionais e globais.AWS O registro do WAF fornece informações detalhadas sobre o tráfego que é analisado pela sua ACL da web. Os registros registram a hora em queAWSO WAF recebeu a solicitação do seuAWSrecurso, informações sobre a solicitação e uma ação para a regra à qual cada solicitação correspondeu.
AC-4 (26)	Aplicação do fluxo de informações | Ações de filtragem de auditoria	api-gw-execution-logging-ativado	O registro do API Gateway exibe visualizações detalhadas dos usuários que acessaram a API e a forma como acessaram a API. Esse insight permite a visibilidade das atividades do usuário.
AC-4 (26)	Aplicação do fluxo de informações | Ações de filtragem de auditoria	cloud-trail-cloud-watch-registros habilitados	Use a AmazonCloudWatchpara coletar e gerenciar centralmente a atividade de eventos de registro. Inclusão deAWS CloudTrailos dados fornecem detalhes da atividade de chamadas de API em seuAWSconta.
AC-4 (26)	Aplicação do fluxo de informações | Ações de filtragem de auditoria	habilitado para cloudtrail	AWS CloudTrailpode ajudar na não repúdio gravandoAWSAções do Management Console e chamadas de API. Você pode identificar os usuários eAWScontas que chamaram umAWSserviço, o endereço IP de origem onde as chamadas foram geradas e os horários das chamadas. Os detalhes dos dados capturados são vistos emAWS CloudTrailGravar conteúdo.
AC-4 (26)	Aplicação do fluxo de informações | Ações de filtragem de auditoria	cloudtrail-s3 - eventos de dados habilitados	A coleta de eventos de dados do Simple Storage Service (Amazon S3) ajuda a detectar qualquer atividade anômala. Os detalhes incluemAWSinformações da conta que acessaram um bucket do Amazon S3, endereço IP e hora do evento.
AC-4 (26)	Aplicação do fluxo de informações | Ações de filtragem de auditoria	elb-logging-enabled	A atividade do Elastic Load Balancing é um ponto central de comunicação dentro de um ambiente. Certifique-se de que o registro do ELB esteja ativado. Os dados coletados fornecem informações detalhadas sobre as solicitações enviadas ao ELB. Cada log contém informações como a hora em que a solicitação foi recebida, o endereço IP do cliente, latências, caminhos de solicitação e respostas do servidor.
AC-4 (26)	Aplicação do fluxo de informações | Ações de filtragem de auditoria	rds-logging-enabled	Para ajudar com o registro e o monitoramento em seu ambiente, certifique-se de que o registro do Amazon Relational Database Service (Amazon RDS) esteja ativado. Com o registro do Amazon RDS, você pode capturar eventos como conexões, desconexões, consultas ou tabelas consultadas.
AC-4 (26)	Aplicação do fluxo de informações | Ações de filtragem de auditoria	redshift-cluster-configuration-check	Para proteger os dados em repouso, certifique-se de que a criptografia esteja habilitada para seus clusters do Amazon Redshift. Você também deve garantir que as configurações necessárias sejam implantadas nos clusters do Amazon Redshift. O registro de auditoria deve estar habilitado para fornecer informações sobre conexões e atividades do usuário no banco de dados. Essa regra exige que um valor seja definido paraclusterDbEncrypted(Config Default: TRUE) e LoggingEnabled (Config Default: TRUE). Os valores reais devem refletir as políticas da sua organização.
AC-4 (26)	Aplicação do fluxo de informações | Ações de filtragem de auditoria	s3-bucket-logging-enabled	O registro de acesso ao servidor do Amazon Simple Storage Service (Amazon S3) fornece um método para monitorar a rede em busca de possíveis eventos de segurança cibernética. Os eventos são monitorados por meio da captura de registros detalhados das solicitações feitas a um bucket do Amazon S3. Cada registro de registro de acesso fornece detalhes sobre uma única solicitação de acesso. Os detalhes incluem o solicitante, nome do bucket, hora da solicitação, ação da solicitação, status da resposta e um código de erro, se relevante.
AC-4 (26)	Aplicação do fluxo de informações | Ações de filtragem de auditoria	vpc-flow-logs-enabled	Os registros de fluxo do VPC fornecem registros detalhados de informações sobre o tráfego IP que vai e vem das interfaces de rede em sua Amazon Virtual Private Cloud (Amazon VPC). Por padrão, o registro do log de fluxo inclui valores para os diferentes componentes do fluxo IP, incluindo a origem, o destino e o protocolo.
AC-4	Aplicação do fluxo de informações	autoscaling-launch-config-public-ip desativado	Se você configurar suas interfaces de rede com um endereço IP público, os recursos associados a essas interfaces de rede poderão ser acessados pela Internet. Os recursos do EC2 não devem ser acessíveis ao público, pois isso pode permitir acesso não intencional aos seus aplicativos ou servidores.
AC-4	Aplicação do fluxo de informações	elasticsearch-node-to-node-verificação de criptografia	Garantanode-to-nodecriptografia para AmazonOpenSearchO serviço está ativado. Node-to-nodea criptografia permite a criptografia TLS 1.2 para todas as comunicações dentro da Amazon Virtual Private Cloud (Amazon VPC). Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados.
AC-4	Aplicação do fluxo de informações	elb-tls-https-listeners-somente	Certifique-se de que seus Elastic Load Balancers (ELBs) estejam configurados com ouvintes SSL ou HTTPS. Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados.
AC-4	Aplicação do fluxo de informações	ssh restrito	Os grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2) podem ajudar a gerenciar o acesso à rede fornecendo filtragem de estado do tráfego de entrada e saída da rede paraAWSrecursos. Não permitir tráfego de entrada (ou remoto) de 0.0.0.0/0 para a porta 22 em seus recursos ajuda a restringir o acesso remoto.
AC-4	Aplicação do fluxo de informações	ec2-instances-in-vpc	Implante instâncias do Amazon Elastic Compute Cloud (Amazon EC2) em uma Amazon Virtual Private Cloud (Amazon VPC) para permitir a comunicação segura entre uma instância e outros serviços dentro da Amazon VPC, sem exigir um gateway de internet, dispositivo NAT ou conexão VPN. Todo o tráfego permanece com segurança na Nuvem AWS. Devido ao isolamento lógico, os domínios que residem em um Amazon VPC têm uma camada extra de segurança quando comparados aos domínios que usam endpoints públicos. Atribua instâncias do Amazon EC2 a uma Amazon VPC para gerenciar adequadamente o acesso.
AC-4	Aplicação do fluxo de informações	no-unrestricted-route-to-igw	Certifique-se de que as tabelas de rotas do Amazon EC2 não tenham rotas irrestritas para um gateway da Internet. Remover ou limitar o acesso à Internet para cargas de trabalho nas Amazon VPCs pode reduzir o acesso não intencional em seu ambiente.
AC-4	Aplicação do fluxo de informações	opensearch-https-required	Como dados confidenciais podem existir e, para ajudar a proteger os dados em trânsito, certifique-se de que o HTTPS esteja ativado para conexões com sua AmazonOpenSearchDomínios de serviço.
AC-4	Aplicação do fluxo de informações	opensearch-node-to-node-verificação de criptografia	Garantanode-to-nodecriptografia para AmazonOpenSearchO serviço está ativado. Node-to-nodea criptografia permite a criptografia TLS 1.2 para todas as comunicações dentro da Amazon Virtual Private Cloud (Amazon VPC). Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados.
AC-4	Aplicação do fluxo de informações	redshift-enhanced-vpc-routing-ativado	O roteamento aprimorado da VPC força todo o tráfego COPY e UNLOAD entre o cluster e os repositórios de dados a passar pelo Amazon VPC. Em seguida, você pode usar os recursos da VPC, como grupos de segurança e listas de controle de acesso à rede, para proteger o tráfego da rede. Você também pode usar os registros de fluxo da VPC para monitorar o tráfego da rede.
AC-4	Aplicação do fluxo de informações	ssm-document-not-public	GarantaAWSOs documentos do Systems Manager (SSM) não são públicos, pois isso pode permitir acesso não intencional aos seus documentos SSM. Um documento SSM público pode expor informações sobre sua conta, recursos e processos internos.
AC-4	Aplicação do fluxo de informações	alb-http-to-https-verificação de redirecionamento	Para ajudar a proteger os dados em trânsito, certifique-se de que seu Application Load Balancer redirecione automaticamente solicitações HTTP não criptografadas para HTTPS. Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados.
AC-4	Aplicação do fluxo de informações	api-gw-ssl-enabled	Certifique-se de que os estágios da API REST do Amazon API Gateway estejam configurados com certificados SSL para permitir que os sistemas de back-end autentiquem que as solicitações são originadas do API Gateway.
AC-4	Aplicação do fluxo de informações	dms-replication-not-public	Gerencie o acesso aoAWSNuvem, garantindo que as instâncias de replicação do DMS não possam ser acessadas publicamente. As instâncias de replicação do DMS podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
AC-4	Aplicação do fluxo de informações	ebs-snapshot-public-restorable-verifique	Gerencie o acesso aoAWSNuvem garantindo que os snapshots do EBS não possam ser restaurados publicamente. Os instantâneos de volume do EBS podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
AC-4	Aplicação do fluxo de informações	ec2-instance-no-public-ip	Gerencie o acesso aoAWSNuvem garantindo que as instâncias do Amazon Elastic Compute Cloud (Amazon EC2) não possam ser acessadas publicamente. As instâncias do Amazon EC2 podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
AC-4	Aplicação do fluxo de informações	elasticsearch-in-vpc-only	Gerencie o acesso aoAWSNuvem ao garantir a AmazonOpenSearchServiço (OpenSearch(Serviço) Os domínios estão dentro de uma Amazon Virtual Private Cloud (Amazon VPC). UmOpenSearchO domínio de serviço em um Amazon VPC permite a comunicação segura entreOpenSearchServiço e outros serviços dentro do Amazon VPC sem a necessidade de um gateway de internet, dispositivo NAT ou conexão VPN.
AC-4	Aplicação do fluxo de informações	elb-acm-certificate-required	Como dados confidenciais podem existir e, para ajudar a proteger os dados em trânsito, garanta que a criptografia esteja habilitada para seu Elastic Load Balancing. UsarAWSGerenciador de certificados para gerenciar, provisionar e implantar certificados SSL/TLS públicos e privados comAWSserviços e recursos internos.
AC-4	Aplicação do fluxo de informações	elbv2-acm-certificate-required	Como dados confidenciais podem existir e, para ajudar a proteger os dados em trânsito, garanta que a criptografia esteja habilitada para seu Elastic Load Balancing. UsarAWSGerenciador de certificados para gerenciar, provisionar e implantar certificados SSL/TLS públicos e privados comAWSserviços e recursos internos.
AC-4	Aplicação do fluxo de informações	emr-master-no-public-ip	Gerencie o acesso aoAWSNuvem, garantindo que os nós principais do cluster Amazon EMR não possam ser acessados publicamente. Os nós principais do cluster do Amazon EMR podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
AC-4	Aplicação do fluxo de informações	lambda-function-public-access-proibido	Gerencie o acesso aos recursos noAWSNuvem, garantindoAWSAs funções do Lambda não podem ser acessadas publicamente. O acesso público pode potencialmente levar à degradação da disponibilidade de recursos.
AC-4	Aplicação do fluxo de informações	lambda-inside-vpc	ImplantarAWSO Lambda funciona em uma Amazon Virtual Private Cloud (Amazon VPC) para uma comunicação segura entre uma função e outros serviços dentro da Amazon VPC. Com essa configuração, não há necessidade de um gateway de Internet, dispositivo NAT ou conexão VPN. Todo o tráfego permanece seguro dentro doAWSNuvem. Devido ao isolamento lógico, os domínios que residem em um Amazon VPC têm uma camada extra de segurança quando comparados aos domínios que usam endpoints públicos. Para gerenciar adequadamente o acesso,AWSAs funções lambda devem ser atribuídas a uma VPC.
AC-4	Aplicação do fluxo de informações	opensearch-in-vpc-only	Gerencie o acesso aoAWSNuvem ao garantir a AmazonOpenSearchOs domínios de serviço estão dentro de uma Amazon Virtual Private Cloud (Amazon VPC). Uma AmazôniaOpenSearchO domínio de serviço em um Amazon VPC permite a comunicação segura entre a AmazonOpenSearchServiço e outros serviços dentro do Amazon VPC sem a necessidade de um gateway de internet, dispositivo NAT ou conexão VPN.
AC-4	Aplicação do fluxo de informações	rds-instance-public-access-verifique	Gerencie o acesso aos recursos noAWSNuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações confidenciais, e princípios e controle de acesso são necessários para essas contas.
AC-4	Aplicação do fluxo de informações	rds-snapshots-public-prohibited	Gerencie o acesso aos recursos noAWSNuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações e princípios confidenciais, e o controle de acesso é necessário para essas contas.
AC-4	Aplicação do fluxo de informações	redshift-cluster-public-access-verifique	Gerencie o acesso aos recursos noAWSNuvem garantindo que os clusters do Amazon Redshift não sejam públicos. Os clusters do Amazon Redshift podem conter informações e princípios confidenciais, e o controle de acesso é necessário para essas contas.
AC-4	Aplicação do fluxo de informações	redshift-require-tls-ssl	Certifique-se de que seus clusters do Amazon Redshift exijam criptografia TLS/SSL para se conectar aos clientes SQL. Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados.
AC-4	Aplicação do fluxo de informações	restricted-common-ports	Gerencie o acesso aos recursos noAWSNuvem garantindo que as portas comuns sejam restritas nos grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2). Não restringir o acesso às portas a fontes confiáveis pode levar a ataques contra a disponibilidade, integridade e confidencialidade dos sistemas. Essa regra permite que você defina opcionalmente os parâmetros BlockedPort1 - BlockedPort5 (padrões de configuração: 20,21,3389,3306,4333). Os valores reais devem refletir as políticas da sua organização.
AC-4	Aplicação do fluxo de informações	s3-account-level-public-access-blocos periódicos	Gerencie o acesso aos recursos noAWSNuvem garantindo que os buckets do Amazon Simple Storage Service (Amazon S3) não possam ser acessados publicamente. Essa regra ajuda a manter os dados confidenciais protegidos de usuários remotos não autorizados, impedindo o acesso público. Essa regra permite que você defina opcionalmente oignorePublicAcls(Padrão de configuração: verdadeiro),blockPublicPolicy(Padrão de configuração: verdadeiro),blockPublicAcls(Config Default: True), erestrictPublicBucketsparâmetros (Config Default: True). Os valores reais devem refletir as políticas da sua organização.
AC-4	Aplicação do fluxo de informações	s3-bucket-level-public-access-proibido	Gerencie o acesso aos recursos noAWSNuvem garantindo que os buckets do Amazon Simple Storage Service (Amazon S3) não possam ser acessados publicamente. Essa regra ajuda a manter os dados confidenciais protegidos de usuários remotos não autorizados, impedindo o acesso público no nível do bucket.
AC-4	Aplicação do fluxo de informações	s3-bucket-public-read-prohibited	Gerencie o acesso aos recursos noAWSNuvem ao permitir que usuários, processos e dispositivos autorizados acessem apenas buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados.
AC-4	Aplicação do fluxo de informações	s3-bucket-public-write-prohibited	Gerencie o acesso aos recursos noAWSNuvem ao permitir que usuários, processos e dispositivos autorizados acessem apenas buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados.
AC-4	Aplicação do fluxo de informações	s3-bucket-ssl-requests-only	Para ajudar a proteger os dados em trânsito, certifique-se de que seus buckets do Amazon Simple Storage Service (Amazon S3) exijam solicitações para usar o Secure Socket Layer (SSL). Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados.
AC-4	Aplicação do fluxo de informações	sagemaker-notebook-no-direct-acesso à internet	Gerencie o acesso aos recursos noAWSNuvem, garantindo que a AmazonSageMakeros notebooks não permitem acesso direto à internet. Ao impedir o acesso direto à Internet, você pode impedir que dados confidenciais sejam acessados por usuários não autorizados.
AC-4	Aplicação do fluxo de informações	subnet-auto-assign-public-ip desativado	Gerencie o acesso aoAWSNuvem garantindo que as sub-redes Amazon Virtual Private Cloud (VPC) não recebam automaticamente um endereço IP público. As instâncias do Amazon Elastic Compute Cloud (EC2) que são lançadas em sub-redes que têm esse atributo ativado têm um endereço IP público atribuído à sua interface de rede primária.
AC-4	Aplicação do fluxo de informações	vpc-default-security-group-fechado	Os grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2) podem ajudar no gerenciamento do acesso à rede fornecendo filtragem de estado do tráfego de entrada e saída da rede paraAWSrecursos. Restringir todo o tráfego no grupo de segurança padrão ajuda a restringir o acesso remoto ao seuAWSrecursos.
AC-4	Aplicação do fluxo de informações	vpc-sg-open-only-to-authorized-ports	Gerencie o acesso aos recursos noAWSNuvem garantindo que as portas comuns sejam restritas nos grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2). Não restringir o acesso às portas a fontes confiáveis pode levar a ataques contra a disponibilidade, integridade e confidencialidade dos sistemas. Ao restringir o acesso a recursos dentro de um grupo de segurança da Internet (0.0.0.0/0), o acesso remoto pode ser controlado aos sistemas internos.
AC-5	Separação de deveres	ecs-containers-readonly-access	Habilitar o acesso somente para leitura aos contêineres do Amazon Elastic Container Service (ECS) pode ajudar a cumprir o princípio do menor privilégio. Essa opção pode reduzir os vetores de ataque, pois o sistema de arquivos da instância do contêiner não pode ser modificado a menos que tenha permissões explícitas de leitura e gravação.
AC-5	Separação de deveres	ecs-task-definition-user-for-host-mode-check	Se uma definição de tarefa tem privilégios elevados, é porque o cliente optou especificamente por essas configurações. Esse controle verifica o aumento inesperado de privilégios quando uma definição de tarefa tem a rede do host habilitada, mas o cliente não optou por privilégios elevados.
AC-5	Separação de deveres	iam-policy-no-statements-with-full-access	Certifique-se de que as ações do IAM sejam restritas somente às ações necessárias. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio do menor privilégio e da separação de funções.
AC-5	Separação de deveres	iam-customer-policy-blocked-kms - ações	AWSO Gerenciamento de Identidade e Acesso (IAM) pode ajudá-lo a incorporar os princípios de menor privilégio e separação de funções com permissões e autorizações de acesso, impedindo que as políticas contenham ações bloqueadas em todosAWSChaves do serviço de gerenciamento de chaves. Ter mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio do menor privilégio e da separação de deveres. Essa regra permite que você defina oblockedActionsPatternsparâmetro. (AWSValor fundamental das melhores práticas de segurança: kms:decrypt, kms:ReEncryptFrom). Os valores reais devem refletir as políticas da sua organização
AC-5	Separação de deveres	iam-inline-policy-blocked-kms - ações	Garanta umAWSO usuário, a função ou o grupo do IAM (Identity and Access Management) não têm uma política embutida para permitir ações bloqueadas em todosAWSChaves do serviço de gerenciamento de chaves.AWSrecomenda usar políticas gerenciadas em vez de políticas em linha. As políticas gerenciadas permitem a reutilização, o controle de versões, a reversão e a delegação do gerenciamento de permissões. Essa regra permite que você defina oblockedActionsPatternsparâmetro. (AWSValor fundamental das melhores práticas de segurança: kms:decrypt, kms:ReEncryptFrom). Os valores reais devem refletir as políticas da sua organização.
AC-5	Separação de deveres	iam-policy-no-statements-with-admin-access	AWSO Gerenciamento de Identidade e Acesso (IAM) pode ajudá-lo a incorporar os princípios de menor privilégio e separação de funções com permissões e autorizações de acesso, impedindo que as políticas contenham “Efeito”: “Permitir” com “Ação”: “*” em vez de “Recurso”: “*”. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio do menor privilégio e da separação de funções.
AC-6 (2)	Privilégio mínimo | Acesso não privilegiado para funções não relacionadas à segurança	iam-policy-no-statements-with-full-access	Certifique-se de que as ações do IAM sejam restritas somente às ações necessárias. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio do menor privilégio e da separação de funções.
AC-6 (2)	Privilégio mínimo | Acesso não privilegiado para funções não relacionadas à segurança	iam-policy-no-statements-with-admin-access	AWSO Gerenciamento de Identidade e Acesso (IAM) pode ajudá-lo a incorporar os princípios de menor privilégio e separação de funções com permissões e autorizações de acesso, impedindo que as políticas contenham “Efeito”: “Permitir” com “Ação”: “*” em vez de “Recurso”: “*”. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio do menor privilégio e da separação de funções.
AC-6 (2)	Privilégio mínimo | Acesso não privilegiado para funções não relacionadas à segurança	iam-root-access-key-verifique	O acesso a sistemas e ativos pode ser controlado verificando se o usuário root não tem chaves de acesso anexadas aos seusAWSFunção de gerenciamento de identidade e acesso (IAM). Certifique-se de que as chaves de acesso root sejam excluídas. Em vez disso, crie e use com base em funçõesAWScontas para ajudar a incorporar o princípio da menor funcionalidade.
AC-6 (3)	Privilégio mínimo | Acesso à rede a comandos privilegiados	iam-no-inline-policy-verifique	Garanta umAWSO usuário, a função ou o grupo do IAM (Identity and Access Management) não têm uma política em linha para controlar o acesso a sistemas e ativos.AWSrecomenda usar políticas gerenciadas em vez de políticas em linha. As políticas gerenciadas permitem reutilização, controle de versão e reversão, além de delegar o gerenciamento de permissões.
AC-6 (3)	Privilégio mínimo | Acesso à rede a comandos privilegiados	iam-policy-no-statements-with-full-access	Certifique-se de que as ações do IAM sejam restritas somente às ações necessárias. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio do menor privilégio e da separação de funções.
AC-6 (3)	Privilégio mínimo | Acesso à rede a comandos privilegiados	iam-customer-policy-blocked-kms - ações	AWSO Gerenciamento de Identidade e Acesso (IAM) pode ajudá-lo a incorporar os princípios de menor privilégio e separação de funções com permissões e autorizações de acesso, impedindo que as políticas contenham ações bloqueadas em todosAWSChaves do serviço de gerenciamento de chaves. Ter mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio do menor privilégio e da separação de deveres. Essa regra permite que você defina oblockedActionsPatternsparâmetro. (AWSValor fundamental das melhores práticas de segurança: kms:decrypt, kms:ReEncryptFrom). Os valores reais devem refletir as políticas da sua organização
AC-6 (3)	Privilégio mínimo | Acesso à rede a comandos privilegiados	iam-inline-policy-blocked-kms - ações	Garanta umAWSO usuário, a função ou o grupo do IAM (Identity and Access Management) não têm uma política embutida para permitir ações bloqueadas em todosAWSChaves do serviço de gerenciamento de chaves.AWSrecomenda usar políticas gerenciadas em vez de políticas em linha. As políticas gerenciadas permitem a reutilização, o controle de versões, a reversão e a delegação do gerenciamento de permissões. Essa regra permite que você defina oblockedActionsPatternsparâmetro. (AWSValor fundamental das melhores práticas de segurança: kms:decrypt, kms:ReEncryptFrom). Os valores reais devem refletir as políticas da sua organização.
AC-6 (3)	Privilégio mínimo | Acesso à rede a comandos privilegiados	iam-policy-no-statements-with-admin-access	AWSO Gerenciamento de Identidade e Acesso (IAM) pode ajudá-lo a incorporar os princípios de menor privilégio e separação de funções com permissões e autorizações de acesso, impedindo que as políticas contenham “Efeito”: “Permitir” com “Ação”: “*” em vez de “Recurso”: “*”. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio do menor privilégio e da separação de funções.
AC-6 (3)	Privilégio mínimo | Acesso à rede a comandos privilegiados	iam-user-group-membership-verifique	AWSO Gerenciamento de Identidade e Acesso (IAM) pode ajudar você a restringir as permissões e autorizações de acesso, garantindo que os usuários sejam membros de pelo menos um grupo. Permitir aos usuários mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio do menor privilégio e da separação de funções.
AC-6 (9)	Privilégio mínimo | Registrar o uso de funções privilegiadas	elasticsearch-logs-to-cloudwatch	Garanta a AmazonOpenSearchOs domínios de serviço têm registros de erros habilitados e transmitidos para a AmazonCloudWatchRegistros para retenção e resposta. Os registros de erros do domínio podem ajudar nas auditorias de segurança e acesso e podem ajudar a diagnosticar problemas de disponibilidade.
AC-6 (9)	Privilégio mínimo | Registrar o uso de funções privilegiadas	multi-region-cloudtrail-enabled	AWS CloudTrailregistrosAWSAções do Management Console e chamadas de API. Você pode identificar quais usuários e contas ligaramAWS, o endereço IP de origem de onde as chamadas foram feitas e quando as chamadas ocorreram. CloudTrailentregará arquivos de log de todosAWSRegiões para seu bucket do S3 se MULTI_REGION_CLOUD_TRAIL_ENABLED estiver ativado. Além disso, quandoAWSlança uma nova região,CloudTrailcriará a mesma trilha na nova região. Como resultado, você receberá arquivos de log contendo a atividade da API para a nova região sem realizar nenhuma ação.
AC-6 (9)	Privilégio mínimo | Registrar o uso de funções privilegiadas	opensearch-logs-to-cloudwatch	Garanta a AmazonOpenSearchOs domínios de serviço têm registros de erros habilitados e transmitidos para a AmazonCloudWatchRegistros para retenção e resposta. OpenSearchOs registros de erros do serviço podem ajudar nas auditorias de segurança e acesso e podem ajudar a diagnosticar problemas de disponibilidade.
AC-6 (9)	Privilégio mínimo | Registrar o uso de funções privilegiadas	cloud-trail-cloud-watch-registros habilitados	Use a AmazonCloudWatchpara coletar e gerenciar centralmente a atividade de eventos de registro. Inclusão deAWS CloudTrailos dados fornecem detalhes da atividade de chamadas de API em seuAWSconta.
AC-6 (9)	Privilégio mínimo | Registrar o uso de funções privilegiadas	habilitado para cloudtrail	AWS CloudTrailpode ajudar na não repúdio gravandoAWSAções do Management Console e chamadas de API. Você pode identificar os usuários eAWScontas que chamaram umAWSserviço, o endereço IP de origem onde as chamadas foram geradas e os horários das chamadas. Os detalhes dos dados capturados são vistos emAWS CloudTrailGravar conteúdo.
AC-6 (9)	Privilégio mínimo | Registrar o uso de funções privilegiadas	cloudtrail-s3 - eventos de dados habilitados	A coleta de eventos de dados do Simple Storage Service (Amazon S3) ajuda a detectar qualquer atividade anômala. Os detalhes incluemAWSinformações da conta que acessaram um bucket do Amazon S3, endereço IP e hora do evento.
AC-6 (9)	Privilégio mínimo | Registrar o uso de funções privilegiadas	rds-logging-enabled	Para ajudar com o registro e o monitoramento em seu ambiente, certifique-se de que o registro do Amazon Relational Database Service (Amazon RDS) esteja ativado. Com o registro do Amazon RDS, você pode capturar eventos como conexões, desconexões, consultas ou tabelas consultadas.
AC-6 (9)	Privilégio mínimo | Registrar o uso de funções privilegiadas	redshift-cluster-configuration-check	Para proteger os dados em repouso, certifique-se de que a criptografia esteja habilitada para seus clusters do Amazon Redshift. Você também deve garantir que as configurações necessárias sejam implantadas nos clusters do Amazon Redshift. O registro de auditoria deve estar habilitado para fornecer informações sobre conexões e atividades do usuário no banco de dados. Essa regra exige que um valor seja definido paraclusterDbEncrypted(Config Default: TRUE) e LoggingEnabled (Config Default: TRUE). Os valores reais devem refletir as políticas da sua organização.
AC-6 (9)	Privilégio mínimo | Registrar o uso de funções privilegiadas	s3-bucket-logging-enabled	O registro de acesso ao servidor do Amazon Simple Storage Service (Amazon S3) fornece um método para monitorar a rede em busca de possíveis eventos de segurança cibernética. Os eventos são monitorados por meio da captura de registros detalhados das solicitações feitas a um bucket do Amazon S3. Cada registro de registro de acesso fornece detalhes sobre uma única solicitação de acesso. Os detalhes incluem o solicitante, nome do bucket, hora da solicitação, ação da solicitação, status da resposta e um código de erro, se relevante.
AC-6 (10)	Privilégio mínimo | Proibir usuários sem privilégios de executar funções privilegiadas	iam-policy-no-statements-with-full-access	Certifique-se de que as ações do IAM sejam restritas somente às ações necessárias. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio do menor privilégio e da separação de funções.
AC-6 (10)	Privilégio mínimo | Proibir usuários sem privilégios de executar funções privilegiadas	iam-policy-no-statements-with-admin-access	AWSO Gerenciamento de Identidade e Acesso (IAM) pode ajudá-lo a incorporar os princípios de menor privilégio e separação de funções com permissões e autorizações de acesso, impedindo que as políticas contenham “Efeito”: “Permitir” com “Ação”: “*” em vez de “Recurso”: “*”. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio do menor privilégio e da separação de funções.
AC-6 (10)	Privilégio mínimo | Proibir usuários sem privilégios de executar funções privilegiadas	iam-root-access-key-verifique	O acesso a sistemas e ativos pode ser controlado verificando se o usuário root não tem chaves de acesso anexadas aos seusAWSFunção de gerenciamento de identidade e acesso (IAM). Certifique-se de que as chaves de acesso root sejam excluídas. Em vez disso, crie e use com base em funçõesAWScontas para ajudar a incorporar o princípio da menor funcionalidade.
AC-6	Privilégio mínimo	autoscaling-launch-config-public-ip desativado	Se você configurar suas interfaces de rede com um endereço IP público, os recursos associados a essas interfaces de rede poderão ser acessados pela Internet. Os recursos do EC2 não devem ser acessíveis ao público, pois isso pode permitir acesso não intencional aos seus aplicativos ou servidores.
AC-6	Privilégio mínimo	ec2-imdsv2-check	Certifique-se de que o método Instance Metadata Service Versão 2 (IMDSv2) esteja ativado para ajudar a proteger o acesso e o controle dos metadados da instância do Amazon Elastic Compute Cloud (Amazon EC2). O método IMDSv2 usa controles baseados em sessão. Com o IMDSv2, os controles podem ser implementados para restringir as alterações nos metadados da instância.
AC-6	Privilégio mínimo	ec2-instance-profile-attached	Os perfis de instância do EC2 transmitem uma função do IAM para uma instância do EC2. Anexar um perfil de instância às suas instâncias pode ajudar no menor gerenciamento de privilégios e permissões.
AC-6	Privilégio mínimo	ecs-containers-readonly-access	Habilitar o acesso somente para leitura aos contêineres do Amazon Elastic Container Service (ECS) pode ajudar a cumprir o princípio do menor privilégio. Essa opção pode reduzir os vetores de ataque, pois o sistema de arquivos da instância do contêiner não pode ser modificado a menos que tenha permissões explícitas de leitura e gravação.
AC-6	Privilégio mínimo	ecs-task-definition-user-for-host-mode-check	Se uma definição de tarefa tem privilégios elevados, é porque o cliente optou especificamente por essas configurações. Esse controle verifica o aumento inesperado de privilégios quando uma definição de tarefa tem a rede do host habilitada, mas o cliente não optou por privilégios elevados.
AC-6	Privilégio mínimo	iam-no-inline-policy-verifique	Garanta umAWSO usuário, a função ou o grupo do IAM (Identity and Access Management) não têm uma política em linha para controlar o acesso a sistemas e ativos.AWSrecomenda usar políticas gerenciadas em vez de políticas em linha. As políticas gerenciadas permitem reutilização, controle de versão e reversão, além de delegar o gerenciamento de permissões.
AC-6	Privilégio mínimo	iam-policy-no-statements-with-full-access	Certifique-se de que as ações do IAM sejam restritas somente às ações necessárias. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio do menor privilégio e da separação de funções.
AC-6	Privilégio mínimo	ec2-instances-in-vpc	Implante instâncias do Amazon Elastic Compute Cloud (Amazon EC2) em uma Amazon Virtual Private Cloud (Amazon VPC) para permitir a comunicação segura entre uma instância e outros serviços dentro da Amazon VPC, sem exigir um gateway de internet, dispositivo NAT ou conexão VPN. Todo o tráfego permanece com segurança na Nuvem AWS. Devido ao isolamento lógico, os domínios que residem em um Amazon VPC têm uma camada extra de segurança quando comparados aos domínios que usam endpoints públicos. Atribua instâncias do Amazon EC2 a uma Amazon VPC para gerenciar adequadamente o acesso.
AC-6	Privilégio mínimo	ssm-document-not-public	GarantaAWSOs documentos do Systems Manager (SSM) não são públicos, pois isso pode permitir acesso não intencional aos seus documentos SSM. Um documento SSM público pode expor informações sobre sua conta, recursos e processos internos.
AC-6	Privilégio mínimo	dms-replication-not-public	Gerencie o acesso aoAWSNuvem, garantindo que as instâncias de replicação do DMS não possam ser acessadas publicamente. As instâncias de replicação do DMS podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
AC-6	Privilégio mínimo	ebs-snapshot-public-restorable-verifique	Gerencie o acesso aoAWSNuvem garantindo que os snapshots do EBS não possam ser restaurados publicamente. Os instantâneos de volume do EBS podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
AC-6	Privilégio mínimo	ec2-instance-no-public-ip	Gerencie o acesso aoAWSNuvem garantindo que as instâncias do Amazon Elastic Compute Cloud (Amazon EC2) não possam ser acessadas publicamente. As instâncias do Amazon EC2 podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
AC-6	Privilégio mínimo	elasticsearch-in-vpc-only	Gerencie o acesso aoAWSNuvem ao garantir a AmazonOpenSearchServiço (OpenSearch(Serviço) Os domínios estão dentro de uma Amazon Virtual Private Cloud (Amazon VPC). UmOpenSearchO domínio de serviço em um Amazon VPC permite a comunicação segura entreOpenSearchServiço e outros serviços dentro do Amazon VPC sem a necessidade de um gateway de internet, dispositivo NAT ou conexão VPN.
AC-6	Privilégio mínimo	emr-master-no-public-ip	Gerencie o acesso aoAWSNuvem, garantindo que os nós principais do cluster Amazon EMR não possam ser acessados publicamente. Os nós principais do cluster do Amazon EMR podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
AC-6	Privilégio mínimo	iam-customer-policy-blocked-kms - ações	AWSO Gerenciamento de Identidade e Acesso (IAM) pode ajudá-lo a incorporar os princípios de menor privilégio e separação de funções com permissões e autorizações de acesso, impedindo que as políticas contenham ações bloqueadas em todosAWSChaves do serviço de gerenciamento de chaves. Ter mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio do menor privilégio e da separação de deveres. Essa regra permite que você defina oblockedActionsPatternsparâmetro. (AWSValor fundamental das melhores práticas de segurança: kms:decrypt, kms:ReEncryptFrom). Os valores reais devem refletir as políticas da sua organização
AC-6	Privilégio mínimo	iam-inline-policy-blocked-kms - ações	Garanta umAWSO usuário, a função ou o grupo do IAM (Identity and Access Management) não têm uma política embutida para permitir ações bloqueadas em todosAWSChaves do serviço de gerenciamento de chaves.AWSrecomenda usar políticas gerenciadas em vez de políticas em linha. As políticas gerenciadas permitem a reutilização, o controle de versões, a reversão e a delegação do gerenciamento de permissões. Essa regra permite que você defina oblockedActionsPatternsparâmetro. (AWSValor fundamental das melhores práticas de segurança: kms:decrypt, kms:ReEncryptFrom). Os valores reais devem refletir as políticas da sua organização.
AC-6	Privilégio mínimo	iam-policy-no-statements-with-admin-access	AWSO Gerenciamento de Identidade e Acesso (IAM) pode ajudá-lo a incorporar os princípios de menor privilégio e separação de funções com permissões e autorizações de acesso, impedindo que as políticas contenham “Efeito”: “Permitir” com “Ação”: “*” em vez de “Recurso”: “*”. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio do menor privilégio e da separação de funções.
AC-6	Privilégio mínimo	iam-root-access-key-verifique	O acesso a sistemas e ativos pode ser controlado verificando se o usuário root não tem chaves de acesso anexadas aos seusAWSFunção de gerenciamento de identidade e acesso (IAM). Certifique-se de que as chaves de acesso root sejam excluídas. Em vez disso, crie e use com base em funçõesAWScontas para ajudar a incorporar o princípio da menor funcionalidade.
AC-6	Privilégio mínimo	iam-user-group-membership-verifique	AWSO Gerenciamento de Identidade e Acesso (IAM) pode ajudar você a restringir as permissões e autorizações de acesso, garantindo que os usuários sejam membros de pelo menos um grupo. Permitir aos usuários mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio do menor privilégio e da separação de funções.
AC-6	Privilégio mínimo	iam-user-unused-credentials-verifique	AWSO Gerenciamento de Identidade e Acesso (IAM) pode ajudá-lo com permissões e autorizações de acesso verificando as senhas e chaves de acesso do IAM que não são usadas por um período de tempo especificado. Se essas credenciais não utilizadas forem identificadas, você deverá desabilitar e/ou remover as credenciais, pois isso pode violar o princípio do menor privilégio. Essa regra exige que você defina um valor para omaxCredentialUsageIdade (padrão de configuração: 90). O valor real deve refletir as políticas da sua organização.
AC-6	Privilégio mínimo	lambda-function-public-access-proibido	Gerencie o acesso aos recursos noAWSNuvem, garantindoAWSAs funções do Lambda não podem ser acessadas publicamente. O acesso público pode potencialmente levar à degradação da disponibilidade de recursos.
AC-6	Privilégio mínimo	lambda-inside-vpc	ImplantarAWSO Lambda funciona em uma Amazon Virtual Private Cloud (Amazon VPC) para uma comunicação segura entre uma função e outros serviços dentro da Amazon VPC. Com essa configuração, não há necessidade de um gateway de Internet, dispositivo NAT ou conexão VPN. Todo o tráfego permanece seguro dentro doAWSNuvem. Devido ao isolamento lógico, os domínios que residem em um Amazon VPC têm uma camada extra de segurança quando comparados aos domínios que usam endpoints públicos. Para gerenciar adequadamente o acesso,AWSAs funções lambda devem ser atribuídas a uma VPC.
AC-6	Privilégio mínimo	opensearch-in-vpc-only	Gerencie o acesso aoAWSNuvem ao garantir a AmazonOpenSearchOs domínios de serviço estão dentro de uma Amazon Virtual Private Cloud (Amazon VPC). Uma AmazôniaOpenSearchO domínio de serviço em um Amazon VPC permite a comunicação segura entre a AmazonOpenSearchServiço e outros serviços dentro do Amazon VPC sem a necessidade de um gateway de internet, dispositivo NAT ou conexão VPN.
AC-6	Privilégio mínimo	rds-instance-public-access-verifique	Gerencie o acesso aos recursos noAWSNuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações confidenciais, e princípios e controle de acesso são necessários para essas contas.
AC-6	Privilégio mínimo	rds-snapshots-public-prohibited	Gerencie o acesso aos recursos noAWSNuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações e princípios confidenciais, e o controle de acesso é necessário para essas contas.
AC-6	Privilégio mínimo	redshift-cluster-public-access-verifique	Gerencie o acesso aos recursos noAWSNuvem garantindo que os clusters do Amazon Redshift não sejam públicos. Os clusters do Amazon Redshift podem conter informações e princípios confidenciais, e o controle de acesso é necessário para essas contas.
AC-6	Privilégio mínimo	s3-account-level-public-access-blocos periódicos	Gerencie o acesso aos recursos noAWSNuvem garantindo que os buckets do Amazon Simple Storage Service (Amazon S3) não possam ser acessados publicamente. Essa regra ajuda a manter os dados confidenciais protegidos de usuários remotos não autorizados, impedindo o acesso público. Essa regra permite que você defina opcionalmente oignorePublicAcls(Padrão de configuração: verdadeiro),blockPublicPolicy(Padrão de configuração: verdadeiro),blockPublicAcls(Config Default: True), erestrictPublicBucketsparâmetros (Config Default: True). Os valores reais devem refletir as políticas da sua organização.
AC-6	Privilégio mínimo	s3-bucket-level-public-access-proibido	Gerencie o acesso aos recursos noAWSNuvem garantindo que os buckets do Amazon Simple Storage Service (Amazon S3) não possam ser acessados publicamente. Essa regra ajuda a manter os dados confidenciais protegidos de usuários remotos não autorizados, impedindo o acesso público no nível do bucket.
AC-6	Privilégio mínimo	s3-bucket-public-read-prohibited	Gerencie o acesso aos recursos noAWSNuvem ao permitir que usuários, processos e dispositivos autorizados acessem apenas buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados.
AC-6	Privilégio mínimo	s3-bucket-public-write-prohibited	Gerencie o acesso aos recursos noAWSNuvem ao permitir que usuários, processos e dispositivos autorizados acessem apenas buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados.
AC-6	Privilégio mínimo	sagemaker-notebook-no-direct-acesso à internet	Gerencie o acesso aos recursos noAWSNuvem, garantindo que a AmazonSageMakeros notebooks não permitem acesso direto à internet. Ao impedir o acesso direto à Internet, você pode impedir que dados confidenciais sejam acessados por usuários não autorizados.
AC-6	Privilégio mínimo	subnet-auto-assign-public-ip desativado	Gerencie o acesso aoAWSNuvem garantindo que as sub-redes Amazon Virtual Private Cloud (VPC) não recebam automaticamente um endereço IP público. As instâncias do Amazon Elastic Compute Cloud (EC2) que são lançadas em sub-redes que têm esse atributo ativado têm um endereço IP público atribuído à sua interface de rede primária.
AC-17 (2)	Acesso remoto | Proteção da confidencialidade e integridade usando criptografia	elbv2-acm-certificate-required	Como dados confidenciais podem existir e, para ajudar a proteger os dados em trânsito, garanta que a criptografia esteja habilitada para seu Elastic Load Balancing. UsarAWSGerenciador de certificados para gerenciar, provisionar e implantar certificados SSL/TLS públicos e privados comAWSserviços e recursos internos.
AC-17 (2)	Acesso remoto | Proteção da confidencialidade e integridade usando criptografia	elb-tls-https-listeners-somente	Certifique-se de que seus Elastic Load Balancers (ELBs) estejam configurados com ouvintes SSL ou HTTPS. Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados.
AC-17 (2)	Acesso remoto | Proteção da confidencialidade e integridade usando criptografia	opensearch-https-required	Como dados confidenciais podem existir e, para ajudar a proteger os dados em trânsito, certifique-se de que o HTTPS esteja ativado para conexões com sua AmazonOpenSearchDomínios de serviço.
AC-17 (2)	Acesso remoto | Proteção da confidencialidade e integridade usando criptografia	alb-http-to-https-verificação de redirecionamento	Para ajudar a proteger os dados em trânsito, certifique-se de que seu Application Load Balancer redirecione automaticamente solicitações HTTP não criptografadas para HTTPS. Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados.
AC-17 (2)	Acesso remoto | Proteção da confidencialidade e integridade usando criptografia	api-gw-ssl-enabled	Certifique-se de que os estágios da API REST do Amazon API Gateway estejam configurados com certificados SSL para permitir que os sistemas de back-end autentiquem que as solicitações são originadas do API Gateway.
AC-17 (2)	Acesso remoto | Proteção da confidencialidade e integridade usando criptografia	elb-acm-certificate-required	Como dados confidenciais podem existir e, para ajudar a proteger os dados em trânsito, garanta que a criptografia esteja habilitada para seu Elastic Load Balancing. UsarAWSGerenciador de certificados para gerenciar, provisionar e implantar certificados SSL/TLS públicos e privados comAWSserviços e recursos internos.
AC-17 (2)	Acesso remoto | Proteção da confidencialidade e integridade usando criptografia	s3-bucket-ssl-requests-only	Para ajudar a proteger os dados em trânsito, certifique-se de que seus buckets do Amazon Simple Storage Service (Amazon S3) exijam solicitações para usar o Secure Socket Layer (SSL). Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados.
AC-21	Compartilhamento de informações	autoscaling-launch-config-public-ip desativado	Se você configurar suas interfaces de rede com um endereço IP público, os recursos associados a essas interfaces de rede poderão ser acessados pela Internet. Os recursos do EC2 não devem ser acessíveis ao público, pois isso pode permitir acesso não intencional aos seus aplicativos ou servidores.
AC-21	Compartilhamento de informações	ec2-instances-in-vpc	Implante instâncias do Amazon Elastic Compute Cloud (Amazon EC2) em uma Amazon Virtual Private Cloud (Amazon VPC) para permitir a comunicação segura entre uma instância e outros serviços dentro da Amazon VPC, sem exigir um gateway de internet, dispositivo NAT ou conexão VPN. Todo o tráfego permanece com segurança na Nuvem AWS. Devido ao isolamento lógico, os domínios que residem em um Amazon VPC têm uma camada extra de segurança quando comparados aos domínios que usam endpoints públicos. Atribua instâncias do Amazon EC2 a uma Amazon VPC para gerenciar adequadamente o acesso.
AC-21	Compartilhamento de informações	ssm-document-not-public	GarantaAWSOs documentos do Systems Manager (SSM) não são públicos, pois isso pode permitir acesso não intencional aos seus documentos SSM. Um documento SSM público pode expor informações sobre sua conta, recursos e processos internos.
AC-21	Compartilhamento de informações	dms-replication-not-public	Gerencie o acesso aoAWSNuvem, garantindo que as instâncias de replicação do DMS não possam ser acessadas publicamente. As instâncias de replicação do DMS podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
AC-21	Compartilhamento de informações	ebs-snapshot-public-restorable-verifique	Gerencie o acesso aoAWSNuvem garantindo que os snapshots do EBS não possam ser restaurados publicamente. Os instantâneos de volume do EBS podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
AC-21	Compartilhamento de informações	ec2-instance-no-public-ip	Gerencie o acesso aoAWSNuvem garantindo que as instâncias do Amazon Elastic Compute Cloud (Amazon EC2) não possam ser acessadas publicamente. As instâncias do Amazon EC2 podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
AC-21	Compartilhamento de informações	elasticsearch-in-vpc-only	Gerencie o acesso aoAWSNuvem ao garantir a AmazonOpenSearchServiço (OpenSearch(Serviço) Os domínios estão dentro de uma Amazon Virtual Private Cloud (Amazon VPC). UmOpenSearchO domínio de serviço em um Amazon VPC permite a comunicação segura entreOpenSearchServiço e outros serviços dentro do Amazon VPC sem a necessidade de um gateway de internet, dispositivo NAT ou conexão VPN.
AC-21	Compartilhamento de informações	emr-master-no-public-ip	Gerencie o acesso aoAWSNuvem, garantindo que os nós principais do cluster Amazon EMR não possam ser acessados publicamente. Os nós principais do cluster do Amazon EMR podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
AC-21	Compartilhamento de informações	lambda-function-public-access-proibido	Gerencie o acesso aos recursos noAWSNuvem, garantindoAWSAs funções do Lambda não podem ser acessadas publicamente. O acesso público pode potencialmente levar à degradação da disponibilidade de recursos.
AC-21	Compartilhamento de informações	lambda-inside-vpc	ImplantarAWSO Lambda funciona em uma Amazon Virtual Private Cloud (Amazon VPC) para uma comunicação segura entre uma função e outros serviços dentro da Amazon VPC. Com essa configuração, não há necessidade de um gateway de Internet, dispositivo NAT ou conexão VPN. Todo o tráfego permanece seguro dentro doAWSNuvem. Devido ao isolamento lógico, os domínios que residem em um Amazon VPC têm uma camada extra de segurança quando comparados aos domínios que usam endpoints públicos. Para gerenciar adequadamente o acesso,AWSAs funções lambda devem ser atribuídas a uma VPC.
AC-21	Compartilhamento de informações	opensearch-in-vpc-only	Gerencie o acesso aoAWSNuvem ao garantir a AmazonOpenSearchOs domínios de serviço estão dentro de uma Amazon Virtual Private Cloud (Amazon VPC). Uma AmazôniaOpenSearchO domínio de serviço em um Amazon VPC permite a comunicação segura entre a AmazonOpenSearchServiço e outros serviços dentro do Amazon VPC sem a necessidade de um gateway de internet, dispositivo NAT ou conexão VPN.
AC-21	Compartilhamento de informações	rds-instance-public-access-verifique	Gerencie o acesso aos recursos noAWSNuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações confidenciais, e princípios e controle de acesso são necessários para essas contas.
AC-21	Compartilhamento de informações	rds-snapshots-public-prohibited	Gerencie o acesso aos recursos noAWSNuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações e princípios confidenciais, e o controle de acesso é necessário para essas contas.
AC-21	Compartilhamento de informações	redshift-cluster-public-access-verifique	Gerencie o acesso aos recursos noAWSNuvem garantindo que os clusters do Amazon Redshift não sejam públicos. Os clusters do Amazon Redshift podem conter informações e princípios confidenciais, e o controle de acesso é necessário para essas contas.
AC-21	Compartilhamento de informações	s3-account-level-public-access-blocos periódicos	Gerencie o acesso aos recursos noAWSNuvem garantindo que os buckets do Amazon Simple Storage Service (Amazon S3) não possam ser acessados publicamente. Essa regra ajuda a manter os dados confidenciais protegidos de usuários remotos não autorizados, impedindo o acesso público. Essa regra permite que você defina opcionalmente oignorePublicAcls(Padrão de configuração: verdadeiro),blockPublicPolicy(Padrão de configuração: verdadeiro),blockPublicAcls(Config Default: True), erestrictPublicBucketsparâmetros (Config Default: True). Os valores reais devem refletir as políticas da sua organização.
AC-21	Compartilhamento de informações	s3-bucket-level-public-access-proibido	Gerencie o acesso aos recursos noAWSNuvem garantindo que os buckets do Amazon Simple Storage Service (Amazon S3) não possam ser acessados publicamente. Essa regra ajuda a manter os dados confidenciais protegidos de usuários remotos não autorizados, impedindo o acesso público no nível do bucket.
AC-21	Compartilhamento de informações	s3-bucket-public-read-prohibited	Gerencie o acesso aos recursos noAWSNuvem ao permitir que usuários, processos e dispositivos autorizados acessem apenas buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados.
AC-21	Compartilhamento de informações	s3-bucket-public-write-prohibited	Gerencie o acesso aos recursos noAWSNuvem ao permitir que usuários, processos e dispositivos autorizados acessem apenas buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados.
AC-21	Compartilhamento de informações	sagemaker-notebook-no-direct-acesso à internet	Gerencie o acesso aos recursos noAWSNuvem, garantindo que a AmazonSageMakeros notebooks não permitem acesso direto à internet. Ao impedir o acesso direto à Internet, você pode impedir que dados confidenciais sejam acessados por usuários não autorizados.
AC-21	Compartilhamento de informações	subnet-auto-assign-public-ip desativado	Gerencie o acesso aoAWSNuvem garantindo que as sub-redes Amazon Virtual Private Cloud (VPC) não recebam automaticamente um endereço IP público. As instâncias do Amazon Elastic Compute Cloud (EC2) que são lançadas em sub-redes que têm esse atributo ativado têm um endereço IP público atribuído à sua interface de rede primária.
AU-2	Registro de eventos	elasticsearch-logs-to-cloudwatch	Garanta a AmazonOpenSearchOs domínios de serviço têm registros de erros habilitados e transmitidos para a AmazonCloudWatchRegistros para retenção e resposta. Os registros de erros do domínio podem ajudar nas auditorias de segurança e acesso e podem ajudar a diagnosticar problemas de disponibilidade.
AU-2	Registro de eventos	multi-region-cloudtrail-enabled	AWS CloudTrailregistrosAWSAções do Management Console e chamadas de API. Você pode identificar quais usuários e contas ligaramAWS, o endereço IP de origem de onde as chamadas foram feitas e quando as chamadas ocorreram. CloudTrailentregará arquivos de log de todosAWSRegiões para seu bucket do S3 se MULTI_REGION_CLOUD_TRAIL_ENABLED estiver ativado. Além disso, quandoAWSlança uma nova região,CloudTrailcriará a mesma trilha na nova região. Como resultado, você receberá arquivos de log contendo a atividade da API para a nova região sem realizar nenhuma ação.
AU-2	Registro de eventos	opensearch-logs-to-cloudwatch	Garanta a AmazonOpenSearchOs domínios de serviço têm registros de erros habilitados e transmitidos para a AmazonCloudWatchRegistros para retenção e resposta. OpenSearchOs registros de erros do serviço podem ajudar nas auditorias de segurança e acesso e podem ajudar a diagnosticar problemas de disponibilidade.
AU-2	Registro de eventos	rds-logging-enabled	Para ajudar com o registro e o monitoramento em seu ambiente, certifique-se de que o registro do Amazon Relational Database Service (Amazon RDS) esteja ativado. Com o registro do Amazon RDS, você pode capturar eventos como conexões, desconexões, consultas ou tabelas consultadas.
AU-2	Registro de eventos	wafv2 ativado para registro	Para ajudar com o registro e o monitoramento em seu ambiente, habiliteAWSRegistro WAF (V2) em ACLs da web regionais e globais.AWS O registro do WAF fornece informações detalhadas sobre o tráfego que é analisado pela sua ACL da web. Os registros registram a hora em queAWSO WAF recebeu a solicitação do seuAWSrecurso, informações sobre a solicitação e uma ação para a regra à qual cada solicitação correspondeu.
AU-2	Registro de eventos	api-gw-execution-logging-ativado	O registro do API Gateway exibe visualizações detalhadas dos usuários que acessaram a API e a forma como acessaram a API. Esse insight permite a visibilidade das atividades do usuário.
AU-2	Registro de eventos	cloud-trail-cloud-watch-registros habilitados	Use a AmazonCloudWatchpara coletar e gerenciar centralmente a atividade de eventos de registro. Inclusão deAWS CloudTrailos dados fornecem detalhes da atividade de chamadas de API em seuAWSconta.
AU-2	Registro de eventos	habilitado para cloudtrail	AWS CloudTrailpode ajudar na não repúdio gravandoAWSAções do Management Console e chamadas de API. Você pode identificar os usuários eAWScontas que chamaram umAWSserviço, o endereço IP de origem onde as chamadas foram geradas e os horários das chamadas. Os detalhes dos dados capturados são vistos emAWS CloudTrailGravar conteúdo.
AU-2	Registro de eventos	cloudtrail-s3 - eventos de dados habilitados	A coleta de eventos de dados do Simple Storage Service (Amazon S3) ajuda a detectar qualquer atividade anômala. Os detalhes incluemAWSinformações da conta que acessaram um bucket do Amazon S3, endereço IP e hora do evento.
AU-2	Registro de eventos	elb-logging-enabled	A atividade do Elastic Load Balancing é um ponto central de comunicação dentro de um ambiente. Certifique-se de que o registro do ELB esteja ativado. Os dados coletados fornecem informações detalhadas sobre as solicitações enviadas ao ELB. Cada log contém informações como a hora em que a solicitação foi recebida, o endereço IP do cliente, latências, caminhos de solicitação e respostas do servidor.
AU-2	Registro de eventos	redshift-cluster-configuration-check	Para proteger os dados em repouso, certifique-se de que a criptografia esteja habilitada para seus clusters do Amazon Redshift. Você também deve garantir que as configurações necessárias sejam implantadas nos clusters do Amazon Redshift. O registro de auditoria deve estar habilitado para fornecer informações sobre conexões e atividades do usuário no banco de dados. Essa regra exige que um valor seja definido paraclusterDbEncrypted(Config Default: TRUE) e LoggingEnabled (Config Default: TRUE). Os valores reais devem refletir as políticas da sua organização.
AU-2	Registro de eventos	s3-bucket-logging-enabled	O registro de acesso ao servidor do Amazon Simple Storage Service (Amazon S3) fornece um método para monitorar a rede em busca de possíveis eventos de segurança cibernética. Os eventos são monitorados por meio da captura de registros detalhados das solicitações feitas a um bucket do Amazon S3. Cada registro de registro de acesso fornece detalhes sobre uma única solicitação de acesso. Os detalhes incluem o solicitante, nome do bucket, hora da solicitação, ação da solicitação, status da resposta e um código de erro, se relevante.
AU-2	Registro de eventos	vpc-flow-logs-enabled	Os registros de fluxo do VPC fornecem registros detalhados de informações sobre o tráfego IP que vai e vem das interfaces de rede em sua Amazon Virtual Private Cloud (Amazon VPC). Por padrão, o registro do log de fluxo inclui valores para os diferentes componentes do fluxo IP, incluindo a origem, o destino e o protocolo.
AU-3	Conteúdo dos registros de auditoria	elasticsearch-logs-to-cloudwatch	Garanta a AmazonOpenSearchOs domínios de serviço têm registros de erros habilitados e transmitidos para a AmazonCloudWatchRegistros para retenção e resposta. Os registros de erros do domínio podem ajudar nas auditorias de segurança e acesso e podem ajudar a diagnosticar problemas de disponibilidade.
AU-3	Conteúdo dos registros de auditoria	multi-region-cloudtrail-enabled	AWS CloudTrailregistrosAWSAções do Management Console e chamadas de API. Você pode identificar quais usuários e contas ligaramAWS, o endereço IP de origem de onde as chamadas foram feitas e quando as chamadas ocorreram. CloudTrailentregará arquivos de log de todosAWSRegiões para seu bucket do S3 se MULTI_REGION_CLOUD_TRAIL_ENABLED estiver ativado. Além disso, quandoAWSlança uma nova região,CloudTrailcriará a mesma trilha na nova região. Como resultado, você receberá arquivos de log contendo a atividade da API para a nova região sem realizar nenhuma ação.
AU-3	Conteúdo dos registros de auditoria	opensearch-logs-to-cloudwatch	Garanta a AmazonOpenSearchOs domínios de serviço têm registros de erros habilitados e transmitidos para a AmazonCloudWatchRegistros para retenção e resposta. OpenSearchOs registros de erros do serviço podem ajudar nas auditorias de segurança e acesso e podem ajudar a diagnosticar problemas de disponibilidade.
AU-3	Conteúdo dos registros de auditoria	wafv2 ativado para registro	Para ajudar com o registro e o monitoramento em seu ambiente, habiliteAWSRegistro WAF (V2) em ACLs da web regionais e globais.AWS O registro do WAF fornece informações detalhadas sobre o tráfego que é analisado pela sua ACL da web. Os registros registram a hora em queAWSO WAF recebeu a solicitação do seuAWSrecurso, informações sobre a solicitação e uma ação para a regra à qual cada solicitação correspondeu.
AU-3	Conteúdo dos registros de auditoria	api-gw-execution-logging-ativado	O registro do API Gateway exibe visualizações detalhadas dos usuários que acessaram a API e a forma como acessaram a API. Esse insight permite a visibilidade das atividades do usuário.
AU-3	Conteúdo dos registros de auditoria	cloud-trail-cloud-watch-registros habilitados	Use a AmazonCloudWatchpara coletar e gerenciar centralmente a atividade de eventos de registro. Inclusão deAWS CloudTrailos dados fornecem detalhes da atividade de chamadas de API em seuAWSconta.
AU-3	Conteúdo dos registros de auditoria	habilitado para cloudtrail	AWS CloudTrailpode ajudar na não repúdio gravandoAWSAções do Management Console e chamadas de API. Você pode identificar os usuários eAWScontas que chamaram umAWSserviço, o endereço IP de origem onde as chamadas foram geradas e os horários das chamadas. Os detalhes dos dados capturados são vistos emAWS CloudTrailGravar conteúdo.
AU-3	Conteúdo dos registros de auditoria	cloudtrail-s3 - eventos de dados habilitados	A coleta de eventos de dados do Simple Storage Service (Amazon S3) ajuda a detectar qualquer atividade anômala. Os detalhes incluemAWSinformações da conta que acessaram um bucket do Amazon S3, endereço IP e hora do evento.
AU-3	Conteúdo dos registros de auditoria	elb-logging-enabled	A atividade do Elastic Load Balancing é um ponto central de comunicação dentro de um ambiente. Certifique-se de que o registro do ELB esteja ativado. Os dados coletados fornecem informações detalhadas sobre as solicitações enviadas ao ELB. Cada log contém informações como a hora em que a solicitação foi recebida, o endereço IP do cliente, latências, caminhos de solicitação e respostas do servidor.
AU-3	Conteúdo dos registros de auditoria	rds-logging-enabled	Para ajudar com o registro e o monitoramento em seu ambiente, certifique-se de que o registro do Amazon Relational Database Service (Amazon RDS) esteja ativado. Com o registro do Amazon RDS, você pode capturar eventos como conexões, desconexões, consultas ou tabelas consultadas.
AU-3	Conteúdo dos registros de auditoria	redshift-cluster-configuration-check	Para proteger os dados em repouso, certifique-se de que a criptografia esteja habilitada para seus clusters do Amazon Redshift. Você também deve garantir que as configurações necessárias sejam implantadas nos clusters do Amazon Redshift. O registro de auditoria deve estar habilitado para fornecer informações sobre conexões e atividades do usuário no banco de dados. Essa regra exige que um valor seja definido paraclusterDbEncrypted(Config Default: TRUE) e LoggingEnabled (Config Default: TRUE). Os valores reais devem refletir as políticas da sua organização.
AU-3	Conteúdo dos registros de auditoria	s3-bucket-logging-enabled	O registro de acesso ao servidor do Amazon Simple Storage Service (Amazon S3) fornece um método para monitorar a rede em busca de possíveis eventos de segurança cibernética. Os eventos são monitorados por meio da captura de registros detalhados das solicitações feitas a um bucket do Amazon S3. Cada registro de registro de acesso fornece detalhes sobre uma única solicitação de acesso. Os detalhes incluem o solicitante, nome do bucket, hora da solicitação, ação da solicitação, status da resposta e um código de erro, se relevante.
AU-3	Conteúdo dos registros de auditoria	vpc-flow-logs-enabled	Os registros de fluxo do VPC fornecem registros detalhados de informações sobre o tráfego IP que vai e vem das interfaces de rede em sua Amazon Virtual Private Cloud (Amazon VPC). Por padrão, o registro do log de fluxo inclui valores para os diferentes componentes do fluxo IP, incluindo a origem, o destino e o protocolo.
AU-6 (1)	Revisão, análise e emissão de relatórios de registros de auditoria | Integração automatizada de processos	cloud-trail-cloud-watch-registros habilitados	Use a AmazonCloudWatchpara coletar e gerenciar centralmente a atividade de eventos de registro. Inclusão deAWS CloudTrailos dados fornecem detalhes da atividade de chamadas de API em seuAWSconta.
AU-6 (1)	Revisão, análise e emissão de relatórios de registros de auditoria | Integração automatizada de processos	guardduty-enabled-centralized	AmazôniaGuardDutypode ajudar a monitorar e detectar possíveis eventos de segurança cibernética usando feeds de inteligência de ameaças. Isso inclui listas de IPs maliciosos e aprendizado de máquina para identificar atividades inesperadas, não autorizadas e maliciosas em seuAWSAmbiente em nuvem.
AU-6 (1)	Revisão, análise e emissão de relatórios de registros de auditoria | Integração automatizada de processos	habilitado para hub de segurança	AWSO Security Hub ajuda a monitorar pessoal, conexões, dispositivos e software não autorizados.AWS O Security Hub agrega, organiza e prioriza os alertas de segurança, ou descobertas, de váriosAWSserviços. Alguns desses serviços são o Amazon Security Hub, o Amazon Inspector, o Amazon Macie,AWSAnalisador de acesso de gerenciamento de identidade e acesso (IAM) eAWSFirewall Manager eAWSSoluções de parceiros.
AU-6 (1)	Revisão, análise e emissão de relatórios de registros de auditoria | Integração automatizada de processos	cloudwatch-alarm-action-check	AmazôniaCloudWatchalertam quando uma métrica ultrapassa o limite de um determinado número de períodos de avaliação. O alarme realiza uma ou mais ações com base no valor da métrica ou na expressão relativa a um limite em alguns períodos. Essa regra exige um valor paraalarmActionRequired(Padrão de configuração: verdadeiro),insufficientDataActionObrigatório (padrão de configuração: verdadeiro),okActionRequired(Padrão de configuração: falso). O valor real deve refletir as ações de alarme do seu ambiente.
AU-6 (3)	Revisão, análise e emissão de relatórios de registros de auditoria | Correlacione repositórios de registros de auditoria	elasticsearch-logs-to-cloudwatch	Garanta a AmazonOpenSearchOs domínios de serviço têm registros de erros habilitados e transmitidos para a AmazonCloudWatchRegistros para retenção e resposta. Os registros de erros do domínio podem ajudar nas auditorias de segurança e acesso e podem ajudar a diagnosticar problemas de disponibilidade.
AU-6 (3)	Revisão, análise e emissão de relatórios de registros de auditoria | Correlacione repositórios de registros de auditoria	multi-region-cloudtrail-enabled	AWS CloudTrailregistrosAWSAções do Management Console e chamadas de API. Você pode identificar quais usuários e contas ligaramAWS, o endereço IP de origem de onde as chamadas foram feitas e quando as chamadas ocorreram. CloudTrailentregará arquivos de log de todosAWSRegiões para seu bucket do S3 se MULTI_REGION_CLOUD_TRAIL_ENABLED estiver ativado. Além disso, quandoAWSlança uma nova região,CloudTrailcriará a mesma trilha na nova região. Como resultado, você receberá arquivos de log contendo a atividade da API para a nova região sem realizar nenhuma ação.
AU-6 (3)	Revisão, análise e emissão de relatórios de registros de auditoria | Correlacione repositórios de registros de auditoria	opensearch-logs-to-cloudwatch	Garanta a AmazonOpenSearchOs domínios de serviço têm registros de erros habilitados e transmitidos para a AmazonCloudWatchRegistros para retenção e resposta. OpenSearchOs registros de erros do serviço podem ajudar nas auditorias de segurança e acesso e podem ajudar a diagnosticar problemas de disponibilidade.
AU-6 (3)	Revisão, análise e emissão de relatórios de registros de auditoria | Correlacione repositórios de registros de auditoria	wafv2 ativado para registro	Para ajudar com o registro e o monitoramento em seu ambiente, habiliteAWSRegistro WAF (V2) em ACLs da web regionais e globais.AWS O registro do WAF fornece informações detalhadas sobre o tráfego que é analisado pela sua ACL da web. Os registros registram a hora em queAWSO WAF recebeu a solicitação do seuAWSrecurso, informações sobre a solicitação e uma ação para a regra à qual cada solicitação correspondeu.
AU-6 (3)	Revisão, análise e emissão de relatórios de registros de auditoria | Correlacione repositórios de registros de auditoria	api-gw-execution-logging-ativado	O registro do API Gateway exibe visualizações detalhadas dos usuários que acessaram a API e a forma como acessaram a API. Esse insight permite a visibilidade das atividades do usuário.
AU-6 (3)	Revisão, análise e emissão de relatórios de registros de auditoria | Correlacione repositórios de registros de auditoria	cloud-trail-cloud-watch-registros habilitados	Use a AmazonCloudWatchpara coletar e gerenciar centralmente a atividade de eventos de registro. Inclusão deAWS CloudTrailos dados fornecem detalhes da atividade de chamadas de API em seuAWSconta.
AU-6 (3)	Revisão, análise e emissão de relatórios de registros de auditoria | Correlacione repositórios de registros de auditoria	habilitado para cloudtrail	AWS CloudTrailpode ajudar na não repúdio gravandoAWSAções do Management Console e chamadas de API. Você pode identificar os usuários eAWScontas que chamaram umAWSserviço, o endereço IP de origem onde as chamadas foram geradas e os horários das chamadas. Os detalhes dos dados capturados são vistos emAWS CloudTrailGravar conteúdo.
AU-6 (3)	Revisão, análise e emissão de relatórios de registros de auditoria | Correlacione repositórios de registros de auditoria	cloudtrail-s3 - eventos de dados habilitados	A coleta de eventos de dados do Simple Storage Service (Amazon S3) ajuda a detectar qualquer atividade anômala. Os detalhes incluemAWSinformações da conta que acessaram um bucket do Amazon S3, endereço IP e hora do evento.
AU-6 (3)	Revisão, análise e emissão de relatórios de registros de auditoria | Correlacione repositórios de registros de auditoria	elb-logging-enabled	A atividade do Elastic Load Balancing é um ponto central de comunicação dentro de um ambiente. Certifique-se de que o registro do ELB esteja ativado. Os dados coletados fornecem informações detalhadas sobre as solicitações enviadas ao ELB. Cada log contém informações como a hora em que a solicitação foi recebida, o endereço IP do cliente, latências, caminhos de solicitação e respostas do servidor.
AU-6 (3)	Revisão, análise e emissão de relatórios de registros de auditoria | Correlacione repositórios de registros de auditoria	rds-logging-enabled	Para ajudar com o registro e o monitoramento em seu ambiente, certifique-se de que o registro do Amazon Relational Database Service (Amazon RDS) esteja ativado. Com o registro do Amazon RDS, você pode capturar eventos como conexões, desconexões, consultas ou tabelas consultadas.
AU-6 (3)	Revisão, análise e emissão de relatórios de registros de auditoria | Correlacione repositórios de registros de auditoria	redshift-cluster-configuration-check	Para proteger os dados em repouso, certifique-se de que a criptografia esteja habilitada para seus clusters do Amazon Redshift. Você também deve garantir que as configurações necessárias sejam implantadas nos clusters do Amazon Redshift. O registro de auditoria deve estar habilitado para fornecer informações sobre conexões e atividades do usuário no banco de dados. Essa regra exige que um valor seja definido paraclusterDbEncrypted(Config Default: TRUE) e LoggingEnabled (Config Default: TRUE). Os valores reais devem refletir as políticas da sua organização.
AU-6 (3)	Revisão, análise e emissão de relatórios de registros de auditoria | Correlacione repositórios de registros de auditoria	s3-bucket-logging-enabled	O registro de acesso ao servidor do Amazon Simple Storage Service (Amazon S3) fornece um método para monitorar a rede em busca de possíveis eventos de segurança cibernética. Os eventos são monitorados por meio da captura de registros detalhados das solicitações feitas a um bucket do Amazon S3. Cada registro de registro de acesso fornece detalhes sobre uma única solicitação de acesso. Os detalhes incluem o solicitante, nome do bucket, hora da solicitação, ação da solicitação, status da resposta e um código de erro, se relevante.
AU-6 (3)	Revisão, análise e emissão de relatórios de registros de auditoria | Correlacione repositórios de registros de auditoria	vpc-flow-logs-enabled	Os registros de fluxo do VPC fornecem registros detalhados de informações sobre o tráfego IP que vai e vem das interfaces de rede em sua Amazon Virtual Private Cloud (Amazon VPC). Por padrão, o registro do log de fluxo inclui valores para os diferentes componentes do fluxo IP, incluindo a origem, o destino e o protocolo.
AU-6 (4)	Revisão, análise e emissão de relatórios de registros de auditoria | Revisão e análise centrais	elasticsearch-logs-to-cloudwatch	Garanta a AmazonOpenSearchOs domínios de serviço têm registros de erros habilitados e transmitidos para a AmazonCloudWatchRegistros para retenção e resposta. Os registros de erros do domínio podem ajudar nas auditorias de segurança e acesso e podem ajudar a diagnosticar problemas de disponibilidade.
AU-6 (4)	Revisão, análise e emissão de relatórios de registros de auditoria | Revisão e análise centrais	multi-region-cloudtrail-enabled	AWS CloudTrailregistrosAWSAções do Management Console e chamadas de API. Você pode identificar quais usuários e contas ligaramAWS, o endereço IP de origem de onde as chamadas foram feitas e quando as chamadas ocorreram. CloudTrailentregará arquivos de log de todosAWSRegiões para seu bucket do S3 se MULTI_REGION_CLOUD_TRAIL_ENABLED estiver ativado. Além disso, quandoAWSlança uma nova região,CloudTrailcriará a mesma trilha na nova região. Como resultado, você receberá arquivos de log contendo a atividade da API para a nova região sem realizar nenhuma ação.
AU-6 (4)	Revisão, análise e emissão de relatórios de registros de auditoria | Revisão e análise centrais	opensearch-logs-to-cloudwatch	Garanta a AmazonOpenSearchOs domínios de serviço têm registros de erros habilitados e transmitidos para a AmazonCloudWatchRegistros para retenção e resposta. OpenSearchOs registros de erros do serviço podem ajudar nas auditorias de segurança e acesso e podem ajudar a diagnosticar problemas de disponibilidade.
AU-6 (4)	Revisão, análise e emissão de relatórios de registros de auditoria | Revisão e análise centrais	wafv2 ativado para registro	Para ajudar com o registro e o monitoramento em seu ambiente, habiliteAWSRegistro WAF (V2) em ACLs da web regionais e globais.AWS O registro do WAF fornece informações detalhadas sobre o tráfego que é analisado pela sua ACL da web. Os registros registram a hora em queAWSO WAF recebeu a solicitação do seuAWSrecurso, informações sobre a solicitação e uma ação para a regra à qual cada solicitação correspondeu.
AU-6 (4)	Revisão, análise e emissão de relatórios de registros de auditoria | Revisão e análise centrais	api-gw-execution-logging-ativado	O registro do API Gateway exibe visualizações detalhadas dos usuários que acessaram a API e a forma como acessaram a API. Esse insight permite a visibilidade das atividades do usuário.
AU-6 (4)	Revisão, análise e emissão de relatórios de registros de auditoria | Revisão e análise centrais	cloud-trail-cloud-watch-registros habilitados	Use a AmazonCloudWatchpara coletar e gerenciar centralmente a atividade de eventos de registro. Inclusão deAWS CloudTrailos dados fornecem detalhes da atividade de chamadas de API em seuAWSconta.
AU-6 (4)	Revisão, análise e emissão de relatórios de registros de auditoria | Revisão e análise centrais	habilitado para cloudtrail	AWS CloudTrailpode ajudar na não repúdio gravandoAWSAções do Management Console e chamadas de API. Você pode identificar os usuários eAWScontas que chamaram umAWSserviço, o endereço IP de origem onde as chamadas foram geradas e os horários das chamadas. Os detalhes dos dados capturados são vistos emAWS CloudTrailGravar conteúdo.
AU-6 (4)	Revisão, análise e emissão de relatórios de registros de auditoria | Revisão e análise centrais	cloudtrail-s3 - eventos de dados habilitados	A coleta de eventos de dados do Simple Storage Service (Amazon S3) ajuda a detectar qualquer atividade anômala. Os detalhes incluemAWSinformações da conta que acessaram um bucket do Amazon S3, endereço IP e hora do evento.
AU-6 (4)	Revisão, análise e emissão de relatórios de registros de auditoria | Revisão e análise centrais	elb-logging-enabled	A atividade do Elastic Load Balancing é um ponto central de comunicação dentro de um ambiente. Certifique-se de que o registro do ELB esteja ativado. Os dados coletados fornecem informações detalhadas sobre as solicitações enviadas ao ELB. Cada log contém informações como a hora em que a solicitação foi recebida, o endereço IP do cliente, latências, caminhos de solicitação e respostas do servidor.
AU-6 (4)	Revisão, análise e emissão de relatórios de registros de auditoria | Revisão e análise centrais	rds-logging-enabled	Para ajudar com o registro e o monitoramento em seu ambiente, certifique-se de que o registro do Amazon Relational Database Service (Amazon RDS) esteja ativado. Com o registro do Amazon RDS, você pode capturar eventos como conexões, desconexões, consultas ou tabelas consultadas.
AU-6 (4)	Revisão, análise e emissão de relatórios de registros de auditoria | Revisão e análise centrais	redshift-cluster-configuration-check	Para proteger os dados em repouso, certifique-se de que a criptografia esteja habilitada para seus clusters do Amazon Redshift. Você também deve garantir que as configurações necessárias sejam implantadas nos clusters do Amazon Redshift. O registro de auditoria deve estar habilitado para fornecer informações sobre conexões e atividades do usuário no banco de dados. Essa regra exige que um valor seja definido paraclusterDbEncrypted(Config Default: TRUE) e LoggingEnabled (Config Default: TRUE). Os valores reais devem refletir as políticas da sua organização.
AU-6 (4)	Revisão, análise e emissão de relatórios de registros de auditoria | Revisão e análise centrais	s3-bucket-logging-enabled	O registro de acesso ao servidor do Amazon Simple Storage Service (Amazon S3) fornece um método para monitorar a rede em busca de possíveis eventos de segurança cibernética. Os eventos são monitorados por meio da captura de registros detalhados das solicitações feitas a um bucket do Amazon S3. Cada registro de registro de acesso fornece detalhes sobre uma única solicitação de acesso. Os detalhes incluem o solicitante, nome do bucket, hora da solicitação, ação da solicitação, status da resposta e um código de erro, se relevante.
AU-6 (4)	Revisão, análise e emissão de relatórios de registros de auditoria | Revisão e análise centrais	vpc-flow-logs-enabled	Os registros de fluxo do VPC fornecem registros detalhados de informações sobre o tráfego IP que vai e vem das interfaces de rede em sua Amazon Virtual Private Cloud (Amazon VPC). Por padrão, o registro do log de fluxo inclui valores para os diferentes componentes do fluxo IP, incluindo a origem, o destino e o protocolo.
AU-6 (5)	Revisão, análise e emissão de relatórios de registros de auditoria | Análise integrada de registros de auditoria	cloud-trail-cloud-watch-registros habilitados	Use a AmazonCloudWatchpara coletar e gerenciar centralmente a atividade de eventos de registro. Inclusão deAWS CloudTrailos dados fornecem detalhes da atividade de chamadas de API em seuAWSconta.
AU-6 (5)	Revisão, análise e emissão de relatórios de registros de auditoria | Análise integrada de registros de auditoria	guardduty-enabled-centralized	AmazôniaGuardDutypode ajudar a monitorar e detectar possíveis eventos de segurança cibernética usando feeds de inteligência de ameaças. Isso inclui listas de IPs maliciosos e aprendizado de máquina para identificar atividades inesperadas, não autorizadas e maliciosas em seuAWSAmbiente em nuvem.
AU-6 (5)	Revisão, análise e emissão de relatórios de registros de auditoria | Análise integrada de registros de auditoria	habilitado para hub de segurança	AWSO Security Hub ajuda a monitorar pessoal, conexões, dispositivos e software não autorizados.AWS O Security Hub agrega, organiza e prioriza os alertas de segurança, ou descobertas, de váriosAWSserviços. Alguns desses serviços são o Amazon Security Hub, o Amazon Inspector, o Amazon Macie,AWSAnalisador de acesso de gerenciamento de identidade e acesso (IAM) eAWSFirewall Manager eAWSSoluções de parceiros.
AU-6 (5)	Revisão, análise e emissão de relatórios de registros de auditoria | Análise integrada de registros de auditoria	cloudwatch-alarm-action-check	AmazôniaCloudWatchalertam quando uma métrica ultrapassa o limite de um determinado número de períodos de avaliação. O alarme realiza uma ou mais ações com base no valor da métrica ou na expressão relativa a um limite em alguns períodos. Essa regra exige um valor paraalarmActionRequired(Padrão de configuração: verdadeiro),insufficientDataActionObrigatório (padrão de configuração: verdadeiro),okActionRequired(Padrão de configuração: falso). O valor real deve refletir as ações de alarme do seu ambiente.
AU-7 (1)	Redução de registros de auditoria e geração de relatórios | Processamento automático	cloud-trail-cloud-watch-registros habilitados	Use a AmazonCloudWatchpara coletar e gerenciar centralmente a atividade de eventos de registro. Inclusão deAWS CloudTrailos dados fornecem detalhes da atividade de chamadas de API em seuAWSconta.
AU-9 (2)	Proteção das informações de auditoria | Armazenar em sistemas ou componentes físicos separados	s3-version-lifecycle-policy-check	Certifique-se de que as políticas de ciclo de vida do Amazon S3 estejam configuradas para ajudar a definir as ações que você deseja que o Amazon S3 realize durante a vida útil de um objeto (por exemplo, fazer a transição de objetos para outra classe de armazenamento, arquivá-los ou excluí-los após um período de tempo especificado).
AU-9 (2)	Proteção das informações de auditoria | Armazenar em sistemas ou componentes físicos separados	s3-bucket-replication-enabled	A replicação entre regiões (CRR) do Amazon Simple Storage Service (Amazon S3) suporta a manutenção de capacidade e disponibilidade adequadas. A CRR permite a cópia automática e assíncrona de objetos em buckets do Amazon S3 para ajudar a garantir que a disponibilidade dos dados seja mantida.
AU-9 (2)	Proteção das informações de auditoria | Armazenar em sistemas ou componentes físicos separados	s3-bucket-versioning-enabled	O controle de versão do bucket do Amazon Simple Storage Service (Amazon S3) ajuda a manter várias variantes de um objeto no mesmo bucket do Amazon S3. Use o controle de versão para preservar, recuperar e restaurar todas as versões de cada objeto armazenado em seu bucket do Amazon S3. O controle de versão ajuda você a se recuperar facilmente de ações não intencionais do usuário e falhas de aplicativos.
AU-9 (7)	Proteção das informações de auditoria | Armazenar em um componente com sistema operacional diferente	cloud-trail-cloud-watch-registros habilitados	Use a AmazonCloudWatchpara coletar e gerenciar centralmente a atividade de eventos de registro. Inclusão deAWS CloudTrailos dados fornecem detalhes da atividade de chamadas de API em seuAWSconta.
AU-9	Proteção das informações de auditoria	s3-default-encryption-kms	Certifique-se de que a criptografia esteja habilitada para seus buckets do Amazon Simple Storage Service (Amazon S3). Como dados confidenciais podem existir em repouso em um bucket do Amazon S3, habilite a criptografia em repouso para ajudar a proteger esses dados.
AU-9	Proteção das informações de auditoria	habilitado para cloudtrail	AWS CloudTrailpode ajudar na não repúdio gravandoAWSAções do Management Console e chamadas de API. Você pode identificar os usuários eAWScontas que chamaram umAWSserviço, o endereço IP de origem onde as chamadas foram geradas e os horários das chamadas. Os detalhes dos dados capturados são vistos emAWS CloudTrailGravar conteúdo.
AU-9	Proteção das informações de auditoria	cloud-trail-encryption-enabled	Como podem existir dados confidenciais e, para ajudar a proteger os dados em repouso, certifique-se de que a criptografia esteja habilitada para seuAWS CloudTrailtrilhas.
AU-9	Proteção das informações de auditoria	cloud-trail-log-file-validação ativada	UtilizeAWS CloudTrailvalidação do arquivo de log para verificar a integridade doCloudTrailtroncos. A validação do arquivo de log ajuda a determinar se um arquivo de log foi modificado, excluído ou inalterado apósCloudTrailentregou. Esse recurso é criado usando algoritmos padrão do setor: SHA-256 para hashing e SHA-256 com RSA para assinaturas digitais. Desse modo, é computacionalmente impraticável modificar, excluir ou forjar arquivos de log CloudTrail sem detectar tais ações.
AU-9	Proteção das informações de auditoria	s3-bucket-server-side-encryption-ativado	Para ajudar a proteger os dados em repouso, garanta que a criptografia esteja habilitada para seus buckets do Amazon Simple Storage Service (Amazon S3). Como dados confidenciais podem existir em repouso nos buckets do Amazon S3, habilite a criptografia para ajudar a proteger esses dados.
AU-10	Não repúdio	elasticsearch-logs-to-cloudwatch	Garanta a AmazonOpenSearchOs domínios de serviço têm registros de erros habilitados e transmitidos para a AmazonCloudWatchRegistros para retenção e resposta. Os registros de erros do domínio podem ajudar nas auditorias de segurança e acesso e podem ajudar a diagnosticar problemas de disponibilidade.
AU-10	Não repúdio	multi-region-cloudtrail-enabled	AWS CloudTrailregistrosAWSAções do Management Console e chamadas de API. Você pode identificar quais usuários e contas ligaramAWS, o endereço IP de origem de onde as chamadas foram feitas e quando as chamadas ocorreram. CloudTrailentregará arquivos de log de todosAWSRegiões para seu bucket do S3 se MULTI_REGION_CLOUD_TRAIL_ENABLED estiver ativado. Além disso, quandoAWSlança uma nova região,CloudTrailcriará a mesma trilha na nova região. Como resultado, você receberá arquivos de log contendo a atividade da API para a nova região sem realizar nenhuma ação.
AU-10	Não repúdio	opensearch-logs-to-cloudwatch	Garanta a AmazonOpenSearchOs domínios de serviço têm registros de erros habilitados e transmitidos para a AmazonCloudWatchRegistros para retenção e resposta. OpenSearchOs registros de erros do serviço podem ajudar nas auditorias de segurança e acesso e podem ajudar a diagnosticar problemas de disponibilidade.
AU-10	Não repúdio	rds-logging-enabled	Para ajudar com o registro e o monitoramento em seu ambiente, certifique-se de que o registro do Amazon Relational Database Service (Amazon RDS) esteja ativado. Com o registro do Amazon RDS, você pode capturar eventos como conexões, desconexões, consultas ou tabelas consultadas.
AU-10	Não repúdio	wafv2 ativado para registro	Para ajudar com o registro e o monitoramento em seu ambiente, habiliteAWSRegistro WAF (V2) em ACLs da web regionais e globais.AWS O registro do WAF fornece informações detalhadas sobre o tráfego que é analisado pela sua ACL da web. Os registros registram a hora em queAWSO WAF recebeu a solicitação do seuAWSrecurso, informações sobre a solicitação e uma ação para a regra à qual cada solicitação correspondeu.
AU-10	Não repúdio	api-gw-execution-logging-ativado	O registro do API Gateway exibe visualizações detalhadas dos usuários que acessaram a API e a forma como acessaram a API. Esse insight permite a visibilidade das atividades do usuário.
AU-10	Não repúdio	cloud-trail-cloud-watch-registros habilitados	Use a AmazonCloudWatchpara coletar e gerenciar centralmente a atividade de eventos de registro. Inclusão deAWS CloudTrailos dados fornecem detalhes da atividade de chamadas de API em seuAWSconta.
AU-10	Não repúdio	habilitado para cloudtrail	AWS CloudTrailpode ajudar na não repúdio gravandoAWSAções do Management Console e chamadas de API. Você pode identificar os usuários eAWScontas que chamaram umAWSserviço, o endereço IP de origem onde as chamadas foram geradas e os horários das chamadas. Os detalhes dos dados capturados são vistos emAWS CloudTrailGravar conteúdo.
AU-10	Não repúdio	cloudtrail-s3 - eventos de dados habilitados	A coleta de eventos de dados do Simple Storage Service (Amazon S3) ajuda a detectar qualquer atividade anômala. Os detalhes incluemAWSinformações da conta que acessaram um bucket do Amazon S3, endereço IP e hora do evento.
AU-10	Não repúdio	elb-logging-enabled	A atividade do Elastic Load Balancing é um ponto central de comunicação dentro de um ambiente. Certifique-se de que o registro do ELB esteja ativado. Os dados coletados fornecem informações detalhadas sobre as solicitações enviadas ao ELB. Cada log contém informações como a hora em que a solicitação foi recebida, o endereço IP do cliente, latências, caminhos de solicitação e respostas do servidor.
AU-10	Não repúdio	redshift-cluster-configuration-check	Para proteger os dados em repouso, certifique-se de que a criptografia esteja habilitada para seus clusters do Amazon Redshift. Você também deve garantir que as configurações necessárias sejam implantadas nos clusters do Amazon Redshift. O registro de auditoria deve estar habilitado para fornecer informações sobre conexões e atividades do usuário no banco de dados. Essa regra exige que um valor seja definido paraclusterDbEncrypted(Config Default: TRUE) e LoggingEnabled (Config Default: TRUE). Os valores reais devem refletir as políticas da sua organização.
AU-10	Não repúdio	s3-bucket-logging-enabled	O registro de acesso ao servidor do Amazon Simple Storage Service (Amazon S3) fornece um método para monitorar a rede em busca de possíveis eventos de segurança cibernética. Os eventos são monitorados por meio da captura de registros detalhados das solicitações feitas a um bucket do Amazon S3. Cada registro de registro de acesso fornece detalhes sobre uma única solicitação de acesso. Os detalhes incluem o solicitante, nome do bucket, hora da solicitação, ação da solicitação, status da resposta e um código de erro, se relevante.
AU-12	Geração de registros de auditoria	elasticsearch-logs-to-cloudwatch	Garanta a AmazonOpenSearchOs domínios de serviço têm registros de erros habilitados e transmitidos para a AmazonCloudWatchRegistros para retenção e resposta. Os registros de erros do domínio podem ajudar nas auditorias de segurança e acesso e podem ajudar a diagnosticar problemas de disponibilidade.
AU-12	Geração de registros de auditoria	multi-region-cloudtrail-enabled	AWS CloudTrailregistrosAWSAções do Management Console e chamadas de API. Você pode identificar quais usuários e contas ligaramAWS, o endereço IP de origem de onde as chamadas foram feitas e quando as chamadas ocorreram. CloudTrailentregará arquivos de log de todosAWSRegiões para seu bucket do S3 se MULTI_REGION_CLOUD_TRAIL_ENABLED estiver ativado. Além disso, quandoAWSlança uma nova região,CloudTrailcriará a mesma trilha na nova região. Como resultado, você receberá arquivos de log contendo a atividade da API para a nova região sem realizar nenhuma ação.
AU-12	Geração de registros de auditoria	opensearch-logs-to-cloudwatch	Garanta a AmazonOpenSearchOs domínios de serviço têm registros de erros habilitados e transmitidos para a AmazonCloudWatchRegistros para retenção e resposta. OpenSearchOs registros de erros do serviço podem ajudar nas auditorias de segurança e acesso e podem ajudar a diagnosticar problemas de disponibilidade.
AU-12	Geração de registros de auditoria	wafv2 ativado para registro	Para ajudar com o registro e o monitoramento em seu ambiente, habiliteAWSRegistro WAF (V2) em ACLs da web regionais e globais.AWS O registro do WAF fornece informações detalhadas sobre o tráfego que é analisado pela sua ACL da web. Os registros registram a hora em queAWSO WAF recebeu a solicitação do seuAWSrecurso, informações sobre a solicitação e uma ação para a regra à qual cada solicitação correspondeu.
AU-12	Geração de registros de auditoria	api-gw-execution-logging-ativado	O registro do API Gateway exibe visualizações detalhadas dos usuários que acessaram a API e a forma como acessaram a API. Esse insight permite a visibilidade das atividades do usuário.
AU-12	Geração de registros de auditoria	cloud-trail-cloud-watch-registros habilitados	Use a AmazonCloudWatchpara coletar e gerenciar centralmente a atividade de eventos de registro. Inclusão deAWS CloudTrailos dados fornecem detalhes da atividade de chamadas de API em seuAWSconta.
AU-12	Geração de registros de auditoria	habilitado para cloudtrail	AWS CloudTrailpode ajudar na não repúdio gravandoAWSAções do Management Console e chamadas de API. Você pode identificar os usuários eAWScontas que chamaram umAWSserviço, o endereço IP de origem onde as chamadas foram geradas e os horários das chamadas. Os detalhes dos dados capturados são vistos emAWS CloudTrailGravar conteúdo.
AU-12	Geração de registros de auditoria	cloudtrail-s3 - eventos de dados habilitados	A coleta de eventos de dados do Simple Storage Service (Amazon S3) ajuda a detectar qualquer atividade anômala. Os detalhes incluemAWSinformações da conta que acessaram um bucket do Amazon S3, endereço IP e hora do evento.
AU-12	Geração de registros de auditoria	elb-logging-enabled	A atividade do Elastic Load Balancing é um ponto central de comunicação dentro de um ambiente. Certifique-se de que o registro do ELB esteja ativado. Os dados coletados fornecem informações detalhadas sobre as solicitações enviadas ao ELB. Cada log contém informações como a hora em que a solicitação foi recebida, o endereço IP do cliente, latências, caminhos de solicitação e respostas do servidor.
AU-12	Geração de registros de auditoria	rds-logging-enabled	Para ajudar com o registro e o monitoramento em seu ambiente, certifique-se de que o registro do Amazon Relational Database Service (Amazon RDS) esteja ativado. Com o registro do Amazon RDS, você pode capturar eventos como conexões, desconexões, consultas ou tabelas consultadas.
AU-12	Geração de registros de auditoria	redshift-cluster-configuration-check	Para proteger os dados em repouso, certifique-se de que a criptografia esteja habilitada para seus clusters do Amazon Redshift. Você também deve garantir que as configurações necessárias sejam implantadas nos clusters do Amazon Redshift. O registro de auditoria deve estar habilitado para fornecer informações sobre conexões e atividades do usuário no banco de dados. Essa regra exige que um valor seja definido paraclusterDbEncrypted(Config Default: TRUE) e LoggingEnabled (Config Default: TRUE). Os valores reais devem refletir as políticas da sua organização.
AU-12	Geração de registros de auditoria	s3-bucket-logging-enabled	O registro de acesso ao servidor do Amazon Simple Storage Service (Amazon S3) fornece um método para monitorar a rede em busca de possíveis eventos de segurança cibernética. Os eventos são monitorados por meio da captura de registros detalhados das solicitações feitas a um bucket do Amazon S3. Cada registro de registro de acesso fornece detalhes sobre uma única solicitação de acesso. Os detalhes incluem o solicitante, nome do bucket, hora da solicitação, ação da solicitação, status da resposta e um código de erro, se relevante.
AU-12	Geração de registros de auditoria	vpc-flow-logs-enabled	Os registros de fluxo do VPC fornecem registros detalhados de informações sobre o tráfego IP que vai e vem das interfaces de rede em sua Amazon Virtual Private Cloud (Amazon VPC). Por padrão, o registro do log de fluxo inclui valores para os diferentes componentes do fluxo IP, incluindo a origem, o destino e o protocolo.
AU-14 (1)	Auditoria de sessão | Inicialização do sistema	habilitado para cloudtrail	AWS CloudTrailpode ajudar na não repúdio gravandoAWSAções do Management Console e chamadas de API. Você pode identificar os usuários eAWScontas que chamaram umAWSserviço, o endereço IP de origem onde as chamadas foram geradas e os horários das chamadas. Os detalhes dos dados capturados são vistos emAWS CloudTrailGravar conteúdo.
CA-7	Monitoramento contínuo	elasticsearch-logs-to-cloudwatch	Garanta a AmazonOpenSearchOs domínios de serviço têm registros de erros habilitados e transmitidos para a AmazonCloudWatchRegistros para retenção e resposta. Os registros de erros do domínio podem ajudar nas auditorias de segurança e acesso e podem ajudar a diagnosticar problemas de disponibilidade.
CA-7	Monitoramento contínuo	lambda-dlq-check	Ative essa regra para ajudar a notificar a equipe apropriada por meio do Amazon Simple Queue Service (Amazon SQS) ou do Amazon Simple Notification Service (Amazon SNS) quando uma função falhar.
CA-7	Monitoramento contínuo	multi-region-cloudtrail-enabled	AWS CloudTrailregistrosAWSAções do Management Console e chamadas de API. Você pode identificar quais usuários e contas ligaramAWS, o endereço IP de origem de onde as chamadas foram feitas e quando as chamadas ocorreram. CloudTrailentregará arquivos de log de todosAWSRegiões para seu bucket do S3 se MULTI_REGION_CLOUD_TRAIL_ENABLED estiver ativado. Além disso, quandoAWSlança uma nova região,CloudTrailcriará a mesma trilha na nova região. Como resultado, você receberá arquivos de log contendo a atividade da API para a nova região sem realizar nenhuma ação.
CA-7	Monitoramento contínuo	opensearch-logs-to-cloudwatch	Garanta a AmazonOpenSearchOs domínios de serviço têm registros de erros habilitados e transmitidos para a AmazonCloudWatchRegistros para retenção e resposta. OpenSearchOs registros de erros do serviço podem ajudar nas auditorias de segurança e acesso e podem ajudar a diagnosticar problemas de disponibilidade.
CA-7	Monitoramento contínuo	rds-enhanced-monitoring-enabled	Habilite o Amazon Relational Database Service (Amazon RDS) para ajudar a monitorar a disponibilidade do Amazon RDS. Isso fornece visibilidade detalhada da integridade de suas instâncias de banco de dados do Amazon RDS. Quando o armazenamento do Amazon RDS usa mais de um dispositivo físico subjacente, o Enhanced Monitoring coleta os dados de cada dispositivo. Além disso, quando a instância do banco de dados do Amazon RDS está sendo executada em uma implantação Multi-AZ, os dados de cada dispositivo no host secundário são coletados e as métricas do host secundário.
CA-7	Monitoramento contínuo	rds-logging-enabled	Para ajudar com o registro e o monitoramento em seu ambiente, certifique-se de que o registro do Amazon Relational Database Service (Amazon RDS) esteja ativado. Com o registro do Amazon RDS, você pode capturar eventos como conexões, desconexões, consultas ou tabelas consultadas.
CA-7	Monitoramento contínuo	s3-event-notifications-enabled	As notificações de eventos do Amazon S3 podem alertar a equipe relevante sobre qualquer modificação acidental ou intencional em seus objetos de bucket. Exemplos de alertas incluem: criação de novos objetos, remoção de objetos, restauração de objetos, objetos perdidos e replicados.
CA-7	Monitoramento contínuo	habilitado para hub de segurança	AWSO Security Hub ajuda a monitorar pessoal, conexões, dispositivos e software não autorizados.AWS O Security Hub agrega, organiza e prioriza os alertas de segurança, ou descobertas, de váriosAWSserviços. Alguns desses serviços são o Amazon Security Hub, o Amazon Inspector, o Amazon Macie,AWSAnalisador de acesso de gerenciamento de identidade e acesso (IAM) eAWSFirewall Manager eAWSSoluções de parceiros.
CA-7	Monitoramento contínuo	wafv2 ativado para registro	Para ajudar com o registro e o monitoramento em seu ambiente, habiliteAWSRegistro WAF (V2) em ACLs da web regionais e globais.AWS O registro do WAF fornece informações detalhadas sobre o tráfego que é analisado pela sua ACL da web. Os registros registram a hora em queAWSO WAF recebeu a solicitação do seuAWSrecurso, informações sobre a solicitação e uma ação para a regra à qual cada solicitação correspondeu.
CA-7	Monitoramento contínuo	api-gw-execution-logging-ativado	O registro do API Gateway exibe visualizações detalhadas dos usuários que acessaram a API e a forma como acessaram a API. Esse insight permite a visibilidade das atividades do usuário.
CA-7	Monitoramento contínuo	autoscaling-group-elb-healthcheck-obrigatório	As verificações de integridade do Elastic Load Balancer (ELB) para grupos de Auto Scaling do Amazon Elastic Compute Cloud (Amazon EC2) oferecem suporte à manutenção de capacidade e disponibilidade adequadas. O balanceador de carga envia periodicamente pings, tenta conexões ou envia solicitações para testar a integridade das instâncias do Amazon EC2 em um grupo de escalonamento automático. Se uma instância não estiver reportando, o tráfego será enviado para uma nova instância do Amazon EC2.
CA-7	Monitoramento contínuo	beanstalk-enhanced-health-reporting-ativado	AWSOs relatórios de saúde aprimorados do Elastic Beanstalk permitem uma resposta mais rápida às mudanças na integridade da infraestrutura subjacente. Essas mudanças podem resultar na falta de disponibilidade do aplicativo. Os relatórios de saúde aprimorados do Elastic Beanstalk fornecem um descritor de status para avaliar a gravidade dos problemas identificados e identificar possíveis causas a serem investigadas.
CA-7	Monitoramento contínuo	cloud-trail-cloud-watch-registros habilitados	Use a AmazonCloudWatchpara coletar e gerenciar centralmente a atividade de eventos de registro. Inclusão deAWS CloudTrailos dados fornecem detalhes da atividade de chamadas de API em seuAWSconta.
CA-7	Monitoramento contínuo	habilitado para cloudtrail	AWS CloudTrailpode ajudar na não repúdio gravandoAWSAções do Management Console e chamadas de API. Você pode identificar os usuários eAWScontas que chamaram umAWSserviço, o endereço IP de origem onde as chamadas foram geradas e os horários das chamadas. Os detalhes dos dados capturados são vistos emAWS CloudTrailGravar conteúdo.
CA-7	Monitoramento contínuo	cloudtrail-s3 - eventos de dados habilitados	A coleta de eventos de dados do Simple Storage Service (Amazon S3) ajuda a detectar qualquer atividade anômala. Os detalhes incluemAWSinformações da conta que acessaram um bucket do Amazon S3, endereço IP e hora do evento.
CA-7	Monitoramento contínuo	cloudwatch-alarm-action-check	AmazôniaCloudWatchalertam quando uma métrica ultrapassa o limite de um determinado número de períodos de avaliação. O alarme realiza uma ou mais ações com base no valor da métrica ou na expressão relativa a um limite em alguns períodos. Essa regra exige um valor paraalarmActionRequired(Padrão de configuração: verdadeiro),insufficientDataActionObrigatório (padrão de configuração: verdadeiro),okActionRequired(Padrão de configuração: falso). O valor real deve refletir as ações de alarme do seu ambiente.
CA-7	Monitoramento contínuo	dynamodb-throughput-limit-check	Ative essa regra para garantir que a capacidade de taxa de transferência provisionada seja verificada em suas tabelas do Amazon DynamoDB. Essa é a quantidade de atividade de leitura/gravação que cada tabela pode suportar. O DynamoDB usa essas informações para reservar recursos suficientes do sistema para atender aos seus requisitos de throughput. Essa regra gera um alerta quando a taxa de transferência se aproxima do limite máximo da conta de um cliente. Essa regra permite que você defina opcionalmente AccountRCUThresholdPercentage(Configuração padrão: 80) e AccountWCUThresholdPercentage(Padrão de configuração: 80) parâmetros. Os valores reais devem refletir as políticas da sua organização.
CA-7	Monitoramento contínuo	elb-logging-enabled	A atividade do Elastic Load Balancing é um ponto central de comunicação dentro de um ambiente. Certifique-se de que o registro do ELB esteja ativado. Os dados coletados fornecem informações detalhadas sobre as solicitações enviadas ao ELB. Cada log contém informações como a hora em que a solicitação foi recebida, o endereço IP do cliente, latências, caminhos de solicitação e respostas do servidor.
CA-7	Monitoramento contínuo	guardduty-enabled-centralized	AmazôniaGuardDutypode ajudar a monitorar e detectar possíveis eventos de segurança cibernética usando feeds de inteligência de ameaças. Isso inclui listas de IPs maliciosos e aprendizado de máquina para identificar atividades inesperadas, não autorizadas e maliciosas em seuAWSAmbiente em nuvem.
CA-7	Monitoramento contínuo	redshift-cluster-configuration-check	Para proteger os dados em repouso, certifique-se de que a criptografia esteja habilitada para seus clusters do Amazon Redshift. Você também deve garantir que as configurações necessárias sejam implantadas nos clusters do Amazon Redshift. O registro de auditoria deve estar habilitado para fornecer informações sobre conexões e atividades do usuário no banco de dados. Essa regra exige que um valor seja definido paraclusterDbEncrypted(Config Default: TRUE) e LoggingEnabled (Config Default: TRUE). Os valores reais devem refletir as políticas da sua organização.
CA-7	Monitoramento contínuo	s3-bucket-logging-enabled	O registro de acesso ao servidor do Amazon Simple Storage Service (Amazon S3) fornece um método para monitorar a rede em busca de possíveis eventos de segurança cibernética. Os eventos são monitorados por meio da captura de registros detalhados das solicitações feitas a um bucket do Amazon S3. Cada registro de registro de acesso fornece detalhes sobre uma única solicitação de acesso. Os detalhes incluem o solicitante, nome do bucket, hora da solicitação, ação da solicitação, status da resposta e um código de erro, se relevante.
CA-7	Monitoramento contínuo	vpc-flow-logs-enabled	Os registros de fluxo do VPC fornecem registros detalhados de informações sobre o tráfego IP que vai e vem das interfaces de rede em sua Amazon Virtual Private Cloud (Amazon VPC). Por padrão, o registro do log de fluxo inclui valores para os diferentes componentes do fluxo IP, incluindo a origem, o destino e o protocolo.
CA-9 (1)	Conexões internas do sistema | Verificações de conformidade	account-part-of-organizations	Gerenciamento centralizado deAWScontas dentroAWSAs organizações ajudam a garantir a conformidade das contas. A falta de governança centralizada da conta pode levar a configurações de conta inconsistentes, o que pode expor recursos e dados confidenciais.
CA-9 (1)	Conexões internas do sistema | Verificações de conformidade	codebuild-project-artifact-encryption	Para ajudar a proteger dados confidenciais em repouso, certifique-se de que a criptografia esteja habilitada para seuAWS CodeBuildartefatos.
CA-9 (1)	Conexões internas do sistema | Verificações de conformidade	dynamodb-table-encrypted-kms	Certifique-se de que a criptografia esteja habilitada para suas tabelas do Amazon DynamoDB. Como dados confidenciais podem existir em repouso nessas tabelas, habilite a criptografia em repouso para ajudar a proteger esses dados. Por padrão, as tabelas do DynamoDB são criptografadas com umAWSchave mestra do cliente (CMK) de propriedade do cliente.
CA-9 (1)	Conexões internas do sistema | Verificações de conformidade	ec2-ebs-encryption-by-default	Para ajudar a proteger os dados em repouso, certifique-se de que a criptografia esteja habilitada para seus volumes do Amazon Elastic Block Store (Amazon EBS). Como dados confidenciais podem existir em repouso nesses volumes, habilite a criptografia em repouso para ajudar a proteger esses dados.
CA-9 (1)	Conexões internas do sistema | Verificações de conformidade	kinesis-stream-encrypted	Como dados confidenciais podem existir e, para ajudar a proteger os dados em repouso, garanta que a criptografia esteja habilitada para seus Amazon Kinesis Streams.
CA-9 (1)	Conexões internas do sistema | Verificações de conformidade	rds-instance-default-admin-verifique	Como os nomes de usuário padrão são de conhecimento público, a alteração dos nomes de usuário padrão pode ajudar a reduzir a superfície de ataque de suas instâncias de banco de dados do Amazon Relational Database Service (Amazon RDS).
CA-9 (1)	Conexões internas do sistema | Verificações de conformidade	rds-snapshot-encrypted	Certifique-se de que a criptografia esteja habilitada para seus snapshots do Amazon Relational Database Service (Amazon RDS). Como dados confidenciais podem existir em repouso, habilite a criptografia em repouso para ajudar a proteger esses dados.
CA-9 (1)	Conexões internas do sistema | Verificações de conformidade	s3-default-encryption-kms	Certifique-se de que a criptografia esteja habilitada para seus buckets do Amazon Simple Storage Service (Amazon S3). Como dados confidenciais podem existir em repouso em um bucket do Amazon S3, habilite a criptografia em repouso para ajudar a proteger esses dados.
CA-9 (1)	Conexões internas do sistema | Verificações de conformidade	sagemaker-notebook-instance-kms-configurado por chave	Para ajudar a proteger os dados em repouso, garanta a criptografia comAWSServiço de gerenciamento de chaves (AWSO KMS) está habilitado para seuSageMakercaderno. Porque dados confidenciais podem existir em repouso noSageMakernotebook, habilite a criptografia em repouso para ajudar a proteger esses dados.
CA-9 (1)	Conexões internas do sistema | Verificações de conformidade	sns-encrypted-kms	Para ajudar a proteger os dados em repouso, certifique-se de que seus tópicos do Amazon Simple Notification Service (Amazon SNS) exijam criptografia usandoAWSServiço de gerenciamento de chaves (AWSKMS). Como dados confidenciais podem existir em repouso nas mensagens publicadas, habilite a criptografia em repouso para ajudar a proteger esses dados.
CA-9 (1)	Conexões internas do sistema | Verificações de conformidade	api-gw-cache-enabled-e criptografado	Para ajudar a proteger os dados em repouso, garanta que a criptografia esteja ativada para o cache do estágio do API Gateway. Como dados confidenciais podem ser capturados pelo método da API, ative a criptografia em repouso para ajudar a proteger esses dados.
CA-9 (1)	Conexões internas do sistema | Verificações de conformidade	cloud-trail-encryption-enabled	Como podem existir dados confidenciais e, para ajudar a proteger os dados em repouso, certifique-se de que a criptografia esteja habilitada para seuAWS CloudTrailtrilhas.
CA-9 (1)	Conexões internas do sistema | Verificações de conformidade	ec2-instance-managed-by-systems-gerente	É possível fazer um inventário das plataformas de software e aplicativos dentro da organização gerenciando instâncias do Amazon Elastic Compute Cloud (Amazon EC2) comAWSGerente de sistemas. UsarAWSSystems Manager para fornecer configurações detalhadas do sistema, níveis de patch do sistema operacional, nome e tipo de serviços, instalações de software, nome do aplicativo, editor e versão e outros detalhes sobre seu ambiente.
CA-9 (1)	Conexões internas do sistema | Verificações de conformidade	ec2-managedinstance-association-compliance-status-verifique	UsarAWSAssociações de gerentes de sistemas para ajudar no inventário de plataformas e aplicativos de software em uma organização.AWS O Systems Manager atribui um estado de configuração às suas instâncias gerenciadas e permite que você defina linhas de base dos níveis de patch do sistema operacional, instalações de software, configurações de aplicativos e outros detalhes sobre seu ambiente.
CA-9 (1)	Conexões internas do sistema | Verificações de conformidade	instância ec2 interrompida	Habilite essa regra para ajudar na configuração básica das instâncias do Amazon Elastic Compute Cloud (Amazon EC2) verificando se as instâncias do Amazon EC2 foram interrompidas por mais do que o número permitido de dias, de acordo com os padrões da sua organização.
CA-9 (1)	Conexões internas do sistema | Verificações de conformidade	ec2-volume-inuse-check	Essa regra garante que os volumes do Amazon Elastic Block Store anexados às instâncias do Amazon Elastic Compute Cloud (Amazon EC2) sejam marcados para exclusão quando uma instância for encerrada. Se um volume do Amazon EBS não for excluído quando a instância à qual ele está conectado for encerrada, ele poderá violar o conceito de menor funcionalidade.
CA-9 (1)	Conexões internas do sistema | Verificações de conformidade	efs-encrypted-check	Como dados confidenciais podem existir e, para ajudar a proteger os dados em repouso, garanta que a criptografia esteja habilitada para seu Amazon Elastic File System (EFS).
CA-9 (1)	Conexões internas do sistema | Verificações de conformidade	elasticsearch-encrypted-at-rest	Como dados confidenciais podem existir e, para ajudar a proteger os dados em repouso, garanta que a criptografia esteja habilitada para sua AmazonOpenSearchServiço (OpenSearchDomínios de serviço).
CA-9 (1)	Conexões internas do sistema | Verificações de conformidade	elb-deletion-protection-enabled	Essa regra garante que o Elastic Load Balancing tenha a proteção contra exclusão ativada. Use esse recurso para evitar que seu balanceador de carga seja excluído acidental ou maliciosamente, o que pode levar à perda de disponibilidade de seus aplicativos.
CA-9 (1)	Conexões internas do sistema | Verificações de conformidade	volumes criptografados	Como dados confidenciais podem existir e, para ajudar a proteger os dados em repouso, garanta que a criptografia esteja habilitada para seus volumes do Amazon Elastic Block Store (Amazon EBS).
CA-9 (1)	Conexões internas do sistema | Verificações de conformidade	opensearch-encrypted-at-rest	Como dados confidenciais podem existir e, para ajudar a proteger os dados em repouso, garanta que a criptografia esteja habilitada para sua AmazonOpenSearchDomínios de serviço.
CA-9 (1)	Conexões internas do sistema | Verificações de conformidade	rds-storage-encrypted	Para ajudar a proteger os dados em repouso, garanta que a criptografia esteja habilitada para suas instâncias do Amazon Relational Database Service (Amazon RDS). Como dados confidenciais podem existir em repouso nas instâncias do Amazon RDS, habilite a criptografia em repouso para ajudar a proteger esses dados.
CA-9 (1)	Conexões internas do sistema | Verificações de conformidade	redshift-cluster-configuration-check	Para proteger os dados em repouso, certifique-se de que a criptografia esteja habilitada para seus clusters do Amazon Redshift. Você também deve garantir que as configurações necessárias sejam implantadas nos clusters do Amazon Redshift. O registro de auditoria deve estar habilitado para fornecer informações sobre conexões e atividades do usuário no banco de dados. Essa regra exige que um valor seja definido paraclusterDbEncrypted(Config Default: TRUE) e LoggingEnabled (Config Default: TRUE). Os valores reais devem refletir as políticas da sua organização.
CA-9 (1)	Conexões internas do sistema | Verificações de conformidade	redshift-cluster-kms-enabled	Para ajudar a proteger os dados em repouso, garanta a criptografia comAWSServiço de gerenciamento de chaves (AWSO KMS) está habilitado para seu cluster do Amazon Redshift. Como dados confidenciais podem existir em repouso nos clusters do Redshift, habilite a criptografia em repouso para ajudar a proteger esses dados.
CA-9 (1)	Conexões internas do sistema | Verificações de conformidade	redshift-cluster-maintenancesettings-check	Essa regra garante que os clusters do Amazon Redshift tenham as configurações preferenciais para sua organização. Especificamente, que eles têm janelas de manutenção preferidas e períodos automatizados de retenção de instantâneos para o banco de dados. Essa regra exige que você defina oallowVersionUpgrade. O padrão é verdadeiro. Também permite que você defina opcionalmente opreferredMaintenanceWindow(o padrão é sáb: 16:00 -sáb: 16:30), e oautomatedSnapshotRetentionPeríodo (o padrão é 1). Os valores reais devem refletir as políticas da sua organização.
CA-9 (1)	Conexões internas do sistema | Verificações de conformidade	redshift-default-admin-check	Como os nomes de usuário padrão são de conhecimento público, a alteração dos nomes de usuário padrão pode ajudar a reduzir a superfície de ataque do (s) seu (s) cluster (s) do Amazon Redshift.
CA-9 (1)	Conexões internas do sistema | Verificações de conformidade	restricted-common-ports	Gerencie o acesso aos recursos noAWSNuvem garantindo que as portas comuns sejam restritas nos grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2). Não restringir o acesso às portas a fontes confiáveis pode levar a ataques contra a disponibilidade, integridade e confidencialidade dos sistemas. Essa regra permite que você defina opcionalmente os parâmetros BlockedPort1 - BlockedPort5 (padrões de configuração: 20,21,3389,3306,4333). Os valores reais devem refletir as políticas da sua organização.
CA-9 (1)	Conexões internas do sistema | Verificações de conformidade	s3-bucket-server-side-encryption-ativado	Para ajudar a proteger os dados em repouso, garanta que a criptografia esteja habilitada para seus buckets do Amazon Simple Storage Service (Amazon S3). Como dados confidenciais podem existir em repouso nos buckets do Amazon S3, habilite a criptografia para ajudar a proteger esses dados.
CA-9 (1)	Conexões internas do sistema | Verificações de conformidade	sagemaker-endpoint-configuration-kms-configurado por chave	Para ajudar a proteger os dados em repouso, garanta a criptografia comAWSServiço de gerenciamento de chaves (AWSO KMS) está habilitado para seuSageMakerponto final. Porque dados confidenciais podem existir em repouso noSageMakerendpoint, habilite a criptografia em repouso para ajudar a proteger esses dados.
CA-9 (1)	Conexões internas do sistema | Verificações de conformidade	secretsmanager-using-cmk	Para ajudar a proteger os dados em repouso, garanta a criptografia comAWSServiço de gerenciamento de chaves (AWSO KMS) está habilitado paraAWSSegredos do Secrets Manager. Como dados confidenciais podem existir em repouso nos segredos do Secrets Manager, ative a criptografia em repouso para ajudar a proteger esses dados.
CM-2 (2)	Configuração de linha de base | Suporte de automação para precisão e moeda	ec2-instance-managed-by-systems-gerente	É possível fazer um inventário das plataformas de software e aplicativos dentro da organização gerenciando instâncias do Amazon Elastic Compute Cloud (Amazon EC2) comAWSGerente de sistemas. UseAWSSystems Manager para fornecer configurações detalhadas do sistema, níveis de patch do sistema operacional, nome e tipo de serviços, instalações de software, nome do aplicativo, editor e versão e outros detalhes sobre seu ambiente.
CM-2 (2)	Configuração de linha de base | Suporte de automação para precisão e moeda	ec2-managedinstance-association-compliance-status-verifique	UseAWSAssociações de gerentes de sistemas para ajudar no inventário de plataformas e aplicativos de software em uma organização.AWS O Systems Manager atribui um estado de configuração às suas instâncias gerenciadas e permite que você defina linhas de base dos níveis de patch do sistema operacional, instalações de software, configurações de aplicativos e outros detalhes sobre seu ambiente.
CM-2 (2)	Configuração de linha de base | Suporte de automação para precisão e moeda	instância ec2 interrompida	Habilite essa regra para ajudar na configuração básica das instâncias do Amazon Elastic Compute Cloud (Amazon EC2) verificando se as instâncias do Amazon EC2 foram interrompidas por mais do que o número permitido de dias, de acordo com os padrões da sua organização.
CM-2 (2)	Configuração de linha de base | Suporte de automação para precisão e moeda	ec2-volume-inuse-check	Essa regra garante que os volumes do Amazon Elastic Block Store anexados às instâncias do Amazon Elastic Compute Cloud (Amazon EC2) sejam marcados para exclusão quando uma instância for encerrada. Se um volume do Amazon EBS não for excluído quando a instância à qual ele está conectado for encerrada, ele poderá violar o conceito de menor funcionalidade.
CM-2 (2)	Configuração de linha de base | Suporte de automação para precisão e moeda	elb-deletion-protection-enabled	Essa regra garante que o Elastic Load Balancing tenha a proteção contra exclusão ativada. Use esse recurso para evitar que seu balanceador de carga seja excluído acidental ou maliciosamente, o que pode levar à perda de disponibilidade de seus aplicativos.
CM-2 (2)	Configuração de linha de base | Suporte de automação para precisão e moeda	restricted-common-ports	Gerencie o acesso aos recursos noAWSNuvem garantindo que as portas comuns sejam restritas nos grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2). Não restringir o acesso às portas a fontes confiáveis pode levar a ataques contra a disponibilidade, integridade e confidencialidade dos sistemas. Essa regra permite que você defina opcionalmente os parâmetros BlockedPort1 - BlockedPort5 (padrões de configuração: 20,21,3389,3306,4333). Os valores reais devem refletir as políticas da sua organização.
CM-2	Configuração de linha de base	account-part-of-organizations	Gerenciamento centralizado deAWScontas dentroAWSAs organizações ajudam a garantir a conformidade das contas. A falta de governança centralizada da conta pode levar a configurações de conta inconsistentes, o que pode expor recursos e dados confidenciais.
CM-2	Configuração de linha de base	rds-instance-default-admin-verifique	Como os nomes de usuário padrão são de conhecimento público, a alteração dos nomes de usuário padrão pode ajudar a reduzir a superfície de ataque de suas instâncias de banco de dados do Amazon Relational Database Service (Amazon RDS).
CM-2	Configuração de linha de base	ec2-instance-managed-by-systems-gerente	É possível fazer um inventário das plataformas de software e aplicativos dentro da organização gerenciando instâncias do Amazon Elastic Compute Cloud (Amazon EC2) comAWSGerente de sistemas. UseAWSSystems Manager para fornecer configurações detalhadas do sistema, níveis de patch do sistema operacional, nome e tipo de serviços, instalações de software, nome do aplicativo, editor e versão e outros detalhes sobre seu ambiente.
CM-2	Configuração de linha de base	ec2-managedinstance-association-compliance-status-verifique	UseAWSAssociações de gerentes de sistemas para ajudar no inventário de plataformas e aplicativos de software em uma organização.AWS O Systems Manager atribui um estado de configuração às suas instâncias gerenciadas e permite que você defina linhas de base dos níveis de patch do sistema operacional, instalações de software, configurações de aplicativos e outros detalhes sobre seu ambiente.
CM-2	Configuração de linha de base	instância ec2 interrompida	Habilite essa regra para ajudar na configuração básica das instâncias do Amazon Elastic Compute Cloud (Amazon EC2) verificando se as instâncias do Amazon EC2 foram interrompidas por mais do que o número permitido de dias, de acordo com os padrões da sua organização.
CM-2	Configuração de linha de base	ec2-volume-inuse-check	Essa regra garante que os volumes do Amazon Elastic Block Store anexados às instâncias do Amazon Elastic Compute Cloud (Amazon EC2) sejam marcados para exclusão quando uma instância for encerrada. Se um volume do Amazon EBS não for excluído quando a instância à qual ele está conectado for encerrada, ele poderá violar o conceito de menor funcionalidade.
CM-2	Configuração de linha de base	elb-deletion-protection-enabled	Essa regra garante que o Elastic Load Balancing tenha a proteção contra exclusão ativada. Use esse recurso para evitar que seu balanceador de carga seja excluído acidental ou maliciosamente, o que pode levar à perda de disponibilidade de seus aplicativos.
CM-2	Configuração de linha de base	redshift-cluster-maintenancesettings-check	Essa regra garante que os clusters do Amazon Redshift tenham as configurações preferenciais para sua organização. Especificamente, que eles têm janelas de manutenção preferidas e períodos automatizados de retenção de instantâneos para o banco de dados. Essa regra exige que você defina oallowVersionUpgrade. O padrão é verdadeiro. Também permite que você defina opcionalmente opreferredMaintenanceWindow(o padrão é sáb: 16:00 -sáb: 16:30), e oautomatedSnapshotRetentionPeríodo (o padrão é 1). Os valores reais devem refletir as políticas da sua organização.
CM-2	Configuração de linha de base	redshift-default-admin-check	Como os nomes de usuário padrão são de conhecimento público, a alteração dos nomes de usuário padrão pode ajudar a reduzir a superfície de ataque do (s) seu (s) cluster (s) do Amazon Redshift.
CM-2	Configuração de linha de base	restricted-common-ports	Gerencie o acesso aos recursos noAWSNuvem garantindo que as portas comuns sejam restritas nos grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2). Não restringir o acesso às portas a fontes confiáveis pode levar a ataques contra a disponibilidade, integridade e confidencialidade dos sistemas. Essa regra permite que você defina opcionalmente os parâmetros BlockedPort1 - BlockedPort5 (padrões de configuração: 20,21,3389,3306,4333). Os valores reais devem refletir as políticas da sua organização.
CM-3 (6)	Controle de alterações de configuração | Gerenciamento de criptografia	codebuild-project-artifact-encryption	Para ajudar a proteger dados confidenciais em repouso, certifique-se de que a criptografia esteja habilitada para seuAWS CodeBuildartefatos.
CM-3 (6)	Controle de alterações de configuração | Gerenciamento de criptografia	dynamodb-table-encrypted-kms	Certifique-se de que a criptografia esteja habilitada para suas tabelas do Amazon DynamoDB. Como dados confidenciais podem existir em repouso nessas tabelas, habilite a criptografia em repouso para ajudar a proteger esses dados. Por padrão, as tabelas do DynamoDB são criptografadas com umAWSchave mestra do cliente (CMK) de propriedade do cliente.
CM-3 (6)	Controle de alterações de configuração | Gerenciamento de criptografia	ec2-ebs-encryption-by-default	Para ajudar a proteger os dados em repouso, certifique-se de que a criptografia esteja habilitada para seus volumes do Amazon Elastic Block Store (Amazon EBS). Como dados confidenciais podem existir em repouso nesses volumes, habilite a criptografia em repouso para ajudar a proteger esses dados.
CM-3 (6)	Controle de alterações de configuração | Gerenciamento de criptografia	kinesis-stream-encrypted	Como dados confidenciais podem existir e, para ajudar a proteger os dados em repouso, garanta que a criptografia esteja habilitada para seus Amazon Kinesis Streams.
CM-3 (6)	Controle de alterações de configuração | Gerenciamento de criptografia	rds-snapshot-encrypted	Certifique-se de que a criptografia esteja habilitada para seus snapshots do Amazon Relational Database Service (Amazon RDS). Como dados confidenciais podem existir em repouso, habilite a criptografia em repouso para ajudar a proteger esses dados.
CM-3 (6)	Controle de alterações de configuração | Gerenciamento de criptografia	s3-default-encryption-kms	Certifique-se de que a criptografia esteja habilitada para seus buckets do Amazon Simple Storage Service (Amazon S3). Como dados confidenciais podem existir em repouso em um bucket do Amazon S3, habilite a criptografia em repouso para ajudar a proteger esses dados.
CM-3 (6)	Controle de alterações de configuração | Gerenciamento de criptografia	sagemaker-notebook-instance-kms-configurado por chave	Para ajudar a proteger os dados em repouso, garanta a criptografia comAWSServiço de gerenciamento de chaves (AWSO KMS) está habilitado para seuSageMakercaderno. Porque dados confidenciais podem existir em repouso noSageMakernotebook, habilite a criptografia em repouso para ajudar a proteger esses dados.
CM-3 (6)	Controle de alterações de configuração | Gerenciamento de criptografia	sns-encrypted-kms	Para ajudar a proteger os dados em repouso, certifique-se de que seus tópicos do Amazon Simple Notification Service (Amazon SNS) exijam criptografia usandoAWSServiço de gerenciamento de chaves (AWSKMS). Como dados confidenciais podem existir em repouso nas mensagens publicadas, habilite a criptografia em repouso para ajudar a proteger esses dados.
CM-3 (6)	Controle de alterações de configuração | Gerenciamento de criptografia	api-gw-cache-enabled-e criptografado	Para ajudar a proteger os dados em repouso, garanta que a criptografia esteja ativada para o cache do estágio do API Gateway. Como dados confidenciais podem ser capturados pelo método da API, ative a criptografia em repouso para ajudar a proteger esses dados.
CM-3 (6)	Controle de alterações de configuração | Gerenciamento de criptografia	cloud-trail-encryption-enabled	Como podem existir dados confidenciais e, para ajudar a proteger os dados em repouso, certifique-se de que a criptografia esteja habilitada para seuAWS CloudTrailtrilhas.
CM-3 (6)	Controle de alterações de configuração | Gerenciamento de criptografia	efs-encrypted-check	Como dados confidenciais podem existir e, para ajudar a proteger os dados em repouso, garanta que a criptografia esteja habilitada para seu Amazon Elastic File System (EFS).
CM-3 (6)	Controle de alterações de configuração | Gerenciamento de criptografia	elasticsearch-encrypted-at-rest	Como dados confidenciais podem existir e, para ajudar a proteger os dados em repouso, garanta que a criptografia esteja habilitada para sua AmazonOpenSearchServiço (OpenSearchDomínios de serviço).
CM-3 (6)	Controle de alterações de configuração | Gerenciamento de criptografia	volumes criptografados	Como dados confidenciais podem existir e, para ajudar a proteger os dados em repouso, garanta que a criptografia esteja habilitada para seus volumes do Amazon Elastic Block Store (Amazon EBS).
CM-3 (6)	Controle de alterações de configuração | Gerenciamento de criptografia	opensearch-encrypted-at-rest	Como dados confidenciais podem existir e, para ajudar a proteger os dados em repouso, garanta que a criptografia esteja habilitada para sua AmazonOpenSearchDomínios de serviço.
CM-3 (6)	Controle de alterações de configuração | Gerenciamento de criptografia	rds-storage-encrypted	Para ajudar a proteger os dados em repouso, garanta que a criptografia esteja habilitada para suas instâncias do Amazon Relational Database Service (Amazon RDS). Como dados confidenciais podem existir em repouso nas instâncias do Amazon RDS, habilite a criptografia em repouso para ajudar a proteger esses dados.
CM-3 (6)	Controle de alterações de configuração | Gerenciamento de criptografia	redshift-cluster-configuration-check	Para proteger os dados em repouso, certifique-se de que a criptografia esteja habilitada para seus clusters do Amazon Redshift. Você também deve garantir que as configurações necessárias sejam implantadas nos clusters do Amazon Redshift. O registro de auditoria deve estar habilitado para fornecer informações sobre conexões e atividades do usuário no banco de dados. Essa regra exige que um valor seja definido paraclusterDbEncrypted(Config Default: TRUE) e LoggingEnabled (Config Default: TRUE). Os valores reais devem refletir as políticas da sua organização.
CM-3 (6)	Controle de alterações de configuração | Gerenciamento de criptografia	redshift-cluster-kms-enabled	Para ajudar a proteger os dados em repouso, garanta a criptografia comAWSServiço de gerenciamento de chaves (AWSO KMS) está habilitado para seu cluster do Amazon Redshift. Como dados confidenciais podem existir em repouso nos clusters do Redshift, habilite a criptografia em repouso para ajudar a proteger esses dados.
CM-3 (6)	Controle de alterações de configuração | Gerenciamento de criptografia	s3-bucket-server-side-encryption-ativado	Para ajudar a proteger os dados em repouso, garanta que a criptografia esteja habilitada para seus buckets do Amazon Simple Storage Service (Amazon S3). Como dados confidenciais podem existir em repouso nos buckets do Amazon S3, habilite a criptografia para ajudar a proteger esses dados.
CM-3 (6)	Controle de alterações de configuração | Gerenciamento de criptografia	sagemaker-endpoint-configuration-kms-configurado por chave	Para ajudar a proteger os dados em repouso, garanta a criptografia comAWSServiço de gerenciamento de chaves (AWSO KMS) está habilitado para seuSageMakerponto final. Porque dados confidenciais podem existir em repouso noSageMakerendpoint, habilite a criptografia em repouso para ajudar a proteger esses dados.
CM-3 (6)	Controle de alterações de configuração | Gerenciamento de criptografia	secretsmanager-using-cmk	Para ajudar a proteger os dados em repouso, garanta a criptografia comAWSServiço de gerenciamento de chaves (AWSO KMS) está habilitado paraAWSSegredos do Secrets Manager. Como dados confidenciais podem existir em repouso nos segredos do Secrets Manager, ative a criptografia em repouso para ajudar a proteger esses dados.
CM-3	Controle de alterações de configuração	elb-deletion-protection-enabled	Essa regra garante que o Elastic Load Balancing tenha a proteção contra exclusão ativada. Use esse recurso para evitar que seu balanceador de carga seja excluído acidental ou maliciosamente, o que pode levar à perda de disponibilidade de seus aplicativos.
CM-3	Controle de alterações de configuração	rds-instance-deletion-protection-ativado	Garanta que as instâncias do Amazon Relational Database Service (Amazon RDS) tenham a proteção contra exclusão ativada. Use a proteção contra exclusão para evitar que suas instâncias do Amazon RDS sejam excluídas acidentalmente ou maliciosamente, o que pode levar à perda de disponibilidade de seus aplicativos.
CM-7	Mínimo de funcionalidade	ssh restrito	Os grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2) podem ajudar a gerenciar o acesso à rede fornecendo filtragem de estado do tráfego de entrada e saída da rede paraAWSrecursos. Não permitir tráfego de entrada (ou remoto) de 0.0.0.0/0 para a porta 22 em seus recursos ajuda a restringir o acesso remoto.
CM-7	Mínimo de funcionalidade	no-unrestricted-route-to-igw	Certifique-se de que as tabelas de rotas do Amazon EC2 não tenham rotas irrestritas para um gateway da Internet. Remover ou limitar o acesso à Internet para cargas de trabalho nas Amazon VPCs pode reduzir o acesso não intencional em seu ambiente.
CM-7	Mínimo de funcionalidade	restricted-common-ports	Gerencie o acesso aos recursos noAWSNuvem garantindo que as portas comuns sejam restritas nos grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2). Não restringir o acesso às portas a fontes confiáveis pode levar a ataques contra a disponibilidade, integridade e confidencialidade dos sistemas. Essa regra permite que você defina opcionalmente os parâmetros BlockedPort1 - BlockedPort5 (padrões de configuração: 20,21,3389,3306,4333). Os valores reais devem refletir as políticas da sua organização.
CM-8 (1)	Inventário de componentes do sistema | Atualizações durante a instalação e remoção	ec2-instance-managed-by-systems-gerente	É possível fazer um inventário das plataformas de software e aplicativos dentro da organização gerenciando instâncias do Amazon Elastic Compute Cloud (Amazon EC2) comAWSGerente de sistemas. UsarAWSSystems Manager para fornecer configurações detalhadas do sistema, níveis de patch do sistema operacional, nome e tipo de serviços, instalações de software, nome do aplicativo, editor e versão e outros detalhes sobre seu ambiente.
CM-8 (1)	Inventário de componentes do sistema | Atualizações durante a instalação e remoção	ec2-managedinstance-association-compliance-status-verifique	UsarAWSAssociações de gerentes de sistemas para ajudar no inventário de plataformas e aplicativos de software em uma organização.AWS O Systems Manager atribui um estado de configuração às suas instâncias gerenciadas e permite que você defina linhas de base dos níveis de patch do sistema operacional, instalações de software, configurações de aplicativos e outros detalhes sobre seu ambiente.
CM-8 (2)	Inventário de componentes do sistema | Manutenção automatizada	ec2-instance-managed-by-systems-gerente	É possível fazer um inventário das plataformas de software e aplicativos dentro da organização gerenciando instâncias do Amazon Elastic Compute Cloud (Amazon EC2) comAWSGerente de sistemas. UsarAWSSystems Manager para fornecer configurações detalhadas do sistema, níveis de patch do sistema operacional, nome e tipo de serviços, instalações de software, nome do aplicativo, editor e versão e outros detalhes sobre seu ambiente.
CM-8 (3)	Inventário de componentes do sistema | Detecção automatizada de componentes não autorizados	ec2-instance-managed-by-systems-gerente	É possível fazer um inventário das plataformas de software e aplicativos dentro da organização gerenciando instâncias do Amazon Elastic Compute Cloud (Amazon EC2) comAWSGerente de sistemas. UsarAWSSystems Manager para fornecer configurações detalhadas do sistema, níveis de patch do sistema operacional, nome e tipo de serviços, instalações de software, nome do aplicativo, editor e versão e outros detalhes sobre seu ambiente.
CM-8 (3)	Inventário de componentes do sistema | Detecção automatizada de componentes não autorizados	ec2-managedinstance-association-compliance-status-verifique	UsarAWSAssociações de gerentes de sistemas para ajudar no inventário de plataformas e aplicativos de software em uma organização.AWS O Systems Manager atribui um estado de configuração às suas instâncias gerenciadas e permite que você defina linhas de base dos níveis de patch do sistema operacional, instalações de software, configurações de aplicativos e outros detalhes sobre seu ambiente.
CM-8 (3)	Inventário de componentes do sistema | Detecção automatizada de componentes não autorizados	ec2-managedinstance-patch-compliance-status-verifique	Ative essa regra para ajudar na identificação e documentação das vulnerabilidades do Amazon Elastic Compute Cloud (Amazon EC2). A regra verifica se a instância do Amazon EC2 está em conformidade com o patch emAWSGerenciador de sistemas conforme exigido pelas políticas e procedimentos da sua organização.
CM-8 (3)	Inventário de componentes do sistema | Detecção automatizada de componentes não autorizados	guardduty-enabled-centralized	AmazôniaGuardDutypode ajudar a monitorar e detectar possíveis eventos de segurança cibernética usando feeds de inteligência de ameaças. Isso inclui listas de IPs maliciosos e aprendizado de máquina para identificar atividades inesperadas, não autorizadas e maliciosas em seuAWSAmbiente em nuvem.
CM-8	Inventário de componentes do sistema	ec2-instance-managed-by-systems-gerente	É possível fazer um inventário das plataformas de software e aplicativos dentro da organização gerenciando instâncias do Amazon Elastic Compute Cloud (Amazon EC2) comAWSGerente de sistemas. UsarAWSSystems Manager para fornecer configurações detalhadas do sistema, níveis de patch do sistema operacional, nome e tipo de serviços, instalações de software, nome do aplicativo, editor e versão e outros detalhes sobre seu ambiente.
CM-8	Inventário de componentes do sistema	ec2-managedinstance-association-compliance-status-verifique	UsarAWSAssociações de gerentes de sistemas para ajudar no inventário de plataformas e aplicativos de software em uma organização.AWS O Systems Manager atribui um estado de configuração às suas instâncias gerenciadas e permite que você defina linhas de base dos níveis de patch do sistema operacional, instalações de software, configurações de aplicativos e outros detalhes sobre seu ambiente.
CP-2 (2)	Plano de contingência | Planejamento de capacidade	autoscaling-group-elb-healthcheck-obrigatório	As verificações de integridade do Elastic Load Balancer (ELB) para grupos de Auto Scaling do Amazon Elastic Compute Cloud (Amazon EC2) oferecem suporte à manutenção de capacidade e disponibilidade adequadas. O balanceador de carga envia periodicamente pings, tenta conexões ou envia solicitações para testar a integridade das instâncias do Amazon EC2 em um grupo de escalonamento automático. Se uma instância não estiver reportando, o tráfego será enviado para uma nova instância do Amazon EC2.
CP-2 (2)	Plano de contingência | Planejamento de capacidade	dynamodb-autoscaling-enabled	O escalonamento automático do Amazon DynamoDB usa oAWSServiço de escalonamento automático de aplicativos para ajustar a capacidade de transferência provisionada que responde automaticamente aos padrões reais de tráfego. Isso permite que uma tabela ou um índice secundário global aumente sua capacidade de leitura/gravação provisionada para lidar com aumentos repentinos no tráfego, sem limitação.
CP-6 (1)	Local de armazenamento alternativo | Separação do local principal	dynamodb-in-backup-plan	Para ajudar nos processos de backup de dados, garanta que suas tabelas do Amazon DynamoDB façam parte de umAWSPlano de backup.AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos de conformidade comercial e regulamentar de backup.
CP-6 (1)	Local de armazenamento alternativo | Separação do local principal	ebs-in-backup-plan	Para ajudar nos processos de backup de dados, garanta que seus volumes do Amazon Elastic Block Store (Amazon EBS) façam parte de umAWSPlano de backup.AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos de conformidade comercial e regulamentar de backup.
CP-6 (1)	Local de armazenamento alternativo | Separação do local principal	efs-in-backup-plan	Para ajudar nos processos de backup de dados, garanta que seus sistemas de arquivos do Amazon Elastic File System (Amazon EFS) façam parte de umAWSPlano de backup.AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos de conformidade comercial e regulamentar de backup.
CP-6 (1)	Local de armazenamento alternativo | Separação do local principal	redshift-backup-enabled	Para ajudar nos processos de backup de dados, garanta que seus clusters do Amazon Redshift tenham snapshots automatizados. Quando os instantâneos automatizados são habilitados para um cluster, o Redshift tira instantâneos desse cluster periodicamente. Por padrão, o Redshift tira um instantâneo a cada oito horas ou a cada 5 GB por nó de alterações de dados, ou o que ocorrer primeiro.
CP-6 (1)	Local de armazenamento alternativo | Separação do local principal	db-instance-backup-enabled	O recurso de backup do Amazon RDS cria backups de seus bancos de dados e registros de transações. O Amazon RDS cria automaticamente um snapshot do volume de armazenamento da sua instância de banco de dados, fazendo backup de toda a instância de banco de dados. O sistema permite que você defina períodos de retenção específicos para atender aos seus requisitos de resiliência.
CP-6 (1)	Local de armazenamento alternativo | Separação do local principal	elasticache-redis-cluster-automatic-verificação de backup	Quando os backups automáticos estão habilitados, a AmazonElastiCachecria um backup do cluster diariamente. O backup pode ser retido por alguns dias, conforme especificado pela sua organização. Os backups automáticos podem ajudar a proteger contra a perda de dados. Se ocorrer uma falha, você poderá criar um novo cluster, que restaura seus dados do backup mais recente.
CP-6 (1)	Local de armazenamento alternativo | Separação do local principal	s3-bucket-replication-enabled	A replicação entre regiões (CRR) do Amazon Simple Storage Service (Amazon S3) suporta a manutenção de capacidade e disponibilidade adequadas. A CRR permite a cópia automática e assíncrona de objetos em buckets do Amazon S3 para ajudar a garantir que a disponibilidade dos dados seja mantida.
CP-6 (1)	Local de armazenamento alternativo | Separação do local principal	s3-bucket-versioning-enabled	O controle de versão do bucket do Amazon Simple Storage Service (Amazon S3) ajuda a manter várias variantes de um objeto no mesmo bucket do Amazon S3. Use o controle de versão para preservar, recuperar e restaurar todas as versões de cada objeto armazenado em seu bucket do Amazon S3. O controle de versão ajuda você a se recuperar facilmente de ações não intencionais do usuário e falhas de aplicativos.
CP-6 (2)	Local de armazenamento alternativo | Objetivos do tempo de recuperação e do ponto de recuperação	dynamodb-in-backup-plan	Para ajudar nos processos de backup de dados, garanta que suas tabelas do Amazon DynamoDB façam parte de umAWSPlano de backup.AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos de conformidade comercial e regulamentar de backup.
CP-6 (2)	Local de armazenamento alternativo | Objetivos do tempo de recuperação e do ponto de recuperação	ebs-in-backup-plan	Para ajudar nos processos de backup de dados, garanta que seus volumes do Amazon Elastic Block Store (Amazon EBS) façam parte de umAWSPlano de backup.AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos de conformidade comercial e regulamentar de backup.
CP-6 (2)	Local de armazenamento alternativo | Objetivos do tempo de recuperação e do ponto de recuperação	efs-in-backup-plan	Para ajudar nos processos de backup de dados, garanta que seus sistemas de arquivos do Amazon Elastic File System (Amazon EFS) façam parte de umAWSPlano de backup.AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos de conformidade comercial e regulamentar de backup.
CP-6 (2)	Local de armazenamento alternativo | Objetivos do tempo de recuperação e do ponto de recuperação	elb-cross-zone-load-balanceamento ativado	Habilite o balanceamento de carga entre zonas para seus Elastic Load Balancers (ELBs) para ajudar a manter a capacidade e a disponibilidade adequadas. O balanceamento de carga entre zonas reduz a necessidade de manter números equivalentes de instâncias em cada zona de disponibilidade ativada. Também melhora a capacidade do seu aplicativo de lidar com a perda de uma ou mais instâncias.
CP-6 (2)	Local de armazenamento alternativo | Objetivos do tempo de recuperação e do ponto de recuperação	redshift-backup-enabled	Para ajudar nos processos de backup de dados, garanta que seus clusters do Amazon Redshift tenham snapshots automatizados. Quando os instantâneos automatizados são habilitados para um cluster, o Redshift tira instantâneos desse cluster periodicamente. Por padrão, o Redshift tira um instantâneo a cada oito horas ou a cada 5 GB por nó de alterações de dados, ou o que ocorrer primeiro.
CP-6 (2)	Local de armazenamento alternativo | Objetivos do tempo de recuperação e do ponto de recuperação	s3-version-lifecycle-policy-check	Certifique-se de que as políticas de ciclo de vida do Amazon S3 estejam configuradas para ajudar a definir as ações que você deseja que o Amazon S3 realize durante a vida útil de um objeto (por exemplo, fazer a transição de objetos para outra classe de armazenamento, arquivá-los ou excluí-los após um período de tempo especificado).
CP-6 (2)	Local de armazenamento alternativo | Objetivos do tempo de recuperação e do ponto de recuperação	db-instance-backup-enabled	O recurso de backup do Amazon RDS cria backups de seus bancos de dados e registros de transações. O Amazon RDS cria automaticamente um snapshot do volume de armazenamento da sua instância de banco de dados, fazendo backup de toda a instância de banco de dados. O sistema permite que você defina períodos de retenção específicos para atender aos seus requisitos de resiliência.
CP-6 (2)	Local de armazenamento alternativo | Objetivos do tempo de recuperação e do ponto de recuperação	dynamodb-autoscaling-enabled	O escalonamento automático do Amazon DynamoDB usa oAWSServiço de escalonamento automático de aplicativos para ajustar a capacidade de transferência provisionada que responde automaticamente aos padrões reais de tráfego. Isso permite que uma tabela ou um índice secundário global aumente sua capacidade de leitura/gravação provisionada para lidar com aumentos repentinos no tráfego, sem limitação.
CP-6 (2)	Local de armazenamento alternativo | Objetivos do tempo de recuperação e do ponto de recuperação	dynamodb-pitr-enabled	Ative essa regra para verificar se as informações foram copiadas. Ele também mantém os backups, garantindo quepoint-in-timea recuperação está habilitada no Amazon DynamoDB. A recuperação mantém backups contínuos de sua tabela nos últimos 35 dias.
CP-6 (2)	Local de armazenamento alternativo | Objetivos do tempo de recuperação e do ponto de recuperação	elasticache-redis-cluster-automatic-verificação de backup	Quando os backups automáticos estão habilitados, a AmazonElastiCachecria um backup do cluster diariamente. O backup pode ser retido por alguns dias, conforme especificado pela sua organização. Os backups automáticos podem ajudar a proteger contra a perda de dados. Se ocorrer uma falha, você poderá criar um novo cluster, que restaura seus dados do backup mais recente.
CP-6 (2)	Local de armazenamento alternativo | Objetivos do tempo de recuperação e do ponto de recuperação	rds-multi-az-support	O suporte Multi-AZ no Amazon Relational Database Service (Amazon RDS) oferece maior disponibilidade e durabilidade para instâncias de banco de dados. Quando você provisiona uma instância de banco de dados Multi-AZ, o Amazon RDS cria automaticamente uma instância de banco de dados principal e replica os dados de forma síncrona para uma instância em espera em uma zona de disponibilidade diferente. Cada zona de disponibilidade funciona em sua própria infraestrutura fisicamente distinta e independente e foi projetada para ser altamente confiável. No caso de uma falha na infraestrutura, o Amazon RDS executa um failover automático no modo de espera para que você possa retomar as operações do banco de dados assim que o failover for concluído.
CP-6 (2)	Local de armazenamento alternativo | Objetivos do tempo de recuperação e do ponto de recuperação	s3-bucket-replication-enabled	A replicação entre regiões (CRR) do Amazon Simple Storage Service (Amazon S3) suporta a manutenção de capacidade e disponibilidade adequadas. A CRR permite a cópia automática e assíncrona de objetos em buckets do Amazon S3 para ajudar a garantir que a disponibilidade dos dados seja mantida.
CP-6 (2)	Local de armazenamento alternativo | Objetivos do tempo de recuperação e do ponto de recuperação	s3-bucket-versioning-enabled	O controle de versão do bucket do Amazon Simple Storage Service (Amazon S3) ajuda a manter várias variantes de um objeto no mesmo bucket do Amazon S3. Use o controle de versão para preservar, recuperar e restaurar todas as versões de cada objeto armazenado em seu bucket do Amazon S3. O controle de versão ajuda você a se recuperar facilmente de ações não intencionais do usuário e falhas de aplicativos.
CP-6 (2)	Local de armazenamento alternativo | Objetivos do tempo de recuperação e do ponto de recuperação	vpc-vpn-2-tunnels-up	Túneis VPN redundantes de site a site podem ser implementados para atingir os requisitos de resiliência. Ele usa dois túneis para ajudar a garantir a conectividade caso uma das conexões VPN site a site fique indisponível. Para se proteger contra a perda de conectividade, caso o gateway do cliente fique indisponível, você pode configurar uma segunda conexão VPN site a site com a Amazon Virtual Private Cloud (Amazon VPC) e o gateway privado virtual usando um segundo gateway do cliente.
CP-6	Local de armazenamento alternativo	dynamodb-in-backup-plan	Para ajudar nos processos de backup de dados, garanta que suas tabelas do Amazon DynamoDB façam parte de umAWSPlano de backup.AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos de conformidade comercial e regulamentar de backup.
CP-6	Local de armazenamento alternativo	ebs-in-backup-plan	Para ajudar nos processos de backup de dados, garanta que seus volumes do Amazon Elastic Block Store (Amazon EBS) façam parte de umAWSPlano de backup.AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos de conformidade comercial e regulamentar de backup.
CP-6	Local de armazenamento alternativo	efs-in-backup-plan	Para ajudar nos processos de backup de dados, garanta que seus sistemas de arquivos do Amazon Elastic File System (Amazon EFS) façam parte de umAWSPlano de backup.AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos de conformidade comercial e regulamentar de backup.
CP-6	Local de armazenamento alternativo	redshift-backup-enabled	Para ajudar nos processos de backup de dados, garanta que seus clusters do Amazon Redshift tenham snapshots automatizados. Quando os instantâneos automatizados são habilitados para um cluster, o Redshift tira instantâneos desse cluster periodicamente. Por padrão, o Redshift tira um instantâneo a cada oito horas ou a cada 5 GB por nó de alterações de dados, ou o que ocorrer primeiro.
CP-6	Local de armazenamento alternativo	db-instance-backup-enabled	O recurso de backup do Amazon RDS cria backups de seus bancos de dados e registros de transações. O Amazon RDS cria automaticamente um snapshot do volume de armazenamento da sua instância de banco de dados, fazendo backup de toda a instância de banco de dados. O sistema permite que você defina períodos de retenção específicos para atender aos seus requisitos de resiliência.
CP-6	Local de armazenamento alternativo	elasticache-redis-cluster-automatic-verificação de backup	Quando os backups automáticos estão habilitados, a AmazonElastiCachecria um backup do cluster diariamente. O backup pode ser retido por alguns dias, conforme especificado pela sua organização. Os backups automáticos podem ajudar a proteger contra a perda de dados. Se ocorrer uma falha, você poderá criar um novo cluster, que restaura seus dados do backup mais recente.
CP-6	Local de armazenamento alternativo	s3-bucket-replication-enabled	A replicação entre regiões (CRR) do Amazon Simple Storage Service (Amazon S3) suporta a manutenção de capacidade e disponibilidade adequadas. A CRR permite a cópia automática e assíncrona de objetos em buckets do Amazon S3 para ajudar a garantir que a disponibilidade dos dados seja mantida.
CP-6	Local de armazenamento alternativo	s3-bucket-versioning-enabled	O controle de versão do bucket do Amazon Simple Storage Service (Amazon S3) ajuda a manter várias variantes de um objeto no mesmo bucket do Amazon S3. Use o controle de versão para preservar, recuperar e restaurar todas as versões de cada objeto armazenado em seu bucket do Amazon S3. O controle de versão ajuda você a se recuperar facilmente de ações não intencionais do usuário e falhas de aplicativos.
CP-9	Backup do sistema	dynamodb-in-backup-plan	Para ajudar nos processos de backup de dados, garanta que suas tabelas do Amazon DynamoDB façam parte de umAWSPlano de backup.AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos de conformidade comercial e regulamentar de backup.
CP-9	Backup do sistema	ebs-in-backup-plan	Para ajudar nos processos de backup de dados, garanta que seus volumes do Amazon Elastic Block Store (Amazon EBS) façam parte de umAWSPlano de backup.AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos de conformidade comercial e regulamentar de backup.
CP-9	Backup do sistema	efs-in-backup-plan	Para ajudar nos processos de backup de dados, garanta que seus sistemas de arquivos do Amazon Elastic File System (Amazon EFS) façam parte de umAWSPlano de backup.AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos de conformidade comercial e regulamentar de backup.
CP-9	Backup do sistema	redshift-backup-enabled	Para ajudar nos processos de backup de dados, garanta que seus clusters do Amazon Redshift tenham snapshots automatizados. Quando os instantâneos automatizados são habilitados para um cluster, o Redshift tira instantâneos desse cluster periodicamente. Por padrão, o Redshift tira um instantâneo a cada oito horas ou a cada 5 GB por nó de alterações de dados, ou o que ocorrer primeiro.
CP-9	Backup do sistema	s3-version-lifecycle-policy-check	Certifique-se de que as políticas de ciclo de vida do Amazon S3 estejam configuradas para ajudar a definir as ações que você deseja que o Amazon S3 realize durante a vida útil de um objeto (por exemplo, fazer a transição de objetos para outra classe de armazenamento, arquivá-los ou excluí-los após um período de tempo especificado).
CP-9	Backup do sistema	db-instance-backup-enabled	O recurso de backup do Amazon RDS cria backups de seus bancos de dados e registros de transações. O Amazon RDS cria automaticamente um snapshot do volume de armazenamento da sua instância de banco de dados, fazendo backup de toda a instância de banco de dados. O sistema permite que você defina períodos de retenção específicos para atender aos seus requisitos de resiliência.
CP-9	Backup do sistema	dynamodb-pitr-enabled	Ative essa regra para verificar se as informações foram copiadas. Ele também mantém os backups, garantindo quepoint-in-timea recuperação está habilitada no Amazon DynamoDB. A recuperação mantém backups contínuos de sua tabela nos últimos 35 dias.
CP-9	Backup do sistema	ebs-optimized-instance	Uma instância otimizada no Amazon Elastic Block Store (Amazon EBS) fornece capacidade adicional dedicada para as operações de I/O do Amazon EBS. Essa otimização fornece o desempenho mais eficiente para seus volumes do EBS, minimizando a contenção entre as operações de I/O do Amazon EBS e outros tráfegos da sua instância.
CP-9	Backup do sistema	elasticache-redis-cluster-automatic-verificação de backup	Quando os backups automáticos estão habilitados, a AmazonElastiCachecria um backup do cluster diariamente. O backup pode ser retido por alguns dias, conforme especificado pela sua organização. Os backups automáticos podem ajudar a proteger contra a perda de dados. Se ocorrer uma falha, você poderá criar um novo cluster, que restaura seus dados do backup mais recente.
CP-9	Backup do sistema	redshift-cluster-maintenancesettings-check	Essa regra garante que os clusters do Amazon Redshift tenham as configurações preferenciais para sua organização. Especificamente, que eles têm janelas de manutenção preferidas e períodos automatizados de retenção de instantâneos para o banco de dados. Essa regra exige que você defina oallowVersionUpgrade. O padrão é verdadeiro. Também permite que você defina opcionalmente opreferredMaintenanceWindow(o padrão é sáb: 16:00 -sáb: 16:30), e oautomatedSnapshotRetentionPeríodo (o padrão é 1). Os valores reais devem refletir as políticas da sua organização.
CP-9	Backup do sistema	s3-bucket-replication-enabled	A replicação entre regiões (CRR) do Amazon Simple Storage Service (Amazon S3) suporta a manutenção de capacidade e disponibilidade adequadas. A CRR permite a cópia automática e assíncrona de objetos em buckets do Amazon S3 para ajudar a garantir que a disponibilidade dos dados seja mantida.
CP-9	Backup do sistema	s3-bucket-versioning-enabled	O controle de versão do bucket do Amazon Simple Storage Service (Amazon S3) ajuda a manter várias variantes de um objeto no mesmo bucket do Amazon S3. Use o controle de versão para preservar, recuperar e restaurar todas as versões de cada objeto armazenado em seu bucket do Amazon S3. O controle de versão ajuda você a se recuperar facilmente de ações não intencionais do usuário e falhas de aplicativos.
CP-10	Recuperação e reconstituição do sistema	dynamodb-in-backup-plan	Para ajudar nos processos de backup de dados, garanta que suas tabelas do Amazon DynamoDB façam parte de umAWSPlano de backup.AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos de conformidade comercial e regulamentar de backup.
CP-10	Recuperação e reconstituição do sistema	ebs-in-backup-plan	Para ajudar nos processos de backup de dados, garanta que seus volumes do Amazon Elastic Block Store (Amazon EBS) façam parte de umAWSPlano de backup.AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos de conformidade comercial e regulamentar de backup.
CP-10	Recuperação e reconstituição do sistema	efs-in-backup-plan	Para ajudar nos processos de backup de dados, garanta que seus sistemas de arquivos do Amazon Elastic File System (Amazon EFS) façam parte de umAWSPlano de backup.AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos de conformidade comercial e regulamentar de backup.
CP-10	Recuperação e reconstituição do sistema	elb-cross-zone-load-balanceamento ativado	Habilite o balanceamento de carga entre zonas para seus Elastic Load Balancers (ELBs) para ajudar a manter a capacidade e a disponibilidade adequadas. O balanceamento de carga entre zonas reduz a necessidade de manter números equivalentes de instâncias em cada zona de disponibilidade ativada. Também melhora a capacidade do seu aplicativo de lidar com a perda de uma ou mais instâncias.
CP-10	Recuperação e reconstituição do sistema	redshift-backup-enabled	Para ajudar nos processos de backup de dados, garanta que seus clusters do Amazon Redshift tenham snapshots automatizados. Quando os instantâneos automatizados são habilitados para um cluster, o Redshift tira instantâneos desse cluster periodicamente. Por padrão, o Redshift tira um instantâneo a cada oito horas ou a cada 5 GB por nó de alterações de dados, ou o que ocorrer primeiro.
CP-10	Recuperação e reconstituição do sistema	s3-version-lifecycle-policy-check	Certifique-se de que as políticas de ciclo de vida do Amazon S3 estejam configuradas para ajudar a definir as ações que você deseja que o Amazon S3 realize durante a vida útil de um objeto (por exemplo, fazer a transição de objetos para outra classe de armazenamento, arquivá-los ou excluí-los após um período de tempo especificado).
CP-10	Recuperação e reconstituição do sistema	db-instance-backup-enabled	O recurso de backup do Amazon RDS cria backups de seus bancos de dados e registros de transações. O Amazon RDS cria automaticamente um snapshot do volume de armazenamento da sua instância de banco de dados, fazendo backup de toda a instância de banco de dados. O sistema permite que você defina períodos de retenção específicos para atender aos seus requisitos de resiliência.
CP-10	Recuperação e reconstituição do sistema	dynamodb-autoscaling-enabled	O escalonamento automático do Amazon DynamoDB usa oAWSServiço de escalonamento automático de aplicativos para ajustar a capacidade de transferência provisionada que responde automaticamente aos padrões reais de tráfego. Isso permite que uma tabela ou um índice secundário global aumente sua capacidade de leitura/gravação provisionada para lidar com aumentos repentinos no tráfego, sem limitação.
CP-10	Recuperação e reconstituição do sistema	dynamodb-pitr-enabled	Ative essa regra para verificar se as informações foram copiadas. Ele também mantém os backups, garantindo quepoint-in-timea recuperação está habilitada no Amazon DynamoDB. A recuperação mantém backups contínuos de sua tabela nos últimos 35 dias.
CP-10	Recuperação e reconstituição do sistema	ebs-optimized-instance	Uma instância otimizada no Amazon Elastic Block Store (Amazon EBS) fornece capacidade adicional dedicada para as operações de I/O do Amazon EBS. Essa otimização fornece o desempenho mais eficiente para seus volumes do EBS, minimizando a contenção entre as operações de I/O do Amazon EBS e outros tráfegos da sua instância.
CP-10	Recuperação e reconstituição do sistema	elasticache-redis-cluster-automatic-verificação de backup	Quando os backups automáticos estão habilitados, a AmazonElastiCachecria um backup do cluster diariamente. O backup pode ser retido por alguns dias, conforme especificado pela sua organização. Os backups automáticos podem ajudar a proteger contra a perda de dados. Se ocorrer uma falha, você poderá criar um novo cluster, que restaura seus dados do backup mais recente.
CP-10	Recuperação e reconstituição do sistema	rds-multi-az-support	O suporte Multi-AZ no Amazon Relational Database Service (Amazon RDS) oferece maior disponibilidade e durabilidade para instâncias de banco de dados. Quando você provisiona uma instância de banco de dados Multi-AZ, o Amazon RDS cria automaticamente uma instância de banco de dados principal e replica os dados de forma síncrona para uma instância em espera em uma zona de disponibilidade diferente. Cada zona de disponibilidade funciona em sua própria infraestrutura fisicamente distinta e independente e foi projetada para ser altamente confiável. No caso de uma falha na infraestrutura, o Amazon RDS executa um failover automático no modo de espera para que você possa retomar as operações do banco de dados assim que o failover for concluído.
CP-10	Recuperação e reconstituição do sistema	s3-bucket-replication-enabled	A replicação entre regiões (CRR) do Amazon Simple Storage Service (Amazon S3) suporta a manutenção de capacidade e disponibilidade adequadas. A CRR permite a cópia automática e assíncrona de objetos em buckets do Amazon S3 para ajudar a garantir que a disponibilidade dos dados seja mantida.
CP-10	Recuperação e reconstituição do sistema	s3-bucket-versioning-enabled	O controle de versão do bucket do Amazon Simple Storage Service (Amazon S3) ajuda a manter várias variantes de um objeto no mesmo bucket do Amazon S3. Use o controle de versão para preservar, recuperar e restaurar todas as versões de cada objeto armazenado em seu bucket do Amazon S3. O controle de versão ajuda você a se recuperar facilmente de ações não intencionais do usuário e falhas de aplicativos.
CP-10	Recuperação e reconstituição do sistema	vpc-vpn-2-tunnels-up	Túneis VPN redundantes de site a site podem ser implementados para atingir os requisitos de resiliência. Ele usa dois túneis para ajudar a garantir a conectividade caso uma das conexões VPN site a site fique indisponível. Para se proteger contra a perda de conectividade, caso o gateway do cliente fique indisponível, você pode configurar uma segunda conexão VPN site a site com a Amazon Virtual Private Cloud (Amazon VPC) e o gateway privado virtual usando um segundo gateway do cliente.
IA-2 (1)	Identificação e autenticação (usuários organizacionais) | Autenticação multifatorial para contas privilegiadas	iam-user-mfa-enabled	Ative essa regra para restringir o acesso aos recursos noAWSNuvem. Essa regra garante que a autenticação multifator (MFA) esteja habilitada para todos os usuários. A MFA adiciona uma camada extra de proteção às credenciais de login. Reduza os incidentes de contas comprometidas exigindo MFA para os usuários.
IA-2 (1)	Identificação e autenticação (usuários organizacionais) | Autenticação multifatorial para contas privilegiadas	mfa-enabled-for-iam-acesso ao console	Gerencie o acesso aos recursos noAWSNuvem, garantindo que a MFA esteja habilitada para todosAWSUsuários do Gerenciamento de Identidade e Acesso (IAM) que têm uma senha de console. A MFA adiciona uma camada extra de proteção às credenciais de login. Ao exigir a MFA para os usuários, você pode reduzir os incidentes de contas comprometidas e impedir que dados confidenciais sejam acessados por usuários não autorizados.
IA-2 (1)	Identificação e autenticação (usuários organizacionais) | Autenticação multifatorial para contas privilegiadas	root-account-hardware-mfa-ativado	Gerencie o acesso aos recursos noAWSNuvem, garantindo que a MFA de hardware esteja habilitada para o usuário root. O usuário root é o usuário mais privilegiado em umAWSconta. O MFA adiciona uma camada extra de proteção às credenciais de login. Ao exigir MFA para o usuário root, você pode reduzir os incidentes de comprometimentoAWScontas.
IA-2 (1)	Identificação e autenticação (usuários organizacionais) | Autenticação multifatorial para contas privilegiadas	root-account-mfa-enabled	Gerencie o acesso aos recursos noAWSNuvem, garantindo que o MFA esteja habilitado para o usuário root. O usuário root é o usuário mais privilegiado em umAWSconta. O MFA adiciona uma camada extra de proteção às credenciais de login. Ao exigir MFA para o usuário root, você pode reduzir os incidentes de comprometimentoAWScontas.
IA-2 (2)	Identificação e autenticação (usuários organizacionais) | Autenticação multifatorial para contas não privilegiadas	iam-user-mfa-enabled	Ative essa regra para restringir o acesso aos recursos noAWSNuvem. Essa regra garante que a autenticação multifator (MFA) esteja habilitada para todos os usuários. A MFA adiciona uma camada extra de proteção às credenciais de login. Reduza os incidentes de contas comprometidas exigindo MFA para os usuários.
IA-2 (2)	Identificação e autenticação (usuários organizacionais) | Autenticação multifatorial para contas não privilegiadas	mfa-enabled-for-iam-acesso ao console	Gerencie o acesso aos recursos noAWSNuvem, garantindo que a MFA esteja habilitada para todosAWSUsuários do Gerenciamento de Identidade e Acesso (IAM) que têm uma senha de console. A MFA adiciona uma camada extra de proteção às credenciais de login. Ao exigir a MFA para os usuários, você pode reduzir os incidentes de contas comprometidas e impedir que dados confidenciais sejam acessados por usuários não autorizados.
IA-2 (2)	Identificação e autenticação (usuários organizacionais) | Autenticação multifatorial para contas não privilegiadas	root-account-hardware-mfa-ativado	Gerencie o acesso aos recursos noAWSNuvem, garantindo que a MFA de hardware esteja habilitada para o usuário root. O usuário root é o usuário mais privilegiado em umAWSconta. O MFA adiciona uma camada extra de proteção às credenciais de login. Ao exigir MFA para o usuário root, você pode reduzir os incidentes de comprometimentoAWScontas.
IA-2 (2)	Identificação e autenticação (usuários organizacionais) | Autenticação multifatorial para contas não privilegiadas	root-account-mfa-enabled	Gerencie o acesso aos recursos noAWSNuvem, garantindo que o MFA esteja habilitado para o usuário root. O usuário root é o usuário mais privilegiado em umAWSconta. O MFA adiciona uma camada extra de proteção às credenciais de login. Ao exigir MFA para o usuário root, você pode reduzir os incidentes de comprometimentoAWScontas.
IA-2 (6)	Identificação e autenticação (usuários organizacionais) | Acesso às contas — dispositivo separado	iam-user-mfa-enabled	Ative essa regra para restringir o acesso aos recursos noAWSNuvem. Essa regra garante que a autenticação multifator (MFA) esteja habilitada para todos os usuários. A MFA adiciona uma camada extra de proteção às credenciais de login. Reduza os incidentes de contas comprometidas exigindo MFA para os usuários.
IA-2 (6)	Identificação e autenticação (usuários organizacionais) | Acesso às contas — dispositivo separado	mfa-enabled-for-iam-acesso ao console	Gerencie o acesso aos recursos noAWSNuvem, garantindo que a MFA esteja habilitada para todosAWSUsuários do Gerenciamento de Identidade e Acesso (IAM) que têm uma senha de console. A MFA adiciona uma camada extra de proteção às credenciais de login. Ao exigir a MFA para os usuários, você pode reduzir os incidentes de contas comprometidas e impedir que dados confidenciais sejam acessados por usuários não autorizados.
IA-2 (6)	Identificação e autenticação (usuários organizacionais) | Acesso às contas — dispositivo separado	root-account-hardware-mfa-ativado	Gerencie o acesso aos recursos noAWSNuvem, garantindo que a MFA de hardware esteja habilitada para o usuário root. O usuário root é o usuário mais privilegiado em umAWSconta. O MFA adiciona uma camada extra de proteção às credenciais de login. Ao exigir MFA para o usuário root, você pode reduzir os incidentes de comprometimentoAWScontas.
IA-2 (6)	Identificação e autenticação (usuários organizacionais) | Acesso às contas — dispositivo separado	root-account-mfa-enabled	Gerencie o acesso aos recursos noAWSNuvem, garantindo que o MFA esteja habilitado para o usuário root. O usuário root é o usuário mais privilegiado em umAWSconta. O MFA adiciona uma camada extra de proteção às credenciais de login. Ao exigir MFA para o usuário root, você pode reduzir os incidentes de comprometimentoAWScontas.
IA-2 (8)	Identificação e autenticação (usuários organizacionais) | Acesso a contas — Replay Resistant	iam-user-mfa-enabled	Ative essa regra para restringir o acesso aos recursos noAWSNuvem. Essa regra garante que a autenticação multifator (MFA) esteja habilitada para todos os usuários. A MFA adiciona uma camada extra de proteção às credenciais de login. Reduza os incidentes de contas comprometidas exigindo MFA para os usuários.
IA-2 (8)	Identificação e autenticação (usuários organizacionais) | Acesso a contas — Replay Resistant	mfa-enabled-for-iam-acesso ao console	Gerencie o acesso aos recursos noAWSNuvem, garantindo que a MFA esteja habilitada para todosAWSUsuários do Gerenciamento de Identidade e Acesso (IAM) que têm uma senha de console. A MFA adiciona uma camada extra de proteção às credenciais de login. Ao exigir a MFA para os usuários, você pode reduzir os incidentes de contas comprometidas e impedir que dados confidenciais sejam acessados por usuários não autorizados.
IA-2 (8)	Identificação e autenticação (usuários organizacionais) | Acesso a contas — Replay Resistant	root-account-hardware-mfa-ativado	Gerencie o acesso aos recursos noAWSNuvem, garantindo que a MFA de hardware esteja habilitada para o usuário root. O usuário root é o usuário mais privilegiado em umAWSconta. O MFA adiciona uma camada extra de proteção às credenciais de login. Ao exigir MFA para o usuário root, você pode reduzir os incidentes de comprometimentoAWScontas.
IA-2 (8)	Identificação e autenticação (usuários organizacionais) | Acesso a contas — Replay Resistant	root-account-mfa-enabled	Gerencie o acesso aos recursos noAWSNuvem, garantindo que o MFA esteja habilitado para o usuário root. O usuário root é o usuário mais privilegiado em umAWSconta. O MFA adiciona uma camada extra de proteção às credenciais de login. Ao exigir MFA para o usuário root, você pode reduzir os incidentes de comprometimentoAWScontas.
IA-5 (1)	Gerenciamento de autenticadores | Autenticação baseada em senha	elb-tls-https-listeners-somente	Certifique-se de que seus Elastic Load Balancers (ELBs) estejam configurados com ouvintes SSL ou HTTPS. Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados.
IA-5 (1)	Gerenciamento de autenticadores | Autenticação baseada em senha	opensearch-https-required	Como dados confidenciais podem existir e, para ajudar a proteger os dados em trânsito, certifique-se de que o HTTPS esteja ativado para conexões com sua AmazonOpenSearchDomínios de serviço.
IA-5 (1)	Gerenciamento de autenticadores | Autenticação baseada em senha	alb-http-to-https-verificação de redirecionamento	Para ajudar a proteger os dados em trânsito, certifique-se de que seu Application Load Balancer redirecione automaticamente solicitações HTTP não criptografadas para HTTPS. Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados.
IA-5 (1)	Gerenciamento de autenticadores | Autenticação baseada em senha	api-gw-ssl-enabled	Certifique-se de que os estágios da API REST do Amazon API Gateway estejam configurados com certificados SSL para permitir que os sistemas de back-end autentiquem que as solicitações são originadas do API Gateway.
IA-5 (1)	Gerenciamento de autenticadores | Autenticação baseada em senha	elb-acm-certificate-required	Como dados confidenciais podem existir e, para ajudar a proteger os dados em trânsito, garanta que a criptografia esteja habilitada para seu Elastic Load Balancing. UsarAWSGerenciador de certificados para gerenciar, provisionar e implantar certificados SSL/TLS públicos e privados comAWSserviços e recursos internos.
IA-5 (1)	Gerenciamento de autenticadores | Autenticação baseada em senha	elbv2-acm-certificate-required	Como dados confidenciais podem existir e, para ajudar a proteger os dados em trânsito, garanta que a criptografia esteja habilitada para seu Elastic Load Balancing. UsarAWSGerenciador de certificados para gerenciar, provisionar e implantar certificados SSL/TLS públicos e privados comAWSserviços e recursos internos.
IA-5 (1)	Gerenciamento de autenticadores | Autenticação baseada em senha	iam-password-policy	As identidades e as credenciais são emitidas, gerenciadas e verificadas com base em uma política de senha organizacional do IAM. Eles atendem ou excedem os requisitos, conforme declarado pelo NIST SP 800-63 e peloAWSPadrão básico de melhores práticas de segurança para a segurança da senha. Essa regra permite que você defina opcionalmenteRequireUppercaseCharacters(AWSAs melhores práticas básicas de segurança (valor: verdadeiro),RequireLowercaseCharacters(AWSAs melhores práticas básicas de segurança (valor: verdadeiro),RequireSymbols(AWSAs melhores práticas básicas de segurança (valor: verdadeiro),RequireNumbers(AWSAs melhores práticas básicas de segurança (valor: verdadeiro),MinimumPasswordLength(AWSValor fundamental das melhores práticas de segurança: 14),PasswordReusePrevention(AWSValor fundamental das melhores práticas de segurança: 24) eMaxPasswordAge(AWSValor fundamental das melhores práticas de segurança: 90) para sua política de senha do IAM. Os valores reais devem refletir as políticas da sua organização.
IA-5 (1)	Gerenciamento de autenticadores | Autenticação baseada em senha	s3-bucket-ssl-requests-only	Para ajudar a proteger os dados em trânsito, certifique-se de que seus buckets do Amazon Simple Storage Service (Amazon S3) exijam solicitações para usar o Secure Socket Layer (SSL). Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados.
IA-5 (7)	Gerenciamento de autenticadores | Sem autenticadores estáticos não criptografados incorporados	codebuild-project-envvar-awscred-verifique	Certifique-se de que as credenciais de autenticação AWS_ACCESS_KEY_ID e AWS_SECRET_ACCESS_KEY não existam emAWSAmbientes de projeto Codebuild. Não armazene essas variáveis em texto não criptografado. Armazenar essas variáveis em texto não criptografado leva à exposição não intencional dos dados e ao acesso não autorizado.
IR-4 (1)	Tratamento de incidentes | Processos automatizados de tratamento de incidentes	cloudwatch-alarm-action-check	AmazôniaCloudWatchalertam quando uma métrica ultrapassa o limite de um determinado número de períodos de avaliação. O alarme realiza uma ou mais ações com base no valor da métrica ou na expressão relativa a um limite em alguns períodos. Essa regra exige um valor paraalarmActionRequired(Padrão de configuração: verdadeiro),insufficientDataActionObrigatório (padrão de configuração: verdadeiro),okActionRequired(Padrão de configuração: falso). O valor real deve refletir as ações de alarme do seu ambiente.
IR-4 (5)	Tratamento de incidentes | Desativação automática do sistema	cloudwatch-alarm-action-check	AmazôniaCloudWatchalertam quando uma métrica ultrapassa o limite de um determinado número de períodos de avaliação. O alarme realiza uma ou mais ações com base no valor da métrica ou na expressão relativa a um limite em alguns períodos. Essa regra exige um valor paraalarmActionRequired(Padrão de configuração: verdadeiro),insufficientDataActionObrigatório (padrão de configuração: verdadeiro),okActionRequired(Padrão de configuração: falso). O valor real deve refletir as ações de alarme do seu ambiente.
RA-3 (4)	Avaliação de risco | Análise cibernética preditiva	guardduty-enabled-centralized	AmazôniaGuardDutypode ajudar a monitorar e detectar possíveis eventos de segurança cibernética usando feeds de inteligência de ameaças. Isso inclui listas de IPs maliciosos e aprendizado de máquina para identificar atividades inesperadas, não autorizadas e maliciosas em seuAWSAmbiente em nuvem.
SA-3	Ciclo de vida de desenvolvimento do sistema	codebuild-project-envvar-awscred-verifique	Certifique-se de que as credenciais de autenticação AWS_ACCESS_KEY_ID e AWS_SECRET_ACCESS_KEY não existam emAWSAmbientes de projeto Codebuild. Não armazene essas variáveis em texto não criptografado. Armazenar essas variáveis em texto não criptografado leva à exposição não intencional dos dados e ao acesso não autorizado.
SA-3	Ciclo de vida de desenvolvimento do sistema	ec2-instance-managed-by-systems-gerente	É possível fazer um inventário das plataformas de software e aplicativos dentro da organização gerenciando instâncias do Amazon Elastic Compute Cloud (Amazon EC2) comAWSGerente de sistemas. UsarAWSSystems Manager para fornecer configurações detalhadas do sistema, níveis de patch do sistema operacional, nome e tipo de serviços, instalações de software, nome do aplicativo, editor e versão e outros detalhes sobre seu ambiente.
SA-8 (19)	Princípios de engenharia de segurança e privacidade | Proteção contínua	guardduty-enabled-centralized	AmazôniaGuardDutypode ajudar a monitorar e detectar possíveis eventos de segurança cibernética usando feeds de inteligência de ameaças. Isso inclui listas de IPs maliciosos e aprendizado de máquina para identificar atividades inesperadas, não autorizadas e maliciosas em seuAWSAmbiente em nuvem.
SA-8 (21)	Princípios de engenharia de segurança e privacidade | Autoanálise	guardduty-enabled-centralized	AmazôniaGuardDutypode ajudar a monitorar e detectar possíveis eventos de segurança cibernética usando feeds de inteligência de ameaças. Isso inclui listas de IPs maliciosos e aprendizado de máquina para identificar atividades inesperadas, não autorizadas e maliciosas em seuAWSAmbiente em nuvem.
SA-8 (22)	Princípios de engenharia de segurança e privacidade | Responsabilidade e rastreabilidade	habilitado para cloudtrail	AWS CloudTrailpode ajudar na não repúdio gravandoAWSAções do Management Console e chamadas de API. Você pode identificar os usuários eAWScontas que chamaram umAWSserviço, o endereço IP de origem onde as chamadas foram geradas e os horários das chamadas. Os detalhes dos dados capturados são vistos emAWS CloudTrailGrave o conteúdo.
SA-8 (25)	Princípios de engenharia de segurança e privacidade | Segurança econômica	guardduty-enabled-centralized	AmazôniaGuardDutypode ajudar a monitorar e detectar possíveis eventos de segurança cibernética usando feeds de inteligência de ameaças. Isso inclui listas de IPs maliciosos e aprendizado de máquina para identificar atividades inesperadas, não autorizadas e maliciosas em seuAWSAmbiente em nuvem.
SA-11 (1)	Teste e avaliação de desenvolvedores | Análise estática de código	guardduty-enabled-centralized	AmazôniaGuardDutypode ajudar a monitorar e detectar possíveis eventos de segurança cibernética usando feeds de inteligência de ameaças. Isso inclui listas de IPs maliciosos e aprendizado de máquina para identificar atividades inesperadas, não autorizadas e maliciosas em seuAWSAmbiente em nuvem.
SA-11 (6)	Teste e avaliação de desenvolvedores | Attack Surface Reviews	guardduty-enabled-centralized	AmazôniaGuardDutypode ajudar a monitorar e detectar possíveis eventos de segurança cibernética usando feeds de inteligência de ameaças. Isso inclui listas de IPs maliciosos e aprendizado de máquina para identificar atividades inesperadas, não autorizadas e maliciosas em seuAWSAmbiente em nuvem.
SA-15 (2)	Processo de desenvolvimento, padrões e ferramentas | Ferramentas de rastreamento de segurança e privacidade	ec2-instance-managed-by-systems-gerente	É possível fazer um inventário das plataformas de software e aplicativos dentro da organização gerenciando instâncias do Amazon Elastic Compute Cloud (Amazon EC2) comAWSGerente de sistemas. UsarAWSSystems Manager para fornecer configurações detalhadas do sistema, níveis de patch do sistema operacional, nome e tipo de serviços, instalações de software, nome do aplicativo, editor e versão e outros detalhes sobre seu ambiente.
SA-15 (2)	Processo de desenvolvimento, padrões e ferramentas | Ferramentas de rastreamento de segurança e privacidade	guardduty-enabled-centralized	AmazôniaGuardDutypode ajudar a monitorar e detectar possíveis eventos de segurança cibernética usando feeds de inteligência de ameaças. Isso inclui listas de IPs maliciosos e aprendizado de máquina para identificar atividades inesperadas, não autorizadas e maliciosas em seuAWSAmbiente em nuvem.
SA-15 (8)	Processo de desenvolvimento, padrões e ferramentas | Reutilização de informações sobre ameaças e vulnerabilidades	ec2-instance-managed-by-systems-gerente	É possível fazer um inventário das plataformas de software e aplicativos dentro da organização gerenciando instâncias do Amazon Elastic Compute Cloud (Amazon EC2) comAWSGerente de sistemas. UsarAWSSystems Manager para fornecer configurações detalhadas do sistema, níveis de patch do sistema operacional, nome e tipo de serviços, instalações de software, nome do aplicativo, editor e versão e outros detalhes sobre seu ambiente.
SA-15 (8)	Processo de desenvolvimento, padrões e ferramentas | Reutilização de informações sobre ameaças e vulnerabilidades	guardduty-enabled-centralized	AmazôniaGuardDutypode ajudar a monitorar e detectar possíveis eventos de segurança cibernética usando feeds de inteligência de ameaças. Isso inclui listas de IPs maliciosos e aprendizado de máquina para identificar atividades inesperadas, não autorizadas e maliciosas em seuAWSAmbiente em nuvem.
SC-5 (1)	Denial-of-serviceProteção | Restrinja a capacidade de atacar outros sistemas	guardduty-enabled-centralized	AmazôniaGuardDutypode ajudar a monitorar e detectar possíveis eventos de segurança cibernética usando feeds de inteligência de ameaças. Isso inclui listas de IPs maliciosos e aprendizado de máquina para identificar atividades inesperadas, não autorizadas e maliciosas em seuAWSAmbiente em nuvem.
SC-5 (2)	Denial-of-serviceProteção | Capacidade, largura de banda e redundância	dynamodb-in-backup-plan	Para ajudar nos processos de backup de dados, garanta que suas tabelas do Amazon DynamoDB façam parte de umAWSPlano de backup.AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos de conformidade comercial e regulamentar de backup.
SC-5 (2)	Denial-of-serviceProteção | Capacidade, largura de banda e redundância	ebs-in-backup-plan	Para ajudar nos processos de backup de dados, garanta que seus volumes do Amazon Elastic Block Store (Amazon EBS) façam parte de umAWSPlano de backup.AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos de conformidade comercial e regulamentar de backup.
SC-5 (2)	Denial-of-serviceProteção | Capacidade, largura de banda e redundância	efs-in-backup-plan	Para ajudar nos processos de backup de dados, garanta que seus sistemas de arquivos do Amazon Elastic File System (Amazon EFS) façam parte de umAWSPlano de backup.AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos de conformidade comercial e regulamentar de backup.
SC-5 (2)	Denial-of-serviceProteção | Capacidade, largura de banda e redundância	elb-cross-zone-load-balanceamento ativado	Habilite o balanceamento de carga entre zonas para seus Elastic Load Balancers (ELBs) para ajudar a manter a capacidade e a disponibilidade adequadas. O balanceamento de carga entre zonas reduz a necessidade de manter números equivalentes de instâncias em cada zona de disponibilidade ativada. Também melhora a capacidade do seu aplicativo de lidar com a perda de uma ou mais instâncias.
SC-5 (2)	Denial-of-serviceProteção | Capacidade, largura de banda e redundância	rds-instance-deletion-protection-ativado	Garanta que as instâncias do Amazon Relational Database Service (Amazon RDS) tenham a proteção contra exclusão ativada. Use a proteção contra exclusão para evitar que suas instâncias do Amazon RDS sejam excluídas acidentalmente ou maliciosamente, o que pode levar à perda de disponibilidade de seus aplicativos.
SC-5 (2)	Denial-of-serviceProteção | Capacidade, largura de banda e redundância	redshift-backup-enabled	Para ajudar nos processos de backup de dados, garanta que seus clusters do Amazon Redshift tenham snapshots automatizados. Quando os instantâneos automatizados são habilitados para um cluster, o Redshift tira instantâneos desse cluster periodicamente. Por padrão, o Redshift tira um instantâneo a cada oito horas ou a cada 5 GB por nó de alterações de dados, ou o que ocorrer primeiro.
SC-5 (2)	Denial-of-serviceProteção | Capacidade, largura de banda e redundância	s3-version-lifecycle-policy-check	Certifique-se de que as políticas de ciclo de vida do Amazon S3 estejam configuradas para ajudar a definir as ações que você deseja que o Amazon S3 realize durante a vida útil de um objeto (por exemplo, fazer a transição de objetos para outra classe de armazenamento, arquivá-los ou excluí-los após um período de tempo especificado).
SC-5 (2)	Denial-of-serviceProteção | Capacidade, largura de banda e redundância	db-instance-backup-enabled	O recurso de backup do Amazon RDS cria backups de seus bancos de dados e registros de transações. O Amazon RDS cria automaticamente um snapshot do volume de armazenamento da sua instância de banco de dados, fazendo backup de toda a instância de banco de dados. O sistema permite que você defina períodos de retenção específicos para atender aos seus requisitos de resiliência.
SC-5 (2)	Denial-of-serviceProteção | Capacidade, largura de banda e redundância	dynamodb-autoscaling-enabled	O escalonamento automático do Amazon DynamoDB usa oAWSServiço de escalonamento automático de aplicativos para ajustar a capacidade de transferência provisionada que responde automaticamente aos padrões reais de tráfego. Isso permite que uma tabela ou um índice secundário global aumente sua capacidade de leitura/gravação provisionada para lidar com aumentos repentinos no tráfego, sem limitação.
SC-5 (2)	Denial-of-serviceProteção | Capacidade, largura de banda e redundância	dynamodb-pitr-enabled	Ative essa regra para verificar se as informações foram copiadas. Ele também mantém os backups, garantindo quepoint-in-timea recuperação está habilitada no Amazon DynamoDB. A recuperação mantém backups contínuos de sua tabela nos últimos 35 dias.
SC-5 (2)	Denial-of-serviceProteção | Capacidade, largura de banda e redundância	ebs-optimized-instance	Uma instância otimizada no Amazon Elastic Block Store (Amazon EBS) fornece capacidade adicional dedicada para as operações de I/O do Amazon EBS. Essa otimização fornece o desempenho mais eficiente para seus volumes do EBS, minimizando a contenção entre as operações de I/O do Amazon EBS e outros tráfegos da sua instância.
SC-5 (2)	Denial-of-serviceProteção | Capacidade, largura de banda e redundância	elasticache-redis-cluster-automatic-verificação de backup	Quando os backups automáticos estão habilitados, a AmazonElastiCachecria um backup do cluster diariamente. O backup pode ser retido por alguns dias, conforme especificado pela sua organização. Os backups automáticos podem ajudar a proteger contra a perda de dados. Se ocorrer uma falha, você poderá criar um novo cluster, que restaura seus dados do backup mais recente.
SC-5 (2)	Denial-of-serviceProteção | Capacidade, largura de banda e redundância	elb-deletion-protection-enabled	Essa regra garante que o Elastic Load Balancing tenha a proteção contra exclusão ativada. Use esse recurso para evitar que seu balanceador de carga seja excluído acidental ou maliciosamente, o que pode levar à perda de disponibilidade de seus aplicativos.
SC-5 (2)	Denial-of-serviceProteção | Capacidade, largura de banda e redundância	rds-multi-az-support	O suporte Multi-AZ no Amazon Relational Database Service (Amazon RDS) oferece maior disponibilidade e durabilidade para instâncias de banco de dados. Quando você provisiona uma instância de banco de dados Multi-AZ, o Amazon RDS cria automaticamente uma instância de banco de dados principal e replica os dados de forma síncrona para uma instância em espera em uma zona de disponibilidade diferente. Cada zona de disponibilidade funciona em sua própria infraestrutura fisicamente distinta e independente e foi projetada para ser altamente confiável. No caso de uma falha na infraestrutura, o Amazon RDS executa um failover automático no modo de espera para que você possa retomar as operações do banco de dados assim que o failover for concluído.
SC-5 (2)	Denial-of-serviceProteção | Capacidade, largura de banda e redundância	redshift-cluster-maintenancesettings-check	Essa regra garante que os clusters do Amazon Redshift tenham as configurações preferenciais para sua organização. Especificamente, que eles têm janelas de manutenção preferidas e períodos automatizados de retenção de instantâneos para o banco de dados. Essa regra exige que você defina oallowVersionUpgrade. O padrão é verdadeiro. Também permite que você defina opcionalmente opreferredMaintenanceWindow(o padrão é sáb: 16:00 -sáb: 16:30), e oautomatedSnapshotRetentionPeríodo (o padrão é 1). Os valores reais devem refletir as políticas da sua organização.
SC-5 (2)	Denial-of-serviceProteção | Capacidade, largura de banda e redundância	s3-bucket-replication-enabled	A replicação entre regiões (CRR) do Amazon Simple Storage Service (Amazon S3) suporta a manutenção de capacidade e disponibilidade adequadas. A CRR permite a cópia automática e assíncrona de objetos em buckets do Amazon S3 para ajudar a garantir que a disponibilidade dos dados seja mantida.
SC-5 (2)	Denial-of-serviceProteção | Capacidade, largura de banda e redundância	s3-bucket-versioning-enabled	O controle de versão do bucket do Amazon Simple Storage Service (Amazon S3) ajuda a manter várias variantes de um objeto no mesmo bucket do Amazon S3. Use o controle de versão para preservar, recuperar e restaurar todas as versões de cada objeto armazenado em seu bucket do Amazon S3. O controle de versão ajuda você a se recuperar facilmente de ações não intencionais do usuário e falhas de aplicativos.
SC-5 (2)	Denial-of-serviceProteção | Capacidade, largura de banda e redundância	vpc-vpn-2-tunnels-up	Túneis VPN redundantes de site a site podem ser implementados para atingir os requisitos de resiliência. Ele usa dois túneis para ajudar a garantir a conectividade caso uma das conexões VPN site a site fique indisponível. Para se proteger contra a perda de conectividade, caso o gateway do cliente fique indisponível, você pode configurar uma segunda conexão VPN site a site com a Amazon Virtual Private Cloud (Amazon VPC) e o gateway privado virtual usando um segundo gateway do cliente.
SC-5 (3)	Denial-of-serviceProteção | Detecção e monitoramento	guardduty-enabled-centralized	AmazôniaGuardDutypode ajudar a monitorar e detectar possíveis eventos de segurança cibernética usando feeds de inteligência de ameaças. Isso inclui listas de IPs maliciosos e aprendizado de máquina para identificar atividades inesperadas, não autorizadas e maliciosas em seuAWSAmbiente em nuvem.
SC-5	Denial-of-serviceProteção	guardduty-enabled-centralized	AmazôniaGuardDutypode ajudar a monitorar e detectar possíveis eventos de segurança cibernética usando feeds de inteligência de ameaças. Isso inclui listas de IPs maliciosos e aprendizado de máquina para identificar atividades inesperadas, não autorizadas e maliciosas em seuAWSAmbiente em nuvem.
SC-7 (3)	Proteção de limites | Pontos de acesso	autoscaling-launch-config-public-ip desativado	Se você configurar suas interfaces de rede com um endereço IP público, os recursos associados a essas interfaces de rede poderão ser acessados pela Internet. Os recursos do EC2 não devem ser acessíveis ao público, pois isso pode permitir acesso não intencional aos seus aplicativos ou servidores.
SC-7 (3)	Proteção de limites | Pontos de acesso	ec2-instances-in-vpc	Implante instâncias do Amazon Elastic Compute Cloud (Amazon EC2) em uma Amazon Virtual Private Cloud (Amazon VPC) para permitir a comunicação segura entre uma instância e outros serviços dentro da Amazon VPC, sem exigir um gateway de internet, dispositivo NAT ou conexão VPN. Todo o tráfego permanece com segurança na Nuvem AWS. Devido ao isolamento lógico, os domínios que residem em um Amazon VPC têm uma camada extra de segurança quando comparados aos domínios que usam endpoints públicos. Atribua instâncias do Amazon EC2 a uma Amazon VPC para gerenciar adequadamente o acesso.
SC-7 (3)	Proteção de limites | Pontos de acesso	ssm-document-not-public	GarantaAWSOs documentos do Systems Manager (SSM) não são públicos, pois isso pode permitir acesso não intencional aos seus documentos SSM. Um documento SSM público pode expor informações sobre sua conta, recursos e processos internos.
SC-7 (3)	Proteção de limites | Pontos de acesso	dms-replication-not-public	Gerencie o acesso aoAWSNuvem, garantindo que as instâncias de replicação do DMS não possam ser acessadas publicamente. As instâncias de replicação do DMS podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
SC-7 (3)	Proteção de limites | Pontos de acesso	ebs-snapshot-public-restorable-verifique	Gerencie o acesso aoAWSNuvem garantindo que os snapshots do EBS não possam ser restaurados publicamente. Os instantâneos de volume do EBS podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
SC-7 (3)	Proteção de limites | Pontos de acesso	ec2-instance-no-public-ip	Gerencie o acesso aoAWSNuvem garantindo que as instâncias do Amazon Elastic Compute Cloud (Amazon EC2) não possam ser acessadas publicamente. As instâncias do Amazon EC2 podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
SC-7 (3)	Proteção de limites | Pontos de acesso	elasticsearch-in-vpc-only	Gerencie o acesso aoAWSNuvem ao garantir a AmazonOpenSearchServiço (OpenSearch(Serviço) Os domínios estão dentro de uma Amazon Virtual Private Cloud (Amazon VPC). UmOpenSearchO domínio de serviço em um Amazon VPC permite a comunicação segura entreOpenSearchServiço e outros serviços dentro do Amazon VPC sem a necessidade de um gateway de internet, dispositivo NAT ou conexão VPN.
SC-7 (3)	Proteção de limites | Pontos de acesso	emr-master-no-public-ip	Gerencie o acesso aoAWSNuvem, garantindo que os nós principais do cluster Amazon EMR não possam ser acessados publicamente. Os nós principais do cluster do Amazon EMR podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
SC-7 (3)	Proteção de limites | Pontos de acesso	lambda-function-public-access-proibido	Gerencie o acesso aos recursos noAWSNuvem, garantindoAWSAs funções do Lambda não podem ser acessadas publicamente. O acesso público pode potencialmente levar à degradação da disponibilidade de recursos.
SC-7 (3)	Proteção de limites | Pontos de acesso	lambda-inside-vpc	ImplantarAWSO Lambda funciona em uma Amazon Virtual Private Cloud (Amazon VPC) para uma comunicação segura entre uma função e outros serviços dentro da Amazon VPC. Com essa configuração, não há necessidade de um gateway de Internet, dispositivo NAT ou conexão VPN. Todo o tráfego permanece seguro dentro doAWSNuvem. Devido ao isolamento lógico, os domínios que residem em um Amazon VPC têm uma camada extra de segurança quando comparados aos domínios que usam endpoints públicos. Para gerenciar adequadamente o acesso,AWSAs funções lambda devem ser atribuídas a uma VPC.
SC-7 (3)	Proteção de limites | Pontos de acesso	opensearch-in-vpc-only	Gerencie o acesso aoAWSNuvem ao garantir a AmazonOpenSearchOs domínios de serviço estão dentro de uma Amazon Virtual Private Cloud (Amazon VPC). Uma AmazôniaOpenSearchO domínio de serviço em um Amazon VPC permite a comunicação segura entre a AmazonOpenSearchServiço e outros serviços dentro do Amazon VPC sem a necessidade de um gateway de internet, dispositivo NAT ou conexão VPN.
SC-7 (3)	Proteção de limites | Pontos de acesso	rds-instance-public-access-verifique	Gerencie o acesso aos recursos noAWSNuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações confidenciais, e princípios e controle de acesso são necessários para essas contas.
SC-7 (3)	Proteção de limites | Pontos de acesso	rds-snapshots-public-prohibited	Gerencie o acesso aos recursos noAWSNuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações e princípios confidenciais, e o controle de acesso é necessário para essas contas.
SC-7 (3)	Proteção de limites | Pontos de acesso	redshift-cluster-public-access-verifique	Gerencie o acesso aos recursos noAWSNuvem garantindo que os clusters do Amazon Redshift não sejam públicos. Os clusters do Amazon Redshift podem conter informações e princípios confidenciais, e o controle de acesso é necessário para essas contas.
SC-7 (3)	Proteção de limites | Pontos de acesso	s3-account-level-public-access-blocos periódicos	Gerencie o acesso aos recursos noAWSNuvem garantindo que os buckets do Amazon Simple Storage Service (Amazon S3) não possam ser acessados publicamente. Essa regra ajuda a manter os dados confidenciais protegidos de usuários remotos não autorizados, impedindo o acesso público. Essa regra permite que você defina opcionalmente oignorePublicAcls(Padrão de configuração: verdadeiro),blockPublicPolicy(Padrão de configuração: verdadeiro),blockPublicAcls(Config Default: True), erestrictPublicBucketsparâmetros (Config Default: True). Os valores reais devem refletir as políticas da sua organização.
SC-7 (3)	Proteção de limites | Pontos de acesso	s3-bucket-level-public-access-proibido	Gerencie o acesso aos recursos noAWSNuvem garantindo que os buckets do Amazon Simple Storage Service (Amazon S3) não possam ser acessados publicamente. Essa regra ajuda a manter os dados confidenciais protegidos de usuários remotos não autorizados, impedindo o acesso público no nível do bucket.
SC-7 (3)	Proteção de limites | Pontos de acesso	s3-bucket-public-read-prohibited	Gerencie o acesso aos recursos noAWSNuvem ao permitir que usuários, processos e dispositivos autorizados acessem apenas buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados.
SC-7 (3)	Proteção de limites | Pontos de acesso	s3-bucket-public-write-prohibited	Gerencie o acesso aos recursos noAWSNuvem ao permitir que usuários, processos e dispositivos autorizados acessem apenas buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados.
SC-7 (3)	Proteção de limites | Pontos de acesso	sagemaker-notebook-no-direct-acesso à internet	Gerencie o acesso aos recursos noAWSNuvem, garantindo que a AmazonSageMakeros notebooks não permitem acesso direto à internet. Ao impedir o acesso direto à Internet, você pode impedir que dados confidenciais sejam acessados por usuários não autorizados.
SC-7 (3)	Proteção de limites | Pontos de acesso	subnet-auto-assign-public-ip desativado	Gerencie o acesso aoAWSNuvem garantindo que as sub-redes Amazon Virtual Private Cloud (VPC) não recebam automaticamente um endereço IP público. As instâncias do Amazon Elastic Compute Cloud (EC2) que são lançadas em sub-redes que têm esse atributo ativado têm um endereço IP público atribuído à sua interface de rede primária.
SC-7 (4)	Proteção de limites | Serviços externos de telecomunicações	autoscaling-launch-config-public-ip desativado	Se você configurar suas interfaces de rede com um endereço IP público, os recursos associados a essas interfaces de rede poderão ser acessados pela Internet. Os recursos do EC2 não devem ser acessíveis ao público, pois isso pode permitir acesso não intencional aos seus aplicativos ou servidores.
SC-7 (4)	Proteção de limites | Serviços externos de telecomunicações	elasticsearch-node-to-node-verificação de criptografia	Garantanode-to-nodecriptografia para AmazonOpenSearchO serviço está ativado. Node-to-nodea criptografia permite a criptografia TLS 1.2 para todas as comunicações dentro da Amazon Virtual Private Cloud (Amazon VPC). Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados.
SC-7 (4)	Proteção de limites | Serviços externos de telecomunicações	elb-tls-https-listeners-somente	Certifique-se de que seus Elastic Load Balancers (ELBs) estejam configurados com ouvintes SSL ou HTTPS. Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados.
SC-7 (4)	Proteção de limites | Serviços externos de telecomunicações	ssh restrito	Os grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2) podem ajudar a gerenciar o acesso à rede fornecendo filtragem de estado do tráfego de entrada e saída da rede paraAWSrecursos. Não permitir tráfego de entrada (ou remoto) de 0.0.0.0/0 para a porta 22 em seus recursos ajuda a restringir o acesso remoto.
SC-7 (4)	Proteção de limites | Serviços externos de telecomunicações	ec2-instances-in-vpc	Implante instâncias do Amazon Elastic Compute Cloud (Amazon EC2) em uma Amazon Virtual Private Cloud (Amazon VPC) para permitir a comunicação segura entre uma instância e outros serviços dentro da Amazon VPC, sem exigir um gateway de internet, dispositivo NAT ou conexão VPN. Todo o tráfego permanece com segurança na Nuvem AWS. Devido ao isolamento lógico, os domínios que residem em um Amazon VPC têm uma camada extra de segurança quando comparados aos domínios que usam endpoints públicos. Atribua instâncias do Amazon EC2 a uma Amazon VPC para gerenciar adequadamente o acesso.
SC-7 (4)	Proteção de limites | Serviços externos de telecomunicações	no-unrestricted-route-to-igw	Certifique-se de que as tabelas de rotas do Amazon EC2 não tenham rotas irrestritas para um gateway da Internet. Remover ou limitar o acesso à Internet para cargas de trabalho nas Amazon VPCs pode reduzir o acesso não intencional em seu ambiente.
SC-7 (4)	Proteção de limites | Serviços externos de telecomunicações	opensearch-https-required	Como dados confidenciais podem existir e, para ajudar a proteger os dados em trânsito, certifique-se de que o HTTPS esteja ativado para conexões com sua AmazonOpenSearchDomínios de serviço.
SC-7 (4)	Proteção de limites | Serviços externos de telecomunicações	opensearch-node-to-node-verificação de criptografia	Garantanode-to-nodecriptografia para AmazonOpenSearchO serviço está ativado. Node-to-nodea criptografia permite a criptografia TLS 1.2 para todas as comunicações dentro da Amazon Virtual Private Cloud (Amazon VPC). Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados.
SC-7 (4)	Proteção de limites | Serviços externos de telecomunicações	redshift-enhanced-vpc-routing-ativado	O roteamento aprimorado da VPC força todo o tráfego COPY e UNLOAD entre o cluster e os repositórios de dados a passar pelo Amazon VPC. Em seguida, você pode usar os recursos da VPC, como grupos de segurança e listas de controle de acesso à rede, para proteger o tráfego da rede. Você também pode usar os registros de fluxo da VPC para monitorar o tráfego da rede.
SC-7 (4)	Proteção de limites | Serviços externos de telecomunicações	ssm-document-not-public	GarantaAWSOs documentos do Systems Manager (SSM) não são públicos, pois isso pode permitir acesso não intencional aos seus documentos SSM. Um documento SSM público pode expor informações sobre sua conta, recursos e processos internos.
SC-7 (4)	Proteção de limites | Serviços externos de telecomunicações	alb-http-to-https-verificação de redirecionamento	Para ajudar a proteger os dados em trânsito, certifique-se de que seu Application Load Balancer redirecione automaticamente solicitações HTTP não criptografadas para HTTPS. Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados.
SC-7 (4)	Proteção de limites | Serviços externos de telecomunicações	api-gw-ssl-enabled	Certifique-se de que os estágios da API REST do Amazon API Gateway estejam configurados com certificados SSL para permitir que os sistemas de back-end autentiquem que as solicitações são originadas do API Gateway.
SC-7 (4)	Proteção de limites | Serviços externos de telecomunicações	dms-replication-not-public	Gerencie o acesso aoAWSNuvem, garantindo que as instâncias de replicação do DMS não possam ser acessadas publicamente. As instâncias de replicação do DMS podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
SC-7 (4)	Proteção de limites | Serviços externos de telecomunicações	ebs-snapshot-public-restorable-verifique	Gerencie o acesso aoAWSNuvem garantindo que os snapshots do EBS não possam ser restaurados publicamente. Os instantâneos de volume do EBS podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
SC-7 (4)	Proteção de limites | Serviços externos de telecomunicações	ec2-instance-no-public-ip	Gerencie o acesso aoAWSNuvem garantindo que as instâncias do Amazon Elastic Compute Cloud (Amazon EC2) não possam ser acessadas publicamente. As instâncias do Amazon EC2 podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
SC-7 (4)	Proteção de limites | Serviços externos de telecomunicações	elasticsearch-in-vpc-only	Gerencie o acesso aoAWSNuvem ao garantir a AmazonOpenSearchServiço (OpenSearch(Serviço) Os domínios estão dentro de uma Amazon Virtual Private Cloud (Amazon VPC). UmOpenSearchO domínio de serviço em um Amazon VPC permite a comunicação segura entreOpenSearchServiço e outros serviços dentro do Amazon VPC sem a necessidade de um gateway de internet, dispositivo NAT ou conexão VPN.
SC-7 (4)	Proteção de limites | Serviços externos de telecomunicações	elb-acm-certificate-required	Como dados confidenciais podem existir e, para ajudar a proteger os dados em trânsito, garanta que a criptografia esteja habilitada para seu Elastic Load Balancing. UsarAWSGerenciador de certificados para gerenciar, provisionar e implantar certificados SSL/TLS públicos e privados comAWSserviços e recursos internos.
SC-7 (4)	Proteção de limites | Serviços externos de telecomunicações	elbv2-acm-certificate-required	Como dados confidenciais podem existir e, para ajudar a proteger os dados em trânsito, garanta que a criptografia esteja habilitada para seu Elastic Load Balancing. UsarAWSGerenciador de certificados para gerenciar, provisionar e implantar certificados SSL/TLS públicos e privados comAWSserviços e recursos internos.
SC-7 (4)	Proteção de limites | Serviços externos de telecomunicações	emr-master-no-public-ip	Gerencie o acesso aoAWSNuvem, garantindo que os nós principais do cluster Amazon EMR não possam ser acessados publicamente. Os nós principais do cluster do Amazon EMR podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
SC-7 (4)	Proteção de limites | Serviços externos de telecomunicações	lambda-function-public-access-proibido	Gerencie o acesso aos recursos noAWSNuvem, garantindoAWSAs funções do Lambda não podem ser acessadas publicamente. O acesso público pode potencialmente levar à degradação da disponibilidade de recursos.
SC-7 (4)	Proteção de limites | Serviços externos de telecomunicações	lambda-inside-vpc	ImplantarAWSO Lambda funciona em uma Amazon Virtual Private Cloud (Amazon VPC) para uma comunicação segura entre uma função e outros serviços dentro da Amazon VPC. Com essa configuração, não há necessidade de um gateway de Internet, dispositivo NAT ou conexão VPN. Todo o tráfego permanece seguro dentro doAWSNuvem. Devido ao isolamento lógico, os domínios que residem em um Amazon VPC têm uma camada extra de segurança quando comparados aos domínios que usam endpoints públicos. Para gerenciar adequadamente o acesso,AWSAs funções lambda devem ser atribuídas a uma VPC.
SC-7 (4)	Proteção de limites | Serviços externos de telecomunicações	opensearch-in-vpc-only	Gerencie o acesso aoAWSNuvem ao garantir a AmazonOpenSearchOs domínios de serviço estão dentro de uma Amazon Virtual Private Cloud (Amazon VPC). Uma AmazôniaOpenSearchO domínio de serviço em um Amazon VPC permite a comunicação segura entre a AmazonOpenSearchServiço e outros serviços dentro do Amazon VPC sem a necessidade de um gateway de internet, dispositivo NAT ou conexão VPN.
SC-7 (4)	Proteção de limites | Serviços externos de telecomunicações	rds-instance-public-access-verifique	Gerencie o acesso aos recursos noAWSNuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações confidenciais, e princípios e controle de acesso são necessários para essas contas.
SC-7 (4)	Proteção de limites | Serviços externos de telecomunicações	rds-snapshots-public-prohibited	Gerencie o acesso aos recursos noAWSNuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações e princípios confidenciais, e o controle de acesso é necessário para essas contas.
SC-7 (4)	Proteção de limites | Serviços externos de telecomunicações	redshift-cluster-public-access-verifique	Gerencie o acesso aos recursos noAWSNuvem garantindo que os clusters do Amazon Redshift não sejam públicos. Os clusters do Amazon Redshift podem conter informações e princípios confidenciais, e o controle de acesso é necessário para essas contas.
SC-7 (4)	Proteção de limites | Serviços externos de telecomunicações	redshift-require-tls-ssl	Certifique-se de que seus clusters do Amazon Redshift exijam criptografia TLS/SSL para se conectar aos clientes SQL. Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados.
SC-7 (4)	Proteção de limites | Serviços externos de telecomunicações	restricted-common-ports	Gerencie o acesso aos recursos noAWSNuvem garantindo que as portas comuns sejam restritas nos grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2). Não restringir o acesso às portas a fontes confiáveis pode levar a ataques contra a disponibilidade, integridade e confidencialidade dos sistemas. Essa regra permite que você defina opcionalmente os parâmetros BlockedPort1 - BlockedPort5 (padrões de configuração: 20,21,3389,3306,4333). Os valores reais devem refletir as políticas da sua organização.
SC-7 (4)	Proteção de limites | Serviços externos de telecomunicações	s3-account-level-public-access-blocos periódicos	Gerencie o acesso aos recursos noAWSNuvem garantindo que os buckets do Amazon Simple Storage Service (Amazon S3) não possam ser acessados publicamente. Essa regra ajuda a manter os dados confidenciais protegidos de usuários remotos não autorizados, impedindo o acesso público. Essa regra permite que você defina opcionalmente oignorePublicAcls(Padrão de configuração: verdadeiro),blockPublicPolicy(Padrão de configuração: verdadeiro),blockPublicAcls(Config Default: True), erestrictPublicBucketsparâmetros (Config Default: True). Os valores reais devem refletir as políticas da sua organização.
SC-7 (4)	Proteção de limites | Serviços externos de telecomunicações	s3-bucket-level-public-access-proibido	Gerencie o acesso aos recursos noAWSNuvem garantindo que os buckets do Amazon Simple Storage Service (Amazon S3) não possam ser acessados publicamente. Essa regra ajuda a manter os dados confidenciais protegidos de usuários remotos não autorizados, impedindo o acesso público no nível do bucket.
SC-7 (4)	Proteção de limites | Serviços externos de telecomunicações	s3-bucket-public-read-prohibited	Gerencie o acesso aos recursos noAWSNuvem ao permitir que usuários, processos e dispositivos autorizados acessem apenas buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados.
SC-7 (4)	Proteção de limites | Serviços externos de telecomunicações	s3-bucket-public-write-prohibited	Gerencie o acesso aos recursos noAWSNuvem ao permitir que usuários, processos e dispositivos autorizados acessem apenas buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados.
SC-7 (4)	Proteção de limites | Serviços externos de telecomunicações	s3-bucket-ssl-requests-only	Para ajudar a proteger os dados em trânsito, certifique-se de que seus buckets do Amazon Simple Storage Service (Amazon S3) exijam solicitações para usar o Secure Socket Layer (SSL). Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados.
SC-7 (4)	Proteção de limites | Serviços externos de telecomunicações	sagemaker-notebook-no-direct-acesso à internet	Gerencie o acesso aos recursos noAWSNuvem, garantindo que a AmazonSageMakeros notebooks não permitem acesso direto à internet. Ao impedir o acesso direto à Internet, você pode impedir que dados confidenciais sejam acessados por usuários não autorizados.
SC-7 (4)	Proteção de limites | Serviços externos de telecomunicações	subnet-auto-assign-public-ip desativado	Gerencie o acesso aoAWSNuvem garantindo que as sub-redes Amazon Virtual Private Cloud (VPC) não recebam automaticamente um endereço IP público. As instâncias do Amazon Elastic Compute Cloud (EC2) que são lançadas em sub-redes que têm esse atributo ativado têm um endereço IP público atribuído à sua interface de rede primária.
SC-7 (4)	Proteção de limites | Serviços externos de telecomunicações	vpc-default-security-group-fechado	Os grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2) podem ajudar no gerenciamento do acesso à rede fornecendo filtragem de estado do tráfego de entrada e saída da rede paraAWSrecursos. Restringir todo o tráfego no grupo de segurança padrão ajuda a restringir o acesso remoto ao seuAWSrecursos.
SC-7 (4)	Proteção de limites | Serviços externos de telecomunicações	vpc-sg-open-only-to-authorized-ports	Gerencie o acesso aos recursos noAWSNuvem garantindo que as portas comuns sejam restritas nos grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2). Não restringir o acesso às portas a fontes confiáveis pode levar a ataques contra a disponibilidade, integridade e confidencialidade dos sistemas. Ao restringir o acesso a recursos dentro de um grupo de segurança da Internet (0.0.0.0/0), o acesso remoto pode ser controlado aos sistemas internos.
SC-7 (5)	Proteção de limites | Negar por padrão — Permitir por exceção	ssh restrito	Os grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2) podem ajudar a gerenciar o acesso à rede fornecendo filtragem de estado do tráfego de entrada e saída da rede paraAWSrecursos. Não permitir tráfego de entrada (ou remoto) de 0.0.0.0/0 para a porta 22 em seus recursos ajuda a restringir o acesso remoto.
SC-7 (5)	Proteção de limites | Negar por padrão — Permitir por exceção	restricted-common-ports	Gerencie o acesso aos recursos noAWSNuvem garantindo que as portas comuns sejam restritas nos grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2). Não restringir o acesso às portas a fontes confiáveis pode levar a ataques contra a disponibilidade, integridade e confidencialidade dos sistemas. Essa regra permite que você defina opcionalmente os parâmetros BlockedPort1 - BlockedPort5 (padrões de configuração: 20,21,3389,3306,4333). Os valores reais devem refletir as políticas da sua organização.
SC-7 (5)	Proteção de limites | Negar por padrão — Permitir por exceção	vpc-default-security-group-fechado	Os grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2) podem ajudar no gerenciamento do acesso à rede fornecendo filtragem de estado do tráfego de entrada e saída da rede paraAWSrecursos. Restringir todo o tráfego no grupo de segurança padrão ajuda a restringir o acesso remoto ao seuAWSrecursos.
SC-7 (5)	Proteção de limites | Negar por padrão — Permitir por exceção	vpc-sg-open-only-to-authorized-ports	Gerencie o acesso aos recursos noAWSNuvem garantindo que as portas comuns sejam restritas nos grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2). Não restringir o acesso às portas a fontes confiáveis pode levar a ataques contra a disponibilidade, integridade e confidencialidade dos sistemas. Ao restringir o acesso a recursos dentro de um grupo de segurança da Internet (0.0.0.0/0), o acesso remoto pode ser controlado aos sistemas internos.
SC-7 (9)	Proteção de limites | Restrinja o tráfego ameaçador de comunicações de saída	autoscaling-launch-config-public-ip desativado	Se você configurar suas interfaces de rede com um endereço IP público, os recursos associados a essas interfaces de rede poderão ser acessados pela Internet. Os recursos do EC2 não devem ser acessíveis ao público, pois isso pode permitir acesso não intencional aos seus aplicativos ou servidores.
SC-7 (9)	Proteção de limites | Restrinja o tráfego ameaçador de comunicações de saída	elasticsearch-logs-to-cloudwatch	Garanta a AmazonOpenSearchOs domínios de serviço têm registros de erros habilitados e transmitidos para a AmazonCloudWatchRegistros para retenção e resposta. Os registros de erros do domínio podem ajudar nas auditorias de segurança e acesso e podem ajudar a diagnosticar problemas de disponibilidade.
SC-7 (9)	Proteção de limites | Restrinja o tráfego ameaçador de comunicações de saída	ec2-instances-in-vpc	Implante instâncias do Amazon Elastic Compute Cloud (Amazon EC2) em uma Amazon Virtual Private Cloud (Amazon VPC) para permitir a comunicação segura entre uma instância e outros serviços dentro da Amazon VPC, sem exigir um gateway de internet, dispositivo NAT ou conexão VPN. Todo o tráfego permanece com segurança na Nuvem AWS. Devido ao isolamento lógico, os domínios que residem em um Amazon VPC têm uma camada extra de segurança quando comparados aos domínios que usam endpoints públicos. Atribua instâncias do Amazon EC2 a uma Amazon VPC para gerenciar adequadamente o acesso.
SC-7 (9)	Proteção de limites | Restrinja o tráfego ameaçador de comunicações de saída	multi-region-cloudtrail-enabled	AWS CloudTrailregistrosAWSAções do Management Console e chamadas de API. Você pode identificar quais usuários e contas ligaramAWS, o endereço IP de origem de onde as chamadas foram feitas e quando as chamadas ocorreram. CloudTrailentregará arquivos de log de todosAWSRegiões para seu bucket do S3 se MULTI_REGION_CLOUD_TRAIL_ENABLED estiver ativado. Além disso, quandoAWSlança uma nova região,CloudTrailcriará a mesma trilha na nova região. Como resultado, você receberá arquivos de log contendo a atividade da API para a nova região sem realizar nenhuma ação.
SC-7 (9)	Proteção de limites | Restrinja o tráfego ameaçador de comunicações de saída	opensearch-logs-to-cloudwatch	Garanta a AmazonOpenSearchOs domínios de serviço têm registros de erros habilitados e transmitidos para a AmazonCloudWatchRegistros para retenção e resposta. OpenSearchOs registros de erros do serviço podem ajudar nas auditorias de segurança e acesso e podem ajudar a diagnosticar problemas de disponibilidade.
SC-7 (9)	Proteção de limites | Restrinja o tráfego ameaçador de comunicações de saída	redshift-enhanced-vpc-routing-ativado	O roteamento aprimorado da VPC força todo o tráfego COPY e UNLOAD entre o cluster e os repositórios de dados a passar pelo Amazon VPC. Em seguida, você pode usar os recursos da VPC, como grupos de segurança e listas de controle de acesso à rede, para proteger o tráfego da rede. Você também pode usar os registros de fluxo da VPC para monitorar o tráfego da rede.
SC-7 (9)	Proteção de limites | Restrinja o tráfego ameaçador de comunicações de saída	ssm-document-not-public	GarantaAWSOs documentos do Systems Manager (SSM) não são públicos, pois isso pode permitir acesso não intencional aos seus documentos SSM. Um documento SSM público pode expor informações sobre sua conta, recursos e processos internos.
SC-7 (9)	Proteção de limites | Restrinja o tráfego ameaçador de comunicações de saída	wafv2 ativado para registro	Para ajudar com o registro e o monitoramento em seu ambiente, habiliteAWSRegistro WAF (V2) em ACLs da web regionais e globais.AWS O registro do WAF fornece informações detalhadas sobre o tráfego que é analisado pela sua ACL da web. Os registros registram a hora em queAWSO WAF recebeu a solicitação do seuAWSrecurso, informações sobre a solicitação e uma ação para a regra à qual cada solicitação correspondeu.
SC-7 (9)	Proteção de limites | Restrinja o tráfego ameaçador de comunicações de saída	api-gw-execution-logging-ativado	O registro do API Gateway exibe visualizações detalhadas dos usuários que acessaram a API e a forma como acessaram a API. Esse insight permite a visibilidade das atividades do usuário.
SC-7 (9)	Proteção de limites | Restrinja o tráfego ameaçador de comunicações de saída	cloud-trail-cloud-watch-registros habilitados	Use a AmazonCloudWatchpara coletar e gerenciar centralmente a atividade de eventos de registro. Inclusão deAWS CloudTrailos dados fornecem detalhes da atividade de chamadas de API em seuAWSconta.
SC-7 (9)	Proteção de limites | Restrinja o tráfego ameaçador de comunicações de saída	habilitado para cloudtrail	AWS CloudTrailpode ajudar na não repúdio gravandoAWSAções do Management Console e chamadas de API. Você pode identificar os usuários eAWScontas que chamaram umAWSserviço, o endereço IP de origem onde as chamadas foram geradas e os horários das chamadas. Os detalhes dos dados capturados são vistos emAWS CloudTrailGrave o conteúdo.
SC-7 (9)	Proteção de limites | Restrinja o tráfego ameaçador de comunicações de saída	cloudtrail-s3 - eventos de dados habilitados	A coleta de eventos de dados do Simple Storage Service (Amazon S3) ajuda a detectar qualquer atividade anômala. Os detalhes incluemAWSinformações da conta que acessaram um bucket do Amazon S3, endereço IP e hora do evento.
SC-7 (9)	Proteção de limites | Restrinja o tráfego ameaçador de comunicações de saída	dms-replication-not-public	Gerencie o acesso aoAWSNuvem, garantindo que as instâncias de replicação do DMS não possam ser acessadas publicamente. As instâncias de replicação do DMS podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
SC-7 (9)	Proteção de limites | Restrinja o tráfego ameaçador de comunicações de saída	ebs-snapshot-public-restorable-verifique	Gerencie o acesso aoAWSNuvem garantindo que os snapshots do EBS não possam ser restaurados publicamente. Os instantâneos de volume do EBS podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
SC-7 (9)	Proteção de limites | Restrinja o tráfego ameaçador de comunicações de saída	ec2-instance-no-public-ip	Gerencie o acesso aoAWSNuvem garantindo que as instâncias do Amazon Elastic Compute Cloud (Amazon EC2) não possam ser acessadas publicamente. As instâncias do Amazon EC2 podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
SC-7 (9)	Proteção de limites | Restrinja o tráfego ameaçador de comunicações de saída	elasticsearch-in-vpc-only	Gerencie o acesso aoAWSNuvem ao garantir a AmazonOpenSearchServiço (OpenSearch(Serviço) Os domínios estão dentro de uma Amazon Virtual Private Cloud (Amazon VPC). UmOpenSearchO domínio de serviço em um Amazon VPC permite a comunicação segura entreOpenSearchServiço e outros serviços dentro do Amazon VPC sem a necessidade de um gateway de internet, dispositivo NAT ou conexão VPN.
SC-7 (9)	Proteção de limites | Restrinja o tráfego ameaçador de comunicações de saída	elb-logging-enabled	A atividade do Elastic Load Balancing é um ponto central de comunicação dentro de um ambiente. Certifique-se de que o registro do ELB esteja ativado. Os dados coletados fornecem informações detalhadas sobre as solicitações enviadas ao ELB. Cada log contém informações como a hora em que a solicitação foi recebida, o endereço IP do cliente, latências, caminhos de solicitação e respostas do servidor.
SC-7 (9)	Proteção de limites | Restrinja o tráfego ameaçador de comunicações de saída	emr-master-no-public-ip	Gerencie o acesso aoAWSNuvem, garantindo que os nós principais do cluster Amazon EMR não possam ser acessados publicamente. Os nós principais do cluster do Amazon EMR podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
SC-7 (9)	Proteção de limites | Restrinja o tráfego ameaçador de comunicações de saída	lambda-function-public-access-proibido	Gerencie o acesso aos recursos noAWSNuvem, garantindoAWSAs funções do Lambda não podem ser acessadas publicamente. O acesso público pode potencialmente levar à degradação da disponibilidade de recursos.
SC-7 (9)	Proteção de limites | Restrinja o tráfego ameaçador de comunicações de saída	lambda-inside-vpc	ImplantarAWSO Lambda funciona em uma Amazon Virtual Private Cloud (Amazon VPC) para uma comunicação segura entre uma função e outros serviços dentro da Amazon VPC. Com essa configuração, não há necessidade de um gateway de Internet, dispositivo NAT ou conexão VPN. Todo o tráfego permanece seguro dentro doAWSNuvem. Devido ao isolamento lógico, os domínios que residem em um Amazon VPC têm uma camada extra de segurança quando comparados aos domínios que usam endpoints públicos. Para gerenciar adequadamente o acesso,AWSAs funções lambda devem ser atribuídas a uma VPC.
SC-7 (9)	Proteção de limites | Restrinja o tráfego ameaçador de comunicações de saída	opensearch-in-vpc-only	Gerencie o acesso aoAWSNuvem ao garantir a AmazonOpenSearchOs domínios de serviço estão dentro de uma Amazon Virtual Private Cloud (Amazon VPC). Uma AmazôniaOpenSearchO domínio de serviço em um Amazon VPC permite a comunicação segura entre a AmazonOpenSearchServiço e outros serviços dentro do Amazon VPC sem a necessidade de um gateway de internet, dispositivo NAT ou conexão VPN.
SC-7 (9)	Proteção de limites | Restrinja o tráfego ameaçador de comunicações de saída	rds-instance-public-access-verifique	Gerencie o acesso aos recursos noAWSNuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações confidenciais, e princípios e controle de acesso são necessários para essas contas.
SC-7 (9)	Proteção de limites | Restrinja o tráfego ameaçador de comunicações de saída	rds-logging-enabled	Para ajudar com o registro e o monitoramento em seu ambiente, certifique-se de que o registro do Amazon Relational Database Service (Amazon RDS) esteja ativado. Com o registro do Amazon RDS, você pode capturar eventos como conexões, desconexões, consultas ou tabelas consultadas.
SC-7 (9)	Proteção de limites | Restrinja o tráfego ameaçador de comunicações de saída	rds-snapshots-public-prohibited	Gerencie o acesso aos recursos noAWSNuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações e princípios confidenciais, e o controle de acesso é necessário para essas contas.
SC-7 (9)	Proteção de limites | Restrinja o tráfego ameaçador de comunicações de saída	redshift-cluster-configuration-check	Para proteger os dados em repouso, certifique-se de que a criptografia esteja habilitada para seus clusters do Amazon Redshift. Você também deve garantir que as configurações necessárias sejam implantadas nos clusters do Amazon Redshift. O registro de auditoria deve estar habilitado para fornecer informações sobre conexões e atividades do usuário no banco de dados. Essa regra exige que um valor seja definido paraclusterDbEncrypted(Config Default: TRUE) e LoggingEnabled (Config Default: TRUE). Os valores reais devem refletir as políticas da sua organização.
SC-7 (9)	Proteção de limites | Restrinja o tráfego ameaçador de comunicações de saída	redshift-cluster-public-access-verifique	Gerencie o acesso aos recursos noAWSNuvem garantindo que os clusters do Amazon Redshift não sejam públicos. Os clusters do Amazon Redshift podem conter informações e princípios confidenciais, e o controle de acesso é necessário para essas contas.
SC-7 (9)	Proteção de limites | Restrinja o tráfego ameaçador de comunicações de saída	s3-account-level-public-access-blocos periódicos	Gerencie o acesso aos recursos noAWSNuvem garantindo que os buckets do Amazon Simple Storage Service (Amazon S3) não possam ser acessados publicamente. Essa regra ajuda a manter os dados confidenciais protegidos de usuários remotos não autorizados, impedindo o acesso público. Essa regra permite que você defina opcionalmente oignorePublicAcls(Padrão de configuração: verdadeiro),blockPublicPolicy(Padrão de configuração: verdadeiro),blockPublicAcls(Config Default: True), erestrictPublicBucketsparâmetros (Config Default: True). Os valores reais devem refletir as políticas da sua organização.
SC-7 (9)	Proteção de limites | Restrinja o tráfego ameaçador de comunicações de saída	s3-bucket-level-public-access-proibido	Gerencie o acesso aos recursos noAWSNuvem garantindo que os buckets do Amazon Simple Storage Service (Amazon S3) não possam ser acessados publicamente. Essa regra ajuda a manter os dados confidenciais protegidos de usuários remotos não autorizados, impedindo o acesso público no nível do bucket.
SC-7 (9)	Proteção de limites | Restrinja o tráfego ameaçador de comunicações de saída	s3-bucket-logging-enabled	O registro de acesso ao servidor do Amazon Simple Storage Service (Amazon S3) fornece um método para monitorar a rede em busca de possíveis eventos de segurança cibernética. Os eventos são monitorados por meio da captura de registros detalhados das solicitações feitas a um bucket do Amazon S3. Cada registro de registro de acesso fornece detalhes sobre uma única solicitação de acesso. Os detalhes incluem o solicitante, nome do bucket, hora da solicitação, ação da solicitação, status da resposta e um código de erro, se relevante.
SC-7 (9)	Proteção de limites | Restrinja o tráfego ameaçador de comunicações de saída	s3-bucket-public-read-prohibited	Gerencie o acesso aos recursos noAWSNuvem ao permitir que usuários, processos e dispositivos autorizados acessem apenas buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados.
SC-7 (9)	Proteção de limites | Restrinja o tráfego ameaçador de comunicações de saída	s3-bucket-public-write-prohibited	Gerencie o acesso aos recursos noAWSNuvem ao permitir que usuários, processos e dispositivos autorizados acessem apenas buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados.
SC-7 (9)	Proteção de limites | Restrinja o tráfego ameaçador de comunicações de saída	sagemaker-notebook-no-direct-acesso à internet	Gerencie o acesso aos recursos noAWSNuvem, garantindo que a AmazonSageMakeros notebooks não permitem acesso direto à internet. Ao impedir o acesso direto à Internet, você pode impedir que dados confidenciais sejam acessados por usuários não autorizados.
SC-7 (9)	Proteção de limites | Restrinja o tráfego ameaçador de comunicações de saída	subnet-auto-assign-public-ip desativado	Gerencie o acesso aoAWSNuvem garantindo que as sub-redes Amazon Virtual Private Cloud (VPC) não recebam automaticamente um endereço IP público. As instâncias do Amazon Elastic Compute Cloud (EC2) que são lançadas em sub-redes que têm esse atributo ativado têm um endereço IP público atribuído à sua interface de rede primária.
SC-7 (10)	Proteção de limites | Evite a exfiltração	cloud-trail-encryption-enabled	Como podem existir dados confidenciais e, para ajudar a proteger os dados em repouso, certifique-se de que a criptografia esteja habilitada para seuAWS CloudTrailtrilhas.
SC-7 (10)	Proteção de limites | Evite a exfiltração	dynamodb-table-encrypted-kms	Certifique-se de que a criptografia esteja habilitada para suas tabelas do Amazon DynamoDB. Como dados confidenciais podem existir em repouso nessas tabelas, habilite a criptografia em repouso para ajudar a proteger esses dados. Por padrão, as tabelas do DynamoDB são criptografadas com umAWSchave mestra do cliente (CMK) de propriedade do cliente.
SC-7 (10)	Proteção de limites | Evite a exfiltração	ec2-ebs-encryption-by-default	Para ajudar a proteger os dados em repouso, certifique-se de que a criptografia esteja habilitada para seus volumes do Amazon Elastic Block Store (Amazon EBS). Como dados confidenciais podem existir em repouso nesses volumes, habilite a criptografia em repouso para ajudar a proteger esses dados.
SC-7 (10)	Proteção de limites | Evite a exfiltração	efs-encrypted-check	Como dados confidenciais podem existir e, para ajudar a proteger os dados em repouso, garanta que a criptografia esteja habilitada para seu Amazon Elastic File System (EFS).
SC-7 (10)	Proteção de limites | Evite a exfiltração	elasticsearch-encrypted-at-rest	Como dados confidenciais podem existir e, para ajudar a proteger os dados em repouso, garanta que a criptografia esteja habilitada para sua AmazonOpenSearchServiço (OpenSearchDomínios de serviço).
SC-7 (10)	Proteção de limites | Evite a exfiltração	volumes criptografados	Como dados confidenciais podem existir e, para ajudar a proteger os dados em repouso, garanta que a criptografia esteja habilitada para seus volumes do Amazon Elastic Block Store (Amazon EBS).
SC-7 (10)	Proteção de limites | Evite a exfiltração	rds-logging-enabled	Para ajudar com o registro e o monitoramento em seu ambiente, certifique-se de que o registro do Amazon Relational Database Service (Amazon RDS) esteja ativado. Com o registro do Amazon RDS, você pode capturar eventos como conexões, desconexões, consultas ou tabelas consultadas.
SC-7 (10)	Proteção de limites | Evite a exfiltração	rds-snapshot-encrypted	Certifique-se de que a criptografia esteja habilitada para seus snapshots do Amazon Relational Database Service (Amazon RDS). Como dados confidenciais podem existir em repouso, habilite a criptografia em repouso para ajudar a proteger esses dados.
SC-7 (10)	Proteção de limites | Evite a exfiltração	rds-storage-encrypted	Para ajudar a proteger os dados em repouso, garanta que a criptografia esteja habilitada para suas instâncias do Amazon Relational Database Service (Amazon RDS). Como dados confidenciais podem existir em repouso nas instâncias do Amazon RDS, habilite a criptografia em repouso para ajudar a proteger esses dados.
SC-7 (10)	Proteção de limites | Evite a exfiltração	redshift-backup-enabled	Para ajudar nos processos de backup de dados, garanta que seus clusters do Amazon Redshift tenham snapshots automatizados. Quando os instantâneos automatizados são habilitados para um cluster, o Redshift tira instantâneos desse cluster periodicamente. Por padrão, o Redshift tira um instantâneo a cada oito horas ou a cada 5 GB por nó de alterações de dados, ou o que ocorrer primeiro.
SC-7 (10)	Proteção de limites | Evite a exfiltração	redshift-cluster-configuration-check	Para proteger os dados em repouso, certifique-se de que a criptografia esteja habilitada para seus clusters do Amazon Redshift. Você também deve garantir que as configurações necessárias sejam implantadas nos clusters do Amazon Redshift. O registro de auditoria deve estar habilitado para fornecer informações sobre conexões e atividades do usuário no banco de dados. Essa regra exige que um valor seja definido paraclusterDbEncrypted(Config Default: TRUE) e LoggingEnabled (Config Default: TRUE). Os valores reais devem refletir as políticas da sua organização.
SC-7 (10)	Proteção de limites | Evite a exfiltração	s3-bucket-server-side-encryption-ativado	Para ajudar a proteger os dados em repouso, garanta que a criptografia esteja habilitada para seus buckets do Amazon Simple Storage Service (Amazon S3). Como dados confidenciais podem existir em repouso nos buckets do Amazon S3, habilite a criptografia para ajudar a proteger esses dados.
SC-7 (10)	Proteção de limites | Evite a exfiltração	s3-default-encryption-kms	Certifique-se de que a criptografia esteja habilitada para seus buckets do Amazon Simple Storage Service (Amazon S3). Como dados confidenciais podem existir em repouso em um bucket do Amazon S3, habilite a criptografia em repouso para ajudar a proteger esses dados.
SC-7 (10)	Proteção de limites | Evite a exfiltração	sagemaker-endpoint-configuration-kms-configurado por chave	Para ajudar a proteger os dados em repouso, garanta a criptografia comAWSServiço de gerenciamento de chaves (AWSO KMS) está habilitado para seuSageMakerponto final. Porque dados confidenciais podem existir em repouso noSageMakerendpoint, habilite a criptografia em repouso para ajudar a proteger esses dados.
SC-7 (10)	Proteção de limites | Evite a exfiltração	sagemaker-notebook-instance-kms-configurado por chave	Para ajudar a proteger os dados em repouso, garanta a criptografia comAWSServiço de gerenciamento de chaves (AWSO KMS) está habilitado para seuSageMakercaderno. Porque dados confidenciais podem existir em repouso noSageMakernotebook, habilite a criptografia em repouso para ajudar a proteger esses dados.
SC-7 (10)	Proteção de limites | Evite a exfiltração	sns-encrypted-kms	Para ajudar a proteger os dados em repouso, certifique-se de que seus tópicos do Amazon Simple Notification Service (Amazon SNS) exijam criptografia usandoAWSServiço de gerenciamento de chaves (AWSKMS). Como dados confidenciais podem existir em repouso nas mensagens publicadas, habilite a criptografia em repouso para ajudar a proteger esses dados.
SC-7 (10)	Proteção de limites | Evite a exfiltração	wafv2 ativado para registro	Para ajudar com o registro e o monitoramento em seu ambiente, habiliteAWSRegistro WAF (V2) em ACLs da web regionais e globais.AWS O registro do WAF fornece informações detalhadas sobre o tráfego que é analisado pela sua ACL da web. Os registros registram a hora em queAWSO WAF recebeu a solicitação do seuAWSrecurso, informações sobre a solicitação e uma ação para a regra à qual cada solicitação correspondeu.
SC-7 (10)	Proteção de limites | Evite a exfiltração	kinesis-stream-encrypted	Como dados confidenciais podem existir e, para ajudar a proteger os dados em repouso, garanta que a criptografia esteja habilitada para seus Amazon Kinesis Streams.
SC-7 (11)	Proteção de limites | Restrinja o tráfego de comunicações de entrada	autoscaling-launch-config-public-ip desativado	Se você configurar suas interfaces de rede com um endereço IP público, os recursos associados a essas interfaces de rede poderão ser acessados pela Internet. Os recursos do EC2 não devem ser acessíveis ao público, pois isso pode permitir acesso não intencional aos seus aplicativos ou servidores.
SC-7 (11)	Proteção de limites | Restrinja o tráfego de comunicações de entrada	ssh restrito	Os grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2) podem ajudar a gerenciar o acesso à rede fornecendo filtragem de estado do tráfego de entrada e saída da rede paraAWSrecursos. Não permitir tráfego de entrada (ou remoto) de 0.0.0.0/0 para a porta 22 em seus recursos ajuda a restringir o acesso remoto.
SC-7 (11)	Proteção de limites | Restrinja o tráfego de comunicações de entrada	ec2-instances-in-vpc	Implante instâncias do Amazon Elastic Compute Cloud (Amazon EC2) em uma Amazon Virtual Private Cloud (Amazon VPC) para permitir a comunicação segura entre uma instância e outros serviços dentro da Amazon VPC, sem exigir um gateway de internet, dispositivo NAT ou conexão VPN. Todo o tráfego permanece com segurança na Nuvem AWS. Devido ao isolamento lógico, os domínios que residem em um Amazon VPC têm uma camada extra de segurança quando comparados aos domínios que usam endpoints públicos. Atribua instâncias do Amazon EC2 a uma Amazon VPC para gerenciar adequadamente o acesso.
SC-7 (11)	Proteção de limites | Restrinja o tráfego de comunicações de entrada	no-unrestricted-route-to-igw	Certifique-se de que as tabelas de rotas do Amazon EC2 não tenham rotas irrestritas para um gateway da Internet. Remover ou limitar o acesso à Internet para cargas de trabalho nas Amazon VPCs pode reduzir o acesso não intencional em seu ambiente.
SC-7 (11)	Proteção de limites | Restrinja o tráfego de comunicações de entrada	redshift-enhanced-vpc-routing-ativado	O roteamento aprimorado da VPC força todo o tráfego COPY e UNLOAD entre o cluster e os repositórios de dados a passar pelo Amazon VPC. Em seguida, você pode usar os recursos da VPC, como grupos de segurança e listas de controle de acesso à rede, para proteger o tráfego da rede. Você também pode usar os registros de fluxo da VPC para monitorar o tráfego da rede.
SC-7 (11)	Proteção de limites | Restrinja o tráfego de comunicações de entrada	ssm-document-not-public	GarantaAWSOs documentos do Systems Manager (SSM) não são públicos, pois isso pode permitir acesso não intencional aos seus documentos SSM. Um documento SSM público pode expor informações sobre sua conta, recursos e processos internos.
SC-7 (11)	Proteção de limites | Restrinja o tráfego de comunicações de entrada	dms-replication-not-public	Gerencie o acesso aoAWSNuvem, garantindo que as instâncias de replicação do DMS não possam ser acessadas publicamente. As instâncias de replicação do DMS podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
SC-7 (11)	Proteção de limites | Restrinja o tráfego de comunicações de entrada	ebs-snapshot-public-restorable-verifique	Gerencie o acesso aoAWSNuvem garantindo que os snapshots do EBS não possam ser restaurados publicamente. Os instantâneos de volume do EBS podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
SC-7 (11)	Proteção de limites | Restrinja o tráfego de comunicações de entrada	ec2-instance-no-public-ip	Gerencie o acesso aoAWSNuvem garantindo que as instâncias do Amazon Elastic Compute Cloud (Amazon EC2) não possam ser acessadas publicamente. As instâncias do Amazon EC2 podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
SC-7 (11)	Proteção de limites | Restrinja o tráfego de comunicações de entrada	elasticsearch-in-vpc-only	Gerencie o acesso aoAWSNuvem ao garantir a AmazonOpenSearchServiço (OpenSearch(Serviço) Os domínios estão dentro de uma Amazon Virtual Private Cloud (Amazon VPC). UmOpenSearchO domínio de serviço em um Amazon VPC permite a comunicação segura entreOpenSearchServiço e outros serviços dentro do Amazon VPC sem a necessidade de um gateway de internet, dispositivo NAT ou conexão VPN.
SC-7 (11)	Proteção de limites | Restrinja o tráfego de comunicações de entrada	emr-master-no-public-ip	Gerencie o acesso aoAWSNuvem, garantindo que os nós principais do cluster Amazon EMR não possam ser acessados publicamente. Os nós principais do cluster do Amazon EMR podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
SC-7 (11)	Proteção de limites | Restrinja o tráfego de comunicações de entrada	lambda-function-public-access-proibido	Gerencie o acesso aos recursos noAWSNuvem, garantindoAWSAs funções do Lambda não podem ser acessadas publicamente. O acesso público pode potencialmente levar à degradação da disponibilidade de recursos.
SC-7 (11)	Proteção de limites | Restrinja o tráfego de comunicações de entrada	lambda-inside-vpc	ImplantarAWSO Lambda funciona em uma Amazon Virtual Private Cloud (Amazon VPC) para uma comunicação segura entre uma função e outros serviços dentro da Amazon VPC. Com essa configuração, não há necessidade de um gateway de Internet, dispositivo NAT ou conexão VPN. Todo o tráfego permanece seguro dentro doAWSNuvem. Devido ao isolamento lógico, os domínios que residem em um Amazon VPC têm uma camada extra de segurança quando comparados aos domínios que usam endpoints públicos. Para gerenciar adequadamente o acesso,AWSAs funções lambda devem ser atribuídas a uma VPC.
SC-7 (11)	Proteção de limites | Restrinja o tráfego de comunicações de entrada	opensearch-in-vpc-only	Gerencie o acesso aoAWSNuvem ao garantir a AmazonOpenSearchOs domínios de serviço estão dentro de uma Amazon Virtual Private Cloud (Amazon VPC). Uma AmazôniaOpenSearchO domínio de serviço em um Amazon VPC permite a comunicação segura entre a AmazonOpenSearchServiço e outros serviços dentro do Amazon VPC sem a necessidade de um gateway de internet, dispositivo NAT ou conexão VPN.
SC-7 (11)	Proteção de limites | Restrinja o tráfego de comunicações de entrada	rds-instance-public-access-verifique	Gerencie o acesso aos recursos noAWSNuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações confidenciais, e princípios e controle de acesso são necessários para essas contas.
SC-7 (11)	Proteção de limites | Restrinja o tráfego de comunicações de entrada	rds-snapshots-public-prohibited	Gerencie o acesso aos recursos noAWSNuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações e princípios confidenciais, e o controle de acesso é necessário para essas contas.
SC-7 (11)	Proteção de limites | Restrinja o tráfego de comunicações de entrada	redshift-cluster-public-access-verifique	Gerencie o acesso aos recursos noAWSNuvem garantindo que os clusters do Amazon Redshift não sejam públicos. Os clusters do Amazon Redshift podem conter informações e princípios confidenciais, e o controle de acesso é necessário para essas contas.
SC-7 (11)	Proteção de limites | Restrinja o tráfego de comunicações de entrada	restricted-common-ports	Gerencie o acesso aos recursos noAWSNuvem garantindo que as portas comuns sejam restritas nos grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2). Não restringir o acesso às portas a fontes confiáveis pode levar a ataques contra a disponibilidade, integridade e confidencialidade dos sistemas. Essa regra permite que você defina opcionalmente os parâmetros BlockedPort1 - BlockedPort5 (padrões de configuração: 20,21,3389,3306,4333). Os valores reais devem refletir as políticas da sua organização.
SC-7 (11)	Proteção de limites | Restrinja o tráfego de comunicações de entrada	s3-account-level-public-access-blocos periódicos	Gerencie o acesso aos recursos noAWSNuvem garantindo que os buckets do Amazon Simple Storage Service (Amazon S3) não possam ser acessados publicamente. Essa regra ajuda a manter os dados confidenciais protegidos de usuários remotos não autorizados, impedindo o acesso público. Essa regra permite que você defina opcionalmente oignorePublicAcls(Padrão de configuração: verdadeiro),blockPublicPolicy(Padrão de configuração: verdadeiro),blockPublicAcls(Config Default: True), erestrictPublicBucketsparâmetros (Config Default: True). Os valores reais devem refletir as políticas da sua organização.
SC-7 (11)	Proteção de limites | Restrinja o tráfego de comunicações de entrada	s3-bucket-level-public-access-proibido	Gerencie o acesso aos recursos noAWSNuvem garantindo que os buckets do Amazon Simple Storage Service (Amazon S3) não possam ser acessados publicamente. Essa regra ajuda a manter os dados confidenciais protegidos de usuários remotos não autorizados, impedindo o acesso público no nível do bucket.
SC-7 (11)	Proteção de limites | Restrinja o tráfego de comunicações de entrada	s3-bucket-public-read-prohibited	Gerencie o acesso aos recursos noAWSNuvem ao permitir que usuários, processos e dispositivos autorizados acessem apenas buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados.
SC-7 (11)	Proteção de limites | Restrinja o tráfego de comunicações de entrada	s3-bucket-public-write-prohibited	Gerencie o acesso aos recursos noAWSNuvem ao permitir que usuários, processos e dispositivos autorizados acessem apenas buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados.
SC-7 (11)	Proteção de limites | Restrinja o tráfego de comunicações de entrada	sagemaker-notebook-no-direct-acesso à internet	Gerencie o acesso aos recursos noAWSNuvem, garantindo que a AmazonSageMakeros notebooks não permitem acesso direto à internet. Ao impedir o acesso direto à Internet, você pode impedir que dados confidenciais sejam acessados por usuários não autorizados.
SC-7 (11)	Proteção de limites | Restrinja o tráfego de comunicações de entrada	subnet-auto-assign-public-ip desativado	Gerencie o acesso aoAWSNuvem garantindo que as sub-redes Amazon Virtual Private Cloud (VPC) não recebam automaticamente um endereço IP público. As instâncias do Amazon Elastic Compute Cloud (EC2) que são lançadas em sub-redes que têm esse atributo ativado têm um endereço IP público atribuído à sua interface de rede primária.
SC-7 (11)	Proteção de limites | Restrinja o tráfego de comunicações de entrada	vpc-default-security-group-fechado	Os grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2) podem ajudar no gerenciamento do acesso à rede fornecendo filtragem de estado do tráfego de entrada e saída da rede paraAWSrecursos. Restringir todo o tráfego no grupo de segurança padrão ajuda a restringir o acesso remoto ao seuAWSrecursos.
SC-7 (11)	Proteção de limites | Restrinja o tráfego de comunicações de entrada	vpc-sg-open-only-to-authorized-ports	Gerencie o acesso aos recursos noAWSNuvem garantindo que as portas comuns sejam restritas nos grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2). Não restringir o acesso às portas a fontes confiáveis pode levar a ataques contra a disponibilidade, integridade e confidencialidade dos sistemas. Ao restringir o acesso a recursos dentro de um grupo de segurança da Internet (0.0.0.0/0), o acesso remoto pode ser controlado aos sistemas internos.
SC-7 (16)	Proteção de limites | Evite a descoberta de componentes do sistema	autoscaling-launch-config-public-ip desativado	Se você configurar suas interfaces de rede com um endereço IP público, os recursos associados a essas interfaces de rede poderão ser acessados pela Internet. Os recursos do EC2 não devem ser acessíveis ao público, pois isso pode permitir acesso não intencional aos seus aplicativos ou servidores.
SC-7 (16)	Proteção de limites | Evite a descoberta de componentes do sistema	ssh restrito	Os grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2) podem ajudar a gerenciar o acesso à rede fornecendo filtragem de estado do tráfego de entrada e saída da rede paraAWSrecursos. Não permitir tráfego de entrada (ou remoto) de 0.0.0.0/0 para a porta 22 em seus recursos ajuda a restringir o acesso remoto.
SC-7 (16)	Proteção de limites | Evite a descoberta de componentes do sistema	ec2-instances-in-vpc	Implante instâncias do Amazon Elastic Compute Cloud (Amazon EC2) em uma Amazon Virtual Private Cloud (Amazon VPC) para permitir a comunicação segura entre uma instância e outros serviços dentro da Amazon VPC, sem exigir um gateway de internet, dispositivo NAT ou conexão VPN. Todo o tráfego permanece com segurança na Nuvem AWS. Devido ao isolamento lógico, os domínios que residem em um Amazon VPC têm uma camada extra de segurança quando comparados aos domínios que usam endpoints públicos. Atribua instâncias do Amazon EC2 a uma Amazon VPC para gerenciar adequadamente o acesso.
SC-7 (16)	Proteção de limites | Evite a descoberta de componentes do sistema	no-unrestricted-route-to-igw	Certifique-se de que as tabelas de rotas do Amazon EC2 não tenham rotas irrestritas para um gateway da Internet. Remover ou limitar o acesso à Internet para cargas de trabalho nas Amazon VPCs pode reduzir o acesso não intencional em seu ambiente.
SC-7 (16)	Proteção de limites | Evite a descoberta de componentes do sistema	ssm-document-not-public	GarantaAWSOs documentos do Systems Manager (SSM) não são públicos, pois isso pode permitir acesso não intencional aos seus documentos SSM. Um documento SSM público pode expor informações sobre sua conta, recursos e processos internos.
SC-7 (16)	Proteção de limites | Evite a descoberta de componentes do sistema	acm-certificate-expiration-check	Garanta que a integridade da rede esteja protegida, garantindo que os certificados X509 sejam emitidos porAWSACM. Esses certificados devem ser válidos e não expirados. Essa regra exige um valor paradaysToExpiration(AWSValor das melhores práticas básicas de segurança: 90). O valor real deve refletir as políticas da sua organização.
SC-7 (16)	Proteção de limites | Evite a descoberta de componentes do sistema	dms-replication-not-public	Gerencie o acesso aoAWSNuvem, garantindo que as instâncias de replicação do DMS não possam ser acessadas publicamente. As instâncias de replicação do DMS podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
SC-7 (16)	Proteção de limites | Evite a descoberta de componentes do sistema	ebs-snapshot-public-restorable-verifique	Gerencie o acesso aoAWSNuvem garantindo que os snapshots do EBS não possam ser restaurados publicamente. Os instantâneos de volume do EBS podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
SC-7 (16)	Proteção de limites | Evite a descoberta de componentes do sistema	ec2-instance-no-public-ip	Gerencie o acesso aoAWSNuvem garantindo que as instâncias do Amazon Elastic Compute Cloud (Amazon EC2) não possam ser acessadas publicamente. As instâncias do Amazon EC2 podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
SC-7 (16)	Proteção de limites | Evite a descoberta de componentes do sistema	elasticsearch-in-vpc-only	Gerencie o acesso aoAWSNuvem ao garantir a AmazonOpenSearchServiço (OpenSearch(Serviço) Os domínios estão dentro de uma Amazon Virtual Private Cloud (Amazon VPC). UmOpenSearchO domínio de serviço em um Amazon VPC permite a comunicação segura entreOpenSearchServiço e outros serviços dentro do Amazon VPC sem a necessidade de um gateway de internet, dispositivo NAT ou conexão VPN.
SC-7 (16)	Proteção de limites | Evite a descoberta de componentes do sistema	emr-master-no-public-ip	Gerencie o acesso aoAWSNuvem, garantindo que os nós principais do cluster Amazon EMR não possam ser acessados publicamente. Os nós principais do cluster do Amazon EMR podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
SC-7 (16)	Proteção de limites | Evite a descoberta de componentes do sistema	lambda-function-public-access-proibido	Gerencie o acesso aos recursos noAWSNuvem, garantindoAWSAs funções do Lambda não podem ser acessadas publicamente. O acesso público pode potencialmente levar à degradação da disponibilidade de recursos.
SC-7 (16)	Proteção de limites | Evite a descoberta de componentes do sistema	lambda-inside-vpc	ImplantarAWSO Lambda funciona em uma Amazon Virtual Private Cloud (Amazon VPC) para uma comunicação segura entre uma função e outros serviços dentro da Amazon VPC. Com essa configuração, não há necessidade de um gateway de Internet, dispositivo NAT ou conexão VPN. Todo o tráfego permanece seguro dentro doAWSNuvem. Devido ao isolamento lógico, os domínios que residem em um Amazon VPC têm uma camada extra de segurança quando comparados aos domínios que usam endpoints públicos. Para gerenciar adequadamente o acesso,AWSAs funções lambda devem ser atribuídas a uma VPC.
SC-7 (16)	Proteção de limites | Evite a descoberta de componentes do sistema	opensearch-in-vpc-only	Gerencie o acesso aoAWSNuvem ao garantir a AmazonOpenSearchOs domínios de serviço estão dentro de uma Amazon Virtual Private Cloud (Amazon VPC). Uma AmazôniaOpenSearchO domínio de serviço em um Amazon VPC permite a comunicação segura entre a AmazonOpenSearchServiço e outros serviços dentro do Amazon VPC sem a necessidade de um gateway de internet, dispositivo NAT ou conexão VPN.
SC-7 (16)	Proteção de limites | Evite a descoberta de componentes do sistema	rds-instance-public-access-verifique	Gerencie o acesso aos recursos noAWSNuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações confidenciais, e princípios e controle de acesso são necessários para essas contas.
SC-7 (16)	Proteção de limites | Evite a descoberta de componentes do sistema	rds-snapshots-public-prohibited	Gerencie o acesso aos recursos noAWSNuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações e princípios confidenciais, e o controle de acesso é necessário para essas contas.
SC-7 (16)	Proteção de limites | Evite a descoberta de componentes do sistema	redshift-cluster-public-access-verifique	Gerencie o acesso aos recursos noAWSNuvem garantindo que os clusters do Amazon Redshift não sejam públicos. Os clusters do Amazon Redshift podem conter informações e princípios confidenciais, e o controle de acesso é necessário para essas contas.
SC-7 (16)	Proteção de limites | Evite a descoberta de componentes do sistema	restricted-common-ports	Gerencie o acesso aos recursos noAWSNuvem garantindo que as portas comuns sejam restritas nos grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2). Não restringir o acesso às portas a fontes confiáveis pode levar a ataques contra a disponibilidade, integridade e confidencialidade dos sistemas. Essa regra permite que você defina opcionalmente os parâmetros BlockedPort1 - BlockedPort5 (padrões de configuração: 20,21,3389,3306,4333). Os valores reais devem refletir as políticas da sua organização.
SC-7 (16)	Proteção de limites | Evite a descoberta de componentes do sistema	s3-account-level-public-access-blocos periódicos	Gerencie o acesso aos recursos noAWSNuvem garantindo que os buckets do Amazon Simple Storage Service (Amazon S3) não possam ser acessados publicamente. Essa regra ajuda a manter os dados confidenciais protegidos de usuários remotos não autorizados, impedindo o acesso público. Essa regra permite que você defina opcionalmente oignorePublicAcls(Padrão de configuração: verdadeiro),blockPublicPolicy(Padrão de configuração: verdadeiro),blockPublicAcls(Config Default: True), erestrictPublicBucketsparâmetros (Config Default: True). Os valores reais devem refletir as políticas da sua organização.
SC-7 (16)	Proteção de limites | Evite a descoberta de componentes do sistema	s3-bucket-level-public-access-proibido	Gerencie o acesso aos recursos noAWSNuvem garantindo que os buckets do Amazon Simple Storage Service (Amazon S3) não possam ser acessados publicamente. Essa regra ajuda a manter os dados confidenciais protegidos de usuários remotos não autorizados, impedindo o acesso público no nível do bucket.
SC-7 (16)	Proteção de limites | Evite a descoberta de componentes do sistema	s3-bucket-public-read-prohibited	Gerencie o acesso aos recursos noAWSNuvem ao permitir que usuários, processos e dispositivos autorizados acessem apenas buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados.
SC-7 (16)	Proteção de limites | Evite a descoberta de componentes do sistema	s3-bucket-public-write-prohibited	Gerencie o acesso aos recursos noAWSNuvem ao permitir que usuários, processos e dispositivos autorizados acessem apenas buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados.
SC-7 (16)	Proteção de limites | Evite a descoberta de componentes do sistema	sagemaker-notebook-no-direct-acesso à internet	Gerencie o acesso aos recursos noAWSNuvem, garantindo que a AmazonSageMakeros notebooks não permitem acesso direto à internet. Ao impedir o acesso direto à Internet, você pode impedir que dados confidenciais sejam acessados por usuários não autorizados.
SC-7 (16)	Proteção de limites | Evite a descoberta de componentes do sistema	subnet-auto-assign-public-ip desativado	Gerencie o acesso aoAWSNuvem garantindo que as sub-redes Amazon Virtual Private Cloud (VPC) não recebam automaticamente um endereço IP público. As instâncias do Amazon Elastic Compute Cloud (EC2) que são lançadas em sub-redes que têm esse atributo ativado têm um endereço IP público atribuído à sua interface de rede primária.
SC-7 (16)	Proteção de limites | Evite a descoberta de componentes do sistema	vpc-default-security-group-fechado	Os grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2) podem ajudar no gerenciamento do acesso à rede fornecendo filtragem de estado do tráfego de entrada e saída da rede paraAWSrecursos. Restringir todo o tráfego no grupo de segurança padrão ajuda a restringir o acesso remoto ao seuAWSrecursos.
SC-7 (16)	Proteção de limites | Evite a descoberta de componentes do sistema	vpc-sg-open-only-to-authorized-ports	Gerencie o acesso aos recursos noAWSNuvem garantindo que as portas comuns sejam restritas nos grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2). Não restringir o acesso às portas a fontes confiáveis pode levar a ataques contra a disponibilidade, integridade e confidencialidade dos sistemas. Ao restringir o acesso a recursos dentro de um grupo de segurança da Internet (0.0.0.0/0), o acesso remoto pode ser controlado aos sistemas internos.
SC-7 (20)	Proteção de limites | Isolamento dinâmico e segregação	autoscaling-launch-config-public-ip desativado	Se você configurar suas interfaces de rede com um endereço IP público, os recursos associados a essas interfaces de rede poderão ser acessados pela Internet. Os recursos do EC2 não devem ser acessíveis ao público, pois isso pode permitir acesso não intencional aos seus aplicativos ou servidores.
SC-7 (20)	Proteção de limites | Isolamento dinâmico e segregação	ec2-instances-in-vpc	Implante instâncias do Amazon Elastic Compute Cloud (Amazon EC2) em uma Amazon Virtual Private Cloud (Amazon VPC) para permitir a comunicação segura entre uma instância e outros serviços dentro da Amazon VPC, sem exigir um gateway de internet, dispositivo NAT ou conexão VPN. Todo o tráfego permanece com segurança na Nuvem AWS. Devido ao isolamento lógico, os domínios que residem em um Amazon VPC têm uma camada extra de segurança quando comparados aos domínios que usam endpoints públicos. Atribua instâncias do Amazon EC2 a uma Amazon VPC para gerenciar adequadamente o acesso.
SC-7 (20)	Proteção de limites | Isolamento dinâmico e segregação	redshift-enhanced-vpc-routing-ativado	O roteamento aprimorado da VPC força todo o tráfego COPY e UNLOAD entre o cluster e os repositórios de dados a passar pelo Amazon VPC. Em seguida, você pode usar os recursos da VPC, como grupos de segurança e listas de controle de acesso à rede, para proteger o tráfego da rede. Você também pode usar os registros de fluxo da VPC para monitorar o tráfego da rede.
SC-7 (20)	Proteção de limites | Isolamento dinâmico e segregação	ssm-document-not-public	GarantaAWSOs documentos do Systems Manager (SSM) não são públicos, pois isso pode permitir acesso não intencional aos seus documentos SSM. Um documento SSM público pode expor informações sobre sua conta, recursos e processos internos.
SC-7 (20)	Proteção de limites | Isolamento dinâmico e segregação	dms-replication-not-public	Gerencie o acesso aoAWSNuvem, garantindo que as instâncias de replicação do DMS não possam ser acessadas publicamente. As instâncias de replicação do DMS podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
SC-7 (20)	Proteção de limites | Isolamento dinâmico e segregação	ebs-snapshot-public-restorable-verifique	Gerencie o acesso aoAWSNuvem garantindo que os snapshots do EBS não possam ser restaurados publicamente. Os instantâneos de volume do EBS podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
SC-7 (20)	Proteção de limites | Isolamento dinâmico e segregação	ec2-instance-no-public-ip	Gerencie o acesso aoAWSNuvem garantindo que as instâncias do Amazon Elastic Compute Cloud (Amazon EC2) não possam ser acessadas publicamente. As instâncias do Amazon EC2 podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
SC-7 (20)	Proteção de limites | Isolamento dinâmico e segregação	elasticsearch-in-vpc-only	Gerencie o acesso aoAWSNuvem ao garantir a AmazonOpenSearchServiço (OpenSearch(Serviço) Os domínios estão dentro de uma Amazon Virtual Private Cloud (Amazon VPC). UmOpenSearchO domínio de serviço em um Amazon VPC permite a comunicação segura entreOpenSearchServiço e outros serviços dentro do Amazon VPC sem a necessidade de um gateway de internet, dispositivo NAT ou conexão VPN.
SC-7 (20)	Proteção de limites | Isolamento dinâmico e segregação	emr-master-no-public-ip	Gerencie o acesso aoAWSNuvem, garantindo que os nós principais do cluster Amazon EMR não possam ser acessados publicamente. Os nós principais do cluster do Amazon EMR podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
SC-7 (20)	Proteção de limites | Isolamento dinâmico e segregação	lambda-function-public-access-proibido	Gerencie o acesso aos recursos noAWSNuvem, garantindoAWSAs funções do Lambda não podem ser acessadas publicamente. O acesso público pode potencialmente levar à degradação da disponibilidade de recursos.
SC-7 (20)	Proteção de limites | Isolamento dinâmico e segregação	lambda-inside-vpc	ImplantarAWSO Lambda funciona em uma Amazon Virtual Private Cloud (Amazon VPC) para uma comunicação segura entre uma função e outros serviços dentro da Amazon VPC. Com essa configuração, não há necessidade de um gateway de Internet, dispositivo NAT ou conexão VPN. Todo o tráfego permanece seguro dentro doAWSNuvem. Devido ao isolamento lógico, os domínios que residem em um Amazon VPC têm uma camada extra de segurança quando comparados aos domínios que usam endpoints públicos. Para gerenciar adequadamente o acesso,AWSAs funções lambda devem ser atribuídas a uma VPC.
SC-7 (20)	Proteção de limites | Isolamento dinâmico e segregação	opensearch-in-vpc-only	Gerencie o acesso aoAWSNuvem ao garantir a AmazonOpenSearchOs domínios de serviço estão dentro de uma Amazon Virtual Private Cloud (Amazon VPC). Uma AmazôniaOpenSearchO domínio de serviço em um Amazon VPC permite a comunicação segura entre a AmazonOpenSearchServiço e outros serviços dentro do Amazon VPC sem a necessidade de um gateway de internet, dispositivo NAT ou conexão VPN.
SC-7 (20)	Proteção de limites | Isolamento dinâmico e segregação	rds-instance-public-access-verifique	Gerencie o acesso aos recursos noAWSNuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações confidenciais, e princípios e controle de acesso são necessários para essas contas.
SC-7 (20)	Proteção de limites | Isolamento dinâmico e segregação	rds-snapshots-public-prohibited	Gerencie o acesso aos recursos noAWSNuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações e princípios confidenciais, e o controle de acesso é necessário para essas contas.
SC-7 (20)	Proteção de limites | Isolamento dinâmico e segregação	redshift-cluster-public-access-verifique	Gerencie o acesso aos recursos noAWSNuvem garantindo que os clusters do Amazon Redshift não sejam públicos. Os clusters do Amazon Redshift podem conter informações e princípios confidenciais, e o controle de acesso é necessário para essas contas.
SC-7 (20)	Proteção de limites | Isolamento dinâmico e segregação	s3-account-level-public-access-blocos periódicos	Gerencie o acesso aos recursos noAWSNuvem garantindo que os buckets do Amazon Simple Storage Service (Amazon S3) não possam ser acessados publicamente. Essa regra ajuda a manter os dados confidenciais protegidos de usuários remotos não autorizados, impedindo o acesso público. Essa regra permite que você defina opcionalmente oignorePublicAcls(Padrão de configuração: verdadeiro),blockPublicPolicy(Padrão de configuração: verdadeiro),blockPublicAcls(Config Default: True), erestrictPublicBucketsparâmetros (Config Default: True). Os valores reais devem refletir as políticas da sua organização.
SC-7 (20)	Proteção de limites | Isolamento dinâmico e segregação	s3-bucket-level-public-access-proibido	Gerencie o acesso aos recursos noAWSNuvem garantindo que os buckets do Amazon Simple Storage Service (Amazon S3) não possam ser acessados publicamente. Essa regra ajuda a manter os dados confidenciais protegidos de usuários remotos não autorizados, impedindo o acesso público no nível do bucket.
SC-7 (20)	Proteção de limites | Isolamento dinâmico e segregação	s3-bucket-public-read-prohibited	Gerencie o acesso aos recursos noAWSNuvem ao permitir que usuários, processos e dispositivos autorizados acessem apenas buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados.
SC-7 (20)	Proteção de limites | Isolamento dinâmico e segregação	s3-bucket-public-write-prohibited	Gerencie o acesso aos recursos noAWSNuvem ao permitir que usuários, processos e dispositivos autorizados acessem apenas buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados.
SC-7 (20)	Proteção de limites | Isolamento dinâmico e segregação	sagemaker-notebook-no-direct-acesso à internet	Gerencie o acesso aos recursos noAWSNuvem, garantindo que a AmazonSageMakeros notebooks não permitem acesso direto à internet. Ao impedir o acesso direto à Internet, você pode impedir que dados confidenciais sejam acessados por usuários não autorizados.
SC-7 (20)	Proteção de limites | Isolamento dinâmico e segregação	subnet-auto-assign-public-ip desativado	Gerencie o acesso aoAWSNuvem garantindo que as sub-redes Amazon Virtual Private Cloud (VPC) não recebam automaticamente um endereço IP público. As instâncias do Amazon Elastic Compute Cloud (EC2) que são lançadas em sub-redes que têm esse atributo ativado têm um endereço IP público atribuído à sua interface de rede primária.
SC-7 (21)	Proteção de limites | Isolamento de componentes do sistema	autoscaling-launch-config-public-ip desativado	Se você configurar suas interfaces de rede com um endereço IP público, os recursos associados a essas interfaces de rede poderão ser acessados pela Internet. Os recursos do EC2 não devem ser acessíveis ao público, pois isso pode permitir acesso não intencional aos seus aplicativos ou servidores.
SC-7 (21)	Proteção de limites | Isolamento de componentes do sistema	ssh restrito	Os grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2) podem ajudar a gerenciar o acesso à rede fornecendo filtragem de estado do tráfego de entrada e saída da rede paraAWSrecursos. Não permitir tráfego de entrada (ou remoto) de 0.0.0.0/0 para a porta 22 em seus recursos ajuda a restringir o acesso remoto.
SC-7 (21)	Proteção de limites | Isolamento de componentes do sistema	ec2-instances-in-vpc	Implante instâncias do Amazon Elastic Compute Cloud (Amazon EC2) em uma Amazon Virtual Private Cloud (Amazon VPC) para permitir a comunicação segura entre uma instância e outros serviços dentro da Amazon VPC, sem exigir um gateway de internet, dispositivo NAT ou conexão VPN. Todo o tráfego permanece com segurança na Nuvem AWS. Devido ao isolamento lógico, os domínios que residem em um Amazon VPC têm uma camada extra de segurança quando comparados aos domínios que usam endpoints públicos. Atribua instâncias do Amazon EC2 a uma Amazon VPC para gerenciar adequadamente o acesso.
SC-7 (21)	Proteção de limites | Isolamento de componentes do sistema	no-unrestricted-route-to-igw	Certifique-se de que as tabelas de rotas do Amazon EC2 não tenham rotas irrestritas para um gateway da Internet. Remover ou limitar o acesso à Internet para cargas de trabalho nas Amazon VPCs pode reduzir o acesso não intencional em seu ambiente.
SC-7 (21)	Proteção de limites | Isolamento de componentes do sistema	redshift-enhanced-vpc-routing-ativado	O roteamento aprimorado da VPC força todo o tráfego COPY e UNLOAD entre o cluster e os repositórios de dados a passar pelo Amazon VPC. Em seguida, você pode usar os recursos da VPC, como grupos de segurança e listas de controle de acesso à rede, para proteger o tráfego da rede. Você também pode usar os registros de fluxo da VPC para monitorar o tráfego da rede.
SC-7 (21)	Proteção de limites | Isolamento de componentes do sistema	ssm-document-not-public	GarantaAWSOs documentos do Systems Manager (SSM) não são públicos, pois isso pode permitir acesso não intencional aos seus documentos SSM. Um documento SSM público pode expor informações sobre sua conta, recursos e processos internos.
SC-7 (21)	Proteção de limites | Isolamento de componentes do sistema	dms-replication-not-public	Gerencie o acesso aoAWSNuvem, garantindo que as instâncias de replicação do DMS não possam ser acessadas publicamente. As instâncias de replicação do DMS podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
SC-7 (21)	Proteção de limites | Isolamento de componentes do sistema	ebs-snapshot-public-restorable-verifique	Gerencie o acesso aoAWSNuvem garantindo que os snapshots do EBS não possam ser restaurados publicamente. Os instantâneos de volume do EBS podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
SC-7 (21)	Proteção de limites | Isolamento de componentes do sistema	ec2-instance-no-public-ip	Gerencie o acesso aoAWSNuvem garantindo que as instâncias do Amazon Elastic Compute Cloud (Amazon EC2) não possam ser acessadas publicamente. As instâncias do Amazon EC2 podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
SC-7 (21)	Proteção de limites | Isolamento de componentes do sistema	elasticsearch-in-vpc-only	Gerencie o acesso aoAWSNuvem ao garantir a AmazonOpenSearchServiço (OpenSearch(Serviço) Os domínios estão dentro de uma Amazon Virtual Private Cloud (Amazon VPC). UmOpenSearchO domínio de serviço em um Amazon VPC permite a comunicação segura entreOpenSearchServiço e outros serviços dentro do Amazon VPC sem a necessidade de um gateway de internet, dispositivo NAT ou conexão VPN.
SC-7 (21)	Proteção de limites | Isolamento de componentes do sistema	emr-master-no-public-ip	Gerencie o acesso aoAWSNuvem, garantindo que os nós principais do cluster Amazon EMR não possam ser acessados publicamente. Os nós principais do cluster do Amazon EMR podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
SC-7 (21)	Proteção de limites | Isolamento de componentes do sistema	lambda-function-public-access-proibido	Gerencie o acesso aos recursos noAWSNuvem, garantindoAWSAs funções do Lambda não podem ser acessadas publicamente. O acesso público pode potencialmente levar à degradação da disponibilidade de recursos.
SC-7 (21)	Proteção de limites | Isolamento de componentes do sistema	lambda-inside-vpc	ImplantarAWSO Lambda funciona em uma Amazon Virtual Private Cloud (Amazon VPC) para uma comunicação segura entre uma função e outros serviços dentro da Amazon VPC. Com essa configuração, não há necessidade de um gateway de Internet, dispositivo NAT ou conexão VPN. Todo o tráfego permanece seguro dentro doAWSNuvem. Devido ao isolamento lógico, os domínios que residem em um Amazon VPC têm uma camada extra de segurança quando comparados aos domínios que usam endpoints públicos. Para gerenciar adequadamente o acesso,AWSAs funções lambda devem ser atribuídas a uma VPC.
SC-7 (21)	Proteção de limites | Isolamento de componentes do sistema	opensearch-in-vpc-only	Gerencie o acesso aoAWSNuvem ao garantir a AmazonOpenSearchOs domínios de serviço estão dentro de uma Amazon Virtual Private Cloud (Amazon VPC). Uma AmazôniaOpenSearchO domínio de serviço em um Amazon VPC permite a comunicação segura entre a AmazonOpenSearchServiço e outros serviços dentro do Amazon VPC sem a necessidade de um gateway de internet, dispositivo NAT ou conexão VPN.
SC-7 (21)	Proteção de limites | Isolamento de componentes do sistema	rds-instance-public-access-verifique	Gerencie o acesso aos recursos noAWSNuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações confidenciais, e princípios e controle de acesso são necessários para essas contas.
SC-7 (21)	Proteção de limites | Isolamento de componentes do sistema	rds-snapshots-public-prohibited	Gerencie o acesso aos recursos noAWSNuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações e princípios confidenciais, e o controle de acesso é necessário para essas contas.
SC-7 (21)	Proteção de limites | Isolamento de componentes do sistema	redshift-cluster-public-access-verifique	Gerencie o acesso aos recursos noAWSNuvem garantindo que os clusters do Amazon Redshift não sejam públicos. Os clusters do Amazon Redshift podem conter informações e princípios confidenciais, e o controle de acesso é necessário para essas contas.
SC-7 (21)	Proteção de limites | Isolamento de componentes do sistema	restricted-common-ports	Gerencie o acesso aos recursos noAWSNuvem garantindo que as portas comuns sejam restritas nos grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2). Não restringir o acesso às portas a fontes confiáveis pode levar a ataques contra a disponibilidade, integridade e confidencialidade dos sistemas. Essa regra permite que você defina opcionalmente os parâmetros BlockedPort1 - BlockedPort5 (padrões de configuração: 20,21,3389,3306,4333). Os valores reais devem refletir as políticas da sua organização.
SC-7 (21)	Proteção de limites | Isolamento de componentes do sistema	s3-account-level-public-access-blocos periódicos	Gerencie o acesso aos recursos noAWSNuvem garantindo que os buckets do Amazon Simple Storage Service (Amazon S3) não possam ser acessados publicamente. Essa regra ajuda a manter os dados confidenciais protegidos de usuários remotos não autorizados, impedindo o acesso público. Essa regra permite que você defina opcionalmente oignorePublicAcls(Padrão de configuração: verdadeiro),blockPublicPolicy(Padrão de configuração: verdadeiro),blockPublicAcls(Config Default: True), erestrictPublicBucketsparâmetros (Config Default: True). Os valores reais devem refletir as políticas da sua organização.
SC-7 (21)	Proteção de limites | Isolamento de componentes do sistema	s3-bucket-level-public-access-proibido	Gerencie o acesso aos recursos noAWSNuvem garantindo que os buckets do Amazon Simple Storage Service (Amazon S3) não possam ser acessados publicamente. Essa regra ajuda a manter os dados confidenciais protegidos de usuários remotos não autorizados, impedindo o acesso público no nível do bucket.
SC-7 (21)	Proteção de limites | Isolamento de componentes do sistema	s3-bucket-public-read-prohibited	Gerencie o acesso aos recursos noAWSNuvem ao permitir que usuários, processos e dispositivos autorizados acessem apenas buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados.
SC-7 (21)	Proteção de limites | Isolamento de componentes do sistema	s3-bucket-public-write-prohibited	Gerencie o acesso aos recursos noAWSNuvem ao permitir que usuários, processos e dispositivos autorizados acessem apenas buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados.
SC-7 (21)	Proteção de limites | Isolamento de componentes do sistema	sagemaker-notebook-no-direct-acesso à internet	Gerencie o acesso aos recursos noAWSNuvem, garantindo que a AmazonSageMakeros notebooks não permitem acesso direto à internet. Ao impedir o acesso direto à Internet, você pode impedir que dados confidenciais sejam acessados por usuários não autorizados.
SC-7 (21)	Proteção de limites | Isolamento de componentes do sistema	subnet-auto-assign-public-ip desativado	Gerencie o acesso aoAWSNuvem garantindo que as sub-redes Amazon Virtual Private Cloud (VPC) não recebam automaticamente um endereço IP público. As instâncias do Amazon Elastic Compute Cloud (EC2) que são lançadas em sub-redes que têm esse atributo ativado têm um endereço IP público atribuído à sua interface de rede primária.
SC-7 (21)	Proteção de limites | Isolamento de componentes do sistema	vpc-default-security-group-fechado	Os grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2) podem ajudar no gerenciamento do acesso à rede fornecendo filtragem de estado do tráfego de entrada e saída da rede paraAWSrecursos. Restringir todo o tráfego no grupo de segurança padrão ajuda a restringir o acesso remoto ao seuAWSrecursos.
SC-7 (21)	Proteção de limites | Isolamento de componentes do sistema	vpc-sg-open-only-to-authorized-ports	Gerencie o acesso aos recursos noAWSNuvem garantindo que as portas comuns sejam restritas nos grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2). Não restringir o acesso às portas a fontes confiáveis pode levar a ataques contra a disponibilidade, integridade e confidencialidade dos sistemas. Ao restringir o acesso a recursos dentro de um grupo de segurança da Internet (0.0.0.0/0), o acesso remoto pode ser controlado aos sistemas internos.
SC-7	Proteção de limites	autoscaling-launch-config-public-ip desativado	Se você configurar suas interfaces de rede com um endereço IP público, os recursos associados a essas interfaces de rede poderão ser acessados pela Internet. Os recursos do EC2 não devem ser acessíveis ao público, pois isso pode permitir acesso não intencional aos seus aplicativos ou servidores.
SC-7	Proteção de limites	ssh restrito	Os grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2) podem ajudar a gerenciar o acesso à rede fornecendo filtragem de estado do tráfego de entrada e saída da rede paraAWSrecursos. Não permitir tráfego de entrada (ou remoto) de 0.0.0.0/0 para a porta 22 em seus recursos ajuda a restringir o acesso remoto.
SC-7	Proteção de limites	ec2-instances-in-vpc	Implante instâncias do Amazon Elastic Compute Cloud (Amazon EC2) em uma Amazon Virtual Private Cloud (Amazon VPC) para permitir a comunicação segura entre uma instância e outros serviços dentro da Amazon VPC, sem exigir um gateway de internet, dispositivo NAT ou conexão VPN. Todo o tráfego permanece com segurança na Nuvem AWS. Devido ao isolamento lógico, os domínios que residem em um Amazon VPC têm uma camada extra de segurança quando comparados aos domínios que usam endpoints públicos. Atribua instâncias do Amazon EC2 a uma Amazon VPC para gerenciar adequadamente o acesso.
SC-7	Proteção de limites	no-unrestricted-route-to-igw	Certifique-se de que as tabelas de rotas do Amazon EC2 não tenham rotas irrestritas para um gateway da Internet. Remover ou limitar o acesso à Internet para cargas de trabalho nas Amazon VPCs pode reduzir o acesso não intencional em seu ambiente.
SC-7	Proteção de limites	redshift-enhanced-vpc-routing-ativado	O roteamento aprimorado da VPC força todo o tráfego COPY e UNLOAD entre o cluster e os repositórios de dados a passar pelo Amazon VPC. Em seguida, você pode usar os recursos da VPC, como grupos de segurança e listas de controle de acesso à rede, para proteger o tráfego da rede. Você também pode usar os registros de fluxo da VPC para monitorar o tráfego da rede.
SC-7	Proteção de limites	ssm-document-not-public	GarantaAWSOs documentos do Systems Manager (SSM) não são públicos, pois isso pode permitir acesso não intencional aos seus documentos SSM. Um documento SSM público pode expor informações sobre sua conta, recursos e processos internos.
SC-7	Proteção de limites	dms-replication-not-public	Gerencie o acesso aoAWSNuvem, garantindo que as instâncias de replicação do DMS não possam ser acessadas publicamente. As instâncias de replicação do DMS podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
SC-7	Proteção de limites	ebs-snapshot-public-restorable-verifique	Gerencie o acesso aoAWSNuvem garantindo que os snapshots do EBS não possam ser restaurados publicamente. Os instantâneos de volume do EBS podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
SC-7	Proteção de limites	ec2-instance-no-public-ip	Gerencie o acesso aoAWSNuvem garantindo que as instâncias do Amazon Elastic Compute Cloud (Amazon EC2) não possam ser acessadas publicamente. As instâncias do Amazon EC2 podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
SC-7	Proteção de limites	elasticsearch-in-vpc-only	Gerencie o acesso aoAWSNuvem ao garantir a AmazonOpenSearchServiço (OpenSearch(Serviço) Os domínios estão dentro de uma Amazon Virtual Private Cloud (Amazon VPC). UmOpenSearchO domínio de serviço em um Amazon VPC permite a comunicação segura entreOpenSearchServiço e outros serviços dentro do Amazon VPC sem a necessidade de um gateway de internet, dispositivo NAT ou conexão VPN.
SC-7	Proteção de limites	emr-master-no-public-ip	Gerencie o acesso aoAWSNuvem, garantindo que os nós principais do cluster Amazon EMR não possam ser acessados publicamente. Os nós principais do cluster do Amazon EMR podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
SC-7	Proteção de limites	lambda-function-public-access-proibido	Gerencie o acesso aos recursos noAWSNuvem, garantindoAWSAs funções do Lambda não podem ser acessadas publicamente. O acesso público pode potencialmente levar à degradação da disponibilidade de recursos.
SC-7	Proteção de limites	lambda-inside-vpc	ImplantarAWSO Lambda funciona em uma Amazon Virtual Private Cloud (Amazon VPC) para uma comunicação segura entre uma função e outros serviços dentro da Amazon VPC. Com essa configuração, não há necessidade de um gateway de Internet, dispositivo NAT ou conexão VPN. Todo o tráfego permanece seguro dentro doAWSNuvem. Devido ao isolamento lógico, os domínios que residem em um Amazon VPC têm uma camada extra de segurança quando comparados aos domínios que usam endpoints públicos. Para gerenciar adequadamente o acesso,AWSAs funções lambda devem ser atribuídas a uma VPC.
SC-7	Proteção de limites	opensearch-in-vpc-only	Gerencie o acesso aoAWSNuvem ao garantir a AmazonOpenSearchOs domínios de serviço estão dentro de uma Amazon Virtual Private Cloud (Amazon VPC). Uma AmazôniaOpenSearchO domínio de serviço em um Amazon VPC permite a comunicação segura entre a AmazonOpenSearchServiço e outros serviços dentro do Amazon VPC sem a necessidade de um gateway de internet, dispositivo NAT ou conexão VPN.
SC-7	Proteção de limites	rds-instance-public-access-verifique	Gerencie o acesso aos recursos noAWSNuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações confidenciais, e princípios e controle de acesso são necessários para essas contas.
SC-7	Proteção de limites	rds-snapshots-public-prohibited	Gerencie o acesso aos recursos noAWSNuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações e princípios confidenciais, e o controle de acesso é necessário para essas contas.
SC-7	Proteção de limites	redshift-cluster-public-access-verifique	Gerencie o acesso aos recursos noAWSNuvem garantindo que os clusters do Amazon Redshift não sejam públicos. Os clusters do Amazon Redshift podem conter informações e princípios confidenciais, e o controle de acesso é necessário para essas contas.
SC-7	Proteção de limites	restricted-common-ports	Gerencie o acesso aos recursos noAWSNuvem garantindo que as portas comuns sejam restritas nos grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2). Não restringir o acesso às portas a fontes confiáveis pode levar a ataques contra a disponibilidade, integridade e confidencialidade dos sistemas. Essa regra permite que você defina opcionalmente os parâmetros BlockedPort1 - BlockedPort5 (padrões de configuração: 20,21,3389,3306,4333). Os valores reais devem refletir as políticas da sua organização.
SC-7	Proteção de limites	s3-account-level-public-access-blocos periódicos	Gerencie o acesso aos recursos noAWSNuvem garantindo que os buckets do Amazon Simple Storage Service (Amazon S3) não possam ser acessados publicamente. Essa regra ajuda a manter os dados confidenciais protegidos de usuários remotos não autorizados, impedindo o acesso público. Essa regra permite que você defina opcionalmente oignorePublicAcls(Padrão de configuração: verdadeiro),blockPublicPolicy(Padrão de configuração: verdadeiro),blockPublicAcls(Config Default: True), erestrictPublicBucketsparâmetros (Config Default: True). Os valores reais devem refletir as políticas da sua organização.
SC-7	Proteção de limites	s3-bucket-level-public-access-proibido	Gerencie o acesso aos recursos noAWSNuvem garantindo que os buckets do Amazon Simple Storage Service (Amazon S3) não possam ser acessados publicamente. Essa regra ajuda a manter os dados confidenciais protegidos de usuários remotos não autorizados, impedindo o acesso público no nível do bucket.
SC-7	Proteção de limites	s3-bucket-public-read-prohibited	Gerencie o acesso aos recursos noAWSNuvem ao permitir que usuários, processos e dispositivos autorizados acessem apenas buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados.
SC-7	Proteção de limites	s3-bucket-public-write-prohibited	Gerencie o acesso aos recursos noAWSNuvem ao permitir que usuários, processos e dispositivos autorizados acessem apenas buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados.
SC-7	Proteção de limites	sagemaker-notebook-no-direct-acesso à internet	Gerencie o acesso aos recursos noAWSNuvem, garantindo que a AmazonSageMakeros notebooks não permitem acesso direto à internet. Ao impedir o acesso direto à Internet, você pode impedir que dados confidenciais sejam acessados por usuários não autorizados.
SC-7	Proteção de limites	subnet-auto-assign-public-ip desativado	Gerencie o acesso aoAWSNuvem garantindo que as sub-redes Amazon Virtual Private Cloud (VPC) não recebam automaticamente um endereço IP público. As instâncias do Amazon Elastic Compute Cloud (EC2) que são lançadas em sub-redes que têm esse atributo ativado têm um endereço IP público atribuído à sua interface de rede primária.
SC-7	Proteção de limites	vpc-default-security-group-fechado	Os grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2) podem ajudar no gerenciamento do acesso à rede fornecendo filtragem de estado do tráfego de entrada e saída da rede paraAWSrecursos. Restringir todo o tráfego no grupo de segurança padrão ajuda a restringir o acesso remoto ao seuAWSrecursos.
SC-7	Proteção de limites	vpc-sg-open-only-to-authorized-ports	Gerencie o acesso aos recursos noAWSNuvem garantindo que as portas comuns sejam restritas nos grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2). Não restringir o acesso às portas a fontes confiáveis pode levar a ataques contra a disponibilidade, integridade e confidencialidade dos sistemas. Ao restringir o acesso a recursos dentro de um grupo de segurança da Internet (0.0.0.0/0), o acesso remoto pode ser controlado aos sistemas internos.
SC-8 (1)	Confidencialidade e integridade da transmissão | Proteção criptográfica	elasticsearch-node-to-node-verificação de criptografia	Garantanode-to-nodecriptografia para AmazonOpenSearchO serviço está ativado. Node-to-nodea criptografia permite a criptografia TLS 1.2 para todas as comunicações dentro da Amazon Virtual Private Cloud (Amazon VPC). Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados.
SC-8 (1)	Confidencialidade e integridade da transmissão | Proteção criptográfica	elbv2-acm-certificate-required	Como dados confidenciais podem existir e, para ajudar a proteger os dados em trânsito, garanta que a criptografia esteja habilitada para seu Elastic Load Balancing. UsarAWSGerenciador de certificados para gerenciar, provisionar e implantar certificados SSL/TLS públicos e privados comAWSserviços e recursos internos.
SC-8 (1)	Confidencialidade e integridade da transmissão | Proteção criptográfica	elb-tls-https-listeners-somente	Certifique-se de que seus Elastic Load Balancers (ELBs) estejam configurados com ouvintes SSL ou HTTPS. Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados.
SC-8 (1)	Confidencialidade e integridade da transmissão | Proteção criptográfica	opensearch-https-required	Como dados confidenciais podem existir e, para ajudar a proteger os dados em trânsito, certifique-se de que o HTTPS esteja ativado para conexões com sua AmazonOpenSearchDomínios de serviço.
SC-8 (1)	Confidencialidade e integridade da transmissão | Proteção criptográfica	opensearch-node-to-node-verificação de criptografia	Garantanode-to-nodecriptografia para AmazonOpenSearchO serviço está ativado. Node-to-nodea criptografia permite a criptografia TLS 1.2 para todas as comunicações dentro da Amazon Virtual Private Cloud (Amazon VPC). Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados.
SC-8 (1)	Confidencialidade e integridade da transmissão | Proteção criptográfica	alb-http-to-https-verificação de redirecionamento	Para ajudar a proteger os dados em trânsito, certifique-se de que seu Application Load Balancer redirecione automaticamente solicitações HTTP não criptografadas para HTTPS. Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados.
SC-8 (1)	Confidencialidade e integridade da transmissão | Proteção criptográfica	api-gw-ssl-enabled	Certifique-se de que os estágios da API REST do Amazon API Gateway estejam configurados com certificados SSL para permitir que os sistemas de back-end autentiquem que as solicitações são originadas do API Gateway.
SC-8 (1)	Confidencialidade e integridade da transmissão | Proteção criptográfica	elb-acm-certificate-required	Como dados confidenciais podem existir e, para ajudar a proteger os dados em trânsito, garanta que a criptografia esteja habilitada para seu Elastic Load Balancing. UsarAWSGerenciador de certificados para gerenciar, provisionar e implantar certificados SSL/TLS públicos e privados comAWSserviços e recursos internos.
SC-8 (1)	Confidencialidade e integridade da transmissão | Proteção criptográfica	redshift-require-tls-ssl	Certifique-se de que seus clusters do Amazon Redshift exijam criptografia TLS/SSL para se conectar aos clientes SQL. Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados.
SC-8 (1)	Confidencialidade e integridade da transmissão | Proteção criptográfica	s3-bucket-ssl-requests-only	Para ajudar a proteger os dados em trânsito, certifique-se de que seus buckets do Amazon Simple Storage Service (Amazon S3) exijam solicitações para usar o Secure Socket Layer (SSL). Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados.
SC-8 (2)	Confidencialidade e integridade da transmissão | Tratamento antes e depois da transmissão	elasticsearch-node-to-node-verificação de criptografia	Garantanode-to-nodecriptografia para AmazonOpenSearchO serviço está ativado. Node-to-nodea criptografia permite a criptografia TLS 1.2 para todas as comunicações dentro da Amazon Virtual Private Cloud (Amazon VPC). Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados.
SC-8 (2)	Confidencialidade e integridade da transmissão | Tratamento antes e depois da transmissão	elb-tls-https-listeners-somente	Certifique-se de que seus Elastic Load Balancers (ELBs) estejam configurados com ouvintes SSL ou HTTPS. Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados.
SC-8 (2)	Confidencialidade e integridade da transmissão | Tratamento antes e depois da transmissão	opensearch-https-required	Como dados confidenciais podem existir e, para ajudar a proteger os dados em trânsito, certifique-se de que o HTTPS esteja ativado para conexões com sua AmazonOpenSearchDomínios de serviço.
SC-8 (2)	Confidencialidade e integridade da transmissão | Tratamento antes e depois da transmissão	opensearch-node-to-node-verificação de criptografia	Garantanode-to-nodecriptografia para AmazonOpenSearchO serviço está ativado. Node-to-nodea criptografia permite a criptografia TLS 1.2 para todas as comunicações dentro da Amazon Virtual Private Cloud (Amazon VPC). Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados.
SC-8 (2)	Confidencialidade e integridade da transmissão | Tratamento antes e depois da transmissão	alb-http-to-https-verificação de redirecionamento	Para ajudar a proteger os dados em trânsito, certifique-se de que seu Application Load Balancer redirecione automaticamente solicitações HTTP não criptografadas para HTTPS. Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados.
SC-8 (2)	Confidencialidade e integridade da transmissão | Tratamento antes e depois da transmissão	api-gw-ssl-enabled	Certifique-se de que os estágios da API REST do Amazon API Gateway estejam configurados com certificados SSL para permitir que os sistemas de back-end autentiquem que as solicitações são originadas do API Gateway.
SC-8 (2)	Confidencialidade e integridade da transmissão | Tratamento antes e depois da transmissão	elb-acm-certificate-required	Como dados confidenciais podem existir e, para ajudar a proteger os dados em trânsito, garanta que a criptografia esteja habilitada para seu Elastic Load Balancing. UsarAWSGerenciador de certificados para gerenciar, provisionar e implantar certificados SSL/TLS públicos e privados comAWSserviços e recursos internos.
SC-8 (2)	Confidencialidade e integridade da transmissão | Tratamento antes e depois da transmissão	elbv2-acm-certificate-required	Como dados confidenciais podem existir e, para ajudar a proteger os dados em trânsito, garanta que a criptografia esteja habilitada para seu Elastic Load Balancing. UsarAWSGerenciador de certificados para gerenciar, provisionar e implantar certificados SSL/TLS públicos e privados comAWSserviços e recursos internos.
SC-8 (2)	Confidencialidade e integridade da transmissão | Tratamento antes e depois da transmissão	redshift-require-tls-ssl	Certifique-se de que seus clusters do Amazon Redshift exijam criptografia TLS/SSL para se conectar aos clientes SQL. Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados.
SC-8 (2)	Confidencialidade e integridade da transmissão | Tratamento antes e depois da transmissão	s3-bucket-ssl-requests-only	Para ajudar a proteger os dados em trânsito, certifique-se de que seus buckets do Amazon Simple Storage Service (Amazon S3) exijam solicitações para usar o Secure Socket Layer (SSL). Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados.
SC-8	Confidencialidade e integridade da transmissão	elasticsearch-node-to-node-verificação de criptografia	Garantanode-to-nodecriptografia para AmazonOpenSearchO serviço está ativado. Node-to-nodea criptografia permite a criptografia TLS 1.2 para todas as comunicações dentro da Amazon Virtual Private Cloud (Amazon VPC). Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados.
SC-8	Confidencialidade e integridade da transmissão	elbv2-acm-certificate-required	Como dados confidenciais podem existir e, para ajudar a proteger os dados em trânsito, garanta que a criptografia esteja habilitada para seu Elastic Load Balancing. UsarAWSGerenciador de certificados para gerenciar, provisionar e implantar certificados SSL/TLS públicos e privados comAWSserviços e recursos internos.
SC-8	Confidencialidade e integridade da transmissão	elb-tls-https-listeners-somente	Certifique-se de que seus Elastic Load Balancers (ELBs) estejam configurados com ouvintes SSL ou HTTPS. Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados.
SC-8	Confidencialidade e integridade da transmissão	opensearch-https-required	Como dados confidenciais podem existir e, para ajudar a proteger os dados em trânsito, certifique-se de que o HTTPS esteja ativado para conexões com sua AmazonOpenSearchDomínios de serviço.
SC-8	Confidencialidade e integridade da transmissão	opensearch-node-to-node-verificação de criptografia	Garantanode-to-nodecriptografia para AmazonOpenSearchO serviço está ativado. Node-to-nodea criptografia permite a criptografia TLS 1.2 para todas as comunicações dentro da Amazon Virtual Private Cloud (Amazon VPC). Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados.
SC-8	Confidencialidade e integridade da transmissão	alb-http-to-https-verificação de redirecionamento	Para ajudar a proteger os dados em trânsito, certifique-se de que seu Application Load Balancer redirecione automaticamente solicitações HTTP não criptografadas para HTTPS. Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados.
SC-8	Confidencialidade e integridade da transmissão	api-gw-ssl-enabled	Certifique-se de que os estágios da API REST do Amazon API Gateway estejam configurados com certificados SSL para permitir que os sistemas de back-end autentiquem que as solicitações são originadas do API Gateway.
SC-8	Confidencialidade e integridade da transmissão	elb-acm-certificate-required	Como dados confidenciais podem existir e, para ajudar a proteger os dados em trânsito, garanta que a criptografia esteja habilitada para seu Elastic Load Balancing. UsarAWSGerenciador de certificados para gerenciar, provisionar e implantar certificados SSL/TLS públicos e privados comAWSserviços e recursos internos.
SC-8	Confidencialidade e integridade da transmissão	redshift-require-tls-ssl	Certifique-se de que seus clusters do Amazon Redshift exijam criptografia TLS/SSL para se conectar aos clientes SQL. Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados.
SC-8	Confidencialidade e integridade da transmissão	s3-bucket-ssl-requests-only	Para ajudar a proteger os dados em trânsito, certifique-se de que seus buckets do Amazon Simple Storage Service (Amazon S3) exijam solicitações para usar o Secure Socket Layer (SSL). Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados.
SC-12 (2)	Estabelecimento e gerenciamento de chaves criptográficas | Chaves simétricas	cmk-backing-key-rotation-ativado	Ative a rotação de chaves para garantir que as chaves sejam giradas quando chegarem ao final do período criptográfico.
SC-12 (2)	Estabelecimento e gerenciamento de chaves criptográficas | Chaves simétricas	kms-cmk-not-scheduled-para exclusão	Para ajudar a proteger os dados em repouso, certifique-se de que as chaves mestras do cliente (CMKs) necessárias não estejam programadas para exclusão noAWSServiço de gerenciamento de chaves (AWSKMS). Como a exclusão da chave às vezes é necessária, essa regra pode ajudar a verificar todas as chaves programadas para exclusão, caso uma chave tenha sido agendada sem querer.
SC-12 (3)	Estabelecimento e gerenciamento de chaves criptográficas | Chaves assimétricas	elbv2-acm-certificate-required	Como dados confidenciais podem existir e, para ajudar a proteger os dados em trânsito, garanta que a criptografia esteja habilitada para seu Elastic Load Balancing. UsarAWSGerenciador de certificados para gerenciar, provisionar e implantar certificados SSL/TLS públicos e privados comAWSserviços e recursos internos.
SC-12 (3)	Estabelecimento e gerenciamento de chaves criptográficas | Chaves assimétricas	elb-tls-https-listeners-somente	Certifique-se de que seus Elastic Load Balancers (ELBs) estejam configurados com ouvintes SSL ou HTTPS. Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados.
SC-12 (3)	Estabelecimento e gerenciamento de chaves criptográficas | Chaves assimétricas	opensearch-https-required	Como dados confidenciais podem existir e, para ajudar a proteger os dados em trânsito, certifique-se de que o HTTPS esteja ativado para conexões com sua AmazonOpenSearchDomínios de serviço.
SC-12 (3)	Estabelecimento e gerenciamento de chaves criptográficas | Chaves assimétricas	alb-http-to-https-verificação de redirecionamento	Para ajudar a proteger os dados em trânsito, certifique-se de que seu Application Load Balancer redirecione automaticamente solicitações HTTP não criptografadas para HTTPS. Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados.
SC-12 (3)	Estabelecimento e gerenciamento de chaves criptográficas | Chaves assimétricas	api-gw-ssl-enabled	Certifique-se de que os estágios da API REST do Amazon API Gateway estejam configurados com certificados SSL para permitir que os sistemas de back-end autentiquem que as solicitações são originadas do API Gateway.
SC-12 (3)	Estabelecimento e gerenciamento de chaves criptográficas | Chaves assimétricas	elb-acm-certificate-required	Como dados confidenciais podem existir e, para ajudar a proteger os dados em trânsito, garanta que a criptografia esteja habilitada para seu Elastic Load Balancing. UsarAWSGerenciador de certificados para gerenciar, provisionar e implantar certificados SSL/TLS públicos e privados comAWSserviços e recursos internos.
SC-12 (3)	Estabelecimento e gerenciamento de chaves criptográficas | Chaves assimétricas	s3-bucket-ssl-requests-only	Para ajudar a proteger os dados em trânsito, certifique-se de que seus buckets do Amazon Simple Storage Service (Amazon S3) exijam solicitações para usar o Secure Socket Layer (SSL). Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados.
SC-12	Estabelecimento e gerenciamento de chaves criptográficas	cmk-backing-key-rotation-ativado	Ative a rotação de chaves para garantir que as chaves sejam giradas quando chegarem ao final do período criptográfico.
SC-12	Estabelecimento e gerenciamento de chaves criptográficas	kms-cmk-not-scheduled-para exclusão	Para ajudar a proteger os dados em repouso, certifique-se de que as chaves mestras do cliente (CMKs) necessárias não estejam programadas para exclusão noAWSServiço de gerenciamento de chaves (AWSKMS). Como a exclusão da chave às vezes é necessária, essa regra pode ajudar a verificar todas as chaves programadas para exclusão, caso uma chave tenha sido agendada sem querer.
SC-13	Proteção criptográfica	codebuild-project-artifact-encryption	Para ajudar a proteger dados confidenciais em repouso, certifique-se de que a criptografia esteja habilitada para seuAWS CodeBuildartefatos.
SC-13	Proteção criptográfica	dynamodb-table-encrypted-kms	Certifique-se de que a criptografia esteja habilitada para suas tabelas do Amazon DynamoDB. Como dados confidenciais podem existir em repouso nessas tabelas, habilite a criptografia em repouso para ajudar a proteger esses dados. Por padrão, as tabelas do DynamoDB são criptografadas com umAWSchave mestra do cliente (CMK) de propriedade do cliente.
SC-13	Proteção criptográfica	ec2-ebs-encryption-by-default	Para ajudar a proteger os dados em repouso, certifique-se de que a criptografia esteja habilitada para seus volumes do Amazon Elastic Block Store (Amazon EBS). Como dados confidenciais podem existir em repouso nesses volumes, habilite a criptografia em repouso para ajudar a proteger esses dados.
SC-13	Proteção criptográfica	elasticsearch-node-to-node-verificação de criptografia	Garantanode-to-nodecriptografia para AmazonOpenSearchO serviço está ativado. Node-to-nodea criptografia permite a criptografia TLS 1.2 para todas as comunicações dentro da Amazon Virtual Private Cloud (Amazon VPC). Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados.
SC-13	Proteção criptográfica	elb-tls-https-listeners-somente	Certifique-se de que seus Elastic Load Balancers (ELBs) estejam configurados com ouvintes SSL ou HTTPS. Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados.
SC-13	Proteção criptográfica	kinesis-stream-encrypted	Como dados confidenciais podem existir e, para ajudar a proteger os dados em repouso, garanta que a criptografia esteja habilitada para seus Amazon Kinesis Streams.
SC-13	Proteção criptográfica	opensearch-https-required	Como dados confidenciais podem existir e, para ajudar a proteger os dados em trânsito, certifique-se de que o HTTPS esteja ativado para conexões com sua AmazonOpenSearchDomínios de serviço.
SC-13	Proteção criptográfica	opensearch-node-to-node-verificação de criptografia	Garantanode-to-nodecriptografia para AmazonOpenSearchO serviço está ativado. Node-to-nodea criptografia permite a criptografia TLS 1.2 para todas as comunicações dentro da Amazon Virtual Private Cloud (Amazon VPC). Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados.
SC-13	Proteção criptográfica	rds-snapshot-encrypted	Certifique-se de que a criptografia esteja habilitada para seus snapshots do Amazon Relational Database Service (Amazon RDS). Como dados confidenciais podem existir em repouso, habilite a criptografia em repouso para ajudar a proteger esses dados.
SC-13	Proteção criptográfica	s3-default-encryption-kms	Certifique-se de que a criptografia esteja habilitada para seus buckets do Amazon Simple Storage Service (Amazon S3). Como dados confidenciais podem existir em repouso em um bucket do Amazon S3, habilite a criptografia em repouso para ajudar a proteger esses dados.
SC-13	Proteção criptográfica	sagemaker-notebook-instance-kms-configurado por chave	Para ajudar a proteger os dados em repouso, garanta a criptografia comAWSServiço de gerenciamento de chaves (AWSO KMS) está habilitado para seuSageMakercaderno. Porque dados confidenciais podem existir em repouso noSageMakernotebook, habilite a criptografia em repouso para ajudar a proteger esses dados.
SC-13	Proteção criptográfica	sns-encrypted-kms	Para ajudar a proteger os dados em repouso, certifique-se de que seus tópicos do Amazon Simple Notification Service (Amazon SNS) exijam criptografia usandoAWSServiço de gerenciamento de chaves (AWSKMS). Como dados confidenciais podem existir em repouso nas mensagens publicadas, habilite a criptografia em repouso para ajudar a proteger esses dados.
SC-13	Proteção criptográfica	alb-http-to-https-verificação de redirecionamento	Para ajudar a proteger os dados em trânsito, certifique-se de que seu Application Load Balancer redirecione automaticamente solicitações HTTP não criptografadas para HTTPS. Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados.
SC-13	Proteção criptográfica	api-gw-cache-enabled-e criptografado	Para ajudar a proteger os dados em repouso, garanta que a criptografia esteja ativada para o cache do estágio do API Gateway. Como dados confidenciais podem ser capturados pelo método da API, ative a criptografia em repouso para ajudar a proteger esses dados.
SC-13	Proteção criptográfica	api-gw-ssl-enabled	Certifique-se de que os estágios da API REST do Amazon API Gateway estejam configurados com certificados SSL para permitir que os sistemas de back-end autentiquem que as solicitações são originadas do API Gateway.
SC-13	Proteção criptográfica	cloud-trail-encryption-enabled	Como podem existir dados confidenciais e, para ajudar a proteger os dados em repouso, certifique-se de que a criptografia esteja habilitada para seuAWS CloudTrailtrilhas.
SC-13	Proteção criptográfica	efs-encrypted-check	Como dados confidenciais podem existir e, para ajudar a proteger os dados em repouso, garanta que a criptografia esteja habilitada para seu Amazon Elastic File System (EFS).
SC-13	Proteção criptográfica	elasticsearch-encrypted-at-rest	Como dados confidenciais podem existir e, para ajudar a proteger os dados em repouso, garanta que a criptografia esteja habilitada para sua AmazonOpenSearchServiço (OpenSearchDomínios de serviço).
SC-13	Proteção criptográfica	elb-acm-certificate-required	Como dados confidenciais podem existir e, para ajudar a proteger os dados em trânsito, garanta que a criptografia esteja habilitada para seu Elastic Load Balancing. UsarAWSGerenciador de certificados para gerenciar, provisionar e implantar certificados SSL/TLS públicos e privados comAWSserviços e recursos internos.
SC-13	Proteção criptográfica	elbv2-acm-certificate-required	Como dados confidenciais podem existir e, para ajudar a proteger os dados em trânsito, garanta que a criptografia esteja habilitada para seu Elastic Load Balancing. UsarAWSGerenciador de certificados para gerenciar, provisionar e implantar certificados SSL/TLS públicos e privados comAWSserviços e recursos internos.
SC-13	Proteção criptográfica	volumes criptografados	Como dados confidenciais podem existir e, para ajudar a proteger os dados em repouso, garanta que a criptografia esteja habilitada para seus volumes do Amazon Elastic Block Store (Amazon EBS).
SC-13	Proteção criptográfica	opensearch-encrypted-at-rest	Como dados confidenciais podem existir e, para ajudar a proteger os dados em repouso, garanta que a criptografia esteja habilitada para sua AmazonOpenSearchDomínios de serviço.
SC-13	Proteção criptográfica	rds-storage-encrypted	Para ajudar a proteger os dados em repouso, garanta que a criptografia esteja habilitada para suas instâncias do Amazon Relational Database Service (Amazon RDS). Como dados confidenciais podem existir em repouso nas instâncias do Amazon RDS, habilite a criptografia em repouso para ajudar a proteger esses dados.
SC-13	Proteção criptográfica	redshift-cluster-configuration-check	Para proteger os dados em repouso, certifique-se de que a criptografia esteja habilitada para seus clusters do Amazon Redshift. Você também deve garantir que as configurações necessárias sejam implantadas nos clusters do Amazon Redshift. O registro de auditoria deve estar habilitado para fornecer informações sobre conexões e atividades do usuário no banco de dados. Essa regra exige que um valor seja definido paraclusterDbEncrypted(Config Default: TRUE) e LoggingEnabled (Config Default: TRUE). Os valores reais devem refletir as políticas da sua organização.
SC-13	Proteção criptográfica	redshift-cluster-kms-enabled	Para ajudar a proteger os dados em repouso, garanta a criptografia comAWSServiço de gerenciamento de chaves (AWSO KMS) está habilitado para seu cluster do Amazon Redshift. Como dados confidenciais podem existir em repouso nos clusters do Redshift, habilite a criptografia em repouso para ajudar a proteger esses dados.
SC-13	Proteção criptográfica	redshift-require-tls-ssl	Certifique-se de que seus clusters do Amazon Redshift exijam criptografia TLS/SSL para se conectar aos clientes SQL. Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados.
SC-13	Proteção criptográfica	s3-bucket-server-side-encryption-ativado	Para ajudar a proteger os dados em repouso, garanta que a criptografia esteja habilitada para seus buckets do Amazon Simple Storage Service (Amazon S3). Como dados confidenciais podem existir em repouso nos buckets do Amazon S3, habilite a criptografia para ajudar a proteger esses dados.
SC-13	Proteção criptográfica	s3-bucket-ssl-requests-only	Para ajudar a proteger os dados em trânsito, certifique-se de que seus buckets do Amazon Simple Storage Service (Amazon S3) exijam solicitações para usar o Secure Socket Layer (SSL). Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados.
SC-13	Proteção criptográfica	sagemaker-endpoint-configuration-kms-configurado por chave	Para ajudar a proteger os dados em repouso, garanta a criptografia comAWSServiço de gerenciamento de chaves (AWSO KMS) está habilitado para seuSageMakerponto final. Porque dados confidenciais podem existir em repouso noSageMakerendpoint, habilite a criptografia em repouso para ajudar a proteger esses dados.
SC-13	Proteção criptográfica	secretsmanager-using-cmk	Para ajudar a proteger os dados em repouso, garanta a criptografia comAWSServiço de gerenciamento de chaves (AWSO KMS) está habilitado paraAWSSegredos do Secrets Manager. Como dados confidenciais podem existir em repouso nos segredos do Secrets Manager, habilite a criptografia em repouso para ajudar a proteger esses dados.
SC-23 (3)	Autenticidade da sessão | Identificadores de sessão exclusivos gerados pelo sistema	elasticsearch-node-to-node-verificação de criptografia	Garantanode-to-nodecriptografia para AmazonOpenSearchO serviço está ativado. Node-to-nodea criptografia permite a criptografia TLS 1.2 para todas as comunicações dentro da Amazon Virtual Private Cloud (Amazon VPC). Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados.
SC-23 (3)	Autenticidade da sessão | Identificadores de sessão exclusivos gerados pelo sistema	elb-tls-https-listeners-somente	Certifique-se de que seus Elastic Load Balancers (ELBs) estejam configurados com ouvintes SSL ou HTTPS. Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados.
SC-23 (3)	Autenticidade da sessão | Identificadores de sessão exclusivos gerados pelo sistema	opensearch-https-required	Como dados confidenciais podem existir e, para ajudar a proteger os dados em trânsito, certifique-se de que o HTTPS esteja ativado para conexões com sua AmazonOpenSearchDomínios de serviço.
SC-23 (3)	Autenticidade da sessão | Identificadores de sessão exclusivos gerados pelo sistema	opensearch-node-to-node-verificação de criptografia	Garantanode-to-nodecriptografia para AmazonOpenSearchO serviço está ativado. Node-to-nodea criptografia permite a criptografia TLS 1.2 para todas as comunicações dentro da Amazon Virtual Private Cloud (Amazon VPC). Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados.
SC-23 (3)	Autenticidade da sessão | Identificadores de sessão exclusivos gerados pelo sistema	alb-http-to-https-verificação de redirecionamento	Para ajudar a proteger os dados em trânsito, certifique-se de que seu Application Load Balancer redirecione automaticamente solicitações HTTP não criptografadas para HTTPS. Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados.
SC-23 (3)	Autenticidade da sessão | Identificadores de sessão exclusivos gerados pelo sistema	api-gw-ssl-enabled	Certifique-se de que os estágios da API REST do Amazon API Gateway estejam configurados com certificados SSL para permitir que os sistemas de back-end autentiquem que as solicitações são originadas do API Gateway.
SC-23 (3)	Autenticidade da sessão | Identificadores de sessão exclusivos gerados pelo sistema	elbv2-acm-certificate-required	Como dados confidenciais podem existir e, para ajudar a proteger os dados em trânsito, garanta que a criptografia esteja habilitada para seu Elastic Load Balancing. UsarAWSGerenciador de certificados para gerenciar, provisionar e implantar certificados SSL/TLS públicos e privados comAWSserviços e recursos internos.
SC-23 (3)	Autenticidade da sessão | Identificadores de sessão exclusivos gerados pelo sistema	redshift-require-tls-ssl	Certifique-se de que seus clusters do Amazon Redshift exijam criptografia TLS/SSL para se conectar aos clientes SQL. Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados.
SC-23 (3)	Autenticidade da sessão | Identificadores de sessão exclusivos gerados pelo sistema	s3-bucket-ssl-requests-only	Para ajudar a proteger os dados em trânsito, certifique-se de que seus buckets do Amazon Simple Storage Service (Amazon S3) exijam solicitações para usar o Secure Socket Layer (SSL). Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados.
SC-23 (5)	Autenticidade da sessão | Autoridades de certificação permitidas	elbv2-acm-certificate-required	Como dados confidenciais podem existir e, para ajudar a proteger os dados em trânsito, garanta que a criptografia esteja habilitada para seu Elastic Load Balancing. UsarAWSGerenciador de certificados para gerenciar, provisionar e implantar certificados SSL/TLS públicos e privados comAWSserviços e recursos internos.
SC-23 (5)	Autenticidade da sessão | Autoridades de certificação permitidas	elb-acm-certificate-required	Como dados confidenciais podem existir e, para ajudar a proteger os dados em trânsito, garanta que a criptografia esteja habilitada para seu Elastic Load Balancing. UsarAWSGerenciador de certificados para gerenciar, provisionar e implantar certificados SSL/TLS públicos e privados comAWSserviços e recursos internos.
SC-23	Autenticidade da sessão	elasticsearch-node-to-node-verificação de criptografia	Garantanode-to-nodecriptografia para AmazonOpenSearchO serviço está ativado. Node-to-nodea criptografia permite a criptografia TLS 1.2 para todas as comunicações dentro da Amazon Virtual Private Cloud (Amazon VPC). Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados.
SC-23	Autenticidade da sessão	elb-tls-https-listeners-somente	Certifique-se de que seus Elastic Load Balancers (ELBs) estejam configurados com ouvintes SSL ou HTTPS. Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados.
SC-23	Autenticidade da sessão	opensearch-https-required	Como dados confidenciais podem existir e, para ajudar a proteger os dados em trânsito, certifique-se de que o HTTPS esteja ativado para conexões com sua AmazonOpenSearchDomínios de serviço.
SC-23	Autenticidade da sessão	opensearch-node-to-node-verificação de criptografia	Garantanode-to-nodecriptografia para AmazonOpenSearchO serviço está ativado. Node-to-nodea criptografia permite a criptografia TLS 1.2 para todas as comunicações dentro da Amazon Virtual Private Cloud (Amazon VPC). Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados.
SC-23	Autenticidade da sessão	alb-http-to-https-verificação de redirecionamento	Para ajudar a proteger os dados em trânsito, certifique-se de que seu Application Load Balancer redirecione automaticamente solicitações HTTP não criptografadas para HTTPS. Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados.
SC-23	Autenticidade da sessão	api-gw-ssl-enabled	Certifique-se de que os estágios da API REST do Amazon API Gateway estejam configurados com certificados SSL para permitir que os sistemas de back-end autentiquem que as solicitações são originadas do API Gateway.
SC-23	Autenticidade da sessão	elb-acm-certificate-required	Como dados confidenciais podem existir e, para ajudar a proteger os dados em trânsito, garanta que a criptografia esteja habilitada para seu Elastic Load Balancing. UsarAWSGerenciador de certificados para gerenciar, provisionar e implantar certificados SSL/TLS públicos e privados comAWSserviços e recursos internos.
SC-23	Autenticidade da sessão	elbv2-acm-certificate-required	Como dados confidenciais podem existir e, para ajudar a proteger os dados em trânsito, garanta que a criptografia esteja habilitada para seu Elastic Load Balancing. UsarAWSGerenciador de certificados para gerenciar, provisionar e implantar certificados SSL/TLS públicos e privados comAWSserviços e recursos internos.
SC-23	Autenticidade da sessão	redshift-require-tls-ssl	Certifique-se de que seus clusters do Amazon Redshift exijam criptografia TLS/SSL para se conectar aos clientes SQL. Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados.
SC-23	Autenticidade da sessão	s3-bucket-ssl-requests-only	Para ajudar a proteger os dados em trânsito, certifique-se de que seus buckets do Amazon Simple Storage Service (Amazon S3) exijam solicitações para usar o Secure Socket Layer (SSL). Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados.
SC-28 (1)	Proteção de informações em repouso | Proteção criptográfica	codebuild-project-artifact-encryption	Para ajudar a proteger dados confidenciais em repouso, certifique-se de que a criptografia esteja habilitada para seuAWS CodeBuildartefatos.
SC-28 (1)	Proteção de informações em repouso | Proteção criptográfica	dynamodb-table-encrypted-kms	Certifique-se de que a criptografia esteja habilitada para suas tabelas do Amazon DynamoDB. Como dados confidenciais podem existir em repouso nessas tabelas, habilite a criptografia em repouso para ajudar a proteger esses dados. Por padrão, as tabelas do DynamoDB são criptografadas com umAWSchave mestra do cliente (CMK) de propriedade do cliente.
SC-28 (1)	Proteção de informações em repouso | Proteção criptográfica	ec2-ebs-encryption-by-default	Para ajudar a proteger os dados em repouso, certifique-se de que a criptografia esteja habilitada para seus volumes do Amazon Elastic Block Store (Amazon EBS). Como dados confidenciais podem existir em repouso nesses volumes, habilite a criptografia em repouso para ajudar a proteger esses dados.
SC-28 (1)	Proteção de informações em repouso | Proteção criptográfica	kinesis-stream-encrypted	Como dados confidenciais podem existir e, para ajudar a proteger os dados em repouso, garanta que a criptografia esteja habilitada para seus Amazon Kinesis Streams.
SC-28 (1)	Proteção de informações em repouso | Proteção criptográfica	rds-snapshot-encrypted	Certifique-se de que a criptografia esteja habilitada para seus snapshots do Amazon Relational Database Service (Amazon RDS). Como dados confidenciais podem existir em repouso, habilite a criptografia em repouso para ajudar a proteger esses dados.
SC-28 (1)	Proteção de informações em repouso | Proteção criptográfica	s3-default-encryption-kms	Certifique-se de que a criptografia esteja habilitada para seus buckets do Amazon Simple Storage Service (Amazon S3). Como dados confidenciais podem existir em repouso em um bucket do Amazon S3, habilite a criptografia em repouso para ajudar a proteger esses dados.
SC-28 (1)	Proteção de informações em repouso | Proteção criptográfica	sagemaker-notebook-instance-kms-configurado por chave	Para ajudar a proteger os dados em repouso, garanta a criptografia comAWSServiço de gerenciamento de chaves (AWSO KMS) está habilitado para seuSageMakercaderno. Porque dados confidenciais podem existir em repouso noSageMakernotebook, habilite a criptografia em repouso para ajudar a proteger esses dados.
SC-28 (1)	Proteção de informações em repouso | Proteção criptográfica	sns-encrypted-kms	Para ajudar a proteger os dados em repouso, certifique-se de que seus tópicos do Amazon Simple Notification Service (Amazon SNS) exijam criptografia usandoAWSServiço de gerenciamento de chaves (AWSKMS). Como dados confidenciais podem existir em repouso nas mensagens publicadas, habilite a criptografia em repouso para ajudar a proteger esses dados.
SC-28 (1)	Proteção de informações em repouso | Proteção criptográfica	api-gw-cache-enabled-e criptografado	Para ajudar a proteger os dados em repouso, garanta que a criptografia esteja ativada para o cache do estágio do API Gateway. Como dados confidenciais podem ser capturados pelo método da API, ative a criptografia em repouso para ajudar a proteger esses dados.
SC-28 (1)	Proteção de informações em repouso | Proteção criptográfica	cloud-trail-encryption-enabled	Como podem existir dados confidenciais e, para ajudar a proteger os dados em repouso, certifique-se de que a criptografia esteja habilitada para seuAWS CloudTrailtrilhas.
SC-28 (1)	Proteção de informações em repouso | Proteção criptográfica	efs-encrypted-check	Como dados confidenciais podem existir e, para ajudar a proteger os dados em repouso, garanta que a criptografia esteja habilitada para seu Amazon Elastic File System (EFS).
SC-28 (1)	Proteção de informações em repouso | Proteção criptográfica	elasticsearch-encrypted-at-rest	Como dados confidenciais podem existir e, para ajudar a proteger os dados em repouso, garanta que a criptografia esteja habilitada para sua AmazonOpenSearchServiço (OpenSearchDomínios de serviço ().
SC-28 (1)	Proteção de informações em repouso | Proteção criptográfica	volumes criptografados	Como dados confidenciais podem existir e, para ajudar a proteger os dados em repouso, garanta que a criptografia esteja habilitada para seus volumes do Amazon Elastic Block Store (Amazon EBS).
SC-28 (1)	Proteção de informações em repouso | Proteção criptográfica	opensearch-encrypted-at-rest	Como dados confidenciais podem existir e, para ajudar a proteger os dados em repouso, garanta que a criptografia esteja habilitada para sua AmazonOpenSearchDomínios de serviço.
SC-28 (1)	Proteção de informações em repouso | Proteção criptográfica	rds-storage-encrypted	Para ajudar a proteger os dados em repouso, garanta que a criptografia esteja habilitada para suas instâncias do Amazon Relational Database Service (Amazon RDS). Como dados confidenciais podem existir em repouso nas instâncias do Amazon RDS, habilite a criptografia em repouso para ajudar a proteger esses dados.
SC-28 (1)	Proteção de informações em repouso | Proteção criptográfica	redshift-cluster-configuration-check	Para proteger os dados em repouso, certifique-se de que a criptografia esteja habilitada para seus clusters do Amazon Redshift. Você também deve garantir que as configurações necessárias sejam implantadas nos clusters do Amazon Redshift. O registro de auditoria deve estar habilitado para fornecer informações sobre conexões e atividades do usuário no banco de dados. Essa regra exige que um valor seja definido paraclusterDbEncrypted(Config Default: TRUE) e LoggingEnabled (Config Default: TRUE). Os valores reais devem refletir as políticas da sua organização.
SC-28 (1)	Proteção de informações em repouso | Proteção criptográfica	redshift-cluster-kms-enabled	Para ajudar a proteger os dados em repouso, garanta a criptografia comAWSServiço de gerenciamento de chaves (AWSO KMS) está habilitado para seu cluster do Amazon Redshift. Como dados confidenciais podem existir em repouso nos clusters do Redshift, habilite a criptografia em repouso para ajudar a proteger esses dados.
SC-28 (1)	Proteção de informações em repouso | Proteção criptográfica	s3-bucket-server-side-encryption-ativado	Para ajudar a proteger os dados em repouso, garanta que a criptografia esteja habilitada para seus buckets do Amazon Simple Storage Service (Amazon S3). Como dados confidenciais podem existir em repouso nos buckets do Amazon S3, habilite a criptografia para ajudar a proteger esses dados.
SC-28 (1)	Proteção de informações em repouso | Proteção criptográfica	sagemaker-endpoint-configuration-kms-configurado por chave	Para ajudar a proteger os dados em repouso, garanta a criptografia comAWSServiço de gerenciamento de chaves (AWSO KMS) está habilitado para seuSageMakerponto final. Porque dados confidenciais podem existir em repouso noSageMakerendpoint, habilite a criptografia em repouso para ajudar a proteger esses dados.
SC-28 (1)	Proteção de informações em repouso | Proteção criptográfica	secretsmanager-using-cmk	Para ajudar a proteger os dados em repouso, garanta a criptografia comAWSServiço de gerenciamento de chaves (AWSO KMS) está habilitado paraAWSSegredos do Secrets Manager. Como dados confidenciais podem existir em repouso nos segredos do Secrets Manager, habilite a criptografia em repouso para ajudar a proteger esses dados.
SC-28 (3)	Proteção de informações em repouso | Chaves criptográficas	acm-certificate-expiration-check	Garanta que a integridade da rede esteja protegida, garantindo que os certificados X509 sejam emitidos porAWSACM. Esses certificados devem ser válidos e não expirados. Essa regra exige um valor paradaysToExpiration(AWSValor das melhores práticas básicas de segurança: 90). O valor real deve refletir as políticas da sua organização.
SC-28 (3)	Proteção de informações em repouso | Chaves criptográficas	cmk-backing-key-rotation-ativado	Ative a rotação de chaves para garantir que as chaves sejam giradas quando chegarem ao final do período criptográfico.
SC-28	Proteção de informações em repouso	codebuild-project-artifact-encryption	Para ajudar a proteger dados confidenciais em repouso, certifique-se de que a criptografia esteja habilitada para seuAWS CodeBuildartefatos.
SC-28	Proteção de informações em repouso	dynamodb-table-encrypted-kms	Certifique-se de que a criptografia esteja habilitada para suas tabelas do Amazon DynamoDB. Como dados confidenciais podem existir em repouso nessas tabelas, habilite a criptografia em repouso para ajudar a proteger esses dados. Por padrão, as tabelas do DynamoDB são criptografadas com umAWSchave mestra do cliente (CMK) de propriedade do cliente.
SC-28	Proteção de informações em repouso	ec2-ebs-encryption-by-default	Para ajudar a proteger os dados em repouso, certifique-se de que a criptografia esteja habilitada para seus volumes do Amazon Elastic Block Store (Amazon EBS). Como dados confidenciais podem existir em repouso nesses volumes, habilite a criptografia em repouso para ajudar a proteger esses dados.
SC-28	Proteção de informações em repouso	kinesis-stream-encrypted	Como dados confidenciais podem existir e, para ajudar a proteger os dados em repouso, garanta que a criptografia esteja habilitada para seus Amazon Kinesis Streams.
SC-28	Proteção de informações em repouso	rds-snapshot-encrypted	Certifique-se de que a criptografia esteja habilitada para seus snapshots do Amazon Relational Database Service (Amazon RDS). Como dados confidenciais podem existir em repouso, habilite a criptografia em repouso para ajudar a proteger esses dados.
SC-28	Proteção de informações em repouso	s3-default-encryption-kms	Certifique-se de que a criptografia esteja habilitada para seus buckets do Amazon Simple Storage Service (Amazon S3). Como dados confidenciais podem existir em repouso em um bucket do Amazon S3, habilite a criptografia em repouso para ajudar a proteger esses dados.
SC-28	Proteção de informações em repouso	sagemaker-notebook-instance-kms-configurado por chave	Para ajudar a proteger os dados em repouso, garanta a criptografia comAWSServiço de gerenciamento de chaves (AWSO KMS) está habilitado para seuSageMakercaderno. Porque dados confidenciais podem existir em repouso noSageMakernotebook, habilite a criptografia em repouso para ajudar a proteger esses dados.
SC-28	Proteção de informações em repouso	sns-encrypted-kms	Para ajudar a proteger os dados em repouso, certifique-se de que seus tópicos do Amazon Simple Notification Service (Amazon SNS) exijam criptografia usandoAWSServiço de gerenciamento de chaves (AWSKMS). Como dados confidenciais podem existir em repouso nas mensagens publicadas, habilite a criptografia em repouso para ajudar a proteger esses dados.
SC-28	Proteção de informações em repouso	api-gw-cache-enabled-e criptografado	Para ajudar a proteger os dados em repouso, garanta que a criptografia esteja ativada para o cache do estágio do API Gateway. Como dados confidenciais podem ser capturados pelo método da API, ative a criptografia em repouso para ajudar a proteger esses dados.
SC-28	Proteção de informações em repouso	cloud-trail-encryption-enabled	Como podem existir dados confidenciais e, para ajudar a proteger os dados em repouso, certifique-se de que a criptografia esteja habilitada para seuAWS CloudTrailtrilhas.
SC-28	Proteção de informações em repouso	efs-encrypted-check	Como dados confidenciais podem existir e, para ajudar a proteger os dados em repouso, garanta que a criptografia esteja habilitada para seu Amazon Elastic File System (EFS).
SC-28	Proteção de informações em repouso	elasticsearch-encrypted-at-rest	Como dados confidenciais podem existir e, para ajudar a proteger os dados em repouso, garanta que a criptografia esteja habilitada para sua AmazonOpenSearchServiço (OpenSearchDomínios de serviço ().
SC-28	Proteção de informações em repouso	volumes criptografados	Como dados confidenciais podem existir e, para ajudar a proteger os dados em repouso, garanta que a criptografia esteja habilitada para seus volumes do Amazon Elastic Block Store (Amazon EBS).
SC-28	Proteção de informações em repouso	opensearch-encrypted-at-rest	Como dados confidenciais podem existir e, para ajudar a proteger os dados em repouso, garanta que a criptografia esteja habilitada para sua AmazonOpenSearchDomínios de serviço.
SC-28	Proteção de informações em repouso	rds-storage-encrypted	Para ajudar a proteger os dados em repouso, garanta que a criptografia esteja habilitada para suas instâncias do Amazon Relational Database Service (Amazon RDS). Como dados confidenciais podem existir em repouso nas instâncias do Amazon RDS, habilite a criptografia em repouso para ajudar a proteger esses dados.
SC-28	Proteção de informações em repouso	redshift-cluster-configuration-check	Para proteger os dados em repouso, certifique-se de que a criptografia esteja habilitada para seus clusters do Amazon Redshift. Você também deve garantir que as configurações necessárias sejam implantadas nos clusters do Amazon Redshift. O registro de auditoria deve estar habilitado para fornecer informações sobre conexões e atividades do usuário no banco de dados. Essa regra exige que um valor seja definido paraclusterDbEncrypted(Config Default: TRUE) e LoggingEnabled (Config Default: TRUE). Os valores reais devem refletir as políticas da sua organização.
SC-28	Proteção de informações em repouso	redshift-cluster-kms-enabled	Para ajudar a proteger os dados em repouso, garanta a criptografia comAWSServiço de gerenciamento de chaves (AWSO KMS) está habilitado para seu cluster do Amazon Redshift. Como dados confidenciais podem existir em repouso nos clusters do Redshift, habilite a criptografia em repouso para ajudar a proteger esses dados.
SC-28	Proteção de informações em repouso	s3-bucket-server-side-encryption-ativado	Para ajudar a proteger os dados em repouso, garanta que a criptografia esteja habilitada para seus buckets do Amazon Simple Storage Service (Amazon S3). Como dados confidenciais podem existir em repouso nos buckets do Amazon S3, habilite a criptografia para ajudar a proteger esses dados.
SC-28	Proteção de informações em repouso	sagemaker-endpoint-configuration-kms-configurado por chave	Para ajudar a proteger os dados em repouso, garanta a criptografia comAWSServiço de gerenciamento de chaves (AWSO KMS) está habilitado para seuSageMakerponto final. Porque dados confidenciais podem existir em repouso noSageMakerendpoint, habilite a criptografia em repouso para ajudar a proteger esses dados.
SC-28	Proteção de informações em repouso	secretsmanager-using-cmk	Para ajudar a proteger os dados em repouso, garanta a criptografia comAWSServiço de gerenciamento de chaves (AWSO KMS) está habilitado paraAWSSegredos do Secrets Manager. Como dados confidenciais podem existir em repouso nos segredos do Secrets Manager, habilite a criptografia em repouso para ajudar a proteger esses dados.
SC-36 (2)	Processamento e armazenamento distribuídos | Sincronização	s3-bucket-replication-enabled	A replicação entre regiões (CRR) do Amazon Simple Storage Service (Amazon S3) suporta a manutenção de capacidade e disponibilidade adequadas. A CRR permite a cópia automática e assíncrona de objetos em buckets do Amazon S3 para ajudar a garantir que a disponibilidade dos dados seja mantida.
SC-36	Processamento e armazenamento distribuídos	elb-cross-zone-load-balanceamento ativado	Habilite o balanceamento de carga entre zonas para seus Elastic Load Balancers (ELBs) para ajudar a manter a capacidade e a disponibilidade adequadas. O balanceamento de carga entre zonas reduz a necessidade de manter números equivalentes de instâncias em cada zona de disponibilidade ativada. Também melhora a capacidade do seu aplicativo de lidar com a perda de uma ou mais instâncias.
SC-36	Processamento e armazenamento distribuídos	dynamodb-autoscaling-enabled	O escalonamento automático do Amazon DynamoDB usa oAWSServiço de escalonamento automático de aplicativos para ajustar a capacidade de transferência provisionada que responde automaticamente aos padrões reais de tráfego. Isso permite que uma tabela ou um índice secundário global aumente sua capacidade de leitura/gravação provisionada para lidar com aumentos repentinos no tráfego, sem limitação.
SC-36	Processamento e armazenamento distribuídos	rds-multi-az-support	O suporte Multi-AZ no Amazon Relational Database Service (Amazon RDS) oferece maior disponibilidade e durabilidade para instâncias de banco de dados. Quando você provisiona uma instância de banco de dados Multi-AZ, o Amazon RDS cria automaticamente uma instância de banco de dados principal e replica os dados de forma síncrona para uma instância em espera em uma zona de disponibilidade diferente. Cada zona de disponibilidade funciona em sua própria infraestrutura fisicamente distinta e independente e foi projetada para ser altamente confiável. No caso de uma falha na infraestrutura, o Amazon RDS executa um failover automático no modo de espera para que você possa retomar as operações do banco de dados assim que o failover for concluído.
SC-36	Processamento e armazenamento distribuídos	vpc-vpn-2-tunnels-up	Túneis VPN redundantes de site a site podem ser implementados para atingir os requisitos de resiliência. Ele usa dois túneis para ajudar a garantir a conectividade caso uma das conexões VPN site a site fique indisponível. Para se proteger contra a perda de conectividade, caso o gateway do cliente fique indisponível, você pode configurar uma segunda conexão VPN site a site com a Amazon Virtual Private Cloud (Amazon VPC) e o gateway privado virtual usando um segundo gateway do cliente.
SI-2 (2)	Correção de falhas | Status automatizado de remediação de falhas	ec2-managedinstance-patch-compliance-status-verifique	Ative essa regra para ajudar na identificação e documentação das vulnerabilidades do Amazon Elastic Compute Cloud (Amazon EC2). A regra verifica se a instância do Amazon EC2 está em conformidade com o patch emAWSGerenciador de sistemas conforme exigido pelas políticas e procedimentos da sua organização.
SI-2 (2)	Correção de falhas | Status automatizado de remediação de falhas	elastic-beanstalk-managed-updates-ativado	A ativação de atualizações gerenciadas de plataforma para um ambiente do Amazon Elastic Beanstalk garante que as últimas correções, atualizações e recursos de plataforma disponíveis para o ambiente sejam instalados. Manter-se atualizado com a instalação de patches é a melhor prática para proteger os sistemas.
SI-2 (2)	Correção de falhas | Status automatizado de remediação de falhas	redshift-cluster-maintenancesettings-check	Essa regra garante que os clusters do Amazon Redshift tenham as configurações preferenciais para sua organização. Especificamente, que eles têm janelas de manutenção preferidas e períodos automatizados de retenção de instantâneos para o banco de dados. Essa regra exige que você defina oallowVersionUpgrade. O padrão é verdadeiro. Também permite que você defina opcionalmente opreferredMaintenanceWindow(o padrão é sáb: 16:00 -sáb: 16:30), e oautomatedSnapshotRetentionPeríodo (o padrão é 1). Os valores reais devem refletir as políticas da sua organização.
SI-2 (3)	Correção de falhas | Hora de corrigir falhas e parâmetros de referência para ações corretivas	ec2-instance-managed-by-systems-gerente	É possível fazer um inventário das plataformas de software e aplicativos dentro da organização gerenciando instâncias do Amazon Elastic Compute Cloud (Amazon EC2) comAWSGerente de sistemas. UsarAWSSystems Manager para fornecer configurações detalhadas do sistema, níveis de patch do sistema operacional, nome e tipo de serviços, instalações de software, nome do aplicativo, editor e versão e outros detalhes sobre seu ambiente.
SI-2 (3)	Correção de falhas | Hora de corrigir falhas e parâmetros de referência para ações corretivas	ec2-managedinstance-association-compliance-status-verifique	UsarAWSAssociações de gerentes de sistemas para ajudar no inventário de plataformas e aplicativos de software em uma organização.AWS O Systems Manager atribui um estado de configuração às suas instâncias gerenciadas e permite que você defina linhas de base dos níveis de patch do sistema operacional, instalações de software, configurações de aplicativos e outros detalhes sobre seu ambiente.
SI-2 (3)	Correção de falhas | Hora de corrigir falhas e parâmetros de referência para ações corretivas	ec2-managedinstance-patch-compliance-status-verifique	Ative essa regra para ajudar na identificação e documentação das vulnerabilidades do Amazon Elastic Compute Cloud (Amazon EC2). A regra verifica se a instância do Amazon EC2 está em conformidade com o patch emAWSGerenciador de sistemas conforme exigido pelas políticas e procedimentos da sua organização.
SI-2 (4)	Correção de falhas | Ferramentas automatizadas de gerenciamento de patches	ec2-managedinstance-patch-compliance-status-verifique	Ative essa regra para ajudar na identificação e documentação das vulnerabilidades do Amazon Elastic Compute Cloud (Amazon EC2). A regra verifica se a instância do Amazon EC2 está em conformidade com o patch emAWSGerenciador de sistemas conforme exigido pelas políticas e procedimentos da sua organização.
SI-2 (4)	Correção de falhas | Ferramentas automatizadas de gerenciamento de patches	elastic-beanstalk-managed-updates-ativado	A ativação de atualizações gerenciadas de plataforma para um ambiente do Amazon Elastic Beanstalk garante que as últimas correções, atualizações e recursos de plataforma disponíveis para o ambiente sejam instalados. Manter-se atualizado com a instalação de patches é a melhor prática para proteger os sistemas.
SI-2 (4)	Correção de falhas | Ferramentas automatizadas de gerenciamento de patches	redshift-cluster-maintenancesettings-check	Essa regra garante que os clusters do Amazon Redshift tenham as configurações preferenciais para sua organização. Especificamente, que eles têm janelas de manutenção preferidas e períodos automatizados de retenção de instantâneos para o banco de dados. Essa regra exige que você defina oallowVersionUpgrade. O padrão é verdadeiro. Também permite que você defina opcionalmente opreferredMaintenanceWindow(o padrão é sáb: 16:00 -sáb: 16:30), e oautomatedSnapshotRetentionPeríodo (o padrão é 1). Os valores reais devem refletir as políticas da sua organização.
SI-2 (5)	Correção de falhas | Atualizações automáticas de software e firmware	ec2-managedinstance-patch-compliance-status-verifique	Ative essa regra para ajudar na identificação e documentação das vulnerabilidades do Amazon Elastic Compute Cloud (Amazon EC2). A regra verifica se a instância do Amazon EC2 está em conformidade com o patch emAWSGerenciador de sistemas conforme exigido pelas políticas e procedimentos da sua organização.
SI-2 (5)	Correção de falhas | Atualizações automáticas de software e firmware	elastic-beanstalk-managed-updates-ativado	A ativação de atualizações gerenciadas de plataforma para um ambiente do Amazon Elastic Beanstalk garante que as últimas correções, atualizações e recursos de plataforma disponíveis para o ambiente sejam instalados. Manter-se atualizado com a instalação de patches é a melhor prática para proteger os sistemas.
SI-2 (5)	Correção de falhas | Atualizações automáticas de software e firmware	redshift-cluster-maintenancesettings-check	Essa regra garante que os clusters do Amazon Redshift tenham as configurações preferenciais para sua organização. Especificamente, que eles têm janelas de manutenção preferidas e períodos automatizados de retenção de instantâneos para o banco de dados. Essa regra exige que você defina oallowVersionUpgrade. O padrão é verdadeiro. Também permite que você defina opcionalmente opreferredMaintenanceWindow(o padrão é sáb: 16:00 -sáb: 16:30), e oautomatedSnapshotRetentionPeríodo (o padrão é 1). Os valores reais devem refletir as políticas da sua organização.
SI-2	Remediação de falhas	lambda-dlq-check	Ative essa regra para ajudar a notificar a equipe apropriada por meio do Amazon Simple Queue Service (Amazon SQS) ou do Amazon Simple Notification Service (Amazon SNS) quando uma função falhar.
SI-2	Remediação de falhas	rds-enhanced-monitoring-enabled	Habilite o Amazon Relational Database Service (Amazon RDS) para ajudar a monitorar a disponibilidade do Amazon RDS. Isso fornece visibilidade detalhada da integridade de suas instâncias de banco de dados do Amazon RDS. Quando o armazenamento do Amazon RDS usa mais de um dispositivo físico subjacente, o Enhanced Monitoring coleta os dados de cada dispositivo. Além disso, quando a instância do banco de dados do Amazon RDS está sendo executada em uma implantação Multi-AZ, os dados de cada dispositivo no host secundário são coletados e as métricas do host secundário.
SI-2	Remediação de falhas	autoscaling-group-elb-healthcheck-obrigatório	As verificações de integridade do Elastic Load Balancer (ELB) para grupos de Auto Scaling do Amazon Elastic Compute Cloud (Amazon EC2) oferecem suporte à manutenção de capacidade e disponibilidade adequadas. O balanceador de carga envia periodicamente pings, tenta conexões ou envia solicitações para testar a integridade das instâncias do Amazon EC2 em um grupo de escalonamento automático. Se uma instância não estiver reportando, o tráfego será enviado para uma nova instância do Amazon EC2.
SI-2	Remediação de falhas	beanstalk-enhanced-health-reporting-ativado	AWSOs relatórios de saúde aprimorados do Elastic Beanstalk permitem uma resposta mais rápida às mudanças na integridade da infraestrutura subjacente. Essas mudanças podem resultar na falta de disponibilidade do aplicativo. Os relatórios de saúde aprimorados do Elastic Beanstalk fornecem um descritor de status para avaliar a gravidade dos problemas identificados e identificar possíveis causas a serem investigadas.
SI-2	Remediação de falhas	cloudwatch-alarm-action-check	AmazôniaCloudWatchalertam quando uma métrica ultrapassa o limite de um determinado número de períodos de avaliação. O alarme realiza uma ou mais ações com base no valor da métrica ou na expressão relativa a um limite em alguns períodos. Essa regra exige um valor paraalarmActionRequired(Padrão de configuração: verdadeiro),insufficientDataActionObrigatório (padrão de configuração: verdadeiro),okActionRequired(Padrão de configuração: falso). O valor real deve refletir as ações de alarme do seu ambiente.
SI-2	Remediação de falhas	dynamodb-throughput-limit-check	Ative essa regra para garantir que a capacidade de taxa de transferência provisionada seja verificada em suas tabelas do Amazon DynamoDB. Essa é a quantidade de atividade de leitura/gravação que cada tabela pode suportar. O DynamoDB usa essas informações para reservar recursos suficientes do sistema para atender aos seus requisitos de throughput. Essa regra gera um alerta quando a taxa de transferência se aproxima do limite máximo da conta de um cliente. Essa regra permite que você defina opcionalmente AccountRCUThresholdPercentage(Configuração padrão: 80) e AccountWCUThresholdPercentage(Padrão de configuração: 80) parâmetros. Os valores reais devem refletir as políticas da sua organização.
SI-2	Remediação de falhas	ec2-managedinstance-patch-compliance-status-verifique	Ative essa regra para ajudar na identificação e documentação das vulnerabilidades do Amazon Elastic Compute Cloud (Amazon EC2). A regra verifica se a instância do Amazon EC2 está em conformidade com o patch emAWSGerenciador de sistemas conforme exigido pelas políticas e procedimentos da sua organização.
SI-2	Remediação de falhas	elastic-beanstalk-managed-updates-ativado	A ativação de atualizações gerenciadas de plataforma para um ambiente do Amazon Elastic Beanstalk garante que as últimas correções, atualizações e recursos de plataforma disponíveis para o ambiente sejam instalados. Manter-se atualizado com a instalação de patches é a melhor prática para proteger os sistemas.
SI-2	Remediação de falhas	redshift-cluster-maintenancesettings-check	Essa regra garante que os clusters do Amazon Redshift tenham as configurações preferenciais para sua organização. Especificamente, que eles têm janelas de manutenção preferidas e períodos automatizados de retenção de instantâneos para o banco de dados. Essa regra exige que você defina oallowVersionUpgrade. O padrão é verdadeiro. Também permite que você defina opcionalmente opreferredMaintenanceWindow(o padrão é sáb: 16:00 -sáb: 16:30), e oautomatedSnapshotRetentionPeríodo (o padrão é 1). Os valores reais devem refletir as políticas da sua organização.
SI-3 (8)	Proteção contra códigos maliciosos | Detecte comandos não autorizados	elasticsearch-logs-to-cloudwatch	Garanta a AmazonOpenSearchOs domínios de serviço têm registros de erros habilitados e transmitidos para a AmazonCloudWatchRegistros para retenção e resposta. Os registros de erros do domínio podem ajudar nas auditorias de segurança e acesso e podem ajudar a diagnosticar problemas de disponibilidade.
SI-3 (8)	Proteção contra códigos maliciosos | Detecte comandos não autorizados	multi-region-cloudtrail-enabled	AWS CloudTrailregistrosAWSAções do Management Console e chamadas de API. Você pode identificar quais usuários e contas ligaramAWS, o endereço IP de origem de onde as chamadas foram feitas e quando as chamadas ocorreram. CloudTrailentregará arquivos de log de todosAWSRegiões para seu bucket do S3 se MULTI_REGION_CLOUD_TRAIL_ENABLED estiver ativado. Além disso, quandoAWSlança uma nova região,CloudTrailcriará a mesma trilha na nova região. Como resultado, você receberá arquivos de log contendo a atividade da API para a nova região sem realizar nenhuma ação.
SI-3 (8)	Proteção contra códigos maliciosos | Detecte comandos não autorizados	opensearch-logs-to-cloudwatch	Garanta a AmazonOpenSearchOs domínios de serviço têm registros de erros habilitados e transmitidos para a AmazonCloudWatchRegistros para retenção e resposta. OpenSearchOs registros de erros do serviço podem ajudar nas auditorias de segurança e acesso e podem ajudar a diagnosticar problemas de disponibilidade.
SI-3 (8)	Proteção contra códigos maliciosos | Detecte comandos não autorizados	s3-event-notifications-enabled	As notificações de eventos do Amazon S3 podem alertar a equipe relevante sobre qualquer modificação acidental ou intencional em seus objetos de bucket. Exemplos de alertas incluem: criação de novos objetos, remoção de objetos, restauração de objetos, objetos perdidos e replicados.
SI-3 (8)	Proteção contra códigos maliciosos | Detecte comandos não autorizados	cloud-trail-cloud-watch-registros habilitados	Use a AmazonCloudWatchpara coletar e gerenciar centralmente a atividade de eventos de registro. Inclusão deAWS CloudTrailos dados fornecem detalhes da atividade de chamadas de API em seuAWSconta.
SI-3 (8)	Proteção contra códigos maliciosos | Detecte comandos não autorizados	habilitado para cloudtrail	AWS CloudTrailpode ajudar na não repúdio gravandoAWSAções do Management Console e chamadas de API. Você pode identificar os usuários eAWScontas que chamaram umAWSserviço, o endereço IP de origem onde as chamadas foram geradas e os horários das chamadas. Os detalhes dos dados capturados são vistos emAWS CloudTrailGravar conteúdo.
SI-3 (8)	Proteção contra códigos maliciosos | Detecte comandos não autorizados	cloudtrail-s3 - eventos de dados habilitados	A coleta de eventos de dados do Simple Storage Service (Amazon S3) ajuda a detectar qualquer atividade anômala. Os detalhes incluemAWSinformações da conta que acessaram um bucket do Amazon S3, endereço IP e hora do evento.
SI-3 (8)	Proteção contra códigos maliciosos | Detecte comandos não autorizados	guardduty-enabled-centralized	AmazôniaGuardDutypode ajudar a monitorar e detectar possíveis eventos de segurança cibernética usando feeds de inteligência de ameaças. Isso inclui listas de IPs maliciosos e aprendizado de máquina para identificar atividades inesperadas, não autorizadas e maliciosas em seuAWSAmbiente em nuvem.
SI-3 (8)	Proteção contra códigos maliciosos | Detecte comandos não autorizados	rds-logging-enabled	Para ajudar com o registro e o monitoramento em seu ambiente, certifique-se de que o registro do Amazon Relational Database Service (Amazon RDS) esteja ativado. Com o registro do Amazon RDS, você pode capturar eventos como conexões, desconexões, consultas ou tabelas consultadas.
SI-3 (8)	Proteção contra códigos maliciosos | Detecte comandos não autorizados	redshift-cluster-configuration-check	Para proteger os dados em repouso, certifique-se de que a criptografia esteja habilitada para seus clusters do Amazon Redshift. Você também deve garantir que as configurações necessárias sejam implantadas nos clusters do Amazon Redshift. O registro de auditoria deve estar habilitado para fornecer informações sobre conexões e atividades do usuário no banco de dados. Essa regra exige que um valor seja definido paraclusterDbEncrypted(Config Default: TRUE) e LoggingEnabled (Config Default: TRUE). Os valores reais devem refletir as políticas da sua organização.
SI-3 (8)	Proteção contra códigos maliciosos | Detecte comandos não autorizados	s3-bucket-logging-enabled	O registro de acesso ao servidor do Amazon Simple Storage Service (Amazon S3) fornece um método para monitorar a rede em busca de possíveis eventos de segurança cibernética. Os eventos são monitorados por meio da captura de registros detalhados das solicitações feitas a um bucket do Amazon S3. Cada registro de registro de acesso fornece detalhes sobre uma única solicitação de acesso. Os detalhes incluem o solicitante, nome do bucket, hora da solicitação, ação da solicitação, status da resposta e um código de erro, se relevante.
SI-4 (1)	Monitoramento do sistema | Sistema de detecção de intrusões em todo o sistema	guardduty-enabled-centralized	AmazôniaGuardDutypode ajudar a monitorar e detectar possíveis eventos de segurança cibernética usando feeds de inteligência de ameaças. Isso inclui listas de IPs maliciosos e aprendizado de máquina para identificar atividades inesperadas, não autorizadas e maliciosas em seuAWSAmbiente em nuvem.
SI-4 (2)	Monitoramento do sistema | Ferramentas e mecanismos automatizados para análise em tempo real	guardduty-enabled-centralized	AmazôniaGuardDutypode ajudar a monitorar e detectar possíveis eventos de segurança cibernética usando feeds de inteligência de ameaças. Isso inclui listas de IPs maliciosos e aprendizado de máquina para identificar atividades inesperadas, não autorizadas e maliciosas em seuAWSAmbiente em nuvem.
SI-4 (4)	Monitoramento do sistema | Tráfego de comunicações de entrada e saída	s3-event-notifications-enabled	As notificações de eventos do Amazon S3 podem alertar a equipe relevante sobre qualquer modificação acidental ou intencional em seus objetos de bucket. Exemplos de alertas incluem: criação de novos objetos, remoção de objetos, restauração de objetos, objetos perdidos e replicados.
SI-4 (4)	Monitoramento do sistema | Tráfego de comunicações de entrada e saída	guardduty-enabled-centralized	AmazôniaGuardDutypode ajudar a monitorar e detectar possíveis eventos de segurança cibernética usando feeds de inteligência de ameaças. Isso inclui listas de IPs maliciosos e aprendizado de máquina para identificar atividades inesperadas, não autorizadas e maliciosas em seuAWSAmbiente em nuvem.
SI-4 (5)	Monitoramento do sistema | Alertas gerados pelo sistema	cloudwatch-alarm-action-check	AmazôniaCloudWatchalertam quando uma métrica ultrapassa o limite de um determinado número de períodos de avaliação. O alarme realiza uma ou mais ações com base no valor da métrica ou na expressão relativa a um limite em alguns períodos. Essa regra exige um valor paraalarmActionRequired(Padrão de configuração: verdadeiro),insufficientDataActionObrigatório (padrão de configuração: verdadeiro),okActionRequired(Padrão de configuração: falso). O valor real deve refletir as ações de alarme do seu ambiente.
SI-4 (5)	Monitoramento do sistema | Alertas gerados pelo sistema	cloud-trail-cloud-watch-registros habilitados	Use a AmazonCloudWatchpara coletar e gerenciar centralmente a atividade de eventos de registro. Inclusão deAWS CloudTrailos dados fornecem detalhes da atividade de chamadas de API em seuAWSconta.
SI-4 (5)	Monitoramento do sistema | Alertas gerados pelo sistema	guardduty-enabled-centralized	AmazôniaGuardDutypode ajudar a monitorar e detectar possíveis eventos de segurança cibernética usando feeds de inteligência de ameaças. Isso inclui listas de IPs maliciosos e aprendizado de máquina para identificar atividades inesperadas, não autorizadas e maliciosas em seuAWSAmbiente em nuvem.
SI-4 (12)	Monitoramento do sistema | Alertas automatizados gerados pela organização	cloudwatch-alarm-action-check	AmazôniaCloudWatchalertam quando uma métrica ultrapassa o limite de um determinado número de períodos de avaliação. O alarme realiza uma ou mais ações com base no valor da métrica ou na expressão relativa a um limite em alguns períodos. Essa regra exige um valor paraalarmActionRequired(Padrão de configuração: verdadeiro),insufficientDataActionObrigatório (padrão de configuração: verdadeiro),okActionRequired(Padrão de configuração: falso). O valor real deve refletir as ações de alarme do seu ambiente.
SI-4 (13)	Monitoramento do sistema | Analise padrões de tráfego e eventos	guardduty-enabled-centralized	AmazôniaGuardDutypode ajudar a monitorar e detectar possíveis eventos de segurança cibernética usando feeds de inteligência de ameaças. Isso inclui listas de IPs maliciosos e aprendizado de máquina para identificar atividades inesperadas, não autorizadas e maliciosas em seuAWSAmbiente em nuvem.
SI-4 (20)	Monitoramento do sistema | Usuários privilegiados	elasticsearch-logs-to-cloudwatch	Garanta a AmazonOpenSearchOs domínios de serviço têm registros de erros habilitados e transmitidos para a AmazonCloudWatchRegistros para retenção e resposta. Os registros de erros do domínio podem ajudar nas auditorias de segurança e acesso e podem ajudar a diagnosticar problemas de disponibilidade.
SI-4 (20)	Monitoramento do sistema | Usuários privilegiados	multi-region-cloudtrail-enabled	AWS CloudTrailregistrosAWSAções do Management Console e chamadas de API. Você pode identificar quais usuários e contas ligaramAWS, o endereço IP de origem de onde as chamadas foram feitas e quando as chamadas ocorreram. CloudTrailentregará arquivos de log de todosAWSRegiões para seu bucket do S3 se MULTI_REGION_CLOUD_TRAIL_ENABLED estiver ativado. Além disso, quandoAWSlança uma nova região,CloudTrailcriará a mesma trilha na nova região. Como resultado, você receberá arquivos de log contendo a atividade da API para a nova região sem realizar nenhuma ação.
SI-4 (20)	Monitoramento do sistema | Usuários privilegiados	opensearch-logs-to-cloudwatch	Garanta a AmazonOpenSearchOs domínios de serviço têm registros de erros habilitados e transmitidos para a AmazonCloudWatchRegistros para retenção e resposta. OpenSearchOs registros de erros do serviço podem ajudar nas auditorias de segurança e acesso e podem ajudar a diagnosticar problemas de disponibilidade.
SI-4 (20)	Monitoramento do sistema | Usuários privilegiados	cloud-trail-cloud-watch-registros habilitados	Use a AmazonCloudWatchpara coletar e gerenciar centralmente a atividade de eventos de registro. Inclusão deAWS CloudTrailos dados fornecem detalhes da atividade de chamadas de API em seuAWSconta.
SI-4 (20)	Monitoramento do sistema | Usuários privilegiados	habilitado para cloudtrail	AWS CloudTrailpode ajudar na não repúdio gravandoAWSAções do Management Console e chamadas de API. Você pode identificar os usuários eAWScontas que chamaram umAWSserviço, o endereço IP de origem onde as chamadas foram geradas e os horários das chamadas. Os detalhes dos dados capturados são vistos emAWS CloudTrailGravar conteúdo.
SI-4 (20)	Monitoramento do sistema | Usuários privilegiados	cloudtrail-s3 - eventos de dados habilitados	A coleta de eventos de dados do Simple Storage Service (Amazon S3) ajuda a detectar qualquer atividade anômala. Os detalhes incluemAWSinformações da conta que acessaram um bucket do Amazon S3, endereço IP e hora do evento.
SI-4 (20)	Monitoramento do sistema | Usuários privilegiados	rds-logging-enabled	Para ajudar com o registro e o monitoramento em seu ambiente, certifique-se de que o registro do Amazon Relational Database Service (Amazon RDS) esteja ativado. Com o registro do Amazon RDS, você pode capturar eventos como conexões, desconexões, consultas ou tabelas consultadas.
SI-4 (20)	Monitoramento do sistema | Usuários privilegiados	redshift-cluster-configuration-check	Para proteger os dados em repouso, certifique-se de que a criptografia esteja habilitada para seus clusters do Amazon Redshift. Você também deve garantir que as configurações necessárias sejam implantadas nos clusters do Amazon Redshift. O registro de auditoria deve estar habilitado para fornecer informações sobre conexões e atividades do usuário no banco de dados. Essa regra exige que um valor seja definido paraclusterDbEncrypted(Config Default: TRUE) e LoggingEnabled (Config Default: TRUE). Os valores reais devem refletir as políticas da sua organização.
SI-4 (20)	Monitoramento do sistema | Usuários privilegiados	s3-bucket-logging-enabled	O registro de acesso ao servidor do Amazon Simple Storage Service (Amazon S3) fornece um método para monitorar a rede em busca de possíveis eventos de segurança cibernética. Os eventos são monitorados por meio da captura de registros detalhados das solicitações feitas a um bucket do Amazon S3. Cada registro de registro de acesso fornece detalhes sobre uma única solicitação de acesso. Os detalhes incluem o solicitante, nome do bucket, hora da solicitação, ação da solicitação, status da resposta e um código de erro, se relevante.
SI-4 (22)	Monitoramento do sistema | Serviços de rede não autorizados	guardduty-enabled-centralized	AmazôniaGuardDutypode ajudar a monitorar e detectar possíveis eventos de segurança cibernética usando feeds de inteligência de ameaças. Isso inclui listas de IPs maliciosos e aprendizado de máquina para identificar atividades inesperadas, não autorizadas e maliciosas em seuAWSAmbiente em nuvem.
SI-4 (25)	Monitoramento do sistema | Otimize a análise de tráfego de rede	guardduty-enabled-centralized	AmazôniaGuardDutypode ajudar a monitorar e detectar possíveis eventos de segurança cibernética usando feeds de inteligência de ameaças. Isso inclui listas de IPs maliciosos e aprendizado de máquina para identificar atividades inesperadas, não autorizadas e maliciosas em seuAWSAmbiente em nuvem.
SI-4	Monitoramento do sistema	s3-event-notifications-enabled	As notificações de eventos do Amazon S3 podem alertar a equipe relevante sobre qualquer modificação acidental ou intencional em seus objetos de bucket. Exemplos de alertas incluem: criação de novos objetos, remoção de objetos, restauração de objetos, objetos perdidos e replicados.
SI-4	Monitoramento do sistema	cloud-trail-log-file-validação ativada	UtilizeAWS CloudTrailvalidação do arquivo de log para verificar a integridade doCloudTrailtroncos. A validação do arquivo de log ajuda a determinar se um arquivo de log foi modificado, excluído ou inalterado apósCloudTrailentregou. Esse recurso é criado usando algoritmos padrão do setor: SHA-256 para hashing e SHA-256 com RSA para assinaturas digitais. Desse modo, é computacionalmente impraticável modificar, excluir ou forjar arquivos de log CloudTrail sem detectar tais ações.
SI-4	Monitoramento do sistema	guardduty-enabled-centralized	AmazôniaGuardDutypode ajudar a monitorar e detectar possíveis eventos de segurança cibernética usando feeds de inteligência de ameaças. Isso inclui listas de IPs maliciosos e aprendizado de máquina para identificar atividades inesperadas, não autorizadas e maliciosas em seuAWSAmbiente em nuvem.
SI-7 (1)	Integridade de software, firmware e informações | Verificações de integridade	cloud-trail-log-file-validação ativada	UtilizeAWS CloudTrailvalidação do arquivo de log para verificar a integridade doCloudTrailtroncos. A validação do arquivo de log ajuda a determinar se um arquivo de log foi modificado, excluído ou inalterado apósCloudTrailentregou. Esse recurso é criado usando algoritmos padrão do setor: SHA-256 para hashing e SHA-256 com RSA para assinaturas digitais. Desse modo, é computacionalmente impraticável modificar, excluir ou forjar arquivos de log CloudTrail sem detectar tais ações.
SI-7 (3)	Integridade de software, firmware e informações | Ferramentas de integridade gerenciadas centralmente	cloud-trail-log-file-validação ativada	UtilizeAWS CloudTrailvalidação do arquivo de log para verificar a integridade doCloudTrailtroncos. A validação do arquivo de log ajuda a determinar se um arquivo de log foi modificado, excluído ou inalterado apósCloudTrailentregou. Esse recurso é criado usando algoritmos padrão do setor: SHA-256 para hashing e SHA-256 com RSA para assinaturas digitais. Desse modo, é computacionalmente impraticável modificar, excluir ou forjar arquivos de log CloudTrail sem detectar tais ações.
SI-7 (6)	Integridade de software, firmware e informações | Proteção criptográfica	codebuild-project-artifact-encryption	Para ajudar a proteger dados confidenciais em repouso, certifique-se de que a criptografia esteja habilitada para seuAWS CodeBuildartefatos.
SI-7 (6)	Integridade de software, firmware e informações | Proteção criptográfica	dynamodb-table-encrypted-kms	Certifique-se de que a criptografia esteja habilitada para suas tabelas do Amazon DynamoDB. Como dados confidenciais podem existir em repouso nessas tabelas, habilite a criptografia em repouso para ajudar a proteger esses dados. Por padrão, as tabelas do DynamoDB são criptografadas com umAWSchave mestra do cliente (CMK) de propriedade do cliente.
SI-7 (6)	Integridade de software, firmware e informações | Proteção criptográfica	ec2-ebs-encryption-by-default	Para ajudar a proteger os dados em repouso, certifique-se de que a criptografia esteja habilitada para seus volumes do Amazon Elastic Block Store (Amazon EBS). Como dados confidenciais podem existir em repouso nesses volumes, habilite a criptografia em repouso para ajudar a proteger esses dados.
SI-7 (6)	Integridade de software, firmware e informações | Proteção criptográfica	elbv2-acm-certificate-required	Como dados confidenciais podem existir e, para ajudar a proteger os dados em trânsito, garanta que a criptografia esteja habilitada para seu Elastic Load Balancing. UsarAWSGerenciador de certificados para gerenciar, provisionar e implantar certificados SSL/TLS públicos e privados comAWSserviços e recursos internos.
SI-7 (6)	Integridade de software, firmware e informações | Proteção criptográfica	elb-tls-https-listeners-somente	Certifique-se de que seus Elastic Load Balancers (ELBs) estejam configurados com ouvintes SSL ou HTTPS. Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados.
SI-7 (6)	Integridade de software, firmware e informações | Proteção criptográfica	kinesis-stream-encrypted	Como dados confidenciais podem existir e, para ajudar a proteger os dados em repouso, garanta que a criptografia esteja habilitada para seus Amazon Kinesis Streams.
SI-7 (6)	Integridade de software, firmware e informações | Proteção criptográfica	opensearch-https-required	Como dados confidenciais podem existir e, para ajudar a proteger os dados em trânsito, certifique-se de que o HTTPS esteja ativado para conexões com sua AmazonOpenSearchDomínios de serviço.
SI-7 (6)	Integridade de software, firmware e informações | Proteção criptográfica	rds-snapshot-encrypted	Certifique-se de que a criptografia esteja habilitada para seus snapshots do Amazon Relational Database Service (Amazon RDS). Como dados confidenciais podem existir em repouso, habilite a criptografia em repouso para ajudar a proteger esses dados.
SI-7 (6)	Integridade de software, firmware e informações | Proteção criptográfica	s3-default-encryption-kms	Certifique-se de que a criptografia esteja habilitada para seus buckets do Amazon Simple Storage Service (Amazon S3). Como dados confidenciais podem existir em repouso em um bucket do Amazon S3, habilite a criptografia em repouso para ajudar a proteger esses dados.
SI-7 (6)	Integridade de software, firmware e informações | Proteção criptográfica	sagemaker-notebook-instance-kms-configurado por chave	Para ajudar a proteger os dados em repouso, garanta a criptografia comAWSServiço de gerenciamento de chaves (AWSO KMS) está habilitado para seuSageMakercaderno. Porque dados confidenciais podem existir em repouso noSageMakernotebook, habilite a criptografia em repouso para ajudar a proteger esses dados.
SI-7 (6)	Integridade de software, firmware e informações | Proteção criptográfica	sns-encrypted-kms	Para ajudar a proteger os dados em repouso, certifique-se de que seus tópicos do Amazon Simple Notification Service (Amazon SNS) exijam criptografia usandoAWSServiço de gerenciamento de chaves (AWSKMS). Como dados confidenciais podem existir em repouso nas mensagens publicadas, habilite a criptografia em repouso para ajudar a proteger esses dados.
SI-7 (6)	Integridade de software, firmware e informações | Proteção criptográfica	alb-http-to-https-verificação de redirecionamento	Para ajudar a proteger os dados em trânsito, certifique-se de que seu Application Load Balancer redirecione automaticamente solicitações HTTP não criptografadas para HTTPS. Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados.
SI-7 (6)	Integridade de software, firmware e informações | Proteção criptográfica	api-gw-cache-enabled-e criptografado	Para ajudar a proteger os dados em repouso, garanta que a criptografia esteja ativada para o cache do estágio do API Gateway. Como dados confidenciais podem ser capturados pelo método da API, ative a criptografia em repouso para ajudar a proteger esses dados.
SI-7 (6)	Integridade de software, firmware e informações | Proteção criptográfica	api-gw-ssl-enabled	Certifique-se de que os estágios da API REST do Amazon API Gateway estejam configurados com certificados SSL para permitir que os sistemas de back-end autentiquem que as solicitações são originadas do API Gateway.
SI-7 (6)	Integridade de software, firmware e informações | Proteção criptográfica	cloud-trail-encryption-enabled	Como podem existir dados confidenciais e, para ajudar a proteger os dados em repouso, certifique-se de que a criptografia esteja habilitada para seuAWS CloudTrailtrilhas.
SI-7 (6)	Integridade de software, firmware e informações | Proteção criptográfica	efs-encrypted-check	Como dados confidenciais podem existir e, para ajudar a proteger os dados em repouso, garanta que a criptografia esteja habilitada para seu Amazon Elastic File System (EFS).
SI-7 (6)	Integridade de software, firmware e informações | Proteção criptográfica	elasticsearch-encrypted-at-rest	Como dados confidenciais podem existir e, para ajudar a proteger os dados em repouso, garanta que a criptografia esteja habilitada para sua AmazonOpenSearchServiço (OpenSearchDomínios de serviço ().
SI-7 (6)	Integridade de software, firmware e informações | Proteção criptográfica	elb-acm-certificate-required	Como dados confidenciais podem existir e, para ajudar a proteger os dados em trânsito, garanta que a criptografia esteja habilitada para seu Elastic Load Balancing. UsarAWSGerenciador de certificados para gerenciar, provisionar e implantar certificados SSL/TLS públicos e privados comAWSserviços e recursos internos.
SI-7 (6)	Integridade de software, firmware e informações | Proteção criptográfica	volumes criptografados	Como dados confidenciais podem existir e, para ajudar a proteger os dados em repouso, garanta que a criptografia esteja habilitada para seus volumes do Amazon Elastic Block Store (Amazon EBS).
SI-7 (6)	Integridade de software, firmware e informações | Proteção criptográfica	opensearch-encrypted-at-rest	Como dados confidenciais podem existir e, para ajudar a proteger os dados em repouso, garanta que a criptografia esteja habilitada para sua AmazonOpenSearchDomínios de serviço.
SI-7 (6)	Integridade de software, firmware e informações | Proteção criptográfica	rds-storage-encrypted	Para ajudar a proteger os dados em repouso, garanta que a criptografia esteja habilitada para suas instâncias do Amazon Relational Database Service (Amazon RDS). Como dados confidenciais podem existir em repouso nas instâncias do Amazon RDS, habilite a criptografia em repouso para ajudar a proteger esses dados.
SI-7 (6)	Integridade de software, firmware e informações | Proteção criptográfica	redshift-cluster-configuration-check	Para proteger os dados em repouso, certifique-se de que a criptografia esteja habilitada para seus clusters do Amazon Redshift. Você também deve garantir que as configurações necessárias sejam implantadas nos clusters do Amazon Redshift. O registro de auditoria deve estar habilitado para fornecer informações sobre conexões e atividades do usuário no banco de dados. Essa regra exige que um valor seja definido paraclusterDbEncrypted(Config Default: TRUE) e LoggingEnabled (Config Default: TRUE). Os valores reais devem refletir as políticas da sua organização.
SI-7 (6)	Integridade de software, firmware e informações | Proteção criptográfica	redshift-cluster-kms-enabled	Para ajudar a proteger os dados em repouso, garanta a criptografia comAWSServiço de gerenciamento de chaves (AWSO KMS) está habilitado para seu cluster do Amazon Redshift. Como dados confidenciais podem existir em repouso nos clusters do Redshift, habilite a criptografia em repouso para ajudar a proteger esses dados.
SI-7 (6)	Integridade de software, firmware e informações | Proteção criptográfica	s3-bucket-server-side-encryption-ativado	Para ajudar a proteger os dados em repouso, garanta que a criptografia esteja habilitada para seus buckets do Amazon Simple Storage Service (Amazon S3). Como dados confidenciais podem existir em repouso nos buckets do Amazon S3, habilite a criptografia para ajudar a proteger esses dados.
SI-7 (6)	Integridade de software, firmware e informações | Proteção criptográfica	s3-bucket-ssl-requests-only	Para ajudar a proteger os dados em trânsito, certifique-se de que seus buckets do Amazon Simple Storage Service (Amazon S3) exijam solicitações para usar o Secure Socket Layer (SSL). Como dados confidenciais podem existir, habilite a criptografia em trânsito para ajudar a proteger esses dados.
SI-7 (6)	Integridade de software, firmware e informações | Proteção criptográfica	sagemaker-endpoint-configuration-kms-configurado por chave	Para ajudar a proteger os dados em repouso, garanta a criptografia comAWSServiço de gerenciamento de chaves (AWSO KMS) está habilitado para seuSageMakerponto final. Porque dados confidenciais podem existir em repouso noSageMakerendpoint, habilite a criptografia em repouso para ajudar a proteger esses dados.
SI-7 (6)	Integridade de software, firmware e informações | Proteção criptográfica	secretsmanager-using-cmk	Para ajudar a proteger os dados em repouso, garanta a criptografia comAWSServiço de gerenciamento de chaves (AWSO KMS) está habilitado paraAWSSegredos do Secrets Manager. Como dados confidenciais podem existir em repouso nos segredos do Secrets Manager, habilite a criptografia em repouso para ajudar a proteger esses dados.
SI-7 (7)	Integridade de software, firmware e informações | Integração de detecção e resposta	cloud-trail-log-file-validação ativada	UtilizeAWS CloudTrailvalidação do arquivo de log para verificar a integridade doCloudTrailtroncos. A validação do arquivo de log ajuda a determinar se um arquivo de log foi modificado, excluído ou inalterado apósCloudTrailentregou. Esse recurso é criado usando algoritmos padrão do setor: SHA-256 para hashing e SHA-256 com RSA para assinaturas digitais. Desse modo, é computacionalmente impraticável modificar, excluir ou forjar arquivos de log CloudTrail sem detectar tais ações.
SI-7 (8)	Integridade de software, firmware e informações | Capacidade de auditoria para eventos significativos	elasticsearch-logs-to-cloudwatch	Garanta a AmazonOpenSearchOs domínios de serviço têm registros de erros habilitados e transmitidos para a AmazonCloudWatchRegistros para retenção e resposta. Os registros de erros do domínio podem ajudar nas auditorias de segurança e acesso e podem ajudar a diagnosticar problemas de disponibilidade.
SI-7 (8)	Integridade de software, firmware e informações | Capacidade de auditoria para eventos significativos	multi-region-cloudtrail-enabled	AWS CloudTrailregistrosAWSAções do Management Console e chamadas de API. Você pode identificar quais usuários e contas ligaramAWS, o endereço IP de origem de onde as chamadas foram feitas e quando as chamadas ocorreram. CloudTrailentregará arquivos de log de todosAWSRegiões para seu bucket do S3 se MULTI_REGION_CLOUD_TRAIL_ENABLED estiver ativado. Além disso, quandoAWSlança uma nova região,CloudTrailcriará a mesma trilha na nova região. Como resultado, você receberá arquivos de log contendo a atividade da API para a nova região sem realizar nenhuma ação.
SI-7 (8)	Integridade de software, firmware e informações | Capacidade de auditoria para eventos significativos	opensearch-logs-to-cloudwatch	Garanta a AmazonOpenSearchOs domínios de serviço têm registros de erros habilitados e transmitidos para a AmazonCloudWatchRegistros para retenção e resposta. OpenSearchOs registros de erros do serviço podem ajudar nas auditorias de segurança e acesso e podem ajudar a diagnosticar problemas de disponibilidade.
SI-7 (8)	Integridade de software, firmware e informações | Capacidade de auditoria para eventos significativos	wafv2 ativado para registro	Para ajudar com o registro e o monitoramento em seu ambiente, habiliteAWSRegistro WAF (V2) em ACLs da web regionais e globais.AWS O registro do WAF fornece informações detalhadas sobre o tráfego que é analisado pela sua ACL da web. Os registros registram a hora em queAWSO WAF recebeu a solicitação do seuAWSrecurso, informações sobre a solicitação e uma ação para a regra à qual cada solicitação correspondeu.
SI-7 (8)	Integridade de software, firmware e informações | Capacidade de auditoria para eventos significativos	api-gw-execution-logging-ativado	O registro do API Gateway exibe visualizações detalhadas dos usuários que acessaram a API e a forma como acessaram a API. Esse insight permite a visibilidade das atividades do usuário.
SI-7 (8)	Integridade de software, firmware e informações | Capacidade de auditoria para eventos significativos	cloud-trail-cloud-watch-registros habilitados	Use a AmazonCloudWatchpara coletar e gerenciar centralmente a atividade de eventos de registro. Inclusão deAWS CloudTrailos dados fornecem detalhes da atividade de chamadas de API em seuAWSconta.
SI-7 (8)	Integridade de software, firmware e informações | Capacidade de auditoria para eventos significativos	habilitado para cloudtrail	AWS CloudTrailpode ajudar na não repúdio gravandoAWSAções do Management Console e chamadas de API. Você pode identificar os usuários eAWScontas que chamaram umAWSserviço, o endereço IP de origem onde as chamadas foram geradas e os horários das chamadas. Os detalhes dos dados capturados são vistos emAWS CloudTrailGravar conteúdo.
SI-7 (8)	Integridade de software, firmware e informações | Capacidade de auditoria para eventos significativos	cloudtrail-s3 - eventos de dados habilitados	A coleta de eventos de dados do Simple Storage Service (Amazon S3) ajuda a detectar qualquer atividade anômala. Os detalhes incluemAWSinformações da conta que acessaram um bucket do Amazon S3, endereço IP e hora do evento.
SI-7 (8)	Integridade de software, firmware e informações | Capacidade de auditoria para eventos significativos	elb-logging-enabled	A atividade do Elastic Load Balancing é um ponto central de comunicação dentro de um ambiente. Certifique-se de que o registro do ELB esteja ativado. Os dados coletados fornecem informações detalhadas sobre as solicitações enviadas ao ELB. Cada log contém informações como a hora em que a solicitação foi recebida, o endereço IP do cliente, latências, caminhos de solicitação e respostas do servidor.
SI-7 (8)	Integridade de software, firmware e informações | Capacidade de auditoria para eventos significativos	rds-logging-enabled	Para ajudar com o registro e o monitoramento em seu ambiente, certifique-se de que o registro do Amazon Relational Database Service (Amazon RDS) esteja ativado. Com o registro do Amazon RDS, você pode capturar eventos como conexões, desconexões, consultas ou tabelas consultadas.
SI-7 (8)	Integridade de software, firmware e informações | Capacidade de auditoria para eventos significativos	redshift-cluster-configuration-check	Para proteger os dados em repouso, certifique-se de que a criptografia esteja habilitada para seus clusters do Amazon Redshift. Você também deve garantir que as configurações necessárias sejam implantadas nos clusters do Amazon Redshift. O registro de auditoria deve estar habilitado para fornecer informações sobre conexões e atividades do usuário no banco de dados. Essa regra exige que um valor seja definido paraclusterDbEncrypted(Config Default: TRUE) e LoggingEnabled (Config Default: TRUE). Os valores reais devem refletir as políticas da sua organização.
SI-7 (8)	Integridade de software, firmware e informações | Capacidade de auditoria para eventos significativos	s3-bucket-logging-enabled	O registro de acesso ao servidor do Amazon Simple Storage Service (Amazon S3) fornece um método para monitorar a rede em busca de possíveis eventos de segurança cibernética. Os eventos são monitorados por meio da captura de registros detalhados das solicitações feitas a um bucket do Amazon S3. Cada registro de registro de acesso fornece detalhes sobre uma única solicitação de acesso. Os detalhes incluem o solicitante, nome do bucket, hora da solicitação, ação da solicitação, status da resposta e um código de erro, se relevante.
SI-7 (8)	Integridade de software, firmware e informações | Capacidade de auditoria para eventos significativos	vpc-flow-logs-enabled	Os registros de fluxo do VPC fornecem registros detalhados de informações sobre o tráfego IP que vai e vem das interfaces de rede em sua Amazon Virtual Private Cloud (Amazon VPC). Por padrão, o registro do log de fluxo inclui valores para os diferentes componentes do fluxo IP, incluindo a origem, o destino e o protocolo.
SI-12	Gerenciamento e retenção de informações	db-instance-backup-enabled	O recurso de backup do Amazon RDS cria backups de seus bancos de dados e registros de transações. O Amazon RDS cria automaticamente um snapshot do volume de armazenamento da sua instância de banco de dados, fazendo backup de toda a instância de banco de dados. O sistema permite que você defina períodos de retenção específicos para atender aos seus requisitos de resiliência.
SI-12	Gerenciamento e retenção de informações	dynamodb-in-backup-plan	Para ajudar nos processos de backup de dados, garanta que suas tabelas do Amazon DynamoDB façam parte de umAWSPlano de backup.AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos de conformidade comercial e regulamentar de backup.
SI-12	Gerenciamento e retenção de informações	dynamodb-pitr-enabled	Ative essa regra para verificar se as informações foram copiadas. Ele também mantém os backups, garantindo quepoint-in-timea recuperação está habilitada no Amazon DynamoDB. A recuperação mantém backups contínuos de sua tabela nos últimos 35 dias.
SI-12	Gerenciamento e retenção de informações	ebs-in-backup-plan	Para ajudar nos processos de backup de dados, garanta que seus volumes do Amazon Elastic Block Store (Amazon EBS) façam parte de umAWSPlano de backup.AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos de conformidade comercial e regulamentar de backup.
SI-12	Gerenciamento e retenção de informações	efs-in-backup-plan	Para ajudar nos processos de backup de dados, garanta que seus sistemas de arquivos do Amazon Elastic File System (Amazon EFS) façam parte de umAWSPlano de backup.AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos de conformidade comercial e regulamentar de backup.
SI-12	Gerenciamento e retenção de informações	elasticache-redis-cluster-automatic-verificação de backup	Quando os backups automáticos estão habilitados, a AmazonElastiCachecria um backup do cluster diariamente. O backup pode ser retido por alguns dias, conforme especificado pela sua organização. Os backups automáticos podem ajudar a proteger contra a perda de dados. Se ocorrer uma falha, você poderá criar um novo cluster, que restaura seus dados do backup mais recente.
SI-12	Gerenciamento e retenção de informações	s3-bucket-versioning-enabled	O controle de versão do bucket do Amazon Simple Storage Service (Amazon S3) ajuda a manter várias variantes de um objeto no mesmo bucket do Amazon S3. Use o controle de versão para preservar, recuperar e restaurar todas as versões de cada objeto armazenado em seu bucket do Amazon S3. O controle de versão ajuda você a se recuperar facilmente de ações não intencionais do usuário e falhas de aplicativos.
SI-13 (5)	Prevenção previsível de falhas | Capacidade de failover	dynamodb-in-backup-plan	Para ajudar nos processos de backup de dados, garanta que suas tabelas do Amazon DynamoDB façam parte de umAWSPlano de backup.AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos de conformidade comercial e regulamentar de backup.
SI-13 (5)	Prevenção previsível de falhas | Capacidade de failover	ebs-in-backup-plan	Para ajudar nos processos de backup de dados, garanta que seus volumes do Amazon Elastic Block Store (Amazon EBS) façam parte de umAWSPlano de backup.AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos de conformidade comercial e regulamentar de backup.
SI-13 (5)	Prevenção previsível de falhas | Capacidade de failover	efs-in-backup-plan	Para ajudar nos processos de backup de dados, garanta que seus sistemas de arquivos do Amazon Elastic File System (Amazon EFS) façam parte de umAWSPlano de backup.AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos de conformidade comercial e regulamentar de backup.
SI-13 (5)	Prevenção previsível de falhas | Capacidade de failover	elb-cross-zone-load-balanceamento ativado	Habilite o balanceamento de carga entre zonas para seus Elastic Load Balancers (ELBs) para ajudar a manter a capacidade e a disponibilidade adequadas. O balanceamento de carga entre zonas reduz a necessidade de manter números equivalentes de instâncias em cada zona de disponibilidade ativada. Também melhora a capacidade do seu aplicativo de lidar com a perda de uma ou mais instâncias.
SI-13 (5)	Prevenção previsível de falhas | Capacidade de failover	rds-instance-deletion-protection-ativado	Garanta que as instâncias do Amazon Relational Database Service (Amazon RDS) tenham a proteção contra exclusão ativada. Use a proteção contra exclusão para evitar que suas instâncias do Amazon RDS sejam excluídas acidentalmente ou maliciosamente, o que pode levar à perda de disponibilidade de seus aplicativos.
SI-13 (5)	Prevenção previsível de falhas | Capacidade de failover	redshift-backup-enabled	Para ajudar nos processos de backup de dados, garanta que seus clusters do Amazon Redshift tenham snapshots automatizados. Quando os instantâneos automatizados são habilitados para um cluster, o Redshift tira instantâneos desse cluster periodicamente. Por padrão, o Redshift tira um instantâneo a cada oito horas ou a cada 5 GB por nó de alterações de dados, ou o que ocorrer primeiro.
SI-13 (5)	Prevenção previsível de falhas | Capacidade de failover	s3-version-lifecycle-policy-check	Certifique-se de que as políticas de ciclo de vida do Amazon S3 estejam configuradas para ajudar a definir as ações que você deseja que o Amazon S3 realize durante a vida útil de um objeto (por exemplo, fazer a transição de objetos para outra classe de armazenamento, arquivá-los ou excluí-los após um período de tempo especificado).
SI-13 (5)	Prevenção previsível de falhas | Capacidade de failover	db-instance-backup-enabled	O recurso de backup do Amazon RDS cria backups de seus bancos de dados e registros de transações. O Amazon RDS cria automaticamente um snapshot do volume de armazenamento da sua instância de banco de dados, fazendo backup de toda a instância de banco de dados. O sistema permite que você defina períodos de retenção específicos para atender aos seus requisitos de resiliência.
SI-13 (5)	Prevenção previsível de falhas | Capacidade de failover	dynamodb-autoscaling-enabled	O escalonamento automático do Amazon DynamoDB usa oAWSServiço de escalonamento automático de aplicativos para ajustar a capacidade de transferência provisionada que responde automaticamente aos padrões reais de tráfego. Isso permite que uma tabela ou um índice secundário global aumente sua capacidade de leitura/gravação provisionada para lidar com aumentos repentinos no tráfego, sem limitação.
SI-13 (5)	Prevenção previsível de falhas | Capacidade de failover	dynamodb-pitr-enabled	Ative essa regra para verificar se as informações foram copiadas. Ele também mantém os backups, garantindo quepoint-in-timea recuperação está habilitada no Amazon DynamoDB. A recuperação mantém backups contínuos de sua tabela nos últimos 35 dias.
SI-13 (5)	Prevenção previsível de falhas | Capacidade de failover	elasticache-redis-cluster-automatic-verificação de backup	Quando os backups automáticos estão habilitados, a AmazonElastiCachecria um backup do cluster diariamente. O backup pode ser retido por alguns dias, conforme especificado pela sua organização. Os backups automáticos podem ajudar a proteger contra a perda de dados. Se ocorrer uma falha, você poderá criar um novo cluster, que restaura seus dados do backup mais recente.
SI-13 (5)	Prevenção previsível de falhas | Capacidade de failover	rds-multi-az-support	O suporte Multi-AZ no Amazon Relational Database Service (Amazon RDS) oferece maior disponibilidade e durabilidade para instâncias de banco de dados. Quando você provisiona uma instância de banco de dados Multi-AZ, o Amazon RDS cria automaticamente uma instância de banco de dados principal e replica os dados de forma síncrona para uma instância em espera em uma zona de disponibilidade diferente. Cada zona de disponibilidade funciona em sua própria infraestrutura fisicamente distinta e independente e foi projetada para ser altamente confiável. No caso de uma falha na infraestrutura, o Amazon RDS executa um failover automático no modo de espera para que você possa retomar as operações do banco de dados assim que o failover for concluído.
SI-13 (5)	Prevenção previsível de falhas | Capacidade de failover	s3-bucket-replication-enabled	A replicação entre regiões (CRR) do Amazon Simple Storage Service (Amazon S3) suporta a manutenção de capacidade e disponibilidade adequadas. A CRR permite a cópia automática e assíncrona de objetos em buckets do Amazon S3 para ajudar a garantir que a disponibilidade dos dados seja mantida.
SI-13 (5)	Prevenção previsível de falhas | Capacidade de failover	s3-bucket-versioning-enabled	O controle de versão do bucket do Amazon Simple Storage Service (Amazon S3) ajuda a manter várias variantes de um objeto no mesmo bucket do Amazon S3. Use o controle de versão para preservar, recuperar e restaurar todas as versões de cada objeto armazenado em seu bucket do Amazon S3. O controle de versão ajuda você a se recuperar facilmente de ações não intencionais do usuário e falhas de aplicativos.
SI-13 (5)	Prevenção previsível de falhas | Capacidade de failover	vpc-vpn-2-tunnels-up	Túneis VPN redundantes de site a site podem ser implementados para atingir os requisitos de resiliência. Ele usa dois túneis para ajudar a garantir a conectividade caso uma das conexões VPN site a site fique indisponível. Para se proteger contra a perda de conectividade, caso o gateway do cliente fique indisponível, você pode configurar uma segunda conexão VPN site a site com a Amazon Virtual Private Cloud (Amazon VPC) e o gateway privado virtual usando um segundo gateway do cliente.
SI-20	Contaminando	cloudwatch-alarm-action-check	AmazôniaCloudWatchalertam quando uma métrica ultrapassa o limite de um determinado número de períodos de avaliação. O alarme realiza uma ou mais ações com base no valor da métrica ou na expressão relativa a um limite em alguns períodos. Essa regra exige um valor paraalarmActionRequired(Padrão de configuração: verdadeiro),insufficientDataActionObrigatório (padrão de configuração: verdadeiro),okActionRequired(Padrão de configuração: falso). O valor real deve refletir as ações de alarme do seu ambiente.
SI-20	Contaminando	cloud-trail-cloud-watch-registros habilitados	Use a AmazonCloudWatchpara coletar e gerenciar centralmente a atividade de eventos de registro. Inclusão deAWS CloudTrailos dados fornecem detalhes da atividade de chamadas de API em seuAWSconta.
SI-20	Contaminando	guardduty-enabled-centralized	AmazôniaGuardDutypode ajudar a monitorar e detectar possíveis eventos de segurança cibernética usando feeds de inteligência de ameaças. Isso inclui listas de IPs maliciosos e aprendizado de máquina para identificar atividades inesperadas, não autorizadas e maliciosas em seuAWSAmbiente em nuvem.

Modelo

O modelo está disponível emGitHub:Melhores práticas operacionais para o NIST 800-53 rev 5.