As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.
Práticas recomendadas operacionais do NIST 800 181
Os pacotes de conformidade fornecem uma estrutura de conformidade de uso geral projetada para permitir que você crie verificações de governança de segurança, operação ou otimização de custos usando regras e ações de remediação gerenciadas ou personalizadas. AWS Config AWS Config Os pacotes de conformidade, como os modelos de amostra, não foram projetados para garantir totalmente a conformidade com um padrão específico de governança ou conformidade. Você é responsável por avaliar se o seu uso dos serviços atende aos requisitos legais e regulamentares aplicáveis.
Veja a seguir um exemplo de mapeamento entre o NIST 800 181 e as regras gerenciadas AWS do Config. Cada regra do Config se aplica a um AWS recurso específico e está relacionada a um ou mais controles do NIST 800 181. Um controle do NIST 800 181 pode estar relacionado a várias regras do Config. Consulte a tabela abaixo para conferir mais detalhes e orientações relacionados a esses mapeamentos.
| ID de controle | Descrição do controle | AWS Regra de configuração | Orientação |
|---|---|---|---|
| T0008 | Analise e planeje as mudanças previstas nos requisitos de capacidade de dados. | O Amazon DynamoDB auto scaling usa o serviço Application AWS Auto Scaling para ajustar a capacidade de transferência provisionada que responde automaticamente aos padrões reais de tráfego. Isso permite que uma tabela ou um índice secundário global aumente a capacidade provisionada de leitura e gravação para processar aumentos repentinos no tráfego, sem controle de utilização. | |
| T0008 | Analise e planeje as mudanças previstas nos requisitos de capacidade de dados. | Para ajudar nos processos de backup de dados, garanta que suas tabelas do Amazon DynamoDB façam parte de um plano de AWS backup. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups. | |
| T0008 | Analise e planeje as mudanças previstas nos requisitos de capacidade de dados. | Habilite essa regra para verificar se o backup das informações foi realizado. Ele também mantém os backups, garantindo que a point-in-time recuperação seja habilitada no Amazon DynamoDB. A recuperação mantém backups contínuos da tabela nos últimos 35 dias. | |
| T0008 | Analise e planeje as mudanças previstas nos requisitos de capacidade de dados. | Habilite essa regra para garantir que a capacidade de throughput provisionada seja verificada em suas tabelas do Amazon DynamoDB. Essa é a quantidade de atividades de leitura e gravação que cada tabela pode comportar. O DynamoDB usa essas informações para reservar recursos suficientes do sistema para atender aos seus requisitos de throughput. Essa regra gera um alerta quando o throughput se aproxima do limite máximo da conta de um cliente. Essa regra permite que você defina opcionalmente os parâmetros RCUThreshold Porcentagem da conta (Configuração Padrão: 80) e Porcentagem WCUThreshold da conta (Padrão de Configuração: 80). Os valores reais devem refletir as políticas da organização. | |
| T0008 | Analise e planeje as mudanças previstas nos requisitos de capacidade de dados. | Para ajudar nos processos de backup de dados, garanta que seus volumes do Amazon Elastic Block Store (Amazon EBS) façam parte de um plano de backup. AWS AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups. | |
| T0008 | Analise e planeje as mudanças previstas nos requisitos de capacidade de dados. | Para ajudar nos processos de backup de dados, garanta que seus sistemas de arquivos do Amazon Elastic File System (Amazon EFS) façam parte de um plano de AWS backup. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups. | |
| T0008 | Analise e planeje as mudanças previstas nos requisitos de capacidade de dados. | Quando os backups automáticos estão habilitados, a Amazon ElastiCache cria um backup do cluster diariamente. O backup pode ser retido por vários dias, conforme especificado pela organização. Os backups automáticos podem ajudar a proteger contra a perda de dados. Em caso de falha, é possível criar um cluster e restaurar os dados usando o backup mais recente. | |
| T0008 | Analise e planeje as mudanças previstas nos requisitos de capacidade de dados. | Habilite o balanceamento de carga entre zonas para seus Elastic Load Balancers (ELBs) para ajudar a manter a capacidade e a disponibilidade adequadas. O balanceamento de carga entre zonas reduz a necessidade de manter números equivalentes de instâncias em cada zona de disponibilidade habilitada. Também melhora a capacidade da aplicação de lidar com a perda de uma ou mais instâncias. | |
| T0008 | Analise e planeje as mudanças previstas nos requisitos de capacidade de dados. | Para ajudar nos processos de backup de dados, garanta que suas instâncias do Amazon Relational Database Service (Amazon RDS) façam parte de um AWS plano de backup. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups. | |
| T0008 | Analise e planeje as mudanças previstas nos requisitos de capacidade de dados. | O suporte multi-AZ no Amazon Relational Database Service (Amazon RDS) oferece maior disponibilidade e durabilidade para instâncias de banco de dados. Ao provisionar uma instância de banco de dados multi-AZ, o Amazon RDS cria automaticamente uma instância de banco de dados primária e replica de forma síncrona os dados em uma instância em modo de espera em outra zona de disponibilidade. Cada zona de disponibilidade funciona em sua própria infraestrutura independente e fisicamente distinta, além de ser projetada para ser altamente confiável. No caso de falha na infraestrutura, o Amazon RDS executa um failover automático no modo de espera para que você possa retomar as operações do banco de dados assim que o failover for concluído. | |
| T0008 | Analise e planeje as mudanças previstas nos requisitos de capacidade de dados. | Para ajudar nos processos de backup de dados, os clusters do Amazon Redshift devem ter instantâneos automatizados. Quando instantâneos automatizados são habilitados para um cluster, o Redshift tira instantâneos desse cluster periodicamente. Por padrão, o Redshift tira um instantâneo a cada oito horas ou a cada 5 GB por nó de alterações de dados, o que ocorrer primeiro. | |
| T0008 | Analise e planeje as mudanças previstas nos requisitos de capacidade de dados. | A Replicação entre regiões (CRR) do Amazon Simple Storage Service (Amazon S3) é compatível com a manutenção de capacidade e disponibilidade adequadas. A CRR permite a cópia automática e assíncrona de objetos nos buckets do Amazon S3 para ajudar a garantir a manutenção da disponibilidade de dados. | |
| T0008 | Analise e planeje as mudanças previstas nos requisitos de capacidade de dados. | Para ajudar nos processos de backup de dados, certifique-se de que seu plano de AWS backup esteja definido para uma frequência e retenção mínimas. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups. Essa regra permite que você defina os requiredFrequencyValue parâmetros (Config default: 1), ( requiredRetentionDaysConfig default: 35) e ( requiredFrequencyUnit Config default: days). O valor real deve refletir os requisitos da organização. | |
| T0008 | Analise e planeje as mudanças previstas nos requisitos de capacidade de dados. | Para ajudar nos processos de backup de dados, garanta que seus recursos do Amazon Elastic Compute Cloud EC2 (Amazon) façam parte de um plano de AWS backup. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups. | |
| T0017 | Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização. | Garanta que a integridade da rede seja protegida garantindo que os certificados X509 sejam emitidos pelo AWS ACM. Esses certificados devem ser válidos e estar dentro do prazo de validade. Essa regra exige um valor para daysToExpiration (valor das melhores práticas de segurança AWS básicas: 90). O valor real deve refletir as políticas da organização. | |
| T0017 | Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização. | Para ajudar a proteger os dados em trânsito, garanta que o Application Load Balancer redirecione automaticamente as solicitações HTTP não criptografadas para HTTPS. Como pode haver dados confidenciais, habilite a criptografia em trânsito para ajudar a protegê-los. | |
| T0017 | Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização. | Para ajudar a proteger os dados em repouso, habilite a criptografia para o cache do estágio do API Gateway. Como dados confidenciais podem ser capturados para o método da API, habilite a criptografia em repouso para ajudar a protegê-los. | |
| T0017 | Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização. | Se você configurar suas interfaces de rede com um endereço IP público, os recursos associados a essas interfaces de rede poderão ser acessados pela Internet. EC2 os recursos não devem ser acessíveis ao público, pois isso pode permitir acesso não intencional aos seus aplicativos ou servidores. | |
| T0017 | Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização. | Para ajudar nos processos de backup de dados, certifique-se de que seu plano de AWS backup esteja definido para uma frequência e retenção mínimas. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups. Essa regra permite que você defina os requiredFrequencyValue parâmetros (Config default: 1), ( requiredRetentionDaysConfig default: 35) e ( requiredFrequencyUnit Config default: days). O valor real deve refletir os requisitos da organização. | |
| T0017 | Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização. | Certifique-se de que seus pontos AWS de recuperação de Backup tenham uma política baseada em recursos anexada que impeça a exclusão de pontos de recuperação. Usar uma política baseada em recursos para impedir a exclusão de pontos de recuperação pode ajudar a evitar a exclusão acidental ou intencional. | |
| T0017 | Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização. | Como pode haver dados confidenciais e para ajudar a proteger os dados em repouso, habilite a criptografia para as trilhas do AWS CloudTrail. | |
| T0017 | Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização. | Utilize a validação do arquivo de AWS CloudTrail log para verificar a integridade dos CloudTrail registros. A validação do arquivo de log ajuda a determinar se um arquivo de log foi modificado, excluído ou inalterado após a CloudTrail entrega. Esse recurso é criado usando algoritmos padrão do setor: SHA-256 para hashing e SHA-256 com RSA para assinaturas digitais. Isso torna computacionalmente inviável modificar, excluir ou CloudTrail falsificar arquivos de log sem detecção. | |
| T0017 | Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização. | Habilite a alternância de chaves para que sejam usadas alternadamente quando atingirem o final do período criptográfico. | |
| T0017 | Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização. | O recurso de backup do Amazon RDS cria backups dos bancos de dados e logs de transações. O Amazon RDS cria automaticamente um instantâneo do volume de armazenamento da instância de banco de dados, fazendo backup de toda a instância de banco de dados. O sistema permite que você defina períodos de retenção específicos para atender aos requisitos de resiliência. | |
| T0017 | Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização. | Gerencie o acesso à AWS nuvem garantindo que as instâncias de replicação do DMS não possam ser acessadas publicamente. As instâncias de replicação do DMS podem conter informações confidenciais, e o controle de acesso é necessário para essas contas. | |
| T0017 | Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização. | O Amazon DynamoDB auto scaling usa o serviço Application AWS Auto Scaling para ajustar a capacidade de transferência provisionada que responde automaticamente aos padrões reais de tráfego. Isso permite que uma tabela ou um índice secundário global aumente a capacidade provisionada de leitura e gravação para processar aumentos repentinos no tráfego, sem controle de utilização. | |
| T0017 | Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização. | Habilite essa regra para verificar se o backup das informações foi realizado. Ele também mantém os backups, garantindo que a point-in-time recuperação seja habilitada no Amazon DynamoDB. A recuperação mantém backups contínuos da tabela nos últimos 35 dias. | |
| T0017 | Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização. | Para ajudar nos processos de backup de dados, garanta que seus volumes do Amazon Elastic Block Store (Amazon EBS) façam parte de um plano de backup. AWS AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups. | |
| T0017 | Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização. | Gerencie o acesso à AWS nuvem garantindo que os instantâneos do EBS não sejam restauráveis publicamente. Os instantâneos de volume do EBS podem conter informações confidenciais, e o controle de acesso é necessário para essas contas. | |
| T0017 | Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização. | Para ajudar a proteger os dados em repouso, habilite a criptografia para os volumes do Amazon Elastic Block Store (Amazon EBS). Como pode haver dados confidenciais em repouso nesses volumes, habilite a criptografia em repouso para ajudar a protegê-los. | |
| T0017 | Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização. | Gerencie o acesso à AWS nuvem garantindo que as instâncias do Amazon Elastic Compute Cloud (Amazon EC2) não possam ser acessadas publicamente. EC2As instâncias da Amazon podem conter informações confidenciais e o controle de acesso é necessário para essas contas. | |
| T0017 | Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização. | Para ajudar nos processos de backup de dados, garanta que seus recursos do Amazon Elastic Compute Cloud EC2 (Amazon) façam parte de um plano de AWS backup. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups. | |
| T0017 | Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização. | Como pode haver dados confidenciais, e para ajudar a proteger os dados em repouso, habilite a criptografia para o Amazon Elastic File System (EFS). | |
| T0017 | Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização. | Para ajudar nos processos de backup de dados, garanta que seus sistemas de arquivos do Amazon Elastic File System (Amazon EFS) façam parte de um plano de AWS backup. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups. | |
| T0017 | Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização. | Quando os backups automáticos estão habilitados, a Amazon ElastiCache cria um backup do cluster diariamente. O backup pode ser retido por vários dias, conforme especificado pela organização. Os backups automáticos podem ajudar a proteger contra a perda de dados. Em caso de falha, é possível criar um cluster e restaurar os dados usando o backup mais recente. | |
| T0017 | Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização. | Como dados confidenciais podem existir e para ajudar a proteger dados em repouso, assegure-se de que a criptografia esteja habilitada para seus domínios do Amazon OpenSearch OpenSearch Service (Service). | |
| T0017 | Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização. | Certifique-se node-to-node de que a criptografia para o Amazon OpenSearch Service esteja ativada. Node-to-nodea criptografia permite a criptografia TLS 1.2 para todas as comunicações dentro da Amazon Virtual Private Cloud (Amazon VPC). Como pode haver dados confidenciais, habilite a criptografia em trânsito para ajudar a protegê-los. | |
| T0017 | Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização. | Como pode haver dados confidenciais, e para ajudar a proteger os dados em trânsito, habilite a criptografia para o Elastic Load Balancing. Use o AWS Certificate Manager para gerenciar, provisionar e implantar certificados SSL/TLS públicos e privados com AWS serviços e recursos internos. | |
| T0017 | Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização. | Como pode haver dados confidenciais, e para ajudar a proteger os dados em trânsito, habilite a criptografia para o Elastic Load Balancing. Use o AWS Certificate Manager para gerenciar, provisionar e implantar certificados SSL/TLS públicos e privados com AWS serviços e recursos internos. | |
| T0017 | Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização. | Habilite o balanceamento de carga entre zonas para seus Elastic Load Balancers (ELBs) para ajudar a manter a capacidade e a disponibilidade adequadas. O balanceamento de carga entre zonas reduz a necessidade de manter números equivalentes de instâncias em cada zona de disponibilidade habilitada. Também melhora a capacidade da aplicação de lidar com a perda de uma ou mais instâncias. | |
| T0017 | Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização. | Essa regra garante que o Elastic Load Balancing tenha a proteção contra exclusão habilitada. Use esse recurso para evitar que o balanceador de carga seja excluído de forma acidental ou mal-intencionada, o que pode levar à perda de disponibilidade das aplicações. | |
| T0017 | Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização. | Certifique-se de que seus Elastic Load Balancers (ELBs) estejam configurados com ouvintes SSL ou HTTPS. Como pode haver dados confidenciais, habilite a criptografia em trânsito para ajudar a protegê-los. | |
| T0017 | Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização. | Gerencie o acesso à AWS nuvem garantindo que os nós principais do cluster Amazon EMR não possam ser acessados publicamente. Os nós principais do cluster do Amazon EMR podem conter informações confidenciais, e o controle de acesso é necessário para essas contas. | |
| T0017 | Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização. | Como pode haver dados confidenciais, e para ajudar a proteger os dados em repouso, habilite a criptografia para os volumes do Amazon Elastic Block Store (Amazon EBS). | |
| T0017 | Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização. | Para ajudar a proteger os dados em repouso, certifique-se de que as chaves mestras de cliente necessárias (CMKs) não estejam programadas para exclusão no AWS Key Management Service (AWS KMS). Como às vezes a exclusão da chave é necessária, essa regra pode ajudar na verificação de todas as chaves programadas para exclusão, caso alguma delas sido programada de maneira não intencional. | |
| T0017 | Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização. | Gerencie o acesso aos recursos na AWS nuvem garantindo que as funções do AWS Lambda não possam ser acessadas publicamente. O acesso público pode causar degradação da disponibilidade de recursos. | |
| T0017 | Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização. | Como pode haver dados confidenciais, e para ajudar a proteger os dados em repouso, habilite a criptografia para os domínios do Amazon Elasticsearch Service (Amazon ES). | |
| T0017 | Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização. | Certifique-se node-to-node de que a criptografia para o Amazon OpenSearch Service esteja ativada. Node-to-nodea criptografia permite a criptografia TLS 1.2 para todas as comunicações dentro da Amazon Virtual Private Cloud (Amazon VPC). Como pode haver dados confidenciais, habilite a criptografia em trânsito para ajudar a protegê-los. | |
| T0017 | Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização. | Habilite a proteção contra exclusão das instâncias do Amazon Relational Database Service (Amazon RDS). Use a proteção contra exclusão para evitar que as instâncias do Amazon RDS sejam excluídas de forma acidental ou mal-intencionada, o que pode levar à perda de disponibilidade das aplicações. | |
| T0017 | Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização. | Gerencie o acesso aos recursos na AWS nuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações confidenciais e princípios, e o controle de acesso é necessário para essas contas. | |
| T0017 | Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização. | Para ajudar nos processos de backup de dados, garanta que suas instâncias do Amazon Relational Database Service (Amazon RDS) façam parte de um AWS plano de backup. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups. | |
| T0017 | Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização. | O suporte multi-AZ no Amazon Relational Database Service (Amazon RDS) oferece maior disponibilidade e durabilidade para instâncias de banco de dados. Ao provisionar uma instância de banco de dados multi-AZ, o Amazon RDS cria automaticamente uma instância de banco de dados primária e replica de forma síncrona os dados em uma instância em modo de espera em outra zona de disponibilidade. Cada zona de disponibilidade funciona em sua própria infraestrutura independente e fisicamente distinta, além de ser projetada para ser altamente confiável. No caso de falha na infraestrutura, o Amazon RDS executa um failover automático no modo de espera para que você possa retomar as operações do banco de dados assim que o failover for concluído. | |
| T0017 | Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização. | Gerencie o acesso aos recursos na AWS nuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações confidenciais e princípios, e o controle de acesso é necessário para essas contas. | |
| T0017 | Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização. | Habilite a criptografia para os instantâneos do Amazon Relational Database Service (Amazon RDS). Como pode haver dados confidenciais em repouso, habilite a criptografia em repouso para ajudar a protegê-los. | |
| T0017 | Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização. | Para ajudar a proteger os dados em repouso, habilite a criptografia para as instâncias do Amazon Relational Database Service (Amazon RDS). Como pode haver dados confidenciais em repouso nas instâncias do Amazon RDS, habilite a criptografia em repouso para ajudar a protegê-los. | |
| T0017 | Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização. | Para ajudar nos processos de backup de dados, os clusters do Amazon Redshift devem ter instantâneos automatizados. Quando instantâneos automatizados são habilitados para um cluster, o Redshift tira instantâneos desse cluster periodicamente. Por padrão, o Redshift tira um instantâneo a cada oito horas ou a cada 5 GB por nó de alterações de dados, o que ocorrer primeiro. | |
| T0017 | Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização. | Para proteger os dados em repouso, habilite a criptografia para os clusters do Amazon Redshift. Implante também as configurações necessárias nos clusters do Amazon Redshift. O registro em log de auditoria deve ser habilitado para fornecer informações sobre conexões e atividades do usuário no banco de dados. Essa regra exige que um valor seja definido para clusterDbEncrypted (Config Default: TRUE) e LoggingEnabled (Config Default: TRUE). Os valores reais devem refletir as políticas da organização. | |
| T0017 | Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização. | Gerencie o acesso aos recursos na AWS nuvem garantindo que os clusters do Amazon Redshift não sejam públicos. Os clusters do Amazon Redshift podem conter informações confidenciais e princípios, e o controle de acesso é necessário para essas contas. | |
| T0017 | Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização. | Os clusters do Amazon Redshift devem exigir criptografia TLS/SSL para se conectar aos clientes SQL. Como pode haver dados confidenciais, habilite a criptografia em trânsito para ajudar a protegê-los. | |
| T0017 | Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização. | Gerencie o acesso aos recursos na AWS nuvem garantindo que os buckets do Amazon Simple Storage Service (Amazon S3) não possam ser acessados publicamente. Essa regra ajuda a manter os dados confidenciais protegidos de usuários remotos não autorizados, impedindo o acesso público. Essa regra permite que você defina opcionalmente ignorePublicAcls (Config Default: True), blockPublicPolicy (Config Default: True), blockPublicAcls (Config Default: True) e restrictPublicBuckets parâmetros (Config Default: True). Os valores reais devem refletir as políticas da organização. | |
| T0017 | Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização. | Gerencie o acesso aos recursos na AWS nuvem permitindo que somente usuários, processos e dispositivos autorizados acessem os buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados. | |
| T0017 | Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização. | Gerencie o acesso aos recursos na AWS nuvem permitindo que somente usuários, processos e dispositivos autorizados acessem os buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados. | |
| T0017 | Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização. | A Replicação entre regiões (CRR) do Amazon Simple Storage Service (Amazon S3) é compatível com a manutenção de capacidade e disponibilidade adequadas. A CRR permite a cópia automática e assíncrona de objetos nos buckets do Amazon S3 para ajudar a garantir a manutenção da disponibilidade de dados. | |
| T0017 | Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização. | Para ajudar a proteger os dados em repouso, habilite a criptografia para os buckets do Amazon Simple Storage Service (Amazon S3). Como pode haver dados confidenciais em repouso nos buckets do Amazon S3, habilite a criptografia para ajudar a protegê-los. | |
| T0017 | Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização. | Para ajudar a proteger dados em trânsito, os buckets do Amazon Simple Storage Service (Amazon S3) devem exigir solicitações de uso do Secure Socket Layer (SSL). Como pode haver dados confidenciais, habilite a criptografia em trânsito para ajudar a protegê-los. | |
| T0017 | Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização. | O versionamento do bucket do Amazon Simple Storage Service (Amazon S3) ajuda a manter diversas variantes de um objeto no mesmo bucket do Amazon S3. Use o versionamento para preservar, recuperar e restaurar todas as versões de cada objeto armazenado no bucket do Amazon S3. O versionamento ajuda você a se recuperar facilmente de ações não intencionais de usuários e de falhas da aplicação. | |
| T0017 | Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização. | Habilite a criptografia para os buckets do Amazon Simple Storage Service (Amazon S3). Como pode haver dados confidenciais em repouso em um bucket do Amazon S3, habilite a criptografia em repouso para ajudar a protegê-los. | |
| T0017 | Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização. | Para ajudar a proteger os dados em repouso, garanta que a criptografia com o AWS Key Management Service (AWS KMS) esteja habilitada para seu SageMaker endpoint. Como dados confidenciais podem existir em repouso no SageMaker endpoint, ative a criptografia em repouso para ajudar a proteger esses dados. | |
| T0017 | Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização. | Para ajudar a proteger os dados em repouso, garanta que a criptografia com o AWS Key Management Service (AWS KMS) esteja habilitada para seu SageMaker notebook. Como dados confidenciais podem existir em repouso no SageMaker notebook, ative a criptografia em repouso para ajudar a proteger esses dados. | |
| T0017 | Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização. | Certifique-se AWS de que os documentos do Systems Manager (SSM) não sejam públicos, pois isso pode permitir acesso não intencional aos seus documentos SSM. Um documento do SSM público pode expor informações sobre sua conta, recursos e processos internos. | |
| T0017 | Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização. | Túneis Site-to-Site VPN redundantes podem ser implementados para atingir os requisitos de resiliência. Ele usa dois túneis para ajudar a garantir a conectividade caso uma das conexões Site-to-Site VPN fique indisponível. Para se proteger contra a perda de conectividade, caso o gateway do cliente fique indisponível, você pode configurar uma segunda conexão Site-to-Site VPN com a Amazon Virtual Private Cloud (Amazon VPC) e o gateway privado virtual usando um segundo gateway do cliente. | |
| T0017 | Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização. | Configure os estágios da API REST do Amazon API Gateway com certificados SSL para permitir que os sistemas de back-end autentiquem o API Gateway como origem das solicitações. | |
| T0017 | Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização. | Certifique-se de que a criptografia esteja ativada para seus pontos AWS de recuperação de Backup. Como pode haver dados confidenciais em repouso, habilite a criptografia em repouso para ajudar a protegê-los. | |
| T0017 | Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização. | Para ajudar a proteger dados em repouso, garanta que a criptografia com o AWS Key Management Service (AWS KMS) esteja habilitada para seu cluster do Amazon Redshift. Como pode haver dados confidenciais em repouso nos clusters do Redshift, habilite a criptografia em repouso para ajudar a protegê-los. | |
| T0017 | Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização. | Gerencie o acesso à AWS nuvem garantindo que as sub-redes da Amazon Virtual Private Cloud (VPC) não recebam automaticamente um endereço IP público. As instâncias do Amazon Elastic Compute Cloud (EC2) que são lançadas em sub-redes com esse atributo ativado têm um endereço IP público atribuído à sua interface de rede primária. | |
| T0024 | Colete e mantenha os dados necessários para atender aos relatórios de segurança cibernética do sistema. | Uma duração mínima dos dados de log de eventos deve ser retida para os grupos de logs a fim de ajudar na solução de problemas e nas investigações forenses. A falta de dados de log de eventos anteriores disponíveis dificulta a reconstrução e a identificação de eventos possivelmente mal-intencionados. | |
| T0042 | Coordene com analistas de defesa cibernética para gerenciar e administrar a atualização de regras e assinaturas (por exemplo, sistemas de proteção/detecção de intrusões, antivírus e listas negras de conteúdo) para aplicações especializadas de defesa cibernética. | A Amazon GuardDuty pode ajudar a monitorar e detectar possíveis eventos de cibersegurança usando feeds de inteligência de ameaças. Isso inclui listas de aprendizado de máquina IPs e malicioso para identificar atividades inesperadas, não autorizadas e maliciosas em seu ambiente de AWS nuvem. | |
| T0047 | Correlacione dados de incidentes para identificar vulnerabilidades específicas e fazer recomendações que permitam uma correção rápida. | A Amazon GuardDuty pode ajudar a monitorar e detectar possíveis eventos de cibersegurança usando feeds de inteligência de ameaças. Isso inclui listas de aprendizado de máquina IPs e malicioso para identificar atividades inesperadas, não autorizadas e maliciosas em seu ambiente de AWS nuvem. | |
| T0051 | Defina os níveis apropriados de disponibilidade do sistema com base nas funções críticas do sistema e garanta que os requisitos do sistema identifiquem os requisitos adequados de recuperação de desastres e continuidade das operações para incluir qualquer falha apropriada. over/alternate site requirements, backup requirements, and material supportability requirements for system recover/restoration | Certifique-se de que a criptografia esteja ativada para seus pontos AWS de recuperação de Backup. Como pode haver dados confidenciais em repouso, habilite a criptografia em repouso para ajudar a protegê-los. | |
| T0051 | Defina os níveis apropriados de disponibilidade do sistema com base nas funções críticas do sistema e garanta que os requisitos do sistema identifiquem os requisitos adequados de recuperação de desastres e continuidade das operações para incluir qualquer falha apropriada. over/alternate site requirements, backup requirements, and material supportability requirements for system recover/restoration | Certifique-se de que seus pontos AWS de recuperação de Backup tenham uma política baseada em recursos anexada que impeça a exclusão de pontos de recuperação. Usar uma política baseada em recursos para impedir a exclusão de pontos de recuperação pode ajudar a evitar a exclusão acidental ou intencional. | |
| T0051 | Defina os níveis apropriados de disponibilidade do sistema com base nas funções críticas do sistema e garanta que os requisitos do sistema identifiquem os requisitos adequados de recuperação de desastres e continuidade das operações para incluir qualquer falha apropriada. over/alternate site requirements, backup requirements, and material supportability requirements for system recover/restoration | O recurso de backup do Amazon RDS cria backups dos bancos de dados e logs de transações. O Amazon RDS cria automaticamente um instantâneo do volume de armazenamento da instância de banco de dados, fazendo backup de toda a instância de banco de dados. O sistema permite que você defina períodos de retenção específicos para atender aos requisitos de resiliência. | |
| T0051 | Defina os níveis apropriados de disponibilidade do sistema com base nas funções críticas do sistema e garanta que os requisitos do sistema identifiquem os requisitos adequados de recuperação de desastres e continuidade das operações para incluir qualquer falha apropriada. over/alternate site requirements, backup requirements, and material supportability requirements for system recover/restoration | O Amazon DynamoDB auto scaling usa o serviço Application AWS Auto Scaling para ajustar a capacidade de transferência provisionada que responde automaticamente aos padrões reais de tráfego. Isso permite que uma tabela ou um índice secundário global aumente a capacidade provisionada de leitura e gravação para processar aumentos repentinos no tráfego, sem controle de utilização. | |
| T0051 | Defina os níveis apropriados de disponibilidade do sistema com base nas funções críticas do sistema e garanta que os requisitos do sistema identifiquem os requisitos adequados de recuperação de desastres e continuidade das operações para incluir qualquer falha apropriada. over/alternate site requirements, backup requirements, and material supportability requirements for system recover/restoration | Para ajudar nos processos de backup de dados, garanta que suas tabelas do Amazon DynamoDB façam parte de um plano de AWS backup. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups. | |
| T0051 | Defina os níveis apropriados de disponibilidade do sistema com base nas funções críticas do sistema e garanta que os requisitos do sistema identifiquem os requisitos adequados de recuperação de desastres e continuidade das operações para incluir qualquer falha apropriada. over/alternate site requirements, backup requirements, and material supportability requirements for system recover/restoration | Habilite essa regra para verificar se o backup das informações foi realizado. Ele também mantém os backups, garantindo que a point-in-time recuperação seja habilitada no Amazon DynamoDB. A recuperação mantém backups contínuos da tabela nos últimos 35 dias. | |
| T0051 | Defina os níveis apropriados de disponibilidade do sistema com base nas funções críticas do sistema e garanta que os requisitos do sistema identifiquem os requisitos adequados de recuperação de desastres e continuidade das operações para incluir qualquer falha apropriada. over/alternate site requirements, backup requirements, and material supportability requirements for system recover/restoration | Habilite essa regra para garantir que a capacidade de throughput provisionada seja verificada em suas tabelas do Amazon DynamoDB. Essa é a quantidade de atividades de leitura e gravação que cada tabela pode comportar. O DynamoDB usa essas informações para reservar recursos suficientes do sistema para atender aos seus requisitos de throughput. Essa regra gera um alerta quando o throughput se aproxima do limite máximo da conta de um cliente. Essa regra permite que você defina opcionalmente os parâmetros RCUThreshold Porcentagem da conta (Configuração Padrão: 80) e Porcentagem WCUThreshold da conta (Padrão de Configuração: 80). Os valores reais devem refletir as políticas da organização. | |
| T0051 | Defina os níveis apropriados de disponibilidade do sistema com base nas funções críticas do sistema e garanta que os requisitos do sistema identifiquem os requisitos adequados de recuperação de desastres e continuidade das operações para incluir qualquer falha apropriada. over/alternate site requirements, backup requirements, and material supportability requirements for system recover/restoration | Para ajudar nos processos de backup de dados, garanta que seus volumes do Amazon Elastic Block Store (Amazon EBS) façam parte de um plano de backup. AWS AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups. | |
| T0051 | Defina os níveis apropriados de disponibilidade do sistema com base nas funções críticas do sistema e garanta que os requisitos do sistema identifiquem os requisitos adequados de recuperação de desastres e continuidade das operações para incluir qualquer falha apropriada. over/alternate site requirements, backup requirements, and material supportability requirements for system recover/restoration | Para ajudar nos processos de backup de dados, garanta que seus sistemas de arquivos do Amazon Elastic File System (Amazon EFS) façam parte de um plano de AWS backup. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups. | |
| T0051 | Defina os níveis apropriados de disponibilidade do sistema com base nas funções críticas do sistema e garanta que os requisitos do sistema identifiquem os requisitos adequados de recuperação de desastres e continuidade das operações para incluir qualquer falha apropriada. over/alternate site requirements, backup requirements, and material supportability requirements for system recover/restoration | Quando os backups automáticos estão habilitados, a Amazon ElastiCache cria um backup do cluster diariamente. O backup pode ser retido por vários dias, conforme especificado pela organização. Os backups automáticos podem ajudar a proteger contra a perda de dados. Em caso de falha, é possível criar um cluster e restaurar os dados usando o backup mais recente. | |
| T0051 | Defina os níveis apropriados de disponibilidade do sistema com base nas funções críticas do sistema e garanta que os requisitos do sistema identifiquem os requisitos adequados de recuperação de desastres e continuidade das operações para incluir qualquer falha apropriada. over/alternate site requirements, backup requirements, and material supportability requirements for system recover/restoration | Habilite o balanceamento de carga entre zonas para seus Elastic Load Balancers (ELBs) para ajudar a manter a capacidade e a disponibilidade adequadas. O balanceamento de carga entre zonas reduz a necessidade de manter números equivalentes de instâncias em cada zona de disponibilidade habilitada. Também melhora a capacidade da aplicação de lidar com a perda de uma ou mais instâncias. | |
| T0051 | Defina os níveis apropriados de disponibilidade do sistema com base nas funções críticas do sistema e garanta que os requisitos do sistema identifiquem os requisitos adequados de recuperação de desastres e continuidade das operações para incluir qualquer falha apropriada. over/alternate site requirements, backup requirements, and material supportability requirements for system recover/restoration | Essa regra garante que o Elastic Load Balancing tenha a proteção contra exclusão habilitada. Use esse recurso para evitar que o balanceador de carga seja excluído de forma acidental ou mal-intencionada, o que pode levar à perda de disponibilidade das aplicações. | |
| T0051 | Defina os níveis apropriados de disponibilidade do sistema com base nas funções críticas do sistema e garanta que os requisitos do sistema identifiquem os requisitos adequados de recuperação de desastres e continuidade das operações para incluir qualquer falha apropriada. over/alternate site requirements, backup requirements, and material supportability requirements for system recover/restoration | Habilite a proteção contra exclusão das instâncias do Amazon Relational Database Service (Amazon RDS). Use a proteção contra exclusão para evitar que as instâncias do Amazon RDS sejam excluídas de forma acidental ou mal-intencionada, o que pode levar à perda de disponibilidade das aplicações. | |
| T0051 | Defina os níveis apropriados de disponibilidade do sistema com base nas funções críticas do sistema e garanta que os requisitos do sistema identifiquem os requisitos adequados de recuperação de desastres e continuidade das operações para incluir qualquer falha apropriada. over/alternate site requirements, backup requirements, and material supportability requirements for system recover/restoration | Para ajudar nos processos de backup de dados, garanta que suas instâncias do Amazon Relational Database Service (Amazon RDS) façam parte de um AWS plano de backup. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups. | |
| T0051 | Defina os níveis apropriados de disponibilidade do sistema com base nas funções críticas do sistema e garanta que os requisitos do sistema identifiquem os requisitos adequados de recuperação de desastres e continuidade das operações para incluir qualquer falha apropriada. over/alternate site requirements, backup requirements, and material supportability requirements for system recover/restoration | O suporte multi-AZ no Amazon Relational Database Service (Amazon RDS) oferece maior disponibilidade e durabilidade para instâncias de banco de dados. Ao provisionar uma instância de banco de dados multi-AZ, o Amazon RDS cria automaticamente uma instância de banco de dados primária e replica de forma síncrona os dados em uma instância em modo de espera em outra zona de disponibilidade. Cada zona de disponibilidade funciona em sua própria infraestrutura independente e fisicamente distinta, além de ser projetada para ser altamente confiável. No caso de falha na infraestrutura, o Amazon RDS executa um failover automático no modo de espera para que você possa retomar as operações do banco de dados assim que o failover for concluído. | |
| T0051 | Defina os níveis apropriados de disponibilidade do sistema com base nas funções críticas do sistema e garanta que os requisitos do sistema identifiquem os requisitos adequados de recuperação de desastres e continuidade das operações para incluir qualquer falha apropriada. over/alternate site requirements, backup requirements, and material supportability requirements for system recover/restoration | Para ajudar nos processos de backup de dados, os clusters do Amazon Redshift devem ter instantâneos automatizados. Quando instantâneos automatizados são habilitados para um cluster, o Redshift tira instantâneos desse cluster periodicamente. Por padrão, o Redshift tira um instantâneo a cada oito horas ou a cada 5 GB por nó de alterações de dados, o que ocorrer primeiro. | |
| T0051 | Defina os níveis apropriados de disponibilidade do sistema com base nas funções críticas do sistema e garanta que os requisitos do sistema identifiquem os requisitos adequados de recuperação de desastres e continuidade das operações para incluir qualquer falha apropriada. over/alternate site requirements, backup requirements, and material supportability requirements for system recover/restoration | A Replicação entre regiões (CRR) do Amazon Simple Storage Service (Amazon S3) é compatível com a manutenção de capacidade e disponibilidade adequadas. A CRR permite a cópia automática e assíncrona de objetos nos buckets do Amazon S3 para ajudar a garantir a manutenção da disponibilidade de dados. | |
| T0051 | Defina os níveis apropriados de disponibilidade do sistema com base nas funções críticas do sistema e garanta que os requisitos do sistema identifiquem os requisitos adequados de recuperação de desastres e continuidade das operações para incluir qualquer falha apropriada. over/alternate site requirements, backup requirements, and material supportability requirements for system recover/restoration | O versionamento do bucket do Amazon Simple Storage Service (Amazon S3) ajuda a manter diversas variantes de um objeto no mesmo bucket do Amazon S3. Use o versionamento para preservar, recuperar e restaurar todas as versões de cada objeto armazenado no bucket do Amazon S3. O versionamento ajuda você a se recuperar facilmente de ações não intencionais de usuários e de falhas da aplicação. | |
| T0051 | Defina os níveis apropriados de disponibilidade do sistema com base nas funções críticas do sistema e garanta que os requisitos do sistema identifiquem os requisitos adequados de recuperação de desastres e continuidade das operações para incluir qualquer falha apropriada. over/alternate site requirements, backup requirements, and material supportability requirements for system recover/restoration | Túneis Site-to-Site VPN redundantes podem ser implementados para atingir os requisitos de resiliência. Ele usa dois túneis para ajudar a garantir a conectividade caso uma das conexões Site-to-Site VPN fique indisponível. Para se proteger contra a perda de conectividade, caso o gateway do cliente fique indisponível, você pode configurar uma segunda conexão Site-to-Site VPN com a Amazon Virtual Private Cloud (Amazon VPC) e o gateway privado virtual usando um segundo gateway do cliente. | |
| T0051 | Defina os níveis apropriados de disponibilidade do sistema com base nas funções críticas do sistema e garanta que os requisitos do sistema identifiquem os requisitos adequados de recuperação de desastres e continuidade das operações para incluir qualquer falha apropriada. over/alternate site requirements, backup requirements, and material supportability requirements for system recover/restoration | Para ajudar nos processos de backup de dados, certifique-se de que seu plano de AWS backup esteja definido para uma frequência e retenção mínimas. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups. Essa regra permite que você defina os requiredFrequencyValue parâmetros (Config default: 1), ( requiredRetentionDaysConfig default: 35) e ( requiredFrequencyUnit Config default: days). O valor real deve refletir os requisitos da organização. | |
| T0051 | Defina os níveis apropriados de disponibilidade do sistema com base nas funções críticas do sistema e garanta que os requisitos do sistema identifiquem os requisitos adequados de recuperação de desastres e continuidade das operações para incluir qualquer falha apropriada. over/alternate site requirements, backup requirements, and material supportability requirements for system recover/restoration | Para ajudar nos processos de backup de dados, garanta que seus recursos do Amazon Elastic Compute Cloud EC2 (Amazon) façam parte de um plano de AWS backup. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups. | |
| T0065 | Desenvolva e implemente procedimentos de backup e recuperação de rede. | Para ajudar nos processos de backup de dados, certifique-se de que seu plano de AWS backup esteja definido para uma frequência e retenção mínimas. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups. Essa regra permite que você defina os requiredFrequencyValue parâmetros (Config default: 1), ( requiredRetentionDaysConfig default: 35) e ( requiredFrequencyUnit Config default: days). O valor real deve refletir os requisitos da organização. | |
| T0065 | Desenvolva e implemente procedimentos de backup e recuperação de rede. | Certifique-se de que a criptografia esteja ativada para seus pontos AWS de recuperação de Backup. Como pode haver dados confidenciais em repouso, habilite a criptografia em repouso para ajudar a protegê-los. | |
| T0065 | Desenvolva e implemente procedimentos de backup e recuperação de rede. | Certifique-se de que seus pontos AWS de recuperação de Backup tenham uma política baseada em recursos anexada que impeça a exclusão de pontos de recuperação. Usar uma política baseada em recursos para impedir a exclusão de pontos de recuperação pode ajudar a evitar a exclusão acidental ou intencional. | |
| T0065 | Desenvolva e implemente procedimentos de backup e recuperação de rede. | O Amazon DynamoDB auto scaling usa o serviço Application AWS Auto Scaling para ajustar a capacidade de transferência provisionada que responde automaticamente aos padrões reais de tráfego. Isso permite que uma tabela ou um índice secundário global aumente a capacidade provisionada de leitura e gravação para processar aumentos repentinos no tráfego, sem controle de utilização. | |
| T0065 | Desenvolva e implemente procedimentos de backup e recuperação de rede. | Para ajudar nos processos de backup de dados, garanta que suas tabelas do Amazon DynamoDB façam parte de um plano de AWS backup. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups. | |
| T0065 | Desenvolva e implemente procedimentos de backup e recuperação de rede. | Para ajudar nos processos de backup de dados, garanta que seus volumes do Amazon Elastic Block Store (Amazon EBS) façam parte de um plano de backup. AWS AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups. | |
| T0065 | Desenvolva e implemente procedimentos de backup e recuperação de rede. | Para ajudar nos processos de backup de dados, garanta que seus recursos do Amazon Elastic Compute Cloud EC2 (Amazon) façam parte de um plano de AWS backup. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups. | |
| T0065 | Desenvolva e implemente procedimentos de backup e recuperação de rede. | Para ajudar nos processos de backup de dados, garanta que seus sistemas de arquivos do Amazon Elastic File System (Amazon EFS) façam parte de um plano de AWS backup. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups. | |
| T0065 | Desenvolva e implemente procedimentos de backup e recuperação de rede. | Habilite o balanceamento de carga entre zonas para seus Elastic Load Balancers (ELBs) para ajudar a manter a capacidade e a disponibilidade adequadas. O balanceamento de carga entre zonas reduz a necessidade de manter números equivalentes de instâncias em cada zona de disponibilidade habilitada. Também melhora a capacidade da aplicação de lidar com a perda de uma ou mais instâncias. | |
| T0065 | Desenvolva e implemente procedimentos de backup e recuperação de rede. | Essa regra garante que o Elastic Load Balancing tenha a proteção contra exclusão habilitada. Use esse recurso para evitar que o balanceador de carga seja excluído de forma acidental ou mal-intencionada, o que pode levar à perda de disponibilidade das aplicações. | |
| T0065 | Desenvolva e implemente procedimentos de backup e recuperação de rede. | Habilite a proteção contra exclusão das instâncias do Amazon Relational Database Service (Amazon RDS). Use a proteção contra exclusão para evitar que as instâncias do Amazon RDS sejam excluídas de forma acidental ou mal-intencionada, o que pode levar à perda de disponibilidade das aplicações. | |
| T0065 | Desenvolva e implemente procedimentos de backup e recuperação de rede. | Para ajudar nos processos de backup de dados, garanta que suas instâncias do Amazon Relational Database Service (Amazon RDS) façam parte de um AWS plano de backup. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups. | |
| T0065 | Desenvolva e implemente procedimentos de backup e recuperação de rede. | O suporte multi-AZ no Amazon Relational Database Service (Amazon RDS) oferece maior disponibilidade e durabilidade para instâncias de banco de dados. Ao provisionar uma instância de banco de dados multi-AZ, o Amazon RDS cria automaticamente uma instância de banco de dados primária e replica de forma síncrona os dados em uma instância em modo de espera em outra zona de disponibilidade. Cada zona de disponibilidade funciona em sua própria infraestrutura independente e fisicamente distinta, além de ser projetada para ser altamente confiável. No caso de falha na infraestrutura, o Amazon RDS executa um failover automático no modo de espera para que você possa retomar as operações do banco de dados assim que o failover for concluído. | |
| T0065 | Desenvolva e implemente procedimentos de backup e recuperação de rede. | Para ajudar nos processos de backup de dados, os clusters do Amazon Redshift devem ter instantâneos automatizados. Quando instantâneos automatizados são habilitados para um cluster, o Redshift tira instantâneos desse cluster periodicamente. Por padrão, o Redshift tira um instantâneo a cada oito horas ou a cada 5 GB por nó de alterações de dados, o que ocorrer primeiro. | |
| T0065 | Desenvolva e implemente procedimentos de backup e recuperação de rede. | Túneis Site-to-Site VPN redundantes podem ser implementados para atingir os requisitos de resiliência. Ele usa dois túneis para ajudar a garantir a conectividade caso uma das conexões Site-to-Site VPN fique indisponível. Para se proteger contra a perda de conectividade, caso o gateway do cliente fique indisponível, você pode configurar uma segunda conexão Site-to-Site VPN com a Amazon Virtual Private Cloud (Amazon VPC) e o gateway privado virtual usando um segundo gateway do cliente. | |
| T0065 | Desenvolva e implemente procedimentos de backup e recuperação de rede. | O recurso de backup do Amazon RDS cria backups dos bancos de dados e logs de transações. O Amazon RDS cria automaticamente um instantâneo do volume de armazenamento da instância de banco de dados, fazendo backup de toda a instância de banco de dados. O sistema permite que você defina períodos de retenção específicos para atender aos requisitos de resiliência. | |
| T0065 | Desenvolva e implemente procedimentos de backup e recuperação de rede. | Habilite essa regra para verificar se o backup das informações foi realizado. Ele também mantém os backups, garantindo que a point-in-time recuperação seja habilitada no Amazon DynamoDB. A recuperação mantém backups contínuos da tabela nos últimos 35 dias. | |
| T0065 | Desenvolva e implemente procedimentos de backup e recuperação de rede. | Quando os backups automáticos estão habilitados, a Amazon ElastiCache cria um backup do cluster diariamente. O backup pode ser retido por vários dias, conforme especificado pela organização. Os backups automáticos podem ajudar a proteger contra a perda de dados. Em caso de falha, é possível criar um cluster e restaurar os dados usando o backup mais recente. | |
| T0065 | Desenvolva e implemente procedimentos de backup e recuperação de rede. | Essa regra garante que os clusters do Amazon Redshift tenham as configurações preferidas da organização. Especificamente, que eles tenham janelas de manutenção preferenciais e períodos automatizados de retenção de instantâneos para o banco de dados. Essa regra exige que você defina allowVersionUpgrade o. O padrão é true. Também permite definir opcionalmente o preferredMaintenanceWindow (o padrão é sat: 16:00 -sat: 16:30) e o automatedSnapshotRetention Período (o padrão é 1). Os valores reais devem refletir as políticas da organização. | |
| T0065 | Desenvolva e implemente procedimentos de backup e recuperação de rede. | A Replicação entre regiões (CRR) do Amazon Simple Storage Service (Amazon S3) é compatível com a manutenção de capacidade e disponibilidade adequadas. A CRR permite a cópia automática e assíncrona de objetos nos buckets do Amazon S3 para ajudar a garantir a manutenção da disponibilidade de dados. | |
| T0065 | Desenvolva e implemente procedimentos de backup e recuperação de rede. | O versionamento do bucket do Amazon Simple Storage Service (Amazon S3) ajuda a manter diversas variantes de um objeto no mesmo bucket do Amazon S3. Use o versionamento para preservar, recuperar e restaurar todas as versões de cada objeto armazenado no bucket do Amazon S3. O versionamento ajuda você a se recuperar facilmente de ações não intencionais de usuários e de falhas da aplicação. | |
| T0070 | Desenvolva planos de recuperação de desastres e continuidade de operações para sistemas em desenvolvimento e garanta testes antes que os sistemas entrem em um ambiente de produção. | Para ajudar nos processos de backup de dados, certifique-se de que seu plano de AWS backup esteja definido para uma frequência e retenção mínimas. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups. Essa regra permite que você defina os requiredFrequencyValue parâmetros (Config default: 1), ( requiredRetentionDaysConfig default: 35) e ( requiredFrequencyUnit Config default: days). O valor real deve refletir os requisitos da organização. | |
| T0070 | Desenvolva planos de recuperação de desastres e continuidade de operações para sistemas em desenvolvimento e garanta testes antes que os sistemas entrem em um ambiente de produção. | Certifique-se de que a criptografia esteja ativada para seus pontos AWS de recuperação de Backup. Como pode haver dados confidenciais em repouso, habilite a criptografia em repouso para ajudar a protegê-los. | |
| T0070 | Desenvolva planos de recuperação de desastres e continuidade de operações para sistemas em desenvolvimento e garanta testes antes que os sistemas entrem em um ambiente de produção. | Certifique-se de que seus pontos AWS de recuperação de Backup tenham uma política baseada em recursos anexada que impeça a exclusão de pontos de recuperação. Usar uma política baseada em recursos para impedir a exclusão de pontos de recuperação pode ajudar a evitar a exclusão acidental ou intencional. | |
| T0070 | Desenvolva planos de recuperação de desastres e continuidade de operações para sistemas em desenvolvimento e garanta testes antes que os sistemas entrem em um ambiente de produção. | Para ajudar nos processos de backup de dados, garanta que suas tabelas do Amazon DynamoDB façam parte de um plano de AWS backup. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups. | |
| T0070 | Desenvolva planos de recuperação de desastres e continuidade de operações para sistemas em desenvolvimento e garanta testes antes que os sistemas entrem em um ambiente de produção. | Para ajudar nos processos de backup de dados, garanta que seus volumes do Amazon Elastic Block Store (Amazon EBS) façam parte de um plano de backup. AWS AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups. | |
| T0070 | Desenvolva planos de recuperação de desastres e continuidade de operações para sistemas em desenvolvimento e garanta testes antes que os sistemas entrem em um ambiente de produção. | Para ajudar nos processos de backup de dados, garanta que seus recursos do Amazon Elastic Compute Cloud EC2 (Amazon) façam parte de um plano de AWS backup. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups. | |
| T0070 | Desenvolva planos de recuperação de desastres e continuidade de operações para sistemas em desenvolvimento e garanta testes antes que os sistemas entrem em um ambiente de produção. | Para ajudar nos processos de backup de dados, garanta que seus sistemas de arquivos do Amazon Elastic File System (Amazon EFS) façam parte de um plano de AWS backup. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups. | |
| T0070 | Desenvolva planos de recuperação de desastres e continuidade de operações para sistemas em desenvolvimento e garanta testes antes que os sistemas entrem em um ambiente de produção. | Habilite o balanceamento de carga entre zonas para seus Elastic Load Balancers (ELBs) para ajudar a manter a capacidade e a disponibilidade adequadas. O balanceamento de carga entre zonas reduz a necessidade de manter números equivalentes de instâncias em cada zona de disponibilidade habilitada. Também melhora a capacidade da aplicação de lidar com a perda de uma ou mais instâncias. | |
| T0070 | Desenvolva planos de recuperação de desastres e continuidade de operações para sistemas em desenvolvimento e garanta testes antes que os sistemas entrem em um ambiente de produção. | Habilite a proteção contra exclusão das instâncias do Amazon Relational Database Service (Amazon RDS). Use a proteção contra exclusão para evitar que as instâncias do Amazon RDS sejam excluídas de forma acidental ou mal-intencionada, o que pode levar à perda de disponibilidade das aplicações. | |
| T0070 | Desenvolva planos de recuperação de desastres e continuidade de operações para sistemas em desenvolvimento e garanta testes antes que os sistemas entrem em um ambiente de produção. | Para ajudar nos processos de backup de dados, garanta que suas instâncias do Amazon Relational Database Service (Amazon RDS) façam parte de um AWS plano de backup. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups. | |
| T0070 | Desenvolva planos de recuperação de desastres e continuidade de operações para sistemas em desenvolvimento e garanta testes antes que os sistemas entrem em um ambiente de produção. | Para ajudar nos processos de backup de dados, os clusters do Amazon Redshift devem ter instantâneos automatizados. Quando instantâneos automatizados são habilitados para um cluster, o Redshift tira instantâneos desse cluster periodicamente. Por padrão, o Redshift tira um instantâneo a cada oito horas ou a cada 5 GB por nó de alterações de dados, o que ocorrer primeiro. | |
| T0070 | Desenvolva planos de recuperação de desastres e continuidade de operações para sistemas em desenvolvimento e garanta testes antes que os sistemas entrem em um ambiente de produção. | O recurso de backup do Amazon RDS cria backups dos bancos de dados e logs de transações. O Amazon RDS cria automaticamente um instantâneo do volume de armazenamento da instância de banco de dados, fazendo backup de toda a instância de banco de dados. O sistema permite que você defina períodos de retenção específicos para atender aos requisitos de resiliência. | |
| T0070 | Desenvolva planos de recuperação de desastres e continuidade de operações para sistemas em desenvolvimento e garanta testes antes que os sistemas entrem em um ambiente de produção. | O Amazon DynamoDB auto scaling usa o serviço Application AWS Auto Scaling para ajustar a capacidade de transferência provisionada que responde automaticamente aos padrões reais de tráfego. Isso permite que uma tabela ou um índice secundário global aumente a capacidade provisionada de leitura e gravação para processar aumentos repentinos no tráfego, sem controle de utilização. | |
| T0070 | Desenvolva planos de recuperação de desastres e continuidade de operações para sistemas em desenvolvimento e garanta testes antes que os sistemas entrem em um ambiente de produção. | Habilite essa regra para verificar se o backup das informações foi realizado. Ele também mantém os backups, garantindo que a point-in-time recuperação seja habilitada no Amazon DynamoDB. A recuperação mantém backups contínuos da tabela nos últimos 35 dias. | |
| T0070 | Desenvolva planos de recuperação de desastres e continuidade de operações para sistemas em desenvolvimento e garanta testes antes que os sistemas entrem em um ambiente de produção. | Quando os backups automáticos estão habilitados, a Amazon ElastiCache cria um backup do cluster diariamente. O backup pode ser retido por vários dias, conforme especificado pela organização. Os backups automáticos podem ajudar a proteger contra a perda de dados. Em caso de falha, é possível criar um cluster e restaurar os dados usando o backup mais recente. | |
| T0070 | Desenvolva planos de recuperação de desastres e continuidade de operações para sistemas em desenvolvimento e garanta testes antes que os sistemas entrem em um ambiente de produção. | Essa regra garante que o Elastic Load Balancing tenha a proteção contra exclusão habilitada. Use esse recurso para evitar que o balanceador de carga seja excluído de forma acidental ou mal-intencionada, o que pode levar à perda de disponibilidade das aplicações. | |
| T0070 | Desenvolva planos de recuperação de desastres e continuidade de operações para sistemas em desenvolvimento e garanta testes antes que os sistemas entrem em um ambiente de produção. | O suporte multi-AZ no Amazon Relational Database Service (Amazon RDS) oferece maior disponibilidade e durabilidade para instâncias de banco de dados. Ao provisionar uma instância de banco de dados multi-AZ, o Amazon RDS cria automaticamente uma instância de banco de dados primária e replica de forma síncrona os dados em uma instância em modo de espera em outra zona de disponibilidade. Cada zona de disponibilidade funciona em sua própria infraestrutura independente e fisicamente distinta, além de ser projetada para ser altamente confiável. No caso de falha na infraestrutura, o Amazon RDS executa um failover automático no modo de espera para que você possa retomar as operações do banco de dados assim que o failover for concluído. | |
| T0070 | Desenvolva planos de recuperação de desastres e continuidade de operações para sistemas em desenvolvimento e garanta testes antes que os sistemas entrem em um ambiente de produção. | A Replicação entre regiões (CRR) do Amazon Simple Storage Service (Amazon S3) é compatível com a manutenção de capacidade e disponibilidade adequadas. A CRR permite a cópia automática e assíncrona de objetos nos buckets do Amazon S3 para ajudar a garantir a manutenção da disponibilidade de dados. | |
| T0070 | Desenvolva planos de recuperação de desastres e continuidade de operações para sistemas em desenvolvimento e garanta testes antes que os sistemas entrem em um ambiente de produção. | O versionamento do bucket do Amazon Simple Storage Service (Amazon S3) ajuda a manter diversas variantes de um objeto no mesmo bucket do Amazon S3. Use o versionamento para preservar, recuperar e restaurar todas as versões de cada objeto armazenado no bucket do Amazon S3. O versionamento ajuda você a se recuperar facilmente de ações não intencionais de usuários e de falhas da aplicação. | |
| T0070 | Desenvolva planos de recuperação de desastres e continuidade de operações para sistemas em desenvolvimento e garanta testes antes que os sistemas entrem em um ambiente de produção. | Túneis Site-to-Site VPN redundantes podem ser implementados para atingir os requisitos de resiliência. Ele usa dois túneis para ajudar a garantir a conectividade caso uma das conexões Site-to-Site VPN fique indisponível. Para se proteger contra a perda de conectividade, caso o gateway do cliente fique indisponível, você pode configurar uma segunda conexão Site-to-Site VPN com a Amazon Virtual Private Cloud (Amazon VPC) e o gateway privado virtual usando um segundo gateway do cliente. | |
| T0086 | Garanta que a aplicação de patches de segurança para produtos comerciais integrados ao design do sistema atenda aos cronogramas ditados pela autoridade de gerenciamento para o ambiente operacional pretendido. | Habilite atualizações automáticas de versões secundárias nas instâncias do Amazon Relational Database Service (RDS) para garantir que as últimas atualizações de versões secundárias do sistema de gerenciamento de banco de dados relacional (RDBMS) estejam instaladas, o que pode incluir patches de segurança e correções de bugs. | |
| T0086 | Garanta que a aplicação de patches de segurança para produtos comerciais integrados ao design do sistema atenda aos cronogramas ditados pela autoridade de gerenciamento para o ambiente operacional pretendido. | Ative essa regra para ajudar na identificação e documentação das vulnerabilidades do Amazon Elastic Compute Cloud (Amazon EC2). A regra verifica se a conformidade de patches de EC2 instâncias da Amazon no AWS Systems Manager conforme exigido pelas políticas e procedimentos da sua organização. | |
| T0086 | Garanta que a aplicação de patches de segurança para produtos comerciais integrados ao design do sistema atenda aos cronogramas ditados pela autoridade de gerenciamento para o ambiente operacional pretendido. | Habilitar atualizações gerenciadas da plataforma para um ambiente do Amazon Elastic Beanstalk garante que as últimas correções, atualizações e recursos de plataforma disponíveis para o ambiente sejam instalados. Uma das práticas recomendadas para proteger sistemas é manter a instalação de patches em dia. | |
| T0086 | Garanta que a aplicação de patches de segurança para produtos comerciais integrados ao design do sistema atenda aos cronogramas ditados pela autoridade de gerenciamento para o ambiente operacional pretendido. | Essa regra garante que os clusters do Amazon Redshift tenham as configurações preferidas da organização. Especificamente, que eles tenham janelas de manutenção preferenciais e períodos automatizados de retenção de instantâneos para o banco de dados. Essa regra exige que você defina allowVersionUpgrade o. O padrão é true. Também permite definir opcionalmente o preferredMaintenanceWindow (o padrão é sat: 16:00 -sat: 16:30) e o automatedSnapshotRetention Período (o padrão é 1). Os valores reais devem refletir as políticas da organização. | |
| T0110 | Identifique e/ou determine se um incidente de segurança é indicativo de uma violação da lei que requer ação legal específica. | AWS O Security Hub ajuda a monitorar pessoas, conexões, dispositivos e software não autorizados. AWS O Security Hub agrega, organiza e prioriza os alertas ou descobertas de segurança de vários serviços. AWS Alguns desses serviços são o Amazon Security Hub, o Amazon Inspector, o Amazon Macie AWS , o Identity and Access Management (IAM) Access Analyzer e o Firewall AWS Manager, além de soluções de parceiros. AWS | |
| T0110 | Identifique e/ou determine se um incidente de segurança é indicativo de uma violação da lei que requer ação legal específica. | CloudWatch Os alarmes da Amazon alertam quando uma métrica ultrapassa o limite de um número específico de períodos de avaliação. O alarme executa uma ou mais ações com base no valor da métrica ou na expressão em relação a um limite em alguns períodos. Essa regra exige um valor para alarmActionRequired (Config Default: True), insufficientDataAction Obrigatório (Config Default: True), ( okActionRequired Config Default: False). O valor real deve refletir as ações de alarme do ambiente. | |
| T0110 | Identifique e/ou determine se um incidente de segurança é indicativo de uma violação da lei que requer ação legal específica. | A Amazon GuardDuty pode ajudar a monitorar e detectar possíveis eventos de cibersegurança usando feeds de inteligência de ameaças. Isso inclui listas de aprendizado de máquina IPs e malicioso para identificar atividades inesperadas, não autorizadas e maliciosas em seu ambiente de AWS nuvem. | |
| T0128 | Integre recursos automatizados para atualização ou aplicação de patches no software do sistema sempre que possível e desenvolva processos e procedimentos para atualização e aplicação de patches manuais no software do sistema com base nos requisitos atuais e projetados do cronograma de patches para o ambiente operacional do sistema. | Habilite atualizações automáticas de versões secundárias nas instâncias do Amazon Relational Database Service (RDS) para garantir que as últimas atualizações de versões secundárias do sistema de gerenciamento de banco de dados relacional (RDBMS) estejam instaladas, o que pode incluir patches de segurança e correções de bugs. | |
| T0128 | Integre recursos automatizados para atualização ou aplicação de patches no software do sistema sempre que possível e desenvolva processos e procedimentos para atualização e aplicação de patches manuais no software do sistema com base nos requisitos atuais e projetados do cronograma de patches para o ambiente operacional do sistema. | Ative essa regra para ajudar na identificação e documentação das vulnerabilidades do Amazon Elastic Compute Cloud (Amazon EC2). A regra verifica se a conformidade de patches de EC2 instâncias da Amazon no AWS Systems Manager conforme exigido pelas políticas e procedimentos da sua organização. | |
| T0128 | Integre recursos automatizados para atualização ou aplicação de patches no software do sistema sempre que possível e desenvolva processos e procedimentos para atualização e aplicação de patches manuais no software do sistema com base nos requisitos atuais e projetados do cronograma de patches para o ambiente operacional do sistema. | Habilitar atualizações gerenciadas da plataforma para um ambiente do Amazon Elastic Beanstalk garante que as últimas correções, atualizações e recursos de plataforma disponíveis para o ambiente sejam instalados. Uma das práticas recomendadas para proteger sistemas é manter a instalação de patches em dia. | |
| T0128 | Integre recursos automatizados para atualização ou aplicação de patches no software do sistema sempre que possível e desenvolva processos e procedimentos para atualização e aplicação de patches manuais no software do sistema com base nos requisitos atuais e projetados do cronograma de patches para o ambiente operacional do sistema. | Essa regra garante que os clusters do Amazon Redshift tenham as configurações preferidas da organização. Especificamente, que eles tenham janelas de manutenção preferenciais e períodos automatizados de retenção de instantâneos para o banco de dados. Essa regra exige que você defina allowVersionUpgrade o. O padrão é true. Também permite definir opcionalmente o preferredMaintenanceWindow (o padrão é sat: 16:00 -sat: 16:30) e o automatedSnapshotRetention Período (o padrão é 1). Os valores reais devem refletir as políticas da organização. | |
| T0144 | Gerencie contas, direitos de rede e acesso a sistemas e equipamentos. | O gerenciamento centralizado de Contas da AWS dentro das AWS Organizations ajuda a garantir que as contas estejam em conformidade. Usar uma governança não centralizada na conta pode gerar inconsistências nas configurações da conta, o que pode expor recursos e dados confidenciais. | |
| T0144 | Gerencie contas, direitos de rede e acesso a sistemas e equipamentos. | Certifique-se de que o AWS WAF esteja ativado nos Elastic Load Balancers (ELB) para ajudar a proteger aplicativos da web. Um WAF ajuda a proteger seus aplicativos da web ou APIs contra explorações comuns da web. Essas explorações da web podem afetar a disponibilidade, comprometer a segurança ou consumir recursos excessivos em seu ambiente. | |
| T0144 | Gerencie contas, direitos de rede e acesso a sistemas e equipamentos. | AWS O WAF permite que você configure um conjunto de regras (chamado de lista de controle de acesso à web (Web ACL)) que permite, bloqueia ou conta solicitações da web com base nas regras e condições de segurança da web personalizáveis que você define. Associe seu estágio do Amazon API Gateway a uma ACL da web do WAF para protegê-lo contra ataques mal-intencionados. | |
| T0144 | Gerencie contas, direitos de rede e acesso a sistemas e equipamentos. | Se você configurar suas interfaces de rede com um endereço IP público, os recursos associados a essas interfaces de rede poderão ser acessados pela Internet. EC2 os recursos não devem ser acessíveis ao público, pois isso pode permitir acesso não intencional aos seus aplicativos ou servidores. | |
| T0144 | Gerencie contas, direitos de rede e acesso a sistemas e equipamentos. | EC2 perfis de instância passam uma função do IAM para uma EC2 instância. Anexar um perfil de instância às instâncias pode ajudar no gerenciamento de privilégio mínimo e permissões. | |
| T0144 | Gerencie contas, direitos de rede e acesso a sistemas e equipamentos. | Se uma definição de tarefa tem privilégios elevados, significa que o cliente optou especificamente por essas configurações. Esse controle verifica o aumento inesperado de privilégios quando uma definição de tarefa tem a rede de host habilitada e o cliente não optou por privilégios elevados. | |
| T0144 | Gerencie contas, direitos de rede e acesso a sistemas e equipamentos. | Certifique-se de que um usuário, uma função do IAM ou um grupo do IAM do AWS Identity and Access Management (IAM) não tenha uma política embutida para controlar o acesso a sistemas e ativos. AWS recomenda usar políticas gerenciadas em vez de políticas embutidas. As políticas gerenciadas permitem a reutilização, o versionamento, a reversão e a delegação do gerenciamento de permissões. | |
| T0144 | Gerencie contas, direitos de rede e acesso a sistemas e equipamentos. | Garanta que as ações do IAM estejam restritas somente às ações necessárias. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres. | |
| T0144 | Gerencie contas, direitos de rede e acesso a sistemas e equipamentos. | Os grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2) podem ajudar a gerenciar o acesso à rede fornecendo uma filtragem monitorada do tráfego de entrada e saída da rede para os recursos. AWS Não permitir o tráfego de entrada (ou remoto) de 0.0.0.0/0 para a porta 22 nos recursos ajuda a restringir o acesso remoto. | |
| T0144 | Gerencie contas, direitos de rede e acesso a sistemas e equipamentos. | Implante instâncias do Amazon Elastic Compute Cloud (Amazon EC2) em uma Amazon Virtual Private Cloud (Amazon VPC) para permitir a comunicação segura entre uma instância e outros serviços dentro da Amazon VPC, sem exigir um gateway de internet, dispositivo NAT ou conexão VPN. Todo o tráfego permanece seguro na nuvem. AWS Devido ao seu isolamento lógico, os domínios que residem no Amazon VPC contam com uma camada adicional de segurança se comparados aos domínios que utilizam endpoints públicos. Atribua EC2 instâncias da Amazon a uma Amazon VPC para gerenciar adequadamente o acesso. | |
| T0144 | Gerencie contas, direitos de rede e acesso a sistemas e equipamentos. | Certifique-se de que as tabelas de EC2 rotas da Amazon não tenham rotas irrestritas para um gateway de internet. Remover ou limitar o acesso à Internet para cargas de trabalho na Amazon VPCs pode reduzir o acesso não intencional em seu ambiente. | |
| T0144 | Gerencie contas, direitos de rede e acesso a sistemas e equipamentos. | O roteamento aprimorado da VPC força todo o tráfego de COPY e UNLOAD entre o cluster e os repositórios de dados a passar pelo Amazon VPC. Em seguida, você pode usar recursos da VPC, como grupos de segurança e listas de controle de acesso à rede, para proteger o tráfego da rede. Você também pode usar os logs de fluxo da VPC para monitorar o tráfego da rede. | |
| T0144 | Gerencie contas, direitos de rede e acesso a sistemas e equipamentos. | Gerencie o acesso aos recursos na AWS nuvem garantindo que os buckets do Amazon Simple Storage Service (Amazon S3) não possam ser acessados publicamente. Essa regra ajuda a manter os dados confidenciais protegidos de usuários remotos não autorizados, impedindo o acesso público. Essa regra permite que você defina opcionalmente ignorePublicAcls (Config Default: True), blockPublicPolicy (Config Default: True), blockPublicAcls (Config Default: True) e restrictPublicBuckets parâmetros (Config Default: True). Os valores reais devem refletir as políticas da organização. | |
| T0144 | Gerencie contas, direitos de rede e acesso a sistemas e equipamentos. | Certifique-se AWS de que os documentos do Systems Manager (SSM) não sejam públicos, pois isso pode permitir acesso não intencional aos seus documentos SSM. Um documento do SSM público pode expor informações sobre sua conta, recursos e processos internos. | |
| T0144 | Gerencie contas, direitos de rede e acesso a sistemas e equipamentos. | Os grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2) podem ajudar no gerenciamento do acesso à rede fornecendo uma filtragem monitorada do tráfego de entrada e saída da rede para os recursos. AWS Restringir todo o tráfego no grupo de segurança padrão ajuda a restringir o acesso remoto aos seus AWS recursos. | |
| T0144 | Gerencie contas, direitos de rede e acesso a sistemas e equipamentos. | Gerencie o acesso aos recursos na AWS nuvem garantindo que as portas comuns sejam restritas aos grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2). Não restringir o acesso às portas a fontes confiáveis pode permitir ataques contra a disponibilidade, a integridade e a confidencialidade dos sistemas. Ao restringir o acesso a recursos em um grupo de segurança da internet (0.0.0.0/0), o acesso remoto pode ser controlado para sistemas internos. | |
| T0144 | Gerencie contas, direitos de rede e acesso a sistemas e equipamentos. | As credenciais são auditadas para dispositivos, usuários e processos autorizados garantindo que as chaves de acesso do IAM sejam alternadas como especificado pela política organizacional. Alterar as chaves de acesso regularmente é uma prática recomendada de segurança. Isso reduz o período em que uma chave de acesso permanece ativa e diminui o impacto nos negócios se as chaves forem comprometidas. Essa regra requer um valor de alternância da chave de acesso (padrão do Config: 90). O valor real deve refletir as políticas da organização. | |
| T0144 | Gerencie contas, direitos de rede e acesso a sistemas e equipamentos. | Gerencie o acesso à AWS nuvem garantindo que as instâncias de replicação do DMS não possam ser acessadas publicamente. As instâncias de replicação do DMS podem conter informações confidenciais, e o controle de acesso é necessário para essas contas. | |
| T0144 | Gerencie contas, direitos de rede e acesso a sistemas e equipamentos. | Gerencie o acesso à AWS nuvem garantindo que os instantâneos do EBS não sejam restauráveis publicamente. Os instantâneos de volume do EBS podem conter informações confidenciais, e o controle de acesso é necessário para essas contas. | |
| T0144 | Gerencie contas, direitos de rede e acesso a sistemas e equipamentos. | Gerencie o acesso à AWS nuvem garantindo que as instâncias do Amazon Elastic Compute Cloud (Amazon EC2) não possam ser acessadas publicamente. EC2As instâncias da Amazon podem conter informações confidenciais e o controle de acesso é necessário para essas contas. | |
| T0144 | Gerencie contas, direitos de rede e acesso a sistemas e equipamentos. | Gerencie o acesso à AWS nuvem garantindo que os domínios do Amazon OpenSearch Service (OpenSearch Service) estejam dentro de uma Amazon Virtual Private Cloud (Amazon VPC). Um domínio OpenSearch de serviço em uma Amazon VPC permite a comunicação segura entre o OpenSearch serviço e outros serviços dentro da Amazon VPC sem a necessidade de um gateway de internet, dispositivo NAT ou conexão VPN. | |
| T0144 | Gerencie contas, direitos de rede e acesso a sistemas e equipamentos. | Ao habilitar o Kerberos para clusters do Amazon EMR, é possível gerenciar e incorporar as permissões e autorizações de acesso com os princípios de privilégio mínimo e separação de deveres. No Kerberos, os serviços e os usuários que precisam se autenticar são conhecidos como entidades principais. As entidades principais existem em um realm Kerberos. No realm, um servidor Kerberos é conhecido como o centro de distribuição de chaves (KDC). Ele fornece um meio para as entidades principais se autenticarem. A autenticação do KDC é feita com a emissão de tíquetes. O KDC mantém um banco de dados das entidades principais dentro do realm, as senhas e outras informações administrativas sobre cada entidade. | |
| T0144 | Gerencie contas, direitos de rede e acesso a sistemas e equipamentos. | Gerencie o acesso à AWS nuvem garantindo que os nós principais do cluster Amazon EMR não possam ser acessados publicamente. Os nós principais do cluster do Amazon EMR podem conter informações confidenciais, e o controle de acesso é necessário para essas contas. | |
| T0144 | Gerencie contas, direitos de rede e acesso a sistemas e equipamentos. | AWS O Identity and Access Management (IAM) pode ajudá-lo a incorporar os princípios de privilégio mínimo e separação de tarefas com permissões e autorizações de acesso, impedindo que as políticas contenham ações bloqueadas em AWS todas as chaves do Key Management Service. Ter mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres. Essa regra permite que você defina o blockedActionsPatterns parâmetro. (Valor AWS básico das melhores práticas de segurança: kms: Decrypt,). kms: ReEncryptFrom Os valores reais devem refletir as políticas da organização. | |
| T0144 | Gerencie contas, direitos de rede e acesso a sistemas e equipamentos. | AWS O Identity and Access Management (IAM) pode ajudá-lo a incorporar os princípios de privilégio mínimo e separação de deveres com permissões e autorizações de acesso, garantindo que os grupos do IAM tenham pelo menos um usuário. Colocar usuários em grupos com base nas permissões associadas ou na função de trabalho é uma forma de incorporar o privilégio mínimo. | |
| T0144 | Gerencie contas, direitos de rede e acesso a sistemas e equipamentos. | Certifique-se de que um usuário, uma função do IAM ou um grupo do IAM do AWS Identity and Access Management (IAM) não tenha uma política embutida para permitir ações bloqueadas em AWS todas as chaves do Key Management Service. AWS recomenda usar políticas gerenciadas em vez de políticas embutidas. As políticas gerenciadas permitem a reutilização, o versionamento, a reversão e a delegação do gerenciamento de permissões. Essa regra permite que você defina o blockedActionsPatterns parâmetro. (Valor AWS básico das melhores práticas de segurança: kms: Decrypt,). kms: ReEncryptFrom Os valores reais devem refletir as políticas da organização. | |
| T0144 | Gerencie contas, direitos de rede e acesso a sistemas e equipamentos. | AWS O Identity and Access Management (IAM) pode ajudá-lo a incorporar os princípios de privilégio mínimo e separação de deveres com permissões e autorizações de acesso, impedindo que as políticas contenham “Efeito”: “Permitir” com “Ação”: “*” sobre “Recurso”: “*”. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres. | |
| T0144 | Gerencie contas, direitos de rede e acesso a sistemas e equipamentos. | O acesso a sistemas e ativos pode ser controlado verificando se o usuário raiz não tem chaves de acesso anexadas à sua função de AWS Identity and Access Management (IAM). Exclua as chaves de acesso raiz. Em vez disso, crie e use com base em funções Contas da AWS para ajudar a incorporar o princípio da menor funcionalidade. | |
| T0144 | Gerencie contas, direitos de rede e acesso a sistemas e equipamentos. | AWS O Identity and Access Management (IAM) pode ajudá-lo a restringir permissões e autorizações de acesso, garantindo que os usuários sejam membros de pelo menos um grupo. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres. | |
| T0144 | Gerencie contas, direitos de rede e acesso a sistemas e equipamentos. | Habilite essa regra para restringir o acesso a recursos na Nuvem AWS . Essa regra garante que a autenticação multifator (MFA) esteja habilitada para todos os usuários. A MFA adiciona uma camada extra de proteção, além do nome de usuário e senha. Reduza os incidentes de contas comprometidas exigindo que os usuários utilizem a MFA. | |
| T0144 | Gerencie contas, direitos de rede e acesso a sistemas e equipamentos. | Essa regra garante que as políticas de AWS Identity and Access Management (IAM) sejam anexadas somente a grupos ou funções para controlar o acesso a sistemas e ativos. A atribuição de privilégios por grupo ou perfil ajuda a reduzir a oportunidade de uma identidade receber ou reter privilégios excessivos. | |
| T0144 | Gerencie contas, direitos de rede e acesso a sistemas e equipamentos. | AWS O Identity and Access Management (IAM) pode ajudá-lo com permissões e autorizações de acesso verificando senhas e chaves de acesso do IAM que não são usadas por um período de tempo especificado. Se essas credenciais não utilizadas forem identificadas, você deverá desabilitar e/ou removê-las, pois isso pode violar o princípio de privilégio mínimo. Essa regra exige que você defina um valor como maxCredentialUsage Idade (Config Default: 90). O valor real deve refletir as políticas da organização. | |
| T0144 | Gerencie contas, direitos de rede e acesso a sistemas e equipamentos. | Gerencie o acesso aos recursos na AWS nuvem garantindo que as funções do AWS Lambda não possam ser acessadas publicamente. O acesso público pode causar degradação da disponibilidade de recursos. | |
| T0144 | Gerencie contas, direitos de rede e acesso a sistemas e equipamentos. | Implante funções AWS Lambda em uma Amazon Virtual Private Cloud (Amazon VPC) para uma comunicação segura entre uma função e outros serviços dentro da Amazon VPC. Com essa configuração, não há necessidade de um gateway da Internet, dispositivo NAT ou conexão VPN. Todo o tráfego permanece seguro na nuvem. AWS Devido ao seu isolamento lógico, os domínios que residem no Amazon VPC contam com uma camada adicional de segurança se comparados aos domínios que utilizam endpoints públicos. Para gerenciar adequadamente o acesso, as funções do AWS Lambda devem ser atribuídas a uma VPC. | |
| T0144 | Gerencie contas, direitos de rede e acesso a sistemas e equipamentos. | Gerencie o acesso à AWS nuvem garantindo que os domínios do Amazon Elasticsearch Service (Amazon ES) estejam dentro de uma Amazon Virtual Private Cloud (Amazon VPC). Colocar um domínio do Amazon ES no Amazon VPC permite uma comunicação segura entre o Amazon ES e os outros serviços no Amazon VPC, sem que seja necessário usar um gateway da Internet, um dispositivo NAT ou uma conexão VPN. | |
| T0144 | Gerencie contas, direitos de rede e acesso a sistemas e equipamentos. | Gerencie o acesso aos recursos na AWS nuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações confidenciais e princípios, e o controle de acesso é necessário para essas contas. | |
| T0144 | Gerencie contas, direitos de rede e acesso a sistemas e equipamentos. | Gerencie o acesso aos recursos na AWS nuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações confidenciais e princípios, e o controle de acesso é necessário para essas contas. | |
| T0144 | Gerencie contas, direitos de rede e acesso a sistemas e equipamentos. | Gerencie o acesso aos recursos na AWS nuvem garantindo que os clusters do Amazon Redshift não sejam públicos. Os clusters do Amazon Redshift podem conter informações confidenciais e princípios, e o controle de acesso é necessário para essas contas. | |
| T0144 | Gerencie contas, direitos de rede e acesso a sistemas e equipamentos. | Gerencie o acesso aos recursos na AWS nuvem garantindo que as portas comuns sejam restritas nos grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2). Não restringir o acesso às portas a fontes confiáveis pode permitir ataques contra a disponibilidade, a integridade e a confidencialidade dos sistemas. Essa regra permite que você defina opcionalmente os parâmetros blockedPort1-blockedPort5 (Padrões de configuração: 20.21.3389.3306.4333). Os valores reais devem refletir as políticas da organização. | |
| T0144 | Gerencie contas, direitos de rede e acesso a sistemas e equipamentos. | Gerencie o acesso aos recursos na AWS nuvem permitindo que somente usuários, processos e dispositivos autorizados acessem os buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados. | |
| T0144 | Gerencie contas, direitos de rede e acesso a sistemas e equipamentos. | Gerencie o acesso aos recursos na AWS nuvem permitindo que somente usuários, processos e dispositivos autorizados acessem os buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados. | |
| T0144 | Gerencie contas, direitos de rede e acesso a sistemas e equipamentos. | Gerencie o acesso aos recursos na AWS nuvem garantindo que os SageMaker notebooks da Amazon não permitam acesso direto à Internet. Ao impedir o acesso direto à internet, você impede que dados confidenciais sejam acessados por usuários não autorizados. | |
| T0144 | Gerencie contas, direitos de rede e acesso a sistemas e equipamentos. | Essa regra garante que AWS os segredos do Secrets Manager tenham a rotação ativada. A alternância de segredos em uma programação regular pode reduzir o período em que um segredo fica ativo, além de diminuir o impacto nos negócios, se o segredo for comprometido. | |
| T0144 | Gerencie contas, direitos de rede e acesso a sistemas e equipamentos. | Gerencie o acesso à AWS nuvem garantindo que as sub-redes da Amazon Virtual Private Cloud (VPC) não recebam automaticamente um endereço IP público. As instâncias do Amazon Elastic Compute Cloud (EC2) que são lançadas em sub-redes com esse atributo ativado têm um endereço IP público atribuído à sua interface de rede primária. | |
| T0151 | Monitore e avalie a eficácia das proteções de segurança cibernética da empresa para garantir que elas forneçam o nível de proteção pretendido. | AWS O Security Hub ajuda a monitorar pessoas, conexões, dispositivos e software não autorizados. AWS O Security Hub agrega, organiza e prioriza os alertas ou descobertas de segurança de vários serviços. AWS Alguns desses serviços são o Amazon Security Hub, o Amazon Inspector, o Amazon Macie AWS , o Identity and Access Management (IAM) Access Analyzer e o Firewall AWS Manager, além de soluções de parceiros. AWS | |
| T0151 | Monitore e avalie a eficácia das proteções de segurança cibernética da empresa para garantir que elas forneçam o nível de proteção pretendido. | CloudWatch Os alarmes da Amazon alertam quando uma métrica ultrapassa o limite de um número específico de períodos de avaliação. O alarme executa uma ou mais ações com base no valor da métrica ou na expressão em relação a um limite em alguns períodos. Essa regra exige um valor para alarmActionRequired (Config Default: True), insufficientDataAction Obrigatório (Config Default: True), ( okActionRequired Config Default: False). O valor real deve refletir as ações de alarme do ambiente. | |
| T0151 | Monitore e avalie a eficácia das proteções de segurança cibernética da empresa para garantir que elas forneçam o nível de proteção pretendido. | A Amazon GuardDuty pode ajudar a monitorar e detectar possíveis eventos de cibersegurança usando feeds de inteligência de ameaças. Isso inclui listas de aprendizado de máquina IPs e malicioso para identificar atividades inesperadas, não autorizadas e maliciosas em seu ambiente de AWS nuvem. | |
| T0152 | Monitore e mantenha bancos de dados para garantir o desempenho ideal. | O recurso de backup do Amazon RDS cria backups dos bancos de dados e logs de transações. O Amazon RDS cria automaticamente um instantâneo do volume de armazenamento da instância de banco de dados, fazendo backup de toda a instância de banco de dados. O sistema permite que você defina períodos de retenção específicos para atender aos requisitos de resiliência. | |
| T0152 | Monitore e mantenha bancos de dados para garantir o desempenho ideal. | O Amazon DynamoDB auto scaling usa o serviço Application AWS Auto Scaling para ajustar a capacidade de transferência provisionada que responde automaticamente aos padrões reais de tráfego. Isso permite que uma tabela ou um índice secundário global aumente a capacidade provisionada de leitura e gravação para processar aumentos repentinos no tráfego, sem controle de utilização. | |
| T0152 | Monitore e mantenha bancos de dados para garantir o desempenho ideal. | Para ajudar nos processos de backup de dados, garanta que suas tabelas do Amazon DynamoDB façam parte de um plano de AWS backup. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups. | |
| T0152 | Monitore e mantenha bancos de dados para garantir o desempenho ideal. | Habilite essa regra para verificar se o backup das informações foi realizado. Ele também mantém os backups, garantindo que a point-in-time recuperação seja habilitada no Amazon DynamoDB. A recuperação mantém backups contínuos da tabela nos últimos 35 dias. | |
| T0152 | Monitore e mantenha bancos de dados para garantir o desempenho ideal. | Habilite essa regra para garantir que a capacidade de throughput provisionada seja verificada em suas tabelas do Amazon DynamoDB. Essa é a quantidade de atividades de leitura e gravação que cada tabela pode comportar. O DynamoDB usa essas informações para reservar recursos suficientes do sistema para atender aos seus requisitos de throughput. Essa regra gera um alerta quando o throughput se aproxima do limite máximo da conta de um cliente. Essa regra permite que você defina opcionalmente os parâmetros RCUThreshold Porcentagem da conta (Configuração Padrão: 80) e Porcentagem WCUThreshold da conta (Padrão de Configuração: 80). Os valores reais devem refletir as políticas da organização. | |
| T0152 | Monitore e mantenha bancos de dados para garantir o desempenho ideal. | Habilite atualizações automáticas de versões secundárias nas instâncias do Amazon Relational Database Service (RDS) para garantir que as últimas atualizações de versões secundárias do sistema de gerenciamento de banco de dados relacional (RDBMS) estejam instaladas, o que pode incluir patches de segurança e correções de bugs. | |
| T0152 | Monitore e mantenha bancos de dados para garantir o desempenho ideal. | Habilite o Amazon Relational Database Service (Amazon RDS) para ajudar a monitorar a disponibilidade do Amazon RDS. Isso fornece visibilidade detalhada da integridade das instâncias de banco de dados do Amazon RDS. Quando o armazenamento do Amazon RDS está usando mais de um dispositivo físico subjacente, o monitoramento avançado coleta os dados de cada dispositivo. Além disso, quando a instância do banco de dados do Amazon RDS está sendo executada em uma implantação multi-AZ, os dados de cada dispositivo no host secundário são coletados, bem como as respectivas das métricas. | |
| T0152 | Monitore e mantenha bancos de dados para garantir o desempenho ideal. | Habilite a proteção contra exclusão das instâncias do Amazon Relational Database Service (Amazon RDS). Use a proteção contra exclusão para evitar que as instâncias do Amazon RDS sejam excluídas de forma acidental ou mal-intencionada, o que pode levar à perda de disponibilidade das aplicações. | |
| T0152 | Monitore e mantenha bancos de dados para garantir o desempenho ideal. | Gerencie o acesso aos recursos na AWS nuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações confidenciais e princípios, e o controle de acesso é necessário para essas contas. | |
| T0152 | Monitore e mantenha bancos de dados para garantir o desempenho ideal. | Para ajudar nos processos de backup de dados, garanta que suas instâncias do Amazon Relational Database Service (Amazon RDS) façam parte de um AWS plano de backup. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups. | |
| T0152 | Monitore e mantenha bancos de dados para garantir o desempenho ideal. | Para ajudar no registro em log e no monitoramento em seu ambiente, habilite o registro em log do Amazon Relational Database Service (Amazon RDS). Com o registro em log do Amazon RDS, você pode capturar eventos como conexões, desconexões, consultas ou tabelas consultadas. | |
| T0152 | Monitore e mantenha bancos de dados para garantir o desempenho ideal. | O suporte multi-AZ no Amazon Relational Database Service (Amazon RDS) oferece maior disponibilidade e durabilidade para instâncias de banco de dados. Ao provisionar uma instância de banco de dados multi-AZ, o Amazon RDS cria automaticamente uma instância de banco de dados primária e replica de forma síncrona os dados em uma instância em modo de espera em outra zona de disponibilidade. Cada zona de disponibilidade funciona em sua própria infraestrutura independente e fisicamente distinta, além de ser projetada para ser altamente confiável. No caso de falha na infraestrutura, o Amazon RDS executa um failover automático no modo de espera para que você possa retomar as operações do banco de dados assim que o failover for concluído. | |
| T0152 | Monitore e mantenha bancos de dados para garantir o desempenho ideal. | Gerencie o acesso aos recursos na AWS nuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações confidenciais e princípios, e o controle de acesso é necessário para essas contas. | |
| T0152 | Monitore e mantenha bancos de dados para garantir o desempenho ideal. | Habilite a criptografia para os instantâneos do Amazon Relational Database Service (Amazon RDS). Como pode haver dados confidenciais em repouso, habilite a criptografia em repouso para ajudar a protegê-los. | |
| T0152 | Monitore e mantenha bancos de dados para garantir o desempenho ideal. | Para ajudar a proteger os dados em repouso, habilite a criptografia para as instâncias do Amazon Relational Database Service (Amazon RDS). Como pode haver dados confidenciais em repouso nas instâncias do Amazon RDS, habilite a criptografia em repouso para ajudar a protegê-los. | |
| T0152 | Monitore e mantenha bancos de dados para garantir o desempenho ideal. | Para ajudar nos processos de backup de dados, os clusters do Amazon Redshift devem ter instantâneos automatizados. Quando instantâneos automatizados são habilitados para um cluster, o Redshift tira instantâneos desse cluster periodicamente. Por padrão, o Redshift tira um instantâneo a cada oito horas ou a cada 5 GB por nó de alterações de dados, o que ocorrer primeiro. | |
| T0152 | Monitore e mantenha bancos de dados para garantir o desempenho ideal. | Para proteger os dados em repouso, habilite a criptografia para os clusters do Amazon Redshift. Implante também as configurações necessárias nos clusters do Amazon Redshift. O registro em log de auditoria deve ser habilitado para fornecer informações sobre conexões e atividades do usuário no banco de dados. Essa regra exige que um valor seja definido para clusterDbEncrypted (Config Default: TRUE) e LoggingEnabled (Config Default: TRUE). Os valores reais devem refletir as políticas da organização. | |
| T0152 | Monitore e mantenha bancos de dados para garantir o desempenho ideal. | Essa regra garante que os clusters do Amazon Redshift tenham as configurações preferidas da organização. Especificamente, que eles tenham janelas de manutenção preferenciais e períodos automatizados de retenção de instantâneos para o banco de dados. Essa regra exige que você defina allowVersionUpgrade o. O padrão é true. Também permite definir opcionalmente o preferredMaintenanceWindow (o padrão é sat: 16:00 -sat: 16:30) e o automatedSnapshotRetention Período (o padrão é 1). Os valores reais devem refletir as políticas da organização. | |
| T0152 | Monitore e mantenha bancos de dados para garantir o desempenho ideal. | Gerencie o acesso aos recursos na AWS nuvem garantindo que os clusters do Amazon Redshift não sejam públicos. Os clusters do Amazon Redshift podem conter informações confidenciais e princípios, e o controle de acesso é necessário para essas contas. | |
| T0152 | Monitore e mantenha bancos de dados para garantir o desempenho ideal. | O roteamento aprimorado da VPC força todo o tráfego de COPY e UNLOAD entre o cluster e os repositórios de dados a passar pelo Amazon VPC. Em seguida, você pode usar recursos da VPC, como grupos de segurança e listas de controle de acesso à rede, para proteger o tráfego da rede. Você também pode usar os logs de fluxo da VPC para monitorar o tráfego da rede. | |
| T0152 | Monitore e mantenha bancos de dados para garantir o desempenho ideal. | Os clusters do Amazon Redshift devem exigir criptografia TLS/SSL para se conectar aos clientes SQL. Como pode haver dados confidenciais, habilite a criptografia em trânsito para ajudar a protegê-los. | |
| T0152 | Monitore e mantenha bancos de dados para garantir o desempenho ideal. | Para ajudar a proteger dados em repouso, garanta que a criptografia com o AWS Key Management Service (AWS KMS) esteja habilitada para seu cluster do Amazon Redshift. Como pode haver dados confidenciais em repouso nos clusters do Redshift, habilite a criptografia em repouso para ajudar a protegê-los. | |
| T0153 | Monitore a capacidade e o desempenho da rede. | As verificações de saúde do Elastic Load Balancer (ELB) para grupos de Auto EC2 Scaling do Amazon Elastic Compute Cloud (Amazon) apoiam a manutenção de capacidade e disponibilidade adequadas. O balanceador de carga envia periodicamente pings, tenta conexões ou envia solicitações para testar a integridade das EC2 instâncias da Amazon em um grupo de auto-scaling. Se uma instância não estiver reportando, o tráfego será enviado para uma nova EC2 instância da Amazon. | |
| T0153 | Monitore a capacidade e o desempenho da rede. | Habilite essa regra para garantir que a capacidade de throughput provisionada seja verificada em suas tabelas do Amazon DynamoDB. Essa é a quantidade de atividades de leitura e gravação que cada tabela pode comportar. O DynamoDB usa essas informações para reservar recursos suficientes do sistema para atender aos seus requisitos de throughput. Essa regra gera um alerta quando o throughput se aproxima do limite máximo da conta de um cliente. Essa regra permite que você defina opcionalmente os parâmetros RCUThreshold Porcentagem da conta (Configuração Padrão: 80) e Porcentagem WCUThreshold da conta (Padrão de Configuração: 80). Os valores reais devem refletir as políticas da organização. | |
| T0153 | Monitore a capacidade e o desempenho da rede. | Os logs de fluxo da VPC fornecem registros detalhados de informações sobre o tráfego de IP de entrada e saída das interfaces de rede no Amazon Virtual Private Cloud (Amazon VPC). Por padrão, o registro de log de fluxo inclui valores para os diferentes componentes do fluxo de IP, incluindo a origem, o destino e o protocolo. | |
| T0153 | Monitore a capacidade e o desempenho da rede. | Túneis Site-to-Site VPN redundantes podem ser implementados para atingir os requisitos de resiliência. Ele usa dois túneis para ajudar a garantir a conectividade caso uma das conexões Site-to-Site VPN fique indisponível. Para se proteger contra a perda de conectividade, caso o gateway do cliente fique indisponível, você pode configurar uma segunda conexão Site-to-Site VPN com a Amazon Virtual Private Cloud (Amazon VPC) e o gateway privado virtual usando um segundo gateway do cliente. | |
| T0154 | Monitore e relate o uso de ativos e recursos de gerenciamento de conhecimento. | Uma duração mínima dos dados de log de eventos deve ser retida para os grupos de logs a fim de ajudar na solução de problemas e nas investigações forenses. A falta de dados de log de eventos anteriores disponíveis dificulta a reconstrução e a identificação de eventos possivelmente mal-intencionados. | |
| T0154 | Monitore e relate o uso de ativos e recursos de gerenciamento de conhecimento. | Certifique-se de que os domínios do Amazon OpenSearch Service tenham registros de erros habilitados e transmitidos para o Amazon CloudWatch Logs para retenção e resposta. Os logs de erros do domínio podem auxiliar nas auditorias de segurança e acesso, além de ajudar a diagnosticar problemas de disponibilidade. | |
| T0154 | Monitore e relate o uso de ativos e recursos de gerenciamento de conhecimento. | Essa regra garante que os limites altos e baixos de simultaneidade de uma função do Lambda sejam estabelecidos. Isso pode ajudar a definir o número de solicitações que a função atende em determinado momento. | |
| T0154 | Monitore e relate o uso de ativos e recursos de gerenciamento de conhecimento. | Habilite essa regra para ajudar a notificar a equipe adequada por meio do Amazon Simple Queue Service (Amazon SQS) ou do Amazon Simple Notification Service (Amazon SNS) quando uma função falhar. | |
| T0154 | Monitore e relate o uso de ativos e recursos de gerenciamento de conhecimento. | AWS CloudTrail registra as ações do AWS Management Console e as chamadas de API. Você pode identificar quais usuários e contas ligaram AWS, o endereço IP de origem de onde as chamadas foram feitas e quando elas ocorreram. CloudTrail entregará arquivos de log de todas as AWS regiões para seu bucket do S3 se MULTI_REGION_CLOUD_TRAIL_ENABLED estiver habilitado. Além disso, ao AWS lançar uma nova região, CloudTrail criará a mesma trilha na nova região. Como resultado, você receberá arquivos de log contendo a atividade da API para a nova região sem realizar nenhuma ação. | |
| T0154 | Monitore e relate o uso de ativos e recursos de gerenciamento de conhecimento. | Habilite o Amazon Relational Database Service (Amazon RDS) para ajudar a monitorar a disponibilidade do Amazon RDS. Isso fornece visibilidade detalhada da integridade das instâncias de banco de dados do Amazon RDS. Quando o armazenamento do Amazon RDS está usando mais de um dispositivo físico subjacente, o monitoramento avançado coleta os dados de cada dispositivo. Além disso, quando a instância do banco de dados do Amazon RDS está sendo executada em uma implantação multi-AZ, os dados de cada dispositivo no host secundário são coletados, bem como as respectivas das métricas. | |
| T0154 | Monitore e relate o uso de ativos e recursos de gerenciamento de conhecimento. | Para ajudar no registro em log e no monitoramento em seu ambiente, habilite o registro em log do Amazon Relational Database Service (Amazon RDS). Com o registro em log do Amazon RDS, você pode capturar eventos como conexões, desconexões, consultas ou tabelas consultadas. | |
| T0154 | Monitore e relate o uso de ativos e recursos de gerenciamento de conhecimento. | AWS O Security Hub ajuda a monitorar pessoas, conexões, dispositivos e software não autorizados. AWS O Security Hub agrega, organiza e prioriza os alertas ou descobertas de segurança de vários serviços. AWS Alguns desses serviços são o Amazon Security Hub, o Amazon Inspector, o Amazon Macie AWS , o Identity and Access Management (IAM) Access Analyzer e o Firewall AWS Manager, além de soluções de parceiros. AWS | |
| T0154 | Monitore e relate o uso de ativos e recursos de gerenciamento de conhecimento. | Para ajudar com o registro e o monitoramento em seu ambiente, habilite o registro em AWS WAF (V2) na web regional e global. ACLs AWS O registro do WAF fornece informações detalhadas sobre o tráfego que é analisado pela sua ACL da web. Os registros registram a hora em que o AWS WAF recebeu a solicitação do seu AWS recurso, informações sobre a solicitação e uma ação para a regra à qual cada solicitação correspondeu. | |
| T0154 | Monitore e relate o uso de ativos e recursos de gerenciamento de conhecimento. | O registro em log do API Gateway exibe visualizações detalhadas dos usuários que acessaram a API e a forma como eles a acessaram. Esse insight mostra as atividades do usuário. | |
| T0154 | Monitore e relate o uso de ativos e recursos de gerenciamento de conhecimento. | As verificações de saúde do Elastic Load Balancer (ELB) para grupos de Auto EC2 Scaling do Amazon Elastic Compute Cloud (Amazon) apoiam a manutenção de capacidade e disponibilidade adequadas. O balanceador de carga envia periodicamente pings, tenta conexões ou envia solicitações para testar a integridade das EC2 instâncias da Amazon em um grupo de auto-scaling. Se uma instância não estiver reportando, o tráfego será enviado para uma nova EC2 instância da Amazon. | |
| T0154 | Monitore e relate o uso de ativos e recursos de gerenciamento de conhecimento. | AWS Os relatórios de saúde aprimorados do Elastic Beanstalk permitem uma resposta mais rápida às mudanças na integridade da infraestrutura subjacente. Essas alterações podem resultar na falta de disponibilidade do aplicativo. Os relatórios de integridade aprimorados do Elastic Beanstalk fornecem um descritor de status para avaliar a gravidade dos problemas identificados e descobrir possíveis causas a serem investigadas. | |
| T0154 | Monitore e relate o uso de ativos e recursos de gerenciamento de conhecimento. | Use CloudWatch a Amazon para coletar e gerenciar centralmente a atividade de eventos de log. A inclusão de AWS CloudTrail dados fornece detalhes da atividade de chamadas de API em seu Conta da AWS. | |
| T0154 | Monitore e relate o uso de ativos e recursos de gerenciamento de conhecimento. | AWS CloudTrail pode ajudar na não repúdio gravando ações do AWS Management Console e chamadas de API. Você pode identificar os usuários e os Contas da AWS que chamaram um AWS serviço, o endereço IP de origem onde as chamadas foram geradas e os horários das chamadas. Os detalhes dos dados capturados são vistos no Conteúdo do AWS CloudTrail Registro. | |
| T0154 | Monitore e relate o uso de ativos e recursos de gerenciamento de conhecimento. | A coleta de eventos de dados do Simple Storage Service (Amazon S3) ajuda a detectar qualquer atividade anômala. Os detalhes incluem informações da conta da AWS que acessou um bucket do Amazon S3, o endereço IP e o horário do evento. | |
| T0154 | Monitore e relate o uso de ativos e recursos de gerenciamento de conhecimento. | CloudWatch Os alarmes da Amazon alertam quando uma métrica ultrapassa o limite de um número específico de períodos de avaliação. O alarme executa uma ou mais ações com base no valor da métrica ou na expressão em relação a um limite em alguns períodos. Essa regra exige um valor para alarmActionRequired (Config Default: True), insufficientDataAction Obrigatório (Config Default: True), ( okActionRequired Config Default: False). O valor real deve refletir as ações de alarme do ambiente. | |
| T0154 | Monitore e relate o uso de ativos e recursos de gerenciamento de conhecimento. | Habilite essa regra para garantir que a capacidade de throughput provisionada seja verificada em suas tabelas do Amazon DynamoDB. Essa é a quantidade de atividades de leitura e gravação que cada tabela pode comportar. O DynamoDB usa essas informações para reservar recursos suficientes do sistema para atender aos seus requisitos de throughput. Essa regra gera um alerta quando o throughput se aproxima do limite máximo da conta de um cliente. Essa regra permite que você defina opcionalmente os parâmetros RCUThreshold Porcentagem da conta (Configuração Padrão: 80) e Porcentagem WCUThreshold da conta (Padrão de Configuração: 80). Os valores reais devem refletir as políticas da organização. | |
| T0154 | Monitore e relate o uso de ativos e recursos de gerenciamento de conhecimento. | Ative essa regra para ajudar a melhorar o monitoramento de instâncias do Amazon Elastic Compute Cloud (Amazon EC2) no EC2 console da Amazon, que exibe gráficos de monitoramento com um período de 1 minuto para a instância. | |
| T0154 | Monitore e relate o uso de ativos e recursos de gerenciamento de conhecimento. | A atividade do Elastic Load Balancing é um ponto central de comunicação em um ambiente. Habilite o registro em log do ELB. Os dados coletados fornecem informações detalhadas sobre as solicitações enviadas ao ELB. Cada log contém informações como a hora em que a solicitação foi recebida, o endereço IP do cliente, latências, caminhos de solicitação e respostas do servidor. | |
| T0154 | Monitore e relate o uso de ativos e recursos de gerenciamento de conhecimento. | A Amazon GuardDuty pode ajudar a monitorar e detectar possíveis eventos de cibersegurança usando feeds de inteligência de ameaças. Isso inclui listas de aprendizado de máquina IPs e malicioso para identificar atividades inesperadas, não autorizadas e maliciosas em seu ambiente de AWS nuvem. | |
| T0154 | Monitore e relate o uso de ativos e recursos de gerenciamento de conhecimento. | Para proteger os dados em repouso, habilite a criptografia para os clusters do Amazon Redshift. Implante também as configurações necessárias nos clusters do Amazon Redshift. O registro em log de auditoria deve ser habilitado para fornecer informações sobre conexões e atividades do usuário no banco de dados. Essa regra exige que um valor seja definido para clusterDbEncrypted (Config Default: TRUE) e LoggingEnabled (Config Default: TRUE). Os valores reais devem refletir as políticas da organização. | |
| T0154 | Monitore e relate o uso de ativos e recursos de gerenciamento de conhecimento. | O registro em log de acesso ao servidor do Amazon Simple Storage Service (Amazon S3) fornece um método para monitorar a rede em busca de possíveis eventos de segurança cibernética. Os eventos são monitorados pela captura de registros detalhados das solicitações que são feitas a um bucket do Amazon S3. Cada registro de log de acesso fornece detalhes sobre uma única solicitação de acesso. Os detalhes incluem solicitante, nome do bucket, horário da solicitação, ação da solicitação, status da resposta e um código de erro, se relevante. | |
| T0154 | Monitore e relate o uso de ativos e recursos de gerenciamento de conhecimento. | Os logs de fluxo da VPC fornecem registros detalhados de informações sobre o tráfego de IP de entrada e saída das interfaces de rede no Amazon Virtual Private Cloud (Amazon VPC). Por padrão, o registro de log de fluxo inclui valores para os diferentes componentes do fluxo de IP, incluindo a origem, o destino e o protocolo. | |
| T0156 | Supervisione e faça recomendações sobre o gerenciamento de configurações. | O gerenciamento centralizado de Contas da AWS dentro das AWS Organizations ajuda a garantir que as contas estejam em conformidade. Usar uma governança não centralizada na conta pode gerar inconsistências nas configurações da conta, o que pode expor recursos e dados confidenciais. | |
| T0156 | Supervisione e faça recomendações sobre o gerenciamento de configurações. | É possível fazer um inventário das plataformas de software e aplicativos dentro da organização gerenciando instâncias do Amazon Elastic Compute Cloud (Amazon EC2) com o AWS Systems Manager. Use o AWS Systems Manager para fornecer configurações detalhadas do sistema, níveis de patch do sistema operacional, nome e tipo de serviços, instalações de software, nome do aplicativo, editor e versão, além de outros detalhes sobre seu ambiente. | |
| T0156 | Supervisione e faça recomendações sobre o gerenciamento de configurações. | Use o AWS Systems Manager Associations para ajudar no inventário de plataformas e aplicativos de software em uma organização. AWS Systems Manager atribui um estado de configuração às instâncias gerenciadas e permite que você defina linhas de base de níveis de patch do sistema operacional, instalações de software, configurações de aplicações e outros detalhes sobre o ambiente. | |
| T0156 | Supervisione e faça recomendações sobre o gerenciamento de configurações. | Ative essa regra para ajudar na identificação e documentação das vulnerabilidades do Amazon Elastic Compute Cloud (Amazon EC2). A regra verifica se a conformidade de patches de EC2 instâncias da Amazon no AWS Systems Manager conforme exigido pelas políticas e procedimentos da sua organização. | |
| T0156 | Supervisione e faça recomendações sobre o gerenciamento de configurações. | Essa regra garante que os clusters do Amazon Redshift tenham as configurações preferidas da organização. Especificamente, que eles tenham janelas de manutenção preferenciais e períodos automatizados de retenção de instantâneos para o banco de dados. Essa regra exige que você defina allowVersionUpgrade o. O padrão é true. Também permite definir opcionalmente o preferredMaintenanceWindow (o padrão é sat: 16:00 -sat: 16:30) e o automatedSnapshotRetention Período (o padrão é 1). Os valores reais devem refletir as políticas da organização. | |
| T0156 | Supervisione e faça recomendações sobre o gerenciamento de configurações. | Habilitar atualizações gerenciadas da plataforma para um ambiente do Amazon Elastic Beanstalk garante que as últimas correções, atualizações e recursos de plataforma disponíveis para o ambiente sejam instalados. Uma das práticas recomendadas para proteger sistemas é manter a instalação de patches em dia. | |
| T0156 | Supervisione e faça recomendações sobre o gerenciamento de configurações. | Gerencie o acesso aos recursos na AWS nuvem garantindo que as portas comuns sejam restritas nos grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2). Não restringir o acesso às portas a fontes confiáveis pode permitir ataques contra a disponibilidade, a integridade e a confidencialidade dos sistemas. Essa regra permite que você defina opcionalmente os parâmetros blockedPort1-blockedPort5 (Padrões de configuração: 20.21.3389.3306.4333). Os valores reais devem refletir as políticas da organização. | |
| T0156 | Supervisione e faça recomendações sobre o gerenciamento de configurações. | Os grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2) podem ajudar no gerenciamento do acesso à rede fornecendo uma filtragem monitorada do tráfego de entrada e saída da rede para os recursos. AWS Restringir todo o tráfego no grupo de segurança padrão ajuda a restringir o acesso remoto aos seus AWS recursos. | |
| T0156 | Supervisione e faça recomendações sobre o gerenciamento de configurações. | Gerencie o acesso aos recursos na AWS nuvem garantindo que as portas comuns sejam restritas aos grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2). Não restringir o acesso às portas a fontes confiáveis pode permitir ataques contra a disponibilidade, a integridade e a confidencialidade dos sistemas. Ao restringir o acesso a recursos em um grupo de segurança da internet (0.0.0.0/0), o acesso remoto pode ser controlado para sistemas internos. | |
| T0160 | Aplique patches nas vulnerabilidades da rede para garantir que as informações sejam protegidas contra terceiros. | Habilite atualizações automáticas de versões secundárias nas instâncias do Amazon Relational Database Service (RDS) para garantir que as últimas atualizações de versões secundárias do sistema de gerenciamento de banco de dados relacional (RDBMS) estejam instaladas, o que pode incluir patches de segurança e correções de bugs. | |
| T0160 | Aplique patches nas vulnerabilidades da rede para garantir que as informações sejam protegidas contra terceiros. | Use o AWS Systems Manager Associations para ajudar no inventário de plataformas e aplicativos de software em uma organização. AWS Systems Manager atribui um estado de configuração às instâncias gerenciadas e permite que você defina linhas de base de níveis de patch do sistema operacional, instalações de software, configurações de aplicações e outros detalhes sobre o ambiente. | |
| T0160 | Aplique patches nas vulnerabilidades da rede para garantir que as informações sejam protegidas contra terceiros. | Ative essa regra para ajudar na identificação e documentação das vulnerabilidades do Amazon Elastic Compute Cloud (Amazon EC2). A regra verifica se a conformidade de patches de EC2 instâncias da Amazon no AWS Systems Manager conforme exigido pelas políticas e procedimentos da sua organização. | |
| T0162 | Execute backup e recuperação de bancos de dados para garantir a integridade dos dados. | Para ajudar nos processos de backup de dados, garanta que suas tabelas do Amazon DynamoDB façam parte de um plano de AWS backup. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups. | |
| T0162 | Execute backup e recuperação de bancos de dados para garantir a integridade dos dados. | Para ajudar nos processos de backup de dados, garanta que seus volumes do Amazon Elastic Block Store (Amazon EBS) façam parte de um plano de backup. AWS AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups. | |
| T0162 | Execute backup e recuperação de bancos de dados para garantir a integridade dos dados. | Para ajudar nos processos de backup de dados, garanta que seus sistemas de arquivos do Amazon Elastic File System (Amazon EFS) façam parte de um plano de AWS backup. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups. | |
| T0162 | Execute backup e recuperação de bancos de dados para garantir a integridade dos dados. | Para ajudar nos processos de backup de dados, garanta que suas instâncias do Amazon Relational Database Service (Amazon RDS) façam parte de um AWS plano de backup. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups. | |
| T0162 | Execute backup e recuperação de bancos de dados para garantir a integridade dos dados. | Para ajudar nos processos de backup de dados, os clusters do Amazon Redshift devem ter instantâneos automatizados. Quando instantâneos automatizados são habilitados para um cluster, o Redshift tira instantâneos desse cluster periodicamente. Por padrão, o Redshift tira um instantâneo a cada oito horas ou a cada 5 GB por nó de alterações de dados, o que ocorrer primeiro. | |
| T0162 | Execute backup e recuperação de bancos de dados para garantir a integridade dos dados. | Para ajudar nos processos de backup de dados, certifique-se de que seu plano de AWS backup esteja definido para uma frequência e retenção mínimas. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups. Essa regra permite que você defina os requiredFrequencyValue parâmetros (Config default: 1), ( requiredRetentionDaysConfig default: 35) e ( requiredFrequencyUnit Config default: days). O valor real deve refletir os requisitos da organização. | |
| T0162 | Execute backup e recuperação de bancos de dados para garantir a integridade dos dados. | Certifique-se de que a criptografia esteja ativada para seus pontos AWS de recuperação de Backup. Como pode haver dados confidenciais em repouso, habilite a criptografia em repouso para ajudar a protegê-los. | |
| T0162 | Execute backup e recuperação de bancos de dados para garantir a integridade dos dados. | Certifique-se de que seus pontos AWS de recuperação de Backup tenham uma política baseada em recursos anexada que impeça a exclusão de pontos de recuperação. Usar uma política baseada em recursos para impedir a exclusão de pontos de recuperação pode ajudar a evitar a exclusão acidental ou intencional. | |
| T0162 | Execute backup e recuperação de bancos de dados para garantir a integridade dos dados. | O recurso de backup do Amazon RDS cria backups dos bancos de dados e logs de transações. O Amazon RDS cria automaticamente um instantâneo do volume de armazenamento da instância de banco de dados, fazendo backup de toda a instância de banco de dados. O sistema permite que você defina períodos de retenção específicos para atender aos requisitos de resiliência. | |
| T0162 | Execute backup e recuperação de bancos de dados para garantir a integridade dos dados. | Habilite essa regra para verificar se o backup das informações foi realizado. Ele também mantém os backups, garantindo que a point-in-time recuperação seja habilitada no Amazon DynamoDB. A recuperação mantém backups contínuos da tabela nos últimos 35 dias. | |
| T0162 | Execute backup e recuperação de bancos de dados para garantir a integridade dos dados. | Para ajudar nos processos de backup de dados, garanta que seus recursos do Amazon Elastic Compute Cloud EC2 (Amazon) façam parte de um plano de AWS backup. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups. | |
| T0162 | Execute backup e recuperação de bancos de dados para garantir a integridade dos dados. | Quando os backups automáticos estão habilitados, a Amazon ElastiCache cria um backup do cluster diariamente. O backup pode ser retido por vários dias, conforme especificado pela organização. Os backups automáticos podem ajudar a proteger contra a perda de dados. Em caso de falha, é possível criar um cluster e restaurar os dados usando o backup mais recente. | |
| T0162 | Execute backup e recuperação de bancos de dados para garantir a integridade dos dados. | Essa regra garante que os clusters do Amazon Redshift tenham as configurações preferidas da organização. Especificamente, que eles tenham janelas de manutenção preferenciais e períodos automatizados de retenção de instantâneos para o banco de dados. Essa regra exige que você defina allowVersionUpgrade o. O padrão é true. Também permite definir opcionalmente o preferredMaintenanceWindow (o padrão é sat: 16:00 -sat: 16:30) e o automatedSnapshotRetention Período (o padrão é 1). Os valores reais devem refletir as políticas da organização. | |
| T0162 | Execute backup e recuperação de bancos de dados para garantir a integridade dos dados. | A Replicação entre regiões (CRR) do Amazon Simple Storage Service (Amazon S3) é compatível com a manutenção de capacidade e disponibilidade adequadas. A CRR permite a cópia automática e assíncrona de objetos nos buckets do Amazon S3 para ajudar a garantir a manutenção da disponibilidade de dados. | |
| T0162 | Execute backup e recuperação de bancos de dados para garantir a integridade dos dados. | O versionamento do bucket do Amazon Simple Storage Service (Amazon S3) ajuda a manter diversas variantes de um objeto no mesmo bucket do Amazon S3. Use o versionamento para preservar, recuperar e restaurar todas as versões de cada objeto armazenado no bucket do Amazon S3. O versionamento ajuda você a se recuperar facilmente de ações não intencionais de usuários e de falhas da aplicação. | |
| T0166 | Realize a correlação de eventos usando informações coletadas de várias fontes na empresa para obter consciência situacional e determinar a eficácia de um ataque observado. | Uma duração mínima dos dados de log de eventos deve ser retida para os grupos de logs a fim de ajudar na solução de problemas e nas investigações forenses. A falta de dados de log de eventos anteriores disponíveis dificulta a reconstrução e a identificação de eventos possivelmente mal-intencionados. | |
| T0166 | Realize a correlação de eventos usando informações coletadas de várias fontes na empresa para obter consciência situacional e determinar a eficácia de um ataque observado. | Certifique-se de que os domínios do Amazon OpenSearch Service tenham registros de erros habilitados e transmitidos para o Amazon CloudWatch Logs para retenção e resposta. Os logs de erros do domínio podem auxiliar nas auditorias de segurança e acesso, além de ajudar a diagnosticar problemas de disponibilidade. | |
| T0166 | Realize a correlação de eventos usando informações coletadas de várias fontes na empresa para obter consciência situacional e determinar a eficácia de um ataque observado. | AWS CloudTrail registra as ações do AWS Management Console e as chamadas de API. Você pode identificar quais usuários e contas ligaram AWS, o endereço IP de origem de onde as chamadas foram feitas e quando elas ocorreram. CloudTrail entregará arquivos de log de todas as AWS regiões para seu bucket do S3 se MULTI_REGION_CLOUD_TRAIL_ENABLED estiver habilitado. Além disso, ao AWS lançar uma nova região, CloudTrail criará a mesma trilha na nova região. Como resultado, você receberá arquivos de log contendo a atividade da API para a nova região sem realizar nenhuma ação. | |
| T0166 | Realize a correlação de eventos usando informações coletadas de várias fontes na empresa para obter consciência situacional e determinar a eficácia de um ataque observado. | Para ajudar com o registro e o monitoramento em seu ambiente, habilite o registro em AWS WAF (V2) na web regional e global. ACLs AWS O registro do WAF fornece informações detalhadas sobre o tráfego que é analisado pela sua ACL da web. Os registros registram a hora em que o AWS WAF recebeu a solicitação do seu AWS recurso, informações sobre a solicitação e uma ação para a regra à qual cada solicitação correspondeu. | |
| T0166 | Realize a correlação de eventos usando informações coletadas de várias fontes na empresa para obter consciência situacional e determinar a eficácia de um ataque observado. | O registro em log do API Gateway exibe visualizações detalhadas dos usuários que acessaram a API e a forma como eles a acessaram. Esse insight mostra as atividades do usuário. | |
| T0166 | Realize a correlação de eventos usando informações coletadas de várias fontes na empresa para obter consciência situacional e determinar a eficácia de um ataque observado. | Use CloudWatch a Amazon para coletar e gerenciar centralmente a atividade de eventos de log. A inclusão de AWS CloudTrail dados fornece detalhes da atividade de chamadas de API em seu Conta da AWS. | |
| T0166 | Realize a correlação de eventos usando informações coletadas de várias fontes na empresa para obter consciência situacional e determinar a eficácia de um ataque observado. | AWS CloudTrail pode ajudar na não repúdio gravando ações do AWS Management Console e chamadas de API. Você pode identificar os usuários e os Contas da AWS que chamaram um AWS serviço, o endereço IP de origem onde as chamadas foram geradas e os horários das chamadas. Os detalhes dos dados capturados são vistos no Conteúdo do AWS CloudTrail Registro. | |
| T0166 | Realize a correlação de eventos usando informações coletadas de várias fontes na empresa para obter consciência situacional e determinar a eficácia de um ataque observado. | A coleta de eventos de dados do Simple Storage Service (Amazon S3) ajuda a detectar qualquer atividade anômala. Os detalhes incluem informações da conta da AWS que acessou um bucket do Amazon S3, o endereço IP e o horário do evento. | |
| T0166 | Realize a correlação de eventos usando informações coletadas de várias fontes na empresa para obter consciência situacional e determinar a eficácia de um ataque observado. | A atividade do Elastic Load Balancing é um ponto central de comunicação em um ambiente. Habilite o registro em log do ELB. Os dados coletados fornecem informações detalhadas sobre as solicitações enviadas ao ELB. Cada log contém informações como a hora em que a solicitação foi recebida, o endereço IP do cliente, latências, caminhos de solicitação e respostas do servidor. | |
| T0166 | Realize a correlação de eventos usando informações coletadas de várias fontes na empresa para obter consciência situacional e determinar a eficácia de um ataque observado. | Para ajudar no registro em log e no monitoramento em seu ambiente, habilite o registro em log do Amazon Relational Database Service (Amazon RDS). Com o registro em log do Amazon RDS, você pode capturar eventos como conexões, desconexões, consultas ou tabelas consultadas. | |
| T0166 | Realize a correlação de eventos usando informações coletadas de várias fontes na empresa para obter consciência situacional e determinar a eficácia de um ataque observado. | Para proteger os dados em repouso, habilite a criptografia para os clusters do Amazon Redshift. Implante também as configurações necessárias nos clusters do Amazon Redshift. O registro em log de auditoria deve ser habilitado para fornecer informações sobre conexões e atividades do usuário no banco de dados. Essa regra exige que um valor seja definido para clusterDbEncrypted (Config Default: TRUE) e LoggingEnabled (Config Default: TRUE). Os valores reais devem refletir as políticas da organização. | |
| T0166 | Realize a correlação de eventos usando informações coletadas de várias fontes na empresa para obter consciência situacional e determinar a eficácia de um ataque observado. | O registro em log de acesso ao servidor do Amazon Simple Storage Service (Amazon S3) fornece um método para monitorar a rede em busca de possíveis eventos de segurança cibernética. Os eventos são monitorados pela captura de registros detalhados das solicitações que são feitas a um bucket do Amazon S3. Cada registro de log de acesso fornece detalhes sobre uma única solicitação de acesso. Os detalhes incluem solicitante, nome do bucket, horário da solicitação, ação da solicitação, status da resposta e um código de erro, se relevante. | |
| T0166 | Realize a correlação de eventos usando informações coletadas de várias fontes na empresa para obter consciência situacional e determinar a eficácia de um ataque observado. | Os logs de fluxo da VPC fornecem registros detalhados de informações sobre o tráfego de IP de entrada e saída das interfaces de rede no Amazon Virtual Private Cloud (Amazon VPC). Por padrão, o registro de log de fluxo inclui valores para os diferentes componentes do fluxo de IP, incluindo a origem, o destino e o protocolo. | |
| T0168 | Execute a comparação de hash com o banco de dados estabelecido. | Utilize a validação do arquivo de AWS CloudTrail log para verificar a integridade dos CloudTrail registros. A validação do arquivo de log ajuda a determinar se um arquivo de log foi modificado, excluído ou inalterado após a CloudTrail entrega. Esse recurso é criado usando algoritmos padrão do setor: SHA-256 para hashing e SHA-256 com RSA para assinaturas digitais. Isso torna computacionalmente inviável modificar, excluir ou CloudTrail falsificar arquivos de log sem detecção. | |
| T0195 | Forneça um fluxo gerenciado de informações relevantes (por meio de portais baseados na web ou outros meios) com base nos requisitos da missão. | Certifique-se de que o AWS WAF esteja ativado nos Elastic Load Balancers (ELB) para ajudar a proteger aplicativos da web. Um WAF ajuda a proteger seus aplicativos da web ou APIs contra explorações comuns da web. Essas explorações da web podem afetar a disponibilidade, comprometer a segurança ou consumir recursos excessivos em seu ambiente. | |
| T0195 | Forneça um fluxo gerenciado de informações relevantes (por meio de portais baseados na web ou outros meios) com base nos requisitos da missão. | AWS O WAF permite que você configure um conjunto de regras (chamado de lista de controle de acesso à web (Web ACL)) que permite, bloqueia ou conta solicitações da web com base nas regras e condições de segurança da web personalizáveis que você define. Associe seu estágio do Amazon API Gateway a uma ACL da web do WAF para protegê-lo contra ataques mal-intencionados. | |
| T0195 | Forneça um fluxo gerenciado de informações relevantes (por meio de portais baseados na web ou outros meios) com base nos requisitos da missão. | Se você configurar suas interfaces de rede com um endereço IP público, os recursos associados a essas interfaces de rede poderão ser acessados pela Internet. EC2 os recursos não devem ser acessíveis ao público, pois isso pode permitir acesso não intencional aos seus aplicativos ou servidores. | |
| T0195 | Forneça um fluxo gerenciado de informações relevantes (por meio de portais baseados na web ou outros meios) com base nos requisitos da missão. | Os grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2) podem ajudar a gerenciar o acesso à rede fornecendo uma filtragem monitorada do tráfego de entrada e saída da rede para os recursos. AWS Não permitir o tráfego de entrada (ou remoto) de 0.0.0.0/0 para a porta 22 nos recursos ajuda a restringir o acesso remoto. | |
| T0195 | Forneça um fluxo gerenciado de informações relevantes (por meio de portais baseados na web ou outros meios) com base nos requisitos da missão. | Implante instâncias do Amazon Elastic Compute Cloud (Amazon EC2) em uma Amazon Virtual Private Cloud (Amazon VPC) para permitir a comunicação segura entre uma instância e outros serviços dentro da Amazon VPC, sem exigir um gateway de internet, dispositivo NAT ou conexão VPN. Todo o tráfego permanece seguro na nuvem. AWS Devido ao seu isolamento lógico, os domínios que residem no Amazon VPC contam com uma camada adicional de segurança se comparados aos domínios que utilizam endpoints públicos. Atribua EC2 instâncias da Amazon a uma Amazon VPC para gerenciar adequadamente o acesso. | |
| T0195 | Forneça um fluxo gerenciado de informações relevantes (por meio de portais baseados na web ou outros meios) com base nos requisitos da missão. | Certifique-se de que as tabelas de EC2 rotas da Amazon não tenham rotas irrestritas para um gateway de internet. Remover ou limitar o acesso à Internet para cargas de trabalho na Amazon VPCs pode reduzir o acesso não intencional em seu ambiente. | |
| T0195 | Forneça um fluxo gerenciado de informações relevantes (por meio de portais baseados na web ou outros meios) com base nos requisitos da missão. | O roteamento aprimorado da VPC força todo o tráfego de COPY e UNLOAD entre o cluster e os repositórios de dados a passar pelo Amazon VPC. Em seguida, você pode usar recursos da VPC, como grupos de segurança e listas de controle de acesso à rede, para proteger o tráfego da rede. Você também pode usar os logs de fluxo da VPC para monitorar o tráfego da rede. | |
| T0195 | Forneça um fluxo gerenciado de informações relevantes (por meio de portais baseados na web ou outros meios) com base nos requisitos da missão. | Gerencie o acesso aos recursos na AWS nuvem garantindo que os buckets do Amazon Simple Storage Service (Amazon S3) não possam ser acessados publicamente. Essa regra ajuda a manter os dados confidenciais protegidos de usuários remotos não autorizados, impedindo o acesso público. Essa regra permite que você defina opcionalmente ignorePublicAcls (Config Default: True), blockPublicPolicy (Config Default: True), blockPublicAcls (Config Default: True) e restrictPublicBuckets parâmetros (Config Default: True). Os valores reais devem refletir as políticas da organização. | |
| T0195 | Forneça um fluxo gerenciado de informações relevantes (por meio de portais baseados na web ou outros meios) com base nos requisitos da missão. | Certifique-se AWS de que os documentos do Systems Manager (SSM) não sejam públicos, pois isso pode permitir acesso não intencional aos seus documentos SSM. Um documento do SSM público pode expor informações sobre sua conta, recursos e processos internos. | |
| T0195 | Forneça um fluxo gerenciado de informações relevantes (por meio de portais baseados na web ou outros meios) com base nos requisitos da missão. | Gerencie o acesso à AWS nuvem garantindo que as instâncias de replicação do DMS não possam ser acessadas publicamente. As instâncias de replicação do DMS podem conter informações confidenciais, e o controle de acesso é necessário para essas contas. | |
| T0195 | Forneça um fluxo gerenciado de informações relevantes (por meio de portais baseados na web ou outros meios) com base nos requisitos da missão. | Gerencie o acesso à AWS nuvem garantindo que os instantâneos do EBS não sejam restauráveis publicamente. Os instantâneos de volume do EBS podem conter informações confidenciais, e o controle de acesso é necessário para essas contas. | |
| T0195 | Forneça um fluxo gerenciado de informações relevantes (por meio de portais baseados na web ou outros meios) com base nos requisitos da missão. | Gerencie o acesso à AWS nuvem garantindo que as instâncias do Amazon Elastic Compute Cloud (Amazon EC2) não possam ser acessadas publicamente. EC2As instâncias da Amazon podem conter informações confidenciais e o controle de acesso é necessário para essas contas. | |
| T0195 | Forneça um fluxo gerenciado de informações relevantes (por meio de portais baseados na web ou outros meios) com base nos requisitos da missão. | Gerencie o acesso à AWS nuvem garantindo que os domínios do Amazon OpenSearch Service (OpenSearch Service) estejam dentro de uma Amazon Virtual Private Cloud (Amazon VPC). Um domínio OpenSearch de serviço em uma Amazon VPC permite a comunicação segura entre o OpenSearch serviço e outros serviços dentro da Amazon VPC sem a necessidade de um gateway de internet, dispositivo NAT ou conexão VPN. | |
| T0195 | Forneça um fluxo gerenciado de informações relevantes (por meio de portais baseados na web ou outros meios) com base nos requisitos da missão. | Gerencie o acesso à AWS nuvem garantindo que os nós principais do cluster Amazon EMR não possam ser acessados publicamente. Os nós principais do cluster do Amazon EMR podem conter informações confidenciais, e o controle de acesso é necessário para essas contas. | |
| T0195 | Forneça um fluxo gerenciado de informações relevantes (por meio de portais baseados na web ou outros meios) com base nos requisitos da missão. | Gerencie o acesso aos recursos na AWS nuvem garantindo que as funções do AWS Lambda não possam ser acessadas publicamente. O acesso público pode causar degradação da disponibilidade de recursos. | |
| T0195 | Forneça um fluxo gerenciado de informações relevantes (por meio de portais baseados na web ou outros meios) com base nos requisitos da missão. | Implante funções AWS Lambda em uma Amazon Virtual Private Cloud (Amazon VPC) para uma comunicação segura entre uma função e outros serviços dentro da Amazon VPC. Com essa configuração, não há necessidade de um gateway da Internet, dispositivo NAT ou conexão VPN. Todo o tráfego permanece seguro na nuvem. AWS Devido ao seu isolamento lógico, os domínios que residem no Amazon VPC contam com uma camada adicional de segurança se comparados aos domínios que utilizam endpoints públicos. Para gerenciar adequadamente o acesso, as funções do AWS Lambda devem ser atribuídas a uma VPC. | |
| T0195 | Forneça um fluxo gerenciado de informações relevantes (por meio de portais baseados na web ou outros meios) com base nos requisitos da missão. | Gerencie o acesso à AWS nuvem garantindo que os domínios do Amazon Elasticsearch Service (Amazon ES) estejam dentro de uma Amazon Virtual Private Cloud (Amazon VPC). Colocar um domínio do Amazon ES no Amazon VPC permite uma comunicação segura entre o Amazon ES e os outros serviços no Amazon VPC, sem que seja necessário usar um gateway da Internet, um dispositivo NAT ou uma conexão VPN. | |
| T0195 | Forneça um fluxo gerenciado de informações relevantes (por meio de portais baseados na web ou outros meios) com base nos requisitos da missão. | Gerencie o acesso aos recursos na AWS nuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações confidenciais e princípios, e o controle de acesso é necessário para essas contas. | |
| T0195 | Forneça um fluxo gerenciado de informações relevantes (por meio de portais baseados na web ou outros meios) com base nos requisitos da missão. | Gerencie o acesso aos recursos na AWS nuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações confidenciais e princípios, e o controle de acesso é necessário para essas contas. | |
| T0195 | Forneça um fluxo gerenciado de informações relevantes (por meio de portais baseados na web ou outros meios) com base nos requisitos da missão. | Gerencie o acesso aos recursos na AWS nuvem garantindo que os clusters do Amazon Redshift não sejam públicos. Os clusters do Amazon Redshift podem conter informações confidenciais e princípios, e o controle de acesso é necessário para essas contas. | |
| T0195 | Forneça um fluxo gerenciado de informações relevantes (por meio de portais baseados na web ou outros meios) com base nos requisitos da missão. | Gerencie o acesso aos recursos na AWS nuvem garantindo que as portas comuns sejam restritas nos grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2). Não restringir o acesso às portas a fontes confiáveis pode permitir ataques contra a disponibilidade, a integridade e a confidencialidade dos sistemas. Essa regra permite que você defina opcionalmente os parâmetros blockedPort1-blockedPort5 (Padrões de configuração: 20.21.3389.3306.4333). Os valores reais devem refletir as políticas da organização. | |
| T0195 | Forneça um fluxo gerenciado de informações relevantes (por meio de portais baseados na web ou outros meios) com base nos requisitos da missão. | Gerencie o acesso aos recursos na AWS nuvem permitindo que somente usuários, processos e dispositivos autorizados acessem os buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados. | |
| T0195 | Forneça um fluxo gerenciado de informações relevantes (por meio de portais baseados na web ou outros meios) com base nos requisitos da missão. | Gerencie o acesso aos recursos na AWS nuvem permitindo que somente usuários, processos e dispositivos autorizados acessem os buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados. | |
| T0195 | Forneça um fluxo gerenciado de informações relevantes (por meio de portais baseados na web ou outros meios) com base nos requisitos da missão. | Gerencie o acesso aos recursos na AWS nuvem garantindo que os SageMaker notebooks da Amazon não permitam acesso direto à Internet. Ao impedir o acesso direto à internet, você impede que dados confidenciais sejam acessados por usuários não autorizados. | |
| T0195 | Forneça um fluxo gerenciado de informações relevantes (por meio de portais baseados na web ou outros meios) com base nos requisitos da missão. | Gerencie o acesso à AWS nuvem garantindo que as sub-redes da Amazon Virtual Private Cloud (VPC) não recebam automaticamente um endereço IP público. As instâncias do Amazon Elastic Compute Cloud (EC2) que são lançadas em sub-redes com esse atributo ativado têm um endereço IP público atribuído à sua interface de rede primária. | |
| T0195 | Forneça um fluxo gerenciado de informações relevantes (por meio de portais baseados na web ou outros meios) com base nos requisitos da missão. | Os grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2) podem ajudar no gerenciamento do acesso à rede fornecendo uma filtragem monitorada do tráfego de entrada e saída da rede para os recursos. AWS Restringir todo o tráfego no grupo de segurança padrão ajuda a restringir o acesso remoto aos seus AWS recursos. | |
| T0195 | Forneça um fluxo gerenciado de informações relevantes (por meio de portais baseados na web ou outros meios) com base nos requisitos da missão. | Gerencie o acesso aos recursos na AWS nuvem garantindo que as portas comuns sejam restritas aos grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2). Não restringir o acesso às portas a fontes confiáveis pode permitir ataques contra a disponibilidade, a integridade e a confidencialidade dos sistemas. Ao restringir o acesso a recursos em um grupo de segurança da internet (0.0.0.0/0), o acesso remoto pode ser controlado para sistemas internos. | |
| T0215 | Reconheça uma possível violação de segurança e tome as medidas apropriadas para denunciar o incidente, conforme necessário. | A Amazon GuardDuty pode ajudar a monitorar e detectar possíveis eventos de cibersegurança usando feeds de inteligência de ameaças. Isso inclui listas de aprendizado de máquina IPs e malicioso para identificar atividades inesperadas, não autorizadas e maliciosas em seu ambiente de AWS nuvem. | |
| T0244 | Verifique se as posturas software/network/system de segurança do aplicativo estão implementadas conforme declarado, documente os desvios e recomende as ações necessárias para corrigir esses desvios. | Utilize a validação do arquivo de AWS CloudTrail log para verificar a integridade dos CloudTrail registros. A validação do arquivo de log ajuda a determinar se um arquivo de log foi modificado, excluído ou inalterado após a CloudTrail entrega. Esse recurso é criado usando algoritmos padrão do setor: SHA-256 para hashing e SHA-256 com RSA para assinaturas digitais. Isso torna computacionalmente inviável modificar, excluir ou CloudTrail falsificar arquivos de log sem detecção. | |
| T0244 | Verifique se as posturas software/network/system de segurança do aplicativo estão implementadas conforme declarado, documente os desvios e recomende as ações necessárias para corrigir esses desvios. | É possível fazer um inventário das plataformas de software e aplicativos dentro da organização gerenciando instâncias do Amazon Elastic Compute Cloud (Amazon EC2) com o AWS Systems Manager. Use o AWS Systems Manager para fornecer configurações detalhadas do sistema, níveis de patch do sistema operacional, nome e tipo de serviços, instalações de software, nome do aplicativo, editor e versão, além de outros detalhes sobre seu ambiente. | |
| T0244 | Verifique se as posturas software/network/system de segurança do aplicativo estão implementadas conforme declarado, documente os desvios e recomende as ações necessárias para corrigir esses desvios. | Use o AWS Systems Manager Associations para ajudar no inventário de plataformas e aplicativos de software em uma organização. AWS Systems Manager atribui um estado de configuração às instâncias gerenciadas e permite que você defina linhas de base de níveis de patch do sistema operacional, instalações de software, configurações de aplicações e outros detalhes sobre o ambiente. | |
| T0258 | Forneça recursos de detecção, identificação e alerta oportunos sobre possíveis ataques/invasões, atividades anômalas e atividades de uso indevido e diferencie esses incidentes e eventos de atividades benignas. | A Amazon GuardDuty pode ajudar a monitorar e detectar possíveis eventos de cibersegurança usando feeds de inteligência de ameaças. Isso inclui listas de aprendizado de máquina IPs e malicioso para identificar atividades inesperadas, não autorizadas e maliciosas em seu ambiente de AWS nuvem. | |
| T0259 | Use ferramentas de defesa cibernética para monitoramento e análise contínuos da atividade do sistema para identificar atividades mal-intencionadas. | A Amazon GuardDuty pode ajudar a monitorar e detectar possíveis eventos de cibersegurança usando feeds de inteligência de ameaças. Isso inclui listas de aprendizado de máquina IPs e malicioso para identificar atividades inesperadas, não autorizadas e maliciosas em seu ambiente de AWS nuvem. | |
| T0262 | Empregue defense-in-depth princípios e práticas aprovados (por exemplo, defense-in-multiple locais, defesas em camadas, robustez de segurança). | Certifique-se de que o AWS WAF esteja ativado nos Elastic Load Balancers (ELB) para ajudar a proteger aplicativos da web. Um WAF ajuda a proteger seus aplicativos da web ou APIs contra explorações comuns da web. Essas explorações da web podem afetar a disponibilidade, comprometer a segurança ou consumir recursos excessivos em seu ambiente. | |
| T0262 | Empregue defense-in-depth princípios e práticas aprovados (por exemplo, defense-in-multiple locais, defesas em camadas, robustez de segurança). | AWS O WAF permite que você configure um conjunto de regras (chamado de lista de controle de acesso à web (Web ACL)) que permite, bloqueia ou conta solicitações da web com base nas regras e condições de segurança da web personalizáveis que você define. Associe seu estágio do Amazon API Gateway a uma ACL da web do WAF para protegê-lo contra ataques mal-intencionados. | |
| T0262 | Empregue defense-in-depth princípios e práticas aprovados (por exemplo, defense-in-multiple locais, defesas em camadas, robustez de segurança). | Se você configurar suas interfaces de rede com um endereço IP público, os recursos associados a essas interfaces de rede poderão ser acessados pela Internet. EC2 os recursos não devem ser acessíveis ao público, pois isso pode permitir acesso não intencional aos seus aplicativos ou servidores. | |
| T0262 | Empregue defense-in-depth princípios e práticas aprovados (por exemplo, defense-in-multiple locais, defesas em camadas, robustez de segurança). | Implante instâncias do Amazon Elastic Compute Cloud (Amazon EC2) em uma Amazon Virtual Private Cloud (Amazon VPC) para permitir a comunicação segura entre uma instância e outros serviços dentro da Amazon VPC, sem exigir um gateway de internet, dispositivo NAT ou conexão VPN. Todo o tráfego permanece seguro na nuvem. AWS Devido ao seu isolamento lógico, os domínios que residem no Amazon VPC contam com uma camada adicional de segurança se comparados aos domínios que utilizam endpoints públicos. Atribua EC2 instâncias da Amazon a uma Amazon VPC para gerenciar adequadamente o acesso. | |
| T0262 | Empregue defense-in-depth princípios e práticas aprovados (por exemplo, defense-in-multiple locais, defesas em camadas, robustez de segurança). | Certifique-se de que as tabelas de EC2 rotas da Amazon não tenham rotas irrestritas para um gateway de internet. Remover ou limitar o acesso à Internet para cargas de trabalho na Amazon VPCs pode reduzir o acesso não intencional em seu ambiente. | |
| T0262 | Empregue defense-in-depth princípios e práticas aprovados (por exemplo, defense-in-multiple locais, defesas em camadas, robustez de segurança). | O roteamento aprimorado da VPC força todo o tráfego de COPY e UNLOAD entre o cluster e os repositórios de dados a passar pelo Amazon VPC. Em seguida, você pode usar recursos da VPC, como grupos de segurança e listas de controle de acesso à rede, para proteger o tráfego da rede. Você também pode usar os logs de fluxo da VPC para monitorar o tráfego da rede. | |
| T0262 | Empregue defense-in-depth princípios e práticas aprovados (por exemplo, defense-in-multiple locais, defesas em camadas, robustez de segurança). | Gerencie o acesso aos recursos na AWS nuvem garantindo que os buckets do Amazon Simple Storage Service (Amazon S3) não possam ser acessados publicamente. Essa regra ajuda a manter os dados confidenciais protegidos de usuários remotos não autorizados, impedindo o acesso público. Essa regra permite que você defina opcionalmente ignorePublicAcls (Config Default: True), blockPublicPolicy (Config Default: True), blockPublicAcls (Config Default: True) e restrictPublicBuckets parâmetros (Config Default: True). Os valores reais devem refletir as políticas da organização. | |
| T0262 | Empregue defense-in-depth princípios e práticas aprovados (por exemplo, defense-in-multiple locais, defesas em camadas, robustez de segurança). | Certifique-se AWS de que os documentos do Systems Manager (SSM) não sejam públicos, pois isso pode permitir acesso não intencional aos seus documentos SSM. Um documento do SSM público pode expor informações sobre sua conta, recursos e processos internos. | |
| T0262 | Empregue defense-in-depth princípios e práticas aprovados (por exemplo, defense-in-multiple locais, defesas em camadas, robustez de segurança). | Gerencie o acesso à AWS nuvem garantindo que as instâncias de replicação do DMS não possam ser acessadas publicamente. As instâncias de replicação do DMS podem conter informações confidenciais, e o controle de acesso é necessário para essas contas. | |
| T0262 | Empregue defense-in-depth princípios e práticas aprovados (por exemplo, defense-in-multiple locais, defesas em camadas, robustez de segurança). | Gerencie o acesso à AWS nuvem garantindo que os instantâneos do EBS não sejam restauráveis publicamente. Os instantâneos de volume do EBS podem conter informações confidenciais, e o controle de acesso é necessário para essas contas. | |
| T0262 | Empregue defense-in-depth princípios e práticas aprovados (por exemplo, defense-in-multiple locais, defesas em camadas, robustez de segurança). | Gerencie o acesso à AWS nuvem garantindo que as instâncias do Amazon Elastic Compute Cloud (Amazon EC2) não possam ser acessadas publicamente. EC2As instâncias da Amazon podem conter informações confidenciais e o controle de acesso é necessário para essas contas. | |
| T0262 | Empregue defense-in-depth princípios e práticas aprovados (por exemplo, defense-in-multiple locais, defesas em camadas, robustez de segurança). | Gerencie o acesso à AWS nuvem garantindo que os domínios do Amazon OpenSearch Service (OpenSearch Service) estejam dentro de uma Amazon Virtual Private Cloud (Amazon VPC). Um domínio OpenSearch de serviço em uma Amazon VPC permite a comunicação segura entre o OpenSearch serviço e outros serviços dentro da Amazon VPC sem a necessidade de um gateway de internet, dispositivo NAT ou conexão VPN. | |
| T0262 | Empregue defense-in-depth princípios e práticas aprovados (por exemplo, defense-in-multiple locais, defesas em camadas, robustez de segurança). | Gerencie o acesso à AWS nuvem garantindo que os nós principais do cluster Amazon EMR não possam ser acessados publicamente. Os nós principais do cluster do Amazon EMR podem conter informações confidenciais, e o controle de acesso é necessário para essas contas. | |
| T0262 | Empregue defense-in-depth princípios e práticas aprovados (por exemplo, defense-in-multiple locais, defesas em camadas, robustez de segurança). | Gerencie o acesso aos recursos na AWS nuvem garantindo que as funções do AWS Lambda não possam ser acessadas publicamente. O acesso público pode causar degradação da disponibilidade de recursos. | |
| T0262 | Empregue defense-in-depth princípios e práticas aprovados (por exemplo, defense-in-multiple locais, defesas em camadas, robustez de segurança). | Implante funções AWS Lambda em uma Amazon Virtual Private Cloud (Amazon VPC) para uma comunicação segura entre uma função e outros serviços dentro da Amazon VPC. Com essa configuração, não há necessidade de um gateway da Internet, dispositivo NAT ou conexão VPN. Todo o tráfego permanece seguro na nuvem. AWS Devido ao seu isolamento lógico, os domínios que residem no Amazon VPC contam com uma camada adicional de segurança se comparados aos domínios que utilizam endpoints públicos. Para gerenciar adequadamente o acesso, as funções do AWS Lambda devem ser atribuídas a uma VPC. | |
| T0262 | Empregue defense-in-depth princípios e práticas aprovados (por exemplo, defense-in-multiple locais, defesas em camadas, robustez de segurança). | Gerencie o acesso à AWS nuvem garantindo que os domínios do Amazon Elasticsearch Service (Amazon ES) estejam dentro de uma Amazon Virtual Private Cloud (Amazon VPC). Colocar um domínio do Amazon ES no Amazon VPC permite uma comunicação segura entre o Amazon ES e os outros serviços no Amazon VPC, sem que seja necessário usar um gateway da Internet, um dispositivo NAT ou uma conexão VPN. | |
| T0262 | Empregue defense-in-depth princípios e práticas aprovados (por exemplo, defense-in-multiple locais, defesas em camadas, robustez de segurança). | Gerencie o acesso aos recursos na AWS nuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações confidenciais e princípios, e o controle de acesso é necessário para essas contas. | |
| T0262 | Empregue defense-in-depth princípios e práticas aprovados (por exemplo, defense-in-multiple locais, defesas em camadas, robustez de segurança). | Gerencie o acesso aos recursos na AWS nuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações confidenciais e princípios, e o controle de acesso é necessário para essas contas. | |
| T0262 | Empregue defense-in-depth princípios e práticas aprovados (por exemplo, defense-in-multiple locais, defesas em camadas, robustez de segurança). | Gerencie o acesso aos recursos na AWS nuvem garantindo que os clusters do Amazon Redshift não sejam públicos. Os clusters do Amazon Redshift podem conter informações confidenciais e princípios, e o controle de acesso é necessário para essas contas. | |
| T0262 | Empregue defense-in-depth princípios e práticas aprovados (por exemplo, defense-in-multiple locais, defesas em camadas, robustez de segurança). | Gerencie o acesso aos recursos na AWS nuvem garantindo que as portas comuns sejam restritas nos grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2). Não restringir o acesso às portas a fontes confiáveis pode permitir ataques contra a disponibilidade, a integridade e a confidencialidade dos sistemas. Essa regra permite que você defina opcionalmente os parâmetros blockedPort1-blockedPort5 (Padrões de configuração: 20.21.3389.3306.4333). Os valores reais devem refletir as políticas da organização. | |
| T0262 | Empregue defense-in-depth princípios e práticas aprovados (por exemplo, defense-in-multiple locais, defesas em camadas, robustez de segurança). | Gerencie o acesso aos recursos na AWS nuvem permitindo que somente usuários, processos e dispositivos autorizados acessem os buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados. | |
| T0262 | Empregue defense-in-depth princípios e práticas aprovados (por exemplo, defense-in-multiple locais, defesas em camadas, robustez de segurança). | Gerencie o acesso aos recursos na AWS nuvem permitindo que somente usuários, processos e dispositivos autorizados acessem os buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados. | |
| T0262 | Empregue defense-in-depth princípios e práticas aprovados (por exemplo, defense-in-multiple locais, defesas em camadas, robustez de segurança). | Gerencie o acesso aos recursos na AWS nuvem garantindo que os SageMaker notebooks da Amazon não permitam acesso direto à Internet. Ao impedir o acesso direto à internet, você impede que dados confidenciais sejam acessados por usuários não autorizados. | |
| T0262 | Empregue defense-in-depth princípios e práticas aprovados (por exemplo, defense-in-multiple locais, defesas em camadas, robustez de segurança). | Gerencie o acesso à AWS nuvem garantindo que as sub-redes da Amazon Virtual Private Cloud (VPC) não recebam automaticamente um endereço IP público. As instâncias do Amazon Elastic Compute Cloud (EC2) que são lançadas em sub-redes com esse atributo ativado têm um endereço IP público atribuído à sua interface de rede primária. | |
| T0262 | Empregue defense-in-depth princípios e práticas aprovados (por exemplo, defense-in-multiple locais, defesas em camadas, robustez de segurança). | Os grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2) podem ajudar no gerenciamento do acesso à rede fornecendo uma filtragem monitorada do tráfego de entrada e saída da rede para os recursos. AWS Restringir todo o tráfego no grupo de segurança padrão ajuda a restringir o acesso remoto aos seus AWS recursos. | |
| T0262 | Empregue defense-in-depth princípios e práticas aprovados (por exemplo, defense-in-multiple locais, defesas em camadas, robustez de segurança). | Gerencie o acesso aos recursos na AWS nuvem garantindo que as portas comuns sejam restritas aos grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2). Não restringir o acesso às portas a fontes confiáveis pode permitir ataques contra a disponibilidade, a integridade e a confidencialidade dos sistemas. Ao restringir o acesso a recursos em um grupo de segurança da internet (0.0.0.0/0), o acesso remoto pode ser controlado para sistemas internos. | |
| T0284 | Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética. | O gerenciamento centralizado de Contas da AWS dentro das AWS Organizations ajuda a garantir que as contas estejam em conformidade. Usar uma governança não centralizada na conta pode gerar inconsistências nas configurações da conta, o que pode expor recursos e dados confidenciais. | |
| T0284 | Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética. | Certifique-se de que o AWS WAF esteja ativado nos Elastic Load Balancers (ELB) para ajudar a proteger aplicativos da web. Um WAF ajuda a proteger seus aplicativos da web ou APIs contra explorações comuns da web. Essas explorações da web podem afetar a disponibilidade, comprometer a segurança ou consumir recursos excessivos em seu ambiente. | |
| T0284 | Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética. | AWS O WAF permite que você configure um conjunto de regras (chamado de lista de controle de acesso à web (Web ACL)) que permite, bloqueia ou conta solicitações da web com base nas regras e condições de segurança da web personalizáveis que você define. Associe seu estágio do Amazon API Gateway a uma ACL da web do WAF para protegê-lo contra ataques mal-intencionados. | |
| T0284 | Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética. | Se você configurar suas interfaces de rede com um endereço IP público, os recursos associados a essas interfaces de rede poderão ser acessados pela Internet. EC2 os recursos não devem ser acessíveis ao público, pois isso pode permitir acesso não intencional aos seus aplicativos ou servidores. | |
| T0284 | Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética. | EC2 perfis de instância passam uma função do IAM para uma EC2 instância. Anexar um perfil de instância às instâncias pode ajudar no gerenciamento de privilégio mínimo e permissões. | |
| T0284 | Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética. | Se uma definição de tarefa tem privilégios elevados, significa que o cliente optou especificamente por essas configurações. Esse controle verifica o aumento inesperado de privilégios quando uma definição de tarefa tem a rede de host habilitada e o cliente não optou por privilégios elevados. | |
| T0284 | Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética. | Certifique-se de que um usuário, uma função do IAM ou um grupo do IAM do AWS Identity and Access Management (IAM) não tenha uma política embutida para controlar o acesso a sistemas e ativos. AWS recomenda usar políticas gerenciadas em vez de políticas embutidas. As políticas gerenciadas permitem a reutilização, o versionamento, a reversão e a delegação do gerenciamento de permissões. | |
| T0284 | Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética. | Garanta que as ações do IAM estejam restritas somente às ações necessárias. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres. | |
| T0284 | Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética. | Implante instâncias do Amazon Elastic Compute Cloud (Amazon EC2) em uma Amazon Virtual Private Cloud (Amazon VPC) para permitir a comunicação segura entre uma instância e outros serviços dentro da Amazon VPC, sem exigir um gateway de internet, dispositivo NAT ou conexão VPN. Todo o tráfego permanece seguro na nuvem. AWS Devido ao seu isolamento lógico, os domínios que residem no Amazon VPC contam com uma camada adicional de segurança se comparados aos domínios que utilizam endpoints públicos. Atribua EC2 instâncias da Amazon a uma Amazon VPC para gerenciar adequadamente o acesso. | |
| T0284 | Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética. | Certifique-se de que as tabelas de EC2 rotas da Amazon não tenham rotas irrestritas para um gateway de internet. Remover ou limitar o acesso à Internet para cargas de trabalho na Amazon VPCs pode reduzir o acesso não intencional em seu ambiente. | |
| T0284 | Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética. | Habilite atualizações automáticas de versões secundárias nas instâncias do Amazon Relational Database Service (RDS) para garantir que as últimas atualizações de versões secundárias do sistema de gerenciamento de banco de dados relacional (RDBMS) estejam instaladas, o que pode incluir patches de segurança e correções de bugs. | |
| T0284 | Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética. | O roteamento aprimorado da VPC força todo o tráfego de COPY e UNLOAD entre o cluster e os repositórios de dados a passar pelo Amazon VPC. Em seguida, você pode usar recursos da VPC, como grupos de segurança e listas de controle de acesso à rede, para proteger o tráfego da rede. Você também pode usar os logs de fluxo da VPC para monitorar o tráfego da rede. | |
| T0284 | Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética. | Gerencie o acesso aos recursos na AWS nuvem garantindo que os buckets do Amazon Simple Storage Service (Amazon S3) não possam ser acessados publicamente. Essa regra ajuda a manter os dados confidenciais protegidos de usuários remotos não autorizados, impedindo o acesso público. Essa regra permite que você defina opcionalmente ignorePublicAcls (Config Default: True), blockPublicPolicy (Config Default: True), blockPublicAcls (Config Default: True) e restrictPublicBuckets parâmetros (Config Default: True). Os valores reais devem refletir as políticas da organização. | |
| T0284 | Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética. | Certifique-se AWS de que os documentos do Systems Manager (SSM) não sejam públicos, pois isso pode permitir acesso não intencional aos seus documentos SSM. Um documento do SSM público pode expor informações sobre sua conta, recursos e processos internos. | |
| T0284 | Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética. | Certifique-se de que seus pontos AWS de recuperação de Backup tenham uma política baseada em recursos anexada que impeça a exclusão de pontos de recuperação. Usar uma política baseada em recursos para impedir a exclusão de pontos de recuperação pode ajudar a evitar a exclusão acidental ou intencional. | |
| T0284 | Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética. | Utilize a validação do arquivo de AWS CloudTrail log para verificar a integridade dos CloudTrail registros. A validação do arquivo de log ajuda a determinar se um arquivo de log foi modificado, excluído ou inalterado após a CloudTrail entrega. Esse recurso é criado usando algoritmos padrão do setor: SHA-256 para hashing e SHA-256 com RSA para assinaturas digitais. Isso torna computacionalmente inviável modificar, excluir ou CloudTrail falsificar arquivos de log sem detecção. | |
| T0284 | Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética. | Garanta que as credenciais AWS_ACCESS_KEY_ID de autenticação AWS_SECRET_ACCESS_KEY não existam nos ambientes do projeto AWS Codebuild. Não armazene essas variáveis em texto não criptografado. Armazenar essas variáveis em texto não criptografado pode causar exposição não intencional dos dados e acesso não autorizado. | |
| T0284 | Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética. | Certifique-se de que o GitHub URL do repositório de origem do Bitbucket não contenha tokens de acesso pessoais e credenciais de login nos ambientes do projeto Codebuild. AWS Use OAuth em vez de tokens de acesso pessoal ou credenciais de login para conceder autorização para acessar GitHub nossos repositórios do Bitbucket. | |
| T0284 | Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética. | Gerencie o acesso à AWS nuvem garantindo que as instâncias de replicação do DMS não possam ser acessadas publicamente. As instâncias de replicação do DMS podem conter informações confidenciais, e o controle de acesso é necessário para essas contas. | |
| T0284 | Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética. | Gerencie o acesso à AWS nuvem garantindo que os instantâneos do EBS não sejam restauráveis publicamente. Os instantâneos de volume do EBS podem conter informações confidenciais, e o controle de acesso é necessário para essas contas. | |
| T0284 | Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética. | Gerencie o acesso à AWS nuvem garantindo que as instâncias do Amazon Elastic Compute Cloud (Amazon EC2) não possam ser acessadas publicamente. EC2As instâncias da Amazon podem conter informações confidenciais e o controle de acesso é necessário para essas contas. | |
| T0284 | Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética. | Gerencie o acesso à AWS nuvem garantindo que os domínios do Amazon OpenSearch Service (OpenSearch Service) estejam dentro de uma Amazon Virtual Private Cloud (Amazon VPC). Um domínio OpenSearch de serviço em uma Amazon VPC permite a comunicação segura entre o OpenSearch serviço e outros serviços dentro da Amazon VPC sem a necessidade de um gateway de internet, dispositivo NAT ou conexão VPN. | |
| T0284 | Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética. | Ao habilitar o Kerberos para clusters do Amazon EMR, é possível gerenciar e incorporar as permissões e autorizações de acesso com os princípios de privilégio mínimo e separação de deveres. No Kerberos, os serviços e os usuários que precisam se autenticar são conhecidos como entidades principais. As entidades principais existem em um realm Kerberos. No realm, um servidor Kerberos é conhecido como o centro de distribuição de chaves (KDC). Ele fornece um meio para as entidades principais se autenticarem. A autenticação do KDC é feita com a emissão de tíquetes. O KDC mantém um banco de dados das entidades principais no realm, as senhas e outras informações administrativas sobre cada entidade principal. | |
| T0284 | Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética. | Gerencie o acesso à AWS nuvem garantindo que os nós principais do cluster Amazon EMR não possam ser acessados publicamente. Os nós principais do cluster do Amazon EMR podem conter informações confidenciais, e o controle de acesso é necessário para essas contas. | |
| T0284 | Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética. | AWS O Identity and Access Management (IAM) pode ajudá-lo a incorporar os princípios de privilégio mínimo e separação de tarefas com permissões e autorizações de acesso, impedindo que as políticas contenham ações bloqueadas em AWS todas as chaves do Key Management Service. Ter mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres. Essa regra permite que você defina o blockedActionsPatterns parâmetro. (Valor AWS básico das melhores práticas de segurança: kms: Decrypt,). kms: ReEncryptFrom Os valores reais devem refletir as políticas da organização. | |
| T0284 | Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética. | AWS O Identity and Access Management (IAM) pode ajudá-lo a incorporar os princípios de privilégio mínimo e separação de deveres com permissões e autorizações de acesso, garantindo que os grupos do IAM tenham pelo menos um usuário. Colocar usuários em grupos com base nas permissões associadas ou na função de trabalho é uma forma de incorporar o privilégio mínimo. | |
| T0284 | Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética. | Certifique-se de que um usuário, uma função do IAM ou um grupo do IAM do AWS Identity and Access Management (IAM) não tenha uma política embutida para permitir ações bloqueadas em AWS todas as chaves do Key Management Service. AWS recomenda usar políticas gerenciadas em vez de políticas embutidas. As políticas gerenciadas permitem a reutilização, o versionamento, a reversão e a delegação do gerenciamento de permissões. Essa regra permite que você defina o blockedActionsPatterns parâmetro. (Valor AWS básico das melhores práticas de segurança: kms: Decrypt,). kms: ReEncryptFrom Os valores reais devem refletir as políticas da organização. | |
| T0284 | Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética. | As identidades e as credenciais são emitidas, gerenciadas e verificadas com base em uma política organizacional de senhas do IAM. Eles atendem ou excedem os requisitos estabelecidos pelo NIST SP 800-63 e pelo padrão AWS Foundational Security Best Practices para a força da senha. Essa regra permite que você defina opcionalmente RequireUppercaseCharacters (valor das melhores práticas de segurança AWS básicas: verdadeiro), RequireLowercaseCharacters (valor das melhores práticas de segurança AWS básicas: verdadeiro), RequireSymbols (valor das melhores práticas de segurança AWS básicas: verdadeiro), RequireNumbers (valor das melhores práticas de segurança AWS básicas: verdadeiro), MinimumPasswordLength (valor das melhores práticas de segurança AWS básicas: 14), PasswordReusePrevention (valor das melhores práticas de segurança AWS básicas: 24) e MaxPasswordAge (valor das melhores práticas de segurança AWS básica: 90) para seu IAM Política de senha. Os valores reais devem refletir as políticas da organização. | |
| T0284 | Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética. | AWS O Identity and Access Management (IAM) pode ajudá-lo a incorporar os princípios de privilégio mínimo e separação de deveres com permissões e autorizações de acesso, impedindo que as políticas contenham “Efeito”: “Permitir” com “Ação”: “*” sobre “Recurso”: “*”. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres. | |
| T0284 | Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética. | O acesso a sistemas e ativos pode ser controlado verificando se o usuário raiz não tem chaves de acesso anexadas à sua função de AWS Identity and Access Management (IAM). Exclua as chaves de acesso raiz. Em vez disso, crie e use com base em funções Contas da AWS para ajudar a incorporar o princípio da menor funcionalidade. | |
| T0284 | Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética. | AWS O Identity and Access Management (IAM) pode ajudá-lo a restringir permissões e autorizações de acesso, garantindo que os usuários sejam membros de pelo menos um grupo. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres. | |
| T0284 | Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética. | Habilite essa regra para restringir o acesso a recursos na Nuvem AWS . Essa regra garante que a autenticação multifator (MFA) esteja habilitada para todos os usuários. A MFA adiciona uma camada extra de proteção, além do nome de usuário e senha. Reduza os incidentes de contas comprometidas exigindo que os usuários utilizem a MFA. | |
| T0284 | Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética. | Essa regra garante que as políticas de AWS Identity and Access Management (IAM) sejam anexadas somente a grupos ou funções para controlar o acesso a sistemas e ativos. A atribuição de privilégios por grupo ou perfil ajuda a reduzir a oportunidade de uma identidade receber ou reter privilégios excessivos. | |
| T0284 | Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética. | AWS O Identity and Access Management (IAM) pode ajudá-lo com permissões e autorizações de acesso verificando senhas e chaves de acesso do IAM que não são usadas por um período de tempo especificado. Se essas credenciais não utilizadas forem identificadas, você deverá desabilitar e/ou removê-las, pois isso pode violar o princípio de privilégio mínimo. Essa regra exige que você defina um valor como maxCredentialUsage Idade (Config Default: 90). O valor real deve refletir as políticas da organização. | |
| T0284 | Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética. | Gerencie o acesso aos recursos na AWS nuvem garantindo que as funções do AWS Lambda não possam ser acessadas publicamente. O acesso público pode causar degradação da disponibilidade de recursos. | |
| T0284 | Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética. | Implante funções AWS Lambda em uma Amazon Virtual Private Cloud (Amazon VPC) para uma comunicação segura entre uma função e outros serviços dentro da Amazon VPC. Com essa configuração, não há necessidade de um gateway da Internet, dispositivo NAT ou conexão VPN. Todo o tráfego permanece seguro na nuvem. AWS Devido ao seu isolamento lógico, os domínios que residem no Amazon VPC contam com uma camada adicional de segurança se comparados aos domínios que utilizam endpoints públicos. Para gerenciar adequadamente o acesso, as funções do AWS Lambda devem ser atribuídas a uma VPC. | |
| T0284 | Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética. | Gerencie o acesso aos recursos na AWS nuvem garantindo que a MFA esteja habilitada para todos os usuários do AWS Identity and Access Management (IAM) que tenham uma senha de console. A MFA adiciona uma camada extra de proteção, além das credenciais de login. Ao exigir que os usuários utilizem a MFA, você reduz os incidentes de contas comprometidas e impede que dados confidenciais sejam acessados por usuários não autorizados. | |
| T0284 | Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética. | Gerencie o acesso à AWS nuvem garantindo que os domínios do Amazon Elasticsearch Service (Amazon ES) estejam dentro de uma Amazon Virtual Private Cloud (Amazon VPC). Colocar um domínio do Amazon ES no Amazon VPC permite uma comunicação segura entre o Amazon ES e os outros serviços no Amazon VPC, sem que seja necessário usar um gateway da Internet, um dispositivo NAT ou uma conexão VPN. | |
| T0284 | Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética. | Gerencie o acesso aos recursos na AWS nuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações confidenciais e princípios, e o controle de acesso é necessário para essas contas. | |
| T0284 | Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética. | Gerencie o acesso aos recursos na AWS nuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações confidenciais e princípios, e o controle de acesso é necessário para essas contas. | |
| T0284 | Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética. | Essa regra garante que os clusters do Amazon Redshift tenham as configurações preferidas da organização. Especificamente, que eles tenham janelas de manutenção preferenciais e períodos automatizados de retenção de instantâneos para o banco de dados. Essa regra exige que você defina allowVersionUpgrade o. O padrão é true. Também permite definir opcionalmente o preferredMaintenanceWindow (o padrão é sat: 16:00 -sat: 16:30) e o automatedSnapshotRetention Período (o padrão é 1). Os valores reais devem refletir as políticas da organização. | |
| T0284 | Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética. | Gerencie o acesso aos recursos na AWS nuvem garantindo que os clusters do Amazon Redshift não sejam públicos. Os clusters do Amazon Redshift podem conter informações confidenciais e princípios, e o controle de acesso é necessário para essas contas. | |
| T0284 | Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética. | Gerencie o acesso aos recursos na AWS nuvem garantindo que as portas comuns sejam restritas nos grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2). Não restringir o acesso às portas a fontes confiáveis pode permitir ataques contra a disponibilidade, a integridade e a confidencialidade dos sistemas. Essa regra permite que você defina opcionalmente os parâmetros blockedPort1-blockedPort5 (Padrões de configuração: 20.21.3389.3306.4333). Os valores reais devem refletir as políticas da organização. | |
| T0284 | Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética. | Gerencie o acesso aos recursos na AWS nuvem garantindo que a MFA de hardware esteja habilitada para o usuário raiz. O usuário raiz é o mais privilegiado em uma Conta da AWS. A MFA adiciona uma camada extra de proteção, além das credenciais de login. Ao exigir MFA para o usuário raiz, você pode reduzir os incidentes de comprometimento. Contas da AWS | |
| T0284 | Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética. | Gerencie o acesso aos recursos na AWS nuvem garantindo que a MFA esteja habilitada para o usuário raiz. O usuário raiz é o mais privilegiado em uma Conta da AWS. A MFA adiciona uma camada extra de proteção, além do nome de usuário e senha. Ao exigir MFA para o usuário raiz, você pode reduzir os incidentes de comprometimento. Contas da AWS | |
| T0284 | Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética. | Gerencie o acesso aos recursos na AWS nuvem permitindo que somente usuários, processos e dispositivos autorizados acessem os buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados. | |
| T0284 | Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética. | Gerencie o acesso aos recursos na AWS nuvem permitindo que somente usuários, processos e dispositivos autorizados acessem os buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados. | |
| T0284 | Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética. | Gerencie o acesso aos recursos na AWS nuvem garantindo que os SageMaker notebooks da Amazon não permitam acesso direto à Internet. Ao impedir o acesso direto à internet, você impede que dados confidenciais sejam acessados por usuários não autorizados. | |
| T0284 | Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética. | Gerencie o acesso à AWS nuvem garantindo que as sub-redes da Amazon Virtual Private Cloud (VPC) não recebam automaticamente um endereço IP público. As instâncias do Amazon Elastic Compute Cloud (EC2) que são lançadas em sub-redes com esse atributo ativado têm um endereço IP público atribuído à sua interface de rede primária. | |
| T0284 | Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética. | Os grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2) podem ajudar no gerenciamento do acesso à rede fornecendo uma filtragem monitorada do tráfego de entrada e saída da rede para os recursos. AWS Restringir todo o tráfego no grupo de segurança padrão ajuda a restringir o acesso remoto aos seus AWS recursos. | |
| T0284 | Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética. | Gerencie o acesso aos recursos na AWS nuvem garantindo que as portas comuns sejam restritas aos grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2). Não restringir o acesso às portas a fontes confiáveis pode permitir ataques contra a disponibilidade, a integridade e a confidencialidade dos sistemas. Ao restringir o acesso a recursos em um grupo de segurança da internet (0.0.0.0/0), o acesso remoto pode ser controlado para sistemas internos. | |
| T0306 | Compatível com gerenciamento de incidentes, gerenciamento de níveis de serviço, gerenciamento de mudanças, gerenciamento de versões, gerenciamento de continuidade e gerenciamento de disponibilidade para bancos de dados e sistemas de gerenciamento de dados. | AWS O Security Hub ajuda a monitorar pessoas, conexões, dispositivos e software não autorizados. AWS O Security Hub agrega, organiza e prioriza os alertas ou descobertas de segurança de vários serviços. AWS Alguns desses serviços são o Amazon Security Hub, o Amazon Inspector, o Amazon Macie AWS , o Identity and Access Management (IAM) Access Analyzer e o Firewall AWS Manager, além de soluções de parceiros. AWS | |
| T0306 | Compatível com gerenciamento de incidentes, gerenciamento de níveis de serviço, gerenciamento de mudanças, gerenciamento de versões, gerenciamento de continuidade e gerenciamento de disponibilidade para bancos de dados e sistemas de gerenciamento de dados. | CloudWatch Os alarmes da Amazon alertam quando uma métrica ultrapassa o limite de um número específico de períodos de avaliação. O alarme executa uma ou mais ações com base no valor da métrica ou na expressão em relação a um limite em alguns períodos. Essa regra exige um valor para alarmActionRequired (Config Default: True), insufficientDataAction Obrigatório (Config Default: True), ( okActionRequired Config Default: False). O valor real deve refletir as ações de alarme do ambiente. | |
| T0306 | Compatível com gerenciamento de incidentes, gerenciamento de níveis de serviço, gerenciamento de mudanças, gerenciamento de versões, gerenciamento de continuidade e gerenciamento de disponibilidade para bancos de dados e sistemas de gerenciamento de dados. | A Amazon GuardDuty pode ajudar a monitorar e detectar possíveis eventos de cibersegurança usando feeds de inteligência de ameaças. Isso inclui listas de aprendizado de máquina IPs e malicioso para identificar atividades inesperadas, não autorizadas e maliciosas em seu ambiente de AWS nuvem. | |
| T0314 | Desenvolva um contexto de segurança do sistema, um Conceito de Operações (CONOPS) preliminar de segurança do sistema e defina os requisitos básicos de segurança do sistema de acordo com os requisitos de segurança cibernética aplicáveis. | É possível fazer um inventário das plataformas de software e aplicativos dentro da organização gerenciando instâncias do Amazon Elastic Compute Cloud (Amazon EC2) com o AWS Systems Manager. Use o AWS Systems Manager para fornecer configurações detalhadas do sistema, níveis de patch do sistema operacional, nome e tipo de serviços, instalações de software, nome do aplicativo, editor e versão, além de outros detalhes sobre seu ambiente. | |
| T0314 | Desenvolva um contexto de segurança do sistema, um Conceito de Operações (CONOPS) preliminar de segurança do sistema e defina os requisitos básicos de segurança do sistema de acordo com os requisitos de segurança cibernética aplicáveis. | Use o AWS Systems Manager Associations para ajudar no inventário de plataformas e aplicativos de software em uma organização. AWS Systems Manager atribui um estado de configuração às instâncias gerenciadas e permite que você defina linhas de base de níveis de patch do sistema operacional, instalações de software, configurações de aplicações e outros detalhes sobre o ambiente. | |
| T0314 | Desenvolva um contexto de segurança do sistema, um Conceito de Operações (CONOPS) preliminar de segurança do sistema e defina os requisitos básicos de segurança do sistema de acordo com os requisitos de segurança cibernética aplicáveis. | Ative essa regra para ajudar na configuração básica das instâncias do Amazon Elastic Compute Cloud EC2 (Amazon), verificando se as EC2 instâncias da Amazon foram interrompidas por mais do que o número permitido de dias, de acordo com os padrões da sua organização. | |
| T0314 | Desenvolva um contexto de segurança do sistema, um Conceito de Operações (CONOPS) preliminar de segurança do sistema e defina os requisitos básicos de segurança do sistema de acordo com os requisitos de segurança cibernética aplicáveis. | Essa regra garante que os volumes do Amazon Elastic Block Store anexados às instâncias do Amazon Elastic Compute Cloud (Amazon EC2) sejam marcados para exclusão quando uma instância for encerrada. Se um volume do Amazon EBS não for excluído quando a instância à qual ele está anexado for encerrada, ele poderá violar o conceito de funcionalidade mínima. | |
| T0314 | Desenvolva um contexto de segurança do sistema, um Conceito de Operações (CONOPS) preliminar de segurança do sistema e defina os requisitos básicos de segurança do sistema de acordo com os requisitos de segurança cibernética aplicáveis. | Essa regra garante que o Elastic Load Balancing tenha a proteção contra exclusão habilitada. Use esse recurso para evitar que o balanceador de carga seja excluído de forma acidental ou mal-intencionada, o que pode levar à perda de disponibilidade das aplicações. | |
| T0314 | Desenvolva um contexto de segurança do sistema, um Conceito de Operações (CONOPS) preliminar de segurança do sistema e defina os requisitos básicos de segurança do sistema de acordo com os requisitos de segurança cibernética aplicáveis. | Gerencie o acesso aos recursos na AWS nuvem garantindo que as portas comuns sejam restritas nos grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2). Não restringir o acesso às portas a fontes confiáveis pode permitir ataques contra a disponibilidade, a integridade e a confidencialidade dos sistemas. Essa regra permite que você defina opcionalmente os parâmetros blockedPort1-blockedPort5 (Padrões de configuração: 20.21.3389.3306.4333). Os valores reais devem refletir as políticas da organização. | |
| T0333 | Realize análises e relatórios de tendências de defesa cibernética. | AWS O Security Hub ajuda a monitorar pessoas, conexões, dispositivos e software não autorizados. AWS O Security Hub agrega, organiza e prioriza os alertas ou descobertas de segurança de vários serviços. AWS Alguns desses serviços são o Amazon Security Hub, o Amazon Inspector, o Amazon Macie AWS , o Identity and Access Management (IAM) Access Analyzer e o Firewall AWS Manager, além de soluções de parceiros. AWS | |
| T0333 | Realize análises e relatórios de tendências de defesa cibernética. | A Amazon GuardDuty pode ajudar a monitorar e detectar possíveis eventos de cibersegurança usando feeds de inteligência de ameaças. Isso inclui listas de aprendizado de máquina IPs e malicioso para identificar atividades inesperadas, não autorizadas e maliciosas em seu ambiente de AWS nuvem. | |
| T0347 | Avalie a validade dos dados de origem e das descobertas subsequentes. | A Amazon GuardDuty pode ajudar a monitorar e detectar possíveis eventos de cibersegurança usando feeds de inteligência de ameaças. Isso inclui listas de aprendizado de máquina IPs e malicioso para identificar atividades inesperadas, não autorizadas e maliciosas em seu ambiente de AWS nuvem. | |
| T0358 | Projete e desenvolva a funcionalidade de administração e gerenciamento do sistema para usuários com acesso privilegiado. | Certifique-se de que um usuário, uma função do IAM ou um grupo do IAM do AWS Identity and Access Management (IAM) não tenha uma política embutida para controlar o acesso a sistemas e ativos. AWS recomenda usar políticas gerenciadas em vez de políticas embutidas. As políticas gerenciadas permitem a reutilização, o versionamento, a reversão e a delegação do gerenciamento de permissões. | |
| T0358 | Projete e desenvolva a funcionalidade de administração e gerenciamento do sistema para usuários com acesso privilegiado. | Garanta que as ações do IAM estejam restritas somente às ações necessárias. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres. | |
| T0358 | Projete e desenvolva a funcionalidade de administração e gerenciamento do sistema para usuários com acesso privilegiado. | AWS O Identity and Access Management (IAM) pode ajudá-lo a incorporar os princípios de privilégio mínimo e separação de tarefas com permissões e autorizações de acesso, impedindo que as políticas contenham ações bloqueadas em AWS todas as chaves do Key Management Service. Ter mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres. Essa regra permite que você defina o blockedActionsPatterns parâmetro. (Valor AWS básico das melhores práticas de segurança: kms: Decrypt,). kms: ReEncryptFrom Os valores reais devem refletir as políticas da organização. | |
| T0358 | Projete e desenvolva a funcionalidade de administração e gerenciamento do sistema para usuários com acesso privilegiado. | AWS O Identity and Access Management (IAM) pode ajudá-lo a incorporar os princípios de privilégio mínimo e separação de deveres com permissões e autorizações de acesso, garantindo que os grupos do IAM tenham pelo menos um usuário. Colocar usuários em grupos com base nas permissões associadas ou na função de trabalho é uma forma de incorporar o privilégio mínimo. | |
| T0358 | Projete e desenvolva a funcionalidade de administração e gerenciamento do sistema para usuários com acesso privilegiado. | Certifique-se de que um usuário, uma função do IAM ou um grupo do IAM do AWS Identity and Access Management (IAM) não tenha uma política embutida para permitir ações bloqueadas em AWS todas as chaves do Key Management Service. AWS recomenda usar políticas gerenciadas em vez de políticas embutidas. As políticas gerenciadas permitem a reutilização, o versionamento, a reversão e a delegação do gerenciamento de permissões. Essa regra permite que você defina o blockedActionsPatterns parâmetro. (Valor AWS básico das melhores práticas de segurança: kms: Decrypt,). kms: ReEncryptFrom Os valores reais devem refletir as políticas da organização. | |
| T0358 | Projete e desenvolva a funcionalidade de administração e gerenciamento do sistema para usuários com acesso privilegiado. | AWS O Identity and Access Management (IAM) pode ajudá-lo a incorporar os princípios de privilégio mínimo e separação de deveres com permissões e autorizações de acesso, impedindo que as políticas contenham “Efeito”: “Permitir” com “Ação”: “*” sobre “Recurso”: “*”. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres. | |
| T0358 | Projete e desenvolva a funcionalidade de administração e gerenciamento do sistema para usuários com acesso privilegiado. | AWS O Identity and Access Management (IAM) pode ajudá-lo a restringir permissões e autorizações de acesso, garantindo que os usuários sejam membros de pelo menos um grupo. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres. | |
| T0358 | Projete e desenvolva a funcionalidade de administração e gerenciamento do sistema para usuários com acesso privilegiado. | Essa regra garante que as políticas de AWS Identity and Access Management (IAM) sejam anexadas somente a grupos ou funções para controlar o acesso a sistemas e ativos. A atribuição de privilégios por grupo ou perfil ajuda a reduzir a oportunidade de uma identidade receber ou reter privilégios excessivos. | |
| T0376 | Estabeleça, forneça recursos, implemente e avalie programas cibernéticos de gerenciamento da força de trabalho de acordo com os requisitos organizacionais. | EC2 perfis de instância passam uma função do IAM para uma EC2 instância. Anexar um perfil de instância às instâncias pode ajudar no gerenciamento de privilégio mínimo e permissões. | |
| T0376 | Estabeleça, forneça recursos, implemente e avalie programas cibernéticos de gerenciamento da força de trabalho de acordo com os requisitos organizacionais. | Se uma definição de tarefa tem privilégios elevados, significa que o cliente optou especificamente por essas configurações. Esse controle verifica o aumento inesperado de privilégios quando uma definição de tarefa tem a rede de host habilitada e o cliente não optou por privilégios elevados. | |
| T0376 | Estabeleça, forneça recursos, implemente e avalie programas cibernéticos de gerenciamento da força de trabalho de acordo com os requisitos organizacionais. | Certifique-se de que os domínios do Amazon OpenSearch Service tenham registros de erros habilitados e transmitidos para o Amazon CloudWatch Logs para retenção e resposta. Os logs de erros do domínio podem auxiliar nas auditorias de segurança e acesso, além de ajudar a diagnosticar problemas de disponibilidade. | |
| T0376 | Estabeleça, forneça recursos, implemente e avalie programas cibernéticos de gerenciamento da força de trabalho de acordo com os requisitos organizacionais. | Certifique-se de que um usuário, uma função do IAM ou um grupo do IAM do AWS Identity and Access Management (IAM) não tenha uma política embutida para controlar o acesso a sistemas e ativos. AWS recomenda usar políticas gerenciadas em vez de políticas embutidas. As políticas gerenciadas permitem a reutilização, o versionamento, a reversão e a delegação do gerenciamento de permissões. | |
| T0376 | Estabeleça, forneça recursos, implemente e avalie programas cibernéticos de gerenciamento da força de trabalho de acordo com os requisitos organizacionais. | Garanta que as ações do IAM estejam restritas somente às ações necessárias. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres. | |
| T0376 | Estabeleça, forneça recursos, implemente e avalie programas cibernéticos de gerenciamento da força de trabalho de acordo com os requisitos organizacionais. | AWS CloudTrail registra as ações do AWS Management Console e as chamadas de API. Você pode identificar quais usuários e contas ligaram AWS, o endereço IP de origem de onde as chamadas foram feitas e quando elas ocorreram. CloudTrail entregará arquivos de log de todas as AWS regiões para seu bucket do S3 se MULTI_REGION_CLOUD_TRAIL_ENABLED estiver habilitado. Além disso, ao AWS lançar uma nova região, CloudTrail criará a mesma trilha na nova região. Como resultado, você receberá arquivos de log contendo a atividade da API para a nova região sem realizar nenhuma ação. | |
| T0376 | Estabeleça, forneça recursos, implemente e avalie programas cibernéticos de gerenciamento da força de trabalho de acordo com os requisitos organizacionais. | Para ajudar no registro em log e no monitoramento em seu ambiente, habilite o registro em log do Amazon Relational Database Service (Amazon RDS). Com o registro em log do Amazon RDS, você pode capturar eventos como conexões, desconexões, consultas ou tabelas consultadas. | |
| T0376 | Estabeleça, forneça recursos, implemente e avalie programas cibernéticos de gerenciamento da força de trabalho de acordo com os requisitos organizacionais. | Use CloudWatch a Amazon para coletar e gerenciar centralmente a atividade de eventos de log. A inclusão de AWS CloudTrail dados fornece detalhes da atividade de chamadas de API em seu Conta da AWS. | |
| T0376 | Estabeleça, forneça recursos, implemente e avalie programas cibernéticos de gerenciamento da força de trabalho de acordo com os requisitos organizacionais. | AWS CloudTrail pode ajudar na não repúdio gravando ações do AWS Management Console e chamadas de API. Você pode identificar os usuários e os Contas da AWS que chamaram um AWS serviço, o endereço IP de origem onde as chamadas foram geradas e os horários das chamadas. Os detalhes dos dados capturados são vistos no Conteúdo do AWS CloudTrail Registro. | |
| T0376 | Estabeleça, forneça recursos, implemente e avalie programas cibernéticos de gerenciamento da força de trabalho de acordo com os requisitos organizacionais. | A coleta de eventos de dados do Simple Storage Service (Amazon S3) ajuda a detectar qualquer atividade anômala. Os detalhes incluem informações da conta da AWS que acessou um bucket do Amazon S3, o endereço IP e o horário do evento. | |
| T0376 | Estabeleça, forneça recursos, implemente e avalie programas cibernéticos de gerenciamento da força de trabalho de acordo com os requisitos organizacionais. | Ao habilitar o Kerberos para clusters do Amazon EMR, é possível gerenciar e incorporar as permissões e autorizações de acesso com os princípios de privilégio mínimo e separação de deveres. No Kerberos, os serviços e os usuários que precisam se autenticar são conhecidos como entidades principais. As entidades principais existem em um realm Kerberos. No realm, um servidor Kerberos é conhecido como o centro de distribuição de chaves (KDC). Ele fornece um meio para as entidades principais se autenticarem. A autenticação do KDC é feita com a emissão de tíquetes. O KDC mantém um banco de dados das entidades principais no realm, as senhas e outras informações administrativas sobre cada entidade principal. | |
| T0376 | Estabeleça, forneça recursos, implemente e avalie programas cibernéticos de gerenciamento da força de trabalho de acordo com os requisitos organizacionais. | AWS O Identity and Access Management (IAM) pode ajudá-lo a incorporar os princípios de privilégio mínimo e separação de tarefas com permissões e autorizações de acesso, impedindo que as políticas contenham ações bloqueadas em AWS todas as chaves do Key Management Service. Ter mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres. Essa regra permite que você defina o blockedActionsPatterns parâmetro. (Valor AWS básico das melhores práticas de segurança: kms: Decrypt,). kms: ReEncryptFrom Os valores reais devem refletir as políticas da organização. | |
| T0376 | Estabeleça, forneça recursos, implemente e avalie programas cibernéticos de gerenciamento da força de trabalho de acordo com os requisitos organizacionais. | AWS O Identity and Access Management (IAM) pode ajudá-lo a incorporar os princípios de privilégio mínimo e separação de deveres com permissões e autorizações de acesso, garantindo que os grupos do IAM tenham pelo menos um usuário. Colocar usuários em grupos com base nas permissões associadas ou na função de trabalho é uma forma de incorporar o privilégio mínimo. | |
| T0376 | Estabeleça, forneça recursos, implemente e avalie programas cibernéticos de gerenciamento da força de trabalho de acordo com os requisitos organizacionais. | Certifique-se de que um usuário, uma função do IAM ou um grupo do IAM do AWS Identity and Access Management (IAM) não tenha uma política embutida para permitir ações bloqueadas em AWS todas as chaves do Key Management Service. AWS recomenda usar políticas gerenciadas em vez de políticas embutidas. As políticas gerenciadas permitem a reutilização, o versionamento, a reversão e a delegação do gerenciamento de permissões. Essa regra permite que você defina o blockedActionsPatterns parâmetro. (Valor AWS básico das melhores práticas de segurança: kms: Decrypt,). kms: ReEncryptFrom Os valores reais devem refletir as políticas da organização. | |
| T0376 | Estabeleça, forneça recursos, implemente e avalie programas cibernéticos de gerenciamento da força de trabalho de acordo com os requisitos organizacionais. | AWS O Identity and Access Management (IAM) pode ajudá-lo a incorporar os princípios de privilégio mínimo e separação de deveres com permissões e autorizações de acesso, impedindo que as políticas contenham “Efeito”: “Permitir” com “Ação”: “*” sobre “Recurso”: “*”. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres. | |
| T0376 | Estabeleça, forneça recursos, implemente e avalie programas cibernéticos de gerenciamento da força de trabalho de acordo com os requisitos organizacionais. | AWS O Identity and Access Management (IAM) pode ajudá-lo a restringir permissões e autorizações de acesso, garantindo que os usuários sejam membros de pelo menos um grupo. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres. | |
| T0376 | Estabeleça, forneça recursos, implemente e avalie programas cibernéticos de gerenciamento da força de trabalho de acordo com os requisitos organizacionais. | Essa regra garante que as políticas de AWS Identity and Access Management (IAM) sejam anexadas somente a grupos ou funções para controlar o acesso a sistemas e ativos. A atribuição de privilégios por grupo ou perfil ajuda a reduzir a oportunidade de uma identidade receber ou reter privilégios excessivos. | |
| T0376 | Estabeleça, forneça recursos, implemente e avalie programas cibernéticos de gerenciamento da força de trabalho de acordo com os requisitos organizacionais. | O registro em log de acesso ao servidor do Amazon Simple Storage Service (Amazon S3) fornece um método para monitorar a rede em busca de possíveis eventos de segurança cibernética. Os eventos são monitorados pela captura de registros detalhados das solicitações que são feitas a um bucket do Amazon S3. Cada registro de log de acesso fornece detalhes sobre uma única solicitação de acesso. Os detalhes incluem solicitante, nome do bucket, horário da solicitação, ação da solicitação, status da resposta e um código de erro, se relevante. | |
| T0376 | Estabeleça, forneça recursos, implemente e avalie programas cibernéticos de gerenciamento da força de trabalho de acordo com os requisitos organizacionais. | Os logs de fluxo da VPC fornecem registros detalhados de informações sobre o tráfego de IP de entrada e saída das interfaces de rede no Amazon Virtual Private Cloud (Amazon VPC). Por padrão, o registro de log de fluxo inclui valores para os diferentes componentes do fluxo de IP, incluindo a origem, o destino e o protocolo. | |
| T0416 | Habilite aplicações com chave pública aproveitando as bibliotecas existentes de infraestrutura de chave pública (PKI) e incorporando funcionalidades de gerenciamento e criptografia de certificados quando apropriado. | Garanta que a integridade da rede seja protegida garantindo que os certificados X509 sejam emitidos pelo AWS ACM. Esses certificados devem ser válidos e estar dentro do prazo de validade. Essa regra exige um valor para daysToExpiration (valor das melhores práticas de segurança AWS básicas: 90). O valor real deve refletir as políticas da organização. | |
| T0416 | Habilite aplicações com chave pública aproveitando as bibliotecas existentes de infraestrutura de chave pública (PKI) e incorporando funcionalidades de gerenciamento e criptografia de certificados quando apropriado. | Para ajudar a proteger os dados em trânsito, garanta que o Application Load Balancer redirecione automaticamente as solicitações HTTP não criptografadas para HTTPS. Como pode haver dados confidenciais, habilite a criptografia em trânsito para ajudar a protegê-los. | |
| T0416 | Habilite aplicações com chave pública aproveitando as bibliotecas existentes de infraestrutura de chave pública (PKI) e incorporando funcionalidades de gerenciamento e criptografia de certificados quando apropriado. | Certifique-se node-to-node de que a criptografia para o Amazon OpenSearch Service esteja ativada. Node-to-nodea criptografia permite a criptografia TLS 1.2 para todas as comunicações dentro da Amazon Virtual Private Cloud (Amazon VPC). Como pode haver dados confidenciais, habilite a criptografia em trânsito para ajudar a protegê-los. | |
| T0416 | Habilite aplicações com chave pública aproveitando as bibliotecas existentes de infraestrutura de chave pública (PKI) e incorporando funcionalidades de gerenciamento e criptografia de certificados quando apropriado. | Como pode haver dados confidenciais, e para ajudar a proteger os dados em trânsito, habilite a criptografia para o Elastic Load Balancing. Use o AWS Certificate Manager para gerenciar, provisionar e implantar certificados SSL/TLS públicos e privados com AWS serviços e recursos internos. | |
| T0416 | Habilite aplicações com chave pública aproveitando as bibliotecas existentes de infraestrutura de chave pública (PKI) e incorporando funcionalidades de gerenciamento e criptografia de certificados quando apropriado. | Como pode haver dados confidenciais, e para ajudar a proteger os dados em trânsito, habilite a criptografia para o Elastic Load Balancing. Use o AWS Certificate Manager para gerenciar, provisionar e implantar certificados SSL/TLS públicos e privados com AWS serviços e recursos internos. | |
| T0416 | Habilite aplicações com chave pública aproveitando as bibliotecas existentes de infraestrutura de chave pública (PKI) e incorporando funcionalidades de gerenciamento e criptografia de certificados quando apropriado. | Certifique-se de que seus Elastic Load Balancers (ELBs) estejam configurados com ouvintes SSL ou HTTPS. Como pode haver dados confidenciais, habilite a criptografia em trânsito para ajudar a protegê-los. | |
| T0416 | Habilite aplicações com chave pública aproveitando as bibliotecas existentes de infraestrutura de chave pública (PKI) e incorporando funcionalidades de gerenciamento e criptografia de certificados quando apropriado. | Certifique-se node-to-node de que a criptografia para o Amazon OpenSearch Service esteja ativada. Node-to-nodea criptografia permite a criptografia TLS 1.2 para todas as comunicações dentro da Amazon Virtual Private Cloud (Amazon VPC). Como pode haver dados confidenciais, habilite a criptografia em trânsito para ajudar a protegê-los. | |
| T0416 | Habilite aplicações com chave pública aproveitando as bibliotecas existentes de infraestrutura de chave pública (PKI) e incorporando funcionalidades de gerenciamento e criptografia de certificados quando apropriado. | Os clusters do Amazon Redshift devem exigir criptografia TLS/SSL para se conectar aos clientes SQL. Como pode haver dados confidenciais, habilite a criptografia em trânsito para ajudar a protegê-los. | |
| T0416 | Habilite aplicações com chave pública aproveitando as bibliotecas existentes de infraestrutura de chave pública (PKI) e incorporando funcionalidades de gerenciamento e criptografia de certificados quando apropriado. | Para ajudar a proteger dados em trânsito, os buckets do Amazon Simple Storage Service (Amazon S3) devem exigir solicitações de uso do Secure Socket Layer (SSL). Como pode haver dados confidenciais, habilite a criptografia em trânsito para ajudar a protegê-los. | |
| T0416 | Habilite aplicações com chave pública aproveitando as bibliotecas existentes de infraestrutura de chave pública (PKI) e incorporando funcionalidades de gerenciamento e criptografia de certificados quando apropriado. | Configure os estágios da API REST do Amazon API Gateway com certificados SSL para permitir que os sistemas de back-end autentiquem o API Gateway como origem das solicitações. | |
| T0421 | Gerencie a indexação/catalogação, o armazenamento e o acesso ao conhecimento organizacional explícito (por exemplo, documentos impressos, arquivos digitais). | Se você configurar suas interfaces de rede com um endereço IP público, os recursos associados a essas interfaces de rede poderão ser acessados pela Internet. EC2 os recursos não devem ser acessíveis ao público, pois isso pode permitir acesso não intencional aos seus aplicativos ou servidores. | |
| T0421 | Gerencie a indexação/catalogação, o armazenamento e o acesso ao conhecimento organizacional explícito (por exemplo, documentos impressos, arquivos digitais). | Gerencie o acesso à AWS nuvem garantindo que as instâncias de replicação do DMS não possam ser acessadas publicamente. As instâncias de replicação do DMS podem conter informações confidenciais, e o controle de acesso é necessário para essas contas. | |
| T0421 | Gerencie a indexação/catalogação, o armazenamento e o acesso ao conhecimento organizacional explícito (por exemplo, documentos impressos, arquivos digitais). | Gerencie o acesso à AWS nuvem garantindo que os instantâneos do EBS não sejam restauráveis publicamente. Os instantâneos de volume do EBS podem conter informações confidenciais, e o controle de acesso é necessário para essas contas. | |
| T0421 | Gerencie a indexação/catalogação, o armazenamento e o acesso ao conhecimento organizacional explícito (por exemplo, documentos impressos, arquivos digitais). | Gerencie o acesso à AWS nuvem garantindo que as instâncias do Amazon Elastic Compute Cloud (Amazon EC2) não possam ser acessadas publicamente. EC2As instâncias da Amazon podem conter informações confidenciais e o controle de acesso é necessário para essas contas. | |
| T0421 | Gerencie a indexação/catalogação, o armazenamento e o acesso ao conhecimento organizacional explícito (por exemplo, documentos impressos, arquivos digitais). | Gerencie o acesso à AWS nuvem garantindo que os nós principais do cluster Amazon EMR não possam ser acessados publicamente. Os nós principais do cluster do Amazon EMR podem conter informações confidenciais, e o controle de acesso é necessário para essas contas. | |
| T0421 | Gerencie a indexação/catalogação, o armazenamento e o acesso ao conhecimento organizacional explícito (por exemplo, documentos impressos, arquivos digitais). | Gerencie o acesso aos recursos na AWS nuvem garantindo que as funções do AWS Lambda não possam ser acessadas publicamente. O acesso público pode causar degradação da disponibilidade de recursos. | |
| T0421 | Gerencie a indexação/catalogação, o armazenamento e o acesso ao conhecimento organizacional explícito (por exemplo, documentos impressos, arquivos digitais). | Gerencie o acesso aos recursos na AWS nuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações confidenciais e princípios, e o controle de acesso é necessário para essas contas. | |
| T0421 | Gerencie a indexação/catalogação, o armazenamento e o acesso ao conhecimento organizacional explícito (por exemplo, documentos impressos, arquivos digitais). | Gerencie o acesso aos recursos na AWS nuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações confidenciais e princípios, e o controle de acesso é necessário para essas contas. | |
| T0421 | Gerencie a indexação/catalogação, o armazenamento e o acesso ao conhecimento organizacional explícito (por exemplo, documentos impressos, arquivos digitais). | Gerencie o acesso aos recursos na AWS nuvem garantindo que os clusters do Amazon Redshift não sejam públicos. Os clusters do Amazon Redshift podem conter informações confidenciais e princípios, e o controle de acesso é necessário para essas contas. | |
| T0421 | Gerencie a indexação/catalogação, o armazenamento e o acesso ao conhecimento organizacional explícito (por exemplo, documentos impressos, arquivos digitais). | Gerencie o acesso aos recursos na AWS nuvem garantindo que os buckets do Amazon Simple Storage Service (Amazon S3) não possam ser acessados publicamente. Essa regra ajuda a manter os dados confidenciais protegidos de usuários remotos não autorizados, impedindo o acesso público. Essa regra permite que você defina opcionalmente ignorePublicAcls (Config Default: True), blockPublicPolicy (Config Default: True), blockPublicAcls (Config Default: True) e restrictPublicBuckets parâmetros (Config Default: True). Os valores reais devem refletir as políticas da organização. | |
| T0421 | Gerencie a indexação/catalogação, o armazenamento e o acesso ao conhecimento organizacional explícito (por exemplo, documentos impressos, arquivos digitais). | Gerencie o acesso aos recursos na AWS nuvem permitindo que somente usuários, processos e dispositivos autorizados acessem os buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados. | |
| T0421 | Gerencie a indexação/catalogação, o armazenamento e o acesso ao conhecimento organizacional explícito (por exemplo, documentos impressos, arquivos digitais). | Gerencie o acesso aos recursos na AWS nuvem permitindo que somente usuários, processos e dispositivos autorizados acessem os buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados. | |
| T0421 | Gerencie a indexação/catalogação, o armazenamento e o acesso ao conhecimento organizacional explícito (por exemplo, documentos impressos, arquivos digitais). | Certifique-se AWS de que os documentos do Systems Manager (SSM) não sejam públicos, pois isso pode permitir acesso não intencional aos seus documentos SSM. Um documento do SSM público pode expor informações sobre sua conta, recursos e processos internos. | |
| T0421 | Gerencie a indexação/catalogação, o armazenamento e o acesso ao conhecimento organizacional explícito (por exemplo, documentos impressos, arquivos digitais). | Ao habilitar o Kerberos para clusters do Amazon EMR, é possível gerenciar e incorporar as permissões e autorizações de acesso com os princípios de privilégio mínimo e separação de deveres. No Kerberos, os serviços e os usuários que precisam se autenticar são conhecidos como entidades principais. As entidades principais existem em um realm Kerberos. No realm, um servidor Kerberos é conhecido como o centro de distribuição de chaves (KDC). Ele fornece um meio para as entidades principais se autenticarem. A autenticação do KDC é feita com a emissão de tíquetes. O KDC mantém um banco de dados das entidades principais no realm, as senhas e outras informações administrativas sobre cada entidade principal. | |
| T0421 | Gerencie a indexação/catalogação, o armazenamento e o acesso ao conhecimento organizacional explícito (por exemplo, documentos impressos, arquivos digitais). | Gerencie o acesso à AWS nuvem garantindo que as sub-redes da Amazon Virtual Private Cloud (VPC) não recebam automaticamente um endereço IP público. As instâncias do Amazon Elastic Compute Cloud (EC2) que são lançadas em sub-redes com esse atributo ativado têm um endereço IP público atribuído à sua interface de rede primária. | |
| T0475 | Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know | Se você configurar suas interfaces de rede com um endereço IP público, os recursos associados a essas interfaces de rede poderão ser acessados pela Internet. EC2 os recursos não devem ser acessíveis ao público, pois isso pode permitir acesso não intencional aos seus aplicativos ou servidores. | |
| T0475 | Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know | EC2 perfis de instância passam uma função do IAM para uma EC2 instância. Anexar um perfil de instância às instâncias pode ajudar no gerenciamento de privilégio mínimo e permissões. | |
| T0475 | Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know | Se uma definição de tarefa tem privilégios elevados, significa que o cliente optou especificamente por essas configurações. Esse controle verifica o aumento inesperado de privilégios quando uma definição de tarefa tem a rede de host habilitada e o cliente não optou por privilégios elevados. | |
| T0475 | Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know | Certifique-se de que um usuário, uma função do IAM ou um grupo do IAM do AWS Identity and Access Management (IAM) não tenha uma política embutida para controlar o acesso a sistemas e ativos. AWS recomenda usar políticas gerenciadas em vez de políticas embutidas. As políticas gerenciadas permitem a reutilização, o versionamento, a reversão e a delegação do gerenciamento de permissões. | |
| T0475 | Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know | Garanta que as ações do IAM estejam restritas somente às ações necessárias. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres. | |
| T0475 | Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know | Implante instâncias do Amazon Elastic Compute Cloud (Amazon EC2) em uma Amazon Virtual Private Cloud (Amazon VPC) para permitir a comunicação segura entre uma instância e outros serviços dentro da Amazon VPC, sem exigir um gateway de internet, dispositivo NAT ou conexão VPN. Todo o tráfego permanece seguro na nuvem. AWS Devido ao seu isolamento lógico, os domínios que residem no Amazon VPC contam com uma camada adicional de segurança se comparados aos domínios que utilizam endpoints públicos. Atribua EC2 instâncias da Amazon a uma Amazon VPC para gerenciar adequadamente o acesso. | |
| T0475 | Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know | Gerencie o acesso aos recursos na AWS nuvem garantindo que os buckets do Amazon Simple Storage Service (Amazon S3) não possam ser acessados publicamente. Essa regra ajuda a manter os dados confidenciais protegidos de usuários remotos não autorizados, impedindo o acesso público. Essa regra permite que você defina opcionalmente ignorePublicAcls (Config Default: True), blockPublicPolicy (Config Default: True), blockPublicAcls (Config Default: True) e restrictPublicBuckets parâmetros (Config Default: True). Os valores reais devem refletir as políticas da organização. | |
| T0475 | Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know | Certifique-se AWS de que os documentos do Systems Manager (SSM) não sejam públicos, pois isso pode permitir acesso não intencional aos seus documentos SSM. Um documento do SSM público pode expor informações sobre sua conta, recursos e processos internos. | |
| T0475 | Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know | Gerencie o acesso à AWS nuvem garantindo que as instâncias de replicação do DMS não possam ser acessadas publicamente. As instâncias de replicação do DMS podem conter informações confidenciais, e o controle de acesso é necessário para essas contas. | |
| T0475 | Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know | Gerencie o acesso à AWS nuvem garantindo que os instantâneos do EBS não sejam restauráveis publicamente. Os instantâneos de volume do EBS podem conter informações confidenciais, e o controle de acesso é necessário para essas contas. | |
| T0475 | Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know | Gerencie o acesso à AWS nuvem garantindo que as instâncias do Amazon Elastic Compute Cloud (Amazon EC2) não possam ser acessadas publicamente. EC2As instâncias da Amazon podem conter informações confidenciais e o controle de acesso é necessário para essas contas. | |
| T0475 | Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know | Gerencie o acesso à AWS nuvem garantindo que os domínios do Amazon OpenSearch Service (OpenSearch Service) estejam dentro de uma Amazon Virtual Private Cloud (Amazon VPC). Um domínio OpenSearch de serviço em uma Amazon VPC permite a comunicação segura entre o OpenSearch serviço e outros serviços dentro da Amazon VPC sem a necessidade de um gateway de internet, dispositivo NAT ou conexão VPN. | |
| T0475 | Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know | Ao habilitar o Kerberos para clusters do Amazon EMR, é possível gerenciar e incorporar as permissões e autorizações de acesso com os princípios de privilégio mínimo e separação de deveres. No Kerberos, os serviços e os usuários que precisam se autenticar são conhecidos como entidades principais. As entidades principais existem em um realm Kerberos. No realm, um servidor Kerberos é conhecido como o centro de distribuição de chaves (KDC). Ele fornece um meio para as entidades principais se autenticarem. A autenticação do KDC é feita com a emissão de tíquetes. O KDC mantém um banco de dados das entidades principais no realm, as senhas e outras informações administrativas sobre cada entidade principal. | |
| T0475 | Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know | Gerencie o acesso à AWS nuvem garantindo que os nós principais do cluster Amazon EMR não possam ser acessados publicamente. Os nós principais do cluster do Amazon EMR podem conter informações confidenciais, e o controle de acesso é necessário para essas contas. | |
| T0475 | Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know | AWS O Identity and Access Management (IAM) pode ajudá-lo a incorporar os princípios de privilégio mínimo e separação de tarefas com permissões e autorizações de acesso, impedindo que as políticas contenham ações bloqueadas em AWS todas as chaves do Key Management Service. Ter mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres. Essa regra permite que você defina o blockedActionsPatterns parâmetro. (Valor AWS básico das melhores práticas de segurança: kms: Decrypt,). kms: ReEncryptFrom Os valores reais devem refletir as políticas da organização. | |
| T0475 | Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know | AWS O Identity and Access Management (IAM) pode ajudá-lo a incorporar os princípios de privilégio mínimo e separação de deveres com permissões e autorizações de acesso, garantindo que os grupos do IAM tenham pelo menos um usuário. Colocar usuários em grupos com base nas permissões associadas ou na função de trabalho é uma forma de incorporar o privilégio mínimo. | |
| T0475 | Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know | Certifique-se de que um usuário, uma função do IAM ou um grupo do IAM do AWS Identity and Access Management (IAM) não tenha uma política embutida para permitir ações bloqueadas em AWS todas as chaves do Key Management Service. AWS recomenda usar políticas gerenciadas em vez de políticas embutidas. As políticas gerenciadas permitem a reutilização, o versionamento, a reversão e a delegação do gerenciamento de permissões. Essa regra permite que você defina o blockedActionsPatterns parâmetro. (Valor AWS básico das melhores práticas de segurança: kms: Decrypt,). kms: ReEncryptFrom Os valores reais devem refletir as políticas da organização. | |
| T0475 | Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know | AWS O Identity and Access Management (IAM) pode ajudá-lo a incorporar os princípios de privilégio mínimo e separação de deveres com permissões e autorizações de acesso, impedindo que as políticas contenham “Efeito”: “Permitir” com “Ação”: “*” sobre “Recurso”: “*”. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres. | |
| T0475 | Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know | O acesso a sistemas e ativos pode ser controlado verificando se o usuário raiz não tem chaves de acesso anexadas à sua função de AWS Identity and Access Management (IAM). Exclua as chaves de acesso raiz. Em vez disso, crie e use com base em funções Contas da AWS para ajudar a incorporar o princípio da menor funcionalidade. | |
| T0475 | Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know | AWS O Identity and Access Management (IAM) pode ajudá-lo a restringir permissões e autorizações de acesso, garantindo que os usuários sejam membros de pelo menos um grupo. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres. | |
| T0475 | Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know | Essa regra garante que as políticas de AWS Identity and Access Management (IAM) sejam anexadas somente a grupos ou funções para controlar o acesso a sistemas e ativos. A atribuição de privilégios por grupo ou perfil ajuda a reduzir a oportunidade de uma identidade receber ou reter privilégios excessivos. | |
| T0475 | Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know | AWS O Identity and Access Management (IAM) pode ajudá-lo com permissões e autorizações de acesso verificando senhas e chaves de acesso do IAM que não são usadas por um período de tempo especificado. Se essas credenciais não utilizadas forem identificadas, você deverá desabilitar e/ou removê-las, pois isso pode violar o princípio de privilégio mínimo. Essa regra exige que você defina um valor como maxCredentialUsage Idade (Config Default: 90). O valor real deve refletir as políticas da organização. | |
| T0475 | Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know | Gerencie o acesso aos recursos na AWS nuvem garantindo que as funções do AWS Lambda não possam ser acessadas publicamente. O acesso público pode causar degradação da disponibilidade de recursos. | |
| T0475 | Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know | Implante funções AWS Lambda em uma Amazon Virtual Private Cloud (Amazon VPC) para uma comunicação segura entre uma função e outros serviços dentro da Amazon VPC. Com essa configuração, não há necessidade de um gateway da Internet, dispositivo NAT ou conexão VPN. Todo o tráfego permanece seguro na nuvem. AWS Devido ao seu isolamento lógico, os domínios que residem no Amazon VPC contam com uma camada adicional de segurança se comparados aos domínios que utilizam endpoints públicos. Para gerenciar adequadamente o acesso, as funções do AWS Lambda devem ser atribuídas a uma VPC. | |
| T0475 | Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know | Gerencie o acesso à AWS nuvem garantindo que os domínios do Amazon Elasticsearch Service (Amazon ES) estejam dentro de uma Amazon Virtual Private Cloud (Amazon VPC). Colocar um domínio do Amazon ES no Amazon VPC permite uma comunicação segura entre o Amazon ES e os outros serviços no Amazon VPC, sem que seja necessário usar um gateway da Internet, um dispositivo NAT ou uma conexão VPN. | |
| T0475 | Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know | Gerencie o acesso aos recursos na AWS nuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações confidenciais e princípios, e o controle de acesso é necessário para essas contas. | |
| T0475 | Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know | Gerencie o acesso aos recursos na AWS nuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações confidenciais e princípios, e o controle de acesso é necessário para essas contas. | |
| T0475 | Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know | Gerencie o acesso aos recursos na AWS nuvem garantindo que os clusters do Amazon Redshift não sejam públicos. Os clusters do Amazon Redshift podem conter informações confidenciais e princípios, e o controle de acesso é necessário para essas contas. | |
| T0475 | Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know | Gerencie o acesso aos recursos na AWS nuvem permitindo que somente usuários, processos e dispositivos autorizados acessem os buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados. | |
| T0475 | Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know | Gerencie o acesso aos recursos na AWS nuvem permitindo que somente usuários, processos e dispositivos autorizados acessem os buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados. | |
| T0475 | Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know | Gerencie o acesso aos recursos na AWS nuvem garantindo que os SageMaker notebooks da Amazon não permitam acesso direto à Internet. Ao impedir o acesso direto à internet, você impede que dados confidenciais sejam acessados por usuários não autorizados. | |
| T0475 | Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know | Gerencie o acesso à AWS nuvem garantindo que as sub-redes da Amazon Virtual Private Cloud (VPC) não recebam automaticamente um endereço IP público. As instâncias do Amazon Elastic Compute Cloud (EC2) que são lançadas em sub-redes com esse atributo ativado têm um endereço IP público atribuído à sua interface de rede primária. | |
| T0489 | Implemente medidas de segurança do sistema de acordo com os procedimentos estabelecidos para garantir confidencialidade, integridade, disponibilidade, autenticação e não repúdio. | Certifique-se de que os domínios do Amazon OpenSearch Service tenham registros de erros habilitados e transmitidos para o Amazon CloudWatch Logs para retenção e resposta. Os logs de erros do domínio podem auxiliar nas auditorias de segurança e acesso, além de ajudar a diagnosticar problemas de disponibilidade. | |
| T0489 | Implemente medidas de segurança do sistema de acordo com os procedimentos estabelecidos para garantir confidencialidade, integridade, disponibilidade, autenticação e não repúdio. | AWS CloudTrail registra as ações do AWS Management Console e as chamadas de API. Você pode identificar quais usuários e contas ligaram AWS, o endereço IP de origem de onde as chamadas foram feitas e quando elas ocorreram. CloudTrail entregará arquivos de log de todas as AWS regiões para seu bucket do S3 se MULTI_REGION_CLOUD_TRAIL_ENABLED estiver habilitado. Além disso, ao AWS lançar uma nova região, CloudTrail criará a mesma trilha na nova região. Como resultado, você receberá arquivos de log contendo a atividade da API para a nova região sem realizar nenhuma ação. | |
| T0489 | Implemente medidas de segurança do sistema de acordo com os procedimentos estabelecidos para garantir confidencialidade, integridade, disponibilidade, autenticação e não repúdio. | Para ajudar com o registro e o monitoramento em seu ambiente, habilite o registro em AWS WAF (V2) na web regional e global. ACLs AWS O registro do WAF fornece informações detalhadas sobre o tráfego que é analisado pela sua ACL da web. Os registros registram a hora em que o AWS WAF recebeu a solicitação do seu AWS recurso, informações sobre a solicitação e uma ação para a regra à qual cada solicitação correspondeu. | |
| T0489 | Implemente medidas de segurança do sistema de acordo com os procedimentos estabelecidos para garantir confidencialidade, integridade, disponibilidade, autenticação e não repúdio. | O registro em log do API Gateway exibe visualizações detalhadas dos usuários que acessaram a API e a forma como eles a acessaram. Esse insight mostra as atividades do usuário. | |
| T0489 | Implemente medidas de segurança do sistema de acordo com os procedimentos estabelecidos para garantir confidencialidade, integridade, disponibilidade, autenticação e não repúdio. | Use CloudWatch a Amazon para coletar e gerenciar centralmente a atividade de eventos de log. A inclusão de AWS CloudTrail dados fornece detalhes da atividade de chamadas de API em seu Conta da AWS. | |
| T0489 | Implemente medidas de segurança do sistema de acordo com os procedimentos estabelecidos para garantir confidencialidade, integridade, disponibilidade, autenticação e não repúdio. | AWS CloudTrail pode ajudar na não repúdio gravando ações do AWS Management Console e chamadas de API. Você pode identificar os usuários e os Contas da AWS que chamaram um AWS serviço, o endereço IP de origem onde as chamadas foram geradas e os horários das chamadas. Os detalhes dos dados capturados são vistos no Conteúdo do AWS CloudTrail Registro. | |
| T0489 | Implemente medidas de segurança do sistema de acordo com os procedimentos estabelecidos para garantir confidencialidade, integridade, disponibilidade, autenticação e não repúdio. | A coleta de eventos de dados do Simple Storage Service (Amazon S3) ajuda a detectar qualquer atividade anômala. Os detalhes incluem informações da conta da AWS que acessou um bucket do Amazon S3, o endereço IP e o horário do evento. | |
| T0489 | Implemente medidas de segurança do sistema de acordo com os procedimentos estabelecidos para garantir confidencialidade, integridade, disponibilidade, autenticação e não repúdio. | A atividade do Elastic Load Balancing é um ponto central de comunicação em um ambiente. Habilite o registro em log do ELB. Os dados coletados fornecem informações detalhadas sobre as solicitações enviadas ao ELB. Cada log contém informações como a hora em que a solicitação foi recebida, o endereço IP do cliente, latências, caminhos de solicitação e respostas do servidor. | |
| T0489 | Implemente medidas de segurança do sistema de acordo com os procedimentos estabelecidos para garantir confidencialidade, integridade, disponibilidade, autenticação e não repúdio. | Para ajudar no registro em log e no monitoramento em seu ambiente, habilite o registro em log do Amazon Relational Database Service (Amazon RDS). Com o registro em log do Amazon RDS, você pode capturar eventos como conexões, desconexões, consultas ou tabelas consultadas. | |
| T0489 | Implemente medidas de segurança do sistema de acordo com os procedimentos estabelecidos para garantir confidencialidade, integridade, disponibilidade, autenticação e não repúdio. | Para proteger os dados em repouso, habilite a criptografia para os clusters do Amazon Redshift. Implante também as configurações necessárias nos clusters do Amazon Redshift. O registro em log de auditoria deve ser habilitado para fornecer informações sobre conexões e atividades do usuário no banco de dados. Essa regra exige que um valor seja definido para clusterDbEncrypted (Config Default: TRUE) e LoggingEnabled (Config Default: TRUE). Os valores reais devem refletir as políticas da organização. | |
| T0489 | Implemente medidas de segurança do sistema de acordo com os procedimentos estabelecidos para garantir confidencialidade, integridade, disponibilidade, autenticação e não repúdio. | O registro em log de acesso ao servidor do Amazon Simple Storage Service (Amazon S3) fornece um método para monitorar a rede em busca de possíveis eventos de segurança cibernética. Os eventos são monitorados pela captura de registros detalhados das solicitações que são feitas a um bucket do Amazon S3. Cada registro de log de acesso fornece detalhes sobre uma única solicitação de acesso. Os detalhes incluem solicitante, nome do bucket, horário da solicitação, ação da solicitação, status da resposta e um código de erro, se relevante. | |
| T0489 | Implemente medidas de segurança do sistema de acordo com os procedimentos estabelecidos para garantir confidencialidade, integridade, disponibilidade, autenticação e não repúdio. | Os logs de fluxo da VPC fornecem registros detalhados de informações sobre o tráfego de IP de entrada e saída das interfaces de rede no Amazon Virtual Private Cloud (Amazon VPC). Por padrão, o registro de log de fluxo inclui valores para os diferentes componentes do fluxo de IP, incluindo a origem, o destino e o protocolo. | |
| T0491 | Instale e configure hardware, software e equipamentos periféricos para usuários do sistema de acordo com os padrões organizacionais. | É possível fazer um inventário das plataformas de software e aplicativos dentro da organização gerenciando instâncias do Amazon Elastic Compute Cloud (Amazon EC2) com o AWS Systems Manager. Use o AWS Systems Manager para fornecer configurações detalhadas do sistema, níveis de patch do sistema operacional, nome e tipo de serviços, instalações de software, nome do aplicativo, editor e versão, além de outros detalhes sobre seu ambiente. | |
| T0491 | Instale e configure hardware, software e equipamentos periféricos para usuários do sistema de acordo com os padrões organizacionais. | Use o AWS Systems Manager Associations para ajudar no inventário de plataformas e aplicativos de software em uma organização. AWS Systems Manager atribui um estado de configuração às instâncias gerenciadas e permite que você defina linhas de base de níveis de patch do sistema operacional, instalações de software, configurações de aplicações e outros detalhes sobre o ambiente. | |
| T0491 | Instale e configure hardware, software e equipamentos periféricos para usuários do sistema de acordo com os padrões organizacionais. | Ative essa regra para ajudar na identificação e documentação das vulnerabilidades do Amazon Elastic Compute Cloud (Amazon EC2). A regra verifica se a conformidade de patches de EC2 instâncias da Amazon no AWS Systems Manager conforme exigido pelas políticas e procedimentos da sua organização. | |
| T0503 | Monitore fontes de dados externas (por exemplo, sites de fornecedores de defesa cibernética, equipes de resposta a emergências computacionais, foco em segurança) para manter a situação atual das ameaças à defesa cibernética e determinar quais problemas de segurança podem ter um impacto na empresa. | A Amazon GuardDuty pode ajudar a monitorar e detectar possíveis eventos de cibersegurança usando feeds de inteligência de ameaças. Isso inclui listas de aprendizado de máquina IPs e malicioso para identificar atividades inesperadas, não autorizadas e maliciosas em seu ambiente de AWS nuvem. | |
| T0509 | Realize uma avaliação de risco de segurança da informação. | annual-risk-assessment-performed (verificação do processo) | Faça uma avaliação anual de risco em sua organização. As avaliações de risco podem ajudar a determinar a probabilidade e o impacto dos riscos e/ou vulnerabilidades identificados que afetam uma organização. |
| T0553 | Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração. | Para ajudar a proteger os dados em repouso, habilite a criptografia para os volumes do Amazon Elastic Block Store (Amazon EBS). Como pode haver dados confidenciais em repouso nesses volumes, habilite a criptografia em repouso para ajudar a protegê-los. | |
| T0553 | Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração. | Certifique-se de que a node-to-node criptografia para o Amazon Elasticsearch Service esteja ativada. Node-to-nodea criptografia permite a criptografia TLS 1.2 para todas as comunicações dentro da Amazon Virtual Private Cloud (Amazon VPC). Como pode haver dados confidenciais, habilite a criptografia em trânsito para ajudar a protegê-los. | |
| T0553 | Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração. | Certifique-se de que seus Elastic Load Balancers (ELBs) estejam configurados com ouvintes SSL ou HTTPS. Como pode haver dados confidenciais, habilite a criptografia em trânsito para ajudar a protegê-los. | |
| T0553 | Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração. | AWS O Identity and Access Management (IAM) pode ajudá-lo a incorporar os princípios de privilégio mínimo e separação de tarefas com permissões e autorizações de acesso, impedindo que as políticas contenham ações bloqueadas em AWS todas as chaves do Key Management Service. Ter mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres. Essa regra permite que você defina o blockedActionsPatterns parâmetro. (Valor AWS básico das melhores práticas de segurança: kms: Decrypt,). kms: ReEncryptFrom Os valores reais devem refletir as políticas da organização. | |
| T0553 | Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração. | AWS O Identity and Access Management (IAM) pode ajudá-lo a incorporar os princípios de privilégio mínimo e separação de deveres com permissões e autorizações de acesso, garantindo que os grupos do IAM tenham pelo menos um usuário. Colocar usuários em grupos com base nas permissões associadas ou na função de trabalho é uma forma de incorporar o privilégio mínimo. | |
| T0553 | Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração. | Certifique-se de que um usuário, uma função do IAM ou um grupo do IAM do AWS Identity and Access Management (IAM) não tenha uma política embutida para permitir ações bloqueadas em AWS todas as chaves do Key Management Service. AWS recomenda usar políticas gerenciadas em vez de políticas embutidas. As políticas gerenciadas permitem a reutilização, o versionamento, a reversão e a delegação do gerenciamento de permissões. Essa regra permite que você defina o blockedActionsPatterns parâmetro. (Valor AWS básico das melhores práticas de segurança: kms: Decrypt,). kms: ReEncryptFrom Os valores reais devem refletir as políticas da organização. | |
| T0553 | Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração. | Certifique-se de que um usuário, uma função do IAM ou um grupo do IAM do AWS Identity and Access Management (IAM) não tenha uma política embutida para controlar o acesso a sistemas e ativos. AWS recomenda usar políticas gerenciadas em vez de políticas embutidas. As políticas gerenciadas permitem a reutilização, o versionamento, a reversão e a delegação do gerenciamento de permissões. | |
| T0553 | Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração. | As identidades e as credenciais são emitidas, gerenciadas e verificadas com base em uma política organizacional de senhas do IAM. Eles atendem ou excedem os requisitos estabelecidos pelo NIST SP 800-63 e pelo padrão AWS Foundational Security Best Practices para a força da senha. Essa regra permite que você defina opcionalmente RequireUppercaseCharacters (valor das melhores práticas de segurança AWS básicas: verdadeiro), RequireLowercaseCharacters (valor das melhores práticas de segurança AWS básicas: verdadeiro), RequireSymbols (valor das melhores práticas de segurança AWS básicas: verdadeiro), RequireNumbers (valor das melhores práticas de segurança AWS básicas: verdadeiro), MinimumPasswordLength (valor das melhores práticas de segurança AWS básicas: 14), PasswordReusePrevention (valor das melhores práticas de segurança AWS básicas: 24) e MaxPasswordAge (valor das melhores práticas de segurança AWS básica: 90) para seu IAM Política de senha. Os valores reais devem refletir as políticas da organização. | |
| T0553 | Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração. | AWS O Identity and Access Management (IAM) pode ajudá-lo a incorporar os princípios de privilégio mínimo e separação de deveres com permissões e autorizações de acesso, impedindo que as políticas contenham “Efeito”: “Permitir” com “Ação”: “*” sobre “Recurso”: “*”. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres. | |
| T0553 | Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração. | Garanta que as ações do IAM estejam restritas somente às ações necessárias. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres. | |
| T0553 | Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração. | O acesso a sistemas e ativos pode ser controlado verificando se o usuário raiz não tem chaves de acesso anexadas à sua função de AWS Identity and Access Management (IAM). Exclua as chaves de acesso raiz. Em vez disso, crie e use com base em funções Contas da AWS para ajudar a incorporar o princípio da menor funcionalidade. | |
| T0553 | Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração. | AWS O Identity and Access Management (IAM) pode ajudá-lo a restringir permissões e autorizações de acesso, garantindo que os usuários sejam membros de pelo menos um grupo. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres. | |
| T0553 | Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração. | Habilite essa regra para restringir o acesso a recursos na Nuvem AWS . Essa regra garante que a autenticação multifator (MFA) esteja habilitada para todos os usuários. A MFA adiciona uma camada extra de proteção, além do nome de usuário e senha. Reduza os incidentes de contas comprometidas exigindo que os usuários utilizem a MFA. | |
| T0553 | Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração. | Essa regra garante que as políticas de AWS Identity and Access Management (IAM) sejam anexadas somente a grupos ou funções para controlar o acesso a sistemas e ativos. A atribuição de privilégios por grupo ou perfil ajuda a reduzir a oportunidade de uma identidade receber ou reter privilégios excessivos. | |
| T0553 | Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração. | AWS O Identity and Access Management (IAM) pode ajudá-lo com permissões e autorizações de acesso verificando senhas e chaves de acesso do IAM que não são usadas por um período de tempo especificado. Se essas credenciais não utilizadas forem identificadas, você deverá desabilitar e/ou removê-las, pois isso pode violar o princípio de privilégio mínimo. Essa regra exige que você defina um valor como maxCredentialUsage Idade (Config Default: 90). O valor real deve refletir as políticas da organização. | |
| T0553 | Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração. | Gerencie o acesso aos recursos na AWS nuvem garantindo que a MFA esteja habilitada para todos os usuários do AWS Identity and Access Management (IAM) que tenham uma senha de console. A MFA adiciona uma camada extra de proteção, além das credenciais de login. Ao exigir que os usuários utilizem a MFA, você reduz os incidentes de contas comprometidas e impede que dados confidenciais sejam acessados por usuários não autorizados. | |
| T0553 | Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração. | Como pode haver dados confidenciais, e para ajudar a proteger os dados em repouso, habilite a criptografia para os domínios do Amazon Elasticsearch Service (Amazon ES). | |
| T0553 | Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração. | Certifique-se de que a node-to-node criptografia para o Amazon Elasticsearch Service esteja ativada. Node-to-nodea criptografia permite a criptografia TLS 1.2 para todas as comunicações dentro da Amazon Virtual Private Cloud (Amazon VPC). Como pode haver dados confidenciais, habilite a criptografia em trânsito para ajudar a protegê-los. | |
| T0553 | Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração. | Habilite a criptografia para os instantâneos do Amazon Relational Database Service (Amazon RDS). Como pode haver dados confidenciais em repouso, habilite a criptografia em repouso para ajudar a protegê-los. | |
| T0553 | Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração. | Habilite a criptografia para os buckets do Amazon Simple Storage Service (Amazon S3). Como pode haver dados confidenciais em repouso em um bucket do Amazon S3, habilite a criptografia em repouso para ajudar a protegê-los. | |
| T0553 | Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração. | Para ajudar a proteger os dados em repouso, garanta que a criptografia com o AWS Key Management Service (AWS KMS) esteja habilitada para seu SageMaker notebook. Como dados confidenciais podem existir em repouso no SageMaker notebook, ative a criptografia em repouso para ajudar a proteger esses dados. | |
| T0553 | Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração. | Para ajudar a proteger os dados em trânsito, garanta que o Application Load Balancer redirecione automaticamente as solicitações HTTP não criptografadas para HTTPS. Como pode haver dados confidenciais, habilite a criptografia em trânsito para ajudar a protegê-los. | |
| T0553 | Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração. | Para ajudar a proteger os dados em repouso, habilite a criptografia para o cache do estágio do API Gateway. Como dados confidenciais podem ser capturados para o método da API, habilite a criptografia em repouso para ajudar a protegê-los. | |
| T0553 | Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração. | Configure os estágios da API REST do Amazon API Gateway com certificados SSL para permitir que os sistemas de back-end autentiquem o API Gateway como origem das solicitações. | |
| T0553 | Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração. | Como pode haver dados confidenciais e para ajudar a proteger os dados em repouso, habilite a criptografia para as trilhas do AWS CloudTrail. | |
| T0553 | Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração. | Como pode haver dados confidenciais, e para ajudar a proteger os dados em repouso, habilite a criptografia para o Amazon Elastic File System (EFS). | |
| T0553 | Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração. | Como pode haver dados confidenciais, e para ajudar a proteger os dados em repouso, habilite a criptografia para os domínios do Amazon Elasticsearch Service (Amazon ES). | |
| T0553 | Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração. | Como pode haver dados confidenciais, e para ajudar a proteger os dados em trânsito, habilite a criptografia para o Elastic Load Balancing. Use o AWS Certificate Manager para gerenciar, provisionar e implantar certificados SSL/TLS públicos e privados com AWS serviços e recursos internos. | |
| T0553 | Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração. | Como pode haver dados confidenciais, e para ajudar a proteger os dados em repouso, habilite a criptografia para os volumes do Amazon Elastic Block Store (Amazon EBS). | |
| T0553 | Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração. | Para ajudar a proteger os dados em repouso, habilite a criptografia para as instâncias do Amazon Relational Database Service (Amazon RDS). Como pode haver dados confidenciais em repouso nas instâncias do Amazon RDS, habilite a criptografia em repouso para ajudar a protegê-los. | |
| T0553 | Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração. | Para proteger os dados em repouso, habilite a criptografia para os clusters do Amazon Redshift. Implante também as configurações necessárias nos clusters do Amazon Redshift. O registro em log de auditoria deve ser habilitado para fornecer informações sobre conexões e atividades do usuário no banco de dados. Essa regra exige que um valor seja definido para clusterDbEncrypted (Config Default: TRUE) e LoggingEnabled (Config Default: TRUE). Os valores reais devem refletir as políticas da organização. | |
| T0553 | Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração. | Para ajudar a proteger dados em repouso, garanta que a criptografia com o AWS Key Management Service (AWS KMS) esteja habilitada para seu cluster do Amazon Redshift. Como pode haver dados confidenciais em repouso nos clusters do Redshift, habilite a criptografia em repouso para ajudar a protegê-los. | |
| T0553 | Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração. | Os clusters do Amazon Redshift devem exigir criptografia TLS/SSL para se conectar aos clientes SQL. Como pode haver dados confidenciais, habilite a criptografia em trânsito para ajudar a protegê-los. | |
| T0553 | Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração. | Para ajudar a proteger os dados em repouso, habilite a criptografia para os buckets do Amazon Simple Storage Service (Amazon S3). Como pode haver dados confidenciais em repouso nos buckets do Amazon S3, habilite a criptografia para ajudar a protegê-los. | |
| T0553 | Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração. | Para ajudar a proteger dados em trânsito, os buckets do Amazon Simple Storage Service (Amazon S3) devem exigir solicitações de uso do Secure Socket Layer (SSL). Como pode haver dados confidenciais, habilite a criptografia em trânsito para ajudar a protegê-los. | |
| T0553 | Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração. | Para ajudar a proteger os dados em repouso, garanta que a criptografia com o AWS Key Management Service (AWS KMS) esteja habilitada para seu SageMaker endpoint. Como dados confidenciais podem existir em repouso no SageMaker endpoint, ative a criptografia em repouso para ajudar a proteger esses dados. | |
| T0557 | Integre funções de gerenciamento de chaves relacionadas ao espaço cibernético. | Habilite a alternância de chaves para que sejam usadas alternadamente quando atingirem o final do período criptográfico. | |
| T0557 | Integre funções de gerenciamento de chaves relacionadas ao espaço cibernético. | Para ajudar a proteger os dados em repouso, certifique-se de que as chaves mestras de cliente necessárias (CMKs) não estejam programadas para exclusão no AWS Key Management Service (AWS KMS). Como às vezes a exclusão da chave é necessária, essa regra pode ajudar na verificação de todas as chaves programadas para exclusão, caso alguma delas sido programada de maneira não intencional. | |
| T0576 | Avalie a inteligência de todas as origens e recomende destinos para dar suporte aos objetivos da operação cibernética. | A Amazon GuardDuty pode ajudar a monitorar e detectar possíveis eventos de cibersegurança usando feeds de inteligência de ameaças. Isso inclui listas de aprendizado de máquina IPs e malicioso para identificar atividades inesperadas, não autorizadas e maliciosas em seu ambiente de AWS nuvem. | |
| T0609 | Conduza a habilitação do acesso de computadores sem fio e redes digitais. | Certifique-se de que o AWS WAF esteja ativado nos Elastic Load Balancers (ELB) para ajudar a proteger aplicativos da web. Um WAF ajuda a proteger seus aplicativos da web ou APIs contra explorações comuns da web. Essas explorações da web podem afetar a disponibilidade, comprometer a segurança ou consumir recursos excessivos em seu ambiente. | |
| T0609 | Conduza a habilitação do acesso de computadores sem fio e redes digitais. | AWS O WAF permite que você configure um conjunto de regras (chamado de lista de controle de acesso à web (Web ACL)) que permite, bloqueia ou conta solicitações da web com base nas regras e condições de segurança da web personalizáveis que você define. Associe seu estágio do Amazon API Gateway a uma ACL da web do WAF para protegê-lo contra ataques mal-intencionados. | |
| T0609 | Conduza a habilitação do acesso de computadores sem fio e redes digitais. | Se você configurar suas interfaces de rede com um endereço IP público, os recursos associados a essas interfaces de rede poderão ser acessados pela Internet. EC2 os recursos não devem ser acessíveis ao público, pois isso pode permitir acesso não intencional aos seus aplicativos ou servidores. | |
| T0609 | Conduza a habilitação do acesso de computadores sem fio e redes digitais. | Gerencie o acesso à AWS nuvem garantindo que as instâncias de replicação do DMS não possam ser acessadas publicamente. As instâncias de replicação do DMS podem conter informações confidenciais, e o controle de acesso é necessário para essas contas. | |
| T0609 | Conduza a habilitação do acesso de computadores sem fio e redes digitais. | Gerencie o acesso à AWS nuvem garantindo que os instantâneos do EBS não sejam restauráveis publicamente. Os instantâneos de volume do EBS podem conter informações confidenciais, e o controle de acesso é necessário para essas contas. | |
| T0609 | Conduza a habilitação do acesso de computadores sem fio e redes digitais. | Gerencie o acesso à AWS nuvem garantindo que as instâncias do Amazon Elastic Compute Cloud (Amazon EC2) não possam ser acessadas publicamente. EC2As instâncias da Amazon podem conter informações confidenciais e o controle de acesso é necessário para essas contas. | |
| T0609 | Conduza a habilitação do acesso de computadores sem fio e redes digitais. | Gerencie o acesso à AWS nuvem garantindo que os domínios do Amazon Elasticsearch Service (Amazon ES) estejam dentro de uma Amazon Virtual Private Cloud (Amazon VPC). Colocar um domínio do Amazon ES no Amazon VPC permite uma comunicação segura entre o Amazon ES e os outros serviços no Amazon VPC, sem que seja necessário usar um gateway da Internet, um dispositivo NAT ou uma conexão VPN. | |
| T0609 | Conduza a habilitação do acesso de computadores sem fio e redes digitais. | Gerencie o acesso à AWS nuvem garantindo que os nós principais do cluster Amazon EMR não possam ser acessados publicamente. Os nós principais do cluster do Amazon EMR podem conter informações confidenciais, e o controle de acesso é necessário para essas contas. | |
| T0609 | Conduza a habilitação do acesso de computadores sem fio e redes digitais. | Os grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2) podem ajudar a gerenciar o acesso à rede fornecendo uma filtragem monitorada do tráfego de entrada e saída da rede para os recursos. AWS Não permitir o tráfego de entrada (ou remoto) de 0.0.0.0/0 para a porta 22 nos recursos ajuda a restringir o acesso remoto. | |
| T0609 | Conduza a habilitação do acesso de computadores sem fio e redes digitais. | Implante instâncias do Amazon Elastic Compute Cloud (Amazon EC2) em uma Amazon Virtual Private Cloud (Amazon VPC) para permitir a comunicação segura entre uma instância e outros serviços dentro da Amazon VPC, sem exigir um gateway de internet, dispositivo NAT ou conexão VPN. Todo o tráfego permanece seguro na nuvem. AWS Devido ao seu isolamento lógico, os domínios que residem no Amazon VPC contam com uma camada adicional de segurança se comparados aos domínios que utilizam endpoints públicos. Atribua EC2 instâncias da Amazon a uma Amazon VPC para gerenciar adequadamente o acesso. | |
| T0609 | Conduza a habilitação do acesso de computadores sem fio e redes digitais. | Gerencie o acesso aos recursos na AWS nuvem garantindo que as funções do AWS Lambda não possam ser acessadas publicamente. O acesso público pode causar degradação da disponibilidade de recursos. | |
| T0609 | Conduza a habilitação do acesso de computadores sem fio e redes digitais. | Implante funções AWS Lambda em uma Amazon Virtual Private Cloud (Amazon VPC) para uma comunicação segura entre uma função e outros serviços dentro da Amazon VPC. Com essa configuração, não há necessidade de um gateway da Internet, dispositivo NAT ou conexão VPN. Todo o tráfego permanece seguro na nuvem. AWS Devido ao seu isolamento lógico, os domínios que residem no Amazon VPC contam com uma camada adicional de segurança se comparados aos domínios que utilizam endpoints públicos. Para gerenciar adequadamente o acesso, as funções do AWS Lambda devem ser atribuídas a uma VPC. | |
| T0609 | Conduza a habilitação do acesso de computadores sem fio e redes digitais. | Certifique-se de que as tabelas de EC2 rotas da Amazon não tenham rotas irrestritas para um gateway de internet. Remover ou limitar o acesso à Internet para cargas de trabalho na Amazon VPCs pode reduzir o acesso não intencional em seu ambiente. | |
| T0609 | Conduza a habilitação do acesso de computadores sem fio e redes digitais. | Gerencie o acesso aos recursos na AWS nuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações confidenciais e princípios, e o controle de acesso é necessário para essas contas. | |
| T0609 | Conduza a habilitação do acesso de computadores sem fio e redes digitais. | Gerencie o acesso aos recursos na AWS nuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações confidenciais e princípios, e o controle de acesso é necessário para essas contas. | |
| T0609 | Conduza a habilitação do acesso de computadores sem fio e redes digitais. | Gerencie o acesso aos recursos na AWS nuvem garantindo que os clusters do Amazon Redshift não sejam públicos. Os clusters do Amazon Redshift podem conter informações confidenciais e princípios, e o controle de acesso é necessário para essas contas. | |
| T0609 | Conduza a habilitação do acesso de computadores sem fio e redes digitais. | O roteamento aprimorado da VPC força todo o tráfego de COPY e UNLOAD entre o cluster e os repositórios de dados a passar pelo Amazon VPC. Em seguida, você pode usar recursos da VPC, como grupos de segurança e listas de controle de acesso à rede, para proteger o tráfego da rede. Você também pode usar os logs de fluxo da VPC para monitorar o tráfego da rede. | |
| T0609 | Conduza a habilitação do acesso de computadores sem fio e redes digitais. | Gerencie o acesso aos recursos na AWS nuvem garantindo que as portas comuns sejam restritas nos grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2). Não restringir o acesso às portas a fontes confiáveis pode permitir ataques contra a disponibilidade, a integridade e a confidencialidade dos sistemas. Essa regra permite que você defina opcionalmente os parâmetros blockedPort1-blockedPort5 (Padrões de configuração: 20.21.3389.3306.4333). Os valores reais devem refletir as políticas da organização. | |
| T0609 | Conduza a habilitação do acesso de computadores sem fio e redes digitais. | Gerencie o acesso aos recursos na AWS nuvem garantindo que os buckets do Amazon Simple Storage Service (Amazon S3) não possam ser acessados publicamente. Essa regra ajuda a manter os dados confidenciais protegidos de usuários remotos não autorizados, impedindo o acesso público. Essa regra permite que você defina opcionalmente ignorePublicAcls (Config Default: True), blockPublicPolicy (Config Default: True), blockPublicAcls (Config Default: True) e restrictPublicBuckets parâmetros (Config Default: True). Os valores reais devem refletir as políticas da organização. | |
| T0609 | Conduza a habilitação do acesso de computadores sem fio e redes digitais. | Gerencie o acesso aos recursos na AWS nuvem permitindo que somente usuários, processos e dispositivos autorizados acessem os buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados. | |
| T0609 | Conduza a habilitação do acesso de computadores sem fio e redes digitais. | Gerencie o acesso aos recursos na AWS nuvem permitindo que somente usuários, processos e dispositivos autorizados acessem os buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados. | |
| T0609 | Conduza a habilitação do acesso de computadores sem fio e redes digitais. | Gerencie o acesso aos recursos na AWS nuvem garantindo que os SageMaker notebooks da Amazon não permitam acesso direto à Internet. Ao impedir o acesso direto à internet, você impede que dados confidenciais sejam acessados por usuários não autorizados. | |
| T0609 | Conduza a habilitação do acesso de computadores sem fio e redes digitais. | Os grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2) podem ajudar no gerenciamento do acesso à rede fornecendo uma filtragem monitorada do tráfego de entrada e saída da rede para os recursos. AWS Restringir todo o tráfego no grupo de segurança padrão ajuda a restringir o acesso remoto aos seus AWS recursos. | |
| T0609 | Conduza a habilitação do acesso de computadores sem fio e redes digitais. | Gerencie o acesso aos recursos na AWS nuvem garantindo que as portas comuns sejam restritas aos grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2). Não restringir o acesso às portas a fontes confiáveis pode permitir ataques contra a disponibilidade, a integridade e a confidencialidade dos sistemas. Ao restringir o acesso a recursos em um grupo de segurança da internet (0.0.0.0/0), o acesso remoto pode ser controlado para sistemas internos. | |
| T0609 | Conduza a habilitação do acesso de computadores sem fio e redes digitais. | Gerencie o acesso à AWS nuvem garantindo que os domínios do Amazon Elasticsearch Service (Amazon ES) estejam dentro de uma Amazon Virtual Private Cloud (Amazon VPC). Colocar um domínio do Amazon ES no Amazon VPC permite uma comunicação segura entre o Amazon ES e os outros serviços no Amazon VPC, sem que seja necessário usar um gateway da Internet, um dispositivo NAT ou uma conexão VPN. | |
| T0609 | Conduza a habilitação do acesso de computadores sem fio e redes digitais. | Gerencie o acesso à AWS nuvem garantindo que as sub-redes da Amazon Virtual Private Cloud (VPC) não recebam automaticamente um endereço IP público. As instâncias do Amazon Elastic Compute Cloud (EC2) que são lançadas em sub-redes com esse atributo ativado têm um endereço IP público atribuído à sua interface de rede primária. | |
| T0616 | Realize análises de monitoramento e vulnerabilidade de sistemas em uma rede. | A Amazon GuardDuty pode ajudar a monitorar e detectar possíveis eventos de cibersegurança usando feeds de inteligência de ameaças. Isso inclui listas de aprendizado de máquina IPs e malicioso para identificar atividades inesperadas, não autorizadas e maliciosas em seu ambiente de AWS nuvem. | |
| T0686 | Identifique as vulnerabilidades das ameaças. | Ative essa regra para ajudar na identificação e documentação das vulnerabilidades do Amazon Elastic Compute Cloud (Amazon EC2). A regra verifica se a conformidade de patches de EC2 instâncias da Amazon no AWS Systems Manager conforme exigido pelas políticas e procedimentos da sua organização. | |
| T0686 | Identifique as vulnerabilidades das ameaças. | A Amazon GuardDuty pode ajudar a monitorar e detectar possíveis eventos de cibersegurança usando feeds de inteligência de ameaças. Isso inclui listas de aprendizado de máquina IPs e malicioso para identificar atividades inesperadas, não autorizadas e maliciosas em seu ambiente de AWS nuvem. | |
| T0706 | Reúna informações sobre redes por meio de técnicas tradicionais e alternativas (por exemplo, análise de redes sociais, encadeamento de chamadas, análise de tráfego). | Uma duração mínima dos dados de log de eventos deve ser retida para os grupos de logs a fim de ajudar na solução de problemas e nas investigações forenses. A falta de dados de log de eventos anteriores disponíveis dificulta a reconstrução e a identificação de eventos possivelmente mal-intencionados. | |
| T0706 | Reúna informações sobre redes por meio de técnicas tradicionais e alternativas (por exemplo, análise de redes sociais, encadeamento de chamadas, análise de tráfego). | Certifique-se de que os domínios do serviço Amazon Elasticsearch tenham registros de erros habilitados e transmitidos para o CloudWatch Amazon Logs para retenção e resposta. Os logs de erros do domínio podem auxiliar nas auditorias de segurança e acesso, além de ajudar a diagnosticar problemas de disponibilidade. | |
| T0706 | Reúna informações sobre redes por meio de técnicas tradicionais e alternativas (por exemplo, análise de redes sociais, encadeamento de chamadas, análise de tráfego). | Essa regra garante que os limites altos e baixos de simultaneidade de uma função do Lambda sejam estabelecidos. Isso pode ajudar a definir o número de solicitações que a função atende em determinado momento. | |
| T0706 | Reúna informações sobre redes por meio de técnicas tradicionais e alternativas (por exemplo, análise de redes sociais, encadeamento de chamadas, análise de tráfego). | Habilite essa regra para ajudar a notificar a equipe adequada por meio do Amazon Simple Queue Service (Amazon SQS) ou do Amazon Simple Notification Service (Amazon SNS) quando uma função falhar. | |
| T0706 | Reúna informações sobre redes por meio de técnicas tradicionais e alternativas (por exemplo, análise de redes sociais, encadeamento de chamadas, análise de tráfego). | AWS CloudTrail registra as ações do AWS Management Console e as chamadas de API. Você pode identificar quais usuários e contas ligaram AWS, o endereço IP de origem de onde as chamadas foram feitas e quando elas ocorreram. CloudTrail entregará arquivos de log de todas as AWS regiões para seu bucket do S3 se MULTI_REGION_CLOUD_TRAIL_ENABLED estiver habilitado. Além disso, ao AWS lançar uma nova região, CloudTrail criará a mesma trilha na nova região. Como resultado, você receberá arquivos de log contendo a atividade da API para a nova região sem realizar nenhuma ação. | |
| T0706 | Reúna informações sobre redes por meio de técnicas tradicionais e alternativas (por exemplo, análise de redes sociais, encadeamento de chamadas, análise de tráfego). | Habilite o Amazon Relational Database Service (Amazon RDS) para ajudar a monitorar a disponibilidade do Amazon RDS. Isso fornece visibilidade detalhada da integridade das instâncias de banco de dados do Amazon RDS. Quando o armazenamento do Amazon RDS está usando mais de um dispositivo físico subjacente, o monitoramento avançado coleta os dados de cada dispositivo. Além disso, quando a instância do banco de dados do Amazon RDS está sendo executada em uma implantação multi-AZ, os dados de cada dispositivo no host secundário são coletados, bem como as respectivas das métricas. | |
| T0706 | Reúna informações sobre redes por meio de técnicas tradicionais e alternativas (por exemplo, análise de redes sociais, encadeamento de chamadas, análise de tráfego). | Para ajudar no registro em log e no monitoramento em seu ambiente, habilite o registro em log do Amazon Relational Database Service (Amazon RDS). Com o registro em log do Amazon RDS, você pode capturar eventos como conexões, desconexões, consultas ou tabelas consultadas. | |
| T0706 | Reúna informações sobre redes por meio de técnicas tradicionais e alternativas (por exemplo, análise de redes sociais, encadeamento de chamadas, análise de tráfego). | AWS O Security Hub ajuda a monitorar pessoas, conexões, dispositivos e software não autorizados. AWS O Security Hub agrega, organiza e prioriza os alertas ou descobertas de segurança de vários serviços. AWS Alguns desses serviços são o Amazon Security Hub, o Amazon Inspector, o Amazon Macie AWS , o Identity and Access Management (IAM) Access Analyzer e o Firewall AWS Manager, além de soluções de parceiros. AWS | |
| T0706 | Reúna informações sobre redes por meio de técnicas tradicionais e alternativas (por exemplo, análise de redes sociais, encadeamento de chamadas, análise de tráfego). | Para ajudar com o registro e o monitoramento em seu ambiente, habilite o registro em AWS WAF (V2) na web regional e global. ACLs AWS O registro do WAF fornece informações detalhadas sobre o tráfego que é analisado pela sua ACL da web. Os registros registram a hora em que o AWS WAF recebeu a solicitação do seu AWS recurso, informações sobre a solicitação e uma ação para a regra à qual cada solicitação correspondeu. | |
| T0706 | Reúna informações sobre redes por meio de técnicas tradicionais e alternativas (por exemplo, análise de redes sociais, encadeamento de chamadas, análise de tráfego). | O registro em log do API Gateway exibe visualizações detalhadas dos usuários que acessaram a API e a forma como eles a acessaram. Esse insight mostra as atividades do usuário. | |
| T0706 | Reúna informações sobre redes por meio de técnicas tradicionais e alternativas (por exemplo, análise de redes sociais, encadeamento de chamadas, análise de tráfego). | As verificações de saúde do Elastic Load Balancer (ELB) para grupos de Auto EC2 Scaling do Amazon Elastic Compute Cloud (Amazon) apoiam a manutenção de capacidade e disponibilidade adequadas. O balanceador de carga envia periodicamente pings, tenta conexões ou envia solicitações para testar a integridade das EC2 instâncias da Amazon em um grupo de auto-scaling. Se uma instância não estiver reportando, o tráfego será enviado para uma nova EC2 instância da Amazon. | |
| T0706 | Reúna informações sobre redes por meio de técnicas tradicionais e alternativas (por exemplo, análise de redes sociais, encadeamento de chamadas, análise de tráfego). | AWS Os relatórios de saúde aprimorados do Elastic Beanstalk permitem uma resposta mais rápida às mudanças na integridade da infraestrutura subjacente. Essas alterações podem resultar na falta de disponibilidade do aplicativo. Os relatórios de integridade aprimorados do Elastic Beanstalk fornecem um descritor de status para avaliar a gravidade dos problemas identificados e descobrir possíveis causas a serem investigadas. | |
| T0706 | Reúna informações sobre redes por meio de técnicas tradicionais e alternativas (por exemplo, análise de redes sociais, encadeamento de chamadas, análise de tráfego). | Use CloudWatch a Amazon para coletar e gerenciar centralmente a atividade de eventos de log. A inclusão de AWS CloudTrail dados fornece detalhes da atividade de chamadas de API em seu Conta da AWS. | |
| T0706 | Reúna informações sobre redes por meio de técnicas tradicionais e alternativas (por exemplo, análise de redes sociais, encadeamento de chamadas, análise de tráfego). | AWS CloudTrail pode ajudar na não repúdio gravando ações do AWS Management Console e chamadas de API. Você pode identificar os usuários e os Contas da AWS que chamaram um AWS serviço, o endereço IP de origem onde as chamadas foram geradas e os horários das chamadas. Os detalhes dos dados capturados são vistos no Conteúdo do AWS CloudTrail Registro. | |
| T0706 | Reúna informações sobre redes por meio de técnicas tradicionais e alternativas (por exemplo, análise de redes sociais, encadeamento de chamadas, análise de tráfego). | A coleta de eventos de dados do Simple Storage Service (Amazon S3) ajuda a detectar qualquer atividade anômala. Os detalhes incluem informações da conta da AWS que acessou um bucket do Amazon S3, o endereço IP e o horário do evento. | |
| T0706 | Reúna informações sobre redes por meio de técnicas tradicionais e alternativas (por exemplo, análise de redes sociais, encadeamento de chamadas, análise de tráfego). | CloudWatch Os alarmes da Amazon alertam quando uma métrica ultrapassa o limite de um número específico de períodos de avaliação. O alarme executa uma ou mais ações com base no valor da métrica ou na expressão em relação a um limite em alguns períodos. Essa regra exige um valor para alarmActionRequired (Config Default: True), insufficientDataAction Obrigatório (Config Default: True), ( okActionRequired Config Default: False). O valor real deve refletir as ações de alarme do ambiente. | |
| T0706 | Reúna informações sobre redes por meio de técnicas tradicionais e alternativas (por exemplo, análise de redes sociais, encadeamento de chamadas, análise de tráfego). | Habilite essa regra para garantir que a capacidade de throughput provisionada seja verificada em suas tabelas do Amazon DynamoDB. Essa é a quantidade de atividades de leitura e gravação que cada tabela pode comportar. O DynamoDB usa essas informações para reservar recursos suficientes do sistema para atender aos seus requisitos de throughput. Essa regra gera um alerta quando o throughput se aproxima do limite máximo da conta de um cliente. Essa regra permite que você defina opcionalmente os parâmetros RCUThreshold Porcentagem da conta (Configuração Padrão: 80) e Porcentagem WCUThreshold da conta (Padrão de Configuração: 80). Os valores reais devem refletir as políticas da organização. | |
| T0706 | Reúna informações sobre redes por meio de técnicas tradicionais e alternativas (por exemplo, análise de redes sociais, encadeamento de chamadas, análise de tráfego). | Ative essa regra para ajudar a melhorar o monitoramento de instâncias do Amazon Elastic Compute Cloud (Amazon EC2) no EC2 console da Amazon, que exibe gráficos de monitoramento com um período de 1 minuto para a instância. | |
| T0706 | Reúna informações sobre redes por meio de técnicas tradicionais e alternativas (por exemplo, análise de redes sociais, encadeamento de chamadas, análise de tráfego). | A atividade do Elastic Load Balancing é um ponto central de comunicação em um ambiente. Habilite o registro em log do ELB. Os dados coletados fornecem informações detalhadas sobre as solicitações enviadas ao ELB. Cada log contém informações como a hora em que a solicitação foi recebida, o endereço IP do cliente, latências, caminhos de solicitação e respostas do servidor. | |
| T0706 | Reúna informações sobre redes por meio de técnicas tradicionais e alternativas (por exemplo, análise de redes sociais, encadeamento de chamadas, análise de tráfego). | A Amazon GuardDuty pode ajudar a monitorar e detectar possíveis eventos de cibersegurança usando feeds de inteligência de ameaças. Isso inclui listas de aprendizado de máquina IPs e malicioso para identificar atividades inesperadas, não autorizadas e maliciosas em seu ambiente de AWS nuvem. | |
| T0706 | Reúna informações sobre redes por meio de técnicas tradicionais e alternativas (por exemplo, análise de redes sociais, encadeamento de chamadas, análise de tráfego). | Para proteger os dados em repouso, habilite a criptografia para os clusters do Amazon Redshift. Implante também as configurações necessárias nos clusters do Amazon Redshift. O registro em log de auditoria deve ser habilitado para fornecer informações sobre conexões e atividades do usuário no banco de dados. Essa regra exige que um valor seja definido para clusterDbEncrypted (Config Default: TRUE) e LoggingEnabled (Config Default: TRUE). Os valores reais devem refletir as políticas da organização. | |
| T0706 | Reúna informações sobre redes por meio de técnicas tradicionais e alternativas (por exemplo, análise de redes sociais, encadeamento de chamadas, análise de tráfego). | O registro em log de acesso ao servidor do Amazon Simple Storage Service (Amazon S3) fornece um método para monitorar a rede em busca de possíveis eventos de segurança cibernética. Os eventos são monitorados pela captura de registros detalhados das solicitações que são feitas a um bucket do Amazon S3. Cada registro de log de acesso fornece detalhes sobre uma única solicitação de acesso. Os detalhes incluem solicitante, nome do bucket, horário da solicitação, ação da solicitação, status da resposta e um código de erro, se relevante. | |
| T0706 | Reúna informações sobre redes por meio de técnicas tradicionais e alternativas (por exemplo, análise de redes sociais, encadeamento de chamadas, análise de tráfego). | Os logs de fluxo da VPC fornecem registros detalhados de informações sobre o tráfego de IP de entrada e saída das interfaces de rede no Amazon Virtual Private Cloud (Amazon VPC). Por padrão, o registro de log de fluxo inclui valores para os diferentes componentes do fluxo de IP, incluindo a origem, o destino e o protocolo. | |
| T0777 | Crie um perfil dos administradores da rede ou do sistema e suas atividades. | A Amazon GuardDuty pode ajudar a monitorar e detectar possíveis eventos de cibersegurança usando feeds de inteligência de ameaças. Isso inclui listas de aprendizado de máquina IPs e malicioso para identificar atividades inesperadas, não autorizadas e maliciosas em seu ambiente de AWS nuvem. | |
| T0805 | Relate eventos e intrusões de rede significativos derivados da inteligência. | A Amazon GuardDuty pode ajudar a monitorar e detectar possíveis eventos de cibersegurança usando feeds de inteligência de ameaças. Isso inclui listas de aprendizado de máquina IPs e malicioso para identificar atividades inesperadas, não autorizadas e maliciosas em seu ambiente de AWS nuvem. | |
| T0877 | Trabalhe em conjunto com as unidades organizacionais aplicáveis na supervisão dos direitos de acesso às informações do consumidor. | EC2 perfis de instância passam uma função do IAM para uma EC2 instância. Anexar um perfil de instância às instâncias pode ajudar no gerenciamento de privilégio mínimo e permissões. | |
| T0877 | Trabalhe em conjunto com as unidades organizacionais aplicáveis na supervisão dos direitos de acesso às informações do consumidor. | Se uma definição de tarefa tem privilégios elevados, significa que o cliente optou especificamente por essas configurações. Esse controle verifica o aumento inesperado de privilégios quando uma definição de tarefa tem a rede de host habilitada e o cliente não optou por privilégios elevados. | |
| T0877 | Trabalhe em conjunto com as unidades organizacionais aplicáveis na supervisão dos direitos de acesso às informações do consumidor. | Certifique-se de que um usuário, uma função do IAM ou um grupo do IAM do AWS Identity and Access Management (IAM) não tenha uma política embutida para controlar o acesso a sistemas e ativos. AWS recomenda usar políticas gerenciadas em vez de políticas embutidas. As políticas gerenciadas permitem a reutilização, o versionamento, a reversão e a delegação do gerenciamento de permissões. | |
| T0877 | Trabalhe em conjunto com as unidades organizacionais aplicáveis na supervisão dos direitos de acesso às informações do consumidor. | Garanta que as ações do IAM estejam restritas somente às ações necessárias. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres. | |
| T0877 | Trabalhe em conjunto com as unidades organizacionais aplicáveis na supervisão dos direitos de acesso às informações do consumidor. | Certifique-se AWS de que os documentos do Systems Manager (SSM) não sejam públicos, pois isso pode permitir acesso não intencional aos seus documentos SSM. Um documento do SSM público pode expor informações sobre sua conta, recursos e processos internos. | |
| T0877 | Trabalhe em conjunto com as unidades organizacionais aplicáveis na supervisão dos direitos de acesso às informações do consumidor. | Ao habilitar o Kerberos para clusters do Amazon EMR, é possível gerenciar e incorporar as permissões e autorizações de acesso com os princípios de privilégio mínimo e separação de deveres. No Kerberos, os serviços e os usuários que precisam se autenticar são conhecidos como entidades principais. As entidades principais existem em um realm Kerberos. No realm, um servidor Kerberos é conhecido como o centro de distribuição de chaves (KDC). Ele fornece um meio para as entidades principais se autenticarem. A autenticação do KDC é feita com a emissão de tíquetes. O KDC mantém um banco de dados das entidades principais no realm, as senhas e outras informações administrativas sobre cada entidade principal. | |
| T0877 | Trabalhe em conjunto com as unidades organizacionais aplicáveis na supervisão dos direitos de acesso às informações do consumidor. | AWS O Identity and Access Management (IAM) pode ajudá-lo a incorporar os princípios de privilégio mínimo e separação de deveres com permissões e autorizações de acesso, garantindo que os grupos do IAM tenham pelo menos um usuário. Colocar usuários em grupos com base nas permissões associadas ou na função de trabalho é uma forma de incorporar o privilégio mínimo. | |
| T0877 | Trabalhe em conjunto com as unidades organizacionais aplicáveis na supervisão dos direitos de acesso às informações do consumidor. | AWS O Identity and Access Management (IAM) pode ajudá-lo a incorporar os princípios de privilégio mínimo e separação de deveres com permissões e autorizações de acesso, impedindo que as políticas contenham “Efeito”: “Permitir” com “Ação”: “*” sobre “Recurso”: “*”. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres. | |
| T0877 | Trabalhe em conjunto com as unidades organizacionais aplicáveis na supervisão dos direitos de acesso às informações do consumidor. | AWS O Identity and Access Management (IAM) pode ajudá-lo a restringir permissões e autorizações de acesso, garantindo que os usuários sejam membros de pelo menos um grupo. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres. | |
| T0877 | Trabalhe em conjunto com as unidades organizacionais aplicáveis na supervisão dos direitos de acesso às informações do consumidor. | Essa regra garante que as políticas de AWS Identity and Access Management (IAM) sejam anexadas somente a grupos ou funções para controlar o acesso a sistemas e ativos. A atribuição de privilégios por grupo ou perfil ajuda a reduzir a oportunidade de uma identidade receber ou reter privilégios excessivos. | |
| T0877 | Trabalhe em conjunto com as unidades organizacionais aplicáveis na supervisão dos direitos de acesso às informações do consumidor. | Gerencie o acesso aos recursos na AWS nuvem garantindo que as portas comuns sejam restritas nos grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2). Não restringir o acesso às portas a fontes confiáveis pode permitir ataques contra a disponibilidade, a integridade e a confidencialidade dos sistemas. Essa regra permite que você defina opcionalmente os parâmetros blockedPort1-blockedPort5 (Padrões de configuração: 20.21.3389.3306.4333). Os valores reais devem refletir as políticas da organização. | |
| T0935 | Realize uma avaliação de risco de segurança da informação. | annual-risk-assessment-performed (verificação do processo) | Faça uma avaliação anual de risco em sua organização. As avaliações de risco podem ajudar a determinar a probabilidade e o impacto dos riscos e/ou vulnerabilidades identificados que afetam uma organização. |
| T0960 | Monitore as mudanças em um sistema e em seu ambiente de operação. | Essa regra garante que os limites altos e baixos de simultaneidade de uma função do Lambda sejam estabelecidos. Isso pode ajudar a definir o número de solicitações que a função atende em determinado momento. | |
| T0960 | Monitore as mudanças em um sistema e em seu ambiente de operação. | Habilite essa regra para ajudar a notificar a equipe adequada por meio do Amazon Simple Queue Service (Amazon SQS) ou do Amazon Simple Notification Service (Amazon SNS) quando uma função falhar. | |
| T0960 | Monitore as mudanças em um sistema e em seu ambiente de operação. | Habilite o Amazon Relational Database Service (Amazon RDS) para ajudar a monitorar a disponibilidade do Amazon RDS. Isso fornece visibilidade detalhada da integridade das instâncias de banco de dados do Amazon RDS. Quando o armazenamento do Amazon RDS está usando mais de um dispositivo físico subjacente, o monitoramento avançado coleta os dados de cada dispositivo. Além disso, quando a instância do banco de dados do Amazon RDS está sendo executada em uma implantação multi-AZ, os dados de cada dispositivo no host secundário são coletados, bem como as respectivas das métricas. | |
| T0960 | Monitore as mudanças em um sistema e em seu ambiente de operação. | As verificações de saúde do Elastic Load Balancer (ELB) para grupos de Auto EC2 Scaling do Amazon Elastic Compute Cloud (Amazon) apoiam a manutenção de capacidade e disponibilidade adequadas. O balanceador de carga envia periodicamente pings, tenta conexões ou envia solicitações para testar a integridade das EC2 instâncias da Amazon em um grupo de auto-scaling. Se uma instância não estiver reportando, o tráfego será enviado para uma nova EC2 instância da Amazon. | |
| T0960 | Monitore as mudanças em um sistema e em seu ambiente de operação. | AWS Os relatórios de saúde aprimorados do Elastic Beanstalk permitem uma resposta mais rápida às mudanças na integridade da infraestrutura subjacente. Essas alterações podem resultar na falta de disponibilidade do aplicativo. Os relatórios de integridade aprimorados do Elastic Beanstalk fornecem um descritor de status para avaliar a gravidade dos problemas identificados e descobrir possíveis causas a serem investigadas. | |
| T0960 | Monitore as mudanças em um sistema e em seu ambiente de operação. | CloudWatch Os alarmes da Amazon alertam quando uma métrica ultrapassa o limite de um número específico de períodos de avaliação. O alarme executa uma ou mais ações com base no valor da métrica ou na expressão em relação a um limite em alguns períodos. Essa regra exige um valor para alarmActionRequired (Config Default: True), insufficientDataAction Obrigatório (Config Default: True), ( okActionRequired Config Default: False). O valor real deve refletir as ações de alarme do ambiente. | |
| T0960 | Monitore as mudanças em um sistema e em seu ambiente de operação. | Habilite essa regra para garantir que a capacidade de throughput provisionada seja verificada em suas tabelas do Amazon DynamoDB. Essa é a quantidade de atividades de leitura e gravação que cada tabela pode comportar. O DynamoDB usa essas informações para reservar recursos suficientes do sistema para atender aos seus requisitos de throughput. Essa regra gera um alerta quando o throughput se aproxima do limite máximo da conta de um cliente. Essa regra permite que você defina opcionalmente os parâmetros RCUThreshold Porcentagem da conta (Configuração Padrão: 80) e Porcentagem WCUThreshold da conta (Padrão de Configuração: 80). Os valores reais devem refletir as políticas da organização. | |
| T0960 | Monitore as mudanças em um sistema e em seu ambiente de operação. | Ative essa regra para ajudar a melhorar o monitoramento de instâncias do Amazon Elastic Compute Cloud (Amazon EC2) no EC2 console da Amazon, que exibe gráficos de monitoramento com um período de 1 minuto para a instância. | |
| T0992 | Determine como os resultados do monitoramento contínuo serão usados na autorização contínua. | EC2 perfis de instância passam uma função do IAM para uma EC2 instância. Anexar um perfil de instância às instâncias pode ajudar no gerenciamento de privilégio mínimo e permissões. | |
| T0992 | Determine como os resultados do monitoramento contínuo serão usados na autorização contínua. | Se uma definição de tarefa tem privilégios elevados, significa que o cliente optou especificamente por essas configurações. Esse controle verifica o aumento inesperado de privilégios quando uma definição de tarefa tem a rede de host habilitada e o cliente não optou por privilégios elevados. | |
| T0992 | Determine como os resultados do monitoramento contínuo serão usados na autorização contínua. | Certifique-se de que um usuário, uma função do IAM ou um grupo do IAM do AWS Identity and Access Management (IAM) não tenha uma política embutida para controlar o acesso a sistemas e ativos. AWS recomenda usar políticas gerenciadas em vez de políticas embutidas. As políticas gerenciadas permitem a reutilização, o versionamento, a reversão e a delegação do gerenciamento de permissões. | |
| T0992 | Determine como os resultados do monitoramento contínuo serão usados na autorização contínua. | Garanta que as ações do IAM estejam restritas somente às ações necessárias. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres. | |
| T0992 | Determine como os resultados do monitoramento contínuo serão usados na autorização contínua. | As credenciais são auditadas para dispositivos, usuários e processos autorizados garantindo que as chaves de acesso do IAM sejam alternadas como especificado pela política organizacional. Alterar as chaves de acesso regularmente é uma prática recomendada de segurança. Isso reduz o período em que uma chave de acesso permanece ativa e diminui o impacto nos negócios se as chaves forem comprometidas. Essa regra requer um valor de alternância da chave de acesso (padrão do Config: 90). O valor real deve refletir as políticas da organização. | |
| T0992 | Determine como os resultados do monitoramento contínuo serão usados na autorização contínua. | Ao habilitar o Kerberos para clusters do Amazon EMR, é possível gerenciar e incorporar as permissões e autorizações de acesso com os princípios de privilégio mínimo e separação de deveres. No Kerberos, os serviços e os usuários que precisam se autenticar são conhecidos como entidades principais. As entidades principais existem em um realm Kerberos. No realm, um servidor Kerberos é conhecido como o centro de distribuição de chaves (KDC). Ele fornece um meio para as entidades principais se autenticarem. A autenticação do KDC é feita com a emissão de tíquetes. O KDC mantém um banco de dados das entidades principais no realm, as senhas e outras informações administrativas sobre cada entidade principal. | |
| T0992 | Determine como os resultados do monitoramento contínuo serão usados na autorização contínua. | AWS O Identity and Access Management (IAM) pode ajudá-lo a incorporar os princípios de privilégio mínimo e separação de tarefas com permissões e autorizações de acesso, impedindo que as políticas contenham ações bloqueadas em AWS todas as chaves do Key Management Service. Ter mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres. Essa regra permite que você defina o blockedActionsPatterns parâmetro. (Valor AWS básico das melhores práticas de segurança: kms: Decrypt,). kms: ReEncryptFrom Os valores reais devem refletir as políticas da organização. | |
| T0992 | Determine como os resultados do monitoramento contínuo serão usados na autorização contínua. | AWS O Identity and Access Management (IAM) pode ajudá-lo a incorporar os princípios de privilégio mínimo e separação de deveres com permissões e autorizações de acesso, garantindo que os grupos do IAM tenham pelo menos um usuário. Colocar usuários em grupos com base nas permissões associadas ou na função de trabalho é uma forma de incorporar o privilégio mínimo. | |
| T0992 | Determine como os resultados do monitoramento contínuo serão usados na autorização contínua. | Certifique-se de que um usuário, uma função do IAM ou um grupo do IAM do AWS Identity and Access Management (IAM) não tenha uma política embutida para permitir ações bloqueadas em AWS todas as chaves do Key Management Service. AWS recomenda usar políticas gerenciadas em vez de políticas embutidas. As políticas gerenciadas permitem a reutilização, o versionamento, a reversão e a delegação do gerenciamento de permissões. Essa regra permite que você defina o blockedActionsPatterns parâmetro. (Valor AWS básico das melhores práticas de segurança: kms: Decrypt,). kms: ReEncryptFrom Os valores reais devem refletir as políticas da organização. | |
| T0992 | Determine como os resultados do monitoramento contínuo serão usados na autorização contínua. | As identidades e as credenciais são emitidas, gerenciadas e verificadas com base em uma política organizacional de senhas do IAM. Eles atendem ou excedem os requisitos estabelecidos pelo NIST SP 800-63 e pelo padrão AWS Foundational Security Best Practices para a força da senha. Essa regra permite que você defina opcionalmente RequireUppercaseCharacters (valor das melhores práticas de segurança AWS básicas: verdadeiro), RequireLowercaseCharacters (valor das melhores práticas de segurança AWS básicas: verdadeiro), RequireSymbols (valor das melhores práticas de segurança AWS básicas: verdadeiro), RequireNumbers (valor das melhores práticas de segurança AWS básicas: verdadeiro), MinimumPasswordLength (valor das melhores práticas de segurança AWS básicas: 14), PasswordReusePrevention (valor das melhores práticas de segurança AWS básicas: 24) e MaxPasswordAge (valor das melhores práticas de segurança AWS básica: 90) para seu IAM Política de senha. Os valores reais devem refletir as políticas da organização. | |
| T0992 | Determine como os resultados do monitoramento contínuo serão usados na autorização contínua. | AWS O Identity and Access Management (IAM) pode ajudá-lo a incorporar os princípios de privilégio mínimo e separação de deveres com permissões e autorizações de acesso, impedindo que as políticas contenham “Efeito”: “Permitir” com “Ação”: “*” sobre “Recurso”: “*”. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres. | |
| T0992 | Determine como os resultados do monitoramento contínuo serão usados na autorização contínua. | O acesso a sistemas e ativos pode ser controlado verificando se o usuário raiz não tem chaves de acesso anexadas à sua função de AWS Identity and Access Management (IAM). Exclua as chaves de acesso raiz. Em vez disso, crie e use com base em funções Contas da AWS para ajudar a incorporar o princípio da menor funcionalidade. | |
| T0992 | Determine como os resultados do monitoramento contínuo serão usados na autorização contínua. | AWS O Identity and Access Management (IAM) pode ajudá-lo a restringir permissões e autorizações de acesso, garantindo que os usuários sejam membros de pelo menos um grupo. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres. | |
| T0992 | Determine como os resultados do monitoramento contínuo serão usados na autorização contínua. | Habilite essa regra para restringir o acesso a recursos na Nuvem AWS . Essa regra garante que a autenticação multifator (MFA) esteja habilitada para todos os usuários. A MFA adiciona uma camada extra de proteção, além do nome de usuário e senha. Reduza os incidentes de contas comprometidas exigindo que os usuários utilizem a MFA. | |
| T0992 | Determine como os resultados do monitoramento contínuo serão usados na autorização contínua. | Essa regra garante que as políticas de AWS Identity and Access Management (IAM) sejam anexadas somente a grupos ou funções para controlar o acesso a sistemas e ativos. A atribuição de privilégios por grupo ou perfil ajuda a reduzir a oportunidade de uma identidade receber ou reter privilégios excessivos. | |
| T0992 | Determine como os resultados do monitoramento contínuo serão usados na autorização contínua. | AWS O Identity and Access Management (IAM) pode ajudá-lo com permissões e autorizações de acesso verificando senhas e chaves de acesso do IAM que não são usadas por um período de tempo especificado. Se essas credenciais não utilizadas forem identificadas, você deverá desabilitar e/ou removê-las, pois isso pode violar o princípio de privilégio mínimo. Essa regra exige que você defina um valor como maxCredentialUsage Idade (Config Default: 90). O valor real deve refletir as políticas da organização. | |
| T0992 | Determine como os resultados do monitoramento contínuo serão usados na autorização contínua. | Gerencie o acesso aos recursos na AWS nuvem garantindo que a MFA esteja habilitada para todos os usuários do AWS Identity and Access Management (IAM) que tenham uma senha de console. A MFA adiciona uma camada extra de proteção, além das credenciais de login. Ao exigir que os usuários utilizem a MFA, você reduz os incidentes de contas comprometidas e impede que dados confidenciais sejam acessados por usuários não autorizados. | |
| T0992 | Determine como os resultados do monitoramento contínuo serão usados na autorização contínua. | Gerencie o acesso aos recursos na AWS nuvem garantindo que a MFA de hardware esteja habilitada para o usuário raiz. O usuário raiz é o mais privilegiado em uma Conta da AWS. A MFA adiciona uma camada extra de proteção, além das credenciais de login. Ao exigir MFA para o usuário raiz, você pode reduzir os incidentes de comprometimento. Contas da AWS | |
| T0992 | Determine como os resultados do monitoramento contínuo serão usados na autorização contínua. | Gerencie o acesso aos recursos na AWS nuvem garantindo que a MFA esteja habilitada para o usuário raiz. O usuário raiz é o mais privilegiado em uma Conta da AWS. A MFA adiciona uma camada extra de proteção, além do nome de usuário e senha. Ao exigir MFA para o usuário raiz, você pode reduzir os incidentes de comprometimento. Contas da AWS | |
| T0992 | Determine como os resultados do monitoramento contínuo serão usados na autorização contínua. | Essa regra garante que AWS os segredos do Secrets Manager tenham a rotação ativada. A alternância de segredos em uma programação regular pode reduzir o período em que um segredo fica ativo, além de diminuir o impacto nos negócios, se o segredo for comprometido. | |
| T0993 | Estabeleça ferramentas e procedimentos de controle de acesso a tecnologias e ferramentas de monitoramento contínuo. | AWS O Identity and Access Management (IAM) pode ajudá-lo a incorporar os princípios de privilégio mínimo e separação de tarefas com permissões e autorizações de acesso, impedindo que as políticas contenham ações bloqueadas em AWS todas as chaves do Key Management Service. Ter mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres. Essa regra permite que você defina o blockedActionsPatterns parâmetro. (Valor AWS básico das melhores práticas de segurança: kms: Decrypt,). kms: ReEncryptFrom Os valores reais devem refletir as políticas da organização. | |
| T0993 | Estabeleça ferramentas e procedimentos de controle de acesso a tecnologias e ferramentas de monitoramento contínuo. | AWS O Identity and Access Management (IAM) pode ajudá-lo a incorporar os princípios de privilégio mínimo e separação de deveres com permissões e autorizações de acesso, garantindo que os grupos do IAM tenham pelo menos um usuário. Colocar usuários em grupos com base nas permissões associadas ou na função de trabalho é uma forma de incorporar o privilégio mínimo. | |
| T0993 | Estabeleça ferramentas e procedimentos de controle de acesso a tecnologias e ferramentas de monitoramento contínuo. | Certifique-se de que um usuário, uma função do IAM ou um grupo do IAM do AWS Identity and Access Management (IAM) não tenha uma política embutida para permitir ações bloqueadas em AWS todas as chaves do Key Management Service. AWS recomenda usar políticas gerenciadas em vez de políticas embutidas. As políticas gerenciadas permitem a reutilização, o versionamento, a reversão e a delegação do gerenciamento de permissões. Essa regra permite que você defina o blockedActionsPatterns parâmetro. (Valor AWS básico das melhores práticas de segurança: kms: Decrypt,). kms: ReEncryptFrom Os valores reais devem refletir as políticas da organização. | |
| T0993 | Estabeleça ferramentas e procedimentos de controle de acesso a tecnologias e ferramentas de monitoramento contínuo. | Certifique-se de que um usuário, uma função do IAM ou um grupo do IAM do AWS Identity and Access Management (IAM) não tenha uma política embutida para controlar o acesso a sistemas e ativos. AWS recomenda usar políticas gerenciadas em vez de políticas embutidas. As políticas gerenciadas permitem a reutilização, o versionamento, a reversão e a delegação do gerenciamento de permissões. | |
| T0993 | Estabeleça ferramentas e procedimentos de controle de acesso a tecnologias e ferramentas de monitoramento contínuo. | As identidades e as credenciais são emitidas, gerenciadas e verificadas com base em uma política organizacional de senhas do IAM. Eles atendem ou excedem os requisitos estabelecidos pelo NIST SP 800-63 e pelo padrão AWS Foundational Security Best Practices para a força da senha. Essa regra permite que você defina opcionalmente RequireUppercaseCharacters (valor das melhores práticas de segurança AWS básicas: verdadeiro), RequireLowercaseCharacters (valor das melhores práticas de segurança AWS básicas: verdadeiro), RequireSymbols (valor das melhores práticas de segurança AWS básicas: verdadeiro), RequireNumbers (valor das melhores práticas de segurança AWS básicas: verdadeiro), MinimumPasswordLength (valor das melhores práticas de segurança AWS básicas: 14), PasswordReusePrevention (valor das melhores práticas de segurança AWS básicas: 24) e MaxPasswordAge (valor das melhores práticas de segurança AWS básica: 90) para seu IAM Política de senha. Os valores reais devem refletir as políticas da organização. | |
| T0993 | Estabeleça ferramentas e procedimentos de controle de acesso a tecnologias e ferramentas de monitoramento contínuo. | AWS O Identity and Access Management (IAM) pode ajudá-lo a incorporar os princípios de privilégio mínimo e separação de deveres com permissões e autorizações de acesso, impedindo que as políticas contenham “Efeito”: “Permitir” com “Ação”: “*” sobre “Recurso”: “*”. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres. | |
| T0993 | Estabeleça ferramentas e procedimentos de controle de acesso a tecnologias e ferramentas de monitoramento contínuo. | Garanta que as ações do IAM estejam restritas somente às ações necessárias. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres. | |
| T0993 | Estabeleça ferramentas e procedimentos de controle de acesso a tecnologias e ferramentas de monitoramento contínuo. | O acesso a sistemas e ativos pode ser controlado verificando se o usuário raiz não tem chaves de acesso anexadas à sua função de AWS Identity and Access Management (IAM). Exclua as chaves de acesso raiz. Em vez disso, crie e use com base em funções Contas da AWS para ajudar a incorporar o princípio da menor funcionalidade. | |
| T0993 | Estabeleça ferramentas e procedimentos de controle de acesso a tecnologias e ferramentas de monitoramento contínuo. | AWS O Identity and Access Management (IAM) pode ajudá-lo a restringir permissões e autorizações de acesso, garantindo que os usuários sejam membros de pelo menos um grupo. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres. | |
| T0993 | Estabeleça ferramentas e procedimentos de controle de acesso a tecnologias e ferramentas de monitoramento contínuo. | Essa regra garante que as políticas de AWS Identity and Access Management (IAM) sejam anexadas somente a grupos ou funções para controlar o acesso a sistemas e ativos. A atribuição de privilégios por grupo ou perfil ajuda a reduzir a oportunidade de uma identidade receber ou reter privilégios excessivos. | |
| T0993 | Estabeleça ferramentas e procedimentos de controle de acesso a tecnologias e ferramentas de monitoramento contínuo. | AWS O Identity and Access Management (IAM) pode ajudá-lo com permissões e autorizações de acesso verificando senhas e chaves de acesso do IAM que não são usadas por um período de tempo especificado. Se essas credenciais não utilizadas forem identificadas, você deverá desabilitar e/ou removê-las, pois isso pode violar o princípio de privilégio mínimo. Essa regra exige que você defina um valor como maxCredentialUsage Idade (Config Default: 90). O valor real deve refletir as políticas da organização. | |
| T0993 | Estabeleça ferramentas e procedimentos de controle de acesso a tecnologias e ferramentas de monitoramento contínuo. | Gerencie o acesso aos recursos na AWS nuvem garantindo que a MFA esteja habilitada para todos os usuários do AWS Identity and Access Management (IAM) que tenham uma senha de console. A MFA adiciona uma camada extra de proteção, além das credenciais de login. Ao exigir que os usuários utilizem a MFA, você reduz os incidentes de contas comprometidas e impede que dados confidenciais sejam acessados por usuários não autorizados. | |
| T0993 | Estabeleça ferramentas e procedimentos de controle de acesso a tecnologias e ferramentas de monitoramento contínuo. | Habilite essa regra para restringir o acesso a recursos na Nuvem AWS . Essa regra garante que a autenticação multifator (MFA) esteja habilitada para todos os usuários. A MFA adiciona uma camada extra de proteção, além do nome de usuário e senha. Reduza os incidentes de contas comprometidas exigindo que os usuários utilizem a MFA. | |
| T0993 | Estabeleça ferramentas e procedimentos de controle de acesso a tecnologias e ferramentas de monitoramento contínuo. | Gerencie o acesso aos recursos na AWS nuvem garantindo que a MFA de hardware esteja habilitada para o usuário raiz. O usuário raiz é o mais privilegiado em uma Conta da AWS. A MFA adiciona uma camada extra de proteção, além das credenciais de login. Ao exigir MFA para o usuário raiz, você pode reduzir os incidentes de comprometimento. Contas da AWS | |
| T0993 | Estabeleça ferramentas e procedimentos de controle de acesso a tecnologias e ferramentas de monitoramento contínuo. | Gerencie o acesso aos recursos na AWS nuvem garantindo que a MFA esteja habilitada para o usuário raiz. O usuário raiz é o mais privilegiado em uma Conta da AWS. A MFA adiciona uma camada extra de proteção, além do nome de usuário e senha. Ao exigir MFA para o usuário raiz, você pode reduzir os incidentes de comprometimento. Contas da AWS |
Modelo
O modelo está disponível em GitHub: Melhores práticas operacionais para o NIST 800 181
