Práticas recomendadas operacionais do NIST 800 181 - AWS Config

As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Práticas recomendadas operacionais do NIST 800 181

Os pacotes de conformidade fornecem uma estrutura de conformidade de uso geral projetada para permitir que você crie verificações de governança de segurança, operação ou otimização de custos usando regras e ações de remediação gerenciadas ou personalizadas. AWS Config AWS Config Os pacotes de conformidade, como os modelos de amostra, não foram projetados para garantir totalmente a conformidade com um padrão específico de governança ou conformidade. Você é responsável por avaliar se o seu uso dos serviços atende aos requisitos legais e regulamentares aplicáveis.

Veja a seguir um exemplo de mapeamento entre o NIST 800 181 e as regras gerenciadas AWS do Config. Cada regra do Config se aplica a um AWS recurso específico e está relacionada a um ou mais controles do NIST 800 181. Um controle do NIST 800 181 pode estar relacionado a várias regras do Config. Consulte a tabela abaixo para conferir mais detalhes e orientações relacionados a esses mapeamentos.

ID de controle Descrição do controle AWS Regra de configuração Orientação
T0008 Analise e planeje as mudanças previstas nos requisitos de capacidade de dados.

dynamodb-autoscaling-enabled

O Amazon DynamoDB auto scaling usa o serviço Application AWS Auto Scaling para ajustar a capacidade de transferência provisionada que responde automaticamente aos padrões reais de tráfego. Isso permite que uma tabela ou um índice secundário global aumente a capacidade provisionada de leitura e gravação para processar aumentos repentinos no tráfego, sem controle de utilização.
T0008 Analise e planeje as mudanças previstas nos requisitos de capacidade de dados.

dynamodb-in-backup-plan

Para ajudar nos processos de backup de dados, garanta que suas tabelas do Amazon DynamoDB façam parte de um plano de AWS backup. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups.
T0008 Analise e planeje as mudanças previstas nos requisitos de capacidade de dados.

dynamodb-pitr-enabled

Habilite essa regra para verificar se o backup das informações foi realizado. Ele também mantém os backups, garantindo que a point-in-time recuperação seja habilitada no Amazon DynamoDB. A recuperação mantém backups contínuos da tabela nos últimos 35 dias.
T0008 Analise e planeje as mudanças previstas nos requisitos de capacidade de dados.

dynamodb-throughput-limit-check

Habilite essa regra para garantir que a capacidade de throughput provisionada seja verificada em suas tabelas do Amazon DynamoDB. Essa é a quantidade de atividades de leitura e gravação que cada tabela pode comportar. O DynamoDB usa essas informações para reservar recursos suficientes do sistema para atender aos seus requisitos de throughput. Essa regra gera um alerta quando o throughput se aproxima do limite máximo da conta de um cliente. Essa regra permite que você defina opcionalmente os parâmetros RCUThreshold Porcentagem da conta (Configuração Padrão: 80) e Porcentagem WCUThreshold da conta (Padrão de Configuração: 80). Os valores reais devem refletir as políticas da organização.
T0008 Analise e planeje as mudanças previstas nos requisitos de capacidade de dados.

ebs-in-backup-plan

Para ajudar nos processos de backup de dados, garanta que seus volumes do Amazon Elastic Block Store (Amazon EBS) façam parte de um plano de backup. AWS AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups.
T0008 Analise e planeje as mudanças previstas nos requisitos de capacidade de dados.

efs-in-backup-plan

Para ajudar nos processos de backup de dados, garanta que seus sistemas de arquivos do Amazon Elastic File System (Amazon EFS) façam parte de um plano de AWS backup. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups.
T0008 Analise e planeje as mudanças previstas nos requisitos de capacidade de dados.

elasticache-redis-cluster-automatic-verificação de backup

Quando os backups automáticos estão habilitados, a Amazon ElastiCache cria um backup do cluster diariamente. O backup pode ser retido por vários dias, conforme especificado pela organização. Os backups automáticos podem ajudar a proteger contra a perda de dados. Em caso de falha, é possível criar um cluster e restaurar os dados usando o backup mais recente.
T0008 Analise e planeje as mudanças previstas nos requisitos de capacidade de dados.

elb-cross-zone-load-habilitado para balanceamento

Habilite o balanceamento de carga entre zonas para seus Elastic Load Balancers (ELBs) para ajudar a manter a capacidade e a disponibilidade adequadas. O balanceamento de carga entre zonas reduz a necessidade de manter números equivalentes de instâncias em cada zona de disponibilidade habilitada. Também melhora a capacidade da aplicação de lidar com a perda de uma ou mais instâncias.
T0008 Analise e planeje as mudanças previstas nos requisitos de capacidade de dados.

rds-in-backup-plan

Para ajudar nos processos de backup de dados, garanta que suas instâncias do Amazon Relational Database Service (Amazon RDS) façam parte de um AWS plano de backup. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups.
T0008 Analise e planeje as mudanças previstas nos requisitos de capacidade de dados.

rds-multi-az-support

O suporte multi-AZ no Amazon Relational Database Service (Amazon RDS) oferece maior disponibilidade e durabilidade para instâncias de banco de dados. Ao provisionar uma instância de banco de dados multi-AZ, o Amazon RDS cria automaticamente uma instância de banco de dados primária e replica de forma síncrona os dados em uma instância em modo de espera em outra zona de disponibilidade. Cada zona de disponibilidade funciona em sua própria infraestrutura independente e fisicamente distinta, além de ser projetada para ser altamente confiável. No caso de falha na infraestrutura, o Amazon RDS executa um failover automático no modo de espera para que você possa retomar as operações do banco de dados assim que o failover for concluído.
T0008 Analise e planeje as mudanças previstas nos requisitos de capacidade de dados.

redshift-backup-enabled

Para ajudar nos processos de backup de dados, os clusters do Amazon Redshift devem ter instantâneos automatizados. Quando instantâneos automatizados são habilitados para um cluster, o Redshift tira instantâneos desse cluster periodicamente. Por padrão, o Redshift tira um instantâneo a cada oito horas ou a cada 5 GB por nó de alterações de dados, o que ocorrer primeiro.
T0008 Analise e planeje as mudanças previstas nos requisitos de capacidade de dados.

s3- bucket-replication-enabled

A Replicação entre regiões (CRR) do Amazon Simple Storage Service (Amazon S3) é compatível com a manutenção de capacidade e disponibilidade adequadas. A CRR permite a cópia automática e assíncrona de objetos nos buckets do Amazon S3 para ajudar a garantir a manutenção da disponibilidade de dados.
T0008 Analise e planeje as mudanças previstas nos requisitos de capacidade de dados.

backup-plan-min-frequency-and-min-retention-check

Para ajudar nos processos de backup de dados, certifique-se de que seu plano de AWS backup esteja definido para uma frequência e retenção mínimas. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups. Essa regra permite que você defina os requiredFrequencyValue parâmetros (Config default: 1), ( requiredRetentionDaysConfig default: 35) e ( requiredFrequencyUnit Config default: days). O valor real deve refletir os requisitos da organização.
T0008 Analise e planeje as mudanças previstas nos requisitos de capacidade de dados.

plano ec2- resources-protected-by-backup

Para ajudar nos processos de backup de dados, garanta que seus recursos do Amazon Elastic Compute Cloud EC2 (Amazon) façam parte de um plano de AWS backup. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups.
T0017 Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização.

acm-certificate-expiration-check

Garanta que a integridade da rede seja protegida garantindo que os certificados X509 sejam emitidos pelo AWS ACM. Esses certificados devem ser válidos e estar dentro do prazo de validade. Essa regra exige um valor para daysToExpiration (valor das melhores práticas de segurança AWS básicas: 90). O valor real deve refletir as políticas da organização.
T0017 Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização.

alb-http-to-https-verificação de redirecionamento

Para ajudar a proteger os dados em trânsito, garanta que o Application Load Balancer redirecione automaticamente as solicitações HTTP não criptografadas para HTTPS. Como pode haver dados confidenciais, habilite a criptografia em trânsito para ajudar a protegê-los.
T0017 Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização.

api-gw-cache-enablede criptografado

Para ajudar a proteger os dados em repouso, habilite a criptografia para o cache do estágio do API Gateway. Como dados confidenciais podem ser capturados para o método da API, habilite a criptografia em repouso para ajudar a protegê-los.
T0017 Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização.

autoscaling-launch-config-public-ip desativado

Se você configurar suas interfaces de rede com um endereço IP público, os recursos associados a essas interfaces de rede poderão ser acessados pela Internet. EC2 os recursos não devem ser acessíveis ao público, pois isso pode permitir acesso não intencional aos seus aplicativos ou servidores.
T0017 Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização.

backup-plan-min-frequency-and-min-retention-check

Para ajudar nos processos de backup de dados, certifique-se de que seu plano de AWS backup esteja definido para uma frequência e retenção mínimas. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups. Essa regra permite que você defina os requiredFrequencyValue parâmetros (Config default: 1), ( requiredRetentionDaysConfig default: 35) e ( requiredFrequencyUnit Config default: days). O valor real deve refletir os requisitos da organização.
T0017 Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização.

backup-recovery-point-manual-exclusão desativada

Certifique-se de que seus pontos AWS de recuperação de Backup tenham uma política baseada em recursos anexada que impeça a exclusão de pontos de recuperação. Usar uma política baseada em recursos para impedir a exclusão de pontos de recuperação pode ajudar a evitar a exclusão acidental ou intencional.
T0017 Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização.

cloud-trail-encryption-enabled

Como pode haver dados confidenciais e para ajudar a proteger os dados em repouso, habilite a criptografia para as trilhas do AWS CloudTrail.
T0017 Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização.

cloud-trail-log-file-habilitado para validação

Utilize a validação do arquivo de AWS CloudTrail log para verificar a integridade dos CloudTrail registros. A validação do arquivo de log ajuda a determinar se um arquivo de log foi modificado, excluído ou inalterado após a CloudTrail entrega. Esse recurso é criado usando algoritmos padrão do setor: SHA-256 para hashing e SHA-256 com RSA para assinaturas digitais. Isso torna computacionalmente inviável modificar, excluir ou CloudTrail falsificar arquivos de log sem detecção.
T0017 Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização.

cmk-backing-key-rotation-habilitado

Habilite a alternância de chaves para que sejam usadas alternadamente quando atingirem o final do período criptográfico.
T0017 Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização.

db-instance-backup-enabled

O recurso de backup do Amazon RDS cria backups dos bancos de dados e logs de transações. O Amazon RDS cria automaticamente um instantâneo do volume de armazenamento da instância de banco de dados, fazendo backup de toda a instância de banco de dados. O sistema permite que você defina períodos de retenção específicos para atender aos requisitos de resiliência.
T0017 Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização.

dms-replication-not-public

Gerencie o acesso à AWS nuvem garantindo que as instâncias de replicação do DMS não possam ser acessadas publicamente. As instâncias de replicação do DMS podem conter informações confidenciais, e o controle de acesso é necessário para essas contas.
T0017 Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização.

dynamodb-autoscaling-enabled

O Amazon DynamoDB auto scaling usa o serviço Application AWS Auto Scaling para ajustar a capacidade de transferência provisionada que responde automaticamente aos padrões reais de tráfego. Isso permite que uma tabela ou um índice secundário global aumente a capacidade provisionada de leitura e gravação para processar aumentos repentinos no tráfego, sem controle de utilização.
T0017 Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização.

dynamodb-pitr-enabled

Habilite essa regra para verificar se o backup das informações foi realizado. Ele também mantém os backups, garantindo que a point-in-time recuperação seja habilitada no Amazon DynamoDB. A recuperação mantém backups contínuos da tabela nos últimos 35 dias.
T0017 Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização.

ebs-in-backup-plan

Para ajudar nos processos de backup de dados, garanta que seus volumes do Amazon Elastic Block Store (Amazon EBS) façam parte de um plano de backup. AWS AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups.
T0017 Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização.

ebs-snapshot-public-restorable-verificar

Gerencie o acesso à AWS nuvem garantindo que os instantâneos do EBS não sejam restauráveis publicamente. Os instantâneos de volume do EBS podem conter informações confidenciais, e o controle de acesso é necessário para essas contas.
T0017 Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização.

ec2- ebs-encryption-by-default

Para ajudar a proteger os dados em repouso, habilite a criptografia para os volumes do Amazon Elastic Block Store (Amazon EBS). Como pode haver dados confidenciais em repouso nesses volumes, habilite a criptografia em repouso para ajudar a protegê-los.
T0017 Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização.

ec2- instance-no-public-ip

Gerencie o acesso à AWS nuvem garantindo que as instâncias do Amazon Elastic Compute Cloud (Amazon EC2) não possam ser acessadas publicamente. EC2As instâncias da Amazon podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
T0017 Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização.

plano ec2- resources-protected-by-backup

Para ajudar nos processos de backup de dados, garanta que seus recursos do Amazon Elastic Compute Cloud EC2 (Amazon) façam parte de um plano de AWS backup. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups.
T0017 Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização.

efs-encrypted-check

Como pode haver dados confidenciais, e para ajudar a proteger os dados em repouso, habilite a criptografia para o Amazon Elastic File System (EFS).
T0017 Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização.

efs-in-backup-plan

Para ajudar nos processos de backup de dados, garanta que seus sistemas de arquivos do Amazon Elastic File System (Amazon EFS) façam parte de um plano de AWS backup. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups.
T0017 Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização.

elasticache-redis-cluster-automatic-verificação de backup

Quando os backups automáticos estão habilitados, a Amazon ElastiCache cria um backup do cluster diariamente. O backup pode ser retido por vários dias, conforme especificado pela organização. Os backups automáticos podem ajudar a proteger contra a perda de dados. Em caso de falha, é possível criar um cluster e restaurar os dados usando o backup mais recente.
T0017 Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização.

elasticsearch-encrypted-at-rest

Como dados confidenciais podem existir e para ajudar a proteger dados em repouso, assegure-se de que a criptografia esteja habilitada para seus domínios do Amazon OpenSearch OpenSearch Service (Service).
T0017 Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização.

elasticsearch-node-to-node-verificação de criptografia

Certifique-se node-to-node de que a criptografia para o Amazon OpenSearch Service esteja ativada. Node-to-nodea criptografia permite a criptografia TLS 1.2 para todas as comunicações dentro da Amazon Virtual Private Cloud (Amazon VPC). Como pode haver dados confidenciais, habilite a criptografia em trânsito para ajudar a protegê-los.
T0017 Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização.

elbv2- acm-certificate-required

Como pode haver dados confidenciais, e para ajudar a proteger os dados em trânsito, habilite a criptografia para o Elastic Load Balancing. Use o AWS Certificate Manager para gerenciar, provisionar e implantar certificados SSL/TLS públicos e privados com AWS serviços e recursos internos.
T0017 Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização.

elb-acm-certificate-required

Como pode haver dados confidenciais, e para ajudar a proteger os dados em trânsito, habilite a criptografia para o Elastic Load Balancing. Use o AWS Certificate Manager para gerenciar, provisionar e implantar certificados SSL/TLS públicos e privados com AWS serviços e recursos internos.
T0017 Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização.

elb-cross-zone-load-balanceamento ativado

Habilite o balanceamento de carga entre zonas para seus Elastic Load Balancers (ELBs) para ajudar a manter a capacidade e a disponibilidade adequadas. O balanceamento de carga entre zonas reduz a necessidade de manter números equivalentes de instâncias em cada zona de disponibilidade habilitada. Também melhora a capacidade da aplicação de lidar com a perda de uma ou mais instâncias.
T0017 Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização.

elb-deletion-protection-enabled

Essa regra garante que o Elastic Load Balancing tenha a proteção contra exclusão habilitada. Use esse recurso para evitar que o balanceador de carga seja excluído de forma acidental ou mal-intencionada, o que pode levar à perda de disponibilidade das aplicações.
T0017 Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização.

elb-tls-https-listeners-somente

Certifique-se de que seus Elastic Load Balancers (ELBs) estejam configurados com ouvintes SSL ou HTTPS. Como pode haver dados confidenciais, habilite a criptografia em trânsito para ajudar a protegê-los.
T0017 Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização.

emr-master-no-public-ip

Gerencie o acesso à AWS nuvem garantindo que os nós principais do cluster Amazon EMR não possam ser acessados publicamente. Os nós principais do cluster do Amazon EMR podem conter informações confidenciais, e o controle de acesso é necessário para essas contas.
T0017 Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização.

encrypted-volumes

Como pode haver dados confidenciais, e para ajudar a proteger os dados em repouso, habilite a criptografia para os volumes do Amazon Elastic Block Store (Amazon EBS).
T0017 Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização.

kms-cmk-not-scheduled-para exclusão

Para ajudar a proteger os dados em repouso, certifique-se de que as chaves mestras de cliente necessárias (CMKs) não estejam programadas para exclusão no AWS Key Management Service (AWS KMS). Como às vezes a exclusão da chave é necessária, essa regra pode ajudar na verificação de todas as chaves programadas para exclusão, caso alguma delas sido programada de maneira não intencional.
T0017 Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização.

lambda-function-public-access-proibido

Gerencie o acesso aos recursos na AWS nuvem garantindo que as funções do AWS Lambda não possam ser acessadas publicamente. O acesso público pode causar degradação da disponibilidade de recursos.
T0017 Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização.

opensearch-encrypted-at-rest

Como pode haver dados confidenciais, e para ajudar a proteger os dados em repouso, habilite a criptografia para os domínios do Amazon Elasticsearch Service (Amazon ES).
T0017 Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização.

opensearch-node-to-node-verificação de criptografia

Certifique-se node-to-node de que a criptografia para o Amazon OpenSearch Service esteja ativada. Node-to-nodea criptografia permite a criptografia TLS 1.2 para todas as comunicações dentro da Amazon Virtual Private Cloud (Amazon VPC). Como pode haver dados confidenciais, habilite a criptografia em trânsito para ajudar a protegê-los.
T0017 Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização.

rds-instance-deletion-protection-habilitado

Habilite a proteção contra exclusão das instâncias do Amazon Relational Database Service (Amazon RDS). Use a proteção contra exclusão para evitar que as instâncias do Amazon RDS sejam excluídas de forma acidental ou mal-intencionada, o que pode levar à perda de disponibilidade das aplicações.
T0017 Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização.

rds-instance-public-access-verificar

Gerencie o acesso aos recursos na AWS nuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações confidenciais e princípios, e o controle de acesso é necessário para essas contas.
T0017 Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização.

rds-in-backup-plan

Para ajudar nos processos de backup de dados, garanta que suas instâncias do Amazon Relational Database Service (Amazon RDS) façam parte de um AWS plano de backup. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups.
T0017 Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização.

rds-multi-az-support

O suporte multi-AZ no Amazon Relational Database Service (Amazon RDS) oferece maior disponibilidade e durabilidade para instâncias de banco de dados. Ao provisionar uma instância de banco de dados multi-AZ, o Amazon RDS cria automaticamente uma instância de banco de dados primária e replica de forma síncrona os dados em uma instância em modo de espera em outra zona de disponibilidade. Cada zona de disponibilidade funciona em sua própria infraestrutura independente e fisicamente distinta, além de ser projetada para ser altamente confiável. No caso de falha na infraestrutura, o Amazon RDS executa um failover automático no modo de espera para que você possa retomar as operações do banco de dados assim que o failover for concluído.
T0017 Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização.

rds-snapshots-public-prohibited

Gerencie o acesso aos recursos na AWS nuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações confidenciais e princípios, e o controle de acesso é necessário para essas contas.
T0017 Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização.

rds-snapshot-encrypted

Habilite a criptografia para os instantâneos do Amazon Relational Database Service (Amazon RDS). Como pode haver dados confidenciais em repouso, habilite a criptografia em repouso para ajudar a protegê-los.
T0017 Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização.

rds-storage-encrypted

Para ajudar a proteger os dados em repouso, habilite a criptografia para as instâncias do Amazon Relational Database Service (Amazon RDS). Como pode haver dados confidenciais em repouso nas instâncias do Amazon RDS, habilite a criptografia em repouso para ajudar a protegê-los.
T0017 Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização.

redshift-backup-enabled

Para ajudar nos processos de backup de dados, os clusters do Amazon Redshift devem ter instantâneos automatizados. Quando instantâneos automatizados são habilitados para um cluster, o Redshift tira instantâneos desse cluster periodicamente. Por padrão, o Redshift tira um instantâneo a cada oito horas ou a cada 5 GB por nó de alterações de dados, o que ocorrer primeiro.
T0017 Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização.

redshift-cluster-configuration-check

Para proteger os dados em repouso, habilite a criptografia para os clusters do Amazon Redshift. Implante também as configurações necessárias nos clusters do Amazon Redshift. O registro em log de auditoria deve ser habilitado para fornecer informações sobre conexões e atividades do usuário no banco de dados. Essa regra exige que um valor seja definido para clusterDbEncrypted (Config Default: TRUE) e LoggingEnabled (Config Default: TRUE). Os valores reais devem refletir as políticas da organização.
T0017 Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização.

redshift-cluster-public-access-verificar

Gerencie o acesso aos recursos na AWS nuvem garantindo que os clusters do Amazon Redshift não sejam públicos. Os clusters do Amazon Redshift podem conter informações confidenciais e princípios, e o controle de acesso é necessário para essas contas.
T0017 Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização.

redshift-require-tls-ssl

Os clusters do Amazon Redshift devem exigir criptografia TLS/SSL para se conectar aos clientes SQL. Como pode haver dados confidenciais, habilite a criptografia em trânsito para ajudar a protegê-los.
T0017 Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização.

s3- account-level-public-access -blocos-periódicos

Gerencie o acesso aos recursos na AWS nuvem garantindo que os buckets do Amazon Simple Storage Service (Amazon S3) não possam ser acessados publicamente. Essa regra ajuda a manter os dados confidenciais protegidos de usuários remotos não autorizados, impedindo o acesso público. Essa regra permite que você defina opcionalmente ignorePublicAcls (Config Default: True), blockPublicPolicy (Config Default: True), blockPublicAcls (Config Default: True) e restrictPublicBuckets parâmetros (Config Default: True). Os valores reais devem refletir as políticas da organização.
T0017 Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização.

s3- bucket-public-read-prohibited

Gerencie o acesso aos recursos na AWS nuvem permitindo que somente usuários, processos e dispositivos autorizados acessem os buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados.
T0017 Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização.

s3- bucket-public-write-prohibited

Gerencie o acesso aos recursos na AWS nuvem permitindo que somente usuários, processos e dispositivos autorizados acessem os buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados.
T0017 Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização.

s3- bucket-replication-enabled

A Replicação entre regiões (CRR) do Amazon Simple Storage Service (Amazon S3) é compatível com a manutenção de capacidade e disponibilidade adequadas. A CRR permite a cópia automática e assíncrona de objetos nos buckets do Amazon S3 para ajudar a garantir a manutenção da disponibilidade de dados.
T0017 Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização.

habilitado para s3 bucket-server-side-encryption

Para ajudar a proteger os dados em repouso, habilite a criptografia para os buckets do Amazon Simple Storage Service (Amazon S3). Como pode haver dados confidenciais em repouso nos buckets do Amazon S3, habilite a criptografia para ajudar a protegê-los.
T0017 Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização.

s3- bucket-ssl-requests-only

Para ajudar a proteger dados em trânsito, os buckets do Amazon Simple Storage Service (Amazon S3) devem exigir solicitações de uso do Secure Socket Layer (SSL). Como pode haver dados confidenciais, habilite a criptografia em trânsito para ajudar a protegê-los.
T0017 Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização.

s3- bucket-versioning-enabled

O versionamento do bucket do Amazon Simple Storage Service (Amazon S3) ajuda a manter diversas variantes de um objeto no mesmo bucket do Amazon S3. Use o versionamento para preservar, recuperar e restaurar todas as versões de cada objeto armazenado no bucket do Amazon S3. O versionamento ajuda você a se recuperar facilmente de ações não intencionais de usuários e de falhas da aplicação.
T0017 Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização.

s3- default-encryption-kms

Habilite a criptografia para os buckets do Amazon Simple Storage Service (Amazon S3). Como pode haver dados confidenciais em repouso em um bucket do Amazon S3, habilite a criptografia em repouso para ajudar a protegê-los.
T0017 Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização.

sagemaker-endpoint-configuration-kms-configurado por chave

Para ajudar a proteger os dados em repouso, garanta que a criptografia com o AWS Key Management Service (AWS KMS) esteja habilitada para seu SageMaker endpoint. Como dados confidenciais podem existir em repouso no SageMaker endpoint, ative a criptografia em repouso para ajudar a proteger esses dados.
T0017 Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização.

sagemaker-notebook-instance-kms-configurado por chave

Para ajudar a proteger os dados em repouso, garanta que a criptografia com o AWS Key Management Service (AWS KMS) esteja habilitada para seu SageMaker notebook. Como dados confidenciais podem existir em repouso no SageMaker notebook, ative a criptografia em repouso para ajudar a proteger esses dados.
T0017 Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização.

ssm-document-not-public

Certifique-se AWS de que os documentos do Systems Manager (SSM) não sejam públicos, pois isso pode permitir acesso não intencional aos seus documentos SSM. Um documento do SSM público pode expor informações sobre sua conta, recursos e processos internos.
T0017 Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização.

vpc-vpn-2-tunnels-up

Túneis Site-to-Site VPN redundantes podem ser implementados para atingir os requisitos de resiliência. Ele usa dois túneis para ajudar a garantir a conectividade caso uma das conexões Site-to-Site VPN fique indisponível. Para se proteger contra a perda de conectividade, caso o gateway do cliente fique indisponível, você pode configurar uma segunda conexão Site-to-Site VPN com a Amazon Virtual Private Cloud (Amazon VPC) e o gateway privado virtual usando um segundo gateway do cliente.
T0017 Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização.

api-gw-ssl-enabled

Configure os estágios da API REST do Amazon API Gateway com certificados SSL para permitir que os sistemas de back-end autentiquem o API Gateway como origem das solicitações.
T0017 Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização.

backup-recovery-point-encrypted

Certifique-se de que a criptografia esteja ativada para seus pontos AWS de recuperação de Backup. Como pode haver dados confidenciais em repouso, habilite a criptografia em repouso para ajudar a protegê-los.
T0017 Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização.

redshift-cluster-kms-enabled

Para ajudar a proteger dados em repouso, garanta que a criptografia com o AWS Key Management Service (AWS KMS) esteja habilitada para seu cluster do Amazon Redshift. Como pode haver dados confidenciais em repouso nos clusters do Redshift, habilite a criptografia em repouso para ajudar a protegê-los.
T0017 Aplique princípios de arquitetura de segurança orientada a serviços para atender aos requisitos de confidencialidade, integridade e disponibilidade da organização.

subnet-auto-assign-public-ip desativado

Gerencie o acesso à AWS nuvem garantindo que as sub-redes da Amazon Virtual Private Cloud (VPC) não recebam automaticamente um endereço IP público. As instâncias do Amazon Elastic Compute Cloud (EC2) que são lançadas em sub-redes com esse atributo ativado têm um endereço IP público atribuído à sua interface de rede primária.
T0024 Colete e mantenha os dados necessários para atender aos relatórios de segurança cibernética do sistema.

cw-loggroup-retention-period-verificar

Uma duração mínima dos dados de log de eventos deve ser retida para os grupos de logs a fim de ajudar na solução de problemas e nas investigações forenses. A falta de dados de log de eventos anteriores disponíveis dificulta a reconstrução e a identificação de eventos possivelmente mal-intencionados.
T0042 Coordene com analistas de defesa cibernética para gerenciar e administrar a atualização de regras e assinaturas (por exemplo, sistemas de proteção/detecção de intrusões, antivírus e listas negras de conteúdo) para aplicações especializadas de defesa cibernética.

guardduty-enabled-centralized

A Amazon GuardDuty pode ajudar a monitorar e detectar possíveis eventos de cibersegurança usando feeds de inteligência de ameaças. Isso inclui listas de aprendizado de máquina IPs e malicioso para identificar atividades inesperadas, não autorizadas e maliciosas em seu ambiente de AWS nuvem.
T0047 Correlacione dados de incidentes para identificar vulnerabilidades específicas e fazer recomendações que permitam uma correção rápida.

guardduty-enabled-centralized

A Amazon GuardDuty pode ajudar a monitorar e detectar possíveis eventos de cibersegurança usando feeds de inteligência de ameaças. Isso inclui listas de aprendizado de máquina IPs e malicioso para identificar atividades inesperadas, não autorizadas e maliciosas em seu ambiente de AWS nuvem.
T0051 Defina os níveis apropriados de disponibilidade do sistema com base nas funções críticas do sistema e garanta que os requisitos do sistema identifiquem os requisitos adequados de recuperação de desastres e continuidade das operações para incluir qualquer falha apropriada. over/alternate site requirements, backup requirements, and material supportability requirements for system recover/restoration

backup-recovery-point-encrypted

Certifique-se de que a criptografia esteja ativada para seus pontos AWS de recuperação de Backup. Como pode haver dados confidenciais em repouso, habilite a criptografia em repouso para ajudar a protegê-los.
T0051 Defina os níveis apropriados de disponibilidade do sistema com base nas funções críticas do sistema e garanta que os requisitos do sistema identifiquem os requisitos adequados de recuperação de desastres e continuidade das operações para incluir qualquer falha apropriada. over/alternate site requirements, backup requirements, and material supportability requirements for system recover/restoration

backup-recovery-point-manual-exclusão desativada

Certifique-se de que seus pontos AWS de recuperação de Backup tenham uma política baseada em recursos anexada que impeça a exclusão de pontos de recuperação. Usar uma política baseada em recursos para impedir a exclusão de pontos de recuperação pode ajudar a evitar a exclusão acidental ou intencional.
T0051 Defina os níveis apropriados de disponibilidade do sistema com base nas funções críticas do sistema e garanta que os requisitos do sistema identifiquem os requisitos adequados de recuperação de desastres e continuidade das operações para incluir qualquer falha apropriada. over/alternate site requirements, backup requirements, and material supportability requirements for system recover/restoration

db-instance-backup-enabled

O recurso de backup do Amazon RDS cria backups dos bancos de dados e logs de transações. O Amazon RDS cria automaticamente um instantâneo do volume de armazenamento da instância de banco de dados, fazendo backup de toda a instância de banco de dados. O sistema permite que você defina períodos de retenção específicos para atender aos requisitos de resiliência.
T0051 Defina os níveis apropriados de disponibilidade do sistema com base nas funções críticas do sistema e garanta que os requisitos do sistema identifiquem os requisitos adequados de recuperação de desastres e continuidade das operações para incluir qualquer falha apropriada. over/alternate site requirements, backup requirements, and material supportability requirements for system recover/restoration

dynamodb-autoscaling-enabled

O Amazon DynamoDB auto scaling usa o serviço Application AWS Auto Scaling para ajustar a capacidade de transferência provisionada que responde automaticamente aos padrões reais de tráfego. Isso permite que uma tabela ou um índice secundário global aumente a capacidade provisionada de leitura e gravação para processar aumentos repentinos no tráfego, sem controle de utilização.
T0051 Defina os níveis apropriados de disponibilidade do sistema com base nas funções críticas do sistema e garanta que os requisitos do sistema identifiquem os requisitos adequados de recuperação de desastres e continuidade das operações para incluir qualquer falha apropriada. over/alternate site requirements, backup requirements, and material supportability requirements for system recover/restoration

dynamodb-in-backup-plan

Para ajudar nos processos de backup de dados, garanta que suas tabelas do Amazon DynamoDB façam parte de um plano de AWS backup. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups.
T0051 Defina os níveis apropriados de disponibilidade do sistema com base nas funções críticas do sistema e garanta que os requisitos do sistema identifiquem os requisitos adequados de recuperação de desastres e continuidade das operações para incluir qualquer falha apropriada. over/alternate site requirements, backup requirements, and material supportability requirements for system recover/restoration

dynamodb-pitr-enabled

Habilite essa regra para verificar se o backup das informações foi realizado. Ele também mantém os backups, garantindo que a point-in-time recuperação seja habilitada no Amazon DynamoDB. A recuperação mantém backups contínuos da tabela nos últimos 35 dias.
T0051 Defina os níveis apropriados de disponibilidade do sistema com base nas funções críticas do sistema e garanta que os requisitos do sistema identifiquem os requisitos adequados de recuperação de desastres e continuidade das operações para incluir qualquer falha apropriada. over/alternate site requirements, backup requirements, and material supportability requirements for system recover/restoration

dynamodb-throughput-limit-check

Habilite essa regra para garantir que a capacidade de throughput provisionada seja verificada em suas tabelas do Amazon DynamoDB. Essa é a quantidade de atividades de leitura e gravação que cada tabela pode comportar. O DynamoDB usa essas informações para reservar recursos suficientes do sistema para atender aos seus requisitos de throughput. Essa regra gera um alerta quando o throughput se aproxima do limite máximo da conta de um cliente. Essa regra permite que você defina opcionalmente os parâmetros RCUThreshold Porcentagem da conta (Configuração Padrão: 80) e Porcentagem WCUThreshold da conta (Padrão de Configuração: 80). Os valores reais devem refletir as políticas da organização.
T0051 Defina os níveis apropriados de disponibilidade do sistema com base nas funções críticas do sistema e garanta que os requisitos do sistema identifiquem os requisitos adequados de recuperação de desastres e continuidade das operações para incluir qualquer falha apropriada. over/alternate site requirements, backup requirements, and material supportability requirements for system recover/restoration

ebs-in-backup-plan

Para ajudar nos processos de backup de dados, garanta que seus volumes do Amazon Elastic Block Store (Amazon EBS) façam parte de um plano de backup. AWS AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups.
T0051 Defina os níveis apropriados de disponibilidade do sistema com base nas funções críticas do sistema e garanta que os requisitos do sistema identifiquem os requisitos adequados de recuperação de desastres e continuidade das operações para incluir qualquer falha apropriada. over/alternate site requirements, backup requirements, and material supportability requirements for system recover/restoration

efs-in-backup-plan

Para ajudar nos processos de backup de dados, garanta que seus sistemas de arquivos do Amazon Elastic File System (Amazon EFS) façam parte de um plano de AWS backup. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups.
T0051 Defina os níveis apropriados de disponibilidade do sistema com base nas funções críticas do sistema e garanta que os requisitos do sistema identifiquem os requisitos adequados de recuperação de desastres e continuidade das operações para incluir qualquer falha apropriada. over/alternate site requirements, backup requirements, and material supportability requirements for system recover/restoration

elasticache-redis-cluster-automatic-verificação de backup

Quando os backups automáticos estão habilitados, a Amazon ElastiCache cria um backup do cluster diariamente. O backup pode ser retido por vários dias, conforme especificado pela organização. Os backups automáticos podem ajudar a proteger contra a perda de dados. Em caso de falha, é possível criar um cluster e restaurar os dados usando o backup mais recente.
T0051 Defina os níveis apropriados de disponibilidade do sistema com base nas funções críticas do sistema e garanta que os requisitos do sistema identifiquem os requisitos adequados de recuperação de desastres e continuidade das operações para incluir qualquer falha apropriada. over/alternate site requirements, backup requirements, and material supportability requirements for system recover/restoration

elb-cross-zone-load-balanceamento ativado

Habilite o balanceamento de carga entre zonas para seus Elastic Load Balancers (ELBs) para ajudar a manter a capacidade e a disponibilidade adequadas. O balanceamento de carga entre zonas reduz a necessidade de manter números equivalentes de instâncias em cada zona de disponibilidade habilitada. Também melhora a capacidade da aplicação de lidar com a perda de uma ou mais instâncias.
T0051 Defina os níveis apropriados de disponibilidade do sistema com base nas funções críticas do sistema e garanta que os requisitos do sistema identifiquem os requisitos adequados de recuperação de desastres e continuidade das operações para incluir qualquer falha apropriada. over/alternate site requirements, backup requirements, and material supportability requirements for system recover/restoration

elb-deletion-protection-enabled

Essa regra garante que o Elastic Load Balancing tenha a proteção contra exclusão habilitada. Use esse recurso para evitar que o balanceador de carga seja excluído de forma acidental ou mal-intencionada, o que pode levar à perda de disponibilidade das aplicações.
T0051 Defina os níveis apropriados de disponibilidade do sistema com base nas funções críticas do sistema e garanta que os requisitos do sistema identifiquem os requisitos adequados de recuperação de desastres e continuidade das operações para incluir qualquer falha apropriada. over/alternate site requirements, backup requirements, and material supportability requirements for system recover/restoration

rds-instance-deletion-protection-habilitado

Habilite a proteção contra exclusão das instâncias do Amazon Relational Database Service (Amazon RDS). Use a proteção contra exclusão para evitar que as instâncias do Amazon RDS sejam excluídas de forma acidental ou mal-intencionada, o que pode levar à perda de disponibilidade das aplicações.
T0051 Defina os níveis apropriados de disponibilidade do sistema com base nas funções críticas do sistema e garanta que os requisitos do sistema identifiquem os requisitos adequados de recuperação de desastres e continuidade das operações para incluir qualquer falha apropriada. over/alternate site requirements, backup requirements, and material supportability requirements for system recover/restoration

rds-in-backup-plan

Para ajudar nos processos de backup de dados, garanta que suas instâncias do Amazon Relational Database Service (Amazon RDS) façam parte de um AWS plano de backup. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups.
T0051 Defina os níveis apropriados de disponibilidade do sistema com base nas funções críticas do sistema e garanta que os requisitos do sistema identifiquem os requisitos adequados de recuperação de desastres e continuidade das operações para incluir qualquer falha apropriada. over/alternate site requirements, backup requirements, and material supportability requirements for system recover/restoration

rds-multi-az-support

O suporte multi-AZ no Amazon Relational Database Service (Amazon RDS) oferece maior disponibilidade e durabilidade para instâncias de banco de dados. Ao provisionar uma instância de banco de dados multi-AZ, o Amazon RDS cria automaticamente uma instância de banco de dados primária e replica de forma síncrona os dados em uma instância em modo de espera em outra zona de disponibilidade. Cada zona de disponibilidade funciona em sua própria infraestrutura independente e fisicamente distinta, além de ser projetada para ser altamente confiável. No caso de falha na infraestrutura, o Amazon RDS executa um failover automático no modo de espera para que você possa retomar as operações do banco de dados assim que o failover for concluído.
T0051 Defina os níveis apropriados de disponibilidade do sistema com base nas funções críticas do sistema e garanta que os requisitos do sistema identifiquem os requisitos adequados de recuperação de desastres e continuidade das operações para incluir qualquer falha apropriada. over/alternate site requirements, backup requirements, and material supportability requirements for system recover/restoration

redshift-backup-enabled

Para ajudar nos processos de backup de dados, os clusters do Amazon Redshift devem ter instantâneos automatizados. Quando instantâneos automatizados são habilitados para um cluster, o Redshift tira instantâneos desse cluster periodicamente. Por padrão, o Redshift tira um instantâneo a cada oito horas ou a cada 5 GB por nó de alterações de dados, o que ocorrer primeiro.
T0051 Defina os níveis apropriados de disponibilidade do sistema com base nas funções críticas do sistema e garanta que os requisitos do sistema identifiquem os requisitos adequados de recuperação de desastres e continuidade das operações para incluir qualquer falha apropriada. over/alternate site requirements, backup requirements, and material supportability requirements for system recover/restoration

s3- bucket-replication-enabled

A Replicação entre regiões (CRR) do Amazon Simple Storage Service (Amazon S3) é compatível com a manutenção de capacidade e disponibilidade adequadas. A CRR permite a cópia automática e assíncrona de objetos nos buckets do Amazon S3 para ajudar a garantir a manutenção da disponibilidade de dados.
T0051 Defina os níveis apropriados de disponibilidade do sistema com base nas funções críticas do sistema e garanta que os requisitos do sistema identifiquem os requisitos adequados de recuperação de desastres e continuidade das operações para incluir qualquer falha apropriada. over/alternate site requirements, backup requirements, and material supportability requirements for system recover/restoration

s3- bucket-versioning-enabled

O versionamento do bucket do Amazon Simple Storage Service (Amazon S3) ajuda a manter diversas variantes de um objeto no mesmo bucket do Amazon S3. Use o versionamento para preservar, recuperar e restaurar todas as versões de cada objeto armazenado no bucket do Amazon S3. O versionamento ajuda você a se recuperar facilmente de ações não intencionais de usuários e de falhas da aplicação.
T0051 Defina os níveis apropriados de disponibilidade do sistema com base nas funções críticas do sistema e garanta que os requisitos do sistema identifiquem os requisitos adequados de recuperação de desastres e continuidade das operações para incluir qualquer falha apropriada. over/alternate site requirements, backup requirements, and material supportability requirements for system recover/restoration

vpc-vpn-2-tunnels-up

Túneis Site-to-Site VPN redundantes podem ser implementados para atingir os requisitos de resiliência. Ele usa dois túneis para ajudar a garantir a conectividade caso uma das conexões Site-to-Site VPN fique indisponível. Para se proteger contra a perda de conectividade, caso o gateway do cliente fique indisponível, você pode configurar uma segunda conexão Site-to-Site VPN com a Amazon Virtual Private Cloud (Amazon VPC) e o gateway privado virtual usando um segundo gateway do cliente.
T0051 Defina os níveis apropriados de disponibilidade do sistema com base nas funções críticas do sistema e garanta que os requisitos do sistema identifiquem os requisitos adequados de recuperação de desastres e continuidade das operações para incluir qualquer falha apropriada. over/alternate site requirements, backup requirements, and material supportability requirements for system recover/restoration

backup-plan-min-frequency-and-min-retention-check

Para ajudar nos processos de backup de dados, certifique-se de que seu plano de AWS backup esteja definido para uma frequência e retenção mínimas. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups. Essa regra permite que você defina os requiredFrequencyValue parâmetros (Config default: 1), ( requiredRetentionDaysConfig default: 35) e ( requiredFrequencyUnit Config default: days). O valor real deve refletir os requisitos da organização.
T0051 Defina os níveis apropriados de disponibilidade do sistema com base nas funções críticas do sistema e garanta que os requisitos do sistema identifiquem os requisitos adequados de recuperação de desastres e continuidade das operações para incluir qualquer falha apropriada. over/alternate site requirements, backup requirements, and material supportability requirements for system recover/restoration

plano ec2- resources-protected-by-backup

Para ajudar nos processos de backup de dados, garanta que seus recursos do Amazon Elastic Compute Cloud EC2 (Amazon) façam parte de um plano de AWS backup. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups.
T0065 Desenvolva e implemente procedimentos de backup e recuperação de rede.

backup-plan-min-frequency-and-min-retention-check

Para ajudar nos processos de backup de dados, certifique-se de que seu plano de AWS backup esteja definido para uma frequência e retenção mínimas. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups. Essa regra permite que você defina os requiredFrequencyValue parâmetros (Config default: 1), ( requiredRetentionDaysConfig default: 35) e ( requiredFrequencyUnit Config default: days). O valor real deve refletir os requisitos da organização.
T0065 Desenvolva e implemente procedimentos de backup e recuperação de rede.

backup-recovery-point-encrypted

Certifique-se de que a criptografia esteja ativada para seus pontos AWS de recuperação de Backup. Como pode haver dados confidenciais em repouso, habilite a criptografia em repouso para ajudar a protegê-los.
T0065 Desenvolva e implemente procedimentos de backup e recuperação de rede.

backup-recovery-point-manual-exclusão desativada

Certifique-se de que seus pontos AWS de recuperação de Backup tenham uma política baseada em recursos anexada que impeça a exclusão de pontos de recuperação. Usar uma política baseada em recursos para impedir a exclusão de pontos de recuperação pode ajudar a evitar a exclusão acidental ou intencional.
T0065 Desenvolva e implemente procedimentos de backup e recuperação de rede.

dynamodb-autoscaling-enabled

O Amazon DynamoDB auto scaling usa o serviço Application AWS Auto Scaling para ajustar a capacidade de transferência provisionada que responde automaticamente aos padrões reais de tráfego. Isso permite que uma tabela ou um índice secundário global aumente a capacidade provisionada de leitura e gravação para processar aumentos repentinos no tráfego, sem controle de utilização.
T0065 Desenvolva e implemente procedimentos de backup e recuperação de rede.

dynamodb-in-backup-plan

Para ajudar nos processos de backup de dados, garanta que suas tabelas do Amazon DynamoDB façam parte de um plano de AWS backup. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups.
T0065 Desenvolva e implemente procedimentos de backup e recuperação de rede.

ebs-in-backup-plan

Para ajudar nos processos de backup de dados, garanta que seus volumes do Amazon Elastic Block Store (Amazon EBS) façam parte de um plano de backup. AWS AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups.
T0065 Desenvolva e implemente procedimentos de backup e recuperação de rede.

plano ec2- resources-protected-by-backup

Para ajudar nos processos de backup de dados, garanta que seus recursos do Amazon Elastic Compute Cloud EC2 (Amazon) façam parte de um plano de AWS backup. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups.
T0065 Desenvolva e implemente procedimentos de backup e recuperação de rede.

efs-in-backup-plan

Para ajudar nos processos de backup de dados, garanta que seus sistemas de arquivos do Amazon Elastic File System (Amazon EFS) façam parte de um plano de AWS backup. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups.
T0065 Desenvolva e implemente procedimentos de backup e recuperação de rede.

elb-cross-zone-load-balanceamento ativado

Habilite o balanceamento de carga entre zonas para seus Elastic Load Balancers (ELBs) para ajudar a manter a capacidade e a disponibilidade adequadas. O balanceamento de carga entre zonas reduz a necessidade de manter números equivalentes de instâncias em cada zona de disponibilidade habilitada. Também melhora a capacidade da aplicação de lidar com a perda de uma ou mais instâncias.
T0065 Desenvolva e implemente procedimentos de backup e recuperação de rede.

elb-deletion-protection-enabled

Essa regra garante que o Elastic Load Balancing tenha a proteção contra exclusão habilitada. Use esse recurso para evitar que o balanceador de carga seja excluído de forma acidental ou mal-intencionada, o que pode levar à perda de disponibilidade das aplicações.
T0065 Desenvolva e implemente procedimentos de backup e recuperação de rede.

rds-instance-deletion-protection-habilitado

Habilite a proteção contra exclusão das instâncias do Amazon Relational Database Service (Amazon RDS). Use a proteção contra exclusão para evitar que as instâncias do Amazon RDS sejam excluídas de forma acidental ou mal-intencionada, o que pode levar à perda de disponibilidade das aplicações.
T0065 Desenvolva e implemente procedimentos de backup e recuperação de rede.

rds-in-backup-plan

Para ajudar nos processos de backup de dados, garanta que suas instâncias do Amazon Relational Database Service (Amazon RDS) façam parte de um AWS plano de backup. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups.
T0065 Desenvolva e implemente procedimentos de backup e recuperação de rede.

rds-multi-az-support

O suporte multi-AZ no Amazon Relational Database Service (Amazon RDS) oferece maior disponibilidade e durabilidade para instâncias de banco de dados. Ao provisionar uma instância de banco de dados multi-AZ, o Amazon RDS cria automaticamente uma instância de banco de dados primária e replica de forma síncrona os dados em uma instância em modo de espera em outra zona de disponibilidade. Cada zona de disponibilidade funciona em sua própria infraestrutura independente e fisicamente distinta, além de ser projetada para ser altamente confiável. No caso de falha na infraestrutura, o Amazon RDS executa um failover automático no modo de espera para que você possa retomar as operações do banco de dados assim que o failover for concluído.
T0065 Desenvolva e implemente procedimentos de backup e recuperação de rede.

redshift-backup-enabled

Para ajudar nos processos de backup de dados, os clusters do Amazon Redshift devem ter instantâneos automatizados. Quando instantâneos automatizados são habilitados para um cluster, o Redshift tira instantâneos desse cluster periodicamente. Por padrão, o Redshift tira um instantâneo a cada oito horas ou a cada 5 GB por nó de alterações de dados, o que ocorrer primeiro.
T0065 Desenvolva e implemente procedimentos de backup e recuperação de rede.

vpc-vpn-2-tunnels-up

Túneis Site-to-Site VPN redundantes podem ser implementados para atingir os requisitos de resiliência. Ele usa dois túneis para ajudar a garantir a conectividade caso uma das conexões Site-to-Site VPN fique indisponível. Para se proteger contra a perda de conectividade, caso o gateway do cliente fique indisponível, você pode configurar uma segunda conexão Site-to-Site VPN com a Amazon Virtual Private Cloud (Amazon VPC) e o gateway privado virtual usando um segundo gateway do cliente.
T0065 Desenvolva e implemente procedimentos de backup e recuperação de rede.

db-instance-backup-enabled

O recurso de backup do Amazon RDS cria backups dos bancos de dados e logs de transações. O Amazon RDS cria automaticamente um instantâneo do volume de armazenamento da instância de banco de dados, fazendo backup de toda a instância de banco de dados. O sistema permite que você defina períodos de retenção específicos para atender aos requisitos de resiliência.
T0065 Desenvolva e implemente procedimentos de backup e recuperação de rede.

dynamodb-pitr-enabled

Habilite essa regra para verificar se o backup das informações foi realizado. Ele também mantém os backups, garantindo que a point-in-time recuperação seja habilitada no Amazon DynamoDB. A recuperação mantém backups contínuos da tabela nos últimos 35 dias.
T0065 Desenvolva e implemente procedimentos de backup e recuperação de rede.

elasticache-redis-cluster-automatic-verificação de backup

Quando os backups automáticos estão habilitados, a Amazon ElastiCache cria um backup do cluster diariamente. O backup pode ser retido por vários dias, conforme especificado pela organização. Os backups automáticos podem ajudar a proteger contra a perda de dados. Em caso de falha, é possível criar um cluster e restaurar os dados usando o backup mais recente.
T0065 Desenvolva e implemente procedimentos de backup e recuperação de rede.

redshift-cluster-maintenancesettings-check

Essa regra garante que os clusters do Amazon Redshift tenham as configurações preferidas da organização. Especificamente, que eles tenham janelas de manutenção preferenciais e períodos automatizados de retenção de instantâneos para o banco de dados. Essa regra exige que você defina allowVersionUpgrade o. O padrão é true. Também permite definir opcionalmente o preferredMaintenanceWindow (o padrão é sat: 16:00 -sat: 16:30) e o automatedSnapshotRetention Período (o padrão é 1). Os valores reais devem refletir as políticas da organização.
T0065 Desenvolva e implemente procedimentos de backup e recuperação de rede.

s3- bucket-replication-enabled

A Replicação entre regiões (CRR) do Amazon Simple Storage Service (Amazon S3) é compatível com a manutenção de capacidade e disponibilidade adequadas. A CRR permite a cópia automática e assíncrona de objetos nos buckets do Amazon S3 para ajudar a garantir a manutenção da disponibilidade de dados.
T0065 Desenvolva e implemente procedimentos de backup e recuperação de rede.

s3- bucket-versioning-enabled

O versionamento do bucket do Amazon Simple Storage Service (Amazon S3) ajuda a manter diversas variantes de um objeto no mesmo bucket do Amazon S3. Use o versionamento para preservar, recuperar e restaurar todas as versões de cada objeto armazenado no bucket do Amazon S3. O versionamento ajuda você a se recuperar facilmente de ações não intencionais de usuários e de falhas da aplicação.
T0070 Desenvolva planos de recuperação de desastres e continuidade de operações para sistemas em desenvolvimento e garanta testes antes que os sistemas entrem em um ambiente de produção.

backup-plan-min-frequency-and-min-retention-check

Para ajudar nos processos de backup de dados, certifique-se de que seu plano de AWS backup esteja definido para uma frequência e retenção mínimas. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups. Essa regra permite que você defina os requiredFrequencyValue parâmetros (Config default: 1), ( requiredRetentionDaysConfig default: 35) e ( requiredFrequencyUnit Config default: days). O valor real deve refletir os requisitos da organização.
T0070 Desenvolva planos de recuperação de desastres e continuidade de operações para sistemas em desenvolvimento e garanta testes antes que os sistemas entrem em um ambiente de produção.

backup-recovery-point-encrypted

Certifique-se de que a criptografia esteja ativada para seus pontos AWS de recuperação de Backup. Como pode haver dados confidenciais em repouso, habilite a criptografia em repouso para ajudar a protegê-los.
T0070 Desenvolva planos de recuperação de desastres e continuidade de operações para sistemas em desenvolvimento e garanta testes antes que os sistemas entrem em um ambiente de produção.

backup-recovery-point-manual-exclusão desativada

Certifique-se de que seus pontos AWS de recuperação de Backup tenham uma política baseada em recursos anexada que impeça a exclusão de pontos de recuperação. Usar uma política baseada em recursos para impedir a exclusão de pontos de recuperação pode ajudar a evitar a exclusão acidental ou intencional.
T0070 Desenvolva planos de recuperação de desastres e continuidade de operações para sistemas em desenvolvimento e garanta testes antes que os sistemas entrem em um ambiente de produção.

dynamodb-in-backup-plan

Para ajudar nos processos de backup de dados, garanta que suas tabelas do Amazon DynamoDB façam parte de um plano de AWS backup. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups.
T0070 Desenvolva planos de recuperação de desastres e continuidade de operações para sistemas em desenvolvimento e garanta testes antes que os sistemas entrem em um ambiente de produção.

ebs-in-backup-plan

Para ajudar nos processos de backup de dados, garanta que seus volumes do Amazon Elastic Block Store (Amazon EBS) façam parte de um plano de backup. AWS AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups.
T0070 Desenvolva planos de recuperação de desastres e continuidade de operações para sistemas em desenvolvimento e garanta testes antes que os sistemas entrem em um ambiente de produção.

plano ec2- resources-protected-by-backup

Para ajudar nos processos de backup de dados, garanta que seus recursos do Amazon Elastic Compute Cloud EC2 (Amazon) façam parte de um plano de AWS backup. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups.
T0070 Desenvolva planos de recuperação de desastres e continuidade de operações para sistemas em desenvolvimento e garanta testes antes que os sistemas entrem em um ambiente de produção.

efs-in-backup-plan

Para ajudar nos processos de backup de dados, garanta que seus sistemas de arquivos do Amazon Elastic File System (Amazon EFS) façam parte de um plano de AWS backup. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups.
T0070 Desenvolva planos de recuperação de desastres e continuidade de operações para sistemas em desenvolvimento e garanta testes antes que os sistemas entrem em um ambiente de produção.

elb-cross-zone-load-balanceamento ativado

Habilite o balanceamento de carga entre zonas para seus Elastic Load Balancers (ELBs) para ajudar a manter a capacidade e a disponibilidade adequadas. O balanceamento de carga entre zonas reduz a necessidade de manter números equivalentes de instâncias em cada zona de disponibilidade habilitada. Também melhora a capacidade da aplicação de lidar com a perda de uma ou mais instâncias.
T0070 Desenvolva planos de recuperação de desastres e continuidade de operações para sistemas em desenvolvimento e garanta testes antes que os sistemas entrem em um ambiente de produção.

rds-instance-deletion-protection-habilitado

Habilite a proteção contra exclusão das instâncias do Amazon Relational Database Service (Amazon RDS). Use a proteção contra exclusão para evitar que as instâncias do Amazon RDS sejam excluídas de forma acidental ou mal-intencionada, o que pode levar à perda de disponibilidade das aplicações.
T0070 Desenvolva planos de recuperação de desastres e continuidade de operações para sistemas em desenvolvimento e garanta testes antes que os sistemas entrem em um ambiente de produção.

rds-in-backup-plan

Para ajudar nos processos de backup de dados, garanta que suas instâncias do Amazon Relational Database Service (Amazon RDS) façam parte de um AWS plano de backup. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups.
T0070 Desenvolva planos de recuperação de desastres e continuidade de operações para sistemas em desenvolvimento e garanta testes antes que os sistemas entrem em um ambiente de produção.

redshift-backup-enabled

Para ajudar nos processos de backup de dados, os clusters do Amazon Redshift devem ter instantâneos automatizados. Quando instantâneos automatizados são habilitados para um cluster, o Redshift tira instantâneos desse cluster periodicamente. Por padrão, o Redshift tira um instantâneo a cada oito horas ou a cada 5 GB por nó de alterações de dados, o que ocorrer primeiro.
T0070 Desenvolva planos de recuperação de desastres e continuidade de operações para sistemas em desenvolvimento e garanta testes antes que os sistemas entrem em um ambiente de produção.

db-instance-backup-enabled

O recurso de backup do Amazon RDS cria backups dos bancos de dados e logs de transações. O Amazon RDS cria automaticamente um instantâneo do volume de armazenamento da instância de banco de dados, fazendo backup de toda a instância de banco de dados. O sistema permite que você defina períodos de retenção específicos para atender aos requisitos de resiliência.
T0070 Desenvolva planos de recuperação de desastres e continuidade de operações para sistemas em desenvolvimento e garanta testes antes que os sistemas entrem em um ambiente de produção.

dynamodb-autoscaling-enabled

O Amazon DynamoDB auto scaling usa o serviço Application AWS Auto Scaling para ajustar a capacidade de transferência provisionada que responde automaticamente aos padrões reais de tráfego. Isso permite que uma tabela ou um índice secundário global aumente a capacidade provisionada de leitura e gravação para processar aumentos repentinos no tráfego, sem controle de utilização.
T0070 Desenvolva planos de recuperação de desastres e continuidade de operações para sistemas em desenvolvimento e garanta testes antes que os sistemas entrem em um ambiente de produção.

dynamodb-pitr-enabled

Habilite essa regra para verificar se o backup das informações foi realizado. Ele também mantém os backups, garantindo que a point-in-time recuperação seja habilitada no Amazon DynamoDB. A recuperação mantém backups contínuos da tabela nos últimos 35 dias.
T0070 Desenvolva planos de recuperação de desastres e continuidade de operações para sistemas em desenvolvimento e garanta testes antes que os sistemas entrem em um ambiente de produção.

elasticache-redis-cluster-automatic-verificação de backup

Quando os backups automáticos estão habilitados, a Amazon ElastiCache cria um backup do cluster diariamente. O backup pode ser retido por vários dias, conforme especificado pela organização. Os backups automáticos podem ajudar a proteger contra a perda de dados. Em caso de falha, é possível criar um cluster e restaurar os dados usando o backup mais recente.
T0070 Desenvolva planos de recuperação de desastres e continuidade de operações para sistemas em desenvolvimento e garanta testes antes que os sistemas entrem em um ambiente de produção.

elb-deletion-protection-enabled

Essa regra garante que o Elastic Load Balancing tenha a proteção contra exclusão habilitada. Use esse recurso para evitar que o balanceador de carga seja excluído de forma acidental ou mal-intencionada, o que pode levar à perda de disponibilidade das aplicações.
T0070 Desenvolva planos de recuperação de desastres e continuidade de operações para sistemas em desenvolvimento e garanta testes antes que os sistemas entrem em um ambiente de produção.

rds-multi-az-support

O suporte multi-AZ no Amazon Relational Database Service (Amazon RDS) oferece maior disponibilidade e durabilidade para instâncias de banco de dados. Ao provisionar uma instância de banco de dados multi-AZ, o Amazon RDS cria automaticamente uma instância de banco de dados primária e replica de forma síncrona os dados em uma instância em modo de espera em outra zona de disponibilidade. Cada zona de disponibilidade funciona em sua própria infraestrutura independente e fisicamente distinta, além de ser projetada para ser altamente confiável. No caso de falha na infraestrutura, o Amazon RDS executa um failover automático no modo de espera para que você possa retomar as operações do banco de dados assim que o failover for concluído.
T0070 Desenvolva planos de recuperação de desastres e continuidade de operações para sistemas em desenvolvimento e garanta testes antes que os sistemas entrem em um ambiente de produção.

s3- bucket-replication-enabled

A Replicação entre regiões (CRR) do Amazon Simple Storage Service (Amazon S3) é compatível com a manutenção de capacidade e disponibilidade adequadas. A CRR permite a cópia automática e assíncrona de objetos nos buckets do Amazon S3 para ajudar a garantir a manutenção da disponibilidade de dados.
T0070 Desenvolva planos de recuperação de desastres e continuidade de operações para sistemas em desenvolvimento e garanta testes antes que os sistemas entrem em um ambiente de produção.

s3- bucket-versioning-enabled

O versionamento do bucket do Amazon Simple Storage Service (Amazon S3) ajuda a manter diversas variantes de um objeto no mesmo bucket do Amazon S3. Use o versionamento para preservar, recuperar e restaurar todas as versões de cada objeto armazenado no bucket do Amazon S3. O versionamento ajuda você a se recuperar facilmente de ações não intencionais de usuários e de falhas da aplicação.
T0070 Desenvolva planos de recuperação de desastres e continuidade de operações para sistemas em desenvolvimento e garanta testes antes que os sistemas entrem em um ambiente de produção.

vpc-vpn-2-tunnels-up

Túneis Site-to-Site VPN redundantes podem ser implementados para atingir os requisitos de resiliência. Ele usa dois túneis para ajudar a garantir a conectividade caso uma das conexões Site-to-Site VPN fique indisponível. Para se proteger contra a perda de conectividade, caso o gateway do cliente fique indisponível, você pode configurar uma segunda conexão Site-to-Site VPN com a Amazon Virtual Private Cloud (Amazon VPC) e o gateway privado virtual usando um segundo gateway do cliente.
T0086 Garanta que a aplicação de patches de segurança para produtos comerciais integrados ao design do sistema atenda aos cronogramas ditados pela autoridade de gerenciamento para o ambiente operacional pretendido.

rds-automatic-minor-version-habilitado para atualização

Habilite atualizações automáticas de versões secundárias nas instâncias do Amazon Relational Database Service (RDS) para garantir que as últimas atualizações de versões secundárias do sistema de gerenciamento de banco de dados relacional (RDBMS) estejam instaladas, o que pode incluir patches de segurança e correções de bugs.
T0086 Garanta que a aplicação de patches de segurança para produtos comerciais integrados ao design do sistema atenda aos cronogramas ditados pela autoridade de gerenciamento para o ambiente operacional pretendido.

ec2- -check managedinstance-patch-compliance-status

Ative essa regra para ajudar na identificação e documentação das vulnerabilidades do Amazon Elastic Compute Cloud (Amazon EC2). A regra verifica se a conformidade de patches de EC2 instâncias da Amazon no AWS Systems Manager conforme exigido pelas políticas e procedimentos da sua organização.
T0086 Garanta que a aplicação de patches de segurança para produtos comerciais integrados ao design do sistema atenda aos cronogramas ditados pela autoridade de gerenciamento para o ambiente operacional pretendido.

elastic-beanstalk-managed-updates-habilitado

Habilitar atualizações gerenciadas da plataforma para um ambiente do Amazon Elastic Beanstalk garante que as últimas correções, atualizações e recursos de plataforma disponíveis para o ambiente sejam instalados. Uma das práticas recomendadas para proteger sistemas é manter a instalação de patches em dia.
T0086 Garanta que a aplicação de patches de segurança para produtos comerciais integrados ao design do sistema atenda aos cronogramas ditados pela autoridade de gerenciamento para o ambiente operacional pretendido.

redshift-cluster-maintenancesettings-check

Essa regra garante que os clusters do Amazon Redshift tenham as configurações preferidas da organização. Especificamente, que eles tenham janelas de manutenção preferenciais e períodos automatizados de retenção de instantâneos para o banco de dados. Essa regra exige que você defina allowVersionUpgrade o. O padrão é true. Também permite definir opcionalmente o preferredMaintenanceWindow (o padrão é sat: 16:00 -sat: 16:30) e o automatedSnapshotRetention Período (o padrão é 1). Os valores reais devem refletir as políticas da organização.
T0110 Identifique e/ou determine se um incidente de segurança é indicativo de uma violação da lei que requer ação legal específica.

securityhub-enabled

AWS O Security Hub ajuda a monitorar pessoas, conexões, dispositivos e software não autorizados. AWS O Security Hub agrega, organiza e prioriza os alertas ou descobertas de segurança de vários serviços. AWS Alguns desses serviços são o Amazon Security Hub, o Amazon Inspector, o Amazon Macie AWS , o Identity and Access Management (IAM) Access Analyzer e o Firewall AWS Manager, além de soluções de parceiros. AWS
T0110 Identifique e/ou determine se um incidente de segurança é indicativo de uma violação da lei que requer ação legal específica.

cloudwatch-alarm-action-check

CloudWatch Os alarmes da Amazon alertam quando uma métrica ultrapassa o limite de um número específico de períodos de avaliação. O alarme executa uma ou mais ações com base no valor da métrica ou na expressão em relação a um limite em alguns períodos. Essa regra exige um valor para alarmActionRequired (Config Default: True), insufficientDataAction Obrigatório (Config Default: True), ( okActionRequired Config Default: False). O valor real deve refletir as ações de alarme do ambiente.
T0110 Identifique e/ou determine se um incidente de segurança é indicativo de uma violação da lei que requer ação legal específica.

guardduty-enabled-centralized

A Amazon GuardDuty pode ajudar a monitorar e detectar possíveis eventos de cibersegurança usando feeds de inteligência de ameaças. Isso inclui listas de aprendizado de máquina IPs e malicioso para identificar atividades inesperadas, não autorizadas e maliciosas em seu ambiente de AWS nuvem.
T0128 Integre recursos automatizados para atualização ou aplicação de patches no software do sistema sempre que possível e desenvolva processos e procedimentos para atualização e aplicação de patches manuais no software do sistema com base nos requisitos atuais e projetados do cronograma de patches para o ambiente operacional do sistema.

rds-automatic-minor-version-habilitado para atualização

Habilite atualizações automáticas de versões secundárias nas instâncias do Amazon Relational Database Service (RDS) para garantir que as últimas atualizações de versões secundárias do sistema de gerenciamento de banco de dados relacional (RDBMS) estejam instaladas, o que pode incluir patches de segurança e correções de bugs.
T0128 Integre recursos automatizados para atualização ou aplicação de patches no software do sistema sempre que possível e desenvolva processos e procedimentos para atualização e aplicação de patches manuais no software do sistema com base nos requisitos atuais e projetados do cronograma de patches para o ambiente operacional do sistema.

ec2- -check managedinstance-patch-compliance-status

Ative essa regra para ajudar na identificação e documentação das vulnerabilidades do Amazon Elastic Compute Cloud (Amazon EC2). A regra verifica se a conformidade de patches de EC2 instâncias da Amazon no AWS Systems Manager conforme exigido pelas políticas e procedimentos da sua organização.
T0128 Integre recursos automatizados para atualização ou aplicação de patches no software do sistema sempre que possível e desenvolva processos e procedimentos para atualização e aplicação de patches manuais no software do sistema com base nos requisitos atuais e projetados do cronograma de patches para o ambiente operacional do sistema.

elastic-beanstalk-managed-updates-habilitado

Habilitar atualizações gerenciadas da plataforma para um ambiente do Amazon Elastic Beanstalk garante que as últimas correções, atualizações e recursos de plataforma disponíveis para o ambiente sejam instalados. Uma das práticas recomendadas para proteger sistemas é manter a instalação de patches em dia.
T0128 Integre recursos automatizados para atualização ou aplicação de patches no software do sistema sempre que possível e desenvolva processos e procedimentos para atualização e aplicação de patches manuais no software do sistema com base nos requisitos atuais e projetados do cronograma de patches para o ambiente operacional do sistema.

redshift-cluster-maintenancesettings-check

Essa regra garante que os clusters do Amazon Redshift tenham as configurações preferidas da organização. Especificamente, que eles tenham janelas de manutenção preferenciais e períodos automatizados de retenção de instantâneos para o banco de dados. Essa regra exige que você defina allowVersionUpgrade o. O padrão é true. Também permite definir opcionalmente o preferredMaintenanceWindow (o padrão é sat: 16:00 -sat: 16:30) e o automatedSnapshotRetention Período (o padrão é 1). Os valores reais devem refletir as políticas da organização.
T0144 Gerencie contas, direitos de rede e acesso a sistemas e equipamentos.

account-part-of-organizations

O gerenciamento centralizado de Contas da AWS dentro das AWS Organizations ajuda a garantir que as contas estejam em conformidade. Usar uma governança não centralizada na conta pode gerar inconsistências nas configurações da conta, o que pode expor recursos e dados confidenciais.
T0144 Gerencie contas, direitos de rede e acesso a sistemas e equipamentos.

alb-waf-enabled

Certifique-se de que o AWS WAF esteja ativado nos Elastic Load Balancers (ELB) para ajudar a proteger aplicativos da web. Um WAF ajuda a proteger seus aplicativos da web ou APIs contra explorações comuns da web. Essas explorações da web podem afetar a disponibilidade, comprometer a segurança ou consumir recursos excessivos em seu ambiente.
T0144 Gerencie contas, direitos de rede e acesso a sistemas e equipamentos.

api-gw-associated-with-onda

AWS O WAF permite que você configure um conjunto de regras (chamado de lista de controle de acesso à web (Web ACL)) que permite, bloqueia ou conta solicitações da web com base nas regras e condições de segurança da web personalizáveis que você define. Associe seu estágio do Amazon API Gateway a uma ACL da web do WAF para protegê-lo contra ataques mal-intencionados.
T0144 Gerencie contas, direitos de rede e acesso a sistemas e equipamentos.

autoscaling-launch-config-public-ip desativado

Se você configurar suas interfaces de rede com um endereço IP público, os recursos associados a essas interfaces de rede poderão ser acessados pela Internet. EC2 os recursos não devem ser acessíveis ao público, pois isso pode permitir acesso não intencional aos seus aplicativos ou servidores.
T0144 Gerencie contas, direitos de rede e acesso a sistemas e equipamentos.

ec2- instance-profile-attached

EC2 perfis de instância passam uma função do IAM para uma EC2 instância. Anexar um perfil de instância às instâncias pode ajudar no gerenciamento de privilégio mínimo e permissões.
T0144 Gerencie contas, direitos de rede e acesso a sistemas e equipamentos.

ecs-task-definition-user-for-host-mode-check

Se uma definição de tarefa tem privilégios elevados, significa que o cliente optou especificamente por essas configurações. Esse controle verifica o aumento inesperado de privilégios quando uma definição de tarefa tem a rede de host habilitada e o cliente não optou por privilégios elevados.
T0144 Gerencie contas, direitos de rede e acesso a sistemas e equipamentos.

iam-no-inline-policy-verificar

Certifique-se de que um usuário, uma função do IAM ou um grupo do IAM do AWS Identity and Access Management (IAM) não tenha uma política embutida para controlar o acesso a sistemas e ativos. AWS recomenda usar políticas gerenciadas em vez de políticas embutidas. As políticas gerenciadas permitem a reutilização, o versionamento, a reversão e a delegação do gerenciamento de permissões.
T0144 Gerencie contas, direitos de rede e acesso a sistemas e equipamentos.

iam-policy-no-statements-with-full-access

Garanta que as ações do IAM estejam restritas somente às ações necessárias. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres.
T0144 Gerencie contas, direitos de rede e acesso a sistemas e equipamentos.

restricted-ssh

Os grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2) podem ajudar a gerenciar o acesso à rede fornecendo uma filtragem monitorada do tráfego de entrada e saída da rede para os recursos. AWS Não permitir o tráfego de entrada (ou remoto) de 0.0.0.0/0 para a porta 22 nos recursos ajuda a restringir o acesso remoto.
T0144 Gerencie contas, direitos de rede e acesso a sistemas e equipamentos.

ec2- instances-in-vpc

Implante instâncias do Amazon Elastic Compute Cloud (Amazon EC2) em uma Amazon Virtual Private Cloud (Amazon VPC) para permitir a comunicação segura entre uma instância e outros serviços dentro da Amazon VPC, sem exigir um gateway de internet, dispositivo NAT ou conexão VPN. Todo o tráfego permanece seguro na nuvem. AWS Devido ao seu isolamento lógico, os domínios que residem no Amazon VPC contam com uma camada adicional de segurança se comparados aos domínios que utilizam endpoints públicos. Atribua EC2 instâncias da Amazon a uma Amazon VPC para gerenciar adequadamente o acesso.
T0144 Gerencie contas, direitos de rede e acesso a sistemas e equipamentos.

no-unrestricted-route-to-igw

Certifique-se de que as tabelas de EC2 rotas da Amazon não tenham rotas irrestritas para um gateway de internet. Remover ou limitar o acesso à Internet para cargas de trabalho na Amazon VPCs pode reduzir o acesso não intencional em seu ambiente.
T0144 Gerencie contas, direitos de rede e acesso a sistemas e equipamentos.

redshift-enhanced-vpc-routing-habilitado

O roteamento aprimorado da VPC força todo o tráfego de COPY e UNLOAD entre o cluster e os repositórios de dados a passar pelo Amazon VPC. Em seguida, você pode usar recursos da VPC, como grupos de segurança e listas de controle de acesso à rede, para proteger o tráfego da rede. Você também pode usar os logs de fluxo da VPC para monitorar o tráfego da rede.
T0144 Gerencie contas, direitos de rede e acesso a sistemas e equipamentos.

s3- account-level-public-access -blocos-periódicos

Gerencie o acesso aos recursos na AWS nuvem garantindo que os buckets do Amazon Simple Storage Service (Amazon S3) não possam ser acessados publicamente. Essa regra ajuda a manter os dados confidenciais protegidos de usuários remotos não autorizados, impedindo o acesso público. Essa regra permite que você defina opcionalmente ignorePublicAcls (Config Default: True), blockPublicPolicy (Config Default: True), blockPublicAcls (Config Default: True) e restrictPublicBuckets parâmetros (Config Default: True). Os valores reais devem refletir as políticas da organização.
T0144 Gerencie contas, direitos de rede e acesso a sistemas e equipamentos.

ssm-document-not-public

Certifique-se AWS de que os documentos do Systems Manager (SSM) não sejam públicos, pois isso pode permitir acesso não intencional aos seus documentos SSM. Um documento do SSM público pode expor informações sobre sua conta, recursos e processos internos.
T0144 Gerencie contas, direitos de rede e acesso a sistemas e equipamentos.

vpc-default-security-group-fechado

Os grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2) podem ajudar no gerenciamento do acesso à rede fornecendo uma filtragem monitorada do tráfego de entrada e saída da rede para os recursos. AWS Restringir todo o tráfego no grupo de segurança padrão ajuda a restringir o acesso remoto aos seus AWS recursos.
T0144 Gerencie contas, direitos de rede e acesso a sistemas e equipamentos.

vpc-sg-open-only-to-authorized-ports

Gerencie o acesso aos recursos na AWS nuvem garantindo que as portas comuns sejam restritas aos grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2). Não restringir o acesso às portas a fontes confiáveis pode permitir ataques contra a disponibilidade, a integridade e a confidencialidade dos sistemas. Ao restringir o acesso a recursos em um grupo de segurança da internet (0.0.0.0/0), o acesso remoto pode ser controlado para sistemas internos.
T0144 Gerencie contas, direitos de rede e acesso a sistemas e equipamentos.

access-keys-rotated

As credenciais são auditadas para dispositivos, usuários e processos autorizados garantindo que as chaves de acesso do IAM sejam alternadas como especificado pela política organizacional. Alterar as chaves de acesso regularmente é uma prática recomendada de segurança. Isso reduz o período em que uma chave de acesso permanece ativa e diminui o impacto nos negócios se as chaves forem comprometidas. Essa regra requer um valor de alternância da chave de acesso (padrão do Config: 90). O valor real deve refletir as políticas da organização.
T0144 Gerencie contas, direitos de rede e acesso a sistemas e equipamentos.

dms-replication-not-public

Gerencie o acesso à AWS nuvem garantindo que as instâncias de replicação do DMS não possam ser acessadas publicamente. As instâncias de replicação do DMS podem conter informações confidenciais, e o controle de acesso é necessário para essas contas.
T0144 Gerencie contas, direitos de rede e acesso a sistemas e equipamentos.

ebs-snapshot-public-restorable-verificar

Gerencie o acesso à AWS nuvem garantindo que os instantâneos do EBS não sejam restauráveis publicamente. Os instantâneos de volume do EBS podem conter informações confidenciais, e o controle de acesso é necessário para essas contas.
T0144 Gerencie contas, direitos de rede e acesso a sistemas e equipamentos.

ec2- instance-no-public-ip

Gerencie o acesso à AWS nuvem garantindo que as instâncias do Amazon Elastic Compute Cloud (Amazon EC2) não possam ser acessadas publicamente. EC2As instâncias da Amazon podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
T0144 Gerencie contas, direitos de rede e acesso a sistemas e equipamentos.

elasticsearch-in-vpc-only

Gerencie o acesso à AWS nuvem garantindo que os domínios do Amazon OpenSearch Service (OpenSearch Service) estejam dentro de uma Amazon Virtual Private Cloud (Amazon VPC). Um domínio OpenSearch de serviço em uma Amazon VPC permite a comunicação segura entre o OpenSearch serviço e outros serviços dentro da Amazon VPC sem a necessidade de um gateway de internet, dispositivo NAT ou conexão VPN.
T0144 Gerencie contas, direitos de rede e acesso a sistemas e equipamentos.

emr-kerberos-enabled

Ao habilitar o Kerberos para clusters do Amazon EMR, é possível gerenciar e incorporar as permissões e autorizações de acesso com os princípios de privilégio mínimo e separação de deveres. No Kerberos, os serviços e os usuários que precisam se autenticar são conhecidos como entidades principais. As entidades principais existem em um realm Kerberos. No realm, um servidor Kerberos é conhecido como o centro de distribuição de chaves (KDC). Ele fornece um meio para as entidades principais se autenticarem. A autenticação do KDC é feita com a emissão de tíquetes. O KDC mantém um banco de dados das entidades principais dentro do realm, as senhas e outras informações administrativas sobre cada entidade.
T0144 Gerencie contas, direitos de rede e acesso a sistemas e equipamentos.

emr-master-no-public-ip

Gerencie o acesso à AWS nuvem garantindo que os nós principais do cluster Amazon EMR não possam ser acessados publicamente. Os nós principais do cluster do Amazon EMR podem conter informações confidenciais, e o controle de acesso é necessário para essas contas.
T0144 Gerencie contas, direitos de rede e acesso a sistemas e equipamentos.

iam-customer-policy-blocked-kms-actions

AWS O Identity and Access Management (IAM) pode ajudá-lo a incorporar os princípios de privilégio mínimo e separação de tarefas com permissões e autorizações de acesso, impedindo que as políticas contenham ações bloqueadas em AWS todas as chaves do Key Management Service. Ter mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres. Essa regra permite que você defina o blockedActionsPatterns parâmetro. (Valor AWS básico das melhores práticas de segurança: kms: Decrypt,). kms: ReEncryptFrom Os valores reais devem refletir as políticas da organização.
T0144 Gerencie contas, direitos de rede e acesso a sistemas e equipamentos.

iam-group-has-users-verificar

AWS O Identity and Access Management (IAM) pode ajudá-lo a incorporar os princípios de privilégio mínimo e separação de deveres com permissões e autorizações de acesso, garantindo que os grupos do IAM tenham pelo menos um usuário. Colocar usuários em grupos com base nas permissões associadas ou na função de trabalho é uma forma de incorporar o privilégio mínimo.
T0144 Gerencie contas, direitos de rede e acesso a sistemas e equipamentos.

iam-inline-policy-blocked-kms-actions

Certifique-se de que um usuário, uma função do IAM ou um grupo do IAM do AWS Identity and Access Management (IAM) não tenha uma política embutida para permitir ações bloqueadas em AWS todas as chaves do Key Management Service. AWS recomenda usar políticas gerenciadas em vez de políticas embutidas. As políticas gerenciadas permitem a reutilização, o versionamento, a reversão e a delegação do gerenciamento de permissões. Essa regra permite que você defina o blockedActionsPatterns parâmetro. (Valor AWS básico das melhores práticas de segurança: kms: Decrypt,). kms: ReEncryptFrom Os valores reais devem refletir as políticas da organização.
T0144 Gerencie contas, direitos de rede e acesso a sistemas e equipamentos.

iam-policy-no-statements-with-admin-access

AWS O Identity and Access Management (IAM) pode ajudá-lo a incorporar os princípios de privilégio mínimo e separação de deveres com permissões e autorizações de acesso, impedindo que as políticas contenham “Efeito”: “Permitir” com “Ação”: “*” sobre “Recurso”: “*”. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres.
T0144 Gerencie contas, direitos de rede e acesso a sistemas e equipamentos.

iam-root-access-key-verificar

O acesso a sistemas e ativos pode ser controlado verificando se o usuário raiz não tem chaves de acesso anexadas à sua função de AWS Identity and Access Management (IAM). Exclua as chaves de acesso raiz. Em vez disso, crie e use com base em funções Contas da AWS para ajudar a incorporar o princípio da menor funcionalidade.
T0144 Gerencie contas, direitos de rede e acesso a sistemas e equipamentos.

iam-user-group-membership-verificar

AWS O Identity and Access Management (IAM) pode ajudá-lo a restringir permissões e autorizações de acesso, garantindo que os usuários sejam membros de pelo menos um grupo. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres.
T0144 Gerencie contas, direitos de rede e acesso a sistemas e equipamentos.

iam-user-mfa-enabled

Habilite essa regra para restringir o acesso a recursos na Nuvem AWS . Essa regra garante que a autenticação multifator (MFA) esteja habilitada para todos os usuários. A MFA adiciona uma camada extra de proteção, além do nome de usuário e senha. Reduza os incidentes de contas comprometidas exigindo que os usuários utilizem a MFA.
T0144 Gerencie contas, direitos de rede e acesso a sistemas e equipamentos.

iam-user-no-policies-verificar

Essa regra garante que as políticas de AWS Identity and Access Management (IAM) sejam anexadas somente a grupos ou funções para controlar o acesso a sistemas e ativos. A atribuição de privilégios por grupo ou perfil ajuda a reduzir a oportunidade de uma identidade receber ou reter privilégios excessivos.
T0144 Gerencie contas, direitos de rede e acesso a sistemas e equipamentos.

iam-user-unused-credentials-verificar

AWS O Identity and Access Management (IAM) pode ajudá-lo com permissões e autorizações de acesso verificando senhas e chaves de acesso do IAM que não são usadas por um período de tempo especificado. Se essas credenciais não utilizadas forem identificadas, você deverá desabilitar e/ou removê-las, pois isso pode violar o princípio de privilégio mínimo. Essa regra exige que você defina um valor como maxCredentialUsage Idade (Config Default: 90). O valor real deve refletir as políticas da organização.
T0144 Gerencie contas, direitos de rede e acesso a sistemas e equipamentos.

lambda-function-public-access-proibido

Gerencie o acesso aos recursos na AWS nuvem garantindo que as funções do AWS Lambda não possam ser acessadas publicamente. O acesso público pode causar degradação da disponibilidade de recursos.
T0144 Gerencie contas, direitos de rede e acesso a sistemas e equipamentos.

lambda-inside-vpc

Implante funções AWS Lambda em uma Amazon Virtual Private Cloud (Amazon VPC) para uma comunicação segura entre uma função e outros serviços dentro da Amazon VPC. Com essa configuração, não há necessidade de um gateway da Internet, dispositivo NAT ou conexão VPN. Todo o tráfego permanece seguro na nuvem. AWS Devido ao seu isolamento lógico, os domínios que residem no Amazon VPC contam com uma camada adicional de segurança se comparados aos domínios que utilizam endpoints públicos. Para gerenciar adequadamente o acesso, as funções do AWS Lambda devem ser atribuídas a uma VPC.
T0144 Gerencie contas, direitos de rede e acesso a sistemas e equipamentos.

opensearch-in-vpc-only

Gerencie o acesso à AWS nuvem garantindo que os domínios do Amazon Elasticsearch Service (Amazon ES) estejam dentro de uma Amazon Virtual Private Cloud (Amazon VPC). Colocar um domínio do Amazon ES no Amazon VPC permite uma comunicação segura entre o Amazon ES e os outros serviços no Amazon VPC, sem que seja necessário usar um gateway da Internet, um dispositivo NAT ou uma conexão VPN.
T0144 Gerencie contas, direitos de rede e acesso a sistemas e equipamentos.

rds-instance-public-access-verificar

Gerencie o acesso aos recursos na AWS nuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações confidenciais e princípios, e o controle de acesso é necessário para essas contas.
T0144 Gerencie contas, direitos de rede e acesso a sistemas e equipamentos.

rds-snapshots-public-prohibited

Gerencie o acesso aos recursos na AWS nuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações confidenciais e princípios, e o controle de acesso é necessário para essas contas.
T0144 Gerencie contas, direitos de rede e acesso a sistemas e equipamentos.

redshift-cluster-public-access-verificar

Gerencie o acesso aos recursos na AWS nuvem garantindo que os clusters do Amazon Redshift não sejam públicos. Os clusters do Amazon Redshift podem conter informações confidenciais e princípios, e o controle de acesso é necessário para essas contas.
T0144 Gerencie contas, direitos de rede e acesso a sistemas e equipamentos.

restricted-common-ports

Gerencie o acesso aos recursos na AWS nuvem garantindo que as portas comuns sejam restritas nos grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2). Não restringir o acesso às portas a fontes confiáveis pode permitir ataques contra a disponibilidade, a integridade e a confidencialidade dos sistemas. Essa regra permite que você defina opcionalmente os parâmetros blockedPort1-blockedPort5 (Padrões de configuração: 20.21.3389.3306.4333). Os valores reais devem refletir as políticas da organização.
T0144 Gerencie contas, direitos de rede e acesso a sistemas e equipamentos.

s3- bucket-public-read-prohibited

Gerencie o acesso aos recursos na AWS nuvem permitindo que somente usuários, processos e dispositivos autorizados acessem os buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados.
T0144 Gerencie contas, direitos de rede e acesso a sistemas e equipamentos.

s3- bucket-public-write-prohibited

Gerencie o acesso aos recursos na AWS nuvem permitindo que somente usuários, processos e dispositivos autorizados acessem os buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados.
T0144 Gerencie contas, direitos de rede e acesso a sistemas e equipamentos.

sagemaker-notebook-no-direct-acesso à internet

Gerencie o acesso aos recursos na AWS nuvem garantindo que os SageMaker notebooks da Amazon não permitam acesso direto à Internet. Ao impedir o acesso direto à internet, você impede que dados confidenciais sejam acessados por usuários não autorizados.
T0144 Gerencie contas, direitos de rede e acesso a sistemas e equipamentos.

secretsmanager-rotation-enabled-check

Essa regra garante que AWS os segredos do Secrets Manager tenham a rotação ativada. A alternância de segredos em uma programação regular pode reduzir o período em que um segredo fica ativo, além de diminuir o impacto nos negócios, se o segredo for comprometido.
T0144 Gerencie contas, direitos de rede e acesso a sistemas e equipamentos.

subnet-auto-assign-public-ip desativado

Gerencie o acesso à AWS nuvem garantindo que as sub-redes da Amazon Virtual Private Cloud (VPC) não recebam automaticamente um endereço IP público. As instâncias do Amazon Elastic Compute Cloud (EC2) que são lançadas em sub-redes com esse atributo ativado têm um endereço IP público atribuído à sua interface de rede primária.
T0151 Monitore e avalie a eficácia das proteções de segurança cibernética da empresa para garantir que elas forneçam o nível de proteção pretendido.

securityhub-enabled

AWS O Security Hub ajuda a monitorar pessoas, conexões, dispositivos e software não autorizados. AWS O Security Hub agrega, organiza e prioriza os alertas ou descobertas de segurança de vários serviços. AWS Alguns desses serviços são o Amazon Security Hub, o Amazon Inspector, o Amazon Macie AWS , o Identity and Access Management (IAM) Access Analyzer e o Firewall AWS Manager, além de soluções de parceiros. AWS
T0151 Monitore e avalie a eficácia das proteções de segurança cibernética da empresa para garantir que elas forneçam o nível de proteção pretendido.

cloudwatch-alarm-action-check

CloudWatch Os alarmes da Amazon alertam quando uma métrica ultrapassa o limite de um número específico de períodos de avaliação. O alarme executa uma ou mais ações com base no valor da métrica ou na expressão em relação a um limite em alguns períodos. Essa regra exige um valor para alarmActionRequired (Config Default: True), insufficientDataAction Obrigatório (Config Default: True), ( okActionRequired Config Default: False). O valor real deve refletir as ações de alarme do ambiente.
T0151 Monitore e avalie a eficácia das proteções de segurança cibernética da empresa para garantir que elas forneçam o nível de proteção pretendido.

guardduty-enabled-centralized

A Amazon GuardDuty pode ajudar a monitorar e detectar possíveis eventos de cibersegurança usando feeds de inteligência de ameaças. Isso inclui listas de aprendizado de máquina IPs e malicioso para identificar atividades inesperadas, não autorizadas e maliciosas em seu ambiente de AWS nuvem.
T0152 Monitore e mantenha bancos de dados para garantir o desempenho ideal.

db-instance-backup-enabled

O recurso de backup do Amazon RDS cria backups dos bancos de dados e logs de transações. O Amazon RDS cria automaticamente um instantâneo do volume de armazenamento da instância de banco de dados, fazendo backup de toda a instância de banco de dados. O sistema permite que você defina períodos de retenção específicos para atender aos requisitos de resiliência.
T0152 Monitore e mantenha bancos de dados para garantir o desempenho ideal.

dynamodb-autoscaling-enabled

O Amazon DynamoDB auto scaling usa o serviço Application AWS Auto Scaling para ajustar a capacidade de transferência provisionada que responde automaticamente aos padrões reais de tráfego. Isso permite que uma tabela ou um índice secundário global aumente a capacidade provisionada de leitura e gravação para processar aumentos repentinos no tráfego, sem controle de utilização.
T0152 Monitore e mantenha bancos de dados para garantir o desempenho ideal.

dynamodb-in-backup-plan

Para ajudar nos processos de backup de dados, garanta que suas tabelas do Amazon DynamoDB façam parte de um plano de AWS backup. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups.
T0152 Monitore e mantenha bancos de dados para garantir o desempenho ideal.

dynamodb-pitr-enabled

Habilite essa regra para verificar se o backup das informações foi realizado. Ele também mantém os backups, garantindo que a point-in-time recuperação seja habilitada no Amazon DynamoDB. A recuperação mantém backups contínuos da tabela nos últimos 35 dias.
T0152 Monitore e mantenha bancos de dados para garantir o desempenho ideal.

dynamodb-throughput-limit-check

Habilite essa regra para garantir que a capacidade de throughput provisionada seja verificada em suas tabelas do Amazon DynamoDB. Essa é a quantidade de atividades de leitura e gravação que cada tabela pode comportar. O DynamoDB usa essas informações para reservar recursos suficientes do sistema para atender aos seus requisitos de throughput. Essa regra gera um alerta quando o throughput se aproxima do limite máximo da conta de um cliente. Essa regra permite que você defina opcionalmente os parâmetros RCUThreshold Porcentagem da conta (Configuração Padrão: 80) e Porcentagem WCUThreshold da conta (Padrão de Configuração: 80). Os valores reais devem refletir as políticas da organização.
T0152 Monitore e mantenha bancos de dados para garantir o desempenho ideal.

rds-automatic-minor-version-habilitado para atualização

Habilite atualizações automáticas de versões secundárias nas instâncias do Amazon Relational Database Service (RDS) para garantir que as últimas atualizações de versões secundárias do sistema de gerenciamento de banco de dados relacional (RDBMS) estejam instaladas, o que pode incluir patches de segurança e correções de bugs.
T0152 Monitore e mantenha bancos de dados para garantir o desempenho ideal.

rds-enhanced-monitoring-enabled

Habilite o Amazon Relational Database Service (Amazon RDS) para ajudar a monitorar a disponibilidade do Amazon RDS. Isso fornece visibilidade detalhada da integridade das instâncias de banco de dados do Amazon RDS. Quando o armazenamento do Amazon RDS está usando mais de um dispositivo físico subjacente, o monitoramento avançado coleta os dados de cada dispositivo. Além disso, quando a instância do banco de dados do Amazon RDS está sendo executada em uma implantação multi-AZ, os dados de cada dispositivo no host secundário são coletados, bem como as respectivas das métricas.
T0152 Monitore e mantenha bancos de dados para garantir o desempenho ideal.

rds-instance-deletion-protection-habilitado

Habilite a proteção contra exclusão das instâncias do Amazon Relational Database Service (Amazon RDS). Use a proteção contra exclusão para evitar que as instâncias do Amazon RDS sejam excluídas de forma acidental ou mal-intencionada, o que pode levar à perda de disponibilidade das aplicações.
T0152 Monitore e mantenha bancos de dados para garantir o desempenho ideal.

rds-instance-public-access-verificar

Gerencie o acesso aos recursos na AWS nuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações confidenciais e princípios, e o controle de acesso é necessário para essas contas.
T0152 Monitore e mantenha bancos de dados para garantir o desempenho ideal.

rds-in-backup-plan

Para ajudar nos processos de backup de dados, garanta que suas instâncias do Amazon Relational Database Service (Amazon RDS) façam parte de um AWS plano de backup. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups.
T0152 Monitore e mantenha bancos de dados para garantir o desempenho ideal.

rds-logging-enabled

Para ajudar no registro em log e no monitoramento em seu ambiente, habilite o registro em log do Amazon Relational Database Service (Amazon RDS). Com o registro em log do Amazon RDS, você pode capturar eventos como conexões, desconexões, consultas ou tabelas consultadas.
T0152 Monitore e mantenha bancos de dados para garantir o desempenho ideal.

rds-multi-az-support

O suporte multi-AZ no Amazon Relational Database Service (Amazon RDS) oferece maior disponibilidade e durabilidade para instâncias de banco de dados. Ao provisionar uma instância de banco de dados multi-AZ, o Amazon RDS cria automaticamente uma instância de banco de dados primária e replica de forma síncrona os dados em uma instância em modo de espera em outra zona de disponibilidade. Cada zona de disponibilidade funciona em sua própria infraestrutura independente e fisicamente distinta, além de ser projetada para ser altamente confiável. No caso de falha na infraestrutura, o Amazon RDS executa um failover automático no modo de espera para que você possa retomar as operações do banco de dados assim que o failover for concluído.
T0152 Monitore e mantenha bancos de dados para garantir o desempenho ideal.

rds-snapshots-public-prohibited

Gerencie o acesso aos recursos na AWS nuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações confidenciais e princípios, e o controle de acesso é necessário para essas contas.
T0152 Monitore e mantenha bancos de dados para garantir o desempenho ideal.

rds-snapshot-encrypted

Habilite a criptografia para os instantâneos do Amazon Relational Database Service (Amazon RDS). Como pode haver dados confidenciais em repouso, habilite a criptografia em repouso para ajudar a protegê-los.
T0152 Monitore e mantenha bancos de dados para garantir o desempenho ideal.

rds-storage-encrypted

Para ajudar a proteger os dados em repouso, habilite a criptografia para as instâncias do Amazon Relational Database Service (Amazon RDS). Como pode haver dados confidenciais em repouso nas instâncias do Amazon RDS, habilite a criptografia em repouso para ajudar a protegê-los.
T0152 Monitore e mantenha bancos de dados para garantir o desempenho ideal.

redshift-backup-enabled

Para ajudar nos processos de backup de dados, os clusters do Amazon Redshift devem ter instantâneos automatizados. Quando instantâneos automatizados são habilitados para um cluster, o Redshift tira instantâneos desse cluster periodicamente. Por padrão, o Redshift tira um instantâneo a cada oito horas ou a cada 5 GB por nó de alterações de dados, o que ocorrer primeiro.
T0152 Monitore e mantenha bancos de dados para garantir o desempenho ideal.

redshift-cluster-configuration-check

Para proteger os dados em repouso, habilite a criptografia para os clusters do Amazon Redshift. Implante também as configurações necessárias nos clusters do Amazon Redshift. O registro em log de auditoria deve ser habilitado para fornecer informações sobre conexões e atividades do usuário no banco de dados. Essa regra exige que um valor seja definido para clusterDbEncrypted (Config Default: TRUE) e LoggingEnabled (Config Default: TRUE). Os valores reais devem refletir as políticas da organização.
T0152 Monitore e mantenha bancos de dados para garantir o desempenho ideal.

redshift-cluster-maintenancesettings-check

Essa regra garante que os clusters do Amazon Redshift tenham as configurações preferidas da organização. Especificamente, que eles tenham janelas de manutenção preferenciais e períodos automatizados de retenção de instantâneos para o banco de dados. Essa regra exige que você defina allowVersionUpgrade o. O padrão é true. Também permite definir opcionalmente o preferredMaintenanceWindow (o padrão é sat: 16:00 -sat: 16:30) e o automatedSnapshotRetention Período (o padrão é 1). Os valores reais devem refletir as políticas da organização.
T0152 Monitore e mantenha bancos de dados para garantir o desempenho ideal.

redshift-cluster-public-access-verificar

Gerencie o acesso aos recursos na AWS nuvem garantindo que os clusters do Amazon Redshift não sejam públicos. Os clusters do Amazon Redshift podem conter informações confidenciais e princípios, e o controle de acesso é necessário para essas contas.
T0152 Monitore e mantenha bancos de dados para garantir o desempenho ideal.

redshift-enhanced-vpc-routing-habilitado

O roteamento aprimorado da VPC força todo o tráfego de COPY e UNLOAD entre o cluster e os repositórios de dados a passar pelo Amazon VPC. Em seguida, você pode usar recursos da VPC, como grupos de segurança e listas de controle de acesso à rede, para proteger o tráfego da rede. Você também pode usar os logs de fluxo da VPC para monitorar o tráfego da rede.
T0152 Monitore e mantenha bancos de dados para garantir o desempenho ideal.

redshift-require-tls-ssl

Os clusters do Amazon Redshift devem exigir criptografia TLS/SSL para se conectar aos clientes SQL. Como pode haver dados confidenciais, habilite a criptografia em trânsito para ajudar a protegê-los.
T0152 Monitore e mantenha bancos de dados para garantir o desempenho ideal.

redshift-cluster-kms-enabled

Para ajudar a proteger dados em repouso, garanta que a criptografia com o AWS Key Management Service (AWS KMS) esteja habilitada para seu cluster do Amazon Redshift. Como pode haver dados confidenciais em repouso nos clusters do Redshift, habilite a criptografia em repouso para ajudar a protegê-los.
T0153 Monitore a capacidade e o desempenho da rede.

autoscaling-group-elb-healthcheck-obrigatório

As verificações de saúde do Elastic Load Balancer (ELB) para grupos de Auto EC2 Scaling do Amazon Elastic Compute Cloud (Amazon) apoiam a manutenção de capacidade e disponibilidade adequadas. O balanceador de carga envia periodicamente pings, tenta conexões ou envia solicitações para testar a integridade das EC2 instâncias da Amazon em um grupo de auto-scaling. Se uma instância não estiver reportando, o tráfego será enviado para uma nova EC2 instância da Amazon.
T0153 Monitore a capacidade e o desempenho da rede.

dynamodb-throughput-limit-check

Habilite essa regra para garantir que a capacidade de throughput provisionada seja verificada em suas tabelas do Amazon DynamoDB. Essa é a quantidade de atividades de leitura e gravação que cada tabela pode comportar. O DynamoDB usa essas informações para reservar recursos suficientes do sistema para atender aos seus requisitos de throughput. Essa regra gera um alerta quando o throughput se aproxima do limite máximo da conta de um cliente. Essa regra permite que você defina opcionalmente os parâmetros RCUThreshold Porcentagem da conta (Configuração Padrão: 80) e Porcentagem WCUThreshold da conta (Padrão de Configuração: 80). Os valores reais devem refletir as políticas da organização.
T0153 Monitore a capacidade e o desempenho da rede.

vpc-flow-logs-enabled

Os logs de fluxo da VPC fornecem registros detalhados de informações sobre o tráfego de IP de entrada e saída das interfaces de rede no Amazon Virtual Private Cloud (Amazon VPC). Por padrão, o registro de log de fluxo inclui valores para os diferentes componentes do fluxo de IP, incluindo a origem, o destino e o protocolo.
T0153 Monitore a capacidade e o desempenho da rede.

vpc-vpn-2-tunnels-up

Túneis Site-to-Site VPN redundantes podem ser implementados para atingir os requisitos de resiliência. Ele usa dois túneis para ajudar a garantir a conectividade caso uma das conexões Site-to-Site VPN fique indisponível. Para se proteger contra a perda de conectividade, caso o gateway do cliente fique indisponível, você pode configurar uma segunda conexão Site-to-Site VPN com a Amazon Virtual Private Cloud (Amazon VPC) e o gateway privado virtual usando um segundo gateway do cliente.
T0154 Monitore e relate o uso de ativos e recursos de gerenciamento de conhecimento.

cw-loggroup-retention-period-verificar

Uma duração mínima dos dados de log de eventos deve ser retida para os grupos de logs a fim de ajudar na solução de problemas e nas investigações forenses. A falta de dados de log de eventos anteriores disponíveis dificulta a reconstrução e a identificação de eventos possivelmente mal-intencionados.
T0154 Monitore e relate o uso de ativos e recursos de gerenciamento de conhecimento.

elasticsearch-logs-to-cloudwatch

Certifique-se de que os domínios do Amazon OpenSearch Service tenham registros de erros habilitados e transmitidos para o Amazon CloudWatch Logs para retenção e resposta. Os logs de erros do domínio podem auxiliar nas auditorias de segurança e acesso, além de ajudar a diagnosticar problemas de disponibilidade.
T0154 Monitore e relate o uso de ativos e recursos de gerenciamento de conhecimento.

lambda-concurrency-check

Essa regra garante que os limites altos e baixos de simultaneidade de uma função do Lambda sejam estabelecidos. Isso pode ajudar a definir o número de solicitações que a função atende em determinado momento.
T0154 Monitore e relate o uso de ativos e recursos de gerenciamento de conhecimento.

lambda-dlq-check

Habilite essa regra para ajudar a notificar a equipe adequada por meio do Amazon Simple Queue Service (Amazon SQS) ou do Amazon Simple Notification Service (Amazon SNS) quando uma função falhar.
T0154 Monitore e relate o uso de ativos e recursos de gerenciamento de conhecimento.

multi-region-cloudtrail-enabled

AWS CloudTrail registra as ações do AWS Management Console e as chamadas de API. Você pode identificar quais usuários e contas ligaram AWS, o endereço IP de origem de onde as chamadas foram feitas e quando elas ocorreram. CloudTrail entregará arquivos de log de todas as AWS regiões para seu bucket do S3 se MULTI_REGION_CLOUD_TRAIL_ENABLED estiver habilitado. Além disso, ao AWS lançar uma nova região, CloudTrail criará a mesma trilha na nova região. Como resultado, você receberá arquivos de log contendo a atividade da API para a nova região sem realizar nenhuma ação.
T0154 Monitore e relate o uso de ativos e recursos de gerenciamento de conhecimento.

rds-enhanced-monitoring-enabled

Habilite o Amazon Relational Database Service (Amazon RDS) para ajudar a monitorar a disponibilidade do Amazon RDS. Isso fornece visibilidade detalhada da integridade das instâncias de banco de dados do Amazon RDS. Quando o armazenamento do Amazon RDS está usando mais de um dispositivo físico subjacente, o monitoramento avançado coleta os dados de cada dispositivo. Além disso, quando a instância do banco de dados do Amazon RDS está sendo executada em uma implantação multi-AZ, os dados de cada dispositivo no host secundário são coletados, bem como as respectivas das métricas.
T0154 Monitore e relate o uso de ativos e recursos de gerenciamento de conhecimento.

rds-logging-enabled

Para ajudar no registro em log e no monitoramento em seu ambiente, habilite o registro em log do Amazon Relational Database Service (Amazon RDS). Com o registro em log do Amazon RDS, você pode capturar eventos como conexões, desconexões, consultas ou tabelas consultadas.
T0154 Monitore e relate o uso de ativos e recursos de gerenciamento de conhecimento.

securityhub-enabled

AWS O Security Hub ajuda a monitorar pessoas, conexões, dispositivos e software não autorizados. AWS O Security Hub agrega, organiza e prioriza os alertas ou descobertas de segurança de vários serviços. AWS Alguns desses serviços são o Amazon Security Hub, o Amazon Inspector, o Amazon Macie AWS , o Identity and Access Management (IAM) Access Analyzer e o Firewall AWS Manager, além de soluções de parceiros. AWS
T0154 Monitore e relate o uso de ativos e recursos de gerenciamento de conhecimento.

wafv2-logging-enabled

Para ajudar com o registro e o monitoramento em seu ambiente, habilite o registro em AWS WAF (V2) na web regional e global. ACLs AWS O registro do WAF fornece informações detalhadas sobre o tráfego que é analisado pela sua ACL da web. Os registros registram a hora em que o AWS WAF recebeu a solicitação do seu AWS recurso, informações sobre a solicitação e uma ação para a regra à qual cada solicitação correspondeu.
T0154 Monitore e relate o uso de ativos e recursos de gerenciamento de conhecimento.

api-gw-execution-logging-habilitado

O registro em log do API Gateway exibe visualizações detalhadas dos usuários que acessaram a API e a forma como eles a acessaram. Esse insight mostra as atividades do usuário.
T0154 Monitore e relate o uso de ativos e recursos de gerenciamento de conhecimento.

autoscaling-group-elb-healthcheck-obrigatório

As verificações de saúde do Elastic Load Balancer (ELB) para grupos de Auto EC2 Scaling do Amazon Elastic Compute Cloud (Amazon) apoiam a manutenção de capacidade e disponibilidade adequadas. O balanceador de carga envia periodicamente pings, tenta conexões ou envia solicitações para testar a integridade das EC2 instâncias da Amazon em um grupo de auto-scaling. Se uma instância não estiver reportando, o tráfego será enviado para uma nova EC2 instância da Amazon.
T0154 Monitore e relate o uso de ativos e recursos de gerenciamento de conhecimento.

beanstalk-enhanced-health-reporting-habilitado

AWS Os relatórios de saúde aprimorados do Elastic Beanstalk permitem uma resposta mais rápida às mudanças na integridade da infraestrutura subjacente. Essas alterações podem resultar na falta de disponibilidade do aplicativo. Os relatórios de integridade aprimorados do Elastic Beanstalk fornecem um descritor de status para avaliar a gravidade dos problemas identificados e descobrir possíveis causas a serem investigadas.
T0154 Monitore e relate o uso de ativos e recursos de gerenciamento de conhecimento.

cloud-trail-cloud-watch-logs-habilitado

Use CloudWatch a Amazon para coletar e gerenciar centralmente a atividade de eventos de log. A inclusão de AWS CloudTrail dados fornece detalhes da atividade de chamadas de API em seu Conta da AWS.
T0154 Monitore e relate o uso de ativos e recursos de gerenciamento de conhecimento.

cloudtrail-enabled

AWS CloudTrail pode ajudar na não repúdio gravando ações do AWS Management Console e chamadas de API. Você pode identificar os usuários e os Contas da AWS que chamaram um AWS serviço, o endereço IP de origem onde as chamadas foram geradas e os horários das chamadas. Os detalhes dos dados capturados são vistos no Conteúdo do AWS CloudTrail Registro.
T0154 Monitore e relate o uso de ativos e recursos de gerenciamento de conhecimento.

cloudtrail-s3-dataevents-enabled

A coleta de eventos de dados do Simple Storage Service (Amazon S3) ajuda a detectar qualquer atividade anômala. Os detalhes incluem informações da conta da AWS que acessou um bucket do Amazon S3, o endereço IP e o horário do evento.
T0154 Monitore e relate o uso de ativos e recursos de gerenciamento de conhecimento.

cloudwatch-alarm-action-check

CloudWatch Os alarmes da Amazon alertam quando uma métrica ultrapassa o limite de um número específico de períodos de avaliação. O alarme executa uma ou mais ações com base no valor da métrica ou na expressão em relação a um limite em alguns períodos. Essa regra exige um valor para alarmActionRequired (Config Default: True), insufficientDataAction Obrigatório (Config Default: True), ( okActionRequired Config Default: False). O valor real deve refletir as ações de alarme do ambiente.
T0154 Monitore e relate o uso de ativos e recursos de gerenciamento de conhecimento.

dynamodb-throughput-limit-check

Habilite essa regra para garantir que a capacidade de throughput provisionada seja verificada em suas tabelas do Amazon DynamoDB. Essa é a quantidade de atividades de leitura e gravação que cada tabela pode comportar. O DynamoDB usa essas informações para reservar recursos suficientes do sistema para atender aos seus requisitos de throughput. Essa regra gera um alerta quando o throughput se aproxima do limite máximo da conta de um cliente. Essa regra permite que você defina opcionalmente os parâmetros RCUThreshold Porcentagem da conta (Configuração Padrão: 80) e Porcentagem WCUThreshold da conta (Padrão de Configuração: 80). Os valores reais devem refletir as políticas da organização.
T0154 Monitore e relate o uso de ativos e recursos de gerenciamento de conhecimento.

ec2- instance-detailed-monitoring-enabled

Ative essa regra para ajudar a melhorar o monitoramento de instâncias do Amazon Elastic Compute Cloud (Amazon EC2) no EC2 console da Amazon, que exibe gráficos de monitoramento com um período de 1 minuto para a instância.
T0154 Monitore e relate o uso de ativos e recursos de gerenciamento de conhecimento.

elb-logging-enabled

A atividade do Elastic Load Balancing é um ponto central de comunicação em um ambiente. Habilite o registro em log do ELB. Os dados coletados fornecem informações detalhadas sobre as solicitações enviadas ao ELB. Cada log contém informações como a hora em que a solicitação foi recebida, o endereço IP do cliente, latências, caminhos de solicitação e respostas do servidor.
T0154 Monitore e relate o uso de ativos e recursos de gerenciamento de conhecimento.

guardduty-enabled-centralized

A Amazon GuardDuty pode ajudar a monitorar e detectar possíveis eventos de cibersegurança usando feeds de inteligência de ameaças. Isso inclui listas de aprendizado de máquina IPs e malicioso para identificar atividades inesperadas, não autorizadas e maliciosas em seu ambiente de AWS nuvem.
T0154 Monitore e relate o uso de ativos e recursos de gerenciamento de conhecimento.

redshift-cluster-configuration-check

Para proteger os dados em repouso, habilite a criptografia para os clusters do Amazon Redshift. Implante também as configurações necessárias nos clusters do Amazon Redshift. O registro em log de auditoria deve ser habilitado para fornecer informações sobre conexões e atividades do usuário no banco de dados. Essa regra exige que um valor seja definido para clusterDbEncrypted (Config Default: TRUE) e LoggingEnabled (Config Default: TRUE). Os valores reais devem refletir as políticas da organização.
T0154 Monitore e relate o uso de ativos e recursos de gerenciamento de conhecimento.

s3- bucket-logging-enabled

O registro em log de acesso ao servidor do Amazon Simple Storage Service (Amazon S3) fornece um método para monitorar a rede em busca de possíveis eventos de segurança cibernética. Os eventos são monitorados pela captura de registros detalhados das solicitações que são feitas a um bucket do Amazon S3. Cada registro de log de acesso fornece detalhes sobre uma única solicitação de acesso. Os detalhes incluem solicitante, nome do bucket, horário da solicitação, ação da solicitação, status da resposta e um código de erro, se relevante.
T0154 Monitore e relate o uso de ativos e recursos de gerenciamento de conhecimento.

vpc-flow-logs-enabled

Os logs de fluxo da VPC fornecem registros detalhados de informações sobre o tráfego de IP de entrada e saída das interfaces de rede no Amazon Virtual Private Cloud (Amazon VPC). Por padrão, o registro de log de fluxo inclui valores para os diferentes componentes do fluxo de IP, incluindo a origem, o destino e o protocolo.
T0156 Supervisione e faça recomendações sobre o gerenciamento de configurações.

account-part-of-organizations

O gerenciamento centralizado de Contas da AWS dentro das AWS Organizations ajuda a garantir que as contas estejam em conformidade. Usar uma governança não centralizada na conta pode gerar inconsistências nas configurações da conta, o que pode expor recursos e dados confidenciais.
T0156 Supervisione e faça recomendações sobre o gerenciamento de configurações.

ec2- -manager instance-managed-by-systems

É possível fazer um inventário das plataformas de software e aplicativos dentro da organização gerenciando instâncias do Amazon Elastic Compute Cloud (Amazon EC2) com o AWS Systems Manager. Use o AWS Systems Manager para fornecer configurações detalhadas do sistema, níveis de patch do sistema operacional, nome e tipo de serviços, instalações de software, nome do aplicativo, editor e versão, além de outros detalhes sobre seu ambiente.
T0156 Supervisione e faça recomendações sobre o gerenciamento de configurações.

ec2- -check managedinstance-association-compliance-status

Use o AWS Systems Manager Associations para ajudar no inventário de plataformas e aplicativos de software em uma organização. AWS Systems Manager atribui um estado de configuração às instâncias gerenciadas e permite que você defina linhas de base de níveis de patch do sistema operacional, instalações de software, configurações de aplicações e outros detalhes sobre o ambiente.
T0156 Supervisione e faça recomendações sobre o gerenciamento de configurações.

ec2- -check managedinstance-patch-compliance-status

Ative essa regra para ajudar na identificação e documentação das vulnerabilidades do Amazon Elastic Compute Cloud (Amazon EC2). A regra verifica se a conformidade de patches de EC2 instâncias da Amazon no AWS Systems Manager conforme exigido pelas políticas e procedimentos da sua organização.
T0156 Supervisione e faça recomendações sobre o gerenciamento de configurações.

redshift-cluster-maintenancesettings-check

Essa regra garante que os clusters do Amazon Redshift tenham as configurações preferidas da organização. Especificamente, que eles tenham janelas de manutenção preferenciais e períodos automatizados de retenção de instantâneos para o banco de dados. Essa regra exige que você defina allowVersionUpgrade o. O padrão é true. Também permite definir opcionalmente o preferredMaintenanceWindow (o padrão é sat: 16:00 -sat: 16:30) e o automatedSnapshotRetention Período (o padrão é 1). Os valores reais devem refletir as políticas da organização.
T0156 Supervisione e faça recomendações sobre o gerenciamento de configurações.

elastic-beanstalk-managed-updates-habilitado

Habilitar atualizações gerenciadas da plataforma para um ambiente do Amazon Elastic Beanstalk garante que as últimas correções, atualizações e recursos de plataforma disponíveis para o ambiente sejam instalados. Uma das práticas recomendadas para proteger sistemas é manter a instalação de patches em dia.
T0156 Supervisione e faça recomendações sobre o gerenciamento de configurações.

restricted-common-ports

Gerencie o acesso aos recursos na AWS nuvem garantindo que as portas comuns sejam restritas nos grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2). Não restringir o acesso às portas a fontes confiáveis pode permitir ataques contra a disponibilidade, a integridade e a confidencialidade dos sistemas. Essa regra permite que você defina opcionalmente os parâmetros blockedPort1-blockedPort5 (Padrões de configuração: 20.21.3389.3306.4333). Os valores reais devem refletir as políticas da organização.
T0156 Supervisione e faça recomendações sobre o gerenciamento de configurações.

vpc-default-security-group-fechado

Os grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2) podem ajudar no gerenciamento do acesso à rede fornecendo uma filtragem monitorada do tráfego de entrada e saída da rede para os recursos. AWS Restringir todo o tráfego no grupo de segurança padrão ajuda a restringir o acesso remoto aos seus AWS recursos.
T0156 Supervisione e faça recomendações sobre o gerenciamento de configurações.

vpc-sg-open-only-to-authorized-ports

Gerencie o acesso aos recursos na AWS nuvem garantindo que as portas comuns sejam restritas aos grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2). Não restringir o acesso às portas a fontes confiáveis pode permitir ataques contra a disponibilidade, a integridade e a confidencialidade dos sistemas. Ao restringir o acesso a recursos em um grupo de segurança da internet (0.0.0.0/0), o acesso remoto pode ser controlado para sistemas internos.
T0160 Aplique patches nas vulnerabilidades da rede para garantir que as informações sejam protegidas contra terceiros.

rds-automatic-minor-version-habilitado para atualização

Habilite atualizações automáticas de versões secundárias nas instâncias do Amazon Relational Database Service (RDS) para garantir que as últimas atualizações de versões secundárias do sistema de gerenciamento de banco de dados relacional (RDBMS) estejam instaladas, o que pode incluir patches de segurança e correções de bugs.
T0160 Aplique patches nas vulnerabilidades da rede para garantir que as informações sejam protegidas contra terceiros.

ec2- -check managedinstance-association-compliance-status

Use o AWS Systems Manager Associations para ajudar no inventário de plataformas e aplicativos de software em uma organização. AWS Systems Manager atribui um estado de configuração às instâncias gerenciadas e permite que você defina linhas de base de níveis de patch do sistema operacional, instalações de software, configurações de aplicações e outros detalhes sobre o ambiente.
T0160 Aplique patches nas vulnerabilidades da rede para garantir que as informações sejam protegidas contra terceiros.

ec2- -check managedinstance-patch-compliance-status

Ative essa regra para ajudar na identificação e documentação das vulnerabilidades do Amazon Elastic Compute Cloud (Amazon EC2). A regra verifica se a conformidade de patches de EC2 instâncias da Amazon no AWS Systems Manager conforme exigido pelas políticas e procedimentos da sua organização.
T0162 Execute backup e recuperação de bancos de dados para garantir a integridade dos dados.

dynamodb-in-backup-plan

Para ajudar nos processos de backup de dados, garanta que suas tabelas do Amazon DynamoDB façam parte de um plano de AWS backup. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups.
T0162 Execute backup e recuperação de bancos de dados para garantir a integridade dos dados.

ebs-in-backup-plan

Para ajudar nos processos de backup de dados, garanta que seus volumes do Amazon Elastic Block Store (Amazon EBS) façam parte de um plano de backup. AWS AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups.
T0162 Execute backup e recuperação de bancos de dados para garantir a integridade dos dados.

efs-in-backup-plan

Para ajudar nos processos de backup de dados, garanta que seus sistemas de arquivos do Amazon Elastic File System (Amazon EFS) façam parte de um plano de AWS backup. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups.
T0162 Execute backup e recuperação de bancos de dados para garantir a integridade dos dados.

rds-in-backup-plan

Para ajudar nos processos de backup de dados, garanta que suas instâncias do Amazon Relational Database Service (Amazon RDS) façam parte de um AWS plano de backup. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups.
T0162 Execute backup e recuperação de bancos de dados para garantir a integridade dos dados.

redshift-backup-enabled

Para ajudar nos processos de backup de dados, os clusters do Amazon Redshift devem ter instantâneos automatizados. Quando instantâneos automatizados são habilitados para um cluster, o Redshift tira instantâneos desse cluster periodicamente. Por padrão, o Redshift tira um instantâneo a cada oito horas ou a cada 5 GB por nó de alterações de dados, o que ocorrer primeiro.
T0162 Execute backup e recuperação de bancos de dados para garantir a integridade dos dados.

backup-plan-min-frequency-and-min-retention-check

Para ajudar nos processos de backup de dados, certifique-se de que seu plano de AWS backup esteja definido para uma frequência e retenção mínimas. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups. Essa regra permite que você defina os requiredFrequencyValue parâmetros (Config default: 1), ( requiredRetentionDaysConfig default: 35) e ( requiredFrequencyUnit Config default: days). O valor real deve refletir os requisitos da organização.
T0162 Execute backup e recuperação de bancos de dados para garantir a integridade dos dados.

backup-recovery-point-encrypted

Certifique-se de que a criptografia esteja ativada para seus pontos AWS de recuperação de Backup. Como pode haver dados confidenciais em repouso, habilite a criptografia em repouso para ajudar a protegê-los.
T0162 Execute backup e recuperação de bancos de dados para garantir a integridade dos dados.

backup-recovery-point-manual-exclusão desativada

Certifique-se de que seus pontos AWS de recuperação de Backup tenham uma política baseada em recursos anexada que impeça a exclusão de pontos de recuperação. Usar uma política baseada em recursos para impedir a exclusão de pontos de recuperação pode ajudar a evitar a exclusão acidental ou intencional.
T0162 Execute backup e recuperação de bancos de dados para garantir a integridade dos dados.

db-instance-backup-enabled

O recurso de backup do Amazon RDS cria backups dos bancos de dados e logs de transações. O Amazon RDS cria automaticamente um instantâneo do volume de armazenamento da instância de banco de dados, fazendo backup de toda a instância de banco de dados. O sistema permite que você defina períodos de retenção específicos para atender aos requisitos de resiliência.
T0162 Execute backup e recuperação de bancos de dados para garantir a integridade dos dados.

dynamodb-pitr-enabled

Habilite essa regra para verificar se o backup das informações foi realizado. Ele também mantém os backups, garantindo que a point-in-time recuperação seja habilitada no Amazon DynamoDB. A recuperação mantém backups contínuos da tabela nos últimos 35 dias.
T0162 Execute backup e recuperação de bancos de dados para garantir a integridade dos dados.

plano ec2- resources-protected-by-backup

Para ajudar nos processos de backup de dados, garanta que seus recursos do Amazon Elastic Compute Cloud EC2 (Amazon) façam parte de um plano de AWS backup. AWS O Backup é um serviço de backup totalmente gerenciado com uma solução de backup baseada em políticas. Essa solução simplifica o gerenciamento de backup e permite que você atenda aos requisitos comerciais e regulatórios de conformidade de backups.
T0162 Execute backup e recuperação de bancos de dados para garantir a integridade dos dados.

elasticache-redis-cluster-automatic-verificação de backup

Quando os backups automáticos estão habilitados, a Amazon ElastiCache cria um backup do cluster diariamente. O backup pode ser retido por vários dias, conforme especificado pela organização. Os backups automáticos podem ajudar a proteger contra a perda de dados. Em caso de falha, é possível criar um cluster e restaurar os dados usando o backup mais recente.
T0162 Execute backup e recuperação de bancos de dados para garantir a integridade dos dados.

redshift-cluster-maintenancesettings-check

Essa regra garante que os clusters do Amazon Redshift tenham as configurações preferidas da organização. Especificamente, que eles tenham janelas de manutenção preferenciais e períodos automatizados de retenção de instantâneos para o banco de dados. Essa regra exige que você defina allowVersionUpgrade o. O padrão é true. Também permite definir opcionalmente o preferredMaintenanceWindow (o padrão é sat: 16:00 -sat: 16:30) e o automatedSnapshotRetention Período (o padrão é 1). Os valores reais devem refletir as políticas da organização.
T0162 Execute backup e recuperação de bancos de dados para garantir a integridade dos dados.

s3- bucket-replication-enabled

A Replicação entre regiões (CRR) do Amazon Simple Storage Service (Amazon S3) é compatível com a manutenção de capacidade e disponibilidade adequadas. A CRR permite a cópia automática e assíncrona de objetos nos buckets do Amazon S3 para ajudar a garantir a manutenção da disponibilidade de dados.
T0162 Execute backup e recuperação de bancos de dados para garantir a integridade dos dados.

s3- bucket-versioning-enabled

O versionamento do bucket do Amazon Simple Storage Service (Amazon S3) ajuda a manter diversas variantes de um objeto no mesmo bucket do Amazon S3. Use o versionamento para preservar, recuperar e restaurar todas as versões de cada objeto armazenado no bucket do Amazon S3. O versionamento ajuda você a se recuperar facilmente de ações não intencionais de usuários e de falhas da aplicação.
T0166 Realize a correlação de eventos usando informações coletadas de várias fontes na empresa para obter consciência situacional e determinar a eficácia de um ataque observado.

cw-loggroup-retention-period-verificar

Uma duração mínima dos dados de log de eventos deve ser retida para os grupos de logs a fim de ajudar na solução de problemas e nas investigações forenses. A falta de dados de log de eventos anteriores disponíveis dificulta a reconstrução e a identificação de eventos possivelmente mal-intencionados.
T0166 Realize a correlação de eventos usando informações coletadas de várias fontes na empresa para obter consciência situacional e determinar a eficácia de um ataque observado.

elasticsearch-logs-to-cloudwatch

Certifique-se de que os domínios do Amazon OpenSearch Service tenham registros de erros habilitados e transmitidos para o Amazon CloudWatch Logs para retenção e resposta. Os logs de erros do domínio podem auxiliar nas auditorias de segurança e acesso, além de ajudar a diagnosticar problemas de disponibilidade.
T0166 Realize a correlação de eventos usando informações coletadas de várias fontes na empresa para obter consciência situacional e determinar a eficácia de um ataque observado.

multi-region-cloudtrail-enabled

AWS CloudTrail registra as ações do AWS Management Console e as chamadas de API. Você pode identificar quais usuários e contas ligaram AWS, o endereço IP de origem de onde as chamadas foram feitas e quando elas ocorreram. CloudTrail entregará arquivos de log de todas as AWS regiões para seu bucket do S3 se MULTI_REGION_CLOUD_TRAIL_ENABLED estiver habilitado. Além disso, ao AWS lançar uma nova região, CloudTrail criará a mesma trilha na nova região. Como resultado, você receberá arquivos de log contendo a atividade da API para a nova região sem realizar nenhuma ação.
T0166 Realize a correlação de eventos usando informações coletadas de várias fontes na empresa para obter consciência situacional e determinar a eficácia de um ataque observado.

wafv2-logging-enabled

Para ajudar com o registro e o monitoramento em seu ambiente, habilite o registro em AWS WAF (V2) na web regional e global. ACLs AWS O registro do WAF fornece informações detalhadas sobre o tráfego que é analisado pela sua ACL da web. Os registros registram a hora em que o AWS WAF recebeu a solicitação do seu AWS recurso, informações sobre a solicitação e uma ação para a regra à qual cada solicitação correspondeu.
T0166 Realize a correlação de eventos usando informações coletadas de várias fontes na empresa para obter consciência situacional e determinar a eficácia de um ataque observado.

api-gw-execution-logging-habilitado

O registro em log do API Gateway exibe visualizações detalhadas dos usuários que acessaram a API e a forma como eles a acessaram. Esse insight mostra as atividades do usuário.
T0166 Realize a correlação de eventos usando informações coletadas de várias fontes na empresa para obter consciência situacional e determinar a eficácia de um ataque observado.

cloud-trail-cloud-watch-logs-habilitado

Use CloudWatch a Amazon para coletar e gerenciar centralmente a atividade de eventos de log. A inclusão de AWS CloudTrail dados fornece detalhes da atividade de chamadas de API em seu Conta da AWS.
T0166 Realize a correlação de eventos usando informações coletadas de várias fontes na empresa para obter consciência situacional e determinar a eficácia de um ataque observado.

cloudtrail-enabled

AWS CloudTrail pode ajudar na não repúdio gravando ações do AWS Management Console e chamadas de API. Você pode identificar os usuários e os Contas da AWS que chamaram um AWS serviço, o endereço IP de origem onde as chamadas foram geradas e os horários das chamadas. Os detalhes dos dados capturados são vistos no Conteúdo do AWS CloudTrail Registro.
T0166 Realize a correlação de eventos usando informações coletadas de várias fontes na empresa para obter consciência situacional e determinar a eficácia de um ataque observado.

cloudtrail-s3-dataevents-enabled

A coleta de eventos de dados do Simple Storage Service (Amazon S3) ajuda a detectar qualquer atividade anômala. Os detalhes incluem informações da conta da AWS que acessou um bucket do Amazon S3, o endereço IP e o horário do evento.
T0166 Realize a correlação de eventos usando informações coletadas de várias fontes na empresa para obter consciência situacional e determinar a eficácia de um ataque observado.

elb-logging-enabled

A atividade do Elastic Load Balancing é um ponto central de comunicação em um ambiente. Habilite o registro em log do ELB. Os dados coletados fornecem informações detalhadas sobre as solicitações enviadas ao ELB. Cada log contém informações como a hora em que a solicitação foi recebida, o endereço IP do cliente, latências, caminhos de solicitação e respostas do servidor.
T0166 Realize a correlação de eventos usando informações coletadas de várias fontes na empresa para obter consciência situacional e determinar a eficácia de um ataque observado.

rds-logging-enabled

Para ajudar no registro em log e no monitoramento em seu ambiente, habilite o registro em log do Amazon Relational Database Service (Amazon RDS). Com o registro em log do Amazon RDS, você pode capturar eventos como conexões, desconexões, consultas ou tabelas consultadas.
T0166 Realize a correlação de eventos usando informações coletadas de várias fontes na empresa para obter consciência situacional e determinar a eficácia de um ataque observado.

redshift-cluster-configuration-check

Para proteger os dados em repouso, habilite a criptografia para os clusters do Amazon Redshift. Implante também as configurações necessárias nos clusters do Amazon Redshift. O registro em log de auditoria deve ser habilitado para fornecer informações sobre conexões e atividades do usuário no banco de dados. Essa regra exige que um valor seja definido para clusterDbEncrypted (Config Default: TRUE) e LoggingEnabled (Config Default: TRUE). Os valores reais devem refletir as políticas da organização.
T0166 Realize a correlação de eventos usando informações coletadas de várias fontes na empresa para obter consciência situacional e determinar a eficácia de um ataque observado.

s3- bucket-logging-enabled

O registro em log de acesso ao servidor do Amazon Simple Storage Service (Amazon S3) fornece um método para monitorar a rede em busca de possíveis eventos de segurança cibernética. Os eventos são monitorados pela captura de registros detalhados das solicitações que são feitas a um bucket do Amazon S3. Cada registro de log de acesso fornece detalhes sobre uma única solicitação de acesso. Os detalhes incluem solicitante, nome do bucket, horário da solicitação, ação da solicitação, status da resposta e um código de erro, se relevante.
T0166 Realize a correlação de eventos usando informações coletadas de várias fontes na empresa para obter consciência situacional e determinar a eficácia de um ataque observado.

vpc-flow-logs-enabled

Os logs de fluxo da VPC fornecem registros detalhados de informações sobre o tráfego de IP de entrada e saída das interfaces de rede no Amazon Virtual Private Cloud (Amazon VPC). Por padrão, o registro de log de fluxo inclui valores para os diferentes componentes do fluxo de IP, incluindo a origem, o destino e o protocolo.
T0168 Execute a comparação de hash com o banco de dados estabelecido.

cloud-trail-log-file-habilitado para validação

Utilize a validação do arquivo de AWS CloudTrail log para verificar a integridade dos CloudTrail registros. A validação do arquivo de log ajuda a determinar se um arquivo de log foi modificado, excluído ou inalterado após a CloudTrail entrega. Esse recurso é criado usando algoritmos padrão do setor: SHA-256 para hashing e SHA-256 com RSA para assinaturas digitais. Isso torna computacionalmente inviável modificar, excluir ou CloudTrail falsificar arquivos de log sem detecção.
T0195 Forneça um fluxo gerenciado de informações relevantes (por meio de portais baseados na web ou outros meios) com base nos requisitos da missão.

alb-waf-enabled

Certifique-se de que o AWS WAF esteja ativado nos Elastic Load Balancers (ELB) para ajudar a proteger aplicativos da web. Um WAF ajuda a proteger seus aplicativos da web ou APIs contra explorações comuns da web. Essas explorações da web podem afetar a disponibilidade, comprometer a segurança ou consumir recursos excessivos em seu ambiente.
T0195 Forneça um fluxo gerenciado de informações relevantes (por meio de portais baseados na web ou outros meios) com base nos requisitos da missão.

api-gw-associated-with-onda

AWS O WAF permite que você configure um conjunto de regras (chamado de lista de controle de acesso à web (Web ACL)) que permite, bloqueia ou conta solicitações da web com base nas regras e condições de segurança da web personalizáveis que você define. Associe seu estágio do Amazon API Gateway a uma ACL da web do WAF para protegê-lo contra ataques mal-intencionados.
T0195 Forneça um fluxo gerenciado de informações relevantes (por meio de portais baseados na web ou outros meios) com base nos requisitos da missão.

autoscaling-launch-config-public-ip desativado

Se você configurar suas interfaces de rede com um endereço IP público, os recursos associados a essas interfaces de rede poderão ser acessados pela Internet. EC2 os recursos não devem ser acessíveis ao público, pois isso pode permitir acesso não intencional aos seus aplicativos ou servidores.
T0195 Forneça um fluxo gerenciado de informações relevantes (por meio de portais baseados na web ou outros meios) com base nos requisitos da missão.

restricted-ssh

Os grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2) podem ajudar a gerenciar o acesso à rede fornecendo uma filtragem monitorada do tráfego de entrada e saída da rede para os recursos. AWS Não permitir o tráfego de entrada (ou remoto) de 0.0.0.0/0 para a porta 22 nos recursos ajuda a restringir o acesso remoto.
T0195 Forneça um fluxo gerenciado de informações relevantes (por meio de portais baseados na web ou outros meios) com base nos requisitos da missão.

ec2- instances-in-vpc

Implante instâncias do Amazon Elastic Compute Cloud (Amazon EC2) em uma Amazon Virtual Private Cloud (Amazon VPC) para permitir a comunicação segura entre uma instância e outros serviços dentro da Amazon VPC, sem exigir um gateway de internet, dispositivo NAT ou conexão VPN. Todo o tráfego permanece seguro na nuvem. AWS Devido ao seu isolamento lógico, os domínios que residem no Amazon VPC contam com uma camada adicional de segurança se comparados aos domínios que utilizam endpoints públicos. Atribua EC2 instâncias da Amazon a uma Amazon VPC para gerenciar adequadamente o acesso.
T0195 Forneça um fluxo gerenciado de informações relevantes (por meio de portais baseados na web ou outros meios) com base nos requisitos da missão.

no-unrestricted-route-to-igw

Certifique-se de que as tabelas de EC2 rotas da Amazon não tenham rotas irrestritas para um gateway de internet. Remover ou limitar o acesso à Internet para cargas de trabalho na Amazon VPCs pode reduzir o acesso não intencional em seu ambiente.
T0195 Forneça um fluxo gerenciado de informações relevantes (por meio de portais baseados na web ou outros meios) com base nos requisitos da missão.

redshift-enhanced-vpc-routing-habilitado

O roteamento aprimorado da VPC força todo o tráfego de COPY e UNLOAD entre o cluster e os repositórios de dados a passar pelo Amazon VPC. Em seguida, você pode usar recursos da VPC, como grupos de segurança e listas de controle de acesso à rede, para proteger o tráfego da rede. Você também pode usar os logs de fluxo da VPC para monitorar o tráfego da rede.
T0195 Forneça um fluxo gerenciado de informações relevantes (por meio de portais baseados na web ou outros meios) com base nos requisitos da missão.

s3- account-level-public-access -blocos-periódicos

Gerencie o acesso aos recursos na AWS nuvem garantindo que os buckets do Amazon Simple Storage Service (Amazon S3) não possam ser acessados publicamente. Essa regra ajuda a manter os dados confidenciais protegidos de usuários remotos não autorizados, impedindo o acesso público. Essa regra permite que você defina opcionalmente ignorePublicAcls (Config Default: True), blockPublicPolicy (Config Default: True), blockPublicAcls (Config Default: True) e restrictPublicBuckets parâmetros (Config Default: True). Os valores reais devem refletir as políticas da organização.
T0195 Forneça um fluxo gerenciado de informações relevantes (por meio de portais baseados na web ou outros meios) com base nos requisitos da missão.

ssm-document-not-public

Certifique-se AWS de que os documentos do Systems Manager (SSM) não sejam públicos, pois isso pode permitir acesso não intencional aos seus documentos SSM. Um documento do SSM público pode expor informações sobre sua conta, recursos e processos internos.
T0195 Forneça um fluxo gerenciado de informações relevantes (por meio de portais baseados na web ou outros meios) com base nos requisitos da missão.

dms-replication-not-public

Gerencie o acesso à AWS nuvem garantindo que as instâncias de replicação do DMS não possam ser acessadas publicamente. As instâncias de replicação do DMS podem conter informações confidenciais, e o controle de acesso é necessário para essas contas.
T0195 Forneça um fluxo gerenciado de informações relevantes (por meio de portais baseados na web ou outros meios) com base nos requisitos da missão.

ebs-snapshot-public-restorable-verificar

Gerencie o acesso à AWS nuvem garantindo que os instantâneos do EBS não sejam restauráveis publicamente. Os instantâneos de volume do EBS podem conter informações confidenciais, e o controle de acesso é necessário para essas contas.
T0195 Forneça um fluxo gerenciado de informações relevantes (por meio de portais baseados na web ou outros meios) com base nos requisitos da missão.

ec2- instance-no-public-ip

Gerencie o acesso à AWS nuvem garantindo que as instâncias do Amazon Elastic Compute Cloud (Amazon EC2) não possam ser acessadas publicamente. EC2As instâncias da Amazon podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
T0195 Forneça um fluxo gerenciado de informações relevantes (por meio de portais baseados na web ou outros meios) com base nos requisitos da missão.

elasticsearch-in-vpc-only

Gerencie o acesso à AWS nuvem garantindo que os domínios do Amazon OpenSearch Service (OpenSearch Service) estejam dentro de uma Amazon Virtual Private Cloud (Amazon VPC). Um domínio OpenSearch de serviço em uma Amazon VPC permite a comunicação segura entre o OpenSearch serviço e outros serviços dentro da Amazon VPC sem a necessidade de um gateway de internet, dispositivo NAT ou conexão VPN.
T0195 Forneça um fluxo gerenciado de informações relevantes (por meio de portais baseados na web ou outros meios) com base nos requisitos da missão.

emr-master-no-public-ip

Gerencie o acesso à AWS nuvem garantindo que os nós principais do cluster Amazon EMR não possam ser acessados publicamente. Os nós principais do cluster do Amazon EMR podem conter informações confidenciais, e o controle de acesso é necessário para essas contas.
T0195 Forneça um fluxo gerenciado de informações relevantes (por meio de portais baseados na web ou outros meios) com base nos requisitos da missão.

lambda-function-public-access-proibido

Gerencie o acesso aos recursos na AWS nuvem garantindo que as funções do AWS Lambda não possam ser acessadas publicamente. O acesso público pode causar degradação da disponibilidade de recursos.
T0195 Forneça um fluxo gerenciado de informações relevantes (por meio de portais baseados na web ou outros meios) com base nos requisitos da missão.

lambda-inside-vpc

Implante funções AWS Lambda em uma Amazon Virtual Private Cloud (Amazon VPC) para uma comunicação segura entre uma função e outros serviços dentro da Amazon VPC. Com essa configuração, não há necessidade de um gateway da Internet, dispositivo NAT ou conexão VPN. Todo o tráfego permanece seguro na nuvem. AWS Devido ao seu isolamento lógico, os domínios que residem no Amazon VPC contam com uma camada adicional de segurança se comparados aos domínios que utilizam endpoints públicos. Para gerenciar adequadamente o acesso, as funções do AWS Lambda devem ser atribuídas a uma VPC.
T0195 Forneça um fluxo gerenciado de informações relevantes (por meio de portais baseados na web ou outros meios) com base nos requisitos da missão.

opensearch-in-vpc-only

Gerencie o acesso à AWS nuvem garantindo que os domínios do Amazon Elasticsearch Service (Amazon ES) estejam dentro de uma Amazon Virtual Private Cloud (Amazon VPC). Colocar um domínio do Amazon ES no Amazon VPC permite uma comunicação segura entre o Amazon ES e os outros serviços no Amazon VPC, sem que seja necessário usar um gateway da Internet, um dispositivo NAT ou uma conexão VPN.
T0195 Forneça um fluxo gerenciado de informações relevantes (por meio de portais baseados na web ou outros meios) com base nos requisitos da missão.

rds-instance-public-access-verificar

Gerencie o acesso aos recursos na AWS nuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações confidenciais e princípios, e o controle de acesso é necessário para essas contas.
T0195 Forneça um fluxo gerenciado de informações relevantes (por meio de portais baseados na web ou outros meios) com base nos requisitos da missão.

rds-snapshots-public-prohibited

Gerencie o acesso aos recursos na AWS nuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações confidenciais e princípios, e o controle de acesso é necessário para essas contas.
T0195 Forneça um fluxo gerenciado de informações relevantes (por meio de portais baseados na web ou outros meios) com base nos requisitos da missão.

redshift-cluster-public-access-verificar

Gerencie o acesso aos recursos na AWS nuvem garantindo que os clusters do Amazon Redshift não sejam públicos. Os clusters do Amazon Redshift podem conter informações confidenciais e princípios, e o controle de acesso é necessário para essas contas.
T0195 Forneça um fluxo gerenciado de informações relevantes (por meio de portais baseados na web ou outros meios) com base nos requisitos da missão.

restricted-common-ports

Gerencie o acesso aos recursos na AWS nuvem garantindo que as portas comuns sejam restritas nos grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2). Não restringir o acesso às portas a fontes confiáveis pode permitir ataques contra a disponibilidade, a integridade e a confidencialidade dos sistemas. Essa regra permite que você defina opcionalmente os parâmetros blockedPort1-blockedPort5 (Padrões de configuração: 20.21.3389.3306.4333). Os valores reais devem refletir as políticas da organização.
T0195 Forneça um fluxo gerenciado de informações relevantes (por meio de portais baseados na web ou outros meios) com base nos requisitos da missão.

s3- bucket-public-read-prohibited

Gerencie o acesso aos recursos na AWS nuvem permitindo que somente usuários, processos e dispositivos autorizados acessem os buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados.
T0195 Forneça um fluxo gerenciado de informações relevantes (por meio de portais baseados na web ou outros meios) com base nos requisitos da missão.

s3- bucket-public-write-prohibited

Gerencie o acesso aos recursos na AWS nuvem permitindo que somente usuários, processos e dispositivos autorizados acessem os buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados.
T0195 Forneça um fluxo gerenciado de informações relevantes (por meio de portais baseados na web ou outros meios) com base nos requisitos da missão.

sagemaker-notebook-no-direct-acesso à internet

Gerencie o acesso aos recursos na AWS nuvem garantindo que os SageMaker notebooks da Amazon não permitam acesso direto à Internet. Ao impedir o acesso direto à internet, você impede que dados confidenciais sejam acessados por usuários não autorizados.
T0195 Forneça um fluxo gerenciado de informações relevantes (por meio de portais baseados na web ou outros meios) com base nos requisitos da missão.

subnet-auto-assign-public-ip desativado

Gerencie o acesso à AWS nuvem garantindo que as sub-redes da Amazon Virtual Private Cloud (VPC) não recebam automaticamente um endereço IP público. As instâncias do Amazon Elastic Compute Cloud (EC2) que são lançadas em sub-redes com esse atributo ativado têm um endereço IP público atribuído à sua interface de rede primária.
T0195 Forneça um fluxo gerenciado de informações relevantes (por meio de portais baseados na web ou outros meios) com base nos requisitos da missão.

vpc-default-security-group-fechado

Os grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2) podem ajudar no gerenciamento do acesso à rede fornecendo uma filtragem monitorada do tráfego de entrada e saída da rede para os recursos. AWS Restringir todo o tráfego no grupo de segurança padrão ajuda a restringir o acesso remoto aos seus AWS recursos.
T0195 Forneça um fluxo gerenciado de informações relevantes (por meio de portais baseados na web ou outros meios) com base nos requisitos da missão.

vpc-sg-open-only-to-authorized-ports

Gerencie o acesso aos recursos na AWS nuvem garantindo que as portas comuns sejam restritas aos grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2). Não restringir o acesso às portas a fontes confiáveis pode permitir ataques contra a disponibilidade, a integridade e a confidencialidade dos sistemas. Ao restringir o acesso a recursos em um grupo de segurança da internet (0.0.0.0/0), o acesso remoto pode ser controlado para sistemas internos.
T0215 Reconheça uma possível violação de segurança e tome as medidas apropriadas para denunciar o incidente, conforme necessário.

guardduty-enabled-centralized

A Amazon GuardDuty pode ajudar a monitorar e detectar possíveis eventos de cibersegurança usando feeds de inteligência de ameaças. Isso inclui listas de aprendizado de máquina IPs e malicioso para identificar atividades inesperadas, não autorizadas e maliciosas em seu ambiente de AWS nuvem.
T0244 Verifique se as posturas software/network/system de segurança do aplicativo estão implementadas conforme declarado, documente os desvios e recomende as ações necessárias para corrigir esses desvios.

cloud-trail-log-file-habilitado para validação

Utilize a validação do arquivo de AWS CloudTrail log para verificar a integridade dos CloudTrail registros. A validação do arquivo de log ajuda a determinar se um arquivo de log foi modificado, excluído ou inalterado após a CloudTrail entrega. Esse recurso é criado usando algoritmos padrão do setor: SHA-256 para hashing e SHA-256 com RSA para assinaturas digitais. Isso torna computacionalmente inviável modificar, excluir ou CloudTrail falsificar arquivos de log sem detecção.
T0244 Verifique se as posturas software/network/system de segurança do aplicativo estão implementadas conforme declarado, documente os desvios e recomende as ações necessárias para corrigir esses desvios.

ec2- -manager instance-managed-by-systems

É possível fazer um inventário das plataformas de software e aplicativos dentro da organização gerenciando instâncias do Amazon Elastic Compute Cloud (Amazon EC2) com o AWS Systems Manager. Use o AWS Systems Manager para fornecer configurações detalhadas do sistema, níveis de patch do sistema operacional, nome e tipo de serviços, instalações de software, nome do aplicativo, editor e versão, além de outros detalhes sobre seu ambiente.
T0244 Verifique se as posturas software/network/system de segurança do aplicativo estão implementadas conforme declarado, documente os desvios e recomende as ações necessárias para corrigir esses desvios.

ec2- -check managedinstance-association-compliance-status

Use o AWS Systems Manager Associations para ajudar no inventário de plataformas e aplicativos de software em uma organização. AWS Systems Manager atribui um estado de configuração às instâncias gerenciadas e permite que você defina linhas de base de níveis de patch do sistema operacional, instalações de software, configurações de aplicações e outros detalhes sobre o ambiente.
T0258 Forneça recursos de detecção, identificação e alerta oportunos sobre possíveis ataques/invasões, atividades anômalas e atividades de uso indevido e diferencie esses incidentes e eventos de atividades benignas.

guardduty-enabled-centralized

A Amazon GuardDuty pode ajudar a monitorar e detectar possíveis eventos de cibersegurança usando feeds de inteligência de ameaças. Isso inclui listas de aprendizado de máquina IPs e malicioso para identificar atividades inesperadas, não autorizadas e maliciosas em seu ambiente de AWS nuvem.
T0259 Use ferramentas de defesa cibernética para monitoramento e análise contínuos da atividade do sistema para identificar atividades mal-intencionadas.

guardduty-enabled-centralized

A Amazon GuardDuty pode ajudar a monitorar e detectar possíveis eventos de cibersegurança usando feeds de inteligência de ameaças. Isso inclui listas de aprendizado de máquina IPs e malicioso para identificar atividades inesperadas, não autorizadas e maliciosas em seu ambiente de AWS nuvem.
T0262 Empregue defense-in-depth princípios e práticas aprovados (por exemplo, defense-in-multiple locais, defesas em camadas, robustez de segurança).

alb-waf-enabled

Certifique-se de que o AWS WAF esteja ativado nos Elastic Load Balancers (ELB) para ajudar a proteger aplicativos da web. Um WAF ajuda a proteger seus aplicativos da web ou APIs contra explorações comuns da web. Essas explorações da web podem afetar a disponibilidade, comprometer a segurança ou consumir recursos excessivos em seu ambiente.
T0262 Empregue defense-in-depth princípios e práticas aprovados (por exemplo, defense-in-multiple locais, defesas em camadas, robustez de segurança).

api-gw-associated-with-onda

AWS O WAF permite que você configure um conjunto de regras (chamado de lista de controle de acesso à web (Web ACL)) que permite, bloqueia ou conta solicitações da web com base nas regras e condições de segurança da web personalizáveis que você define. Associe seu estágio do Amazon API Gateway a uma ACL da web do WAF para protegê-lo contra ataques mal-intencionados.
T0262 Empregue defense-in-depth princípios e práticas aprovados (por exemplo, defense-in-multiple locais, defesas em camadas, robustez de segurança).

autoscaling-launch-config-public-ip desativado

Se você configurar suas interfaces de rede com um endereço IP público, os recursos associados a essas interfaces de rede poderão ser acessados pela Internet. EC2 os recursos não devem ser acessíveis ao público, pois isso pode permitir acesso não intencional aos seus aplicativos ou servidores.
T0262 Empregue defense-in-depth princípios e práticas aprovados (por exemplo, defense-in-multiple locais, defesas em camadas, robustez de segurança).

ec2- instances-in-vpc

Implante instâncias do Amazon Elastic Compute Cloud (Amazon EC2) em uma Amazon Virtual Private Cloud (Amazon VPC) para permitir a comunicação segura entre uma instância e outros serviços dentro da Amazon VPC, sem exigir um gateway de internet, dispositivo NAT ou conexão VPN. Todo o tráfego permanece seguro na nuvem. AWS Devido ao seu isolamento lógico, os domínios que residem no Amazon VPC contam com uma camada adicional de segurança se comparados aos domínios que utilizam endpoints públicos. Atribua EC2 instâncias da Amazon a uma Amazon VPC para gerenciar adequadamente o acesso.
T0262 Empregue defense-in-depth princípios e práticas aprovados (por exemplo, defense-in-multiple locais, defesas em camadas, robustez de segurança).

no-unrestricted-route-to-igw

Certifique-se de que as tabelas de EC2 rotas da Amazon não tenham rotas irrestritas para um gateway de internet. Remover ou limitar o acesso à Internet para cargas de trabalho na Amazon VPCs pode reduzir o acesso não intencional em seu ambiente.
T0262 Empregue defense-in-depth princípios e práticas aprovados (por exemplo, defense-in-multiple locais, defesas em camadas, robustez de segurança).

redshift-enhanced-vpc-routing-habilitado

O roteamento aprimorado da VPC força todo o tráfego de COPY e UNLOAD entre o cluster e os repositórios de dados a passar pelo Amazon VPC. Em seguida, você pode usar recursos da VPC, como grupos de segurança e listas de controle de acesso à rede, para proteger o tráfego da rede. Você também pode usar os logs de fluxo da VPC para monitorar o tráfego da rede.
T0262 Empregue defense-in-depth princípios e práticas aprovados (por exemplo, defense-in-multiple locais, defesas em camadas, robustez de segurança).

s3- account-level-public-access -blocos-periódicos

Gerencie o acesso aos recursos na AWS nuvem garantindo que os buckets do Amazon Simple Storage Service (Amazon S3) não possam ser acessados publicamente. Essa regra ajuda a manter os dados confidenciais protegidos de usuários remotos não autorizados, impedindo o acesso público. Essa regra permite que você defina opcionalmente ignorePublicAcls (Config Default: True), blockPublicPolicy (Config Default: True), blockPublicAcls (Config Default: True) e restrictPublicBuckets parâmetros (Config Default: True). Os valores reais devem refletir as políticas da organização.
T0262 Empregue defense-in-depth princípios e práticas aprovados (por exemplo, defense-in-multiple locais, defesas em camadas, robustez de segurança).

ssm-document-not-public

Certifique-se AWS de que os documentos do Systems Manager (SSM) não sejam públicos, pois isso pode permitir acesso não intencional aos seus documentos SSM. Um documento do SSM público pode expor informações sobre sua conta, recursos e processos internos.
T0262 Empregue defense-in-depth princípios e práticas aprovados (por exemplo, defense-in-multiple locais, defesas em camadas, robustez de segurança).

dms-replication-not-public

Gerencie o acesso à AWS nuvem garantindo que as instâncias de replicação do DMS não possam ser acessadas publicamente. As instâncias de replicação do DMS podem conter informações confidenciais, e o controle de acesso é necessário para essas contas.
T0262 Empregue defense-in-depth princípios e práticas aprovados (por exemplo, defense-in-multiple locais, defesas em camadas, robustez de segurança).

ebs-snapshot-public-restorable-verificar

Gerencie o acesso à AWS nuvem garantindo que os instantâneos do EBS não sejam restauráveis publicamente. Os instantâneos de volume do EBS podem conter informações confidenciais, e o controle de acesso é necessário para essas contas.
T0262 Empregue defense-in-depth princípios e práticas aprovados (por exemplo, defense-in-multiple locais, defesas em camadas, robustez de segurança).

ec2- instance-no-public-ip

Gerencie o acesso à AWS nuvem garantindo que as instâncias do Amazon Elastic Compute Cloud (Amazon EC2) não possam ser acessadas publicamente. EC2As instâncias da Amazon podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
T0262 Empregue defense-in-depth princípios e práticas aprovados (por exemplo, defense-in-multiple locais, defesas em camadas, robustez de segurança).

elasticsearch-in-vpc-only

Gerencie o acesso à AWS nuvem garantindo que os domínios do Amazon OpenSearch Service (OpenSearch Service) estejam dentro de uma Amazon Virtual Private Cloud (Amazon VPC). Um domínio OpenSearch de serviço em uma Amazon VPC permite a comunicação segura entre o OpenSearch serviço e outros serviços dentro da Amazon VPC sem a necessidade de um gateway de internet, dispositivo NAT ou conexão VPN.
T0262 Empregue defense-in-depth princípios e práticas aprovados (por exemplo, defense-in-multiple locais, defesas em camadas, robustez de segurança).

emr-master-no-public-ip

Gerencie o acesso à AWS nuvem garantindo que os nós principais do cluster Amazon EMR não possam ser acessados publicamente. Os nós principais do cluster do Amazon EMR podem conter informações confidenciais, e o controle de acesso é necessário para essas contas.
T0262 Empregue defense-in-depth princípios e práticas aprovados (por exemplo, defense-in-multiple locais, defesas em camadas, robustez de segurança).

lambda-function-public-access-proibido

Gerencie o acesso aos recursos na AWS nuvem garantindo que as funções do AWS Lambda não possam ser acessadas publicamente. O acesso público pode causar degradação da disponibilidade de recursos.
T0262 Empregue defense-in-depth princípios e práticas aprovados (por exemplo, defense-in-multiple locais, defesas em camadas, robustez de segurança).

lambda-inside-vpc

Implante funções AWS Lambda em uma Amazon Virtual Private Cloud (Amazon VPC) para uma comunicação segura entre uma função e outros serviços dentro da Amazon VPC. Com essa configuração, não há necessidade de um gateway da Internet, dispositivo NAT ou conexão VPN. Todo o tráfego permanece seguro na nuvem. AWS Devido ao seu isolamento lógico, os domínios que residem no Amazon VPC contam com uma camada adicional de segurança se comparados aos domínios que utilizam endpoints públicos. Para gerenciar adequadamente o acesso, as funções do AWS Lambda devem ser atribuídas a uma VPC.
T0262 Empregue defense-in-depth princípios e práticas aprovados (por exemplo, defense-in-multiple locais, defesas em camadas, robustez de segurança).

opensearch-in-vpc-only

Gerencie o acesso à AWS nuvem garantindo que os domínios do Amazon Elasticsearch Service (Amazon ES) estejam dentro de uma Amazon Virtual Private Cloud (Amazon VPC). Colocar um domínio do Amazon ES no Amazon VPC permite uma comunicação segura entre o Amazon ES e os outros serviços no Amazon VPC, sem que seja necessário usar um gateway da Internet, um dispositivo NAT ou uma conexão VPN.
T0262 Empregue defense-in-depth princípios e práticas aprovados (por exemplo, defense-in-multiple locais, defesas em camadas, robustez de segurança).

rds-instance-public-access-verificar

Gerencie o acesso aos recursos na AWS nuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações confidenciais e princípios, e o controle de acesso é necessário para essas contas.
T0262 Empregue defense-in-depth princípios e práticas aprovados (por exemplo, defense-in-multiple locais, defesas em camadas, robustez de segurança).

rds-snapshots-public-prohibited

Gerencie o acesso aos recursos na AWS nuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações confidenciais e princípios, e o controle de acesso é necessário para essas contas.
T0262 Empregue defense-in-depth princípios e práticas aprovados (por exemplo, defense-in-multiple locais, defesas em camadas, robustez de segurança).

redshift-cluster-public-access-verificar

Gerencie o acesso aos recursos na AWS nuvem garantindo que os clusters do Amazon Redshift não sejam públicos. Os clusters do Amazon Redshift podem conter informações confidenciais e princípios, e o controle de acesso é necessário para essas contas.
T0262 Empregue defense-in-depth princípios e práticas aprovados (por exemplo, defense-in-multiple locais, defesas em camadas, robustez de segurança).

restricted-common-ports

Gerencie o acesso aos recursos na AWS nuvem garantindo que as portas comuns sejam restritas nos grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2). Não restringir o acesso às portas a fontes confiáveis pode permitir ataques contra a disponibilidade, a integridade e a confidencialidade dos sistemas. Essa regra permite que você defina opcionalmente os parâmetros blockedPort1-blockedPort5 (Padrões de configuração: 20.21.3389.3306.4333). Os valores reais devem refletir as políticas da organização.
T0262 Empregue defense-in-depth princípios e práticas aprovados (por exemplo, defense-in-multiple locais, defesas em camadas, robustez de segurança).

s3- bucket-public-read-prohibited

Gerencie o acesso aos recursos na AWS nuvem permitindo que somente usuários, processos e dispositivos autorizados acessem os buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados.
T0262 Empregue defense-in-depth princípios e práticas aprovados (por exemplo, defense-in-multiple locais, defesas em camadas, robustez de segurança).

s3- bucket-public-write-prohibited

Gerencie o acesso aos recursos na AWS nuvem permitindo que somente usuários, processos e dispositivos autorizados acessem os buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados.
T0262 Empregue defense-in-depth princípios e práticas aprovados (por exemplo, defense-in-multiple locais, defesas em camadas, robustez de segurança).

sagemaker-notebook-no-direct-acesso à internet

Gerencie o acesso aos recursos na AWS nuvem garantindo que os SageMaker notebooks da Amazon não permitam acesso direto à Internet. Ao impedir o acesso direto à internet, você impede que dados confidenciais sejam acessados por usuários não autorizados.
T0262 Empregue defense-in-depth princípios e práticas aprovados (por exemplo, defense-in-multiple locais, defesas em camadas, robustez de segurança).

subnet-auto-assign-public-ip desativado

Gerencie o acesso à AWS nuvem garantindo que as sub-redes da Amazon Virtual Private Cloud (VPC) não recebam automaticamente um endereço IP público. As instâncias do Amazon Elastic Compute Cloud (EC2) que são lançadas em sub-redes com esse atributo ativado têm um endereço IP público atribuído à sua interface de rede primária.
T0262 Empregue defense-in-depth princípios e práticas aprovados (por exemplo, defense-in-multiple locais, defesas em camadas, robustez de segurança).

vpc-default-security-group-fechado

Os grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2) podem ajudar no gerenciamento do acesso à rede fornecendo uma filtragem monitorada do tráfego de entrada e saída da rede para os recursos. AWS Restringir todo o tráfego no grupo de segurança padrão ajuda a restringir o acesso remoto aos seus AWS recursos.
T0262 Empregue defense-in-depth princípios e práticas aprovados (por exemplo, defense-in-multiple locais, defesas em camadas, robustez de segurança).

vpc-sg-open-only-to-authorized-ports

Gerencie o acesso aos recursos na AWS nuvem garantindo que as portas comuns sejam restritas aos grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2). Não restringir o acesso às portas a fontes confiáveis pode permitir ataques contra a disponibilidade, a integridade e a confidencialidade dos sistemas. Ao restringir o acesso a recursos em um grupo de segurança da internet (0.0.0.0/0), o acesso remoto pode ser controlado para sistemas internos.
T0284 Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética.

account-part-of-organizations

O gerenciamento centralizado de Contas da AWS dentro das AWS Organizations ajuda a garantir que as contas estejam em conformidade. Usar uma governança não centralizada na conta pode gerar inconsistências nas configurações da conta, o que pode expor recursos e dados confidenciais.
T0284 Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética.

alb-waf-enabled

Certifique-se de que o AWS WAF esteja ativado nos Elastic Load Balancers (ELB) para ajudar a proteger aplicativos da web. Um WAF ajuda a proteger seus aplicativos da web ou APIs contra explorações comuns da web. Essas explorações da web podem afetar a disponibilidade, comprometer a segurança ou consumir recursos excessivos em seu ambiente.
T0284 Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética.

api-gw-associated-with-onda

AWS O WAF permite que você configure um conjunto de regras (chamado de lista de controle de acesso à web (Web ACL)) que permite, bloqueia ou conta solicitações da web com base nas regras e condições de segurança da web personalizáveis que você define. Associe seu estágio do Amazon API Gateway a uma ACL da web do WAF para protegê-lo contra ataques mal-intencionados.
T0284 Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética.

autoscaling-launch-config-public-ip desativado

Se você configurar suas interfaces de rede com um endereço IP público, os recursos associados a essas interfaces de rede poderão ser acessados pela Internet. EC2 os recursos não devem ser acessíveis ao público, pois isso pode permitir acesso não intencional aos seus aplicativos ou servidores.
T0284 Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética.

ec2- instance-profile-attached

EC2 perfis de instância passam uma função do IAM para uma EC2 instância. Anexar um perfil de instância às instâncias pode ajudar no gerenciamento de privilégio mínimo e permissões.
T0284 Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética.

ecs-task-definition-user-for-host-mode-check

Se uma definição de tarefa tem privilégios elevados, significa que o cliente optou especificamente por essas configurações. Esse controle verifica o aumento inesperado de privilégios quando uma definição de tarefa tem a rede de host habilitada e o cliente não optou por privilégios elevados.
T0284 Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética.

iam-no-inline-policy-verificar

Certifique-se de que um usuário, uma função do IAM ou um grupo do IAM do AWS Identity and Access Management (IAM) não tenha uma política embutida para controlar o acesso a sistemas e ativos. AWS recomenda usar políticas gerenciadas em vez de políticas embutidas. As políticas gerenciadas permitem a reutilização, o versionamento, a reversão e a delegação do gerenciamento de permissões.
T0284 Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética.

iam-policy-no-statements-with-full-access

Garanta que as ações do IAM estejam restritas somente às ações necessárias. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres.
T0284 Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética.

ec2- instances-in-vpc

Implante instâncias do Amazon Elastic Compute Cloud (Amazon EC2) em uma Amazon Virtual Private Cloud (Amazon VPC) para permitir a comunicação segura entre uma instância e outros serviços dentro da Amazon VPC, sem exigir um gateway de internet, dispositivo NAT ou conexão VPN. Todo o tráfego permanece seguro na nuvem. AWS Devido ao seu isolamento lógico, os domínios que residem no Amazon VPC contam com uma camada adicional de segurança se comparados aos domínios que utilizam endpoints públicos. Atribua EC2 instâncias da Amazon a uma Amazon VPC para gerenciar adequadamente o acesso.
T0284 Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética.

no-unrestricted-route-to-igw

Certifique-se de que as tabelas de EC2 rotas da Amazon não tenham rotas irrestritas para um gateway de internet. Remover ou limitar o acesso à Internet para cargas de trabalho na Amazon VPCs pode reduzir o acesso não intencional em seu ambiente.
T0284 Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética.

rds-automatic-minor-version-habilitado para atualização

Habilite atualizações automáticas de versões secundárias nas instâncias do Amazon Relational Database Service (RDS) para garantir que as últimas atualizações de versões secundárias do sistema de gerenciamento de banco de dados relacional (RDBMS) estejam instaladas, o que pode incluir patches de segurança e correções de bugs.
T0284 Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética.

redshift-enhanced-vpc-routing-habilitado

O roteamento aprimorado da VPC força todo o tráfego de COPY e UNLOAD entre o cluster e os repositórios de dados a passar pelo Amazon VPC. Em seguida, você pode usar recursos da VPC, como grupos de segurança e listas de controle de acesso à rede, para proteger o tráfego da rede. Você também pode usar os logs de fluxo da VPC para monitorar o tráfego da rede.
T0284 Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética.

s3- account-level-public-access -blocos-periódicos

Gerencie o acesso aos recursos na AWS nuvem garantindo que os buckets do Amazon Simple Storage Service (Amazon S3) não possam ser acessados publicamente. Essa regra ajuda a manter os dados confidenciais protegidos de usuários remotos não autorizados, impedindo o acesso público. Essa regra permite que você defina opcionalmente ignorePublicAcls (Config Default: True), blockPublicPolicy (Config Default: True), blockPublicAcls (Config Default: True) e restrictPublicBuckets parâmetros (Config Default: True). Os valores reais devem refletir as políticas da organização.
T0284 Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética.

ssm-document-not-public

Certifique-se AWS de que os documentos do Systems Manager (SSM) não sejam públicos, pois isso pode permitir acesso não intencional aos seus documentos SSM. Um documento do SSM público pode expor informações sobre sua conta, recursos e processos internos.
T0284 Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética.

backup-recovery-point-manual-exclusão desativada

Certifique-se de que seus pontos AWS de recuperação de Backup tenham uma política baseada em recursos anexada que impeça a exclusão de pontos de recuperação. Usar uma política baseada em recursos para impedir a exclusão de pontos de recuperação pode ajudar a evitar a exclusão acidental ou intencional.
T0284 Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética.

cloud-trail-log-file-habilitado para validação

Utilize a validação do arquivo de AWS CloudTrail log para verificar a integridade dos CloudTrail registros. A validação do arquivo de log ajuda a determinar se um arquivo de log foi modificado, excluído ou inalterado após a CloudTrail entrega. Esse recurso é criado usando algoritmos padrão do setor: SHA-256 para hashing e SHA-256 com RSA para assinaturas digitais. Isso torna computacionalmente inviável modificar, excluir ou CloudTrail falsificar arquivos de log sem detecção.
T0284 Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética.

codebuild-project-envvar-awscred-verificar

Garanta que as credenciais AWS_ACCESS_KEY_ID de autenticação AWS_SECRET_ACCESS_KEY não existam nos ambientes do projeto AWS Codebuild. Não armazene essas variáveis em texto não criptografado. Armazenar essas variáveis em texto não criptografado pode causar exposição não intencional dos dados e acesso não autorizado.
T0284 Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética.

codebuild-project-source-repo-verificação de URL

Certifique-se de que o GitHub URL do repositório de origem do Bitbucket não contenha tokens de acesso pessoais e credenciais de login nos ambientes do projeto Codebuild. AWS Use OAuth em vez de tokens de acesso pessoal ou credenciais de login para conceder autorização para acessar GitHub nossos repositórios do Bitbucket.
T0284 Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética.

dms-replication-not-public

Gerencie o acesso à AWS nuvem garantindo que as instâncias de replicação do DMS não possam ser acessadas publicamente. As instâncias de replicação do DMS podem conter informações confidenciais, e o controle de acesso é necessário para essas contas.
T0284 Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética.

ebs-snapshot-public-restorable-verificar

Gerencie o acesso à AWS nuvem garantindo que os instantâneos do EBS não sejam restauráveis publicamente. Os instantâneos de volume do EBS podem conter informações confidenciais, e o controle de acesso é necessário para essas contas.
T0284 Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética.

ec2- instance-no-public-ip

Gerencie o acesso à AWS nuvem garantindo que as instâncias do Amazon Elastic Compute Cloud (Amazon EC2) não possam ser acessadas publicamente. EC2As instâncias da Amazon podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
T0284 Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética.

elasticsearch-in-vpc-only

Gerencie o acesso à AWS nuvem garantindo que os domínios do Amazon OpenSearch Service (OpenSearch Service) estejam dentro de uma Amazon Virtual Private Cloud (Amazon VPC). Um domínio OpenSearch de serviço em uma Amazon VPC permite a comunicação segura entre o OpenSearch serviço e outros serviços dentro da Amazon VPC sem a necessidade de um gateway de internet, dispositivo NAT ou conexão VPN.
T0284 Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética.

emr-kerberos-enabled

Ao habilitar o Kerberos para clusters do Amazon EMR, é possível gerenciar e incorporar as permissões e autorizações de acesso com os princípios de privilégio mínimo e separação de deveres. No Kerberos, os serviços e os usuários que precisam se autenticar são conhecidos como entidades principais. As entidades principais existem em um realm Kerberos. No realm, um servidor Kerberos é conhecido como o centro de distribuição de chaves (KDC). Ele fornece um meio para as entidades principais se autenticarem. A autenticação do KDC é feita com a emissão de tíquetes. O KDC mantém um banco de dados das entidades principais no realm, as senhas e outras informações administrativas sobre cada entidade principal.
T0284 Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética.

emr-master-no-public-ip

Gerencie o acesso à AWS nuvem garantindo que os nós principais do cluster Amazon EMR não possam ser acessados publicamente. Os nós principais do cluster do Amazon EMR podem conter informações confidenciais, e o controle de acesso é necessário para essas contas.
T0284 Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética.

iam-customer-policy-blocked-kms-actions

AWS O Identity and Access Management (IAM) pode ajudá-lo a incorporar os princípios de privilégio mínimo e separação de tarefas com permissões e autorizações de acesso, impedindo que as políticas contenham ações bloqueadas em AWS todas as chaves do Key Management Service. Ter mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres. Essa regra permite que você defina o blockedActionsPatterns parâmetro. (Valor AWS básico das melhores práticas de segurança: kms: Decrypt,). kms: ReEncryptFrom Os valores reais devem refletir as políticas da organização.
T0284 Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética.

iam-group-has-users-verificar

AWS O Identity and Access Management (IAM) pode ajudá-lo a incorporar os princípios de privilégio mínimo e separação de deveres com permissões e autorizações de acesso, garantindo que os grupos do IAM tenham pelo menos um usuário. Colocar usuários em grupos com base nas permissões associadas ou na função de trabalho é uma forma de incorporar o privilégio mínimo.
T0284 Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética.

iam-inline-policy-blocked-kms-actions

Certifique-se de que um usuário, uma função do IAM ou um grupo do IAM do AWS Identity and Access Management (IAM) não tenha uma política embutida para permitir ações bloqueadas em AWS todas as chaves do Key Management Service. AWS recomenda usar políticas gerenciadas em vez de políticas embutidas. As políticas gerenciadas permitem a reutilização, o versionamento, a reversão e a delegação do gerenciamento de permissões. Essa regra permite que você defina o blockedActionsPatterns parâmetro. (Valor AWS básico das melhores práticas de segurança: kms: Decrypt,). kms: ReEncryptFrom Os valores reais devem refletir as políticas da organização.
T0284 Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética.

iam-password-policy

As identidades e as credenciais são emitidas, gerenciadas e verificadas com base em uma política organizacional de senhas do IAM. Eles atendem ou excedem os requisitos estabelecidos pelo NIST SP 800-63 e pelo padrão AWS Foundational Security Best Practices para a força da senha. Essa regra permite que você defina opcionalmente RequireUppercaseCharacters (valor das melhores práticas de segurança AWS básicas: verdadeiro), RequireLowercaseCharacters (valor das melhores práticas de segurança AWS básicas: verdadeiro), RequireSymbols (valor das melhores práticas de segurança AWS básicas: verdadeiro), RequireNumbers (valor das melhores práticas de segurança AWS básicas: verdadeiro), MinimumPasswordLength (valor das melhores práticas de segurança AWS básicas: 14), PasswordReusePrevention (valor das melhores práticas de segurança AWS básicas: 24) e MaxPasswordAge (valor das melhores práticas de segurança AWS básica: 90) para seu IAM Política de senha. Os valores reais devem refletir as políticas da organização.
T0284 Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética.

iam-policy-no-statements-with-admin-access

AWS O Identity and Access Management (IAM) pode ajudá-lo a incorporar os princípios de privilégio mínimo e separação de deveres com permissões e autorizações de acesso, impedindo que as políticas contenham “Efeito”: “Permitir” com “Ação”: “*” sobre “Recurso”: “*”. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres.
T0284 Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética.

iam-root-access-key-verificar

O acesso a sistemas e ativos pode ser controlado verificando se o usuário raiz não tem chaves de acesso anexadas à sua função de AWS Identity and Access Management (IAM). Exclua as chaves de acesso raiz. Em vez disso, crie e use com base em funções Contas da AWS para ajudar a incorporar o princípio da menor funcionalidade.
T0284 Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética.

iam-user-group-membership-verificar

AWS O Identity and Access Management (IAM) pode ajudá-lo a restringir permissões e autorizações de acesso, garantindo que os usuários sejam membros de pelo menos um grupo. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres.
T0284 Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética.

iam-user-mfa-enabled

Habilite essa regra para restringir o acesso a recursos na Nuvem AWS . Essa regra garante que a autenticação multifator (MFA) esteja habilitada para todos os usuários. A MFA adiciona uma camada extra de proteção, além do nome de usuário e senha. Reduza os incidentes de contas comprometidas exigindo que os usuários utilizem a MFA.
T0284 Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética.

iam-user-no-policies-verificar

Essa regra garante que as políticas de AWS Identity and Access Management (IAM) sejam anexadas somente a grupos ou funções para controlar o acesso a sistemas e ativos. A atribuição de privilégios por grupo ou perfil ajuda a reduzir a oportunidade de uma identidade receber ou reter privilégios excessivos.
T0284 Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética.

iam-user-unused-credentials-verificar

AWS O Identity and Access Management (IAM) pode ajudá-lo com permissões e autorizações de acesso verificando senhas e chaves de acesso do IAM que não são usadas por um período de tempo especificado. Se essas credenciais não utilizadas forem identificadas, você deverá desabilitar e/ou removê-las, pois isso pode violar o princípio de privilégio mínimo. Essa regra exige que você defina um valor como maxCredentialUsage Idade (Config Default: 90). O valor real deve refletir as políticas da organização.
T0284 Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética.

lambda-function-public-access-proibido

Gerencie o acesso aos recursos na AWS nuvem garantindo que as funções do AWS Lambda não possam ser acessadas publicamente. O acesso público pode causar degradação da disponibilidade de recursos.
T0284 Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética.

lambda-inside-vpc

Implante funções AWS Lambda em uma Amazon Virtual Private Cloud (Amazon VPC) para uma comunicação segura entre uma função e outros serviços dentro da Amazon VPC. Com essa configuração, não há necessidade de um gateway da Internet, dispositivo NAT ou conexão VPN. Todo o tráfego permanece seguro na nuvem. AWS Devido ao seu isolamento lógico, os domínios que residem no Amazon VPC contam com uma camada adicional de segurança se comparados aos domínios que utilizam endpoints públicos. Para gerenciar adequadamente o acesso, as funções do AWS Lambda devem ser atribuídas a uma VPC.
T0284 Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética.

mfa-enabled-for-iam-acesso ao console

Gerencie o acesso aos recursos na AWS nuvem garantindo que a MFA esteja habilitada para todos os usuários do AWS Identity and Access Management (IAM) que tenham uma senha de console. A MFA adiciona uma camada extra de proteção, além das credenciais de login. Ao exigir que os usuários utilizem a MFA, você reduz os incidentes de contas comprometidas e impede que dados confidenciais sejam acessados por usuários não autorizados.
T0284 Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética.

opensearch-in-vpc-only

Gerencie o acesso à AWS nuvem garantindo que os domínios do Amazon Elasticsearch Service (Amazon ES) estejam dentro de uma Amazon Virtual Private Cloud (Amazon VPC). Colocar um domínio do Amazon ES no Amazon VPC permite uma comunicação segura entre o Amazon ES e os outros serviços no Amazon VPC, sem que seja necessário usar um gateway da Internet, um dispositivo NAT ou uma conexão VPN.
T0284 Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética.

rds-instance-public-access-verificar

Gerencie o acesso aos recursos na AWS nuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações confidenciais e princípios, e o controle de acesso é necessário para essas contas.
T0284 Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética.

rds-snapshots-public-prohibited

Gerencie o acesso aos recursos na AWS nuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações confidenciais e princípios, e o controle de acesso é necessário para essas contas.
T0284 Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética.

redshift-cluster-maintenancesettings-check

Essa regra garante que os clusters do Amazon Redshift tenham as configurações preferidas da organização. Especificamente, que eles tenham janelas de manutenção preferenciais e períodos automatizados de retenção de instantâneos para o banco de dados. Essa regra exige que você defina allowVersionUpgrade o. O padrão é true. Também permite definir opcionalmente o preferredMaintenanceWindow (o padrão é sat: 16:00 -sat: 16:30) e o automatedSnapshotRetention Período (o padrão é 1). Os valores reais devem refletir as políticas da organização.
T0284 Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética.

redshift-cluster-public-access-verificar

Gerencie o acesso aos recursos na AWS nuvem garantindo que os clusters do Amazon Redshift não sejam públicos. Os clusters do Amazon Redshift podem conter informações confidenciais e princípios, e o controle de acesso é necessário para essas contas.
T0284 Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética.

restricted-common-ports

Gerencie o acesso aos recursos na AWS nuvem garantindo que as portas comuns sejam restritas nos grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2). Não restringir o acesso às portas a fontes confiáveis pode permitir ataques contra a disponibilidade, a integridade e a confidencialidade dos sistemas. Essa regra permite que você defina opcionalmente os parâmetros blockedPort1-blockedPort5 (Padrões de configuração: 20.21.3389.3306.4333). Os valores reais devem refletir as políticas da organização.
T0284 Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética.

root-account-hardware-mfa-habilitado

Gerencie o acesso aos recursos na AWS nuvem garantindo que a MFA de hardware esteja habilitada para o usuário raiz. O usuário raiz é o mais privilegiado em uma Conta da AWS. A MFA adiciona uma camada extra de proteção, além das credenciais de login. Ao exigir MFA para o usuário raiz, você pode reduzir os incidentes de comprometimento. Contas da AWS
T0284 Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética.

root-account-mfa-enabled

Gerencie o acesso aos recursos na AWS nuvem garantindo que a MFA esteja habilitada para o usuário raiz. O usuário raiz é o mais privilegiado em uma Conta da AWS. A MFA adiciona uma camada extra de proteção, além do nome de usuário e senha. Ao exigir MFA para o usuário raiz, você pode reduzir os incidentes de comprometimento. Contas da AWS
T0284 Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética.

s3- bucket-public-read-prohibited

Gerencie o acesso aos recursos na AWS nuvem permitindo que somente usuários, processos e dispositivos autorizados acessem os buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados.
T0284 Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética.

s3- bucket-public-write-prohibited

Gerencie o acesso aos recursos na AWS nuvem permitindo que somente usuários, processos e dispositivos autorizados acessem os buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados.
T0284 Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética.

sagemaker-notebook-no-direct-acesso à internet

Gerencie o acesso aos recursos na AWS nuvem garantindo que os SageMaker notebooks da Amazon não permitam acesso direto à Internet. Ao impedir o acesso direto à internet, você impede que dados confidenciais sejam acessados por usuários não autorizados.
T0284 Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética.

subnet-auto-assign-public-ip desativado

Gerencie o acesso à AWS nuvem garantindo que as sub-redes da Amazon Virtual Private Cloud (VPC) não recebam automaticamente um endereço IP público. As instâncias do Amazon Elastic Compute Cloud (EC2) que são lançadas em sub-redes com esse atributo ativado têm um endereço IP público atribuído à sua interface de rede primária.
T0284 Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética.

vpc-default-security-group-fechado

Os grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2) podem ajudar no gerenciamento do acesso à rede fornecendo uma filtragem monitorada do tráfego de entrada e saída da rede para os recursos. AWS Restringir todo o tráfego no grupo de segurança padrão ajuda a restringir o acesso remoto aos seus AWS recursos.
T0284 Projete e desenvolva novas ferramentas/tecnologias relacionadas à segurança cibernética.

vpc-sg-open-only-to-authorized-ports

Gerencie o acesso aos recursos na AWS nuvem garantindo que as portas comuns sejam restritas aos grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2). Não restringir o acesso às portas a fontes confiáveis pode permitir ataques contra a disponibilidade, a integridade e a confidencialidade dos sistemas. Ao restringir o acesso a recursos em um grupo de segurança da internet (0.0.0.0/0), o acesso remoto pode ser controlado para sistemas internos.
T0306 Compatível com gerenciamento de incidentes, gerenciamento de níveis de serviço, gerenciamento de mudanças, gerenciamento de versões, gerenciamento de continuidade e gerenciamento de disponibilidade para bancos de dados e sistemas de gerenciamento de dados.

securityhub-enabled

AWS O Security Hub ajuda a monitorar pessoas, conexões, dispositivos e software não autorizados. AWS O Security Hub agrega, organiza e prioriza os alertas ou descobertas de segurança de vários serviços. AWS Alguns desses serviços são o Amazon Security Hub, o Amazon Inspector, o Amazon Macie AWS , o Identity and Access Management (IAM) Access Analyzer e o Firewall AWS Manager, além de soluções de parceiros. AWS
T0306 Compatível com gerenciamento de incidentes, gerenciamento de níveis de serviço, gerenciamento de mudanças, gerenciamento de versões, gerenciamento de continuidade e gerenciamento de disponibilidade para bancos de dados e sistemas de gerenciamento de dados.

cloudwatch-alarm-action-check

CloudWatch Os alarmes da Amazon alertam quando uma métrica ultrapassa o limite de um número específico de períodos de avaliação. O alarme executa uma ou mais ações com base no valor da métrica ou na expressão em relação a um limite em alguns períodos. Essa regra exige um valor para alarmActionRequired (Config Default: True), insufficientDataAction Obrigatório (Config Default: True), ( okActionRequired Config Default: False). O valor real deve refletir as ações de alarme do ambiente.
T0306 Compatível com gerenciamento de incidentes, gerenciamento de níveis de serviço, gerenciamento de mudanças, gerenciamento de versões, gerenciamento de continuidade e gerenciamento de disponibilidade para bancos de dados e sistemas de gerenciamento de dados.

guardduty-enabled-centralized

A Amazon GuardDuty pode ajudar a monitorar e detectar possíveis eventos de cibersegurança usando feeds de inteligência de ameaças. Isso inclui listas de aprendizado de máquina IPs e malicioso para identificar atividades inesperadas, não autorizadas e maliciosas em seu ambiente de AWS nuvem.
T0314 Desenvolva um contexto de segurança do sistema, um Conceito de Operações (CONOPS) preliminar de segurança do sistema e defina os requisitos básicos de segurança do sistema de acordo com os requisitos de segurança cibernética aplicáveis.

ec2- -manager instance-managed-by-systems

É possível fazer um inventário das plataformas de software e aplicativos dentro da organização gerenciando instâncias do Amazon Elastic Compute Cloud (Amazon EC2) com o AWS Systems Manager. Use o AWS Systems Manager para fornecer configurações detalhadas do sistema, níveis de patch do sistema operacional, nome e tipo de serviços, instalações de software, nome do aplicativo, editor e versão, além de outros detalhes sobre seu ambiente.
T0314 Desenvolva um contexto de segurança do sistema, um Conceito de Operações (CONOPS) preliminar de segurança do sistema e defina os requisitos básicos de segurança do sistema de acordo com os requisitos de segurança cibernética aplicáveis.

ec2- -check managedinstance-association-compliance-status

Use o AWS Systems Manager Associations para ajudar no inventário de plataformas e aplicativos de software em uma organização. AWS Systems Manager atribui um estado de configuração às instâncias gerenciadas e permite que você defina linhas de base de níveis de patch do sistema operacional, instalações de software, configurações de aplicações e outros detalhes sobre o ambiente.
T0314 Desenvolva um contexto de segurança do sistema, um Conceito de Operações (CONOPS) preliminar de segurança do sistema e defina os requisitos básicos de segurança do sistema de acordo com os requisitos de segurança cibernética aplicáveis.

ec2-stopped-instance

Ative essa regra para ajudar na configuração básica das instâncias do Amazon Elastic Compute Cloud EC2 (Amazon), verificando se as EC2 instâncias da Amazon foram interrompidas por mais do que o número permitido de dias, de acordo com os padrões da sua organização.
T0314 Desenvolva um contexto de segurança do sistema, um Conceito de Operações (CONOPS) preliminar de segurança do sistema e defina os requisitos básicos de segurança do sistema de acordo com os requisitos de segurança cibernética aplicáveis.

ec2- volume-inuse-check

Essa regra garante que os volumes do Amazon Elastic Block Store anexados às instâncias do Amazon Elastic Compute Cloud (Amazon EC2) sejam marcados para exclusão quando uma instância for encerrada. Se um volume do Amazon EBS não for excluído quando a instância à qual ele está anexado for encerrada, ele poderá violar o conceito de funcionalidade mínima.
T0314 Desenvolva um contexto de segurança do sistema, um Conceito de Operações (CONOPS) preliminar de segurança do sistema e defina os requisitos básicos de segurança do sistema de acordo com os requisitos de segurança cibernética aplicáveis.

elb-deletion-protection-enabled

Essa regra garante que o Elastic Load Balancing tenha a proteção contra exclusão habilitada. Use esse recurso para evitar que o balanceador de carga seja excluído de forma acidental ou mal-intencionada, o que pode levar à perda de disponibilidade das aplicações.
T0314 Desenvolva um contexto de segurança do sistema, um Conceito de Operações (CONOPS) preliminar de segurança do sistema e defina os requisitos básicos de segurança do sistema de acordo com os requisitos de segurança cibernética aplicáveis.

restricted-common-ports

Gerencie o acesso aos recursos na AWS nuvem garantindo que as portas comuns sejam restritas nos grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2). Não restringir o acesso às portas a fontes confiáveis pode permitir ataques contra a disponibilidade, a integridade e a confidencialidade dos sistemas. Essa regra permite que você defina opcionalmente os parâmetros blockedPort1-blockedPort5 (Padrões de configuração: 20.21.3389.3306.4333). Os valores reais devem refletir as políticas da organização.
T0333 Realize análises e relatórios de tendências de defesa cibernética.

securityhub-enabled

AWS O Security Hub ajuda a monitorar pessoas, conexões, dispositivos e software não autorizados. AWS O Security Hub agrega, organiza e prioriza os alertas ou descobertas de segurança de vários serviços. AWS Alguns desses serviços são o Amazon Security Hub, o Amazon Inspector, o Amazon Macie AWS , o Identity and Access Management (IAM) Access Analyzer e o Firewall AWS Manager, além de soluções de parceiros. AWS
T0333 Realize análises e relatórios de tendências de defesa cibernética.

guardduty-enabled-centralized

A Amazon GuardDuty pode ajudar a monitorar e detectar possíveis eventos de cibersegurança usando feeds de inteligência de ameaças. Isso inclui listas de aprendizado de máquina IPs e malicioso para identificar atividades inesperadas, não autorizadas e maliciosas em seu ambiente de AWS nuvem.
T0347 Avalie a validade dos dados de origem e das descobertas subsequentes.

guardduty-enabled-centralized

A Amazon GuardDuty pode ajudar a monitorar e detectar possíveis eventos de cibersegurança usando feeds de inteligência de ameaças. Isso inclui listas de aprendizado de máquina IPs e malicioso para identificar atividades inesperadas, não autorizadas e maliciosas em seu ambiente de AWS nuvem.
T0358 Projete e desenvolva a funcionalidade de administração e gerenciamento do sistema para usuários com acesso privilegiado.

iam-no-inline-policy-verificar

Certifique-se de que um usuário, uma função do IAM ou um grupo do IAM do AWS Identity and Access Management (IAM) não tenha uma política embutida para controlar o acesso a sistemas e ativos. AWS recomenda usar políticas gerenciadas em vez de políticas embutidas. As políticas gerenciadas permitem a reutilização, o versionamento, a reversão e a delegação do gerenciamento de permissões.
T0358 Projete e desenvolva a funcionalidade de administração e gerenciamento do sistema para usuários com acesso privilegiado.

iam-policy-no-statements-with-full-access

Garanta que as ações do IAM estejam restritas somente às ações necessárias. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres.
T0358 Projete e desenvolva a funcionalidade de administração e gerenciamento do sistema para usuários com acesso privilegiado.

iam-customer-policy-blocked-kms-actions

AWS O Identity and Access Management (IAM) pode ajudá-lo a incorporar os princípios de privilégio mínimo e separação de tarefas com permissões e autorizações de acesso, impedindo que as políticas contenham ações bloqueadas em AWS todas as chaves do Key Management Service. Ter mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres. Essa regra permite que você defina o blockedActionsPatterns parâmetro. (Valor AWS básico das melhores práticas de segurança: kms: Decrypt,). kms: ReEncryptFrom Os valores reais devem refletir as políticas da organização.
T0358 Projete e desenvolva a funcionalidade de administração e gerenciamento do sistema para usuários com acesso privilegiado.

iam-group-has-users-verificar

AWS O Identity and Access Management (IAM) pode ajudá-lo a incorporar os princípios de privilégio mínimo e separação de deveres com permissões e autorizações de acesso, garantindo que os grupos do IAM tenham pelo menos um usuário. Colocar usuários em grupos com base nas permissões associadas ou na função de trabalho é uma forma de incorporar o privilégio mínimo.
T0358 Projete e desenvolva a funcionalidade de administração e gerenciamento do sistema para usuários com acesso privilegiado.

iam-inline-policy-blocked-kms-actions

Certifique-se de que um usuário, uma função do IAM ou um grupo do IAM do AWS Identity and Access Management (IAM) não tenha uma política embutida para permitir ações bloqueadas em AWS todas as chaves do Key Management Service. AWS recomenda usar políticas gerenciadas em vez de políticas embutidas. As políticas gerenciadas permitem a reutilização, o versionamento, a reversão e a delegação do gerenciamento de permissões. Essa regra permite que você defina o blockedActionsPatterns parâmetro. (Valor AWS básico das melhores práticas de segurança: kms: Decrypt,). kms: ReEncryptFrom Os valores reais devem refletir as políticas da organização.
T0358 Projete e desenvolva a funcionalidade de administração e gerenciamento do sistema para usuários com acesso privilegiado.

iam-policy-no-statements-with-admin-access

AWS O Identity and Access Management (IAM) pode ajudá-lo a incorporar os princípios de privilégio mínimo e separação de deveres com permissões e autorizações de acesso, impedindo que as políticas contenham “Efeito”: “Permitir” com “Ação”: “*” sobre “Recurso”: “*”. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres.
T0358 Projete e desenvolva a funcionalidade de administração e gerenciamento do sistema para usuários com acesso privilegiado.

iam-user-group-membership-verificar

AWS O Identity and Access Management (IAM) pode ajudá-lo a restringir permissões e autorizações de acesso, garantindo que os usuários sejam membros de pelo menos um grupo. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres.
T0358 Projete e desenvolva a funcionalidade de administração e gerenciamento do sistema para usuários com acesso privilegiado.

iam-user-no-policies-verificar

Essa regra garante que as políticas de AWS Identity and Access Management (IAM) sejam anexadas somente a grupos ou funções para controlar o acesso a sistemas e ativos. A atribuição de privilégios por grupo ou perfil ajuda a reduzir a oportunidade de uma identidade receber ou reter privilégios excessivos.
T0376 Estabeleça, forneça recursos, implemente e avalie programas cibernéticos de gerenciamento da força de trabalho de acordo com os requisitos organizacionais.

ec2- instance-profile-attached

EC2 perfis de instância passam uma função do IAM para uma EC2 instância. Anexar um perfil de instância às instâncias pode ajudar no gerenciamento de privilégio mínimo e permissões.
T0376 Estabeleça, forneça recursos, implemente e avalie programas cibernéticos de gerenciamento da força de trabalho de acordo com os requisitos organizacionais.

ecs-task-definition-user-for-host-mode-check

Se uma definição de tarefa tem privilégios elevados, significa que o cliente optou especificamente por essas configurações. Esse controle verifica o aumento inesperado de privilégios quando uma definição de tarefa tem a rede de host habilitada e o cliente não optou por privilégios elevados.
T0376 Estabeleça, forneça recursos, implemente e avalie programas cibernéticos de gerenciamento da força de trabalho de acordo com os requisitos organizacionais.

elasticsearch-logs-to-cloudwatch

Certifique-se de que os domínios do Amazon OpenSearch Service tenham registros de erros habilitados e transmitidos para o Amazon CloudWatch Logs para retenção e resposta. Os logs de erros do domínio podem auxiliar nas auditorias de segurança e acesso, além de ajudar a diagnosticar problemas de disponibilidade.
T0376 Estabeleça, forneça recursos, implemente e avalie programas cibernéticos de gerenciamento da força de trabalho de acordo com os requisitos organizacionais.

iam-no-inline-policy-verificar

Certifique-se de que um usuário, uma função do IAM ou um grupo do IAM do AWS Identity and Access Management (IAM) não tenha uma política embutida para controlar o acesso a sistemas e ativos. AWS recomenda usar políticas gerenciadas em vez de políticas embutidas. As políticas gerenciadas permitem a reutilização, o versionamento, a reversão e a delegação do gerenciamento de permissões.
T0376 Estabeleça, forneça recursos, implemente e avalie programas cibernéticos de gerenciamento da força de trabalho de acordo com os requisitos organizacionais.

iam-policy-no-statements-with-full-access

Garanta que as ações do IAM estejam restritas somente às ações necessárias. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres.
T0376 Estabeleça, forneça recursos, implemente e avalie programas cibernéticos de gerenciamento da força de trabalho de acordo com os requisitos organizacionais.

multi-region-cloudtrail-enabled

AWS CloudTrail registra as ações do AWS Management Console e as chamadas de API. Você pode identificar quais usuários e contas ligaram AWS, o endereço IP de origem de onde as chamadas foram feitas e quando elas ocorreram. CloudTrail entregará arquivos de log de todas as AWS regiões para seu bucket do S3 se MULTI_REGION_CLOUD_TRAIL_ENABLED estiver habilitado. Além disso, ao AWS lançar uma nova região, CloudTrail criará a mesma trilha na nova região. Como resultado, você receberá arquivos de log contendo a atividade da API para a nova região sem realizar nenhuma ação.
T0376 Estabeleça, forneça recursos, implemente e avalie programas cibernéticos de gerenciamento da força de trabalho de acordo com os requisitos organizacionais.

rds-logging-enabled

Para ajudar no registro em log e no monitoramento em seu ambiente, habilite o registro em log do Amazon Relational Database Service (Amazon RDS). Com o registro em log do Amazon RDS, você pode capturar eventos como conexões, desconexões, consultas ou tabelas consultadas.
T0376 Estabeleça, forneça recursos, implemente e avalie programas cibernéticos de gerenciamento da força de trabalho de acordo com os requisitos organizacionais.

cloud-trail-cloud-watch-logs-habilitado

Use CloudWatch a Amazon para coletar e gerenciar centralmente a atividade de eventos de log. A inclusão de AWS CloudTrail dados fornece detalhes da atividade de chamadas de API em seu Conta da AWS.
T0376 Estabeleça, forneça recursos, implemente e avalie programas cibernéticos de gerenciamento da força de trabalho de acordo com os requisitos organizacionais.

cloudtrail-enabled

AWS CloudTrail pode ajudar na não repúdio gravando ações do AWS Management Console e chamadas de API. Você pode identificar os usuários e os Contas da AWS que chamaram um AWS serviço, o endereço IP de origem onde as chamadas foram geradas e os horários das chamadas. Os detalhes dos dados capturados são vistos no Conteúdo do AWS CloudTrail Registro.
T0376 Estabeleça, forneça recursos, implemente e avalie programas cibernéticos de gerenciamento da força de trabalho de acordo com os requisitos organizacionais.

cloudtrail-s3-dataevents-enabled

A coleta de eventos de dados do Simple Storage Service (Amazon S3) ajuda a detectar qualquer atividade anômala. Os detalhes incluem informações da conta da AWS que acessou um bucket do Amazon S3, o endereço IP e o horário do evento.
T0376 Estabeleça, forneça recursos, implemente e avalie programas cibernéticos de gerenciamento da força de trabalho de acordo com os requisitos organizacionais.

emr-kerberos-enabled

Ao habilitar o Kerberos para clusters do Amazon EMR, é possível gerenciar e incorporar as permissões e autorizações de acesso com os princípios de privilégio mínimo e separação de deveres. No Kerberos, os serviços e os usuários que precisam se autenticar são conhecidos como entidades principais. As entidades principais existem em um realm Kerberos. No realm, um servidor Kerberos é conhecido como o centro de distribuição de chaves (KDC). Ele fornece um meio para as entidades principais se autenticarem. A autenticação do KDC é feita com a emissão de tíquetes. O KDC mantém um banco de dados das entidades principais no realm, as senhas e outras informações administrativas sobre cada entidade principal.
T0376 Estabeleça, forneça recursos, implemente e avalie programas cibernéticos de gerenciamento da força de trabalho de acordo com os requisitos organizacionais.

iam-customer-policy-blocked-kms-actions

AWS O Identity and Access Management (IAM) pode ajudá-lo a incorporar os princípios de privilégio mínimo e separação de tarefas com permissões e autorizações de acesso, impedindo que as políticas contenham ações bloqueadas em AWS todas as chaves do Key Management Service. Ter mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres. Essa regra permite que você defina o blockedActionsPatterns parâmetro. (Valor AWS básico das melhores práticas de segurança: kms: Decrypt,). kms: ReEncryptFrom Os valores reais devem refletir as políticas da organização.
T0376 Estabeleça, forneça recursos, implemente e avalie programas cibernéticos de gerenciamento da força de trabalho de acordo com os requisitos organizacionais.

iam-group-has-users-verificar

AWS O Identity and Access Management (IAM) pode ajudá-lo a incorporar os princípios de privilégio mínimo e separação de deveres com permissões e autorizações de acesso, garantindo que os grupos do IAM tenham pelo menos um usuário. Colocar usuários em grupos com base nas permissões associadas ou na função de trabalho é uma forma de incorporar o privilégio mínimo.
T0376 Estabeleça, forneça recursos, implemente e avalie programas cibernéticos de gerenciamento da força de trabalho de acordo com os requisitos organizacionais.

iam-inline-policy-blocked-kms-actions

Certifique-se de que um usuário, uma função do IAM ou um grupo do IAM do AWS Identity and Access Management (IAM) não tenha uma política embutida para permitir ações bloqueadas em AWS todas as chaves do Key Management Service. AWS recomenda usar políticas gerenciadas em vez de políticas embutidas. As políticas gerenciadas permitem a reutilização, o versionamento, a reversão e a delegação do gerenciamento de permissões. Essa regra permite que você defina o blockedActionsPatterns parâmetro. (Valor AWS básico das melhores práticas de segurança: kms: Decrypt,). kms: ReEncryptFrom Os valores reais devem refletir as políticas da organização.
T0376 Estabeleça, forneça recursos, implemente e avalie programas cibernéticos de gerenciamento da força de trabalho de acordo com os requisitos organizacionais.

iam-policy-no-statements-with-admin-access

AWS O Identity and Access Management (IAM) pode ajudá-lo a incorporar os princípios de privilégio mínimo e separação de deveres com permissões e autorizações de acesso, impedindo que as políticas contenham “Efeito”: “Permitir” com “Ação”: “*” sobre “Recurso”: “*”. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres.
T0376 Estabeleça, forneça recursos, implemente e avalie programas cibernéticos de gerenciamento da força de trabalho de acordo com os requisitos organizacionais.

iam-user-group-membership-verificar

AWS O Identity and Access Management (IAM) pode ajudá-lo a restringir permissões e autorizações de acesso, garantindo que os usuários sejam membros de pelo menos um grupo. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres.
T0376 Estabeleça, forneça recursos, implemente e avalie programas cibernéticos de gerenciamento da força de trabalho de acordo com os requisitos organizacionais.

iam-user-no-policies-verificar

Essa regra garante que as políticas de AWS Identity and Access Management (IAM) sejam anexadas somente a grupos ou funções para controlar o acesso a sistemas e ativos. A atribuição de privilégios por grupo ou perfil ajuda a reduzir a oportunidade de uma identidade receber ou reter privilégios excessivos.
T0376 Estabeleça, forneça recursos, implemente e avalie programas cibernéticos de gerenciamento da força de trabalho de acordo com os requisitos organizacionais.

s3- bucket-logging-enabled

O registro em log de acesso ao servidor do Amazon Simple Storage Service (Amazon S3) fornece um método para monitorar a rede em busca de possíveis eventos de segurança cibernética. Os eventos são monitorados pela captura de registros detalhados das solicitações que são feitas a um bucket do Amazon S3. Cada registro de log de acesso fornece detalhes sobre uma única solicitação de acesso. Os detalhes incluem solicitante, nome do bucket, horário da solicitação, ação da solicitação, status da resposta e um código de erro, se relevante.
T0376 Estabeleça, forneça recursos, implemente e avalie programas cibernéticos de gerenciamento da força de trabalho de acordo com os requisitos organizacionais.

vpc-flow-logs-enabled

Os logs de fluxo da VPC fornecem registros detalhados de informações sobre o tráfego de IP de entrada e saída das interfaces de rede no Amazon Virtual Private Cloud (Amazon VPC). Por padrão, o registro de log de fluxo inclui valores para os diferentes componentes do fluxo de IP, incluindo a origem, o destino e o protocolo.
T0416 Habilite aplicações com chave pública aproveitando as bibliotecas existentes de infraestrutura de chave pública (PKI) e incorporando funcionalidades de gerenciamento e criptografia de certificados quando apropriado.

acm-certificate-expiration-check

Garanta que a integridade da rede seja protegida garantindo que os certificados X509 sejam emitidos pelo AWS ACM. Esses certificados devem ser válidos e estar dentro do prazo de validade. Essa regra exige um valor para daysToExpiration (valor das melhores práticas de segurança AWS básicas: 90). O valor real deve refletir as políticas da organização.
T0416 Habilite aplicações com chave pública aproveitando as bibliotecas existentes de infraestrutura de chave pública (PKI) e incorporando funcionalidades de gerenciamento e criptografia de certificados quando apropriado.

alb-http-to-https-verificação de redirecionamento

Para ajudar a proteger os dados em trânsito, garanta que o Application Load Balancer redirecione automaticamente as solicitações HTTP não criptografadas para HTTPS. Como pode haver dados confidenciais, habilite a criptografia em trânsito para ajudar a protegê-los.
T0416 Habilite aplicações com chave pública aproveitando as bibliotecas existentes de infraestrutura de chave pública (PKI) e incorporando funcionalidades de gerenciamento e criptografia de certificados quando apropriado.

elasticsearch-node-to-node-verificação de criptografia

Certifique-se node-to-node de que a criptografia para o Amazon OpenSearch Service esteja ativada. Node-to-nodea criptografia permite a criptografia TLS 1.2 para todas as comunicações dentro da Amazon Virtual Private Cloud (Amazon VPC). Como pode haver dados confidenciais, habilite a criptografia em trânsito para ajudar a protegê-los.
T0416 Habilite aplicações com chave pública aproveitando as bibliotecas existentes de infraestrutura de chave pública (PKI) e incorporando funcionalidades de gerenciamento e criptografia de certificados quando apropriado.

elbv2- acm-certificate-required

Como pode haver dados confidenciais, e para ajudar a proteger os dados em trânsito, habilite a criptografia para o Elastic Load Balancing. Use o AWS Certificate Manager para gerenciar, provisionar e implantar certificados SSL/TLS públicos e privados com AWS serviços e recursos internos.
T0416 Habilite aplicações com chave pública aproveitando as bibliotecas existentes de infraestrutura de chave pública (PKI) e incorporando funcionalidades de gerenciamento e criptografia de certificados quando apropriado.

elb-acm-certificate-required

Como pode haver dados confidenciais, e para ajudar a proteger os dados em trânsito, habilite a criptografia para o Elastic Load Balancing. Use o AWS Certificate Manager para gerenciar, provisionar e implantar certificados SSL/TLS públicos e privados com AWS serviços e recursos internos.
T0416 Habilite aplicações com chave pública aproveitando as bibliotecas existentes de infraestrutura de chave pública (PKI) e incorporando funcionalidades de gerenciamento e criptografia de certificados quando apropriado.

elb-tls-https-listeners-somente

Certifique-se de que seus Elastic Load Balancers (ELBs) estejam configurados com ouvintes SSL ou HTTPS. Como pode haver dados confidenciais, habilite a criptografia em trânsito para ajudar a protegê-los.
T0416 Habilite aplicações com chave pública aproveitando as bibliotecas existentes de infraestrutura de chave pública (PKI) e incorporando funcionalidades de gerenciamento e criptografia de certificados quando apropriado.

opensearch-node-to-node-verificação de criptografia

Certifique-se node-to-node de que a criptografia para o Amazon OpenSearch Service esteja ativada. Node-to-nodea criptografia permite a criptografia TLS 1.2 para todas as comunicações dentro da Amazon Virtual Private Cloud (Amazon VPC). Como pode haver dados confidenciais, habilite a criptografia em trânsito para ajudar a protegê-los.
T0416 Habilite aplicações com chave pública aproveitando as bibliotecas existentes de infraestrutura de chave pública (PKI) e incorporando funcionalidades de gerenciamento e criptografia de certificados quando apropriado.

redshift-require-tls-ssl

Os clusters do Amazon Redshift devem exigir criptografia TLS/SSL para se conectar aos clientes SQL. Como pode haver dados confidenciais, habilite a criptografia em trânsito para ajudar a protegê-los.
T0416 Habilite aplicações com chave pública aproveitando as bibliotecas existentes de infraestrutura de chave pública (PKI) e incorporando funcionalidades de gerenciamento e criptografia de certificados quando apropriado.

s3- bucket-ssl-requests-only

Para ajudar a proteger dados em trânsito, os buckets do Amazon Simple Storage Service (Amazon S3) devem exigir solicitações de uso do Secure Socket Layer (SSL). Como pode haver dados confidenciais, habilite a criptografia em trânsito para ajudar a protegê-los.
T0416 Habilite aplicações com chave pública aproveitando as bibliotecas existentes de infraestrutura de chave pública (PKI) e incorporando funcionalidades de gerenciamento e criptografia de certificados quando apropriado.

api-gw-ssl-enabled

Configure os estágios da API REST do Amazon API Gateway com certificados SSL para permitir que os sistemas de back-end autentiquem o API Gateway como origem das solicitações.
T0421 Gerencie a indexação/catalogação, o armazenamento e o acesso ao conhecimento organizacional explícito (por exemplo, documentos impressos, arquivos digitais).

autoscaling-launch-config-public-ip desativado

Se você configurar suas interfaces de rede com um endereço IP público, os recursos associados a essas interfaces de rede poderão ser acessados pela Internet. EC2 os recursos não devem ser acessíveis ao público, pois isso pode permitir acesso não intencional aos seus aplicativos ou servidores.
T0421 Gerencie a indexação/catalogação, o armazenamento e o acesso ao conhecimento organizacional explícito (por exemplo, documentos impressos, arquivos digitais).

dms-replication-not-public

Gerencie o acesso à AWS nuvem garantindo que as instâncias de replicação do DMS não possam ser acessadas publicamente. As instâncias de replicação do DMS podem conter informações confidenciais, e o controle de acesso é necessário para essas contas.
T0421 Gerencie a indexação/catalogação, o armazenamento e o acesso ao conhecimento organizacional explícito (por exemplo, documentos impressos, arquivos digitais).

ebs-snapshot-public-restorable-verificar

Gerencie o acesso à AWS nuvem garantindo que os instantâneos do EBS não sejam restauráveis publicamente. Os instantâneos de volume do EBS podem conter informações confidenciais, e o controle de acesso é necessário para essas contas.
T0421 Gerencie a indexação/catalogação, o armazenamento e o acesso ao conhecimento organizacional explícito (por exemplo, documentos impressos, arquivos digitais).

ec2- instance-no-public-ip

Gerencie o acesso à AWS nuvem garantindo que as instâncias do Amazon Elastic Compute Cloud (Amazon EC2) não possam ser acessadas publicamente. EC2As instâncias da Amazon podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
T0421 Gerencie a indexação/catalogação, o armazenamento e o acesso ao conhecimento organizacional explícito (por exemplo, documentos impressos, arquivos digitais).

emr-master-no-public-ip

Gerencie o acesso à AWS nuvem garantindo que os nós principais do cluster Amazon EMR não possam ser acessados publicamente. Os nós principais do cluster do Amazon EMR podem conter informações confidenciais, e o controle de acesso é necessário para essas contas.
T0421 Gerencie a indexação/catalogação, o armazenamento e o acesso ao conhecimento organizacional explícito (por exemplo, documentos impressos, arquivos digitais).

lambda-function-public-access-proibido

Gerencie o acesso aos recursos na AWS nuvem garantindo que as funções do AWS Lambda não possam ser acessadas publicamente. O acesso público pode causar degradação da disponibilidade de recursos.
T0421 Gerencie a indexação/catalogação, o armazenamento e o acesso ao conhecimento organizacional explícito (por exemplo, documentos impressos, arquivos digitais).

rds-instance-public-access-verificar

Gerencie o acesso aos recursos na AWS nuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações confidenciais e princípios, e o controle de acesso é necessário para essas contas.
T0421 Gerencie a indexação/catalogação, o armazenamento e o acesso ao conhecimento organizacional explícito (por exemplo, documentos impressos, arquivos digitais).

rds-snapshots-public-prohibited

Gerencie o acesso aos recursos na AWS nuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações confidenciais e princípios, e o controle de acesso é necessário para essas contas.
T0421 Gerencie a indexação/catalogação, o armazenamento e o acesso ao conhecimento organizacional explícito (por exemplo, documentos impressos, arquivos digitais).

redshift-cluster-public-access-verificar

Gerencie o acesso aos recursos na AWS nuvem garantindo que os clusters do Amazon Redshift não sejam públicos. Os clusters do Amazon Redshift podem conter informações confidenciais e princípios, e o controle de acesso é necessário para essas contas.
T0421 Gerencie a indexação/catalogação, o armazenamento e o acesso ao conhecimento organizacional explícito (por exemplo, documentos impressos, arquivos digitais).

s3- account-level-public-access -blocos-periódicos

Gerencie o acesso aos recursos na AWS nuvem garantindo que os buckets do Amazon Simple Storage Service (Amazon S3) não possam ser acessados publicamente. Essa regra ajuda a manter os dados confidenciais protegidos de usuários remotos não autorizados, impedindo o acesso público. Essa regra permite que você defina opcionalmente ignorePublicAcls (Config Default: True), blockPublicPolicy (Config Default: True), blockPublicAcls (Config Default: True) e restrictPublicBuckets parâmetros (Config Default: True). Os valores reais devem refletir as políticas da organização.
T0421 Gerencie a indexação/catalogação, o armazenamento e o acesso ao conhecimento organizacional explícito (por exemplo, documentos impressos, arquivos digitais).

s3- bucket-public-read-prohibited

Gerencie o acesso aos recursos na AWS nuvem permitindo que somente usuários, processos e dispositivos autorizados acessem os buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados.
T0421 Gerencie a indexação/catalogação, o armazenamento e o acesso ao conhecimento organizacional explícito (por exemplo, documentos impressos, arquivos digitais).

s3- bucket-public-write-prohibited

Gerencie o acesso aos recursos na AWS nuvem permitindo que somente usuários, processos e dispositivos autorizados acessem os buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados.
T0421 Gerencie a indexação/catalogação, o armazenamento e o acesso ao conhecimento organizacional explícito (por exemplo, documentos impressos, arquivos digitais).

ssm-document-not-public

Certifique-se AWS de que os documentos do Systems Manager (SSM) não sejam públicos, pois isso pode permitir acesso não intencional aos seus documentos SSM. Um documento do SSM público pode expor informações sobre sua conta, recursos e processos internos.
T0421 Gerencie a indexação/catalogação, o armazenamento e o acesso ao conhecimento organizacional explícito (por exemplo, documentos impressos, arquivos digitais).

emr-kerberos-enabled

Ao habilitar o Kerberos para clusters do Amazon EMR, é possível gerenciar e incorporar as permissões e autorizações de acesso com os princípios de privilégio mínimo e separação de deveres. No Kerberos, os serviços e os usuários que precisam se autenticar são conhecidos como entidades principais. As entidades principais existem em um realm Kerberos. No realm, um servidor Kerberos é conhecido como o centro de distribuição de chaves (KDC). Ele fornece um meio para as entidades principais se autenticarem. A autenticação do KDC é feita com a emissão de tíquetes. O KDC mantém um banco de dados das entidades principais no realm, as senhas e outras informações administrativas sobre cada entidade principal.
T0421 Gerencie a indexação/catalogação, o armazenamento e o acesso ao conhecimento organizacional explícito (por exemplo, documentos impressos, arquivos digitais).

subnet-auto-assign-public-ip desativado

Gerencie o acesso à AWS nuvem garantindo que as sub-redes da Amazon Virtual Private Cloud (VPC) não recebam automaticamente um endereço IP público. As instâncias do Amazon Elastic Compute Cloud (EC2) que são lançadas em sub-redes com esse atributo ativado têm um endereço IP público atribuído à sua interface de rede primária.
T0475 Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know

autoscaling-launch-config-public-ip desativado

Se você configurar suas interfaces de rede com um endereço IP público, os recursos associados a essas interfaces de rede poderão ser acessados pela Internet. EC2 os recursos não devem ser acessíveis ao público, pois isso pode permitir acesso não intencional aos seus aplicativos ou servidores.
T0475 Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know

ec2- instance-profile-attached

EC2 perfis de instância passam uma função do IAM para uma EC2 instância. Anexar um perfil de instância às instâncias pode ajudar no gerenciamento de privilégio mínimo e permissões.
T0475 Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know

ecs-task-definition-user-for-host-mode-check

Se uma definição de tarefa tem privilégios elevados, significa que o cliente optou especificamente por essas configurações. Esse controle verifica o aumento inesperado de privilégios quando uma definição de tarefa tem a rede de host habilitada e o cliente não optou por privilégios elevados.
T0475 Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know

iam-no-inline-policy-verificar

Certifique-se de que um usuário, uma função do IAM ou um grupo do IAM do AWS Identity and Access Management (IAM) não tenha uma política embutida para controlar o acesso a sistemas e ativos. AWS recomenda usar políticas gerenciadas em vez de políticas embutidas. As políticas gerenciadas permitem a reutilização, o versionamento, a reversão e a delegação do gerenciamento de permissões.
T0475 Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know

iam-policy-no-statements-with-full-access

Garanta que as ações do IAM estejam restritas somente às ações necessárias. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres.
T0475 Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know

ec2- instances-in-vpc

Implante instâncias do Amazon Elastic Compute Cloud (Amazon EC2) em uma Amazon Virtual Private Cloud (Amazon VPC) para permitir a comunicação segura entre uma instância e outros serviços dentro da Amazon VPC, sem exigir um gateway de internet, dispositivo NAT ou conexão VPN. Todo o tráfego permanece seguro na nuvem. AWS Devido ao seu isolamento lógico, os domínios que residem no Amazon VPC contam com uma camada adicional de segurança se comparados aos domínios que utilizam endpoints públicos. Atribua EC2 instâncias da Amazon a uma Amazon VPC para gerenciar adequadamente o acesso.
T0475 Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know

s3- account-level-public-access -blocos-periódicos

Gerencie o acesso aos recursos na AWS nuvem garantindo que os buckets do Amazon Simple Storage Service (Amazon S3) não possam ser acessados publicamente. Essa regra ajuda a manter os dados confidenciais protegidos de usuários remotos não autorizados, impedindo o acesso público. Essa regra permite que você defina opcionalmente ignorePublicAcls (Config Default: True), blockPublicPolicy (Config Default: True), blockPublicAcls (Config Default: True) e restrictPublicBuckets parâmetros (Config Default: True). Os valores reais devem refletir as políticas da organização.
T0475 Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know

ssm-document-not-public

Certifique-se AWS de que os documentos do Systems Manager (SSM) não sejam públicos, pois isso pode permitir acesso não intencional aos seus documentos SSM. Um documento do SSM público pode expor informações sobre sua conta, recursos e processos internos.
T0475 Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know

dms-replication-not-public

Gerencie o acesso à AWS nuvem garantindo que as instâncias de replicação do DMS não possam ser acessadas publicamente. As instâncias de replicação do DMS podem conter informações confidenciais, e o controle de acesso é necessário para essas contas.
T0475 Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know

ebs-snapshot-public-restorable-verificar

Gerencie o acesso à AWS nuvem garantindo que os instantâneos do EBS não sejam restauráveis publicamente. Os instantâneos de volume do EBS podem conter informações confidenciais, e o controle de acesso é necessário para essas contas.
T0475 Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know

ec2- instance-no-public-ip

Gerencie o acesso à AWS nuvem garantindo que as instâncias do Amazon Elastic Compute Cloud (Amazon EC2) não possam ser acessadas publicamente. EC2As instâncias da Amazon podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
T0475 Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know

elasticsearch-in-vpc-only

Gerencie o acesso à AWS nuvem garantindo que os domínios do Amazon OpenSearch Service (OpenSearch Service) estejam dentro de uma Amazon Virtual Private Cloud (Amazon VPC). Um domínio OpenSearch de serviço em uma Amazon VPC permite a comunicação segura entre o OpenSearch serviço e outros serviços dentro da Amazon VPC sem a necessidade de um gateway de internet, dispositivo NAT ou conexão VPN.
T0475 Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know

emr-kerberos-enabled

Ao habilitar o Kerberos para clusters do Amazon EMR, é possível gerenciar e incorporar as permissões e autorizações de acesso com os princípios de privilégio mínimo e separação de deveres. No Kerberos, os serviços e os usuários que precisam se autenticar são conhecidos como entidades principais. As entidades principais existem em um realm Kerberos. No realm, um servidor Kerberos é conhecido como o centro de distribuição de chaves (KDC). Ele fornece um meio para as entidades principais se autenticarem. A autenticação do KDC é feita com a emissão de tíquetes. O KDC mantém um banco de dados das entidades principais no realm, as senhas e outras informações administrativas sobre cada entidade principal.
T0475 Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know

emr-master-no-public-ip

Gerencie o acesso à AWS nuvem garantindo que os nós principais do cluster Amazon EMR não possam ser acessados publicamente. Os nós principais do cluster do Amazon EMR podem conter informações confidenciais, e o controle de acesso é necessário para essas contas.
T0475 Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know

iam-customer-policy-blocked-kms-actions

AWS O Identity and Access Management (IAM) pode ajudá-lo a incorporar os princípios de privilégio mínimo e separação de tarefas com permissões e autorizações de acesso, impedindo que as políticas contenham ações bloqueadas em AWS todas as chaves do Key Management Service. Ter mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres. Essa regra permite que você defina o blockedActionsPatterns parâmetro. (Valor AWS básico das melhores práticas de segurança: kms: Decrypt,). kms: ReEncryptFrom Os valores reais devem refletir as políticas da organização.
T0475 Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know

iam-group-has-users-verificar

AWS O Identity and Access Management (IAM) pode ajudá-lo a incorporar os princípios de privilégio mínimo e separação de deveres com permissões e autorizações de acesso, garantindo que os grupos do IAM tenham pelo menos um usuário. Colocar usuários em grupos com base nas permissões associadas ou na função de trabalho é uma forma de incorporar o privilégio mínimo.
T0475 Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know

iam-inline-policy-blocked-kms-actions

Certifique-se de que um usuário, uma função do IAM ou um grupo do IAM do AWS Identity and Access Management (IAM) não tenha uma política embutida para permitir ações bloqueadas em AWS todas as chaves do Key Management Service. AWS recomenda usar políticas gerenciadas em vez de políticas embutidas. As políticas gerenciadas permitem a reutilização, o versionamento, a reversão e a delegação do gerenciamento de permissões. Essa regra permite que você defina o blockedActionsPatterns parâmetro. (Valor AWS básico das melhores práticas de segurança: kms: Decrypt,). kms: ReEncryptFrom Os valores reais devem refletir as políticas da organização.
T0475 Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know

iam-policy-no-statements-with-admin-access

AWS O Identity and Access Management (IAM) pode ajudá-lo a incorporar os princípios de privilégio mínimo e separação de deveres com permissões e autorizações de acesso, impedindo que as políticas contenham “Efeito”: “Permitir” com “Ação”: “*” sobre “Recurso”: “*”. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres.
T0475 Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know

iam-root-access-key-verificar

O acesso a sistemas e ativos pode ser controlado verificando se o usuário raiz não tem chaves de acesso anexadas à sua função de AWS Identity and Access Management (IAM). Exclua as chaves de acesso raiz. Em vez disso, crie e use com base em funções Contas da AWS para ajudar a incorporar o princípio da menor funcionalidade.
T0475 Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know

iam-user-group-membership-verificar

AWS O Identity and Access Management (IAM) pode ajudá-lo a restringir permissões e autorizações de acesso, garantindo que os usuários sejam membros de pelo menos um grupo. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres.
T0475 Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know

iam-user-no-policies-verificar

Essa regra garante que as políticas de AWS Identity and Access Management (IAM) sejam anexadas somente a grupos ou funções para controlar o acesso a sistemas e ativos. A atribuição de privilégios por grupo ou perfil ajuda a reduzir a oportunidade de uma identidade receber ou reter privilégios excessivos.
T0475 Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know

iam-user-unused-credentials-verificar

AWS O Identity and Access Management (IAM) pode ajudá-lo com permissões e autorizações de acesso verificando senhas e chaves de acesso do IAM que não são usadas por um período de tempo especificado. Se essas credenciais não utilizadas forem identificadas, você deverá desabilitar e/ou removê-las, pois isso pode violar o princípio de privilégio mínimo. Essa regra exige que você defina um valor como maxCredentialUsage Idade (Config Default: 90). O valor real deve refletir as políticas da organização.
T0475 Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know

lambda-function-public-access-proibido

Gerencie o acesso aos recursos na AWS nuvem garantindo que as funções do AWS Lambda não possam ser acessadas publicamente. O acesso público pode causar degradação da disponibilidade de recursos.
T0475 Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know

lambda-inside-vpc

Implante funções AWS Lambda em uma Amazon Virtual Private Cloud (Amazon VPC) para uma comunicação segura entre uma função e outros serviços dentro da Amazon VPC. Com essa configuração, não há necessidade de um gateway da Internet, dispositivo NAT ou conexão VPN. Todo o tráfego permanece seguro na nuvem. AWS Devido ao seu isolamento lógico, os domínios que residem no Amazon VPC contam com uma camada adicional de segurança se comparados aos domínios que utilizam endpoints públicos. Para gerenciar adequadamente o acesso, as funções do AWS Lambda devem ser atribuídas a uma VPC.
T0475 Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know

opensearch-in-vpc-only

Gerencie o acesso à AWS nuvem garantindo que os domínios do Amazon Elasticsearch Service (Amazon ES) estejam dentro de uma Amazon Virtual Private Cloud (Amazon VPC). Colocar um domínio do Amazon ES no Amazon VPC permite uma comunicação segura entre o Amazon ES e os outros serviços no Amazon VPC, sem que seja necessário usar um gateway da Internet, um dispositivo NAT ou uma conexão VPN.
T0475 Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know

rds-instance-public-access-verificar

Gerencie o acesso aos recursos na AWS nuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações confidenciais e princípios, e o controle de acesso é necessário para essas contas.
T0475 Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know

rds-snapshots-public-prohibited

Gerencie o acesso aos recursos na AWS nuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações confidenciais e princípios, e o controle de acesso é necessário para essas contas.
T0475 Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know

redshift-cluster-public-access-verificar

Gerencie o acesso aos recursos na AWS nuvem garantindo que os clusters do Amazon Redshift não sejam públicos. Os clusters do Amazon Redshift podem conter informações confidenciais e princípios, e o controle de acesso é necessário para essas contas.
T0475 Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know

s3- bucket-public-read-prohibited

Gerencie o acesso aos recursos na AWS nuvem permitindo que somente usuários, processos e dispositivos autorizados acessem os buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados.
T0475 Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know

s3- bucket-public-write-prohibited

Gerencie o acesso aos recursos na AWS nuvem permitindo que somente usuários, processos e dispositivos autorizados acessem os buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados.
T0475 Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know

sagemaker-notebook-no-direct-acesso à internet

Gerencie o acesso aos recursos na AWS nuvem garantindo que os SageMaker notebooks da Amazon não permitam acesso direto à Internet. Ao impedir o acesso direto à internet, você impede que dados confidenciais sejam acessados por usuários não autorizados.
T0475 Avalie os controles de acesso adequados com base nos princípios de privilégio mínimo e. need-to-know

subnet-auto-assign-public-ip desativado

Gerencie o acesso à AWS nuvem garantindo que as sub-redes da Amazon Virtual Private Cloud (VPC) não recebam automaticamente um endereço IP público. As instâncias do Amazon Elastic Compute Cloud (EC2) que são lançadas em sub-redes com esse atributo ativado têm um endereço IP público atribuído à sua interface de rede primária.
T0489 Implemente medidas de segurança do sistema de acordo com os procedimentos estabelecidos para garantir confidencialidade, integridade, disponibilidade, autenticação e não repúdio.

elasticsearch-logs-to-cloudwatch

Certifique-se de que os domínios do Amazon OpenSearch Service tenham registros de erros habilitados e transmitidos para o Amazon CloudWatch Logs para retenção e resposta. Os logs de erros do domínio podem auxiliar nas auditorias de segurança e acesso, além de ajudar a diagnosticar problemas de disponibilidade.
T0489 Implemente medidas de segurança do sistema de acordo com os procedimentos estabelecidos para garantir confidencialidade, integridade, disponibilidade, autenticação e não repúdio.

multi-region-cloudtrail-enabled

AWS CloudTrail registra as ações do AWS Management Console e as chamadas de API. Você pode identificar quais usuários e contas ligaram AWS, o endereço IP de origem de onde as chamadas foram feitas e quando elas ocorreram. CloudTrail entregará arquivos de log de todas as AWS regiões para seu bucket do S3 se MULTI_REGION_CLOUD_TRAIL_ENABLED estiver habilitado. Além disso, ao AWS lançar uma nova região, CloudTrail criará a mesma trilha na nova região. Como resultado, você receberá arquivos de log contendo a atividade da API para a nova região sem realizar nenhuma ação.
T0489 Implemente medidas de segurança do sistema de acordo com os procedimentos estabelecidos para garantir confidencialidade, integridade, disponibilidade, autenticação e não repúdio.

wafv2-logging-enabled

Para ajudar com o registro e o monitoramento em seu ambiente, habilite o registro em AWS WAF (V2) na web regional e global. ACLs AWS O registro do WAF fornece informações detalhadas sobre o tráfego que é analisado pela sua ACL da web. Os registros registram a hora em que o AWS WAF recebeu a solicitação do seu AWS recurso, informações sobre a solicitação e uma ação para a regra à qual cada solicitação correspondeu.
T0489 Implemente medidas de segurança do sistema de acordo com os procedimentos estabelecidos para garantir confidencialidade, integridade, disponibilidade, autenticação e não repúdio.

api-gw-execution-logging-habilitado

O registro em log do API Gateway exibe visualizações detalhadas dos usuários que acessaram a API e a forma como eles a acessaram. Esse insight mostra as atividades do usuário.
T0489 Implemente medidas de segurança do sistema de acordo com os procedimentos estabelecidos para garantir confidencialidade, integridade, disponibilidade, autenticação e não repúdio.

cloud-trail-cloud-watch-logs-habilitado

Use CloudWatch a Amazon para coletar e gerenciar centralmente a atividade de eventos de log. A inclusão de AWS CloudTrail dados fornece detalhes da atividade de chamadas de API em seu Conta da AWS.
T0489 Implemente medidas de segurança do sistema de acordo com os procedimentos estabelecidos para garantir confidencialidade, integridade, disponibilidade, autenticação e não repúdio.

cloudtrail-enabled

AWS CloudTrail pode ajudar na não repúdio gravando ações do AWS Management Console e chamadas de API. Você pode identificar os usuários e os Contas da AWS que chamaram um AWS serviço, o endereço IP de origem onde as chamadas foram geradas e os horários das chamadas. Os detalhes dos dados capturados são vistos no Conteúdo do AWS CloudTrail Registro.
T0489 Implemente medidas de segurança do sistema de acordo com os procedimentos estabelecidos para garantir confidencialidade, integridade, disponibilidade, autenticação e não repúdio.

cloudtrail-s3-dataevents-enabled

A coleta de eventos de dados do Simple Storage Service (Amazon S3) ajuda a detectar qualquer atividade anômala. Os detalhes incluem informações da conta da AWS que acessou um bucket do Amazon S3, o endereço IP e o horário do evento.
T0489 Implemente medidas de segurança do sistema de acordo com os procedimentos estabelecidos para garantir confidencialidade, integridade, disponibilidade, autenticação e não repúdio.

elb-logging-enabled

A atividade do Elastic Load Balancing é um ponto central de comunicação em um ambiente. Habilite o registro em log do ELB. Os dados coletados fornecem informações detalhadas sobre as solicitações enviadas ao ELB. Cada log contém informações como a hora em que a solicitação foi recebida, o endereço IP do cliente, latências, caminhos de solicitação e respostas do servidor.
T0489 Implemente medidas de segurança do sistema de acordo com os procedimentos estabelecidos para garantir confidencialidade, integridade, disponibilidade, autenticação e não repúdio.

rds-logging-enabled

Para ajudar no registro em log e no monitoramento em seu ambiente, habilite o registro em log do Amazon Relational Database Service (Amazon RDS). Com o registro em log do Amazon RDS, você pode capturar eventos como conexões, desconexões, consultas ou tabelas consultadas.
T0489 Implemente medidas de segurança do sistema de acordo com os procedimentos estabelecidos para garantir confidencialidade, integridade, disponibilidade, autenticação e não repúdio.

redshift-cluster-configuration-check

Para proteger os dados em repouso, habilite a criptografia para os clusters do Amazon Redshift. Implante também as configurações necessárias nos clusters do Amazon Redshift. O registro em log de auditoria deve ser habilitado para fornecer informações sobre conexões e atividades do usuário no banco de dados. Essa regra exige que um valor seja definido para clusterDbEncrypted (Config Default: TRUE) e LoggingEnabled (Config Default: TRUE). Os valores reais devem refletir as políticas da organização.
T0489 Implemente medidas de segurança do sistema de acordo com os procedimentos estabelecidos para garantir confidencialidade, integridade, disponibilidade, autenticação e não repúdio.

s3- bucket-logging-enabled

O registro em log de acesso ao servidor do Amazon Simple Storage Service (Amazon S3) fornece um método para monitorar a rede em busca de possíveis eventos de segurança cibernética. Os eventos são monitorados pela captura de registros detalhados das solicitações que são feitas a um bucket do Amazon S3. Cada registro de log de acesso fornece detalhes sobre uma única solicitação de acesso. Os detalhes incluem solicitante, nome do bucket, horário da solicitação, ação da solicitação, status da resposta e um código de erro, se relevante.
T0489 Implemente medidas de segurança do sistema de acordo com os procedimentos estabelecidos para garantir confidencialidade, integridade, disponibilidade, autenticação e não repúdio.

vpc-flow-logs-enabled

Os logs de fluxo da VPC fornecem registros detalhados de informações sobre o tráfego de IP de entrada e saída das interfaces de rede no Amazon Virtual Private Cloud (Amazon VPC). Por padrão, o registro de log de fluxo inclui valores para os diferentes componentes do fluxo de IP, incluindo a origem, o destino e o protocolo.
T0491 Instale e configure hardware, software e equipamentos periféricos para usuários do sistema de acordo com os padrões organizacionais.

ec2- -manager instance-managed-by-systems

É possível fazer um inventário das plataformas de software e aplicativos dentro da organização gerenciando instâncias do Amazon Elastic Compute Cloud (Amazon EC2) com o AWS Systems Manager. Use o AWS Systems Manager para fornecer configurações detalhadas do sistema, níveis de patch do sistema operacional, nome e tipo de serviços, instalações de software, nome do aplicativo, editor e versão, além de outros detalhes sobre seu ambiente.
T0491 Instale e configure hardware, software e equipamentos periféricos para usuários do sistema de acordo com os padrões organizacionais.

ec2- -check managedinstance-association-compliance-status

Use o AWS Systems Manager Associations para ajudar no inventário de plataformas e aplicativos de software em uma organização. AWS Systems Manager atribui um estado de configuração às instâncias gerenciadas e permite que você defina linhas de base de níveis de patch do sistema operacional, instalações de software, configurações de aplicações e outros detalhes sobre o ambiente.
T0491 Instale e configure hardware, software e equipamentos periféricos para usuários do sistema de acordo com os padrões organizacionais.

ec2- -check managedinstance-patch-compliance-status

Ative essa regra para ajudar na identificação e documentação das vulnerabilidades do Amazon Elastic Compute Cloud (Amazon EC2). A regra verifica se a conformidade de patches de EC2 instâncias da Amazon no AWS Systems Manager conforme exigido pelas políticas e procedimentos da sua organização.
T0503 Monitore fontes de dados externas (por exemplo, sites de fornecedores de defesa cibernética, equipes de resposta a emergências computacionais, foco em segurança) para manter a situação atual das ameaças à defesa cibernética e determinar quais problemas de segurança podem ter um impacto na empresa.

guardduty-enabled-centralized

A Amazon GuardDuty pode ajudar a monitorar e detectar possíveis eventos de cibersegurança usando feeds de inteligência de ameaças. Isso inclui listas de aprendizado de máquina IPs e malicioso para identificar atividades inesperadas, não autorizadas e maliciosas em seu ambiente de AWS nuvem.
T0509 Realize uma avaliação de risco de segurança da informação. annual-risk-assessment-performed (verificação do processo) Faça uma avaliação anual de risco em sua organização. As avaliações de risco podem ajudar a determinar a probabilidade e o impacto dos riscos e/ou vulnerabilidades identificados que afetam uma organização.
T0553 Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração.

ec2- ebs-encryption-by-default

Para ajudar a proteger os dados em repouso, habilite a criptografia para os volumes do Amazon Elastic Block Store (Amazon EBS). Como pode haver dados confidenciais em repouso nesses volumes, habilite a criptografia em repouso para ajudar a protegê-los.
T0553 Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração.

elasticsearch-node-to-node-verificação de criptografia

Certifique-se de que a node-to-node criptografia para o Amazon Elasticsearch Service esteja ativada. Node-to-nodea criptografia permite a criptografia TLS 1.2 para todas as comunicações dentro da Amazon Virtual Private Cloud (Amazon VPC). Como pode haver dados confidenciais, habilite a criptografia em trânsito para ajudar a protegê-los.
T0553 Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração.

elb-tls-https-listeners-somente

Certifique-se de que seus Elastic Load Balancers (ELBs) estejam configurados com ouvintes SSL ou HTTPS. Como pode haver dados confidenciais, habilite a criptografia em trânsito para ajudar a protegê-los.
T0553 Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração.

iam-customer-policy-blocked-kms-actions

AWS O Identity and Access Management (IAM) pode ajudá-lo a incorporar os princípios de privilégio mínimo e separação de tarefas com permissões e autorizações de acesso, impedindo que as políticas contenham ações bloqueadas em AWS todas as chaves do Key Management Service. Ter mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres. Essa regra permite que você defina o blockedActionsPatterns parâmetro. (Valor AWS básico das melhores práticas de segurança: kms: Decrypt,). kms: ReEncryptFrom Os valores reais devem refletir as políticas da organização.
T0553 Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração.

iam-group-has-users-verificar

AWS O Identity and Access Management (IAM) pode ajudá-lo a incorporar os princípios de privilégio mínimo e separação de deveres com permissões e autorizações de acesso, garantindo que os grupos do IAM tenham pelo menos um usuário. Colocar usuários em grupos com base nas permissões associadas ou na função de trabalho é uma forma de incorporar o privilégio mínimo.
T0553 Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração.

iam-inline-policy-blocked-kms-actions

Certifique-se de que um usuário, uma função do IAM ou um grupo do IAM do AWS Identity and Access Management (IAM) não tenha uma política embutida para permitir ações bloqueadas em AWS todas as chaves do Key Management Service. AWS recomenda usar políticas gerenciadas em vez de políticas embutidas. As políticas gerenciadas permitem a reutilização, o versionamento, a reversão e a delegação do gerenciamento de permissões. Essa regra permite que você defina o blockedActionsPatterns parâmetro. (Valor AWS básico das melhores práticas de segurança: kms: Decrypt,). kms: ReEncryptFrom Os valores reais devem refletir as políticas da organização.
T0553 Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração.

iam-no-inline-policy-verificar

Certifique-se de que um usuário, uma função do IAM ou um grupo do IAM do AWS Identity and Access Management (IAM) não tenha uma política embutida para controlar o acesso a sistemas e ativos. AWS recomenda usar políticas gerenciadas em vez de políticas embutidas. As políticas gerenciadas permitem a reutilização, o versionamento, a reversão e a delegação do gerenciamento de permissões.
T0553 Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração.

iam-password-policy

As identidades e as credenciais são emitidas, gerenciadas e verificadas com base em uma política organizacional de senhas do IAM. Eles atendem ou excedem os requisitos estabelecidos pelo NIST SP 800-63 e pelo padrão AWS Foundational Security Best Practices para a força da senha. Essa regra permite que você defina opcionalmente RequireUppercaseCharacters (valor das melhores práticas de segurança AWS básicas: verdadeiro), RequireLowercaseCharacters (valor das melhores práticas de segurança AWS básicas: verdadeiro), RequireSymbols (valor das melhores práticas de segurança AWS básicas: verdadeiro), RequireNumbers (valor das melhores práticas de segurança AWS básicas: verdadeiro), MinimumPasswordLength (valor das melhores práticas de segurança AWS básicas: 14), PasswordReusePrevention (valor das melhores práticas de segurança AWS básicas: 24) e MaxPasswordAge (valor das melhores práticas de segurança AWS básica: 90) para seu IAM Política de senha. Os valores reais devem refletir as políticas da organização.
T0553 Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração.

iam-policy-no-statements-with-admin-access

AWS O Identity and Access Management (IAM) pode ajudá-lo a incorporar os princípios de privilégio mínimo e separação de deveres com permissões e autorizações de acesso, impedindo que as políticas contenham “Efeito”: “Permitir” com “Ação”: “*” sobre “Recurso”: “*”. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres.
T0553 Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração.

iam-policy-no-statements-with-full-access

Garanta que as ações do IAM estejam restritas somente às ações necessárias. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres.
T0553 Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração.

iam-root-access-key-verificar

O acesso a sistemas e ativos pode ser controlado verificando se o usuário raiz não tem chaves de acesso anexadas à sua função de AWS Identity and Access Management (IAM). Exclua as chaves de acesso raiz. Em vez disso, crie e use com base em funções Contas da AWS para ajudar a incorporar o princípio da menor funcionalidade.
T0553 Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração.

iam-user-group-membership-verificar

AWS O Identity and Access Management (IAM) pode ajudá-lo a restringir permissões e autorizações de acesso, garantindo que os usuários sejam membros de pelo menos um grupo. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres.
T0553 Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração.

iam-user-mfa-enabled

Habilite essa regra para restringir o acesso a recursos na Nuvem AWS . Essa regra garante que a autenticação multifator (MFA) esteja habilitada para todos os usuários. A MFA adiciona uma camada extra de proteção, além do nome de usuário e senha. Reduza os incidentes de contas comprometidas exigindo que os usuários utilizem a MFA.
T0553 Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração.

iam-user-no-policies-verificar

Essa regra garante que as políticas de AWS Identity and Access Management (IAM) sejam anexadas somente a grupos ou funções para controlar o acesso a sistemas e ativos. A atribuição de privilégios por grupo ou perfil ajuda a reduzir a oportunidade de uma identidade receber ou reter privilégios excessivos.
T0553 Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração.

iam-user-unused-credentials-verificar

AWS O Identity and Access Management (IAM) pode ajudá-lo com permissões e autorizações de acesso verificando senhas e chaves de acesso do IAM que não são usadas por um período de tempo especificado. Se essas credenciais não utilizadas forem identificadas, você deverá desabilitar e/ou removê-las, pois isso pode violar o princípio de privilégio mínimo. Essa regra exige que você defina um valor como maxCredentialUsage Idade (Config Default: 90). O valor real deve refletir as políticas da organização.
T0553 Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração.

mfa-enabled-for-iam-acesso ao console

Gerencie o acesso aos recursos na AWS nuvem garantindo que a MFA esteja habilitada para todos os usuários do AWS Identity and Access Management (IAM) que tenham uma senha de console. A MFA adiciona uma camada extra de proteção, além das credenciais de login. Ao exigir que os usuários utilizem a MFA, você reduz os incidentes de contas comprometidas e impede que dados confidenciais sejam acessados por usuários não autorizados.
T0553 Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração.

opensearch-encrypted-at-rest

Como pode haver dados confidenciais, e para ajudar a proteger os dados em repouso, habilite a criptografia para os domínios do Amazon Elasticsearch Service (Amazon ES).
T0553 Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração.

opensearch-node-to-node-verificação de criptografia

Certifique-se de que a node-to-node criptografia para o Amazon Elasticsearch Service esteja ativada. Node-to-nodea criptografia permite a criptografia TLS 1.2 para todas as comunicações dentro da Amazon Virtual Private Cloud (Amazon VPC). Como pode haver dados confidenciais, habilite a criptografia em trânsito para ajudar a protegê-los.
T0553 Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração.

rds-snapshot-encrypted

Habilite a criptografia para os instantâneos do Amazon Relational Database Service (Amazon RDS). Como pode haver dados confidenciais em repouso, habilite a criptografia em repouso para ajudar a protegê-los.
T0553 Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração.

s3- default-encryption-kms

Habilite a criptografia para os buckets do Amazon Simple Storage Service (Amazon S3). Como pode haver dados confidenciais em repouso em um bucket do Amazon S3, habilite a criptografia em repouso para ajudar a protegê-los.
T0553 Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração.

sagemaker-notebook-instance-kms-configurado por chave

Para ajudar a proteger os dados em repouso, garanta que a criptografia com o AWS Key Management Service (AWS KMS) esteja habilitada para seu SageMaker notebook. Como dados confidenciais podem existir em repouso no SageMaker notebook, ative a criptografia em repouso para ajudar a proteger esses dados.
T0553 Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração.

alb-http-to-https-verificação de redirecionamento

Para ajudar a proteger os dados em trânsito, garanta que o Application Load Balancer redirecione automaticamente as solicitações HTTP não criptografadas para HTTPS. Como pode haver dados confidenciais, habilite a criptografia em trânsito para ajudar a protegê-los.
T0553 Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração.

api-gw-cache-enablede criptografado

Para ajudar a proteger os dados em repouso, habilite a criptografia para o cache do estágio do API Gateway. Como dados confidenciais podem ser capturados para o método da API, habilite a criptografia em repouso para ajudar a protegê-los.
T0553 Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração.

api-gw-ssl-enabled

Configure os estágios da API REST do Amazon API Gateway com certificados SSL para permitir que os sistemas de back-end autentiquem o API Gateway como origem das solicitações.
T0553 Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração.

cloud-trail-encryption-enabled

Como pode haver dados confidenciais e para ajudar a proteger os dados em repouso, habilite a criptografia para as trilhas do AWS CloudTrail.
T0553 Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração.

efs-encrypted-check

Como pode haver dados confidenciais, e para ajudar a proteger os dados em repouso, habilite a criptografia para o Amazon Elastic File System (EFS).
T0553 Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração.

elasticsearch-encrypted-at-rest

Como pode haver dados confidenciais, e para ajudar a proteger os dados em repouso, habilite a criptografia para os domínios do Amazon Elasticsearch Service (Amazon ES).
T0553 Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração.

elb-acm-certificate-required

Como pode haver dados confidenciais, e para ajudar a proteger os dados em trânsito, habilite a criptografia para o Elastic Load Balancing. Use o AWS Certificate Manager para gerenciar, provisionar e implantar certificados SSL/TLS públicos e privados com AWS serviços e recursos internos.
T0553 Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração.

encrypted-volumes

Como pode haver dados confidenciais, e para ajudar a proteger os dados em repouso, habilite a criptografia para os volumes do Amazon Elastic Block Store (Amazon EBS).
T0553 Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração.

rds-storage-encrypted

Para ajudar a proteger os dados em repouso, habilite a criptografia para as instâncias do Amazon Relational Database Service (Amazon RDS). Como pode haver dados confidenciais em repouso nas instâncias do Amazon RDS, habilite a criptografia em repouso para ajudar a protegê-los.
T0553 Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração.

redshift-cluster-configuration-check

Para proteger os dados em repouso, habilite a criptografia para os clusters do Amazon Redshift. Implante também as configurações necessárias nos clusters do Amazon Redshift. O registro em log de auditoria deve ser habilitado para fornecer informações sobre conexões e atividades do usuário no banco de dados. Essa regra exige que um valor seja definido para clusterDbEncrypted (Config Default: TRUE) e LoggingEnabled (Config Default: TRUE). Os valores reais devem refletir as políticas da organização.
T0553 Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração.

redshift-cluster-kms-enabled

Para ajudar a proteger dados em repouso, garanta que a criptografia com o AWS Key Management Service (AWS KMS) esteja habilitada para seu cluster do Amazon Redshift. Como pode haver dados confidenciais em repouso nos clusters do Redshift, habilite a criptografia em repouso para ajudar a protegê-los.
T0553 Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração.

redshift-require-tls-ssl

Os clusters do Amazon Redshift devem exigir criptografia TLS/SSL para se conectar aos clientes SQL. Como pode haver dados confidenciais, habilite a criptografia em trânsito para ajudar a protegê-los.
T0553 Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração.

habilitado para s3 bucket-server-side-encryption

Para ajudar a proteger os dados em repouso, habilite a criptografia para os buckets do Amazon Simple Storage Service (Amazon S3). Como pode haver dados confidenciais em repouso nos buckets do Amazon S3, habilite a criptografia para ajudar a protegê-los.
T0553 Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração.

s3- bucket-ssl-requests-only

Para ajudar a proteger dados em trânsito, os buckets do Amazon Simple Storage Service (Amazon S3) devem exigir solicitações de uso do Secure Socket Layer (SSL). Como pode haver dados confidenciais, habilite a criptografia em trânsito para ajudar a protegê-los.
T0553 Aplique funções de segurança cibernética (por exemplo, criptografia, controle de acesso e gerenciamento de identidade) para reduzir as oportunidades de exploração.

sagemaker-endpoint-configuration-kms-configurado por chave

Para ajudar a proteger os dados em repouso, garanta que a criptografia com o AWS Key Management Service (AWS KMS) esteja habilitada para seu SageMaker endpoint. Como dados confidenciais podem existir em repouso no SageMaker endpoint, ative a criptografia em repouso para ajudar a proteger esses dados.
T0557 Integre funções de gerenciamento de chaves relacionadas ao espaço cibernético.

cmk-backing-key-rotation-habilitado

Habilite a alternância de chaves para que sejam usadas alternadamente quando atingirem o final do período criptográfico.
T0557 Integre funções de gerenciamento de chaves relacionadas ao espaço cibernético.

kms-cmk-not-scheduled-para exclusão

Para ajudar a proteger os dados em repouso, certifique-se de que as chaves mestras de cliente necessárias (CMKs) não estejam programadas para exclusão no AWS Key Management Service (AWS KMS). Como às vezes a exclusão da chave é necessária, essa regra pode ajudar na verificação de todas as chaves programadas para exclusão, caso alguma delas sido programada de maneira não intencional.
T0576 Avalie a inteligência de todas as origens e recomende destinos para dar suporte aos objetivos da operação cibernética.

guardduty-enabled-centralized

A Amazon GuardDuty pode ajudar a monitorar e detectar possíveis eventos de cibersegurança usando feeds de inteligência de ameaças. Isso inclui listas de aprendizado de máquina IPs e malicioso para identificar atividades inesperadas, não autorizadas e maliciosas em seu ambiente de AWS nuvem.
T0609 Conduza a habilitação do acesso de computadores sem fio e redes digitais.

alb-waf-enabled

Certifique-se de que o AWS WAF esteja ativado nos Elastic Load Balancers (ELB) para ajudar a proteger aplicativos da web. Um WAF ajuda a proteger seus aplicativos da web ou APIs contra explorações comuns da web. Essas explorações da web podem afetar a disponibilidade, comprometer a segurança ou consumir recursos excessivos em seu ambiente.
T0609 Conduza a habilitação do acesso de computadores sem fio e redes digitais.

api-gw-associated-with-onda

AWS O WAF permite que você configure um conjunto de regras (chamado de lista de controle de acesso à web (Web ACL)) que permite, bloqueia ou conta solicitações da web com base nas regras e condições de segurança da web personalizáveis que você define. Associe seu estágio do Amazon API Gateway a uma ACL da web do WAF para protegê-lo contra ataques mal-intencionados.
T0609 Conduza a habilitação do acesso de computadores sem fio e redes digitais.

autoscaling-launch-config-public-ip desativado

Se você configurar suas interfaces de rede com um endereço IP público, os recursos associados a essas interfaces de rede poderão ser acessados pela Internet. EC2 os recursos não devem ser acessíveis ao público, pois isso pode permitir acesso não intencional aos seus aplicativos ou servidores.
T0609 Conduza a habilitação do acesso de computadores sem fio e redes digitais.

dms-replication-not-public

Gerencie o acesso à AWS nuvem garantindo que as instâncias de replicação do DMS não possam ser acessadas publicamente. As instâncias de replicação do DMS podem conter informações confidenciais, e o controle de acesso é necessário para essas contas.
T0609 Conduza a habilitação do acesso de computadores sem fio e redes digitais.

ebs-snapshot-public-restorable-verificar

Gerencie o acesso à AWS nuvem garantindo que os instantâneos do EBS não sejam restauráveis publicamente. Os instantâneos de volume do EBS podem conter informações confidenciais, e o controle de acesso é necessário para essas contas.
T0609 Conduza a habilitação do acesso de computadores sem fio e redes digitais.

ec2- instance-no-public-ip

Gerencie o acesso à AWS nuvem garantindo que as instâncias do Amazon Elastic Compute Cloud (Amazon EC2) não possam ser acessadas publicamente. EC2As instâncias da Amazon podem conter informações confidenciais e o controle de acesso é necessário para essas contas.
T0609 Conduza a habilitação do acesso de computadores sem fio e redes digitais.

elasticsearch-in-vpc-only

Gerencie o acesso à AWS nuvem garantindo que os domínios do Amazon Elasticsearch Service (Amazon ES) estejam dentro de uma Amazon Virtual Private Cloud (Amazon VPC). Colocar um domínio do Amazon ES no Amazon VPC permite uma comunicação segura entre o Amazon ES e os outros serviços no Amazon VPC, sem que seja necessário usar um gateway da Internet, um dispositivo NAT ou uma conexão VPN.
T0609 Conduza a habilitação do acesso de computadores sem fio e redes digitais.

emr-master-no-public-ip

Gerencie o acesso à AWS nuvem garantindo que os nós principais do cluster Amazon EMR não possam ser acessados publicamente. Os nós principais do cluster do Amazon EMR podem conter informações confidenciais, e o controle de acesso é necessário para essas contas.
T0609 Conduza a habilitação do acesso de computadores sem fio e redes digitais.

restricted-ssh

Os grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2) podem ajudar a gerenciar o acesso à rede fornecendo uma filtragem monitorada do tráfego de entrada e saída da rede para os recursos. AWS Não permitir o tráfego de entrada (ou remoto) de 0.0.0.0/0 para a porta 22 nos recursos ajuda a restringir o acesso remoto.
T0609 Conduza a habilitação do acesso de computadores sem fio e redes digitais.

ec2- instances-in-vpc

Implante instâncias do Amazon Elastic Compute Cloud (Amazon EC2) em uma Amazon Virtual Private Cloud (Amazon VPC) para permitir a comunicação segura entre uma instância e outros serviços dentro da Amazon VPC, sem exigir um gateway de internet, dispositivo NAT ou conexão VPN. Todo o tráfego permanece seguro na nuvem. AWS Devido ao seu isolamento lógico, os domínios que residem no Amazon VPC contam com uma camada adicional de segurança se comparados aos domínios que utilizam endpoints públicos. Atribua EC2 instâncias da Amazon a uma Amazon VPC para gerenciar adequadamente o acesso.
T0609 Conduza a habilitação do acesso de computadores sem fio e redes digitais.

lambda-function-public-access-proibido

Gerencie o acesso aos recursos na AWS nuvem garantindo que as funções do AWS Lambda não possam ser acessadas publicamente. O acesso público pode causar degradação da disponibilidade de recursos.
T0609 Conduza a habilitação do acesso de computadores sem fio e redes digitais.

lambda-inside-vpc

Implante funções AWS Lambda em uma Amazon Virtual Private Cloud (Amazon VPC) para uma comunicação segura entre uma função e outros serviços dentro da Amazon VPC. Com essa configuração, não há necessidade de um gateway da Internet, dispositivo NAT ou conexão VPN. Todo o tráfego permanece seguro na nuvem. AWS Devido ao seu isolamento lógico, os domínios que residem no Amazon VPC contam com uma camada adicional de segurança se comparados aos domínios que utilizam endpoints públicos. Para gerenciar adequadamente o acesso, as funções do AWS Lambda devem ser atribuídas a uma VPC.
T0609 Conduza a habilitação do acesso de computadores sem fio e redes digitais.

no-unrestricted-route-to-igw

Certifique-se de que as tabelas de EC2 rotas da Amazon não tenham rotas irrestritas para um gateway de internet. Remover ou limitar o acesso à Internet para cargas de trabalho na Amazon VPCs pode reduzir o acesso não intencional em seu ambiente.
T0609 Conduza a habilitação do acesso de computadores sem fio e redes digitais.

rds-instance-public-access-verificar

Gerencie o acesso aos recursos na AWS nuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações confidenciais e princípios, e o controle de acesso é necessário para essas contas.
T0609 Conduza a habilitação do acesso de computadores sem fio e redes digitais.

rds-snapshots-public-prohibited

Gerencie o acesso aos recursos na AWS nuvem garantindo que as instâncias do Amazon Relational Database Service (Amazon RDS) não sejam públicas. As instâncias de banco de dados do Amazon RDS podem conter informações confidenciais e princípios, e o controle de acesso é necessário para essas contas.
T0609 Conduza a habilitação do acesso de computadores sem fio e redes digitais.

redshift-cluster-public-access-verificar

Gerencie o acesso aos recursos na AWS nuvem garantindo que os clusters do Amazon Redshift não sejam públicos. Os clusters do Amazon Redshift podem conter informações confidenciais e princípios, e o controle de acesso é necessário para essas contas.
T0609 Conduza a habilitação do acesso de computadores sem fio e redes digitais.

redshift-enhanced-vpc-routing-habilitado

O roteamento aprimorado da VPC força todo o tráfego de COPY e UNLOAD entre o cluster e os repositórios de dados a passar pelo Amazon VPC. Em seguida, você pode usar recursos da VPC, como grupos de segurança e listas de controle de acesso à rede, para proteger o tráfego da rede. Você também pode usar os logs de fluxo da VPC para monitorar o tráfego da rede.
T0609 Conduza a habilitação do acesso de computadores sem fio e redes digitais.

restricted-common-ports

Gerencie o acesso aos recursos na AWS nuvem garantindo que as portas comuns sejam restritas nos grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2). Não restringir o acesso às portas a fontes confiáveis pode permitir ataques contra a disponibilidade, a integridade e a confidencialidade dos sistemas. Essa regra permite que você defina opcionalmente os parâmetros blockedPort1-blockedPort5 (Padrões de configuração: 20.21.3389.3306.4333). Os valores reais devem refletir as políticas da organização.
T0609 Conduza a habilitação do acesso de computadores sem fio e redes digitais.

s3- account-level-public-access -blocos-periódicos

Gerencie o acesso aos recursos na AWS nuvem garantindo que os buckets do Amazon Simple Storage Service (Amazon S3) não possam ser acessados publicamente. Essa regra ajuda a manter os dados confidenciais protegidos de usuários remotos não autorizados, impedindo o acesso público. Essa regra permite que você defina opcionalmente ignorePublicAcls (Config Default: True), blockPublicPolicy (Config Default: True), blockPublicAcls (Config Default: True) e restrictPublicBuckets parâmetros (Config Default: True). Os valores reais devem refletir as políticas da organização.
T0609 Conduza a habilitação do acesso de computadores sem fio e redes digitais.

s3- bucket-public-read-prohibited

Gerencie o acesso aos recursos na AWS nuvem permitindo que somente usuários, processos e dispositivos autorizados acessem os buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados.
T0609 Conduza a habilitação do acesso de computadores sem fio e redes digitais.

s3- bucket-public-write-prohibited

Gerencie o acesso aos recursos na AWS nuvem permitindo que somente usuários, processos e dispositivos autorizados acessem os buckets do Amazon Simple Storage Service (Amazon S3). O gerenciamento do acesso deve ser consistente com a classificação dos dados.
T0609 Conduza a habilitação do acesso de computadores sem fio e redes digitais.

sagemaker-notebook-no-direct-acesso à internet

Gerencie o acesso aos recursos na AWS nuvem garantindo que os SageMaker notebooks da Amazon não permitam acesso direto à Internet. Ao impedir o acesso direto à internet, você impede que dados confidenciais sejam acessados por usuários não autorizados.
T0609 Conduza a habilitação do acesso de computadores sem fio e redes digitais.

vpc-default-security-group-fechado

Os grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2) podem ajudar no gerenciamento do acesso à rede fornecendo uma filtragem monitorada do tráfego de entrada e saída da rede para os recursos. AWS Restringir todo o tráfego no grupo de segurança padrão ajuda a restringir o acesso remoto aos seus AWS recursos.
T0609 Conduza a habilitação do acesso de computadores sem fio e redes digitais.

vpc-sg-open-only-to-authorized-ports

Gerencie o acesso aos recursos na AWS nuvem garantindo que as portas comuns sejam restritas aos grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2). Não restringir o acesso às portas a fontes confiáveis pode permitir ataques contra a disponibilidade, a integridade e a confidencialidade dos sistemas. Ao restringir o acesso a recursos em um grupo de segurança da internet (0.0.0.0/0), o acesso remoto pode ser controlado para sistemas internos.
T0609 Conduza a habilitação do acesso de computadores sem fio e redes digitais.

opensearch-in-vpc-only

Gerencie o acesso à AWS nuvem garantindo que os domínios do Amazon Elasticsearch Service (Amazon ES) estejam dentro de uma Amazon Virtual Private Cloud (Amazon VPC). Colocar um domínio do Amazon ES no Amazon VPC permite uma comunicação segura entre o Amazon ES e os outros serviços no Amazon VPC, sem que seja necessário usar um gateway da Internet, um dispositivo NAT ou uma conexão VPN.
T0609 Conduza a habilitação do acesso de computadores sem fio e redes digitais.

subnet-auto-assign-public-ip desativado

Gerencie o acesso à AWS nuvem garantindo que as sub-redes da Amazon Virtual Private Cloud (VPC) não recebam automaticamente um endereço IP público. As instâncias do Amazon Elastic Compute Cloud (EC2) que são lançadas em sub-redes com esse atributo ativado têm um endereço IP público atribuído à sua interface de rede primária.
T0616 Realize análises de monitoramento e vulnerabilidade de sistemas em uma rede.

guardduty-enabled-centralized

A Amazon GuardDuty pode ajudar a monitorar e detectar possíveis eventos de cibersegurança usando feeds de inteligência de ameaças. Isso inclui listas de aprendizado de máquina IPs e malicioso para identificar atividades inesperadas, não autorizadas e maliciosas em seu ambiente de AWS nuvem.
T0686 Identifique as vulnerabilidades das ameaças.

ec2- -check managedinstance-patch-compliance-status

Ative essa regra para ajudar na identificação e documentação das vulnerabilidades do Amazon Elastic Compute Cloud (Amazon EC2). A regra verifica se a conformidade de patches de EC2 instâncias da Amazon no AWS Systems Manager conforme exigido pelas políticas e procedimentos da sua organização.
T0686 Identifique as vulnerabilidades das ameaças.

guardduty-enabled-centralized

A Amazon GuardDuty pode ajudar a monitorar e detectar possíveis eventos de cibersegurança usando feeds de inteligência de ameaças. Isso inclui listas de aprendizado de máquina IPs e malicioso para identificar atividades inesperadas, não autorizadas e maliciosas em seu ambiente de AWS nuvem.
T0706 Reúna informações sobre redes por meio de técnicas tradicionais e alternativas (por exemplo, análise de redes sociais, encadeamento de chamadas, análise de tráfego).

cw-loggroup-retention-period-verificar

Uma duração mínima dos dados de log de eventos deve ser retida para os grupos de logs a fim de ajudar na solução de problemas e nas investigações forenses. A falta de dados de log de eventos anteriores disponíveis dificulta a reconstrução e a identificação de eventos possivelmente mal-intencionados.
T0706 Reúna informações sobre redes por meio de técnicas tradicionais e alternativas (por exemplo, análise de redes sociais, encadeamento de chamadas, análise de tráfego).

elasticsearch-logs-to-cloudwatch

Certifique-se de que os domínios do serviço Amazon Elasticsearch tenham registros de erros habilitados e transmitidos para o CloudWatch Amazon Logs para retenção e resposta. Os logs de erros do domínio podem auxiliar nas auditorias de segurança e acesso, além de ajudar a diagnosticar problemas de disponibilidade.
T0706 Reúna informações sobre redes por meio de técnicas tradicionais e alternativas (por exemplo, análise de redes sociais, encadeamento de chamadas, análise de tráfego).

lambda-concurrency-check

Essa regra garante que os limites altos e baixos de simultaneidade de uma função do Lambda sejam estabelecidos. Isso pode ajudar a definir o número de solicitações que a função atende em determinado momento.
T0706 Reúna informações sobre redes por meio de técnicas tradicionais e alternativas (por exemplo, análise de redes sociais, encadeamento de chamadas, análise de tráfego).

lambda-dlq-check

Habilite essa regra para ajudar a notificar a equipe adequada por meio do Amazon Simple Queue Service (Amazon SQS) ou do Amazon Simple Notification Service (Amazon SNS) quando uma função falhar.
T0706 Reúna informações sobre redes por meio de técnicas tradicionais e alternativas (por exemplo, análise de redes sociais, encadeamento de chamadas, análise de tráfego).

multi-region-cloudtrail-enabled

AWS CloudTrail registra as ações do AWS Management Console e as chamadas de API. Você pode identificar quais usuários e contas ligaram AWS, o endereço IP de origem de onde as chamadas foram feitas e quando elas ocorreram. CloudTrail entregará arquivos de log de todas as AWS regiões para seu bucket do S3 se MULTI_REGION_CLOUD_TRAIL_ENABLED estiver habilitado. Além disso, ao AWS lançar uma nova região, CloudTrail criará a mesma trilha na nova região. Como resultado, você receberá arquivos de log contendo a atividade da API para a nova região sem realizar nenhuma ação.
T0706 Reúna informações sobre redes por meio de técnicas tradicionais e alternativas (por exemplo, análise de redes sociais, encadeamento de chamadas, análise de tráfego).

rds-enhanced-monitoring-enabled

Habilite o Amazon Relational Database Service (Amazon RDS) para ajudar a monitorar a disponibilidade do Amazon RDS. Isso fornece visibilidade detalhada da integridade das instâncias de banco de dados do Amazon RDS. Quando o armazenamento do Amazon RDS está usando mais de um dispositivo físico subjacente, o monitoramento avançado coleta os dados de cada dispositivo. Além disso, quando a instância do banco de dados do Amazon RDS está sendo executada em uma implantação multi-AZ, os dados de cada dispositivo no host secundário são coletados, bem como as respectivas das métricas.
T0706 Reúna informações sobre redes por meio de técnicas tradicionais e alternativas (por exemplo, análise de redes sociais, encadeamento de chamadas, análise de tráfego).

rds-logging-enabled

Para ajudar no registro em log e no monitoramento em seu ambiente, habilite o registro em log do Amazon Relational Database Service (Amazon RDS). Com o registro em log do Amazon RDS, você pode capturar eventos como conexões, desconexões, consultas ou tabelas consultadas.
T0706 Reúna informações sobre redes por meio de técnicas tradicionais e alternativas (por exemplo, análise de redes sociais, encadeamento de chamadas, análise de tráfego).

securityhub-enabled

AWS O Security Hub ajuda a monitorar pessoas, conexões, dispositivos e software não autorizados. AWS O Security Hub agrega, organiza e prioriza os alertas ou descobertas de segurança de vários serviços. AWS Alguns desses serviços são o Amazon Security Hub, o Amazon Inspector, o Amazon Macie AWS , o Identity and Access Management (IAM) Access Analyzer e o Firewall AWS Manager, além de soluções de parceiros. AWS
T0706 Reúna informações sobre redes por meio de técnicas tradicionais e alternativas (por exemplo, análise de redes sociais, encadeamento de chamadas, análise de tráfego).

wafv2-logging-enabled

Para ajudar com o registro e o monitoramento em seu ambiente, habilite o registro em AWS WAF (V2) na web regional e global. ACLs AWS O registro do WAF fornece informações detalhadas sobre o tráfego que é analisado pela sua ACL da web. Os registros registram a hora em que o AWS WAF recebeu a solicitação do seu AWS recurso, informações sobre a solicitação e uma ação para a regra à qual cada solicitação correspondeu.
T0706 Reúna informações sobre redes por meio de técnicas tradicionais e alternativas (por exemplo, análise de redes sociais, encadeamento de chamadas, análise de tráfego).

api-gw-execution-logging-habilitado

O registro em log do API Gateway exibe visualizações detalhadas dos usuários que acessaram a API e a forma como eles a acessaram. Esse insight mostra as atividades do usuário.
T0706 Reúna informações sobre redes por meio de técnicas tradicionais e alternativas (por exemplo, análise de redes sociais, encadeamento de chamadas, análise de tráfego).

autoscaling-group-elb-healthcheck-obrigatório

As verificações de saúde do Elastic Load Balancer (ELB) para grupos de Auto EC2 Scaling do Amazon Elastic Compute Cloud (Amazon) apoiam a manutenção de capacidade e disponibilidade adequadas. O balanceador de carga envia periodicamente pings, tenta conexões ou envia solicitações para testar a integridade das EC2 instâncias da Amazon em um grupo de auto-scaling. Se uma instância não estiver reportando, o tráfego será enviado para uma nova EC2 instância da Amazon.
T0706 Reúna informações sobre redes por meio de técnicas tradicionais e alternativas (por exemplo, análise de redes sociais, encadeamento de chamadas, análise de tráfego).

beanstalk-enhanced-health-reporting-habilitado

AWS Os relatórios de saúde aprimorados do Elastic Beanstalk permitem uma resposta mais rápida às mudanças na integridade da infraestrutura subjacente. Essas alterações podem resultar na falta de disponibilidade do aplicativo. Os relatórios de integridade aprimorados do Elastic Beanstalk fornecem um descritor de status para avaliar a gravidade dos problemas identificados e descobrir possíveis causas a serem investigadas.
T0706 Reúna informações sobre redes por meio de técnicas tradicionais e alternativas (por exemplo, análise de redes sociais, encadeamento de chamadas, análise de tráfego).

cloud-trail-cloud-watch-logs-habilitado

Use CloudWatch a Amazon para coletar e gerenciar centralmente a atividade de eventos de log. A inclusão de AWS CloudTrail dados fornece detalhes da atividade de chamadas de API em seu Conta da AWS.
T0706 Reúna informações sobre redes por meio de técnicas tradicionais e alternativas (por exemplo, análise de redes sociais, encadeamento de chamadas, análise de tráfego).

cloudtrail-enabled

AWS CloudTrail pode ajudar na não repúdio gravando ações do AWS Management Console e chamadas de API. Você pode identificar os usuários e os Contas da AWS que chamaram um AWS serviço, o endereço IP de origem onde as chamadas foram geradas e os horários das chamadas. Os detalhes dos dados capturados são vistos no Conteúdo do AWS CloudTrail Registro.
T0706 Reúna informações sobre redes por meio de técnicas tradicionais e alternativas (por exemplo, análise de redes sociais, encadeamento de chamadas, análise de tráfego).

cloudtrail-s3-dataevents-enabled

A coleta de eventos de dados do Simple Storage Service (Amazon S3) ajuda a detectar qualquer atividade anômala. Os detalhes incluem informações da conta da AWS que acessou um bucket do Amazon S3, o endereço IP e o horário do evento.
T0706 Reúna informações sobre redes por meio de técnicas tradicionais e alternativas (por exemplo, análise de redes sociais, encadeamento de chamadas, análise de tráfego).

cloudwatch-alarm-action-check

CloudWatch Os alarmes da Amazon alertam quando uma métrica ultrapassa o limite de um número específico de períodos de avaliação. O alarme executa uma ou mais ações com base no valor da métrica ou na expressão em relação a um limite em alguns períodos. Essa regra exige um valor para alarmActionRequired (Config Default: True), insufficientDataAction Obrigatório (Config Default: True), ( okActionRequired Config Default: False). O valor real deve refletir as ações de alarme do ambiente.
T0706 Reúna informações sobre redes por meio de técnicas tradicionais e alternativas (por exemplo, análise de redes sociais, encadeamento de chamadas, análise de tráfego).

dynamodb-throughput-limit-check

Habilite essa regra para garantir que a capacidade de throughput provisionada seja verificada em suas tabelas do Amazon DynamoDB. Essa é a quantidade de atividades de leitura e gravação que cada tabela pode comportar. O DynamoDB usa essas informações para reservar recursos suficientes do sistema para atender aos seus requisitos de throughput. Essa regra gera um alerta quando o throughput se aproxima do limite máximo da conta de um cliente. Essa regra permite que você defina opcionalmente os parâmetros RCUThreshold Porcentagem da conta (Configuração Padrão: 80) e Porcentagem WCUThreshold da conta (Padrão de Configuração: 80). Os valores reais devem refletir as políticas da organização.
T0706 Reúna informações sobre redes por meio de técnicas tradicionais e alternativas (por exemplo, análise de redes sociais, encadeamento de chamadas, análise de tráfego).

ec2- instance-detailed-monitoring-enabled

Ative essa regra para ajudar a melhorar o monitoramento de instâncias do Amazon Elastic Compute Cloud (Amazon EC2) no EC2 console da Amazon, que exibe gráficos de monitoramento com um período de 1 minuto para a instância.
T0706 Reúna informações sobre redes por meio de técnicas tradicionais e alternativas (por exemplo, análise de redes sociais, encadeamento de chamadas, análise de tráfego).

elb-logging-enabled

A atividade do Elastic Load Balancing é um ponto central de comunicação em um ambiente. Habilite o registro em log do ELB. Os dados coletados fornecem informações detalhadas sobre as solicitações enviadas ao ELB. Cada log contém informações como a hora em que a solicitação foi recebida, o endereço IP do cliente, latências, caminhos de solicitação e respostas do servidor.
T0706 Reúna informações sobre redes por meio de técnicas tradicionais e alternativas (por exemplo, análise de redes sociais, encadeamento de chamadas, análise de tráfego).

guardduty-enabled-centralized

A Amazon GuardDuty pode ajudar a monitorar e detectar possíveis eventos de cibersegurança usando feeds de inteligência de ameaças. Isso inclui listas de aprendizado de máquina IPs e malicioso para identificar atividades inesperadas, não autorizadas e maliciosas em seu ambiente de AWS nuvem.
T0706 Reúna informações sobre redes por meio de técnicas tradicionais e alternativas (por exemplo, análise de redes sociais, encadeamento de chamadas, análise de tráfego).

redshift-cluster-configuration-check

Para proteger os dados em repouso, habilite a criptografia para os clusters do Amazon Redshift. Implante também as configurações necessárias nos clusters do Amazon Redshift. O registro em log de auditoria deve ser habilitado para fornecer informações sobre conexões e atividades do usuário no banco de dados. Essa regra exige que um valor seja definido para clusterDbEncrypted (Config Default: TRUE) e LoggingEnabled (Config Default: TRUE). Os valores reais devem refletir as políticas da organização.
T0706 Reúna informações sobre redes por meio de técnicas tradicionais e alternativas (por exemplo, análise de redes sociais, encadeamento de chamadas, análise de tráfego).

s3- bucket-logging-enabled

O registro em log de acesso ao servidor do Amazon Simple Storage Service (Amazon S3) fornece um método para monitorar a rede em busca de possíveis eventos de segurança cibernética. Os eventos são monitorados pela captura de registros detalhados das solicitações que são feitas a um bucket do Amazon S3. Cada registro de log de acesso fornece detalhes sobre uma única solicitação de acesso. Os detalhes incluem solicitante, nome do bucket, horário da solicitação, ação da solicitação, status da resposta e um código de erro, se relevante.
T0706 Reúna informações sobre redes por meio de técnicas tradicionais e alternativas (por exemplo, análise de redes sociais, encadeamento de chamadas, análise de tráfego).

vpc-flow-logs-enabled

Os logs de fluxo da VPC fornecem registros detalhados de informações sobre o tráfego de IP de entrada e saída das interfaces de rede no Amazon Virtual Private Cloud (Amazon VPC). Por padrão, o registro de log de fluxo inclui valores para os diferentes componentes do fluxo de IP, incluindo a origem, o destino e o protocolo.
T0777 Crie um perfil dos administradores da rede ou do sistema e suas atividades.

guardduty-enabled-centralized

A Amazon GuardDuty pode ajudar a monitorar e detectar possíveis eventos de cibersegurança usando feeds de inteligência de ameaças. Isso inclui listas de aprendizado de máquina IPs e malicioso para identificar atividades inesperadas, não autorizadas e maliciosas em seu ambiente de AWS nuvem.
T0805 Relate eventos e intrusões de rede significativos derivados da inteligência.

guardduty-enabled-centralized

A Amazon GuardDuty pode ajudar a monitorar e detectar possíveis eventos de cibersegurança usando feeds de inteligência de ameaças. Isso inclui listas de aprendizado de máquina IPs e malicioso para identificar atividades inesperadas, não autorizadas e maliciosas em seu ambiente de AWS nuvem.
T0877 Trabalhe em conjunto com as unidades organizacionais aplicáveis na supervisão dos direitos de acesso às informações do consumidor.

ec2- instance-profile-attached

EC2 perfis de instância passam uma função do IAM para uma EC2 instância. Anexar um perfil de instância às instâncias pode ajudar no gerenciamento de privilégio mínimo e permissões.
T0877 Trabalhe em conjunto com as unidades organizacionais aplicáveis na supervisão dos direitos de acesso às informações do consumidor.

ecs-task-definition-user-for-host-mode-check

Se uma definição de tarefa tem privilégios elevados, significa que o cliente optou especificamente por essas configurações. Esse controle verifica o aumento inesperado de privilégios quando uma definição de tarefa tem a rede de host habilitada e o cliente não optou por privilégios elevados.
T0877 Trabalhe em conjunto com as unidades organizacionais aplicáveis na supervisão dos direitos de acesso às informações do consumidor.

iam-no-inline-policy-verificar

Certifique-se de que um usuário, uma função do IAM ou um grupo do IAM do AWS Identity and Access Management (IAM) não tenha uma política embutida para controlar o acesso a sistemas e ativos. AWS recomenda usar políticas gerenciadas em vez de políticas embutidas. As políticas gerenciadas permitem a reutilização, o versionamento, a reversão e a delegação do gerenciamento de permissões.
T0877 Trabalhe em conjunto com as unidades organizacionais aplicáveis na supervisão dos direitos de acesso às informações do consumidor.

iam-policy-no-statements-with-full-access

Garanta que as ações do IAM estejam restritas somente às ações necessárias. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres.
T0877 Trabalhe em conjunto com as unidades organizacionais aplicáveis na supervisão dos direitos de acesso às informações do consumidor.

ssm-document-not-public

Certifique-se AWS de que os documentos do Systems Manager (SSM) não sejam públicos, pois isso pode permitir acesso não intencional aos seus documentos SSM. Um documento do SSM público pode expor informações sobre sua conta, recursos e processos internos.
T0877 Trabalhe em conjunto com as unidades organizacionais aplicáveis na supervisão dos direitos de acesso às informações do consumidor.

emr-kerberos-enabled

Ao habilitar o Kerberos para clusters do Amazon EMR, é possível gerenciar e incorporar as permissões e autorizações de acesso com os princípios de privilégio mínimo e separação de deveres. No Kerberos, os serviços e os usuários que precisam se autenticar são conhecidos como entidades principais. As entidades principais existem em um realm Kerberos. No realm, um servidor Kerberos é conhecido como o centro de distribuição de chaves (KDC). Ele fornece um meio para as entidades principais se autenticarem. A autenticação do KDC é feita com a emissão de tíquetes. O KDC mantém um banco de dados das entidades principais no realm, as senhas e outras informações administrativas sobre cada entidade principal.
T0877 Trabalhe em conjunto com as unidades organizacionais aplicáveis na supervisão dos direitos de acesso às informações do consumidor.

iam-group-has-users-verificar

AWS O Identity and Access Management (IAM) pode ajudá-lo a incorporar os princípios de privilégio mínimo e separação de deveres com permissões e autorizações de acesso, garantindo que os grupos do IAM tenham pelo menos um usuário. Colocar usuários em grupos com base nas permissões associadas ou na função de trabalho é uma forma de incorporar o privilégio mínimo.
T0877 Trabalhe em conjunto com as unidades organizacionais aplicáveis na supervisão dos direitos de acesso às informações do consumidor.

iam-policy-no-statements-with-admin-access

AWS O Identity and Access Management (IAM) pode ajudá-lo a incorporar os princípios de privilégio mínimo e separação de deveres com permissões e autorizações de acesso, impedindo que as políticas contenham “Efeito”: “Permitir” com “Ação”: “*” sobre “Recurso”: “*”. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres.
T0877 Trabalhe em conjunto com as unidades organizacionais aplicáveis na supervisão dos direitos de acesso às informações do consumidor.

iam-user-group-membership-verificar

AWS O Identity and Access Management (IAM) pode ajudá-lo a restringir permissões e autorizações de acesso, garantindo que os usuários sejam membros de pelo menos um grupo. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres.
T0877 Trabalhe em conjunto com as unidades organizacionais aplicáveis na supervisão dos direitos de acesso às informações do consumidor.

iam-user-no-policies-verificar

Essa regra garante que as políticas de AWS Identity and Access Management (IAM) sejam anexadas somente a grupos ou funções para controlar o acesso a sistemas e ativos. A atribuição de privilégios por grupo ou perfil ajuda a reduzir a oportunidade de uma identidade receber ou reter privilégios excessivos.
T0877 Trabalhe em conjunto com as unidades organizacionais aplicáveis na supervisão dos direitos de acesso às informações do consumidor.

restricted-common-ports

Gerencie o acesso aos recursos na AWS nuvem garantindo que as portas comuns sejam restritas nos grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2). Não restringir o acesso às portas a fontes confiáveis pode permitir ataques contra a disponibilidade, a integridade e a confidencialidade dos sistemas. Essa regra permite que você defina opcionalmente os parâmetros blockedPort1-blockedPort5 (Padrões de configuração: 20.21.3389.3306.4333). Os valores reais devem refletir as políticas da organização.
T0935 Realize uma avaliação de risco de segurança da informação. annual-risk-assessment-performed (verificação do processo) Faça uma avaliação anual de risco em sua organização. As avaliações de risco podem ajudar a determinar a probabilidade e o impacto dos riscos e/ou vulnerabilidades identificados que afetam uma organização.
T0960 Monitore as mudanças em um sistema e em seu ambiente de operação.

lambda-concurrency-check

Essa regra garante que os limites altos e baixos de simultaneidade de uma função do Lambda sejam estabelecidos. Isso pode ajudar a definir o número de solicitações que a função atende em determinado momento.
T0960 Monitore as mudanças em um sistema e em seu ambiente de operação.

lambda-dlq-check

Habilite essa regra para ajudar a notificar a equipe adequada por meio do Amazon Simple Queue Service (Amazon SQS) ou do Amazon Simple Notification Service (Amazon SNS) quando uma função falhar.
T0960 Monitore as mudanças em um sistema e em seu ambiente de operação.

rds-enhanced-monitoring-enabled

Habilite o Amazon Relational Database Service (Amazon RDS) para ajudar a monitorar a disponibilidade do Amazon RDS. Isso fornece visibilidade detalhada da integridade das instâncias de banco de dados do Amazon RDS. Quando o armazenamento do Amazon RDS está usando mais de um dispositivo físico subjacente, o monitoramento avançado coleta os dados de cada dispositivo. Além disso, quando a instância do banco de dados do Amazon RDS está sendo executada em uma implantação multi-AZ, os dados de cada dispositivo no host secundário são coletados, bem como as respectivas das métricas.
T0960 Monitore as mudanças em um sistema e em seu ambiente de operação.

autoscaling-group-elb-healthcheck-obrigatório

As verificações de saúde do Elastic Load Balancer (ELB) para grupos de Auto EC2 Scaling do Amazon Elastic Compute Cloud (Amazon) apoiam a manutenção de capacidade e disponibilidade adequadas. O balanceador de carga envia periodicamente pings, tenta conexões ou envia solicitações para testar a integridade das EC2 instâncias da Amazon em um grupo de auto-scaling. Se uma instância não estiver reportando, o tráfego será enviado para uma nova EC2 instância da Amazon.
T0960 Monitore as mudanças em um sistema e em seu ambiente de operação.

beanstalk-enhanced-health-reporting-habilitado

AWS Os relatórios de saúde aprimorados do Elastic Beanstalk permitem uma resposta mais rápida às mudanças na integridade da infraestrutura subjacente. Essas alterações podem resultar na falta de disponibilidade do aplicativo. Os relatórios de integridade aprimorados do Elastic Beanstalk fornecem um descritor de status para avaliar a gravidade dos problemas identificados e descobrir possíveis causas a serem investigadas.
T0960 Monitore as mudanças em um sistema e em seu ambiente de operação.

cloudwatch-alarm-action-check

CloudWatch Os alarmes da Amazon alertam quando uma métrica ultrapassa o limite de um número específico de períodos de avaliação. O alarme executa uma ou mais ações com base no valor da métrica ou na expressão em relação a um limite em alguns períodos. Essa regra exige um valor para alarmActionRequired (Config Default: True), insufficientDataAction Obrigatório (Config Default: True), ( okActionRequired Config Default: False). O valor real deve refletir as ações de alarme do ambiente.
T0960 Monitore as mudanças em um sistema e em seu ambiente de operação.

dynamodb-throughput-limit-check

Habilite essa regra para garantir que a capacidade de throughput provisionada seja verificada em suas tabelas do Amazon DynamoDB. Essa é a quantidade de atividades de leitura e gravação que cada tabela pode comportar. O DynamoDB usa essas informações para reservar recursos suficientes do sistema para atender aos seus requisitos de throughput. Essa regra gera um alerta quando o throughput se aproxima do limite máximo da conta de um cliente. Essa regra permite que você defina opcionalmente os parâmetros RCUThreshold Porcentagem da conta (Configuração Padrão: 80) e Porcentagem WCUThreshold da conta (Padrão de Configuração: 80). Os valores reais devem refletir as políticas da organização.
T0960 Monitore as mudanças em um sistema e em seu ambiente de operação.

ec2- instance-detailed-monitoring-enabled

Ative essa regra para ajudar a melhorar o monitoramento de instâncias do Amazon Elastic Compute Cloud (Amazon EC2) no EC2 console da Amazon, que exibe gráficos de monitoramento com um período de 1 minuto para a instância.
T0992 Determine como os resultados do monitoramento contínuo serão usados na autorização contínua.

ec2- instance-profile-attached

EC2 perfis de instância passam uma função do IAM para uma EC2 instância. Anexar um perfil de instância às instâncias pode ajudar no gerenciamento de privilégio mínimo e permissões.
T0992 Determine como os resultados do monitoramento contínuo serão usados na autorização contínua.

ecs-task-definition-user-for-host-mode-check

Se uma definição de tarefa tem privilégios elevados, significa que o cliente optou especificamente por essas configurações. Esse controle verifica o aumento inesperado de privilégios quando uma definição de tarefa tem a rede de host habilitada e o cliente não optou por privilégios elevados.
T0992 Determine como os resultados do monitoramento contínuo serão usados na autorização contínua.

iam-no-inline-policy-verificar

Certifique-se de que um usuário, uma função do IAM ou um grupo do IAM do AWS Identity and Access Management (IAM) não tenha uma política embutida para controlar o acesso a sistemas e ativos. AWS recomenda usar políticas gerenciadas em vez de políticas embutidas. As políticas gerenciadas permitem a reutilização, o versionamento, a reversão e a delegação do gerenciamento de permissões.
T0992 Determine como os resultados do monitoramento contínuo serão usados na autorização contínua.

iam-policy-no-statements-with-full-access

Garanta que as ações do IAM estejam restritas somente às ações necessárias. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres.
T0992 Determine como os resultados do monitoramento contínuo serão usados na autorização contínua.

access-keys-rotated

As credenciais são auditadas para dispositivos, usuários e processos autorizados garantindo que as chaves de acesso do IAM sejam alternadas como especificado pela política organizacional. Alterar as chaves de acesso regularmente é uma prática recomendada de segurança. Isso reduz o período em que uma chave de acesso permanece ativa e diminui o impacto nos negócios se as chaves forem comprometidas. Essa regra requer um valor de alternância da chave de acesso (padrão do Config: 90). O valor real deve refletir as políticas da organização.
T0992 Determine como os resultados do monitoramento contínuo serão usados na autorização contínua.

emr-kerberos-enabled

Ao habilitar o Kerberos para clusters do Amazon EMR, é possível gerenciar e incorporar as permissões e autorizações de acesso com os princípios de privilégio mínimo e separação de deveres. No Kerberos, os serviços e os usuários que precisam se autenticar são conhecidos como entidades principais. As entidades principais existem em um realm Kerberos. No realm, um servidor Kerberos é conhecido como o centro de distribuição de chaves (KDC). Ele fornece um meio para as entidades principais se autenticarem. A autenticação do KDC é feita com a emissão de tíquetes. O KDC mantém um banco de dados das entidades principais no realm, as senhas e outras informações administrativas sobre cada entidade principal.
T0992 Determine como os resultados do monitoramento contínuo serão usados na autorização contínua.

iam-customer-policy-blocked-kms-actions

AWS O Identity and Access Management (IAM) pode ajudá-lo a incorporar os princípios de privilégio mínimo e separação de tarefas com permissões e autorizações de acesso, impedindo que as políticas contenham ações bloqueadas em AWS todas as chaves do Key Management Service. Ter mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres. Essa regra permite que você defina o blockedActionsPatterns parâmetro. (Valor AWS básico das melhores práticas de segurança: kms: Decrypt,). kms: ReEncryptFrom Os valores reais devem refletir as políticas da organização.
T0992 Determine como os resultados do monitoramento contínuo serão usados na autorização contínua.

iam-group-has-users-verificar

AWS O Identity and Access Management (IAM) pode ajudá-lo a incorporar os princípios de privilégio mínimo e separação de deveres com permissões e autorizações de acesso, garantindo que os grupos do IAM tenham pelo menos um usuário. Colocar usuários em grupos com base nas permissões associadas ou na função de trabalho é uma forma de incorporar o privilégio mínimo.
T0992 Determine como os resultados do monitoramento contínuo serão usados na autorização contínua.

iam-inline-policy-blocked-kms-actions

Certifique-se de que um usuário, uma função do IAM ou um grupo do IAM do AWS Identity and Access Management (IAM) não tenha uma política embutida para permitir ações bloqueadas em AWS todas as chaves do Key Management Service. AWS recomenda usar políticas gerenciadas em vez de políticas embutidas. As políticas gerenciadas permitem a reutilização, o versionamento, a reversão e a delegação do gerenciamento de permissões. Essa regra permite que você defina o blockedActionsPatterns parâmetro. (Valor AWS básico das melhores práticas de segurança: kms: Decrypt,). kms: ReEncryptFrom Os valores reais devem refletir as políticas da organização.
T0992 Determine como os resultados do monitoramento contínuo serão usados na autorização contínua.

iam-password-policy

As identidades e as credenciais são emitidas, gerenciadas e verificadas com base em uma política organizacional de senhas do IAM. Eles atendem ou excedem os requisitos estabelecidos pelo NIST SP 800-63 e pelo padrão AWS Foundational Security Best Practices para a força da senha. Essa regra permite que você defina opcionalmente RequireUppercaseCharacters (valor das melhores práticas de segurança AWS básicas: verdadeiro), RequireLowercaseCharacters (valor das melhores práticas de segurança AWS básicas: verdadeiro), RequireSymbols (valor das melhores práticas de segurança AWS básicas: verdadeiro), RequireNumbers (valor das melhores práticas de segurança AWS básicas: verdadeiro), MinimumPasswordLength (valor das melhores práticas de segurança AWS básicas: 14), PasswordReusePrevention (valor das melhores práticas de segurança AWS básicas: 24) e MaxPasswordAge (valor das melhores práticas de segurança AWS básica: 90) para seu IAM Política de senha. Os valores reais devem refletir as políticas da organização.
T0992 Determine como os resultados do monitoramento contínuo serão usados na autorização contínua.

iam-policy-no-statements-with-admin-access

AWS O Identity and Access Management (IAM) pode ajudá-lo a incorporar os princípios de privilégio mínimo e separação de deveres com permissões e autorizações de acesso, impedindo que as políticas contenham “Efeito”: “Permitir” com “Ação”: “*” sobre “Recurso”: “*”. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres.
T0992 Determine como os resultados do monitoramento contínuo serão usados na autorização contínua.

iam-root-access-key-verificar

O acesso a sistemas e ativos pode ser controlado verificando se o usuário raiz não tem chaves de acesso anexadas à sua função de AWS Identity and Access Management (IAM). Exclua as chaves de acesso raiz. Em vez disso, crie e use com base em funções Contas da AWS para ajudar a incorporar o princípio da menor funcionalidade.
T0992 Determine como os resultados do monitoramento contínuo serão usados na autorização contínua.

iam-user-group-membership-verificar

AWS O Identity and Access Management (IAM) pode ajudá-lo a restringir permissões e autorizações de acesso, garantindo que os usuários sejam membros de pelo menos um grupo. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres.
T0992 Determine como os resultados do monitoramento contínuo serão usados na autorização contínua.

iam-user-mfa-enabled

Habilite essa regra para restringir o acesso a recursos na Nuvem AWS . Essa regra garante que a autenticação multifator (MFA) esteja habilitada para todos os usuários. A MFA adiciona uma camada extra de proteção, além do nome de usuário e senha. Reduza os incidentes de contas comprometidas exigindo que os usuários utilizem a MFA.
T0992 Determine como os resultados do monitoramento contínuo serão usados na autorização contínua.

iam-user-no-policies-verificar

Essa regra garante que as políticas de AWS Identity and Access Management (IAM) sejam anexadas somente a grupos ou funções para controlar o acesso a sistemas e ativos. A atribuição de privilégios por grupo ou perfil ajuda a reduzir a oportunidade de uma identidade receber ou reter privilégios excessivos.
T0992 Determine como os resultados do monitoramento contínuo serão usados na autorização contínua.

iam-user-unused-credentials-verificar

AWS O Identity and Access Management (IAM) pode ajudá-lo com permissões e autorizações de acesso verificando senhas e chaves de acesso do IAM que não são usadas por um período de tempo especificado. Se essas credenciais não utilizadas forem identificadas, você deverá desabilitar e/ou removê-las, pois isso pode violar o princípio de privilégio mínimo. Essa regra exige que você defina um valor como maxCredentialUsage Idade (Config Default: 90). O valor real deve refletir as políticas da organização.
T0992 Determine como os resultados do monitoramento contínuo serão usados na autorização contínua.

mfa-enabled-for-iam-acesso ao console

Gerencie o acesso aos recursos na AWS nuvem garantindo que a MFA esteja habilitada para todos os usuários do AWS Identity and Access Management (IAM) que tenham uma senha de console. A MFA adiciona uma camada extra de proteção, além das credenciais de login. Ao exigir que os usuários utilizem a MFA, você reduz os incidentes de contas comprometidas e impede que dados confidenciais sejam acessados por usuários não autorizados.
T0992 Determine como os resultados do monitoramento contínuo serão usados na autorização contínua.

root-account-hardware-mfa-habilitado

Gerencie o acesso aos recursos na AWS nuvem garantindo que a MFA de hardware esteja habilitada para o usuário raiz. O usuário raiz é o mais privilegiado em uma Conta da AWS. A MFA adiciona uma camada extra de proteção, além das credenciais de login. Ao exigir MFA para o usuário raiz, você pode reduzir os incidentes de comprometimento. Contas da AWS
T0992 Determine como os resultados do monitoramento contínuo serão usados na autorização contínua.

root-account-mfa-enabled

Gerencie o acesso aos recursos na AWS nuvem garantindo que a MFA esteja habilitada para o usuário raiz. O usuário raiz é o mais privilegiado em uma Conta da AWS. A MFA adiciona uma camada extra de proteção, além do nome de usuário e senha. Ao exigir MFA para o usuário raiz, você pode reduzir os incidentes de comprometimento. Contas da AWS
T0992 Determine como os resultados do monitoramento contínuo serão usados na autorização contínua.

secretsmanager-rotation-enabled-check

Essa regra garante que AWS os segredos do Secrets Manager tenham a rotação ativada. A alternância de segredos em uma programação regular pode reduzir o período em que um segredo fica ativo, além de diminuir o impacto nos negócios, se o segredo for comprometido.
T0993 Estabeleça ferramentas e procedimentos de controle de acesso a tecnologias e ferramentas de monitoramento contínuo.

iam-customer-policy-blocked-kms-actions

AWS O Identity and Access Management (IAM) pode ajudá-lo a incorporar os princípios de privilégio mínimo e separação de tarefas com permissões e autorizações de acesso, impedindo que as políticas contenham ações bloqueadas em AWS todas as chaves do Key Management Service. Ter mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres. Essa regra permite que você defina o blockedActionsPatterns parâmetro. (Valor AWS básico das melhores práticas de segurança: kms: Decrypt,). kms: ReEncryptFrom Os valores reais devem refletir as políticas da organização.
T0993 Estabeleça ferramentas e procedimentos de controle de acesso a tecnologias e ferramentas de monitoramento contínuo.

iam-group-has-users-verificar

AWS O Identity and Access Management (IAM) pode ajudá-lo a incorporar os princípios de privilégio mínimo e separação de deveres com permissões e autorizações de acesso, garantindo que os grupos do IAM tenham pelo menos um usuário. Colocar usuários em grupos com base nas permissões associadas ou na função de trabalho é uma forma de incorporar o privilégio mínimo.
T0993 Estabeleça ferramentas e procedimentos de controle de acesso a tecnologias e ferramentas de monitoramento contínuo.

iam-inline-policy-blocked-kms-actions

Certifique-se de que um usuário, uma função do IAM ou um grupo do IAM do AWS Identity and Access Management (IAM) não tenha uma política embutida para permitir ações bloqueadas em AWS todas as chaves do Key Management Service. AWS recomenda usar políticas gerenciadas em vez de políticas embutidas. As políticas gerenciadas permitem a reutilização, o versionamento, a reversão e a delegação do gerenciamento de permissões. Essa regra permite que você defina o blockedActionsPatterns parâmetro. (Valor AWS básico das melhores práticas de segurança: kms: Decrypt,). kms: ReEncryptFrom Os valores reais devem refletir as políticas da organização.
T0993 Estabeleça ferramentas e procedimentos de controle de acesso a tecnologias e ferramentas de monitoramento contínuo.

iam-no-inline-policy-verificar

Certifique-se de que um usuário, uma função do IAM ou um grupo do IAM do AWS Identity and Access Management (IAM) não tenha uma política embutida para controlar o acesso a sistemas e ativos. AWS recomenda usar políticas gerenciadas em vez de políticas embutidas. As políticas gerenciadas permitem a reutilização, o versionamento, a reversão e a delegação do gerenciamento de permissões.
T0993 Estabeleça ferramentas e procedimentos de controle de acesso a tecnologias e ferramentas de monitoramento contínuo.

iam-password-policy

As identidades e as credenciais são emitidas, gerenciadas e verificadas com base em uma política organizacional de senhas do IAM. Eles atendem ou excedem os requisitos estabelecidos pelo NIST SP 800-63 e pelo padrão AWS Foundational Security Best Practices para a força da senha. Essa regra permite que você defina opcionalmente RequireUppercaseCharacters (valor das melhores práticas de segurança AWS básicas: verdadeiro), RequireLowercaseCharacters (valor das melhores práticas de segurança AWS básicas: verdadeiro), RequireSymbols (valor das melhores práticas de segurança AWS básicas: verdadeiro), RequireNumbers (valor das melhores práticas de segurança AWS básicas: verdadeiro), MinimumPasswordLength (valor das melhores práticas de segurança AWS básicas: 14), PasswordReusePrevention (valor das melhores práticas de segurança AWS básicas: 24) e MaxPasswordAge (valor das melhores práticas de segurança AWS básica: 90) para seu IAM Política de senha. Os valores reais devem refletir as políticas da organização.
T0993 Estabeleça ferramentas e procedimentos de controle de acesso a tecnologias e ferramentas de monitoramento contínuo.

iam-policy-no-statements-with-admin-access

AWS O Identity and Access Management (IAM) pode ajudá-lo a incorporar os princípios de privilégio mínimo e separação de deveres com permissões e autorizações de acesso, impedindo que as políticas contenham “Efeito”: “Permitir” com “Ação”: “*” sobre “Recurso”: “*”. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres.
T0993 Estabeleça ferramentas e procedimentos de controle de acesso a tecnologias e ferramentas de monitoramento contínuo.

iam-policy-no-statements-with-full-access

Garanta que as ações do IAM estejam restritas somente às ações necessárias. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres.
T0993 Estabeleça ferramentas e procedimentos de controle de acesso a tecnologias e ferramentas de monitoramento contínuo.

iam-root-access-key-verificar

O acesso a sistemas e ativos pode ser controlado verificando se o usuário raiz não tem chaves de acesso anexadas à sua função de AWS Identity and Access Management (IAM). Exclua as chaves de acesso raiz. Em vez disso, crie e use com base em funções Contas da AWS para ajudar a incorporar o princípio da menor funcionalidade.
T0993 Estabeleça ferramentas e procedimentos de controle de acesso a tecnologias e ferramentas de monitoramento contínuo.

iam-user-group-membership-verificar

AWS O Identity and Access Management (IAM) pode ajudá-lo a restringir permissões e autorizações de acesso, garantindo que os usuários sejam membros de pelo menos um grupo. Permitir que os usuários tenham mais privilégios do que o necessário para concluir uma tarefa pode violar o princípio de privilégio mínimo e separação de deveres.
T0993 Estabeleça ferramentas e procedimentos de controle de acesso a tecnologias e ferramentas de monitoramento contínuo.

iam-user-no-policies-verificar

Essa regra garante que as políticas de AWS Identity and Access Management (IAM) sejam anexadas somente a grupos ou funções para controlar o acesso a sistemas e ativos. A atribuição de privilégios por grupo ou perfil ajuda a reduzir a oportunidade de uma identidade receber ou reter privilégios excessivos.
T0993 Estabeleça ferramentas e procedimentos de controle de acesso a tecnologias e ferramentas de monitoramento contínuo.

iam-user-unused-credentials-verificar

AWS O Identity and Access Management (IAM) pode ajudá-lo com permissões e autorizações de acesso verificando senhas e chaves de acesso do IAM que não são usadas por um período de tempo especificado. Se essas credenciais não utilizadas forem identificadas, você deverá desabilitar e/ou removê-las, pois isso pode violar o princípio de privilégio mínimo. Essa regra exige que você defina um valor como maxCredentialUsage Idade (Config Default: 90). O valor real deve refletir as políticas da organização.
T0993 Estabeleça ferramentas e procedimentos de controle de acesso a tecnologias e ferramentas de monitoramento contínuo.

mfa-enabled-for-iam-acesso ao console

Gerencie o acesso aos recursos na AWS nuvem garantindo que a MFA esteja habilitada para todos os usuários do AWS Identity and Access Management (IAM) que tenham uma senha de console. A MFA adiciona uma camada extra de proteção, além das credenciais de login. Ao exigir que os usuários utilizem a MFA, você reduz os incidentes de contas comprometidas e impede que dados confidenciais sejam acessados por usuários não autorizados.
T0993 Estabeleça ferramentas e procedimentos de controle de acesso a tecnologias e ferramentas de monitoramento contínuo.

iam-user-mfa-enabled

Habilite essa regra para restringir o acesso a recursos na Nuvem AWS . Essa regra garante que a autenticação multifator (MFA) esteja habilitada para todos os usuários. A MFA adiciona uma camada extra de proteção, além do nome de usuário e senha. Reduza os incidentes de contas comprometidas exigindo que os usuários utilizem a MFA.
T0993 Estabeleça ferramentas e procedimentos de controle de acesso a tecnologias e ferramentas de monitoramento contínuo.

root-account-hardware-mfa-habilitado

Gerencie o acesso aos recursos na AWS nuvem garantindo que a MFA de hardware esteja habilitada para o usuário raiz. O usuário raiz é o mais privilegiado em uma Conta da AWS. A MFA adiciona uma camada extra de proteção, além das credenciais de login. Ao exigir MFA para o usuário raiz, você pode reduzir os incidentes de comprometimento. Contas da AWS
T0993 Estabeleça ferramentas e procedimentos de controle de acesso a tecnologias e ferramentas de monitoramento contínuo.

root-account-mfa-enabled

Gerencie o acesso aos recursos na AWS nuvem garantindo que a MFA esteja habilitada para o usuário raiz. O usuário raiz é o mais privilegiado em uma Conta da AWS. A MFA adiciona uma camada extra de proteção, além do nome de usuário e senha. Ao exigir MFA para o usuário raiz, você pode reduzir os incidentes de comprometimento. Contas da AWS

Modelo

O modelo está disponível em GitHub: Melhores práticas operacionais para o NIST 800 181.