Controles do Amazon Elastic Container Registry

Esses controles estão relacionados aos recursos do Amazon ECR.

Esses controles podem não estar disponíveis em todos Regiões da AWS. Para ter mais informações, consulte Disponibilidade de controles por região.

[ECR.1] Os repositórios privados do ECR devem ter a digitalização de imagens configurada

Requisitos relacionados: NIST.800-53.r5 RA-5

Categoria: Identificar > Gerenciamento de vulnerabilidades, patches e versões

Severidade: alta

Tipo de recurso: AWS::ECR::Repository

Regra do AWS Config : ecr-private-image-scanning-enabled

Tipo de programação: Periódico

Parâmetros: nenhum

Esse controle verifica se um repositório privado do Amazon ECR tem a digitalização de imagens configurada. O controle falhará se o repositório ECR privado não estiver configurado para digitalização por push ou varredura contínua.

A verificação de imagens do ECR ajuda a identificar vulnerabilidades de software nas imagens de seu contêiner. A configuração da digitalização de imagens em repositórios ECR adiciona uma camada de verificação da integridade e segurança das imagens que estão sendo armazenadas.

Correção

Para configurar a digitalização de imagens para um repositório ECR, consulte Digitalização de imagens no Guia do usuário do Amazon Elastic Container Registry.

[ECR.2] Os repositórios privados do ECR devem ter a imutabilidade da tag configurada

Requisitos relacionados: NIST.800-53.r5 CA-9(1), NIST.800-53.r5 CM-2, NIST.800-53.r5 CM-8(1)

Categoria: Identificar > Inventário > Marcação

Severidade: média

Tipo de recurso: AWS::ECR::Repository

Regra do AWS Config : ecr-private-tag-immutability-enabled

Tipo de programação: acionado por alterações

Parâmetros: nenhum

Esse controle verifica se um repositório ECR privado tem a imutabilidade de tags ativada. Esse controle falhará se um repositório ECR privado tiver a imutabilidade de tags desativada. Essa regra é aprovada se a imutabilidade da tag estiver ativada e tiver o valor IMMUTABLE.

O Amazon ECR Tag Immutability permite que os clientes confiem nas tags descritivas de uma imagem como um mecanismo confiável para rastrear e identificar imagens de forma exclusiva. Uma tag imutável é estática, o que significa que cada tag se refere a uma imagem exclusiva. Isso melhora a confiabilidade e a escalabilidade, pois o uso de uma tag estática sempre resultará na implantação da mesma imagem. Quando configurada, a imutabilidade das tags evita que elas sejam substituídas, o que reduz a superfície de ataque.

Correção

Para criar um repositório com tags imutáveis configuradas ou para atualizar as configurações de mutabilidade da tag de imagem para um repositório existente, consulte Mutabilidade da tag de imagem no Guia do usuário do Amazon Elastic Container Registry.

[ECR.3] Os repositórios ECR devem ter pelo menos uma política de ciclo de vida configurada

Requisitos relacionados: NIST.800-53.r5 CM-2, NIST.800-53.r5 CM-2 (2)

Categoria: Identificar > Configuração de recursos

Severidade: média

Tipo de recurso: AWS::ECR::Repository

Regra do AWS Config : ecr-private-lifecycle-policy-configured

Tipo de programação: acionado por alterações

Parâmetros: nenhum

Esse controle verifica se um repositório do Amazon ECR tem pelo menos uma política de ciclo de vida configurada. Esse controle falhará se um repositório ECR não tiver nenhuma política de ciclo de vida configurada.

As políticas de ciclo de vida do Amazon ECR permitem que você especifique o gerenciamento do ciclo de vida das imagens em um repositório. Ao configurar as políticas de ciclo de vida, você pode automatizar a limpeza de imagens não usadas e a expiração das imagens com base na idade ou contagem. Automatizar essas tarefas pode ajudar você a evitar o uso involuntário de imagens desatualizadas em seu repositório.

Correção

Para configurar uma política de ciclo de vida, consulte Criar uma prévia da política de ciclo de vida no Guia do usuário do Amazon Elastic Container Registry.

[ECR.4] Os repositórios públicos do ECR devem ser marcados

Categoria: Identificar > Inventário > Marcação

Severidade: baixa

Tipo de recurso: AWS::ECR::PublicRepository

Regra AWS Config : tagged-ecr-publicrepository (regra personalizada do Security Hub)

Tipo de programação: acionado por alterações

Parâmetros:

Parâmetro	Descrição	Tipo	Valores personalizados permitidos	Valor padrão do Security Hub
requiredTagKeys	Lista de chaves de tag que não são do sistema que o recurso avaliado deve conter. Chaves de tag fazem distinção entre maiúsculas e minúsculas.	StringList	Lista de tags que atendem aos AWS requisitos	Nenhum valor padrão

Esse controle verifica se um repositório público do Amazon ECR tem tags com as chaves específicas definidas no parâmetro. requiredTagKeys O controle falhará se o repositório público não tiver nenhuma chave de tag ou se não tiver todas as chaves especificadas no parâmetrorequiredTagKeys. Se o parâmetro requiredTagKeys não for fornecido, o controle só verificará a existência de uma chave de tag e falhará se o repositório público não estiver marcado com nenhuma chave. As tags do sistema, que são aplicadas automaticamente e começam comaws:, são ignoradas.

Uma tag é um rótulo que você atribui a um AWS recurso e consiste em uma chave e um valor opcional. Você pode criar tags para categorizar recursos por finalidade, proprietário, ambiente ou outros critérios. As tags podem ajudar você a identificar, organizar, pesquisar e filtrar recursos. A marcação também ajuda você a rastrear os proprietários de recursos responsáveis por ações e notificações. Ao usar a marcação, você pode implementar o controle de acesso baseado em atributos (ABAC) como uma estratégia de autorização, que define permissões com base em tags. Você pode anexar tags às entidades do IAM (usuários ou funções) e aos AWS recursos. Você pode criar uma única política ABAC ou um conjunto separado de políticas para seus diretores do IAM. Você pode criar essas políticas ABAC para permitir operações quando a tag do diretor corresponder à tag do recurso. Para obter mais informações, consulte Para que serve o ABAC? AWS no Guia do usuário do IAM.

nota

Não adicione informações de identificação pessoal (PII) ou outras informações confidenciais ou sigilosas nas tags. As tags podem ser acessadas por muitos Serviços da AWS, inclusive AWS Billing. Para obter mais práticas recomendadas de marcação, consulte Como marcar seus AWS recursos no. Referência geral da AWS

Correção

Para adicionar tags a um repositório público do ECR, consulte Como marcar um repositório público do Amazon ECR no Guia do usuário do Amazon Elastic Container Registry.