Controles do Security Hub para o Amazon ECR
Esses controles do Security Hub avaliam o serviço e os recursos do Amazon Elastic Container Registry (Amazon ECR).
Esses controles podem não estar disponíveis em todas as Regiões da AWS. Para obter mais informações, consulte Disponibilidade de controles por região.
[ECR.1] Os repositórios privados do ECR devem ter a digitalização de imagens configurada
Requisitos relacionados: NIST.800-53.r5 RA-5, PCI DSS v4.0.1/6.2.3, PCI DSS v4.0.1/6.2.4
Categoria: Identificar > Gerenciamento de vulnerabilidades, patches e versões
Gravidade: alta
Tipo de recurso: AWS::ECR::Repository
AWS Config Regra: ecr-private-image-scanning-enabled
Tipo de programação: Periódico
Parâmetros: nenhum
Esse controle verifica se um repositório privado do Amazon ECR tem a digitalização de imagens configurada. O controle falhará se o repositório ECR privado não estiver configurado para digitalização por push ou varredura contínua.
A verificação de imagens do ECR ajuda a identificar vulnerabilidades de software nas imagens de seu contêiner. A configuração da digitalização de imagens em repositórios ECR adiciona uma camada de verificação da integridade e segurança das imagens que estão sendo armazenadas.
Correção
Para configurar a digitalização de imagens para um repositório ECR, consulte Digitalização de imagens no Guia do usuário do Amazon Elastic Container Registry.
[ECR.2] Os repositórios privados do ECR devem ter a imutabilidade da tag configurada
Requisitos relacionados: NIST.800-53.r5 CA-9(1), NIST.800-53.r5 CM-2, NIST.800-53.r5 CM-8(1)
Categoria: Identificar > Inventário > Marcação
Gravidade: média
Tipo de recurso: AWS::ECR::Repository
AWS Config Regra: ecr-private-tag-immutability-enabled
Tipo de programação: acionado por alterações
Parâmetros: nenhum
Esse controle verifica se um repositório ECR privado tem a imutabilidade de tags ativada. Esse controle falhará se um repositório ECR privado tiver a imutabilidade de tags desativada. Essa regra é aprovada se a imutabilidade da tag estiver ativada e tiver o valor IMMUTABLE.
O Amazon ECR Tag Immutability permite que os clientes confiem nas tags descritivas de uma imagem como um mecanismo confiável para rastrear e identificar imagens de forma exclusiva. Uma tag imutável é estática, o que significa que cada tag se refere a uma imagem exclusiva. Isso melhora a confiabilidade e a escalabilidade, pois o uso de uma tag estática sempre resultará na implantação da mesma imagem. Quando configurada, a imutabilidade das tags evita que elas sejam substituídas, o que reduz a superfície de ataque.
Correção
Para criar um repositório com tags imutáveis configuradas ou para atualizar as configurações de mutabilidade da tag de imagem para um repositório existente, consulte Mutabilidade da tag de imagem no Guia do usuário do Amazon Elastic Container Registry.
[ECR.3] Os repositórios ECR devem ter pelo menos uma política de ciclo de vida configurada
Requisitos relacionados: NIST.800-53.r5 CM-2, NIST.800-53.r5 CM-2 (2)
Categoria: Identificar > Configuração de recursos
Gravidade: média
Tipo de recurso: AWS::ECR::Repository
AWS Config Regra: ecr-private-lifecycle-policy-configured
Tipo de programação: acionado por alterações
Parâmetros: nenhum
Esse controle verifica se um repositório do Amazon ECR tem pelo menos uma política de ciclo de vida configurada. Esse controle falhará se um repositório ECR não tiver nenhuma política de ciclo de vida configurada.
As políticas de ciclo de vida do Amazon ECR permitem que você especifique o gerenciamento do ciclo de vida das imagens em um repositório. Ao configurar as políticas de ciclo de vida, você pode automatizar a limpeza de imagens não usadas e a expiração das imagens com base na idade ou contagem. Automatizar essas tarefas pode ajudar você a evitar o uso involuntário de imagens desatualizadas em seu repositório.
Correção
Para configurar uma política de ciclo de vida, consulte Criar uma prévia da política de ciclo de vida no Guia do usuário do Amazon Elastic Container Registry.
[ECR.4] Os repositórios públicos do ECR devem ser marcados
Categoria: Identificar > Inventário > Marcação
Gravidade: baixa
Tipo de recurso: AWS::ECR::PublicRepository
Regra AWS Config: tagged-ecr-publicrepository (regra personalizada do Security Hub)
Tipo de programação: acionado por alterações
Parâmetros:
| Parameter | Descrição | Tipo | Valores personalizados permitidos | Valor padrão do Security Hub |
|---|---|---|---|---|
requiredTagKeys
|
A lista de chaves que não são de sistema que o recurso avaliado deve conter. Chaves de tag fazem distinção entre maiúsculas e minúsculas. | StringList (máximo de 6 itens) | 1 a 6 chaves de tag que atendam aos requisitos da AWS. | Nenhum valor padrão |
Esse controle verifica se um repositório Public do Amazon ECR Public tem tags com chaves específicas definidas no parâmetro requiredTagKeys. O controle falhará se o repositório público não tiver nenhuma chave de tag ou se não tiver todas as chaves especificadas no parâmetro requiredTagKeys. Se o parâmetro requiredTagKeys não for fornecido, o controle verificará apenas a existência de uma chave de tag e falhará se o repositório público não estiver marcado com nenhuma tag de chave. As tags de sistema, que são aplicadas automaticamente e começam com aws:, são ignoradas.
Uma tag é um rótulo que você atribui a um recurso da AWS e consiste em uma chave e um valor opcional. É possível criar tags para categorizar recursos por finalidade, proprietário, ambiente ou outros critérios. As tags podem ajudar você a identificar, organizar, pesquisar e filtrar recursos. A marcação também ajuda você a rastrear os proprietários de recursos responsáveis por ações e notificações. Ao usar tags, é possível implementar o controle de acesso por atributo (ABAC) como uma estratégia de autorização, que define permissões com base nas tags. É possível anexar tags a entidades do IAM (usuários ou perfis) e a recursos da AWS. É possível criar uma única política de ABAC ou um conjunto separado de políticas para as entidades do IAM. É possível criar essas políticas de ABAC para permitir operações quando a tag da entidade principal corresponder à tag do recurso. Para obter mais informações, consulte O que é ABAC para AWS? no Guia do usuário do IAM.
nota
Não adicione informações de identificação pessoal (PII) nem outras informações confidenciais ou sensíveis em tags. As tags são acessíveis a muitos Serviços da AWS, incluindo o AWS Billing. Para saber mais sobre as práticas recomendadas de marcação, consulte Tagging your AWS resources na Referência geral da AWS.
Correção
Para adicionar tags a um repositório público do ECR, consulte Tagging an Amazon ECR public repository no Amazon Elastic Container Registry User Guide.
[ECR.5] Os repositórios de ECR devem ser criptografados com AWS KMS keys gerenciadas pelo cliente
Requisitos relacionados: NIST.800-53.r5 SC-12(2), NIST.800-53.r5 CM-3(6), NIST.800-53.r5 SC-13, NIST.800-53.r5 SC-28, NIST.800-53.r5 SC-28(1), NIST.800-53.r5 SC-7(10), NIST.800-53.r5 CA-9(1), NIST.800-53.r5 SI-7(6), NIST.800-53.r5 AU-9
Categoria: Proteger > Proteção de dados > Criptografia de dados em repouso
Gravidade: média
Tipo de recurso: AWS::ECR::Repository
AWS Config Regra: ecr-repository-cmk-encryption-enabled
Tipo de programação: acionado por alterações
Parâmetros:
| Parameter | Descrição | Tipo | Valores personalizados permitidos | Valor padrão do Security Hub |
|---|---|---|---|---|
|
|
Uma lista de Nomes do recurso da Amazon (ARN) das AWS KMS keys a serem incluídos na avaliação. O controle gerará uma descoberta |
StringList (máximo de 10 itens) |
De 1 a 10 ARNs de chaves do KMS existentes. Por exemplo, .: |
Nenhum valor padrão |
Esse controle verifica se um repositório do Amazon ECR está criptografado em repouso com uma AWS KMS key gerenciada pelo cliente. O controle falhará se o repositório do ECR não for criptografado com uma chave do KMS gerenciada pelo cliente. Opcionalmente, é possível especificar uma lista de chaves do KMS para o controle incluir na avaliação.
Por padrão, o Amazon ECR criptografa os dados de repositórios com chaves gerenciadas pelo Amazon S3 (SSE-S3), usando um algoritmo AES-256. Para obter controle adicional, é possível configurar o Amazon ECR para criptografar os dados com uma AWS KMS key (SSE-KMS ou DSSE-KMS) em vez disso. A chave do KMS pode ser: uma Chave gerenciada pela AWS que o Amazon ECR cria e gerencia para você e tem o alias aws/ecr, ou uma chave gerenciada pelo cliente que você cria e gerencia em sua Conta da AWS. Com uma chave do KMS gerenciada pelo cliente, você tem controle total sobre a chave. Isso inclui definir e manter a política de chaves, gerenciar concessões, alternar material criptográfico, atribuir tags, criar aliases e habilitar e desabilitar a chave.
nota
O AWS KMS oferece suporte ao acesso entre contas a chaves do KMS. Se um repositório do ECR for criptografado com uma chave do KMS de propriedade de outra conta, esse controle não executará verificações entre contas ao avaliar o repositório. O controle não avalia se o Amazon ECR pode acessar e usar a chave ao realizar operações criptográficas para o repositório.
Correção
Não é possível alterar as configurações de criptografia de um repositório do ECR existente. No entanto, é possível especificar configurações de criptografia diferentes para repositórios do ECR que você criar posteriormente. O Amazon ECR oferece suporte ao uso de diferentes configurações de criptografia para repositórios individuais.
Para obter mais informações sobre as opções de criptografia para repositórios do ECR, consulte Criptografia em repouso no Guia do usuário do Amazon ECR. Para obter mais informações sobre AWS KMS keys gerenciada pelo cliente, consulte AWS KMS keys no Guia do desenvolvedor do AWS Key Management Service.
