Controles do Security Hub para o Systems Manager

Esses controles do AWS Security Hub avaliam o serviço e os recursos do AWS Systems Manager (SSM).

Esses controles podem não estar disponíveis em todas as Regiões da AWS. Para obter mais informações, consulte Disponibilidade de controles por região.

PCI.SSM.3 As instâncias do Amazon EC2 devem ser gerenciadas pelo AWS Systems Manager

Requisitos relacionados: PCI DSS v3.2.1/2.4, NIST.800-53.r5 CA-9(1), NIST.800-53.r5 CM-2, NIST.800-53.r5 CM-2(2), NIST.800-53.r5 CM-8, NIST.800-53.r5 CM-8(1), NIST.800-53.r5 CM-8(2), NIST.800-53.r5 CM-8(3), NIST.800-53.r5 SA-15(2), NIST.800-53.r5 SA-15(8), NIST.800-53.r5 SA-3, NIST.800-53.r5 SI-2(3)

Categoria: Identificar > Inventário

Severidade: média

Recurso avaliado: AWS::EC2::Instance

Recursos de gravação da AWS Config necessários: AWS::EC2::Instance, AWS::SSM::ManagedInstanceInventory

Regra do AWS Config: ec2-instance-managed-by-systems-manager

Tipo de programação: acionado por alterações

Parâmetros: nenhum

Esse controle verifica se as instâncias do EC2 interrompidas e em execução em sua conta são gerenciadas pelo AWS Systems Manager. O Systems Manager é um AWS service (Serviço da AWS) que você pode usar para visualizar e controlar sua infraestrutura na AWS.

Para ajudar você a manter a segurança e a conformidade, o Systems Manager verifica as instâncias gerenciadas interrompidas e em execução. Uma instância gerenciada é uma máquina que foi configurada para uso com o Systems Manager. Em seguida, o Systems Manager relata ou toma medidas corretivas sobre quaisquer violações de políticas detectadas. O Systems Manager também ajuda você a configurar e manter suas instâncias gerenciadas.

Para saber mais, consulte o Guia do usuário do AWS Systems Manager.

Correção

Para gerenciar instâncias do EC2 com o Systems Manager, consulte Gerenciamento de host do Amazon EC2 no Guia do usuário do AWS Systems Manager. Na seção Opções de configuração, você pode manter as opções padrão ou alterá-las conforme necessário para sua configuração preferida.

[PCI.SSM.1] As instâncias do Amazon EC2 gerenciadas pelo devem ter um status de conformidade de patch de COMPLIANT (Em conformidade) após a instalação do patch

Requisitos relacionados: PCI DSS v3.2.1/6.2, NIST.800-53.r5 CM-8(3), NIST.800-53.r5 SI-2, NIST.800-53.r5 SI-2(2), NIST.800-53.r5 SI-2(3), NIST.800-53.r5 SI-2(4), NIST.800-53.r5 SI-2(5)

Categoria: Detectar > Serviços de detecção

Severidade: alta

Tipo de recurso: AWS::SSM::PatchCompliance

Regra do AWS Config: ec2-managedinstance-patch-compliance-status-check

Tipo de programação: acionado por alterações

Parâmetros: nenhum

Esse controle verifica se o status da conformidade do patch do Systems Manager é COMPLIANT ou NON_COMPLIANT após a instalação do patch na instância. O controle falhará se o status de conformidade for NON_COMPLIANT. O controle verifica somente as instâncias gerenciadas pelo gerenciador de patches do Systems Manager.

Ter as instâncias do EC2 corrigidas conforme exigido pela organização reduz a superfície de ataque de suas Contas da AWS.

Correção

O Systems Manager recomenda o uso de políticas de patch para configurar a correção das suas instâncias gerenciadas. Também é possível usar documentos do Systems Manager, conforme descrito no procedimento a seguir, para corrigir uma instância.

Como corrigir patches que não estão em conformidade

1. Abra o console AWS Systems Manager em https://console.aws.amazon.com/systems-manager/.

2. Em Gerenciamento de nós, escolha Executar comando e, depois, Executar comando.

3. Escolha a opção para AWS-EunPatchBaseline.

4. Altere Operation (Operação) para Install (Instalar).

5. Selecione Choose instances manually (Escolher instâncias manualmente) e selecione as instâncias que não estão em conformidade.

6. Escolha Executar.

7. Após a conclusão do comando, para monitorar o novo status de conformidade das instâncias com patches, no painel de navegação, escolha Conformidade.

PCI.SSM.2 As instâncias de Amazon EC2 gerenciadas pelo Systems Manager devem ter um status de conformidade de associação de COMPATÍVEL

Requisitos relacionados: PCI DSS v3.2.1/2.4, NIST.800-53.r5 CA-9(1), NIST.800-53.r5 CM-2, NIST.800-53.r5 CM-2(2), NIST.800-53.r5 CM-8, NIST.800-53.r5 CM-8(1), NIST.800-53.r5 CM-8(3), NIST.800-53.r5 SI-2(3)

Categoria: Detectar > Serviços de detecção

Severidade: baixa

Tipo de recurso: AWS::SSM::AssociationCompliance

Regra do AWS Config: ec2-managedinstance-association-compliance-status-check

Tipo de programação: acionado por alterações

Parâmetros: nenhum

Esse controle verifica se o status da conformidade da associação AWS Systems Manager é COMPLIANT ou NON_COMPLIANT após a execução da associação em uma instância. O controle falhará se o status de conformidade for NON_COMPLIANT.

Uma associação do State Manager é uma configuração que é atribuída às instâncias gerenciadas. A configuração define o estado que você deseja manter em suas instâncias. Por exemplo, uma associação pode especificar que o software antivírus deve estar instalado e em execução nas instâncias ou que determinadas portas devem ser fechadas.

Depois de criar uma ou mais associações de State Manager, as informações de status de conformidade ficam imediatamente disponíveis para você. Você pode visualizar o status de conformidade no console ou em resposta aos comandos AWS CLI ou às ações correspondentes da API do Systems Manager. Para associações, a Conformidade de configuração mostra o status de conformidade (Compliant ou Non-compliant). Também mostra o nível de severidade atribuído à associação, como Critical ou Medium.

Para saber mais sobre a conformidade da associação State Manager, consulte Sobre a conformidade de associações do Gerenciador de Estados no Guia do usuário do AWS Systems Manager.

Correção

Uma associação reprovada pode estar relacionada a motivos diferentes, incluindo destinos e nomes de documentos Systems Manager. Para corrigir esse problema, você deve primeiro identificar e investigar a associação visualizando o histórico da associação. Para obter instruções sobre como visualizar o histórico de associações, consulte Visualização de históricos de associações no Guia do usuário do AWS Systems Manager.

Depois de investigar, você pode editar a associação para corrigir o problema identificado. É possível editar uma associação para especificar um novo nome, agendamento, nível de gravidade ou destinos. Depois de editar uma associação, o AWS Systems Manager cria uma nova versão. Para obter instruções sobre como editar uma associação, consulte Edita e criar uma nova versão de uma associação no Guia do usuário do AWS Systems Manager.

[SSM.4] Os documentos SSM não devem ser públicos

Requisitos relacionados: NIST.800-53.r5 AC-21, NIST.800-53.r5 AC-3, NIST.800-53.r5 AC-3(7), NIST.800-53.r5 AC-4, NIST.800-53.r5 AC-4(21), NIST.800-53.r5 AC-6, NIST.800-53.r5 SC-7, NIST.800-53.r5 SC-7(11), NIST.800-53.r5 SC-7(16), NIST.800-53.r5 SC-7(20), NIST.800-53.r5 SC-7(21), NIST.800-53.r5 SC-7(3), NIST.800-53.r5 SC-7(4), NIST.800-53.r5 SC-7(9)

Categoria: Proteger > Configuração de rede segura > Recursos não acessíveis ao público

Severidade: crítica

Tipo de recurso: AWS::SSM::Document

Regra do AWS Config: ssm-document-not-public

Tipo de programação: Periódico

Parâmetros: nenhum

Esse controle verifica se os documentos AWS Systems Manager pertencentes à conta são públicos. Esse controle falhará se os documentos Systems Manager com o proprietário Self forem públicos.

Documentos Systems Manager que são públicos podem permitir acesso não pretendido aos documentos. Um documento do Systems Manager público pode expor informações valiosas sobre sua conta, recursos e processos internos.

A menos que seu caso de uso exija compartilhamento público, recomendamos que você bloqueie a configuração de compartilhamento público para documentos do Systems Manager que sejam de propriedade de Self.

Correção

Para bloquear o compartilhamento público de documentos do Systems Manager, consulte Bloquear compartilhamento público para documentos do SSM no Guia do usuário do AWS Systems Manager.