BNM RMiT 操作最佳实践

合规包提供了一个通用合规框架，旨在使您能够使用托管或自定义 AWS Config 规则和 AWS Config 补救措施来创建安全、运营或成本优化治理检查。作为示例模板，合规包并不是为了完全确保遵守特定的治理或合规标准而设计的。您有责任自行评估自己对服务的使用是否符合适用的法律和监管要求。



下面提供了马来西亚中央银行 (BNM) 技术风险管理 (RMiT) 与 AWS 托管 Config 规则之间的映射示例。每条 Config 规则都适用于特定的 AWS 资源，并与一个或多个 BNM RMiT 控制相关。一个 BNM RMiT 控制可以与多个 Config 规则相关联。有关这些映射的更多详细信息和指导，请参阅下表。

控制 ID	控制描述	AWS Config 规则	指南
10.18	金融机构必须进行尽职调查，并评估与所使用技术相关的加密控制，以保护信息的保密性、完整性、身份验证、授权和不可否认性。如果金融机构不自行生成加密密钥，则应采取适当措施，确保建立健全的控制和流程来管理加密密钥。如果这依赖于第三方评估，金融机构应考虑这种依赖是否符合金融机构的风险偏好和承受能力。金融机构还必须适当考虑支持加密控制所需的系统资源，以及加密数据的网络流量可见性降低的风险。	alb-http-to-https-重定向检查	为帮助保护传输中的数据，请确保应用负载均衡器自动将未加密的 HTTP 请求重定向到 HTTPS。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
10.18	金融机构必须进行尽职调查，并评估与所使用技术相关的加密控制，以保护信息的保密性、完整性、身份验证、授权和不可否认性。如果金融机构不自行生成加密密钥，则应采取适当措施，确保建立健全的控制和流程来管理加密密钥。如果这依赖于第三方评估，金融机构应考虑这种依赖是否符合金融机构的风险偏好和承受能力。金融机构还必须适当考虑支持加密控制所需的系统资源，以及加密数据的网络流量可见性降低的风险。	api-gw-cache-enabled并加密	为了帮助保护静态数据，请确保为 API Gateway 阶段的缓存启用加密。由于可能会为 API 方法捕获敏感数据，因此应启用静态加密以帮助保护这些数据。
10.18	金融机构必须进行尽职调查，并评估与所使用技术相关的加密控制，以保护信息的保密性、完整性、身份验证、授权和不可否认性。如果金融机构不自行生成加密密钥，则应采取适当措施，确保建立健全的控制和流程来管理加密密钥。如果这依赖于第三方评估，金融机构应考虑这种依赖是否符合金融机构的风险偏好和承受能力。金融机构还必须适当考虑支持加密控制所需的系统资源，以及加密数据的网络流量可见性降低的风险。	api-gw-ssl-enabled	确保 Amazon API Gateway REST API 阶段配置了 SSL 证书，以允许后端系统验证请求来自 API Gateway。
10.18	金融机构必须进行尽职调查，并评估与所使用技术相关的加密控制，以保护信息的保密性、完整性、身份验证、授权和不可否认性。如果金融机构不自行生成加密密钥，则应采取适当措施，确保建立健全的控制和流程来管理加密密钥。如果这依赖于第三方评估，金融机构应考虑这种依赖是否符合金融机构的风险偏好和承受能力。金融机构还必须适当考虑支持加密控制所需的系统资源，以及加密数据的网络流量可见性降低的风险。	backup-recovery-point-encrypted	确保您的 AWS Backup 恢复点已启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
10.18	金融机构必须进行尽职调查，并评估与所使用技术相关的加密控制，以保护信息的保密性、完整性、身份验证、授权和不可否认性。如果金融机构不自行生成加密密钥，则应采取适当措施，确保建立健全的控制和流程来管理加密密钥。如果这依赖于第三方评估，金融机构应考虑这种依赖是否符合金融机构的风险偏好和承受能力。金融机构还必须适当考虑支持加密控制所需的系统资源，以及加密数据的网络流量可见性降低的风险。	cloudtrail-security-trail-enabled	此规则通过检查多项设置的启用情况，来确保使用 AWS 推荐的 AWS CloudTrail 安全最佳实践。其中包括使用日志加密、日志验证以及在多个区域启用 AWS CloudTrail 。
10.18	金融机构必须进行尽职调查，并评估与所使用技术相关的加密控制，以保护信息的保密性、完整性、身份验证、授权和不可否认性。如果金融机构不自行生成加密密钥，则应采取适当措施，确保建立健全的控制和流程来管理加密密钥。如果这依赖于第三方评估，金融机构应考虑这种依赖是否符合金融机构的风险偏好和承受能力。金融机构还必须适当考虑支持加密控制所需的系统资源，以及加密数据的网络流量可见性降低的风险。	cloudwatch-log-group-encrypted	为帮助保护静态敏感数据，请确保您的 Amazon CloudWatch 日志组启用了加密。
10.18	金融机构必须进行尽职调查，并评估与所使用技术相关的加密控制，以保护信息的保密性、完整性、身份验证、授权和不可否认性。如果金融机构不自行生成加密密钥，则应采取适当措施，确保建立健全的控制和流程来管理加密密钥。如果这依赖于第三方评估，金融机构应考虑这种依赖是否符合金融机构的风险偏好和承受能力。金融机构还必须适当考虑支持加密控制所需的系统资源，以及加密数据的网络流量可见性降低的风险。	cmk-backing-key-rotation-已启用	启用密钥轮换，以确保密钥在加密周期结束后立即进行轮换。
10.18	金融机构必须进行尽职调查，并评估与所使用技术相关的加密控制，以保护信息的保密性、完整性、身份验证、授权和不可否认性。如果金融机构不自行生成加密密钥，则应采取适当措施，确保建立健全的控制和流程来管理加密密钥。如果这依赖于第三方评估，金融机构应考虑这种依赖是否符合金融机构的风险偏好和承受能力。金融机构还必须适当考虑支持加密控制所需的系统资源，以及加密数据的网络流量可见性降低的风险。	dynamodb-table-encrypted-kms	确保为 Amazon DynamoDB 表启用加密。由于这些表中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。默认情况下，DynamoDB 表使用 AWS 拥有的客户主密钥 (CMK) 进行加密。
10.18	金融机构必须进行尽职调查，并评估与所使用技术相关的加密控制，以保护信息的保密性、完整性、身份验证、授权和不可否认性。如果金融机构不自行生成加密密钥，则应采取适当措施，确保建立健全的控制和流程来管理加密密钥。如果这依赖于第三方评估，金融机构应考虑这种依赖是否符合金融机构的风险偏好和承受能力。金融机构还必须适当考虑支持加密控制所需的系统资源，以及加密数据的网络流量可见性降低的风险。	ec2-ebs-encryption-by-default	为了帮助保护静态数据，请确保为您的 Amazon Elastic Block Store (Amazon EBS) 卷启用加密。由于这些卷中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
10.18	金融机构必须进行尽职调查，并评估与所使用技术相关的加密控制，以保护信息的保密性、完整性、身份验证、授权和不可否认性。如果金融机构不自行生成加密密钥，则应采取适当措施，确保建立健全的控制和流程来管理加密密钥。如果这依赖于第三方评估，金融机构应考虑这种依赖是否符合金融机构的风险偏好和承受能力。金融机构还必须适当考虑支持加密控制所需的系统资源，以及加密数据的网络流量可见性降低的风险。	efs-encrypted-check	由于可能存在敏感数据，并且为了帮助保护静态数据，请确保为您的 Amazon Elastic File System (EFS) 启用加密。
10.18	金融机构必须进行尽职调查，并评估与所使用技术相关的加密控制，以保护信息的保密性、完整性、身份验证、授权和不可否认性。如果金融机构不自行生成加密密钥，则应采取适当措施，确保建立健全的控制和流程来管理加密密钥。如果这依赖于第三方评估，金融机构应考虑这种依赖是否符合金融机构的风险偏好和承受能力。金融机构还必须适当考虑支持加密控制所需的系统资源，以及加密数据的网络流量可见性降低的风险。	elbv2-acm-certificate-required	由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certificate Manager 通过 AWS 服务和内部资源管理、预置和部署公有和私有 SSL/TLS 证书。
10.18	金融机构必须进行尽职调查，并评估与所使用技术相关的加密控制，以保护信息的保密性、完整性、身份验证、授权和不可否认性。如果金融机构不自行生成加密密钥，则应采取适当措施，确保建立健全的控制和流程来管理加密密钥。如果这依赖于第三方评估，金融机构应考虑这种依赖是否符合金融机构的风险偏好和承受能力。金融机构还必须适当考虑支持加密控制所需的系统资源，以及加密数据的网络流量可见性降低的风险。	encrypted-volumes	由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon Elastic Block Store (Amazon EBS) 卷启用了加密。
10.18	金融机构必须进行尽职调查，并评估与所使用技术相关的加密控制，以保护信息的保密性、完整性、身份验证、授权和不可否认性。如果金融机构不自行生成加密密钥，则应采取适当措施，确保建立健全的控制和流程来管理加密密钥。如果这依赖于第三方评估，金融机构应考虑这种依赖是否符合金融机构的风险偏好和承受能力。金融机构还必须适当考虑支持加密控制所需的系统资源，以及加密数据的网络流量可见性降低的风险。	kms-cmk-not-scheduled-用于删除	为了帮助保护静态数据，请确保没有在 AWS Key Management Service (AWS KMS) 中计划删除必要的客户主密钥 (CMK)。由于有时需要删除密钥，因此此规则可以帮助检查所有计划删除的密钥，以防密钥被无意中安排删除。
10.18	金融机构必须进行尽职调查，并评估与所使用技术相关的加密控制，以保护信息的保密性、完整性、身份验证、授权和不可否认性。如果金融机构不自行生成加密密钥，则应采取适当措施，确保建立健全的控制和流程来管理加密密钥。如果这依赖于第三方评估，金融机构应考虑这种依赖是否符合金融机构的风险偏好和承受能力。金融机构还必须适当考虑支持加密控制所需的系统资源，以及加密数据的网络流量可见性降低的风险。	opensearch-encrypted-at-rest	由于敏感数据可能存在，并且为了帮助保护静态数据，请确保对您的 Amazon S OpenSearch ervice 域启用加密。
10.18	金融机构必须进行尽职调查，并评估与所使用技术相关的加密控制，以保护信息的保密性、完整性、身份验证、授权和不可否认性。如果金融机构不自行生成加密密钥，则应采取适当措施，确保建立健全的控制和流程来管理加密密钥。如果这依赖于第三方评估，金融机构应考虑这种依赖是否符合金融机构的风险偏好和承受能力。金融机构还必须适当考虑支持加密控制所需的系统资源，以及加密数据的网络流量可见性降低的风险。	opensearch-https-required	由于敏感数据可能存在，并且为了帮助保护传输中的数据，请确保为与您的 Amazon S OpenSearch ervice 域的连接启用 HTTPS。
10.18	金融机构必须进行尽职调查，并评估与所使用技术相关的加密控制，以保护信息的保密性、完整性、身份验证、授权和不可否认性。如果金融机构不自行生成加密密钥，则应采取适当措施，确保建立健全的控制和流程来管理加密密钥。如果这依赖于第三方评估，金融机构应考虑这种依赖是否符合金融机构的风险偏好和承受能力。金融机构还必须适当考虑支持加密控制所需的系统资源，以及加密数据的网络流量可见性降低的风险。	opensearch-node-to-node-加密检查	确保启用了 Amazon OpenSearch 服务的 node-to-node 加密。N ode-to-node 加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
10.18	金融机构必须进行尽职调查，并评估与所使用技术相关的加密控制，以保护信息的保密性、完整性、身份验证、授权和不可否认性。如果金融机构不自行生成加密密钥，则应采取适当措施，确保建立健全的控制和流程来管理加密密钥。如果这依赖于第三方评估，金融机构应考虑这种依赖是否符合金融机构的风险偏好和承受能力。金融机构还必须适当考虑支持加密控制所需的系统资源，以及加密数据的网络流量可见性降低的风险。	rds-snapshot-encrypted	确保为 Amazon Relational Database Service (Amazon RDS) 快照启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
10.18	金融机构必须进行尽职调查，并评估与所使用技术相关的加密控制，以保护信息的保密性、完整性、身份验证、授权和不可否认性。如果金融机构不自行生成加密密钥，则应采取适当措施，确保建立健全的控制和流程来管理加密密钥。如果这依赖于第三方评估，金融机构应考虑这种依赖是否符合金融机构的风险偏好和承受能力。金融机构还必须适当考虑支持加密控制所需的系统资源，以及加密数据的网络流量可见性降低的风险。	rds-storage-encrypted	为了帮助保护静态数据，请确保您的 Amazon Relational Database Service (Amazon RDS) 实例启用了加密。由于 Amazon RDS 实例中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
10.18	金融机构必须进行尽职调查，并评估与所使用技术相关的加密控制，以保护信息的保密性、完整性、身份验证、授权和不可否认性。如果金融机构不自行生成加密密钥，则应采取适当措施，确保建立健全的控制和流程来管理加密密钥。如果这依赖于第三方评估，金融机构应考虑这种依赖是否符合金融机构的风险偏好和承受能力。金融机构还必须适当考虑支持加密控制所需的系统资源，以及加密数据的网络流量可见性降低的风险。	redshift-cluster-configuration-check	要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。
10.18	金融机构必须进行尽职调查，并评估与所使用技术相关的加密控制，以保护信息的保密性、完整性、身份验证、授权和不可否认性。如果金融机构不自行生成加密密钥，则应采取适当措施，确保建立健全的控制和流程来管理加密密钥。如果这依赖于第三方评估，金融机构应考虑这种依赖是否符合金融机构的风险偏好和承受能力。金融机构还必须适当考虑支持加密控制所需的系统资源，以及加密数据的网络流量可见性降低的风险。	redshift-cluster-kms-enabled	为了帮助保护静态数据，请确保您的 Amazon Redshift 集群启用了使用 AWS Key Management Service (AWS KMS) 的加密。由于 Redshift 集群中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
10.18	金融机构必须进行尽职调查，并评估与所使用技术相关的加密控制，以保护信息的保密性、完整性、身份验证、授权和不可否认性。如果金融机构不自行生成加密密钥，则应采取适当措施，确保建立健全的控制和流程来管理加密密钥。如果这依赖于第三方评估，金融机构应考虑这种依赖是否符合金融机构的风险偏好和承受能力。金融机构还必须适当考虑支持加密控制所需的系统资源，以及加密数据的网络流量可见性降低的风险。	redshift-require-tls-ssl	确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
10.18	金融机构必须进行尽职调查，并评估与所使用技术相关的加密控制，以保护信息的保密性、完整性、身份验证、授权和不可否认性。如果金融机构不自行生成加密密钥，则应采取适当措施，确保建立健全的控制和流程来管理加密密钥。如果这依赖于第三方评估，金融机构应考虑这种依赖是否符合金融机构的风险偏好和承受能力。金融机构还必须适当考虑支持加密控制所需的系统资源，以及加密数据的网络流量可见性降低的风险。	s3-已bucket-server-side-encryption启用	为了帮助保护静态数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用加密以帮助保护这些数据。
10.18	金融机构必须进行尽职调查，并评估与所使用技术相关的加密控制，以保护信息的保密性、完整性、身份验证、授权和不可否认性。如果金融机构不自行生成加密密钥，则应采取适当措施，确保建立健全的控制和流程来管理加密密钥。如果这依赖于第三方评估，金融机构应考虑这种依赖是否符合金融机构的风险偏好和承受能力。金融机构还必须适当考虑支持加密控制所需的系统资源，以及加密数据的网络流量可见性降低的风险。	s3-bucket-ssl-requests-only	为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶需要请求使用安全套接字层 (SSL)。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
10.18	金融机构必须进行尽职调查，并评估与所使用技术相关的加密控制，以保护信息的保密性、完整性、身份验证、授权和不可否认性。如果金融机构不自行生成加密密钥，则应采取适当措施，确保建立健全的控制和流程来管理加密密钥。如果这依赖于第三方评估，金融机构应考虑这种依赖是否符合金融机构的风险偏好和承受能力。金融机构还必须适当考虑支持加密控制所需的系统资源，以及加密数据的网络流量可见性降低的风险。	s3-default-encryption-kms	确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
10.18	金融机构必须进行尽职调查，并评估与所使用技术相关的加密控制，以保护信息的保密性、完整性、身份验证、授权和不可否认性。如果金融机构不自行生成加密密钥，则应采取适当措施，确保建立健全的控制和流程来管理加密密钥。如果这依赖于第三方评估，金融机构应考虑这种依赖是否符合金融机构的风险偏好和承受能力。金融机构还必须适当考虑支持加密控制所需的系统资源，以及加密数据的网络流量可见性降低的风险。	sagemaker-endpoint-configuration-kms-密钥已配置	为了帮助保护静态数据，请确保您的 SageMaker 终端节点启用了AWS密钥管理服务 (AWSKMS) 的加密。由于敏感数据可以静态存在于 SageMaker 端点中，因此启用静态加密以帮助保护这些数据。
10.18	金融机构必须进行尽职调查，并评估与所使用技术相关的加密控制，以保护信息的保密性、完整性、身份验证、授权和不可否认性。如果金融机构不自行生成加密密钥，则应采取适当措施，确保建立健全的控制和流程来管理加密密钥。如果这依赖于第三方评估，金融机构应考虑这种依赖是否符合金融机构的风险偏好和承受能力。金融机构还必须适当考虑支持加密控制所需的系统资源，以及加密数据的网络流量可见性降低的风险。	sagemaker-notebook-instance-kms-密钥已配置	为帮助保护静态数据，请确保您的 SageMaker 笔记本电脑启用了AWS密钥管理服务 (AWSKMS) 的加密。由于敏感数据可以静态存在于 SageMaker 笔记本中，因此启用静态加密以帮助保护这些数据。
10.18	金融机构必须进行尽职调查，并评估与所使用技术相关的加密控制，以保护信息的保密性、完整性、身份验证、授权和不可否认性。如果金融机构不自行生成加密密钥，则应采取适当措施，确保建立健全的控制和流程来管理加密密钥。如果这依赖于第三方评估，金融机构应考虑这种依赖是否符合金融机构的风险偏好和承受能力。金融机构还必须适当考虑支持加密控制所需的系统资源，以及加密数据的网络流量可见性降低的风险。	secretsmanager-using-cmk	为了帮助保护静态数据，请确保为 AWS Secrets Manager 机密启用 AWS Key Management Service (AWS KMS)。由于 Secrets Manager 机密中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
10.18	金融机构必须进行尽职调查，并评估与所使用技术相关的加密控制，以保护信息的保密性、完整性、身份验证、授权和不可否认性。如果金融机构不自行生成加密密钥，则应采取适当措施，确保建立健全的控制和流程来管理加密密钥。如果这依赖于第三方评估，金融机构应考虑这种依赖是否符合金融机构的风险偏好和承受能力。金融机构还必须适当考虑支持加密控制所需的系统资源，以及加密数据的网络流量可见性降低的风险。	sns-encrypted-kms	为了帮助保护静态数据，请确保您的 Amazon Simple Notification Service (Amazon SNS) 主题需要使用 AWS Key Management Service (AWS KMS) 进行加密。由于已发布的消息中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
10.20	金融机构应根据风险等级将公有加密密钥存储在证书颁发机构颁发的证书中。与客户关联的此类证书应由认可的证书颁发机构颁发。金融机构必须确保使用此类证书的认证和签名协议的实施受到强有力的保护，以确保与用户证书相对应的私有加密密钥的使用具有法律约束力且不可辩驳。此类证书的初始颁发和后续续期必须符合行业最佳实践和适用的法律/监管规范。	acm-certificate-expiration-check	通过确保 X509 证书由 AWS ACM 颁发，确保网络完整性得到保护。这些证书必须有效且未过期。此规则需要一个值 daysToExpiration （AWS基础安全最佳实践值：90）。实际值应反映贵组织的策略。
10.20	金融机构应根据风险等级将公有加密密钥存储在证书颁发机构颁发的证书中。与客户关联的此类证书应由认可的证书颁发机构颁发。金融机构必须确保使用此类证书的认证和签名协议的实施受到强有力的保护，以确保与用户证书相对应的私有加密密钥的使用具有法律约束力且不可辩驳。此类证书的初始颁发和后续续期必须符合行业最佳实践和适用的法律/监管规范。	elbv2-acm-certificate-required	由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certificate Manager 通过 AWS 服务和内部资源管理、预置和部署公有和私有 SSL/TLS 证书。
10.27	金融机构必须建立实时监控机制，以跟踪关键流程和服务的产能利用率和性能。这些监控机制应能够向管理员提供及时和切实可行的警报。	autoscaling-group-elb-healthcheck-必填	Amazon Elastic Compute Cloud (Amazon EC2) Auto Scaling 组的 Elastic Load Balancer (ELB) 运行状况检查支持维持足够的容量和可用性。负载均衡器会定期发送 ping、尝试进行连接或者发送请求来测试自动扩缩组中的 Amazon EC2 实例。如果实例没有返回报告，则流量会发送到新的 Amazon EC2 实例。
10.27	金融机构必须建立实时监控机制，以跟踪关键流程和服务的产能利用率和性能。这些监控机制应能够向管理员提供及时和切实可行的警报。	beanstalk-enhanced-health-reporting-已启用	AWS Elastic Beanstalk 增强的运行状况报告功能可以更快地响应底层基础设施运行状况的变化。这些更改可能会导致应用程序可用性不足。Elastic Beanstalk 增强的运行状况报告提供了状态描述符，用于衡量已发现问题的严重性并确定可能的原因以进行调查。
10.27	金融机构必须建立实时监控机制，以跟踪关键流程和服务的产能利用率和性能。这些监控机制应能够向管理员提供及时和切实可行的警报。	cloudwatch-alarm-action-check	当某个指标在指定数量的评估周期内突破阈值时，Amazon 会发出 CloudWatch 警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （配置默认值：True）、 insufficientDataAction必填项（配置默认值：True）、 okActionRequired （配置默认值：False）的值。实际值应反映您的环境的警报操作。
10.27	金融机构必须建立实时监控机制，以跟踪关键流程和服务的产能利用率和性能。这些监控机制应能够向管理员提供及时和切实可行的警报。	cloud-trail-cloud-watch-启用日志	使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含AWS CloudTrail 数据可提供您AWS账户中 API 调用活动的详细信息。
10.27	金融机构必须建立实时监控机制，以跟踪关键流程和服务的产能利用率和性能。这些监控机制应能够向管理员提供及时和切实可行的警报。	dynamodb-throughput-limit-check	启用此规则可确保检查您的 Amazon DynamoDB 表上的预置吞吐容量。这是每个表可以支持的读/写活动量。DynamoDB 使用这些信息来预留足够的系统资源，以满足吞吐量需求。当吞吐量接近客户账户的最大限制时，此规则会生成警报。此规则允许您选择设置 AccountRCU（ThresholdPercentage 配置默认值：80）和 AccountWCUThresholdPercentage （配置默认值：80）参数。实际值应反映贵组织的策略。
10.27	金融机构必须建立实时监控机制，以跟踪关键流程和服务的产能利用率和性能。这些监控机制应能够向管理员提供及时和切实可行的警报。	ec2-instance-detailed-monitoring-enabled	启用此规则可帮助改进 Amazon EC2 控制台上的 Amazon Elastic Compute Cloud (Amazon EC2) 实例监控，该控制台以 1 分钟为周期显示实例的监控图。
10.27	金融机构必须建立实时监控机制，以跟踪关键流程和服务的产能利用率和性能。这些监控机制应能够向管理员提供及时和切实可行的警报。	lambda-concurrency-check	此规则可确保建立 Lambda 函数的并发上限和下限。这有助于确定函数在任何特定时间提供服务的请求数量的基准。
10.27	金融机构必须建立实时监控机制，以跟踪关键流程和服务的产能利用率和性能。这些监控机制应能够向管理员提供及时和切实可行的警报。	opensearch-logs-to-cloudwatch	确保 Amazon S OpenSearch ervice 域已启用错误日志，并将其流式传输到 Amazon CloudWatch Logs 以进行保留和响应。 OpenSearch 服务错误日志可以帮助进行安全和访问审计，还可以帮助诊断可用性问题。
10.27	金融机构必须建立实时监控机制，以跟踪关键流程和服务的产能利用率和性能。这些监控机制应能够向管理员提供及时和切实可行的警报。	rds-enhanced-monitoring-enabled	启用 Amazon Relational Database Service (Amazon RDS)，以帮助监控 Amazon RDS 可用性。这让您可以详细了解您的 Amazon RDS 数据库实例的运行状况。当 Amazon RDS 存储使用多个底层物理设备时，“增强监控”会收集每台设备的数据。此外，当 Amazon RDS 数据库实例在多可用区部署中运行时，会收集辅助主机上每个设备的数据和辅助主机指标。
10.34	金融机构必须确保其关键系统的网络服务可靠且没有 SPOF，以保护关键系统免遭潜在的网络故障和网络威胁的侵害。	elb-deletion-protection-enabled	此规则可确保 Elastic Load Balancing 已启用删除保护。使用此功能可防止负载均衡器被意外或恶意删除，因为这可能导致应用程序丧失可用性。
10.34	金融机构必须确保其关键系统的网络服务可靠且没有 SPOF，以保护关键系统免遭潜在的网络故障和网络威胁的侵害。	vpc-vpn-2-tunnels-up	可实施冗余站点到站点 VPN 隧道来实现弹性需求。它使用两条隧道来帮助确保连接性，以防其中一个站点到站点 VPN 连接不可用。为防止在客户网关不可用的情况下断开连接，您可以使用第二个客户网关为您的 Amazon Virtual Private Cloud (Amazon VPC) 和虚拟私有网关建立第二个站点到站点 VPN 连接。
10.35	金融机构必须建立实时网络带宽监控流程和相应的网络服务弹性指标，以标记任何带宽过度使用以及因带宽拥塞和网络故障造成的系统中断。这包括用于检测趋势和异常情况的流量分析。	api-gw-xray-enabled	AWS X-Ray 会收集您的应用程序所服务的请求的相关数据，并提供用于查看、筛选和获取数据洞察力的工具，以确定问题和发现优化机会。确保启用 X-Ray，这样您不仅可以查看请求和响应的详细信息，还可以查看应用程序调用下游 AWS 资源、微服务、数据库和 HTTP Web API 的详细信息。
10.35	金融机构必须建立实时网络带宽监控流程和相应的网络服务弹性指标，以标记任何带宽过度使用以及因带宽拥塞和网络故障造成的系统中断。这包括用于检测趋势和异常情况的流量分析。	cloudwatch-alarm-action-check	当某个指标在指定数量的评估周期内突破阈值时，Amazon 会发出 CloudWatch 警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （配置默认值：True）、 insufficientDataAction必填项（配置默认值：True）、 okActionRequired （配置默认值：False）的值。实际值应反映您的环境的警报操作。
10.35	金融机构必须建立实时网络带宽监控流程和相应的网络服务弹性指标，以标记任何带宽过度使用以及因带宽拥塞和网络故障造成的系统中断。这包括用于检测趋势和异常情况的流量分析。	elb-logging-enabled	Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息 (例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。
10.35	金融机构必须建立实时网络带宽监控流程和相应的网络服务弹性指标，以标记任何带宽过度使用以及因带宽拥塞和网络故障造成的系统中断。这包括用于检测趋势和异常情况的流量分析。	vpc-flow-logs-enabled	VPC 流日志详细记录进出 Amazon Virtual Private Cloud (Amazon VPC) 网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。
10.36	金融机构必须确保设计和实施支持关键系统的网络服务，以保障数据的机密性、完整性和可用性。	alb-http-to-https-重定向检查	为帮助保护传输中的数据，请确保应用负载均衡器自动将未加密的 HTTP 请求重定向到 HTTPS。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
10.36	金融机构必须确保设计和实施支持关键系统的网络服务，以保障数据的机密性、完整性和可用性。	api-gw-ssl-enabled	确保 Amazon API Gateway REST API 阶段配置了 SSL 证书，以允许后端系统验证请求来自 API Gateway。
10.36	金融机构必须确保设计和实施支持关键系统的网络服务，以保障数据的机密性、完整性和可用性。	elbv2-acm-certificate-required	由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certificate Manager 通过 AWS 服务和内部资源管理、预置和部署公有和私有 SSL/TLS 证书。
10.36	金融机构必须确保设计和实施支持关键系统的网络服务，以保障数据的机密性、完整性和可用性。	elb-deletion-protection-enabled	此规则可确保 Elastic Load Balancing 已启用删除保护。使用此功能可防止负载均衡器被意外或恶意删除，因为这可能导致应用程序丧失可用性。
10.36	金融机构必须确保设计和实施支持关键系统的网络服务，以保障数据的机密性、完整性和可用性。	nlb-cross-zone-load-启用平衡	为网络负载均衡器 (NLB) 启用跨区域负载均衡，以帮助保持足够的容量和可用性。跨区域负载均衡可降低在每个启用的可用区维持相同数量实例的需求。它还将提高应用程序处理一个或多个实例丢失情况的能力。
10.38	金融机构必须确保出于调查和取证目的将足够且相关的网络设备日志至少保留三年。	cw-loggroup-retention-period-检查	确保为日志组保留事件日志数据的最短时间，以帮助进行故障排除和取证调查。缺乏过去的事件日志数据会让重建和识别潜在的恶意事件变得困难。
10.51	金融机构在使用云服务时，必须对客户和交易方信息以及专有数据采取适当的保护措施，以防止未经授权的披露和访问。这应包括保留与客户和交易方信息、云端托管的专有数据和服务有关的所有数据的所有权、控制和管理，包括相关的加密密钥管理。	access-keys-rotated	通过确保按照组织政策轮换 IAM 访问密钥，对授权的设备、用户和流程的凭证进行审核。定期更改访问密钥是一种安全最佳实践。它会缩短访问密钥的有效期，并降低密钥泄露时对业务的影响。此规则需要访问密钥轮换值（配置默认值：90）。实际值应反映贵组织的策略。
10.51	金融机构在使用云服务时，必须对客户和交易方信息以及专有数据采取适当的保护措施，以防止未经授权的披露和访问。这应包括保留与客户和交易方信息、云端托管的专有数据和服务有关的所有数据的所有权、控制和管理，包括相关的加密密钥管理。	account-part-of-organizations	在 AWS Organizations 中集中管理 AWS 账户有助于确保账户合规。缺乏集中式账户管理可能会导致账户配置不一致，从而可能泄露资源和敏感数据。
10.51	金融机构在使用云服务时，必须对客户和交易方信息以及专有数据采取适当的保护措施，以防止未经授权的披露和访问。这应包括保留与客户和交易方信息、云端托管的专有数据和服务有关的所有数据的所有权、控制和管理，包括相关的加密密钥管理。	alb-http-to-https-重定向检查	为帮助保护传输中的数据，请确保应用负载均衡器自动将未加密的 HTTP 请求重定向到 HTTPS。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
10.51	金融机构在使用云服务时，必须对客户和交易方信息以及专有数据采取适当的保护措施，以防止未经授权的披露和访问。这应包括保留与客户和交易方信息、云端托管的专有数据和服务有关的所有数据的所有权、控制和管理，包括相关的加密密钥管理。	api-gw-cache-enabled并加密	为了帮助保护静态数据，请确保为 API Gateway 阶段的缓存启用加密。由于可能会为 API 方法捕获敏感数据，因此应启用静态加密以帮助保护这些数据。
10.51	金融机构在使用云服务时，必须对客户和交易方信息以及专有数据采取适当的保护措施，以防止未经授权的披露和访问。这应包括保留与客户和交易方信息、云端托管的专有数据和服务有关的所有数据的所有权、控制和管理，包括相关的加密密钥管理。	api-gw-ssl-enabled	确保 Amazon API Gateway REST API 阶段配置了 SSL 证书，以允许后端系统验证请求来自 API Gateway。
10.51	金融机构在使用云服务时，必须对客户和交易方信息以及专有数据采取适当的保护措施，以防止未经授权的披露和访问。这应包括保留与客户和交易方信息、云端托管的专有数据和服务有关的所有数据的所有权、控制和管理，包括相关的加密密钥管理。	autoscaling-launch-config-public-ip 已禁用	如果您使用公有 IP 地址配置网络接口，则可以从互联网访问这些网络接口的相关资源。EC2 资源不应可公开访问，因为这可能会允许意外地访问您的应用程序或服务器。
10.51	金融机构在使用云服务时，必须对客户和交易方信息以及专有数据采取适当的保护措施，以防止未经授权的披露和访问。这应包括保留与客户和交易方信息、云端托管的专有数据和服务有关的所有数据的所有权、控制和管理，包括相关的加密密钥管理。	backup-recovery-point-encrypted	确保您的 AWS Backup 恢复点已启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
10.51	金融机构在使用云服务时，必须对客户和交易方信息以及专有数据采取适当的保护措施，以防止未经授权的披露和访问。这应包括保留与客户和交易方信息、云端托管的专有数据和服务有关的所有数据的所有权、控制和管理，包括相关的加密密钥管理。	cloudtrail-security-trail-enabled	此规则通过检查多项设置的启用情况，来确保使用 AWS 推荐的 AWS CloudTrail 安全最佳实践。其中包括使用日志加密、日志验证以及在多个区域启用 AWS CloudTrail 。
10.51	金融机构在使用云服务时，必须对客户和交易方信息以及专有数据采取适当的保护措施，以防止未经授权的披露和访问。这应包括保留与客户和交易方信息、云端托管的专有数据和服务有关的所有数据的所有权、控制和管理，包括相关的加密密钥管理。	cloudwatch-log-group-encrypted	为帮助保护静态敏感数据，请确保您的 Amazon CloudWatch 日志组启用了加密。
10.51	金融机构在使用云服务时，必须对客户和交易方信息以及专有数据采取适当的保护措施，以防止未经授权的披露和访问。这应包括保留与客户和交易方信息、云端托管的专有数据和服务有关的所有数据的所有权、控制和管理，包括相关的加密密钥管理。	cmk-backing-key-rotation-已启用	启用密钥轮换，以确保密钥在加密周期结束后立即进行轮换。
10.51	金融机构在使用云服务时，必须对客户和交易方信息以及专有数据采取适当的保护措施，以防止未经授权的披露和访问。这应包括保留与客户和交易方信息、云端托管的专有数据和服务有关的所有数据的所有权、控制和管理，包括相关的加密密钥管理。	dms-replication-not-public	通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。
10.51	金融机构在使用云服务时，必须对客户和交易方信息以及专有数据采取适当的保护措施，以防止未经授权的披露和访问。这应包括保留与客户和交易方信息、云端托管的专有数据和服务有关的所有数据的所有权、控制和管理，包括相关的加密密钥管理。	dynamodb-table-encrypted-kms	确保为 Amazon DynamoDB 表启用加密。由于这些表中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。默认情况下，DynamoDB 表使用 AWS 拥有的客户主密钥 (CMK) 进行加密。
10.51	金融机构在使用云服务时，必须对客户和交易方信息以及专有数据采取适当的保护措施，以防止未经授权的披露和访问。这应包括保留与客户和交易方信息、云端托管的专有数据和服务有关的所有数据的所有权、控制和管理，包括相关的加密密钥管理。	ebs-snapshot-public-restorable-检查	通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。
10.51	金融机构在使用云服务时，必须对客户和交易方信息以及专有数据采取适当的保护措施，以防止未经授权的披露和访问。这应包括保留与客户和交易方信息、云端托管的专有数据和服务有关的所有数据的所有权、控制和管理，包括相关的加密密钥管理。	ec2-ebs-encryption-by-default	为了帮助保护静态数据，请确保为您的 Amazon Elastic Block Store (Amazon EBS) 卷启用加密。由于这些卷中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
10.51	金融机构在使用云服务时，必须对客户和交易方信息以及专有数据采取适当的保护措施，以防止未经授权的披露和访问。这应包括保留与客户和交易方信息、云端托管的专有数据和服务有关的所有数据的所有权、控制和管理，包括相关的加密密钥管理。	ec2-instance-no-public-ip	通过确保 Amazon Elastic Compute Cloud (Amazon EC2) 实例无法公开访问来管理对 AWS 云的访问。Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。
10.51	金融机构在使用云服务时，必须对客户和交易方信息以及专有数据采取适当的保护措施，以防止未经授权的披露和访问。这应包括保留与客户和交易方信息、云端托管的专有数据和服务有关的所有数据的所有权、控制和管理，包括相关的加密密钥管理。	efs-encrypted-check	由于可能存在敏感数据，并且为了帮助保护静态数据，请确保为您的 Amazon Elastic File System (EFS) 启用加密。
10.51	金融机构在使用云服务时，必须对客户和交易方信息以及专有数据采取适当的保护措施，以防止未经授权的披露和访问。这应包括保留与客户和交易方信息、云端托管的专有数据和服务有关的所有数据的所有权、控制和管理，包括相关的加密密钥管理。	elbv2-acm-certificate-required	由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certificate Manager 通过 AWS 服务和内部资源管理、预置和部署公有和私有 SSL/TLS 证书。
10.51	金融机构在使用云服务时，必须对客户和交易方信息以及专有数据采取适当的保护措施，以防止未经授权的披露和访问。这应包括保留与客户和交易方信息、云端托管的专有数据和服务有关的所有数据的所有权、控制和管理，包括相关的加密密钥管理。	emr-kerberos-enabled	通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心 (KDC)。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。
10.51	金融机构在使用云服务时，必须对客户和交易方信息以及专有数据采取适当的保护措施，以防止未经授权的披露和访问。这应包括保留与客户和交易方信息、云端托管的专有数据和服务有关的所有数据的所有权、控制和管理，包括相关的加密密钥管理。	emr-master-no-public-ip	通过确保 Amazon EMR 集群主节点无法公开访问来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。
10.51	金融机构在使用云服务时，必须对客户和交易方信息以及专有数据采取适当的保护措施，以防止未经授权的披露和访问。这应包括保留与客户和交易方信息、云端托管的专有数据和服务有关的所有数据的所有权、控制和管理，包括相关的加密密钥管理。	encrypted-volumes	由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon Elastic Block Store (Amazon EBS) 卷启用了加密。
10.51	金融机构在使用云服务时，必须对客户和交易方信息以及专有数据采取适当的保护措施，以防止未经授权的披露和访问。这应包括保留与客户和交易方信息、云端托管的专有数据和服务有关的所有数据的所有权、控制和管理，包括相关的加密密钥管理。	iam-customer-policy-blocked-kms 动作	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对所有 AWS Key Management Service 密钥的阻止操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。此规则允许您设置 blockedActionsPatterns 参数。（AWS基础安全最佳实践值：kms: decrypt，kms:）。ReEncryptFrom实际值应反映贵组织的策略
10.51	金融机构在使用云服务时，必须对客户和交易方信息以及专有数据采取适当的保护措施，以防止未经授权的披露和访问。这应包括保留与客户和交易方信息、云端托管的专有数据和服务有关的所有数据的所有权、控制和管理，包括相关的加密密钥管理。	iam-no-inline-policy-检查	确保 AWS Identity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有控制系统和资产访问的内联策略。AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。
10.51	金融机构在使用云服务时，必须对客户和交易方信息以及专有数据采取适当的保护措施，以防止未经授权的披露和访问。这应包括保留与客户和交易方信息、云端托管的专有数据和服务有关的所有数据的所有权、控制和管理，包括相关的加密密钥管理。	iam-password-policy	身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过 NIST SP 800-63 和针对密码强度的 AWS 基础安全最佳实践标准规定的要求。此规则允许您选择设置 RequireUppercaseCharacters （AWS基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS基础安全最佳实践值：true）、 RequireSymbols （AWS基础安全最佳实践值：true）、 RequireNumbers （AWS基础安全最佳实践值：true）、 MinimumPasswordLength （AWS基础安全最佳实践值：14）、 PasswordReusePrevention （AWS基础安全最佳实践值：24）和 MaxPasswordAge （AWS基础安全最佳实践值：90）IAM 密码政策。实际值应反映贵组织的策略。
10.51	金融机构在使用云服务时，必须对客户和交易方信息以及专有数据采取适当的保护措施，以防止未经授权的披露和访问。这应包括保留与客户和交易方信息、云端托管的专有数据和服务有关的所有数据的所有权、控制和管理，包括相关的加密密钥管理。	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 "Effect": "Allow" with "Action": "*" over "Resource": "*"。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
10.51	金融机构在使用云服务时，必须对客户和交易方信息以及专有数据采取适当的保护措施，以防止未经授权的披露和访问。这应包括保留与客户和交易方信息、云端托管的专有数据和服务有关的所有数据的所有权、控制和管理，包括相关的加密密钥管理。	iam-root-access-key-检查	通过检查根用户的 AWS Identity and Access Management (IAM) 角色是否拥有访问密钥，可以控制对系统和资产的访问。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户来帮助纳入最少功能原则。
10.51	金融机构在使用云服务时，必须对客户和交易方信息以及专有数据采取适当的保护措施，以防止未经授权的披露和访问。这应包括保留与客户和交易方信息、云端托管的专有数据和服务有关的所有数据的所有权、控制和管理，包括相关的加密密钥管理。	iam-user-group-membership-检查	AWS Identity and Access Management (IAM) 可通过确保用户至少属于一个组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
10.51	金融机构在使用云服务时，必须对客户和交易方信息以及专有数据采取适当的保护措施，以防止未经授权的披露和访问。这应包括保留与客户和交易方信息、云端托管的专有数据和服务有关的所有数据的所有权、控制和管理，包括相关的加密密钥管理。	iam-user-mfa-enabled	启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有 IAM 用户启用多重身份验证 (MFA)。MFA 在用户名和密码之上增加了一层额外的防护。要求 IAM 用户进行多重身份验证，从而减少账户被盗事件。
10.51	金融机构在使用云服务时，必须对客户和交易方信息以及专有数据采取适当的保护措施，以防止未经授权的披露和访问。这应包括保留与客户和交易方信息、云端托管的专有数据和服务有关的所有数据的所有权、控制和管理，包括相关的加密密钥管理。	iam-user-no-policies-检查	此规则可确保仅将 AWS Identity and Access Management (IAM) 策略附加到组或角色，以控制对系统和资产的访问。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。
10.51	金融机构在使用云服务时，必须对客户和交易方信息以及专有数据采取适当的保护措施，以防止未经授权的披露和访问。这应包括保留与客户和交易方信息、云端托管的专有数据和服务有关的所有数据的所有权、控制和管理，包括相关的加密密钥管理。	iam-user-unused-credentials-检查	AWS Identity and Access Management (IAM) 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥，来帮助您获得访问权限和授权。如果发现这些未使用的凭证，则应禁用和/或删除这些凭证，因为这可能违反最低权限原则。此规则要求您为 “ maxCredentialUsage年龄” 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。
10.51	金融机构在使用云服务时，必须对客户和交易方信息以及专有数据采取适当的保护措施，以防止未经授权的披露和访问。这应包括保留与客户和交易方信息、云端托管的专有数据和服务有关的所有数据的所有权、控制和管理，包括相关的加密密钥管理。	internet-gateway-authorized-vpc-只有	通过确保互联网网关仅连接到经过授权的 Amazon Virtual Private Cloud (Amazon VPC)，来管理对 AWS 云中资源的访问。互联网网关允许进出 Amazon VPC 的双向互联网访问，这可能会导致未经授权访问 Amazon VPC 资源。
10.51	金融机构在使用云服务时，必须对客户和交易方信息以及专有数据采取适当的保护措施，以防止未经授权的披露和访问。这应包括保留与客户和交易方信息、云端托管的专有数据和服务有关的所有数据的所有权、控制和管理，包括相关的加密密钥管理。	kms-cmk-not-scheduled-用于删除	为了帮助保护静态数据，请确保没有在 AWS Key Management Service (AWS KMS) 中计划删除必要的客户主密钥 (CMK)。由于有时需要删除密钥，因此此规则可以帮助检查所有计划删除的密钥，以防密钥被无意中安排删除。
10.51	金融机构在使用云服务时，必须对客户和交易方信息以及专有数据采取适当的保护措施，以防止未经授权的披露和访问。这应包括保留与客户和交易方信息、云端托管的专有数据和服务有关的所有数据的所有权、控制和管理，包括相关的加密密钥管理。	lambda-function-public-access-禁止	通过确保 AWS Lambda 函数无法公开访问，来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。
10.51	金融机构在使用云服务时，必须对客户和交易方信息以及专有数据采取适当的保护措施，以防止未经授权的披露和访问。这应包括保留与客户和交易方信息、云端托管的专有数据和服务有关的所有数据的所有权、控制和管理，包括相关的加密密钥管理。	lambda-inside-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 中部署 AWS Lambda 函数，以便在 Amazon VPC 中的函数和其他服务之间进行安全通信。使用此配置时，不需要互联网网关、NAT 设备或 VPN 连接。AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。为了正确管理访问权限，应将 AWS Lambda 函数分配给 VPC。
10.51	金融机构在使用云服务时，必须对客户和交易方信息以及专有数据采取适当的保护措施，以防止未经授权的披露和访问。这应包括保留与客户和交易方信息、云端托管的专有数据和服务有关的所有数据的所有权、控制和管理，包括相关的加密密钥管理。	no-unrestricted-route-to-igw	确保 Amazon EC2 路由表中没有指向互联网网关的无限制路由。移除或限制 Amazon VPC 内工作负载的互联网访问可以减少环境中的意外访问。
10.51	金融机构在使用云服务时，必须对客户和交易方信息以及专有数据采取适当的保护措施，以防止未经授权的披露和访问。这应包括保留与客户和交易方信息、云端托管的专有数据和服务有关的所有数据的所有权、控制和管理，包括相关的加密密钥管理。	opensearch-encrypted-at-rest	由于敏感数据可能存在，并且为了帮助保护静态数据，请确保对您的 Amazon S OpenSearch ervice 域启用加密。
10.51	金融机构在使用云服务时，必须对客户和交易方信息以及专有数据采取适当的保护措施，以防止未经授权的披露和访问。这应包括保留与客户和交易方信息、云端托管的专有数据和服务有关的所有数据的所有权、控制和管理，包括相关的加密密钥管理。	opensearch-https-required	由于敏感数据可能存在，并且为了帮助保护传输中的数据，请确保为与您的 Amazon S OpenSearch ervice 域的连接启用 HTTPS。
10.51	金融机构在使用云服务时，必须对客户和交易方信息以及专有数据采取适当的保护措施，以防止未经授权的披露和访问。这应包括保留与客户和交易方信息、云端托管的专有数据和服务有关的所有数据的所有权、控制和管理，包括相关的加密密钥管理。	opensearch-in-vpc-only	通过确保亚马逊 OpenSearch 服务域位于亚马逊虚拟私有AWS云（亚马逊 VPC）内来管理对云的访问。亚马逊 VPC 内的亚马逊 OpenSearch 服务域可实现亚马逊 OpenSearch 服务与亚马逊 VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。
10.51	金融机构在使用云服务时，必须对客户和交易方信息以及专有数据采取适当的保护措施，以防止未经授权的披露和访问。这应包括保留与客户和交易方信息、云端托管的专有数据和服务有关的所有数据的所有权、控制和管理，包括相关的加密密钥管理。	opensearch-node-to-node-加密检查	确保启用了 Amazon OpenSearch 服务的 node-to-node 加密。N ode-to-node 加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
10.51	金融机构在使用云服务时，必须对客户和交易方信息以及专有数据采取适当的保护措施，以防止未经授权的披露和访问。这应包括保留与客户和交易方信息、云端托管的专有数据和服务有关的所有数据的所有权、控制和管理，包括相关的加密密钥管理。	rds-instance-public-access-检查	通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
10.51	金融机构在使用云服务时，必须对客户和交易方信息以及专有数据采取适当的保护措施，以防止未经授权的披露和访问。这应包括保留与客户和交易方信息、云端托管的专有数据和服务有关的所有数据的所有权、控制和管理，包括相关的加密密钥管理。	rds-snapshots-public-prohibited	通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
10.51	金融机构在使用云服务时，必须对客户和交易方信息以及专有数据采取适当的保护措施，以防止未经授权的披露和访问。这应包括保留与客户和交易方信息、云端托管的专有数据和服务有关的所有数据的所有权、控制和管理，包括相关的加密密钥管理。	rds-snapshot-encrypted	确保为 Amazon Relational Database Service (Amazon RDS) 快照启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
10.51	金融机构在使用云服务时，必须对客户和交易方信息以及专有数据采取适当的保护措施，以防止未经授权的披露和访问。这应包括保留与客户和交易方信息、云端托管的专有数据和服务有关的所有数据的所有权、控制和管理，包括相关的加密密钥管理。	rds-storage-encrypted	为了帮助保护静态数据，请确保您的 Amazon Relational Database Service (Amazon RDS) 实例启用了加密。由于 Amazon RDS 实例中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
10.51	金融机构在使用云服务时，必须对客户和交易方信息以及专有数据采取适当的保护措施，以防止未经授权的披露和访问。这应包括保留与客户和交易方信息、云端托管的专有数据和服务有关的所有数据的所有权、控制和管理，包括相关的加密密钥管理。	redshift-cluster-configuration-check	要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。
10.51	金融机构在使用云服务时，必须对客户和交易方信息以及专有数据采取适当的保护措施，以防止未经授权的披露和访问。这应包括保留与客户和交易方信息、云端托管的专有数据和服务有关的所有数据的所有权、控制和管理，包括相关的加密密钥管理。	redshift-cluster-kms-enabled	为了帮助保护静态数据，请确保您的 Amazon Redshift 集群启用了使用 AWS Key Management Service (AWS KMS) 的加密。由于 Redshift 集群中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
10.51	金融机构在使用云服务时，必须对客户和交易方信息以及专有数据采取适当的保护措施，以防止未经授权的披露和访问。这应包括保留与客户和交易方信息、云端托管的专有数据和服务有关的所有数据的所有权、控制和管理，包括相关的加密密钥管理。	redshift-cluster-public-access-检查	通过确保 Amazon Redshift 集群不是公有的，来管理对 AWS 云中资源的访问。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
10.51	金融机构在使用云服务时，必须对客户和交易方信息以及专有数据采取适当的保护措施，以防止未经授权的披露和访问。这应包括保留与客户和交易方信息、云端托管的专有数据和服务有关的所有数据的所有权、控制和管理，包括相关的加密密钥管理。	redshift-enhanced-vpc-routing-已启用	增强型 VPC 路由会强制群集和数据存储库之间的所有 COPY 和 UNLOAD 流量都通过 Amazon VPC。然后，您可以使用安全组和网络访问控制列表等 VPC 功能，来保护网络流量。还可以使用 VPC 流日志来监控网络流量。
10.51	金融机构在使用云服务时，必须对客户和交易方信息以及专有数据采取适当的保护措施，以防止未经授权的披露和访问。这应包括保留与客户和交易方信息、云端托管的专有数据和服务有关的所有数据的所有权、控制和管理，包括相关的加密密钥管理。	redshift-require-tls-ssl	确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
10.51	金融机构在使用云服务时，必须对客户和交易方信息以及专有数据采取适当的保护措施，以防止未经授权的披露和访问。这应包括保留与客户和交易方信息、云端托管的专有数据和服务有关的所有数据的所有权、控制和管理，包括相关的加密密钥管理。	root-account-hardware-mfa-已启用	通过确保为根用户启用硬件 MFA，来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少 AWS 账户被盗的事件。
10.51	金融机构在使用云服务时，必须对客户和交易方信息以及专有数据采取适当的保护措施，以防止未经授权的披露和访问。这应包括保留与客户和交易方信息、云端托管的专有数据和服务有关的所有数据的所有权、控制和管理，包括相关的加密密钥管理。	root-account-mfa-enabled	通过确保为根用户启用 MFA，来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少 AWS 账户被盗的事件。
10.51	金融机构在使用云服务时，必须对客户和交易方信息以及专有数据采取适当的保护措施，以防止未经授权的披露和访问。这应包括保留与客户和交易方信息、云端托管的专有数据和服务有关的所有数据的所有权、控制和管理，包括相关的加密密钥管理。	s3--account-level-public-access 区块-周期性	通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置（配置默认值：True）、 ignorePublicAcls （配置默认值：True）、 blockPublicPolicy （配置默认值：True）和参数 blockPublicAcls （配置默认值：True）和 restrictPublicBuckets 参数（配置默认值：True）。实际值应反映贵组织的策略。
10.51	金融机构在使用云服务时，必须对客户和交易方信息以及专有数据采取适当的保护措施，以防止未经授权的披露和访问。这应包括保留与客户和交易方信息、云端托管的专有数据和服务有关的所有数据的所有权、控制和管理，包括相关的加密密钥管理。	s3-bucket-public-read-prohibited	通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。
10.51	金融机构在使用云服务时，必须对客户和交易方信息以及专有数据采取适当的保护措施，以防止未经授权的披露和访问。这应包括保留与客户和交易方信息、云端托管的专有数据和服务有关的所有数据的所有权、控制和管理，包括相关的加密密钥管理。	s3-bucket-public-write-prohibited	通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。
10.51	金融机构在使用云服务时，必须对客户和交易方信息以及专有数据采取适当的保护措施，以防止未经授权的披露和访问。这应包括保留与客户和交易方信息、云端托管的专有数据和服务有关的所有数据的所有权、控制和管理，包括相关的加密密钥管理。	s3-已bucket-server-side-encryption启用	为了帮助保护静态数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用加密以帮助保护这些数据。
10.51	金融机构在使用云服务时，必须对客户和交易方信息以及专有数据采取适当的保护措施，以防止未经授权的披露和访问。这应包括保留与客户和交易方信息、云端托管的专有数据和服务有关的所有数据的所有权、控制和管理，包括相关的加密密钥管理。	s3-bucket-ssl-requests-only	为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶需要请求使用安全套接字层 (SSL)。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
10.51	金融机构在使用云服务时，必须对客户和交易方信息以及专有数据采取适当的保护措施，以防止未经授权的披露和访问。这应包括保留与客户和交易方信息、云端托管的专有数据和服务有关的所有数据的所有权、控制和管理，包括相关的加密密钥管理。	s3-default-encryption-kms	确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
10.51	金融机构在使用云服务时，必须对客户和交易方信息以及专有数据采取适当的保护措施，以防止未经授权的披露和访问。这应包括保留与客户和交易方信息、云端托管的专有数据和服务有关的所有数据的所有权、控制和管理，包括相关的加密密钥管理。	sagemaker-endpoint-configuration-kms-密钥已配置	为了帮助保护静态数据，请确保您的 SageMaker 终端节点启用了AWS密钥管理服务 (AWSKMS) 的加密。由于敏感数据可以静态存在于 SageMaker 端点中，因此启用静态加密以帮助保护这些数据。
10.51	金融机构在使用云服务时，必须对客户和交易方信息以及专有数据采取适当的保护措施，以防止未经授权的披露和访问。这应包括保留与客户和交易方信息、云端托管的专有数据和服务有关的所有数据的所有权、控制和管理，包括相关的加密密钥管理。	sagemaker-notebook-instance-kms-密钥已配置	为帮助保护静态数据，请确保您的 SageMaker 笔记本电脑启用了AWS密钥管理服务 (AWSKMS) 的加密。由于敏感数据可以静态存在于 SageMaker 笔记本中，因此启用静态加密以帮助保护这些数据。
10.51	金融机构在使用云服务时，必须对客户和交易方信息以及专有数据采取适当的保护措施，以防止未经授权的披露和访问。这应包括保留与客户和交易方信息、云端托管的专有数据和服务有关的所有数据的所有权、控制和管理，包括相关的加密密钥管理。	sagemaker-notebook-no-direct-互联网接入	通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对AWS云端资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。
10.51	金融机构在使用云服务时，必须对客户和交易方信息以及专有数据采取适当的保护措施，以防止未经授权的披露和访问。这应包括保留与客户和交易方信息、云端托管的专有数据和服务有关的所有数据的所有权、控制和管理，包括相关的加密密钥管理。	sns-encrypted-kms	为了帮助保护静态数据，请确保您的 Amazon Simple Notification Service (Amazon SNS) 主题需要使用 AWS Key Management Service (AWS KMS) 进行加密。由于已发布的消息中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
10.51	金融机构在使用云服务时，必须对客户和交易方信息以及专有数据采取适当的保护措施，以防止未经授权的披露和访问。这应包括保留与客户和交易方信息、云端托管的专有数据和服务有关的所有数据的所有权、控制和管理，包括相关的加密密钥管理。	ssm-document-not-public	确保 AWS Systems Manager (SSM) 文档不公开，因为这可能会允许意外访问您的 SSM 文档。公开 SSM 文档可能会公开有关您的账户、资源和内部流程的信息。
10.51	金融机构在使用云服务时，必须对客户和交易方信息以及专有数据采取适当的保护措施，以防止未经授权的披露和访问。这应包括保留与客户和交易方信息、云端托管的专有数据和服务有关的所有数据的所有权、控制和管理，包括相关的加密密钥管理。	subnet-auto-assign-public-ip 已禁用	通过确保 Amazon Virtual Private Cloud (VPC) 子网不会自动分配公有 IP 地址，来管理对 AWS 云的访问。Amazon Elastic Compute Cloud (EC2) 实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。
10.52	金融机构必须实施适当的访问控制政策，对用户（内部和外部用户，例如第三方服务提供商）进行识别、身份验证和授权。这必须涉及与未经授权访问其技术系统的风险程度相称的逻辑和物理技术访问控制	access-keys-rotated	通过确保按照组织政策轮换 IAM 访问密钥，对授权的设备、用户和流程的凭证进行审核。定期更改访问密钥是一种安全最佳实践。它会缩短访问密钥的有效期，并降低密钥泄露时对业务的影响。此规则需要访问密钥轮换值（配置默认值：90）。实际值应反映贵组织的策略。
10.52	金融机构必须实施适当的访问控制政策，对用户（内部和外部用户，例如第三方服务提供商）进行识别、身份验证和授权。这必须涉及与未经授权访问其技术系统的风险程度相称的逻辑和物理技术访问控制	account-part-of-organizations	在 AWS Organizations 中集中管理 AWS 账户有助于确保账户合规。缺乏集中式账户管理可能会导致账户配置不一致，从而可能泄露资源和敏感数据。
10.52	金融机构必须实施适当的访问控制政策，对用户（内部和外部用户，例如第三方服务提供商）进行识别、身份验证和授权。这必须涉及与未经授权访问其技术系统的风险程度相称的逻辑和物理技术访问控制	ec2-instance-profile-attached	EC2 实例配置文件将 IAM 角色传递给 EC2 实例。将实例配置文件附加到您的实例可以帮助实现最低权限和权限管理。
10.52	金融机构必须实施适当的访问控制政策，对用户（内部和外部用户，例如第三方服务提供商）进行识别、身份验证和授权。这必须涉及与未经授权访问其技术系统的风险程度相称的逻辑和物理技术访问控制	emr-kerberos-enabled	通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心 (KDC)。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。
10.52	金融机构必须实施适当的访问控制政策，对用户（内部和外部用户，例如第三方服务提供商）进行识别、身份验证和授权。这必须涉及与未经授权访问其技术系统的风险程度相称的逻辑和物理技术访问控制	iam-customer-policy-blocked-kms 动作	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对所有 AWS Key Management Service 密钥的阻止操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。此规则允许您设置 blockedActionsPatterns 参数。（AWS基础安全最佳实践值：kms: decrypt，kms:）。ReEncryptFrom实际值应反映贵组织的策略
10.52	金融机构必须实施适当的访问控制政策，对用户（内部和外部用户，例如第三方服务提供商）进行识别、身份验证和授权。这必须涉及与未经授权访问其技术系统的风险程度相称的逻辑和物理技术访问控制	iam-no-inline-policy-检查	确保 AWS Identity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有控制系统和资产访问的内联策略。AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。
10.52	金融机构必须实施适当的访问控制政策，对用户（内部和外部用户，例如第三方服务提供商）进行识别、身份验证和授权。这必须涉及与未经授权访问其技术系统的风险程度相称的逻辑和物理技术访问控制	iam-password-policy	身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过 NIST SP 800-63 和针对密码强度的 AWS 基础安全最佳实践标准规定的要求。此规则允许您选择设置 RequireUppercaseCharacters （AWS基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS基础安全最佳实践值：true）、 RequireSymbols （AWS基础安全最佳实践值：true）、 RequireNumbers （AWS基础安全最佳实践值：true）、 MinimumPasswordLength （AWS基础安全最佳实践值：14）、 PasswordReusePrevention （AWS基础安全最佳实践值：24）和 MaxPasswordAge （AWS基础安全最佳实践值：90）IAM 密码政策。实际值应反映贵组织的策略。
10.52	金融机构必须实施适当的访问控制政策，对用户（内部和外部用户，例如第三方服务提供商）进行识别、身份验证和授权。这必须涉及与未经授权访问其技术系统的风险程度相称的逻辑和物理技术访问控制	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 "Effect": "Allow" with "Action": "*" over "Resource": "*"。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
10.52	金融机构必须实施适当的访问控制政策，对用户（内部和外部用户，例如第三方服务提供商）进行识别、身份验证和授权。这必须涉及与未经授权访问其技术系统的风险程度相称的逻辑和物理技术访问控制	iam-root-access-key-检查	通过检查根用户的 AWS Identity and Access Management (IAM) 角色是否拥有访问密钥，可以控制对系统和资产的访问。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户来帮助纳入最少功能原则。
10.52	金融机构必须实施适当的访问控制政策，对用户（内部和外部用户，例如第三方服务提供商）进行识别、身份验证和授权。这必须涉及与未经授权访问其技术系统的风险程度相称的逻辑和物理技术访问控制	iam-user-group-membership-检查	AWS Identity and Access Management (IAM) 可通过确保用户至少属于一个组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
10.52	金融机构必须实施适当的访问控制政策，对用户（内部和外部用户，例如第三方服务提供商）进行识别、身份验证和授权。这必须涉及与未经授权访问其技术系统的风险程度相称的逻辑和物理技术访问控制	iam-user-mfa-enabled	启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有 IAM 用户启用多重身份验证 (MFA)。MFA 在用户名和密码之上增加了一层额外的防护。要求 IAM 用户进行多重身份验证，从而减少账户被盗事件。
10.52	金融机构必须实施适当的访问控制政策，对用户（内部和外部用户，例如第三方服务提供商）进行识别、身份验证和授权。这必须涉及与未经授权访问其技术系统的风险程度相称的逻辑和物理技术访问控制	iam-user-no-policies-检查	此规则可确保仅将 AWS Identity and Access Management (IAM) 策略附加到组或角色，以控制对系统和资产的访问。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。
10.52	金融机构必须实施适当的访问控制政策，对用户（内部和外部用户，例如第三方服务提供商）进行识别、身份验证和授权。这必须涉及与未经授权访问其技术系统的风险程度相称的逻辑和物理技术访问控制。	iam-user-unused-credentials-检查	AWS Identity and Access Management (IAM) 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥，来帮助您获得访问权限和授权。如果发现这些未使用的凭证，则应禁用和/或删除这些凭证，因为这可能违反最低权限原则。此规则要求您为 “ maxCredentialUsage年龄” 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。
10.52	金融机构必须实施适当的访问控制政策，对用户（内部和外部用户，例如第三方服务提供商）进行识别、身份验证和授权。这必须涉及与未经授权访问其技术系统的风险程度相称的逻辑和物理技术访问控制	root-account-hardware-mfa-已启用	通过确保为根用户启用硬件 MFA，来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少 AWS 账户被盗的事件。
10.52	金融机构必须实施适当的访问控制政策，对用户（内部和外部用户，例如第三方服务提供商）进行识别、身份验证和授权。这必须涉及与未经授权访问其技术系统的风险程度相称的逻辑和物理技术访问控制	root-account-mfa-enabled	通过确保为根用户启用 MFA，来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少 AWS 账户被盗的事件。
10.53(b)(h)(i)	在遵守第10.52段时，金融机构应在其访问控制政策中考虑以下原则：(b) 采用 “最低权限” 访问权限，或者在仅向合法用户授予最低限度足够权限以履行其角色的情况下；(h) 限制和控制多个用户共享用户名和密码；(i) 控制通用用户ID命名惯例的使用，转而使用更具个人识别性的ID。need-to-have	iam-root-access-key-检查	通过检查根用户的 AWS Identity and Access Management (IAM) 角色是否拥有访问密钥，可以控制对系统和资产的访问。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户来帮助纳入最少功能原则。
10.53(b)	在遵守第10.52段时，金融机构应在其访问控制政策中考虑以下原则：(b) 使用 “最低权限” 访问权限，或者在 “” 的基础上使用 “最低权限” need-to-have 访问权限，即仅向合法用户授予履行其角色的最低足够权限；	ec2-instance-profile-attached	EC2 实例配置文件将 IAM 角色传递给 EC2 实例。将实例配置文件附加到您的实例可以帮助实现最低权限和权限管理。
10.53(b)	在遵守第10.52段时，金融机构应在其访问控制政策中考虑以下原则：(b) 使用 “最低权限” 访问权限，或者在 “” 的基础上使用 “最低权限” need-to-have 访问权限，即仅向合法用户授予履行其角色的最低足够权限；	emr-kerberos-enabled	通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心 (KDC)。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。
10.53(b)	在遵守第10.52段时，金融机构应在其访问控制政策中考虑以下原则：(b) 使用 “最低权限” 访问权限，或者在 “” 的基础上使用 “最低权限” need-to-have 访问权限，即仅向合法用户授予履行其角色的最低足够权限；	iam-customer-policy-blocked-kms 动作	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对所有 AWS Key Management Service 密钥的阻止操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。此规则允许您设置 blockedActionsPatterns 参数。（AWS基础安全最佳实践值：kms: decrypt，kms:）。ReEncryptFrom实际值应反映贵组织的策略
10.53(b)	在遵守第10.52段时，金融机构应在其访问控制政策中考虑以下原则：(b) 使用 “最低权限” 访问权限，或者在 “” 的基础上使用 “最低权限” need-to-have 访问权限，即仅向合法用户授予履行其角色的最低足够权限；	iam-no-inline-policy-检查	确保 AWS Identity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有控制系统和资产访问的内联策略。AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。
10.53(b)	在遵守第10.52段时，金融机构应在其访问控制政策中考虑以下原则：(b) 使用 “最低权限” 访问权限，或者在 “” 的基础上使用 “最低权限” need-to-have 访问权限，即仅向合法用户授予履行其角色的最低足够权限；	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 "Effect": "Allow" with "Action": "*" over "Resource": "*"。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
10.53(b)	在遵守第10.52段时，金融机构应在其访问控制政策中考虑以下原则：(b) 使用 “最低权限” 访问权限，或者在 “” 的基础上使用 “最低权限” need-to-have 访问权限，即仅向合法用户授予履行其角色的最低足够权限；	iam-user-group-membership-检查	AWS Identity and Access Management (IAM) 可通过确保用户至少属于一个组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
10.53(b)	在遵守第10.52段时，金融机构应在其访问控制政策中考虑以下原则：(b) 使用 “最低权限” 访问权限，或者在 “” 的基础上使用 “最低权限” need-to-have 访问权限，即仅向合法用户授予履行其角色的最低足够权限；	iam-user-no-policies-检查	此规则可确保仅将 AWS Identity and Access Management (IAM) 策略附加到组或角色，以控制对系统和资产的访问。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。
10.53(c)(f)	在遵守第 10.52 段的规定时，金融机构应在其访问控制策略中考虑以下原则：(c) 使用有时限的访问权限，限制在特定时间段内访问，包括授予服务提供商的访问权限；(f) 对包括远程访问在内的关键活动采用更严格的身份验证	iam-password-policy	身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过 NIST SP 800-63 和针对密码强度的 AWS 基础安全最佳实践标准规定的要求。此规则允许您选择设置 RequireUppercaseCharacters （AWS基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS基础安全最佳实践值：true）、 RequireSymbols （AWS基础安全最佳实践值：true）、 RequireNumbers （AWS基础安全最佳实践值：true）、 MinimumPasswordLength （AWS基础安全最佳实践值：14）、 PasswordReusePrevention （AWS基础安全最佳实践值：24）和 MaxPasswordAge （AWS基础安全最佳实践值：90）IAM 密码政策。实际值应反映贵组织的策略。
10.53(f)(h)	在遵守第 10.52 段的规定时，金融机构应在其访问控制策略中考虑以下原则：(f) 对包括远程访问在内的关键活动采用更严格的身份验证；(h) 限制和控制在多个用户之间共享用户 ID 和密码	iam-user-mfa-enabled	启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有 IAM 用户启用多重身份验证 (MFA)。MFA 在用户名和密码之上增加了一层额外的防护。要求 IAM 用户进行多重身份验证，从而减少账户被盗事件。
10.53(f)(h)	在遵守第 10.54 段的规定时，金融机构应在其访问控制策略中考虑以下原则：(f) 对包括远程访问在内的关键活动采用更严格的身份验证；(h) 限制和控制在多个用户之间共享用户 ID 和密码	root-account-hardware-mfa-已启用	通过确保为根用户启用硬件 MFA，来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少 AWS 账户被盗的事件。
10.53(f)(h)	在遵守第 10.54 段的规定时，金融机构应在其访问控制策略中考虑以下原则：(f) 对包括远程访问在内的关键活动采用更严格的身份验证；(h) 限制和控制在多个用户之间共享用户 ID 和密码	root-account-mfa-enabled	通过确保为根用户启用 MFA，来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少 AWS 账户被盗的事件。
10.54	金融机构必须采用强大的身份验证流程来确保所用身份的真实性。身份验证机制应与功能的关键程度相称，并采用以下三个基本身份验证因素中的至少一个或多个：用户知道的东西（例如密码、PIN）、用户拥有的东西（例如智能卡、安全设备）和用户的特征（例如生物识别特征，如指纹或视网膜图案）。	iam-user-mfa-enabled	启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有 IAM 用户启用多重身份验证 (MFA)。MFA 在用户名和密码之上增加了一层额外的防护。要求 IAM 用户进行多重身份验证，从而减少账户被盗事件。
10.54	金融机构必须采用强大的身份验证流程来确保所用身份的真实性。身份验证机制应与功能的关键程度相称，并采用以下三个基本身份验证因素中的至少一个或多个：用户知道的东西（例如密码、PIN）、用户拥有的东西（例如智能卡、安全设备）和用户的特征（例如生物识别特征，如指纹或视网膜图案）。	root-account-hardware-mfa-已启用	通过确保为根用户启用硬件 MFA，来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少 AWS 账户被盗的事件。
10.54	金融机构必须采用强大的身份验证流程来确保所用身份的真实性。身份验证机制应与功能的关键程度相称，并采用以下三个基本身份验证因素中的至少一个或多个：用户知道的东西（例如密码、PIN）、用户拥有的东西（例如智能卡、安全设备）和用户的特征（例如生物识别特征，如指纹或视网膜图案）。	root-account-mfa-enabled	通过确保为根用户启用 MFA，来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少 AWS 账户被盗的事件。
10.55	金融机构应定期审查和调整其密码做法，以提高抵御不断演变的攻击的能力。这包括有效、安全地生成密码。必须有适当的控制措施来检查所创建密码的强度。	iam-password-policy	身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过 NIST SP 800-63 和针对密码强度的 AWS 基础安全最佳实践标准规定的要求。此规则允许您选择设置 RequireUppercaseCharacters （AWS基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS基础安全最佳实践值：true）、 RequireSymbols （AWS基础安全最佳实践值：true）、 RequireNumbers （AWS基础安全最佳实践值：true）、 MinimumPasswordLength （AWS基础安全最佳实践值：14）、 PasswordReusePrevention （AWS基础安全最佳实践值：24）和 MaxPasswordAge （AWS基础安全最佳实践值：90）IAM 密码政策。实际值应反映贵组织的策略。
10.56	依赖多个因素的身份验证方法通常比单因素系统更难破解。有鉴于此，我们鼓励金融机构适当地设计和实施（尤其是在高风险或“单点登录”系统中）多重身份验证 (MFA)，这种身份验证更加可靠，对欺诈行为的防御能力也更强。	iam-user-mfa-enabled	启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有 IAM 用户启用多重身份验证 (MFA)。MFA 在用户名和密码之上增加了一层额外的防护。要求 IAM 用户进行多重身份验证，从而减少账户被盗事件。
10.56	依赖多个因素的身份验证方法通常比单因素系统更难破解。有鉴于此，我们鼓励金融机构适当地设计和实施（尤其是在高风险或“单点登录”系统中）多重身份验证 (MFA)，这种身份验证更加可靠，对欺诈行为的防御能力也更强。	root-account-hardware-mfa-已启用	通过确保为根用户启用硬件 MFA，来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少 AWS 账户被盗的事件。
10.56	依赖多个因素的身份验证方法通常比单因素系统更难破解。有鉴于此，我们鼓励金融机构适当地设计和实施（尤其是在高风险或“单点登录”系统中）多重身份验证 (MFA)，这种身份验证更加可靠，对欺诈行为的防御能力也更强。	root-account-mfa-enabled	通过确保为根用户启用 MFA，来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少 AWS 账户被盗的事件。
10.59	金融机构必须确保 (a) 有效管理和监控对企业范围系统的访问控制；(b) 记录关键系统中的用户活动以供审核和调查。活动日志必须至少保存三年，并定期及时进行审查。	access-keys-rotated	通过确保按照组织政策轮换 IAM 访问密钥，对授权的设备、用户和流程的凭证进行审核。定期更改访问密钥是一种安全最佳实践。它会缩短访问密钥的有效期，并降低密钥泄露时对业务的影响。此规则需要访问密钥轮换值（配置默认值：90）。实际值应反映贵组织的策略。
10.59	金融机构必须确保 (a) 有效管理和监控对企业范围系统的访问控制；(b) 记录关键系统中的用户活动以供审核和调查。活动日志必须至少保存三年，并定期及时进行审查。	account-part-of-organizations	在 AWS Organizations 中集中管理 AWS 账户有助于确保账户合规。缺乏集中式账户管理可能会导致账户配置不一致，从而可能泄露资源和敏感数据。
10.59	金融机构必须确保 (a) 有效管理和监控对企业范围系统的访问控制；(b) 记录关键系统中的用户活动以供审核和调查。活动日志必须至少保存三年，并定期及时进行审查。	api-gw-execution-logging-已启用	API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。
10.59	金融机构必须确保 (a) 有效管理和监控对企业范围系统的访问控制；(b) 记录关键系统中的用户活动以供审核和调查。活动日志必须至少保存三年，并定期及时进行审查。	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。
10.59	金融机构必须确保 (a) 有效管理和监控对企业范围系统的访问控制；(b) 记录关键系统中的用户活动以供审核和调查。活动日志必须至少保存三年，并定期及时进行审查。	cloudtrail-security-trail-enabled	此规则通过检查多项设置的启用情况，来确保使用 AWS 推荐的 AWS CloudTrail 安全最佳实践。其中包括使用日志加密、日志验证以及在多个区域启用 AWS CloudTrail 。
10.59	金融机构必须确保 (a) 有效管理和监控对企业范围系统的访问控制；(b) 记录关键系统中的用户活动以供审核和调查。活动日志必须至少保存三年，并定期及时进行审查。	cloud-trail-cloud-watch-启用日志	使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含AWS CloudTrail 数据可提供您AWS账户中 API 调用活动的详细信息。
10.59	金融机构必须确保 (a) 有效管理和监控对企业范围系统的访问控制；(b) 记录关键系统中的用户活动以供审核和调查。活动日志必须至少保存三年，并定期及时进行审查。	cw-loggroup-retention-period-检查	确保为日志组保留事件日志数据的最短时间，以帮助进行故障排除和取证调查。缺乏过去的事件日志数据会让重建和识别潜在的恶意事件变得困难。
10.59	金融机构必须确保 (a) 有效管理和监控对企业范围系统的访问控制；(b) 记录关键系统中的用户活动以供审核和调查。活动日志必须至少保存三年，并定期及时进行审查。	ec2-instance-profile-attached	EC2 实例配置文件将 IAM 角色传递给 EC2 实例。将实例配置文件附加到您的实例可以帮助实现最低权限和权限管理。
10.59	金融机构必须确保 (a) 有效管理和监控对企业范围系统的访问控制；(b) 记录关键系统中的用户活动以供审核和调查。活动日志必须至少保存三年，并定期及时进行审查。	elb-logging-enabled	Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息 (例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。
10.59	金融机构必须确保 (a) 有效管理和监控对企业范围系统的访问控制；(b) 记录关键系统中的用户活动以供审核和调查。活动日志必须至少保存三年，并定期及时进行审查。	iam-customer-policy-blocked-kms 动作	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对所有 AWS Key Management Service 密钥的阻止操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。此规则允许您设置 blockedActionsPatterns 参数。（AWS基础安全最佳实践值：kms: decrypt，kms:）。ReEncryptFrom实际值应反映贵组织的策略
10.59	金融机构必须确保 (a) 有效管理和监控对企业范围系统的访问控制；(b) 记录关键系统中的用户活动以供审核和调查。活动日志必须至少保存三年，并定期及时进行审查。	iam-password-policy	身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过 NIST SP 800-63 和针对密码强度的 AWS 基础安全最佳实践标准规定的要求。此规则允许您选择设置 RequireUppercaseCharacters （AWS基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS基础安全最佳实践值：true）、 RequireSymbols （AWS基础安全最佳实践值：true）、 RequireNumbers （AWS基础安全最佳实践值：true）、 MinimumPasswordLength （AWS基础安全最佳实践值：14）、 PasswordReusePrevention （AWS基础安全最佳实践值：24）和 MaxPasswordAge （AWS基础安全最佳实践值：90）IAM 密码政策。实际值应反映贵组织的策略。
10.59	金融机构必须确保 (a) 有效管理和监控对企业范围系统的访问控制；(b) 记录关键系统中的用户活动以供审核和调查。活动日志必须至少保存三年，并定期及时进行审查。	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 "Effect": "Allow" with "Action": "*" over "Resource": "*"。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
10.59	金融机构必须确保 (a) 有效管理和监控对企业范围系统的访问控制；(b) 记录关键系统中的用户活动以供审核和调查。活动日志必须至少保存三年，并定期及时进行审查。	iam-root-access-key-检查	通过检查根用户的 AWS Identity and Access Management (IAM) 角色是否拥有访问密钥，可以控制对系统和资产的访问。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户来帮助纳入最少功能原则。
10.59	金融机构必须确保 (a) 有效管理和监控对企业范围系统的访问控制；(b) 记录关键系统中的用户活动以供审核和调查。活动日志必须至少保存三年，并定期及时进行审查。	iam-user-group-membership-检查	AWS Identity and Access Management (IAM) 可通过确保用户至少属于一个组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
10.59	金融机构必须确保 (a) 有效管理和监控对企业范围系统的访问控制；(b) 记录关键系统中的用户活动以供审核和调查。活动日志必须至少保存三年，并定期及时进行审查。	iam-user-no-policies-检查	此规则可确保仅将 AWS Identity and Access Management (IAM) 策略附加到组或角色，以控制对系统和资产的访问。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。
10.59	金融机构必须确保 (a) 有效管理和监控对企业范围系统的访问控制；(b) 记录关键系统中的用户活动以供审核和调查。活动日志必须至少保存三年，并定期及时进行审查。	opensearch-logs-to-cloudwatch	确保 Amazon S OpenSearch ervice 域已启用错误日志，并将其流式传输到 Amazon CloudWatch Logs 以进行保留和响应。 OpenSearch 服务错误日志可以帮助进行安全和访问审计，还可以帮助诊断可用性问题。
10.59	金融机构必须确保 (a) 有效管理和监控对企业范围系统的访问控制；(b) 记录关键系统中的用户活动以供审核和调查。活动日志必须至少保存三年，并定期及时进行审查。	rds-logging-enabled	为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service (Amazon RDS) 日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。
10.59	金融机构必须确保 (a) 有效管理和监控对企业范围系统的访问控制；(b) 记录关键系统中的用户活动以供审核和调查。活动日志必须至少保存三年，并定期及时进行审查。	redshift-cluster-configuration-check	要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。
10.59	金融机构必须确保 (a) 有效管理和监控对企业范围系统的访问控制；(b) 记录关键系统中的用户活动以供审核和调查。活动日志必须至少保存三年，并定期及时进行审查。	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。
10.59	金融机构必须确保 (a) 有效管理和监控对企业范围系统的访问控制；(b) 记录关键系统中的用户活动以供审核和调查。活动日志必须至少保存三年，并定期及时进行审查。	wafv2-logging-enabled	为了帮助在您的环境中进行日志记录和监控，请在区域和全局 Web ACL 上启用 AWS WAF (V2) 日志记录。AWSWAF 日志记录提供有关 Web ACL 分析的流量的详细信息。日志记录 AWS 接收来自 AWS 资源的请求的时间，有关请求的详细信息，以及每个请求所匹配的规则的操作。
10.60	在满足第 10.59 段的要求时，大型金融机构必须 (a) 部署身份访问管理系统，以有效管理和监控用户对企业范围系统的访问；(b) 部署自动审核工具以标记任何异常情况。	cloud-trail-cloud-watch-启用日志	使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含AWS CloudTrail 数据可提供您AWS账户中 API 调用活动的详细信息。
10.60	在满足第 10.61 段的要求时，大型金融机构必须 (a) 部署身份访问管理系统，以有效管理和监控用户对企业范围系统的访问；(b) 部署自动审核工具以标记任何异常情况。	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。
10.60	在满足第 10.61 段的要求时，大型金融机构必须 (a) 部署身份访问管理系统，以有效管理和监控用户对企业范围系统的访问；(b) 部署自动审核工具以标记任何异常情况。	securityhub-enabled	AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。AWSSecurity Hub 可以聚合、组织和优先处理来自多个 AWS 服务的安全告警或结果。其中一些服务包括 Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management (IAM) Access Analyzer、AWS Firewall Manager 和 AWS 合作伙伴解决方案。
10.61	金融机构必须确保关键系统不会在存在已知安全漏洞的过时系统或 end-of-life (EOL) 技术系统上运行。在这方面，金融机构必须向已确定的职能明确分配责任：(a) 持续监控和及时实施最新的补丁版本；(b) 确定生命周期即将结束的关键技术系统，以便采取进一步的补救行动。	ec2-管理instance-managed-by-systems器	利用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 实例，可以清点组织中的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发布者和版本以及有关您的环境的其他详细信息。
10.61	金融机构必须确保关键系统不会在存在已知安全漏洞的过时系统或 end-of-life (EOL) 技术系统上运行。在这方面，金融机构必须向已确定的职能明确分配责任：(a) 持续监控和及时实施最新的补丁版本；(b) 确定生命周期即将结束的关键技术系统，以便采取进一步的补救行动。	ec2-managedinstance-association-compliance-status-check	使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。AWSSystems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。
10.61	金融机构必须确保关键系统不会在存在已知安全漏洞的过时系统或 end-of-life (EOL) 技术系统上运行。在这方面，金融机构必须向已确定的职能明确分配责任：(a) 持续监控和及时实施最新的补丁版本；(b) 确定生命周期即将结束的关键技术系统，以便采取进一步的补救行动。	ec2-managedinstance-patch-compliance-status-check	启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。此规则根据贵组织的政策和程序的要求检查 AWS Systems Manager 中的 Amazon EC2 实例补丁是否合规。
10.61	金融机构必须确保关键系统不会在存在已知安全漏洞的过时系统或 end-of-life (EOL) 技术系统上运行。在这方面，金融机构必须向已确定的职能明确分配责任：(a) 持续监控和及时实施最新的补丁版本；(b) 确定生命周期即将结束的关键技术系统，以便采取进一步的补救行动。	elastic-beanstalk-managed-updates-已启用	为 Amazon Elastic Beanstalk 环境启用受管平台更新可确保安装环境的最新可用平台修复、更新和功能。及时安装补丁是保护系统的最佳实践。
10.61	金融机构必须确保关键系统不会在存在已知安全漏洞的过时系统或 end-of-life (EOL) 技术系统上运行。在这方面，金融机构必须向已确定的职能明确分配责任：(a) 持续监控和及时实施最新的补丁版本；(b) 确定生命周期即将结束的关键技术系统，以便采取进一步的补救行动。	redshift-cluster-maintenancesettings-check	此规则可确保 Amazon Redshift 集群具有适合贵组织的首选设置。具体而言，就是确保它们有首选的数据库维护窗口和自动快照保留期。此规则要求您设置 allowVersionUpgrade. 默认值为 true。它还允许你选择性地设置 preferredMaintenanceWindow （默认值为 sat：16:00-sat：16:30）和周 automatedSnapshotRetention期（默认值为 1）。实际值应反映贵组织的策略。
10.64(a)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，来确保以下几点：(a) 客户和交易方信息及交易的机密性和完整性	alb-http-to-https-重定向检查	为帮助保护传输中的数据，请确保应用负载均衡器自动将未加密的 HTTP 请求重定向到 HTTPS。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
10.64(a)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，来确保以下几点：(a) 客户和交易方信息及交易的机密性和完整性	api-gw-cache-enabled并加密	为了帮助保护静态数据，请确保为 API Gateway 阶段的缓存启用加密。由于可能会为 API 方法捕获敏感数据，因此应启用静态加密以帮助保护这些数据。
10.64(a)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，来确保以下几点：(a) 客户和交易方信息及交易的机密性和完整性	api-gw-ssl-enabled	确保 Amazon API Gateway REST API 阶段配置了 SSL 证书，以允许后端系统验证请求来自 API Gateway。
10.64(a)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，来确保以下几点：(a) 客户和交易方信息及交易的机密性和完整性	backup-recovery-point-encrypted	确保您的 AWS Backup 恢复点已启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
10.64(a)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，来确保以下几点：(a) 客户和交易方信息及交易的机密性和完整性	cloudtrail-security-trail-enabled	此规则通过检查多项设置的启用情况，来确保使用 AWS 推荐的 AWS CloudTrail 安全最佳实践。其中包括使用日志加密、日志验证以及在多个区域启用 AWS CloudTrail 。
10.64(a)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，来确保以下几点：(a) 客户和交易方信息及交易的机密性和完整性	cloudwatch-log-group-encrypted	为帮助保护静态敏感数据，请确保您的 Amazon CloudWatch 日志组启用了加密。
10.64(a)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，来确保以下几点：(a) 客户和交易方信息及交易的机密性和完整性	dynamodb-table-encrypted-kms	确保为 Amazon DynamoDB 表启用加密。由于这些表中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。默认情况下，DynamoDB 表使用 AWS 拥有的客户主密钥 (CMK) 进行加密。
10.64(a)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，来确保以下几点：(a) 客户和交易方信息及交易的机密性和完整性	ec2-ebs-encryption-by-default	为了帮助保护静态数据，请确保为您的 Amazon Elastic Block Store (Amazon EBS) 卷启用加密。由于这些卷中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
10.64(a)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，来确保以下几点：(a) 客户和交易方信息及交易的机密性和完整性	efs-encrypted-check	由于可能存在敏感数据，并且为了帮助保护静态数据，请确保为您的 Amazon Elastic File System (EFS) 启用加密。
10.64(a)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，来确保以下几点：(a) 客户和交易方信息及交易的机密性和完整性	elbv2-acm-certificate-required	由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certificate Manager 通过 AWS 服务和内部资源管理、预置和部署公有和私有 SSL/TLS 证书。
10.64(a)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，来确保以下几点：(a) 客户和交易方信息及交易的机密性和完整性	encrypted-volumes	由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon Elastic Block Store (Amazon EBS) 卷启用了加密。
10.64(a)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，来确保以下几点：(a) 客户和交易方信息及交易的机密性和完整性	opensearch-encrypted-at-rest	由于敏感数据可能存在，并且为了帮助保护静态数据，请确保对您的 Amazon S OpenSearch ervice 域启用加密。
10.64(a)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，来确保以下几点：(a) 客户和交易方信息及交易的机密性和完整性	opensearch-https-required	由于敏感数据可能存在，并且为了帮助保护传输中的数据，请确保为与您的 Amazon S OpenSearch ervice 域的连接启用 HTTPS。
10.64(a)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，来确保以下几点：(a) 客户和交易方信息及交易的机密性和完整性	opensearch-node-to-node-加密检查	确保启用了 Amazon OpenSearch 服务的 node-to-node 加密。N ode-to-node 加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
10.64(a)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，来确保以下几点：(a) 客户和交易方信息及交易的机密性和完整性	rds-snapshot-encrypted	确保为 Amazon Relational Database Service (Amazon RDS) 快照启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
10.64(a)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，来确保以下几点：(a) 客户和交易方信息及交易的机密性和完整性	rds-storage-encrypted	为了帮助保护静态数据，请确保您的 Amazon Relational Database Service (Amazon RDS) 实例启用了加密。由于 Amazon RDS 实例中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
10.64(a)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，来确保以下几点：(a) 客户和交易方信息及交易的机密性和完整性	redshift-cluster-configuration-check	要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。
10.64(a)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，来确保以下几点：(a) 客户和交易方信息及交易的机密性和完整性	redshift-cluster-kms-enabled	为了帮助保护静态数据，请确保您的 Amazon Redshift 集群启用了使用 AWS Key Management Service (AWS KMS) 的加密。由于 Redshift 集群中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
10.64(a)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，来确保以下几点：(a) 客户和交易方信息及交易的机密性和完整性	redshift-require-tls-ssl	确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
10.64(a)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，来确保以下几点：(a) 客户和交易方信息及交易的机密性和完整性	s3-已bucket-server-side-encryption启用	为了帮助保护静态数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用加密以帮助保护这些数据。
10.64(a)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，来确保以下几点：(a) 客户和交易方信息及交易的机密性和完整性	s3-bucket-ssl-requests-only	为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶需要请求使用安全套接字层 (SSL)。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
10.64(a)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，来确保以下几点：(a) 客户和交易方信息及交易的机密性和完整性	sagemaker-endpoint-configuration-kms-密钥已配置	为了帮助保护静态数据，请确保您的 SageMaker 终端节点启用了AWS密钥管理服务 (AWSKMS) 的加密。由于敏感数据可以静态存在于 SageMaker 端点中，因此启用静态加密以帮助保护这些数据。
10.64(a)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，来确保以下几点：(a) 客户和交易方信息及交易的机密性和完整性	sagemaker-notebook-instance-kms-密钥已配置	为帮助保护静态数据，请确保您的 SageMaker 笔记本电脑启用了AWS密钥管理服务 (AWSKMS) 的加密。由于敏感数据可以静态存在于 SageMaker 笔记本中，因此启用静态加密以帮助保护这些数据。
10.64(a)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，来确保以下几点：(a) 客户和交易方信息及交易的机密性和完整性	secretsmanager-using-cmk	为了帮助保护静态数据，请确保为 AWS Secrets Manager 机密启用 AWS Key Management Service (AWS KMS)。由于 Secrets Manager 机密中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
10.64(a)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，来确保以下几点：(a) 客户和交易方信息及交易的机密性和完整性	sns-encrypted-kms	为了帮助保护静态数据，请确保您的 Amazon Simple Notification Service (Amazon SNS) 主题需要使用 AWS Key Management Service (AWS KMS) 进行加密。由于已发布的消息中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
10.64(b)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，以确保以下几点：(b) 通过各种渠道和设备提供的服务可靠性，同时尽可能减少服务中断	dynamodb-autoscaling-enabled	Amazon DynamoDB 自动扩缩使用 AWS 应用程序自动扩缩服务来调整预置的吞吐量容量，并自动响应实际流量模式。这将允许表或全局二级索引增大其预置的读/写容量以处理突发流量，而不进行节流。
10.64(b)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，以确保以下几点：(b) 通过各种渠道和设备提供的服务可靠性，同时尽可能减少服务中断	ec2-stopped-instance	根据组织的标准，启用此规则可检查 Amazon EC2 实例停止运行的天数是否超过允许的天数，从而帮助进行 Amazon Elastic Compute Cloud (Amazon EC2) 实例的基线配置。
10.64(b)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，以确保以下几点：(b) 通过各种渠道和设备提供的服务可靠性，同时尽可能减少服务中断	elb-deletion-protection-enabled	此规则可确保 Elastic Load Balancing 已启用删除保护。使用此功能可防止负载均衡器被意外或恶意删除，因为这可能导致应用程序丧失可用性。
10.64(b)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，以确保以下几点：(b) 通过各种渠道和设备提供的服务可靠性，同时尽可能减少服务中断	nlb-cross-zone-load-启用平衡	为平衡 NetworkLoad 器 (NLB) 启用跨区域负载平衡，以帮助保持足够的容量和可用性。跨区域负载均衡可降低在每个启用的可用区维持相同数量实例的需求。它还将提高应用程序处理一个或多个实例丢失情况的能力。
10.64(b)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，以确保以下几点：(b) 通过各种渠道和设备提供的服务可靠性，同时尽可能减少服务中断	rds-instance-deletion-protection-已启用	确保 Amazon Relational Database Service (Amazon RDS) 实例已启用删除保护。使用删除保护可防止您的 Amazon RDS 实例被意外或恶意删除，这可能会导致您的应用程序丧失可用性。
10.64(b)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，以确保以下几点：(b) 通过各种渠道和设备提供的服务可靠性，同时尽可能减少服务中断	rds-multi-az-support	Amazon Relational Database Service (Amazon RDS) 中的多可用区支持为数据库实例提供了增强的可用性和耐久性。当您预置多可用区数据库实例时，Amazon RDS 会自动创建一个主数据库实例，并将数据同步复制到不同可用区中的备用实例。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。
10.64(b)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，以确保以下几点：(b) 通过各种渠道和设备提供的服务可靠性，同时尽可能减少服务中断	vpc-vpn-2-tunnels-up	可实施冗余站点到站点 VPN 隧道来实现弹性需求。它使用两条隧道来帮助确保连接性，以防其中一个站点到站点 VPN 连接不可用。为防止在客户网关不可用的情况下断开连接，您可以使用第二个客户网关为您的 Amazon Virtual Private Cloud (Amazon VPC) 和虚拟私有网关建立第二个站点到站点 VPN 连接。
10.64(d)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，以确保：(d) 充足的审计跟踪记录和对异常交易的监控	api-gw-execution-logging-已启用	API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。
10.64(d)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，以确保：(d) 充足的审计跟踪记录和对异常交易的监控	autoscaling-group-elb-healthcheck-必填	Amazon Elastic Compute Cloud (Amazon EC2) Auto Scaling 组的 Elastic Load Balancer (ELB) 运行状况检查支持维持足够的容量和可用性。负载均衡器会定期发送 ping、尝试进行连接或者发送请求来测试自动扩缩组中的 Amazon EC2 实例。如果实例没有返回报告，则流量会发送到新的 Amazon EC2 实例。
10.64(d)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，以确保：(d) 充足的审计跟踪记录和对异常交易的监控	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。
10.64(d)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，以确保：(d) 充足的审计跟踪记录和对异常交易的监控	cloudtrail-security-trail-enabled	此规则通过检查多项设置的启用情况，来确保使用 AWS 推荐的 AWS CloudTrail 安全最佳实践。其中包括使用日志加密、日志验证以及在多个区域启用 AWS CloudTrail 。
10.64(d)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，以确保：(d) 充足的审计跟踪记录和对异常交易的监控	cloudwatch-alarm-action-check	当某个指标在指定数量的评估周期内突破阈值时，Amazon 会发出 CloudWatch 警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （配置默认值：True）、 insufficientDataAction必填项（配置默认值：True）、 okActionRequired （配置默认值：False）的值。实际值应反映您的环境的警报操作。
10.64(d)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，以确保：(d) 充足的审计跟踪记录和对异常交易的监控	cloud-trail-cloud-watch-启用日志	使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含AWS CloudTrail 数据可提供您AWS账户中 API 调用活动的详细信息。
10.64(d)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，以确保：(d) 充足的审计跟踪记录和对异常交易的监控	dynamodb-throughput-limit-check	启用此规则可确保检查您的 Amazon DynamoDB 表上的预置吞吐容量。这是每个表可以支持的读/写活动量。DynamoDB 使用这些信息来预留足够的系统资源，以满足吞吐量需求。当吞吐量接近客户账户的最大限制时，此规则会生成警报。此规则允许您选择设置 AccountRCU（ThresholdPercentage 配置默认值：80）和 AccountWCUThresholdPercentage （配置默认值：80）参数。实际值应反映贵组织的策略。
10.64(d)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，以确保：(d) 充足的审计跟踪记录和对异常交易的监控	ec2-instance-detailed-monitoring-enabled	启用此规则可帮助改进 Amazon EC2 控制台上的 Amazon Elastic Compute Cloud (Amazon EC2) 实例监控，该控制台以 1 分钟为周期显示实例的监控图。
10.64(d)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，以确保：(d) 充足的审计跟踪记录和对异常交易的监控	elb-logging-enabled	Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息 (例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。
10.64(d)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，以确保：(d) 充足的审计跟踪记录和对异常交易的监控	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。
10.64(d)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，以确保：(d) 充足的审计跟踪记录和对异常交易的监控	opensearch-logs-to-cloudwatch	确保 Amazon S OpenSearch ervice 域已启用错误日志，并将其流式传输到 Amazon CloudWatch Logs 以进行保留和响应。 OpenSearch 服务错误日志可以帮助进行安全和访问审计，还可以帮助诊断可用性问题。
10.64(d)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，以确保：(d) 充足的审计跟踪记录和对异常交易的监控	rds-enhanced-monitoring-enabled	启用 Amazon Relational Database Service (Amazon RDS)，以帮助监控 Amazon RDS 可用性。这让您可以详细了解您的 Amazon RDS 数据库实例的运行状况。当 Amazon RDS 存储使用多个底层物理设备时，“增强监控”会收集每台设备的数据。此外，当 Amazon RDS 数据库实例在多可用区部署中运行时，会收集辅助主机上每个设备的数据和辅助主机指标。
10.64(d)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，以确保：(d) 充足的审计跟踪记录和对异常交易的监控	rds-logging-enabled	为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service (Amazon RDS) 日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。
10.64(d)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，以确保：(d) 充足的审计跟踪记录和对异常交易的监控	redshift-cluster-configuration-check	要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。
10.64(d)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，以确保：(d) 充足的审计跟踪记录和对异常交易的监控	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。
10.64(d)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，以确保：(d) 充足的审计跟踪记录和对异常交易的监控	securityhub-enabled	AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。AWSSecurity Hub 可以聚合、组织和优先处理来自多个 AWS 服务的安全告警或结果。其中一些服务包括 Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management (IAM) Access Analyzer、AWS Firewall Manager 和 AWS 合作伙伴解决方案。
10.64(d)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，以确保：(d) 充足的审计跟踪记录和对异常交易的监控	vpc-flow-logs-enabled	VPC 流日志详细记录进出 Amazon Virtual Private Cloud (Amazon VPC) 网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。
10.64(d)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，以确保：(d) 充足的审计跟踪记录和对异常交易的监控	wafv2-logging-enabled	为了帮助在您的环境中进行日志记录和监控，请在区域和全局 Web ACL 上启用 AWS WAF (V2) 日志记录。AWSWAF 日志记录提供有关 Web ACL 分析的流量的详细信息。日志记录 AWS 接收来自 AWS 资源的请求的时间，有关请求的详细信息，以及每个请求所匹配的规则的操作。
10.64(e)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，以确保以下几点：(e) 能够识别并恢复到事件或服务中断之前的恢复点	aurora-resources-protected-by-备份计划	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Aurora 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
10.64(e)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，以确保以下几点：(e) 能够识别并恢复到事件或服务中断之前的恢复点	db-instance-backup-enabled	Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 会自动创建数据库实例的存储卷快照，备份整个数据库实例。系统允许您设置特定的保留期以满足您的弹性要求。
10.64(e)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，以确保以下几点：(e) 能够识别并恢复到事件或服务中断之前的恢复点	dynamodb-pitr-enabled	启用此规则可检查信息是否已备份。它还通过确保在 Amazon DynamoDB 中启用 point-in-time 恢复功能来维护备份。恢复过程会维持表在过去 35 天的连续备份。
10.64(e)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，以确保以下几点：(e) 能够识别并恢复到事件或服务中断之前的恢复点	dynamodb-resources-protected-by-备份计划	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon DynamoDB 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
10.64(e)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，以确保以下几点：(e) 能够识别并恢复到事件或服务中断之前的恢复点	ebs-optimized-instance	Amazon Elastic Block Store (Amazon EBS) 中的优化实例为 Amazon EBS I/O 操作提供了额外的专用容量。这种优化通过最大限度减少 Amazon EBS I/O 操作与来自您实例的其他流量之间的争用，为您的 EBS 卷提供最佳性能。
10.64(e)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，以确保以下几点：(e) 能够识别并恢复到事件或服务中断之前的恢复点	ebs-resources-protected-by-备份计划	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Elastic Block Store (Amazon EBS) 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
10.64(e)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，以确保以下几点：(e) 能够识别并恢复到事件或服务中断之前的恢复点	ec2 resources-protected-by-backup-计划	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Elastic Compute Cloud (Amazon EC2) 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
10.64(e)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，以确保以下几点：(e) 能够识别并恢复到事件或服务中断之前的恢复点	efs-resources-protected-by-备份计划	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Elastic File System (Amazon EFS) 文件系统。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
10.64(e)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，以确保以下几点：(e) 能够识别并恢复到事件或服务中断之前的恢复点	elasticache-redis-cluster-automatic-备份检查	启用自动备份后，Amazon ElastiCache 会每天创建集群的备份。备份可保留的天数由贵组织规定。自动备份可以帮助防止数据丢失。发生故障时，您可以通过从最新的备份还原数据来创建新集群。
10.64(e)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，以确保以下几点：(e) 能够识别并恢复到事件或服务中断之前的恢复点	rds-resources-protected-by-备份计划	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Relational Database Service (Amazon RDS) 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
10.64(e)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，以确保以下几点：(e) 能够识别并恢复到事件或服务中断之前的恢复点	redshift-backup-enabled	为了帮助完成数据备份流程，请确保您的 Amazon Redshift 集群具有自动快照。当某个集群的自动快照处于启用状态时，Redshift 会定期拍摄该集群的快照。默认情况下，Redshift 大约每 8 小时或在每节点数据更改达到 5 GB 时拍摄一次快照，以先到者为准。
10.64(e)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，以确保以下几点：(e) 能够识别并恢复到事件或服务中断之前的恢复点	s3-bucket-versioning-enabled	Amazon Simple Storage Service (Amazon S3) 存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。
10.64(e)	金融机构在提供数字服务时必须实施严格的技术安全控制措施，以确保以下几点：(e) 能够识别并恢复到事件或服务中断之前的恢复点	s3 resources-protected-by-backup-计划	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Simple Storage Service (S3) 存储桶。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
11.7	金融机构必须部署有效的工具，以支持持续、主动监控并及时检测其技术基础设施中的异常活动。监控范围必须涵盖所有关键系统，包括支持基础设施。	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。
11.7	金融机构必须部署有效的工具，以支持持续、主动监控并及时检测其技术基础设施中的异常活动。监控范围必须涵盖所有关键系统，包括支持基础设施。	securityhub-enabled	AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。AWSSecurity Hub 可以聚合、组织和优先处理来自多个 AWS 服务的安全告警或结果。其中一些服务包括 Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management (IAM) Access Analyzer、AWS Firewall Manager 和 AWS 合作伙伴解决方案。
11.8	金融机构必须确保其网络安全操作能够持续预防和检测任何可能危及其安全控制或削弱其安全态势的情况。对于大型金融机构，这必须包括每季度对支持所有关键系统的外部和内部网络组件进行漏洞评估。	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。
11.8	金融机构必须确保其网络安全操作能够持续预防和检测任何可能危及其安全控制或削弱其安全态势的情况。对于大型金融机构，这必须包括每季度对支持所有关键系统的外部和内部网络组件进行漏洞评估。	securityhub-enabled	AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。AWSSecurity Hub 可以聚合、组织和优先处理来自多个 AWS 服务的安全告警或结果。其中一些服务包括 Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management (IAM) Access Analyzer、AWS Firewall Manager 和 AWS 合作伙伴解决方案。
11.18(c)(f)	SOC 必须能够履行以下职能：(c) 漏洞管理；(f) 提供态势感知以检测对手和威胁，包括威胁情报分析和操作，以及监控入侵指标 (IOC)。这包括高级行为分析，以检测无签名和无文件的恶意软件，并识别可能构成安全威胁的异常情况，包括端点和网络层的异常情况。	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。
11.18(c)(f)	SOC 必须能够履行以下职能：(c) 漏洞管理；(f) 提供态势感知以检测对手和威胁，包括威胁情报分析和操作，以及监控入侵指标 (IOC)。这包括高级行为分析，以检测无签名和无文件的恶意软件，并识别可能构成安全威胁的异常情况，包括端点和网络层的异常情况。	guardduty-non-archived-findings	Amazon 按严重程度对调查结果进行分类：低、中、高，从而 GuardDuty 帮助您了解事件的影响。您可以使用这些分类来确定补救策略和优先级。此规则允许您根据组织政策的 daysLowSev 要求选择性地为非存档的查找结果设置 daysMediumSev （配置默认：30）、 daysHighSev （配置默认值：7）和（配置默认：1）。
11.18(c)(f)	SOC 必须能够履行以下职能：(c) 漏洞管理；(f) 提供态势感知以检测对手和威胁，包括威胁情报分析和操作，以及监控入侵指标 (IOC)。这包括高级行为分析，以检测无签名和无文件的恶意软件，并识别可能构成安全威胁的异常情况，包括端点和网络层的异常情况。	securityhub-enabled	AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。AWSSecurity Hub 可以聚合、组织和优先处理来自多个 AWS 服务的安全告警或结果。其中一些服务包括 Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management (IAM) Access Analyzer、AWS Firewall Manager 和 AWS 合作伙伴解决方案。
附录 5.1	定期审查所有安全设备的配置和规则设置。使用自动化工具来审查和监控配置和规则设置的更改。	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。
附录 5.1	定期审查所有安全设备的配置和规则设置。使用自动化工具来审查和监控配置和规则设置的更改。	securityhub-enabled	AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。AWSSecurity Hub 可以聚合、组织和优先处理来自多个 AWS 服务的安全告警或结果。其中一些服务包括 Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management (IAM) Access Analyzer、AWS Firewall Manager 和 AWS 合作伙伴解决方案。
附录 5.5(b)	确保 server-to-server 外部网络连接的安全控制措施包括以下内容：(b) 使用安全隧道，例如传输层安全 (TLS) 和虚拟专用网络 (VPN) IPsec	alb-http-to-https-重定向检查	为帮助保护传输中的数据，请确保应用负载均衡器自动将未加密的 HTTP 请求重定向到 HTTPS。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
附录 5.5(b)	确保 server-to-server 外部网络连接的安全控制措施包括以下内容：(b) 使用安全隧道，例如传输层安全 (TLS) 和虚拟专用网络 (VPN) IPsec	api-gw-ssl-enabled	确保 Amazon API Gateway REST API 阶段配置了 SSL 证书，以允许后端系统验证请求来自 API Gateway。
附录 5.5(b)	确保 server-to-server 外部网络连接的安全控制措施包括以下内容：(b) 使用安全隧道，例如传输层安全 (TLS) 和虚拟专用网络 (VPN) IPsec	opensearch-https-required	由于敏感数据可能存在，并且为了帮助保护传输中的数据，请确保为与您的 Amazon S OpenSearch ervice 域的连接启用 HTTPS。
附录 5.5(b)	确保 server-to-server 外部网络连接的安全控制措施包括以下内容：(b) 使用安全隧道，例如传输层安全 (TLS) 和虚拟专用网络 (VPN) IPsec	opensearch-node-to-node-加密检查	确保启用了 Amazon OpenSearch 服务的 node-to-node 加密。N ode-to-node 加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
附录 5.5(b)	确保 server-to-server 外部网络连接的安全控制措施包括以下内容：(b) 使用安全隧道，例如传输层安全 (TLS) 和虚拟专用网络 (VPN) IPsec	redshift-require-tls-ssl	确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
附录 5.5(b)	确保 server-to-server 外部网络连接的安全控制措施包括以下内容：(b) 使用安全隧道，例如传输层安全 (TLS) 和虚拟专用网络 (VPN) IPsec	s3-bucket-ssl-requests-only	为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶需要请求使用安全套接字层 (SSL)。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
附录 5.5(c)	确保 server-to-server 外部网络连接的安全控制措施包括以下内容：(c) 部署具有足够外围防御和保护（例如防火墙、IPS 和防病毒软件）的登台服务器。	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。
附录 5.5(c)	确保 server-to-server 外部网络连接的安全控制措施包括以下内容：(c) 部署具有足够外围防御和保护（例如防火墙、IPS 和防病毒软件）的登台服务器。	vpc-default-security-group-已关闭	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以通过对 AWS 资源的入口和出口网络流量进行有状态筛选，从而帮助管理网络访问。限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。
附录 5.5(c)	确保 server-to-server 外部网络连接的安全控制措施包括以下内容：(c) 部署具有足够外围防御和保护（例如防火墙、IPS 和防病毒软件）的登台服务器。	vpc-sg-open-only-to-authorized-ports	通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。
附录 5.6	确保对服务器的远程访问的安全控制措施包括以下内容：(a) 只允许访问经过强化和锁定的端点设备；(b) 使用安全隧道，例如 TLS 和 VPN IPsec；(c) 部署具有足够外围防御和保护（例如防火墙、IPS 和防病毒软件）的“网关”服务器；以及 (d) 在远程访问失效后立即关闭相关端口。	alb-http-to-https-重定向检查	为帮助保护传输中的数据，请确保应用负载均衡器自动将未加密的 HTTP 请求重定向到 HTTPS。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
附录 5.6	确保对服务器的远程访问的安全控制措施包括以下内容：(a) 只允许访问经过强化和锁定的端点设备；(b) 使用安全隧道，例如 TLS 和 VPN IPsec；(c) 部署具有足够外围防御和保护（例如防火墙、IPS 和防病毒软件）的“网关”服务器；以及 (d) 在远程访问失效后立即关闭相关端口。	api-gw-ssl-enabled	确保 Amazon API Gateway REST API 阶段配置了 SSL 证书，以允许后端系统验证请求来自 API Gateway。
附录 5.6	确保对服务器的远程访问的安全控制措施包括以下内容：(a) 只允许访问经过强化和锁定的端点设备；(b) 使用安全隧道，例如 TLS 和 VPN IPsec；(c) 部署具有足够外围防御和保护（例如防火墙、IPS 和防病毒软件）的“网关”服务器；以及 (d) 在远程访问失效后立即关闭相关端口。	opensearch-https-required	由于敏感数据可能存在，并且为了帮助保护传输中的数据，请确保为与您的 Amazon S OpenSearch ervice 域的连接启用 HTTPS。
附录 5.6	确保对服务器的远程访问的安全控制措施包括以下内容：(a) 只允许访问经过强化和锁定的端点设备；(b) 使用安全隧道，例如 TLS 和 VPN IPsec；(c) 部署具有足够外围防御和保护（例如防火墙、IPS 和防病毒软件）的“网关”服务器；以及 (d) 在远程访问失效后立即关闭相关端口。	redshift-require-tls-ssl	确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
附录 5.6	确保对服务器的远程访问的安全控制措施包括以下内容：(a) 只允许访问经过强化和锁定的端点设备；(b) 使用安全隧道，例如 TLS 和 VPN IPsec；(c) 部署具有足够外围防御和保护（例如防火墙、IPS 和防病毒软件）的“网关”服务器；以及 (d) 在远程访问失效后立即关闭相关端口。	vpc-default-security-group-已关闭	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以通过对 AWS 资源的入口和出口网络流量进行有状态筛选，从而帮助管理网络访问。限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。
附录 5.6	确保对服务器的远程访问的安全控制措施包括以下内容：(a) 只允许访问经过强化和锁定的端点设备；(b) 使用安全隧道，例如 TLS 和 VPN IPsec；(c) 部署具有足够外围防御和保护（例如防火墙、IPS 和防病毒软件）的“网关”服务器；以及 (d) 在远程访问失效后立即关闭相关端口。	vpc-sg-open-only-to-authorized-ports	通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。
附录 10 B 部分 - 1 (a)	金融机构应设计强大的云架构，并确保此类设计符合预期应用程序的相关国际标准。	account-part-of-organizations	在 AWS Organizations 中集中管理 AWS 账户有助于确保账户合规。缺乏集中式账户管理可能会导致账户配置不一致，从而可能泄露资源和敏感数据。
附录 10 B 部分 - 1 (b)	鼓励金融机构采用零信任原则，通过采取 “假设漏洞” 的思维方式， defense-in-depth 通过微分段、“”、“最低权限” 访问权限进行分层，并在适用的情况下进行深入检查和持续验证，从而提供网络弹性架构。deny-by-default	alb-waf-enabled	确保在 Elastic Load Balancers (ELB) 上启用 AWS WAF，以帮助保护 Web 应用程序。WAF 有助于保护您的 Web 应用程序或 API 免遭常见 Web 漏洞的侵害。这些 Web 漏洞可能会影响可用性、损害安全性或消耗环境中过多的资源。
附录 10 B 部分 - 1 (b)	鼓励金融机构采用零信任原则，通过采取 “假设漏洞” 的思维方式， defense-in-depth 通过微分段、“”、“最低权限” 访问权限进行分层，并在适用的情况下进行深入检查和持续验证，从而提供网络弹性架构。deny-by-default	subnet-auto-assign-public-ip 已禁用	通过确保 Amazon Virtual Private Cloud (VPC) 子网不会自动分配公有 IP 地址，来管理对 AWS 云的访问。Amazon Elastic Compute Cloud (EC2) 实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。
附录 10 B 部分 - 1 (b)	鼓励金融机构采用零信任原则，通过采取 “假设漏洞” 的思维方式， defense-in-depth 通过微分段、“”、“最低权限” 访问权限进行分层，并在适用的情况下进行深入检查和持续验证，从而提供网络弹性架构。deny-by-default	vpc-default-security-group-已关闭	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以通过对 AWS 资源的入口和出口网络流量进行有状态筛选，从而帮助管理网络访问。限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。
附录 10 B 部分 - 1 (b)	鼓励金融机构采用零信任原则，通过采取 “假设漏洞” 的思维方式， defense-in-depth 通过微分段、“”、“最低权限” 访问权限进行分层，并在适用的情况下进行深入检查和持续验证，从而提供网络弹性架构。deny-by-default	vpc-sg-open-only-to-authorized-ports	通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。
附录 10 B 部分 - 1 (c)	金融机构应使用最新的网络架构方法和适当的网络设计概念和解决方案，来管理和监控精细的网络安全和集中式网络配置，以管理复杂的云网络环境。	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。
附录 10 B 部分 - 1 (c)	金融机构应使用最新的网络架构方法和适当的网络设计概念和解决方案，来管理和监控精细的网络安全和集中式网络配置，以管理复杂的云网络环境。	vpc-flow-logs-enabled	VPC 流日志详细记录进出 Amazon Virtual Private Cloud (Amazon VPC) 网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。
附录 10 B 部分 - 1 (d)	金融机构应建立并利用安全和加密的通信渠道，将物理服务器、应用程序或数据迁移到云平台。	dms-replication-not-public	通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。
附录 10 B 部分 - 1 (d)	金融机构应建立并利用安全和加密的通信渠道，将物理服务器、应用程序或数据迁移到云平台。	s3-bucket-ssl-requests-only	为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶需要请求使用安全套接字层 (SSL)。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
附录 10 B 部分 - 1 (f) i)	金融机构越来越多地使应用程序编程接口 (API) 与外部应用程序服务提供商互联，这可以提高新服务的交付效率。但这也可能会增加网络攻击面，并且任何管理失误都可能会放大信息安全事件的影响。金融机构应确保其 API 受到严格的管理和控制机制的约束，其中包括以下各项：i) API 的设计应具有服务弹性，以避免单点故障的风险，并通过适当的访问控制进行安全配置；	api-gwv2-authorization-type-configured	确保您的 Amazon API Gateway v2 API 路由设置了授权类型，以防止未经授权访问底层后端资源。
附录 10 B 部分 - 1 (f) ii)	金融机构越来越多地使应用程序编程接口 (API) 与外部应用程序服务提供商互联，这可以提高新服务的交付效率。但这也可能会增加网络攻击面，并且任何管理失误都可能会放大信息安全事件的影响。金融机构应确保对其 API 实施严格的管理和控制机制，其中包括：ii) 应对 API 进行跟踪和监控以防范网络攻击，并采取适当的事件响应措施，在 API 不再使用时及时将其停用。	api-gw-associated-with-waf	通过 AWS WAF，您可以配置一组规则（称为 Web 访问控制列表，即 Web ACL），基于可自定义的 Web 安全规则以及您定义的条件，允许、阻止 Web 请求或统计 Web 请求数量。确保您的 Amazon API Gateway 阶段与某个 WAF Web ACL 关联，以保护其免受恶意攻击
附录 10 B 部分 - 1 (f) ii)	金融机构越来越多地使应用程序编程接口 (API) 与外部应用程序服务提供商互联，这可以提高新服务的交付效率。但这也可能会增加网络攻击面，并且任何管理失误都可能会放大信息安全事件的影响。金融机构应确保对其 API 实施严格的管理和控制机制，其中包括：ii) 应对 API 进行跟踪和监控以防范网络攻击，并采取适当的事件响应措施，在 API 不再使用时及时将其停用。	api-gw-execution-logging-已启用	API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。
附录 10 B 部分 - 2 (b) ii)	金融机构应持续利用增强的云功能来提高云服务的安全性，并鼓励金融机构：ii) 使用不可变的基础设施实践来部署服务，通过使用最新的稳定版本软件创建新环境来降低故障风险。对云环境的持续监控应包括自动检测不可变基础设施的变化，以改善合规性审查并应对不断变化的网络攻击	cloudformation-stack-notification-check	要检测底层AWS资源的意外更改，请确保您的 CloudFormation 堆栈已配置为向 Amazon SNS 主题发送事件通知。
附录 10 B 部分 - 3 (b) vi)	金融机构应确保对虚拟机和容器映像进行适当的配置、强化和监控。这包括以下各项：vi) 存储的映像受到安全监控，防止未经授权的访问和更改。	cloudtrail-security-trail-enabled	此规则通过检查多项设置的启用情况，来确保使用 AWS 推荐的 AWS CloudTrail 安全最佳实践。其中包括使用日志加密、日志验证以及在多个区域启用 AWS CloudTrail 。
附录 10 B 部分 - 5 (a) i)	作为有效恢复能力的一部分，金融机构应确保将现有的备份和恢复程序扩展至云服务，其中包括： i) 在云采用的规划阶段，确定并正式制定备份和恢复策略；	aurora-resources-protected-by-备份计划	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Aurora 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
附录 10 B 部分 - 5 (a) i)	作为有效恢复能力的一部分，金融机构应确保将现有的备份和恢复程序扩展至云服务，其中包括： i) 在云采用的规划阶段，确定并正式制定备份和恢复策略；	dynamodb-resources-protected-by-备份计划	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon DynamoDB 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
附录 10 B 部分 - 5 (a) i)	作为有效恢复能力的一部分，金融机构应确保将现有的备份和恢复程序扩展至云服务，其中包括： i) 在云采用的规划阶段，确定并正式制定备份和恢复策略；	ebs-resources-protected-by-备份计划	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Elastic Block Store (Amazon EBS) 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
附录 10 B 部分 - 5 (a) i)	作为有效恢复能力的一部分，金融机构应确保将现有的备份和恢复程序扩展至云服务，其中包括： i) 在云采用的规划阶段，确定并正式制定备份和恢复策略；	efs-resources-protected-by-备份计划	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Elastic File System (Amazon EFS) 文件系统。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
附录 10 B 部分 - 5 (a) i)	作为有效恢复能力的一部分，金融机构应确保将现有的备份和恢复程序扩展至云服务，其中包括： i) 在云采用的规划阶段，确定并正式制定备份和恢复策略；	rds-resources-protected-by-备份计划	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Relational Database Service (Amazon RDS) 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
附录 10 B 部分 - 5 (a) i)	作为有效恢复能力的一部分，金融机构应确保将现有的备份和恢复程序扩展至云服务，其中包括： i) 在云采用的规划阶段，确定并正式制定备份和恢复策略；	s3 resources-protected-by-backup-计划	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Simple Storage Service (S3) 存储桶。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
附录 10 B 部分 - 5 (b)	金融机构应确保定期测试备份和恢复程序，以验证恢复能力。备份程序的频率应与系统的重要性和系统的恢复点目标 (RPO) 相称。如果备份失败，金融机构应立即采取补救措施。	backup-plan-min-frequency-and-min-retention-check	为了帮助完成数据备份流程，请确保为 AWS Backup 计划设置最低频率和保留期。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredFrequencyValue （配置默认：1）、 requiredRetentionDays （配置默认值：35）和 requiredFrequencyUnit （配置默认值：天）参数。实际值应反映贵组织的需求。
附录 10 B 部分 - 5 (c) i)	金融机构应确保对虚拟机和容器进行足够的备份和恢复，包括备份配置设置（适用于 IaaS 和 PaaS，如果相关），其中包括以下内容：i) 确保能够 point-in-time 按照业务恢复目标恢复虚拟机和容器；	backup-plan-min-frequency-and-min-retention-check	为了帮助完成数据备份流程，请确保为 AWS Backup 计划设置最低频率和保留期。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredFrequencyValue （配置默认：1）、 requiredRetentionDays （配置默认值：35）和 requiredFrequencyUnit （配置默认值：天）参数。实际值应反映贵组织的需求。
附录 10 B 部分 - 5 (d) i)	金融机构应评估云服务的弹性要求，并确定与系统重要性相称的适当措施，以确保极端不利情况下的服务可用性。金融机构应考虑采取基于风险的方法，并逐步采用适当的缓解控制措施，以确保服务可用性并降低集中风险。可行的选择包括：i) 利用云服务的高可用性和冗余功能，确保生产数据中心在不同的可用区拥有冗余容量；	autoscaling-multiple-az	为确保高可用性，请确保将自动扩缩组配置为跨多个可用区。
附录 10 B 部分 - 5 (d) i)	金融机构应评估云服务的弹性要求，并确定与系统重要性相称的适当措施，以确保极端不利情况下的服务可用性。金融机构应考虑采取基于风险的方法，并逐步采用适当的缓解控制措施，以确保服务可用性并降低集中风险。可行的选择包括：i) 利用云服务的高可用性和冗余功能，确保生产数据中心在不同的可用区拥有冗余容量；	elbv2-multiple-az	弹性负载均衡 (ELB) 在一个可用区中的多个目标（如 EC2 实例、容器和 IP 地址）之间自动分配传入的流量。为保障高可用性，请确保您的 ELB 已注册来自多个可用区的实例。
附录 10 B 部分 - 5 (d) i)	金融机构应评估云服务的弹性要求，并确定与系统重要性相称的适当措施，以确保极端不利情况下的服务可用性。金融机构应考虑采取基于风险的方法，并逐步采用适当的缓解控制措施，以确保服务可用性并降低集中风险。可行的选择包括：i) 利用云服务的高可用性和冗余功能，确保生产数据中心在不同的可用区拥有冗余容量；	lambda-vpc-multi-az-检查	如果您的 AWS Lambda 函数配置为连接到您账户中的虚拟私有云 (VPC)，请将 AWS Lambda 函数部署到至少两个不同的可用区中，确保当一个区域中的服务中断时，您的函数仍然能够处理事件。
附录 10 B 部分 - 5 (d) i)	金融机构应评估云服务的弹性要求，并确定与系统重要性相称的适当措施，以确保极端不利情况下的服务可用性。金融机构应考虑采取基于风险的方法，并逐步采用适当的缓解控制措施，以确保服务可用性并降低集中风险。可行的选择包括：i) 利用云服务的高可用性和冗余功能，确保生产数据中心在不同的可用区拥有冗余容量；	nlb-cross-zone-load-启用平衡	为平衡 NetworkLoad 器 (NLB) 启用跨区域负载平衡，以帮助保持足够的容量和可用性。跨区域负载均衡可降低在每个启用的可用区维持相同数量实例的需求。它还将提高应用程序处理一个或多个实例丢失情况的能力。
附录 10 B 部分 - 5 (d) i)	金融机构应评估云服务的弹性要求，并确定与系统重要性相称的适当措施，以确保极端不利情况下的服务可用性。金融机构应考虑采取基于风险的方法，并逐步采用适当的缓解控制措施，以确保服务可用性并降低集中风险。可行的选择包括：i) 利用云服务的高可用性和冗余功能，确保生产数据中心在不同的可用区拥有冗余容量；	rds-cluster-multi-az-已启用	Amazon Relational Database Service (Amazon RDS) 集群应启用多可用区复制，以帮助确保所存储数据的可用性。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。
附录 10 B 部分 - 5 (d) i)	金融机构应评估云服务的弹性要求，并确定与系统重要性相称的适当措施，以确保极端不利情况下的服务可用性。金融机构应考虑采取基于风险的方法，并逐步采用适当的缓解控制措施，以确保服务可用性并降低集中风险。可行的选择包括：i) 利用云服务的高可用性和冗余功能，确保生产数据中心在不同的可用区拥有冗余容量；	rds-multi-az-support	Amazon Relational Database Service (Amazon RDS) 中的多可用区支持为数据库实例提供了增强的可用性和耐久性。当您预置多可用区数据库实例时，Amazon RDS 会自动创建一个主数据库实例，并将数据同步复制到不同可用区中的备用实例。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。
附录 10 B 部分 - 8 (a)	金融机构应采用适当且相关的加密技术，以保护存储在云端的敏感数据的机密性和完整性。	api-gw-cache-enabled并加密	为了帮助保护静态数据，请确保为 API Gateway 阶段的缓存启用加密。由于可能会为 API 方法捕获敏感数据，因此应启用静态加密以帮助保护这些数据。
附录 10 B 部分 - 8 (a)	金融机构应采用适当且相关的加密技术，以保护存储在云端的敏感数据的机密性和完整性。	backup-recovery-point-encrypted	确保您的 AWS Backup 恢复点已启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
附录 10 B 部分 - 8 (a)	金融机构应采用适当且相关的加密技术，以保护存储在云端的敏感数据的机密性和完整性。	cloudtrail-security-trail-enabled	此规则通过检查多项设置的启用情况，来确保使用 AWS 推荐的 AWS CloudTrail 安全最佳实践。其中包括使用日志加密、日志验证以及在多个区域启用 AWS CloudTrail 。
附录 10 B 部分 - 8 (a)	金融机构应采用适当且相关的加密技术，以保护存储在云端的敏感数据的机密性和完整性。	cloudwatch-log-group-encrypted	为帮助保护静态敏感数据，请确保您的 Amazon CloudWatch 日志组启用了加密。
附录 10 B 部分 - 8 (a)	金融机构应采用适当且相关的加密技术，以保护存储在云端的敏感数据的机密性和完整性。	dynamodb-table-encrypted-kms	确保为 Amazon DynamoDB 表启用加密。由于这些表中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。默认情况下，DynamoDB 表使用 AWS 拥有的客户主密钥 (CMK) 进行加密。
附录 10 B 部分 - 8 (a)	金融机构应采用适当且相关的加密技术，以保护存储在云端的敏感数据的机密性和完整性。	ec2-ebs-encryption-by-default	为了帮助保护静态数据，请确保为您的 Amazon Elastic Block Store (Amazon EBS) 卷启用加密。由于这些卷中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
附录 10 B 部分 - 8 (a)	金融机构应采用适当且相关的加密技术，以保护存储在云端的敏感数据的机密性和完整性。	efs-encrypted-check	由于可能存在敏感数据，并且为了帮助保护静态数据，请确保为您的 Amazon Elastic File System (EFS) 启用加密。
附录 10 B 部分 - 8 (a)	金融机构应采用适当且相关的加密技术，以保护存储在云端的敏感数据的机密性和完整性。	eks-secrets-encrypted	为了帮助保护静态数据，请确保您的 Amazon Elastic Kubernetes Service (EKS) 集群配置为加密 Kubernetes 机密。由于这些卷中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
附录 10 B 部分 - 8 (a)	金融机构应采用适当且相关的加密技术，以保护存储在云端的敏感数据的机密性和完整性。	encrypted-volumes	由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon Elastic Block Store (Amazon EBS) 卷启用了加密。
附录 10 B 部分 - 8 (a)	金融机构应采用适当且相关的加密技术，以保护存储在云端的敏感数据的机密性和完整性。	opensearch-encrypted-at-rest	由于敏感数据可能存在，并且为了帮助保护静态数据，请确保对您的 Amazon S OpenSearch ervice 域启用加密。
附录 10 B 部分 - 8 (a)	金融机构应采用适当且相关的加密技术，以保护存储在云端的敏感数据的机密性和完整性。	rds-snapshot-encrypted	确保为 Amazon Relational Database Service (Amazon RDS) 快照启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
附录 10 B 部分 - 8 (a)	金融机构应采用适当且相关的加密技术，以保护存储在云端的敏感数据的机密性和完整性。	redshift-cluster-kms-enabled	为了帮助保护静态数据，请确保您的 Amazon Redshift 集群启用了使用 AWS Key Management Service (AWS KMS) 的加密。由于 Redshift 集群中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
附录 10 B 部分 - 8 (a)	金融机构应采用适当且相关的加密技术，以保护存储在云端的敏感数据的机密性和完整性。	s3-default-encryption-kms	确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
附录 10 B 部分 - 8 (a)	金融机构应采用适当且相关的加密技术，以保护存储在云端的敏感数据的机密性和完整性。	secretsmanager-using-cmk	为了帮助保护静态数据，请确保为 AWS Secrets Manager 机密启用 AWS Key Management Service (AWS KMS)。由于 Secrets Manager 机密中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
附录 10 B 部分 - 8 (a)	金融机构应采用适当且相关的加密技术，以保护存储在云端的敏感数据的机密性和完整性。	sns-encrypted-kms	为了帮助保护静态数据，请确保您的 Amazon Simple Notification Service (Amazon SNS) 主题需要使用 AWS Key Management Service (AWS KMS) 进行加密。由于已发布的消息中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
附录 10 B 部分 - 8 (d)	随着云采用率的提高，管理众多用于保护数据的加密密钥变得越来越复杂，并可能给金融机构带来新的挑战。金融机构应采用全面而集中的方法来管理密钥，包括使用集中式密钥管理系统，该系统能够以安全和可扩展的方式处理密钥的生成、存储和分发。	cmk-backing-key-rotation-已启用	启用密钥轮换，以确保密钥在加密周期结束后立即进行轮换。
附录 10 B 部分 - 8 (d)	随着云采用率的提高，管理众多用于保护数据的加密密钥变得越来越复杂，并可能给金融机构带来新的挑战。金融机构应采用全面而集中的方法来管理密钥，包括使用集中式密钥管理系统，该系统能够以安全和可扩展的方式处理密钥的生成、存储和分发。	kms-cmk-not-scheduled-用于删除	为了帮助保护静态数据，请确保没有在 AWS Key Management Service (AWS KMS) 中计划删除必要的客户主密钥 (CMK)。由于有时需要删除密钥，因此此规则可以帮助检查所有计划删除的密钥，以防密钥被无意中安排删除。
附录 10 B 部分 - 9 (a) ii)	管理平面是传统基础设施和默认支持远程访问的云计算之间的关键安全差异。该接入层很容易受到网络攻击，从而损害整个云部署的完整性。有鉴于此，金融机构应确保在访问管理平面时使用严格的控制措施，其中可能包括以下各项：ii) 实施“最低权限”和强多重身份验证 (MFA)，例如强密码、软令牌、特权访问管理工具和制定者-检查者 (maker-checker) 功能；	iam-password-policy	身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过 NIST SP 800-63 和针对密码强度的 AWS 基础安全最佳实践标准规定的要求。此规则允许您选择设置 RequireUppercaseCharacters （AWS基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS基础安全最佳实践值：true）、 RequireSymbols （AWS基础安全最佳实践值：true）、 RequireNumbers （AWS基础安全最佳实践值：true）、 MinimumPasswordLength （AWS基础安全最佳实践值：14）、 PasswordReusePrevention （AWS基础安全最佳实践值：24）和 MaxPasswordAge （AWS基础安全最佳实践值：90）IAM 密码政策。实际值应反映贵组织的策略。
附录 10 B 部分 - 9 (a) ii)	管理平面是传统基础设施和默认支持远程访问的云计算之间的关键安全差异。该接入层很容易受到网络攻击，从而损害整个云部署的完整性。有鉴于此，金融机构应确保在访问管理平面时使用严格的控制措施，其中可能包括以下各项：ii) 实施“最低权限”和强多重身份验证 (MFA)，例如强密码、软令牌、特权访问管理工具和制定者-检查者 (maker-checker) 功能；	iam-user-mfa-enabled	启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有 IAM 用户启用多重身份验证 (MFA)。MFA 在用户名和密码之上增加了一层额外的防护。要求 IAM 用户进行多重身份验证，从而减少账户被盗事件。
附录 10 B 部分 - 9 (a) ii)	管理平面是传统基础设施和默认支持远程访问的云计算之间的关键安全差异。该接入层很容易受到网络攻击，从而损害整个云部署的完整性。有鉴于此，金融机构应确保在访问管理平面时使用严格的控制措施，其中可能包括以下各项：ii) 实施“最低权限”和强多重身份验证 (MFA)，例如强密码、软令牌、特权访问管理工具和制定者-检查者 (maker-checker) 功能；	root-account-hardware-mfa-已启用	通过确保为根用户启用硬件 MFA，来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少 AWS 账户被盗的事件。
附录 10 B 部分 - 9 (a) ii)	管理平面是传统基础设施和默认支持远程访问的云计算之间的关键安全差异。该接入层很容易受到网络攻击，从而损害整个云部署的完整性。有鉴于此，金融机构应确保在访问管理平面时使用严格的控制措施，其中可能包括以下各项：ii) 实施“最低权限”和强多重身份验证 (MFA)，例如强密码、软令牌、特权访问管理工具和制定者-检查者 (maker-checker) 功能；	root-account-mfa-enabled	通过确保为根用户启用 MFA，来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少 AWS 账户被盗的事件。
附录 10 B 部分 - 9 (a) iii)	管理平面是传统基础设施和默认支持远程访问的云计算之间的关键安全差异。该接入层很容易受到网络攻击，从而损害整个云部署的完整性。有鉴于此，金融机构应确保在访问管理平面时使用严格的控制措施，其中可能包括以下各项：iii) 对特权用户进行精细的权利分配；	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 "Effect": "Allow" with "Action": "*" over "Resource": "*"。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
附录 10 B 部分 - 9 (a) iii)	管理平面是传统基础设施和默认支持远程访问的云计算之间的关键安全差异。该接入层很容易受到网络攻击，从而损害整个云部署的完整性。有鉴于此，金融机构应确保在访问管理平面时使用严格的控制措施，其中可能包括以下各项：iii) 对特权用户进行精细的权利分配；	iam-user-no-policies-检查	此规则可确保仅将 AWS Identity and Access Management (IAM) 策略附加到组或角色，以控制对系统和资产的访问。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。
附录 10 B 部分 - 9 (a) iv)	管理平面是传统基础设施和默认支持远程访问的云计算之间的关键安全差异。该接入层很容易受到网络攻击，从而损害整个云部署的完整性。有鉴于此，金融机构应确保在进入管理平面时使用严格的控制措施，其中可能包括以下各项：iv) 持续监控特权用户执行的活动；	cloudtrail-security-trail-enabled	此规则通过检查多项设置的启用情况，来确保使用 AWS 推荐的 AWS CloudTrail 安全最佳实践。其中包括使用日志加密、日志验证以及在多个区域启用 AWS CloudTrail 。
附录 10 B 部分 - 9 (a) iv)	管理平面是传统基础设施和默认支持远程访问的云计算之间的关键安全差异。该接入层很容易受到网络攻击，从而损害整个云部署的完整性。有鉴于此，金融机构应确保在进入管理平面时使用严格的控制措施，其中可能包括以下各项：iv) 持续监控特权用户执行的活动；	cloud-trail-cloud-watch-启用日志	使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含AWS CloudTrail 数据可提供您AWS账户中 API 调用活动的详细信息。
附录 10 B 部分 - 12 (a)	金融机构应按照本政策文件的“数据丢失防护”部分（第 11.14 至 11.16 段）的要求，保护托管在云服务中的数据，包括如果金融机构允许其员工使用自己的设备访问敏感数据，则应扩大端点覆盖范围。	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。
附录 10 B 部分 - 12 (a)	金融机构应按照本政策文件的“数据丢失防护”部分（第 11.14 至 11.16 段）的要求，保护托管在云服务中的数据，包括如果金融机构允许其员工使用自己的设备访问敏感数据，则应扩大端点覆盖范围。	macie-status-check	Amazon Macie 是一项数据安全服务，它使用机器学习 (ML) 和模式匹配来发现并帮助您保护 Amazon Simple Storage Service (S3) 存储桶中存储的敏感数据。
附录 10 B 部分 - 14 (c) i)	金融机构在制定其 CIRP 时应考虑以下额外措施：i) 增强其检测安全违例事件的能力，以实现有效的事件管理，包括检测暗网上的数据泄露的能力；	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。
附录 10 B 部分 - 14 (c) i)	金融机构在制定其 CIRP 时应考虑以下额外措施：i) 增强其检测安全违例事件的能力，以实现有效的事件管理，包括检测暗网上的数据泄露的能力；	guardduty-non-archived-findings	Amazon 按严重程度对调查结果进行分类：低、中、高，从而 GuardDuty 帮助您了解事件的影响。您可以使用这些分类来确定补救策略和优先级。此规则允许您根据组织政策的 daysLowSev 要求选择性地为非存档的查找结果设置 daysMediumSev （配置默认：30）、 daysHighSev （配置默认值：7）和（配置默认：1）。

模板

该模板可在以下网址获得 GitHub：BNM RMiT 运营最佳实践。