本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
CMMC 2.0 第 1 级操作最佳实践
Conformance packs提供了通用的合规性框架，旨在使您能够使用托管或自定义AWS Config规则和AWS Config补救措施来创建安全、运营或成本优化治理检查。作为示例模板的Conformance Packs并不是为了完全确保符合特定的治理或合规性标准而设计的。您有责任自行评估您对服务的使用是否符合适用的法律和监管要求。
以下提供了网络安全成熟度模型认证 (CMMC) 2.0 第 1 级和AWS托管Config 规则之间的示例映射。每条Config 规则都适用于特定AWS资源，并与一个或多个 CMMC 2.0 1 级控件相关。CMMC 2.0 第 1 级控件可以与多个Config 规则相关联。有关这些映射的更多详细信息和指导，请参阅下表。
AWS 区域: 除了（美国东部）、AWS GovCloud （美国西部）和中东AWS GovCloud （巴林）之外的所有支持一致性包AWS 区域的地方（区域支持）
| 控制 ID | 控件描述 | AWSConfig 规则 | 指导 |
|---|---|---|---|
| AC.L1 | 限制授权用户、代表授权用户操作的进程或设备（包括其他信息系统）访问信息系统。 | 通过确保 IAM 访问密钥按照组织政策轮换，对授权设备、用户和流程的证书进行审计。定期更改访问密钥是一种最佳安全实践。它缩短了访问密钥的有效时间，并减少了密钥泄露时对业务的影响。此规则需要访问密钥轮换值（Config 默认值：90）。实际价值应反映贵组织的政策。 | |
| AC.L1 | 限制授权用户、代表授权用户操作的进程或设备（包括其他信息系统）访问信息系统。 | 通过确保无法公开访问 DMS 复制实例来管理对AWS云的访问权限。DMS 复制实例可能包含敏感信息，此类账户需要访问控制。 | |
| AC.L1 | 限制授权用户、代表授权用户操作的进程或设备（包括其他信息系统）访问信息系统。 | 通过确保 EBS 快照不可公开恢复，管理对AWS云的访问权限。EBS 卷快照可能包含敏感信息，此类账户需要访问控制。 | |
| AC.L1 | 限制授权用户、代表授权用户操作的进程或设备（包括其他信息系统）访问信息系统。 | 确保启用实例元数据服务版本 2 (imdSv2) 方法，以帮助保护对亚马逊的访问和控制 Amazon Elastic Compute Cloud (Amazon EC2) 实例元数据。imdsv2 方法使用基于会话的控件。使用 IMDSv2，可以实施控制来限制对实例元数据的更改。 | |
| AC.L1 | 限制授权用户、代表授权用户操作的进程或设备（包括其他信息系统）访问信息系统。 | 通过确保无法公开访问 Amazon Elastic Compute Cloud (Amazon EC2) 实例来管理对云的访问。AWSAmazon EC2 实例可能包含敏感信息，此类账户需要访问控制。 | |
| AC.L1 | 限制授权用户、代表授权用户操作的进程或设备（包括其他信息系统）访问信息系统。 | EC2 实例配置文件会将 IAM 角色传递给 EC2 实例。将实例配置文件附加到您的实例可以帮助进行最低权限和权限管理。 | |
| AC.L1 | 限制授权用户、代表授权用户操作的进程或设备（包括其他信息系统）访问信息系统。 | 通过确保亚马逊在 Amazon Virtual Pri OpenSearch vOpenSearch ateAWS Cloud (Amazon VPC) 中来管理对云的访问。Amazon VPC 中的 OpenSearch 服务域，您可以在 Amazon VPC 中的 OpenSearch 服务和 Amazon VPC 中的其他服务之间进行安全通信，而无需互联网网关、NAT 设备或 VPN 连接。 | |
| AC.L1 | 限制授权用户、代表授权用户操作的进程或设备（包括其他信息系统）访问信息系统。 | 通过为 Amazon EMR 集群启用 Kerberos，可以按照最小权限和职责分离的原则管理和整合访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户被称为委托人。校长存在于 Kerberos 领域内。在该领域内的 Kerberos 服务器被称为密钥分配中心 (KDC)。它为校长提供了一种进行身份验证的手段。KDC 通过签发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。 | |
| AC.L1 | 限制授权用户、代表授权用户操作的进程或设备（包括其他信息系统）访问信息系统。 | 通过确保无法公开访问 Amazon EMR 集群主节点来管理对AWS云的访问权限。Amazon EMR 集群主节点可能包含敏感信息，此类账户需要访问控制。 | |
| AC.L1 | 限制授权用户、代表授权用户操作的进程或设备（包括其他信息系统）访问信息系统。 | AWSIdentity and Access Management (IAM) 可以帮助您将最低权限和职责分离的原则与访问权限和授权相结合，限制策略包含对所有AWS密钥管理服务密钥的封锁操作。拥有超过完成任务所需的权限可能违反最小权限和职责分离的原则。此规则允许您设置 blockedActionsPatterns 参数。（AWS基础安全最佳实践值：kms: Decrypt，kms:ReEncryptFrom）。实际值应反映贵组织的政策 | |
| AC.L1 | 限制授权用户、代表授权用户操作的进程或设备（包括其他信息系统）访问信息系统。 | AWSIdentity and Access Management (IAM) 可以确保 IAM 群组至少有一个用户，从而帮助您将最低权限和职责分离的原则与访问权限和授权相结合。根据用户的关联权限或工作职能将用户分组是纳入最低权限的一种方法。 | |
| AC.L1 | 限制授权用户、代表授权用户操作的进程或设备（包括其他信息系统）访问信息系统。 | 确保IdAWS entity and Access Management (IAM) 用户、IAM 角色或 IAM 群组没有允许对所有AWS密钥管理服务密钥执行封锁操作的内联策略。 AWS建议使用托管型策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委派权限管理。此规则允许您设置 blockedActionsPatterns 参数。（AWS基础安全最佳实践值：kms: Decrypt，kms:ReEncryptFrom）。实际值应反映贵组织的政策。 | |
| AC.L1 | 限制授权用户、代表授权用户操作的进程或设备（包括其他信息系统）访问信息系统。 | 确保IdAWS entity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有内联策略来控制对系统和资产的访问权限。 AWS建议使用托管型策略而不是内联策略。托管策略允许可重用性、版本控制和回滚以及委托权限管理。 | |
| AC.L1 | 限制授权用户、代表授权用户操作的进程或设备（包括其他信息系统）访问信息系统。 | AWSIdentity and Access Management (IAM) 可以帮助您将最低权限和职责分离的原则与访问权限和授权相结合，限制策略中包含 “效果”：“允许” 和 “操作”：“*” 而不是 “资源”：“*”。允许用户拥有超过完成任务所需的权限可能违反最小权限和职责分离原则。 | |
| AC.L1 | 限制授权用户、代表授权用户操作的进程或设备（包括其他信息系统）访问信息系统。 | 确保 IAM 操作仅限于所需的操作。允许用户拥有超过完成任务所需的权限可能违反最小权限和职责分离原则。 | |
| AC.L1 | 限制授权用户、代表授权用户操作的进程或设备（包括其他信息系统）访问信息系统。 | 通过检查根用户的Identity and Access ManagemAWS ent (IAM) 角色是否附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的AWS帐户来帮助纳入功能最少的原则。 | |
| AC.L1 | 限制授权用户、代表授权用户操作的进程或设备（包括其他信息系统）访问信息系统。 | AWSIdentity and Access Management (IAM) 可以确保用户是至少一个群组的成员，从而帮助您限制访问权限和授权。允许用户超过完成任务所需的权限可能违反最小权限和职责分离原则。 | |
| AC.L1 | 限制授权用户、代表授权用户操作的进程或设备（包括其他信息系统）访问信息系统。 | 启用此规则以限制对AWS云中资源的访问。此规则确保对所有用户启用多重身份验证 (MFA)。MFA 在登录凭证之上增加了一层额外的保护。通过要求用户使用 MFA 来减少账户被盗事件。 | |
| AC.L1 | 限制授权用户、代表授权用户操作的进程或设备（包括其他信息系统）访问信息系统。 | 此规则确保IdAWS entity and Access Management (IAM) 策略仅附加到组或角色以控制对系统和资产的访问。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。 | |
| AC.L1 | 限制授权用户、代表授权用户操作的进程或设备（包括其他信息系统）访问信息系统。 | AWSIdentity and Access Management (IAM) 可以通过检查在指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果识别出这些未使用的证书，则应禁用和/或删除这些证书，因为这可能违反最小权限原则。此规则要求您为 maxCredentialUsage年龄设置一个值（Config 默认值：90）。实际价值应反映贵组织的政策。 | |
| AC.L1 | 限制授权用户、代表授权用户操作的进程或设备（包括其他信息系统）访问信息系统。 | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以通过对AWS资源的入口和出口网络流量进行状态筛选，帮助管理网络访问。不允许从 0.0.0.0.0/0 到您的资源上的端口 22 的入口（或远程）流量有助于限制远程访问。 | |
| AC.L1 | 限制授权用户、代表授权用户操作的进程或设备（包括其他信息系统）访问信息系统。 | 通过在 Amazon VPC 中部署 Amazon EC2）实例进行安全通信，而无需互联网网关、NAmazon EC2 设备或 Amazon Virtual Private Cloud 连接，您可以在 Amazon VPC 中的实例和 Amazon VPC 中的其他服务之间进行安全通信，而无需互联网网关、NAmazon EC2 设备或 VPN 连接。AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共端点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全性。将 Amazon EC2 实例分配给亚马逊 VPC 以正确管理访问权限。 | |
| AC.L1 | 限制授权用户、代表授权用户操作的进程或设备（包括其他信息系统）访问信息系统。 | 通过确保互联网网关仅连接到授权的 Amazon Virtual Private Cloud (Amazon VPC)，管理对云中资源的访问。AWS互联网网关允许双向互联网访问 Amazon VPC 和从 Amazon VPC 进行双向互联网访问，这可能会导致对亚马逊 VPC 资源的未经授权的访问。 | |
| AC.L1 | 限制授权用户、代表授权用户操作的进程或设备（包括其他信息系统）访问信息系统。 | 通过确保AWS Lambda 函数无法公开访问，管理对AWS云中资源的访问权限。公共访问可能导致资源可用性下降。 | |
| AC.L1 | 限制授权用户、代表授权用户操作的进程或设备（包括其他信息系统）访问信息系统。 | 通过在 Amazon VPC 中部署 AAmazon Virtual Private Cloud PC 中的AWS Lambda 和 Amazon VPC 中的其他服务之间进行安全通信，您可以在 Amazon VPC 中的其他服务之间进行安全通信。使用此配置，无需互联网网关、NAT 设备或 VPN 连接。AWS云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共端点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全性。为了正确管理访问权限，应AWS将 Lambda 函数分配给 VPC。 | |
| AC.L1 | 限制授权用户、代表授权用户操作的进程或设备（包括其他信息系统）访问信息系统。 | 通过确保所有拥有控制台密码的Identity and Access ManagemAWS ent (IAM) 用户启用 MFA 来管理对AWS云中资源的访问权限。MFA 在登录凭证之上增加了一层额外的保护。通过要求用户使用 MFA，您可以减少账户被盗事件，并防止未经授权的用户访问敏感数据。 | |
| AC.L1 | 限制授权用户、代表授权用户操作的进程或设备（包括其他信息系统）访问信息系统。 | 通过确保 Amazon Relational Database Service (Amazon RDS) 实例不公开，管理对AWS云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，此类账户需要原则和访问控制。 | |
| AC.L1 | 限制授权用户、代表授权用户操作的进程或设备（包括其他信息系统）访问信息系统。 | 通过确保 Amazon Relational Database Service (Amazon RDS) 实例不公开，管理对AWS云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息和原则，此类账户需要访问控制。 | |
| AC.L1 | 限制授权用户、代表授权用户操作的进程或设备（包括其他信息系统）访问信息系统。 | 通过确保 Amazon Redshift 集群不公开，管理对AWS云中资源的访问权限。Amazon Redshift 集群可能包含敏感信息和原则，此类账户需要访问控制。 | |
| AC.L1 | 限制授权用户、代表授权用户操作的进程或设备（包括其他信息系统）访问信息系统。 | 通过确保 Amazon Elastic ComputeAWS Cloud (Amazon EC2) 安全组上的通用端口受到限制，管理对云中资源的访问。不限制可信来源对端口的访问可能会导致对系统的可用性、完整性和机密性的攻击。这条规则允许你有选择地设置 BlockedPort1-BlockedPort5 参数（Config 默认值：20,213389,3306,4333）。实际值应反映贵组织的政策。 | |
| AC.L1 | 限制授权用户、代表授权用户操作的进程或设备（包括其他信息系统）访问信息系统。 | 通过确保为根用户启用硬件 MFA，管理对AWS云中资源的访问权限。根用户是AWS账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户使用 MFA，可以减少AWS账户被入侵的发生。 | |
| AC.L1 | 限制授权用户、代表授权用户操作的进程或设备（包括其他信息系统）访问信息系统。 | 通过确保为根用户启用 MFA 来管理对AWS云中资源的访问权限。根用户是AWS账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户使用 MFA，可以减少AWS账户被入侵的发生。 | |
| AC.L1 | 限制授权用户、代表授权用户操作的进程或设备（包括其他信息系统）访问信息系统。 | 通过确保无法公开访问 Amazon Simple Storage Service (Amazon S3) 存储桶，管理对AWS云中资源的访问。该规则通过防止公共访问来帮助保护敏感数据免受未经授权的远程用户的侵害。此规则允许您选择设置 ignorePublicAcls （Config 默认值：True）、 blockPublicPolicy （Config 默认值：True）、 blockPublicAcls （Config 默认值：True）和 restrictPublicBuckets 参数（Config 默认值：True）。实际值应反映贵组织的政策。 | |
| AC.L1 | 限制授权用户、代表授权用户操作的进程或设备（包括其他信息系统）访问信息系统。 | 通过确保无法公开访问 Amazon Simple Storage Service (Amazon S3) 存储桶，管理对AWS云中资源的访问。该规则通过防止存储段级别的公共访问来帮助保护敏感数据免受未经授权的远程用户的侵害。 | |
| AC.L1 | 限制授权用户、代表授权用户操作的进程或设备（包括其他信息系统）访问信息系统。 | 启用 s3_ bucket_policy_grantee_check 来管理对AWS云的访问权限。该规则检查 Amazon S3 存储桶授予的访问权限是否受到您提供的任何AWS委托人、联合用户、服务主体、IP 地址或Amazon Virtual Private Cloud (Amazon VPC) ID 的限制。 | |
| AC.L1 | 限制授权用户、代表授权用户操作的进程或设备（包括其他信息系统）访问信息系统。 | 通过仅允许授权的用户、流程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，管理对AWS云中的资源的访问。访问管理应与数据的分类保持一致。 | |
| AC.L1 | 限制授权用户、代表授权用户操作的进程或设备（包括其他信息系统）访问信息系统。 | 通过仅允许授权的用户、流程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，管理对AWS云中的资源的访问。访问管理应与数据的分类保持一致。 | |
| AC.L1 | 限制授权用户、代表授权用户操作的进程或设备（包括其他信息系统）访问信息系统。 | 通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对AWS云端资源的访问权限。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。 | |
| AC.L1 | 限制授权用户、代表授权用户操作的进程或设备（包括其他信息系统）访问信息系统。 | 此规则可确保 SSAWS ecrets Manager 机密已启用轮换。定期轮换机密可以缩短机密的活跃时间，并有可能减少机密泄露后对业务的影响。 | |
| AC.L1 | 限制授权用户、代表授权用户操作的进程或设备（包括其他信息系统）访问信息系统。 | 此规则可确保 SAWS ecrets Manager 机密已根据轮换时间表成功轮换。定期轮换机密可以缩短机密的活跃时间，并有可能减少机密泄露后对业务的影响。 | |
| AC.L1 | 限制授权用户、代表授权用户操作的进程或设备（包括其他信息系统）访问信息系统。 | 确保SAWS ystems Manager (SSM) 文档不公开，因为这可能会允许意外访问您的 SSM 文档。公开 SSM 文档可以公开有关您的账户、资源和内部流程的信息。 | |
| AC.L1 | 限制授权用户、代表授权用户操作的进程或设备（包括其他信息系统）访问信息系统。 | Amazon Elastic Compute Cloud (Amazon EC2) ututututututututututututututututututututututAWS 限制默认安全组上的所有流量有助于限制对AWS资源的远程访问。 | |
| AC.L1 | 限制授权用户、代表授权用户操作的进程或设备（包括其他信息系统）访问信息系统。 | 通过确保 Amazon Elastic ComputeAWS Cloud (Amazon EC2) 安全组上的通用端口受到限制，管理对云中资源的访问。不限制对可信来源的端口访问可能会导致对系统的可用性、完整性和机密性的攻击。通过限制从互联网访问安全组中的资源 (0/0)，可以控制对内部系统的远程访问。 | |
| AC.L1 | 限制授权用户、代表授权用户操作的进程或设备（包括其他信息系统）访问信息系统。 | 通过确保亚马逊在 Amazon Virtual Pri OpenSearch vateAWS Cloud (Amazon VPC) 中来管理对云的访问。Amazon OpenSearch VPC 中的Amazon VPC 中Amazon VPC 中的Amazon OpenSearch VPC 中Amazon VPC 中的Amazon VPC 中Amazon VPC 中的Amazon VPC 中Amazon VPC 中的A | |
| ACL-1.2 | 将信息系统的访问权限限制在允许授权用户执行的交易和功能的类型上。 | 通过确保无法公开访问 DMS 复制实例来管理对AWS云的访问权限。DMS 复制实例可能包含敏感信息，此类账户需要访问控制。 | |
| ACL-1.2 | 将信息系统的访问权限限制在允许授权用户执行的交易和功能的类型上。 | 通过确保 EBS 快照不可公开恢复，管理对AWS云的访问权限。EBS 卷快照可能包含敏感信息，此类账户需要访问控制。 | |
| ACL-1.2 | 将信息系统的访问权限限制在允许授权用户执行的交易和功能的类型上。 | 确保实例元数据 Cloud Amazon EC2 Amazon EC2）实例元数据 Amazon EC2 实例元数据 Amazon EC2 实例元数据 Amazon EC2 实例元数据 Amazon EC2 实例元数据。imdsv2 方法使用基于会话的控件。使用 IMDSv2，可以实施控制来限制对实例元数据的更改。 | |
| ACL-1.2 | 将信息系统的访问权限限制在允许授权用户执行的交易和功能的类型上。 | 通过确保无法公开访问 Amazon Elastic Compute Cloud (Amazon EC2) 实例来管理对云的访问。AWSAmazon EC2 实例可能包含敏感信息，此类账户需要访问控制。 | |
| ACL-1.2 | 将信息系统的访问权限限制在允许授权用户执行的交易和功能的类型上。 | 通过确保亚马逊在 Amazon Virtual Pri OpenSearch vOpenSearch ateAWS Cloud (Amazon VPC) 中来管理对云的访问。Amazon VPC 中的 OpenSearch 服务域，您可以在 Amazon VPC 中的 OpenSearch 服务和 Amazon VPC 中的其他服务之间进行安全通信，而无需互联网网关、NAT 设备或 VPN 连接。 | |
| ACL-1.2 | 将信息系统的访问权限限制在允许授权用户执行的交易和功能的类型上。 | 通过为 Amazon EMR 集群启用 Kerberos，可以按照最小权限和职责分离的原则管理和整合访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户被称为委托人。校长存在于 Kerberos 领域内。在该领域内的 Kerberos 服务器被称为密钥分配中心 (KDC)。它为校长提供了一种进行身份验证的手段。KDC 通过签发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。 | |
| ACL-1.2 | 将信息系统的访问权限限制在允许授权用户执行的交易和功能的类型上。 | 通过确保无法公开访问 Amazon EMR 集群主节点来管理对AWS云的访问权限。Amazon EMR 集群主节点可能包含敏感信息，此类账户需要访问控制。 | |
| ACL-1.2 | 将信息系统的访问权限限制在允许授权用户执行的交易和功能的类型上。 | 确保IdAWS entity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有内联策略来控制对系统和资产的访问权限。 AWS建议使用托管型策略而不是内联策略。托管策略允许可重用性、版本控制和回滚以及委托权限管理。 | |
| ACL-1.2 | 将信息系统的访问权限限制在允许授权用户执行的交易和功能的类型上。 | 身份和证书是根据组织的 IAM 密码策略颁发、管理和验证的。它们达到或超过了 NIST SP 800-63 和密码强度AWS基础安全最佳实践标准规定的要求。此规则允许您根据需要设置 RequireUppercaseCharacters （AWS基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS基础安全最佳实践值：true）、 RequireSymbols （AWS基础安全最佳实践值：true）、 RequireNumbers （AWS基础安全最佳实践值：true）、 MinimumPasswordLength （AWS基础安全最佳实践值：14）、 PasswordReusePrevention （AWS基础安全最佳实践值：24）和 MaxPasswordAge （AWS基础安全最佳实践值：90）IAM 密码策略。实际值应反映贵组织的政策。 | |
| ACL-1.2 | 将信息系统的访问权限限制在允许授权用户执行的交易和功能的类型上。 | AWSIdentity and Access Management (IAM) 可以帮助您将最低权限和职责分离的原则与访问权限和授权相结合，限制策略中包含 “效果”：“允许” 和 “操作”：“*” 而不是 “资源”：“*”。允许用户拥有超过完成任务所需的权限可能违反最小权限和职责分离原则。 | |
| ACL-1.2 | 将信息系统的访问权限限制在允许授权用户执行的交易和功能的类型上。 | 通过检查根用户的Identity and Access ManagemAWS ent (IAM) 角色是否附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的AWS帐户来帮助纳入功能最少的原则。 | |
| ACL-1.2 | 将信息系统的访问权限限制在允许授权用户执行的交易和功能的类型上。 | AWSIdentity and Access Management (IAM) 可以确保用户是至少一个群组的成员，从而帮助您限制访问权限和授权。允许用户超过完成任务所需的权限可能违反最小权限和职责分离原则。 | |
| ACL-1.2 | 将信息系统的访问权限限制在允许授权用户执行的交易和功能的类型上。 | 启用此规则以限制对AWS云中资源的访问。此规则确保对所有用户启用多重身份验证 (MFA)。MFA 在登录凭证之上增加了一层额外的保护。通过要求用户使用 MFA 来减少账户被盗事件。 | |
| ACL-1.2 | 将信息系统的访问权限限制在允许授权用户执行的交易和功能的类型上。 | 此规则确保IdAWS entity and Access Management (IAM) 策略仅附加到组或角色以控制对系统和资产的访问。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。 | |
| ACL-1.2 | 将信息系统的访问权限限制在允许授权用户执行的交易和功能的类型上。 | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以通过对AWS资源的入口和出口网络流量进行状态筛选，帮助管理网络访问。不允许从 0.0.0.0.0/0 到您的资源上的端口 22 的入口（或远程）流量有助于限制远程访问。 | |
| ACL-1.2 | 将信息系统的访问权限限制在允许授权用户执行的交易和功能的类型上。 | 通过在 Amazon VPC 中部署 Amazon EC2）实例进行安全通信，而无需互联网网关、NAmazon EC2 设备或 Amazon Virtual Private Cloud 连接，您可以在 Amazon VPC 中的实例和 Amazon VPC 中的其他服务之间进行安全通信，而无需互联网网关、NAmazon EC2 设备或 VPN 连接。AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共端点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全性。将 Amazon EC2 实例分配给亚马逊 VPC 以正确管理访问权限。 | |
| ACL-1.2 | 将信息系统的访问权限限制在允许授权用户执行的交易和功能的类型上。 | 通过确保互联网网关仅连接到授权的 Amazon Virtual Private Cloud (Amazon VPC)，管理对云中资源的访问。AWS互联网网关允许双向互联网访问 Amazon VPC 和从 Amazon VPC 进行双向互联网访问，这可能会导致对亚马逊 VPC 资源的未经授权的访问。 | |
| ACL-1.2 | 将信息系统的访问权限限制在允许授权用户执行的交易和功能的类型上。 | 通过确保AWS Lambda 函数无法公开访问，管理对AWS云中资源的访问权限。公共访问可能导致资源可用性下降。 | |
| ACL-1.2 | 将信息系统的访问权限限制在允许授权用户执行的交易和功能的类型上。 | 通过在 Amazon VPC 中部署 AAmazon Virtual Private Cloud PC 中的AWS Lambda 和 Amazon VPC 中的其他服务之间进行安全通信，您可以在 Amazon VPC 中的其他服务之间进行安全通信。使用此配置，无需互联网网关、NAT 设备或 VPN 连接。AWS云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共端点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全性。为了正确管理访问权限，应AWS将 Lambda 函数分配给 VPC。 | |
| ACL-1.2 | 将信息系统的访问权限限制在允许授权用户执行的交易和功能的类型上。 | 通过确保所有拥有控制台密码的Identity and Access ManagemAWS ent (IAM) 用户启用 MFA 来管理对AWS云中资源的访问权限。MFA 在登录凭证之上增加了一层额外的保护。通过要求用户使用 MFA，您可以减少账户被盗事件，并防止未经授权的用户访问敏感数据。 | |
| CL-1.2 | 将信息系统的访问权限限制在允许授权用户执行的交易和功能的类型上。 | 通过确保 Amazon Relational Database Service (Amazon RDS) 实例不公开，管理对AWS云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，此类账户需要原则和访问控制。 | |
| CL-1.2 | 将信息系统的访问权限限制在允许授权用户执行的交易和功能的类型上。 | 通过确保 Amazon Relational Database Service (Amazon RDS) 实例不公开，管理对AWS云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息和原则，此类账户需要访问控制。 | |
| CL-1.2 | 将信息系统的访问权限限制在允许授权用户执行的交易和功能的类型上。 | 通过确保 Amazon Redshift 集群不公开，管理对AWS云中资源的访问权限。Amazon Redshift 集群可能包含敏感信息和原则，此类账户需要访问控制。 | |
| CL-1.2 | 将信息系统的访问权限限制在允许授权用户执行的交易和功能的类型上。 | 通过确保 Amazon Elastic ComputeAWS Cloud (Amazon EC2) 安全组上的通用端口受到限制，管理对云中资源的访问。不限制可信来源对端口的访问可能会导致对系统的可用性、完整性和机密性的攻击。这条规则允许你有选择地设置 BlockedPort1-BlockedPort5 参数（Config 默认值：20,213389,3306,4333）。实际值应反映贵组织的政策。 | |
| CL-1.2 | 将信息系统的访问权限限制在允许授权用户执行的交易和功能的类型上。 | 通过确保为根用户启用硬件 MFA，管理对AWS云中资源的访问权限。根用户是AWS账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户使用 MFA，可以减少AWS账户被入侵的发生。 | |
| CL-1.2 | 将信息系统的访问权限限制在允许授权用户执行的交易和功能的类型上。 | 通过确保为根用户启用 MFA 来管理对AWS云中资源的访问权限。根用户是AWS账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户使用 MFA，可以减少AWS账户被入侵的发生。 | |
| CL-1.2 | 将信息系统的访问权限限制在允许授权用户执行的交易和功能的类型上。 | 通过确保无法公开访问 Amazon Simple Storage Service (Amazon S3) 存储桶，管理对AWS云中资源的访问。该规则通过防止公共访问来帮助保护敏感数据免受未经授权的远程用户的侵害。此规则允许您选择设置 ignorePublicAcls （Config 默认值：True）、 blockPublicPolicy （Config 默认值：True）、 blockPublicAcls （Config 默认值：True）和 restrictPublicBuckets 参数（Config 默认值：True）。实际值应反映贵组织的政策。 | |
| CL-1.2 | 将信息系统的访问权限限制在允许授权用户执行的交易和功能的类型上。 | 通过确保无法公开访问 Amazon Simple Storage Service (Amazon S3) 存储桶，管理对AWS云中资源的访问。该规则通过防止存储段级别的公共访问来帮助保护敏感数据免受未经授权的远程用户的侵害。 | |
| CL-1.2 | 将信息系统的访问权限限制在允许授权用户执行的交易和功能的类型上。 | 启用 s3_ bucket_policy_grantee_check 来管理对AWS云的访问权限。该规则检查 Amazon S3 存储桶授予的访问权限是否受到您提供的任何AWS委托人、联合用户、服务主体、IP 地址或Amazon Virtual Private Cloud (Amazon VPC) ID 的限制。 | |
| CL-1.2 | 将信息系统的访问权限限制在允许授权用户执行的交易和功能的类型上。 | 通过仅允许授权的用户、流程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，管理对AWS云中的资源的访问。访问管理应与数据的分类保持一致。 | |
| CL-1.2 | 将信息系统的访问权限限制在允许授权用户执行的交易和功能的类型上。 | 通过仅允许授权的用户、流程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，管理对AWS云中的资源的访问。访问管理应与数据的分类保持一致。 | |
| CL-1.2 | 将信息系统的访问权限限制在允许授权用户执行的交易和功能的类型上。 | 通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对AWS云端资源的访问权限。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。 | |
| CL-1.2 | 将信息系统的访问权限限制在允许授权用户执行的交易和功能的类型上。 | Amazon Elastic Compute Cloud (Amazon EC2) ututututututututututututututututututututututAWS 限制默认安全组上的所有流量有助于限制对AWS资源的远程访问。 | |
| CL-1.2 | 将信息系统的访问权限限制在允许授权用户执行的交易和功能的类型上。 | 通过确保 Amazon Elastic ComputeAWS Cloud (Amazon EC2) 安全组上的通用端口受到限制，管理对云中资源的访问。不限制对可信来源的端口访问可能会导致对系统的可用性、完整性和机密性的攻击。通过限制从互联网访问安全组中的资源 (0/0)，可以控制对内部系统的远程访问。 | |
| CL-1.2 | 将信息系统的访问权限限制在允许授权用户执行的交易和功能的类型上。 | 通过确保亚马逊在 Amazon Virtual Pri OpenSearch vateAWS Cloud (Amazon VPC) 中来管理对云的访问。Amazon OpenSearch VPC 中的Amazon VPC 中Amazon VPC 中的Amazon OpenSearch VPC 中Amazon VPC 中的Amazon VPC 中Amazon VPC 中的Amazon VPC 中Amazon VPC 中的A | |
| AC.L1-3.1.20 | 验证和控制/限制与外部信息系统的连接和使用。 | 确保在弹性负载均衡器 (ELB) 上启用AWS WAF 以帮助保护 Web 应用程序。WAF 有助于保护您的 Web 应用程序或 API 免遭常见 Web 漏洞的攻击。这些 Web 漏洞可能会影响可用性、损害安全性或消耗环境中的过多的资源。 | |
| AC.L1-3.1.20 | 验证和控制/限制与外部信息系统的连接和使用。 | 如果您使用公有 IP 地址配置网络接口，则可以从 Internet 访问这些网络接口的相关资源。EC2 资源不应公开访问，因为这可能允许意外访问您的应用程序或服务器。 | |
| AC.L1-3.1.20 | 验证和控制/限制与外部信息系统的连接和使用。 | 通过确保无法公开访问 Amazon Elastic Compute Cloud (Amazon EC2) 实例来管理对云的访问。AWSAmazon EC2 实例可能包含敏感信息，此类账户需要访问控制。 | |
| AC.L1-3.1.20 | 验证和控制/限制与外部信息系统的连接和使用。 | 通过确保无法公开访问 Amazon EMR 集群主节点来管理对AWS云的访问权限。Amazon EMR 集群主节点可能包含敏感信息，此类账户需要访问控制。 | |
| AC.L1-3.1.20 | 验证和控制/限制与外部信息系统的连接和使用。 | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以通过对AWS资源的入口和出口网络流量进行状态筛选，帮助管理网络访问。不允许从 0.0.0.0.0/0 到您的资源上的端口 22 的入口（或远程）流量有助于限制远程访问。 | |
| AC.L1-3.1.20 | 验证和控制/限制与外部信息系统的连接和使用。 | 通过确保互联网网关仅连接到授权的 Amazon Virtual Private Cloud (Amazon VPC)，管理对云中资源的访问。AWS互联网网关允许双向互联网访问 Amazon VPC 和从 Amazon VPC 进行双向互联网访问，这可能会导致对亚马逊 VPC 资源的未经授权的访问。 | |
| AC.L1-3.1.20 | 验证和控制/限制与外部信息系统的连接和使用。 | 通过确保AWS Lambda 函数无法公开访问，管理对AWS云中资源的访问权限。公共访问可能导致资源可用性下降。 | |
| AC.L1-3.1.20 | 验证和控制/限制与外部信息系统的连接和使用。 | 确保 Amazon EC2 路由表没有通往互联网网关的无限制路由。取消或限制 Amazon VPC 内工作负载的互联网访问权限可以减少环境中的意外访问。 | |
| AC.L1-3.1.20 | 验证和控制/限制与外部信息系统的连接和使用。 | 通过确保 Amazon Relational Database Service (Amazon RDS) 实例不公开，管理对AWS云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，此类账户需要原则和访问控制。 | |
| AC.L1-3.1.20 | 验证和控制/限制与外部信息系统的连接和使用。 | 通过确保 Amazon Redshift 集群不公开，管理对AWS云中资源的访问权限。Amazon Redshift 集群可能包含敏感信息和原则，此类账户需要访问控制。 | |
| AC.L1-3.1.20 | 验证和控制/限制与外部信息系统的连接和使用。 | 通过确保 Amazon Elastic ComputeAWS Cloud (Amazon EC2) 安全组上的通用端口受到限制，管理对云中资源的访问。不限制可信来源对端口的访问可能会导致对系统的可用性、完整性和机密性的攻击。这条规则允许你有选择地设置 BlockedPort1-BlockedPort5 参数（Config 默认值：20,213389,3306,4333）。实际值应反映贵组织的政策。 | |
| AC.L1-3.1.20 | 验证和控制/限制与外部信息系统的连接和使用。 | 通过确保无法公开访问 Amazon Simple Storage Service (Amazon S3) 存储桶，管理对AWS云中资源的访问。该规则通过防止公共访问来帮助保护敏感数据免受未经授权的远程用户的侵害。此规则允许您选择设置 ignorePublicAcls （Config 默认值：True）、 blockPublicPolicy （Config 默认值：True）、 blockPublicAcls （Config 默认值：True）和 restrictPublicBuckets 参数（Config 默认值：True）。实际值应反映贵组织的政策。 | |
| AC.L1-3.1.20 | 验证和控制/限制与外部信息系统的连接和使用。 | 通过确保无法公开访问 Amazon Simple Storage Service (Amazon S3) 存储桶，管理对AWS云中资源的访问。该规则通过防止存储段级别的公共访问来帮助保护敏感数据免受未经授权的远程用户的侵害。 | |
| AC.L1-3.1.20 | 验证和控制/限制与外部信息系统的连接和使用。 | 通过仅允许授权的用户、流程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，管理对AWS云中的资源的访问。访问管理应与数据的分类保持一致。 | |
| AC.L1-3.1.20 | 验证和控制/限制与外部信息系统的连接和使用。 | 通过仅允许授权的用户、流程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，管理对AWS云中的资源的访问。访问管理应与数据的分类保持一致。 | |
| AC.L1-3.1.20 | 验证和控制/限制与外部信息系统的连接和使用。 | 通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对AWS云端资源的访问权限。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。 | |
| AC.L1-3.1.20 | 验证和控制/限制与外部信息系统的连接和使用。 | 确保SAWS ystems Manager (SSM) 文档不公开，因为这可能会允许意外访问您的 SSM 文档。公开 SSM 文档可以公开有关您的账户、资源和内部流程的信息。 | |
| AC.L1-3.1.20 | 验证和控制/限制与外部信息系统的连接和使用。 | 通过确保不会自动为Amazon Virtual Private Cloud (VPC) 子网分配公有 IP 地址来管理对云的访问。AWS在启用了此属性的子网中启动的 Amazon Elastic Compute Cloud (EC2) 实例会为其主网络接口分配公有 IP 地址。 | |
| AC.L1-3.1.20 | 验证和控制/限制与外部信息系统的连接和使用。 | Amazon Elastic Compute Cloud (Amazon EC2) ututututututututututututututututututututututAWS 限制默认安全组上的所有流量有助于限制对AWS资源的远程访问。 | |
| AC.L1-3.1.20 | 验证和控制/限制与外部信息系统的连接和使用。 | 通过确保 Amazon Elastic ComputeAWS Cloud (Amazon EC2) 安全组上的通用端口受到限制，管理对云中资源的访问。不限制对可信来源的端口访问可能会导致对系统的可用性、完整性和机密性的攻击。通过限制从互联网访问安全组中的资源 (0/0)，可以控制对内部系统的远程访问。 | |
| I.L1-5.1 | 识别信息系统用户、代表用户操作的进程或设备。 | API Gateway 日志记录显示了访问 API 的用户的详细视图以及他们访问 API 的方式。这种见解可以让用户活动变得可见。 | |
| I.L1-5.1 | 识别信息系统用户、代表用户操作的进程或设备。 | Simple Storage Service (Amazon S3) 数据事件的收集有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的AWS账户信息、IP 地址和事件时间。 | |
| I.L1-5.1 | 识别信息系统用户、代表用户操作的进程或设备。 | CloudWatch 使用亚马逊集中收集和管理日志事件活动。包含AWS CloudTrail 数据可提供您AWS账户内的 API 调用活动的详细信息。 | |
| I.L1-5.1 | 识别信息系统用户、代表用户操作的进程或设备。 | Elastic Load Balancing 活动是环境中的中心通信点。确保 ELB 日志记录已启用。收集的数据提供了有关发送到 ELB 的请求的详细信息。每个日志都包含信息 (例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。 | |
| I.L1-5.1 | 识别信息系统用户、代表用户操作的进程或设备。 | 通过为 Amazon EMR 集群启用 Kerberos，可以按照最小权限和职责分离的原则管理和整合访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户被称为委托人。校长存在于 Kerberos 领域内。在该领域内的 Kerberos 服务器被称为密钥分配中心 (KDC)。它为校长提供了一种进行身份验证的手段。KDC 通过签发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。 | |
| I.L1-5.1 | 识别信息系统用户、代表用户操作的进程或设备。 | AWS CloudTrail 记录AWS管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了AWS、从中发出调用的源 IP 地址以及调用的发生时间。 CloudTrail 如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，则会将所有AWS区域的日志文件传输到您的 S3 存储桶。此外，当AWS启动新区域时， CloudTrail 将在新区域中创建相同的路径。因此，您无需采取任何操作即可收到包含新区域的 API 活动的日志文件。 | |
| I.L1-5.1 | 识别信息系统用户、代表用户操作的进程或设备。 | 为了帮助在环境中进行记录和监控，请确保启用 Amazon Relational Database Service (Amazon RDS) 日志记录。通过 Amazon RDS 日志记录，您可以捕获连接、断开连接、查询或查询表等事件。 | |
| I.L1-5.1 | 识别信息系统用户、代表用户操作的进程或设备。 | Amazon Simple Storage Service (Amazon S3) 服务器访问日志提供了一种监控网络中潜在网络安全事件的方法。通过捕获对 Amazon S3 桶提出的各种请求，可以对事件进行监控。每条访问日志记录都提供有关单个访问请求的详细信息。详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | |
| I.L1-5.1 | 识别信息系统用户、代表用户操作的进程或设备。 | 为了帮助在您的环境中进行日志记录和监控，请在区域和全球 Web ACL 上启用AWS WAF (V2) 登录。 AWSWAF 日志记录提供有关您的 Web ACL 分析的流量的详细信息。日志记录AWS WAF 从您的AWS资源收到请求的操作，以及每个请求所匹配的规则的操作。 | |
| IA.L1-3.5.2 | 验证（或验证）这些用户、流程或设备的身份，这是允许访问组织信息系统的先决条件。 | 通过为 Amazon EMR 集群启用 Kerberos，可以按照最小权限和职责分离的原则管理和整合访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户被称为委托人。校长存在于 Kerberos 领域内。在该领域内的 Kerberos 服务器被称为密钥分配中心 (KDC)。它为校长提供了一种进行身份验证的手段。KDC 通过签发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。 | |
| IA.L1-3.5.2 | 验证（或验证）这些用户、流程或设备的身份，这是允许访问组织信息系统的先决条件。 | 身份和证书是根据组织的 IAM 密码策略颁发、管理和验证的。它们达到或超过了 NIST SP 800-63 和密码强度AWS基础安全最佳实践标准规定的要求。此规则允许您根据需要设置 RequireUppercaseCharacters （AWS基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS基础安全最佳实践值：true）、 RequireSymbols （AWS基础安全最佳实践值：true）、 RequireNumbers （AWS基础安全最佳实践值：true）、 MinimumPasswordLength （AWS基础安全最佳实践值：14）、 PasswordReusePrevention （AWS基础安全最佳实践值：24）和 MaxPasswordAge （AWS基础安全最佳实践值：90）IAM 密码策略。实际值应反映贵组织的政策。 | |
| IA.L1-3.5.2 | 验证（或验证）这些用户、流程或设备的身份，这是允许访问组织信息系统的先决条件。 | 启用此规则以限制对AWS云中资源的访问。此规则确保对所有用户启用多重身份验证 (MFA)。MFA 在登录凭证之上增加了一层额外的保护。通过要求用户使用 MFA 来减少账户被盗事件。 | |
| IA.L1-3.5.2 | 验证（或验证）这些用户、流程或设备的身份，这是允许访问组织信息系统的先决条件。 | 通过确保所有拥有控制台密码的Identity and Access ManagemAWS ent (IAM) 用户启用 MFA 来管理对AWS云中资源的访问权限。MFA 在登录凭证之上增加了一层额外的保护。通过要求用户使用 MFA，您可以减少账户被盗事件，并防止未经授权的用户访问敏感数据。 | |
| IA.L1-3.5.2 | 验证（或验证）这些用户、流程或设备的身份，这是允许访问组织信息系统的先决条件。 | 通过确保为根用户启用硬件 MFA，管理对AWS云中资源的访问权限。根用户是AWS账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户使用 MFA，可以减少AWS账户被入侵的发生。 | |
| IA.L1-3.5.2 | 验证（或验证）这些用户、流程或设备的身份，这是允许访问组织信息系统的先决条件。 | 通过确保为根用户启用 MFA 来管理对AWS云中资源的访问权限。根用户是AWS账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户使用 MFA，可以减少AWS账户被入侵的发生。 | |
| SC.L1-3.13.1 | 监测、控制和保护信息系统的外部边界和关键内部边界上的组织通信（即组织信息系统传输或接收的信息）。 | 确保您的弹性负载均衡器 (ELB) 配置为删除 http 标头。由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。 | |
| SC.L1-3.13.1 | 监测、控制和保护信息系统的外部边界和关键内部边界上的组织通信（即组织信息系统传输或接收的信息）。 | 为了帮助保护传输中的数据，请确保您的Application Load Balancer 自动将未加密的 HTTP 请求重定向到 HTTPS。由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。 | |
| SC.L1-3.13.1 | 监测、控制和保护信息系统的外部边界和关键内部边界上的组织通信（即组织信息系统传输或接收的信息）。 | 确保在弹性负载均衡器 (ELB) 上启用AWS WAF 以帮助保护 Web 应用程序。WAF 有助于保护您的 Web 应用程序或 API 免遭常见 Web 漏洞的攻击。这些 Web 漏洞可能会影响可用性、损害安全性或消耗环境中的过多的资源。 | |
| SC.L1-3.13.1 | 监测、控制和保护信息系统的外部边界和关键内部边界上的组织通信（即组织信息系统传输或接收的信息）。 | AWSWAF 允许您配置一组规则（称为 Web ACL）的可自定义的 Web 安全规则和您定义的条件，允许、阻止或统计 Web 请求。确保您的Amazon API Gateway 阶段与 WAF Web ACL 相关联，以保护其免受恶意攻击 | |
| SC.L1-3.13.1 | 监测、控制和保护信息系统的外部边界和关键内部边界上的组织通信（即组织信息系统传输或接收的信息）。 | 如果某个指标在指定数量的评估期内超出阈值，Amazon 将发出 CloudWatch 警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （Config 默认值：True）、 insufficientDataAction必需（Config 默认值：True）、 okActionRequired （Config 默认值：False）的值。实际值应反映您环境的警报操作。 | |
| SC.L1-3.13.1 | 监测、控制和保护信息系统的外部边界和关键内部边界上的组织通信（即组织信息系统传输或接收的信息）。 | 通过确保无法公开访问 DMS 复制实例来管理对AWS云的访问权限。DMS 复制实例可能包含敏感信息，此类账户需要访问控制。 | |
| SC.L1-3.13.1 | 监测、控制和保护信息系统的外部边界和关键内部边界上的组织通信（即组织信息系统传输或接收的信息）。 | 通过确保 EBS 快照不可公开恢复，管理对AWS云的访问权限。EBS 卷快照可能包含敏感信息，此类账户需要访问控制。 | |
| SC.L1-3.13.1 | 监测、控制和保护信息系统的外部边界和关键内部边界上的组织通信（即组织信息系统传输或接收的信息）。 | 通过确保亚马逊在 Amazon Virtual Pri OpenSearch vOpenSearch ateAWS Cloud (Amazon VPC) 中来管理对云的访问。Amazon VPC 中的 OpenSearch 服务域，您可以在 Amazon VPC 中的 OpenSearch 服务和 Amazon VPC 中的其他服务之间进行安全通信，而无需互联网网关、NAT 设备或 VPN 连接。 | |
| SC.L1-3.13.1 | 监测、控制和保护信息系统的外部边界和关键内部边界上的组织通信（即组织信息系统传输或接收的信息）。 | 确保启用亚马逊 OpenSearch 服务的 node-to-node 加密。Node-to-node 加密可以对 Amazon VPriveCloud (Amazon VPC) 内的所有通信启用TLS 1.2 由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。 | |
| SC.L1-3.13.1 | 监测、控制和保护信息系统的外部边界和关键内部边界上的组织通信（即组织信息系统传输或接收的信息）。 | 由于敏感数据可能存在并且为了帮助保护传输中的数据，请确保为 Elastic Load Balancing 启用加密。使用AWS Certificate Manager 通过AWS服务和内部资源管理、预置和部署公共和私有 SSL/TLS 证书。 | |
| SC.L1-3.13.1 | 监测、控制和保护信息系统的外部边界和关键内部边界上的组织通信（即组织信息系统传输或接收的信息）。 | 确保您的弹性负载均衡器 (ELB) 配置了 SSL 或 HTTPS 侦听器。由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。 | |
| SC.L1-3.13.1 | 监测、控制和保护信息系统的外部边界和关键内部边界上的组织通信（即组织信息系统传输或接收的信息）。 | 亚马逊 GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 列表和机器学习列表，用于标识AWS云环境中意外的和恶意活动。 | |
| SC.L1-3.13.1 | 监测、控制和保护信息系统的外部边界和关键内部边界上的组织通信（即组织信息系统传输或接收的信息）。 | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以通过对AWS资源的入口和出口网络流量进行状态筛选，帮助管理网络访问。不允许从 0.0.0.0.0/0 到您的资源上的端口 22 的入口（或远程）流量有助于限制远程访问。 | |
| SC.L1-3.13.1 | 监测、控制和保护信息系统的外部边界和关键内部边界上的组织通信（即组织信息系统传输或接收的信息）。 | 通过在 Amazon VPC 中部署 Amazon EC2）实例进行安全通信，而无需互联网网关、NAmazon EC2 设备或 Amazon Virtual Private Cloud 连接，您可以在 Amazon VPC 中的实例和 Amazon VPC 中的其他服务之间进行安全通信，而无需互联网网关、NAmazon EC2 设备或 VPN 连接。AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共端点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全性。将 Amazon EC2 实例分配给亚马逊 VPC 以正确管理访问权限。 | |
| SC.L1-3.13.1 | 监测、控制和保护信息系统的外部边界和关键内部边界上的组织通信（即组织信息系统传输或接收的信息）。 | 通过确保互联网网关仅连接到授权的 Amazon Virtual Private Cloud (Amazon VPC)，管理对云中资源的访问。AWS互联网网关允许双向互联网访问 Amazon VPC 和从 Amazon VPC 进行双向互联网访问，这可能会导致对亚马逊 VPC 资源的未经授权的访问。 | |
| SC.L1-3.13.1 | 监测、控制和保护信息系统的外部边界和关键内部边界上的组织通信（即组织信息系统传输或接收的信息）。 | 通过确保AWS Lambda 函数无法公开访问，管理对AWS云中资源的访问权限。公共访问可能导致资源可用性下降。 | |
| SC.L1-3.13.1 | 监测、控制和保护信息系统的外部边界和关键内部边界上的组织通信（即组织信息系统传输或接收的信息）。 | 通过在 Amazon VPC 中部署 AAmazon Virtual Private Cloud PC 中的AWS Lambda 和 Amazon VPC 中的其他服务之间进行安全通信，您可以在 Amazon VPC 中的其他服务之间进行安全通信。使用此配置，无需互联网网关、NAT 设备或 VPN 连接。AWS云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共端点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全性。为了正确管理访问权限，应AWS将 Lambda 函数分配给 VPC。 | |
| SC.L1-3.13.1 | 监测、控制和保护信息系统的外部边界和关键内部边界上的组织通信（即组织信息系统传输或接收的信息）。 | 确保 Amazon EC2 路由表没有通往互联网网关的无限制路由。取消或限制 Amazon VPC 内工作负载的互联网访问权限可以减少环境中的意外访问。 | |
| SC.L1-3.13.1 | 监测、控制和保护信息系统的外部边界和关键内部边界上的组织通信（即组织信息系统传输或接收的信息）。 | 通过确保 Amazon Relational Database Service (Amazon RDS) 实例不公开，管理对AWS云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，此类账户需要原则和访问控制。 | |
| SC.L1-3.13.1 | 监测、控制和保护信息系统的外部边界和关键内部边界上的组织通信（即组织信息系统传输或接收的信息）。 | 通过确保 Amazon Relational Database Service (Amazon RDS) 实例不公开，管理对AWS云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息和原则，此类账户需要访问控制。 | |
| SC.L1-3.13.1 | 监测、控制和保护信息系统的外部边界和关键内部边界上的组织通信（即组织信息系统传输或接收的信息）。 | 通过确保 Amazon Redshift 集群不公开，管理对AWS云中资源的访问权限。Amazon Redshift 集群可能包含敏感信息和原则，此类账户需要访问控制。 | |
| SC.L1-3.13.1 | 监测、控制和保护信息系统的外部边界和关键内部边界上的组织通信（即组织信息系统传输或接收的信息）。 | 确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。 | |
| SC.L1-3.13.1 | 监测、控制和保护信息系统的外部边界和关键内部边界上的组织通信（即组织信息系统传输或接收的信息）。 | 通过确保 Amazon Elastic ComputeAWS Cloud (Amazon EC2) 安全组上的通用端口受到限制，管理对云中资源的访问。不限制可信来源对端口的访问可能会导致对系统的可用性、完整性和机密性的攻击。这条规则允许你有选择地设置 BlockedPort1-BlockedPort5 参数（Config 默认值：20,213389,3306,4333）。实际值应反映贵组织的政策。 | |
| SC.L1-3.13.1 | 监测、控制和保护信息系统的外部边界和关键内部边界上的组织通信（即组织信息系统传输或接收的信息）。 | 通过确保无法公开访问 Amazon Simple Storage Service (Amazon S3) 存储桶，管理对AWS云中资源的访问。该规则通过防止公共访问来帮助保护敏感数据免受未经授权的远程用户的侵害。此规则允许您选择设置 ignorePublicAcls （Config 默认值：True）、 blockPublicPolicy （Config 默认值：True）、 blockPublicAcls （Config 默认值：True）和 restrictPublicBuckets 参数（Config 默认值：True）。实际值应反映贵组织的政策。 | |
| SC.L1-3.13.1 | 监测、控制和保护信息系统的外部边界和关键内部边界上的组织通信（即组织信息系统传输或接收的信息）。 | 通过确保无法公开访问 Amazon Simple Storage Service (Amazon S3) 存储桶，管理对AWS云中资源的访问。该规则通过防止存储段级别的公共访问来帮助保护敏感数据免受未经授权的远程用户的侵害。 | |
| SC.L1-3.13.1 | 监测、控制和保护信息系统的外部边界和关键内部边界上的组织通信（即组织信息系统传输或接收的信息）。 | 通过仅允许授权的用户、流程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，管理对AWS云中的资源的访问。访问管理应与数据的分类保持一致。 | |
| SC.L1-3.13.1 | 监测、控制和保护信息系统的外部边界和关键内部边界上的组织通信（即组织信息系统传输或接收的信息）。 | 通过仅允许授权的用户、流程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，管理对AWS云中的资源的访问。访问管理应与数据的分类保持一致。 | |
| SC.L1-3.13.1 | 监测、控制和保护信息系统的外部边界和关键内部边界上的组织通信（即组织信息系统传输或接收的信息）。 | 为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶需要请求使用安全套接字层 (SSL)。由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。 | |
| SC.L1-3.13.1 | 监测、控制和保护信息系统的外部边界和关键内部边界上的组织通信（即组织信息系统传输或接收的信息）。 | 通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对AWS云端资源的访问权限。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。 | |
| SC.L1-3.13.1 | 监测、控制和保护信息系统的外部边界和关键内部边界上的组织通信（即组织信息系统传输或接收的信息）。 | AWSSecurity Hub 有助于监控未经授权的人员、连接、设备和软件。 AWSSecurity Hub 可以聚合、组织来自多个AWS服务的安全提醒或检查结果并确定优先级。其中一些服务包括亚马逊Security Hub、Amazon Inspector、Amazon Macie、IdentAWS ity and Access Management (IAM) 访问分析器和FiAWS rewall Manager 以及AWS合作伙伴解决方案。 | |
| SC.L1-3.13.1 | 监测、控制和保护信息系统的外部边界和关键内部边界上的组织通信（即组织信息系统传输或接收的信息）。 | 确保SAWS ystems Manager (SSM) 文档不公开，因为这可能会允许意外访问您的 SSM 文档。公开 SSM 文档可以公开有关您的账户、资源和内部流程的信息。 | |
| SC.L1-3.13.1 | 监测、控制和保护信息系统的外部边界和关键内部边界上的组织通信（即组织信息系统传输或接收的信息）。 | Amazon Elastic Compute Cloud (Amazon EC2) ututututututututututututututututututututututAWS 限制默认安全组上的所有流量有助于限制对AWS资源的远程访问。 | |
| SC.L1-3.13.1 | 监测、控制和保护信息系统的外部边界和关键内部边界上的组织通信（即组织信息系统传输或接收的信息）。 | 通过确保 Amazon Elastic ComputeAWS Cloud (Amazon EC2) 安全组上的通用端口受到限制，管理对云中资源的访问。不限制对可信来源的端口访问可能会导致对系统的可用性、完整性和机密性的攻击。通过限制从互联网访问安全组中的资源 (0/0)，可以控制对内部系统的远程访问。 | |
| SC.L1-3.13.1 | 监测、控制和保护信息系统的外部边界和关键内部边界上的组织通信（即组织信息系统传输或接收的信息）。 | 通过确保亚马逊在 Amazon Virtual Pri OpenSearch vateAWS Cloud (Amazon VPC) 中来管理对云的访问。Amazon OpenSearch VPC 中的Amazon VPC 中Amazon VPC 中的Amazon OpenSearch VPC 中Amazon VPC 中的Amazon VPC 中Amazon VPC 中的Amazon VPC 中Amazon VPC 中的A | |
| SC.L1-3.13.1 | 监测、控制和保护信息系统的外部边界和关键内部边界上的组织通信（即组织信息系统传输或接收的信息）。 | 确保启用亚马逊 OpenSearch 服务的 node-to-node 加密。Node-to-node 加密可以对 Amazon VPriveCloud (Amazon VPC) 内的所有通信启用TLS 1.2 由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。 | |
| SI.L1-3.14.1 | 及时识别、报告和纠正信息和信息系统缺陷。 | 如果某个指标在指定数量的评估期内超出阈值，Amazon 将发出 CloudWatch 警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （Config 默认值：True）、 insufficientDataAction必需（Config 默认值：True）、 okActionRequired （Config 默认值：False）的值。实际值应反映您环境的警报操作。 | |
| SI.L1-3.14.1 | 及时识别、报告和纠正信息和信息系统缺陷。 | 亚马逊 GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 列表和机器学习列表，用于标识AWS云环境中意外的和恶意活动。 | |
| SI.L1-3.14.1 | 及时识别、报告和纠正信息和信息系统缺陷。 | AWSSecurity Hub 有助于监控未经授权的人员、连接、设备和软件。 AWSSecurity Hub 可以聚合、组织来自多个AWS服务的安全提醒或检查结果并确定优先级。其中一些服务包括亚马逊Security Hub、Amazon Inspector、Amazon Macie、IdentAWS ity and Access Management (IAM) 访问分析器和FiAWS rewall Manager 以及AWS合作伙伴解决方案。 | |
| SI.L1-3.14.2 | 在组织信息系统内的适当位置提供保护，使其免受恶意代码的侵害。 | 亚马逊 GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 列表和机器学习列表，用于标识AWS云环境中意外的和恶意活动。 | |
| SI.L-14.5 | 在下载、打开或执行文件时，定期扫描信息系统并实时扫描来自外部来源的文件。 | Amazon Elastive (ECR) 映像扫描有助于识别容器映像中的软件漏洞。在 ECR 存储库上启用图像扫描可为所存储图像的完整性和安全性增加一层验证。 |
模板
该模板可在以下网址获得 GitHub：CMMC 2.0 第 1 级操作最佳实践
