本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
CMMC Level 5 操作最佳实践
合规包提供了一个通用合规框架，旨在使您能够使用托管或自定义 AWS Config 规则和 AWS Config 补救措施来创建安全、运营或成本优化治理检查。作为示例模板，合规包并不是为了完全确保遵守特定的治理或合规性标准而设计的。您有责任自行评估自己对服务的使用是否符合适用的法律和监管要求。
下面提供了网络安全成熟度模型认证 (CMMC) Level 5 与 AWS 托管 Config 规则之间的映射示例。每条 Config 规则都适用于特定的 AWS 资源，并与一个或多个 CMMC Level 5 控制相关。一个 CMMC Level 5 控制可以与多个 Config 规则相关联。有关这些映射的更多详细信息和指导，请参阅下表。
注意
由于国防部和 CMMC 认证机构就 CMMC Level 3 - 5 的 FedRAMP 互惠性提供了暂定指导，因此目前建议客户使用 AWS GovCloud（美国）区域来处理任何需要符合 CMMC Level 3 - 5 的工作负载。因此，为避免混淆，合规包控制台中不提供 CMMC Level 3 - 5 的合规包模板。客户可以使用本文档中链接的示例 YAML 文件，通过 CloudFormation 独立安装映射 CMMC Level 3-5（不带合规包模板）的暂定指南的 Config 规则。
| 控制 ID | 控制描述 | AWS Config 规则 | 指南 |
|---|---|---|---|
| AC.1.001 | 仅允许授权用户、代表授权用户行事的进程或设备（包括其他信息系统）访问信息系统。 | 通过确保按照组织政策轮换 IAM 访问密钥，对授权的设备、用户和流程的凭证进行审核。定期更改访问密钥是一种安全最佳实践。它会缩短访问密钥的有效期，并降低密钥泄露时对业务的影响。此规则需要访问密钥轮换值（配置默认值：90）。实际值应反映贵组织的策略。 | |
| AC.1.001 | 仅允许授权用户、代表授权用户行事的进程或设备（包括其他信息系统）访问信息系统。 | 通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| AC.1.001 | 仅允许授权用户、代表授权用户行事的进程或设备（包括其他信息系统）访问信息系统。 | 通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| AC.1.001 | 仅允许授权用户、代表授权用户行事的进程或设备（包括其他信息系统）访问信息系统。 | 确保启用实例元数据服务版本 2 (IMDSv2) 方法，以帮助保护对 Amazon Elastic Compute Cloud (Amazon EC2) 实例元数据的访问和控制。IMDSv2 方法使用基于会话的控制。使用 IMDSv2，可以实施控制来限制对实例元数据的更改。 | |
| AC.1.001 | 仅允许授权用户、代表授权用户行事的进程或设备（包括其他信息系统）访问信息系统。 | 通过确保 Amazon Elastic Compute Cloud (Amazon EC2) 实例无法公开访问来管理对 AWS 云的访问。Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| AC.1.001 | 仅允许授权用户、代表授权用户行事的进程或设备（包括其他信息系统）访问信息系统。 | EC2 实例配置文件将 IAM 角色传递给 EC2 实例。将实例配置文件附加到您的实例可以帮助实现最低权限和权限管理。 | |
| AC.1.001 | 仅允许授权用户、代表授权用户行事的进程或设备（包括其他信息系统）访问信息系统。 | 通过确保 Amazon OpenSearch Service (OpenSearch Service) 域位于 Amazon Virtual Private Cloud (Amazon VPC) 中，来管理对 AWS 云的访问。Amazon VPC 中的 OpenSearch Service 域可实现 Amazon OpenSearch Service 与 Amazon VPC 中其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。 | |
| AC.1.001 | 仅允许授权用户、代表授权用户行事的进程或设备（包括其他信息系统）访问信息系统。 | 通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心 (KDC)。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。 | |
| AC.1.001 | 仅允许授权用户、代表授权用户行事的进程或设备（包括其他信息系统）访问信息系统。 | 通过确保 Amazon EMR 集群主节点无法公开访问来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| AC.1.001 | 仅允许授权用户、代表授权用户行事的进程或设备（包括其他信息系统）访问信息系统。 | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对所有 AWS Key Management Service 密钥的阻止操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。该规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms:Decrypt、kms:ReEncryptFrom）。实际值应反映贵组织的策略 | |
| AC.1.001 | 仅允许授权用户、代表授权用户行事的进程或设备（包括其他信息系统）访问信息系统。 | AWS Identity and Access Management (IAM) 可以确保 IAM 组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。 | |
| AC.1.001 | 仅允许授权用户、代表授权用户行事的进程或设备（包括其他信息系统）访问信息系统。 | 确保 AWS Identity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有允许对所有 AWS Key Management Service 密钥执行阻止操作的内联策略。AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。该规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms:Decrypt、kms:ReEncryptFrom）。实际值应反映贵组织的策略。 | |
| AC.1.001 | 仅允许授权用户、代表授权用户行事的进程或设备（包括其他信息系统）访问信息系统。 | 确保 AWS Identity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有控制系统和资产访问的内联策略。AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。 | |
| AC.1.001 | 仅允许授权用户、代表授权用户行事的进程或设备（包括其他信息系统）访问信息系统。 | 身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过 NIST SP 800-63 和针对密码强度的 AWS 基础安全最佳实践标准规定的要求。此规则允许您为 IAM 密码策略选择设置 RequireUppercaseCharacters（AWS 基础安全最佳实践值：true）、RequireLowercaseCharacters（AWS 基础安全最佳实践值：true）、RequireSymbols（AWS 基础安全最佳实践值：true）、RequireNumbers（AWS 基础安全最佳实践值：true）、MinimumPasswordLength（AWS 基础安全最佳实践值：14）、PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）。实际值应反映贵组织的策略。 | |
| AC.1.001 | 仅允许授权用户、代表授权用户行事的进程或设备（包括其他信息系统）访问信息系统。 | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 "Effect": "Allow" with "Action": "*" over "Resource": "*"。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| AC.1.001 | 仅允许授权用户、代表授权用户行事的进程或设备（包括其他信息系统）访问信息系统。 | 确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| AC.1.001 | 仅允许授权用户、代表授权用户行事的进程或设备（包括其他信息系统）访问信息系统。 | 通过检查根用户的 AWS Identity and Access Management (IAM) 角色是否拥有访问密钥，可以控制对系统和资产的访问。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户来帮助纳入最少功能原则。 | |
| AC.1.001 | 仅允许授权用户、代表授权用户行事的进程或设备（包括其他信息系统）访问信息系统。 | AWS Identity and Access Management (IAM) 可通过确保用户至少属于一个组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| AC.1.001 | 仅允许授权用户、代表授权用户行事的进程或设备（包括其他信息系统）访问信息系统。 | 启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证 (MFA)。MFA 在登录凭证之上添加一层额外的保护。要求用户进行多重身份验证，从而减少账户被盗事件。 | |
| AC.1.001 | 仅允许授权用户、代表授权用户行事的进程或设备（包括其他信息系统）访问信息系统。 | 此规则可确保仅将 AWS Identity and Access Management (IAM) 策略附加到组或角色，以控制对系统和资产的访问。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。 | |
| AC.1.001 | 仅允许授权用户、代表授权用户行事的进程或设备（包括其他信息系统）访问信息系统。 | AWS Identity and Access Management (IAM) 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥，来帮助您获得访问权限和授权。如果发现这些未使用的凭证，则应禁用和/或删除这些凭证，因为这可能违反最低权限原则。此规则要求您为 maxCredentialUsageAge 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。 | |
| AC.1.001 | 仅允许授权用户、代表授权用户行事的进程或设备（包括其他信息系统）访问信息系统。 | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可对 AWS 资源的入口和出口网络流量进行有状态过滤，从而帮助管理网络访问。不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。 | |
| AC.1.001 | 仅允许授权用户、代表授权用户行事的进程或设备（包括其他信息系统）访问信息系统。 | 在 Amazon Virtual Private Cloud (Amazon VPC) 内部署 Amazon Elastic Compute Cloud (Amazon EC2) 实例，以实现实例与 Amazon VPC 内其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。 | |
| AC.1.001 | 仅允许授权用户、代表授权用户行事的进程或设备（包括其他信息系统）访问信息系统。 | 通过确保互联网网关仅连接到经过授权的 Amazon Virtual Private Cloud (Amazon VPC)，来管理对 AWS 云中资源的访问。互联网网关允许进出 Amazon VPC 的双向互联网访问，这可能会导致未经授权访问 Amazon VPC 资源。 | |
| AC.1.001 | 仅允许授权用户、代表授权用户行事的进程或设备（包括其他信息系统）访问信息系统。 | 通过确保 AWS Lambda 函数无法公开访问，来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。 | |
| AC.1.001 | 仅允许授权用户、代表授权用户行事的进程或设备（包括其他信息系统）访问信息系统。 | 在 Amazon Virtual Private Cloud (Amazon VPC) 中部署 AWS Lambda 函数，以便在 Amazon VPC 中的函数和其他服务之间进行安全通信。使用此配置时，不需要互联网网关、NAT 设备或 VPN 连接。AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。为了正确管理访问权限，应将 AWS Lambda 函数分配给 VPC。 | |
| AC.1.001 | 仅允许授权用户、代表授权用户行事的进程或设备（包括其他信息系统）访问信息系统。 | 通过确保为所有拥有控制台密码的 AWS Identity and Access Management (IAM) 用户启用 MFA，来管理对 AWS 云中资源的访问。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。 | |
| AC.1.001 | 仅允许授权用户、代表授权用户行事的进程或设备（包括其他信息系统）访问信息系统。 | 通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| AC.1.001 | 仅允许授权用户、代表授权用户行事的进程或设备（包括其他信息系统）访问信息系统。 | 通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| AC.1.001 | 仅允许授权用户、代表授权用户行事的进程或设备（包括其他信息系统）访问信息系统。 | 通过确保 Amazon Redshift 集群不是公有的，来管理对 AWS 云中资源的访问。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| AC.1.001 | 仅允许授权用户、代表授权用户行事的进程或设备（包括其他信息系统）访问信息系统。 | 通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。 | |
| AC.1.001 | 仅允许授权用户、代表授权用户行事的进程或设备（包括其他信息系统）访问信息系统。 | 通过确保为根用户启用硬件 MFA，来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户进行 MFA，可以减少 AWS 账户被盗的事件。 | |
| AC.1.001 | 仅允许授权用户、代表授权用户行事的进程或设备（包括其他信息系统）访问信息系统。 | 通过确保为根用户启用 MFA，来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户进行 MFA，可以减少 AWS 账户被盗的事件。 | |
| AC.1.001 | 仅允许授权用户、代表授权用户行事的进程或设备（包括其他信息系统）访问信息系统。 | 通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置 ignorePublicAcls（Config 默认：True）、blockPublicPolicy（Config 默认值：True）、blockPublicAcls（Config 默认值：True）和 restrictPublicBuckets 参数（Config 默认值：True）。实际值应反映贵组织的策略。 | |
| AC.1.001 | 仅允许授权用户、代表授权用户行事的进程或设备（包括其他信息系统）访问信息系统。 | 通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。 | |
| AC.1.001 | 仅允许授权用户、代表授权用户行事的进程或设备（包括其他信息系统）访问信息系统。 | 通过启用 s3_ bucket_policy_grantee_check 来管理对 AWS 云的访问权限。此规则检查 Amazon S3 存储桶授予的访问权限是否受任何 AWS 委托人、联合身份用户、服务委托人、IP 地址或您提供的 Amazon Virtual Private Cloud (Amazon VPC) ID 的限制。 | |
| AC.1.001 | 仅允许授权用户、代表授权用户行事的进程或设备（包括其他信息系统）访问信息系统。 | 通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。 | |
| AC.1.001 | 仅允许授权用户、代表授权用户行事的进程或设备（包括其他信息系统）访问信息系统。 | 通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。 | |
| AC.1.001 | 仅允许授权用户、代表授权用户行事的进程或设备（包括其他信息系统）访问信息系统。 | 通过确保 Amazon SageMaker 笔记本不允许直接访问互联网，管理对 AWS 云中资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。 | |
| AC.1.001 | 仅允许授权用户、代表授权用户行事的进程或设备（包括其他信息系统）访问信息系统。 | 此规则可确保 AWS Secrets Manager 机密已启用轮换。定期轮换机密可以缩短机密的有效期，并有可能减少机密泄露时对业务的影响。 | |
| AC.1.001 | 仅允许授权用户、代表授权用户行事的进程或设备（包括其他信息系统）访问信息系统。 | 此规则可确保 AWS Secrets Manager 机密已根据轮换计划成功轮换。定期轮换机密可以缩短机密的有效期，并有可能减少机密泄露时对业务的影响。 | |
| AC.1.001 | 仅允许授权用户、代表授权用户行事的进程或设备（包括其他信息系统）访问信息系统。 | 确保 AWS Systems Manager (SSM) 文档不公开，因为这可能会允许意外访问您的 SSM 文档。公开 SSM 文档可能会公开有关您的账户、资源和内部流程的信息。 | |
| AC.1.001 | 仅允许授权用户、代表授权用户行事的进程或设备（包括其他信息系统）访问信息系统。 | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以通过对 AWS 资源的入口和出口网络流量进行有状态筛选，从而帮助管理网络访问。限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。 | |
| AC.1.001 | 仅允许授权用户、代表授权用户行事的进程或设备（包括其他信息系统）访问信息系统。 | 通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。 | |
| AC.1.001 | 仅允许授权用户、代表授权用户行事的进程或设备（包括其他信息系统）访问信息系统。 | 通过确保 Amazon OpenSearch Service 域位于 Amazon Virtual Private Cloud (Amazon VPC) 中，来管理对 AWS 云的访问。Amazon VPC 中的 Amazon OpenSearch Service 域可实现 Amazon OpenSearch Service 与 Amazon VPC 中其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。 | |
| AC.1.002 | 将信息系统的访问限制在授权用户获准执行的事务类型和功能范围内。 | 通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| AC.1.002 | 将信息系统的访问限制在授权用户获准执行的事务类型和功能范围内。 | 通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| AC.1.002 | 将信息系统的访问限制在授权用户获准执行的事务类型和功能范围内。 | 确保启用实例元数据服务版本 2 (IMDSv2) 方法，以帮助保护对 Amazon Elastic Compute Cloud (Amazon EC2) 实例元数据的访问和控制。IMDSv2 方法使用基于会话的控制。使用 IMDSv2，可以实施控制来限制对实例元数据的更改。 | |
| AC.1.002 | 将信息系统的访问限制在授权用户获准执行的事务类型和功能范围内。 | 通过确保 Amazon Elastic Compute Cloud (Amazon EC2) 实例无法公开访问来管理对 AWS 云的访问。Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| AC.1.002 | 将信息系统的访问限制在授权用户获准执行的事务类型和功能范围内。 | 通过确保 Amazon OpenSearch Service (OpenSearch Service) 域位于 Amazon Virtual Private Cloud (Amazon VPC) 中，来管理对 AWS 云的访问。Amazon VPC 中的 OpenSearch Service 域可实现 Amazon OpenSearch Service 与 Amazon VPC 中其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。 | |
| AC.1.002 | 将信息系统的访问限制在授权用户获准执行的事务类型和功能范围内。 | 通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心 (KDC)。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。 | |
| AC.1.002 | 将信息系统的访问限制在授权用户获准执行的事务类型和功能范围内。 | 通过确保 Amazon EMR 集群主节点无法公开访问来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| AC.1.002 | 将信息系统的访问限制在授权用户获准执行的事务类型和功能范围内。 | 确保 AWS Identity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有控制系统和资产访问的内联策略。AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。 | |
| AC.1.002 | 将信息系统的访问限制在授权用户获准执行的事务类型和功能范围内。 | 身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过 NIST SP 800-63 和针对密码强度的 AWS 基础安全最佳实践标准规定的要求。此规则允许您为 IAM 密码策略选择设置 RequireUppercaseCharacters（AWS 基础安全最佳实践值：true）、RequireLowercaseCharacters（AWS 基础安全最佳实践值：true）、RequireSymbols（AWS 基础安全最佳实践值：true）、RequireNumbers（AWS 基础安全最佳实践值：true）、MinimumPasswordLength（AWS 基础安全最佳实践值：14）、PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）。实际值应反映贵组织的策略。 | |
| AC.1.002 | 将信息系统的访问限制在授权用户获准执行的事务类型和功能范围内。 | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 "Effect": "Allow" with "Action": "*" over "Resource": "*"。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| AC.1.002 | 将信息系统的访问限制在授权用户获准执行的事务类型和功能范围内。 | 通过检查根用户的 AWS Identity and Access Management (IAM) 角色是否拥有访问密钥，可以控制对系统和资产的访问。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户来帮助纳入最少功能原则。 | |
| AC.1.002 | 将信息系统的访问限制在授权用户获准执行的事务类型和功能范围内。 | AWS Identity and Access Management (IAM) 可通过确保用户至少属于一个组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| AC.1.002 | 将信息系统的访问限制在授权用户获准执行的事务类型和功能范围内。 | 启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证 (MFA)。MFA 在登录凭证之上添加一层额外的保护。要求用户进行多重身份验证，从而减少账户被盗事件。 | |
| AC.1.002 | 将信息系统的访问限制在授权用户获准执行的事务类型和功能范围内。 | 此规则可确保仅将 AWS Identity and Access Management (IAM) 策略附加到组或角色，以控制对系统和资产的访问。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。 | |
| AC.1.002 | 将信息系统的访问限制在授权用户获准执行的事务类型和功能范围内。 | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可对 AWS 资源的入口和出口网络流量进行有状态过滤，从而帮助管理网络访问。不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。 | |
| AC.1.002 | 将信息系统的访问限制在授权用户获准执行的事务类型和功能范围内。 | 在 Amazon Virtual Private Cloud (Amazon VPC) 内部署 Amazon Elastic Compute Cloud (Amazon EC2) 实例，以实现实例与 Amazon VPC 内其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。 | |
| AC.1.002 | 将信息系统的访问限制在授权用户获准执行的事务类型和功能范围内。 | 通过确保互联网网关仅连接到经过授权的 Amazon Virtual Private Cloud (Amazon VPC)，来管理对 AWS 云中资源的访问。互联网网关允许进出 Amazon VPC 的双向互联网访问，这可能会导致未经授权访问 Amazon VPC 资源。 | |
| AC.1.002 | 将信息系统的访问限制在授权用户获准执行的事务类型和功能范围内。 | 通过确保 AWS Lambda 函数无法公开访问，来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。 | |
| AC.1.002 | 将信息系统的访问限制在授权用户获准执行的事务类型和功能范围内。 | 在 Amazon Virtual Private Cloud (Amazon VPC) 中部署 AWS Lambda 函数，以便在 Amazon VPC 中的函数和其他服务之间进行安全通信。使用此配置时，不需要互联网网关、NAT 设备或 VPN 连接。AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。为了正确管理访问权限，应将 AWS Lambda 函数分配给 VPC。 | |
| AC.1.002 | 将信息系统的访问限制在授权用户获准执行的事务类型和功能范围内。 | 通过确保为所有拥有控制台密码的 AWS Identity and Access Management (IAM) 用户启用 MFA，来管理对 AWS 云中资源的访问。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。 | |
| AC.1.002 | 将信息系统的访问限制在授权用户获准执行的事务类型和功能范围内。 | 通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| AC.1.002 | 将信息系统的访问限制在授权用户获准执行的事务类型和功能范围内。 | 通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| AC.1.002 | 将信息系统的访问限制在授权用户获准执行的事务类型和功能范围内。 | 通过确保 Amazon Redshift 集群不是公有的，来管理对 AWS 云中资源的访问。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| AC.1.002 | 将信息系统的访问限制在授权用户获准执行的事务类型和功能范围内。 | 通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。 | |
| AC.1.002 | 将信息系统的访问限制在授权用户获准执行的事务类型和功能范围内。 | 通过确保为根用户启用硬件 MFA，来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户进行 MFA，可以减少 AWS 账户被盗的事件。 | |
| AC.1.002 | 将信息系统的访问限制在授权用户获准执行的事务类型和功能范围内。 | 通过确保为根用户启用 MFA，来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户进行 MFA，可以减少 AWS 账户被盗的事件。 | |
| AC.1.002 | 将信息系统的访问限制在授权用户获准执行的事务类型和功能范围内。 | 通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置 ignorePublicAcls（Config 默认：True）、blockPublicPolicy（Config 默认值：True）、blockPublicAcls（Config 默认值：True）和 restrictPublicBuckets 参数（Config 默认值：True）。实际值应反映贵组织的策略。 | |
| AC.1.002 | 将信息系统的访问限制在授权用户获准执行的事务类型和功能范围内。 | 通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。 | |
| AC.1.002 | 将信息系统的访问限制在授权用户获准执行的事务类型和功能范围内。 | 通过启用 s3_ bucket_policy_grantee_check 来管理对 AWS 云的访问权限。此规则检查 Amazon S3 存储桶授予的访问权限是否受任何 AWS 委托人、联合身份用户、服务委托人、IP 地址或您提供的 Amazon Virtual Private Cloud (Amazon VPC) ID 的限制。 | |
| AC.1.002 | 将信息系统的访问限制在授权用户获准执行的事务类型和功能范围内。 | 通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。 | |
| AC.1.002 | 将信息系统的访问限制在授权用户获准执行的事务类型和功能范围内。 | 通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。 | |
| AC.1.002 | 将信息系统的访问限制在授权用户获准执行的事务类型和功能范围内。 | 通过确保 Amazon SageMaker 笔记本不允许直接访问互联网，管理对 AWS 云中资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。 | |
| AC.1.002 | 将信息系统的访问限制在授权用户获准执行的事务类型和功能范围内。 | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以通过对 AWS 资源的入口和出口网络流量进行有状态筛选，从而帮助管理网络访问。限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。 | |
| AC.1.002 | 将信息系统的访问限制在授权用户获准执行的事务类型和功能范围内。 | 通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。 | |
| AC.1.002 | 将信息系统的访问限制在授权用户获准执行的事务类型和功能范围内。 | 通过确保 Amazon OpenSearch Service 域位于 Amazon Virtual Private Cloud (Amazon VPC) 中，来管理对 AWS 云的访问。Amazon VPC 中的 Amazon OpenSearch Service 域可实现 Amazon OpenSearch Service 与 Amazon VPC 中其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。 | |
| AC.1.003 | 验证和控制/限制外部信息系统的连接和使用。 | 确保在 Elastic Load Balancers (ELB) 上启用 AWS WAF，以帮助保护 Web 应用程序。WAF 有助于保护您的 Web 应用程序或 API 免遭常见 Web 漏洞的侵害。这些 Web 漏洞可能会影响可用性、损害安全性或消耗环境中过多的资源。 | |
| AC.1.003 | 验证和控制/限制外部信息系统的连接和使用。 | 如果您使用公有 IP 地址配置网络接口，则可以从互联网访问这些网络接口的相关资源。EC2 资源不应可公开访问，因为这可能会允许意外地访问您的应用程序或服务器。 | |
| AC.1.003 | 验证和控制/限制外部信息系统的连接和使用。 | 通过确保 Amazon Elastic Compute Cloud (Amazon EC2) 实例无法公开访问来管理对 AWS 云的访问。Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| AC.1.003 | 验证和控制/限制外部信息系统的连接和使用。 | 通过确保 Amazon EMR 集群主节点无法公开访问来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| AC.1.003 | 验证和控制/限制外部信息系统的连接和使用。 | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可对 AWS 资源的入口和出口网络流量进行有状态过滤，从而帮助管理网络访问。不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。 | |
| AC.1.003 | 验证和控制/限制外部信息系统的连接和使用。 | 通过确保互联网网关仅连接到经过授权的 Amazon Virtual Private Cloud (Amazon VPC)，来管理对 AWS 云中资源的访问。互联网网关允许进出 Amazon VPC 的双向互联网访问，这可能会导致未经授权访问 Amazon VPC 资源。 | |
| AC.1.003 | 验证和控制/限制外部信息系统的连接和使用。 | 通过确保 AWS Lambda 函数无法公开访问，来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。 | |
| AC.1.003 | 验证和控制/限制外部信息系统的连接和使用。 | 确保 Amazon EC2 路由表中没有指向互联网网关的无限制路由。移除或限制 Amazon VPC 内工作负载的互联网访问可以减少环境中的意外访问。 | |
| AC.1.003 | 验证和控制/限制外部信息系统的连接和使用。 | 通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| AC.1.003 | 验证和控制/限制外部信息系统的连接和使用。 | 通过确保 Amazon Redshift 集群不是公有的，来管理对 AWS 云中资源的访问。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| AC.1.003 | 验证和控制/限制外部信息系统的连接和使用。 | 通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。 | |
| AC.1.003 | 验证和控制/限制外部信息系统的连接和使用。 | 通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置 ignorePublicAcls（Config 默认：True）、blockPublicPolicy（Config 默认值：True）、blockPublicAcls（Config 默认值：True）和 restrictPublicBuckets 参数（Config 默认值：True）。实际值应反映贵组织的策略。 | |
| AC.1.003 | 验证和控制/限制外部信息系统的连接和使用。 | 通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。 | |
| AC.1.003 | 验证和控制/限制外部信息系统的连接和使用。 | 通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。 | |
| AC.1.003 | 验证和控制/限制外部信息系统的连接和使用。 | 通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。 | |
| AC.1.003 | 验证和控制/限制外部信息系统的连接和使用。 | 通过确保 Amazon SageMaker 笔记本不允许直接访问互联网，管理对 AWS 云中资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。 | |
| AC.1.003 | 验证和控制/限制外部信息系统的连接和使用。 | 确保 AWS Systems Manager (SSM) 文档不公开，因为这可能会允许意外访问您的 SSM 文档。公开 SSM 文档可能会公开有关您的账户、资源和内部流程的信息。 | |
| AC.1.003 | 验证和控制/限制外部信息系统的连接和使用。 | 通过确保 Amazon Virtual Private Cloud (VPC) 子网不会自动分配公有 IP 地址，来管理对 AWS 云的访问。Amazon Elastic Compute Cloud (EC2) 实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。 | |
| AC.1.003 | 验证和控制/限制外部信息系统的连接和使用。 | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以通过对 AWS 资源的入口和出口网络流量进行有状态筛选，从而帮助管理网络访问。限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。 | |
| AC.1.003 | 验证和控制/限制外部信息系统的连接和使用。 | 通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。 | |
| AC.2.007 | 采用最低权限原则，包括特定的安全功能和特权账户。 | 通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| AC.2.007 | 采用最低权限原则，包括特定的安全功能和特权账户。 | 通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| AC.2.007 | 采用最低权限原则，包括特定的安全功能和特权账户。 | 确保启用实例元数据服务版本 2 (IMDSv2) 方法，以帮助保护对 Amazon Elastic Compute Cloud (Amazon EC2) 实例元数据的访问和控制。IMDSv2 方法使用基于会话的控制。使用 IMDSv2，可以实施控制来限制对实例元数据的更改。 | |
| AC.2.007 | 采用最低权限原则，包括特定的安全功能和特权账户。 | 通过确保 Amazon Elastic Compute Cloud (Amazon EC2) 实例无法公开访问来管理对 AWS 云的访问。Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| AC.2.007 | 采用最低权限原则，包括特定的安全功能和特权账户。 | 通过确保 Amazon OpenSearch Service (OpenSearch Service) 域位于 Amazon Virtual Private Cloud (Amazon VPC) 中，来管理对 AWS 云的访问。Amazon VPC 中的 OpenSearch Service 域可实现 Amazon OpenSearch Service 与 Amazon VPC 中其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。 | |
| AC.2.007 | 采用最低权限原则，包括特定的安全功能和特权账户。 | 通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心 (KDC)。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。 | |
| AC.2.007 | 采用最低权限原则，包括特定的安全功能和特权账户。 | 通过确保 Amazon EMR 集群主节点无法公开访问来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| AC.2.007 | 采用最低权限原则，包括特定的安全功能和特权账户。 | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对所有 AWS Key Management Service 密钥的阻止操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。该规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms:Decrypt、kms:ReEncryptFrom）。实际值应反映贵组织的策略 | |
| AC.2.007 | 采用最低权限原则，包括特定的安全功能和特权账户。 | AWS Identity and Access Management (IAM) 可以确保 IAM 组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。 | |
| AC.2.007 | 采用最低权限原则，包括特定的安全功能和特权账户。 | 确保 AWS Identity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有允许对所有 AWS Key Management Service 密钥执行阻止操作的内联策略。AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。该规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms:Decrypt、kms:ReEncryptFrom）。实际值应反映贵组织的策略。 | |
| AC.2.007 | 采用最低权限原则，包括特定的安全功能和特权账户。 | 确保 AWS Identity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有控制系统和资产访问的内联策略。AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。 | |
| AC.2.007 | 采用最低权限原则，包括特定的安全功能和特权账户。 | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 "Effect": "Allow" with "Action": "*" over "Resource": "*"。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| AC.2.007 | 采用最低权限原则，包括特定的安全功能和特权账户。 | 确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| AC.2.007 | 采用最低权限原则，包括特定的安全功能和特权账户。 | 通过检查根用户的 AWS Identity and Access Management (IAM) 角色是否拥有访问密钥，可以控制对系统和资产的访问。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户来帮助纳入最少功能原则。 | |
| AC.2.007 | 采用最低权限原则，包括特定的安全功能和特权账户。 | AWS Identity and Access Management (IAM) 可通过确保用户至少属于一个组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| AC.2.007 | 采用最低权限原则，包括特定的安全功能和特权账户。 | 此规则可确保仅将 AWS Identity and Access Management (IAM) 策略附加到组或角色，以控制对系统和资产的访问。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。 | |
| AC.2.007 | 采用最低权限原则，包括特定的安全功能和特权账户。 | 通过确保互联网网关仅连接到经过授权的 Amazon Virtual Private Cloud (Amazon VPC)，来管理对 AWS 云中资源的访问。互联网网关允许进出 Amazon VPC 的双向互联网访问，这可能会导致未经授权访问 Amazon VPC 资源。 | |
| AC.2.007 | 采用最低权限原则，包括特定的安全功能和特权账户。 | 通过确保 AWS Lambda 函数无法公开访问，来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。 | |
| AC.2.007 | 采用最低权限原则，包括特定的安全功能和特权账户。 | 通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| AC.2.007 | 采用最低权限原则，包括特定的安全功能和特权账户。 | 通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| AC.2.007 | 采用最低权限原则，包括特定的安全功能和特权账户。 | 通过确保 Amazon Redshift 集群不是公有的，来管理对 AWS 云中资源的访问。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| AC.2.007 | 采用最低权限原则，包括特定的安全功能和特权账户。 | 通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置 ignorePublicAcls（Config 默认：True）、blockPublicPolicy（Config 默认值：True）、blockPublicAcls（Config 默认值：True）和 restrictPublicBuckets 参数（Config 默认值：True）。实际值应反映贵组织的策略。 | |
| AC.2.007 | 采用最低权限原则，包括特定的安全功能和特权账户。 | 通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。 | |
| AC.2.007 | 采用最低权限原则，包括特定的安全功能和特权账户。 | 通过启用 s3_ bucket_policy_grantee_check 来管理对 AWS 云的访问权限。此规则检查 Amazon S3 存储桶授予的访问权限是否受任何 AWS 委托人、联合身份用户、服务委托人、IP 地址或您提供的 Amazon Virtual Private Cloud (Amazon VPC) ID 的限制。 | |
| AC.2.007 | 采用最低权限原则，包括特定的安全功能和特权账户。 | 通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。 | |
| AC.2.007 | 采用最低权限原则，包括特定的安全功能和特权账户。 | 通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。 | |
| AC.2.007 | 采用最低权限原则，包括特定的安全功能和特权账户。 | 通过确保 Amazon SageMaker 笔记本不允许直接访问互联网，管理对 AWS 云中资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。 | |
| AC.2.007 | 采用最低权限原则，包括特定的安全功能和特权账户。 | 确保 AWS Systems Manager (SSM) 文档不公开，因为这可能会允许意外访问您的 SSM 文档。公开 SSM 文档可能会公开有关您的账户、资源和内部流程的信息。 | |
| AC.2.007 | 采用最低权限原则，包括特定的安全功能和特权账户。 | 通过确保 Amazon OpenSearch Service 域位于 Amazon Virtual Private Cloud (Amazon VPC) 中，来管理对 AWS 云的访问。Amazon VPC 中的 Amazon OpenSearch Service 域可实现 Amazon OpenSearch Service 与 Amazon VPC 中其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。 | |
| AC.2.008 | 访问非安全功能时，请使用非特权账户或角色。 | 通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心 (KDC)。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。 | |
| AC.2.008 | 访问非安全功能时，请使用非特权账户或角色。 | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对所有 AWS Key Management Service 密钥的阻止操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。该规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms:Decrypt、kms:ReEncryptFrom）。实际值应反映贵组织的策略 | |
| AC.2.008 | 访问非安全功能时，请使用非特权账户或角色。 | AWS Identity and Access Management (IAM) 可以确保 IAM 组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。 | |
| AC.2.008 | 访问非安全功能时，请使用非特权账户或角色。 | 确保 AWS Identity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有允许对所有 AWS Key Management Service 密钥执行阻止操作的内联策略。AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。该规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms:Decrypt、kms:ReEncryptFrom）。实际值应反映贵组织的策略。 | |
| AC.2.008 | 访问非安全功能时，请使用非特权账户或角色。 | 确保 AWS Identity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有控制系统和资产访问的内联策略。AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。 | |
| AC.2.008 | 访问非安全功能时，请使用非特权账户或角色。 | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 "Effect": "Allow" with "Action": "*" over "Resource": "*"。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| AC.2.008 | 访问非安全功能时，请使用非特权账户或角色。 | 确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| AC.2.008 | 访问非安全功能时，请使用非特权账户或角色。 | 通过检查根用户的 AWS Identity and Access Management (IAM) 角色是否拥有访问密钥，可以控制对系统和资产的访问。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户来帮助纳入最少功能原则。 | |
| AC.2.008 | 访问非安全功能时，请使用非特权账户或角色。 | AWS Identity and Access Management (IAM) 可通过确保用户至少属于一个组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| AC.2.008 | 访问非安全功能时，请使用非特权账户或角色。 | 此规则可确保仅将 AWS Identity and Access Management (IAM) 策略附加到组或角色，以控制对系统和资产的访问。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。 | |
| AC.2.013 | 监视和控制远程访问会话。 | 当指标在指定数量的评估期超过阈值时，Amazon CloudWatch 会发出警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired（Config 默认值：True）、insufficientDataActionRequired（Config 默认值：True）、okActionRequired（Config 默认值：False）的值。实际值应反映您的环境的警报操作。 | |
| AC.2.013 | 监视和控制远程访问会话。 | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您的 AWS 账户中 API 调用活动的详细信息。 | |
| AC.2.013 | 监视和控制远程访问会话。 | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。 | |
| AC.2.013 | 监视和控制远程访问会话。 | AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。AWSSecurity Hub 可以聚合、组织和优先处理来自多个 AWS 服务的安全告警或结果。其中一些服务包括 Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management (IAM) Access Analyzer、AWS Firewall Manager 和 AWS 合作伙伴解决方案。 | |
| AC.2.016 | 根据批准的授权控制 CUI 流。 | 确保在 Elastic Load Balancers (ELB) 上启用 AWS WAF，以帮助保护 Web 应用程序。WAF 有助于保护您的 Web 应用程序或 API 免遭常见 Web 漏洞的侵害。这些 Web 漏洞可能会影响可用性、损害安全性或消耗环境中过多的资源。 | |
| AC.2.016 | 根据批准的授权控制 CUI 流。 | 通过 AWS WAF，您可以配置一组规则（称为 Web 访问控制列表，即 Web ACL），基于可自定义的 Web 安全规则以及您定义的条件，允许、阻止 Web 请求或统计 Web 请求数量。确保您的 Amazon API Gateway 阶段与某个 WAF Web ACL 关联，以保护其免受恶意攻击 | |
| AC.2.016 | 根据批准的授权控制 CUI 流。 | 如果您使用公有 IP 地址配置网络接口，则可以从互联网访问这些网络接口的相关资源。EC2 资源不应可公开访问，因为这可能会允许意外地访问您的应用程序或服务器。 | |
| AC.2.016 | 根据批准的授权控制 CUI 流。 | 通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| AC.2.016 | 根据批准的授权控制 CUI 流。 | 通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| AC.2.016 | 根据批准的授权控制 CUI 流。 | 通过确保 Amazon Elastic Compute Cloud (Amazon EC2) 实例无法公开访问来管理对 AWS 云的访问。Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| AC.2.016 | 根据批准的授权控制 CUI 流。 | 通过确保 Amazon OpenSearch Service (OpenSearch Service) 域位于 Amazon Virtual Private Cloud (Amazon VPC) 中，来管理对 AWS 云的访问。Amazon VPC 中的 OpenSearch Service 域可实现 Amazon OpenSearch Service 与 Amazon VPC 中其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。 | |
| AC.2.016 | 根据批准的授权控制 CUI 流。 | 通过确保 Amazon EMR 集群主节点无法公开访问来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| AC.2.016 | 根据批准的授权控制 CUI 流。 | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可对 AWS 资源的入口和出口网络流量进行有状态过滤，从而帮助管理网络访问。不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。 | |
| AC.2.016 | 根据批准的授权控制 CUI 流。 | 在 Amazon Virtual Private Cloud (Amazon VPC) 内部署 Amazon Elastic Compute Cloud (Amazon EC2) 实例，以实现实例与 Amazon VPC 内其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。 | |
| AC.2.016 | 根据批准的授权控制 CUI 流。 | 通过确保互联网网关仅连接到经过授权的 Amazon Virtual Private Cloud (Amazon VPC)，来管理对 AWS 云中资源的访问。互联网网关允许进出 Amazon VPC 的双向互联网访问，这可能会导致未经授权访问 Amazon VPC 资源。 | |
| AC.2.016 | 根据批准的授权控制 CUI 流。 | 通过确保 AWS Lambda 函数无法公开访问，来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。 | |
| AC.2.016 | 根据批准的授权控制 CUI 流。 | 在 Amazon Virtual Private Cloud (Amazon VPC) 中部署 AWS Lambda 函数，以便在 Amazon VPC 中的函数和其他服务之间进行安全通信。使用此配置时，不需要互联网网关、NAT 设备或 VPN 连接。AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。为了正确管理访问权限，应将 AWS Lambda 函数分配给 VPC。 | |
| AC.2.016 | 根据批准的授权控制 CUI 流。 | 确保 Amazon EC2 路由表中没有指向互联网网关的无限制路由。移除或限制 Amazon VPC 内工作负载的互联网访问可以减少环境中的意外访问。 | |
| AC.2.016 | 根据批准的授权控制 CUI 流。 | 通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| AC.2.016 | 根据批准的授权控制 CUI 流。 | 通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| AC.2.016 | 根据批准的授权控制 CUI 流。 | 通过确保 Amazon Redshift 集群不是公有的，来管理对 AWS 云中资源的访问。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| AC.2.016 | 根据批准的授权控制 CUI 流。 | 通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。 | |
| AC.2.016 | 根据批准的授权控制 CUI 流。 | 通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置 ignorePublicAcls（Config 默认：True）、blockPublicPolicy（Config 默认值：True）、blockPublicAcls（Config 默认值：True）和 restrictPublicBuckets 参数（Config 默认值：True）。实际值应反映贵组织的策略。 | |
| AC.2.016 | 根据批准的授权控制 CUI 流。 | 通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。 | |
| AC.2.016 | 根据批准的授权控制 CUI 流。 | 通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。 | |
| AC.2.016 | 根据批准的授权控制 CUI 流。 | 通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。 | |
| AC.2.016 | 根据批准的授权控制 CUI 流。 | 通过确保 Amazon SageMaker 笔记本不允许直接访问互联网，管理对 AWS 云中资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。 | |
| AC.2.016 | 根据批准的授权控制 CUI 流。 | 确保 AWS Systems Manager (SSM) 文档不公开，因为这可能会允许意外访问您的 SSM 文档。公开 SSM 文档可能会公开有关您的账户、资源和内部流程的信息。 | |
| AC.2.016 | 根据批准的授权控制 CUI 流。 | 通过确保 Amazon Virtual Private Cloud (VPC) 子网不会自动分配公有 IP 地址，来管理对 AWS 云的访问。Amazon Elastic Compute Cloud (EC2) 实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。 | |
| AC.2.016 | 根据批准的授权控制 CUI 流。 | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以通过对 AWS 资源的入口和出口网络流量进行有状态筛选，从而帮助管理网络访问。限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。 | |
| AC.2.016 | 根据批准的授权控制 CUI 流。 | 通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。 | |
| AC.2.016 | 根据批准的授权控制 CUI 流。 | 通过确保 Amazon OpenSearch Service 域位于 Amazon Virtual Private Cloud (Amazon VPC) 中，来管理对 AWS 云的访问。Amazon VPC 中的 Amazon OpenSearch Service 域可实现 Amazon OpenSearch Service 与 Amazon VPC 中其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。 | |
| AC.3.014 | 使用加密机制来保护远程访问会话的机密性。 | 通过确保 X509 证书由 AWS ACM 颁发，确保网络完整性得到保护。这些证书必须有效且未过期。此规则要求为 daysToExpiration 设置一个值（AWS 基础安全最佳实践值：90）。实际值应反映贵组织的策略。 | |
| AC.3.014 | 使用加密机制来保护远程访问会话的机密性。 | 为帮助保护传输中的数据，请确保应用负载均衡器自动将未加密的 HTTP 请求重定向到 HTTPS。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| AC.3.014 | 使用加密机制来保护远程访问会话的机密性。 | 确保 Amazon API Gateway REST API 阶段配置了 SSL 证书，以允许后端系统验证请求来自 API Gateway。 | |
| AC.3.014 | 使用加密机制来保护远程访问会话的机密性。 | 确保 Amazon OpenSearch Service 启用了节点到节点加密。利用节点到节点加密，将能够为 Amazon Virtual Private Cloud (Amazon VPC) 内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| AC.3.014 | 使用加密机制来保护远程访问会话的机密性。 | 由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certificate Manager 通过 AWS 服务和内部资源管理、预置和部署公有和私有 SSL/TLS 证书。 | |
| AC.3.014 | 使用加密机制来保护远程访问会话的机密性。 | 由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certificate Manager 通过 AWS 服务和内部资源管理、预置和部署公有和私有 SSL/TLS 证书。 | |
| AC.3.014 | 使用加密机制来保护远程访问会话的机密性。 | 确保您的弹性负载均衡器 (ELB) 配置了 SSL 或 HTTPS 侦听器。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| AC.3.014 | 使用加密机制来保护远程访问会话的机密性。 | 确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| AC.3.014 | 使用加密机制来保护远程访问会话的机密性。 | 为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶需要请求使用安全套接字层 (SSL)。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| AC.3.014 | 使用加密机制来保护远程访问会话的机密性。 | 确保 Amazon OpenSearch Service 启用了节点到节点加密。利用节点到节点加密，将能够为 Amazon Virtual Private Cloud (Amazon VPC) 内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| AC.3.017 | 分离个人职责，在不串通的情况下降低恶意活动的风险。 | 通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心 (KDC)。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。 | |
| AC.3.017 | 分离个人职责，在不串通的情况下降低恶意活动的风险。 | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对所有 AWS Key Management Service 密钥的阻止操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。该规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms:Decrypt、kms:ReEncryptFrom）。实际值应反映贵组织的策略 | |
| AC.3.017 | 分离个人职责，在不串通的情况下降低恶意活动的风险。 | AWS Identity and Access Management (IAM) 可以确保 IAM 组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。 | |
| AC.3.017 | 分离个人职责，在不串通的情况下降低恶意活动的风险。 | 确保 AWS Identity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有控制系统和资产访问的内联策略。AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。 | |
| AC.3.017 | 分离个人职责，在不串通的情况下降低恶意活动的风险。 | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 "Effect": "Allow" with "Action": "*" over "Resource": "*"。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| AC.3.017 | 分离个人职责，在不串通的情况下降低恶意活动的风险。 | 确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| AC.3.017 | 分离个人职责，在不串通的情况下降低恶意活动的风险。 | 通过检查根用户的 AWS Identity and Access Management (IAM) 角色是否拥有访问密钥，可以控制对系统和资产的访问。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户来帮助纳入最少功能原则。 | |
| AC.3.017 | 分离个人职责，在不串通的情况下降低恶意活动的风险。 | AWS Identity and Access Management (IAM) 可通过确保用户至少属于一个组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| AC.3.017 | 分离个人职责，在不串通的情况下降低恶意活动的风险。 | 此规则可确保仅将 AWS Identity and Access Management (IAM) 策略附加到组或角色，以控制对系统和资产的访问。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。 | |
| AC.3.017 | 分离个人职责，在不串通的情况下降低恶意活动的风险。 | 通过启用 s3_ bucket_policy_grantee_check 来管理对 AWS 云的访问权限。此规则检查 Amazon S3 存储桶授予的访问权限是否受任何 AWS 委托人、联合身份用户、服务委托人、IP 地址或您提供的 Amazon Virtual Private Cloud (Amazon VPC) ID 的限制。 | |
| AC.3.018 | 防止非特权用户执行特权功能，并在审计日志中捕获此类功能的执行情况。 | API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。 | |
| AC.3.018 | 防止非特权用户执行特权功能，并在审计日志中捕获此类功能的执行情况。 | 收集 Simple Storage Service (Amazon S3) 数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。 | |
| AC.3.018 | 防止非特权用户执行特权功能，并在审计日志中捕获此类功能的执行情况。 | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您的 AWS 账户中 API 调用活动的详细信息。 | |
| AC.3.018 | 防止非特权用户执行特权功能，并在审计日志中捕获此类功能的执行情况。 | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用 AWS 服务的用户和 AWS 账户、发出调用的源 IP 地址以及调用的时间。捕获的数据的详细信息可在 AWS CloudTrail“记录内容”中查看。 | |
| AC.3.018 | 防止非特权用户执行特权功能，并在审计日志中捕获此类功能的执行情况。 | Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息 (例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。 | |
| AC.3.018 | 防止非特权用户执行特权功能，并在审计日志中捕获此类功能的执行情况。 | 通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心 (KDC)。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。 | |
| AC.3.018 | 防止非特权用户执行特权功能，并在审计日志中捕获此类功能的执行情况。 | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对所有 AWS Key Management Service 密钥的阻止操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。该规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms:Decrypt、kms:ReEncryptFrom）。实际值应反映贵组织的策略 | |
| AC.3.018 | 防止非特权用户执行特权功能，并在审计日志中捕获此类功能的执行情况。 | AWS Identity and Access Management (IAM) 可以确保 IAM 组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。 | |
| AC.3.018 | 防止非特权用户执行特权功能，并在审计日志中捕获此类功能的执行情况。 | 确保 AWS Identity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有允许对所有 AWS Key Management Service 密钥执行阻止操作的内联策略。AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。该规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms:Decrypt、kms:ReEncryptFrom）。实际值应反映贵组织的策略。 | |
| AC.3.018 | 防止非特权用户执行特权功能，并在审计日志中捕获此类功能的执行情况。 | 确保 AWS Identity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有控制系统和资产访问的内联策略。AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。 | |
| AC.3.018 | 防止非特权用户执行特权功能，并在审计日志中捕获此类功能的执行情况。 | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 "Effect": "Allow" with "Action": "*" over "Resource": "*"。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| AC.3.018 | 防止非特权用户执行特权功能，并在审计日志中捕获此类功能的执行情况。 | 确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| AC.3.018 | 防止非特权用户执行特权功能，并在审计日志中捕获此类功能的执行情况。 | 通过检查根用户的 AWS Identity and Access Management (IAM) 角色是否拥有访问密钥，可以控制对系统和资产的访问。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户来帮助纳入最少功能原则。 | |
| AC.3.018 | 防止非特权用户执行特权功能，并在审计日志中捕获此类功能的执行情况。 | AWS Identity and Access Management (IAM) 可通过确保用户至少属于一个组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| AC.3.018 | 防止非特权用户执行特权功能，并在审计日志中捕获此类功能的执行情况。 | 此规则可确保仅将 AWS Identity and Access Management (IAM) 策略附加到组或角色，以控制对系统和资产的访问。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。 | |
| AC.3.018 | 防止非特权用户执行特权功能，并在审计日志中捕获此类功能的执行情况。 | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外，当 AWS 推出新区域时，CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | |
| AC.3.018 | 防止非特权用户执行特权功能，并在审计日志中捕获此类功能的执行情况。 | 为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service (Amazon RDS) 日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。 | |
| AC.3.018 | 防止非特权用户执行特权功能，并在审计日志中捕获此类功能的执行情况。 | Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | |
| AC.3.018 | 防止非特权用户执行特权功能，并在审计日志中捕获此类功能的执行情况。 | 通过启用 s3_ bucket_policy_grantee_check 来管理对 AWS 云的访问权限。此规则检查 Amazon S3 存储桶授予的访问权限是否受任何 AWS 委托人、联合身份用户、服务委托人、IP 地址或您提供的 Amazon Virtual Private Cloud (Amazon VPC) ID 的限制。 | |
| AC.3.018 | 防止非特权用户执行特权功能，并在审计日志中捕获此类功能的执行情况。 | 为了帮助在您的环境中进行日志记录和监控，请在区域和全局 Web ACL 上启用 AWS WAF (V2) 日志记录。AWSWAF 日志记录提供有关 Web ACL 分析的流量的详细信息。日志记录 AWS 接收来自 AWS 资源的请求的时间，有关请求的详细信息，以及每个请求所匹配的规则的操作。 | |
| AC.4.023 | 控制联网系统上安全域之间的信息流。 | 确保在 Elastic Load Balancers (ELB) 上启用 AWS WAF，以帮助保护 Web 应用程序。WAF 有助于保护您的 Web 应用程序或 API 免遭常见 Web 漏洞的侵害。这些 Web 漏洞可能会影响可用性、损害安全性或消耗环境中过多的资源。 | |
| AC.4.023 | 控制联网系统上安全域之间的信息流。 | 通过 AWS WAF，您可以配置一组规则（称为 Web 访问控制列表，即 Web ACL），基于可自定义的 Web 安全规则以及您定义的条件，允许、阻止 Web 请求或统计 Web 请求数量。确保您的 Amazon API Gateway 阶段与某个 WAF Web ACL 关联，以保护其免受恶意攻击 | |
| AC.4.023 | 控制联网系统上安全域之间的信息流。 | 如果您使用公有 IP 地址配置网络接口，则可以从互联网访问这些网络接口的相关资源。EC2 资源不应可公开访问，因为这可能会允许意外地访问您的应用程序或服务器。 | |
| AC.4.023 | 控制联网系统上安全域之间的信息流。 | 通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| AC.4.023 | 控制联网系统上安全域之间的信息流。 | 通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| AC.4.023 | 控制联网系统上安全域之间的信息流。 | 通过确保 Amazon Elastic Compute Cloud (Amazon EC2) 实例无法公开访问来管理对 AWS 云的访问。Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| AC.4.023 | 控制联网系统上安全域之间的信息流。 | 通过确保 Amazon OpenSearch Service (OpenSearch Service) 域位于 Amazon Virtual Private Cloud (Amazon VPC) 中，来管理对 AWS 云的访问。Amazon VPC 中的 OpenSearch Service 域可实现 Amazon OpenSearch Service 与 Amazon VPC 中其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。 | |
| AC.4.023 | 控制联网系统上安全域之间的信息流。 | 通过确保 Amazon EMR 集群主节点无法公开访问来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| AC.4.023 | 控制联网系统上安全域之间的信息流。 | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可对 AWS 资源的入口和出口网络流量进行有状态过滤，从而帮助管理网络访问。不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。 | |
| AC.4.023 | 控制联网系统上安全域之间的信息流。 | 在 Amazon Virtual Private Cloud (Amazon VPC) 内部署 Amazon Elastic Compute Cloud (Amazon EC2) 实例，以实现实例与 Amazon VPC 内其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。 | |
| AC.4.023 | 控制联网系统上安全域之间的信息流。 | 通过确保互联网网关仅连接到经过授权的 Amazon Virtual Private Cloud (Amazon VPC)，来管理对 AWS 云中资源的访问。互联网网关允许进出 Amazon VPC 的双向互联网访问，这可能会导致未经授权访问 Amazon VPC 资源。 | |
| AC.4.023 | 控制联网系统上安全域之间的信息流。 | 通过确保 AWS Lambda 函数无法公开访问，来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。 | |
| AC.4.023 | 控制联网系统上安全域之间的信息流。 | 在 Amazon Virtual Private Cloud (Amazon VPC) 中部署 AWS Lambda 函数，以便在 Amazon VPC 中的函数和其他服务之间进行安全通信。使用此配置时，不需要互联网网关、NAT 设备或 VPN 连接。AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。为了正确管理访问权限，应将 AWS Lambda 函数分配给 VPC。 | |
| AC.4.023 | 控制联网系统上安全域之间的信息流。 | 确保 Amazon EC2 路由表中没有指向互联网网关的无限制路由。移除或限制 Amazon VPC 内工作负载的互联网访问可以减少环境中的意外访问。 | |
| AC.4.023 | 控制联网系统上安全域之间的信息流。 | 通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| AC.4.023 | 控制联网系统上安全域之间的信息流。 | 通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| AC.4.023 | 控制联网系统上安全域之间的信息流。 | 通过确保 Amazon Redshift 集群不是公有的，来管理对 AWS 云中资源的访问。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| AC.4.023 | 控制联网系统上安全域之间的信息流。 | 通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。 | |
| AC.4.023 | 控制联网系统上安全域之间的信息流。 | 通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置 ignorePublicAcls（Config 默认：True）、blockPublicPolicy（Config 默认值：True）、blockPublicAcls（Config 默认值：True）和 restrictPublicBuckets 参数（Config 默认值：True）。实际值应反映贵组织的策略。 | |
| AC.4.023 | 控制联网系统上安全域之间的信息流。 | 通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。 | |
| AC.4.023 | 控制联网系统上安全域之间的信息流。 | 通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。 | |
| AC.4.023 | 控制联网系统上安全域之间的信息流。 | 通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。 | |
| AC.4.023 | 控制联网系统上安全域之间的信息流。 | 通过确保 Amazon SageMaker 笔记本不允许直接访问互联网，管理对 AWS 云中资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。 | |
| AC.4.023 | 控制联网系统上安全域之间的信息流。 | 确保 AWS Systems Manager (SSM) 文档不公开，因为这可能会允许意外访问您的 SSM 文档。公开 SSM 文档可能会公开有关您的账户、资源和内部流程的信息。 | |
| AC.4.023 | 控制联网系统上安全域之间的信息流。 | 通过确保 Amazon Virtual Private Cloud (VPC) 子网不会自动分配公有 IP 地址，来管理对 AWS 云的访问。Amazon Elastic Compute Cloud (EC2) 实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。 | |
| AC.4.023 | 控制联网系统上安全域之间的信息流。 | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以通过对 AWS 资源的入口和出口网络流量进行有状态筛选，从而帮助管理网络访问。限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。 | |
| AC.4.023 | 控制联网系统上安全域之间的信息流。 | 通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。 | |
| AC.4.023 | 控制联网系统上安全域之间的信息流。 | 通过确保 Amazon OpenSearch Service 域位于 Amazon Virtual Private Cloud (Amazon VPC) 中，来管理对 AWS 云的访问。Amazon VPC 中的 Amazon OpenSearch Service 域可实现 Amazon OpenSearch Service 与 Amazon VPC 中其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。 | |
| AC.5.024 | 识别并降低与网络连接的未识别无线接入点相关的风险。 | 此规则可确保 Amazon Virtual Private Cloud (VPC) 网络访问控制列表正在使用中。监控未使用的网络访问控制列表有助于准确清点和管理您的环境。 | |
| AM.4.226 | 利用功能来发现和识别清单中具有特定组件属性（例如固件级别、操作系统类型）的系统。 | 利用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 实例，可以清点组织中的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发布者和版本以及有关您的环境的其他详细信息。 | |
| AM.4.226 | 利用功能来发现和识别清单中具有特定组件属性（例如固件级别、操作系统类型）的系统。 | 使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。AWSSystems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。 | |
| AM.4.226 | 利用功能来发现和识别清单中具有特定组件属性（例如固件级别、操作系统类型）的系统。 | 启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。此规则根据贵组织的政策和程序的要求检查 AWS Systems Manager 中的 Amazon EC2 实例补丁是否合规。 | |
| AU.2.041 | 确保每个系统用户的行为可以唯一追踪到这些用户，以便追究其行为责任。 | API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。 | |
| AU.2.041 | 确保每个系统用户的行为可以唯一追踪到这些用户，以便追究其行为责任。 | 收集 Simple Storage Service (Amazon S3) 数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。 | |
| AU.2.041 | 确保每个系统用户的行为可以唯一追踪到这些用户，以便追究其行为责任。 | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您的 AWS 账户中 API 调用活动的详细信息。 | |
| AU.2.041 | 确保每个系统用户的行为可以唯一追踪到这些用户，以便追究其行为责任。 | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用 AWS 服务的用户和 AWS 账户、发出调用的源 IP 地址以及调用的时间。捕获的数据的详细信息可在 AWS CloudTrail“记录内容”中查看。 | |
| AU.2.041 | 确保每个系统用户的行为可以唯一追踪到这些用户，以便追究其行为责任。 | Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息 (例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。 | |
| AU.2.041 | 确保每个系统用户的行为可以唯一追踪到这些用户，以便追究其行为责任。 | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外，当 AWS 推出新区域时，CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | |
| AU.2.041 | 确保每个系统用户的行为可以唯一追踪到这些用户，以便追究其行为责任。 | 为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service (Amazon RDS) 日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。 | |
| AU.2.041 | 确保每个系统用户的行为可以唯一追踪到这些用户，以便追究其行为责任。 | Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | |
| AU.2.041 | 确保每个系统用户的行为可以唯一追踪到这些用户，以便追究其行为责任。 | 为了帮助在您的环境中进行日志记录和监控，请在区域和全局 Web ACL 上启用 AWS WAF (V2) 日志记录。AWSWAF 日志记录提供有关 Web ACL 分析的流量的详细信息。日志记录 AWS 接收来自 AWS 资源的请求的时间，有关请求的详细信息，以及每个请求所匹配的规则的操作。 | |
| AU.2.042 | 根据需要创建并保留系统审计日志和记录，以便对非法或未经授权的系统活动进行监控、分析、调查和报告。 | API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。 | |
| AU.2.042 | 根据需要创建并保留系统审计日志和记录，以便对非法或未经授权的系统活动进行监控、分析、调查和报告。 | 收集 Simple Storage Service (Amazon S3) 数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。 | |
| AU.2.042 | 根据需要创建并保留系统审计日志和记录，以便对非法或未经授权的系统活动进行监控、分析、调查和报告。 | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您的 AWS 账户中 API 调用活动的详细信息。 | |
| AU.2.042 | 根据需要创建并保留系统审计日志和记录，以便对非法或未经授权的系统活动进行监控、分析、调查和报告。 | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用 AWS 服务的用户和 AWS 账户、发出调用的源 IP 地址以及调用的时间。捕获的数据的详细信息可在 AWS CloudTrail“记录内容”中查看。 | |
| AU.2.042 | 根据需要创建并保留系统审计日志和记录，以便对非法或未经授权的系统活动进行监控、分析、调查和报告。 | 确保为日志组保留事件日志数据的最短时间，以帮助进行故障排除和取证调查。缺乏过去的事件日志数据会让重建和识别潜在的恶意事件变得困难。 | |
| AU.2.042 | 根据需要创建并保留系统审计日志和记录，以便对非法或未经授权的系统活动进行监控、分析、调查和报告。 | Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息 (例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。 | |
| AU.2.042 | 根据需要创建并保留系统审计日志和记录，以便对非法或未经授权的系统活动进行监控、分析、调查和报告。 | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外，当 AWS 推出新区域时，CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | |
| AU.2.042 | 根据需要创建并保留系统审计日志和记录，以便对非法或未经授权的系统活动进行监控、分析、调查和报告。 | 为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service (Amazon RDS) 日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。 | |
| AU.2.042 | 根据需要创建并保留系统审计日志和记录，以便对非法或未经授权的系统活动进行监控、分析、调查和报告。 | Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | |
| AU.2.042 | 根据需要创建并保留系统审计日志和记录，以便对非法或未经授权的系统活动进行监控、分析、调查和报告。 | 为了帮助在您的环境中进行日志记录和监控，请在区域和全局 Web ACL 上启用 AWS WAF (V2) 日志记录。AWSWAF 日志记录提供有关 Web ACL 分析的流量的详细信息。日志记录 AWS 接收来自 AWS 资源的请求的时间，有关请求的详细信息，以及每个请求所匹配的规则的操作。 | |
| AU.3.046 | 在审计日志记录过程失败时发出警报。 | 当指标在指定数量的评估期超过阈值时，Amazon CloudWatch 会发出警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired（Config 默认值：True）、insufficientDataActionRequired（Config 默认值：True）、okActionRequired（Config 默认值：False）的值。实际值应反映您的环境的警报操作。 | |
| AU.3.046 | 在审计日志记录过程失败时发出警报。 | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您的 AWS 账户中 API 调用活动的详细信息。 | |
| AU.3.046 | 在审计日志记录过程失败时发出警报。 | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。 | |
| AU.3.046 | 在审计日志记录过程失败时发出警报。 | AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。AWSSecurity Hub 可以聚合、组织和优先处理来自多个 AWS 服务的安全告警或结果。其中一些服务包括 Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management (IAM) Access Analyzer、AWS Firewall Manager 和 AWS 合作伙伴解决方案。 | |
| AU.3.049 | 保护审计信息和审计日志记录工具免遭未经授权的访问、修改和删除。 | 为了帮助保护静态敏感数据，请确保您的 Amazon CloudWatch 日志组启用了加密。 | |
| AU.3.049 | 保护审计信息和审计日志记录工具免遭未经授权的访问、修改和删除。 | 由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 AWS CloudTrail 跟踪启用了加密。 | |
| AU.3.049 | 保护审计信息和审计日志记录工具免遭未经授权的访问、修改和删除。 | 利用 AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 交付后是否被修改、删除或更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这样，要修改、删除或伪造 CloudTrail 日志文件而不被检测到在计算上是不可行的。 | |
| AU.3.049 | 保护审计信息和审计日志记录工具免遭未经授权的访问、修改和删除。 | 通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置 ignorePublicAcls（Config 默认：True）、blockPublicPolicy（Config 默认值：True）、blockPublicAcls（Config 默认值：True）和 restrictPublicBuckets 参数（Config 默认值：True）。实际值应反映贵组织的策略。 | |
| AU.3.049 | 保护审计信息和审计日志记录工具免遭未经授权的访问、修改和删除。 | 确保默认情况下 Amazon Simple Storage Service (Amazon S3) 存储桶已启用锁定。由于 S3 存储桶中可能存在敏感的静态数据，因此应强制执行静态对象锁定以帮助保护这些数据。 | |
| AU.3.049 | 保护审计信息和审计日志记录工具免遭未经授权的访问、修改和删除。 | 通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。 | |
| AU.3.049 | 保护审计信息和审计日志记录工具免遭未经授权的访问、修改和删除。 | 通过启用 s3_ bucket_policy_grantee_check 来管理对 AWS 云的访问权限。此规则检查 Amazon S3 存储桶授予的访问权限是否受任何 AWS 委托人、联合身份用户、服务委托人、IP 地址或您提供的 Amazon Virtual Private Cloud (Amazon VPC) ID 的限制。 | |
| AU.3.049 | 保护审计信息和审计日志记录工具免遭未经授权的访问、修改和删除。 | 通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。 | |
| AU.3.049 | 保护审计信息和审计日志记录工具免遭未经授权的访问、修改和删除。 | 通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。 | |
| AU.3.049 | 保护审计信息和审计日志记录工具免遭未经授权的访问、修改和删除。 | 为了帮助保护静态数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用加密以帮助保护这些数据。 | |
| AU.3.049 | 保护审计信息和审计日志记录工具免遭未经授权的访问、修改和删除。 | 为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶需要请求使用安全套接字层 (SSL)。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| AU.3.049 | 保护审计信息和审计日志记录工具免遭未经授权的访问、修改和删除。 | Amazon Simple Storage Service (Amazon S3) 存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。 | |
| AU.3.049 | 保护审计信息和审计日志记录工具免遭未经授权的访问、修改和删除。 | 确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| AU.3.051 | 关联审计记录审查、分析和报告流程，以便调查和应对非法、未授权、可疑或异常活动的迹象。 | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。 | |
| AU.3.051 | 关联审计记录审查、分析和报告流程，以便调查和应对非法、未授权、可疑或异常活动的迹象。 | AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。AWSSecurity Hub 可以聚合、组织和优先处理来自多个 AWS 服务的安全告警或结果。其中一些服务包括 Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management (IAM) Access Analyzer、AWS Firewall Manager 和 AWS 合作伙伴解决方案。 | |
| AU.4.053 | 自动分析审计日志，以识别关键指标 (TTP) 和/或组织定义的可疑活动并采取行动。 | 当指标在指定数量的评估期超过阈值时，Amazon CloudWatch 会发出警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired（Config 默认值：True）、insufficientDataActionRequired（Config 默认值：True）、okActionRequired（Config 默认值：False）的值。实际值应反映您的环境的警报操作。 | |
| AU.4.053 | 自动分析审计日志，以识别关键指标 (TTP) 和/或组织定义的可疑活动并采取行动。 | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您的 AWS 账户中 API 调用活动的详细信息。 | |
| AU.4.053 | 自动分析审计日志，以识别关键指标 (TTP) 和/或组织定义的可疑活动并采取行动。 | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。 | |
| AU.4.053 | 自动分析审计日志，以识别关键指标 (TTP) 和/或组织定义的可疑活动并采取行动。 | AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。AWSSecurity Hub 可以聚合、组织和优先处理来自多个 AWS 服务的安全告警或结果。其中一些服务包括 Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management (IAM) Access Analyzer、AWS Firewall Manager 和 AWS 合作伙伴解决方案。 | |
| AU.4.054 | 除每台计算机的活动外，还要查看有关广泛活动的审计信息。 | 当指标在指定数量的评估期超过阈值时，Amazon CloudWatch 会发出警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired（Config 默认值：True）、insufficientDataActionRequired（Config 默认值：True）、okActionRequired（Config 默认值：False）的值。实际值应反映您的环境的警报操作。 | |
| AU.4.054 | 除每台计算机的活动外，还要查看有关广泛活动的审计信息。 | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。 | |
| AU.4.054 | 除每台计算机的活动外，还要查看有关广泛活动的审计信息。 | AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。AWSSecurity Hub 可以聚合、组织和优先处理来自多个 AWS 服务的安全告警或结果。其中一些服务包括 Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management (IAM) Access Analyzer、AWS Firewall Manager 和 AWS 合作伙伴解决方案。 | |
| AU.5.055 | 识别未报告审计日志的资产，并确保相应的组织定义系统正在记录日志。 | API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。 | |
| AU.5.055 | 识别未报告审计日志的资产，并确保相应的组织定义系统正在记录日志。 | 收集 Simple Storage Service (Amazon S3) 数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。 | |
| AU.5.055 | 识别未报告审计日志的资产，并确保相应的组织定义系统正在记录日志。 | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您的 AWS 账户中 API 调用活动的详细信息。 | |
| AU.5.055 | 识别未报告审计日志的资产，并确保相应的组织定义系统正在记录日志。 | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用 AWS 服务的用户和 AWS 账户、发出调用的源 IP 地址以及调用的时间。捕获的数据的详细信息可在 AWS CloudTrail“记录内容”中查看。 | |
| AU.5.055 | 识别未报告审计日志的资产，并确保相应的组织定义系统正在记录日志。 | Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息 (例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。 | |
| AU.5.055 | 识别未报告审计日志的资产，并确保相应的组织定义系统正在记录日志。 | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。 | |
| AU.5.055 | 识别未报告审计日志的资产，并确保相应的组织定义系统正在记录日志。 | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外，当 AWS 推出新区域时，CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | |
| AU.5.055 | 识别未报告审计日志的资产，并确保相应的组织定义系统正在记录日志。 | 为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service (Amazon RDS) 日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。 | |
| AU.5.055 | 识别未报告审计日志的资产，并确保相应的组织定义系统正在记录日志。 | Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | |
| AU.5.055 | 识别未报告审计日志的资产，并确保相应的组织定义系统正在记录日志。 | AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。AWSSecurity Hub 可以聚合、组织和优先处理来自多个 AWS 服务的安全告警或结果。其中一些服务包括 Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management (IAM) Access Analyzer、AWS Firewall Manager 和 AWS 合作伙伴解决方案。 | |
| AU.5.055 | 识别未报告审计日志的资产，并确保相应的组织定义系统正在记录日志。 | 为了帮助在您的环境中进行日志记录和监控，请在区域和全局 Web ACL 上启用 AWS WAF (V2) 日志记录。AWSWAF 日志记录提供有关 Web ACL 分析的流量的详细信息。日志记录 AWS 接收来自 AWS 资源的请求的时间，有关请求的详细信息，以及每个请求所匹配的规则的操作。 | |
| CA.3.161 | 持续监控安全控制措施，以确保控制措施的持续有效性。 | 当指标在指定数量的评估期超过阈值时，Amazon CloudWatch 会发出警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired（Config 默认值：True）、insufficientDataActionRequired（Config 默认值：True）、okActionRequired（Config 默认值：False）的值。实际值应反映您的环境的警报操作。 | |
| CA.3.161 | 持续监控安全控制措施，以确保控制措施的持续有效性。 | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。 | |
| CA.3.161 | 持续监控安全控制措施，以确保控制措施的持续有效性。 | AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。AWSSecurity Hub 可以聚合、组织和优先处理来自多个 AWS 服务的安全告警或结果。其中一些服务包括 Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management (IAM) Access Analyzer、AWS Firewall Manager 和 AWS 合作伙伴解决方案。 | |
| CM.2.061 | 在相应的系统开发生命周期内，建立并维护组织系统的基线配置和库存（包括硬件、软件、固件和文档）。 | 利用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 实例，可以清点组织中的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发布者和版本以及有关您的环境的其他详细信息。 | |
| CM.2.061 | 在相应的系统开发生命周期内，建立并维护组织系统的基线配置和库存（包括硬件、软件、固件和文档）。 | 使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。AWSSystems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。 | |
| CM.2.061 | 在相应的系统开发生命周期内，建立并维护组织系统的基线配置和库存（包括硬件、软件、固件和文档）。 | 启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。此规则根据贵组织的政策和程序的要求检查 AWS Systems Manager 中的 Amazon EC2 实例补丁是否合规。 | |
| CM.2.061 | 在相应的系统开发生命周期内，建立并维护组织系统的基线配置和库存（包括硬件、软件、固件和文档）。 | 根据组织的标准，启用此规则可检查 Amazon EC2 实例停止运行的天数是否超过允许的天数，从而帮助进行 Amazon Elastic Compute Cloud (Amazon EC2) 实例的基线配置。 | |
| CM.2.061 | 在相应的系统开发生命周期内，建立并维护组织系统的基线配置和库存（包括硬件、软件、固件和文档）。 | 此规则可确保附加到 Amazon Elastic Compute Cloud (Amazon EC2) 实例上的 Amazon Elastic Block Store 卷在实例终止时标记为删除。如果在附加到 Amazon EBS 卷的实例终止时，卷没有被删除，则可能违反最少功能的概念。 | |
| CM.2.061 | 在相应的系统开发生命周期内，建立并维护组织系统的基线配置和库存（包括硬件、软件、固件和文档）。 | 此规则可确保分配给 Amazon Virtual Private Cloud (Amazon VPC) 的弹性 IP 附加到 Amazon Elastic Compute Cloud (Amazon EC2) 实例或正在使用的弹性网络接口。此规则有助于监控您环境中未使用的 EIP。 | |
| CM.2.062 | 采用最少功能原则，将组织系统配置为仅提供基本功能。 | 如果您使用公有 IP 地址配置网络接口，则可以从互联网访问这些网络接口的相关资源。EC2 资源不应可公开访问，因为这可能会允许意外地访问您的应用程序或服务器。 | |
| CM.2.062 | 采用最少功能原则，将组织系统配置为仅提供基本功能。 | 通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| CM.2.062 | 采用最少功能原则，将组织系统配置为仅提供基本功能。 | 通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| CM.2.062 | 采用最少功能原则，将组织系统配置为仅提供基本功能。 | 利用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 实例，可以清点组织中的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发布者和版本以及有关您的环境的其他详细信息。 | |
| CM.2.062 | 采用最少功能原则，将组织系统配置为仅提供基本功能。 | 通过确保 Amazon Elastic Compute Cloud (Amazon EC2) 实例无法公开访问来管理对 AWS 云的访问。Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| CM.2.062 | 采用最少功能原则，将组织系统配置为仅提供基本功能。 | 使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。AWSSystems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。 | |
| CM.2.062 | 采用最少功能原则，将组织系统配置为仅提供基本功能。 | 此规则可确保附加到 Amazon Elastic Compute Cloud (Amazon EC2) 实例上的 Amazon Elastic Block Store 卷在实例终止时标记为删除。如果在附加到 Amazon EBS 卷的实例终止时，卷没有被删除，则可能违反最少功能的概念。 | |
| CM.2.062 | 采用最少功能原则，将组织系统配置为仅提供基本功能。 | 通过确保 Amazon OpenSearch Service (OpenSearch Service) 域位于 Amazon Virtual Private Cloud (Amazon VPC) 中，来管理对 AWS 云的访问。Amazon VPC 中的 OpenSearch Service 域可实现 Amazon OpenSearch Service 与 Amazon VPC 中其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。 | |
| CM.2.062 | 采用最少功能原则，将组织系统配置为仅提供基本功能。 | 通过确保 Amazon EMR 集群主节点无法公开访问来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| CM.2.062 | 采用最少功能原则，将组织系统配置为仅提供基本功能。 | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可对 AWS 资源的入口和出口网络流量进行有状态过滤，从而帮助管理网络访问。不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。 | |
| CM.2.062 | 采用最少功能原则，将组织系统配置为仅提供基本功能。 | 通过确保互联网网关仅连接到经过授权的 Amazon Virtual Private Cloud (Amazon VPC)，来管理对 AWS 云中资源的访问。互联网网关允许进出 Amazon VPC 的双向互联网访问，这可能会导致未经授权访问 Amazon VPC 资源。 | |
| CM.2.062 | 采用最少功能原则，将组织系统配置为仅提供基本功能。 | 通过确保 AWS Lambda 函数无法公开访问，来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。 | |
| CM.2.062 | 采用最少功能原则，将组织系统配置为仅提供基本功能。 | 确保 Amazon EC2 路由表中没有指向互联网网关的无限制路由。移除或限制 Amazon VPC 内工作负载的互联网访问可以减少环境中的意外访问。 | |
| CM.2.062 | 采用最少功能原则，将组织系统配置为仅提供基本功能。 | 通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| CM.2.062 | 采用最少功能原则，将组织系统配置为仅提供基本功能。 | 通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| CM.2.062 | 采用最少功能原则，将组织系统配置为仅提供基本功能。 | 通过确保 Amazon Redshift 集群不是公有的，来管理对 AWS 云中资源的访问。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| CM.2.062 | 采用最少功能原则，将组织系统配置为仅提供基本功能。 | 通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。 | |
| CM.2.062 | 采用最少功能原则，将组织系统配置为仅提供基本功能。 | 通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置 ignorePublicAcls（Config 默认：True）、blockPublicPolicy（Config 默认值：True）、blockPublicAcls（Config 默认值：True）和 restrictPublicBuckets 参数（Config 默认值：True）。实际值应反映贵组织的策略。 | |
| CM.2.062 | 采用最少功能原则，将组织系统配置为仅提供基本功能。 | 通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。 | |
| CM.2.062 | 采用最少功能原则，将组织系统配置为仅提供基本功能。 | 通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。 | |
| CM.2.062 | 采用最少功能原则，将组织系统配置为仅提供基本功能。 | 通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。 | |
| CM.2.062 | 采用最少功能原则，将组织系统配置为仅提供基本功能。 | 通过确保 Amazon SageMaker 笔记本不允许直接访问互联网，管理对 AWS 云中资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。 | |
| CM.2.062 | 采用最少功能原则，将组织系统配置为仅提供基本功能。 | 确保 AWS Systems Manager (SSM) 文档不公开，因为这可能会允许意外访问您的 SSM 文档。公开 SSM 文档可能会公开有关您的账户、资源和内部流程的信息。 | |
| CM.2.062 | 采用最少功能原则，将组织系统配置为仅提供基本功能。 | 通过确保 Amazon Virtual Private Cloud (VPC) 子网不会自动分配公有 IP 地址，来管理对 AWS 云的访问。Amazon Elastic Compute Cloud (EC2) 实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。 | |
| CM.2.062 | 采用最少功能原则，将组织系统配置为仅提供基本功能。 | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以通过对 AWS 资源的入口和出口网络流量进行有状态筛选，从而帮助管理网络访问。限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。 | |
| CM.2.062 | 采用最少功能原则，将组织系统配置为仅提供基本功能。 | 通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。 | |
| CM.2.062 | 采用最少功能原则，将组织系统配置为仅提供基本功能。 | 通过确保 Amazon OpenSearch Service 域位于 Amazon Virtual Private Cloud (Amazon VPC) 中，来管理对 AWS 云的访问。Amazon VPC 中的 Amazon OpenSearch Service 域可实现 Amazon OpenSearch Service 与 Amazon VPC 中其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。 | |
| CM.2.063 | 控制和监控用户安装的软件。 | 利用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 实例，可以清点组织中的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发布者和版本以及有关您的环境的其他详细信息。 | |
| CM.2.063 | 控制和监控用户安装的软件。 | 使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。AWSSystems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。 | |
| CM.2.063 | 控制和监控用户安装的软件。 | 启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。此规则根据贵组织的政策和程序的要求检查 AWS Systems Manager 中的 Amazon EC2 实例补丁是否合规。 | |
| CM.2.064 | 为组织系统中使用的信息技术产品建立并强制执行安全配置设置。 | 在 AWS Organizations 中集中管理 AWS 账户有助于确保账户合规。缺乏集中式账户管理可能会导致账户配置不一致，从而可能泄露资源和敏感数据。 | |
| CM.2.064 | 为组织系统中使用的信息技术产品建立并强制执行安全配置设置。 | 此规则通过检查多项设置的启用情况，来确保使用 AWS 推荐的 AWS CloudTrail 安全最佳实践。其中包括使用日志加密、日志验证以及在多个区域启用 AWS CloudTrail。 | |
| CM.2.064 | 为组织系统中使用的信息技术产品建立并强制执行安全配置设置。 | 利用 AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 交付后是否被修改、删除或更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这样，要修改、删除或伪造 CloudTrail 日志文件而不被检测到在计算上是不可行的。 | |
| CM.2.064 | 为组织系统中使用的信息技术产品建立并强制执行安全配置设置。 | 利用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 实例，可以清点组织中的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发布者和版本以及有关您的环境的其他详细信息。 | |
| CM.2.064 | 为组织系统中使用的信息技术产品建立并强制执行安全配置设置。 | 使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。AWSSystems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。 | |
| CM.2.064 | 为组织系统中使用的信息技术产品建立并强制执行安全配置设置。 | 启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。此规则根据贵组织的政策和程序的要求检查 AWS Systems Manager 中的 Amazon EC2 实例补丁是否合规。 | |
| CM.2.064 | 为组织系统中使用的信息技术产品建立并强制执行安全配置设置。 | 为 Amazon Elastic Beanstalk 环境启用受管平台更新可确保安装环境的最新可用平台修复、更新和功能。及时安装补丁是保护系统的最佳实践。 | |
| CM.2.064 | 为组织系统中使用的信息技术产品建立并强制执行安全配置设置。 | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。 | |
| CM.2.064 | 为组织系统中使用的信息技术产品建立并强制执行安全配置设置。 | 启用 Amazon Relational Database Service (RDS) 实例的自动次要版本升级，以确保安装关系数据库管理系统 (RDBMS) 的最新次要版本更新，其中可能包括安全补丁和错误修复。 | |
| CM.2.064 | 为组织系统中使用的信息技术产品建立并强制执行安全配置设置。 | 此规则可确保 Amazon Redshift 集群具有适合贵组织的首选设置。具体而言，就是确保它们有首选的数据库维护窗口和自动快照保留期。此规则要求您设置 allowVersionUpgrade。默认值为 true。它还允许您选择设置 preferredMaintenanceWindow（默认值为 sat:16:00-sat:16:30）和 automatedSnapshotRetentionPeriod（默认值为 1）。实际值应反映贵组织的策略。 | |
| CM.2.064 | 为组织系统中使用的信息技术产品建立并强制执行安全配置设置。 | AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。AWSSecurity Hub 可以聚合、组织和优先处理来自多个 AWS 服务的安全告警或结果。其中一些服务包括 Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management (IAM) Access Analyzer、AWS Firewall Manager 和 AWS 合作伙伴解决方案。 | |
| CM.2.065 | 跟踪、审查、批准或不批准，并记录对组织系统的更改。 | API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。 | |
| CM.2.065 | 跟踪、审查、批准或不批准，并记录对组织系统的更改。 | 收集 Simple Storage Service (Amazon S3) 数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。 | |
| CM.2.065 | 跟踪、审查、批准或不批准，并记录对组织系统的更改。 | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您的 AWS 账户中 API 调用活动的详细信息。 | |
| CM.2.065 | 跟踪、审查、批准或不批准，并记录对组织系统的更改。 | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用 AWS 服务的用户和 AWS 账户、发出调用的源 IP 地址以及调用的时间。捕获的数据的详细信息可在 AWS CloudTrail“记录内容”中查看。 | |
| CM.2.065 | 跟踪、审查、批准或不批准，并记录对组织系统的更改。 | 利用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 实例，可以清点组织中的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发布者和版本以及有关您的环境的其他详细信息。 | |
| CM.2.065 | 跟踪、审查、批准或不批准，并记录对组织系统的更改。 | 使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。AWSSystems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。 | |
| CM.2.065 | 跟踪、审查、批准或不批准，并记录对组织系统的更改。 | 启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。此规则根据贵组织的政策和程序的要求检查 AWS Systems Manager 中的 Amazon EC2 实例补丁是否合规。 | |
| CM.2.065 | 跟踪、审查、批准或不批准，并记录对组织系统的更改。 | Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息 (例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。 | |
| CM.2.065 | 跟踪、审查、批准或不批准，并记录对组织系统的更改。 | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外，当 AWS 推出新区域时，CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | |
| CM.2.065 | 跟踪、审查、批准或不批准，并记录对组织系统的更改。 | 为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service (Amazon RDS) 日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。 | |
| CM.2.065 | 跟踪、审查、批准或不批准，并记录对组织系统的更改。 | Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | |
| CM.2.065 | 跟踪、审查、批准或不批准，并记录对组织系统的更改。 | 为了帮助在您的环境中进行日志记录和监控，请在区域和全局 Web ACL 上启用 AWS WAF (V2) 日志记录。AWSWAF 日志记录提供有关 Web ACL 分析的流量的详细信息。日志记录 AWS 接收来自 AWS 资源的请求的时间，有关请求的详细信息，以及每个请求所匹配的规则的操作。 | |
| CM.3.068 | 限制、禁用或阻止使用不必要的程序、功能、端口、协议和服务。 | 如果您使用公有 IP 地址配置网络接口，则可以从互联网访问这些网络接口的相关资源。EC2 资源不应可公开访问，因为这可能会允许意外地访问您的应用程序或服务器。 | |
| CM.3.068 | 限制、禁用或阻止使用不必要的程序、功能、端口、协议和服务。 | 通过确保 Amazon Elastic Compute Cloud (Amazon EC2) 实例无法公开访问来管理对 AWS 云的访问。Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| CM.3.068 | 限制、禁用或阻止使用不必要的程序、功能、端口、协议和服务。 | 通过确保 Amazon EMR 集群主节点无法公开访问来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| CM.3.068 | 限制、禁用或阻止使用不必要的程序、功能、端口、协议和服务。 | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可对 AWS 资源的入口和出口网络流量进行有状态过滤，从而帮助管理网络访问。不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。 | |
| CM.3.068 | 限制、禁用或阻止使用不必要的程序、功能、端口、协议和服务。 | 通过确保互联网网关仅连接到经过授权的 Amazon Virtual Private Cloud (Amazon VPC)，来管理对 AWS 云中资源的访问。互联网网关允许进出 Amazon VPC 的双向互联网访问，这可能会导致未经授权访问 Amazon VPC 资源。 | |
| CM.3.068 | 限制、禁用或阻止使用不必要的程序、功能、端口、协议和服务。 | 通过确保 AWS Lambda 函数无法公开访问，来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。 | |
| CM.3.068 | 限制、禁用或阻止使用不必要的程序、功能、端口、协议和服务。 | 确保 Amazon EC2 路由表中没有指向互联网网关的无限制路由。移除或限制 Amazon VPC 内工作负载的互联网访问可以减少环境中的意外访问。 | |
| CM.3.068 | 限制、禁用或阻止使用不必要的程序、功能、端口、协议和服务。 | 通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| CM.3.068 | 限制、禁用或阻止使用不必要的程序、功能、端口、协议和服务。 | 通过确保 Amazon Redshift 集群不是公有的，来管理对 AWS 云中资源的访问。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| CM.3.068 | 限制、禁用或阻止使用不必要的程序、功能、端口、协议和服务。 | 通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。 | |
| CM.3.068 | 限制、禁用或阻止使用不必要的程序、功能、端口、协议和服务。 | 通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置 ignorePublicAcls（Config 默认：True）、blockPublicPolicy（Config 默认值：True）、blockPublicAcls（Config 默认值：True）和 restrictPublicBuckets 参数（Config 默认值：True）。实际值应反映贵组织的策略。 | |
| CM.3.068 | 限制、禁用或阻止使用不必要的程序、功能、端口、协议和服务。 | 通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。 | |
| CM.3.068 | 限制、禁用或阻止使用不必要的程序、功能、端口、协议和服务。 | 通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。 | |
| CM.3.068 | 限制、禁用或阻止使用不必要的程序、功能、端口、协议和服务。 | 通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。 | |
| CM.3.068 | 限制、禁用或阻止使用不必要的程序、功能、端口、协议和服务。 | 通过确保 Amazon SageMaker 笔记本不允许直接访问互联网，管理对 AWS 云中资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。 | |
| CM.3.068 | 限制、禁用或阻止使用不必要的程序、功能、端口、协议和服务。 | 确保 AWS Systems Manager (SSM) 文档不公开，因为这可能会允许意外访问您的 SSM 文档。公开 SSM 文档可能会公开有关您的账户、资源和内部流程的信息。 | |
| CM.3.068 | 限制、禁用或阻止使用不必要的程序、功能、端口、协议和服务。 | 通过确保 Amazon Virtual Private Cloud (VPC) 子网不会自动分配公有 IP 地址，来管理对 AWS 云的访问。Amazon Elastic Compute Cloud (EC2) 实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。 | |
| CM.3.068 | 限制、禁用或阻止使用不必要的程序、功能、端口、协议和服务。 | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以通过对 AWS 资源的入口和出口网络流量进行有状态筛选，从而帮助管理网络访问。限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。 | |
| CM.3.068 | 限制、禁用或阻止使用不必要的程序、功能、端口、协议和服务。 | 通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。 | |
| CM.5.074 | 验证组织定义的关键安全软件或基本软件的完整性和正确性（例如信任根、形式验证或加密签名）。 | 利用 AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 交付后是否被修改、删除或更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这样，要修改、删除或伪造 CloudTrail 日志文件而不被检测到在计算上是不可行的。 | |
| CM.5.074 | 验证组织定义的关键安全软件或基本软件的完整性和正确性（例如信任根、形式验证或加密签名）。 | 利用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 实例，可以清点组织中的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发布者和版本以及有关您的环境的其他详细信息。 | |
| CM.5.074 | 验证组织定义的关键安全软件或基本软件的完整性和正确性（例如信任根、形式验证或加密签名）。 | 使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。AWSSystems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。 | |
| CM.5.074 | 验证组织定义的关键安全软件或基本软件的完整性和正确性（例如信任根、形式验证或加密签名）。 | 启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。此规则根据贵组织的政策和程序的要求检查 AWS Systems Manager 中的 Amazon EC2 实例补丁是否合规。 | |
| IA.1.076 | 识别信息系统用户、代表用户行事的进程或设备。 | API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。 | |
| IA.1.076 | 识别信息系统用户、代表用户行事的进程或设备。 | 收集 Simple Storage Service (Amazon S3) 数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。 | |
| IA.1.076 | 识别信息系统用户、代表用户行事的进程或设备。 | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您的 AWS 账户中 API 调用活动的详细信息。 | |
| IA.1.076 | 识别信息系统用户、代表用户行事的进程或设备。 | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用 AWS 服务的用户和 AWS 账户、发出调用的源 IP 地址以及调用的时间。捕获的数据的详细信息可在 AWS CloudTrail“记录内容”中查看。 | |
| IA.1.076 | 识别信息系统用户、代表用户行事的进程或设备。 | Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息 (例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。 | |
| IA.1.076 | 识别信息系统用户、代表用户行事的进程或设备。 | 通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心 (KDC)。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。 | |
| IA.1.076 | 识别信息系统用户、代表用户行事的进程或设备。 | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外，当 AWS 推出新区域时，CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | |
| IA.1.076 | 识别信息系统用户、代表用户行事的进程或设备。 | 为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service (Amazon RDS) 日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。 | |
| IA.1.076 | 识别信息系统用户、代表用户行事的进程或设备。 | Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | |
| IA.1.076 | 识别信息系统用户、代表用户行事的进程或设备。 | 为了帮助在您的环境中进行日志记录和监控，请在区域和全局 Web ACL 上启用 AWS WAF (V2) 日志记录。AWSWAF 日志记录提供有关 Web ACL 分析的流量的详细信息。日志记录 AWS 接收来自 AWS 资源的请求的时间，有关请求的详细信息，以及每个请求所匹配的规则的操作。 | |
| IA.1.077 | 验证（或核实）这些用户、进程或设备的身份，这是允许访问组织信息系统的先决条件。 | 通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心 (KDC)。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。 | |
| IA.1.077 | 验证（或核实）这些用户、进程或设备的身份，这是允许访问组织信息系统的先决条件。 | 身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过 NIST SP 800-63 和针对密码强度的 AWS 基础安全最佳实践标准规定的要求。此规则允许您为 IAM 密码策略选择设置 RequireUppercaseCharacters（AWS 基础安全最佳实践值：true）、RequireLowercaseCharacters（AWS 基础安全最佳实践值：true）、RequireSymbols（AWS 基础安全最佳实践值：true）、RequireNumbers（AWS 基础安全最佳实践值：true）、MinimumPasswordLength（AWS 基础安全最佳实践值：14）、PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）。实际值应反映贵组织的策略。 | |
| IA.1.077 | 验证（或核实）这些用户、进程或设备的身份，这是允许访问组织信息系统的先决条件。 | 启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证 (MFA)。MFA 在登录凭证之上添加一层额外的保护。要求用户进行多重身份验证，从而减少账户被盗事件。 | |
| IA.1.077 | 验证（或核实）这些用户、进程或设备的身份，这是允许访问组织信息系统的先决条件。 | 通过确保为所有拥有控制台密码的 AWS Identity and Access Management (IAM) 用户启用 MFA，来管理对 AWS 云中资源的访问。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。 | |
| IA.1.077 | 验证（或核实）这些用户、进程或设备的身份，这是允许访问组织信息系统的先决条件。 | 通过确保为根用户启用硬件 MFA，来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户进行 MFA，可以减少 AWS 账户被盗的事件。 | |
| IA.1.077 | 验证（或核实）这些用户、进程或设备的身份，这是允许访问组织信息系统的先决条件。 | 通过确保为根用户启用 MFA，来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户进行 MFA，可以减少 AWS 账户被盗的事件。 | |
| IA.2.078 | 在创建新密码时，强制执行最低密码复杂度和更改字符的规定。 | 身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过 NIST SP 800-63 和针对密码强度的 AWS 基础安全最佳实践标准规定的要求。此规则允许您为 IAM 密码策略选择设置 RequireUppercaseCharacters（AWS 基础安全最佳实践值：true）、RequireLowercaseCharacters（AWS 基础安全最佳实践值：true）、RequireSymbols（AWS 基础安全最佳实践值：true）、RequireNumbers（AWS 基础安全最佳实践值：true）、MinimumPasswordLength（AWS 基础安全最佳实践值：14）、PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）。实际值应反映贵组织的策略。 | |
| IA.2.079 | 禁止在指定的次数范围内重复使用密码。 | 身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过 NIST SP 800-63 和针对密码强度的 AWS 基础安全最佳实践标准规定的要求。此规则允许您为 IAM 密码策略选择设置 RequireUppercaseCharacters（AWS 基础安全最佳实践值：true）、RequireLowercaseCharacters（AWS 基础安全最佳实践值：true）、RequireSymbols（AWS 基础安全最佳实践值：true）、RequireNumbers（AWS 基础安全最佳实践值：true）、MinimumPasswordLength（AWS 基础安全最佳实践值：14）、PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）。实际值应反映贵组织的策略。 | |
| IA.2.081 | 仅存储和传输受加密保护的密码。 | 确保您的 Elastic Load Balancers (ELB) 已配置为丢弃 http 标头。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| IA.2.081 | 仅存储和传输受加密保护的密码。 | 为帮助保护传输中的数据，请确保应用负载均衡器自动将未加密的 HTTP 请求重定向到 HTTPS。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| IA.2.081 | 仅存储和传输受加密保护的密码。 | 为了帮助保护静态数据，请确保为 API Gateway 阶段的缓存启用加密。由于可能会为 API 方法捕获敏感数据，因此应启用静态加密以帮助保护这些数据。 | |
| IA.2.081 | 仅存储和传输受加密保护的密码。 | 确保 Amazon API Gateway REST API 阶段配置了 SSL 证书，以允许后端系统验证请求来自 API Gateway。 | |
| IA.2.081 | 仅存储和传输受加密保护的密码。 | 为了帮助保护静态数据，请确保为您的 Amazon Elastic Block Store (Amazon EBS) 卷启用加密。由于这些卷中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| IA.2.081 | 仅存储和传输受加密保护的密码。 | 由于可能存在敏感数据，并且为了帮助保护静态数据，请确保为您的 Amazon Elastic File System (EFS) 启用加密。 | |
| IA.2.081 | 仅存储和传输受加密保护的密码。 | 由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon OpenSearch Service (OpenSearch Service) 域启用了加密。 | |
| IA.2.081 | 仅存储和传输受加密保护的密码。 | 确保 Amazon OpenSearch Service 启用了节点到节点加密。利用节点到节点加密，将能够为 Amazon Virtual Private Cloud (Amazon VPC) 内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| IA.2.081 | 仅存储和传输受加密保护的密码。 | 由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certificate Manager 通过 AWS 服务和内部资源管理、预置和部署公有和私有 SSL/TLS 证书。 | |
| IA.2.081 | 仅存储和传输受加密保护的密码。 | 由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certificate Manager 通过 AWS 服务和内部资源管理、预置和部署公有和私有 SSL/TLS 证书。 | |
| IA.2.081 | 仅存储和传输受加密保护的密码。 | 确保您的弹性负载均衡器 (ELB) 配置了 SSL 或 HTTPS 侦听器。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| IA.2.081 | 仅存储和传输受加密保护的密码。 | 由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon Elastic Block Store (Amazon EBS) 卷启用了加密。 | |
| IA.2.081 | 仅存储和传输受加密保护的密码。 | 确保为 Amazon Relational Database Service (Amazon RDS) 快照启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| IA.2.081 | 仅存储和传输受加密保护的密码。 | 为了帮助保护静态数据，请确保您的 Amazon Relational Database Service (Amazon RDS) 实例启用了加密。由于 Amazon RDS 实例中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| IA.2.081 | 仅存储和传输受加密保护的密码。 | 为了帮助保护静态数据，请确保您的 Amazon Redshift 集群启用了使用 AWS Key Management Service (AWS KMS) 的加密。由于 Redshift 集群中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| IA.2.081 | 仅存储和传输受加密保护的密码。 | 确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| IA.2.081 | 仅存储和传输受加密保护的密码。 | 为了帮助保护静态数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用加密以帮助保护这些数据。 | |
| IA.2.081 | 仅存储和传输受加密保护的密码。 | 为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶需要请求使用安全套接字层 (SSL)。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| IA.2.081 | 仅存储和传输受加密保护的密码。 | 确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| IA.2.081 | 仅存储和传输受加密保护的密码。 | 为了帮助保护静态数据，请确保您的 SageMaker 终端节点启用了使用 AWS Key Management Service (AWS KMS) 的加密。由于 SageMaker 端点中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| IA.2.081 | 仅存储和传输受加密保护的密码。 | 为了帮助保护静态数据，请确保您的 SageMaker 笔记本启用了使用 AWS Key Management Service (AWS KMS) 的加密。由于 SageMaker 笔记本中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| IA.2.081 | 仅存储和传输受加密保护的密码。 | 为了帮助保护静态数据，请确保您的 Amazon Simple Notification Service (Amazon SNS) 主题需要使用 AWS Key Management Service (AWS KMS) 进行加密。由于已发布的消息中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| IA.2.081 | 仅存储和传输受加密保护的密码。 | 由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon OpenSearch Service 域启用了加密。 | |
| IA.2.081 | 仅存储和传输受加密保护的密码。 | 确保 Amazon OpenSearch Service 启用了节点到节点加密。利用节点到节点加密，将能够为 Amazon Virtual Private Cloud (Amazon VPC) 内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| IA.3.083 | 对特权账户的本地和网络访问权限以及非特权账户的网络访问权限使用多重身份验证。 | 启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证 (MFA)。MFA 在登录凭证之上添加一层额外的保护。要求用户进行多重身份验证，从而减少账户被盗事件。 | |
| IA.3.083 | 对特权账户的本地和网络访问权限以及非特权账户的网络访问权限使用多重身份验证。 | 通过确保为所有拥有控制台密码的 AWS Identity and Access Management (IAM) 用户启用 MFA，来管理对 AWS 云中资源的访问。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。 | |
| IA.3.083 | 对特权账户的本地和网络访问权限以及非特权账户的网络访问权限使用多重身份验证。 | 通过确保为根用户启用硬件 MFA，来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户进行 MFA，可以减少 AWS 账户被盗的事件。 | |
| IA.3.083 | 对特权账户的本地和网络访问权限以及非特权账户的网络访问权限使用多重身份验证。 | 通过确保为根用户启用 MFA，来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户进行 MFA，可以减少 AWS 账户被盗的事件。 | |
| IA.3.086 | 在规定的非活动时间后禁用标识符。 | 身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过 NIST SP 800-63 和针对密码强度的 AWS 基础安全最佳实践标准规定的要求。此规则允许您为 IAM 密码策略选择设置 RequireUppercaseCharacters（AWS 基础安全最佳实践值：true）、RequireLowercaseCharacters（AWS 基础安全最佳实践值：true）、RequireSymbols（AWS 基础安全最佳实践值：true）、RequireNumbers（AWS 基础安全最佳实践值：true）、MinimumPasswordLength（AWS 基础安全最佳实践值：14）、PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）。实际值应反映贵组织的策略。 | |
| IA.3.086 | 在规定的非活动时间后禁用标识符。 | AWS Identity and Access Management (IAM) 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥，来帮助您获得访问权限和授权。如果发现这些未使用的凭证，则应禁用和/或删除这些凭证，因为这可能违反最低权限原则。此规则要求您为 maxCredentialUsageAge 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。 | |
| IR.2.092 | 为组织系统建立操作事件处理能力，包括准备、检测、分析、遏制、恢复和用户响应活动。 | 当指标在指定数量的评估期超过阈值时，Amazon CloudWatch 会发出警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired（Config 默认值：True）、insufficientDataActionRequired（Config 默认值：True）、okActionRequired（Config 默认值：False）的值。实际值应反映您的环境的警报操作。 | |
| IR.2.092 | 为组织系统建立操作事件处理能力，包括准备、检测、分析、遏制、恢复和用户响应活动。 | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。 | |
| IR.2.092 | 为组织系统建立操作事件处理能力，包括准备、检测、分析、遏制、恢复和用户响应活动。 | Amazon GuardDuty 按严重程度（低、中、高）对调查结果进行分类，从而帮助您了解事件的影响。您可以使用这些分类来确定补救策略和优先级。此规则允许您根据组织政策的要求，选择设置非存档调查结果的 daysLowSev（Config 默认值：30）、daysMediumSev（Config 默认值：7）和 daysHighSev（Config 默认值：1）。 | |
| IR.2.092 | 为组织系统建立操作事件处理能力，包括准备、检测、分析、遏制、恢复和用户响应活动。 | 启用此规则有助于在功能发生故障时通过 Amazon Simple Queue Service (Amazon SQS) 或 Amazon Simple Notification Service (Amazon SNS) 通知相关人员。 | |
| IR.2.092 | 为组织系统建立操作事件处理能力，包括准备、检测、分析、遏制、恢复和用户响应活动。 | AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。AWSSecurity Hub 可以聚合、组织和优先处理来自多个 AWS 服务的安全告警或结果。其中一些服务包括 Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management (IAM) Access Analyzer、AWS Firewall Manager 和 AWS 合作伙伴解决方案。 | |
| IR.2.093 | 检测和报告事件。 | Amazon Elastic Compute Cloud (Amazon EC2) Auto Scaling 组的 Elastic Load Balancer (ELB) 运行状况检查支持维持足够的容量和可用性。负载均衡器会定期发送 ping、尝试进行连接或者发送请求来测试自动扩缩组中的 Amazon EC2 实例。如果实例没有返回报告，则流量会发送到新的 Amazon EC2 实例。 | |
| IR.2.093 | 检测和报告事件。 | 当指标在指定数量的评估期超过阈值时，Amazon CloudWatch 会发出警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired（Config 默认值：True）、insufficientDataActionRequired（Config 默认值：True）、okActionRequired（Config 默认值：False）的值。实际值应反映您的环境的警报操作。 | |
| IR.2.093 | 检测和报告事件。 | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。 | |
| IR.2.093 | 检测和报告事件。 | 启用此规则有助于在功能发生故障时通过 Amazon Simple Queue Service (Amazon SQS) 或 Amazon Simple Notification Service (Amazon SNS) 通知相关人员。 | |
| IR.2.093 | 检测和报告事件。 | AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。AWSSecurity Hub 可以聚合、组织和优先处理来自多个 AWS 服务的安全告警或结果。其中一些服务包括 Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management (IAM) Access Analyzer、AWS Firewall Manager 和 AWS 合作伙伴解决方案。 | |
| IR.5.102 | 对符合事件模式的异常活动使用手动和自动的实时响应组合。 | 当指标在指定数量的评估期超过阈值时，Amazon CloudWatch 会发出警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired（Config 默认值：True）、insufficientDataActionRequired（Config 默认值：True）、okActionRequired（Config 默认值：False）的值。实际值应反映您的环境的警报操作。 | |
| IR.5.102 | 对符合事件模式的异常活动使用手动和自动的实时响应组合。 | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。 | |
| IR.5.102 | 对符合事件模式的异常活动使用手动和自动的实时响应组合。 | Amazon GuardDuty 按严重程度（低、中、高）对调查结果进行分类，从而帮助您了解事件的影响。您可以使用这些分类来确定补救策略和优先级。此规则允许您根据组织政策的要求，选择设置非存档调查结果的 daysLowSev（Config 默认值：30）、daysMediumSev（Config 默认值：7）和 daysHighSev（Config 默认值：1）。 | |
| IR.5.102 | 对符合事件模式的异常活动使用手动和自动的实时响应组合。 | AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。AWSSecurity Hub 可以聚合、组织和优先处理来自多个 AWS 服务的安全告警或结果。其中一些服务包括 Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management (IAM) Access Analyzer、AWS Firewall Manager 和 AWS 合作伙伴解决方案。 | |
| MA.2.113 | 需要多重身份验证才能通过外部网络连接建立非本地维护会话，并在非本地维护完成后终止此类连接。 | 启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证 (MFA)。MFA 在登录凭证之上添加一层额外的保护。要求用户进行多重身份验证，从而减少账户被盗事件。 | |
| MA.2.113 | 需要多重身份验证才能通过外部网络连接建立非本地维护会话，并在非本地维护完成后终止此类连接。 | 通过确保为所有拥有控制台密码的 AWS Identity and Access Management (IAM) 用户启用 MFA，来管理对 AWS 云中资源的访问。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。 | |
| RE.2.137 | 定期执行和测试数据备份。 | 为了帮助完成数据备份流程，请确保为 AWS Backup 计划设置最低频率和保留期。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredFrequencyValue（Config 默认值：1）、requiredRetentionDays（Config 默认值：35）和 requiredFrequencyUnit（Config 默认值：days）参数。实际值应反映贵组织的需求。 | |
| RE.2.137 | 定期执行和测试数据备份。 | Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 会自动创建数据库实例的存储卷快照，备份整个数据库实例。系统允许您设置特定的保留期以满足您的弹性要求。 | |
| RE.2.137 | 定期执行和测试数据备份。 | 为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon DynamoDB 表。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| RE.2.137 | 定期执行和测试数据备份。 | 启用此规则可检查信息是否已备份。它还通过确保在 Amazon DynamoDB 中启用时间点恢复，来维护备份。恢复过程会维持表在过去 35 天的连续备份。 | |
| RE.2.137 | 定期执行和测试数据备份。 | 为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Elastic Block Store (Amazon EBS) 卷。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| RE.2.137 | 定期执行和测试数据备份。 | 为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Elastic File System (Amazon EFS) 文件系统。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| RE.2.137 | 定期执行和测试数据备份。 | 启用自动备份后，Amazon ElastiCache 会每天为集群创建一个备份。备份可保留的天数由贵组织规定。自动备份可以帮助防止数据丢失。发生故障时，您可以通过从最新的备份还原数据来创建新集群。 | |
| RE.2.137 | 定期执行和测试数据备份。 | 为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Relational Database Service (Amazon RDS) 实例。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| RE.2.137 | 定期执行和测试数据备份。 | 为了帮助完成数据备份流程，请确保您的 Amazon Redshift 集群具有自动快照。当某个集群的自动快照处于启用状态时，Redshift 会定期拍摄该集群的快照。默认情况下，Redshift 大约每 8 小时或在每节点数据更改达到 5 GB 时拍摄一次快照，以先到者为准。 | |
| RE.2.137 | 定期执行和测试数据备份。 | Amazon Simple Storage Service (Amazon S3) 跨区域复制 (CRR) 支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。 | |
| RE.2.137 | 定期执行和测试数据备份。 | Amazon Simple Storage Service (Amazon S3) 存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。 | |
| RE.2.139 | 根据组织定义，定期执行完整、全面和有弹性的数据备份。 | Amazon Simple Storage Service (Amazon S3) 存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。 | |
| RE.3.139 | 根据组织定义，定期执行完整、全面和有弹性的数据备份。 | 为了帮助完成数据备份流程，请确保为 AWS Backup 计划设置最低频率和保留期。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredFrequencyValue（Config 默认值：1）、requiredRetentionDays（Config 默认值：35）和 requiredFrequencyUnit（Config 默认值：days）参数。实际值应反映贵组织的需求。 | |
| RE.3.139 | 根据组织定义，定期执行完整、全面和有弹性的数据备份。 | Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 会自动创建数据库实例的存储卷快照，备份整个数据库实例。系统允许您设置特定的保留期以满足您的弹性要求。 | |
| RE.3.139 | 根据组织定义，定期执行完整、全面和有弹性的数据备份。 | 为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon DynamoDB 表。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| RE.3.139 | 根据组织定义，定期执行完整、全面和有弹性的数据备份。 | 启用此规则可检查信息是否已备份。它还通过确保在 Amazon DynamoDB 中启用时间点恢复，来维护备份。恢复过程会维持表在过去 35 天的连续备份。 | |
| RE.3.139 | 根据组织定义，定期执行完整、全面和有弹性的数据备份。 | 为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Elastic Block Store (Amazon EBS) 卷。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| RE.3.139 | 根据组织定义，定期执行完整、全面和有弹性的数据备份。 | 为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Elastic File System (Amazon EFS) 文件系统。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| RE.3.139 | 根据组织定义，定期执行完整、全面和有弹性的数据备份。 | 启用自动备份后，Amazon ElastiCache 会每天为集群创建一个备份。备份可保留的天数由贵组织规定。自动备份可以帮助防止数据丢失。发生故障时，您可以通过从最新的备份还原数据来创建新集群。 | |
| RE.3.139 | 根据组织定义，定期执行完整、全面和有弹性的数据备份。 | 为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Relational Database Service (Amazon RDS) 实例。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| RE.3.139 | 根据组织定义，定期执行完整、全面和有弹性的数据备份。 | 为了帮助完成数据备份流程，请确保您的 Amazon Redshift 集群具有自动快照。当某个集群的自动快照处于启用状态时，Redshift 会定期拍摄该集群的快照。默认情况下，Redshift 大约每 8 小时或在每节点数据更改达到 5 GB 时拍摄一次快照，以先到者为准。 | |
| RE.3.139 | 根据组织定义，定期执行完整、全面和有弹性的数据备份。 | Amazon Simple Storage Service (Amazon S3) 跨区域复制 (CRR) 支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。 | |
| RE.5.140 | 确保信息处理设施满足组织定义的信息安全连续性、冗余性和可用性要求。 | 为了帮助完成数据备份流程，请确保为 AWS Backup 计划设置最低频率和保留期。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredFrequencyValue（Config 默认值：1）、requiredRetentionDays（Config 默认值：35）和 requiredFrequencyUnit（Config 默认值：days）参数。实际值应反映贵组织的需求。 | |
| RE.5.140 | 确保信息处理设施满足组织定义的信息安全连续性、冗余性和可用性要求。 | Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 会自动创建数据库实例的存储卷快照，备份整个数据库实例。系统允许您设置特定的保留期以满足您的弹性要求。 | |
| RE.5.140 | 确保信息处理设施满足组织定义的信息安全连续性、冗余性和可用性要求。 | Amazon DynamoDB 自动扩缩使用 AWS 应用程序自动扩缩服务来调整预置的吞吐量容量，并自动响应实际流量模式。这将允许表或全局二级索引增大其预置的读/写容量以处理突发流量，而不进行节流。 | |
| RE.5.140 | 确保信息处理设施满足组织定义的信息安全连续性、冗余性和可用性要求。 | 为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon DynamoDB 表。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| RE.5.140 | 确保信息处理设施满足组织定义的信息安全连续性、冗余性和可用性要求。 | 启用此规则可检查信息是否已备份。它还通过确保在 Amazon DynamoDB 中启用时间点恢复，来维护备份。恢复过程会维持表在过去 35 天的连续备份。 | |
| RE.5.140 | 确保信息处理设施满足组织定义的信息安全连续性、冗余性和可用性要求。 | 为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Elastic Block Store (Amazon EBS) 卷。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| RE.5.140 | 确保信息处理设施满足组织定义的信息安全连续性、冗余性和可用性要求。 | Amazon Elastic Block Store (Amazon EBS) 中的优化实例为 Amazon EBS I/O 操作提供了额外的专用容量。这种优化通过最大限度减少 Amazon EBS I/O 操作与来自您实例的其他流量之间的争用，为您的 EBS 卷提供最佳性能。 | |
| RE.5.140 | 确保信息处理设施满足组织定义的信息安全连续性、冗余性和可用性要求。 | 为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Elastic File System (Amazon EFS) 文件系统。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| RE.5.140 | 确保信息处理设施满足组织定义的信息安全连续性、冗余性和可用性要求。 | 启用自动备份后，Amazon ElastiCache 会每天为集群创建一个备份。备份可保留的天数由贵组织规定。自动备份可以帮助防止数据丢失。发生故障时，您可以通过从最新的备份还原数据来创建新集群。 | |
| RE.5.140 | 确保信息处理设施满足组织定义的信息安全连续性、冗余性和可用性要求。 | 为您的 Elastic Load Balancers (ELB) 启用跨区域负载均衡，以帮助保持足够的容量和可用性。跨区域负载均衡可降低在每个启用的可用区维持相同数量实例的需求。它还将提高应用程序处理一个或多个实例丢失情况的能力。 | |
| RE.5.140 | 确保信息处理设施满足组织定义的信息安全连续性、冗余性和可用性要求。 | 此规则可确保 Elastic Load Balancing 已启用删除保护。使用此功能可防止负载均衡器被意外或恶意删除，因为这可能导致应用程序丧失可用性。 | |
| RE.5.140 | 确保信息处理设施满足组织定义的信息安全连续性、冗余性和可用性要求。 | 确保 Amazon Relational Database Service (Amazon RDS) 实例已启用删除保护。使用删除保护可防止您的 Amazon RDS 实例被意外或恶意删除，这可能会导致您的应用程序丧失可用性。 | |
| RE.5.140 | 确保信息处理设施满足组织定义的信息安全连续性、冗余性和可用性要求。 | 为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Relational Database Service (Amazon RDS) 实例。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| RE.5.140 | 确保信息处理设施满足组织定义的信息安全连续性、冗余性和可用性要求。 | Amazon Relational Database Service (Amazon RDS) 中的多可用区支持为数据库实例提供了增强的可用性和耐久性。当您预置多可用区数据库实例时，Amazon RDS 会自动创建一个主数据库实例，并将数据同步复制到不同可用区中的备用实例。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。 | |
| RE.5.140 | 确保信息处理设施满足组织定义的信息安全连续性、冗余性和可用性要求。 | 为了帮助完成数据备份流程，请确保您的 Amazon Redshift 集群具有自动快照。当某个集群的自动快照处于启用状态时，Redshift 会定期拍摄该集群的快照。默认情况下，Redshift 大约每 8 小时或在每节点数据更改达到 5 GB 时拍摄一次快照，以先到者为准。 | |
| RE.5.140 | 确保信息处理设施满足组织定义的信息安全连续性、冗余性和可用性要求。 | 确保默认情况下 Amazon Simple Storage Service (Amazon S3) 存储桶已启用锁定。由于 S3 存储桶中可能存在敏感的静态数据，因此应强制执行静态对象锁定以帮助保护这些数据。 | |
| RE.5.140 | 确保信息处理设施满足组织定义的信息安全连续性、冗余性和可用性要求。 | Amazon Simple Storage Service (Amazon S3) 跨区域复制 (CRR) 支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。 | |
| RE.5.140 | 确保信息处理设施满足组织定义的信息安全连续性、冗余性和可用性要求。 | Amazon Simple Storage Service (Amazon S3) 存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。 | |
| RE.5.140 | 确保信息处理设施满足组织定义的信息安全连续性、冗余性和可用性要求。 | 可实施冗余站点到站点 VPN 隧道来实现弹性需求。它使用两条隧道来帮助确保连接性，以防其中一个站点到站点 VPN 连接不可用。为防止在客户网关不可用的情况下断开连接，您可以使用第二个客户网关为您的 Amazon Virtual Private Cloud (Amazon VPC) 和虚拟私有网关建立第二个站点到站点 VPN 连接。 | |
| RM.2.142 | 定期扫描组织系统和应用程序中的漏洞，并在发现影响这些系统和应用程序的新漏洞时进行扫描。 | 启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。此规则根据贵组织的政策和程序的要求检查 AWS Systems Manager 中的 Amazon EC2 实例补丁是否合规。 | |
| RM.2.142 | 定期扫描组织系统和应用程序中的漏洞，并在发现影响这些系统和应用程序的新漏洞时进行扫描。 | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。 | |
| RM.2.142 | 定期扫描组织系统和应用程序中的漏洞，并在发现影响这些系统和应用程序的新漏洞时进行扫描。 | Amazon GuardDuty 按严重程度（低、中、高）对调查结果进行分类，从而帮助您了解事件的影响。您可以使用这些分类来确定补救策略和优先级。此规则允许您根据组织政策的要求，选择设置非存档调查结果的 daysLowSev（Config 默认值：30）、daysMediumSev（Config 默认值：7）和 daysHighSev（Config 默认值：1）。 | |
| RM.2.142 | 定期扫描组织系统和应用程序中的漏洞，并在发现影响这些系统和应用程序的新漏洞时进行扫描。 | AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。AWSSecurity Hub 可以聚合、组织和优先处理来自多个 AWS 服务的安全告警或结果。其中一些服务包括 Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management (IAM) Access Analyzer、AWS Firewall Manager 和 AWS 合作伙伴解决方案。 | |
| RM.4.150 | 利用威胁情报为系统和安全架构的开发、安全解决方案的选择、监控、威胁搜寻以及响应和恢复活动提供信息。 | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。 | |
| RM.4.151 | 通过组织的互联网网络边界和组织定义的其他边界，扫描周边网络边界上的未经授权端口。 | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可对 AWS 资源的入口和出口网络流量进行有状态过滤，从而帮助管理网络访问。不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。 | |
| RM.4.151 | 通过组织的互联网网络边界和组织定义的其他边界，扫描周边网络边界上的未经授权端口。 | 通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。 | |
| RM.4.151 | 通过组织的互联网网络边界和组织定义的其他边界，扫描周边网络边界上的未经授权端口。 | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以通过对 AWS 资源的入口和出口网络流量进行有状态筛选，从而帮助管理网络访问。限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。 | |
| RM.4.151 | 通过组织的互联网网络边界和组织定义的其他边界，扫描周边网络边界上的未经授权端口。 | 通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。 | |
| SA.4.171 | 建立并维护网络威胁搜寻能力，以搜索组织系统中的漏洞指标，并检测、跟踪和破坏逃避现有控制的威胁。 | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。 | |
| SC.1.175 | 在信息系统的外部边界和关键内部边界监控、控制和保护组织通信（即组织信息系统传输或接收的信息）。 | 确保您的 Elastic Load Balancers (ELB) 已配置为丢弃 http 标头。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| SC.1.175 | 在信息系统的外部边界和关键内部边界监控、控制和保护组织通信（即组织信息系统传输或接收的信息）。 | 为帮助保护传输中的数据，请确保应用负载均衡器自动将未加密的 HTTP 请求重定向到 HTTPS。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| SC.1.175 | 在信息系统的外部边界和关键内部边界监控、控制和保护组织通信（即组织信息系统传输或接收的信息）。 | 确保在 Elastic Load Balancers (ELB) 上启用 AWS WAF，以帮助保护 Web 应用程序。WAF 有助于保护您的 Web 应用程序或 API 免遭常见 Web 漏洞的侵害。这些 Web 漏洞可能会影响可用性、损害安全性或消耗环境中过多的资源。 | |
| SC.1.175 | 在信息系统的外部边界和关键内部边界监控、控制和保护组织通信（即组织信息系统传输或接收的信息）。 | 通过 AWS WAF，您可以配置一组规则（称为 Web 访问控制列表，即 Web ACL），基于可自定义的 Web 安全规则以及您定义的条件，允许、阻止 Web 请求或统计 Web 请求数量。确保您的 Amazon API Gateway 阶段与某个 WAF Web ACL 关联，以保护其免受恶意攻击 | |
| SC.1.175 | 在信息系统的外部边界和关键内部边界监控、控制和保护组织通信（即组织信息系统传输或接收的信息）。 | 当指标在指定数量的评估期超过阈值时，Amazon CloudWatch 会发出警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired（Config 默认值：True）、insufficientDataActionRequired（Config 默认值：True）、okActionRequired（Config 默认值：False）的值。实际值应反映您的环境的警报操作。 | |
| SC.1.175 | 在信息系统的外部边界和关键内部边界监控、控制和保护组织通信（即组织信息系统传输或接收的信息）。 | 通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| SC.1.175 | 在信息系统的外部边界和关键内部边界监控、控制和保护组织通信（即组织信息系统传输或接收的信息）。 | 通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| SC.1.175 | 在信息系统的外部边界和关键内部边界监控、控制和保护组织通信（即组织信息系统传输或接收的信息）。 | 通过确保 Amazon OpenSearch Service (OpenSearch Service) 域位于 Amazon Virtual Private Cloud (Amazon VPC) 中，来管理对 AWS 云的访问。Amazon VPC 中的 OpenSearch Service 域可实现 Amazon OpenSearch Service 与 Amazon VPC 中其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。 | |
| SC.1.175 | 在信息系统的外部边界和关键内部边界监控、控制和保护组织通信（即组织信息系统传输或接收的信息）。 | 确保 Amazon OpenSearch Service 启用了节点到节点加密。利用节点到节点加密，将能够为 Amazon Virtual Private Cloud (Amazon VPC) 内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| SC.1.175 | 在信息系统的外部边界和关键内部边界监控、控制和保护组织通信（即组织信息系统传输或接收的信息）。 | 由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certificate Manager 通过 AWS 服务和内部资源管理、预置和部署公有和私有 SSL/TLS 证书。 | |
| SC.1.175 | 在信息系统的外部边界和关键内部边界监控、控制和保护组织通信（即组织信息系统传输或接收的信息）。 | 确保您的弹性负载均衡器 (ELB) 配置了 SSL 或 HTTPS 侦听器。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| SC.1.175 | 在信息系统的外部边界和关键内部边界监控、控制和保护组织通信（即组织信息系统传输或接收的信息）。 | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。 | |
| SC.1.175 | 在信息系统的外部边界和关键内部边界监控、控制和保护组织通信（即组织信息系统传输或接收的信息）。 | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可对 AWS 资源的入口和出口网络流量进行有状态过滤，从而帮助管理网络访问。不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。 | |
| SC.1.175 | 在信息系统的外部边界和关键内部边界监控、控制和保护组织通信（即组织信息系统传输或接收的信息）。 | 在 Amazon Virtual Private Cloud (Amazon VPC) 内部署 Amazon Elastic Compute Cloud (Amazon EC2) 实例，以实现实例与 Amazon VPC 内其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。 | |
| SC.1.175 | 在信息系统的外部边界和关键内部边界监控、控制和保护组织通信（即组织信息系统传输或接收的信息）。 | 通过确保互联网网关仅连接到经过授权的 Amazon Virtual Private Cloud (Amazon VPC)，来管理对 AWS 云中资源的访问。互联网网关允许进出 Amazon VPC 的双向互联网访问，这可能会导致未经授权访问 Amazon VPC 资源。 | |
| SC.1.175 | 在信息系统的外部边界和关键内部边界监控、控制和保护组织通信（即组织信息系统传输或接收的信息）。 | 通过确保 AWS Lambda 函数无法公开访问，来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。 | |
| SC.1.175 | 在信息系统的外部边界和关键内部边界监控、控制和保护组织通信（即组织信息系统传输或接收的信息）。 | 在 Amazon Virtual Private Cloud (Amazon VPC) 中部署 AWS Lambda 函数，以便在 Amazon VPC 中的函数和其他服务之间进行安全通信。使用此配置时，不需要互联网网关、NAT 设备或 VPN 连接。AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。为了正确管理访问权限，应将 AWS Lambda 函数分配给 VPC。 | |
| SC.1.175 | 在信息系统的外部边界和关键内部边界监控、控制和保护组织通信（即组织信息系统传输或接收的信息）。 | 确保 Amazon EC2 路由表中没有指向互联网网关的无限制路由。移除或限制 Amazon VPC 内工作负载的互联网访问可以减少环境中的意外访问。 | |
| SC.1.175 | 在信息系统的外部边界和关键内部边界监控、控制和保护组织通信（即组织信息系统传输或接收的信息）。 | 通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| SC.1.175 | 在信息系统的外部边界和关键内部边界监控、控制和保护组织通信（即组织信息系统传输或接收的信息）。 | 通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| SC.1.175 | 在信息系统的外部边界和关键内部边界监控、控制和保护组织通信（即组织信息系统传输或接收的信息）。 | 通过确保 Amazon Redshift 集群不是公有的，来管理对 AWS 云中资源的访问。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| SC.1.175 | 在信息系统的外部边界和关键内部边界监控、控制和保护组织通信（即组织信息系统传输或接收的信息）。 | 确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| SC.1.175 | 在信息系统的外部边界和关键内部边界监控、控制和保护组织通信（即组织信息系统传输或接收的信息）。 | 通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。 | |
| SC.1.175 | 在信息系统的外部边界和关键内部边界监控、控制和保护组织通信（即组织信息系统传输或接收的信息）。 | 通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置 ignorePublicAcls（Config 默认：True）、blockPublicPolicy（Config 默认值：True）、blockPublicAcls（Config 默认值：True）和 restrictPublicBuckets 参数（Config 默认值：True）。实际值应反映贵组织的策略。 | |
| SC.1.175 | 在信息系统的外部边界和关键内部边界监控、控制和保护组织通信（即组织信息系统传输或接收的信息）。 | 通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。 | |
| SC.1.175 | 在信息系统的外部边界和关键内部边界监控、控制和保护组织通信（即组织信息系统传输或接收的信息）。 | 通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。 | |
| SC.1.175 | 在信息系统的外部边界和关键内部边界监控、控制和保护组织通信（即组织信息系统传输或接收的信息）。 | 通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。 | |
| SC.1.175 | 在信息系统的外部边界和关键内部边界监控、控制和保护组织通信（即组织信息系统传输或接收的信息）。 | 为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶需要请求使用安全套接字层 (SSL)。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| SC.1.175 | 在信息系统的外部边界和关键内部边界监控、控制和保护组织通信（即组织信息系统传输或接收的信息）。 | 通过确保 Amazon SageMaker 笔记本不允许直接访问互联网，管理对 AWS 云中资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。 | |
| SC.1.175 | 在信息系统的外部边界和关键内部边界监控、控制和保护组织通信（即组织信息系统传输或接收的信息）。 | AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。AWSSecurity Hub 可以聚合、组织和优先处理来自多个 AWS 服务的安全告警或结果。其中一些服务包括 Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management (IAM) Access Analyzer、AWS Firewall Manager 和 AWS 合作伙伴解决方案。 | |
| SC.1.175 | 在信息系统的外部边界和关键内部边界监控、控制和保护组织通信（即组织信息系统传输或接收的信息）。 | 确保 AWS Systems Manager (SSM) 文档不公开，因为这可能会允许意外访问您的 SSM 文档。公开 SSM 文档可能会公开有关您的账户、资源和内部流程的信息。 | |
| SC.1.175 | 在信息系统的外部边界和关键内部边界监控、控制和保护组织通信（即组织信息系统传输或接收的信息）。 | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以通过对 AWS 资源的入口和出口网络流量进行有状态筛选，从而帮助管理网络访问。限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。 | |
| SC.1.175 | 在信息系统的外部边界和关键内部边界监控、控制和保护组织通信（即组织信息系统传输或接收的信息）。 | 通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。 | |
| SC.1.175 | 在信息系统的外部边界和关键内部边界监控、控制和保护组织通信（即组织信息系统传输或接收的信息）。 | 通过确保 Amazon OpenSearch Service 域位于 Amazon Virtual Private Cloud (Amazon VPC) 中，来管理对 AWS 云的访问。Amazon VPC 中的 Amazon OpenSearch Service 域可实现 Amazon OpenSearch Service 与 Amazon VPC 中其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。 | |
| SC.1.175 | 在信息系统的外部边界和关键内部边界监控、控制和保护组织通信（即组织信息系统传输或接收的信息）。 | 确保 Amazon OpenSearch Service 启用了节点到节点加密。利用节点到节点加密，将能够为 Amazon Virtual Private Cloud (Amazon VPC) 内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| SC.2.179 | 使用加密会话管理网络设备。 | 为帮助保护传输中的数据，请确保应用负载均衡器自动将未加密的 HTTP 请求重定向到 HTTPS。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| SC.2.179 | 使用加密会话管理网络设备。 | 确保 Amazon API Gateway REST API 阶段配置了 SSL 证书，以允许后端系统验证请求来自 API Gateway。 | |
| SC.2.179 | 使用加密会话管理网络设备。 | 由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certificate Manager 通过 AWS 服务和内部资源管理、预置和部署公有和私有 SSL/TLS 证书。 | |
| SC.2.179 | 使用加密会话管理网络设备。 | 由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certificate Manager 通过 AWS 服务和内部资源管理、预置和部署公有和私有 SSL/TLS 证书。 | |
| SC.2.179 | 使用加密会话管理网络设备。 | 确保您的弹性负载均衡器 (ELB) 配置了 SSL 或 HTTPS 侦听器。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| SC.3.180 | 采用架构设计、软件开发技术和系统工程原理，促进组织系统内的有效信息安全。 | 在 AWS Organizations 中集中管理 AWS 账户有助于确保账户合规。缺乏集中式账户管理可能会导致账户配置不一致，从而可能泄露资源和敏感数据。 | |
| SC.3.180 | 采用架构设计、软件开发技术和系统工程原理，促进组织系统内的有效信息安全。 | 确保在 Elastic Load Balancers (ELB) 上启用 AWS WAF，以帮助保护 Web 应用程序。WAF 有助于保护您的 Web 应用程序或 API 免遭常见 Web 漏洞的侵害。这些 Web 漏洞可能会影响可用性、损害安全性或消耗环境中过多的资源。 | |
| SC.3.180 | 采用架构设计、软件开发技术和系统工程原理，促进组织系统内的有效信息安全。 | 通过 AWS WAF，您可以配置一组规则（称为 Web 访问控制列表，即 Web ACL），基于可自定义的 Web 安全规则以及您定义的条件，允许、阻止 Web 请求或统计 Web 请求数量。确保您的 Amazon API Gateway 阶段与某个 WAF Web ACL 关联，以保护其免受恶意攻击 | |
| SC.3.180 | 采用架构设计、软件开发技术和系统工程原理，促进组织系统内的有效信息安全。 | 如果您使用公有 IP 地址配置网络接口，则可以从互联网访问这些网络接口的相关资源。EC2 资源不应可公开访问，因为这可能会允许意外地访问您的应用程序或服务器。 | |
| SC.3.180 | 采用架构设计、软件开发技术和系统工程原理，促进组织系统内的有效信息安全。 | 为了帮助完成数据备份流程，请确保为 AWS Backup 计划设置最低频率和保留期。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredFrequencyValue（Config 默认值：1）、requiredRetentionDays（Config 默认值：35）和 requiredFrequencyUnit（Config 默认值：days）参数。实际值应反映贵组织的需求。 | |
| SC.3.180 | 采用架构设计、软件开发技术和系统工程原理，促进组织系统内的有效信息安全。 | 此规则通过检查多项设置的启用情况，来确保使用 AWS 推荐的 AWS CloudTrail 安全最佳实践。其中包括使用日志加密、日志验证以及在多个区域启用 AWS CloudTrail。 | |
| SC.3.180 | 采用架构设计、软件开发技术和系统工程原理，促进组织系统内的有效信息安全。 | 确保 AWS Codebuild 项目环境中不存在身份验证凭证 AWS_ACCESS_KEY_ID 和 AWS_SECRET_ACCESS_KEY。不要以明文形式存储这些变量。以明文形式存储这些变量会导致意外的数据泄露和未经授权的访问。 | |
| SC.3.180 | 采用架构设计、软件开发技术和系统工程原理，促进组织系统内的有效信息安全。 | 确保 GitHub 或 Bitbucket 源存储库 URL 不包含个人访问令牌和 AWS Codebuild 项目环境中的登录凭证。使用 OAuth 授予权限以访问 GitHub 或 Bitbucket 存储库，而不是使用个人访问令牌或登录凭证。 | |
| SC.3.180 | 采用架构设计、软件开发技术和系统工程原理，促进组织系统内的有效信息安全。 | Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 会自动创建数据库实例的存储卷快照，备份整个数据库实例。系统允许您设置特定的保留期以满足您的弹性要求。 | |
| SC.3.180 | 采用架构设计、软件开发技术和系统工程原理，促进组织系统内的有效信息安全。 | 通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| SC.3.180 | 采用架构设计、软件开发技术和系统工程原理，促进组织系统内的有效信息安全。 | Amazon DynamoDB 自动扩缩使用 AWS 应用程序自动扩缩服务来调整预置的吞吐量容量，并自动响应实际流量模式。这将允许表或全局二级索引增大其预置的读/写容量以处理突发流量，而不进行节流。 | |
| SC.3.180 | 采用架构设计、软件开发技术和系统工程原理，促进组织系统内的有效信息安全。 | 为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon DynamoDB 表。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| SC.3.180 | 采用架构设计、软件开发技术和系统工程原理，促进组织系统内的有效信息安全。 | 启用此规则可检查信息是否已备份。它还通过确保在 Amazon DynamoDB 中启用时间点恢复，来维护备份。恢复过程会维持表在过去 35 天的连续备份。 | |
| SC.3.180 | 采用架构设计、软件开发技术和系统工程原理，促进组织系统内的有效信息安全。 | 为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Elastic Block Store (Amazon EBS) 卷。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| SC.3.180 | 采用架构设计、软件开发技术和系统工程原理，促进组织系统内的有效信息安全。 | Amazon Elastic Block Store (Amazon EBS) 中的优化实例为 Amazon EBS I/O 操作提供了额外的专用容量。这种优化通过最大限度减少 Amazon EBS I/O 操作与来自您实例的其他流量之间的争用，为您的 EBS 卷提供最佳性能。 | |
| SC.3.180 | 采用架构设计、软件开发技术和系统工程原理，促进组织系统内的有效信息安全。 | 通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| SC.3.180 | 采用架构设计、软件开发技术和系统工程原理，促进组织系统内的有效信息安全。 | 通过确保 Amazon Elastic Compute Cloud (Amazon EC2) 实例无法公开访问来管理对 AWS 云的访问。Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| SC.3.180 | 采用架构设计、软件开发技术和系统工程原理，促进组织系统内的有效信息安全。 | 为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Elastic File System (Amazon EFS) 文件系统。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| SC.3.180 | 采用架构设计、软件开发技术和系统工程原理，促进组织系统内的有效信息安全。 | 启用自动备份后，Amazon ElastiCache 会每天为集群创建一个备份。备份可保留的天数由贵组织规定。自动备份可以帮助防止数据丢失。发生故障时，您可以通过从最新的备份还原数据来创建新集群。 | |
| SC.3.180 | 采用架构设计、软件开发技术和系统工程原理，促进组织系统内的有效信息安全。 | 通过确保 Amazon OpenSearch Service (OpenSearch Service) 域位于 Amazon Virtual Private Cloud (Amazon VPC) 中，来管理对 AWS 云的访问。Amazon VPC 中的 OpenSearch Service 域可实现 Amazon OpenSearch Service 与 Amazon VPC 中其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。 | |
| SC.3.180 | 采用架构设计、软件开发技术和系统工程原理，促进组织系统内的有效信息安全。 | 为您的 Elastic Load Balancers (ELB) 启用跨区域负载均衡，以帮助保持足够的容量和可用性。跨区域负载均衡可降低在每个启用的可用区维持相同数量实例的需求。它还将提高应用程序处理一个或多个实例丢失情况的能力。 | |
| SC.3.180 | 采用架构设计、软件开发技术和系统工程原理，促进组织系统内的有效信息安全。 | 此规则可确保 Elastic Load Balancing 已启用删除保护。使用此功能可防止负载均衡器被意外或恶意删除，因为这可能导致应用程序丧失可用性。 | |
| SC.3.180 | 采用架构设计、软件开发技术和系统工程原理，促进组织系统内的有效信息安全。 | 通过确保 Amazon EMR 集群主节点无法公开访问来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| SC.3.180 | 采用架构设计、软件开发技术和系统工程原理，促进组织系统内的有效信息安全。 | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可对 AWS 资源的入口和出口网络流量进行有状态过滤，从而帮助管理网络访问。不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。 | |
| SC.3.180 | 采用架构设计、软件开发技术和系统工程原理，促进组织系统内的有效信息安全。 | 在 Amazon Virtual Private Cloud (Amazon VPC) 内部署 Amazon Elastic Compute Cloud (Amazon EC2) 实例，以实现实例与 Amazon VPC 内其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。 | |
| SC.3.180 | 采用架构设计、软件开发技术和系统工程原理，促进组织系统内的有效信息安全。 | 通过确保互联网网关仅连接到经过授权的 Amazon Virtual Private Cloud (Amazon VPC)，来管理对 AWS 云中资源的访问。互联网网关允许进出 Amazon VPC 的双向互联网访问，这可能会导致未经授权访问 Amazon VPC 资源。 | |
| SC.3.180 | 采用架构设计、软件开发技术和系统工程原理，促进组织系统内的有效信息安全。 | 通过确保 AWS Lambda 函数无法公开访问，来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。 | |
| SC.3.180 | 采用架构设计、软件开发技术和系统工程原理，促进组织系统内的有效信息安全。 | 在 Amazon Virtual Private Cloud (Amazon VPC) 中部署 AWS Lambda 函数，以便在 Amazon VPC 中的函数和其他服务之间进行安全通信。使用此配置时，不需要互联网网关、NAT 设备或 VPN 连接。AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。为了正确管理访问权限，应将 AWS Lambda 函数分配给 VPC。 | |
| SC.3.180 | 采用架构设计、软件开发技术和系统工程原理，促进组织系统内的有效信息安全。 | 确保 Amazon EC2 路由表中没有指向互联网网关的无限制路由。移除或限制 Amazon VPC 内工作负载的互联网访问可以减少环境中的意外访问。 | |
| SC.3.180 | 采用架构设计、软件开发技术和系统工程原理，促进组织系统内的有效信息安全。 | 确保 Amazon Relational Database Service (Amazon RDS) 实例已启用删除保护。使用删除保护可防止您的 Amazon RDS 实例被意外或恶意删除，这可能会导致您的应用程序丧失可用性。 | |
| SC.3.180 | 采用架构设计、软件开发技术和系统工程原理，促进组织系统内的有效信息安全。 | 通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| SC.3.180 | 采用架构设计、软件开发技术和系统工程原理，促进组织系统内的有效信息安全。 | 为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Relational Database Service (Amazon RDS) 实例。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| SC.3.180 | 采用架构设计、软件开发技术和系统工程原理，促进组织系统内的有效信息安全。 | Amazon Relational Database Service (Amazon RDS) 中的多可用区支持为数据库实例提供了增强的可用性和耐久性。当您预置多可用区数据库实例时，Amazon RDS 会自动创建一个主数据库实例，并将数据同步复制到不同可用区中的备用实例。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。 | |
| SC.3.180 | 采用架构设计、软件开发技术和系统工程原理，促进组织系统内的有效信息安全。 | 通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| SC.3.180 | 采用架构设计、软件开发技术和系统工程原理，促进组织系统内的有效信息安全。 | 为了帮助完成数据备份流程，请确保您的 Amazon Redshift 集群具有自动快照。当某个集群的自动快照处于启用状态时，Redshift 会定期拍摄该集群的快照。默认情况下，Redshift 大约每 8 小时或在每节点数据更改达到 5 GB 时拍摄一次快照，以先到者为准。 | |
| SC.3.180 | 采用架构设计、软件开发技术和系统工程原理，促进组织系统内的有效信息安全。 | 通过确保 Amazon Redshift 集群不是公有的，来管理对 AWS 云中资源的访问。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| SC.3.180 | 采用架构设计、软件开发技术和系统工程原理，促进组织系统内的有效信息安全。 | 通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。 | |
| SC.3.180 | 采用架构设计、软件开发技术和系统工程原理，促进组织系统内的有效信息安全。 | 通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置 ignorePublicAcls（Config 默认：True）、blockPublicPolicy（Config 默认值：True）、blockPublicAcls（Config 默认值：True）和 restrictPublicBuckets 参数（Config 默认值：True）。实际值应反映贵组织的策略。 | |
| SC.3.180 | 采用架构设计、软件开发技术和系统工程原理，促进组织系统内的有效信息安全。 | 确保默认情况下 Amazon Simple Storage Service (Amazon S3) 存储桶已启用锁定。由于 S3 存储桶中可能存在敏感的静态数据，因此应强制执行静态对象锁定以帮助保护这些数据。 | |
| SC.3.180 | 采用架构设计、软件开发技术和系统工程原理，促进组织系统内的有效信息安全。 | 通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。 | |
| SC.3.180 | 采用架构设计、软件开发技术和系统工程原理，促进组织系统内的有效信息安全。 | 通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。 | |
| SC.3.180 | 采用架构设计、软件开发技术和系统工程原理，促进组织系统内的有效信息安全。 | 通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。 | |
| SC.3.180 | 采用架构设计、软件开发技术和系统工程原理，促进组织系统内的有效信息安全。 | Amazon Simple Storage Service (Amazon S3) 跨区域复制 (CRR) 支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。 | |
| SC.3.180 | 采用架构设计、软件开发技术和系统工程原理，促进组织系统内的有效信息安全。 | Amazon Simple Storage Service (Amazon S3) 存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。 | |
| SC.3.180 | 采用架构设计、软件开发技术和系统工程原理，促进组织系统内的有效信息安全。 | 通过确保 Amazon SageMaker 笔记本不允许直接访问互联网，管理对 AWS 云中资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。 | |
| SC.3.180 | 采用架构设计、软件开发技术和系统工程原理，促进组织系统内的有效信息安全。 | 确保 AWS Systems Manager (SSM) 文档不公开，因为这可能会允许意外访问您的 SSM 文档。公开 SSM 文档可能会公开有关您的账户、资源和内部流程的信息。 | |
| SC.3.180 | 采用架构设计、软件开发技术和系统工程原理，促进组织系统内的有效信息安全。 | 通过确保 Amazon Virtual Private Cloud (VPC) 子网不会自动分配公有 IP 地址，来管理对 AWS 云的访问。Amazon Elastic Compute Cloud (EC2) 实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。 | |
| SC.3.180 | 采用架构设计、软件开发技术和系统工程原理，促进组织系统内的有效信息安全。 | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以通过对 AWS 资源的入口和出口网络流量进行有状态筛选，从而帮助管理网络访问。限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。 | |
| SC.3.180 | 采用架构设计、软件开发技术和系统工程原理，促进组织系统内的有效信息安全。 | 通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。 | |
| SC.3.180 | 采用架构设计、软件开发技术和系统工程原理，促进组织系统内的有效信息安全。 | 可实施冗余站点到站点 VPN 隧道来实现弹性需求。它使用两条隧道来帮助确保连接性，以防其中一个站点到站点 VPN 连接不可用。为防止在客户网关不可用的情况下断开连接，您可以使用第二个客户网关为您的 Amazon Virtual Private Cloud (Amazon VPC) 和虚拟私有网关建立第二个站点到站点 VPN 连接。 | |
| SC.3.180 | 采用架构设计、软件开发技术和系统工程原理，促进组织系统内的有效信息安全。 | 通过确保 Amazon OpenSearch Service 域位于 Amazon Virtual Private Cloud (Amazon VPC) 中，来管理对 AWS 云的访问。Amazon VPC 中的 Amazon OpenSearch Service 域可实现 Amazon OpenSearch Service 与 Amazon VPC 中其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。 | |
| SC.3.182 | 防止通过共享系统资源进行未经授权和非预期的信息传输。 | 通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| SC.3.182 | 防止通过共享系统资源进行未经授权和非预期的信息传输。 | 通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| SC.3.182 | 防止通过共享系统资源进行未经授权和非预期的信息传输。 | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可对 AWS 资源的入口和出口网络流量进行有状态过滤，从而帮助管理网络访问。不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。 | |
| SC.3.182 | 防止通过共享系统资源进行未经授权和非预期的信息传输。 | 通过确保互联网网关仅连接到经过授权的 Amazon Virtual Private Cloud (Amazon VPC)，来管理对 AWS 云中资源的访问。互联网网关允许进出 Amazon VPC 的双向互联网访问，这可能会导致未经授权访问 Amazon VPC 资源。 | |
| SC.3.182 | 防止通过共享系统资源进行未经授权和非预期的信息传输。 | 通过确保 AWS Lambda 函数无法公开访问，来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。 | |
| SC.3.182 | 防止通过共享系统资源进行未经授权和非预期的信息传输。 | 确保 Amazon EC2 路由表中没有指向互联网网关的无限制路由。移除或限制 Amazon VPC 内工作负载的互联网访问可以减少环境中的意外访问。 | |
| SC.3.182 | 防止通过共享系统资源进行未经授权和非预期的信息传输。 | 通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| SC.3.182 | 防止通过共享系统资源进行未经授权和非预期的信息传输。 | 通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| SC.3.182 | 防止通过共享系统资源进行未经授权和非预期的信息传输。 | 通过确保 Amazon Redshift 集群不是公有的，来管理对 AWS 云中资源的访问。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| SC.3.182 | 防止通过共享系统资源进行未经授权和非预期的信息传输。 | 通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。 | |
| SC.3.182 | 防止通过共享系统资源进行未经授权和非预期的信息传输。 | 通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置 ignorePublicAcls（Config 默认：True）、blockPublicPolicy（Config 默认值：True）、blockPublicAcls（Config 默认值：True）和 restrictPublicBuckets 参数（Config 默认值：True）。实际值应反映贵组织的策略。 | |
| SC.3.182 | 防止通过共享系统资源进行未经授权和非预期的信息传输。 | 通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。 | |
| SC.3.182 | 防止通过共享系统资源进行未经授权和非预期的信息传输。 | 通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。 | |
| SC.3.182 | 防止通过共享系统资源进行未经授权和非预期的信息传输。 | 通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。 | |
| SC.3.182 | 防止通过共享系统资源进行未经授权和非预期的信息传输。 | 通过确保 Amazon SageMaker 笔记本不允许直接访问互联网，管理对 AWS 云中资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。 | |
| SC.3.182 | 防止通过共享系统资源进行未经授权和非预期的信息传输。 | 确保 AWS Systems Manager (SSM) 文档不公开，因为这可能会允许意外访问您的 SSM 文档。公开 SSM 文档可能会公开有关您的账户、资源和内部流程的信息。 | |
| SC.3.182 | 防止通过共享系统资源进行未经授权和非预期的信息传输。 | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以通过对 AWS 资源的入口和出口网络流量进行有状态筛选，从而帮助管理网络访问。限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。 | |
| SC.3.182 | 防止通过共享系统资源进行未经授权和非预期的信息传输。 | 通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。 | |
| SC.3.185 | 实施加密机制，防止在传输过程中未经授权泄露 CUI，除非另有其他物理保护措施的保护。 | 通过确保 X509 证书由 AWS ACM 颁发，确保网络完整性得到保护。这些证书必须有效且未过期。此规则要求为 daysToExpiration 设置一个值（AWS 基础安全最佳实践值：90）。实际值应反映贵组织的策略。 | |
| SC.3.185 | 实施加密机制，防止在传输过程中未经授权泄露 CUI，除非另有其他物理保护措施的保护。 | 确保您的 Elastic Load Balancers (ELB) 已配置为丢弃 http 标头。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| SC.3.185 | 实施加密机制，防止在传输过程中未经授权泄露 CUI，除非另有其他物理保护措施的保护。 | 为帮助保护传输中的数据，请确保应用负载均衡器自动将未加密的 HTTP 请求重定向到 HTTPS。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| SC.3.185 | 实施加密机制，防止在传输过程中未经授权泄露 CUI，除非另有其他物理保护措施的保护。 | 确保 Amazon API Gateway REST API 阶段配置了 SSL 证书，以允许后端系统验证请求来自 API Gateway。 | |
| SC.3.185 | 实施加密机制，防止在传输过程中未经授权泄露 CUI，除非另有其他物理保护措施的保护。 | 确保 Amazon OpenSearch Service 启用了节点到节点加密。利用节点到节点加密，将能够为 Amazon Virtual Private Cloud (Amazon VPC) 内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| SC.3.185 | 实施加密机制，防止在传输过程中未经授权泄露 CUI，除非另有其他物理保护措施的保护。 | 由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certificate Manager 通过 AWS 服务和内部资源管理、预置和部署公有和私有 SSL/TLS 证书。 | |
| SC.3.185 | 实施加密机制，防止在传输过程中未经授权泄露 CUI，除非另有其他物理保护措施的保护。 | 由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certificate Manager 通过 AWS 服务和内部资源管理、预置和部署公有和私有 SSL/TLS 证书。 | |
| SC.3.185 | 实施加密机制，防止在传输过程中未经授权泄露 CUI，除非另有其他物理保护措施的保护。 | 确保您的弹性负载均衡器 (ELB) 配置了 SSL 或 HTTPS 侦听器。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| SC.3.185 | 实施加密机制，防止在传输过程中未经授权泄露 CUI，除非另有其他物理保护措施的保护。 | 确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| SC.3.185 | 实施加密机制，防止在传输过程中未经授权泄露 CUI，除非另有其他物理保护措施的保护。 | 为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶需要请求使用安全套接字层 (SSL)。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| SC.3.185 | 实施加密机制，防止在传输过程中未经授权泄露 CUI，除非另有其他物理保护措施的保护。 | 确保 Amazon OpenSearch Service 启用了节点到节点加密。利用节点到节点加密，将能够为 Amazon Virtual Private Cloud (Amazon VPC) 内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| SC.3.187 | 为组织系统中使用的密码技术建立和管理加密密钥。 | 启用密钥轮换，以确保密钥在加密周期结束后立即进行轮换。 | |
| SC.3.187 | 为组织系统中使用的密码技术建立和管理加密密钥。 | 为了帮助保护静态数据，请确保没有在 AWS Key Management Service (AWS KMS) 中计划删除必要的客户主密钥 (CMK)。由于有时需要删除密钥，因此此规则可以帮助检查所有计划删除的密钥，以防密钥被无意中安排删除。 | |
| SC.3.190 | 保护通信会话的真实性。 | 为帮助保护传输中的数据，请确保应用负载均衡器自动将未加密的 HTTP 请求重定向到 HTTPS。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| SC.3.190 | 保护通信会话的真实性。 | 确保 Amazon API Gateway REST API 阶段配置了 SSL 证书，以允许后端系统验证请求来自 API Gateway。 | |
| SC.3.190 | 保护通信会话的真实性。 | 由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certificate Manager 通过 AWS 服务和内部资源管理、预置和部署公有和私有 SSL/TLS 证书。 | |
| SC.3.190 | 保护通信会话的真实性。 | 由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certificate Manager 通过 AWS 服务和内部资源管理、预置和部署公有和私有 SSL/TLS 证书。 | |
| SC.3.190 | 保护通信会话的真实性。 | 确保您的弹性负载均衡器 (ELB) 配置了 SSL 或 HTTPS 侦听器。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| SC.3.190 | 保护通信会话的真实性。 | 确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| SC.3.191 | 保护静态 CUI 的机密性。 | 为了帮助保护静态数据，请确保为 API Gateway 阶段的缓存启用加密。由于可能会为 API 方法捕获敏感数据，因此应启用静态加密以帮助保护这些数据。 | |
| SC.3.191 | 保护静态 CUI 的机密性。 | 为了帮助保护静态敏感数据，请确保您的 Amazon CloudWatch 日志组启用了加密。 | |
| SC.3.191 | 保护静态 CUI 的机密性。 | 由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 AWS CloudTrail 跟踪启用了加密。 | |
| SC.3.191 | 保护静态 CUI 的机密性。 | 为了帮助保护静态数据，请确保为您的 Amazon Elastic Block Store (Amazon EBS) 卷启用加密。由于这些卷中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| SC.3.191 | 保护静态 CUI 的机密性。 | 由于可能存在敏感数据，并且为了帮助保护静态数据，请确保为您的 Amazon Elastic File System (EFS) 启用加密。 | |
| SC.3.191 | 保护静态 CUI 的机密性。 | 由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon OpenSearch Service (OpenSearch Service) 域启用了加密。 | |
| SC.3.191 | 保护静态 CUI 的机密性。 | 由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon Elastic Block Store (Amazon EBS) 卷启用了加密。 | |
| SC.3.191 | 保护静态 CUI 的机密性。 | 确保为 Amazon Relational Database Service (Amazon RDS) 快照启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| SC.3.191 | 保护静态 CUI 的机密性。 | 为了帮助保护静态数据，请确保您的 Amazon Relational Database Service (Amazon RDS) 实例启用了加密。由于 Amazon RDS 实例中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| SC.3.191 | 保护静态 CUI 的机密性。 | 为了帮助保护静态数据，请确保您的 Amazon Redshift 集群启用了使用 AWS Key Management Service (AWS KMS) 的加密。由于 Redshift 集群中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| SC.3.191 | 保护静态 CUI 的机密性。 | 为了帮助保护静态数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用加密以帮助保护这些数据。 | |
| SC.3.191 | 保护静态 CUI 的机密性。 | 确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| SC.3.191 | 保护静态 CUI 的机密性。 | 为了帮助保护静态数据，请确保您的 SageMaker 终端节点启用了使用 AWS Key Management Service (AWS KMS) 的加密。由于 SageMaker 端点中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| SC.3.191 | 保护静态 CUI 的机密性。 | 为了帮助保护静态数据，请确保您的 SageMaker 笔记本启用了使用 AWS Key Management Service (AWS KMS) 的加密。由于 SageMaker 笔记本中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| SC.3.191 | 保护静态 CUI 的机密性。 | 为了帮助保护静态数据，请确保您的 Amazon Simple Notification Service (Amazon SNS) 主题需要使用 AWS Key Management Service (AWS KMS) 进行加密。由于已发布的消息中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| SC.3.191 | 保护静态 CUI 的机密性。 | 由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon OpenSearch Service 域启用了加密。 | |
| SC.4.199 | 利用威胁情报主动阻止 DNS 请求到达恶意域。 | 确保在 Elastic Load Balancers (ELB) 上启用 AWS WAF，以帮助保护 Web 应用程序。WAF 有助于保护您的 Web 应用程序或 API 免遭常见 Web 漏洞的侵害。这些 Web 漏洞可能会影响可用性、损害安全性或消耗环境中过多的资源。 | |
| SC.4.199 | 利用威胁情报主动阻止 DNS 请求到达恶意域。 | 通过 AWS WAF，您可以配置一组规则（称为 Web 访问控制列表，即 Web ACL），基于可自定义的 Web 安全规则以及您定义的条件，允许、阻止 Web 请求或统计 Web 请求数量。确保您的 Amazon API Gateway 阶段与某个 WAF Web ACL 关联，以保护其免受恶意攻击 | |
| SC.4.202 | 利用机制来分析穿越互联网网络边界或组织定义的其他边界的可执行代码和脚本（例如沙盒）。 | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。 | |
| SC.5.198 | 配置监控系统以记录通过组织的互联网网络边界和组织定义的其他边界的数据包。 | 确保在 Elastic Load Balancers (ELB) 上启用 AWS WAF，以帮助保护 Web 应用程序。WAF 有助于保护您的 Web 应用程序或 API 免遭常见 Web 漏洞的侵害。这些 Web 漏洞可能会影响可用性、损害安全性或消耗环境中过多的资源。 | |
| SC.5.198 | 配置监控系统以记录通过组织的互联网网络边界和组织定义的其他边界的数据包。 | 通过 AWS WAF，您可以配置一组规则（称为 Web 访问控制列表，即 Web ACL），基于可自定义的 Web 安全规则以及您定义的条件，允许、阻止 Web 请求或统计 Web 请求数量。确保您的 Amazon API Gateway 阶段与某个 WAF Web ACL 关联，以保护其免受恶意攻击 | |
| SC.5.198 | 配置监控系统以记录通过组织的互联网网络边界和组织定义的其他边界的数据包。 | 为了帮助在您的环境中进行日志记录和监控，请在区域和全局 Web ACL 上启用 AWS WAF (V2) 日志记录。AWSWAF 日志记录提供有关 Web ACL 分析的流量的详细信息。日志记录 AWS 接收来自 AWS 资源的请求的时间，有关请求的详细信息，以及每个请求所匹配的规则的操作。 | |
| SC.5.208 | 除了市售解决方案外，还采用组织定义和量身定制的边界保护。 | 确保在 Elastic Load Balancers (ELB) 上启用 AWS WAF，以帮助保护 Web 应用程序。WAF 有助于保护您的 Web 应用程序或 API 免遭常见 Web 漏洞的侵害。这些 Web 漏洞可能会影响可用性、损害安全性或消耗环境中过多的资源。 | |
| SC.5.208 | 除了市售解决方案外，还采用组织定义和量身定制的边界保护。 | 通过 AWS WAF，您可以配置一组规则（称为 Web 访问控制列表，即 Web ACL），基于可自定义的 Web 安全规则以及您定义的条件，允许、阻止 Web 请求或统计 Web 请求数量。确保您的 Amazon API Gateway 阶段与某个 WAF Web ACL 关联，以保护其免受恶意攻击 | |
| SC.5.208 | 除了市售解决方案外，还采用组织定义和量身定制的边界保护。 | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。 | |
| SC.5.208 | 除了市售解决方案外，还采用组织定义和量身定制的边界保护。 | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可对 AWS 资源的入口和出口网络流量进行有状态过滤，从而帮助管理网络访问。不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。 | |
| SC.5.208 | 除了市售解决方案外，还采用组织定义和量身定制的边界保护。 | 通过确保互联网网关仅连接到经过授权的 Amazon Virtual Private Cloud (Amazon VPC)，来管理对 AWS 云中资源的访问。互联网网关允许进出 Amazon VPC 的双向互联网访问，这可能会导致未经授权访问 Amazon VPC 资源。 | |
| SC.5.208 | 除了市售解决方案外，还采用组织定义和量身定制的边界保护。 | 通过确保 AWS Lambda 函数无法公开访问，来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。 | |
| SC.5.208 | 除了市售解决方案外，还采用组织定义和量身定制的边界保护。 | 通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| SC.5.208 | 除了市售解决方案外，还采用组织定义和量身定制的边界保护。 | 通过确保 Amazon Redshift 集群不是公有的，来管理对 AWS 云中资源的访问。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| SC.5.208 | 除了市售解决方案外，还采用组织定义和量身定制的边界保护。 | 通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。 | |
| SC.5.208 | 除了市售解决方案外，还采用组织定义和量身定制的边界保护。 | 通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置 ignorePublicAcls（Config 默认：True）、blockPublicPolicy（Config 默认值：True）、blockPublicAcls（Config 默认值：True）和 restrictPublicBuckets 参数（Config 默认值：True）。实际值应反映贵组织的策略。 | |
| SC.5.208 | 除了市售解决方案外，还采用组织定义和量身定制的边界保护。 | 通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。 | |
| SC.5.208 | 除了市售解决方案外，还采用组织定义和量身定制的边界保护。 | 通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。 | |
| SC.5.208 | 除了市售解决方案外，还采用组织定义和量身定制的边界保护。 | 通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。 | |
| SC.5.208 | 除了市售解决方案外，还采用组织定义和量身定制的边界保护。 | 确保 AWS Systems Manager (SSM) 文档不公开，因为这可能会允许意外访问您的 SSM 文档。公开 SSM 文档可能会公开有关您的账户、资源和内部流程的信息。 | |
| SC.5.208 | 除了市售解决方案外，还采用组织定义和量身定制的边界保护。 | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以通过对 AWS 资源的入口和出口网络流量进行有状态筛选，从而帮助管理网络访问。限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。 | |
| SC.5.208 | 除了市售解决方案外，还采用组织定义和量身定制的边界保护。 | 通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。 | |
| SC.5.230 | 强制执行端口和协议合规性。 | 为帮助保护传输中的数据，请确保应用负载均衡器自动将未加密的 HTTP 请求重定向到 HTTPS。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| SC.5.230 | 强制执行端口和协议合规性。 | 确保 Amazon API Gateway REST API 阶段配置了 SSL 证书，以允许后端系统验证请求来自 API Gateway。 | |
| SC.5.230 | 强制执行端口和协议合规性。 | 确保您的弹性负载均衡器 (ELB) 配置了 SSL 或 HTTPS 侦听器。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| SC.5.230 | 强制执行端口和协议合规性。 | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可对 AWS 资源的入口和出口网络流量进行有状态过滤，从而帮助管理网络访问。不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。 | |
| SC.5.230 | 强制执行端口和协议合规性。 | 确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| SC.5.230 | 强制执行端口和协议合规性。 | 通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。 | |
| SC.5.230 | 强制执行端口和协议合规性。 | 为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶需要请求使用安全套接字层 (SSL)。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| SC.5.230 | 强制执行端口和协议合规性。 | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以通过对 AWS 资源的入口和出口网络流量进行有状态筛选，从而帮助管理网络访问。限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。 | |
| SC.5.230 | 强制执行端口和协议合规性。 | 通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。 | |
| SI.1.210 | 及时识别、报告和纠正信息及信息系统的缺陷。 | 当指标在指定数量的评估期超过阈值时，Amazon CloudWatch 会发出警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired（Config 默认值：True）、insufficientDataActionRequired（Config 默认值：True）、okActionRequired（Config 默认值：False）的值。实际值应反映您的环境的警报操作。 | |
| SI.1.210 | 及时识别、报告和纠正信息及信息系统的缺陷。 | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。 | |
| SI.1.210 | 及时识别、报告和纠正信息及信息系统的缺陷。 | AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。AWSSecurity Hub 可以聚合、组织和优先处理来自多个 AWS 服务的安全告警或结果。其中一些服务包括 Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management (IAM) Access Analyzer、AWS Firewall Manager 和 AWS 合作伙伴解决方案。 | |
| SI.1.211 | 在组织信息系统的适当位置提供恶意代码防护。 | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。 | |
| SI.1.213 | 定期扫描信息系统，并在下载、打开或执行来自外部来源的文件时实时扫描。 | Amazon Elastic Container Repository (ECR) 映像扫描可帮助识别容器映像中的软件漏洞。在 ECR 存储库中启用映像扫描功能可为所存储映像的完整性和安全性增加一层验证。 | |
| SI.2.214 | 监控系统安全警报和建议，并采取相应措施。 | 确保在 Elastic Load Balancers (ELB) 上启用 AWS WAF，以帮助保护 Web 应用程序。WAF 有助于保护您的 Web 应用程序或 API 免遭常见 Web 漏洞的侵害。这些 Web 漏洞可能会影响可用性、损害安全性或消耗环境中过多的资源。 | |
| SI.2.214 | 监控系统安全警报和建议，并采取相应措施。 | 通过 AWS WAF，您可以配置一组规则（称为 Web 访问控制列表，即 Web ACL），基于可自定义的 Web 安全规则以及您定义的条件，允许、阻止 Web 请求或统计 Web 请求数量。确保您的 Amazon API Gateway 阶段与某个 WAF Web ACL 关联，以保护其免受恶意攻击 | |
| SI.2.214 | 监控系统安全警报和建议，并采取相应措施。 | 当指标在指定数量的评估期超过阈值时，Amazon CloudWatch 会发出警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired（Config 默认值：True）、insufficientDataActionRequired（Config 默认值：True）、okActionRequired（Config 默认值：False）的值。实际值应反映您的环境的警报操作。 | |
| SI.2.214 | 监控系统安全警报和建议，并采取相应措施。 | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您的 AWS 账户中 API 调用活动的详细信息。 | |
| SI.2.214 | 监控系统安全警报和建议，并采取相应措施。 | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用 AWS 服务的用户和 AWS 账户、发出调用的源 IP 地址以及调用的时间。捕获的数据的详细信息可在 AWS CloudTrail“记录内容”中查看。 | |
| SI.2.214 | 监控系统安全警报和建议，并采取相应措施。 | 使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。AWSSystems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。 | |
| SI.2.214 | 监控系统安全警报和建议，并采取相应措施。 | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。 | |
| SI.2.214 | 监控系统安全警报和建议，并采取相应措施。 | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外，当 AWS 推出新区域时，CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | |
| SI.2.214 | 监控系统安全警报和建议，并采取相应措施。 | AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。AWSSecurity Hub 可以聚合、组织和优先处理来自多个 AWS 服务的安全告警或结果。其中一些服务包括 Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management (IAM) Access Analyzer、AWS Firewall Manager 和 AWS 合作伙伴解决方案。 | |
| SI.2.216 | 监控组织系统，包括入站和出站通信流量，以检测攻击和潜在攻击的迹象。 | 确保在 Elastic Load Balancers (ELB) 上启用 AWS WAF，以帮助保护 Web 应用程序。WAF 有助于保护您的 Web 应用程序或 API 免遭常见 Web 漏洞的侵害。这些 Web 漏洞可能会影响可用性、损害安全性或消耗环境中过多的资源。 | |
| SI.2.216 | 监控组织系统，包括入站和出站通信流量，以检测攻击和潜在攻击的迹象。 | 通过 AWS WAF，您可以配置一组规则（称为 Web 访问控制列表，即 Web ACL），基于可自定义的 Web 安全规则以及您定义的条件，允许、阻止 Web 请求或统计 Web 请求数量。确保您的 Amazon API Gateway 阶段与某个 WAF Web ACL 关联，以保护其免受恶意攻击 | |
| SI.2.216 | 监控组织系统，包括入站和出站通信流量，以检测攻击和潜在攻击的迹象。 | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您的 AWS 账户中 API 调用活动的详细信息。 | |
| SI.2.216 | 监控组织系统，包括入站和出站通信流量，以检测攻击和潜在攻击的迹象。 | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用 AWS 服务的用户和 AWS 账户、发出调用的源 IP 地址以及调用的时间。捕获的数据的详细信息可在 AWS CloudTrail“记录内容”中查看。 | |
| SI.2.216 | 监控组织系统，包括入站和出站通信流量，以检测攻击和潜在攻击的迹象。 | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。 | |
| SI.2.216 | 监控组织系统，包括入站和出站通信流量，以检测攻击和潜在攻击的迹象。 | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外，当 AWS 推出新区域时，CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | |
| SI.2.216 | 监控组织系统，包括入站和出站通信流量，以检测攻击和潜在攻击的迹象。 | AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。AWSSecurity Hub 可以聚合、组织和优先处理来自多个 AWS 服务的安全告警或结果。其中一些服务包括 Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management (IAM) Access Analyzer、AWS Firewall Manager 和 AWS 合作伙伴解决方案。 | |
| SI.2.216 | 监控组织系统，包括入站和出站通信流量，以检测攻击和潜在攻击的迹象。 | 为了帮助在您的环境中进行日志记录和监控，请在区域和全局 Web ACL 上启用 AWS WAF (V2) 日志记录。AWSWAF 日志记录提供有关 Web ACL 分析的流量的详细信息。日志记录 AWS 接收来自 AWS 资源的请求的时间，有关请求的详细信息，以及每个请求所匹配的规则的操作。 | |
| SI.2.217 | 识别对组织系统的未经授权使用。 | API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。 | |
| SI.2.217 | 识别对组织系统的未经授权使用。 | 收集 Simple Storage Service (Amazon S3) 数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。 | |
| SI.2.217 | 识别对组织系统的未经授权使用。 | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您的 AWS 账户中 API 调用活动的详细信息。 | |
| SI.2.217 | 识别对组织系统的未经授权使用。 | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用 AWS 服务的用户和 AWS 账户、发出调用的源 IP 地址以及调用的时间。捕获的数据的详细信息可在 AWS CloudTrail“记录内容”中查看。 | |
| SI.2.217 | 识别对组织系统的未经授权使用。 | 使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。AWSSystems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。 | |
| SI.2.217 | 识别对组织系统的未经授权使用。 | Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息 (例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。 | |
| SI.2.217 | 识别对组织系统的未经授权使用。 | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。 | |
| SI.2.217 | 识别对组织系统的未经授权使用。 | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外，当 AWS 推出新区域时，CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | |
| SI.2.217 | 识别对组织系统的未经授权使用。 | 为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service (Amazon RDS) 日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。 | |
| SI.2.217 | 识别对组织系统的未经授权使用。 | Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | |
| SI.2.217 | 识别对组织系统的未经授权使用。 | AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。AWSSecurity Hub 可以聚合、组织和优先处理来自多个 AWS 服务的安全告警或结果。其中一些服务包括 Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management (IAM) Access Analyzer、AWS Firewall Manager 和 AWS 合作伙伴解决方案。 | |
| SI.2.217 | 识别对组织系统的未经授权使用。 | 为了帮助在您的环境中进行日志记录和监控，请在区域和全局 Web ACL 上启用 AWS WAF (V2) 日志记录。AWSWAF 日志记录提供有关 Web ACL 分析的流量的详细信息。日志记录 AWS 接收来自 AWS 资源的请求的时间，有关请求的详细信息，以及每个请求所匹配的规则的操作。 | |
| SI.4.221 | 使用与受保护的信息和系统相关的威胁指标信息以及从外部组织获得的有效缓解措施，为入侵检测和威胁搜寻提供信息。 | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。 | |
| SI.5.222 | 分析系统行为，以检测和缓解表明恶意行为的正常系统命令和脚本的执行情况。 | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。 | |
| SI.5.223 | 持续监控个人和系统组件是否存在异常或可疑行为。 | 确保在 Elastic Load Balancers (ELB) 上启用 AWS WAF，以帮助保护 Web 应用程序。WAF 有助于保护您的 Web 应用程序或 API 免遭常见 Web 漏洞的侵害。这些 Web 漏洞可能会影响可用性、损害安全性或消耗环境中过多的资源。 | |
| SI.5.223 | 持续监控个人和系统组件是否存在异常或可疑行为。 | 通过 AWS WAF，您可以配置一组规则（称为 Web 访问控制列表，即 Web ACL），基于可自定义的 Web 安全规则以及您定义的条件，允许、阻止 Web 请求或统计 Web 请求数量。确保您的 Amazon API Gateway 阶段与某个 WAF Web ACL 关联，以保护其免受恶意攻击 | |
| SI.5.223 | 持续监控个人和系统组件是否存在异常或可疑行为。 | API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。 | |
| SI.5.223 | 持续监控个人和系统组件是否存在异常或可疑行为。 | 收集 Simple Storage Service (Amazon S3) 数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。 | |
| SI.5.223 | 持续监控个人和系统组件是否存在异常或可疑行为。 | 当指标在指定数量的评估期超过阈值时，Amazon CloudWatch 会发出警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired（Config 默认值：True）、insufficientDataActionRequired（Config 默认值：True）、okActionRequired（Config 默认值：False）的值。实际值应反映您的环境的警报操作。 | |
| SI.5.223 | 持续监控个人和系统组件是否存在异常或可疑行为。 | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您的 AWS 账户中 API 调用活动的详细信息。 | |
| SI.5.223 | 持续监控个人和系统组件是否存在异常或可疑行为。 | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用 AWS 服务的用户和 AWS 账户、发出调用的源 IP 地址以及调用的时间。捕获的数据的详细信息可在 AWS CloudTrail“记录内容”中查看。 | |
| SI.5.223 | 持续监控个人和系统组件是否存在异常或可疑行为。 | 确保为日志组保留事件日志数据的最短时间，以帮助进行故障排除和取证调查。缺乏过去的事件日志数据会让重建和识别潜在的恶意事件变得困难。 | |
| SI.5.223 | 持续监控个人和系统组件是否存在异常或可疑行为。 | Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息 (例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。 | |
| SI.5.223 | 持续监控个人和系统组件是否存在异常或可疑行为。 | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。 | |
| SI.5.223 | 持续监控个人和系统组件是否存在异常或可疑行为。 | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外，当 AWS 推出新区域时，CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | |
| SI.5.223 | 持续监控个人和系统组件是否存在异常或可疑行为。 | 为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service (Amazon RDS) 日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。 | |
| SI.5.223 | 持续监控个人和系统组件是否存在异常或可疑行为。 | Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | |
| SI.5.223 | 持续监控个人和系统组件是否存在异常或可疑行为。 | AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。AWSSecurity Hub 可以聚合、组织和优先处理来自多个 AWS 服务的安全告警或结果。其中一些服务包括 Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management (IAM) Access Analyzer、AWS Firewall Manager 和 AWS 合作伙伴解决方案。 | |
| SI.5.223 | 持续监控个人和系统组件是否存在异常或可疑行为。 | 为了帮助在您的环境中进行日志记录和监控，请在区域和全局 Web ACL 上启用 AWS WAF (V2) 日志记录。AWSWAF 日志记录提供有关 Web ACL 分析的流量的详细信息。日志记录 AWS 接收来自 AWS 资源的请求的时间，有关请求的详细信息，以及每个请求所匹配的规则的操作。 |
模板
该模板可在 GitHub 上找到：CMMC Level 5 操作最佳实践
