适用于 FedRAMP（中等）的运营最佳实践

Conformance packs提供了通用的合规性框架，旨在使您能够使用托管或自定义AWS Config规则和AWS Config补救措施来创建安全、运营或成本优化治理检查。作为示例模板的Conformance Packs并不是为了完全确保符合特定的治理或合规性标准而设计的。您有责任自行评估您对服务的使用是否符合适用的法律和监管要求。

以下提供了联邦风险与授权管理项目 (FedRAMP) 与AWS托管Config 规则之间的映射示例。每个 Config 规则都适用于特定AWS资源，并与一个或多个 FedRAMP 控件相关。一个 FedRAMP 控件可以与多个Config 规则相关联。有关这些映射的更多详细信息和指导，请参阅下表。

本Conformance Pack已通过AWS Security Assurance Services LLC（AWSSAS）的验证，该团队由支付卡行业合格安全评估员（QSA）、HITRUST 认证通用安全框架从业人员（ccsFP）和认证为各种行业框架提供指导和评估的合规专业人员组成。 AWSSAS 专业人员设计了这个 Conformance Pack，使客户能够与 FedRAMP 控制的子集保持一致。

AWS 区域: 除了（美国东部）、AWS GovCloud （美国西部）和中东AWS GovCloud （巴林）之外的所有支持一致性包AWS 区域的地方（区域支持）

控制 ID	控件描述	AWSConfig 规则	指导
AC-2 (1)	该组织采用自动化机制来支持信息系统账户的管理。	iam-no-inline-policy-检查	确保IdAWS entity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有内联策略来控制对系统和资产的访问权限。 AWS建议使用策略而不是内联策略。托管策略允许可重用性、版本控制和回滚以及委托权限管理。
AC-2 (1)	该组织采用自动化机制来支持信息系统账户的管理。	已启用安全集线器	AWSSecurity Hub 有助于监控未经授权的人员、连接、设备和软件。 AWSSecurity Hub 可以聚合、组织和优先处理处理处理处理处理处理来自多个AWS服务的安全告警或结果。其中一些服务包括亚马逊Security Hub、Amazon Inspector、Amazon Macie、IdentAWS ity and Access Management (IAM) 访问分析器和FiAWS rewall Manager 以及AWS合作伙伴解决方案。
AC-2 (1)	该组织采用自动化机制来支持信息系统账户的管理。	access-keys-rotated	通过确保 IAM 访问密钥按照组织政策轮换，对授权设备、用户和流程的证书进行审计。定期更改访问密钥是一种最佳安全实践。它缩短了访问密钥的有效时间，并减少了密钥泄露时对业务的影响。此规则需要访问密钥轮换值（Config 默认值：90）。实际价值应反映贵组织的政策。
AC-2 (1)	该组织采用自动化机制来支持信息系统账户的管理。	guardduty-enabled-centralized	亚马逊 GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意IP和机器学习的列表，以标识您的AWS云环境中意外的和未经授权的恶意活动。
AC-2 (1)	该组织采用自动化机制来支持信息系统账户的管理。	iam-password-policy	身份和证书是根据组织的 IAM 密码策略颁发、管理和验证的。它们达到或超过了 NIST SP 800-63 和密码强度AWS基础安全最佳实践标准规定的要求。此规则允许您根据需要设置 RequireUppercaseCharacters （AWS基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS基础安全最佳实践值：true）、 RequireSymbols （AWS基础安全最佳实践值：true）、 RequireNumbers （AWS基础安全最佳实践值：true）、 MinimumPasswordLength （AWS基础安全最佳实践值：14）、 PasswordReusePrevention （AWS基础安全最佳实践值：24）和 MaxPasswordAge （AWS基础安全最佳实践值：90）IAM 密码策略。实际值应反映贵组织的政策。
AC-2 (1)	该组织采用自动化机制来支持信息系统账户的管理。	iam-policy-no-statements-with-admin-access	AWSIdentity and Access Management (IAM) 可以帮助您将最低权限和职责分离的原则与访问权限和授权相结合，限制策略中包含 “效果”：“允许” 和 “操作”：“*” 而不是 “资源”：“*”。允许用户拥有超过完成任务所需的权限可能违反最小权限和职责分离原则。
AC-2 (1)	该组织采用自动化机制来支持信息系统账户的管理。	iam-root-access-key-检查	通过检查根用户的Identity and Access ManagemAWS ent (IAM) 角色是否附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的AWS帐户来帮助纳入功能最少的原则。
AC-2 (1)	该组织采用自动化机制来支持信息系统账户的管理。	iam-user-group-membership-检查	AWSIdentity and Access Management (IAM) 可以确保用户是至少一个群组的成员，从而帮助您限制访问权限和授权。允许用户超过完成任务所需的权限可能违反最小权限和职责分离原则。
AC-2 (1)	该组织采用自动化机制来支持信息系统账户的管理。	iam-user-mfa-enabled	启用此规则以限制对AWS云中资源的访问。规则确保对所有用户启用多重身份验证 (MFA)。MFA 在登录凭证之上增加了一层额外的保护。通过要求用户使用 MFA 来减少账户被盗事件。
AC-2 (1)	该组织采用自动化机制来支持信息系统账户的管理。	iam-user-no-policies-检查	此规则确保IIdAWS entity and Access Management (IAM) 策略仅附加到群组或角色以控制对系统和资产的访问。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。
AC-2 (1)	该组织采用自动化机制来支持信息系统账户的管理。	iam-user-unused-credentials-检查	AWSIdentity and Access Management (IAM) 可以通过检查在指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果识别出这些未使用的证书，则应禁用和/或删除这些证书，因为这可能违反最小权限原则。此规则要求您为 maxCredentialUsage年龄设置一个值（Config 默认值：90）。实际价值应反映贵组织的政策。
AC-2 (1)	该组织采用自动化机制来支持信息系统账户的管理。	mfa-enabled-for-iam-控制台访问权限	通过确保所有拥有控制台密码的Identity and Access ManagemAWS ent (IAM) 用户启用 MFA 来管理对AWS云中资源的访问权限。MFA 在登录凭证之上增加了一层额外的保护。通过要求用户使用 MFA，您可以减少账户被盗事件，并防止未经授权的用户访问敏感数据。
AC-2 (1)	该组织采用自动化机制来支持信息系统账户的管理。	root-account-hardware-mfa-启用	通过确保为根用户启用硬件 MFA，管理对AWS云中资源的访问权限。根用户是AWS账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户使用 MFA，可以减少AWS账户被入侵的发生。
AC-2 (1)	该组织采用自动化机制来支持信息系统账户的管理。	root-account-mfa-enabled	通过确保为根用户启用 MFA 来管理对AWS云中资源的访问权限。根用户是AWS账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户使用 MFA，可以减少AWS账户被入侵的发生。
AC-2 (3)	信息系统会在 90 天后自动禁用用户的非活动账户。	iam-password-policy	身份和证书是根据组织的 IAM 密码策略颁发、管理和验证的。它们达到或超过了 NIST SP 800-63 和密码强度AWS基础安全最佳实践标准规定的要求。此规则允许您根据需要设置 RequireUppercaseCharacters （AWS基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS基础安全最佳实践值：true）、 RequireSymbols （AWS基础安全最佳实践值：true）、 RequireNumbers （AWS基础安全最佳实践值：true）、 MinimumPasswordLength （AWS基础安全最佳实践值：14）、 PasswordReusePrevention （AWS基础安全最佳实践值：24）和 MaxPasswordAge （AWS基础安全最佳实践值：90）IAM 密码策略。实际值应反映贵组织的政策。
AC-2 (3)	信息系统会在 90 天后自动禁用用户的非活动账户。	iam-user-unused-credentials-检查	AWSIdentity and Access Management (IAM) 可以通过检查在指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果识别出这些未使用的证书，则应禁用和/或删除这些证书，因为这可能违反最小权限原则。此规则要求您为 maxCredentialUsage年龄设置一个值（Config 默认值：90）。实际价值应反映贵组织的政策。
AC-2 (4)	信息系统自动审核账户的创建、修改、启用、禁用和删除操作，并通知 [分配：组织定义的人员或角色]。	codebuild-project-logging-enabled	确保启用AWS CodeBuild 项目日志记录，以便将构建输出日志发送到亚马逊 CloudWatch 或亚马逊Simple Storage Service (Amazon S3)。生成输出日志提供有关您的构建项目的详细信息。
AC-2 (4)	信息系统自动审核账户的创建、修改、启用、禁用和删除操作，并通知 [分配：组织定义的人员或角色]。	multi-region-cloudtrail-enabled	AWS CloudTrail 记录AWS管理控制台操作和 API 调用。您可以标识哪些用户和账户调调调调调调调调调调调调调AWS调调调调调调调调调调调调调调调调用了调用了调用了调用了调用了调用了 CloudTrail 如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，则会将所有AWS区域的日志文件传输到您的 S3 存储桶。此外，当AWS启动新区域时， CloudTrail 将在新区域中创建相同的路径。因此，您无需采取任何操作即可收到包含新区域的 API 活动的日志文件。
AC-2 (4)	信息系统自动审核账户的创建、修改、启用、禁用和删除操作，并通知 [分配：组织定义的人员或角色]。	rds-logging-enabled	为了帮助在您的环境中进行记录和监控，请确保启用 Amazon Relational Database Service（Amazon RDS）日志记录 通过 Amazon RDS 日志记录，您可以捕获连接、断开连接、查询或查询表等事件。
AC-2 (4)	信息系统自动审核账户的创建、修改、启用、禁用和删除操作，并通知 [分配：组织定义的人员或角色]。	已启用安全集线器	AWSSecurity Hub 有助于监控未经授权的人员、连接、设备和软件。 AWSSecurity Hub 可以聚合、组织和优先处理处理处理处理处理处理来自多个AWS服务的安全告警或结果。其中一些服务包括亚马逊Security Hub、Amazon Inspector、Amazon Macie、IdentAWS ity and Access Management (IAM) 访问分析器和FiAWS rewall Manager 以及AWS合作伙伴解决方案。
AC-2 (4)	信息系统自动审核账户的创建、修改、启用、禁用和删除操作，并通知 [分配：组织定义的人员或角色]。	cloud-trail-cloud-watch-启用日志	使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含AWS CloudTrail 数据可提供您AWS账户内的 API 调用活动的详细信息。
AC-2 (4)	信息系统自动审核账户的创建、修改、启用、禁用和删除操作，并通知 [分配：组织定义的人员或角色]。	已启用云端追踪	AWS CloudTrail 可以通过记录AWS管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用AWS服务的用户和AWS帐户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在AWS CloudTrail 记录内容中查看。
AC-2 (4)	信息系统自动审核账户的创建、修改、启用、禁用和删除操作，并通知 [分配：组织定义的人员或角色]。	cloudtrail-s3 数据事件已启用	SimpSimple Storage Service (Amazon S3) 数据事件的收集有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的AWS账户信息、IP 地址和事件时间。
AC-2 (4)	信息系统自动审核账户的创建、修改、启用、禁用和删除操作，并通知 [分配：组织定义的人员或角色]。	cloudwatch-alarm-action-check	当该指标在指定数量的评估期内超出阈值，Amazon CloudWatch 将变为 ALARM。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （Config 默认值：True）、 insufficientDataAction必需（Config 默认值：True）、 okActionRequired （Config 默认值：False）的值。实际值应反映您环境的警报操作。
AC-2 (4)	信息系统自动审核账户的创建、修改、启用、禁用和删除操作，并通知 [分配：组织定义的人员或角色]。	guardduty-enabled-centralized	亚马逊 GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意IP和机器学习的列表，以标识您的AWS云环境中意外的和未经授权的恶意活动。
AC-2 (4)	信息系统自动审核账户的创建、修改、启用、禁用和删除操作，并通知 [分配：组织定义的人员或角色]。	redshift-cluster-configuration-check	要保护静态数据，请确保为您的 Amazon Redshift 集群启用加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用有关数据库中的连接和用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户活动的信息。此规则要求为 clusterDbEncrypted （Config 默认值：TRUE）和启用日志（Config 默认值：TRUE）设置值。实际值应反映贵组织的政策。
AC-2 (4)	信息系统自动审核账户的创建、修改、启用、禁用和删除操作，并通知 [分配：组织定义的人员或角色]。	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 服务器访问日志提供了一种监控网络中潜在网络安全事件的方法。通过捕获对 Amazon S3 存储桶提出的各种请求的详细记录来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。详细信息包括请求者、存储桶名称、请求时间、请求操作、请求操作、请求操作、响应状态和请求操作、响应状态和错误代码（如果相关）。
AC-2 (7)	组织：(a) 根据基于角色的访问方案建立和管理特权用户，该方案将允许的信息系统访问权限和权限组织成角色；(b) 监控特权角色分配；(c) 在特权角色分配不再合适时采取 [分配：组织定义的操作]。补充指南：特权角色是分配给个人的组织定义的角色，允许这些个人执行普通用户无权执行的某些与安全相关的功能。例如，这些特权角色包括密钥管理、帐户管理、网络和系统管理、数据库管理和 Web 管理。	iam-customer-policy-blocked-kms-actions	AWSIdentity and Access Management (IAM) 可以帮助您将最低权限和职责分离的原则与访问权限和授权相结合，限制策略包含对所有AWS密钥管理服务密钥的封锁操作。拥有超过完成任务所需的权限可能违反最小权限和职责分离的原则。此规则允许您设置 blockedActionsPatterns 参数。（AWS基础安全最佳实践值：kms: Decrypt，kms:ReEncryptFrom）。实际值应反映贵组织的政策
AC-2 (7)	组织：(a) 根据基于角色的访问方案建立和管理特权用户，该方案将允许的信息系统访问权限和权限组织成角色；(b) 监控特权角色分配；(c) 在特权角色分配不再合适时采取 [分配：组织定义的操作]。补充指南：特权角色是分配给个人的组织定义的角色，允许这些个人执行普通用户无权执行的某些与安全相关的功能。例如，这些特权角色包括密钥管理、帐户管理、网络和系统管理、数据库管理和 Web 管理。	iam-group-has-users-检查	AWSIdentity and Access Management (IAM) 可以确保 IAM 群组至少有一个用户，从而帮助您将最低权限和职责分离的原则与访问权限和授权相结合。根据用户的关联权限或工作职能将用户分组是纳入最低权限的一种方法。
AC-2 (7)	组织：(a) 根据基于角色的访问方案建立和管理特权用户，该方案将允许的信息系统访问权限和权限组织成角色；(b) 监控特权角色分配；(c) 在特权角色分配不再合适时采取 [分配：组织定义的操作]。补充指南：特权角色是分配给个人的组织定义的角色，允许这些个人执行普通用户无权执行的某些与安全相关的功能。例如，这些特权角色包括密钥管理、帐户管理、网络和系统管理、数据库管理和 Web 管理。	iam-inline-policy-blocked-kms-actions	确保IdAWS entity and Access Management (IAM) 用户、IAM 角色或 IAM 群组没有允许对所有AWS密钥管理服务密钥执行封锁操作的内联策略。 AWS建议使用策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委派权限管理。此规则允许您设置 blockedActionsPatterns 参数。（AWS基础安全最佳实践值：kms: Decrypt，kms:ReEncryptFrom）。实际值应反映贵组织的政策。
AC-2 (7)	组织：(a) 根据基于角色的访问方案建立和管理特权用户，该方案将允许的信息系统访问权限和权限组织成角色；(b) 监控特权角色分配；(c) 在特权角色分配不再合适时采取 [分配：组织定义的操作]。补充指南：特权角色是分配给个人的组织定义的角色，允许这些个人执行普通用户无权执行的某些与安全相关的功能。例如，这些特权角色包括密钥管理、帐户管理、网络和系统管理、数据库管理和 Web 管理。	iam-no-inline-policy-检查	确保IdAWS entity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有内联策略来控制对系统和资产的访问权限。 AWS建议使用策略而不是内联策略。托管策略允许可重用性、版本控制和回滚以及委托权限管理。
AC-2 (7)	组织：(a) 根据基于角色的访问方案建立和管理特权用户，该方案将允许的信息系统访问权限和权限组织成角色；(b) 监控特权角色分配；(c) 在特权角色分配不再合适时采取 [分配：组织定义的操作]。补充指南：特权角色是分配给个人的组织定义的角色，允许这些个人执行普通用户无权执行的某些与安全相关的功能。例如，这些特权角色包括密钥管理、帐户管理、网络和系统管理、数据库管理和 Web 管理。	iam-policy-no-statements-with-admin-access	AWSIdentity and Access Management (IAM) 可以帮助您将最低权限和职责分离的原则与访问权限和授权相结合，限制策略中包含 “效果”：“允许” 和 “操作”：“*” 而不是 “资源”：“*”。允许用户拥有超过完成任务所需的权限可能违反最小权限和职责分离原则。
AC-2 (7)	组织：(a) 根据基于角色的访问方案建立和管理特权用户，该方案将允许的信息系统访问权限和权限组织成角色；(b) 监控特权角色分配；(c) 在特权角色分配不再合适时采取 [分配：组织定义的操作]。补充指南：特权角色是分配给个人的组织定义的角色，允许这些个人执行普通用户无权执行的某些与安全相关的功能。例如，这些特权角色包括密钥管理、帐户管理、网络和系统管理、数据库管理和 Web 管理。	iam-policy-no-statements-with-full-access	确保 IAM 操作仅限于所需的操作。允许用户拥有超过完成任务所需的权限可能违反最小权限和职责分离原则。
AC-2 (12) (a)	组织：a。监视信息系统帐户的 [任务：组织定义的非典型用途]。	已启用安全集线器	AWSSecurity Hub 有助于监控未经授权的人员、连接、设备和软件。 AWSSecurity Hub 可以聚合、组织和优先处理处理处理处理处理处理来自多个AWS服务的安全告警或结果。其中一些服务包括亚马逊Security Hub、Amazon Inspector、Amazon Macie、IdentAWS ity and Access Management (IAM) 访问分析器和FiAWS rewall Manager 以及AWS合作伙伴解决方案。
AC-2 (12) (a)	组织：a。监视信息系统帐户的 [任务：组织定义的非典型用途]。	guardduty-enabled-centralized	亚马逊 GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意IP和机器学习的列表，以标识您的AWS云环境中意外的和未经授权的恶意活动。
AC-2 (f)	该组织：f。根据 [分配：组织定义的程序或条件] 创建、启用、修改、禁用和删除信息系统帐户。	iam-inline-policy-blocked-kms-actions	确保IdAWS entity and Access Management (IAM) 用户、IAM 角色或 IAM 群组没有允许对所有AWS密钥管理服务密钥执行封锁操作的内联策略。 AWS建议使用策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委派权限管理。此规则允许您设置 blockedActionsPatterns 参数。（AWS基础安全最佳实践值：kms: Decrypt，kms:ReEncryptFrom）。实际值应反映贵组织的政策。
AC-2 (f)	该组织：f。根据 [分配：组织定义的程序或条件] 创建、启用、修改、禁用和删除信息系统帐户。	iam-no-inline-policy-检查	确保IdAWS entity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有内联策略来控制对系统和资产的访问权限。 AWS建议使用策略而不是内联策略。托管策略允许可重用性、版本控制和回滚以及委托权限管理。
AC-2 (f)	该组织：f。根据 [分配：组织定义的程序或条件] 创建、启用、修改、禁用和删除信息系统帐户。	iam-policy-no-statements-with-admin-access	AWSIdentity and Access Management (IAM) 可以帮助您将最低权限和职责分离的原则与访问权限和授权相结合，限制策略中包含 “效果”：“允许” 和 “操作”：“*” 而不是 “资源”：“*”。允许用户拥有超过完成任务所需的权限可能违反最小权限和职责分离原则。
AC-2 (f)	该组织：f。根据 [分配：组织定义的程序或条件] 创建、启用、修改、禁用和删除信息系统帐户。	iam-policy-no-statements-with-full-access	确保 IAM 操作仅限于所需的操作。允许用户拥有超过完成任务所需的权限可能违反最小权限和职责分离原则。
AC-2 (f)	该组织：f。根据 [分配：组织定义的程序或条件] 创建、启用、修改、禁用和删除信息系统帐户。	access-keys-rotated	通过确保 IAM 访问密钥按照组织政策轮换，对授权设备、用户和流程的证书进行审计。定期更改访问密钥是一种最佳安全实践。它缩短了访问密钥的有效时间，并减少了密钥泄露时对业务的影响。此规则需要访问密钥轮换值（Config 默认值：90）。实际价值应反映贵组织的政策。
AC-2 (f)	该组织：f。根据 [分配：组织定义的程序或条件] 创建、启用、修改、禁用和删除信息系统帐户。	iam-password-policy	身份和证书是根据组织的 IAM 密码策略颁发、管理和验证的。它们达到或超过了 NIST SP 800-63 和密码强度AWS基础安全最佳实践标准规定的要求。此规则允许您根据需要设置 RequireUppercaseCharacters （AWS基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS基础安全最佳实践值：true）、 RequireSymbols （AWS基础安全最佳实践值：true）、 RequireNumbers （AWS基础安全最佳实践值：true）、 MinimumPasswordLength （AWS基础安全最佳实践值：14）、 PasswordReusePrevention （AWS基础安全最佳实践值：24）和 MaxPasswordAge （AWS基础安全最佳实践值：90）IAM 密码策略。实际值应反映贵组织的政策。
AC-2 (f)	该组织：f。根据 [分配：组织定义的程序或条件] 创建、启用、修改、禁用和删除信息系统帐户。	iam-root-access-key-检查	通过检查根用户的Identity and Access ManagemAWS ent (IAM) 角色是否附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的AWS帐户来帮助纳入功能最少的原则。
AC-2 (f)	该组织：f。根据 [分配：组织定义的程序或条件] 创建、启用、修改、禁用和删除信息系统帐户。	iam-user-group-membership-检查	AWSIdentity and Access Management (IAM) 可以确保用户是至少一个群组的成员，从而帮助您限制访问权限和授权。允许用户超过完成任务所需的权限可能违反最小权限和职责分离原则。
AC-2 (f)	该组织：f。根据 [分配：组织定义的程序或条件] 创建、启用、修改、禁用和删除信息系统帐户。	iam-user-mfa-enabled	启用此规则以限制对AWS云中资源的访问。规则确保对所有用户启用多重身份验证 (MFA)。MFA 在登录凭证之上增加了一层额外的保护。通过要求用户使用 MFA 来减少账户被盗事件。
AC-2 (f)	该组织：f。根据 [分配：组织定义的程序或条件] 创建、启用、修改、禁用和删除信息系统帐户。	iam-user-no-policies-检查	此规则确保IIdAWS entity and Access Management (IAM) 策略仅附加到群组或角色以控制对系统和资产的访问。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。
AC-2 (f)	该组织：f。根据 [分配：组织定义的程序或条件] 创建、启用、修改、禁用和删除信息系统帐户。	iam-user-unused-credentials-检查	AWSIdentity and Access Management (IAM) 可以通过检查在指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果识别出这些未使用的证书，则应禁用和/或删除这些证书，因为这可能违反最小权限原则。此规则要求您为 maxCredentialUsage年龄设置一个值（Config 默认值：90）。实际价值应反映贵组织的政策。
AC-2 (f)	该组织：f。根据 [分配：组织定义的程序或条件] 创建、启用、修改、禁用和删除信息系统帐户。	mfa-enabled-for-iam-控制台访问权限	通过确保所有拥有控制台密码的Identity and Access ManagemAWS ent (IAM) 用户启用 MFA 来管理对AWS云中资源的访问权限。MFA 在登录凭证之上增加了一层额外的保护。通过要求用户使用 MFA，您可以减少账户被盗事件，并防止未经授权的用户访问敏感数据。
AC-2 (f)	该组织：f。根据 [分配：组织定义的程序或条件] 创建、启用、修改、禁用和删除信息系统帐户。	root-account-hardware-mfa-启用	通过确保为根用户启用硬件 MFA，管理对AWS云中资源的访问权限。根用户是AWS账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户使用 MFA，可以减少AWS账户被入侵的发生。
AC-2 (f)	该组织：f。根据 [分配：组织定义的程序或条件] 创建、启用、修改、禁用和删除信息系统帐户。	root-account-mfa-enabled	通过确保为根用户启用 MFA 来管理对AWS云中资源的访问权限。根用户是AWS账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户使用 MFA，可以减少AWS账户被入侵的发生。
AC-2 (g)	该组织：g. 监控信息系统帐户的使用。	api-gw-execution-logging-启用	API Gateway 日志记录显示了访问 API 的用户的详细视图以及他们访问 API 的方式。这种见解可以让用户活动变得可见。
AC-2 (g)	该组织：g. 监控信息系统帐户的使用。	codebuild-project-logging-enabled	确保启用AWS CodeBuild 项目日志记录，以便将构建输出日志发送到亚马逊 CloudWatch 或亚马逊Simple Storage Service (Amazon S3)。生成输出日志提供有关您的构建项目的详细信息。
AC-2 (g)	该组织：g. 监控信息系统帐户的使用。	elasticsearch-logs-to-cloudwatch	确保 Amazon Serv OpenSearch ice 域启用错误日志并将其传输到 Amazon CloudWatch Logs 以进行保留和响应。域错误日志可以帮助进行安全和访问审计，并可以帮助诊断可用性问题。
AC-2 (g)	该组织：g. 监控信息系统帐户的使用。	multi-region-cloudtrail-enabled	AWS CloudTrail 记录AWS管理控制台操作和 API 调用。您可以标识哪些用户和账户调调调调调调调调调调调调调AWS调调调调调调调调调调调调调调调调用了调用了调用了调用了调用了调用了 CloudTrail 如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，则会将所有AWS区域的日志文件传输到您的 S3 存储桶。此外，当AWS启动新区域时， CloudTrail 将在新区域中创建相同的路径。因此，您无需采取任何操作即可收到包含新区域的 API 活动的日志文件。
AC-2 (g)	该组织：g. 监控信息系统帐户的使用。	rds-logging-enabled	为了帮助在您的环境中进行记录和监控，请确保启用 Amazon Relational Database Service（Amazon RDS）日志记录 通过 Amazon RDS 日志记录，您可以捕获连接、断开连接、查询或查询表等事件。
AC-2 (g)	该组织：g. 监控信息系统帐户的使用。	已启用安全集线器	AWSSecurity Hub 有助于监控未经授权的人员、连接、设备和软件。 AWSSecurity Hub 可以聚合、组织和优先处理处理处理处理处理处理来自多个AWS服务的安全告警或结果。其中一些服务包括亚马逊Security Hub、Amazon Inspector、Amazon Macie、IdentAWS ity and Access Management (IAM) 访问分析器和FiAWS rewall Manager 以及AWS合作伙伴解决方案。
AC-2 (g)	该组织：g. 监控信息系统帐户的使用。	启用 wafv2 日志记录	为了帮助在您的环境中进行日志记录和监控，请在区域和全球 Web ACL 上启用AWS WAF (V2) 登录。 AWSWAF 日志记录提供有关您的 Web ACL 分析的流量的详细信息。日志记录AWS WAF 从您的AWS资源收到请求的时间，有关请求的信息以及每个请求所匹配的规则的操作。
AC-2 (g)	该组织：g. 监控信息系统帐户的使用。	cloud-trail-cloud-watch-启用日志	使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含AWS CloudTrail 数据可提供您AWS账户内的 API 调用活动的详细信息。
AC-2 (g)	该组织：g. 监控信息系统帐户的使用。	已启用云端追踪	AWS CloudTrail 可以通过记录AWS管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用AWS服务的用户和AWS帐户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在AWS CloudTrail 记录内容中查看。
AC-2 (g)	该组织：g. 监控信息系统帐户的使用。	cloudtrail-s3 数据事件已启用	SimpSimple Storage Service (Amazon S3) 数据事件的收集有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的AWS账户信息、IP 地址和事件时间。
AC-2 (g)	该组织：g. 监控信息系统帐户的使用。	guardduty-enabled-centralized	亚马逊 GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意IP和机器学习的列表，以标识您的AWS云环境中意外的和未经授权的恶意活动。
AC-2 (g)	该组织：g. 监控信息系统帐户的使用。	opensearch-logs-to-cloudwatch	确保 Amazon Serv OpenSearch ice 域启用错误日志并将其传输到 Amazon CloudWatch Logs 以进行保留和响应。 OpenSearch 服务错误日志可以帮助进行安全和访问审计，并可以帮助诊断可用性问题。
AC-2 (g)	该组织：g. 监控信息系统帐户的使用。	redshift-cluster-configuration-check	要保护静态数据，请确保为您的 Amazon Redshift 集群启用加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用有关数据库中的连接和用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户活动的信息。此规则要求为 clusterDbEncrypted （Config 默认值：TRUE）和启用日志（Config 默认值：TRUE）设置值。实际值应反映贵组织的政策。
AC-2 (g)	该组织：g. 监控信息系统帐户的使用。	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 服务器访问日志提供了一种监控网络中潜在网络安全事件的方法。通过捕获对 Amazon S3 存储桶提出的各种请求的详细记录来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。详细信息包括请求者、存储桶名称、请求时间、请求操作、请求操作、请求操作、响应状态和请求操作、响应状态和错误代码（如果相关）。
AC-2 (j)	该组织：j。审查账户是否符合账户管理要求 [分配：组织定义的频率]。	ec2-instance-profile-attached	EC2 实例配置文件会将 IAM 角色传递给 EC2 实例。将实例配置文件附加到您的实例可以帮助进行最低权限和权限管理。
AC-2 (j)	该组织：j。审查账户是否符合账户管理要求 [分配：组织定义的频率]。	ecs-task-definition-user-for-host-mode-check	如果任务定义具有更高的权限，那是因为客户特别选择了这些配置。当任务定义启用了主机联网但客户尚未选择启用提升权限时，此控件会检查是否存在意外权限升级。
AC-2 (j)	该组织：j。审查账户是否符合账户管理要求 [分配：组织定义的频率]。	iam-customer-policy-blocked-kms-actions	AWSIdentity and Access Management (IAM) 可以帮助您将最低权限和职责分离的原则与访问权限和授权相结合，限制策略包含对所有AWS密钥管理服务密钥的封锁操作。拥有超过完成任务所需的权限可能违反最小权限和职责分离的原则。此规则允许您设置 blockedActionsPatterns 参数。（AWS基础安全最佳实践值：kms: Decrypt，kms:ReEncryptFrom）。实际值应反映贵组织的政策
AC-2 (j)	该组织：j。审查账户是否符合账户管理要求 [分配：组织定义的频率]。	iam-inline-policy-blocked-kms-actions	确保IdAWS entity and Access Management (IAM) 用户、IAM 角色或 IAM 群组没有允许对所有AWS密钥管理服务密钥执行封锁操作的内联策略。 AWS建议使用策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委派权限管理。此规则允许您设置 blockedActionsPatterns 参数。（AWS基础安全最佳实践值：kms: Decrypt，kms:ReEncryptFrom）。实际值应反映贵组织的政策。
AC-2 (j)	该组织：j。审查账户是否符合账户管理要求 [分配：组织定义的频率]。	iam-no-inline-policy-检查	确保IdAWS entity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有内联策略来控制对系统和资产的访问权限。 AWS建议使用策略而不是内联策略。托管策略允许可重用性、版本控制和回滚以及委托权限管理。
AC-2 (j)	该组织：j。审查账户是否符合账户管理要求 [分配：组织定义的频率]。	iam-policy-no-statements-with-full-access	确保 IAM 操作仅限于所需的操作。允许用户拥有超过完成任务所需的权限可能违反最小权限和职责分离原则。
AC-2 (j)	该组织：j。审查账户是否符合账户管理要求 [分配：组织定义的频率]。	iam-user-mfa-enabled	启用此规则以限制对AWS云中资源的访问。规则确保对所有用户启用多重身份验证 (MFA)。MFA 在登录凭证之上增加了一层额外的保护。通过要求用户使用 MFA 来减少账户被盗事件。
AC-2 (j)	该组织：j。审查账户是否符合账户管理要求 [分配：组织定义的频率]。	iam-user-unused-credentials-检查	AWSIdentity and Access Management (IAM) 可以通过检查在指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果识别出这些未使用的证书，则应禁用和/或删除这些证书，因为这可能违反最小权限原则。此规则要求您为 maxCredentialUsage年龄设置一个值（Config 默认值：90）。实际价值应反映贵组织的政策。
AC-2 (j)	该组织：j。审查账户是否符合账户管理要求 [分配：组织定义的频率]。	mfa-enabled-for-iam-控制台访问权限	通过确保所有拥有控制台密码的Identity and Access ManagemAWS ent (IAM) 用户启用 MFA 来管理对AWS云中资源的访问权限。MFA 在登录凭证之上增加了一层额外的保护。通过要求用户使用 MFA，您可以减少账户被盗事件，并防止未经授权的用户访问敏感数据。
AC-2 (j)	该组织：j。审查账户是否符合账户管理要求 [分配：组织定义的频率]。	access-keys-rotated	通过确保 IAM 访问密钥按照组织政策轮换，对授权设备、用户和流程的证书进行审计。定期更改访问密钥是一种最佳安全实践。它缩短了访问密钥的有效时间，并减少了密钥泄露时对业务的影响。此规则需要访问密钥轮换值（Config 默认值：90）。实际价值应反映贵组织的政策。
AC-2 (j)	该组织：j。审查账户是否符合账户管理要求 [分配：组织定义的频率]。	iam-group-has-users-检查	AWSIdentity and Access Management (IAM) 可以确保 IAM 群组至少有一个用户，从而帮助您将最低权限和职责分离的原则与访问权限和授权相结合。根据用户的关联权限或工作职能将用户分组是纳入最低权限的一种方法。
AC-2 (j)	该组织：j。审查账户是否符合账户管理要求 [分配：组织定义的频率]。	iam-password-policy	身份和证书是根据组织的 IAM 密码策略颁发、管理和验证的。它们达到或超过了 NIST SP 800-63 和密码强度AWS基础安全最佳实践标准规定的要求。此规则允许您根据需要设置 RequireUppercaseCharacters （AWS基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS基础安全最佳实践值：true）、 RequireSymbols （AWS基础安全最佳实践值：true）、 RequireNumbers （AWS基础安全最佳实践值：true）、 MinimumPasswordLength （AWS基础安全最佳实践值：14）、 PasswordReusePrevention （AWS基础安全最佳实践值：24）和 MaxPasswordAge （AWS基础安全最佳实践值：90）IAM 密码策略。实际值应反映贵组织的政策。
AC-2 (j)	该组织：j。审查账户是否符合账户管理要求 [分配：组织定义的频率]。	iam-policy-no-statements-with-admin-access	AWSIdentity and Access Management (IAM) 可以帮助您将最低权限和职责分离的原则与访问权限和授权相结合，限制策略中包含 “效果”：“允许” 和 “操作”：“*” 而不是 “资源”：“*”。允许用户拥有超过完成任务所需的权限可能违反最小权限和职责分离原则。
AC-2 (j)	该组织：j。审查账户是否符合账户管理要求 [分配：组织定义的频率]。	iam-root-access-key-检查	通过检查根用户的Identity and Access ManagemAWS ent (IAM) 角色是否附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的AWS帐户来帮助纳入功能最少的原则。
AC-2 (j)	该组织：j。审查账户是否符合账户管理要求 [分配：组织定义的频率]。	iam-user-group-membership-检查	AWSIdentity and Access Management (IAM) 可以确保用户是至少一个群组的成员，从而帮助您限制访问权限和授权。允许用户超过完成任务所需的权限可能违反最小权限和职责分离原则。
AC-2 (j)	该组织：j。审查账户是否符合账户管理要求 [分配：组织定义的频率]。	iam-user-no-policies-检查	此规则确保IIdAWS entity and Access Management (IAM) 策略仅附加到群组或角色以控制对系统和资产的访问。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。
AC-2 (j)	该组织：j。审查账户是否符合账户管理要求 [分配：组织定义的频率]。	root-account-mfa-enabled	通过确保为根用户启用 MFA 来管理对AWS云中资源的访问权限。根用户是AWS账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户使用 MFA，可以减少AWS账户被入侵的发生。
C C C C C	信息系统根据适用的访问控制政策，对信息和系统资源的逻辑访问执行经批准的授权。	autoscaling-launch-config-public-ip 已禁用	如果您使用公有 IP 地址配置网络接口，则可以从 Internet 访问这些网络接口的相关资源。EC2 资源不应公开访问，因为这可能允许意外访问您的应用程序或服务器。
C C C C C	信息系统根据适用的访问控制政策，对信息和系统资源的逻辑访问执行经批准的授权。	ec2-imdsv2-check	确保启用实例元数据服务版本 2 (imDSv2) 方法，以帮助保护对Amazon Elastic Compute Cloud (Amazon EC2) 实例元数据的访问和控制。imdsv2 方法使用基于会话的控件。使用 IMDSv2，可以实施控制来限制对实例元数据的更改。
C C C C C	信息系统根据适用的访问控制政策，对信息和系统资源的逻辑访问执行经批准的授权。	ec2-instance-profile-attached	EC2 实例配置文件会将 IAM 角色传递给 EC2 实例。将实例配置文件附加到您的实例可以帮助进行最低权限和权限管理。
C C C C C	信息系统根据适用的访问控制政策，对信息和系统资源的逻辑访问执行经批准的授权。	ecs-task-definition-user-for-host-mode-check	如果任务定义具有更高的权限，那是因为客户特别选择了这些配置。当任务定义启用了主机联网但客户尚未选择启用提升权限时，此控件会检查是否存在意外权限升级。
C C C C C	信息系统根据适用的访问控制政策，对信息和系统资源的逻辑访问执行经批准的授权。	iam-no-inline-policy-检查	确保IdAWS entity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有内联策略来控制对系统和资产的访问权限。 AWS建议使用策略而不是内联策略。托管策略允许可重用性、版本控制和回滚以及委托权限管理。
C C C C C	信息系统根据适用的访问控制政策，对信息和系统资源的逻辑访问执行经批准的授权。	iam-policy-no-statements-with-full-access	确保 IAM 操作仅限于所需的操作。允许用户拥有超过完成任务所需的权限可能违反最小权限和职责分离原则。
C C C C C	信息系统根据适用的访问控制政策，对信息和系统资源的逻辑访问执行经批准的授权。	ssm-document-not-public	确保SAWS ystems Manager (SSM) 文档不公开，因为这可能会允许意外访问您的 SSM 文档。公开 SSM 文档可以公开有关您的账户、资源和内部流程的信息。
C C C C C	信息系统根据适用的访问控制政策，对信息和系统资源的逻辑访问执行经批准的授权。	dms-replication-not-public	通过确保无法公开访问 DMS 复制实例来管理对AWS云的访问权限。DMS 复制实例可能包含敏感信息，此类账户需要访问控制。
C C C C C	信息系统根据适用的访问控制政策，对信息和系统资源的逻辑访问执行经批准的授权。	ebs-snapshot-public-restorable-检查	通过确保 EBS 快照不可公开恢复，管理对AWS云的访问权限。EBS 卷快照可能包含敏感信息，此类账户需要访问控制。
C C C C C	信息系统根据适用的访问控制政策，对信息和系统资源的逻辑访问执行经批准的授权。	ec2-instance-no-public-ip	通过确保无法公开访问Amazon Elastic Compute Cloud (Amazon EC2) 实例，管理对云的访问。AWSAmazon EC2 实例可能包含敏感信息，此类账户需要访问控制。
C C C C C	信息系统根据适用的访问控制政策，对信息和系统资源的逻辑访问执行经批准的授权。	elasticsearch-in-vpc-only	通过确保AmazonAWS Service（ OpenSearch OpenSearch 服务）域在 Amazon Virtual Private Cloud (Amazon VPC) 中管理对云的访问。通过在 Amazon VPC 中的 OpenSearch OpenSearch 服务域，您可以在 Site 和 Amazon VPC 中的其他服务之间进行安全通信，而无需互联网网关、NAT 设备或 VPN 连接。
C C C C C	信息系统根据适用的访问控制政策，对信息和系统资源的逻辑访问执行经批准的授权。	emr-master-no-public-ip	通过确保无法公开访问 Amazon EMR 集群主节点来管理对AWS云的访问权限。Amazon EMR 集群主节点可能包含敏感信息，此类账户需要访问控制。
C C C C C	信息系统根据适用的访问控制政策，对信息和系统资源的逻辑访问执行经批准的授权。	iam-group-has-users-检查	AWSIdentity and Access Management (IAM) 可以确保 IAM 群组至少有一个用户，从而帮助您将最低权限和职责分离的原则与访问权限和授权相结合。根据用户的关联权限或工作职能将用户分组是纳入最低权限的一种方法。
C C C C C	信息系统根据适用的访问控制政策，对信息和系统资源的逻辑访问执行经批准的授权。	iam-policy-no-statements-with-admin-access	AWSIdentity and Access Management (IAM) 可以帮助您将最低权限和职责分离的原则与访问权限和授权相结合，限制策略中包含 “效果”：“允许” 和 “操作”：“*” 而不是 “资源”：“*”。允许用户拥有超过完成任务所需的权限可能违反最小权限和职责分离原则。
C C C C C	信息系统根据适用的访问控制政策，对信息和系统资源的逻辑访问执行经批准的授权。	iam-root-access-key-检查	通过检查根用户的Identity and Access ManagemAWS ent (IAM) 角色是否附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的AWS帐户来帮助纳入功能最少的原则。
C C C C C	信息系统根据适用的访问控制政策，对信息和系统资源的逻辑访问执行经批准的授权。	iam-user-group-membership-检查	AWSIdentity and Access Management (IAM) 可以确保用户是至少一个群组的成员，从而帮助您限制访问权限和授权。允许用户超过完成任务所需的权限可能违反最小权限和职责分离原则。
C C C C C	信息系统根据适用的访问控制政策，对信息和系统资源的逻辑访问执行经批准的授权。	iam-user-no-policies-检查	此规则确保IIdAWS entity and Access Management (IAM) 策略仅附加到群组或角色以控制对系统和资产的访问。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。
C C C C C	信息系统根据适用的访问控制政策，对信息和系统资源的逻辑访问执行经批准的授权。	iam-user-unused-credentials-检查	AWSIdentity and Access Management (IAM) 可以通过检查在指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果识别出这些未使用的证书，则应禁用和/或删除这些证书，因为这可能违反最小权限原则。此规则要求您为 maxCredentialUsage年龄设置一个值（Config 默认值：90）。实际价值应反映贵组织的政策。
C C C C C	信息系统根据适用的访问控制政策，对信息和系统资源的逻辑访问执行经批准的授权。	lambda-function-public-access-禁止	通过确保AWS Lambda 函数无法公开访问，管理对AWS云中资源的访问权限。公共访问可能导致资源可用性下降。
C C C C C	信息系统根据适用的访问控制政策，对信息和系统资源的逻辑访问执行经批准的授权。	lambda-inside-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 中部署AWS Lambda 函数，以实现函数与Amazon VPC 中其他服务之间的安全通信。使用此配置，不需要互联网网关、NAT 网关、NAT 设备或 VPN 连接。AWS云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共端点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全性。为了正确管理访问权限，应AWS将 Lambda 函数分配给 VPC。
C C C C C	信息系统根据适用的访问控制政策，对信息和系统资源的逻辑访问执行经批准的授权。	rds-instance-public-access-检查	通过确保 Amazon RelationAWS al Database Service (Amazon RDS) 实例不公用了。Amazon RDS 数据库实例可能包含敏感信息，此类账户需要原则和访问控制。
C C C C C	信息系统根据适用的访问控制政策，对信息和系统资源的逻辑访问执行经批准的授权。	rds-snapshots-public-prohibited	通过确保 Amazon RelationAWS al Database Service (Amazon RDS) 实例不公用了。Amazon RDS 数据库实例可能包含敏感信息和原则，此类账户需要访问控制。
C C C C C	信息系统根据适用的访问控制政策，对信息和系统资源的逻辑访问执行经批准的授权。	redshift-cluster-public-access-检查	通过确保 Amazon Redshift 集群不公开，管理对AWS云中资源的访问权限。Amazon Redshift 集群可能包含敏感信息和原则，此类账户需要访问控制。
C C C C C	信息系统根据适用的访问控制政策，对信息和系统资源的逻辑访问执行经批准的授权。	s3-account-level-public-access-区块-周期性	通过确保无法公开访问 Amazon Simple Storage SerAWS vice (Amazon S3) 存储桶。该规则通过防止公共访问来帮助保护敏感数据免受未经授权的远程用户的侵害。此规则允许您选择设置 ignorePublicAcls （Config 默认值：True）、 blockPublicPolicy （Config 默认值：True）、 blockPublicAcls （Config 默认值：True）和 restrictPublicBuckets 参数（Config 默认值：True）。实际值应反映贵组织的政策。
C C C C C	信息系统根据适用的访问控制政策，对信息和系统资源的逻辑访问执行经批准的授权。	s3-bucket-level-public-access-禁止	通过确保无法公开访问 Amazon Simple Storage SerAWS vice (Amazon S3) 存储桶。该规则通过防止存储段级别的公共访问来帮助保护敏感数据免受未经授权的远程用户的侵害。
C C C C C	信息系统根据适用的访问控制政策，对信息和系统资源的逻辑访问执行经批准的授权。	s3-bucket-public-read-prohibited	通过仅允许授权的用户、流程和设备访问 Amazon Simple Storage SerAWS vice (Amazon S3) 存储桶。访问管理应与数据的分类保持一致。
C C C C C	信息系统根据适用的访问控制政策，对信息和系统资源的逻辑访问执行经批准的授权。	s3-bucket-public-write-prohibited	通过仅允许授权的用户、流程和设备访问 Amazon Simple Storage SerAWS vice (Amazon S3) 存储桶。访问管理应与数据的分类保持一致。
C C C C C	信息系统根据适用的访问控制政策，对信息和系统资源的逻辑访问执行经批准的授权。	sagemaker-notebook-no-direct-互联网接入	通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对AWS云端资源的访问权限。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。
C C C C C	信息系统根据适用的访问控制政策，对信息和系统资源的逻辑访问执行经批准的授权。	subnet-auto-assign-public-ip 已禁用	通过确保不会自动为Amazon Virtual Private Cloud (VPC) 子网分配公有 IP 地址来管理对云的访问。AWS在启用了此属性的子网中启动的 Amazon Elastic Compute Cloud (EC2) 实例会为其主网络接口分配公有 IP 地址。
C C C C 4	信息系统根据 [分配：组织定义的信息流控制政策] 强制执行经批准的授权，控制系统内部和互联系统之间的信息流。	ec2-instances-in-vpc	通过在Amazon VPC 中部署 Amazon Elastic Compute Cloud (Amazon EC2) 实例，您可以在 Amazon VPC 中的其他服务之间进行安全通信，而无需互联网网关、NAT 设备或 VPN 连接。AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共端点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全性。将 Amazon EC2 实例分配给亚马逊 VPC 以正确管理访问权限。
C C C C 4	信息系统根据 [分配：组织定义的信息流控制政策] 强制执行经批准的授权，控制系统内部和互联系统之间的信息流。	acm-certificate-expiration-check	通过确保AWS ACM 颁发 X509 证书来确保网络完整性。这些证书必须有效且未过期。此规则要求的值为 daysToExpiration （AWS基础安全最佳实践值：90）。实际价值应反映贵组织的政策。
C C C C 4	信息系统根据 [分配：组织定义的信息流控制政策] 强制执行经批准的授权，控制系统内部和互联系统之间的信息流。	dms-replication-not-public	通过确保无法公开访问 DMS 复制实例来管理对AWS云的访问权限。DMS 复制实例可能包含敏感信息，此类账户需要访问控制。
C C C C 4	信息系统根据 [分配：组织定义的信息流控制政策] 强制执行经批准的授权，控制系统内部和互联系统之间的信息流。	ebs-snapshot-public-restorable-检查	通过确保 EBS 快照不可公开恢复，管理对AWS云的访问权限。EBS 卷快照可能包含敏感信息，此类账户需要访问控制。
C C C C 4	信息系统根据 [分配：组织定义的信息流控制政策] 强制执行经批准的授权，控制系统内部和互联系统之间的信息流。	ec2-instance-no-public-ip	通过确保无法公开访问Amazon Elastic Compute Cloud (Amazon EC2) 实例，管理对云的访问。AWSAmazon EC2 实例可能包含敏感信息，此类账户需要访问控制。
C C C C 4	信息系统根据 [分配：组织定义的信息流控制政策] 强制执行经批准的授权，控制系统内部和互联系统之间的信息流。	elasticsearch-in-vpc-only	通过确保AmazonAWS Service（ OpenSearch OpenSearch 服务）域在 Amazon Virtual Private Cloud (Amazon VPC) 中管理对云的访问。通过在 Amazon VPC 中的 OpenSearch OpenSearch 服务域，您可以在 Site 和 Amazon VPC 中的其他服务之间进行安全通信，而无需互联网网关、NAT 设备或 VPN 连接。
C C C C 4	信息系统根据 [分配：组织定义的信息流控制政策] 强制执行经批准的授权，控制系统内部和互联系统之间的信息流。	emr-master-no-public-ip	通过确保无法公开访问 Amazon EMR 集群主节点来管理对AWS云的访问权限。Amazon EMR 集群主节点可能包含敏感信息，此类账户需要访问控制。
C C C C 4	信息系统根据 [分配：组织定义的信息流控制政策] 强制执行经批准的授权，控制系统内部和互联系统之间的信息流。	限制性的 ssh	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以通过对AWS资源的入口和出口网络流量进行状态筛选，帮助管理网络访问。不允许允许从 0.0.0.0.00000000000000000000000000000000000000000000000
C C C C 4	信息系统根据 [分配：组织定义的信息流控制政策] 强制执行经批准的授权，控制系统内部和互联系统之间的信息流。	lambda-function-public-access-禁止	通过确保AWS Lambda 函数无法公开访问，管理对AWS云中资源的访问权限。公共访问可能导致资源可用性下降。
C C C C 4	信息系统根据 [分配：组织定义的信息流控制政策] 强制执行经批准的授权，控制系统内部和互联系统之间的信息流。	lambda-inside-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 中部署AWS Lambda 函数，以实现函数与Amazon VPC 中其他服务之间的安全通信。使用此配置，不需要互联网网关、NAT 网关、NAT 设备或 VPN 连接。AWS云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共端点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全性。为了正确管理访问权限，应AWS将 Lambda 函数分配给 VPC。
C C C C 4	信息系统根据 [分配：组织定义的信息流控制政策] 强制执行经批准的授权，控制系统内部和互联系统之间的信息流。	rds-instance-public-access-检查	通过确保 Amazon RelationAWS al Database Service (Amazon RDS) 实例不公用了。Amazon RDS 数据库实例可能包含敏感信息，此类账户需要原则和访问控制。
C C C C 4	信息系统根据 [分配：组织定义的信息流控制政策] 强制执行经批准的授权，控制系统内部和互联系统之间的信息流。	rds-snapshots-public-prohibited	通过确保 Amazon RelationAWS al Database Service (Amazon RDS) 实例不公用了。Amazon RDS 数据库实例可能包含敏感信息和原则，此类账户需要访问控制。
C C C C 4	信息系统根据 [分配：组织定义的信息流控制政策] 强制执行经批准的授权，控制系统内部和互联系统之间的信息流。	redshift-cluster-public-access-检查	通过确保 Amazon Redshift 集群不公开，管理对AWS云中资源的访问权限。Amazon Redshift 集群可能包含敏感信息和原则，此类账户需要访问控制。
C C C C 4	信息系统根据 [分配：组织定义的信息流控制政策] 强制执行经批准的授权，控制系统内部和互联系统之间的信息流。	restricted-common-ports	通过确保在 Amazon Elastic ComputeAWS Cloud (Amazon EC2) 安全组中限制公共端口，管理对云中资源的访问。不限制可信来源对端口的访问可能会导致对系统的可用性、完整性和机密性的攻击。这条规则允许你有选择地设置 BlockedPort1-BlockedPort5 参数（Config 默认值：20,213389,3306,4333）。实际值应反映贵组织的政策。
C C C C 4	信息系统根据 [分配：组织定义的信息流控制政策] 强制执行经批准的授权，控制系统内部和互联系统之间的信息流。	s3-bucket-public-read-prohibited	通过仅允许授权的用户、流程和设备访问 Amazon Simple Storage SerAWS vice (Amazon S3) 存储桶。访问管理应与数据的分类保持一致。
C C C C 4	信息系统根据 [分配：组织定义的信息流控制政策] 强制执行经批准的授权，控制系统内部和互联系统之间的信息流。	s3-bucket-public-write-prohibited	通过仅允许授权的用户、流程和设备访问 Amazon Simple Storage SerAWS vice (Amazon S3) 存储桶。访问管理应与数据的分类保持一致。
C C C C 4	信息系统根据 [分配：组织定义的信息流控制政策] 强制执行经批准的授权，控制系统内部和互联系统之间的信息流。	sagemaker-notebook-no-direct-互联网接入	通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对AWS云端资源的访问权限。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。
C C C C 4	信息系统根据 [分配：组织定义的信息流控制政策] 强制执行经批准的授权，控制系统内部和互联系统之间的信息流。	vpc-default-security-group-已关闭	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可通过对AWS资源的入口和出口流量进行状态筛选，帮助管理网络访问。限制默认安全组上的所有流量有助于限制对AWS资源的远程访问。
C C C C 4	信息系统根据 [分配：组织定义的信息流控制政策] 强制执行经批准的授权，控制系统内部和互联系统之间的信息流。	vpc-sg-open-only-to-authorized-ports	通过确保在 Amazon Elastic ComputeAWS Cloud (Amazon EC2) 安全组上限制公共端口，管理对云中资源的访问。不限制对可信来源的端口访问可能会导致对系统的可用性、完整性和机密性的攻击。通过限制从 Internet (0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。
ac-5c	该组织：c. 定义信息系统访问权限以支持职责分离。	ecs-task-definition-user-for-host-mode-check	如果任务定义具有更高的权限，那是因为客户特别选择了这些配置。当任务定义启用了主机联网但客户尚未选择启用提升权限时，此控件会检查是否存在意外权限升级。
ac-5c	该组织：c. 定义信息系统访问权限以支持职责分离。	iam-customer-policy-blocked-kms-actions	AWSIdentity and Access Management (IAM) 可以帮助您将最低权限和职责分离的原则与访问权限和授权相结合，限制策略包含对所有AWS密钥管理服务密钥的封锁操作。拥有超过完成任务所需的权限可能违反最小权限和职责分离的原则。此规则允许您设置 blockedActionsPatterns 参数。（AWS基础安全最佳实践值：kms: Decrypt，kms:ReEncryptFrom）。实际值应反映贵组织的政策
ac-5c	该组织：c. 定义信息系统访问权限以支持职责分离。	iam-inline-policy-blocked-kms-actions	确保IdAWS entity and Access Management (IAM) 用户、IAM 角色或 IAM 群组没有允许对所有AWS密钥管理服务密钥执行封锁操作的内联策略。 AWS建议使用策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委派权限管理。此规则允许您设置 blockedActionsPatterns 参数。（AWS基础安全最佳实践值：kms: Decrypt，kms:ReEncryptFrom）。实际值应反映贵组织的政策。
ac-5c	该组织：c. 定义信息系统访问权限以支持职责分离。	iam-no-inline-policy-检查	确保IdAWS entity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有内联策略来控制对系统和资产的访问权限。 AWS建议使用策略而不是内联策略。托管策略允许可重用性、版本控制和回滚以及委托权限管理。
ac-5c	该组织：c. 定义信息系统访问权限以支持职责分离。	iam-password-policy	身份和证书是根据组织的 IAM 密码策略颁发、管理和验证的。它们达到或超过了 NIST SP 800-63 和密码强度AWS基础安全最佳实践标准规定的要求。此规则允许您根据需要设置 RequireUppercaseCharacters （AWS基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS基础安全最佳实践值：true）、 RequireSymbols （AWS基础安全最佳实践值：true）、 RequireNumbers （AWS基础安全最佳实践值：true）、 MinimumPasswordLength （AWS基础安全最佳实践值：14）、 PasswordReusePrevention （AWS基础安全最佳实践值：24）和 MaxPasswordAge （AWS基础安全最佳实践值：90）IAM 密码策略。实际值应反映贵组织的政策。
ac-5c	该组织：c. 定义信息系统访问权限以支持职责分离。	iam-policy-no-statements-with-full-access	确保 IAM 操作仅限于所需的操作。允许用户拥有超过完成任务所需的权限可能违反最小权限和职责分离原则。
ac-5c	该组织：c. 定义信息系统访问权限以支持职责分离。	iam-root-access-key-检查	通过检查根用户的Identity and Access ManagemAWS ent (IAM) 角色是否附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的AWS帐户来帮助纳入功能最少的原则。
ac-5c	该组织：c. 定义信息系统访问权限以支持职责分离。	iam-user-group-membership-检查	AWSIdentity and Access Management (IAM) 可以确保用户是至少一个群组的成员，从而帮助您限制访问权限和授权。允许用户超过完成任务所需的权限可能违反最小权限和职责分离原则。
ac-5c	该组织：c. 定义信息系统访问权限以支持职责分离。	iam-user-unused-credentials-检查	AWSIdentity and Access Management (IAM) 可以通过检查在指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果识别出这些未使用的证书，则应禁用和/或删除这些证书，因为这可能违反最小权限原则。此规则要求您为 maxCredentialUsage年龄设置一个值（Config 默认值：90）。实际价值应反映贵组织的政策。
ac-5c	该组织：c. 定义信息系统访问权限以支持职责分离。	iam-group-has-users-检查	AWSIdentity and Access Management (IAM) 可以确保 IAM 群组至少有一个用户，从而帮助您将最低权限和职责分离的原则与访问权限和授权相结合。根据用户的关联权限或工作职能将用户分组是纳入最低权限的一种方法。
ac-5c	该组织：c. 定义信息系统访问权限以支持职责分离。	iam-policy-no-statements-with-admin-access	AWSIdentity and Access Management (IAM) 可以帮助您将最低权限和职责分离的原则与访问权限和授权相结合，限制策略中包含 “效果”：“允许” 和 “操作”：“*” 而不是 “资源”：“*”。允许用户拥有超过完成任务所需的权限可能违反最小权限和职责分离原则。
ac-5c	该组织：c. 定义信息系统访问权限以支持职责分离。	iam-user-no-policies-检查	此规则确保IIdAWS entity and Access Management (IAM) 策略仅附加到群组或角色以控制对系统和资产的访问。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。
AC-6 (10)	信息系统防止非特权用户执行特权功能，包括禁用、规避或更改已实施的安全保障/对策。	iam-policy-no-statements-with-full-access	确保 IAM 操作仅限于所需的操作。允许用户拥有超过完成任务所需的权限可能违反最小权限和职责分离原则。
AC-6 (10)	信息系统防止非特权用户执行特权功能，包括禁用、规避或更改已实施的安全保障/对策。	iam-policy-no-statements-with-admin-access	AWSIdentity and Access Management (IAM) 可以帮助您将最低权限和职责分离的原则与访问权限和授权相结合，限制策略中包含 “效果”：“允许” 和 “操作”：“*” 而不是 “资源”：“*”。允许用户拥有超过完成任务所需的权限可能违反最小权限和职责分离原则。
AC-6 (10)	信息系统防止非特权用户执行特权功能，包括禁用、规避或更改已实施的安全保障/对策。	iam-root-access-key-检查	通过检查根用户的Identity and Access ManagemAWS ent (IAM) 角色是否附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的AWS帐户来帮助纳入功能最少的原则。
C C C C 6	该组织采用最小权限原则，只允许用户（或代表用户行事的进程）进行授权访问，这是根据组织使命和业务职能完成分配的任务所必需的。	ec2-imdsv2-check	确保启用实例元数据服务版本 2 (imDSv2) 方法，以帮助保护对Amazon Elastic Compute Cloud (Amazon EC2) 实例元数据的访问和控制。imdsv2 方法使用基于会话的控件。使用 IMDSv2，可以实施控制来限制对实例元数据的更改。
C C C C 6	该组织采用最小权限原则，只允许用户（或代表用户行事的进程）进行授权访问，这是根据组织使命和业务职能完成分配的任务所必需的。	iam-no-inline-policy-检查	确保IdAWS entity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有内联策略来控制对系统和资产的访问权限。 AWS建议使用策略而不是内联策略。托管策略允许可重用性、版本控制和回滚以及委托权限管理。
C C C C 6	该组织采用最小权限原则，只允许用户（或代表用户行事的进程）进行授权访问，这是根据组织使命和业务职能完成分配的任务所必需的。	ec2-instances-in-vpc	通过在Amazon VPC 中部署 Amazon Elastic Compute Cloud (Amazon EC2) 实例，您可以在 Amazon VPC 中的其他服务之间进行安全通信，而无需互联网网关、NAT 设备或 VPN 连接。AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共端点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全性。将 Amazon EC2 实例分配给亚马逊 VPC 以正确管理访问权限。
C C C C 6	该组织采用最小权限原则，只允许用户（或代表用户行事的进程）进行授权访问，这是根据组织使命和业务职能完成分配的任务所必需的。	codebuild-project-envvar-awscred-检查	确保AWS Codebuild 项目环境中不存在身份验证凭证 AWS_ACCESS_KEY_ID 和 AWS_SECRET_ACCESS_KEY。不要将这些变量存储在明文中。以明文形式存储这些变量会导致意外的数据泄露和未经授权的访问。
C C C C 6	该组织采用最小权限原则，只允许用户（或代表用户行事的进程）进行授权访问，这是根据组织使命和业务职能完成分配的任务所必需的。	dms-replication-not-public	通过确保无法公开访问 DMS 复制实例来管理对AWS云的访问权限。DMS 复制实例可能包含敏感信息，此类账户需要访问控制。
C C C C 6	该组织采用最小权限原则，只允许用户（或代表用户行事的进程）进行授权访问，这是根据组织使命和业务职能完成分配的任务所必需的。	ebs-snapshot-public-restorable-检查	通过确保 EBS 快照不可公开恢复，管理对AWS云的访问权限。EBS 卷快照可能包含敏感信息，此类账户需要访问控制。
C C C C 6	该组织采用最小权限原则，只允许用户（或代表用户行事的进程）进行授权访问，这是根据组织使命和业务职能完成分配的任务所必需的。	ec2-instance-no-public-ip	通过确保无法公开访问Amazon Elastic Compute Cloud (Amazon EC2) 实例，管理对云的访问。AWSAmazon EC2 实例可能包含敏感信息，此类账户需要访问控制。
C C C C 6	该组织采用最小权限原则，只允许用户（或代表用户行事的进程）进行授权访问，这是根据组织使命和业务职能完成分配的任务所必需的。	elasticsearch-in-vpc-only	通过确保AmazonAWS Service（ OpenSearch OpenSearch 服务）域在 Amazon Virtual Private Cloud (Amazon VPC) 中管理对云的访问。通过在 Amazon VPC 中的 OpenSearch OpenSearch 服务域，您可以在 Site 和 Amazon VPC 中的其他服务之间进行安全通信，而无需互联网网关、NAT 设备或 VPN 连接。
C C C C 6	该组织采用最小权限原则，只允许用户（或代表用户行事的进程）进行授权访问，这是根据组织使命和业务职能完成分配的任务所必需的。	emr-master-no-public-ip	通过确保无法公开访问 Amazon EMR 集群主节点来管理对AWS云的访问权限。Amazon EMR 集群主节点可能包含敏感信息，此类账户需要访问控制。
C C C C 6	该组织采用最小权限原则，只允许用户（或代表用户行事的进程）进行授权访问，这是根据组织使命和业务职能完成分配的任务所必需的。	iam-group-has-users-检查	AWSIdentity and Access Management (IAM) 可以确保 IAM 群组至少有一个用户，从而帮助您将最低权限和职责分离的原则与访问权限和授权相结合。根据用户的关联权限或工作职能将用户分组是纳入最低权限的一种方法。
C C C C 6	该组织采用最小权限原则，只允许用户（或代表用户行事的进程）进行授权访问，这是根据组织使命和业务职能完成分配的任务所必需的。	iam-policy-no-statements-with-admin-access	AWSIdentity and Access Management (IAM) 可以帮助您将最低权限和职责分离的原则与访问权限和授权相结合，限制策略中包含 “效果”：“允许” 和 “操作”：“*” 而不是 “资源”：“*”。允许用户拥有超过完成任务所需的权限可能违反最小权限和职责分离原则。
C C C C 6	该组织采用最小权限原则，只允许用户（或代表用户行事的进程）进行授权访问，这是根据组织使命和业务职能完成分配的任务所必需的。	iam-root-access-key-检查	通过检查根用户的Identity and Access ManagemAWS ent (IAM) 角色是否附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的AWS帐户来帮助纳入功能最少的原则。
C C C C 6	该组织采用最小权限原则，只允许用户（或代表用户行事的进程）进行授权访问，这是根据组织使命和业务职能完成分配的任务所必需的。	iam-user-group-membership-检查	AWSIdentity and Access Management (IAM) 可以确保用户是至少一个群组的成员，从而帮助您限制访问权限和授权。允许用户超过完成任务所需的权限可能违反最小权限和职责分离原则。
C C C C 6	该组织采用最小权限原则，只允许用户（或代表用户行事的进程）进行授权访问，这是根据组织使命和业务职能完成分配的任务所必需的。	iam-user-no-policies-检查	此规则确保IIdAWS entity and Access Management (IAM) 策略仅附加到群组或角色以控制对系统和资产的访问。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。
C C C C 6	该组织采用最小权限原则，只允许用户（或代表用户行事的进程）进行授权访问，这是根据组织使命和业务职能完成分配的任务所必需的。	iam-user-unused-credentials-检查	AWSIdentity and Access Management (IAM) 可以通过检查在指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果识别出这些未使用的证书，则应禁用和/或删除这些证书，因为这可能违反最小权限原则。此规则要求您为 maxCredentialUsage年龄设置一个值（Config 默认值：90）。实际价值应反映贵组织的政策。
C C C C 6	该组织采用最小权限原则，只允许用户（或代表用户行事的进程）进行授权访问，这是根据组织使命和业务职能完成分配的任务所必需的。	lambda-function-public-access-禁止	通过确保AWS Lambda 函数无法公开访问，管理对AWS云中资源的访问权限。公共访问可能导致资源可用性下降。
ACY	该组织采用最小权限原则，只允许用户（或代表用户行事的进程）进行授权访问，这是根据组织使命和业务职能完成分配的任务所必需的。	lambda-inside-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 中部署AWS Lambda 函数，以实现函数与Amazon VPC 中其他服务之间的安全通信。使用此配置，不需要互联网网关、NAT 网关、NAT 设备或 VPN 连接。AWS云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共端点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全性。为了正确管理访问权限，应AWS将 Lambda 函数分配给 VPC。
ACY	该组织采用最小权限原则，只允许用户（或代表用户行事的进程）进行授权访问，这是根据组织使命和业务职能完成分配的任务所必需的。	rds-instance-public-access-检查	通过确保 Amazon RelationAWS al Database Service (Amazon RDS) 实例不公用了。Amazon RDS 数据库实例可能包含敏感信息，此类账户需要原则和访问控制。
ACY	该组织采用最小权限原则，只允许用户（或代表用户行事的进程）进行授权访问，这是根据组织使命和业务职能完成分配的任务所必需的。	rds-snapshots-public-prohibited	通过确保 Amazon RelationAWS al Database Service (Amazon RDS) 实例不公用了。Amazon RDS 数据库实例可能包含敏感信息和原则，此类账户需要访问控制。
ACY	该组织采用最小权限原则，只允许用户（或代表用户行事的进程）进行授权访问，这是根据组织使命和业务职能完成分配的任务所必需的。	redshift-cluster-public-access-检查	通过确保 Amazon Redshift 集群不公开，管理对AWS云中资源的访问权限。Amazon Redshift 集群可能包含敏感信息和原则，此类账户需要访问控制。
ACY	该组织采用最小权限原则，只允许用户（或代表用户行事的进程）进行授权访问，这是根据组织使命和业务职能完成分配的任务所必需的。	s3-account-level-public-access-区块-周期性	通过确保无法公开访问 Amazon Simple Storage SerAWS vice (Amazon S3) 存储桶。该规则通过防止公共访问来帮助保护敏感数据免受未经授权的远程用户的侵害。此规则允许您选择设置 ignorePublicAcls （Config 默认值：True）、 blockPublicPolicy （Config 默认值：True）、 blockPublicAcls （Config 默认值：True）和 restrictPublicBuckets 参数（Config 默认值：True）。实际值应反映贵组织的政策。
ACY	该组织采用最小权限原则，只允许用户（或代表用户行事的进程）进行授权访问，这是根据组织使命和业务职能完成分配的任务所必需的。	s3-bucket-level-public-access-禁止	通过确保无法公开访问 Amazon Simple Storage SerAWS vice (Amazon S3) 存储桶。该规则通过防止存储段级别的公共访问来帮助保护敏感数据免受未经授权的远程用户的侵害。
ACY	该组织采用最小权限原则，只允许用户（或代表用户行事的进程）进行授权访问，这是根据组织使命和业务职能完成分配的任务所必需的。	s3-bucket-public-read-prohibited	通过仅允许授权的用户、流程和设备访问 Amazon Simple Storage SerAWS vice (Amazon S3) 存储桶。访问管理应与数据的分类保持一致。
ACY	该组织采用最小权限原则，只允许用户（或代表用户行事的进程）进行授权访问，这是根据组织使命和业务职能完成分配的任务所必需的。	s3-bucket-public-write-prohibited	通过仅允许授权的用户、流程和设备访问 Amazon Simple Storage SerAWS vice (Amazon S3) 存储桶。访问管理应与数据的分类保持一致。
ACY	该组织采用最小权限原则，只允许用户（或代表用户行事的进程）进行授权访问，这是根据组织使命和业务职能完成分配的任务所必需的。	sagemaker-notebook-no-direct-互联网接入	通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对AWS云端资源的访问权限。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。
ACY	该组织采用最小权限原则，只允许用户（或代表用户行事的进程）进行授权访问，这是根据组织使命和业务职能完成分配的任务所必需的。	subnet-auto-assign-public-ip 已禁用	通过确保不会自动为Amazon Virtual Private Cloud (VPC) 子网分配公有 IP 地址来管理对云的访问。AWS在启用了此属性的子网中启动的 Amazon Elastic Compute Cloud (EC2) 实例会为其主网络接口分配公有 IP 地址。
AC-17 (1)	信息系统监视和控制远程访问方法。	限制性的 ssh	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以通过对AWS资源的入口和出口网络流量进行状态筛选，帮助管理网络访问。不允许允许从 0.0.0.0.00000000000000000000000000000000000000000000000
AC-17 (1)	信息系统监视和控制远程访问方法。	ec2-instances-in-vpc	通过在Amazon VPC 中部署 Amazon Elastic Compute Cloud (Amazon EC2) 实例，您可以在 Amazon VPC 中的其他服务之间进行安全通信，而无需互联网网关、NAT 设备或 VPN 连接。AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共端点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全性。将 Amazon EC2 实例分配给亚马逊 VPC 以正确管理访问权限。
AC-17 (1)	信息系统监视和控制远程访问方法。	已启用安全集线器	AWSSecurity Hub 有助于监控未经授权的人员、连接、设备和软件。 AWSSecurity Hub 可以聚合、组织和优先处理处理处理处理处理处理来自多个AWS服务的安全告警或结果。其中一些服务包括亚马逊Security Hub、Amazon Inspector、Amazon Macie、IdentAWS ity and Access Management (IAM) 访问分析器和FiAWS rewall Manager 以及AWS合作伙伴解决方案。
AC-17 (1)	信息系统监视和控制远程访问方法。	dms-replication-not-public	通过确保无法公开访问 DMS 复制实例来管理对AWS云的访问权限。DMS 复制实例可能包含敏感信息，此类账户需要访问控制。
AC-17 (1)	信息系统监视和控制远程访问方法。	ebs-snapshot-public-restorable-检查	通过确保 EBS 快照不可公开恢复，管理对AWS云的访问权限。EBS 卷快照可能包含敏感信息，此类账户需要访问控制。
AC-17 (1)	信息系统监视和控制远程访问方法。	ec2-instance-no-public-ip	通过确保无法公开访问Amazon Elastic Compute Cloud (Amazon EC2) 实例，管理对云的访问。AWSAmazon EC2 实例可能包含敏感信息，此类账户需要访问控制。
AC-17 (1)	信息系统监视和控制远程访问方法。	elasticsearch-in-vpc-only	通过确保AmazonAWS Service（ OpenSearch OpenSearch 服务）域在 Amazon Virtual Private Cloud (Amazon VPC) 中管理对云的访问。通过在 Amazon VPC 中的 OpenSearch OpenSearch 服务域，您可以在 Site 和 Amazon VPC 中的其他服务之间进行安全通信，而无需互联网网关、NAT 设备或 VPN 连接。
AC-17 (1)	信息系统监视和控制远程访问方法。	emr-master-no-public-ip	通过确保无法公开访问 Amazon EMR 集群主节点来管理对AWS云的访问权限。Amazon EMR 集群主节点可能包含敏感信息，此类账户需要访问控制。
AC-17 (1)	信息系统监视和控制远程访问方法。	guardduty-enabled-centralized	亚马逊 GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意IP和机器学习的列表，以标识您的AWS云环境中意外的和未经授权的恶意活动。
AC-17 (1)	信息系统监视和控制远程访问方法。	lambda-function-public-access-禁止	通过确保AWS Lambda 函数无法公开访问，管理对AWS云中资源的访问权限。公共访问可能导致资源可用性下降。
AC-17 (1)	信息系统监视和控制远程访问方法。	lambda-inside-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 中部署AWS Lambda 函数，以实现函数与Amazon VPC 中其他服务之间的安全通信。使用此配置，不需要互联网网关、NAT 网关、NAT 设备或 VPN 连接。AWS云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共端点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全性。为了正确管理访问权限，应AWS将 Lambda 函数分配给 VPC。
AC-17 (1)	信息系统监视和控制远程访问方法。	rds-instance-public-access-检查	通过确保 Amazon RelationAWS al Database Service (Amazon RDS) 实例不公用了。Amazon RDS 数据库实例可能包含敏感信息，此类账户需要原则和访问控制。
AC-17 (1)	信息系统监视和控制远程访问方法。	rds-snapshots-public-prohibited	通过确保 Amazon RelationAWS al Database Service (Amazon RDS) 实例不公用了。Amazon RDS 数据库实例可能包含敏感信息和原则，此类账户需要访问控制。
AC-17 (1)	信息系统监视和控制远程访问方法。	redshift-cluster-public-access-检查	通过确保 Amazon Redshift 集群不公开，管理对AWS云中资源的访问权限。Amazon Redshift 集群可能包含敏感信息和原则，此类账户需要访问控制。
AC-17 (1)	信息系统监视和控制远程访问方法。	restricted-common-ports	通过确保在 Amazon Elastic ComputeAWS Cloud (Amazon EC2) 安全组中限制公共端口，管理对云中资源的访问。不限制可信来源对端口的访问可能会导致对系统的可用性、完整性和机密性的攻击。这条规则允许你有选择地设置 BlockedPort1-BlockedPort5 参数（Config 默认值：20,213389,3306,4333）。实际值应反映贵组织的政策。
AC-17 (1)	信息系统监视和控制远程访问方法。	s3-account-level-public-access-区块-周期性	通过确保无法公开访问 Amazon Simple Storage SerAWS vice (Amazon S3) 存储桶。该规则通过防止公共访问来帮助保护敏感数据免受未经授权的远程用户的侵害。此规则允许您选择设置 ignorePublicAcls （Config 默认值：True）、 blockPublicPolicy （Config 默认值：True）、 blockPublicAcls （Config 默认值：True）和 restrictPublicBuckets 参数（Config 默认值：True）。实际值应反映贵组织的政策。
AC-17 (1)	信息系统监视和控制远程访问方法。	s3-bucket-level-public-access-禁止	通过确保无法公开访问 Amazon Simple Storage SerAWS vice (Amazon S3) 存储桶。该规则通过防止存储段级别的公共访问来帮助保护敏感数据免受未经授权的远程用户的侵害。
AC-17 (1)	信息系统监视和控制远程访问方法。	s3-bucket-public-read-prohibited	通过仅允许授权的用户、流程和设备访问 Amazon Simple Storage SerAWS vice (Amazon S3) 存储桶。访问管理应与数据的分类保持一致。
AC-17 (1)	信息系统监视和控制远程访问方法。	s3-bucket-public-write-prohibited	通过仅允许授权的用户、流程和设备访问 Amazon Simple Storage SerAWS vice (Amazon S3) 存储桶。访问管理应与数据的分类保持一致。
AC-17 (1)	信息系统监视和控制远程访问方法。	sagemaker-notebook-no-direct-互联网接入	通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对AWS云端资源的访问权限。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。
AC-17 (1)	信息系统监视和控制远程访问方法。	subnet-auto-assign-public-ip 已禁用	通过确保不会自动为Amazon Virtual Private Cloud (VPC) 子网分配公有 IP 地址来管理对云的访问。AWS在启用了此属性的子网中启动的 Amazon Elastic Compute Cloud (EC2) 实例会为其主网络接口分配公有 IP 地址。
AC-17 (1)	信息系统监视和控制远程访问方法。	vpc-default-security-group-已关闭	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可通过对AWS资源的入口和出口流量进行状态筛选，帮助管理网络访问。限制默认安全组上的所有流量有助于限制对AWS资源的远程访问。
AC-17 (1)	信息系统监视和控制远程访问方法。	vpc-sg-open-only-to-authorized-ports	通过确保在 Amazon Elastic ComputeAWS Cloud (Amazon EC2) 安全组上限制公共端口，管理对云中资源的访问。不限制对可信来源的端口访问可能会导致对系统的可用性、完整性和机密性的攻击。通过限制从 Internet (0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。
AC-17 (2)	该信息系统采用加密机制来保护远程访问会话的机密性和完整性。	elb-tls-https-listeners-仅限	确保您的弹性负载均衡器 (ELB) 配置了 SSL 或 HTTPS 侦听器。由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。
AC-17 (2)	该信息系统采用加密机制来保护远程访问会话的机密性和完整性。	acm-certificate-expiration-check	通过确保AWS ACM 颁发 X509 证书来确保网络完整性。这些证书必须有效且未过期。此规则要求的值为 daysToExpiration （AWS基础安全最佳实践值：90）。实际价值应反映贵组织的政策。
AC-17 (2)	该信息系统采用加密机制来保护远程访问会话的机密性和完整性。	alb-http-to-https-重定向检查	为了帮助保护传输中的数据，请确保您的Application Load Balancer 自动将未加密的 HTTP 请求重定向到 HTTPS。由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。
AC-17 (2)	该信息系统采用加密机制来保护远程访问会话的机密性和完整性。	redshift-require-tls-ssl	确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。
AC-17 (2)	该信息系统采用加密机制来保护远程访问会话的机密性和完整性。	s3-bucket-ssl-requests-only	为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶要求请求使用安全套接字层 (SSL)。由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。
AC-21 (b)	该组织:b. 使用 [任务：组织定义的自动化机制或手动流程] 来协助用户做出信息共享/协作决策。	autoscaling-launch-config-public-ip 已禁用	如果您使用公有 IP 地址配置网络接口，则可以从 Internet 访问这些网络接口的相关资源。EC2 资源不应公开访问，因为这可能允许意外访问您的应用程序或服务器。
AC-21 (b)	该组织:b. 使用 [任务：组织定义的自动化机制或手动流程] 来协助用户做出信息共享/协作决策。	no-unrestricted-route-to-igw	确保 Amazon EC2 路由表没有通往互联网网关的无限制路由。取消或限制 Amazon VPC 内工作负载的互联网访问权限可以减少环境中的意外访问。
AC-21 (b)	该组织:b. 使用 [任务：组织定义的自动化机制或手动流程] 来协助用户做出信息共享/协作决策。	restricted-common-ports	通过确保在 Amazon Elastic ComputeAWS Cloud (Amazon EC2) 安全组中限制公共端口，管理对云中资源的访问。不限制可信来源对端口的访问可能会导致对系统的可用性、完整性和机密性的攻击。这条规则允许你有选择地设置 BlockedPort1-BlockedPort5 参数（Config 默认值：20,213389,3306,4333）。实际值应反映贵组织的政策。
AC-21 (b)	该组织:b. 使用 [任务：组织定义的自动化机制或手动流程] 来协助用户做出信息共享/协作决策。	s3-account-level-public-access-区块-周期性	通过确保无法公开访问 Amazon Simple Storage SerAWS vice (Amazon S3) 存储桶。该规则通过防止公共访问来帮助保护敏感数据免受未经授权的远程用户的侵害。此规则允许您选择设置 ignorePublicAcls （Config 默认值：True）、 blockPublicPolicy （Config 默认值：True）、 blockPublicAcls （Config 默认值：True）和 restrictPublicBuckets 参数（Config 默认值：True）。实际值应反映贵组织的政策。
AC-21 (b)	该组织:b. 使用 [任务：组织定义的自动化机制或手动流程] 来协助用户做出信息共享/协作决策。	vpc-default-security-group-已关闭	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可通过对AWS资源的入口和出口流量进行状态筛选，帮助管理网络访问。限制默认安全组上的所有流量有助于限制对AWS资源的远程访问。
AC-21 (b)	该组织:b. 使用 [任务：组织定义的自动化机制或手动流程] 来协助用户做出信息共享/协作决策。	vpc-sg-open-only-to-authorized-ports	通过确保在 Amazon Elastic ComputeAWS Cloud (Amazon EC2) 安全组上限制公共端口，管理对云中资源的访问。不限制对可信来源的端口访问可能会导致对系统的可用性、完整性和机密性的攻击。通过限制从 Internet (0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。
AC-21 (b)	该组织:b. 使用 [任务：组织定义的自动化机制或手动流程] 来协助用户做出信息共享/协作决策。	dms-replication-not-public	通过确保无法公开访问 DMS 复制实例来管理对AWS云的访问权限。DMS 复制实例可能包含敏感信息，此类账户需要访问控制。
AC-21 (b)	该组织:b. 使用 [任务：组织定义的自动化机制或手动流程] 来协助用户做出信息共享/协作决策。	ebs-snapshot-public-restorable-检查	通过确保 EBS 快照不可公开恢复，管理对AWS云的访问权限。EBS 卷快照可能包含敏感信息，此类账户需要访问控制。
AC-21 (b)	该组织:b. 使用 [任务：组织定义的自动化机制或手动流程] 来协助用户做出信息共享/协作决策。	ec2-instance-no-public-ip	通过确保无法公开访问Amazon Elastic Compute Cloud (Amazon EC2) 实例，管理对云的访问。AWSAmazon EC2 实例可能包含敏感信息，此类账户需要访问控制。
AC-21 (b)	该组织:b. 使用 [任务：组织定义的自动化机制或手动流程] 来协助用户做出信息共享/协作决策。	emr-master-no-public-ip	通过确保无法公开访问 Amazon EMR 集群主节点来管理对AWS云的访问权限。Amazon EMR 集群主节点可能包含敏感信息，此类账户需要访问控制。
AC-21 (b)	该组织:b. 使用 [任务：组织定义的自动化机制或手动流程] 来协助用户做出信息共享/协作决策。	lambda-function-public-access-禁止	通过确保AWS Lambda 函数无法公开访问，管理对AWS云中资源的访问权限。公共访问可能导致资源可用性下降。
AC-21 (b)	该组织:b. 使用 [任务：组织定义的自动化机制或手动流程] 来协助用户做出信息共享/协作决策。	rds-instance-public-access-检查	通过确保 Amazon RelationAWS al Database Service (Amazon RDS) 实例不公用了。Amazon RDS 数据库实例可能包含敏感信息，此类账户需要原则和访问控制。
AC-21 (b)	该组织:b. 使用 [任务：组织定义的自动化机制或手动流程] 来协助用户做出信息共享/协作决策。	rds-snapshots-public-prohibited	通过确保 Amazon RelationAWS al Database Service (Amazon RDS) 实例不公用了。Amazon RDS 数据库实例可能包含敏感信息和原则，此类账户需要访问控制。
AC-21 (b)	该组织:b. 使用 [任务：组织定义的自动化机制或手动流程] 来协助用户做出信息共享/协作决策。	redshift-cluster-public-access-检查	通过确保 Amazon Redshift 集群不公开，管理对AWS云中资源的访问权限。Amazon Redshift 集群可能包含敏感信息和原则，此类账户需要访问控制。
AC-21 (b)	该组织:b. 使用 [任务：组织定义的自动化机制或手动流程] 来协助用户做出信息共享/协作决策。	s3-bucket-level-public-access-禁止	通过确保无法公开访问 Amazon Simple Storage SerAWS vice (Amazon S3) 存储桶。该规则通过防止存储段级别的公共访问来帮助保护敏感数据免受未经授权的远程用户的侵害。
AC-21 (b)	该组织:b. 使用 [任务：组织定义的自动化机制或手动流程] 来协助用户做出信息共享/协作决策。	s3-bucket-public-read-prohibited	通过仅允许授权的用户、流程和设备访问 Amazon Simple Storage SerAWS vice (Amazon S3) 存储桶。访问管理应与数据的分类保持一致。
AC-21 (b)	该组织:b. 使用 [任务：组织定义的自动化机制或手动流程] 来协助用户做出信息共享/协作决策。	s3-bucket-public-write-prohibited	通过仅允许授权的用户、流程和设备访问 Amazon Simple Storage SerAWS vice (Amazon S3) 存储桶。访问管理应与数据的分类保持一致。
AC-21 (b)	该组织:b. 使用 [任务：组织定义的自动化机制或手动流程] 来协助用户做出信息共享/协作决策。	sagemaker-notebook-no-direct-互联网接入	通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对AWS云端资源的访问权限。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。
AC-21 (b)	该组织:b. 使用 [任务：组织定义的自动化机制或手动流程] 来协助用户做出信息共享/协作决策。	subnet-auto-assign-public-ip 已禁用	通过确保不会自动为Amazon Virtual Private Cloud (VPC) 子网分配公有 IP 地址来管理对云的访问。AWS在启用了此属性的子网中启动的 Amazon Elastic Compute Cloud (EC2) 实例会为其主网络接口分配公有 IP 地址。
AU-2 (a) (d)	组织：a。确定信息系统能够审计以下事件：成功和失败的帐户登录事件、帐户管理事件、对象访问、策略更改、权限函数、流程跟踪和系统事件。对于 Web 应用程序：所有管理员活动、身份验证检查、授权检查、数据删除、数据访问、数据更改和权限更改。d. 确定在信息系统中对以下事件进行审计：[AU-2 a中定义的可审计事件的组织定义子集将针对每个已确定的事件持续进行审计]。	codebuild-project-logging-enabled	确保启用AWS CodeBuild 项目日志记录，以便将构建输出日志发送到亚马逊 CloudWatch 或亚马逊Simple Storage Service (Amazon S3)。生成输出日志提供有关您的构建项目的详细信息。
AU-2 (a) (d)	组织：a。确定信息系统能够审计以下事件：成功和失败的帐户登录事件、帐户管理事件、对象访问、策略更改、权限函数、流程跟踪和系统事件。对于 Web 应用程序：所有管理员活动、身份验证检查、授权检查、数据删除、数据访问、数据更改和权限更改。d. 确定在信息系统中对以下事件进行审计：[AU-2 a中定义的可审计事件的组织定义子集将针对每个已确定的事件持续进行审计]。	multi-region-cloudtrail-enabled	AWS CloudTrail 记录AWS管理控制台操作和 API 调用。您可以标识哪些用户和账户调调调调调调调调调调调调调AWS调调调调调调调调调调调调调调调调用了调用了调用了调用了调用了调用了 CloudTrail 如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，则会将所有AWS区域的日志文件传输到您的 S3 存储桶。此外，当AWS启动新区域时， CloudTrail 将在新区域中创建相同的路径。因此，您无需采取任何操作即可收到包含新区域的 API 活动的日志文件。
AU-2 (a) (d)	组织：a。确定信息系统能够审计以下事件：成功和失败的帐户登录事件、帐户管理事件、对象访问、策略更改、权限函数、流程跟踪和系统事件。对于 Web 应用程序：所有管理员活动、身份验证检查、授权检查、数据删除、数据访问、数据更改和权限更改。d. 确定在信息系统中对以下事件进行审计：[AU-2 a中定义的可审计事件的组织定义子集将针对每个已确定的事件持续进行审计]。	rds-logging-enabled	为了帮助在您的环境中进行记录和监控，请确保启用 Amazon Relational Database Service（Amazon RDS）日志记录 通过 Amazon RDS 日志记录，您可以捕获连接、断开连接、查询或查询表等事件。
AU-2 (a) (d)	组织：a。确定信息系统能够审计以下事件：成功和失败的帐户登录事件、帐户管理事件、对象访问、策略更改、权限函数、流程跟踪和系统事件。对于 Web 应用程序：所有管理员活动、身份验证检查、授权检查、数据删除、数据访问、数据更改和权限更改。d. 确定在信息系统中对以下事件进行审计：[AU-2 a中定义的可审计事件的组织定义子集将针对每个已确定的事件持续进行审计]。	启用 wafv2 日志记录	为了帮助在您的环境中进行日志记录和监控，请在区域和全球 Web ACL 上启用AWS WAF (V2) 登录。 AWSWAF 日志记录提供有关您的 Web ACL 分析的流量的详细信息。日志记录AWS WAF 从您的AWS资源收到请求的时间，有关请求的信息以及每个请求所匹配的规则的操作。
AU-2 (a) (d)	组织：a。确定信息系统能够审计以下事件：成功和失败的帐户登录事件、帐户管理事件、对象访问、策略更改、权限函数、流程跟踪和系统事件。对于 Web 应用程序：所有管理员活动、身份验证检查、授权检查、数据删除、数据访问、数据更改和权限更改。d. 确定在信息系统中对以下事件进行审计：[AU-2 a中定义的可审计事件的组织定义子集将针对每个已确定的事件持续进行审计]。	api-gw-execution-logging-启用	API Gateway 日志记录显示了访问 API 的用户的详细视图以及他们访问 API 的方式。这种见解可以让用户活动变得可见。
AU-2 (a) (d)	组织：a。确定信息系统能够审计以下事件：成功和失败的帐户登录事件、帐户管理事件、对象访问、策略更改、权限函数、流程跟踪和系统事件。对于 Web 应用程序：所有管理员活动、身份验证检查、授权检查、数据删除、数据访问、数据更改和权限更改。d. 确定在信息系统中对以下事件进行审计：[AU-2 a中定义的可审计事件的组织定义子集将针对每个已确定的事件持续进行审计]。	cloud-trail-cloud-watch-启用日志	使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含AWS CloudTrail 数据可提供您AWS账户内的 API 调用活动的详细信息。
AU-2 (a) (d)	组织：a。确定信息系统能够审计以下事件：成功和失败的帐户登录事件、帐户管理事件、对象访问、策略更改、权限函数、流程跟踪和系统事件。对于 Web 应用程序：所有管理员活动、身份验证检查、授权检查、数据删除、数据访问、数据更改和权限更改。d. 确定在信息系统中对以下事件进行审计：[AU-2 a中定义的可审计事件的组织定义子集将针对每个已确定的事件持续进行审计]。	已启用云端追踪	AWS CloudTrail 可以通过记录AWS管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用AWS服务的用户和AWS帐户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在AWS CloudTrail 记录内容中查看。
AU-2 (a) (d)	组织：a。确定信息系统能够审计以下事件：成功和失败的帐户登录事件、帐户管理事件、对象访问、策略更改、权限函数、流程跟踪和系统事件。对于 Web 应用程序：所有管理员活动、身份验证检查、授权检查、数据删除、数据访问、数据更改和权限更改。d. 确定在信息系统中对以下事件进行审计：[AU-2 a中定义的可审计事件的组织定义子集将针对每个已确定的事件持续进行审计]。	cloudtrail-s3 数据事件已启用	SimpSimple Storage Service (Amazon S3) 数据事件的收集有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的AWS账户信息、IP 地址和事件时间。
AU-2 (a) (d)	组织：a。确定信息系统能够审计以下事件：成功和失败的帐户登录事件、帐户管理事件、对象访问、策略更改、权限函数、流程跟踪和系统事件。对于 Web 应用程序：所有管理员活动、身份验证检查、授权检查、数据删除、数据访问、数据更改和权限更改。d. 确定在信息系统中对以下事件进行审计：[AU-2 a中定义的可审计事件的组织定义子集将针对每个已确定的事件持续进行审计]。	elb-logging-enabled	Elastic Load Balancing 活动是环境中的中心通信点。确保启用了 EL 日志记录。收集的数据详细地提供了有关发送到 ELB 的请求的详细信息。每个日志都包含信息 (例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。
AU-2 (a) (d)	组织：a。确定信息系统能够审计以下事件：成功和失败的帐户登录事件、帐户管理事件、对象访问、策略更改、权限函数、流程跟踪和系统事件。对于 Web 应用程序：所有管理员活动、身份验证检查、授权检查、数据删除、数据访问、数据更改和权限更改。d. 确定在信息系统中对以下事件进行审计：[AU-2 a中定义的可审计事件的组织定义子集将针对每个已确定的事件持续进行审计]。	redshift-cluster-configuration-check	要保护静态数据，请确保为您的 Amazon Redshift 集群启用加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用有关数据库中的连接和用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户活动的信息。此规则要求为 clusterDbEncrypted （Config 默认值：TRUE）和启用日志（Config 默认值：TRUE）设置值。实际值应反映贵组织的政策。
AU-2 (a) (d)	组织：a。确定信息系统能够审计以下事件：成功和失败的帐户登录事件、帐户管理事件、对象访问、策略更改、权限函数、流程跟踪和系统事件。对于 Web 应用程序：所有管理员活动、身份验证检查、授权检查、数据删除、数据访问、数据更改和权限更改。d. 确定在信息系统中对以下事件进行审计：[AU-2 a中定义的可审计事件的组织定义子集将针对每个已确定的事件持续进行审计]。	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 服务器访问日志提供了一种监控网络中潜在网络安全事件的方法。通过捕获有关Amazon S3 桶提出的各种请求，可记录对Amazon S3 桶提出的各种请求。每条访问日志记录都提供有关单个访问请求的详细信息。详细信息包括请求者、存储桶名称、请求时间、请求操作、请求操作、请求操作、响应状态和请求操作、响应状态和错误代码（如果相关）。
AU-2 (a) (d)	组织：a。确定信息系统能够审计以下事件：成功和失败的帐户登录事件、帐户管理事件、对象访问、策略更改、权限函数、流程跟踪和系统事件。对于 Web 应用程序：所有管理员活动、身份验证检查、授权检查、数据删除、数据访问、数据更改和权限更改。d. 确定在信息系统中对以下事件进行审计：[AU-2 a中定义的可审计事件的组织定义子集将针对每个已确定的事件持续进行审计]。	vpc-flow-logs-enabled	VPC 流日志提供有关在您的 Amazon Virtual Private Cloud (Amazon VPC) 中网络接口传出您的 IP 流量的信息。默认情况下 IP 流的不同组件的值，包括源和协议。
AWORK	信息系统生成审计记录，其中包含确定事件发生的类型、事件发生时间、事件发生地点、事件来源、事件结果以及与该事件相关的任何个人或主体的身份的信息。	codebuild-project-logging-enabled	确保启用AWS CodeBuild 项目日志记录，以便将构建输出日志发送到亚马逊 CloudWatch 或亚马逊Simple Storage Service (Amazon S3)。生成输出日志提供有关您的构建项目的详细信息。
AWORK	信息系统生成审计记录，其中包含确定事件发生的类型、事件发生时间、事件发生地点、事件来源、事件结果以及与该事件相关的任何个人或主体的身份的信息。	multi-region-cloudtrail-enabled	AWS CloudTrail 记录AWS管理控制台操作和 API 调用。您可以标识哪些用户和账户调调调调调调调调调调调调调AWS调调调调调调调调调调调调调调调调用了调用了调用了调用了调用了调用了 CloudTrail 如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，则会将所有AWS区域的日志文件传输到您的 S3 存储桶。此外，当AWS启动新区域时， CloudTrail 将在新区域中创建相同的路径。因此，您无需采取任何操作即可收到包含新区域的 API 活动的日志文件。
AWORK	信息系统生成审计记录，其中包含确定事件发生的类型、事件发生时间、事件发生地点、事件来源、事件结果以及与该事件相关的任何个人或主体的身份的信息。	rds-logging-enabled	为了帮助在您的环境中进行记录和监控，请确保启用 Amazon Relational Database Service（Amazon RDS）日志记录 通过 Amazon RDS 日志记录，您可以捕获连接、断开连接、查询或查询表等事件。
AWORK	信息系统生成审计记录，其中包含确定事件发生的类型、事件发生时间、事件发生地点、事件来源、事件结果以及与该事件相关的任何个人或主体的身份的信息。	启用 wafv2 日志记录	为了帮助在您的环境中进行日志记录和监控，请在区域和全球 Web ACL 上启用AWS WAF (V2) 登录。 AWSWAF 日志记录提供有关您的 Web ACL 分析的流量的详细信息。日志记录AWS WAF 从您的AWS资源收到请求的时间，有关请求的信息以及每个请求所匹配的规则的操作。
AWORK	信息系统生成审计记录，其中包含确定事件发生的类型、事件发生时间、事件发生地点、事件来源、事件结果以及与该事件相关的任何个人或主体的身份的信息。	api-gw-execution-logging-启用	API Gateway 日志记录显示了访问 API 的用户的详细视图以及他们访问 API 的方式。这种见解可以让用户活动变得可见。
AWORK	信息系统生成审计记录，其中包含确定事件发生的类型、事件发生时间、事件发生地点、事件来源、事件结果以及与该事件相关的任何个人或主体的身份的信息。	cloud-trail-cloud-watch-启用日志	使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含AWS CloudTrail 数据可提供您AWS账户内的 API 调用活动的详细信息。
AWORK	信息系统生成审计记录，其中包含确定事件发生的类型、事件发生时间、事件发生地点、事件来源、事件结果以及与该事件相关的任何个人或主体的身份的信息。	已启用云端追踪	AWS CloudTrail 可以通过记录AWS管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用AWS服务的用户和AWS帐户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在AWS CloudTrail 记录内容中查看。
AWORK	信息系统生成审计记录，其中包含确定事件发生的类型、事件发生时间、事件发生地点、事件来源、事件结果以及与该事件相关的任何个人或主体的身份的信息。	cloudtrail-s3 数据事件已启用	SimpSimple Storage Service (Amazon S3) 数据事件的收集有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的AWS账户信息、IP 地址和事件时间。
AWORK	信息系统生成审计记录，其中包含确定事件发生的类型、事件发生时间、事件发生地点、事件来源、事件结果以及与该事件相关的任何个人或主体的身份的信息。	elb-logging-enabled	Elastic Load Balancing 活动是环境中的中心通信点。确保启用了 EL 日志记录。收集的数据详细地提供了有关发送到 ELB 的请求的详细信息。每个日志都包含信息 (例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。
AWORK	信息系统生成审计记录，其中包含确定事件发生的类型、事件发生时间、事件发生地点、事件来源、事件结果以及与该事件相关的任何个人或主体的身份的信息。	redshift-cluster-configuration-check	要保护静态数据，请确保为您的 Amazon Redshift 集群启用加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用有关数据库中的连接和用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户活动的信息。此规则要求为 clusterDbEncrypted （Config 默认值：TRUE）和启用日志（Config 默认值：TRUE）设置值。实际值应反映贵组织的政策。
AWORK	信息系统生成审计记录，其中包含确定事件发生的类型、事件发生时间、事件发生地点、事件来源、事件结果以及与该事件相关的任何个人或主体的身份的信息。	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 服务器访问日志提供了一种监控网络中潜在网络安全事件的方法。通过捕获有关Amazon S3 桶提出的各种请求，可记录对Amazon S3 桶提出的各种请求。每条访问日志记录都提供有关单个访问请求的详细信息。详细信息包括请求者、存储桶名称、请求时间、请求操作、请求操作、请求操作、响应状态和请求操作、响应状态和错误代码（如果相关）。
AWORK	信息系统生成审计记录，其中包含确定事件发生的类型、事件发生时间、事件发生地点、事件来源、事件结果以及与该事件相关的任何个人或主体的身份的信息。	vpc-flow-logs-enabled	VPC 流日志提供有关在您的 Amazon Virtual Private Cloud (Amazon VPC) 中网络接口传出您的 IP 流量的信息。默认情况下 IP 流的不同组件的值，包括源和协议。
AU-6 (1) (3)	(1) 该组织采用自动化机制整合审计审查、分析和报告流程，以支持调查和应对可疑活动的组织流程。(3) 该组织分析和关联不同存储库的审计记录，以获得全组织范围的态势感知。	codebuild-project-logging-enabled	确保启用AWS CodeBuild 项目日志记录，以便将构建输出日志发送到亚马逊 CloudWatch 或亚马逊Simple Storage Service (Amazon S3)。生成输出日志提供有关您的构建项目的详细信息。
AU-6 (1) (3)	(1) 该组织采用自动化机制整合审计审查、分析和报告流程，以支持调查和应对可疑活动的组织流程。(3) 该组织分析和关联不同存储库的审计记录，以获得全组织范围的态势感知。	cw-loggroup-retention-period-检查	确保为您的日志组保留最短持续时间的事件日志数据，以帮助进行故障排除和取证调查。缺乏可用的过去事件日志数据使得重建和识别潜在的恶意事件变得困难。
AU-6 (1) (3)	(1) 该组织采用自动化机制整合审计审查、分析和报告流程，以支持调查和应对可疑活动的组织流程。(3) 该组织分析和关联不同存储库的审计记录，以获得全组织范围的态势感知。	multi-region-cloudtrail-enabled	AWS CloudTrail 记录AWS管理控制台操作和 API 调用。您可以标识哪些用户和账户调调调调调调调调调调调调调AWS调调调调调调调调调调调调调调调调用了调用了调用了调用了调用了调用了 CloudTrail 如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，则会将所有AWS区域的日志文件传输到您的 S3 存储桶。此外，当AWS启动新区域时， CloudTrail 将在新区域中创建相同的路径。因此，您无需采取任何操作即可收到包含新区域的 API 活动的日志文件。
AU-6 (1) (3)	(1) 该组织采用自动化机制整合审计审查、分析和报告流程，以支持调查和应对可疑活动的组织流程。(3) 该组织分析和关联不同存储库的审计记录，以获得全组织范围的态势感知。	已启用安全集线器	AWSSecurity Hub 有助于监控未经授权的人员、连接、设备和软件。 AWSSecurity Hub 可以聚合、组织和优先处理处理处理处理处理处理来自多个AWS服务的安全告警或结果。其中一些服务包括亚马逊Security Hub、Amazon Inspector、Amazon Macie、IdentAWS ity and Access Management (IAM) 访问分析器和FiAWS rewall Manager 以及AWS合作伙伴解决方案。
AU-6 (1) (3)	(1) 该组织采用自动化机制整合审计审查、分析和报告流程，以支持调查和应对可疑活动的组织流程。(3) 该组织分析和关联不同存储库的审计记录，以获得全组织范围的态势感知。	启用 wafv2 日志记录	为了帮助在您的环境中进行日志记录和监控，请在区域和全球 Web ACL 上启用AWS WAF (V2) 登录。 AWSWAF 日志记录提供有关您的 Web ACL 分析的流量的详细信息。日志记录AWS WAF 从您的AWS资源收到请求的时间，有关请求的信息以及每个请求所匹配的规则的操作。
AU-6 (1) (3)	(1) 该组织采用自动化机制整合审计审查、分析和报告流程，以支持调查和应对可疑活动的组织流程。(3) 该组织分析和关联不同存储库的审计记录，以获得全组织范围的态势感知。	api-gw-execution-logging-启用	API Gateway 日志记录显示了访问 API 的用户的详细视图以及他们访问 API 的方式。这种见解可以让用户活动变得可见。
AU-6 (1) (3)	(1) 该组织采用自动化机制整合审计审查、分析和报告流程，以支持调查和应对可疑活动的组织流程。(3) 该组织分析和关联不同存储库的审计记录，以获得全组织范围的态势感知。	cloud-trail-cloud-watch-启用日志	使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含AWS CloudTrail 数据可提供您AWS账户内的 API 调用活动的详细信息。
AU-6 (1) (3)	(1) 该组织采用自动化机制整合审计审查、分析和报告流程，以支持调查和应对可疑活动的组织流程。(3) 该组织分析和关联不同存储库的审计记录，以获得全组织范围的态势感知。	已启用云端追踪	AWS CloudTrail 可以通过记录AWS管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用AWS服务的用户和AWS帐户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在AWS CloudTrail 记录内容中查看。
AU-6 (1) (3)	(1) 该组织采用自动化机制整合审计审查、分析和报告流程，以支持调查和应对可疑活动的组织流程。(3) 该组织分析和关联不同存储库的审计记录，以获得全组织范围的态势感知。	cloudtrail-s3 数据事件已启用	SimpSimple Storage Service (Amazon S3) 数据事件的收集有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的AWS账户信息、IP 地址和事件时间。
AU-6 (1) (3)	(1) 该组织采用自动化机制整合审计审查、分析和报告流程，以支持调查和应对可疑活动的组织流程。(3) 该组织分析和关联不同存储库的审计记录，以获得全组织范围的态势感知。	cloudwatch-alarm-action-check	当该指标在指定数量的评估期内超出阈值，Amazon CloudWatch 将变为 ALARM。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （Config 默认值：True）、 insufficientDataAction必需（Config 默认值：True）、 okActionRequired （Config 默认值：False）的值。实际值应反映您环境的警报操作。
AU-6 (1) (3)	(1) 该组织采用自动化机制整合审计审查、分析和报告流程，以支持调查和应对可疑活动的组织流程。(3) 该组织分析和关联不同存储库的审计记录，以获得全组织范围的态势感知。	elb-logging-enabled	Elastic Load Balancing 活动是环境中的中心通信点。确保启用了 EL 日志记录。收集的数据详细地提供了有关发送到 ELB 的请求的详细信息。每个日志都包含信息 (例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。
AU-6 (1) (3)	(1) 该组织采用自动化机制整合审计审查、分析和报告流程，以支持调查和应对可疑活动的组织流程。(3) 该组织分析和关联不同存储库的审计记录，以获得全组织范围的态势感知。	guardduty-enabled-centralized	亚马逊 GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意IP和机器学习的列表，以标识您的AWS云环境中意外的和未经授权的恶意活动。
AU-6 (1) (3)	(1) 该组织采用自动化机制整合审计审查、分析和报告流程，以支持调查和应对可疑活动的组织流程。(3) 该组织分析和关联不同存储库的审计记录，以获得全组织范围的态势感知。	rds-logging-enabled	为了帮助在您的环境中进行记录和监控，请确保启用 Amazon Relational Database Service（Amazon RDS）日志记录 通过 Amazon RDS 日志记录，您可以捕获连接、断开连接、查询或查询表等事件。
AU-6 (1) (3)	(1) 该组织采用自动化机制整合审计审查、分析和报告流程，以支持调查和应对可疑活动的组织流程。(3) 该组织分析和关联不同存储库的审计记录，以获得全组织范围的态势感知。	redshift-cluster-configuration-check	要保护静态数据，请确保为您的 Amazon Redshift 集群启用加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用有关数据库中的连接和用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户活动的信息。此规则要求为 clusterDbEncrypted （Config 默认值：TRUE）和启用日志（Config 默认值：TRUE）设置值。实际值应反映贵组织的政策。
AU-6 (1) (3)	(1) 该组织采用自动化机制整合审计审查、分析和报告流程，以支持调查和应对可疑活动的组织流程。(3) 该组织分析和关联不同存储库的审计记录，以获得全组织范围的态势感知。	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 服务器访问日志提供了一种监控网络中潜在网络安全事件的方法。通过捕获有关Amazon S3 桶提出的各种请求，可记录对Amazon S3 桶提出的各种请求。每条访问日志记录都提供有关单个访问请求的详细信息。详细信息包括请求者、存储桶名称、请求时间、请求操作、请求操作、请求操作、响应状态和请求操作、响应状态和错误代码（如果相关）。
AU-6 (1) (3)	(1) 该组织采用自动化机制整合审计审查、分析和报告流程，以支持调查和应对可疑活动的组织流程。(3) 该组织分析和关联不同存储库的审计记录，以获得全组织范围的态势感知。	vpc-flow-logs-enabled	VPC 流日志提供有关在您的 Amazon Virtual Private Cloud (Amazon VPC) 中网络接口传出您的 IP 流量的信息。默认情况下 IP 流的不同组件的值，包括源和协议。
AU-7 (1)	信息系统提供了根据 [任务：审计记录中组织定义的审计字段] 处理有关事件的审计记录的能力。	cloud-trail-cloud-watch-启用日志	使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含AWS CloudTrail 数据可提供您AWS账户内的 API 调用活动的详细信息。
AU-7 (1)	信息系统提供了根据 [任务：审计记录中组织定义的审计字段] 处理有关事件的审计记录的能力。	cloudwatch-alarm-action-check	当该指标在指定数量的评估期内超出阈值，Amazon CloudWatch 将变为 ALARM。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （Config 默认值：True）、 insufficientDataAction必需（Config 默认值：True）、 okActionRequired （Config 默认值：False）的值。实际值应反映您环境的警报操作。
AU-9 (2)	信息系统至少每周将审计记录备份到与被审计的系统或组件物理不同的系统或系统组件上。	s3-bucket-replication-enabled	Amazon Simple Storage Service (Amazon S3) 支持维持足够的容量和可用性。CRR 支持跨 Amazon S3 存储桶自动以方式复制对象，以帮助确保数据可用性得到维护。
AU-9 (2)	信息系统至少每周将审计记录备份到与被审计的系统或组件物理不同的系统或系统组件上。	s3-bucket-versioning-enabled	Amazon Simple Storage Service (Amazon S3) 存储桶版本控制有助于将对象的多个变体保留在同一 Amazon S3 存储桶中。使用版本控制功能来保存、检索和还原它们的Amazon S3 版本。版本控制功能可帮助您轻松从用户意外操作和应用程序故障中恢复数据。
ASTREADY	信息系统保护审计信息和审计工具免遭未经授权的访问、修改和删除。	cloud-trail-encryption-enabled	由于敏感数据可能存在，为了帮助保护静态数据，请确保为您的AWS CloudTrail 跟踪启用加密。
ASTREADY	信息系统保护审计信息和审计工具免遭未经授权的访问、修改和删除。	cloud-trail-log-file-启用验证	利用AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 传送后是否被修改或删除或未更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这样，要修改、删除或伪造 CloudTrail 日志文件而不被检测到在计算上是不可行的。
ASTREADY	信息系统保护审计信息和审计工具免遭未经授权的访问、修改和删除。	cloudwatch-log-group-encrypted	为帮助保护静态敏感数据，请确保对您的亚马逊 CloudWatch 日志组启用加密。
AU-11	该组织将审计记录保留至少 90 天，为安全事件的 after-the-fact 调查提供支持，并满足监管和组织信息保留要求。	cw-loggroup-retention-period-检查	确保为您的日志组保留最短持续时间的事件日志数据，以帮助进行故障排除和取证调查。缺乏可用的过去事件日志数据使得重建和识别潜在的恶意事件变得困难。
AU-12 (a) (c)	信息系统：a。为 AU-2 a 中定义的可审计事件提供审计记录生成功能，适用于部署/可用审计功能的所有信息系统和网络组件 c. 为 AU-2 d 中定义的事件生成审计记录，内容在 AU-3 中定义。	codebuild-project-logging-enabled	确保启用AWS CodeBuild 项目日志记录，以便将构建输出日志发送到亚马逊 CloudWatch 或亚马逊Simple Storage Service (Amazon S3)。生成输出日志提供有关您的构建项目的详细信息。
AU-12 (a) (c)	信息系统：a。为 AU-2 a 中定义的可审计事件提供审计记录生成功能，适用于部署/可用审计功能的所有信息系统和网络组件 c. 为 AU-2 d 中定义的事件生成审计记录，内容在 AU-3 中定义。	multi-region-cloudtrail-enabled	AWS CloudTrail 记录AWS管理控制台操作和 API 调用。您可以标识哪些用户和账户调调调调调调调调调调调调调AWS调调调调调调调调调调调调调调调调用了调用了调用了调用了调用了调用了 CloudTrail 如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，则会将所有AWS区域的日志文件传输到您的 S3 存储桶。此外，当AWS启动新区域时， CloudTrail 将在新区域中创建相同的路径。因此，您无需采取任何操作即可收到包含新区域的 API 活动的日志文件。
AU-12 (a) (c)	信息系统：a。为 AU-2 a 中定义的可审计事件提供审计记录生成功能，适用于部署/可用审计功能的所有信息系统和网络组件 c. 为 AU-2 d 中定义的事件生成审计记录，内容在 AU-3 中定义。	rds-logging-enabled	为了帮助在您的环境中进行记录和监控，请确保启用 Amazon Relational Database Service（Amazon RDS）日志记录 通过 Amazon RDS 日志记录，您可以捕获连接、断开连接、查询或查询表等事件。
AU-12 (a) (c)	信息系统：a。为 AU-2 a 中定义的可审计事件提供审计记录生成功能，适用于部署/可用审计功能的所有信息系统和网络组件 c. 为 AU-2 d 中定义的事件生成审计记录，内容在 AU-3 中定义。	启用 wafv2 日志记录	为了帮助在您的环境中进行日志记录和监控，请在区域和全球 Web ACL 上启用AWS WAF (V2) 登录。 AWSWAF 日志记录提供有关您的 Web ACL 分析的流量的详细信息。日志记录AWS WAF 从您的AWS资源收到请求的时间，有关请求的信息以及每个请求所匹配的规则的操作。
AU-12 (a) (c)	信息系统：a。为 AU-2 a 中定义的可审计事件提供审计记录生成功能，适用于部署/可用审计功能的所有信息系统和网络组件 c. 为 AU-2 d 中定义的事件生成审计记录，内容在 AU-3 中定义。	api-gw-execution-logging-启用	API Gateway 日志记录显示了访问 API 的用户的详细视图以及他们访问 API 的方式。这种见解可以让用户活动变得可见。
AU-12 (a) (c)	信息系统：a。为 AU-2 a 中定义的可审计事件提供审计记录生成功能，适用于部署/可用审计功能的所有信息系统和网络组件 c. 为 AU-2 d 中定义的事件生成审计记录，内容在 AU-3 中定义。	cloud-trail-cloud-watch-启用日志	使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含AWS CloudTrail 数据可提供您AWS账户内的 API 调用活动的详细信息。
AU-12 (a) (c)	信息系统：a。为 AU-2 a 中定义的可审计事件提供审计记录生成功能，适用于部署/可用审计功能的所有信息系统和网络组件 c. 为 AU-2 d 中定义的事件生成审计记录，内容在 AU-3 中定义。	已启用云端追踪	AWS CloudTrail 可以通过记录AWS管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用AWS服务的用户和AWS帐户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在AWS CloudTrail 记录内容中查看。
AU-12 (a) (c)	信息系统：a。为 AU-2 a 中定义的可审计事件提供审计记录生成功能，适用于部署/可用审计功能的所有信息系统和网络组件 c. 为 AU-2 d 中定义的事件生成审计记录，内容在 AU-3 中定义。	cloudtrail-s3 数据事件已启用	SimpSimple Storage Service (Amazon S3) 数据事件的收集有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的AWS账户信息、IP 地址和事件时间。
AU-12 (a) (c)	信息系统：a。为 AU-2 a 中定义的可审计事件提供审计记录生成功能，适用于部署/可用审计功能的所有信息系统和网络组件 c. 为 AU-2 d 中定义的事件生成审计记录，内容在 AU-3 中定义。	elb-logging-enabled	Elastic Load Balancing 活动是环境中的中心通信点。确保启用了 EL 日志记录。收集的数据详细地提供了有关发送到 ELB 的请求的详细信息。每个日志都包含信息 (例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。
AU-12 (a) (c)	信息系统：a。为 AU-2 a 中定义的可审计事件提供审计记录生成功能，适用于部署/可用审计功能的所有信息系统和网络组件 c. 为 AU-2 d 中定义的事件生成审计记录，内容在 AU-3 中定义。	redshift-cluster-configuration-check	要保护静态数据，请确保为您的 Amazon Redshift 集群启用加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用有关数据库中的连接和用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户活动的信息。此规则要求为 clusterDbEncrypted （Config 默认值：TRUE）和启用日志（Config 默认值：TRUE）设置值。实际值应反映贵组织的政策。
AU-12 (a) (c)	信息系统：a。为 AU-2 a 中定义的可审计事件提供审计记录生成功能，适用于部署/可用审计功能的所有信息系统和网络组件 c. 为 AU-2 d 中定义的事件生成审计记录，内容在 AU-3 中定义。	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 服务器访问日志提供了一种监控网络中潜在网络安全事件的方法。通过捕获有关Amazon S3 桶提出的各种请求，可记录对Amazon S3 桶提出的各种请求。每条访问日志记录都提供有关单个访问请求的详细信息。详细信息包括请求者、存储桶名称、请求时间、请求操作、请求操作、请求操作、响应状态和请求操作、响应状态和错误代码（如果相关）。
AU-12 (a) (c)	信息系统：a。为 AU-2 a 中定义的可审计事件提供审计记录生成功能，适用于部署/可用审计功能的所有信息系统和网络组件 c. 为 AU-2 d 中定义的事件生成审计记录，内容在 AU-3 中定义。	vpc-flow-logs-enabled	VPC 流日志提供有关在您的 Amazon Virtual Private Cloud (Amazon VPC) 中网络接口传出您的 IP 流量的信息。默认情况下 IP 流的不同组件的值，包括源和协议。
CA-7 (a) (b)	该组织制定持续监测战略并实施持续监测计划，其中包括：a. 制定 [任务：组织定义的指标] 以供监测；b. 确定 [分配：组织定义的频率] 进行监测，为支持此类监测的评估确定 [分配：组织定义的频率]	lambda-concurrency-check	此规则确保建立 Lambda 函数的并发上限和下限。这有助于确定您的函数在任何给定时间所服务的请求的基准。
CA-7 (a) (b)	该组织制定持续监测战略并实施持续监测计划，其中包括：a. 制定 [任务：组织定义的指标] 以供监测；b. 确定 [分配：组织定义的频率] 进行监测，为支持此类监测的评估确定 [分配：组织定义的频率]	lambda-dlq-check	启用此规则可以帮助在功能失败时通过 Amazon Simple Queue Service (Amazon SQS) 或 Amazon Simple Notion Service (Amazon SNS) 或亚马逊
CA-7 (a) (b)	该组织制定持续监测战略并实施持续监测计划，其中包括：a. 制定 [任务：组织定义的指标] 以供监测；b. 确定 [分配：组织定义的频率] 进行监测，为支持此类监测的评估确定 [分配：组织定义的频率]	multi-region-cloudtrail-enabled	AWS CloudTrail 记录AWS管理控制台操作和 API 调用。您可以标识哪些用户和账户调调调调调调调调调调调调调AWS调调调调调调调调调调调调调调调调用了调用了调用了调用了调用了调用了 CloudTrail 如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，则会将所有AWS区域的日志文件传输到您的 S3 存储桶。此外，当AWS启动新区域时， CloudTrail 将在新区域中创建相同的路径。因此，您无需采取任何操作即可收到包含新区域的 API 活动的日志文件。
CA-7 (a) (b)	该组织制定持续监测战略并实施持续监测计划，其中包括：a. 制定 [任务：组织定义的指标] 以供监测；b. 确定 [分配：组织定义的频率] 进行监测，为支持此类监测的评估确定 [分配：组织定义的频率]	rds-enhanced-monitoring-enabled	启用 Amazon Relational Database Service（Amazon RDS）以帮助 这样可以详细了解您的 Amazon RDS 数据库实例的运行状况。当 Amazon RDS 存储使用多个底层物理设备时，增强监控会收集每台设备的数据。此外，当 Amazon RDS 数据库实例在多可用区部署中运行时，将收集辅助主机上每台设备的数据和辅助主机指标。
CA-7 (a) (b)	该组织制定持续监测战略并实施持续监测计划，其中包括：a. 制定 [任务：组织定义的指标] 以供监测；b. 确定 [分配：组织定义的频率] 进行监测，为支持此类监测的评估确定 [分配：组织定义的频率]	已启用安全集线器	AWSSecurity Hub 有助于监控未经授权的人员、连接、设备和软件。 AWSSecurity Hub 可以聚合、组织和优先处理处理处理处理处理处理来自多个AWS服务的安全告警或结果。其中一些服务包括亚马逊Security Hub、Amazon Inspector、Amazon Macie、IdentAWS ity and Access Management (IAM) 访问分析器和FiAWS rewall Manager 以及AWS合作伙伴解决方案。
CA-7 (a) (b)	该组织制定持续监测战略并实施持续监测计划，其中包括：a. 制定 [任务：组织定义的指标] 以供监测；b. 确定 [分配：组织定义的频率] 进行监测，为支持此类监测的评估确定 [分配：组织定义的频率]	autoscaling-group-elb-healthcheck-必填项	Amazon Elastic Compute Cloud (Amazon EC2) Auto Scaling 组的Elastic Load Balancer (ELB) 运行状况检查支持保持足够的容量和可用性 负载均衡器会定期发送 pinauto-scaling、尝试进行连接或发送请求来测试 Amazon EC2 实例运行时间。如果实例未报告，则流量将发送到新的 Amazon EC2 实例。
CA-7 (a) (b)	该组织制定持续监测战略并实施持续监测计划，其中包括：a. 制定 [任务：组织定义的指标] 以供监测；b. 确定 [分配：组织定义的频率] 进行监测，为支持此类监测的评估确定 [分配：组织定义的频率]	beanstalk-enhanced-health-reporting-启用	AWSElastic Beanstalk 增强型运行状况报告可以更快地响应底层基础设施运行状况的变化。这些更改可能导致应用程序缺乏可用性。Elastic Beanstalk 增强型运行状况报告提供了状态描述符，用于评估已发现问题的严重程度并确定可能的调查原因。
CA-7 (a) (b)	该组织制定持续监测战略并实施持续监测计划，其中包括：a. 制定 [任务：组织定义的指标] 以供监测；b. 确定 [分配：组织定义的频率] 进行监测，为支持此类监测的评估确定 [分配：组织定义的频率]	已启用云端追踪	AWS CloudTrail 可以通过记录AWS管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用AWS服务的用户和AWS帐户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在AWS CloudTrail 记录内容中查看。
CA-7 (a) (b)	该组织制定持续监测战略并实施持续监测计划，其中包括：a. 制定 [任务：组织定义的指标] 以供监测；b. 确定 [分配：组织定义的频率] 进行监测，为支持此类监测的评估确定 [分配：组织定义的频率]	cloudtrail-s3 数据事件已启用	SimpSimple Storage Service (Amazon S3) 数据事件的收集有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的AWS账户信息、IP 地址和事件时间。
CA-7 (a) (b)	该组织制定持续监测战略并实施持续监测计划，其中包括：a. 制定 [任务：组织定义的指标] 以供监测；b. 确定 [分配：组织定义的频率] 进行监测，为支持此类监测的评估确定 [分配：组织定义的频率]	cloudwatch-alarm-action-check	当该指标在指定数量的评估期内超出阈值，Amazon CloudWatch 将变为 ALARM。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （Config 默认值：True）、 insufficientDataAction必需（Config 默认值：True）、 okActionRequired （Config 默认值：False）的值。实际值应反映您环境的警报操作。
CA-7 (a) (b)	该组织制定持续监测战略并实施持续监测计划，其中包括：a. 制定 [任务：组织定义的指标] 以供监测；b. 确定 [分配：组织定义的频率] 进行监测，为支持此类监测的评估确定 [分配：组织定义的频率]	dynamodb-throughput-limit-check	启用此规则可确保检查您的 Amazon DynamoDB 表上的预置吞吐容量。这是每个表可以支持的读取/写入活动量。DynamoDB 使用这些信息来预留足够的系统资源，以满足吞吐量需求。当吞吐量接近客户账户的最大限制时，此规则会生成警报。此规则允许您选择性地设置 accountRCUThresholdPercentage （Config 默认值：80）和 accountWCUThresholdPercentage （Config 默认值：80）参数。实际值应反映贵组织的政策。
CA-7 (a) (b)	该组织制定持续监测战略并实施持续监测计划，其中包括：a. 制定 [任务：组织定义的指标] 以供监测；b. 确定 [分配：组织定义的频率] 进行监测，为支持此类监测的评估确定 [分配：组织定义的频率]	ec2-instance-detailed-monitoring-enabled	启用此规则可在 Amazon EC2 控制台上进行Amazon Elastic Compute Cloud (Amazon EC2) 实例监控，该控制台将以 1 分钟显示实例的监控图表。
CA-7 (a) (b)	该组织制定持续监测战略并实施持续监测计划，其中包括：a. 制定 [任务：组织定义的指标] 以供监测；b. 确定 [分配：组织定义的频率] 进行监测，为支持此类监测的评估确定 [分配：组织定义的频率]	guardduty-enabled-centralized	亚马逊 GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意IP和机器学习的列表，以标识您的AWS云环境中意外的和未经授权的恶意活动。
CA-7 (a) (b)	该组织制定持续监测战略并实施持续监测计划，其中包括：a. 制定 [任务：组织定义的指标] 以供监测；b. 确定 [分配：组织定义的频率] 进行监测，为支持此类监测的评估确定 [分配：组织定义的频率]	redshift-cluster-configuration-check	要保护静态数据，请确保为您的 Amazon Redshift 集群启用加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用有关数据库中的连接和用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户活动的信息。此规则要求为 clusterDbEncrypted （Config 默认值：TRUE）和启用日志（Config 默认值：TRUE）设置值。实际值应反映贵组织的政策。
CM-2	该组织在配置控制下开发、记录和维护信息系统的当前基准配置。	alb-waf-enabled	确保在弹性负载均衡器 (ELB) 上启用AWS WAF 以帮助保护 Web 应用程序。WAF 有助于保护您的 Web 应用程序或 API 免遭常见 Web 漏洞的攻击。这些 Web 漏洞可能会影响可用性、损害安全性或消耗过多的资源。
CM-2	该组织在配置控制下开发、记录和维护信息系统的当前基准配置。	api-gw-associated-with-waf	AWS利用 WAF，您可以配置一组规则（称为 Web 访问控制列表，即 Web ACL），基于可自定义的 Web 安全规则以及您定义的条件，允许、阻止或统计 Web 请求。确保您的Amazon API Gateway 阶段与 WAF Web ACL 相关联，以保护其免受恶意攻击
CM-2	该组织在配置控制下开发、记录和维护信息系统的当前基准配置。	autoscaling-launch-config-public-ip 已禁用	如果您使用公有 IP 地址配置网络接口，则可以从 Internet 访问这些网络接口的相关资源。EC2 资源不应公开访问，因为这可能允许意外访问您的应用程序或服务器。
CM-2	该组织在配置控制下开发、记录和维护信息系统的当前基准配置。	dms-replication-not-public	通过确保无法公开访问 DMS 复制实例来管理对AWS云的访问权限。DMS 复制实例可能包含敏感信息，此类账户需要访问控制。
CM-2	该组织在配置控制下开发、记录和维护信息系统的当前基准配置。	ebs-snapshot-public-restorable-检查	通过确保 EBS 快照不可公开恢复，管理对AWS云的访问权限。EBS 卷快照可能包含敏感信息，此类账户需要访问控制。
CM-2	该组织在配置控制下开发、记录和维护信息系统的当前基准配置。	ec2-instance-no-public-ip	通过确保无法公开访问Amazon Elastic Compute Cloud (Amazon EC2) 实例，管理对云的访问。AWSAmazon EC2 实例可能包含敏感信息，此类账户需要访问控制。
CM-2	该组织在配置控制下开发、记录和维护信息系统的当前基准配置。	elasticsearch-in-vpc-only	通过确保AmazonAWS Service（ OpenSearch OpenSearch 服务）域在 Amazon Virtual Private Cloud (Amazon VPC) 中管理对云的访问。通过在 Amazon VPC 中的 OpenSearch OpenSearch 服务域，您可以在 Site 和 Amazon VPC 中的其他服务之间进行安全通信，而无需互联网网关、NAT 设备或 VPN 连接。
CM-2	该组织在配置控制下开发、记录和维护信息系统的当前基准配置。	emr-master-no-public-ip	通过确保无法公开访问 Amazon EMR 集群主节点来管理对AWS云的访问权限。Amazon EMR 集群主节点可能包含敏感信息，此类账户需要访问控制。
CM-2	该组织在配置控制下开发、记录和维护信息系统的当前基准配置。	限制性的 ssh	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以通过对AWS资源的入口和出口网络流量进行状态筛选，帮助管理网络访问。不允许允许从 0.0.0.0.00000000000000000000000000000000000000000000000
CM-2	该组织在配置控制下开发、记录和维护信息系统的当前基准配置。	ec2-instances-in-vpc	通过在Amazon VPC 中部署 Amazon Elastic Compute Cloud (Amazon EC2) 实例，您可以在 Amazon VPC 中的其他服务之间进行安全通信，而无需互联网网关、NAT 设备或 VPN 连接。AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共端点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全性。将 Amazon EC2 实例分配给亚马逊 VPC 以正确管理访问权限。
CM-2	该组织在配置控制下开发、记录和维护信息系统的当前基准配置。	lambda-function-public-access-禁止	通过确保AWS Lambda 函数无法公开访问，管理对AWS云中资源的访问权限。公共访问可能导致资源可用性下降。
CM-2	该组织在配置控制下开发、记录和维护信息系统的当前基准配置。	lambda-inside-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 中部署AWS Lambda 函数，以实现函数与Amazon VPC 中其他服务之间的安全通信。使用此配置，不需要互联网网关、NAT 网关、NAT 设备或 VPN 连接。AWS云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共端点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全性。为了正确管理访问权限，应AWS将 Lambda 函数分配给 VPC。
CM-2	该组织在配置控制下开发、记录和维护信息系统的当前基准配置。	no-unrestricted-route-to-igw	确保 Amazon EC2 路由表没有通往互联网网关的无限制路由。取消或限制 Amazon VPC 内工作负载的互联网访问权限可以减少环境中的意外访问。
CM-2	该组织在配置控制下开发、记录和维护信息系统的当前基准配置。	rds-instance-public-access-检查	通过确保 Amazon RelationAWS al Database Service (Amazon RDS) 实例不公用了。Amazon RDS 数据库实例可能包含敏感信息，此类账户需要原则和访问控制。
CM-2	该组织在配置控制下开发、记录和维护信息系统的当前基准配置。	rds-snapshots-public-prohibited	通过确保 Amazon RelationAWS al Database Service (Amazon RDS) 实例不公用了。Amazon RDS 数据库实例可能包含敏感信息和原则，此类账户需要访问控制。
CM-2	该组织在配置控制下开发、记录和维护信息系统的当前基准配置。	redshift-cluster-public-access-检查	通过确保 Amazon Redshift 集群不公开，管理对AWS云中资源的访问权限。Amazon Redshift 集群可能包含敏感信息和原则，此类账户需要访问控制。
CM-2	该组织在配置控制下开发、记录和维护信息系统的当前基准配置。	s3-account-level-public-access-区块-周期性	通过确保无法公开访问 Amazon Simple Storage SerAWS vice (Amazon S3) 存储桶。该规则通过防止公共访问来帮助保护敏感数据免受未经授权的远程用户的侵害。此规则允许您选择设置 ignorePublicAcls （Config 默认值：True）、 blockPublicPolicy （Config 默认值：True）、 blockPublicAcls （Config 默认值：True）和 restrictPublicBuckets 参数（Config 默认值：True）。实际值应反映贵组织的政策。
CM-2	该组织在配置控制下开发、记录和维护信息系统的当前基准配置。	s3-bucket-public-read-prohibited	通过仅允许授权的用户、流程和设备访问 Amazon Simple Storage SerAWS vice (Amazon S3) 存储桶。访问管理应与数据的分类保持一致。
CM-2	该组织在配置控制下开发、记录和维护信息系统的当前基准配置。	s3-bucket-public-write-prohibited	通过仅允许授权的用户、流程和设备访问 Amazon Simple Storage SerAWS vice (Amazon S3) 存储桶。访问管理应与数据的分类保持一致。
CM-2	该组织在配置控制下开发、记录和维护信息系统的当前基准配置。	sagemaker-notebook-no-direct-互联网接入	通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对AWS云端资源的访问权限。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。
CM-2	该组织在配置控制下开发、记录和维护信息系统的当前基准配置。	vpc-default-security-group-已关闭	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可通过对AWS资源的入口和出口流量进行状态筛选，帮助管理网络访问。限制默认安全组上的所有流量有助于限制对AWS资源的远程访问。
CM-2	该组织在配置控制下开发、记录和维护信息系统的当前基准配置。	vpc-sg-open-only-to-authorized-ports	通过确保在 Amazon Elastic ComputeAWS Cloud (Amazon EC2) 安全组上限制公共端口，管理对云中资源的访问。不限制对可信来源的端口访问可能会导致对系统的可用性、完整性和机密性的攻击。通过限制从互联网对安全组内资源的访问 (0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0) 可以控制对内部系统的资源的访问。
CM-2	该组织在配置控制下开发、记录和维护信息系统的当前基准配置。	ec2-instance-managed-by-systems-管理器	通过SAWS ystems Manager，您可以通过管理 Amazon Elastic Compute Cloud (Amazon EC2) 实例。使用AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发行商和版本以及有关您的环境的其他详细信息。
CM-2	该组织在配置控制下开发、记录和维护信息系统的当前基准配置。	ec2-managedinstance-association-compliance-status-checket	使用AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。 AWSSystems Manager 为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置和有关环境的其他详细信息的基准。
CM-2	该组织在配置控制下开发、记录和维护信息系统的当前基准配置。	ec2 停止的实例	启用此规则可根据贵组织的标准检查 Amazon EC2 实例的停止天数是否超过允许的天数，从而帮助完成 Amazon Elastic Compute Cloud (Amazon EC2) 实例的基准配置。
CM-2	该组织在配置控制下开发、记录和维护信息系统的当前基准配置。	ec2-volume-inuse-check	此规则可确保在实例终止时将附加到Amazon Elastic Compute Cloud (Amazon EC2) 实例的 Amazon Elastic Compute Cloud (Amazon 如果 Amazon EBS 卷在其所连接的实例终止时未将其删除，则可能违反功能最少的概念。
CM-2	该组织在配置控制下开发、记录和维护信息系统的当前基准配置。	elb-deletion-protection-enabled	此规则确保 Elastic Load Balancing ance 已启用删除保护。使用此功能可以防止您的负载均衡器被意外或恶意删除，这可能会导致应用程序的可用性丧失。
CM-2	该组织在配置控制下开发、记录和维护信息系统的当前基准配置。	restricted-common-ports	通过确保在 Amazon Elastic ComputeAWS Cloud (Amazon EC2) 安全组中限制公共端口，管理对云中资源的访问。不限制可信来源对端口的访问可能会导致对系统的可用性、完整性和机密性的攻击。这条规则允许你有选择地设置 BlockedPort1-BlockedPort5 参数（Config 默认值：20,213389,3306,4333）。实际值应反映贵组织的政策。
CM-2	该组织在配置控制下开发、记录和维护信息系统的当前基准配置。	s3-bucket-level-public-access-禁止	通过确保无法公开访问 Amazon Simple Storage SerAWS vice (Amazon S3) 存储桶。该规则通过防止存储段级别的公共访问来帮助保护敏感数据免受未经授权的远程用户的侵害。
CM-2	该组织在配置控制下开发、记录和维护信息系统的当前基准配置。	subnet-auto-assign-public-ip 已禁用	通过确保不会自动为Amazon Virtual Private Cloud (VPC) 子网分配公有 IP 地址来管理对云的访问。AWS在启用了此属性的子网中启动的 Amazon Elastic Compute Cloud (EC2) 实例会为其主网络接口分配公有 IP 地址。
CM-7 (a)	组织：a。将信息系统配置为仅提供基本功能。	ec2-instance-profile-attached	EC2 实例配置文件会将 IAM 角色传递给 EC2 实例。将实例配置文件附加到您的实例可以帮助进行最低权限和权限管理。
CM-7 (a)	组织：a。将信息系统配置为仅提供基本功能。	ec2-instance-managed-by-systems-管理器	通过SAWS ystems Manager，您可以通过管理 Amazon Elastic Compute Cloud (Amazon EC2) 实例。使用AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发行商和版本以及有关您的环境的其他详细信息。
CM-7 (a)	组织：a。将信息系统配置为仅提供基本功能。	ec2-managedinstance-association-compliance-status-checket	使用AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。 AWSSystems Manager 为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置和有关环境的其他详细信息的基准。
CM-8 (1)	该组织更新信息系统组件清单，这是组件安装、拆除和信息系统更新不可分割的一部分。	ec2-instance-managed-by-systems-管理器	通过SAWS ystems Manager，您可以通过管理 Amazon Elastic Compute Cloud (Amazon EC2) 实例。使用AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发行商和版本以及有关您的环境的其他详细信息。
CM-8 (1)	该组织更新信息系统组件清单，这是组件安装、拆除和信息系统更新不可分割的一部分。	ec2-managedinstance-association-compliance-status-checket	使用AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。 AWSSystems Manager 为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置和有关环境的其他详细信息的基准。
CM-8 (3) (a)	组织：a。持续使用自动化机制，使用检测延迟最多五分钟的自动机制，以检测信息系统中是否存在未经授权的硬件、软件和固件组件	ec2-instance-managed-by-systems-管理器	通过SAWS ystems Manager，您可以通过管理 Amazon Elastic Compute Cloud (Amazon EC2) 实例。使用AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发行商和版本以及有关您的环境的其他详细信息。
CM-8 (3) (a)	组织：a。持续使用自动化机制，使用检测延迟最多五分钟的自动机制，以检测信息系统中是否存在未经授权的硬件、软件和固件组件	ec2-managedinstance-association-compliance-status-checket	使用AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。 AWSSystems Manager 为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置和有关环境的其他详细信息的基准。
CM-8 (3) (a)	组织：a。持续使用自动化机制，使用检测延迟最多五分钟的自动机制，以检测信息系统中是否存在未经授权的硬件、软件和固件组件	ec2-managedinstance-patch-compliance-status-checket	启用此规则可帮助识别和记录Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。该规则检查SAWS ystems Manager 中的 Amazon EC2 实例补丁是否符合贵组织的政策和程序的要求。
CM-8 (3) (a)	组织：a。持续使用自动化机制，使用检测延迟最多五分钟的自动机制，以检测信息系统中是否存在未经授权的硬件、软件和固件组件	guardduty-enabled-centralized	亚马逊 GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意IP和机器学习的列表，以标识您的AWS云环境中意外的和未经授权的恶意活动。
CP-9 (b)	该组织:b. 对信息系统中包含的系统级信息进行备份（每日增量；每周完整备份）。	aurora-resources-protected-by-备份计划	为了帮助完成数据备份流程，请确保您的 Amazon Aurora 资源是AWS Backup 计划的一部分。 AWSBackup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案简化了您的备份管理，使您能够满足业务和监管备份合规性要求。
CP-9 (b)	该组织:b. 对信息系统中包含的系统级信息进行备份（每日增量；每周完整备份）。	backup-plan-min-frequency-and-min-retention-check	为帮助完成数据AWS备份流程，请确保将Backup 计划设置为最低频率和保留时间。 AWSBackup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案简化了您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredFrequencyValue （Config 默认值：1）、 requiredRetentionDays （Config 默认值：35）和 requiredFrequencyUnit （Config 默认值：天）参数。实际价值应反映贵组织的需求。
CP-9 (b)	该组织:b. 对信息系统中包含的系统级信息进行备份（每日增量；每周完整备份）。	dynamodb-resources-protected-by-备份计划	为了帮助完成数据备份流程，请确保您的 Amazon DynamoDB 资源是BacAWS kup 计划的一部分。 AWSBackup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案简化了您的备份管理，使您能够满足业务和监管备份合规性要求。
CP-9 (b)	该组织:b. 对信息系统中包含的系统级信息进行备份（每日增量；每周完整备份）。	ebs-resources-protected-by-备份计划	为了帮助完成数据备份流程，请确保您的亚马逊Elastic Block Store (Amazon EBS) 资源是BacAWS kup 计划的一部分。 AWSBackup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案简化了您的备份管理，使您能够满足业务和监管备份合规性要求。
CP-9 (b)	该组织:b. 对信息系统中包含的系统级信息进行备份（每日增量；每周完整备份）。	ec2-resources-protected-by-backup-plan	要帮助进行数据备份流程，请确保您的Amazon Elastic Compute Cloud (Amazon EC2) 资源是AWS Backup 计划的一部分。 AWSBackup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案简化了您的备份管理，使您能够满足业务和监管备份合规性要求。
CP-9 (b)	该组织:b. 对信息系统中包含的系统级信息进行备份（每日增量；每周完整备份）。	efs-resources-protected-by-备份计划	为了帮助完成数据备份流程，请确保您的Amazon Elastic File System (Amazon EFS) 文件系统是AWS Backup 计划的一部分。 AWSBackup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案简化了您的备份管理，使您能够满足业务和监管备份合规性要求。
CP-9 (b)	该组织:b. 对信息系统中包含的系统级信息进行备份（每日增量；每周完整备份）。	fsx-resources-protected-by-备份计划	为了帮助完成数据备份流程，请确保您的 Amazon FSx 文件系统是AWS Backup 计划的一部分。 AWSBackup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案简化了您的备份管理，使您能够满足业务和监管备份合规性要求。
CP-9 (b)	该组织:b. 对信息系统中包含的系统级信息进行备份（每日增量；每周完整备份）。	rds-resources-protected-by-备份计划	为了帮助完成数据备份流程，请确保您的Amazon Relational Database Service (Amazon RDS) 资源是AWS Backup 计划的一部分。 AWSBackup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案简化了您的备份管理，使您能够满足业务和监管备份合规性要求。
CP-9 (b)	该组织:b. 对信息系统中包含的系统级信息进行备份（每日增量；每周完整备份）。	redshift-backup-enabled	为了帮助完成数据备份流程，请确保您的 Amazon Redshift 集群有自动快照。当某个集群的自动快照处于启用状态时，Redshift 会定期拍摄该集群的快照。默认情况下，Redshift 每 8 小时或在每节点数据更改达到 5 GB 时拍摄一次快照，以先到者为准。
CP-9 (b)	该组织:b. 对信息系统中包含的系统级信息进行备份（每日增量；每周完整备份）。	db-instance-backup-enabled	Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 自动创建有关数据库实例的存储卷快照，并备份整个数据库实例并备份整个数据库实例。该系统允许您设置特定的保留期以满足您的弹性要求。
CP-9 (b)	该组织:b. 对信息系统中包含的系统级信息进行备份（每日增量；每周完整备份）。	dynamodb-pitr-enabled	启用此规则以检查信息是否已备份。它还通过确保在 Amazon DynamoDB 中启用 point-in-time 恢复来维护备份。恢复操作会保持表在过去 35 天内的连续备份。
CP-9 (b)	该组织:b. 对信息系统中包含的系统级信息进行备份（每日增量；每周完整备份）。	elasticache-redis-cluster-automatic-备份检查	启用自动备份后，Amazon ElastiCache 会每天为集群创建一个备份。备份可以保留您的组织指定的天数。自动备份可以帮助防止数据丢失。如果发生故障，您可以创建一个新集群，该集群会从最新的备份中恢复数据。
CP-9 (b)	该组织:b. 对信息系统中包含的系统级信息进行备份（每日增量；每周完整备份）。	s3-bucket-replication-enabled	Amazon Simple Storage Service (Amazon S3) 支持维持足够的容量和可用性。CRR 支持跨 Amazon S3 存储桶自动以方式复制对象，以帮助确保数据可用性得到维护。
CP-9 (b)	该组织:b. 对信息系统中包含的系统级信息进行备份（每日增量；每周完整备份）。	s3-bucket-versioning-enabled	Amazon Simple Storage Service (Amazon S3) 存储桶版本控制有助于将对象的多个变体保留在同一 Amazon S3 存储桶中。使用版本控制功能来保存、检索和还原它们的Amazon S3 版本。版本控制功能可帮助您轻松从用户意外操作和应用程序故障中恢复数据。
CP-10	该组织规定在中断、受损或故障后将信息系统恢复和重组到已知状态。	aurora-resources-protected-by-备份计划	为了帮助完成数据备份流程，请确保您的 Amazon Aurora 资源是AWS Backup 计划的一部分。 AWSBackup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案简化了您的备份管理，使您能够满足业务和监管备份合规性要求。
CP-10	该组织规定在中断、受损或故障后将信息系统恢复和重组到已知状态。	backup-plan-min-frequency-and-min-retention-check	为帮助完成数据AWS备份流程，请确保将Backup 计划设置为最低频率和保留时间。 AWSBackup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案简化了您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredFrequencyValue （Config 默认值：1）、 requiredRetentionDays （Config 默认值：35）和 requiredFrequencyUnit （Config 默认值：天）参数。实际价值应反映贵组织的需求。
CP-10	该组织规定在中断、受损或故障后将信息系统恢复和重组到已知状态。	dynamodb-resources-protected-by-备份计划	为了帮助完成数据备份流程，请确保您的 Amazon DynamoDB 资源是BacAWS kup 计划的一部分。 AWSBackup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案简化了您的备份管理，使您能够满足业务和监管备份合规性要求。
CP-10	该组织规定在中断、受损或故障后将信息系统恢复和重组到已知状态。	ebs-resources-protected-by-备份计划	为了帮助完成数据备份流程，请确保您的亚马逊Elastic Block Store (Amazon EBS) 资源是BacAWS kup 计划的一部分。 AWSBackup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案简化了您的备份管理，使您能够满足业务和监管备份合规性要求。
CP-10	该组织规定在中断、受损或故障后将信息系统恢复和重组到已知状态。	ec2-resources-protected-by-backup-plan	要帮助进行数据备份流程，请确保您的Amazon Elastic Compute Cloud (Amazon EC2) 资源是AWS Backup 计划的一部分。 AWSBackup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案简化了您的备份管理，使您能够满足业务和监管备份合规性要求。
CP-10	该组织规定在中断、受损或故障后将信息系统恢复和重组到已知状态。	efs-resources-protected-by-备份计划	为了帮助完成数据备份流程，请确保您的Amazon Elastic File System (Amazon EFS) 文件系统是AWS Backup 计划的一部分。 AWSBackup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案简化了您的备份管理，使您能够满足业务和监管备份合规性要求。
CP-10	该组织规定在中断、受损或故障后将信息系统恢复和重组到已知状态。	elb-cross-zone-load-启用平衡	为您的弹性负载均衡器 (ELB) 启用跨区域负载均衡，以帮助保持足够的容量和可用性。跨区域负载均衡可降低在每个已启用的可用区中维持相同数量实例的需求。它还提高了应用程序处理一个或多个实例丢失情况的能力。
CP-10	该组织规定在中断、受损或故障后将信息系统恢复和重组到已知状态。	fsx-resources-protected-by-备份计划	为了帮助完成数据备份流程，请确保您的 Amazon FSx 文件系统是AWS Backup 计划的一部分。 AWSBackup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案简化了您的备份管理，使您能够满足业务和监管备份合规性要求。
CP-10	该组织规定在中断、受损或故障后将信息系统恢复和重组到已知状态。	rds-resources-protected-by-备份计划	为了帮助完成数据备份流程，请确保您的Amazon Relational Database Service (Amazon RDS) 资源是AWS Backup 计划的一部分。 AWSBackup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案简化了您的备份管理，使您能够满足业务和监管备份合规性要求。
CP-10	该组织规定在中断、受损或故障后将信息系统恢复和重组到已知状态。	redshift-backup-enabled	为了帮助完成数据备份流程，请确保您的 Amazon Redshift 集群有自动快照。当某个集群的自动快照处于启用状态时，Redshift 会定期拍摄该集群的快照。默认情况下，Redshift 每 8 小时或在每节点数据更改达到 5 GB 时拍摄一次快照，以先到者为准。
CP-10	该组织规定在中断、受损或故障后将信息系统恢复和重组到已知状态。	db-instance-backup-enabled	Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 自动创建有关数据库实例的存储卷快照，并备份整个数据库实例并备份整个数据库实例。该系统允许您设置特定的保留期以满足您的弹性要求。
CP-10	该组织规定在中断、受损或故障后将信息系统恢复和重组到已知状态。	dynamodb-autoscaling-enabled	Amazon DynamoDB Auto Scaling 使用AppAWS lication Auto Scaling 服务来调整预置的吞吐容量，以自动响应实际的流量模式。这将允许表或全局二级索引增大其预置的读取/写入容量以处理突发流量，而不进行限制。
CP-10	该组织规定在中断、受损或故障后将信息系统恢复和重组到已知状态。	dynamodb-pitr-enabled	启用此规则以检查信息是否已备份。它还通过确保在 Amazon DynamoDB 中启用 point-in-time 恢复来维护备份。恢复操作会保持表在过去 35 天内的连续备份。
CP-10	该组织规定在中断、受损或故障后将信息系统恢复和重组到已知状态。	ebs-optimized-instance	Amazon Elastic Block Store (Amazon EBS) 中的优化实例为 Amazon EBS I/O 操作提供了额外的专用容量。这种优化通过最小化 Amazon EBS I/O 操作与来自您实例的其他流量之间的争用，为您的 EBS 卷提供最高效的性能。
CP-10	该组织规定在中断、受损或故障后将信息系统恢复和重组到已知状态。	elasticache-redis-cluster-automatic-备份检查	启用自动备份后，Amazon ElastiCache 会每天为集群创建一个备份。备份可以保留您的组织指定的天数。自动备份可以帮助防止数据丢失。如果发生故障，您可以创建一个新集群，该集群会从最新的备份中恢复数据。
CP-10	该组织规定在中断、受损或故障后将信息系统恢复和重组到已知状态。	elb-deletion-protection-enabled	此规则确保 Elastic Load Balancing ance 已启用删除保护。使用此功能可以防止您的负载均衡器被意外或恶意删除，这可能会导致应用程序的可用性丧失。
CP-10	该组织规定在中断、受损或故障后将信息系统恢复和重组到已知状态。	rds-multi-az-support	Amazon Relational Database Service (Amazon RDS) 中的多可用区支持提供了对数据库实例的可用性和耐久 当您预置多可用区数据库实例时，Amazon RDS 会自动创建主数据库实例，并将数据同步复制到其他可用区中的备用实例。每个可用区都在其自身物理上独立、独立的基础设施上运行，并且经过精心设计，具有高度的可靠性。如果基础设施出现故障，Amazon RDS 会自动故障转移到备用服务器，这样您就可以在故障转移完成后立即恢复数据库操作。
CP-10	该组织规定在中断、受损或故障后将信息系统恢复和重组到已知状态。	s3-bucket-replication-enabled	Amazon Simple Storage Service (Amazon S3) 支持维持足够的容量和可用性。CRR 支持跨 Amazon S3 存储桶自动以方式复制对象，以帮助确保数据可用性得到维护。
CP-10	该组织规定在中断、受损或故障后将信息系统恢复和重组到已知状态。	s3-bucket-versioning-enabled	Amazon Simple Storage Service (Amazon S3) 存储桶版本控制有助于将对象的多个变体保留在同一 Amazon S3 存储桶中。使用版本控制功能来保存、检索和还原它们的Amazon S3 版本。版本控制功能可帮助您轻松从用户意外操作和应用程序故障中恢复数据。
CP-10	该组织规定在中断、受损或故障后将信息系统恢复和重组到已知状态。	vpc-vpn-2-tunnelsup	可以实施冗余Site-to-Site VPN 隧道以实现弹性要求。如果其中一个站点到站点 VPN 连接不可用，它使用两个隧道来帮助确保连接。要避免因您的客户网关变得不可用而造成连接中断，您可使用第二个客户网关来为您的 Amazon VPC (虚拟私有网关) 和虚拟私有网关设置第二个站点到站VPN 连接。
IA-2 (1) (2)	(1) 信息系统对特权账户的网络访问实施多因素身份验证。(2) 信息系统对非特权账户的网络访问实施多因素身份验证。	root-account-mfa-enabled	通过确保为根用户启用 MFA 来管理对AWS云中资源的访问权限。根用户是AWS账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户使用 MFA，可以减少AWS账户被入侵的发生。
IA-2 (1) (2)	(1) 信息系统对特权账户的网络访问实施多因素身份验证。(2) 信息系统对非特权账户的网络访问实施多因素身份验证。	iam-user-mfa-enabled	启用此规则以限制对AWS云中资源的访问。规则确保对所有用户启用多重身份验证 (MFA)。MFA 在登录凭证之上增加了一层额外的保护。通过要求用户使用 MFA 来减少账户被盗事件。
IA-2 (1) (2)	(1) 信息系统对特权账户的网络访问实施多因素身份验证。(2) 信息系统对非特权账户的网络访问实施多因素身份验证。	mfa-enabled-for-iam-控制台访问权限	通过确保所有拥有控制台密码的Identity and Access ManagemAWS ent (IAM) 用户启用 MFA 来管理对AWS云中资源的访问权限。MFA 在登录凭证之上增加了一层额外的保护。通过要求用户使用 MFA，您可以减少账户被盗事件，并防止未经授权的用户访问敏感数据。
IA-2 (1) (2)	(1) 信息系统对特权账户的网络访问实施多因素身份验证。(2) 信息系统对非特权账户的网络访问实施多因素身份验证。	root-account-hardware-mfa-启用	通过确保为根用户启用硬件 MFA，管理对AWS云中资源的访问权限。根用户是AWS账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户使用 MFA，可以减少AWS账户被入侵的发生。
IA-2 (1)	(1) 信息系统对特权账户的网络访问实施多因素身份验证。	iam-user-mfa-enabled	启用此规则以限制对AWS云中资源的访问。规则确保对所有用户启用多重身份验证 (MFA)。MFA 在登录凭证之上增加了一层额外的保护。通过要求用户使用 MFA 来减少账户被盗事件。
IA-2 (1)	(1) 信息系统对特权账户的网络访问实施多因素身份验证。	mfa-enabled-for-iam-控制台访问权限	通过确保所有拥有控制台密码的Identity and Access ManagemAWS ent (IAM) 用户启用 MFA 来管理对AWS云中资源的访问权限。MFA 在登录凭证之上增加了一层额外的保护。通过要求用户使用 MFA，您可以减少账户被盗事件，并防止未经授权的用户访问敏感数据。
IA-2 (1)	(1) 信息系统对特权账户的网络访问实施多因素身份验证。	root-account-hardware-mfa-启用	通过确保为根用户启用硬件 MFA，管理对AWS云中资源的访问权限。根用户是AWS账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户使用 MFA，可以减少AWS账户被入侵的发生。
IA-2 (1)	(1) 信息系统对特权账户的网络访问实施多因素身份验证。	root-account-mfa-enabled	通过确保为根用户启用 MFA 来管理对AWS云中资源的访问权限。根用户是AWS账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户使用 MFA，可以减少AWS账户被入侵的发生。
IA-2	信息系统对组织用户（或代表组织用户行事的进程）进行唯一识别和身份验证。	iam-password-policy	身份和证书是根据组织的 IAM 密码策略颁发、管理和验证的。它们达到或超过了 NIST SP 800-63 和密码强度AWS基础安全最佳实践标准规定的要求。此规则允许您根据需要设置 RequireUppercaseCharacters （AWS基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS基础安全最佳实践值：true）、 RequireSymbols （AWS基础安全最佳实践值：true）、 RequireNumbers （AWS基础安全最佳实践值：true）、 MinimumPasswordLength （AWS基础安全最佳实践值：14）、 PasswordReusePrevention （AWS基础安全最佳实践值：24）和 MaxPasswordAge （AWS基础安全最佳实践值：90）IAM 密码策略。实际值应反映贵组织的政策。
IA-2	信息系统对组织用户（或代表组织用户行事的进程）进行唯一识别和身份验证。	iam-root-access-key-检查	通过检查根用户的Identity and Access ManagemAWS ent (IAM) 角色是否附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的AWS帐户来帮助纳入功能最少的原则。
IA-5 (1) (a) (d) (e)	用于基于密码的身份验证的信息系统：a. 强制执行最低密码复杂度 [分配：组织定义的区分大小写、字符数、大写字母、小写字母、数字和特殊字符的混合要求，包括每种类型的最低要求]；d. 强制执行密码的最小和最大生命周期限制 [分配：组织定义的最小生命周期、最大生命周期的数字]；e. 24 代内禁止重复使用密码	iam-password-policy	身份和证书是根据组织的 IAM 密码策略颁发、管理和验证的。它们达到或超过了 NIST SP 800-63 和密码强度AWS基础安全最佳实践标准规定的要求。此规则允许您根据需要设置 RequireUppercaseCharacters （AWS基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS基础安全最佳实践值：true）、 RequireSymbols （AWS基础安全最佳实践值：true）、 RequireNumbers （AWS基础安全最佳实践值：true）、 MinimumPasswordLength （AWS基础安全最佳实践值：14）、 PasswordReusePrevention （AWS基础安全最佳实践值：24）和 MaxPasswordAge （AWS基础安全最佳实践值：90）IAM 密码策略。实际值应反映贵组织的政策。
IA-5 (4)	该组织使用自动化工具来确定密码身份验证器是否足够强大，足以满足 [任务：组织定义的要求]。	iam-password-policy	身份和证书是根据组织的 IAM 密码策略颁发、管理和验证的。它们达到或超过了 NIST SP 800-63 和密码强度AWS基础安全最佳实践标准规定的要求。此规则允许您根据需要设置 RequireUppercaseCharacters （AWS基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS基础安全最佳实践值：true）、 RequireSymbols （AWS基础安全最佳实践值：true）、 RequireNumbers （AWS基础安全最佳实践值：true）、 MinimumPasswordLength （AWS基础安全最佳实践值：14）、 PasswordReusePrevention （AWS基础安全最佳实践值：24）和 MaxPasswordAge （AWS基础安全最佳实践值：90）IAM 密码策略。实际值应反映贵组织的政策。
IA-5 (7)	该组织确保未加密的静态身份验证器未嵌入到应用程序或访问脚本中，也不会存储在功能键上。	codebuild-project-envvar-awscred-检查	确保在AWS Codebuild 项目环境中不存在 AWS_ACCESS_ID 和 AWS_SECRET_KEY 的身份验证凭证 AWS_ACCESS_KEY。不要将这些变量存储在明文中。以明文形式存储这些变量会导致意外的数据泄露和未经授权的访问。
IR-4 (1)	该组织采用自动化机制来支持事件处理流程。	autoscaling-group-elb-healthcheck-必填项	Amazon Elastic Compute Cloud (Amazon EC2) Auto Scaling 组的Elastic Load Balancer (ELB) 运行状况检查支持保持足够的容量和可用性 负载均衡器会定期发送 pinauto-scaling、尝试进行连接或发送请求来测试 Amazon EC2 实例运行时间。如果实例未报告，则流量将发送到新的 Amazon EC2 实例。
IR-4 (1)	该组织采用自动化机制来支持事件处理流程。	guardduty-enabled-centralized	亚马逊 GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意IP和机器学习的列表，以标识您的AWS云环境中意外的和未经授权的恶意活动。
IR-4 (1)	该组织采用自动化机制来支持事件处理流程。	guardduty-non-archived-findings	亚马逊通过按严重程度对调查结果进行分类：低、中和高，来 GuardDuty 帮助您了解事件的影响。您可以使用这些分类来确定补救策略和优先级。此规则允许您根据组织策略的要求选择性地为非存档的调查结果设置 daysMediumSev （Config 默认值：30）、 daysHighSev （Config 默认值：7）和（Config 默认值：1）。 daysLowSev
IR-4 (1)	该组织采用自动化机制来支持事件处理流程。	已启用安全集线器	AWSSecurity Hub 有助于监控未经授权的人员、连接、设备和软件。 AWSSecurity Hub 可以聚合、组织和优先处理处理处理处理处理处理来自多个AWS服务的安全告警或结果。其中一些服务包括亚马逊Security Hub、Amazon Inspector、Amazon Macie、IdentAWS ity and Access Management (IAM) 访问分析器和FiAWS rewall Manager 以及AWS合作伙伴解决方案。
IR-4 (1)	该组织采用自动化机制来支持事件处理流程。	cloudwatch-alarm-action-check	当该指标在指定数量的评估期内超出阈值，Amazon CloudWatch 将变为 ALARM。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （Config 默认值：True）、 insufficientDataAction必需（Config 默认值：True）、 okActionRequired （Config 默认值：False）的值。实际值应反映您环境的警报操作。
IR-6 (1)	该组织采用自动化机制来协助报告安全事件。	guardduty-enabled-centralized	亚马逊 GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意IP和机器学习的列表，以标识您的AWS云环境中意外的和未经授权的恶意活动。
IR-6 (1)	该组织采用自动化机制来协助报告安全事件。	guardduty-non-archived-findings	亚马逊通过按严重程度对调查结果进行分类：低、中和高，来 GuardDuty 帮助您了解事件的影响。您可以使用这些分类来确定补救策略和优先级。此规则允许您根据组织策略的要求选择性地为非存档的调查结果设置 daysMediumSev （Config 默认值：30）、 daysHighSev （Config 默认值：7）和（Config 默认值：1）。 daysLowSev
IR-6 (1)	该组织采用自动化机制来协助报告安全事件。	已启用安全集线器	AWSSecurity Hub 有助于监控未经授权的人员、连接、设备和软件。 AWSSecurity Hub 可以聚合、组织和优先处理处理处理处理处理处理来自多个AWS服务的安全告警或结果。其中一些服务包括亚马逊Security Hub、Amazon Inspector、Amazon Macie、IdentAWS ity and Access Management (IAM) 访问分析器和FiAWS rewall Manager 以及AWS合作伙伴解决方案。
IR-7 (1)	该组织采用自动化机制来增加与事件响应相关的信息和支持的可用性。	guardduty-enabled-centralized	亚马逊 GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意IP和机器学习的列表，以标识您的AWS云环境中意外的和未经授权的恶意活动。
IR-7 (1)	该组织采用自动化机制来增加与事件响应相关的信息和支持的可用性。	guardduty-non-archived-findings	亚马逊通过按严重程度对调查结果进行分类：低、中和高，来 GuardDuty 帮助您了解事件的影响。您可以使用这些分类来确定补救策略和优先级。此规则允许您根据组织策略的要求选择性地为非存档的调查结果设置 daysMediumSev （Config 默认值：30）、 daysHighSev （Config 默认值：7）和（Config 默认值：1）。 daysLowSev
IR-7 (1)	该组织采用自动化机制来增加与事件响应相关的信息和支持的可用性。	已启用安全集线器	AWSSecurity Hub 有助于监控未经授权的人员、连接、设备和软件。 AWSSecurity Hub 可以聚合、组织和优先处理处理处理处理处理处理来自多个AWS服务的安全告警或结果。其中一些服务包括亚马逊Security Hub、Amazon Inspector、Amazon Macie、IdentAWS ity and Access Management (IAM) 访问分析器和FiAWS rewall Manager 以及AWS合作伙伴解决方案。
RA-5 (1)	该组织采用漏洞扫描工具，包括随时更新要扫描的信息系统漏洞的功能。补充指南：随着新漏洞的发现、公布和扫描方法的开发，需要随时更新待扫描的漏洞。这种更新过程有助于确保尽快识别和解决信息系统中的潜在漏洞。相关控件：SI-3、SI-7。	guardduty-enabled-centralized	亚马逊 GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意IP和机器学习的列表，以标识您的AWS云环境中意外的和未经授权的恶意活动。
RA-5 (1)	该组织采用漏洞扫描工具，包括随时更新要扫描的信息系统漏洞的功能。补充指南：随着新漏洞的发现、公布和扫描方法的开发，需要随时更新待扫描的漏洞。这种更新过程有助于确保尽快识别和解决信息系统中的潜在漏洞。相关控件：SI-3、SI-7。	guardduty-non-archived-findings	亚马逊通过按严重程度对调查结果进行分类：低、中和高，来 GuardDuty 帮助您了解事件的影响。您可以使用这些分类来确定补救策略和优先级。此规则允许您根据组织策略的要求选择性地为非存档的调查结果设置 daysMediumSev （Config 默认值：30）、 daysHighSev （Config 默认值：7）和（Config 默认值：1）。 daysLowSev
RA-5 (1)	该组织采用漏洞扫描工具，包括随时更新要扫描的信息系统漏洞的功能。补充指南：随着新漏洞的发现、公布和扫描方法的开发，需要随时更新待扫描的漏洞。这种更新过程有助于确保尽快识别和解决信息系统中的潜在漏洞。相关控件：SI-3、SI-7。	已启用安全集线器	AWSSecurity Hub 有助于监控未经授权的人员、连接、设备和软件。 AWSSecurity Hub 可以聚合、组织和优先处理处理处理处理处理处理来自多个AWS服务的安全告警或结果。其中一些服务包括亚马逊Security Hub、Amazon Inspector、Amazon Macie、IdentAWS ity and Access Management (IAM) 访问分析器和FiAWS rewall Manager 以及AWS合作伙伴解决方案。
RA-5	组织：a。每月扫描信息系统和托管应用程序中的漏洞 [操作系统/基础设施；每月 Web 应用程序和数据库]，并在发现和报告可能影响系统/应用程序的新漏洞时进行扫描；b. 使用漏洞扫描工具和技术，通过使用以下标准来促进工具之间的互操作性并自动执行漏洞管理过程的各个部分：1. 列举平台、软件缺陷和不当配置；2. 格式化清单和测试程序；以及 3. 衡量脆弱性的影响；c. 分析漏洞扫描报告和安全控制评估的结果；d. 修复合法漏洞：在发现之日起三十 (30) 天内缓解高风险漏洞；在发现之日起九十 (90) 天内缓解中等风险漏洞；根据组织风险评估，在发现之日起一百八十 (180) 天内缓解低风险漏洞；以及 e. 与 [任务：组织定义的人员或角色] 共享从漏洞扫描过程和安全控制评估中获得的信息，以帮助消除其他信息系统中的类似漏洞（即系统弱点或缺陷）。	guardduty-non-archived-findings	亚马逊通过按严重程度对调查结果进行分类：低、中和高，来 GuardDuty 帮助您了解事件的影响。您可以使用这些分类来确定补救策略和优先级。此规则允许您根据组织策略的要求选择性地为非存档的调查结果设置 daysMediumSev （Config 默认值：30）、 daysHighSev （Config 默认值：7）和（Config 默认值：1）。 daysLowSev
RA-5	组织：a。扫描信息系统和托管应用程序中的漏洞 [分配：组织定义的频率和/或根据组织定义的流程随机进行] 以及何时发现和报告可能影响系统/应用程序的新漏洞；b. 使用漏洞扫描工具和技术，通过使用以下标准来促进工具之间的互操作性并自动执行漏洞管理过程的各个部分：1. 列举平台、软件缺陷和不当配置；2. 格式化清单和测试程序；以及 3. 衡量脆弱性的影响；c. 分析漏洞扫描报告和安全控制评估的结果；d. 根据组织风险评估修复合法漏洞 [分配：组织定义的响应时间]；以及 e. 与 [任务：组织定义的人员或角色] 共享从漏洞扫描过程和安全控制评估中获得的信息，以帮助消除其他信息系统中的类似漏洞（即系统弱点或缺陷）。	guardduty-enabled-centralized	亚马逊 GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意IP和机器学习的列表，以标识您的AWS云环境中意外的和未经授权的恶意活动。
SA-3 (a)	组织：a。使用包含信息安全注意事项的 [任务：组织定义的系统开发生命周期] 管理信息系统。	codebuild-project-envvar-awscred-检查	确保在AWS Codebuild 项目环境中不存在 AWS_ACCESS_ID 和 AWS_SECRET_KEY 的身份验证凭证 AWS_ACCESS_KEY。不要将这些变量存储在明文中。以明文形式存储这些变量会导致意外的数据泄露和未经授权的访问。
SA-3 (a)	组织：a。使用包含信息安全注意事项的 [任务：组织定义的系统开发生命周期] 管理信息系统。	codebuild-project-source-repo-网址检查	确保 GitHub 或 Bitbucket 源存储库网址不包含AWS Codebuild 项目环境中的个人访问令牌和登录凭证。使用 OAuth 代替个人访问令牌或登录凭证来授予访问 GitHub 或 Bitbucket 存储库的授权。
SA-3 (a)	组织：a。使用包含信息安全注意事项的 [任务：组织定义的系统开发生命周期] 管理信息系统。	ec2-instance-managed-by-systems-管理器	通过SAWS ystems Manager，您可以通过管理 Amazon Elastic Compute Cloud (Amazon EC2) 实例。使用AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发行商和版本以及有关您的环境的其他详细信息。
SA-10	该组织要求信息系统、系统组件或信息系统服务的开发人员：a. 在系统、组件或服务开发、实施和操作期间执行配置管理；b. 记录、管理和控制 [分配：配置管理下组织定义的配置项目] 更改的完整性；c. 仅对系统、组件或服务实施组织批准的更改；d. 记录已批准的系统、组件或服务变更以及此类更改可能产生的安全影响；以及 e. 跟踪系统、组件或服务内的安全缺陷和缺陷解决方案，并将发现结果报告给 [任务：组织定义的人员]。	guardduty-non-archived-findings	亚马逊通过按严重程度对调查结果进行分类：低、中和高，来 GuardDuty 帮助您了解事件的影响。您可以使用这些分类来确定补救策略和优先级。此规则允许您根据组织策略的要求选择性地为非存档的调查结果设置 daysMediumSev （Config 默认值：30）、 daysHighSev （Config 默认值：7）和（Config 默认值：1）。 daysLowSev
SA-10	该组织要求信息系统、系统组件或信息系统服务的开发人员：a. 在系统、组件或服务开发、实施和操作期间执行配置管理；b. 记录、管理和控制 [分配：配置管理下组织定义的配置项目] 更改的完整性；c. 仅对系统、组件或服务实施组织批准的更改；d. 记录已批准的系统、组件或服务变更以及此类更改可能产生的安全影响；以及 e. 跟踪系统、组件或服务内的安全缺陷和缺陷解决方案，并将发现结果报告给 [任务：组织定义的人员]。	已启用安全集线器	AWSSecurity Hub 有助于监控未经授权的人员、连接、设备和软件。 AWSSecurity Hub 可以聚合、组织和优先处理处理处理处理处理处理来自多个AWS服务的安全告警或结果。其中一些服务包括亚马逊Security Hub、Amazon Inspector、Amazon Macie、IdentAWS ity and Access Management (IAM) 访问分析器和FiAWS rewall Manager 以及AWS合作伙伴解决方案。
SA-10	该组织要求信息系统、系统组件或信息系统服务的开发人员：a. 在系统、组件或服务开发、实施和操作期间执行配置管理；b. 记录、管理和控制 [分配：配置管理下组织定义的配置项目] 更改的完整性；c. 仅对系统、组件或服务实施组织批准的更改；d. 记录已批准的系统、组件或服务变更以及此类更改可能产生的安全影响；以及 e. 跟踪系统、组件或服务内的安全缺陷和缺陷解决方案，并将发现结果报告给 [任务：组织定义的人员]。	ec2-instance-managed-by-systems-管理器	通过SAWS ystems Manager，您可以通过管理 Amazon Elastic Compute Cloud (Amazon EC2) 实例。使用AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发行商和版本以及有关您的环境的其他详细信息。
SA-10	该组织要求信息系统、系统组件或信息系统服务的开发人员：a. 在系统、组件或服务开发、实施和操作期间执行配置管理；b. 记录、管理和控制 [分配：配置管理下组织定义的配置项目] 更改的完整性；c. 仅对系统、组件或服务实施组织批准的更改；d. 记录已批准的系统、组件或服务变更以及此类更改可能产生的安全影响；以及 e. 跟踪系统、组件或服务内的安全缺陷和缺陷解决方案，并将发现结果报告给 [任务：组织定义的人员]。	guardduty-enabled-centralized	亚马逊 GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意IP和机器学习的列表，以标识您的AWS云环境中意外的和未经授权的恶意活动。
SC	信息系统将用户功能（包括用户界面服务）与信息系统管理功能分开。	iam-no-inline-policy-检查	确保IdAWS entity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有内联策略来控制对系统和资产的访问权限。 AWS建议使用策略而不是内联策略。托管策略允许可重用性、版本控制和回滚以及委托权限管理。
SC	信息系统将用户功能（包括用户界面服务）与信息系统管理功能分开。	iam-user-group-membership-检查	AWSIdentity and Access Management (IAM) 可以确保用户是至少一个群组的成员，从而帮助您限制访问权限和授权。允许用户超过完成任务所需的权限可能违反最小权限和职责分离的原则。
SC	信息系统将用户功能（包括用户界面服务）与信息系统管理功能分开。	iam-user-no-policies-检查	此规则确保IIdAWS entity and Access Management (IAM) 策略仅附加到群组或角色以控制对系统和资产的访问。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。
SC	信息系统将用户功能（包括用户界面服务）与信息系统管理功能分开。	iam-group-has-users-检查	AWSIdentity and Access Management (IAM) 可以确保 IAM 群组至少有一个用户，从而帮助您将最低权限和职责分离的原则与访问权限和授权相结合。根据用户的关联权限或工作职能将用户分组是纳入最低权限的一种方法。
SC	信息系统将用户功能（包括用户界面服务）与信息系统管理功能分开。	iam-policy-no-statements-with-admin-access	AWSIdentity and Access Management (IAM) 可以帮助您将最低权限和职责分离的原则与访问权限和授权相结合，限制策略中包含 “效果”：“允许” 和 “操作”：“*” 而不是 “资源”：“*”。允许用户拥有超过完成任务所需的权限可能违反最小权限和职责分离原则。
SC	信息系统可防止通过共享系统资源进行未经授权和意外的信息传输。	dms-replication-not-public	通过确保无法公开访问 DMS 复制实例来管理对AWS云的访问权限。DMS 复制实例可能包含敏感信息，此类账户需要访问控制。
SC	信息系统可防止通过共享系统资源进行未经授权和意外的信息传输。	ebs-snapshot-public-restorable-检查	通过确保 EBS 快照不可公开恢复，管理对AWS云的访问权限。EBS 卷快照可能包含敏感信息，此类账户需要访问控制。
SC4	信息系统可防止通过共享系统资源进行未经授权和意外的信息传输。	限制性的 ssh	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以通过对AWS资源的入口和出口网络流量进行状态筛选，帮助管理网络访问。不允许允许从 0.0.0.0.00000000000000000000000000000000000000000000000
SC4	信息系统可防止通过共享系统资源进行未经授权和意外的信息传输。	lambda-function-public-access-禁止	通过确保AWS Lambda 函数无法公开访问，管理对AWS云中资源的访问权限。公共访问可能导致资源可用性下降。
SC4	信息系统可防止通过共享系统资源进行未经授权和意外的信息传输。	no-unrestricted-route-to-igw	确保 Amazon EC2 路由表没有通往互联网网关的无限制路由。取消或限制 Amazon VPC 内工作负载的互联网访问权限可以减少环境中的意外访问。
SC4	信息系统可防止通过共享系统资源进行未经授权和意外的信息传输。	rds-instance-public-access-检查	通过确保 Amazon RelationAWS al Database Service (Amazon RDS) 实例不公用了。Amazon RDS 数据库实例可能包含敏感信息，此类账户需要原则和访问控制。
SC4	信息系统可防止通过共享系统资源进行未经授权和意外的信息传输。	rds-snapshots-public-prohibited	通过确保 Amazon RelationAWS al Database Service (Amazon RDS) 实例不公用了。Amazon RDS 数据库实例可能包含敏感信息和原则，此类账户需要访问控制。
SC4	信息系统可防止通过共享系统资源进行未经授权和意外的信息传输。	redshift-cluster-public-access-检查	通过确保 Amazon Redshift 集群不公开，管理对AWS云中资源的访问权限。Amazon Redshift 集群可能包含敏感信息和原则，此类账户需要访问控制。
SC4	信息系统可防止通过共享系统资源进行未经授权和意外的信息传输。	restricted-common-ports	通过确保在 Amazon Elastic ComputeAWS Cloud (Amazon EC2) 安全组中限制公共端口，管理对云中资源的访问。不限制可信来源对端口的访问可能会导致对系统的可用性、完整性和机密性的攻击。这条规则允许你有选择地设置 BlockedPort1-BlockedPort5 参数（Config 默认值：20,213389,3306,4333）。实际值应反映贵组织的政策。
SC4	信息系统可防止通过共享系统资源进行未经授权和意外的信息传输。	s3-account-level-public-access-区块-周期性	通过确保无法公开访问 Amazon Simple Storage SerAWS vice (Amazon S3) 存储桶。该规则通过防止公共访问来帮助保护敏感数据免受未经授权的远程用户的侵害。此规则允许您选择设置 ignorePublicAcls （Config 默认值：True）、 blockPublicPolicy （Config 默认值：True）、 blockPublicAcls （Config 默认值：True）和 restrictPublicBuckets 参数（Config 默认值：True）。实际值应反映贵组织的政策。
SC4	信息系统可防止通过共享系统资源进行未经授权和意外的信息传输。	s3-bucket-level-public-access-禁止	通过确保无法公开访问 Amazon Simple Storage SerAWS vice (Amazon S3) 存储桶。该规则通过防止存储段级别的公共访问来帮助保护敏感数据免受未经授权的远程用户的侵害。
SC4	信息系统可防止通过共享系统资源进行未经授权和意外的信息传输。	s3-bucket-public-read-prohibited	通过仅允许授权的用户、流程和设备访问 Amazon Simple Storage SerAWS vice (Amazon S3) 存储桶。访问管理应与数据的分类保持一致。
SC4	信息系统可防止通过共享系统资源进行未经授权和意外的信息传输。	s3-bucket-public-write-prohibited	通过仅允许授权的用户、流程和设备访问 Amazon Simple Storage SerAWS vice (Amazon S3) 存储桶。访问管理应与数据的分类保持一致。
SC4	信息系统可防止通过共享系统资源进行未经授权和意外的信息传输。	sagemaker-notebook-no-direct-互联网接入	通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对AWS云端资源的访问权限。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。
SC4	信息系统可防止通过共享系统资源进行未经授权和意外的信息传输。	ssm-document-not-public	确保SAWS ystems Manager (SSM) 文档不公开，因为这可能会允许意外访问您的 SSM 文档。公开 SSM 文档可以公开有关您的账户、资源和内部流程的信息。
SC4	信息系统可防止通过共享系统资源进行未经授权和意外的信息传输。	vpc-default-security-group-已关闭	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可通过对AWS资源的入口和出口流量进行状态筛选，帮助管理网络访问。限制默认安全组上的所有流量有助于限制对AWS资源的远程访问。
SC4	信息系统可防止通过共享系统资源进行未经授权和意外的信息传输。	vpc-sg-open-only-to-authorized-ports	通过确保在 Amazon Elastic ComputeAWS Cloud (Amazon EC2) 安全组上限制公共端口，管理对云中资源的访问。不限制对可信来源的端口访问可能会导致对系统的可用性、完整性和机密性的攻击。通过限制从互联网对安全组内资源的访问 (0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0) 可以控制对内部系统的资源的访问。
SC4	信息系统可防止通过共享系统资源进行未经授权和意外的信息传输。	ec2-volume-inuse-check	此规则可确保在实例终止时将附加到Amazon Elastic Compute Cloud (Amazon EC2) 实例的 Amazon Elastic Compute Cloud (Amazon 如果 Amazon EBS 卷在其所连接的实例终止时未将其删除，则可能违反功能最少的概念。
SC5	信息系统通过采用 [任务：组织定义的安全保障措施] 来防范或限制以下类型的拒绝服务攻击的影响：[分配：组织定义的拒绝服务攻击类型或引用此类信息的来源]。	elb-cross-zone-load-启用平衡	为您的弹性负载均衡器 (ELB) 启用跨区域负载均衡，以帮助保持足够的容量和可用性。跨区域负载均衡可降低在每个已启用的可用区中维持相同数量实例的需求。它还提高了应用程序处理一个或多个实例丢失情况的能力。
SC5	信息系统通过采用 [任务：组织定义的安全保障措施] 来防范或限制以下类型的拒绝服务攻击的影响：[分配：组织定义的拒绝服务攻击类型或引用此类信息的来源]。	rds-instance-deletion-protection-启用	请确保 Amazon Relational Database Service (Amazon RDS 使用删除保护来防止 Amazon RDS 实例被意外或恶意删除，这可能会导致您的应用程序失去可用性。
SC5	信息系统通过采用 [任务：组织定义的安全保障措施] 来防范或限制以下类型的拒绝服务攻击的影响：[分配：组织定义的拒绝服务攻击类型或引用此类信息的来源]。	autoscaling-group-elb-healthcheck-必填项	Amazon Elastic Compute Cloud (Amazon EC2) Auto Scaling 组的Elastic Load Balancer (ELB) 运行状况检查支持保持足够的容量和可用性 负载均衡器会定期发送 pinauto-scaling、尝试进行连接或发送请求来测试 Amazon EC2 实例运行时间。如果实例未报告，则流量将发送到新的 Amazon EC2 实例。
SC5	信息系统通过采用 [任务：组织定义的安全保障措施] 来防范或限制以下类型的拒绝服务攻击的影响：[分配：组织定义的拒绝服务攻击类型或引用此类信息的来源]。	dynamodb-autoscaling-enabled	Amazon DynamoDB Auto Scaling 使用AppAWS lication Auto Scaling 服务来调整预置的吞吐容量，以自动响应实际的流量模式。这将允许表或全局二级索引增大其预置的读取/写入容量以处理突发流量，而不进行限制。
SC5	信息系统通过采用 [任务：组织定义的安全保障措施] 来防范或限制以下类型的拒绝服务攻击的影响：[分配：组织定义的拒绝服务攻击类型或引用此类信息的来源]。	dynamodb-pitr-enabled	启用此规则以检查信息是否已备份。它还通过确保在 Amazon DynamoDB 中启用 point-in-time 恢复来维护备份。恢复操作会保持表在过去 35 天内的连续备份。
SC5	信息系统通过采用 [任务：组织定义的安全保障措施] 来防范或限制以下类型的拒绝服务攻击的影响：[分配：组织定义的拒绝服务攻击类型或引用此类信息的来源]。	ebs-optimized-instance	Amazon Elastic Block Store (Amazon EBS) 中的优化实例为 Amazon EBS I/O 操作提供了额外的专用容量。这种优化通过最小化 Amazon EBS I/O 操作与来自您实例的其他流量之间的争用，为您的 EBS 卷提供最高效的性能。
SC5	信息系统通过采用 [任务：组织定义的安全保障措施] 来防范或限制以下类型的拒绝服务攻击的影响：[分配：组织定义的拒绝服务攻击类型或引用此类信息的来源]。	elasticache-redis-cluster-automatic-备份检查	启用自动备份后，Amazon ElastiCache 会每天为集群创建一个备份。备份可以保留您的组织指定的天数。自动备份可以帮助防止数据丢失。如果发生故障，您可以创建一个新集群，该集群会从最新的备份中恢复数据。
SC5	信息系统通过采用 [任务：组织定义的安全保障措施] 来防范或限制以下类型的拒绝服务攻击的影响：[分配：组织定义的拒绝服务攻击类型或引用此类信息的来源]。	elb-deletion-protection-enabled	此规则确保 Elastic Load Balancing ance 已启用删除保护。使用此功能可以防止您的负载均衡器被意外或恶意删除，这可能会导致应用程序的可用性丧失。
SC5	信息系统通过采用 [任务：组织定义的安全保障措施] 来防范或限制以下类型的拒绝服务攻击的影响：[分配：组织定义的拒绝服务攻击类型或引用此类信息的来源]。	guardduty-enabled-centralized	亚马逊 GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意IP和机器学习的列表，以标识您的AWS云环境中意外的和未经授权的恶意活动。
SC5	信息系统通过采用 [任务：组织定义的安全保障措施] 来防范或限制以下类型的拒绝服务攻击的影响：[分配：组织定义的拒绝服务攻击类型或引用此类信息的来源]。	rds-multi-az-support	Amazon Relational Database Service (Amazon RDS) 中的多可用区支持提供了对数据库实例的可用性和耐久 当您预置多可用区数据库实例时，Amazon RDS 会自动创建主数据库实例，并将数据同步复制到其他可用区中的备用实例。每个可用区都在其自身物理上独立、独立的基础设施上运行，并且经过精心设计，具有高度的可靠性。如果基础设施出现故障，Amazon RDS 会自动故障转移到备用服务器，这样您就可以在故障转移完成后立即恢复数据库操作。
SC5	信息系统通过采用 [任务：组织定义的安全保障措施] 来防范或限制以下类型的拒绝服务攻击的影响：[分配：组织定义的拒绝服务攻击类型或引用此类信息的来源]。	s3-bucket-replication-enabled	Amazon Simple Storage Service (Amazon S3) 支持维持足够的容量和可用性。CRR 支持跨 Amazon S3 存储桶自动以方式复制对象，以帮助确保数据可用性得到维护。
SC5	信息系统通过采用 [任务：组织定义的安全保障措施] 来防范或限制以下类型的拒绝服务攻击的影响：[分配：组织定义的拒绝服务攻击类型或引用此类信息的来源]。	s3-bucket-versioning-enabled	Amazon Simple Storage Service (Amazon S3) 存储桶版本控制有助于将对象的多个变体保留在同一 Amazon S3 存储桶中。使用版本控制功能来保存、检索和还原它们的Amazon S3 版本。版本控制功能可帮助您轻松从用户意外操作和应用程序故障中恢复数据。
SC5	信息系统通过采用 [任务：组织定义的安全保障措施] 来防范或限制以下类型的拒绝服务攻击的影响：[分配：组织定义的拒绝服务攻击类型或引用此类信息的来源]。	vpc-vpn-2-tunnelsup	可以实施冗余Site-to-Site VPN 隧道以实现弹性要求。如果其中一个站点到站点 VPN 连接不可用，它使用两个隧道来帮助确保连接。要避免因您的客户网关变得不可用而造成连接中断，您可使用第二个客户网关来为您的 Amazon VPC (虚拟私有网关) 和虚拟私有网关设置第二个站点到站VPN 连接。
SC-7 (3)	该组织限制了与信息系统的外部网络连接的数量。	autoscaling-launch-config-public-ip 已禁用	如果您使用公有 IP 地址配置网络接口，则可以从 Internet 访问这些网络接口的相关资源。EC2 资源不应公开访问，因为这可能允许意外访问您的应用程序或服务器。
SC-7 (3)	该组织限制了与信息系统的外部网络连接的数量。	ec2-instances-in-vpc	通过在Amazon VPC 中部署 Amazon Elastic Compute Cloud (Amazon EC2) 实例，您可以在 Amazon VPC 中的其他服务之间进行安全通信，而无需互联网网关、NAT 设备或 VPN 连接。AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共端点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全性。将 Amazon EC2 实例分配给亚马逊 VPC 以正确管理访问权限。
SC-7 (3)	该组织限制了与信息系统的外部网络连接的数量。	ssm-document-not-public	确保SAWS ystems Manager (SSM) 文档不公开，因为这可能会允许意外访问您的 SSM 文档。公开 SSM 文档可以公开有关您的账户、资源和内部流程的信息。
SC-7 (3)	该组织限制了与信息系统的外部网络连接的数量。	dms-replication-not-public	通过确保无法公开访问 DMS 复制实例来管理对AWS云的访问权限。DMS 复制实例可能包含敏感信息，此类账户需要访问控制。
SC-7 (3)	该组织限制了与信息系统的外部网络连接的数量。	ebs-snapshot-public-restorable-检查	通过确保 EBS 快照不可公开恢复，管理对AWS云的访问权限。EBS 卷快照可能包含敏感信息，此类账户需要访问控制。
SC-7 (3)	该组织限制了与信息系统的外部网络连接的数量。	ec2-instance-no-public-ip	通过确保无法公开访问Amazon Elastic Compute Cloud (Amazon EC2) 实例，管理对云的访问。AWSAmazon EC2 实例可能包含敏感信息，此类账户需要访问控制。
SC-7 (3)	该组织限制了与信息系统的外部网络连接的数量。	elasticsearch-in-vpc-only	通过确保亚马逊 OpenSearch OpenSearch 服务（AWSService）域位于Amazon Virtual Private Cloud (Amazon VPC) 中，管理对云的访问。通过在 Amazon VPC 中的 OpenSearch OpenSearch 服务域，您可以在 Site 和 Amazon VPC 中的其他服务之间进行安全通信，而无需互联网网关、NAT 设备或 VPN 连接。
SC-7 (3)	该组织限制了与信息系统的外部网络连接的数量。	emr-master-no-public-ip	通过确保无法公开访问 Amazon EMR 集群主节点来管理对AWS云的访问权限。Amazon EMR 集群主节点可能包含敏感信息，此类账户需要访问控制。
SC-7 (3)	该组织限制了与信息系统的外部网络连接的数量。	限制性的 ssh	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以通过对AWS资源的入口和出口网络流量进行状态筛选，帮助管理网络访问。不允许允许从 0.0.0.0.00000000000000000000000000000000000000000000000
SC-7 (3)	该组织限制了与信息系统的外部网络连接的数量。	lambda-function-public-access-禁止	通过确保AWS Lambda 函数无法公开访问，管理对AWS云中资源的访问权限。公共访问可能导致资源可用性下降。
SC-7 (3)	该组织限制了与信息系统的外部网络连接的数量。	lambda-inside-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 中部署AWS Lambda 函数，以实现函数与Amazon VPC 中其他服务之间的安全通信。使用此配置，不需要互联网网关、NAT 网关、NAT 设备或 VPN 连接。AWS云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共端点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全性。为了正确管理访问权限，应AWS将 Lambda 函数分配给 VPC。
SC-7 (3)	该组织限制了与信息系统的外部网络连接的数量。	rds-instance-public-access-检查	通过确保 Amazon RelationAWS al Database Service (Amazon RDS) 实例不公用了。Amazon RDS 数据库实例可能包含敏感信息，此类账户需要原则和访问控制。
SC-7 (3)	该组织限制了与信息系统的外部网络连接的数量。	rds-snapshots-public-prohibited	通过确保 Amazon RelationAWS al Database Service (Amazon RDS) 实例不公用了。Amazon RDS 数据库实例可能包含敏感信息和原则，此类账户需要访问控制。
SC-7 (3)	该组织限制了与信息系统的外部网络连接的数量。	redshift-cluster-public-access-检查	通过确保 Amazon Redshift 集群不公开，管理对AWS云中资源的访问权限。Amazon Redshift 集群可能包含敏感信息和原则，此类账户需要访问控制。
SC-7 (3)	该组织限制了与信息系统的外部网络连接的数量。	restricted-common-ports	通过确保在 Amazon Elastic ComputeAWS Cloud (Amazon EC2) 安全组中限制公共端口，管理对云中资源的访问。不限制可信来源对端口的访问可能会导致对系统的可用性、完整性和机密性的攻击。这条规则允许你有选择地设置 BlockedPort1-BlockedPort5 参数（Config 默认值：20,213389,3306,4333）。实际值应反映贵组织的政策。
SC-7 (3)	该组织限制了与信息系统的外部网络连接的数量。	s3-account-level-public-access-区块-周期性	通过确保无法公开访问 Amazon Simple Storage SerAWS vice (Amazon S3) 存储桶。该规则通过防止公共访问来帮助保护敏感数据免受未经授权的远程用户的侵害。此规则允许您选择设置 ignorePublicAcls （Config 默认值：True）、 blockPublicPolicy （Config 默认值：True）、 blockPublicAcls （Config 默认值：True）和 restrictPublicBuckets 参数（Config 默认值：True）。实际值应反映贵组织的政策。
SC-7 (3)	该组织限制了与信息系统的外部网络连接的数量。	s3-bucket-level-public-access-禁止	通过确保无法公开访问 Amazon Simple Storage SerAWS vice (Amazon S3) 存储桶。该规则通过防止存储段级别的公共访问来帮助保护敏感数据免受未经授权的远程用户的侵害。
SC-7 (3)	该组织限制了与信息系统的外部网络连接的数量。	s3-bucket-public-read-prohibited	通过仅允许授权的用户、流程和设备访问 Amazon Simple Storage SerAWS vice (Amazon S3) 存储桶。访问管理应与数据的分类保持一致。
SC-7 (3)	该组织限制了与信息系统的外部网络连接的数量。	s3-bucket-public-write-prohibited	通过仅允许授权的用户、流程和设备访问 Amazon Simple Storage SerAWS vice (Amazon S3) 存储桶。访问管理应与数据的分类保持一致。
SC-7 (3)	该组织限制了与信息系统的外部网络连接的数量。	sagemaker-notebook-no-direct-互联网接入	通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对AWS云端资源的访问权限。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。
SC-7 (3)	该组织限制了与信息系统的外部网络连接的数量。	subnet-auto-assign-public-ip 已禁用	通过确保不会自动为Amazon Virtual Private Cloud (VPC) 子网分配公有 IP 地址来管理对云的访问。AWS在启用了此属性的子网中启动的 Amazon Elastic Compute Cloud (EC2) 实例会为其主网络接口分配公有 IP 地址。
SC-7 (3)	该组织限制了与信息系统的外部网络连接的数量。	vpc-default-security-group-已关闭	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可通过对AWS资源的入口和出口流量进行状态筛选，帮助管理网络访问。限制默认安全组上的所有流量有助于限制对AWS资源的远程访问。
SC-7 (3)	该组织限制了与信息系统的外部网络连接的数量。	vpc-sg-open-only-to-authorized-ports	通过确保在 Amazon Elastic ComputeAWS Cloud (Amazon EC2) 安全组上限制公共端口，管理对云中资源的访问。不限制对可信来源的端口访问可能会导致对系统的可用性、完整性和机密性的攻击。通过限制从互联网对安全组内资源的访问 (0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0) 可以控制对内部系统的资源的访问。
SC-7 (4)	本组织：(a) 为每项外部电信服务实施托管接口；(b) 为每个托管接口制定流量政策；(c) 保护通过每个接口传输的信息的机密性和完整性；(d) 记录交通流量政策的每项例外情况，说明支持任务/业务需求和需求的持续时间；(e) 审查流量政策的例外情况 [分配：组织定义的频率] 并删除非例外情况较长时间得到明确使命的支持/业务需求。补充指南：相关控制：SC-8。	rds-snapshots-public-prohibited	通过确保 Amazon RelationAWS al Database Service (Amazon RDS) 实例不公用了。Amazon RDS 数据库实例可能包含敏感信息和原则，此类账户需要访问控制。
SC-7 (4)	本组织：(a) 为每项外部电信服务实施托管接口；(b) 为每个托管接口制定流量政策；(c) 保护通过每个接口传输的信息的机密性和完整性；(d) 记录交通流量政策的每项例外情况，说明支持任务/业务需求和需求的持续时间；(e) 审查流量政策的例外情况 [分配：组织定义的频率] 并删除非例外情况较长时间得到明确使命的支持/业务需求。补充指南：相关控制：SC-8。	rds-snapshot-encrypted	确保已对 Amazon Relational Database Service（Amazon RDS）快照启用 由于敏感数据可能处于静态状态，因此启用静态加密以帮助保护这些数据。
SC-7 (4)	本组织：(a) 为每项外部电信服务实施托管接口；(b) 为每个托管接口制定流量政策；(c) 保护通过每个接口传输的信息的机密性和完整性；(d) 记录交通流量政策的每项例外情况，说明支持任务/业务需求和需求的持续时间；(e) 审查流量政策的例外情况 [分配：组织定义的频率] 并删除非例外情况较长时间得到明确使命的支持/业务需求。补充指南：相关控制：SC-8。	rds-storage-encrypted	为了帮助保护静态数据，请确保对Amazon Relational Database Service (Amazon RDS) 实例启用加密。由于敏感数据可能静态存在于 Amazon RDS 实例中，因此启用静态加密以帮助保护这些数据。
SC-7 (4)	本组织：(a) 为每项外部电信服务实施托管接口；(b) 为每个托管接口制定流量政策；(c) 保护通过每个接口传输的信息的机密性和完整性；(d) 记录交通流量政策的每项例外情况，说明支持任务/业务需求和需求的持续时间；(e) 审查流量政策的例外情况 [分配：组织定义的频率] 并删除非例外情况较长时间得到明确使命的支持/业务需求。补充指南：相关控制：SC-8。	vpc-default-security-group-已关闭	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可通过对AWS资源的入口和出口流量进行状态筛选，帮助管理网络访问。限制默认安全组上的所有流量有助于限制对AWS资源的远程访问。
SC-7 (4)	本组织：(a) 为每项外部电信服务实施托管接口；(b) 为每个托管接口制定流量政策；(c) 保护通过每个接口传输的信息的机密性和完整性；(d) 记录交通流量政策的每项例外情况，说明支持任务/业务需求和需求的持续时间；(e) 审查流量政策的例外情况 [分配：组织定义的频率] 并删除非例外情况较长时间得到明确使命的支持/业务需求。补充指南：相关控制：SC-8。	vpc-flow-logs-enabled	VPC 流日志提供有关在您的 Amazon Virtual Private Cloud (Amazon VPC) 中网络接口传出您的 IP 流量的信息。默认情况下 IP 流的不同组件的值，包括源和协议。
SC-7 (4)	本组织：(a) 为每项外部电信服务实施托管接口；(b) 为每个托管接口制定流量政策；(c) 保护通过每个接口传输的信息的机密性和完整性；(d) 记录交通流量政策的每项例外情况，说明支持任务/业务需求和需求的持续时间；(e) 审查流量政策的例外情况 [分配：组织定义的频率] 并删除非例外情况较长时间得到明确使命的支持/业务需求。补充指南：相关控制：SC-8。	redshift-cluster-kms-enabled	为了帮助保护静态数据，请确保为您的 Amazon Redshift 集群启用了AWS密钥管理服务 (AWSKMS) 加密。由于敏感数据可能静态存在于 Redshift 集群中，因此启用静态加密以帮助保护这些数据。
SC-7 (5)	默认情况下，托管接口上的信息系统拒绝网络通信流量，并在例外情况下允许网络通信流量（即拒绝全部，例外允许）。补充指南：此控制功能适用于入站和出站网络通信流量。拒绝所有 permit-by-exception 网络通信流量策略确保只允许那些必不可少且经过批准的连接。	vpc-sg-open-only-to-authorized-ports	通过确保在 Amazon Elastic ComputeAWS Cloud (Amazon EC2) 安全组上限制公共端口，管理对云中资源的访问。不限制对可信来源的端口访问可能会导致对系统的可用性、完整性和机密性的攻击。通过限制从互联网对安全组内资源的访问 (0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0) 可以控制对内部系统的资源的访问。
SC-7	信息系统：a。监控和控制系统外部边界和系统内关键内部边界的通信；b. 为可公开访问的系统组件实现子网，这些组件在 [选择：物理上；逻辑上] 与内部组织网络分开；以及 c. 只能通过托管接口连接到外部网络或信息系统，这些接口由根据组织安全架构排列的边界保护设备组成。	alb-waf-enabled	确保在弹性负载均衡器 (ELB) 上启用AWS WAF 以帮助保护 Web 应用程序。WAF 有助于保护您的 Web 应用程序或 API 免遭常见 Web 漏洞的攻击。这些 Web 漏洞可能会影响可用性、损害安全性或消耗过多的资源。
SC-7	信息系统：a。监控和控制系统外部边界和系统内关键内部边界的通信；b. 为可公开访问的系统组件实现子网，这些组件在 [选择：物理上；逻辑上] 与内部组织网络分开；以及 c. 只能通过托管接口连接到外部网络或信息系统，这些接口由根据组织安全架构排列的边界保护设备组成。	elasticsearch-node-to-node-加密检查	确保启用亚马逊 OpenSearch 服务的 node-to-node 加密。Node-to-node 加密支持Amazon Virtual Private Cloud (Amazon VPC) 内的所有通信启用 TLS 1.2 由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。
SC-7	信息系统：a。监控和控制系统外部边界和系统内关键内部边界的通信；b. 为可公开访问的系统组件实现子网，这些组件在 [选择：物理上；逻辑上] 与内部组织网络分开；以及 c. 只能通过托管接口连接到外部网络或信息系统，这些接口由根据组织安全架构排列的边界保护设备组成。	elb-tls-https-listeners-仅限	确保您的弹性负载均衡器 (ELB) 配置了 SSL 或 HTTPS 侦听器。由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。
SC-7	信息系统：a。监控和控制系统外部边界和系统内关键内部边界的通信；b. 为可公开访问的系统组件实现子网，这些组件在 [选择：物理上；逻辑上] 与内部组织网络分开；以及 c. 只能通过托管接口连接到外部网络或信息系统，这些接口由根据组织安全架构排列的边界保护设备组成。	ec2-instances-in-vpc	通过在Amazon VPC 中部署 Amazon Elastic Compute Cloud (Amazon EC2) 实例，您可以在 Amazon VPC 中的其他服务之间进行安全通信，而无需互联网网关、NAT 设备或 VPN 连接。AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共端点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全性。将 Amazon EC2 实例分配给亚马逊 VPC 以正确管理访问权限。
SC-7	信息系统：a。监控和控制系统外部边界和系统内关键内部边界的通信；b. 为可公开访问的系统组件实现子网，这些组件在 [选择：物理上；逻辑上] 与内部组织网络分开；以及 c. 只能通过托管接口连接到外部网络或信息系统，这些接口由根据组织安全架构排列的边界保护设备组成。	wafv2 日志记录已启用	为了帮助在您的环境中进行日志记录和监控，请在区域和全球 Web ACL 上启用AWS WAF (V2) 登录。 AWSWAF 日志记录提供有关您的 Web ACL 分析的流量的详细信息。日志记录AWS WAF 从您的AWS资源收到请求的时间，有关请求的信息以及每个请求所匹配的规则的操作。
SC-7	信息系统：a。监控和控制系统外部边界和系统内关键内部边界的通信；b. 为可公开访问的系统组件实现子网，这些组件在 [选择：物理上；逻辑上] 与内部组织网络分开；以及 c. 只能通过托管接口连接到外部网络或信息系统，这些接口由根据组织安全架构排列的边界保护设备组成。	alb-http-to-https-重定向检查	为了帮助保护传输中的数据，请确保您的Application Load Balancer 自动将未加密的 HTTP 请求重定向到 HTTPS。由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。
SC-7	信息系统：a。监控和控制系统外部边界和系统内关键内部边界的通信；b. 为可公开访问的系统组件实现子网，这些组件在 [选择：物理上；逻辑上] 与内部组织网络分开；以及 c. 只能通过托管接口连接到外部网络或信息系统，这些接口由根据组织安全架构排列的边界保护设备组成。	dms-replication-not-public	通过确保无法公开访问 DMS 复制实例来管理对AWS云的访问权限。DMS 复制实例可能包含敏感信息，此类账户需要访问控制。
SC-7	信息系统：a。监控和控制系统外部边界和系统内关键内部边界的通信；b. 为可公开访问的系统组件实现子网，这些组件在 [选择：物理上；逻辑上] 与内部组织网络分开；以及 c. 只能通过托管接口连接到外部网络或信息系统，这些接口由根据组织安全架构排列的边界保护设备组成。	ebs-snapshot-public-restorable-检查	通过确保 EBS 快照不可公开恢复，管理对AWS云的访问权限。EBS 卷快照可能包含敏感信息，此类账户需要访问控制。
SC-7	信息系统：a。监控和控制系统外部边界和系统内关键内部边界的通信；b. 为可公开访问的系统组件实现子网，这些组件在 [选择：物理上；逻辑上] 与内部组织网络分开；以及 c. 只能通过托管接口连接到外部网络或信息系统，这些接口由根据组织安全架构排列的边界保护设备组成。	ec2-instance-no-public-ip	通过确保无法公开访问Amazon Elastic Compute Cloud (Amazon EC2) 实例，管理对云的访问。AWSAmazon EC2 实例可能包含敏感信息，此类账户需要访问控制。
SC-7	信息系统：a。监控和控制系统外部边界和系统内关键内部边界的通信；b. 为可公开访问的系统组件实现子网，这些组件在 [选择：物理上；逻辑上] 与内部组织网络分开；以及 c. 只能通过托管接口连接到外部网络或信息系统，这些接口由根据组织安全架构排列的边界保护设备组成。	elasticsearch-in-vpc-only	通过确保亚马逊 OpenSearch OpenSearch 服务（AWSService）域位于Amazon Virtual Private Cloud (Amazon VPC) 中，管理对云的访问。通过在 Amazon VPC 中的 OpenSearch OpenSearch 服务域，您可以在 Site 和 Amazon VPC 中的其他服务之间进行安全通信，而无需互联网网关、NAT 设备或 VPN 连接。
SC-7	信息系统：a。监控和控制系统外部边界和系统内关键内部边界的通信；b. 为可公开访问的系统组件实现子网，这些组件在 [选择：物理上；逻辑上] 与内部组织网络分开；以及 c. 只能通过托管接口连接到外部网络或信息系统，这些接口由根据组织安全架构排列的边界保护设备组成。	emr-master-no-public-ip	通过确保无法公开访问 Amazon EMR 集群主节点来管理对AWS云的访问权限。Amazon EMR 集群主节点可能包含敏感信息，此类账户需要访问控制。
SC-7	信息系统：a。监控和控制系统外部边界和系统内关键内部边界的通信；b. 为可公开访问的系统组件实现子网，这些组件在 [选择：物理上；逻辑上] 与内部组织网络分开；以及 c. 只能通过托管接口连接到外部网络或信息系统，这些接口由根据组织安全架构排列的边界保护设备组成。	限制性的 ssh	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以通过对AWS资源的入口和出口网络流量进行状态筛选，帮助管理网络访问。不允许允许从 0.0.0.0.00000000000000000000000000000000000000000000000
SC-7	信息系统：a。监控和控制系统外部边界和系统内关键内部边界的通信；b. 为可公开访问的系统组件实现子网，这些组件在 [选择：物理上；逻辑上] 与内部组织网络分开；以及 c. 只能通过托管接口连接到外部网络或信息系统，这些接口由根据组织安全架构排列的边界保护设备组成。	lambda-function-public-access-禁止	通过确保AWS Lambda 函数无法公开访问，管理对AWS云中资源的访问权限。公共访问可能导致资源可用性下降。
SC-7	信息系统：a。监控和控制系统外部边界和系统内关键内部边界的通信；b. 为可公开访问的系统组件实现子网，这些组件在 [选择：物理上；逻辑上] 与内部组织网络分开；以及 c. 只能通过托管接口连接到外部网络或信息系统，这些接口由根据组织安全架构排列的边界保护设备组成。	lambda-inside-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 中部署AWS Lambda 函数，以实现函数与Amazon VPC 中其他服务之间的安全通信。使用此配置，不需要互联网网关、NAT 网关、NAT 设备或 VPN 连接。AWS云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共端点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全性。为了正确管理访问权限，应AWS将 Lambda 函数分配给 VPC。
SC-7	信息系统：a。监控和控制系统外部边界和系统内关键内部边界的通信；b. 为可公开访问的系统组件实现子网，这些组件在 [选择：物理上；逻辑上] 与内部组织网络分开；以及 c. 只能通过托管接口连接到外部网络或信息系统，这些接口由根据组织安全架构排列的边界保护设备组成。	rds-instance-public-access-检查	通过确保 Amazon RelationAWS al Database Service (Amazon RDS) 实例不公用了。Amazon RDS 数据库实例可能包含敏感信息，此类账户需要原则和访问控制。
SC-7	信息系统：a。监控和控制系统外部边界和系统内关键内部边界的通信；b. 为可公开访问的系统组件实现子网，这些组件在 [选择：物理上；逻辑上] 与内部组织网络分开；以及 c. 只能通过托管接口连接到外部网络或信息系统，这些接口由根据组织安全架构排列的边界保护设备组成。	rds-snapshots-public-prohibited	通过确保 Amazon RelationAWS al Database Service (Amazon RDS) 实例不公用了。Amazon RDS 数据库实例可能包含敏感信息和原则，此类账户需要访问控制。
SC-7	信息系统：a。监控和控制系统外部边界和系统内关键内部边界的通信；b. 为可公开访问的系统组件实现子网，这些组件在 [选择：物理上；逻辑上] 与内部组织网络分开；以及 c. 只能通过托管接口连接到外部网络或信息系统，这些接口由根据组织安全架构排列的边界保护设备组成。	redshift-cluster-public-access-检查	通过确保 Amazon Redshift 集群不公开，管理对AWS云中资源的访问权限。Amazon Redshift 集群可能包含敏感信息和原则，此类账户需要访问控制。
SC-7	信息系统：a。监控和控制系统外部边界和系统内关键内部边界的通信；b. 为可公开访问的系统组件实现子网，这些组件在 [选择：物理上；逻辑上] 与内部组织网络分开；以及 c. 只能通过托管接口连接到外部网络或信息系统，这些接口由根据组织安全架构排列的边界保护设备组成。	redshift-require-tls-ssl	确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。
SC-7	信息系统：a。监控和控制系统外部边界和系统内关键内部边界的通信；b. 为可公开访问的系统组件实现子网，这些组件在 [选择：物理上；逻辑上] 与内部组织网络分开；以及 c. 只能通过托管接口连接到外部网络或信息系统，这些接口由根据组织安全架构排列的边界保护设备组成。	restricted-common-ports	通过确保在 Amazon Elastic ComputeAWS Cloud (Amazon EC2) 安全组中限制公共端口，管理对云中资源的访问。不限制可信来源对端口的访问可能会导致对系统的可用性、完整性和机密性的攻击。这条规则允许你有选择地设置 BlockedPort1-BlockedPort5 参数（Config 默认值：20,213389,3306,4333）。实际值应反映贵组织的政策。
SC-7	信息系统：a。监控和控制系统外部边界和系统内关键内部边界的通信；b. 为可公开访问的系统组件实现子网，这些组件在 [选择：物理上；逻辑上] 与内部组织网络分开；以及 c. 只能通过托管接口连接到外部网络或信息系统，这些接口由根据组织安全架构排列的边界保护设备组成。	s3-account-level-public-access-区块-周期性	通过确保无法公开访问 Amazon Simple Storage SerAWS vice (Amazon S3) 存储桶。该规则通过防止公共访问来帮助保护敏感数据免受未经授权的远程用户的侵害。此规则允许您选择设置 ignorePublicAcls （Config 默认值：True）、 blockPublicPolicy （Config 默认值：True）、 blockPublicAcls （Config 默认值：True）和 restrictPublicBuckets 参数（Config 默认值：True）。实际值应反映贵组织的政策。
SC-7	信息系统：a。监控和控制系统外部边界和系统内关键内部边界的通信；b. 为可公开访问的系统组件实现子网，这些组件在 [选择：物理上；逻辑上] 与内部组织网络分开；以及 c. 只能通过托管接口连接到外部网络或信息系统，这些接口由根据组织安全架构排列的边界保护设备组成。	s3-bucket-level-public-access-禁止	通过确保无法公开访问 Amazon Simple Storage SerAWS vice (Amazon S3) 存储桶。该规则通过防止存储段级别的公共访问来帮助保护敏感数据免受未经授权的远程用户的侵害。
SC-7	信息系统：a。监控和控制系统外部边界和系统内关键内部边界的通信；b. 为可公开访问的系统组件实现子网，这些组件在 [选择：物理上；逻辑上] 与内部组织网络分开；以及 c. 只能通过托管接口连接到外部网络或信息系统，这些接口由根据组织安全架构排列的边界保护设备组成。	s3-bucket-public-read-prohibited	通过仅允许授权的用户、流程和设备访问 Amazon Simple Storage SerAWS vice (Amazon S3) 存储桶。访问管理应与数据的分类保持一致。
SC-7	信息系统：a。监控和控制系统外部边界和系统内关键内部边界的通信；b. 为可公开访问的系统组件实现子网，这些组件在 [选择：物理上；逻辑上] 与内部组织网络分开；以及 c. 只能通过托管接口连接到外部网络或信息系统，这些接口由根据组织安全架构排列的边界保护设备组成。	s3-bucket-public-write-prohibited	通过仅允许授权的用户、流程和设备访问 Amazon Simple Storage SerAWS vice (Amazon S3) 存储桶。访问管理应与数据的分类保持一致。
SC-7	信息系统：a。监控和控制系统外部边界和系统内关键内部边界的通信；b. 为可公开访问的系统组件实现子网，这些组件在 [选择：物理上；逻辑上] 与内部组织网络分开；以及 c. 只能通过托管接口连接到外部网络或信息系统，这些接口由根据组织安全架构排列的边界保护设备组成。	s3-bucket-ssl-requests-only	为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶要求请求使用安全套接字层 (SSL)。由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。
SC-7	信息系统：a。监控和控制系统外部边界和系统内关键内部边界的通信；b. 为可公开访问的系统组件实现子网，这些组件在 [选择：物理上；逻辑上] 与内部组织网络分开；以及 c. 只能通过托管接口连接到外部网络或信息系统，这些接口由根据组织安全架构排列的边界保护设备组成。	sagemaker-notebook-no-direct-互联网接入	通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对AWS云端资源的访问权限。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。
SC-7	信息系统：a。监控和控制系统外部边界和系统内关键内部边界的通信；b. 为可公开访问的系统组件实现子网，这些组件在 [选择：物理上；逻辑上] 与内部组织网络分开；以及 c. 只能通过托管接口连接到外部网络或信息系统，这些接口由根据组织安全架构排列的边界保护设备组成。	subnet-auto-assign-public-ip 已禁用	通过确保不会自动为Amazon Virtual Private Cloud (VPC) 子网分配公有 IP 地址来管理对云的访问。AWS在启用了此属性的子网中启动的 Amazon Elastic Compute Cloud (EC2) 实例会为其主网络接口分配公有 IP 地址。
SC-7	信息系统：a。监控和控制系统外部边界和系统内关键内部边界的通信；b. 为可公开访问的系统组件实现子网，这些组件在 [选择：物理上；逻辑上] 与内部组织网络分开；以及 c. 只能通过托管接口连接到外部网络或信息系统，这些接口由根据组织安全架构排列的边界保护设备组成。	vpc-default-security-group-已关闭	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可通过对AWS资源的入口和出口流量进行状态筛选，帮助管理网络访问。限制默认安全组上的所有流量有助于限制对AWS资源的远程访问。
SC-7	信息系统：a。监控和控制系统外部边界和系统内关键内部边界的通信；b. 为可公开访问的系统组件实现子网，这些组件在 [选择：物理上；逻辑上] 与内部组织网络分开；以及 c. 只能通过托管接口连接到外部网络或信息系统，这些接口由根据组织安全架构排列的边界保护设备组成。	vpc-sg-open-only-to-authorized-ports	通过确保在 Amazon Elastic ComputeAWS Cloud (Amazon EC2) 安全组上限制公共端口，管理对云中资源的访问。不限制对可信来源的端口访问可能会导致对系统的可用性、完整性和机密性的攻击。通过限制从互联网对安全组内资源的访问 (0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0) 可以控制对内部系统的资源的访问。
SC-8 (1)	信息系统在传输过程中实施加密机制，以 [选择（一项或多项）：防止未经授权的泄露信息；检测信息的变化]，除非 [任务：组织定义的替代物理保障措施] 另有保护。	elasticsearch-node-to-node-加密检查	确保启用亚马逊 OpenSearch 服务的 node-to-node 加密。Node-to-node 加密支持Amazon Virtual Private Cloud (Amazon VPC) 内的所有通信启用 TLS 1.2 由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。
SC-8 (1)	信息系统在传输过程中实施加密机制，以 [选择（一项或多项）：防止未经授权的泄露信息；检测信息的变化]，除非 [任务：组织定义的替代物理保障措施] 另有保护。	elbv2-acm-certificate-required	由于敏感数据可能存在并且为了帮助保护传输中的数据，请确保为 Elastic Load Balancing 启用加密。使用AWS Certificate Manager 管理、预置和部署带有AWS服务和内部资源的公共和私有 SSL/TLS 证书。
SC-8 (1)	信息系统在传输过程中实施加密机制，以 [选择（一项或多项）：防止未经授权的泄露信息；检测信息的变化]，除非 [任务：组织定义的替代物理保障措施] 另有保护。	elb-tls-https-listeners-仅限	确保您的弹性负载均衡器 (ELB) 配置了 SSL 或 HTTPS 侦听器。由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。
SC-8 (1)	信息系统在传输过程中实施加密机制，以 [选择（一项或多项）：防止未经授权的泄露信息；检测信息的变化]，除非 [任务：组织定义的替代物理保障措施] 另有保护。	alb-http-to-https-重定向检查	为了帮助保护传输中的数据，请确保您的Application Load Balancer 自动将未加密的 HTTP 请求重定向到 HTTPS。由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。
SC-8 (1)	信息系统在传输过程中实施加密机制，以 [选择（一项或多项）：防止未经授权的泄露信息；检测信息的变化]，除非 [任务：组织定义的替代物理保障措施] 另有保护。	api-gw-ssl-enabled	确保使用 SSL 证书配置 Amazon API Gateway REST API 阶段，以允许后端系统对来自 API Gateway 的请求进行身份验证。
SC-8 (1)	信息系统在传输过程中实施加密机制，以 [选择（一项或多项）：防止未经授权的泄露信息；检测信息的变化]，除非 [任务：组织定义的替代物理保障措施] 另有保护。	redshift-require-tls-ssl	确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。
SC-8 (1)	信息系统在传输过程中实施加密机制，以 [选择（一项或多项）：防止未经授权的泄露信息；检测信息的变化]，除非 [任务：组织定义的替代物理保障措施] 另有保护。	s3-bucket-ssl-requests-only	为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶要求请求使用安全套接字层 (SSL)。由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。
SC-8	信息系统保护所传输信息的机密性和完整性。	elasticsearch-node-to-node-加密检查	确保启用亚马逊 OpenSearch 服务的 node-to-node 加密。Node-to-node 加密支持Amazon Virtual Private Cloud (Amazon VPC) 内的所有通信启用 TLS 1.2 由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。
SC-8	信息系统保护所传输信息的机密性和完整性。	elbv2-acm-certificate-required	由于敏感数据可能存在并且为了帮助保护传输中的数据，请确保为 Elastic Load Balancing 启用加密。使用AWS Certificate Manager 管理、预置和部署带有AWS服务和内部资源的公共和私有 SSL/TLS 证书。
SC-8	信息系统保护所传输信息的机密性和完整性。	elb-tls-https-listeners-仅限	确保您的弹性负载均衡器 (ELB) 配置了 SSL 或 HTTPS 侦听器。由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。
SC-8	信息系统保护所传输信息的机密性和完整性。	alb-http-to-https-重定向检查	为了帮助保护传输中的数据，请确保您的Application Load Balancer 自动将未加密的 HTTP 请求重定向到 HTTPS。由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。
SC-8	信息系统保护所传输信息的机密性和完整性。	api-gw-ssl-enabled	确保使用 SSL 证书配置 Amazon API Gateway REST API 阶段，以允许后端系统对来自 API Gateway 的请求进行身份验证。
SC-8	信息系统保护所传输信息的机密性和完整性。	redshift-require-tls-ssl	确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。
SC-8	信息系统保护所传输信息的机密性和完整性。	s3-bucket-ssl-requests-only	为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶要求请求使用安全套接字层 (SSL)。由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。
SC-12	该组织根据 [分配：组织定义的密钥生成、分发、存储、访问和销毁要求] 为信息系统中使用的所需加密技术建立和管理加密密钥。	cmk-backing-key-rotation-启用	启用密钥轮换，确保密钥在加密周期结束后轮换。
SC-12	该组织根据 [分配：组织定义的密钥生成、分发、存储、访问和销毁要求] 为信息系统中使用的所需加密技术建立和管理加密密钥。	acm-certificate-expiration-check	通过确保AWS ACM 颁发 X509 证书来确保网络完整性。这些证书必须有效且未过期。此规则要求的值为 daysToExpiration （AWS基础安全最佳实践值：90）。实际价值应反映贵组织的政策。
SC-12	该组织根据 [分配：组织定义的密钥生成、分发、存储、访问和销毁要求] 为信息系统中使用的所需加密技术建立和管理加密密钥。	kms-cmk-not-scheduled-用于删除	为帮助保护静态数据，请确保不计划在密钥管理服务 (KMS) 中删除必要的客户主AWS密AWS钥 (CMK)。由于有时需要删除密钥，因此此规则可以帮助检查所有计划删除的密钥，以防密钥是无意中安排的。
SC-13	该信息系统根据适用的联邦法律、行政命令、指令、政策、法规和标准实施经 FIPS 验证或 NSA 批准的密码学。	kms-cmk-not-scheduled-用于删除	为帮助保护静态数据，请确保不计划在密钥管理服务 (KMS) 中删除必要的客户主AWS密AWS钥 (CMK)。由于有时需要删除密钥，因此此规则可以帮助检查所有计划删除的密钥，以防密钥是无意中安排的。
SC-13	该信息系统根据适用的联邦法律、行政命令、指令、政策、法规和标准实施经 FIPS 验证或 NSA 批准的密码学。	s3-default-encryption-kms	确保已对 Amazon Simple Storage Service（Amazon S3）存储桶启用加密。由于敏感数据可能静态存在于 Amazon S3 存储桶中，因此启用静态加密以帮助保护这些数据。
SC-13	该信息系统根据适用的联邦法律、行政命令、指令、政策、法规和标准实施经 FIPS 验证或 NSA 批准的密码学。	sagemaker-endpoint-configuration-kms-密钥配置	为帮助保护静态数据，请确保您的 SageMaker 终端节点启用了AWS密钥管理服务 (AWSKMS) 加密。由于敏感数据可能静态存在于 SageMaker 端点中，因此启用静态加密以帮助保护这些数据。
SC-13	该信息系统根据适用的联邦法律、行政命令、指令、政策、法规和标准实施经 FIPS 验证或 NSA 批准的密码学。	sagemaker-notebook-instance-kms-密钥配置	为帮助保护静态数据，请确保您的 SageMaker 笔记本电脑启用了AWS密钥管理服务 (AWSKMS) 加密。由于敏感数据可能静态存在于 SageMaker 笔记本电脑中，因此启用静态加密以帮助保护这些数据。
SC-13	该信息系统根据适用的联邦法律、行政命令、指令、政策、法规和标准实施经 FIPS 验证或 NSA 批准的密码学。	sns-encrypted-kms	为了帮助保护静态数据，请确保您的亚马逊Simple Notification Service (Amazon SNS) 主题需要使用AWS密钥管理服务 (AWSKMS) 进行加密。由于敏感数据可能静态存在于已发布的消息中，因此启用静态加密以帮助保护这些数据。
SC-13	该信息系统根据适用的联邦法律、行政命令、指令、政策、法规和标准实施经 FIPS 验证或 NSA 批准的密码学。	redshift-cluster-kms-enabled	为了帮助保护静态数据，请确保为您的 Amazon Redshift 集群启用了AWS密钥管理服务 (AWSKMS) 加密。由于敏感数据可能静态存在于 Redshift 集群中，因此启用静态加密以帮助保护这些数据。
SC-23	信息系统保护通信会话的真实性。	elasticsearch-node-to-node-加密检查	确保启用亚马逊 OpenSearch 服务的 node-to-node 加密。Node-to-node 加密支持Amazon Virtual Private Cloud (Amazon VPC) 内的所有通信启用 TLS 1.2 由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。
SC-23	信息系统保护通信会话的真实性。	elb-tls-https-listeners-仅限	确保您的弹性负载均衡器 (ELB) 配置了 SSL 或 HTTPS 侦听器。由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。
SC-23	信息系统保护通信会话的真实性。	alb-http-to-https-重定向检查	为了帮助保护传输中的数据，请确保您的Application Load Balancer 自动将未加密的 HTTP 请求重定向到 HTTPS。由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。
SC-23	信息系统保护通信会话的真实性。	api-gw-ssl-enabled	确保使用 SSL 证书配置 Amazon API Gateway REST API 阶段，以允许后端系统对来自 API Gateway 的请求进行身份验证。
SC-23	信息系统保护通信会话的真实性。	redshift-require-tls-ssl	确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。
SC-23	信息系统保护通信会话的真实性。	s3-bucket-ssl-requests-only	为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶要求请求使用安全套接字层 (SSL)。由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。
SC-28	信息系统保护 [任务：组织定义的静态信息] 的机密性和完整性。	s3-bucket-default-lock-enabled	确保默认情况下，您的Amazon SimSimple Storage Service (Amazon S3) 存储桶已启用锁定。由于敏感数据可能静态存在于 S3 存储桶中，因此强制执行静态对象锁定以帮助保护这些数据。
SC-28	信息系统保护 [任务：组织定义的静态信息] 的机密性和完整性。	s3-default-encryption-kms	确保已对 Amazon Simple Storage Service（Amazon S3）存储桶启用加密。由于敏感数据可能静态存在于 Amazon S3 存储桶中，因此启用静态加密以帮助保护这些数据。
SC-28	信息系统保护 [任务：组织定义的静态信息] 的机密性和完整性。	sagemaker-notebook-instance-kms-密钥配置	为帮助保护静态数据，请确保您的 SageMaker 笔记本电脑启用了AWS密钥管理服务 (AWSKMS) 加密。由于敏感数据可能静态存在于 SageMaker 笔记本电脑中，因此启用静态加密以帮助保护这些数据。
SC-28	信息系统保护 [任务：组织定义的静态信息] 的机密性和完整性。	sns-encrypted-kms	为了帮助保护静态数据，请确保您的亚马逊Simple Notification Service (Amazon SNS) 主题需要使用AWS密钥管理服务 (AWSKMS) 进行加密。由于敏感数据可能静态存在于已发布的消息中，因此启用静态加密以帮助保护这些数据。
SC-28	信息系统保护 [任务：组织定义的静态信息] 的机密性和完整性。	api-gw-cache-enabled并已加密	为了帮助保护静态数据，请确保为您的 API Gateway 阶段的缓存启用加密。由于可以捕获 API 方法的敏感数据，因此启用静态加密以帮助保护这些数据。
SC-28	信息系统保护 [任务：组织定义的静态信息] 的机密性和完整性。	cloud-trail-encryption-enabled	由于敏感数据可能存在，为了帮助保护静态数据，请确保为您的AWS CloudTrail 跟踪启用加密。
SC-28	信息系统保护 [任务：组织定义的静态信息] 的机密性和完整性。	cloudwatch-log-group-encrypted	为帮助保护静态敏感数据，请确保对您的亚马逊 CloudWatch 日志组启用加密。
SC-28	信息系统保护 [任务：组织定义的静态信息] 的机密性和完整性。	ec2-ebs-encryption-by-default	为帮助保护静态数据，请确保已记录您的Amazon Elastic Block Block Block Block Block Block 由于敏感数据可能静态存在于这些卷中，因此启用静态加密以帮助保护这些数据。
SC-28	信息系统保护 [任务：组织定义的静态信息] 的机密性和完整性。	efs-encrypted-check	由于敏感数据可能存在并且为了帮助保护静态数据，请确保为您的 Amazon Elastic File System (EFS) 启用加密。
SC-28	信息系统保护 [任务：组织定义的静态信息] 的机密性和完整性。	elasticsearch-encrypted-at-rest	由于敏感数据可能存在并且为了帮助保护静态数据，请确保对您的亚马逊 OpenSearch 服务（OpenSearch 服务）域启用加密。
SC-28	信息系统保护 [任务：组织定义的静态信息] 的机密性和完整性。	加密卷	由于敏感数据可以存在，为了帮助保护静态数据，请确保对您的 Amazon EElastic Block Store (Amazon EBS) 卷启用加密。
SC-28	信息系统保护 [任务：组织定义的静态信息] 的机密性和完整性。	kms-cmk-not-scheduled-用于删除	为帮助保护静态数据，请确保不计划在密钥管理服务 (KMS) 中删除必要的客户主AWS密AWS钥 (CMK)。由于有时需要删除密钥，因此此规则可以帮助检查所有计划删除的密钥，以防密钥是无意中安排的。
SC-28	信息系统保护 [任务：组织定义的静态信息] 的机密性和完整性。	rds-snapshot-encrypted	确保已对 Amazon Relational Database Service（Amazon RDS）快照启用 由于敏感数据可能处于静态状态，因此启用静态加密以帮助保护这些数据。
SC-28	信息系统保护 [任务：组织定义的静态信息] 的机密性和完整性。	rds-storage-encrypted	为了帮助保护静态数据，请确保对Amazon Relational Database Service (Amazon RDS) 实例启用加密。由于敏感数据可能静态存在于 Amazon RDS 实例中，因此启用静态加密以帮助保护这些数据。
SC-28	信息系统保护 [任务：组织定义的静态信息] 的机密性和完整性。	redshift-cluster-configuration-check	要保护静态数据，请确保为您的 Amazon Redshift 集群启用加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用有关数据库中的连接和用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户活动的信息。此规则要求为 clusterDbEncrypted （Config 默认值：TRUE）和启用日志（Config 默认值：TRUE）设置值。实际值应反映贵组织的政策。
SC-28	信息系统保护 [任务：组织定义的静态信息] 的机密性和完整性。	redshift-cluster-kms-enabled	为了帮助保护静态数据，请确保为您的 Amazon Redshift 集群启用了AWS密钥管理服务 (AWSKMS) 加密。由于敏感数据可能静态存在于 Redshift 集群中，因此启用静态加密以帮助保护这些数据。
SC-28	信息系统保护 [任务：组织定义的静态信息] 的机密性和完整性。	s3bucket-server-side-encryption-已启用	为帮助保护静止数据，请确保已记录您的Amazon Simple ServSimple Storage Service (Amazon S3) 桶的加密。由于敏感数据可能静态存在于 Amazon S3 存储桶中，因此启用加密以帮助保护这些数据。
SC-28	信息系统保护 [任务：组织定义的静态信息] 的机密性和完整性。	sagemaker-endpoint-configuration-kms-密钥配置	为帮助保护静态数据，请确保您的 SageMaker 终端节点启用了AWS密钥管理服务 (AWSKMS) 加密。由于敏感数据可能静态存在于 SageMaker 端点中，因此启用静态加密以帮助保护这些数据。
SI-2 (2)	该组织至少每月使用一次自动化机制来确定信息系统组件在缺陷修复方面的状态。	ec2-instance-managed-by-systems-管理器	通过SAWS ystems Manager，您可以通过管理 Amazon Elastic Compute Cloud (Amazon EC2) 实例。使用AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发行商和版本以及有关您的环境的其他详细信息。
SI-2 (2)	该组织至少每月使用一次自动化机制来确定信息系统组件在缺陷修复方面的状态。	ec2-managedinstance-association-compliance-status-checket	使用AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。 AWSSystems Manager 为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置和有关环境的其他详细信息的基准。
SI-2 (2)	该组织至少每月使用一次自动化机制来确定信息系统组件在缺陷修复方面的状态。	ec2-managedinstance-patch-compliance-status-checket	启用此规则可帮助识别和记录Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。该规则检查SAWS ystems Manager 中的 Amazon EC2 实例补丁是否符合贵组织的政策和程序的要求。
SI-2 (2)	该组织至少每月使用一次自动化机制来确定信息系统组件在缺陷修复方面的状态。	elastic-beanstalk-managed-updates-启用	为 Amazon Elastic Beanstalk 环境启用托管平台更新可确保安装该环境的最新可用平台修复、更新和功能。及时安装补丁是保护系统的最佳做法。
SI-3	组织：a。在信息系统入口和退出点采用恶意代码保护机制来检测和消除恶意代码；b. 根据组织配置管理政策和程序，每当有新版本可用时，都会更新恶意代码保护机制；c. 将恶意代码保护机制配置为：1。在根据组织安全政策下载、打开或执行文件时，定期扫描信息系统 [分配：组织定义的频率]，并在 [选择（一个或多个）；端点；网络入口/出口点] 对来自外部源的文件进行实时扫描；以及 2. [选择（一个或多个）：屏蔽恶意代码；隔离恶意代码；向管理员发送警报；[分配：组织定义的操作]] 以响应恶意代码检测；以及 d. 解决了在检测和消除恶意代码期间收到的误报以及由此对信息系统可用性的潜在影响。补充指南：例如，信息系统的入口和出口点包括防火墙、电子邮件服务器、Web 服务器、代理服务器、远程访问服务器、工作站、笔记本电脑和移动设备。例如，恶意代码包括病毒、蠕虫、特洛伊木马和间谍软件。恶意代码也可以以各种格式（例如 UUENCODE、Unicode）进行编码，包含在压缩或隐藏文件中，或者使用隐写术隐藏在文件中。恶意代码可以通过不同的方式传输，例如，网络访问、电子邮件、电子邮件附件和便携式存储设备。恶意代码插入是通过利用信息系统漏洞进行的。例如，恶意代码保护机制包括防病毒签名定义和基于信誉的技术。有多种技术和方法可以限制或消除恶意代码的影响。无处不在的配置管理和全面的软件完整性控制可以有效防止未经授权的代码的执行。除商业 off-the-shelf 软件外，定制软件中还可能存在恶意代码。例如，这可能包括逻辑炸弹、后门和其他可能影响组织使命/业务职能的网络攻击。传统的恶意代码保护机制无法始终检测到此类代码。在这些情况下，组织转而依赖其他保障措施，包括安全编码实践、配置管理和控制、可信采购流程和监控实践，以帮助确保软件不执行预期功能以外的功能。Organizations 可能会确定，为了应对恶意代码的检测，可能需要采取不同的行动。例如，组织可以定义应对定期扫描期间检测到的恶意代码的操作、响应检测到恶意下载的操作和/或在尝试打开或执行文件时检测到的恶意行为的操作。相关对照：CM-3、MP-2、SA-4、SA-8、SA-12、SA-13、SC-7、SC-26、SC-44、SI-2、SI-4、SI-7。参考文献：NIST 特别出版物 800-83。	codebuild-project-envvar-awscred-检查	确保在AWS Codebuild 项目环境中不存在 AWS_ACCESS_ID 和 AWS_SECRET_KEY 的身份验证凭证 AWS_ACCESS_KEY。不要将这些变量存储在明文中。以明文形式存储这些变量会导致意外的数据泄露和未经授权的访问。
SI-3	组织：a。在信息系统入口和退出点采用恶意代码保护机制来检测和消除恶意代码；b. 根据组织配置管理政策和程序，每当有新版本可用时，都会更新恶意代码保护机制；c. 将恶意代码保护机制配置为：1。在根据组织安全政策下载、打开或执行文件时，定期扫描信息系统 [分配：组织定义的频率]，并在 [选择（一个或多个）；端点；网络入口/出口点] 对来自外部源的文件进行实时扫描；以及 2. [选择（一个或多个）：屏蔽恶意代码；隔离恶意代码；向管理员发送警报；[分配：组织定义的操作]] 以响应恶意代码检测；以及 d. 解决了在检测和消除恶意代码期间收到的误报以及由此对信息系统可用性的潜在影响。补充指南：例如，信息系统的入口和出口点包括防火墙、电子邮件服务器、Web 服务器、代理服务器、远程访问服务器、工作站、笔记本电脑和移动设备。例如，恶意代码包括病毒、蠕虫、特洛伊木马和间谍软件。恶意代码也可以以各种格式（例如 UUENCODE、Unicode）进行编码，包含在压缩或隐藏文件中，或者使用隐写术隐藏在文件中。恶意代码可以通过不同的方式传输，例如，网络访问、电子邮件、电子邮件附件和便携式存储设备。恶意代码插入是通过利用信息系统漏洞进行的。例如，恶意代码保护机制包括防病毒签名定义和基于信誉的技术。有多种技术和方法可以限制或消除恶意代码的影响。无处不在的配置管理和全面的软件完整性控制可以有效防止未经授权的代码的执行。除商业 off-the-shelf 软件外，定制软件中还可能存在恶意代码。例如，这可能包括逻辑炸弹、后门和其他可能影响组织使命/业务职能的网络攻击。传统的恶意代码保护机制无法始终检测到此类代码。在这些情况下，组织转而依赖其他保障措施，包括安全编码实践、配置管理和控制、可信采购流程和监控实践，以帮助确保软件不执行预期功能以外的功能。Organizations 可能会确定，为了应对恶意代码的检测，可能需要采取不同的行动。例如，组织可以定义应对定期扫描期间检测到的恶意代码的操作、响应检测到恶意下载的操作和/或在尝试打开或执行文件时检测到的恶意行为的操作。相关对照：CM-3、MP-2、SA-4、SA-8、SA-12、SA-13、SC-7、SC-26、SC-44、SI-2、SI-4、SI-7。参考文献：NIST 特别出版物 800-83。	codebuild-project-source-repo-网址检查	确保 GitHub 或 Bitbucket 源存储库网址不包含AWS Codebuild 项目环境中的个人访问令牌和登录凭证。使用 OAuth 代替个人访问令牌或登录凭证来授予访问 GitHub 或 Bitbucket 存储库的授权。
SI-3	组织：a。在信息系统入口和退出点采用恶意代码保护机制来检测和消除恶意代码；b. 根据组织配置管理政策和程序，每当有新版本可用时，都会更新恶意代码保护机制；c. 将恶意代码保护机制配置为：1。在根据组织安全政策下载、打开或执行文件时，定期扫描信息系统 [分配：组织定义的频率]，并在 [选择（一个或多个）；端点；网络入口/出口点] 对来自外部源的文件进行实时扫描；以及 2. [选择（一个或多个）：屏蔽恶意代码；隔离恶意代码；向管理员发送警报；[分配：组织定义的操作]] 以响应恶意代码检测；以及 d. 解决了在检测和消除恶意代码期间收到的误报以及由此对信息系统可用性的潜在影响。补充指南：例如，信息系统的入口和出口点包括防火墙、电子邮件服务器、Web 服务器、代理服务器、远程访问服务器、工作站、笔记本电脑和移动设备。例如，恶意代码包括病毒、蠕虫、特洛伊木马和间谍软件。恶意代码也可以以各种格式（例如 UUENCODE、Unicode）进行编码，包含在压缩或隐藏文件中，或者使用隐写术隐藏在文件中。恶意代码可以通过不同的方式传输，例如，网络访问、电子邮件、电子邮件附件和便携式存储设备。恶意代码插入是通过利用信息系统漏洞进行的。例如，恶意代码保护机制包括防病毒签名定义和基于信誉的技术。有多种技术和方法可以限制或消除恶意代码的影响。无处不在的配置管理和全面的软件完整性控制可以有效防止未经授权的代码的执行。除商业 off-the-shelf 软件外，定制软件中还可能存在恶意代码。例如，这可能包括逻辑炸弹、后门和其他可能影响组织使命/业务职能的网络攻击。传统的恶意代码保护机制无法始终检测到此类代码。在这些情况下，组织转而依赖其他保障措施，包括安全编码实践、配置管理和控制、可信采购流程和监控实践，以帮助确保软件不执行预期功能以外的功能。Organizations 可能会确定，为了应对恶意代码的检测，可能需要采取不同的行动。例如，组织可以定义应对定期扫描期间检测到的恶意代码的操作、响应检测到恶意下载的操作和/或在尝试打开或执行文件时检测到的恶意行为的操作。相关对照：CM-3、MP-2、SA-4、SA-8、SA-12、SA-13、SC-7、SC-26、SC-44、SI-2、SI-4、SI-7。参考文献：NIST 特别出版物 800-83。	ecs-task-definition-memory-硬限制	限制您的 Amazon Elastic Container Service (ECS) 容器的最大可用内存可确保您的资源使用量不会在恶意访问您的容器时被滥用。
SI-4 (1)	该组织将各个入侵检测工具连接并配置到信息系统范围的入侵检测系统中。	guardduty-enabled-centralized	亚马逊 GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 和机器学习列表，用于标识您的AWS Cloud 环境意外的和未经授权的恶意活动。
SI-4 (2)	该组织采用自动化工具来支持事件近实时的分析。	multi-region-cloudtrail-enabled	AWS CloudTrail 记录AWS管理控制台操作和 API 调用。您可以标识哪些用户和账户调调调调调调调调调调调调调AWS调调调调调调调调调调调调调调调调用了调用了调用了调用了调用了调用了 CloudTrail 如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，则会将所有AWS区域的日志文件传输到您的 S3 存储桶。此外，当AWS启动新区域时， CloudTrail 将在新区域中创建相同的路径。因此，您无需采取任何操作即可收到包含新区域的 API 活动的日志文件。
SI-4 (2)	该组织采用自动化工具来支持事件近实时的分析。	已启用安全集线器	AWSSecurity Hub 有助于监控未经授权的人员、连接、设备和软件。 AWSSecurity Hub 可以聚合、组织和优先处理处理处理处理处理处理来自多个AWS服务的安全告警或结果。其中一些服务包括亚马逊Security Hub、Amazon Inspector、Amazon Macie、IdentAWS ity and Access Management (IAM) 访问分析器和FiAWS rewall Manager 以及AWS合作伙伴解决方案。
SI-4 (2)	该组织采用自动化工具来支持事件近实时的分析。	已启用云端追踪	AWS CloudTrail 可以通过记录AWS管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用AWS服务的用户和AWS帐户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在AWS CloudTrail 记录内容中查看。
SI-4 (2)	该组织采用自动化工具来支持事件近实时的分析。	cloudtrail-s3 数据事件已启用	SimpSimple Storage Service (Amazon S3) 数据事件的收集有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的AWS账户信息、IP 地址和事件时间。
SI-4 (2)	该组织采用自动化工具来支持事件近实时的分析。	cloudwatch-alarm-action-check	当该指标在指定数量的评估期内超出阈值，Amazon CloudWatch 将变为 ALARM。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （Config 默认值：True）、 insufficientDataAction必需（Config 默认值：True）、 okActionRequired （Config 默认值：False）的值。实际值应反映您环境的警报操作。
SI-4 (2)	该组织采用自动化工具来支持事件近实时的分析。	ec2-instance-detailed-monitoring-enabled	启用此规则可在 Amazon EC2 控制台上进行Amazon Elastic Compute Cloud (Amazon EC2) 实例监控，该控制台将以 1 分钟显示实例的监控图表。
SI-4 (2)	该组织采用自动化工具来支持事件近实时的分析。	guardduty-enabled-centralized	亚马逊 GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 和机器学习列表，用于标识您的AWS Cloud 环境意外的和未经授权的恶意活动。
SI-4 (2)	该组织采用自动化工具来支持事件近实时的分析。	redshift-cluster-configuration-check	要保护静态数据，请确保为您的 Amazon Redshift 集群启用加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用有关数据库中的连接和用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户活动的信息。此规则要求为 clusterDbEncrypted （Config 默认值：TRUE）和启用日志（Config 默认值：TRUE）设置值。实际值应反映贵组织的政策。
SI-4 (4)	信息系统持续监控入站和出站通信流量，以了解异常或未经授权的活动或情况。	已启用安全集线器	AWSSecurity Hub 有助于监控未经授权的人员、连接、设备和软件。 AWSSecurity Hub 可以聚合、组织和优先处理处理处理处理处理处理来自多个AWS服务的安全告警或结果。其中一些服务包括亚马逊Security Hub、Amazon Inspector、Amazon Macie、IdentAWS ity and Access Management (IAM) 访问分析器和FiAWS rewall Manager 以及AWS合作伙伴解决方案。
SI-4 (4)	信息系统持续监控入站和出站通信流量，以了解异常或未经授权的活动或情况。	cloud-trail-cloud-watch-启用日志	使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含AWS CloudTrail 数据可提供您AWS账户内的 API 调用活动的详细信息。
SI-4 (4)	信息系统持续监控入站和出站通信流量，以了解异常或未经授权的活动或情况。	cloudwatch-alarm-action-check	当该指标在指定数量的评估期内超出阈值，Amazon CloudWatch 将变为 ALARM。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （Config 默认值：True）、 insufficientDataAction必需（Config 默认值：True）、 okActionRequired （Config 默认值：False）的值。实际值应反映您环境的警报操作。
SI-4 (4)	信息系统持续监控入站和出站通信流量，以了解异常或未经授权的活动或情况。	guardduty-enabled-centralized	亚马逊 GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 和机器学习列表，用于标识您的AWS Cloud 环境意外的和未经授权的恶意活动。
SI-4 (5)	当出现以下危害或潜在危害迹象时，信息系统会提醒 [分配：组织定义的人员或角色]：[分配：组织定义的折衷指标]。	已启用安全集线器	AWSSecurity Hub 有助于监控未经授权的人员、连接、设备和软件。 AWSSecurity Hub 可以聚合、组织和优先处理处理处理处理处理处理来自多个AWS服务的安全告警或结果。其中一些服务包括亚马逊Security Hub、Amazon Inspector、Amazon Macie、IdentAWS ity and Access Management (IAM) 访问分析器和FiAWS rewall Manager 以及AWS合作伙伴解决方案。
SI-4 (5)	当出现以下危害或潜在危害迹象时，信息系统会提醒 [分配：组织定义的人员或角色]：[分配：组织定义的折衷指标]。	cloud-trail-cloud-watch-启用日志	使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含AWS CloudTrail 数据可提供您AWS账户内的 API 调用活动的详细信息。
SI-4 (5)	当出现以下危害或潜在危害迹象时，信息系统会提醒 [分配：组织定义的人员或角色]：[分配：组织定义的折衷指标]。	cloudwatch-alarm-action-check	当该指标在指定数量的评估期内超出阈值，Amazon CloudWatch 将变为 ALARM。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （Config 默认值：True）、 insufficientDataAction必需（Config 默认值：True）、 okActionRequired （Config 默认值：False）的值。实际值应反映您环境的警报操作。
SI-4 (5)	当出现以下危害或潜在危害迹象时，信息系统会提醒 [分配：组织定义的人员或角色]：[分配：组织定义的折衷指标]。	guardduty-enabled-centralized	亚马逊 GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 和机器学习列表，用于标识您的AWS Cloud 环境意外的和未经授权的恶意活动。
SI-4 (16)	该组织将来自整个信息系统中使用的监测工具的信息关联起来。	multi-region-cloudtrail-enabled	AWS CloudTrail 记录AWS管理控制台操作和 API 调用。您可以标识哪些用户和账户调调调调调调调调调调调调调AWS调调调调调调调调调调调调调调调调用了调用了调用了调用了调用了调用了 CloudTrail 如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，则会将所有AWS区域的日志文件传输到您的 S3 存储桶。此外，当AWS启动新区域时， CloudTrail 将在新区域中创建相同的路径。因此，您无需采取任何操作即可收到包含新区域的 API 活动的日志文件。
SI-4 (16)	该组织将来自整个信息系统中使用的监测工具的信息关联起来。	已启用安全集线器	AWSSecurity Hub 有助于监控未经授权的人员、连接、设备和软件。 AWSSecurity Hub 可以聚合、组织来自多个AWS服务的安全告警或检查结果并确定优先级。其中一些服务包括亚马逊Security Hub、Amazon Inspector、Amazon Macie、IdentAWS ity and Access Management (IAM) 访问分析器和FiAWS rewall Manager 以及AWS合作伙伴解决方案。
SI-4 (16)	该组织将来自整个信息系统中使用的监测工具的信息关联起来。	已启用云端追踪	AWS CloudTrail 可以通过记录AWS管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用AWS服务的用户和AWS帐户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在AWS CloudTrail 记录内容中查看。
SI-4 (16)	该组织将来自整个信息系统中使用的监测工具的信息关联起来。	cloudtrail-s3 数据事件已启用	SimpSimple Storage Service (Amazon S3) 数据事件的收集有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的AWS账户信息、IP 地址和事件时间。
SI-4 (16)	该组织将来自整个信息系统中使用的监测工具的信息关联起来。	guardduty-enabled-centralized	亚马逊 GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 和机器学习列表，用于标识您的AWS Cloud 环境意外的和未经授权的恶意活动。
SI-4 (16)	该组织将来自整个信息系统中使用的监测工具的信息关联起来。	redshift-cluster-configuration-check	要保护静态数据，请确保为您的 Amazon Redshift 集群启用加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用有关数据库中的连接和用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户用户活动的信息。此规则要求为 clusterDbEncrypted （Config 默认值：TRUE）和启用日志（Config 默认值：TRUE）设置值。实际值应反映贵组织的政策。
SI-4 (a) (b) (c)	组织：a。监视信息系统以检测：1. 根据 [任务：组织定义的监控目标] 的攻击和潜在攻击指标；以及 2. 未经授权的本地、网络和远程连接；b. 通过 [任务：组织定义的技术和方法] 识别未经授权使用信息系统的行为；c. 部署监测装置：一、在信息系统内战略性地收集组织确定的基本信息；（二）在系统内的临时地点，跟踪本组织感兴趣的特定类型的交易。	alb-waf-enabled	确保在弹性负载均衡器 (ELB) 上启用AWS WAF 以帮助保护 Web 应用程序。WAF 有助于保护您的 Web 应用程序或 API 免遭常见 Web 漏洞的攻击。这些 Web 漏洞可能会影响可用性、损害安全性或消耗过多的资源。
SI-4 (a) (b) (c)	组织：a。监视信息系统以检测：1. 根据 [任务：组织定义的监控目标] 的攻击和潜在攻击指标；以及 2. 未经授权的本地、网络和远程连接；b. 通过 [任务：组织定义的技术和方法] 识别未经授权使用信息系统的行为；c. 部署监测装置：一、在信息系统内战略性地收集组织确定的基本信息；（二）在系统内的临时地点，跟踪本组织感兴趣的特定类型的交易。	api-gw-associated-with-waf	AWS利用 WAF，您可以配置一组规则（称为 Web 访问控制列表，即 Web ACL），基于可自定义的 Web 安全规则以及您定义的条件，允许、阻止或统计 Web 请求。确保您的Amazon API Gateway 阶段与 WAF Web ACL 相关联，以保护其免受恶意攻击
SI-4 (a) (b) (c)	组织：a。监视信息系统以检测：1. 根据 [任务：组织定义的监控目标] 的攻击和潜在攻击指标；以及 2. 未经授权的本地、网络和远程连接；b. 通过 [任务：组织定义的技术和方法] 识别未经授权使用信息系统的行为；c. 部署监测装置：一、在信息系统内战略性地收集组织确定的基本信息；（二）在系统内的临时地点，跟踪本组织感兴趣的特定类型的交易。	guardduty-non-archived-findings	亚马逊通过按严重程度对调查结果进行分类：低、中和高，来 GuardDuty 帮助您了解事件的影响。您可以使用这些分类来确定补救策略和优先级。此规则允许您根据组织策略的要求选择性地为非存档的调查结果设置 daysMediumSev （Config 默认值：30）、 daysHighSev （Config 默认值：7）和（Config 默认值：1）。 daysLowSev
SI-4 (a) (b) (c)	组织：a。监视信息系统以检测：1. 根据 [任务：组织定义的监控目标] 的攻击和潜在攻击指标；以及 2. 未经授权的本地、网络和远程连接；b. 通过 [任务：组织定义的技术和方法] 识别未经授权使用信息系统的行为；c. 部署监测装置：一、在信息系统内战略性地收集组织确定的基本信息；（二）在系统内的临时地点，跟踪本组织感兴趣的特定类型的交易。	已启用安全集线器	AWSSecurity Hub 有助于监控未经授权的人员、连接、设备和软件。 AWSSecurity Hub 可以聚合、组织来自多个AWS服务的安全告警或检查结果并确定优先级。其中一些服务包括亚马逊Security Hub、Amazon Inspector、Amazon Macie、IdentAWS ity and Access Management (IAM) 访问分析器和FiAWS rewall Manager 以及AWS合作伙伴解决方案。
SI-4 (a) (b) (c)	组织：a。监视信息系统以检测：1. 根据 [任务：组织定义的监控目标] 的攻击和潜在攻击指标；以及 2. 未经授权的本地、网络和远程连接；b. 通过 [任务：组织定义的技术和方法] 识别未经授权使用信息系统的行为；c. 部署监测装置：一、在信息系统内战略性地收集组织确定的基本信息；（二）在系统内的临时地点，跟踪本组织感兴趣的特定类型的交易。	wafv2 日志记录已启用	为了帮助在您的环境中进行日志记录和监控，请在区域和全球 Web ACL 上启用AWS WAF (V2) 登录。 AWSWAF 日志记录提供有关您的 Web ACL 分析的流量的详细信息。日志记录AWS WAF 从您的AWS资源收到请求的时间，有关请求的信息以及每个请求所匹配的规则的操作。
SI-4 (a) (b) (c)	组织：a。监视信息系统以检测：1. 根据 [任务：组织定义的监控目标] 的攻击和潜在攻击指标；以及 2. 未经授权的本地、网络和远程连接；b. 通过 [任务：组织定义的技术和方法] 识别未经授权使用信息系统的行为；c. 部署监测装置：一、在信息系统内战略性地收集组织确定的基本信息；（二）在系统内的临时地点，跟踪本组织感兴趣的特定类型的交易。	cloud-trail-cloud-watch-启用日志	使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含AWS CloudTrail 数据可提供您AWS账户内的 API 调用活动的详细信息。
SI-4 (a) (b) (c)	组织：a。监视信息系统以检测：1. 根据 [任务：组织定义的监控目标] 的攻击和潜在攻击指标；以及 2. 未经授权的本地、网络和远程连接；b. 通过 [任务：组织定义的技术和方法] 识别未经授权使用信息系统的行为；c. 部署监测装置：一、在信息系统内战略性地收集组织确定的基本信息；（二）在系统内的临时地点，跟踪本组织感兴趣的特定类型的交易。	cloudwatch-alarm-action-check	当该指标在指定数量的评估期内超出阈值，Amazon CloudWatch 将变为 ALARM。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （Config 默认值：True）、 insufficientDataAction必需（Config 默认值：True）、 okActionRequired （Config 默认值：False）的值。实际值应反映您环境的警报操作。
SI-4 (a) (b) (c)	组织：a。监视信息系统以检测：1. 根据 [任务：组织定义的监控目标] 的攻击和潜在攻击指标；以及 2. 未经授权的本地、网络和远程连接；b. 通过 [任务：组织定义的技术和方法] 识别未经授权使用信息系统的行为；c. 部署监测装置：一、在信息系统内战略性地收集组织确定的基本信息；（二）在系统内的临时地点，跟踪本组织感兴趣的特定类型的交易。	ec2-instance-detailed-monitoring-enabled	启用此规则可在 Amazon EC2 控制台上进行Amazon Elastic Compute Cloud (Amazon EC2) 实例监控，该控制台将以 1 分钟显示实例的监控图表。
SI-4 (a) (b) (c)	组织：a。监视信息系统以检测：1. 根据 [任务：组织定义的监控目标] 的攻击和潜在攻击指标；以及 2. 未经授权的本地、网络和远程连接；b. 通过 [任务：组织定义的技术和方法] 识别未经授权使用信息系统的行为；c. 部署监测装置：一、在信息系统内战略性地收集组织确定的基本信息；（二）在系统内的临时地点，跟踪本组织感兴趣的特定类型的交易。	guardduty-enabled-centralized	亚马逊 GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 和机器学习列表，用于标识您的AWS Cloud 环境意外的和未经授权的恶意活动。
SI-5	组织：a。持续接收来自 [任务：组织定义的外部组织] 的信息系统安全警报、建议和指令；b. 根据需要生成内部安全警报、建议和指令；c. 将安全警报、建议和指令分发给：[选择（一个或多个）：[分配：组织定义的人员或角色]；[分配：组织内部组织定义的元素]；[分配：组织定义的外部组织]]；以及 d。按照既定时间表执行安全指令，或将不合规程度通知发布组织。补充指南：美国计算机应急准备小组 (US-CERT) 生成安全警报和建议，以保持整个联邦政府的态势感知能力。安全指令由监察员办公室或其他指定组织发布，这些组织有责任和授权发布此类指令。遵守安全指令至关重要，因为其中许多指令至关重要，如果不及时执行这些指令，可能会对组织运营和资产、个人、其他组织和国家产生直接的不利影响。例如，外部组织包括外部任务/业务合作伙伴、供应链合作伙伴、外部服务提供商和其他同行/支持组织。相关控制：SI-2。参考文献：NIST 特别出版物 800-40。	cloudwatch-alarm-action-check	当该指标在指定数量的评估期内超出阈值，Amazon CloudWatch 将变为 ALARM。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （Config 默认值：True）、 insufficientDataAction必需（Config 默认值：True）、 okActionRequired （Config 默认值：False）的值。实际值应反映您环境的警报操作。
SI-5	组织：a。持续接收来自 [任务：组织定义的外部组织] 的信息系统安全警报、建议和指令；b. 根据需要生成内部安全警报、建议和指令；c. 将安全警报、建议和指令分发给：[选择（一个或多个）：[分配：组织定义的人员或角色]；[分配：组织内部组织定义的元素]；[分配：组织定义的外部组织]]；以及 d。按照既定时间表执行安全指令，或将不合规程度通知发布组织。补充指南：美国计算机应急准备小组 (US-CERT) 生成安全警报和建议，以保持整个联邦政府的态势感知能力。安全指令由监察员办公室或其他指定组织发布，这些组织有责任和授权发布此类指令。遵守安全指令至关重要，因为其中许多指令至关重要，如果不及时执行这些指令，可能会对组织运营和资产、个人、其他组织和国家产生直接的不利影响。例如，外部组织包括外部任务/业务合作伙伴、供应链合作伙伴、外部服务提供商和其他同行/支持组织。相关控制：SI-2。参考文献：NIST 特别出版物 800-40。	guardduty-enabled-centralized	亚马逊 GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 和机器学习列表，用于标识您的AWS Cloud 环境意外的和未经授权的恶意活动。
SI-5	组织：a。持续接收来自 [任务：组织定义的外部组织] 的信息系统安全警报、建议和指令；b. 根据需要生成内部安全警报、建议和指令；c. 将安全警报、建议和指令分发给：[选择（一个或多个）：[分配：组织定义的人员或角色]；[分配：组织内部组织定义的元素]；[分配：组织定义的外部组织]]；以及 d。按照既定时间表执行安全指令，或将不合规程度通知发布组织。补充指南：美国计算机应急准备小组 (US-CERT) 生成安全警报和建议，以保持整个联邦政府的态势感知能力。安全指令由监察员办公室或其他指定组织发布，这些组织有责任和授权发布此类指令。遵守安全指令至关重要，因为其中许多指令至关重要，如果不及时执行这些指令，可能会对组织运营和资产、个人、其他组织和国家产生直接的不利影响。例如，外部组织包括外部任务/业务合作伙伴、供应链合作伙伴、外部服务提供商和其他同行/支持组织。相关控制：SI-2。参考文献：NIST 特别出版物 800-40。	guardduty-non-archived-findings	亚马逊通过按严重程度对调查结果进行分类：低、中和高，来 GuardDuty 帮助您了解事件的影响。您可以使用这些分类来确定补救策略和优先级。此规则允许您根据组织策略的要求选择性地为非存档的调查结果设置 daysMediumSev （Config 默认值：30）、 daysHighSev （Config 默认值：7）和（Config 默认值：1）。 daysLowSev
SI-5	组织：a。持续接收来自 [任务：组织定义的外部组织] 的信息系统安全警报、建议和指令；b. 根据需要生成内部安全警报、建议和指令；c. 将安全警报、建议和指令分发给：[选择（一个或多个）：[分配：组织定义的人员或角色]；[分配：组织内部组织定义的元素]；[分配：组织定义的外部组织]]；以及 d。按照既定时间表执行安全指令，或将不合规程度通知发布组织。补充指南：美国计算机应急准备小组 (US-CERT) 生成安全警报和建议，以保持整个联邦政府的态势感知能力。安全指令由监察员办公室或其他指定组织发布，这些组织有责任和授权发布此类指令。遵守安全指令至关重要，因为其中许多指令至关重要，如果不及时执行这些指令，可能会对组织运营和资产、个人、其他组织和国家产生直接的不利影响。例如，外部组织包括外部任务/业务合作伙伴、供应链合作伙伴、外部服务提供商和其他同行/支持组织。相关控制：SI-2。参考文献：NIST 特别出版物 800-40。	已启用安全集线器	AWSSecurity Hub 有助于监控未经授权的人员、连接、设备和软件。 AWSSecurity Hub 可以聚合、组织来自多个AWS服务的安全告警或检查结果并确定优先级。其中一些服务包括亚马逊Security Hub、Amazon Inspector、Amazon Macie、IdentAWS ity and Access Management (IAM) 访问分析器和FiAWS rewall Manager 以及AWS合作伙伴解决方案。
SI-7 (1)	信息系统至少每月进行一次完整性检查安全相关活动。	cloud-trail-log-file-启用验证	利用AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 传送后是否被修改或删除或未更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这样，要修改、删除或伪造 CloudTrail 日志文件而不被检测到在计算上是不可行的。
SI-7 (1)	信息系统至少每月进行一次完整性检查安全相关活动。	ec2-instance-managed-by-systems-管理器	通过SAWS ystems Manager，您可以通过管理 Amazon Elastic Compute Cloud (Amazon EC2) 实例。使用AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发行商和版本以及有关您的环境的其他详细信息。
SI-7 (1)	信息系统至少每月进行一次完整性检查安全相关活动。	ec2-managedinstance-patch-compliance-status-checket	启用此规则可帮助识别和记录Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。该规则检查SAWS ystems Manager 中的 Amazon EC2 实例补丁是否符合贵组织的政策和程序的要求。
SI-7	该组织使用完整性验证工具来检测对 [任务：组织定义的软件、固件和信息] 的未经授权的更改。	cloud-trail-log-file-启用验证	利用AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 传送后是否被修改或删除或未更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这样，要修改、删除或伪造 CloudTrail 日志文件而不被检测到在计算上是不可行的。
SI-11	信息系统：a。生成错误消息，提供纠正措施所需的信息，而不会泄露可能被对手利用的信息；以及 b. 仅向 [分配：组织定义的人员或角色] 显示错误消息。补充指南：各Organizations 仔细考虑错误消息的结构/内容。信息系统能够在多大程度上识别和处理错误情况，受组织政策和业务要求的指导。例如，可能被对手利用的信息包括使用错误输入的密码作为用户名进行错误的登录尝试、可从记录的信息（如果未明确说明的话）的任务/业务信息，以及账号、社会保险号和信用卡号等个人信息。此外，错误消息可能为传输信息提供隐蔽渠道。相关控件：AU-2、AU-3、SC-31。控制增强：无。参考资料：无。	api-gw-execution-logging-启用	API Gateway 日志记录显示了访问 API 的用户的详细视图以及他们访问 API 的方式。这种见解可以让用户活动变得可见。
SI-11	信息系统：a。生成错误消息，提供纠正措施所需的信息，而不会泄露可能被对手利用的信息；以及 b. 仅向 [分配：组织定义的人员或角色] 显示错误消息。补充指南：各Organizations 仔细考虑错误消息的结构/内容。信息系统能够在多大程度上识别和处理错误情况，受组织政策和业务要求的指导。例如，可能被对手利用的信息包括使用错误输入的密码作为用户名进行错误的登录尝试、可从记录的信息（如果未明确说明的话）的任务/业务信息，以及账号、社会保险号和信用卡号等个人信息。此外，错误消息可能为传输信息提供隐蔽渠道。相关控件：AU-2、AU-3、SC-31。控制增强：无。参考资料：无。	cloud-trail-cloud-watch-启用日志	使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含AWS CloudTrail 数据可提供您AWS账户内的 API 调用活动的详细信息。
SI-11	信息系统：a。生成错误消息，提供纠正措施所需的信息，而不会泄露可能被对手利用的信息；以及 b. 仅向 [分配：组织定义的人员或角色] 显示错误消息。补充指南：各Organizations 仔细考虑错误消息的结构/内容。信息系统能够在多大程度上识别和处理错误情况，受组织政策和业务要求的指导。例如，可能被对手利用的信息包括使用错误输入的密码作为用户名进行错误的登录尝试、可从记录的信息（如果未明确说明的话）的任务/业务信息，以及账号、社会保险号和信用卡号等个人信息。此外，错误消息可能为传输信息提供隐蔽渠道。相关控件：AU-2、AU-3、SC-31。控制增强：无。参考资料：无。	codebuild-project-logging-enabled	确保启用AWS CodeBuild 项目日志记录，以便将构建输出日志发送到亚马逊 CloudWatch 或亚马逊Simple Storage Service (Amazon S3)。生成输出日志提供有关您的构建项目的详细信息。
SI-11	信息系统：a。生成错误消息，提供纠正措施所需的信息，而不会泄露可能被对手利用的信息；以及 b. 仅向 [分配：组织定义的人员或角色] 显示错误消息。补充指南：各Organizations 仔细考虑错误消息的结构/内容。信息系统能够在多大程度上识别和处理错误情况，受组织政策和业务要求的指导。例如，可能被对手利用的信息包括使用错误输入的密码作为用户名进行错误的登录尝试、可从记录的信息（如果未明确说明的话）的任务/业务信息，以及账号、社会保险号和信用卡号等个人信息。此外，错误消息可能为传输信息提供隐蔽渠道。相关控件：AU-2、AU-3、SC-31。控制增强：无。参考资料：无。	elasticsearch-logs-to-cloudwatch	确保 Amazon Serv OpenSearch ice 域启用错误日志并将其传输到 Amazon CloudWatch Logs 以进行保留和响应。域错误日志可以帮助进行安全和访问审计，并可以帮助诊断可用性问题。
SI-11	信息系统：a。生成错误消息，提供纠正措施所需的信息，而不会泄露可能被对手利用的信息；以及 b. 仅向 [分配：组织定义的人员或角色] 显示错误消息。补充指南：各Organizations 仔细考虑错误消息的结构/内容。信息系统能够在多大程度上识别和处理错误情况，受组织政策和业务要求的指导。例如，可能被对手利用的信息包括使用错误输入的密码作为用户名进行错误的登录尝试、可从记录的信息（如果未明确说明的话）的任务/业务信息，以及账号、社会保险号和信用卡号等个人信息。此外，错误消息可能为传输信息提供隐蔽渠道。相关控件：AU-2、AU-3、SC-31。控制增强：无。参考资料：无。	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 服务器访问日志提供了一种监控网络中潜在网络安全事件的方法。通过捕获有关Amazon S3 桶提出的各种请求，可记录对Amazon S3 桶提出的各种请求。每条访问日志记录都提供有关单个访问请求的详细信息。详细信息包括请求者、存储桶名称、请求时间、请求操作、请求操作、请求操作、响应状态和请求操作、响应状态和错误代码（如果相关）。
SI-11	信息系统：a。生成错误消息，提供纠正措施所需的信息，而不会泄露可能被对手利用的信息；以及 b. 仅向 [分配：组织定义的人员或角色] 显示错误消息。补充指南：各Organizations 仔细考虑错误消息的结构/内容。信息系统能够在多大程度上识别和处理错误情况，受组织政策和业务要求的指导。例如，可能被对手利用的信息包括使用错误输入的密码作为用户名进行错误的登录尝试、可从记录的信息（如果未明确说明的话）的任务/业务信息，以及账号、社会保险号和信用卡号等个人信息。此外，错误消息可能为传输信息提供隐蔽渠道。相关控件：AU-2、AU-3、SC-31。控制增强：无。参考资料：无。	vpc-flow-logs-enabled	VPC 流日志提供有关在您的 Amazon Virtual Private Cloud (Amazon VPC) 中网络接口传出您的 IP 流量的信息。默认情况下 IP 流的不同组件的值，包括源和协议。
SI-11	信息系统：a。生成错误消息，提供纠正措施所需的信息，而不会泄露可能被对手利用的信息；以及 b. 仅向 [分配：组织定义的人员或角色] 显示错误消息。补充指南：各Organizations 仔细考虑错误消息的结构/内容。信息系统能够在多大程度上识别和处理错误情况，受组织政策和业务要求的指导。例如，可能被对手利用的信息包括使用错误输入的密码作为用户名进行错误的登录尝试、可从记录的信息（如果未明确说明的话）的任务/业务信息，以及账号、社会保险号和信用卡号等个人信息。此外，错误消息可能为传输信息提供隐蔽渠道。相关控件：AU-2、AU-3、SC-31。控制增强：无。参考资料：无。	opensearch-logs-to-cloudwatch	确保 Amazon Serv OpenSearch ice 域启用错误日志并将其传输到 Amazon CloudWatch Logs 以进行保留和响应。 OpenSearch 服务错误日志可以帮助进行安全和访问审计，并可以帮助诊断可用性问题。
SI-12	该组织根据适用的联邦法律、行政命令、指令、政策、法规、标准和运营要求处理和保留信息系统内的信息以及系统输出的信息。	aurora-resources-protected-by-备份计划	为了帮助完成数据备份流程，请确保您的 Amazon Aurora 资源是AWS Backup 计划的一部分。 AWSBackup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案简化了您的备份管理，使您能够满足业务和监管备份合规性要求。
SI-12	该组织根据适用的联邦法律、行政命令、指令、政策、法规、标准和运营要求处理和保留信息系统内的信息以及系统输出的信息。	backup-plan-min-frequency-and-min-retention-check	为帮助完成数据AWS备份流程，请确保将Backup 计划设置为最低频率和保留时间。 AWSBackup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案简化了您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredFrequencyValue （Config 默认值：1）、 requiredRetentionDays （Config 默认值：35）和 requiredFrequencyUnit （Config 默认值：天）参数。实际价值应反映贵组织的需求。
SI-12	该组织根据适用的联邦法律、行政命令、指令、政策、法规、标准和运营要求处理和保留信息系统内的信息以及系统输出的信息。	cw-loggroup-retention-period-检查	确保为您的日志组保留最短持续时间的事件日志数据，以帮助进行故障排除和取证调查。缺乏可用的过去事件日志数据使得重建和识别潜在的恶意事件变得困难。
SI-12	该组织根据适用的联邦法律、行政命令、指令、政策、法规、标准和运营要求处理和保留信息系统内的信息以及系统输出的信息。	dynamodb-resources-protected-by-备份计划	为了帮助完成数据备份流程，请确保您的 Amazon DynamoDB 资源是BacAWS kup 计划的一部分。 AWSBackup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案简化了您的备份管理，使您能够满足业务和监管备份合规性要求。
SI-12	该组织根据适用的联邦法律、行政命令、指令、政策、法规、标准和运营要求处理和保留信息系统内的信息以及系统输出的信息。	ebs-resources-protected-by-备份计划	为了帮助完成数据备份流程，请确保您的亚马逊Elastic Block Store (Amazon EBS) 资源是BacAWS kup 计划的一部分。 AWSBackup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案简化了您的备份管理，使您能够满足业务和监管备份合规性要求。
SI-12	该组织根据适用的联邦法律、行政命令、指令、政策、法规、标准和运营要求处理和保留信息系统内的信息以及系统输出的信息。	ec2-resources-protected-by-backup-plan	要帮助进行数据备份流程，请确保您的Amazon Elastic Compute Cloud (Amazon EC2) 资源是AWS Backup 计划的一部分。 AWSBackup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案简化了您的备份管理，使您能够满足业务和监管备份合规性要求。
SI-12	该组织根据适用的联邦法律、行政命令、指令、政策、法规、标准和运营要求处理和保留信息系统内的信息以及系统输出的信息。	efs-resources-protected-by-备份计划	为了帮助完成数据备份流程，请确保您的Amazon Elastic File System (Amazon EFS) 文件系统是AWS Backup 计划的一部分。 AWSBackup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案简化了您的备份管理，使您能够满足业务和监管备份合规性要求。
SI-12	该组织根据适用的联邦法律、行政命令、指令、政策、法规、标准和运营要求处理和保留信息系统内的信息以及系统输出的信息。	fsx-resources-protected-by-备份计划	为了帮助完成数据备份流程，请确保您的 Amazon FSx 文件系统是AWS Backup 计划的一部分。 AWSBackup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案简化了您的备份管理，使您能够满足业务和监管备份合规性要求。
SI-12	该组织根据适用的联邦法律、行政命令、指令、政策、法规、标准和运营要求处理和保留信息系统内的信息以及系统输出的信息。	rds-resources-protected-by-备份计划	为了帮助完成数据备份流程，请确保您的Amazon Relational Database Service (Amazon RDS) 资源是AWS Backup 计划的一部分。 AWSBackup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案简化了您的备份管理，使您能够满足业务和监管备份合规性要求。
SI-12	该组织根据适用的联邦法律、行政命令、指令、政策、法规、标准和运营要求处理和保留信息系统内的信息以及系统输出的信息。	redshift-backup-enabled	为了帮助完成数据备份流程，请确保您的 Amazon Redshift 集群有自动快照。当某个集群的自动快照处于启用状态时，Redshift 会定期拍摄该集群的快照。默认情况下，Redshift 每 8 小时或每个节点数据更改一次 5 GB，或以先到者为准，以先到者为准。
SI-12	该组织根据适用的联邦法律、行政命令、指令、政策、法规、标准和运营要求处理和保留信息系统内的信息以及系统输出的信息。	db-instance-backup-enabled	Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 自动创建有关数据库实例的存储卷快照，并备份整个数据库实例并备份整个数据库实例。该系统允许您设置特定的保留期以满足您的弹性要求。
SI-12	该组织根据适用的联邦法律、行政命令、指令、政策、法规、标准和运营要求处理和保留信息系统内的信息以及系统输出的信息。	dynamodb-pitr-enabled	启用此规则以检查信息是否已备份。它还通过确保在 Amazon DynamoDB 中启用 point-in-time 恢复来维护备份。恢复操作会保持表在过去 35 天内的连续备份。
SI-12	该组织根据适用的联邦法律、行政命令、指令、政策、法规、标准和运营要求处理和保留信息系统内的信息以及系统输出的信息。	elasticache-redis-cluster-automatic-备份检查	启用自动备份后，Amazon ElastiCache 会每天为集群创建一个备份。备份可以保留您的组织指定的天数。自动备份可以帮助防止数据丢失。如果发生故障，您可以创建一个新集群，该集群会从最新的备份中恢复数据。
SI-12	该组织根据适用的联邦法律、行政命令、指令、政策、法规、标准和运营要求处理和保留信息系统内的信息以及系统输出的信息。	s3-bucket-versioning-enabled	Amazon Simple Storage Service (Amazon S3) 存储桶版本控制有助于将对象的多个变体保留在同一 Amazon S3 存储桶中。使用版本控制功能来保存、检索和还原它们的Amazon S3 版本。版本控制功能可帮助您轻松从用户意外操作和应用程序故障中恢复数据。
SI-16	信息系统实施 [任务：组织定义的安全保障措施]，以保护其内存免受未经授权的代码执行。补充指导：一些对手发起攻击的目的是在不可执行的内存区域或禁止的内存位置执行代码。例如，用于保护内存的安全保护措施包括防止数据执行和地址空间布局随机化。数据执行保护措施可以由硬件强制执行，也可以由软件强制执行，硬件提供更大的机制强度。相关控件：AC-25、SC-3。控制增强：无。参考资料：无。	ecs-task-definition-memory-硬限制	限制您的 Amazon Elastic Container Service (ECS) 容器的最大可用内存可确保您的资源使用量不会在恶意访问您的容器时被滥用。

模板

该模板可在 GitHub：适用于：适用于 FedRAMP（中等）的运营最佳实践。