FedRAMP(Moderate) 操作最佳实践

Conformance Pack 提供了一个通用的合规框架，旨在使您能够使用托管或自定义 AWS Config 规则和 AWS Config 补救措施来创建安全、运营或成本优化治理检查。作为示例模板，合规包并不是为了完全确保遵守特定的治理或合规标准而设计的。您有责任自行评估自己对服务的使用是否符合适用的法律和监管要求。

以下提供了联邦风险和授权管理计划 (FedRAMP) 与 AWS 托管 Config 规则之间的映射示例。每条 Config 规则都适用于特定的 AWS 资源，并与一个或多个 FedRAMP 控件相关。一个 FedRAMP 控制可以与多个配置规则相关联。有关这些映射的更多详细信息和指导，请参阅下表。

该合规包已通过 AWS 安全保障服务有限责任公司（AWS SAS）的验证，该公司由支付卡行业合格安全评估员（QSA）、HITRUST认证的通用安全框架从业人员（CCSFP）和经过认证的合规专业人员组成，可以为各种行业框架提供指导和评估。 AWS SAS 专业人员设计此一致性包是为了让客户能够与 FedRAMP 控制的子集保持一致。

控制 ID	控制描述	AWS Config 规则	指南
AC-2(1)	组织采用自动化机制来支持信息系统账户的管理。	iam-no-inline-policy-检查	确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有控制系统和资产访问权限的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。
AC-2(1)	组织采用自动化机制来支持信息系统账户的管理。	securityhub-enabled	AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。 AWS Security Hub 汇总、整理来自多个服务的安全警报或发现，并对其进行优先排序。 AWS 其中一些服务包括Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS 身份和访问管理 (IAM) Access Analyzer、Firewall Manager 以及 AWS 合作伙伴解决方案。 AWS
AC-2(1)	组织采用自动化机制来支持信息系统账户的管理。	access-keys-rotated	通过确保 IAM 访问密钥按照组织策略的规定轮换，对授权设备、用户和流程的证书进行审计。定期更改访问密钥是一种安全最佳实践。它会缩短访问密钥的有效期，并降低密钥泄露时对业务的影响。此规则需要访问密钥轮换值（配置默认值：90）。实际值应反映贵组织的策略。
AC-2(1)	组织采用自动化机制来支持信息系统账户的管理。	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 列表和机器学习，用于识别 AWS 云环境中意外、未经授权和恶意的活动。
AC-2(1)	组织采用自动化机制来支持信息系统账户的管理。	iam-password-policy	身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过了 NIST SP 800-63 和密码强度 AWS 基础安全最佳实践标准规定的要求。此规则允许您选择为自己的 IAM 设置 RequireUppercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireSymbols （AWS 基础安全最佳实践值：true）、 RequireNumbers （AWS 基础安全最佳实践值：true）、 MinimumPasswordLength （AWS 基础安全最佳实践值：14）、 PasswordReusePrevention （AWS 基础安全最佳实践值：24）和 MaxPasswordAge （AWS 基础安全最佳实践值：90）密码政策。实际值应反映贵组织的策略。
AC-2(1)	组织采用自动化机制来支持信息系统账户的管理。	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“*” 而不是 “资源”：“*”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
AC-2(1)	组织采用自动化机制来支持信息系统账户的管理。	iam-root-access-key-检查	通过检查根用户的 AWS 身份和访问管理 (IAM) 角色是否没有附加访问密钥，可以控制对系统和资产的访问。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户 方法来帮助整合功能最少的原则。
AC-2(1)	组织采用自动化机制来支持信息系统账户的管理。	iam-user-group-membership-检查	AWS 身份与访问管理 (IAM) Access Management 可通过确保用户至少属于一个群组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
AC-2(1)	组织采用自动化机制来支持信息系统账户的管理。	iam-user-mfa-enabled	启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证 (MFA)。MFA 在登录凭证之上添加一层额外的保护。要求用户进行多重身份验证，从而减少账户被盗事件。
AC-2(1)	组织采用自动化机制来支持信息系统账户的管理。	iam-user-no-policies-检查	该规则确保 AWS 身份和访问管理 (IAM) Access Management 策略仅附加到组或角色以控制对系统和资产的访问权限。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。
AC-2(1)	组织采用自动化机制来支持信息系统账户的管理。	iam-user-unused-credentials-检查	AWS 身份与访问管理 (IAM) Access Management 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果发现这些未使用的凭证，则应禁用和/或删除这些凭证，因为这可能违反最低权限原则。此规则要求您为 “ maxCredentialUsage年龄” 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。
AC-2(1)	组织采用自动化机制来支持信息系统账户的管理。	mfa-enabled-for-iam-控制台访问权限	确保所有拥有控制台密码的 AWS 身份和访问管理 (IAM) Access Management 用户都启用 MFA，从而管理对 AWS 云中资源的访问权限。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。
AC-2(1)	组织采用自动化机制来支持信息系统账户的管理。	root-account-hardware-mfa-已启用	通过确保为根用户启用硬件 MFA 来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户进行 MFA，可以减少泄露事件。 AWS 账户
AC-2(1)	组织采用自动化机制来支持信息系统账户的管理。	root-account-mfa-enabled	通过确保为根用户启用 MFA 来管理对 AWS 云中资源的访问权限。根用户是 AWS 账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户进行 MFA，可以减少泄露事件。 AWS 账户
AC-2(3)	信息系统会在 90 天后自动禁用用户处于非活动状态的账户。	iam-password-policy	身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过了 NIST SP 800-63 和密码强度 AWS 基础安全最佳实践标准规定的要求。此规则允许您选择为自己的 IAM 设置 RequireUppercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireSymbols （AWS 基础安全最佳实践值：true）、 RequireNumbers （AWS 基础安全最佳实践值：true）、 MinimumPasswordLength （AWS 基础安全最佳实践值：14）、 PasswordReusePrevention （AWS 基础安全最佳实践值：24）和 MaxPasswordAge （AWS 基础安全最佳实践值：90）密码政策。实际值应反映贵组织的策略。
AC-2(3)	信息系统会在 90 天后自动禁用用户处于非活动状态的账户。	iam-user-unused-credentials-检查	AWS 身份与访问管理 (IAM) Access Management 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果发现这些未使用的凭证，则应禁用和/或删除这些凭证，因为这可能违反最低权限原则。此规则要求您为 “ maxCredentialUsage年龄” 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。
AC-2(4)	信息系统会自动审计账户的创建、修改、启用、禁用和删除操作，并通知 [分配：组织定义的人员或角色]。	codebuild-project-logging-enabled	确保启用 AWS CodeBuild 项目日志记录，以便将您的构建输出日志发送到亚马逊 CloudWatch 或亚马逊简单存储服务 (Amazon S3) Simple Storage Service。构建输出日志提供有关您的构建项目的详细信息。
AC-2(4)	信息系统会自动审计账户的创建、修改、启用、禁用和删除操作，并通知 [分配：组织定义的人员或角色]。	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，则会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
AC-2(4)	信息系统会自动审计账户的创建、修改、启用、禁用和删除操作，并通知 [分配：组织定义的人员或角色]。	rds-logging-enabled	为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service (Amazon RDS) 日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。
AC-2(4)	信息系统会自动审计账户的创建、修改、启用、禁用和删除操作，并通知 [分配：组织定义的人员或角色]。	securityhub-enabled	AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。 AWS Security Hub 汇总、整理来自多个服务的安全警报或发现，并对其进行优先排序。 AWS 其中一些服务包括Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS 身份和访问管理 (IAM) Access Analyzer、Firewall Manager 以及 AWS 合作伙伴解决方案。 AWS
AC-2(4)	信息系统会自动审计账户的创建、修改、启用、禁用和删除操作，并通知 [分配：组织定义的人员或角色]。	cloud-trail-cloud-watch-启用日志	使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您内部的 API 调用活动的详细信息 AWS 账户。
AC-2(4)	信息系统会自动审计账户的创建、修改、启用、禁用和删除操作，并通知 [分配：组织定义的人员或角色]。	cloudtrail-enabled	AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。
AC-2(4)	信息系统会自动审计账户的创建、修改、启用、禁用和删除操作，并通知 [分配：组织定义的人员或角色]。	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 数据事件有助于检测任何异常活动。详细 AWS 账户 信息包括访问 Amazon S3 存储桶的信息、IP 地址和事件时间。
AC-2(4)	信息系统会自动审计账户的创建、修改、启用、禁用和删除操作，并通知 [分配：组织定义的人员或角色]。	cloudwatch-alarm-action-check	当某个指标在指定数量的评估周期内突破阈值时，Amazon 会发出 CloudWatch 警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （配置默认值：True）、 insufficientDataAction必填项（配置默认值：True）、 okActionRequired （配置默认值：False）的值。实际值应反映您的环境的警报操作。
AC-2(4)	信息系统会自动审计账户的创建、修改、启用、禁用和删除操作，并通知 [分配：组织定义的人员或角色]。	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 列表和机器学习，用于识别 AWS 云环境中意外、未经授权和恶意的活动。
AC-2(4)	信息系统会自动审计账户的创建、修改、启用、禁用和删除操作，并通知 [分配：组织定义的人员或角色]。	redshift-cluster-configuration-check	要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。
AC-2(4)	信息系统会自动审计账户的创建、修改、启用、禁用和删除操作，并通知 [分配：组织定义的人员或角色]。	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。
AC-2(7)	组织：(a) 根据基于角色的访问方案建立和管理特权用户，该方案将允许的信息系统访问权限和特权组织到角色中；(b) 监控特权角色分配；(c) 在特权角色分配不再合适时采取 [分配：组织定义的操作]。补充指南：特权角色是指分配给个人的组织定义角色，以允许这些个人执行普通用户无权执行的与安全相关的某些职能。例如，这些特权角色包括密钥管理、账户管理、网络和系统管理、数据库管理以及 Web 管理。	iam-customer-policy-blocked-kms 动作	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对 AWS 所有密钥管理服务密钥的封锁操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。此规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms: decrypt，kms:）。ReEncryptFrom实际值应反映贵组织的策略
AC-2(7)	组织：(a) 根据基于角色的访问方案建立和管理特权用户，该方案将允许的信息系统访问权限和特权组织到角色中；(b) 监控特权角色分配；(c) 在特权角色分配不再合适时采取 [分配：组织定义的操作]。补充指南：特权角色是指分配给个人的组织定义角色，以允许这些个人执行普通用户无权执行的与安全相关的某些职能。例如，这些特权角色包括密钥管理、账户管理、网络和系统管理、数据库管理以及 Web 管理。	iam-group-has-users-检查	AWS Identity and Access Management (IAM) 可以确保 IAM 群组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。
AC-2(7)	组织：(a) 根据基于角色的访问方案建立和管理特权用户，该方案将允许的信息系统访问权限和特权组织到角色中；(b) 监控特权角色分配；(c) 在特权角色分配不再合适时采取 [分配：组织定义的操作]。补充指南：特权角色是指分配给个人的组织定义角色，以允许这些个人执行普通用户无权执行的与安全相关的某些职能。例如，这些特权角色包括密钥管理、账户管理、网络和系统管理、数据库管理以及 Web 管理。	iam-inline-policy-blocked-kms 动作	确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有允许对 AWS 所有密钥管理服务密钥执行阻止操作的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。此规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms: decrypt，kms:）。ReEncryptFrom实际值应反映贵组织的策略。
AC-2(7)	组织：(a) 根据基于角色的访问方案建立和管理特权用户，该方案将允许的信息系统访问权限和特权组织到角色中；(b) 监控特权角色分配；(c) 在特权角色分配不再合适时采取 [分配：组织定义的操作]。补充指南：特权角色是指分配给个人的组织定义角色，以允许这些个人执行普通用户无权执行的与安全相关的某些职能。例如，这些特权角色包括密钥管理、账户管理、网络和系统管理、数据库管理以及 Web 管理。	iam-no-inline-policy-检查	确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有控制系统和资产访问权限的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。
AC-2(7)	组织：(a) 根据基于角色的访问方案建立和管理特权用户，该方案将允许的信息系统访问权限和特权组织到角色中；(b) 监控特权角色分配；(c) 在特权角色分配不再合适时采取 [分配：组织定义的操作]。补充指南：特权角色是指分配给个人的组织定义角色，以允许这些个人执行普通用户无权执行的与安全相关的某些职能。例如，这些特权角色包括密钥管理、账户管理、网络和系统管理、数据库管理以及 Web 管理。	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“*” 而不是 “资源”：“*”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
AC-2(7)	组织：(a) 根据基于角色的访问方案建立和管理特权用户，该方案将允许的信息系统访问权限和特权组织到角色中；(b) 监控特权角色分配；(c) 在特权角色分配不再合适时采取 [分配：组织定义的操作]。补充指南：特权角色是指分配给个人的组织定义角色，以允许这些个人执行普通用户无权执行的与安全相关的某些职能。例如，这些特权角色包括密钥管理、账户管理、网络和系统管理、数据库管理以及 Web 管理。	iam-policy-no-statements-with-full-access	确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
AC-2(12)(a)	组织：a. 监控 [分配：组织定义的非典型用途] 的信息系统账户。	securityhub-enabled	AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。 AWS Security Hub 汇总、整理来自多个服务的安全警报或发现，并对其进行优先排序。 AWS 其中一些服务包括Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS 身份和访问管理 (IAM) Access Analyzer、Firewall Manager 以及 AWS 合作伙伴解决方案。 AWS
AC-2(12)(a)	组织：a. 监控 [分配：组织定义的非典型用途] 的信息系统账户。	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 列表和机器学习，用于识别 AWS 云环境中意外、未经授权和恶意的活动。
AC-2(f)	组织：f. 根据 [分配：组织定义的程序或条件] 创建、启用、修改、禁用和删除信息系统账户。	iam-inline-policy-blocked-kms 动作	确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有允许对 AWS 所有密钥管理服务密钥执行阻止操作的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。此规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms: decrypt，kms:）。ReEncryptFrom实际值应反映贵组织的策略。
AC-2(f)	组织：f. 根据 [分配：组织定义的程序或条件] 创建、启用、修改、禁用和删除信息系统账户。	iam-no-inline-policy-检查	确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有控制系统和资产访问权限的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。
AC-2(f)	组织：f. 根据 [分配：组织定义的程序或条件] 创建、启用、修改、禁用和删除信息系统账户。	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“*” 而不是 “资源”：“*”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
AC-2(f)	组织：f. 根据 [分配：组织定义的程序或条件] 创建、启用、修改、禁用和删除信息系统账户。	iam-policy-no-statements-with-full-access	确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
AC-2(f)	组织：f. 根据 [分配：组织定义的程序或条件] 创建、启用、修改、禁用和删除信息系统账户。	access-keys-rotated	通过确保 IAM 访问密钥按照组织策略的规定轮换，对授权设备、用户和流程的证书进行审计。定期更改访问密钥是一种安全最佳实践。它会缩短访问密钥的有效期，并降低密钥泄露时对业务的影响。此规则需要访问密钥轮换值（配置默认值：90）。实际值应反映贵组织的策略。
AC-2(f)	组织：f. 根据 [分配：组织定义的程序或条件] 创建、启用、修改、禁用和删除信息系统账户。	iam-password-policy	身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过了 NIST SP 800-63 和密码强度 AWS 基础安全最佳实践标准规定的要求。此规则允许您选择为自己的 IAM 设置 RequireUppercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireSymbols （AWS 基础安全最佳实践值：true）、 RequireNumbers （AWS 基础安全最佳实践值：true）、 MinimumPasswordLength （AWS 基础安全最佳实践值：14）、 PasswordReusePrevention （AWS 基础安全最佳实践值：24）和 MaxPasswordAge （AWS 基础安全最佳实践值：90）密码政策。实际值应反映贵组织的策略。
AC-2(f)	组织：f. 根据 [分配：组织定义的程序或条件] 创建、启用、修改、禁用和删除信息系统账户。	iam-root-access-key-检查	通过检查根用户的 AWS 身份和访问管理 (IAM) 角色是否没有附加访问密钥，可以控制对系统和资产的访问。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户 方法来帮助整合功能最少的原则。
AC-2(f)	组织：f. 根据 [分配：组织定义的程序或条件] 创建、启用、修改、禁用和删除信息系统账户。	iam-user-group-membership-检查	AWS 身份与访问管理 (IAM) Access Management 可通过确保用户至少属于一个群组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
AC-2(f)	组织：f. 根据 [分配：组织定义的程序或条件] 创建、启用、修改、禁用和删除信息系统账户。	iam-user-mfa-enabled	启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证 (MFA)。MFA 在登录凭证之上添加一层额外的保护。要求用户进行多重身份验证，从而减少账户被盗事件。
AC-2(f)	组织：f. 根据 [分配：组织定义的程序或条件] 创建、启用、修改、禁用和删除信息系统账户。	iam-user-no-policies-检查	该规则确保 AWS 身份和访问管理 (IAM) Access Management 策略仅附加到组或角色以控制对系统和资产的访问权限。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。
AC-2(f)	组织：f. 根据 [分配：组织定义的程序或条件] 创建、启用、修改、禁用和删除信息系统账户。	iam-user-unused-credentials-检查	AWS 身份与访问管理 (IAM) Access Management 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果发现这些未使用的凭证，则应禁用和/或删除这些凭证，因为这可能违反最低权限原则。此规则要求您为 “ maxCredentialUsage年龄” 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。
AC-2(f)	组织：f. 根据 [分配：组织定义的程序或条件] 创建、启用、修改、禁用和删除信息系统账户。	mfa-enabled-for-iam-控制台访问权限	确保所有拥有控制台密码的 AWS 身份和访问管理 (IAM) Access Management 用户都启用 MFA，从而管理对 AWS 云中资源的访问权限。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。
AC-2(f)	组织：f. 根据 [分配：组织定义的程序或条件] 创建、启用、修改、禁用和删除信息系统账户。	root-account-hardware-mfa-已启用	通过确保为根用户启用硬件 MFA 来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户进行 MFA，可以减少泄露事件。 AWS 账户
AC-2(f)	组织：f. 根据 [分配：组织定义的程序或条件] 创建、启用、修改、禁用和删除信息系统账户。	root-account-mfa-enabled	通过确保为根用户启用 MFA 来管理对 AWS 云中资源的访问权限。根用户是 AWS 账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户进行 MFA，可以减少泄露事件。 AWS 账户
AC-2(g)	组织：g. 监控信息系统账户的使用情况。	api-gw-execution-logging-已启用	API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。
AC-2(g)	组织：g. 监控信息系统账户的使用情况。	codebuild-project-logging-enabled	确保启用 AWS CodeBuild 项目日志记录，以便将您的构建输出日志发送到亚马逊 CloudWatch 或亚马逊简单存储服务 (Amazon S3) Simple Storage Service。构建输出日志提供有关您的构建项目的详细信息。
AC-2(g)	组织：g. 监控信息系统账户的使用情况。	elasticsearch-logs-to-cloudwatch	确保 Amazon S OpenSearch ervice 域已启用错误日志，并将其流式传输到 Amazon CloudWatch Logs 以进行保留和响应。域错误日志可以帮助进行安全和访问审核，还可以帮助诊断可用性问题。
AC-2(g)	组织：g. 监控信息系统账户的使用情况。	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，则会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
AC-2(g)	组织：g. 监控信息系统账户的使用情况。	rds-logging-enabled	为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service (Amazon RDS) 日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。
AC-2(g)	组织：g. 监控信息系统账户的使用情况。	securityhub-enabled	AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。 AWS Security Hub 汇总、整理来自多个服务的安全警报或发现，并对其进行优先排序。 AWS 其中一些服务包括Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS 身份和访问管理 (IAM) Access Analyzer、Firewall Manager 以及 AWS 合作伙伴解决方案。 AWS
AC-2(g)	组织：g. 监控信息系统账户的使用情况。	wafv2-logging-enabled	要帮助在您的环境中进行日志记录和监控，请在区域和全球 Web ACL 上启用 AWS WAF (V2) 日志记录。 AWS WAF 日志记录提供有关您的 Web ACL 所分析的流量的详细信息。这些日志记录了 AWS WAF 从您的 AWS 资源收到请求的时间、有关请求的信息以及每个请求匹配的规则的操作。
AC-2(g)	组织：g. 监控信息系统账户的使用情况。	cloud-trail-cloud-watch-启用日志	使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您内部的 API 调用活动的详细信息 AWS 账户。
AC-2(g)	组织：g. 监控信息系统账户的使用情况。	cloudtrail-enabled	AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。
AC-2(g)	组织：g. 监控信息系统账户的使用情况。	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 数据事件有助于检测任何异常活动。详细 AWS 账户 信息包括访问 Amazon S3 存储桶的信息、IP 地址和事件时间。
AC-2(g)	组织：g. 监控信息系统账户的使用情况。	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 列表和机器学习，用于识别 AWS 云环境中意外、未经授权和恶意的活动。
AC-2(g)	组织：g. 监控信息系统账户的使用情况。	opensearch-logs-to-cloudwatch	确保 Amazon S OpenSearch ervice 域已启用错误日志，并将其流式传输到 Amazon CloudWatch Logs 以进行保留和响应。 OpenSearch 服务错误日志可以帮助进行安全和访问审计，还可以帮助诊断可用性问题。
AC-2(g)	组织：g. 监控信息系统账户的使用情况。	redshift-cluster-configuration-check	要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。
AC-2(g)	组织：g. 监控信息系统账户的使用情况。	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。
AC-2(j)	组织：j. [分配：组织定义的频率]审查账户是否符合账户管理要求。	ec2-instance-profile-attached	EC2 实例配置文件将 IAM 角色传递给 EC2 实例。将实例配置文件附加到您的实例可以帮助实现最低权限和权限管理。
AC-2(j)	组织：j. [分配：组织定义的频率]审查账户是否符合账户管理要求。	ecs-task-definition-user-for-host-mode-check	如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。
AC-2(j)	组织：j. [分配：组织定义的频率]审查账户是否符合账户管理要求。	iam-customer-policy-blocked-kms 动作	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对 AWS 所有密钥管理服务密钥的封锁操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。此规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms: decrypt，kms:）。ReEncryptFrom实际值应反映贵组织的策略
AC-2(j)	组织：j. [分配：组织定义的频率]审查账户是否符合账户管理要求。	iam-inline-policy-blocked-kms 动作	确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有允许对 AWS 所有密钥管理服务密钥执行阻止操作的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。此规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms: decrypt，kms:）。ReEncryptFrom实际值应反映贵组织的策略。
AC-2(j)	组织：j. [分配：组织定义的频率]审查账户是否符合账户管理要求。	iam-no-inline-policy-检查	确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有控制系统和资产访问权限的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。
AC-2(j)	组织：j. [分配：组织定义的频率]审查账户是否符合账户管理要求。	iam-policy-no-statements-with-full-access	确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
AC-2(j)	组织：j. [分配：组织定义的频率]审查账户是否符合账户管理要求。	iam-user-mfa-enabled	启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证 (MFA)。MFA 在登录凭证之上添加一层额外的保护。要求用户进行多重身份验证，从而减少账户被盗事件。
AC-2(j)	组织：j. [分配：组织定义的频率]审查账户是否符合账户管理要求。	iam-user-unused-credentials-检查	AWS 身份与访问管理 (IAM) Access Management 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果发现这些未使用的凭证，则应禁用和/或删除这些凭证，因为这可能违反最低权限原则。此规则要求您为 “ maxCredentialUsage年龄” 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。
AC-2(j)	组织：j. [分配：组织定义的频率]审查账户是否符合账户管理要求。	mfa-enabled-for-iam-控制台访问权限	确保所有拥有控制台密码的 AWS 身份和访问管理 (IAM) Access Management 用户都启用 MFA，从而管理对 AWS 云中资源的访问权限。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。
AC-2(j)	组织：j. [分配：组织定义的频率]审查账户是否符合账户管理要求。	access-keys-rotated	通过确保 IAM 访问密钥按照组织策略的规定轮换，对授权设备、用户和流程的证书进行审计。定期更改访问密钥是一种安全最佳实践。它会缩短访问密钥的有效期，并降低密钥泄露时对业务的影响。此规则需要访问密钥轮换值（配置默认值：90）。实际值应反映贵组织的策略。
AC-2(j)	组织：j. [分配：组织定义的频率]审查账户是否符合账户管理要求。	iam-group-has-users-检查	AWS Identity and Access Management (IAM) 可以确保 IAM 群组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。
AC-2(j)	组织：j. [分配：组织定义的频率]审查账户是否符合账户管理要求。	iam-password-policy	身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过了 NIST SP 800-63 和密码强度 AWS 基础安全最佳实践标准规定的要求。此规则允许您选择为自己的 IAM 设置 RequireUppercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireSymbols （AWS 基础安全最佳实践值：true）、 RequireNumbers （AWS 基础安全最佳实践值：true）、 MinimumPasswordLength （AWS 基础安全最佳实践值：14）、 PasswordReusePrevention （AWS 基础安全最佳实践值：24）和 MaxPasswordAge （AWS 基础安全最佳实践值：90）密码政策。实际值应反映贵组织的策略。
AC-2(j)	组织：j. [分配：组织定义的频率]审查账户是否符合账户管理要求。	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“*” 而不是 “资源”：“*”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
AC-2(j)	组织：j. [分配：组织定义的频率]审查账户是否符合账户管理要求。	iam-root-access-key-检查	通过检查根用户的 AWS 身份和访问管理 (IAM) 角色是否没有附加访问密钥，可以控制对系统和资产的访问。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户 方法来帮助整合功能最少的原则。
AC-2(j)	组织：j. [分配：组织定义的频率]审查账户是否符合账户管理要求。	iam-user-group-membership-检查	AWS 身份与访问管理 (IAM) Access Management 可通过确保用户至少属于一个群组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
AC-2(j)	组织：j. [分配：组织定义的频率]审查账户是否符合账户管理要求。	iam-user-no-policies-检查	该规则确保 AWS 身份和访问管理 (IAM) Access Management 策略仅附加到组或角色以控制对系统和资产的访问权限。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。
AC-2(j)	组织：j. [分配：组织定义的频率]审查账户是否符合账户管理要求。	root-account-mfa-enabled	通过确保为根用户启用 MFA 来管理对 AWS 云中资源的访问权限。根用户是 AWS 账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户进行 MFA，可以减少泄露事件。 AWS 账户
AC-3	信息系统根据适用的访问控制策略，对信息和系统资源的逻辑访问强制实施经批准的授权。	autoscaling-launch-config-public-ip 已禁用	如果您使用公有 IP 地址配置网络接口，则可以从互联网访问这些网络接口的相关资源。EC2 资源不应可公开访问，因为这可能会允许意外地访问您的应用程序或服务器。
AC-3	信息系统根据适用的访问控制策略，对信息和系统资源的逻辑访问强制实施经批准的授权。	ec2-imdsv2-check	确保启用实例元数据服务版本 2 (IMDSv2) 方法，以帮助保护对 Amazon Elastic Compute Cloud (Amazon EC2) 实例元数据的访问和控制。IMDSv2 方法使用基于会话的控制。使用 IMDSv2，可以实施控制来限制对实例元数据的更改。
AC-3	信息系统根据适用的访问控制策略，对信息和系统资源的逻辑访问强制实施经批准的授权。	ec2-instance-profile-attached	EC2 实例配置文件将 IAM 角色传递给 EC2 实例。将实例配置文件附加到您的实例可以帮助实现最低权限和权限管理。
AC-3	信息系统根据适用的访问控制策略，对信息和系统资源的逻辑访问强制实施经批准的授权。	ecs-task-definition-user-for-host-mode-check	如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。
AC-3	信息系统根据适用的访问控制策略，对信息和系统资源的逻辑访问强制实施经批准的授权。	iam-no-inline-policy-检查	确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有控制系统和资产访问权限的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。
AC-3	信息系统根据适用的访问控制策略，对信息和系统资源的逻辑访问强制实施经批准的授权。	iam-policy-no-statements-with-full-access	确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
AC-3	信息系统根据适用的访问控制策略，对信息和系统资源的逻辑访问强制实施经批准的授权。	ssm-document-not-public	确保 S AWS ystems Manager (SSM) 文档不公开，因为这可能会允许意外访问您的 SSM 文档。公开 SSM 文档可能会公开有关您的账户、资源和内部流程的信息。
AC-3	信息系统根据适用的访问控制策略，对信息和系统资源的逻辑访问强制实施经批准的授权。	dms-replication-not-public	通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问权限。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。
AC-3	信息系统根据适用的访问控制策略，对信息和系统资源的逻辑访问强制实施经批准的授权。	ebs-snapshot-public-restorable-检查	通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问权限。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。
AC-3	信息系统根据适用的访问控制策略，对信息和系统资源的逻辑访问强制实施经批准的授权。	ec2-instance-no-public-ip	通过确保无法公开访问亚马逊弹性计算云 (Amazon EC2) 实例来管理对云的访问。 AWS Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。
AC-3	信息系统根据适用的访问控制策略，对信息和系统资源的逻辑访问强制实施经批准的授权。	elasticsearch-in-vpc-only	通过确保亚马逊 OpenSearch 服务（OpenSearch 服务）域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。Amazon VPC 中的 OpenSearch 服务域可实现 OpenSearch 服务与 Amazon VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。
AC-3	信息系统根据适用的访问控制策略，对信息和系统资源的逻辑访问强制实施经批准的授权。	emr-master-no-public-ip	通过确保无法公开访问 Amazon EMR 集群主节点来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。
AC-3	信息系统根据适用的访问控制策略，对信息和系统资源的逻辑访问强制实施经批准的授权。	iam-group-has-users-检查	AWS Identity and Access Management (IAM) 可以确保 IAM 群组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。
AC-3	信息系统根据适用的访问控制策略，对信息和系统资源的逻辑访问强制实施经批准的授权。	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“*” 而不是 “资源”：“*”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
AC-3	信息系统根据适用的访问控制策略，对信息和系统资源的逻辑访问强制实施经批准的授权。	iam-root-access-key-检查	通过检查根用户的 AWS 身份和访问管理 (IAM) 角色是否没有附加访问密钥，可以控制对系统和资产的访问。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户 方法来帮助整合功能最少的原则。
AC-3	信息系统根据适用的访问控制策略，对信息和系统资源的逻辑访问强制实施经批准的授权。	iam-user-group-membership-检查	AWS 身份与访问管理 (IAM) Access Management 可通过确保用户至少属于一个群组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
AC-3	信息系统根据适用的访问控制策略，对信息和系统资源的逻辑访问强制实施经批准的授权。	iam-user-no-policies-检查	该规则确保 AWS 身份和访问管理 (IAM) Access Management 策略仅附加到组或角色以控制对系统和资产的访问权限。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。
AC-3	信息系统根据适用的访问控制策略，对信息和系统资源的逻辑访问强制实施经批准的授权。	iam-user-unused-credentials-检查	AWS 身份与访问管理 (IAM) Access Management 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果发现这些未使用的凭证，则应禁用和/或删除这些凭证，因为这可能违反最低权限原则。此规则要求您为 “ maxCredentialUsage年龄” 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。
AC-3	信息系统根据适用的访问控制策略，对信息和系统资源的逻辑访问强制实施经批准的授权。	lambda-function-public-access-禁止	通过确保无法公开访问 AWS Lambda 函数来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。
AC-3	信息系统根据适用的访问控制策略，对信息和系统资源的逻辑访问强制实施经批准的授权。	lambda-inside-vpc	在亚马逊虚拟私有云（亚马逊 VPC）中部署 AWS Lambda 函数，以便在亚马逊 VPC 内的函数与其他服务之间进行安全通信。使用此配置时，不需要互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。为了正确管理访问权限，应 AWS 将 Lambda 函数分配给 VPC。
AC-3	信息系统根据适用的访问控制策略，对信息和系统资源的逻辑访问强制实施经批准的授权。	rds-instance-public-access-检查	通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
AC-3	信息系统根据适用的访问控制策略，对信息和系统资源的逻辑访问强制实施经批准的授权。	rds-snapshots-public-prohibited	通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
AC-3	信息系统根据适用的访问控制策略，对信息和系统资源的逻辑访问强制实施经批准的授权。	redshift-cluster-public-access-检查	通过确保 Amazon Redshift 集群不公开，管理对 AWS 云端资源的访问权限。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
AC-3	信息系统根据适用的访问控制策略，对信息和系统资源的逻辑访问强制实施经批准的授权。	s3--account-level-public-access 区块-周期性	确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置（配置默认值：True）、 ignorePublicAcls （配置默认值：True）、 blockPublicPolicy （配置默认值：True）和参数 blockPublicAcls （配置默认值：True）和 restrictPublicBuckets 参数（配置默认值：True）。实际值应反映贵组织的策略。
AC-3	信息系统根据适用的访问控制策略，对信息和系统资源的逻辑访问强制实施经批准的授权。	s3-bucket-level-public-access-禁止使用	确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。
AC-3	信息系统根据适用的访问控制策略，对信息和系统资源的逻辑访问强制实施经批准的授权。	s3-bucket-public-read-prohibited	仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。
AC-3	信息系统根据适用的访问控制策略，对信息和系统资源的逻辑访问强制实施经批准的授权。	s3-bucket-public-write-prohibited	仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。
AC-3	信息系统根据适用的访问控制策略，对信息和系统资源的逻辑访问强制实施经批准的授权。	sagemaker-notebook-no-direct-互联网接入	通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对 AWS 云端资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。
AC-3	信息系统根据适用的访问控制策略，对信息和系统资源的逻辑访问强制实施经批准的授权。	subnet-auto-assign-public-ip 已禁用	通过确保亚马逊虚拟私有 AWS 云 (VPC) Virtual Private Cloud 子网不会自动分配公有 IP 地址来管理对云的访问。Amazon Elastic Compute Cloud (EC2) 实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。
AC-4	信息系统根据 [分配：组织定义的信息流控制策略] 强制执行经批准的授权，以控制系统内部和互连系统之间的信息流。	ec2-instances-in-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 内部署 Amazon Elastic Compute Cloud (Amazon EC2) 实例，以实现实例与 Amazon VPC 内其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。
AC-4	信息系统根据 [分配：组织定义的信息流控制策略] 强制执行经批准的授权，以控制系统内部和互连系统之间的信息流。	acm-certificate-expiration-check	通过确保 X509 证书由 ACM 颁发，确保网络完整性得到保护。 AWS 这些证书必须有效且未过期。此规则需要一个值 daysToExpiration （AWS 基础安全最佳实践值：90）。实际值应反映贵组织的策略。
AC-4	信息系统根据 [分配：组织定义的信息流控制策略] 强制执行经批准的授权，以控制系统内部和互连系统之间的信息流。	dms-replication-not-public	通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问权限。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。
AC-4	信息系统根据 [分配：组织定义的信息流控制策略] 强制执行经批准的授权，以控制系统内部和互连系统之间的信息流。	ebs-snapshot-public-restorable-检查	通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问权限。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。
AC-4	信息系统根据 [分配：组织定义的信息流控制策略] 强制执行经批准的授权，以控制系统内部和互连系统之间的信息流。	ec2-instance-no-public-ip	通过确保无法公开访问亚马逊弹性计算云 (Amazon EC2) 实例来管理对云的访问。 AWS Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。
AC-4	信息系统根据 [分配：组织定义的信息流控制策略] 强制执行经批准的授权，以控制系统内部和互连系统之间的信息流。	elasticsearch-in-vpc-only	通过确保亚马逊 OpenSearch 服务（OpenSearch 服务）域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。Amazon VPC 中的 OpenSearch 服务域可实现 OpenSearch 服务与 Amazon VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。
AC-4	信息系统根据 [分配：组织定义的信息流控制策略] 强制执行经批准的授权，以控制系统内部和互连系统之间的信息流。	emr-master-no-public-ip	通过确保无法公开访问 Amazon EMR 集群主节点来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。
AC-4	信息系统根据 [分配：组织定义的信息流控制策略] 强制执行经批准的授权，以控制系统内部和互连系统之间的信息流。	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。
AC-4	信息系统根据 [分配：组织定义的信息流控制策略] 强制执行经批准的授权，以控制系统内部和互连系统之间的信息流。	lambda-function-public-access-禁止	通过确保无法公开访问 AWS Lambda 函数来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。
AC-4	信息系统根据 [分配：组织定义的信息流控制策略] 强制执行经批准的授权，以控制系统内部和互连系统之间的信息流。	lambda-inside-vpc	在亚马逊虚拟私有云（亚马逊 VPC）中部署 AWS Lambda 函数，以便在亚马逊 VPC 内的函数与其他服务之间进行安全通信。使用此配置时，不需要互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。为了正确管理访问权限，应 AWS 将 Lambda 函数分配给 VPC。
AC-4	信息系统根据 [分配：组织定义的信息流控制策略] 强制执行经批准的授权，以控制系统内部和互连系统之间的信息流。	rds-instance-public-access-检查	通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
AC-4	信息系统根据 [分配：组织定义的信息流控制策略] 强制执行经批准的授权，以控制系统内部和互连系统之间的信息流。	rds-snapshots-public-prohibited	通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
AC-4	信息系统根据 [分配：组织定义的信息流控制策略] 强制执行经批准的授权，以控制系统内部和互连系统之间的信息流。	redshift-cluster-public-access-检查	通过确保 Amazon Redshift 集群不公开，管理对 AWS 云端资源的访问权限。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
AC-4	信息系统根据 [分配：组织定义的信息流控制策略] 强制执行经批准的授权，以控制系统内部和互连系统之间的信息流。	restricted-common-ports	通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。
AC-4	信息系统根据 [分配：组织定义的信息流控制策略] 强制执行经批准的授权，以控制系统内部和互连系统之间的信息流。	s3-bucket-public-read-prohibited	仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。
AC-4	信息系统根据 [分配：组织定义的信息流控制策略] 强制执行经批准的授权，以控制系统内部和互连系统之间的信息流。	s3-bucket-public-write-prohibited	仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。
AC-4	信息系统根据 [分配：组织定义的信息流控制策略] 强制执行经批准的授权，以控制系统内部和互连系统之间的信息流。	sagemaker-notebook-no-direct-互联网接入	通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对 AWS 云端资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。
AC-4	信息系统根据 [分配：组织定义的信息流控制策略] 强制执行经批准的授权，以控制系统内部和互连系统之间的信息流。	vpc-default-security-group-已关闭	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。
AC-4	信息系统根据 [分配：组织定义的信息流控制策略] 强制执行经批准的授权，以控制系统内部和互连系统之间的信息流。	vpc-sg-open-only-to-authorized-ports	通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。
AC-5c	组织：c. 定义信息系统访问授权，以支持职责分离。	ecs-task-definition-user-for-host-mode-check	如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。
AC-5c	组织：c. 定义信息系统访问授权，以支持职责分离。	iam-customer-policy-blocked-kms 动作	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对 AWS 所有密钥管理服务密钥的封锁操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。此规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms: decrypt，kms:）。ReEncryptFrom实际值应反映贵组织的策略
AC-5c	组织：c. 定义信息系统访问授权，以支持职责分离。	iam-inline-policy-blocked-kms 动作	确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有允许对 AWS 所有密钥管理服务密钥执行阻止操作的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。此规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms: decrypt，kms:）。ReEncryptFrom实际值应反映贵组织的策略。
AC-5c	组织：c. 定义信息系统访问授权，以支持职责分离。	iam-no-inline-policy-检查	确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有控制系统和资产访问权限的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。
AC-5c	组织：c. 定义信息系统访问授权，以支持职责分离。	iam-password-policy	身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过了 NIST SP 800-63 和密码强度 AWS 基础安全最佳实践标准规定的要求。此规则允许您选择为自己的 IAM 设置 RequireUppercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireSymbols （AWS 基础安全最佳实践值：true）、 RequireNumbers （AWS 基础安全最佳实践值：true）、 MinimumPasswordLength （AWS 基础安全最佳实践值：14）、 PasswordReusePrevention （AWS 基础安全最佳实践值：24）和 MaxPasswordAge （AWS 基础安全最佳实践值：90）密码政策。实际值应反映贵组织的策略。
AC-5c	组织：c. 定义信息系统访问授权，以支持职责分离。	iam-policy-no-statements-with-full-access	确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
AC-5c	组织：c. 定义信息系统访问授权，以支持职责分离。	iam-root-access-key-检查	通过检查根用户的 AWS 身份和访问管理 (IAM) 角色是否没有附加访问密钥，可以控制对系统和资产的访问。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户 方法来帮助整合功能最少的原则。
AC-5c	组织：c. 定义信息系统访问授权，以支持职责分离。	iam-user-group-membership-检查	AWS 身份与访问管理 (IAM) Access Management 可通过确保用户至少属于一个群组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
AC-5c	组织：c. 定义信息系统访问授权，以支持职责分离。	iam-user-unused-credentials-检查	AWS 身份与访问管理 (IAM) Access Management 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果发现这些未使用的凭证，则应禁用和/或删除这些凭证，因为这可能违反最低权限原则。此规则要求您为 “ maxCredentialUsage年龄” 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。
AC-5c	组织：c. 定义信息系统访问授权，以支持职责分离。	iam-group-has-users-检查	AWS Identity and Access Management (IAM) 可以确保 IAM 群组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。
AC-5c	组织：c. 定义信息系统访问授权，以支持职责分离。	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“*” 而不是 “资源”：“*”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
AC-5c	组织：c. 定义信息系统访问授权，以支持职责分离。	iam-user-no-policies-检查	该规则确保 AWS 身份和访问管理 (IAM) Access Management 策略仅附加到组或角色以控制对系统和资产的访问权限。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。
AC-6(10)	信息系统可防止非特权用户执行特权功能，包括禁用、规避或更改已实施的安全保障措施/对策。	iam-policy-no-statements-with-full-access	确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
AC-6(10)	信息系统可防止非特权用户执行特权功能，包括禁用、规避或更改已实施的安全保障措施/对策。	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“*” 而不是 “资源”：“*”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
AC-6(10)	信息系统可防止非特权用户执行特权功能，包括禁用、规避或更改已实施的安全保障措施/对策。	iam-root-access-key-检查	通过检查根用户的 AWS 身份和访问管理 (IAM) 角色是否没有附加访问密钥，可以控制对系统和资产的访问。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户 方法来帮助整合功能最少的原则。
AC-6	组织采用最低权限原则，只允许用户（或代表用户行事的进程）进行授权访问，这是根据组织使命和业务职能完成分配的任务所必需的。	ec2-imdsv2-check	确保启用实例元数据服务版本 2 (IMDSv2) 方法，以帮助保护对 Amazon Elastic Compute Cloud (Amazon EC2) 实例元数据的访问和控制。IMDSv2 方法使用基于会话的控制。使用 IMDSv2，可以实施控制来限制对实例元数据的更改。
AC-6	组织采用最低权限原则，只允许用户（或代表用户行事的进程）进行授权访问，这是根据组织使命和业务职能完成分配的任务所必需的。	iam-no-inline-policy-检查	确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有控制系统和资产访问权限的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。
AC-6	组织采用最低权限原则，只允许用户（或代表用户行事的进程）进行授权访问，这是根据组织使命和业务职能完成分配的任务所必需的。	ec2-instances-in-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 内部署 Amazon Elastic Compute Cloud (Amazon EC2) 实例，以实现实例与 Amazon VPC 内其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。
AC-6	组织采用最低权限原则，只允许用户（或代表用户行事的进程）进行授权访问，这是根据组织使命和业务职能完成分配的任务所必需的。	codebuild-project-envvar-awscred-检查	确保 Codebuild 项目环境中不存在身份验证凭据 AWS_ACCESS_KEY_ID 和 AWS_SECRET_ACCESS_KEY。 AWS 不要以明文形式存储这些变量。以明文形式存储这些变量会导致意外的数据泄露和未经授权的访问。
AC-6	组织采用最低权限原则，只允许用户（或代表用户行事的进程）进行授权访问，这是根据组织使命和业务职能完成分配的任务所必需的。	dms-replication-not-public	通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问权限。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。
AC-6	组织采用最低权限原则，只允许用户（或代表用户行事的进程）进行授权访问，这是根据组织使命和业务职能完成分配的任务所必需的。	ebs-snapshot-public-restorable-检查	通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问权限。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。
AC-6	组织采用最低权限原则，只允许用户（或代表用户行事的进程）进行授权访问，这是根据组织使命和业务职能完成分配的任务所必需的。	ec2-instance-no-public-ip	通过确保无法公开访问亚马逊弹性计算云 (Amazon EC2) 实例来管理对云的访问。 AWS Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。
AC-6	组织采用最低权限原则，只允许用户（或代表用户行事的进程）进行授权访问，这是根据组织使命和业务职能完成分配的任务所必需的。	elasticsearch-in-vpc-only	通过确保亚马逊 OpenSearch 服务（OpenSearch 服务）域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。Amazon VPC 中的 OpenSearch 服务域可实现 OpenSearch 服务与 Amazon VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。
AC-6	组织采用最低权限原则，只允许用户（或代表用户行事的进程）进行授权访问，这是根据组织使命和业务职能完成分配的任务所必需的。	emr-master-no-public-ip	通过确保无法公开访问 Amazon EMR 集群主节点来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。
AC-6	组织采用最低权限原则，只允许用户（或代表用户行事的进程）进行授权访问，这是根据组织使命和业务职能完成分配的任务所必需的。	iam-group-has-users-检查	AWS Identity and Access Management (IAM) 可以确保 IAM 群组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。
AC-6	组织采用最低权限原则，只允许用户（或代表用户行事的进程）进行授权访问，这是根据组织使命和业务职能完成分配的任务所必需的。	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“*” 而不是 “资源”：“*”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
AC-6	组织采用最低权限原则，只允许用户（或代表用户行事的进程）进行授权访问，这是根据组织使命和业务职能完成分配的任务所必需的。	iam-root-access-key-检查	通过检查根用户的 AWS 身份和访问管理 (IAM) 角色是否没有附加访问密钥，可以控制对系统和资产的访问。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户 方法来帮助整合功能最少的原则。
AC-6	组织采用最低权限原则，只允许用户（或代表用户行事的进程）进行授权访问，这是根据组织使命和业务职能完成分配的任务所必需的。	iam-user-group-membership-检查	AWS 身份与访问管理 (IAM) Access Management 可通过确保用户至少属于一个群组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
AC-6	组织采用最低权限原则，只允许用户（或代表用户行事的进程）进行授权访问，这是根据组织使命和业务职能完成分配的任务所必需的。	iam-user-no-policies-检查	该规则确保 AWS 身份和访问管理 (IAM) Access Management 策略仅附加到组或角色以控制对系统和资产的访问权限。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。
AC-6	组织采用最低权限原则，只允许用户（或代表用户行事的进程）进行授权访问，这是根据组织使命和业务职能完成分配的任务所必需的。	iam-user-unused-credentials-检查	AWS 身份与访问管理 (IAM) Access Management 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果发现这些未使用的凭证，则应禁用和/或删除这些凭证，因为这可能违反最低权限原则。此规则要求您为 “ maxCredentialUsage年龄” 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。
AC-6	组织采用最低权限原则，只允许用户（或代表用户行事的进程）进行授权访问，这是根据组织使命和业务职能完成分配的任务所必需的。	lambda-function-public-access-禁止	通过确保无法公开访问 AWS Lambda 函数来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。
AC-6	组织采用最低权限原则，只允许用户（或代表用户行事的进程）进行授权访问，这是根据组织使命和业务职能完成分配的任务所必需的。	lambda-inside-vpc	在亚马逊虚拟私有云（亚马逊 VPC）中部署 AWS Lambda 函数，以便在亚马逊 VPC 内的函数与其他服务之间进行安全通信。使用此配置时，不需要互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。为了正确管理访问权限，应 AWS 将 Lambda 函数分配给 VPC。
AC-6	组织采用最低权限原则，只允许用户（或代表用户行事的进程）进行授权访问，这是根据组织使命和业务职能完成分配的任务所必需的。	rds-instance-public-access-检查	通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
AC-6	组织采用最低权限原则，只允许用户（或代表用户行事的进程）进行授权访问，这是根据组织使命和业务职能完成分配的任务所必需的。	rds-snapshots-public-prohibited	通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
AC-6	组织采用最低权限原则，只允许用户（或代表用户行事的进程）进行授权访问，这是根据组织使命和业务职能完成分配的任务所必需的。	redshift-cluster-public-access-检查	通过确保 Amazon Redshift 集群不公开，管理对 AWS 云端资源的访问权限。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
AC-6	组织采用最低权限原则，只允许用户（或代表用户行事的进程）进行授权访问，这是根据组织使命和业务职能完成分配的任务所必需的。	s3--account-level-public-access 区块-周期性	确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置（配置默认值：True）、 ignorePublicAcls （配置默认值：True）、 blockPublicPolicy （配置默认值：True）和参数 blockPublicAcls （配置默认值：True）和 restrictPublicBuckets 参数（配置默认值：True）。实际值应反映贵组织的策略。
AC-6	组织采用最低权限原则，只允许用户（或代表用户行事的进程）进行授权访问，这是根据组织使命和业务职能完成分配的任务所必需的。	s3-bucket-level-public-access-禁止使用	确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。
AC-6	组织采用最低权限原则，只允许用户（或代表用户行事的进程）进行授权访问，这是根据组织使命和业务职能完成分配的任务所必需的。	s3-bucket-public-read-prohibited	仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。
AC-6	组织采用最低权限原则，只允许用户（或代表用户行事的进程）进行授权访问，这是根据组织使命和业务职能完成分配的任务所必需的。	s3-bucket-public-write-prohibited	仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。
AC-6	组织采用最低权限原则，只允许用户（或代表用户行事的进程）进行授权访问，这是根据组织使命和业务职能完成分配的任务所必需的。	sagemaker-notebook-no-direct-互联网接入	通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对 AWS 云端资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。
AC-6	组织采用最低权限原则，只允许用户（或代表用户行事的进程）进行授权访问，这是根据组织使命和业务职能完成分配的任务所必需的。	subnet-auto-assign-public-ip 已禁用	通过确保亚马逊虚拟私有 AWS 云 (VPC) Virtual Private Cloud 子网不会自动分配公有 IP 地址来管理对云的访问。Amazon Elastic Compute Cloud (EC2) 实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。
AC-17(1)	信息系统监视和控制远程访问方法。	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。
AC-17(1)	信息系统监视和控制远程访问方法。	ec2-instances-in-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 内部署 Amazon Elastic Compute Cloud (Amazon EC2) 实例，以实现实例与 Amazon VPC 内其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。
AC-17(1)	信息系统监视和控制远程访问方法。	securityhub-enabled	AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。 AWS Security Hub 汇总、整理来自多个服务的安全警报或发现，并对其进行优先排序。 AWS 其中一些服务包括Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS 身份和访问管理 (IAM) Access Analyzer、Firewall Manager 以及 AWS 合作伙伴解决方案。 AWS
AC-17(1)	信息系统监视和控制远程访问方法。	dms-replication-not-public	通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问权限。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。
AC-17(1)	信息系统监视和控制远程访问方法。	ebs-snapshot-public-restorable-检查	通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问权限。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。
AC-17(1)	信息系统监视和控制远程访问方法。	ec2-instance-no-public-ip	通过确保无法公开访问亚马逊弹性计算云 (Amazon EC2) 实例来管理对云的访问。 AWS Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。
AC-17(1)	信息系统监视和控制远程访问方法。	elasticsearch-in-vpc-only	通过确保亚马逊 OpenSearch 服务（OpenSearch 服务）域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。Amazon VPC 中的 OpenSearch 服务域可实现 OpenSearch 服务与 Amazon VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。
AC-17(1)	信息系统监视和控制远程访问方法。	emr-master-no-public-ip	通过确保无法公开访问 Amazon EMR 集群主节点来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。
AC-17(1)	信息系统监视和控制远程访问方法。	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 列表和机器学习，用于识别 AWS 云环境中意外、未经授权和恶意的活动。
AC-17(1)	信息系统监视和控制远程访问方法。	lambda-function-public-access-禁止	通过确保无法公开访问 AWS Lambda 函数来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。
AC-17(1)	信息系统监视和控制远程访问方法。	lambda-inside-vpc	在亚马逊虚拟私有云（亚马逊 VPC）中部署 AWS Lambda 函数，以便在亚马逊 VPC 内的函数与其他服务之间进行安全通信。使用此配置时，不需要互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。为了正确管理访问权限，应 AWS 将 Lambda 函数分配给 VPC。
AC-17(1)	信息系统监视和控制远程访问方法。	rds-instance-public-access-检查	通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
AC-17(1)	信息系统监视和控制远程访问方法。	rds-snapshots-public-prohibited	通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
AC-17(1)	信息系统监视和控制远程访问方法。	redshift-cluster-public-access-检查	通过确保 Amazon Redshift 集群不公开，管理对 AWS 云端资源的访问权限。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
AC-17(1)	信息系统监视和控制远程访问方法。	restricted-common-ports	通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。
AC-17(1)	信息系统监视和控制远程访问方法。	s3--account-level-public-access 区块-周期性	确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置（配置默认值：True）、 ignorePublicAcls （配置默认值：True）、 blockPublicPolicy （配置默认值：True）和参数 blockPublicAcls （配置默认值：True）和 restrictPublicBuckets 参数（配置默认值：True）。实际值应反映贵组织的策略。
AC-17(1)	信息系统监视和控制远程访问方法。	s3-bucket-level-public-access-禁止使用	确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。
AC-17(1)	信息系统监视和控制远程访问方法。	s3-bucket-public-read-prohibited	仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。
AC-17(1)	信息系统监视和控制远程访问方法。	s3-bucket-public-write-prohibited	仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。
AC-17(1)	信息系统监视和控制远程访问方法。	sagemaker-notebook-no-direct-互联网接入	通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对 AWS 云端资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。
AC-17(1)	信息系统监视和控制远程访问方法。	subnet-auto-assign-public-ip 已禁用	通过确保亚马逊虚拟私有 AWS 云 (VPC) Virtual Private Cloud 子网不会自动分配公有 IP 地址来管理对云的访问。Amazon Elastic Compute Cloud (EC2) 实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。
AC-17(1)	信息系统监视和控制远程访问方法。	vpc-default-security-group-已关闭	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。
AC-17(1)	信息系统监视和控制远程访问方法。	vpc-sg-open-only-to-authorized-ports	通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。
AC-17(2)	信息系统采用加密机制来保护远程访问会话的机密性和完整性。	elb-tls-https-listeners-只有	确保您的弹性负载均衡器 (ELB) 配置了 SSL 或 HTTPS 侦听器。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
AC-17(2)	信息系统采用加密机制来保护远程访问会话的机密性和完整性。	acm-certificate-expiration-check	通过确保 X509 证书由 ACM 颁发，确保网络完整性得到保护。 AWS 这些证书必须有效且未过期。此规则需要一个值 daysToExpiration （AWS 基础安全最佳实践值：90）。实际值应反映贵组织的策略。
AC-17(2)	信息系统采用加密机制来保护远程访问会话的机密性和完整性。	alb-http-to-https-重定向检查	为帮助保护传输中的数据，请确保应用负载均衡器自动将未加密的 HTTP 请求重定向到 HTTPS。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
AC-17(2)	信息系统采用加密机制来保护远程访问会话的机密性和完整性。	redshift-require-tls-ssl	确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
AC-17(2)	信息系统采用加密机制来保护远程访问会话的机密性和完整性。	s3-bucket-ssl-requests-only	为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶需要请求使用安全套接字层 (SSL)。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
AC-21(b)	组织：b. 采用 [分配：组织定义的自动化机制或手动流程] 来帮助用户做出信息共享/协作决策。	autoscaling-launch-config-public-ip 已禁用	如果您使用公有 IP 地址配置网络接口，则可以从互联网访问这些网络接口的相关资源。EC2 资源不应可公开访问，因为这可能会允许意外地访问您的应用程序或服务器。
AC-21(b)	组织：b. 采用 [分配：组织定义的自动化机制或手动流程] 来帮助用户做出信息共享/协作决策。	no-unrestricted-route-to-igw	确保 Amazon EC2 路由表中没有指向互联网网关的无限制路由。移除或限制 Amazon VPC 内工作负载的互联网访问可以减少环境中的意外访问。
AC-21(b)	组织：b. 采用 [分配：组织定义的自动化机制或手动流程] 来帮助用户做出信息共享/协作决策。	restricted-common-ports	通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。
AC-21(b)	组织：b. 采用 [分配：组织定义的自动化机制或手动流程] 来帮助用户做出信息共享/协作决策。	s3--account-level-public-access 区块-周期性	确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置（配置默认值：True）、 ignorePublicAcls （配置默认值：True）、 blockPublicPolicy （配置默认值：True）和参数 blockPublicAcls （配置默认值：True）和 restrictPublicBuckets 参数（配置默认值：True）。实际值应反映贵组织的策略。
AC-21(b)	组织：b. 采用 [分配：组织定义的自动化机制或手动流程] 来帮助用户做出信息共享/协作决策。	vpc-default-security-group-已关闭	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。
AC-21(b)	组织：b. 采用 [分配：组织定义的自动化机制或手动流程] 来帮助用户做出信息共享/协作决策。	vpc-sg-open-only-to-authorized-ports	通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。
AC-21(b)	组织：b. 采用 [分配：组织定义的自动化机制或手动流程] 来帮助用户做出信息共享/协作决策。	dms-replication-not-public	通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问权限。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。
AC-21(b)	组织：b. 采用 [分配：组织定义的自动化机制或手动流程] 来帮助用户做出信息共享/协作决策。	ebs-snapshot-public-restorable-检查	通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问权限。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。
AC-21(b)	组织：b. 采用 [分配：组织定义的自动化机制或手动流程] 来帮助用户做出信息共享/协作决策。	ec2-instance-no-public-ip	通过确保无法公开访问亚马逊弹性计算云 (Amazon EC2) 实例来管理对云的访问。 AWS Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。
AC-21(b)	组织：b. 采用 [分配：组织定义的自动化机制或手动流程] 来帮助用户做出信息共享/协作决策。	emr-master-no-public-ip	通过确保无法公开访问 Amazon EMR 集群主节点来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。
AC-21(b)	组织：b. 采用 [分配：组织定义的自动化机制或手动流程] 来帮助用户做出信息共享/协作决策。	lambda-function-public-access-禁止	通过确保无法公开访问 AWS Lambda 函数来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。
AC-21(b)	组织：b. 采用 [分配：组织定义的自动化机制或手动流程] 来帮助用户做出信息共享/协作决策。	rds-instance-public-access-检查	通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
AC-21(b)	组织：b. 采用 [分配：组织定义的自动化机制或手动流程] 来帮助用户做出信息共享/协作决策。	rds-snapshots-public-prohibited	通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
AC-21(b)	组织：b. 采用 [分配：组织定义的自动化机制或手动流程] 来帮助用户做出信息共享/协作决策。	redshift-cluster-public-access-检查	通过确保 Amazon Redshift 集群不公开，管理对 AWS 云端资源的访问权限。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
AC-21(b)	组织：b. 采用 [分配：组织定义的自动化机制或手动流程] 来帮助用户做出信息共享/协作决策。	s3-bucket-level-public-access-禁止使用	确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。
AC-21(b)	组织：b. 采用 [分配：组织定义的自动化机制或手动流程] 来帮助用户做出信息共享/协作决策。	s3-bucket-public-read-prohibited	仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。
AC-21(b)	组织：b. 采用 [分配：组织定义的自动化机制或手动流程] 来帮助用户做出信息共享/协作决策。	s3-bucket-public-write-prohibited	仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。
AC-21(b)	组织：b. 采用 [分配：组织定义的自动化机制或手动流程] 来帮助用户做出信息共享/协作决策。	sagemaker-notebook-no-direct-互联网接入	通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对 AWS 云端资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。
AC-21(b)	组织：b. 采用 [分配：组织定义的自动化机制或手动流程] 来帮助用户做出信息共享/协作决策。	subnet-auto-assign-public-ip 已禁用	通过确保亚马逊虚拟私有 AWS 云 (VPC) Virtual Private Cloud 子网不会自动分配公有 IP 地址来管理对云的访问。Amazon Elastic Compute Cloud (EC2) 实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。
AU-2(a)(d)	组织：a. 确定信息系统是否能够审计以下事件：成功和失败的账户登录事件、账户管理事件、对象访问、策略更改、特权功能、进程跟踪和系统事件。对于 Web 应用程序，则包括：所有管理员活动、身份验证检查、授权检查、数据删除、数据访问、数据更改和权限更改。d. 确定要在信息系统中审计以下事件：[AU-2 a 中定义的可审计事件的组织定义子集，以便对每个确定的事件进行持续审计]。	codebuild-project-logging-enabled	确保启用 AWS CodeBuild 项目日志记录，以便将您的构建输出日志发送到亚马逊 CloudWatch 或亚马逊简单存储服务 (Amazon S3) Simple Storage Service。构建输出日志提供有关您的构建项目的详细信息。
AU-2(a)(d)	组织：a. 确定信息系统是否能够审计以下事件：成功和失败的账户登录事件、账户管理事件、对象访问、策略更改、特权功能、进程跟踪和系统事件。对于 Web 应用程序，则包括：所有管理员活动、身份验证检查、授权检查、数据删除、数据访问、数据更改和权限更改。d. 确定要在信息系统中审计以下事件：[AU-2 a 中定义的可审计事件的组织定义子集，以便对每个确定的事件进行持续审计]。	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，则会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
AU-2(a)(d)	组织：a. 确定信息系统是否能够审计以下事件：成功和失败的账户登录事件、账户管理事件、对象访问、策略更改、特权功能、进程跟踪和系统事件。对于 Web 应用程序，则包括：所有管理员活动、身份验证检查、授权检查、数据删除、数据访问、数据更改和权限更改。d. 确定要在信息系统中审计以下事件：[AU-2 a 中定义的可审计事件的组织定义子集，以便对每个确定的事件进行持续审计]。	rds-logging-enabled	为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service (Amazon RDS) 日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。
AU-2(a)(d)	组织：a. 确定信息系统是否能够审计以下事件：成功和失败的账户登录事件、账户管理事件、对象访问、策略更改、特权功能、进程跟踪和系统事件。对于 Web 应用程序，则包括：所有管理员活动、身份验证检查、授权检查、数据删除、数据访问、数据更改和权限更改。d. 确定要在信息系统中审计以下事件：[AU-2 a 中定义的可审计事件的组织定义子集，以便对每个确定的事件进行持续审计]。	wafv2-logging-enabled	要帮助在您的环境中进行日志记录和监控，请在区域和全球 Web ACL 上启用 AWS WAF (V2) 日志记录。 AWS WAF 日志记录提供有关您的 Web ACL 所分析的流量的详细信息。这些日志记录了 AWS WAF 从您的 AWS 资源收到请求的时间、有关请求的信息以及每个请求匹配的规则的操作。
AU-2(a)(d)	组织：a. 确定信息系统是否能够审计以下事件：成功和失败的账户登录事件、账户管理事件、对象访问、策略更改、特权功能、进程跟踪和系统事件。对于 Web 应用程序，则包括：所有管理员活动、身份验证检查、授权检查、数据删除、数据访问、数据更改和权限更改。d. 确定要在信息系统中审计以下事件：[AU-2 a 中定义的可审计事件的组织定义子集，以便对每个确定的事件进行持续审计]。	api-gw-execution-logging-已启用	API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。
AU-2(a)(d)	组织：a. 确定信息系统是否能够审计以下事件：成功和失败的账户登录事件、账户管理事件、对象访问、策略更改、特权功能、进程跟踪和系统事件。对于 Web 应用程序，则包括：所有管理员活动、身份验证检查、授权检查、数据删除、数据访问、数据更改和权限更改。d. 确定要在信息系统中审计以下事件：[AU-2 a 中定义的可审计事件的组织定义子集，以便对每个确定的事件进行持续审计]。	cloud-trail-cloud-watch-启用日志	使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您内部的 API 调用活动的详细信息 AWS 账户。
AU-2(a)(d)	组织：a. 确定信息系统是否能够审计以下事件：成功和失败的账户登录事件、账户管理事件、对象访问、策略更改、特权功能、进程跟踪和系统事件。对于 Web 应用程序，则包括：所有管理员活动、身份验证检查、授权检查、数据删除、数据访问、数据更改和权限更改。d. 确定要在信息系统中审计以下事件：[AU-2 a 中定义的可审计事件的组织定义子集，以便对每个确定的事件进行持续审计]。	cloudtrail-enabled	AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。
AU-2(a)(d)	组织：a. 确定信息系统是否能够审计以下事件：成功和失败的账户登录事件、账户管理事件、对象访问、策略更改、特权功能、进程跟踪和系统事件。对于 Web 应用程序，则包括：所有管理员活动、身份验证检查、授权检查、数据删除、数据访问、数据更改和权限更改。d. 确定要在信息系统中审计以下事件：[AU-2 a 中定义的可审计事件的组织定义子集，以便对每个确定的事件进行持续审计]。	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 数据事件有助于检测任何异常活动。详细 AWS 账户 信息包括访问 Amazon S3 存储桶的信息、IP 地址和事件时间。
AU-2(a)(d)	组织：a. 确定信息系统是否能够审计以下事件：成功和失败的账户登录事件、账户管理事件、对象访问、策略更改、特权功能、进程跟踪和系统事件。对于 Web 应用程序，则包括：所有管理员活动、身份验证检查、授权检查、数据删除、数据访问、数据更改和权限更改。d. 确定要在信息系统中审计以下事件：[AU-2 a 中定义的可审计事件的组织定义子集，以便对每个确定的事件进行持续审计]。	elb-logging-enabled	Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息 (例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。
AU-2(a)(d)	组织：a. 确定信息系统是否能够审计以下事件：成功和失败的账户登录事件、账户管理事件、对象访问、策略更改、特权功能、进程跟踪和系统事件。对于 Web 应用程序，则包括：所有管理员活动、身份验证检查、授权检查、数据删除、数据访问、数据更改和权限更改。d. 确定要在信息系统中审计以下事件：[AU-2 a 中定义的可审计事件的组织定义子集，以便对每个确定的事件进行持续审计]。	redshift-cluster-configuration-check	要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。
AU-2(a)(d)	组织：a. 确定信息系统是否能够审计以下事件：成功和失败的账户登录事件、账户管理事件、对象访问、策略更改、特权功能、进程跟踪和系统事件。对于 Web 应用程序，则包括：所有管理员活动、身份验证检查、授权检查、数据删除、数据访问、数据更改和权限更改。d. 确定要在信息系统中审计以下事件：[AU-2 a 中定义的可审计事件的组织定义子集，以便对每个确定的事件进行持续审计]。	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。
AU-2(a)(d)	组织：a. 确定信息系统是否能够审计以下事件：成功和失败的账户登录事件、账户管理事件、对象访问、策略更改、特权功能、进程跟踪和系统事件。对于 Web 应用程序，则包括：所有管理员活动、身份验证检查、授权检查、数据删除、数据访问、数据更改和权限更改。d. 确定要在信息系统中审计以下事件：[AU-2 a 中定义的可审计事件的组织定义子集，以便对每个确定的事件进行持续审计]。	vpc-flow-logs-enabled	VPC 流日志详细记录进出 Amazon Virtual Private Cloud (Amazon VPC) 网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。
AU-3	信息系统生成审计记录，其中包含以下信息：事件类型、事件发生时间、事件发生地点、事件来源、事件结果以及与该事件相关的任何个人或主体的身份。	codebuild-project-logging-enabled	确保启用 AWS CodeBuild 项目日志记录，以便将您的构建输出日志发送到亚马逊 CloudWatch 或亚马逊简单存储服务 (Amazon S3) Simple Storage Service。构建输出日志提供有关您的构建项目的详细信息。
AU-3	信息系统生成审计记录，其中包含以下信息：事件类型、事件发生时间、事件发生地点、事件来源、事件结果以及与该事件相关的任何个人或主体的身份。	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，则会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
AU-3	信息系统生成审计记录，其中包含以下信息：事件类型、事件发生时间、事件发生地点、事件来源、事件结果以及与该事件相关的任何个人或主体的身份。	rds-logging-enabled	为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service (Amazon RDS) 日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。
AU-3	信息系统生成审计记录，其中包含以下信息：事件类型、事件发生时间、事件发生地点、事件来源、事件结果以及与该事件相关的任何个人或主体的身份。	wafv2-logging-enabled	要帮助在您的环境中进行日志记录和监控，请在区域和全球 Web ACL 上启用 AWS WAF (V2) 日志记录。 AWS WAF 日志记录提供有关您的 Web ACL 所分析的流量的详细信息。这些日志记录了 AWS WAF 从您的 AWS 资源收到请求的时间、有关请求的信息以及每个请求匹配的规则的操作。
AU-3	信息系统生成审计记录，其中包含以下信息：事件类型、事件发生时间、事件发生地点、事件来源、事件结果以及与该事件相关的任何个人或主体的身份。	api-gw-execution-logging-已启用	API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。
AU-3	信息系统生成审计记录，其中包含以下信息：事件类型、事件发生时间、事件发生地点、事件来源、事件结果以及与该事件相关的任何个人或主体的身份。	cloud-trail-cloud-watch-启用日志	使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您内部的 API 调用活动的详细信息 AWS 账户。
AU-3	信息系统生成审计记录，其中包含以下信息：事件类型、事件发生时间、事件发生地点、事件来源、事件结果以及与该事件相关的任何个人或主体的身份。	cloudtrail-enabled	AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。
AU-3	信息系统生成审计记录，其中包含以下信息：事件类型、事件发生时间、事件发生地点、事件来源、事件结果以及与该事件相关的任何个人或主体的身份。	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 数据事件有助于检测任何异常活动。详细 AWS 账户 信息包括访问 Amazon S3 存储桶的信息、IP 地址和事件时间。
AU-3	信息系统生成审计记录，其中包含以下信息：事件类型、事件发生时间、事件发生地点、事件来源、事件结果以及与该事件相关的任何个人或主体的身份。	elb-logging-enabled	Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息 (例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。
AU-3	信息系统生成审计记录，其中包含以下信息：事件类型、事件发生时间、事件发生地点、事件来源、事件结果以及与该事件相关的任何个人或主体的身份。	redshift-cluster-configuration-check	要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。
AU-3	信息系统生成审计记录，其中包含以下信息：事件类型、事件发生时间、事件发生地点、事件来源、事件结果以及与该事件相关的任何个人或主体的身份。	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。
AU-3	信息系统生成审计记录，其中包含以下信息：事件类型、事件发生时间、事件发生地点、事件来源、事件结果以及与该事件相关的任何个人或主体的身份。	vpc-flow-logs-enabled	VPC 流日志详细记录进出 Amazon Virtual Private Cloud (Amazon VPC) 网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。
AU-6(1)(3)	(1) 组织采用自动化机制来整合审计审查、分析和报告流程，以支持组织调查和应对可疑活动的程序。(3) 组织对不同存储库的审计记录进行分析和关联，以获得整个组织的态势感知。	codebuild-project-logging-enabled	确保启用 AWS CodeBuild 项目日志记录，以便将您的构建输出日志发送到亚马逊 CloudWatch 或亚马逊简单存储服务 (Amazon S3) Simple Storage Service。构建输出日志提供有关您的构建项目的详细信息。
AU-6(1)(3)	(1) 组织采用自动化机制来整合审计审查、分析和报告流程，以支持组织调查和应对可疑活动的程序。(3) 组织对不同存储库的审计记录进行分析和关联，以获得整个组织的态势感知。	cw-loggroup-retention-period-检查	确保为日志组保留事件日志数据的最短时间，以帮助进行故障排除和取证调查。缺乏过去的事件日志数据会让重建和识别潜在的恶意事件变得困难。
AU-6(1)(3)	(1) 组织采用自动化机制来整合审计审查、分析和报告流程，以支持组织调查和应对可疑活动的程序。(3) 组织对不同存储库的审计记录进行分析和关联，以获得整个组织的态势感知。	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，则会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
AU-6(1)(3)	(1) 组织采用自动化机制来整合审计审查、分析和报告流程，以支持组织调查和应对可疑活动的程序。(3) 组织对不同存储库的审计记录进行分析和关联，以获得整个组织的态势感知。	securityhub-enabled	AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。 AWS Security Hub 汇总、整理来自多个服务的安全警报或发现，并对其进行优先排序。 AWS 其中一些服务包括Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS 身份和访问管理 (IAM) Access Analyzer、Firewall Manager 以及 AWS 合作伙伴解决方案。 AWS
AU-6(1)(3)	(1) 组织采用自动化机制来整合审计审查、分析和报告流程，以支持组织调查和应对可疑活动的程序。(3) 组织对不同存储库的审计记录进行分析和关联，以获得整个组织的态势感知。	wafv2-logging-enabled	要帮助在您的环境中进行日志记录和监控，请在区域和全球 Web ACL 上启用 AWS WAF (V2) 日志记录。 AWS WAF 日志记录提供有关您的 Web ACL 所分析的流量的详细信息。这些日志记录了 AWS WAF 从您的 AWS 资源收到请求的时间、有关请求的信息以及每个请求匹配的规则的操作。
AU-6(1)(3)	(1) 组织采用自动化机制来整合审计审查、分析和报告流程，以支持组织调查和应对可疑活动的程序。(3) 组织对不同存储库的审计记录进行分析和关联，以获得整个组织的态势感知。	api-gw-execution-logging-已启用	API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。
AU-6(1)(3)	(1) 组织采用自动化机制来整合审计审查、分析和报告流程，以支持组织调查和应对可疑活动的程序。(3) 组织对不同存储库的审计记录进行分析和关联，以获得整个组织的态势感知。	cloud-trail-cloud-watch-启用日志	使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您内部的 API 调用活动的详细信息 AWS 账户。
AU-6(1)(3)	(1) 组织采用自动化机制来整合审计审查、分析和报告流程，以支持组织调查和应对可疑活动的程序。(3) 组织对不同存储库的审计记录进行分析和关联，以获得整个组织的态势感知。	cloudtrail-enabled	AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。
AU-6(1)(3)	(1) 组织采用自动化机制来整合审计审查、分析和报告流程，以支持组织调查和应对可疑活动的程序。(3) 组织对不同存储库的审计记录进行分析和关联，以获得整个组织的态势感知。	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 数据事件有助于检测任何异常活动。详细 AWS 账户 信息包括访问 Amazon S3 存储桶的信息、IP 地址和事件时间。
AU-6(1)(3)	(1) 组织采用自动化机制来整合审计审查、分析和报告流程，以支持组织调查和应对可疑活动的程序。(3) 组织对不同存储库的审计记录进行分析和关联，以获得整个组织的态势感知。	cloudwatch-alarm-action-check	当某个指标在指定数量的评估周期内突破阈值时，Amazon 会发出 CloudWatch 警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （配置默认值：True）、 insufficientDataAction必填项（配置默认值：True）、 okActionRequired （配置默认值：False）的值。实际值应反映您的环境的警报操作。
AU-6(1)(3)	(1) 组织采用自动化机制来整合审计审查、分析和报告流程，以支持组织调查和应对可疑活动的程序。(3) 组织对不同存储库的审计记录进行分析和关联，以获得整个组织的态势感知。	elb-logging-enabled	Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息 (例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。
AU-6(1)(3)	(1) 组织采用自动化机制来整合审计审查、分析和报告流程，以支持组织调查和应对可疑活动的程序。(3) 组织对不同存储库的审计记录进行分析和关联，以获得整个组织的态势感知。	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 列表和机器学习，用于识别 AWS 云环境中意外、未经授权和恶意的活动。
AU-6(1)(3)	(1) 组织采用自动化机制来整合审计审查、分析和报告流程，以支持组织调查和应对可疑活动的程序。(3) 组织对不同存储库的审计记录进行分析和关联，以获得整个组织的态势感知。	rds-logging-enabled	为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service (Amazon RDS) 日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。
AU-6(1)(3)	(1) 组织采用自动化机制来整合审计审查、分析和报告流程，以支持组织调查和应对可疑活动的程序。(3) 组织对不同存储库的审计记录进行分析和关联，以获得整个组织的态势感知。	redshift-cluster-configuration-check	要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。
AU-6(1)(3)	(1) 组织采用自动化机制来整合审计审查、分析和报告流程，以支持组织调查和应对可疑活动的程序。(3) 组织对不同存储库的审计记录进行分析和关联，以获得整个组织的态势感知。	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。
AU-6(1)(3)	(1) 组织采用自动化机制来整合审计审查、分析和报告流程，以支持组织调查和应对可疑活动的程序。(3) 组织对不同存储库的审计记录进行分析和关联，以获得整个组织的态势感知。	vpc-flow-logs-enabled	VPC 流日志详细记录进出 Amazon Virtual Private Cloud (Amazon VPC) 网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。
AU-7(1)	信息系统提供了根据 [分配：审计记录中组织定义的审计字段] 处理相关事件的审计记录的功能。	cloud-trail-cloud-watch-启用日志	使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您内部的 API 调用活动的详细信息 AWS 账户。
AU-7(1)	信息系统提供了根据 [分配：审计记录中组织定义的审计字段] 处理相关事件的审计记录的功能。	cloudwatch-alarm-action-check	当某个指标在指定数量的评估周期内突破阈值时，Amazon 会发出 CloudWatch 警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （配置默认值：True）、 insufficientDataAction必填项（配置默认值：True）、 okActionRequired （配置默认值：False）的值。实际值应反映您的环境的警报操作。
AU-9(2)	信息系统至少每周将审计记录备份到与被审计的系统或组件实际不同的系统或系统组件上。	s3-bucket-replication-enabled	Amazon Simple Storage Service (Amazon S3) 跨区域复制 (CRR) 支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。
AU-9(2)	信息系统至少每周将审计记录备份到与被审计的系统或组件实际不同的系统或系统组件上。	s3-bucket-versioning-enabled	Amazon Simple Storage Service (Amazon S3) 存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。
AU-9	信息系统保护审计信息和审计工具免遭未经授权的访问、修改和删除。	cloud-trail-encryption-enabled	由于可能存在敏感数据，为了帮助保护静态数据，请确保为您的 AWS CloudTrail 跟踪启用了加密。
AU-9	信息系统保护审计信息和审计工具免遭未经授权的访问、修改和删除。	cloud-trail-log-file-已启用验证	利用 AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 传送后是否被修改、删除或未更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这使得在没有检测到的情况下修改、删除或伪造 CloudTrail 日志文件在计算上是不可行的。
AU-9	信息系统保护审计信息和审计工具免遭未经授权的访问、修改和删除。	cloudwatch-log-group-encrypted	为帮助保护静态敏感数据，请确保您的 Amazon CloudWatch 日志组启用了加密。
AU-11	该组织将审计记录保留至少 90 天，以便为安全事件的 after-the-fact 调查提供支持，并满足监管和组织信息保留要求。	cw-loggroup-retention-period-检查	确保为日志组保留事件日志数据的最短时间，以帮助进行故障排除和取证调查。缺乏过去的事件日志数据会让重建和识别潜在的恶意事件变得困难。
AU-12(a)(c)	信息系统：a. 在部署/提供审计功能的所有信息系统和网络组件中，为 AU-2 a. 中定义的可审计事件提供审计记录生成功能。c. 为 AU-2 d. 中定义的事件生成审计记录，内容在 AU-3 中定义。	codebuild-project-logging-enabled	确保启用 AWS CodeBuild 项目日志记录，以便将您的构建输出日志发送到亚马逊 CloudWatch 或亚马逊简单存储服务 (Amazon S3) Simple Storage Service。构建输出日志提供有关您的构建项目的详细信息。
AU-12(a)(c)	信息系统：a. 在部署/提供审计功能的所有信息系统和网络组件中，为 AU-2 a. 中定义的可审计事件提供审计记录生成功能。c. 为 AU-2 d. 中定义的事件生成审计记录，内容在 AU-3 中定义。	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，则会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
AU-12(a)(c)	信息系统：a. 在部署/提供审计功能的所有信息系统和网络组件中，为 AU-2 a. 中定义的可审计事件提供审计记录生成功能。c. 为 AU-2 d. 中定义的事件生成审计记录，内容在 AU-3 中定义。	rds-logging-enabled	为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service (Amazon RDS) 日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。
AU-12(a)(c)	信息系统：a. 在部署/提供审计功能的所有信息系统和网络组件中，为 AU-2 a. 中定义的可审计事件提供审计记录生成功能。c. 为 AU-2 d. 中定义的事件生成审计记录，内容在 AU-3 中定义。	wafv2-logging-enabled	要帮助在您的环境中进行日志记录和监控，请在区域和全球 Web ACL 上启用 AWS WAF (V2) 日志记录。 AWS WAF 日志记录提供有关您的 Web ACL 所分析的流量的详细信息。这些日志记录了 AWS WAF 从您的 AWS 资源收到请求的时间、有关请求的信息以及每个请求匹配的规则的操作。
AU-12(a)(c)	信息系统：a. 在部署/提供审计功能的所有信息系统和网络组件中，为 AU-2 a. 中定义的可审计事件提供审计记录生成功能。c. 为 AU-2 d. 中定义的事件生成审计记录，内容在 AU-3 中定义。	api-gw-execution-logging-已启用	API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。
AU-12(a)(c)	信息系统：a. 在部署/提供审计功能的所有信息系统和网络组件中，为 AU-2 a. 中定义的可审计事件提供审计记录生成功能。c. 为 AU-2 d. 中定义的事件生成审计记录，内容在 AU-3 中定义。	cloud-trail-cloud-watch-启用日志	使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您内部的 API 调用活动的详细信息 AWS 账户。
AU-12(a)(c)	信息系统：a. 在部署/提供审计功能的所有信息系统和网络组件中，为 AU-2 a. 中定义的可审计事件提供审计记录生成功能。c. 为 AU-2 d. 中定义的事件生成审计记录，内容在 AU-3 中定义。	cloudtrail-enabled	AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。
AU-12(a)(c)	信息系统：a. 在部署/提供审计功能的所有信息系统和网络组件中，为 AU-2 a. 中定义的可审计事件提供审计记录生成功能。c. 为 AU-2 d. 中定义的事件生成审计记录，内容在 AU-3 中定义。	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 数据事件有助于检测任何异常活动。详细 AWS 账户 信息包括访问 Amazon S3 存储桶的信息、IP 地址和事件时间。
AU-12(a)(c)	信息系统：a. 在部署/提供审计功能的所有信息系统和网络组件中，为 AU-2 a. 中定义的可审计事件提供审计记录生成功能。c. 为 AU-2 d. 中定义的事件生成审计记录，内容在 AU-3 中定义。	elb-logging-enabled	Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息 (例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。
AU-12(a)(c)	信息系统：a. 在部署/提供审计功能的所有信息系统和网络组件中，为 AU-2 a. 中定义的可审计事件提供审计记录生成功能。c. 为 AU-2 d. 中定义的事件生成审计记录，内容在 AU-3 中定义。	redshift-cluster-configuration-check	要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。
AU-12(a)(c)	信息系统：a. 在部署/提供审计功能的所有信息系统和网络组件中，为 AU-2 a. 中定义的可审计事件提供审计记录生成功能。c. 为 AU-2 d. 中定义的事件生成审计记录，内容在 AU-3 中定义。	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。
AU-12(a)(c)	信息系统：a. 在部署/提供审计功能的所有信息系统和网络组件中，为 AU-2 a. 中定义的可审计事件提供审计记录生成功能。c. 为 AU-2 d. 中定义的事件生成审计记录，内容在 AU-3 中定义。	vpc-flow-logs-enabled	VPC 流日志详细记录进出 Amazon Virtual Private Cloud (Amazon VPC) 网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。
CA-7(a)(b)	组织制定持续监控策略并实施持续监控计划，其中包括：a. 建立要监控的 [分配：组织定义的指标]；b. 建立监控 [分配：组织定义的频率] 和用于支持此类监控的评估 [分配：组织定义的频率]	lambda-concurrency-check	此规则可确保建立 Lambda 函数的并发上限和下限。这有助于确定函数在任何特定时间提供服务的请求数量的基准。
CA-7(a)(b)	组织制定持续监控策略并实施持续监控计划，其中包括：a. 建立要监控的 [分配：组织定义的指标]；b. 建立监控 [分配：组织定义的频率] 和用于支持此类监控的评估 [分配：组织定义的频率]	lambda-dlq-check	启用此规则有助于在功能发生故障时通过 Amazon Simple Queue Service (Amazon SQS) 或 Amazon Simple Notification Service (Amazon SNS) 通知相关人员。
CA-7(a)(b)	组织制定持续监控策略并实施持续监控计划，其中包括：a. 建立要监控的 [分配：组织定义的指标]；b. 建立监控 [分配：组织定义的频率] 和用于支持此类监控的评估 [分配：组织定义的频率]	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，则会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
CA-7(a)(b)	组织制定持续监控策略并实施持续监控计划，其中包括：a. 建立要监控的 [分配：组织定义的指标]；b. 建立监控 [分配：组织定义的频率] 和用于支持此类监控的评估 [分配：组织定义的频率]	rds-enhanced-monitoring-enabled	启用 Amazon Relational Database Service (Amazon RDS)，以帮助监控 Amazon RDS 可用性。这让您可以详细了解您的 Amazon RDS 数据库实例的运行状况。当 Amazon RDS 存储使用多个底层物理设备时，“增强监控”会收集每台设备的数据。此外，当 Amazon RDS 数据库实例在多可用区部署中运行时，会收集辅助主机上每个设备的数据和辅助主机指标。
CA-7(a)(b)	组织制定持续监控策略并实施持续监控计划，其中包括：a. 建立要监控的 [分配：组织定义的指标]；b. 建立监控 [分配：组织定义的频率] 和用于支持此类监控的评估 [分配：组织定义的频率]	securityhub-enabled	AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。 AWS Security Hub 汇总、整理来自多个服务的安全警报或发现，并对其进行优先排序。 AWS 其中一些服务包括Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS 身份和访问管理 (IAM) Access Analyzer、Firewall Manager 以及 AWS 合作伙伴解决方案。 AWS
CA-7(a)(b)	组织制定持续监控策略并实施持续监控计划，其中包括：a. 建立要监控的 [分配：组织定义的指标]；b. 建立监控 [分配：组织定义的频率] 和用于支持此类监控的评估 [分配：组织定义的频率]	autoscaling-group-elb-healthcheck-必填项	Amazon Elastic Compute Cloud (Amazon EC2) Auto Scaling 组的 Elastic Load Balancer (ELB) 运行状况检查支持维持足够的容量和可用性。负载均衡器会定期发送 ping、尝试进行连接或者发送请求来测试自动扩缩组中的 Amazon EC2 实例。如果实例没有返回报告，则流量会发送到新的 Amazon EC2 实例。
CA-7(a)(b)	组织制定持续监控策略并实施持续监控计划，其中包括：a. 建立要监控的 [分配：组织定义的指标]；b. 建立监控 [分配：组织定义的频率] 和用于支持此类监控的评估 [分配：组织定义的频率]	beanstalk-enhanced-health-reporting-已启用	AWS Elastic Beanstalk 增强的运行状况报告功能可以更快地响应底层基础设施运行状况的变化。这些变更可能会导致应用程序的可用性不足。Elastic Beanstalk 增强的运行状况报告提供了状态描述符，用于衡量已发现问题的严重性并确定可能的原因以进行调查。
CA-7(a)(b)	组织制定持续监控策略并实施持续监控计划，其中包括：a. 建立要监控的 [分配：组织定义的指标]；b. 建立监控 [分配：组织定义的频率] 和用于支持此类监控的评估 [分配：组织定义的频率]	cloudtrail-enabled	AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。
CA-7(a)(b)	组织制定持续监控策略并实施持续监控计划，其中包括：a. 建立要监控的 [分配：组织定义的指标]；b. 建立监控 [分配：组织定义的频率] 和用于支持此类监控的评估 [分配：组织定义的频率]	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 数据事件有助于检测任何异常活动。详细 AWS 账户 信息包括访问 Amazon S3 存储桶的信息、IP 地址和事件时间。
CA-7(a)(b)	组织制定持续监控策略并实施持续监控计划，其中包括：a. 建立要监控的 [分配：组织定义的指标]；b. 建立监控 [分配：组织定义的频率] 和用于支持此类监控的评估 [分配：组织定义的频率]	cloudwatch-alarm-action-check	当某个指标在指定数量的评估周期内突破阈值时，Amazon 会发出 CloudWatch 警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （配置默认值：True）、 insufficientDataAction必填项（配置默认值：True）、 okActionRequired （配置默认值：False）的值。实际值应反映您的环境的警报操作。
CA-7(a)(b)	组织制定持续监控策略并实施持续监控计划，其中包括：a. 建立要监控的 [分配：组织定义的指标]；b. 建立监控 [分配：组织定义的频率] 和用于支持此类监控的评估 [分配：组织定义的频率]	dynamodb-throughput-limit-check	启用此规则可确保检查您的 Amazon DynamoDB 表上的预置吞吐容量。这是每个表可以支持的读/写活动量。DynamoDB 使用这些信息来预留足够的系统资源，以满足吞吐量需求。当吞吐量接近客户账户的最大限制时，此规则会生成警报。此规则允许您选择设置 AccountRCU（ThresholdPercentage 配置默认值：80）和 AccountWCUThresholdPercentage （配置默认值：80）参数。实际值应反映贵组织的策略。
CA-7(a)(b)	组织制定持续监控策略并实施持续监控计划，其中包括：a. 建立要监控的 [分配：组织定义的指标]；b. 建立监控 [分配：组织定义的频率] 和用于支持此类监控的评估 [分配：组织定义的频率]	ec2-instance-detailed-monitoring-enabled	启用此规则可帮助改进 Amazon EC2 控制台上的 Amazon Elastic Compute Cloud (Amazon EC2) 实例监控，该控制台以 1 分钟为周期显示实例的监控图。
CA-7(a)(b)	组织制定持续监控策略并实施持续监控计划，其中包括：a. 建立要监控的 [分配：组织定义的指标]；b. 建立监控 [分配：组织定义的频率] 和用于支持此类监控的评估 [分配：组织定义的频率]	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 列表和机器学习，用于识别 AWS 云环境中意外、未经授权和恶意的活动。
CA-7(a)(b)	组织制定持续监控策略并实施持续监控计划，其中包括：a. 建立要监控的 [分配：组织定义的指标]；b. 建立监控 [分配：组织定义的频率] 和用于支持此类监控的评估 [分配：组织定义的频率]	redshift-cluster-configuration-check	要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。
CM-2	组织在配置控制下开发、记录和维护信息系统的当前基线配置。	alb-waf-enabled	确保在弹性负载均衡器 (ELB) 上启用 AWS WAF，以帮助保护 Web 应用程序。WAF 有助于保护您的 Web 应用程序或 API 免遭常见 Web 漏洞的侵害。这些 Web 漏洞可能会影响可用性、损害安全性或消耗环境中过多的资源。
CM-2	组织在配置控制下开发、记录和维护信息系统的当前基线配置。	api-gw-associated-with-waf	AWS WAF 允许您配置一组规则（称为 Web 访问控制列表 (Web ACL)），这些规则根据您定义的可自定义 Web 安全规则和条件允许、阻止或计数 Web 请求。确保您的 Amazon API Gateway 阶段与某个 WAF Web ACL 关联，以保护其免受恶意攻击
CM-2	组织在配置控制下开发、记录和维护信息系统的当前基线配置。	autoscaling-launch-config-public-ip 已禁用	如果您使用公有 IP 地址配置网络接口，则可以从互联网访问这些网络接口的相关资源。EC2 资源不应可公开访问，因为这可能会允许意外地访问您的应用程序或服务器。
CM-2	组织在配置控制下开发、记录和维护信息系统的当前基线配置。	dms-replication-not-public	通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问权限。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。
CM-2	组织在配置控制下开发、记录和维护信息系统的当前基线配置。	ebs-snapshot-public-restorable-检查	通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问权限。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。
CM-2	组织在配置控制下开发、记录和维护信息系统的当前基线配置。	ec2-instance-no-public-ip	通过确保无法公开访问亚马逊弹性计算云 (Amazon EC2) 实例来管理对云的访问。 AWS Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。
CM-2	组织在配置控制下开发、记录和维护信息系统的当前基线配置。	elasticsearch-in-vpc-only	通过确保亚马逊 OpenSearch 服务（OpenSearch 服务）域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。Amazon VPC 中的 OpenSearch 服务域可实现 OpenSearch 服务与 Amazon VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。
CM-2	组织在配置控制下开发、记录和维护信息系统的当前基线配置。	emr-master-no-public-ip	通过确保无法公开访问 Amazon EMR 集群主节点来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。
CM-2	组织在配置控制下开发、记录和维护信息系统的当前基线配置。	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。
CM-2	组织在配置控制下开发、记录和维护信息系统的当前基线配置。	ec2-instances-in-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 内部署 Amazon Elastic Compute Cloud (Amazon EC2) 实例，以实现实例与 Amazon VPC 内其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。
CM-2	组织在配置控制下开发、记录和维护信息系统的当前基线配置。	lambda-function-public-access-禁止	通过确保无法公开访问 AWS Lambda 函数来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。
CM-2	组织在配置控制下开发、记录和维护信息系统的当前基线配置。	lambda-inside-vpc	在亚马逊虚拟私有云（亚马逊 VPC）中部署 AWS Lambda 函数，以便在亚马逊 VPC 内的函数与其他服务之间进行安全通信。使用此配置时，不需要互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。为了正确管理访问权限，应 AWS 将 Lambda 函数分配给 VPC。
CM-2	组织在配置控制下开发、记录和维护信息系统的当前基线配置。	no-unrestricted-route-to-igw	确保 Amazon EC2 路由表中没有指向互联网网关的无限制路由。移除或限制 Amazon VPC 内工作负载的互联网访问可以减少环境中的意外访问。
CM-2	组织在配置控制下开发、记录和维护信息系统的当前基线配置。	rds-instance-public-access-检查	通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
CM-2	组织在配置控制下开发、记录和维护信息系统的当前基线配置。	rds-snapshots-public-prohibited	通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
CM-2	组织在配置控制下开发、记录和维护信息系统的当前基线配置。	redshift-cluster-public-access-检查	通过确保 Amazon Redshift 集群不公开，管理对 AWS 云端资源的访问权限。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
CM-2	组织在配置控制下开发、记录和维护信息系统的当前基线配置。	s3--account-level-public-access 区块-周期性	确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置（配置默认值：True）、 ignorePublicAcls （配置默认值：True）、 blockPublicPolicy （配置默认值：True）和参数 blockPublicAcls （配置默认值：True）和 restrictPublicBuckets 参数（配置默认值：True）。实际值应反映贵组织的策略。
CM-2	组织在配置控制下开发、记录和维护信息系统的当前基线配置。	s3-bucket-public-read-prohibited	仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。
CM-2	组织在配置控制下开发、记录和维护信息系统的当前基线配置。	s3-bucket-public-write-prohibited	仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。
CM-2	组织在配置控制下开发、记录和维护信息系统的当前基线配置。	sagemaker-notebook-no-direct-互联网接入	通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对 AWS 云端资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。
CM-2	组织在配置控制下开发、记录和维护信息系统的当前基线配置。	vpc-default-security-group-已关闭	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。
CM-2	组织在配置控制下开发、记录和维护信息系统的当前基线配置。	vpc-sg-open-only-to-authorized-ports	通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。
CM-2	组织在配置控制下开发、记录和维护信息系统的当前基线配置。	ec2-管理instance-managed-by-systems器	通过使用 Systems Man AWS ager 管理亚马逊弹性计算云 (Amazon EC2) 实例，可以清点组织内的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发行商和版本以及有关您的环境的其他详细信息。
CM-2	组织在配置控制下开发、记录和维护信息系统的当前基线配置。	ec2-managedinstance-association-compliance-status-check	使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。 AWS Systems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。
CM-2	组织在配置控制下开发、记录和维护信息系统的当前基线配置。	ec2-stopped-instance	根据组织的标准，启用此规则可检查 Amazon EC2 实例停止运行的天数是否超过允许的天数，从而帮助进行 Amazon Elastic Compute Cloud (Amazon EC2) 实例的基线配置。
CM-2	组织在配置控制下开发、记录和维护信息系统的当前基线配置。	ec2-volume-inuse-check	此规则可确保附加到 Amazon Elastic Compute Cloud (Amazon EC2) 实例上的 Amazon Elastic Block Store 卷在实例终止时标记为删除。如果在附加到 Amazon EBS 卷的实例终止时，卷没有被删除，则可能违反最少功能的概念。
CM-2	组织在配置控制下开发、记录和维护信息系统的当前基线配置。	elb-deletion-protection-enabled	此规则可确保 Elastic Load Balancing 已启用删除保护。使用此功能可防止负载均衡器被意外或恶意删除，因为这可能导致应用程序丧失可用性。
CM-2	组织在配置控制下开发、记录和维护信息系统的当前基线配置。	restricted-common-ports	通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。
CM-2	组织在配置控制下开发、记录和维护信息系统的当前基线配置。	s3-bucket-level-public-access-禁止使用	确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。
CM-2	组织在配置控制下开发、记录和维护信息系统的当前基线配置。	subnet-auto-assign-public-ip 已禁用	通过确保亚马逊虚拟私有 AWS 云 (VPC) Virtual Private Cloud 子网不会自动分配公有 IP 地址来管理对云的访问。Amazon Elastic Compute Cloud (EC2) 实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。
CM-7(a)	组织：a. 将信息系统配置为仅提供基本功能。	ec2-instance-profile-attached	EC2 实例配置文件将 IAM 角色传递给 EC2 实例。将实例配置文件附加到您的实例可以帮助实现最低权限和权限管理。
CM-7(a)	组织：a. 将信息系统配置为仅提供基本功能。	ec2-管理instance-managed-by-systems器	通过使用 Systems Man AWS ager 管理亚马逊弹性计算云 (Amazon EC2) 实例，可以清点组织内的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发行商和版本以及有关您的环境的其他详细信息。
CM-7(a)	组织：a. 将信息系统配置为仅提供基本功能。	ec2-managedinstance-association-compliance-status-check	使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。 AWS Systems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。
CM-8(1)	组织更新信息系统组件清单，作为组件安装、拆除和信息系统更新的组成部分。	ec2-管理instance-managed-by-systems器	通过使用 Systems Man AWS ager 管理亚马逊弹性计算云 (Amazon EC2) 实例，可以清点组织内的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发行商和版本以及有关您的环境的其他详细信息。
CM-8(1)	组织更新信息系统组件清单，作为组件安装、拆除和信息系统更新的组成部分。	ec2-managedinstance-association-compliance-status-check	使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。 AWS Systems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。
CM-8(3)(a)	组织：a. 持续采用自动化机制，使用最长延迟五分钟检测的自动化机制，检测信息系统内是否存在未经授权的硬件、软件和固件组件	ec2-管理instance-managed-by-systems器	通过使用 Systems Man AWS ager 管理亚马逊弹性计算云 (Amazon EC2) 实例，可以清点组织内的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发行商和版本以及有关您的环境的其他详细信息。
CM-8(3)(a)	组织：a. 持续采用自动化机制，使用最长延迟五分钟检测的自动化机制，检测信息系统内是否存在未经授权的硬件、软件和固件组件	ec2-managedinstance-association-compliance-status-check	使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。 AWS Systems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。
CM-8(3)(a)	组织：a. 持续采用自动化机制，使用最长延迟五分钟检测的自动化机制，检测信息系统内是否存在未经授权的硬件、软件和固件组件	ec2-managedinstance-patch-compliance-status-check	启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。该规则根据贵组织的政策和程序的要求检查 S AWS ystems Manager 中的 Amazon EC2 实例补丁是否合规。
CM-8(3)(a)	组织：a. 持续采用自动化机制，使用最长延迟五分钟检测的自动化机制，检测信息系统内是否存在未经授权的硬件、软件和固件组件	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 列表和机器学习，用于识别 AWS 云环境中意外、未经授权和恶意的活动。
CP-9(b)	组织：b. 对信息系统中包含的系统级信息进行备份（每日增量备份；每周完整备份）。	aurora-resources-protected-by-备份计划	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Aurora 资源。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CP-9(b)	组织：b. 对信息系统中包含的系统级信息进行备份（每日增量备份；每周完整备份）。	backup-plan-min-frequency-and-min-retention-check	为了帮助完成数据 AWS 备份流程，请确保将 Backup 计划设置为最低频率和保留期。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredFrequencyValue （配置默认：1）、 requiredRetentionDays （配置默认值：35）和 requiredFrequencyUnit （配置默认值：天）参数。实际值应反映贵组织的需求。
CP-9(b)	组织：b. 对信息系统中包含的系统级信息进行备份（每日增量备份；每周完整备份）。	dynamodb-resources-protected-by-备份计划	为了帮助完成数据备份流程，请确保备份计划中包含您的 Amazon DynamoDB 资源。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CP-9(b)	组织：b. 对信息系统中包含的系统级信息进行备份（每日增量备份；每周完整备份）。	ebs-resources-protected-by-备份计划	为了帮助完成数据备份流程，请确保您的亚马逊弹性区块存储 (Amazon EBS) 资源包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CP-9(b)	组织：b. 对信息系统中包含的系统级信息进行备份（每日增量备份；每周完整备份）。	ec2 resources-protected-by-backup-计划	为了帮助完成数据备份流程，请确保您的亚马逊弹性计算云 (Amazon EC2) 资源包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CP-9(b)	组织：b. 对信息系统中包含的系统级信息进行备份（每日增量备份；每周完整备份）。	efs-resources-protected-by-备份计划	为了帮助完成数据备份流程，请确保您的亚马逊弹性文件系统（Amazon EFS）文件系统包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CP-9(b)	组织：b. 对信息系统中包含的系统级信息进行备份（每日增量备份；每周完整备份）。	fsx-resources-protected-by-备份计划	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon FSx 文件系统。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CP-9(b)	组织：b. 对信息系统中包含的系统级信息进行备份（每日增量备份；每周完整备份）。	rds-resources-protected-by-备份计划	为了帮助完成数据备份流程，请确保您的亚马逊关系数据库服务 (Amazon RDS) 资源包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CP-9(b)	组织：b. 对信息系统中包含的系统级信息进行备份（每日增量备份；每周完整备份）。	redshift-backup-enabled	为了帮助完成数据备份流程，请确保您的 Amazon Redshift 集群具有自动快照。当某个集群的自动快照处于启用状态时，Redshift 会定期拍摄该集群的快照。默认情况下，Redshift 每八小时或每 5 GB 为每个数据更改节点（或以先到者为准）拍摄一次快照。
CP-9(b)	组织：b. 对信息系统中包含的系统级信息进行备份（每日增量备份；每周完整备份）。	db-instance-backup-enabled	Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 会自动创建数据库实例的存储卷快照，备份整个数据库实例。系统允许您设置特定的保留期以满足您的弹性要求。
CP-9(b)	组织：b. 对信息系统中包含的系统级信息进行备份（每日增量备份；每周完整备份）。	dynamodb-pitr-enabled	启用此规则可检查信息是否已备份。它还通过确保在 Amazon DynamoDB 中启用 point-in-time 恢复功能来维护备份。恢复过程会维持表在过去 35 天的连续备份。
CP-9(b)	组织：b. 对信息系统中包含的系统级信息进行备份（每日增量备份；每周完整备份）。	elasticache-redis-cluster-automatic-备份检查	启用自动备份后，Amazon ElastiCache 会每天创建集群的备份。备份可保留的天数由贵组织规定。自动备份可以帮助防止数据丢失。发生故障时，您可以通过从最新的备份还原数据来创建新集群。
CP-9(b)	组织：b. 对信息系统中包含的系统级信息进行备份（每日增量备份；每周完整备份）。	s3-bucket-replication-enabled	Amazon Simple Storage Service (Amazon S3) 跨区域复制 (CRR) 支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。
CP-9(b)	组织：b. 对信息系统中包含的系统级信息进行备份（每日增量备份；每周完整备份）。	s3-bucket-versioning-enabled	Amazon Simple Storage Service (Amazon S3) 存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。
CP-10	组织规定在发生中断、泄露或故障后恢复和重建信息系统，使其恢复到已知状态。	aurora-resources-protected-by-备份计划	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Aurora 资源。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CP-10	组织规定在发生中断、泄露或故障后恢复和重建信息系统，使其恢复到已知状态。	backup-plan-min-frequency-and-min-retention-check	为了帮助完成数据 AWS 备份流程，请确保将 Backup 计划设置为最低频率和保留期。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredFrequencyValue （配置默认：1）、 requiredRetentionDays （配置默认值：35）和 requiredFrequencyUnit （配置默认值：天）参数。实际值应反映贵组织的需求。
CP-10	组织规定在发生中断、泄露或故障后恢复和重建信息系统，使其恢复到已知状态。	dynamodb-resources-protected-by-备份计划	为了帮助完成数据备份流程，请确保备份计划中包含您的 Amazon DynamoDB 资源。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CP-10	组织规定在发生中断、泄露或故障后恢复和重建信息系统，使其恢复到已知状态。	ebs-resources-protected-by-备份计划	为了帮助完成数据备份流程，请确保您的亚马逊弹性区块存储 (Amazon EBS) 资源包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CP-10	组织规定在发生中断、泄露或故障后恢复和重建信息系统，使其恢复到已知状态。	ec2 resources-protected-by-backup-计划	为了帮助完成数据备份流程，请确保您的亚马逊弹性计算云 (Amazon EC2) 资源包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CP-10	组织规定在发生中断、泄露或故障后恢复和重建信息系统，使其恢复到已知状态。	efs-resources-protected-by-备份计划	为了帮助完成数据备份流程，请确保您的亚马逊弹性文件系统（Amazon EFS）文件系统包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CP-10	组织规定在发生中断、泄露或故障后恢复和重建信息系统，使其恢复到已知状态。	elb-cross-zone-load-启用平衡	为您的 Elastic Load Balancers (ELB) 启用跨区域负载均衡，以帮助保持足够的容量和可用性。跨区域负载均衡可降低在每个启用的可用区维持相同数量实例的需求。它还将提高应用程序处理一个或多个实例丢失情况的能力。
CP-10	组织规定在发生中断、泄露或故障后恢复和重建信息系统，使其恢复到已知状态。	fsx-resources-protected-by-备份计划	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon FSx 文件系统。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CP-10	组织规定在发生中断、泄露或故障后恢复和重建信息系统，使其恢复到已知状态。	rds-resources-protected-by-备份计划	为了帮助完成数据备份流程，请确保您的亚马逊关系数据库服务 (Amazon RDS) 资源包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CP-10	组织规定在发生中断、泄露或故障后恢复和重建信息系统，使其恢复到已知状态。	redshift-backup-enabled	为了帮助完成数据备份流程，请确保您的 Amazon Redshift 集群具有自动快照。当某个集群的自动快照处于启用状态时，Redshift 会定期拍摄该集群的快照。默认情况下，Redshift 每八小时或每 5 GB 为每个数据更改节点（或以先到者为准）拍摄一次快照。
CP-10	组织规定在发生中断、泄露或故障后恢复和重建信息系统，使其恢复到已知状态。	db-instance-backup-enabled	Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 会自动创建数据库实例的存储卷快照，备份整个数据库实例。系统允许您设置特定的保留期以满足您的弹性要求。
CP-10	组织规定在发生中断、泄露或故障后恢复和重建信息系统，使其恢复到已知状态。	dynamodb-autoscaling-enabled	Amazon DynamoDB 自动扩展 AWS 使用 Application Auto Scaling 服务来调整自动响应实际流量模式的预配置吞吐容量。这将允许表或全局二级索引增大其预置的读/写容量以处理突发流量，而不进行节流。
CP-10	组织规定在发生中断、泄露或故障后恢复和重建信息系统，使其恢复到已知状态。	dynamodb-pitr-enabled	启用此规则可检查信息是否已备份。它还通过确保在 Amazon DynamoDB 中启用 point-in-time 恢复功能来维护备份。恢复过程会维持表在过去 35 天的连续备份。
CP-10	组织规定在发生中断、泄露或故障后恢复和重建信息系统，使其恢复到已知状态。	ebs-optimized-instance	Amazon Elastic Block Store (Amazon EBS) 中的优化实例为 Amazon EBS I/O 操作提供了额外的专用容量。这种优化通过最大限度减少 Amazon EBS I/O 操作与来自您实例的其他流量之间的争用，为您的 EBS 卷提供最佳性能。
CP-10	组织规定在发生中断、泄露或故障后恢复和重建信息系统，使其恢复到已知状态。	elasticache-redis-cluster-automatic-备份检查	启用自动备份后，Amazon ElastiCache 会每天创建集群的备份。备份可保留的天数由贵组织规定。自动备份可以帮助防止数据丢失。发生故障时，您可以通过从最新的备份还原数据来创建新集群。
CP-10	组织规定在发生中断、泄露或故障后恢复和重建信息系统，使其恢复到已知状态。	elb-deletion-protection-enabled	此规则可确保 Elastic Load Balancing 已启用删除保护。使用此功能可防止负载均衡器被意外或恶意删除，因为这可能导致应用程序丧失可用性。
CP-10	组织规定在发生中断、泄露或故障后恢复和重建信息系统，使其恢复到已知状态。	rds-multi-az-support	Amazon Relational Database Service (Amazon RDS) 中的多可用区支持为数据库实例提供了增强的可用性和耐久性。当您预置多可用区数据库实例时，Amazon RDS 会自动创建一个主数据库实例，并将数据同步复制到不同可用区中的备用实例。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。
CP-10	组织规定在发生中断、泄露或故障后恢复和重建信息系统，使其恢复到已知状态。	s3-bucket-replication-enabled	Amazon Simple Storage Service (Amazon S3) 跨区域复制 (CRR) 支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。
CP-10	组织规定在发生中断、泄露或故障后恢复和重建信息系统，使其恢复到已知状态。	s3-bucket-versioning-enabled	Amazon Simple Storage Service (Amazon S3) 存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。
CP-10	组织规定在发生中断、泄露或故障后恢复和重建信息系统，使其恢复到已知状态。	vpc-vpn-2-tunnels-up	可实施冗余站点到站点 VPN 隧道来实现弹性需求。它使用两条隧道来帮助确保连接性，以防其中一个站点到站点 VPN 连接不可用。为防止在客户网关不可用的情况下断开连接，您可以使用第二个客户网关为您的 Amazon Virtual Private Cloud (Amazon VPC) 和虚拟私有网关建立第二个站点到站点 VPN 连接。
IA-2(1)(2)	(1) 信息系统对特权账户的网络访问实施多重身份验证。(2) 信息系统对非特权账户的网络访问实施多重身份验证。	root-account-mfa-enabled	通过确保为根用户启用 MFA 来管理对 AWS 云中资源的访问权限。根用户是 AWS 账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户进行 MFA，可以减少泄露事件。 AWS 账户
IA-2(1)(2)	(1) 信息系统对特权账户的网络访问实施多重身份验证。(2) 信息系统对非特权账户的网络访问实施多重身份验证。	iam-user-mfa-enabled	启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证 (MFA)。MFA 在登录凭证之上添加一层额外的保护。要求用户进行多重身份验证，从而减少账户被盗事件。
IA-2(1)(2)	(1) 信息系统对特权账户的网络访问实施多重身份验证。(2) 信息系统对非特权账户的网络访问实施多重身份验证。	mfa-enabled-for-iam-控制台访问权限	确保所有拥有控制台密码的 AWS 身份和访问管理 (IAM) Access Management 用户都启用 MFA，从而管理对 AWS 云中资源的访问权限。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。
IA-2(1)(2)	(1) 信息系统对特权账户的网络访问实施多重身份验证。(2) 信息系统对非特权账户的网络访问实施多重身份验证。	root-account-hardware-mfa-已启用	通过确保为根用户启用硬件 MFA 来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户进行 MFA，可以减少泄露事件。 AWS 账户
IA-2(1)	(1) 信息系统对特权账户的网络访问实施多重身份验证。	iam-user-mfa-enabled	启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证 (MFA)。MFA 在登录凭证之上添加一层额外的保护。要求用户进行多重身份验证，从而减少账户被盗事件。
IA-2(1)	(1) 信息系统对特权账户的网络访问实施多重身份验证。	mfa-enabled-for-iam-控制台访问权限	确保所有拥有控制台密码的 AWS 身份和访问管理 (IAM) Access Management 用户都启用 MFA，从而管理对 AWS 云中资源的访问权限。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。
IA-2(1)	(1) 信息系统对特权账户的网络访问实施多重身份验证。	root-account-hardware-mfa-已启用	通过确保为根用户启用硬件 MFA 来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户进行 MFA，可以减少泄露事件。 AWS 账户
IA-2(1)	(1) 信息系统对特权账户的网络访问实施多重身份验证。	root-account-mfa-enabled	通过确保为根用户启用 MFA 来管理对 AWS 云中资源的访问权限。根用户是 AWS 账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户进行 MFA，可以减少泄露事件。 AWS 账户
IA-2	信息系统对组织用户（或代表组织用户行事的进程）进行唯一标识和身份验证。	iam-password-policy	身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过了 NIST SP 800-63 和密码强度 AWS 基础安全最佳实践标准规定的要求。此规则允许您选择为自己的 IAM 设置 RequireUppercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireSymbols （AWS 基础安全最佳实践值：true）、 RequireNumbers （AWS 基础安全最佳实践值：true）、 MinimumPasswordLength （AWS 基础安全最佳实践值：14）、 PasswordReusePrevention （AWS 基础安全最佳实践值：24）和 MaxPasswordAge （AWS 基础安全最佳实践值：90）密码政策。实际值应反映贵组织的策略。
IA-2	信息系统对组织用户（或代表组织用户行事的进程）进行唯一标识和身份验证。	iam-root-access-key-检查	通过检查根用户的 AWS 身份和访问管理 (IAM) 角色是否没有附加访问密钥，可以控制对系统和资产的访问。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户 方法来帮助整合功能最少的原则。
IA-5(1)(a)(d)(e)	对于基于密码的身份验证，信息系统：a. 强制执行最低密码复杂度 [分配：组织定义的区分大小写、字符数、混合使用大写字母、小写字母、数字和特殊字符的要求，包括每种类型字符的最低数量要求]；d. 强制执行 [分配：组织定义的最短和最长使用期限] 的密码最短和最长使用期限限制；e. 禁止重复使用 24 代以内的密码	iam-password-policy	身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过了 NIST SP 800-63 和密码强度 AWS 基础安全最佳实践标准规定的要求。此规则允许您选择为自己的 IAM 设置 RequireUppercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireSymbols （AWS 基础安全最佳实践值：true）、 RequireNumbers （AWS 基础安全最佳实践值：true）、 MinimumPasswordLength （AWS 基础安全最佳实践值：14）、 PasswordReusePrevention （AWS 基础安全最佳实践值：24）和 MaxPasswordAge （AWS 基础安全最佳实践值：90）密码政策。实际值应反映贵组织的策略。
IA-5(4)	组织使用自动化工具来确定密码身份验证器是否足够强大，可以满足 [分配：组织定义的要求]。	iam-password-policy	身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过了 NIST SP 800-63 和密码强度 AWS 基础安全最佳实践标准规定的要求。此规则允许您选择为自己的 IAM 设置 RequireUppercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireSymbols （AWS 基础安全最佳实践值：true）、 RequireNumbers （AWS 基础安全最佳实践值：true）、 MinimumPasswordLength （AWS 基础安全最佳实践值：14）、 PasswordReusePrevention （AWS 基础安全最佳实践值：24）和 MaxPasswordAge （AWS 基础安全最佳实践值：90）密码政策。实际值应反映贵组织的策略。
IA-5(7)	组织确保未加密的静态身份验证器不会嵌入应用程序或访问脚本中，也不会存储在功能密钥上。	codebuild-project-envvar-awscred-检查	确保 Codebuild 项目环境中不存在身份验证凭据 AWS_ACCESS_KEY_ID 和 AWS_SECRET_ACCESS_KEY。 AWS 不要以明文形式存储这些变量。以明文形式存储这些变量会导致意外的数据泄露和未经授权的访问。
IR-4(1)	组织采用自动化机制来支持事件处理流程。	autoscaling-group-elb-healthcheck-必填项	Amazon Elastic Compute Cloud (Amazon EC2) Auto Scaling 组的 Elastic Load Balancer (ELB) 运行状况检查支持维持足够的容量和可用性。负载均衡器会定期发送 ping、尝试进行连接或者发送请求来测试自动扩缩组中的 Amazon EC2 实例。如果实例没有返回报告，则流量会发送到新的 Amazon EC2 实例。
IR-4(1)	组织采用自动化机制来支持事件处理流程。	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 列表和机器学习，用于识别 AWS 云环境中意外、未经授权和恶意的活动。
IR-4(1)	组织采用自动化机制来支持事件处理流程。	guardduty-non-archived-findings	Amazon 按严重程度对调查结果进行分类：低、中、高，从而 GuardDuty 帮助您了解事件的影响。您可以使用这些分类来确定补救策略和优先级。此规则允许您根据组织政策的 daysLowSev 要求选择性地为非存档的查找结果设置 daysMediumSev （配置默认值：30）、 daysHighSev （配置默认值：7）和（配置默认：1）。
IR-4(1)	组织采用自动化机制来支持事件处理流程。	securityhub-enabled	AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。 AWS Security Hub 汇总、整理来自多个服务的安全警报或发现，并对其进行优先排序。 AWS 其中一些服务包括Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS 身份和访问管理 (IAM) Access Analyzer、Firewall Manager 以及 AWS 合作伙伴解决方案。 AWS
IR-4(1)	组织采用自动化机制来支持事件处理流程。	cloudwatch-alarm-action-check	当某个指标在指定数量的评估周期内突破阈值时，Amazon 会发出 CloudWatch 警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （配置默认值：True）、 insufficientDataAction必填项（配置默认值：True）、 okActionRequired （配置默认值：False）的值。实际值应反映您的环境的警报操作。
IR-6(1)	组织采用自动化机制来协助报告安全事件。	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 列表和机器学习，用于识别 AWS 云环境中意外、未经授权和恶意的活动。
IR-6(1)	组织采用自动化机制来协助报告安全事件。	guardduty-non-archived-findings	Amazon 按严重程度对调查结果进行分类：低、中、高，从而 GuardDuty 帮助您了解事件的影响。您可以使用这些分类来确定补救策略和优先级。此规则允许您根据组织政策的 daysLowSev 要求选择性地为非存档的查找结果设置 daysMediumSev （配置默认值：30）、 daysHighSev （配置默认值：7）和（配置默认：1）。
IR-6(1)	组织采用自动化机制来协助报告安全事件。	securityhub-enabled	AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。 AWS Security Hub 汇总、整理来自多个服务的安全警报或发现，并对其进行优先排序。 AWS 其中一些服务包括Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS 身份和访问管理 (IAM) Access Analyzer、Firewall Manager 以及 AWS 合作伙伴解决方案。 AWS
IR-7(1)	组织采用自动化机制来提高与事件响应相关的信息和支持的可用性。	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 列表和机器学习，用于识别 AWS 云环境中意外、未经授权和恶意的活动。
IR-7(1)	组织采用自动化机制来提高与事件响应相关的信息和支持的可用性。	guardduty-non-archived-findings	Amazon 按严重程度对调查结果进行分类：低、中、高，从而 GuardDuty 帮助您了解事件的影响。您可以使用这些分类来确定补救策略和优先级。此规则允许您根据组织政策的 daysLowSev 要求选择性地为非存档的查找结果设置 daysMediumSev （配置默认值：30）、 daysHighSev （配置默认值：7）和（配置默认：1）。
IR-7(1)	组织采用自动化机制来提高与事件响应相关的信息和支持的可用性。	securityhub-enabled	AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。 AWS Security Hub 汇总、整理来自多个服务的安全警报或发现，并对其进行优先排序。 AWS 其中一些服务包括Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS 身份和访问管理 (IAM) Access Analyzer、Firewall Manager 以及 AWS 合作伙伴解决方案。 AWS
RA-5(1)	组织使用漏洞扫描工具，其中包括随时更新要扫描的信息系统漏洞的功能。补充指南：随着新漏洞的发现、公布和扫描方法的完善，需要随时更新要扫描的漏洞。这一更新过程有助于确保尽快发现和解决信息系统中的潜在漏洞。相关控制：SI-3、SI-7。	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 列表和机器学习，用于识别 AWS 云环境中意外、未经授权和恶意的活动。
RA-5(1)	组织使用漏洞扫描工具，其中包括随时更新要扫描的信息系统漏洞的功能。补充指南：随着新漏洞的发现、公布和扫描方法的完善，需要随时更新要扫描的漏洞。这一更新过程有助于确保尽快发现和解决信息系统中的潜在漏洞。相关控制：SI-3、SI-7。	guardduty-non-archived-findings	Amazon 按严重程度对调查结果进行分类：低、中、高，从而 GuardDuty 帮助您了解事件的影响。您可以使用这些分类来确定补救策略和优先级。此规则允许您根据组织政策的 daysLowSev 要求选择性地为非存档的查找结果设置 daysMediumSev （配置默认值：30）、 daysHighSev （配置默认值：7）和（配置默认：1）。
RA-5(1)	组织使用漏洞扫描工具，其中包括随时更新要扫描的信息系统漏洞的功能。补充指南：随着新漏洞的发现、公布和扫描方法的完善，需要随时更新要扫描的漏洞。这一更新过程有助于确保尽快发现和解决信息系统中的潜在漏洞。相关控制：SI-3、SI-7。	securityhub-enabled	AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。 AWS Security Hub 汇总、整理来自多个服务的安全警报或发现，并对其进行优先排序。 AWS 其中一些服务包括Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS 身份和访问管理 (IAM) Access Analyzer、Firewall Manager 以及 AWS 合作伙伴解决方案。 AWS
RA-5	组织：a. 每月扫描一次信息系统和托管应用程序中的漏洞 [操作系统/基础设施；每月扫描一次 Web 应用程序和数据库]，并在发现和报告可能影响系统/应用程序的新漏洞时进行扫描；b. 采用漏洞扫描工具和技术，通过使用以下标准来促进工具之间的互操作性，并实现漏洞管理过程的自动化：1. 枚举平台、软件缺陷和不当配置；2. 设置清单和测试程序格式；以及 3. 衡量漏洞的影响；c. 分析漏洞扫描报告和安全控制评估结果；d. 修复合法漏洞：根据组织的风险评估，自发现之日起三十 (30) 天内缓解高风险漏洞；自发现之日起九十 (90) 天内缓解中等风险漏洞；自发现之日起一百八十 (180) 天内缓解低风险漏洞；e. 与 [分配：组织定义的人员或角色] 共享从漏洞扫描过程和安全控制评估中获得的信息，以帮助消除其他信息系统中的类似漏洞（即系统薄弱环节或缺陷）。	guardduty-non-archived-findings	Amazon 按严重程度对调查结果进行分类：低、中、高，从而 GuardDuty 帮助您了解事件的影响。您可以使用这些分类来确定补救策略和优先级。此规则允许您根据组织政策的 daysLowSev 要求选择性地为非存档的查找结果设置 daysMediumSev （配置默认值：30）、 daysHighSev （配置默认值：7）和（配置默认：1）。
RA-5	组织：a. 扫描信息系统和托管应用程序中的漏洞 [分配：组织定义的频率和/或根据组织定义的流程随机进行]，以及在发现和报告可能影响系统/应用程序的新漏洞时进行扫描；b. 采用漏洞扫描工具和技术，通过使用以下标准来促进工具之间的互操作性，并实现漏洞管理过程的自动化：1. 枚举平台、软件缺陷和不当配置；2. 设置清单和测试程序格式；以及 3. 衡量漏洞的影响；c. 分析漏洞扫描报告和安全控制评估结果；d. 根据组织的风险评估，修复合法漏洞 [分配：组织定义的响应时间]；以及 e. 与 [分配：组织定义的人员或角色] 共享从漏洞扫描过程和安全控制评估中获得的信息，以帮助消除其他信息系统中的类似漏洞（即系统薄弱环节或缺陷）。	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 列表和机器学习，用于识别 AWS 云环境中意外、未经授权和恶意的活动。
SA-3(a)	组织：a. 使用包含信息安全注意事项的 [分配：组织定义的系统开发生命周期] 管理信息系统。	codebuild-project-envvar-awscred-检查	确保 Codebuild 项目环境中不存在身份验证凭据 AWS_ACCESS_KEY_ID 和 AWS_SECRET_ACCESS_KEY。 AWS 不要以明文形式存储这些变量。以明文形式存储这些变量会导致意外的数据泄露和未经授权的访问。
SA-3(a)	组织：a. 使用包含信息安全注意事项的 [分配：组织定义的系统开发生命周期] 管理信息系统。	codebuild-project-source-repo-url-check	确保 GitHub 或 Bitbucket 源存储库网址不包含个人访问令牌，即 AWS Codebuild 项目环境中的登录凭证。使用 OAuth 代替个人访问令牌或登录凭证来授予访问或 Bitbucket 存储库的授权。 GitHub
SA-3(a)	组织：a. 使用包含信息安全注意事项的 [分配：组织定义的系统开发生命周期] 管理信息系统。	ec2-管理instance-managed-by-systems器	通过使用 Systems Man AWS ager 管理亚马逊弹性计算云 (Amazon EC2) 实例，可以清点组织内的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发行商和版本以及有关您的环境的其他详细信息。
SA-10	组织要求信息系统、系统组件或信息系统服务的开发人员：a. 在系统、组件或服务开发、实施和运行期间执行配置管理；b. 记录、管理和控制 [分配：组织定义的接受配置管理的配置项] 的更改的完整性；c. 仅对系统、组件或服务实施组织批准的更改；d. 记录经批准的系统、组件或服务变更，以及此类变更的潜在安全影响；以及 e. 跟踪系统、组件或服务中的安全漏洞和漏洞解决方法，并将发现结果报告给 [分配：组织定义的人员]。	guardduty-non-archived-findings	Amazon 按严重程度对调查结果进行分类：低、中、高，从而 GuardDuty 帮助您了解事件的影响。您可以使用这些分类来确定补救策略和优先级。此规则允许您根据组织政策的 daysLowSev 要求选择性地为非存档的查找结果设置 daysMediumSev （配置默认值：30）、 daysHighSev （配置默认值：7）和（配置默认：1）。
SA-10	组织要求信息系统、系统组件或信息系统服务的开发人员：a. 在系统、组件或服务开发、实施和运行期间执行配置管理；b. 记录、管理和控制 [分配：组织定义的接受配置管理的配置项] 的更改的完整性；c. 仅对系统、组件或服务实施组织批准的更改；d. 记录经批准的系统、组件或服务变更，以及此类变更的潜在安全影响；以及 e. 跟踪系统、组件或服务中的安全漏洞和漏洞解决方法，并将发现结果报告给 [分配：组织定义的人员]。	securityhub-enabled	AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。 AWS Security Hub 汇总、整理来自多个服务的安全警报或发现，并对其进行优先排序。 AWS 其中一些服务包括Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS 身份和访问管理 (IAM) Access Analyzer、Firewall Manager 以及 AWS 合作伙伴解决方案。 AWS
SA-10	组织要求信息系统、系统组件或信息系统服务的开发人员：a. 在系统、组件或服务开发、实施和运行期间执行配置管理；b. 记录、管理和控制 [分配：组织定义的接受配置管理的配置项] 的更改的完整性；c. 仅对系统、组件或服务实施组织批准的更改；d. 记录经批准的系统、组件或服务变更，以及此类变更的潜在安全影响；以及 e. 跟踪系统、组件或服务中的安全漏洞和漏洞解决方法，并将发现结果报告给 [分配：组织定义的人员]。	ec2-管理instance-managed-by-systems器	通过使用 Systems Man AWS ager 管理亚马逊弹性计算云 (Amazon EC2) 实例，可以清点组织内的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发行商和版本以及有关您的环境的其他详细信息。
SA-10	组织要求信息系统、系统组件或信息系统服务的开发人员：a. 在系统、组件或服务开发、实施和运行期间执行配置管理；b. 记录、管理和控制 [分配：组织定义的接受配置管理的配置项] 的更改的完整性；c. 仅对系统、组件或服务实施组织批准的更改；d. 记录经批准的系统、组件或服务变更，以及此类变更的潜在安全影响；以及 e. 跟踪系统、组件或服务中的安全漏洞和漏洞解决方法，并将发现结果报告给 [分配：组织定义的人员]。	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 列表和机器学习，用于识别 AWS 云环境中意外、未经授权和恶意的活动。
SC-2	信息系统将用户功能（包括用户界面服务）与信息系统管理功能分开。	iam-no-inline-policy-检查	确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有控制系统和资产访问权限的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。
SC-2	信息系统将用户功能（包括用户界面服务）与信息系统管理功能分开。	iam-user-group-membership-检查	AWS 身份与访问管理 (IAM) Access Management 可通过确保用户至少属于一个群组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
SC-2	信息系统将用户功能（包括用户界面服务）与信息系统管理功能分开。	iam-user-no-policies-检查	该规则确保 AWS 身份和访问管理 (IAM) Access Management 策略仅附加到组或角色以控制对系统和资产的访问权限。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。
SC-2	信息系统将用户功能（包括用户界面服务）与信息系统管理功能分开。	iam-group-has-users-检查	AWS Identity and Access Management (IAM) 可以确保 IAM 群组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。
SC-2	信息系统将用户功能（包括用户界面服务）与信息系统管理功能分开。	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“*” 而不是 “资源”：“*”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
SC-4	该信息系统可防止共享系统资源未经授权和非预期的信息传输。	dms-replication-not-public	通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问权限。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。
SC-4	该信息系统可防止共享系统资源未经授权和非预期的信息传输。	ebs-snapshot-public-restorable-检查	通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问权限。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。
SC-4	该信息系统可防止共享系统资源未经授权和非预期的信息传输。	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。
SC-4	该信息系统可防止共享系统资源未经授权和非预期的信息传输。	lambda-function-public-access-禁止	通过确保无法公开访问 AWS Lambda 函数来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。
SC-4	该信息系统可防止共享系统资源未经授权和非预期的信息传输。	no-unrestricted-route-to-igw	确保 Amazon EC2 路由表中没有指向互联网网关的无限制路由。移除或限制 Amazon VPC 内工作负载的互联网访问可以减少环境中的意外访问。
SC-4	该信息系统可防止共享系统资源未经授权和非预期的信息传输。	rds-instance-public-access-检查	通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
SC-4	该信息系统可防止共享系统资源未经授权和非预期的信息传输。	rds-snapshots-public-prohibited	通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
SC-4	该信息系统可防止共享系统资源未经授权和非预期的信息传输。	redshift-cluster-public-access-检查	通过确保 Amazon Redshift 集群不公开，管理对 AWS 云端资源的访问权限。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
SC-4	该信息系统可防止共享系统资源未经授权和非预期的信息传输。	restricted-common-ports	通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。
SC-4	该信息系统可防止共享系统资源未经授权和非预期的信息传输。	s3--account-level-public-access 区块-周期性	确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置（配置默认值：True）、 ignorePublicAcls （配置默认值：True）、 blockPublicPolicy （配置默认值：True）和参数 blockPublicAcls （配置默认值：True）和 restrictPublicBuckets 参数（配置默认值：True）。实际值应反映贵组织的策略。
SC-4	该信息系统可防止共享系统资源未经授权和非预期的信息传输。	s3-bucket-level-public-access-禁止使用	确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。
SC-4	该信息系统可防止共享系统资源未经授权和非预期的信息传输。	s3-bucket-public-read-prohibited	仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。
SC-4	该信息系统可防止共享系统资源未经授权和非预期的信息传输。	s3-bucket-public-write-prohibited	仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。
SC-4	该信息系统可防止共享系统资源未经授权和非预期的信息传输。	sagemaker-notebook-no-direct-互联网接入	通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对 AWS 云端资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。
SC-4	该信息系统可防止共享系统资源未经授权和非预期的信息传输。	ssm-document-not-public	确保 S AWS ystems Manager (SSM) 文档不公开，因为这可能会允许意外访问您的 SSM 文档。公开 SSM 文档可能会公开有关您的账户、资源和内部流程的信息。
SC-4	该信息系统可防止共享系统资源未经授权和非预期的信息传输。	vpc-default-security-group-已关闭	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。
SC-4	该信息系统可防止共享系统资源未经授权和非预期的信息传输。	vpc-sg-open-only-to-authorized-ports	通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。
SC-4	该信息系统可防止共享系统资源未经授权和非预期的信息传输。	ec2-volume-inuse-check	此规则可确保附加到 Amazon Elastic Compute Cloud (Amazon EC2) 实例上的 Amazon Elastic Block Store 卷在实例终止时标记为删除。如果在附加到 Amazon EBS 卷的实例终止时，卷没有被删除，则可能违反最少功能的概念。
SC-5	信息系统通过采用 [分配：组织定义的安全保护措施] 来防范或限制以下类型的拒绝服务攻击的影响：[分配：组织定义的拒绝服务攻击类型或对此类信息来源的引用]。	elb-cross-zone-load-启用平衡	为您的 Elastic Load Balancers (ELB) 启用跨区域负载均衡，以帮助保持足够的容量和可用性。跨区域负载均衡可降低在每个启用的可用区维持相同数量实例的需求。它还将提高应用程序处理一个或多个实例丢失情况的能力。
SC-5	信息系统通过采用 [分配：组织定义的安全保护措施] 来防范或限制以下类型的拒绝服务攻击的影响：[分配：组织定义的拒绝服务攻击类型或对此类信息来源的引用]。	rds-instance-deletion-protection-已启用	确保 Amazon Relational Database Service (Amazon RDS) 实例已启用删除保护。使用删除保护可防止您的 Amazon RDS 实例被意外或恶意删除，这可能会导致您的应用程序丧失可用性。
SC-5	信息系统通过采用 [分配：组织定义的安全保护措施] 来防范或限制以下类型的拒绝服务攻击的影响：[分配：组织定义的拒绝服务攻击类型或对此类信息来源的引用]。	autoscaling-group-elb-healthcheck-必填项	Amazon Elastic Compute Cloud (Amazon EC2) Auto Scaling 组的 Elastic Load Balancer (ELB) 运行状况检查支持维持足够的容量和可用性。负载均衡器会定期发送 ping、尝试进行连接或者发送请求来测试自动扩缩组中的 Amazon EC2 实例。如果实例没有返回报告，则流量会发送到新的 Amazon EC2 实例。
SC-5	信息系统通过采用 [分配：组织定义的安全保护措施] 来防范或限制以下类型的拒绝服务攻击的影响：[分配：组织定义的拒绝服务攻击类型或对此类信息来源的引用]。	dynamodb-autoscaling-enabled	Amazon DynamoDB 自动扩展 AWS 使用 Application Auto Scaling 服务来调整自动响应实际流量模式的预配置吞吐容量。这将允许表或全局二级索引增大其预置的读/写容量以处理突发流量，而不进行节流。
SC-5	信息系统通过采用 [分配：组织定义的安全保护措施] 来防范或限制以下类型的拒绝服务攻击的影响：[分配：组织定义的拒绝服务攻击类型或对此类信息来源的引用]。	dynamodb-pitr-enabled	启用此规则可检查信息是否已备份。它还通过确保在 Amazon DynamoDB 中启用 point-in-time 恢复功能来维护备份。恢复过程会维持表在过去 35 天的连续备份。
SC-5	信息系统通过采用 [分配：组织定义的安全保护措施] 来防范或限制以下类型的拒绝服务攻击的影响：[分配：组织定义的拒绝服务攻击类型或对此类信息来源的引用]。	ebs-optimized-instance	Amazon Elastic Block Store (Amazon EBS) 中的优化实例为 Amazon EBS I/O 操作提供了额外的专用容量。这种优化通过最大限度减少 Amazon EBS I/O 操作与来自您实例的其他流量之间的争用，为您的 EBS 卷提供最佳性能。
SC-5	信息系统通过采用 [分配：组织定义的安全保护措施] 来防范或限制以下类型的拒绝服务攻击的影响：[分配：组织定义的拒绝服务攻击类型或对此类信息来源的引用]。	elasticache-redis-cluster-automatic-备份检查	启用自动备份后，Amazon ElastiCache 会每天创建集群的备份。备份可保留的天数由贵组织规定。自动备份可以帮助防止数据丢失。发生故障时，您可以通过从最新的备份还原数据来创建新集群。
SC-5	信息系统通过采用 [分配：组织定义的安全保护措施] 来防范或限制以下类型的拒绝服务攻击的影响：[分配：组织定义的拒绝服务攻击类型或对此类信息来源的引用]。	elb-deletion-protection-enabled	此规则可确保 Elastic Load Balancing 已启用删除保护。使用此功能可防止负载均衡器被意外或恶意删除，因为这可能导致应用程序丧失可用性。
SC-5	信息系统通过采用 [分配：组织定义的安全保护措施] 来防范或限制以下类型的拒绝服务攻击的影响：[分配：组织定义的拒绝服务攻击类型或对此类信息来源的引用]。	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 列表和机器学习，用于识别 AWS 云环境中意外、未经授权和恶意的活动。
SC-5	信息系统通过采用 [分配：组织定义的安全保护措施] 来防范或限制以下类型的拒绝服务攻击的影响：[分配：组织定义的拒绝服务攻击类型或对此类信息来源的引用]。	rds-multi-az-support	Amazon Relational Database Service (Amazon RDS) 中的多可用区支持为数据库实例提供了增强的可用性和耐久性。当您预置多可用区数据库实例时，Amazon RDS 会自动创建一个主数据库实例，并将数据同步复制到不同可用区中的备用实例。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。
SC-5	信息系统通过采用 [分配：组织定义的安全保护措施] 来防范或限制以下类型的拒绝服务攻击的影响：[分配：组织定义的拒绝服务攻击类型或对此类信息来源的引用]。	s3-bucket-replication-enabled	Amazon Simple Storage Service (Amazon S3) 跨区域复制 (CRR) 支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。
SC-5	信息系统通过采用 [分配：组织定义的安全保护措施] 来防范或限制以下类型的拒绝服务攻击的影响：[分配：组织定义的拒绝服务攻击类型或对此类信息来源的引用]。	s3-bucket-versioning-enabled	Amazon Simple Storage Service (Amazon S3) 存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。
SC-5	信息系统通过采用 [分配：组织定义的安全保护措施] 来防范或限制以下类型的拒绝服务攻击的影响：[分配：组织定义的拒绝服务攻击类型或对此类信息来源的引用]。	vpc-vpn-2-tunnels-up	可实施冗余站点到站点 VPN 隧道来实现弹性需求。它使用两条隧道来帮助确保连接性，以防其中一个站点到站点 VPN 连接不可用。为防止在客户网关不可用的情况下断开连接，您可以使用第二个客户网关为您的 Amazon Virtual Private Cloud (Amazon VPC) 和虚拟私有网关建立第二个站点到站点 VPN 连接。
SC-7(3)	该组织限制与信息系统的外部网络连接数量。	autoscaling-launch-config-public-ip 已禁用	如果您使用公有 IP 地址配置网络接口，则可以从互联网访问这些网络接口的相关资源。EC2 资源不应可公开访问，因为这可能会允许意外地访问您的应用程序或服务器。
SC-7(3)	该组织限制与信息系统的外部网络连接数量。	ec2-instances-in-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 内部署 Amazon Elastic Compute Cloud (Amazon EC2) 实例，以实现实例与 Amazon VPC 内其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。
SC-7(3)	该组织限制与信息系统的外部网络连接数量。	ssm-document-not-public	确保 S AWS ystems Manager (SSM) 文档不公开，因为这可能会允许意外访问您的 SSM 文档。公开 SSM 文档可能会公开有关您的账户、资源和内部流程的信息。
SC-7(3)	该组织限制与信息系统的外部网络连接数量。	dms-replication-not-public	通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问权限。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。
SC-7(3)	该组织限制与信息系统的外部网络连接数量。	ebs-snapshot-public-restorable-检查	通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问权限。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。
SC-7(3)	该组织限制与信息系统的外部网络连接数量。	ec2-instance-no-public-ip	通过确保无法公开访问亚马逊弹性计算云 (Amazon EC2) 实例来管理对云的访问。 AWS Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。
SC-7(3)	该组织限制与信息系统的外部网络连接数量。	elasticsearch-in-vpc-only	通过确保亚马逊 OpenSearch 服务（OpenSearch 服务）域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。Amazon VPC 中的 OpenSearch 服务域可实现 OpenSearch 服务与 Amazon VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。
SC-7(3)	该组织限制与信息系统的外部网络连接数量。	emr-master-no-public-ip	通过确保无法公开访问 Amazon EMR 集群主节点来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。
SC-7(3)	该组织限制与信息系统的外部网络连接数量。	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。
SC-7(3)	该组织限制与信息系统的外部网络连接数量。	lambda-function-public-access-禁止	通过确保无法公开访问 AWS Lambda 函数来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。
SC-7(3)	该组织限制与信息系统的外部网络连接数量。	lambda-inside-vpc	在亚马逊虚拟私有云（亚马逊 VPC）中部署 AWS Lambda 函数，以便在亚马逊 VPC 内的函数与其他服务之间进行安全通信。使用此配置时，不需要互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。为了正确管理访问权限，应 AWS 将 Lambda 函数分配给 VPC。
SC-7(3)	该组织限制与信息系统的外部网络连接数量。	rds-instance-public-access-检查	通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
SC-7(3)	该组织限制与信息系统的外部网络连接数量。	rds-snapshots-public-prohibited	通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
SC-7(3)	该组织限制与信息系统的外部网络连接数量。	redshift-cluster-public-access-检查	通过确保 Amazon Redshift 集群不公开，管理对 AWS 云端资源的访问权限。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
SC-7(3)	该组织限制与信息系统的外部网络连接数量。	restricted-common-ports	通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。
SC-7(3)	该组织限制与信息系统的外部网络连接数量。	s3--account-level-public-access 区块-周期性	确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置（配置默认值：True）、 ignorePublicAcls （配置默认值：True）、 blockPublicPolicy （配置默认值：True）和参数 blockPublicAcls （配置默认值：True）和 restrictPublicBuckets 参数（配置默认值：True）。实际值应反映贵组织的策略。
SC-7(3)	该组织限制与信息系统的外部网络连接数量。	s3-bucket-level-public-access-禁止使用	确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。
SC-7(3)	该组织限制与信息系统的外部网络连接数量。	s3-bucket-public-read-prohibited	仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。
SC-7(3)	该组织限制与信息系统的外部网络连接数量。	s3-bucket-public-write-prohibited	仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。
SC-7(3)	该组织限制与信息系统的外部网络连接数量。	sagemaker-notebook-no-direct-互联网接入	通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对 AWS 云端资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。
SC-7(3)	该组织限制与信息系统的外部网络连接数量。	subnet-auto-assign-public-ip 已禁用	通过确保亚马逊虚拟私有 AWS 云 (VPC) Virtual Private Cloud 子网不会自动分配公有 IP 地址来管理对云的访问。Amazon Elastic Compute Cloud (EC2) 实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。
SC-7(3)	该组织限制与信息系统的外部网络连接数量。	vpc-default-security-group-已关闭	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。
SC-7(3)	该组织限制与信息系统的外部网络连接数量。	vpc-sg-open-only-to-authorized-ports	通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。
SC-7(4)	组织：(a) 为每项外部电信服务实施托管接口；(b) 为每个托管接口制定流量策略；(c) 保护通过每个接口传输的信息的机密性和完整性；(d) 记录流量政策的每个例外情况，并附上支持性任务/业务需求和需求持续时间；(e) 审查流量策略的例外情况 [分配：组织定义的频率] 并删除不再有明确任务/业务需求支持的例外情况。补充指南：相关控制：SC-8。	rds-snapshots-public-prohibited	通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
SC-7(4)	组织：(a) 为每项外部电信服务实施托管接口；(b) 为每个托管接口制定流量策略；(c) 保护通过每个接口传输的信息的机密性和完整性；(d) 记录流量政策的每个例外情况，并附上支持性任务/业务需求和需求持续时间；(e) 审查流量策略的例外情况 [分配：组织定义的频率] 并删除不再有明确任务/业务需求支持的例外情况。补充指南：相关控制：SC-8。	rds-snapshot-encrypted	确保为 Amazon Relational Database Service (Amazon RDS) 快照启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
SC-7(4)	组织：(a) 为每项外部电信服务实施托管接口；(b) 为每个托管接口制定流量策略；(c) 保护通过每个接口传输的信息的机密性和完整性；(d) 记录流量政策的每个例外情况，并附上支持性任务/业务需求和需求持续时间；(e) 审查流量策略的例外情况 [分配：组织定义的频率] 并删除不再有明确任务/业务需求支持的例外情况。补充指南：相关控制：SC-8。	rds-storage-encrypted	为了帮助保护静态数据，请确保您的 Amazon Relational Database Service (Amazon RDS) 实例启用了加密。由于 Amazon RDS 实例中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
SC-7(4)	组织：(a) 为每项外部电信服务实施托管接口；(b) 为每个托管接口制定流量策略；(c) 保护通过每个接口传输的信息的机密性和完整性；(d) 记录流量政策的每个例外情况，并附上支持性任务/业务需求和需求持续时间；(e) 审查流量策略的例外情况 [分配：组织定义的频率] 并删除不再有明确任务/业务需求支持的例外情况。补充指南：相关控制：SC-8。	vpc-default-security-group-已关闭	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。
SC-7(4)	组织：(a) 为每项外部电信服务实施托管接口；(b) 为每个托管接口制定流量策略；(c) 保护通过每个接口传输的信息的机密性和完整性；(d) 记录流量政策的每个例外情况，并附上支持性任务/业务需求和需求持续时间；(e) 审查流量策略的例外情况 [分配：组织定义的频率] 并删除不再有明确任务/业务需求支持的例外情况。补充指南：相关控制：SC-8。	vpc-flow-logs-enabled	VPC 流日志详细记录进出 Amazon Virtual Private Cloud (Amazon VPC) 网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。
SC-7(4)	组织：(a) 为每项外部电信服务实施托管接口；(b) 为每个托管接口制定流量策略；(c) 保护通过每个接口传输的信息的机密性和完整性；(d) 记录流量政策的每个例外情况，并附上支持性任务/业务需求和需求持续时间；(e) 审查流量策略的例外情况 [分配：组织定义的频率] 并删除不再有明确任务/业务需求支持的例外情况。补充指南：相关控制：SC-8。	redshift-cluster-kms-enabled	为了帮助保护静态数据，请确保您的 Amazon Redshift 集群启用了密 AWS 钥管理服务 (AWS KMS) 的加密。由于 Redshift 集群中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
SC-7(5)	默认情况下，托管接口上的信息系统拒绝网络通信流量，并在例外情况下允许网络通信流量（即全部拒绝，按例外情况允许）。补充指南：此控制增强适用于入站和出站网络通信流量。“全部拒绝” 的 permit-by-exception 网络通信流量策略可确保仅允许那些必不可少且经过批准的连接。	vpc-sg-open-only-to-authorized-ports	通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。
SC-7	信息系统：a. 监视和控制系统外部边界及系统内关键内部边界的通信；b. 为 [选择：物理上；逻辑上] 与内部组织网络分开的可公开访问的系统组件实现子网；c. 仅通过由边界保护设备组成的受管接口连接外部网络或信息系统，边界保护设备按照组织安全架构进行布置。	alb-waf-enabled	确保在弹性负载均衡器 (ELB) 上启用 AWS WAF，以帮助保护 Web 应用程序。WAF 有助于保护您的 Web 应用程序或 API 免遭常见 Web 漏洞的侵害。这些 Web 漏洞可能会影响可用性、损害安全性或消耗环境中过多的资源。
SC-7	信息系统：a. 监视和控制系统外部边界及系统内关键内部边界的通信；b. 为 [选择：物理上；逻辑上] 与内部组织网络分开的可公开访问的系统组件实现子网；c. 仅通过由边界保护设备组成的受管接口连接外部网络或信息系统，边界保护设备按照组织安全架构进行布置。	elasticsearch-node-to-node-加密检查	确保启用了 Amazon OpenSearch 服务的 node-to-node 加密。N ode-to-node 加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
SC-7	信息系统：a. 监视和控制系统外部边界及系统内关键内部边界的通信；b. 为 [选择：物理上；逻辑上] 与内部组织网络分开的可公开访问的系统组件实现子网；c. 仅通过由边界保护设备组成的受管接口连接外部网络或信息系统，边界保护设备按照组织安全架构进行布置。	elb-tls-https-listeners-只有	确保您的弹性负载均衡器 (ELB) 配置了 SSL 或 HTTPS 侦听器。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
SC-7	信息系统：a. 监视和控制系统外部边界及系统内关键内部边界的通信；b. 为 [选择：物理上；逻辑上] 与内部组织网络分开的可公开访问的系统组件实现子网；c. 仅通过由边界保护设备组成的受管接口连接外部网络或信息系统，边界保护设备按照组织安全架构进行布置。	ec2-instances-in-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 内部署 Amazon Elastic Compute Cloud (Amazon EC2) 实例，以实现实例与 Amazon VPC 内其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。
SC-7	信息系统：a. 监视和控制系统外部边界及系统内关键内部边界的通信；b. 为 [选择：物理上；逻辑上] 与内部组织网络分开的可公开访问的系统组件实现子网；c. 仅通过由边界保护设备组成的受管接口连接外部网络或信息系统，边界保护设备按照组织安全架构进行布置。	wafv2-logging-enabled	要帮助在您的环境中进行日志记录和监控，请在区域和全球 Web ACL 上启用 AWS WAF (V2) 日志记录。 AWS WAF 日志记录提供有关您的 Web ACL 所分析的流量的详细信息。这些日志记录了 AWS WAF 从您的 AWS 资源收到请求的时间、有关请求的信息以及每个请求匹配的规则的操作。
SC-7	信息系统：a. 监视和控制系统外部边界及系统内关键内部边界的通信；b. 为 [选择：物理上；逻辑上] 与内部组织网络分开的可公开访问的系统组件实现子网；c. 仅通过由边界保护设备组成的受管接口连接外部网络或信息系统，边界保护设备按照组织安全架构进行布置。	alb-http-to-https-重定向检查	为帮助保护传输中的数据，请确保应用负载均衡器自动将未加密的 HTTP 请求重定向到 HTTPS。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
SC-7	信息系统：a. 监视和控制系统外部边界及系统内关键内部边界的通信；b. 为 [选择：物理上；逻辑上] 与内部组织网络分开的可公开访问的系统组件实现子网；c. 仅通过由边界保护设备组成的受管接口连接外部网络或信息系统，边界保护设备按照组织安全架构进行布置。	dms-replication-not-public	通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问权限。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。
SC-7	信息系统：a. 监视和控制系统外部边界及系统内关键内部边界的通信；b. 为 [选择：物理上；逻辑上] 与内部组织网络分开的可公开访问的系统组件实现子网；c. 仅通过由边界保护设备组成的受管接口连接外部网络或信息系统，边界保护设备按照组织安全架构进行布置。	ebs-snapshot-public-restorable-检查	通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问权限。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。
SC-7	信息系统：a. 监视和控制系统外部边界及系统内关键内部边界的通信；b. 为 [选择：物理上；逻辑上] 与内部组织网络分开的可公开访问的系统组件实现子网；c. 仅通过由边界保护设备组成的受管接口连接外部网络或信息系统，边界保护设备按照组织安全架构进行布置。	ec2-instance-no-public-ip	通过确保无法公开访问亚马逊弹性计算云 (Amazon EC2) 实例来管理对云的访问。 AWS Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。
SC-7	信息系统：a. 监视和控制系统外部边界及系统内关键内部边界的通信；b. 为 [选择：物理上；逻辑上] 与内部组织网络分开的可公开访问的系统组件实现子网；c. 仅通过由边界保护设备组成的受管接口连接外部网络或信息系统，边界保护设备按照组织安全架构进行布置。	elasticsearch-in-vpc-only	通过确保亚马逊 OpenSearch 服务（OpenSearch 服务）域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。Amazon VPC 中的 OpenSearch 服务域可实现 OpenSearch 服务与 Amazon VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。
SC-7	信息系统：a. 监视和控制系统外部边界及系统内关键内部边界的通信；b. 为 [选择：物理上；逻辑上] 与内部组织网络分开的可公开访问的系统组件实现子网；c. 仅通过由边界保护设备组成的受管接口连接外部网络或信息系统，边界保护设备按照组织安全架构进行布置。	emr-master-no-public-ip	通过确保无法公开访问 Amazon EMR 集群主节点来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。
SC-7	信息系统：a. 监视和控制系统外部边界及系统内关键内部边界的通信；b. 为 [选择：物理上；逻辑上] 与内部组织网络分开的可公开访问的系统组件实现子网；c. 仅通过由边界保护设备组成的受管接口连接外部网络或信息系统，边界保护设备按照组织安全架构进行布置。	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。
SC-7	信息系统：a. 监视和控制系统外部边界及系统内关键内部边界的通信；b. 为 [选择：物理上；逻辑上] 与内部组织网络分开的可公开访问的系统组件实现子网；c. 仅通过由边界保护设备组成的受管接口连接外部网络或信息系统，边界保护设备按照组织安全架构进行布置。	lambda-function-public-access-禁止	通过确保无法公开访问 AWS Lambda 函数来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。
SC-7	信息系统：a. 监视和控制系统外部边界及系统内关键内部边界的通信；b. 为 [选择：物理上；逻辑上] 与内部组织网络分开的可公开访问的系统组件实现子网；c. 仅通过由边界保护设备组成的受管接口连接外部网络或信息系统，边界保护设备按照组织安全架构进行布置。	lambda-inside-vpc	在亚马逊虚拟私有云（亚马逊 VPC）中部署 AWS Lambda 函数，以便在亚马逊 VPC 内的函数与其他服务之间进行安全通信。使用此配置时，不需要互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。为了正确管理访问权限，应 AWS 将 Lambda 函数分配给 VPC。
SC-7	信息系统：a. 监视和控制系统外部边界及系统内关键内部边界的通信；b. 为 [选择：物理上；逻辑上] 与内部组织网络分开的可公开访问的系统组件实现子网；c. 仅通过由边界保护设备组成的受管接口连接外部网络或信息系统，边界保护设备按照组织安全架构进行布置。	rds-instance-public-access-检查	通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
SC-7	信息系统：a. 监视和控制系统外部边界及系统内关键内部边界的通信；b. 为 [选择：物理上；逻辑上] 与内部组织网络分开的可公开访问的系统组件实现子网；c. 仅通过由边界保护设备组成的受管接口连接外部网络或信息系统，边界保护设备按照组织安全架构进行布置。	rds-snapshots-public-prohibited	通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
SC-7	信息系统：a. 监视和控制系统外部边界及系统内关键内部边界的通信；b. 为 [选择：物理上；逻辑上] 与内部组织网络分开的可公开访问的系统组件实现子网；c. 仅通过由边界保护设备组成的受管接口连接外部网络或信息系统，边界保护设备按照组织安全架构进行布置。	redshift-cluster-public-access-检查	通过确保 Amazon Redshift 集群不公开，管理对 AWS 云端资源的访问权限。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
SC-7	信息系统：a. 监视和控制系统外部边界及系统内关键内部边界的通信；b. 为 [选择：物理上；逻辑上] 与内部组织网络分开的可公开访问的系统组件实现子网；c. 仅通过由边界保护设备组成的受管接口连接外部网络或信息系统，边界保护设备按照组织安全架构进行布置。	redshift-require-tls-ssl	确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
SC-7	信息系统：a. 监视和控制系统外部边界及系统内关键内部边界的通信；b. 为 [选择：物理上；逻辑上] 与内部组织网络分开的可公开访问的系统组件实现子网；c. 仅通过由边界保护设备组成的受管接口连接外部网络或信息系统，边界保护设备按照组织安全架构进行布置。	restricted-common-ports	通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。
SC-7	信息系统：a. 监视和控制系统外部边界及系统内关键内部边界的通信；b. 为 [选择：物理上；逻辑上] 与内部组织网络分开的可公开访问的系统组件实现子网；c. 仅通过由边界保护设备组成的受管接口连接外部网络或信息系统，边界保护设备按照组织安全架构进行布置。	s3--account-level-public-access 区块-周期性	确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置（配置默认值：True）、 ignorePublicAcls （配置默认值：True）、 blockPublicPolicy （配置默认值：True）和参数 blockPublicAcls （配置默认值：True）和 restrictPublicBuckets 参数（配置默认值：True）。实际值应反映贵组织的策略。
SC-7	信息系统：a. 监视和控制系统外部边界及系统内关键内部边界的通信；b. 为 [选择：物理上；逻辑上] 与内部组织网络分开的可公开访问的系统组件实现子网；c. 仅通过由边界保护设备组成的受管接口连接外部网络或信息系统，边界保护设备按照组织安全架构进行布置。	s3-bucket-level-public-access-禁止使用	确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。
SC-7	信息系统：a. 监视和控制系统外部边界及系统内关键内部边界的通信；b. 为 [选择：物理上；逻辑上] 与内部组织网络分开的可公开访问的系统组件实现子网；c. 仅通过由边界保护设备组成的受管接口连接外部网络或信息系统，边界保护设备按照组织安全架构进行布置。	s3-bucket-public-read-prohibited	仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。
SC-7	信息系统：a. 监视和控制系统外部边界及系统内关键内部边界的通信；b. 为 [选择：物理上；逻辑上] 与内部组织网络分开的可公开访问的系统组件实现子网；c. 仅通过由边界保护设备组成的受管接口连接外部网络或信息系统，边界保护设备按照组织安全架构进行布置。	s3-bucket-public-write-prohibited	仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。
SC-7	信息系统：a. 监视和控制系统外部边界及系统内关键内部边界的通信；b. 为 [选择：物理上；逻辑上] 与内部组织网络分开的可公开访问的系统组件实现子网；c. 仅通过由边界保护设备组成的受管接口连接外部网络或信息系统，边界保护设备按照组织安全架构进行布置。	s3-bucket-ssl-requests-only	为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶需要请求使用安全套接字层 (SSL)。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
SC-7	信息系统：a. 监视和控制系统外部边界及系统内关键内部边界的通信；b. 为 [选择：物理上；逻辑上] 与内部组织网络分开的可公开访问的系统组件实现子网；c. 仅通过由边界保护设备组成的受管接口连接外部网络或信息系统，边界保护设备按照组织安全架构进行布置。	sagemaker-notebook-no-direct-互联网接入	通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对 AWS 云端资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。
SC-7	信息系统：a. 监视和控制系统外部边界及系统内关键内部边界的通信；b. 为 [选择：物理上；逻辑上] 与内部组织网络分开的可公开访问的系统组件实现子网；c. 仅通过由边界保护设备组成的受管接口连接外部网络或信息系统，边界保护设备按照组织安全架构进行布置。	subnet-auto-assign-public-ip 已禁用	通过确保亚马逊虚拟私有 AWS 云 (VPC) Virtual Private Cloud 子网不会自动分配公有 IP 地址来管理对云的访问。Amazon Elastic Compute Cloud (EC2) 实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。
SC-7	信息系统：a. 监视和控制系统外部边界及系统内关键内部边界的通信；b. 为 [选择：物理上；逻辑上] 与内部组织网络分开的可公开访问的系统组件实现子网；c. 仅通过由边界保护设备组成的受管接口连接外部网络或信息系统，边界保护设备按照组织安全架构进行布置。	vpc-default-security-group-已关闭	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。
SC-7	信息系统：a. 监视和控制系统外部边界及系统内关键内部边界的通信；b. 为 [选择：物理上；逻辑上] 与内部组织网络分开的可公开访问的系统组件实现子网；c. 仅通过由边界保护设备组成的受管接口连接外部网络或信息系统，边界保护设备按照组织安全架构进行布置。	vpc-sg-open-only-to-authorized-ports	通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。
SC-8(1)	信息系统在传输过程中实现加密机制，以便 [选择（一项或多项）：防止未经授权披露信息；检测信息的变化]，除非以其他方式受到 [分配：组织定义的备选物理保护措施] 的保护。	elasticsearch-node-to-node-加密检查	确保启用了 Amazon OpenSearch 服务的 node-to-node 加密。N ode-to-node 加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
SC-8(1)	信息系统在传输过程中实现加密机制，以便 [选择（一项或多项）：防止未经授权披露信息；检测信息的变化]，除非以其他方式受到 [分配：组织定义的备选物理保护措施] 的保护。	elbv2-acm-certificate-required	由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certifice Manager 通过 AWS 服务和内部资源管理、配置和部署公共和私有 SSL/TLS 证书。
SC-8(1)	信息系统在传输过程中实现加密机制，以便 [选择（一项或多项）：防止未经授权披露信息；检测信息的变化]，除非以其他方式受到 [分配：组织定义的备选物理保护措施] 的保护。	elb-tls-https-listeners-只有	确保您的弹性负载均衡器 (ELB) 配置了 SSL 或 HTTPS 侦听器。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
SC-8(1)	信息系统在传输过程中实现加密机制，以便 [选择（一项或多项）：防止未经授权披露信息；检测信息的变化]，除非以其他方式受到 [分配：组织定义的备选物理保护措施] 的保护。	alb-http-to-https-重定向检查	为帮助保护传输中的数据，请确保应用负载均衡器自动将未加密的 HTTP 请求重定向到 HTTPS。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
SC-8(1)	信息系统在传输过程中实现加密机制，以便 [选择（一项或多项）：防止未经授权披露信息；检测信息的变化]，除非以其他方式受到 [分配：组织定义的备选物理保护措施] 的保护。	api-gw-ssl-enabled	确保 Amazon API Gateway REST API 阶段配置了 SSL 证书，以允许后端系统验证请求来自 API Gateway。
SC-8(1)	信息系统在传输过程中实现加密机制，以便 [选择（一项或多项）：防止未经授权披露信息；检测信息的变化]，除非以其他方式受到 [分配：组织定义的备选物理保护措施] 的保护。	redshift-require-tls-ssl	确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
SC-8(1)	信息系统在传输过程中实现加密机制，以便 [选择（一项或多项）：防止未经授权披露信息；检测信息的变化]，除非以其他方式受到 [分配：组织定义的备选物理保护措施] 的保护。	s3-bucket-ssl-requests-only	为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶需要请求使用安全套接字层 (SSL)。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
SC-8	信息系统保护所传输信息的机密性和完整性。	elasticsearch-node-to-node-加密检查	确保启用了 Amazon OpenSearch 服务的 node-to-node 加密。N ode-to-node 加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
SC-8	信息系统保护所传输信息的机密性和完整性。	elbv2-acm-certificate-required	由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certifice Manager 通过 AWS 服务和内部资源管理、配置和部署公共和私有 SSL/TLS 证书。
SC-8	信息系统保护所传输信息的机密性和完整性。	elb-tls-https-listeners-只有	确保您的弹性负载均衡器 (ELB) 配置了 SSL 或 HTTPS 侦听器。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
SC-8	信息系统保护所传输信息的机密性和完整性。	alb-http-to-https-重定向检查	为帮助保护传输中的数据，请确保应用负载均衡器自动将未加密的 HTTP 请求重定向到 HTTPS。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
SC-8	信息系统保护所传输信息的机密性和完整性。	api-gw-ssl-enabled	确保 Amazon API Gateway REST API 阶段配置了 SSL 证书，以允许后端系统验证请求来自 API Gateway。
SC-8	信息系统保护所传输信息的机密性和完整性。	redshift-require-tls-ssl	确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
SC-8	信息系统保护所传输信息的机密性和完整性。	s3-bucket-ssl-requests-only	为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶需要请求使用安全套接字层 (SSL)。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
SC-12	组织根据 [分配：组织定义的密钥生成、分发、存储、访问和销毁要求]，为信息系统中使用的所需加密技术建立和管理加密密钥。	cmk-backing-key-rotation-已启用	启用密钥轮换，以确保密钥在加密周期结束后进行轮换。
SC-12	组织根据 [分配：组织定义的密钥生成、分发、存储、访问和销毁要求]，为信息系统中使用的所需加密技术建立和管理加密密钥。	acm-certificate-expiration-check	通过确保 X509 证书由 ACM 颁发，确保网络完整性得到保护。 AWS 这些证书必须有效且未过期。此规则需要一个值 daysToExpiration （AWS 基础安全最佳实践值：90）。实际值应反映贵组织的策略。
SC-12	组织根据 [分配：组织定义的密钥生成、分发、存储、访问和销毁要求]，为信息系统中使用的所需加密技术建立和管理加密密钥。	kms-cmk-not-scheduled-用于删除	为了帮助保护静态数据，请确保在密钥管理服务 (KMS) 中没有计划删除必要的客户主 AWS 密AWS 钥 (CMK)。由于有时需要删除密钥，因此此规则可以帮助检查所有计划删除的密钥，以防密钥被无意中安排删除。
SC-13	信息系统根据适用的联邦法律、行政令、指令、政策、法规和标准，实施经过 FIPS 验证或国家安全局批准的加密技术。	kms-cmk-not-scheduled-用于删除	为了帮助保护静态数据，请确保在密钥管理服务 (KMS) 中没有计划删除必要的客户主 AWS 密AWS 钥 (CMK)。由于有时需要删除密钥，因此此规则可以帮助检查所有计划删除的密钥，以防密钥被无意中安排删除。
SC-13	信息系统根据适用的联邦法律、行政令、指令、政策、法规和标准，实施经过 FIPS 验证或国家安全局批准的加密技术。	s3-default-encryption-kms	确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
SC-13	信息系统根据适用的联邦法律、行政令、指令、政策、法规和标准，实施经过 FIPS 验证或国家安全局批准的加密技术。	sagemaker-endpoint-configuration-kms-密钥已配置	为帮助保护静态数据，请确保您的 SageMaker 终端节点已启用 AWS 密钥管理服务 (AWS KMS) 加密。由于敏感数据可以静态存在于 SageMaker 端点中，因此启用静态加密以帮助保护这些数据。
SC-13	信息系统根据适用的联邦法律、行政令、指令、政策、法规和标准，实施经过 FIPS 验证或国家安全局批准的加密技术。	sagemaker-notebook-instance-kms-密钥已配置	为帮助保护静态数据，请确保您的 SageMaker 笔记本电脑启用了 AWS 密钥管理服务 (AWS KMS) 的加密。由于敏感数据可以静态存在于 SageMaker 笔记本中，因此启用静态加密以帮助保护这些数据。
SC-13	信息系统根据适用的联邦法律、行政令、指令、政策、法规和标准，实施经过 FIPS 验证或国家安全局批准的加密技术。	sns-encrypted-kms	为了帮助保护静态数据，请确保您的亚马逊简单通知服务 (Amazon SNS) Simple Notification Service 主题需要 AWS 使用密钥管理服务AWS (KMS) 进行加密。由于已发布的消息中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
SC-13	信息系统根据适用的联邦法律、行政令、指令、政策、法规和标准，实施经过 FIPS 验证或国家安全局批准的加密技术。	redshift-cluster-kms-enabled	为了帮助保护静态数据，请确保您的 Amazon Redshift 集群启用了密 AWS 钥管理服务 (AWS KMS) 的加密。由于 Redshift 集群中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
SC-23	信息系统保护通信会话的真实性。	elasticsearch-node-to-node-加密检查	确保启用了 Amazon OpenSearch 服务的 node-to-node 加密。N ode-to-node 加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
SC-23	信息系统保护通信会话的真实性。	elb-tls-https-listeners-只有	确保您的弹性负载均衡器 (ELB) 配置了 SSL 或 HTTPS 侦听器。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
SC-23	信息系统保护通信会话的真实性。	alb-http-to-https-重定向检查	为帮助保护传输中的数据，请确保应用负载均衡器自动将未加密的 HTTP 请求重定向到 HTTPS。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
SC-23	信息系统保护通信会话的真实性。	api-gw-ssl-enabled	确保 Amazon API Gateway REST API 阶段配置了 SSL 证书，以允许后端系统验证请求来自 API Gateway。
SC-23	信息系统保护通信会话的真实性。	redshift-require-tls-ssl	确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
SC-23	信息系统保护通信会话的真实性。	s3-bucket-ssl-requests-only	为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶需要请求使用安全套接字层 (SSL)。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
SC-28	信息系统保护 [分配：组织定义的静态信息] 的机密性和完整性。	s3-bucket-default-lock-enabled	确保默认情况下 Amazon Simple Storage Service (Amazon S3) 存储桶已启用锁定。由于 S3 存储桶中可能存在敏感的静态数据，因此应强制执行静态对象锁定以帮助保护这些数据。
SC-28	信息系统保护 [分配：组织定义的静态信息] 的机密性和完整性。	s3-default-encryption-kms	确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
SC-28	信息系统保护 [分配：组织定义的静态信息] 的机密性和完整性。	sagemaker-notebook-instance-kms-密钥已配置	为帮助保护静态数据，请确保您的 SageMaker 笔记本电脑启用了 AWS 密钥管理服务 (AWS KMS) 的加密。由于敏感数据可以静态存在于 SageMaker 笔记本中，因此启用静态加密以帮助保护这些数据。
SC-28	信息系统保护 [分配：组织定义的静态信息] 的机密性和完整性。	sns-encrypted-kms	为了帮助保护静态数据，请确保您的亚马逊简单通知服务 (Amazon SNS) Simple Notification Service 主题需要 AWS 使用密钥管理服务AWS (KMS) 进行加密。由于已发布的消息中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
SC-28	信息系统保护 [分配：组织定义的静态信息] 的机密性和完整性。	api-gw-cache-enabled并已加密	为了帮助保护静态数据，请确保为 API Gateway 阶段的缓存启用加密。由于可能会为 API 方法捕获敏感数据，因此应启用静态加密以帮助保护这些数据。
SC-28	信息系统保护 [分配：组织定义的静态信息] 的机密性和完整性。	cloud-trail-encryption-enabled	由于可能存在敏感数据，为了帮助保护静态数据，请确保为您的 AWS CloudTrail 跟踪启用了加密。
SC-28	信息系统保护 [分配：组织定义的静态信息] 的机密性和完整性。	cloudwatch-log-group-encrypted	为帮助保护静态敏感数据，请确保您的 Amazon CloudWatch 日志组启用了加密。
SC-28	信息系统保护 [分配：组织定义的静态信息] 的机密性和完整性。	ec2-ebs-encryption-by-default	为了帮助保护静态数据，请确保为您的 Amazon Elastic Block Store (Amazon EBS) 卷启用加密。由于这些卷中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
SC-28	信息系统保护 [分配：组织定义的静态信息] 的机密性和完整性。	efs-encrypted-check	由于可能存在敏感数据，并且为了帮助保护静态数据，请确保为您的 Amazon Elastic File System (EFS) 启用加密。
SC-28	信息系统保护 [分配：组织定义的静态信息] 的机密性和完整性。	elasticsearch-encrypted-at-rest	由于敏感数据可能存在，并且为了帮助保护静态数据，请确保您的亚马逊 OpenSearch 服务（OpenSearch 服务）域已启用加密。
SC-28	信息系统保护 [分配：组织定义的静态信息] 的机密性和完整性。	encrypted-volumes	由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon Elastic Block Store (Amazon EBS) 卷启用了加密。
SC-28	信息系统保护 [分配：组织定义的静态信息] 的机密性和完整性。	kms-cmk-not-scheduled-用于删除	为了帮助保护静态数据，请确保在密钥管理服务 (KMS) 中没有计划删除必要的客户主 AWS 密AWS 钥 (CMK)。由于有时需要删除密钥，因此此规则可以帮助检查所有计划删除的密钥，以防密钥被无意中安排删除。
SC-28	信息系统保护 [分配：组织定义的静态信息] 的机密性和完整性。	rds-snapshot-encrypted	确保为 Amazon Relational Database Service (Amazon RDS) 快照启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
SC-28	信息系统保护 [分配：组织定义的静态信息] 的机密性和完整性。	rds-storage-encrypted	为了帮助保护静态数据，请确保您的 Amazon Relational Database Service (Amazon RDS) 实例启用了加密。由于 Amazon RDS 实例中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
SC-28	信息系统保护 [分配：组织定义的静态信息] 的机密性和完整性。	redshift-cluster-configuration-check	要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。
SC-28	信息系统保护 [分配：组织定义的静态信息] 的机密性和完整性。	redshift-cluster-kms-enabled	为了帮助保护静态数据，请确保您的 Amazon Redshift 集群启用了密 AWS 钥管理服务 (AWS KMS) 的加密。由于 Redshift 集群中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
SC-28	信息系统保护 [分配：组织定义的静态信息] 的机密性和完整性。	s3-已bucket-server-side-encryption启用	为了帮助保护静态数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用加密以帮助保护这些数据。
SC-28	信息系统保护 [分配：组织定义的静态信息] 的机密性和完整性。	sagemaker-endpoint-configuration-kms-密钥已配置	为帮助保护静态数据，请确保您的 SageMaker 终端节点已启用 AWS 密钥管理服务 (AWS KMS) 加密。由于敏感数据可以静态存在于 SageMaker 端点中，因此启用静态加密以帮助保护这些数据。
SI-2(2)	组织至少每月使用一次自动化机制来确定信息系统组件在缺陷修复方面的状态。	ec2-管理instance-managed-by-systems器	通过使用 Systems Man AWS ager 管理亚马逊弹性计算云 (Amazon EC2) 实例，可以清点组织内的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发行商和版本以及有关您的环境的其他详细信息。
SI-2(2)	组织至少每月使用一次自动化机制来确定信息系统组件在缺陷修复方面的状态。	ec2-managedinstance-association-compliance-status-check	使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。 AWS Systems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。
SI-2(2)	组织至少每月使用一次自动化机制来确定信息系统组件在缺陷修复方面的状态。	ec2-managedinstance-patch-compliance-status-check	启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。该规则根据贵组织的政策和程序的要求检查 S AWS ystems Manager 中的 Amazon EC2 实例补丁是否合规。
SI-2(2)	组织至少每月使用一次自动化机制来确定信息系统组件在缺陷修复方面的状态。	elastic-beanstalk-managed-updates-已启用	为 Amazon Elastic Beanstalk 环境启用受管平台更新可确保安装环境的最新可用平台修复、更新和功能。及时安装补丁是保护系统的最佳实践。
SI-3	组织：a. 在信息系统入口和出口处使用恶意代码保护机制来检测和消除恶意代码；b. 根据组织的配置管理策略和程序，每当有新版本可用时，就会更新恶意代码保护机制；c. 将恶意代码保护机制配置为：1. 在根据组织的安全策略，定期扫描信息系统 [分配：组织定义的频率]，并在 [选择（一项或多项）；端点；网络入口/出口点] 下载、打开或执行来自外部来源的文件时实时扫描文件；以及 2. [选择（一项或多项）：阻止恶意代码；隔离恶意代码；向管理员发送警报；[分配：组织定义的操作]] 以响应检测到的恶意代码；以及 d. 解决恶意代码检测和清除过程中的误报问题，以及由此对信息系统可用性造成的潜在影响。补充指南：信息系统的入口和出口点包括防火墙、电子邮件服务器、Web 服务器、代理服务器、远程访问服务器、工作站、笔记本电脑和移动设备。例如，恶意代码包括病毒、蠕虫、特洛伊木马和间谍软件。恶意代码也可以以各种格式（例如 UUENCODE、Unicode）编码，包含在压缩或隐藏文件中，或者使用隐写术隐藏在文件中。恶意代码可以通过不同的方式传输，例如，网络访问、电子邮件、电子邮件附件和便携式存储设备。恶意代码插入是通过利用信息系统漏洞进行的。例如，恶意代码保护机制包括防病毒签名定义和基于信誉的技术。有多种技术和方法可以限制或消除恶意代码的影响。无处不在的配置管理和全面的软件完整性控制可以有效防止未经授权的代码的执行。除商业 off-the-shelf 软件外，定制软件中也可能存在恶意代码。例如，这可能包括逻辑炸弹、后门以及其他可能影响组织任务/业务职能的网络攻击。传统的恶意代码保护机制无法始终检测到此类代码。在这些情况下，组织转而依赖其他保护措施，包括安全编码实践、配置管理和控制、可信采购流程和监控实践，以帮助确保软件不会执行预期功能以外的功能。组织可能会决定，为了应对检测到的恶意代码，可能需要采取不同的行动。例如，组织可以定义针对定期扫描期间检测到的恶意代码的操作、针对检测到恶意下载的操作，和/或针对在尝试打开或执行文件时检测到的恶意行为的操作。相关控制：CM-3、MP-2、SA-4、SA-8、SA-12、SA-13、SC-7、SC-26、SC-44、SI-2、SI-4、SI-7。参考文献：NIST 专题出版物 800-83。	codebuild-project-envvar-awscred-检查	确保 Codebuild 项目环境中不存在身份验证凭据 AWS_ACCESS_KEY_ID 和 AWS_SECRET_ACCESS_KEY。 AWS 不要以明文形式存储这些变量。以明文形式存储这些变量会导致意外的数据泄露和未经授权的访问。
SI-3	组织：a. 在信息系统入口和出口处使用恶意代码保护机制来检测和消除恶意代码；b. 根据组织的配置管理策略和程序，每当有新版本可用时，就会更新恶意代码保护机制；c. 将恶意代码保护机制配置为：1. 在根据组织的安全策略，定期扫描信息系统 [分配：组织定义的频率]，并在 [选择（一项或多项）；端点；网络入口/出口点] 下载、打开或执行来自外部来源的文件时实时扫描文件；以及 2. [选择（一项或多项）：阻止恶意代码；隔离恶意代码；向管理员发送警报；[分配：组织定义的操作]] 以响应检测到的恶意代码；以及 d. 解决恶意代码检测和清除过程中的误报问题，以及由此对信息系统可用性造成的潜在影响。补充指南：信息系统的入口和出口点包括防火墙、电子邮件服务器、Web 服务器、代理服务器、远程访问服务器、工作站、笔记本电脑和移动设备。例如，恶意代码包括病毒、蠕虫、特洛伊木马和间谍软件。恶意代码也可以以各种格式（例如 UUENCODE、Unicode）编码，包含在压缩或隐藏文件中，或者使用隐写术隐藏在文件中。恶意代码可以通过不同的方式传输，例如，网络访问、电子邮件、电子邮件附件和便携式存储设备。恶意代码插入是通过利用信息系统漏洞进行的。例如，恶意代码保护机制包括防病毒签名定义和基于信誉的技术。有多种技术和方法可以限制或消除恶意代码的影响。无处不在的配置管理和全面的软件完整性控制可以有效防止未经授权的代码的执行。除商业 off-the-shelf 软件外，定制软件中也可能存在恶意代码。例如，这可能包括逻辑炸弹、后门以及其他可能影响组织任务/业务职能的网络攻击。传统的恶意代码保护机制无法始终检测到此类代码。在这些情况下，组织转而依赖其他保护措施，包括安全编码实践、配置管理和控制、可信采购流程和监控实践，以帮助确保软件不会执行预期功能以外的功能。组织可能会决定，为了应对检测到的恶意代码，可能需要采取不同的行动。例如，组织可以定义针对定期扫描期间检测到的恶意代码的操作、针对检测到恶意下载的操作，和/或针对在尝试打开或执行文件时检测到的恶意行为的操作。相关控制：CM-3、MP-2、SA-4、SA-8、SA-12、SA-13、SC-7、SC-26、SC-44、SI-2、SI-4、SI-7。参考文献：NIST 专题出版物 800-83。	codebuild-project-source-repo-url-check	确保 GitHub 或 Bitbucket 源存储库网址不包含个人访问令牌，即 AWS Codebuild 项目环境中的登录凭证。使用 OAuth 代替个人访问令牌或登录凭证来授予访问或 Bitbucket 存储库的授权。 GitHub
SI-3	组织：a. 在信息系统入口和出口处使用恶意代码保护机制来检测和消除恶意代码；b. 根据组织的配置管理策略和程序，每当有新版本可用时，就会更新恶意代码保护机制；c. 将恶意代码保护机制配置为：1. 在根据组织的安全策略，定期扫描信息系统 [分配：组织定义的频率]，并在 [选择（一项或多项）；端点；网络入口/出口点] 下载、打开或执行来自外部来源的文件时实时扫描文件；以及 2. [选择（一项或多项）：阻止恶意代码；隔离恶意代码；向管理员发送警报；[分配：组织定义的操作]] 以响应检测到的恶意代码；以及 d. 解决恶意代码检测和清除过程中的误报问题，以及由此对信息系统可用性造成的潜在影响。补充指南：信息系统的入口和出口点包括防火墙、电子邮件服务器、Web 服务器、代理服务器、远程访问服务器、工作站、笔记本电脑和移动设备。例如，恶意代码包括病毒、蠕虫、特洛伊木马和间谍软件。恶意代码也可以以各种格式（例如 UUENCODE、Unicode）编码，包含在压缩或隐藏文件中，或者使用隐写术隐藏在文件中。恶意代码可以通过不同的方式传输，例如，网络访问、电子邮件、电子邮件附件和便携式存储设备。恶意代码插入是通过利用信息系统漏洞进行的。例如，恶意代码保护机制包括防病毒签名定义和基于信誉的技术。有多种技术和方法可以限制或消除恶意代码的影响。无处不在的配置管理和全面的软件完整性控制可以有效防止未经授权的代码的执行。除商业 off-the-shelf 软件外，定制软件中也可能存在恶意代码。例如，这可能包括逻辑炸弹、后门以及其他可能影响组织任务/业务职能的网络攻击。传统的恶意代码保护机制无法始终检测到此类代码。在这些情况下，组织转而依赖其他保护措施，包括安全编码实践、配置管理和控制、可信采购流程和监控实践，以帮助确保软件不会执行预期功能以外的功能。组织可能会决定，为了应对检测到的恶意代码，可能需要采取不同的行动。例如，组织可以定义针对定期扫描期间检测到的恶意代码的操作、针对检测到恶意下载的操作，和/或针对在尝试打开或执行文件时检测到的恶意行为的操作。相关控制：CM-3、MP-2、SA-4、SA-8、SA-12、SA-13、SC-7、SC-26、SC-44、SI-2、SI-4、SI-7。参考文献：NIST 专题出版物 800-83。	ecs-task-definition-memory-硬限制	限制 Amazon Elastic Container Service (ECS) 容器可用的最大内存可确保您的资源使用量不会在容器遭到恶意访问时被滥用。
SI-4(1)	组织将各个入侵检测工具连接起来并配置到信息系统范围的入侵检测系统中。	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 列表和机器学习，用于识别 AWS 云环境中意外、未经授权和恶意的活动。
SI-4(2)	组织使用自动化工具来支持事件的近实时分析。	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，则会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
SI-4(2)	组织使用自动化工具来支持事件的近实时分析。	securityhub-enabled	AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。 AWS Security Hub 汇总、整理来自多个服务的安全警报或发现，并对其进行优先排序。 AWS 其中一些服务包括Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS 身份和访问管理 (IAM) Access Analyzer、Firewall Manager 以及 AWS 合作伙伴解决方案。 AWS
SI-4(2)	组织使用自动化工具来支持事件的近实时分析。	cloudtrail-enabled	AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。
SI-4(2)	组织使用自动化工具来支持事件的近实时分析。	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 数据事件有助于检测任何异常活动。详细 AWS 账户 信息包括访问 Amazon S3 存储桶的信息、IP 地址和事件时间。
SI-4(2)	组织使用自动化工具来支持事件的近实时分析。	cloudwatch-alarm-action-check	当某个指标在指定数量的评估周期内突破阈值时，Amazon 会发出 CloudWatch 警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （配置默认值：True）、 insufficientDataAction必填项（配置默认值：True）、 okActionRequired （配置默认值：False）的值。实际值应反映您的环境的警报操作。
SI-4(2)	组织使用自动化工具来支持事件的近实时分析。	ec2-instance-detailed-monitoring-enabled	启用此规则可帮助改进 Amazon EC2 控制台上的 Amazon Elastic Compute Cloud (Amazon EC2) 实例监控，该控制台以 1 分钟为周期显示实例的监控图。
SI-4(2)	组织使用自动化工具来支持事件的近实时分析。	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 列表和机器学习，用于识别 AWS 云环境中意外、未经授权和恶意的活动。
SI-4(2)	组织使用自动化工具来支持事件的近实时分析。	redshift-cluster-configuration-check	要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。
SI-4(4)	信息系统持续监控入站和出站通信流量，以发现异常或未经授权的活动或情况。	securityhub-enabled	AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。 AWS Security Hub 汇总、整理来自多个服务的安全警报或发现，并对其进行优先排序。 AWS 其中一些服务包括Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS 身份和访问管理 (IAM) Access Analyzer、Firewall Manager 以及 AWS 合作伙伴解决方案。 AWS
SI-4(4)	信息系统持续监控入站和出站通信流量，以发现异常或未经授权的活动或情况。	cloud-trail-cloud-watch-启用日志	使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您内部的 API 调用活动的详细信息 AWS 账户。
SI-4(4)	信息系统持续监控入站和出站通信流量，以发现异常或未经授权的活动或情况。	cloudwatch-alarm-action-check	当某个指标在指定数量的评估周期内突破阈值时，Amazon 会发出 CloudWatch 警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （配置默认值：True）、 insufficientDataAction必填项（配置默认值：True）、 okActionRequired （配置默认值：False）的值。实际值应反映您的环境的警报操作。
SI-4(4)	信息系统持续监控入站和出站通信流量，以发现异常或未经授权的活动或情况。	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 列表和机器学习，用于识别 AWS 云环境中意外、未经授权和恶意的活动。
SI-4(5)	当出现以下感染或潜在感染迹象时，信息系统会提醒 [分配：组织定义的人员或角色]：[分配：组织定义的感染指标]。	securityhub-enabled	AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。 AWS Security Hub 汇总、整理来自多个服务的安全警报或发现，并对其进行优先排序。 AWS 其中一些服务包括Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS 身份和访问管理 (IAM) Access Analyzer、Firewall Manager 以及 AWS 合作伙伴解决方案。 AWS
SI-4(5)	当出现以下感染或潜在感染迹象时，信息系统会提醒 [分配：组织定义的人员或角色]：[分配：组织定义的感染指标]。	cloud-trail-cloud-watch-启用日志	使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您内部的 API 调用活动的详细信息 AWS 账户。
SI-4(5)	当出现以下感染或潜在感染迹象时，信息系统会提醒 [分配：组织定义的人员或角色]：[分配：组织定义的感染指标]。	cloudwatch-alarm-action-check	当某个指标在指定数量的评估周期内突破阈值时，Amazon 会发出 CloudWatch 警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （配置默认值：True）、 insufficientDataAction必填项（配置默认值：True）、 okActionRequired （配置默认值：False）的值。实际值应反映您的环境的警报操作。
SI-4(5)	当出现以下感染或潜在感染迹象时，信息系统会提醒 [分配：组织定义的人员或角色]：[分配：组织定义的感染指标]。	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 列表和机器学习，用于识别 AWS 云环境中意外、未经授权和恶意的活动。
SI-4(16)	组织将来自整个信息系统中使用的监控工具的信息关联起来。	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，则会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
SI-4(16)	组织将来自整个信息系统中使用的监控工具的信息关联起来。	securityhub-enabled	AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。 AWS Security Hub 汇总、整理来自多个服务的安全警报或发现，并对其进行优先排序。 AWS 其中一些服务包括Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS 身份和访问管理 (IAM) Access Analyzer、Firewall Manager 以及 AWS 合作伙伴解决方案。 AWS
SI-4(16)	组织将来自整个信息系统中使用的监控工具的信息关联起来。	cloudtrail-enabled	AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。
SI-4(16)	组织将来自整个信息系统中使用的监控工具的信息关联起来。	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 数据事件有助于检测任何异常活动。详细 AWS 账户 信息包括访问 Amazon S3 存储桶的信息、IP 地址和事件时间。
SI-4(16)	组织将来自整个信息系统中使用的监控工具的信息关联起来。	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 列表和机器学习，用于识别 AWS 云环境中意外、未经授权和恶意的活动。
SI-4(16)	组织将来自整个信息系统中使用的监控工具的信息关联起来。	redshift-cluster-configuration-check	要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。
SI-4(a)(b)(c)	组织：a. 监控要检测的信息系统：1. 根据 [分配：组织定义的监控目标] 的攻击和潜在攻击指标；以及 2. 未经授权的本地、网络和远程连接；b. 通过 [分配：组织定义的技术和方法] 识别未经授权使用信息系统的行为；c. i. 在信息系统内战略性地部署监控设备，以收集组织确定的基本信息；ii 在系统内的临时地点部署监控设备，以跟踪组织感兴趣的特定类型的交易。	alb-waf-enabled	确保在弹性负载均衡器 (ELB) 上启用 AWS WAF，以帮助保护 Web 应用程序。WAF 有助于保护您的 Web 应用程序或 API 免遭常见 Web 漏洞的侵害。这些 Web 漏洞可能会影响可用性、损害安全性或消耗环境中过多的资源。
SI-4(a)(b)(c)	组织：a. 监控要检测的信息系统：1. 根据 [分配：组织定义的监控目标] 的攻击和潜在攻击指标；以及 2. 未经授权的本地、网络和远程连接；b. 通过 [分配：组织定义的技术和方法] 识别未经授权使用信息系统的行为；c. i. 在信息系统内战略性地部署监控设备，以收集组织确定的基本信息；ii 在系统内的临时地点部署监控设备，以跟踪组织感兴趣的特定类型的交易。	api-gw-associated-with-waf	AWS WAF 允许您配置一组规则（称为 Web 访问控制列表 (Web ACL)），这些规则根据您定义的可自定义 Web 安全规则和条件允许、阻止或计数 Web 请求。确保您的 Amazon API Gateway 阶段与某个 WAF Web ACL 关联，以保护其免受恶意攻击
SI-4(a)(b)(c)	组织：a. 监控要检测的信息系统：1. 根据 [分配：组织定义的监控目标] 的攻击和潜在攻击指标；以及 2. 未经授权的本地、网络和远程连接；b. 通过 [分配：组织定义的技术和方法] 识别未经授权使用信息系统的行为；c. i. 在信息系统内战略性地部署监控设备，以收集组织确定的基本信息；ii 在系统内的临时地点部署监控设备，以跟踪组织感兴趣的特定类型的交易。	guardduty-non-archived-findings	Amazon 按严重程度对调查结果进行分类：低、中、高，从而 GuardDuty 帮助您了解事件的影响。您可以使用这些分类来确定补救策略和优先级。此规则允许您根据组织政策的 daysLowSev 要求选择性地为非存档的查找结果设置 daysMediumSev （配置默认值：30）、 daysHighSev （配置默认值：7）和（配置默认：1）。
SI-4(a)(b)(c)	组织：a. 监控要检测的信息系统：1. 根据 [分配：组织定义的监控目标] 的攻击和潜在攻击指标；以及 2. 未经授权的本地、网络和远程连接；b. 通过 [分配：组织定义的技术和方法] 识别未经授权使用信息系统的行为；c. i. 在信息系统内战略性地部署监控设备，以收集组织确定的基本信息；ii 在系统内的临时地点部署监控设备，以跟踪组织感兴趣的特定类型的交易。	securityhub-enabled	AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。 AWS Security Hub 汇总、整理来自多个服务的安全警报或发现，并对其进行优先排序。 AWS 其中一些服务包括Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS 身份和访问管理 (IAM) Access Analyzer、Firewall Manager 以及 AWS 合作伙伴解决方案。 AWS
SI-4(a)(b)(c)	组织：a. 监控要检测的信息系统：1. 根据 [分配：组织定义的监控目标] 的攻击和潜在攻击指标；以及 2. 未经授权的本地、网络和远程连接；b. 通过 [分配：组织定义的技术和方法] 识别未经授权使用信息系统的行为；c. i. 在信息系统内战略性地部署监控设备，以收集组织确定的基本信息；ii 在系统内的临时地点部署监控设备，以跟踪组织感兴趣的特定类型的交易。	wafv2-logging-enabled	要帮助在您的环境中进行日志记录和监控，请在区域和全球 Web ACL 上启用 AWS WAF (V2) 日志记录。 AWS WAF 日志记录提供有关您的 Web ACL 所分析的流量的详细信息。这些日志记录了 AWS WAF 从您的 AWS 资源收到请求的时间、有关请求的信息以及每个请求匹配的规则的操作。
SI-4(a)(b)(c)	组织：a. 监控要检测的信息系统：1. 根据 [分配：组织定义的监控目标] 的攻击和潜在攻击指标；以及 2. 未经授权的本地、网络和远程连接；b. 通过 [分配：组织定义的技术和方法] 识别未经授权使用信息系统的行为；c. i. 在信息系统内战略性地部署监控设备，以收集组织确定的基本信息；ii 在系统内的临时地点部署监控设备，以跟踪组织感兴趣的特定类型的交易。	cloud-trail-cloud-watch-启用日志	使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您内部的 API 调用活动的详细信息 AWS 账户。
SI-4(a)(b)(c)	组织：a. 监控要检测的信息系统：1. 根据 [分配：组织定义的监控目标] 的攻击和潜在攻击指标；以及 2. 未经授权的本地、网络和远程连接；b. 通过 [分配：组织定义的技术和方法] 识别未经授权使用信息系统的行为；c. i. 在信息系统内战略性地部署监控设备，以收集组织确定的基本信息；ii 在系统内的临时地点部署监控设备，以跟踪组织感兴趣的特定类型的交易。	cloudwatch-alarm-action-check	当某个指标在指定数量的评估周期内突破阈值时，Amazon 会发出 CloudWatch 警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （配置默认值：True）、 insufficientDataAction必填项（配置默认值：True）、 okActionRequired （配置默认值：False）的值。实际值应反映您的环境的警报操作。
SI-4(a)(b)(c)	组织：a. 监控要检测的信息系统：1. 根据 [分配：组织定义的监控目标] 的攻击和潜在攻击指标；以及 2. 未经授权的本地、网络和远程连接；b. 通过 [分配：组织定义的技术和方法] 识别未经授权使用信息系统的行为；c. i. 在信息系统内战略性地部署监控设备，以收集组织确定的基本信息；ii 在系统内的临时地点部署监控设备，以跟踪组织感兴趣的特定类型的交易。	ec2-instance-detailed-monitoring-enabled	启用此规则可帮助改进 Amazon EC2 控制台上的 Amazon Elastic Compute Cloud (Amazon EC2) 实例监控，该控制台以 1 分钟为周期显示实例的监控图。
SI-4(a)(b)(c)	组织：a. 监控要检测的信息系统：1. 根据 [分配：组织定义的监控目标] 的攻击和潜在攻击指标；以及 2. 未经授权的本地、网络和远程连接；b. 通过 [分配：组织定义的技术和方法] 识别未经授权使用信息系统的行为；c. i. 在信息系统内战略性地部署监控设备，以收集组织确定的基本信息；ii 在系统内的临时地点部署监控设备，以跟踪组织感兴趣的特定类型的交易。	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 列表和机器学习，用于识别 AWS 云环境中意外、未经授权和恶意的活动。
SI-5	组织：a. 持续接收来自 [分配：组织定义的外部组织] 的信息系统安全警报、公告和指令；b. 根据需要生成内部安全警报、公告和指令；c. 向以下对象发布安全警报、建议和指令：[选择（一项或多项）：[分配：组织定义的人员或角色]；[分配：组织定义的组织内要素]；[分配：组织定义的外部组织]]；以及 d. 根据既定的时间框架实施安全指令，或将违规程度通知发布组织。补充指南：美国计算机应急准备小组 (US-CERT) 生成安全警报和建议，让联邦政府能够了解态势。安全指令由 OMB 或其他指定组织发布，他们有责任和权力发布此类指令。遵守安全指令至关重要，因为其中许多指令都非常重要，如果不及时执行这些指令，可能会对组织业务和资产、个人、其他组织和国家造成直接不利影响。例如，外部组织包括外部任务/业务合作伙伴、供应链合作伙伴、外部服务提供商和其他同行/支持组织。相关控制：SI-2。参考文献：NIST 专题出版物 800-40。	cloudwatch-alarm-action-check	当某个指标在指定数量的评估周期内突破阈值时，Amazon 会发出 CloudWatch 警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （配置默认值：True）、 insufficientDataAction必填项（配置默认值：True）、 okActionRequired （配置默认值：False）的值。实际值应反映您的环境的警报操作。
SI-5	组织：a. 持续接收来自 [分配：组织定义的外部组织] 的信息系统安全警报、公告和指令；b. 根据需要生成内部安全警报、公告和指令；c. 向以下对象发布安全警报、建议和指令：[选择（一项或多项）：[分配：组织定义的人员或角色]；[分配：组织定义的组织内要素]；[分配：组织定义的外部组织]]；以及 d. 根据既定的时间框架实施安全指令，或将违规程度通知发布组织。补充指南：美国计算机应急准备小组 (US-CERT) 生成安全警报和建议，让联邦政府能够了解态势。安全指令由 OMB 或其他指定组织发布，他们有责任和权力发布此类指令。遵守安全指令至关重要，因为其中许多指令都非常重要，如果不及时执行这些指令，可能会对组织业务和资产、个人、其他组织和国家造成直接不利影响。例如，外部组织包括外部任务/业务合作伙伴、供应链合作伙伴、外部服务提供商和其他同行/支持组织。相关控制：SI-2。参考文献：NIST 专题出版物 800-40。	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 列表和机器学习，用于识别 AWS 云环境中意外、未经授权和恶意的活动。
SI-5	组织：a. 持续接收来自 [分配：组织定义的外部组织] 的信息系统安全警报、公告和指令；b. 根据需要生成内部安全警报、公告和指令；c. 向以下对象发布安全警报、建议和指令：[选择（一项或多项）：[分配：组织定义的人员或角色]；[分配：组织定义的组织内要素]；[分配：组织定义的外部组织]]；以及 d. 根据既定的时间框架实施安全指令，或将违规程度通知发布组织。补充指南：美国计算机应急准备小组 (US-CERT) 生成安全警报和建议，让联邦政府能够了解态势。安全指令由 OMB 或其他指定组织发布，他们有责任和权力发布此类指令。遵守安全指令至关重要，因为其中许多指令都非常重要，如果不及时执行这些指令，可能会对组织业务和资产、个人、其他组织和国家造成直接不利影响。例如，外部组织包括外部任务/业务合作伙伴、供应链合作伙伴、外部服务提供商和其他同行/支持组织。相关控制：SI-2。参考文献：NIST 专题出版物 800-40。	guardduty-non-archived-findings	Amazon 按严重程度对调查结果进行分类：低、中、高，从而 GuardDuty 帮助您了解事件的影响。您可以使用这些分类来确定补救策略和优先级。此规则允许您根据组织政策的 daysLowSev 要求选择性地为非存档的查找结果设置 daysMediumSev （配置默认值：30）、 daysHighSev （配置默认值：7）和（配置默认：1）。
SI-5	组织：a. 持续接收来自 [分配：组织定义的外部组织] 的信息系统安全警报、公告和指令；b. 根据需要生成内部安全警报、公告和指令；c. 向以下对象发布安全警报、建议和指令：[选择（一项或多项）：[分配：组织定义的人员或角色]；[分配：组织定义的组织内要素]；[分配：组织定义的外部组织]]；以及 d. 根据既定的时间框架实施安全指令，或将违规程度通知发布组织。补充指南：美国计算机应急准备小组 (US-CERT) 生成安全警报和建议，让联邦政府能够了解态势。安全指令由 OMB 或其他指定组织发布，他们有责任和权力发布此类指令。遵守安全指令至关重要，因为其中许多指令都非常重要，如果不及时执行这些指令，可能会对组织业务和资产、个人、其他组织和国家造成直接不利影响。例如，外部组织包括外部任务/业务合作伙伴、供应链合作伙伴、外部服务提供商和其他同行/支持组织。相关控制：SI-2。参考文献：NIST 专题出版物 800-40。	securityhub-enabled	AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。 AWS Security Hub 汇总、整理来自多个服务的安全警报或发现，并对其进行优先排序。 AWS 其中一些服务包括Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS 身份和访问管理 (IAM) Access Analyzer、Firewall Manager 以及 AWS 合作伙伴解决方案。 AWS
SI-7(1)	信息系统至少每月对安全相关事件进行一次完整性检查。	cloud-trail-log-file-已启用验证	利用 AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 传送后是否被修改、删除或未更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这使得在没有检测到的情况下修改、删除或伪造 CloudTrail 日志文件在计算上是不可行的。
SI-7(1)	信息系统至少每月对安全相关事件进行一次完整性检查。	ec2-管理instance-managed-by-systems器	通过使用 Systems Man AWS ager 管理亚马逊弹性计算云 (Amazon EC2) 实例，可以清点组织内的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发行商和版本以及有关您的环境的其他详细信息。
SI-7(1)	信息系统至少每月对安全相关事件进行一次完整性检查。	ec2-managedinstance-patch-compliance-status-check	启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。该规则根据贵组织的政策和程序的要求检查 S AWS ystems Manager 中的 Amazon EC2 实例补丁是否合规。
SI-7	组织使用完整性验证工具来检测对 [分配：组织定义的软件、固件和信息] 的未经授权的更改。	cloud-trail-log-file-已启用验证	利用 AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 传送后是否被修改、删除或未更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这使得在没有检测到的情况下修改、删除或伪造 CloudTrail 日志文件在计算上是不可行的。
SI-11	信息系统：a. 生成错误消息，提供纠正措施所必需的信息，而不会泄露可能被对手利用的信息；以及 b. 仅向 [分配：组织定义的人员或角色] 显示错误消息。补充指南：组织仔细考虑错误消息的结构/内容。信息系统能在多大程度上识别和处理错误情况，取决于组织政策和操作要求。可能被对手利用的信息包括：错误的登录尝试（密码被错误地输入为用户名）、可从所记录的信息（如果没有明确说明）中推导出的任务/业务信息，以及个人信息（如账号、社会保险号和信用卡号）。此外，错误消息可能为传输信息提供一个秘密渠道。相关控制：AU-2、AU-3、SC-31。控制增强功能：无。参考文献：无。	api-gw-execution-logging-已启用	API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。
SI-11	信息系统：a. 生成错误消息，提供纠正措施所必需的信息，而不会泄露可能被对手利用的信息；以及 b. 仅向 [分配：组织定义的人员或角色] 显示错误消息。补充指南：组织仔细考虑错误消息的结构/内容。信息系统能在多大程度上识别和处理错误情况，取决于组织政策和操作要求。可能被对手利用的信息包括：错误的登录尝试（密码被错误地输入为用户名）、可从所记录的信息（如果没有明确说明）中推导出的任务/业务信息，以及个人信息（如账号、社会保险号和信用卡号）。此外，错误消息可能为传输信息提供一个秘密渠道。相关控制：AU-2、AU-3、SC-31。控制增强功能：无。参考文献：无。	cloud-trail-cloud-watch-启用日志	使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您内部的 API 调用活动的详细信息 AWS 账户。
SI-11	信息系统：a. 生成错误消息，提供纠正措施所必需的信息，而不会泄露可能被对手利用的信息；以及 b. 仅向 [分配：组织定义的人员或角色] 显示错误消息。补充指南：组织仔细考虑错误消息的结构/内容。信息系统能在多大程度上识别和处理错误情况，取决于组织政策和操作要求。可能被对手利用的信息包括：错误的登录尝试（密码被错误地输入为用户名）、可从所记录的信息（如果没有明确说明）中推导出的任务/业务信息，以及个人信息（如账号、社会保险号和信用卡号）。此外，错误消息可能为传输信息提供一个秘密渠道。相关控制：AU-2、AU-3、SC-31。控制增强功能：无。参考文献：无。	codebuild-project-logging-enabled	确保启用 AWS CodeBuild 项目日志记录，以便将您的构建输出日志发送到亚马逊 CloudWatch 或亚马逊简单存储服务 (Amazon S3) Simple Storage Service。构建输出日志提供有关您的构建项目的详细信息。
SI-11	信息系统：a. 生成错误消息，提供纠正措施所必需的信息，而不会泄露可能被对手利用的信息；以及 b. 仅向 [分配：组织定义的人员或角色] 显示错误消息。补充指南：组织仔细考虑错误消息的结构/内容。信息系统能在多大程度上识别和处理错误情况，取决于组织政策和操作要求。可能被对手利用的信息包括：错误的登录尝试（密码被错误地输入为用户名）、可从所记录的信息（如果没有明确说明）中推导出的任务/业务信息，以及个人信息（如账号、社会保险号和信用卡号）。此外，错误消息可能为传输信息提供一个秘密渠道。相关控制：AU-2、AU-3、SC-31。控制增强功能：无。参考文献：无。	elasticsearch-logs-to-cloudwatch	确保 Amazon S OpenSearch ervice 域已启用错误日志，并将其流式传输到 Amazon CloudWatch Logs 以进行保留和响应。域错误日志可以帮助进行安全和访问审核，还可以帮助诊断可用性问题。
SI-11	信息系统：a. 生成错误消息，提供纠正措施所必需的信息，而不会泄露可能被对手利用的信息；以及 b. 仅向 [分配：组织定义的人员或角色] 显示错误消息。补充指南：组织仔细考虑错误消息的结构/内容。信息系统能在多大程度上识别和处理错误情况，取决于组织政策和操作要求。可能被对手利用的信息包括：错误的登录尝试（密码被错误地输入为用户名）、可从所记录的信息（如果没有明确说明）中推导出的任务/业务信息，以及个人信息（如账号、社会保险号和信用卡号）。此外，错误消息可能为传输信息提供一个秘密渠道。相关控制：AU-2、AU-3、SC-31。控制增强功能：无。参考文献：无。	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。
SI-11	信息系统：a. 生成错误消息，提供纠正措施所必需的信息，而不会泄露可能被对手利用的信息；以及 b. 仅向 [分配：组织定义的人员或角色] 显示错误消息。补充指南：组织仔细考虑错误消息的结构/内容。信息系统能在多大程度上识别和处理错误情况，取决于组织政策和操作要求。可能被对手利用的信息包括：错误的登录尝试（密码被错误地输入为用户名）、可从所记录的信息（如果没有明确说明）中推导出的任务/业务信息，以及个人信息（如账号、社会保险号和信用卡号）。此外，错误消息可能为传输信息提供一个秘密渠道。相关控制：AU-2、AU-3、SC-31。控制增强功能：无。参考文献：无。	vpc-flow-logs-enabled	VPC 流日志详细记录进出 Amazon Virtual Private Cloud (Amazon VPC) 网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。
SI-11	信息系统：a. 生成错误消息，提供纠正措施所必需的信息，而不会泄露可能被对手利用的信息；以及 b. 仅向 [分配：组织定义的人员或角色] 显示错误消息。补充指南：组织仔细考虑错误消息的结构/内容。信息系统能在多大程度上识别和处理错误情况，取决于组织政策和操作要求。可能被对手利用的信息包括：错误的登录尝试（密码被错误地输入为用户名）、可从所记录的信息（如果没有明确说明）中推导出的任务/业务信息，以及个人信息（如账号、社会保险号和信用卡号）。此外，错误消息可能为传输信息提供一个秘密渠道。相关控制：AU-2、AU-3、SC-31。控制增强功能：无。参考文献：无。	opensearch-logs-to-cloudwatch	确保 Amazon S OpenSearch ervice 域已启用错误日志，并将其流式传输到 Amazon CloudWatch Logs 以进行保留和响应。 OpenSearch 服务错误日志可以帮助进行安全和访问审计，还可以帮助诊断可用性问题。
SI-12	组织根据适用的联邦法律、行政令、指令、政策、法规、标准和操作要求，处理和保留信息系统内的信息及系统输出的信息。	aurora-resources-protected-by-备份计划	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Aurora 资源。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
SI-12	组织根据适用的联邦法律、行政令、指令、政策、法规、标准和操作要求，处理和保留信息系统内的信息及系统输出的信息。	backup-plan-min-frequency-and-min-retention-check	为了帮助完成数据 AWS 备份流程，请确保将 Backup 计划设置为最低频率和保留期。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredFrequencyValue （配置默认：1）、 requiredRetentionDays （配置默认值：35）和 requiredFrequencyUnit （配置默认值：天）参数。实际值应反映贵组织的需求。
SI-12	组织根据适用的联邦法律、行政令、指令、政策、法规、标准和操作要求，处理和保留信息系统内的信息及系统输出的信息。	cw-loggroup-retention-period-检查	确保为日志组保留事件日志数据的最短时间，以帮助进行故障排除和取证调查。缺乏过去的事件日志数据会让重建和识别潜在的恶意事件变得困难。
SI-12	组织根据适用的联邦法律、行政令、指令、政策、法规、标准和操作要求，处理和保留信息系统内的信息及系统输出的信息。	dynamodb-resources-protected-by-备份计划	为了帮助完成数据备份流程，请确保备份计划中包含您的 Amazon DynamoDB 资源。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
SI-12	组织根据适用的联邦法律、行政令、指令、政策、法规、标准和操作要求，处理和保留信息系统内的信息及系统输出的信息。	ebs-resources-protected-by-备份计划	为了帮助完成数据备份流程，请确保您的亚马逊弹性区块存储 (Amazon EBS) 资源包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
SI-12	组织根据适用的联邦法律、行政令、指令、政策、法规、标准和操作要求，处理和保留信息系统内的信息及系统输出的信息。	ec2 resources-protected-by-backup-计划	为了帮助完成数据备份流程，请确保您的亚马逊弹性计算云 (Amazon EC2) 资源包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
SI-12	组织根据适用的联邦法律、行政令、指令、政策、法规、标准和操作要求，处理和保留信息系统内的信息及系统输出的信息。	efs-resources-protected-by-备份计划	为了帮助完成数据备份流程，请确保您的亚马逊弹性文件系统（Amazon EFS）文件系统包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
SI-12	组织根据适用的联邦法律、行政令、指令、政策、法规、标准和操作要求，处理和保留信息系统内的信息及系统输出的信息。	fsx-resources-protected-by-备份计划	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon FSx 文件系统。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
SI-12	组织根据适用的联邦法律、行政令、指令、政策、法规、标准和操作要求，处理和保留信息系统内的信息及系统输出的信息。	rds-resources-protected-by-备份计划	为了帮助完成数据备份流程，请确保您的亚马逊关系数据库服务 (Amazon RDS) 资源包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
SI-12	组织根据适用的联邦法律、行政令、指令、政策、法规、标准和操作要求，处理和保留信息系统内的信息及系统输出的信息。	redshift-backup-enabled	为了帮助完成数据备份流程，请确保您的 Amazon Redshift 集群具有自动快照。当某个集群的自动快照处于启用状态时，Redshift 会定期拍摄该集群的快照。默认情况下，Redshift 每八小时或每 5 GB 为每个数据更改节点（或以先到者为准）拍摄一次快照。
SI-12	组织根据适用的联邦法律、行政令、指令、政策、法规、标准和操作要求，处理和保留信息系统内的信息及系统输出的信息。	db-instance-backup-enabled	Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 会自动创建数据库实例的存储卷快照，备份整个数据库实例。系统允许您设置特定的保留期以满足您的弹性要求。
SI-12	组织根据适用的联邦法律、行政令、指令、政策、法规、标准和操作要求，处理和保留信息系统内的信息及系统输出的信息。	dynamodb-pitr-enabled	启用此规则可检查信息是否已备份。它还通过确保在 Amazon DynamoDB 中启用 point-in-time 恢复功能来维护备份。恢复过程会维持表在过去 35 天的连续备份。
SI-12	组织根据适用的联邦法律、行政令、指令、政策、法规、标准和操作要求，处理和保留信息系统内的信息及系统输出的信息。	elasticache-redis-cluster-automatic-备份检查	启用自动备份后，Amazon ElastiCache 会每天创建集群的备份。备份可保留的天数由贵组织规定。自动备份可以帮助防止数据丢失。发生故障时，您可以通过从最新的备份还原数据来创建新集群。
SI-12	组织根据适用的联邦法律、行政令、指令、政策、法规、标准和操作要求，处理和保留信息系统内的信息及系统输出的信息。	s3-bucket-versioning-enabled	Amazon Simple Storage Service (Amazon S3) 存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。
SI-16	信息系统实施 [分配：组织定义的安全保护措施]，以保护其内存免受未经授权的代码执行的侵害。补充指南：一些对手发起攻击，目的是在内存的不可执行区域或被禁止的内存位置执行代码。例如，用于保护内存的安全措施包括数据执行防护和地址空间布局随机化。数据执行保护措施可以由硬件强制执行，也可以由软件强制执行，硬件提供的机制强度更大。相关控制：AC-25、SC-3。控制增强功能：无。参考文献：无。	ecs-task-definition-memory-硬限制	限制 Amazon Elastic Container Service (ECS) 容器可用的最大内存可确保您的资源使用量不会在容器遭到恶意访问时被滥用。

模板

该模板可在以下网址获得 GitHub：FedRAMP 操作最佳实践（中级）。