德国运营最佳实践云计算合规标准目录 (C5) - AWS Config

本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。

德国运营最佳实践云计算合规标准目录 (C5)

Conformance packs提供了通用的合规性框架,旨在使您能够使用托管或自定义AWS Config规则和AWS Config补救措施来创建安全、运营或成本优化治理检查。作为示例模板的Conformance Packs并不是为了完全确保符合特定的治理或合规性标准而设计的。您有责任自行评估您对服务的使用是否符合适用的法律和监管要求。

以下提供了德国云计算合规性标准目录 (C5) 和AWS托管Config 规则之间的示例映射。每个 Config 规则都适用于特定AWS资源,并与一个或多个 Germany C5 控件相关。德国 C5 控件可以与多个 Config 规则相关联。有关这些映射的更多详细信息和指导,请参阅下表。

AWS 区域:除AWS GovCloud 了(美国东)、AWS GovCloud (美国西部)、(美国西部)、(美国西部)AWS 区域

控制 ID AWSConfig 规则 指导
COS-01

alb-waf-enabled

确保在弹性负载均衡器 (ELB) 上启用AWS WAF 以帮助保护 Web 应用程序。WAF 有助于保护您的 Web 应用程序或 API 免遭常见 Web 漏洞的攻击。这些 Web 漏洞可能会影响可用性、损害安全性或消耗环境中的过多资源。
COS-01

api-gw-associated-with-waf

AWS利用 WAF,您可以配置一组规则(称为 Web 访问控制列表 (Web ACL)),基于可自定义的 Web 安全规则和条件,允许、阻止或统计 Web 请求。确保您的Amazon API Gateway 阶段与 WAF Web ACL 相关联,以保护其免受恶意攻击
COS-01

waf-regional-rule-not-空

确保您的AWS WAF 的规则不为空。没有条件的规则可能会导致意想不到的行为。
COS-01

waf-regional-rulegroup-not-空

确保您的AWS WAF 的规则组不为空。规则组为空可能会导致意外行为。
COS-01

waf-regional-webacl-not-空

连接到AWS WAF 的 Web ACL 可以包含一组用于检查和控制 Web 请求的规则和规则组。如果 Web ACL 为空,则 Web 流量不会被 WAF 检测到或采取任何行动。
COS-01

guardduty-enabled-centralized

亚马逊 GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 列表和机器学习列表,以标识您AWS Cloud 环境中意外的和未经授权的恶意活动。
COS-03

alb-waf-enabled

确保在弹性负载均衡器 (ELB) 上启用AWS WAF 以帮助保护 Web 应用程序。WAF 有助于保护您的 Web 应用程序或 API 免遭常见 Web 漏洞的攻击。这些 Web 漏洞可能会影响可用性、损害安全性或消耗环境中的过多资源。
COS-03

dms-replication-not-public

通过确保无法公开访问 DMS 复制实例来管理对AWS云的访问权限。DMS 复制实例可能包含敏感信息,此类账户需要访问控制。
COS-03

ebs-snapshot-public-restorable-检查

通过确保 EBS 快照不可公开恢复,管理对AWS云的访问权限。EBS 卷快照可能包含敏感信息,此类账户需要访问控制。
COS-03

ec2-instance-no-public-ip

通过确保无法公开访问Amazon Elastic Compute Cloud (Amazon EC2) 实例来管理云的访问权限。AWSAmazon EC2 实例可能包含敏感信息,此类账户需要访问控制。
COS-03

ec2-instances-in-vpc

在Amazon Virtual Private Cloud (Amazon VPC) 中部署 Amazon Elastic Compute Cloud (Amazon EC2) 实例,您可以在实例和 Amazon VPC 中的其他服务之间进行安全通信,而无需互联网网关、NAT 设备或 VPN 连接 AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离,与使用公共端点的域相比,驻留在 Amazon VPC 中的域有一层额外的安全性。将 Amazon EC2 实例分配给亚马逊 VPC 以正确管理访问权限。
COS-03

elasticsearch-in-vpc-only

通过确保AmazonAWS Service( OpenSearch OpenSearch 服务)域位于Amazon Virtual Private Cloud (Amazon VPC) 中,管理对云的访问 Amazon VPC 中的 OpenSearch 服务域可以在 Service 和 Amazon VPC 中的其他 OpenSearch 服务之间进行安全通信,而无需 Internet 网关、NAT 设备或 VPN 连接。
COS-03

opensearch-in-vpc-only

通过确保AmazonAWS Serv OpenSearch ice 域在 Amazon Virtual Private Cloud (Amazon VPC) 中进行管理。Amazon OpenSearch VPC 中的Amazon Service 域可以在 Amazon OpenSearch Service 域和 Amazon VPC 中的其他服务之间进行安全通信,而无需 Internet 网关、NAT 设备或 VPN 连接。
COS-03

emr-master-no-public-ip

通过确保无法公开访问 Amazon EMR 集群主节点来管理对AWS云的访问权限。Amazon EMR 集群主节点可能包含敏感信息,此类账户需要访问控制。
COS-03

internet-gateway-authorized-vpc-仅限

通过确保互联网网关仅连接到经授权的 Amazon Virtual Private Cloud (Amazon VPC),管理对云中资源的访问。AWS互联网网关允许双向互联网访问 Amazon VPC 和从 Amazon VPC 进行双向互联网访问,这可能会导致对亚马逊 VPC 资源的未经授权的访问。
COS-03

lambda-function-public-access-禁止

通过确保AWS Lambda 函数无法公开访问,管理对AWS云中资源的访问权限。公共访问可能导致资源可用性下降。
COS-03

lambda-inside-vpc

在 Amazon Virtual Private Cloud (Amazon VPC) 中部署AWS Lambda 函数,在 Amazon VPC irtual Private Clou 使用此配置,无需互联网网关、NAT 设备或 VPN 连接。AWS云中的所有流量都会保持安全。由于进行了逻辑隔离,与使用公共端点的域相比,驻留在 Amazon VPC 中的域有一层额外的安全性。为了正确管理访问权限,应AWS将 Lambda 函数分配给 VPC。
COS-03

rds-instance-public-access-检查

通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公共的,管理对AWS云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息,此类账户需要原则和访问控制。
COS-03

rds-snapshots-public-prohibited

通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公共的,管理对AWS云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息和原则,此类账户需要访问控制。
COS-03

redshift-cluster-public-access-检查

通过确保 Amazon Redshift 集群不公开,管理对AWS云中资源的访问权限。Amazon Redshift 集群可能包含敏感信息和原则,此类账户需要访问控制。
COS-03

restricted-common-ports

通过确保在 Amazon Elastic ComputeAWS Cloud (Amazon EC2) 安全组上限制常用的端口,管理对云中资源的访问。不限制可信来源对端口的访问可能会导致对系统的可用性、完整性和机密性的攻击。这条规则允许你有选择地设置 BlockedPort1-BlockedPort5 参数(Config 默认值:20,213389,3306,4333)。实际值应反映贵组织的政策。
COS-03

限制性的 ssh

Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以通过对AWS资源的入口和出口网络流量进行状态筛选,帮助管理网络访问。不允许您的资源上从 0.0.0.0/0 到端口 22 的入口(或远程)流量有助于限制远程访问。
COS-03

s3-account-level-public-access-区块-周期性

通过确保无法公开访问 Amazon Simple Storage Service (Amazon S3) 存储桶,管理对AWS云中资源的访问。该规则通过防止公共访问来帮助保护敏感数据免受未经授权的远程用户的侵害。此规则允许您选择设置 ignorePublicAcls (Config 默认值:True)、 blockPublicPolicy (Config 默认值:True)、 blockPublicAcls (Config 默认值:True)和 restrictPublicBuckets 参数(Config 默认值:True)。实际值应反映贵组织的政策。
COS-03

sagemaker-notebook-no-direct-互联网接入

通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网,管理对AWS云端资源的访问权限。通过防止直接访问互联网,您可以防止未经授权的用户访问敏感数据。
COS-03

vpc-default-security-group-关闭

Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以通过提供对AWS资源的入口和出口网络流量进行状态过滤,来帮助管理网络访问。限制默认安全组上的所有流量有助于限制对AWS资源的远程访问。
COS-03

vpc-sg-open-only-to-authorized-ports

通过确保在 Amazon Elastic ComputeAWS Cloud (Amazon EC2) 安全组上限制常用的端口,管理对云中资源的访问。不限制对可信来源的端口访问可能会导致对系统的可用性、完整性和机密性的攻击。通过限制从 Internet (0.0.0/0) 访问安全组中的资源(0.0.0/0),可以控制对内部系统的远程访问。
COS-03

alb-http-drop-invalid-启用标头

确保您的弹性负载均衡器 (ELB) 配置为删除 http 标头。由于敏感数据可能存在,因此请在传输过程中启用加密以帮助保护这些数据。
COS-05

iam-user-mfa-enabled

启用此规则以限制对AWS云中资源的访问。此规则确保对所有用户启用多重身份验证 (MFA),MFA 在登录凭证之上增加了一层额外的保护。通过要求用户使用 MFA 来减少账户被盗事件。
COS-05

mfa-enabled-for-iam-控制台访问权限

通过确保所有拥有控制台密码的Identity and Access ManagemAWS ent (IAM) 用户启用 MFA 来管理对AWS云中资源的访问权限。MFA 在登录凭证之上增加了一层额外的保护。通过要求用户使用 MFA,您可以减少账户被盗事件,并防止未经授权的用户访问敏感数据。
COS-05

root-account-hardware-mfa-启用

通过确保为根用户启用硬件 MFA,管理对AWS云中资源的访问权限。根用户是AWS账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户使用 MFA,可以减少AWS账户被入侵的发生。
COS-05

root-account-mfa-enabled

通过确保为根用户启用 MFA 来管理对AWS云中资源的访问权限。根用户是AWS账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户使用 MFA,可以减少AWS账户被入侵的发生。
COS-05

ec2-instance-no-public-ip

通过确保无法公开访问Amazon Elastic Compute Cloud (Amazon EC2) 实例来管理云的访问权限。AWSAmazon EC2 实例可能包含敏感信息,此类账户需要访问控制。
COS-05

emr-master-no-public-ip

通过确保无法公开访问 Amazon EMR 集群主节点来管理对AWS云的访问权限。Amazon EMR 集群主节点可能包含敏感信息,此类账户需要访问控制。
COS-05

rds-instance-public-access-检查

通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公共的,管理对AWS云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息,此类账户需要原则和访问控制。
COS-05

rds-snapshots-public-prohibited

通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公共的,管理对AWS云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息和原则,此类账户需要访问控制。
COS-05

redshift-cluster-public-access-检查

通过确保 Amazon Redshift 集群不公开,管理对AWS云中资源的访问权限。Amazon Redshift 集群可能包含敏感信息和原则,此类账户需要访问控制。
COS-05

restricted-common-ports

通过确保在 Amazon Elastic ComputeAWS Cloud (Amazon EC2) 安全组上限制常用的端口,管理对云中资源的访问。不限制可信来源对端口的访问可能会导致对系统的可用性、完整性和机密性的攻击。这条规则允许你有选择地设置 BlockedPort1-BlockedPort5 参数(Config 默认值:20,213389,3306,4333)。实际值应反映贵组织的政策。
COS-05

限制性的 ssh

Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以通过对AWS资源的入口和出口网络流量进行状态筛选,帮助管理网络访问。不允许您的资源上从 0.0.0.0/0 到端口 22 的入口(或远程)流量有助于限制远程访问。
COS-05

vpc-default-security-group-关闭

Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以通过提供对AWS资源的入口和出口网络流量进行状态过滤,来帮助管理网络访问。限制默认安全组上的所有流量有助于限制对AWS资源的远程访问。
COS-05

vpc-sg-open-only-to-authorized-ports

通过确保在 Amazon Elastic ComputeAWS Cloud (Amazon EC2) 安全组上限制常用的端口,管理对云中资源的访问。不限制对可信来源的端口访问可能会导致对系统的可用性、完整性和机密性的攻击。通过限制从 Internet (0.0.0/0) 访问安全组中的资源(0.0.0/0),可以控制对内部系统的远程访问。
CRY-02

alb-http-to-https-重定向检查

为了帮助保护传输中的数据,请确保您的Application Load Balancer 自动将未加密的 HTTP 请求重定向到 HTTPS。由于敏感数据可能存在,因此请在传输过程中启用加密以帮助保护这些数据。
CRY-02

api-gw-ssl-enabled

确保使用 SSL 证书配置 Amazon API Gateway REST API 阶段,以允许后端系统对来自 API Gateway 的请求进行身份验证。
CRY-02

elb-predefined-security-policy-ssl-check

为了帮助保护传输中的数据,请确保您的 Classic Elastic Load Balancing SSL 侦听器使用预定义的安全策略。Elastic Load Balancing 将提供预定义的 SSL 协商配置,在客户端与您的负载均衡器之间建立连接时,这些配置用于进行 SSL 协商。SSL 协商配置提供了广泛的客户端兼容性,并使用高强度的加密算法。此规则要求您为 SSL 侦听器设置预定义的安全策略。默认安全策略是:ELBSecurityPolicy-TLS-1-2-2017-0。实际价值应反映贵组织的政策
CRY-02

opensearch-https-required

由于敏感数据可能存在并且为了帮助保护传输中的数据,请确保为与您的亚马逊 OpenSearch 服务域的连接启用 HTTPS。
CRY-02

elasticsearch-node-to-node-加密检查

确保启用亚马逊 OpenSearch 服务的 node-to-node 加密。Node-to-node 加密对Amazon Virtice Cloud (Amazon VPC) 中的所有通信启用了 TLS 1.2 加密。由于敏感数据可能存在,因此请在传输过程中启用加密以帮助保护这些数据。
CRY-02

elb-tls-https-listeners-仅限

确保您的弹性负载均衡器 (ELB) 配置了 SSL 或 HTTPS 侦听器。由于敏感数据可能存在,因此请在传输过程中启用加密以帮助保护这些数据。
CRY-02

redshift-require-tls-ssl

确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于敏感数据可能存在,因此请在传输过程中启用加密以帮助保护这些数据。
CRY-02

s3-bucket-ssl-requests-only

为帮助保护传输中的数据,请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶要求请求使用安全套接字层 (SSL)。由于敏感数据可能存在,因此请在传输过程中启用加密以帮助保护这些数据。
CRY-02

opensearch-node-to-node-加密检查

确保启用亚马逊 OpenSearch 服务的 node-to-node 加密。Node-to-node 加密对Amazon Virtice Cloud (Amazon VPC) 中的所有通信启用了 TLS 1.2 加密。由于敏感数据可能存在,因此请在传输过程中启用加密以帮助保护这些数据。
CRY-03

api-gw-cache-enabled并已加密

为了帮助保护静态数据,请确保为您的 API Gateway 阶段的缓存启用加密。由于可以捕获 API 方法的敏感数据,因此启用静态加密以帮助保护这些数据。
CRY-03

cloud-trail-encryption-enabled

由于敏感数据可能存在,为了帮助保护静态数据,请确保为您的AWS CloudTrail 跟踪启用加密。
CRY-03

cloudwatch-log-group-encrypted

为帮助保护静态敏感数据,请确保对您的亚马逊 CloudWatch 日志组启用加密。
CRY-03

kinesis-stream-encrypted

由于敏感数据可能存在并且为了帮助保护静态数据,请确保为您的 Amazon Kinesis Streams 启用加密。
CRY-03

secretsmanager-using-cmk

为了帮助保护静态数据,请确保为 SAWS ecrets Manager 机密启用了密AWS钥管理服务 (AWSKMS) 加密。由于敏感数据可能静态存在于 Secrets Manager 机密中,因此启用静态加密以帮助保护这些数据。
CRY-03

dynamodb-table-encrypted-kms

确保您的Amazon DynamoDB 表已启用加密。由于敏感数据可能静态存在于这些表中,因此启用静态加密以帮助保护这些数据。默认情况下,DynamoDB 表是使用自己的客户AWS主密钥 (CMK) 加密的。
CRY-03

ebs-snapshot-public-restorable-检查

通过确保 EBS 快照不可公开恢复,管理对AWS云的访问权限。EBS 卷快照可能包含敏感信息,此类账户需要访问控制。
CRY-03

ec2-ebs-encryption-by-default

为了帮助保护静态数据,请确保对您的 Amazon EElastic Block Store (Amazon EBS) 卷启用加密。由于敏感数据可能静态存在于这些卷中,因此启用静态加密以帮助保护这些数据。
CRY-03

efs-encrypted-check

由于敏感数据可能存在并且为了帮助保护静态数据,请确保为您的 Amazon Elastic File System (EFS) 启用加密。
CRY-03

elasticsearch-encrypted-at-rest

由于敏感数据可能存在并且为了帮助保护静态数据,请确保对您的亚马逊 OpenSearch 服务(OpenSearch 服务)域启用加密。
CRY-03

opensearch-encrypted-at-rest

由于敏感数据可能存在并且为了帮助保护静态数据,请确保对您的亚马逊 OpenSearch 服务域启用加密。
CRY-03

加密卷

由于敏感数据可能存在,并且为了帮助保护静态数据,请确保对您的 Amazon Elastic Block Store (Amazon EBS) 卷启用加密。
CRY-03

rds-snapshot-encrypted

确保您的Amazon Service Service (Amazon RDS) 快照启用加密。由于敏感数据可能处于静态状态,因此启用静态加密以帮助保护这些数据。
CRY-03

codebuild-project-artifact-encryption

为了帮助保护静态的敏感数据,请确保对AWS CodeBuild 工件启用加密。
CRY-03

rds-storage-encrypted

为了帮助保护静态数据,请确保您的Amazon Relational Database Service Service (Amazon RDS) 实例启用加密。由于敏感数据可能静态存在于 Amazon RDS 实例中,因此启用静态加密以帮助保护这些数据。
CRY-03

redshift-cluster-configuration-check

要保护静态数据,请确保为您的 Amazon Redshift 集群启用加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录以提供有关数据库中的连接和用户活动的信息。此规则要求为 clusterDbEncrypted (Config 默认值:TRUE)和启用 LoggingEnabled(Config 默认值:TRUE)设置值。实际值应反映贵组织的政策。
CRY-03

s3-default-encryption-kms

确保您的Amazon Simple Storage Service Service Service Service 由于敏感数据可能静态存在于 Amazon S3 存储桶中,因此启用静态加密以帮助保护这些数据。
CRY-03

sagemaker-endpoint-configuration-kms-密钥配置

为帮助保护静态数据,请确保您的 SageMaker 终端节点启用了AWS密钥管理服务 (AWSKMS) 加密。由于敏感数据可能静态存在于 SageMaker 端点中,因此启用静态加密以帮助保护这些数据。
CRY-03

sagemaker-notebook-instance-kms-密钥配置

为帮助保护静态数据,请确保您的 SageMaker 笔记本电脑启用了AWS密钥管理服务 (AWSKMS) 加密。由于敏感数据可能静态存在于 SageMaker 笔记本电脑中,因此启用静态加密以帮助保护这些数据。
CRY-03

sns-encrypted-kms

为了帮助保护静态数据,请确保您的亚马逊Simple Notification Service (Amazon SNS) 主题需要使用AWS密钥管理服务 (AWSKMS) 进行加密。由于敏感数据可能静态存在于已发布的消息中,因此启用静态加密以帮助保护这些数据。
CRY-04

cmk-backing-key-rotation-启用

启用密钥轮换,确保密钥在加密周期结束后轮换。
DEV-07

cloud-trail-cloud-watch-启用日志

CloudWatch 使用亚马逊集中收集和管理日志事件活动。包含AWS CloudTrail 数据可提供您AWS账户内的 API 调用活动的详细信息。
DEV-07

codebuild-project-logging-enabled

确保启用AWS CodeBuild 项目日志,以便将构建输出日志发送到Amazon CloudWatch 或 Amazon Simple Storage Service (Amazon S3)。生成输出日志提供有关您的构建项目的详细信息。
DEV-07

s3-bucket-logging-enabled

Amazon Simple Storage Service (Amazon S3) 服务器访问日志提供了一种监控网络中潜在网络安全事件的方法。通过捕获对 Amazon S3 存储桶提出的各种请求,对事件进行监控。每条访问日志记录都提供有关单个访问请求的详细信息。详细地包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码(如果相关)。
DEV-07

已启用云端追踪

AWS CloudTrail 可以通过记录AWS管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用AWS服务的用户和AWS帐户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在AWS CloudTrail 记录内容中查看。
DEV-07

cloudtrail-s3 数据事件已启用

SimpSimple Storage Service (Amazon S3) 数据事件的收集有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的AWS账户信息、IP 地址和事件时间。
DEV-07

multi-region-cloudtrail-enabled

AWS CloudTrail 记录AWS管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了AWS、从中发出调用的源 IP 地址以及调用的源 IP 地址以及调用的源 IP 地址以及调用的源 IP 地址以及调用的源 IP 地址以及调用的源 IP 地址以及调用的源 CloudTrail 如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED,则会将所有AWS区域的日志文件传输到您的 S3 存储桶。此外,当AWS启动新区域时, CloudTrail 将在新区域中创建相同的路径。因此,您无需采取任何操作即可收到包含新区域的 API 活动的日志文件。
IDM-01

access-keys-rotated

通过确保 IAM 访问密钥按照组织政策轮换,对授权设备、用户和流程的证书进行审计。定期更改访问密钥是一种最佳安全实践。它缩短了访问密钥的有效时间,并减少了密钥泄露时对业务的影响。此规则需要访问密钥轮换值(Config 默认值:90)。实际价值应反映贵组织的政策。
IDM-01

emr-kerberos-enabled

通过为 Amazon EMR 集群启用 Kerberos,可以按照最小权限和职责分离的原则管理和整合访问权限和授权。在 Kerberos 中,需要进行身份验证的服务和用户被称为委托人。校长存在于 Kerberos 领域内。在该领域内,Kerberos 服务器被称为密钥分发中心 (KDC)。它为校长提供了一种进行身份验证的方法。KDC 通过签发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。
IDM-01

iam-password-policy

身份和证书是根据组织的 IAM 密码策略颁发、管理和验证的。它们达到或超过了 NIST SP 800-63 和密码强度AWS基础安全最佳实践标准规定的要求。此规则允许您根据需要设置 RequireUppercaseCharacters (AWS基础安全最佳实践值:true)、 RequireLowercaseCharacters (AWS基础安全最佳实践值:true)、 RequireSymbols (AWS基础安全最佳实践值:true)、 RequireNumbers (AWS基础安全最佳实践值:true)、 MinimumPasswordLength (AWS基础安全最佳实践值:14)、 PasswordReusePrevention (AWS基础安全最佳实践值:24)和 MaxPasswordAge (AWS基础安全最佳实践值:90)IAM 密码策略。实际值应反映贵组织的政策。
IDM-01

iam-root-access-key-检查

通过检查根用户的Identity and Access ManagemAWS ent (IAM) 角色是否附加访问密钥,可以控制对系统和资产的访问权限。确保删除根访问密钥。相反,创建和使用基于角色的AWS帐户来帮助纳入功能最少的原则。
IDM-01

iam-user-group-membership-检查

AWSIdentity and Access Management (IAM) 可以确保用户是至少一个群组的成员,从而帮助您限制访问权限和授权。允许用户超过完成任务所需的权限可能违反最小权限和职责分离的原则。
IDM-01

iam-user-mfa-enabled

启用此规则以限制对AWS云中资源的访问。此规则确保对所有用户启用多重身份验证 (MFA),MFA 在登录凭证之上增加了一层额外的保护。通过要求用户使用 MFA 来减少账户被盗事件。
IDM-01

iam-user-unused-credentials-检查

AWSIdentity and Access Management (IAM) 可以通过检查在指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果识别出这些未使用的证书,则应禁用和/或删除这些证书,因为这可能违反最小权限原则。此规则要求您为 maxCredentialUsage年龄设置一个值(Config 默认值:90)。实际价值应反映贵组织的政策。
IDM-01

mfa-enabled-for-iam-控制台访问权限

通过确保所有拥有控制台密码的Identity and Access ManagemAWS ent (IAM) 用户启用 MFA 来管理对AWS云中资源的访问权限。MFA 在登录凭证之上增加了一层额外的保护。通过要求用户使用 MFA,您可以减少账户被盗事件,并防止未经授权的用户访问敏感数据。
IDM-01

root-account-hardware-mfa-启用

通过确保为根用户启用硬件 MFA,管理对AWS云中资源的访问权限。根用户是AWS账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户使用 MFA,可以减少AWS账户被入侵的发生。
IDM-01

root-account-mfa-enabled

通过确保为根用户启用 MFA 来管理对AWS云中资源的访问权限。根用户是AWS账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户使用 MFA,可以减少AWS账户被入侵的发生。
IDM-01

secretsmanager-rotation-enabled-check

此规则可确保 SSAWS ecrets Manager 机密已启用轮换。定期轮换机密可以缩短机密的活跃时间,并有可能减少机密泄露后对业务的影响。
IDM-01

secretsmanager-scheduled-rotation-success-检查

此规则可确保 SAWS ecrets Manager 机密已根据轮换时间表成功轮换。定期轮换机密可以缩短机密的活跃时间,并有可能减少机密泄露后对业务的影响。
IDM-01

iam-group-has-users-检查

AWSIdentity and Access Management (IAM) 可以确保 IAM 群组至少有一个用户,从而帮助您将最低权限和职责分离的原则与访问权限和授权相结合。根据用户的关联权限或工作职能将用户分组是纳入最低权限的一种方法。
IDM-01

iam-user-no-policies-检查

此规则确保仅将IAWS dentity and Access Management (IAM) 策略附加到组或角色,以控制对系统和资产的访问。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。
IDM-01

codebuild-project-envvar-awscred-检查

确保身份验证凭证 AWS_ACCESS_KEY_ID 和 AWS_SECRET_ACCESS_KEY 在AWS Codebuild 项目环境中不存在。不要将这些变量存储在明文中。以明文形式存储这些变量会导致意外的数据泄露和未经授权的访问。
IDM-01

ecs-containers-nonprivileged

为了帮助实现最小权限原则,Amazon Elastic Container Service (Amazon ECS) 任务定义不应启用提升权限。在该参数为 true 时,将为该容器提供提升的主机容器实例权限(类似于根用户)。
IDM-01

ecs-containers-readonly-access

启用对 Amazon 弹性容器服务 (ECS) 容器的只读访问权限有助于遵守最低权限原则。此选项可以减少攻击向量,因为除非容器实例具有明确的读写权限,否则无法修改容器实例的文件系统。
IDM-01

ecs-task-definition-user-for-host-mode-check

如果任务定义具有更高的权限,那是因为客户特别选择了这些配置。当任务定义启用了主机联网但客户尚未选择启用提升权限时,此控件会检查是否存在意外权限升级。
IDM-01

efs-access-point-enforce-根目录

为 Amazon Elastic File System (Amazon EFS) 接入点强制设置根目录,可确保接入点的用户只能访问指定子目录的文件,从而帮助限制数据访问。
IDM-01

efs-access-point-enforce-用户身份

为帮助实现最小权限原则,请确保为您的 Amazon Elastic 文件系统 (Amazon EFS) 启用用户强制功能。启用后,Amazon EFS 将 NFS 客户端的用户和群组 ID 替换为在接入点上为所有文件系统操作配置的身份,并且仅授予对这种强制用户身份的访问权限。
IDM-01

iam-policy-no-statements-with-full-access

确保 IAM 操作仅限于所需的操作。允许用户拥有超过完成任务所需的权限可能违反最小权限和职责分离原则。
IDM-01

opensearch-access-control-enabled

确保您的Amazon OpenSearch Service 域启用精细访问控制。精细的访问控制提供了增强的授权机制,以实现对 Amazon Serv OpenSearch ice 域的最低权限访问。它允许对域进行基于角色的访问控制,以及索引、文档和字段级安全,支持 OpenSearch 服务仪表板的多租户,以及对 Service 和 Kibana 的 OpenSearch HTTP 基本身份验证。
IDM-01

rds-instance-iam-authentication-启用

确保在AmazonAWS Relational Database Service (Amazon RDS) 实例上启用Identity and Access Management (IAM) 身份验证,以控制对系统和资产的访问。这将强制使用安全套接字层 (SSL) 加密进出数据库的网络流量。您无需将用户凭证存储在数据库中,因为身份验证是外部管理的。
IDM-01

s3-bucket-acl-prohibited

此规则检查访问控制列表 (ACL) 是否用于对 Amazon S3 存储桶进行访问控制。ACL 是早于Identity and Access ManagemAWS ent (IAM) 的 Amazon S3 存储桶的传统访问控制机制。最佳做法是使用 IAM 策略或 S3 存储桶策略来更轻松地管理 S3 存储桶的访问权限,而不是 ACL。
IDM-03

iam-user-unused-credentials-检查

AWSIdentity and Access Management (IAM) 可以通过检查在指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果识别出这些未使用的证书,则应禁用和/或删除这些证书,因为这可能违反最小权限原则。此规则要求您为 maxCredentialUsage年龄设置一个值(Config 默认值:90)。实际价值应反映贵组织的政策。
IDM-03

secretsmanager-secret-unused

如果 SAWS ecrets Manager 中存在未使用的凭证,则应禁用和/或删除证书,因为这可能违反最小权限原则。此规则允许您将值设置为 unusedForDays (Config 默认值:90)。实际价值应反映贵组织的政策。
IDM-08

iam-password-policy

身份和证书是根据组织的 IAM 密码策略颁发、管理和验证的。它们达到或超过了 NIST SP 800-63 和密码强度AWS基础安全最佳实践标准规定的要求。此规则允许您根据需要设置 RequireUppercaseCharacters (AWS基础安全最佳实践值:true)、 RequireLowercaseCharacters (AWS基础安全最佳实践值:true)、 RequireSymbols (AWS基础安全最佳实践值:true)、 RequireNumbers (AWS基础安全最佳实践值:true)、 MinimumPasswordLength (AWS基础安全最佳实践值:14)、 PasswordReusePrevention (AWS基础安全最佳实践值:24)和 MaxPasswordAge (AWS基础安全最佳实践值:90)IAM 密码策略。实际值应反映贵组织的政策。
CRY-01

iam-password-policy

身份和证书是根据组织的 IAM 密码策略颁发、管理和验证的。它们达到或超过了 NIST SP 800-63 和密码强度AWS基础安全最佳实践标准规定的要求。此规则允许您根据需要设置 RequireUppercaseCharacters (AWS基础安全最佳实践值:true)、 RequireLowercaseCharacters (AWS基础安全最佳实践值:true)、 RequireSymbols (AWS基础安全最佳实践值:true)、 RequireNumbers (AWS基础安全最佳实践值:true)、 MinimumPasswordLength (AWS基础安全最佳实践值:14)、 PasswordReusePrevention (AWS基础安全最佳实践值:24)和 MaxPasswordAge (AWS基础安全最佳实践值:90)IAM 密码策略。实际值应反映贵组织的政策。
IDM-09

iam-user-mfa-enabled

启用此规则以限制对AWS云中资源的访问。此规则确保对所有用户启用多重身份验证 (MFA),MFA 在登录凭证之上增加了一层额外的保护。通过要求用户使用 MFA 来减少账户被盗事件。
IDM-09

mfa-enabled-for-iam-控制台访问权限

通过确保所有拥有控制台密码的Identity and Access ManagemAWS ent (IAM) 用户启用 MFA 来管理对AWS云中资源的访问权限。MFA 在登录凭证之上增加了一层额外的保护。通过要求用户使用 MFA,您可以减少账户被盗事件,并防止未经授权的用户访问敏感数据。
IDM-09

root-account-hardware-mfa-启用

通过确保为根用户启用硬件 MFA,管理对AWS云中资源的访问权限。根用户是AWS账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户使用 MFA,可以减少AWS账户被入侵的发生。
IDM-09

root-account-mfa-enabled

通过确保为根用户启用 MFA 来管理对AWS云中资源的访问权限。根用户是AWS账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户使用 MFA,可以减少AWS账户被入侵的发生。
OPS-01

clb-multiple-az

Elastic Load Balancing (ELB) 自动在可用区中的多个目标(如 EC2 实例、容器和 IP 地址)之间自动分配传入的流量。为确保高可用性,请确保您的 ELB 拥有来自多个可用区的注册实例。
OPS-01

elbv2-multiple-az

Elastic Load Balancing (ELB) 自动在可用区中的多个目标(如 EC2 实例、容器和 IP 地址)之间自动分配传入的流量。为确保高可用性,请确保您的 ELB 拥有来自多个可用区的注册实例。
OPS-01

lambda-vpc-multi-az-检查

如果将AWS Lambda 函数配置为连接到账户中的虚拟私有云 (VPC),则在至少两个不同的可用区中部署AWS Lambda 函数,确保在单一区域中服务中断时能够处理事件。
OPS-01

rds-cluster-multi-az-启用

Amazon Relational Database Service (Amazon RDS) 集群应启用多可用区复制,以帮助提高所存储数据的可用性。每个可用区都在其自身物理上独立、独立的基础设施上运行,并且经过精心设计,具有高度的可靠性。如果基础设施出现故障,Amazon RDS 会自动故障转移到备用服务器,这样您就可以在故障转移完成后立即恢复数据库操作。
OPS-01

rds-multi-az-support

Amazon Relational Database Service (Amazon RDS) 中的多可用区支持提供了增强的数据库实例的可用性和耐 当您预置多可用区数据库实例时,Amazon RDS 会自动创建主数据库实例,并将数据同步复制到其他可用区中的备用实例。每个可用区都在其自身物理上独立、独立的基础设施上运行,并且经过精心设计,具有高度的可靠性。如果基础设施出现故障,Amazon RDS 会自动故障转移到备用服务器,这样您就可以在故障转移完成后立即恢复数据库操作。
OPS-01

dynamodb-autoscaling-enabled

Amazon DynamoDB Auto Scaling 使用 AppAWS lication Auto Scaling 服务来调整自动响应实际流量模式的预置吞吐容量。这将允许表或全局二级索引增大其预置读/写容量,以处理突增流量,而不进行限制。
OPS-01

elb-cross-zone-load-启用平衡

为您的弹性负载均衡器 (ELB) 启用跨区域负载均衡,以帮助保持足够的容量和可用性。跨区域负载均衡可降低在每个启用的可用区中保持相同数量实例的需求。它还提高应用程序处理一个或多个实例丢失情况的能力。
OPS-01

dynamodb-throughput-limit-check

启用此规则可确保检查您的 Amazon DynamoDB 表上的预置吞吐容量。这是每个表可以支持的读取/写入活动量。DynamoDB 使用这些信息来预留足够的系统资源,以满足吞吐量需求。当吞吐量接近客户账户的最大限制时,此规则会生成警报。此规则允许您选择性地设置 accountRCUThresholdPercentage (Config 默认值:80)和 accountWCUThresholdPercentage (Config 默认值:80)参数。实际值应反映贵组织的政策。
OPS-02

clb-multiple-az

Elastic Load Balancing (ELB) 自动在可用区中的多个目标(如 EC2 实例、容器和 IP 地址)之间自动分配传入的流量。为确保高可用性,请确保您的 ELB 拥有来自多个可用区的注册实例。
OPS-02

autoscaling-group-elb-healthcheck-必填项

Amazon EElastic Load Balancer Compute Cloud (Amazon EC2) Auto Scaling 组的Elastic Load Balancing (ELB) 运行状况检查 负载均衡器会定期发送 ping、尝试进行连接或发送请求,以测试 Amazon EC2 实例在auto-scaling 组中的运行状况。如果实例未报告,则流量将发送到新的 Amazon EC2 实例。
OPS-02

beanstalk-enhanced-health-reporting-启用

AWSElastic Beanstalk 增强型运行状况报告可以更快地响应底层基础设施运行状况的变化。这些更改可能导致应用程序缺乏可用性。Elastic Beanstalk 增强型运行状况报告提供了状态描述符,用于评估已发现问题的严重程度并确定可能的调查原因。
OPS-02

elbv2-multiple-az

Elastic Load Balancing (ELB) 自动在可用区中的多个目标(如 EC2 实例、容器和 IP 地址)之间自动分配传入的流量。为确保高可用性,请确保您的 ELB 拥有来自多个可用区的注册实例。
OPS-02

lambda-vpc-multi-az-检查

如果将AWS Lambda 函数配置为连接到账户中的虚拟私有云 (VPC),则在至少两个不同的可用区中部署AWS Lambda 函数,确保在单一区域中服务中断时能够处理事件。
OPS-02

rds-cluster-multi-az-启用

Amazon Relational Database Service (Amazon RDS) 集群应启用多可用区复制,以帮助提高所存储数据的可用性。每个可用区都在其自身物理上独立、独立的基础设施上运行,并且经过精心设计,具有高度的可靠性。如果基础设施出现故障,Amazon RDS 会自动故障转移到备用服务器,这样您就可以在故障转移完成后立即恢复数据库操作。
OPS-02

rds-multi-az-support

Amazon Relational Database Service (Amazon RDS) 中的多可用区支持提供了增强的数据库实例的可用性和耐 当您预置多可用区数据库实例时,Amazon RDS 会自动创建主数据库实例,并将数据同步复制到其他可用区中的备用实例。每个可用区都在其自身物理上独立、独立的基础设施上运行,并且经过精心设计,具有高度的可靠性。如果基础设施出现故障,Amazon RDS 会自动故障转移到备用服务器,这样您就可以在故障转移完成后立即恢复数据库操作。
OPS-02

dynamodb-autoscaling-enabled

Amazon DynamoDB Auto Scaling 使用 AppAWS lication Auto Scaling 服务来调整自动响应实际流量模式的预置吞吐容量。这将允许表或全局二级索引增大其预置读/写容量,以处理突增流量,而不进行限制。
OPS-02

elb-cross-zone-load-启用平衡

为您的弹性负载均衡器 (ELB) 启用跨区域负载均衡,以帮助保持足够的容量和可用性。跨区域负载均衡可降低在每个启用的可用区中保持相同数量实例的需求。它还提高应用程序处理一个或多个实例丢失情况的能力。
OPS-02

dynamodb-throughput-limit-check

启用此规则可确保检查您的 Amazon DynamoDB 表上的预置吞吐容量。这是每个表可以支持的读取/写入活动量。DynamoDB 使用这些信息来预留足够的系统资源,以满足吞吐量需求。当吞吐量接近客户账户的最大限制时,此规则会生成警报。此规则允许您选择性地设置 accountRCUThresholdPercentage (Config 默认值:80)和 accountWCUThresholdPercentage (Config 默认值:80)参数。实际值应反映贵组织的政策。
OPS-07

aurora-resources-protected-by-备份计划

为了帮助完成数据备份流程,请确保您的 Amazon Aurora 资源是AWS Backup 计划的一部分。 AWSBackup 是一项完全托管的备份服务,具有基于策略的备份解决方案。该解决方案简化了您的备份管理,使您能够满足业务和监管备份合规性要求。
OPS-07

backup-plan-min-frequency-and-min-retention-check

为帮助完成数据AWS备份流程,请确保将Backup 计划设置为最低频率和保留时间。 AWSBackup 是一项完全托管的备份服务,具有基于策略的备份解决方案。该解决方案简化了您的备份管理,使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredFrequencyValue (Config 默认值:1)、 requiredRetentionDays (Config 默认值:35)和 requiredFrequencyUnit (Config 默认值:天)参数。实际价值应反映贵组织的需求。
OPS-07

backup-recovery-point-manual-删除已禁用

确保您的AWS Backup 恢复点附加了基于资源的策略,以防止删除恢复点。使用基于资源的策略来防止删除恢复点有助于防止意外或故意删除。
OPS-07

dynamodb-pitr-enabled

启用此规则以检查信息是否已备份。它还通过确保在 Amazon DynamoDB 中启用 point-in-time 恢复来维护备份。恢复操作会保持表在过去 35 天内的连续备份。
OPS-07

opensearch-data-node-fault-容忍

Amazon OpenSearch OpenSearch 服务(服务)需要至少三个数据节点才能实现高可用性和容错能力。部署具有至少三个数据节点的 OpenSearch 服务域可确保在节点出现故障时集群运行。
OPS-07

backup-recovery-point-minimum-留存检查

为帮助完成数据AWS备份流程,请确保您的Backup 恢复点设置了最短保留期。 AWSBackup 是一项完全托管的备份服务,具有基于策略的备份解决方案。该解决方案简化了您的备份管理,使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredRetentionDays (默认配置:35)参数。实际价值应反映贵组织的需求。
OPS-07

db-instance-backup-enabled

Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 自动创建数据库实例的存储卷快照,并备份整个数据库实例。该系统允许您设置特定的保留期以满足您的弹性要求。
OPS-07

dynamodb-in-backup-plan

为了帮助完成数据备份流程,请确保您的 Amazon DynamoDB 表是BacAWS kup 计划的一部分。 AWSBackup 是一项完全托管的备份服务,具有基于策略的备份解决方案。该解决方案简化了您的备份管理,使您能够满足业务和监管备份合规性要求。
OPS-07

ebs-in-backup-plan

为了帮助进行数据备份流程,请确保您的 Amazon Elastic Block Store (Amazon EBS) 卷是BacAWS kup 计划的一部分。 AWSBackup 是一项完全托管的备份服务,具有基于策略的备份解决方案。该解决方案简化了您的备份管理,使您能够满足业务和监管备份合规性要求。
OPS-07

ec2-resources-protected-by-backup-plan

要帮助进行数据备份流程,请确保您的 Amazon Elastic Compute Cloud (Amazon EC2) 资源是AWS Backup 计划的一部分。 AWSBackup 是一项完全托管的备份服务,具有基于策略的备份解决方案。该解决方案简化了您的备份管理,使您能够满足业务和监管备份合规性要求。
OPS-07

efs-in-backup-plan

为了帮助完成数据备份流程,请确保您的Amazon Elastic File System (Amazon EFS) 文件系统是AWS Backup 计划的一部分。 AWSBackup 是一项完全托管的备份服务,具有基于策略的备份解决方案。该解决方案简化了您的备份管理,使您能够满足业务和监管备份合规性要求。
OPS-07

elasticache-redis-cluster-automatic-备份检查

启用自动备份后,Amazon ElastiCache 会每天为集群创建一个备份。备份可以保留您的组织指定的天数。自动备份可以帮助防止数据丢失。如果发生故障,您可以创建一个新集群,该集群会从最新的备份中恢复数据。
OPS-07

fsx-resources-protected-by-备份计划

为了帮助完成数据备份流程,请确保您的 Amazon FSx 文件系统是AWS Backup 计划的一部分。 AWSBackup 是一项完全托管的备份服务,具有基于策略的备份解决方案。该解决方案简化了您的备份管理,使您能够满足业务和监管备份合规性要求。
OPS-07

rds-in-backup-plan

为了帮助完成数据备份流程,请确保您的Amazon Relational Database Service (Amazon RDS) 实例是AWS Backup 计划的一部分。 AWSBackup 是一项完全托管的备份服务,具有基于策略的备份解决方案。该解决方案简化了您的备份管理,使您能够满足业务和监管备份合规性要求。
OPS-07

redshift-backup-enabled

为了帮助完成数据备份流程,请确保您的 Amazon Redshift 集群有自动快照。当某个集群的自动快照处于启用状态时,Redshift 会定期拍摄该集群的快照。默认情况下,Redshift 每 8 小时或每节点数据更改一次 5 GB,或以先到者为准,拍摄一次快照。
OPS-12

cw-loggroup-retention-period-检查

确保为您的日志组保留最短持续时间的事件日志数据,以帮助进行故障排除和取证调查。缺乏可用的过去事件日志数据使得重建和识别潜在的恶意事件变得困难。
OPS-12

s3-lifecycle-policy-check

确保配置 Amazon S3 生命周期策略,以帮助定义您希望 Amazon S3 在对象的生命周期内执行的操作(例如,将对象转化为另一个存储类别、将它们归档或在指定时期后删除它们)。
OPS-13

guardduty-enabled-centralized

亚马逊 GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 列表和机器学习列表,以标识您AWS Cloud 环境中意外的和未经授权的恶意活动。
OPS-13

redshift-cluster-configuration-check

要保护静态数据,请确保为您的 Amazon Redshift 集群启用加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录以提供有关数据库中的连接和用户活动的信息。此规则要求为 clusterDbEncrypted (Config 默认值:TRUE)和启用 LoggingEnabled(Config 默认值:TRUE)设置值。实际值应反映贵组织的政策。
OPS-13

已启用安全集线器

AWSSecurity Hub 有助于监控未经授权的人员、连接、设备和软件。 AWSSecurity Hub 可以聚合、组织来自多个AWS服务的安全告警或检查结果并确定优先级。其中一些服务包括亚马逊Security Hub、Amazon Inspector、Amazon Macie、IdentAWS ity and Access Management (IAM) 访问分析器和FiAWS rewall Manager 以及AWS合作伙伴解决方案。
OPS-14

cloud-trail-log-file-启用验证

利用AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 传送后是否被修改或删除或未更改。该功能是使用业界标准算法构建的:哈希采用 SHA-256,数字签名采用带 RSA 的 SHA-256。这样,要修改、删除或伪造 CloudTrail 日志文件而不被检测到在计算上是不可行的。
OPS-14

cloud-trail-encryption-enabled

由于敏感数据可能存在,为了帮助保护静态数据,请确保为您的AWS CloudTrail 跟踪启用加密。
OPS-14

cw-loggroup-retention-period-检查

确保为您的日志组保留最短持续时间的事件日志数据,以帮助进行故障排除和取证调查。缺乏可用的过去事件日志数据使得重建和识别潜在的恶意事件变得困难。
OPS-14

s3-lifecycle-policy-check

确保配置 Amazon S3 生命周期策略,以帮助定义您希望 Amazon S3 在对象的生命周期内执行的操作(例如,将对象转化为另一个存储类别、将它们归档或在指定时期后删除它们)。
OPS-15

api-gw-execution-logging-启用

API Gateway 日志记录显示了访问 API 的用户的详细视图以及他们访问 API 的方式。这种见解可以让用户活动变得可见。
OPS-15

cloud-trail-cloud-watch-启用日志

CloudWatch 使用亚马逊集中收集和管理日志事件活动。包含AWS CloudTrail 数据可提供您AWS账户内的 API 调用活动的详细信息。
OPS-15

codebuild-project-logging-enabled

确保启用AWS CodeBuild 项目日志,以便将构建输出日志发送到Amazon CloudWatch 或 Amazon Simple Storage Service (Amazon S3)。生成输出日志提供有关您的构建项目的详细信息。
OPS-15

elasticsearch-logs-to-cloudwatch

确保 Amazon Serv OpenSearch ice 域已启用错误日志并将其传输到 Amazon CloudWatch Logs 以进行保留和响应。域错误日志可以帮助进行安全和访问审计,并可以帮助诊断可用性问题。
OPS-15

elb-logging-enabled

Elastic Load Balancing 活动是环境中的中心通信点。确保 ELB 日志记录已启用。收集的数据提供了有关发送到 ELB 的请求的详细信息。每个日志都包含信息 (例如,收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。
OPS-15

opensearch-audit-logging-enabled

确保在您的亚马逊 OpenSearch 服务域上启用了审计日志记录。审核日志允许您跟踪 OpenSearch 域上的用户活动,包括身份验证成功和失败、身份验证成功和失败、身份验证的成功和失败 OpenSearch、身份验证的请求和传入的搜索查询。
OPS-15

opensearch-logs-to-cloudwatch

确保 Amazon Serv OpenSearch ice 域已启用错误日志并将其传输到 Amazon CloudWatch Logs 以进行保留和响应。 OpenSearch 服务错误日志可以帮助进行安全和访问审计,并可以帮助诊断可用性问题。
OPS-15

rds-logging-enabled

为了帮助在环境中进行记录和监控,请确保启用 Amazon Relational Database Service (Amazon RDS) 日志记录。通过 Amazon RDS 日志记录,您可以捕获连接、断开连接、查询或查询表等事件。
OPS-15

redshift-audit-logging-enabled

要捕获有关 Amazon Redshift 集群上的连接和用户活动的信息,请确保启用审核日志记录。
OPS-15

s3-bucket-logging-enabled

Amazon Simple Storage Service (Amazon S3) 服务器访问日志提供了一种监控网络中潜在网络安全事件的方法。通过捕获对 Amazon S3 存储桶提出的各种请求,对事件进行监控。每条访问日志记录都提供有关单个访问请求的详细信息。详细地包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码(如果相关)。
OPS-15

vpc-flow-logs-enabled

VPC 流日志提供了有关在Amazon Virtual Private Cloud (Amazon VPC) 中传入和传出网络接口的 IP 流量相关信息的详细记录。默认情况下,流日志记录包括 IP 流的不同组件的值,包括源、目标和协议。
OPS-15

启用 wafv2 日志记录

为了帮助在您的环境中进行日志记录和监控,请在区域和全球 Web ACL 上启用AWS WAF (V2) 登录。 AWSWAF 日志记录提供有关您的 Web ACL 分析的流量的详细信息。日志记录AWS WAF 从您的AWS资源收到请求的时间、有关请求的信息以及每个请求所匹配的规则的操作。
OPS-15

已启用云端追踪

AWS CloudTrail 可以通过记录AWS管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用AWS服务的用户和AWS帐户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在AWS CloudTrail 记录内容中查看。
OPS-15

cloudtrail-s3 数据事件已启用

SimpSimple Storage Service (Amazon S3) 数据事件的收集有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的AWS账户信息、IP 地址和事件时间。
OPS-15

cloudtrail-security-trail-enabled

此规则通过检查是否启用了多个设置AWS CloudTrail,有助于确保使用AWS推荐的安全最佳实践。其中包括使用日志加密、日志验证和AWS CloudTrail 在多个区域中启用。
OPS-15

multi-region-cloudtrail-enabled

AWS CloudTrail 记录AWS管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了AWS、从中发出调用的源 IP 地址以及调用的源 IP 地址以及调用的源 IP 地址以及调用的源 IP 地址以及调用的源 IP 地址以及调用的源 IP 地址以及调用的源 CloudTrail 如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED,则会将所有AWS区域的日志文件传输到您的 S3 存储桶。此外,当AWS启动新区域时, CloudTrail 将在新区域中创建相同的路径。因此,您无需采取任何操作即可收到包含新区域的 API 活动的日志文件。
OPS-22

ecr-private-image-scanning-启用

Amazon Elastic 容器存储库 (ECR) 映像扫描有助于识别容器映像中的软件漏洞。在 ECR 存储库上启用图像扫描可为所存储图像的完整性和安全性增加一层验证。
PSS-05

iam-user-mfa-enabled

启用此规则以限制对AWS云中资源的访问。此规则确保对所有用户启用多重身份验证 (MFA),MFA 在登录凭证之上增加了一层额外的保护。通过要求用户使用 MFA 来减少账户被盗事件。
PSS-05

mfa-enabled-for-iam-控制台访问权限

通过确保所有拥有控制台密码的Identity and Access ManagemAWS ent (IAM) 用户启用 MFA 来管理对AWS云中资源的访问权限。MFA 在登录凭证之上增加了一层额外的保护。通过要求用户使用 MFA,您可以减少账户被盗事件,并防止未经授权的用户访问敏感数据。
PSS-05

root-account-hardware-mfa-启用

通过确保为根用户启用硬件 MFA,管理对AWS云中资源的访问权限。根用户是AWS账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户使用 MFA,可以减少AWS账户被入侵的发生。
PSS-05

root-account-mfa-enabled

通过确保为根用户启用 MFA 来管理对AWS云中资源的访问权限。根用户是AWS账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户使用 MFA,可以减少AWS账户被入侵的发生。
PSS-07

iam-password-policy

身份和证书是根据组织的 IAM 密码策略颁发、管理和验证的。它们达到或超过了 NIST SP 800-63 和密码强度AWS基础安全最佳实践标准规定的要求。此规则允许您根据需要设置 RequireUppercaseCharacters (AWS基础安全最佳实践值:true)、 RequireLowercaseCharacters (AWS基础安全最佳实践值:true)、 RequireSymbols (AWS基础安全最佳实践值:true)、 RequireNumbers (AWS基础安全最佳实践值:true)、 MinimumPasswordLength (AWS基础安全最佳实践值:14)、 PasswordReusePrevention (AWS基础安全最佳实践值:24)和 MaxPasswordAge (AWS基础安全最佳实践值:90)IAM 密码策略。实际值应反映贵组织的政策。

模板

该模板可在以下网址获得 GitHub:德国云计算合规标准目录 (C5)