本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
国税局1075 的运营最佳实践
Conformance packs提供了通用的合规性框架，旨在使您能够使用托管或自定义AWS Config规则和AWS Config补救措施来创建安全、运营或成本优化治理检查。作为示例模板的Conformance Packs并不是为了完全确保符合特定的治理或合规性标准而设计的。您有责任自行评估您对服务的使用是否符合适用的法律和监管要求。
以下内容提供了 IRS 1075 和AWS托管Config 规则之间的映射示例。每条Config 规则都适用于特定AWS资源，并与一项或多项 IRS 1075 控制措施相关。IRS 1075 控件可能与多个Config 规则相关。有关这些映射的更多详细信息和指导，请参阅下表。
AWS 区域: 除了（美国东部）和（美国西部）之外AWS GovCloud 的所有支持一致性包AWS 区域的地方AWS GovCloud （区域支持）
| 控制 ID | 控件描述 | AWSConfig 规则 | 指导 |
|---|---|---|---|
| 1 传输加密 | FTI 在云环境中传输时必须加密。用于加密 FTI 的所有机制都必须通过 FIPS 140 认证，并使用最新的 FIPS 140 兼容模块运行。必须在策略包含包含APA。 | 为了帮助保护传输中的数据，请确保您的Application Load Balancer 自动将未加密的 HTTP 请求重定向到 HTTPS。由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。 | |
| 1 传输加密 | FTI 在云环境中传输时必须加密。用于加密 FTI 的所有机制都必须通过 FIPS 140 认证，并使用最新的 FIPS 140 兼容模块运行。必须在策略包含包含APA。 | 确保启用亚马逊 OpenSearch 服务的 node-to-node 加密。Node-to-node 加密支持对 Amazon Virtual Private Cloud (Amazon VPC) 内的所有通信的 TLS 1.2 由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。 | |
| 1 传输加密 | FTI 在云环境中传输时必须加密。用于加密 FTI 的所有机制都必须通过 FIPS 140 认证，并使用最新的 FIPS 140 兼容模块运行。必须在策略包含包含APA。 | 确保您的弹性负载均衡器 (ELB) 配置了 SSL 或 HTTPS 侦听器。由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。 | |
| 1 传输加密 | FTI 在云环境中传输时必须加密。用于加密 FTI 的所有机制都必须通过 FIPS 140 认证，并使用最新的 FIPS 140 兼容模块运行。必须在策略包含包含APA。 | 由于敏感数据可能存在并且为了帮助保护传输中的数据，请确保为与您的亚马逊 OpenSearch 服务域的连接启用 HTTPS。 | |
| 1 传输加加加密 | FTI 在云环境中传输时必须加密。用于加密 FTI 的所有机制都必须通过 FIPS 140 认证，并使用最新的 FIPS 140 兼容模块运行。必须在策略包含包含APA。 | 确保启用亚马逊 OpenSearch 服务的 node-to-node 加密。Node-to-node 加密支持对 Amazon Virtual Private Cloud (Amazon VPC) 内的所有通信的 TLS 1.2 由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。 | |
| 1 传输加加加密 | FTI 在云环境中传输时必须加密。用于加密 FTI 的所有机制都必须通过 FIPS 140 认证，并使用最新的 FIPS 140 兼容模块运行。必须在策略包含包含APA。 | 确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。 | |
| 1 传输加加加密 | FTI 在云环境中传输时必须加密。用于加密 FTI 的所有机制都必须通过 FIPS 140 认证，并使用最新的 FIPS 140 兼容模块运行。必须在策略包含包含APA。 | 为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶需要使用安全套接字层 (SSL) 的请求。由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。 | |
| 1 静态加密 | 静态数据加密：FTI 在云端处于静态状态时必须使用最新的 FIPS 140 认证加密机制进行加密。必须在策略包含包含APA。 | 为了帮助保护静态数据，请确保为您的 API Gateway 阶段的缓存启用了加密。由于可以捕获 API 方法的敏感数据，因此启用静态加密以帮助保护这些数据。 | |
| 1 静态加密 | 静态数据加密：FTI 在云端处于静态状态时必须使用最新的 FIPS 140 认证加密机制进行加密。必须在策略包含包含APA。 | 确保您的AWS Backup 恢复点已启用加密。由于敏感数据可能处于静态状态，因此启用静态加密以帮助保护这些数据。 | |
| 1 静态加密 | 静态数据加密：FTI 在云端处于静态状态时必须使用最新的 FIPS 140 认证加密机制进行加密。必须在策略包含包含APA。 | 由于敏感数据可能存在，为了帮助保护静态数据，请确保为您的AWS CloudTrail 跟踪启用加密。 | |
| 1 静态加密 | 静态数据加密：FTI 在云端处于静态状态时必须使用最新的 FIPS 140 认证加密机制进行加密。必须在策略包含包含APA。 | 确保您的Amazon DynamoDB 表已启用加密。由于敏感数据可能静态存在于这些表中，因此启用静态加密以帮助保护这些数据。默认情况下，DynamoDB 表使用自身的客户AWS主密钥 (CMK) 加密。 | |
| 1 静态加密 | 静态数据加密：FTI 在云端处于静态状态时必须使用最新的 FIPS 140 认证加密机制进行加密。必须在策略包含包含APA。 | 要帮助保护静态数据，请确保对您的 Amazon Elastic Block Store (Amazon EBS) 卷启用加密。由于敏感数据可能静态存在于这些卷中，因此启用静态加密以帮助保护这些数据。 | |
| 1 静态加密 | 静态数据加密：FTI 在云端处于静态状态时必须使用最新的 FIPS 140 认证加密机制进行加密。必须在策略包含包含APA。 | 由于敏感数据可能存在并且为了帮助保护静态数据，请确保为您的 Amazon Elastic File System (EFS) 启用加密。 | |
| 1 静态加密 | 静态数据加密：FTI 在云端处于静态状态时必须使用最新的 FIPS 140 认证加密机制进行加密。必须在策略包含包含APA。 | 由于敏感数据可能存在并且为了帮助保护静态数据，请确保对您的亚马逊 OpenSearch 服务（OpenSearch 服务）域启用加密。 | |
| 1 静态加密 | 静态数据加密：FTI 在云端处于静态状态时必须使用最新的 FIPS 140 认证加密机制进行加密。必须在策略包含包含APA。 | 由于敏感数据可能存在，并且为了帮助保护静态数据，请确保您的 Amazon Elastic Block Store (Amazon EBS) 卷启用加密功能。 | |
| 1 静态加密 | 静态数据加密：FTI 在云端处于静态状态时必须使用最新的 FIPS 140 认证加密机制进行加密。必须在策略包含包含APA。 | 由于敏感数据可能存在并且为了帮助保护静态数据，请确保为您的 Amazon Kinesis Streams 启用加密。 | |
| 1 静态加密 | 静态数据加密：FTI 在云端处于静态状态时必须使用最新的 FIPS 140 认证加密机制进行加密。必须在策略包含包含APA。 | 由于敏感数据可能存在并且为了帮助保护静态数据，请确保对您的亚马逊 OpenSearch 服务域启用加密。 | |
| 1 静态加密 | 静态数据加密：FTI 在云端处于静态状态时必须使用最新的 FIPS 140 认证加密机制进行加密。必须在策略包含包含APA。 | 确保您的Amazon Relational Database Service (Amazon RDS) 快照启用加 由于敏感数据可能处于静态状态，因此启用静态加密以帮助保护这些数据。 | |
| 1 静态加密 | 静态数据加密：FTI 在云端处于静态状态时必须使用最新的 FIPS 140 认证加密机制进行加密。必须在策略包含包含APA。 | 要帮助保护静态数据，请确保对您的Amazon Relational Database Service (Amazon RDS) 实例启用加密。由于敏感数据可能静态存在于 Amazon RDS 实例中，因此启用静态加密以帮助保护这些数据。 | |
| 1 静态加密 | 静态数据加密：FTI 在云端处于静态状态时必须使用最新的 FIPS 140 认证加密机制进行加密。必须在策略包含包含APA。 | 要保护静态数据，请确保为您的 Amazon Redshift 集群启用加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录以提供有关数据库中的连接和用户活动的信息。此规则要求为 clusterDbEncrypted （Config 默认值：TRUE）和启用 LoggingEnabled（Config 默认值：TRUE）设置值。实际值应反映贵组织的政策。 | |
| 1 静态加密 | 静态数据加密：FTI 在云端处于静态状态时必须使用最新的 FIPS 140 认证加密机制进行加密。必须在策略包含包含APA。 | 为了帮助保护静态数据，请确保为您的 Amazon Redshift 集群启用了AWS密钥管理服务 (AWSKMS) 加密。由于敏感数据可能静态存在于 Redshift 集群中，因此启用静态加密以帮助保护这些数据。 | |
| 1 静态加密 | 静态数据加密：FTI 在云端处于静态状态时必须使用最新的 FIPS 140 认证加密机制进行加密。必须在策略包含包含APA。 | 要帮助保护静态数据，请确保对 Amazon Simple Storage Service (Amazon S3) 存储桶启用加密。由于敏感数据可能静态存在于 Amazon S3 存储桶中，因此启用加密以帮助保护这些数据。 | |
| 1 静态加密 | 静态数据加密：FTI 在云端处于静态状态时必须使用最新的 FIPS 140 认证加密机制进行加密。必须在策略包含包含APA。 | 确保您的Amazon Simle Storage Sorage (Amazon S3) 存储桶启用加密。由于敏感数据可能静态存在于 Amazon S3 存储桶中，因此启用静态加密以帮助保护这些数据。 | |
| 1 静态加密 | 静态数据加密：FTI 在云端处于静态状态时必须使用最新的 FIPS 140 认证加密机制进行加密。必须在策略包含包含APA。 | 为帮助保护静态数据，请确保为您的 SageMaker 终端节点启用AWS密钥管理服务 (AWSKMS) 加密。由于敏感数据可能静态存在于 SageMaker 端点中，因此启用静态加密以帮助保护这些数据。 | |
| 1 静态加密 | 静态数据加密：FTI 在云端处于静态状态时必须使用最新的 FIPS 140 认证加密机制进行加密。必须在策略包含包含APA。 | 为帮助保护静态数据，请确保您的 SageMaker 笔记本电脑启用了AWS密钥管理服务 (AWSKMS) 加密。由于敏感数据可能静态存在于 SageMaker 笔记本电脑中，因此启用静态加密以帮助保护这些数据。 | |
| 1 静态加密 | 静态数据加密：FTI 在云端处于静态状态时必须使用最新的 FIPS 140 认证加密机制进行加密。必须在策略包含包含APA。 | 为了帮助保护静态数据，请确保为 SAWS ecrets Manager 机密启用了密AWS钥管理服务 (AWSKMS) 加密。由于敏感数据可能静态存在于 Secrets Manager 机密中，因此启用静态加密以帮助保护这些数据。 | |
| 1 多重身份验证 | 当机构的云解决方案可从互联网获得（即，可以从机构的可信网络之外访问云解决方案）时，机构必须实施足够的多因素身份验证。 | 启用此规则以限制对AWS云中资源的访问。此规则可确保为所有用户启用多重身份验证 (MFA)。MFA 在登录凭证之上增加了一层额外的保护。通过要求用户使用 MFA 来减少账户被盗事件。 | |
| 1 多重身份验证 | 当机构的云解决方案可从互联网获得（即，可以从机构的可信网络之外访问云解决方案）时，机构必须实施足够的多因素身份验证。 | 通过确保所有拥有控制台密码的Identity and Access ManagemAWS ent (IAM) 用户启用 MFA 来管理对AWS云中资源的访问权限。MFA 在登录凭证之上增加了一层额外的保护。通过要求用户使用 MFA，您可以减少账户被盗事件，并防止未经授权的用户访问敏感数据。 | |
| 1 多重身份验证 | 当机构的云解决方案可从互联网获得（即，可以从机构的可信网络之外访问云解决方案）时，机构必须实施足够的多因素身份验证。 | 通过确保为根用户启用硬件 MFA，管理对AWS云中资源的访问权限。root 用户是AWS账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户使用 MFA，可以减少AWS账户被入侵的发生。 | |
| 1 多重身份验证 | 当机构的云解决方案可从互联网获得（即，可以从机构的可信网络之外访问云解决方案）时，机构必须实施足够的多因素身份验证。 | 通过确保为根用户启用 MFA 来管理对AWS云中资源的访问权限。root 用户是AWS账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户使用 MFA，可以减少AWS账户被入侵的发生。 | |
| 1 风险加密 | 该机构必须对用于接收、处理、存储、访问、保护和/或传输FTI的所有信息系统的安全和隐私控制措施进行年度评估。 | annual-risk-assessment-performed（过程检查） | 对您的组织进行年度风险评估。风险评估可以帮助确定已识别的风险和/或漏洞影响组织的可能性和影响。 |
| 3.6 网络边界和基础架构 | 各机构必须在整个系统架构中实施边界保护设备，包括路由器、防火墙、交换机和入侵检测系统，以保护 FTI 和 FTI 系统。 | 亚马逊 GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 和机器学习列表，用于标识您的AWS云环境中意外的和未经授权的恶意活动。 | |
| 3.6 网络边界和基础架构 | 各机构必须在整个系统架构中实施边界保护设备，包括路由器、防火墙、交换机和入侵检测系统，以保护 FTI 和 FTI 系统。 | 亚马逊通过按严重程度对调查结果进行分类：低、中和高，来 GuardDuty 帮助您了解事件的影响。您可以使用这些分类来确定补救策略和优先级。此规则允许您根据组织策略的要求选择性地为非存档的调查结果设置 daysMediumSev （Config 默认值：30）、 daysHighSev （Config 默认值：7）和（Config 默认值：1）。 daysLowSev | |
| 3.6 网络边界和基础架构 | 各机构必须在整个系统架构中实施边界保护设备，包括路由器、防火墙、交换机和入侵检测系统，以保护 FTI 和 FTI 系统。 | AWSNetwork Firewall 策略定义您的防火墙如何监控和处理 Amazon VPC 中的流量。您可以配置无状态和有状态规则组来过滤数据包和流量，并定义默认流量处理。 | |
| 3.6 网络边界和基础架构 | 各机构必须在整个系统架构中实施边界保护设备，包括路由器、防火墙、交换机和入侵检测系统，以保护 FTI 和 FTI 系统。 | AWSNetwork Firewall 规则组包含定义防火墙如何处理 VPC 中流量的规则。防火墙策略中存在的空无状态规则组不处理流量。 | |
| 3.6 网络边界和基础架构 | 各机构必须在整个系统架构中实施边界保护设备，包括路由器、防火墙、交换机和入侵检测系统，以保护 FTI 和 FTI 系统。 | AWSSecurity Hub 有助于监控未经授权的人员、连接、设备和软件。 AWSSecurity Hub 可以聚合、组织和优先处理来自多个AWS服务的安全告警或结果。其中一些服务包括亚马逊Security Hub、Amazon Inspector、Amazon Macie、IdentAWS ity and Access Management (IAM) 访问分析器和FiAWS rewall Manager 以及AWS合作伙伴解决方案。 | |
| 3.6 网络边界和基础架构 | 各机构必须在整个系统架构中实施边界保护设备，包括路由器、防火墙、交换机和入侵检测系统，以保护 FTI 和 FTI 系统。 | 确保您的AWS WAF 的规则不为空。没有条件的规则可能会导致意想不到的行为。 | |
| 3.6 网络边界和基础架构 | 各机构必须在整个系统架构中实施边界保护设备，包括路由器、防火墙、交换机和入侵检测系统，以保护 FTI 和 FTI 系统。 | 确保您的AWS WAF 的规则组不为空。规则组为空可能会导致意外行为。 | |
| 3.6 网络边界和基础架构 | 各机构必须在整个系统架构中实施边界保护设备，包括路由器、防火墙、交换机和入侵检测系统，以保护 FTI 和 FTI 系统。 | 连接到AWS WAF 的 Web ACL 可以包含一组用于检查和控制 Web 请求的规则和规则组。如果 Web ACL 为空，则 Web 流量不会被 WAF 检测到或采取任何行动。 | |
| 3.6 网络边界和基础架构 | 各机构必须在整个系统架构中实施边界保护设备，包括路由器、防火墙、交换机和入侵检测系统，以保护 FTI 和 FTI 系统。 | 确保在弹性负载均衡器 (ELB) 上启用AWS WAF 以帮助保护 Web 应用程序。WAF 有助于保护您的 Web 应用程序免遭常见 Web 漏洞的攻击。这些 Web 漏洞可能会影响可用性、损害安全性或消耗环境中的过多的资源。 | |
| 3.6 网络边界和基础架构 | 各机构必须在整个系统架构中实施边界保护设备，包括路由器、防火墙、交换机和入侵检测系统，以保护 FTI 和 FTI 系统。 | AWS利用 WAF，您可以配置一组规则（称为 Web 访问控制列表（称为 Web 访问控制列表，即 Web ACL），基于可自定义的 Web 安全规则以及您定义的条件，允许、阻止或统计 Web 请求。确保您的Amazon API Gateway 阶段与 WAF Web ACL 相关联，以保护其免受恶意攻击 | |
| AC-2 账户管理 (f) | 根据机构账户管理程序的先决条件创建、启用、修改、禁用和删除账户； | AWSIdentity and Access Management (IAM) 可以通过检查在指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果识别出这些未使用的证书，则应禁用和/或删除这些证书，因为这可能违反最小权限原则。此规则要求您为 maxCredentialUsage年龄设置一个值（Config 默认值：90）。实际价值应反映贵组织的政策。 | |
| AC-2 账户管理 (f) | 根据机构账户管理程序的先决条件创建、启用、修改、禁用和删除账户； | OrganizatiAWS ons 内部AWS账户的集中管理有助于确保账户合规。缺乏集中式账户治理可能会导致账户配置不一致，这可能会暴露资源和敏感数据。 | |
| AC-2 账户管理 (f) | 根据机构账户管理程序的先决条件创建、启用、修改、禁用和删除账户； | 通过检查根用户的Identity and Access ManagemAWS ent (IAM) 角色是否附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的AWS帐户来帮助纳入功能最少的原则。 | |
| AC-2 账户管理 (f) | 根据机构账户管理程序的先决条件创建、启用、修改、禁用和删除账户； | 启用此规则以限制对AWS云中资源的访问。此规则可确保为所有用户启用多重身份验证 (MFA)。MFA 在登录凭证之上增加了一层额外的保护。通过要求用户使用 MFA 来减少账户被盗事件。 | |
| AC-2 账户管理 (f) | 根据机构账户管理程序的先决条件创建、启用、修改、禁用和删除账户； | 此规则确保仅将IAWS dentity and Access Management (IAM) 策略附加到群组或角色，以控制对系统和资产的访问。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。 | |
| AC-2 账户管理 (g) | 监控账户的使用情况 | AWS CloudTrail 可以通过记录AWS管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用AWS服务的用户和AWS帐户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在AWS CloudTrail 记录内容中查看。 | |
| AC-2 账户管理 (g) | 监控账户的使用情况 | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含AWS CloudTrail 数据可提供您AWS账户内的 API 调用活动的详细信息。 | |
| AC-2 账户管理 (g) | 监控账户的使用情况 | 利用AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 传送后是否被修改或删除或未更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这样，要修改、删除或伪造 CloudTrail 日志文件而不被检测到在计算上是不可行的。 | |
| AC-2 账户管理 (g) | 监控账户的使用情况 | 亚马逊 GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 和机器学习列表，用于标识您的AWS云环境中意外的和未经授权的恶意活动。 | |
| AC-2 账户管理 (g) | 监控账户的使用情况 | 要帮助记录和监控，请确保启用 Amazon Relational Database Service (Amazon RDS) 日志记录。通过 Amazon RDS 日志记录，您可以捕获连接、断开连接、查询或查询表等事件。 | |
| AC-2 账户管理 (g) | 监控账户的使用情况 | 要保护静态数据，请确保为您的 Amazon Redshift 集群启用加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录以提供有关数据库中的连接和用户活动的信息。此规则要求为 clusterDbEncrypted （Config 默认值：TRUE）和启用 LoggingEnabled（Config 默认值：TRUE）设置值。实际值应反映贵组织的政策。 | |
| AC-2 账户管理 (g) | 监控账户的使用情况 | Amazon Simple Storage Service (Amazon S3) 服务器访问日志提供了一种监控网络中意外的网络安全事件的方法。通过捕获对 Amazon S3 存储桶提出的各种请求，可以监控。每条访问日志记录都提供有关单个访问请求的详细信息。详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | |
| AC-2 账户管理 (g) | 监控账户的使用情况 | AWSSecurity Hub 有助于监控未经授权的人员、连接、设备和软件。 AWSSecurity Hub 可以聚合、组织和优先处理来自多个AWS服务的安全告警或结果。其中一些服务包括亚马逊Security Hub、Amazon Inspector、Amazon Macie、IdentAWS ity and Access Management (IAM) 访问分析器和FiAWS rewall Manager 以及AWS合作伙伴解决方案。 | |
| AC-2 账户管理 (j) | 审查账户是否符合账户管理要求 | 通过确保为根用户启用 MFA 来管理对AWS云中资源的访问权限。root 用户是AWS账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户使用 MFA，可以减少AWS账户被入侵的发生。 | |
| AC-2 账户管理 (j) | 审查账户是否符合账户管理要求 | 此规则可确保 SAWS ecrets Manager 机密已根据轮换时间表成功轮换。定期轮换机密可以缩短机密的活跃时间，并有可能减少机密泄露后对业务的影响。 | |
| AC-2 账户管理 (j) | 审查账户是否符合账户管理要求 | 此规则可确保 SAWS ecrets Manager 机密已启用定期轮换。定期轮换机密可以缩短机密的活跃时间，并有可能减少机密泄露后对业务的影响。默认值为 90 天。 | |
| AC-2 账户管理 (j) | 审查账户是否符合账户管理要求 | 如果 SAWS ecrets Manager 中存在未使用的凭证，则应禁用和/或删除证书，因为这可能违反最小权限原则。此规则允许您将值设置为 unusedForDays （Config 默认值：90）。实际价值应反映贵组织的政策。 | |
| AC-2 账户管理 (j) | 审查账户是否符合账户管理要求 | 身份和证书是根据组织的 IAM 密码策略颁发、管理和验证的。它们达到或超过了 NIST SP 800-63 和密码强度AWS基础安全最佳实践标准规定的要求。此规则允许您根据需要设置 RequireUppercaseCharacters （AWS基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS基础安全最佳实践值：true）、 RequireSymbols （AWS基础安全最佳实践值：true）、 RequireNumbers （AWS基础安全最佳实践值：true）、 MinimumPasswordLength （AWS基础安全最佳实践值：14）、 PasswordReusePrevention （AWS基础安全最佳实践值：24）和 MaxPasswordAge （AWS基础安全最佳实践值：90）IAM 密码策略。实际值应反映贵组织的政策。 | |
| AC-2 账户管理 (j) | 审查账户是否符合账户管理要求 | 通过确保 IAM 访问密钥按照组织政策轮换，对授权设备、用户和流程的证书进行审计。定期更改访问密钥是一种最佳安全实践。它缩短了访问密钥的有效时间，并减少了密钥泄露时对业务的影响。此规则需要访问密钥轮换值（Config 默认值：90）。实际价值应反映贵组织的政策。 | |
| AC-2 账户管理 (j) | 审查账户是否符合账户管理要求 | 确保 IAM 操作仅限于所需的操作。允许用户拥有超过完成任务所需的权限可能违反最小权限和职责分离原则。 | |
| AC-2 账户管理 (j) | 审查账户是否符合账户管理要求 | AWSIdentity and Access Management (IAM) 可以帮助您将最低权限和职责分离的原则与访问权限和授权相结合，限制策略中包含 “效果”：“允许” 和 “操作”：“*” 而不是 “资源”：“*”。允许用户拥有超过完成任务所需的权限可能违反最小权限和职责分离原则。 | |
| AC-2 账户管理 (j) | 审查账户是否符合账户管理要求 | 通过检查根用户的Identity and Access ManagemAWS ent (IAM) 角色是否附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的AWS帐户来帮助纳入功能最少的原则。 | |
| AC-2 账户管理 (j) | 审查账户是否符合账户管理要求 | 此规则确保仅将IAWS dentity and Access Management (IAM) 策略附加到群组或角色，以控制对系统和资产的访问。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。 | |
| AC-2 账户管理 (j) | 审查账户是否符合账户管理要求 | AWSIdentity and Access Management (IAM) 可以通过检查在指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果识别出这些未使用的证书，则应禁用和/或删除这些证书，因为这可能违反最小权限原则。此规则要求您为 maxCredentialUsage年龄设置一个值（Config 默认值：90）。实际价值应反映贵组织的政策。 | |
| (CE-1) 自动系统账户管理 | Support 使用自动化机制管理系统帐户。 | 身份和证书是根据组织的 IAM 密码策略颁发、管理和验证的。它们达到或超过了 NIST SP 800-63 和密码强度AWS基础安全最佳实践标准规定的要求。此规则允许您根据需要设置 RequireUppercaseCharacters （AWS基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS基础安全最佳实践值：true）、 RequireSymbols （AWS基础安全最佳实践值：true）、 RequireNumbers （AWS基础安全最佳实践值：true）、 MinimumPasswordLength （AWS基础安全最佳实践值：14）、 PasswordReusePrevention （AWS基础安全最佳实践值：24）和 MaxPasswordAge （AWS基础安全最佳实践值：90）IAM 密码策略。实际值应反映贵组织的政策。 | |
| (CE-1) 自动系统账户管理 | Support 使用自动化机制管理系统帐户。 | 通过确保 IAM 访问密钥按照组织政策轮换，对授权设备、用户和流程的证书进行审计。定期更改访问密钥是一种最佳安全实践。它缩短了访问密钥的有效时间，并减少了密钥泄露时对业务的影响。此规则需要访问密钥轮换值（Config 默认值：90）。实际价值应反映贵组织的政策。 | |
| (CE-1) 自动系统账户管理 | Support 使用自动化机制管理系统帐户。 | 此规则可确保 SAWS ecrets Manager 机密已根据轮换时间表成功轮换。定期轮换机密可以缩短机密的活跃时间，并有可能减少机密泄露后对业务的影响。 | |
| (CE-3)：禁用账户 | 在 120 天内禁用账户，前提是账户：a. 已过期; b. 不再与用户或个人关联；c. 违反了组织政策；或 d. 非特权账户处于非活动状态已有 120 天了，特权账户处于非活动状态了 60 天 | AWSIdentity and Access Management (IAM) 可以通过检查在指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果识别出这些未使用的证书，则应禁用和/或删除这些证书，因为这可能违反最小权限原则。此规则要求您为 maxCredentialUsage年龄设置一个值（Config 默认值：90）。实际价值应反映贵组织的政策。 | |
| (CE-12) 账户监控非典型使用情况 | 监控系统帐户中机构定义的非典型使用情况；并向机构定义的人员或角色报告系统帐户的非典型使用情况。 | 亚马逊 GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 和机器学习列表，用于标识您的AWS云环境中意外的和未经授权的恶意活动。 | |
| AC-6 最低权限 | 采用最小权限原则，仅允许用户（或代表用户行事的进程）进行完成分配的组织任务所必需的授权访问。 | AWSIdentity and Access Management (IAM) 可以帮助您将最低权限和职责分离的原则与访问权限和授权相结合，限制策略包含对所有AWS密钥管理服务密钥的封锁操作。拥有超过完成任务所需的权限可能违反最小权限和职责分离的原则。此规则允许您设置 blockedActionsPatterns 参数。（AWS基础安全最佳实践值：kms: Decrypt，kms:ReEncryptFrom）。实际值应反映贵组织的政策 | |
| AC-6 最低权限 | 采用最小权限原则，仅允许用户（或代表用户行事的进程）进行完成分配的组织任务所必需的授权访问。 | AWSIdentity and Access Management (IAM) 可以帮助您将最低权限和职责分离的原则与访问权限和授权相结合，限制策略中包含 “效果”：“允许” 和 “操作”：“*” 而不是 “资源”：“*”。允许用户拥有超过完成任务所需的权限可能违反最小权限和职责分离原则。 | |
| AC-6 最低权限 | 采用最小权限原则，仅允许用户（或代表用户行事的进程）进行完成分配的组织任务所必需的授权访问。 | 确保 IAM 操作仅限于所需的操作。允许用户拥有超过完成任务所需的权限可能违反最小权限和职责分离原则。 | |
| AC-6 最低权限 | 采用最小权限原则，仅允许用户（或代表用户行事的进程）进行完成分配的组织任务所必需的授权访问。 | AWSIdentity and Access Management (IAM) 可以通过检查在指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果识别出这些未使用的证书，则应禁用和/或删除这些证书，因为这可能违反最小权限原则。此规则要求您为 maxCredentialUsage年龄设置一个值（Config 默认值：90）。实际价值应反映贵组织的政策。 | |
| AC-6 最低权限 | 采用最小权限原则，仅允许用户（或代表用户行事的进程）进行完成分配的组织任务所必需的授权访问。 | 确保对您的Amazon Ser OpenSearch 服务域启用精细访问控制。精细的访问控制提供了增强的授权机制，以实现对 Amazon Serv OpenSearch ice 域的最低权限访问。它允许对域进行基于角色的访问控制，以及索引、文档和字段级安全，支持 OpenSearch 服务仪表板的多租户，以及对 Service 和 Kibana 的 OpenSearch HTTP 基本身份验证。 | |
| AC-6 最低权限 | 采用最小权限原则，仅允许用户（或代表用户行事的进程）进行完成分配的组织任务所必需的授权访问。 | 如果 SAWS ecrets Manager 中存在未使用的凭证，则应禁用和/或删除证书，因为这可能违反最小权限原则。此规则允许您将值设置为 unusedForDays （Config 默认值：90）。实际价值应反映贵组织的政策。 | |
| AC-6 最低权限 | 采用最小权限原则，仅允许用户（或代表用户行事的进程）进行完成分配的组织任务所必需的授权访问。 | 为了帮助实现最小权限原则，请确保您的 Amazon CodeBuild 项目环境未启用特权模式。应禁用此设置，以防止意外访问 Docker API 以及容器的底层硬件。 | |
| AC-6 最低权限 | 采用最小权限原则，仅允许用户（或代表用户行事的进程）进行完成分配的组织任务所必需的授权访问。 | EC2 实例配置文件会将 IAM 角色传递给 EC2 实例。将实例配置文件附加到您的实例可以帮助进行最低权限和权限管理。 | |
| AC-6 最低权限 | 采用最小权限原则，仅允许用户（或代表用户行事的进程）进行完成分配的组织任务所必需的授权访问。 | 为了帮助实现最小权限原则，Amazon Elastic Container Service (Amazon ECS) 任务定义不应启用提升权限。在该参数为 true 时，将为该容器提供提升的主机容器实例权限（类似于根用户）。 | |
| AC-6 最低权限 | 采用最小权限原则，仅允许用户（或代表用户行事的进程）进行完成分配的组织任务所必需的授权访问。 | 启用对 Amazon 弹性容器服务 (ECS) 容器的只读访问权限有助于遵守最低权限原则。此选项可以减少攻击向量，因为除非容器实例具有明确的读写权限，否则无法修改容器实例的文件系统。 | |
| AC-6 最低权限 | 采用最小权限原则，仅允许用户（或代表用户行事的进程）进行完成分配的组织任务所必需的授权访问。 | 为了帮助实施最小权限原则，请确保指定非根用户访问您的 Amazon Elastic Container Service (Amazon ECS) 任务定义。 | |
| AC-6 最低权限 | 采用最小权限原则，仅允许用户（或代表用户行事的进程）进行完成分配的组织任务所必需的授权访问。 | 为帮助实现最小权限原则，请确保为您的 Amazon Elastic 文件系统 (Amazon EFS) 启用用户强制功能。启用后，Amazon EFS 将 NFS 客户端的用户和群组 ID 替换为在接入点上为所有文件系统操作配置的身份，并且仅授予对这种强制用户身份的访问权限。 | |
| AC-6 最低权限 | 采用最小权限原则，仅允许用户（或代表用户行事的进程）进行完成分配的组织任务所必需的授权访问。 | 通过为 Amazon EMR 集群启用 Kerberos，可以按照最小权限和职责分离的原则管理和整合访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户被称为委托人。校长存在于 Kerberos 领域内。在域内部，Kerberos 服务器被称为密钥分发中心 (KDC)。它为校长提供了一种进行身份验证的方法。KDC 通过签发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。 | |
| AC-6 最低权限 | 采用最小权限原则，仅允许用户（或代表用户行事的进程）进行完成分配的组织任务所必需的授权访问。 | 此规则确保仅将IAWS dentity and Access Management (IAM) 策略附加到群组或角色，以控制对系统和资产的访问。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。 | |
| AC-17：远程访问 | 为允许的每种类型的远程访问制定和记录使用限制、配置/连接要求和实施指南；在允许此类连接之前，对每种类型的系统远程访问进行授权。 | 身份和证书是根据组织的 IAM 密码策略颁发、管理和验证的。它们达到或超过了 NIST SP 800-63 和密码强度AWS基础安全最佳实践标准规定的要求。此规则允许您根据需要设置 RequireUppercaseCharacters （AWS基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS基础安全最佳实践值：true）、 RequireSymbols （AWS基础安全最佳实践值：true）、 RequireNumbers （AWS基础安全最佳实践值：true）、 MinimumPasswordLength （AWS基础安全最佳实践值：14）、 PasswordReusePrevention （AWS基础安全最佳实践值：24）和 MaxPasswordAge （AWS基础安全最佳实践值：90）IAM 密码策略。实际值应反映贵组织的政策。 | |
| AC-17：远程访问 | 为允许的每种类型的远程访问制定和记录使用限制、配置/连接要求和实施指南；在允许此类连接之前，对每种类型的系统远程访问进行授权。 | 启用此规则以限制对AWS云中资源的访问。此规则可确保为所有用户启用多重身份验证 (MFA)。MFA 在登录凭证之上增加了一层额外的保护。通过要求用户使用 MFA 来减少账户被盗事件。 | |
| AC-17：远程访问 | 为允许的每种类型的远程访问制定和记录使用限制、配置/连接要求和实施指南；在允许此类连接之前，对每种类型的系统远程访问进行授权。 | 通过确保所有拥有控制台密码的Identity and Access ManagemAWS ent (IAM) 用户启用 MFA 来管理对AWS云中资源的访问权限。MFA 在登录凭证之上增加了一层额外的保护。通过要求用户使用 MFA，您可以减少账户被盗事件，并防止未经授权的用户访问敏感数据。 | |
| AC-17：远程访问 | 为允许的每种类型的远程访问制定和记录使用限制、配置/连接要求和实施指南；在允许此类连接之前，对每种类型的系统远程访问进行授权。 | 通过确保为根用户启用硬件 MFA，管理对AWS云中资源的访问权限。root 用户是AWS账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户使用 MFA，可以减少AWS账户被入侵的发生。 | |
| AC-17：远程访问 | 为允许的每种类型的远程访问制定和记录使用限制、配置/连接要求和实施指南；在允许此类连接之前，对每种类型的系统远程访问进行授权。 | 通过确保为根用户启用 MFA 来管理对AWS云中资源的访问权限。root 用户是AWS账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户使用 MFA，可以减少AWS账户被入侵的发生。 | |
| AC-17：远程访问 | 为允许的每种类型的远程访问制定和记录使用限制、配置/连接要求和实施指南；在允许此类连接之前，对每种类型的系统远程访问进行授权。 | API Gateway 日志记录显示了访问 API 的用户的详细视图以及他们访问 API 的方式。这种见解可以让用户活动变得可见。 | |
| AC-17：远程访问 | 为允许的每种类型的远程访问制定和记录使用限制、配置/连接要求和实施指南；在允许此类连接之前，对每种类型的系统远程访问进行授权。 | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含AWS CloudTrail 数据可提供您AWS账户内的 API 调用活动的详细信息。 | |
| AC-17：远程访问 | 为允许的每种类型的远程访问制定和记录使用限制、配置/连接要求和实施指南；在允许此类连接之前，对每种类型的系统远程访问进行授权。 | 确保 Amazon Serv OpenSearch ice 域已启用错误日志并将其传输到 Amazon CloudWatch Logs 以进行保留和响应。域错误日志可以帮助进行安全和访问审计，并可以帮助诊断可用性问题。 | |
| AC-17：远程访问 | 为允许的每种类型的远程访问制定和记录使用限制、配置/连接要求和实施指南；在允许此类连接之前，对每种类型的系统远程访问进行授权。 | AWS CloudTrail 可以通过记录AWS管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用AWS服务的用户和AWS帐户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在AWS CloudTrail 记录内容中查看。 | |
| AC-17：远程访问 | 为允许的每种类型的远程访问制定和记录使用限制、配置/连接要求和实施指南；在允许此类连接之前，对每种类型的系统远程访问进行授权。 | 确保 Amazon Serv OpenSearch ice 域已启用错误日志并将其传输到 Amazon CloudWatch Logs 以进行保留和响应。 OpenSearch 服务错误日志可以帮助进行安全和访问审计，并可以帮助诊断可用性问题。 | |
| AC-17：远程访问 | 为允许的每种类型的远程访问制定和记录使用限制、配置/连接要求和实施指南；在允许此类连接之前，对每种类型的系统远程访问进行授权。 | Elastic Load Balancing 活动是环境中的中心通信点。确保启用了 ELB 日志记录功能。收集的数据提供了有关发送到EELB 的请求的详细信息。每个日志都包含信息 (例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。 | |
| AC-17：远程访问 | 为允许的每种类型的远程访问制定和记录使用限制、配置/连接要求和实施指南；在允许此类连接之前，对每种类型的系统远程访问进行授权。 | 要帮助在您的环境中记录和监控，请确保启用 Amazon Relational Database Service (Amazon RDS) 日志记录 通过 Amazon RDS 日志记录，您可以捕获连接、断开连接、查询或查询表等事件。 | |
| AC-17：远程访问 | 为允许的每种类型的远程访问制定和记录使用限制、配置/连接要求和实施指南；在允许此类连接之前，对每种类型的系统远程访问进行授权。 | Amazon Simple Storage Service (Amazon S3) 服务器访问日志提供了一种监控网络中意外的网络安全事件的方法。通过捕获对 Amazon S3 存储桶提出的各种请求，可以监控。每条访问日志记录都提供有关单个访问请求的详细信息。详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | |
| AC-17：远程访问 | 为允许的每种类型的远程访问制定和记录使用限制、配置/连接要求和实施指南；在允许此类连接之前，对每种类型的系统远程访问进行授权。 | AWSSecurity Hub 有助于监控未经授权的人员、连接、设备和软件。 AWSSecurity Hub 可以聚合、组织和优先处理来自多个AWS服务的安全告警或结果。其中一些服务包括亚马逊Security Hub、Amazon Inspector、Amazon Macie、IdentAWS ity and Access Management (IAM) 访问分析器和FiAWS rewall Manager 以及AWS合作伙伴解决方案。 | |
| AC-17：远程访问 | 为允许的每种类型的远程访问制定和记录使用限制、配置/连接要求和实施指南；在允许此类连接之前，对每种类型的系统远程访问进行授权。 | VPC 流日志提供了有关在您的 Amazon Virtual Private Cloud (Amazon VPC) 中传入和传入网络接口的 IP 流量相关信息的详细记录。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。 | |
| AC-17：远程访问 | 为允许的每种类型的远程访问制定和记录使用限制、配置/连接要求和实施指南；在允许此类连接之前，对每种类型的系统远程访问进行授权。 | 为了帮助在您的环境中进行日志记录和监控，请在区域和全球 Web ACL 上启用AWS WAF (V2) 登录。 AWSWAF 日志记录提供有关您的 Web ACL 分析的流量的详细信息。日志记录AWS WAF 收到您的AWS资源请求的时间、有关请求的信息以及每个请求所匹配的规则的操作。 | |
| AC-17：远程访问 | 为允许的每种类型的远程访问制定和记录使用限制、配置/连接要求和实施指南；在允许此类连接之前，对每种类型的系统远程访问进行授权。 | 当某个指标在指定数量的评估期内超出阈值，Amazon 会发出 CloudWatch 告警。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （Config 默认值：True）、 insufficientDataAction必需（Config 默认值：True）、 okActionRequired （Config 默认值：False）的值。实际值应反映您环境的警报操作。 | |
| AC-17：远程访问 | 为允许的每种类型的远程访问制定和记录使用限制、配置/连接要求和实施指南；在允许此类连接之前，对每种类型的系统远程访问进行授权。 | 要保护静态数据，请确保为您的 Amazon Redshift 集群启用加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录以提供有关数据库中的连接和用户活动的信息。此规则要求为 clusterDbEncrypted （Config 默认值：TRUE）和启用 LoggingEnabled（Config 默认值：TRUE）设置值。实际值应反映贵组织的政策。 | |
| AC-17：远程访问 | 为允许的每种类型的远程访问制定和记录使用限制、配置/连接要求和实施指南；在允许此类连接之前，对每种类型的系统远程访问进行授权。 | 增强型 VPC 路由会强制集群和数据存储库之间的所有复制和卸载流量通过您的 Amazon VPC。然后，您可以使用安全组和网络访问控制列表等 VPC 功能来保护网络流量。您还可以使用 VPC 流日志来监控网络流量。 | |
| AT-1：意识和培训 | 为系统用户（包括经理、高级管理人员和承包商）提供安全和隐私知识培训 | security-awareness-program-exists（过程检查） | 为您的组织建立和维护安全意识计划。安全意识计划教育员工如何保护其组织免受各种安全漏洞或事件的侵害。 |
| AU-2：审计活动 | 确定系统为支持审计功能而能够记录的事件类型 | audit-log-policy-exists（过程检查） | 制定和维护审核日志管理策略，定义贵组织的日志要求。这包括但不限于审查和保留审计日志。 |
| AU-16：跨组织审计日志 | 在跨组织边界传输审计信息时，采用机构定义的方法在外部组织之间协调机构定义的审计信息。 | audit-log-policy-exists（过程检查） | 制定和维护审核日志管理策略，定义贵组织的日志要求。这包括但不限于审查和保留审计日志。 |
| CA-7：持续监测 | 制定系统级持续监测战略并根据组织层面的持续监测战略实施持续监测：建立机构定义的监测指标；根据持续监测战略进行持续控制评估；根据持续监测战略对系统和组织定义的指标进行持续监测；关联和分析控制评估和监测生成的信息；针对控制分析结果采取的应对行动评估和监控信息；以及至少每年向机构定义的人员报告系统的安全和隐私状态。 | AWSSecurity Hub 有助于监控未经授权的人员、连接、设备和软件。 AWSSecurity Hub 可以聚合、组织和优先处理来自多个AWS服务的安全告警或结果。其中一些服务包括亚马逊Security Hub、Amazon Inspector、Amazon Macie、IdentAWS ity and Access Management (IAM) 访问分析器和FiAWS rewall Manager 以及AWS合作伙伴解决方案。 | |
| CP-9：系统Backup | a. 每周对系统文档（包括安全相关文档）中包含的用户级信息进行备份；b. 每周对系统中包含的系统级信息进行备份；c. 每周备份系统文档，包括与安全和隐私相关的文档；d. 保护备份信息的机密性、完整性和可用性。 | 为了帮助完成数据备份流程，请确保您的 Amazon Aurora 资源是AWS Backup 计划的一部分。 AWSBackup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案简化了您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| CP-9：系统Backup | a. 每周对系统文档（包括安全相关文档）中包含的用户级信息进行备份；b. 每周对系统中包含的系统级信息进行备份；c. 每周备份系统文档，包括与安全和隐私相关的文档；d. 保护备份信息的机密性、完整性和可用性。 | 为帮助完成数据AWS备份流程，请确保将Backup 计划设置为最低频率和保留时间。 AWSBackup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案简化了您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredFrequencyValue （Config 默认值：1）、 requiredRetentionDays （Config 默认值：35）和 requiredFrequencyUnit （Config 默认值：天）参数。实际价值应反映贵组织的需求。 | |
| CP-9：系统Backup | a. 每周对系统文档（包括安全相关文档）中包含的用户级信息进行备份；b. 每周对系统中包含的系统级信息进行备份；c. 每周备份系统文档，包括与安全和隐私相关的文档；d. 保护备份信息的机密性、完整性和可用性。 | 确保您的AWS Backup 恢复点已启用加密。由于敏感数据可能处于静态状态，因此启用静态加密以帮助保护这些数据。 | |
| CP-9：系统Backup | a. 每周对系统文档（包括安全相关文档）中包含的用户级信息进行备份；b. 每周对系统中包含的系统级信息进行备份；c. 每周备份系统文档，包括与安全和隐私相关的文档；d. 保护备份信息的机密性、完整性和可用性。 | 确保您的AWS Backup 恢复点附加了基于资源的策略，以防止删除恢复点。使用基于资源的策略来防止删除恢复点有助于防止意外或故意删除。 | |
| CP-9：系统Backup | a. 每周对系统文档（包括安全相关文档）中包含的用户级信息进行备份；b. 每周对系统中包含的系统级信息进行备份；c. 每周备份系统文档，包括与安全和隐私相关的文档；d. 保护备份信息的机密性、完整性和可用性。 | 为帮助完成数据AWS备份流程，请确保您的Backup 恢复点设置了最短保留期。 AWSBackup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案简化了您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredRetentionDays （默认配置：35）参数。实际价值应反映贵组织的需求。 | |
| CP-9：系统Backup | a. 每周对系统文档（包括安全相关文档）中包含的用户级信息进行备份；b. 每周对系统中包含的系统级信息进行备份；c. 每周备份系统文档，包括与安全和隐私相关的文档；d. 保护备份信息的机密性、完整性和可用性。 | Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 自动创建数据库实例的存储卷快照，并备份整个数据库实例的存储卷快照。该系统允许您设置特定的保留期以满足您的弹性要求。 | |
| CP-9：系统Backup | a. 每周对系统文档（包括安全相关文档）中包含的用户级信息进行备份；b. 每周对系统中包含的系统级信息进行备份；c. 每周备份系统文档，包括与安全和隐私相关的文档；d. 保护备份信息的机密性、完整性和可用性。 | 为了帮助完成数据备份流程，请确保您的 Amazon DynamoDB 表是BacAWS kup 计划的一部分。 AWSBackup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案简化了您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| CP-9：系统Backup | a. 每周对系统文档（包括安全相关文档）中包含的用户级信息进行备份；b. 每周对系统中包含的系统级信息进行备份；c. 每周备份系统文档，包括与安全和隐私相关的文档；d. 保护备份信息的机密性、完整性和可用性。 | 启用此规则以检查信息是否已备份。它还通过确保在 Amazon DynamoDB 中启用 point-in-time 恢复来维护备份。恢复操作会保持表在过去 35 天内的连续备份。 | |
| CP-9：系统Backup | a. 每周对系统文档（包括安全相关文档）中包含的用户级信息进行备份；b. 每周对系统中包含的系统级信息进行备份；c. 每周备份系统文档，包括与安全和隐私相关的文档；d. 保护备份信息的机密性、完整性和可用性。 | 要帮助进行数据备份流程，请确保您的 Amazon Elastic Block Store (Amazon EBS) 卷是BacAWS kup 计划的一部分。 AWSBackup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案简化了您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| CP-9：系统Backup | a. 每周对系统文档（包括安全相关文档）中包含的用户级信息进行备份；b. 每周对系统中包含的系统级信息进行备份；c. 每周备份系统文档，包括与安全和隐私相关的文档；d. 保护备份信息的机密性、完整性和可用性。 | 要帮助进行数据备份流程，请确保您的 Amazon Elastic Compute Cloud (Amazon EC2) 资源是AWS Backup 计划的一部分。 AWSBackup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案简化了您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| CP-9：系统Backup | a. 每周对系统文档（包括安全相关文档）中包含的用户级信息进行备份；b. 每周对系统中包含的系统级信息进行备份；c. 每周备份系统文档，包括与安全和隐私相关的文档；d. 保护备份信息的机密性、完整性和可用性。 | 为了帮助完成数据备份流程，请确保您的Amazon Elastic File System (Amazon EFS) 文件系统是AWS Backup 计划的一部分。 AWSBackup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案简化了您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| CP-9：系统Backup | a. 每周对系统文档（包括安全相关文档）中包含的用户级信息进行备份；b. 每周对系统中包含的系统级信息进行备份；c. 每周备份系统文档，包括与安全和隐私相关的文档；d. 保护备份信息的机密性、完整性和可用性。 | 启用自动备份后，Amazon ElastiCache 会每天为集群创建一个备份。备份可以保留您的组织指定的天数。自动备份可以帮助防止数据丢失。如果发生故障，您可以创建一个新集群，该集群会从最新的备份中恢复数据。 | |
| CP-9：系统Backup | a. 每周对系统文档（包括安全相关文档）中包含的用户级信息进行备份；b. 每周对系统中包含的系统级信息进行备份；c. 每周备份系统文档，包括与安全和隐私相关的文档；d. 保护备份信息的机密性、完整性和可用性。 | 为了帮助完成数据备份流程，请确保您的 Amazon FSx 文件系统是AWS Backup 计划的一部分。 AWSBackup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案简化了您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| CP-9：系统Backup | a. 每周对系统文档（包括安全相关文档）中包含的用户级信息进行备份；b. 每周对系统中包含的系统级信息进行备份；c. 每周备份系统文档，包括与安全和隐私相关的文档；d. 保护备份信息的机密性、完整性和可用性。 | 为了帮助完成数据备份流程，请确保您的Amazon Relational Database Service (Amazon RDS) 实例是AWS Backup 计划的一部分。 AWSBackup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案简化了您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| CP-9：系统Backup | a. 每周对系统文档（包括安全相关文档）中包含的用户级信息进行备份；b. 每周对系统中包含的系统级信息进行备份；c. 每周备份系统文档，包括与安全和隐私相关的文档；d. 保护备份信息的机密性、完整性和可用性。 | 为了帮助完成数据备份流程，请确保您的Amazon Relational Database Service (Amazon RDS) 资源是AWS Backup 计划的一部分。 AWSBackup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案简化了您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| CP-9：系统Backup | a. 每周对系统文档（包括安全相关文档）中包含的用户级信息进行备份；b. 每周对系统中包含的系统级信息进行备份；c. 每周备份系统文档，包括与安全和隐私相关的文档；d. 保护备份信息的机密性、完整性和可用性。 | 为了帮助完成数据备份流程，请确保您的 Amazon Redshift 集群有自动快照。当某个集群的自动快照处于启用状态时，Redshift 会定期拍摄该集群的快照。默认情况下，Redshift 每 8 小时或每节点数据更改达到 5 GB 时拍摄一次快照，以先到者为准。 | |
| CP-9：系统Backup | a. 每周对系统文档（包括安全相关文档）中包含的用户级信息进行备份；b. 每周对系统中包含的系统级信息进行备份；c. 每周备份系统文档，包括与安全和隐私相关的文档；d. 保护备份信息的机密性、完整性和可用性。 | Amazon Simple Storage Service (Amazon S3) 支持保持足够的容量和可用性。CRR 支持跨 Amazon S3 存储桶自动以异步方式复制对象，以帮助确保数据可用性得到维护。 | |
| IA-2：特权账户的识别和身份验证（组织用户）(CE-1) 多因素身份验证 | 实现多因素身份验证以访问特权帐户 | 通过确保为根用户启用 MFA 来管理对AWS云中资源的访问权限。root 用户是AWS账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户使用 MFA，可以减少AWS账户被入侵的发生。 | |
| IA-2：特权账户的识别和身份验证（组织用户）(CE-1) 多因素身份验证 | 实现多因素身份验证以访问特权帐户 | 通过确保为根用户启用硬件 MFA，管理对AWS云中资源的访问权限。root 用户是AWS账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户使用 MFA，可以减少AWS账户被入侵的发生。 | |
| IA-2：非特权账户的识别和身份验证（组织用户）(CE-2) 多因素身份验证 | 实现多因素身份验证以访问非特权帐户。 | 通过确保所有拥有控制台密码的Identity and Access ManagemAWS ent (IAM) 用户启用 MFA 来管理对AWS云中资源的访问权限。MFA 在登录凭证之上增加了一层额外的保护。通过要求用户使用 MFA，您可以减少账户被盗事件，并防止未经授权的用户访问敏感数据。 | |
| IA-5：身份验证器管理：(CE-1) 基于密码的身份验证：用于基于密码的身份验证 | 强制执行以下组合和复杂性规则：1. 强制要求最小密码长度为十四 (14) 个字符。2. 强制将密码复杂度降至最低，以包含数字、大写字母、小写字母和特殊字符的组合。3. 选择使用新密码时，强制至少更改一 (1) 个字符。4. 仅存储和传输受加密保护的密码。5. 强制执行密码有效期限制:i. 最少一 (1) 天，最多 90 天。ii. 服务账户密码将在 366 天（含）内过期。 | 身份和证书是根据组织的 IAM 密码策略颁发、管理和验证的。它们达到或超过了 NIST SP 800-63 和密码强度AWS基础安全最佳实践标准规定的要求。此规则允许您根据需要设置 RequireUppercaseCharacters （AWS基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS基础安全最佳实践值：true）、 RequireSymbols （AWS基础安全最佳实践值：true）、 RequireNumbers （AWS基础安全最佳实践值：true）、 MinimumPasswordLength （AWS基础安全最佳实践值：14）、 PasswordReusePrevention （AWS基础安全最佳实践值：24）和 MaxPasswordAge （AWS基础安全最佳实践值：90）IAM 密码策略。实际值应反映贵组织的政策。 | |
| PM-5：系统清单 | 不断开发和更新组织系统清单。 | 通过使用 SAWS ystems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 实例，可以清点组织内的软件平台和应用程序。使用AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发行商和版本以及有关您的环境的其他详细信息。 | |
| PM-5：系统清单 | 不断开发和更新组织系统清单。 | 使用AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。 AWSSystems Manager 为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置和有关环境的其他详细信息的基准。 | |
| PM-5：系统清单 | 不断开发和更新组织系统清单。 | 此规则确保 Amazon Virtual Private Cloud (VPC) 网络访问控制列表处于使用状态。监控未使用的网络访问控制列表有助于准确清点和管理您的环境。 | |
| PM-5：系统清单 | 不断开发和更新组织系统清单。 | 此规则确保在实例终止时，将附加到 Amazon Elastic Compute Cloud (Amazon EC2) 实例的 Amazon Elastic Block Store (Amazon EC2 如果 Amazon EBS 卷在其所连接的实例终止时未将其删除，则可能违反功能最少的概念。 | |
| RA-5：漏洞监控和扫描 | 每三十 (30) 天监控和扫描系统和托管应用程序中的漏洞，然后在机构网络上安装新的信息系统，以确认补救措施，以及何时发现和报告可能影响系统的新漏洞 | vuln-scans-performed（过程检查） | 确保根据您的合规性要求进行漏洞扫描。扫描的节奏、使用的工具和结果的使用应由您的组织定义。 |
| SA-10：开发人员配置管理（例如） | 跟踪系统、组件或服务内的安全缺陷和缺陷解决情况，并将调查结果报告给 [任务：组织定义的人员]。 | 亚马逊 GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 和机器学习列表，用于标识您的AWS云环境中意外的和未经授权的恶意活动。 | |
| SA-10：开发人员配置管理（例如） | 跟踪系统、组件或服务内的安全缺陷和缺陷解决情况，并将调查结果报告给 [任务：组织定义的人员]。 | 亚马逊通过按严重程度对调查结果进行分类：低、中和高，来 GuardDuty 帮助您了解事件的影响。您可以使用这些分类来确定补救策略和优先级。此规则允许您根据组织策略的要求选择性地为非存档的调查结果设置 daysMediumSev （Config 默认值：30）、 daysHighSev （Config 默认值：7）和（Config 默认值：1）。 daysLowSev | |
| SA-10：开发人员配置管理（例如） | 跟踪系统、组件或服务内的安全缺陷和缺陷解决情况，并将调查结果报告给 [任务：组织定义的人员]。 | AWSSecurity Hub 有助于监控未经授权的人员、连接、设备和软件。 AWSSecurity Hub 可以聚合、组织和优先处理来自多个AWS服务的安全告警或结果。其中一些服务包括亚马逊Security Hub、Amazon Inspector、Amazon Macie、IdentAWS ity and Access Management (IAM) 访问分析器和FiAWS rewall Manager 以及AWS合作伙伴解决方案。 | |
| SA-10：开发人员配置管理 (a) (c.) | 在系统、组件或服务设计、开发、实施、运行期间执行配置管理；仅对系统、组件或服务实施组织批准的更改； | 通过使用 SAWS ystems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 实例，可以清点组织内的软件平台和应用程序。使用AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发行商和版本以及有关您的环境的其他详细信息。 | |
| SC-4：共享系统资源中的信息 | 防止通过共享系统资源进行未经授权和意外的信息传输 | 此规则确保在实例终止时，将附加到 Amazon Elastic Compute Cloud (Amazon EC2) 实例的 Amazon Elastic Block Store (Amazon EC2 如果 Amazon EBS 卷在其所连接的实例终止时未将其删除，则可能违反功能最少的概念。 | |
| SC-7：边界保护 | 监控和控制系统外部边界和系统内关键内部边界的通信；为与内部组织网络分离的公共访问系统组件实施子网；仅通过托管接口Connect 外部网络或信息系统，这些接口由根据组织安全架构布置的边界保护设备组成。 | 通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公开的，管理对AWS云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，此类账户需要原则和访问控制。 | |
| SC-7：边界保护 | 监控和控制系统外部边界和系统内关键内部边界的通信；为与内部组织网络分离的公共访问系统组件实施子网；仅通过托管接口Connect 外部网络或信息系统，这些接口由根据组织安全架构布置的边界保护设备组成。 | 通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公开的，管理对AWS云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息和原则，此类账户需要访问控制。 | |
| SC-7：边界保护 | 监控和控制系统外部边界和系统内关键内部边界的通信；为与内部组织网络分离的公共访问系统组件实施子网；仅通过托管接口Connect 外部网络或信息系统，这些接口由根据组织安全架构布置的边界保护设备组成。 | 通过确保 Amazon Redshift 集群不公开，管理对AWS云中资源的访问权限。Amazon Redshift 集群可能包含敏感信息和原则，此类账户需要访问控制。 | |
| SC-7：边界保护 | 监控和控制系统外部边界和系统内关键内部边界的通信；为与内部组织网络分离的公共访问系统组件实施子网；仅通过托管接口Connect 外部网络或信息系统，这些接口由根据组织安全架构布置的边界保护设备组成。 | 通过确保 EBS 快照不可公开恢复，管理对AWS云的访问权限。EBS 卷快照可能包含敏感信息，此类账户需要访问控制。 | |
| SC-7：边界保护 | 监控和控制系统外部边界和系统内关键内部边界的通信；为与内部组织网络分离的公共访问系统组件实施子网；仅通过托管接口Connect 外部网络或信息系统，这些接口由根据组织安全架构布置的边界保护设备组成。 | 通过确保无法公开访问Amazon Elastic Compute Cloud (Amazon EC2) 实例来管理对云的访问权限。AWSAmazon EC2 实例可能包含敏感信息，此类账户需要访问控制。 | |
| SC-7：边界保护 | 监控和控制系统外部边界和系统内关键内部边界的通信；为与内部组织网络分离的公共访问系统组件实施子网；仅通过托管接口Connect 外部网络或信息系统，这些接口由根据组织安全架构布置的边界保护设备组成。 | 通过确保AWS Lambda 函数无法公开访问，管理对AWS云中资源的访问权限。公共访问可能导致资源可用性下降。 | |
| SC-7：边界保护 | 监控和控制系统外部边界和系统内关键内部边界的通信；为与内部组织网络分离的公共访问系统组件实施子网；仅通过托管接口Connect 外部网络或信息系统，这些接口由根据组织安全架构布置的边界保护设备组成。 | 通过确保无法公开访问 Amazon Simple Storage Service (Amazon S3) 存储桶，管理对AWS云中资源的访问。该规则通过防止公共访问来帮助保护敏感数据免受未经授权的远程用户的侵害。此规则允许您选择设置 ignorePublicAcls （Config 默认值：True）、 blockPublicPolicy （Config 默认值：True）、 blockPublicAcls （Config 默认值：True）和 restrictPublicBuckets 参数（Config 默认值：True）。实际值应反映贵组织的政策。 | |
| SC-7：边界保护 | 监控和控制系统外部边界和系统内关键内部边界的通信；为与内部组织网络分离的公共访问系统组件实施子网；仅通过托管接口Connect 外部网络或信息系统，这些接口由根据组织安全架构布置的边界保护设备组成。 | 启用 s3_ bucket_policy_grantee_check 来管理对AWS云的访问权限。该规则检查 Amazon S3 存储桶授予的访问权限是否受到您提供的任何AWS委托人、联合用户、服务主体、IP 地址或Amazon Virtual Private Cloud (Amazon VPC) ID 的限制。 | |
| SC-7：边界保护 | 监控和控制系统外部边界和系统内关键内部边界的通信；为与内部组织网络分离的公共访问系统组件实施子网；仅通过托管接口Connect 外部网络或信息系统，这些接口由根据组织安全架构布置的边界保护设备组成。 | 通过仅允许授权用户、流程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，管理对AWS云中资源的访问。访问管理应与数据的分类保持一致。 | |
| SC-7：边界保护 | 监控和控制系统外部边界和系统内关键内部边界的通信；为与内部组织网络分离的公共访问系统组件实施子网；仅通过托管接口Connect 外部网络或信息系统，这些接口由根据组织安全架构布置的边界保护设备组成。 | 通过仅允许授权用户、流程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，管理对AWS云中资源的访问。访问管理应与数据的分类保持一致。 | |
| SC-7：边界保护 | 监控和控制系统外部边界和系统内关键内部边界的通信；为与内部组织网络分离的公共访问系统组件实施子网；仅通过托管接口Connect 外部网络或信息系统，这些接口由根据组织安全架构布置的边界保护设备组成。 | 通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对AWS云端资源的访问权限。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。 | |
| SC-7：边界保护 | 监控和控制系统外部边界和系统内关键内部边界的通信；为与内部组织网络分离的公共访问系统组件实施子网；仅通过托管接口Connect 外部网络或信息系统，这些接口由根据组织安全架构布置的边界保护设备组成。 | 通过确保在 Amazon Elastic ComputeAWS Cloud (Amazon EC2) 安全组上限制常用端口，管理对云中资源的访问。不限制对可信来源的端口访问可能会导致对系统的可用性、完整性和机密性的攻击。通过限制从 Internet (0.0.0.0.0.0.0/0) 访问安全组中的资源，可以控制对内部系统的远程访问。 | |
| SC-7：边界保护 (CE-9) 限制威胁传出通信流量 | 检测并拒绝对外部系统构成威胁的传出通信流量；并审计与被拒绝的通信相关的内部用户的身份。 | 为了帮助在您的环境中进行日志记录和监控，请在区域和全球 Web ACL 上启用AWS WAF (V2) 登录。 AWSWAF 日志记录提供有关您的 Web ACL 分析的流量的详细信息。日志记录AWS WAF 收到您的AWS资源请求的时间、有关请求的信息以及每个请求所匹配的规则的操作。 | |
| SC-7：边界保护 (CE-9) 限制威胁传出通信流量 | 检测并拒绝对外部系统构成威胁的传出通信流量；并审计与被拒绝的通信相关的内部用户的身份。 | 确保在弹性负载均衡器 (ELB) 上启用AWS WAF 以帮助保护 Web 应用程序。WAF 有助于保护您的 Web 应用程序免遭常见 Web 漏洞的攻击。这些 Web 漏洞可能会影响可用性、损害安全性或消耗环境中的过多的资源。 | |
| SC-7：边界保护 (CE-9) 限制威胁传出通信流量 | 检测并拒绝对外部系统构成威胁的传出通信流量；并审计与被拒绝的通信相关的内部用户的身份。 | AWS利用 WAF，您可以配置一组规则（称为 Web 访问控制列表（称为 Web 访问控制列表，即 Web ACL），基于可自定义的 Web 安全规则以及您定义的条件，允许、阻止或统计 Web 请求。确保您的Amazon API Gateway 阶段与 WAF Web ACL 相关联，以保护其免受恶意攻击 | |
| SC-7：边界保护（IRS 定义） | 各机构应在信任边界实施和管理边界保护（通常使用防火墙）。应监测每个信任边界，控制跨越每个边界的通信。 | AWSNetwork Firewall 策略定义您的防火墙如何监控和处理 Amazon VPC 中的流量。您可以配置无状态和有状态规则组来过滤数据包和流量，并定义默认流量处理。 | |
| SC-7：边界保护（IRS 定义） | 各机构应在信任边界实施和管理边界保护（通常使用防火墙）。应监测每个信任边界，控制跨越每个边界的通信。 | AWSNetwork Firewall 规则组包含定义防火墙如何处理 VPC 中流量的规则。防火墙策略中存在的空无状态规则组不处理流量。 | |
| SC-8：传输机密性和完整性 (CE-1) 加密保护 | 实施加密机制，防止未经授权的信息泄露，并在传输过程中检测信息的变化。 | 为了帮助保护传输中的数据，请确保您的Application Load Balancer 自动将未加密的 HTTP 请求重定向到 HTTPS。由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。 | |
| SC-8：传输机密性和完整性 (CE-1) 加密保护 | 实施加密机制，防止未经授权的信息泄露，并在传输过程中检测信息的变化。 | 确保启用亚马逊 OpenSearch 服务的 node-to-node 加密。Node-to-node 加密支持对 Amazon Virtual Private Cloud (Amazon VPC) 内的所有通信的 TLS 1.2 由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。 | |
| SC-8：传输机密性和完整性 (CE-1) 加密保护 | 实施加密机制，防止未经授权的信息泄露，并在传输过程中检测信息的变化。 | 确保您的弹性负载均衡器 (ELB) 配置了 SSL 或 HTTPS 侦听器。由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。 | |
| SC-8：传输机密性和完整性 (CE-1) 加密保护 | 实施加密机制，防止未经授权的信息泄露，并在传输过程中检测信息的变化。 | 由于敏感数据可能存在并且为了帮助保护传输中的数据，请确保为与您的亚马逊 OpenSearch 服务域的连接启用 HTTPS。 | |
| SC-8：传输机密性和完整性 (CE-1) 加密保护 | 实施加密机制，防止未经授权的信息泄露，并在传输过程中检测信息的变化。 | 确保启用亚马逊 OpenSearch 服务的 node-to-node 加密。Node-to-node 加密支持对 Amazon Virtual Private Cloud (Amazon VPC) 内的所有通信的 TLS 1.2 由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。 | |
| SC-8：传输机密性和完整性 (CE-1) 加密保护 | 实施加密机制，防止未经授权的信息泄露，并在传输过程中检测信息的变化。 | 确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。 | |
| SC-8：传输机密性和完整性 (CE-1) 加密保护 | 实施加密机制，防止未经授权的信息泄露，并在传输过程中检测信息的变化。 | 为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶需要使用安全套接字层 (SSL) 的请求。由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。 | |
| SC-12：加密密钥的建立和管理 | 当系统中使用加密时，该机构必须根据以下密钥管理要求建立和管理加密密钥：NIST SP 800-57，密钥管理建议，用于密钥生成、分发、存储、访问和销毁。 | 为帮助保护静态数据，请确保不计划在密钥管理服务 (KMS) 中删除必要的客户主AWS密AWS钥 (CMK)。由于有时需要删除密钥，因此此规则可以帮助检查所有计划删除的密钥，以防密钥是无意中安排的。 | |
| SC-12：加密密钥的建立和管理 | 当系统中使用加密时，该机构必须根据以下密钥管理要求建立和管理加密密钥：NIST SP 800-57，密钥管理建议，用于密钥生成、分发、存储、访问和销毁。 | 启用密钥轮换，确保密钥在加密周期结束后轮换。 | |
| SC-13：加密保护 | 实现每种特定加密用途所需的以下加密类型：经过 FIPS-140 验证的最新加密机制、NIST 800-52、Guidelines Transport Layer Security (TLS) Implementations of Transport Layer Security (TLS) Implementations Layer Security 禁止使用 SHA-1 进行数字签名。 | 由于敏感数据可能存在并且为了帮助保护传输中的数据，请确保为 Elastic Load Balancing 启用加密。使用AWS Certificate Manager 通过AWS服务和内部资源管理、预置和部署公共和私有 SSL/TLS 证书。 | |
| SC-13：加密保护 | 实现每种特定加密用途所需的以下加密类型：经过 FIPS-140 验证的最新加密机制、NIST 800-52、Guidelines Transport Layer Security (TLS) Implementations of Transport Layer Security (TLS) Implementations Layer Security 禁止使用 SHA-1 进行数字签名。 | 为了帮助保护传输中的数据，请确保您的Application Load Balancer 自动将未加密的 HTTP 请求重定向到 HTTPS。由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。 | |
| SC-13：加密保护 | 实现每种特定加密用途所需的以下加密类型：经过 FIPS-140 验证的最新加密机制、NIST 800-52、Guidelines Transport Layer Security (TLS) Implementations of Transport Layer Security (TLS) Implementations Layer Security 禁止使用 SHA-1 进行数字签名。 | 为了帮助保护静态数据，请确保为您的 API Gateway 阶段的缓存启用了加密。由于可以捕获 API 方法的敏感数据，因此启用静态加密以帮助保护这些数据。 | |
| SC-13：加密保护 | 实现每种特定加密用途所需的以下加密类型：经过 FIPS-140 验证的最新加密机制、NIST 800-52、Guidelines Transport Layer Security (TLS) Implementations of Transport Layer Security (TLS) Implementations Layer Security 禁止使用 SHA-1 进行数字签名。 | 确保启用亚马逊 OpenSearch 服务的 node-to-node 加密。Node-to-node 加密支持对 Amazon Virtual Private Cloud (Amazon VPC) 内的所有通信的 TLS 1.2 由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。 | |
| SC-13：加密保护 | 实现每种特定加密用途所需的以下加密类型：经过 FIPS-140 验证的最新加密机制、NIST 800-52、Guidelines Transport Layer Security (TLS) Implementations of Transport Layer Security (TLS) Implementations Layer Security 禁止使用 SHA-1 进行数字签名。 | 确保您的弹性负载均衡器 (ELB) 配置了 SSL 或 HTTPS 侦听器。由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。 | |
| SC-13：加密保护 | 实现每种特定加密用途所需的以下加密类型：经过 FIPS-140 验证的最新加密机制、NIST 800-52、Guidelines Transport Layer Security (TLS) Implementations of Transport Layer Security (TLS) Implementations Layer Security 禁止使用 SHA-1 进行数字签名。 | 由于敏感数据可能存在并且为了帮助保护传输中的数据，请确保为与您的亚马逊 OpenSearch 服务域的连接启用 HTTPS。 | |
| SC-13：加密保护 | 实现每种特定加密用途所需的以下加密类型：经过 FIPS-140 验证的最新加密机制、NIST 800-52、Guidelines Transport Layer Security (TLS) Implementations of Transport Layer Security (TLS) Implementations Layer Security 禁止使用 SHA-1 进行数字签名。 | 确保启用亚马逊 OpenSearch 服务的 node-to-node 加密。Node-to-node 加密支持对 Amazon Virtual Private Cloud (Amazon VPC) 内的所有通信的 TLS 1.2 由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。 | |
| SC-13：加密保护 | 实现每种特定加密用途所需的以下加密类型：经过 FIPS-140 验证的最新加密机制、NIST 800-52、Guidelines Transport Layer Security (TLS) Implementations of Transport Layer Security (TLS) Implementations Layer Security 禁止使用 SHA-1 进行数字签名。 | 确保您的AWS Backup 恢复点已启用加密。由于敏感数据可能处于静态状态，因此启用静态加密以帮助保护这些数据。 | |
| SC-13：加密保护 | 实现每种特定加密用途所需的以下加密类型：经过 FIPS-140 验证的最新加密机制、NIST 800-52、Guidelines Transport Layer Security (TLS) Implementations of Transport Layer Security (TLS) Implementations Layer Security 禁止使用 SHA-1 进行数字签名。 | 确保您的Amazon DynamoDB 表已启用加密。由于敏感数据可能静态存在于这些表中，因此启用静态加密以帮助保护这些数据。默认情况下，DynamoDB 表使用自身的客户AWS主密钥 (CMK) 加密。 | |
| SC-13：加密保护 | 实现每种特定加密用途所需的以下加密类型：经过 FIPS-140 验证的最新加密机制、NIST 800-52、Guidelines Transport Layer Security (TLS) Implementations of Transport Layer Security (TLS) Implementations Layer Security 禁止使用 SHA-1 进行数字签名。 | 要帮助保护静态数据，请确保对您的 Amazon Elastic Block Store (Amazon EBS) 卷启用加密。由于敏感数据可能静态存在于这些卷中，因此启用静态加密以帮助保护这些数据。 | |
| SC-13：加密保护 | 实现每种特定加密用途所需的以下加密类型：经过 FIPS-140 验证的最新加密机制、NIST 800-52、Guidelines Transport Layer Security (TLS) Implementations of Transport Layer Security (TLS) Implementations Layer Security 禁止使用 SHA-1 进行数字签名。 | 由于敏感数据可能存在并且为了帮助保护静态数据，请确保为您的 Amazon Kinesis Streams 启用加密。 | |
| SC-13：加密保护 | 实现每种特定加密用途所需的以下加密类型：经过 FIPS-140 验证的最新加密机制、NIST 800-52、Guidelines Transport Layer Security (TLS) Implementations of Transport Layer Security (TLS) Implementations Layer Security 禁止使用 SHA-1 进行数字签名。 | 由于敏感数据可能存在并且为了帮助保护静态数据，请确保对您的亚马逊 OpenSearch 服务域启用加密。 | |
| SC-13：加密保护 | 实现每种特定加密用途所需的以下加密类型：经过 FIPS-140 验证的最新加密机制、NIST 800-52、Guidelines Transport Layer Security (TLS) Implementations of Transport Layer Security (TLS) Implementations Layer Security 禁止使用 SHA-1 进行数字签名。 | 确保您的Amazon Relational Database Service (Amazon RDS) 快照启用加 由于敏感数据可能处于静态状态，因此启用静态加密以帮助保护这些数据。 | |
| SC-13：加密保护 | Implementations for the Selection, Configuration, Configuration, Configuration, and Use of Transport Layer Security (TLS) Implementations，Guidelines for the Selection FIPS-140 禁止使用 SHA-1 进行数字签名。 | 为了帮助保护静态数据，请确保为您的 Amazon Redshift 集群启用了AWS密钥管理服务 (AWSKMS) 加密。由于敏感数据可能静态存在于 Redshift 集群中，因此启用静态加密以帮助保护这些数据。 | |
| SC-13：加密保护 | Implementations for the Selection, Configuration, Configuration, Configuration, and Use of Transport Layer Security (TLS) Implementations，Guidelines for the Selection FIPS-140 禁止使用 SHA-1 进行数字签名。 | 确保您的Amazon Simle Storage Sorage (Amazon S3) 存储桶启用加密。由于敏感数据可能静态存在于 Amazon S3 存储桶中，因此启用静态加密以帮助保护这些数据。 | |
| SC-13：加密保护 | Implementations for the Selection, Configuration, Configuration, Configuration, and Use of Transport Layer Security (TLS) Implementations，Guidelines for the Selection FIPS-140 禁止使用 SHA-1 进行数字签名。 | 为了帮助保护静态数据，请确保为 SAWS ecrets Manager 机密启用了密AWS钥管理服务 (AWSKMS) 加密。由于敏感数据可能静态存在于 Secrets Manager 机密中，因此启用静态加密以帮助保护这些数据。 | |
| SC-13：加密保护 | Implementations for the Selection, Configuration, Configuration, Configuration, and Use of Transport Layer Security (TLS) Implementations，Guidelines for the Selection FIPS-140 禁止使用 SHA-1 进行数字签名。 | 为帮助保护静态敏感数据，请确保对您的亚马逊 CloudWatch 日志组启用加密。 | |
| SC-13：加密保护 | Implementations for the Selection, Configuration, Configuration, Configuration, and Use of Transport Layer Security (TLS) Implementations，Guidelines for the Selection FIPS-140 禁止使用 SHA-1 进行数字签名。 | 由于敏感数据可能存在并且为了帮助保护静态数据，请确保为您的 Amazon Elastic File System (EFS) 启用加密。 | |
| SC-13：加密保护 | Implementations for the Selection, Configuration, Configuration, Configuration, and Use of Transport Layer Security (TLS) Implementations，Guidelines for the Selection FIPS-140 禁止使用 SHA-1 进行数字签名。 | 由于敏感数据可能存在并且为了帮助保护静态数据，请确保对您的亚马逊 OpenSearch 服务（OpenSearch 服务）域启用加密。 | |
| SC-13：加密保护 | Implementations for the Selection, Configuration, Configuration, Configuration, and Use of Transport Layer Security (TLS) Implementations，Guidelines for the Selection FIPS-140 禁止使用 SHA-1 进行数字签名。 | 由于敏感数据可能存在，并且为了帮助保护静态数据，请确保您的 Amazon Elastic Block Store (Amazon EBS) 卷启用加密功能。 | |
| SC-13：加密保护 | Implementations for the Selection, Configuration, Configuration, Configuration, and Use of Transport Layer Security (TLS) Implementations，Guidelines for the Selection FIPS-140 禁止使用 SHA-1 进行数字签名。 | 要帮助保护静态数据，请确保对您的Amazon Relational Database Service (Amazon RDS) 实例启用加密。由于敏感数据可能静态存在于 Amazon RDS 实例中，因此启用静态加密以帮助保护这些数据。 | |
| SC-13：加密保护 | Implementations for the Selection, Configuration, Configuration, Configuration, and Use of Transport Layer Security (TLS) Implementations，Guidelines for the Selection FIPS-140 禁止使用 SHA-1 进行数字签名。 | 要保护静态数据，请确保为您的 Amazon Redshift 集群启用加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录以提供有关数据库中的连接和用户活动的信息。此规则要求为 clusterDbEncrypted （Config 默认值：TRUE）和启用 LoggingEnabled（Config 默认值：TRUE）设置值。实际值应反映贵组织的政策。 | |
| SC-13：加密保护 | Implementations for the Selection, Configuration, Configuration, Configuration, and Use of Transport Layer Security (TLS) Implementations，Guidelines for the Selection FIPS-140 禁止使用 SHA-1 进行数字签名。 | 确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。 | |
| SC-13：加密保护 | Implementations for the Selection, Configuration, Configuration, Configuration, and Use of Transport Layer Security (TLS) Implementations，Guidelines for the Selection FIPS-140 禁止使用 SHA-1 进行数字签名。 | 要帮助保护静态数据，请确保对 Amazon Simple Storage Service (Amazon S3) 存储桶启用加密。由于敏感数据可能静态存在于 Amazon S3 存储桶中，因此启用加密以帮助保护这些数据。 | |
| SC-13：加密保护 | Implementations for the Selection, Configuration, Configuration, Configuration, and Use of Transport Layer Security (TLS) Implementations，Guidelines for the Selection FIPS-140 禁止使用 SHA-1 进行数字签名。 | 为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶需要使用安全套接字层 (SSL) 的请求。由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。 | |
| SC-13：加密保护 | Implementations for the Selection, Configuration, Configuration, Configuration, and Use of Transport Layer Security (TLS) Implementations，Guidelines for the Selection FIPS-140 禁止使用 SHA-1 进行数字签名。 | 为帮助保护静态数据，请确保为您的 SageMaker 终端节点启用AWS密钥管理服务 (AWSKMS) 加密。由于敏感数据可能静态存在于 SageMaker 端点中，因此启用静态加密以帮助保护这些数据。 | |
| SC-13：加密保护 | Implementations for the Selection, Configuration, Configuration, Configuration, and Use of Transport Layer Security (TLS) Implementations，Guidelines for the Selection FIPS-140 禁止使用 SHA-1 进行数字签名。 | 为帮助保护静态数据，请确保您的 SageMaker 笔记本电脑启用了AWS密钥管理服务 (AWSKMS) 加密。由于敏感数据可能静态存在于 SageMaker 笔记本电脑中，因此启用静态加密以帮助保护这些数据。 | |
| SC-13：加密保护 | Implementations for the Selection, Configuration, Configuration, Configuration, and Use of Transport Layer Security (TLS) Implementations，Guidelines for the Selection FIPS-140 禁止使用 SHA-1 进行数字签名。 | 为了帮助保护静态数据，请确保您的亚马逊Simple Notification Service (Amazon SNS) 主题需要使用AWS密钥管理服务 (AWSKMS) 进行加密。由于敏感数据可能静态存在于已发布的消息中，因此启用静态加密以帮助保护这些数据。 | |
| SC-23：会话真实性 | 保护通信会话的真实性。 | 确保启用实例元数据服务版本 2 (imdsv2) 方法，以帮助保护对 Amazon Elastic Compute Cloud (Amazon EC2) 实例元数据的访问和控制。imdsv2 方法使用基于会话的控件。使用 IMDSv2，可以实施控制来限制对实例元数据的更改。 | |
| SC-28：静态信息保护 (CE-1) 加密保护 | 实施加密机制，防止在非易失性存储器中未经授权地泄露和修改最终用户计算系统（即台式计算机、笔记本电脑、移动设备、便携式和可移动存储设备）上的静态 FTI。 | 为了帮助保护静态数据，请确保为您的 API Gateway 阶段的缓存启用了加密。由于可以捕获 API 方法的敏感数据，因此启用静态加密以帮助保护这些数据。 | |
| SC-28：静态信息保护 (CE-1) 加密保护 | 实施加密机制，防止在非易失性存储器中未经授权地泄露和修改最终用户计算系统（即台式计算机、笔记本电脑、移动设备、便携式和可移动存储设备）上的静态 FTI。 | 确保您的AWS Backup 恢复点已启用加密。由于敏感数据可能处于静态状态，因此启用静态加密以帮助保护这些数据。 | |
| SC-28：静态信息保护 (CE-1) 加密保护 | 实施加密机制，防止在非易失性存储器中未经授权地泄露和修改最终用户计算系统（即台式计算机、笔记本电脑、移动设备、便携式和可移动存储设备）上的静态 FTI。 | 由于敏感数据可能存在，为了帮助保护静态数据，请确保为您的AWS CloudTrail 跟踪启用加密。 | |
| SC-28：静态信息保护 (CE-1) 加密保护 | 实施加密机制，防止在非易失性存储器中未经授权地泄露和修改最终用户计算系统（即台式计算机、笔记本电脑、移动设备、便携式和可移动存储设备）上的静态 FTI。 | 为帮助保护静态敏感数据，请确保对您的亚马逊 CloudWatch 日志组启用加密。 | |
| SC-28：静态信息保护 (CE-1) 加密保护 | 实施加密机制，防止在非易失性存储器中未经授权地泄露和修改最终用户计算系统（即台式计算机、笔记本电脑、移动设备、便携式和可移动存储设备）上的静态 FTI。 | 为了帮助保护静态数据，请确保您的亚马逊Simple Notification Service (Amazon SNS) 主题需要使用AWS密钥管理服务 (AWSKMS) 进行加密。由于敏感数据可能静态存在于已发布的消息中，因此启用静态加密以帮助保护这些数据。 | |
| SC-28：静态信息保护 (CE-1) 加密保护 | 实施加密机制，防止在非易失性存储器中未经授权地泄露和修改最终用户计算系统（即台式计算机、笔记本电脑、移动设备、便携式和可移动存储设备）上的静态 FTI。 | 确保您的Amazon DynamoDB 表已启用加密。由于敏感数据可能静态存在于这些表中，因此启用静态加密以帮助保护这些数据。默认情况下，DynamoDB 表使用自身的客户AWS主密钥 (CMK) 加密。 | |
| SC-28：静态信息保护 (CE-1) 加密保护 | 实施加密机制，防止在非易失性存储器中未经授权地泄露和修改最终用户计算系统（即台式计算机、笔记本电脑、移动设备、便携式和可移动存储设备）上的静态 FTI。 | 要帮助保护静态数据，请确保对您的 Amazon Elastic Block Store (Amazon EBS) 卷启用加密。由于敏感数据可能静态存在于这些卷中，因此启用静态加密以帮助保护这些数据。 | |
| SC-28：静态信息保护 (CE-1) 加密保护 | 实施加密机制，防止在非易失性存储器中未经授权地泄露和修改最终用户计算系统（即台式计算机、笔记本电脑、移动设备、便携式和可移动存储设备）上的静态 FTI。 | 由于敏感数据可能存在并且为了帮助保护静态数据，请确保为您的 Amazon Elastic File System (EFS) 启用加密。 | |
| SC-28：静态信息保护 (CE-1) 加密保护 | 实施加密机制，防止在非易失性存储器中未经授权地泄露和修改最终用户计算系统（即台式计算机、笔记本电脑、移动设备、便携式和可移动存储设备）上的静态 FTI。 | 由于敏感数据可能存在并且为了帮助保护静态数据，请确保对您的亚马逊 OpenSearch 服务（OpenSearch 服务）域启用加密。 | |
| SC-28：静态信息保护 (CE-1) 加密保护 | 实施加密机制，防止在非易失性存储器中未经授权地泄露和修改最终用户计算系统（即台式计算机、笔记本电脑、移动设备、便携式和可移动存储设备）上的静态 FTI。 | 由于敏感数据可能存在，并且为了帮助保护静态数据，请确保您的 Amazon Elastic Block Store (Amazon EBS) 卷启用加密功能。 | |
| SC-28：静态信息保护 (CE-1) 加密保护 | 实施加密机制，防止在非易失性存储器中未经授权地泄露和修改最终用户计算系统（即台式计算机、笔记本电脑、移动设备、便携式和可移动存储设备）上的静态 FTI。 | 由于敏感数据可能存在并且为了帮助保护静态数据，请确保为您的 Amazon Kinesis Streams 启用加密。 | |
| SC-28：静态信息保护 (CE-1) 加密保护 | 实施加密机制，防止在非易失性存储器中未经授权地泄露和修改最终用户计算系统（即台式计算机、笔记本电脑、移动设备、便携式和可移动存储设备）上的静态 FTI。 | 由于敏感数据可能存在并且为了帮助保护静态数据，请确保对您的亚马逊 OpenSearch 服务域启用加密。 | |
| SC-28：静态信息保护 (CE-1) 加密保护 | 实施加密机制，防止在非易失性存储器中未经授权地泄露和修改最终用户计算系统（即台式计算机、笔记本电脑、移动设备、便携式和可移动存储设备）上的静态 FTI。 | 确保您的Amazon Relational Database Service (Amazon RDS) 快照启用加 由于敏感数据可能处于静态状态，因此启用静态加密以帮助保护这些数据。 | |
| SC-28：静态信息保护 (CE-1) 加密保护 | 实施加密机制，防止在非易失性存储器中未经授权地泄露和修改最终用户计算系统（即台式计算机、笔记本电脑、移动设备、便携式和可移动存储设备）上的静态 FTI。 | 要帮助保护静态数据，请确保对您的Amazon Relational Database Service (Amazon RDS) 实例启用加密。由于敏感数据可能静态存在于 Amazon RDS 实例中，因此启用静态加密以帮助保护这些数据。 | |
| SC-28：静态信息保护 (CE-1) 加密保护 | 实施加密机制，防止在非易失性存储器中未经授权地泄露和修改最终用户计算系统（即台式计算机、笔记本电脑、移动设备、便携式和可移动存储设备）上的静态 FTI。 | 要保护静态数据，请确保为您的 Amazon Redshift 集群启用加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录以提供有关数据库中的连接和用户活动的信息。此规则要求为 clusterDbEncrypted （Config 默认值：TRUE）和启用 LoggingEnabled（Config 默认值：TRUE）设置值。实际值应反映贵组织的政策。 | |
| SC-28：静态信息保护 (CE-1) 加密保护 | 实施加密机制，防止在非易失性存储器中未经授权地泄露和修改最终用户计算系统（即台式计算机、笔记本电脑、移动设备、便携式和可移动存储设备）上的静态 FTI。 | 为了帮助保护静态数据，请确保为您的 Amazon Redshift 集群启用了AWS密钥管理服务 (AWSKMS) 加密。由于敏感数据可能静态存在于 Redshift 集群中，因此启用静态加密以帮助保护这些数据。 | |
| SC-28：静态信息保护 (CE-1) 加密保护 | 实施加密机制，防止在非易失性存储器中未经授权地泄露和修改最终用户计算系统（即台式计算机、笔记本电脑、移动设备、便携式和可移动存储设备）上的静态 FTI。 | 要帮助保护静态数据，请确保对 Amazon Simple Storage Service (Amazon S3) 存储桶启用加密。由于敏感数据可能静态存在于 Amazon S3 存储桶中，因此启用加密以帮助保护这些数据。 | |
| SC-28：静态信息保护 (CE-1) 加密保护 | 实施加密机制，防止在非易失性存储器中未经授权地泄露和修改最终用户计算系统（即台式计算机、笔记本电脑、移动设备、便携式和可移动存储设备）上的静态 FTI。 | 确保您的Amazon Simle Storage Sorage (Amazon S3) 存储桶启用加密。由于敏感数据可能静态存在于 Amazon S3 存储桶中，因此启用静态加密以帮助保护这些数据。 | |
| SC-28：静态信息保护 (CE-1) 加密保护 | 实施加密机制，防止在非易失性存储器中未经授权地泄露和修改最终用户计算系统（即台式计算机、笔记本电脑、移动设备、便携式和可移动存储设备）上的静态 FTI。 | 为帮助保护静态数据，请确保为您的 SageMaker 终端节点启用AWS密钥管理服务 (AWSKMS) 加密。由于敏感数据可能静态存在于 SageMaker 端点中，因此启用静态加密以帮助保护这些数据。 | |
| SC-28：静态信息保护 (CE-1) 加密保护 | 实施加密机制，防止在非易失性存储器中未经授权地泄露和修改最终用户计算系统（即台式计算机、笔记本电脑、移动设备、便携式和可移动存储设备）上的静态 FTI。 | 为帮助保护静态数据，请确保您的 SageMaker 笔记本电脑启用了AWS密钥管理服务 (AWSKMS) 加密。由于敏感数据可能静态存在于 SageMaker 笔记本电脑中，因此启用静态加密以帮助保护这些数据。 | |
| SC-28：静态信息保护 (CE-1) 加密保护 | 实施加密机制，防止在非易失性存储器中未经授权地泄露和修改最终用户计算系统（即台式计算机、笔记本电脑、移动设备、便携式和可移动存储设备）上的静态 FTI。 | 为了帮助保护静态数据，请确保为 SAWS ecrets Manager 机密启用了密AWS钥管理服务 (AWSKMS) 加密。由于敏感数据可能静态存在于 Secrets Manager 机密中，因此启用静态加密以帮助保护这些数据。 | |
| SI-2：缺陷修复（IRS 定义） | 该机构应确保在每天开机并连接到该机构的网络时，对工作站（定义见政策，包括使用GFE工作站的远程连接）进行检查，以确保已应用了机构批准的最新补丁，并在必要时使用任何缺失的补丁或新的补丁或以其他方式至少每24小时（不包括周末、节假日等）检查一次 | 通过使用 SAWS ystems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 实例，可以清点组织内的软件平台和应用程序。使用AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发行商和版本以及有关您的环境的其他详细信息。 | |
| SI-2：缺陷修复（IRS 定义） | 该机构应确保在每天开机并连接到该机构的网络时，对工作站（定义见政策，包括使用GFE工作站的远程连接）进行检查，以确保已应用了机构批准的最新补丁，并在必要时使用任何缺失的补丁或新的补丁或以其他方式至少每24小时（不包括周末、节假日等）检查一次 | 使用AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。 AWSSystems Manager 为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置和有关环境的其他详细信息的基准。 | |
| SI-2：缺陷修复（IRS 定义） | 该机构应确保在每天开机并连接到该机构的网络时，对工作站（定义见政策，包括使用GFE工作站的远程连接）进行检查，以确保已应用了机构批准的最新补丁，并在必要时使用任何缺失的补丁或新的补丁或以其他方式至少每24小时（不包括周末、节假日等）检查一次 | 启用此规则可帮助识别和记录Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。该规则检查SAWS ystems Manager 中的 Amazon EC2 实例补丁是否符合贵组织的政策和程序的要求。 | |
| SI-2：缺陷修复（IRS 定义） | 该机构应确保在每天开机并连接到该机构的网络时，对工作站（定义见政策，包括使用GFE工作站的远程连接）进行检查，以确保已应用了机构批准的最新补丁，并在必要时使用任何缺失的补丁或新的补丁或以其他方式至少每24小时（不包括周末、节假日等）检查一次 | AWSFargate ion 任务的安全更新和修补程序将自动部署。如果发现影响AWS Fargate 平台版本的安全问题，请AWS修补平台版本。为了帮助对运行AWS Fargate 的 Amazon Elastic Container Service (ECS) 任务进行补丁管理，请更新您的服务独立任务以使用最新的平台版本。 | |
| SI-2：缺陷修复（IRS 定义） | 该机构应确保在每天开机并连接到该机构的网络时，对工作站（定义见政策，包括使用GFE工作站的远程连接）进行检查，以确保已应用了机构批准的最新补丁，并在必要时使用任何缺失的补丁或新的补丁或以其他方式至少每24小时（不包括周末、节假日等）检查一次 | 为 Amazon Elastic Beanstalk 环境启用托管平台更新可确保安装该环境的最新可用平台修复、更新和功能。及时安装补丁是保护系统的最佳做法。 | |
| SI-2：缺陷修复（IRS 定义） | 该机构应确保在每天开机并连接到该机构的网络时，对工作站（定义见政策，包括使用GFE工作站的远程连接）进行检查，以确保已应用了机构批准的最新补丁，并在必要时使用任何缺失的补丁或新的补丁或以其他方式至少每24小时（不包括周末、节假日等）检查一次 | 在您的 Amazon Relational Database Service (RDS) 实例上启用自动次要版本升级，以确保安装关系数据库管理系统 (RDBMS) 的最新次要版本更新，其中可能包括安全补丁和错误修复。 | |
| SI-4：系统监控 | 组织 1 监控信息系统以检测：1. 根据 [分配：组织定义的监控目标] 进行攻击和潜在攻击的迹象；2. 未经授权的本地、网络和远程连接；b. 通过 [任务：组织定义的技术和方法] 识别未经授权使用信息系统的行为；c.Deploys 监控设备：1. 在信息系统内战略性地收集组织确定的基本信息; 和 2. 在系统内的临时位置跟踪组织感兴趣的特定类型的交易；d. 保护从入侵监控工具获得的信息免遭未经授权的访问、修改和删除； | 亚马逊 GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 和机器学习列表，用于标识您的AWS云环境中意外的和未经授权的恶意活动。 | |
| SI-4：系统监控 | 组织 1 监控信息系统以检测：1. 根据 [分配：组织定义的监控目标] 进行攻击和潜在攻击的迹象；2. 未经授权的本地、网络和远程连接；b. 通过 [任务：组织定义的技术和方法] 识别未经授权使用信息系统的行为；c.Deploys 监控设备：1. 在信息系统内战略性地收集组织确定的基本信息; 和 2. 在系统内的临时位置跟踪组织感兴趣的特定类型的交易；d. 保护从入侵监控工具获得的信息免遭未经授权的访问、修改和删除； | AWSSecurity Hub 有助于监控未经授权的人员、连接、设备和软件。 AWSSecurity Hub 可以聚合、组织和优先处理来自多个AWS服务的安全告警或结果。其中一些服务包括亚马逊Security Hub、Amazon Inspector、Amazon Macie、IdentAWS ity and Access Management (IAM) 访问分析器和FiAWS rewall Manager 以及AWS合作伙伴解决方案。 | |
| SI-4：系统监控 | 组织 1 监控信息系统以检测：1. 根据 [分配：组织定义的监控目标] 进行攻击和潜在攻击的迹象；2. 未经授权的本地、网络和远程连接；b. 通过 [任务：组织定义的技术和方法] 识别未经授权使用信息系统的行为；c.Deploys 监控设备：1. 在信息系统内战略性地收集组织确定的基本信息; 和 2. 在系统内的临时位置跟踪组织感兴趣的特定类型的交易；d. 保护从入侵监控工具获得的信息免遭未经授权的访问、修改和删除； | 当某个指标在指定数量的评估期内超出阈值，Amazon 会发出 CloudWatch 告警。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （Config 默认值：True）、 insufficientDataAction必需（Config 默认值：True）、 okActionRequired （Config 默认值：False）的值。实际值应反映您环境的警报操作。 | |
| SI-4：系统监控 | 组织 1 监控信息系统以检测：1. 根据 [分配：组织定义的监控目标] 进行攻击和潜在攻击的迹象；2. 未经授权的本地、网络和远程连接；b. 通过 [任务：组织定义的技术和方法] 识别未经授权使用信息系统的行为；c.Deploys 监控设备：1. 在信息系统内战略性地收集组织确定的基本信息; 和 2. 在系统内的临时位置跟踪组织感兴趣的特定类型的交易；d. 保护从入侵监控工具获得的信息免遭未经授权的访问、修改和删除； | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含AWS CloudTrail 数据可提供您AWS账户内的 API 调用活动的详细信息。 | |
| SI-4：系统监控 | 组织 1 监控信息系统以检测：1. 根据 [分配：组织定义的监控目标] 进行攻击和潜在攻击的迹象；2. 未经授权的本地、网络和远程连接；b. 通过 [任务：组织定义的技术和方法] 识别未经授权使用信息系统的行为；c.Deploys 监控设备：1. 在信息系统内战略性地收集组织确定的基本信息; 和 2. 在系统内的临时位置跟踪组织感兴趣的特定类型的交易；d. 保护从入侵监控工具获得的信息免遭未经授权的访问、修改和删除； | 启用此规则有助于改进 Amazon EC2 控制台上的 Amazon Elastic Compute Cloud (Amazon EC2) 实例监控，以 1 分钟为间隔显示实例的监控图表。 | |
| SI-4：系统监控（IRS 定义） | 所有互联网接入点/门户应捕获并保留入站和出站流量标头信息至少一年，但经机构CISO批准的互联网 “匿名” 连接除外。 | Elastic Load Balancing 活动是环境中的中心通信点。确保启用了 ELB 日志记录功能。收集的数据提供了有关发送到EELB 的请求的详细信息。每个日志都包含信息 (例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。 | |
| SI-4：系统监控（IRS 定义） | 所有互联网接入点/门户应捕获并保留入站和出站流量标头信息至少一年，但经机构CISO批准的互联网 “匿名” 连接除外。 | 确保在您的亚马逊 OpenSearch 服务域上启用了审计日志记录。利用 Adify Loging，您可以跟踪您的 OpenSearch 域上的用户活动，包括身份验证成功和失败 OpenSearch、对的请求、索引更改以及传入的搜索查询。 | |
| SI-4：系统监控（IRS 定义） | 所有互联网接入点/门户应捕获并保留入站和出站流量标头信息至少一年，但经机构CISO批准的互联网 “匿名” 连接除外。 | 要捕获有关 Amazon Redshift 集群上的连接和用户活动的信息，请确保启用审核日志记录。 | |
| SI-4：系统监控（IRS 定义） | 所有互联网接入点/门户应捕获并保留入站和出站流量标头信息至少一年，但经机构CISO批准的互联网 “匿名” 连接除外。 | Amazon Simple Storage Service (Amazon S3) 服务器访问日志提供了一种监控网络中意外的网络安全事件的方法。通过捕获对 Amazon S3 存储桶提出的各种请求，可以监控。每条访问日志记录都提供有关单个访问请求的详细信息。详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | |
| SI-4：系统监控（IRS 定义） | 所有互联网接入点/门户应捕获并保留入站和出站流量标头信息至少一年，但经机构CISO批准的互联网 “匿名” 连接除外。 | 为了帮助在您的环境中进行日志记录和监控，请在区域和全球 Web ACL 上启用AWS WAF (V2) 登录。 AWSWAF 日志记录提供有关您的 Web ACL 分析的流量的详细信息。日志记录AWS WAF 收到您的AWS资源请求的时间、有关请求的信息以及每个请求所匹配的规则的操作。 | |
| SI-4：系统监控（IRS 定义） | 所有互联网接入点/门户应捕获并保留入站和出站流量标头信息至少一年，但经机构CISO批准的互联网 “匿名” 连接除外。 | VPC 流日志提供了有关在您的 Amazon Virtual Private Cloud (Amazon VPC) 中传入和传入网络接口的 IP 流量相关信息的详细记录。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。 | |
| SI-4：系统监控（IRS 定义） | 所有互联网接入点/门户应捕获并保留入站和出站流量标头信息至少一年，但经机构CISO批准的互联网 “匿名” 连接除外。 | API Gateway 日志记录显示了访问 API 的用户的详细视图以及他们访问 API 的方式。这种见解可以让用户活动变得可见。 | |
| SI-4：系统监控（IRS 定义） | 所有互联网接入点/门户应捕获并保留入站和出站流量标头信息至少一年，但经机构CISO批准的互联网 “匿名” 连接除外。 | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含AWS CloudTrail 数据可提供您AWS账户内的 API 调用活动的详细信息。 | |
| SI-4：系统监控（IRS 定义） | 所有互联网接入点/门户应捕获并保留入站和出站流量标头信息至少一年，但经机构CISO批准的互联网 “匿名” 连接除外。 | AWS CloudTrail 可以通过记录AWS管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用AWS服务的用户和AWS帐户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在AWS CloudTrail 记录内容中查看。 | |
| SI-4：系统监控（IRS 定义） | 所有互联网接入点/门户应捕获并保留入站和出站流量标头信息至少一年，但经机构CISO批准的互联网 “匿名” 连接除外。 | 利用AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 传送后是否被修改或删除或未更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这样，要修改、删除或伪造 CloudTrail 日志文件而不被检测到在计算上是不可行的。 | |
| SI-4：系统监控（IRS 定义） | 所有互联网接入点/门户应捕获并保留入站和出站流量标头信息至少一年，但经机构CISO批准的互联网 “匿名” 连接除外。 | 确保为您的日志组保留最短持续时间的事件日志数据，以帮助进行故障排除和取证调查。缺乏可用的过去事件日志数据使得重建和识别潜在的恶意事件变得困难。 | |
| SI-7：软件、固件和信息完整性 | 使用完整性验证工具检测对以下软件、固件和信息的未经授权的更改：系统内核、驱动程序、固件（例如 BIOS、UEFI）、软件（例如操作系统、应用程序、中间件）和安全属性。 | 通过使用 SAWS ystems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 实例，可以清点组织内的软件平台和应用程序。使用AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发行商和版本以及有关您的环境的其他详细信息。 | |
| SI-7：软件、固件和信息完整性 | 使用完整性验证工具检测对以下软件、固件和信息的未经授权的更改：系统内核、驱动程序、固件（例如 BIOS、UEFI）、软件（例如操作系统、应用程序、中间件）和安全属性。 | 启用此规则可帮助识别和记录Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。该规则检查SAWS ystems Manager 中的 Amazon EC2 实例补丁是否符合贵组织的政策和程序的要求。 | |
| SI-7：软件、固件和信息完整性 | 使用完整性验证工具检测对以下软件、固件和信息的未经授权的更改：系统内核、驱动程序、固件（例如 BIOS、UEFI）、软件（例如操作系统、应用程序、中间件）和安全属性。 | 利用AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 传送后是否被修改或删除或未更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这样，要修改、删除或伪造 CloudTrail 日志文件而不被检测到在计算上是不可行的。 | |
| SI-12：信息管理和保留 | 根据适用的法律、行政命令、指令、法规、政策、标准、指导方针和操作要求，管理和保留系统内的信息以及系统输出的信息。 | Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 自动创建数据库实例的存储卷快照，并备份整个数据库实例的存储卷快照。该系统允许您设置特定的保留期以满足您的弹性要求。 | |
| SI-12：信息管理和保留 | 根据适用的法律、行政命令、指令、法规、政策、标准、指导方针和操作要求，管理和保留系统内的信息以及系统输出的信息。 | 为了帮助完成数据备份流程，请确保您的 Amazon DynamoDB 表是BacAWS kup 计划的一部分。 AWSBackup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案简化了您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| SI-12：信息管理和保留 | 根据适用的法律、行政命令、指令、法规、政策、标准、指导方针和操作要求，管理和保留系统内的信息以及系统输出的信息。 | 启用此规则以检查信息是否已备份。它还通过确保在 Amazon DynamoDB 中启用 point-in-time 恢复来维护备份。恢复操作会保持表在过去 35 天内的连续备份。 | |
| SI-12：信息管理和保留 | 根据适用的法律、行政命令、指令、法规、政策、标准、指导方针和操作要求，管理和保留系统内的信息以及系统输出的信息。 | 为了帮助完成数据备份流程，请确保您的 Amazon DynamoDB 资源是BacAWS kup 计划的一部分。 AWSBackup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案简化了您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| SI-12：信息管理和保留 | 根据适用的法律、行政命令、指令、法规、政策、标准、指导方针和操作要求，管理和保留系统内的信息以及系统输出的信息。 | 要帮助进行数据备份流程，请确保您的 Amazon Elastic Block Store (Amazon EBS) 卷是BacAWS kup 计划的一部分。 AWSBackup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案简化了您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| SI-12：信息管理和保留 | 根据适用的法律、行政命令、指令、法规、政策、标准、指导方针和操作要求，管理和保留系统内的信息以及系统输出的信息。 | 为了帮助完成数据备份流程，请确保您的亚马逊Elastic Block Store (Amazon EBS) 资源是BacAWS kup 计划的一部分。 AWSBackup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案简化了您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| SI-12：信息管理和保留 | 根据适用的法律、行政命令、指令、法规、政策、标准、指导方针和操作要求，管理和保留系统内的信息以及系统输出的信息。 | 要帮助进行数据备份流程，请确保您的 Amazon Elastic Compute Cloud (Amazon EC2) 资源是AWS Backup 计划的一部分。 AWSBackup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案简化了您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| SI-12：信息管理和保留 | 根据适用的法律、行政命令、指令、法规、政策、标准、指导方针和操作要求，管理和保留系统内的信息以及系统输出的信息。 | 为了帮助完成数据备份流程，请确保您的Amazon Elastic File System (Amazon EFS) 文件系统是AWS Backup 计划的一部分。 AWSBackup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案简化了您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| SI-12：信息管理和保留 | 根据适用的法律、行政命令、指令、法规、政策、标准、指导方针和操作要求，管理和保留系统内的信息以及系统输出的信息。 | 为了帮助完成数据备份流程，请确保您的Amazon Elastic File System (Amazon EFS) 文件系统是AWS Backup 计划的一部分。 AWSBackup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案简化了您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| SI-12：信息管理和保留 | 根据适用的法律、行政命令、指令、法规、政策、标准、指导方针和操作要求，管理和保留系统内的信息以及系统输出的信息。 | 启用自动备份后，Amazon ElastiCache 会每天为集群创建一个备份。备份可以保留您的组织指定的天数。自动备份可以帮助防止数据丢失。如果发生故障，您可以创建一个新集群，该集群会从最新的备份中恢复数据。 | |
| SI-12：信息管理和保留 | 根据适用的法律、行政命令、指令、法规、政策、标准、指导方针和操作要求，管理和保留系统内的信息以及系统输出的信息。 | 为了帮助完成数据备份流程，请确保您的 Amazon FSx 文件系统是AWS Backup 计划的一部分。 AWSBackup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案简化了您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| SI-12：信息管理和保留 | 根据适用的法律、行政命令、指令、法规、政策、标准、指导方针和操作要求，管理和保留系统内的信息以及系统输出的信息。 | 为了帮助完成数据备份流程，请确保您的Amazon Relational Database Service (Amazon RDS) 实例是AWS Backup 计划的一部分。 AWSBackup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案简化了您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| SI-12：信息管理和保留 | 根据适用的法律、行政命令、指令、法规、政策、标准、指导方针和操作要求，管理和保留系统内的信息以及系统输出的信息。 | 为了帮助完成数据备份流程，请确保您的Amazon Relational Database Service (Amazon RDS) 资源是AWS Backup 计划的一部分。 AWSBackup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案简化了您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| SI-12：信息管理和保留 | 根据适用的法律、行政命令、指令、法规、政策、标准、指导方针和操作要求，管理和保留系统内的信息以及系统输出的信息。 | 为了帮助完成数据备份流程，请确保您的 Amazon Redshift 集群有自动快照。当某个集群的自动快照处于启用状态时，Redshift 会定期拍摄该集群的快照。默认情况下，Redshift 每 8 小时或每节点数据更改达到 5 GB 时拍摄一次快照，以先到者为准。 | |
| SI-12：信息管理和保留 | 根据适用的法律、行政命令、指令、法规、政策、标准、指导方针和操作要求，管理和保留系统内的信息以及系统输出的信息。 | 为了帮助完成数据备份流程，请确保您的 Amazon Aurora 资源是AWS Backup 计划的一部分。 AWSBackup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案简化了您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| SI-12：信息管理和保留 | 根据适用的法律、行政命令、指令、法规、政策、标准、指导方针和操作要求，管理和保留系统内的信息以及系统输出的信息。 | 为帮助完成数据AWS备份流程，请确保将Backup 计划设置为最低频率和保留时间。 AWSBackup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案简化了您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredFrequencyValue （Config 默认值：1）、 requiredRetentionDays （Config 默认值：35）和 requiredFrequencyUnit （Config 默认值：天）参数。实际价值应反映贵组织的需求。 | |
| SI-12：信息管理和保留 | 根据适用的法律、行政命令、指令、法规、政策、标准、指导方针和操作要求，管理和保留系统内的信息以及系统输出的信息。 | 确保您的AWS Backup 恢复点附加了基于资源的策略，以防止删除恢复点。使用基于资源的策略来防止删除恢复点有助于防止意外或故意删除。 | |
| SI-12：信息管理和保留 | 根据适用的法律、行政命令、指令、法规、政策、标准、指导方针和操作要求，管理和保留系统内的信息以及系统输出的信息。 | 为帮助完成数据AWS备份流程，请确保您的Backup 恢复点设置了最短保留期。 AWSBackup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案简化了您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredRetentionDays （默认配置：35）参数。实际价值应反映贵组织的需求。 | |
| SI-12：信息管理和保留 | 根据适用的法律、行政命令、指令、法规、政策、标准、指导方针和操作要求，管理和保留系统内的信息以及系统输出的信息。 | 确保 Amazon S3 生命周期策略经过配置，以帮助定义您希望 Amazon S3 在对象的生命周期内执行的操作（例如，将对象转化为另一个存储类别、存档它们或在指定时期后删除它们）。 | |
| SI-12：信息管理和保留 | 根据适用的法律、行政命令、指令、法规、政策、标准、指导方针和操作要求，管理和保留系统内的信息以及系统输出的信息。 | 确保 Amazon S3 生命周期策略经过配置，以帮助定义您希望 Amazon S3 在对象的生命周期内执行的操作（例如，将对象转化为另一个存储类别、存档它们或在指定时期后删除它们）。 | |
| SI-12：信息管理和保留 | 根据适用的法律、行政命令、指令、法规、政策、标准、指导方针和操作要求，管理和保留系统内的信息以及系统输出的信息。 | Amazon Simple Storage Service (Amazon S3) 存储桶版本控制有助于将对象的多个变体保留在同一 Amazon S3 存储桶中。可以使用版本控制功能来保留、检索和还原存储桶存储的每个对象的各个版本。版本控制功能可帮助您轻松从用户意外操作和应用程序故障中恢复数据。 | |
| SI-12：信息管理和保留 | 根据适用的法律、行政命令、指令、法规、政策、标准、指导方针和操作要求，管理和保留系统内的信息以及系统输出的信息。 | 确保默认情况下，您的Amazon Simple Storage Service (Amazon S3) 存储桶已启用锁定。由于敏感数据可能静态存在于 S3 存储桶中，因此强制执行静态对象锁定以帮助保护这些数据。 |
模板
该模板可在以下网址找到 GitHub：IRS 1075 操作最佳实践
