本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
NBC TRMG 的运营最佳实践
Conformance packs提供了通用的合规性框架，旨在使您能够使用托管或自定义AWS Config规则和AWS Config补救措施来创建安全、运营或成本优化治理检查。作为示例模板的Conformance Packs并不是为了完全确保符合特定的治理或合规性标准而设计的。您有责任自行评估您对服务的使用是否符合适用的法律和监管要求。
以下提供了柬埔寨国家银行 (NBC) 技术风险管理 (TRM) 指南框架与AWS托管Config 规则之间的示例。每个 Config 规则都适用于特定AWS资源，并与一个或多个 NBC TRM 指南相关。NBC TRM 指南可以与多个Config 规则相关联。有关这些映射的更多详细信息和指导，请参阅下表。
此示例一致性包模板包含柬埔寨国家银行 (NBC) 技术风险管理 (TRM) 指南框架内控制措施的映射，可在此处访问：柬埔寨国家银行：技术风险管理指南
AWS 区域: 除了（美国东部）、AWS GovCloud （美国西部）和中东AWS GovCloud （巴林）之外的所有支持一致性包AWS 区域的地方（区域支持）
| 控制 ID | 控件描述 | AWSConfig 规则 | 指导 |
|---|---|---|---|
| 3.1.1 (d | d) 需要考虑的重要控制措施包括：-申请和授权创建用户名和访问控制矩阵的系统流程-进行风险评估并在此基础上授予访问权限。-实施基于角色的访问控制，旨在确保有效的职责分离-更改系统的默认用户名和/或密码，禁止共享通用账户的用户 ID 和密码-在角色或责任发生变化时修改访问权限，在终止雇用/合同时取消访问权限-及时通知信息安全职能部门有关用户增加、删除和角色变更的流程-定期核对系统中的用户 ID 和实际用户需要访问和删除任何不必要的 ID（如果有）——审计、记录和监控所有用户对IT资产的访问权限，以及-考虑停用长期休假的关键应用程序用户的用户ID | 通过检查根用户的Identity and Access ManagemAWS ent (IAM) 角色是否附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的AWS帐户来帮助纳入功能最少的原则。 | |
| 3.1.1 (d | d) 需要考虑的重要控制措施包括：-申请和授权创建用户名和访问控制矩阵的系统流程-进行风险评估并在此基础上授予访问权限。-实施基于角色的访问控制，旨在确保有效的职责分离-更改系统的默认用户名和/或密码，禁止共享通用账户的用户 ID 和密码-在角色或责任发生变化时修改访问权限，在终止雇用/合同时取消访问权限-及时通知信息安全职能部门有关用户增加、删除和角色变更的流程-定期核对系统中的用户 ID 和实际用户需要访问和删除任何不必要的 ID（如果有）——审计、记录和监控所有用户对IT资产的访问权限，以及-考虑停用长期休假的关键应用程序用户的用户ID | API Gateway 日志记录显示了访问 API 的用户的详细视图以及他们访问 API 的方式。这种见解可以让用户活动变得可见。 | |
| 3.1.1 (d | d) 需要考虑的重要控制措施包括：-申请和授权创建用户名和访问控制矩阵的系统流程-进行风险评估并在此基础上授予访问权限。-实施基于角色的访问控制，旨在确保有效的职责分离-更改系统的默认用户名和/或密码，禁止共享通用账户的用户 ID 和密码-在角色或责任发生变化时修改访问权限，在终止雇用/合同时取消访问权限-及时通知信息安全职能部门有关用户增加、删除和角色变更的流程-定期核对系统中的用户 ID 和实际用户需要访问和删除任何不必要的 ID（如果有）——审计、记录和监控所有用户对IT资产的访问权限，以及-考虑停用长期休假的关键应用程序用户的用户ID | CloudWatch 使用亚马逊集中收集和管理日志事件活动。包含AWS CloudTrail 数据可提供您AWS账户内的 API 调用活动的详细信息。 | |
| 3.1.1 (d | d) 需要考虑的重要控制措施包括：-申请和授权创建用户名和访问控制矩阵的系统流程-进行风险评估并在此基础上授予访问权限。-实施基于角色的访问控制，旨在确保有效的职责分离-更改系统的默认用户名和/或密码，禁止共享通用账户的用户 ID 和密码-在角色或责任发生变化时修改访问权限，在终止雇用/合同时取消访问权限-及时通知信息安全职能部门有关用户增加、删除和角色变更的流程-定期核对系统中的用户 ID 和实际用户需要访问和删除任何不必要的 ID（如果有）——审计、记录和监控所有用户对IT资产的访问权限，以及-考虑停用长期休假的关键应用程序用户的用户ID | AWS CloudTrail 可以通过记录AWS管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用AWS服务的用户和AWS帐户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在AWS CloudTrail 记录内容中查看。 | |
| 3.1.1 (d | d) 需要考虑的重要控制措施包括：-申请和授权创建用户名和访问控制矩阵的系统流程-进行风险评估并在此基础上授予访问权限。-实施基于角色的访问控制，旨在确保有效的职责分离-更改系统的默认用户名和/或密码，禁止共享通用账户的用户 ID 和密码-在角色或责任发生变化时修改访问权限，在终止雇用/合同时取消访问权限-及时通知信息安全职能部门有关用户增加、删除和角色变更的流程-定期核对系统中的用户 ID 和实际用户需要访问和删除任何不必要的 ID（如果有）——审计、记录和监控所有用户对IT资产的访问权限，以及-考虑停用长期休假的关键应用程序用户的用户ID | Simple Storage Simple Storage Service (Amazon S3) 数据事件的收集有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的AWS账户信息、IP 地址和事件时间。 | |
| 3.1.1 (d | d) 需要考虑的重要控制措施包括：-申请和授权创建用户名和访问控制矩阵的系统流程-进行风险评估并在此基础上授予访问权限。-实施基于角色的访问控制，旨在确保有效的职责分离-更改系统的默认用户名和/或密码，禁止共享通用账户的用户 ID 和密码-在角色或责任发生变化时修改访问权限，在终止雇用/合同时取消访问权限-及时通知信息安全职能部门有关用户增加、删除和角色变更的流程-定期核对系统中的用户 ID 和实际用户需要访问和删除任何不必要的 ID（如果有）——审计、记录和监控所有用户对IT资产的访问权限，以及-考虑停用长期休假的关键应用程序用户的用户ID | 当某个指标在指定数量的评估期内超出阈值，Amazon 会发出 CloudWatch 告警。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （Config 默认值：True）、 insufficientDataAction必需（Config 默认值：True）、 okActionRequired （Config 默认值：False）的值。实际值应反映您环境的警报操作。 | |
| 3.1.1 (d | d) 需要考虑的重要控制措施包括：-申请和授权创建用户名和访问控制矩阵的系统流程-进行风险评估并在此基础上授予访问权限。-实施基于角色的访问控制，旨在确保有效的职责分离-更改系统的默认用户名和/或密码，禁止共享通用账户的用户 ID 和密码-在角色或责任发生变化时修改访问权限，在终止雇用/合同时取消访问权限-及时通知信息安全职能部门有关用户增加、删除和角色变更的流程-定期核对系统中的用户 ID 和实际用户需要访问和删除任何不必要的 ID（如果有）——审计、记录和监控所有用户对IT资产的访问权限，以及-考虑停用长期休假的关键应用程序用户的用户ID | Elastic Load Balancing 活动是环境中的中心通信点。确保启用了 ELB 日志记录。收集的数据提供了有关发送至 ELB 的请求的详细信息。每个日志都包含信息 (例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。 | |
| 3.1.1 (d | d) 需要考虑的重要控制措施包括：-申请和授权创建用户名和访问控制矩阵的系统流程-进行风险评估并在此基础上授予访问权限。-实施基于角色的访问控制，旨在确保有效的职责分离-更改系统的默认用户名和/或密码，禁止共享通用账户的用户 ID 和密码-在角色或责任发生变化时修改访问权限，在终止雇用/合同时取消访问权限-及时通知信息安全职能部门有关用户增加、删除和角色变更的流程-定期核对系统中的用户 ID 和实际用户需要访问和删除任何不必要的 ID（如果有）——审计、记录和监控所有用户对IT资产的访问权限，以及-考虑停用长期休假的关键应用程序用户的用户ID | 亚马逊 GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 和机器学习列表，用于标识您AWS Cloud 环境中意外的和未经授权的恶意活动。 | |
| 3.1.1 (d | d) 需要考虑的重要控制措施包括：-申请和授权创建用户名和访问控制矩阵的系统流程-进行风险评估并在此基础上授予访问权限。-实施基于角色的访问控制，旨在确保有效的职责分离-更改系统的默认用户名和/或密码，禁止共享通用账户的用户 ID 和密码-在角色或责任发生变化时修改访问权限，在终止雇用/合同时取消访问权限-及时通知信息安全职能部门有关用户增加、删除和角色变更的流程-定期核对系统中的用户 ID 和实际用户需要访问和删除任何不必要的 ID（如果有）——审计、记录和监控所有用户对IT资产的访问权限，以及-考虑停用长期休假的关键应用程序用户的用户ID | 启用此规则可以帮助在功能失败时通过 Amazon Simple Queue Service (Amazon SQS) 或 Amazon Simple Notification Service (Amazon SNS) | |
| 3.1.1 (d | d) 需要考虑的重要控制措施包括：-申请和授权创建用户名和访问控制矩阵的系统流程-进行风险评估并在此基础上授予访问权限。-实施基于角色的访问控制，旨在确保有效的职责分离-更改系统的默认用户名和/或密码，禁止共享通用账户的用户 ID 和密码-在角色或责任发生变化时修改访问权限，在终止雇用/合同时取消访问权限-及时通知信息安全职能部门有关用户增加、删除和角色变更的流程-定期核对系统中的用户 ID 和实际用户需要访问和删除任何不必要的 ID（如果有）——审计、记录和监控所有用户对IT资产的访问权限，以及-考虑停用长期休假的关键应用程序用户的用户ID | AWS CloudTrail 记录AWS管理控制台操作和 API 调用。您可以标识哪些用户和账户调调调调调调调了AWS、源 IP 地址以及调源、调源、调源、调源、调源、调源、调源、调源、调源、调源、调源。 CloudTrail 如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，则会将所有AWS区域的日志文件传输到您的 S3 存储桶。此外，当AWS启动新区域时， CloudTrail 将在新区域中创建相同的路径。因此，您无需采取任何操作即可收到包含新区域的 API 活动的日志文件。 | |
| 3.1.1 (d | d) 需要考虑的重要控制措施包括：-申请和授权创建用户名和访问控制矩阵的系统流程-进行风险评估并在此基础上授予访问权限。-实施基于角色的访问控制，旨在确保有效的职责分离-更改系统的默认用户名和/或密码，禁止共享通用账户的用户 ID 和密码-在角色或责任发生变化时修改访问权限，在终止雇用/合同时取消访问权限-及时通知信息安全职能部门有关用户增加、删除和角色变更的流程-定期核对系统中的用户 ID 和实际用户需要访问和删除任何不必要的 ID（如果有）——审计、记录和监控所有用户对IT资产的访问权限，以及-考虑停用长期休假的关键应用程序用户的用户ID | Amazon Simple Storage Service (Amazon S3) 服务器访问日志提供了一种监视网络中潜在的网络安全事件的方法。对Amazon S3 桶提出的各种请求。每条访问日志记录都提供有关单个访问请求的详细信息。详细地记录请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | |
| 3.1.1 (d | d) 需要考虑的重要控制措施包括：-申请和授权创建用户名和访问控制矩阵的系统流程-进行风险评估并在此基础上授予访问权限。-实施基于角色的访问控制，旨在确保有效的职责分离-更改系统的默认用户名和/或密码，禁止共享通用账户的用户 ID 和密码-在角色或责任发生变化时修改访问权限，在终止雇用/合同时取消访问权限-及时通知信息安全职能部门有关用户增加、删除和角色变更的流程-定期核对系统中的用户 ID 和实际用户需要访问和删除任何不必要的 ID（如果有）——审计、记录和监控所有用户对IT资产的访问权限，以及-考虑停用长期休假的关键应用程序用户的用户ID | AWSSecurity Hub 有助于监控未经授权的人员、连接、设备和软件。 AWSSecurity Hub 可以聚合、组织和优先处理来自多个AWS服务的安全告警或结果。其中一些服务包括亚马逊Security Hub、Amazon Inspector、Amazon Macie、IdentAWS ity and Access Management (IAM) 访问分析器和FiAWS rewall Manager 以及AWS合作伙伴解决方案。 | |
| 3.1.1 (d | d) 需要考虑的重要控制措施包括：-申请和授权创建用户名和访问控制矩阵的系统流程-进行风险评估并在此基础上授予访问权限。-实施基于角色的访问控制，旨在确保有效的职责分离-更改系统的默认用户名和/或密码，禁止共享通用账户的用户 ID 和密码-在角色或责任发生变化时修改访问权限，在终止雇用/合同时取消访问权限-及时通知信息安全职能部门有关用户增加、删除和角色变更的流程-定期核对系统中的用户 ID 和实际用户需要访问和删除任何不必要的 ID（如果有）——审计、记录和监控所有用户对IT资产的访问权限，以及-考虑停用长期休假的关键应用程序用户的用户ID | VPC 流日志提供有关传入和传出您的 Amazon Virtual Private Cloud (Amazon VPC) 中中中中中中中传入和传出您的 Amazon V 默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。 | |
| 3.1.1 (d | d) 需要考虑的重要控制措施包括：-申请和授权创建用户名和访问控制矩阵的系统流程-进行风险评估并在此基础上授予访问权限。-实施基于角色的访问控制，旨在确保有效的职责分离-更改系统的默认用户名和/或密码，禁止共享通用账户的用户 ID 和密码-在角色或责任发生变化时修改访问权限，在终止雇用/合同时取消访问权限-及时通知信息安全职能部门有关用户增加、删除和角色变更的流程-定期核对系统中的用户 ID 和实际用户需要访问和删除任何不必要的 ID（如果有）——审计、记录和监控所有用户对IT资产的访问权限，以及-考虑停用长期休假的关键应用程序用户的用户ID | 确保为您的日志组保留最短持续时间的事件日志数据，以帮助进行故障排除和取证调查。缺乏可用的过去事件日志数据使得重建和识别潜在的恶意事件变得困难。 | |
| 3.1.1 (d | d) 需要考虑的重要控制措施包括：-申请和授权创建用户名和访问控制矩阵的系统流程-进行风险评估并在此基础上授予访问权限。-实施基于角色的访问控制，旨在确保有效的职责分离-更改系统的默认用户名和/或密码，禁止共享通用账户的用户 ID 和密码-在角色或责任发生变化时修改访问权限，在终止雇用/合同时取消访问权限-及时通知信息安全职能部门有关用户增加、删除和角色变更的流程-定期核对系统中的用户 ID 和实际用户需要访问和删除任何不必要的 ID（如果有）——审计、记录和监控所有用户对IT资产的访问权限，以及-考虑停用长期休假的关键应用程序用户的用户ID | 要帮助在环境中进行日志和监控，请确保Amazon Relational Database Service (Amazon RDS) 日志记录已启用 通过 Amazon RDS 日志记录，您可以捕获连接、断开连接、查询或查询表等事件。 | |
| 3.1.1 (d | d) 需要考虑的重要控制措施包括：-申请和授权创建用户名和访问控制矩阵的系统流程-进行风险评估并在此基础上授予访问权限。-实施基于角色的访问控制，旨在确保有效的职责分离-更改系统的默认用户名和/或密码，禁止共享通用账户的用户 ID 和密码-在角色或责任发生变化时修改访问权限，在终止雇用/合同时取消访问权限-及时通知信息安全职能部门有关用户增加、删除和角色变更的流程-定期核对系统中的用户 ID 和实际用户需要访问和删除任何不必要的 ID（如果有）——审计、记录和监控所有用户对IT资产的访问权限，以及-考虑停用长期休假的关键应用程序用户的用户ID | 为了帮助在您的环境中进行日志记录和监控，请在区域和全球 Web ACL 上启用AWS WAF (V2) 登录。 AWSWAF 日志记录提供有关您的 Web ACL 分析的流量的详细信息。日志记录AWS WAF 从AWS资源收到请求的时间、有关请求的信息以及每个请求所匹配的规则的操作。 | |
| 3.1.1 (d | d) 需要考虑的重要控制措施包括：-申请和授权创建用户名和访问控制矩阵的系统流程-进行风险评估并在此基础上授予访问权限。-实施基于角色的访问控制，旨在确保有效的职责分离-更改系统的默认用户名和/或密码，禁止共享通用账户的用户 ID 和密码-在角色或责任发生变化时修改访问权限，在终止雇用/合同时取消访问权限-及时通知信息安全职能部门有关用户增加、删除和角色变更的流程-定期核对系统中的用户 ID 和实际用户需要访问和删除任何不必要的 ID（如果有）——审计、记录和监控所有用户对IT资产的访问权限，以及-考虑停用长期休假的关键应用程序用户的用户ID | 要保护静态数据，请确保为您的 Amazon Redshift 集群启用加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录有关数据库中的连接和用户活动的信息。此规则要求为 clusterDbEncrypted （Config 默认值：TRUE）和启用 LoggingEnabled（Config 默认值：TRUE）设置值。实际值应反映贵组织的政策。 | |
| 3.1.1 (d | d) 需要考虑的重要控制措施包括：-申请和授权创建用户名和访问控制矩阵的系统流程-进行风险评估并在此基础上授予访问权限。-实施基于角色的访问控制，旨在确保有效的职责分离-更改系统的默认用户名和/或密码，禁止共享通用账户的用户 ID 和密码-在角色或责任发生变化时修改访问权限，在终止雇用/合同时取消访问权限-及时通知信息安全职能部门有关用户增加、删除和角色变更的流程-定期核对系统中的用户 ID 和实际用户需要访问和删除任何不必要的 ID（如果有）——审计、记录和监控所有用户对IT资产的访问权限，以及-考虑停用长期休假的关键应用程序用户的用户ID | AWSIdentity and Access Management (IAM) 可以通过检查在指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果识别出这些未使用的证书，则应禁用和/或删除这些证书，因为这可能违反最小权限原则。此规则要求您为 maxCredentialUsage年龄设置一个值（Config 默认值：90）。实际价值应反映贵组织的政策。 | |
| 3.1.1 (d | d) 需要考虑的重要控制措施包括：-申请和授权创建用户名和访问控制矩阵的系统流程-进行风险评估并在此基础上授予访问权限。-实施基于角色的访问控制，旨在确保有效的职责分离-更改系统的默认用户名和/或密码，禁止共享通用账户的用户 ID 和密码-在角色或责任发生变化时修改访问权限，在终止雇用/合同时取消访问权限-及时通知信息安全职能部门有关用户增加、删除和角色变更的流程-定期核对系统中的用户 ID 和实际用户需要访问和删除任何不必要的 ID（如果有）——审计、记录和监控所有用户对IT资产的访问权限，以及-考虑停用长期休假的关键应用程序用户的用户ID | OrganizatiAWS ons 内部AWS账户的集中管理有助于确保账户合规。缺乏集中式账户治理可能会导致账户配置不一致，这可能会暴露资源和敏感数据。 | |
| 3.1.1 (d | d) 需要考虑的重要控制措施包括：-申请和授权创建用户名和访问控制矩阵的系统流程-进行风险评估并在此基础上授予访问权限。-实施基于角色的访问控制，旨在确保有效的职责分离-更改系统的默认用户名和/或密码，禁止共享通用账户的用户 ID 和密码-在角色或责任发生变化时修改访问权限，在终止雇用/合同时取消访问权限-及时通知信息安全职能部门有关用户增加、删除和角色变更的流程-定期核对系统中的用户 ID 和实际用户需要访问和删除任何不必要的 ID（如果有）——审计、记录和监控所有用户对IT资产的访问权限，以及-考虑停用长期休假的关键应用程序用户的用户ID | AWSIdentity and Access Management (IAM) 可以帮助您将最低权限和职责分离的原则与访问权限和授权相结合，限制策略包含对所有密AWS钥管理服务密钥的阻止操作。拥有超过完成任务所需的权限可能违反最小权限和职责分离的原则。此规则允许您设置 blockedActionsPatterns 参数。（AWS基础安全最佳实践值：kms: Decrypt，kms:ReEncryptFrom）。实际值应反映贵组织的政策 | |
| 3.1.1 (d | d) 需要考虑的重要控制措施包括：-申请和授权创建用户名和访问控制矩阵的系统流程-进行风险评估并在此基础上授予访问权限。-实施基于角色的访问控制，旨在确保有效的职责分离-更改系统的默认用户名和/或密码，禁止共享通用账户的用户 ID 和密码-在角色或责任发生变化时修改访问权限，在终止雇用/合同时取消访问权限-及时通知信息安全职能部门有关用户增加、删除和角色变更的流程-定期核对系统中的用户 ID 和实际用户需要访问和删除任何不必要的 ID（如果有）——审计、记录和监控所有用户对IT资产的访问权限，以及-考虑停用长期休假的关键应用程序用户的用户ID | AWSIdentity and Access Management (IAM) 可以确保 IAM 群组至少有一个用户，从而帮助您将最低权限和职责分离的原则与访问权限和授权相结合。根据用户的关联权限或工作职能将用户分组是纳入最低权限的一种方法。 | |
| 3.1.1 (d | d) 需要考虑的重要控制措施包括：-申请和授权创建用户名和访问控制矩阵的系统流程-进行风险评估并在此基础上授予访问权限。-实施基于角色的访问控制，旨在确保有效的职责分离-更改系统的默认用户名和/或密码，禁止共享通用账户的用户 ID 和密码-在角色或责任发生变化时修改访问权限，在终止雇用/合同时取消访问权限-及时通知信息安全职能部门有关用户增加、删除和角色变更的流程-定期核对系统中的用户 ID 和实际用户需要访问和删除任何不必要的 ID（如果有）——审计、记录和监控所有用户对IT资产的访问权限，以及-考虑停用长期休假的关键应用程序用户的用户ID | 确保IdAWS entity and Access Management (IAM) 用户、IAM 角色或 IAM 群组没有允许对所有AWS密钥管理服务密钥执行封锁操作的内联策略。 AWS建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委派权限管理。此规则允许您设置 blockedActionsPatterns 参数。（AWS基础安全最佳实践值：kms: Decrypt，kms:ReEncryptFrom）。实际值应反映贵组织的政策。 | |
| 3.1.1 (d | d) 需要考虑的重要控制措施包括：-申请和授权创建用户名和访问控制矩阵的系统流程-进行风险评估并在此基础上授予访问权限。-实施基于角色的访问控制，旨在确保有效的职责分离-更改系统的默认用户名和/或密码，禁止共享通用账户的用户 ID 和密码-在角色或责任发生变化时修改访问权限，在终止雇用/合同时取消访问权限-及时通知信息安全职能部门有关用户增加、删除和角色变更的流程-定期核对系统中的用户 ID 和实际用户需要访问和删除任何不必要的 ID（如果有）——审计、记录和监控所有用户对IT资产的访问权限，以及-考虑停用长期休假的关键应用程序用户的用户ID | AWSIdentity and Access Management (IAM) 可以确保用户是至少一个群组的成员，从而帮助您限制访问权限和授权。允许用户超过完成任务所需的权限可能违反最小权限和职责分离原则。 | |
| 3.1.1 (d | d) 需要考虑的重要控制措施包括：-申请和授权创建用户名和访问控制矩阵的系统流程-进行风险评估并在此基础上授予访问权限。-实施基于角色的访问控制，旨在确保有效的职责分离-更改系统的默认用户名和/或密码，禁止共享通用账户的用户 ID 和密码-在角色或责任发生变化时修改访问权限，在终止雇用/合同时取消访问权限-及时通知信息安全职能部门有关用户增加、删除和角色变更的流程-定期核对系统中的用户 ID 和实际用户需要访问和删除任何不必要的 ID（如果有）——审计、记录和监控所有用户对IT资产的访问权限，以及-考虑停用长期休假的关键应用程序用户的用户ID | EC2 实例配置文件会将 IAM 角色传递给 EC2 实例。将实例配置文件附加到您的实例可以帮助进行最低权限和权限管理。 | |
| 3.1.1 (d | d) 需要考虑的重要控制措施包括：-申请和授权创建用户名和访问控制矩阵的系统流程-进行风险评估并在此基础上授予访问权限。-实施基于角色的访问控制，旨在确保有效的职责分离-更改系统的默认用户名和/或密码，禁止共享通用账户的用户 ID 和密码-在角色或责任发生变化时修改访问权限，在终止雇用/合同时取消访问权限-及时通知信息安全职能部门有关用户增加、删除和角色变更的流程-定期核对系统中的用户 ID 和实际用户需要访问和删除任何不必要的 ID（如果有）——审计、记录和监控所有用户对IT资产的访问权限，以及-考虑停用长期休假的关键应用程序用户的用户ID | 确保 IAM 操作仅限于所需的操作。允许用户拥有超过完成任务所需的权限可能违反最小权限和职责分离原则。 | |
| 3.1.1 (d | d) 需要考虑的重要控制措施包括：-申请和授权创建用户名和访问控制矩阵的系统流程-进行风险评估并在此基础上授予访问权限。-实施基于角色的访问控制，旨在确保有效的职责分离-更改系统的默认用户名和/或密码，禁止共享通用账户的用户 ID 和密码-在角色或责任发生变化时修改访问权限，在终止雇用/合同时取消访问权限-及时通知信息安全职能部门有关用户增加、删除和角色变更的流程-定期核对系统中的用户 ID 和实际用户需要访问和删除任何不必要的 ID（如果有）——审计、记录和监控所有用户对IT资产的访问权限，以及-考虑停用长期休假的关键应用程序用户的用户ID | 如果任务定义具有更高的权限，那是因为客户特别选择了这些配置。当任务定义启用了主机联网但客户尚未选择启用提升权限时，此控件会检查是否存在意外权限升级。 | |
| 3.1.1 (d | d) 需要考虑的重要控制措施包括：-申请和授权创建用户名和访问控制矩阵的系统流程-进行风险评估并在此基础上授予访问权限。-实施基于角色的访问控制，旨在确保有效的职责分离-更改系统的默认用户名和/或密码，禁止共享通用账户的用户 ID 和密码-在角色或责任发生变化时修改访问权限，在终止雇用/合同时取消访问权限-及时通知信息安全职能部门有关用户增加、删除和角色变更的流程-定期核对系统中的用户 ID 和实际用户需要访问和删除任何不必要的 ID（如果有）——审计、记录和监控所有用户对IT资产的访问权限，以及-考虑停用长期休假的关键应用程序用户的用户ID | 确保 Amazon Serv OpenSearch ice 域已启用错误日志并将其传输到 Amazon CloudWatch Logs 以进行保留和响应。域错误日志可以帮助进行安全和访问审计，并可以帮助诊断可用性问题。 | |
| 3.1.1 (d | d) 需要考虑的重要控制措施包括：-申请和授权创建用户名和访问控制矩阵的系统流程-进行风险评估并在此基础上授予访问权限。-实施基于角色的访问控制，旨在确保有效的职责分离-更改系统的默认用户名和/或密码，禁止共享通用账户的用户 ID 和密码-在角色或责任发生变化时修改访问权限，在终止雇用/合同时取消访问权限-及时通知信息安全职能部门有关用户增加、删除和角色变更的流程-定期核对系统中的用户 ID 和实际用户需要访问和删除任何不必要的 ID（如果有）——审计、记录和监控所有用户对IT资产的访问权限，以及-考虑停用长期休假的关键应用程序用户的用户ID | 确保 Amazon Serv OpenSearch ice 域已启用错误日志并将其传输到 Amazon CloudWatch Logs 以进行保留和响应。 OpenSearch 服务错误日志可以帮助进行安全和访问审计，并可以帮助诊断可用性问题。 | |
| 3.1.1 (1 | f) 出于问责目的，确保对用户和 IT 资产进行唯一标识，并确保他们的行为可审计。 | AWS CloudTrail 可以通过记录AWS管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用AWS服务的用户和AWS帐户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在AWS CloudTrail 记录内容中查看。 | |
| 3.1.1 (1 | f) 出于问责目的，确保对用户和 IT 资产进行唯一标识，并确保他们的行为可审计。 | AWS CloudTrail 记录AWS管理控制台操作和 API 调用。您可以标识哪些用户和账户调调调调调调调了AWS、源 IP 地址以及调源、调源、调源、调源、调源、调源、调源、调源、调源、调源、调源。 CloudTrail 如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，则会将所有AWS区域的日志文件传输到您的 S3 存储桶。此外，当AWS启动新区域时， CloudTrail 将在新区域中创建相同的路径。因此，您无需采取任何操作即可收到包含新区域的 API 活动的日志文件。 | |
| 3.1.1 (1 | f) 出于问责目的，确保对用户和 IT 资产进行唯一标识，并确保他们的行为可审计。 | 确保在您的亚马逊 OpenSearch 服务域上启用了审计日志记录。审核日志允许您跟踪用户在 OpenSearch 域上的活动，包括身份验证成功和失败、对的请求 OpenSearch、索引更改以及传入的搜索查询。 | |
| 3.1.1 (1 | f) 出于问责目的，确保对用户和 IT 资产进行唯一标识，并确保他们的行为可审计。 | 要捕获有关 Amazon Redshift 集群上的连接和用户活动的信息，请确保启用审核日志记录。 | |
| 3.1.1 (1 | f) 出于问责目的，确保对用户和 IT 资产进行唯一标识，并确保他们的行为可审计。 | 要保护静态数据，请确保为您的 Amazon Redshift 集群启用加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录有关数据库中的连接和用户活动的信息。此规则要求为 clusterDbEncrypted （Config 默认值：TRUE）和启用 LoggingEnabled（Config 默认值：TRUE）设置值。实际值应反映贵组织的政策。 | |
| 3.1.1 (1 | f) 出于问责目的，确保对用户和 IT 资产进行唯一标识，并确保他们的行为可审计。 | 确保 Amazon Serv OpenSearch ice 域已启用错误日志并将其传输到 Amazon CloudWatch Logs 以进行保留和响应。域错误日志可以帮助进行安全和访问审计，并可以帮助诊断可用性问题。 | |
| 3.1.1 (1 | f) 出于问责目的，确保对用户和 IT 资产进行唯一标识，并确保他们的行为可审计。 | 确保 Amazon Serv OpenSearch ice 域已启用错误日志并将其传输到 Amazon CloudWatch Logs 以进行保留和响应。 OpenSearch 服务错误日志可以帮助进行安全和访问审计，并可以帮助诊断可用性问题。 | |
| 3.1.1 ( | h) 系统管理员、安全官员、程序员和执行关键业务的工作人员凭借其工作职能和特权访问权限无一例外地具有对他们维持或运行的金融系统造成严重损害的能力。应密切监督具有更高系统访问权限的人员并记录其所有系统活动，因为他们拥有内部知识和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全措施：-对特权用户实施双因素身份验证-对特权用户的远程访问实行严格控制-限制特权用户的数量-在 “或need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计记录-确保特权用户无法访问记录其活动的系统日志-定期进行审计或管理审查of the logs-禁止共享特权 ID 及其访问码-禁止供应商和承包商在没有密切监督和监控的情况下获得系统的特权访问权限；以及 _ 保护备份数据免受未经授权的访问 | 通过确保 IAM 访问密钥按照组织政策轮换，对授权设备、用户和流程的证书进行审计。定期更改访问密钥是一种最佳安全实践。它缩短了访问密钥的有效时间，并减少了密钥泄露时对业务的影响。此规则需要访问密钥轮换值（Config 默认值：90）。实际价值应反映贵组织的政策。 | |
| 3.1.1 ( | h) 系统管理员、安全官员、程序员和执行关键业务的工作人员凭借其工作职能和特权访问权限无一例外地具有对他们维持或运行的金融系统造成严重损害的能力。应密切监督具有更高系统访问权限的人员并记录其所有系统活动，因为他们拥有内部知识和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全措施：-对特权用户实施双因素身份验证-对特权用户的远程访问实行严格控制-限制特权用户的数量-在 “或need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计记录-确保特权用户无法访问记录其活动的系统日志-定期进行审计或管理审查of the logs-禁止共享特权 ID 及其访问码-禁止供应商和承包商在没有密切监督和监控的情况下获得系统的特权访问权限；以及 _ 保护备份数据免受未经授权的访问 | 通过为 Amazon EMR 集群启用 Kerberos，可以按照最小权限和职责分离的原则管理和整合访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户被称为委托人。校长存在于 Kerberos 领域内。在该领域内，Kerberos 服务器被称为密钥分发中心 (KDC)。它为校长提供了一种进行身份验证的方法。KDC 通过签发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。 | |
| 3.1.1 ( | h) 系统管理员、安全官员、程序员和执行关键业务的工作人员凭借其工作职能和特权访问权限无一例外地具有对他们维持或运行的金融系统造成严重损害的能力。应密切监督具有更高系统访问权限的人员并记录其所有系统活动，因为他们拥有内部知识和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全措施：-对特权用户实施双因素身份验证-对特权用户的远程访问实行严格控制-限制特权用户的数量-在 “或need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计记录-确保特权用户无法访问记录其活动的系统日志-定期进行审计或管理审查of the logs-禁止共享特权 ID 及其访问码-禁止供应商和承包商在没有密切监督和监控的情况下获得系统的特权访问权限；以及 _ 保护备份数据免受未经授权的访问 | 身份和证书是根据组织的 IAM 密码策略颁发、管理和验证的。它们达到或超过了 NIST SP 800-63 和密码强度AWS基础安全最佳实践标准规定的要求。此规则允许您根据需要设置 RequireUppercaseCharacters （AWS基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS基础安全最佳实践值：true）、 RequireSymbols （AWS基础安全最佳实践值：true）、 RequireNumbers （AWS基础安全最佳实践值：true）、 MinimumPasswordLength （AWS基础安全最佳实践值：14）、 PasswordReusePrevention （AWS基础安全最佳实践值：24）和 MaxPasswordAge （AWS基础安全最佳实践值：90）IAM 密码策略。实际值应反映贵组织的政策。 | |
| 3.1.1 ( | h) 系统管理员、安全官员、程序员和执行关键业务的工作人员凭借其工作职能和特权访问权限无一例外地具有对他们维持或运行的金融系统造成严重损害的能力。应密切监督具有更高系统访问权限的人员并记录其所有系统活动，因为他们拥有内部知识和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全措施：-对特权用户实施双因素身份验证-对特权用户的远程访问实行严格控制-限制特权用户的数量-在 “或need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计记录-确保特权用户无法访问记录其活动的系统日志-定期进行审计或管理审查of the logs-禁止共享特权 ID 及其访问码-禁止供应商和承包商在没有密切监督和监控的情况下获得系统的特权访问权限；以及 _ 保护备份数据免受未经授权的访问 | AWSIdentity and Access Management (IAM) 可以帮助您将最低权限和职责分离的原则与访问权限和授权相结合，限制策略中包含 “效果”：“允许” 和 “操作”：“*” 而不是 “资源”：“*”。允许用户拥有超过完成任务所需的权限可能违反最小权限和职责分离原则。 | |
| 3.1.1 ( | h) 系统管理员、安全官员、程序员和执行关键业务的工作人员凭借其工作职能和特权访问权限无一例外地具有对他们维持或运行的金融系统造成严重损害的能力。应密切监督具有更高系统访问权限的人员并记录其所有系统活动，因为他们拥有内部知识和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全措施：-对特权用户实施双因素身份验证-对特权用户的远程访问实行严格控制-限制特权用户的数量-在 “或need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计记录-确保特权用户无法访问记录其活动的系统日志-定期进行审计或管理审查of the logs-禁止共享特权 ID 及其访问码-禁止供应商和承包商在没有密切监督和监控的情况下获得系统的特权访问权限；以及 _ 保护备份数据免受未经授权的访问 | 通过检查根用户的Identity and Access ManagemAWS ent (IAM) 角色是否附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的AWS帐户来帮助纳入功能最少的原则。 | |
| 3.1.1 ( | h) 系统管理员、安全官员、程序员和执行关键业务的工作人员凭借其工作职能和特权访问权限无一例外地具有对他们维持或运行的金融系统造成严重损害的能力。应密切监督具有更高系统访问权限的人员并记录其所有系统活动，因为他们拥有内部知识和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全措施：-对特权用户实施双因素身份验证-对特权用户的远程访问实行严格控制-限制特权用户的数量-在 “或need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计记录-确保特权用户无法访问记录其活动的系统日志-定期进行审计或管理审查of the logs-禁止共享特权 ID 及其访问码-禁止供应商和承包商在没有密切监督和监控的情况下获得系统的特权访问权限；以及 _ 保护备份数据免受未经授权的访问 | 启用此规则以限制对AWS云中资源的访问。该规则可确保对所有用户启用多重身份验证 (MFA)。MFA 在登录凭证之上增加了一层额外的保护。通过要求用户使用 MFA 来减少账户被盗事件。 | |
| 3.1.1 ( | h) 系统管理员、安全官员、程序员和执行关键业务的工作人员凭借其工作职能和特权访问权限无一例外地具有对他们维持或运行的金融系统造成严重损害的能力。应密切监督具有更高系统访问权限的人员并记录其所有系统活动，因为他们拥有内部知识和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全措施：-对特权用户实施双因素身份验证-对特权用户的远程访问实行严格控制-限制特权用户的数量-在 “或need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计记录-确保特权用户无法访问记录其活动的系统日志-定期进行审计或管理审查of the logs-禁止共享特权 ID 及其访问码-禁止供应商和承包商在没有密切监督和监控的情况下获得系统的特权访问权限；以及 _ 保护备份数据免受未经授权的访问 | 此规则确保IdAWS entity and Access Management (IAM) 策略仅附加到组或角色以控制对系统和资产的访问。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。 | |
| 3.1.1 ( | h) 系统管理员、安全官员、程序员和执行关键业务的工作人员凭借其工作职能和特权访问权限无一例外地具有对他们维持或运行的金融系统造成严重损害的能力。应密切监督具有更高系统访问权限的人员并记录其所有系统活动，因为他们拥有内部知识和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全措施：-对特权用户实施双因素身份验证-对特权用户的远程访问实行严格控制-限制特权用户的数量-在 “或need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计记录-确保特权用户无法访问记录其活动的系统日志-定期进行审计或管理审查of the logs-禁止共享特权 ID 及其访问码-禁止供应商和承包商在没有密切监督和监控的情况下获得系统的特权访问权限；以及 _ 保护备份数据免受未经授权的访问 | AWSIdentity and Access Management (IAM) 可以通过检查在指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果识别出这些未使用的证书，则应禁用和/或删除这些证书，因为这可能违反最小权限原则。此规则要求您为 maxCredentialUsage年龄设置一个值（Config 默认值：90）。实际价值应反映贵组织的政策。 | |
| 3.1.1 ( | h) 系统管理员、安全官员、程序员和执行关键业务的工作人员凭借其工作职能和特权访问权限无一例外地具有对他们维持或运行的金融系统造成严重损害的能力。应密切监督具有更高系统访问权限的人员并记录其所有系统活动，因为他们拥有内部知识和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全措施：-对特权用户实施双因素身份验证-对特权用户的远程访问实行严格控制-限制特权用户的数量-在 “或need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计记录-确保特权用户无法访问记录其活动的系统日志-定期进行审计或管理审查of the logs-禁止共享特权 ID 及其访问码-禁止供应商和承包商在没有密切监督和监控的情况下获得系统的特权访问权限；以及 _ 保护备份数据免受未经授权的访问 | 通过确保所有拥有控制台密码的Identity and Access ManagemAWS ent (IAM) 用户启用 MFA 来管理对AWS云中资源的访问权限。MFA 在登录凭证之上增加了一层额外的保护。通过要求用户使用 MFA，您可以减少账户被盗事件，并防止未经授权的用户访问敏感数据。 | |
| 3.1.1 ( | h) 系统管理员、安全官员、程序员和执行关键业务的工作人员凭借其工作职能和特权访问权限无一例外地具有对他们维持或运行的金融系统造成严重损害的能力。应密切监督具有更高系统访问权限的人员并记录其所有系统活动，因为他们拥有内部知识和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全措施：-对特权用户实施双因素身份验证-对特权用户的远程访问实行严格控制-限制特权用户的数量-在 “或need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计记录-确保特权用户无法访问记录其活动的系统日志-定期进行审计或管理审查of the logs-禁止共享特权 ID 及其访问码-禁止供应商和承包商在没有密切监督和监控的情况下获得系统的特权访问权限；以及 _ 保护备份数据免受未经授权的访问 | 通过确保为根用户启用硬件 MFA，管理对AWS云中资源的访问权限。根用户是AWS账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户使用 MFA，可以减少AWS账户被入侵的发生。 | |
| 3.1.1 ( | h) 系统管理员、安全官员、程序员和执行关键业务的工作人员凭借其工作职能和特权访问权限无一例外地具有对他们维持或运行的金融系统造成严重损害的能力。应密切监督具有更高系统访问权限的人员并记录其所有系统活动，因为他们拥有内部知识和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全措施：-对特权用户实施双因素身份验证-对特权用户的远程访问实行严格控制-限制特权用户的数量-在 “或need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计记录-确保特权用户无法访问记录其活动的系统日志-定期进行审计或管理审查of the logs-禁止共享特权 ID 及其访问码-禁止供应商和承包商在没有密切监督和监控的情况下获得系统的特权访问权限；以及 _ 保护备份数据免受未经授权的访问 | 通过确保为根用户启用 MFA 来管理对AWS云中资源的访问权限。根用户是AWS账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户使用 MFA，可以减少AWS账户被入侵的发生。 | |
| 3.1.1 ( | h) 系统管理员、安全官员、程序员和执行关键业务的工作人员凭借其工作职能和特权访问权限无一例外地具有对他们维持或运行的金融系统造成严重损害的能力。应密切监督具有更高系统访问权限的人员并记录其所有系统活动，因为他们拥有内部知识和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全措施：-对特权用户实施双因素身份验证-对特权用户的远程访问实行严格控制-限制特权用户的数量-在 “或need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计记录-确保特权用户无法访问记录其活动的系统日志-定期进行审计或管理审查of the logs-禁止共享特权 ID 及其访问码-禁止供应商和承包商在没有密切监督和监控的情况下获得系统的特权访问权限；以及 _ 保护备份数据免受未经授权的访问 | 确保IdAWS entity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有内联策略来控制对系统和资产的访问权限。 AWS建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制和回滚以及委托权限管理。 | |
| 3.1.1 ( | h) 系统管理员、安全官员、程序员和执行关键业务的工作人员凭借其工作职能和特权访问权限无一例外地具有对他们维持或运行的金融系统造成严重损害的能力。应密切监督具有更高系统访问权限的人员并记录其所有系统活动，因为他们拥有内部知识和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全措施：-对特权用户实施双因素身份验证-对特权用户的远程访问实行严格控制-限制特权用户的数量-在 “或need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计记录-确保特权用户无法访问记录其活动的系统日志-定期进行审计或管理审查of the logs-禁止共享特权 ID 及其访问码-禁止供应商和承包商在没有密切监督和监控的情况下获得系统的特权访问权限；以及 _ 保护备份数据免受未经授权的访问 | API Gateway 日志记录显示了访问 API 的用户的详细视图以及他们访问 API 的方式。这种见解可以让用户活动变得可见。 | |
| 3.1.1 ( | h) 系统管理员、安全官员、程序员和执行关键业务的工作人员凭借其工作职能和特权访问权限无一例外地具有对他们维持或运行的金融系统造成严重损害的能力。应密切监督具有更高系统访问权限的人员并记录其所有系统活动，因为他们拥有内部知识和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全措施：-对特权用户实施双因素身份验证-对特权用户的远程访问实行严格控制-限制特权用户的数量-在 “或need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计记录-确保特权用户无法访问记录其活动的系统日志-定期进行审计或管理审查of the logs-禁止共享特权 ID 及其访问码-禁止供应商和承包商在没有密切监督和监控的情况下获得系统的特权访问权限；以及 _ 保护备份数据免受未经授权的访问 | CloudWatch 使用亚马逊集中收集和管理日志事件活动。包含AWS CloudTrail 数据可提供您AWS账户内的 API 调用活动的详细信息。 | |
| Apachk 3.1.1 | h) 系统管理员、安全官员、程序员和执行关键业务的工作人员凭借其工作职能和特权访问权限无一例外地具有对他们维持或运行的金融系统造成严重损害的能力。应密切监督具有更高系统访问权限的人员并记录其所有系统活动，因为他们拥有内部知识和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全措施：-对特权用户实施双因素身份验证-对特权用户的远程访问实行严格控制-限制特权用户的数量-在 “或need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计记录-确保特权用户无法访问记录其活动的系统日志-定期进行审计或管理审查of the logs-禁止共享特权 ID 及其访问码-禁止供应商和承包商在没有密切监督和监控的情况下获得系统的特权访问权限；以及 _ 保护备份数据免受未经授权的访问 | AWS CloudTrail 可以通过记录AWS管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用AWS服务的用户和AWS帐户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在AWS CloudTrail 记录内容中查看。 | |
| Apachk 3.1.1 | h) 系统管理员、安全官员、程序员和执行关键业务的工作人员凭借其工作职能和特权访问权限无一例外地具有对他们维持或运行的金融系统造成严重损害的能力。应密切监督具有更高系统访问权限的人员并记录其所有系统活动，因为他们拥有内部知识和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全措施：-对特权用户实施双因素身份验证-对特权用户的远程访问实行严格控制-限制特权用户的数量-在 “或need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计记录-确保特权用户无法访问记录其活动的系统日志-定期进行审计或管理审查of the logs-禁止共享特权 ID 及其访问码-禁止供应商和承包商在没有密切监督和监控的情况下获得系统的特权访问权限；以及 _ 保护备份数据免受未经授权的访问 | Simple Storage Simple Storage Service (Amazon S3) 数据事件的收集有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的AWS账户信息、IP 地址和事件时间。 | |
| Apachk 3.1.1 | h) 系统管理员、安全官员、程序员和执行关键业务的工作人员凭借其工作职能和特权访问权限无一例外地具有对他们维持或运行的金融系统造成严重损害的能力。应密切监督具有更高系统访问权限的人员并记录其所有系统活动，因为他们拥有内部知识和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全措施：-对特权用户实施双因素身份验证-对特权用户的远程访问实行严格控制-限制特权用户的数量-在 “或need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计记录-确保特权用户无法访问记录其活动的系统日志-定期进行审计或管理审查of the logs-禁止共享特权 ID 及其访问码-禁止供应商和承包商在没有密切监督和监控的情况下获得系统的特权访问权限；以及 _ 保护备份数据免受未经授权的访问 | Elastic Load Balancing 活动是环境中的中心通信点。确保启用了 ELB 日志记录。收集的数据提供了有关发送至 ELB 的请求的详细信息。每个日志都包含信息 (例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。 | |
| Apachk 3.1.1 | h) 系统管理员、安全官员、程序员和执行关键业务的工作人员凭借其工作职能和特权访问权限无一例外地具有对他们维持或运行的金融系统造成严重损害的能力。应密切监督具有更高系统访问权限的人员并记录其所有系统活动，因为他们拥有内部知识和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全措施：-对特权用户实施双因素身份验证-对特权用户的远程访问实行严格控制-限制特权用户的数量-在 “或need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计记录-确保特权用户无法访问记录其活动的系统日志-定期进行审计或管理审查of the logs-禁止共享特权 ID 及其访问码-禁止供应商和承包商在没有密切监督和监控的情况下获得系统的特权访问权限；以及 _ 保护备份数据免受未经授权的访问 | AWS CloudTrail 记录AWS管理控制台操作和 API 调用。您可以标识哪些用户和账户调调调调调调调了AWS、源 IP 地址以及调源、调源、调源、调源、调源、调源、调源、调源、调源、调源、调源。 CloudTrail 如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，则会将所有AWS区域的日志文件传输到您的 S3 存储桶。此外，当AWS启动新区域时， CloudTrail 将在新区域中创建相同的路径。因此，您无需采取任何操作即可收到包含新区域的 API 活动的日志文件。 | |
| Apachk 3.1.1 | h) 系统管理员、安全官员、程序员和执行关键业务的工作人员凭借其工作职能和特权访问权限无一例外地具有对他们维持或运行的金融系统造成严重损害的能力。应密切监督具有更高系统访问权限的人员并记录其所有系统活动，因为他们拥有内部知识和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全措施：-对特权用户实施双因素身份验证-对特权用户的远程访问实行严格控制-限制特权用户的数量-在 “或need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计记录-确保特权用户无法访问记录其活动的系统日志-定期进行审计或管理审查of the logs-禁止共享特权 ID 及其访问码-禁止供应商和承包商在没有密切监督和监控的情况下获得系统的特权访问权限；以及 _ 保护备份数据免受未经授权的访问 | Amazon Simple Storage Service (Amazon S3) 服务器访问日志提供了一种监视网络中潜在的网络安全事件的方法。对Amazon S3 桶提出的各种请求。每条访问日志记录都提供有关单个访问请求的详细信息。详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | |
| Apachk 3.1.1 | h) 系统管理员、安全官员、程序员和执行关键业务的工作人员凭借其工作职能和特权访问权限无一例外地具有对他们维持或运行的金融系统造成严重损害的能力。应密切监督具有更高系统访问权限的人员并记录其所有系统活动，因为他们拥有内部知识和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全措施：-对特权用户实施双因素身份验证-对特权用户的远程访问实行严格控制-限制特权用户的数量-在 “或need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计记录-确保特权用户无法访问记录其活动的系统日志-定期进行审计或管理审查of the logs-禁止共享特权 ID 及其访问码-禁止供应商和承包商在没有密切监督和监控的情况下获得系统的特权访问权限；以及 _ 保护备份数据免受未经授权的访问 | VPC 流日志提供有关传入和传出您的 Amazon Virtual Private Cloud (Amazon VPC) 中中中中中中中传入和传出您的 Amazon V 默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。 | |
| Apachk 3.1.1 | h) 系统管理员、安全官员、程序员和执行关键业务的工作人员凭借其工作职能和特权访问权限无一例外地具有对他们维持或运行的金融系统造成严重损害的能力。应密切监督具有更高系统访问权限的人员并记录其所有系统活动，因为他们拥有内部知识和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全措施：-对特权用户实施双因素身份验证-对特权用户的远程访问实行严格控制-限制特权用户的数量-在 “或need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计记录-确保特权用户无法访问记录其活动的系统日志-定期进行审计或管理审查of the logs-禁止共享特权 ID 及其访问码-禁止供应商和承包商在没有密切监督和监控的情况下获得系统的特权访问权限；以及 _ 保护备份数据免受未经授权的访问 | 确保为您的日志组保留最短持续时间的事件日志数据，以帮助进行故障排除和取证调查。缺乏可用的过去事件日志数据使得重建和识别潜在的恶意事件变得困难。 | |
| Apachk 3.1.1 | h) 系统管理员、安全官员、程序员和执行关键业务的工作人员凭借其工作职能和特权访问权限无一例外地具有对他们维持或运行的金融系统造成严重损害的能力。应密切监督具有更高系统访问权限的人员并记录其所有系统活动，因为他们拥有内部知识和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全措施：-对特权用户实施双因素身份验证-对特权用户的远程访问实行严格控制-限制特权用户的数量-在 “或need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计记录-确保特权用户无法访问记录其活动的系统日志-定期进行审计或管理审查of the logs-禁止共享特权 ID 及其访问码-禁止供应商和承包商在没有密切监督和监控的情况下获得系统的特权访问权限；以及 _ 保护备份数据免受未经授权的访问 | 要帮助在环境中进行日志和监控，请确保Amazon Relational Database Service (Amazon RDS) 日志记录已启用 通过 Amazon RDS 日志记录，您可以捕获连接、断开连接、查询或查询表等事件。 | |
| Apachk 3.1.1 | h) 系统管理员、安全官员、程序员和执行关键业务的工作人员凭借其工作职能和特权访问权限无一例外地具有对他们维持或运行的金融系统造成严重损害的能力。应密切监督具有更高系统访问权限的人员并记录其所有系统活动，因为他们拥有内部知识和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全措施：-对特权用户实施双因素身份验证-对特权用户的远程访问实行严格控制-限制特权用户的数量-在 “或need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计记录-确保特权用户无法访问记录其活动的系统日志-定期进行审计或管理审查of the logs-禁止共享特权 ID 及其访问码-禁止供应商和承包商在没有密切监督和监控的情况下获得系统的特权访问权限；以及 _ 保护备份数据免受未经授权的访问 | 为了帮助在您的环境中进行日志记录和监控，请在区域和全球 Web ACL 上启用AWS WAF (V2) 登录。 AWSWAF 日志记录提供有关您的 Web ACL 分析的流量的详细信息。日志记录AWS WAF 从AWS资源收到请求的时间、有关请求的信息以及每个请求所匹配的规则的操作。 | |
| Apachk 3.1.1 | h) 系统管理员、安全官员、程序员和执行关键业务的工作人员凭借其工作职能和特权访问权限无一例外地具有对他们维持或运行的金融系统造成严重损害的能力。应密切监督具有更高系统访问权限的人员并记录其所有系统活动，因为他们拥有内部知识和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全措施：-对特权用户实施双因素身份验证-对特权用户的远程访问实行严格控制-限制特权用户的数量-在 “或need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计记录-确保特权用户无法访问记录其活动的系统日志-定期进行审计或管理审查of the logs-禁止共享特权 ID 及其访问码-禁止供应商和承包商在没有密切监督和监控的情况下获得系统的特权访问权限；以及 _ 保护备份数据免受未经授权的访问 | 要保护静态数据，请确保为您的 Amazon Redshift 集群启用加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录有关数据库中的连接和用户活动的信息。此规则要求为 clusterDbEncrypted （Config 默认值：TRUE）和启用 LoggingEnabled（Config 默认值：TRUE）设置值。实际值应反映贵组织的政策。 | |
| Apachk 3.1.1 | h) 系统管理员、安全官员、程序员和执行关键业务的工作人员凭借其工作职能和特权访问权限无一例外地具有对他们维持或运行的金融系统造成严重损害的能力。应密切监督具有更高系统访问权限的人员并记录其所有系统活动，因为他们拥有内部知识和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全措施：-对特权用户实施双因素身份验证-对特权用户的远程访问实行严格控制-限制特权用户的数量-在 “或need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计记录-确保特权用户无法访问记录其活动的系统日志-定期进行审计或管理审查of the logs-禁止共享特权 ID 及其访问码-禁止供应商和承包商在没有密切监督和监控的情况下获得系统的特权访问权限；以及 _ 保护备份数据免受未经授权的访问 | OrganizatiAWS ons 内部AWS账户的集中管理有助于确保账户合规。缺乏集中式账户治理可能会导致账户配置不一致，这可能会暴露资源和敏感数据。 | |
| Apachk 3.1.1 | h) 系统管理员、安全官员、程序员和执行关键业务的工作人员凭借其工作职能和特权访问权限无一例外地具有对他们维持或运行的金融系统造成严重损害的能力。应密切监督具有更高系统访问权限的人员并记录其所有系统活动，因为他们拥有内部知识和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全措施：-对特权用户实施双因素身份验证-对特权用户的远程访问实行严格控制-限制特权用户的数量-在 “或need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计记录-确保特权用户无法访问记录其活动的系统日志-定期进行审计或管理审查of the logs-禁止共享特权 ID 及其访问码-禁止供应商和承包商在没有密切监督和监控的情况下获得系统的特权访问权限；以及 _ 保护备份数据免受未经授权的访问 | AWSIdentity and Access Management (IAM) 可以帮助您将最低权限和职责分离的原则与访问权限和授权相结合，限制策略包含对所有密AWS钥管理服务密钥的阻止操作。拥有超过完成任务所需的权限可能违反最小权限和职责分离的原则。此规则允许您设置 blockedActionsPatterns 参数。（AWS基础安全最佳实践值：kms: Decrypt，kms:ReEncryptFrom）。实际值应反映贵组织的政策 | |
| Apachk 3.1.1 | h) 系统管理员、安全官员、程序员和执行关键业务的工作人员凭借其工作职能和特权访问权限无一例外地具有对他们维持或运行的金融系统造成严重损害的能力。应密切监督具有更高系统访问权限的人员并记录其所有系统活动，因为他们拥有内部知识和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全措施：-对特权用户实施双因素身份验证-对特权用户的远程访问实行严格控制-限制特权用户的数量-在 “或need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计记录-确保特权用户无法访问记录其活动的系统日志-定期进行审计或管理审查of the logs-禁止共享特权 ID 及其访问码-禁止供应商和承包商在没有密切监督和监控的情况下获得系统的特权访问权限；以及 _ 保护备份数据免受未经授权的访问 | AWSIdentity and Access Management (IAM) 可以确保 IAM 群组至少有一个用户，从而帮助您将最低权限和职责分离的原则与访问权限和授权相结合。根据用户的关联权限或工作职能将用户分组是纳入最低权限的一种方法。 | |
| Apachk 3.1.1 | h) 系统管理员、安全官员、程序员和执行关键业务的工作人员凭借其工作职能和特权访问权限无一例外地具有对他们维持或运行的金融系统造成严重损害的能力。应密切监督具有更高系统访问权限的人员并记录其所有系统活动，因为他们拥有内部知识和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全措施：-对特权用户实施双因素身份验证-对特权用户的远程访问实行严格控制-限制特权用户的数量-在 “或need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计记录-确保特权用户无法访问记录其活动的系统日志-定期进行审计或管理审查of the logs-禁止共享特权 ID 及其访问码-禁止供应商和承包商在没有密切监督和监控的情况下获得系统的特权访问权限；以及 _ 保护备份数据免受未经授权的访问 | 确保IdAWS entity and Access Management (IAM) 用户、IAM 角色或 IAM 群组没有允许对所有AWS密钥管理服务密钥执行封锁操作的内联策略。 AWS建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委派权限管理。此规则允许您设置 blockedActionsPatterns 参数。（AWS基础安全最佳实践值：kms: Decrypt，kms:ReEncryptFrom）。实际值应反映贵组织的政策。 | |
| Apachk 3.1.1 | h) 系统管理员、安全官员、程序员和执行关键业务的工作人员凭借其工作职能和特权访问权限无一例外地具有对他们维持或运行的金融系统造成严重损害的能力。应密切监督具有更高系统访问权限的人员并记录其所有系统活动，因为他们拥有内部知识和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全措施：-对特权用户实施双因素身份验证-对特权用户的远程访问实行严格控制-限制特权用户的数量-在 “或need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计记录-确保特权用户无法访问记录其活动的系统日志-定期进行审计或管理审查of the logs-禁止共享特权 ID 及其访问码-禁止供应商和承包商在没有密切监督和监控的情况下获得系统的特权访问权限；以及 _ 保护备份数据免受未经授权的访问 | AWSIdentity and Access Management (IAM) 可以确保用户是至少一个群组的成员，从而帮助您限制访问权限和授权。允许用户超过完成任务所需的权限可能违反最小权限和职责分离原则。 | |
| Apachk 3.1.1 | h) 系统管理员、安全官员、程序员和执行关键业务的工作人员凭借其工作职能和特权访问权限无一例外地具有对他们维持或运行的金融系统造成严重损害的能力。应密切监督具有更高系统访问权限的人员并记录其所有系统活动，因为他们拥有内部知识和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全措施：-对特权用户实施双因素身份验证-对特权用户的远程访问实行严格控制-限制特权用户的数量-在 “或need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计记录-确保特权用户无法访问记录其活动的系统日志-定期进行审计或管理审查of the logs-禁止共享特权 ID 及其访问码-禁止供应商和承包商在没有密切监督和监控的情况下获得系统的特权访问权限；以及 _ 保护备份数据免受未经授权的访问 | EC2 实例配置文件会将 IAM 角色传递给 EC2 实例。将实例配置文件附加到您的实例可以帮助进行最低权限和权限管理。 | |
| Apachk 3.1.1 | h) 系统管理员、安全官员、程序员和执行关键业务的工作人员凭借其工作职能和特权访问权限无一例外地具有对他们维持或运行的金融系统造成严重损害的能力。应密切监督具有更高系统访问权限的人员并记录其所有系统活动，因为他们拥有内部知识和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全措施：-对特权用户实施双因素身份验证-对特权用户的远程访问实行严格控制-限制特权用户的数量-在 “或need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计记录-确保特权用户无法访问记录其活动的系统日志-定期进行审计或管理审查of the logs-禁止共享特权 ID 及其访问码-禁止供应商和承包商在没有密切监督和监控的情况下获得系统的特权访问权限；以及 _ 保护备份数据免受未经授权的访问 | 确保 IAM 操作仅限于所需的操作。允许用户拥有超过完成任务所需的权限可能违反最小权限和职责分离原则。 | |
| Apachk 3.1.1 | h) 系统管理员、安全官员、程序员和执行关键业务的工作人员凭借其工作职能和特权访问权限无一例外地具有对他们维持或运行的金融系统造成严重损害的能力。应密切监督具有更高系统访问权限的人员并记录其所有系统活动，因为他们拥有内部知识和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全措施：-对特权用户实施双因素身份验证-对特权用户的远程访问实行严格控制-限制特权用户的数量-在 “或need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计记录-确保特权用户无法访问记录其活动的系统日志-定期进行审计或管理审查of the logs-禁止共享特权 ID 及其访问码-禁止供应商和承包商在没有密切监督和监控的情况下获得系统的特权访问权限；以及 _ 保护备份数据免受未经授权的访问 | 如果任务定义具有更高的权限，那是因为客户特别选择了这些配置。当任务定义启用了主机联网但客户尚未选择启用提升权限时，此控件会检查是否存在意外权限升级。 | |
| Apachk 3.1.1 | h) 系统管理员、安全官员、程序员和执行关键业务的工作人员凭借其工作职能和特权访问权限无一例外地具有对他们维持或运行的金融系统造成严重损害的能力。应密切监督具有更高系统访问权限的人员并记录其所有系统活动，因为他们拥有内部知识和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全措施：-对特权用户实施双因素身份验证-对特权用户的远程访问实行严格控制-限制特权用户的数量-在 “或need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计记录-确保特权用户无法访问记录其活动的系统日志-定期进行审计或管理审查of the logs-禁止共享特权 ID 及其访问码-禁止供应商和承包商在没有密切监督和监控的情况下获得系统的特权访问权限；以及 _ 保护备份数据免受未经授权的访问 | 确保 Amazon Serv OpenSearch ice 域已启用错误日志并将其传输到 Amazon CloudWatch Logs 以进行保留和响应。域错误日志可以帮助进行安全和访问审计，并可以帮助诊断可用性问题。 | |
| Apachk 3.1.1 | h) 系统管理员、安全官员、程序员和执行关键业务的工作人员凭借其工作职能和特权访问权限无一例外地具有对他们维持或运行的金融系统造成严重损害的能力。应密切监督具有更高系统访问权限的人员并记录其所有系统活动，因为他们拥有内部知识和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全措施：-对特权用户实施双因素身份验证-对特权用户的远程访问实行严格控制-限制特权用户的数量-在 “或need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计记录-确保特权用户无法访问记录其活动的系统日志-定期进行审计或管理审查of the logs-禁止共享特权 ID 及其访问码-禁止供应商和承包商在没有密切监督和监控的情况下获得系统的特权访问权限；以及 _ 保护备份数据免受未经授权的访问 | 确保 Amazon Serv OpenSearch ice 域已启用错误日志并将其传输到 Amazon CloudWatch Logs 以进行保留和响应。 OpenSearch 服务错误日志可以帮助进行安全和访问审计，并可以帮助诊断可用性问题。 | |
| Apachk 3.1.1 | h) 系统管理员、安全官员、程序员和执行关键业务的工作人员凭借其工作职能和特权访问权限无一例外地具有对他们维持或运行的金融系统造成严重损害的能力。应密切监督具有更高系统访问权限的人员并记录其所有系统活动，因为他们拥有内部知识和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全措施：-对特权用户实施双因素身份验证-对特权用户的远程访问实行严格控制-限制特权用户的数量-在 “或need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计记录-确保特权用户无法访问记录其活动的系统日志-定期进行审计或管理审查of the logs-禁止共享特权 ID 及其访问码-禁止供应商和承包商在没有密切监督和监控的情况下获得系统的特权访问权限；以及 _ 保护备份数据免受未经授权的访问 | 确保您的Amazon Relational Database Service (Amazon RDS) 快照的加密 由于敏感数据可能处于静态状态，因此启用静态加密以帮助保护这些数据。 | |
| Apachk 3.1.1 | h) 系统管理员、安全官员、程序员和执行关键业务的工作人员凭借其工作职能和特权访问权限无一例外地具有对他们维持或运行的金融系统造成严重损害的能力。应密切监督具有更高系统访问权限的人员并记录其所有系统活动，因为他们拥有内部知识和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全措施：-对特权用户实施双因素身份验证-对特权用户的远程访问实行严格控制-限制特权用户的数量-在 “或need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计记录-确保特权用户无法访问记录其活动的系统日志-定期进行审计或管理审查of the logs-禁止共享特权 ID 及其访问码-禁止供应商和承包商在没有密切监督和监控的情况下获得系统的特权访问权限；以及 _ 保护备份数据免受未经授权的访问 | 为了帮助保护静态数据，请确保对Amazon Relational Database Service (Amazon RDS) 实例启用加密。由于敏感数据可能静态存在于 Amazon RDS 实例中，因此启用静态加密以帮助保护这些数据。 | |
| Apachk 3.1.1 | h) 系统管理员、安全官员、程序员和执行关键业务的工作人员凭借其工作职能和特权访问权限无一例外地具有对他们维持或运行的金融系统造成严重损害的能力。应密切监督具有更高系统访问权限的人员并记录其所有系统活动，因为他们拥有内部知识和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全措施：-对特权用户实施双因素身份验证-对特权用户的远程访问实行严格控制-限制特权用户的数量-在 “或need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计记录-确保特权用户无法访问记录其活动的系统日志-定期进行审计或管理审查of the logs-禁止共享特权 ID 及其访问码-禁止供应商和承包商在没有密切监督和监控的情况下获得系统的特权访问权限；以及 _ 保护备份数据免受未经授权的访问 | 为了帮助保护静态数据，请确保已为 Amazon EBS（Amazon EBS）卷启用加密。由于敏感数据可能静态存在于这些卷中，因此启用静态加密以帮助保护这些数据。 | |
| Apachk 3.1.1 | h) 系统管理员、安全官员、程序员和执行关键业务的工作人员凭借其工作职能和特权访问权限无一例外地具有对他们维持或运行的金融系统造成严重损害的能力。应密切监督具有更高系统访问权限的人员并记录其所有系统活动，因为他们拥有内部知识和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全措施：-对特权用户实施双因素身份验证-对特权用户的远程访问实行严格控制-限制特权用户的数量-在 “或need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计记录-确保特权用户无法访问记录其活动的系统日志-定期进行审计或管理审查of the logs-禁止共享特权 ID 及其访问码-禁止供应商和承包商在没有密切监督和监控的情况下获得系统的特权访问权限；以及 _ 保护备份数据免受未经授权的访问 | 由于敏感数据可能存在并且为了帮助保护静态数据，请确保为您的 Amazon Elastic File System (EFS) 启用加密。 | |
| Apachk 3.1.2 | a) BFI应在其IT基础设施的关键节点安装网络安全设备，例如防火墙、防病毒/反恶意软件以及入侵检测和防御系统，以保护网络边界。 | 确保在弹性负载均衡器 (ELB) 上启用AWS WAF 以帮助保护 Web 应用程序。WAF 有助于保护您的 Web 应用程序或 API 免遭常见 Web 漏洞的攻击。这些网络漏洞可能会影响可用性、损害安全性或消耗环境中的可用性、损害安全性或消耗过多的资源。 | |
| Apachk 3.1.2 | a) BFI应在其IT基础设施的关键节点安装网络安全设备，例如防火墙、防病毒/反恶意软件以及入侵检测和防御系统，以保护网络边界。 | 亚马逊 GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 和机器学习列表，用于标识您AWS Cloud 环境中意外的和未经授权的恶意活动。 | |
| Apachk 3.1.2 | a) BFI应在其IT基础设施的关键节点安装网络安全设备，例如防火墙、防病毒/反恶意软件以及入侵检测和防御系统，以保护网络边界。 | AWS通过在 WAF，您可以配置一组规则（称为 Web 访问控制列表，即 Web ACL），基于可自定义的 Web 安全规则以及您定义的条件，允许、阻止或统计 Web 请求。确保您的Amazon API Gateway 阶段与 WAF Web ACL 相关联，以保护其免受恶意攻击 | |
| Apachk 3.1.2 | c) 应实施控制措施，确保网络中信息的安全并保护连接的服务免受未经授权的访问。特别是，应考虑以下项目：-应确定管理网络设备的责任和程序-应酌情将网络的运营责任与计算机操作分开-应建立特殊控制措施，以维护通过公共网络或无线网络传输的数据的机密性和完整性，保护连接的系统和应用程序（包括连接不可信系统/网络时的网络加密协议）。-应进行适当的记录和监控，以记录和检测可能影响或与信息安全相关的行为——应密切协调管理活动，既要优化为组织提供的服务，又要确保在整个信息处理基础设施中始终如一地进行控制——网络上的系统应经过身份验证以及——应限制与网络的不可信系统连接 | 通过确保 X509 证书由AWS ACM 颁发，确保网络完整性得到保护。这些证书必须有效且未过期。此规则要求的值为 daysToExpiration （AWS基础安全最佳实践值：90）。实际价值应反映贵组织的政策。 | |
| Apachk 3.1.2 | c) 应实施控制措施，确保网络中信息的安全并保护连接的服务免受未经授权的访问。特别是，应考虑以下项目：-应确定管理网络设备的责任和程序-应酌情将网络的运营责任与计算机操作分开-应建立特殊控制措施，以维护通过公共网络或无线网络传输的数据的机密性和完整性，保护连接的系统和应用程序（包括连接不可信系统/网络时的网络加密协议）。-应进行适当的记录和监控，以记录和检测可能影响或与信息安全相关的行为——应密切协调管理活动，既要优化为组织提供的服务，又要确保在整个信息处理基础设施中始终如一地进行控制——网络上的系统应经过身份验证以及——应限制与网络的不可信系统连接 | 为了帮助保护传输中的数据，请确保您的Application Load Balancer 自动将未加密的 HTTP 请求重定向到 HTTPS。由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。 | |
| Apachk 3.1.2 | c) 应实施控制措施，确保网络中信息的安全并保护连接的服务免受未经授权的访问。特别是，应考虑以下项目：-应确定管理网络设备的责任和程序-应酌情将网络的运营责任与计算机操作分开-应建立特殊控制措施，以维护通过公共网络或无线网络传输的数据的机密性和完整性，保护连接的系统和应用程序（包括连接不可信系统/网络时的网络加密协议）。-应进行适当的记录和监控，以记录和检测可能影响或与信息安全相关的行为——应密切协调管理活动，既要优化为组织提供的服务，又要确保在整个信息处理基础设施中始终如一地进行控制——网络上的系统应经过身份验证以及——应限制与网络的不可信系统连接 | 由于敏感数据可能存在并且为了帮助保护传输中的数据，请确保为 Elastic Load Balancing 启用加密。使用AWS Certificate Manager 管理、预置和部署带有AWS服务和内部资源的公共和私有 SSL/TLS 证书。 | |
| Apachk 3.1.2 | c) 应实施控制措施，确保网络中信息的安全并保护连接的服务免受未经授权的访问。特别是，应考虑以下项目：-应确定管理网络设备的责任和程序-应酌情将网络的运营责任与计算机操作分开-应建立特殊控制措施，以维护通过公共网络或无线网络传输的数据的机密性和完整性，保护连接的系统和应用程序（包括连接不可信系统/网络时的网络加密协议）。-应进行适当的记录和监控，以记录和检测可能影响或与信息安全相关的行为——应密切协调管理活动，既要优化为组织提供的服务，又要确保在整个信息处理基础设施中始终如一地进行控制——网络上的系统应经过身份验证以及——应限制与网络的不可信系统连接 | 确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。 | |
| Apachk 3.1.2 | c) 应实施控制措施，确保网络中信息的安全并保护连接的服务免受未经授权的访问。特别是，应考虑以下项目：-应确定管理网络设备的责任和程序-应酌情将网络的运营责任与计算机操作分开-应建立特殊控制措施，以维护通过公共网络或无线网络传输的数据的机密性和完整性，保护连接的系统和应用程序（包括连接不可信系统/网络时的网络加密协议）。-应进行适当的记录和监控，以记录和检测可能影响或与信息安全相关的行为——应密切协调管理活动，既要优化为组织提供的服务，又要确保在整个信息处理基础设施中始终如一地进行控制——网络上的系统应经过身份验证以及——应限制与网络的不可信系统连接 | 为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶需要请求使用安全套接字层 (SSL)。由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。 | |
| Apachk 3.1.2 | c) 应实施控制措施，确保网络中信息的安全并保护连接的服务免受未经授权的访问。特别是，应考虑以下项目：-应确定管理网络设备的责任和程序-应酌情将网络的运营责任与计算机操作分开-应建立特殊控制措施，以维护通过公共网络或无线网络传输的数据的机密性和完整性，保护连接的系统和应用程序（包括连接不可信系统/网络时的网络加密协议）。-应进行适当的记录和监控，以记录和检测可能影响或与信息安全相关的行为——应密切协调管理活动，既要优化为组织提供的服务，又要确保在整个信息处理基础设施中始终如一地进行控制——网络上的系统应经过身份验证以及——应限制与网络的不可信系统连接 | 确保您的弹性负载均衡器 (ELB) 配置为删除 http 标头。由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。 | |
| Apachk 3.1.2 | c) 应实施控制措施，确保网络中信息的安全并保护连接的服务免受未经授权的访问。特别是，应考虑以下项目：-应确定管理网络设备的责任和程序-应酌情将网络的运营责任与计算机操作分开-应建立特殊控制措施，以维护通过公共网络或无线网络传输的数据的机密性和完整性，保护连接的系统和应用程序（包括连接不可信系统/网络时的网络加密协议）。-应进行适当的记录和监控，以记录和检测可能影响或与信息安全相关的行为——应密切协调管理活动，既要优化为组织提供的服务，又要确保在整个信息处理基础设施中始终如一地进行控制——网络上的系统应经过身份验证以及——应限制与网络的不可信系统连接 | 确保启用亚马逊 OpenSearch 服务的 node-to-node 加密。Node-to-node 加密支持支持支持支持Amazon Virtual Private Cloud (Amazon VPC) 内的所有通信支持 TLS 由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。 | |
| Apachk 3.1.2 | c) 应实施控制措施，确保网络中信息的安全并保护连接的服务免受未经授权的访问。特别是，应考虑以下项目：-应确定管理网络设备的责任和程序-应酌情将网络的运营责任与计算机操作分开-应建立特殊控制措施，以维护通过公共网络或无线网络传输的数据的机密性和完整性，保护连接的系统和应用程序（包括连接不可信系统/网络时的网络加密协议）。-应进行适当的记录和监控，以记录和检测可能影响或与信息安全相关的行为——应密切协调管理活动，既要优化为组织提供的服务，又要确保在整个信息处理基础设施中始终如一地进行控制——网络上的系统应经过身份验证以及——应限制与网络的不可信系统连接 | 确保启用亚马逊 OpenSearch 服务的 node-to-node 加密。Node-to-node 加密支持支持支持支持Amazon Virtual Private Cloud (Amazon VPC) 内的所有通信支持 TLS 由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。 | |
| Apachk 3.1.2 | c) 应实施控制措施，确保网络中信息的安全并保护连接的服务免受未经授权的访问。特别是，应考虑以下项目：-应确定管理网络设备的责任和程序-应酌情将网络的运营责任与计算机操作分开-应建立特殊控制措施，以维护通过公共网络或无线网络传输的数据的机密性和完整性，保护连接的系统和应用程序（包括连接不可信系统/网络时的网络加密协议）。-应进行适当的记录和监控，以记录和检测可能影响或与信息安全相关的行为——应密切协调管理活动，既要优化为组织提供的服务，又要确保在整个信息处理基础设施中始终如一地进行控制——网络上的系统应经过身份验证以及——应限制与网络的不可信系统连接 | 确保您的弹性负载均衡器 (ELB) 配置了 SSL 或 HTTPS 侦听器。由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。 | |
| Apachk 3.1.2 | c) 应实施控制措施，确保网络中信息的安全并保护连接的服务免受未经授权的访问。特别是，应考虑以下项目：-应确定管理网络设备的责任和程序-应酌情将网络的运营责任与计算机操作分开-应建立特殊控制措施，以维护通过公共网络或无线网络传输的数据的机密性和完整性，保护连接的系统和应用程序（包括连接不可信系统/网络时的网络加密协议）。-应进行适当的记录和监控，以记录和检测可能影响或与信息安全相关的行为——应密切协调管理活动，既要优化为组织提供的服务，又要确保在整个信息处理基础设施中始终如一地进行控制——网络上的系统应经过身份验证以及——应限制与网络的不可信系统连接 | API Gateway 日志记录显示了访问 API 的用户的详细视图以及他们访问 API 的方式。这种见解可以让用户活动变得可见。 | |
| Apachk 3.1.2 | c) 应实施控制措施，确保网络中信息的安全并保护连接的服务免受未经授权的访问。特别是，应考虑以下项目：-应确定管理网络设备的责任和程序-应酌情将网络的运营责任与计算机操作分开-应建立特殊控制措施，以维护通过公共网络或无线网络传输的数据的机密性和完整性，保护连接的系统和应用程序（包括连接不可信系统/网络时的网络加密协议）。-应进行适当的记录和监控，以记录和检测可能影响或与信息安全相关的行为——应密切协调管理活动，既要优化为组织提供的服务，又要确保在整个信息处理基础设施中始终如一地进行控制——网络上的系统应经过身份验证以及——应限制与网络的不可信系统连接 | CloudWatch 使用亚马逊集中收集和管理日志事件活动。包含AWS CloudTrail 数据可提供您AWS账户内的 API 调用活动的详细信息。 | |
| Apachk 3.1.2 | c) 应实施控制措施，确保网络中信息的安全并保护连接的服务免受未经授权的访问。特别是，应考虑以下项目：-应确定管理网络设备的责任和程序-应酌情将网络的运营责任与计算机操作分开-应建立特殊控制措施，以维护通过公共网络或无线网络传输的数据的机密性和完整性，保护连接的系统和应用程序（包括连接不可信系统/网络时的网络加密协议）。-应进行适当的记录和监控，以记录和检测可能影响或与信息安全相关的行为——应密切协调管理活动，既要优化为组织提供的服务，又要确保在整个信息处理基础设施中始终如一地进行控制——网络上的系统应经过身份验证以及——应限制与网络的不可信系统连接 | AWS CloudTrail 可以通过记录AWS管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用AWS服务的用户和AWS帐户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在AWS CloudTrail 记录内容中查看。 | |
| Apachk 3.1.2 | c) 应实施控制措施，确保网络中信息的安全并保护连接的服务免受未经授权的访问。特别是，应考虑以下项目：-应确定管理网络设备的责任和程序-应酌情将网络的运营责任与计算机操作分开-应建立特殊控制措施，以维护通过公共网络或无线网络传输的数据的机密性和完整性，保护连接的系统和应用程序（包括连接不可信系统/网络时的网络加密协议）。-应进行适当的记录和监控，以记录和检测可能影响或与信息安全相关的行为——应密切协调管理活动，既要优化为组织提供的服务，又要确保在整个信息处理基础设施中始终如一地进行控制——网络上的系统应经过身份验证以及——应限制与网络的不可信系统连接 | Simple Storage Simple Storage Service (Amazon S3) 数据事件的收集有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的AWS账户信息、IP 地址和事件时间。 | |
| Apachk 3.1.2 | c) 应实施控制措施，确保网络中信息的安全并保护连接的服务免受未经授权的访问。特别是，应考虑以下项目：-应确定管理网络设备的责任和程序-应酌情将网络的运营责任与计算机操作分开-应建立特殊控制措施，以维护通过公共网络或无线网络传输的数据的机密性和完整性，保护连接的系统和应用程序（包括连接不可信系统/网络时的网络加密协议）。-应进行适当的记录和监控，以记录和检测可能影响或与信息安全相关的行为——应密切协调管理活动，既要优化为组织提供的服务，又要确保在整个信息处理基础设施中始终如一地进行控制——网络上的系统应经过身份验证以及——应限制与网络的不可信系统连接 | 当某个指标在指定数量的评估期内超出阈值，Amazon 会发出 CloudWatch 告警。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （Config 默认值：True）、 insufficientDataAction必需（Config 默认值：True）、 okActionRequired （Config 默认值：False）的值。实际值应反映您环境的警报操作。 | |
| Apachk 3.1.2 | c) 应实施控制措施，确保网络中信息的安全并保护连接的服务免受未经授权的访问。特别是，应考虑以下项目：-应确定管理网络设备的责任和程序-应酌情将网络的运营责任与计算机操作分开-应建立特殊控制措施，以维护通过公共网络或无线网络传输的数据的机密性和完整性，保护连接的系统和应用程序（包括连接不可信系统/网络时的网络加密协议）。-应进行适当的记录和监控，以记录和检测可能影响或与信息安全相关的行为——应密切协调管理活动，既要优化为组织提供的服务，又要确保在整个信息处理基础设施中始终如一地进行控制——网络上的系统应经过身份验证以及——应限制与网络的不可信系统连接 | Elastic Load Balancing 活动是环境中的中心通信点。确保启用了 ELB 日志记录。收集的数据提供了有关发送至 ELB 的请求的详细信息。每个日志都包含信息 (例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。 | |
| Apachk 3.1.2 | c) 应实施控制措施，确保网络中信息的安全并保护连接的服务免受未经授权的访问。特别是，应考虑以下项目：-应确定管理网络设备的责任和程序-应酌情将网络的运营责任与计算机操作分开-应建立特殊控制措施，以维护通过公共网络或无线网络传输的数据的机密性和完整性，保护连接的系统和应用程序（包括连接不可信系统/网络时的网络加密协议）。-应进行适当的记录和监控，以记录和检测可能影响或与信息安全相关的行为——应密切协调管理活动，既要优化为组织提供的服务，又要确保在整个信息处理基础设施中始终如一地进行控制——网络上的系统应经过身份验证以及——应限制与网络的不可信系统连接 | 亚马逊 GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 和机器学习列表，用于标识您AWS Cloud 环境中意外的和未经授权的恶意活动。 | |
| Apachk 3.1.2 | c) 应实施控制措施，确保网络中信息的安全并保护连接的服务免受未经授权的访问。特别是，应考虑以下项目：-应确定管理网络设备的责任和程序-应酌情将网络的运营责任与计算机操作分开-应建立特殊控制措施，以维护通过公共网络或无线网络传输的数据的机密性和完整性，保护连接的系统和应用程序（包括连接不可信系统/网络时的网络加密协议）。-应进行适当的记录和监控，以记录和检测可能影响或与信息安全相关的行为——应密切协调管理活动，既要优化为组织提供的服务，又要确保在整个信息处理基础设施中始终如一地进行控制——网络上的系统应经过身份验证以及——应限制与网络的不可信系统连接 | 启用此规则可以帮助在功能失败时通过 Amazon Simple Queue Service (Amazon SQS) 或 Amazon Simple Notification Service (Amazon SNS) | |
| Apachk 3.1.2 | c) 应实施控制措施，确保网络中信息的安全并保护连接的服务免受未经授权的访问。特别是，应考虑以下项目：-应确定管理网络设备的责任和程序-应酌情将网络的运营责任与计算机操作分开-应建立特殊控制措施，以维护通过公共网络或无线网络传输的数据的机密性和完整性，保护连接的系统和应用程序（包括连接不可信系统/网络时的网络加密协议）。-应进行适当的记录和监控，以记录和检测可能影响或与信息安全相关的行为——应密切协调管理活动，既要优化为组织提供的服务，又要确保在整个信息处理基础设施中始终如一地进行控制——网络上的系统应经过身份验证以及——应限制与网络的不可信系统连接 | AWS CloudTrail 记录AWS管理控制台操作和 API 调用。您可以标识哪些用户和账户调调调调调调调了AWS、源 IP 地址以及调源、调源、调源、调源、调源、调源、调源、调源、调源、调源、调源。 CloudTrail 如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，则会将所有AWS区域的日志文件传输到您的 S3 存储桶。此外，当AWS启动新区域时， CloudTrail 将在新区域中创建相同的路径。因此，您无需采取任何操作即可收到包含新区域的 API 活动的日志文件。 | |
| Apachk 3.1.2 | c) 应实施控制措施，确保网络中信息的安全并保护连接的服务免受未经授权的访问。特别是，应考虑以下项目：-应确定管理网络设备的责任和程序-应酌情将网络的运营责任与计算机操作分开-应建立特殊控制措施，以维护通过公共网络或无线网络传输的数据的机密性和完整性，保护连接的系统和应用程序（包括连接不可信系统/网络时的网络加密协议）。-应进行适当的记录和监控，以记录和检测可能影响或与信息安全相关的行为——应密切协调管理活动，既要优化为组织提供的服务，又要确保在整个信息处理基础设施中始终如一地进行控制——网络上的系统应经过身份验证以及——应限制与网络的不可信系统连接 | Amazon Simple Storage Service (Amazon S3) 服务器访问日志提供了一种监视网络中潜在的网络安全事件的方法。对Amazon S3 桶提出的各种请求。每条访问日志记录都提供有关单个访问请求的详细信息。详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | |
| Apachk 3.1.2 | c) 应实施控制措施，确保网络中信息的安全并保护连接的服务免受未经授权的访问。特别是，应考虑以下项目：-应确定管理网络设备的责任和程序-应酌情将网络的运营责任与计算机操作分开-应建立特殊控制措施，以维护通过公共网络或无线网络传输的数据的机密性和完整性，保护连接的系统和应用程序（包括连接不可信系统/网络时的网络加密协议）。-应进行适当的记录和监控，以记录和检测可能影响或与信息安全相关的行为——应密切协调管理活动，既要优化为组织提供的服务，又要确保在整个信息处理基础设施中始终如一地进行控制——网络上的系统应经过身份验证以及——应限制与网络的不可信系统连接 | AWSSecurity Hub 有助于监控未经授权的人员、连接、设备和软件。 AWSSecurity Hub 可以聚合、组织和优先处理来自多个AWS服务的安全告警或结果。其中一些服务包括亚马逊Security Hub、Amazon Inspector、Amazon Macie、IdentAWS ity and Access Management (IAM) 访问分析器和FiAWS rewall Manager 以及AWS合作伙伴解决方案。 | |
| Apachk 3.1.2 | c) 应实施控制措施，确保网络中信息的安全并保护连接的服务免受未经授权的访问。特别是，应考虑以下项目：-应确定管理网络设备的责任和程序-应酌情将网络的运营责任与计算机操作分开-应建立特殊控制措施，以维护通过公共网络或无线网络传输的数据的机密性和完整性，保护连接的系统和应用程序（包括连接不可信系统/网络时的网络加密协议）。-应进行适当的记录和监控，以记录和检测可能影响或与信息安全相关的行为——应密切协调管理活动，既要优化为组织提供的服务，又要确保在整个信息处理基础设施中始终如一地进行控制——网络上的系统应经过身份验证以及——应限制与网络的不可信系统连接 | 要帮助在环境中进行日志和监控，请确保Amazon Relational Database Service (Amazon RDS) 日志记录已启用 通过 Amazon RDS 日志记录，您可以捕获连接、断开连接、查询或查询表等事件。 | |
| Apachk 3.1.2 | c) 应实施控制措施，确保网络中信息的安全并保护连接的服务免受未经授权的访问。特别是，应考虑以下项目：-应确定管理网络设备的责任和程序-应酌情将网络的运营责任与计算机操作分开-应建立特殊控制措施，以维护通过公共网络或无线网络传输的数据的机密性和完整性，保护连接的系统和应用程序（包括连接不可信系统/网络时的网络加密协议）。-应进行适当的记录和监控，以记录和检测可能影响或与信息安全相关的行为——应密切协调管理活动，既要优化为组织提供的服务，又要确保在整个信息处理基础设施中始终如一地进行控制——网络上的系统应经过身份验证以及——应限制与网络的不可信系统连接 | 为了帮助在您的环境中进行日志记录和监控，请在区域和全球 Web ACL 上启用AWS WAF (V2) 登录。 AWSWAF 日志记录提供有关您的 Web ACL 分析的流量的详细信息。日志记录AWS WAF 从AWS资源收到请求的时间、有关请求的信息以及每个请求所匹配的规则的操作。 | |
| Apachk 3.1.2 | c) 应实施控制措施，确保网络中信息的安全并保护连接的服务免受未经授权的访问。特别是，应考虑以下项目：-应确定管理网络设备的责任和程序-应酌情将网络的运营责任与计算机操作分开-应建立特殊控制措施，以维护通过公共网络或无线网络传输的数据的机密性和完整性，保护连接的系统和应用程序（包括连接不可信系统/网络时的网络加密协议）。-应进行适当的记录和监控，以记录和检测可能影响或与信息安全相关的行为——应密切协调管理活动，既要优化为组织提供的服务，又要确保在整个信息处理基础设施中始终如一地进行控制——网络上的系统应经过身份验证以及——应限制与网络的不可信系统连接 | 要保护静态数据，请确保为您的 Amazon Redshift 集群启用加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录有关数据库中的连接和用户活动的信息。此规则要求为 clusterDbEncrypted （Config 默认值：TRUE）和启用 LoggingEnabled（Config 默认值：TRUE）设置值。实际值应反映贵组织的政策。 | |
| Apachk 3.1.2 | c) 应实施控制措施，确保网络中信息的安全并保护连接的服务免受未经授权的访问。特别是，应考虑以下项目：-应确定管理网络设备的责任和程序-应酌情将网络的运营责任与计算机操作分开-应建立特殊控制措施，以维护通过公共网络或无线网络传输的数据的机密性和完整性，保护连接的系统和应用程序（包括连接不可信系统/网络时的网络加密协议）。-应进行适当的记录和监控，以记录和检测可能影响或与信息安全相关的行为——应密切协调管理活动，既要优化为组织提供的服务，又要确保在整个信息处理基础设施中始终如一地进行控制——网络上的系统应经过身份验证以及——应限制与网络的不可信系统连接 | 通过确保无法公开访问 DMS 复制实例来管理对AWS云的访问权限。DMS 复制实例可能包含敏感信息，此类账户需要访问控制。 | |
| Apachk 3.1.2 | c) 应实施控制措施，确保网络中信息的安全并保护连接的服务免受未经授权的访问。特别是，应考虑以下项目：-应确定管理网络设备的责任和程序-应酌情将网络的运营责任与计算机操作分开-应建立特殊控制措施，以维护通过公共网络或无线网络传输的数据的机密性和完整性，保护连接的系统和应用程序（包括连接不可信系统/网络时的网络加密协议）。-应进行适当的记录和监控，以记录和检测可能影响或与信息安全相关的行为——应密切协调管理活动，既要优化为组织提供的服务，又要确保在整个信息处理基础设施中始终如一地进行控制——网络上的系统应经过身份验证以及——应限制与网络的不可信系统连接 | 通过确保 EBS 快照不可公开恢复，管理对AWS云的访问权限。EBS 卷快照可能包含敏感信息，此类账户需要访问控制。 | |
| Apachk 3.1.2 | c) 应实施控制措施，确保网络中信息的安全并保护连接的服务免受未经授权的访问。特别是，应考虑以下项目：-应确定管理网络设备的责任和程序-应酌情将网络的运营责任与计算机操作分开-应建立特殊控制措施，以维护通过公共网络或无线网络传输的数据的机密性和完整性，保护连接的系统和应用程序（包括连接不可信系统/网络时的网络加密协议）。-应进行适当的记录和监控，以记录和检测可能影响或与信息安全相关的行为——应密切协调管理活动，既要优化为组织提供的服务，又要确保在整个信息处理基础设施中始终如一地进行控制——网络上的系统应经过身份验证以及——应限制与网络的不可信系统连接 | 通过确保Amazon Elastic Compute Cloud (Amazon EC2) 实例无法公开访问。AWSAmazon EC2 实例可能包含敏感信息，此类账户需要访问控制。 | |
| Apachk 3.1.2 | c) 应实施控制措施，确保网络中信息的安全并保护连接的服务免受未经授权的访问。特别是，应考虑以下项目：-应确定管理网络设备的责任和程序-应酌情将网络的运营责任与计算机操作分开-应建立特殊控制措施，以维护通过公共网络或无线网络传输的数据的机密性和完整性，保护连接的系统和应用程序（包括连接不可信系统/网络时的网络加密协议）。-应进行适当的记录和监控，以记录和检测可能影响或与信息安全相关的行为——应密切协调管理活动，既要优化为组织提供的服务，又要确保在整个信息处理基础设施中始终如一地进行控制——网络上的系统应经过身份验证以及——应限制与网络的不可信系统连接 | 通过确保AmazonAWS Service（ OpenSearch OpenSearch 服务）域位于Amazon Virtual Private Cloud（Amazon VPC）中来管理云的访问。通过在 Amazon VPC 中的 OpenSearch 服务Service 和 Amazon VPC 中的其他服务之间进行安全通信，而无需互联网网关、NAT 设备或 VPN 连接。 OpenSearch | |
| Apachk 3.1.2 | c) 应实施控制措施，确保网络中信息的安全并保护连接的服务免受未经授权的访问。特别是，应考虑以下项目：-应确定管理网络设备的责任和程序-应酌情将网络的运营责任与计算机操作分开-应建立特殊控制措施，以维护通过公共网络或无线网络传输的数据的机密性和完整性，保护连接的系统和应用程序（包括连接不可信系统/网络时的网络加密协议）。-应进行适当的记录和监控，以记录和检测可能影响或与信息安全相关的行为——应密切协调管理活动，既要优化为组织提供的服务，又要确保在整个信息处理基础设施中始终如一地进行控制——网络上的系统应经过身份验证以及——应限制与网络的不可信系统连接 | 通过确保AmazonAWS Serv OpenSearch ice 域在 Amazon Virtual Private Cloud (Amazon VPC) 内来管理云 通过在 Amazon OpenSearch VPC 中通过一个 Amazon Service OpenSearch Service 和 Amazon VPC 中的其他服务之间进行安全通信，而无需互联网网关、NAT 设备或 VPN 连接。 | |
| Apachk 3.1.2 | c) 应实施控制措施，确保网络中信息的安全并保护连接的服务免受未经授权的访问。特别是，应考虑以下项目：-应确定管理网络设备的责任和程序-应酌情将网络的运营责任与计算机操作分开-应建立特殊控制措施，以维护通过公共网络或无线网络传输的数据的机密性和完整性，保护连接的系统和应用程序（包括连接不可信系统/网络时的网络加密协议）。-应进行适当的记录和监控，以记录和检测可能影响或与信息安全相关的行为——应密切协调管理活动，既要优化为组织提供的服务，又要确保在整个信息处理基础设施中始终如一地进行控制——网络上的系统应经过身份验证以及——应限制与网络的不可信系统连接 | 通过确保无法公开访问 Amazon EMR 集群主节点来管理对AWS云的访问权限。Amazon EMR 集群主节点可能包含敏感信息，此类账户需要访问控制。 | |
| Apachk 3.1.2 | c) 应实施控制措施，确保网络中信息的安全并保护连接的服务免受未经授权的访问。特别是，应考虑以下项目：-应确定管理网络设备的责任和程序-应酌情将网络的运营责任与计算机操作分开-应建立特殊控制措施，以维护通过公共网络或无线网络传输的数据的机密性和完整性，保护连接的系统和应用程序（包括连接不可信系统/网络时的网络加密协议）。-应进行适当的记录和监控，以记录和检测可能影响或与信息安全相关的行为——应密切协调管理活动，既要优化为组织提供的服务，又要确保在整个信息处理基础设施中始终如一地进行控制——网络上的系统应经过身份验证以及——应限制与网络的不可信系统连接 | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以通过对AWS资源的入口和出口网络流量进行状态筛选，帮助管理网络访问。不允许您的资源上的入口（或远程）流量从 0.0.0.0/0 到端口 22，有助于限制远程访问。 | |
| Apachk 3.1.2 | c) 应实施控制措施，确保网络中信息的安全并保护连接的服务免受未经授权的访问。特别是，应考虑以下项目：-应确定管理网络设备的责任和程序-应酌情将网络的运营责任与计算机操作分开-应建立特殊控制措施，以维护通过公共网络或无线网络传输的数据的机密性和完整性，保护连接的系统和应用程序（包括连接不可信系统/网络时的网络加密协议）。-应进行适当的记录和监控，以记录和检测可能影响或与信息安全相关的行为——应密切协调管理活动，既要优化为组织提供的服务，又要确保在整个信息处理基础设施中始终如一地进行控制——网络上的系统应经过身份验证以及——应限制与网络的不可信系统连接 | 在Amazon Virtual Private Cloud（Amazon VPC）中部署 Amazon E-Service 中部署 Amazon Service 中部署 Amazon Service 中部署 Amazon E-Service，您可以在 Amazon Service 和 Amazon VPC 中的其他服务之间进行安全通信，而 AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共端点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全性。将 Amazon EC2 实例分配给亚马逊 VPC 以正确管理访问权限。 | |
| Apachk 3.1.2 | c) 应实施控制措施，确保网络中信息的安全并保护连接的服务免受未经授权的访问。特别是，应考虑以下项目：-应确定管理网络设备的责任和程序-应酌情将网络的运营责任与计算机操作分开-应建立特殊控制措施，以维护通过公共网络或无线网络传输的数据的机密性和完整性，保护连接的系统和应用程序（包括连接不可信系统/网络时的网络加密协议）。-应进行适当的记录和监控，以记录和检测可能影响或与信息安全相关的行为——应密切协调管理活动，既要优化为组织提供的服务，又要确保在整个信息处理基础设施中始终如一地进行控制——网络上的系统应经过身份验证以及——应限制与网络的不可信系统连接 | 通过确保互联网网关仅连接到授权的 Amazon Virtual Private Cloud (Amazon VPC)，管理对云中资源的访问。AWS互联网网关允许双向互联网访问 Amazon VPC 和从 Amazon VPC 进行双向互联网访问，这可能会导致对亚马逊 VPC 资源的未经授权的访问。 | |
| Apachk 3.1.2 | c) 应实施控制措施，确保网络中信息的安全并保护连接的服务免受未经授权的访问。特别是，应考虑以下项目：-应确定管理网络设备的责任和程序-应酌情将网络的运营责任与计算机操作分开-应建立特殊控制措施，以维护通过公共网络或无线网络传输的数据的机密性和完整性，保护连接的系统和应用程序（包括连接不可信系统/网络时的网络加密协议）。-应进行适当的记录和监控，以记录和检测可能影响或与信息安全相关的行为——应密切协调管理活动，既要优化为组织提供的服务，又要确保在整个信息处理基础设施中始终如一地进行控制——网络上的系统应经过身份验证以及——应限制与网络的不可信系统连接 | 通过确保AWS Lambda 函数无法公开访问，管理对AWS云中资源的访问权限。公共访问可能导致资源可用性下降。 | |
| Apachk 3.1.2 | c) 应实施控制措施，确保网络中信息的安全并保护连接的服务免受未经授权的访问。特别是，应考虑以下项目：-应确定管理网络设备的责任和程序-应酌情将网络的运营责任与计算机操作分开-应建立特殊控制措施，以维护通过公共网络或无线网络传输的数据的机密性和完整性，保护连接的系统和应用程序（包括连接不可信系统/网络时的网络加密协议）。-应进行适当的记录和监控，以记录和检测可能影响或与信息安全相关的行为——应密切协调管理活动，既要优化为组织提供的服务，又要确保在整个信息处理基础设施中始终如一地进行控制——网络上的系统应经过身份验证以及——应限制与网络的不可信系统连接 | 在 Amazon Virtual Private Cloud (Amazon VPC) 中部署AWS Lambda 函数，在 Amazon VPrivate Cloud (Amaz 使用此配置，无需互联网网关、NAT 设备或 VPN 连接。AWS云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共端点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全性。为了正确管理访问权限，应AWS将 Lambda 函数分配给 VPC。 | |
| Apachk 3.1.2 | c) 应实施控制措施，确保网络中信息的安全并保护连接的服务免受未经授权的访问。特别是，应考虑以下项目：-应确定管理网络设备的责任和程序-应酌情将网络的运营责任与计算机操作分开-应建立特殊控制措施，以维护通过公共网络或无线网络传输的数据的机密性和完整性，保护连接的系统和应用程序（包括连接不可信系统/网络时的网络加密协议）。-应进行适当的记录和监控，以记录和检测可能影响或与信息安全相关的行为——应密切协调管理活动，既要优化为组织提供的服务，又要确保在整个信息处理基础设施中始终如一地进行控制——网络上的系统应经过身份验证以及——应限制与网络的不可信系统连接 | 通过确保 Amazon Relational Database Service (Amazon RDS) 实例不公开，管理对AWS云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，此类账户需要原则和访问控制。 | |
| Apachk 3.1.2 | c) 应实施控制措施，确保网络中信息的安全并保护连接的服务免受未经授权的访问。特别是，应考虑以下项目：-应确定管理网络设备的责任和程序-应酌情将网络的运营责任与计算机操作分开-应建立特殊控制措施，以维护通过公共网络或无线网络传输的数据的机密性和完整性，保护连接的系统和应用程序（包括连接不可信系统/网络时的网络加密协议）。-应进行适当的记录和监控，以记录和检测可能影响或与信息安全相关的行为——应密切协调管理活动，既要优化为组织提供的服务，又要确保在整个信息处理基础设施中始终如一地进行控制——网络上的系统应经过身份验证以及——应限制与网络的不可信系统连接 | 通过确保 Amazon Relational Database Service (Amazon RDS) 实例不公开，管理对AWS云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息和原则，此类账户需要访问控制。 | |
| Apachk 3.1.2 | c) 应实施控制措施，确保网络中信息的安全并保护连接的服务免受未经授权的访问。特别是，应考虑以下项目：-应确定管理网络设备的责任和程序-应酌情将网络的运营责任与计算机操作分开-应建立特殊控制措施，以维护通过公共网络或无线网络传输的数据的机密性和完整性，保护连接的系统和应用程序（包括连接不可信系统/网络时的网络加密协议）。-应进行适当的记录和监控，以记录和检测可能影响或与信息安全相关的行为——应密切协调管理活动，既要优化为组织提供的服务，又要确保在整个信息处理基础设施中始终如一地进行控制——网络上的系统应经过身份验证以及——应限制与网络的不可信系统连接 | 通过确保 Amazon Redshift 集群不公开，管理对AWS云中资源的访问权限。Amazon Redshift 集群可能包含敏感信息和原则，此类账户需要访问控制。 | |
| 3.1.2 | c) 应实施控制措施，确保网络中信息的安全并保护连接的服务免受未经授权的访问。特别是，应考虑以下项目：-应确定管理网络设备的责任和程序-应酌情将网络的运营责任与计算机操作分开-应建立特殊控制措施，以维护通过公共网络或无线网络传输的数据的机密性和完整性，保护连接的系统和应用程序（包括连接不可信系统/网络时的网络加密协议）。-应进行适当的记录和监控，以记录和检测可能影响或与信息安全相关的行为——应密切协调管理活动，既要优化为组织提供的服务，又要确保在整个信息处理基础设施中始终如一地进行控制——网络上的系统应经过身份验证以及——应限制与网络的不可信系统连接 | 通过确保在 Amazon Elastic ComputeAWS Cloud (Amazon EC2) 安全组上限制通用端口，管理对云中资源的访问。不限制可信来源对端口的访问可能会导致对系统的可用性、完整性和机密性的攻击。这条规则允许你有选择地设置 BlockedPort1-BlockedPort5 参数（Config 默认值：20,213389,3306,4333）。实际值应反映贵组织的政策。 | |
| 3.1.2 | c) 应实施控制措施，确保网络中信息的安全并保护连接的服务免受未经授权的访问。特别是，应考虑以下项目：-应确定管理网络设备的责任和程序-应酌情将网络的运营责任与计算机操作分开-应建立特殊控制措施，以维护通过公共网络或无线网络传输的数据的机密性和完整性，保护连接的系统和应用程序（包括连接不可信系统/网络时的网络加密协议）。-应进行适当的记录和监控，以记录和检测可能影响或与信息安全相关的行为——应密切协调管理活动，既要优化为组织提供的服务，又要确保在整个信息处理基础设施中始终如一地进行控制——网络上的系统应经过身份验证以及——应限制与网络的不可信系统连接 | 通过仅允许授权用户、流程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，管理对AWS云中资源的访问。访问管理应与数据的分类保持一致。 | |
| 3.1.2 | c) 应实施控制措施，确保网络中信息的安全并保护连接的服务免受未经授权的访问。特别是，应考虑以下项目：-应确定管理网络设备的责任和程序-应酌情将网络的运营责任与计算机操作分开-应建立特殊控制措施，以维护通过公共网络或无线网络传输的数据的机密性和完整性，保护连接的系统和应用程序（包括连接不可信系统/网络时的网络加密协议）。-应进行适当的记录和监控，以记录和检测可能影响或与信息安全相关的行为——应密切协调管理活动，既要优化为组织提供的服务，又要确保在整个信息处理基础设施中始终如一地进行控制——网络上的系统应经过身份验证以及——应限制与网络的不可信系统连接 | 通过仅允许授权用户、流程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，管理对AWS云中资源的访问。访问管理应与数据的分类保持一致。 | |
| 3.1.2 | c) 应实施控制措施，确保网络中信息的安全并保护连接的服务免受未经授权的访问。特别是，应考虑以下项目：-应确定管理网络设备的责任和程序-应酌情将网络的运营责任与计算机操作分开-应建立特殊控制措施，以维护通过公共网络或无线网络传输的数据的机密性和完整性，保护连接的系统和应用程序（包括连接不可信系统/网络时的网络加密协议）。-应进行适当的记录和监控，以记录和检测可能影响或与信息安全相关的行为——应密切协调管理活动，既要优化为组织提供的服务，又要确保在整个信息处理基础设施中始终如一地进行控制——网络上的系统应经过身份验证以及——应限制与网络的不可信系统连接 | 通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对AWS云端资源的访问权限。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。 | |
| 3.1.2 | c) 应实施控制措施，确保网络中信息的安全并保护连接的服务免受未经授权的访问。特别是，应考虑以下项目：-应确定管理网络设备的责任和程序-应酌情将网络的运营责任与计算机操作分开-应建立特殊控制措施，以维护通过公共网络或无线网络传输的数据的机密性和完整性，保护连接的系统和应用程序（包括连接不可信系统/网络时的网络加密协议）。-应进行适当的记录和监控，以记录和检测可能影响或与信息安全相关的行为——应密切协调管理活动，既要优化为组织提供的服务，又要确保在整个信息处理基础设施中始终如一地进行控制——网络上的系统应经过身份验证以及——应限制与网络的不可信系统连接 | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以提供对传入和传出AWS资源的网络流量进行状态过滤，帮助管理网络访问。限制默认安全组上的所有流量有助于限制对AWS资源的远程访问。 | |
| 3.1.2 | c) 应实施控制措施，确保网络中信息的安全并保护连接的服务免受未经授权的访问。特别是，应考虑以下项目：-应确定管理网络设备的责任和程序-应酌情将网络的运营责任与计算机操作分开-应建立特殊控制措施，以维护通过公共网络或无线网络传输的数据的机密性和完整性，保护连接的系统和应用程序（包括连接不可信系统/网络时的网络加密协议）。-应进行适当的记录和监控，以记录和检测可能影响或与信息安全相关的行为——应密切协调管理活动，既要优化为组织提供的服务，又要确保在整个信息处理基础设施中始终如一地进行控制——网络上的系统应经过身份验证以及——应限制与网络的不可信系统连接 | 通过确保在 Amazon Elastic ComputeAWS Cloud (Amazon EC2) 安全组上限制通用端口，管理对云中资源的访问。不限制对可信来源的端口访问可能会导致对系统的可用性、完整性和机密性的攻击。通过限制从 Internet (0.0.0/0) 对安全组内资源的访问 (0.0.0/0)，可以控制对内部系统的远程访问。 | |
| 3.1.2 | c) 应实施控制措施，确保网络中信息的安全并保护连接的服务免受未经授权的访问。特别是，应考虑以下项目：-应确定管理网络设备的责任和程序-应酌情将网络的运营责任与计算机操作分开-应建立特殊控制措施，以维护通过公共网络或无线网络传输的数据的机密性和完整性，保护连接的系统和应用程序（包括连接不可信系统/网络时的网络加密协议）。-应进行适当的记录和监控，以记录和检测可能影响或与信息安全相关的行为——应密切协调管理活动，既要优化为组织提供的服务，又要确保在整个信息处理基础设施中始终如一地进行控制——网络上的系统应经过身份验证以及——应限制与网络的不可信系统连接 | 确保 Amazon EC2 路由表没有通往互联网网关的无限制路由。取消或限制 Amazon VPC 内工作负载的互联网访问权限可以减少环境中的意外访问。 | |
| 3.1.2 | c) 应实施控制措施，确保网络中信息的安全并保护连接的服务免受未经授权的访问。特别是，应考虑以下项目：-应确定管理网络设备的责任和程序-应酌情将网络的运营责任与计算机操作分开-应建立特殊控制措施，以维护通过公共网络或无线网络传输的数据的机密性和完整性，保护连接的系统和应用程序（包括连接不可信系统/网络时的网络加密协议）。-应进行适当的记录和监控，以记录和检测可能影响或与信息安全相关的行为——应密切协调管理活动，既要优化为组织提供的服务，又要确保在整个信息处理基础设施中始终如一地进行控制——网络上的系统应经过身份验证以及——应限制与网络的不可信系统连接 | 通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，管理对AWS云中资源的访问。该规则通过防止存储段级别的公共访问来帮助保护敏感数据免受未经授权的远程用户的侵害。 | |
| 3.1.2 | c) 应实施控制措施，确保网络中信息的安全并保护连接的服务免受未经授权的访问。特别是，应考虑以下项目：-应确定管理网络设备的责任和程序-应酌情将网络的运营责任与计算机操作分开-应建立特殊控制措施，以维护通过公共网络或无线网络传输的数据的机密性和完整性，保护连接的系统和应用程序（包括连接不可信系统/网络时的网络加密协议）。-应进行适当的记录和监控，以记录和检测可能影响或与信息安全相关的行为——应密切协调管理活动，既要优化为组织提供的服务，又要确保在整个信息处理基础设施中始终如一地进行控制——网络上的系统应经过身份验证以及——应限制与网络的不可信系统连接 | 通过确保不会自动为Amazon Virtual Private Cloud (VPC) 子网分配公有 IP 地址来管理对云的访问。AWS在启用了此属性的子网中启动的 Amazon Elastic Compute Cloud (EC2) 实例会为其主网络接口分配公有 IP 地址。 | |
| 3.1.2 | c) 应实施控制措施，确保网络中信息的安全并保护连接的服务免受未经授权的访问。特别是，应考虑以下项目：-应确定管理网络设备的责任和程序-应酌情将网络的运营责任与计算机操作分开-应建立特殊控制措施，以维护通过公共网络或无线网络传输的数据的机密性和完整性，保护连接的系统和应用程序（包括连接不可信系统/网络时的网络加密协议）。-应进行适当的记录和监控，以记录和检测可能影响或与信息安全相关的行为——应密切协调管理活动，既要优化为组织提供的服务，又要确保在整个信息处理基础设施中始终如一地进行控制——网络上的系统应经过身份验证以及——应限制与网络的不可信系统连接 | 如果您使用公有 IP 地址配置网络接口，则可以从 Internet 访问这些网络接口的相关资源。EC2 资源不应公开访问，因为这可能允许意外访问您的应用程序或服务器。 | |
| 3.1.2 | c) 应实施控制措施，确保网络中信息的安全并保护连接的服务免受未经授权的访问。特别是，应考虑以下项目：-应确定管理网络设备的责任和程序-应酌情将网络的运营责任与计算机操作分开-应建立特殊控制措施，以维护通过公共网络或无线网络传输的数据的机密性和完整性，保护连接的系统和应用程序（包括连接不可信系统/网络时的网络加密协议）。-应进行适当的记录和监控，以记录和检测可能影响或与信息安全相关的行为——应密切协调管理活动，既要优化为组织提供的服务，又要确保在整个信息处理基础设施中始终如一地进行控制——网络上的系统应经过身份验证以及——应限制与网络的不可信系统连接 | 增强型 VPC 路由会强制集群和数据存储库之间的所有复制和卸载流量通过您的 Amazon VPC。然后，您可以使用安全组和网络访问控制列表等 VPC 功能来保护网络流量。您还可以使用 VPC 流日志来监控网络流量。 | |
| 3.1.2 | c) 应实施控制措施，确保网络中信息的安全并保护连接的服务免受未经授权的访问。特别是，应考虑以下项目：-应确定管理网络设备的责任和程序-应酌情将网络的运营责任与计算机操作分开-应建立特殊控制措施，以维护通过公共网络或无线网络传输的数据的机密性和完整性，保护连接的系统和应用程序（包括连接不可信系统/网络时的网络加密协议）。-应进行适当的记录和监控，以记录和检测可能影响或与信息安全相关的行为——应密切协调管理活动，既要优化为组织提供的服务，又要确保在整个信息处理基础设施中始终如一地进行控制——网络上的系统应经过身份验证以及——应限制与网络的不可信系统连接 | 确保使用 SSL 证书配置 Amazon API Gateway REST API 阶段，以允许后端系统对来自 API Gateway 的请求进行身份验证。 | |
| 3.1.2 | c) 应实施控制措施，确保网络中信息的安全并保护连接的服务免受未经授权的访问。特别是，应考虑以下项目：-应确定管理网络设备的责任和程序-应酌情将网络的运营责任与计算机操作分开-应建立特殊控制措施，以维护通过公共网络或无线网络传输的数据的机密性和完整性，保护连接的系统和应用程序（包括连接不可信系统/网络时的网络加密协议）。-应进行适当的记录和监控，以记录和检测可能影响或与信息安全相关的行为——应密切协调管理活动，既要优化为组织提供的服务，又要确保在整个信息处理基础设施中始终如一地进行控制——网络上的系统应经过身份验证以及——应限制与网络的不可信系统连接 | 由于敏感数据可能存在并且为了帮助保护传输中的数据，请确保为 Elastic Load Balancing 启用加密。使用AWS Certificate Manager 管理、预置和部署带有AWS服务和内部资源的公共和私有 SSL/TLS 证书。 | |
| 3.1.2 | c) 应实施控制措施，确保网络中信息的安全并保护连接的服务免受未经授权的访问。特别是，应考虑以下项目：-应确定管理网络设备的责任和程序-应酌情将网络的运营责任与计算机操作分开-应建立特殊控制措施，以维护通过公共网络或无线网络传输的数据的机密性和完整性，保护连接的系统和应用程序（包括连接不可信系统/网络时的网络加密协议）。-应进行适当的记录和监控，以记录和检测可能影响或与信息安全相关的行为——应密切协调管理活动，既要优化为组织提供的服务，又要确保在整个信息处理基础设施中始终如一地进行控制——网络上的系统应经过身份验证以及——应限制与网络的不可信系统连接 | 确保 Amazon Serv OpenSearch ice 域已启用错误日志并将其传输到 Amazon CloudWatch Logs 以进行保留和响应。域错误日志可以帮助进行安全和访问审计，并可以帮助诊断可用性问题。 | |
| 3.1.2 | c) 应实施控制措施，确保网络中信息的安全并保护连接的服务免受未经授权的访问。特别是，应考虑以下项目：-应确定管理网络设备的责任和程序-应酌情将网络的运营责任与计算机操作分开-应建立特殊控制措施，以维护通过公共网络或无线网络传输的数据的机密性和完整性，保护连接的系统和应用程序（包括连接不可信系统/网络时的网络加密协议）。-应进行适当的记录和监控，以记录和检测可能影响或与信息安全相关的行为——应密切协调管理活动，既要优化为组织提供的服务，又要确保在整个信息处理基础设施中始终如一地进行控制——网络上的系统应经过身份验证以及——应限制与网络的不可信系统连接 | 确保 Amazon Serv OpenSearch ice 域已启用错误日志并将其传输到 Amazon CloudWatch Logs 以进行保留和响应。 OpenSearch 服务错误日志可以帮助进行安全和访问审计，并可以帮助诊断可用性问题。 | |
| 3.1.2 | c) 应实施控制措施，确保网络中信息的安全并保护连接的服务免受未经授权的访问。特别是，应考虑以下项目：-应确定管理网络设备的责任和程序-应酌情将网络的运营责任与计算机操作分开-应建立特殊控制措施，以维护通过公共网络或无线网络传输的数据的机密性和完整性，保护连接的系统和应用程序（包括连接不可信系统/网络时的网络加密协议）。-应进行适当的记录和监控，以记录和检测可能影响或与信息安全相关的行为——应密切协调管理活动，既要优化为组织提供的服务，又要确保在整个信息处理基础设施中始终如一地进行控制——网络上的系统应经过身份验证以及——应限制与网络的不可信系统连接 | 通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，管理对AWS云中资源的访问。该规则通过防止公共访问来帮助保护敏感数据免受未经授权的远程用户的侵害。此规则允许您选择设置 ignorePublicAcls （Config 默认值：True）、 blockPublicPolicy （Config 默认值：True）、 blockPublicAcls （Config 默认值：True）和 restrictPublicBuckets 参数（Config 默认值：True）。实际值应反映贵组织的政策。 | |
| 3.1.2 | c) 应实施控制措施，确保网络中信息的安全并保护连接的服务免受未经授权的访问。特别是，应考虑以下项目：-应确定管理网络设备的责任和程序-应酌情将网络的运营责任与计算机操作分开-应建立特殊控制措施，以维护通过公共网络或无线网络传输的数据的机密性和完整性，保护连接的系统和应用程序（包括连接不可信系统/网络时的网络加密协议）。-应进行适当的记录和监控，以记录和检测可能影响或与信息安全相关的行为——应密切协调管理活动，既要优化为组织提供的服务，又要确保在整个信息处理基础设施中始终如一地进行控制——网络上的系统应经过身份验证以及——应限制与网络的不可信系统连接 | 确保SAWS ystems Manager (SSM) 文档不公开，因为这可能会允许意外访问您的 SSM 文档。公开 SSM 文档可以公开有关您的账户、资源和内部流程的信息。 | |
| 3.1.2 | e) 网络服务的范围可以从简单的非托管带宽到复杂的服务，例如 VPN、IP 语音、VSAT 等。网络服务的安全功能应为：-用于网络服务安全的技术，例如身份验证、加密和网络连接控制-根据安全和网络连接规则与网络服务进行安全连接所需的技术参数；-必要时使用网络服务限制访问网络服务或应用程序的程序 | 通过确保 X509 证书由AWS ACM 颁发，确保网络完整性得到保护。这些证书必须有效且未过期。此规则要求的值为 daysToExpiration （AWS基础安全最佳实践值：90）。实际价值应反映贵组织的政策。 | |
| 3.1.2 | e) 网络服务的范围可以从简单的非托管带宽到复杂的服务，例如 VPN、IP 语音、VSAT 等。网络服务的安全功能应为：-用于网络服务安全的技术，例如身份验证、加密和网络连接控制-根据安全和网络连接规则与网络服务进行安全连接所需的技术参数；-必要时使用网络服务限制访问网络服务或应用程序的程序 | 为了帮助保护传输中的数据，请确保您的Application Load Balancer 自动将未加密的 HTTP 请求重定向到 HTTPS。由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。 | |
| 3.1.2 | e) 网络服务的范围可以从简单的非托管带宽到复杂的服务，例如 VPN、IP 语音、VSAT 等。网络服务的安全功能应为：-用于网络服务安全的技术，例如身份验证、加密和网络连接控制-根据安全和网络连接规则与网络服务进行安全连接所需的技术参数；-必要时使用网络服务限制访问网络服务或应用程序的程序 | 由于敏感数据可能存在并且为了帮助保护传输中的数据，请确保为 Elastic Load Balancing 启用加密。使用AWS Certificate Manager 管理、预置和部署带有AWS服务和内部资源的公共和私有 SSL/TLS 证书。 | |
| 3.1.2 | e) 网络服务的范围可以从简单的非托管带宽到复杂的服务，例如 VPN、IP 语音、VSAT 等。网络服务的安全功能应为：-用于网络服务安全的技术，例如身份验证、加密和网络连接控制-根据安全和网络连接规则与网络服务进行安全连接所需的技术参数；-必要时使用网络服务限制访问网络服务或应用程序的程序 | 确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。 | |
| 3.1.2 | e) 网络服务的范围可以从简单的非托管带宽到复杂的服务，例如 VPN、IP 语音、VSAT 等。网络服务的安全功能应为：-用于网络服务安全的技术，例如身份验证、加密和网络连接控制-根据安全和网络连接规则与网络服务进行安全连接所需的技术参数；-必要时使用网络服务限制访问网络服务或应用程序的程序 | 为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶需要请求使用安全套接字层 (SSL)。由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。 | |
| 3.1.2 | e) 网络服务的范围可以从简单的非托管带宽到复杂的服务，例如 VPN、IP 语音、VSAT 等。网络服务的安全功能应为：-用于网络服务安全的技术，例如身份验证、加密和网络连接控制-根据安全和网络连接规则与网络服务进行安全连接所需的技术参数；-必要时使用网络服务限制访问网络服务或应用程序的程序 | 确保您的弹性负载均衡器 (ELB) 配置为删除 http 标头。由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。 | |
| 3.1.2 | e) 网络服务的范围可以从简单的非托管带宽到复杂的服务，例如 VPN、IP 语音、VSAT 等。网络服务的安全功能应为：-用于网络服务安全的技术，例如身份验证、加密和网络连接控制-根据安全和网络连接规则与网络服务进行安全连接所需的技术参数；-必要时使用网络服务限制访问网络服务或应用程序的程序 | 确保启用亚马逊 OpenSearch 服务的 node-to-node 加密。Node-to-node 加密支持支持支持支持Amazon Virtual Private Cloud (Amazon VPC) 内的所有通信支持 TLS 由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。 | |
| 3.1.2 | e) 网络服务的范围可以从简单的非托管带宽到复杂的服务，例如 VPN、IP 语音、VSAT 等。网络服务的安全功能应为：-用于网络服务安全的技术，例如身份验证、加密和网络连接控制-根据安全和网络连接规则与网络服务进行安全连接所需的技术参数；-必要时使用网络服务限制访问网络服务或应用程序的程序 | 确保启用亚马逊 OpenSearch 服务的 node-to-node 加密。Node-to-node 加密支持支持支持支持Amazon Virtual Private Cloud (Amazon VPC) 内的所有通信支持 TLS 由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。 | |
| 3.1.2 | e) 网络服务的范围可以从简单的非托管带宽到复杂的服务，例如 VPN、IP 语音、VSAT 等。网络服务的安全功能应为：-用于网络服务安全的技术，例如身份验证、加密和网络连接控制-根据安全和网络连接规则与网络服务进行安全连接所需的技术参数；-必要时使用网络服务限制访问网络服务或应用程序的程序 | 确保您的弹性负载均衡器 (ELB) 配置了 SSL 或 HTTPS 侦听器。由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。 | |
| 3.1.2 | e) 网络服务的范围可以从简单的非托管带宽到复杂的服务，例如 VPN、IP 语音、VSAT 等。网络服务的安全功能应为：-用于网络服务安全的技术，例如身份验证、加密和网络连接控制-根据安全和网络连接规则与网络服务进行安全连接所需的技术参数；-必要时使用网络服务限制访问网络服务或应用程序的程序 | 确保使用 SSL 证书配置 Amazon API Gateway REST API 阶段，以允许后端系统对来自 API Gateway 的请求进行身份验证。 | |
| 3.1.2 | e) 网络服务的范围可以从简单的非托管带宽到复杂的服务，例如 VPN、IP 语音、VSAT 等。网络服务的安全功能应为：-用于网络服务安全的技术，例如身份验证、加密和网络连接控制-根据安全和网络连接规则与网络服务进行安全连接所需的技术参数；-必要时使用网络服务限制访问网络服务或应用程序的程序 | 由于敏感数据可能存在并且为了帮助保护传输中的数据，请确保为 Elastic Load Balancing 启用加密。使用AWS Certificate Manager 管理、预置和部署带有AWS服务和内部资源的公共和私有 SSL/TLS 证书。 | |
| 3.1.3 (e) | e) 使用加密保护远程访问设备与机构之间的通信信道，以限制与网络欺骗相关的风险。 | 通过确保 X509 证书由AWS ACM 颁发，确保网络完整性得到保护。这些证书必须有效且未过期。此规则要求的值为 daysToExpiration （AWS基础安全最佳实践值：90）。实际价值应反映贵组织的政策。 | |
| 3.1.3 (e) | e) 使用加密保护远程访问设备与机构之间的通信信道，以限制与网络欺骗相关的风险。 | 为了帮助保护传输中的数据，请确保您的Application Load Balancer 自动将未加密的 HTTP 请求重定向到 HTTPS。由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。 | |
| 3.1.3 (e) | e) 使用加密保护远程访问设备与机构之间的通信信道，以限制与网络欺骗相关的风险。 | 由于敏感数据可能存在并且为了帮助保护传输中的数据，请确保为 Elastic Load Balancing 启用加密。使用AWS Certificate Manager 管理、预置和部署带有AWS服务和内部资源的公共和私有 SSL/TLS 证书。 | |
| 3.1.3 (e) | e) 使用加密保护远程访问设备与机构之间的通信信道，以限制与网络欺骗相关的风险。 | 确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。 | |
| 3.1.3 (e) | e) 使用加密保护远程访问设备与机构之间的通信信道，以限制与网络欺骗相关的风险。 | 为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶需要请求使用安全套接字层 (SSL)。由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。 | |
| 3.1.3 (e) | e) 使用加密保护远程访问设备与机构之间的通信信道，以限制与网络欺骗相关的风险。 | 确保您的弹性负载均衡器 (ELB) 配置为删除 http 标头。由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。 | |
| 3.1.3 (e) | e) 使用加密保护远程访问设备与机构之间的通信信道，以限制与网络欺骗相关的风险。 | 确保启用亚马逊 OpenSearch 服务的 node-to-node 加密。Node-to-node 加密支持支持支持支持Amazon Virtual Private Cloud (Amazon VPC) 内的所有通信支持 TLS 由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。 | |
| 3.1.3 (e) | e) 使用加密保护远程访问设备与机构之间的通信信道，以限制与网络欺骗相关的风险。 | 确保启用亚马逊 OpenSearch 服务的 node-to-node 加密。Node-to-node 加密支持支持支持支持Amazon Virtual Private Cloud (Amazon VPC) 内的所有通信支持 TLS 由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。 | |
| 3.1.3 (e) | e) 使用加密保护远程访问设备与机构之间的通信信道，以限制与网络欺骗相关的风险。 | 确保您的弹性负载均衡器 (ELB) 配置了 SSL 或 HTTPS 侦听器。由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。 | |
| 3.1.3 (e) | e) 使用加密保护远程访问设备与机构之间的通信信道，以限制与网络欺骗相关的风险。 | 确保使用 SSL 证书配置 Amazon API Gateway REST API 阶段，以允许后端系统对来自 API Gateway 的请求进行身份验证。 | |
| 3.1.3 (e) | e) 使用加密保护远程访问设备与机构之间的通信信道，以限制与网络欺骗相关的风险。 | 由于敏感数据可能存在并且为了帮助保护传输中的数据，请确保为 Elastic Load Balancing 启用加密。使用AWS Certificate Manager 管理、预置和部署带有AWS服务和内部资源的公共和私有 SSL/TLS 证书。 | |
| 3.1.3 (g) | g) 维护远程访问通信日志。日志应包括所有远程访问的日期、时间、用户、用户位置、持续时间和目的，包括通过远程访问进行的所有活动 | API Gateway 日志记录显示了访问 API 的用户的详细视图以及他们访问 API 的方式。这种见解可以让用户活动变得可见。 | |
| 3.1.3 (g) | g) 维护远程访问通信日志。日志应包括所有远程访问的日期、时间、用户、用户位置、持续时间和目的，包括通过远程访问进行的所有活动 | CloudWatch 使用亚马逊集中收集和管理日志事件活动。包含AWS CloudTrail 数据可提供您AWS账户内的 API 调用活动的详细信息。 | |
| 3.1.3 (g) | g) 维护远程访问通信日志。日志应包括所有远程访问的日期、时间、用户、用户位置、持续时间和目的，包括通过远程访问进行的所有活动 | AWS CloudTrail 可以通过记录AWS管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用AWS服务的用户和AWS帐户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在AWS CloudTrail 记录内容中查看。 | |
| 3.1.3 (g) | g) 维护远程访问通信日志。日志应包括所有远程访问的日期、时间、用户、用户位置、持续时间和目的，包括通过远程访问进行的所有活动 | Simple Storage Simple Storage Service (Amazon S3) 数据事件的收集有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的AWS账户信息、IP 地址和事件时间。 | |
| 3.1.3 (g) | g) 维护远程访问通信日志。日志应包括所有远程访问的日期、时间、用户、用户位置、持续时间和目的，包括通过远程访问进行的所有活动 | Elastic Load Balancing 活动是环境中的中心通信点。确保启用了 ELB 日志记录。收集的数据提供了有关发送至 ELB 的请求的详细信息。每个日志都包含信息 (例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。 | |
| 3.1.3 (g) | g) 维护远程访问通信日志。日志应包括所有远程访问的日期、时间、用户、用户位置、持续时间和目的，包括通过远程访问进行的所有活动 | AWS CloudTrail 记录AWS管理控制台操作和 API 调用。您可以标识哪些用户和账户调调调调调调调了AWS、源 IP 地址以及调源、调源、调源、调源、调源、调源、调源、调源、调源、调源、调源。 CloudTrail 如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，则会将所有AWS区域的日志文件传输到您的 S3 存储桶。此外，当AWS启动新区域时， CloudTrail 将在新区域中创建相同的路径。因此，您无需采取任何操作即可收到包含新区域的 API 活动的日志文件。 | |
| 3.1.3 (g) | g) 维护远程访问通信日志。日志应包括所有远程访问的日期、时间、用户、用户位置、持续时间和目的，包括通过远程访问进行的所有活动 | Amazon Simple Storage Service (Amazon S3) 服务器访问日志提供了一种监视网络中潜在的网络安全事件的方法。对Amazon S3 桶提出的各种请求。每条访问日志记录都提供有关单个访问请求的详细信息。详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | |
| 3.1.3 (g) | g) 维护远程访问通信日志。日志应包括所有远程访问的日期、时间、用户、用户位置、持续时间和目的，包括通过远程访问进行的所有活动 | VPC 流日志提供有关传入和传出您的 Amazon Virtual Private Cloud (Amazon VPC) 中中中中中中中传入和传出您的 Amazon V 默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。 | |
| 3.1.3 (g) | g) 维护远程访问通信日志。日志应包括所有远程访问的日期、时间、用户、用户位置、持续时间和目的，包括通过远程访问进行的所有活动 | 确保为您的日志组保留最短持续时间的事件日志数据，以帮助进行故障排除和取证调查。缺乏可用的过去事件日志数据使得重建和识别潜在的恶意事件变得困难。 | |
| 3.1.3 (g) | g) 维护远程访问通信日志。日志应包括所有远程访问的日期、时间、用户、用户位置、持续时间和目的，包括通过远程访问进行的所有活动 | 要帮助在环境中进行日志和监控，请确保Amazon Relational Database Service (Amazon RDS) 日志记录已启用 通过 Amazon RDS 日志记录，您可以捕获连接、断开连接、查询或查询表等事件。 | |
| 3.1.3 (g) | g) 维护远程访问通信日志。日志应包括所有远程访问的日期、时间、用户、用户位置、持续时间和目的，包括通过远程访问进行的所有活动 | 为了帮助在您的环境中进行日志记录和监控，请在区域和全球 Web ACL 上启用AWS WAF (V2) 登录。 AWSWAF 日志记录提供有关您的 Web ACL 分析的流量的详细信息。日志记录AWS WAF 从AWS资源收到请求的时间、有关请求的信息以及每个请求所匹配的规则的操作。 | |
| 3.1.3 (g) | g) 维护远程访问通信日志。日志应包括所有远程访问的日期、时间、用户、用户位置、持续时间和目的，包括通过远程访问进行的所有活动 | 要保护静态数据，请确保为您的 Amazon Redshift 集群启用加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录有关数据库中的连接和用户活动的信息。此规则要求为 clusterDbEncrypted （Config 默认值：TRUE）和启用 LoggingEnabled（Config 默认值：TRUE）设置值。实际值应反映贵组织的政策。 | |
| 3.1.3 (g) | g) 维护远程访问通信日志。日志应包括所有远程访问的日期、时间、用户、用户位置、持续时间和目的，包括通过远程访问进行的所有活动 | 确保 Amazon Serv OpenSearch ice 域已启用错误日志并将其传输到 Amazon CloudWatch Logs 以进行保留和响应。域错误日志可以帮助进行安全和访问审计，并可以帮助诊断可用性问题。 | |
| 3.1.3 (g) | g) 维护远程访问通信日志。日志应包括所有远程访问的日期、时间、用户、用户位置、持续时间和目的，包括通过远程访问进行的所有活动 | 确保 Amazon Serv OpenSearch ice 域已启用错误日志并将其传输到 Amazon CloudWatch Logs 以进行保留和响应。 OpenSearch 服务错误日志可以帮助进行安全和访问审计，并可以帮助诊断可用性问题。 | |
| 3.1.3 (i) | i) 对远程访问强制执行双因素身份验证流程（例如，基于个人识别码的令牌卡和一次性随机密码生成器，或基于令牌的 PKI） | 启用此规则以限制对AWS云中资源的访问。该规则可确保对所有用户启用多重身份验证 (MFA)。MFA 在登录凭证之上增加了一层额外的保护。通过要求用户使用 MFA 来减少账户被盗事件。 | |
| 3.1.3 (i) | i) 对远程访问强制执行双因素身份验证流程（例如，基于个人识别码的令牌卡和一次性随机密码生成器，或基于令牌的 PKI） | 通过确保所有拥有控制台密码的Identity and Access ManagemAWS ent (IAM) 用户启用 MFA 来管理对AWS云中资源的访问权限。MFA 在登录凭证之上增加了一层额外的保护。通过要求用户使用 MFA，您可以减少账户被盗事件，并防止未经授权的用户访问敏感数据。 | |
| 3.1.3 (i) | i) 对远程访问强制执行双因素身份验证流程（例如，基于个人识别码的令牌卡和一次性随机密码生成器，或基于令牌的 PKI） | 通过确保为根用户启用硬件 MFA，管理对AWS云中资源的访问权限。根用户是AWS账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户使用 MFA，可以减少AWS账户被入侵的发生。 | |
| 3.1.3 (i) | i) 对远程访问强制执行双因素身份验证流程（例如，基于个人识别码的令牌卡和一次性随机密码生成器，或基于令牌的 PKI） | 通过确保为根用户启用 MFA 来管理对AWS云中资源的访问权限。根用户是AWS账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户使用 MFA，可以减少AWS账户被入侵的发生。 | |
| 3.1.4 (e) | c) 补丁管理流程应包括以下方面：-确定获取和验证补丁的方法，以确保补丁来自授权来源-识别适用于组织使用的应用程序和系统的漏洞-评估实施补丁（或不实施特定补丁）的业务影响-确保补丁经过测试-描述部署补丁的方法，例如自动部署-报告整个组织内补丁部署的状态以及-包括方法处理补丁部署失败的问题（例如，补丁的重新部署）。e) BFI 应为所有有此类工具可用且安全的系统部署自动补丁管理工具和软件更新工具 | 通过使用 SAWS ystems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 实例，可以清点组织内部的软件平台和应用程序。使用AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发行商和版本以及有关您的环境的其他详细信息。 | |
| 3.1.4 (e) | c) 补丁管理流程应包括以下方面：-确定获取和验证补丁的方法，以确保补丁来自授权来源-识别适用于组织使用的应用程序和系统的漏洞-评估实施补丁（或不实施特定补丁）的业务影响-确保补丁经过测试-描述部署补丁的方法，例如自动部署-报告整个组织内补丁部署的状态以及-包括方法处理补丁部署失败的问题（例如，补丁的重新部署）。e) BFI 应为所有有此类工具可用且安全的系统部署自动补丁管理工具和软件更新工具 | 使用AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。 AWSSystems Manager 为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置和有关环境的其他详细信息的基准。 | |
| 3.1.4 (e) | c) 补丁管理流程应包括以下方面：-确定获取和验证补丁的方法，以确保补丁来自授权来源-识别适用于组织使用的应用程序和系统的漏洞-评估实施补丁（或不实施特定补丁）的业务影响-确保补丁经过测试-描述部署补丁的方法，例如自动部署-报告整个组织内补丁部署的状态以及-包括方法处理补丁部署失败的问题（例如，补丁的重新部署）。e) BFI 应为所有有此类工具可用且安全的系统部署自动补丁管理工具和软件更新工具 | 启用此规则可帮助识别和记录详细地记录对 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞进行识别。该规则检查SAWS ystems Manager 中的 Amazon EC2 实例补丁是否符合贵组织的政策和程序的要求。 | |
| 3.1.4 (e) | c) 补丁管理流程应包括以下方面：-确定获取和验证补丁的方法，以确保补丁来自授权来源-识别适用于组织使用的应用程序和系统的漏洞-评估实施补丁（或不实施特定补丁）的业务影响-确保补丁经过测试-描述部署补丁的方法，例如自动部署-报告整个组织内补丁部署的状态以及-包括方法处理补丁部署失败的问题（例如，补丁的重新部署）。e) BFI 应为所有有此类工具可用且安全的系统部署自动补丁管理工具和软件更新工具 | 此规则可确保 Amazon Redshift 集群具有您组织的首选设置。具体而言，他们有首选的数据库维护窗口和自动快照保留期。此规则要求您设置 allowVersionUpgrade. 默认值为 true。它还允许您选择设置 preferredMaintenanceWindow （默认值为星期六：16:00-sat：16:30）和 automatedSnapshotRetention时段（默认值为 1）。实际值应反映贵组织的政策。 | |
| 3.1.4 (e) | c) 补丁管理流程应包括以下方面：-确定获取和验证补丁的方法，以确保补丁来自授权来源-识别适用于组织使用的应用程序和系统的漏洞-评估实施补丁（或不实施特定补丁）的业务影响-确保补丁经过测试-描述部署补丁的方法，例如自动部署-报告整个组织内补丁部署的状态以及-包括方法处理补丁部署失败的问题（例如，补丁的重新部署）。e) BFI 应为所有有此类工具可用且安全的系统部署自动补丁管理工具和软件更新工具 | 为 Amazon Elastic Beanstalk 环境启用托管平台更新可确保安装该环境的最新可用平台修复、更新和功能。及时安装补丁是保护系统的最佳做法。 | |
| 3.1.4 (e) | c) 补丁管理流程应包括以下方面：-确定获取和验证补丁的方法，以确保补丁来自授权来源-识别适用于组织使用的应用程序和系统的漏洞-评估实施补丁（或不实施特定补丁）的业务影响-确保补丁经过测试-描述部署补丁的方法，例如自动部署-报告整个组织内补丁部署的状态以及-包括方法处理补丁部署失败的问题（例如，补丁的重新部署）。e) BFI 应为所有有此类工具可用且安全的系统部署自动补丁管理工具和软件更新工具 | 在您的 Amazon Relational Database Service (RDS) 实例上启用自动次要版本升级，以确保安装关系数据库管理系统 (RDBMS) 的最新次要版本更新，其中可能包括安全补丁和错误修复。 | |
| 3.1.5 (d) | d) 适当的密钥管理需要生成、存档、检索、分发、报废和销毁加密密钥的安全流程 e) 应保护所有加密密钥免遭修改和丢失。此外，需要保护机密和私钥以防止未经授权的使用和泄露。用于生成、存储和存档密钥的设备应受到物理保护 | 为帮助保护静态数据，请确保不计划在密钥管理服务 (KMS) 中删除必要的客户主AWS密AWS钥 (CMK)。由于有时需要删除密钥，因此此规则可以帮助检查所有计划删除的密钥，以防密钥是无意中安排的。 | |
| 3.1.5 (d) | d) 适当的密钥管理需要生成、存档、检索、分发、报废和销毁加密密钥的安全流程 e) 应保护所有加密密钥免遭修改和丢失。此外，需要保护机密和私钥以防止未经授权的使用和泄露。用于生成、存储和存档密钥的设备应受到物理保护 | 启用密钥轮换，确保密钥在加密周期结束后轮换。 | |
| 3.1.5 (d) | d) 适当的密钥管理需要生成、存档、检索、分发、报废和销毁加密密钥的安全流程 e) 应保护所有加密密钥免遭修改和丢失。此外，需要保护机密和私钥以防止未经授权的使用和泄露。用于生成、存储和存档密钥的设备应受到物理保护 | AWSIdentity and Access Management (IAM) 可以帮助您将最低权限和职责分离的原则与访问权限和授权相结合，限制策略包含对所有密AWS钥管理服务密钥的阻止操作。拥有超过完成任务所需的权限可能违反最小权限和职责分离的原则。此规则允许您设置 blockedActionsPatterns 参数。（AWS基础安全最佳实践值：kms: Decrypt，kms:ReEncryptFrom）。实际值应反映贵组织的政策 | |
| 3.1.5 (d) | d) 适当的密钥管理需要生成、存档、检索、分发、报废和销毁加密密钥的安全流程 e) 应保护所有加密密钥免遭修改和丢失。此外，需要保护机密和私钥以防止未经授权的使用和泄露。用于生成、存储和存档密钥的设备应受到物理保护 | 确保IdAWS entity and Access Management (IAM) 用户、IAM 角色或 IAM 群组没有允许对所有AWS密钥管理服务密钥执行封锁操作的内联策略。 AWS建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委派权限管理。此规则允许您设置 blockedActionsPatterns 参数。（AWS基础安全最佳实践值：kms: Decrypt，kms:ReEncryptFrom）。实际值应反映贵组织的政策。 | |
| 3.1.5 (f) | f) 密钥管理系统应基于一套商定的标准、程序和安全方法，用于：-为不同的加密系统和不同的应用程序生成密钥-颁发和获取公钥证书-向预定实体分发密钥，包括在收到密钥时应如何激活密钥-存储密钥，包括授权用户如何获得密钥访问权限-更改或更新密钥，包括何时应更改密钥以及如何更改密钥的规则-处理泄露的密钥-撤销密钥包括如何按键应撤回或停用，例如，当密钥被泄露或用户离开组织时（在这种情况下，密钥也应存档）——恢复丢失或损坏的密钥——备份或存档密钥——销毁密钥，以及——记录和审计与密钥管理相关的活动。 | 为帮助保护静态数据，请确保不计划在密钥管理服务 (KMS) 中删除必要的客户主AWS密AWS钥 (CMK)。由于有时需要删除密钥，因此此规则可以帮助检查所有计划删除的密钥，以防密钥是无意中安排的。 | |
| 3.1.5 (f) | f) 密钥管理系统应基于一套商定的标准、程序和安全方法，用于：-为不同的加密系统和不同的应用程序生成密钥-颁发和获取公钥证书-向预定实体分发密钥，包括在收到密钥时应如何激活密钥-存储密钥，包括授权用户如何获得密钥访问权限-更改或更新密钥，包括何时应更改密钥以及如何更改密钥的规则-处理泄露的密钥-撤销密钥包括如何按键应撤回或停用，例如，当密钥被泄露或用户离开组织时（在这种情况下，密钥也应存档）——恢复丢失或损坏的密钥——备份或存档密钥——销毁密钥，以及——记录和审计与密钥管理相关的活动。 | 启用密钥轮换，确保密钥在加密周期结束后轮换。 | |
| 3.1.5 (f) | f) 密钥管理系统应基于一套商定的标准、程序和安全方法，用于：-为不同的加密系统和不同的应用程序生成密钥-颁发和获取公钥证书-向预定实体分发密钥，包括在收到密钥时应如何激活密钥-存储密钥，包括授权用户如何获得密钥访问权限-更改或更新密钥，包括何时应更改密钥以及如何更改密钥的规则-处理泄露的密钥-撤销密钥包括如何按键应撤回或停用，例如，当密钥被泄露或用户离开组织时（在这种情况下，密钥也应存档）——恢复丢失或损坏的密钥——备份或存档密钥——销毁密钥，以及——记录和审计与密钥管理相关的活动。 | 通过确保 X509 证书由AWS ACM 颁发，确保网络完整性得到保护。这些证书必须有效且未过期。此规则要求的值为 daysToExpiration （AWS基础安全最佳实践值：90）。实际价值应反映贵组织的政策。 | |
| 3.1.5 (f) | f) 密钥管理系统应基于一套商定的标准、程序和安全方法，用于：-为不同的加密系统和不同的应用程序生成密钥-颁发和获取公钥证书-向预定实体分发密钥，包括在收到密钥时应如何激活密钥-存储密钥，包括授权用户如何获得密钥访问权限-更改或更新密钥，包括何时应更改密钥以及如何更改密钥的规则-处理泄露的密钥-撤销密钥包括如何按键应撤回或停用，例如，当密钥被泄露或用户离开组织时（在这种情况下，密钥也应存档）——恢复丢失或损坏的密钥——备份或存档密钥——销毁密钥，以及——记录和审计与密钥管理相关的活动。 | 由于敏感数据可能存在并且为了帮助保护传输中的数据，请确保为 Elastic Load Balancing 启用加密。使用AWS Certificate Manager 管理、预置和部署带有AWS服务和内部资源的公共和私有 SSL/TLS 证书。 | |
| 3.1.5 (f) | f) 密钥管理系统应基于一套商定的标准、程序和安全方法，用于：-为不同的加密系统和不同的应用程序生成密钥-颁发和获取公钥证书-向预定实体分发密钥，包括在收到密钥时应如何激活密钥-存储密钥，包括授权用户如何获得密钥访问权限-更改或更新密钥，包括何时应更改密钥以及如何更改密钥的规则-处理泄露的密钥-撤销密钥包括如何按键应撤回或停用，例如，当密钥被泄露或用户离开组织时（在这种情况下，密钥也应存档）——恢复丢失或损坏的密钥——备份或存档密钥——销毁密钥，以及——记录和审计与密钥管理相关的活动。 | AWS CloudTrail 可以通过记录AWS管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用AWS服务的用户和AWS帐户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在AWS CloudTrail 记录内容中查看。 | |
| 3.1.5 (f) | f) 密钥管理系统应基于一套商定的标准、程序和安全方法，用于：-为不同的加密系统和不同的应用程序生成密钥-颁发和获取公钥证书-向预定实体分发密钥，包括在收到密钥时应如何激活密钥-存储密钥，包括授权用户如何获得密钥访问权限-更改或更新密钥，包括何时应更改密钥以及如何更改密钥的规则-处理泄露的密钥-撤销密钥包括如何按键应撤回或停用，例如，当密钥被泄露或用户离开组织时（在这种情况下，密钥也应存档）——恢复丢失或损坏的密钥——备份或存档密钥——销毁密钥，以及——记录和审计与密钥管理相关的活动。 | AWS CloudTrail 记录AWS管理控制台操作和 API 调用。您可以标识哪些用户和账户调调调调调调调了AWS、源 IP 地址以及调源、调源、调源、调源、调源、调源、调源、调源、调源、调源、调源。 CloudTrail 如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，则会将所有AWS区域的日志文件传输到您的 S3 存储桶。此外，当AWS启动新区域时， CloudTrail 将在新区域中创建相同的路径。因此，您无需采取任何操作即可收到包含新区域的 API 活动的日志文件。 | |
| 3.1.5 (f) | f) 密钥管理系统应基于一套商定的标准、程序和安全方法，用于：-为不同的加密系统和不同的应用程序生成密钥-颁发和获取公钥证书-向预定实体分发密钥，包括在收到密钥时应如何激活密钥-存储密钥，包括授权用户如何获得密钥访问权限-更改或更新密钥，包括何时应更改密钥以及如何更改密钥的规则-处理泄露的密钥-撤销密钥包括如何按键应撤回或停用，例如，当密钥被泄露或用户离开组织时（在这种情况下，密钥也应存档）——恢复丢失或损坏的密钥——备份或存档密钥——销毁密钥，以及——记录和审计与密钥管理相关的活动。 | 由于敏感数据可能存在并且为了帮助保护传输中的数据，请确保为 Elastic Load Balancing 启用加密。使用AWS Certificate Manager 管理、预置和部署带有AWS服务和内部资源的公共和私有 SSL/TLS 证书。 | |
| 3.1.1 | a) BFI应结合使用自动化工具和手动技术，定期进行全面的VA。对于基于 Web 的外部系统，VA 的范围应包括 SQL 注入和跨站点脚本。 | 亚马逊 GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 和机器学习列表，用于标识您AWS Cloud 环境中意外的和未经授权的恶意活动。 | |
| 3.1.1 | a) BFI应结合使用自动化工具和手动技术，定期进行全面的VA。对于基于 Web 的外部系统，VA 的范围应包括 SQL 注入和跨站点脚本。 | 确保在弹性负载均衡器 (ELB) 上启用AWS WAF 以帮助保护 Web 应用程序。WAF 有助于保护您的 Web 应用程序或 API 免遭常见 Web 漏洞的攻击。这些网络漏洞可能会影响可用性、损害安全性或消耗环境中的可用性、损害安全性或消耗过多的资源。 | |
| 3.1.1 | a) BFI应结合使用自动化工具和手动技术，定期进行全面的VA。对于基于 Web 的面向外部的系统，VA 的范围应包括常见的 Web 漏洞，例如 SQL 注入和跨站点脚本。 | AWS通过在 WAF，您可以配置一组规则（称为 Web 访问控制列表，即 Web ACL），基于可自定义的 Web 安全规则以及您定义的条件，允许、阻止或统计 Web 请求。确保您的Amazon API Gateway 阶段与 WAF Web ACL 相关联，以保护其免受恶意攻击 | |
| 3.1.3 (c) | c) BFI应制定补救VA和PT中发现的问题的流程，并随后对补救措施进行重新验证，以确认差距已得到完全解决。 | vuln-mitigated-accepted（过程检查） | 确保修复新发现的漏洞或将其记录为可接受的风险。应根据贵组织的合规性要求对漏洞进行补救或接受为风险。 |
| 3.1.6 (f) | (f) 安保职能部门应就每个部/司尚未缓解的关键漏洞数量提供最新情况，并定期计划缓解高级管理层面临的风险 | 亚马逊通过按严重程度对调查结果进行分类：低、中和高，来 GuardDuty 帮助您了解事件的影响。您可以使用这些分类来确定补救策略和优先级。此规则允许您根据组织策略的要求选择性地为非存档的调查结果设置 daysMediumSev （Config 默认值：30）、 daysHighSev （Config 默认值：7）和（Config 默认值：1）。 daysLowSev | |
| 3.1.8 | 用户培训和意识 | security-awareness-program-exists（过程检查） | 为您的组织建立和维护安全意识计划。安全意识计划教育员工如何保护其组织免受各种安全漏洞或事件的侵害。 |
| 3.10 (b) | b) 诸如系统文档、应用程序源代码和生产交易数据之类的敏感信息应具有更广泛的控制措施以防篡改（例如，完整性检查器、加密哈希）。此外，政策应尽量减少敏感信息的分发，包括包含该信息的打印件。 | 由于敏感数据可能存在，为了帮助保护静态数据，请确保为您的AWS CloudTrail 跟踪启用加密。 | |
| 3.10 (b) | b) 诸如系统文档、应用程序源代码和生产交易数据之类的敏感信息应具有更广泛的控制措施以防篡改（例如，完整性检查器、加密哈希）。此外，政策应尽量减少敏感信息的分发，包括包含该信息的打印件。 | 为帮助保护静态敏感数据，请确保对您的亚马逊 CloudWatch 日志组启用加密。 | |
| 3.1.10 (b) | b) 诸如系统文档、应用程序源代码和生产交易数据之类的敏感信息应具有更广泛的控制措施以防篡改（例如，完整性检查器、加密哈希）。此外，政策应尽量减少敏感信息的分发，包括包含该信息的打印件。 | 利用AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 传送后是否被修改或删除或未更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这样，要修改、删除或伪造 CloudTrail 日志文件而不被检测到在计算上是不可行的。 | |
| 3.1.10 (b) | b) 诸如系统文档、应用程序源代码和生产交易数据之类的敏感信息应具有更广泛的控制措施以防篡改（例如，完整性检查器、加密哈希）。此外，政策应尽量减少敏感信息的分发，包括包含该信息的打印件。 | 由于敏感数据可能存在并且为了帮助保护静态数据，请确保为您的 Amazon Elastic File System (EFS) 启用加密。 | |
| 3.1.10 (b) | b) 诸如系统文档、应用程序源代码和生产交易数据之类的敏感信息应具有更广泛的控制措施以防篡改（例如，完整性检查器、加密哈希）。此外，政策应尽量减少敏感信息的分发，包括包含该信息的打印件。 | 由于敏感数据可能存在并且为了帮助保护静态数据，请确保对您的亚马逊 OpenSearch 服务（OpenSearch 服务）域启用加密。 | |
| 3.1.10 (b) | b) 诸如系统文档、应用程序源代码和生产交易数据之类的敏感信息应具有更广泛的控制措施以防篡改（例如，完整性检查器、加密哈希）。此外，政策应尽量减少敏感信息的分发，包括包含该信息的打印件。 | 由于敏感数据可能存在并且为了帮助保护静态数据，请确保对您的亚马逊 OpenSearch 服务域启用加密。 | |
| 3.1.10 (b) | b) 诸如系统文档、应用程序源代码和生产交易数据之类的敏感信息应具有更广泛的控制措施以防篡改（例如，完整性检查器、加密哈希）。此外，政策应尽量减少敏感信息的分发，包括包含该信息的打印件。 | 由于敏感数据可以存在并且为了保护静态数据，请确保为您的 Amazon Elastic Block Store (Amazon EBS) 卷启用加密。 | |
| 3.1.10 (b) | b) 诸如系统文档、应用程序源代码和生产交易数据之类的敏感信息应具有更广泛的控制措施以防篡改（例如，完整性检查器、加密哈希）。此外，政策应尽量减少敏感信息的分发，包括包含该信息的打印件。 | 为了帮助保护静态数据，请确保对Amazon Relational Database Service (Amazon RDS) 实例启用加密。由于敏感数据可能静态存在于 Amazon RDS 实例中，因此启用静态加密以帮助保护这些数据。 | |
| 3.1.10 (b) | b) 诸如系统文档、应用程序源代码和生产交易数据之类的敏感信息应具有更广泛的控制措施以防篡改（例如，完整性检查器、加密哈希）。此外，政策应尽量减少敏感信息的分发，包括包含该信息的打印件。 | 要保护静态数据，请确保为您的 Amazon Redshift 集群启用加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录有关数据库中的连接和用户活动的信息。此规则要求为 clusterDbEncrypted （Config 默认值：TRUE）和启用 LoggingEnabled（Config 默认值：TRUE）设置值。实际值应反映贵组织的政策。 | |
| 3.1.10 (b) | b) 诸如系统文档、应用程序源代码和生产交易数据之类的敏感信息应具有更广泛的控制措施以防篡改（例如，完整性检查器、加密哈希）。此外，政策应尽量减少敏感信息的分发，包括包含该信息的打印件。 | 为帮助保护静态数据，请确保已为 Amazon Simple Storage SimpSimple Storage Service (Amazon S3) imple 由于敏感数据可能静态存在于 Amazon S3 存储桶中，因此启用加密以帮助保护这些数据。 | |
| 3.1.10 (b) | b) 诸如系统文档、应用程序源代码和生产交易数据之类的敏感信息应具有更广泛的控制措施以防篡改（例如，完整性检查器、加密哈希）。此外，政策应尽量减少敏感信息的分发，包括包含该信息的打印件。 | 为帮助保护静态数据，请确保您的 SageMaker 终端节点启用了AWS密钥管理服务 (AWSKMS) 加密。由于敏感数据可能静态存在于 SageMaker 端点中，因此启用静态加密以帮助保护这些数据。 | |
| 3.1.10 (b) | b) 诸如系统文档、应用程序源代码和生产交易数据之类的敏感信息应具有更广泛的控制措施以防篡改（例如，完整性检查器、加密哈希）。此外，政策应尽量减少敏感信息的分发，包括包含该信息的打印件。 | 为帮助保护静态数据，请确保您的 SageMaker 笔记本电脑启用了AWS密钥管理服务 (AWSKMS) 加密。由于敏感数据可能静态存在于 SageMaker 笔记本电脑中，因此启用静态加密以帮助保护这些数据。 | |
| 3.1.10 (b) | b) 诸如系统文档、应用程序源代码和生产交易数据之类的敏感信息应具有更广泛的控制措施以防篡改（例如，完整性检查器、加密哈希）。此外，政策应尽量减少敏感信息的分发，包括包含该信息的打印件。 | 为了帮助保护静态数据，请确保您的亚马逊Simple Notification Service (Amazon SNS) 主题需要使用AWS密钥管理服务 (AWSKMS) 进行加密。由于敏感数据可能静态存在于已发布的消息中，因此启用静态加密以帮助保护这些数据。 | |
| 3.1.10 (b) | b) 诸如系统文档、应用程序源代码和生产交易数据之类的敏感信息应具有更广泛的控制措施以防篡改（例如，完整性检查器、加密哈希）。此外，政策应尽量减少敏感信息的分发，包括包含该信息的打印件。 | 为了帮助保护静态数据，请确保已为 Amazon EBS（Amazon EBS）卷启用加密。由于敏感数据可能静态存在于这些卷中，因此启用静态加密以帮助保护这些数据。 | |
| 3.1.10 (b) | b) 诸如系统文档、应用程序源代码和生产交易数据之类的敏感信息应具有更广泛的控制措施以防篡改（例如，完整性检查器、加密哈希）。此外，政策应尽量减少敏感信息的分发，包括包含该信息的打印件。 | 确保您的Amazon Relational Database Service (Amazon RDS) 快照的加密 由于敏感数据可能处于静态状态，因此启用静态加密以帮助保护这些数据。 | |
| 3.1.10 (b) | b) 诸如系统文档、应用程序源代码和生产交易数据之类的敏感信息应具有更广泛的控制措施以防篡改（例如，完整性检查器、加密哈希）。此外，政策应尽量减少敏感信息的分发，包括包含该信息的打印件。 | 确保已为 Amazon Simple Storage SimSimple Storage Service (Amazon S3) 由于敏感数据可能静态存在于 Amazon S3 存储桶中，因此启用静态加密以帮助保护这些数据。 | |
| 3.1.10 (b) | b) 诸如系统文档、应用程序源代码和生产交易数据之类的敏感信息应具有更广泛的控制措施以防篡改（例如，完整性检查器、加密哈希）。此外，政策应尽量减少敏感信息的分发，包括包含该信息的打印件。 | 为了帮助保护静态数据，请确保为您的 API Gateway 阶段的缓存启用了加密。由于可以捕获 API 方法的敏感数据，因此启用静态加密以帮助保护这些数据。 | |
| 3.1.10 (b) | b) 诸如系统文档、应用程序源代码和生产交易数据之类的敏感信息应具有更广泛的控制措施以防篡改（例如，完整性检查器、加密哈希）。此外，政策应尽量减少敏感信息的分发，包括包含该信息的打印件。 | 确保已对您的Amazon DynamoDB ath Pith 表启用加密。由于敏感数据可能静态存在于这些表中，因此启用静态加密以帮助保护这些数据。默认情况下，DynamoDB 表使用AWS拥有的客户主密钥 (CMK) 加密。 | |
| 3.1.10 (b) | b) 诸如系统文档、应用程序源代码和生产交易数据之类的敏感信息应具有更广泛的控制措施以防篡改（例如，完整性检查器、加密哈希）。此外，政策应尽量减少敏感信息的分发，包括包含该信息的打印件。 | 为了帮助保护静态数据，请确保为您的 Amazon Redshift 集群启用了AWS密钥管理服务 (AWSKMS) 加密。由于敏感数据可能静态存在于 Redshift 集群中，因此启用静态加密以帮助保护这些数据。 | |
| 3.1.10 (b) | b) 诸如系统文档、应用程序源代码和生产交易数据之类的敏感信息应具有更广泛的控制措施以防篡改（例如，完整性检查器、加密哈希）。此外，政策应尽量减少敏感信息的分发，包括包含该信息的打印件。 | 为了帮助保护静态数据，请确保为 SAWS ecrets Manager 机密启用了密AWS钥管理服务 (AWSKMS) 加密。由于敏感数据可能静态存在于 Secrets Manager 机密中，因此启用静态加密以帮助保护这些数据。 | |
| 3.2.1 | h) 为了最大限度地降低与变更相关的风险，BFI 应在变更之前对受影响的系统或应用程序进行备份。BFI 应制定回滚计划，以便在部署期间或部署之后遇到问题时恢复到系统或应用程序的先前版本。 | Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 会自动创建数据库实例的存储卷快照，并备份整个数据库实例。该系统允许您设置特定的保留期以满足您的弹性要求。 | |
| 3.2.1 | h) 为了最大限度地降低与变更相关的风险，BFI 应在变更之前对受影响的系统或应用程序进行备份。BFI 应制定回滚计划，以便在部署期间或部署之后遇到问题时恢复到系统或应用程序的先前版本。 | 启用此规则以检查信息是否已备份。它还通过确保在 Amazon DynamoDB 中启用 point-in-time 恢复来维护备份。恢复操作会保持表在过去 35 天内的连续备份。 | |
| 3.2.1 | h) 为了最大限度地降低与变更相关的风险，BFI 应在变更之前对受影响的系统或应用程序进行备份。BFI 应制定回滚计划，以便在部署期间或部署之后遇到问题时恢复到系统或应用程序的先前版本。 | Amazon Elastic Block Store (Amazon EBS) 中的实例提供了额外的专用容量，可用于 Amazon EBS I/O 操作。这种优化通过最小化 Amazon EBS I/O 操作与来自您实例的其他流量之间的争用，为您的 EBS 卷提供最高效的性能。 | |
| 3.2.1 | h) 为了最大限度地降低与变更相关的风险，BFI 应在变更之前对受影响的系统或应用程序进行备份。BFI 应制定回滚计划，以便在部署期间或部署之后遇到问题时恢复到系统或应用程序的先前版本。 | 启用自动备份后，Amazon ElastiCache 会每天为集群创建一个备份。备份可以保留您的组织指定的天数。自动备份可以帮助防止数据丢失。如果发生故障，您可以创建一个新集群，该集群会从最新的备份中恢复数据。 | |
| 3.2.1 | h) 为了最大限度地降低与变更相关的风险，BFI 应在变更之前对受影响的系统或应用程序进行备份。BFI 应制定回滚计划，以便在部署期间或部署之后遇到问题时恢复到系统或应用程序的先前版本。 | Amazon Simple Storage Service (Amazon S3) 支持跨区域复制 (CRR) 支持支持支持支持支持跨区域复制 CRR 支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持 | |
| 3.2.1 | h) 为了最大限度地降低与变更相关的风险，BFI 应在变更之前对受影响的系统或应用程序进行备份。BFI 应制定回滚计划，以便在部署期间或部署之后遇到问题时恢复到系统或应用程序的先前版本。 | Amazon Simple Storage Service (Amazon S3) 存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。使用版本控制功能来保存、检索和还原存储在 Amazon S3 桶中存储的每个对象的各个版本。版本控制功能可帮助您轻松的从用户意外操作和应用程序故障中恢复。 | |
| 3.2.1 | h) 为了最大限度地降低与变更相关的风险，BFI 应在变更之前对受影响的系统或应用程序进行备份。BFI 应制定回滚计划，以便在部署期间或部署之后遇到问题时恢复到系统或应用程序的先前版本。 | 为了帮助完成数据备份流程，请确保您的 Amazon DynamoDB 表是BacAWS kup 计划的一部分。 AWSBackup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案简化了您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| 3.2.1 | h) 为了最大限度地降低与变更相关的风险，BFI 应在变更之前对受影响的系统或应用程序进行备份。BFI 应制定回滚计划，以便在部署期间或部署之后遇到问题时恢复到系统或应用程序的先前版本。 | 要帮助数据备份流程，请确保将 Amazon Elastic Block Store (Amazon EBS) 卷作为BAWS ackup 计划的一部分。 AWSBackup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案简化了您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| 3.2.1 | h) 为了最大限度地降低与变更相关的风险，BFI 应在变更之前对受影响的系统或应用程序进行备份。BFI 应制定回滚计划，以便在部署期间或部署之后遇到问题时恢复到系统或应用程序的先前版本。 | 为了帮助完成数据备份流程，请确保您的Amazon Elastic File System (Amazon EFS) 文件系统是AWS Backup 计划的一部分。 AWSBackup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案简化了您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| 3.2.1 | h) 为了最大限度地降低与变更相关的风险，BFI 应在变更之前对受影响的系统或应用程序进行备份。BFI 应制定回滚计划，以便在部署期间或部署之后遇到问题时恢复到系统或应用程序的先前版本。 | 为了帮助完成数据备份流程，请确保您的Amazon Relational Database Service (Amazon RDS) 实例是AWS Backup 计划的一部分。 AWSBackup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案简化了您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| 3.2.1 | h) 为了最大限度地降低与变更相关的风险，BFI 应在变更之前对受影响的系统或应用程序进行备份。BFI 应制定回滚计划，以便在部署期间或部署之后遇到问题时恢复到系统或应用程序的先前版本。 | 为了帮助完成数据备份流程，请确保您的 Amazon Redshift 集群有自动快照。当某个集群的自动快照处于启用状态时，Redshift 会定期拍摄该集群的快照。默认情况下，Redshift 每 8 小时或每 5 GB 数据更改时拍摄一次快照，以先到者为准。 | |
| 3.2.1 | k) 审计和安全日志是有用的信息，有助于调查和故障排除。BFI 应确保启用日志记录工具，以记录在迁移过程中执行的活动。 | API Gateway 日志记录显示了访问 API 的用户的详细视图以及他们访问 API 的方式。这种见解可以让用户活动变得可见。 | |
| 3.2.1 | k) 审计和安全日志是有用的信息，有助于调查和故障排除。BFI 应确保启用日志记录工具，以记录在迁移过程中执行的活动。 | CloudWatch 使用亚马逊集中收集和管理日志事件活动。包含AWS CloudTrail 数据可提供您AWS账户内的 API 调用活动的详细信息。 | |
| 3.2.1 | k) 审计和安全日志是有用的信息，有助于调查和故障排除。BFI 应确保启用日志记录工具，以记录在迁移过程中执行的活动。 | AWS CloudTrail 可以通过记录AWS管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用AWS服务的用户和AWS帐户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在AWS CloudTrail 记录内容中查看。 | |
| 3.2.1 | k) 审计和安全日志是有用的信息，有助于调查和故障排除。BFI 应确保启用日志记录工具，以记录在迁移过程中执行的活动。 | Simple Storage Simple Storage Service (Amazon S3) 数据事件的收集有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的AWS账户信息、IP 地址和事件时间。 | |
| 3.2.1 | k) 审计和安全日志是有用的信息，有助于调查和故障排除。BFI 应确保启用日志记录工具，以记录在迁移过程中执行的活动。 | Elastic Load Balancing 活动是环境中的中心通信点。确保启用了 ELB 日志记录。收集的数据提供了有关发送至 ELB 的请求的详细信息。每个日志都包含信息 (例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。 | |
| 3.2.1 | k) 审计和安全日志是有用的信息，有助于调查和故障排除。BFI 应确保启用日志记录工具，以记录在迁移过程中执行的活动。 | AWS CloudTrail 记录AWS管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了AWS、从中发出调用的源 IP 地址以及调用的源 IP 地址以及调用的源 IP 地址以及调用的源 IP 地址以及调用的源 IP 地址以及调用的源 IP 地址以及调用了 CloudTrail 如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，则会将所有AWS区域的日志文件传输到您的 S3 存储桶。此外，当AWS启动新区域时， CloudTrail 将在新区域中创建相同的路径。因此，您无需采取任何操作即可收到包含新区域的 API 活动的日志文件。 | |
| 3.2.1 | k) 审计和安全日志是有用的信息，有助于调查和故障排除。BFI 应确保启用日志记录工具，以记录在迁移过程中执行的活动。 | Amazon Simple Storage Service (Amazon S3) 服务器访问日志提供了一种监视网络中潜在的网络安全事件的方法。对Amazon S3 桶提出的各种请求。每条访问日志记录都提供有关单个访问请求的详细信息。详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | |
| 3.2.1 | k) 审计和安全日志是有用的信息，有助于调查和故障排除。BFI 应确保启用日志记录工具，以记录在迁移过程中执行的活动。 | VPC 流日志提供有关传入和传出您的 Amazon Virtual Private Cloud (Amazon VPC) 中中中中中中中传入和传出您的 Amazon V 默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。 | |
| 3.2.1 | k) 审计和安全日志是有用的信息，有助于调查和故障排除。BFI 应确保启用日志记录工具，以记录在迁移过程中执行的活动。 | 确保为您的日志组保留最短持续时间的事件日志数据，以帮助进行故障排除和取证调查。缺乏可用的过去事件日志数据使得重建和识别潜在的恶意事件变得困难。 | |
| 3.2.1 | k) 审计和安全日志是有用的信息，有助于调查和故障排除。BFI 应确保启用日志记录工具，以记录在迁移过程中执行的活动。 | 要帮助在环境中进行日志和监控，请确保Amazon Relational Database Service (Amazon RDS) 日志记录已启用 通过 Amazon RDS 日志记录，您可以捕获连接、断开连接、查询或查询表等事件。 | |
| 3.2.1 | k) 审计和安全日志是有用的信息，有助于调查和故障排除。BFI 应确保启用日志记录工具，以记录在迁移过程中执行的活动。 | 为了帮助在您的环境中进行日志记录和监控，请在区域和全球 Web ACL 上启用AWS WAF (V2) 登录。 AWSWAF 日志记录提供有关您的 Web ACL 分析的流量的详细信息。日志记录AWS WAF 从AWS资源收到请求的时间、有关请求的信息以及每个请求所匹配的规则的操作。 | |
| 3.2.1 | k) 审计和安全日志是有用的信息，有助于调查和故障排除。BFI 应确保启用日志记录工具，以记录在迁移过程中执行的活动。 | 要保护静态数据，请确保为您的 Amazon Redshift 集群启用加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录有关数据库中的连接和用户活动的信息。此规则要求为 clusterDbEncrypted （Config 默认值：TRUE）和启用 LoggingEnabled（Config 默认值：TRUE）设置值。实际值应反映贵组织的政策。 | |
| 3.2.1 | k) 审计和安全日志是有用的信息，有助于调查和故障排除。BFI 应确保启用日志记录工具，以记录在迁移过程中执行的活动。 | 确保 Amazon Serv OpenSearch ice 域已启用错误日志并将其传输到 Amazon CloudWatch Logs 以进行保留和响应。域错误日志可以帮助进行安全和访问审计，并可以帮助诊断可用性问题。 | |
| 3.2.1 | k) 审计和安全日志是有用的信息，有助于调查和故障排除。BFI 应确保启用日志记录工具，以记录在迁移过程中执行的活动。 | 确保 Amazon Serv OpenSearch ice 域已启用错误日志并将其传输到 Amazon CloudWatch Logs 以进行保留和响应。 OpenSearch 服务错误日志可以帮助进行安全和访问审计，并可以帮助诊断可用性问题。 | |
| 3.2.1 | a) 制定和实施预防、检测、分析和应对信息安全事件的流程。 | 亚马逊 GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 和机器学习列表，用于标识您AWS Cloud 环境中意外的和未经授权的恶意活动。 | |
| 3.2.1 | a) 制定和实施预防、检测、分析和应对信息安全事件的流程。 | AWSSecurity Hub 有助于监控未经授权的人员、连接、设备和软件。 AWSSecurity Hub 可以聚合、组织和优先处理来自多个AWS服务的安全告警或结果。其中一些服务包括亚马逊Security Hub、Amazon Inspector、Amazon Macie、IdentAWS ity and Access Management (IAM) 访问分析器和FiAWS rewall Manager 以及AWS合作伙伴解决方案。 | |
| 3.3.3.3.3.3.3.3.3.3.1 | a) 作为系统设计的一部分，考虑与保持高系统可用性、足够容量、可靠性能、快速响应时间、可扩展性相关的重要因素。 | Amazon DynamoDB Auto Scaling 使用 Application Auto Scaling 服务来标识AWS应用程序Auto Scaling 服务来 这将允许表或全局二级索引增大其预置的读取/写入容量以处理突发流量，而不进行限制。 | |
| 3.3.3.3.3.3.3.3.3.3.1 | a) 作为系统设计的一部分，考虑与保持高系统可用性、足够容量、可靠性能、快速响应时间、可扩展性相关的重要因素。 | 启用此规则以检查信息是否已备份。它还通过确保在 Amazon DynamoDB 中启用 point-in-time 恢复来维护备份。恢复操作会保持表在过去 35 天内的连续备份。 | |
| 3.3.3.3.3.3.3.3.3.3.1 | a) 作为系统设计的一部分，考虑与保持高系统可用性、足够容量、可靠性能、快速响应时间、可扩展性相关的重要因素。 | Amazon Elastic Block Store (Amazon EBS) 中的实例提供了额外的专用容量，可用于 Amazon EBS I/O 操作。这种优化通过最小化 Amazon EBS I/O 操作与来自您实例的其他流量之间的争用，为您的 EBS 卷提供最高效的性能。 | |
| 3.3.3.3.3.3.3.3.3.3.1 | a) 作为系统设计的一部分，考虑与保持高系统可用性、足够容量、可靠性能、快速响应时间、可扩展性相关的重要因素。 | 该规则可确保Elastic Load Balancing 已启用删除保护。使用此功能可以防止您的负载均衡器被意外或恶意删除，这可能会导致应用程序的可用性丧失。 | |
| 3.3.3.3.3.3.3.3.3.3.1 | a) 作为系统设计的一部分，考虑与保持高系统可用性、足够容量、可靠性能、快速响应时间、可扩展性相关的重要因素。 | Amazon Relational Database Service (Amazon RDS) 中的多可用区支持提供了增强的数据库实例的可用性和持久 在您预置多可用区数据库实例时，Amazon RDS 会自动创建主数据库实例，并将数据同步复制到其他可用区中的备用实例。每个可用区都在其自身物理上独立、独立的基础设施上运行，并且经过精心设计，具有高度的可靠性。如果基础设施出现故障，Amazon RDS 会自动故障转移到备用服务器，这样您就可以在故障转移完成后立即恢复数据库操作。 | |
| 3.3.3.3.3.3.3.3.3.3.1 | a) 作为系统设计的一部分，考虑与保持高系统可用性、足够容量、可靠性能、快速响应时间、可扩展性相关的重要因素。 | Amazon Simple Storage Service (Amazon S3) 支持跨区域复制 (CRR) 支持支持支持支持支持跨区域复制 CRR 支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持 | |
| 3.3.3.3.3.3.3.3.3.3.1 | a) 作为系统设计的一部分，考虑与保持高系统可用性、足够容量、可靠性能、快速响应时间、可扩展性相关的重要因素。 | Amazon Simple Storage Service (Amazon S3) 存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。使用版本控制功能来保存、检索和还原存储在 Amazon S3 桶中存储的每个对象的各个版本。版本控制功能可帮助您轻松的从用户意外操作和应用程序故障中恢复。 | |
| 3.3.3.3.3.3.3.3.3.3.1 | a) 作为系统设计的一部分，考虑与保持高系统可用性、足够容量、可靠性能、快速响应时间、可扩展性相关的重要因素。 | 可以实施冗余的Site-to-Site VPN 隧道来满足弹性要求。如果其中一个站点到站点 VPN 连接不可用，它使用两个隧道来帮助确保连接。要避免因您的客户网关变得不可用而造成连接中断，您可使用第二个客户网关来为您的 Amazon 虚拟私有云（Amazon VPN）和虚拟私有网关设置第二个站点到站点 VPC PN 连接。 | |
| 3.3.3.3.3.3.3.3.3.3.1 | a) 作为系统设计的一部分，考虑与保持高系统可用性、足够容量、可靠性能、快速响应时间、可扩展性相关的重要因素。 | 为您的弹性负载均衡器 (ELB) 启用跨区域负载均衡，以帮助保持足够的容量和可用性。跨区域负载均衡可降低在每个已启用的可用区中维持相同数量实例的需求。它还提高应用程序处理一个或多个实例丢失情况的能力。 | |
| 3.3.3.3.3.3.3.3.3.3.1 | a) 作为系统设计的一部分，考虑与保持高系统可用性、足够容量、可靠性能、快速响应时间、可扩展性相关的重要因素。 | 确保 Amazon Relational Database Service (Amazon RDS) 使用删除保护来防止 Amazon RDS 实例被意外或恶意删除，这可能会导致您的应用程序失去可用性。 | |
| 3.3.3.3.3.3.3.3.3.3.1 | a) 作为系统设计的一部分，考虑与保持高系统可用性、足够容量、可靠性能、快速响应时间、可扩展性相关的重要因素。 | Amazon EElastic Load Balancer Compute Cloud (Amazon EC2) Auto Scaling 组的Elastic Lod (ELB) 运行状况检查支持保持足够的容量和可用 负载均衡器会定期发送 ping、尝试进行连接或发送请求来测试 Amazon EC2 实例运行状况以测试 Amazon auto-scaling 2 实例运行状况。如果实例未报告，则流量将发送到新的 Amazon EC2 实例。 | |
| 3.3.3.3.3.3.3.3.3.3.1 | a) 作为系统设计的一部分，考虑与保持高系统可用性、足够容量、可靠性能、快速响应时间、可扩展性相关的重要因素。 | 启用此规则可确保检查您的 Amazon DynamoDB 表上的预置吞吐容量。这是每个表可以支持的读取/写入活动量。DynamoDB 使用这些信息来预留足够的系统资源，以满足吞吐量需求。当吞吐量接近客户账户的最大限制时，此规则会生成警报。此规则允许您选择性地设置 accountRCUThresholdPercentage （Config 默认值：80）和 accountWCUThresholdPercentage （Config 默认值：80）参数。实际值应反映贵组织的政策。 | |
| 3.3.3.3.3.3.3.3.3.3.1 | a) 作为系统设计的一部分，考虑与保持高系统可用性、足够容量、可靠性能、快速响应时间、可扩展性相关的重要因素。 | 此规则确保建立 Lambda 函数的并发上限和下限。这可以帮助确定您的函数在任何给定时间所服务的请求的数目。 | |
| 3.4 (a) (b) (c) (f) (j) | a) 确保对用户访问记录进行唯一识别和记录，以用于审计和审查目的。b) 实行问责制，并记录未经授权访问的识别情况。c) 启用对特权用户执行的系统活动的审核记录。f) 确保应用适当的日志记录和监控，以记录和检测可能影响或与信息安全相关的操作。j) 确保事件记录为能够生成合并报告的自动监控系统奠定基础并开启警报系统安全。 | API Gateway 日志记录显示了访问 API 的用户的详细视图以及他们访问 API 的方式。这种见解可以让用户活动变得可见。 | |
| 3.4 (a) (b) (c) (f) (j) | a) 确保对用户访问记录进行唯一识别和记录，以用于审计和审查目的。b) 实行问责制，并记录未经授权访问的识别情况。c) 启用对特权用户执行的系统活动的审核记录。f) 确保应用适当的日志记录和监控，以记录和检测可能影响或与信息安全相关的操作。j) 确保事件记录为能够生成合并报告的自动监控系统奠定基础并开启警报系统安全。 | CloudWatch 使用亚马逊集中收集和管理日志事件活动。包含AWS CloudTrail 数据可提供您AWS账户内的 API 调用活动的详细信息。 | |
| 3.4 (a) (b) (c) (f) (j) | a) 确保对用户访问记录进行唯一识别和记录，以用于审计和审查目的。b) 实行问责制，并记录未经授权访问的识别情况。c) 启用对特权用户执行的系统活动的审核记录。f) 确保应用适当的日志记录和监控，以记录和检测可能影响或与信息安全相关的操作。j) 确保事件记录为能够生成合并报告的自动监控系统奠定基础并开启警报系统安全。 | AWS CloudTrail 可以通过记录AWS管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用AWS服务的用户和AWS帐户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在AWS CloudTrail 记录内容中查看。 | |
| 3.4 (a) (b) (c) (f) (j) | a) 确保对用户访问记录进行唯一识别和记录，以用于审计和审查目的。b) 实行问责制，并记录未经授权访问的识别情况。c) 启用对特权用户执行的系统活动的审核记录。f) 确保应用适当的日志记录和监控，以记录和检测可能影响或与信息安全相关的操作。j) 确保事件记录为能够生成合并报告的自动监控系统奠定基础并开启警报系统安全。 | Simple Storage Simple Storage Service (Amazon S3) 数据事件的收集有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的AWS账户信息、IP 地址和事件时间。 | |
| 3.4 (a) (b) (c) (f) (j) | a) 确保对用户访问记录进行唯一识别和记录，以用于审计和审查目的。b) 实行问责制，并记录未经授权访问的识别情况。c) 启用对特权用户执行的系统活动的审核记录。f) 确保应用适当的日志记录和监控，以记录和检测可能影响或与信息安全相关的操作。j) 确保事件记录为能够生成合并报告的自动监控系统奠定基础并开启警报系统安全。 | 利用AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 传送后是否被修改或删除或未更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这样，要修改、删除或伪造 CloudTrail 日志文件而不被检测到在计算上是不可行的。 | |
| 3.4 (a) (b) (c) (f) (j) | a) 确保对用户访问记录进行唯一识别和记录，以用于审计和审查目的。b) 实行问责制，并记录未经授权访问的识别情况。c) 启用对特权用户执行的系统活动的审核记录。f) 确保应用适当的日志记录和监控，以记录和检测可能影响或与信息安全相关的操作。j) 确保事件记录为能够生成合并报告的自动监控系统奠定基础并开启警报系统安全。 | Elastic Load Balancing 活动是环境中的中心通信点。确保启用了 ELB 日志记录。收集的数据提供了有关发送至 ELB 的请求的详细信息。每个日志都包含信息 (例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。 | |
| 3.4 (a) (b) (c) (f) (j) | a) 确保对用户访问记录进行唯一识别和记录，以用于审计和审查目的。b) 实行问责制，并记录未经授权访问的识别情况。c) 启用对特权用户执行的系统活动的审核记录。f) 确保应用适当的日志记录和监控，以记录和检测可能影响或与信息安全相关的操作。j) 确保事件记录为能够生成合并报告的自动监控系统奠定基础并开启警报系统安全。 | AWS CloudTrail 记录AWS管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了AWS、从中发出调用的源 IP 地址以及调用的源 IP 地址以及调用的源 IP 地址以及调用的源 IP 地址以及调用的源 IP 地址以及调用的源 IP 地址以及调用了 CloudTrail 如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，则会将所有AWS区域的日志文件传输到您的 S3 存储桶。此外，当AWS启动新区域时， CloudTrail 将在新区域中创建相同的路径。因此，您无需采取任何操作即可收到包含新区域的 API 活动的日志文件。 | |
| 3.4 (a) (b) (c) (f) (j) | a) 确保对用户访问记录进行唯一识别和记录，以用于审计和审查目的。b) 实行问责制，并记录未经授权访问的识别情况。c) 启用对特权用户执行的系统活动的审核记录。f) 确保应用适当的日志记录和监控，以记录和检测可能影响或与信息安全相关的操作。j) 确保事件记录为能够生成合并报告的自动监控系统奠定基础并开启警报系统安全。 | Amazon Simple Storage Service (Amazon S3) 服务器访问日志提供了一种监视网络中潜在的网络安全事件的方法。对Amazon S3 桶提出的各种请求。每条访问日志记录都提供有关单个访问请求的详细信息。详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | |
| 3.4 (a) (b) (c) (f) (j) | a) 确保对用户访问记录进行唯一识别和记录，以用于审计和审查目的。b) 实行问责制，并记录未经授权访问的识别情况。c) 启用对特权用户执行的系统活动的审核记录。f) 确保应用适当的日志记录和监控，以记录和检测可能影响或与信息安全相关的操作。j) 确保事件记录为能够生成合并报告的自动监控系统奠定基础并开启警报系统安全。 | VPC 流日志提供有关传入和传出您的 Amazon Virtual Private Cloud (Amazon VPC) 中中中中中中中传入和传出您的 Amazon V 默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。 | |
| 3.4 (a) (b) (c) (f) (j) | a) 确保对用户访问记录进行唯一识别和记录，以用于审计和审查目的。b) 实行问责制，并记录未经授权访问的识别情况。c) 启用对特权用户执行的系统活动的审核记录。f) 确保应用适当的日志记录和监控，以记录和检测可能影响或与信息安全相关的操作。j) 确保事件记录为能够生成合并报告的自动监控系统奠定基础并开启警报系统安全。 | 要帮助在环境中进行日志和监控，请确保Amazon Relational Database Service (Amazon RDS) 日志记录已启用 通过 Amazon RDS 日志记录，您可以捕获连接、断开连接、查询或查询表等事件。 | |
| 3.4 (a) (b) (c) (f) (j) | a) 确保对用户访问记录进行唯一识别和记录，以用于审计和审查目的。b) 实行问责制，并记录未经授权访问的识别情况。c) 启用对特权用户执行的系统活动的审核记录。f) 确保应用适当的日志记录和监控，以记录和检测可能影响或与信息安全相关的操作。j) 确保事件记录为能够生成合并报告的自动监控系统奠定基础并开启警报系统安全。 | 为了帮助在您的环境中进行日志记录和监控，请在区域和全球 Web ACL 上启用AWS WAF (V2) 登录。 AWSWAF 日志记录提供有关您的 Web ACL 分析的流量的详细信息。日志记录AWS WAF 从AWS资源收到请求的时间、有关请求的信息以及每个请求所匹配的规则的操作。 | |
| 3.4 (a) (b) (c) (f) (j) | a) 确保对用户访问记录进行唯一识别和记录，以用于审计和审查目的。b) 实行问责制，并记录未经授权访问的识别情况。c) 启用对特权用户执行的系统活动的审核记录。f) 确保应用适当的日志记录和监控，以记录和检测可能影响或与信息安全相关的操作。j) 确保事件记录为能够生成合并报告的自动监控系统奠定基础并开启警报系统安全。 | 要保护静态数据，请确保为您的 Amazon Redshift 集群启用加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录有关数据库中的连接和用户活动的信息。此规则要求为 clusterDbEncrypted （Config 默认值：TRUE）和启用 LoggingEnabled（Config 默认值：TRUE）设置值。实际值应反映贵组织的政策。 | |
| 3.4 (a) (b) (c) (f) (j) | a) 确保对用户访问记录进行唯一识别和记录，以用于审计和审查目的。b) 实行问责制，并记录未经授权访问的识别情况。c) 启用对特权用户执行的系统活动的审核记录。f) 确保应用适当的日志记录和监控，以记录和检测可能影响或与信息安全相关的操作。j) 确保事件记录为能够生成合并报告的自动监控系统奠定基础并开启警报系统安全。 | 确保 Amazon Serv OpenSearch ice 域已启用错误日志并将其传输到 Amazon CloudWatch Logs 以进行保留和响应。域错误日志可以帮助进行安全和访问审计，并可以帮助诊断可用性问题。 | |
| 3.4 (a) (b) (c) (f) (j) | a) 确保对用户访问记录进行唯一识别和记录，以用于审计和审查目的。b) 实行问责制，并记录未经授权访问的识别情况。c) 启用对特权用户执行的系统活动的审核记录。f) 确保应用适当的日志记录和监控，以记录和检测可能影响或与信息安全相关的操作。j) 确保事件记录为能够生成合并报告的自动监控系统奠定基础并开启警报系统安全。 | 确保 Amazon Serv OpenSearch ice 域已启用错误日志并将其传输到 Amazon CloudWatch Logs 以进行保留和响应。 OpenSearch 服务错误日志可以帮助进行安全和访问审计，并可以帮助诊断可用性问题。 | |
| 3.4 (f | f) 确保进行适当的记录和监控，以便记录和检测可能影响信息安全或与信息安全相关的行为。 | AWSSecurity Hub 有助于监控未经授权的人员、连接、设备和软件。 AWSSecurity Hub 可以聚合、组织和优先处理来自多个AWS服务的安全告警或结果。其中一些服务包括亚马逊Security Hub、Amazon Inspector、Amazon Macie、IdentAWS ity and Access Management (IAM) 访问分析器和FiAWS rewall Manager 以及AWS合作伙伴解决方案。 | |
| 3.4 (g | g) 确保事件日志在相关时包括：-用户 ID-系统活动-关键事件的日期、时间和详细信息，例如登录和注销-设备身份或位置（如果可能）和系统标识符-成功和被拒绝的系统访问尝试的记录-成功和被拒绝的数据以及其他资源访问尝试的记录-系统配置的更改-权限的使用-系统实用程序和应用程序的使用-访问的文件和访问类型-网络地址和协议已发出通过出入控制系统和-用户在应用程序和在线客户交易中执行的交易记录 | Simple Storage Simple Storage Service (Amazon S3) 数据事件的收集有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的AWS账户信息、IP 地址和事件时间。 | |
| 3.4 (g | g) 确保事件日志在相关时包括：-用户 ID-系统活动-关键事件的日期、时间和详细信息，例如登录和注销-设备身份或位置（如果可能）和系统标识符-成功和被拒绝的系统访问尝试的记录-成功和被拒绝的数据以及其他资源访问尝试的记录-系统配置的更改-权限的使用-系统实用程序和应用程序的使用-访问的文件和访问类型-网络地址和协议已发出通过出入控制系统和-用户在应用程序和在线客户交易中执行的交易记录 | AWS CloudTrail 记录AWS管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了AWS、从中发出调用的源 IP 地址以及调用的源 IP 地址以及调用的源 IP 地址以及调用的源 IP 地址以及调用的源 IP 地址以及调用的源 IP 地址以及调用了 CloudTrail 如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，则会将所有AWS区域的日志文件传输到您的 S3 存储桶。此外，当AWS启动新区域时， CloudTrail 将在新区域中创建相同的路径。因此，您无需采取任何操作即可收到包含新区域的 API 活动的日志文件。 | |
| 3.4 (g | g) 确保事件日志在相关时包括：-用户 ID-系统活动-关键事件的日期、时间和详细信息，例如登录和注销-设备身份或位置（如果可能）和系统标识符-成功和被拒绝的系统访问尝试的记录-成功和被拒绝的数据以及其他资源访问尝试的记录-系统配置的更改-权限的使用-系统实用程序和应用程序的使用-访问的文件和访问类型-网络地址和协议已发出通过出入控制系统和-用户在应用程序和在线客户交易中执行的交易记录 | Amazon Simple Storage Service (Amazon S3) 服务器访问日志提供了一种监视网络中潜在的网络安全事件的方法。对Amazon S3 桶提出的各种请求。每条访问日志记录都提供有关单个访问请求的详细信息。详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | |
| 3.4 (g | g) 确保事件日志在相关时包括：-用户 ID-系统活动-关键事件的日期、时间和详细信息，例如登录和注销-设备身份或位置（如果可能）和系统标识符-成功和被拒绝的系统访问尝试的记录-成功和被拒绝的数据以及其他资源访问尝试的记录-系统配置的更改-权限的使用-系统实用程序和应用程序的使用-访问的文件和访问类型-网络地址和协议已发出通过出入控制系统和-用户在应用程序和在线客户交易中执行的交易记录 | 要帮助在环境中进行日志和监控，请确保Amazon Relational Database Service (Amazon RDS) 日志记录已启用 通过 Amazon RDS 日志记录，您可以捕获连接、断开连接、查询或查询表等事件。 | |
| 3.4 (g | g) 确保事件日志在相关时包括：-用户 ID-系统活动-关键事件的日期、时间和详细信息，例如登录和注销-设备身份或位置（如果可能）和系统标识符-成功和被拒绝的系统访问尝试的记录-成功和被拒绝的数据以及其他资源访问尝试的记录-系统配置的更改-权限的使用-系统实用程序和应用程序的使用-访问的文件和访问类型-网络地址和协议已发出通过出入控制系统和-用户在应用程序和在线客户交易中执行的交易记录 | 要保护静态数据，请确保为您的 Amazon Redshift 集群启用加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录有关数据库中的连接和用户活动的信息。此规则要求为 clusterDbEncrypted （Config 默认值：TRUE）和启用 LoggingEnabled（Config 默认值：TRUE）设置值。实际值应反映贵组织的政策。 | |
| 3.4 (g | g) 确保事件日志在相关时包括：-用户 ID-系统活动-关键事件的日期、时间和详细信息，例如登录和注销-设备身份或位置（如果可能）和系统标识符-成功和被拒绝的系统访问尝试的记录-成功和被拒绝的数据以及其他资源访问尝试的记录-系统配置的更改-权限的使用-系统实用程序和应用程序的使用-访问的文件和访问类型-网络地址和协议已发出通过出入控制系统和-用户在应用程序和在线客户交易中执行的交易记录 | 为了帮助在您的环境中进行日志记录和监控，请在区域和全球 Web ACL 上启用AWS WAF (V2) 登录。 AWSWAF 日志记录提供有关您的 Web ACL 分析的流量的详细信息。日志记录AWS WAF 从AWS资源收到请求的时间、有关请求的信息以及每个请求所匹配的规则的操作。 | |
| 3.4 (g | g) 确保事件日志在相关时包括：-用户 ID-系统活动-关键事件的日期、时间和详细信息，例如登录和注销-设备身份或位置（如果可能）和系统标识符-成功和被拒绝的系统访问尝试的记录-成功和被拒绝的数据以及其他资源访问尝试的记录-系统配置的更改-权限的使用-系统实用程序和应用程序的使用-访问的文件和访问类型-网络地址和协议已发出通过出入控制系统和-用户在应用程序和在线客户交易中执行的交易记录 | Elastic Load Balancing 活动是环境中的中心通信点。确保启用了 ELB 日志记录。收集的数据提供了有关发送至 ELB 的请求的详细信息。每个日志都包含信息 (例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。 | |
| 3.4 (g | g) 确保事件日志在相关时包括：-用户 ID-系统活动-关键事件的日期、时间和详细信息，例如登录和注销-设备身份或位置（如果可能）和系统标识符-成功和被拒绝的系统访问尝试的记录-成功和被拒绝的数据以及其他资源访问尝试的记录-系统配置的更改-权限的使用-系统实用程序和应用程序的使用-访问的文件和访问类型-网络地址和协议已发出通过出入控制系统和-用户在应用程序和在线客户交易中执行的交易记录 | API Gateway 日志记录显示了访问 API 的用户的详细视图以及他们访问 API 的方式。这种见解可以让用户活动变得可见。 | |
| 3.4 (g | g) 确保事件日志在相关时包括：-用户 ID-系统活动-关键事件的日期、时间和详细信息，例如登录和注销-设备身份或位置（如果可能）和系统标识符-成功和被拒绝的系统访问尝试的记录-成功和被拒绝的数据以及其他资源访问尝试的记录-系统配置的更改-权限的使用-系统实用程序和应用程序的使用-访问的文件和访问类型-网络地址和协议已发出通过出入控制系统和-用户在应用程序和在线客户交易中执行的交易记录 | CloudWatch 使用亚马逊集中收集和管理日志事件活动。包含AWS CloudTrail 数据可提供您AWS账户内的 API 调用活动的详细信息。 | |
| 3.4 (g | g) 确保事件日志在相关时包括：-用户 ID-系统活动-关键事件的日期、时间和详细信息，例如登录和注销-设备身份或位置（如果可能）和系统标识符-成功和被拒绝的系统访问尝试的记录-成功和被拒绝的数据以及其他资源访问尝试的记录-系统配置的更改-权限的使用-系统实用程序和应用程序的使用-访问的文件和访问类型-网络地址和协议已发出通过出入控制系统和-用户在应用程序和在线客户交易中执行的交易记录 | AWS CloudTrail 可以通过记录AWS管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用AWS服务的用户和AWS帐户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在AWS CloudTrail 记录内容中查看。 | |
| 3.4 (g | g) 确保事件日志在相关时包括：-用户 ID-系统活动-关键事件的日期、时间和详细信息，例如登录和注销-设备身份或位置（如果可能）和系统标识符-成功和被拒绝的系统访问尝试的记录-成功和被拒绝的数据以及其他资源访问尝试的记录-系统配置的更改-权限的使用-系统实用程序和应用程序的使用-访问的文件和访问类型-网络地址和协议已发出通过出入控制系统和-用户在应用程序和在线客户交易中执行的交易记录 | VPC 流日志提供有关传入和传出您的 Amazon Virtual Private Cloud (Amazon VPC) 中中中中中中中传入和传出您的 Amazon V 默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。 | |
| 3.4 (g | g) 确保事件日志在相关时包括：-用户 ID-系统活动-关键事件的日期、时间和详细信息，例如登录和注销-设备身份或位置（如果可能）和系统标识符-成功和被拒绝的系统访问尝试的记录-成功和被拒绝的数据以及其他资源访问尝试的记录-系统配置的更改-权限的使用-系统实用程序和应用程序的使用-访问的文件和访问类型-网络地址和协议已发出通过出入控制系统和-用户在应用程序和在线客户交易中执行的交易记录 | 确保为您的日志组保留最短持续时间的事件日志数据，以帮助进行故障排除和取证调查。缺乏可用的过去事件日志数据使得重建和识别潜在的恶意事件变得困难。 | |
| 3.4 (g | g) 确保事件日志在相关时包括：-用户 ID-系统活动-关键事件的日期、时间和详细信息，例如登录和注销-设备身份或位置（如果可能）和系统标识符-成功和被拒绝的系统访问尝试的记录-成功和被拒绝的数据以及其他资源访问尝试的记录-系统配置的更改-权限的使用-系统实用程序和应用程序的使用-访问的文件和访问类型-网络地址和协议已发出通过出入控制系统和-用户在应用程序和在线客户交易中执行的交易记录 | 确保 Amazon Serv OpenSearch ice 域已启用错误日志并将其传输到 Amazon CloudWatch Logs 以进行保留和响应。域错误日志可以帮助进行安全和访问审计，并可以帮助诊断可用性问题。 | |
| 3.4 (g | g) 确保事件日志在相关时包括：-用户 ID-系统活动-关键事件的日期、时间和详细信息，例如登录和注销-设备身份或位置（如果可能）和系统标识符-成功和被拒绝的系统访问尝试的记录-成功和被拒绝的数据以及其他资源访问尝试的记录-系统配置的更改-权限的使用-系统实用程序和应用程序的使用-访问的文件和访问类型-网络地址和协议已发出通过出入控制系统和-用户在应用程序和在线客户交易中执行的交易记录 | 确保 Amazon Serv OpenSearch ice 域已启用错误日志并将其传输到 Amazon CloudWatch Logs 以进行保留和响应。 OpenSearch 服务错误日志可以帮助进行安全和访问审计，并可以帮助诊断可用性问题。 | |
| 3.6.1 (a) | a) BFI 需要确保为其 Web 应用程序采取适当的安全措施，并针对各种网络安全风险采取合理的缓解措施。h) BFI 需要确保为其 Web 应用程序采取适当的安全措施，并针对各种网络安全风险采取合理的缓解措施 | 确保在弹性负载均衡器 (ELB) 上启用AWS WAF 以帮助保护 Web 应用程序。WAF 有助于保护您的 Web 应用程序或 API 免遭常见 Web 漏洞的攻击。这些网络漏洞可能会影响可用性、损害安全性或消耗环境中的可用性、损害安全性或消耗过多的资源。 | |
| 3.6.1 (a) | a) BFI 需要确保为其 Web 应用程序采取适当的安全措施，并针对各种网络安全风险采取合理的缓解措施。h) BFI 需要确保为其 Web 应用程序采取适当的安全措施，并针对各种网络安全风险采取合理的缓解措施 | AWS通过在 WAF，您可以配置一组规则（称为 Web 访问控制列表，即 Web ACL），基于可自定义的 Web 安全规则以及您定义的条件，允许、阻止或统计 Web 请求。确保您的Amazon API Gateway 阶段与 WAF Web ACL 相关联，以保护其免受恶意攻击 | |
| 3.6.1 | b) BFI 需要评估与其网上银行系统和其他相关系统相关的安全要求，并采用考虑到所需保密性和完整性程度的加密解决方案。 | 通过确保 X509 证书由AWS ACM 颁发，确保网络完整性得到保护。这些证书必须有效且未过期。此规则要求的值为 daysToExpiration （AWS基础安全最佳实践值：90）。实际价值应反映贵组织的政策。 | |
| 3.6.1 | b) BFI 需要评估与其网上银行系统和其他相关系统相关的安全要求，并采用考虑到所需保密性和完整性程度的加密解决方案。 | 为了帮助保护传输中的数据，请确保您的Application Load Balancer 自动将未加密的 HTTP 请求重定向到 HTTPS。由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。 | |
| 3.6.1 | b) BFI 需要评估与其网上银行系统和其他相关系统相关的安全要求，并采用考虑到所需保密性和完整性程度的加密解决方案。 | 由于敏感数据可能存在并且为了帮助保护传输中的数据，请确保为 Elastic Load Balancing 启用加密。使用AWS Certificate Manager 管理、预置和部署带有AWS服务和内部资源的公共和私有 SSL/TLS 证书。 | |
| 3.6.1 | b) BFI 需要评估与其网上银行系统和其他相关系统相关的安全要求，并采用考虑到所需保密性和完整性程度的加密解决方案。 | 确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。 | |
| 3.6.1 | b) BFI 需要评估与其网上银行系统和其他相关系统相关的安全要求，并采用考虑到所需保密性和完整性程度的加密解决方案。 | 为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶需要请求使用安全套接字层 (SSL)。由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。 | |
| 3.6.1 | b) BFI 需要评估与其网上银行系统和其他相关系统相关的安全要求，并采用考虑到所需保密性和完整性程度的加密解决方案。 | 确保您的弹性负载均衡器 (ELB) 配置为删除 http 标头。由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。 | |
| 3.6.1 | b) BFI 需要评估与其网上银行系统和其他相关系统相关的安全要求，并采用考虑到所需保密性和完整性程度的加密解决方案。 | 确保启用亚马逊 OpenSearch 服务的 node-to-node 加密。Node-to-node 加密支持支持支持支持Amazon Virtual Private Cloud (Amazon VPC) 内的所有通信支持 TLS 由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。 | |
| 3.6.1 | b) BFI 需要评估与其网上银行系统和其他相关系统相关的安全要求，并采用考虑到所需保密性和完整性程度的加密解决方案。 | 确保启用亚马逊 OpenSearch 服务的 node-to-node 加密。Node-to-node 加密支持支持支持支持Amazon Virtual Private Cloud (Amazon VPC) 内的所有通信支持 TLS 由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。 | |
| 3.6.1 | b) BFI 需要评估与其网上银行系统和其他相关系统相关的安全要求，并采用考虑到所需保密性和完整性程度的加密解决方案。 | 确保您的弹性负载均衡器 (ELB) 配置了 SSL 或 HTTPS 侦听器。由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。 | |
| 3.6.1 | b) BFI 需要评估与其网上银行系统和其他相关系统相关的安全要求，并采用考虑到所需保密性和完整性程度的加密解决方案。 | 确保使用 SSL 证书配置 Amazon API Gateway REST API 阶段，以允许后端系统对来自 API Gateway 的请求进行身份验证。 | |
| 3.6.1 | b) BFI 需要评估与其网上银行系统和其他相关系统相关的安全要求，并采用考虑到所需保密性和完整性程度的加密解决方案。 | 由于敏感数据可能存在并且为了帮助保护传输中的数据，请确保为 Elastic Load Balancing 启用加密。使用AWS Certificate Manager 管理、预置和部署带有AWS服务和内部资源的公共和私有 SSL/TLS 证书。 | |
| 3.6.1 | d) 提供网上银行的BFI应对异常的网络流量状况/系统性能以及系统资源利用率的突然激增做出反应，这可能表明存在DDoS攻击。因此，任何先发制人和被动行动的成功取决于部署适当的工具，以有效检测、监测和分析网络和系统中的异常情况。 | 确保在弹性负载均衡器 (ELB) 上启用AWS WAF 以帮助保护 Web 应用程序。WAF 有助于保护您的 Web 应用程序或 API 免遭常见 Web 漏洞的攻击。这些网络漏洞可能会影响可用性、损害安全性或消耗环境中的可用性、损害安全性或消耗过多的资源。 | |
| 3.6.1 | d) 提供网上银行的BFI应对异常的网络流量状况/系统性能以及系统资源利用率的突然激增做出反应，这可能表明存在DDoS攻击。因此，任何先发制人和被动行动的成功取决于部署适当的工具，以有效检测、监测和分析网络和系统中的异常情况。 | 亚马逊 GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 和机器学习列表，用于标识您AWS Cloud 环境中意外的和未经授权的恶意活动。 | |
| 3.6.1 | d) 提供网上银行的BFI应对异常的网络流量状况/系统性能以及系统资源利用率的突然激增做出反应，这可能表明存在DDoS攻击。因此，任何先发制人和被动行动的成功取决于部署适当的工具，以有效检测、监测和分析网络和系统中的异常情况。 | AWSSecurity Hub 有助于监控未经授权的人员、连接、设备和软件。 AWSSecurity Hub 可以聚合、组织和优先处理来自多个AWS服务的安全告警或结果。其中一些服务包括亚马逊Security Hub、Amazon Inspector、Amazon Macie、IdentAWS ity and Access Management (IAM) 访问分析器和FiAWS rewall Manager 以及AWS合作伙伴解决方案。 | |
| 3.6.1 | d) 提供网上银行的BFI应对异常的网络流量状况/系统性能以及系统资源利用率的突然激增做出反应，这可能表明存在DDoS攻击。因此，任何先发制人和被动行动的成功取决于部署适当的工具，以有效检测、监测和分析网络和系统中的异常情况。 | 为了帮助在您的环境中进行日志记录和监控，请在区域和全球 Web ACL 上启用AWS WAF (V2) 登录。 AWSWAF 日志记录提供有关您的 Web ACL 分析的流量的详细信息。日志记录AWS WAF 从AWS资源收到请求的时间、有关请求的信息以及每个请求所匹配的规则的操作。 | |
| 3.6.1 | d) 提供网上银行的BFI应对异常的网络流量状况/系统性能以及系统资源利用率的突然激增做出反应，这可能表明存在DDoS攻击。因此，任何先发制人和被动行动的成功取决于部署适当的工具，以有效检测、监测和分析网络和系统中的异常情况。 | AWS通过在 WAF，您可以配置一组规则（称为 Web 访问控制列表，即 Web ACL），基于可自定义的 Web 安全规则以及您定义的条件，允许、阻止或统计 Web 请求。确保您的Amazon API Gateway 阶段与 WAF Web ACL 相关联，以保护其免受恶意攻击 | |
| 3.6.1 | e) BFI需要定期评估信息安全漏洞，评估现有IT安全风险管理框架的有效性，进行任何必要的调整，以确保及时解决新出现的漏洞。该评估还应作为任何重大变更的一部分进行。 | 亚马逊通过按严重程度对调查结果进行分类：低、中和高，来 GuardDuty 帮助您了解事件的影响。您可以使用这些分类来确定补救策略和优先级。此规则允许您根据组织策略的要求选择性地为非存档的调查结果设置 daysMediumSev （Config 默认值：30）、 daysHighSev （Config 默认值：7）和（Config 默认值：1）。 daysLowSev | |
| 3.6.4 (a) (b) | a) 限制互联网访问并将关键系统与一般 IT 环境隔离开来。b) 减少攻击面和漏洞。 | 通过确保无法公开访问 DMS 复制实例来管理对AWS云的访问权限。DMS 复制实例可能包含敏感信息，此类账户需要访问控制。 | |
| 3.6.4 (a) (b) | a) 限制互联网访问并将关键系统与一般 IT 环境隔离开来。b) 减少攻击面和漏洞。 | 通过确保 EBS 快照不可公开恢复，管理对AWS云的访问权限。EBS 卷快照可能包含敏感信息，此类账户需要访问控制。 | |
| 3.6.4 (a) (b) | a) 限制互联网访问并将关键系统与一般 IT 环境隔离开来。b) 减少攻击面和漏洞。 | 通过确保Amazon Elastic Compute Cloud (Amazon EC2) 实例无法公开访问。AWSAmazon EC2 实例可能包含敏感信息，此类账户需要访问控制。 | |
| 3.6.4 (a) (b) | a) 限制互联网访问并将关键系统与一般 IT 环境隔离开来。b) 减少攻击面和漏洞。 | 通过确保AmazonAWS Service（ OpenSearch OpenSearch 服务）域位于Amazon Virtual Private Cloud（Amazon VPC）中来管理云的访问。通过在 Amazon VPC 中的 OpenSearch 服务Service 和 Amazon VPC 中的其他服务之间进行安全通信，而无需互联网网关、NAT 设备或 VPN 连接。 OpenSearch | |
| 3.6.4 (a) (b) | a) 限制互联网访问并将关键系统与一般 IT 环境隔离开来。b) 减少攻击面和漏洞。 | 通过确保AmazonAWS Serv OpenSearch ice 域在 Amazon Virtual Private Cloud (Amazon VPC) 内来管理云 通过在 Amazon OpenSearch VPC 中通过一个 Amazon Service OpenSearch Service 和 Amazon VPC 中的其他服务之间进行安全通信，而无需互联网网关、NAT 设备或 VPN 连接。 | |
| 3.6.4 (a) (b) | a) 限制互联网访问并将关键系统与一般 IT 环境隔离开来。b) 减少攻击面和漏洞。 | 通过确保无法公开访问 Amazon EMR 集群主节点来管理对AWS云的访问权限。Amazon EMR 集群主节点可能包含敏感信息，此类账户需要访问控制。 | |
| 3.6.4 (a) (b) | a) 限制互联网访问并将关键系统与一般 IT 环境隔离开来。b) 减少攻击面和漏洞。 | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以通过对AWS资源的入口和出口网络流量进行状态筛选，帮助管理网络访问。不允许您的资源上的入口（或远程）流量从 0.0.0.0/0 到端口 22，有助于限制远程访问。 | |
| 3.6.4 (a) (b) | a) 限制互联网访问并将关键系统与一般 IT 环境隔离开来。b) 减少攻击面和漏洞。 | 在Amazon Virtual Private Cloud（Amazon VPC）中部署 Amazon E-Service 中部署 Amazon Service 中部署 Amazon Service 中部署 Amazon E-Service，您可以在 Amazon Service 和 Amazon VPC 中的其他服务之间进行安全通信，而 AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共端点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全性。将 Amazon EC2 实例分配给亚马逊 VPC 以正确管理访问权限。 | |
| 3.6.4 (a) (b) | a) 限制互联网访问并将关键系统与一般 IT 环境隔离开来。b) 减少攻击面和漏洞。 | 通过确保互联网网关仅连接到授权的 Amazon Virtual Private Cloud (Amazon VPC)，管理对云中资源的访问。AWS互联网网关允许双向互联网访问 Amazon VPC 和从 Amazon VPC 进行双向互联网访问，这可能会导致对亚马逊 VPC 资源的未经授权的访问。 | |
| 3.6.4 (a) (b) | a) 限制互联网访问并将关键系统与一般 IT 环境隔离开来。b) 减少攻击面和漏洞。 | 通过确保AWS Lambda 函数无法公开访问，管理对AWS云中资源的访问权限。公共访问可能导致资源可用性下降。 | |
| 3.6.4 (a) (b) | a) 限制互联网访问并将关键系统与一般 IT 环境隔离开来。b) 减少攻击面和漏洞。 | 在 Amazon Virtual Private Cloud (Amazon VPC) 中部署AWS Lambda 函数，在 Amazon VPrivate Cloud (Amaz 使用此配置，无需互联网网关、NAT 设备或 VPN 连接。AWS云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共端点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全性。为了正确管理访问权限，应AWS将 Lambda 函数分配给 VPC。 | |
| 3.6.4 (a) (b) | a) 限制互联网访问并将关键系统与一般 IT 环境隔离开来。b) 减少攻击面和漏洞。 | 通过确保 Amazon Relational Database Service (Amazon RDS) 实例不公开，管理对AWS云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，此类账户需要原则和访问控制。 | |
| 3.6.4 (a) (b) | a) 限制互联网访问并将关键系统与一般 IT 环境隔离开来。b) 减少攻击面和漏洞。 | 通过确保 Amazon Relational Database Service (Amazon RDS) 实例不公开，管理对AWS云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息和原则，此类账户需要访问控制。 | |
| 3.6.4 (a) (b) | a) 限制互联网访问并将关键系统与一般 IT 环境隔离开来。b) 减少攻击面和漏洞。 | 通过确保 Amazon Redshift 集群不公开，管理对AWS云中资源的访问权限。Amazon Redshift 集群可能包含敏感信息和原则，此类账户需要访问控制。 | |
| 3.6.4 (a) (b) | a) 限制互联网访问并将关键系统与一般 IT 环境隔离开来。b) 减少攻击面和漏洞。 | 通过确保在 Amazon Elastic ComputeAWS Cloud (Amazon EC2) 安全组上限制通用端口，管理对云中资源的访问。不限制可信来源对端口的访问可能会导致对系统的可用性、完整性和机密性的攻击。这条规则允许你有选择地设置 BlockedPort1-BlockedPort5 参数（Config 默认值：20,213389,3306,4333）。实际值应反映贵组织的政策。 | |
| 3.6.4 (a) (b) | a) 限制互联网访问并将关键系统与一般 IT 环境隔离开来。b) 减少攻击面和漏洞。 | 通过仅允许授权用户、流程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，管理对AWS云中资源的访问。访问管理应与数据的分类保持一致。 | |
| 3.6.4 (a) (b) | a) 限制互联网访问并将关键系统与一般 IT 环境隔离开来。b) 减少攻击面和漏洞。 | 通过仅允许授权用户、流程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，管理对AWS云中资源的访问。访问管理应与数据的分类保持一致。 | |
| 3.6.4 (a) (b) | a) 限制互联网访问并将关键系统与一般 IT 环境隔离开来。b) 减少攻击面和漏洞。 | 通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对AWS云端资源的访问权限。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。 | |
| 3.6.4 (a) (b) | a) 限制互联网访问并将关键系统与一般 IT 环境隔离开来。b) 减少攻击面和漏洞。 | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以提供对传入和传出AWS资源的网络流量进行状态过滤，帮助管理网络访问。限制默认安全组上的所有流量有助于限制对AWS资源的远程访问。 | |
| 3.6.4 (a) (b) | a) 限制互联网访问并将关键系统与一般 IT 环境隔离开来。b) 减少攻击面和漏洞。 | 通过确保在 Amazon Elastic ComputeAWS Cloud (Amazon EC2) 安全组上限制通用端口，管理对云中资源的访问。不限制对可信来源的端口访问可能会导致对系统的可用性、完整性和机密性的攻击。通过限制从 Internet (0.0.0/0) 对安全组内资源的访问 (0.0.0/0)，可以控制对内部系统的远程访问。 | |
| 3.6.4 (a) (b) | a) 限制互联网访问并将关键系统与一般 IT 环境隔离开来。b) 减少攻击面和漏洞。 | 确保 Amazon EC2 路由表没有通往互联网网关的无限制路由。取消或限制 Amazon VPC 内工作负载的互联网访问权限可以减少环境中的意外访问。 | |
| 3.6.4 (a) (b) | a) 限制互联网访问并将关键系统与一般 IT 环境隔离开来。b) 减少攻击面和漏洞。 | 通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，管理对AWS云中资源的访问。该规则通过防止存储段级别的公共访问来帮助保护敏感数据免受未经授权的远程用户的侵害。 | |
| 3.6.4 (a) (b) | a) 限制互联网访问并将关键系统与一般 IT 环境隔离开来。b) 减少攻击面和漏洞。 | 通过确保不会自动为Amazon Virtual Private Cloud (VPC) 子网分配公有 IP 地址来管理对云的访问。AWS在启用了此属性的子网中启动的 Amazon Elastic Compute Cloud (EC2) 实例会为其主网络接口分配公有 IP 地址。 | |
| 3.6.4 (a) (b) | a) 限制互联网访问并将关键系统与一般 IT 环境隔离开来。b) 减少攻击面和漏洞。 | 如果您使用公有 IP 地址配置网络接口，则可以从 Internet 访问这些网络接口的相关资源。EC2 资源不应公开访问，因为这可能允许意外访问您的应用程序或服务器。 | |
| 3.6.4 (a) (b) | a) 限制互联网访问并将关键系统与一般 IT 环境隔离开来。b) 减少攻击面和漏洞。 | 通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，管理对AWS云中资源的访问。该规则通过防止公共访问来帮助保护敏感数据免受未经授权的远程用户的侵害。此规则允许您选择设置 ignorePublicAcls （Config 默认值：True）、 blockPublicPolicy （Config 默认值：True）、 blockPublicAcls （Config 默认值：True）和 restrictPublicBuckets 参数（Config 默认值：True）。实际值应反映贵组织的政策。 | |
| 3.6.4 (a) (b) | a) 限制互联网访问并将关键系统与一般 IT 环境隔离开来。b) 减少攻击面和漏洞。 | 确保SAWS ystems Manager (SSM) 文档不公开，因为这可能会允许意外访问您的 SSM 文档。公开 SSM 文档可以公开有关您的账户、资源和内部流程的信息。 |
模板
该模板可在以下网址找到 GitHub：NBC TRMG 的运营最佳实践
