本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。
印度储备银行 UCB 网络安全框架操作最佳实践
合规包提供了一个通用合规框架,旨在使您能够使用托管或自定义 AWS Config 规则和 AWS Config 补救措施来创建安全、运营或成本优化治理检查。作为示例模板,合规包并不是为了完全确保遵守特定的治理或合规性标准而设计的。您有责任自行评估自己对服务的使用是否符合适用的法律和监管要求。
下面提供了印度储备银行 (RBI) 城市合作银行 (UCB) 网络安全框架 (UCB) 与 AWS 托管 Config 规则之间的映射示例。每条 Config 规则都适用于特定的 AWS 资源,并与一个或多个印度储备银行 UCB 网络安全框架控制有关。一个印度储备银行的 UCB 网络安全框架控制可能与多个 Config 规则有关。有关这些映射的更多详细信息和指导,请参阅下表。
控制 ID | AWS Config 规则 | 指南 |
---|---|---|
Annex_I(1.1) | 利用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 实例,可以清点组织中的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发布者和版本以及有关您的环境的其他详细信息。 | |
Annex_I(1.1) | 在 AWS Organizations 中集中管理 AWS 账户有助于确保账户合规。缺乏集中式账户管理可能会导致账户配置不一致,从而可能泄露资源和敏感数据。 | |
Annex_I(1.1) | 启用 Elastic Container Repository (ECR) 标签不可变性,以防止 ECR 映像上的映像标签被覆盖。以前,标签可能会被覆盖,需要手动方法来唯一识别映像。 | |
Annex_I(1.3) | 通过确保 X509 证书由 AWS ACM 颁发,确保网络完整性得到保护。这些证书必须有效且未过期。此规则要求为 daysToExpiration 设置一个值(AWS 基础安全最佳实践值:90)。实际值应反映贵组织的策略。 | |
Annex_I(1.3) | 确保您的 Elastic Load Balancers (ELB) 已配置为丢弃 http 标头。由于可能存在敏感数据,因此应启用传输中加密以帮助保护这些数据。 | |
Annex_I(1.3) | 为帮助保护传输中的数据,请确保应用负载均衡器自动将未加密的 HTTP 请求重定向到 HTTPS。由于可能存在敏感数据,因此应启用传输中加密以帮助保护这些数据。 | |
Annex_I(1.3) | 为了帮助保护静态数据,请确保为 API Gateway 阶段的缓存启用加密。由于可能会为 API 方法捕获敏感数据,因此应启用静态加密以帮助保护这些数据。 | |
Annex_I(1.3) | 由于可能存在敏感数据,并且为了帮助保护静态数据,应确保您的 AWS CloudTrail 跟踪启用了加密。 | |
Annex_I(1.3) | 确保 Amazon API Gateway REST API 阶段配置了 SSL 证书,以允许后端系统验证请求来自 API Gateway。 | |
Annex_I(1.3) | 由于可能存在敏感数据,并且为了帮助保护传输中的数据,应确保 Elastic Load Balancing 启用了加密。使用 AWS Certificate Manager 通过 AWS 服务和内部资源管理、预置和部署公有和私有 SSL/TLS 证书。 | |
Annex_I(1.3) | 确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据,因此应启用静态加密以帮助保护这些数据。 | |
Annex_I(1.3) | 为了帮助保护静态敏感数据,请确保您的 Amazon CloudWatch 日志组启用了加密。 | |
Annex_I(1.3) | 启用密钥轮换,以确保密钥在加密周期结束后立即进行轮换。 | |
Annex_I(1.3) | 确保您的 AWS Backup 恢复点已启用加密。由于可能存在敏感的静态数据,因此应启用静态加密以帮助保护这些数据。 | |
Annex_I(1.3) | 为了帮助保护静态敏感数据,请确保为 AWS CodeBuild 构件启用加密。 | |
Annex_I(1.3) | 为了帮助保护静态敏感数据,请确保对存储在 Amazon S3 中的 AWS CodeBuild 日志启用加密。 | |
Annex_I(1.3) | 由于可能存在敏感数据,并且为了帮助保护静态数据,应确保您的 Amazon OpenSearch Service 域启用了加密。 | |
Annex_I(1.3) | 由于可能存在敏感数据,并且为了帮助保护传输中数据,应确保为与您的 Amazon OpenSearch Service 域的连接启用 HTTPS。 | |
Annex_I(1.3) | 确保 Amazon OpenSearch Service 启用了节点到节点加密。利用节点到节点加密,将能够为 Amazon Virtual Private Cloud (Amazon VPC) 内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据,因此应启用传输中加密以帮助保护这些数据。 | |
Annex_I(1.3) | 确保为 Amazon DynamoDB 表启用加密。由于这些表中可能存在敏感的静态数据,因此应启用静态加密以帮助保护这些数据。默认情况下,DynamoDB 表使用 AWS 拥有的客户主密钥 (CMK) 进行加密。 | |
Annex_I(1.3) | 为了帮助保护静态数据,请确保为您的 Amazon Elastic Block Store (Amazon EBS) 卷启用加密。由于这些卷中可能存在敏感的静态数据,因此应启用静态加密以帮助保护这些数据。 | |
Annex_I(1.3) | 由于可能存在敏感数据,并且为了帮助保护静态数据,请确保为您的 Amazon Elastic File System (EFS) 启用加密。 | |
Annex_I(1.3) | 由于可能存在敏感数据,并且为了帮助保护静态数据,应确保您的 Amazon OpenSearch Service (OpenSearch Service) 域启用了加密。 | |
Annex_I(1.3) | 确保 Amazon OpenSearch Service 启用了节点到节点加密。利用节点到节点加密,将能够为 Amazon Virtual Private Cloud (Amazon VPC) 内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据,因此应启用传输中加密以帮助保护这些数据。 | |
Annex_I(1.3) | 由于可能存在敏感数据,并且为了帮助保护传输中的数据,应确保 Elastic Load Balancing 启用了加密。使用 AWS Certificate Manager 通过 AWS 服务和内部资源管理、预置和部署公有和私有 SSL/TLS 证书。 | |
Annex_I(1.3) | 确保您的弹性负载均衡器 (ELB) 配置了 SSL 或 HTTPS 侦听器。由于可能存在敏感数据,因此应启用传输中加密以帮助保护这些数据。 | |
Annex_I(1.3) | 由于可能存在敏感数据,并且为了帮助保护静态数据,应确保您的 Amazon Elastic Block Store (Amazon EBS) 卷启用了加密。 | |
Annex_I(1.3) | 为了帮助保护静态数据,请确保没有在 AWS Key Management Service (AWS KMS) 中计划删除必要的客户主密钥 (CMK)。由于有时需要删除密钥,因此此规则可以帮助检查所有计划删除的密钥,以防密钥被无意中安排删除。 | |
Annex_I(1.3) | 确保为 Amazon Relational Database Service (Amazon RDS) 快照启用加密。由于可能存在敏感的静态数据,因此应启用静态加密以帮助保护这些数据。 | |
Annex_I(1.3) | 为了帮助保护静态数据,请确保您的 Amazon Relational Database Service (Amazon RDS) 实例启用了加密。由于 Amazon RDS 实例中可能存在敏感的静态数据,因此应启用静态加密以帮助保护这些数据。 | |
Annex_I(1.3) | 要保护静态数据,请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录,以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted(Config 默认值:TRUE)和 loggingEnabled(Config 默认值:TRUE)设置值。实际值应反映贵组织的策略。 | |
Annex_I(1.3) | 确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于可能存在敏感数据,因此应启用传输中加密以帮助保护这些数据。 | |
Annex_I(1.3) | 为了帮助保护静态数据,请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据,因此应启用加密以帮助保护这些数据。 | |
Annex_I(1.3) | 为了帮助保护传输中的数据,请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶需要请求使用安全套接字层 (SSL)。由于可能存在敏感数据,因此应启用传输中加密以帮助保护这些数据。 | |
Annex_I(1.3) | 为了帮助保护静态数据,请确保您的 SageMaker 终端节点启用了使用 AWS Key Management Service (AWS KMS) 的加密。由于 SageMaker 端点中可能存在敏感的静态数据,因此应启用静态加密以帮助保护这些数据。 | |
Annex_I(1.3) | 为了帮助保护静态数据,请确保您的 SageMaker 笔记本启用了使用 AWS Key Management Service (AWS KMS) 的加密。由于 SageMaker 笔记本中可能存在敏感的静态数据,因此应启用静态加密以帮助保护这些数据。 | |
Annex_I(1.3) | 为了帮助保护静态数据,请确保您的 Amazon Simple Notification Service (Amazon SNS) 主题需要使用 AWS Key Management Service (AWS KMS) 进行加密。由于已发布的消息中可能存在敏感的静态数据,因此应启用静态加密以帮助保护这些数据。 | |
Annex_I(1.3) | 通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问。DMS 复制实例可能包含敏感信息,因此需要对此类账户进行访问控制。 | |
Annex_I(1.3) | 通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问。EBS 卷快照可能包含敏感信息,因此需要对此类账户进行访问控制。 | |
Annex_I(1.3) | 通过确保 Amazon Elastic Compute Cloud (Amazon EC2) 实例无法公开访问来管理对 AWS 云的访问。Amazon EC2 实例可能包含敏感信息,因此需要对此类账户进行访问控制。 | |
Annex_I(1.3) | 通过确保 Amazon OpenSearch Service (OpenSearch Service) 域位于 Amazon Virtual Private Cloud (Amazon VPC) 中,来管理对 AWS 云的访问。Amazon VPC 中的 OpenSearch Service 域可实现 Amazon OpenSearch Service 与 Amazon VPC 中其他服务之间的安全通信,而无需互联网网关、NAT 设备或 VPN 连接。 | |
Annex_I(1.3) | 通过确保 Amazon EMR 集群主节点无法公开访问来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息,因此需要对此类账户进行访问控制。 | |
Annex_I(1.3) | 在 Amazon Virtual Private Cloud (Amazon VPC) 内部署 Amazon Elastic Compute Cloud (Amazon EC2) 实例,以实现实例与 Amazon VPC 内其他服务之间的安全通信,而无需互联网网关、NAT 设备或 VPN 连接。AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离,与使用公共终端节点的域相比,驻留在 Amazon VPC 中的域有一层额外的安全保护。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。 | |
Annex_I(1.3) | 如果您使用公有 IP 地址配置网络接口,则可以从互联网访问这些网络接口的相关资源。EC2 资源不应可公开访问,因为这可能会允许意外地访问您的应用程序或服务器。 | |
Annex_I(1.3) | 确保 Amazon EC2 路由表中没有指向互联网网关的无限制路由。移除或限制 Amazon VPC 内工作负载的互联网访问可以减少环境中的意外访问。 | |
Annex_I(1.3) | 为了帮助保护静态数据,请确保您的 Amazon Redshift 集群启用了使用 AWS Key Management Service (AWS KMS) 的加密。由于 Redshift 集群中可能存在敏感的静态数据,因此应启用静态加密以帮助保护这些数据。 | |
Annex_I(1.3) | 确保 AWS Systems Manager (SSM) 文档不公开,因为这可能会允许意外访问您的 SSM 文档。公开 SSM 文档可能会公开有关您的账户、资源和内部流程的信息。 | |
Annex_I(1.3) | 通过确保 Amazon Virtual Private Cloud (VPC) 子网不会自动分配公有 IP 地址,来管理对 AWS 云的访问。Amazon Elastic Compute Cloud (EC2) 实例在启用此属性的子网中启动时,其主网络接口会分配一个公有 IP 地址。 | |
Annex_I(1.3) | 通过确保互联网网关仅连接到经过授权的 Amazon Virtual Private Cloud (Amazon VPC),来管理对 AWS 云中资源的访问。互联网网关允许进出 Amazon VPC 的双向互联网访问,这可能会导致未经授权访问 Amazon VPC 资源。 | |
Annex_I(1.3) | 通过确保 AWS Lambda 函数无法公开访问,来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。 | |
Annex_I(1.3) | 在 Amazon Virtual Private Cloud (Amazon VPC) 中部署 AWS Lambda 函数,以便在 Amazon VPC 中的函数和其他服务之间进行安全通信。使用此配置时,不需要互联网网关、NAT 设备或 VPN 连接。AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离,与使用公共终端节点的域相比,驻留在 Amazon VPC 中的域有一层额外的安全保护。为了正确管理访问权限,应将 AWS Lambda 函数分配给 VPC。 | |
Annex_I(1.3) | 通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的,来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息,因此需要对此类账户实施相应原则和访问控制。 | |
Annex_I(1.3) | 通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的,来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息,因此需要对此类账户实施相应原则和访问控制。 | |
Annex_I(1.3) | 通过确保 Amazon Redshift 集群不是公有的,来管理对 AWS 云中资源的访问。Amazon Redshift 集群可能包含敏感信息,因此需要对此类账户实施相应原则和访问控制。 | |
Annex_I(1.3) | 通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口,来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源,可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数(Config 默认值:20,21,3389,3306,4333)。实际值应反映贵组织的策略。 | |
Annex_I(1.3) | 通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问,来管理对 AWS 云中资源的访问。该规则通过在存储桶级别防止公众访问,来帮助保护敏感数据免受未经授权的远程用户的访问。 | |
Annex_I(1.3) | 通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问,来管理对 AWS 云中资源的访问。该规则通过防止公众访问,来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置 ignorePublicAcls(Config 默认:True)、blockPublicPolicy(Config 默认值:True)、blockPublicAcls(Config 默认值:True)和 restrictPublicBuckets 参数(Config 默认值:True)。实际值应反映贵组织的策略。 | |
Annex_I(1.3) | 通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶,来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。 | |
Annex_I(1.3) | 通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶,来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。 | |
Annex_I(1.3) | 通过确保 Amazon SageMaker 笔记本不允许直接访问互联网,管理对 AWS 云中资源的访问。通过防止直接访问互联网,您可以防止未经授权的用户访问敏感数据。 | |
Annex_I(5.1) | 确保在 Elastic Load Balancers (ELB) 上启用 AWS WAF,以帮助保护 Web 应用程序。WAF 有助于保护您的 Web 应用程序或 API 免遭常见 Web 漏洞的侵害。这些 Web 漏洞可能会影响可用性、损害安全性或消耗环境中过多的资源。 | |
Annex_I(5.1) | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以通过对 AWS 资源的入口和出口网络流量进行有状态筛选,从而帮助管理网络访问。限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。 | |
Annex_I(5.1) | 确保您的 AWS WAF 有一条不为空的规则。不含条件的规则可能会导致意外行为。 | |
Annex_I(5.1) | 确保您的 AWS WAF 有一个不为空的规则组。空规则组可能会导致意外行为。 | |
Annex_I(5.1) | 连接到 AWS WAF 的 Web ACL 可以包含一组用于检查和控制 Web 请求的规则和规则组。如果 Web ACL 为空,Web 流量将直接通过,而不会被 WAF 检测或处理。 | |
Annex_I(5.1) | 通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口,来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源,可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源,可以控制对内部系统的远程访问。 | |
Annex_I(5.1) | 通过 AWS WAF,您可以配置一组规则(称为 Web 访问控制列表,即 Web ACL),基于可自定义的 Web 安全规则以及您定义的条件,允许、阻止 Web 请求或统计 Web 请求数量。确保您的 Amazon API Gateway 阶段与某个 WAF Web ACL 关联,以保护其免受恶意攻击 | |
Annex_I(5.1) | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可对 AWS 资源的入口和出口网络流量进行有状态过滤,从而帮助管理网络访问。不允许您资源上的入口(或远程)流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。 | |
Annex_I(5.1) | 通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口,来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源,可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数(Config 默认值:20,21,3389,3306,4333)。实际值应反映贵组织的策略。 | |
Annex_I(6) | 使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。AWSSystems Manager 会为您的托管实例分配配置状态,并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。 | |
Annex_I(6) | 启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。此规则根据贵组织的政策和程序的要求检查 AWS Systems Manager 中的 Amazon EC2 实例补丁是否合规。 | |
Annex_I(6) | Amazon GuardDuty 按严重程度(低、中、高)对调查结果进行分类,从而帮助您了解事件的影响。您可以使用这些分类来确定补救策略和优先级。此规则允许您根据组织政策的要求,选择设置非存档调查结果的 daysLowSev(Config 默认值:30)、daysMediumSev(Config 默认值:7)和 daysHighSev(Config 默认值:1)。 | |
Annex_I(6) | 为 Amazon Elastic Beanstalk 环境启用受管平台更新可确保安装环境的最新可用平台修复、更新和功能。及时安装补丁是保护系统的最佳实践。 | |
Annex_I(6) | 启用 Amazon Relational Database Service (RDS) 实例的自动次要版本升级,以确保安装关系数据库管理系统 (RDBMS) 的最新次要版本更新,其中可能包括安全补丁和错误修复。 | |
Annex_I(6) | 此规则可确保 Amazon Redshift 集群具有适合贵组织的首选设置。具体而言,就是确保它们有首选的数据库维护窗口和自动快照保留期。此规则要求您设置 allowVersionUpgrade。默认值为 true。它还允许您选择设置 preferredMaintenanceWindow(默认值为 sat:16:00-sat:16:30)和 automatedSnapshotRetentionPeriod(默认值为 1)。实际值应反映贵组织的策略。 | |
Annex_I(6) | vuln-management-plan-exists(流程检查) | 确保制定并实施漏洞管理计划,以便有一个正式定义的流程来处理环境中的漏洞。 |
Annex_I(7.1) | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合,限制策略包含 "Effect": "Allow" with "Action": "*" over "Resource": "*"。允许用户拥有超过完成任务所需的权限,可能会违反最低权限和职责分离的原则。 | |
Annex_I(7.1) | 确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限,可能会违反最低权限和职责分离的原则。 | |
Annex_I(7.1) | 通过检查根用户的 AWS Identity and Access Management (IAM) 角色是否拥有访问密钥,可以控制对系统和资产的访问。确保删除根访问密钥。相反,创建和使用基于角色的 AWS 账户来帮助纳入最少功能原则。 | |
Annex_I(7.1) | 此规则可确保仅将 AWS Identity and Access Management (IAM) 策略附加到组或角色,以控制对系统和资产的访问。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。 | |
Annex_I(7.1) | 确保 AWS Identity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有控制系统和资产访问的内联策略。AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。 | |
Annex_I(7.2) | 身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过 NIST SP 800-63 和针对密码强度的 AWS 基础安全最佳实践标准规定的要求。此规则允许您为 IAM 密码策略选择设置 RequireUppercaseCharacters(AWS 基础安全最佳实践值:true)、RequireLowercaseCharacters(AWS 基础安全最佳实践值:true)、RequireSymbols(AWS 基础安全最佳实践值:true)、RequireNumbers(AWS 基础安全最佳实践值:true)、MinimumPasswordLength(AWS 基础安全最佳实践值:14)、PasswordReusePrevention(AWS 基础安全最佳实践值:24)和 MaxPasswordAge(AWS 基础安全最佳实践值:90)。实际值应反映贵组织的策略。 | |
Annex_I(7.3) | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可对 AWS 资源的入口和出口网络流量进行有状态过滤,从而帮助管理网络访问。不允许您资源上的入口(或远程)流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。 | |
Annex_I(7.4) | API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。 | |
Annex_I(7.4) | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您的 AWS 账户中 API 调用活动的详细信息。 | |
Annex_I(7.4) | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用 AWS 服务的用户和 AWS 账户、发出调用的源 IP 地址以及调用的时间。捕获的数据的详细信息可在 AWS CloudTrail“记录内容”中查看。 | |
Annex_I(7.4) | 收集 Simple Storage Service (Amazon S3) 数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。 | |
Annex_I(7.4) | 确保 Amazon OpenSearch Service 域已启用错误日志,并将其流式传输到 Amazon CloudWatch Logs 以进行保留和响应。域错误日志可以帮助进行安全和访问审核,还可以帮助诊断可用性问题。 | |
Annex_I(7.4) | AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。AWSSecurity Hub 可以聚合、组织和优先处理来自多个 AWS 服务的安全告警或结果。其中一些服务包括 Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management (IAM) Access Analyzer、AWS Firewall Manager 和 AWS 合作伙伴解决方案。 | |
Annex_I(7.4) | 确保为日志组保留事件日志数据的最短时间,以帮助进行故障排除和取证调查。缺乏过去的事件日志数据会让重建和识别潜在的恶意事件变得困难。 | |
Annex_I(7.4) | Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息 (例如,收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。 | |
Annex_I(7.4) | 确保已启用 AWS CodeBuild 项目日志记录,以便将构建输出日志发送到 Amazon CloudWatch 或 Amazon Simple Storage Service (Amazon S3)。构建输出日志提供有关您的构建项目的详细信息。 | |
Annex_I(7.4) | 确保在 Amazon OpenSearch Service 域中启用审计日志记录。审计日志记录允许您跟踪 OpenSearch 域上的用户活动,包括成功和失败的身份验证、对 OpenSearch 的请求、索引更改以及传入的搜索查询。 | |
Annex_I(7.4) | 确保 Amazon OpenSearch Service 域已启用错误日志,并将其流式传输到 Amazon CloudWatch Logs 以进行保留和响应。OpenSearch Service 错误日志可以帮助进行安全和访问审核,还可以帮助诊断可用性问题。 | |
Annex_I(7.4) | 要捕获有关您的 Amazon Redshift 集群上的连接和用户活动的信息,请确保已启用审计日志记录。 | |
Annex_I(7.4) | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED,CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外,当 AWS 推出新区域时,CloudTrail 将在新区域中创建相同的跟踪。因此,您无需采取任何措施,即可收到包含新区域的 API 活动的日志文件。 | |
Annex_I(7.4) | 为了帮助在环境中进行日志记录和监控,请确保已启用 Amazon Relational Database Service (Amazon RDS) 日志记录。利用 Amazon RDS 日志记录,您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。 | |
Annex_I(7.4) | Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录,来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码(如果相关)。 | |
Annex_I(7.4) | VPC 流日志详细记录进出 Amazon Virtual Private Cloud (Amazon VPC) 网络接口的 IP 流量信息。默认情况下,流日志记录包括 IP 流的不同组件的值,包括源、目标和协议。 | |
Annex_I(7.4) | 为了帮助在您的环境中进行日志记录和监控,请在区域和全局 Web ACL 上启用 AWS WAF (V2) 日志记录。AWSWAF 日志记录提供有关 Web ACL 分析的流量的详细信息。日志记录 AWS 接收来自 AWS 资源的请求的时间,有关请求的详细信息,以及每个请求所匹配的规则的操作。 | |
Annex_I(7.4) | 要保护静态数据,请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录,以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted(Config 默认值:TRUE)和 loggingEnabled(Config 默认值:TRUE)设置值。实际值应反映贵组织的策略。 | |
Annex_I(10.2) | security-awareness-program-exists(流程检查) | 为您的组织制定并维护安全认知计划。安全认知计划教育员工如何保护其组织免受各种安全漏洞或事件的侵害。 |
Annex_I(12) | Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 会自动创建数据库实例的存储卷快照,备份整个数据库实例。系统允许您设置特定的保留期以满足您的弹性要求。 | |
Annex_I(12) | 为了帮助完成数据备份流程,请确保 AWS 备份计划中包含您的 Amazon DynamoDB 表。AWSBackup 是一项完全托管式备份服务,具有基于策略的备份解决方案。该解决方案可简化您的备份管理,使您能够满足业务和监管备份合规性要求。 | |
Annex_I(12) | 启用此规则可检查信息是否已备份。它还通过确保在 Amazon DynamoDB 中启用时间点恢复,来维护备份。恢复过程会维持表在过去 35 天的连续备份。 | |
Annex_I(12) | 为了帮助完成数据备份流程,请确保 AWS 备份计划中包含您的 Amazon Elastic Block Store (Amazon EBS) 卷。AWSBackup 是一项完全托管式备份服务,具有基于策略的备份解决方案。该解决方案可简化您的备份管理,使您能够满足业务和监管备份合规性要求。 | |
Annex_I(12) | 为了帮助完成数据备份流程,请确保 AWS 备份计划中包含您的 Amazon Elastic File System (Amazon EFS) 文件系统。AWSBackup 是一项完全托管式备份服务,具有基于策略的备份解决方案。该解决方案可简化您的备份管理,使您能够满足业务和监管备份合规性要求。 | |
Annex_I(12) | 为了帮助完成数据备份流程,请确保 AWS 备份计划中包含您的 Amazon Aurora 资源。AWSBackup 是一项完全托管式备份服务,具有基于策略的备份解决方案。该解决方案可简化您的备份管理,使您能够满足业务和监管备份合规性要求。 | |
Annex_I(12) | 为了帮助完成数据备份流程,请确保为 AWS Backup 计划设置最低频率和保留期。AWSBackup 是一项完全托管式备份服务,具有基于策略的备份解决方案。该解决方案可简化您的备份管理,使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredFrequencyValue(Config 默认值:1)、requiredRetentionDays(Config 默认值:35)和 requiredFrequencyUnit(Config 默认值:days)参数。实际值应反映贵组织的需求。 | |
Annex_I(12) | 启用自动备份后,Amazon ElastiCache 会每天为集群创建一个备份。备份可保留的天数由贵组织规定。自动备份可以帮助防止数据丢失。发生故障时,您可以通过从最新的备份还原数据来创建新集群。 | |
Annex_I(12) | 为了帮助完成数据备份流程,请确保您的 Amazon Redshift 集群具有自动快照。当某个集群的自动快照处于启用状态时,Redshift 会定期拍摄该集群的快照。默认情况下,Redshift 大约每 8 小时或在每节点数据更改达到 5 GB 时拍摄一次快照,以先到者为准。 | |
Annex_I(12) | 为了帮助完成数据备份流程,请确保 AWS 备份计划中包含您的 Amazon Relational Database Service (Amazon RDS) 实例。AWSBackup 是一项完全托管式备份服务,具有基于策略的备份解决方案。该解决方案可简化您的备份管理,使您能够满足业务和监管备份合规性要求。 | |
Annex_I(12) | Amazon Simple Storage Service (Amazon S3) 跨区域复制 (CRR) 支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象,以帮助确保数据的可用性。 | |
Annex_I(12) | Amazon Simple Storage Service (Amazon S3) 存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象,使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。 |
模板
该模板可在 GitHub 上找到:印度储备银行 UCB 网络安全框架操作最佳实践