本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
Well-Architecte AWS d Framework 安全支柱的最佳运营实践
Conformance Pack 提供了一个通用的合规框架，旨在使您能够使用托管或自定义 AWS Config 规则和 AWS Config 补救措施来创建安全、运营或成本优化治理检查。作为示例模板，合规包并不是为了完全确保遵守特定的治理或合规标准而设计的。您有责任自行评估自己对服务的使用是否符合适用的法律和监管要求。
以下提供了亚马逊网络服务的 Well-Architected Framework 安全支柱与托管配置规则之间的映射示例。 AWS 每条 Config 规则都适用于特定 AWS 资源，并与支柱的一个或多个设计原则相关。一个 Well-Architected Framework 类别可以与多个 Config 规则相关联。有关这些映射的更多详细信息和指导，请参阅下表。
| 控制 ID | 控制描述 | AWS Config 规则 | 指南 |
|---|---|---|---|
| SEC-1 | 如何安全地操作工作负载？ 为了安全地操作您的工作负载，您必须将纲领性最佳实践应用于每个安全领域。将您在组织和工作负载级别的卓越运营中定义的要求和流程应用于所有领域。及时了解行业建议 AWS 和威胁情报可以帮助您发展威胁模型和控制目标。通过自动化安全流程、测试和验证，您可以扩大安全运营规模。 | Organiz AWS ations AWS 账户 内部的集中管理有助于确保账户合规。缺乏集中式账户管理可能会导致账户配置不一致，从而可能泄露资源和敏感数据。 | |
| SEC-1 | 如何安全地操作工作负载？ 为了安全地操作您的工作负载，您必须将纲领性最佳实践应用于每个安全领域。将您在组织和工作负载级别的卓越运营中定义的要求和流程应用于所有领域。及时了解行业建议 AWS 和威胁情报可以帮助您发展威胁模型和控制目标。通过自动化安全流程、测试和验证，您可以扩大安全运营规模。 | 确保所有拥有控制台密码的 Identity and Iden MFA t AWS ity and Access Managemen IAM t () 用户都启用 AWS 云端资源的访问权限。MFA在登录凭据之上添加了一层额外的保护。通过MFA要求用户，您可以减少帐户被盗事件，并防止未经授权的用户访问敏感数据。 | |
| SEC-1 | 如何安全地操作工作负载？ 为了安全地操作您的工作负载，您必须将纲领性最佳实践应用于每个安全领域。将您在组织和工作负载级别的卓越运营中定义的要求和流程应用于所有领域。及时了解行业建议 AWS 和威胁情报可以帮助您发展威胁模型和控制目标。通过自动化安全流程、测试和验证，您可以扩大安全运营规模。 | 启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多因素身份验证 (MFA)。MFA在登录凭据之上添加了一层额外的保护。通过要求MFA用户来减少账户被盗事件。 | |
| SEC-1 | 如何安全地操作工作负载？ 为了安全地操作您的工作负载，您必须将纲领性最佳实践应用于每个安全领域。将您在组织和工作负载级别的卓越运营中定义的要求和流程应用于所有领域。及时了解行业建议 AWS 和威胁情报可以帮助您发展威胁模型和控制目标。通过自动化安全流程、测试和验证，您可以扩大安全运营规模。 | 通过检查 root 用户是否没有将访问密钥附加到其 Identity and Access Managem AWS ent (IAM) 角色，可以控制对系统和资产的访问。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户 方法来帮助整合功能最少的原则。 | |
| SEC-1 | 如何安全地操作工作负载？ 为了安全地操作您的工作负载，您必须将纲领性最佳实践应用于每个安全领域。将您在组织和工作负载级别的卓越运营中定义的要求和流程应用于所有领域。及时了解行业建议 AWS 和威胁情报可以帮助您发展威胁模型和控制目标。通过自动化安全流程、测试和验证，您可以扩大安全运营规模。 | 确保为 root 用户启用硬件MFA，从而管理对 AWS 云中资源的访问权限。根用户是 AWS 账户中权限最高的用户。为登录凭证MFA增加了一层额外的保护。通过MFA要求使用 root 用户，可以减少泄露事件 AWS 账户。 | |
| SEC-1 | 如何安全地操作工作负载？ 为了安全地操作您的工作负载，您必须将纲领性最佳实践应用于每个安全领域。将您在组织和工作负载级别的卓越运营中定义的要求和流程应用于所有领域。及时了解行业建议 AWS 和威胁情报可以帮助您发展威胁模型和控制目标。通过自动化安全流程、测试和验证，您可以扩大安全运营规模。 | 确保为 root 用户启用MFA对 AWS 云端资源的访问权限。根用户是 AWS 账户中权限最高的用户。为登录凭证MFA增加了一层额外的保护。通过MFA要求使用 root 用户，可以减少泄露事件 AWS 账户。 | |
| SEC-1 | 如何安全地操作工作负载？ 为了安全地操作您的工作负载，您必须将纲领性最佳实践应用于每个安全领域。将您在组织和工作负载级别的卓越运营中定义的要求和流程应用于所有领域。及时了解行业建议 AWS 和威胁情报可以帮助您发展威胁模型和控制目标。通过自动化安全流程、测试和验证，您可以扩大安全运营规模。 | 通过使用 Syst AWS ems Manager 管理亚马逊弹性计算云 (AmazonEC2) 实例，可以清点组织内的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发行商和版本以及有关您的环境的其他详细信息。 | |
| SEC-1 | 如何安全地操作工作负载？ 为了安全地操作您的工作负载，您必须将纲领性最佳实践应用于每个安全领域。将您在组织和工作负载级别的卓越运营中定义的要求和流程应用于所有领域。及时了解行业建议 AWS 和威胁情报可以帮助您发展威胁模型和控制目标。通过自动化安全流程、测试和验证，您可以扩大安全运营规模。 | 使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。 AWS Systems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。 | |
| SEC-1 | 如何安全地操作工作负载？ 为了安全地操作您的工作负载，您必须将纲领性最佳实践应用于每个安全领域。将您在组织和工作负载级别的卓越运营中定义的要求和流程应用于所有领域。及时了解行业建议 AWS 和威胁情报可以帮助您发展威胁模型和控制目标。通过自动化安全流程、测试和验证，您可以扩大安全运营规模。 | 启用此规则可帮助识别和记录亚马逊弹性计算云 (AmazonEC2) 漏洞。该规则根据贵组织的政策和程序的要求检查 S AWS ystems Manager 中的亚马逊EC2实例补丁是否合规。 | |
| SEC-1 | 如何安全地操作工作负载？ 为了安全地操作您的工作负载，您必须将纲领性最佳实践应用于每个安全领域。将您在组织和工作负载级别的卓越运营中定义的要求和流程应用于所有领域。及时了解行业建议 AWS 和威胁情报可以帮助您发展威胁模型和控制目标。通过自动化安全流程、测试和验证，您可以扩大安全运营规模。 | 确保 AWS Codebuild 项目环境中KEY不存在身份验证凭据 AWS ACCESS AWS SECRET ACCESS _ _ KEY _ID 和 _ _。不要以明文形式存储这些变量。以明文形式存储这些变量会导致意外的数据泄露和未经授权的访问。 | |
| SEC-2 | 您如何管理人员和机器的身份？ 在处理安全工作 AWS 负载时，您需要管理两种类型的身份。了解您需要管理和授予访问权限的身份类型有助于确保正确的身份能够在适当的条件下访问正确的资源。人类身份：您的管理员、开发人员、操作员和最终用户需要身份才能访问您的 AWS 环境和应用程序。这些是您组织的成员，或者是您与之合作的外部用户，他们通过 Web 浏览器、客户端应用程序或交互式命令行工具与您的 AWS 资源进行交互。机器身份：您的服务应用程序、操作工具和工作负载需要身份才能向 AWS 服务发出请求（例如，读取数据）。这些身份包括在您的 AWS 环境中运行的机器，例如 Amazon EC2 实例或 AWS Lambda 函数。您还可以为需要访问权限的外部各方管理计算机身份。此外，您可能还有外部 AWS 的计算机需要访问您的 AWS 环境。 | 身份和凭证是根据组织IAM密码策略颁发、管理和验证的。它们符合或超过 NIST SP 800-63 和 AWS 基础安全最佳实践标准对密码强度的要求。此规则允许您选择设置 RequireUppercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireSymbols （AWS 基础安全最佳实践值：true）、 RequireNumbers （AWS 基础安全最佳实践值：true）、 MinimumPasswordLength （AWS 基础安全最佳实践值：14）、 PasswordReusePrevention （AWS 基础安全最佳实践值：24）和 MaxPasswordAge （AWS 基础安全最佳实践值：90）IAM密码政策。实际值应反映贵组织的策略。 | |
| SEC-2 | 您如何管理人员和机器的身份？ 在处理安全工作 AWS 负载时，您需要管理两种类型的身份。了解您需要管理和授予访问权限的身份类型有助于确保正确的身份能够在适当的条件下访问正确的资源。人类身份：您的管理员、开发人员、操作员和最终用户需要身份才能访问您的 AWS 环境和应用程序。这些是您组织的成员，或者是您与之合作的外部用户，他们通过 Web 浏览器、客户端应用程序或交互式命令行工具与您的 AWS 资源进行交互。机器身份：您的服务应用程序、操作工具和工作负载需要身份才能向 AWS 服务发出请求（例如，读取数据）。这些身份包括在您的 AWS 环境中运行的机器，例如 Amazon EC2 实例或 AWS Lambda 函数。您还可以为需要访问权限的外部各方管理计算机身份。此外，您可能还有外部 AWS 的计算机需要访问您的 AWS 环境。 | 确保为 root 用户启用硬件MFA，从而管理对 AWS 云中资源的访问权限。根用户是 AWS 账户中权限最高的用户。为登录凭证MFA增加了一层额外的保护。通过MFA要求使用 root 用户，可以减少泄露事件 AWS 账户。 | |
| SEC-2 | 您如何管理人员和机器的身份？ 在处理安全工作 AWS 负载时，您需要管理两种类型的身份。了解您需要管理和授予访问权限的身份类型有助于确保正确的身份能够在适当的条件下访问正确的资源。人类身份：您的管理员、开发人员、操作员和最终用户需要身份才能访问您的 AWS 环境和应用程序。这些是您组织的成员，或者是您与之合作的外部用户，他们通过 Web 浏览器、客户端应用程序或交互式命令行工具与您的 AWS 资源进行交互。机器身份：您的服务应用程序、操作工具和工作负载需要身份才能向 AWS 服务发出请求（例如，读取数据）。这些身份包括在您的 AWS 环境中运行的机器，例如 Amazon EC2 实例或 AWS Lambda 函数。您还可以为需要访问权限的外部各方管理计算机身份。此外，您可能还有外部 AWS 的计算机需要访问您的 AWS 环境。 | 确保为 root 用户启用MFA对 AWS 云端资源的访问权限。根用户是 AWS 账户中权限最高的用户。为登录凭证MFA增加了一层额外的保护。通过MFA要求使用 root 用户，可以减少泄露事件 AWS 账户。 | |
| SEC-2 | 您如何管理人员和机器的身份？ 在处理安全工作 AWS 负载时，您需要管理两种类型的身份。了解您需要管理和授予访问权限的身份类型有助于确保正确的身份能够在适当的条件下访问正确的资源。人类身份：您的管理员、开发人员、操作员和最终用户需要身份才能访问您的 AWS 环境和应用程序。这些是您组织的成员，或者是您与之合作的外部用户，他们通过 Web 浏览器、客户端应用程序或交互式命令行工具与您的 AWS 资源进行交互。机器身份：您的服务应用程序、操作工具和工作负载需要身份才能向 AWS 服务发出请求（例如，读取数据）。这些身份包括在您的 AWS 环境中运行的机器，例如 Amazon EC2 实例或 AWS Lambda 函数。您还可以为需要访问权限的外部各方管理计算机身份。此外，您可能还有外部 AWS 的计算机需要访问您的 AWS 环境。 | 启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多因素身份验证 (MFA)。MFA在登录凭据之上添加了一层额外的保护。通过要求MFA用户来减少账户被盗事件。 | |
| SEC-2 | 您如何管理人员和机器的身份？ 在处理安全工作 AWS 负载时，您需要管理两种类型的身份。了解您需要管理和授予访问权限的身份类型有助于确保正确的身份能够在适当的条件下访问正确的资源。人类身份：您的管理员、开发人员、操作员和最终用户需要身份才能访问您的 AWS 环境和应用程序。这些是您组织的成员，或者是您与之合作的外部用户，他们通过 Web 浏览器、客户端应用程序或交互式命令行工具与您的 AWS 资源进行交互。机器身份：您的服务应用程序、操作工具和工作负载需要身份才能向 AWS 服务发出请求（例如，读取数据）。这些身份包括在您的 AWS 环境中运行的机器，例如 Amazon EC2 实例或 AWS Lambda 函数。您还可以为需要访问权限的外部各方管理计算机身份。此外，您可能还有外部 AWS 的计算机需要访问您的 AWS 环境。 | 确保所有拥有控制台密码的 Identity and Iden MFA t AWS ity and Access Managemen IAM t () 用户都启用 AWS 云端资源的访问权限。MFA在登录凭据之上添加了一层额外的保护。通过MFA要求用户，您可以减少帐户被盗事件，并防止未经授权的用户访问敏感数据。 | |
| SEC-2 | 您如何管理人员和机器的身份？ 在处理安全工作 AWS 负载时，您需要管理两种类型的身份。了解您需要管理和授予访问权限的身份类型有助于确保正确的身份能够在适当的条件下访问正确的资源。人类身份：您的管理员、开发人员、操作员和最终用户需要身份才能访问您的 AWS 环境和应用程序。这些是您组织的成员，或者是您与之合作的外部用户，他们通过 Web 浏览器、客户端应用程序或交互式命令行工具与您的 AWS 资源进行交互。机器身份：您的服务应用程序、操作工具和工作负载需要身份才能向 AWS 服务发出请求（例如，读取数据）。这些身份包括在您的 AWS 环境中运行的机器，例如 Amazon EC2 实例或 AWS Lambda 函数。您还可以为需要访问权限的外部各方管理计算机身份。此外，您可能还有外部 AWS 的计算机需要访问您的 AWS 环境。 | 如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。 | |
| SEC-2 | 您如何管理人员和机器的身份？ 在处理安全工作 AWS 负载时，您需要管理两种类型的身份。了解您需要管理和授予访问权限的身份类型有助于确保正确的身份能够在适当的条件下访问正确的资源。人类身份：您的管理员、开发人员、操作员和最终用户需要身份才能访问您的 AWS 环境和应用程序。这些是您组织的成员，或者是您与之合作的外部用户，他们通过 Web 浏览器、客户端应用程序或交互式命令行工具与您的 AWS 资源进行交互。机器身份：您的服务应用程序、操作工具和工作负载需要身份才能向 AWS 服务发出请求（例如，读取数据）。这些身份包括在您的 AWS 环境中运行的机器，例如 Amazon EC2 实例或 AWS Lambda 函数。您还可以为需要访问权限的外部各方管理计算机身份。此外，您可能还有外部 AWS 的计算机需要访问您的 AWS 环境。 | AWS Identity and Access Management (IAM) 可以确保IAM群组至少有一个用户，从而帮助您将最小权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。 | |
| SEC-2 | 您如何管理人员和机器的身份？ 在处理安全工作 AWS 负载时，您需要管理两种类型的身份。了解您需要管理和授予访问权限的身份类型有助于确保正确的身份能够在适当的条件下访问正确的资源。人类身份：您的管理员、开发人员、操作员和最终用户需要身份才能访问您的 AWS 环境和应用程序。这些是您组织的成员，或者是您与之合作的外部用户，他们通过 Web 浏览器、客户端应用程序或交互式命令行工具与您的 AWS 资源进行交互。机器身份：您的服务应用程序、操作工具和工作负载需要身份才能向 AWS 服务发出请求（例如，读取数据）。这些身份包括在您的 AWS 环境中运行的机器，例如 Amazon EC2 实例或 AWS Lambda 函数。您还可以为需要访问权限的外部各方管理计算机身份。此外，您可能还有外部 AWS 的计算机需要访问您的 AWS 环境。 | 确保 I AWS dentity and Access Management (IAM) 用户、IAM角色或IAM组没有控制系统和资产访问权限的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。 | |
| SEC-2 | 您如何管理人员和机器的身份？ 在处理安全工作 AWS 负载时，您需要管理两种类型的身份。了解您需要管理和授予访问权限的身份类型有助于确保正确的身份能够在适当的条件下访问正确的资源。人类身份：您的管理员、开发人员、操作员和最终用户需要身份才能访问您的 AWS 环境和应用程序。这些是您组织的成员，或者是您与之合作的外部用户，他们通过 Web 浏览器、客户端应用程序或交互式命令行工具与您的 AWS 资源进行交互。机器身份：您的服务应用程序、操作工具和工作负载需要身份才能向 AWS 服务发出请求（例如，读取数据）。这些身份包括在您的 AWS 环境中运行的机器，例如 Amazon EC2 实例或 AWS Lambda 函数。您还可以为需要访问权限的外部各方管理计算机身份。此外，您可能还有外部 AWS 的计算机需要访问您的 AWS 环境。 | AWS Identity and Access Management (IAM) 可以帮助您将最小权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“*” 而不是 “资源”：“*”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| SEC-2 | 您如何管理人员和机器的身份？ 在处理安全工作 AWS 负载时，您需要管理两种类型的身份。了解您需要管理和授予访问权限的身份类型有助于确保正确的身份能够在适当的条件下访问正确的资源。人类身份：您的管理员、开发人员、操作员和最终用户需要身份才能访问您的 AWS 环境和应用程序。这些是您组织的成员，或者是您与之合作的外部用户，他们通过 Web 浏览器、客户端应用程序或交互式命令行工具与您的 AWS 资源进行交互。机器身份：您的服务应用程序、操作工具和工作负载需要身份才能向 AWS 服务发出请求（例如，读取数据）。这些身份包括在您的 AWS 环境中运行的机器，例如 Amazon EC2 实例或 AWS Lambda 函数。您还可以为需要访问权限的外部各方管理计算机身份。此外，您可能还有外部 AWS 的计算机需要访问您的 AWS 环境。 | 确保IAM操作仅限于需要的操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| SEC-2 | 您如何管理人员和机器的身份？ 在处理安全工作 AWS 负载时，您需要管理两种类型的身份。了解您需要管理和授予访问权限的身份类型有助于确保正确的身份能够在适当的条件下访问正确的资源。人类身份：您的管理员、开发人员、操作员和最终用户需要身份才能访问您的 AWS 环境和应用程序。这些是您组织的成员，或者是您与之合作的外部用户，他们通过 Web 浏览器、客户端应用程序或交互式命令行工具与您的 AWS 资源进行交互。机器身份：您的服务应用程序、操作工具和工作负载需要身份才能向 AWS 服务发出请求（例如，读取数据）。这些身份包括在您的 AWS 环境中运行的机器，例如 Amazon EC2 实例或 AWS Lambda 函数。您还可以为需要访问权限的外部各方管理计算机身份。此外，您可能还有外部 AWS 的计算机需要访问您的 AWS 环境。 | AWS Identity and Access Management (IAM) 可以确保用户是至少一个群组的成员，从而帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| SEC-2 | 您如何管理人员和机器的身份？ 在处理安全工作 AWS 负载时，您需要管理两种类型的身份。了解您需要管理和授予访问权限的身份类型有助于确保正确的身份能够在适当的条件下访问正确的资源。人类身份：您的管理员、开发人员、操作员和最终用户需要身份才能访问您的 AWS 环境和应用程序。这些是您组织的成员，或者是您与之合作的外部用户，他们通过 Web 浏览器、客户端应用程序或交互式命令行工具与您的 AWS 资源进行交互。机器身份：您的服务应用程序、操作工具和工作负载需要身份才能向 AWS 服务发出请求（例如，读取数据）。这些身份包括在您的 AWS 环境中运行的机器，例如 Amazon EC2 实例或 AWS Lambda 函数。您还可以为需要访问权限的外部各方管理计算机身份。此外，您可能还有外部 AWS 的计算机需要访问您的 AWS 环境。 | AWS Identity and Access Management (IAM) 可以通过检查指定时间段内未使用的IAM密码和访问密钥来帮助您获得访问权限和授权。如果发现这些未使用的凭证，则应禁用和/或删除这些凭证，因为这可能违反最低权限原则。此规则要求您为 “ maxCredentialUsage年龄” 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。 | |
| SEC-2 | 您如何管理人员和机器的身份？ 在处理安全工作 AWS 负载时，您需要管理两种类型的身份。了解您需要管理和授予访问权限的身份类型有助于确保正确的身份能够在适当的条件下访问正确的资源。人类身份：您的管理员、开发人员、操作员和最终用户需要身份才能访问您的 AWS 环境和应用程序。这些是您组织的成员，或者是您与之合作的外部用户，他们通过 Web 浏览器、客户端应用程序或交互式命令行工具与您的 AWS 资源进行交互。机器身份：您的服务应用程序、操作工具和工作负载需要身份才能向 AWS 服务发出请求（例如，读取数据）。这些身份包括在您的 AWS 环境中运行的机器，例如 Amazon EC2 实例或 AWS Lambda 函数。您还可以为需要访问权限的外部各方管理计算机身份。此外，您可能还有外部 AWS 的计算机需要访问您的 AWS 环境。 | 此规则可确保 S AWS ecrets Manager 密钥已启用轮换。定期轮换机密可以缩短机密的有效期，并有可能减少机密泄露时对业务的影响。 | |
| SEC-2 | 您如何管理人员和机器的身份？ 在处理安全工作 AWS 负载时，您需要管理两种类型的身份。了解您需要管理和授予访问权限的身份类型有助于确保正确的身份能够在适当的条件下访问正确的资源。人类身份：您的管理员、开发人员、操作员和最终用户需要身份才能访问您的 AWS 环境和应用程序。这些是您组织的成员，或者是您与之合作的外部用户，他们通过 Web 浏览器、客户端应用程序或交互式命令行工具与您的 AWS 资源进行交互。机器身份：您的服务应用程序、操作工具和工作负载需要身份才能向 AWS 服务发出请求（例如，读取数据）。这些身份包括在您的 AWS 环境中运行的机器，例如 Amazon EC2 实例或 AWS Lambda 函数。您还可以为需要访问权限的外部各方管理计算机身份。此外，您可能还有外部 AWS 的计算机需要访问您的 AWS 环境。 | 此规则可确保 S AWS ecrets Manager 密钥已根据轮换计划成功轮换。定期轮换机密可以缩短机密的有效期，并有可能减少机密泄露时对业务的影响。 | |
| SEC-2 | 您如何管理人员和机器的身份？ 在处理安全工作 AWS 负载时，您需要管理两种类型的身份。了解您需要管理和授予访问权限的身份类型有助于确保正确的身份能够在适当的条件下访问正确的资源。人类身份：您的管理员、开发人员、操作员和最终用户需要身份才能访问您的 AWS 环境和应用程序。这些是您组织的成员，或者是您与之合作的外部用户，他们通过 Web 浏览器、客户端应用程序或交互式命令行工具与您的 AWS 资源进行交互。机器身份：您的服务应用程序、操作工具和工作负载需要身份才能向 AWS 服务发出请求（例如，读取数据）。这些身份包括在您的 AWS 环境中运行的机器，例如 Amazon EC2 实例或 AWS Lambda 函数。您还可以为需要访问权限的外部各方管理计算机身份。此外，您可能还有外部 AWS 的计算机需要访问您的 AWS 环境。 | 此规则可确保 S AWS ecrets Manager 密钥启用定期轮换。定期轮换机密可以缩短机密的有效期，并有可能减少机密泄露时对业务的影响。默认值为 90 天。 | |
| SEC-2 | 您如何管理人员和机器的身份？ 在处理安全工作 AWS 负载时，您需要管理两种类型的身份。了解您需要管理和授予访问权限的身份类型有助于确保正确的身份能够在适当的条件下访问正确的资源。人类身份：您的管理员、开发人员、操作员和最终用户需要身份才能访问您的 AWS 环境和应用程序。这些是您组织的成员，或者是您与之合作的外部用户，他们通过 Web 浏览器、客户端应用程序或交互式命令行工具与您的 AWS 资源进行交互。机器身份：您的服务应用程序、操作工具和工作负载需要身份才能向 AWS 服务发出请求（例如，读取数据）。这些身份包括在您的 AWS 环境中运行的机器，例如 Amazon EC2 实例或 AWS Lambda 函数。您还可以为需要访问权限的外部各方管理计算机身份。此外，您可能还有外部 AWS 的计算机需要访问您的 AWS 环境。 | 如果 S AWS ecrets Manager 中存在未使用的凭证，则应禁用和/或删除凭证，因为这可能违反最低权限原则。此规则允许您将值设置为 unusedForDays （Config 默认值：90）。实际值应反映贵组织的策略。 | |
| SEC-2 | 您如何管理人员和机器的身份？ 在处理安全工作 AWS 负载时，您需要管理两种类型的身份。了解您需要管理和授予访问权限的身份类型有助于确保正确的身份能够在适当的条件下访问正确的资源。人类身份：您的管理员、开发人员、操作员和最终用户需要身份才能访问您的 AWS 环境和应用程序。这些是您组织的成员，或者是您与之合作的外部用户，他们通过 Web 浏览器、客户端应用程序或交互式命令行工具与您的 AWS 资源进行交互。机器身份：您的服务应用程序、操作工具和工作负载需要身份才能向 AWS 服务发出请求（例如，读取数据）。这些身份包括在您的 AWS 环境中运行的机器，例如 Amazon EC2 实例或 AWS Lambda 函数。您还可以为需要访问权限的外部各方管理计算机身份。此外，您可能还有外部 AWS 的计算机需要访问您的 AWS 环境。 | 为了帮助保护静态数据，请确保为 S AWS ecrets Manager 密 AWS 钥启用密钥管理服务 (AWS KMS) 的加密。由于 Secrets Manager 机密中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| SEC-2 | 您如何管理人员和机器的身份？ 在处理安全工作 AWS 负载时，您需要管理两种类型的身份。了解您需要管理和授予访问权限的身份类型有助于确保正确的身份能够在适当的条件下访问正确的资源。人类身份：您的管理员、开发人员、操作员和最终用户需要身份才能访问您的 AWS 环境和应用程序。这些是您组织的成员，或者是您与之合作的外部用户，他们通过 Web 浏览器、客户端应用程序或交互式命令行工具与您的 AWS 资源进行交互。机器身份：您的服务应用程序、操作工具和工作负载需要身份才能向 AWS 服务发出请求（例如，读取数据）。这些身份包括在您的 AWS 环境中运行的机器，例如 Amazon EC2 实例或 AWS Lambda 函数。您还可以为需要访问权限的外部各方管理计算机身份。此外，您可能还有外部 AWS 的计算机需要访问您的 AWS 环境。 | 通过确保按照组织策略的规定轮换IAM访问密钥，对授权设备、用户和进程的凭证进行审计。定期更改访问密钥是一种安全最佳实践。它会缩短访问密钥的有效期，并降低密钥泄露时对业务的影响。此规则需要访问密钥轮换值（配置默认值：90）。实际值应反映贵组织的策略。 | |
| SEC-3 | 如何管理人员和机器的权限？ 管理员、最终用户或其他组件都需要访问工作负载的每个组件或资源。明确定义什么人或什么内容应该有权访问每个组件，选择适当的身份类型以及身份验证和授权方法。 | 确保启用实例元数据服务版本 2 (IMDSv2) 方法，以帮助保护对亚马逊弹性计算云 (AmazonEC2) 实例元数据的访问和控制。该IMDSv2方法使用基于会话的控件。使用IMDSv2，可以实现控制以限制对实例元数据的更改。 | |
| SEC-3 | 如何管理人员和机器的权限？ 管理员、最终用户或其他组件都需要访问工作负载的每个组件或资源。明确定义什么人或什么内容应该有权访问每个组件，选择适当的身份类型以及身份验证和授权方法。 | EC2实例配置文件将IAM角色传递给EC2实例。将实例配置文件附加到您的实例可以帮助实现最低权限和权限管理。 | |
| SEC-3 | 如何管理人员和机器的权限？ 管理员、最终用户或其他组件都需要访问工作负载的每个组件或资源。明确定义什么人或什么内容应该有权访问每个组件，选择适当的身份类型以及身份验证和授权方法。 | 如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。 | |
| SEC-3 | 如何管理人员和机器的权限？ 管理员、最终用户或其他组件都需要访问工作负载的每个组件或资源。明确定义什么人或什么内容应该有权访问每个组件，选择适当的身份类型以及身份验证和授权方法。 | 为了帮助实施最低权限原则，请确保指定非根用户访问您的亚马逊弹性容器服务 (AmazonECS) 任务定义。 | |
| SEC-3 | 如何管理人员和机器的权限？ 管理员、最终用户或其他组件都需要访问工作负载的每个组件或资源。明确定义什么人或什么内容应该有权访问每个组件，选择适当的身份类型以及身份验证和授权方法。 | 为了帮助实现最低权限原则，亚马逊弹性容器服务 (AmazonECS) 任务定义不应启用权限提升。在该参数为 true 时，将为该容器提供提升的主机容器实例权限（类似于根用户）。 | |
| SEC-3 | 如何管理人员和机器的权限？ 管理员、最终用户或其他组件都需要访问工作负载的每个组件或资源。明确定义什么人或什么内容应该有权访问每个组件，选择适当的身份类型以及身份验证和授权方法。 | 启用对 Amazon 弹性容器服务 (ECS) 容器的只读访问权限有助于遵守最低权限原则。此选项可以减少攻击载体，因为除非容器实例具有明确的读写权限，否则无法修改其文件系统。 | |
| SEC-3 | 如何管理人员和机器的权限？ 管理员、最终用户或其他组件都需要访问工作负载的每个组件或资源。明确定义什么人或什么内容应该有权访问每个组件，选择适当的身份类型以及身份验证和授权方法。 | 为了帮助实施最小权限原则，请确保您的亚马逊弹性文件系统（AmazonEFS）启用用户强制功能。启用后，亚马逊会将NFS客户的用户和群组EFSIDs替换为在接入点上为所有文件系统操作配置的身份，并且仅授予访问该强制用户身份的权限。 | |
| SEC-3 | 如何管理人员和机器的权限？ 管理员、最终用户或其他组件都需要访问工作负载的每个组件或资源。明确定义什么人或什么内容应该有权访问每个组件，选择适当的身份类型以及身份验证和授权方法。 | 通过为 Amazon 集群启用 Kerberos，可以按照最小权限和职责分离的原则管理访问权限和授权。EMR在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分发中心 () KDC。它为委托人提供一种进行身份验证的方法。通过签发用于KDC身份验证的票证进行身份验证。KDC维护着一个包含其领域内的委托人、他们的密码以及有关每个委托人的其他管理信息的数据库。 | |
| SEC-3 | 如何管理人员和机器的权限？ 管理员、最终用户或其他组件都需要访问工作负载的每个组件或资源。明确定义什么人或什么内容应该有权访问每个组件，选择适当的身份类型以及身份验证和授权方法。 | AWS Identity and Access Management (IAM) 可以确保IAM群组至少有一个用户，从而帮助您将最小权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。 | |
| SEC-3 | 如何管理人员和机器的权限？ 管理员、最终用户或其他组件都需要访问工作负载的每个组件或资源。明确定义什么人或什么内容应该有权访问每个组件，选择适当的身份类型以及身份验证和授权方法。 | 确保 I AWS dentity and Access Management (IAM) 用户、IAM角色或IAM组没有控制系统和资产访问权限的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。 | |
| SEC-3 | 如何管理人员和机器的权限？ 管理员、最终用户或其他组件都需要访问工作负载的每个组件或资源。明确定义什么人或什么内容应该有权访问每个组件，选择适当的身份类型以及身份验证和授权方法。 | AWS Identity and Access Management (IAM) 可以帮助您将最小权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“*” 而不是 “资源”：“*”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| SEC-3 | 如何管理人员和机器的权限？ 管理员、最终用户或其他组件都需要访问工作负载的每个组件或资源。明确定义什么人或什么内容应该有权访问每个组件，选择适当的身份类型以及身份验证和授权方法。 | 确保IAM操作仅限于需要的操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| SEC-3 | 如何管理人员和机器的权限？ 管理员、最终用户或其他组件都需要访问工作负载的每个组件或资源。明确定义什么人或什么内容应该有权访问每个组件，选择适当的身份类型以及身份验证和授权方法。 | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对所有 AWS 密钥管理服务密钥的阻止操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。此规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms: decrypt，kms:）。ReEncryptFrom实际值应反映贵组织的策略 | |
| SEC-3 | 如何管理人员和机器的权限？ 管理员、最终用户或其他组件都需要访问工作负载的每个组件或资源。明确定义什么人或什么内容应该有权访问每个组件，选择适当的身份类型以及身份验证和授权方法。 | AWS Identity and Access Management (IAM) 可以确保IAM群组至少有一个用户，从而帮助您将最小权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。 | |
| SEC-3 | 如何管理人员和机器的权限？ 管理员、最终用户或其他组件都需要访问工作负载的每个组件或资源。明确定义什么人或什么内容应该有权访问每个组件，选择适当的身份类型以及身份验证和授权方法。 | AWS Identity and Access Management (IAM) 可以帮助您将最小权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“*” 而不是 “资源”：“*”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| SEC-3 | 如何管理人员和机器的权限？ 管理员、最终用户或其他组件都需要访问工作负载的每个组件或资源。明确定义什么人或什么内容应该有权访问每个组件，选择适当的身份类型以及身份验证和授权方法。 | 通过检查 root 用户是否没有将访问密钥附加到其 Identity and Access Managem AWS ent (IAM) 角色，可以控制对系统和资产的访问。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户 方法来帮助整合功能最少的原则。 | |
| SEC-3 | 如何管理人员和机器的权限？ 管理员、最终用户或其他组件都需要访问工作负载的每个组件或资源。明确定义什么人或什么内容应该有权访问每个组件，选择适当的身份类型以及身份验证和授权方法。 | AWS Identity and Access Management (IAM) 可以确保用户是至少一个群组的成员，从而帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| SEC-3 | 如何管理人员和机器的权限？ 管理员、最终用户或其他组件都需要访问工作负载的每个组件或资源。明确定义什么人或什么内容应该有权访问每个组件，选择适当的身份类型以及身份验证和授权方法。 | AWS Identity and Access Management (IAM) 可以通过检查指定时间段内未使用的IAM密码和访问密钥来帮助您获得访问权限和授权。如果发现这些未使用的凭证，则应禁用和/或删除这些凭证，因为这可能违反最低权限原则。此规则要求您为 “ maxCredentialUsage年龄” 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。 | |
| SEC-3 | 如何管理人员和机器的权限？ 建立通用控制措施，限制对组织中所有身份的访问。例如，您可以限制对特定 AWS 区域的访问权限，或者阻止操作员删除公共资源，例如用于中央安全团队的IAM角色 | Organiz AWS ations AWS 账户 内部的集中管理有助于确保账户合规。缺乏集中式账户管理可能会导致账户配置不一致，从而可能泄露资源和敏感数据。 | |
| SEC-3 | 如何管理人员和机器的权限？ 持续监控突显公开和跨账户访问权限的调查结果。减少公众访问和跨账户访问，只允许需要此类访问的资源进行访问。 | 通过确保DMS复制实例无法公开访问来管理对 AWS 云的访问权限。DMS复制实例可能包含敏感信息，因此需要对此类帐户进行访问控制。 | |
| SEC-3 | 如何管理人员和机器的权限？ 持续监控突显公开和跨账户访问权限的调查结果。减少公众访问和跨账户访问，只允许需要此类访问的资源进行访问。 | 通过确保EBS快照不可公开还原来管理对 AWS 云的访问权限。EBS卷快照可能包含敏感信息，需要对此类帐户进行访问控制。 | |
| SEC-3 | 如何管理人员和机器的权限？ 持续监控突显公开和跨账户访问权限的调查结果。减少公众访问和跨账户访问，只允许需要此类访问的资源进行访问。 | 通过确保无法公开访问亚马逊弹性计算云 (AmazonEC2) 实例来管理对云的访问。 AWS Amazon EC2 实例可能包含敏感信息，此类账户需要进行访问控制。 | |
| SEC-3 | 如何管理人员和机器的权限？ 持续监控突显公开和跨账户访问权限的调查结果。减少公众访问和跨账户访问，只允许需要此类访问的资源进行访问。 | 通过确保亚马逊 OpenSearch 服务（OpenSearch 服务）域位于亚马逊虚拟私有 AWS 云（亚马逊）内来管理对云的访问。VPC亚马逊内的 OpenSearch 服务域VPC可实现服务与亚马逊内部其他 OpenSearch 服务之间的安全通信，VPC而无需互联网网关、NAT设备或VPN连接。 | |
| SEC-3 | 如何管理人员和机器的权限？ 持续监控突显公开和跨账户访问权限的调查结果。减少公众访问和跨账户访问，只允许需要此类访问的资源进行访问。 | 通过确保亚马逊 OpenSearch 服务域位于亚马逊虚拟私有 AWS 云（亚马逊VPC）内来管理对云的访问。亚马逊内部的亚马逊 OpenSearch 服务域VPC可实现亚马逊 OpenSearch 服务与亚马逊内部其他服务之间的安全通信，VPC而无需互联网网关、NAT设备或VPN连接。 | |
| SEC-3 | 如何管理人员和机器的权限？ 持续监控突显公开和跨账户访问权限的调查结果。减少公众访问和跨账户访问，只允许需要此类访问的资源进行访问。 | 通过确保无法公开访问 Amazon EMR 集群主节点来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，此类账户需要进行访问控制。 | |
| SEC-3 | 如何管理人员和机器的权限？ 持续监控突显公开和跨账户访问权限的调查结果。减少公众访问和跨账户访问，只允许需要此类访问的资源进行访问。 | 在亚马逊虚拟私有云 (AmazonEC2) 中部署亚马逊弹性计算云 (AmazonVPC) 实例，无需互联网网关VPC、NAT设备或VPN连接，即可实现实例与亚马逊内部其他服务之间的安全通信。所有流量都安全地保存在 AWS 云中。由于其逻辑隔离，与使用公共终端节点的域相比，位于 Amazon 内的域VPC具有额外的安全层。将亚马逊EC2实例分配给亚马逊VPC以正确管理访问权限。 | |
| SEC-3 | 如何管理人员和机器的权限？ 持续监控突显公开和跨账户访问权限的调查结果。减少公众访问和跨账户访问，只允许需要此类访问的资源进行访问。 | 通过确保无法公开访问 AWS Lambda 函数来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。 | |
| SEC-3 | 如何管理人员和机器的权限？ 持续监控突显公开和跨账户访问权限的调查结果。减少公众访问和跨账户访问，只允许需要此类访问的资源进行访问。 | 在亚马逊虚拟私有云 (AmazonVPC) 中部署 AWS Lambda 函数，以实现功能与亚马逊内部其他服务之间的安全通信。VPC使用此配置，无需互联网网关、NAT设备或VPN连接。所有流量都安全地保存在 AWS 云中。由于其逻辑隔离，与使用公共终端节点的域相比，位于 Amazon 内的域VPC具有额外的安全层。为了正确管理访问权限，应 AWS 将 Lambda 函数分配给。VPC | |
| SEC-3 | 如何管理人员和机器的权限？ 持续监控突显公开和跨账户访问权限的调查结果。减少公众访问和跨账户访问，只允许需要此类访问的资源进行访问。 | 通过确保 Amazon Relational Database Service (AmazonRDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，此类账户需要遵守原则和访问控制。 | |
| SEC-3 | 如何管理人员和机器的权限？ 持续监控突显公开和跨账户访问权限的调查结果。减少公众访问和跨账户访问，只允许需要此类访问的资源进行访问。 | 通过确保 Amazon Relational Database Service (AmazonRDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息和原则，因此需要对此类账户进行访问控制。 | |
| SEC-3 | 如何管理人员和机器的权限？ 持续监控突显公开和跨账户访问权限的调查结果。减少公众访问和跨账户访问，只允许需要此类访问的资源进行访问。 | 通过确保 Amazon Redshift 集群不公开，管理对 AWS 云端资源的访问权限。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| SEC-3 | 如何管理人员和机器的权限？ 持续监控突显公开和跨账户访问权限的调查结果。减少公众访问和跨账户访问，只允许需要此类访问的资源进行访问。 | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置（配置默认值：True）、 ignorePublicAcls （配置默认值：True）、 blockPublicPolicy （配置默认值：True）和参数 blockPublicAcls （配置默认值：True）和 restrictPublicBuckets 参数（配置默认值：True）。实际值应反映贵组织的策略。 | |
| SEC-3 | 如何管理人员和机器的权限？ 持续监控突显公开和跨账户访问权限的调查结果。减少公众访问和跨账户访问，只允许需要此类访问的资源进行访问。 | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。 | |
| SEC-3 | 如何管理人员和机器的权限？ 持续监控突显公开和跨账户访问权限的调查结果。减少公众访问和跨账户访问，只允许需要此类访问的资源进行访问。 | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | |
| SEC-3 | 如何管理人员和机器的权限？ 持续监控突显公开和跨账户访问权限的调查结果。减少公众访问和跨账户访问，只允许需要此类访问的资源进行访问。 | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | |
| SEC-3 | 如何管理人员和机器的权限？ 持续监控突显公开和跨账户访问权限的调查结果。减少公众访问和跨账户访问，只允许需要此类访问的资源进行访问。 | 通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对 AWS 云端资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。 | |
| SEC-3 | 如何管理人员和机器的权限？ 持续监控突显公开和跨账户访问权限的调查结果。减少公众访问和跨账户访问，只允许需要此类访问的资源进行访问。 | 如果 S AWS ecrets Manager 中存在未使用的凭证，则应禁用和/或删除凭证，因为这可能违反最低权限原则。此规则允许您将值设置为 unusedForDays （Config 默认值：90）。实际值应反映贵组织的策略。 | |
| SEC-3 | 如何管理人员和机器的权限？ 持续监控突显公开和跨账户访问权限的调查结果。减少公众访问和跨账户访问，只允许需要此类访问的资源进行访问。 | 确保 AWS Systems Manager (SSM) 文档不公开，因为这可能会允许意外访问您的SSM文档。公共SSM文档可以公开有关您的账户、资源和内部流程的信息。 | |
| SEC-3 | 如何管理人员和机器的权限？ 持续监控突显公开和跨账户访问权限的调查结果。减少公众访问和跨账户访问，只允许需要此类访问的资源进行访问。 | 通过确保不会自动为亚马逊虚拟私有 AWS 云 Private Cloud (VPC) 子网分配公有 IP 地址来管理对云的访问。在启用了此属性的子网中启动的 Amazon Elastic Compute Cloud (EC2) 实例会为其主网络接口分配公有 IP 地址。 | |
| SEC-3 | 如何管理人员和机器的权限？ 持续监控突显公开和跨账户访问权限的调查结果。减少公众访问和跨账户访问，只允许需要此类访问的资源进行访问。 | 如果您使用公有 IP 地址配置网络接口，则可以从互联网访问这些网络接口的相关资源。EC2资源不应公开访问，因为这可能会允许对您的应用程序或服务器进行意外访问。 | |
| SEC-4 | 您如何检测和调查安全事件？ 从日志和指标中捕获和分析事件以获得可见性。对安全事件和潜在威胁采取行动，从而保护您的工作负载。 | APIGateway 日志记录显示了访问的用户的详细视图API以及他们访问的方式API。这种洞察可实现用户活动的可见性。 | |
| SEC-4 | 您如何检测和调查安全事件？ 从日志和指标中捕获和分析事件以获得可见性。对安全事件和潜在威胁采取行动，从而保护您的工作负载。 | 确保在您的 Amazon OpenSearch 服务域上启用了审核日志。审核日志允许您跟踪 OpenSearch 网域上的用户活动，包括身份验证成功和失败、对域名的请求 OpenSearch、索引更改以及传入的搜索查询。 | |
| SEC-4 | 您如何检测和调查安全事件？ 从日志和指标中捕获和分析事件以获得可见性。对安全事件和潜在威胁采取行动，从而保护您的工作负载。 | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您内部API通话活动的详细信息 AWS 账户。 | |
| SEC-4 | 您如何检测和调查安全事件？ 从日志和指标中捕获和分析事件以获得可见性。对安全事件和潜在威胁采取行动，从而保护您的工作负载。 | 收集 Simple Storage Service (Amazon S3) 数据事件有助于检测任何异常活动。详细 AWS 账户 信息包括访问 Amazon S3 存储桶中对象的信息、IP 地址和事件时间。 | |
| SEC-4 | 您如何检测和调查安全事件？ 从日志和指标中捕获和分析事件以获得可见性。对安全事件和潜在威胁采取行动，从而保护您的工作负载。 | 确保为日志组保留事件日志数据的最短时间，以帮助进行故障排除和取证调查。缺乏过去的事件日志数据会让重建和识别潜在的恶意事件变得困难。 | |
| SEC-4 | 您如何检测和调查安全事件？ 从日志和指标中捕获和分析事件以获得可见性。对安全事件和潜在威胁采取行动，从而保护您的工作负载。 | 确保 Amazon S OpenSearch ervice 域已启用错误日志，并将其流式传输到 Amazon CloudWatch Logs 以进行保留和响应。域错误日志可以帮助进行安全和访问审核，还可以帮助诊断可用性问题。 | |
| SEC-4 | 您如何检测和调查安全事件？ 从日志和指标中捕获和分析事件以获得可见性。对安全事件和潜在威胁采取行动，从而保护您的工作负载。 | 确保 Amazon S OpenSearch ervice 域已启用错误日志，并将其流式传输到 Amazon CloudWatch Logs 以进行保留和响应。 OpenSearch 服务错误日志可以帮助进行安全和访问审计，还可以帮助诊断可用性问题。 | |
| SEC-4 | 您如何检测和调查安全事件？ 从日志和指标中捕获和分析事件以获得可见性。对安全事件和潜在威胁采取行动，从而保护您的工作负载。 | Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用ELB日志记录。收集的数据提供了有关发送到的请求的详细信息ELB。每个日志都包含信息 (例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。 | |
| SEC-4 | 您如何检测和调查安全事件？ 从日志和指标中捕获和分析事件以获得可见性。对安全事件和潜在威胁采取行动，从而保护您的工作负载。 | AWS CloudTrail 记录 AWS 管理控制台操作和API呼叫。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用 MULTI _ _ REGION CLOUD TRAIL _，则会将所有 AWS 区域的日志文件传送到您ENABLED的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施即可收到包含新区域API活动的日志文件。 | |
| SEC-4 | 您如何检测和调查安全事件？ 从日志和指标中捕获和分析事件以获得可见性。对安全事件和潜在威胁采取行动，从而保护您的工作负载。 | 为了帮助在您的环境中进行日志记录和监控，请确保启用亚马逊关系数据库服务 (AmazonRDS) 日志记录。通过 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。 | |
| SEC-4 | 您如何检测和调查安全事件？ 从日志和指标中捕获和分析事件以获得可见性。对安全事件和潜在威胁采取行动，从而保护您的工作负载。 | Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | |
| SEC-4 | 您如何检测和调查安全事件？ 从日志和指标中捕获和分析事件以获得可见性。对安全事件和潜在威胁采取行动，从而保护您的工作负载。 | VPC流日志提供了有关进出亚马逊虚拟私有云 (AmazonVPC) 网络接口的 IP 流量信息的详细记录。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。 | |
| SEC-4 | 您如何检测和调查安全事件？ 从日志和指标中捕获和分析事件以获得可见性。对安全事件和潜在威胁采取行动，从而保护您的工作负载。 | 要帮助在您的环境中进行日志记录和监控，请在区域和全球 Web ACLs 上启用 AWS WAF (V2) 日志记录。 AWS WAF日志记录提供有关您的 Web 分析的流量的详细信息ACL。日志记录从您的 AWS 资源 AWS WAF收到请求的时间、有关请求的信息以及每个请求匹配的规则的操作。 | |
| SEC-4 | 您如何检测和调查安全事件？ 从日志和指标中捕获和分析事件以获得可见性。对安全事件和潜在威胁采取行动，从而保护您的工作负载。 | 此规则通过检查是否启用了多个设置 AWS CloudTrail，有助于确保使用 AWS 推荐的安全最佳实践。其中包括使用日志加密、日志验证和 AWS CloudTrail 在多个区域启用。 | |
| SEC-4 | 您如何检测和调查安全事件？ 从日志和指标中捕获和分析事件以获得可见性。对安全事件和潜在威胁采取行动，从而保护您的工作负载。 | 要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 (Config Default:TRUE) 和 clusterDbEncrypted loggingEnabled (Config Default:TRUE) 设置一个值。实际值应反映贵组织的策略。 | |
| SEC-4 | 您如何检测和调查安全事件？ 从日志和指标中捕获和分析事件以获得可见性。对安全事件和潜在威胁采取行动，从而保护您的工作负载。 | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意IPs和机器学习列表，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | |
| SEC-4 | 您如何检测和调查安全事件？ 从日志和指标中捕获和分析事件以获得可见性。对安全事件和潜在威胁采取行动，从而保护您的工作负载。 | AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。 AWS Security Hub 汇总、整理来自多个服务的安全警报或发现，并对其进行优先排序。 AWS 其中一些服务包括Amazon Security Hub、Amazon Inspector、Amazon Macie、Ident AWS ity and Access Management (IAM) Access Analyzer、Fi AWS rewall Management、以及 AWS 合作伙伴解决方案。 | |
| SEC-4 | 您如何检测和调查安全事件？ 从日志和指标中捕获和分析事件以获得可见性。对安全事件和潜在威胁采取行动，从而保护您的工作负载。 | 当某个指标在指定数量的评估周期内突破阈值时，Amazon 会发出 CloudWatch 警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （配置默认值：True）、 insufficientDataAction必填项（配置默认值：True）、 okActionRequired （配置默认值：False）的值。实际值应反映您的环境的警报操作。 | |
| SEC-5 | 您如何保护您的网络资源？ 任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。 | 通过确保亚马逊 OpenSearch 服务（OpenSearch 服务）域位于亚马逊虚拟私有 AWS 云（亚马逊）内来管理对云的访问。VPC亚马逊内的 OpenSearch 服务域VPC可实现服务与亚马逊内部其他 OpenSearch 服务之间的安全通信，VPC而无需互联网网关、NAT设备或VPN连接。 | |
| SEC-5 | 您如何保护您的网络资源？ 任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。 | 通过确保亚马逊 OpenSearch 服务域位于亚马逊虚拟私有 AWS 云（亚马逊VPC）内来管理对云的访问。亚马逊内部的亚马逊 OpenSearch 服务域VPC可实现亚马逊 OpenSearch 服务与亚马逊内部其他服务之间的安全通信，VPC而无需互联网网关、NAT设备或VPN连接。 | |
| SEC-5 | 您如何保护您的网络资源？ 任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。 | 在亚马逊虚拟私有云 (AmazonEC2) 中部署亚马逊弹性计算云 (AmazonVPC) 实例，无需互联网网关VPC、NAT设备或VPN连接，即可实现实例与亚马逊内部其他服务之间的安全通信。所有流量都安全地保存在 AWS 云中。由于其逻辑隔离，与使用公共终端节点的域相比，位于 Amazon 内的域VPC具有额外的安全层。将亚马逊EC2实例分配给亚马逊VPC以正确管理访问权限。 | |
| SEC-5 | 您如何保护您的网络资源？ 任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。 | 在亚马逊虚拟私有云 (AmazonVPC) 中部署 AWS Lambda 函数，以实现功能与亚马逊内部其他服务之间的安全通信。VPC使用此配置，无需互联网网关、NAT设备或VPN连接。所有流量都安全地保存在 AWS 云中。由于其逻辑隔离，与使用公共终端节点的域相比，位于 Amazon 内的域VPC具有额外的安全层。为了正确管理访问权限，应 AWS 将 Lambda 函数分配给。VPC | |
| SEC-5 | 您如何保护您的网络资源？ 任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。 | 增强的VPC路由会强制集群COPY和数据存储库之间的所有UNLOAD流量通过您的 Amazon VPC。然后，您可以使用安全组和网络访问控制列表等VPC功能来保护网络流量。您还可以使用VPC流日志来监控网络流量。 | |
| SEC-5 | 您如何保护您的网络资源？ 任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。 | 确保已 AWS WAF在弹性负载均衡器 (ELB) 上启用，以帮助保护 Web 应用程序。A WAF 有助于保护您的 Web 应用程序或APIs防范常见的 Web 漏洞。这些 Web 漏洞可能会影响可用性、损害安全性或消耗环境中过多的资源。 | |
| SEC-5 | 您如何保护您的网络资源？ 任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。 | AWS WAF允许您配置一组规则（称为 Web 访问控制列表 (WebACL)），这些规则基于您定义的可自定义 Web 安全规则和条件允许、阻止或计数 Web 请求。确保您的 Amazon API Gateway 阶段与WAF网络关联ACL，以保护其免受恶意攻击 | |
| SEC-5 | 您如何保护您的网络资源？ 任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。 | 通过确保DMS复制实例无法公开访问来管理对 AWS 云的访问权限。DMS复制实例可能包含敏感信息，因此需要对此类帐户进行访问控制。 | |
| SEC-5 | 您如何保护您的网络资源？ 任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。 | 通过确保EBS快照不可公开还原来管理对 AWS 云的访问权限。EBS卷快照可能包含敏感信息，需要对此类帐户进行访问控制。 | |
| SEC-5 | 您如何保护您的网络资源？ 任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。 | 此规则检查您的亚马逊弹性计算云 (AmazonEC2) 实例是否有多个ENIs。拥有多个实例ENIs可能会导致双宿主实例，即具有多个子网的实例。这可能会增加网络安全的复杂性，并引入意想不到的网络路径和访问。 | |
| SEC-5 | 您如何保护您的网络资源？ 任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。 | 通过确保无法公开访问亚马逊弹性计算云 (AmazonEC2) 实例来管理对云的访问。 AWS Amazon EC2 实例可能包含敏感信息，此类账户需要进行访问控制。 | |
| SEC-5 | 您如何保护您的网络资源？ 任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。 | 通过确保无法公开访问 Amazon EMR 集群主节点来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，此类账户需要进行访问控制。 | |
| SEC-5 | 您如何保护您的网络资源？ 任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。 | 通过确保无法公开访问 AWS Lambda 函数来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。 | |
| SEC-5 | 您如何保护您的网络资源？ 任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。 | 确保 Amazon EC2 路由表中没有通往互联网网关的无限制路由。移除或限制 Amazon 内部工作负载的互联网访问权限VPCs可以减少您环境中的意外访问。 | |
| SEC-5 | 您如何保护您的网络资源？ 任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。 | 通过确保 Amazon Relational Database Service (AmazonRDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，此类账户需要遵守原则和访问控制。 | |
| SEC-5 | 您如何保护您的网络资源？ 任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。 | 通过确保 Amazon Relational Database Service (AmazonRDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息和原则，因此需要对此类账户进行访问控制。 | |
| SEC-5 | 您如何保护您的网络资源？ 任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。 | 通过确保 Amazon Redshift 集群不公开，管理对 AWS 云端资源的访问权限。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| SEC-5 | 您如何保护您的网络资源？ 任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。 | Amazon Elastic Compute Cloud (AmazonEC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。 | |
| SEC-5 | 您如何保护您的网络资源？ 任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。 | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置（配置默认值：True）、 ignorePublicAcls （配置默认值：True）、 blockPublicPolicy （配置默认值：True）和参数 blockPublicAcls （配置默认值：True）和 restrictPublicBuckets 参数（配置默认值：True）。实际值应反映贵组织的策略。 | |
| SEC-5 | 您如何保护您的网络资源？ 任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。 | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。 | |
| SEC-5 | 您如何保护您的网络资源？ 任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。 | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | |
| SEC-5 | 您如何保护您的网络资源？ 任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。 | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | |
| SEC-5 | 您如何保护您的网络资源？ 任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。 | 通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对 AWS 云端资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。 | |
| SEC-5 | 您如何保护您的网络资源？ 任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。 | 确保 AWS Systems Manager (SSM) 文档不公开，因为这可能会允许意外访问您的SSM文档。公共SSM文档可以公开有关您的账户、资源和内部流程的信息。 | |
| SEC-5 | 您如何保护您的网络资源？ 任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。 | 通过确保不会自动为亚马逊虚拟私有 AWS 云 Private Cloud (VPC) 子网分配公有 IP 地址来管理对云的访问。在启用了此属性的子网中启动的 Amazon Elastic Compute Cloud (EC2) 实例会为其主网络接口分配公有 IP 地址。 | |
| SEC-5 | 您如何保护您的网络资源？ 任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。 | Amazon Elastic Compute Cloud (AmazonEC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。 | |
| SEC-5 | 您如何保护您的网络资源？ 任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。 | 如果您使用公有 IP 地址配置网络接口，则可以从互联网访问这些网络接口的相关资源。EC2资源不应公开访问，因为这可能会允许对您的应用程序或服务器进行意外访问。 | |
| SEC-5 | 您如何保护您的网络资源？ 任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。 | 通过确保限制亚马逊弹性计算 AWS 云 (AmazonEC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort 1-blockedPort 5 个参数（配置默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。 | |
| SEC-5 | 您如何保护您的网络资源？ 任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。 | 通过确保限制亚马逊弹性计算 AWS 云 (AmazonEC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。 | |
| SEC-5 | 您如何保护自己的计算资源？ 工作负载中的计算资源需要多层防御，以帮助抵御外部和内部威胁。计算资源包括EC2实例、容器、 AWS Lambda 函数、数据库服务、物联网设备等。 | 确保您的 AWS WAF规则不为空。不含条件的规则可能会导致意外行为。 | |
| SEC-5 | 您如何保护自己的计算资源？ 工作负载中的计算资源需要多层防御，以帮助抵御外部和内部威胁。计算资源包括EC2实例、容器、 AWS Lambda 函数、数据库服务、物联网设备等。 | 确保您的 AWS WAF规则组不为空。空规则组可能会导致意外行为。 | |
| SEC-5 | 您如何保护自己的计算资源？ 工作负载中的计算资源需要多层防御，以帮助抵御外部和内部威胁。计算资源包括EC2实例、容器、 AWS Lambda 函数、数据库服务、物联网设备等。 | ACL附加到的 Web AWS WAF 可以包含一系列用于检查和控制 Web 请求的规则和规则组。如果 Web ACL 为空，则网络流量在未被检测到或未被其处理的情况下通过WAF。 | |
| SEC-5 | 您如何保护自己的计算资源？ 工作负载中的计算资源需要多层防御，以帮助抵御外部和内部威胁。计算资源包括EC2实例、容器、 AWS Lambda 函数、数据库服务、物联网设备等。 | 该规则可确保使用亚马逊虚拟私有云 Virtual Private Cloud (VPC) 网络访问控制列表。监控未使用的网络访问控制列表有助于准确清点和管理您的环境。 | |
| SEC-5 | 您如何保护您的网络资源？ 任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。 | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意IPs和机器学习列表，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | |
| SEC-5 | 您如何保护您的网络资源？ 任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。 | VPC流日志提供了有关进出亚马逊虚拟私有云 (AmazonVPC) 网络接口的 IP 流量信息的详细记录。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。 | |
| SEC-6 | 您如何保护自己的计算资源？ 工作负载中的计算资源需要多层防御，以帮助抵御外部和内部威胁。计算资源包括EC2实例、容器、 AWS Lambda 函数、数据库服务、物联网设备等。 | 在您的 Amazon Relational Database Service (RDS) 实例上启用自动次要版本升级，以确保安装关系数据库管理系统 (RDBMS) 的最新次要版本更新，其中可能包括安全补丁和错误修复。 | |
| SEC-6 | 您如何保护自己的计算资源？ 工作负载中的计算资源需要多层防御，以帮助抵御外部和内部威胁。计算资源包括EC2实例、容器、 AWS Lambda 函数、数据库服务、物联网设备等。 | 利用 AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 传送后是否被修改、删除或未更改。此功能使用行业标准算法构建：SHA-256 用于哈希，SHA-256 RSA 用于数字签名。这使得在没有检测到的情况下修改、删除或伪造 CloudTrail 日志文件在计算上是不可行的。 | |
| SEC-6 | 您如何保护自己的计算资源？ 工作负载中的计算资源需要多层防御，以帮助抵御外部和内部威胁。计算资源包括EC2实例、容器、 AWS Lambda 函数、数据库服务、物联网设备等。 | 此规则通过检查是否启用了多个设置 AWS CloudTrail，有助于确保使用 AWS 推荐的安全最佳实践。其中包括使用日志加密、日志验证和 AWS CloudTrail 在多个区域启用。 | |
| SEC-6 | 您如何保护自己的计算资源？ 工作负载中的计算资源需要多层防御，以帮助抵御外部和内部威胁。计算资源包括EC2实例、容器、 AWS Lambda 函数、数据库服务、物联网设备等。 | 为 Amazon Elastic Beanstalk 环境启用受管平台更新可确保安装环境的最新可用平台修复、更新和功能。及时安装补丁是保护系统的最佳实践。 | |
| SEC-6 | 您如何保护自己的计算资源？ 工作负载中的计算资源需要多层防御，以帮助抵御外部和内部威胁。计算资源包括EC2实例、容器、 AWS Lambda 函数、数据库服务、物联网设备等。 | 在亚马逊虚拟私有云 (AmazonVPC) 中部署 AWS Lambda 函数，以实现功能与亚马逊内部其他服务之间的安全通信。VPC使用此配置，无需互联网网关、NAT设备或VPN连接。所有流量都安全地保存在 AWS 云中。由于其逻辑隔离，与使用公共终端节点的域相比，位于 Amazon 内的域VPC具有额外的安全层。为了正确管理访问权限，应 AWS 将 Lambda 函数分配给。VPC | |
| SEC-6 | 您如何保护自己的计算资源？ 工作负载中的计算资源需要多层防御，以帮助抵御外部和内部威胁。计算资源包括EC2实例、容器、 AWS Lambda 函数、数据库服务、物联网设备等。 | Amazon 弹性容器存储库 (ECR) 图像扫描有助于识别容器映像中的软件漏洞。在ECR存储库上启用图像扫描可为所存储图像的完整性和安全性增加一层验证。 | |
| SEC-6 | 您如何保护自己的计算资源？ 工作负载中的计算资源需要多层防御，以帮助抵御外部和内部威胁。计算资源包括EC2实例、容器、 AWS Lambda 函数、数据库服务、物联网设备等。 | 监控是维护 Amazon 弹性容器服务 (ECS) 和您的 AWS 解决方案的可靠性、可用性和性能的重要组成部分。Container Insights 还提供诊断信息（如容器重新启动失败），以帮助您查明问题并快速解决问题。 | |
| SEC-6 | 您如何保护自己的计算资源？ 工作负载中的计算资源需要多层防御，以帮助抵御外部和内部威胁。计算资源包括EC2实例、容器、 AWS Lambda 函数、数据库服务、物联网设备等。 | 系统会自动为您的 AWS Fargate 任务部署安全更新和补丁。如果发现影响 AWS Fargate 平台版本的安全问题，请 AWS 修补平台版本。要协助对运行 AWS Fargate 的亚马逊弹性容器服务 (ECS) 任务进行补丁管理，请将您的服务独立任务更新为使用最新平台版本。 | |
| SEC-6 | 您如何保护自己的计算资源？ 工作负载中的计算资源需要多层防御，以帮助抵御外部和内部威胁。计算资源包括EC2实例、容器、 AWS Lambda 函数、数据库服务、物联网设备等。 | 此规则可确保 Amazon Redshift 集群具有适合贵组织的首选设置。具体而言，就是确保它们有首选的数据库维护窗口和自动快照保留期。此规则要求您设置 allowVersionUpgrade. 默认值为 true。它还允许您选择设置 preferredMaintenanceWindow （默认值为 sat：16:00-sat：16:30）和周 automatedSnapshotRetention期（默认值为 1）。实际值应反映贵组织的策略。 | |
| SEC-6 | 您如何保护自己的计算资源？ 工作负载中的计算资源需要多层防御，以帮助抵御外部和内部威胁。计算资源包括EC2实例、容器、 AWS Lambda 函数、数据库服务、物联网设备等。 | 确保启用实例元数据服务版本 2 (IMDSv2) 方法，以帮助保护对亚马逊弹性计算云 (AmazonEC2) 实例元数据的访问和控制。该IMDSv2方法使用基于会话的控件。使用IMDSv2，可以实现控制以限制对实例元数据的更改。 | |
| SEC-6 | 您如何保护自己的计算资源？ 工作负载中的计算资源需要多层防御，以帮助抵御外部和内部威胁。计算资源包括EC2实例、容器、 AWS Lambda 函数、数据库服务、物联网设备等。 | 此规则检查您的亚马逊弹性计算云 (AmazonEC2) 实例是否有多个ENIs。拥有多个实例ENIs可能会导致双宿主实例，即具有多个子网的实例。这可能会增加网络安全的复杂性，并引入意想不到的网络路径和访问。 | |
| SEC-6 | 您如何保护自己的计算资源？ 工作负载中的计算资源需要多层防御，以帮助抵御外部和内部威胁。计算资源包括EC2实例、容器、 AWS Lambda 函数、数据库服务、物联网设备等。 | 通过确保无法公开访问亚马逊弹性计算云 (AmazonEC2) 实例来管理对云的访问。 AWS Amazon EC2 实例可能包含敏感信息，此类账户需要进行访问控制。 | |
| SEC-6 | 您如何保护自己的计算资源？ 工作负载中的计算资源需要多层防御，以帮助抵御外部和内部威胁。计算资源包括EC2实例、容器、 AWS Lambda 函数、数据库服务、物联网设备等。 | EC2实例配置文件将IAM角色传递给EC2实例。将实例配置文件附加到您的实例可以帮助实现最低权限和权限管理。 | |
| SEC-6 | 您如何保护自己的计算资源？ 工作负载中的计算资源需要多层防御，以帮助抵御外部和内部威胁。计算资源包括EC2实例、容器、 AWS Lambda 函数、数据库服务、物联网设备等。 | 通过使用 Syst AWS ems Manager 管理亚马逊弹性计算云 (AmazonEC2) 实例，可以清点组织内的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发行商和版本以及有关您的环境的其他详细信息。 | |
| SEC-6 | 您如何保护自己的计算资源？ 工作负载中的计算资源需要多层防御，以帮助抵御外部和内部威胁。计算资源包括EC2实例、容器、 AWS Lambda 函数、数据库服务、物联网设备等。 | 该规则可确保安全组连接到亚马逊弹性计算云 (AmazonEC2) 实例或ENI。此规则有助于监控清单中未使用的安全组并管理您的环境。 | |
| SEC-6 | 您如何保护自己的计算资源？ 工作负载中的计算资源需要多层防御，以帮助抵御外部和内部威胁。计算资源包括EC2实例、容器、 AWS Lambda 函数、数据库服务、物联网设备等。 | 根据贵组织的标准，启用此规则，通过检查亚马逊实例的停止时间是否超过允许的天数，来帮助配置亚马逊弹性计算云 (AmazonEC2) EC2 实例。 | |
| SEC-6 | 您如何保护自己的计算资源？ 工作负载中的计算资源需要多层防御，以帮助抵御外部和内部威胁。计算资源包括EC2实例、容器、 AWS Lambda 函数、数据库服务、物联网设备等。 | 该规则可确保在实例终止时，连接到亚马逊弹性计算云 (AmazonEC2) 实例的亚马逊弹性块存储卷被标记为删除。如果某个 Amazon EBS 卷在所连接的实例终止时没有将其删除，则可能违反功能最少的概念。 | |
| SEC-6 | 您如何保护自己的计算资源？ 工作负载中的计算资源需要多层防御，以帮助抵御外部和内部威胁。计算资源包括EC2实例、容器、 AWS Lambda 函数、数据库服务、物联网设备等。 | 使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。 AWS Systems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。 | |
| SEC-6 | 您如何保护自己的计算资源？ 工作负载中的计算资源需要多层防御，以帮助抵御外部和内部威胁。计算资源包括EC2实例、容器、 AWS Lambda 函数、数据库服务、物联网设备等。 | 启用此规则可帮助识别和记录亚马逊弹性计算云 (AmazonEC2) 漏洞。该规则根据贵组织的政策和程序的要求检查 S AWS ystems Manager 中的亚马逊EC2实例补丁是否合规。 | |
| SEC-8 | 您如何保护静态数据？ 通过实施多种控制措施来保护静态数据，以降低未经授权的访问或处理不当的风险。 | 为了帮助保护静态数据，请确保为 Gate API way 阶段的缓存启用了加密。由于可以为该API方法捕获敏感数据，因此请启用静态加密以帮助保护这些数据。 | |
| SEC-8 | 您如何保护静态数据？ 通过实施多种控制措施来保护静态数据，以降低未经授权的访问或处理不当的风险。 | 确保您的 AWS Backup 恢复点已启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| SEC-8 | 您如何保护静态数据？ 通过实施多种控制措施来保护静态数据，以降低未经授权的访问或处理不当的风险。 | 为帮助保护静态敏感数据，请确保为 AWS CodeBuild 工件启用加密。 | |
| SEC-8 | 您如何保护静态数据？ 通过实施多种控制措施来保护静态数据，以降低未经授权的访问或处理不当的风险。 | 为帮助保护静态敏感数据，请确保对存储在 Amazon S3 中的 AWS CodeBuild 日志启用加密。 | |
| SEC-8 | 您如何保护静态数据？ 通过实施多种控制措施来保护静态数据，以降低未经授权的访问或处理不当的风险。 | 为了帮助保护静态数据，请确保在密钥管理服务（CMKs）中没有计划删除必要的客户主 AWS 密钥 (AWS KMS)。由于有时需要删除密钥，因此此规则可以帮助检查所有计划删除的密钥，以防密钥被无意中安排删除。 | |
| SEC-8 | 您如何保护静态数据？ 通过实施多种控制措施来保护静态数据，以降低未经授权的访问或处理不当的风险。 | 由于可能存在敏感数据，为了帮助保护静态数据，请确保为您的 AWS CloudTrail 跟踪启用了加密。 | |
| SEC-8 | 您如何保护静态数据？ 通过实施多种控制措施来保护静态数据，以降低未经授权的访问或处理不当的风险。 | 为帮助保护静态敏感数据，请确保您的 Amazon CloudWatch 日志组启用了加密。 | |
| SEC-8 | 您如何保护静态数据？ 通过实施多种控制措施来保护静态数据，以降低未经授权的访问或处理不当的风险。 | 确保为 Amazon DynamoDB 表启用加密。由于这些表中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。默认情况下，DynamoDB 表使用 AWS 客户拥有的主密钥 () 进行加密。CMK | |
| SEC-8 | 您如何保护静态数据？ 通过实施多种控制措施来保护静态数据，以降低未经授权的访问或处理不当的风险。 | 为了帮助保护静态数据，请确保您的亚马逊弹性区块存储 (AmazonEBS) 卷启用了加密。由于这些卷中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| SEC-8 | 您如何保护静态数据？ 通过实施多种控制措施来保护静态数据，以降低未经授权的访问或处理不当的风险。 | 由于敏感数据可能存在，并且为了帮助保护静态数据，请确保您的 Amazon Elastic File System（EFS）已启用加密。 | |
| SEC-8 | 您如何保护静态数据？ 通过实施多种控制措施来保护静态数据，以降低未经授权的访问或处理不当的风险。 | 由于敏感数据可能存在，并且为了帮助保护静态数据，请确保您的亚马逊 OpenSearch 服务（OpenSearch 服务）域已启用加密。 | |
| SEC-8 | 您如何保护静态数据？ 通过实施多种控制措施来保护静态数据，以降低未经授权的访问或处理不当的风险。 | 由于敏感数据可能存在，并且为了帮助保护静态数据，请确保对您的 Amazon S OpenSearch ervice 域启用加密。 | |
| SEC-8 | 您如何保护静态数据？ 通过实施多种控制措施来保护静态数据，以降低未经授权的访问或处理不当的风险。 | 由于敏感数据可能存在，并且为了帮助保护静态数据，请确保对您的 Amazon Elastic Block Store (AmazonEBS) 卷启用加密。 | |
| SEC-8 | 您如何保护静态数据？ 通过实施多种控制措施来保护静态数据，以降低未经授权的访问或处理不当的风险。 | 确保您的亚马逊关系数据库服务 (AmazonRDS) 快照启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| SEC-8 | 您如何保护静态数据？ 通过实施多种控制措施来保护静态数据，以降低未经授权的访问或处理不当的风险。 | 为了帮助保护静态数据，请确保您的亚马逊关系数据库服务 (AmazonRDS) 实例启用了加密。由于敏感数据可以静态存在于 Amazon RDS 实例中，因此启用静态加密以帮助保护这些数据。 | |
| SEC-8 | 您如何保护静态数据？ 通过实施多种控制措施来保护静态数据，以降低未经授权的访问或处理不当的风险。 | 要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 (Config Default:TRUE) 和 clusterDbEncrypted loggingEnabled (Config Default:TRUE) 设置一个值。实际值应反映贵组织的策略。 | |
| SEC-8 | 您如何保护静态数据？ 通过实施多种控制措施来保护静态数据，以降低未经授权的访问或处理不当的风险。 | 为了帮助保护静态数据，请确保您的 Amazon Redshift 集群启用了 AWS 密钥管理服务 (AWS KMS) 的加密。由于 Redshift 集群中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| SEC-8 | 您如何保护静态数据？ 通过实施多种控制措施来保护静态数据，以降低未经授权的访问或处理不当的风险。 | 为了帮助保护静态数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用加密以帮助保护这些数据。 | |
| SEC-8 | 您如何保护静态数据？ 通过实施多种控制措施来保护静态数据，以降低未经授权的访问或处理不当的风险。 | 确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| SEC-8 | 您如何保护静态数据？ 通过实施多种控制措施来保护静态数据，以降低未经授权的访问或处理不当的风险。 | 为了帮助保护静态数据，请确保您的 SageMaker 终端节点启用了 AWS 密钥管理服务 (AWS KMS) 的加密。由于敏感数据可以静态存在于 SageMaker 端点中，因此启用静态加密以帮助保护这些数据。 | |
| SEC-8 | 您如何保护静态数据？ 通过实施多种控制措施来保护静态数据，以降低未经授权的访问或处理不当的风险。 | 为帮助保护静态数据，请确保您的 SageMaker 笔记本电脑启用了 AWS 密钥管理服务 (AWS KMS) 的加密。由于敏感数据可以静态存在于 SageMaker 笔记本中，因此启用静态加密以帮助保护这些数据。 | |
| SEC-8 | 您如何保护静态数据？ 通过实施多种控制措施来保护静态数据，以降低未经授权的访问或处理不当的风险。 | 为了帮助保护静态数据，请确保为 S AWS ecrets Manager 密 AWS 钥启用密钥管理服务 (AWS KMS) 的加密。由于 Secrets Manager 机密中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| SEC-8 | 您如何保护静态数据？ 通过实施多种控制措施来保护静态数据，以降低未经授权的访问或处理不当的风险。 | 为了帮助保护静态数据，请确保您的亚马逊简单通知服务 (AmazonSNS) 主题需要使用 AWS 密钥管理服务 (AWS KMS) 进行加密。由于已发布的消息中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| SEC-8 | 您如何保护静态数据？ 通过实施多种控制措施来保护静态数据，以降低未经授权的访问或处理不当的风险。 | Amazon Simple Storage Service (Amazon S3) 存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。 | |
| SEC-8 | 您如何保护静态数据？ 通过实施多种控制措施来保护静态数据，以降低未经授权的访问或处理不当的风险。 | Organiz AWS ations AWS 账户 内部的集中管理有助于确保账户合规。缺乏集中式账户管理可能会导致账户配置不一致，从而可能泄露资源和敏感数据。 | |
| SEC-8 | 您如何保护静态数据？ 通过实施多种控制措施来保护静态数据，以降低未经授权的访问或处理不当的风险。 | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置（配置默认值：True）、 ignorePublicAcls （配置默认值：True）、 blockPublicPolicy （配置默认值：True）和参数 blockPublicAcls （配置默认值：True）和 restrictPublicBuckets 参数（配置默认值：True）。实际值应反映贵组织的策略。 | |
| SEC-8 | 您如何保护静态数据？ 通过实施多种控制措施来保护静态数据，以降低未经授权的访问或处理不当的风险。 | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。 | |
| SEC-8 | 您如何保护静态数据？ 通过实施多种控制措施来保护静态数据，以降低未经授权的访问或处理不当的风险。 | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | |
| SEC-8 | 您如何保护静态数据？ 通过实施多种控制措施来保护静态数据，以降低未经授权的访问或处理不当的风险。 | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | |
| SEC-9 | 您如何保护传输中数据？ 通过实施多种控制措施来保护传输中数据，以降低未经授权的访问或丢失的风险。 | 通过确保 X509 证书由颁发，确保网络完整性得到保护。 AWS ACM这些证书必须有效且未过期。此规则需要一个值 daysToExpiration （AWS 基础安全最佳实践值：90）。实际值应反映贵组织的策略。 | |
| SEC-9 | 您如何保护传输中数据？ 通过实施多种控制措施来保护传输中数据，以降低未经授权的访问或丢失的风险。 | 由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certifice Manager 来管理、配置和部署包含 AWS 服务和内部资源的公共和私有SSL/TLS证书。 | |
| SEC-9 | 您如何保护传输中数据？ 通过实施多种控制措施来保护传输中数据，以降低未经授权的访问或丢失的风险。 | 由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certifice Manager 来管理、配置和部署包含 AWS 服务和内部资源的公共和私有SSL/TLS证书。 | |
| SEC-9 | 您如何保护传输中数据？ 通过实施多种控制措施来保护传输中数据，以降低未经授权的访问或丢失的风险。 | 确保您的弹性负载均衡器 (ELB) 已配置为丢弃 http 标头。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| SEC-9 | 您如何保护传输中数据？ 通过实施多种控制措施来保护传输中数据，以降低未经授权的访问或丢失的风险。 | 为了帮助保护传输中的数据，请确保您的 Application Load Balancer 自动将未加密的HTTP请求重定向到。HTTPS由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| SEC-9 | 您如何保护传输中数据？ 通过实施多种控制措施来保护传输中数据，以降低未经授权的访问或丢失的风险。 | 确保 Amazon API Gateway REST API 阶段配置了SSL证书，以允许后端系统对来自API网关的请求进行身份验证。 | |
| SEC-9 | 您如何保护传输中数据？ 通过实施多种控制措施来保护传输中数据，以降低未经授权的访问或丢失的风险。 | 确保启用了 Amazon OpenSearch 服务的 node-to-node 加密。N ode-to-node 加密为亚马逊虚拟私有云（亚马逊VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| SEC-9 | 您如何保护传输中数据？ 通过实施多种控制措施来保护传输中数据，以降低未经授权的访问或丢失的风险。 | 确保启用了 Amazon OpenSearch 服务的 node-to-node 加密。N ode-to-node 加密为亚马逊虚拟私有云（亚马逊VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| SEC-9 | 您如何保护传输中数据？ 通过实施多种控制措施来保护传输中数据，以降低未经授权的访问或丢失的风险。 | 由于敏感数据可能存在，并且为了帮助保护传输中的数据，请确保已启用与您HTTPS的 Amazon S OpenSearch ervice 域的连接。 | |
| SEC-9 | 您如何保护传输中数据？ 通过实施多种控制措施来保护传输中数据，以降低未经授权的访问或丢失的风险。 | 确保您的 Amazon Redshift 集群需要TLS/SSL加密才能连接到客户端。SQL由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| SEC-9 | 您如何保护传输中数据？ 通过实施多种控制措施来保护传输中数据，以降低未经授权的访问或丢失的风险。 | 为了帮助保护传输中的数据，请确保您的亚马逊简单存储服务 (Amazon S3) Service 存储桶要求请求使用安全套接字层 ()。SSL由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| SEC-9 | 您如何保护传输中数据？ 通过实施多种控制措施来保护传输中数据，以降低未经授权的访问或丢失的风险。 | 确保您的弹性负载均衡器 (ELBs) 配置了SSL或HTTPS侦听器。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| SEC-9 | 您如何保护传输中数据？ 通过实施多种控制措施来保护传输中数据，以降低未经授权的访问或丢失的风险。 | VPC流日志提供了有关进出亚马逊虚拟私有云 (AmazonVPC) 网络接口的 IP 流量信息的详细记录。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。 | |
| SEC-9 | 您如何保护传输中数据？ 通过实施多种控制措施来保护传输中数据，以降低未经授权的访问或丢失的风险。 | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意IPs和机器学习列表，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 |
模板
该模板可在以下网址获得 GitHub：Well-Ar chitecte AWS d 安全支柱的运营最佳实践
