Security Hub CSPM 中的控件类别

每个控件都被分配了一个类别。控件的类别反映了它应用于的安全功能。

类别值包含类别、类别内的子类别以及可选的子类别内的分类器。例如：

• 识别 > 清单

• 保护 > 数据保护 > 传输中数据加密

以下是对可用类别、子类别和分类器的描述。

识别

了解组织情况以管理系统、资产、数据和功能面临的网络安全风险。

清单

该服务是否实施了正确的资源标记策略？ 标记策略是否包含资源拥有者？

该服务使用哪些资源？ 该服务是否有权使用这些资源？

您是否知道批准的库存？ 例如，您是否使用诸如 Amazon EC2 Systems Manager 和 Service Catalog 之类的服务？

日志记录

您是否已安全启用该服务的所有相关日志记录？ 日志文件的示例包括以下内容：

• Amazon VPC 流日志

• Elastic Load Balancing 访问日志

• Amazon CloudFront 日志

• Amazon CloudWatch Logs

• Amazon Relational Database Service 日志

• Amazon OpenSearch Service 慢速索引日志

• X-Ray 跟踪

• AWS Directory Service 日志

• AWS Config 项目

• 快照

保护

制定并实施适当的保护措施，以确保提供关键基础设施服务和安全编码实践。

安全访问管理

该服务是否在其 IAM 或资源策略中使用最低权限实践？

密码和密钥是否足够复杂？ 它们是否已适当轮换？

该服务是否使用 Multi-Factor Authentication (MFA)？

该服务是否避开根用户？

基于资源的策略是否允许公有访问？

安全网络配置

该服务是否避免公有和不安全的远程网络访问？

该服务是否正确使用了 VPC？ 例如，是否要求在 VPC 中运行作业？

该服务是否已正确分割和隔离敏感资源？

数据保护

静态数据加密——该服务是否加密静态数据？

加密传输中数据——该服务是否对数据进行传输中加密？

数据完整性——该服务是否验证数据的完整性？

数据删除保护——该服务是否保护数据免遭意外删除？

数据管理/使用——您是否使用 Amazon Macie 等服务来跟踪敏感数据的位置？

API 保护

该服务是否使用 AWS PrivateLink 来保护服务 API 操作？

保护性服务

是否有适当的保护性服务？ 它们是否提供了正确的覆盖范围？

保护性服务可帮助您转移针对该服务的攻击和破坏。AWS 中的保护服务的示例包括 AWS Control Tower、AWS WAF、AWS Shield Advanced、Vanta、Secrets Manager、IAM Access Analyzer 和 AWS Resource Access Manager。

安全开发

您是否使用了安全编码实践？

您是否避免了诸如开放 Web 应用程序安全项目 (OWASP) 十大漏洞之类的漏洞？

Detect

制定并实施适当的活动，以识别网络安全事件的发生。

检测服务

是否有适当的检测服务？

它们是否提供了正确的覆盖范围？

AWS 检测服务的示例包括 Amazon GuardDuty、AWS Security Hub CSPM、Amazon Inspector、Amazon Detective、Amazon CloudWatch 警报、AWS IoT Device Defender 和 AWS Trusted Advisor。

响应

制定并实施适当的活动，以便对检测到的网络安全事件采取措施。

响应措施

您是否能迅速对安全事件做出响应？

您现在是否有任何“严重”或“高”严重性的结果？

取证

您是否能够安全地获取服务的取证数据？ 例如，您是否获取与实际正面调查发现相关的 Amazon EBS 快照？

您是否设立了取证账户？

恢复

制定并实施适当的活动，以维护恢复能力计划，恢复因网络安全事件而受损的任何能力或服务。

恢复能力

服务配置是否支持正常故障转移、弹性扩展和高可用性？

您是否已创建备份？