本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
# 适用于亚马逊 EFS 的 Security Hub CSPM 控件
这些 Security Hub CSPM 控件评估亚马逊弹性文件系统（亚马逊 EFS）服务和资源。这些控件可能并非全部可用 AWS 区域。有关更多信息，请参阅 [按地区划分的控件可用性](securityhub-regions.md#securityhub-regions-control-support)。
## [EFS.1] 应将弹性文件系统配置为使用以下方法加密静态文件数据 AWS KMS
**相关要求：**CIS AWS 基金会基准测试 v5.0。 0/2.3.1，CIS AWS 基金会基准 v3.0。 0/2.4.1、 NIST.800-53.r5 CA-9 (1)、 NIST.800-53.r5 CM-3 (6)、 NIST.800-53.r5 SC-13、 NIST.800-53.r5 SC-28、 NIST.800-53.r5 SC-28 (1)、 NIST.800-53.r5 SC-7 (10)、 NIST.800-53.r5 SI-7 (6)
**类别：**保护 > 数据保护 > 静态数据加密
**严重性：**中
**资源类型：**`AWS::EFS::FileSystem`
**AWS Config 规则：**[efs-encrypted-check](https://docs.aws.amazon.com/config/latest/developerguide/efs-encrypted-check.html)
**计划类型：**定期
**参数：**无
此控件检查 Amazon Elastic File System 是否配置为使用加密文件数据 AWS KMS。在以下情况下，检查失败。
+ 在 [`DescribeFileSystems`](https://docs.aws.amazon.com/efs/latest/ug/API_DescribeFileSystems.html) 响应中 `Encrypted` 设置为 `false`。
+ [`DescribeFileSystems`](https://docs.aws.amazon.com/efs/latest/ug/API_DescribeFileSystems.html) 响应中的 `KmsKeyId` 密钥与 [`efs-encrypted-check`](https://docs.aws.amazon.com/config/latest/developerguide/efs-encrypted-check.html) 的 `KmsKeyId` 参数不匹配。
请注意，此控件不使用 [`efs-encrypted-check`](https://docs.aws.amazon.com/config/latest/developerguide/efs-encrypted-check.html) 的 `KmsKeyId` 参数。它只检查 `Encrypted` 的值。
为了为 Amazon EFS 中的敏感数据增加一层安全保护，您应该创建加密文件系统。Amazon EFS 支持静态文件系统加密。您可以在创建 Amazon EFS 文件系统时启用静态数据加密。要了解有关 Amazon EFS 加密的更多信息，请参阅 *Amazon Elastic File System 用户指南*中的 [Amazon EFS 中的数据加密](https://docs.aws.amazon.com/efs/latest/ug/encryption.html)。
### 修复
有关如何加密新的 Amazon EFS 文件系统的详细信息，请参阅 *Amazon Elastic File System 用户指南*中的[加密静态数据](https://docs.aws.amazon.com/efs/latest/ug/encryption-at-rest.html)。
## [EFS.2] Amazon EFS 卷应包含在备份计划中
**相关要求：** NIST.800-53.r5 CP-10、 NIST.800-53.r5 CP-6、 NIST.800-53.r5 CP-6 (1)、 NIST.800-53.r5 CP-6 (2)、(2) NIST.800-53.r5 CP-9、 NIST.800-53.r5 SC-5 (2) NIST.800-53.r5 SI-12、 NIST.800-53.r5 SI-13 (5)
**分类：**恢复 > 弹性 > 备份
**严重性：**中
**资源类型：**`AWS::EFS::FileSystem`
**AWS Config 规则：**[efs-in-backup-plan](https://docs.aws.amazon.com/config/latest/developerguide/efs-in-backup-plan.html)
**计划类型：**定期
**参数：**无
此控件检查 Amazon Elastic File System（Amazon EFS）文件系统是否已添加到 AWS Backup中的备份计划中。如果 Amazon EFS 文件系统未包含在备份计划中，控制失败。
在备份计划中包括 EFS 文件系统可帮助您保护数据免遭删除和数据丢失。
### 修复
要为现有 Amazon EFS 文件系统启用自动备份，请参阅 *AWS Backup 开发人员指南*中的[入门 4：创建 Amazon EFS 自动备份](https://docs.aws.amazon.com/aws-backup/latest/devguide/create-auto-backup.html)。
## [EFS.3] EFS 接入点应强制使用根目录
**相关要求：** NIST.800-53.r5 AC-6(10)
**类别：**保护 > 安全访问管理
**严重性：**中
**资源类型：**`AWS::EFS::AccessPoint`
**AWS Config 规则：**[efs-access-point-enforce-root-directory](https://docs.aws.amazon.com/config/latest/developerguide/efs-access-point-enforce-root-directory.html)
**计划类型：**已触发变更
**参数：**无
此控件检查 Amazon EFS 接入点是否配置为强制使用根目录。如果的 `Path` 值设置为 `/`（文件系统的默认根目录），则控制失败。
在强制执行根目录时，使用接入点的 NFS 客户端使用在接入点上配置的根目录，而不是文件系统的根目录。强制接入点使用根目录可确保接入点的用户只能访问指定子目录的文件，从而有助于限制数据访问。
### 修复
有关如何为 Amazon EFS 接入点强制使用根目录的说明，请参阅 *Amazon Elastic File System 用户指南*中的[使用接入点强制使用根目录](https://docs.aws.amazon.com/efs/latest/ug/efs-access-points.html#enforce-root-directory-access-point)。
## [EFS.4] EFS 接入点应强制使用用户身份
**相关要求：** NIST.800-53.r5 AC-6(2)，PCI DSS v4.0。 1/7.3.1
**类别：**保护 > 安全访问管理
**严重性：**中
**资源类型：**`AWS::EFS::AccessPoint`
**AWS Config 规则：**[efs-access-point-enforce-user-identity](https://docs.aws.amazon.com/config/latest/developerguide/efs-access-point-enforce-user-identity.html)
**计划类型：**已触发变更
**参数：**无
此控件检查 Amazon EFS 接入点是否配置为强制执行用户身份。如果在创建 EFS 接入点时未定义 POSIX 用户身份，则此控制失败。
Amazon EFS 接入点是 EFS 文件系统中特定于应用程序的入口点，便于轻松地管理应用程序对共享数据集的访问。接入点可以为通过接入点发出的所有文件系统请求强制执行用户身份（包括用户的 POSIX 组）。接入点还可以为文件系统强制执行不同的根目录，以便客户端只能访问指定目录或其子目录中的数据。
### 修复
要强制执行 Amazon EFS 接入点的用户身份，请参阅 [Amazon Elastic File System 用户指南](https://docs.aws.amazon.com/efs/latest/ug/efs-access-points.html#enforce-identity-access-points)中的*使用接入点强制使用用户身份*。
## [EFS.5] 应标记 EFS 接入点
**类别：**识别 > 清单 > 标记
**严重性：**低
**资源类型：**`AWS::EFS::AccessPoint`
**AWS Config规则:**`tagged-efs-accesspoint`（自定义 Security Hub CSPM 规则）
**计划类型：**已触发变更
**参数：**
| 参数 | 说明 | Type | 允许的自定义值 | Security Hub CSPM 默认值 |
| --- | --- | --- | --- | --- |
| requiredTagKeys | 被评估资源必须包含的非系统标签键列表。标签键区分大小写。 | StringList （最多 6 件商品） | 1-6 个符合 [AWS 要求](https://docs.aws.amazon.com/tag-editor/latest/userguide/tagging.html#tag-conventions)的标签键。 | 无默认值 |
此控件可检查 Amazon EFS 接入点是否具有带特定键的标签，这些键在 `requiredTagKeys` 参数中进行定义。如果接入点没有任何标签键或者未在 `requiredTagKeys` 参数中指定所有键，则此控件将失败。如果未提供 `requiredTagKeys` 参数，则此控件仅检查是否存在标签键，如果接入点未使用任何键进行标记，则此控件将失败。自动应用并以 `aws:` 为开头的系统标签会被忽略。
标签是您分配给 AWS 资源的标签，它由密钥和可选值组成。您可以创建标签，以按用途、所有者、环境或其他标准对资源进行分类。标签可帮助您识别、组织、搜索和筛选资源。使用标签进行标记还可以帮助您跟踪负责操作和通知的资源所有者。使用标签进行标记时，可以将基于属性的访问权限控制（ABAC）作为授权策略实施，该策略根据标签来定义权限。您可以向 IAM 实体（用户或角色）和 AWS 资源附加标签。您可以为 IAM 主体创建单个 ABAC 策略或者一组单独的策略。您可以将这些 ABAC 策略设计为允许在主体的标签与资源标签匹配时进行操作。有关更多信息，请参阅 [ABAC 有什么用 AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction_attribute-based-access-control.html)？ 在 *IAM 用户指南*中。
**注意**
请勿在标签中添加个人身份信息（PII）或者其他机密或敏感信息。许多人都可以访问标签 AWS 服务，包括 AWS Billing。有关更多标记最佳做法，请参阅中的为[AWS 资源添加标签](https://docs.aws.amazon.com/tag-editor/latest/userguide/tagging.html#tag-best-practices)。*AWS 一般参考*
### 修复
要向 EFS 接入点添加标签，请参阅《Amazon Elastic File System User Guide》**中的 [Tagging Amazon EFS resources](https://docs.aws.amazon.com/efs/latest/ug/manage-fs-tags.html)。
## [EFS.6] EFS 挂载目标不应与启动时分配公有 IP 地址的子网相关联
**类别：**保护 > 网络安全 > 不公开访问的资源
**严重性：**中
**资源类型：**`AWS::EFS::FileSystem`
**AWS Config 规则：**[efs-mount-target-public-accessible](https://docs.aws.amazon.com/config/latest/developerguide/efs-mount-target-public-accessible.html)
**计划类型：**定期
**参数：**无
此控件检查 Amazon EFS 挂载目标是否与启动时分配公有 IP 地址的子网关联。如果挂载目标与在启动时分配公共 IP 地址的子网相关联，则该控件会失败。
子网具有决定在子网中创建的网络接口是否自动接收公有 IP 地址的属性。对于 IPv4，默认子网和`FALSE`非默认子网的`MapPublicIpOnLaunch`属性均设置为（通过 EC2 启动实例向导创建的非默认子网除外，该向导设置为）。`TRUE` `TRUE`对于 IPv6，默认情况下，所有子网`FALSE`的`AssignIpv6AddressOnCreation`属性都设置为。
虽然无法为 Amazon EFS 挂载目标分配公有 IPv4 地址，但将其放置在配置为在启动时分配公有 IP 地址的子网中，表明在这类可能挂载 EFS 文件系统的子网中启动的共置实例可以自动接收公有 IP 地址，这可能会使具有公共地址的主机无法访问文件系统数据。
启用自动分配公有 IPv6 地址的子网中的挂载目标可以接收全球可路由的 IPv6 地址。
### 修复
要将现有挂载目标与不同的子网关联，您必须在启动时不分配公共 IP 地址的子网中创建一个新的挂载目标，然后移除旧的挂载目标。有关安全组和挂载目标的信息，请参阅《Amazon Elastic File System User Guide》**中的 [Creating and managing mount targets and security groups](https://docs.aws.amazon.com/efs/latest/ug/accessing-fs.html)。
## [EFS.7] EFS 文件系统应启用自动备份
**类别：**恢复 > 弹性 > 启用备份
**严重性：**中
**资源类型：**`AWS::EFS::FileSystem`
**AWS Config 规则：**[efs-automatic-backups-enabled](https://docs.aws.amazon.com/config/latest/developerguide/efs-automatic-backups-enabled.html)
**计划类型：**已触发变更
**参数：**无
此控件可检查 Amazon EFS 文件系统是否已启用自动备份。如果 EFS 文件系统未启用自动备份，则此控件将失败。
数据备份是系统、配置或应用程序数据的副本，与原始数据分开存储。启用定期备份有助于保护宝贵的数据免受系统故障、网络攻击或意外删除等不可预见事件的影响。拥有强大的备份策略还有助于更快地恢复、保持业务连续性，即使面对潜在的数据丢失也能倍感安心。
### 修复
有关用 AWS Backup 于 EFS 文件系统的信息，请参阅 *Amazon Elastic [File System 用户指南中的备份 EFS](https://docs.aws.amazon.com/efs/latest/ug/awsbackup.html) 文件系统*。
## [EFS.8] 应对 EFS 文件系统进行静态加密
**相关要求：**CIS AWS 基金会基准测试 v5.0。 0/2.3.1
**类别：**保护 > 数据保护 > 静态数据加密
**严重性：**中
**资源类型：**`AWS::EFS::FileSystem`
**AWS Config 规则：**[efs-filesystem-ct-encrypted](https://docs.aws.amazon.com/config/latest/developerguide/efs-filesystem-ct-encrypted.html)
**计划类型：**已触发变更
**参数：**无
此控件检查 Amazon EFS 文件系统是否使用 AWS Key Management Service (AWS KMS) 加密数据。如果文件系统未加密，则此控件将失败。
静态数据是指存储在持久、非易失性存储介质中的数据，无论存储时长如何。对静态数据进行加密可帮助您保护数据的机密性，降低未经授权的用户访问这些数据的风险。
### 修复
要为新的 EFS 文件系统启用静态加密，请参阅《Amazon Elastic File System User Guide》**中的 [Encrypting data at rest](https://docs.aws.amazon.com/efs/latest/ug/encryption-at-rest.html)。