本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。
NIST 800-53 修訂版 4 的操作最佳實務
一致性套件提供一般用途的合規性架構，可讓您使用受管或自 AWS Config 訂規則和補救動作來建立安全性、作業或成本最佳化治理檢查。 AWS Config 一致性套件 (作為範例範本) 並不是為了完全確保符合特定控管或合規標準而設計。您有責任自行評估服務的使用情形是否符合適用的法律和法規要求。
以下提供 NIST 800-53 與 AWS 受管 Config 規則之間的範例對應。每個 Config 規則都會套用至特定 AWS 資源，並與一或多個 NIST 800-53 控制項相關。一個 NIST 800-53 控制項可以與多個 Config 規則相關聯。如需與這些映射相關的詳細資訊和指引，請參閱下方資料表。
本一致性套件由 AWS 安全保證服務 LLC (AWS SAS) 驗證，該公司是由支付卡產業合格安全評估機構 (QSA)、HITRUST 認證共同安全框架從業人員 (CCSFP) 以及經過認證的合規專業人員組成的團隊，可為各種產業框架提供指導和評估。 AWS SAS 專業人員設計了此一符合性套件，使客戶能夠與 NIST 800-53 的子集保持一致。
| 控制 ID | 控制描述 | AWS Config 規則 | 指導 |
|---|---|---|---|
| AC-2(1) | 該組織運用自動化機制以支援對資訊系統帳戶的管理。 | 此規則可確保 AWS Secrets Manager 密碼已根據循環排程成功輪替。定期輪換密碼可縮短密碼處於作用中的時間，並可能降低密碼洩露時所造成的業務影響。 | |
| AC-2(1) | 該組織運用自動化機制以支援對資訊系統帳戶的管理。 | AWS Identity and Access Management (IAM) 可協助您限制存取權限和授權，方法是確保使用者至少是一個群組的成員。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。 | |
| AC-2(1) | 該組織運用自動化機制以支援對資訊系統帳戶的管理。 | 身分和憑證會依組織的 IAM 密碼政策核發、管理及驗證。它們符合或超過 NIST SP 800-63 和互聯網安全中心（CIS） AWS 基準密碼強度基準所述的要求。此規則可讓您選擇性地設定 RequireUppercaseCharacters (AWS 基礎安全最佳做法值：true)、 RequireLowercaseCharacters (AWS 基礎安全最佳做法值：true)、 RequireSymbols (AWS 基礎安全最佳做法值：true)、 RequireNumbers (AWS 基礎安全最佳做法值：true)、 MinimumPasswordLength (AWS 基礎安全最佳實務值：14)、(基礎安全性最佳實務值：24) 和 PasswordReusePrevention MaxPasswordAge (AWS IAM 的最佳實務值：90)AWS 密碼策略。實際值應反映貴組織的政策。 | |
| AC-2(1) | 該組織運用自動化機制以支援對資訊系統帳戶的管理。 | 透過確保按照組織政策的指定輪替 IAM 存取金鑰，以針對授權的裝置、使用者和程序稽核登入資料。定期變更存取金鑰是安全最佳實務。這可縮短存取金鑰的作用中時間，並在金鑰洩漏時降低業務影響。此規則需要存取金鑰輪換值 (Config 預設值：90)。實際值應反映貴組織的政策。 | |
| AC-2(1) | 該組織運用自動化機制以支援對資訊系統帳戶的管理。 | AWS Identity and Access Management (IAM) 可以透過檢查指定時段未使用的 IAM 密碼和存取金鑰來協助您取得存取許可和授權。如果識別出這些未使用的憑證，建議您停用和/或移除憑證，因為這可能會違反最低權限的原則。此規則要求您將值設置為 maxCredentialUsage年齡（Config 默認值：90）。實際值應反映貴組織的政策。 | |
| AC-2(1) | 該組織運用自動化機制以支援對資訊系統帳戶的管理。 | AWS Security Hub 有助於監控未經授權的人員，連接，設備和軟件。 AWS Security Hub 會從多個服務彙總、組織和排列安全性警示或發現項目的優先順序。 AWS 一些這樣的服務是 Amazon Security Hub，Amazon Inspector，Amazon Macie， AWS Identity and Access Management (IAM) 訪問分析器， AWS Firewall Manager 器和 AWS 合作夥伴解決方案。 | |
| AC-2(1) | 該組織運用自動化機制以支援對資訊系統帳戶的管理。 | Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。其中包括惡意 IP 和機器學習列表，用於識別 AWS 雲端環境中的未預期、未經授權和惡意活動。 | |
| AC-2(3) | 資訊系統會自動停用 [指派: 組織定義的時段] 未經使用的帳戶。 | AWS Identity and Access Management (IAM) 可以透過檢查指定時段未使用的 IAM 密碼和存取金鑰來協助您取得存取許可和授權。如果識別出這些未使用的憑證，建議您停用和/或移除憑證，因為這可能會違反最低權限的原則。此規則要求您將值設置為 maxCredentialUsage年齡（Config 默認值：90）。實際值應反映貴組織的政策。 | |
| AC-2(4) | 資訊系統會自動稽核帳戶的建立、修改、啟用、停用和移除動作，並通知 [指派: 組織定義的人員或角色]。 | AWS Security Hub 有助於監控未經授權的人員，連接，設備和軟件。 AWS Security Hub 會從多個服務彙總、組織和排列安全性警示或發現項目的優先順序。 AWS 一些這樣的服務是 Amazon Security Hub，Amazon Inspector，Amazon Macie， AWS Identity and Access Management (IAM) 訪問分析器， AWS Firewall Manager 器和 AWS 合作夥伴解決方案。 | |
| AC-2(4) | 資訊系統會自動稽核帳戶的建立、修改、啟用、停用和移除動作，並通知 [指派: 組織定義的人員或角色]。 | Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。其中包括惡意 IP 和機器學習列表，用於識別 AWS 雲端環境中的未預期、未經授權和惡意活動。 | |
| AC-2(4) | 資訊系統會自動稽核帳戶的建立、修改、啟用、停用和移除動作，並通知 [指派: 組織定義的人員或角色]。 | 使用 Amazon CloudWatch 集中收集和管理日誌事件活動。包含 AWS CloudTrail 資料可提供您的 AWS 帳戶. | |
| AC-2(4) | 資訊系統會自動稽核帳戶的建立、修改、啟用、停用和移除動作，並通知 [指派: 組織定義的人員或角色]。 | AWS CloudTrail 可以透過記錄 AWS 管理主控台動作和 API 呼叫來協助不可否認性。您可以識別使用者 AWS 帳戶 以及呼叫 AWS 服務的使用者、產生呼叫的來源 IP 位址，以及呼叫的計時。捕獲的數據的詳細信息可以在 AWS CloudTrail 記錄內容中看到。 | |
| AC-2(4) | 資訊系統會自動稽核帳戶的建立、修改、啟用、停用和移除動作，並通知 [指派: 組織定義的人員或角色]。 | AWS CloudTrail 記錄 AWS 管理主控台動作和 API 呼叫。您可以識別呼叫的使用者和帳戶 AWS、進行呼叫的來源 IP 位址，以及呼叫發生的時間。 CloudTrail 如果啟用多重檔案，則會將日誌檔從所有儲存貯體傳遞 AWS 區域 至您的 S3 儲存貯體。此外，當 AWS 啟動新區域時， CloudTrail 將在新區域中建立相同的軌跡。而您會收到包含新區域 API 活動的日誌檔，卻無需採取任何動作。 | |
| AC-2(4) | 資訊系統會自動稽核帳戶的建立、修改、啟用、停用和移除動作，並通知 [指派: 組織定義的人員或角色]。 | 若要協助您在環境內進行日誌記錄和監控，請確定已啟用 Amazon Relational Database Service (Amazon RDS) 日誌記錄。憑藉 Amazon RDS 日誌記錄，您可以擷取連線、中斷連線、查詢或查詢的資料表等事件。 | |
| AC-2(4) | 資訊系統會自動稽核帳戶的建立、修改、啟用、停用和移除動作，並通知 [指派: 組織定義的人員或角色]。 | 當指標違反指定數量評估期間的閾值時，Amazon 會發出 CloudWatch 警示。警示會根據在數個期間與閾值相關的指標值或表達式值來執行一或多個動作。此規則需要 alarmActionRequired (Config 預設值：True)、 insufficientDataAction必要 (Config 預設值：True)、 okActionRequired (Config 預設值：False) 的值。實際值應反映您環境的警示動作。 | |
| AC-2(4) | 資訊系統會自動稽核帳戶的建立、修改、啟用、停用和移除動作，並通知 [指派: 組織定義的人員或角色]。 | 為了保護靜態資料，請確保已針對 Amazon Redshift 叢集啟用加密功能。您還必須確保已在 Amazon Redshift 叢集上部署必要的組態。應啟用稽核日誌記錄，以提供資料庫中連線和使用者活動的相關資訊。此規則要求為 clusterDbEncrypted （Config 默認值：TRUE）和 loggingEnabled（Config 默認值：TRUE）設置一個值。實際值應反映貴組織的政策。 | |
| AC-2(12)(a) | 組織：a. 監控 [指派: 組織定義的非典型用途] 的資訊系統帳戶。 | AWS Security Hub 有助於監控未經授權的人員，連接，設備和軟件。 AWS Security Hub 會從多個服務彙總、組織和排列安全性警示或發現項目的優先順序。 AWS 一些這樣的服務是 Amazon Security Hub，Amazon Inspector，Amazon Macie， AWS Identity and Access Management (IAM) 訪問分析器， AWS Firewall Manager 器和 AWS 合作夥伴解決方案。 | |
| AC-2(12)(a) | 組織：a. 監控 [指派: 組織定義的非典型用途] 的資訊系統帳戶。 | Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。其中包括惡意 IP 和機器學習列表，用於識別 AWS 雲端環境中的未預期、未經授權和惡意活動。 | |
| AC-2(f) | 組織：f. 根據 [指派: 組織定義的程序或條件] 建立、啟用、修改、停用及移除資訊系統帳戶。 | AWS Identity and Access Management (IAM) 可以透過檢查指定時段未使用的 IAM 密碼和存取金鑰來協助您取得存取許可和授權。如果識別出這些未使用的憑證，建議您停用和/或移除憑證，因為這可能會違反最低權限的原則。此規則要求您將值設置為 maxCredentialUsage年齡（Config 默認值：90）。實際值應反映貴組織的政策。 | |
| AC-2(f) | 組織：f. 根據 [指派: 組織定義的程序或條件] 建立、啟用、修改、停用及移除資訊系統帳戶。 | 身分和憑證會依組織的 IAM 密碼政策核發、管理及驗證。它們符合或超過 NIST SP 800-63 和互聯網安全中心（CIS） AWS 基準密碼強度基準所述的要求。此規則可讓您選擇性地設定 RequireUppercaseCharacters (AWS 基礎安全最佳做法值：true)、 RequireLowercaseCharacters (AWS 基礎安全最佳做法值：true)、 RequireSymbols (AWS 基礎安全最佳做法值：true)、 RequireNumbers (AWS 基礎安全最佳做法值：true)、 MinimumPasswordLength (AWS 基礎安全最佳實務值：14)、(基礎安全性最佳實務值：24) 和 PasswordReusePrevention MaxPasswordAge (AWS IAM 的最佳實務值：90)AWS 密碼策略。實際值應反映貴組織的政策。 | |
| AC-2(f) | 組織：f. 根據 [指派: 組織定義的程序或條件] 建立、啟用、修改、停用及移除資訊系統帳戶。 | 透過檢查 root 使用者是否沒有附加到其 AWS 身分識別和存取管理 (IAM) 角色的存取權限，可以控制系統和資產的存取。請確保已刪除根存取金鑰。相反，創建和使用基於角色 AWS 帳戶 來幫助納入最少功能的原則。 | |
| AC-2(g) | 組織：g. 監控資訊系統帳戶的使用情況。 | 為了保護靜態資料，請確保已針對 Amazon Redshift 叢集啟用加密功能。您還必須確保已在 Amazon Redshift 叢集上部署必要的組態。應啟用稽核日誌記錄，以提供資料庫中連線和使用者活動的相關資訊。此規則要求為 clusterDbEncrypted （Config 默認值：TRUE）和 loggingEnabled（Config 默認值：TRUE）設置一個值。實際值應反映貴組織的政策。 | |
| AC-2(g) | 組織：g. 監控資訊系統帳戶的使用情況。 | Amazon Simple Storage Service (Amazon S3) 伺服器存取日誌記錄提供了可監控網路是否存在潛在網路安全事件的方法。透過擷取發出至 Amazon S3 儲存貯體的請求詳細記錄以監控事件。每個存取日誌記錄都會提供有關單一存取請求的詳細資訊。詳細資訊包括請求者、儲存貯體名稱、請求時間、請求動作、回應狀態，以及相關的錯誤代碼。 | |
| AC-2(g) | 組織：g. 監控資訊系統帳戶的使用情況。 | AWS CloudTrail 可以透過記錄 AWS 管理主控台動作和 API 呼叫來協助不可否認性。您可以識別使用者 AWS 帳戶 以及呼叫 AWS 服務的使用者、產生呼叫的來源 IP 位址，以及呼叫的計時。捕獲的數據的詳細信息可以在 AWS CloudTrail 記錄內容中看到。 | |
| AC-2(g) | 組織：g. 監控資訊系統帳戶的使用情況。 | 收集 Simple Storage Service (Amazon S3) 資料事件有助於偵測任何異常活動。詳細資訊包括存取 Amazon S3 儲存貯體的 AWS 帳戶 資訊、IP 地址和事件時間。 | |
| AC-2(g) | 組織：g. 監控資訊系統帳戶的使用情況。 | AWS Security Hub 有助於監控未經授權的人員，連接，設備和軟件。 AWS Security Hub 會從多個服務彙總、組織和排列安全性警示或發現項目的優先順序。 AWS 一些這樣的服務是 Amazon Security Hub，Amazon Inspector，Amazon Macie， AWS Identity and Access Management (IAM) 訪問分析器， AWS Firewall Manager 器和 AWS 合作夥伴解決方案。 | |
| AC-2(g) | 組織：g. 監控資訊系統帳戶的使用情況。 | Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。其中包括惡意 IP 和機器學習列表，用於識別 AWS 雲端環境中的未預期、未經授權和惡意活動。 | |
| AC-2(g) | 組織：g. 監控資訊系統帳戶的使用情況。 | 若要協助您在環境內進行日誌記錄和監控，請確定已啟用 Amazon Relational Database Service (Amazon RDS) 日誌記錄。藉由 Amazon RDS 日誌記錄，您可以擷取連線、中斷連線、查詢或查詢的資料表等事件。 | |
| AC-2(g) | 組織：g. 監控資訊系統帳戶的使用情況。 | 使用 Amazon CloudWatch 集中收集和管理日誌事件活動。包含 AWS CloudTrail 資料可提供您的 AWS 帳戶. | |
| AC-2(j) | 組織：j. 檢閱帳戶是否符合帳戶管理需求 [指派: 組織定義的頻率]。 | 確保針對 root 使用者啟用 MFA，以管理 AWS 雲端中資源的存取。根使用者是 AWS 帳戶中權限最高的使用者。MFA 為使用者名稱和密碼多增加一層保護。透過針對 root 使用者要求 MFA，您可以減少遭到入侵 AWS 帳戶的事件。 | |
| AC-2(j) | 組織：j. 檢閱帳戶是否符合帳戶管理需求 [指派: 組織定義的頻率]。 | 此規則可確保 AWS Secrets Manager 密碼已根據循環排程成功輪替。定期輪換密碼可縮短密碼處於作用中的時間，並可能降低密碼洩露時所造成的業務影響。 | |
| AC-2(j) | 組織：j. 檢閱帳戶是否符合帳戶管理需求 [指派: 組織定義的頻率]。 | AWS Identity and Access Management (IAM) 可協助您限制存取權限和授權，方法是確保使用者至少是一個群組的成員。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。 | |
| AC-2(j) | 組織：j. 檢閱帳戶是否符合帳戶管理需求 [指派: 組織定義的頻率]。 | 身分和憑證會依組織的 IAM 密碼政策核發、管理及驗證。它們符合或超過 NIST SP 800-63 和互聯網安全中心（CIS） AWS 基準密碼強度基準所述的要求。此規則可讓您選擇性地設定 RequireUppercaseCharacters (AWS 基礎安全最佳做法值：true)、 RequireLowercaseCharacters (AWS 基礎安全最佳做法值：true)、 RequireSymbols (AWS 基礎安全最佳做法值：true)、 RequireNumbers (AWS 基礎安全最佳做法值：true)、 MinimumPasswordLength (AWS 基礎安全最佳實務值：14)、(基礎安全性最佳實務值：24) 和 PasswordReusePrevention MaxPasswordAge (AWS IAM 的最佳實務值：90)AWS 密碼策略。實際值應反映貴組織的政策。 | |
| AC-2(j) | 組織：j. 檢閱帳戶是否符合帳戶管理需求 [指派: 組織定義的頻率]。 | 透過確保按照組織政策的指定輪替 IAM 存取金鑰，以針對授權的裝置、使用者和程序稽核登入資料。定期變更存取金鑰是安全最佳實務。這可縮短存取金鑰的作用中時間，並在金鑰洩漏時降低業務影響。此規則需要存取金鑰輪換值 (Config 預設值：90)。實際值應反映貴組織的政策。 | |
| AC-2(j) | 組織：j. 檢閱帳戶是否符合帳戶管理需求 [指派: 組織定義的頻率]。 | 透過檢查 root 使用者是否沒有附加到其 AWS 身分識別和存取管理 (IAM) 角色的存取權限，可以控制系統和資產的存取。請確保已刪除根存取金鑰。相反，創建和使用基於角色 AWS 帳戶 來幫助納入最少功能的原則。 | |
| AC-2(j) | 組織：j. 檢閱帳戶是否符合帳戶管理需求 [指派: 組織定義的頻率]。 | 透過啟用適用於 Amazon EMR 叢集的 Kerberos，即可利用最低權限和職責分離的原則來管理並整合存取許可和授權。Kerberos 中需要驗證的服務和使用者稱為主體。主體存在於 Kerberos 領域中。在這個領域內，Kerberos 伺服器稱為金鑰分佈中心 (KDC)。其為主體提供驗證的方法。KDC 的驗證做法是發出票證來進行驗證。KDC 維護在其領域中的主體資料庫、主體的密碼以及每個主體的其他管理資訊。 | |
| AC-2(j) | 組織：j. 檢閱帳戶是否符合帳戶管理需求 [指派: 組織定義的頻率]。 | AWS Identity and Access Management (IAM) 可確保 IAM 群組至少有一位使用者，協助您將最低權限和職責分離的原則與存取權限和授權結合在一起。根據使用者的相關許可或工作職能將使用者放入群組中是整合最低權限的一種方法。 | |
| AC-2(j) | 組織：j. 檢閱帳戶是否符合帳戶管理需求 [指派: 組織定義的頻率]。 | AWS Identity and Access Management (IAM) 可協助您將最低權限和職責分離的原則與存取權限和授權合併，限制政策不包含「效果」：「允許」與「動作」：「*」而非「資源」:「*」。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。 | |
| AC-2(j) | 組織：j. 檢閱帳戶是否符合帳戶管理需求 [指派: 組織定義的頻率]。 | 此規則可確保 AWS Identity and Access Management (IAM) 政策僅附加至群組或角色，以控制對系統和資產的存取。在群組或角色層級指派權限，有助於降低某身分收到或保留過多權限的機會。 | |
| AC-3 | 資訊系統會根據適用的存取控制政策，強制執行已核准的授權，以邏輯存取資訊與系統資源。 | 只允許授權的使用者、程序和裝置存取 Amazon Simple Storage Service (Amazon S3) 儲存貯體，以管理 AWS 雲端中資源的存取。存取管理應與資料的分類一致。 | |
| AC-3 | 資訊系統會根據適用的存取控制政策，強制執行已核准的授權，以邏輯存取資訊與系統資源。 | 此規則可確保 AWS Identity and Access Management (IAM) 政策僅附加至群組或角色，以控制對系統和資產的存取。在群組或角色層級指派權限，有助於降低某身分收到或保留過多權限的機會。 | |
| AC-3 | 資訊系統會根據適用的存取控制政策，強制執行已核准的授權，以邏輯存取資訊與系統資源。 | AWS Identity and Access Management (IAM) 可以透過檢查指定時段未使用的 IAM 密碼和存取金鑰來協助您取得存取許可和授權。如果識別出這些未使用的憑證，建議您停用和/或移除憑證，因為這可能會違反最低權限的原則。此規則要求您將值設置為 maxCredentialUsage年齡（Config 默認值：90）。實際值應反映貴組織的政策。 | |
| AC-3 | 資訊系統會根據適用的存取控制政策，強制執行已核准的授權，以邏輯存取資訊與系統資源。 | 確保 AWS Lambda 函數無法公開存取，以管理對 AWS 雲端資源的存取。公開存取可能會導致資源可用性降低。 | |
| AC-3 | 資訊系統會根據適用的存取控制政策，強制執行已核准的授權，以邏輯存取資訊與系統資源。 | 透過確保 Amazon 關聯式資料庫服務 (Amazon RDS) 執行個體不是公開的，來管理 AWS 雲端中資源的存取。Amazon RDS 資料庫執行個體可能包含敏感資訊和原則，此類帳戶需要原則和存取控制。 | |
| AC-3 | 資訊系統會根據適用的存取控制政策，強制執行已核准的授權，以邏輯存取資訊與系統資源。 | 透過確保 Amazon Redshift 叢集不是公開的，來管理 AWS 雲端中資源的存取。Amazon Redshift 叢集可能包含敏感資訊和原則，此類帳戶需要原則和存取控制。 | |
| AC-3 | 資訊系統會根據適用的存取控制政策，強制執行已核准的授權，以邏輯存取資訊與系統資源。 | 通過啟用 s3_ 保險政策檢查來管理對 AWS 雲的訪問。此規則會檢查 Amazon S3 儲存貯體授與的存取權是否受到您提供的任何 AWS 主體、聯合身分使用者、服務主體、IP 地址或 Amazon Virtual Private Cloud (Amazon VPC) ID 的限制。 | |
| AC-3 | 資訊系統會根據適用的存取控制政策，強制執行已核准的授權，以邏輯存取資訊與系統資源。 | AWS Identity and Access Management (IAM) 可協助您限制存取權限和授權，方法是確保使用者至少是一個群組的成員。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。 | |
| AC-3 | 資訊系統會根據適用的存取控制政策，強制執行已核准的授權，以邏輯存取資訊與系統資源。 | 只允許授權的使用者、程序和裝置存取 Amazon Simple Storage Service (Amazon S3) 儲存貯體，以管理 AWS 雲端中資源的存取。存取管理應與資料的分類一致。 | |
| AC-3 | 資訊系統會根據適用的存取控制政策，強制執行已核准的授權，以邏輯存取資訊與系統資源。 | 透過確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體無法公開存取，以管理 AWS 雲端中資源的存取。此規則可透過防止公開存取，避免未經授權的遠端使用者存取敏感資料。此規則可讓您選擇性地設定 ignorePublicAcls (組 Config 預設值：True)、 blockPublicPolicy (組 Config 預設值：True)、 blockPublicAcls (組 Config 預設值：True) 和 restrictPublicBuckets 參數 (組 Config 預設值：True)。實際值應反映貴組織的政策。 | |
| AC-3 | 資訊系統會根據適用的存取控制政策，強制執行已核准的授權，以邏輯存取資訊與系統資源。 | 透過檢查 root 使用者是否沒有附加到其 AWS 身分識別和存取管理 (IAM) 角色的存取權限，可以控制系統和資產的存取。請確保已刪除根存取金鑰。相反，創建和使用基於角色 AWS 帳戶 來幫助納入最少功能的原則。 | |
| AC-3 | 資訊系統會根據適用的存取控制政策，強制執行已核准的授權，以邏輯存取資訊與系統資源。 | 確保 DMS 複寫執行個體無法公開存取，以管理對 AWS 雲端的存取。DMS 複寫執行個體可能包含敏感資訊，此類帳戶需要存取控制。 | |
| AC-3 | 資訊系統會根據適用的存取控制政策，強制執行已核准的授權，以邏輯存取資訊與系統資源。 | 確保 EBS 快照不可公開還原，以管理對 AWS 雲端的存取。EBS 磁碟區快照可能包含敏感資訊，此類帳戶需要存取控制。 | |
| AC-3 | 資訊系統會根據適用的存取控制政策，強制執行已核准的授權，以邏輯存取資訊與系統資源。 | 透過啟用適用於 Amazon EMR 叢集的 Kerberos，即可利用最低權限和職責分離的原則來管理並整合存取許可和授權。Kerberos 中需要驗證的服務和使用者稱為主體。主體存在於 Kerberos 領域中。在這個領域內，Kerberos 伺服器稱為金鑰分佈中心 (KDC)。其為主體提供驗證的方法。KDC 的驗證做法是發出票證來進行驗證。KDC 維護在其領域中的主體資料庫、主體的密碼以及每個主體的其他管理資訊。 | |
| AC-3 | 資訊系統會根據適用的存取控制政策，強制執行已核准的授權，以邏輯存取資訊與系統資源。 | AWS Identity and Access Management (IAM) 可確保 IAM 群組至少有一位使用者，協助您將最低權限和職責分離的原則與存取權限和授權結合在一起。根據使用者的相關許可或工作職能將使用者放入群組中是整合最低權限的一種方法。 | |
| AC-3 | 資訊系統會根據適用的存取控制政策，強制執行已核准的授權，以邏輯存取資訊與系統資源。 | AWS Identity and Access Management (IAM) 可協助您將最低權限和職責分離的原則與存取權限和授權合併，限制政策不包含「效果」：「允許」與「動作」：「*」而非「資源」:「*」。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。 | |
| AC-3 | 資訊系統會根據適用的存取控制政策，強制執行已核准的授權，以邏輯存取資訊與系統資源。 | 確保 Amazon SageMaker 筆記本電腦不允許直接存取網際網路，以管理 AWS 雲端資源的存取。透過防止直接存取網際網路，您可以避免未經授權的使用者存取敏感資料。 | |
| AC-4 | 資訊系統會根據 [指派: 組織定義的資訊流程控制政策] 強制執行已核准的授權，以控制系統內部與互連系統之間的資訊流程。 | 確保 AWS Lambda 函數無法公開存取，以管理對 AWS 雲端資源的存取。公開存取可能會導致資源可用性降低。 | |
| AC-4 | 資訊系統會根據 [指派: 組織定義的資訊流程控制政策] 強制執行已核准的授權，以控制系統內部與互連系統之間的資訊流程。 | 透過確保 Amazon Redshift 叢集不是公開的，來管理 AWS 雲端中資源的存取。Amazon Redshift 叢集可能包含敏感資訊和原則，此類帳戶需要原則和存取控制。 | |
| AC-4 | 資訊系統會根據 [指派: 組織定義的資訊流程控制政策] 強制執行已核准的授權，以控制系統內部與互連系統之間的資訊流程。 | 透過確保 Amazon 關聯式資料庫服務 (Amazon RDS) 執行個體不是公開的，來管理 AWS 雲端中資源的存取。Amazon RDS 資料庫執行個體可能包含敏感資訊和原則，此類帳戶需要原則和存取控制。 | |
| AC-4 | 資訊系統會根據 [指派: 組織定義的資訊流程控制政策] 強制執行已核准的授權，以控制系統內部與互連系統之間的資訊流程。 | 透過確保 Amazon 關聯式資料庫服務 (Amazon RDS) 執行個體不是公開的，來管理 AWS 雲端中資源的存取。Amazon RDS 資料庫執行個體可能包含敏感資訊，此類帳戶需要原則和存取控制。 | |
| AC-4 | 資訊系統會根據 [指派: 組織定義的資訊流程控制政策] 強制執行已核准的授權，以控制系統內部與互連系統之間的資訊流程。 | 在 Amazon Virtual Private Cloud (Amazon VPC) 中部署 AWS Lambda 函數，以便在 Amazon VPC 內的函數與其他服務之間進行安全通訊。有了這項組態，就不需要網際網路閘道、NAT 裝置或 VPN 連線。所有流量都安全地保留在 AWS 雲中。相較於使用公有端點的網域，位於 Amazon VPC 內的網域因為提供邏輯隔離，所以多了一層安全防護。若要正確管理存取，應將 AWS Lambda 函數指派給 VPC。 | |
| AC-4 | 資訊系統會根據 [指派: 組織定義的資訊流程控制政策] 強制執行已核准的授權，以控制系統內部與互連系統之間的資訊流程。 | 在 Amazon Virtual Private Cloud (Amazon VPC) 內部署 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體，以在 Amazon VPC 內的執行個體與其他服務之間進行安全通訊，不需要網際網路閘道、NAT 裝置或 VPN 連線。所有流量都安全地保留在 AWS 雲中。相較於使用公有端點的網域，位於 Amazon VPC 內的網域因為使用邏輯隔離而更加安全。將 Amazon EC2 執行個體指派給 Amazon VPC 以正確管理存取。 | |
| AC-4 | 資訊系統會根據 [指派: 組織定義的資訊流程控制政策] 強制執行已核准的授權，以控制系統內部與互連系統之間的資訊流程。 | 透過確保 Amazon 彈性運算 AWS 雲端 (Amazon EC2) 安全群組上的通用連接埠受到限制，以管理雲端中資源的存取。如果不將連接埠的存取限制為信任來源，可能會導致系統的可用性、完整性和機密性遭到攻擊。此規則可讓您選用設定 blockedPort1 - blockedPort5 參數 (Config 預設值：20、21、3389、3306、4333)。實際值應反映貴組織的政策。 | |
| AC-4 | 資訊系統會根據 [指派: 組織定義的資訊流程控制政策] 強制執行已核准的授權，以控制系統內部與互連系統之間的資訊流程。 | Amazon Elastic Compute Cloud (Amazon EC2) 安全群組可針對資源的輸入和輸出網路流量提供狀態篩選，協助管理網路存取。 AWS 不允許資源從 0.0.0.0/0 到連接埠 22 的輸入 (或遠端) 流量，有助於限制遠端存取。 | |
| AC-4 | 資訊系統會根據 [指派: 組織定義的資訊流程控制政策] 強制執行已核准的授權，以控制系統內部與互連系統之間的資訊流程。 | 透過確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體無法公開存取，以管理 AWS 雲端中資源的存取。此規則可透過防止公開存取，避免未經授權的遠端使用者存取敏感資料。此規則可讓您選擇性地設定 ignorePublicAcls (組 Config 預設值：True)、 blockPublicPolicy (組 Config 預設值：True)、 blockPublicAcls (組 Config 預設值：True) 和 restrictPublicBuckets 參數 (組 Config 預設值：True)。實際值應反映貴組織的政策。 | |
| AC-4 | 資訊系統會根據 [指派: 組織定義的資訊流程控制政策] 強制執行已核准的授權，以控制系統內部與互連系統之間的資訊流程。 | 只允許授權的使用者、程序和裝置存取 Amazon Simple Storage Service (Amazon S3) 儲存貯體，以管理 AWS 雲端中資源的存取。存取管理應與資料的分類一致。 | |
| AC-4 | 資訊系統會根據 [指派: 組織定義的資訊流程控制政策] 強制執行已核准的授權，以控制系統內部與互連系統之間的資訊流程。 | 確保 Amazon SageMaker 筆記本電腦不允許直接存取網際網路，以管理 AWS 雲端資源的存取。透過防止直接存取網際網路，您可以避免未經授權的使用者存取敏感資料。 | |
| AC-4 | 資訊系統會根據 [指派: 組織定義的資訊流程控制政策] 強制執行已核准的授權，以控制系統內部與互連系統之間的資訊流程。 | Amazon Elastic Compute Cloud (Amazon EC2) 安全群組可以透過對資源的輸入和輸出網路流量進行有狀態篩選，協助管理網路存取。 AWS 限制預設安全群組上的所有流量有助於限制對資源的遠端存 AWS 取。 | |
| AC-4 | 資訊系統會根據 [指派: 組織定義的資訊流程控制政策] 強制執行已核准的授權，以控制系統內部與互連系統之間的資訊流程。 | 透過確保 Amazon 彈性運算 AWS 雲端 (Amazon EC2) 安全群組上的通用連接埠受到限制，以管理雲端中資源的存取。如果不將連接埠的存取限制為信任來源，可能會導致系統的可用性、完整性和機密性遭到攻擊。透過限制從網際網路 (0.0.0.0/0) 存取安全群組內的資源，可以控制內部系統的遠端存取。 | |
| AC-4 | 資訊系統會根據 [指派: 組織定義的資訊流程控制政策] 強制執行已核准的授權，以控制系統內部與互連系統之間的資訊流程。 | 只允許授權的使用者、程序和裝置存取 Amazon Simple Storage Service (Amazon S3) 儲存貯體，以管理 AWS 雲端中資源的存取。存取管理應與資料的分類一致。 | |
| AC-4 | 資訊系統會根據 [指派: 組織定義的資訊流程控制政策] 強制執行已核准的授權，以控制系統內部與互連系統之間的資訊流程。 | 確保 AWS ACM 頒發 X509 憑證，以確保網路完整性受到保護。這些憑證必須有效且未過期。此規則需要值 daysToExpiration (AWS 基礎安全性最佳作法值：90)。實際值應反映貴組織的政策。 | |
| AC-4 | 資訊系統會根據 [指派: 組織定義的資訊流程控制政策] 強制執行已核准的授權，以控制系統內部與互連系統之間的資訊流程。 | 確保亞馬遜彈性運算 AWS 雲端 (Amazon EC2) 執行個體無法公開存取，以管理對雲端的存取。Amazon EC2 執行個體可能包含敏感資訊，此類帳戶需要存取控制。 | |
| AC-4 | 資訊系統會根據 [指派: 組織定義的資訊流程控制政策] 強制執行已核准的授權，以控制系統內部與互連系統之間的資訊流程。 | 通過確保 Amazon OpenSearch 服務（服OpenSearch 務）域位於 Amazon Virtual Private Cloud（Amazon VPC）中來管理對雲的訪問。 AWS Amazon VPC 中的 OpenSearch 服務網域可讓 Amazon VPC 內的 OpenSearch 服務與其他服務之間的安全通訊，無需網際網路閘道、NAT 裝置或 VPN 連線。 | |
| AC-4 | 資訊系統會根據 [指派: 組織定義的資訊流程控制政策] 強制執行已核准的授權，以控制系統內部與互連系統之間的資訊流程。 | 確保 DMS 複寫執行個體無法公開存取，以管理對 AWS 雲端的存取。DMS 複寫執行個體可能包含敏感資訊，此類帳戶需要存取控制。 | |
| AC-4 | 資訊系統會根據 [指派: 組織定義的資訊流程控制政策] 強制執行已核准的授權，以控制系統內部與互連系統之間的資訊流程。 | 確保 EBS 快照不可公開還原，以管理對 AWS 雲端的存取。EBS 磁碟區快照可能包含敏感資訊，此類帳戶需要存取控制。 | |
| AC-4 | 資訊系統會根據 [指派: 組織定義的資訊流程控制政策] 強制執行已核准的授權，以控制系統內部與互連系統之間的資訊流程。 | 透過確保 Amazon EMR 叢集主節點無法公開存取，以管理對 AWS 雲端的存取。Amazon EMR 叢集主節點可能包含敏感資訊，此類帳戶需要存取控制。 | |
| AC-4 | 資訊系統會根據 [指派: 組織定義的資訊流程控制政策] 強制執行已核准的授權，以控制系統內部與互連系統之間的資訊流程。 | 透過確保網際網路閘道僅連接到授權的 Amazon 虛擬私有雲端 (Amazon VPC)，以管理雲端資源的存取。 AWS 網際網路閘道允許進出 Amazon VPC 的雙向網際網路存取，這可能導致未經授權存取 Amazon VPC 資源。 | |
| AC-5c | 組織：c. 定義資訊系統存取授權，以支援職責分離。 | 透過啟用適用於 Amazon EMR 叢集的 Kerberos，即可利用最低權限和職責分離的原則來管理並整合存取許可和授權。Kerberos 中需要驗證的服務和使用者稱為主體。主體存在於 Kerberos 領域中。在這個領域內，Kerberos 伺服器稱為金鑰分佈中心 (KDC)。其為主體提供驗證的方法。KDC 的驗證做法是發出票證來進行驗證。KDC 維護在其領域中的主體資料庫、主體的密碼以及每個主體的其他管理資訊。 | |
| AC-5c | 組織：c. 定義資訊系統存取授權，以支援職責分離。 | AWS Identity and Access Management (IAM) 可確保 IAM 群組至少有一位使用者，協助您將最低權限和職責分離的原則與存取權限和授權結合在一起。根據使用者的相關許可或工作職能將使用者放入群組中是整合最低權限的一種方法。 | |
| AC-5c | 組織：c. 定義資訊系統存取授權，以支援職責分離。 | AWS Identity and Access Management (IAM) 可協助您將最低權限和職責分離的原則與存取權限和授權合併，限制政策不包含「效果」：「允許」與「動作」：「*」而非「資源」:「*」。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。 | |
| AC-5c | 組織：c. 定義資訊系統存取授權，以支援職責分離。 | 此規則可確保 AWS Identity and Access Management (IAM) 政策僅附加至群組或角色，以控制對系統和資產的存取。在群組或角色層級指派權限，有助於降低某身分獲得或保留過多權限的機會。 | |
| AC-6 | 組織運用最低權限原則，僅允許授權使用者 (或代表使用者行事流程) 使用根據組織任務和業務職能完成指派任務所必需之存取權。 | 透過確保 Amazon 關聯式資料庫服務 (Amazon RDS) 執行個體不是公開的，來管理 AWS 雲端中資源的存取。Amazon RDS 資料庫執行個體可能包含敏感資訊，此類帳戶需要原則和存取控制。 | |
| AC-6 | 組織運用最低權限原則，僅允許授權使用者 (或代表使用者行事流程) 使用根據組織任務和業務職能完成指派任務所必需之存取權。 | 透過確保 Amazon 關聯式資料庫服務 (Amazon RDS) 執行個體不是公開的，來管理 AWS 雲端中資源的存取。Amazon RDS 資料庫執行個體可能包含敏感資訊和原則，此類帳戶需要原則和存取控制。 | |
| AC-6 | 組織運用最低權限原則，僅允許授權使用者 (或代表使用者行事流程) 使用根據組織任務和業務職能完成指派任務所必需之存取權。 | 透過確保 Amazon Redshift 叢集不是公開的，來管理 AWS 雲端中資源的存取。Amazon Redshift 叢集可能包含敏感資訊和原則，此類帳戶需要原則和存取控制。 | |
| AC-6 | 組織運用最低權限原則，僅允許授權使用者 (或代表使用者行事流程) 使用根據組織任務和業務職能完成指派任務所必需之存取權。 | 透過確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體無法公開存取，以管理 AWS 雲端中資源的存取。此規則可透過防止公開存取，避免未經授權的遠端使用者存取敏感資料。此規則可讓您選擇性地設定 ignorePublicAcls (組 Config 預設值：True)、 blockPublicPolicy (組 Config 預設值：True)、 blockPublicAcls (組 Config 預設值：True) 和 restrictPublicBuckets 參數 (組 Config 預設值：True)。實際值應反映貴組織的政策。 | |
| AC-6 | 組織運用最低權限原則，僅允許授權使用者 (或代表使用者行事流程) 使用根據組織任務和業務職能完成指派任務所必需之存取權。 | 通過啟用 s3_ 保險政策檢查來管理對 AWS 雲的訪問。此規則會檢查 Amazon S3 儲存貯體授與的存取權是否受到您提供的任何 AWS 主體、聯合身分使用者、服務主體、IP 地址或 Amazon Virtual Private Cloud (Amazon VPC) ID 的限制。 | |
| AC-6 | 組織運用最低權限原則，僅允許授權使用者 (或代表使用者行事流程) 使用根據組織任務和業務職能完成指派任務所必需之存取權。 | 只允許授權的使用者、程序和裝置存取 Amazon Simple Storage Service (Amazon S3) 儲存貯體，以管理 AWS 雲端中資源的存取。存取管理應與資料的分類一致。 | |
| AC-6 | 組織運用最低權限原則，僅允許授權使用者 (或代表使用者行事流程) 使用根據組織任務和業務職能完成指派任務所必需之存取權。 | 只允許授權的使用者、程序和裝置存取 Amazon Simple Storage Service (Amazon S3) 儲存貯體，以管理 AWS 雲端中資源的存取。存取管理應與資料的分類一致。 | |
| AC-6 | 組織運用最低權限原則，僅允許授權使用者 (或代表使用者行事流程) 使用根據組織任務和業務職能完成指派任務所必需之存取權。 | 確保 Amazon SageMaker 筆記本電腦不允許直接存取網際網路，以管理 AWS 雲端資源的存取。透過防止直接存取網際網路，您可以避免未經授權的使用者存取敏感資料。 | |
| AC-6 | 組織運用最低權限原則，僅允許授權使用者 (或代表使用者行事流程) 使用根據組織任務和業務職能完成指派任務所必需之存取權。 | 確保 AWS Lambda 函數無法公開存取，以管理對 AWS 雲端資源的存取。公開存取可能會導致資源可用性降低。 | |
| AC-6 | 組織運用最低權限原則，僅允許授權使用者 (或代表使用者行事流程) 使用根據組織任務和業務職能完成指派任務所必需之存取權。 | 請確定驗證認證 AW_ACCESS_KEY_ID 和 AWS_Secret_KEY 在程式碼建置專案環境中不存在。 AWS 請勿將這些變數儲存為純文字。以純文字格式儲存這些變數會導致非預期的資料暴露和未經授權的存取。 | |
| AC-6 | 組織運用最低權限原則，僅允許授權使用者 (或代表使用者行事流程) 使用根據組織任務和業務職能完成指派任務所必需之存取權。 | 確保 EBS 快照不可公開還原，以管理對 AWS 雲端的存取。EBS 磁碟區快照可能包含敏感資訊，此類帳戶需要存取控制。 | |
| AC-6 | 組織運用最低權限原則，僅允許授權使用者 (或代表使用者行事流程) 使用根據組織任務和業務職能完成指派任務所必需之存取權。 | AWS Identity and Access Management (IAM) 可以透過檢查指定時段未使用的 IAM 密碼和存取金鑰來協助您取得存取許可和授權。如果識別出這些未使用的憑證，建議您停用和/或移除憑證，因為這可能會違反最低權限的原則。此規則要求您將值設置為 maxCredentialUsage年齡（Config 默認值：90）。實際值應反映貴組織的政策。 | |
| AC-6 | 組織運用最低權限原則，僅允許授權使用者 (或代表使用者行事流程) 使用根據組織任務和業務職能完成指派任務所必需之存取權。 | 透過啟用適用於 Amazon EMR 叢集的 Kerberos，即可利用最低權限和職責分離的原則來管理並整合存取許可和授權。Kerberos 中需要驗證的服務和使用者稱為主體。主體存在於 Kerberos 領域中。在這個領域內，Kerberos 伺服器稱為金鑰分佈中心 (KDC)。其為主體提供驗證的方法。KDC 的驗證做法是發出票證來進行驗證。KDC 維護在其領域中的主體資料庫、主體的密碼以及每個主體的其他管理資訊。 | |
| AC-6 | 組織運用最低權限原則，僅允許授權使用者 (或代表使用者行事流程) 使用根據組織任務和業務職能完成指派任務所必需之存取權。 | AWS Identity and Access Management (IAM) 可確保 IAM 群組至少有一位使用者，協助您將最低權限和職責分離的原則與存取權限和授權結合在一起。根據使用者的相關許可或工作職能將使用者放入群組中是整合最低權限的一種方法。 | |
| AC-6 | 組織運用最低權限原則，僅允許授權使用者 (或代表使用者行事流程) 使用根據組織任務和業務職能完成指派任務所必需之存取權。 | AWS Identity and Access Management (IAM) 可協助您將最低權限和職責分離的原則與存取權限和授權合併，限制政策不包含「效果」：「允許」與「動作」：「*」而非「資源」:「*」。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。 | |
| AC-6 | 組織運用最低權限原則，僅允許授權使用者 (或代表使用者行事流程) 使用根據組織任務和業務職能完成指派任務所必需之存取權。 | 透過檢查 root 使用者是否沒有附加到其 AWS 身分識別和存取管理 (IAM) 角色的存取權限，可以控制系統和資產的存取。請確保已刪除根存取金鑰。相反，創建和使用基於角色 AWS 帳戶 來幫助納入最少功能的原則。 | |
| AC-6 | 組織運用最低權限原則，僅允許授權使用者 (或代表使用者行事流程) 使用根據組織任務和業務職能完成指派任務所必需之存取權。 | AWS Identity and Access Management (IAM) 可協助您限制存取權限和授權，方法是確保使用者至少是一個群組的成員。授予使用者超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。 | |
| AC-6 | 組織運用最低權限原則，僅允許授權使用者 (或代表使用者行事流程) 使用根據組織任務和業務職能完成指派任務所必需之存取權。 | 此規則可確保 AWS Identity and Access Management (IAM) 政策僅附加至群組或角色，以控制對系統和資產的存取。在群組或角色層級指派權限，有助於降低某身分獲得或保留過多權限的機會。 | |
| AC-6 | 組織運用最低權限原則，僅允許授權使用者 (或代表使用者行事流程) 使用根據組織任務和業務職能完成指派任務所必需之存取權。 | 確保 DMS 複寫執行個體無法公開存取，以管理對 AWS 雲端的存取。DMS 複寫執行個體可能包含敏感資訊，此類帳戶需要存取控制。 | |
| AC-6 | 組織運用最低權限原則，僅允許授權使用者 (或代表使用者行事流程) 使用根據組織任務和業務職能完成指派任務所必需之存取權。 | 確保亞馬遜彈性運算 AWS 雲端 (Amazon EC2) 執行個體無法公開存取，以管理對雲端的存取。Amazon EC2 執行個體可能包含敏感資訊，此類帳戶需要存取控制。 | |
| AC-6 | 組織運用最低權限原則，僅允許授權使用者 (或代表使用者行事流程) 使用根據組織任務和業務職能完成指派任務所必需之存取權。 | 確保啟用執行個體中繼資料服務第 2 版 (IMDSv2) 方法可協助保護 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體中繼資料的存取和控制。IMDSv2 方法使用工作階段型控制項。透過 IMDSv2，您可以實作這些控制項，限制執行個體中繼資料的變更。 | |
| AC-6 | 組織運用最低權限原則，僅允許授權使用者 (或代表使用者行事流程) 使用根據組織任務和業務職能完成指派任務所必需之存取權。 | 確保 I AWS dentity and Access Management (IAM) 使用者、IAM 角色或 IAM 群組沒有內嵌政策來控制對系統和資產的存取。 AWS 建議使用受管理的政策，而非內嵌政策。受管政策允許執行重複使用、版本控制、復原及委派許可管理功能。 | |
| AC-6(10) | 資訊系統可防止非特殊權限使用者執行特權功能，包括停用、規避或改變已實作的安全保護/對策。 | 透過檢查 root 使用者是否沒有附加到其 AWS 身分識別和存取管理 (IAM) 角色的存取權限，可以控制系統和資產的存取。請確保已刪除根存取金鑰。相反，創建和使用基於角色 AWS 帳戶 來幫助納入最少功能的原則。 | |
| AC-17(1) | 資訊系統監控與控制遠端存取方法。 | AWS Security Hub 有助於監控未經授權的人員，連接，設備和軟件。 AWS Security Hub 會從多個服務彙總、組織和排列安全性警示或發現項目的優先順序。 AWS 一些這樣的服務是 Amazon Security Hub，Amazon Inspector，Amazon Macie， AWS Identity and Access Management (IAM) 訪問分析器， AWS Firewall Manager 器和 AWS 合作夥伴解決方案。 | |
| AC-17(1) | 資訊系統監控與控制遠端存取方法。 | Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。其中包括惡意 IP 和機器學習列表，用於識別 AWS 雲端環境中的未預期、未經授權和惡意活動。 | |
| AC-17(2) | 資訊系統實作密碼編譯機制，以保護遠端存取工作階段的機密性和完整性。 | 為了協助保護傳輸中的資料，請確保 Application Load Balancer 會自動將未加密的 HTTP 請求重新導向至 HTTPS。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。 | |
| AC-17(2) | 資訊系統實作密碼編譯機制，以保護遠端存取工作階段的機密性和完整性。 | 確保 Amazon Redshift 叢集需要 TLS/SSL 加密才能連線到 SQL 用戶端。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。 | |
| AC-17(2) | 資訊系統實作密碼編譯機制，以保護遠端存取工作階段的機密性和完整性。 | 確保 AWS ACM 頒發 X509 憑證，以確保網路完整性受到保護。這些憑證必須有效且未過期。此規則需要值 daysToExpiration (AWS 基礎安全性最佳作法值：90)。實際值應反映貴組織的政策。 | |
| AC-17(2) | 資訊系統實作密碼編譯機制，以保護遠端存取工作階段的機密性和完整性。 | 為協助保護傳輸中的資料，請確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體要求使用 Secure Socket Layer (SSL)。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。 | |
| AC-17(2) | 資訊系統實作密碼編譯機制，以保護遠端存取工作階段的機密性和完整性。 | 由於可能存在敏感資料並為了協助保護傳輸中資料，因此請確保您的 Elastic Load Balancing 已啟用加密功能。使用 Cer AWS tificate Manager 來管理、佈建和部署包含 AWS 服務和內部資源的公有和私有 SSL/TLS 憑證。 | |
| AC-17(2) | 資訊系統實作密碼編譯機制，以保護遠端存取工作階段的機密性和完整性。 | 確保 Elastic Load Balancer (ELB) 設定為捨棄 http 標頭。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。 | |
| AC-17(2) | 資訊系統實作密碼編譯機制，以保護遠端存取工作階段的機密性和完整性。 | 確保 Elastic Load Balancer (ELB) 已設定使用 SSL 或 HTTPS 接聽程式。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。 | |
| AC-17(3) | 資訊系統透過 [指派: 組織定義的數目] 個受管網路存取控制點來路由所有遠端存取。 | 透過確保網際網路閘道僅連接到授權的 Amazon 虛擬私有雲端 (Amazon VPC)，以管理雲端資源的存取。 AWS 網際網路閘道允許進出 Amazon VPC 的雙向網際網路存取，這可能導致未經授權存取 Amazon VPC 資源。 | |
| AC-21(b) | 組織：b. 運用 [指派: 組織定義的自動化機制或手動程序] 協助使用者決定資訊共用/協同作業。 | 確保 DMS 複寫執行個體無法公開存取，以管理對 AWS 雲端的存取。DMS 複寫執行個體可能包含敏感資訊，此類帳戶需要存取控制。 | |
| AC-21(b) | 組織：b. 運用 [指派: 組織定義的自動化機制或手動程序] 協助使用者決定資訊共用/協同作業。 | 確保 EBS 快照不可公開還原，以管理對 AWS 雲端的存取。EBS 磁碟區快照可能包含敏感資訊，此類帳戶需要存取控制。 | |
| AC-21(b) | 組織：b. 運用 [指派: 組織定義的自動化機制或手動程序] 協助使用者決定資訊共用/協同作業。 | 確保亞馬遜彈性運算 AWS 雲端 (Amazon EC2) 執行個體無法公開存取，以管理對雲端的存取。Amazon EC2 執行個體可能包含敏感資訊，此類帳戶需要存取控制。 | |
| AC-21(b) | 組織：b. 運用 [指派: 組織定義的自動化機制或手動程序] 協助使用者決定資訊共用/協同作業。 | 透過確保 Amazon EMR 叢集主節點無法公開存取，以管理對 AWS 雲端的存取。Amazon EMR 叢集主節點可能包含敏感資訊，此類帳戶需要存取控制。 | |
| AC-21(b) | 組織：b. 運用 [指派: 組織定義的自動化機制或手動程序] 協助使用者決定資訊共用/協同作業。 | 確保 AWS Lambda 函數無法公開存取，以管理對 AWS 雲端資源的存取。公開存取可能會導致資源可用性降低。 | |
| AC-21(b) | 組織：b. 運用 [指派: 組織定義的自動化機制或手動程序] 協助使用者決定資訊共用/協同作業。 | 透過確保 Amazon 關聯式資料庫服務 (Amazon RDS) 執行個體不是公開的，來管理 AWS 雲端中資源的存取。Amazon RDS 資料庫執行個體可能包含敏感資訊，此類帳戶需要原則和存取控制。 | |
| AC-21(b) | 組織：b. 運用 [指派: 組織定義的自動化機制或手動程序] 協助使用者決定資訊共用/協同作業。 | 透過確保 Amazon 關聯式資料庫服務 (Amazon RDS) 執行個體不是公開的，來管理 AWS 雲端中資源的存取。Amazon RDS 資料庫執行個體可能包含敏感資訊和原則，此類帳戶需要原則和存取控制。 | |
| AC-21(b) | 組織：b. 運用 [指派: 組織定義的自動化機制或手動程序] 協助使用者決定資訊共用/協同作業。 | 透過確保 Amazon Redshift 叢集不是公開的，來管理 AWS 雲端中資源的存取。Amazon Redshift 叢集可能包含敏感資訊和原則，此類帳戶需要原則和存取控制。 | |
| AC-21(b) | 組織：b. 運用 [指派: 組織定義的自動化機制或手動程序] 協助使用者決定資訊共用/協同作業。 | 透過確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體無法公開存取，以管理 AWS 雲端中資源的存取。此規則可透過防止公開存取，避免未經授權的遠端使用者存取敏感資料。此規則可讓您選擇性地設定 ignorePublicAcls (組 Config 預設值：True)、 blockPublicPolicy (組 Config 預設值：True)、 blockPublicAcls (組 Config 預設值：True) 和 restrictPublicBuckets 參數 (組 Config 預設值：True)。實際值應反映貴組織的政策。 | |
| AC-21(b) | 組織：b. 運用 [指派: 組織定義的自動化機制或手動程序] 協助使用者決定資訊共用/協同作業。 | 只允許授權的使用者、程序和裝置存取 Amazon Simple Storage Service (Amazon S3) 儲存貯體，以管理 AWS 雲端中資源的存取。存取管理應與資料的分類一致。 | |
| AC-21(b) | 組織：b. 運用 [指派: 組織定義的自動化機制或手動程序] 協助使用者決定資訊共用/協同作業。 | 只允許授權的使用者、程序和裝置存取 Amazon Simple Storage Service (Amazon S3) 儲存貯體，以管理 AWS 雲端中資源的存取。存取管理應與資料的分類一致。 | |
| AC-21(b) | 組織：b. 運用 [指派: 組織定義的自動化機制或手動程序] 協助使用者決定資訊共用/協同作業。 | 確保 Amazon SageMaker 筆記本電腦不允許直接存取網際網路，以管理 AWS 雲端資源的存取。透過防止直接存取網際網路，您可以避免未經授權的使用者存取敏感資料。 | |
| AU-2(a)(d) | 組織：a. 確定資訊系統能夠稽核下列事件：[指派: 組織定義的可稽核事件]；d. 確定要在資訊系統內稽核下列事件：[指派: 組織定義的稽核事件 (AU-2 a 中定義的可稽核事件子集)，以及每個已識別事件的稽核頻率 (或需要稽核的情況)]。 | API Gateway 日誌記錄會顯示存取 API 的使用者及其存取 API 方式的詳細檢視。此洞察功能可讓您掌握使用者活動。 | |
| AU-2(a)(d) | 組織：a. 確定資訊系統能夠稽核下列事件：[指派: 組織定義的可稽核事件]；d. 確定要在資訊系統內稽核下列事件：[指派: 組織定義的稽核事件 (AU-2 a 中定義的可稽核事件子集)，以及每個已識別事件的稽核頻率 (或需要稽核的情況)]。 | 使用 Amazon CloudWatch 集中收集和管理日誌事件活動。包含 AWS CloudTrail 資料可提供您的 AWS 帳戶. | |
| AU-2(a)(d) | 組織：a. 確定資訊系統能夠稽核下列事件：[指派: 組織定義的可稽核事件]；d. 確定要在資訊系統內稽核下列事件：[指派: 組織定義的稽核事件 (AU-2 a 中定義的可稽核事件子集)，以及每個已識別事件的稽核頻率 (或需要稽核的情況)]。 | 收集 Simple Storage Service (Amazon S3) 資料事件有助於偵測任何異常活動。詳細資訊包括存取 Amazon S3 儲存貯體的 AWS 帳戶 資訊、IP 地址和事件時間。 | |
| AU-2(a)(d) | 組織：a. 確定資訊系統能夠稽核下列事件：[指派: 組織定義的可稽核事件]；d. 確定要在資訊系統內稽核下列事件：[指派: 組織定義的稽核事件 (AU-2 a 中定義的可稽核事件子集)，以及每個已識別事件的稽核頻率 (或需要稽核的情況)]。 | AWS CloudTrail 可以透過記錄 AWS 管理主控台動作和 API 呼叫來協助不可否認性。您可以識別使用者 AWS 帳戶 以及呼叫 AWS 服務的使用者、產生呼叫的來源 IP 位址，以及呼叫的計時。捕獲的數據的詳細信息可以在 AWS CloudTrail 記錄內容中看到。 | |
| AU-2(a)(d) | 組織：a. 確定資訊系統能夠稽核下列事件：[指派: 組織定義的可稽核事件]；d. 確定要在資訊系統內稽核下列事件：[指派: 組織定義的稽核事件 (AU-2 a 中定義的可稽核事件子集)，以及每個已識別事件的稽核頻率 (或需要稽核的情況)]。 | Elastic Load Balancing 活動是環境內的通訊中心點。請確保已啟用 ELB 日誌記錄。收集的資料可提供有關傳送至 ELB 之請求的詳細資訊。每個日誌包含收到請求的時間、用戶端的 IP 地址、延遲、請求路徑和伺服器回應等資訊。 | |
| AU-2(a)(d) | 組織：a. 確定資訊系統能夠稽核下列事件：[指派: 組織定義的可稽核事件]；d. 確定要在資訊系統內稽核下列事件：[指派: 組織定義的稽核事件 (AU-2 a 中定義的可稽核事件子集)，以及每個已識別事件的稽核頻率 (或需要稽核的情況)]。 | AWS CloudTrail 記錄 AWS 管理主控台動作和 API 呼叫。您可以識別呼叫的使用者和帳戶 AWS、進行呼叫的來源 IP 位址，以及呼叫發生的時間。 CloudTrail 如果啟用多重檔案，則會將日誌檔從所有儲存貯體傳遞 AWS 區域 至您的 S3 儲存貯體。此外，當 AWS 啟動新區域時， CloudTrail 將在新區域中建立相同的軌跡。而您會收到包含新區域 API 活動的日誌檔，卻無需採取任何動作。 | |
| AU-2(a)(d) | 組織：a. 確定資訊系統能夠稽核下列事件：[指派: 組織定義的可稽核事件]；d. 確定要在資訊系統內稽核下列事件：[指派: 組織定義的稽核事件 (AU-2 a 中定義的可稽核事件子集)，以及每個已識別事件的稽核頻率 (或需要稽核的情況)]。 | Amazon Simple Storage Service (Amazon S3) 伺服器存取日誌記錄提供了可監控網路是否存在潛在網路安全事件的方法。透過擷取發出至 Amazon S3 儲存貯體的請求詳細記錄以監控事件。每個存取日誌記錄都會提供有關單一存取請求的詳細資訊。詳細資訊包括請求者、儲存貯體名稱、請求時間、請求動作、回應狀態，以及相關的錯誤代碼。 | |
| AU-2(a)(d) | 組織：a. 確定資訊系統能夠稽核下列事件：[指派: 組織定義的可稽核事件]；d. 確定要在資訊系統內稽核下列事件：[指派: 組織定義的稽核事件 (AU-2 a 中定義的可稽核事件子集)，以及每個已識別事件的稽核頻率 (或需要稽核的情況)]。 | VPC 流程日誌可以提供 Amazon Virtual Private Cloud (Amazon VPC) 中網路介面 IP 流量傳入及傳出的相關資訊詳細記錄。根據預設，流程日誌記錄包含 IP 流程不同元件的值，包括來源、目標和通訊協定。 | |
| AU-2(a)(d) | 組織：a. 確定資訊系統能夠稽核下列事件：[指派: 組織定義的可稽核事件]；d. 確定要在資訊系統內稽核下列事件：[指派: 組織定義的稽核事件 (AU-2 a 中定義的可稽核事件子集)，以及每個已識別事件的稽核頻率 (或需要稽核的情況)]。 | 若要協助您在環境內進行日誌記錄和監控，請確定已啟用 Amazon Relational Database Service (Amazon RDS) 日誌記錄。藉由 Amazon RDS 日誌記錄，您可以擷取連線、中斷連線、查詢或查詢的資料表等事件。 | |
| AU-2(a)(d) | 組織：a. 確定資訊系統能夠稽核下列事件：[指派: 組織定義的可稽核事件]；d. 確定要在資訊系統內稽核下列事件：[指派: 組織定義的稽核事件 (AU-2 a 中定義的可稽核事件子集)，以及每個已識別事件的稽核頻率 (或需要稽核的情況)]。 | 若要協助您在環境中進行記錄和監控，請在地區和全球 Web ACL 上啟用 AWS WAF (V2) 記錄。 AWS WAF 記錄會提供 Web ACL 分析之流量的詳細資訊。記錄會記錄 AWS WAF 從您的 AWS 資源接收要求的時間、請求的相關資訊，以及每個要求相符之規則的動作。 | |
| AU-2(a)(d) | 組織：a. 確定資訊系統能夠稽核下列事件：[指派: 組織定義的可稽核事件]；d. 確定要在資訊系統內稽核下列事件：[指派: 組織定義的稽核事件 (AU-2 a 中定義的可稽核事件子集)，以及每個已識別事件的稽核頻率 (或需要稽核的情況)]。 | 為了保護靜態資料，請確保已針對 Amazon Redshift 叢集啟用加密功能。您還必須確保已在 Amazon Redshift 叢集上部署必要的組態。應啟用稽核日誌記錄，以提供資料庫中連線和使用者活動的相關資訊。此規則要求為 clusterDbEncrypted （Config 默認值：TRUE）和 loggingEnabled（Config 默認值：TRUE）設置一個值。實際值應反映貴組織的政策。 | |
| AU-3 | 資訊系統產生的稽核記錄會包含下列資訊：建立發生的事件類型、事件發生的時間、事件發生的位置、事件的來源、事件的結果，以及與事件相關聯之任何個人或主體的身分。 | API Gateway 日誌記錄會顯示存取 API 的使用者及其存取 API 方式的詳細檢視。此洞察功能可讓您掌握使用者活動。 | |
| AU-3 | 資訊系統產生的稽核記錄會包含下列資訊：建立發生的事件類型、事件發生的時間、事件發生的位置、事件的來源、事件的結果，以及與事件相關聯之任何個人或主體的身分。 | 使用 Amazon CloudWatch 集中收集和管理日誌事件活動。包含 AWS CloudTrail 資料可提供您的 AWS 帳戶. | |
| AU-3 | 資訊系統產生的稽核記錄會包含下列資訊：建立發生的事件類型、事件發生的時間、事件發生的位置、事件的來源、事件的結果，以及與事件相關聯之任何個人或主體的身分。 | 收集 Simple Storage Service (Amazon S3) 資料事件有助於偵測任何異常活動。詳細資訊包括存取 Amazon S3 儲存貯體的 AWS 帳戶 資訊、IP 地址和事件時間。 | |
| AU-3 | 資訊系統產生的稽核記錄會包含下列資訊：建立發生的事件類型、事件發生的時間、事件發生的位置、事件的來源、事件的結果，以及與事件相關聯之任何個人或主體的身分。 | 若要協助您在環境內進行日誌記錄和監控，請確定已啟用 Amazon Relational Database Service (Amazon RDS) 日誌記錄。憑藉 Amazon RDS 日誌記錄，您可以擷取連線、中斷連線、查詢或查詢的資料表等事件。 | |
| AU-3 | 資訊系統產生的稽核記錄會包含下列資訊：建立發生的事件類型、事件發生的時間、事件發生的位置、事件的來源、事件的結果，以及與事件相關聯之任何個人或主體的身分。 | AWS CloudTrail 可以透過記錄 AWS 管理主控台動作和 API 呼叫來協助不可否認性。您可以識別使用者 AWS 帳戶 以及呼叫 AWS 服務的使用者、產生呼叫的來源 IP 位址，以及呼叫的計時。捕獲的數據的詳細信息可以在 AWS CloudTrail 記錄內容中看到。 | |
| AU-3 | 資訊系統產生的稽核記錄會包含下列資訊：建立發生的事件類型、事件發生的時間、事件發生的位置、事件的來源、事件的結果，以及與事件相關聯之任何個人或主體的身分。 | Elastic Load Balancing 活動是環境內的通訊中心點。請確保已啟用 ELB 日誌記錄。收集的資料可提供有關傳送至 ELB 之請求的詳細資訊。每個日誌包含收到請求的時間、用戶端的 IP 地址、延遲、請求路徑和伺服器回應等資訊。 | |
| AU-3 | 資訊系統產生的稽核記錄會包含下列資訊：建立發生的事件類型、事件發生的時間、事件發生的位置、事件的來源、事件的結果，以及與事件相關聯之任何個人或主體的身分。 | AWS CloudTrail 記錄 AWS 管理主控台動作和 API 呼叫。您可以識別呼叫的使用者和帳戶 AWS、進行呼叫的來源 IP 位址，以及呼叫發生的時間。 CloudTrail 如果啟用多重檔案，則會將日誌檔從所有儲存貯體傳遞 AWS 區域 至您的 S3 儲存貯體。此外，當 AWS 啟動新區域時， CloudTrail 將在新區域中建立相同的軌跡。而您會收到包含新區域 API 活動的日誌檔，卻無需採取任何動作。 | |
| AU-3 | 資訊系統產生的稽核記錄會包含下列資訊：建立發生的事件類型、事件發生的時間、事件發生的位置、事件的來源、事件的結果，以及與事件相關聯之任何個人或主體的身分。 | Amazon Simple Storage Service (Amazon S3) 伺服器存取日誌記錄提供了可監控網路是否存在潛在網路安全事件的方法。透過擷取發出至 Amazon S3 儲存貯體的請求詳細記錄以監控事件。每個存取日誌記錄都會提供有關單一存取請求的詳細資訊。詳細資訊包括請求者、儲存貯體名稱、請求時間、請求動作、回應狀態，以及相關的錯誤代碼。 | |
| AU-3 | 資訊系統產生的稽核記錄會包含下列資訊：建立發生的事件類型、事件發生的時間、事件發生的位置、事件的來源、事件的結果，以及與事件相關聯之任何個人或主體的身分。 | VPC 流程日誌可以提供 Amazon Virtual Private Cloud (Amazon VPC) 中網路介面 IP 流量傳入及傳出的相關資訊詳細記錄。根據預設，流程日誌記錄包含 IP 流程不同元件的值，包括來源、目標和通訊協定。 | |
| AU-3 | 資訊系統產生的稽核記錄會包含下列資訊：建立發生的事件類型、事件發生的時間、事件發生的位置、事件的來源、事件的結果，以及與事件相關聯之任何個人或主體的身分。 | 為了保護靜態資料，請確保已針對 Amazon Redshift 叢集啟用加密功能。您還必須確保已在 Amazon Redshift 叢集上部署必要的組態。應啟用稽核日誌記錄，以提供資料庫中連線和使用者活動的相關資訊。此規則要求為 clusterDbEncrypted （Config 默認值：TRUE）和 loggingEnabled（Config 默認值：TRUE）設置一個值。實際值應反映貴組織的政策。 | |
| AU-3 | 資訊系統產生的稽核記錄會包含下列資訊：建立發生的事件類型、事件發生的時間、事件發生的位置、事件的來源、事件的結果，以及與事件相關聯之任何個人或主體的身分。 | 若要協助您在環境中進行記錄和監控，請在地區和全球 Web ACL 上啟用 AWS WAF (V2) 記錄。 AWS WAF 記錄會提供 Web ACL 分析之流量的詳細資訊。記錄會記錄 AWS WAF 從您的 AWS 資源接收要求的時間、請求的相關資訊，以及每個要求相符之規則的動作。 | |
| AU-6(1)(3) | (1) 組織運用自動化機制整合稽核檢閱、分析及報告程序，以支援調查及回應可疑活動的組織程序。(3) 組織會分析不同儲存庫中的稽核記錄並建立彼此的關聯，以獲得全組織的情境感知。 | Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。其中包括惡意 IP 和機器學習列表，用於識別 AWS 雲端環境中的未預期、未經授權和惡意活動。 | |
| AU-6(1)(3) | (1) 組織運用自動化機制整合稽核檢閱、分析及報告程序，以支援調查及回應可疑活動的組織程序。(3) 組織會分析不同儲存庫中的稽核記錄並建立彼此的關聯，以獲得全組織的情境感知。 | AWS Security Hub 有助於監控未經授權的人員，連接，設備和軟件。 AWS Security Hub 會從多個服務彙總、組織和排列安全性警示或發現項目的優先順序。 AWS 一些這樣的服務是 Amazon Security Hub，Amazon Inspector，Amazon Macie， AWS Identity and Access Management (IAM) 訪問分析器， AWS Firewall Manager 器和 AWS 合作夥伴解決方案。 | |
| AU-6(1)(3) | (1) 組織運用自動化機制整合稽核檢閱、分析及報告程序，以支援調查及回應可疑活動的組織程序。(3) 組織會分析不同儲存庫中的稽核記錄並建立彼此的關聯，以獲得全組織的情境感知。 | 當指標違反指定數量評估期間的閾值時，Amazon 會發出 CloudWatch 警示。警示會根據在數個期間與閾值相關的指標值或表達式值來執行一或多個動作。此規則需要 alarmActionRequired (Config 預設值：True)、 insufficientDataAction必要 (Config 預設值：True)、 okActionRequired (Config 預設值：False) 的值。實際值應反映您環境的警示動作。 | |
| AU-6(1)(3) | (1) 組織運用自動化機制整合稽核檢閱、分析及報告程序，以支援調查及回應可疑活動的組織程序。(3) 組織會分析不同儲存庫中的稽核記錄並建立彼此的關聯，以獲得全組織的情境感知。 | 使用 Amazon CloudWatch 集中收集和管理日誌事件活動。包含 AWS CloudTrail 資料可提供您的 AWS 帳戶. | |
| AU-7(1) | 資訊系統會根據 [指派: 稽核記錄中的組織定義稽核欄位]，讓您能夠處理感興趣事件的稽核記錄。 | 當指標違反指定數量評估期間的閾值時，Amazon 會發出 CloudWatch 警示。警示會根據在數個期間與閾值相關的指標值或表達式值來執行一或多個動作。此規則需要 alarmActionRequired (Config 預設值：True)、 insufficientDataAction必要 (Config 預設值：True)、 okActionRequired (Config 預設值：False) 的值。實際值應反映您環境的警示動作。 | |
| AU-7(1) | 資訊系統會根據 [指派: 稽核記錄中的組織定義稽核欄位]，讓您能夠處理感興趣事件的稽核記錄。 | 使用 Amazon CloudWatch 集中收集和管理日誌事件活動。包含 AWS CloudTrail 資料可提供您的 AWS 帳戶. | |
| AU-9 | 資訊系統會保護稽核資訊和稽核工具免於未經授權的存取、修改和刪除。 | 由於敏感資料可能存在並協助保護靜態資料，因此請確保 AWS CloudTrail 追蹤已啟用加密功能。 | |
| AU-9 | 資訊系統會保護稽核資訊和稽核工具免於未經授權的存取、修改和刪除。 | 為了協助保護靜態敏感資料，請確保已為 Amazon CloudWatch 日誌群組啟用加密。 | |
| AU-9(2) | 資訊系統每 [指派: 組織定義的頻率] 一次將稽核記錄備份到與所稽核系統或元件實體不同的系統或系統元件上。 | Amazon Simple Storage Service (Amazon S3) 跨區域複寫 (CRR) 可讓您維持足夠的容量和可用性。CRR 支援跨 Amazon S3 儲存貯體自動進行物件的非同步複製，以協助確保維護資料可用性。 | |
| AU-11 | 組織會保留 [Asset: 組織定義的時段與記錄保留原則一致] 的稽核記錄，以提供安全性事件 after-the-fact 調查的支援，以及符合法規和組織資訊保留需求。 | 確保為日誌群組保留最短的事件日誌資料持續時間，以利故障診斷和鑑識調查。如果缺少可用的過去事件日誌資料，就很難重建和識別潛在的惡意事件。 | |
| AU-12(a)(c) | 資訊系統：a. 在 [指派: 組織定義的資訊系統元件]，為 AU-2 a 中定義的可稽核事件提供稽核記錄產生功能；c. 使用 AU-3 中定義的內容為 AU-2 d 中定義的事件產生稽核記錄。 | API Gateway 日誌記錄會顯示存取 API 的使用者及其存取 API 方式的詳細檢視。此洞察功能可讓您掌握使用者活動。 | |
| AU-12(a)(c) | 資訊系統：a. 在 [指派: 組織定義的資訊系統元件]，為 AU-2 a 中定義的可稽核事件提供稽核記錄產生功能；c. 使用 AU-3 中定義的內容為 AU-2 d 中定義的事件產生稽核記錄。 | 使用 Amazon CloudWatch 集中收集和管理日誌事件活動。包含 AWS CloudTrail 資料可提供您的 AWS 帳戶. | |
| AU-12(a)(c) | 資訊系統：a. 在 [指派: 組織定義的資訊系統元件]，為 AU-2 a 中定義的可稽核事件提供稽核記錄產生功能；c. 使用 AU-3 中定義的內容為 AU-2 d 中定義的事件產生稽核記錄。 | 收集 Simple Storage Service (Amazon S3) 資料事件有助於偵測任何異常活動。詳細資訊包括存取 Amazon S3 儲存貯體的 AWS 帳戶 資訊、IP 地址和事件時間。 | |
| AU-12(a)(c) | 資訊系統：a. 在 [指派: 組織定義的資訊系統元件]，為 AU-2 a 中定義的可稽核事件提供稽核記錄產生功能；c. 使用 AU-3 中定義的內容為 AU-2 d 中定義的事件產生稽核記錄。 | 若要協助您在環境內進行日誌記錄和監控，請確定已啟用 Amazon Relational Database Service (Amazon RDS) 日誌記錄。藉由 Amazon RDS 日誌記錄，您可以擷取連線、中斷連線、查詢或查詢的資料表等事件。 | |
| AU-12(a)(c) | 資訊系統：a. 在 [指派: 組織定義的資訊系統元件]，為 AU-2 a 中定義的可稽核事件提供稽核記錄產生功能；c. 使用 AU-3 中定義的內容為 AU-2 d 中定義的事件產生稽核記錄。 | AWS CloudTrail 可以透過記錄 AWS 管理主控台動作和 API 呼叫來協助不可否認性。您可以識別使用者 AWS 帳戶 以及呼叫 AWS 服務的使用者、產生呼叫的來源 IP 位址，以及呼叫的計時。捕獲的數據的詳細信息可以在 AWS CloudTrail 記錄內容中看到。 | |
| AU-12(a)(c) | 資訊系統：a. 在 [指派: 組織定義的資訊系統元件]，為 AU-2 a 中定義的可稽核事件提供稽核記錄產生功能；c. 使用 AU-3 中定義的內容為 AU-2 d 中定義的事件產生稽核記錄。 | Elastic Load Balancing 活動是環境內的通訊中心點。請確保已啟用 ELB 日誌記錄。收集的資料可提供有關傳送至 ELB 之請求的詳細資訊。每個日誌包含收到請求的時間、用戶端的 IP 地址、延遲、請求路徑和伺服器回應等資訊。 | |
| AU-12(a)(c) | 資訊系統：a. 在 [指派: 組織定義的資訊系統元件]，為 AU-2 a 中定義的可稽核事件提供稽核記錄產生功能；c. 使用 AU-3 中定義的內容為 AU-2 d 中定義的事件產生稽核記錄。 | AWS CloudTrail 記錄 AWS 管理主控台動作和 API 呼叫。您可以識別呼叫的使用者和帳戶 AWS、進行呼叫的來源 IP 位址，以及呼叫發生的時間。 CloudTrail 如果啟用多重檔案，則會將日誌檔從所有儲存貯體傳遞 AWS 區域 至您的 S3 儲存貯體。此外，當 AWS 啟動新區域時， CloudTrail 將在新區域中建立相同的軌跡。因此，您將收到包含新區域 API 活動的日誌檔，而無需採取任何動作。 | |
| AU-12(a)(c) | 資訊系統：a. 在 [指派: 組織定義的資訊系統元件]，為 AU-2 a 中定義的可稽核事件提供稽核記錄產生功能；c. 使用 AU-3 中定義的內容為 AU-2 d 中定義的事件產生稽核記錄。 | Amazon Simple Storage Service (Amazon S3) 伺服器存取日誌記錄提供了可監控網路是否存在潛在網路安全事件的方法。透過擷取發出至 Amazon S3 儲存貯體的請求詳細記錄以監控事件。每個存取日誌記錄都會提供有關單一存取請求的詳細資訊。詳細資訊包括請求者、儲存貯體名稱、請求時間、請求動作、回應狀態，以及相關的錯誤代碼。 | |
| AU-12(a)(c) | 資訊系統：a. 在 [指派: 組織定義的資訊系統元件]，為 AU-2 a 中定義的可稽核事件提供稽核記錄產生功能；c. 使用 AU-3 中定義的內容為 AU-2 d 中定義的事件產生稽核記錄。 | VPC 流程日誌可以提供 Amazon Virtual Private Cloud (Amazon VPC) 中網路介面 IP 流量傳入及傳出的相關資訊詳細記錄。根據預設，流程日誌記錄包含 IP 流程不同元件的值，包括來源、目標和通訊協定。 | |
| AU-12(a)(c) | 資訊系統：a. 在 [指派: 組織定義的資訊系統元件]，為 AU-2 a 中定義的可稽核事件提供稽核記錄產生功能；c. 使用 AU-3 中定義的內容為 AU-2 d 中定義的事件產生稽核記錄。 | 若要協助您在環境中進行記錄和監控，請在地區和全球 Web ACL 上啟用 AWS WAF (V2) 記錄。 AWS WAF 記錄會提供 Web ACL 分析之流量的詳細資訊。記錄會記錄 AWS WAF 從您的 AWS 資源接收要求的時間、請求的相關資訊，以及每個要求相符之規則的動作。 | |
| AU-12(a)(c) | 資訊系統：a. 在 [指派: 組織定義的資訊系統元件]，為 AU-2 a 中定義的可稽核事件提供稽核記錄產生功能；c. 使用 AU-3 中定義的內容為 AU-2 d 中定義的事件產生稽核記錄。 | 為了保護靜態資料，請確保已針對 Amazon Redshift 叢集啟用加密功能。您還必須確保已在 Amazon Redshift 叢集上部署必要的組態。應啟用稽核日誌記錄，以提供資料庫中連線和使用者活動的相關資訊。此規則要求為 clusterDbEncrypted （Config 默認值：TRUE）和 loggingEnabled（Config 默認值：TRUE）設置一個值。實際值應反映貴組織的政策。 | |
| CA-7(a)(b) | 組織制定了持續監控策略，並實作包括以下內容的持續監控計畫：a. 建立要加以監控的 [指派: 組織定義的指標]；b. 建立適用於監控的 [指派: 組織定義的頻率] 以及適合支援此類監控評估的 [指派: 組織定義的頻率] | Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。其中包括惡意 IP 和機器學習列表，用於識別 AWS 雲端環境中的未預期、未經授權和惡意活動。 | |
| CA-7(a)(b) | 組織制定了持續監控策略，並實作包括以下內容的持續監控計畫：a. 建立要加以監控的 [指派: 組織定義的指標]；b. 建立監控的 [指派: 組織定義的頻率]，以及支援此類監控之評估的 [指派: 組織定義的頻率]。 | AWS Security Hub 有助於監控未經授權的人員，連接，設備和軟件。 AWS Security Hub 會從多個服務彙總、組織和排列安全性警示或發現項目的優先順序。 AWS 一些這樣的服務是 Amazon Security Hub，Amazon Inspector，Amazon Macie， AWS Identity and Access Management (IAM) 訪問分析器， AWS Firewall Manager 器和 AWS 合作夥伴解決方案。 | |
| CA-7(a)(b) | 組織制定了持續監控策略，並實作包括以下內容的持續監控計畫：a. 建立要加以監控的 [指派: 組織定義的指標]；b. 建立監控的 [指派: 組織定義的頻率]，以及支援此類監控之評估的 [指派: 組織定義的頻率]。 | 使用 Amazon CloudWatch 集中收集和管理日誌事件活動。包含 AWS CloudTrail 資料可提供您的 AWS 帳戶. | |
| CA-7(a)(b) | 組織制定了持續監控策略，並實作包括以下內容的持續監控計畫：a. 建立要加以監控的 [指派: 組織定義的指標]；b. 建立監控的 [指派: 組織定義的頻率]，以及支援此類監控之評估的 [指派: 組織定義的頻率]。 | 當指標違反指定數量評估期間的閾值時，Amazon 會發出 CloudWatch 警示。警示會根據在數個期間與閾值相關的指標值或表達式值來執行一或多個動作。此規則需要 alarmActionRequired (Config 預設值：True)、 insufficientDataAction必要 (Config 預設值：True)、 okActionRequired (Config 預設值：False) 的值。實際值應反映您環境的警示動作。 | |
| CA-7(a)(b) | 組織制定了持續監控策略，並實作包括以下內容的持續監控計畫：a. 建立要加以監控的 [指派: 組織定義的指標]；b. 建立監控的 [指派: 組織定義的頻率]，以及支援此類監控之評估的 [指派: 組織定義的頻率]。 | 啟用此規則可協助改善 Amazon EC2 主控台上的 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體監控，並顯示執行個體以 1 分鐘為區間的監控圖形。 | |
| CA-7(a)(b) | 組織制定了持續監控策略，並實作包括以下內容的持續監控計畫：a. 建立要加以監控的 [指派: 組織定義的指標]；b. 建立監控的 [指派: 組織定義的頻率]，以及支援此類監控之評估的 [指派: 組織定義的頻率]。 | 啟用 Amazon Relational Database Service (Amazon RDS) 可協助監控 Amazon RDS 的可用性。這可讓您詳細掌握 Amazon RDS 資料庫執行個體的運作狀態。當 Amazon RDS 儲存體使用多個基礎實體裝置時，增強型監控會收集每部裝置的資料。此外，當 Amazon RDS 資料庫執行個體在多可用區部署中執行時，就會收集次要主機上每部裝置的資料，以及次要主機指標。 | |
| CM-2 | 組織依組態控制所制定、記錄及維護的目前資訊系統基準組態。 | 透過使用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體，即可清查組織內的軟體平台和應用程式。使用 AWS Systems Manager 來提供詳細的系統組態、作業系統修補程式等級、服務名稱和類型、軟體安裝、應用程式名稱、發行者和版本，以及環境的其他詳細資料。 | |
| CM-2 | 組織依組態控制所制定、記錄及維護的目前資訊系統基準組態。 | 使用 AWS Systems Manager 關聯來協助清查組織內的軟體平台和應用程式。 AWS Systems Manager 會為您的受管執行個體指派組態狀態，並可讓您設定作業系統修補程式層級、軟體安裝、應用程式組態，以及環境其他詳細資訊的基準。 | |
| CM-2 | 組織依組態控制所制定、記錄及維護的目前資訊系統基準組態。 | 啟用此規則可根據組織的標準，檢查 Amazon EC2 執行個體的停止時間是否超過允許的天數，以協助設定 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體的基準組態。 | |
| CM-2 | 組織依組態控制所制定、記錄及維護的目前資訊系統基準組態。 | 此規則可確保在執行個體終止時，連接到 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體的 Amazon Elastic Block Store 磁碟區會被標記為待刪除。如果 Amazon EBS 磁碟區在其連接的執行個體終止時未予以刪除，則可能會違反最少功能的概念。 | |
| CM-2 | 組織依組態控制所制定、記錄及維護的目前資訊系統基準組態。 | 此規則可確保 Elastic Load Balancing 已啟用刪除保護。使用此功能可防止意外或惡意刪除負載平衡器，從而導致應用程式喪失可用性。 | |
| CM-2 | 組織依組態控制所制定、記錄及維護的目前資訊系統基準組態。 | 透過確保 Amazon 彈性運算 AWS 雲端 (Amazon EC2) 安全群組上的通用連接埠受到限制，以管理雲端中資源的存取。如果不將連接埠的存取限制為信任來源，可能會導致系統的可用性、完整性和機密性遭到攻擊。此規則可讓您選用設定 blockedPort1 - blockedPort5 參數 (Config 預設值：20、21、3389、3306、4333)。實際值應反映貴組織的政策。 | |
| CM-2 | 組織依組態控制所制定、記錄及維護的目前資訊系統基準組態。 | 此規則可檢查啟用多個設定 AWS CloudTrail，以協助確保使用 AWS 建議的安全性最佳作法。其中包括使用記錄加密、記錄驗證，以及 AWS CloudTrail 在多個區域中啟用。 | |
| CM-7(a) | 組織：a. 將資訊系統設定為僅提供基本功能。 | 透過使用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體，即可清查組織內的軟體平台和應用程式。使用 AWS Systems Manager 來提供詳細的系統組態、作業系統修補程式等級、服務名稱和類型、軟體安裝、應用程式名稱、發行者和版本，以及環境的其他詳細資料。 | |
| CM-7(a) | 組織：a. 將資訊系統設定為僅提供基本功能。 | 使用 AWS Systems Manager 關聯來協助清查組織內的軟體平台和應用程式。 AWS Systems Manager 會為您的受管執行個體指派組態狀態，並可讓您設定作業系統修補程式層級、軟體安裝、應用程式組態，以及環境其他詳細資訊的基準。 | |
| CM-8(1) | 組織會將資訊系統元件的庫存清單更新為元件安裝、移除和資訊系統更新完整作業之一環。 | 透過使用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體，即可清查組織內的軟體平台和應用程式。使用 AWS Systems Manager 來提供詳細的系統組態、作業系統修補程式等級、服務名稱和類型、軟體安裝、應用程式名稱、發行者和版本，以及環境的其他詳細資料。 | |
| CM-8(3)(a) | 組織：a. 運用自動化機制，依 [指派: 組織定義的頻率] 偵測資訊系統中是否存在未經授權的硬體、軟體和韌體元件 | 透過使用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體，即可清查組織內的軟體平台和應用程式。使用 AWS Systems Manager 來提供詳細的系統組態、作業系統修補程式等級、服務名稱和類型、軟體安裝、應用程式名稱、發行者和版本，以及環境的其他詳細資料。 | |
| CM-8(3)(a) | 組織：a. 運用自動化機制，依 [指派: 組織定義的頻率] 偵測資訊系統中是否存在未經授權的硬體、軟體和韌體元件 | 使用 AWS Systems Manager 關聯來協助清查組織內的軟體平台和應用程式。 AWS Systems Manager 會為您的受管執行個體指派組態狀態，並可讓您設定作業系統修補程式層級、軟體安裝、應用程式組態，以及環境其他詳細資訊的基準。 | |
| CM-8(3)(a) | 組織：a. 運用自動化機制，依 [指派: 組織定義的頻率] 偵測資訊系統中是否存在未經授權的硬體、軟體和韌體元件 | 啟用此規則可協助識別和記載 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。該規則會根據組織政策和程序的要求，檢查 AWS Systems Manager 中的 Amazon EC2 執行個體是否符合修補程式合規性。 | |
| CP-9(b) | 組織：b. 依 [指派: 與復原時間和復原點目標一致的組織定義頻率] 對資訊系統中包含的系統層級資訊進行備份。 | Amazon RDS 的備份功能可建立資料庫和交易日誌的備份。Amazon RDS 會自動建立資料庫執行個體的儲存磁碟區快照，並備份整個資料庫執行個體。系統可讓您設定特定保留期，以符合您的恢復能力要求。 | |
| CP-9(b) | 組織：b. 依 [指派: 與復原時間和復原點目標一致的組織定義頻率] 對資訊系統中包含的系統層級資訊進行備份。 | 啟用此規則可檢查資訊是否已備份。它還可以透過確保在 Amazon DynamoDB 中啟用 point-in-time 復原功能來維護備份。復原會維護資料表在過去 35 天內的連續備份。 | |
| CP-9(b) | 組織：b. 依 [指派: 與復原時間和復原點目標一致的組織定義頻率] 對資訊系統中包含的系統層級資訊進行備份。 | 啟用自動備份後，Amazon ElastiCache 會每天建立叢集的備份。備份保留天數由貴組織指定。自動備份可協助防止資料遺失。如果發生失敗，您可以建立新叢集，從最新的備份還原您的資料。 | |
| CP-9(b) | 組織：b. 依 [指派: 與復原時間和復原點目標一致的組織定義頻率] 對資訊系統中包含的系統層級資訊進行備份。 | Amazon Simple Storage Service (Amazon S3) 跨區域複寫 (CRR) 可讓您維持足夠的容量和可用性。CRR 支援跨 Amazon S3 儲存貯體自動非同步複製物件，以協助確保維持資料可用性。 | |
| CP-9(b) | 組織：b. 依 [指派: 與復原時間和復原點目標一致的組織定義頻率] 對資訊系統中包含的系統層級資訊進行備份。 | 為了協助進行資料 Backup 程序，請確保您的 Amazon DynamoDB 表是備份計劃的一 AWS 部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。 | |
| CP-9(b) | 組織：b. 依 [指派: 與復原時間和復原點目標一致的組織定義頻率] 對資訊系統中包含的系統層級資訊進行備份。 | 為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic Block Store (Amazon EBS) 磁碟區是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您符合業務與法規的備份合規要求。 | |
| CP-9(b) | 組織：b. 依 [指派: 與復原時間和復原點目標一致的組織定義頻率] 對資訊系統中包含的系統層級資訊進行備份。 | 為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic File System (Amazon EFS) 檔案系統是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。 | |
| CP-9(b) | 組織：b. 依 [指派: 與復原時間和復原點目標一致的組織定義頻率] 對資訊系統中包含的系統層級資訊進行備份。 | 為了協助進行資料 Backup 程序，請確保您的 Amazon Relational Database Service (Amazon RDS) 執行個體是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。 | |
| CP-10 | 組織能夠在資訊系統中斷、危害或故障之後，恢復及重建到已知狀態。 | Amazon DynamoDB 自動擴展使用應用 Ap AWS plication Auto Scaling 服務調整佈建的輸送量容量，以自動回應實際流量模式。這可讓資料表或全域次要索引增加其佈建的讀取/寫入容量，不需限流即可處理突然增加的流量。 | |
| CP-10 | 組織能夠在資訊系統中斷、危害或故障之後，恢復及重建到已知狀態。 | 此規則可確保 Elastic Load Balancing 已啟用刪除保護。使用此功能可防止意外或惡意刪除負載平衡器，從而導致應用程式喪失可用性。 | |
| CP-10 | 組織能夠在資訊系統中斷、危害或故障之後，恢復及重建到已知狀態。 | Amazon Relational Database Service (Amazon RDS) 中的多可用區域支援可為資料庫執行個體提供增強的可用性與持久性。佈建多可用區域資料庫執行個體時，Amazon RDS 會自動建立主要資料庫執行個體，並將資料同步複寫到不同可用區域中的待命執行個體。每個可用區域都在其本身不同的實體獨立基礎設施上執行，而且具備高度可靠的設計。如果基礎設施失敗，Amazon RDS 會執行自動容錯移轉到待命執行個體，以便您可以在容錯移轉完成後立即恢復資料庫操作。 | |
| CP-10 | 組織能夠在資訊系統中斷、危害或故障之後，恢復及重建到已知狀態。 | Amazon Simple Storage Service (Amazon S3) 儲存貯體版本控制可協助您將物件的多個變體儲存在同一個 Amazon S3 儲存貯體中。請使用版本控制功能來保留、擷取和還原存放在 Amazon S3 儲存貯體中之每個物件的每個版本。版本控制可協助您輕鬆從意外的使用者動作和應用程式失敗中復原。 | |
| CP-10 | 組織能夠在資訊系統中斷、危害或故障之後，恢復及重建到已知狀態。 | 您可以實作備援的站台對站台 VPN 通道以達到恢復能力要求。這會使用兩個通道來確保連線能力，以防其中一個站台對站台 VPN 連線無法使用。為免在無法使用客戶閘道時失去連線，您可以使用第二個客戶閘道設定 Amazon Virtual Private Cloud (Amazon VPC) 和虛擬私有閘道的第二個站台對站台 VPN 連線。 | |
| CP-10 | 組織能夠在資訊系統中斷、危害或故障之後，恢復及重建到已知狀態。 | Amazon RDS 的備份功能可建立資料庫和交易日誌的備份。Amazon RDS 會自動建立資料庫執行個體的儲存磁碟區快照，並備份整個資料庫執行個體。系統可讓您設定特定保留期，以符合您的恢復能力要求。 | |
| CP-10 | 組織能夠在資訊系統中斷、危害或故障之後，恢復及重建到已知狀態。 | 啟用此規則可檢查資訊是否已備份。它還可以透過確保在 Amazon DynamoDB 中啟用 point-in-time 復原功能來維護備份。復原會維護資料表在過去 35 天內的連續備份。 | |
| CP-10 | 組織能夠在資訊系統中斷、危害或故障之後，恢復及重建到已知狀態。 | 啟用自動備份後，Amazon ElastiCache 會每天建立叢集的備份。備份保留天數由貴組織指定。自動備份可協助防止資料遺失。如果發生失敗，您可以建立新叢集，從最新的備份還原您的資料。 | |
| CP-10 | 組織能夠在資訊系統中斷、危害或故障之後，恢復及重建到已知狀態。 | Amazon Simple Storage Service (Amazon S3) 跨區域複寫 (CRR) 可讓您維持足夠的容量和可用性。CRR 支援跨 Amazon S3 儲存貯體自動進行物件的非同步複製，以協助確保維護資料可用性。 | |
| CP-10 | 組織能夠在資訊系統中斷、危害或故障之後，恢復及重建到已知狀態。 | 為了協助進行資料 Backup 程序，請確保您的 Amazon DynamoDB 表是備份計劃的一 AWS 部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。 | |
| CP-10 | 組織能夠在資訊系統中斷、危害或故障之後，恢復及重建到已知狀態。 | 為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic Block Store (Amazon EBS) 磁碟區是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您符合業務與法規的備份合規要求。 | |
| CP-10 | 組織能夠在資訊系統中斷、危害或故障之後，恢復及重建到已知狀態。 | 為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic File System (Amazon EFS) 檔案系統是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。 | |
| CP-10 | 組織能夠在資訊系統中斷、危害或故障之後，恢復及重建到已知狀態。 | 為 Elastic Load Balancer (ELB) 啟用跨區域負載平衡，以利維持足夠的容量和可用性。跨區域負載平衡可減少在每個啟用的可用區域中維護同等數量執行個體的需求。還可以改善應用程式的能力，以處理一或多個執行個體遺失的狀況。 | |
| CP-10 | 組織能夠在資訊系統中斷、危害或故障之後，恢復及重建到已知狀態。 | 為了協助進行資料 Backup 程序，請確保您的 Amazon Relational Database Service (Amazon RDS) 執行個體是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。 | |
| IA-2 | 資訊系統可唯一識別和驗證組織使用者 (或代表組織使用者行事流程)。 | 身分和憑證會依組織的 IAM 密碼政策核發、管理及驗證。它們符合或超過 NIST SP 800-63 和互聯網安全中心（CIS） AWS 基準密碼強度基準所述的要求。此規則可讓您選擇性地設定 RequireUppercaseCharacters (AWS 基礎安全最佳做法值：true)、 RequireLowercaseCharacters (AWS 基礎安全最佳做法值：true)、 RequireSymbols (AWS 基礎安全最佳做法值：true)、 RequireNumbers (AWS 基礎安全最佳做法值：true)、 MinimumPasswordLength (AWS 基礎安全最佳實務值：14)、(基礎安全性最佳實務值：24) 和 PasswordReusePrevention MaxPasswordAge (AWS IAM 的最佳實務值：90)AWS 密碼策略。實際值應反映貴組織的政策。 | |
| IA-2(1)(11) | (1) 資訊系統會針對特殊權限帳戶的網路存取實作多重要素驗證。(11) 資訊系統會針對特殊權限帳戶和非特殊權限帳戶的遠端存取實作多重要素驗證，其中一個要素必須由與取得存取權之系統不同的裝置所提供，且該裝置符合 [指派: 組織定義的機制要求強度]。 | 透過確保針對 root 使用者啟用硬體 MFA，來管理 AWS 雲端資源的存取。根使用者是 AWS 帳戶中權限最高的使用者。MFA 為登入憑證多增加一層保護。透過針對 root 使用者要求 MFA，您可以減少遭到入侵 AWS 帳戶的事件。 | |
| IA-2(1)(11) | (1) 資訊系統會針對特殊權限帳戶的網路存取實作多重要素驗證。(11) 資訊系統會針對特殊權限帳戶和非特殊權限帳戶的遠端存取實作多重要素驗證，其中一個要素必須由與取得存取權之系統不同的裝置所提供，且該裝置符合 [指派: 組織定義的機制要求強度]。 | 確保針對 root 使用者啟用 MFA，以管理 AWS 雲端中資源的存取。根使用者是 AWS 帳戶中權限最高的使用者。MFA 為使用者名稱和密碼多增加一層保護。透過針對 root 使用者要求 MFA，您可以減少遭到入侵 AWS 帳戶的事件。 | |
| IA-2(1)(2)(11) | (1) 資訊系統會針對特殊權限帳戶的網路存取實作多重要素驗證。(2) 資訊系統會針對非特殊權限帳戶的網路存取實作多重要素驗證。(11) 資訊系統會針對特殊權限帳戶和非特殊權限帳戶的遠端存取實作多重要素驗證，其中一個要素必須由與取得存取權之系統不同的裝置所提供，且該裝置符合 [指派: 組織定義的機制要求強度]。 | 透過確保對具有主控台密碼的所有 AWS Identity and Access Management (IAM) 使用者啟用 MFA，以管理 AWS 雲端中資源的存取。MFA 在登入憑證之外多加了一層保護。要求使用者使用 MFA，您可以減少帳戶遭到入侵的事件，並防止未經授權的使用者存取敏感資料。 | |
| IA-2(1)(2)(11) | (1) 資訊系統會針對特殊權限帳戶的網路存取實作多重要素驗證。(2) 資訊系統會針對非特殊權限帳戶的網路存取實作多重要素驗證。(11) 資訊系統會針對特殊權限帳戶和非特殊權限帳戶的遠端存取實作多重要素驗證，其中一個要素必須由與取得存取權之系統不同的裝置所提供，且該裝置符合 [指派: 組織定義的機制要求強度]。 | 啟用此規則可限制對 AWS Cloud 資源的存取。此規則可確保為所有使用者都啟用了多重要素驗證 (MFA)。MFA 在使用者名稱和密碼之外，多增加一層保護。要求使用者使用 MFA 可減少帳戶遭到入侵的事件。 | |
| IA-5(1)(a)(d)(e) | 適用於密碼型驗證的資訊系統：a. 強制執行 [指派: 組織定義的區分大小寫、字元數，以及混合大小寫字母、數字和特殊字元 (包括每種類型的最低要求) 要求] 的最低密碼複雜性；d. 強制執行 [指派: 組織定義的存留期上下限數值] 的密碼存留期上下限；e. 在產生 [指派: 組織定義的次數] 次之後，禁止重複使用密碼。 | 身分和憑證會依組織的 IAM 密碼政策核發、管理及驗證。它們符合或超過 NIST SP 800-63 和互聯網安全中心（CIS） AWS 基準密碼強度基準所述的要求。此規則可讓您選擇性地設定 RequireUppercaseCharacters (AWS 基礎安全最佳做法值：true)、 RequireLowercaseCharacters (AWS 基礎安全最佳做法值：true)、 RequireSymbols (AWS 基礎安全最佳做法值：true)、 RequireNumbers (AWS 基礎安全最佳做法值：true)、 MinimumPasswordLength (AWS 基礎安全最佳實務值：14)、(基礎安全性最佳實務值：24) 和 PasswordReusePrevention MaxPasswordAge (AWS IAM 的最佳實務值：90)AWS 密碼策略。實際值應反映貴組織的政策。 | |
| IA-5(4) | 組織運用自動化工具來判斷密碼驗證器的強度是否足以滿足 [指派: 組織定義的需求]。 | 身分和憑證會依組織的 IAM 密碼政策核發、管理及驗證。它們符合或超過 NIST SP 800-63 和互聯網安全中心（CIS） AWS 基準密碼強度基準所述的要求。此規則可讓您選擇性地設定 RequireUppercaseCharacters (AWS 基礎安全最佳做法值：true)、 RequireLowercaseCharacters (AWS 基礎安全最佳做法值：true)、 RequireSymbols (AWS 基礎安全最佳做法值：true)、 RequireNumbers (AWS 基礎安全最佳做法值：true)、 MinimumPasswordLength (AWS 基礎安全最佳實務值：14)、(基礎安全性最佳實務值：24) 和 PasswordReusePrevention MaxPasswordAge (AWS IAM 的最佳實務值：90)AWS 密碼策略。實際值應反映貴組織的政策。 | |
| IA-5(7) | 組織要確保未加密的靜態驗證器不會嵌入應用程式或存取指令碼中，也不會儲存在功能鍵上。 | 請確定驗證認證 AW_ACCESS_KEY_ID 和 AWS_Secret_KEY 在程式碼建置專案環境中不存在。 AWS 請勿將這些變數儲存為純文字。以純文字格式儲存這些變數會導致非預期的資料暴露和未經授權的存取。 | |
| IR-4(1) | 組織會運用自動化機制為事件處理流程提供支援。 | 當指標違反指定數量評估期間的閾值時，Amazon 會發出 CloudWatch 警示。警示會根據在數個期間與閾值相關的指標值或表達式值來執行一或多個動作。此規則需要 alarmActionRequired (Config 預設值：True)、 insufficientDataAction必要 (Config 預設值：True)、 okActionRequired (Config 預設值：False) 的值。實際值應反映您環境的警示動作。 | |
| IR-4(1) | 組織會運用自動化機制為事件處理流程提供支援。 | Amazon GuardDuty 透過將發現結果按嚴重性 (低、中和高) 分類，協助您瞭解事件的影響。您可以使用這些分類決定修復策略和優先順序。此規則可讓您根據 Config 織原則的 daysLowSev 要求， daysMediumSev 選擇性地為未存檔的發現項目設定 daysHighSev (組 Config 預設值：30)、(組態預設值：7) 及 (組態預設值：1)。 | |
| IR-6(1) | 組織會運用自動化機制協助報告安全事件。 | Amazon GuardDuty 透過將發現結果按嚴重性 (低、中和高) 分類，協助您瞭解事件的影響。您可以使用這些分類決定修復策略和優先順序。此規則可讓您根據 Config 織原則的 daysLowSev 要求， daysMediumSev 選擇性地為未存檔的發現項目設定 daysHighSev (組 Config 預設值：30)、(組態預設值：7) 及 (組態預設值：1)。 | |
| IR-7(1) | 組織會運用自動化機制提高事件回應相關資訊和支援的可用性。 | Amazon GuardDuty 透過將發現結果按嚴重性 (低、中和高) 分類，協助您瞭解事件的影響。您可以使用這些分類決定修復策略和優先順序。此規則可讓您根據 Config 織原則的 daysLowSev 要求， daysMediumSev 選擇性地為未存檔的發現項目設定 daysHighSev (組 Config 預設值：30)、(組態預設值：7) 及 (組態預設值：1)。 | |
| RA-5 | 組織：a. 掃描資訊系統和託管應用程式中的漏洞 [指派: 組織定義的頻率和/或根據組織定義的程序隨機排列]，以及發現並報告可能影響系統/應用程式的新漏洞時；b. 運用可促進工具間互通性的漏洞掃描工具和技術，並使用以下標準將漏洞管理程序各部分自動化：1. 列舉平台、軟體缺陷和不正確的組態；2. 格式化檢查清單和測試程序；以及 3. 衡量漏洞影響；c. 分析漏洞掃描報告和安全控制評估的結果；d. 依組織的風險評估為據，修補合法漏洞 [指派: 組織定義的回應時間]；以及 e. 與 [指派: 組織定義的人員或角色] 共用從漏洞掃描程序和安全控制評估取得的資訊，以協助消除其他資訊系統中的類似漏洞 (即系統弱點或缺陷)。 | Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。其中包括惡意 IP 和機器學習列表，用於識別 AWS 雲端環境中的未預期、未經授權和惡意活動。 | |
| RA-5 | 組織：a. 掃描資訊系統和託管應用程式中的漏洞 [指派: 組織定義的頻率和/或根據組織定義的程序隨機排列]，以及發現並報告可能影響系統/應用程式的新漏洞時；b. 運用可促進工具間互通性的漏洞掃描工具和技術，並使用以下標準將漏洞管理程序各部分自動化：1. 列舉平台、軟體缺陷和不正確的組態；2. 格式化檢查清單和測試程序；以及 3. 衡量漏洞影響；c. 分析漏洞掃描報告和安全控制評估的結果；d. 依組織的風險評估為據，修補合法漏洞 [指派: 組織定義的回應時間]；以及 e. 與 [指派: 組織定義的人員或角色] 共用從漏洞掃描程序和安全控制評估取得的資訊，以協助消除其他資訊系統中的類似漏洞 (即系統弱點或缺陷)。 | Amazon GuardDuty 透過將發現結果按嚴重性 (低、中和高) 分類，協助您瞭解事件的影響。您可以使用這些分類決定修復策略和優先順序。此規則可讓您根據 Config 織原則的 daysLowSev 要求， daysMediumSev 選擇性地為未存檔的發現項目設定 daysHighSev (組 Config 預設值：30)、(組態預設值：7) 及 (組態預設值：1)。 | |
| SA-3(a) | 組織：a. 使用包含資訊安全考量的 [指派: 組織定義的系統開發生命週期] 管理資訊系統。 | 請確定驗證認證 AW_ACCESS_KEY_ID 和 AWS_Secret_KEY 在程式碼建置專案環境中不存在。 AWS 請勿將這些變數儲存為純文字。以純文字格式儲存這些變數會導致非預期的資料暴露和未經授權的存取。 | |
| SA-3(a) | 組織：a. 使用包含資訊安全考量的 [指派: 組織定義的系統開發生命週期] 管理資訊系統。 | 透過使用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體，即可清查組織內的軟體平台和應用程式。使用 AWS Systems Manager 來提供詳細的系統組態、作業系統修補程式等級、服務名稱和類型、軟體安裝、應用程式名稱、發行者和版本，以及環境的其他詳細資料。 | |
| SA-3(a) | 組織：a. 使用包含資訊安全考量的 [指派: 組織定義的系統開發生命週期] 管理資訊系統。 | 確保 GitHub 或 Bitbucket 源存儲庫 URL 不包含個人訪問令牌， AWS Codebuild 項目環境中的登錄憑據。使用 OAuth 而不是個人訪問令牌或登錄憑據來授予訪問 GitHub 或 Bitbucket 存儲庫的授權。 | |
| SA-10 | 組織要求資訊系統、系統元件或資訊系統服務的開發人員：a. 在系統、元件或服務 [選取項目 (一或多個): 設計; 開發; 實作; 操作] 期間執行組態管理；b. 記錄、管理與控制 [指派: 組態管理下的組織定義組態項目] 變更的完整性；c. 對系統、元件或服務僅實作組織核批准的變更；d. 記錄核准的系統、元件或服務變更，以及此類變更可能造成的安全影響；以及 e. 追蹤系統、元件或服務內的安全缺陷和缺陷解決方案，並向 [指派: 組織定義的人員] 報告調查結果。 | Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。其中包括惡意 IP 和機器學習列表，用於識別 AWS 雲端環境中的未預期、未經授權和惡意活動。 | |
| SA-10 | 組織要求資訊系統、系統元件或資訊系統服務的開發人員：a. 在系統、元件或服務 [選取項目 (一或多個): 設計; 開發; 實作; 操作] 期間執行組態管理；b. 記錄、管理與控制 [指派: 組態管理下的組織定義組態項目] 變更的完整性；c. 對系統、元件或服務僅實作組織核批准的變更；d. 記錄核准的系統、元件或服務變更，以及此類變更可能造成的安全影響；以及 e. 追蹤系統、元件或服務內的安全缺陷和缺陷解決方案，並向 [指派: 組織定義的人員] 報告調查結果。 | Amazon GuardDuty 透過將發現結果按嚴重性 (低、中和高) 分類，協助您瞭解事件的影響。您可以使用這些分類決定修復策略和優先順序。此規則可讓您根據 Config 織原則的 daysLowSev 要求， daysMediumSev 選擇性地為未存檔的發現項目設定 daysHighSev (組 Config 預設值：30)、(組態預設值：7) 及 (組態預設值：1)。 | |
| SA-10 | 組織要求資訊系統、系統元件或資訊系統服務的開發人員：a. 在系統、元件或服務 [選取項目 (一或多個): 設計; 開發; 實作; 操作] 期間執行組態管理；b. 記錄、管理與控制 [指派: 組態管理下的組織定義組態項目] 變更的完整性；c. 對系統、元件或服務僅實作組織核批准的變更；d. 記錄核准的系統、元件或服務變更，以及此類變更可能造成的安全影響；以及 e. 追蹤系統、元件或服務內的安全缺陷和缺陷解決方案，並向 [指派: 組織定義的人員] 報告調查結果。 | AWS Security Hub 有助於監控未經授權的人員，連接，設備和軟件。 AWS Security Hub 會從多個服務彙總、組織和排列安全性警示或發現項目的優先順序。 AWS 一些這樣的服務是 Amazon Security Hub，Amazon Inspector，Amazon Macie， AWS Identity and Access Management (IAM) 訪問分析器， AWS Firewall Manager 器和 AWS 合作夥伴解決方案。 | |
| SA-10 | 組織要求資訊系統、系統元件或資訊系統服務的開發人員：a. 在系統、元件或服務 [選取項目 (一或多個): 設計; 開發; 實作; 操作] 期間執行組態管理；b. 記錄、管理與控制 [指派: 組態管理下的組織定義組態項目] 變更的完整性；c. 對系統、元件或服務僅實作組織核批准的變更；d. 記錄核准的系統、元件或服務變更，以及此類變更可能造成的安全影響；以及 e. 追蹤系統、元件或服務內的安全缺陷和缺陷解決方案，並向 [指派: 組織定義的人員] 報告調查結果。 | 透過使用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體，即可清查組織內的軟體平台和應用程式。使用 AWS Systems Manager 來提供詳細的系統組態、作業系統修補程式等級、服務名稱和類型、軟體安裝、應用程式名稱、發行者和版本，以及環境的其他詳細資料。 | |
| SC-2 | 資訊系統會將使用者功能 (包括使用者介面服務) 與資訊系統管理功能分開。 | AWS Identity and Access Management (IAM) 可確保 IAM 群組至少有一位使用者，協助您將最低權限和職責分離的原則與存取權限和授權結合在一起。根據使用者的相關許可或工作職能將使用者放入群組中是整合最低權限的一種方法。 | |
| SC-2 | 資訊系統會將使用者功能 (包括使用者介面服務) 與資訊系統管理功能分開。 | AWS Identity and Access Management (IAM) 可協助您將最低權限和職責分離的原則與存取權限和授權合併，限制政策不包含「效果」：「允許」與「動作」：「*」而非「資源」:「*」。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。 | |
| SC-4 | 資訊系統會防止未經授權和意外透過共用系統資源傳輸資訊。 | 此規則可確保在執行個體終止時，連接到 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體的 Amazon Elastic Block Store 磁碟區會被標記為待刪除。如果 Amazon EBS 磁碟區在其連接的執行個體終止時未予以刪除，則可能會違反最少功能的概念。 | |
| SC-5 | 資訊系統可運用 [指派: 組織定義的安全防護] 針對下列拒絕服務攻擊類型採取保護措施或限制：[指派: 組織定義的拒絕服務攻擊類型或參考此類資訊的來源]。 | Amazon Elastic Compute Cloud (Amazon EC2) Auto Scaling 群組的 Elastic Load Balancer (ELB) 運作狀態檢查可讓您維持足夠的容量和可用性。負載平衡器會定期傳送 ping、嘗試連線或傳送請求，以測試 Auto Scaling 群組中的 Amazon EC2 執行個體運作狀態。如果執行個體未回報，流量就會傳送到新的 Amazon EC2 執行個體。 | |
| SC-5 | 資訊系統可運用 [指派: 組織定義的安全防護] 針對下列拒絕服務攻擊類型採取保護措施或限制：[指派: 組織定義的拒絕服務攻擊類型或參考此類資訊的來源]。 | Amazon DynamoDB 自動擴展使用應用 Ap AWS plication Auto Scaling 服務調整佈建的輸送量容量，以自動回應實際流量模式。這可讓資料表或全域次要索引增加其佈建的讀取/寫入容量，不需限流即可處理突然增加的流量。 | |
| SC-5 | 資訊系統可運用 [指派: 組織定義的安全防護] 針對下列拒絕服務攻擊類型採取保護措施或限制：[指派: 組織定義的拒絕服務攻擊類型或參考此類資訊的來源]。 | Amazon Relational Database Service (Amazon RDS) 中的多可用區域支援可為資料庫執行個體提供增強的可用性與持久性。佈建多可用區域資料庫執行個體時，Amazon RDS 會自動建立主要資料庫執行個體，並將資料同步複寫到不同可用區域中的待命執行個體。每個可用區域都在其本身不同的實體獨立基礎設施上執行，而且具備高度可靠的設計。如果發生基礎設施失敗，Amazon RDS 會執行自動容錯移轉到待命執行個體，以便您可以在容錯移轉完成後立即恢復資料庫操作。 | |
| SC-5 | 資訊系統可運用 [指派: 組織定義的安全防護] 針對下列拒絕服務攻擊類型採取保護措施或限制：[指派: 組織定義的拒絕服務攻擊類型或參考此類資訊的來源]。 | Amazon Simple Storage Service (Amazon S3) 跨區域複寫 (CRR) 可讓您維持足夠的容量和可用性。CRR 支援跨 Amazon S3 儲存貯體自動非同步複製物件，以協助確保維持資料可用性。 | |
| SC-5 | 資訊系統可運用 [指派: 組織定義的安全防護] 針對下列拒絕服務攻擊類型採取保護措施或限制：[指派: 組織定義的拒絕服務攻擊類型或參考此類資訊的來源]。 | 為 Elastic Load Balancer (ELB) 啟用跨區域負載平衡，以利維持足夠的容量和可用性。跨區域負載平衡可減少在每個啟用的可用區域中維護同等數量執行個體的需求。還可以改善應用程式的能力，以處理一或多個執行個體遺失的狀況。 | |
| SC-5 | 資訊系統可運用 [指派: 組織定義的安全防護] 針對下列拒絕服務攻擊類型採取保護措施或限制：[指派: 組織定義的拒絕服務攻擊類型或參考此類資訊的來源]。 | 確保 Amazon Relational Database Service (Amazon RDS) 執行個體已啟用刪除保護。使用刪除保護可防止意外或惡意刪除 Amazon RDS 執行個體，從而導致應用程式喪失可用性。 | |
| SC-7 | 資訊系統：a. 監控與控制在系統邊界外、系統主要內部邊界內的通訊；b. 實作與內部組織網絡 [選取項目: 實體選取; 邏輯選取] 分開之可公開存取的系統元件子網絡；以及 c. 只能透過受管介面連線至外部網路或資訊系統，這些介面包含依照組織安全架構排列的邊界保護裝置。 | 確保亞馬遜彈性運算 AWS 雲端 (Amazon EC2) 執行個體無法公開存取，以管理對雲端的存取。Amazon EC2 執行個體可能包含敏感資訊，此類帳戶需要存取控制。 | |
| SC-7 | 資訊系統：a. 監控與控制在系統邊界外、系統主要內部邊界內的通訊；b. 實作與內部組織網絡 [選取項目: 實體選取; 邏輯選取] 分開之可公開存取的系統元件子網絡；以及 c. 只能透過受管介面連線至外部網路或資訊系統，這些介面包含依照組織安全架構排列的邊界保護裝置。 | 為協助保護傳輸中的資料，請確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體要求使用 Secure Socket Layer (SSL)。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。 | |
| SC-7 | 資訊系統：a. 監控與控制在系統邊界外、系統主要內部邊界內的通訊；b. 實作與內部組織網絡 [選取項目: 實體選取; 邏輯選取] 分開之可公開存取的系統元件子網絡；以及 c. 只能透過受管介面連線至外部網路或資訊系統，這些介面包含依照組織安全架構排列的邊界保護裝置。 | 確保 Amazon Redshift 叢集需要 TLS/SSL 加密才能連線到 SQL 用戶端。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。 | |
| SC-7 | 資訊系統：a. 監控與控制在系統邊界外、系統主要內部邊界內的通訊；b. 實作與內部組織網絡 [選取項目: 實體選取; 邏輯選取] 分開之可公開存取的系統元件子網絡；以及 c. 只能透過受管介面連線至外部網路或資訊系統，這些介面包含依照組織安全架構排列的邊界保護裝置。 | 由於可能存在敏感資料並為了協助保護傳輸中資料，因此請確保您的 Elastic Load Balancing 已啟用加密功能。使用 Cer AWS tificate Manager 來管理、佈建和部署包含 AWS 服務和內部資源的公有和私有 SSL/TLS 憑證。 | |
| SC-7 | 資訊系統：a. 監控與控制在系統邊界外、系統主要內部邊界內的通訊；b. 實作與內部組織網絡 [選取項目: 實體選取; 邏輯選取] 分開之可公開存取的系統元件子網絡；以及 c. 只能透過受管介面連線至外部網路或資訊系統，這些介面包含依照組織安全架構排列的邊界保護裝置。 | 為了協助保護傳輸中的資料，請確保 Application Load Balancer 會自動將未加密的 HTTP 請求重新導向至 HTTPS。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。 | |
| SC-7 | 資訊系統：a. 監控與控制在系統邊界外、系統主要內部邊界內的通訊；b. 實作與內部組織網絡 [選取項目: 實體選取; 邏輯選取] 分開之可公開存取的系統元件子網絡；以及 c. 只能透過受管介面連線至外部網路或資訊系統，這些介面包含依照組織安全架構排列的邊界保護裝置。 | 確保 Elastic Load Balancer (ELB) 已設定使用 SSL 或 HTTPS 接聽程式。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。 | |
| SC-7 | 資訊系統：a. 監控與控制在系統邊界外、系統主要內部邊界內的通訊；b. 實作與內部組織網絡 [選取項目: 實體選取; 邏輯選取] 分開之可公開存取的系統元件子網絡；以及 c. 只能透過受管介面連線至外部網路或資訊系統，這些介面包含依照組織安全架構排列的邊界保護裝置。 | 若要協助您在環境中進行記錄和監控，請在地區和全球 Web ACL 上啟用 AWS WAF (V2) 記錄。 AWS WAF 記錄會提供 Web ACL 分析之流量的詳細資訊。記錄會記錄 AWS WAF 從您的 AWS 資源接收要求的時間、請求的相關資訊，以及每個要求相符之規則的動作。 | |
| SC-7 | 資訊系統：a. 監控與控制在系統邊界外、系統主要內部邊界內的通訊；b. 實作與內部組織網絡 [選取項目: 實體選取; 邏輯選取] 分開之可公開存取的系統元件子網絡；以及 c. 只能透過受管介面連線至外部網路或資訊系統，這些介面包含依照組織安全架構排列的邊界保護裝置。 | 在 Amazon Virtual Private Cloud (Amazon VPC) 內部署 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體，以在 Amazon VPC 內的執行個體與其他服務之間進行安全通訊，不需要網際網路閘道、NAT 裝置或 VPN 連線。所有流量都安全地保留在 AWS 雲中。相較於使用公有端點的網域，位於 Amazon VPC 內的網域因為使用邏輯隔離而更加安全。將 Amazon EC2 執行個體指派給 Amazon VPC 以正確管理存取。 | |
| SC-7 | 資訊系統：a. 監控與控制在系統邊界外、系統主要內部邊界內的通訊；b. 實作與內部組織網絡 [選取項目: 實體選取; 邏輯選取] 分開之可公開存取的系統元件子網絡；以及 c. 只能透過受管介面連線至外部網路或資訊系統，這些介面包含依照組織安全架構排列的邊界保護裝置。 | 透過確保網際網路閘道僅連接到授權的 Amazon 虛擬私有雲端 (Amazon VPC)，以管理雲端資源的存取。 AWS 網際網路閘道允許進出 Amazon VPC 的雙向網際網路存取，這可能導致未經授權存取 Amazon VPC 資源。 | |
| SC-7 | 資訊系統：a. 監控與控制在系統邊界外、系統主要內部邊界內的通訊；b. 實作與內部組織網絡 [選取項目: 實體選取; 邏輯選取] 分開之可公開存取的系統元件子網絡；以及 c. 只能透過受管介面連線至外部網路或資訊系統，這些介面包含依照組織安全架構排列的邊界保護裝置。 | 確保 DMS 複寫執行個體無法公開存取，以管理對 AWS 雲端的存取。DMS 複寫執行個體可能包含敏感資訊，此類帳戶需要存取控制。 | |
| SC-7 | 資訊系統：a. 監控與控制在系統邊界外、系統主要內部邊界內的通訊；b. 實作與內部組織網絡 [選取項目: 實體選取; 邏輯選取] 分開之可公開存取的系統元件子網絡；以及 c. 只能透過受管介面連線至外部網路或資訊系統，這些介面包含依照組織安全架構排列的邊界保護裝置。 | 確保 EBS 快照不可公開還原，以管理對 AWS 雲端的存取。EBS 磁碟區快照可能包含敏感資訊，此類帳戶需要存取控制。 | |
| SC-7 | 資訊系統：a. 監控與控制在系統邊界外、系統主要內部邊界內的通訊；b. 實作與內部組織網絡 [選取項目: 實體選取; 邏輯選取] 分開之可公開存取的系統元件子網絡；以及 c. 只能透過受管介面連線至外部網路或資訊系統，這些介面包含依照組織安全架構排列的邊界保護裝置。 | 通過確保 Amazon OpenSearch 服務（服OpenSearch 務）域位於 Amazon Virtual Private Cloud（Amazon VPC）中來管理對雲的訪問。 AWS Amazon VPC 中的 OpenSearch 服務網域可讓 Amazon VPC 內的 OpenSearch 服務與其他服務之間的安全通訊，無需網際網路閘道、NAT 裝置或 VPN 連線。 | |
| SC-7 | 資訊系統：a. 監控與控制在系統邊界外、系統主要內部邊界內的通訊；b. 實作與內部組織網絡 [選取項目: 實體選取; 邏輯選取] 分開之可公開存取的系統元件子網絡；以及 c. 只能透過受管介面連線至外部網路或資訊系統，這些介面包含依照組織安全架構排列的邊界保護裝置。 | 透過確保 Amazon EMR 叢集主節點無法公開存取，以管理對 AWS 雲端的存取。Amazon EMR 叢集主節點可能包含敏感資訊，此類帳戶需要存取控制。 | |
| SC-7 | 資訊系統：a. 監控與控制在系統邊界外、系統主要內部邊界內的通訊；b. 實作與內部組織網絡 [選取項目: 實體選取; 邏輯選取] 分開之可公開存取的系統元件子網絡；以及 c. 只能透過受管介面連線至外部網路或資訊系統，這些介面包含依照組織安全架構排列的邊界保護裝置。 | Amazon Elastic Compute Cloud (Amazon EC2) 安全群組可針對資源的輸入和輸出網路流量提供狀態篩選，協助管理網路存取。 AWS 不允許資源從 0.0.0.0/0 到連接埠 22 的輸入 (或遠端) 流量，有助於限制遠端存取。 | |
| SC-7 | 資訊系統：a. 監控與控制在系統邊界外、系統主要內部邊界內的通訊；b. 實作與內部組織網絡 [選取項目: 實體選取; 邏輯選取] 分開之可公開存取的系統元件子網絡；以及 c. 只能透過受管介面連線至外部網路或資訊系統，這些介面包含依照組織安全架構排列的邊界保護裝置。 | 確保 AWS Lambda 函數無法公開存取，以管理對 AWS 雲端資源的存取。公開存取可能會導致資源可用性降低。 | |
| SC-7 | 資訊系統：a. 監控與控制在系統邊界外、系統主要內部邊界內的通訊；b. 實作與內部組織網絡 [選取項目: 實體選取; 邏輯選取] 分開之可公開存取的系統元件子網絡；以及 c. 只能透過受管介面連線至外部網路或資訊系統，這些介面包含依照組織安全架構排列的邊界保護裝置。 | 在 Amazon Virtual Private Cloud (Amazon VPC) 中部署 AWS Lambda 函數，以便在 Amazon VPC 內的函數與其他服務之間進行安全通訊。有了這項組態，就不需要網際網路閘道、NAT 裝置或 VPN 連線。所有流量都安全地保留在 AWS 雲中。相較於使用公有端點的網域，位於 Amazon VPC 內的網域因為提供邏輯隔離，所以多了一層安全防護。若要正確管理存取，應將 AWS Lambda 函數指派給 VPC。 | |
| SC-7 | 資訊系統：a. 監控與控制在系統邊界外、系統主要內部邊界內的通訊；b. 實作與內部組織網絡 [選取項目: 實體選取; 邏輯選取] 分開之可公開存取的系統元件子網絡；以及 c. 只能透過受管介面連線至外部網路或資訊系統，這些介面包含依照組織安全架構排列的邊界保護裝置。 | 透過確保 Amazon 關聯式資料庫服務 (Amazon RDS) 執行個體不是公開的，來管理 AWS 雲端中資源的存取。Amazon RDS 資料庫執行個體可能包含敏感資訊，此類帳戶需要原則和存取控制。 | |
| SC-7 | 資訊系統：a. 監控與控制在系統邊界外、系統主要內部邊界內的通訊；b. 實作與內部組織網絡 [選取項目: 實體選取; 邏輯選取] 分開之可公開存取的系統元件子網絡；以及 c. 只能透過受管介面連線至外部網路或資訊系統，這些介面包含依照組織安全架構排列的邊界保護裝置。 | 透過確保 Amazon 關聯式資料庫服務 (Amazon RDS) 執行個體不是公開的，來管理 AWS 雲端中資源的存取。Amazon RDS 資料庫執行個體可能包含敏感資訊和原則，此類帳戶需要原則和存取控制。 | |
| SC-7 | 資訊系統：a. 監控與控制在系統邊界外、系統主要內部邊界內的通訊；b. 實作與內部組織網絡 [選取項目: 實體選取; 邏輯選取] 分開之可公開存取的系統元件子網絡；以及 c. 只能透過受管介面連線至外部網路或資訊系統，這些介面包含依照組織安全架構排列的邊界保護裝置。 | 透過確保 Amazon Redshift 叢集不是公開的，來管理 AWS 雲端中資源的存取。Amazon Redshift 叢集可能包含敏感資訊和原則，此類帳戶需要原則和存取控制。 | |
| SC-7 | 資訊系統：a. 監控與控制在系統邊界外、系統主要內部邊界內的通訊；b. 實作與內部組織網絡 [選取項目: 實體選取; 邏輯選取] 分開之可公開存取的系統元件子網絡；以及 c. 只能透過受管介面連線至外部網路或資訊系統，這些介面包含依照組織安全架構排列的邊界保護裝置。 | 透過確保 Amazon 彈性運算 AWS 雲端 (Amazon EC2) 安全群組上的通用連接埠受到限制，以管理雲端中資源的存取。如果不將連接埠的存取限制為信任來源，可能會導致系統的可用性、完整性和機密性遭到攻擊。此規則可讓您選用設定 blockedPort1 - blockedPort5 參數 (Config 預設值：20、21、3389、3306、4333)。實際值應反映貴組織的政策。 | |
| SC-7 | 資訊系統：a. 監控與控制在系統邊界外、系統主要內部邊界內的通訊；b. 實作與內部組織網絡 [選取項目: 實體選取; 邏輯選取] 分開之可公開存取的系統元件子網絡；以及 c. 只能透過受管介面連線至外部網路或資訊系統，這些介面包含依照組織安全架構排列的邊界保護裝置。 | 只允許授權的使用者、程序和裝置存取 Amazon Simple Storage Service (Amazon S3) 儲存貯體，以管理 AWS 雲端中資源的存取。存取管理應與資料的分類一致。 | |
| SC-7 | 資訊系統：a. 監控與控制在系統邊界外、系統主要內部邊界內的通訊；b. 實作與內部組織網絡 [選取項目: 實體選取; 邏輯選取] 分開之可公開存取的系統元件子網絡；以及 c. 只能透過受管介面連線至外部網路或資訊系統，這些介面包含依照組織安全架構排列的邊界保護裝置。 | 只允許授權的使用者、程序和裝置存取 Amazon Simple Storage Service (Amazon S3) 儲存貯體，以管理 AWS 雲端中資源的存取。存取管理應與資料的分類一致。 | |
| SC-7 | 資訊系統：a. 監控與控制在系統邊界外、系統主要內部邊界內的通訊；b. 實作與內部組織網絡 [選取項目: 實體選取; 邏輯選取] 分開之可公開存取的系統元件子網絡；以及 c. 只能透過受管介面連線至外部網路或資訊系統，這些介面包含依照組織安全架構排列的邊界保護裝置。 | 確保 Amazon SageMaker 筆記本電腦不允許直接存取網際網路，以管理 AWS 雲端資源的存取。透過防止直接存取網際網路，您可以避免未經授權的使用者存取敏感資料。 | |
| SC-7 | 資訊系統：a. 監控與控制在系統邊界外、系統主要內部邊界內的通訊；b. 實作與內部組織網絡 [選取項目: 實體選取; 邏輯選取] 分開之可公開存取的系統元件子網絡；以及 c. 只能透過受管介面連線至外部網路或資訊系統，這些介面包含依照組織安全架構排列的邊界保護裝置。 | Amazon Elastic Compute Cloud (Amazon EC2) 安全群組可以透過對資源的輸入和輸出網路流量進行有狀態篩選，協助管理網路存取。 AWS 限制預設安全群組上的所有流量有助於限制對資源的遠端存 AWS 取。 | |
| SC-7 | 資訊系統：a. 監控與控制在系統邊界外、系統主要內部邊界內的通訊；b. 實作與內部組織網絡 [選取項目: 實體選取; 邏輯選取] 分開之可公開存取的系統元件子網絡；以及 c. 只能透過受管介面連線至外部網路或資訊系統，這些介面包含依照組織安全架構排列的邊界保護裝置。 | 確保在彈性負載平衡器 (ELB) 上啟用 AWS WAF，以協助保護 Web 應用程式。WAF 有助於保護 Web 應用程式或 API 免於常見的網路攻擊。這些網路惡意探索攻擊可能會影響可用性、危及安全性，或在環境中耗用過多資源。 | |
| SC-7 | 資訊系統：a. 監控與控制在系統邊界外、系統主要內部邊界內的通訊；b. 實作與內部組織網絡 [選取項目: 實體選取; 邏輯選取] 分開之可公開存取的系統元件子網絡；以及 c. 只能透過受管介面連線至外部網路或資訊系統，這些介面包含依照組織安全架構排列的邊界保護裝置。 | 通過啟用 s3_ 保險政策檢查來管理對 AWS 雲的訪問。此規則會檢查 Amazon S3 儲存貯體授與的存取權是否受到您提供的任何 AWS 主體、聯合身分使用者、服務主體、IP 地址或 Amazon Virtual Private Cloud (Amazon VPC) ID 的限制。 | |
| SC-7 | 資訊系統：a. 監控與控制在系統邊界外、系統主要內部邊界內的通訊；b. 實作與內部組織網絡 [選取項目: 實體選取; 邏輯選取] 分開之可公開存取的系統元件子網絡；以及 c. 只能透過受管介面連線至外部網路或資訊系統，這些介面包含依照組織安全架構排列的邊界保護裝置。 | 透過確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體無法公開存取，以管理 AWS 雲端中資源的存取。此規則可透過防止公開存取，避免未經授權的遠端使用者存取敏感資料。此規則可讓您選擇性地設定 ignorePublicAcls (組 Config 預設值：True)、 blockPublicPolicy (組 Config 預設值：True)、 blockPublicAcls (組 Config 預設值：True) 和 restrictPublicBuckets 參數 (組 Config 預設值：True)。實際值應反映貴組織的政策。 | |
| SC-7 | 資訊系統：a. 監控與控制在系統邊界外、系統主要內部邊界內的通訊；b. 實作與內部組織網絡 [選取項目: 實體選取; 邏輯選取] 分開之可公開存取的系統元件子網絡；以及 c. 只能透過受管介面連線至外部網路或資訊系統，這些介面包含依照組織安全架構排列的邊界保護裝置。 | 透過確保 Amazon 彈性運算 AWS 雲端 (Amazon EC2) 安全群組上的通用連接埠受到限制，以管理雲端中資源的存取。如果不將連接埠的存取限制為信任來源，可能會導致系統的可用性、完整性和機密性遭到攻擊。透過限制從網際網路 (0.0.0.0/0) 存取安全群組內的資源，可以控制內部系統的遠端存取。 | |
| SC-7 | 資訊系統：a. 監控與控制在系統邊界外、系統主要內部邊界內的通訊；b. 實作與內部組織網絡 [選取項目: 實體選取; 邏輯選取] 分開之可公開存取的系統元件子網絡；以及 c. 只能透過受管介面連線至外部網路或資訊系統，這些介面包含依照組織安全架構排列的邊界保護裝置。 | 確保 Elastic Load Balancer (ELB) 設定為捨棄 http 標頭。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。 | |
| SC-7 | 資訊系統：a. 監控與控制在系統邊界外、系統主要內部邊界內的通訊；b. 實作與內部組織網絡 [選取項目: 實體選取; 邏輯選取] 分開之可公開存取的系統元件子網絡；以及 c. 只能透過受管介面連線至外部網路或資訊系統，這些介面包含依照組織安全架構排列的邊界保護裝置。 | 確保已啟用 Amazon OpenSearch 服務的 node-to-node 加密。N ode-to-node 加密可為 Amazon Virtual Private Cloud (Amazon VPC) 內的所有通訊啟用 TLS 1.2 加密。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。 | |
| SC-7(3) | 組織會限制資訊系統的外部網路連線數。 | 在 Amazon Virtual Private Cloud (Amazon VPC) 內部署 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體，以在 Amazon VPC 內的執行個體與其他服務之間進行安全通訊，不需要網際網路閘道、NAT 裝置或 VPN 連線。所有流量都安全地保留在 AWS 雲中。相較於使用公有端點的網域，位於 Amazon VPC 內的網域因為使用邏輯隔離而更加安全。將 Amazon EC2 執行個體指派給 Amazon VPC 以正確管理存取。 | |
| SC-7(3) | 組織會限制資訊系統的外部網路連線數。 | 透過確保網際網路閘道僅連接到授權的 Amazon 虛擬私有雲端 (Amazon VPC)，以管理雲端資源的存取。 AWS 網際網路閘道允許進出 Amazon VPC 的雙向網際網路存取，這可能導致未經授權存取 Amazon VPC 資源。 | |
| SC-7(3) | 組織會限制資訊系統的外部網路連線數。 | 確保 DMS 複寫執行個體無法公開存取，以管理對 AWS 雲端的存取。DMS 複寫執行個體可能包含敏感資訊，此類帳戶需要存取控制。 | |
| SC-7(3) | 組織會限制資訊系統的外部網路連線數。 | 確保 EBS 快照不可公開還原，以管理對 AWS 雲端的存取。EBS 磁碟區快照可能包含敏感資訊，此類帳戶需要存取控制。 | |
| SC-7(3) | 組織會限制資訊系統的外部網路連線數。 | 確保亞馬遜彈性運算 AWS 雲端 (Amazon EC2) 執行個體無法公開存取，以管理對雲端的存取。Amazon EC2 執行個體可能包含敏感資訊，此類帳戶需要存取控制。 | |
| SC-7(3) | 組織會限制資訊系統的外部網路連線數。 | 通過確保 Amazon OpenSearch 服務（服OpenSearch 務）域位於 Amazon Virtual Private Cloud（Amazon VPC）中來管理對雲的訪問。 AWS Amazon VPC 中的 OpenSearch 服務網域可讓 Amazon VPC 內的 OpenSearch 服務與其他服務之間的安全通訊，無需網際網路閘道、NAT 裝置或 VPN 連線。 | |
| SC-7(3) | 組織會限制資訊系統的外部網路連線數。 | 透過確保 Amazon EMR 叢集主節點無法公開存取，以管理對 AWS 雲端的存取。Amazon EMR 叢集主節點可能包含敏感資訊，此類帳戶需要存取控制。 | |
| SC-7(3) | 組織會限制資訊系統的外部網路連線數。 | Amazon Elastic Compute Cloud (Amazon EC2) 安全群組可針對資源的輸入和輸出網路流量提供狀態篩選，協助管理網路存取。 AWS 不允許資源從 0.0.0.0/0 到連接埠 22 的輸入 (或遠端) 流量，有助於限制遠端存取。 | |
| SC-7(3) | 組織會限制資訊系統的外部網路連線數。 | 確保 AWS Lambda 函數無法公開存取，以管理對 AWS 雲端資源的存取。公開存取可能會導致資源可用性降低。 | |
| SC-7(3) | 組織會限制資訊系統的外部網路連線數。 | 在 Amazon Virtual Private Cloud (Amazon VPC) 中部署 AWS Lambda 函數，以便在 Amazon VPC 內的函數與其他服務之間進行安全通訊。有了這項組態，就不需要網際網路閘道、NAT 裝置或 VPN 連線。所有流量都安全地保留在 AWS 雲中。相較於使用公有端點的網域，位於 Amazon VPC 內的網域因為提供邏輯隔離，所以多了一層安全防護。若要正確管理存取，應將 AWS Lambda 函數指派給 VPC。 | |
| SC-7(3) | 組織會限制資訊系統的外部網路連線數。 | 透過確保 Amazon 關聯式資料庫服務 (Amazon RDS) 執行個體不是公開的，來管理 AWS 雲端中資源的存取。Amazon RDS 資料庫執行個體可能包含敏感資訊，此類帳戶需要原則和存取控制。 | |
| SC-7(3) | 組織會限制資訊系統的外部網路連線數。 | 透過確保 Amazon 關聯式資料庫服務 (Amazon RDS) 執行個體不是公開的，來管理 AWS 雲端中資源的存取。Amazon RDS 資料庫執行個體可能包含敏感資訊和原則，此類帳戶需要原則和存取控制。 | |
| SC-7(3) | 組織會限制資訊系統的外部網路連線數。 | 透過確保 Amazon Redshift 叢集不是公開的，來管理 AWS 雲端中資源的存取。Amazon Redshift 叢集可能包含敏感資訊和原則，此類帳戶需要原則和存取控制。 | |
| SC-7(3) | 組織會限制資訊系統的外部網路連線數。 | 透過確保 Amazon 彈性運算 AWS 雲端 (Amazon EC2) 安全群組上的通用連接埠受到限制，以管理雲端中資源的存取。如果不將連接埠的存取限制為信任來源，可能會導致系統的可用性、完整性和機密性遭到攻擊。此規則可讓您選用設定 blockedPort1 - blockedPort5 參數 (Config 預設值：20、21、3389、3306、4333)。實際值應反映貴組織的政策。 | |
| SC-7(3) | 組織會限制資訊系統的外部網路連線數。 | 透過確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體無法公開存取，以管理 AWS 雲端中資源的存取。此規則可透過防止公開存取，避免未經授權的遠端使用者存取敏感資料。此規則可讓您選擇性地設定 ignorePublicAcls (組 Config 預設值：True)、 blockPublicPolicy (組 Config 預設值：True)、 blockPublicAcls (組 Config 預設值：True) 和 restrictPublicBuckets 參數 (組 Config 預設值：True)。實際值應反映貴組織的政策。 | |
| SC-7(3) | 組織會限制資訊系統的外部網路連線數。 | 通過啟用 s3_ 保險政策檢查來管理對 AWS 雲的訪問。此規則會檢查 Amazon S3 儲存貯體授與的存取權是否受到您提供的任何 AWS 主體、聯合身分使用者、服務主體、IP 地址或 Amazon Virtual Private Cloud (Amazon VPC) ID 的限制。 | |
| SC-7(3) | 組織會限制資訊系統的外部網路連線數。 | 只允許授權的使用者、程序和裝置存取 Amazon Simple Storage Service (Amazon S3) 儲存貯體，以管理 AWS 雲端中資源的存取。存取管理應與資料的分類一致。 | |
| SC-7(3) | 組織會限制資訊系統的外部網路連線數。 | 只允許授權的使用者、程序和裝置存取 Amazon Simple Storage Service (Amazon S3) 儲存貯體，以管理 AWS 雲端中資源的存取。存取管理應與資料的分類一致。 | |
| SC-7(3) | 組織會限制資訊系統的外部網路連線數。 | 確保 Amazon SageMaker 筆記本電腦不允許直接存取網際網路，以管理 AWS 雲端資源的存取。透過防止直接存取網際網路，您可以避免未經授權的使用者存取敏感資料。 | |
| SC-7(3) | 組織會限制資訊系統的外部網路連線數。 | Amazon Elastic Compute Cloud (Amazon EC2) 安全群組可以透過對資源的輸入和輸出網路流量進行有狀態篩選，協助管理網路存取。 AWS 限制預設安全群組上的所有流量有助於限制對資源的遠端存 AWS 取。 | |
| SC-7(3) | 組織會限制資訊系統的外部網路連線數。 | 透過確保 Amazon 彈性運算 AWS 雲端 (Amazon EC2) 安全群組上的通用連接埠受到限制，以管理雲端中資源的存取。如果不將連接埠的存取限制為信任來源，可能會導致系統的可用性、完整性和機密性遭到攻擊。透過限制從網際網路 (0.0.0.0/0) 存取安全群組內的資源，可以控制內部系統的遠端存取。 | |
| SC-8 | 資訊系統保護所傳輸資訊的 [選取項目 (一或多個): 機密性; 完整性]。 | 為了協助保護傳輸中的資料，請確保 Application Load Balancer 會自動將未加密的 HTTP 請求重新導向至 HTTPS。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。 | |
| SC-8 | 資訊系統保護所傳輸資訊的 [選取項目 (一或多個): 機密性; 完整性]。 | 確保 Elastic Load Balancer (ELB) 設定為捨棄 http 標頭。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。 | |
| SC-8 | 資訊系統保護所傳輸資訊的 [選取項目 (一或多個): 機密性; 完整性]。 | 確保已啟用 Amazon OpenSearch 服務的 node-to-node 加密。N ode-to-node 加密可為 Amazon Virtual Private Cloud (Amazon VPC) 內的所有通訊啟用 TLS 1.2 加密。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。 | |
| SC-8 | 資訊系統保護所傳輸資訊的 [選取項目 (一或多個): 機密性; 完整性]。 | 確保 Elastic Load Balancer (ELB) 已設定使用 SSL 或 HTTPS 接聽程式。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。 | |
| SC-8 | 資訊系統保護所傳輸資訊的 [選取項目 (一或多個): 機密性; 完整性]。 | 確保 Amazon Redshift 叢集需要 TLS/SSL 加密才能連線到 SQL 用戶端。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。 | |
| SC-8 | 資訊系統保護所傳輸資訊的 [選取項目 (一或多個): 機密性; 完整性]。 | 為協助保護傳輸中的資料，請確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體要求使用 Secure Socket Layer (SSL)。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。 | |
| SC-8 | 資訊系統保護所傳輸資訊的 [選取項目 (一或多個): 機密性; 完整性]。 | 由於可能存在敏感資料並為了協助保護傳輸中資料，因此請確保您的 Elastic Load Balancing 已啟用加密功能。使用 Cer AWS tificate Manager 來管理、佈建和部署包含 AWS 服務和內部資源的公有和私有 SSL/TLS 憑證。 | |
| SC-8(1) | 除非受到 [指派: 組織定義的替代實體防護] 保護，否則資訊系統會在傳輸過程中實作密碼編譯機制以 [選取項目 (一或多個): 防止未經授權洩漏資訊; 偵測資訊變更]。 | 為了協助保護傳輸中的資料，請確保 Application Load Balancer 會自動將未加密的 HTTP 請求重新導向至 HTTPS。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。 | |
| SC-8(1) | 除非受到 [指派: 組織定義的替代實體防護] 保護，否則資訊系統會在傳輸過程中實作密碼編譯機制以 [選取項目 (一或多個): 防止未經授權洩漏資訊; 偵測資訊變更]。 | 確保 Elastic Load Balancer (ELB) 設定為捨棄 http 標頭。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。 | |
| SC-8(1) | 除非受到 [指派: 組織定義的替代實體防護] 保護，否則資訊系統會在傳輸過程中實作密碼編譯機制以 [選取項目 (一或多個): 防止未經授權洩漏資訊; 偵測資訊變更]。 | 確保已啟用 Amazon OpenSearch 服務的 node-to-node 加密。N ode-to-node 加密可為 Amazon Virtual Private Cloud (Amazon VPC) 內的所有通訊啟用 TLS 1.2 加密。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。 | |
| SC-8(1) | 除非受到 [指派: 組織定義的替代實體防護] 保護，否則資訊系統會在傳輸過程中實作密碼編譯機制以 [選取項目 (一或多個): 防止未經授權洩漏資訊; 偵測資訊變更]。 | 確保 Elastic Load Balancer (ELB) 已設定使用 SSL 或 HTTPS 接聽程式。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。 | |
| SC-8(1) | 除非受到 [指派: 組織定義的替代實體防護] 保護，否則資訊系統會在傳輸過程中實作密碼編譯機制以 [選取項目 (一或多個): 防止未經授權洩漏資訊; 偵測資訊變更]。 | 確保 Amazon Redshift 叢集需要 TLS/SSL 加密才能連線到 SQL 用戶端。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。 | |
| SC-8(1) | 除非受到 [指派: 組織定義的替代實體防護] 保護，否則資訊系統會在傳輸過程中實作密碼編譯機制以 [選取項目 (一或多個): 防止未經授權洩漏資訊; 偵測資訊變更]。 | 為協助保護傳輸中的資料，請確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體要求使用 Secure Socket Layer (SSL)。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。 | |
| SC-8(1) | 除非受到 [指派: 組織定義的替代實體防護] 保護，否則資訊系統會在傳輸過程中實作密碼編譯機制以 [選取項目 (一或多個): 防止未經授權洩漏資訊; 偵測資訊變更]。 | 由於可能存在敏感資料並為了協助保護傳輸中資料，因此請確保您的 Elastic Load Balancing 已啟用加密功能。使用 Cer AWS tificate Manager 來管理、佈建和部署包含 AWS 服務和內部資源的公有和私有 SSL/TLS 憑證。 | |
| SC-12 | 組織根據 [指派: 組織定義的金鑰產成、分配、儲存、存取和銷毀要求] 為資訊系統中使用的必要密碼編譯建立及管理密碼編譯金鑰。 | 啟用金鑰輪換功能，以確保金鑰於加密期間結束後即輪換。 | |
| SC-12 | 組織根據 [指派: 組織定義的金鑰產成、分配、儲存、存取和銷毀要求] 為資訊系統中使用的必要密碼編譯建立及管理密碼編譯金鑰。 | 確保 AWS ACM 頒發 X509 憑證，以確保網路完整性受到保護。這些憑證必須有效且未過期。此規則需要值 daysToExpiration (AWS 基礎安全性最佳作法值：90)。實際值應反映貴組織的政策。 | |
| SC-12 | 組織根據 [指派: 組織定義的金鑰產成、分配、儲存、存取和銷毀要求] 為資訊系統中使用的必要密碼編譯建立及管理密碼編譯金鑰。 | 若要協助保護靜態資料，請確定金鑰管理服務 (AWS KMS) 中未排程刪除必要的客戶主金 AWS 鑰 (CMK)。因為刪除金鑰有時為必要，而這個規則可協助檢查所有排程要刪除的金鑰，以防無意中排程刪除金鑰。 | |
| SC-13 | 資訊系統根據適用的聯邦法律、行政命令、指令、政策、法規和標準實作 [指派: 組織定義的密碼編譯用途及每項用途所需的密碼編譯類型]。 | 由於可能存在敏感資料並為了協助保護傳輸中資料，因此請確保您的 Elastic Load Balancing 已啟用加密功能。使用 Cer AWS tificate Manager 來管理、佈建和部署包含 AWS 服務和內部資源的公有和私有 SSL/TLS 憑證。 | |
| SC-13 | 資訊系統根據適用的聯邦法律、行政命令、指令、政策、法規和標準實作 [指派: 組織定義的密碼編譯用途及每項用途所需的密碼編譯類型]。 | 為了協助保護傳輸中的資料，請確保 Application Load Balancer 會自動將未加密的 HTTP 請求重新導向至 HTTPS。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。 | |
| SC-13 | 資訊系統根據適用的聯邦法律、行政命令、指令、政策、法規和標準實作 [指派: 組織定義的密碼編譯用途及每項用途所需的密碼編譯類型]。 | 為了協助保護靜態資料，請確保已針對 API Gateway 階段的快取啟用加密功能。由於可以針對 API 方法擷取敏感資料，因此請啟用靜態加密以協助保護該資料。 | |
| SC-13 | 資訊系統根據適用的聯邦法律、行政命令、指令、政策、法規和標準實作 [指派: 組織定義的密碼編譯用途及每項用途所需的密碼編譯類型]。 | 由於敏感資料可能存在並協助保護靜態資料，因此請確保 AWS CloudTrail 追蹤已啟用加密功能。 | |
| SC-13 | 資訊系統根據適用的聯邦法律、行政命令、指令、政策、法規和標準實作 [指派: 組織定義的密碼編譯用途及每項用途所需的密碼編譯類型]。 | 為了協助保護靜態敏感資料，請確保已為 Amazon CloudWatch 日誌群組啟用加密。 | |
| SC-13 | 資訊系統根據適用的聯邦法律、行政命令、指令、政策、法規和標準實作 [指派: 組織定義的密碼編譯用途及每項用途所需的密碼編譯類型]。 | 由於可能存在敏感資料，因此為了保護靜態資料，請確保已針對 Amazon Elastic File System (EFS) 啟用加密功能。 | |
| SC-13 | 資訊系統根據適用的聯邦法律、行政命令、指令、政策、法規和標準實作 [指派: 組織定義的密碼編譯用途及每項用途所需的密碼編譯類型]。 | 由於敏感資料可以存在並協助保護靜態資料，因此請確保您的 Amazon OpenSearch 服務 (服OpenSearch 務) 網域已啟用加密。 | |
| SC-13 | 資訊系統根據適用的聯邦法律、行政命令、指令、政策、法規和標準實作 [指派: 組織定義的密碼編譯用途及每項用途所需的密碼編譯類型]。 | 由於可能存在敏感資料，因此為了保護靜態資料，請確保已針對 Amazon Elastic Block Store (Amazon EBS) 磁碟區啟用加密功能。 | |
| SC-13 | 資訊系統根據適用的聯邦法律、行政命令、指令、政策、法規和標準實作 [指派: 組織定義的密碼編譯用途及每項用途所需的密碼編譯類型]。 | 為了協助保護靜態資料，請確保已針對 Amazon Relational Database Service (Amazon RDS) 執行個體啟用加密功能。由於 Amazon RDS 執行個體中可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。 | |
| SC-13 | 資訊系統根據適用的聯邦法律、行政命令、指令、政策、法規和標準實作 [指派: 組織定義的密碼編譯用途及每項用途所需的密碼編譯類型]。 | 為了保護靜態資料，請確保已針對 Amazon Redshift 叢集啟用加密功能。您還必須確保已在 Amazon Redshift 叢集上部署必要的組態。應啟用稽核日誌記錄，以提供資料庫中連線和使用者活動的相關資訊。此規則要求為 clusterDbEncrypted （Config 默認值：TRUE）和 loggingEnabled（Config 默認值：TRUE）設置一個值。實際值應反映貴組織的政策。 | |
| SC-13 | 資訊系統根據適用的聯邦法律、行政命令、指令、政策、法規和標準實作 [指派: 組織定義的密碼編譯用途及每項用途所需的密碼編譯類型]。 | 確保 Amazon Redshift 叢集需要 TLS/SSL 加密才能連線到 SQL 用戶端。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。 | |
| SC-13 | 資訊系統根據適用的聯邦法律、行政命令、指令、政策、法規和標準實作 [指派: 組織定義的密碼編譯用途及每項用途所需的密碼編譯類型]。 | 為了協助保護靜態資料，請確保已針對 Amazon Simple Storage Service (Amazon S3) 儲存貯體啟用加密功能。由於 Amazon S3 儲存貯體中可能存在靜態敏感資料，因此請啟用加密以協助保護該資料。 | |
| SC-13 | 資訊系統根據適用的聯邦法律、行政命令、指令、政策、法規和標準實作 [指派: 組織定義的密碼編譯用途及每項用途所需的密碼編譯類型]。 | 為協助保護傳輸中的資料，請確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體要求使用 Secure Socket Layer (SSL)。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。 | |
| SC-13 | 資訊系統根據適用的聯邦法律、行政命令、指令、政策、法規和標準實作 [指派: 組織定義的密碼編譯用途及每項用途所需的密碼編譯類型]。 | 為了協助保護靜態資料，請確保您的 SageMaker 端點已啟用金 AWS 鑰管理服務 (AWS KMS) 的加密功能。由於機密資料可能存在於 SageMaker 端點中，因此請啟用靜態加密以協助保護該資料。 | |
| SC-13 | 資訊系統根據適用的聯邦法律、行政命令、指令、政策、法規和標準實作 [指派: 組織定義的密碼編譯用途及每項用途所需的密碼編譯類型]。 | 為了協助保護靜態資料，請確定您的 SageMaker 筆記型電腦已啟用金 AWS 鑰管理服務 (AWS KMS) 的加密功能。由於機密資料可能存在於 SageMaker 筆記型電腦中，因此請啟用靜態加密以協助保護資料。 | |
| SC-13 | 資訊系統根據適用的聯邦法律、行政命令、指令、政策、法規和標準實作 [指派: 組織定義的密碼編譯用途及每項用途所需的密碼編譯類型]。 | 為了保護靜態資料，請確保您的 Amazon Simple Notification Service (Amazon SNS) 主題需要使用金 AWS 鑰管理服務 (AWS KMS) 進行加密。由於已發布訊息中可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。 | |
| SC-13 | 資訊系統根據適用的聯邦法律、行政命令、指令、政策、法規和標準實作經 FIPS 驗證或 NSA 核准的密碼學。 | 確保已針對 Amazon DynamoDB 資料表啟用加密功能。由於這些資料表中可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。根據預設，DynamoDB 表格會使用 AWS 擁有的客戶主金鑰 (CMK) 加密。 | |
| SC-23 | 資訊系統會保護通訊工作階段的真確性。 | 為了協助保護傳輸中的資料，請確保 Application Load Balancer 會自動將未加密的 HTTP 請求重新導向至 HTTPS。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。 | |
| SC-23 | 資訊系統會保護通訊工作階段的真確性。 | 確保 Elastic Load Balancer (ELB) 設定為捨棄 http 標頭。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。 | |
| SC-23 | 資訊系統會保護通訊工作階段的真確性。 | 確保 Elastic Load Balancer (ELB) 已設定使用 SSL 或 HTTPS 接聽程式。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。 | |
| SC-28 | 資訊系統會保護 [指派: 組織定義的靜態資訊] 的 [選取項目 (一或多個): 機密性; 完整性]。 | 為了協助保護靜態資料，請確保已針對 API Gateway 階段的快取啟用加密功能。由於可以針對 API 方法擷取敏感資料，因此請啟用靜態加密以協助保護該資料。 | |
| SC-28 | 資訊系統會保護 [指派: 組織定義的靜態資訊] 的 [選取項目 (一或多個): 機密性; 完整性]。 | 由於敏感資料可能存在並協助保護靜態資料，因此請確保 AWS CloudTrail 追蹤已啟用加密功能。 | |
| SC-28 | 資訊系統會保護 [指派: 組織定義的靜態資訊] 的 [選取項目 (一或多個): 機密性; 完整性]。 | 為了協助保護靜態敏感資料，請確保已為 Amazon CloudWatch 日誌群組啟用加密。 | |
| SC-28 | 資訊系統會保護 [指派: 組織定義的靜態資訊] 的 [選取項目 (一或多個): 機密性; 完整性]。 | 由於可能存在敏感資料，因此為了保護靜態資料，請確保已針對 Amazon Elastic File System (EFS) 啟用加密功能。 | |
| SC-28 | 資訊系統會保護 [指派: 組織定義的靜態資訊] 的 [選取項目 (一或多個): 機密性; 完整性]。 | 由於敏感資料可以存在並協助保護靜態資料，因此請確保您的 Amazon OpenSearch 服務 (服OpenSearch 務) 網域已啟用加密。 | |
| SC-28 | 資訊系統會保護 [指派: 組織定義的靜態資訊] 的 [選取項目 (一或多個): 機密性; 完整性]。 | 由於可能存在敏感資料，因此為了保護靜態資料，請確保已針對 Amazon Elastic Block Store (Amazon EBS) 磁碟區啟用加密功能。 | |
| SC-28 | 資訊系統會保護 [指派: 組織定義的靜態資訊] 的 [選取項目 (一或多個): 機密性; 完整性]。 | 若要協助保護靜態資料，請確定金鑰管理服務 (AWS KMS) 中未排程刪除必要的客戶主金 AWS 鑰 (CMK)。因為刪除金鑰有時為必要，而這個規則可協助檢查所有排程要刪除的金鑰，以防無意中排程刪除金鑰。 | |
| SC-28 | 資訊系統會保護 [指派: 組織定義的靜態資訊] 的 [選取項目 (一或多個): 機密性; 完整性]。 | 為了保護靜態資料，請確保已針對 Amazon Redshift 叢集啟用加密功能。您還必須確保已在 Amazon Redshift 叢集上部署必要的組態。應啟用稽核日誌記錄，以提供資料庫中連線和使用者活動的相關資訊。此規則要求為 clusterDbEncrypted （Config 默認值：TRUE）和 loggingEnabled（Config 默認值：TRUE）設置一個值。實際值應反映貴組織的政策。 | |
| SC-28 | 資訊系統會保護 [指派: 組織定義的靜態資訊] 的 [選取項目 (一或多個): 機密性; 完整性]。 | 確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體預設已啟用鎖定。由於 S3 儲存貯體中可能存在靜態敏感資料，因此請強制執行靜態物件鎖定以協助保護該資料。 | |
| SC-28 | 資訊系統會保護 [指派: 組織定義的靜態資訊] 的 [選取項目 (一或多個): 機密性; 完整性]。 | 為了協助保護靜態資料，請確保已針對 Amazon Simple Storage Service (Amazon S3) 儲存貯體啟用加密功能。由於 Amazon S3 儲存貯體中可能存在靜態敏感資料，因此請啟用加密以協助保護該資料。 | |
| SC-28 | 資訊系統會保護 [指派: 組織定義的靜態資訊] 的 [選取項目 (一或多個): 機密性; 完整性]。 | 為了協助保護靜態資料，請確保您的 SageMaker 端點已啟用金 AWS 鑰管理服務 (AWS KMS) 的加密功能。由於機密資料可能存在於 SageMaker 端點中，因此請啟用靜態加密以協助保護該資料。 | |
| SC-28 | 資訊系統會保護 [指派: 組織定義的靜態資訊] 的 [選取項目 (一或多個): 機密性; 完整性]。 | 為了協助保護靜態資料，請確定您的 SageMaker 筆記型電腦已啟用金 AWS 鑰管理服務 (AWS KMS) 的加密功能。由於機密資料可能存在於 SageMaker 筆記型電腦中，因此請啟用靜態加密以協助保護資料。 | |
| SC-28 | 資訊系統會保護 [指派: 組織定義的靜態資訊] 的 [選取項目 (一或多個): 機密性; 完整性]。 | 為了保護靜態資料，請確保您的 Amazon Simple Notification Service (Amazon SNS) 主題需要使用金 AWS 鑰管理服務 (AWS KMS) 進行加密。由於已發布訊息中可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。 | |
| SC-28 | 資訊系統會保護 [指派: 組織定義的靜態資訊] 的 [選取項目 (一或多個): 機密性; 完整性]。 | 為了協助保護靜態資料，請確保已針對 Amazon Elastic Block Store (Amazon EBS) 磁碟區啟用加密功能。由於這些磁碟區中可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。 | |
| SC-28 | 資訊系統會保護 [指派: 組織定義的靜態資訊] 的 [選取項目 (一或多個): 機密性; 完整性]。 | 確保已針對 Amazon Relational Database Service (Amazon RDS) 快照啟用加密功能。由於可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。 | |
| SC-28 | 資訊系統會保護 [指派: 組織定義的靜態資訊] 的 [選取項目 (一或多個): 機密性; 完整性]。 | 為了協助保護靜態資料，請確保已針對 Amazon Relational Database Service (Amazon RDS) 執行個體啟用加密功能。由於 Amazon RDS 執行個體中可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。 | |
| SC-36 | 組織會將 [指派: 組織定義的處理和儲存] 分散到多個實體位置。 | Amazon Relational Database Service (Amazon RDS) 中的多可用區域支援可為資料庫執行個體提供增強的可用性與持久性。佈建多可用區域資料庫執行個體時，Amazon RDS 會自動建立主要資料庫執行個體，並將資料同步複寫到不同可用區域中的待命執行個體。每個可用區域都在其本身不同的實體獨立基礎設施上執行，而且具備高度可靠的設計。如果基礎設施失敗，Amazon RDS 會執行自動容錯移轉到待命執行個體，以便您可以在容錯移轉完成後立即恢復資料庫操作。 | |
| SC-36 | 組織會將 [指派: 組織定義的處理和儲存] 分散到多個實體位置。 | Amazon Simple Storage Service (Amazon S3) 跨區域複寫 (CRR) 可讓您維持足夠的容量和可用性。CRR 支援跨 Amazon S3 儲存貯體自動進行物件的非同步複製，以協助確保維護資料可用性。 | |
| SI-2(2) | 組織運用自動化機制，依 [指派: 組織定義的頻率] 確定與瑕疵修復有關的資訊系統元件狀態。 | 啟用此規則可協助識別和記載 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。該規則會根據組織政策和程序的要求，檢查 AWS Systems Manager 中的 Amazon EC2 執行個體是否符合修補程式合規性。 | |
| SI-2(2) | 組織運用自動化機制，依 [指派: 組織定義的頻率] 確定與瑕疵修復有關的資訊系統元件狀態。 | 透過使用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體，即可清查組織內的軟體平台和應用程式。使用 AWS Systems Manager 來提供詳細的系統組態、作業系統修補程式等級、服務名稱和類型、軟體安裝、應用程式名稱、發行者和版本，以及環境的其他詳細資料。 | |
| SI-2(2) | 組織運用自動化機制，依 [指派: 組織定義的頻率] 確定與瑕疵修復有關的資訊系統元件狀態。 | 使用 AWS Systems Manager 關聯來協助清查組織內的軟體平台和應用程式。 AWS Systems Manager 會為您的受管執行個體指派組態狀態，並可讓您設定作業系統修補程式層級、軟體安裝、應用程式組態，以及環境其他詳細資訊的基準。 | |
| SI-4(1) | 組織會將個別的入侵偵測工具連入全資訊系統的入侵偵測系統，並加以設定。 | Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。其中包括惡意 IP 和機器學習列表，用於識別 AWS 雲端環境中的未預期、未經授權和惡意活動。 | |
| SI-4(2) | 組織會運用自動化工具支援近乎即時的事件分析。 | Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。其中包括惡意 IP 和機器學習列表，用於識別 AWS 雲端環境中的未預期、未經授權和惡意活動。 | |
| SI-4(2) | 組織會運用自動化工具支援近乎即時的事件分析。 | AWS Security Hub 有助於監控未經授權的人員，連接，設備和軟件。 AWS Security Hub 會從多個服務彙總、組織和排列安全性警示或發現項目的優先順序。 AWS 一些這樣的服務是 Amazon Security Hub，Amazon Inspector，Amazon Macie， AWS Identity and Access Management (IAM) 訪問分析器， AWS Firewall Manager 器和 AWS 合作夥伴解決方案。 | |
| SI-4(2) | 組織會運用自動化工具支援近乎即時的事件分析。 | 當指標違反指定數量評估期間的閾值時，Amazon 會發出 CloudWatch 警示。警示會根據在數個期間與閾值相關的指標值或表達式值來執行一或多個動作。此規則需要 alarmActionRequired (Config 預設值：True)、 insufficientDataAction必要 (Config 預設值：True)、 okActionRequired (Config 預設值：False) 的值。實際值應反映您環境的警示動作。 | |
| SI-4(2) | 組織會運用自動化工具支援近乎即時的事件分析。 | 使用 Amazon CloudWatch 集中收集和管理日誌事件活動。包含 AWS CloudTrail 資料可提供您的 AWS 帳戶. | |
| SI-4(2) | 組織會運用自動化工具支援近乎即時的事件分析。 | 啟用此規則可協助改善 Amazon EC2 主控台上的 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體監控，並顯示執行個體以 1 分鐘為區間的監控圖形。 | |
| SI-4(4) | 資訊系統會依 [指派: 組織定義的頻率] 監控傳入和傳出通訊流量中是否有異常或未經授權的活動或狀況。 | Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。其中包括惡意 IP 和機器學習列表，用於識別 AWS 雲端環境中的未預期、未經授權和惡意活動。 | |
| SI-4(4) | 資訊系統會依 [指派: 組織定義的頻率] 監控傳入和傳出通訊流量中是否有異常或未經授權的活動或狀況。 | AWS Security Hub 有助於監控未經授權的人員，連接，設備和軟件。 AWS Security Hub 會從多個服務彙總、組織和排列安全性警示或發現項目的優先順序。 AWS 一些這樣的服務是 Amazon Security Hub，Amazon Inspector，Amazon Macie， AWS Identity and Access Management (IAM) 訪問分析器， AWS Firewall Manager 器和 AWS 合作夥伴解決方案。 | |
| SI-4(4) | 資訊系統會依 [指派: 組織定義的頻率] 監控傳入和傳出通訊流量中是否有異常或未經授權的活動或狀況。 | 當指標違反指定數量評估期間的閾值時，Amazon 會發出 CloudWatch 警示。警示會根據在數個期間與閾值相關的指標值或表達式值來執行一或多個動作。此規則需要 alarmActionRequired (Config 預設值：True)、 insufficientDataAction必要 (Config 預設值：True)、 okActionRequired (Config 預設值：False) 的值。實際值應反映您環境的警示動作。 | |
| SI-4(4) | 資訊系統會依 [指派: 組織定義的頻率] 監控傳入和傳出通訊流量中是否有異常或未經授權的活動或狀況。 | 使用 Amazon CloudWatch 集中收集和管理日誌事件活動。包含 AWS CloudTrail 資料可提供您的 AWS 帳戶. | |
| SI-4(5) | 發生下列入侵或潛在危害的跡象時，資訊系統會發出警示 [指派: 組織定義的人員或角色]：[指派: 組織定義的入侵指標]。 | Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。其中包括惡意 IP 和機器學習列表，用於識別 AWS 雲端環境中的未預期、未經授權和惡意活動。 | |
| SI-4(5) | 發生下列入侵或潛在危害的跡象時，資訊系統會發出警示 [指派: 組織定義的人員或角色]：[指派: 組織定義的入侵指標]。 | AWS Security Hub 有助於監控未經授權的人員，連接，設備和軟件。 AWS Security Hub 會從多個服務彙總、組織和排列安全性警示或發現項目的優先順序。 AWS 一些這樣的服務是 Amazon Security Hub，Amazon Inspector，Amazon Macie， AWS Identity and Access Management (IAM) 訪問分析器， AWS Firewall Manager 器和 AWS 合作夥伴解決方案。 | |
| SI-4(5) | 發生下列入侵或潛在危害的跡象時，資訊系統會發出警示 [指派: 組織定義的人員或角色]：[指派: 組織定義的入侵指標]。 | 當指標違反指定數量評估期間的閾值時，Amazon 會發出 CloudWatch 警示。警示會根據在數個期間與閾值相關的指標值或表達式值來執行一或多個動作。此規則需要 alarmActionRequired (Config 預設值：True)、 insufficientDataAction必要 (Config 預設值：True)、 okActionRequired (Config 預設值：False) 的值。實際值應反映您環境的警示動作。 | |
| SI-4(5) | 發生下列入侵或潛在危害的跡象時，資訊系統會發出警示 [指派: 組織定義的人員或角色]：[指派: 組織定義的入侵指標]。 | 使用 Amazon CloudWatch 集中收集和管理日誌事件活動。包含 AWS CloudTrail 資料可提供您的 AWS 帳戶. | |
| SI-4(16) | 組織會將來自全資訊系統所用監控工具的資訊互相關聯。 | Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。其中包括惡意 IP 和機器學習列表，用於識別 AWS 雲端環境中的未預期、未經授權和惡意活動。 | |
| SI-4(16) | 組織會將來自全資訊系統所用監控工具的資訊互相關聯。 | AWS Security Hub 有助於監控未經授權的人員，連接，設備和軟件。 AWS Security Hub 會從多個服務彙總、組織和排列安全性警示或發現項目的優先順序。 AWS 一些這樣的服務是 Amazon Security Hub，Amazon Inspector，Amazon Macie， AWS Identity and Access Management (IAM) 訪問分析器， AWS Firewall Manager 器和 AWS 合作夥伴解決方案。 | |
| SI-4(a)(b)(c) | 組織：a. 監控資訊系統以偵測：1. 根據 [指派: 組織定義的監控目標] 劃分的攻擊和潛在攻擊指標；以及 2. 未經授權的本機、網路和遠端連線；b. 識別透過 [指派: 組織定義的技術和方法] 未經授權使用資訊系統；c。部署監控裝置：i. 在資訊系統內以策略方式收集組織決定的重要資訊；以及 (ii) 在系統內的特定位置，追蹤組織感興趣的特定交易類型。 | Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。其中包括惡意 IP 和機器學習列表，用於識別 AWS 雲端環境中的未預期、未經授權和惡意活動。 | |
| SI-4(a)(b)(c) | 組織：a. 監控資訊系統以偵測：1. 根據 [指派: 組織定義的監控目標] 劃分的攻擊和潛在攻擊指標；以及 2. 未經授權的本機、網路和遠端連線；b. 識別透過 [指派: 組織定義的技術和方法] 未經授權使用資訊系統；c。部署監控裝置：i. 在資訊系統內以策略方式收集組織決定的重要資訊；以及 (ii) 在系統內的特定位置，追蹤組織感興趣的特定交易類型。 | Amazon GuardDuty 透過將發現結果按嚴重性 (低、中和高) 分類，協助您瞭解事件的影響。您可以使用這些分類決定修復策略和優先順序。此規則可讓您根據 Config 織原則的 daysLowSev 要求， daysMediumSev 選擇性地為未存檔的發現項目設定 daysHighSev (組 Config 預設值：30)、(組態預設值：7) 及 (組態預設值：1)。 | |
| SI-4(a)(b)(c) | 組織：a. 監控資訊系統以偵測：1. 根據 [指派: 組織定義的監控目標] 劃分的攻擊和潛在攻擊指標；以及 2. 未經授權的本機、網路和遠端連線；b. 識別透過 [指派: 組織定義的技術和方法] 未經授權使用資訊系統；c。部署監控裝置：i. 在資訊系統內以策略方式收集組織決定的重要資訊；以及 (ii) 在系統內的特定位置，追蹤組織感興趣的特定交易類型。 | 確保在彈性負載平衡器 (ELB) 上啟用 AWS WAF，以協助保護 Web 應用程式。WAF 有助於保護 Web 應用程式或 API 免於常見的網路攻擊。這些網路惡意探索攻擊可能會影響可用性、危及安全性，或在環境中耗用過多資源。 | |
| SI-4(a)(b)(c) | 組織：a. 監控資訊系統以偵測：1. 根據 [指派: 組織定義的監控目標] 劃分的攻擊和潛在攻擊指標；以及 2. 未經授權的本機、網路和遠端連線；b. 識別透過 [指派: 組織定義的技術和方法] 未經授權使用資訊系統；c。部署監控裝置：i. 在資訊系統內以策略方式收集組織決定的重要資訊；以及 (ii) 在系統內的特定位置，追蹤組織感興趣的特定交易類型。 | 若要協助您在環境中進行記錄和監控，請在地區和全球 Web ACL 上啟用 AWS WAF (V2) 記錄。 AWS WAF 記錄會提供 Web ACL 分析之流量的詳細資訊。記錄會記錄 AWS WAF 從您的 AWS 資源接收要求的時間、請求的相關資訊，以及每個要求相符之規則的動作。 | |
| SI-4(a)(b)(c) | 組織：a. 監控資訊系統以偵測：1. 根據 [指派: 組織定義的監控目標] 劃分的攻擊和潛在攻擊指標；以及 2. 未經授權的本機、網路和遠端連線；b. 識別透過 [指派: 組織定義的技術和方法] 未經授權使用資訊系統；c。部署監控裝置：i. 在資訊系統內以策略方式收集組織決定的重要資訊；以及 (ii) 在系統內的特定位置，追蹤組織感興趣的特定交易類型。 | AWS Security Hub 有助於監控未經授權的人員，連接，設備和軟件。 AWS Security Hub 會從多個服務彙總、組織和排列安全性警示或發現項目的優先順序。 AWS 一些這樣的服務是 Amazon Security Hub，Amazon Inspector，Amazon Macie， AWS Identity and Access Management (IAM) 訪問分析器， AWS Firewall Manager 器和 AWS 合作夥伴解決方案。 | |
| SI-4(a)(b)(c) | 組織：a. 監控資訊系統以偵測：1. 根據 [指派: 組織定義的監控目標] 劃分的攻擊和潛在攻擊指標；以及 2. 未經授權的本機、網路和遠端連線；b. 識別透過 [指派: 組織定義的技術和方法] 未經授權使用資訊系統；c。部署監控裝置：i. 在資訊系統內以策略方式收集組織決定的重要資訊；以及 (ii) 在系統內的特定位置，追蹤組織感興趣的特定交易類型。 | 當指標違反指定數量評估期間的閾值時，Amazon 會發出 CloudWatch 警示。警示會根據在數個期間與閾值相關的指標值或表達式值來執行一或多個動作。此規則需要 alarmActionRequired (Config 預設值：True)、 insufficientDataAction必要 (Config 預設值：True)、 okActionRequired (Config 預設值：False) 的值。實際值應反映您環境的警示動作。 | |
| SI-4(a)(b)(c) | 組織：a. 監控資訊系統以偵測：1. 根據 [指派: 組織定義的監控目標] 劃分的攻擊和潛在攻擊指標；以及 2. 未經授權的本機、網路和遠端連線；b. 識別透過 [指派: 組織定義的技術和方法] 未經授權使用資訊系統；c。部署監控裝置：i. 在資訊系統內以策略方式收集組織決定的重要資訊；以及 (ii) 在系統內的特定位置，追蹤組織感興趣的特定交易類型。 | 使用 Amazon CloudWatch 集中收集和管理日誌事件活動。包含 AWS CloudTrail 資料可提供您的 AWS 帳戶. | |
| SI-4(a)(b)(c) | 組織：a. 監控資訊系統以偵測：1. 根據 [指派: 組織定義的監控目標] 劃分的攻擊和潛在攻擊指標；以及 2. 未經授權的本機、網路和遠端連線；b. 識別透過 [指派: 組織定義的技術和方法] 未經授權使用資訊系統；c。部署監控裝置：i. 在資訊系統內以策略方式收集組織決定的重要資訊；以及 (ii) 在系統內的特定位置，追蹤組織感興趣的特定交易類型。 | 啟用此規則可協助改善 Amazon EC2 主控台上的 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體監控，並顯示執行個體以 1 分鐘為區間的監控圖形。 | |
| SI-7 | 組織會使用完整性驗證工具來偵測 [指派: 組織定義的軟體、韌體和資訊] 的未經授權變更。 | 利用日 AWS CloudTrail 誌文件驗證來檢查 CloudTrail 日誌的完整性。記錄檔驗證有助於判斷記錄檔在 CloudTrail 傳送之後是否已修改或刪除或未變更。此功能以產業標準演算法建置：SHA-256 適用於進行雜湊，而含 RSA 的 SHA-256 適用於進行數位簽署。這使得在計算上不可行修改，刪除或偽造 CloudTrail 日誌文件而不進行檢測。 | |
| SI-7(1) | 資訊系統會 [選取項目 (一或多個): 在啟動時; 在 [指派: 組織定義的過渡狀態或安全相關事件] 時; 依 [指派: 組織定義的頻率]] 執行 [指派: 組織定義的軟體、韌體和資訊] 的完整性檢查。 | 透過使用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體，即可清查組織內的軟體平台和應用程式。使用 AWS Systems Manager 來提供詳細的系統組態、作業系統修補程式等級、服務名稱和類型、軟體安裝、應用程式名稱、發行者和版本，以及環境的其他詳細資料。 | |
| SI-7(1) | 資訊系統會 [選取項目 (一或多個): 在啟動時; 在 [指派: 組織定義的過渡狀態或安全相關事件] 時; 依 [指派: 組織定義的頻率]] 執行 [指派: 組織定義的軟體、韌體和資訊] 的完整性檢查。 | 啟用此規則可協助識別和記載 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。該規則會根據組織政策和程序的要求，檢查 AWS Systems Manager 中的 Amazon EC2 執行個體是否符合修補程式合規性。 | |
| SI-7(1) | 資訊系統會 [選取項目 (一或多個): 在啟動時; 在 [指派: 組織定義的過渡狀態或安全相關事件] 時; 依 [指派: 組織定義的頻率]] 執行 [指派: 組織定義的軟體、韌體和資訊] 的完整性檢查。 | 利用日 AWS CloudTrail 誌文件驗證來檢查 CloudTrail 日誌的完整性。記錄檔驗證有助於判斷記錄檔在 CloudTrail 傳送之後是否已修改或刪除或未變更。此功能以產業標準演算法建置：SHA-256 適用於進行雜湊，而含 RSA 的 SHA-256 適用於進行數位簽署。這使得在計算上不可行修改，刪除或偽造 CloudTrail 日誌文件而不進行檢測。 | |
| SI-12 | 組織會根據適用的聯邦法律、行政命令、指令、政策、法規、標準和營運要求，處理和保留資訊系統內的資訊以及系統輸出的資訊。 | Amazon Simple Storage Service (Amazon S3) 儲存貯體版本控制可協助您將物件的多個變體儲存在同一個 Amazon S3 儲存貯體中。請使用版本控制功能來保留、擷取和還原存放在 Amazon S3 儲存貯體中之每個物件的每個版本。版本控制可協助您輕鬆從意外的使用者動作和應用程式失敗中復原。 | |
| SI-12 | 組織會根據適用的聯邦法律、行政命令、指令、政策、法規、標準和營運要求，處理和保留資訊系統內的資訊以及系統輸出的資訊。 | Amazon RDS 的備份功能可建立資料庫和交易日誌的備份。Amazon RDS 會自動建立資料庫執行個體的儲存磁碟區快照，並備份整個資料庫執行個體。系統可讓您設定特定保留期，以符合您的恢復能力要求。 | |
| SI-12 | 組織會根據適用的聯邦法律、行政命令、指令、政策、法規、標準和營運要求，處理和保留資訊系統內的資訊以及系統輸出的資訊。 | 啟用此規則可檢查資訊是否已備份。它還可以透過確保在 Amazon DynamoDB 中啟用 point-in-time 復原功能來維護備份。復原會維護資料表在過去 35 天內的連續備份。 | |
| SI-12 | 組織會根據適用的聯邦法律、行政命令、指令、政策、法規、標準和營運要求，處理和保留資訊系統內的資訊以及系統輸出的資訊。 | 啟用自動備份後，Amazon ElastiCache 會每天建立叢集的備份。備份保留天數由貴組織指定。自動備份可協助防止資料遺失。如果發生失敗，您可以建立新叢集，從最新的備份還原您的資料。 | |
| SI-12 | 組織會根據適用的聯邦法律、行政命令、指令、政策、法規、標準和營運要求，處理和保留資訊系統內的資訊以及系統輸出的資訊。 | 為了協助進行資料 Backup 程序，請確保您的 Amazon Relational Database Service (Amazon RDS) 執行個體是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您符合業務與法規的備份合規要求。 | |
| SI-12 | 組織會根據適用的聯邦法律、行政命令、指令、政策、法規、標準和營運要求，處理和保留資訊系統內的資訊以及系統輸出的資訊。 | 為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic Block Store (Amazon EBS) 磁碟區是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您符合業務與法規的備份合規要求。 | |
| SI-12 | 組織會根據適用的聯邦法律、行政命令、指令、政策、法規、標準和營運要求，處理和保留資訊系統內的資訊以及系統輸出的資訊。 | 為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic File System (Amazon EFS) 檔案系統是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您符合業務與法規的備份合規要求。 | |
| SI-12 | 組織會根據適用的聯邦法律、行政命令、指令、政策、法規、標準和營運要求，處理和保留資訊系統內的資訊以及系統輸出的資訊。 | 為了協助進行資料 Backup 程序，請確保您的 Amazon DynamoDB 表是備份計劃的一 AWS 部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您符合業務與法規的備份合規要求。 | |
| SI-12 | 組織會根據適用的聯邦法律、行政命令、指令、政策、法規、標準和營運要求，處理和保留資訊系統內的資訊以及系統輸出的資訊。 | 確保為日誌群組保留最短的事件日誌資料持續時間，以利故障診斷和鑑識調查。如果缺少可用的過去事件日誌資料，就很難重建和識別潛在的惡意事件。 |
範本
該模板可用於 GitHub：NIST 800-53 版本 4 的操作最佳實踐
