Security Hub 控制的區域限制

大多數 AWS Security Hub 控制項僅適用於特定部分 AWS 區域。 此頁面顯示每個區域無法使用的控制項。如果控制項在您登入的區域中無法使用，控制項就不會出現在 Security Hub 主控台中的控制項清單上。例外情況是，如果您已登入彙總區域。在這種情況下，您可以看到彙總區域或一個或多個連結區域中可用的控制項。

內容

• 美國東部 (維吉尼亞北部)
• 美國東部 (俄亥俄)
• 美國西部 (加利佛尼亞北部)
• 美國西部 (奧勒岡)
• 非洲 (開普敦)
• 亞太區域 (香港)
• 亞太區域 (海德拉巴)
• 亞太區域 (雅加達)
• 亞太區域 (孟買)
• 亞太區域 (墨爾本)
• 亞太區域 (大阪)
• 亞太區域 (首爾)
• 亞太區域 (新加坡)
• 亞太區域 (悉尼)
• 亞太區域 (東京)
• 加拿大 (中部)
• 中國 (北京)
• 中國 (寧夏)
• 歐洲 (法蘭克福)
• 歐洲 (愛爾蘭)
• 歐洲 (倫敦)
• 歐洲 (米蘭)
• Europe (Paris)
• 歐洲 (西班牙)
• 歐洲 (斯德哥爾摩)
• 歐洲 (蘇黎世)
• 以色列 (特拉維夫)
• Middle East (Bahrain)
• 中東 (UAE)
• 南美洲 (聖保羅)
• AWS GovCloud (美國東部)
• AWS GovCloud (美國西部)

美國東部 (維吉尼亞北部)

美國東部 (維吉尼亞北部) 不支援下列控制項。

• [ElastiCache.4] ElastiCache (RedisOSS) 複製群組應在靜態時加密

• [ElastiCache.5] ElastiCache (RedisOSS) 複寫群組在傳輸過程中應加密

• [ElastiCache.6] ElastiCache (RedisOSS) 早期版本的複寫群組應啟用 Redis OSS AUTH

• [ElastiCache.7] ElastiCache (RedisOSS) 叢集不應使用預設的子網路群組

• [GlobalAccelerator.1] 應標記全局加速器加速器

美國東部 (俄亥俄)

美國東部 (俄亥俄) 不支援下列控制項。

• [CloudFront.1] CloudFront 發行版應該配置一個默認的根對象

• [CloudFront.3] CloudFront 發行版在傳輸過程中應該需要加密

• [CloudFront.4] CloudFront 發行版應該配置原始容錯移轉

• [CloudFront.5] CloudFront 發行版應啟用日誌記錄

• [CloudFront.6] CloudFront 發行版應該已WAF啟用

• [CloudFront.7] CloudFront 發行版應使用自訂SSL/憑證 TLS

• [CloudFront.8] CloudFront 發行版應用SNI於服務HTTPS請求

• [CloudFront.9] CloudFront 發行版應該加密到自定義來源的流量

• [CloudFront.10] CloudFront 發行版不應在邊緣位置和自定義來源之間使用棄用的SSL協議

• [CloudFront.12] CloudFront 發行版不應指向不存在的 S3 來源

• [CloudFront.13] CloudFront 發行版應使用源訪問控制

• [CloudFront.14] CloudFront 分佈應標記

• [EC2.24] 不應使用 Amazon EC2 半虛擬實例類型

• [ECR.4] 應標記ECR公共存儲庫

• [GlobalAccelerator.1] 應標記全局加速器加速器

• [IAM.26] 已過期SSL/IAM應移除中管理的TLS憑證

• [RDS.31] 應標記RDS資料庫安全群組

• [路線 53.1] 應標記 53 號路線健康檢查

• [路線 53.2] 路線 53 公共託管區域應記錄查詢 DNS

• [WAF1] AWS WAF 應啟用傳統全域網頁ACL記錄

• [WAF.6] AWS WAF 傳統全域規則應至少有一個條件

• [WAF.7] AWS WAF 傳統全域規則群組至少應有一個規則

• [WAF.8] AWS WAF 傳統全域 Web 至少ACLs應該有一個規則或規則群組

• [WorkSpaces.1] WorkSpaces 使用者磁碟區應在靜態時加密

• [WorkSpaces.2] WorkSpaces 根磁碟區應在靜態時加密

美國西部 (加利佛尼亞北部)

美國西部 (加利佛尼亞北部) 不支援下列控制項。

• [CloudFront.1] CloudFront 發行版應該配置一個默認的根對象

• [CloudFront.3] CloudFront 發行版在傳輸過程中應該需要加密

• [CloudFront.4] CloudFront 發行版應該配置原始容錯移轉

• [CloudFront.5] CloudFront 發行版應啟用日誌記錄

• [CloudFront.6] CloudFront 發行版應該已WAF啟用

• [CloudFront.7] CloudFront 發行版應使用自訂SSL/憑證 TLS

• [CloudFront.8] CloudFront 發行版應用SNI於服務HTTPS請求

• [CloudFront.9] CloudFront 發行版應該加密到自定義來源的流量

• [CloudFront.10] CloudFront 發行版不應在邊緣位置和自定義來源之間使用棄用的SSL協議

• [CloudFront.12] CloudFront 發行版不應指向不存在的 S3 來源

• [CloudFront.13] CloudFront 發行版應使用源訪問控制

• [CloudFront.14] CloudFront 分佈應標記

• [CodeArtifact.1] CodeArtifact 存儲庫應該被標記

• [文件 DB.1] Amazon DocumentDB 叢集應在靜態時加密

• [文件 DB.2] Amazon DocumentDB 叢集應該有足夠的備份保留期

• [文件 DB.3] 亞馬遜 DocumentDB 手動叢集快照不應該是公開的

• [文件 DB.4] Amazon DocumentDB 叢集應將稽核日誌發佈到日誌 CloudWatch

• [文件 DB.5] 亞馬遜 DocumentDB 叢集應啟用刪除保護

• [ECR.4] 應標記ECR公共存儲庫

• [FSx.1] FSx 對於打開ZFS文件系統，應配置為將標籤複製到備份和卷

• [GlobalAccelerator.1] 應標記全局加速器加速器

• [IAM.26] 已過期SSL/IAM應移除中管理的TLS憑證

• [檢查器 .3] 應啟用亞馬遜 Inspector Lambda 代碼掃描

• [RDS.35] RDS 資料庫叢集應啟用自動次要版本升級

• [路線 53.1] 應標記 53 號路線健康檢查

• [路線 53.2] 路線 53 公共託管區域應記錄查詢 DNS

• [WAF1] AWS WAF 應啟用傳統全域網頁ACL記錄

• [WAF.6] AWS WAF 傳統全域規則應至少有一個條件

• [WAF.7] AWS WAF 傳統全域規則群組至少應有一個規則

• [WAF.8] AWS WAF 傳統全域 Web 至少ACLs應該有一個規則或規則群組

• [WorkSpaces.1] WorkSpaces 使用者磁碟區應在靜態時加密

• [WorkSpaces.2] WorkSpaces 根磁碟區應在靜態時加密

美國西部 (奧勒岡)

美國西部 (奧勒岡) 不支援下列控制項。

• [CloudFront.1] CloudFront 發行版應該配置一個默認的根對象

• [CloudFront.3] CloudFront 發行版在傳輸過程中應該需要加密

• [CloudFront.4] CloudFront 發行版應該配置原始容錯移轉

• [CloudFront.5] CloudFront 發行版應啟用日誌記錄

• [CloudFront.6] CloudFront 發行版應該已WAF啟用

• [CloudFront.7] CloudFront 發行版應使用自訂SSL/憑證 TLS

• [CloudFront.8] CloudFront 發行版應用SNI於服務HTTPS請求

• [CloudFront.9] CloudFront 發行版應該加密到自定義來源的流量

• [CloudFront.10] CloudFront 發行版不應在邊緣位置和自定義來源之間使用棄用的SSL協議

• [CloudFront.12] CloudFront 發行版不應指向不存在的 S3 來源

• [CloudFront.13] CloudFront 發行版應使用源訪問控制

• [CloudFront.14] CloudFront 分佈應標記

• [ECR.4] 應標記ECR公共存儲庫

• [IAM.26] 已過期SSL/IAM應移除中管理的TLS憑證

• [路線 53.1] 應標記 53 號路線健康檢查

• [路線 53.2] 路線 53 公共託管區域應記錄查詢 DNS

• [WAF1] AWS WAF 應啟用傳統全域網頁ACL記錄

• [WAF.6] AWS WAF 傳統全域規則應至少有一個條件

• [WAF.7] AWS WAF 傳統全域規則群組至少應有一個規則

• [WAF.8] AWS WAF 傳統全域 Web 至少ACLs應該有一個規則或規則群組

非洲 (開普敦)

非洲 (開普敦) 不支援以下控制項。

• [AppSync2] AWS AppSync 應啟用欄位層級記錄

• [AppSync.5] AWS AppSync GraphQL 不APIs應該使API用金鑰進行身份驗證

• [CloudFront.1] CloudFront 發行版應該配置一個默認的根對象

• [CloudFront.3] CloudFront 發行版在傳輸過程中應該需要加密

• [CloudFront.4] CloudFront 發行版應該配置原始容錯移轉

• [CloudFront.5] CloudFront 發行版應啟用日誌記錄

• [CloudFront.6] CloudFront 發行版應該已WAF啟用

• [CloudFront.7] CloudFront 發行版應使用自訂SSL/憑證 TLS

• [CloudFront.8] CloudFront 發行版應用SNI於服務HTTPS請求

• [CloudFront.9] CloudFront 發行版應該加密到自定義來源的流量

• [CloudFront.10] CloudFront 發行版不應在邊緣位置和自定義來源之間使用棄用的SSL協議

• [CloudFront.12] CloudFront 發行版不應指向不存在的 S3 來源

• [CloudFront.13] CloudFront 發行版應使用源訪問控制

• [CloudFront.14] CloudFront 分佈應標記

• [CodeArtifact.1] CodeArtifact 存儲庫應該被標記

• [CodeBuild.1] CodeBuild 比特桶源存儲庫不URLs應包含敏感憑據

• [DMS.1] Database Migration Service 複製實例不應該是公共的

• [DMS.10] Neptune 資料庫的DMS端點應啟用IAM授權

• [文件 DB.1] Amazon DocumentDB 叢集應在靜態時加密

• [文件 DB.2] Amazon DocumentDB 叢集應該有足夠的備份保留期

• [文件 DB.3] 亞馬遜 DocumentDB 手動叢集快照不應該是公開的

• [文件 DB.4] Amazon DocumentDB 叢集應將稽核日誌發佈到日誌 CloudWatch

• [文件 DB.5] 亞馬遜 DocumentDB 叢集應啟用刪除保護

• [DynamoDB 加速器 (DAX) 叢集應在靜 DynamoDB 時加密

• [DynamoDB 加速器叢集在傳輸過程中應加密

• [EC2.3] 附加的 Amazon EBS 卷應該靜態加密

• [EC2.4] 停止的EC2實例應在指定時間段後刪除

• [EC2.8] EC2 執行個體應該使用執行個體中繼資料服務版本 2 () IMDSv2

• [EC2.12] EC2 EIPs 應刪除未使用的 Amazon

• [EC2.13] 安全性群組不應允許從 0.0.0/0 或:: /0 輸入連接埠 22

• [EC2.14] 安全性群組不應允許從 0.0.0.0/0 或:/0 輸入至連接埠 3389

• [EC2.24] 不應使用 Amazon EC2 半虛擬實例類型

• [ECR.4] 應標記ECR公共存儲庫

• [EFS.1] 應將彈性文件系統配置為使用以加密靜態文件數據 AWS KMS

• [EFS.2] Amazon EFS 卷應該在備份計劃中

• [ELB.1] 應配置應 Application Load Balancer 以將所有HTTP請求重定向到 HTTPS

• [ELB.2] 帶有/監聽器的經典負載平衡SSL器HTTPS應該使用提供的證書使用 AWS Certificate Manager

• [ELB.4] 應將應 Application Load Balancer 設定為刪除 http 標頭

• [ELB.8] 帶有SSL偵聽器的傳統負載平衡器應使用具有強大功能的預定義安全策略 AWS Config成熟

• [ELB.16] 應用程式負載平衡器應與 AWS WAF 網頁 ACL

• [EMR.1] Amazon EMR 叢集主節點不應具有公有 IP 地址

• [E.3] 彈性搜尋網域應加密節點之間傳送的資料

• [EventBridge.4] EventBridge 全域端點應啟用事件複寫

• [FSx.1] FSx 對於打開ZFS文件系統，應配置為將標籤複製到備份和卷

• [GlobalAccelerator.1] 應標記全局加速器加速器

• [IAM.18] 確保已建立支援角色來管理事件 AWS Support

• [IAM.26] 已過期SSL/IAM應移除中管理的TLS憑證

• [檢查器 .3] 應啟用亞馬遜 Inspector Lambda 代碼掃描

• [IoT 1] AWS IoT Device Defender 應標記安全性設定檔

• [IoT 2] AWS IoT Core 緩解措施應標記

• [IoT 3] AWS IoT Core 尺寸應該被標記

• [IoT .4] AWS IoT Core 授權者應該被標記

• [IoT .5] AWS IoT Core 角色別名應該被標記

• [IoT .6] AWS IoT Core 應標記策略

• OpenSearch 網域應該已啟用靜態加密

• [打開搜索 .2] OpenSearch 域名不應該是可公開訪問的

• OpenSearch 網域應該加密節點之間傳送的資料

• 應該啟用 OpenSearch 網域錯誤記錄到 CloudWatch 記錄

• OpenSearch 網域應該已啟用稽核記錄

• OpenSearch 網域應該至少有三個資料節點

• OpenSearch 網域應該啟用精細的存取控制

• 應使用最新的安全策略加密與 OpenSearch 域的連接 TLS

• [RDS.1] RDS 快照應該是私有的

• [RDS.9] RDS 資料庫執行個體應該將日誌發佈到 CloudWatch 日誌

• [RDS.10] 應為實例RDS配置IAM身份驗證

• [RDS.14] Amazon Aurora 叢集應啟用回溯

• [RDS.31] 應標記RDS資料庫安全群組

• [紅移 3] 亞馬遜 Redshift 集群應啟用自動快照

• [路線 53.1] 應標記 53 號路線健康檢查

• [路線 53.2] 路線 53 公共託管區域應記錄查詢 DNS

• [SageMaker.1] Amazon SageMaker 筆記本實例不應該直接訪問互聯網

• [SSM.2] 由系統管理員管理的 Amazon EC2 執行個體在安裝修補程式COMPLIANT後，修補程式合規狀態應為

• [SSM.3] 由系統管理器管理的 Amazon EC2 執行個體應具有的關聯合規性狀態為 COMPLIANT

• [WAF1] AWS WAF 應啟用傳統全域網頁ACL記錄

• [WAF.6] AWS WAF 傳統全域規則應至少有一個條件

• [WAF.7] AWS WAF 傳統全域規則群組至少應有一個規則

• [WAF.8] AWS WAF 傳統全域 Web 至少ACLs應該有一個規則或規則群組

• [WAF.11] AWS WAF 應ACL啟用網頁記錄

亞太區域 (香港)

亞太區域 (香港) 不支援下列控制項。

• [CloudFront.1] CloudFront 發行版應該配置一個默認的根對象

• [CloudFront.3] CloudFront 發行版在傳輸過程中應該需要加密

• [CloudFront.4] CloudFront 發行版應該配置原始容錯移轉

• [CloudFront.5] CloudFront 發行版應啟用日誌記錄

• [CloudFront.6] CloudFront 發行版應該已WAF啟用

• [CloudFront.7] CloudFront 發行版應使用自訂SSL/憑證 TLS

• [CloudFront.8] CloudFront 發行版應用SNI於服務HTTPS請求

• [CloudFront.9] CloudFront 發行版應該加密到自定義來源的流量

• [CloudFront.10] CloudFront 發行版不應在邊緣位置和自定義來源之間使用棄用的SSL協議

• [CloudFront.12] CloudFront 發行版不應指向不存在的 S3 來源

• [CloudFront.13] CloudFront 發行版應使用源訪問控制

• [CloudFront.14] CloudFront 分佈應標記

• [CodeArtifact.1] CodeArtifact 存儲庫應該被標記

• [文件 DB.1] Amazon DocumentDB 叢集應在靜態時加密

• [文件 DB.2] Amazon DocumentDB 叢集應該有足夠的備份保留期

• [文件 DB.3] 亞馬遜 DocumentDB 手動叢集快照不應該是公開的

• [文件 DB.4] Amazon DocumentDB 叢集應將稽核日誌發佈到日誌 CloudWatch

• [文件 DB.5] 亞馬遜 DocumentDB 叢集應啟用刪除保護

• [DynamoDB 加速器 (DAX) 叢集應在靜 DynamoDB 時加密

• [DynamoDB 加速器叢集在傳輸過程中應加密

• [EC2.23] Amazon EC2 交通閘道不應自動接受VPC附件請求

• [EC2.24] 不應使用 Amazon EC2 半虛擬實例類型

• [ECR.4] 應標記ECR公共存儲庫

• [EventBridge.4] EventBridge 全域端點應啟用事件複寫

• [GlobalAccelerator.1] 應標記全局加速器加速器

• [IAM.26] 已過期SSL/IAM應移除中管理的TLS憑證

• [檢查器 .3] 應啟用亞馬遜 Inspector Lambda 代碼掃描

• [RDS.10] 應為實例RDS配置IAM身份驗證

• [RDS.14] Amazon Aurora 叢集應啟用回溯

• [RDS.31] 應標記RDS資料庫安全群組

• [路線 53.1] 應標記 53 號路線健康檢查

• [路線 53.2] 路線 53 公共託管區域應記錄查詢 DNS

• [SES.1] 應標記SES聯繫人列表

• [SES.2] SES 配置集應標記

• [WAF1] AWS WAF 應啟用傳統全域網頁ACL記錄

• [WAF.6] AWS WAF 傳統全域規則應至少有一個條件

• [WAF.7] AWS WAF 傳統全域規則群組至少應有一個規則

• [WAF.8] AWS WAF 傳統全域 Web 至少ACLs應該有一個規則或規則群組

• [WorkSpaces.1] WorkSpaces 使用者磁碟區應在靜態時加密

• [WorkSpaces.2] WorkSpaces 根磁碟區應在靜態時加密

亞太區域 (海德拉巴)

亞太區域 (海德拉巴) 不支援下列控制項。

• [ACM.2] 管理的RSA證書ACM應使用至少 2,048 位的密鑰長度

• [帳戶 2] AWS 帳戶 應該是 AWS Organizations 組織

• [APIGateway.3] API 網關RESTAPI階段應該有 AWS X-Ray 已啟用追蹤

• [APIGateway.4] API 網關應該與網絡關聯 WAF ACL

• [APIGateway.8] API 網關路由應指定授權類型

• [APIGateway.9] 應為API閘道 V2 階段設定存取記錄

• [AppSync2] AWS AppSync 應啟用欄位層級記錄

• [AppSync.5] AWS AppSync GraphQL 不APIs應該使API用金鑰進行身份驗證

• [Athena.4] Athena 工作群組應啟用記錄功能

• [Backup 1] AWS Backup 復原點應在靜態時加密

• [Backup。2] AWS Backup 應標記恢復點

• [Backup 4] AWS Backup 報告計劃應加上標籤

• [CloudFormation.2] 應該標記 CloudFormation 堆棧

• [CloudFront.1] CloudFront 發行版應該配置一個默認的根對象

• [CloudFront.3] CloudFront 發行版在傳輸過程中應該需要加密

• [CloudFront.4] CloudFront 發行版應該配置原始容錯移轉

• [CloudFront.5] CloudFront 發行版應啟用日誌記錄

• [CloudFront.6] CloudFront 發行版應該已WAF啟用

• [CloudFront.7] CloudFront 發行版應使用自訂SSL/憑證 TLS

• [CloudFront.8] CloudFront 發行版應用SNI於服務HTTPS請求

• [CloudFront.9] CloudFront 發行版應該加密到自定義來源的流量

• [CloudFront.10] CloudFront 發行版不應在邊緣位置和自定義來源之間使用棄用的SSL協議

• [CloudFront.12] CloudFront 發行版不應指向不存在的 S3 來源

• [CloudFront.13] CloudFront 發行版應使用源訪問控制

• [CloudFront.14] CloudFront 分佈應標記

• [CloudTrail.6] 確保用於存放 CloudTrail 日誌的 S3 儲存貯體無法公開存取

• [CloudTrail.7] 確保 S3 儲存貯體上已啟用 S3 儲存 CloudTrail 貯體存取日誌

• [CodeArtifact.1] CodeArtifact 存儲庫應該被標記

• [CodeBuild.1] CodeBuild 比特桶源存儲庫不URLs應包含敏感憑據

• [CodeBuild.2] CodeBuild 項目環境變量不應包含純文本憑據

• [CodeBuild.3] CodeBuild S3 日誌應加密

• [CodeBuild.4] CodeBuild 項目環境應該有一個日誌記錄 AWS Config成熟

• [CodeBuild.7] CodeBuild 報表群組匯出應在靜態時加密

• [Detective .1] Detective 行為圖應該被標記

• [DMS.1] Database Migration Service 複製實例不應該是公共的

• [DMS.2] 應標記DMS證書

• [DMS.3] 應標記DMS事件訂閱

• [DMS.4] 應標記DMS複製實例

• [DMS.5] DMS 複製子網路群組應加上標籤

• [DMS.6] DMS 複製執行個體應啟用自動次要版本升級

• [DMS.7] 目標資料庫的DMS複寫任務應啟用記錄

• [DMS.8] 來源資料庫的DMS複寫任務應啟用記錄

• [DMS.9] DMS 端點應該使用 SSL

• [DMS.10] Neptune 資料庫的DMS端點應啟用IAM授權

• [DMS.11] MongoDB 的DMS端點應該啟用一個身份驗證機制

• [DMS.12] Redis 的DMS端點OSS應該已啟用 TLS

• [文件 DB.1] Amazon DocumentDB 叢集應在靜態時加密

• [文件 DB.2] Amazon DocumentDB 叢集應該有足夠的備份保留期

• [文件 DB.3] 亞馬遜 DocumentDB 手動叢集快照不應該是公開的

• [文件 DB.4] Amazon DocumentDB 叢集應將稽核日誌發佈到日誌 CloudWatch

• [文件 DB.5] 亞馬遜 DocumentDB 叢集應啟用刪除保護

• [DynamoDB 加速器 (DAX) 叢集應在靜 DynamoDB 時加密

• 備份計劃中應該有 DynamoDB 資料表

• [DynamoDB 加速器叢集在傳輸過程中應加密

• [EC2.13] 安全性群組不應允許從 0.0.0/0 或:: /0 輸入連接埠 22

• [EC2.14] 安全性群組不應允許從 0.0.0.0/0 或:/0 輸入至連接埠 3389

• [EC2.18] 安全群組只應允許授權連接埠不受限制的傳入流量

• [EC2.22] 應移除未使用的 Amazon EC2 安全群組

• [EC2.23] Amazon EC2 交通閘道不應自動接受VPC附件請求

• [EC2.24] 不應使用 Amazon EC2 半虛擬實例類型

• [EC2.25] Amazon EC2 啟動模板不應將公共分配IPs給網絡界面

• [EC2.28] 備份計劃應涵蓋EBS磁碟區

• [EC2.34] 應標記公EC2交網關路由表

• [EC2.40] EC2 NAT 網關應該被標記

• [EC2.48] 應標記 Amazon VPC 流程日誌

• [EC2.51] EC2 用戶VPN端端點應該已啟用用戶端連線記錄

• [ECR.1] ECR 私有存儲庫應配置圖像掃描

• [ECR.2] ECR 私有存儲庫應該配置標籤不變性

• [ECR.3] ECR 存儲庫應至少配置一個生命週期策略

• [ECR.4] 應標記ECR公共存儲庫

• [ECS.9] ECS 任務定義應該有一個日誌記錄配置

• [EFS.1] 應將彈性文件系統配置為使用以加密靜態文件數據 AWS KMS

• [EFS.2] Amazon EFS 卷應該在備份計劃中

• [EFS.3] EFS 訪問點應該強制執行根目錄

• [EFS.4] EFS 接入點應強制執行用戶身份

• [EKS.2] EKS 叢集應在受支援的 Kubernetes 版本上執行

• [ELB.5] 應啟用應用程式和傳統負載平衡器記錄

• [ELB.13] 應用程式、網路和閘道負載平衡器應跨越多個可用區域

• [ELB.14] Classic Load Balancer 應設定為防禦性或最嚴格的不同步緩解模式

• [ElastiCache.1] ElastiCache （RedisOSS）集群應啟用自動備份

• [ElastiCache.6] ElastiCache (RedisOSS) 早期版本的複寫群組應啟用 Redis OSS AUTH

• [ElastiCache.7] ElastiCache (RedisOSS) 叢集不應使用預設的子網路群組

• [ElasticBeanstalk.1] Elastic Beanstalk 環境應啟用增強的健康報告

• [ElasticBeanstalk2] 應啟用 Elastic Beanstalk 管理平台更新

• [ElasticBeanstalk.3] Elastic Beanstalk 應該將日誌流式傳輸到 CloudWatch

• [EMR.1] Amazon EMR 叢集主節點不應具有公有 IP 地址

• [ES.1] 彈性搜尋網域應啟用靜態加密

• [ES.2] 彈性搜索域名不應該可公開訪問

• [E.3] 彈性搜尋網域應加密節點之間傳送的資料

• [ES.4] 應該啟用彈性搜索域錯誤日誌記錄到 CloudWatch 日誌

• [EventBridge.3] EventBridge 自定義事件總線應該附加基於資源的策略

• [EventBridge.4] EventBridge 全域端點應啟用事件複寫

• [FSx.1] FSx 對於打開ZFS文件系統，應配置為將標籤複製到備份和卷

• [GlobalAccelerator.1] 應標記全局加速器加速器

• [膠水 1] AWS Glue 工作應該被標記

• [GuardDuty.2] GuardDuty 過濾器應標記

• [GuardDuty.9] 應 GuardDuty RDS啟用保護

• [IAM.1] IAM 策略不應允許完整的「*」管理權限

• [IAM.2] IAM 用戶不應該附加IAM策略

• [IAM.3] IAM 用戶的訪問密鑰應每 90 天或更短時間輪換一次

• 所有擁有主控台密碼的使用IAM者都MFA應啟用 [IAM.5]

• [IAM.8] 應刪除未使IAM用的用戶憑據

• [IAM.18] 確保已建立支援角色來管理事件 AWS Support

• MFA應為所IAM有使用者啟用 [IAM.19]

• [IAM.21] 您建立的IAM客戶管理策略不應允許對服務執行萬用字元動作

• [IAM.22] 應刪除 45 天未使用的IAM用戶憑據

• [IAM.24] IAM 角色應該被標記

• [IAM.25] 應標記IAM用戶

• [IAM.26] 已過期SSL/IAM應移除中管理的TLS憑證

• [IAM.27] IAM 身份不應該附加 AWSCloudShellFullAccess 策略

• [檢查器 .1] 應啟用亞馬遜 Inspector EC2 掃描

• [檢查器 .2] 應啟用亞馬遜 Inspector ECR 掃描

• [檢查器 .3] 應啟用亞馬遜 Inspector Lambda 代碼掃描

• [檢查員 .4] 應啟用亞馬遜 Inspector Lambda 標準掃描

• [IoT 1] AWS IoT Device Defender 應標記安全性設定檔

• [IoT 2] AWS IoT Core 緩解措施應標記

• [IoT 3] AWS IoT Core 尺寸應該被標記

• [IoT .4] AWS IoT Core 授權者應該被標記

• [IoT .5] AWS IoT Core 角色別名應該被標記

• [IoT .6] AWS IoT Core 應標記策略

• [Kinesis.1] Kinesis 串流應在靜態時加密

• [KMS.1] IAM 客戶管理策略不應允許對所有密KMS鑰進行解密操作

• [KMS.2] IAM 主體不應具有允許對所有KMS金鑰進行解密動作的IAM內嵌政策

• [Lambda .5] VPC Lambda 函數應該在多個可用區域中運作

• [Macie.1] Amazon Macie 應該啟用

• [Macie.2] 應啟用 Macie 自動化敏感資料探索功能

• [MQ2] ActiveMQ 代理程式應該將稽核記錄串流至 CloudWatch

• [MQ.3] Amazon MQ 代理程式應啟用自動次要版本升級

• [MQ.4] 應標記 Amazon MQ 經紀人

• [MQ.5] ActiveMQ 代理程式應該使用主動/待命部署模式

• [MQ.6] RabbitMQ 代理程式應該使用叢集部署模式

• [MSK.1] MSK 叢集在代理程式節點之間的傳輸過程中應加密

• [MSK.2] MSK 叢集應配置增強型監控

• [Neptune .1] Neptune 資料庫叢集在靜態時應加密

• [Neptune .2] Neptune 資料庫叢集應將稽核記錄發佈至記錄 CloudWatch

• [Neptune .3] Neptune DB 叢集快照不應該是公開的

• [Neptune .4] Neptune 資料庫叢集應啟用刪除保護

• [Neptune .5] Neptune 資料庫叢集應啟用自動備份

• [Neptune .6] Neptune 資料庫叢集快照在靜態時應加密

• [Neptune .7] Neptune 資料庫叢集應啟用資料庫驗IAM證

• [Neptune .8] 應將 Neptune 資料庫叢集設定為將標籤複製到快照

• [Neptune .9] Neptune 資料庫叢集應部署在多個可用區域

• [NetworkFirewall.1] Network Firewall 防火牆應跨多個可用區域部署

• [NetworkFirewall.2] 應啟用 Network Firewall 日誌記錄

• [NetworkFirewall.3] Network Firewall 策略應至少有一個關聯的規則組

• [NetworkFirewall.4] 對於完整封包，Network Firewall 策略的預設無狀態處理行動應為捨棄或轉送

• [NetworkFirewall.5] 對於分散式封包，Network Firewall 策略的預設無狀態處理行動應該是捨棄或轉送

• [NetworkFirewall.6] 無狀態 Network Firewall 規則群組不應為空

• [NetworkFirewall.9] Network Firewall 防火牆應啟用刪除保護

• OpenSearch 網域應該已啟用靜態加密

• [打開搜索 .2] OpenSearch 域名不應該是可公開訪問的

• OpenSearch 網域應該加密節點之間傳送的資料

• 應該啟用 OpenSearch 網域錯誤記錄到 CloudWatch 記錄

• OpenSearch 網域應該已啟用稽核記錄

• OpenSearch 網域應該至少有三個資料節點

• OpenSearch 網域應該啟用精細的存取控制

• 應使用最新的安全策略加密與 OpenSearch 域的連接 TLS

• [打開搜索 .9] OpenSearch 域名應該被標記

• OpenSearch 網域應該已安裝最新的軟體更新

• OpenSearch 網域至少應該有三個專用的主節點

• [RDS.2] RDS 資料庫執行個體應該禁止公開存取，如 PubliclyAccessible AWS Config成熟

• [RDS.7] RDS 叢集應啟用刪除保護

• [RDS.9] RDS 資料庫執行個體應該將日誌發佈到 CloudWatch 日誌

• [RDS.12] 應為RDS叢集設定IAM驗證

• [RDS.14] Amazon Aurora 叢集應啟用回溯

• [RDS.15] 應為多個可用區域設定資RDS料庫叢集

• [RDS.24] RDS 資料庫叢集應使用自訂管理員使用者名稱

• [RDS.26] RDS 資料庫執行個體應受到備份計劃的保護

• [RDS.27] RDS 資料庫叢集應在靜態時加密

• [RDS.31] 應標記RDS資料庫安全群組

• [RDS.34] Aurora 我的SQL資料庫叢集應將稽核記錄發佈到 CloudWatch 記錄

• [RDS.35] RDS 資料庫叢集應啟用自動次要版本升級

• [紅移 1] 亞馬遜 Redshift 集群應禁止公共訪問

• [紅移 2] 與亞馬遜 Redshift 叢集的連接應在傳輸過程中進行加密

• [紅移 3] 亞馬遜 Redshift 集群應啟用自動快照

• [紅移 6] 亞馬遜 Redshift 應該啟用自動升級到主要版本

• [紅移 .7] Redshift 叢集應該使用增強型路由 VPC

• [紅移 .10] Redshift 叢集在靜態時應加密

• [紅移 .12] 應標記 Redshift 事件通知訂閱

• [路線 53.1] 應標記 53 號路線健康檢查

• [路線 53.2] 路線 53 公共託管區域應記錄查詢 DNS

• [S3.6] S3 一般用途儲存貯體政策應限制對其他儲存貯體的存取 AWS 帳戶

• [S3.17] S3 一般用途儲存貯體在靜態時應使用 AWS KMS keys

• [SageMaker.1] Amazon SageMaker 筆記本實例不應該直接訪問互聯網

• [SageMaker.2] SageMaker 筆記本實例應以自定義方式啟動 VPC

• [SageMaker.3] 用戶不應該擁有對 SageMaker 筆記本實例的 root 訪問權限

• [SES.1] 應標記SES聯繫人列表

• [SES.2] SES 配置集應標記

• [SQS.1] Amazon SQS 隊列應該在靜態時加密

• [SQS.2] SQS 隊列應該被標記

• [SSM.1] Amazon EC2 實例應由 AWS Systems Manager

• [SSM.2] 由系統管理員管理的 Amazon EC2 執行個體在安裝修補程式COMPLIANT後，修補程式合規狀態應為

• [SSM.3] 由系統管理器管理的 Amazon EC2 執行個體應具有的關聯合規性狀態為 COMPLIANT

• [StepFunctions.1] Step Functions 狀態機應該打開日誌記錄

• [WAF1] AWS WAF 應啟用傳統全域網頁ACL記錄

• [WAF2] AWS WAF 傳統區域規則應具有至少一個條件

• [WAF3] AWS WAF 傳統區域規則群組至少應該有一個規則

• [WAF.4] AWS WAF 傳統區域網路至少ACLs應該有一個規則或規則群組

• [WAF.6] AWS WAF 傳統全域規則應至少有一個條件

• [WAF.7] AWS WAF 傳統全域規則群組至少應有一個規則

• [WAF.8] AWS WAF 傳統全域 Web 至少ACLs應該有一個規則或規則群組

• [WAF.10] AWS WAF web ACLs 應該至少有一個規則或規則群組

• [WAF.11] AWS WAF 應ACL啟用網頁記錄

• [WorkSpaces.1] WorkSpaces 使用者磁碟區應在靜態時加密

• [WorkSpaces.2] WorkSpaces 根磁碟區應在靜態時加密

亞太區域 (雅加達)

亞太區域 (雅加達) 不支援下列控制項。

• [帳戶 2] AWS 帳戶 應該是 AWS Organizations 組織

• [APIGateway.1] 應啟用API網關REST和 WebSocket API執行記錄

• [APIGateway.2] API 閘道RESTAPI階段應設定為使用SSL憑證進行後端驗證

• [APIGateway.3] API 網關RESTAPI階段應該有 AWS X-Ray 已啟用追蹤

• [APIGateway.4] API 網關應該與網絡關聯 WAF ACL

• [APIGateway.8] API 網關路由應指定授權類型

• [APIGateway.9] 應為API閘道 V2 階段設定存取記錄

• [AppSync2] AWS AppSync 應啟用欄位層級記錄

• [AppSync.5] AWS AppSync GraphQL 不APIs應該使API用金鑰進行身份驗證

• [AutoScaling.3] Auto Scaling 群組啟動設定應該將EC2執行個體設定為需要執行個體中繼資料服務第 2 版 (IMDSv2)

• [AutoScaling.6] Auto Scaling 群組應在多個可用區域中使用多個執行個體類型

• [AutoScaling.9] Amazon EC2 Auto Scaling 組應使用 Amazon EC2 啟動模板

• [自動擴展 .5] 使用 Auto Scaling 群組啟動組態啟動的 Amazon EC2 執行個體不應具有公有 IP 地址

• [Backup 1] AWS Backup 復原點應在靜態時加密

• [Backup。2] AWS Backup 應標記恢復點

• [Backup 4] AWS Backup 報告計劃應加上標籤

• [CloudFormation.2] 應該標記 CloudFormation 堆棧

• [CloudFront.1] CloudFront 發行版應該配置一個默認的根對象

• [CloudFront.3] CloudFront 發行版在傳輸過程中應該需要加密

• [CloudFront.4] CloudFront 發行版應該配置原始容錯移轉

• [CloudFront.5] CloudFront 發行版應啟用日誌記錄

• [CloudFront.6] CloudFront 發行版應該已WAF啟用

• [CloudFront.7] CloudFront 發行版應使用自訂SSL/憑證 TLS

• [CloudFront.8] CloudFront 發行版應用SNI於服務HTTPS請求

• [CloudFront.9] CloudFront 發行版應該加密到自定義來源的流量

• [CloudFront.10] CloudFront 發行版不應在邊緣位置和自定義來源之間使用棄用的SSL協議

• [CloudFront.12] CloudFront 發行版不應指向不存在的 S3 來源

• [CloudFront.13] CloudFront 發行版應使用源訪問控制

• [CloudFront.14] CloudFront 分佈應標記

• [CloudWatch.17] 應啟動 CloudWatch 警報動作

• [CodeArtifact.1] CodeArtifact 存儲庫應該被標記

• [CodeBuild.1] CodeBuild 比特桶源存儲庫不URLs應包含敏感憑據

• [CodeBuild.2] CodeBuild 項目環境變量不應包含純文本憑據

• [CodeBuild.3] CodeBuild S3 日誌應加密

• [CodeBuild.4] CodeBuild 項目環境應該有一個日誌記錄 AWS Config成熟

• [CodeBuild.7] CodeBuild 報表群組匯出應在靜態時加密

• [Detective .1] Detective 行為圖應該被標記

• [DMS.1] Database Migration Service 複製實例不應該是公共的

• [DMS.2] 應標記DMS證書

• [DMS.3] 應標記DMS事件訂閱

• [DMS.4] 應標記DMS複製實例

• [DMS.5] DMS 複製子網路群組應加上標籤

• [DMS.6] DMS 複製執行個體應啟用自動次要版本升級

• [DMS.7] 目標資料庫的DMS複寫任務應啟用記錄

• [DMS.8] 來源資料庫的DMS複寫任務應啟用記錄

• [DMS.9] DMS 端點應該使用 SSL

• [DMS.10] Neptune 資料庫的DMS端點應啟用IAM授權

• [DMS.11] MongoDB 的DMS端點應該啟用一個身份驗證機制

• [DMS.12] Redis 的DMS端點OSS應該已啟用 TLS

• [文件 DB.1] Amazon DocumentDB 叢集應在靜態時加密

• [文件 DB.2] Amazon DocumentDB 叢集應該有足夠的備份保留期

• [文件 DB.3] 亞馬遜 DocumentDB 手動叢集快照不應該是公開的

• [文件 DB.4] Amazon DocumentDB 叢集應將稽核日誌發佈到日誌 CloudWatch

• [文件 DB.5] 亞馬遜 DocumentDB 叢集應啟用刪除保護

• [DynamoDB 加速器 (DAX) 叢集應在靜 DynamoDB 時加密

• 備份計劃中應該有 DynamoDB 資料表

• [DynamoDB 加速器叢集在傳輸過程中應加密

• [EC2.13] 安全性群組不應允許從 0.0.0/0 或:: /0 輸入連接埠 22

• [EC2.14] 安全性群組不應允許從 0.0.0.0/0 或:/0 輸入至連接埠 3389

• [EC2.18] 安全群組只應允許授權連接埠不受限制的傳入流量

• [EC2.22] 應移除未使用的 Amazon EC2 安全群組

• [EC2.23] Amazon EC2 交通閘道不應自動接受VPC附件請求

• [EC2.24] 不應使用 Amazon EC2 半虛擬實例類型

• [EC2.28] 備份計劃應涵蓋EBS磁碟區

• [EC2.51] EC2 用戶VPN端端點應該已啟用用戶端連線記錄

• [ECR.1] ECR 私有存儲庫應配置圖像掃描

• [ECR.2] ECR 私有存儲庫應該配置標籤不變性

• [ECR.3] ECR 存儲庫應至少配置一個生命週期策略

• [ECR.4] 應標記ECR公共存儲庫

• [ECS.3] ECS 任務定義不應共享主機的進程名稱空間

• [ECS.4] ECS 容器應該以非特權運行

• [ECS.5] ECS 容器應僅限於對 root 文件系統的只讀訪問

• [ECS.8] 秘密不應作為容器環境變量傳遞

• [ECS.9] ECS 任務定義應該有一個日誌記錄配置

• [ECS.10] ECS Fargate 服務應該在最新的 Fargate 平台版本上運行

• [ECS.12] ECS 叢集應使用容器深入解析

• [EFS.1] 應將彈性文件系統配置為使用以加密靜態文件數據 AWS KMS

• [EFS.2] Amazon EFS 卷應該在備份計劃中

• [EFS.3] EFS 訪問點應該強制執行根目錄

• [EFS.4] EFS 接入點應強制執行用戶身份

• [EKS.2] EKS 叢集應在受支援的 Kubernetes 版本上執行

• [ELB.12] Application Load Balancer 應設定為防禦性或最嚴格的不同步緩解模式

• [ELB.13] 應用程式、網路和閘道負載平衡器應跨越多個可用區域

• [ELB.14] Classic Load Balancer 應設定為防禦性或最嚴格的不同步緩解模式

• [ElastiCache.1] ElastiCache （RedisOSS）集群應啟用自動備份

• [ElastiCache.6] ElastiCache (RedisOSS) 早期版本的複寫群組應啟用 Redis OSS AUTH

• [ElastiCache.7] ElastiCache (RedisOSS) 叢集不應使用預設的子網路群組

• [ElasticBeanstalk.1] Elastic Beanstalk 環境應啟用增強的健康報告

• [ElasticBeanstalk2] 應啟用 Elastic Beanstalk 管理平台更新

• [EMR.1] Amazon EMR 叢集主節點不應具有公有 IP 地址

• [ES.1] 彈性搜尋網域應啟用靜態加密

• [ES.2] 彈性搜索域名不應該可公開訪問

• [E.3] 彈性搜尋網域應加密節點之間傳送的資料

• [EventBridge.4] EventBridge 全域端點應啟用事件複寫

• [FSx.1] FSx 對於打開ZFS文件系統，應配置為將標籤複製到備份和卷

• [GlobalAccelerator.1] 應標記全局加速器加速器

• [膠水 1] AWS Glue 工作應該被標記

• [膠水 .2] AWS Glue 工作應該啟用日誌記錄

• [膠水 3] AWS Glue 機器學習轉換應在靜態時加密

• [GuardDuty.2] GuardDuty 過濾器應標記

• [IAM.18] 確保已建立支援角色來管理事件 AWS Support

• [IAM.26] 已過期SSL/IAM應移除中管理的TLS憑證

• [檢查器 .3] 應啟用亞馬遜 Inspector Lambda 代碼掃描

• [IoT 1] AWS IoT Device Defender 應標記安全性設定檔

• [IoT 2] AWS IoT Core 緩解措施應標記

• [IoT 3] AWS IoT Core 尺寸應該被標記

• [IoT .4] AWS IoT Core 授權者應該被標記

• [IoT .5] AWS IoT Core 角色別名應該被標記

• [IoT .6] AWS IoT Core 應標記策略

• [Kinesis.1] Kinesis 串流應在靜態時加密

• [Lambda .5] VPC Lambda 函數應該在多個可用區域中運作

• [Macie.1] Amazon Macie 應該啟用

• [Macie.2] 應啟用 Macie 自動化敏感資料探索功能

• [MSK.1] MSK 叢集在代理程式節點之間的傳輸過程中應加密

• [MSK.2] MSK 叢集應配置增強型監控

• [Neptune .1] Neptune 資料庫叢集在靜態時應加密

• [Neptune .2] Neptune 資料庫叢集應將稽核記錄發佈至記錄 CloudWatch

• [Neptune .3] Neptune DB 叢集快照不應該是公開的

• [Neptune .4] Neptune 資料庫叢集應啟用刪除保護

• [Neptune .5] Neptune 資料庫叢集應啟用自動備份

• [Neptune .6] Neptune 資料庫叢集快照在靜態時應加密

• [Neptune .7] Neptune 資料庫叢集應啟用資料庫驗IAM證

• [Neptune .8] 應將 Neptune 資料庫叢集設定為將標籤複製到快照

• [Neptune .9] Neptune 資料庫叢集應部署在多個可用區域

• [NetworkFirewall.1] Network Firewall 防火牆應跨多個可用區域部署

• [NetworkFirewall.3] Network Firewall 策略應至少有一個關聯的規則組

• [NetworkFirewall.4] 對於完整封包，Network Firewall 策略的預設無狀態處理行動應為捨棄或轉送

• [NetworkFirewall.5] 對於分散式封包，Network Firewall 策略的預設無狀態處理行動應該是捨棄或轉送

• [NetworkFirewall.6] 無狀態 Network Firewall 規則群組不應為空

• OpenSearch 網域應該已啟用靜態加密

• [打開搜索 .2] OpenSearch 域名不應該是可公開訪問的

• OpenSearch 網域應該加密節點之間傳送的資料

• 應該啟用 OpenSearch 網域錯誤記錄到 CloudWatch 記錄

• OpenSearch 網域應該已啟用稽核記錄

• OpenSearch 網域應該至少有三個資料節點

• OpenSearch 網域應該啟用精細的存取控制

• 應使用最新的安全策略加密與 OpenSearch 域的連接 TLS

• [RDS.9] RDS 資料庫執行個體應該將日誌發佈到 CloudWatch 日誌

• [RDS.14] Amazon Aurora 叢集應啟用回溯

• [RDS.24] RDS 資料庫叢集應使用自訂管理員使用者名稱

• [RDS.26] RDS 資料庫執行個體應受到備份計劃的保護

• [RDS.31] 應標記RDS資料庫安全群組

• [紅移 1] 亞馬遜 Redshift 集群應禁止公共訪問

• [紅移 2] 與亞馬遜 Redshift 叢集的連接應在傳輸過程中進行加密

• [紅移 3] 亞馬遜 Redshift 集群應啟用自動快照

• [紅移 .7] Redshift 叢集應該使用增強型路由 VPC

• [紅移 .9] Redshift 叢集不應使用預設的資料庫名稱

• [紅移 .10] Redshift 叢集在靜態時應加密

• [紅移 .12] 應標記 Redshift 事件通知訂閱

• [路線 53.1] 應標記 53 號路線健康檢查

• [路線 53.2] 路線 53 公共託管區域應記錄查詢 DNS

• [S3.11] S3 一般用途儲存貯體應啟用事件通知

• [S3.13] S3 一般用途儲存貯體應具有生命週期組態

• [SageMaker.1] Amazon SageMaker 筆記本實例不應該直接訪問互聯網

• [SageMaker.2] SageMaker 筆記本實例應以自定義方式啟動 VPC

• [SageMaker.3] 用戶不應該擁有對 SageMaker 筆記本實例的 root 訪問權限

• [ServiceCatalog.1] Service Catalog 產品組合應在 AWS 僅限組織

• [SQS.1] Amazon SQS 隊列應該在靜態時加密

• [SQS.2] SQS 隊列應該被標記

• [SSM.1] Amazon EC2 實例應由 AWS Systems Manager

• [SSM.2] 由系統管理員管理的 Amazon EC2 執行個體在安裝修補程式COMPLIANT後，修補程式合規狀態應為

• [SSM.3] 由系統管理器管理的 Amazon EC2 執行個體應具有的關聯合規性狀態為 COMPLIANT

• [WAF1] AWS WAF 應啟用傳統全域網頁ACL記錄

• [WAF2] AWS WAF 傳統區域規則應具有至少一個條件

• [WAF3] AWS WAF 傳統區域規則群組至少應該有一個規則

• [WAF.4] AWS WAF 傳統區域網路至少ACLs應該有一個規則或規則群組

• [WAF.6] AWS WAF 傳統全域規則應至少有一個條件

• [WAF.7] AWS WAF 傳統全域規則群組至少應有一個規則

• [WAF.8] AWS WAF 傳統全域 Web 至少ACLs應該有一個規則或規則群組

• [WAF.10] AWS WAF web ACLs 應該至少有一個規則或規則群組

• [WorkSpaces.1] WorkSpaces 使用者磁碟區應在靜態時加密

• [WorkSpaces.2] WorkSpaces 根磁碟區應在靜態時加密

亞太區域 (孟買)

亞太區域 (孟買) 不支援下列控制項。

• [CloudFront.1] CloudFront 發行版應該配置一個默認的根對象

• [CloudFront.3] CloudFront 發行版在傳輸過程中應該需要加密

• [CloudFront.4] CloudFront 發行版應該配置原始容錯移轉

• [CloudFront.5] CloudFront 發行版應啟用日誌記錄

• [CloudFront.6] CloudFront 發行版應該已WAF啟用

• [CloudFront.7] CloudFront 發行版應使用自訂SSL/憑證 TLS

• [CloudFront.8] CloudFront 發行版應用SNI於服務HTTPS請求

• [CloudFront.9] CloudFront 發行版應該加密到自定義來源的流量

• [CloudFront.10] CloudFront 發行版不應在邊緣位置和自定義來源之間使用棄用的SSL協議

• [CloudFront.12] CloudFront 發行版不應指向不存在的 S3 來源

• [CloudFront.13] CloudFront 發行版應使用源訪問控制

• [CloudFront.14] CloudFront 分佈應標記

• [EC2.23] Amazon EC2 交通閘道不應自動接受VPC附件請求

• [EC2.24] 不應使用 Amazon EC2 半虛擬實例類型

• [ECR.4] 應標記ECR公共存儲庫

• [GlobalAccelerator.1] 應標記全局加速器加速器

• [IAM.26] 已過期SSL/IAM應移除中管理的TLS憑證

• [檢查器 .3] 應啟用亞馬遜 Inspector Lambda 代碼掃描

• [RDS.31] 應標記RDS資料庫安全群組

• [路線 53.1] 應標記 53 號路線健康檢查

• [路線 53.2] 路線 53 公共託管區域應記錄查詢 DNS

• [WAF1] AWS WAF 應啟用傳統全域網頁ACL記錄

• [WAF.6] AWS WAF 傳統全域規則應至少有一個條件

• [WAF.7] AWS WAF 傳統全域規則群組至少應有一個規則

• [WAF.8] AWS WAF 傳統全域 Web 至少ACLs應該有一個規則或規則群組

亞太區域 (墨爾本)

亞太區域 (墨爾本) 不支援下列控制項。

• [ACM.1] 進口和ACM簽發的證書應在指定的時間段後續期

• [ACM.2] 管理的RSA證書ACM應使用至少 2,048 位的密鑰長度

• [APIGateway.8] API 網關路由應指定授權類型

• [APIGateway.9] 應為API閘道 V2 階段設定存取記錄

• [AppSync2] AWS AppSync 應啟用欄位層級記錄

• [AppSync.5] AWS AppSync GraphQL 不APIs應該使API用金鑰進行身份驗證

• [Athena.4] Athena 工作群組應啟用記錄功能

• [AutoScaling.1] 與負載平衡器關聯的 Auto Scaling 群組應使用ELB健康狀態檢查

• [自動擴展 .5] 使用 Auto Scaling 群組啟動組態啟動的 Amazon EC2 執行個體不應具有公有 IP 地址

• [Backup 1] AWS Backup 復原點應在靜態時加密

• [Backup。2] AWS Backup 應標記恢復點

• [Backup 4] AWS Backup 報告計劃應加上標籤

• [CloudFormation.2] 應該標記 CloudFormation 堆棧

• [CloudFront.1] CloudFront 發行版應該配置一個默認的根對象

• [CloudFront.3] CloudFront 發行版在傳輸過程中應該需要加密

• [CloudFront.4] CloudFront 發行版應該配置原始容錯移轉

• [CloudFront.5] CloudFront 發行版應啟用日誌記錄

• [CloudFront.6] CloudFront 發行版應該已WAF啟用

• [CloudFront.7] CloudFront 發行版應使用自訂SSL/憑證 TLS

• [CloudFront.8] CloudFront 發行版應用SNI於服務HTTPS請求

• [CloudFront.9] CloudFront 發行版應該加密到自定義來源的流量

• [CloudFront.10] CloudFront 發行版不應在邊緣位置和自定義來源之間使用棄用的SSL協議

• [CloudFront.12] CloudFront 發行版不應指向不存在的 S3 來源

• [CloudFront.13] CloudFront 發行版應使用源訪問控制

• [CloudFront.14] CloudFront 分佈應標記

• [CodeArtifact.1] CodeArtifact 存儲庫應該被標記

• [CodeBuild.1] CodeBuild 比特桶源存儲庫不URLs應包含敏感憑據

• [CodeBuild.3] CodeBuild S3 日誌應加密

• [CodeBuild.4] CodeBuild 項目環境應該有一個日誌記錄 AWS Config成熟

• [CodeBuild.7] CodeBuild 報表群組匯出應在靜態時加密

• [Detective .1] Detective 行為圖應該被標記

• [DMS.1] Database Migration Service 複製實例不應該是公共的

• [DMS.2] 應標記DMS證書

• [DMS.3] 應標記DMS事件訂閱

• [DMS.4] 應標記DMS複製實例

• [DMS.5] DMS 複製子網路群組應加上標籤

• [DMS.6] DMS 複製執行個體應啟用自動次要版本升級

• [DMS.7] 目標資料庫的DMS複寫任務應啟用記錄

• [DMS.8] 來源資料庫的DMS複寫任務應啟用記錄

• [DMS.9] DMS 端點應該使用 SSL

• [DMS.10] Neptune 資料庫的DMS端點應啟用IAM授權

• [DMS.11] MongoDB 的DMS端點應該啟用一個身份驗證機制

• [DMS.12] Redis 的DMS端點OSS應該已啟用 TLS

• [文件 DB.1] Amazon DocumentDB 叢集應在靜態時加密

• [文件 DB.2] Amazon DocumentDB 叢集應該有足夠的備份保留期

• [文件 DB.3] 亞馬遜 DocumentDB 手動叢集快照不應該是公開的

• [文件 DB.4] Amazon DocumentDB 叢集應將稽核日誌發佈到日誌 CloudWatch

• [文件 DB.5] 亞馬遜 DocumentDB 叢集應啟用刪除保護

• [DynamoDB 加速器 (DAX) 叢集應在靜 DynamoDB 時加密

• 備份計劃中應該有 DynamoDB 資料表

• [DynamoDB 加速器叢集在傳輸過程中應加密

• [EC2.1] Amazon EBS 快照不應該公開還原

• [EC2.4] 停止的EC2實例應在指定時間段後刪除

• [EC2.8] EC2 執行個體應該使用執行個體中繼資料服務版本 2 () IMDSv2

• [EC2.9] Amazon EC2 實例不應該有公共IPv4地址

• [EC2.13] 安全性群組不應允許從 0.0.0/0 或:: /0 輸入連接埠 22

• [EC2.14] 安全性群組不應允許從 0.0.0.0/0 或:/0 輸入至連接埠 3389

• [EC2.18] 安全群組只應允許授權連接埠不受限制的傳入流量

• [EC2.22] 應移除未使用的 Amazon EC2 安全群組

• [EC2.23] Amazon EC2 交通閘道不應自動接受VPC附件請求

• [EC2.24] 不應使用 Amazon EC2 半虛擬實例類型

• [EC2.25] Amazon EC2 啟動模板不應將公共分配IPs給網絡界面

• [EC2.28] 備份計劃應涵蓋EBS磁碟區

• [EC2.34] 應標記公EC2交網關路由表

• [EC2.40] EC2 NAT 網關應該被標記

• [EC2.48] 應標記 Amazon VPC 流程日誌

• [EC2.51] EC2 用戶VPN端端點應該已啟用用戶端連線記錄

• [ECR.1] ECR 私有存儲庫應配置圖像掃描

• [ECR.4] 應標記ECR公共存儲庫

• [ECS.1] Amazon ECS 任務定義應具有安全的聯網模式和使用者定義。

• [ECS.9] ECS 任務定義應該有一個日誌記錄配置

• [EFS.1] 應將彈性文件系統配置為使用以加密靜態文件數據 AWS KMS

• [EFS.2] Amazon EFS 卷應該在備份計劃中

• [EFS.3] EFS 訪問點應該強制執行根目錄

• [EFS.4] EFS 接入點應強制執行用戶身份

• [EKS.2] EKS 叢集應在受支援的 Kubernetes 版本上執行

• [EKS.8] EKS 叢集應啟用稽核記錄

• [ELB.13] 應用程式、網路和閘道負載平衡器應跨越多個可用區域

• [ELB.14] Classic Load Balancer 應設定為防禦性或最嚴格的不同步緩解模式

• [ElastiCache.1] ElastiCache （RedisOSS）集群應啟用自動備份

• [ElastiCache.2] ElastiCache （RedisOSS）集群應啟用自 auto 次要版本升級

• [ElastiCache.3] ElastiCache (RedisOSS) 複製群組應啟用自動容錯移轉

• [ElastiCache.4] ElastiCache (RedisOSS) 複製群組應在靜態時加密

• [ElastiCache.5] ElastiCache (RedisOSS) 複寫群組在傳輸過程中應加密

• [ElastiCache.6] ElastiCache (RedisOSS) 早期版本的複寫群組應啟用 Redis OSS AUTH

• [ElastiCache.7] ElastiCache (RedisOSS) 叢集不應使用預設的子網路群組

• [ElasticBeanstalk.1] Elastic Beanstalk 環境應啟用增強的健康報告

• [ElasticBeanstalk2] 應啟用 Elastic Beanstalk 管理平台更新

• [ElasticBeanstalk.3] Elastic Beanstalk 應該將日誌流式傳輸到 CloudWatch

• [EMR.1] Amazon EMR 叢集主節點不應具有公有 IP 地址

• [ES.1] 彈性搜尋網域應啟用靜態加密

• [ES.2] 彈性搜索域名不應該可公開訪問

• [E.3] 彈性搜尋網域應加密節點之間傳送的資料

• [ES.4] 應該啟用彈性搜索域錯誤日誌記錄到 CloudWatch 日誌

• [EventBridge.3] EventBridge 自定義事件總線應該附加基於資源的策略

• [EventBridge.4] EventBridge 全域端點應啟用事件複寫

• [FSx.1] FSx 對於打開ZFS文件系統，應配置為將標籤複製到備份和卷

• [FSx.2] FSx 對於 Lustre 文件系統，應配置為將標籤複製到備份

• [GlobalAccelerator.1] 應標記全局加速器加速器

• [膠水 1] AWS Glue 工作應該被標記

• [GuardDuty.2] GuardDuty 過濾器應標記

• [GuardDuty.9] 應 GuardDuty RDS啟用保護

• [IAM.1] IAM 策略不應允許完整的「*」管理權限

• [IAM.2] IAM 用戶不應該附加IAM策略

• [IAM.3] IAM 用戶的訪問密鑰應每 90 天或更短時間輪換一次

• 所有擁有主控台密碼的使用IAM者都MFA應啟用 [IAM.5]

• [IAM.6] 根用戶MFA應啟用硬件

• [IAM.8] 應刪除未使IAM用的用戶憑據

• [IAM.10] IAM 用戶的密碼策略應該具有強大的 AWS Config排尿

• [IAM.11] 確保IAM密碼策略至少需要一個大寫字母

• [IAM.12] 確保IAM密碼策略至少需要一個小寫字母

• [IAM.13] 確保IAM密碼策略至少需要一個符號

• [IAM.14] 確保IAM密碼策略至少需要一個數字

• [IAM.15] 確保IAM密碼策略要求的密碼長度下限為 14 或更大

• [IAM.16] 確保IAM密碼策略防止密碼重複使用

• [IAM.17] 確保IAM密碼策略在 90 天或更短的時間內過期

• [IAM.18] 確保已建立支援角色來管理事件 AWS Support

• MFA應為所IAM有使用者啟用 [IAM.19]

• [IAM.21] 您建立的IAM客戶管理策略不應允許對服務執行萬用字元動作

• [IAM.22] 應刪除 45 天未使用的IAM用戶憑據

• [IAM.24] IAM 角色應該被標記

• [IAM.25] 應標記IAM用戶

• [IAM.26] 已過期SSL/IAM應移除中管理的TLS憑證

• [IAM.27] IAM 身份不應該附加 AWSCloudShellFullAccess 策略

• [檢查器 .1] 應啟用亞馬遜 Inspector EC2 掃描

• [檢查器 .2] 應啟用亞馬遜 Inspector ECR 掃描

• [檢查器 .3] 應啟用亞馬遜 Inspector Lambda 代碼掃描

• [檢查員 .4] 應啟用亞馬遜 Inspector Lambda 標準掃描

• [IoT 1] AWS IoT Device Defender 應標記安全性設定檔

• [IoT 2] AWS IoT Core 緩解措施應標記

• [IoT 3] AWS IoT Core 尺寸應該被標記

• [IoT .4] AWS IoT Core 授權者應該被標記

• [IoT .5] AWS IoT Core 角色別名應該被標記

• [IoT .6] AWS IoT Core 應標記策略

• [Kinesis.1] Kinesis 串流應在靜態時加密

• [KMS.1] IAM 客戶管理策略不應允許對所有密KMS鑰進行解密操作

• [KMS.2] IAM 主體不應具有允許對所有KMS金鑰進行解密動作的IAM內嵌政策

• [Lambda .5] VPC Lambda 函數應該在多個可用區域中運作

• [Macie.1] Amazon Macie 應該啟用

• [Macie.2] 應啟用 Macie 自動化敏感資料探索功能

• [MQ2] ActiveMQ 代理程式應該將稽核記錄串流至 CloudWatch

• [MQ.3] Amazon MQ 代理程式應啟用自動次要版本升級

• [MQ.5] ActiveMQ 代理程式應該使用主動/待命部署模式

• [MQ.6] RabbitMQ 代理程式應該使用叢集部署模式

• [MSK.1] MSK 叢集在代理程式節點之間的傳輸過程中應加密

• [MSK.2] MSK 叢集應配置增強型監控

• [Neptune .1] Neptune 資料庫叢集在靜態時應加密

• [Neptune .2] Neptune 資料庫叢集應將稽核記錄發佈至記錄 CloudWatch

• [Neptune .3] Neptune DB 叢集快照不應該是公開的

• [Neptune .4] Neptune 資料庫叢集應啟用刪除保護

• [Neptune .5] Neptune 資料庫叢集應啟用自動備份

• [Neptune .6] Neptune 資料庫叢集快照在靜態時應加密

• [Neptune .7] Neptune 資料庫叢集應啟用資料庫驗IAM證

• [Neptune .8] 應將 Neptune 資料庫叢集設定為將標籤複製到快照

• [Neptune .9] Neptune 資料庫叢集應部署在多個可用區域

• [NetworkFirewall.1] Network Firewall 防火牆應跨多個可用區域部署

• [NetworkFirewall.2] 應啟用 Network Firewall 日誌記錄

• [NetworkFirewall.3] Network Firewall 策略應至少有一個關聯的規則組

• [NetworkFirewall.4] 對於完整封包，Network Firewall 策略的預設無狀態處理行動應為捨棄或轉送

• [NetworkFirewall.5] 對於分散式封包，Network Firewall 策略的預設無狀態處理行動應該是捨棄或轉送

• [NetworkFirewall.6] 無狀態 Network Firewall 規則群組不應為空

• [NetworkFirewall.9] Network Firewall 防火牆應啟用刪除保護

• OpenSearch 網域應該已啟用靜態加密

• [打開搜索 .2] OpenSearch 域名不應該是可公開訪問的

• OpenSearch 網域應該加密節點之間傳送的資料

• 應該啟用 OpenSearch 網域錯誤記錄到 CloudWatch 記錄

• OpenSearch 網域應該已啟用稽核記錄

• OpenSearch 網域應該至少有三個資料節點

• OpenSearch 網域應該啟用精細的存取控制

• 應使用最新的安全策略加密與 OpenSearch 域的連接 TLS

• [打開搜索 .9] OpenSearch 域名應該被標記

• OpenSearch 網域應該已安裝最新的軟體更新

• OpenSearch 網域至少應該有三個專用的主節點

• [RDS.1] RDS 快照應該是私有的

• [RDS.3] RDS 數據庫實例應啟用靜態加密

• [RDS.7] RDS 叢集應啟用刪除保護

• [RDS.12] 應為RDS叢集設定IAM驗證

• [RDS.14] Amazon Aurora 叢集應啟用回溯

• [RDS.15] 應為多個可用區域設定資RDS料庫叢集

• [RDS.24] RDS 資料庫叢集應使用自訂管理員使用者名稱

• [RDS.26] RDS 資料庫執行個體應受到備份計劃的保護

• [RDS.27] RDS 資料庫叢集應在靜態時加密

• [RDS.31] 應標記RDS資料庫安全群組

• [RDS.34] Aurora 我的SQL資料庫叢集應將稽核記錄發佈到 CloudWatch 記錄

• [RDS.35] RDS 資料庫叢集應啟用自動次要版本升級

• [紅移 .12] 應標記 Redshift 事件通知訂閱

• [路線 53.1] 應標記 53 號路線健康檢查

• [路線 53.2] 路線 53 公共託管區域應記錄查詢 DNS

• [S3.14] S3 一般用途儲存貯體應啟用版本控制

• [S3.15] S3 一般用途儲存貯體應啟用物件鎖定

• [SageMaker.1] Amazon SageMaker 筆記本實例不應該直接訪問互聯網

• [SageMaker.2] SageMaker 筆記本實例應以自定義方式啟動 VPC

• [SageMaker.3] 用戶不應該擁有對 SageMaker 筆記本實例的 root 訪問權限

• [SES.1] 應標記SES聯繫人列表

• [SES.2] SES 配置集應標記

• [SNS.1] SNS 主題應該使用靜態加密 AWS KMS

• [SQS.1] Amazon SQS 隊列應該在靜態時加密

• [SQS.2] SQS 隊列應該被標記

• [SSM.2] 由系統管理員管理的 Amazon EC2 執行個體在安裝修補程式COMPLIANT後，修補程式合規狀態應為

• [SSM.3] 由系統管理器管理的 Amazon EC2 執行個體應具有的關聯合規性狀態為 COMPLIANT

• [SSM.4] SSM 文件不應公開

• [StepFunctions.1] Step Functions 狀態機應該打開日誌記錄

• [StepFunctions.2] Step Functions 活動應標記

• [WAF1] AWS WAF 應啟用傳統全域網頁ACL記錄

• [WAF.6] AWS WAF 傳統全域規則應至少有一個條件

• [WAF.7] AWS WAF 傳統全域規則群組至少應有一個規則

• [WAF.8] AWS WAF 傳統全域 Web 至少ACLs應該有一個規則或規則群組

• [WAF.11] AWS WAF 應ACL啟用網頁記錄

• [WorkSpaces.1] WorkSpaces 使用者磁碟區應在靜態時加密

• [WorkSpaces.2] WorkSpaces 根磁碟區應在靜態時加密

亞太區域 (大阪)

亞太區域 (大阪) 不支援下列控制項。

• [ACM.1] 進口和ACM簽發的證書應在指定的時間段後續期

• [帳戶 2] AWS 帳戶 應該是 AWS Organizations 組織

• [APIGateway.1] 應啟用API網關REST和 WebSocket API執行記錄

• [APIGateway.2] API 閘道RESTAPI階段應設定為使用SSL憑證進行後端驗證

• [APIGateway.3] API 網關RESTAPI階段應該有 AWS X-Ray 已啟用追蹤

• [APIGateway.4] API 網關應該與網絡關聯 WAF ACL

• [自動擴展 .5] 使用 Auto Scaling 群組啟動組態啟動的 Amazon EC2 執行個體不應具有公有 IP 地址

• [Backup 1] AWS Backup 復原點應在靜態時加密

• [Backup 4] AWS Backup 報告計劃應加上標籤

• [CloudFront.1] CloudFront 發行版應該配置一個默認的根對象

• [CloudFront.3] CloudFront 發行版在傳輸過程中應該需要加密

• [CloudFront.4] CloudFront 發行版應該配置原始容錯移轉

• [CloudFront.5] CloudFront 發行版應啟用日誌記錄

• [CloudFront.6] CloudFront 發行版應該已WAF啟用

• [CloudFront.7] CloudFront 發行版應使用自訂SSL/憑證 TLS

• [CloudFront.8] CloudFront 發行版應用SNI於服務HTTPS請求

• [CloudFront.9] CloudFront 發行版應該加密到自定義來源的流量

• [CloudFront.10] CloudFront 發行版不應在邊緣位置和自定義來源之間使用棄用的SSL協議

• [CloudFront.12] CloudFront 發行版不應指向不存在的 S3 來源

• [CloudFront.13] CloudFront 發行版應使用源訪問控制

• [CloudFront.14] CloudFront 分佈應標記

• [CloudWatch.15] CloudWatch 警報應設定指定的動作

• [CloudWatch.16] CloudWatch 記錄群組應保留一段指定的時間

• [CodeArtifact.1] CodeArtifact 存儲庫應該被標記

• [CodeBuild.3] CodeBuild S3 日誌應加密

• [CodeBuild.4] CodeBuild 項目環境應該有一個日誌記錄 AWS Config成熟

• [Detective .1] Detective 行為圖應該被標記

• [DMS.7] 目標資料庫的DMS複寫任務應啟用記錄

• [DMS.8] 來源資料庫的DMS複寫任務應啟用記錄

• [DMS.10] Neptune 資料庫的DMS端點應啟用IAM授權

• [文件 DB.1] Amazon DocumentDB 叢集應在靜態時加密

• [文件 DB.2] Amazon DocumentDB 叢集應該有足夠的備份保留期

• [文件 DB.3] 亞馬遜 DocumentDB 手動叢集快照不應該是公開的

• [文件 DB.4] Amazon DocumentDB 叢集應將稽核日誌發佈到日誌 CloudWatch

• [文件 DB.5] 亞馬遜 DocumentDB 叢集應啟用刪除保護

• [動態 DynamoDB] 資料表應該已啟用復原 point-in-time

• [DynamoDB 加速器 (DAX) 叢集應在靜 DynamoDB 時加密

• 備份計劃中應該有 DynamoDB 資料表

• [DynamoDB 加速器叢集在傳輸過程中應加密

• [EC2.1] Amazon EBS 快照不應該公開還原

• [EC2.3] 附加的 Amazon EBS 卷應該靜態加密

• [EC2.4] 停止的EC2實例應在指定時間段後刪除

• [EC2.7] 應啟用EBS默認加密

• [EC2.8] EC2 執行個體應該使用執行個體中繼資料服務版本 2 () IMDSv2

• [EC2.9] Amazon EC2 實例不應該有公共IPv4地址

• [EC2.10] Amazon EC2 應該配置為使用為 Amazon EC2 服務創建的VPC端點

• [EC2.13] 安全性群組不應允許從 0.0.0/0 或:: /0 輸入連接埠 22

• [EC2.14] 安全性群組不應允許從 0.0.0.0/0 或:/0 輸入至連接埠 3389

• [EC2.15] Amazon EC2 子網路不應自動分配公有 IP 地址

• [EC2.16] 應移除未使用的網路存取控制清單

• [EC2.17] Amazon EC2 實例不應使用多個 ENIs

• [EC2.18] 安全群組只應允許授權連接埠不受限制的傳入流量

• [EC2.20] 兩VPN條隧道為一個 AWS 站點到站點VPN連接應該已啟動

• [EC2.22] 應移除未使用的 Amazon EC2 安全群組

• [EC2.23] Amazon EC2 交通閘道不應自動接受VPC附件請求

• [EC2.24] 不應使用 Amazon EC2 半虛擬實例類型

• [EC2.28] 備份計劃應涵蓋EBS磁碟區

• [EC2.51] EC2 用戶VPN端端點應該已啟用用戶端連線記錄

• [ECR.1] ECR 私有存儲庫應配置圖像掃描

• [ECR.2] ECR 私有存儲庫應該配置標籤不變性

• [ECR.4] 應標記ECR公共存儲庫

• [ECS.1] Amazon ECS 任務定義應具有安全的聯網模式和使用者定義。

• [ECS.3] ECS 任務定義不應共享主機的進程名稱空間

• [ECS.4] ECS 容器應該以非特權運行

• [ECS.8] 秘密不應作為容器環境變量傳遞

• [ECS.9] ECS 任務定義應該有一個日誌記錄配置

• [ECS.10] ECS Fargate 服務應該在最新的 Fargate 平台版本上運行

• [ECS.12] ECS 叢集應使用容器深入解析

• [EFS.1] 應將彈性文件系統配置為使用以加密靜態文件數據 AWS KMS

• [EFS.2] Amazon EFS 卷應該在備份計劃中

• [EKS.2] EKS 叢集應在受支援的 Kubernetes 版本上執行

• [ELB.1] 應配置應 Application Load Balancer 以將所有HTTP請求重定向到 HTTPS

• [ELB.2] 帶有/監聽器的經典負載平衡SSL器HTTPS應該使用提供的證書使用 AWS Certificate Manager

• [ELB.3] Classic Load Balancer 偵聽器應配置HTTPS或TLS終止

• [ELB.4] 應將應 Application Load Balancer 設定為刪除 http 標頭

• [ELB.6] 應用程式、閘道和網路負載平衡器應啟用刪除保護

• [ELB.8] 帶有SSL偵聽器的傳統負載平衡器應使用具有強大功能的預定義安全策略 AWS Config成熟

• [ELB.9] 傳統負載平衡器應啟用跨區域負載平衡

• [ELB.16] 應用程式負載平衡器應與 AWS WAF 網頁 ACL

• [ElastiCache.1] ElastiCache （RedisOSS）集群應啟用自動備份

• [ElastiCache.7] ElastiCache (RedisOSS) 叢集不應使用預設的子網路群組

• [ElasticBeanstalk.1] Elastic Beanstalk 環境應啟用增強的健康報告

• [ElasticBeanstalk2] 應啟用 Elastic Beanstalk 管理平台更新

• [ElasticBeanstalk.3] Elastic Beanstalk 應該將日誌流式傳輸到 CloudWatch

• [EMR.1] Amazon EMR 叢集主節點不應具有公有 IP 地址

• [ES.1] 彈性搜尋網域應啟用靜態加密

• [E.3] 彈性搜尋網域應加密節點之間傳送的資料

• [FSx.1] FSx 對於打開ZFS文件系統，應配置為將標籤複製到備份和卷

• [GlobalAccelerator.1] 應標記全局加速器加速器

• [IAM.4] IAM 根用戶訪問密鑰不應存在

• [IAM.18] 確保已建立支援角色來管理事件 AWS Support

• [IAM.21] 您建立的IAM客戶管理策略不應允許對服務執行萬用字元動作

• [IAM.26] 已過期SSL/IAM應移除中管理的TLS憑證

• [檢查器 .3] 應啟用亞馬遜 Inspector Lambda 代碼掃描

• [IoT 1] AWS IoT Device Defender 應標記安全性設定檔

• [IoT 2] AWS IoT Core 緩解措施應標記

• [IoT 3] AWS IoT Core 尺寸應該被標記

• [IoT .4] AWS IoT Core 授權者應該被標記

• [IoT .5] AWS IoT Core 角色別名應該被標記

• [IoT .6] AWS IoT Core 應標記策略

• [Kinesis.1] Kinesis 串流應在靜態時加密

• [KMS.1] IAM 客戶管理策略不應允許對所有密KMS鑰進行解密操作

• [KMS.2] IAM 主體不應具有允許對所有KMS金鑰進行解密動作的IAM內嵌政策

• [Lambda 1] Lambda 函數政策應該禁止公共訪問

• [Lambda 2] Lambda 函數應該使用受支援的執行階段

• [Lambda 3] Lambda 函數應該在一個 VPC

• [Lambda .5] VPC Lambda 函數應該在多個可用區域中運作

• [Neptune .1] Neptune 資料庫叢集在靜態時應加密

• [Neptune .2] Neptune 資料庫叢集應將稽核記錄發佈至記錄 CloudWatch

• [Neptune .3] Neptune DB 叢集快照不應該是公開的

• [Neptune .4] Neptune 資料庫叢集應啟用刪除保護

• [Neptune .5] Neptune 資料庫叢集應啟用自動備份

• [Neptune .6] Neptune 資料庫叢集快照在靜態時應加密

• [Neptune .7] Neptune 資料庫叢集應啟用資料庫驗IAM證

• [Neptune .8] 應將 Neptune 資料庫叢集設定為將標籤複製到快照

• [Neptune .9] Neptune 資料庫叢集應部署在多個可用區域

• OpenSearch 網域應該已啟用靜態加密

• [打開搜索 .2] OpenSearch 域名不應該是可公開訪問的

• OpenSearch 網域應該加密節點之間傳送的資料

• 應該啟用 OpenSearch 網域錯誤記錄到 CloudWatch 記錄

• OpenSearch 網域應該已啟用稽核記錄

• OpenSearch 網域應該至少有三個資料節點

• OpenSearch 網域應該啟用精細的存取控制

• 應使用最新的安全策略加密與 OpenSearch 域的連接 TLS

• [RDS.1] RDS 快照應該是私有的

• [RDS.4] RDS 叢集快照集和資料庫快照集應在靜態時加密

• [RDS.6] 應為RDS資料庫執行個體設定增強型監控

• [RDS.7] RDS 叢集應啟用刪除保護

• [RDS.8] RDS 資料庫執行個體應啟用刪除保護

• [RDS.9] RDS 資料庫執行個體應該將日誌發佈到 CloudWatch 日誌

• [RDS.10] 應為實例RDS配置IAM身份驗證

• [RDS.12] 應為RDS叢集設定IAM驗證

• [RDS.13] 應啟用RDS自動次要版本升級

• [RDS.14] Amazon Aurora 叢集應啟用回溯

• [RDS.15] 應為多個可用區域設定資RDS料庫叢集

• [RDS.26] RDS 資料庫執行個體應受到備份計劃的保護

• [RDS.31] 應標記RDS資料庫安全群組

• [RDS.35] RDS 資料庫叢集應啟用自動次要版本升級

• [紅移 2] 與亞馬遜 Redshift 叢集的連接應在傳輸過程中進行加密

• [紅移 3] 亞馬遜 Redshift 集群應啟用自動快照

• [紅移 .7] Redshift 叢集應該使用增強型路由 VPC

• [紅移 .10] Redshift 叢集在靜態時應加密

• [路線 53.1] 應標記 53 號路線健康檢查

• [路線 53.2] 路線 53 公共託管區域應記錄查詢 DNS

• [S3.8] S3 通用存儲桶應阻止公共訪問

• [S3.15] S3 一般用途儲存貯體應啟用物件鎖定

• [S3.17] S3 一般用途儲存貯體在靜態時應使用 AWS KMS keys

• [SageMaker.1] Amazon SageMaker 筆記本實例不應該直接訪問互聯網

• [SNS.1] SNS 主題應該使用靜態加密 AWS KMS

• [SSM.2] 由系統管理員管理的 Amazon EC2 執行個體在安裝修補程式COMPLIANT後，修補程式合規狀態應為

• [SSM.3] 由系統管理器管理的 Amazon EC2 執行個體應具有的關聯合規性狀態為 COMPLIANT

• [WAF1] AWS WAF 應啟用傳統全域網頁ACL記錄

• [WAF3] AWS WAF 傳統區域規則群組至少應該有一個規則

• [WAF.6] AWS WAF 傳統全域規則應至少有一個條件

• [WAF.7] AWS WAF 傳統全域規則群組至少應有一個規則

• [WAF.8] AWS WAF 傳統全域 Web 至少ACLs應該有一個規則或規則群組

• [WAF.10] AWS WAF web ACLs 應該至少有一個規則或規則群組

• [WAF.11] AWS WAF 應ACL啟用網頁記錄

• [WorkSpaces.1] WorkSpaces 使用者磁碟區應在靜態時加密

• [WorkSpaces.2] WorkSpaces 根磁碟區應在靜態時加密

亞太區域 (首爾)

亞太區域 (首爾) 不支援下列控制項。

• [CloudFront.1] CloudFront 發行版應該配置一個默認的根對象

• [CloudFront.3] CloudFront 發行版在傳輸過程中應該需要加密

• [CloudFront.4] CloudFront 發行版應該配置原始容錯移轉

• [CloudFront.5] CloudFront 發行版應啟用日誌記錄

• [CloudFront.6] CloudFront 發行版應該已WAF啟用

• [CloudFront.7] CloudFront 發行版應使用自訂SSL/憑證 TLS

• [CloudFront.8] CloudFront 發行版應用SNI於服務HTTPS請求

• [CloudFront.9] CloudFront 發行版應該加密到自定義來源的流量

• [CloudFront.10] CloudFront 發行版不應在邊緣位置和自定義來源之間使用棄用的SSL協議

• [CloudFront.12] CloudFront 發行版不應指向不存在的 S3 來源

• [CloudFront.13] CloudFront 發行版應使用源訪問控制

• [CloudFront.14] CloudFront 分佈應標記

• [CodeArtifact.1] CodeArtifact 存儲庫應該被標記

• [DynamoDB 加速器 (DAX) 叢集應在靜 DynamoDB 時加密

• [DynamoDB 加速器叢集在傳輸過程中應加密

• [EC2.24] 不應使用 Amazon EC2 半虛擬實例類型

• [ECR.4] 應標記ECR公共存儲庫

• [GlobalAccelerator.1] 應標記全局加速器加速器

• [IAM.26] 已過期SSL/IAM應移除中管理的TLS憑證

• [檢查器 .3] 應啟用亞馬遜 Inspector Lambda 代碼掃描

• [RDS.31] 應標記RDS資料庫安全群組

• [路線 53.1] 應標記 53 號路線健康檢查

• [路線 53.2] 路線 53 公共託管區域應記錄查詢 DNS

• [WAF1] AWS WAF 應啟用傳統全域網頁ACL記錄

• [WAF.6] AWS WAF 傳統全域規則應至少有一個條件

• [WAF.7] AWS WAF 傳統全域規則群組至少應有一個規則

• [WAF.8] AWS WAF 傳統全域 Web 至少ACLs應該有一個規則或規則群組

亞太區域 (新加坡)

亞太區域 (新加坡) 不支援下列控制項。

• [CloudFront.1] CloudFront 發行版應該配置一個默認的根對象

• [CloudFront.3] CloudFront 發行版在傳輸過程中應該需要加密

• [CloudFront.4] CloudFront 發行版應該配置原始容錯移轉

• [CloudFront.5] CloudFront 發行版應啟用日誌記錄

• [CloudFront.6] CloudFront 發行版應該已WAF啟用

• [CloudFront.7] CloudFront 發行版應使用自訂SSL/憑證 TLS

• [CloudFront.8] CloudFront 發行版應用SNI於服務HTTPS請求

• [CloudFront.9] CloudFront 發行版應該加密到自定義來源的流量

• [CloudFront.10] CloudFront 發行版不應在邊緣位置和自定義來源之間使用棄用的SSL協議

• [CloudFront.12] CloudFront 發行版不應指向不存在的 S3 來源

• [CloudFront.13] CloudFront 發行版應使用源訪問控制

• [CloudFront.14] CloudFront 分佈應標記

• [ECR.4] 應標記ECR公共存儲庫

• [GlobalAccelerator.1] 應標記全局加速器加速器

• [IAM.26] 已過期SSL/IAM應移除中管理的TLS憑證

• [路線 53.1] 應標記 53 號路線健康檢查

• [路線 53.2] 路線 53 公共託管區域應記錄查詢 DNS

• [WAF1] AWS WAF 應啟用傳統全域網頁ACL記錄

• [WAF.6] AWS WAF 傳統全域規則應至少有一個條件

• [WAF.7] AWS WAF 傳統全域規則群組至少應有一個規則

• [WAF.8] AWS WAF 傳統全域 Web 至少ACLs應該有一個規則或規則群組

亞太區域 (悉尼)

亞太區域 (雪梨) 不支援下列控制項。

• [CloudFront.1] CloudFront 發行版應該配置一個默認的根對象

• [CloudFront.3] CloudFront 發行版在傳輸過程中應該需要加密

• [CloudFront.4] CloudFront 發行版應該配置原始容錯移轉

• [CloudFront.5] CloudFront 發行版應啟用日誌記錄

• [CloudFront.6] CloudFront 發行版應該已WAF啟用

• [CloudFront.7] CloudFront 發行版應使用自訂SSL/憑證 TLS

• [CloudFront.8] CloudFront 發行版應用SNI於服務HTTPS請求

• [CloudFront.9] CloudFront 發行版應該加密到自定義來源的流量

• [CloudFront.10] CloudFront 發行版不應在邊緣位置和自定義來源之間使用棄用的SSL協議

• [CloudFront.12] CloudFront 發行版不應指向不存在的 S3 來源

• [CloudFront.13] CloudFront 發行版應使用源訪問控制

• [CloudFront.14] CloudFront 分佈應標記

• [ECR.4] 應標記ECR公共存儲庫

• [GlobalAccelerator.1] 應標記全局加速器加速器

• [IAM.26] 已過期SSL/IAM應移除中管理的TLS憑證

• [路線 53.1] 應標記 53 號路線健康檢查

• [路線 53.2] 路線 53 公共託管區域應記錄查詢 DNS

• [WAF1] AWS WAF 應啟用傳統全域網頁ACL記錄

• [WAF.6] AWS WAF 傳統全域規則應至少有一個條件

• [WAF.7] AWS WAF 傳統全域規則群組至少應有一個規則

• [WAF.8] AWS WAF 傳統全域 Web 至少ACLs應該有一個規則或規則群組

亞太區域 (東京)

亞太區域 (東京) 不支援下列控制項。

• [CloudFront.1] CloudFront 發行版應該配置一個默認的根對象

• [CloudFront.3] CloudFront 發行版在傳輸過程中應該需要加密

• [CloudFront.4] CloudFront 發行版應該配置原始容錯移轉

• [CloudFront.5] CloudFront 發行版應啟用日誌記錄

• [CloudFront.6] CloudFront 發行版應該已WAF啟用

• [CloudFront.7] CloudFront 發行版應使用自訂SSL/憑證 TLS

• [CloudFront.8] CloudFront 發行版應用SNI於服務HTTPS請求

• [CloudFront.9] CloudFront 發行版應該加密到自定義來源的流量

• [CloudFront.10] CloudFront 發行版不應在邊緣位置和自定義來源之間使用棄用的SSL協議

• [CloudFront.12] CloudFront 發行版不應指向不存在的 S3 來源

• [CloudFront.13] CloudFront 發行版應使用源訪問控制

• [CloudFront.14] CloudFront 分佈應標記

• [ECR.4] 應標記ECR公共存儲庫

• [GlobalAccelerator.1] 應標記全局加速器加速器

• [IAM.26] 已過期SSL/IAM應移除中管理的TLS憑證

• [路線 53.1] 應標記 53 號路線健康檢查

• [路線 53.2] 路線 53 公共託管區域應記錄查詢 DNS

• [WAF1] AWS WAF 應啟用傳統全域網頁ACL記錄

• [WAF.6] AWS WAF 傳統全域規則應至少有一個條件

• [WAF.7] AWS WAF 傳統全域規則群組至少應有一個規則

• [WAF.8] AWS WAF 傳統全域 Web 至少ACLs應該有一個規則或規則群組

加拿大 (中部)

加拿大 (中部) 不支援下列控制項。

• [CloudFront.1] CloudFront 發行版應該配置一個默認的根對象

• [CloudFront.3] CloudFront 發行版在傳輸過程中應該需要加密

• [CloudFront.4] CloudFront 發行版應該配置原始容錯移轉

• [CloudFront.5] CloudFront 發行版應啟用日誌記錄

• [CloudFront.6] CloudFront 發行版應該已WAF啟用

• [CloudFront.7] CloudFront 發行版應使用自訂SSL/憑證 TLS

• [CloudFront.8] CloudFront 發行版應用SNI於服務HTTPS請求

• [CloudFront.9] CloudFront 發行版應該加密到自定義來源的流量

• [CloudFront.10] CloudFront 發行版不應在邊緣位置和自定義來源之間使用棄用的SSL協議

• [CloudFront.12] CloudFront 發行版不應指向不存在的 S3 來源

• [CloudFront.13] CloudFront 發行版應使用源訪問控制

• [CloudFront.14] CloudFront 分佈應標記

• [CodeArtifact.1] CodeArtifact 存儲庫應該被標記

• [DynamoDB 加速器 (DAX) 叢集應在靜 DynamoDB 時加密

• [DynamoDB 加速器叢集在傳輸過程中應加密

• [EC2.24] 不應使用 Amazon EC2 半虛擬實例類型

• [ECR.4] 應標記ECR公共存儲庫

• [GlobalAccelerator.1] 應標記全局加速器加速器

• [IAM.26] 已過期SSL/IAM應移除中管理的TLS憑證

• [檢查器 .3] 應啟用亞馬遜 Inspector Lambda 代碼掃描

• [RDS.31] 應標記RDS資料庫安全群組

• [路線 53.1] 應標記 53 號路線健康檢查

• [路線 53.2] 路線 53 公共託管區域應記錄查詢 DNS

• [WAF1] AWS WAF 應啟用傳統全域網頁ACL記錄

• [WAF.6] AWS WAF 傳統全域規則應至少有一個條件

• [WAF.7] AWS WAF 傳統全域規則群組至少應有一個規則

• [WAF.8] AWS WAF 傳統全域 Web 至少ACLs應該有一個規則或規則群組

中國 (北京)

中國 (北京) 不支援下列控制項。

• [ACM.1] 進口和ACM簽發的證書應在指定的時間段後續期

• [ACM.2] 管理的RSA證書ACM應使用至少 2,048 位的密鑰長度

• [ACM.3] 應標記ACM證書

• [帳戶 2] AWS 帳戶 應該是 AWS Organizations 組織

• [APIGateway.2] API 閘道RESTAPI階段應設定為使用SSL憑證進行後端驗證

• [APIGateway.3] API 網關RESTAPI階段應該有 AWS X-Ray 已啟用追蹤

• [APIGateway.4] API 網關應該與網絡關聯 WAF ACL

• [AppSync.4] AWS AppSync GraphQL APIs 應該被標記

• [Athena。2] Athena 資料目錄應加上標籤

• [Athena .3] Athena 工作組應該被標記

• [AutoScaling.10] 應標記 EC2 Auto Scaling 組

• [Backup 1] AWS Backup 復原點應在靜態時加密

• [Backup。2] AWS Backup 應標記恢復點

• [Backup 3] AWS Backup 儲存庫應加上標籤

• [Backup 4] AWS Backup 報告計劃應加上標籤

• [Backup .5] AWS Backup 備份計劃應加上標籤

• [CloudFormation.2] 應該標記 CloudFormation 堆棧

• [CloudFront.1] CloudFront 發行版應該配置一個默認的根對象

• [CloudFront.3] CloudFront 發行版在傳輸過程中應該需要加密

• [CloudFront.4] CloudFront 發行版應該配置原始容錯移轉

• [CloudFront.5] CloudFront 發行版應啟用日誌記錄

• [CloudFront.6] CloudFront 發行版應該已WAF啟用

• [CloudFront.7] CloudFront 發行版應使用自訂SSL/憑證 TLS

• [CloudFront.8] CloudFront 發行版應用SNI於服務HTTPS請求

• [CloudFront.9] CloudFront 發行版應該加密到自定義來源的流量

• [CloudFront.10] CloudFront 發行版不應在邊緣位置和自定義來源之間使用棄用的SSL協議

• [CloudFront.13] CloudFront 發行版應使用源訪問控制

• [CloudFront.14] CloudFront 分佈應標記

• [CloudTrail.9] CloudTrail 小徑應該被標記

• [CloudWatch.15] CloudWatch 警報應設定指定的動作

• [CloudWatch.16] CloudWatch 記錄群組應保留一段指定的時間

• [CodeArtifact.1] CodeArtifact 存儲庫應該被標記

• [DataFirehose.1] Firehose 交付流應在靜態時加密

• [Detective .1] Detective 行為圖應該被標記

• [DMS.2] 應標記DMS證書

• [DMS.3] 應標記DMS事件訂閱

• [DMS.4] 應標記DMS複製實例

• [DMS.5] DMS 複製子網路群組應加上標籤

• [DMS.10] Neptune 資料庫的DMS端點應啟用IAM授權

• [DMS.11] MongoDB 的DMS端點應該啟用一個身份驗證機制

• [DMS.12] Redis 的DMS端點OSS應該已啟用 TLS

• [文件 DB.1] Amazon DocumentDB 叢集應在靜態時加密

• [文件 DB.2] Amazon DocumentDB 叢集應該有足夠的備份保留期

• [文件 DB.3] 亞馬遜 DocumentDB 手動叢集快照不應該是公開的

• [文件 DB.4] Amazon DocumentDB 叢集應將稽核日誌發佈到日誌 CloudWatch

• [文件 DB.5] 亞馬遜 DocumentDB 叢集應啟用刪除保護

• [DynamoDB 加速器 (DAX) 叢集應在靜 DynamoDB 時加密

• 備份計劃中應該有 DynamoDB 資料表

• [動態 B] 應標記動態資料表

• [DynamoDB 加速器叢集在傳輸過程中應加密

• [EC2.15] Amazon EC2 子網路不應自動分配公有 IP 地址

• [EC2.16] 應移除未使用的網路存取控制清單

• [EC2.20] 兩VPN條隧道為一個 AWS 站點到站點VPN連接應該已啟動

• [EC2.22] 應移除未使用的 Amazon EC2 安全群組

• [EC2.23] Amazon EC2 交通閘道不應自動接受VPC附件請求

• [EC2.28] 備份計劃應涵蓋EBS磁碟區

• [EC2.33] 應標記EC2運輸閘道附件

• [EC2.34] 應標記公EC2交網關路由表

• [EC2.35] EC2 網絡接口應該被標記

• [EC2.36] 應標記EC2客戶閘道

• [EC2.37] 應標記EC2彈性 IP 位址

• [EC2.38] 應標記EC2實例

• [EC2.39] 應標記EC2互聯網閘道

• [EC2.40] EC2 NAT 網關應該被標記

• [EC2.41] EC2 網絡ACLs應該被標記

• [EC2.42] EC2 路由表應標記

• [EC2.43] 應標記EC2安全群組

• [EC2.44] EC2 子網應該被標記

• [EC2.45] EC2 磁碟區應標記

• [EC2.46] Amazon VPCs 應該被標記

• [EC2.47] 應標記 Amazon VPC 端點服務

• [EC2.48] 應標記 Amazon VPC 流程日誌

• [EC2.49] 應標VPC記 Amazon 對等連接

• [EC2.50] EC2 VPN 網關應該被標記

• [EC2.51] EC2 用戶VPN端端點應該已啟用用戶端連線記錄

• [EC2.52] EC2 運輸閘道應標記

• [EC2.53] EC2 安全性群組不應允許從 0.0.0/0 輸入到遠端伺服器管理連接埠

• [EC2.54] EC2 安全性群組不應允許從:: /0 輸入至遠端伺服器管理連接埠

• [ECR.1] ECR 私有存儲庫應配置圖像掃描

• [ECR.4] 應標記ECR公共存儲庫

• [ECS.1] Amazon ECS 任務定義應具有安全的聯網模式和使用者定義。

• [ECS.13] ECS 服務應該被標記

• [ECS.14] ECS 叢集應加上標記

• [ECS.15] ECS 任務定義應該被標記

• [EFS.5] EFS 接入點應標記

• [EFS.6] EFS 掛載目標不應與公共子網關聯

• [EKS.3] EKS 叢集應使用加密的 Kubernetes 秘密

• [EKS.6] EKS 叢集應標記

• [EKS.7] 應標記EKS身份提供程序配置

• [ELB.2] 帶有/監聽器的經典負載平衡SSL器HTTPS應該使用提供的證書使用 AWS Certificate Manager

• [ELB.16] 應用程式負載平衡器應與 AWS WAF 網頁 ACL

• [ElastiCache.1] ElastiCache （RedisOSS）集群應啟用自動備份

• [ElasticBeanstalk.1] Elastic Beanstalk 環境應啟用增強的健康報告

• [ElasticBeanstalk2] 應啟用 Elastic Beanstalk 管理平台更新

• [ElasticBeanstalk.3] Elastic Beanstalk 應該將日誌流式傳輸到 CloudWatch

• [EMR.2] 應啟用 Amazon EMR 塊公共訪問設置

• [E.3] 彈性搜尋網域應加密節點之間傳送的資料

• [ES.4] 應該啟用彈性搜索域錯誤日誌記錄到 CloudWatch 日誌

• [.9] 彈性搜索域應該被標記

• [EventBridge.2] EventBridge 活動總線應標記

• [EventBridge.4] EventBridge 全域端點應啟用事件複寫

• [FSx.1] FSx 對於打開ZFS文件系統，應配置為將標籤複製到備份和卷

• [FSx.2] FSx 對於 Lustre 文件系統，應配置為將標籤複製到備份

• [GlobalAccelerator.1] 應標記全局加速器加速器

• [膠水 1] AWS Glue 工作應該被標記

• [GuardDuty.1] GuardDuty 應該啟用

• [GuardDuty.2] GuardDuty 過濾器應標記

• [GuardDuty.3] GuardDuty IPSets 應該被標記

• [GuardDuty.4] 應標 GuardDuty 記探測器

• [GuardDuty.5] 應啟用 GuardDuty EKS稽核記錄監控

• [GuardDuty.6] 應啟用 GuardDuty Lambda 保護

• [GuardDuty.8] EC2 應啟用的 GuardDuty 惡意軟件防護

• [GuardDuty.9] 應 GuardDuty RDS啟用保護

• [GuardDuty.10] 應該啟用 GuardDuty S3 保護

• [IAM.6] 根用戶MFA應啟用硬件

• MFA應為 root 使用者啟用 [IAM.9]

• [IAM.21] 您建立的IAM客戶管理策略不應允許對服務執行萬用字元動作

• [IAM.23] 應標記IAM訪問分析儀分析儀

• [IAM.24] IAM 角色應該被標記

• [IAM.25] 應標記IAM用戶

• [IAM.26] 已過期SSL/IAM應移除中管理的TLS憑證

• [IAM.27] IAM 身份不應該附加 AWSCloudShellFullAccess 策略

• [IAM.28] IAM 訪問分析器外部訪問分析器應該啟用

• [檢查器 .1] 應啟用亞馬遜 Inspector EC2 掃描

• [檢查器 .2] 應啟用亞馬遜 Inspector ECR 掃描

• [檢查器 .3] 應啟用亞馬遜 Inspector Lambda 代碼掃描

• [檢查員 .4] 應啟用亞馬遜 Inspector Lambda 標準掃描

• [IoT 1] AWS IoT Device Defender 應標記安全性設定檔

• [IoT 2] AWS IoT Core 緩解措施應標記

• [IoT 3] AWS IoT Core 尺寸應該被標記

• [IoT .4] AWS IoT Core 授權者應該被標記

• [IoT .5] AWS IoT Core 角色別名應該被標記

• [IoT .6] AWS IoT Core 應標記策略

• [運動 .2] Kinesis 流應該被標記

• [Lambda .6] 應該標記 Lambda 函數

• [Macie.1] Amazon Macie 應該啟用

• [Macie.2] 應啟用 Macie 自動化敏感資料探索功能

• [MQ2] ActiveMQ 代理程式應該將稽核記錄串流至 CloudWatch

• [MQ.4] 應標記 Amazon MQ 經紀人

• [Neptune .1] Neptune 資料庫叢集在靜態時應加密

• [Neptune .2] Neptune 資料庫叢集應將稽核記錄發佈至記錄 CloudWatch

• [Neptune .3] Neptune DB 叢集快照不應該是公開的

• [Neptune .4] Neptune 資料庫叢集應啟用刪除保護

• [Neptune .5] Neptune 資料庫叢集應啟用自動備份

• [Neptune .6] Neptune 資料庫叢集快照在靜態時應加密

• [Neptune .7] Neptune 資料庫叢集應啟用資料庫驗IAM證

• [Neptune .8] 應將 Neptune 資料庫叢集設定為將標籤複製到快照

• [Neptune .9] Neptune 資料庫叢集應部署在多個可用區域

• [NetworkFirewall.1] Network Firewall 防火牆應跨多個可用區域部署

• [NetworkFirewall.2] 應啟用 Network Firewall 日誌記錄

• [NetworkFirewall.3] Network Firewall 策略應至少有一個關聯的規則組

• [NetworkFirewall.4] 對於完整封包，Network Firewall 策略的預設無狀態處理行動應為捨棄或轉送

• [NetworkFirewall.5] 對於分散式封包，Network Firewall 策略的預設無狀態處理行動應該是捨棄或轉送

• [NetworkFirewall.6] 無狀態 Network Firewall 規則群組不應為空

• [NetworkFirewall.7] 應標記 Network Firewall 防火牆

• [NetworkFirewall.8] 應標記 Network Firewall 防火牆策略

• [NetworkFirewall.9] Network Firewall 防火牆應啟用刪除保護

• OpenSearch 網域應該已啟用靜態加密

• [打開搜索 .2] OpenSearch 域名不應該是可公開訪問的

• OpenSearch 網域應該加密節點之間傳送的資料

• 應該啟用 OpenSearch 網域錯誤記錄到 CloudWatch 記錄

• OpenSearch 網域應該已啟用稽核記錄

• OpenSearch 網域應該至少有三個資料節點

• OpenSearch 網域應該啟用精細的存取控制

• 應使用最新的安全策略加密與 OpenSearch 域的連接 TLS

• [打開搜索 .9] OpenSearch 域名應該被標記

• OpenSearch 網域至少應該有三個專用的主節點

• [PCA1] AWS Private CA 應停用根憑證授權單位

• [RDS.7] RDS 叢集應啟用刪除保護

• [RDS.10] 應為實例RDS配置IAM身份驗證

• [RDS.12] 應為RDS叢集設定IAM驗證

• [RDS.13] 應啟用RDS自動次要版本升級

• [RDS.14] Amazon Aurora 叢集應啟用回溯

• [RDS.15] 應為多個可用區域設定資RDS料庫叢集

• [RDS.16] RDS 資料庫叢集應設定為將標籤複製到快照

• [RDS.24] RDS 資料庫叢集應使用自訂管理員使用者名稱

• [RDS.25] RDS 資料庫執行個體應使用自訂管理員使用者名稱

• [RDS.26] RDS 資料庫執行個體應受到備份計劃的保護

• [RDS.27] RDS 資料庫叢集應在靜態時加密

• [RDS.28] 應標記RDS資料庫叢集

• [RDS.29] 應標記RDS資料庫叢集快照

• [RDS.30] 應標記RDS資料庫執行個體

• [RDS.31] 應標記RDS資料庫安全群組

• [RDS.32] 應標記RDS資料庫快照

• [RDS.33] 應標記RDS資料庫子網路群組

• [RDS.34] Aurora 我的SQL資料庫叢集應將稽核記錄發佈到 CloudWatch 記錄

• [RDS.35] RDS 資料庫叢集應啟用自動次要版本升級

• [紅移 .7] Redshift 叢集應該使用增強型路由 VPC

• [紅移 .10] Redshift 叢集在靜態時應加密

• [紅移 .11] 應標記 Redshift 叢集

• [紅移 .12] 應標記 Redshift 事件通知訂閱

• [紅移 .13] 應標記 Redshift 叢集快照

• [紅移 .14] 應標記 Redshift 叢集子網路群組

• [Redshift.15] Redshift 安全性群組應該只允許來自受限來源的叢集連接埠進入

• [路線 53.1] 應標記 53 號路線健康檢查

• [路線 53.2] 路線 53 公共託管區域應記錄查詢 DNS

• [S3.1] S3 一般用途儲存貯體應啟用區塊公開存取設定

• [S3.8] S3 通用存儲桶應阻止公共訪問

• [S3.14] S3 一般用途儲存貯體應啟用版本控制

• [S3.22] S3 一般用途儲存貯體應記錄物件層級寫入事件

• [S3.23] S3 一般用途儲存貯體應記錄物件層級讀取事件

• [SageMaker.1] Amazon SageMaker 筆記本實例不應該直接訪問互聯網

• [SageMaker.4] SageMaker 端點生產變體的初始實例計數應該大於 1

• [SES.1] 應標記SES聯繫人列表

• [SES.2] SES 配置集應標記

• [SecretsManager.3] 刪除未使用的 Secrets Manager 秘密

• [SecretsManager.4] Secrets Manager 密鑰應在指定的天數內輪替

• [SecretsManager.5] Secrets Manager 秘密應該被標記

• [ServiceCatalog.1] Service Catalog 產品組合應在 AWS 僅限組織

• [SNS.3] SNS 主題應該被標記

• [SQS.2] SQS 隊列應該被標記

• [StepFunctions.2] Step Functions 活動應標記

• [轉移一] AWS Transfer Family 工作流程應加上標籤

• [Transfer.2] Transfer Family 服務器不應使用FTP協議進行端點連接

• [WAF1] AWS WAF 應啟用傳統全域網頁ACL記錄

• [WAF3] AWS WAF 傳統區域規則群組至少應該有一個規則

• [WAF.6] AWS WAF 傳統全域規則應至少有一個條件

• [WAF.7] AWS WAF 傳統全域規則群組至少應有一個規則

• [WAF.8] AWS WAF 傳統全域 Web 至少ACLs應該有一個規則或規則群組

• [WAF.11] AWS WAF 應ACL啟用網頁記錄

• [WorkSpaces.1] WorkSpaces 使用者磁碟區應在靜態時加密

• [WorkSpaces.2] WorkSpaces 根磁碟區應在靜態時加密

中國 (寧夏)

中國 (寧夏) 不支援下列控制項。

• [ACM.1] 進口和ACM簽發的證書應在指定的時間段後續期

• [ACM.2] 管理的RSA證書ACM應使用至少 2,048 位的密鑰長度

• [ACM.3] 應標記ACM證書

• [帳戶 2] AWS 帳戶 應該是 AWS Organizations 組織

• [APIGateway.2] API 閘道RESTAPI階段應設定為使用SSL憑證進行後端驗證

• [APIGateway.3] API 網關RESTAPI階段應該有 AWS X-Ray 已啟用追蹤

• [APIGateway.4] API 網關應該與網絡關聯 WAF ACL

• [AppSync.4] AWS AppSync GraphQL APIs 應該被標記

• [Athena。2] Athena 資料目錄應加上標籤

• [Athena .3] Athena 工作組應該被標記

• [AutoScaling.10] 應標記 EC2 Auto Scaling 組

• [Backup 1] AWS Backup 復原點應在靜態時加密

• [Backup。2] AWS Backup 應標記恢復點

• [Backup 3] AWS Backup 儲存庫應加上標籤

• [Backup 4] AWS Backup 報告計劃應加上標籤

• [Backup .5] AWS Backup 備份計劃應加上標籤

• [CloudFormation.2] 應該標記 CloudFormation 堆棧

• [CloudFront.1] CloudFront 發行版應該配置一個默認的根對象

• [CloudFront.3] CloudFront 發行版在傳輸過程中應該需要加密

• [CloudFront.4] CloudFront 發行版應該配置原始容錯移轉

• [CloudFront.5] CloudFront 發行版應啟用日誌記錄

• [CloudFront.6] CloudFront 發行版應該已WAF啟用

• [CloudFront.7] CloudFront 發行版應使用自訂SSL/憑證 TLS

• [CloudFront.8] CloudFront 發行版應用SNI於服務HTTPS請求

• [CloudFront.9] CloudFront 發行版應該加密到自定義來源的流量

• [CloudFront.10] CloudFront 發行版不應在邊緣位置和自定義來源之間使用棄用的SSL協議

• [CloudFront.12] CloudFront 發行版不應指向不存在的 S3 來源

• [CloudFront.13] CloudFront 發行版應使用源訪問控制

• [CloudFront.14] CloudFront 分佈應標記

• [CloudTrail.9] CloudTrail 小徑應該被標記

• [CloudWatch.15] CloudWatch 警報應設定指定的動作

• [CloudWatch.16] CloudWatch 記錄群組應保留一段指定的時間

• [CodeArtifact.1] CodeArtifact 存儲庫應該被標記

• [DataFirehose.1] Firehose 交付流應在靜態時加密

• [Detective .1] Detective 行為圖應該被標記

• [DMS.2] 應標記DMS證書

• [DMS.3] 應標記DMS事件訂閱

• [DMS.4] 應標記DMS複製實例

• [DMS.5] DMS 複製子網路群組應加上標籤

• [DMS.10] Neptune 資料庫的DMS端點應啟用IAM授權

• [DMS.11] MongoDB 的DMS端點應該啟用一個身份驗證機制

• [DMS.12] Redis 的DMS端點OSS應該已啟用 TLS

• [文件 DB.3] 亞馬遜 DocumentDB 手動叢集快照不應該是公開的

• [DynamoDB 加速器 (DAX) 叢集應在靜 DynamoDB 時加密

• 備份計劃中應該有 DynamoDB 資料表

• [動態 B] 應標記動態資料表

• [DynamoDB 加速器叢集在傳輸過程中應加密

• [EC2.15] Amazon EC2 子網路不應自動分配公有 IP 地址

• [EC2.16] 應移除未使用的網路存取控制清單

• [EC2.20] 兩VPN條隧道為一個 AWS 站點到站點VPN連接應該已啟動

• [EC2.22] 應移除未使用的 Amazon EC2 安全群組

• [EC2.23] Amazon EC2 交通閘道不應自動接受VPC附件請求

• [EC2.24] 不應使用 Amazon EC2 半虛擬實例類型

• [EC2.28] 備份計劃應涵蓋EBS磁碟區

• [EC2.33] 應標記EC2運輸閘道附件

• [EC2.34] 應標記公EC2交網關路由表

• [EC2.35] EC2 網絡接口應該被標記

• [EC2.36] 應標記EC2客戶閘道

• [EC2.37] 應標記EC2彈性 IP 位址

• [EC2.38] 應標記EC2實例

• [EC2.39] 應標記EC2互聯網閘道

• [EC2.40] EC2 NAT 網關應該被標記

• [EC2.41] EC2 網絡ACLs應該被標記

• [EC2.42] EC2 路由表應標記

• [EC2.43] 應標記EC2安全群組

• [EC2.44] EC2 子網應該被標記

• [EC2.45] EC2 磁碟區應標記

• [EC2.46] Amazon VPCs 應該被標記

• [EC2.47] 應標記 Amazon VPC 端點服務

• [EC2.48] 應標記 Amazon VPC 流程日誌

• [EC2.49] 應標VPC記 Amazon 對等連接

• [EC2.50] EC2 VPN 網關應該被標記

• [EC2.51] EC2 用戶VPN端端點應該已啟用用戶端連線記錄

• [EC2.52] EC2 運輸閘道應標記

• [ECR.1] ECR 私有存儲庫應配置圖像掃描

• [ECR.4] 應標記ECR公共存儲庫

• [ECS.1] Amazon ECS 任務定義應具有安全的聯網模式和使用者定義。

• [ECS.13] ECS 服務應該被標記

• [ECS.14] ECS 叢集應加上標記

• [ECS.15] ECS 任務定義應該被標記

• [EFS.3] EFS 訪問點應該強制執行根目錄

• [EFS.4] EFS 接入點應強制執行用戶身份

• [EFS.5] EFS 接入點應標記

• [EFS.6] EFS 掛載目標不應與公共子網關聯

• [EKS.3] EKS 叢集應使用加密的 Kubernetes 秘密

• [EKS.6] EKS 叢集應標記

• [EKS.7] 應標記EKS身份提供程序配置

• [ELB.2] 帶有/監聽器的經典負載平衡SSL器HTTPS應該使用提供的證書使用 AWS Certificate Manager

• [ELB.16] 應用程式負載平衡器應與 AWS WAF 網頁 ACL

• [ElastiCache.1] ElastiCache （RedisOSS）集群應啟用自動備份

• [ElasticBeanstalk.1] Elastic Beanstalk 環境應啟用增強的健康報告

• [ElasticBeanstalk2] 應啟用 Elastic Beanstalk 管理平台更新

• [ElasticBeanstalk.3] Elastic Beanstalk 應該將日誌流式傳輸到 CloudWatch

• [EMR.2] 應啟用 Amazon EMR 塊公共訪問設置

• [ES.1] 彈性搜尋網域應啟用靜態加密

• [E.3] 彈性搜尋網域應加密節點之間傳送的資料

• [ES.4] 應該啟用彈性搜索域錯誤日誌記錄到 CloudWatch 日誌

• [.9] 彈性搜索域應該被標記

• [EventBridge.2] EventBridge 活動總線應標記

• [EventBridge.4] EventBridge 全域端點應啟用事件複寫

• [FSx.1] FSx 對於打開ZFS文件系統，應配置為將標籤複製到備份和卷

• [FSx.2] FSx 對於 Lustre 文件系統，應配置為將標籤複製到備份

• [GlobalAccelerator.1] 應標記全局加速器加速器

• [膠水 1] AWS Glue 工作應該被標記

• [膠水 3] AWS Glue 機器學習轉換應在靜態時加密

• [GuardDuty.1] GuardDuty 應該啟用

• [GuardDuty.2] GuardDuty 過濾器應標記

• [GuardDuty.3] GuardDuty IPSets 應該被標記

• [GuardDuty.4] 應標 GuardDuty 記探測器

• [GuardDuty.5] 應啟用 GuardDuty EKS稽核記錄監控

• [GuardDuty.6] 應啟用 GuardDuty Lambda 保護

• [GuardDuty.8] EC2 應啟用的 GuardDuty 惡意軟件防護

• [GuardDuty.9] 應 GuardDuty RDS啟用保護

• [GuardDuty.10] 應該啟用 GuardDuty S3 保護

• [IAM.6] 根用戶MFA應啟用硬件

• MFA應為 root 使用者啟用 [IAM.9]

• [IAM.21] 您建立的IAM客戶管理策略不應允許對服務執行萬用字元動作

• [IAM.23] 應標記IAM訪問分析儀分析儀

• [IAM.24] IAM 角色應該被標記

• [IAM.25] 應標記IAM用戶

• [IAM.26] 已過期SSL/IAM應移除中管理的TLS憑證

• [IAM.27] IAM 身份不應該附加 AWSCloudShellFullAccess 策略

• [IAM.28] IAM 訪問分析器外部訪問分析器應該啟用

• [檢查器 .1] 應啟用亞馬遜 Inspector EC2 掃描

• [檢查器 .2] 應啟用亞馬遜 Inspector ECR 掃描

• [檢查器 .3] 應啟用亞馬遜 Inspector Lambda 代碼掃描

• [檢查員 .4] 應啟用亞馬遜 Inspector Lambda 標準掃描

• [IoT 1] AWS IoT Device Defender 應標記安全性設定檔

• [IoT 2] AWS IoT Core 緩解措施應標記

• [IoT 3] AWS IoT Core 尺寸應該被標記

• [IoT .4] AWS IoT Core 授權者應該被標記

• [IoT .5] AWS IoT Core 角色別名應該被標記

• [IoT .6] AWS IoT Core 應標記策略

• [運動 .2] Kinesis 流應該被標記

• [Lambda 1] Lambda 函數政策應該禁止公共訪問

• [Lambda 2] Lambda 函數應該使用受支援的執行階段

• [Lambda 3] Lambda 函數應該在一個 VPC

• [Lambda .5] VPC Lambda 函數應該在多個可用區域中運作

• [Lambda .6] 應該標記 Lambda 函數

• [Macie.1] Amazon Macie 應該啟用

• [Macie.2] 應啟用 Macie 自動化敏感資料探索功能

• [MQ2] ActiveMQ 代理程式應該將稽核記錄串流至 CloudWatch

• [MQ.4] 應標記 Amazon MQ 經紀人

• [Neptune .3] Neptune DB 叢集快照不應該是公開的

• [NetworkFirewall.1] Network Firewall 防火牆應跨多個可用區域部署

• [NetworkFirewall.2] 應啟用 Network Firewall 日誌記錄

• [NetworkFirewall.3] Network Firewall 策略應至少有一個關聯的規則組

• [NetworkFirewall.4] 對於完整封包，Network Firewall 策略的預設無狀態處理行動應為捨棄或轉送

• [NetworkFirewall.5] 對於分散式封包，Network Firewall 策略的預設無狀態處理行動應該是捨棄或轉送

• [NetworkFirewall.6] 無狀態 Network Firewall 規則群組不應為空

• [NetworkFirewall.7] 應標記 Network Firewall 防火牆

• [NetworkFirewall.8] 應標記 Network Firewall 防火牆策略

• [NetworkFirewall.9] Network Firewall 防火牆應啟用刪除保護

• OpenSearch 網域應該已啟用靜態加密

• [打開搜索 .2] OpenSearch 域名不應該是可公開訪問的

• OpenSearch 網域應該加密節點之間傳送的資料

• 應該啟用 OpenSearch 網域錯誤記錄到 CloudWatch 記錄

• OpenSearch 網域應該已啟用稽核記錄

• OpenSearch 網域應該至少有三個資料節點

• OpenSearch 網域應該啟用精細的存取控制

• 應使用最新的安全策略加密與 OpenSearch 域的連接 TLS

• [打開搜索 .9] OpenSearch 域名應該被標記

• OpenSearch 網域至少應該有三個專用的主節點

• [PCA1] AWS Private CA 應停用根憑證授權單位

• [RDS.7] RDS 叢集應啟用刪除保護

• [RDS.9] RDS 資料庫執行個體應該將日誌發佈到 CloudWatch 日誌

• [RDS.10] 應為實例RDS配置IAM身份驗證

• [RDS.12] 應為RDS叢集設定IAM驗證

• [RDS.13] 應啟用RDS自動次要版本升級

• [RDS.14] Amazon Aurora 叢集應啟用回溯

• [RDS.15] 應為多個可用區域設定資RDS料庫叢集

• [RDS.24] RDS 資料庫叢集應使用自訂管理員使用者名稱

• [RDS.25] RDS 資料庫執行個體應使用自訂管理員使用者名稱

• [RDS.26] RDS 資料庫執行個體應受到備份計劃的保護

• [RDS.28] 應標記RDS資料庫叢集

• [RDS.29] 應標記RDS資料庫叢集快照

• [RDS.30] 應標記RDS資料庫執行個體

• [RDS.31] 應標記RDS資料庫安全群組

• [RDS.32] 應標記RDS資料庫快照

• [RDS.33] 應標記RDS資料庫子網路群組

• [RDS.34] Aurora 我的SQL資料庫叢集應將稽核記錄發佈到 CloudWatch 記錄

• [RDS.35] RDS 資料庫叢集應啟用自動次要版本升級

• [紅移 3] 亞馬遜 Redshift 集群應啟用自動快照

• [紅移 .7] Redshift 叢集應該使用增強型路由 VPC

• [紅移 .10] Redshift 叢集在靜態時應加密

• [紅移 .11] 應標記 Redshift 叢集

• [紅移 .12] 應標記 Redshift 事件通知訂閱

• [紅移 .13] 應標記 Redshift 叢集快照

• [紅移 .14] 應標記 Redshift 叢集子網路群組

• [Redshift.15] Redshift 安全性群組應該只允許來自受限來源的叢集連接埠進入

• [路線 53.1] 應標記 53 號路線健康檢查

• [路線 53.2] 路線 53 公共託管區域應記錄查詢 DNS

• [S3.1] S3 一般用途儲存貯體應啟用區塊公開存取設定

• [S3.8] S3 通用存儲桶應阻止公共訪問

• [S3.14] S3 一般用途儲存貯體應啟用版本控制

• [SageMaker.1] Amazon SageMaker 筆記本實例不應該直接訪問互聯網

• [SageMaker.4] SageMaker 端點生產變體的初始實例計數應該大於 1

• [SES.1] 應標記SES聯繫人列表

• [SES.2] SES 配置集應標記

• [SecretsManager.3] 刪除未使用的 Secrets Manager 秘密

• [SecretsManager.4] Secrets Manager 密鑰應在指定的天數內輪替

• [SecretsManager.5] Secrets Manager 秘密應該被標記

• [ServiceCatalog.1] Service Catalog 產品組合應在 AWS 僅限組織

• [SNS.3] SNS 主題應該被標記

• [SQS.2] SQS 隊列應該被標記

• [StepFunctions.2] Step Functions 活動應標記

• [轉移一] AWS Transfer Family 工作流程應加上標籤

• [Transfer.2] Transfer Family 服務器不應使用FTP協議進行端點連接

• [WAF1] AWS WAF 應啟用傳統全域網頁ACL記錄

• [WAF3] AWS WAF 傳統區域規則群組至少應該有一個規則

• [WAF.6] AWS WAF 傳統全域規則應至少有一個條件

• [WAF.7] AWS WAF 傳統全域規則群組至少應有一個規則

• [WAF.8] AWS WAF 傳統全域 Web 至少ACLs應該有一個規則或規則群組

• [WAF.11] AWS WAF 應ACL啟用網頁記錄

歐洲 (法蘭克福)

歐洲 (法蘭克福) 不支援下列控制項。

• [CloudFront.1] CloudFront 發行版應該配置一個默認的根對象

• [CloudFront.3] CloudFront 發行版在傳輸過程中應該需要加密

• [CloudFront.4] CloudFront 發行版應該配置原始容錯移轉

• [CloudFront.5] CloudFront 發行版應啟用日誌記錄

• [CloudFront.6] CloudFront 發行版應該已WAF啟用

• [CloudFront.7] CloudFront 發行版應使用自訂SSL/憑證 TLS

• [CloudFront.8] CloudFront 發行版應用SNI於服務HTTPS請求

• [CloudFront.9] CloudFront 發行版應該加密到自定義來源的流量

• [CloudFront.10] CloudFront 發行版不應在邊緣位置和自定義來源之間使用棄用的SSL協議

• [CloudFront.12] CloudFront 發行版不應指向不存在的 S3 來源

• [CloudFront.13] CloudFront 發行版應使用源訪問控制

• [CloudFront.14] CloudFront 分佈應標記

• [ECR.4] 應標記ECR公共存儲庫

• [GlobalAccelerator.1] 應標記全局加速器加速器

• [IAM.26] 已過期SSL/IAM應移除中管理的TLS憑證

• [RDS.31] 應標記RDS資料庫安全群組

• [路線 53.1] 應標記 53 號路線健康檢查

• [路線 53.2] 路線 53 公共託管區域應記錄查詢 DNS

• [WAF1] AWS WAF 應啟用傳統全域網頁ACL記錄

• [WAF.6] AWS WAF 傳統全域規則應至少有一個條件

• [WAF.7] AWS WAF 傳統全域規則群組至少應有一個規則

• [WAF.8] AWS WAF 傳統全域 Web 至少ACLs應該有一個規則或規則群組

歐洲 (愛爾蘭)

歐洲 (愛爾蘭) 不支援下列控制項。

• [CloudFront.1] CloudFront 發行版應該配置一個默認的根對象

• [CloudFront.3] CloudFront 發行版在傳輸過程中應該需要加密

• [CloudFront.4] CloudFront 發行版應該配置原始容錯移轉

• [CloudFront.5] CloudFront 發行版應啟用日誌記錄

• [CloudFront.6] CloudFront 發行版應該已WAF啟用

• [CloudFront.7] CloudFront 發行版應使用自訂SSL/憑證 TLS

• [CloudFront.8] CloudFront 發行版應用SNI於服務HTTPS請求

• [CloudFront.9] CloudFront 發行版應該加密到自定義來源的流量

• [CloudFront.10] CloudFront 發行版不應在邊緣位置和自定義來源之間使用棄用的SSL協議

• [CloudFront.12] CloudFront 發行版不應指向不存在的 S3 來源

• [CloudFront.13] CloudFront 發行版應使用源訪問控制

• [CloudFront.14] CloudFront 分佈應標記

• [ECR.4] 應標記ECR公共存儲庫

• [GlobalAccelerator.1] 應標記全局加速器加速器

• [IAM.26] 已過期SSL/IAM應移除中管理的TLS憑證

• [路線 53.1] 應標記 53 號路線健康檢查

• [路線 53.2] 路線 53 公共託管區域應記錄查詢 DNS

• [WAF1] AWS WAF 應啟用傳統全域網頁ACL記錄

• [WAF.6] AWS WAF 傳統全域規則應至少有一個條件

• [WAF.7] AWS WAF 傳統全域規則群組至少應有一個規則

• [WAF.8] AWS WAF 傳統全域 Web 至少ACLs應該有一個規則或規則群組

歐洲 (倫敦)

歐洲 (倫敦) 不支援下列控制項。

• [CloudFront.1] CloudFront 發行版應該配置一個默認的根對象

• [CloudFront.3] CloudFront 發行版在傳輸過程中應該需要加密

• [CloudFront.4] CloudFront 發行版應該配置原始容錯移轉

• [CloudFront.5] CloudFront 發行版應啟用日誌記錄

• [CloudFront.6] CloudFront 發行版應該已WAF啟用

• [CloudFront.7] CloudFront 發行版應使用自訂SSL/憑證 TLS

• [CloudFront.8] CloudFront 發行版應用SNI於服務HTTPS請求

• [CloudFront.9] CloudFront 發行版應該加密到自定義來源的流量

• [CloudFront.10] CloudFront 發行版不應在邊緣位置和自定義來源之間使用棄用的SSL協議

• [CloudFront.12] CloudFront 發行版不應指向不存在的 S3 來源

• [CloudFront.13] CloudFront 發行版應使用源訪問控制

• [CloudFront.14] CloudFront 分佈應標記

• [EC2.24] 不應使用 Amazon EC2 半虛擬實例類型

• [ECR.4] 應標記ECR公共存儲庫

• [GlobalAccelerator.1] 應標記全局加速器加速器

• [IAM.26] 已過期SSL/IAM應移除中管理的TLS憑證

• [RDS.31] 應標記RDS資料庫安全群組

• [路線 53.1] 應標記 53 號路線健康檢查

• [路線 53.2] 路線 53 公共託管區域應記錄查詢 DNS

• [WAF1] AWS WAF 應啟用傳統全域網頁ACL記錄

• [WAF.6] AWS WAF 傳統全域規則應至少有一個條件

• [WAF.7] AWS WAF 傳統全域規則群組至少應有一個規則

• [WAF.8] AWS WAF 傳統全域 Web 至少ACLs應該有一個規則或規則群組

歐洲 (米蘭)

歐洲 (米蘭) 不支援下列控制項。

• [ACM.1] 進口和ACM簽發的證書應在指定的時間段後續期

• [CloudFront.1] CloudFront 發行版應該配置一個默認的根對象

• [CloudFront.3] CloudFront 發行版在傳輸過程中應該需要加密

• [CloudFront.4] CloudFront 發行版應該配置原始容錯移轉

• [CloudFront.5] CloudFront 發行版應啟用日誌記錄

• [CloudFront.6] CloudFront 發行版應該已WAF啟用

• [CloudFront.7] CloudFront 發行版應使用自訂SSL/憑證 TLS

• [CloudFront.8] CloudFront 發行版應用SNI於服務HTTPS請求

• [CloudFront.9] CloudFront 發行版應該加密到自定義來源的流量

• [CloudFront.10] CloudFront 發行版不應在邊緣位置和自定義來源之間使用棄用的SSL協議

• [CloudFront.12] CloudFront 發行版不應指向不存在的 S3 來源

• [CloudFront.13] CloudFront 發行版應使用源訪問控制

• [CloudFront.14] CloudFront 分佈應標記

• [CodeBuild.1] CodeBuild 比特桶源存儲庫不URLs應包含敏感憑據

• [DMS.1] Database Migration Service 複製實例不應該是公共的

• [DMS.10] Neptune 資料庫的DMS端點應啟用IAM授權

• [DynamoDB 加速器 (DAX) 叢集應在靜 DynamoDB 時加密

• [DynamoDB 加速器叢集在傳輸過程中應加密

• [EC2.3] 附加的 Amazon EBS 卷應該靜態加密

• [EC2.4] 停止的EC2實例應在指定時間段後刪除

• [EC2.8] EC2 執行個體應該使用執行個體中繼資料服務版本 2 () IMDSv2

• [EC2.12] EC2 EIPs 應刪除未使用的 Amazon

• [EC2.13] 安全性群組不應允許從 0.0.0/0 或:: /0 輸入連接埠 22

• [EC2.14] 安全性群組不應允許從 0.0.0.0/0 或:/0 輸入至連接埠 3389

• [EC2.24] 不應使用 Amazon EC2 半虛擬實例類型

• [ECR.4] 應標記ECR公共存儲庫

• [ECS.12] ECS 叢集應使用容器深入解析

• [EFS.1] 應將彈性文件系統配置為使用以加密靜態文件數據 AWS KMS

• [EFS.2] Amazon EFS 卷應該在備份計劃中

• [ELB.1] 應配置應 Application Load Balancer 以將所有HTTP請求重定向到 HTTPS

• [ELB.2] 帶有/監聽器的經典負載平衡SSL器HTTPS應該使用提供的證書使用 AWS Certificate Manager

• [ELB.4] 應將應 Application Load Balancer 設定為刪除 http 標頭

• [ELB.8] 帶有SSL偵聽器的傳統負載平衡器應使用具有強大功能的預定義安全策略 AWS Config成熟

• [ELB.16] 應用程式負載平衡器應與 AWS WAF 網頁 ACL

• [EMR.1] Amazon EMR 叢集主節點不應具有公有 IP 地址

• [E.3] 彈性搜尋網域應加密節點之間傳送的資料

• [EventBridge.4] EventBridge 全域端點應啟用事件複寫

• [FSx.1] FSx 對於打開ZFS文件系統，應配置為將標籤複製到備份和卷

• [GlobalAccelerator.1] 應標記全局加速器加速器

• [IAM.18] 確保已建立支援角色來管理事件 AWS Support

• [IAM.26] 已過期SSL/IAM應移除中管理的TLS憑證

• [檢查器 .3] 應啟用亞馬遜 Inspector Lambda 代碼掃描

• [IoT 1] AWS IoT Device Defender 應標記安全性設定檔

• [IoT 2] AWS IoT Core 緩解措施應標記

• [IoT 3] AWS IoT Core 尺寸應該被標記

• [IoT .4] AWS IoT Core 授權者應該被標記

• [IoT .5] AWS IoT Core 角色別名應該被標記

• [IoT .6] AWS IoT Core 應標記策略

• [Neptune .1] Neptune 資料庫叢集在靜態時應加密

• [Neptune .2] Neptune 資料庫叢集應將稽核記錄發佈至記錄 CloudWatch

• [Neptune .3] Neptune DB 叢集快照不應該是公開的

• [Neptune .4] Neptune 資料庫叢集應啟用刪除保護

• [Neptune .5] Neptune 資料庫叢集應啟用自動備份

• [Neptune .6] Neptune 資料庫叢集快照在靜態時應加密

• [Neptune .7] Neptune 資料庫叢集應啟用資料庫驗IAM證

• [Neptune .8] 應將 Neptune 資料庫叢集設定為將標籤複製到快照

• [Neptune .9] Neptune 資料庫叢集應部署在多個可用區域

• OpenSearch 網域應該已啟用靜態加密

• [打開搜索 .2] OpenSearch 域名不應該是可公開訪問的

• OpenSearch 網域應該加密節點之間傳送的資料

• 應該啟用 OpenSearch 網域錯誤記錄到 CloudWatch 記錄

• OpenSearch 網域應該已啟用稽核記錄

• OpenSearch 網域應該至少有三個資料節點

• OpenSearch 網域應該啟用精細的存取控制

• 應使用最新的安全策略加密與 OpenSearch 域的連接 TLS

• [RDS.1] RDS 快照應該是私有的

• [RDS.4] RDS 叢集快照集和資料庫快照集應在靜態時加密

• [RDS.9] RDS 資料庫執行個體應該將日誌發佈到 CloudWatch 日誌

• [RDS.14] Amazon Aurora 叢集應啟用回溯

• [RDS.31] 應標記RDS資料庫安全群組

• [紅移 2] 與亞馬遜 Redshift 叢集的連接應在傳輸過程中進行加密

• [紅移 3] 亞馬遜 Redshift 集群應啟用自動快照

• [路線 53.1] 應標記 53 號路線健康檢查

• [路線 53.2] 路線 53 公共託管區域應記錄查詢 DNS

• [SageMaker.1] Amazon SageMaker 筆記本實例不應該直接訪問互聯網

• [SSM.2] 由系統管理員管理的 Amazon EC2 執行個體在安裝修補程式COMPLIANT後，修補程式合規狀態應為

• [SSM.3] 由系統管理器管理的 Amazon EC2 執行個體應具有的關聯合規性狀態為 COMPLIANT

• [WAF1] AWS WAF 應啟用傳統全域網頁ACL記錄

• [WAF.6] AWS WAF 傳統全域規則應至少有一個條件

• [WAF.7] AWS WAF 傳統全域規則群組至少應有一個規則

• [WAF.8] AWS WAF 傳統全域 Web 至少ACLs應該有一個規則或規則群組

• [WAF.11] AWS WAF 應ACL啟用網頁記錄

• [WorkSpaces.1] WorkSpaces 使用者磁碟區應在靜態時加密

• [WorkSpaces.2] WorkSpaces 根磁碟區應在靜態時加密

Europe (Paris)

歐洲 (巴黎) 不支援下列控制項。

• [CloudFront.1] CloudFront 發行版應該配置一個默認的根對象

• [CloudFront.3] CloudFront 發行版在傳輸過程中應該需要加密

• [CloudFront.4] CloudFront 發行版應該配置原始容錯移轉

• [CloudFront.5] CloudFront 發行版應啟用日誌記錄

• [CloudFront.6] CloudFront 發行版應該已WAF啟用

• [CloudFront.7] CloudFront 發行版應使用自訂SSL/憑證 TLS

• [CloudFront.8] CloudFront 發行版應用SNI於服務HTTPS請求

• [CloudFront.9] CloudFront 發行版應該加密到自定義來源的流量

• [CloudFront.10] CloudFront 發行版不應在邊緣位置和自定義來源之間使用棄用的SSL協議

• [CloudFront.12] CloudFront 發行版不應指向不存在的 S3 來源

• [CloudFront.13] CloudFront 發行版應使用源訪問控制

• [CloudFront.14] CloudFront 分佈應標記

• [EC2.24] 不應使用 Amazon EC2 半虛擬實例類型

• [ECR.4] 應標記ECR公共存儲庫

• [FSx.1] FSx 對於打開ZFS文件系統，應配置為將標籤複製到備份和卷

• [GlobalAccelerator.1] 應標記全局加速器加速器

• [IAM.26] 已過期SSL/IAM應移除中管理的TLS憑證

• [檢查器 .3] 應啟用亞馬遜 Inspector Lambda 代碼掃描

• [RDS.31] 應標記RDS資料庫安全群組

• [路線 53.1] 應標記 53 號路線健康檢查

• [路線 53.2] 路線 53 公共託管區域應記錄查詢 DNS

• [WAF1] AWS WAF 應啟用傳統全域網頁ACL記錄

• [WAF.6] AWS WAF 傳統全域規則應至少有一個條件

• [WAF.7] AWS WAF 傳統全域規則群組至少應有一個規則

• [WAF.8] AWS WAF 傳統全域 Web 至少ACLs應該有一個規則或規則群組

• [WorkSpaces.1] WorkSpaces 使用者磁碟區應在靜態時加密

• [WorkSpaces.2] WorkSpaces 根磁碟區應在靜態時加密

歐洲 (西班牙)

歐洲 (西班牙) 不支援下列控制項。

• [ACM.1] 進口和ACM簽發的證書應在指定的時間段後續期

• [ACM.2] 管理的RSA證書ACM應使用至少 2,048 位的密鑰長度

• [帳戶 2] AWS 帳戶 應該是 AWS Organizations 組織

• [APIGateway.3] API 網關RESTAPI階段應該有 AWS X-Ray 已啟用追蹤

• [APIGateway.4] API 網關應該與網絡關聯 WAF ACL

• [APIGateway.8] API 網關路由應指定授權類型

• [APIGateway.9] 應為API閘道 V2 階段設定存取記錄

• [AppSync2] AWS AppSync 應啟用欄位層級記錄

• [AppSync.5] AWS AppSync GraphQL 不APIs應該使API用金鑰進行身份驗證

• [Athena.4] Athena 工作群組應啟用記錄功能

• [Backup 1] AWS Backup 復原點應在靜態時加密

• [Backup。2] AWS Backup 應標記恢復點

• [Backup 4] AWS Backup 報告計劃應加上標籤

• [CloudFormation.2] 應該標記 CloudFormation 堆棧

• [CloudFront.1] CloudFront 發行版應該配置一個默認的根對象

• [CloudFront.3] CloudFront 發行版在傳輸過程中應該需要加密

• [CloudFront.4] CloudFront 發行版應該配置原始容錯移轉

• [CloudFront.5] CloudFront 發行版應啟用日誌記錄

• [CloudFront.6] CloudFront 發行版應該已WAF啟用

• [CloudFront.7] CloudFront 發行版應使用自訂SSL/憑證 TLS

• [CloudFront.8] CloudFront 發行版應用SNI於服務HTTPS請求

• [CloudFront.9] CloudFront 發行版應該加密到自定義來源的流量

• [CloudFront.10] CloudFront 發行版不應在邊緣位置和自定義來源之間使用棄用的SSL協議

• [CloudFront.12] CloudFront 發行版不應指向不存在的 S3 來源

• [CloudFront.13] CloudFront 發行版應使用源訪問控制

• [CloudFront.14] CloudFront 分佈應標記

• [CloudTrail.6] 確保用於存放 CloudTrail 日誌的 S3 儲存貯體無法公開存取

• [CloudTrail.7] 確保 S3 儲存貯體上已啟用 S3 儲存 CloudTrail 貯體存取日誌

• [CloudWatch.16] CloudWatch 記錄群組應保留一段指定的時間

• [CodeArtifact.1] CodeArtifact 存儲庫應該被標記

• [CodeBuild.1] CodeBuild 比特桶源存儲庫不URLs應包含敏感憑據

• [CodeBuild.2] CodeBuild 項目環境變量不應包含純文本憑據

• [CodeBuild.3] CodeBuild S3 日誌應加密

• [CodeBuild.4] CodeBuild 項目環境應該有一個日誌記錄 AWS Config成熟

• [CodeBuild.7] CodeBuild 報表群組匯出應在靜態時加密

• [Detective .1] Detective 行為圖應該被標記

• [DMS.1] Database Migration Service 複製實例不應該是公共的

• [DMS.2] 應標記DMS證書

• [DMS.3] 應標記DMS事件訂閱

• [DMS.4] 應標記DMS複製實例

• [DMS.5] DMS 複製子網路群組應加上標籤

• [DMS.6] DMS 複製執行個體應啟用自動次要版本升級

• [DMS.7] 目標資料庫的DMS複寫任務應啟用記錄

• [DMS.8] 來源資料庫的DMS複寫任務應啟用記錄

• [DMS.9] DMS 端點應該使用 SSL

• [DMS.10] Neptune 資料庫的DMS端點應啟用IAM授權

• [DMS.11] MongoDB 的DMS端點應該啟用一個身份驗證機制

• [DMS.12] Redis 的DMS端點OSS應該已啟用 TLS

• [文件 DB.1] Amazon DocumentDB 叢集應在靜態時加密

• [文件 DB.2] Amazon DocumentDB 叢集應該有足夠的備份保留期

• [文件 DB.3] 亞馬遜 DocumentDB 手動叢集快照不應該是公開的

• [文件 DB.4] Amazon DocumentDB 叢集應將稽核日誌發佈到日誌 CloudWatch

• [文件 DB.5] 亞馬遜 DocumentDB 叢集應啟用刪除保護

• [DynamoDB 資料表應該會根據需求自動擴展容量

• [動態 DynamoDB] 資料表應該已啟用復原 point-in-time

• [DynamoDB 加速器 (DAX) 叢集應在靜 DynamoDB 時加密

• 備份計劃中應該有 DynamoDB 資料表

• [DynamoDB 加速器叢集在傳輸過程中應加密

• [EC2.1] Amazon EBS 快照不應該公開還原

• [EC2.2] VPC 默認安全組不應允許入站或出站流量

• [EC2.3] 附加的 Amazon EBS 卷應該靜態加密

• [EC2.4] 停止的EC2實例應在指定時間段後刪除

• [EC2.6] 應全部啟用VPC流程記錄 VPCs

• [EC2.7] 應啟用EBS默認加密

• [EC2.8] EC2 執行個體應該使用執行個體中繼資料服務版本 2 () IMDSv2

• [EC2.9] Amazon EC2 實例不應該有公共IPv4地址

• [EC2.13] 安全性群組不應允許從 0.0.0/0 或:: /0 輸入連接埠 22

• [EC2.14] 安全性群組不應允許從 0.0.0.0/0 或:/0 輸入至連接埠 3389

• [EC2.15] Amazon EC2 子網路不應自動分配公有 IP 地址

• [EC2.16] 應移除未使用的網路存取控制清單

• [EC2.17] Amazon EC2 實例不應使用多個 ENIs

• [EC2.18] 安全群組只應允許授權連接埠不受限制的傳入流量

• [EC2.20] 兩VPN條隧道為一個 AWS 站點到站點VPN連接應該已啟動

• [EC2.22] 應移除未使用的 Amazon EC2 安全群組

• [EC2.23] Amazon EC2 交通閘道不應自動接受VPC附件請求

• [EC2.24] 不應使用 Amazon EC2 半虛擬實例類型

• [EC2.25] Amazon EC2 啟動模板不應將公共分配IPs給網絡界面

• [EC2.28] 備份計劃應涵蓋EBS磁碟區

• [EC2.34] 應標記公EC2交網關路由表

• [EC2.40] EC2 NAT 網關應該被標記

• [EC2.48] 應標記 Amazon VPC 流程日誌

• [EC2.51] EC2 用戶VPN端端點應該已啟用用戶端連線記錄

• [ECR.1] ECR 私有存儲庫應配置圖像掃描

• [ECR.2] ECR 私有存儲庫應該配置標籤不變性

• [ECR.3] ECR 存儲庫應至少配置一個生命週期策略

• [ECR.4] 應標記ECR公共存儲庫

• [ECS.9] ECS 任務定義應該有一個日誌記錄配置

• [EFS.1] 應將彈性文件系統配置為使用以加密靜態文件數據 AWS KMS

• [EFS.2] Amazon EFS 卷應該在備份計劃中

• [EFS.3] EFS 訪問點應該強制執行根目錄

• [EFS.4] EFS 接入點應強制執行用戶身份

• [EKS.2] EKS 叢集應在受支援的 Kubernetes 版本上執行

• [ELB.1] 應配置應 Application Load Balancer 以將所有HTTP請求重定向到 HTTPS

• [ELB.2] 帶有/監聽器的經典負載平衡SSL器HTTPS應該使用提供的證書使用 AWS Certificate Manager

• [ELB.3] Classic Load Balancer 偵聽器應配置HTTPS或TLS終止

• [ELB.4] 應將應 Application Load Balancer 設定為刪除 http 標頭

• [ELB.5] 應啟用應用程式和傳統負載平衡器記錄

• [ELB.6] 應用程式、閘道和網路負載平衡器應啟用刪除保護

• [ELB.8] 帶有SSL偵聽器的傳統負載平衡器應使用具有強大功能的預定義安全策略 AWS Config成熟

• [ELB.9] 傳統負載平衡器應啟用跨區域負載平衡

• [ELB.14] Classic Load Balancer 應設定為防禦性或最嚴格的不同步緩解模式

• [ELB.16] 應用程式負載平衡器應與 AWS WAF 網頁 ACL

• [ElastiCache.1] ElastiCache （RedisOSS）集群應啟用自動備份

• [ElastiCache.6] ElastiCache (RedisOSS) 早期版本的複寫群組應啟用 Redis OSS AUTH

• [ElastiCache.7] ElastiCache (RedisOSS) 叢集不應使用預設的子網路群組

• [ElasticBeanstalk.1] Elastic Beanstalk 環境應啟用增強的健康報告

• [ElasticBeanstalk2] 應啟用 Elastic Beanstalk 管理平台更新

• [ElasticBeanstalk.3] Elastic Beanstalk 應該將日誌流式傳輸到 CloudWatch

• [EMR.1] Amazon EMR 叢集主節點不應具有公有 IP 地址

• [ES.1] 彈性搜尋網域應啟用靜態加密

• [ES.2] 彈性搜索域名不應該可公開訪問

• [E.3] 彈性搜尋網域應加密節點之間傳送的資料

• [ES.4] 應該啟用彈性搜索域錯誤日誌記錄到 CloudWatch 日誌

• [EventBridge.3] EventBridge 自定義事件總線應該附加基於資源的策略

• [EventBridge.4] EventBridge 全域端點應啟用事件複寫

• [FSx.1] FSx 對於打開ZFS文件系統，應配置為將標籤複製到備份和卷

• [GlobalAccelerator.1] 應標記全局加速器加速器

• [膠水 1] AWS Glue 工作應該被標記

• [GuardDuty.2] GuardDuty 過濾器應標記

• [GuardDuty.3] GuardDuty IPSets 應該被標記

• [GuardDuty.9] 應 GuardDuty RDS啟用保護

• [IAM.1] IAM 策略不應允許完整的「*」管理權限

• [IAM.2] IAM 用戶不應該附加IAM策略

• [IAM.3] IAM 用戶的訪問密鑰應每 90 天或更短時間輪換一次

• [IAM.4] IAM 根用戶訪問密鑰不應存在

• 所有擁有主控台密碼的使用IAM者都MFA應啟用 [IAM.5]

• [IAM.8] 應刪除未使IAM用的用戶憑據

• [IAM.18] 確保已建立支援角色來管理事件 AWS Support

• MFA應為所IAM有使用者啟用 [IAM.19]

• [IAM.21] 您建立的IAM客戶管理策略不應允許對服務執行萬用字元動作

• [IAM.22] 應刪除 45 天未使用的IAM用戶憑據

• [IAM.24] IAM 角色應該被標記

• [IAM.25] 應標記IAM用戶

• [IAM.26] 已過期SSL/IAM應移除中管理的TLS憑證

• [IAM.27] IAM 身份不應該附加 AWSCloudShellFullAccess 策略

• [檢查器 .1] 應啟用亞馬遜 Inspector EC2 掃描

• [檢查器 .2] 應啟用亞馬遜 Inspector ECR 掃描

• [檢查器 .3] 應啟用亞馬遜 Inspector Lambda 代碼掃描

• [檢查員 .4] 應啟用亞馬遜 Inspector Lambda 標準掃描

• [IoT 1] AWS IoT Device Defender 應標記安全性設定檔

• [IoT 2] AWS IoT Core 緩解措施應標記

• [IoT 3] AWS IoT Core 尺寸應該被標記

• [IoT .4] AWS IoT Core 授權者應該被標記

• [IoT .5] AWS IoT Core 角色別名應該被標記

• [IoT .6] AWS IoT Core 應標記策略

• [Kinesis.1] Kinesis 串流應在靜態時加密

• [KMS.1] IAM 客戶管理策略不應允許對所有密KMS鑰進行解密操作

• [KMS.2] IAM 主體不應具有允許對所有KMS金鑰進行解密動作的IAM內嵌政策

• [KMS.4] AWS KMS 鍵旋轉應該被啟用

• [Lambda 1] Lambda 函數政策應該禁止公共訪問

• [Lambda 2] Lambda 函數應該使用受支援的執行階段

• [Lambda 3] Lambda 函數應該在一個 VPC

• [Lambda .5] VPC Lambda 函數應該在多個可用區域中運作

• [Macie.1] Amazon Macie 應該啟用

• [Macie.2] 應啟用 Macie 自動化敏感資料探索功能

• [MQ2] ActiveMQ 代理程式應該將稽核記錄串流至 CloudWatch

• [MQ.3] Amazon MQ 代理程式應啟用自動次要版本升級

• [MQ.4] 應標記 Amazon MQ 經紀人

• [MQ.5] ActiveMQ 代理程式應該使用主動/待命部署模式

• [MQ.6] RabbitMQ 代理程式應該使用叢集部署模式

• [MSK.1] MSK 叢集在代理程式節點之間的傳輸過程中應加密

• [MSK.2] MSK 叢集應配置增強型監控

• [Neptune .1] Neptune 資料庫叢集在靜態時應加密

• [Neptune .2] Neptune 資料庫叢集應將稽核記錄發佈至記錄 CloudWatch

• [Neptune .3] Neptune DB 叢集快照不應該是公開的

• [Neptune .4] Neptune 資料庫叢集應啟用刪除保護

• [Neptune .5] Neptune 資料庫叢集應啟用自動備份

• [Neptune .6] Neptune 資料庫叢集快照在靜態時應加密

• [Neptune .7] Neptune 資料庫叢集應啟用資料庫驗IAM證

• [Neptune .8] 應將 Neptune 資料庫叢集設定為將標籤複製到快照

• [Neptune .9] Neptune 資料庫叢集應部署在多個可用區域

• [NetworkFirewall.1] Network Firewall 防火牆應跨多個可用區域部署

• [NetworkFirewall.2] 應啟用 Network Firewall 日誌記錄

• [NetworkFirewall.3] Network Firewall 策略應至少有一個關聯的規則組

• [NetworkFirewall.4] 對於完整封包，Network Firewall 策略的預設無狀態處理行動應為捨棄或轉送

• [NetworkFirewall.5] 對於分散式封包，Network Firewall 策略的預設無狀態處理行動應該是捨棄或轉送

• [NetworkFirewall.6] 無狀態 Network Firewall 規則群組不應為空

• [NetworkFirewall.9] Network Firewall 防火牆應啟用刪除保護

• OpenSearch 網域應該已啟用靜態加密

• [打開搜索 .2] OpenSearch 域名不應該是可公開訪問的

• OpenSearch 網域應該加密節點之間傳送的資料

• 應該啟用 OpenSearch 網域錯誤記錄到 CloudWatch 記錄

• OpenSearch 網域應該已啟用稽核記錄

• OpenSearch 網域應該至少有三個資料節點

• OpenSearch 網域應該啟用精細的存取控制

• 應使用最新的安全策略加密與 OpenSearch 域的連接 TLS

• [打開搜索 .9] OpenSearch 域名應該被標記

• OpenSearch 網域應該已安裝最新的軟體更新

• OpenSearch 網域至少應該有三個專用的主節點

• [RDS.1] RDS 快照應該是私有的

• [RDS.2] RDS 資料庫執行個體應該禁止公開存取，如 PubliclyAccessible AWS Config成熟

• [RDS.3] RDS 數據庫實例應啟用靜態加密

• [RDS.4] RDS 叢集快照集和資料庫快照集應在靜態時加密

• [RDS.5] RDS 資料庫執行個體應設定多個可用區域

• [RDS.6] 應為RDS資料庫執行個體設定增強型監控

• [RDS.7] RDS 叢集應啟用刪除保護

• [RDS.8] RDS 資料庫執行個體應啟用刪除保護

• [RDS.9] RDS 資料庫執行個體應該將日誌發佈到 CloudWatch 日誌

• [RDS.10] 應為實例RDS配置IAM身份驗證

• [RDS.11] RDS 執行個體應啟用自動備份

• [RDS.12] 應為RDS叢集設定IAM驗證

• [RDS.13] 應啟用RDS自動次要版本升級

• [RDS.14] Amazon Aurora 叢集應啟用回溯

• [RDS.15] 應為多個可用區域設定資RDS料庫叢集

• [RDS.24] RDS 資料庫叢集應使用自訂管理員使用者名稱

• [RDS.26] RDS 資料庫執行個體應受到備份計劃的保護

• [RDS.27] RDS 資料庫叢集應在靜態時加密

• [RDS.31] 應標記RDS資料庫安全群組

• [RDS.34] Aurora 我的SQL資料庫叢集應將稽核記錄發佈到 CloudWatch 記錄

• [RDS.35] RDS 資料庫叢集應啟用自動次要版本升級

• [紅移 1] 亞馬遜 Redshift 集群應禁止公共訪問

• [紅移 2] 與亞馬遜 Redshift 叢集的連接應在傳輸過程中進行加密

• [紅移 3] 亞馬遜 Redshift 集群應啟用自動快照

• [紅移 6] 亞馬遜 Redshift 應該啟用自動升級到主要版本

• [紅移 .7] Redshift 叢集應該使用增強型路由 VPC

• [紅移 .10] Redshift 叢集在靜態時應加密

• [紅移 .12] 應標記 Redshift 事件通知訂閱

• [路線 53.1] 應標記 53 號路線健康檢查

• [路線 53.2] 路線 53 公共託管區域應記錄查詢 DNS

• [S3.1] S3 一般用途儲存貯體應啟用區塊公開存取設定

• [S3.5] S3 通用存儲桶應該需要請求使用 SSL

• [S3.6] S3 一般用途儲存貯體政策應限制對其他儲存貯體的存取 AWS 帳戶

• [S3.8] S3 通用存儲桶應阻止公共訪問

• [S3.9] S3 一般用途儲存貯體應啟用伺服器存取記錄

• [S3.15] S3 一般用途儲存貯體應啟用物件鎖定

• [S3.17] S3 一般用途儲存貯體在靜態時應使用 AWS KMS keys

• [SageMaker.1] Amazon SageMaker 筆記本實例不應該直接訪問互聯網

• [SageMaker.2] SageMaker 筆記本實例應以自定義方式啟動 VPC

• [SageMaker.3] 用戶不應該擁有對 SageMaker 筆記本實例的 root 訪問權限

• [SES.1] 應標記SES聯繫人列表

• [SES.2] SES 配置集應標記

• [SNS.1] SNS 主題應該使用靜態加密 AWS KMS

• [SQS.1] Amazon SQS 隊列應該在靜態時加密

• [SQS.2] SQS 隊列應該被標記

• [SSM.1] Amazon EC2 實例應由 AWS Systems Manager

• [SSM.2] 由系統管理員管理的 Amazon EC2 執行個體在安裝修補程式COMPLIANT後，修補程式合規狀態應為

• [SSM.3] 由系統管理器管理的 Amazon EC2 執行個體應具有的關聯合規性狀態為 COMPLIANT

• [StepFunctions.1] Step Functions 狀態機應該打開日誌記錄

• [WAF1] AWS WAF 應啟用傳統全域網頁ACL記錄

• [WAF2] AWS WAF 傳統區域規則應具有至少一個條件

• [WAF3] AWS WAF 傳統區域規則群組至少應該有一個規則

• [WAF.4] AWS WAF 傳統區域網路至少ACLs應該有一個規則或規則群組

• [WAF.6] AWS WAF 傳統全域規則應至少有一個條件

• [WAF.7] AWS WAF 傳統全域規則群組至少應有一個規則

• [WAF.8] AWS WAF 傳統全域 Web 至少ACLs應該有一個規則或規則群組

• [WAF.10] AWS WAF web ACLs 應該至少有一個規則或規則群組

• [WAF.11] AWS WAF 應ACL啟用網頁記錄

• [WorkSpaces.1] WorkSpaces 使用者磁碟區應在靜態時加密

• [WorkSpaces.2] WorkSpaces 根磁碟區應在靜態時加密

歐洲 (斯德哥爾摩)

歐洲 (斯德哥爾摩) 不支援下列控制項。

• [CloudFront.1] CloudFront 發行版應該配置一個默認的根對象

• [CloudFront.3] CloudFront 發行版在傳輸過程中應該需要加密

• [CloudFront.4] CloudFront 發行版應該配置原始容錯移轉

• [CloudFront.5] CloudFront 發行版應啟用日誌記錄

• [CloudFront.6] CloudFront 發行版應該已WAF啟用

• [CloudFront.7] CloudFront 發行版應使用自訂SSL/憑證 TLS

• [CloudFront.8] CloudFront 發行版應用SNI於服務HTTPS請求

• [CloudFront.9] CloudFront 發行版應該加密到自定義來源的流量

• [CloudFront.10] CloudFront 發行版不應在邊緣位置和自定義來源之間使用棄用的SSL協議

• [CloudFront.12] CloudFront 發行版不應指向不存在的 S3 來源

• [CloudFront.13] CloudFront 發行版應使用源訪問控制

• [CloudFront.14] CloudFront 分佈應標記

• [文件 DB.1] Amazon DocumentDB 叢集應在靜態時加密

• [文件 DB.2] Amazon DocumentDB 叢集應該有足夠的備份保留期

• [文件 DB.3] 亞馬遜 DocumentDB 手動叢集快照不應該是公開的

• [文件 DB.4] Amazon DocumentDB 叢集應將稽核日誌發佈到日誌 CloudWatch

• [文件 DB.5] 亞馬遜 DocumentDB 叢集應啟用刪除保護

• [DynamoDB 加速器 (DAX) 叢集應在靜 DynamoDB 時加密

• [DynamoDB 加速器叢集在傳輸過程中應加密

• [EC2.24] 不應使用 Amazon EC2 半虛擬實例類型

• [ECR.4] 應標記ECR公共存儲庫

• [GlobalAccelerator.1] 應標記全局加速器加速器

• [IAM.26] 已過期SSL/IAM應移除中管理的TLS憑證

• [RDS.14] Amazon Aurora 叢集應啟用回溯

• [RDS.31] 應標記RDS資料庫安全群組

• [路線 53.1] 應標記 53 號路線健康檢查

• [路線 53.2] 路線 53 公共託管區域應記錄查詢 DNS

• [WAF1] AWS WAF 應啟用傳統全域網頁ACL記錄

• [WAF.6] AWS WAF 傳統全域規則應至少有一個條件

• [WAF.7] AWS WAF 傳統全域規則群組至少應有一個規則

• [WAF.8] AWS WAF 傳統全域 Web 至少ACLs應該有一個規則或規則群組

• [WorkSpaces.1] WorkSpaces 使用者磁碟區應在靜態時加密

• [WorkSpaces.2] WorkSpaces 根磁碟區應在靜態時加密

歐洲 (蘇黎世)

歐洲 (蘇黎世) 不支援下列控制項。

• [ACM.1] 進口和ACM簽發的證書應在指定的時間段後續期

• [ACM.2] 管理的RSA證書ACM應使用至少 2,048 位的密鑰長度

• [APIGateway.8] API 網關路由應指定授權類型

• [APIGateway.9] 應為API閘道 V2 階段設定存取記錄

• [AppSync2] AWS AppSync 應啟用欄位層級記錄

• [AppSync.5] AWS AppSync GraphQL 不APIs應該使API用金鑰進行身份驗證

• [Athena.4] Athena 工作群組應啟用記錄功能

• [Backup 1] AWS Backup 復原點應在靜態時加密

• [Backup。2] AWS Backup 應標記恢復點

• [Backup 4] AWS Backup 報告計劃應加上標籤

• [CloudFormation.2] 應該標記 CloudFormation 堆棧

• [CloudFront.1] CloudFront 發行版應該配置一個默認的根對象

• [CloudFront.3] CloudFront 發行版在傳輸過程中應該需要加密

• [CloudFront.4] CloudFront 發行版應該配置原始容錯移轉

• [CloudFront.5] CloudFront 發行版應啟用日誌記錄

• [CloudFront.6] CloudFront 發行版應該已WAF啟用

• [CloudFront.7] CloudFront 發行版應使用自訂SSL/憑證 TLS

• [CloudFront.8] CloudFront 發行版應用SNI於服務HTTPS請求

• [CloudFront.9] CloudFront 發行版應該加密到自定義來源的流量

• [CloudFront.10] CloudFront 發行版不應在邊緣位置和自定義來源之間使用棄用的SSL協議

• [CloudFront.12] CloudFront 發行版不應指向不存在的 S3 來源

• [CloudFront.13] CloudFront 發行版應使用源訪問控制

• [CloudFront.14] CloudFront 分佈應標記

• [CloudTrail.6] 確保用於存放 CloudTrail 日誌的 S3 儲存貯體無法公開存取

• [CloudTrail.7] 確保 S3 儲存貯體上已啟用 S3 儲存 CloudTrail 貯體存取日誌

• [CodeArtifact.1] CodeArtifact 存儲庫應該被標記

• [CodeBuild.1] CodeBuild 比特桶源存儲庫不URLs應包含敏感憑據

• [CodeBuild.2] CodeBuild 項目環境變量不應包含純文本憑據

• [CodeBuild.3] CodeBuild S3 日誌應加密

• [CodeBuild.4] CodeBuild 項目環境應該有一個日誌記錄 AWS Config成熟

• [CodeBuild.7] CodeBuild 報表群組匯出應在靜態時加密

• [Detective .1] Detective 行為圖應該被標記

• [DMS.1] Database Migration Service 複製實例不應該是公共的

• [DMS.2] 應標記DMS證書

• [DMS.3] 應標記DMS事件訂閱

• [DMS.4] 應標記DMS複製實例

• [DMS.5] DMS 複製子網路群組應加上標籤

• [DMS.6] DMS 複製執行個體應啟用自動次要版本升級

• [DMS.7] 目標資料庫的DMS複寫任務應啟用記錄

• [DMS.8] 來源資料庫的DMS複寫任務應啟用記錄

• [DMS.9] DMS 端點應該使用 SSL

• [DMS.10] Neptune 資料庫的DMS端點應啟用IAM授權

• [DMS.11] MongoDB 的DMS端點應該啟用一個身份驗證機制

• [DMS.12] Redis 的DMS端點OSS應該已啟用 TLS

• [文件 DB.1] Amazon DocumentDB 叢集應在靜態時加密

• [文件 DB.2] Amazon DocumentDB 叢集應該有足夠的備份保留期

• [文件 DB.3] 亞馬遜 DocumentDB 手動叢集快照不應該是公開的

• [文件 DB.4] Amazon DocumentDB 叢集應將稽核日誌發佈到日誌 CloudWatch

• [文件 DB.5] 亞馬遜 DocumentDB 叢集應啟用刪除保護

• [DynamoDB 資料表應該會根據需求自動擴展容量

• [動態 DynamoDB] 資料表應該已啟用復原 point-in-time

• [DynamoDB 加速器 (DAX) 叢集應在靜 DynamoDB 時加密

• 備份計劃中應該有 DynamoDB 資料表

• [DynamoDB 加速器叢集在傳輸過程中應加密

• [EC2.2] VPC 默認安全組不應允許入站或出站流量

• [EC2.3] 附加的 Amazon EBS 卷應該靜態加密

• [EC2.4] 停止的EC2實例應在指定時間段後刪除

• [EC2.6] 應全部啟用VPC流程記錄 VPCs

• [EC2.8] EC2 執行個體應該使用執行個體中繼資料服務版本 2 () IMDSv2

• [EC2.9] Amazon EC2 實例不應該有公共IPv4地址

• [EC2.13] 安全性群組不應允許從 0.0.0/0 或:: /0 輸入連接埠 22

• [EC2.14] 安全性群組不應允許從 0.0.0.0/0 或:/0 輸入至連接埠 3389

• [EC2.15] Amazon EC2 子網路不應自動分配公有 IP 地址

• [EC2.16] 應移除未使用的網路存取控制清單

• [EC2.17] Amazon EC2 實例不應使用多個 ENIs

• [EC2.18] 安全群組只應允許授權連接埠不受限制的傳入流量

• [EC2.20] 兩VPN條隧道為一個 AWS 站點到站點VPN連接應該已啟動

• [EC2.22] 應移除未使用的 Amazon EC2 安全群組

• [EC2.23] Amazon EC2 交通閘道不應自動接受VPC附件請求

• [EC2.24] 不應使用 Amazon EC2 半虛擬實例類型

• [EC2.25] Amazon EC2 啟動模板不應將公共分配IPs給網絡界面

• [EC2.28] 備份計劃應涵蓋EBS磁碟區

• [EC2.51] EC2 用戶VPN端端點應該已啟用用戶端連線記錄

• [ECR.1] ECR 私有存儲庫應配置圖像掃描

• [ECR.2] ECR 私有存儲庫應該配置標籤不變性

• [ECR.3] ECR 存儲庫應至少配置一個生命週期策略

• [ECR.4] 應標記ECR公共存儲庫

• [ECS.9] ECS 任務定義應該有一個日誌記錄配置

• [EFS.1] 應將彈性文件系統配置為使用以加密靜態文件數據 AWS KMS

• [EFS.2] Amazon EFS 卷應該在備份計劃中

• [EFS.3] EFS 訪問點應該強制執行根目錄

• [EFS.4] EFS 接入點應強制執行用戶身份

• [EKS.2] EKS 叢集應在受支援的 Kubernetes 版本上執行

• [ELB.1] 應配置應 Application Load Balancer 以將所有HTTP請求重定向到 HTTPS

• [ELB.2] 帶有/監聽器的經典負載平衡SSL器HTTPS應該使用提供的證書使用 AWS Certificate Manager

• [ELB.3] Classic Load Balancer 偵聽器應配置HTTPS或TLS終止

• [ELB.4] 應將應 Application Load Balancer 設定為刪除 http 標頭

• [ELB.8] 帶有SSL偵聽器的傳統負載平衡器應使用具有強大功能的預定義安全策略 AWS Config成熟

• [ELB.9] 傳統負載平衡器應啟用跨區域負載平衡

• [ELB.14] Classic Load Balancer 應設定為防禦性或最嚴格的不同步緩解模式

• [ELB.16] 應用程式負載平衡器應與 AWS WAF 網頁 ACL

• [ElastiCache.1] ElastiCache （RedisOSS）集群應啟用自動備份

• [ElastiCache.6] ElastiCache (RedisOSS) 早期版本的複寫群組應啟用 Redis OSS AUTH

• [ElastiCache.7] ElastiCache (RedisOSS) 叢集不應使用預設的子網路群組

• [ElasticBeanstalk.1] Elastic Beanstalk 環境應啟用增強的健康報告

• [ElasticBeanstalk2] 應啟用 Elastic Beanstalk 管理平台更新

• [ElasticBeanstalk.3] Elastic Beanstalk 應該將日誌流式傳輸到 CloudWatch

• [EMR.1] Amazon EMR 叢集主節點不應具有公有 IP 地址

• [ES.1] 彈性搜尋網域應啟用靜態加密

• [ES.2] 彈性搜索域名不應該可公開訪問

• [E.3] 彈性搜尋網域應加密節點之間傳送的資料

• [ES.4] 應該啟用彈性搜索域錯誤日誌記錄到 CloudWatch 日誌

• [EventBridge.3] EventBridge 自定義事件總線應該附加基於資源的策略

• [EventBridge.4] EventBridge 全域端點應啟用事件複寫

• [FSx.1] FSx 對於打開ZFS文件系統，應配置為將標籤複製到備份和卷

• [GlobalAccelerator.1] 應標記全局加速器加速器

• [膠水 1] AWS Glue 工作應該被標記

• [GuardDuty.2] GuardDuty 過濾器應標記

• [GuardDuty.3] GuardDuty IPSets 應該被標記

• [GuardDuty.9] 應 GuardDuty RDS啟用保護

• [IAM.1] IAM 策略不應允許完整的「*」管理權限

• [IAM.2] IAM 用戶不應該附加IAM策略

• [IAM.3] IAM 用戶的訪問密鑰應每 90 天或更短時間輪換一次

• [IAM.4] IAM 根用戶訪問密鑰不應存在

• 所有擁有主控台密碼的使用IAM者都MFA應啟用 [IAM.5]

• [IAM.8] 應刪除未使IAM用的用戶憑據

• [IAM.18] 確保已建立支援角色來管理事件 AWS Support

• MFA應為所IAM有使用者啟用 [IAM.19]

• [IAM.21] 您建立的IAM客戶管理策略不應允許對服務執行萬用字元動作

• [IAM.22] 應刪除 45 天未使用的IAM用戶憑據

• [IAM.24] IAM 角色應該被標記

• [IAM.25] 應標記IAM用戶

• [IAM.26] 已過期SSL/IAM應移除中管理的TLS憑證

• [IAM.27] IAM 身份不應該附加 AWSCloudShellFullAccess 策略

• [檢查器 .3] 應啟用亞馬遜 Inspector Lambda 代碼掃描

• [IoT 1] AWS IoT Device Defender 應標記安全性設定檔

• [IoT 2] AWS IoT Core 緩解措施應標記

• [IoT 3] AWS IoT Core 尺寸應該被標記

• [IoT .4] AWS IoT Core 授權者應該被標記

• [IoT .5] AWS IoT Core 角色別名應該被標記

• [IoT .6] AWS IoT Core 應標記策略

• [Kinesis.1] Kinesis 串流應在靜態時加密

• [KMS.1] IAM 客戶管理策略不應允許對所有密KMS鑰進行解密操作

• [KMS.2] IAM 主體不應具有允許對所有KMS金鑰進行解密動作的IAM內嵌政策

• [Lambda .5] VPC Lambda 函數應該在多個可用區域中運作

• [Macie.1] Amazon Macie 應該啟用

• [Macie.2] 應啟用 Macie 自動化敏感資料探索功能

• [MQ2] ActiveMQ 代理程式應該將稽核記錄串流至 CloudWatch

• [MQ.3] Amazon MQ 代理程式應啟用自動次要版本升級

• [MQ.4] 應標記 Amazon MQ 經紀人

• [MQ.5] ActiveMQ 代理程式應該使用主動/待命部署模式

• [MQ.6] RabbitMQ 代理程式應該使用叢集部署模式

• [MSK.1] MSK 叢集在代理程式節點之間的傳輸過程中應加密

• [MSK.2] MSK 叢集應配置增強型監控

• [Neptune .1] Neptune 資料庫叢集在靜態時應加密

• [Neptune .2] Neptune 資料庫叢集應將稽核記錄發佈至記錄 CloudWatch

• [Neptune .3] Neptune DB 叢集快照不應該是公開的

• [Neptune .4] Neptune 資料庫叢集應啟用刪除保護

• [Neptune .5] Neptune 資料庫叢集應啟用自動備份

• [Neptune .6] Neptune 資料庫叢集快照在靜態時應加密

• [Neptune .7] Neptune 資料庫叢集應啟用資料庫驗IAM證

• [Neptune .8] 應將 Neptune 資料庫叢集設定為將標籤複製到快照

• [Neptune .9] Neptune 資料庫叢集應部署在多個可用區域

• [NetworkFirewall.1] Network Firewall 防火牆應跨多個可用區域部署

• [NetworkFirewall.2] 應啟用 Network Firewall 日誌記錄

• [NetworkFirewall.3] Network Firewall 策略應至少有一個關聯的規則組

• [NetworkFirewall.4] 對於完整封包，Network Firewall 策略的預設無狀態處理行動應為捨棄或轉送

• [NetworkFirewall.5] 對於分散式封包，Network Firewall 策略的預設無狀態處理行動應該是捨棄或轉送

• [NetworkFirewall.6] 無狀態 Network Firewall 規則群組不應為空

• [NetworkFirewall.9] Network Firewall 防火牆應啟用刪除保護

• OpenSearch 網域應該已啟用靜態加密

• [打開搜索 .2] OpenSearch 域名不應該是可公開訪問的

• OpenSearch 網域應該加密節點之間傳送的資料

• 應該啟用 OpenSearch 網域錯誤記錄到 CloudWatch 記錄

• OpenSearch 網域應該已啟用稽核記錄

• OpenSearch 網域應該至少有三個資料節點

• OpenSearch 網域應該啟用精細的存取控制

• 應使用最新的安全策略加密與 OpenSearch 域的連接 TLS

• [打開搜索 .9] OpenSearch 域名應該被標記

• OpenSearch 網域應該已安裝最新的軟體更新

• OpenSearch 網域至少應該有三個專用的主節點

• [RDS.1] RDS 快照應該是私有的

• [RDS.3] RDS 數據庫實例應啟用靜態加密

• [RDS.5] RDS 資料庫執行個體應設定多個可用區域

• [RDS.8] RDS 資料庫執行個體應啟用刪除保護

• [RDS.14] Amazon Aurora 叢集應啟用回溯

• [RDS.24] RDS 資料庫叢集應使用自訂管理員使用者名稱

• [RDS.26] RDS 資料庫執行個體應受到備份計劃的保護

• [RDS.31] 應標記RDS資料庫安全群組

• [RDS.35] RDS 資料庫叢集應啟用自動次要版本升級

• [紅移 3] 亞馬遜 Redshift 集群應啟用自動快照

• [紅移 .12] 應標記 Redshift 事件通知訂閱

• [路線 53.1] 應標記 53 號路線健康檢查

• [路線 53.2] 路線 53 公共託管區域應記錄查詢 DNS

• [S3.1] S3 一般用途儲存貯體應啟用區塊公開存取設定

• [S3.8] S3 通用存儲桶應阻止公共訪問

• [SageMaker.1] Amazon SageMaker 筆記本實例不應該直接訪問互聯網

• [SageMaker.2] SageMaker 筆記本實例應以自定義方式啟動 VPC

• [SageMaker.3] 用戶不應該擁有對 SageMaker 筆記本實例的 root 訪問權限

• [SES.1] 應標記SES聯繫人列表

• [SES.2] SES 配置集應標記

• [SNS.1] SNS 主題應該使用靜態加密 AWS KMS

• [SQS.1] Amazon SQS 隊列應該在靜態時加密

• [SQS.2] SQS 隊列應該被標記

• [SSM.2] 由系統管理員管理的 Amazon EC2 執行個體在安裝修補程式COMPLIANT後，修補程式合規狀態應為

• [SSM.3] 由系統管理器管理的 Amazon EC2 執行個體應具有的關聯合規性狀態為 COMPLIANT

• [StepFunctions.1] Step Functions 狀態機應該打開日誌記錄

• [WAF1] AWS WAF 應啟用傳統全域網頁ACL記錄

• [WAF2] AWS WAF 傳統區域規則應具有至少一個條件

• [WAF3] AWS WAF 傳統區域規則群組至少應該有一個規則

• [WAF.4] AWS WAF 傳統區域網路至少ACLs應該有一個規則或規則群組

• [WAF.6] AWS WAF 傳統全域規則應至少有一個條件

• [WAF.7] AWS WAF 傳統全域規則群組至少應有一個規則

• [WAF.8] AWS WAF 傳統全域 Web 至少ACLs應該有一個規則或規則群組

• [WAF.10] AWS WAF web ACLs 應該至少有一個規則或規則群組

• [WAF.11] AWS WAF 應ACL啟用網頁記錄

• [WorkSpaces.1] WorkSpaces 使用者磁碟區應在靜態時加密

• [WorkSpaces.2] WorkSpaces 根磁碟區應在靜態時加密

以色列 (特拉維夫)

以色列 (特拉維夫) 不支援下列控制項。

• [ACM.1] 進口和ACM簽發的證書應在指定的時間段後續期

• [ACM.2] 管理的RSA證書ACM應使用至少 2,048 位的密鑰長度

• [APIGateway.8] API 網關路由應指定授權類型

• [APIGateway.9] 應為API閘道 V2 階段設定存取記錄

• [AppSync2] AWS AppSync 應啟用欄位層級記錄

• [AppSync.5] AWS AppSync GraphQL 不APIs應該使API用金鑰進行身份驗證

• [Athena.4] Athena 工作群組應啟用記錄功能

• [自動擴展 .5] 使用 Auto Scaling 群組啟動組態啟動的 Amazon EC2 執行個體不應具有公有 IP 地址

• [Backup 1] AWS Backup 復原點應在靜態時加密

• [Backup。2] AWS Backup 應標記恢復點

• [Backup 4] AWS Backup 報告計劃應加上標籤

• [CloudFormation.2] 應該標記 CloudFormation 堆棧

• [CloudFront.1] CloudFront 發行版應該配置一個默認的根對象

• [CloudFront.3] CloudFront 發行版在傳輸過程中應該需要加密

• [CloudFront.4] CloudFront 發行版應該配置原始容錯移轉

• [CloudFront.5] CloudFront 發行版應啟用日誌記錄

• [CloudFront.6] CloudFront 發行版應該已WAF啟用

• [CloudFront.7] CloudFront 發行版應使用自訂SSL/憑證 TLS

• [CloudFront.8] CloudFront 發行版應用SNI於服務HTTPS請求

• [CloudFront.9] CloudFront 發行版應該加密到自定義來源的流量

• [CloudFront.10] CloudFront 發行版不應在邊緣位置和自定義來源之間使用棄用的SSL協議

• [CloudFront.12] CloudFront 發行版不應指向不存在的 S3 來源

• [CloudFront.13] CloudFront 發行版應使用源訪問控制

• [CloudFront.14] CloudFront 分佈應標記

• [CodeArtifact.1] CodeArtifact 存儲庫應該被標記

• [CodeBuild.1] CodeBuild 比特桶源存儲庫不URLs應包含敏感憑據

• [CodeBuild.2] CodeBuild 項目環境變量不應包含純文本憑據

• [CodeBuild.3] CodeBuild S3 日誌應加密

• [CodeBuild.4] CodeBuild 項目環境應該有一個日誌記錄 AWS Config成熟

• [CodeBuild.7] CodeBuild 報表群組匯出應在靜態時加密

• [DataSync.1] DataSync 任務應啟用日誌記錄

• [DMS.1] Database Migration Service 複製實例不應該是公共的

• [DMS.2] 應標記DMS證書

• [DMS.3] 應標記DMS事件訂閱

• [DMS.4] 應標記DMS複製實例

• [DMS.5] DMS 複製子網路群組應加上標籤

• [DMS.6] DMS 複製執行個體應啟用自動次要版本升級

• [DMS.7] 目標資料庫的DMS複寫任務應啟用記錄

• [DMS.8] 來源資料庫的DMS複寫任務應啟用記錄

• [DMS.9] DMS 端點應該使用 SSL

• [DMS.10] Neptune 資料庫的DMS端點應啟用IAM授權

• [DMS.11] MongoDB 的DMS端點應該啟用一個身份驗證機制

• [DMS.12] Redis 的DMS端點OSS應該已啟用 TLS

• [文件 DB.1] Amazon DocumentDB 叢集應在靜態時加密

• [文件 DB.2] Amazon DocumentDB 叢集應該有足夠的備份保留期

• [文件 DB.3] 亞馬遜 DocumentDB 手動叢集快照不應該是公開的

• [文件 DB.4] Amazon DocumentDB 叢集應將稽核日誌發佈到日誌 CloudWatch

• [文件 DB.5] 亞馬遜 DocumentDB 叢集應啟用刪除保護

• [DynamoDB 加速器 (DAX) 叢集應在靜 DynamoDB 時加密

• 備份計劃中應該有 DynamoDB 資料表

• [DynamoDB 加速器叢集在傳輸過程中應加密

• [EC2.3] 附加的 Amazon EBS 卷應該靜態加密

• [EC2.4] 停止的EC2實例應在指定時間段後刪除

• [EC2.6] 應全部啟用VPC流程記錄 VPCs

• [EC2.10] Amazon EC2 應該配置為使用為 Amazon EC2 服務創建的VPC端點

• [EC2.13] 安全性群組不應允許從 0.0.0/0 或:: /0 輸入連接埠 22

• [EC2.14] 安全性群組不應允許從 0.0.0.0/0 或:/0 輸入至連接埠 3389

• [EC2.18] 安全群組只應允許授權連接埠不受限制的傳入流量

• [EC2.20] 兩VPN條隧道為一個 AWS 站點到站點VPN連接應該已啟動

• [EC2.22] 應移除未使用的 Amazon EC2 安全群組

• [EC2.23] Amazon EC2 交通閘道不應自動接受VPC附件請求

• [EC2.24] 不應使用 Amazon EC2 半虛擬實例類型

• [EC2.25] Amazon EC2 啟動模板不應將公共分配IPs給網絡界面

• [EC2.28] 備份計劃應涵蓋EBS磁碟區

• [EC2.33] 應標記EC2運輸閘道附件

• [EC2.34] 應標記公EC2交網關路由表

• [EC2.40] EC2 NAT 網關應該被標記

• [EC2.48] 應標記 Amazon VPC 流程日誌

• [EC2.51] EC2 用戶VPN端端點應該已啟用用戶端連線記錄

• [ECR.2] ECR 私有存儲庫應該配置標籤不變性

• [ECR.3] ECR 存儲庫應至少配置一個生命週期策略

• [ECR.4] 應標記ECR公共存儲庫

• [ECS.1] Amazon ECS 任務定義應具有安全的聯網模式和使用者定義。

• [ECS.9] ECS 任務定義應該有一個日誌記錄配置

• [EFS.1] 應將彈性文件系統配置為使用以加密靜態文件數據 AWS KMS

• [EFS.2] Amazon EFS 卷應該在備份計劃中

• [EFS.3] EFS 訪問點應該強制執行根目錄

• [EFS.4] EFS 接入點應強制執行用戶身份

• [EFS.6] EFS 掛載目標不應與公共子網關聯

• [EFS.7] EFS 檔案系統應啟用自動備份

• [EKS.2] EKS 叢集應在受支援的 Kubernetes 版本上執行

• [EKS.3] EKS 叢集應使用加密的 Kubernetes 秘密

• [EKS.6] EKS 叢集應標記

• [EKS.7] 應標記EKS身份提供程序配置

• [EKS.8] EKS 叢集應啟用稽核記錄

• [ELB.1] 應配置應 Application Load Balancer 以將所有HTTP請求重定向到 HTTPS

• [ELB.2] 帶有/監聽器的經典負載平衡SSL器HTTPS應該使用提供的證書使用 AWS Certificate Manager

• [ELB.4] 應將應 Application Load Balancer 設定為刪除 http 標頭

• [ELB.6] 應用程式、閘道和網路負載平衡器應啟用刪除保護

• [ELB.8] 帶有SSL偵聽器的傳統負載平衡器應使用具有強大功能的預定義安全策略 AWS Config成熟

• [ELB.13] 應用程式、網路和閘道負載平衡器應跨越多個可用區域

• [ELB.14] Classic Load Balancer 應設定為防禦性或最嚴格的不同步緩解模式

• [ELB.16] 應用程式負載平衡器應與 AWS WAF 網頁 ACL

• [ElastiCache.1] ElastiCache （RedisOSS）集群應啟用自動備份

• [ElastiCache.2] ElastiCache （RedisOSS）集群應啟用自 auto 次要版本升級

• [ElastiCache.3] ElastiCache (RedisOSS) 複製群組應啟用自動容錯移轉

• [ElastiCache.4] ElastiCache (RedisOSS) 複製群組應在靜態時加密

• [ElastiCache.5] ElastiCache (RedisOSS) 複寫群組在傳輸過程中應加密

• [ElastiCache.6] ElastiCache (RedisOSS) 早期版本的複寫群組應啟用 Redis OSS AUTH

• [ElastiCache.7] ElastiCache (RedisOSS) 叢集不應使用預設的子網路群組

• [ElasticBeanstalk.1] Elastic Beanstalk 環境應啟用增強的健康報告

• [ElasticBeanstalk2] 應啟用 Elastic Beanstalk 管理平台更新

• [ElasticBeanstalk.3] Elastic Beanstalk 應該將日誌流式傳輸到 CloudWatch

• [EMR.1] Amazon EMR 叢集主節點不應具有公有 IP 地址

• [ES.1] 彈性搜尋網域應啟用靜態加密

• [ES.2] 彈性搜索域名不應該可公開訪問

• [E.3] 彈性搜尋網域應加密節點之間傳送的資料

• [ES.4] 應該啟用彈性搜索域錯誤日誌記錄到 CloudWatch 日誌

• [EventBridge.3] EventBridge 自定義事件總線應該附加基於資源的策略

• [EventBridge.4] EventBridge 全域端點應啟用事件複寫

• [FSx.1] FSx 對於打開ZFS文件系統，應配置為將標籤複製到備份和卷

• [FSx.2] FSx 對於 Lustre 文件系統，應配置為將標籤複製到備份

• [GlobalAccelerator.1] 應標記全局加速器加速器

• [GuardDuty.1] GuardDuty 應該啟用

• [GuardDuty.2] GuardDuty 過濾器應標記

• [GuardDuty.3] GuardDuty IPSets 應該被標記

• [GuardDuty.9] 應 GuardDuty RDS啟用保護

• [IAM.1] IAM 策略不應允許完整的「*」管理權限

• [IAM.2] IAM 用戶不應該附加IAM策略

• [IAM.3] IAM 用戶的訪問密鑰應每 90 天或更短時間輪換一次

• [IAM.4] IAM 根用戶訪問密鑰不應存在

• 所有擁有主控台密碼的使用IAM者都MFA應啟用 [IAM.5]

• [IAM.6] 根用戶MFA應啟用硬件

• [IAM.7] IAM 用戶的密碼策略應具有強大的配置

• [IAM.8] 應刪除未使IAM用的用戶憑據

• MFA應為 root 使用者啟用 [IAM.9]

• [IAM.10] IAM 用戶的密碼策略應該具有強大的 AWS Config排尿

• [IAM.11] 確保IAM密碼策略至少需要一個大寫字母

• [IAM.12] 確保IAM密碼策略至少需要一個小寫字母

• [IAM.13] 確保IAM密碼策略至少需要一個符號

• [IAM.14] 確保IAM密碼策略至少需要一個數字

• [IAM.15] 確保IAM密碼策略要求的密碼長度下限為 14 或更大

• [IAM.16] 確保IAM密碼策略防止密碼重複使用

• [IAM.17] 確保IAM密碼策略在 90 天或更短的時間內過期

• [IAM.18] 確保已建立支援角色來管理事件 AWS Support

• MFA應為所IAM有使用者啟用 [IAM.19]

• [IAM.21] 您建立的IAM客戶管理策略不應允許對服務執行萬用字元動作

• [IAM.22] 應刪除 45 天未使用的IAM用戶憑據

• [IAM.24] IAM 角色應該被標記

• [IAM.25] 應標記IAM用戶

• [IAM.26] 已過期SSL/IAM應移除中管理的TLS憑證

• [IAM.27] IAM 身份不應該附加 AWSCloudShellFullAccess 策略

• [IAM.28] IAM 訪問分析器外部訪問分析器應該啟用

• [檢查器 .1] 應啟用亞馬遜 Inspector EC2 掃描

• [檢查器 .2] 應啟用亞馬遜 Inspector ECR 掃描

• [檢查器 .3] 應啟用亞馬遜 Inspector Lambda 代碼掃描

• [檢查員 .4] 應啟用亞馬遜 Inspector Lambda 標準掃描

• [IoT 1] AWS IoT Device Defender 應標記安全性設定檔

• [IoT 2] AWS IoT Core 緩解措施應標記

• [IoT 3] AWS IoT Core 尺寸應該被標記

• [IoT .4] AWS IoT Core 授權者應該被標記

• [IoT .5] AWS IoT Core 角色別名應該被標記

• [IoT .6] AWS IoT Core 應標記策略

• [Kinesis.1] Kinesis 串流應在靜態時加密

• [運動 .2] Kinesis 流應該被標記

• [KMS.1] IAM 客戶管理策略不應允許對所有密KMS鑰進行解密操作

• [KMS.2] IAM 主體不應具有允許對所有KMS金鑰進行解密動作的IAM內嵌政策

• [Lambda .5] VPC Lambda 函數應該在多個可用區域中運作

• [Macie.1] Amazon Macie 應該啟用

• [MQ2] ActiveMQ 代理程式應該將稽核記錄串流至 CloudWatch

• [MQ.3] Amazon MQ 代理程式應啟用自動次要版本升級

• [MQ.4] 應標記 Amazon MQ 經紀人

• [MQ.5] ActiveMQ 代理程式應該使用主動/待命部署模式

• [MQ.6] RabbitMQ 代理程式應該使用叢集部署模式

• [MSK.1] MSK 叢集在代理程式節點之間的傳輸過程中應加密

• [MSK.2] MSK 叢集應配置增強型監控

• [Neptune .1] Neptune 資料庫叢集在靜態時應加密

• [Neptune .2] Neptune 資料庫叢集應將稽核記錄發佈至記錄 CloudWatch

• [Neptune .3] Neptune DB 叢集快照不應該是公開的

• [Neptune .4] Neptune 資料庫叢集應啟用刪除保護

• [Neptune .5] Neptune 資料庫叢集應啟用自動備份

• [Neptune .6] Neptune 資料庫叢集快照在靜態時應加密

• [Neptune .7] Neptune 資料庫叢集應啟用資料庫驗IAM證

• [Neptune .8] 應將 Neptune 資料庫叢集設定為將標籤複製到快照

• [Neptune .9] Neptune 資料庫叢集應部署在多個可用區域

• [NetworkFirewall.1] Network Firewall 防火牆應跨多個可用區域部署

• [NetworkFirewall.2] 應啟用 Network Firewall 日誌記錄

• [NetworkFirewall.3] Network Firewall 策略應至少有一個關聯的規則組

• [NetworkFirewall.4] 對於完整封包，Network Firewall 策略的預設無狀態處理行動應為捨棄或轉送

• [NetworkFirewall.5] 對於分散式封包，Network Firewall 策略的預設無狀態處理行動應該是捨棄或轉送

• [NetworkFirewall.6] 無狀態 Network Firewall 規則群組不應為空

• [NetworkFirewall.9] Network Firewall 防火牆應啟用刪除保護

• OpenSearch 網域應該已啟用靜態加密

• [打開搜索 .2] OpenSearch 域名不應該是可公開訪問的

• OpenSearch 網域應該加密節點之間傳送的資料

• 應該啟用 OpenSearch 網域錯誤記錄到 CloudWatch 記錄

• OpenSearch 網域應該已啟用稽核記錄

• OpenSearch 網域應該至少有三個資料節點

• OpenSearch 網域應該啟用精細的存取控制

• 應使用最新的安全策略加密與 OpenSearch 域的連接 TLS

• [打開搜索 .9] OpenSearch 域名應該被標記

• OpenSearch 網域應該已安裝最新的軟體更新

• OpenSearch 網域至少應該有三個專用的主節點

• [PCA1] AWS Private CA 應停用根憑證授權單位

• [RDS.1] RDS 快照應該是私有的

• [RDS.4] RDS 叢集快照集和資料庫快照集應在靜態時加密

• [RDS.7] RDS 叢集應啟用刪除保護

• [RDS.8] RDS 資料庫執行個體應啟用刪除保護

• [RDS.12] 應為RDS叢集設定IAM驗證

• [RDS.14] Amazon Aurora 叢集應啟用回溯

• [RDS.15] 應為多個可用區域設定資RDS料庫叢集

• [RDS.24] RDS 資料庫叢集應使用自訂管理員使用者名稱

• [RDS.26] RDS 資料庫執行個體應受到備份計劃的保護

• [RDS.27] RDS 資料庫叢集應在靜態時加密

• [RDS.29] 應標記RDS資料庫叢集快照

• [RDS.31] 應標記RDS資料庫安全群組

• [RDS.34] Aurora 我的SQL資料庫叢集應將稽核記錄發佈到 CloudWatch 記錄

• [RDS.35] RDS 資料庫叢集應啟用自動次要版本升級

• [紅移 3] 亞馬遜 Redshift 集群應啟用自動快照

• [Redshift.8] 亞馬遜 Redshift 群集不應使用默認的管理員用戶名

• [紅移 .9] Redshift 叢集不應使用預設的資料庫名稱

• [紅移 .12] 應標記 Redshift 事件通知訂閱

• [路線 53.1] 應標記 53 號路線健康檢查

• [路線 53.2] 路線 53 公共託管區域應記錄查詢 DNS

• [S3.1] S3 一般用途儲存貯體應啟用區塊公開存取設定

• [S3.2] S3 通用存儲桶應該阻止公共讀取訪問

• [S3.3] S3 通用存儲桶應該阻止公共寫入訪問

• [S3.8] S3 通用存儲桶應阻止公共訪問

• [S3.9] S3 一般用途儲存貯體應啟用伺服器存取記錄

• [SageMaker.1] Amazon SageMaker 筆記本實例不應該直接訪問互聯網

• [SageMaker.2] SageMaker 筆記本實例應以自定義方式啟動 VPC

• [SageMaker.3] 用戶不應該擁有對 SageMaker 筆記本實例的 root 訪問權限

• [ServiceCatalog.1] Service Catalog 產品組合應在 AWS 僅限組織

• [SNS.1] SNS 主題應該使用靜態加密 AWS KMS

• [SQS.1] Amazon SQS 隊列應該在靜態時加密

• [SQS.2] SQS 隊列應該被標記

• [SSM.1] Amazon EC2 實例應由 AWS Systems Manager

• [SSM.2] 由系統管理員管理的 Amazon EC2 執行個體在安裝修補程式COMPLIANT後，修補程式合規狀態應為

• [SSM.3] 由系統管理器管理的 Amazon EC2 執行個體應具有的關聯合規性狀態為 COMPLIANT

• [SSM.4] SSM 文件不應公開

• [StepFunctions.1] Step Functions 狀態機應該打開日誌記錄

• [StepFunctions.2] Step Functions 活動應標記

• [WAF1] AWS WAF 應啟用傳統全域網頁ACL記錄

• [WAF2] AWS WAF 傳統區域規則應具有至少一個條件

• [WAF3] AWS WAF 傳統區域規則群組至少應該有一個規則

• [WAF.4] AWS WAF 傳統區域網路至少ACLs應該有一個規則或規則群組

• [WAF.6] AWS WAF 傳統全域規則應至少有一個條件

• [WAF.7] AWS WAF 傳統全域規則群組至少應有一個規則

• [WAF.8] AWS WAF 傳統全域 Web 至少ACLs應該有一個規則或規則群組

• [WAF.11] AWS WAF 應ACL啟用網頁記錄

• [WAF.12] AWS WAF 規則應啟用 CloudWatch 量度

• [WorkSpaces.1] WorkSpaces 使用者磁碟區應在靜態時加密

• [WorkSpaces.2] WorkSpaces 根磁碟區應在靜態時加密

Middle East (Bahrain)

中東 (巴林) 不支援下列控制項。

• [CloudFront.1] CloudFront 發行版應該配置一個默認的根對象

• [CloudFront.3] CloudFront 發行版在傳輸過程中應該需要加密

• [CloudFront.4] CloudFront 發行版應該配置原始容錯移轉

• [CloudFront.5] CloudFront 發行版應啟用日誌記錄

• [CloudFront.6] CloudFront 發行版應該已WAF啟用

• [CloudFront.7] CloudFront 發行版應使用自訂SSL/憑證 TLS

• [CloudFront.8] CloudFront 發行版應用SNI於服務HTTPS請求

• [CloudFront.9] CloudFront 發行版應該加密到自定義來源的流量

• [CloudFront.10] CloudFront 發行版不應在邊緣位置和自定義來源之間使用棄用的SSL協議

• [CloudFront.12] CloudFront 發行版不應指向不存在的 S3 來源

• [CloudFront.13] CloudFront 發行版應使用源訪問控制

• [CloudFront.14] CloudFront 分佈應標記

• [CodeArtifact.1] CodeArtifact 存儲庫應該被標記

• [文件 DB.1] Amazon DocumentDB 叢集應在靜態時加密

• [文件 DB.2] Amazon DocumentDB 叢集應該有足夠的備份保留期

• [文件 DB.3] 亞馬遜 DocumentDB 手動叢集快照不應該是公開的

• [文件 DB.4] Amazon DocumentDB 叢集應將稽核日誌發佈到日誌 CloudWatch

• [文件 DB.5] 亞馬遜 DocumentDB 叢集應啟用刪除保護

• [DynamoDB 加速器 (DAX) 叢集應在靜 DynamoDB 時加密

• [DynamoDB 加速器叢集在傳輸過程中應加密

• [EC2.20] 兩VPN條隧道為一個 AWS 站點到站點VPN連接應該已啟動

• [EC2.23] Amazon EC2 交通閘道不應自動接受VPC附件請求

• [EC2.24] 不應使用 Amazon EC2 半虛擬實例類型

• [ECR.4] 應標記ECR公共存儲庫

• [ElasticBeanstalk.3] Elastic Beanstalk 應該將日誌流式傳輸到 CloudWatch

• [EventBridge.4] EventBridge 全域端點應啟用事件複寫

• [FSx.1] FSx 對於打開ZFS文件系統，應配置為將標籤複製到備份和卷

• [GlobalAccelerator.1] 應標記全局加速器加速器

• [GuardDuty.1] GuardDuty 應該啟用

• [IAM.26] 已過期SSL/IAM應移除中管理的TLS憑證

• [檢查器 .3] 應啟用亞馬遜 Inspector Lambda 代碼掃描

• [RDS.7] RDS 叢集應啟用刪除保護

• [RDS.12] 應為RDS叢集設定IAM驗證

• [RDS.14] Amazon Aurora 叢集應啟用回溯

• [RDS.15] 應為多個可用區域設定資RDS料庫叢集

• [RDS.24] RDS 資料庫叢集應使用自訂管理員使用者名稱

• [RDS.31] 應標記RDS資料庫安全群組

• [紅移 6] 亞馬遜 Redshift 應該啟用自動升級到主要版本

• [路線 53.1] 應標記 53 號路線健康檢查

• [路線 53.2] 路線 53 公共託管區域應記錄查詢 DNS

• [SSM.2] 由系統管理員管理的 Amazon EC2 執行個體在安裝修補程式COMPLIANT後，修補程式合規狀態應為

• [WAF1] AWS WAF 應啟用傳統全域網頁ACL記錄

• [WAF.6] AWS WAF 傳統全域規則應至少有一個條件

• [WAF.7] AWS WAF 傳統全域規則群組至少應有一個規則

• [WAF.8] AWS WAF 傳統全域 Web 至少ACLs應該有一個規則或規則群組

• [WorkSpaces.1] WorkSpaces 使用者磁碟區應在靜態時加密

• [WorkSpaces.2] WorkSpaces 根磁碟區應在靜態時加密

中東 (UAE)

中東 (UAE) 不支援下列控制項。

• [ACM.2] 管理的RSA證書ACM應使用至少 2,048 位的密鑰長度

• [APIGateway.8] API 網關路由應指定授權類型

• [APIGateway.9] 應為API閘道 V2 階段設定存取記錄

• [AppSync2] AWS AppSync 應啟用欄位層級記錄

• [AppSync.5] AWS AppSync GraphQL 不APIs應該使API用金鑰進行身份驗證

• [AutoScaling.1] 與負載平衡器關聯的 Auto Scaling 群組應使用ELB健康狀態檢查

• [Backup 1] AWS Backup 復原點應在靜態時加密

• [Backup。2] AWS Backup 應標記恢復點

• [Backup 4] AWS Backup 報告計劃應加上標籤

• [CloudFormation.2] 應該標記 CloudFormation 堆棧

• [CloudFront.1] CloudFront 發行版應該配置一個默認的根對象

• [CloudFront.3] CloudFront 發行版在傳輸過程中應該需要加密

• [CloudFront.4] CloudFront 發行版應該配置原始容錯移轉

• [CloudFront.5] CloudFront 發行版應啟用日誌記錄

• [CloudFront.6] CloudFront 發行版應該已WAF啟用

• [CloudFront.7] CloudFront 發行版應使用自訂SSL/憑證 TLS

• [CloudFront.8] CloudFront 發行版應用SNI於服務HTTPS請求

• [CloudFront.9] CloudFront 發行版應該加密到自定義來源的流量

• [CloudFront.10] CloudFront 發行版不應在邊緣位置和自定義來源之間使用棄用的SSL協議

• [CloudFront.12] CloudFront 發行版不應指向不存在的 S3 來源

• [CloudFront.13] CloudFront 發行版應使用源訪問控制

• [CloudFront.14] CloudFront 分佈應標記

• [CloudTrail.1] CloudTrail 應啟用並設定至少一個包含讀取和寫入管理事件的多區域追蹤

• [CloudTrail.6] 確保用於存放 CloudTrail 日誌的 S3 儲存貯體無法公開存取

• [CloudWatch.15] CloudWatch 警報應設定指定的動作

• [CloudWatch.16] CloudWatch 記錄群組應保留一段指定的時間

• [CloudWatch.17] 應啟動 CloudWatch 警報動作

• [CodeArtifact.1] CodeArtifact 存儲庫應該被標記

• [CodeBuild.1] CodeBuild 比特桶源存儲庫不URLs應包含敏感憑據

• [CodeBuild.3] CodeBuild S3 日誌應加密

• [CodeBuild.4] CodeBuild 項目環境應該有一個日誌記錄 AWS Config成熟

• [CodeBuild.7] CodeBuild 報表群組匯出應在靜態時加密

• [Detective .1] Detective 行為圖應該被標記

• [DMS.1] Database Migration Service 複製實例不應該是公共的

• [DMS.2] 應標記DMS證書

• [DMS.3] 應標記DMS事件訂閱

• [DMS.4] 應標記DMS複製實例

• [DMS.5] DMS 複製子網路群組應加上標籤

• [DMS.6] DMS 複製執行個體應啟用自動次要版本升級

• [DMS.7] 目標資料庫的DMS複寫任務應啟用記錄

• [DMS.8] 來源資料庫的DMS複寫任務應啟用記錄

• [DMS.9] DMS 端點應該使用 SSL

• [DMS.10] Neptune 資料庫的DMS端點應啟用IAM授權

• [DMS.11] MongoDB 的DMS端點應該啟用一個身份驗證機制

• [DMS.12] Redis 的DMS端點OSS應該已啟用 TLS

• [文件 DB.1] Amazon DocumentDB 叢集應在靜態時加密

• [文件 DB.2] Amazon DocumentDB 叢集應該有足夠的備份保留期

• [文件 DB.3] 亞馬遜 DocumentDB 手動叢集快照不應該是公開的

• [文件 DB.4] Amazon DocumentDB 叢集應將稽核日誌發佈到日誌 CloudWatch

• [文件 DB.5] 亞馬遜 DocumentDB 叢集應啟用刪除保護

• [DynamoDB 加速器 (DAX) 叢集應在靜 DynamoDB 時加密

• 備份計劃中應該有 DynamoDB 資料表

• [DynamoDB 加速器叢集在傳輸過程中應加密

• [EC2.3] 附加的 Amazon EBS 卷應該靜態加密

• [EC2.4] 停止的EC2實例應在指定時間段後刪除

• [EC2.6] 應全部啟用VPC流程記錄 VPCs

• [EC2.8] EC2 執行個體應該使用執行個體中繼資料服務版本 2 () IMDSv2

• [EC2.12] EC2 EIPs 應刪除未使用的 Amazon

• [EC2.13] 安全性群組不應允許從 0.0.0/0 或:: /0 輸入連接埠 22

• [EC2.14] 安全性群組不應允許從 0.0.0.0/0 或:/0 輸入至連接埠 3389

• [EC2.22] 應移除未使用的 Amazon EC2 安全群組

• [EC2.23] Amazon EC2 交通閘道不應自動接受VPC附件請求

• [EC2.24] 不應使用 Amazon EC2 半虛擬實例類型

• [EC2.25] Amazon EC2 啟動模板不應將公共分配IPs給網絡界面

• [EC2.28] 備份計劃應涵蓋EBS磁碟區

• [EC2.51] EC2 用戶VPN端端點應該已啟用用戶端連線記錄

• [ECR.1] ECR 私有存儲庫應配置圖像掃描

• [ECR.2] ECR 私有存儲庫應該配置標籤不變性

• [ECR.3] ECR 存儲庫應至少配置一個生命週期策略

• [ECR.4] 應標記ECR公共存儲庫

• [ECS.1] Amazon ECS 任務定義應具有安全的聯網模式和使用者定義。

• [ECS.9] ECS 任務定義應該有一個日誌記錄配置

• [EFS.1] 應將彈性文件系統配置為使用以加密靜態文件數據 AWS KMS

• [EFS.2] Amazon EFS 卷應該在備份計劃中

• [EFS.3] EFS 訪問點應該強制執行根目錄

• [EFS.4] EFS 接入點應強制執行用戶身份

• [EKS.2] EKS 叢集應在受支援的 Kubernetes 版本上執行

• [ELB.1] 應配置應 Application Load Balancer 以將所有HTTP請求重定向到 HTTPS

• [ELB.3] Classic Load Balancer 偵聽器應配置HTTPS或TLS終止

• [ELB.9] 傳統負載平衡器應啟用跨區域負載平衡

• [ELB.14] Classic Load Balancer 應設定為防禦性或最嚴格的不同步緩解模式

• [ELB.16] 應用程式負載平衡器應與 AWS WAF 網頁 ACL

• [ElastiCache.1] ElastiCache （RedisOSS）集群應啟用自動備份

• [ElastiCache.2] ElastiCache （RedisOSS）集群應啟用自 auto 次要版本升級

• [ElastiCache.3] ElastiCache (RedisOSS) 複製群組應啟用自動容錯移轉

• [ElastiCache.4] ElastiCache (RedisOSS) 複製群組應在靜態時加密

• [ElastiCache.5] ElastiCache (RedisOSS) 複寫群組在傳輸過程中應加密

• [ElastiCache.6] ElastiCache (RedisOSS) 早期版本的複寫群組應啟用 Redis OSS AUTH

• [ElastiCache.7] ElastiCache (RedisOSS) 叢集不應使用預設的子網路群組

• [ElasticBeanstalk.1] Elastic Beanstalk 環境應啟用增強的健康報告

• [ElasticBeanstalk2] 應啟用 Elastic Beanstalk 管理平台更新

• [ElasticBeanstalk.3] Elastic Beanstalk 應該將日誌流式傳輸到 CloudWatch

• [EMR.1] Amazon EMR 叢集主節點不應具有公有 IP 地址

• [EventBridge.3] EventBridge 自定義事件總線應該附加基於資源的策略

• [EventBridge.4] EventBridge 全域端點應啟用事件複寫

• [FSx.1] FSx 對於打開ZFS文件系統，應配置為將標籤複製到備份和卷

• [GlobalAccelerator.1] 應標記全局加速器加速器

• [GuardDuty.2] GuardDuty 過濾器應標記

• [GuardDuty.9] 應 GuardDuty RDS啟用保護

• [IAM.1] IAM 策略不應允許完整的「*」管理權限

• [IAM.2] IAM 用戶不應該附加IAM策略

• [IAM.3] IAM 用戶的訪問密鑰應每 90 天或更短時間輪換一次

• [IAM.4] IAM 根用戶訪問密鑰不應存在

• 所有擁有主控台密碼的使用IAM者都MFA應啟用 [IAM.5]

• [IAM.6] 根用戶MFA應啟用硬件

• [IAM.8] 應刪除未使IAM用的用戶憑據

• MFA應為 root 使用者啟用 [IAM.9]

• [IAM.18] 確保已建立支援角色來管理事件 AWS Support

• MFA應為所IAM有使用者啟用 [IAM.19]

• [IAM.21] 您建立的IAM客戶管理策略不應允許對服務執行萬用字元動作

• [IAM.22] 應刪除 45 天未使用的IAM用戶憑據

• [IAM.24] IAM 角色應該被標記

• [IAM.25] 應標記IAM用戶

• [IAM.26] 已過期SSL/IAM應移除中管理的TLS憑證

• [IAM.27] IAM 身份不應該附加 AWSCloudShellFullAccess 策略

• [檢查器 .1] 應啟用亞馬遜 Inspector EC2 掃描

• [檢查器 .2] 應啟用亞馬遜 Inspector ECR 掃描

• [檢查器 .3] 應啟用亞馬遜 Inspector Lambda 代碼掃描

• [檢查員 .4] 應啟用亞馬遜 Inspector Lambda 標準掃描

• [Kinesis.1] Kinesis 串流應在靜態時加密

• [KMS.1] IAM 客戶管理策略不應允許對所有密KMS鑰進行解密操作

• [KMS.2] IAM 主體不應具有允許對所有KMS金鑰進行解密動作的IAM內嵌政策

• [KMS.4] AWS KMS 鍵旋轉應該被啟用

• [Lambda .5] VPC Lambda 函數應該在多個可用區域中運作

• [Macie.1] Amazon Macie 應該啟用

• [Macie.2] 應啟用 Macie 自動化敏感資料探索功能

• [MSK.1] MSK 叢集在代理程式節點之間的傳輸過程中應加密

• [MSK.2] MSK 叢集應配置增強型監控

• [Neptune .1] Neptune 資料庫叢集在靜態時應加密

• [Neptune .2] Neptune 資料庫叢集應將稽核記錄發佈至記錄 CloudWatch

• [Neptune .3] Neptune DB 叢集快照不應該是公開的

• [Neptune .4] Neptune 資料庫叢集應啟用刪除保護

• [Neptune .5] Neptune 資料庫叢集應啟用自動備份

• [Neptune .6] Neptune 資料庫叢集快照在靜態時應加密

• [Neptune .7] Neptune 資料庫叢集應啟用資料庫驗IAM證

• [Neptune .8] 應將 Neptune 資料庫叢集設定為將標籤複製到快照

• [Neptune .9] Neptune 資料庫叢集應部署在多個可用區域

• [NetworkFirewall.1] Network Firewall 防火牆應跨多個可用區域部署

• [NetworkFirewall.2] 應啟用 Network Firewall 日誌記錄

• [NetworkFirewall.3] Network Firewall 策略應至少有一個關聯的規則組

• [NetworkFirewall.4] 對於完整封包，Network Firewall 策略的預設無狀態處理行動應為捨棄或轉送

• [NetworkFirewall.5] 對於分散式封包，Network Firewall 策略的預設無狀態處理行動應該是捨棄或轉送

• [NetworkFirewall.6] 無狀態 Network Firewall 規則群組不應為空

• [NetworkFirewall.9] Network Firewall 防火牆應啟用刪除保護

• OpenSearch 網域應該已啟用靜態加密

• [打開搜索 .2] OpenSearch 域名不應該是可公開訪問的

• OpenSearch 網域應該加密節點之間傳送的資料

• 應該啟用 OpenSearch 網域錯誤記錄到 CloudWatch 記錄

• OpenSearch 網域應該已啟用稽核記錄

• OpenSearch 網域應該至少有三個資料節點

• OpenSearch 網域應該啟用精細的存取控制

• 應使用最新的安全策略加密與 OpenSearch 域的連接 TLS

• [打開搜索 .9] OpenSearch 域名應該被標記

• OpenSearch 網域應該已安裝最新的軟體更新

• OpenSearch 網域至少應該有三個專用的主節點

• [RDS.1] RDS 快照應該是私有的

• [RDS.2] RDS 資料庫執行個體應該禁止公開存取，如 PubliclyAccessible AWS Config成熟

• [RDS.3] RDS 數據庫實例應啟用靜態加密

• [RDS.5] RDS 資料庫執行個體應設定多個可用區域

• [RDS.6] 應為RDS資料庫執行個體設定增強型監控

• [RDS.8] RDS 資料庫執行個體應啟用刪除保護

• [RDS.11] RDS 執行個體應啟用自動備份

• [RDS.14] Amazon Aurora 叢集應啟用回溯

• [RDS.24] RDS 資料庫叢集應使用自訂管理員使用者名稱

• [RDS.26] RDS 資料庫執行個體應受到備份計劃的保護

• [RDS.31] 應標記RDS資料庫安全群組

• [RDS.35] RDS 資料庫叢集應啟用自動次要版本升級

• [紅移 .9] Redshift 叢集不應使用預設的資料庫名稱

• [紅移 .12] 應標記 Redshift 事件通知訂閱

• [路線 53.1] 應標記 53 號路線健康檢查

• [路線 53.2] 路線 53 公共託管區域應記錄查詢 DNS

• [S3.2] S3 通用存儲桶應該阻止公共讀取訪問

• [S3.3] S3 通用存儲桶應該阻止公共寫入訪問

• [S3.5] S3 通用存儲桶應該需要請求使用 SSL

• [S3.6] S3 一般用途儲存貯體政策應限制對其他儲存貯體的存取 AWS 帳戶

• [S3.14] S3 一般用途儲存貯體應啟用版本控制

• [SageMaker.1] Amazon SageMaker 筆記本實例不應該直接訪問互聯網

• [SageMaker.2] SageMaker 筆記本實例應以自定義方式啟動 VPC

• [SageMaker.3] 用戶不應該擁有對 SageMaker 筆記本實例的 root 訪問權限

• [SES.1] 應標記SES聯繫人列表

• [SES.2] SES 配置集應標記

• [SNS.1] SNS 主題應該使用靜態加密 AWS KMS

• [SQS.1] Amazon SQS 隊列應該在靜態時加密

• [SQS.2] SQS 隊列應該被標記

• [SSM.1] Amazon EC2 實例應由 AWS Systems Manager

• [StepFunctions.1] Step Functions 狀態機應該打開日誌記錄

• [WAF1] AWS WAF 應啟用傳統全域網頁ACL記錄

• [WAF2] AWS WAF 傳統區域規則應具有至少一個條件

• [WAF3] AWS WAF 傳統區域規則群組至少應該有一個規則

• [WAF.4] AWS WAF 傳統區域網路至少ACLs應該有一個規則或規則群組

• [WAF.6] AWS WAF 傳統全域規則應至少有一個條件

• [WAF.7] AWS WAF 傳統全域規則群組至少應有一個規則

• [WAF.8] AWS WAF 傳統全域 Web 至少ACLs應該有一個規則或規則群組

• [WAF.10] AWS WAF web ACLs 應該至少有一個規則或規則群組

• [WAF.11] AWS WAF 應ACL啟用網頁記錄

• [WorkSpaces.1] WorkSpaces 使用者磁碟區應在靜態時加密

• [WorkSpaces.2] WorkSpaces 根磁碟區應在靜態時加密

南美洲 (聖保羅)

南美洲 (聖保羅) 不支援下列控制項。

• [CloudFront.1] CloudFront 發行版應該配置一個默認的根對象

• [CloudFront.3] CloudFront 發行版在傳輸過程中應該需要加密

• [CloudFront.4] CloudFront 發行版應該配置原始容錯移轉

• [CloudFront.5] CloudFront 發行版應啟用日誌記錄

• [CloudFront.6] CloudFront 發行版應該已WAF啟用

• [CloudFront.7] CloudFront 發行版應使用自訂SSL/憑證 TLS

• [CloudFront.8] CloudFront 發行版應用SNI於服務HTTPS請求

• [CloudFront.9] CloudFront 發行版應該加密到自定義來源的流量

• [CloudFront.10] CloudFront 發行版不應在邊緣位置和自定義來源之間使用棄用的SSL協議

• [CloudFront.12] CloudFront 發行版不應指向不存在的 S3 來源

• [CloudFront.13] CloudFront 發行版應使用源訪問控制

• [CloudFront.14] CloudFront 分佈應標記

• [CodeArtifact.1] CodeArtifact 存儲庫應該被標記

• [ECR.4] 應標記ECR公共存儲庫

• [FSx.1] FSx 對於打開ZFS文件系統，應配置為將標籤複製到備份和卷

• [GlobalAccelerator.1] 應標記全局加速器加速器

• [IAM.26] 已過期SSL/IAM應移除中管理的TLS憑證

• [檢查器 .3] 應啟用亞馬遜 Inspector Lambda 代碼掃描

• [IoT 1] AWS IoT Device Defender 應標記安全性設定檔

• [IoT 2] AWS IoT Core 緩解措施應標記

• [IoT 3] AWS IoT Core 尺寸應該被標記

• [RDS.7] RDS 叢集應啟用刪除保護

• [RDS.12] 應為RDS叢集設定IAM驗證

• [RDS.14] Amazon Aurora 叢集應啟用回溯

• [RDS.15] 應為多個可用區域設定資RDS料庫叢集

• [RDS.24] RDS 資料庫叢集應使用自訂管理員使用者名稱

• [路線 53.1] 應標記 53 號路線健康檢查

• [路線 53.2] 路線 53 公共託管區域應記錄查詢 DNS

• [WAF1] AWS WAF 應啟用傳統全域網頁ACL記錄

• [WAF.6] AWS WAF 傳統全域規則應至少有一個條件

• [WAF.7] AWS WAF 傳統全域規則群組至少應有一個規則

• [WAF.8] AWS WAF 傳統全域 Web 至少ACLs應該有一個規則或規則群組

AWS GovCloud (美國東部)

中不支援下列控制項 AWS GovCloud (美國東部).

• [ACM.2] 管理的RSA證書ACM應使用至少 2,048 位的密鑰長度

• [ACM.3] 應標記ACM證書

• [帳戶。1] 應提供安全聯繫信息 AWS 帳戶

• [帳戶 2] AWS 帳戶 應該是 AWS Organizations 組織

• [APIGateway.2] API 閘道RESTAPI階段應設定為使用SSL憑證進行後端驗證

• [APIGateway.3] API 網關RESTAPI階段應該有 AWS X-Ray 已啟用追蹤

• [APIGateway.4] API 網關應該與網絡關聯 WAF ACL

• [APIGateway.8] API 網關路由應指定授權類型

• [APIGateway.9] 應為API閘道 V2 階段設定存取記錄

• [AppSync2] AWS AppSync 應啟用欄位層級記錄

• [AppSync.4] AWS AppSync GraphQL APIs 應該被標記

• [AppSync.5] AWS AppSync GraphQL 不APIs應該使API用金鑰進行身份驗證

• [Athena。2] Athena 資料目錄應加上標籤

• [Athena .3] Athena 工作組應該被標記

• [AutoScaling.2] Amazon EC2 Auto Scaling 組應涵蓋多個可用區域

• [AutoScaling.3] Auto Scaling 群組啟動設定應該將EC2執行個體設定為需要執行個體中繼資料服務第 2 版 (IMDSv2)

• [AutoScaling.6] Auto Scaling 群組應在多個可用區域中使用多個執行個體類型

• [AutoScaling.9] Amazon EC2 Auto Scaling 組應使用 Amazon EC2 啟動模板

• [AutoScaling.10] 應標記 EC2 Auto Scaling 組

• [自動擴展 .5] 使用 Auto Scaling 群組啟動組態啟動的 Amazon EC2 執行個體不應具有公有 IP 地址

• [Backup。2] AWS Backup 應標記恢復點

• [Backup 3] AWS Backup 儲存庫應加上標籤

• [Backup 4] AWS Backup 報告計劃應加上標籤

• [Backup .5] AWS Backup 備份計劃應加上標籤

• [CloudFormation.2] 應該標記 CloudFormation 堆棧

• [CloudFront.1] CloudFront 發行版應該配置一個默認的根對象

• [CloudFront.3] CloudFront 發行版在傳輸過程中應該需要加密

• [CloudFront.4] CloudFront 發行版應該配置原始容錯移轉

• [CloudFront.5] CloudFront 發行版應啟用日誌記錄

• [CloudFront.6] CloudFront 發行版應該已WAF啟用

• [CloudFront.7] CloudFront 發行版應使用自訂SSL/憑證 TLS

• [CloudFront.8] CloudFront 發行版應用SNI於服務HTTPS請求

• [CloudFront.9] CloudFront 發行版應該加密到自定義來源的流量

• [CloudFront.10] CloudFront 發行版不應在邊緣位置和自定義來源之間使用棄用的SSL協議

• [CloudFront.12] CloudFront 發行版不應指向不存在的 S3 來源

• [CloudFront.13] CloudFront 發行版應使用源訪問控制

• [CloudFront.14] CloudFront 分佈應標記

• [CloudTrail.9] CloudTrail 小徑應該被標記

• [CloudWatch.15] CloudWatch 警報應設定指定的動作

• [CloudWatch.16] CloudWatch 記錄群組應保留一段指定的時間

• [CloudWatch.17] 應啟動 CloudWatch 警報動作

• [CodeArtifact.1] CodeArtifact 存儲庫應該被標記

• [CodeBuild.1] CodeBuild 比特桶源存儲庫不URLs應包含敏感憑據

• [CodeBuild.2] CodeBuild 項目環境變量不應包含純文本憑據

• [CodeBuild.3] CodeBuild S3 日誌應加密

• [CodeBuild.4] CodeBuild 項目環境應該有一個日誌記錄 AWS Config成熟

• [Detective .1] Detective 行為圖應該被標記

• [DMS.2] 應標記DMS證書

• [DMS.3] 應標記DMS事件訂閱

• [DMS.4] 應標記DMS複製實例

• [DMS.5] DMS 複製子網路群組應加上標籤

• [DMS.6] DMS 複製執行個體應啟用自動次要版本升級

• [DMS.7] 目標資料庫的DMS複寫任務應啟用記錄

• [DMS.8] 來源資料庫的DMS複寫任務應啟用記錄

• [DMS.9] DMS 端點應該使用 SSL

• [文件 DB.1] Amazon DocumentDB 叢集應在靜態時加密

• [文件 DB.2] Amazon DocumentDB 叢集應該有足夠的備份保留期

• [文件 DB.3] 亞馬遜 DocumentDB 手動叢集快照不應該是公開的

• [文件 DB.4] Amazon DocumentDB 叢集應將稽核日誌發佈到日誌 CloudWatch

• [文件 DB.5] 亞馬遜 DocumentDB 叢集應啟用刪除保護

• [DynamoDB 資料表應該會根據需求自動擴展容量

• [DynamoDB 加速器 (DAX) 叢集應在靜 DynamoDB 時加密

• 備份計劃中應該有 DynamoDB 資料表

• [動態 B] 應標記動態資料表

• [DynamoDB 加速器叢集在傳輸過程中應加密

• [EC2.15] Amazon EC2 子網路不應自動分配公有 IP 地址

• [EC2.16] 應移除未使用的網路存取控制清單

• [EC2.17] Amazon EC2 實例不應使用多個 ENIs

• [EC2.21] 網路不ACLs應允許從 0.0.0/0 輸入連接埠 22 或連接埠 3389

• [EC2.22] 應移除未使用的 Amazon EC2 安全群組

• [EC2.23] Amazon EC2 交通閘道不應自動接受VPC附件請求

• [EC2.24] 不應使用 Amazon EC2 半虛擬實例類型

• [EC2.25] Amazon EC2 啟動模板不應將公共分配IPs給網絡界面

• [EC2.28] 備份計劃應涵蓋EBS磁碟區

• [EC2.33] 應標記EC2運輸閘道附件

• [EC2.34] 應標記公EC2交網關路由表

• [EC2.35] EC2 網絡接口應該被標記

• [EC2.36] 應標記EC2客戶閘道

• [EC2.37] 應標記EC2彈性 IP 位址

• [EC2.38] 應標記EC2實例

• [EC2.39] 應標記EC2互聯網閘道

• [EC2.40] EC2 NAT 網關應該被標記

• [EC2.41] EC2 網絡ACLs應該被標記

• [EC2.42] EC2 路由表應標記

• [EC2.43] 應標記EC2安全群組

• [EC2.44] EC2 子網應該被標記

• [EC2.45] EC2 磁碟區應標記

• [EC2.46] Amazon VPCs 應該被標記

• [EC2.47] 應標記 Amazon VPC 端點服務

• [EC2.48] 應標記 Amazon VPC 流程日誌

• [EC2.49] 應標VPC記 Amazon 對等連接

• [EC2.50] EC2 VPN 網關應該被標記

• [EC2.52] EC2 運輸閘道應標記

• [ECR.1] ECR 私有存儲庫應配置圖像掃描

• [ECR.2] ECR 私有存儲庫應該配置標籤不變性

• [ECR.3] ECR 存儲庫應至少配置一個生命週期策略

• [ECR.4] 應標記ECR公共存儲庫

• [ECS.1] Amazon ECS 任務定義應具有安全的聯網模式和使用者定義。

• [ECS.3] ECS 任務定義不應共享主機的進程名稱空間

• [ECS.4] ECS 容器應該以非特權運行

• [ECS.5] ECS 容器應僅限於對 root 文件系統的只讀訪問

• [ECS.8] 秘密不應作為容器環境變量傳遞

• [ECS.9] ECS 任務定義應該有一個日誌記錄配置

• [ECS.10] ECS Fargate 服務應該在最新的 Fargate 平台版本上運行

• [ECS.12] ECS 叢集應使用容器深入解析

• [ECS.13] ECS 服務應該被標記

• [ECS.14] ECS 叢集應加上標記

• [ECS.15] ECS 任務定義應該被標記

• [EFS.2] Amazon EFS 卷應該在備份計劃中

• [EFS.3] EFS 訪問點應該強制執行根目錄

• [EFS.4] EFS 接入點應強制執行用戶身份

• [EFS.5] EFS 接入點應標記

• [EKS.1] EKS 叢集端點不應可公開存取

• [EKS.2] EKS 叢集應在受支援的 Kubernetes 版本上執行

• [EKS.6] EKS 叢集應標記

• [EKS.7] 應標記EKS身份提供程序配置

• [EKS.8] EKS 叢集應啟用稽核記錄

• [ELB.2] 帶有/監聽器的經典負載平衡SSL器HTTPS應該使用提供的證書使用 AWS Certificate Manager

• [ELB.8] 帶有SSL偵聽器的傳統負載平衡器應使用具有強大功能的預定義安全策略 AWS Config成熟

• [ELB.10] Classic Load Balancer 應跨越多個可用區域

• [ELB.12] Application Load Balancer 應設定為防禦性或最嚴格的不同步緩解模式

• [ELB.13] 應用程式、網路和閘道負載平衡器應跨越多個可用區域

• [ELB.14] Classic Load Balancer 應設定為防禦性或最嚴格的不同步緩解模式

• [ELB.16] 應用程式負載平衡器應與 AWS WAF 網頁 ACL

• [ElastiCache.1] ElastiCache （RedisOSS）集群應啟用自動備份

• [ElastiCache.2] ElastiCache （RedisOSS）集群應啟用自 auto 次要版本升級

• [ElastiCache.3] ElastiCache (RedisOSS) 複製群組應啟用自動容錯移轉

• [ElastiCache.4] ElastiCache (RedisOSS) 複製群組應在靜態時加密

• [ElastiCache.5] ElastiCache (RedisOSS) 複寫群組在傳輸過程中應加密

• [ElastiCache.6] ElastiCache (RedisOSS) 早期版本的複寫群組應啟用 Redis OSS AUTH

• [ElastiCache.7] ElastiCache (RedisOSS) 叢集不應使用預設的子網路群組

• [ElasticBeanstalk.1] Elastic Beanstalk 環境應啟用增強的健康報告

• [ElasticBeanstalk2] 應啟用 Elastic Beanstalk 管理平台更新

• [ElasticBeanstalk.3] Elastic Beanstalk 應該將日誌流式傳輸到 CloudWatch

• [EMR.2] 應啟用 Amazon EMR 塊公共訪問設置

• [ES.4] 應該啟用彈性搜索域錯誤日誌記錄到 CloudWatch 日誌

• [.9] 彈性搜索域應該被標記

• [EventBridge.2] EventBridge 活動總線應標記

• [EventBridge.3] EventBridge 自定義事件總線應該附加基於資源的策略

• [EventBridge.4] EventBridge 全域端點應啟用事件複寫

• [FSx.1] FSx 對於打開ZFS文件系統，應配置為將標籤複製到備份和卷

• [FSx.2] FSx 對於 Lustre 文件系統，應配置為將標籤複製到備份

• [GlobalAccelerator.1] 應標記全局加速器加速器

• [膠水 1] AWS Glue 工作應該被標記

• [膠水 3] AWS Glue 機器學習轉換應在靜態時加密

• [GuardDuty.1] GuardDuty 應該啟用

• [GuardDuty.2] GuardDuty 過濾器應標記

• [GuardDuty.3] GuardDuty IPSets 應該被標記

• [GuardDuty.4] 應標 GuardDuty 記探測器

• [GuardDuty.8] EC2 應啟用的 GuardDuty 惡意軟件防護

• [GuardDuty.9] 應 GuardDuty RDS啟用保護

• [IAM.6] 根用戶MFA應啟用硬件

• MFA應為 root 使用者啟用 [IAM.9]

• [IAM.21] 您建立的IAM客戶管理策略不應允許對服務執行萬用字元動作

• [IAM.23] 應標記IAM訪問分析儀分析儀

• [IAM.24] IAM 角色應該被標記

• [IAM.25] 應標記IAM用戶

• [IAM.26] 已過期SSL/IAM應移除中管理的TLS憑證

• [IAM.28] IAM 訪問分析器外部訪問分析器應該啟用

• [檢查器 .3] 應啟用亞馬遜 Inspector Lambda 代碼掃描

• [IoT 1] AWS IoT Device Defender 應標記安全性設定檔

• [IoT 2] AWS IoT Core 緩解措施應標記

• [IoT 3] AWS IoT Core 尺寸應該被標記

• [IoT .4] AWS IoT Core 授權者應該被標記

• [IoT .5] AWS IoT Core 角色別名應該被標記

• [IoT .6] AWS IoT Core 應標記策略

• [Kinesis.1] Kinesis 串流應在靜態時加密

• [運動 .2] Kinesis 流應該被標記

• [Lambda .5] VPC Lambda 函數應該在多個可用區域中運作

• [Lambda .6] 應該標記 Lambda 函數

• [Macie.1] Amazon Macie 應該啟用

• [Macie.2] 應啟用 Macie 自動化敏感資料探索功能

• [MQ.3] Amazon MQ 代理程式應啟用自動次要版本升級

• [MQ.4] 應標記 Amazon MQ 經紀人

• [MQ.5] ActiveMQ 代理程式應該使用主動/待命部署模式

• [MQ.6] RabbitMQ 代理程式應該使用叢集部署模式

• [MSK.1] MSK 叢集在代理程式節點之間的傳輸過程中應加密

• [MSK.2] MSK 叢集應配置增強型監控

• [Neptune .1] Neptune 資料庫叢集在靜態時應加密

• [Neptune .2] Neptune 資料庫叢集應將稽核記錄發佈至記錄 CloudWatch

• [Neptune .3] Neptune DB 叢集快照不應該是公開的

• [Neptune .4] Neptune 資料庫叢集應啟用刪除保護

• [Neptune .5] Neptune 資料庫叢集應啟用自動備份

• [Neptune .6] Neptune 資料庫叢集快照在靜態時應加密

• [Neptune .7] Neptune 資料庫叢集應啟用資料庫驗IAM證

• [Neptune .8] 應將 Neptune 資料庫叢集設定為將標籤複製到快照

• [Neptune .9] Neptune 資料庫叢集應部署在多個可用區域

• [NetworkFirewall.1] Network Firewall 防火牆應跨多個可用區域部署

• [NetworkFirewall.2] 應啟用 Network Firewall 日誌記錄

• [NetworkFirewall.3] Network Firewall 策略應至少有一個關聯的規則組

• [NetworkFirewall.4] 對於完整封包，Network Firewall 策略的預設無狀態處理行動應為捨棄或轉送

• [NetworkFirewall.5] 對於分散式封包，Network Firewall 策略的預設無狀態處理行動應該是捨棄或轉送

• [NetworkFirewall.6] 無狀態 Network Firewall 規則群組不應為空

• [NetworkFirewall.7] 應標記 Network Firewall 防火牆

• [NetworkFirewall.8] 應標記 Network Firewall 防火牆策略

• [NetworkFirewall.9] Network Firewall 防火牆應啟用刪除保護

• OpenSearch 網域應該已啟用靜態加密

• [打開搜索 .2] OpenSearch 域名不應該是可公開訪問的

• OpenSearch 網域應該加密節點之間傳送的資料

• 應該啟用 OpenSearch 網域錯誤記錄到 CloudWatch 記錄

• OpenSearch 網域應該已啟用稽核記錄

• OpenSearch 網域應該至少有三個資料節點

• OpenSearch 網域應該啟用精細的存取控制

• 應使用最新的安全策略加密與 OpenSearch 域的連接 TLS

• [打開搜索 .9] OpenSearch 域名應該被標記

• [PCA1] AWS Private CA 應停用根憑證授權單位

• [RDS.12] 應為RDS叢集設定IAM驗證

• [RDS.13] 應啟用RDS自動次要版本升級

• [RDS.14] Amazon Aurora 叢集應啟用回溯

• [RDS.15] 應為多個可用區域設定資RDS料庫叢集

• [RDS.24] RDS 資料庫叢集應使用自訂管理員使用者名稱

• [RDS.25] RDS 資料庫執行個體應使用自訂管理員使用者名稱

• [RDS.26] RDS 資料庫執行個體應受到備份計劃的保護

• [RDS.27] RDS 資料庫叢集應在靜態時加密

• [RDS.28] 應標記RDS資料庫叢集

• [RDS.29] 應標記RDS資料庫叢集快照

• [RDS.30] 應標記RDS資料庫執行個體

• [RDS.31] 應標記RDS資料庫安全群組

• [RDS.32] 應標記RDS資料庫快照

• [RDS.33] 應標記RDS資料庫子網路群組

• [RDS.34] Aurora 我的SQL資料庫叢集應將稽核記錄發佈到 CloudWatch 記錄

• [RDS.35] RDS 資料庫叢集應啟用自動次要版本升級

• [紅移 .7] Redshift 叢集應該使用增強型路由 VPC

• [Redshift.8] 亞馬遜 Redshift 群集不應使用默認的管理員用戶名

• [紅移 .9] Redshift 叢集不應使用預設的資料庫名稱

• [紅移 .10] Redshift 叢集在靜態時應加密

• [紅移 .11] 應標記 Redshift 叢集

• [紅移 .12] 應標記 Redshift 事件通知訂閱

• [紅移 .13] 應標記 Redshift 叢集快照

• [紅移 .14] 應標記 Redshift 叢集子網路群組

• [路線 53.1] 應標記 53 號路線健康檢查

• [路線 53.2] 路線 53 公共託管區域應記錄查詢 DNS

• [S3.1] S3 一般用途儲存貯體應啟用區塊公開存取設定

• [S3.8] S3 通用存儲桶應阻止公共訪問

• [S3.10] 啟用版本控制的 S3 一般用途儲存貯體應具有生命週期組態

• [S3.11] S3 一般用途儲存貯體應啟用事件通知

• [S3.12] 不ACLs應用於管理使用者對 S3 一般用途儲存貯體的存取

• [S3.13] S3 一般用途儲存貯體應具有生命週期組態

• [S3.14] S3 一般用途儲存貯體應啟用版本控制

• [S3.20] S3 一般用途儲存貯體應啟用刪除功能 MFA

• [SageMaker.1] Amazon SageMaker 筆記本實例不應該直接訪問互聯網

• [SageMaker.2] SageMaker 筆記本實例應以自定義方式啟動 VPC

• [SageMaker.3] 用戶不應該擁有對 SageMaker 筆記本實例的 root 訪問權限

• [SES.1] 應標記SES聯繫人列表

• [SES.2] SES 配置集應標記

• [SecretsManager.3] 刪除未使用的 Secrets Manager 秘密

• [SecretsManager.4] Secrets Manager 密鑰應在指定的天數內輪替

• [SecretsManager.5] Secrets Manager 秘密應該被標記

• [SNS.3] SNS 主題應該被標記

• [SQS.2] SQS 隊列應該被標記

• [SSM.4] SSM 文件不應公開

• [StepFunctions.1] Step Functions 狀態機應該打開日誌記錄

• [StepFunctions.2] Step Functions 活動應標記

• [轉移一] AWS Transfer Family 工作流程應加上標籤

• [WAF1] AWS WAF 應啟用傳統全域網頁ACL記錄

• [WAF2] AWS WAF 傳統區域規則應具有至少一個條件

• [WAF3] AWS WAF 傳統區域規則群組至少應該有一個規則

• [WAF.4] AWS WAF 傳統區域網路至少ACLs應該有一個規則或規則群組

• [WAF.6] AWS WAF 傳統全域規則應至少有一個條件

• [WAF.7] AWS WAF 傳統全域規則群組至少應有一個規則

• [WAF.8] AWS WAF 傳統全域 Web 至少ACLs應該有一個規則或規則群組

• [WAF.10] AWS WAF web ACLs 應該至少有一個規則或規則群組

• [WAF.11] AWS WAF 應ACL啟用網頁記錄

• [WAF.12] AWS WAF 規則應啟用 CloudWatch 量度

• [WorkSpaces.1] WorkSpaces 使用者磁碟區應在靜態時加密

• [WorkSpaces.2] WorkSpaces 根磁碟區應在靜態時加密

AWS GovCloud (美國西部)

中不支援下列控制項 AWS GovCloud (美國西部).

• [ACM.2] 管理的RSA證書ACM應使用至少 2,048 位的密鑰長度

• [ACM.3] 應標記ACM證書

• [帳戶。1] 應提供安全聯繫信息 AWS 帳戶

• [帳戶 2] AWS 帳戶 應該是 AWS Organizations 組織

• [APIGateway.2] API 閘道RESTAPI階段應設定為使用SSL憑證進行後端驗證

• [APIGateway.3] API 網關RESTAPI階段應該有 AWS X-Ray 已啟用追蹤

• [APIGateway.4] API 網關應該與網絡關聯 WAF ACL

• [APIGateway.8] API 網關路由應指定授權類型

• [APIGateway.9] 應為API閘道 V2 階段設定存取記錄

• [AppSync2] AWS AppSync 應啟用欄位層級記錄

• [AppSync.4] AWS AppSync GraphQL APIs 應該被標記

• [AppSync.5] AWS AppSync GraphQL 不APIs應該使API用金鑰進行身份驗證

• [Athena。2] Athena 資料目錄應加上標籤

• [Athena .3] Athena 工作組應該被標記

• [AutoScaling.2] Amazon EC2 Auto Scaling 組應涵蓋多個可用區域

• [AutoScaling.3] Auto Scaling 群組啟動設定應該將EC2執行個體設定為需要執行個體中繼資料服務第 2 版 (IMDSv2)

• [AutoScaling.6] Auto Scaling 群組應在多個可用區域中使用多個執行個體類型

• [AutoScaling.9] Amazon EC2 Auto Scaling 組應使用 Amazon EC2 啟動模板

• [AutoScaling.10] 應標記 EC2 Auto Scaling 組

• [自動擴展 .5] 使用 Auto Scaling 群組啟動組態啟動的 Amazon EC2 執行個體不應具有公有 IP 地址

• [Backup。2] AWS Backup 應標記恢復點

• [Backup 3] AWS Backup 儲存庫應加上標籤

• [Backup 4] AWS Backup 報告計劃應加上標籤

• [Backup .5] AWS Backup 備份計劃應加上標籤

• [CloudFormation.2] 應該標記 CloudFormation 堆棧

• [CloudFront.1] CloudFront 發行版應該配置一個默認的根對象

• [CloudFront.3] CloudFront 發行版在傳輸過程中應該需要加密

• [CloudFront.4] CloudFront 發行版應該配置原始容錯移轉

• [CloudFront.5] CloudFront 發行版應啟用日誌記錄

• [CloudFront.6] CloudFront 發行版應該已WAF啟用

• [CloudFront.7] CloudFront 發行版應使用自訂SSL/憑證 TLS

• [CloudFront.8] CloudFront 發行版應用SNI於服務HTTPS請求

• [CloudFront.9] CloudFront 發行版應該加密到自定義來源的流量

• [CloudFront.10] CloudFront 發行版不應在邊緣位置和自定義來源之間使用棄用的SSL協議

• [CloudFront.12] CloudFront 發行版不應指向不存在的 S3 來源

• [CloudFront.13] CloudFront 發行版應使用源訪問控制

• [CloudFront.14] CloudFront 分佈應標記

• [CloudTrail.9] CloudTrail 小徑應該被標記

• [CloudWatch.15] CloudWatch 警報應設定指定的動作

• [CloudWatch.16] CloudWatch 記錄群組應保留一段指定的時間

• [CloudWatch.17] 應啟動 CloudWatch 警報動作

• [CodeArtifact.1] CodeArtifact 存儲庫應該被標記

• [CodeBuild.1] CodeBuild 比特桶源存儲庫不URLs應包含敏感憑據

• [CodeBuild.2] CodeBuild 項目環境變量不應包含純文本憑據

• [CodeBuild.3] CodeBuild S3 日誌應加密

• [CodeBuild.4] CodeBuild 項目環境應該有一個日誌記錄 AWS Config成熟

• [Detective .1] Detective 行為圖應該被標記

• [DMS.2] 應標記DMS證書

• [DMS.3] 應標記DMS事件訂閱

• [DMS.4] 應標記DMS複製實例

• [DMS.5] DMS 複製子網路群組應加上標籤

• [DMS.6] DMS 複製執行個體應啟用自動次要版本升級

• [DMS.7] 目標資料庫的DMS複寫任務應啟用記錄

• [DMS.8] 來源資料庫的DMS複寫任務應啟用記錄

• [DMS.9] DMS 端點應該使用 SSL

• [文件 DB.1] Amazon DocumentDB 叢集應在靜態時加密

• [文件 DB.2] Amazon DocumentDB 叢集應該有足夠的備份保留期

• [文件 DB.3] 亞馬遜 DocumentDB 手動叢集快照不應該是公開的

• [文件 DB.4] Amazon DocumentDB 叢集應將稽核日誌發佈到日誌 CloudWatch

• [文件 DB.5] 亞馬遜 DocumentDB 叢集應啟用刪除保護

• [DynamoDB 資料表應該會根據需求自動擴展容量

• [DynamoDB 加速器 (DAX) 叢集應在靜 DynamoDB 時加密

• 備份計劃中應該有 DynamoDB 資料表

• [動態 B] 應標記動態資料表

• [DynamoDB 加速器叢集在傳輸過程中應加密

• [EC2.15] Amazon EC2 子網路不應自動分配公有 IP 地址

• [EC2.16] 應移除未使用的網路存取控制清單

• [EC2.17] Amazon EC2 實例不應使用多個 ENIs

• [EC2.21] 網路不ACLs應允許從 0.0.0/0 輸入連接埠 22 或連接埠 3389

• [EC2.22] 應移除未使用的 Amazon EC2 安全群組

• [EC2.23] Amazon EC2 交通閘道不應自動接受VPC附件請求

• [EC2.24] 不應使用 Amazon EC2 半虛擬實例類型

• [EC2.25] Amazon EC2 啟動模板不應將公共分配IPs給網絡界面

• [EC2.28] 備份計劃應涵蓋EBS磁碟區

• [EC2.33] 應標記EC2運輸閘道附件

• [EC2.34] 應標記公EC2交網關路由表

• [EC2.35] EC2 網絡接口應該被標記

• [EC2.36] 應標記EC2客戶閘道

• [EC2.37] 應標記EC2彈性 IP 位址

• [EC2.38] 應標記EC2實例

• [EC2.39] 應標記EC2互聯網閘道

• [EC2.40] EC2 NAT 網關應該被標記

• [EC2.41] EC2 網絡ACLs應該被標記

• [EC2.42] EC2 路由表應標記

• [EC2.43] 應標記EC2安全群組

• [EC2.44] EC2 子網應該被標記

• [EC2.45] EC2 磁碟區應標記

• [EC2.46] Amazon VPCs 應該被標記

• [EC2.47] 應標記 Amazon VPC 端點服務

• [EC2.48] 應標記 Amazon VPC 流程日誌

• [EC2.49] 應標VPC記 Amazon 對等連接

• [EC2.50] EC2 VPN 網關應該被標記

• [EC2.52] EC2 運輸閘道應標記

• [ECR.1] ECR 私有存儲庫應配置圖像掃描

• [ECR.2] ECR 私有存儲庫應該配置標籤不變性

• [ECR.3] ECR 存儲庫應至少配置一個生命週期策略

• [ECR.4] 應標記ECR公共存儲庫

• [ECS.1] Amazon ECS 任務定義應具有安全的聯網模式和使用者定義。

• [ECS.3] ECS 任務定義不應共享主機的進程名稱空間

• [ECS.4] ECS 容器應該以非特權運行

• [ECS.5] ECS 容器應僅限於對 root 文件系統的只讀訪問

• [ECS.8] 秘密不應作為容器環境變量傳遞

• [ECS.9] ECS 任務定義應該有一個日誌記錄配置

• [ECS.10] ECS Fargate 服務應該在最新的 Fargate 平台版本上運行

• [ECS.12] ECS 叢集應使用容器深入解析

• [ECS.13] ECS 服務應該被標記

• [ECS.14] ECS 叢集應加上標記

• [ECS.15] ECS 任務定義應該被標記

• [EFS.2] Amazon EFS 卷應該在備份計劃中

• [EFS.3] EFS 訪問點應該強制執行根目錄

• [EFS.4] EFS 接入點應強制執行用戶身份

• [EFS.5] EFS 接入點應標記

• [EKS.1] EKS 叢集端點不應可公開存取

• [EKS.2] EKS 叢集應在受支援的 Kubernetes 版本上執行

• [EKS.6] EKS 叢集應標記

• [EKS.7] 應標記EKS身份提供程序配置

• [EKS.8] EKS 叢集應啟用稽核記錄

• [ELB.10] Classic Load Balancer 應跨越多個可用區域

• [ELB.12] Application Load Balancer 應設定為防禦性或最嚴格的不同步緩解模式

• [ELB.13] 應用程式、網路和閘道負載平衡器應跨越多個可用區域

• [ELB.14] Classic Load Balancer 應設定為防禦性或最嚴格的不同步緩解模式

• [ELB.16] 應用程式負載平衡器應與 AWS WAF 網頁 ACL

• [ElastiCache.1] ElastiCache （RedisOSS）集群應啟用自動備份

• [ElastiCache.2] ElastiCache （RedisOSS）集群應啟用自 auto 次要版本升級

• [ElastiCache.3] ElastiCache (RedisOSS) 複製群組應啟用自動容錯移轉

• [ElastiCache.4] ElastiCache (RedisOSS) 複製群組應在靜態時加密

• [ElastiCache.5] ElastiCache (RedisOSS) 複寫群組在傳輸過程中應加密

• [ElastiCache.6] ElastiCache (RedisOSS) 早期版本的複寫群組應啟用 Redis OSS AUTH

• [ElastiCache.7] ElastiCache (RedisOSS) 叢集不應使用預設的子網路群組

• [ElasticBeanstalk.1] Elastic Beanstalk 環境應啟用增強的健康報告

• [ElasticBeanstalk2] 應啟用 Elastic Beanstalk 管理平台更新

• [ElasticBeanstalk.3] Elastic Beanstalk 應該將日誌流式傳輸到 CloudWatch

• [EMR.2] 應啟用 Amazon EMR 塊公共訪問設置

• [ES.4] 應該啟用彈性搜索域錯誤日誌記錄到 CloudWatch 日誌

• [.9] 彈性搜索域應該被標記

• [EventBridge.2] EventBridge 活動總線應標記

• [EventBridge.3] EventBridge 自定義事件總線應該附加基於資源的策略

• [EventBridge.4] EventBridge 全域端點應啟用事件複寫

• [FSx.1] FSx 對於打開ZFS文件系統，應配置為將標籤複製到備份和卷

• [FSx.2] FSx 對於 Lustre 文件系統，應配置為將標籤複製到備份

• [GlobalAccelerator.1] 應標記全局加速器加速器

• [膠水 1] AWS Glue 工作應該被標記

• [GuardDuty.2] GuardDuty 過濾器應標記

• [GuardDuty.3] GuardDuty IPSets 應該被標記

• [GuardDuty.4] 應標 GuardDuty 記探測器

• [GuardDuty.8] EC2 應啟用的 GuardDuty 惡意軟件防護

• [GuardDuty.9] 應 GuardDuty RDS啟用保護

• [IAM.6] 根用戶MFA應啟用硬件

• MFA應為 root 使用者啟用 [IAM.9]

• [IAM.21] 您建立的IAM客戶管理策略不應允許對服務執行萬用字元動作

• [IAM.23] 應標記IAM訪問分析儀分析儀

• [IAM.24] IAM 角色應該被標記

• [IAM.25] 應標記IAM用戶

• [IAM.28] IAM 訪問分析器外部訪問分析器應該啟用

• [檢查器 .3] 應啟用亞馬遜 Inspector Lambda 代碼掃描

• [IoT 1] AWS IoT Device Defender 應標記安全性設定檔

• [IoT 2] AWS IoT Core 緩解措施應標記

• [IoT 3] AWS IoT Core 尺寸應該被標記

• [IoT .4] AWS IoT Core 授權者應該被標記

• [IoT .5] AWS IoT Core 角色別名應該被標記

• [IoT .6] AWS IoT Core 應標記策略

• [Kinesis.1] Kinesis 串流應在靜態時加密

• [運動 .2] Kinesis 流應該被標記

• [Lambda .5] VPC Lambda 函數應該在多個可用區域中運作

• [Lambda .6] 應該標記 Lambda 函數

• [Macie.1] Amazon Macie 應該啟用

• [Macie.2] 應啟用 Macie 自動化敏感資料探索功能

• [MQ.3] Amazon MQ 代理程式應啟用自動次要版本升級

• [MQ.4] 應標記 Amazon MQ 經紀人

• [MQ.5] ActiveMQ 代理程式應該使用主動/待命部署模式

• [MQ.6] RabbitMQ 代理程式應該使用叢集部署模式

• [MSK.1] MSK 叢集在代理程式節點之間的傳輸過程中應加密

• [MSK.2] MSK 叢集應配置增強型監控

• [Neptune .1] Neptune 資料庫叢集在靜態時應加密

• [Neptune .2] Neptune 資料庫叢集應將稽核記錄發佈至記錄 CloudWatch

• [Neptune .3] Neptune DB 叢集快照不應該是公開的

• [Neptune .4] Neptune 資料庫叢集應啟用刪除保護

• [Neptune .5] Neptune 資料庫叢集應啟用自動備份

• [Neptune .6] Neptune 資料庫叢集快照在靜態時應加密

• [Neptune .7] Neptune 資料庫叢集應啟用資料庫驗IAM證

• [Neptune .8] 應將 Neptune 資料庫叢集設定為將標籤複製到快照

• [Neptune .9] Neptune 資料庫叢集應部署在多個可用區域

• [NetworkFirewall.1] Network Firewall 防火牆應跨多個可用區域部署

• [NetworkFirewall.2] 應啟用 Network Firewall 日誌記錄

• [NetworkFirewall.3] Network Firewall 策略應至少有一個關聯的規則組

• [NetworkFirewall.4] 對於完整封包，Network Firewall 策略的預設無狀態處理行動應為捨棄或轉送

• [NetworkFirewall.5] 對於分散式封包，Network Firewall 策略的預設無狀態處理行動應該是捨棄或轉送

• [NetworkFirewall.6] 無狀態 Network Firewall 規則群組不應為空

• [NetworkFirewall.7] 應標記 Network Firewall 防火牆

• [NetworkFirewall.8] 應標記 Network Firewall 防火牆策略

• [NetworkFirewall.9] Network Firewall 防火牆應啟用刪除保護

• OpenSearch 網域應該已啟用靜態加密

• [打開搜索 .2] OpenSearch 域名不應該是可公開訪問的

• OpenSearch 網域應該加密節點之間傳送的資料

• 應該啟用 OpenSearch 網域錯誤記錄到 CloudWatch 記錄

• OpenSearch 網域應該已啟用稽核記錄

• OpenSearch 網域應該至少有三個資料節點

• OpenSearch 網域應該啟用精細的存取控制

• 應使用最新的安全策略加密與 OpenSearch 域的連接 TLS

• [打開搜索 .9] OpenSearch 域名應該被標記

• [PCA1] AWS Private CA 應停用根憑證授權單位

• [RDS.12] 應為RDS叢集設定IAM驗證

• [RDS.13] 應啟用RDS自動次要版本升級

• [RDS.14] Amazon Aurora 叢集應啟用回溯

• [RDS.15] 應為多個可用區域設定資RDS料庫叢集

• [RDS.24] RDS 資料庫叢集應使用自訂管理員使用者名稱

• [RDS.25] RDS 資料庫執行個體應使用自訂管理員使用者名稱

• [RDS.26] RDS 資料庫執行個體應受到備份計劃的保護

• [RDS.27] RDS 資料庫叢集應在靜態時加密

• [RDS.28] 應標記RDS資料庫叢集

• [RDS.29] 應標記RDS資料庫叢集快照

• [RDS.30] 應標記RDS資料庫執行個體

• [RDS.31] 應標記RDS資料庫安全群組

• [RDS.32] 應標記RDS資料庫快照

• [RDS.33] 應標記RDS資料庫子網路群組

• [RDS.34] Aurora 我的SQL資料庫叢集應將稽核記錄發佈到 CloudWatch 記錄

• [RDS.35] RDS 資料庫叢集應啟用自動次要版本升級

• [紅移 .7] Redshift 叢集應該使用增強型路由 VPC

• [Redshift.8] 亞馬遜 Redshift 群集不應使用默認的管理員用戶名

• [紅移 .9] Redshift 叢集不應使用預設的資料庫名稱

• [紅移 .10] Redshift 叢集在靜態時應加密

• [紅移 .11] 應標記 Redshift 叢集

• [紅移 .12] 應標記 Redshift 事件通知訂閱

• [紅移 .13] 應標記 Redshift 叢集快照

• [紅移 .14] 應標記 Redshift 叢集子網路群組

• [路線 53.1] 應標記 53 號路線健康檢查

• [路線 53.2] 路線 53 公共託管區域應記錄查詢 DNS

• [S3.1] S3 一般用途儲存貯體應啟用區塊公開存取設定

• [S3.8] S3 通用存儲桶應阻止公共訪問

• [S3.10] 啟用版本控制的 S3 一般用途儲存貯體應具有生命週期組態

• [S3.11] S3 一般用途儲存貯體應啟用事件通知

• [S3.12] 不ACLs應用於管理使用者對 S3 一般用途儲存貯體的存取

• [S3.13] S3 一般用途儲存貯體應具有生命週期組態

• [S3.14] S3 一般用途儲存貯體應啟用版本控制

• [S3.20] S3 一般用途儲存貯體應啟用刪除功能 MFA

• [SageMaker.2] SageMaker 筆記本實例應以自定義方式啟動 VPC

• [SageMaker.3] 用戶不應該擁有對 SageMaker 筆記本實例的 root 訪問權限

• [SES.1] 應標記SES聯繫人列表

• [SES.2] SES 配置集應標記

• [SecretsManager.3] 刪除未使用的 Secrets Manager 秘密

• [SecretsManager.4] Secrets Manager 密鑰應在指定的天數內輪替

• [SecretsManager.5] Secrets Manager 秘密應該被標記

• [SNS.3] SNS 主題應該被標記

• [SQS.2] SQS 隊列應該被標記

• [SSM.4] SSM 文件不應公開

• [StepFunctions.1] Step Functions 狀態機應該打開日誌記錄

• [StepFunctions.2] Step Functions 活動應標記

• [轉移一] AWS Transfer Family 工作流程應加上標籤

• [WAF1] AWS WAF 應啟用傳統全域網頁ACL記錄

• [WAF2] AWS WAF 傳統區域規則應具有至少一個條件

• [WAF3] AWS WAF 傳統區域規則群組至少應該有一個規則

• [WAF.4] AWS WAF 傳統區域網路至少ACLs應該有一個規則或規則群組

• [WAF.6] AWS WAF 傳統全域規則應至少有一個條件

• [WAF.7] AWS WAF 傳統全域規則群組至少應有一個規則

• [WAF.8] AWS WAF 傳統全域 Web 至少ACLs應該有一個規則或規則群組

• [WAF.10] AWS WAF web ACLs 應該至少有一個規則或規則群組

• [WAF.11] AWS WAF 應ACL啟用網頁記錄

• [WAF.12] AWS WAF 規則應啟用 CloudWatch 量度