Bewährte Methoden für die Ausführung von CMMC 2.0 Level 2

Konformitätspakete bieten ein allgemeines Compliance-Framework, das es Ihnen ermöglicht, mithilfe verwalteter oder benutzerdefinierter Regeln und Abhilfemaßnahmen Kontrollen zur Sicherheits-, Betriebs- oder Kostenoptimierung durchzuführen. AWS Config AWS Config Conformance Packs dienen als Beispielvorlagen nicht dazu, die vollständige Einhaltung eines bestimmten Governance- oder Compliance-Standards sicherzustellen. Sie sind dafür verantwortlich, selbst zu beurteilen, ob Ihre Nutzung der Services den geltenden gesetzlichen und behördlichen Anforderungen entspricht.

Im Folgenden finden Sie ein Beispiel für eine Zuordnung zwischen der Cybersecurity Maturity Model Certification (CMMC) 2.0 Level 2 und den AWS verwalteten Konfigurationsregeln. Jede Config-Regel gilt für eine bestimmte AWS Ressource und bezieht sich auf eine oder mehrere CMMC 2.0 Level 2-Steuerelemente. Eine CMMC-2.0-Level-2-Kontrolle kann mehreren Config-Regeln zugeordnet werden. In der folgenden Tabelle finden Sie weitere Informationen und Anleitungen zu diesen Zuordnungen.

Kontroll-ID	Beschreibung der Kontrolle	AWS Config	Empfehlungen
AC.L1-3.1.1	Beschränken Sie den Zugriff auf Informationssysteme auf autorisierte Benutzer, Prozesse von autorisierten Benutzern oder Geräte (einschließlich anderer Informationssysteme).	access-keys-rotated	Die Anmeldeinformationen für autorisierte Geräte, Benutzer und Prozesse werden geprüft, indem sichergestellt wird, dass die IAM-Zugriffsschlüssel gemäß den Vorgaben der Unternehmensrichtlinie rotiert werden. Das regelmäßige Ändern der Zugriffsschlüssel ist eine bewährte Sicherheitsmethode. Es verkürzt den Zeitraum, in dem ein Zugriffsschlüssel aktiv ist, und reduziert die Auswirkungen auf das Unternehmen, wenn die Schlüssel kompromittiert werden. Diese Regel erfordert einen Wert für die Zugriffsschlüssel-Rotation (Standardkonfiguration: 90). Der tatsächliche Wert muss den Richtlinien Ihrer Organisation entsprechen.
AC.L1-3.1.1	Beschränken Sie den Zugriff auf Informationssysteme auf autorisierte Benutzer, Prozesse von autorisierten Benutzern oder Geräte (einschließlich anderer Informationssysteme).	dms-replication-not-public	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass auf DMS-Replikationsinstanzen nicht öffentlich zugegriffen werden kann. DMS-Replikations-Instances können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
AC.L1-3.1.1	Beschränken Sie den Zugriff auf Informationssysteme auf autorisierte Benutzer, Prozesse von autorisierten Benutzern oder Geräte (einschließlich anderer Informationssysteme).	ebs-snapshot-public-restorable-überprüfen	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass EBS-Snapshots nicht öffentlich wiederherstellbar sind. EBS-Volume-Snapshots können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
AC.L1-3.1.1	Beschränken Sie den Zugriff auf Informationssysteme auf autorisierte Benutzer, Prozesse von autorisierten Benutzern oder Geräte (einschließlich anderer Informationssysteme).	ec2-imdsv2-check	Stellen Sie sicher, dass die Instance Metadata Service Version 2 (IMDSv2)-Methode aktiviert ist, um den Zugriff auf Metadaten von Amazon Elastic Compute Cloud (Amazon EC2)-Instances zu schützen und sie zu kontrollieren. Die IMDSv2-Methode verwendet sitzungsbasierte Kontrollen. Mit IMDSv2 können Kontrollen implementiert werden, um Änderungen an Instance-Metadaten einzuschränken.
AC.L1-3.1.1	Beschränken Sie den Zugriff auf Informationssysteme auf autorisierte Benutzer, Prozesse von autorisierten Benutzern oder Geräte (einschließlich anderer Informationssysteme).	ec-2 instance-no-public-ip	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass Amazon Elastic Compute Cloud (Amazon EC2) -Instances nicht öffentlich zugänglich sind. Amazon-EC2-Instances können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
AC.L1-3.1.1	Beschränken Sie den Zugriff auf Informationssysteme auf autorisierte Benutzer, Prozesse von autorisierten Benutzern oder Geräte (einschließlich anderer Informationssysteme).	ec2- instance-profile-attached	EC2-Instance-Profile übergeben eine IAM-Rolle an eine EC2-Instance. Das Anhängen eines Instance-Profils an Ihre Instances kann bei der Implementierung von geringsten Berechtigungen und der Berechtigungsverwaltung helfen.
AC.L1-3.1.1	Beschränken Sie den Zugriff auf Informationssysteme auf autorisierte Benutzer, Prozesse von autorisierten Benutzern oder Geräte (einschließlich anderer Informationssysteme).	elasticsearch-in-vpc-only	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass sich Amazon OpenSearch OpenSearch Service (Service) -Domains innerhalb einer Amazon Virtual Private Cloud (Amazon VPC) befinden. Eine OpenSearch Service-Domain innerhalb einer Amazon VPC ermöglicht die sichere Kommunikation zwischen OpenSearch Service und anderen Services innerhalb der Amazon VPC, ohne dass ein Internet-Gateway, ein NAT-Gerät oder eine VPN-Verbindung erforderlich ist.
AC.L1-3.1.1	Beschränken Sie den Zugriff auf Informationssysteme auf autorisierte Benutzer, Prozesse von autorisierten Benutzern oder Geräte (einschließlich anderer Informationssysteme).	emr-kerberos-enabled	Die Zugriffsberechtigungen und -autorisierungen können verwaltet und nach den Prinzipien der geringsten Berechtigung und Aufgabentrennung integriert werden, indem Kerberos für Amazon-EMR-Cluster aktiviert wird. In Kerberos werden Services und Benutzer, die sich authentifizieren müssen, als Prinzipale bezeichnet. Prinzipale befinden sich in einem Kerberos-Bereich. Innerhalb dieses Bereichs wird ein Kerberos-Server als Key Distribution Center (KDC) bezeichnet. Über diesen Server können sich Prinzipale authentifizieren. Die Authentifizierung im KDC erfolgt durch die Ausstellung von Authentifizierungstickets. Das KDC unterhält eine Datenbank der Prinzipale in seinem Bereich mit ihren Passwörtern und anderen administrativen Informationen zu jedem Prinzipal.
AC.L1-3.1.1	Beschränken Sie den Zugriff auf Informationssysteme auf autorisierte Benutzer, Prozesse von autorisierten Benutzern oder Geräte (einschließlich anderer Informationssysteme).	emr-master-no-public-ip	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass Amazon EMR-Cluster-Masterknoten nicht öffentlich zugänglich sind. Amazon-EMR-Cluster-Hauptknoten können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
AC.L1-3.1.1	Beschränken Sie den Zugriff auf Informationssysteme auf autorisierte Benutzer, Prozesse von autorisierten Benutzern oder Geräte (einschließlich anderer Informationssysteme).	iam-customer-policy-blocked-kms-Aktionen	AWS Identity and Access Management (IAM) kann Ihnen helfen, die Prinzipien der geringsten Rechte und der Aufgabentrennung in Zugriffsberechtigungen und Autorisierungen zu integrieren und so zu verhindern, dass Richtlinien blockierte Aktionen für alle AWS Schlüssel des Key Management Service enthalten. Wenn Benutzer mehr Rechte haben, als für die Ausführung einer Aufgabe erforderlich sind, kann dies gegen das Prinzip der geringsten Berechtigung und Aufgabentrennung verstoßen. Mit dieser Regel können Sie den Parameter festlegen. blockedActionsPatterns (Wert „AWS Bewährte grundlegende Sicherheitsmethoden“: kms:Decrypt, kms:). ReEncryptFrom Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
AC.L1-3.1.1	Beschränken Sie den Zugriff auf Informationssysteme auf autorisierte Benutzer, Prozesse von autorisierten Benutzern oder Geräte (einschließlich anderer Informationssysteme).	iam-inline-policy-blocked-kms-Aktionen	Stellen Sie sicher, dass ein Benutzer, eine IAM-Rolle oder eine IAM-Gruppe ( AWS Identity and Access Management) nicht über eine Inline-Richtlinie verfügt, die blockierte Aktionen für alle AWS Schlüssel des Key Management Service zulässt. AWS empfiehlt, verwaltete Richtlinien anstelle von Inline-Richtlinien zu verwenden. Verwaltete Richtlinien ermöglichen Wiederverwendbarkeit, Versionsverwaltung, Rollback und Delegierung der Berechtigungsverwaltung. Mit dieser Regel können Sie den blockedActionsPatterns Parameter festlegen. (Wert „AWS Bewährte grundlegende Sicherheitsmethoden“: kms:Decrypt, kms:). ReEncryptFrom Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
AC.L1-3.1.1	Beschränken Sie den Zugriff auf Informationssysteme auf autorisierte Benutzer, Prozesse von autorisierten Benutzern oder Geräte (einschließlich anderer Informationssysteme).	iam-no-inline-policy-überprüfen	Stellen Sie sicher, dass ein Benutzer, eine IAM-Rolle oder eine IAM-Gruppe ( AWS Identity and Access Management) nicht über eine Inline-Richtlinie zur Zugriffskontrolle auf Systeme und Ressourcen verfügt. AWS empfiehlt, verwaltete Richtlinien anstelle von Inline-Richtlinien zu verwenden. Verwaltete Richtlinien ermöglichen Wiederverwendbarkeit, Versionsverwaltung, Rollback und Delegierung der Berechtigungsverwaltung.
AC.L1-3.1.1	Beschränken Sie den Zugriff auf Informationssysteme auf autorisierte Benutzer, Prozesse von autorisierten Benutzern oder Geräte (einschließlich anderer Informationssysteme).	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) kann Ihnen dabei helfen, die Prinzipien der geringsten Rechte und der Aufgabentrennung in Zugriffsberechtigungen und Autorisierungen zu integrieren und so zu verhindern, dass Richtlinien „Effect“: „Allow“ mit „Action“: „“ anstelle von „Resource“: „“ enthalten. Wenn Benutzern mehr Rechte eingeräumt werden, als für die Ausführung einer Aufgabe erforderlich sind, kann dies gegen das Prinzip der geringsten Berechtigung und der Aufgabentrennung verstoßen.
AC.L1-3.1.1	Beschränken Sie den Zugriff auf Informationssysteme auf autorisierte Benutzer, Prozesse von autorisierten Benutzern oder Geräte (einschließlich anderer Informationssysteme).	iam-policy-no-statements-with-full-access	Stellen Sie sicher, dass IAM-Aktionen nur auf die benötigten Aktionen beschränkt sind. Wenn Benutzern mehr Rechte eingeräumt werden, als für die Ausführung einer Aufgabe erforderlich sind, kann dies gegen das Prinzip der geringsten Berechtigung und der Aufgabentrennung verstoßen.
AC.L1-3.1.1	Beschränken Sie den Zugriff auf Informationssysteme auf autorisierte Benutzer, Prozesse von autorisierten Benutzern oder Geräte (einschließlich anderer Informationssysteme).	iam-root-access-key-überprüfen	Der Zugriff auf Systeme und Ressourcen kann gesteuert werden, indem überprüft wird, ob der Root-Benutzer keine Zugriffsschlüssel mit seiner AWS Identity and Access Management (IAM) -Rolle verknüpft hat. Stellen Sie sicher, dass die Root-Zugriffsschlüssel gelöscht werden. Erstellen und verwenden Sie stattdessen rollenbasierte Funktionen, AWS-Konten um das Prinzip der geringsten Funktionalität zu berücksichtigen.
AC.L1-3.1.1	Beschränken Sie den Zugriff auf Informationssysteme auf autorisierte Benutzer, Prozesse von autorisierten Benutzern oder Geräte (einschließlich anderer Informationssysteme).	iam-user-group-membership-überprüfen	AWS Identity and Access Management (IAM) kann Ihnen helfen, Zugriffsberechtigungen und Autorisierungen einzuschränken, indem sichergestellt wird, dass Benutzer Mitglieder mindestens einer Gruppe sind. Wenn Benutzern mehr Berechtigungen eingeräumt werden, als für die Ausführung einer Aufgabe erforderlich sind, kann dies gegen das Prinzip der geringsten Berechtigung und Aufgabentrennung verstoßen.
AC.L1-3.1.1	Beschränken Sie den Zugriff auf Informationssysteme auf autorisierte Benutzer, Prozesse von autorisierten Benutzern oder Geräte (einschließlich anderer Informationssysteme).	iam-user-mfa-enabled	Aktivieren Sie diese Regel, um den Zugriff auf Ressourcen in der AWS Cloud einzuschränken. Diese Regel sorgt dafür, dass die Multi-Faktor-Authentifizierung (MFA) für alle Benutzer aktiviert ist. MFA sorgt für eine weitere Schutzebene zusätzlich zu den Anmeldeinformationen. Reduzieren Sie Fälle von kompromittierten Konten, indem Sie MFA für Benutzer vorschreiben.
AC.L1-3.1.1	Beschränken Sie den Zugriff auf Informationssysteme auf autorisierte Benutzer, Prozesse von autorisierten Benutzern oder Geräte (einschließlich anderer Informationssysteme).	iam-user-no-policies-überprüfen	Diese Regel stellt sicher, dass AWS Identity and Access Management (IAM) -Richtlinien nur Gruppen oder Rollen zugewiesen werden, um den Zugriff auf Systeme und Ressourcen zu kontrollieren. Die Zuweisung von Berechtigungen auf Gruppen- oder Rollenebene trägt dazu bei, die Wahrscheinlichkeit zu verringern, dass eine Identität übermäßige Berechtigungen erhält oder beibehält.
AC.L1-3.1.1	Beschränken Sie den Zugriff auf Informationssysteme auf autorisierte Benutzer, Prozesse von autorisierten Benutzern oder Geräte (einschließlich anderer Informationssysteme).	iam-user-unused-credentials-überprüfen	AWS Identity and Access Management (IAM) kann Ihnen bei Zugriffsberechtigungen und Autorisierungen helfen, indem es nach IAM-Passwörtern und Zugriffsschlüsseln sucht, die für einen bestimmten Zeitraum nicht verwendet wurden. Wenn ungenutzte Anmeldeinformationen identifiziert werden, müssen Sie sie deaktivieren und/oder entfernen, da dies gegen das Prinzip der geringsten Berechtigung verstoßen könnte. Für diese Regel müssen Sie einen Wert für das maxCredentialUsage Alter festlegen (Standardkonfiguration: 90). Der tatsächliche Wert muss den Richtlinien Ihrer Organisation entsprechen.
AC.L1-3.1.1	Beschränken Sie den Zugriff auf Informationssysteme auf autorisierte Benutzer, Prozesse von autorisierten Benutzern oder Geräte (einschließlich anderer Informationssysteme).	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) -Sicherheitsgruppen können bei der Verwaltung des Netzwerkzugriffs helfen, indem sie eine statusabhängige Filterung des ein- und ausgehenden Netzwerkverkehrs zu Ressourcen bereitstellen. AWS Wenn Sie eingehenden (oder entfernten) Datenverkehr von 0.0.0.0/0 bis Port 22 auf Ihren Ressourcen nicht zulassen, können Sie den Remote-Zugriff einschränken.
AC.L1-3.1.1	Beschränken Sie den Zugriff auf Informationssysteme auf autorisierte Benutzer, Prozesse von autorisierten Benutzern oder Geräte (einschließlich anderer Informationssysteme).	ec-2 instances-in-vpc	Stellen Sie Amazon Elastic Compute Cloud (Amazon EC2-)Instances innerhalb einer Amazon Virtual Private Cloud (Amazon VPC) bereit, um eine sichere Kommunikation zwischen einer Instance und anderen Services innerhalb der Amazon-VPC zu ermöglichen, ohne dass ein Internet-Gateway, ein NAT-Gerät oder eine VPN-Verbindung erforderlich ist. Der gesamte Verkehr bleibt sicher in der AWS Cloud. Domains, die sich innerhalb einer VPC befinden, verfügen aufgrund ihrer logischen Isolierung im Vergleich zu Domains mit öffentlichen Endpunkten über eine zusätzliche Sicherheitsebene. Weisen Sie Amazon-EC2-Instances einer Amazon VPC zu, um den Zugriff ordnungsgemäß zu verwalten.
AC.L1-3.1.1	Beschränken Sie den Zugriff auf Informationssysteme auf autorisierte Benutzer, Prozesse von autorisierten Benutzern oder Geräte (einschließlich anderer Informationssysteme).	internet-gateway-authorized-vpc-nur	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Internet-Gateways nur mit autorisierter Amazon Virtual Private Cloud (Amazon VPC) verbunden sind. Internet-Gateways ermöglichen den bidirektionalen Internetzugang zur und von der Amazon VPC, was möglicherweise zu einem unbefugten Zugriff auf Amazon-VPC-Ressourcen führen kann.
AC.L1-3.1.1	Beschränken Sie den Zugriff auf Informationssysteme auf autorisierte Benutzer, Prozesse von autorisierten Benutzern oder Geräte (einschließlich anderer Informationssysteme).	lambda-function-public-access-verboten	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass AWS Lambda-Funktionen nicht öffentlich zugänglich sind. Der öffentliche Zugriff kann möglicherweise die Verfügbarkeit von Ressourcen beeinträchtigen.
AC.L1-3.1.1	Beschränken Sie den Zugriff auf Informationssysteme auf autorisierte Benutzer, Prozesse von autorisierten Benutzern oder Geräte (einschließlich anderer Informationssysteme).	lambda-inside-vpc	Stellen Sie AWS Lambda-Funktionen in einer Amazon Virtual Private Cloud (Amazon VPC) bereit, um eine sichere Kommunikation zwischen einer Funktion und anderen Diensten innerhalb der Amazon VPC zu gewährleisten. Bei dieser Konfiguration sind kein Internet-Gateway, kein NAT-Gerät und keine VPN-Verbindung erforderlich. Der gesamte Datenverkehr bleibt sicher in der Cloud. AWS Domains, die sich innerhalb einer VPC befinden, verfügen aufgrund ihrer logischen Isolierung im Vergleich zu Domains mit öffentlichen Endpunkten über eine zusätzliche Sicherheitsebene. Um den Zugriff ordnungsgemäß zu verwalten, sollten AWS Lambda-Funktionen einer VPC zugewiesen werden.
AC.L1-3.1.1	Beschränken Sie den Zugriff auf Informationssysteme auf autorisierte Benutzer, Prozesse von autorisierten Benutzern oder Geräte (einschließlich anderer Informationssysteme).	mfa-enabled-for-iam-Konsolenzugriff	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass MFA für alle AWS Identity and Access Management (IAM) -Benutzer aktiviert ist, die über ein Konsolenkennwort verfügen. MFA sorgt für eine weitere Schutzebene zusätzlich zu den Anmeldeinformationen. Indem Sie MFA für Benutzer vorschreiben, können Sie Fälle kompromittierter Konten reduzieren und verhindern, dass unbefugte Benutzer auf vertrauliche Daten zugreifen.
AC.L1-3.1.1	Beschränken Sie den Zugriff auf Informationssysteme auf autorisierte Benutzer, Prozesse von autorisierten Benutzern oder Geräte (einschließlich anderer Informationssysteme).	rds-instance-public-access-überprüfen	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Relational Database Service (Amazon RDS) -Instances nicht öffentlich sind. Amazon-RDS-Datenbank-Instances können vertrauliche Informationen enthalten und für solche Konten sind Prinzipien und Zugriffskontrollen erforderlich.
AC.L1-3.1.1	Beschränken Sie den Zugriff auf Informationssysteme auf autorisierte Benutzer, Prozesse von autorisierten Benutzern oder Geräte (einschließlich anderer Informationssysteme).	rds-snapshots-public-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Relational Database Service (Amazon RDS) -Instances nicht öffentlich sind. Amazon-RDS-Datenbank-Instances können vertrauliche Informationen enthalten und für solche Konten sind Prinzipien und Zugriffskontrollen erforderlich.
AC.L1-3.1.1	Beschränken Sie den Zugriff auf Informationssysteme auf autorisierte Benutzer, Prozesse von autorisierten Benutzern oder Geräte (einschließlich anderer Informationssysteme).	redshift-cluster-public-access-überprüfen	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Redshift Redshift-Cluster nicht öffentlich sind. Amazon-Redshift-Cluster können vertrauliche Informationen enthalten und für solche Konten sind Prinzipien und Zugriffskontrollen erforderlich.
AC.L1-3.1.1	Beschränken Sie den Zugriff auf Informationssysteme auf autorisierte Benutzer, Prozesse von autorisierten Benutzern oder Geräte (einschließlich anderer Informationssysteme).	restricted-common-ports	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass gemeinsame Ports für Amazon Elastic Compute Cloud (Amazon EC2) -Sicherheitsgruppen eingeschränkt sind. Wenn der Zugriff auf Ports nicht auf vertrauenswürdige Quellen beschränkt wird, kann dies zu Angriffen auf die Verfügbarkeit, Integrität und Vertraulichkeit von Systemen führen. Mit dieser Regel können Sie optional die Parameter blockedPort1–blockedPort5 festlegen (Standardkonfigurationen: 20, 21, 3389, 3306, 4333). Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
AC.L1-3.1.1	Beschränken Sie den Zugriff auf Informationssysteme auf autorisierte Benutzer, Prozesse von autorisierten Benutzern oder Geräte (einschließlich anderer Informationssysteme).	root-account-hardware-mfa-aktiviert	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Hardware-MFA für den Root-Benutzer aktiviert ist. Der Stammbenutzer ist der AWS-Konto-Benutzer mit den meisten Berechtigungen. MFA sorgt für eine weitere Schutzebene zusätzlich zu den Anmeldeinformationen. Indem Sie MFA für den Root-Benutzer vorschreiben, können Sie die Anzahl AWS-Konten kompromittierter Benutzer reduzieren.
AC.L1-3.1.1	Beschränken Sie den Zugriff auf Informationssysteme auf autorisierte Benutzer, Prozesse von autorisierten Benutzern oder Geräte (einschließlich anderer Informationssysteme).	root-account-mfa-enabled	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass MFA für den Root-Benutzer aktiviert ist. Der Stammbenutzer ist der AWS-Konto-Benutzer mit den meisten Berechtigungen. MFA sorgt für eine weitere Schutzebene zusätzlich zu den Anmeldeinformationen. Indem Sie MFA für den Root-Benutzer vorschreiben, können Sie die Anzahl AWS-Konten kompromittierter Benutzer reduzieren.
AC.L1-3.1.1	Beschränken Sie den Zugriff auf Informationssysteme auf autorisierte Benutzer, Prozesse von autorisierten Benutzern oder Geräte (einschließlich anderer Informationssysteme).	s3- -blöcke-periodisch account-level-public-access	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Simple Storage Service (Amazon S3) -Buckets nicht öffentlich zugänglich sind. Diese Regel trägt dazu bei, sensible Daten vor unbefugten Remote-Benutzern zu schützen, indem sie den öffentlichen Zugriff verhindert. Mit dieser Regel können Sie optional die Parameter ignorePublicAcls (Config Default: True), blockPublicPolicy (Config Default: True), blockPublicAcls (Config Default: True) und restrictPublicBuckets Parameter (Config Default: True) festlegen. Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
AC.L1-3.1.1	Beschränken Sie den Zugriff auf Informationssysteme auf autorisierte Benutzer, Prozesse von autorisierten Benutzern oder Geräte (einschließlich anderer Informationssysteme).	s3 bucket-level-public-access - verboten	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Simple Storage Service (Amazon S3) -Buckets nicht öffentlich zugänglich sind. Diese Regel trägt dazu bei, sensible Daten vor unbefugten Remote-Benutzern zu schützen, indem sie den öffentlichen Zugriff auf Bucket-Ebene verhindert.
AC.L1-3.1.1	Beschränken Sie den Zugriff auf Informationssysteme auf autorisierte Benutzer, Prozesse von autorisierten Benutzern oder Geräte (einschließlich anderer Informationssysteme).	s-3 bucket-policy-grantee-check	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie s3_ bucket_policy_grantee_check aktivieren. Diese Regel prüft, ob der vom Amazon S3 S3-Bucket gewährte Zugriff durch die von Ihnen angegebenen AWS Principals, Verbundbenutzer, Service Principals, IP-Adressen oder Amazon Virtual Private Cloud (Amazon VPC) -IDs eingeschränkt ist.
AC.L1-3.1.1	Beschränken Sie den Zugriff auf Informationssysteme auf autorisierte Benutzer, Prozesse von autorisierten Benutzern oder Geräte (einschließlich anderer Informationssysteme).	s-3 bucket-public-read-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie nur autorisierten Benutzern, Prozessen und Geräten Zugriff auf Amazon Simple Storage Service (Amazon S3) -Buckets gewähren. Die Verwaltung des Zugriffs sollte mit der Klassifizierung der Daten übereinstimmen.
AC.L1-3.1.1	Beschränken Sie den Zugriff auf Informationssysteme auf autorisierte Benutzer, Prozesse von autorisierten Benutzern oder Geräte (einschließlich anderer Informationssysteme).	s3- bucket-public-write-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie nur autorisierten Benutzern, Prozessen und Geräten Zugriff auf Amazon Simple Storage Service (Amazon S3) -Buckets gewähren. Die Verwaltung des Zugriffs sollte mit der Klassifizierung der Daten übereinstimmen.
AC.L1-3.1.1	Beschränken Sie den Zugriff auf Informationssysteme auf autorisierte Benutzer, Prozesse von autorisierten Benutzern oder Geräte (einschließlich anderer Informationssysteme).	sagemaker-notebook-no-direct-Internetzugang	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass SageMaker Amazon-Notebooks keinen direkten Internetzugang zulassen. Indem Sie direkten Internetzugang blockieren, vermeiden Sie, dass unbefugte Benutzer auf sensible Daten zugreifen.
AC.L1-3.1.1	Beschränken Sie den Zugriff auf Informationssysteme auf autorisierte Benutzer, Prozesse von autorisierten Benutzern oder Geräte (einschließlich anderer Informationssysteme).	secretsmanager-rotation-enabled-check	Diese Regel stellt sicher, dass bei AWS Secrets Manager Manager-Geheimnissen die Rotation aktiviert ist. Die regelmäßige Rotation von Secrets kann den Zeitraum verkürzen, in dem ein Secret aktiv ist, und möglicherweise die Auswirkungen auf das Unternehmen verringern, falls das Secret kompromittiert wird.
AC.L1-3.1.1	Beschränken Sie den Zugriff auf Informationssysteme auf autorisierte Benutzer, Prozesse von autorisierten Benutzern oder Geräte (einschließlich anderer Informationssysteme).	secretsmanager-scheduled-rotation-success-überprüfen	Diese Regel stellt sicher, dass AWS Secrets Manager Manager-Geheimnisse gemäß dem Rotationsplan erfolgreich rotiert wurden. Die regelmäßige Rotation von Secrets kann den Zeitraum verkürzen, in dem ein Secret aktiv ist, und möglicherweise die Auswirkungen auf das Unternehmen verringern, falls es kompromittiert wird.
AC.L1-3.1.1	Beschränken Sie den Zugriff auf Informationssysteme auf autorisierte Benutzer, Prozesse von autorisierten Benutzern oder Geräte (einschließlich anderer Informationssysteme).	ssm-document-not-public	Stellen Sie sicher, dass AWS Systems Manager (SSM) -Dokumente nicht öffentlich sind, da dies einen unbeabsichtigten Zugriff auf Ihre SSM-Dokumente ermöglichen kann. Ein öffentliches SSM-Dokument kann Informationen über Ihr Konto, Ihre Ressourcen und internen Prozesse preisgeben.
AC.L1-3.1.1	Beschränken Sie den Zugriff auf Informationssysteme auf autorisierte Benutzer, Prozesse von autorisierten Benutzern oder Geräte (einschließlich anderer Informationssysteme).	vpc-default-security-group-geschlossen	Sicherheitsgruppen von Amazon Elastic Compute Cloud (Amazon EC2) können bei der Verwaltung des Netzwerkzugriffs helfen, indem sie eine statusbehaftete Filterung des ein- und ausgehenden Netzwerkverkehrs zu Ressourcen bereitstellen. AWS Die Beschränkung des gesamten Datenverkehrs in der Standardsicherheitsgruppe hilft dabei, den Fernzugriff auf Ihre Ressourcen einzuschränken. AWS
AC.L1-3.1.1	Beschränken Sie den Zugriff auf Informationssysteme auf autorisierte Benutzer, Prozesse von autorisierten Benutzern oder Geräte (einschließlich anderer Informationssysteme).	vpc-sg-open-only-to-authorized-ports	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass gemeinsame Ports für Amazon Elastic Compute Cloud (Amazon EC2) -Sicherheitsgruppen eingeschränkt sind. Wenn der Zugriff auf Ports nicht auf vertrauenswürdige Quellen beschränkt wird, kann dies zu Angriffen auf die Verfügbarkeit, Integrität und Vertraulichkeit von Systemen führen. Durch die Beschränkung des Zugriffs auf Ressourcen innerhalb einer Sicherheitsgruppe aus dem Internet (0.0.0.0/0) kann der Remote-Zugriff auf interne Systeme gesteuert werden.
AC.L1-3.1.1	Beschränken Sie den Zugriff auf Informationssysteme auf autorisierte Benutzer, Prozesse von autorisierten Benutzern oder Geräte (einschließlich anderer Informationssysteme).	opensearch-in-vpc-only	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass sich Amazon OpenSearch Service-Domains innerhalb einer Amazon Virtual Private Cloud (Amazon VPC) befinden. Eine Amazon OpenSearch Service-Domain innerhalb einer Amazon VPC ermöglicht die sichere Kommunikation zwischen Amazon OpenSearch Service und anderen Services innerhalb der Amazon VPC, ohne dass ein Internet-Gateway, ein NAT-Gerät oder eine VPN-Verbindung erforderlich ist.
AC.L1-3.1.2	Beschränken Sie den Zugriff auf das Informationssystem auf jene Transaktionen und Funktionen, die autorisierte Benutzer ausführen dürfen.	dms-replication-not-public	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass auf DMS-Replikationsinstanzen nicht öffentlich zugegriffen werden kann. DMS-Replikations-Instances können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
AC.L1-3.1.2	Beschränken Sie den Zugriff auf das Informationssystem auf jene Transaktionen und Funktionen, die autorisierte Benutzer ausführen dürfen.	ebs-snapshot-public-restorable-überprüfen	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass EBS-Snapshots nicht öffentlich wiederherstellbar sind. EBS-Volume-Snapshots können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
AC.L1-3.1.2	Beschränken Sie den Zugriff auf das Informationssystem auf jene Transaktionen und Funktionen, die autorisierte Benutzer ausführen dürfen.	ec2-imdsv2-check	Stellen Sie sicher, dass die Instance Metadata Service Version 2 (IMDSv2)-Methode aktiviert ist, um den Zugriff auf Metadaten von Amazon Elastic Compute Cloud (Amazon EC2)-Instances zu schützen und sie zu kontrollieren. Die IMDSv2-Methode verwendet sitzungsbasierte Kontrollen. Mit IMDSv2 können Kontrollen implementiert werden, um Änderungen an Instance-Metadaten einzuschränken.
AC.L1-3.1.2	Beschränken Sie den Zugriff auf das Informationssystem auf jene Transaktionen und Funktionen, die autorisierte Benutzer ausführen dürfen.	ec-2 instance-no-public-ip	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass Amazon Elastic Compute Cloud (Amazon EC2) -Instances nicht öffentlich zugänglich sind. Amazon-EC2-Instances können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
AC.L1-3.1.2	Beschränken Sie den Zugriff auf das Informationssystem auf jene Transaktionen und Funktionen, die autorisierte Benutzer ausführen dürfen.	elasticsearch-in-vpc-only	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass sich Amazon OpenSearch OpenSearch Service (Service) -Domains innerhalb einer Amazon Virtual Private Cloud (Amazon VPC) befinden. Eine OpenSearch Service-Domain innerhalb einer Amazon VPC ermöglicht die sichere Kommunikation zwischen OpenSearch Service und anderen Services innerhalb der Amazon VPC, ohne dass ein Internet-Gateway, ein NAT-Gerät oder eine VPN-Verbindung erforderlich ist.
AC.L1-3.1.2	Beschränken Sie den Zugriff auf das Informationssystem auf jene Transaktionen und Funktionen, die autorisierte Benutzer ausführen dürfen.	emr-kerberos-enabled	Die Zugriffsberechtigungen und -autorisierungen können verwaltet und nach den Prinzipien der geringsten Berechtigung und Aufgabentrennung integriert werden, indem Kerberos für Amazon-EMR-Cluster aktiviert wird. In Kerberos werden Services und Benutzer, die sich authentifizieren müssen, als Prinzipale bezeichnet. Prinzipale befinden sich in einem Kerberos-Bereich. Innerhalb dieses Bereichs wird ein Kerberos-Server als Key Distribution Center (KDC) bezeichnet. Über diesen Server können sich Prinzipale authentifizieren. Die Authentifizierung im KDC erfolgt durch die Ausstellung von Authentifizierungstickets. Das KDC unterhält eine Datenbank der Prinzipale in seinem Bereich mit ihren Passwörtern und anderen administrativen Informationen zu jedem Prinzipal.
AC.L1-3.1.2	Beschränken Sie den Zugriff auf das Informationssystem auf jene Transaktionen und Funktionen, die autorisierte Benutzer ausführen dürfen.	emr-master-no-public-ip	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass Amazon EMR-Cluster-Masterknoten nicht öffentlich zugänglich sind. Amazon-EMR-Cluster-Hauptknoten können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
AC.L1-3.1.2	Beschränken Sie den Zugriff auf das Informationssystem auf jene Transaktionen und Funktionen, die autorisierte Benutzer ausführen dürfen.	iam-no-inline-policy-überprüfen	Stellen Sie sicher, dass ein Benutzer, eine IAM-Rolle oder eine IAM-Gruppe ( AWS Identity and Access Management) nicht über eine Inline-Richtlinie zur Zugriffskontrolle auf Systeme und Ressourcen verfügt. AWS empfiehlt, verwaltete Richtlinien anstelle von Inline-Richtlinien zu verwenden. Verwaltete Richtlinien ermöglichen Wiederverwendbarkeit, Versionsverwaltung, Rollback und Delegierung der Berechtigungsverwaltung.
AC.L1-3.1.2	Beschränken Sie den Zugriff auf das Informationssystem auf jene Transaktionen und Funktionen, die autorisierte Benutzer ausführen dürfen.	iam-password-policy	Die Identitäten und Anmeldeinformationen werden auf der Grundlage einer organisatorischen IAM-Passwortrichtlinie ausgestellt, verwaltet und verifiziert. Sie erfüllen oder übertreffen die Anforderungen von NIST SP 800-63 und dem Standard „Best Practices“ von AWS Foundational Security für die Passwortstärke. Mit dieser Regel können Sie optional RequireUppercaseCharacters (Wert für AWS grundlegende Sicherheitsbewährte Methoden: wahr), RequireLowercaseCharacters (Wert für bewährte Methoden für AWS grundlegende Sicherheit: wahr), RequireSymbols (Wert für bewährte Methoden für AWS grundlegende Sicherheit: wahr), RequireNumbers (Wert für bewährte Methoden für AWS grundlegende Sicherheit: wahr), MinimumPasswordLength (Wert für bewährte Methoden für AWS grundlegende Sicherheit: 14), PasswordReusePrevention (Wert für bewährte Methoden für AWS grundlegende Sicherheit: 24) und MaxPasswordAge (Wert für bewährte Methoden für AWS grundlegende Sicherheit: 90) für Ihr IAM festlegen Kennwortrichtlinie. Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
AC.L1-3.1.2	Beschränken Sie den Zugriff auf das Informationssystem auf jene Transaktionen und Funktionen, die autorisierte Benutzer ausführen dürfen.	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) kann Ihnen dabei helfen, die Prinzipien der geringsten Rechte und der Aufgabentrennung in Zugriffsberechtigungen und Autorisierungen zu integrieren und so zu verhindern, dass Richtlinien „Effect“: „Allow“ mit „Action“: „“ anstelle von „Resource“: „“ enthalten. Wenn Benutzern mehr Rechte eingeräumt werden, als für die Ausführung einer Aufgabe erforderlich sind, kann dies gegen das Prinzip der geringsten Berechtigung und der Aufgabentrennung verstoßen.
AC.L1-3.1.2	Beschränken Sie den Zugriff auf das Informationssystem auf jene Transaktionen und Funktionen, die autorisierte Benutzer ausführen dürfen.	iam-root-access-key-überprüfen	Der Zugriff auf Systeme und Ressourcen kann gesteuert werden, indem überprüft wird, ob der Root-Benutzer keine Zugriffsschlüssel mit seiner AWS Identity and Access Management (IAM) -Rolle verknüpft hat. Stellen Sie sicher, dass die Root-Zugriffsschlüssel gelöscht werden. Erstellen und verwenden Sie stattdessen rollenbasierte Funktionen, AWS-Konten um das Prinzip der geringsten Funktionalität zu berücksichtigen.
AC.L1-3.1.2	Beschränken Sie den Zugriff auf das Informationssystem auf jene Transaktionen und Funktionen, die autorisierte Benutzer ausführen dürfen.	iam-user-group-membership-überprüfen	AWS Identity and Access Management (IAM) kann Ihnen helfen, Zugriffsberechtigungen und Autorisierungen einzuschränken, indem sichergestellt wird, dass Benutzer Mitglieder mindestens einer Gruppe sind. Wenn Benutzern mehr Berechtigungen eingeräumt werden, als für die Ausführung einer Aufgabe erforderlich sind, kann dies gegen das Prinzip der geringsten Berechtigung und Aufgabentrennung verstoßen.
AC.L1-3.1.2	Beschränken Sie den Zugriff auf das Informationssystem auf jene Transaktionen und Funktionen, die autorisierte Benutzer ausführen dürfen.	iam-user-mfa-enabled	Aktivieren Sie diese Regel, um den Zugriff auf Ressourcen in der AWS Cloud einzuschränken. Diese Regel sorgt dafür, dass die Multi-Faktor-Authentifizierung (MFA) für alle Benutzer aktiviert ist. MFA sorgt für eine weitere Schutzebene zusätzlich zu den Anmeldeinformationen. Reduzieren Sie Fälle von kompromittierten Konten, indem Sie MFA für Benutzer vorschreiben.
AC.L1-3.1.2	Beschränken Sie den Zugriff auf das Informationssystem auf jene Transaktionen und Funktionen, die autorisierte Benutzer ausführen dürfen.	iam-user-no-policies-überprüfen	Diese Regel stellt sicher, dass AWS Identity and Access Management (IAM) -Richtlinien nur Gruppen oder Rollen zugewiesen werden, um den Zugriff auf Systeme und Ressourcen zu kontrollieren. Die Zuweisung von Berechtigungen auf Gruppen- oder Rollenebene trägt dazu bei, die Wahrscheinlichkeit zu verringern, dass eine Identität übermäßige Berechtigungen erhält oder beibehält.
AC.L1-3.1.2	Beschränken Sie den Zugriff auf das Informationssystem auf jene Transaktionen und Funktionen, die autorisierte Benutzer ausführen dürfen.	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) -Sicherheitsgruppen können bei der Verwaltung des Netzwerkzugriffs helfen, indem sie eine statusabhängige Filterung des ein- und ausgehenden Netzwerkverkehrs zu Ressourcen bereitstellen. AWS Wenn Sie eingehenden (oder entfernten) Datenverkehr von 0.0.0.0/0 bis Port 22 auf Ihren Ressourcen nicht zulassen, können Sie den Remote-Zugriff einschränken.
AC.L1-3.1.2	Beschränken Sie den Zugriff auf das Informationssystem auf jene Transaktionen und Funktionen, die autorisierte Benutzer ausführen dürfen.	ec-2 instances-in-vpc	Stellen Sie Amazon Elastic Compute Cloud (Amazon EC2-)Instances innerhalb einer Amazon Virtual Private Cloud (Amazon VPC) bereit, um eine sichere Kommunikation zwischen einer Instance und anderen Services innerhalb der Amazon-VPC zu ermöglichen, ohne dass ein Internet-Gateway, ein NAT-Gerät oder eine VPN-Verbindung erforderlich ist. Der gesamte Verkehr bleibt sicher in der AWS Cloud. Domains, die sich innerhalb einer VPC befinden, verfügen aufgrund ihrer logischen Isolierung im Vergleich zu Domains mit öffentlichen Endpunkten über eine zusätzliche Sicherheitsebene. Weisen Sie Amazon-EC2-Instances einer Amazon VPC zu, um den Zugriff ordnungsgemäß zu verwalten.
AC.L1-3.1.2	Beschränken Sie den Zugriff auf das Informationssystem auf jene Transaktionen und Funktionen, die autorisierte Benutzer ausführen dürfen.	internet-gateway-authorized-vpc-nur	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Internet-Gateways nur mit autorisierter Amazon Virtual Private Cloud (Amazon VPC) verbunden sind. Internet-Gateways ermöglichen den bidirektionalen Internetzugang zur und von der Amazon VPC, was möglicherweise zu einem unbefugten Zugriff auf Amazon-VPC-Ressourcen führen kann.
AC.L1-3.1.2	Beschränken Sie den Zugriff auf das Informationssystem auf jene Transaktionen und Funktionen, die autorisierte Benutzer ausführen dürfen.	lambda-function-public-access-verboten	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass AWS Lambda-Funktionen nicht öffentlich zugänglich sind. Der öffentliche Zugriff kann möglicherweise die Verfügbarkeit von Ressourcen beeinträchtigen.
AC.L1-3.1.2	Beschränken Sie den Zugriff auf das Informationssystem auf jene Transaktionen und Funktionen, die autorisierte Benutzer ausführen dürfen.	lambda-inside-vpc	Stellen Sie AWS Lambda-Funktionen in einer Amazon Virtual Private Cloud (Amazon VPC) bereit, um eine sichere Kommunikation zwischen einer Funktion und anderen Diensten innerhalb der Amazon VPC zu gewährleisten. Bei dieser Konfiguration sind kein Internet-Gateway, kein NAT-Gerät und keine VPN-Verbindung erforderlich. Der gesamte Datenverkehr bleibt sicher in der Cloud. AWS Domains, die sich innerhalb einer VPC befinden, verfügen aufgrund ihrer logischen Isolierung im Vergleich zu Domains mit öffentlichen Endpunkten über eine zusätzliche Sicherheitsebene. Um den Zugriff ordnungsgemäß zu verwalten, sollten AWS Lambda-Funktionen einer VPC zugewiesen werden.
AC.L1-3.1.2	Beschränken Sie den Zugriff auf das Informationssystem auf jene Transaktionen und Funktionen, die autorisierte Benutzer ausführen dürfen.	mfa-enabled-for-iam-Konsolenzugriff	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass MFA für alle AWS Identity and Access Management (IAM) -Benutzer aktiviert ist, die über ein Konsolenkennwort verfügen. MFA sorgt für eine weitere Schutzebene zusätzlich zu den Anmeldeinformationen. Indem Sie MFA für Benutzer vorschreiben, können Sie Fälle kompromittierter Konten reduzieren und verhindern, dass unbefugte Benutzer auf vertrauliche Daten zugreifen.
AC.L1-3.1.2	Beschränken Sie den Zugriff auf das Informationssystem auf jene Transaktionen und Funktionen, die autorisierte Benutzer ausführen dürfen.	rds-instance-public-access-überprüfen	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Relational Database Service (Amazon RDS) -Instances nicht öffentlich sind. Amazon-RDS-Datenbank-Instances können vertrauliche Informationen enthalten und für solche Konten sind Prinzipien und Zugriffskontrollen erforderlich.
AC.L1-3.1.2	Beschränken Sie den Zugriff auf das Informationssystem auf jene Transaktionen und Funktionen, die autorisierte Benutzer ausführen dürfen.	rds-snapshots-public-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Relational Database Service (Amazon RDS) -Instances nicht öffentlich sind. Amazon-RDS-Datenbank-Instances können vertrauliche Informationen enthalten und für solche Konten sind Prinzipien und Zugriffskontrollen erforderlich.
AC.L1-3.1.2	Beschränken Sie den Zugriff auf das Informationssystem auf jene Transaktionen und Funktionen, die autorisierte Benutzer ausführen dürfen.	redshift-cluster-public-access-überprüfen	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Redshift Redshift-Cluster nicht öffentlich sind. Amazon-Redshift-Cluster können vertrauliche Informationen enthalten und für solche Konten sind Prinzipien und Zugriffskontrollen erforderlich.
AC.L1-3.1.2	Beschränken Sie den Zugriff auf das Informationssystem auf jene Transaktionen und Funktionen, die autorisierte Benutzer ausführen dürfen.	restricted-common-ports	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass gemeinsame Ports für Amazon Elastic Compute Cloud (Amazon EC2) -Sicherheitsgruppen eingeschränkt sind. Wenn der Zugriff auf Ports nicht auf vertrauenswürdige Quellen beschränkt wird, kann dies zu Angriffen auf die Verfügbarkeit, Integrität und Vertraulichkeit von Systemen führen. Mit dieser Regel können Sie optional die Parameter blockedPort1–blockedPort5 festlegen (Standardkonfigurationen: 20, 21, 3389, 3306, 4333). Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
AC.L1-3.1.2	Beschränken Sie den Zugriff auf das Informationssystem auf jene Transaktionen und Funktionen, die autorisierte Benutzer ausführen dürfen.	root-account-hardware-mfa-aktiviert	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Hardware-MFA für den Root-Benutzer aktiviert ist. Der Stammbenutzer ist der AWS-Konto-Benutzer mit den meisten Berechtigungen. MFA sorgt für eine weitere Schutzebene zusätzlich zu den Anmeldeinformationen. Indem Sie MFA für den Root-Benutzer vorschreiben, können Sie die Anzahl AWS-Konten kompromittierter Benutzer reduzieren.
AC.L1-3.1.2	Beschränken Sie den Zugriff auf das Informationssystem auf jene Transaktionen und Funktionen, die autorisierte Benutzer ausführen dürfen.	root-account-mfa-enabled	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass MFA für den Root-Benutzer aktiviert ist. Der Stammbenutzer ist der AWS-Konto-Benutzer mit den meisten Berechtigungen. MFA sorgt für eine weitere Schutzebene zusätzlich zu den Anmeldeinformationen. Indem Sie MFA für den Root-Benutzer vorschreiben, können Sie die Anzahl AWS-Konten kompromittierter Benutzer reduzieren.
AC.L1-3.1.2	Beschränken Sie den Zugriff auf das Informationssystem auf jene Transaktionen und Funktionen, die autorisierte Benutzer ausführen dürfen.	s3- -blöcke-periodisch account-level-public-access	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Simple Storage Service (Amazon S3) -Buckets nicht öffentlich zugänglich sind. Diese Regel trägt dazu bei, sensible Daten vor unbefugten Remote-Benutzern zu schützen, indem sie den öffentlichen Zugriff verhindert. Mit dieser Regel können Sie optional die Parameter ignorePublicAcls (Config Default: True), blockPublicPolicy (Config Default: True), blockPublicAcls (Config Default: True) und restrictPublicBuckets Parameter (Config Default: True) festlegen. Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
AC.L1-3.1.2	Beschränken Sie den Zugriff auf das Informationssystem auf jene Transaktionen und Funktionen, die autorisierte Benutzer ausführen dürfen.	s3 bucket-level-public-access - verboten	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Simple Storage Service (Amazon S3) -Buckets nicht öffentlich zugänglich sind. Diese Regel trägt dazu bei, sensible Daten vor unbefugten Remote-Benutzern zu schützen, indem sie den öffentlichen Zugriff auf Bucket-Ebene verhindert.
AC.L1-3.1.2	Beschränken Sie den Zugriff auf das Informationssystem auf jene Transaktionen und Funktionen, die autorisierte Benutzer ausführen dürfen.	s-3 bucket-policy-grantee-check	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie s3_ bucket_policy_grantee_check aktivieren. Diese Regel prüft, ob der vom Amazon S3 S3-Bucket gewährte Zugriff durch die von Ihnen angegebenen AWS Principals, Verbundbenutzer, Service Principals, IP-Adressen oder Amazon Virtual Private Cloud (Amazon VPC) -IDs eingeschränkt ist.
AC.L1-3.1.2	Beschränken Sie den Zugriff auf das Informationssystem auf jene Transaktionen und Funktionen, die autorisierte Benutzer ausführen dürfen.	s-3 bucket-public-read-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie nur autorisierten Benutzern, Prozessen und Geräten Zugriff auf Amazon Simple Storage Service (Amazon S3) -Buckets gewähren. Die Verwaltung des Zugriffs sollte mit der Klassifizierung der Daten übereinstimmen.
AC.L1-3.1.2	Beschränken Sie den Zugriff auf das Informationssystem auf jene Transaktionen und Funktionen, die autorisierte Benutzer ausführen dürfen.	s3- bucket-public-write-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie nur autorisierten Benutzern, Prozessen und Geräten Zugriff auf Amazon Simple Storage Service (Amazon S3) -Buckets gewähren. Die Verwaltung des Zugriffs sollte mit der Klassifizierung der Daten übereinstimmen.
AC.L1-3.1.2	Beschränken Sie den Zugriff auf das Informationssystem auf jene Transaktionen und Funktionen, die autorisierte Benutzer ausführen dürfen.	sagemaker-notebook-no-direct-Internetzugang	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass SageMaker Amazon-Notebooks keinen direkten Internetzugang zulassen. Indem Sie direkten Internetzugang blockieren, vermeiden Sie, dass unbefugte Benutzer auf sensible Daten zugreifen.
AC.L1-3.1.2	Beschränken Sie den Zugriff auf das Informationssystem auf jene Transaktionen und Funktionen, die autorisierte Benutzer ausführen dürfen.	vpc-default-security-group-geschlossen	Sicherheitsgruppen von Amazon Elastic Compute Cloud (Amazon EC2) können bei der Verwaltung des Netzwerkzugriffs helfen, indem sie eine statusbehaftete Filterung des ein- und ausgehenden Netzwerkverkehrs zu Ressourcen bereitstellen. AWS Die Beschränkung des gesamten Datenverkehrs in der Standardsicherheitsgruppe hilft dabei, den Fernzugriff auf Ihre Ressourcen einzuschränken. AWS
AC.L1-3.1.2	Beschränken Sie den Zugriff auf das Informationssystem auf jene Transaktionen und Funktionen, die autorisierte Benutzer ausführen dürfen.	vpc-sg-open-only-to-authorized-ports	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass gemeinsame Ports für Amazon Elastic Compute Cloud (Amazon EC2) -Sicherheitsgruppen eingeschränkt sind. Wenn der Zugriff auf Ports nicht auf vertrauenswürdige Quellen beschränkt wird, kann dies zu Angriffen auf die Verfügbarkeit, Integrität und Vertraulichkeit von Systemen führen. Durch die Beschränkung des Zugriffs auf Ressourcen innerhalb einer Sicherheitsgruppe aus dem Internet (0.0.0.0/0) kann der Remote-Zugriff auf interne Systeme gesteuert werden.
AC.L1-3.1.2	Beschränken Sie den Zugriff auf das Informationssystem auf jene Transaktionen und Funktionen, die autorisierte Benutzer ausführen dürfen.	opensearch-in-vpc-only	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass sich Amazon OpenSearch Service-Domains innerhalb einer Amazon Virtual Private Cloud (Amazon VPC) befinden. Eine Amazon OpenSearch Service-Domain innerhalb einer Amazon VPC ermöglicht die sichere Kommunikation zwischen Amazon OpenSearch Service und anderen Services innerhalb der Amazon VPC, ohne dass ein Internet-Gateway, ein NAT-Gerät oder eine VPN-Verbindung erforderlich ist.
AC.L1-3.1.20	Überprüfen und kontrollieren/beschränken Sie die Verbindungen zu externen Informationssystemen und deren Nutzung.	alb-waf-enabled	Stellen Sie sicher, dass AWS WAF auf Elastic Load Balancers (ELB) aktiviert ist, um Webanwendungen zu schützen. Eine WAF hilft, Ihre Webanwendungen oder APIs vor gängigen Web-Exploits zu schützen. Diese Web-Exploits können sich auf die Verfügbarkeit auswirken, die Sicherheit gefährden oder übermäßige Ressourcen in Ihrer Umgebung verbrauchen.
AC.L1-3.1.20	Überprüfen und kontrollieren/beschränken Sie die Verbindungen zu externen Informationssystemen und deren Nutzung.	autoscaling-launch-config-public-ip-deaktiviert	Wenn Sie Ihre Netzwerkschnittstellen mit einer öffentlichen IP-Adresse konfigurieren, sind die diesen Netzwerkschnittstellen zugehörigen Ressourcen vom Internet aus erreichbar. EC2-Ressourcen sollten nicht öffentlich zugänglich sein, da dies einen unbeabsichtigten Zugriff auf Ihre Anwendungen oder Server ermöglichen kann.
AC.L1-3.1.20	Überprüfen und kontrollieren/beschränken Sie die Verbindungen zu externen Informationssystemen und deren Nutzung.	ec2- instance-no-public-ip	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass Amazon Elastic Compute Cloud (Amazon EC2) -Instances nicht öffentlich zugänglich sind. Amazon-EC2-Instances können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
AC.L1-3.1.20	Überprüfen und kontrollieren/beschränken Sie die Verbindungen zu externen Informationssystemen und deren Nutzung.	emr-master-no-public-ip	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass Amazon EMR-Cluster-Masterknoten nicht öffentlich zugänglich sind. Amazon-EMR-Cluster-Hauptknoten können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
AC.L1-3.1.20	Überprüfen und kontrollieren/beschränken Sie die Verbindungen zu externen Informationssystemen und deren Nutzung.	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) -Sicherheitsgruppen können bei der Verwaltung des Netzwerkzugriffs helfen, indem sie eine statusabhängige Filterung des ein- und ausgehenden Netzwerkverkehrs zu Ressourcen bereitstellen. AWS Wenn Sie eingehenden (oder entfernten) Datenverkehr von 0.0.0.0/0 bis Port 22 auf Ihren Ressourcen nicht zulassen, können Sie den Remote-Zugriff einschränken.
AC.L1-3.1.20	Überprüfen und kontrollieren/beschränken Sie die Verbindungen zu externen Informationssystemen und deren Nutzung.	internet-gateway-authorized-vpc-nur	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Internet-Gateways nur mit autorisierter Amazon Virtual Private Cloud (Amazon VPC) verbunden sind. Internet-Gateways ermöglichen den bidirektionalen Internetzugang zur und von der Amazon VPC, was möglicherweise zu einem unbefugten Zugriff auf Amazon-VPC-Ressourcen führen kann.
AC.L1-3.1.20	Überprüfen und kontrollieren/beschränken Sie die Verbindungen zu externen Informationssystemen und deren Nutzung.	lambda-function-public-access-verboten	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass AWS Lambda-Funktionen nicht öffentlich zugänglich sind. Der öffentliche Zugriff kann möglicherweise die Verfügbarkeit von Ressourcen beeinträchtigen.
AC.L1-3.1.20	Überprüfen und kontrollieren/beschränken Sie die Verbindungen zu externen Informationssystemen und deren Nutzung.	no-unrestricted-route-to-igw	Stellen Sie sicher, dass Amazon-EC2-Routing-Tabellen keine uneingeschränkten Routen zu einem Internet-Gateway enthalten. Das Entfernen oder Beschränken des Internetzugangs für Workloads innerhalb von Amazon VPCs kann unbeabsichtigte Zugriffe in Ihrer Umgebung reduzieren.
AC.L1-3.1.20	Überprüfen und kontrollieren/beschränken Sie die Verbindungen zu externen Informationssystemen und deren Nutzung.	rds-instance-public-access-überprüfen	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Relational Database Service (Amazon RDS) -Instances nicht öffentlich sind. Amazon-RDS-Datenbank-Instances können vertrauliche Informationen enthalten und für solche Konten sind Prinzipien und Zugriffskontrollen erforderlich.
AC.L1-3.1.20	Überprüfen und kontrollieren/beschränken Sie die Verbindungen zu externen Informationssystemen und deren Nutzung.	redshift-cluster-public-access-überprüfen	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Redshift Redshift-Cluster nicht öffentlich sind. Amazon-Redshift-Cluster können vertrauliche Informationen enthalten und für solche Konten sind Prinzipien und Zugriffskontrollen erforderlich.
AC.L1-3.1.20	Überprüfen und kontrollieren/beschränken Sie die Verbindungen zu externen Informationssystemen und deren Nutzung.	restricted-common-ports	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass gemeinsame Ports für Amazon Elastic Compute Cloud (Amazon EC2) -Sicherheitsgruppen eingeschränkt sind. Wenn der Zugriff auf Ports nicht auf vertrauenswürdige Quellen beschränkt wird, kann dies zu Angriffen auf die Verfügbarkeit, Integrität und Vertraulichkeit von Systemen führen. Mit dieser Regel können Sie optional die Parameter blockedPort1–blockedPort5 festlegen (Standardkonfigurationen: 20, 21, 3389, 3306, 4333). Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
AC.L1-3.1.20	Überprüfen und kontrollieren/beschränken Sie die Verbindungen zu externen Informationssystemen und deren Nutzung.	s3- -Block-periodisch account-level-public-access	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Simple Storage Service (Amazon S3) -Buckets nicht öffentlich zugänglich sind. Diese Regel trägt dazu bei, sensible Daten vor unbefugten Remote-Benutzern zu schützen, indem sie den öffentlichen Zugriff verhindert. Mit dieser Regel können Sie optional die Parameter ignorePublicAcls (Config Default: True), blockPublicPolicy (Config Default: True), blockPublicAcls (Config Default: True) und restrictPublicBuckets Parameter (Config Default: True) festlegen. Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
AC.L1-3.1.20	Überprüfen und kontrollieren/beschränken Sie die Verbindungen zu externen Informationssystemen und deren Nutzung.	s3 bucket-level-public-access - verboten	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Simple Storage Service (Amazon S3) -Buckets nicht öffentlich zugänglich sind. Diese Regel trägt dazu bei, sensible Daten vor unbefugten Remote-Benutzern zu schützen, indem sie den öffentlichen Zugriff auf Bucket-Ebene verhindert.
AC.L1-3.1.20	Überprüfen und kontrollieren/beschränken Sie die Verbindungen zu externen Informationssystemen und deren Nutzung.	s-3 bucket-public-read-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie nur autorisierten Benutzern, Prozessen und Geräten Zugriff auf Amazon Simple Storage Service (Amazon S3) -Buckets gewähren. Die Verwaltung des Zugriffs sollte mit der Klassifizierung der Daten übereinstimmen.
AC.L1-3.1.20	Überprüfen und kontrollieren/beschränken Sie die Verbindungen zu externen Informationssystemen und deren Nutzung.	s3- bucket-public-write-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie nur autorisierten Benutzern, Prozessen und Geräten Zugriff auf Amazon Simple Storage Service (Amazon S3) -Buckets gewähren. Die Verwaltung des Zugriffs sollte mit der Klassifizierung der Daten übereinstimmen.
AC.L1-3.1.20	Überprüfen und kontrollieren/beschränken Sie die Verbindungen zu externen Informationssystemen und deren Nutzung.	sagemaker-notebook-no-direct-Internetzugang	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass SageMaker Amazon-Notebooks keinen direkten Internetzugang zulassen. Indem Sie direkten Internetzugang blockieren, vermeiden Sie, dass unbefugte Benutzer auf sensible Daten zugreifen.
AC.L1-3.1.20	Überprüfen und kontrollieren/beschränken Sie die Verbindungen zu externen Informationssystemen und deren Nutzung.	ssm-document-not-public	Stellen Sie sicher, dass AWS Systems Manager (SSM) -Dokumente nicht öffentlich sind, da dies einen unbeabsichtigten Zugriff auf Ihre SSM-Dokumente ermöglichen kann. Ein öffentliches SSM-Dokument kann Informationen über Ihr Konto, Ihre Ressourcen und internen Prozesse preisgeben.
AC.L1-3.1.20	Überprüfen und kontrollieren/beschränken Sie die Verbindungen zu externen Informationssystemen und deren Nutzung.	subnet-auto-assign-public-ip-deaktiviert	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass Amazon Virtual Private Cloud (VPC) -Subnetzen nicht automatisch eine öffentliche IP-Adresse zugewiesen wird. Bei Amazon-Elastic-Compute-Cloud (EC2)-Instances, die in Subnetzen gestartet werden, in denen dieses Attribut aktiviert ist, wird der primären Netzwerkschnittstelle eine öffentliche IP-Adresse zugewiesen.
AC.L1-3.1.20	Überprüfen und kontrollieren/beschränken Sie die Verbindungen zu externen Informationssystemen und deren Nutzung.	vpc-default-security-group-geschlossen	Sicherheitsgruppen von Amazon Elastic Compute Cloud (Amazon EC2) können bei der Verwaltung des Netzwerkzugriffs helfen, indem sie eine statusbehaftete Filterung des ein- und ausgehenden Netzwerkverkehrs zu Ressourcen bereitstellen. AWS Die Beschränkung des gesamten Datenverkehrs in der Standardsicherheitsgruppe hilft dabei, den Fernzugriff auf Ihre Ressourcen einzuschränken. AWS
AC.L1-3.1.20	Überprüfen und kontrollieren/beschränken Sie die Verbindungen zu externen Informationssystemen und deren Nutzung.	vpc-sg-open-only-to-authorized-ports	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass gemeinsame Ports für Amazon Elastic Compute Cloud (Amazon EC2) -Sicherheitsgruppen eingeschränkt sind. Wenn der Zugriff auf Ports nicht auf vertrauenswürdige Quellen beschränkt wird, kann dies zu Angriffen auf die Verfügbarkeit, Integrität und Vertraulichkeit von Systemen führen. Durch die Beschränkung des Zugriffs auf Ressourcen innerhalb einer Sicherheitsgruppe aus dem Internet (0.0.0.0/0) kann der Remote-Zugriff auf interne Systeme gesteuert werden.
AC.L2-3.1.3	Steuern Sie den CUI-Fluss gemäß den genehmigten Autorisierungen.	alb-waf-enabled	Stellen Sie sicher, dass AWS WAF auf Elastic Load Balancers (ELB) aktiviert ist, um Webanwendungen zu schützen. Eine WAF hilft, Ihre Webanwendungen oder APIs vor gängigen Web-Exploits zu schützen. Diese Web-Exploits können sich auf die Verfügbarkeit auswirken, die Sicherheit gefährden oder übermäßige Ressourcen in Ihrer Umgebung verbrauchen.
AC.L2-3.1.3	Steuern Sie den CUI-Fluss gemäß den genehmigten Autorisierungen.	api-gw-associated-with-WAF	AWS Mit WAF können Sie eine Reihe von Regeln (als Web Access Control List (Web ACL) bezeichnet) konfigurieren, die Webanfragen auf der Grundlage von anpassbaren Websicherheitsregeln und -bedingungen, die Sie definieren, zulassen, blockieren oder zählen. Stellen Sie sicher, dass Ihre Amazon-API-Gateway-Stufe mit einer WAF-Web-ACL verknüpft ist, um sie vor böswilligen Angriffen zu schützen.
AC.L2-3.1.3	Steuern Sie den CUI-Fluss gemäß den genehmigten Autorisierungen.	autoscaling-launch-config-public-ip-deaktiviert	Wenn Sie Ihre Netzwerkschnittstellen mit einer öffentlichen IP-Adresse konfigurieren, sind die diesen Netzwerkschnittstellen zugehörigen Ressourcen vom Internet aus erreichbar. EC2-Ressourcen sollten nicht öffentlich zugänglich sein, da dies einen unbeabsichtigten Zugriff auf Ihre Anwendungen oder Server ermöglichen kann.
AC.L2-3.1.3	Steuern Sie den CUI-Fluss gemäß den genehmigten Autorisierungen.	dms-replication-not-public	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass auf DMS-Replikationsinstanzen nicht öffentlich zugegriffen werden kann. DMS-Replikations-Instances können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
AC.L2-3.1.3	Steuern Sie den CUI-Fluss gemäß den genehmigten Autorisierungen.	ebs-snapshot-public-restorable-überprüfen	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass EBS-Snapshots nicht öffentlich wiederherstellbar sind. EBS-Volume-Snapshots können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
AC.L2-3.1.3	Steuern Sie den CUI-Fluss gemäß den genehmigten Autorisierungen.	ec-2 instance-no-public-ip	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass Amazon Elastic Compute Cloud (Amazon EC2) -Instances nicht öffentlich zugänglich sind. Amazon-EC2-Instances können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
AC.L2-3.1.3	Steuern Sie den CUI-Fluss gemäß den genehmigten Autorisierungen.	elasticsearch-in-vpc-only	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass sich Amazon OpenSearch OpenSearch Service (Service) -Domains innerhalb einer Amazon Virtual Private Cloud (Amazon VPC) befinden. Eine OpenSearch Service-Domain innerhalb einer Amazon VPC ermöglicht die sichere Kommunikation zwischen OpenSearch Service und anderen Services innerhalb der Amazon VPC, ohne dass ein Internet-Gateway, ein NAT-Gerät oder eine VPN-Verbindung erforderlich ist.
AC.L2-3.1.3	Steuern Sie den CUI-Fluss gemäß den genehmigten Autorisierungen.	emr-master-no-public-ip	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass Amazon EMR-Cluster-Masterknoten nicht öffentlich zugänglich sind. Amazon-EMR-Cluster-Hauptknoten können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
AC.L2-3.1.3	Steuern Sie den CUI-Fluss gemäß den genehmigten Autorisierungen.	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) -Sicherheitsgruppen können bei der Verwaltung des Netzwerkzugriffs helfen, indem sie eine statusabhängige Filterung des ein- und ausgehenden Netzwerkverkehrs zu Ressourcen bereitstellen. AWS Wenn Sie eingehenden (oder entfernten) Datenverkehr von 0.0.0.0/0 bis Port 22 auf Ihren Ressourcen nicht zulassen, können Sie den Remote-Zugriff einschränken.
AC.L2-3.1.3	Steuern Sie den CUI-Fluss gemäß den genehmigten Autorisierungen.	ec-2 instances-in-vpc	Stellen Sie Amazon Elastic Compute Cloud (Amazon EC2-)Instances innerhalb einer Amazon Virtual Private Cloud (Amazon VPC) bereit, um eine sichere Kommunikation zwischen einer Instance und anderen Services innerhalb der Amazon-VPC zu ermöglichen, ohne dass ein Internet-Gateway, ein NAT-Gerät oder eine VPN-Verbindung erforderlich ist. Der gesamte Verkehr bleibt sicher in der AWS Cloud. Domains, die sich innerhalb einer VPC befinden, verfügen aufgrund ihrer logischen Isolierung im Vergleich zu Domains mit öffentlichen Endpunkten über eine zusätzliche Sicherheitsebene. Weisen Sie Amazon-EC2-Instances einer Amazon VPC zu, um den Zugriff ordnungsgemäß zu verwalten.
AC.L2-3.1.3	Steuern Sie den CUI-Fluss gemäß den genehmigten Autorisierungen.	internet-gateway-authorized-vpc-nur	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Internet-Gateways nur mit autorisierter Amazon Virtual Private Cloud (Amazon VPC) verbunden sind. Internet-Gateways ermöglichen den bidirektionalen Internetzugang zur und von der Amazon VPC, was möglicherweise zu einem unbefugten Zugriff auf Amazon-VPC-Ressourcen führen kann.
AC.L2-3.1.3	Steuern Sie den CUI-Fluss gemäß den genehmigten Autorisierungen.	lambda-function-public-access-verboten	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass AWS Lambda-Funktionen nicht öffentlich zugänglich sind. Der öffentliche Zugriff kann möglicherweise die Verfügbarkeit von Ressourcen beeinträchtigen.
AC.L2-3.1.3	Steuern Sie den CUI-Fluss gemäß den genehmigten Autorisierungen.	lambda-inside-vpc	Stellen Sie AWS Lambda-Funktionen in einer Amazon Virtual Private Cloud (Amazon VPC) bereit, um eine sichere Kommunikation zwischen einer Funktion und anderen Diensten innerhalb der Amazon VPC zu gewährleisten. Bei dieser Konfiguration sind kein Internet-Gateway, kein NAT-Gerät und keine VPN-Verbindung erforderlich. Der gesamte Datenverkehr bleibt sicher in der Cloud. AWS Domains, die sich innerhalb einer VPC befinden, verfügen aufgrund ihrer logischen Isolierung im Vergleich zu Domains mit öffentlichen Endpunkten über eine zusätzliche Sicherheitsebene. Um den Zugriff ordnungsgemäß zu verwalten, sollten AWS Lambda-Funktionen einer VPC zugewiesen werden.
AC.L2-3.1.3	Steuern Sie den CUI-Fluss gemäß den genehmigten Autorisierungen.	no-unrestricted-route-to-igw	Stellen Sie sicher, dass Amazon-EC2-Routing-Tabellen keine uneingeschränkten Routen zu einem Internet-Gateway enthalten. Das Entfernen oder Beschränken des Internetzugangs für Workloads innerhalb von Amazon VPCs kann unbeabsichtigte Zugriffe in Ihrer Umgebung reduzieren.
AC.L2-3.1.3	Steuern Sie den CUI-Fluss gemäß den genehmigten Autorisierungen.	rds-instance-public-access-überprüfen	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Relational Database Service (Amazon RDS) -Instances nicht öffentlich sind. Amazon-RDS-Datenbank-Instances können vertrauliche Informationen enthalten und für solche Konten sind Prinzipien und Zugriffskontrollen erforderlich.
AC.L2-3.1.3	Steuern Sie den CUI-Fluss gemäß den genehmigten Autorisierungen.	rds-snapshots-public-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Relational Database Service (Amazon RDS) -Instances nicht öffentlich sind. Amazon-RDS-Datenbank-Instances können vertrauliche Informationen enthalten und für solche Konten sind Prinzipien und Zugriffskontrollen erforderlich.
AC.L2-3.1.3	Steuern Sie den CUI-Fluss gemäß den genehmigten Autorisierungen.	redshift-cluster-public-access-überprüfen	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Redshift Redshift-Cluster nicht öffentlich sind. Amazon-Redshift-Cluster können vertrauliche Informationen enthalten und für solche Konten sind Prinzipien und Zugriffskontrollen erforderlich.
AC.L2-3.1.3	Steuern Sie den CUI-Fluss gemäß den genehmigten Autorisierungen.	restricted-common-ports	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass gemeinsame Ports für Amazon Elastic Compute Cloud (Amazon EC2) -Sicherheitsgruppen eingeschränkt sind. Wenn der Zugriff auf Ports nicht auf vertrauenswürdige Quellen beschränkt wird, kann dies zu Angriffen auf die Verfügbarkeit, Integrität und Vertraulichkeit von Systemen führen. Mit dieser Regel können Sie optional die Parameter blockedPort1–blockedPort5 festlegen (Standardkonfigurationen: 20, 21, 3389, 3306, 4333). Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
AC.L2-3.1.3	Steuern Sie den CUI-Fluss gemäß den genehmigten Autorisierungen.	s3- -Block-periodisch account-level-public-access	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Simple Storage Service (Amazon S3) -Buckets nicht öffentlich zugänglich sind. Diese Regel trägt dazu bei, sensible Daten vor unbefugten Remote-Benutzern zu schützen, indem sie den öffentlichen Zugriff verhindert. Mit dieser Regel können Sie optional die Parameter ignorePublicAcls (Config Default: True), blockPublicPolicy (Config Default: True), blockPublicAcls (Config Default: True) und restrictPublicBuckets Parameter (Config Default: True) festlegen. Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
AC.L2-3.1.3	Steuern Sie den CUI-Fluss gemäß den genehmigten Autorisierungen.	s3 bucket-level-public-access - verboten	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Simple Storage Service (Amazon S3) -Buckets nicht öffentlich zugänglich sind. Diese Regel trägt dazu bei, sensible Daten vor unbefugten Remote-Benutzern zu schützen, indem sie den öffentlichen Zugriff auf Bucket-Ebene verhindert.
AC.L2-3.1.3	Steuern Sie den CUI-Fluss gemäß den genehmigten Autorisierungen.	s-3 bucket-public-read-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie nur autorisierten Benutzern, Prozessen und Geräten Zugriff auf Amazon Simple Storage Service (Amazon S3) -Buckets gewähren. Die Verwaltung des Zugriffs sollte mit der Klassifizierung der Daten übereinstimmen.
AC.L2-3.1.3	Steuern Sie den CUI-Fluss gemäß den genehmigten Autorisierungen.	s3- bucket-public-write-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie nur autorisierten Benutzern, Prozessen und Geräten Zugriff auf Amazon Simple Storage Service (Amazon S3) -Buckets gewähren. Die Verwaltung des Zugriffs sollte mit der Klassifizierung der Daten übereinstimmen.
AC.L2-3.1.3	Steuern Sie den CUI-Fluss gemäß den genehmigten Autorisierungen.	sagemaker-notebook-no-direct-Internetzugang	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass SageMaker Amazon-Notebooks keinen direkten Internetzugang zulassen. Indem Sie direkten Internetzugang blockieren, vermeiden Sie, dass unbefugte Benutzer auf sensible Daten zugreifen.
AC.L2-3.1.3	Steuern Sie den CUI-Fluss gemäß den genehmigten Autorisierungen.	ssm-document-not-public	Stellen Sie sicher, dass AWS Systems Manager (SSM) -Dokumente nicht öffentlich sind, da dies einen unbeabsichtigten Zugriff auf Ihre SSM-Dokumente ermöglichen kann. Ein öffentliches SSM-Dokument kann Informationen über Ihr Konto, Ihre Ressourcen und internen Prozesse preisgeben.
AC.L2-3.1.3	Steuern Sie den CUI-Fluss gemäß den genehmigten Autorisierungen.	subnet-auto-assign-public-ip-deaktiviert	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass Amazon Virtual Private Cloud (VPC) -Subnetzen nicht automatisch eine öffentliche IP-Adresse zugewiesen wird. Bei Amazon-Elastic-Compute-Cloud (EC2)-Instances, die in Subnetzen gestartet werden, in denen dieses Attribut aktiviert ist, wird der primären Netzwerkschnittstelle eine öffentliche IP-Adresse zugewiesen.
AC.L2-3.1.3	Steuern Sie den CUI-Fluss gemäß den genehmigten Autorisierungen.	vpc-default-security-group-geschlossen	Sicherheitsgruppen von Amazon Elastic Compute Cloud (Amazon EC2) können bei der Verwaltung des Netzwerkzugriffs helfen, indem sie eine statusbehaftete Filterung des ein- und ausgehenden Netzwerkverkehrs zu Ressourcen bereitstellen. AWS Die Beschränkung des gesamten Datenverkehrs in der Standardsicherheitsgruppe hilft dabei, den Fernzugriff auf Ihre Ressourcen einzuschränken. AWS
AC.L2-3.1.3	Steuern Sie den CUI-Fluss gemäß den genehmigten Autorisierungen.	vpc-sg-open-only-to-authorized-ports	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass gemeinsame Ports für Amazon Elastic Compute Cloud (Amazon EC2) -Sicherheitsgruppen eingeschränkt sind. Wenn der Zugriff auf Ports nicht auf vertrauenswürdige Quellen beschränkt wird, kann dies zu Angriffen auf die Verfügbarkeit, Integrität und Vertraulichkeit von Systemen führen. Durch die Beschränkung des Zugriffs auf Ressourcen innerhalb einer Sicherheitsgruppe aus dem Internet (0.0.0.0/0) kann der Remote-Zugriff auf interne Systeme gesteuert werden.
AC.L2-3.1.3	Steuern Sie den CUI-Fluss gemäß den genehmigten Autorisierungen.	opensearch-in-vpc-only	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass sich Amazon OpenSearch Service-Domains innerhalb einer Amazon Virtual Private Cloud (Amazon VPC) befinden. Eine Amazon OpenSearch Service-Domain innerhalb einer Amazon VPC ermöglicht die sichere Kommunikation zwischen Amazon OpenSearch Service und anderen Services innerhalb der Amazon VPC, ohne dass ein Internet-Gateway, ein NAT-Gerät oder eine VPN-Verbindung erforderlich ist.
AC.L2-3.1.4	Teilen Sie Aufgaben auf mehrere Personen auf, um das Risiko böswilliger Aktivitäten durch fehlende Absprache zu verringern.	emr-kerberos-enabled	Die Zugriffsberechtigungen und -autorisierungen können verwaltet und nach den Prinzipien der geringsten Berechtigung und Aufgabentrennung integriert werden, indem Kerberos für Amazon-EMR-Cluster aktiviert wird. In Kerberos werden Services und Benutzer, die sich authentifizieren müssen, als Prinzipale bezeichnet. Prinzipale befinden sich in einem Kerberos-Bereich. Innerhalb dieses Bereichs wird ein Kerberos-Server als Key Distribution Center (KDC) bezeichnet. Über diesen Server können sich Prinzipale authentifizieren. Die Authentifizierung im KDC erfolgt durch die Ausstellung von Authentifizierungstickets. Das KDC unterhält eine Datenbank der Prinzipale in seinem Bereich mit ihren Passwörtern und anderen administrativen Informationen zu jedem Prinzipal.
AC.L2-3.1.4	Teilen Sie Aufgaben auf mehrere Personen auf, um das Risiko böswilliger Aktivitäten durch fehlende Absprache zu verringern.	iam-customer-policy-blocked-kms-Aktionen	AWS Identity and Access Management (IAM) kann Ihnen helfen, die Prinzipien der geringsten Rechte und der Aufgabentrennung in Zugriffsberechtigungen und Autorisierungen zu integrieren und so zu verhindern, dass Richtlinien blockierte Aktionen für alle AWS Schlüssel des Key Management Service enthalten. Wenn Benutzer mehr Rechte haben, als für die Ausführung einer Aufgabe erforderlich sind, kann dies gegen das Prinzip der geringsten Berechtigung und Aufgabentrennung verstoßen. Mit dieser Regel können Sie den Parameter festlegen. blockedActionsPatterns (Wert „AWS Bewährte grundlegende Sicherheitsmethoden“: kms:Decrypt, kms:). ReEncryptFrom Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
AC.L2-3.1.4	Teilen Sie Aufgaben auf mehrere Personen auf, um das Risiko böswilliger Aktivitäten durch fehlende Absprache zu verringern.	iam-group-has-users-überprüfen	AWS Identity and Access Management (IAM) kann Ihnen helfen, die Prinzipien der geringsten Rechte und der Aufgabentrennung mit Zugriffsberechtigungen und Autorisierungen zu integrieren, indem sichergestellt wird, dass IAM-Gruppen mindestens einen Benutzer haben. Die Einteilung von Benutzern in Gruppen auf der Grundlage der ihnen zugewiesenen Berechtigungen oder ihrer Funktion ist eine Möglichkeit, das Prinzip der geringsten Berechtigung zu implementieren.
AC.L2-3.1.4	Teilen Sie Aufgaben auf mehrere Personen auf, um das Risiko böswilliger Aktivitäten durch fehlende Absprache zu verringern.	iam-no-inline-policy-überprüfen	Stellen Sie sicher, dass ein Benutzer, eine IAM-Rolle oder eine IAM-Gruppe ( AWS Identity and Access Management) nicht über eine Inline-Richtlinie zur Zugriffskontrolle auf Systeme und Ressourcen verfügt. AWS empfiehlt, verwaltete Richtlinien anstelle von Inline-Richtlinien zu verwenden. Verwaltete Richtlinien ermöglichen Wiederverwendbarkeit, Versionsverwaltung, Rollback und Delegierung der Berechtigungsverwaltung.
AC.L2-3.1.4	Teilen Sie Aufgaben auf mehrere Personen auf, um das Risiko böswilliger Aktivitäten durch fehlende Absprache zu verringern.	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) kann Ihnen dabei helfen, die Prinzipien der geringsten Rechte und der Aufgabentrennung in Zugriffsberechtigungen und Autorisierungen zu integrieren und so zu verhindern, dass Richtlinien „Effect“: „Allow“ mit „Action“: „“ anstelle von „Resource“: „“ enthalten. Wenn Benutzern mehr Rechte eingeräumt werden, als für die Ausführung einer Aufgabe erforderlich sind, kann dies gegen das Prinzip der geringsten Berechtigung und der Aufgabentrennung verstoßen.
AC.L2-3.1.4	Teilen Sie Aufgaben auf mehrere Personen auf, um das Risiko böswilliger Aktivitäten durch fehlende Absprache zu verringern.	iam-policy-no-statements-with-full-access	Stellen Sie sicher, dass IAM-Aktionen nur auf die benötigten Aktionen beschränkt sind. Wenn Benutzern mehr Rechte eingeräumt werden, als für die Ausführung einer Aufgabe erforderlich sind, kann dies gegen das Prinzip der geringsten Berechtigung und der Aufgabentrennung verstoßen.
AC.L2-3.1.4	Teilen Sie Aufgaben auf mehrere Personen auf, um das Risiko böswilliger Aktivitäten durch fehlende Absprache zu verringern.	iam-root-access-key-überprüfen	Der Zugriff auf Systeme und Ressourcen kann gesteuert werden, indem überprüft wird, ob der Root-Benutzer keine Zugriffsschlüssel mit seiner AWS Identity and Access Management (IAM) -Rolle verknüpft hat. Stellen Sie sicher, dass die Root-Zugriffsschlüssel gelöscht werden. Erstellen und verwenden Sie stattdessen rollenbasierte Funktionen, AWS-Konten um das Prinzip der geringsten Funktionalität zu berücksichtigen.
AC.L2-3.1.4	Teilen Sie Aufgaben auf mehrere Personen auf, um das Risiko böswilliger Aktivitäten durch fehlende Absprache zu verringern.	iam-user-group-membership-überprüfen	AWS Identity and Access Management (IAM) kann Ihnen helfen, Zugriffsberechtigungen und Autorisierungen einzuschränken, indem sichergestellt wird, dass Benutzer Mitglieder mindestens einer Gruppe sind. Wenn Benutzern mehr Berechtigungen eingeräumt werden, als für die Ausführung einer Aufgabe erforderlich sind, kann dies gegen das Prinzip der geringsten Berechtigung und Aufgabentrennung verstoßen.
AC.L2-3.1.4	Teilen Sie Aufgaben auf mehrere Personen auf, um das Risiko böswilliger Aktivitäten durch fehlende Absprache zu verringern.	iam-user-no-policies-überprüfen	Diese Regel stellt sicher, dass AWS Identity and Access Management (IAM) -Richtlinien nur Gruppen oder Rollen zugewiesen werden, um den Zugriff auf Systeme und Ressourcen zu kontrollieren. Die Zuweisung von Berechtigungen auf Gruppen- oder Rollenebene trägt dazu bei, die Wahrscheinlichkeit zu verringern, dass eine Identität übermäßige Berechtigungen erhält oder beibehält.
AC.L2-3.1.4	Teilen Sie Aufgaben auf mehrere Personen auf, um das Risiko böswilliger Aktivitäten durch fehlende Absprache zu verringern.	s3- bucket-policy-grantee-check	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie s3_ bucket_policy_grantee_check aktivieren. Diese Regel prüft, ob der vom Amazon S3 S3-Bucket gewährte Zugriff durch die von Ihnen angegebenen AWS Principals, Verbundbenutzer, Service Principals, IP-Adressen oder Amazon Virtual Private Cloud (Amazon VPC) -IDs eingeschränkt ist.
AC.L2-3.1.5	Wenden Sie das Prinzip der geringsten Berechtigung an, auch für spezifische Sicherheitsfunktionen und privilegierte Konten.	dms-replication-not-public	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass auf DMS-Replikationsinstanzen nicht öffentlich zugegriffen werden kann. DMS-Replikations-Instances können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
AC.L2-3.1.5	Wenden Sie das Prinzip der geringsten Berechtigung an, auch für spezifische Sicherheitsfunktionen und privilegierte Konten.	ebs-snapshot-public-restorable-überprüfen	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass EBS-Snapshots nicht öffentlich wiederherstellbar sind. EBS-Volume-Snapshots können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
AC.L2-3.1.5	Wenden Sie das Prinzip der geringsten Berechtigung an, auch für spezifische Sicherheitsfunktionen und privilegierte Konten.	ec2-imdsv2-check	Stellen Sie sicher, dass die Instance Metadata Service Version 2 (IMDSv2)-Methode aktiviert ist, um den Zugriff auf Metadaten von Amazon Elastic Compute Cloud (Amazon EC2)-Instances zu schützen und sie zu kontrollieren. Die IMDSv2-Methode verwendet sitzungsbasierte Kontrollen. Mit IMDSv2 können Kontrollen implementiert werden, um Änderungen an Instance-Metadaten einzuschränken.
AC.L2-3.1.5	Wenden Sie das Prinzip der geringsten Berechtigung an, auch für spezifische Sicherheitsfunktionen und privilegierte Konten.	ec-2 instance-no-public-ip	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass Amazon Elastic Compute Cloud (Amazon EC2) -Instances nicht öffentlich zugänglich sind. Amazon-EC2-Instances können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
AC.L2-3.1.5	Wenden Sie das Prinzip der geringsten Berechtigung an, auch für spezifische Sicherheitsfunktionen und privilegierte Konten.	elasticsearch-in-vpc-only	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass sich Amazon OpenSearch OpenSearch Service (Service) -Domains innerhalb einer Amazon Virtual Private Cloud (Amazon VPC) befinden. Eine OpenSearch Service-Domain innerhalb einer Amazon VPC ermöglicht die sichere Kommunikation zwischen OpenSearch Service und anderen Services innerhalb der Amazon VPC, ohne dass ein Internet-Gateway, ein NAT-Gerät oder eine VPN-Verbindung erforderlich ist.
AC.L2-3.1.5	Wenden Sie das Prinzip der geringsten Berechtigung an, auch für spezifische Sicherheitsfunktionen und privilegierte Konten.	emr-kerberos-enabled	Die Zugriffsberechtigungen und -autorisierungen können verwaltet und nach den Prinzipien der geringsten Berechtigung und Aufgabentrennung integriert werden, indem Kerberos für Amazon-EMR-Cluster aktiviert wird. In Kerberos werden Services und Benutzer, die sich authentifizieren müssen, als Prinzipale bezeichnet. Prinzipale befinden sich in einem Kerberos-Bereich. Innerhalb dieses Bereichs wird ein Kerberos-Server als Key Distribution Center (KDC) bezeichnet. Über diesen Server können sich Prinzipale authentifizieren. Die Authentifizierung im KDC erfolgt durch die Ausstellung von Authentifizierungstickets. Das KDC unterhält eine Datenbank der Prinzipale in seinem Bereich mit ihren Passwörtern und anderen administrativen Informationen zu jedem Prinzipal.
AC.L2-3.1.5	Wenden Sie das Prinzip der geringsten Berechtigung an, auch für spezifische Sicherheitsfunktionen und privilegierte Konten.	emr-master-no-public-ip	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass Amazon EMR-Cluster-Masterknoten nicht öffentlich zugänglich sind. Amazon-EMR-Cluster-Hauptknoten können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
AC.L2-3.1.5	Wenden Sie das Prinzip der geringsten Berechtigung an, auch für spezifische Sicherheitsfunktionen und privilegierte Konten.	iam-customer-policy-blocked-kms-Aktionen	AWS Identity and Access Management (IAM) kann Ihnen helfen, die Prinzipien der geringsten Rechte und der Aufgabentrennung in Zugriffsberechtigungen und Autorisierungen zu integrieren und so zu verhindern, dass Richtlinien blockierte Aktionen für alle AWS Schlüssel des Key Management Service enthalten. Wenn Benutzer mehr Rechte haben, als für die Ausführung einer Aufgabe erforderlich sind, kann dies gegen das Prinzip der geringsten Berechtigung und Aufgabentrennung verstoßen. Mit dieser Regel können Sie den Parameter festlegen. blockedActionsPatterns (Wert „AWS Bewährte grundlegende Sicherheitsmethoden“: kms:Decrypt, kms:). ReEncryptFrom Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
AC.L2-3.1.5	Wenden Sie das Prinzip der geringsten Berechtigung an, auch für spezifische Sicherheitsfunktionen und privilegierte Konten.	iam-group-has-users-überprüfen	AWS Identity and Access Management (IAM) kann Ihnen helfen, die Prinzipien der geringsten Rechte und der Aufgabentrennung mit Zugriffsberechtigungen und Autorisierungen zu integrieren, indem sichergestellt wird, dass IAM-Gruppen mindestens einen Benutzer haben. Die Einteilung von Benutzern in Gruppen auf der Grundlage der ihnen zugewiesenen Berechtigungen oder ihrer Funktion ist eine Möglichkeit, das Prinzip der geringsten Berechtigung zu implementieren.
AC.L2-3.1.5	Wenden Sie das Prinzip der geringsten Berechtigung an, auch für spezifische Sicherheitsfunktionen und privilegierte Konten.	iam-inline-policy-blocked-kms-Aktionen	Stellen Sie sicher, dass ein Benutzer, eine IAM-Rolle oder eine IAM-Gruppe ( AWS Identity and Access Management) nicht über eine Inline-Richtlinie verfügt, die blockierte Aktionen für alle AWS Schlüssel des Key Management Service zulässt. AWS empfiehlt, verwaltete Richtlinien anstelle von Inline-Richtlinien zu verwenden. Verwaltete Richtlinien ermöglichen Wiederverwendbarkeit, Versionsverwaltung, Rollback und Delegierung der Berechtigungsverwaltung. Mit dieser Regel können Sie den blockedActionsPatterns Parameter festlegen. (Wert „AWS Bewährte grundlegende Sicherheitsmethoden“: kms:Decrypt, kms:). ReEncryptFrom Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
AC.L2-3.1.5	Wenden Sie das Prinzip der geringsten Berechtigung an, auch für spezifische Sicherheitsfunktionen und privilegierte Konten.	iam-no-inline-policy-überprüfen	Stellen Sie sicher, dass ein Benutzer, eine IAM-Rolle oder eine IAM-Gruppe ( AWS Identity and Access Management) nicht über eine Inline-Richtlinie zur Zugriffskontrolle auf Systeme und Ressourcen verfügt. AWS empfiehlt, verwaltete Richtlinien anstelle von Inline-Richtlinien zu verwenden. Verwaltete Richtlinien ermöglichen Wiederverwendbarkeit, Versionsverwaltung, Rollback und Delegierung der Berechtigungsverwaltung.
AC.L2-3.1.5	Wenden Sie das Prinzip der geringsten Berechtigung an, auch für spezifische Sicherheitsfunktionen und privilegierte Konten.	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) kann Ihnen dabei helfen, die Prinzipien der geringsten Rechte und der Aufgabentrennung in Zugriffsberechtigungen und Autorisierungen zu integrieren und so zu verhindern, dass Richtlinien „Effect“: „Allow“ mit „Action“: „“ anstelle von „Resource“: „“ enthalten. Wenn Benutzern mehr Rechte eingeräumt werden, als für die Ausführung einer Aufgabe erforderlich sind, kann dies gegen das Prinzip der geringsten Berechtigung und der Aufgabentrennung verstoßen.
AC.L2-3.1.5	Wenden Sie das Prinzip der geringsten Berechtigung an, auch für spezifische Sicherheitsfunktionen und privilegierte Konten.	iam-policy-no-statements-with-full-access	Stellen Sie sicher, dass IAM-Aktionen nur auf die benötigten Aktionen beschränkt sind. Wenn Benutzern mehr Rechte eingeräumt werden, als für die Ausführung einer Aufgabe erforderlich sind, kann dies gegen das Prinzip der geringsten Berechtigung und der Aufgabentrennung verstoßen.
AC.L2-3.1.5	Wenden Sie das Prinzip der geringsten Berechtigung an, auch für spezifische Sicherheitsfunktionen und privilegierte Konten.	iam-root-access-key-überprüfen	Der Zugriff auf Systeme und Ressourcen kann gesteuert werden, indem überprüft wird, ob der Root-Benutzer keine Zugriffsschlüssel mit seiner AWS Identity and Access Management (IAM) -Rolle verknüpft hat. Stellen Sie sicher, dass die Root-Zugriffsschlüssel gelöscht werden. Erstellen und verwenden Sie stattdessen rollenbasierte Funktionen, AWS-Konten um das Prinzip der geringsten Funktionalität zu berücksichtigen.
AC.L2-3.1.5	Wenden Sie das Prinzip der geringsten Berechtigung an, auch für spezifische Sicherheitsfunktionen und privilegierte Konten.	iam-user-group-membership-überprüfen	AWS Identity and Access Management (IAM) kann Ihnen helfen, Zugriffsberechtigungen und Autorisierungen einzuschränken, indem sichergestellt wird, dass Benutzer Mitglieder mindestens einer Gruppe sind. Wenn Benutzern mehr Berechtigungen eingeräumt werden, als für die Ausführung einer Aufgabe erforderlich sind, kann dies gegen das Prinzip der geringsten Berechtigung und Aufgabentrennung verstoßen.
AC.L2-3.1.5	Wenden Sie das Prinzip der geringsten Berechtigung an, auch für spezifische Sicherheitsfunktionen und privilegierte Konten.	iam-user-no-policies-überprüfen	Diese Regel stellt sicher, dass AWS Identity and Access Management (IAM) -Richtlinien nur Gruppen oder Rollen zugewiesen werden, um den Zugriff auf Systeme und Ressourcen zu kontrollieren. Die Zuweisung von Berechtigungen auf Gruppen- oder Rollenebene trägt dazu bei, die Wahrscheinlichkeit zu verringern, dass eine Identität übermäßige Berechtigungen erhält oder beibehält.
AC.L2-3.1.5	Wenden Sie das Prinzip der geringsten Berechtigung an, auch für spezifische Sicherheitsfunktionen und privilegierte Konten.	internet-gateway-authorized-vpc-nur	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Internet-Gateways nur mit autorisierter Amazon Virtual Private Cloud (Amazon VPC) verbunden sind. Internet-Gateways ermöglichen den bidirektionalen Internetzugang zur und von der Amazon VPC, was möglicherweise zu einem unbefugten Zugriff auf Amazon-VPC-Ressourcen führen kann.
AC.L2-3.1.5	Wenden Sie das Prinzip der geringsten Berechtigung an, auch für spezifische Sicherheitsfunktionen und privilegierte Konten.	lambda-function-public-access-verboten	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass AWS Lambda-Funktionen nicht öffentlich zugänglich sind. Der öffentliche Zugriff kann möglicherweise die Verfügbarkeit von Ressourcen beeinträchtigen.
AC.L2-3.1.5	Wenden Sie das Prinzip der geringsten Berechtigung an, auch für spezifische Sicherheitsfunktionen und privilegierte Konten.	rds-instance-public-access-überprüfen	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Relational Database Service (Amazon RDS) -Instances nicht öffentlich sind. Amazon-RDS-Datenbank-Instances können vertrauliche Informationen enthalten und für solche Konten sind Prinzipien und Zugriffskontrollen erforderlich.
AC.L2-3.1.5	Wenden Sie das Prinzip der geringsten Berechtigung an, auch für spezifische Sicherheitsfunktionen und privilegierte Konten.	rds-snapshots-public-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Relational Database Service (Amazon RDS) -Instances nicht öffentlich sind. Amazon-RDS-Datenbank-Instances können vertrauliche Informationen enthalten und für solche Konten sind Prinzipien und Zugriffskontrollen erforderlich.
AC.L2-3.1.5	Wenden Sie das Prinzip der geringsten Berechtigung an, auch für spezifische Sicherheitsfunktionen und privilegierte Konten.	redshift-cluster-public-access-überprüfen	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Redshift Redshift-Cluster nicht öffentlich sind. Amazon-Redshift-Cluster können vertrauliche Informationen enthalten und für solche Konten sind Prinzipien und Zugriffskontrollen erforderlich.
AC.L2-3.1.5	Wenden Sie das Prinzip der geringsten Berechtigung an, auch für spezifische Sicherheitsfunktionen und privilegierte Konten.	s3- -Block-periodisch account-level-public-access	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Simple Storage Service (Amazon S3) -Buckets nicht öffentlich zugänglich sind. Diese Regel trägt dazu bei, sensible Daten vor unbefugten Remote-Benutzern zu schützen, indem sie den öffentlichen Zugriff verhindert. Mit dieser Regel können Sie optional die Parameter ignorePublicAcls (Config Default: True), blockPublicPolicy (Config Default: True), blockPublicAcls (Config Default: True) und restrictPublicBuckets Parameter (Config Default: True) festlegen. Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
AC.L2-3.1.5	Wenden Sie das Prinzip der geringsten Berechtigung an, auch für spezifische Sicherheitsfunktionen und privilegierte Konten.	s3 bucket-level-public-access - verboten	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Simple Storage Service (Amazon S3) -Buckets nicht öffentlich zugänglich sind. Diese Regel trägt dazu bei, sensible Daten vor unbefugten Remote-Benutzern zu schützen, indem sie den öffentlichen Zugriff auf Bucket-Ebene verhindert.
AC.L2-3.1.5	Wenden Sie das Prinzip der geringsten Berechtigung an, auch für spezifische Sicherheitsfunktionen und privilegierte Konten.	s-3 bucket-policy-grantee-check	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie s3_ bucket_policy_grantee_check aktivieren. Diese Regel prüft, ob der vom Amazon S3 S3-Bucket gewährte Zugriff durch die von Ihnen angegebenen AWS Principals, Verbundbenutzer, Service Principals, IP-Adressen oder Amazon Virtual Private Cloud (Amazon VPC) -IDs eingeschränkt ist.
AC.L2-3.1.5	Wenden Sie das Prinzip der geringsten Berechtigung an, auch für spezifische Sicherheitsfunktionen und privilegierte Konten.	s-3 bucket-public-read-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie nur autorisierten Benutzern, Prozessen und Geräten Zugriff auf Amazon Simple Storage Service (Amazon S3) -Buckets gewähren. Die Verwaltung des Zugriffs sollte mit der Klassifizierung der Daten übereinstimmen.
AC.L2-3.1.5	Wenden Sie das Prinzip der geringsten Berechtigung an, auch für spezifische Sicherheitsfunktionen und privilegierte Konten.	s3- bucket-public-write-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie nur autorisierten Benutzern, Prozessen und Geräten Zugriff auf Amazon Simple Storage Service (Amazon S3) -Buckets gewähren. Die Verwaltung des Zugriffs sollte mit der Klassifizierung der Daten übereinstimmen.
AC.L2-3.1.5	Wenden Sie das Prinzip der geringsten Berechtigung an, auch für spezifische Sicherheitsfunktionen und privilegierte Konten.	sagemaker-notebook-no-direct-Internetzugang	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass SageMaker Amazon-Notebooks keinen direkten Internetzugang zulassen. Indem Sie direkten Internetzugang blockieren, vermeiden Sie, dass unbefugte Benutzer auf sensible Daten zugreifen.
AC.L2-3.1.5	Wenden Sie das Prinzip der geringsten Berechtigung an, auch für spezifische Sicherheitsfunktionen und privilegierte Konten.	ssm-document-not-public	Stellen Sie sicher, dass AWS Systems Manager (SSM) -Dokumente nicht öffentlich sind, da dies einen unbeabsichtigten Zugriff auf Ihre SSM-Dokumente ermöglichen kann. Ein öffentliches SSM-Dokument kann Informationen über Ihr Konto, Ihre Ressourcen und internen Prozesse preisgeben.
AC.L2-3.1.5	Wenden Sie das Prinzip der geringsten Berechtigung an, auch für spezifische Sicherheitsfunktionen und privilegierte Konten.	opensearch-in-vpc-only	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass sich Amazon OpenSearch Service-Domains innerhalb einer Amazon Virtual Private Cloud (Amazon VPC) befinden. Eine Amazon OpenSearch Service-Domain innerhalb einer Amazon VPC ermöglicht die sichere Kommunikation zwischen Amazon OpenSearch Service und anderen Services innerhalb der Amazon VPC, ohne dass ein Internet-Gateway, ein NAT-Gerät oder eine VPN-Verbindung erforderlich ist.
AC.L2-3.1.6	Verwenden Sie Konten oder Rollen ohne Berechtigungen, wenn Sie auf nicht sicherheitsrelevante Funktionen zugreifen.	emr-kerberos-enabled	Die Zugriffsberechtigungen und -autorisierungen können verwaltet und nach den Prinzipien der geringsten Berechtigung und Aufgabentrennung integriert werden, indem Kerberos für Amazon-EMR-Cluster aktiviert wird. In Kerberos werden Services und Benutzer, die sich authentifizieren müssen, als Prinzipale bezeichnet. Prinzipale befinden sich in einem Kerberos-Bereich. Innerhalb dieses Bereichs wird ein Kerberos-Server als Key Distribution Center (KDC) bezeichnet. Über diesen Server können sich Prinzipale authentifizieren. Die Authentifizierung im KDC erfolgt durch die Ausstellung von Authentifizierungstickets. Das KDC unterhält eine Datenbank der Prinzipale in seinem Bereich mit ihren Passwörtern und anderen administrativen Informationen zu jedem Prinzipal.
AC.L2-3.1.6	Verwenden Sie Konten oder Rollen ohne Berechtigungen, wenn Sie auf nicht sicherheitsrelevante Funktionen zugreifen.	iam-customer-policy-blocked-kms-Aktionen	AWS Identity and Access Management (IAM) kann Ihnen helfen, die Prinzipien der geringsten Rechte und der Aufgabentrennung in Zugriffsberechtigungen und Autorisierungen zu integrieren und so zu verhindern, dass Richtlinien blockierte Aktionen für alle AWS Schlüssel des Key Management Service enthalten. Wenn Benutzer mehr Rechte haben, als für die Ausführung einer Aufgabe erforderlich sind, kann dies gegen das Prinzip der geringsten Berechtigung und Aufgabentrennung verstoßen. Mit dieser Regel können Sie den Parameter festlegen. blockedActionsPatterns (Wert „AWS Bewährte grundlegende Sicherheitsmethoden“: kms:Decrypt, kms:). ReEncryptFrom Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
AC.L2-3.1.6	Verwenden Sie Konten oder Rollen ohne Berechtigungen, wenn Sie auf nicht sicherheitsrelevante Funktionen zugreifen.	iam-group-has-users-überprüfen	AWS Identity and Access Management (IAM) kann Ihnen helfen, die Prinzipien der geringsten Rechte und der Aufgabentrennung mit Zugriffsberechtigungen und Autorisierungen zu integrieren, indem sichergestellt wird, dass IAM-Gruppen mindestens einen Benutzer haben. Die Einteilung von Benutzern in Gruppen auf der Grundlage der ihnen zugewiesenen Berechtigungen oder ihrer Funktion ist eine Möglichkeit, das Prinzip der geringsten Berechtigung zu implementieren.
AC.L2-3.1.6	Verwenden Sie Konten oder Rollen ohne Berechtigungen, wenn Sie auf nicht sicherheitsrelevante Funktionen zugreifen.	iam-inline-policy-blocked-kms-Aktionen	Stellen Sie sicher, dass ein Benutzer, eine IAM-Rolle oder eine IAM-Gruppe ( AWS Identity and Access Management) nicht über eine Inline-Richtlinie verfügt, die blockierte Aktionen für alle AWS Schlüssel des Key Management Service zulässt. AWS empfiehlt, verwaltete Richtlinien anstelle von Inline-Richtlinien zu verwenden. Verwaltete Richtlinien ermöglichen Wiederverwendbarkeit, Versionsverwaltung, Rollback und Delegierung der Berechtigungsverwaltung. Mit dieser Regel können Sie den blockedActionsPatterns Parameter festlegen. (Wert „AWS Bewährte grundlegende Sicherheitsmethoden“: kms:Decrypt, kms:). ReEncryptFrom Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
AC.L2-3.1.6	Verwenden Sie Konten oder Rollen ohne Berechtigungen, wenn Sie auf nicht sicherheitsrelevante Funktionen zugreifen.	iam-no-inline-policy-überprüfen	Stellen Sie sicher, dass ein Benutzer, eine IAM-Rolle oder eine IAM-Gruppe ( AWS Identity and Access Management) nicht über eine Inline-Richtlinie zur Zugriffskontrolle auf Systeme und Ressourcen verfügt. AWS empfiehlt, verwaltete Richtlinien anstelle von Inline-Richtlinien zu verwenden. Verwaltete Richtlinien ermöglichen Wiederverwendbarkeit, Versionsverwaltung, Rollback und Delegierung der Berechtigungsverwaltung.
AC.L2-3.1.6	Verwenden Sie Konten oder Rollen ohne Berechtigungen, wenn Sie auf nicht sicherheitsrelevante Funktionen zugreifen.	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) kann Ihnen dabei helfen, die Prinzipien der geringsten Rechte und der Aufgabentrennung in Zugriffsberechtigungen und Autorisierungen zu integrieren und so zu verhindern, dass Richtlinien „Effect“: „Allow“ mit „Action“: „“ anstelle von „Resource“: „“ enthalten. Wenn Benutzern mehr Rechte eingeräumt werden, als für die Ausführung einer Aufgabe erforderlich sind, kann dies gegen das Prinzip der geringsten Berechtigung und der Aufgabentrennung verstoßen.
AC.L2-3.1.6	Verwenden Sie Konten oder Rollen ohne Berechtigungen, wenn Sie auf nicht sicherheitsrelevante Funktionen zugreifen.	iam-policy-no-statements-with-full-access	Stellen Sie sicher, dass IAM-Aktionen nur auf die benötigten Aktionen beschränkt sind. Wenn Benutzern mehr Rechte eingeräumt werden, als für die Ausführung einer Aufgabe erforderlich sind, kann dies gegen das Prinzip der geringsten Berechtigung und der Aufgabentrennung verstoßen.
AC.L2-3.1.6	Verwenden Sie Konten oder Rollen ohne Berechtigungen, wenn Sie auf nicht sicherheitsrelevante Funktionen zugreifen.	iam-root-access-key-überprüfen	Der Zugriff auf Systeme und Ressourcen kann gesteuert werden, indem überprüft wird, ob der Root-Benutzer keine Zugriffsschlüssel mit seiner AWS Identity and Access Management (IAM) -Rolle verknüpft hat. Stellen Sie sicher, dass die Root-Zugriffsschlüssel gelöscht werden. Erstellen und verwenden Sie stattdessen rollenbasierte Funktionen, AWS-Konten um das Prinzip der geringsten Funktionalität zu berücksichtigen.
AC.L2-3.1.6	Verwenden Sie Konten oder Rollen ohne Berechtigungen, wenn Sie auf nicht sicherheitsrelevante Funktionen zugreifen.	iam-user-group-membership-überprüfen	AWS Identity and Access Management (IAM) kann Ihnen helfen, Zugriffsberechtigungen und Autorisierungen einzuschränken, indem sichergestellt wird, dass Benutzer Mitglieder mindestens einer Gruppe sind. Wenn Benutzern mehr Berechtigungen eingeräumt werden, als für die Ausführung einer Aufgabe erforderlich sind, kann dies gegen das Prinzip der geringsten Berechtigung und Aufgabentrennung verstoßen.
AC.L2-3.1.6	Verwenden Sie Konten oder Rollen ohne Berechtigungen, wenn Sie auf nicht sicherheitsrelevante Funktionen zugreifen.	iam-user-no-policies-überprüfen	Diese Regel stellt sicher, dass AWS Identity and Access Management (IAM) -Richtlinien nur Gruppen oder Rollen zugewiesen werden, um den Zugriff auf Systeme und Ressourcen zu kontrollieren. Die Zuweisung von Berechtigungen auf Gruppen- oder Rollenebene trägt dazu bei, die Wahrscheinlichkeit zu verringern, dass eine Identität übermäßige Berechtigungen erhält oder beibehält.
AC.L2-3.1.7	Verhindern Sie, dass Benutzer ohne Berechtigungen Funktionen ausführen, für die Berechtigungen erforderlich sind, und erfassen Sie die Ausführung solcher Funktionen in Prüfprotokollen.	api-gw-execution-logging-aktiviert	Die API-Gateway-Protokollierung zeigt detaillierte Ansichten der Benutzer, die auf die API zugegriffen haben, und wie diese Benutzer auf die API zugegriffen haben. Diese Einblicke ermöglichen die Transparenz von Benutzeraktivitäten.
AC.L2-3.1.7	Verhindern Sie, dass Benutzer ohne Berechtigungen Funktionen ausführen, für die Berechtigungen erforderlich sind, und erfassen Sie die Ausführung solcher Funktionen in Prüfprotokollen.	cloudtrail-s3-dataevents-enabled	Die Erfassung von Simple Storage Service (Amazon S3)-Datenereignissen unterstützt die Erkennung von ungewöhnlichen Aktivitäten. Zu den Details gehören AWS-Konto Informationen über den Zugriff auf einen Amazon S3 S3-Bucket, die IP-Adresse und die Uhrzeit des Ereignisses.
AC.L2-3.1.7	Verhindern Sie, dass Benutzer ohne Berechtigungen Funktionen ausführen, für die Berechtigungen erforderlich sind, und erfassen Sie die Ausführung solcher Funktionen in Prüfprotokollen.	cloud-trail-cloud-watch-logs-aktiviert	Verwenden Sie Amazon CloudWatch , um Protokollereignisaktivitäten zentral zu sammeln und zu verwalten. Die Aufnahme von AWS CloudTrail Daten liefert Einzelheiten zu den API-Aufrufaktivitäten in Ihrem AWS-Konto.
AC.L2-3.1.7	Verhindern Sie, dass Benutzer ohne Berechtigungen Funktionen ausführen, für die Berechtigungen erforderlich sind, und erfassen Sie die Ausführung solcher Funktionen in Prüfprotokollen.	cloudtrail-enabled	AWS CloudTrail kann bei der Nichtabstreitbarkeit helfen, indem Aktionen und API-Aufrufe der AWS Management Console aufgezeichnet werden. Sie können die Benutzer und die Benutzer AWS-Konten , die einen AWS Dienst aufgerufen haben, die Quell-IP-Adresse, über die die Aufrufe generiert wurden, und den Zeitpunkt der Anrufe identifizieren. Einzelheiten zu den erfassten Daten finden Sie in den AWS CloudTrail Datensatzinhalten.
AC.L2-3.1.7	Verhindern Sie, dass Benutzer ohne Berechtigungen Funktionen ausführen, für die Berechtigungen erforderlich sind, und erfassen Sie die Ausführung solcher Funktionen in Prüfprotokollen.	elb-logging-enabled	Die Elastic-Load-Balancing-Aktivität ist ein zentraler Kommunikationspunkt innerhalb einer Umgebung. Stellen Sie sicher, dass die ELB-Protokollierung aktiviert ist. Die gesammelten Daten enthalten detaillierte Informationen zu Anfragen, die an den ELB gesendet wurden. Jedes Protokoll enthält Informationen wie die Zeit, zu der die Anforderung einging, die Client-IP-Adresse, Latenzen, Anforderungspfade und Serverantworten.
AC.L2-3.1.7	Verhindern Sie, dass Benutzer ohne Berechtigungen Funktionen ausführen, für die Berechtigungen erforderlich sind, und erfassen Sie die Ausführung solcher Funktionen in Prüfprotokollen.	emr-kerberos-enabled	Die Zugriffsberechtigungen und -autorisierungen können verwaltet und nach den Prinzipien der geringsten Berechtigung und Aufgabentrennung integriert werden, indem Kerberos für Amazon-EMR-Cluster aktiviert wird. In Kerberos werden Services und Benutzer, die sich authentifizieren müssen, als Prinzipale bezeichnet. Prinzipale befinden sich in einem Kerberos-Bereich. Innerhalb dieses Bereichs wird ein Kerberos-Server als Key Distribution Center (KDC) bezeichnet. Über diesen Server können sich Prinzipale authentifizieren. Die Authentifizierung im KDC erfolgt durch die Ausstellung von Authentifizierungstickets. Das KDC unterhält eine Datenbank der Prinzipale in seinem Bereich mit ihren Passwörtern und anderen administrativen Informationen zu jedem Prinzipal.
AC.L2-3.1.7	Verhindern Sie, dass Benutzer ohne Berechtigungen Funktionen ausführen, für die Berechtigungen erforderlich sind, und erfassen Sie die Ausführung solcher Funktionen in Prüfprotokollen.	iam-customer-policy-blocked-kms-Aktionen	AWS Identity and Access Management (IAM) kann Ihnen helfen, die Prinzipien der geringsten Rechte und der Aufgabentrennung in Zugriffsberechtigungen und Autorisierungen zu integrieren und so zu verhindern, dass Richtlinien blockierte Aktionen für alle AWS Schlüssel des Key Management Service enthalten. Wenn Benutzer mehr Rechte haben, als für die Ausführung einer Aufgabe erforderlich sind, kann dies gegen das Prinzip der geringsten Berechtigung und Aufgabentrennung verstoßen. Mit dieser Regel können Sie den Parameter festlegen. blockedActionsPatterns (Wert „AWS Bewährte grundlegende Sicherheitsmethoden“: kms:Decrypt, kms:). ReEncryptFrom Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
AC.L2-3.1.7	Verhindern Sie, dass Benutzer ohne Berechtigungen Funktionen ausführen, für die Berechtigungen erforderlich sind, und erfassen Sie die Ausführung solcher Funktionen in Prüfprotokollen.	iam-group-has-users-überprüfen	AWS Identity and Access Management (IAM) kann Ihnen helfen, die Prinzipien der geringsten Rechte und der Aufgabentrennung mit Zugriffsberechtigungen und Autorisierungen zu integrieren, indem sichergestellt wird, dass IAM-Gruppen mindestens einen Benutzer haben. Die Einteilung von Benutzern in Gruppen auf der Grundlage der ihnen zugewiesenen Berechtigungen oder ihrer Funktion ist eine Möglichkeit, das Prinzip der geringsten Berechtigung zu implementieren.
AC.L2-3.1.7	Verhindern Sie, dass Benutzer ohne Berechtigungen Funktionen ausführen, für die Berechtigungen erforderlich sind, und erfassen Sie die Ausführung solcher Funktionen in Prüfprotokollen.	iam-inline-policy-blocked-kms-Aktionen	Stellen Sie sicher, dass ein Benutzer, eine IAM-Rolle oder eine IAM-Gruppe ( AWS Identity and Access Management) nicht über eine Inline-Richtlinie verfügt, die blockierte Aktionen für alle AWS Schlüssel des Key Management Service zulässt. AWS empfiehlt, verwaltete Richtlinien anstelle von Inline-Richtlinien zu verwenden. Verwaltete Richtlinien ermöglichen Wiederverwendbarkeit, Versionsverwaltung, Rollback und Delegierung der Berechtigungsverwaltung. Mit dieser Regel können Sie den blockedActionsPatterns Parameter festlegen. (Wert „AWS Bewährte grundlegende Sicherheitsmethoden“: kms:Decrypt, kms:). ReEncryptFrom Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
AC.L2-3.1.7	Verhindern Sie, dass Benutzer ohne Berechtigungen Funktionen ausführen, für die Berechtigungen erforderlich sind, und erfassen Sie die Ausführung solcher Funktionen in Prüfprotokollen.	iam-no-inline-policy-überprüfen	Stellen Sie sicher, dass ein Benutzer, eine IAM-Rolle oder eine IAM-Gruppe ( AWS Identity and Access Management) nicht über eine Inline-Richtlinie zur Zugriffskontrolle auf Systeme und Ressourcen verfügt. AWS empfiehlt, verwaltete Richtlinien anstelle von Inline-Richtlinien zu verwenden. Verwaltete Richtlinien ermöglichen Wiederverwendbarkeit, Versionsverwaltung, Rollback und Delegierung der Berechtigungsverwaltung.
AC.L2-3.1.7	Verhindern Sie, dass Benutzer ohne Berechtigungen Funktionen ausführen, für die Berechtigungen erforderlich sind, und erfassen Sie die Ausführung solcher Funktionen in Prüfprotokollen.	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) kann Ihnen dabei helfen, die Prinzipien der geringsten Rechte und der Aufgabentrennung in Zugriffsberechtigungen und Autorisierungen zu integrieren und so zu verhindern, dass Richtlinien „Effect“: „Allow“ mit „Action“: „“ anstelle von „Resource“: „“ enthalten. Wenn Benutzern mehr Rechte eingeräumt werden, als für die Ausführung einer Aufgabe erforderlich sind, kann dies gegen das Prinzip der geringsten Berechtigung und der Aufgabentrennung verstoßen.
AC.L2-3.1.7	Verhindern Sie, dass Benutzer ohne Berechtigungen Funktionen ausführen, für die Berechtigungen erforderlich sind, und erfassen Sie die Ausführung solcher Funktionen in Prüfprotokollen.	iam-policy-no-statements-with-full-access	Stellen Sie sicher, dass IAM-Aktionen nur auf die benötigten Aktionen beschränkt sind. Wenn Benutzern mehr Rechte eingeräumt werden, als für die Ausführung einer Aufgabe erforderlich sind, kann dies gegen das Prinzip der geringsten Berechtigung und der Aufgabentrennung verstoßen.
AC.L2-3.1.7	Verhindern Sie, dass Benutzer ohne Berechtigungen Funktionen ausführen, für die Berechtigungen erforderlich sind, und erfassen Sie die Ausführung solcher Funktionen in Prüfprotokollen.	iam-root-access-key-überprüfen	Der Zugriff auf Systeme und Ressourcen kann gesteuert werden, indem überprüft wird, ob der Root-Benutzer keine Zugriffsschlüssel mit seiner AWS Identity and Access Management (IAM) -Rolle verknüpft hat. Stellen Sie sicher, dass die Root-Zugriffsschlüssel gelöscht werden. Erstellen und verwenden Sie stattdessen rollenbasierte Funktionen, AWS-Konten um das Prinzip der geringsten Funktionalität zu berücksichtigen.
AC.L2-3.1.7	Verhindern Sie, dass Benutzer ohne Berechtigungen Funktionen ausführen, für die Berechtigungen erforderlich sind, und erfassen Sie die Ausführung solcher Funktionen in Prüfprotokollen.	iam-user-group-membership-überprüfen	AWS Identity and Access Management (IAM) kann Ihnen helfen, Zugriffsberechtigungen und Autorisierungen einzuschränken, indem sichergestellt wird, dass Benutzer Mitglieder mindestens einer Gruppe sind. Wenn Benutzern mehr Berechtigungen eingeräumt werden, als für die Ausführung einer Aufgabe erforderlich sind, kann dies gegen das Prinzip der geringsten Berechtigung und Aufgabentrennung verstoßen.
AC.L2-3.1.7	Verhindern Sie, dass Benutzer ohne Berechtigungen Funktionen ausführen, für die Berechtigungen erforderlich sind, und erfassen Sie die Ausführung solcher Funktionen in Prüfprotokollen.	iam-user-no-policies-überprüfen	Diese Regel stellt sicher, dass AWS Identity and Access Management (IAM) -Richtlinien nur Gruppen oder Rollen zugewiesen werden, um den Zugriff auf Systeme und Ressourcen zu kontrollieren. Die Zuweisung von Berechtigungen auf Gruppen- oder Rollenebene trägt dazu bei, die Wahrscheinlichkeit zu verringern, dass eine Identität übermäßige Berechtigungen erhält oder beibehält.
AC.L2-3.1.7	Verhindern Sie, dass Benutzer ohne Berechtigungen Funktionen ausführen, für die Berechtigungen erforderlich sind, und erfassen Sie die Ausführung solcher Funktionen in Prüfprotokollen.	multi-region-cloudtrail-enabled	AWS CloudTrail zeichnet Aktionen und API-Aufrufe der AWS Management Console auf. Sie können feststellen, welche Benutzer und Konten angerufen wurden AWS, von welcher Quell-IP-Adresse aus die Anrufe getätigt wurden und wann die Anrufe erfolgten. CloudTrail übermittelt Protokolldateien aus allen AWS Regionen an Ihren S3-Bucket, wenn MULTI_REGION_CLOUD_TRAIL_ENABLED aktiviert ist. Außerdem wird beim AWS Start einer neuen Region derselbe Trail in der neuen Region erstellt. CloudTrail Dadurch erhalten Sie automatisch Protokolldateien mit API-Aktivitäten für die neue Region.
AC.L2-3.1.7	Verhindern Sie, dass Benutzer ohne Berechtigungen Funktionen ausführen, für die Berechtigungen erforderlich sind, und erfassen Sie die Ausführung solcher Funktionen in Prüfprotokollen.	rds-logging-enabled	Um die Protokollierung und Überwachung in Ihrer Umgebung zu erleichtern, stellen Sie sicher, dass die Amazon Relational Database Service (Amazon RDS)-Protokollierung aktiviert ist. Mit der Amazon-RDS-Protokollierung können Sie Ereignisse wie Verbindungen, Verbindungsabbrüche, Abfragen oder abgefragte Tabellen erfassen.
AC.L2-3.1.7	Verhindern Sie, dass Benutzer ohne Berechtigungen Funktionen ausführen, für die Berechtigungen erforderlich sind, und erfassen Sie die Ausführung solcher Funktionen in Prüfprotokollen.	s-3 bucket-logging-enabled	Die Amazon Simple Storage Service (Amazon S3)-Serverzugriffsprotokollierung bietet eine Methode zur Überwachung des Netzwerks im Hinblick auf potenzielle Cybersicherheitsereignisse. Die Ereignisse werden überwacht, indem detaillierte Aufzeichnungen über die Anfragen erfasst werden, die an einen Amazon-S3-Bucket gestellt wurden. Jeder Zugriffsprotokolleintrag enthält Details zu einer einzelnen Zugriffsanfrage. Zu den Details gehören Anforderer, Bucket-Name, Anforderungszeit, Anforderungsaktion, Antwortstatus und Fehlercode, falls relevant.
AC.L2-3.1.7	Verhindern Sie, dass Benutzer ohne Berechtigungen Funktionen ausführen, für die Berechtigungen erforderlich sind, und erfassen Sie die Ausführung solcher Funktionen in Prüfprotokollen.	s-3 bucket-policy-grantee-check	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie s3_ bucket_policy_grantee_check aktivieren. Diese Regel prüft, ob der vom Amazon S3 S3-Bucket gewährte Zugriff durch die von Ihnen angegebenen AWS Principals, Verbundbenutzer, Service Principals, IP-Adressen oder Amazon Virtual Private Cloud (Amazon VPC) -IDs eingeschränkt ist.
AC.L2-3.1.12	Überwachen und steuern Sie Remote-Zugriffssitzungen.	cloudwatch-alarm-action-check	Amazon CloudWatch alarmiert, wenn eine Metrik den Schwellenwert für eine bestimmte Anzahl von Bewertungszeiträumen überschreitet. Der Alarm führt eine oder mehrere Aktionen durch, die vom Wert der Metrik oder des Ausdrucks im Vergleich zu einem Schwellenwert in einer Reihe von Zeiträumen abhängt. Diese Regel erfordert einen Wert für alarmActionRequired (Config Default: True), insufficientDataAction Required (Config Default: True), okActionRequired (Config Default: False). Der tatsächliche Wert muss die Alarmaktionen für Ihre Umgebung widerspiegeln.
AC.L2-3.1.12	Überwachen und steuern Sie Remote-Zugriffssitzungen.	cloud-trail-cloud-watch-logs-aktiviert	Verwenden Sie Amazon CloudWatch , um Protokollereignisaktivitäten zentral zu sammeln und zu verwalten. Die Aufnahme von AWS CloudTrail Daten liefert Einzelheiten zu den API-Aufrufaktivitäten in Ihrem AWS-Konto.
AC.L2-3.1.12	Überwachen und steuern Sie Remote-Zugriffssitzungen.	guardduty-enabled-centralized	Amazon GuardDuty kann mithilfe von Threat Intelligence Feeds helfen, potenzielle Cybersicherheitsereignisse zu überwachen und zu erkennen. Dazu gehören Listen bösartiger IP-Adressen und maschinelles Lernen zur Identifizierung unerwarteter, nicht autorisierter und bösartiger Aktivitäten in Ihrer AWS Cloud-Umgebung.
AC.L2-3.1.12	Überwachen und steuern Sie Remote-Zugriffssitzungen.	securityhub-enabled	AWS Security Hub hilft bei der Überwachung von unbefugtem Personal, Verbindungen, Geräten und Software. AWS Security Hub aggregiert, organisiert und priorisiert die Sicherheitswarnungen oder Ergebnisse mehrerer Dienste. AWS Einige dieser Dienste sind Amazon Security Hub, Amazon Inspector, Amazon Macie, AWS Identity and Access Management (IAM) Access Analyzer und AWS Firewall Manager sowie AWS Partnerlösungen.
AC.L2-3.1.13	Setzen Sie kryptografische Mechanismen ein, um die Vertraulichkeit von Remote-Zugriffssitzungen zu schützen.	acm-certificate-expiration-check	Stellen Sie sicher, dass die Netzwerkintegrität geschützt ist, indem Sie sicherstellen, dass X509-Zertifikate von ACM ausgestellt werden. AWS Diese Zertifikate müssen gültig und dürfen nicht abgelaufen sein. Für diese Regel ist ein Wert für erforderlich daysToExpiration (Wert für bewährte AWS Grundregeln für Sicherheit: 90). Der tatsächliche Wert muss den Richtlinien Ihrer Organisation entsprechen.
AC.L2-3.1.13	Setzen Sie kryptografische Mechanismen ein, um die Vertraulichkeit von Remote-Zugriffssitzungen zu schützen.	alb-http-to-https-Umleitungsprüfung	Um Daten während der Übertragung zu schützen, stellen Sie sicher, dass Ihr Application Load Balancer unverschlüsselte HTTP-Anfragen automatisch an HTTPS umleitet. Um eventuell vorhandene sensible Daten zu schützen, sollten Sie die Verschlüsselung bei der Übertragung aktivieren.
AC.L2-3.1.13	Setzen Sie kryptografische Mechanismen ein, um die Vertraulichkeit von Remote-Zugriffssitzungen zu schützen.	api-gw-ssl-enabled	Stellen Sie sicher, dass die REST-API-Stufen von Amazon API Gateway mit SSL-Zertifikaten konfiguriert sind, damit Backend-Systeme überprüfen können, ob Anforderungen von API Gateway stammen.
AC.L2-3.1.13	Setzen Sie kryptografische Mechanismen ein, um die Vertraulichkeit von Remote-Zugriffssitzungen zu schützen.	elasticsearch-node-to-node-Verschlüsselungsprüfung	Stellen Sie sicher, dass die node-to-node Verschlüsselung für Amazon OpenSearch Service aktiviert ist. ode-to-node N-Verschlüsselung aktiviert die TLS 1.2-Verschlüsselung für die gesamte Kommunikation innerhalb der Amazon Virtual Private Cloud (Amazon VPC). Um eventuell vorhandene sensible Daten zu schützen, sollten Sie die Verschlüsselung bei der Übertragung aktivieren.
AC.L2-3.1.13	Setzen Sie kryptografische Mechanismen ein, um die Vertraulichkeit von Remote-Zugriffssitzungen zu schützen.	elbv-2 acm-certificate-required	Zum Schutz von eventuell vorhandenen sensiblen Daten sowie von Daten während der Übertragung muss die Verschlüsselung für Ihr Elastic Load Balancing aktiviert sein. Verwenden Sie AWS Certificate Manager, um öffentliche und private SSL/TLS-Zertifikate mit AWS Diensten und internen Ressourcen zu verwalten, bereitzustellen und bereitzustellen.
AC.L2-3.1.13	Setzen Sie kryptografische Mechanismen ein, um die Vertraulichkeit von Remote-Zugriffssitzungen zu schützen.	elb-acm-certificate-required	Zum Schutz von eventuell vorhandenen sensiblen Daten sowie von Daten während der Übertragung muss die Verschlüsselung für Ihr Elastic Load Balancing aktiviert sein. Verwenden Sie AWS Certificate Manager, um öffentliche und private SSL/TLS-Zertifikate mit AWS Diensten und internen Ressourcen zu verwalten, bereitzustellen und bereitzustellen.
AC.L2-3.1.13	Setzen Sie kryptografische Mechanismen ein, um die Vertraulichkeit von Remote-Zugriffssitzungen zu schützen.	elb-tls-https-listeners-nur	Stellen Sie sicher, dass Ihre Elastic Load Balancers (ELBs) mit SSL- oder HTTPS-Listenern konfiguriert sind. Um eventuell vorhandene sensible Daten zu schützen, sollten Sie die Verschlüsselung bei der Übertragung aktivieren.
AC.L2-3.1.13	Setzen Sie kryptografische Mechanismen ein, um die Vertraulichkeit von Remote-Zugriffssitzungen zu schützen.	redshift-require-tls-ssl	Stellen Sie sicher, dass Ihre Amazon-Redshift-Cluster eine TLS/SSL-Verschlüsselung erfordern, um eine Verbindung zu SQL-Clients herzustellen. Um eventuell vorhandene sensible Daten zu schützen, sollten Sie die Verschlüsselung bei der Übertragung aktivieren.
AC.L2-3.1.13	Setzen Sie kryptografische Mechanismen ein, um die Vertraulichkeit von Remote-Zugriffssitzungen zu schützen.	s3- bucket-ssl-requests-only	Um Daten während der Übertragung zu schützen, stellen Sie sicher, dass Ihre Amazon Simple Storage Service (Amazon S3)-Buckets Anfragen zur Verwendung von Secure Socket Layer (SSL)-Buckets erfordern. Um eventuell vorhandene sensible Daten zu schützen, sollten Sie die Verschlüsselung bei der Übertragung aktivieren.
AC.L2-3.1.13	Setzen Sie kryptografische Mechanismen ein, um die Vertraulichkeit von Remote-Zugriffssitzungen zu schützen.	opensearch-node-to-node-Verschlüsselungsprüfung	Stellen Sie sicher, dass die node-to-node Verschlüsselung für Amazon OpenSearch Service aktiviert ist. ode-to-node N-Verschlüsselung aktiviert die TLS 1.2-Verschlüsselung für die gesamte Kommunikation innerhalb der Amazon Virtual Private Cloud (Amazon VPC). Um eventuell vorhandene sensible Daten zu schützen, sollten Sie die Verschlüsselung bei der Übertragung aktivieren.
AU.L2-3.3.1	Erstellen und speichern Sie Systemüberwachungsprotokolle und Aufzeichnungen, soweit dies für die Überwachung, Analyse, Untersuchung und Meldung rechtswidriger oder nicht autorisierter Systemaktivitäten erforderlich ist.	api-gw-execution-logging-aktiviert	Die API-Gateway-Protokollierung zeigt detaillierte Ansichten der Benutzer, die auf die API zugegriffen haben, und wie diese Benutzer auf die API zugegriffen haben. Diese Einblicke ermöglichen die Transparenz von Benutzeraktivitäten.
AU.L2-3.3.1	Erstellen und speichern Sie Systemüberwachungsprotokolle und Aufzeichnungen, soweit dies für die Überwachung, Analyse, Untersuchung und Meldung rechtswidriger oder nicht autorisierter Systemaktivitäten erforderlich ist.	cloudtrail-s3-dataevents-enabled	Die Erfassung von Simple Storage Service (Amazon S3)-Datenereignissen unterstützt die Erkennung von ungewöhnlichen Aktivitäten. Zu den Details gehören AWS-Konto Informationen über den Zugriff auf einen Amazon S3 S3-Bucket, die IP-Adresse und die Uhrzeit des Ereignisses.
AU.L2-3.3.1	Erstellen und speichern Sie Systemüberwachungsprotokolle und Aufzeichnungen, soweit dies für die Überwachung, Analyse, Untersuchung und Meldung rechtswidriger oder nicht autorisierter Systemaktivitäten erforderlich ist.	cloud-trail-cloud-watch-logs-aktiviert	Verwenden Sie Amazon CloudWatch , um Protokollereignisaktivitäten zentral zu sammeln und zu verwalten. Die Aufnahme von AWS CloudTrail Daten liefert Einzelheiten zu den API-Aufrufaktivitäten in Ihrem AWS-Konto.
AU.L2-3.3.1	Erstellen und speichern Sie Systemüberwachungsprotokolle und Aufzeichnungen, soweit dies für die Überwachung, Analyse, Untersuchung und Meldung rechtswidriger oder nicht autorisierter Systemaktivitäten erforderlich ist.	cloudtrail-enabled	AWS CloudTrail kann bei der Nichtabstreitbarkeit helfen, indem Aktionen und API-Aufrufe der AWS Management Console aufgezeichnet werden. Sie können die Benutzer und die Benutzer AWS-Konten , die einen AWS Dienst aufgerufen haben, die Quell-IP-Adresse, über die die Aufrufe generiert wurden, und den Zeitpunkt der Anrufe identifizieren. Einzelheiten zu den erfassten Daten finden Sie in den AWS CloudTrail Datensatzinhalten.
AU.L2-3.3.1	Erstellen und speichern Sie Systemüberwachungsprotokolle und Aufzeichnungen, soweit dies für die Überwachung, Analyse, Untersuchung und Meldung rechtswidriger oder nicht autorisierter Systemaktivitäten erforderlich ist.	cw-loggroup-retention-period-überprüfen	Stellen Sie sicher, dass die Ereignisprotokolldaten für Ihre Protokollgruppen über eine Mindestdauer aufbewahrt werden, um die Fehlerbehebung und forensische Untersuchungen zu unterstützen. Fehlende frühere Ereignisprotokolldaten erschweren die Rekonstruierung und Identifizierung potenziell schädlicher Ereignisse.
AU.L2-3.3.1	Erstellen und speichern Sie Systemüberwachungsprotokolle und Aufzeichnungen, soweit dies für die Überwachung, Analyse, Untersuchung und Meldung rechtswidriger oder nicht autorisierter Systemaktivitäten erforderlich ist.	elb-logging-enabled	Die Elastic-Load-Balancing-Aktivität ist ein zentraler Kommunikationspunkt innerhalb einer Umgebung. Stellen Sie sicher, dass die ELB-Protokollierung aktiviert ist. Die gesammelten Daten enthalten detaillierte Informationen zu Anfragen, die an den ELB gesendet wurden. Jedes Protokoll enthält Informationen wie die Zeit, zu der die Anforderung einging, die Client-IP-Adresse, Latenzen, Anforderungspfade und Serverantworten.
AU.L2-3.3.1	Erstellen und speichern Sie Systemüberwachungsprotokolle und Aufzeichnungen, soweit dies für die Überwachung, Analyse, Untersuchung und Meldung rechtswidriger oder nicht autorisierter Systemaktivitäten erforderlich ist.	multi-region-cloudtrail-enabled	AWS CloudTrail zeichnet Aktionen und API-Aufrufe der AWS Management Console auf. Sie können feststellen, welche Benutzer und Konten angerufen wurden AWS, von welcher Quell-IP-Adresse aus die Anrufe getätigt wurden und wann die Anrufe erfolgten. CloudTrail übermittelt Protokolldateien aus allen AWS Regionen an Ihren S3-Bucket, wenn MULTI_REGION_CLOUD_TRAIL_ENABLED aktiviert ist. Außerdem wird beim AWS Start einer neuen Region derselbe Trail in der neuen Region erstellt. CloudTrail Dadurch erhalten Sie automatisch Protokolldateien mit API-Aktivitäten für die neue Region.
AU.L2-3.3.1	Erstellen und speichern Sie Systemüberwachungsprotokolle und Aufzeichnungen, soweit dies für die Überwachung, Analyse, Untersuchung und Meldung rechtswidriger oder nicht autorisierter Systemaktivitäten erforderlich ist.	rds-logging-enabled	Um die Protokollierung und Überwachung in Ihrer Umgebung zu erleichtern, stellen Sie sicher, dass die Amazon Relational Database Service (Amazon RDS)-Protokollierung aktiviert ist. Mit der Amazon-RDS-Protokollierung können Sie Ereignisse wie Verbindungen, Verbindungsabbrüche, Abfragen oder abgefragte Tabellen erfassen.
AU.L2-3.3.1	Erstellen und speichern Sie Systemüberwachungsprotokolle und Aufzeichnungen, soweit dies für die Überwachung, Analyse, Untersuchung und Meldung rechtswidriger oder nicht autorisierter Systemaktivitäten erforderlich ist.	s-3 bucket-logging-enabled	Die Amazon Simple Storage Service (Amazon S3)-Serverzugriffsprotokollierung bietet eine Methode zur Überwachung des Netzwerks im Hinblick auf potenzielle Cybersicherheitsereignisse. Die Ereignisse werden überwacht, indem detaillierte Aufzeichnungen über die Anfragen erfasst werden, die an einen Amazon-S3-Bucket gestellt wurden. Jeder Zugriffsprotokolleintrag enthält Details zu einer einzelnen Zugriffsanfrage. Zu den Details gehören Anforderer, Bucket-Name, Anforderungszeit, Anforderungsaktion, Antwortstatus und Fehlercode, falls relevant.
AU.L2-3.3.1	Erstellen und speichern Sie Systemüberwachungsprotokolle und Aufzeichnungen, soweit dies für die Überwachung, Analyse, Untersuchung und Meldung rechtswidriger oder nicht autorisierter Systemaktivitäten erforderlich ist.	wafv2-logging-enabled	Um die Protokollierung und Überwachung in Ihrer Umgebung zu erleichtern, aktivieren Sie die AWS WAF (V2) -Protokollierung auf regionalen und globalen Web-ACLs. AWS Die WAF-Protokollierung bietet detaillierte Informationen über den Datenverkehr, der von Ihrer Web-ACL analysiert wird. In den Protokollen werden die Uhrzeit aufgezeichnet, zu der die AWS WAF die Anfrage von Ihrer AWS Ressource erhalten hat, Informationen zu der Anfrage und eine Aktion für die Regel, der jede Anfrage entsprach.
AU.L2-3.3.2	Stellen Sie sicher, dass die Aktionen einzelner Systembenutzer eindeutig auf diese Benutzer zurückgeführt werden können, sodass sie für ihre Aktionen zur Rechenschaft gezogen werden können.	api-gw-execution-logging-aktiviert	Die API-Gateway-Protokollierung zeigt detaillierte Ansichten der Benutzer, die auf die API zugegriffen haben, und wie diese Benutzer auf die API zugegriffen haben. Diese Einblicke ermöglichen die Transparenz von Benutzeraktivitäten.
AU.L2-3.3.2	Stellen Sie sicher, dass die Aktionen einzelner Systembenutzer eindeutig auf diese Benutzer zurückgeführt werden können, sodass sie für ihre Aktionen zur Rechenschaft gezogen werden können.	cloudtrail-s3-dataevents-enabled	Die Erfassung von Simple Storage Service (Amazon S3)-Datenereignissen unterstützt die Erkennung von ungewöhnlichen Aktivitäten. Zu den Details gehören AWS-Konto Informationen über den Zugriff auf einen Amazon S3 S3-Bucket, die IP-Adresse und die Uhrzeit des Ereignisses.
AU.L2-3.3.2	Stellen Sie sicher, dass die Aktionen einzelner Systembenutzer eindeutig auf diese Benutzer zurückgeführt werden können, sodass sie für ihre Aktionen zur Rechenschaft gezogen werden können.	cloud-trail-cloud-watch-logs-aktiviert	Verwenden Sie Amazon CloudWatch , um Protokollereignisaktivitäten zentral zu sammeln und zu verwalten. Die Aufnahme von AWS CloudTrail Daten liefert Einzelheiten zu den API-Aufrufaktivitäten in Ihrem AWS-Konto.
AU.L2-3.3.2	Stellen Sie sicher, dass die Aktionen einzelner Systembenutzer eindeutig auf diese Benutzer zurückgeführt werden können, sodass sie für ihre Aktionen zur Rechenschaft gezogen werden können.	cloudtrail-enabled	AWS CloudTrail kann bei der Nichtabstreitbarkeit helfen, indem Aktionen und API-Aufrufe der AWS Management Console aufgezeichnet werden. Sie können die Benutzer und die Benutzer AWS-Konten , die einen AWS Dienst aufgerufen haben, die Quell-IP-Adresse, über die die Aufrufe generiert wurden, und den Zeitpunkt der Anrufe identifizieren. Einzelheiten zu den erfassten Daten finden Sie in den AWS CloudTrail Datensatzinhalten.
AU.L2-3.3.2	Stellen Sie sicher, dass die Aktionen einzelner Systembenutzer eindeutig auf diese Benutzer zurückgeführt werden können, sodass sie für ihre Aktionen zur Rechenschaft gezogen werden können.	elb-logging-enabled	Die Elastic-Load-Balancing-Aktivität ist ein zentraler Kommunikationspunkt innerhalb einer Umgebung. Stellen Sie sicher, dass die ELB-Protokollierung aktiviert ist. Die gesammelten Daten enthalten detaillierte Informationen zu Anfragen, die an den ELB gesendet wurden. Jedes Protokoll enthält Informationen wie die Zeit, zu der die Anforderung einging, die Client-IP-Adresse, Latenzen, Anforderungspfade und Serverantworten.
AU.L2-3.3.2	Stellen Sie sicher, dass die Aktionen einzelner Systembenutzer eindeutig auf diese Benutzer zurückgeführt werden können, sodass sie für ihre Aktionen zur Rechenschaft gezogen werden können.	multi-region-cloudtrail-enabled	AWS CloudTrail zeichnet Aktionen und API-Aufrufe der AWS Management Console auf. Sie können feststellen, welche Benutzer und Konten angerufen wurden AWS, von welcher Quell-IP-Adresse aus die Anrufe getätigt wurden und wann die Anrufe erfolgten. CloudTrail übermittelt Protokolldateien aus allen AWS Regionen an Ihren S3-Bucket, wenn MULTI_REGION_CLOUD_TRAIL_ENABLED aktiviert ist. Außerdem wird beim AWS Start einer neuen Region derselbe Trail in der neuen Region erstellt. CloudTrail Dadurch erhalten Sie automatisch Protokolldateien mit API-Aktivitäten für die neue Region.
AU.L2-3.3.2	Stellen Sie sicher, dass die Aktionen einzelner Systembenutzer eindeutig auf diese Benutzer zurückgeführt werden können, sodass sie für ihre Aktionen zur Rechenschaft gezogen werden können.	rds-logging-enabled	Um die Protokollierung und Überwachung in Ihrer Umgebung zu erleichtern, stellen Sie sicher, dass die Amazon Relational Database Service (Amazon RDS)-Protokollierung aktiviert ist. Mit der Amazon-RDS-Protokollierung können Sie Ereignisse wie Verbindungen, Verbindungsabbrüche, Abfragen oder abgefragte Tabellen erfassen.
AU.L2-3.3.2	Stellen Sie sicher, dass die Aktionen einzelner Systembenutzer eindeutig auf diese Benutzer zurückgeführt werden können, sodass sie für ihre Aktionen zur Rechenschaft gezogen werden können.	s-3 bucket-logging-enabled	Die Amazon Simple Storage Service (Amazon S3)-Serverzugriffsprotokollierung bietet eine Methode zur Überwachung des Netzwerks im Hinblick auf potenzielle Cybersicherheitsereignisse. Die Ereignisse werden überwacht, indem detaillierte Aufzeichnungen über die Anfragen erfasst werden, die an einen Amazon-S3-Bucket gestellt wurden. Jeder Zugriffsprotokolleintrag enthält Details zu einer einzelnen Zugriffsanfrage. Zu den Details gehören Anforderer, Bucket-Name, Anforderungszeit, Anforderungsaktion, Antwortstatus und Fehlercode, falls relevant.
AU.L2-3.3.2	Stellen Sie sicher, dass die Aktionen einzelner Systembenutzer eindeutig auf diese Benutzer zurückgeführt werden können, sodass sie für ihre Aktionen zur Rechenschaft gezogen werden können.	wafv2-logging-enabled	Um die Protokollierung und Überwachung in Ihrer Umgebung zu erleichtern, aktivieren Sie die AWS WAF (V2) -Protokollierung auf regionalen und globalen Web-ACLs. AWS Die WAF-Protokollierung bietet detaillierte Informationen über den Datenverkehr, der von Ihrer Web-ACL analysiert wird. In den Protokollen werden die Uhrzeit aufgezeichnet, zu der die AWS WAF die Anfrage von Ihrer AWS Ressource erhalten hat, Informationen zu der Anfrage und eine Aktion für die Regel, der jede Anfrage entsprach.
AU.L2-3.3.4	Warnung im Falle eines Fehlers bei der Prüfprotokollierung.	cloudwatch-alarm-action-check	Amazon CloudWatch alarmiert, wenn eine Metrik den Schwellenwert für eine bestimmte Anzahl von Bewertungszeiträumen überschreitet. Der Alarm führt eine oder mehrere Aktionen durch, die vom Wert der Metrik oder des Ausdrucks im Vergleich zu einem Schwellenwert in einer Reihe von Zeiträumen abhängt. Diese Regel erfordert einen Wert für alarmActionRequired (Config Default: True), insufficientDataAction Required (Config Default: True), okActionRequired (Config Default: False). Der tatsächliche Wert muss die Alarmaktionen für Ihre Umgebung widerspiegeln.
AU.L2-3.3.4	Warnung im Falle eines Fehlers bei der Prüfprotokollierung.	cloud-trail-cloud-watch-logs-aktiviert	Verwenden Sie Amazon CloudWatch , um Protokollereignisaktivitäten zentral zu sammeln und zu verwalten. Die Aufnahme von AWS CloudTrail Daten liefert Einzelheiten zu den API-Aufrufaktivitäten in Ihrem AWS-Konto.
AU.L2-3.3.4	Warnung im Falle eines Fehlers bei der Prüfprotokollierung.	guardduty-enabled-centralized	Amazon GuardDuty kann mithilfe von Threat Intelligence Feeds helfen, potenzielle Cybersicherheitsereignisse zu überwachen und zu erkennen. Dazu gehören Listen bösartiger IP-Adressen und maschinelles Lernen zur Identifizierung unerwarteter, nicht autorisierter und bösartiger Aktivitäten in Ihrer AWS Cloud-Umgebung.
AU.L2-3.3.4	Warnung im Falle eines Fehlers bei der Prüfprotokollierung.	securityhub-enabled	AWS Security Hub hilft bei der Überwachung von unbefugtem Personal, Verbindungen, Geräten und Software. AWS Security Hub aggregiert, organisiert und priorisiert die Sicherheitswarnungen oder Ergebnisse mehrerer Dienste. AWS Einige dieser Dienste sind Amazon Security Hub, Amazon Inspector, Amazon Macie, AWS Identity and Access Management (IAM) Access Analyzer und AWS Firewall Manager sowie AWS Partnerlösungen.
AU.L2-3.3.5	Koordinieren Sie die Prüfungs-, Analyse- und Berichtsprozesse für die Untersuchung von und die Reaktion auf Hinweise auf rechtswidrige, unbefugte, verdächtige oder ungewöhnliche Aktivitäten.	guardduty-enabled-centralized	Amazon GuardDuty kann mithilfe von Threat Intelligence Feeds helfen, potenzielle Cybersicherheitsereignisse zu überwachen und zu erkennen. Dazu gehören Listen bösartiger IP-Adressen und maschinelles Lernen zur Identifizierung unerwarteter, nicht autorisierter und bösartiger Aktivitäten in Ihrer AWS Cloud-Umgebung.
AU.L2-3.3.5	Koordinieren Sie die Prüfungs-, Analyse- und Berichtsprozesse für die Untersuchung von und die Reaktion auf Hinweise auf rechtswidrige, unbefugte, verdächtige oder ungewöhnliche Aktivitäten.	securityhub-enabled	AWS Security Hub hilft bei der Überwachung von unbefugtem Personal, Verbindungen, Geräten und Software. AWS Security Hub aggregiert, organisiert und priorisiert die Sicherheitswarnungen oder Ergebnisse mehrerer Dienste. AWS Einige dieser Dienste sind Amazon Security Hub, Amazon Inspector, Amazon Macie, AWS Identity and Access Management (IAM) Access Analyzer und AWS Firewall Manager sowie AWS Partnerlösungen.
AU.L2-3.3.8	Schützen Sie Prüfungsinformationen und Tools zur Prüfprotokollierung vor unbefugtem Zugriff, Änderung und Löschung.	cloudwatch-log-group-encrypted	Um sensible Daten im Speicher zu schützen, stellen Sie sicher, dass die Verschlüsselung für Ihre Amazon CloudWatch Log Groups aktiviert ist.
AU.L2-3.3.8	Schützen Sie Prüfungsinformationen und Tools zur Prüfprotokollierung vor unbefugtem Zugriff, Änderung und Löschung.	cloud-trail-encryption-enabled	Da sensible Daten vorhanden sein können und um Daten im Speicher zu schützen, sollten Sie sicherstellen, dass die Verschlüsselung für Ihre AWS CloudTrail Trails aktiviert ist.
AU.L2-3.3.8	Schützen Sie Prüfungsinformationen und Tools zur Prüfprotokollierung vor unbefugtem Zugriff, Änderung und Löschung.	cloud-trail-log-file-Validierung aktiviert	Verwenden Sie die AWS CloudTrail Protokolldateivalidierung, um die Integrität von Protokollen zu überprüfen. CloudTrail Mithilfe der Protokolldateivalidierung kann festgestellt werden, ob eine Protokolldatei geändert oder gelöscht wurde oder ob sie nach der Übermittlung CloudTrail unverändert geblieben ist. Dieses Feature wurde mit dem Branchenstandard entsprechenden Algorithmen entwickelt: SHA-256 für die Hashfunktion und SHA-256 mit RSA für digitale Signaturen. Aus diesem Grund ist es rechnerisch unmöglich, CloudTrail Protokolldateien unbemerkt zu ändern, zu löschen oder zu fälschen.
AU.L2-3.3.8	Schützen Sie Prüfungsinformationen und Tools zur Prüfprotokollierung vor unbefugtem Zugriff, Änderung und Löschung.	s3- -Blocke-periodisch account-level-public-access	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Simple Storage Service (Amazon S3) -Buckets nicht öffentlich zugänglich sind. Diese Regel trägt dazu bei, sensible Daten vor unbefugten Remote-Benutzern zu schützen, indem sie den öffentlichen Zugriff verhindert. Mit dieser Regel können Sie optional die Parameter ignorePublicAcls (Config Default: True), blockPublicPolicy (Config Default: True), blockPublicAcls (Config Default: True) und restrictPublicBuckets Parameter (Config Default: True) festlegen. Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
AU.L2-3.3.8	Schützen Sie Prüfungsinformationen und Tools zur Prüfprotokollierung vor unbefugtem Zugriff, Änderung und Löschung.	s3- bucket-default-lock-enabled	Stellen Sie sicher, dass für Ihren Amazon Simple Storage Service (Amazon S3)-Bucket standardmäßig eine Sperre aktiviert ist. Zum Schutz eventuell vorhandener sensibler Daten in S3-Buckets müssen Sie Objektsperren für Daten im Ruhezustand erzwingen.
AU.L2-3.3.8	Schützen Sie Prüfungsinformationen und Tools zur Prüfprotokollierung vor unbefugtem Zugriff, Änderung und Löschung.	s3 bucket-level-public-access - verboten	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Simple Storage Service (Amazon S3) -Buckets nicht öffentlich zugänglich sind. Diese Regel trägt dazu bei, sensible Daten vor unbefugten Remote-Benutzern zu schützen, indem sie den öffentlichen Zugriff auf Bucket-Ebene verhindert.
AU.L2-3.3.8	Schützen Sie Prüfungsinformationen und Tools zur Prüfprotokollierung vor unbefugtem Zugriff, Änderung und Löschung.	s-3 bucket-policy-grantee-check	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie s3_ bucket_policy_grantee_check aktivieren. Diese Regel prüft, ob der vom Amazon S3 S3-Bucket gewährte Zugriff durch die von Ihnen angegebenen AWS Principals, Verbundbenutzer, Service Principals, IP-Adressen oder Amazon Virtual Private Cloud (Amazon VPC) -IDs eingeschränkt ist.
AU.L2-3.3.8	Schützen Sie Prüfungsinformationen und Tools zur Prüfprotokollierung vor unbefugtem Zugriff, Änderung und Löschung.	s-3 bucket-public-read-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie nur autorisierten Benutzern, Prozessen und Geräten Zugriff auf Amazon Simple Storage Service (Amazon S3) -Buckets gewähren. Die Verwaltung des Zugriffs sollte mit der Klassifizierung der Daten übereinstimmen.
AU.L2-3.3.8	Schützen Sie Prüfungsinformationen und Tools zur Prüfprotokollierung vor unbefugtem Zugriff, Änderung und Löschung.	s3- bucket-public-write-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie nur autorisierten Benutzern, Prozessen und Geräten Zugriff auf Amazon Simple Storage Service (Amazon S3) -Buckets gewähren. Die Verwaltung des Zugriffs sollte mit der Klassifizierung der Daten übereinstimmen.
AU.L2-3.3.8	Schützen Sie Prüfungsinformationen und Tools zur Prüfprotokollierung vor unbefugtem Zugriff, Änderung und Löschung.	s3-fähig bucket-server-side-encryption	Zum Schutz von Daten im Ruhezustand müssen Sie sicherstellen, dass die Verschlüsselung für Ihre Amazon Simple Storage Service (Amazon S3)-Buckets aktiviert ist. Um eventuell vorhandene sensible Daten im Ruhezustand in Amazon-S3-Buckets zu schützen, muss die Verschlüsselung aktiviert sein.
AU.L2-3.3.8	Schützen Sie Prüfungsinformationen und Tools zur Prüfprotokollierung vor unbefugtem Zugriff, Änderung und Löschung.	s-3 bucket-ssl-requests-only	Um Daten während der Übertragung zu schützen, stellen Sie sicher, dass Ihre Amazon Simple Storage Service (Amazon S3)-Buckets Anfragen zur Verwendung von Secure Socket Layer (SSL)-Buckets erfordern. Um eventuell vorhandene sensible Daten zu schützen, sollten Sie die Verschlüsselung bei der Übertragung aktivieren.
AU.L2-3.3.8	Schützen Sie Prüfungsinformationen und Tools zur Prüfprotokollierung vor unbefugtem Zugriff, Änderung und Löschung.	s-3 bucket-versioning-enabled	Die Versionsverwaltung von Amazon Simple Storage Service (Amazon S3)-Buckets hilft dabei, mehrere Varianten eines Objekts im selben Amazon-S3-Bucket zu speichern. Verwenden Sie die Versionsverwaltung, um sämtliche Versionen aller Objekte in Ihrem Amazon-S3-Bucket zu speichern, abzurufen oder wiederherzustellen. Mit der Versionsverwaltung können Sie Versionen sowohl nach unbeabsichtigten Benutzeraktionen als auch nach Anwendungsfehlern problemlos wiederherstellen.
AU.L2-3.3.8	Schützen Sie Prüfungsinformationen und Tools zur Prüfprotokollierung vor unbefugtem Zugriff, Änderung und Löschung.	s-3 default-encryption-kms	Stellen Sie sicher, dass die Verschlüsselung für Ihre Amazon Simple Storage Service (Amazon S3)-Buckets aktiviert ist. Um eventuell vorhandene sensible Daten im Ruhezustand in einem Amazon-S3-Bucket zu schützen, muss die Verschlüsselung aktiviert sein.
CA.L2-3.12.2	Entwickeln und implementieren Sie Aktionsplänen zur Behebung von Mängeln und zur Verringerung oder Beseitigung von Schwachstellen in Organisationssystemen.	vuln-management-plan-exists (Prozessüberprüfung)	Stellen Sie sicher, dass ein Plan für das Schwachstellenmanagement entwickelt und implementiert wird, damit Sie über formell definierte Prozesse zur Behebung von Schwachstellen in Ihrer Umgebung verfügen. Dazu zählen Tools für das Schwachstellenmanagement, regelmäßige Umgebungsscans sowie entsprechende Rollen und Verantwortlichkeiten.
CA.L2-3.12.3	Überwachen Sie kontinuierlich die Sicherheitskontrollen, um ihre anhaltende Effektivität sicherzustellen.	guardduty-enabled-centralized	Amazon GuardDuty kann mithilfe von Threat Intelligence Feeds helfen, potenzielle Cybersicherheitsereignisse zu überwachen und zu erkennen. Dazu gehören Listen bösartiger IP-Adressen und maschinelles Lernen zur Identifizierung unerwarteter, nicht autorisierter und bösartiger Aktivitäten in Ihrer AWS Cloud-Umgebung.
CA.L2-3.12.3	Überwachen Sie kontinuierlich die Sicherheitskontrollen, um ihre anhaltende Effektivität sicherzustellen.	guardduty-enabled-centralized	Amazon GuardDuty kann mithilfe von Threat Intelligence Feeds helfen, potenzielle Cybersicherheitsereignisse zu überwachen und zu erkennen. Dazu gehören Listen bösartiger IP-Adressen und maschinelles Lernen zur Identifizierung unerwarteter, nicht autorisierter und bösartiger Aktivitäten in Ihrer AWS Cloud-Umgebung.
CA.L2-3.12.3	Überwachen Sie kontinuierlich die Sicherheitskontrollen, um ihre anhaltende Effektivität sicherzustellen.	securityhub-enabled	AWS Security Hub hilft bei der Überwachung von unbefugtem Personal, Verbindungen, Geräten und Software. AWS Security Hub aggregiert, organisiert und priorisiert die Sicherheitswarnungen oder Ergebnisse mehrerer Dienste. AWS Einige dieser Dienste sind Amazon Security Hub, Amazon Inspector, Amazon Macie, AWS Identity and Access Management (IAM) Access Analyzer und AWS Firewall Manager sowie AWS Partnerlösungen.
CM.L2-3.4.1	Etablieren und pflegen Sie Basiskonfigurationen und Inventare der Organisationssysteme (einschließlich Hardware, Software, Firmware und Dokumentation) während der jeweiligen Lebenszyklen der Systementwicklung.	ec2-prüfen managedinstance-association-compliance-status	Verwenden Sie AWS Systems Manager Associations, um bei der Inventarisierung von Softwareplattformen und Anwendungen innerhalb eines Unternehmens zu helfen. AWS Systems Manager weist Ihren verwalteten Instanzen einen Konfigurationsstatus zu und ermöglicht es Ihnen, Basiswerte für Betriebssystem-Patch-Levels, Softwareinstallationen, Anwendungskonfigurationen und andere Details zu Ihrer Umgebung festzulegen.
CM.L2-3.4.1	Etablieren und pflegen Sie Basiskonfigurationen und Inventare der Organisationssysteme (einschließlich Hardware, Software, Firmware und Dokumentation) während der jeweiligen Lebenszyklen der Systementwicklung.	ec2-check managedinstance-patch-compliance-status	Aktivieren Sie diese Regel, um Amazon Elastic Compute Cloud (Amazon EC2)-Schwachstellen zu identifizieren und zu dokumentieren. Die Regel prüft, ob die Amazon EC2 EC2-Instance die Patch-Konformität im AWS Systems Manager gemäß den Richtlinien und Verfahren Ihres Unternehmens einhält.
CM.L2-3.4.1	Etablieren und pflegen Sie Basiskonfigurationen und Inventare der Organisationssysteme (einschließlich Hardware, Software, Firmware und Dokumentation) während der jeweiligen Lebenszyklen der Systementwicklung.	ec2-stopped-instance	Aktivieren Sie diese Regel, um die Basiskonfiguration von Amazon-Elastic-Compute-Cloud (Amazon-EC2)-Instances zu unterstützen, indem Sie überprüfen, ob Amazon-EC2-Instances gemäß den Standards Ihrer Organisation für mehr als die zulässige Anzahl von Tagen gestoppt wurden.
CM.L2-3.4.1	Etablieren und pflegen Sie Basiskonfigurationen und Inventare der Organisationssysteme (einschließlich Hardware, Software, Firmware und Dokumentation) während der jeweiligen Lebenszyklen der Systementwicklung.	ec2- volume-inuse-check	Diese Regel stellt sicher, dass Amazon Elastic Block Store Volumes, die an Amazon Elastic Compute Cloud (Amazon EC2)-Instances angehängt sind, zum Löschen markiert werden, wenn eine Instance beendet wird. Wenn ein Amazon-EBS-Volume nicht gelöscht wird, wenn die Instance, an die es angehängt ist, beendet wird, kann dies gegen das Konzept der geringsten Funktionalität verstoßen.
CM.L2-3.4.1	Etablieren und pflegen Sie Basiskonfigurationen und Inventare der Organisationssysteme (einschließlich Hardware, Software, Firmware und Dokumentation) während der jeweiligen Lebenszyklen der Systementwicklung.	eip-attached	Diese Regel stellt sicher, dass Elastic IPs, die einer Amazon Virtual Private Cloud (Amazon VPC) zugeordnet sind, Amazon-Elastic-Compute-Cloud (Amazon-EC2)-Instances oder in Verwendung befindlichen Elastic-Network-Schnittstellen angehängt werden. Diese Regel unterstützt die Überwachung ungenutzter EIPs in Ihrer Umgebung.
CM.L2-3.4.2	Etablieren und implementieren Sie Sicherheitskonfigurationseinstellungen für IT-Produkte, die in Systemen der Organisation eingesetzt werden.	account-part-of-organizations	Durch die zentrale Verwaltung AWS-Konten innerhalb von AWS Organizations wird sichergestellt, dass die Konten den Vorschriften entsprechen. Eine fehlende zentrale Kontoverwaltung kann zu inkonsistenten Kontokonfigurationen führen, wodurch Ressourcen und sensible Daten offengelegt werden können.
CM.L2-3.4.2	Etablieren und implementieren Sie Sicherheitskonfigurationseinstellungen für IT-Produkte, die in Systemen der Organisation eingesetzt werden.	cloudtrail-security-trail-enabled	Diese Regel trägt dazu bei, die Verwendung der AWS empfohlenen bewährten Sicherheitsmethoden für sicherzustellen AWS CloudTrail, indem geprüft wird, ob mehrere Einstellungen aktiviert sind. Dazu gehören die Verwendung von Protokollverschlüsselung, Protokollvalidierung und Aktivierung AWS CloudTrail in mehreren Regionen.
CM.L2-3.4.2	Etablieren und implementieren Sie Sicherheitskonfigurationseinstellungen für IT-Produkte, die in Systemen der Organisation eingesetzt werden.	cloud-trail-log-file-Validierung aktiviert	Verwenden Sie die AWS CloudTrail Protokolldateivalidierung, um die Integrität von Protokollen zu überprüfen. CloudTrail Mithilfe der Protokolldateivalidierung kann festgestellt werden, ob eine Protokolldatei geändert oder gelöscht wurde oder ob sie nach der Übermittlung CloudTrail unverändert geblieben ist. Dieses Feature wurde mit dem Branchenstandard entsprechenden Algorithmen entwickelt: SHA-256 für die Hashfunktion und SHA-256 mit RSA für digitale Signaturen. Aus diesem Grund ist es rechnerisch unmöglich, CloudTrail Protokolldateien unbemerkt zu ändern, zu löschen oder zu fälschen.
CM.L2-3.4.2	Etablieren und implementieren Sie Sicherheitskonfigurationseinstellungen für IT-Produkte, die in Systemen der Organisation eingesetzt werden.	ec2-manager instance-managed-by-systems	Eine Bestandsaufnahme der Softwareplattformen und Anwendungen innerhalb des Unternehmens ist möglich, indem Amazon Elastic Compute Cloud (Amazon EC2) -Instances mit AWS Systems Manager verwaltet werden. Verwenden Sie AWS Systems Manager, um detaillierte Systemkonfigurationen, Betriebssystem-Patch-Levels, Namen und Typ der Dienste, Softwareinstallationen, Anwendungsname, Herausgeber und Version sowie andere Details zu Ihrer Umgebung bereitzustellen.
CM.L2-3.4.2	Etablieren und implementieren Sie Sicherheitskonfigurationseinstellungen für IT-Produkte, die in Systemen der Organisation eingesetzt werden.	ec2-check managedinstance-association-compliance-status	Verwenden Sie AWS Systems Manager Associations, um bei der Inventarisierung von Softwareplattformen und Anwendungen innerhalb eines Unternehmens zu helfen. AWS Systems Manager weist Ihren verwalteten Instanzen einen Konfigurationsstatus zu und ermöglicht es Ihnen, Basiswerte für Betriebssystem-Patch-Levels, Softwareinstallationen, Anwendungskonfigurationen und andere Details zu Ihrer Umgebung festzulegen.
CM.L2-3.4.2	Etablieren und implementieren Sie Sicherheitskonfigurationseinstellungen für IT-Produkte, die in Systemen der Organisation eingesetzt werden.	ec2-check managedinstance-patch-compliance-status	Aktivieren Sie diese Regel, um Amazon Elastic Compute Cloud (Amazon EC2)-Schwachstellen zu identifizieren und zu dokumentieren. Die Regel prüft, ob die Amazon EC2 EC2-Instance die Patch-Konformität im AWS Systems Manager gemäß den Richtlinien und Verfahren Ihres Unternehmens einhält.
CM.L2-3.4.2	Etablieren und implementieren Sie Sicherheitskonfigurationseinstellungen für IT-Produkte, die in Systemen der Organisation eingesetzt werden.	elastic-beanstalk-managed-updates-aktiviert	Durch die Aktivierung verwalteter Plattformupdates für eine Amazon-Elastic-Beanstalk-Umgebung wird sichergestellt, dass die aktuellen verfügbaren Plattform-Fixes, -Updates und -Features für die Umgebung installiert sind. Eine bewährte Methode zur Sicherung von Systemen besteht darin, stets die aktuellen Patches zu installieren.
CM.L2-3.4.2	Etablieren und implementieren Sie Sicherheitskonfigurationseinstellungen für IT-Produkte, die in Systemen der Organisation eingesetzt werden.	guardduty-enabled-centralized	Amazon GuardDuty kann mithilfe von Threat Intelligence Feeds helfen, potenzielle Cybersicherheitsereignisse zu überwachen und zu erkennen. Dazu gehören Listen bösartiger IP-Adressen und maschinelles Lernen zur Identifizierung unerwarteter, nicht autorisierter und bösartiger Aktivitäten in Ihrer AWS Cloud-Umgebung.
CM.L2-3.4.2	Etablieren und implementieren Sie Sicherheitskonfigurationseinstellungen für IT-Produkte, die in Systemen der Organisation eingesetzt werden.	rds-automatic-minor-version-Upgrade aktiviert	Aktivieren Sie automatische Unterversions-Upgrades auf Ihren Amazon-Relational-Database-Service (RDS)-Instances, um sicherzustellen, dass die aktuellen Updates für Unterversionen des Relational Database Management System (RDBMS) installiert sind, die Sicherheitspatches und Bugfixes enthalten können.
CM.L2-3.4.2	Etablieren und implementieren Sie Sicherheitskonfigurationseinstellungen für IT-Produkte, die in Systemen der Organisation eingesetzt werden.	redshift-cluster-maintenancesettings-check	Diese Regel stellt sicher, dass Amazon-Redshift-Cluster die bevorzugten Einstellungen für Ihre Organisation haben. Insbesondere sorgt sie dafür, dass Cluster bevorzugte Wartungsfenster und automatisierte Aufbewahrungsfristen für Snapshots für die Datenbank haben. Für diese Regel müssen Sie die festlegen. allowVersionUpgrade Der Standardwert ist „true“. Außerdem können Sie optional den Zeitraum preferredMaintenanceWindow (der Standardwert ist sa: 16:00 -sa: 16:30) und den automatedSnapshotRetention Zeitraum (der Standardwert ist 1) festlegen. Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
CM.L2-3.4.2	Etablieren und implementieren Sie Sicherheitskonfigurationseinstellungen für IT-Produkte, die in Systemen der Organisation eingesetzt werden.	securityhub-enabled	AWS Security Hub hilft bei der Überwachung von unbefugtem Personal, Verbindungen, Geräten und Software. AWS Security Hub aggregiert, organisiert und priorisiert die Sicherheitswarnungen oder Ergebnisse mehrerer Dienste. AWS Einige dieser Dienste sind Amazon Security Hub, Amazon Inspector, Amazon Macie, AWS Identity and Access Management (IAM) Access Analyzer und AWS Firewall Manager sowie AWS Partnerlösungen.
CM.L2-3.4.3	Sie können Änderungen an Organisationssystemen verfolgen, überprüfen, genehmigen oder ablehnen und protokollieren.	api-gw-execution-logging-aktiviert	Die API-Gateway-Protokollierung zeigt detaillierte Ansichten der Benutzer, die auf die API zugegriffen haben, und wie diese Benutzer auf die API zugegriffen haben. Diese Einblicke ermöglichen die Transparenz von Benutzeraktivitäten.
CM.L2-3.4.3	Sie können Änderungen an Organisationssystemen verfolgen, überprüfen, genehmigen oder ablehnen und protokollieren.	cloudtrail-s3-dataevents-enabled	Die Erfassung von Simple Storage Service (Amazon S3)-Datenereignissen unterstützt die Erkennung von ungewöhnlichen Aktivitäten. Zu den Details gehören AWS-Konto Informationen über den Zugriff auf einen Amazon S3 S3-Bucket, die IP-Adresse und die Uhrzeit des Ereignisses.
CM.L2-3.4.3	Sie können Änderungen an Organisationssystemen verfolgen, überprüfen, genehmigen oder ablehnen und protokollieren.	cloud-trail-cloud-watch-logs-aktiviert	Verwenden Sie Amazon CloudWatch , um Protokollereignisaktivitäten zentral zu sammeln und zu verwalten. Die Aufnahme von AWS CloudTrail Daten liefert Einzelheiten zu den API-Aufrufaktivitäten in Ihrem AWS-Konto.
CM.L2-3.4.3	Sie können Änderungen an Organisationssystemen verfolgen, überprüfen, genehmigen oder ablehnen und protokollieren.	cloudtrail-enabled	AWS CloudTrail kann bei der Nichtabstreitbarkeit helfen, indem Aktionen und API-Aufrufe der AWS Management Console aufgezeichnet werden. Sie können die Benutzer und die Benutzer AWS-Konten , die einen AWS Dienst aufgerufen haben, die Quell-IP-Adresse, über die die Aufrufe generiert wurden, und den Zeitpunkt der Anrufe identifizieren. Einzelheiten zu den erfassten Daten finden Sie in den AWS CloudTrail Datensatzinhalten.
CM.L2-3.4.3	Sie können Änderungen an Organisationssystemen verfolgen, überprüfen, genehmigen oder ablehnen und protokollieren.	ec2-manager instance-managed-by-systems	Eine Bestandsaufnahme der Softwareplattformen und Anwendungen innerhalb des Unternehmens ist möglich, indem Amazon Elastic Compute Cloud (Amazon EC2) -Instances mit AWS Systems Manager verwaltet werden. Verwenden Sie AWS Systems Manager, um detaillierte Systemkonfigurationen, Betriebssystem-Patch-Levels, Namen und Typ der Dienste, Softwareinstallationen, Anwendungsname, Herausgeber und Version sowie andere Details zu Ihrer Umgebung bereitzustellen.
CM.L2-3.4.3	Sie können Änderungen an Organisationssystemen verfolgen, überprüfen, genehmigen oder ablehnen und protokollieren.	ec2-check managedinstance-association-compliance-status	Verwenden Sie AWS Systems Manager Associations, um bei der Inventarisierung von Softwareplattformen und Anwendungen innerhalb eines Unternehmens zu helfen. AWS Systems Manager weist Ihren verwalteten Instanzen einen Konfigurationsstatus zu und ermöglicht es Ihnen, Basiswerte für Betriebssystem-Patch-Levels, Softwareinstallationen, Anwendungskonfigurationen und andere Details zu Ihrer Umgebung festzulegen.
CM.L2-3.4.3	Sie können Änderungen an Organisationssystemen verfolgen, überprüfen, genehmigen oder ablehnen und protokollieren.	ec2-check managedinstance-patch-compliance-status	Aktivieren Sie diese Regel, um Amazon Elastic Compute Cloud (Amazon EC2)-Schwachstellen zu identifizieren und zu dokumentieren. Die Regel prüft, ob die Amazon EC2 EC2-Instance die Patch-Konformität im AWS Systems Manager gemäß den Richtlinien und Verfahren Ihres Unternehmens einhält.
CM.L2-3.4.3	Sie können Änderungen an Organisationssystemen verfolgen, überprüfen, genehmigen oder ablehnen und protokollieren.	elb-logging-enabled	Die Elastic-Load-Balancing-Aktivität ist ein zentraler Kommunikationspunkt innerhalb einer Umgebung. Stellen Sie sicher, dass die ELB-Protokollierung aktiviert ist. Die gesammelten Daten enthalten detaillierte Informationen zu Anfragen, die an den ELB gesendet wurden. Jedes Protokoll enthält Informationen wie die Zeit, zu der die Anforderung einging, die Client-IP-Adresse, Latenzen, Anforderungspfade und Serverantworten.
CM.L2-3.4.3	Sie können Änderungen an Organisationssystemen verfolgen, überprüfen, genehmigen oder ablehnen und protokollieren.	multi-region-cloudtrail-enabled	AWS CloudTrail zeichnet Aktionen und API-Aufrufe der AWS Management Console auf. Sie können feststellen, welche Benutzer und Konten angerufen wurden AWS, von welcher Quell-IP-Adresse aus die Anrufe getätigt wurden und wann die Anrufe erfolgten. CloudTrail übermittelt Protokolldateien aus allen AWS Regionen an Ihren S3-Bucket, wenn MULTI_REGION_CLOUD_TRAIL_ENABLED aktiviert ist. Außerdem wird beim AWS Start einer neuen Region derselbe Trail in der neuen Region erstellt. CloudTrail Dadurch erhalten Sie automatisch Protokolldateien mit API-Aktivitäten für die neue Region.
CM.L2-3.4.3	Sie können Änderungen an Organisationssystemen verfolgen, überprüfen, genehmigen oder ablehnen und protokollieren.	rds-logging-enabled	Um die Protokollierung und Überwachung in Ihrer Umgebung zu erleichtern, stellen Sie sicher, dass die Amazon Relational Database Service (Amazon RDS)-Protokollierung aktiviert ist. Mit der Amazon-RDS-Protokollierung können Sie Ereignisse wie Verbindungen, Verbindungsabbrüche, Abfragen oder abgefragte Tabellen erfassen.
CM.L2-3.4.3	Sie können Änderungen an Organisationssystemen verfolgen, überprüfen, genehmigen oder ablehnen und protokollieren.	s-3 bucket-logging-enabled	Die Amazon Simple Storage Service (Amazon S3)-Serverzugriffsprotokollierung bietet eine Methode zur Überwachung des Netzwerks im Hinblick auf potenzielle Cybersicherheitsereignisse. Die Ereignisse werden überwacht, indem detaillierte Aufzeichnungen über die Anfragen erfasst werden, die an einen Amazon-S3-Bucket gestellt wurden. Jeder Zugriffsprotokolleintrag enthält Details zu einer einzelnen Zugriffsanfrage. Zu den Details gehören Anforderer, Bucket-Name, Anforderungszeit, Anforderungsaktion, Antwortstatus und Fehlercode, falls relevant.
CM.L2-3.4.3	Sie können Änderungen an Organisationssystemen verfolgen, überprüfen, genehmigen oder ablehnen und protokollieren.	wafv2-logging-enabled	Um die Protokollierung und Überwachung in Ihrer Umgebung zu erleichtern, aktivieren Sie die AWS WAF (V2) -Protokollierung auf regionalen und globalen Web-ACLs. AWS Die WAF-Protokollierung bietet detaillierte Informationen über den Datenverkehr, der von Ihrer Web-ACL analysiert wird. In den Protokollen werden die Uhrzeit aufgezeichnet, zu der die AWS WAF die Anfrage von Ihrer AWS Ressource erhalten hat, Informationen zu der Anfrage und eine Aktion für die Regel, der jede Anfrage entsprach.
CM.L2-3.4.6	Wenden Sie das Prinzip der geringsten Funktionalität an, indem Sie Organisationssysteme so konfigurieren, dass sie nur unbedingt erforderliche Funktionen bereitstellen.	autoscaling-launch-config-public-ip-deaktiviert	Wenn Sie Ihre Netzwerkschnittstellen mit einer öffentlichen IP-Adresse konfigurieren, sind die diesen Netzwerkschnittstellen zugehörigen Ressourcen vom Internet aus erreichbar. EC2-Ressourcen sollten nicht öffentlich zugänglich sein, da dies einen unbeabsichtigten Zugriff auf Ihre Anwendungen oder Server ermöglichen kann.
CM.L2-3.4.6	Wenden Sie das Prinzip der geringsten Funktionalität an, indem Sie Organisationssysteme so konfigurieren, dass sie nur unbedingt erforderliche Funktionen bereitstellen.	dms-replication-not-public	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass auf DMS-Replikationsinstanzen nicht öffentlich zugegriffen werden kann. DMS-Replikations-Instances können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
CM.L2-3.4.6	Wenden Sie das Prinzip der geringsten Funktionalität an, indem Sie Organisationssysteme so konfigurieren, dass sie nur unbedingt erforderliche Funktionen bereitstellen.	ebs-snapshot-public-restorable-überprüfen	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass EBS-Snapshots nicht öffentlich wiederherstellbar sind. EBS-Volume-Snapshots können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
CM.L2-3.4.6	Wenden Sie das Prinzip der geringsten Funktionalität an, indem Sie Organisationssysteme so konfigurieren, dass sie nur unbedingt erforderliche Funktionen bereitstellen.	ec2-manager instance-managed-by-systems	Eine Bestandsaufnahme der Softwareplattformen und Anwendungen innerhalb des Unternehmens ist möglich, indem Amazon Elastic Compute Cloud (Amazon EC2) -Instances mit AWS Systems Manager verwaltet werden. Verwenden Sie AWS Systems Manager, um detaillierte Systemkonfigurationen, Betriebssystem-Patch-Levels, Namen und Typ der Dienste, Softwareinstallationen, Anwendungsname, Herausgeber und Version sowie andere Details zu Ihrer Umgebung bereitzustellen.
CM.L2-3.4.6	Wenden Sie das Prinzip der geringsten Funktionalität an, indem Sie Organisationssysteme so konfigurieren, dass sie nur unbedingt erforderliche Funktionen bereitstellen.	ec2- instance-no-public-ip	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass Amazon Elastic Compute Cloud (Amazon EC2) -Instances nicht öffentlich zugänglich sind. Amazon-EC2-Instances können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
CM.L2-3.4.6	Wenden Sie das Prinzip der geringsten Funktionalität an, indem Sie Organisationssysteme so konfigurieren, dass sie nur unbedingt erforderliche Funktionen bereitstellen.	ec2-check managedinstance-association-compliance-status	Verwenden Sie AWS Systems Manager Associations, um bei der Inventarisierung von Softwareplattformen und Anwendungen innerhalb eines Unternehmens zu helfen. AWS Systems Manager weist Ihren verwalteten Instanzen einen Konfigurationsstatus zu und ermöglicht es Ihnen, Basiswerte für Betriebssystem-Patch-Levels, Softwareinstallationen, Anwendungskonfigurationen und andere Details zu Ihrer Umgebung festzulegen.
CM.L2-3.4.6	Wenden Sie das Prinzip der geringsten Funktionalität an, indem Sie Organisationssysteme so konfigurieren, dass sie nur unbedingt erforderliche Funktionen bereitstellen.	ec2- volume-inuse-check	Diese Regel stellt sicher, dass Amazon Elastic Block Store Volumes, die an Amazon Elastic Compute Cloud (Amazon EC2)-Instances angehängt sind, zum Löschen markiert werden, wenn eine Instance beendet wird. Wenn ein Amazon-EBS-Volume nicht gelöscht wird, wenn die Instance, an die es angehängt ist, beendet wird, kann dies gegen das Konzept der geringsten Funktionalität verstoßen.
CM.L2-3.4.6	Wenden Sie das Prinzip der geringsten Funktionalität an, indem Sie Organisationssysteme so konfigurieren, dass sie nur unbedingt erforderliche Funktionen bereitstellen.	elasticsearch-in-vpc-only	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass sich Amazon OpenSearch OpenSearch Service (Service) -Domains innerhalb einer Amazon Virtual Private Cloud (Amazon VPC) befinden. Eine OpenSearch Service-Domain innerhalb einer Amazon VPC ermöglicht die sichere Kommunikation zwischen OpenSearch Service und anderen Services innerhalb der Amazon VPC, ohne dass ein Internet-Gateway, ein NAT-Gerät oder eine VPN-Verbindung erforderlich ist.
CM.L2-3.4.6	Wenden Sie das Prinzip der geringsten Funktionalität an, indem Sie Organisationssysteme so konfigurieren, dass sie nur unbedingt erforderliche Funktionen bereitstellen.	emr-master-no-public-ip	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass Amazon EMR-Cluster-Masterknoten nicht öffentlich zugänglich sind. Amazon-EMR-Cluster-Hauptknoten können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
CM.L2-3.4.6	Wenden Sie das Prinzip der geringsten Funktionalität an, indem Sie Organisationssysteme so konfigurieren, dass sie nur unbedingt erforderliche Funktionen bereitstellen.	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) -Sicherheitsgruppen können bei der Verwaltung des Netzwerkzugriffs helfen, indem sie eine statusabhängige Filterung des ein- und ausgehenden Netzwerkverkehrs zu Ressourcen bereitstellen. AWS Wenn Sie eingehenden (oder entfernten) Datenverkehr von 0.0.0.0/0 bis Port 22 auf Ihren Ressourcen nicht zulassen, können Sie den Remote-Zugriff einschränken.
CM.L2-3.4.6	Wenden Sie das Prinzip der geringsten Funktionalität an, indem Sie Organisationssysteme so konfigurieren, dass sie nur unbedingt erforderliche Funktionen bereitstellen.	internet-gateway-authorized-vpc-nur	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Internet-Gateways nur mit autorisierter Amazon Virtual Private Cloud (Amazon VPC) verbunden sind. Internet-Gateways ermöglichen den bidirektionalen Internetzugang zur und von der Amazon VPC, was möglicherweise zu einem unbefugten Zugriff auf Amazon-VPC-Ressourcen führen kann.
CM.L2-3.4.6	Wenden Sie das Prinzip der geringsten Funktionalität an, indem Sie Organisationssysteme so konfigurieren, dass sie nur unbedingt erforderliche Funktionen bereitstellen.	lambda-function-public-access-verboten	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass AWS Lambda-Funktionen nicht öffentlich zugänglich sind. Der öffentliche Zugriff kann möglicherweise die Verfügbarkeit von Ressourcen beeinträchtigen.
CM.L2-3.4.6	Wenden Sie das Prinzip der geringsten Funktionalität an, indem Sie Organisationssysteme so konfigurieren, dass sie nur unbedingt erforderliche Funktionen bereitstellen.	no-unrestricted-route-to-igw	Stellen Sie sicher, dass Amazon-EC2-Routing-Tabellen keine uneingeschränkten Routen zu einem Internet-Gateway enthalten. Das Entfernen oder Beschränken des Internetzugangs für Workloads innerhalb von Amazon VPCs kann unbeabsichtigte Zugriffe in Ihrer Umgebung reduzieren.
CM.L2-3.4.6	Wenden Sie das Prinzip der geringsten Funktionalität an, indem Sie Organisationssysteme so konfigurieren, dass sie nur unbedingt erforderliche Funktionen bereitstellen.	rds-instance-public-access-überprüfen	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Relational Database Service (Amazon RDS) -Instances nicht öffentlich sind. Amazon-RDS-Datenbank-Instances können vertrauliche Informationen enthalten und für solche Konten sind Prinzipien und Zugriffskontrollen erforderlich.
CM.L2-3.4.6	Wenden Sie das Prinzip der geringsten Funktionalität an, indem Sie Organisationssysteme so konfigurieren, dass sie nur unbedingt erforderliche Funktionen bereitstellen.	rds-snapshots-public-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Relational Database Service (Amazon RDS) -Instances nicht öffentlich sind. Amazon-RDS-Datenbank-Instances können vertrauliche Informationen enthalten und für solche Konten sind Prinzipien und Zugriffskontrollen erforderlich.
CM.L2-3.4.6	Wenden Sie das Prinzip der geringsten Funktionalität an, indem Sie Organisationssysteme so konfigurieren, dass sie nur unbedingt erforderliche Funktionen bereitstellen.	redshift-cluster-public-access-überprüfen	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Redshift Redshift-Cluster nicht öffentlich sind. Amazon-Redshift-Cluster können vertrauliche Informationen enthalten und für solche Konten sind Prinzipien und Zugriffskontrollen erforderlich.
CM.L2-3.4.6	Wenden Sie das Prinzip der geringsten Funktionalität an, indem Sie Organisationssysteme so konfigurieren, dass sie nur unbedingt erforderliche Funktionen bereitstellen.	restricted-common-ports	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass gemeinsame Ports für Amazon Elastic Compute Cloud (Amazon EC2) -Sicherheitsgruppen eingeschränkt sind. Wenn der Zugriff auf Ports nicht auf vertrauenswürdige Quellen beschränkt wird, kann dies zu Angriffen auf die Verfügbarkeit, Integrität und Vertraulichkeit von Systemen führen. Mit dieser Regel können Sie optional die Parameter blockedPort1–blockedPort5 festlegen (Standardkonfigurationen: 20, 21, 3389, 3306, 4333). Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
CM.L2-3.4.6	Wenden Sie das Prinzip der geringsten Funktionalität an, indem Sie Organisationssysteme so konfigurieren, dass sie nur unbedingt erforderliche Funktionen bereitstellen.	s3- -Block-periodisch account-level-public-access	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Simple Storage Service (Amazon S3) -Buckets nicht öffentlich zugänglich sind. Diese Regel trägt dazu bei, sensible Daten vor unbefugten Remote-Benutzern zu schützen, indem sie den öffentlichen Zugriff verhindert. Mit dieser Regel können Sie optional die Parameter ignorePublicAcls (Config Default: True), blockPublicPolicy (Config Default: True), blockPublicAcls (Config Default: True) und restrictPublicBuckets Parameter (Config Default: True) festlegen. Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
CM.L2-3.4.6	Wenden Sie das Prinzip der geringsten Funktionalität an, indem Sie Organisationssysteme so konfigurieren, dass sie nur unbedingt erforderliche Funktionen bereitstellen.	s3 bucket-level-public-access - verboten	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Simple Storage Service (Amazon S3) -Buckets nicht öffentlich zugänglich sind. Diese Regel trägt dazu bei, sensible Daten vor unbefugten Remote-Benutzern zu schützen, indem sie den öffentlichen Zugriff auf Bucket-Ebene verhindert.
CM.L2-3.4.6	Wenden Sie das Prinzip der geringsten Funktionalität an, indem Sie Organisationssysteme so konfigurieren, dass sie nur unbedingt erforderliche Funktionen bereitstellen.	s-3 bucket-public-read-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie nur autorisierten Benutzern, Prozessen und Geräten Zugriff auf Amazon Simple Storage Service (Amazon S3) -Buckets gewähren. Die Verwaltung des Zugriffs sollte mit der Klassifizierung der Daten übereinstimmen.
CM.L2-3.4.6	Wenden Sie das Prinzip der geringsten Funktionalität an, indem Sie Organisationssysteme so konfigurieren, dass sie nur unbedingt erforderliche Funktionen bereitstellen.	s3- bucket-public-write-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie nur autorisierten Benutzern, Prozessen und Geräten Zugriff auf Amazon Simple Storage Service (Amazon S3) -Buckets gewähren. Die Verwaltung des Zugriffs sollte mit der Klassifizierung der Daten übereinstimmen.
CM.L2-3.4.6	Wenden Sie das Prinzip der geringsten Funktionalität an, indem Sie Organisationssysteme so konfigurieren, dass sie nur unbedingt erforderliche Funktionen bereitstellen.	sagemaker-notebook-no-direct-Internetzugang	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass SageMaker Amazon-Notebooks keinen direkten Internetzugang zulassen. Indem Sie direkten Internetzugang blockieren, vermeiden Sie, dass unbefugte Benutzer auf sensible Daten zugreifen.
CM.L2-3.4.6	Wenden Sie das Prinzip der geringsten Funktionalität an, indem Sie Organisationssysteme so konfigurieren, dass sie nur unbedingt erforderliche Funktionen bereitstellen.	ssm-document-not-public	Stellen Sie sicher, dass AWS Systems Manager (SSM) -Dokumente nicht öffentlich sind, da dies einen unbeabsichtigten Zugriff auf Ihre SSM-Dokumente ermöglichen kann. Ein öffentliches SSM-Dokument kann Informationen über Ihr Konto, Ihre Ressourcen und internen Prozesse preisgeben.
CM.L2-3.4.6	Wenden Sie das Prinzip der geringsten Funktionalität an, indem Sie Organisationssysteme so konfigurieren, dass sie nur unbedingt erforderliche Funktionen bereitstellen.	subnet-auto-assign-public-ip-deaktiviert	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass Amazon Virtual Private Cloud (VPC) -Subnetzen nicht automatisch eine öffentliche IP-Adresse zugewiesen wird. Bei Amazon-Elastic-Compute-Cloud (EC2)-Instances, die in Subnetzen gestartet werden, in denen dieses Attribut aktiviert ist, wird der primären Netzwerkschnittstelle eine öffentliche IP-Adresse zugewiesen.
CM.L2-3.4.6	Wenden Sie das Prinzip der geringsten Funktionalität an, indem Sie Organisationssysteme so konfigurieren, dass sie nur unbedingt erforderliche Funktionen bereitstellen.	vpc-default-security-group-geschlossen	Sicherheitsgruppen von Amazon Elastic Compute Cloud (Amazon EC2) können bei der Verwaltung des Netzwerkzugriffs helfen, indem sie eine statusbehaftete Filterung des ein- und ausgehenden Netzwerkverkehrs zu Ressourcen bereitstellen. AWS Die Beschränkung des gesamten Datenverkehrs in der Standardsicherheitsgruppe hilft dabei, den Fernzugriff auf Ihre Ressourcen einzuschränken. AWS
CM.L2-3.4.6	Wenden Sie das Prinzip der geringsten Funktionalität an, indem Sie Organisationssysteme so konfigurieren, dass sie nur unbedingt erforderliche Funktionen bereitstellen.	vpc-sg-open-only-to-authorized-ports	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass gemeinsame Ports für Amazon Elastic Compute Cloud (Amazon EC2) -Sicherheitsgruppen eingeschränkt sind. Wenn der Zugriff auf Ports nicht auf vertrauenswürdige Quellen beschränkt wird, kann dies zu Angriffen auf die Verfügbarkeit, Integrität und Vertraulichkeit von Systemen führen. Durch die Beschränkung des Zugriffs auf Ressourcen innerhalb einer Sicherheitsgruppe aus dem Internet (0.0.0.0/0) kann der Remote-Zugriff auf interne Systeme gesteuert werden.
CM.L2-3.4.6	Wenden Sie das Prinzip der geringsten Funktionalität an, indem Sie Organisationssysteme so konfigurieren, dass sie nur unbedingt erforderliche Funktionen bereitstellen.	opensearch-in-vpc-only	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass sich Amazon OpenSearch Service-Domains innerhalb einer Amazon Virtual Private Cloud (Amazon VPC) befinden. Eine Amazon OpenSearch Service-Domain innerhalb einer Amazon VPC ermöglicht die sichere Kommunikation zwischen Amazon OpenSearch Service und anderen Services innerhalb der Amazon VPC, ohne dass ein Internet-Gateway, ein NAT-Gerät oder eine VPN-Verbindung erforderlich ist.
CM.L2-3.4.7	Beschränken, deaktivieren oder verhindern Sie die Verwendung unnötiger Programme, Funktionen, Ports, Protokolle und Services.	autoscaling-launch-config-public-ip-deaktiviert	Wenn Sie Ihre Netzwerkschnittstellen mit einer öffentlichen IP-Adresse konfigurieren, sind die diesen Netzwerkschnittstellen zugehörigen Ressourcen vom Internet aus erreichbar. EC2-Ressourcen sollten nicht öffentlich zugänglich sein, da dies einen unbeabsichtigten Zugriff auf Ihre Anwendungen oder Server ermöglichen kann.
CM.L2-3.4.7	Beschränken, deaktivieren oder verhindern Sie die Verwendung unnötiger Programme, Funktionen, Ports, Protokolle und Services.	ec2- instance-no-public-ip	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass Amazon Elastic Compute Cloud (Amazon EC2) -Instances nicht öffentlich zugänglich sind. Amazon-EC2-Instances können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
CM.L2-3.4.7	Beschränken, deaktivieren oder verhindern Sie die Verwendung unnötiger Programme, Funktionen, Ports, Protokolle und Services.	emr-master-no-public-ip	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass Amazon EMR-Cluster-Masterknoten nicht öffentlich zugänglich sind. Amazon-EMR-Cluster-Hauptknoten können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
CM.L2-3.4.7	Beschränken, deaktivieren oder verhindern Sie die Verwendung unnötiger Programme, Funktionen, Ports, Protokolle und Services.	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) -Sicherheitsgruppen können bei der Verwaltung des Netzwerkzugriffs helfen, indem sie eine statusabhängige Filterung des ein- und ausgehenden Netzwerkverkehrs zu Ressourcen bereitstellen. AWS Wenn Sie eingehenden (oder entfernten) Datenverkehr von 0.0.0.0/0 bis Port 22 auf Ihren Ressourcen nicht zulassen, können Sie den Remote-Zugriff einschränken.
CM.L2-3.4.7	Beschränken, deaktivieren oder verhindern Sie die Verwendung unnötiger Programme, Funktionen, Ports, Protokolle und Services.	internet-gateway-authorized-vpc-nur	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Internet-Gateways nur mit autorisierter Amazon Virtual Private Cloud (Amazon VPC) verbunden sind. Internet-Gateways ermöglichen den bidirektionalen Internetzugang zur und von der Amazon VPC, was möglicherweise zu einem unbefugten Zugriff auf Amazon-VPC-Ressourcen führen kann.
CM.L2-3.4.7	Beschränken, deaktivieren oder verhindern Sie die Verwendung unnötiger Programme, Funktionen, Ports, Protokolle und Services.	lambda-function-public-access-verboten	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass AWS Lambda-Funktionen nicht öffentlich zugänglich sind. Der öffentliche Zugriff kann möglicherweise die Verfügbarkeit von Ressourcen beeinträchtigen.
CM.L2-3.4.7	Beschränken, deaktivieren oder verhindern Sie die Verwendung unnötiger Programme, Funktionen, Ports, Protokolle und Services.	no-unrestricted-route-to-igw	Stellen Sie sicher, dass Amazon-EC2-Routing-Tabellen keine uneingeschränkten Routen zu einem Internet-Gateway enthalten. Das Entfernen oder Beschränken des Internetzugangs für Workloads innerhalb von Amazon VPCs kann unbeabsichtigte Zugriffe in Ihrer Umgebung reduzieren.
CM.L2-3.4.7	Beschränken, deaktivieren oder verhindern Sie die Verwendung unnötiger Programme, Funktionen, Ports, Protokolle und Services.	rds-instance-public-access-überprüfen	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Relational Database Service (Amazon RDS) -Instances nicht öffentlich sind. Amazon-RDS-Datenbank-Instances können vertrauliche Informationen enthalten und für solche Konten sind Prinzipien und Zugriffskontrollen erforderlich.
CM.L2-3.4.7	Beschränken, deaktivieren oder verhindern Sie die Verwendung unnötiger Programme, Funktionen, Ports, Protokolle und Services.	redshift-cluster-public-access-überprüfen	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Redshift Redshift-Cluster nicht öffentlich sind. Amazon-Redshift-Cluster können vertrauliche Informationen enthalten und für solche Konten sind Prinzipien und Zugriffskontrollen erforderlich.
CM.L2-3.4.7	Beschränken, deaktivieren oder verhindern Sie die Verwendung unnötiger Programme, Funktionen, Ports, Protokolle und Services.	restricted-common-ports	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass gemeinsame Ports für Amazon Elastic Compute Cloud (Amazon EC2) -Sicherheitsgruppen eingeschränkt sind. Wenn der Zugriff auf Ports nicht auf vertrauenswürdige Quellen beschränkt wird, kann dies zu Angriffen auf die Verfügbarkeit, Integrität und Vertraulichkeit von Systemen führen. Mit dieser Regel können Sie optional die Parameter blockedPort1–blockedPort5 festlegen (Standardkonfigurationen: 20, 21, 3389, 3306, 4333). Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
CM.L2-3.4.7	Beschränken, deaktivieren oder verhindern Sie die Verwendung unnötiger Programme, Funktionen, Ports, Protokolle und Services.	s3- -Block-periodisch account-level-public-access	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Simple Storage Service (Amazon S3) -Buckets nicht öffentlich zugänglich sind. Diese Regel trägt dazu bei, sensible Daten vor unbefugten Remote-Benutzern zu schützen, indem sie den öffentlichen Zugriff verhindert. Mit dieser Regel können Sie optional die Parameter ignorePublicAcls (Config Default: True), blockPublicPolicy (Config Default: True), blockPublicAcls (Config Default: True) und restrictPublicBuckets Parameter (Config Default: True) festlegen. Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
CM.L2-3.4.7	Beschränken, deaktivieren oder verhindern Sie die Verwendung unnötiger Programme, Funktionen, Ports, Protokolle und Services.	s3 bucket-level-public-access - verboten	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Simple Storage Service (Amazon S3) -Buckets nicht öffentlich zugänglich sind. Diese Regel trägt dazu bei, sensible Daten vor unbefugten Remote-Benutzern zu schützen, indem sie den öffentlichen Zugriff auf Bucket-Ebene verhindert.
CM.L2-3.4.7	Beschränken, deaktivieren oder verhindern Sie die Verwendung unnötiger Programme, Funktionen, Ports, Protokolle und Services.	s-3 bucket-public-read-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie nur autorisierten Benutzern, Prozessen und Geräten Zugriff auf Amazon Simple Storage Service (Amazon S3) -Buckets gewähren. Die Verwaltung des Zugriffs sollte mit der Klassifizierung der Daten übereinstimmen.
CM.L2-3.4.7	Beschränken, deaktivieren oder verhindern Sie die Verwendung unnötiger Programme, Funktionen, Ports, Protokolle und Services.	s3- bucket-public-write-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie nur autorisierten Benutzern, Prozessen und Geräten Zugriff auf Amazon Simple Storage Service (Amazon S3) -Buckets gewähren. Die Verwaltung des Zugriffs sollte mit der Klassifizierung der Daten übereinstimmen.
CM.L2-3.4.7	Beschränken, deaktivieren oder verhindern Sie die Verwendung unnötiger Programme, Funktionen, Ports, Protokolle und Services.	sagemaker-notebook-no-direct-Internetzugang	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass SageMaker Amazon-Notebooks keinen direkten Internetzugang zulassen. Indem Sie direkten Internetzugang blockieren, vermeiden Sie, dass unbefugte Benutzer auf sensible Daten zugreifen.
CM.L2-3.4.7	Beschränken, deaktivieren oder verhindern Sie die Verwendung unnötiger Programme, Funktionen, Ports, Protokolle und Services.	ssm-document-not-public	Stellen Sie sicher, dass AWS Systems Manager (SSM) -Dokumente nicht öffentlich sind, da dies einen unbeabsichtigten Zugriff auf Ihre SSM-Dokumente ermöglichen kann. Ein öffentliches SSM-Dokument kann Informationen über Ihr Konto, Ihre Ressourcen und internen Prozesse preisgeben.
CM.L2-3.4.7	Beschränken, deaktivieren oder verhindern Sie die Verwendung unnötiger Programme, Funktionen, Ports, Protokolle und Services.	subnet-auto-assign-public-ip-deaktiviert	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass Amazon Virtual Private Cloud (VPC) -Subnetzen nicht automatisch eine öffentliche IP-Adresse zugewiesen wird. Bei Amazon-Elastic-Compute-Cloud (EC2)-Instances, die in Subnetzen gestartet werden, in denen dieses Attribut aktiviert ist, wird der primären Netzwerkschnittstelle eine öffentliche IP-Adresse zugewiesen.
CM.L2-3.4.7	Beschränken, deaktivieren oder verhindern Sie die Verwendung unnötiger Programme, Funktionen, Ports, Protokolle und Services.	vpc-default-security-group-geschlossen	Sicherheitsgruppen von Amazon Elastic Compute Cloud (Amazon EC2) können bei der Verwaltung des Netzwerkzugriffs helfen, indem sie eine statusbehaftete Filterung des ein- und ausgehenden Netzwerkverkehrs zu Ressourcen bereitstellen. AWS Die Beschränkung des gesamten Datenverkehrs in der Standardsicherheitsgruppe hilft dabei, den Fernzugriff auf Ihre Ressourcen einzuschränken. AWS
CM.L2-3.4.7	Beschränken, deaktivieren oder verhindern Sie die Verwendung unnötiger Programme, Funktionen, Ports, Protokolle und Services.	vpc-sg-open-only-to-authorized-ports	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass gemeinsame Ports für Amazon Elastic Compute Cloud (Amazon EC2) -Sicherheitsgruppen eingeschränkt sind. Wenn der Zugriff auf Ports nicht auf vertrauenswürdige Quellen beschränkt wird, kann dies zu Angriffen auf die Verfügbarkeit, Integrität und Vertraulichkeit von Systemen führen. Durch die Beschränkung des Zugriffs auf Ressourcen innerhalb einer Sicherheitsgruppe aus dem Internet (0.0.0.0/0) kann der Remote-Zugriff auf interne Systeme gesteuert werden.
CM.L2-3.4.9	Kontrollieren und überwachen Sie von Benutzern installierte Software.	ec2-manager instance-managed-by-systems	Eine Bestandsaufnahme der Softwareplattformen und Anwendungen innerhalb des Unternehmens ist möglich, indem Amazon Elastic Compute Cloud (Amazon EC2) -Instances mit AWS Systems Manager verwaltet werden. Verwenden Sie AWS Systems Manager, um detaillierte Systemkonfigurationen, Betriebssystem-Patch-Levels, Namen und Typ der Dienste, Softwareinstallationen, Anwendungsname, Herausgeber und Version sowie andere Details zu Ihrer Umgebung bereitzustellen.
CM.L2-3.4.9	Kontrollieren und überwachen Sie von Benutzern installierte Software.	ec2-check managedinstance-association-compliance-status	Verwenden Sie AWS Systems Manager Associations, um bei der Inventarisierung von Softwareplattformen und Anwendungen innerhalb eines Unternehmens zu helfen. AWS Systems Manager weist Ihren verwalteten Instanzen einen Konfigurationsstatus zu und ermöglicht es Ihnen, Basiswerte für Betriebssystem-Patch-Levels, Softwareinstallationen, Anwendungskonfigurationen und andere Details zu Ihrer Umgebung festzulegen.
CM.L2-3.4.9	Kontrollieren und überwachen Sie von Benutzern installierte Software.	ec2-check managedinstance-patch-compliance-status	Aktivieren Sie diese Regel, um Amazon Elastic Compute Cloud (Amazon EC2)-Schwachstellen zu identifizieren und zu dokumentieren. Die Regel prüft, ob die Amazon EC2 EC2-Instance die Patch-Konformität im AWS Systems Manager gemäß den Richtlinien und Verfahren Ihres Unternehmens einhält.
IA.L1-3.5.1	Identifizieren Sie Benutzer von Informationssystemen, Prozesse von Benutzern oder Geräte.	api-gw-execution-logging-aktiviert	Die API-Gateway-Protokollierung zeigt detaillierte Ansichten der Benutzer, die auf die API zugegriffen haben, und wie diese Benutzer auf die API zugegriffen haben. Diese Einblicke ermöglichen die Transparenz von Benutzeraktivitäten.
IA.L1-3.5.1	Identifizieren Sie Benutzer von Informationssystemen, Prozesse von Benutzern oder Geräte.	cloudtrail-s3-dataevents-enabled	Die Erfassung von Simple Storage Service (Amazon S3)-Datenereignissen unterstützt die Erkennung von ungewöhnlichen Aktivitäten. Zu den Details gehören AWS-Konto Informationen über den Zugriff auf einen Amazon S3 S3-Bucket, die IP-Adresse und die Uhrzeit des Ereignisses.
IA.L1-3.5.1	Identifizieren Sie Benutzer von Informationssystemen, Prozesse von Benutzern oder Geräte.	cloud-trail-cloud-watch-logs-aktiviert	Verwenden Sie Amazon CloudWatch , um Protokollereignisaktivitäten zentral zu sammeln und zu verwalten. Die Aufnahme von AWS CloudTrail Daten liefert Einzelheiten zu den API-Aufrufaktivitäten in Ihrem AWS-Konto.
IA.L1-3.5.1	Identifizieren Sie Benutzer von Informationssystemen, Prozesse von Benutzern oder Geräte.	elb-logging-enabled	Die Elastic-Load-Balancing-Aktivität ist ein zentraler Kommunikationspunkt innerhalb einer Umgebung. Stellen Sie sicher, dass die ELB-Protokollierung aktiviert ist. Die gesammelten Daten enthalten detaillierte Informationen zu Anfragen, die an den ELB gesendet wurden. Jedes Protokoll enthält Informationen wie die Zeit, zu der die Anforderung einging, die Client-IP-Adresse, Latenzen, Anforderungspfade und Serverantworten.
IA.L1-3.5.1	Identifizieren Sie Benutzer von Informationssystemen, Prozesse von Benutzern oder Geräte.	emr-kerberos-enabled	Die Zugriffsberechtigungen und -autorisierungen können verwaltet und nach den Prinzipien der geringsten Berechtigung und Aufgabentrennung integriert werden, indem Kerberos für Amazon-EMR-Cluster aktiviert wird. In Kerberos werden Services und Benutzer, die sich authentifizieren müssen, als Prinzipale bezeichnet. Prinzipale befinden sich in einem Kerberos-Bereich. Innerhalb dieses Bereichs wird ein Kerberos-Server als Key Distribution Center (KDC) bezeichnet. Über diesen Server können sich Prinzipale authentifizieren. Die Authentifizierung im KDC erfolgt durch die Ausstellung von Authentifizierungstickets. Das KDC unterhält eine Datenbank der Prinzipale in seinem Bereich mit ihren Passwörtern und anderen administrativen Informationen zu jedem Prinzipal.
IA.L1-3.5.1	Identifizieren Sie Benutzer von Informationssystemen, Prozesse von Benutzern oder Geräte.	multi-region-cloudtrail-enabled	AWS CloudTrail zeichnet Aktionen und API-Aufrufe der AWS Management Console auf. Sie können feststellen, welche Benutzer und Konten angerufen wurden AWS, von welcher Quell-IP-Adresse aus die Anrufe getätigt wurden und wann die Anrufe erfolgten. CloudTrail übermittelt Protokolldateien aus allen AWS Regionen an Ihren S3-Bucket, wenn MULTI_REGION_CLOUD_TRAIL_ENABLED aktiviert ist. Außerdem wird beim AWS Start einer neuen Region derselbe Trail in der neuen Region erstellt. CloudTrail Dadurch erhalten Sie automatisch Protokolldateien mit API-Aktivitäten für die neue Region.
IA.L1-3.5.1	Identifizieren Sie Benutzer von Informationssystemen, Prozesse von Benutzern oder Geräte.	rds-logging-enabled	Um die Protokollierung und Überwachung in Ihrer Umgebung zu erleichtern, stellen Sie sicher, dass die Amazon Relational Database Service (Amazon RDS)-Protokollierung aktiviert ist. Mit der Amazon-RDS-Protokollierung können Sie Ereignisse wie Verbindungen, Verbindungsabbrüche, Abfragen oder abgefragte Tabellen erfassen.
IA.L1-3.5.1	Identifizieren Sie Benutzer von Informationssystemen, Prozesse von Benutzern oder Geräte.	s-3 bucket-logging-enabled	Die Amazon Simple Storage Service (Amazon S3)-Serverzugriffsprotokollierung bietet eine Methode zur Überwachung des Netzwerks im Hinblick auf potenzielle Cybersicherheitsereignisse. Die Ereignisse werden überwacht, indem detaillierte Aufzeichnungen über die Anfragen erfasst werden, die an einen Amazon-S3-Bucket gestellt wurden. Jeder Zugriffsprotokolleintrag enthält Details zu einer einzelnen Zugriffsanfrage. Zu den Details gehören Anforderer, Bucket-Name, Anforderungszeit, Anforderungsaktion, Antwortstatus und Fehlercode, falls relevant.
IA.L1-3.5.1	Identifizieren Sie Benutzer von Informationssystemen, Prozesse von Benutzern oder Geräte.	wafv2-logging-enabled	Um die Protokollierung und Überwachung in Ihrer Umgebung zu erleichtern, aktivieren Sie die AWS WAF (V2) -Protokollierung auf regionalen und globalen Web-ACLs. AWS Die WAF-Protokollierung bietet detaillierte Informationen über den Datenverkehr, der von Ihrer Web-ACL analysiert wird. In den Protokollen werden die Uhrzeit aufgezeichnet, zu der die AWS WAF die Anfrage von Ihrer AWS Ressource erhalten hat, Informationen zu der Anfrage und eine Aktion für die Regel, der jede Anfrage entsprach.
IA.L1-3.5.2	Authentifizieren (oder verifizieren) Sie die Identitäten dieser Benutzer, Prozesse oder Geräte als Voraussetzung für den Zugriff auf Informationssysteme der Organisation.	emr-kerberos-enabled	Die Zugriffsberechtigungen und -autorisierungen können verwaltet und nach den Prinzipien der geringsten Berechtigung und Aufgabentrennung integriert werden, indem Kerberos für Amazon-EMR-Cluster aktiviert wird. In Kerberos werden Services und Benutzer, die sich authentifizieren müssen, als Prinzipale bezeichnet. Prinzipale befinden sich in einem Kerberos-Bereich. Innerhalb dieses Bereichs wird ein Kerberos-Server als Key Distribution Center (KDC) bezeichnet. Über diesen Server können sich Prinzipale authentifizieren. Die Authentifizierung im KDC erfolgt durch die Ausstellung von Authentifizierungstickets. Das KDC unterhält eine Datenbank der Prinzipale in seinem Bereich mit ihren Passwörtern und anderen administrativen Informationen zu jedem Prinzipal.
IA.L1-3.5.2	Authentifizieren (oder verifizieren) Sie die Identitäten dieser Benutzer, Prozesse oder Geräte als Voraussetzung für den Zugriff auf Informationssysteme der Organisation.	iam-password-policy	Die Identitäten und Anmeldeinformationen werden auf der Grundlage einer organisatorischen IAM-Passwortrichtlinie ausgestellt, verwaltet und verifiziert. Sie erfüllen oder übertreffen die Anforderungen von NIST SP 800-63 und dem Standard „Best Practices“ von AWS Foundational Security für die Passwortstärke. Mit dieser Regel können Sie optional RequireUppercaseCharacters (Wert für AWS grundlegende Sicherheitsbewährte Methoden: wahr), RequireLowercaseCharacters (Wert für bewährte Methoden für AWS grundlegende Sicherheit: wahr), RequireSymbols (Wert für bewährte Methoden für AWS grundlegende Sicherheit: wahr), RequireNumbers (Wert für bewährte Methoden für AWS grundlegende Sicherheit: wahr), MinimumPasswordLength (Wert für bewährte Methoden für AWS grundlegende Sicherheit: 14), PasswordReusePrevention (Wert für bewährte Methoden für AWS grundlegende Sicherheit: 24) und MaxPasswordAge (Wert für bewährte Methoden für AWS grundlegende Sicherheit: 90) für Ihr IAM festlegen Kennwortrichtlinie. Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
IA.L1-3.5.2	Authentifizieren (oder verifizieren) Sie die Identitäten dieser Benutzer, Prozesse oder Geräte als Voraussetzung für den Zugriff auf Informationssysteme der Organisation.	iam-user-mfa-enabled	Aktivieren Sie diese Regel, um den Zugriff auf Ressourcen in der AWS Cloud einzuschränken. Diese Regel sorgt dafür, dass die Multi-Faktor-Authentifizierung (MFA) für alle Benutzer aktiviert ist. MFA sorgt für eine weitere Schutzebene zusätzlich zu den Anmeldeinformationen. Reduzieren Sie Fälle von kompromittierten Konten, indem Sie MFA für Benutzer vorschreiben.
IA.L1-3.5.2	Authentifizieren (oder verifizieren) Sie die Identitäten dieser Benutzer, Prozesse oder Geräte als Voraussetzung für den Zugriff auf Informationssysteme der Organisation.	mfa-enabled-for-iam-Konsolenzugriff	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass MFA für alle AWS Identity and Access Management (IAM) -Benutzer aktiviert ist, die über ein Konsolenkennwort verfügen. MFA sorgt für eine weitere Schutzebene zusätzlich zu den Anmeldeinformationen. Indem Sie MFA für Benutzer vorschreiben, können Sie Fälle kompromittierter Konten reduzieren und verhindern, dass unbefugte Benutzer auf vertrauliche Daten zugreifen.
IA.L1-3.5.2	Authentifizieren (oder verifizieren) Sie die Identitäten dieser Benutzer, Prozesse oder Geräte als Voraussetzung für den Zugriff auf Informationssysteme der Organisation.	root-account-hardware-mfa-aktiviert	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Hardware-MFA für den Root-Benutzer aktiviert ist. Der Stammbenutzer ist der AWS-Konto-Benutzer mit den meisten Berechtigungen. MFA sorgt für eine weitere Schutzebene zusätzlich zu den Anmeldeinformationen. Indem Sie MFA für den Root-Benutzer vorschreiben, können Sie die Anzahl AWS-Konten kompromittierter Benutzer reduzieren.
IA.L1-3.5.2	Authentifizieren (oder verifizieren) Sie die Identitäten dieser Benutzer, Prozesse oder Geräte als Voraussetzung für den Zugriff auf Informationssysteme der Organisation.	root-account-mfa-enabled	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass MFA für den Root-Benutzer aktiviert ist. Der Stammbenutzer ist der AWS-Konto-Benutzer mit den meisten Berechtigungen. MFA sorgt für eine weitere Schutzebene zusätzlich zu den Anmeldeinformationen. Indem Sie MFA für den Root-Benutzer vorschreiben, können Sie die Anzahl AWS-Konten kompromittierter Benutzer reduzieren.
IA.L2-3.5.3	Verwenden Sie die Multi-Faktor-Authentifizierung für den lokalen und Netzwerkzugriff auf privilegierte Konten und für den Netzwerkzugriff auf nicht privilegierte Konten.	iam-user-mfa-enabled	Aktivieren Sie diese Regel, um den Zugriff auf Ressourcen in der AWS Cloud einzuschränken. Diese Regel sorgt dafür, dass die Multi-Faktor-Authentifizierung (MFA) für alle Benutzer aktiviert ist. MFA sorgt für eine weitere Schutzebene zusätzlich zu den Anmeldeinformationen. Reduzieren Sie Fälle von kompromittierten Konten, indem Sie MFA für Benutzer vorschreiben.
IA.L2-3.5.3	Verwenden Sie die Multi-Faktor-Authentifizierung für den lokalen und Netzwerkzugriff auf privilegierte Konten und für den Netzwerkzugriff auf nicht privilegierte Konten.	mfa-enabled-for-iam-Konsolenzugriff	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass MFA für alle AWS Identity and Access Management (IAM) -Benutzer aktiviert ist, die über ein Konsolenkennwort verfügen. MFA sorgt für eine weitere Schutzebene zusätzlich zu den Anmeldeinformationen. Indem Sie MFA für Benutzer vorschreiben, können Sie Fälle kompromittierter Konten reduzieren und verhindern, dass unbefugte Benutzer auf vertrauliche Daten zugreifen.
IA.L2-3.5.3	Verwenden Sie die Multi-Faktor-Authentifizierung für den lokalen und Netzwerkzugriff auf privilegierte Konten und für den Netzwerkzugriff auf nicht privilegierte Konten.	root-account-hardware-mfa-aktiviert	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Hardware-MFA für den Root-Benutzer aktiviert ist. Der Stammbenutzer ist der AWS-Konto-Benutzer mit den meisten Berechtigungen. MFA sorgt für eine weitere Schutzebene zusätzlich zu den Anmeldeinformationen. Indem Sie MFA für den Root-Benutzer vorschreiben, können Sie die Anzahl AWS-Konten kompromittierter Benutzer reduzieren.
IA.L2-3.5.3	Verwenden Sie die Multi-Faktor-Authentifizierung für den lokalen und Netzwerkzugriff auf privilegierte Konten und für den Netzwerkzugriff auf nicht privilegierte Konten.	root-account-mfa-enabled	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass MFA für den Root-Benutzer aktiviert ist. Der Stammbenutzer ist der AWS-Konto-Benutzer mit den meisten Berechtigungen. MFA sorgt für eine weitere Schutzebene zusätzlich zu den Anmeldeinformationen. Indem Sie MFA für den Root-Benutzer vorschreiben, können Sie die Anzahl AWS-Konten kompromittierter Benutzer reduzieren.
IA.L2-3.5.6	Deaktivieren Sie Identifikatoren nach einem bestimmten Zeitraum der Inaktivität.	iam-password-policy	Die Identitäten und Anmeldeinformationen werden auf der Grundlage einer organisatorischen IAM-Passwortrichtlinie ausgestellt, verwaltet und verifiziert. Sie erfüllen oder übertreffen die Anforderungen, die von NIST SP 800-63 und dem Standard „Best Practices“ von AWS Foundational Security in Bezug auf die Passwortstärke festgelegt sind. Mit dieser Regel können Sie optional RequireUppercaseCharacters (Wert für AWS grundlegende Sicherheitsbewährte Methoden: wahr), RequireLowercaseCharacters (Wert für bewährte Methoden für AWS grundlegende Sicherheit: wahr), RequireSymbols (Wert für bewährte Methoden für AWS grundlegende Sicherheit: wahr), RequireNumbers (Wert für bewährte Methoden für AWS grundlegende Sicherheit: wahr), MinimumPasswordLength (Wert für bewährte Methoden für AWS grundlegende Sicherheit: 14), PasswordReusePrevention (Wert für bewährte Methoden für AWS grundlegende Sicherheit: 24) und MaxPasswordAge (Wert für bewährte Methoden für AWS grundlegende Sicherheit: 90) für Ihr IAM festlegen Kennwortrichtlinie. Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
IA.L2-3.5.6	Deaktivieren Sie Identifikatoren nach einem bestimmten Zeitraum der Inaktivität.	iam-user-unused-credentials-überprüfen	AWS Identity and Access Management (IAM) kann Ihnen bei Zugriffsberechtigungen und Autorisierungen helfen, indem es nach IAM-Passwörtern und Zugriffsschlüsseln sucht, die für einen bestimmten Zeitraum nicht verwendet wurden. Wenn ungenutzte Anmeldeinformationen identifiziert werden, müssen Sie sie deaktivieren und/oder entfernen, da dies gegen das Prinzip der geringsten Berechtigung verstoßen könnte. Für diese Regel müssen Sie einen Wert für das maxCredentialUsage Alter festlegen (Standardkonfiguration: 90). Der tatsächliche Wert muss den Richtlinien Ihrer Organisation entsprechen.
IA.L2-3.5.7	Erzwingen Sie bei der Erstellung neuer Passwörter eine Mindestkomplexität und eine Änderung der Zeichen.	iam-password-policy	Die Identitäten und Anmeldeinformationen werden auf der Grundlage einer organisatorischen IAM-Passwortrichtlinie ausgestellt, verwaltet und verifiziert. Sie erfüllen oder übertreffen die Anforderungen, die von NIST SP 800-63 und dem Standard „Best Practices“ von AWS Foundational Security für die Passwortstärke festgelegt wurden. Mit dieser Regel können Sie optional RequireUppercaseCharacters (Wert für AWS grundlegende Sicherheitsbewährte Methoden: wahr), RequireLowercaseCharacters (Wert für bewährte Methoden für AWS grundlegende Sicherheit: wahr), RequireSymbols (Wert für bewährte Methoden für AWS grundlegende Sicherheit: wahr), RequireNumbers (Wert für bewährte Methoden für AWS grundlegende Sicherheit: wahr), MinimumPasswordLength (Wert für bewährte Methoden für AWS grundlegende Sicherheit: 14), PasswordReusePrevention (Wert für bewährte Methoden für AWS grundlegende Sicherheit: 24) und MaxPasswordAge (Wert für bewährte Methoden für AWS grundlegende Sicherheit: 90) für Ihr IAM festlegen Kennwortrichtlinie. Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
IA.L2-3.5.8	Verbietet die Wiederverwendung von Passwörtern für eine bestimmte Anzahl neu generierter Passwörter.	iam-password-policy	Die Identitäten und Anmeldeinformationen werden auf der Grundlage einer organisatorischen IAM-Passwortrichtlinie ausgestellt, verwaltet und verifiziert. Sie erfüllen oder übertreffen die Anforderungen des NIST SP 800-63 und des AWS Foundational Security Best Practices-Standards für Passwortstärke. Mit dieser Regel können Sie optional RequireUppercaseCharacters (Wert für AWS grundlegende Sicherheitsbewährte Verfahren: wahr), RequireLowercaseCharacters (Wert für bewährte Methoden für AWS grundlegende Sicherheit: wahr), RequireSymbols (Wert für bewährte Methoden für AWS grundlegende Sicherheit: wahr), RequireNumbers (Wert für bewährte Methoden für AWS grundlegende Sicherheit: wahr), MinimumPasswordLength (Wert für bewährte Methoden für AWS grundlegende Sicherheit: 14), PasswordReusePrevention (Wert für bewährte Methoden für AWS grundlegende Sicherheit: 24) und MaxPasswordAge (Wert für bewährte Methoden für AWS grundlegende Sicherheit: 90) für Ihr IAM festlegen Kennwortrichtlinie. Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
IA.L2-3.5.10	Speichern und übertragen Sie nur kryptografisch geschützte Passwörter.	alb-http-drop-invalid-Header-fähig	Stellen Sie sicher, dass Ihre Elastic Load Balancers (ELB) so konfiguriert sind, dass sie HTTP-Header löschen. Um eventuell vorhandene sensible Daten zu schützen, sollten Sie die Verschlüsselung bei der Übertragung aktivieren.
IA.L2-3.5.10	Speichern und übertragen Sie nur kryptografisch geschützte Passwörter.	alb-http-to-https-Umleitungsprüfung	Um Daten während der Übertragung zu schützen, stellen Sie sicher, dass Ihr Application Load Balancer unverschlüsselte HTTP-Anfragen automatisch an HTTPS umleitet. Um eventuell vorhandene sensible Daten zu schützen, sollten Sie die Verschlüsselung bei der Übertragung aktivieren.
IA.L2-3.5.10	Speichern und übertragen Sie nur kryptografisch geschützte Passwörter.	api-gw-cache-enabled-und-verschlüsselt	Um Daten im Ruhezustand zu schützen, stellen Sie sicher, dass die Verschlüsselung für den Cache Ihrer API-Gateway-Stufe aktiviert ist. Da für die API-Methode sensible Daten erfasst werden können, sollten Sie die Verschlüsselung von Daten im Ruhezustand aktivieren, um diese Daten zu schützen.
IA.L2-3.5.10	Speichern und übertragen Sie nur kryptografisch geschützte Passwörter.	api-gw-ssl-enabled	Stellen Sie sicher, dass die REST-API-Stufen von Amazon API Gateway mit SSL-Zertifikaten konfiguriert sind, damit Backend-Systeme überprüfen können, ob Anforderungen von API Gateway stammen.
IA.L2-3.5.10	Speichern und übertragen Sie nur kryptografisch geschützte Passwörter.	ec2- ebs-encryption-by-default	Zum Schutz von Daten im Ruhezustand müssen Sie sicherstellen, dass die Verschlüsselung für Ihre Amazon Elastic Block Store (Amazon EBS)-Volumes aktiviert ist. Da sensible Daten auch im Ruhezustand vorhanden sein können, sollten Sie die Verschlüsselung im Ruhezustand aktivieren, um diese Daten zu schützen.
IA.L2-3.5.10	Speichern und übertragen Sie nur kryptografisch geschützte Passwörter.	efs-encrypted-check	Aktivieren Sie die Verschlüsselung für Ihr Amazon Elastic File System (EFS), um eventuell vorhandene sensible Daten sowie Daten im Ruhezustand zu schützen.
IA.L2-3.5.10	Speichern und übertragen Sie nur kryptografisch geschützte Passwörter.	elasticsearch-encrypted-at-rest	Da sensible Daten vorhanden sein können und um Daten im Ruhezustand zu schützen, sollten Sie sicherstellen, dass die Verschlüsselung für Ihre Amazon OpenSearch Service (OpenSearch Service) -Domains aktiviert ist.
IA.L2-3.5.10	Speichern und übertragen Sie nur kryptografisch geschützte Passwörter.	elasticsearch-node-to-node-Verschlüsselungsprüfung	Stellen Sie sicher, dass die node-to-node Verschlüsselung für Amazon OpenSearch Service aktiviert ist. ode-to-node N-Verschlüsselung aktiviert die TLS 1.2-Verschlüsselung für die gesamte Kommunikation innerhalb der Amazon Virtual Private Cloud (Amazon VPC). Um eventuell vorhandene sensible Daten zu schützen, sollten Sie die Verschlüsselung bei der Übertragung aktivieren.
IA.L2-3.5.10	Speichern und übertragen Sie nur kryptografisch geschützte Passwörter.	elbv-2 acm-certificate-required	Zum Schutz von eventuell vorhandenen sensiblen Daten sowie von Daten während der Übertragung muss die Verschlüsselung für Ihr Elastic Load Balancing aktiviert sein. Verwenden Sie AWS Certificate Manager, um öffentliche und private SSL/TLS-Zertifikate mit AWS Diensten und internen Ressourcen zu verwalten, bereitzustellen und bereitzustellen.
IA.L2-3.5.10	Speichern und übertragen Sie nur kryptografisch geschützte Passwörter.	elb-acm-certificate-required	Zum Schutz von eventuell vorhandenen sensiblen Daten sowie von Daten während der Übertragung muss die Verschlüsselung für Ihr Elastic Load Balancing aktiviert sein. Verwenden Sie AWS Certificate Manager, um öffentliche und private SSL/TLS-Zertifikate mit AWS Diensten und internen Ressourcen zu verwalten, bereitzustellen und bereitzustellen.
IA.L2-3.5.10	Speichern und übertragen Sie nur kryptografisch geschützte Passwörter.	elb-tls-https-listeners-nur	Stellen Sie sicher, dass Ihre Elastic Load Balancers (ELBs) mit SSL- oder HTTPS-Listenern konfiguriert sind. Um eventuell vorhandene sensible Daten zu schützen, sollten Sie die Verschlüsselung bei der Übertragung aktivieren.
IA.L2-3.5.10	Speichern und übertragen Sie nur kryptografisch geschützte Passwörter.	encrypted-volumes	Aktivieren Sie die Verschlüsselung für Ihre Amazon-Elastic-Block-Store (Amazon-EBS)-Volumes, um eventuell vorhandene sensible Daten sowie Daten im Ruhezustand zu schützen.
IA.L2-3.5.10	Speichern und übertragen Sie nur kryptografisch geschützte Passwörter.	rds-snapshot-encrypted	Stellen Sie sicher, dass die Verschlüsselung für Ihre Amazon Relational Database Service (Amazon RDS)-Snapshots aktiviert ist. Da sensible Daten auch im Ruhezustand vorhanden sein können, sollten Sie die Verschlüsselung im Ruhezustand aktivieren, um diese Daten zu schützen.
IA.L2-3.5.10	Speichern und übertragen Sie nur kryptografisch geschützte Passwörter.	rds-storage-encrypted	Zum Schutz von Daten im Ruhezustand müssen Sie sicherstellen, dass die Verschlüsselung für Ihre Amazon Relational Database Service (Amazon RDS)-Instances aktiviert ist. Um eventuell vorhandene sensible Daten im Ruhezustand in Amazon-RDS-Instances zu schützen, muss die Verschlüsselung von Daten im Ruhezustand aktiviert sein.
IA.L2-3.5.10	Speichern und übertragen Sie nur kryptografisch geschützte Passwörter.	redshift-cluster-kms-enabled	Um Daten im Ruhezustand zu schützen, stellen Sie sicher, dass die Verschlüsselung mit AWS Key Management Service (AWS KMS) für Ihren Amazon Redshift Redshift-Cluster aktiviert ist. Um eventuell vorhandene sensible Daten im Ruhezustand in Redshift-Clustern zu schützen, muss die Verschlüsselung von Daten im Ruhezustand aktiviert sein.
IA.L2-3.5.10	Speichern und übertragen Sie nur kryptografisch geschützte Passwörter.	redshift-require-tls-ssl	Stellen Sie sicher, dass Ihre Amazon-Redshift-Cluster eine TLS/SSL-Verschlüsselung erfordern, um eine Verbindung zu SQL-Clients herzustellen. Um eventuell vorhandene sensible Daten zu schützen, sollten Sie die Verschlüsselung bei der Übertragung aktivieren.
IA.L2-3.5.10	Speichern und übertragen Sie nur kryptografisch geschützte Passwörter.	s3- aktiviert bucket-server-side-encryption	Zum Schutz von Daten im Ruhezustand müssen Sie sicherstellen, dass die Verschlüsselung für Ihre Amazon Simple Storage Service (Amazon S3)-Buckets aktiviert ist. Um eventuell vorhandene sensible Daten im Ruhezustand in Amazon-S3-Buckets zu schützen, muss die Verschlüsselung aktiviert sein.
IA.L2-3.5.10	Speichern und übertragen Sie nur kryptografisch geschützte Passwörter.	s-3 bucket-ssl-requests-only	Um Daten während der Übertragung zu schützen, stellen Sie sicher, dass Ihre Amazon Simple Storage Service (Amazon S3)-Buckets Anfragen zur Verwendung von Secure Socket Layer (SSL)-Buckets erfordern. Um eventuell vorhandene sensible Daten zu schützen, sollten Sie die Verschlüsselung bei der Übertragung aktivieren.
IA.L2-3.5.10	Speichern und übertragen Sie nur kryptografisch geschützte Passwörter.	s-3 default-encryption-kms	Stellen Sie sicher, dass die Verschlüsselung für Ihre Amazon Simple Storage Service (Amazon S3)-Buckets aktiviert ist. Um eventuell vorhandene sensible Daten im Ruhezustand in einem Amazon-S3-Bucket zu schützen, muss die Verschlüsselung aktiviert sein.
IA.L2-3.5.10	Speichern und übertragen Sie nur kryptografisch geschützte Passwörter.	sagemaker-endpoint-configuration-kms-key-konfiguriert	Um Daten im Ruhezustand zu schützen, stellen Sie sicher, dass die Verschlüsselung mit dem AWS Key Management Service (AWS KMS) für Ihren Endpunkt aktiviert ist. SageMaker Da sensible Daten auf dem SageMaker Endgerät gespeichert werden können, sollten Sie die Verschlüsselung im Ruhezustand aktivieren, um diese Daten zu schützen.
IA.L2-3.5.10	Speichern und übertragen Sie nur kryptografisch geschützte Passwörter.	sagemaker-notebook-instance-kms-schlüsselkonfiguriert	Um Daten im Ruhezustand zu schützen, stellen Sie sicher, dass die Verschlüsselung mit dem AWS Key Management Service (AWS KMS) für Ihr Notebook aktiviert ist. SageMaker Da vertrauliche Daten im SageMaker Notebook gespeichert werden können, sollten Sie die Verschlüsselung im Ruhezustand aktivieren, um diese Daten zu schützen.
IA.L2-3.5.10	Speichern und übertragen Sie nur kryptografisch geschützte Passwörter.	sns-encrypted-kms	Um Daten im Ruhezustand zu schützen, stellen Sie sicher, dass Ihre Amazon Simple Notification Service (Amazon SNS) -Themen mit dem AWS Key Management Service (AWS KMS) verschlüsselt werden müssen. Um eventuell vorhandene sensible Daten im Ruhezustand in veröffentlichten Nachrichten zu schützen, muss die Verschlüsselung von Daten im Ruhezustand aktiviert sein.
IA.L2-3.5.10	Speichern und übertragen Sie nur kryptografisch geschützte Passwörter.	opensearch-encrypted-at-rest	Da sensible Daten vorhanden sein können und um Daten im Ruhezustand zu schützen, sollten Sie sicherstellen, dass die Verschlüsselung für Ihre Amazon OpenSearch Service-Domains aktiviert ist.
IA.L2-3.5.10	Speichern und übertragen Sie nur kryptografisch geschützte Passwörter.	opensearch-node-to-node-Verschlüsselungsprüfung	Stellen Sie sicher, dass die node-to-node Verschlüsselung für Amazon OpenSearch Service aktiviert ist. ode-to-node N-Verschlüsselung aktiviert die TLS 1.2-Verschlüsselung für die gesamte Kommunikation innerhalb der Amazon Virtual Private Cloud (Amazon VPC). Um eventuell vorhandene sensible Daten zu schützen, sollten Sie die Verschlüsselung bei der Übertragung aktivieren.
IR.L2-3.6.1	Richten Sie eine Funktion zur Bearbeitung von Betriebsvorfällen für Organisationssysteme ein, die Maßnahmen zur Vorbereitung, Erkennung, Analyse, Eindämmung und Wiederherstellung sowie Benutzerreaktionen umfasst.	guardduty-enabled-centralized	Amazon GuardDuty kann mithilfe von Threat Intelligence Feeds helfen, potenzielle Cybersicherheitsereignisse zu überwachen und zu erkennen. Dazu gehören Listen bösartiger IP-Adressen und maschinelles Lernen zur Identifizierung unerwarteter, nicht autorisierter und bösartiger Aktivitäten in Ihrer AWS Cloud-Umgebung.
IR.L2-3.6.1	Richten Sie eine Funktion zur Bearbeitung von Betriebsvorfällen für Organisationssysteme ein, die Maßnahmen zur Vorbereitung, Erkennung, Analyse, Eindämmung und Wiederherstellung sowie Benutzerreaktionen umfasst.	guardduty-non-archived-findings	Amazon GuardDuty hilft Ihnen dabei, die Auswirkungen eines Vorfalls zu verstehen, indem es die Ergebnisse nach Schweregrad klassifiziert: niedrig, mittel und hoch. Diese Klassifizierungen können Sie zur Festlegung von entsprechenden Strategien und Prioritäten zur Behebung solcher Vorfälle verwenden. Mit dieser Regel können Sie optional daysLowSev (Config Default: 30), daysMediumSev (Config Default: 7) und daysHighSev (Config Default: 1) für nicht archivierte Ergebnisse festlegen, wie es die Richtlinien Ihrer Organisation erfordern.
IR.L2-3.6.1	Richten Sie eine Funktion zur Bearbeitung von Betriebsvorfällen für Organisationssysteme ein, die Maßnahmen zur Vorbereitung, Erkennung, Analyse, Eindämmung und Wiederherstellung sowie Benutzerreaktionen umfasst.	lambda-dlq-check	Aktivieren Sie diese Regel, um das entsprechende Personal über Amazon Simple Queue Service (Amazon SQS) oder Amazon Simple Notiﬁcation Service (Amazon SNS) zu benachrichtigen, wenn eine Funktion ausgefallen ist.
IR.L2-3.6.1	Richten Sie eine Funktion zur Bearbeitung von Betriebsvorfällen für Organisationssysteme ein, die Maßnahmen zur Vorbereitung, Erkennung, Analyse, Eindämmung und Wiederherstellung sowie Benutzerreaktionen umfasst.	securityhub-enabled	AWS Security Hub hilft bei der Überwachung von unbefugtem Personal, Verbindungen, Geräten und Software. AWS Security Hub aggregiert, organisiert und priorisiert die Sicherheitswarnungen oder Ergebnisse mehrerer Dienste. AWS Einige dieser Dienste sind Amazon Security Hub, Amazon Inspector, Amazon Macie, AWS Identity and Access Management (IAM) Access Analyzer und AWS Firewall Manager sowie AWS Partnerlösungen.
IR.L2-3.6.3	Testen Sie die Reaktionsfähigkeit der Organisation auf Vorfälle.	response-plan-tested (Prozessüberprüfung)	Stellen Sie sicher, dass die Vorfallreaktions- und Wiederherstellungspläne getestet wurden. Dies kann Ihnen helfen zu verstehen, ob Ihr Plan bei einem Vorfall wirksam ist und ob etwaige Lücken behoben oder Aktualisierungen vorgenommen werden müssen.
MA.L2-3.7.5	Erfordert eine mehrstufige Authentifizierung, um nichtlokale Wartungssitzungen von externen Netzwerkverbindungen aus einzurichten und solche Verbindungen zu beenden, wenn die nichtlokale Wartung abgeschlossen ist.	iam-user-mfa-enabled	Aktivieren Sie diese Regel, um den Zugriff auf Ressourcen in der Cloud einzuschränken. AWS Diese Regel sorgt dafür, dass die Multi-Faktor-Authentifizierung (MFA) für alle Benutzer aktiviert ist. MFA sorgt für eine weitere Schutzebene zusätzlich zu den Anmeldeinformationen. Reduzieren Sie Fälle von kompromittierten Konten, indem Sie MFA für Benutzer vorschreiben.
MA.L2-3.7.5	Erfordern Sie eine Multifaktor-Authentifizierung, um nichtlokale Wartungssitzungen von externen Netzwerkverbindungen aus einzurichten und solche Verbindungen zu beenden, wenn die nichtlokale Wartung abgeschlossen ist.	mfa-enabled-for-iam-Konsolenzugriff	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass MFA für alle AWS Identity and Access Management (IAM) -Benutzer aktiviert ist, die über ein Konsolenkennwort verfügen. MFA sorgt für eine weitere Schutzebene zusätzlich zu den Anmeldeinformationen. Indem Sie MFA für Benutzer vorschreiben, können Sie Fälle kompromittierter Konten reduzieren und verhindern, dass unbefugte Benutzer auf vertrauliche Daten zugreifen.
RA.L2-3.11.2	Suchen Sie regelmäßig nach Schwachstellen in den Systemen und Anwendungen der Organisation und bei der Identifizierung neuer Schwachstellen in diesen Systemen und Anwendungen.	ec2-check managedinstance-patch-compliance-status	Aktivieren Sie diese Regel, um Amazon Elastic Compute Cloud (Amazon EC2)-Schwachstellen zu identifizieren und zu dokumentieren. Die Regel prüft, ob die Amazon EC2 EC2-Instance die Patch-Konformität im AWS Systems Manager gemäß den Richtlinien und Verfahren Ihres Unternehmens einhält.
RA.L2-3.11.2	Suchen Sie regelmäßig nach Schwachstellen in den Systemen und Anwendungen der Organisation und bei der Identifizierung neuer Schwachstellen in diesen Systemen und Anwendungen.	guardduty-enabled-centralized	Amazon GuardDuty kann mithilfe von Threat Intelligence Feeds helfen, potenzielle Cybersicherheitsereignisse zu überwachen und zu erkennen. Dazu gehören Listen bösartiger IP-Adressen und maschinelles Lernen zur Identifizierung unerwarteter, nicht autorisierter und bösartiger Aktivitäten in Ihrer AWS Cloud-Umgebung.
RA.L2-3.11.2	Suchen Sie regelmäßig nach Schwachstellen in den Systemen und Anwendungen der Organisation und bei der Identifizierung neuer Schwachstellen in diesen Systemen und Anwendungen.	guardduty-non-archived-findings	Amazon GuardDuty hilft Ihnen dabei, die Auswirkungen eines Vorfalls zu verstehen, indem es die Ergebnisse nach Schweregrad klassifiziert: niedrig, mittel und hoch. Diese Klassifizierungen können Sie zur Festlegung von entsprechenden Strategien und Prioritäten zur Behebung solcher Vorfälle verwenden. Mit dieser Regel können Sie optional daysLowSev (Config Default: 30), daysMediumSev (Config Default: 7) und daysHighSev (Config Default: 1) für nicht archivierte Ergebnisse festlegen, wie es die Richtlinien Ihrer Organisation erfordern.
RA.L2-3.11.2	Suchen Sie regelmäßig nach Schwachstellen in den Systemen und Anwendungen der Organisation und bei der Identifizierung neuer Schwachstellen in diesen Systemen und Anwendungen.	securityhub-enabled	AWS Security Hub hilft bei der Überwachung von unbefugtem Personal, Verbindungen, Geräten und Software. AWS Security Hub aggregiert, organisiert und priorisiert die Sicherheitswarnungen oder Ergebnisse mehrerer Dienste. AWS Einige dieser Dienste sind Amazon Security Hub, Amazon Inspector, Amazon Macie, AWS Identity and Access Management (IAM) Access Analyzer und AWS Firewall Manager sowie AWS Partnerlösungen.
SC.L1-3.13.1	Überwachen, kontrollieren und schützen Sie die Unternehmenskommunikation (d. h. Informationen, die von Informationssystemen der Organisation übertragen oder empfangen werden) an externen und wichtigen internen Grenzen der Informationssysteme.	alb-http-drop-invalid-Header-fähig	Stellen Sie sicher, dass Ihre Elastic Load Balancers (ELB) so konfiguriert sind, dass sie HTTP-Header löschen. Um eventuell vorhandene sensible Daten zu schützen, sollten Sie die Verschlüsselung bei der Übertragung aktivieren.
SC.L1-3.13.1	Überwachen, kontrollieren und schützen Sie die Unternehmenskommunikation (d. h. Informationen, die von Informationssystemen der Organisation übertragen oder empfangen werden) an externen und wichtigen internen Grenzen der Informationssysteme.	alb-http-to-https-Umleitungsprüfung	Um Daten während der Übertragung zu schützen, stellen Sie sicher, dass Ihr Application Load Balancer unverschlüsselte HTTP-Anfragen automatisch an HTTPS umleitet. Um eventuell vorhandene sensible Daten zu schützen, sollten Sie die Verschlüsselung bei der Übertragung aktivieren.
SC.L1-3.13.1	Überwachen, kontrollieren und schützen Sie die Unternehmenskommunikation (d. h. Informationen, die von Informationssystemen der Organisation übertragen oder empfangen werden) an externen und wichtigen internen Grenzen der Informationssysteme.	alb-waf-enabled	Stellen Sie sicher, dass AWS WAF auf Elastic Load Balancers (ELB) aktiviert ist, um Webanwendungen zu schützen. Eine WAF hilft, Ihre Webanwendungen oder APIs vor gängigen Web-Exploits zu schützen. Diese Web-Exploits können sich auf die Verfügbarkeit auswirken, die Sicherheit gefährden oder übermäßige Ressourcen in Ihrer Umgebung verbrauchen.
SC.L1-3.13.1	Überwachen, kontrollieren und schützen Sie die Unternehmenskommunikation (d. h. Informationen, die von Informationssystemen der Organisation übertragen oder empfangen werden) an externen und wichtigen internen Grenzen der Informationssysteme.	api-gw-associated-with-WAF	AWS Mit WAF können Sie eine Reihe von Regeln (als Web Access Control List (Web ACL) bezeichnet) konfigurieren, die Webanfragen auf der Grundlage von anpassbaren Websicherheitsregeln und -bedingungen, die Sie definieren, zulassen, blockieren oder zählen. Stellen Sie sicher, dass Ihre Amazon-API-Gateway-Stufe mit einer WAF-Web-ACL verknüpft ist, um sie vor böswilligen Angriffen zu schützen.
SC.L1-3.13.1	Überwachen, kontrollieren und schützen Sie die Unternehmenskommunikation (d. h. Informationen, die von Informationssystemen der Organisation übertragen oder empfangen werden) an externen und wichtigen internen Grenzen der Informationssysteme.	cloudwatch-alarm-action-check	Amazon CloudWatch alarmiert, wenn eine Metrik den Schwellenwert für eine bestimmte Anzahl von Bewertungszeiträumen überschreitet. Der Alarm führt eine oder mehrere Aktionen durch, die vom Wert der Metrik oder des Ausdrucks im Vergleich zu einem Schwellenwert in einer Reihe von Zeiträumen abhängt. Diese Regel erfordert einen Wert für alarmActionRequired (Config Default: True), insufficientDataAction Required (Config Default: True), okActionRequired (Config Default: False). Der tatsächliche Wert muss die Alarmaktionen für Ihre Umgebung widerspiegeln.
SC.L1-3.13.1	Überwachen, kontrollieren und schützen Sie die Unternehmenskommunikation (d. h. Informationen, die von Informationssystemen der Organisation übertragen oder empfangen werden) an externen und wichtigen internen Grenzen der Informationssysteme.	dms-replication-not-public	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass auf DMS-Replikationsinstanzen nicht öffentlich zugegriffen werden kann. DMS-Replikations-Instances können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
SC.L1-3.13.1	Überwachen, kontrollieren und schützen Sie die Unternehmenskommunikation (d. h. Informationen, die von Informationssystemen der Organisation übertragen oder empfangen werden) an externen und wichtigen internen Grenzen der Informationssysteme.	ebs-snapshot-public-restorable-überprüfen	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass EBS-Snapshots nicht öffentlich wiederherstellbar sind. EBS-Volume-Snapshots können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
SC.L1-3.13.1	Überwachen, kontrollieren und schützen Sie die Unternehmenskommunikation (d. h. Informationen, die von Informationssystemen der Organisation übertragen oder empfangen werden) an externen und wichtigen internen Grenzen der Informationssysteme.	elasticsearch-in-vpc-only	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass sich Amazon OpenSearch OpenSearch Service (Service) -Domains innerhalb einer Amazon Virtual Private Cloud (Amazon VPC) befinden. Eine OpenSearch Service-Domain innerhalb einer Amazon VPC ermöglicht die sichere Kommunikation zwischen OpenSearch Service und anderen Services innerhalb der Amazon VPC, ohne dass ein Internet-Gateway, ein NAT-Gerät oder eine VPN-Verbindung erforderlich ist.
SC.L1-3.13.1	Überwachen, kontrollieren und schützen Sie die Unternehmenskommunikation (d. h. Informationen, die von Informationssystemen der Organisation übertragen oder empfangen werden) an externen und wichtigen internen Grenzen der Informationssysteme.	elasticsearch-node-to-node-Verschlüsselungsprüfung	Stellen Sie sicher, dass die node-to-node Verschlüsselung für Amazon OpenSearch Service aktiviert ist. ode-to-node N-Verschlüsselung aktiviert die TLS 1.2-Verschlüsselung für die gesamte Kommunikation innerhalb der Amazon Virtual Private Cloud (Amazon VPC). Um eventuell vorhandene sensible Daten zu schützen, sollten Sie die Verschlüsselung bei der Übertragung aktivieren.
SC.L1-3.13.1	Überwachen, kontrollieren und schützen Sie die Unternehmenskommunikation (d. h. Informationen, die von Informationssystemen der Organisation übertragen oder empfangen werden) an externen und wichtigen internen Grenzen der Informationssysteme.	elb-acm-certificate-required	Zum Schutz von eventuell vorhandenen sensiblen Daten sowie von Daten während der Übertragung muss die Verschlüsselung für Ihr Elastic Load Balancing aktiviert sein. Verwenden Sie AWS Certificate Manager, um öffentliche und private SSL/TLS-Zertifikate mit AWS Diensten und internen Ressourcen zu verwalten, bereitzustellen und bereitzustellen.
SC.L1-3.13.1	Überwachen, kontrollieren und schützen Sie die Unternehmenskommunikation (d. h. Informationen, die von Informationssystemen der Organisation übertragen oder empfangen werden) an externen und wichtigen internen Grenzen der Informationssysteme.	elb-tls-https-listeners-nur	Stellen Sie sicher, dass Ihre Elastic Load Balancers (ELBs) mit SSL- oder HTTPS-Listenern konfiguriert sind. Um eventuell vorhandene sensible Daten zu schützen, sollten Sie die Verschlüsselung bei der Übertragung aktivieren.
SC.L1-3.13.1	Überwachen, kontrollieren und schützen Sie die Unternehmenskommunikation (d. h. Informationen, die von Informationssystemen der Organisation übertragen oder empfangen werden) an externen und wichtigen internen Grenzen der Informationssysteme.	guardduty-enabled-centralized	Amazon GuardDuty kann mithilfe von Threat Intelligence Feeds helfen, potenzielle Cybersicherheitsereignisse zu überwachen und zu erkennen. Dazu gehören Listen bösartiger IP-Adressen und maschinelles Lernen zur Identifizierung unerwarteter, nicht autorisierter und bösartiger Aktivitäten in Ihrer AWS Cloud-Umgebung.
SC.L1-3.13.1	Überwachen, kontrollieren und schützen Sie die Unternehmenskommunikation (d. h. Informationen, die von Informationssystemen der Organisation übertragen oder empfangen werden) an externen und wichtigen internen Grenzen der Informationssysteme.	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) -Sicherheitsgruppen können bei der Verwaltung des Netzwerkzugriffs helfen, indem sie eine statusabhängige Filterung des ein- und ausgehenden Netzwerkverkehrs zu Ressourcen bereitstellen. AWS Wenn Sie eingehenden (oder entfernten) Datenverkehr von 0.0.0.0/0 bis Port 22 auf Ihren Ressourcen nicht zulassen, können Sie den Remote-Zugriff einschränken.
SC.L1-3.13.1	Überwachen, kontrollieren und schützen Sie die Unternehmenskommunikation (d. h. Informationen, die von Informationssystemen der Organisation übertragen oder empfangen werden) an externen und wichtigen internen Grenzen der Informationssysteme.	ec-2 instances-in-vpc	Stellen Sie Amazon Elastic Compute Cloud (Amazon EC2-)Instances innerhalb einer Amazon Virtual Private Cloud (Amazon VPC) bereit, um eine sichere Kommunikation zwischen einer Instance und anderen Services innerhalb der Amazon-VPC zu ermöglichen, ohne dass ein Internet-Gateway, ein NAT-Gerät oder eine VPN-Verbindung erforderlich ist. Der gesamte Verkehr bleibt sicher in der AWS Cloud. Domains, die sich innerhalb einer VPC befinden, verfügen aufgrund ihrer logischen Isolierung im Vergleich zu Domains mit öffentlichen Endpunkten über eine zusätzliche Sicherheitsebene. Weisen Sie Amazon-EC2-Instances einer Amazon VPC zu, um den Zugriff ordnungsgemäß zu verwalten.
SC.L1-3.13.1	Überwachen, kontrollieren und schützen Sie die Unternehmenskommunikation (d. h. Informationen, die von Informationssystemen der Organisation übertragen oder empfangen werden) an externen und wichtigen internen Grenzen der Informationssysteme.	internet-gateway-authorized-vpc-nur	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Internet-Gateways nur mit autorisierter Amazon Virtual Private Cloud (Amazon VPC) verbunden sind. Internet-Gateways ermöglichen den bidirektionalen Internetzugang zur und von der Amazon VPC, was möglicherweise zu einem unbefugten Zugriff auf Amazon-VPC-Ressourcen führen kann.
SC.L1-3.13.1	Überwachen, kontrollieren und schützen Sie die Unternehmenskommunikation (d. h. Informationen, die von Informationssystemen der Organisation übertragen oder empfangen werden) an externen und wichtigen internen Grenzen der Informationssysteme.	lambda-function-public-access-verboten	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass AWS Lambda-Funktionen nicht öffentlich zugänglich sind. Der öffentliche Zugriff kann möglicherweise die Verfügbarkeit von Ressourcen beeinträchtigen.
SC.L1-3.13.1	Überwachen, kontrollieren und schützen Sie die Unternehmenskommunikation (d. h. Informationen, die von Informationssystemen der Organisation übertragen oder empfangen werden) an externen und wichtigen internen Grenzen der Informationssysteme.	lambda-inside-vpc	Stellen Sie AWS Lambda-Funktionen in einer Amazon Virtual Private Cloud (Amazon VPC) bereit, um eine sichere Kommunikation zwischen einer Funktion und anderen Diensten innerhalb der Amazon VPC zu gewährleisten. Bei dieser Konfiguration sind kein Internet-Gateway, kein NAT-Gerät und keine VPN-Verbindung erforderlich. Der gesamte Datenverkehr bleibt sicher in der Cloud. AWS Domains, die sich innerhalb einer VPC befinden, verfügen aufgrund ihrer logischen Isolierung im Vergleich zu Domains mit öffentlichen Endpunkten über eine zusätzliche Sicherheitsebene. Um den Zugriff ordnungsgemäß zu verwalten, sollten AWS Lambda-Funktionen einer VPC zugewiesen werden.
SC.L1-3.13.1	Überwachen, kontrollieren und schützen Sie die Unternehmenskommunikation (d. h. Informationen, die von Informationssystemen der Organisation übertragen oder empfangen werden) an externen und wichtigen internen Grenzen der Informationssysteme.	no-unrestricted-route-to-igw	Stellen Sie sicher, dass Amazon-EC2-Routing-Tabellen keine uneingeschränkten Routen zu einem Internet-Gateway enthalten. Das Entfernen oder Beschränken des Internetzugangs für Workloads innerhalb von Amazon VPCs kann unbeabsichtigte Zugriffe in Ihrer Umgebung reduzieren.
SC.L1-3.13.1	Überwachen, kontrollieren und schützen Sie die Unternehmenskommunikation (d. h. Informationen, die von Informationssystemen der Organisation übertragen oder empfangen werden) an externen und wichtigen internen Grenzen der Informationssysteme.	rds-instance-public-access-überprüfen	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Relational Database Service (Amazon RDS) -Instances nicht öffentlich sind. Amazon-RDS-Datenbank-Instances können vertrauliche Informationen enthalten und für solche Konten sind Prinzipien und Zugriffskontrollen erforderlich.
SC.L1-3.13.1	Überwachen, kontrollieren und schützen Sie die Unternehmenskommunikation (d. h. Informationen, die von Informationssystemen der Organisation übertragen oder empfangen werden) an externen und wichtigen internen Grenzen der Informationssysteme.	rds-snapshots-public-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Relational Database Service (Amazon RDS) -Instances nicht öffentlich sind. Amazon-RDS-Datenbank-Instances können vertrauliche Informationen enthalten und für solche Konten sind Prinzipien und Zugriffskontrollen erforderlich.
SC.L1-3.13.1	Überwachen, kontrollieren und schützen Sie die Unternehmenskommunikation (d. h. Informationen, die von Informationssystemen der Organisation übertragen oder empfangen werden) an externen und wichtigen internen Grenzen der Informationssysteme.	redshift-cluster-public-access-überprüfen	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Redshift Redshift-Cluster nicht öffentlich sind. Amazon-Redshift-Cluster können vertrauliche Informationen enthalten und für solche Konten sind Prinzipien und Zugriffskontrollen erforderlich.
SC.L1-3.13.1	Überwachen, kontrollieren und schützen Sie die Unternehmenskommunikation (d. h. Informationen, die von Informationssystemen der Organisation übertragen oder empfangen werden) an externen und wichtigen internen Grenzen der Informationssysteme.	redshift-require-tls-ssl	Stellen Sie sicher, dass Ihre Amazon-Redshift-Cluster eine TLS/SSL-Verschlüsselung erfordern, um eine Verbindung zu SQL-Clients herzustellen. Um eventuell vorhandene sensible Daten zu schützen, sollten Sie die Verschlüsselung bei der Übertragung aktivieren.
SC.L1-3.13.1	Überwachen, kontrollieren und schützen Sie die Unternehmenskommunikation (d. h. Informationen, die von Informationssystemen der Organisation übertragen oder empfangen werden) an externen und wichtigen internen Grenzen der Informationssysteme.	restricted-common-ports	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass gemeinsame Ports für Amazon Elastic Compute Cloud (Amazon EC2) -Sicherheitsgruppen eingeschränkt sind. Wenn der Zugriff auf Ports nicht auf vertrauenswürdige Quellen beschränkt wird, kann dies zu Angriffen auf die Verfügbarkeit, Integrität und Vertraulichkeit von Systemen führen. Mit dieser Regel können Sie optional die Parameter blockedPort1–blockedPort5 festlegen (Standardkonfigurationen: 20, 21, 3389, 3306, 4333). Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
SC.L1-3.13.1	Überwachen, kontrollieren und schützen Sie die Unternehmenskommunikation (d. h. Informationen, die von Informationssystemen der Organisation übertragen oder empfangen werden) an externen und wichtigen internen Grenzen der Informationssysteme.	s3- -Block-periodisch account-level-public-access	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Simple Storage Service (Amazon S3) -Buckets nicht öffentlich zugänglich sind. Diese Regel trägt dazu bei, sensible Daten vor unbefugten Remote-Benutzern zu schützen, indem sie den öffentlichen Zugriff verhindert. Mit dieser Regel können Sie optional die Parameter ignorePublicAcls (Config Default: True), blockPublicPolicy (Config Default: True), blockPublicAcls (Config Default: True) und restrictPublicBuckets Parameter (Config Default: True) festlegen. Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
SC.L1-3.13.1	Überwachen, kontrollieren und schützen Sie die Unternehmenskommunikation (d. h. Informationen, die von Informationssystemen der Organisation übertragen oder empfangen werden) an externen und wichtigen internen Grenzen der Informationssysteme.	s3 bucket-level-public-access - verboten	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Simple Storage Service (Amazon S3) -Buckets nicht öffentlich zugänglich sind. Diese Regel trägt dazu bei, sensible Daten vor unbefugten Remote-Benutzern zu schützen, indem sie den öffentlichen Zugriff auf Bucket-Ebene verhindert.
SC.L1-3.13.1	Überwachen, kontrollieren und schützen Sie die Unternehmenskommunikation (d. h. Informationen, die von Informationssystemen der Organisation übertragen oder empfangen werden) an externen und wichtigen internen Grenzen der Informationssysteme.	s-3 bucket-public-read-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie nur autorisierten Benutzern, Prozessen und Geräten Zugriff auf Amazon Simple Storage Service (Amazon S3) -Buckets gewähren. Die Verwaltung des Zugriffs sollte mit der Klassifizierung der Daten übereinstimmen.
SC.L1-3.13.1	Überwachen, kontrollieren und schützen Sie die Unternehmenskommunikation (d. h. Informationen, die von Informationssystemen der Organisation übertragen oder empfangen werden) an externen und wichtigen internen Grenzen der Informationssysteme.	s3- bucket-public-write-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie nur autorisierten Benutzern, Prozessen und Geräten Zugriff auf Amazon Simple Storage Service (Amazon S3) -Buckets gewähren. Die Verwaltung des Zugriffs sollte mit der Klassifizierung der Daten übereinstimmen.
SC.L1-3.13.1	Überwachen, kontrollieren und schützen Sie die Unternehmenskommunikation (d. h. Informationen, die von Informationssystemen der Organisation übertragen oder empfangen werden) an externen und wichtigen internen Grenzen der Informationssysteme.	s3- bucket-ssl-requests-only	Um Daten während der Übertragung zu schützen, stellen Sie sicher, dass Ihre Amazon Simple Storage Service (Amazon S3)-Buckets Anfragen zur Verwendung von Secure Socket Layer (SSL)-Buckets erfordern. Um eventuell vorhandene sensible Daten zu schützen, sollten Sie die Verschlüsselung bei der Übertragung aktivieren.
SC.L1-3.13.1	Überwachen, kontrollieren und schützen Sie die Unternehmenskommunikation (d. h. Informationen, die von Informationssystemen der Organisation übertragen oder empfangen werden) an externen und wichtigen internen Grenzen der Informationssysteme.	sagemaker-notebook-no-direct-Internetzugang	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass SageMaker Amazon-Notebooks keinen direkten Internetzugang zulassen. Indem Sie direkten Internetzugang blockieren, vermeiden Sie, dass unbefugte Benutzer auf sensible Daten zugreifen.
SC.L1-3.13.1	Überwachen, kontrollieren und schützen Sie die Unternehmenskommunikation (d. h. Informationen, die von Informationssystemen der Organisation übertragen oder empfangen werden) an externen und wichtigen internen Grenzen der Informationssysteme.	securityhub-enabled	AWS Security Hub hilft bei der Überwachung von unbefugtem Personal, Verbindungen, Geräten und Software. AWS Security Hub aggregiert, organisiert und priorisiert die Sicherheitswarnungen oder Ergebnisse mehrerer Dienste. AWS Einige dieser Dienste sind Amazon Security Hub, Amazon Inspector, Amazon Macie, AWS Identity and Access Management (IAM) Access Analyzer und AWS Firewall Manager sowie AWS Partnerlösungen.
SC.L1-3.13.1	Überwachen, kontrollieren und schützen Sie die Unternehmenskommunikation (d. h. Informationen, die von Informationssystemen der Organisation übertragen oder empfangen werden) an externen und wichtigen internen Grenzen der Informationssysteme.	ssm-document-not-public	Stellen Sie sicher, dass AWS Systems Manager (SSM) -Dokumente nicht öffentlich sind, da dies einen unbeabsichtigten Zugriff auf Ihre SSM-Dokumente ermöglichen kann. Ein öffentliches SSM-Dokument kann Informationen über Ihr Konto, Ihre Ressourcen und internen Prozesse preisgeben.
SC.L1-3.13.1	Überwachen, kontrollieren und schützen Sie die Unternehmenskommunikation (d. h. Informationen, die von Informationssystemen der Organisation übertragen oder empfangen werden) an externen und wichtigen internen Grenzen der Informationssysteme.	vpc-default-security-group-geschlossen	Sicherheitsgruppen von Amazon Elastic Compute Cloud (Amazon EC2) können bei der Verwaltung des Netzwerkzugriffs helfen, indem sie eine statusbehaftete Filterung des ein- und ausgehenden Netzwerkverkehrs zu Ressourcen bereitstellen. AWS Die Beschränkung des gesamten Datenverkehrs in der Standardsicherheitsgruppe hilft dabei, den Fernzugriff auf Ihre Ressourcen einzuschränken. AWS
SC.L1-3.13.1	Überwachen, kontrollieren und schützen Sie die Unternehmenskommunikation (d. h. Informationen, die von Informationssystemen der Organisation übertragen oder empfangen werden) an externen und wichtigen internen Grenzen der Informationssysteme.	vpc-sg-open-only-to-authorized-ports	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass gemeinsame Ports für Amazon Elastic Compute Cloud (Amazon EC2) -Sicherheitsgruppen eingeschränkt sind. Wenn der Zugriff auf Ports nicht auf vertrauenswürdige Quellen beschränkt wird, kann dies zu Angriffen auf die Verfügbarkeit, Integrität und Vertraulichkeit von Systemen führen. Durch die Beschränkung des Zugriffs auf Ressourcen innerhalb einer Sicherheitsgruppe aus dem Internet (0.0.0.0/0) kann der Remote-Zugriff auf interne Systeme gesteuert werden.
SC.L1-3.13.1	Überwachen, kontrollieren und schützen Sie die Unternehmenskommunikation (d. h. Informationen, die von Informationssystemen der Organisation übertragen oder empfangen werden) an externen und wichtigen internen Grenzen der Informationssysteme.	opensearch-in-vpc-only	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass sich Amazon OpenSearch Service-Domains innerhalb einer Amazon Virtual Private Cloud (Amazon VPC) befinden. Eine Amazon OpenSearch Service-Domain innerhalb einer Amazon VPC ermöglicht die sichere Kommunikation zwischen Amazon OpenSearch Service und anderen Services innerhalb der Amazon VPC, ohne dass ein Internet-Gateway, ein NAT-Gerät oder eine VPN-Verbindung erforderlich ist.
SC.L1-3.13.1	Überwachen, kontrollieren und schützen Sie die Unternehmenskommunikation (d. h. Informationen, die von Informationssystemen der Organisation übertragen oder empfangen werden) an externen und wichtigen internen Grenzen der Informationssysteme.	opensearch-node-to-node-Verschlüsselungsprüfung	Stellen Sie sicher, dass die node-to-node Verschlüsselung für Amazon OpenSearch Service aktiviert ist. ode-to-node N-Verschlüsselung aktiviert die TLS 1.2-Verschlüsselung für die gesamte Kommunikation innerhalb der Amazon Virtual Private Cloud (Amazon VPC). Um eventuell vorhandene sensible Daten zu schützen, sollten Sie die Verschlüsselung bei der Übertragung aktivieren.
SC.L2-3.13.2	Verwenden Sie Architekturdesigns, Softwareentwicklungstechniken und Prinzipien der Systemtechnik, die eine effektive Informationssicherheit innerhalb von Organisationssystemen fördern.	account-part-of-organizations	Durch die zentrale Verwaltung AWS-Konten innerhalb von AWS Organizations wird sichergestellt, dass die Konten den Vorschriften entsprechen. Eine fehlende zentrale Kontoverwaltung kann zu inkonsistenten Kontokonfigurationen führen, wodurch Ressourcen und sensible Daten offengelegt werden können.
SC.L2-3.13.2	Verwenden Sie Architekturdesigns, Softwareentwicklungstechniken und Prinzipien der Systemtechnik, die eine effektive Informationssicherheit innerhalb von Organisationssystemen fördern.	alb-waf-enabled	Stellen Sie sicher, dass AWS WAF auf Elastic Load Balancers (ELB) aktiviert ist, um Webanwendungen zu schützen. Eine WAF hilft, Ihre Webanwendungen oder APIs vor gängigen Web-Exploits zu schützen. Diese Web-Exploits können sich auf die Verfügbarkeit auswirken, die Sicherheit gefährden oder übermäßige Ressourcen in Ihrer Umgebung verbrauchen.
SC.L2-3.13.2	Verwenden Sie Architekturdesigns, Softwareentwicklungstechniken und Prinzipien der Systemtechnik, die eine effektive Informationssicherheit innerhalb von Organisationssystemen fördern.	api-gw-associated-with-WAF	AWS Mit WAF können Sie eine Reihe von Regeln (als Web Access Control List (Web ACL) bezeichnet) konfigurieren, die Webanfragen auf der Grundlage von anpassbaren Websicherheitsregeln und -bedingungen, die Sie definieren, zulassen, blockieren oder zählen. Stellen Sie sicher, dass Ihre Amazon-API-Gateway-Stufe mit einer WAF-Web-ACL verknüpft ist, um sie vor böswilligen Angriffen zu schützen.
SC.L2-3.13.2	Verwenden Sie Architekturdesigns, Softwareentwicklungstechniken und Prinzipien der Systemtechnik, die eine effektive Informationssicherheit innerhalb von Organisationssystemen fördern.	autoscaling-launch-config-public-ip-deaktiviert	Wenn Sie Ihre Netzwerkschnittstellen mit einer öffentlichen IP-Adresse konfigurieren, sind die diesen Netzwerkschnittstellen zugehörigen Ressourcen vom Internet aus erreichbar. EC2-Ressourcen sollten nicht öffentlich zugänglich sein, da dies einen unbeabsichtigten Zugriff auf Ihre Anwendungen oder Server ermöglichen kann.
SC.L2-3.13.2	Verwenden Sie Architekturdesigns, Softwareentwicklungstechniken und Prinzipien der Systemtechnik, die eine effektive Informationssicherheit innerhalb von Organisationssystemen fördern.	backup-plan-min-frequency-and-min-retention-check	Um Sie bei Datensicherungsprozessen zu unterstützen, stellen Sie sicher, dass Ihr AWS Backup-Plan auf eine Mindestfrequenz und Aufbewahrung festgelegt ist. AWS Backup ist ein vollständig verwalteter Backup-Service mit einer richtlinienbasierten Backup-Lösung. Diese Lösung vereinfacht Ihr Sicherungsmanagement und erleichtert Ihnen die Erfüllung von geschäftlichen und behördlichen Compliance-Anforderungen hinsichtlich Datensicherungen. Mit dieser Regel können Sie die Parameter requiredFrequencyValue (Config default: 1), requiredRetentionDays (Config default: 35) und requiredFrequencyUnit (Config default: days) festlegen. Der tatsächliche Wert muss den Anforderungen Ihrer Organisation entsprechen.
SC.L2-3.13.2	Verwenden Sie Architekturdesigns, Softwareentwicklungstechniken und Prinzipien der Systemtechnik, die eine effektive Informationssicherheit innerhalb von Organisationssystemen fördern.	cloudtrail-security-trail-enabled	Diese Regel trägt dazu bei, die Verwendung der AWS empfohlenen bewährten Sicherheitsmethoden für sicherzustellen AWS CloudTrail, indem geprüft wird, ob mehrere Einstellungen aktiviert sind. Dazu gehören die Verwendung von Protokollverschlüsselung, Protokollvalidierung und Aktivierung AWS CloudTrail in mehreren Regionen.
SC.L2-3.13.2	Verwenden Sie Architekturdesigns, Softwareentwicklungstechniken und Prinzipien der Systemtechnik, die eine effektive Informationssicherheit innerhalb von Organisationssystemen fördern.	codebuild-project-envvar-awscred-überprüfen	Stellen Sie sicher, dass die Authentifizierungsdaten AWS_ACCESS_KEY_ID und AWS_SECRET_ACCESS_KEY nicht in Codebuild-Projektumgebungen vorhanden sind. AWS Speichern Sie diese Variablen nicht als Klartext. Das Speichern dieser Variablen als Klartext bewirkt eine unbeabsichtigte Offenlegung von Daten sowie unberechtigte Zugriffe.
SC.L2-3.13.2	Verwenden Sie Architekturdesigns, Softwareentwicklungstechniken und Prinzipien der Systemtechnik, die eine effektive Informationssicherheit innerhalb von Organisationssystemen fördern.	codebuild-project-source-repo-URL-Prüfung	Stellen Sie sicher, dass die URL des Quell-Repositorys GitHub oder des Bitbucket-Quell-Repositorys keine persönlichen Zugriffstoken oder Anmeldeinformationen in Codebuild-Projektumgebungen enthält. AWS Verwende OAuth anstelle von persönlichen Zugriffstoken oder Anmeldedaten, um die Autorisierung für den Zugriff auf Bitbucket-Repositorys zu gewähren. GitHub
SC.L2-3.13.2	Verwenden Sie Architekturdesigns, Softwareentwicklungstechniken und Prinzipien der Systemtechnik, die eine effektive Informationssicherheit innerhalb von Organisationssystemen fördern.	db-instance-backup-enabled	Die Sicherungsfunktion von Amazon RDS erstellt Sicherungen Ihrer Datenbanken und Transaktionsprotokolle. Amazon RDS erstellt einen Snapshot für das Speichervolume Ihrer DB-Instance, sodass die gesamte DB-Instance gesichert wird. Sie können im System spezifische Aufbewahrungsfristen festlegen, um Ihre Ausfallsicherheitsanforderungen zu erfüllen.
SC.L2-3.13.2	Verwenden Sie Architekturdesigns, Softwareentwicklungstechniken und Prinzipien der Systemtechnik, die eine effektive Informationssicherheit innerhalb von Organisationssystemen fördern.	dms-replication-not-public	Verwalte den Zugriff auf die AWS Cloud, indem du sicherstellst, dass auf DMS-Replikationsinstanzen nicht öffentlich zugegriffen werden kann. DMS-Replikations-Instances können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
SC.L2-3.13.2	Verwenden Sie Architekturdesigns, Softwareentwicklungstechniken und Prinzipien der Systemtechnik, die eine effektive Informationssicherheit innerhalb von Organisationssystemen fördern.	dynamodb-autoscaling-enabled	Amazon DynamoDB Auto Scaling verwendet den AWS Application Auto Scaling-Service, um die bereitgestellte Durchsatzkapazität so anzupassen, dass sie automatisch auf tatsächliche Verkehrsmuster reagiert. Auf diese Weise kann eine Tabelle oder ein globaler sekundärer Index die bereitgestellte Lese-/Schreibkapazität erhöhen, um plötzliche Erhöhungen des Datenverkehrs ohne Drosselung zu bewältigen.
SC.L2-3.13.2	Verwenden Sie Architekturdesigns, Softwareentwicklungstechniken und Prinzipien der Systemtechnik, die eine effektive Informationssicherheit innerhalb von Organisationssystemen fördern.	dynamodb-in-backup-plan	Um Sie bei Datensicherungsprozessen zu unterstützen, stellen Sie sicher, dass Ihre Amazon DynamoDB-Tabellen Teil eines AWS Backup-Plans sind. AWS Backup ist ein vollständig verwalteter Backup-Service mit einer richtlinienbasierten Backup-Lösung. Diese Lösung vereinfacht Ihr Sicherungsmanagement und erleichtert Ihnen die Erfüllung von geschäftlichen und behördlichen Compliance-Anforderungen hinsichtlich Datensicherungen.
SC.L2-3.13.2	Verwenden Sie Architekturdesigns, Softwareentwicklungstechniken und Prinzipien der Systemtechnik, die eine effektive Informationssicherheit innerhalb von Organisationssystemen fördern.	dynamodb-pitr-enabled	Aktivieren Sie diese Regel, um zu überprüfen, ob die Informationen gesichert wurden. Es verwaltet auch die Backups, indem es sicherstellt, dass die point-in-time Wiederherstellung in Amazon DynamoDB aktiviert ist. Bei der Wiederherstellung werden fortlaufende Backups Ihrer Tabelle für die letzten 35 Tage gespeichert.
SC.L2-3.13.2	Verwenden Sie Architekturdesigns, Softwareentwicklungstechniken und Prinzipien der Systemtechnik, die eine effektive Informationssicherheit innerhalb von Organisationssystemen fördern.	ebs-in-backup-plan	Stellen Sie zur Unterstützung der Datensicherungsprozesse sicher, dass Ihre Amazon Elastic Block Store (Amazon EBS) -Volumes Teil eines AWS Backup-Plans sind. AWS Backup ist ein vollständig verwalteter Backup-Service mit einer richtlinienbasierten Backup-Lösung. Diese Lösung vereinfacht Ihr Sicherungsmanagement und erleichtert Ihnen die Erfüllung von geschäftlichen und behördlichen Compliance-Anforderungen hinsichtlich Datensicherungen.
SC.L2-3.13.2	Verwenden Sie Architekturdesigns, Softwareentwicklungstechniken und Prinzipien der Systemtechnik, die eine effektive Informationssicherheit innerhalb von Organisationssystemen fördern.	ebs-optimized-instance	Eine optimierte Instance im Amazon Elastic Block Store (Amazon EBS) bietet zusätzliche, dedizierte Kapazität für Amazon-EBS-I/O-Vorgänge. Diese Optimierung bietet die beste Leistung für Ihr EBS-Volume, indem Konflikte zwischen Amazon-EBS-I/O und anderem Datenverkehr von Ihrer Instance minimiert werden.
SC.L2-3.13.2	Verwenden Sie Architekturdesigns, Softwareentwicklungstechniken und Prinzipien der Systemtechnik, die eine effektive Informationssicherheit innerhalb von Organisationssystemen fördern.	ebs-snapshot-public-restorable-überprüfen	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass EBS-Snapshots nicht öffentlich wiederherstellbar sind. EBS-Volume-Snapshots können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
SC.L2-3.13.2	Verwenden Sie Architekturdesigns, Softwareentwicklungstechniken und Prinzipien der Systemtechnik, die eine effektive Informationssicherheit innerhalb von Organisationssystemen fördern.	ec-2 instance-no-public-ip	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass Amazon Elastic Compute Cloud (Amazon EC2) -Instances nicht öffentlich zugänglich sind. Amazon-EC2-Instances können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
SC.L2-3.13.2	Verwenden Sie Architekturdesigns, Softwareentwicklungstechniken und Prinzipien der Systemtechnik, die eine effektive Informationssicherheit innerhalb von Organisationssystemen fördern.	efs-in-backup-plan	Um Sie bei Datensicherungsprozessen zu unterstützen, stellen Sie sicher, dass Ihre Amazon Elastic File System (Amazon EFS) -Dateisysteme Teil eines AWS Backup-Plans sind. AWS Backup ist ein vollständig verwalteter Backup-Service mit einer richtlinienbasierten Backup-Lösung. Diese Lösung vereinfacht Ihr Sicherungsmanagement und erleichtert Ihnen die Erfüllung von geschäftlichen und behördlichen Compliance-Anforderungen hinsichtlich Datensicherungen.
SC.L2-3.13.2	Verwenden Sie Architekturdesigns, Softwareentwicklungstechniken und Prinzipien der Systemtechnik, die eine effektive Informationssicherheit innerhalb von Organisationssystemen fördern.	elasticache-redis-cluster-automatic-Backup-Check	Wenn automatische Backups aktiviert sind, ElastiCache erstellt Amazon täglich ein Backup des Clusters. Die Sicherung kann für eine von Ihrer Organisation festgelegte Anzahl von Tagen aufbewahrt werden. Automatische Backups schützen vor Datenverlust. Bei einem Ausfall können Sie einen neuen Cluster erstellen, der Ihre Daten aus dem aktuellen Backup wiederherstellt.
SC.L2-3.13.2	Verwenden Sie Architekturdesigns, Softwareentwicklungstechniken und Prinzipien der Systemtechnik, die eine effektive Informationssicherheit innerhalb von Organisationssystemen fördern.	elasticsearch-in-vpc-only	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass sich Amazon OpenSearch OpenSearch Service (Service) -Domains innerhalb einer Amazon Virtual Private Cloud (Amazon VPC) befinden. Eine OpenSearch Service-Domain innerhalb einer Amazon VPC ermöglicht die sichere Kommunikation zwischen OpenSearch Service und anderen Services innerhalb der Amazon VPC, ohne dass ein Internet-Gateway, ein NAT-Gerät oder eine VPN-Verbindung erforderlich ist.
SC.L2-3.13.2	Verwenden Sie Architekturdesigns, Softwareentwicklungstechniken und Prinzipien der Systemtechnik, die eine effektive Informationssicherheit innerhalb von Organisationssystemen fördern.	elb-cross-zone-load-Balancing aktiviert	Ermöglichen Sie zonenübergreifendes Load Balancing für Ihre Elastic Load Balancers (ELBs), um eine angemessene Kapazität und Verfügbarkeit aufrechtzuerhalten. Zonenübergreifendes Load Balancing reduziert die Notwendigkeit, die gleiche Anzahl von Instances in jeder aktivierten Availability Zone aufrechtzuerhalten. Es verbessert auch die Fähigkeit Ihrer Anwendung, den Verlust einer oder mehrerer Instances zu bewältigen.
SC.L2-3.13.2	Verwenden Sie Architekturdesigns, Softwareentwicklungstechniken und Prinzipien der Systemtechnik, die eine effektive Informationssicherheit innerhalb von Organisationssystemen fördern.	elb-deletion-protection-enabled	Diese Regel sorgt dafür, dass der Löschschutz für Elastic Load Balancing aktiviert ist. Verwenden Sie diese Funktion, um zu verhindern, dass Ihr Load Balancer versehentlich oder böswillig gelöscht wird, was zum Verlust der Verfügbarkeit Ihrer Anwendungen führen kann.
SC.L2-3.13.2	Verwenden Sie Architekturdesigns, Softwareentwicklungstechniken und Prinzipien der Systemtechnik, die eine effektive Informationssicherheit innerhalb von Organisationssystemen fördern.	emr-master-no-public-ip	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass Amazon EMR-Cluster-Masterknoten nicht öffentlich zugänglich sind. Amazon-EMR-Cluster-Hauptknoten können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
SC.L2-3.13.2	Verwenden Sie Architekturdesigns, Softwareentwicklungstechniken und Prinzipien der Systemtechnik, die eine effektive Informationssicherheit innerhalb von Organisationssystemen fördern.	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) -Sicherheitsgruppen können bei der Verwaltung des Netzwerkzugriffs helfen, indem sie eine statusabhängige Filterung des ein- und ausgehenden Netzwerkverkehrs zu Ressourcen bereitstellen. AWS Wenn Sie eingehenden (oder entfernten) Datenverkehr von 0.0.0.0/0 bis Port 22 auf Ihren Ressourcen nicht zulassen, können Sie den Remote-Zugriff einschränken.
SC.L2-3.13.2	Verwenden Sie Architekturdesigns, Softwareentwicklungstechniken und Prinzipien der Systemtechnik, die eine effektive Informationssicherheit innerhalb von Organisationssystemen fördern.	ec-2 instances-in-vpc	Stellen Sie Amazon Elastic Compute Cloud (Amazon EC2-)Instances innerhalb einer Amazon Virtual Private Cloud (Amazon VPC) bereit, um eine sichere Kommunikation zwischen einer Instance und anderen Services innerhalb der Amazon-VPC zu ermöglichen, ohne dass ein Internet-Gateway, ein NAT-Gerät oder eine VPN-Verbindung erforderlich ist. Der gesamte Verkehr bleibt sicher in der AWS Cloud. Domains, die sich innerhalb einer VPC befinden, verfügen aufgrund ihrer logischen Isolierung im Vergleich zu Domains mit öffentlichen Endpunkten über eine zusätzliche Sicherheitsebene. Weisen Sie Amazon-EC2-Instances einer Amazon VPC zu, um den Zugriff ordnungsgemäß zu verwalten.
SC.L2-3.13.2	Verwenden Sie Architekturdesigns, Softwareentwicklungstechniken und Prinzipien der Systemtechnik, die eine effektive Informationssicherheit innerhalb von Organisationssystemen fördern.	internet-gateway-authorized-vpc-nur	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Internet-Gateways nur mit autorisierter Amazon Virtual Private Cloud (Amazon VPC) verbunden sind. Internet-Gateways ermöglichen den bidirektionalen Internetzugang zur und von der Amazon VPC, was möglicherweise zu einem unbefugten Zugriff auf Amazon-VPC-Ressourcen führen kann.
SC.L2-3.13.2	Verwenden Sie Architekturdesigns, Softwareentwicklungstechniken und Prinzipien der Systemtechnik, die eine effektive Informationssicherheit innerhalb von Organisationssystemen fördern.	lambda-function-public-access-verboten	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass AWS Lambda-Funktionen nicht öffentlich zugänglich sind. Der öffentliche Zugriff kann möglicherweise die Verfügbarkeit von Ressourcen beeinträchtigen.
SC.L2-3.13.2	Verwenden Sie Architekturdesigns, Softwareentwicklungstechniken und Prinzipien der Systemtechnik, die eine effektive Informationssicherheit innerhalb von Organisationssystemen fördern.	lambda-inside-vpc	Stellen Sie AWS Lambda-Funktionen in einer Amazon Virtual Private Cloud (Amazon VPC) bereit, um eine sichere Kommunikation zwischen einer Funktion und anderen Diensten innerhalb der Amazon VPC zu gewährleisten. Bei dieser Konfiguration sind kein Internet-Gateway, kein NAT-Gerät und keine VPN-Verbindung erforderlich. Der gesamte Datenverkehr bleibt sicher in der Cloud. AWS Domains, die sich innerhalb einer VPC befinden, verfügen aufgrund ihrer logischen Isolierung im Vergleich zu Domains mit öffentlichen Endpunkten über eine zusätzliche Sicherheitsebene. Um den Zugriff ordnungsgemäß zu verwalten, sollten AWS Lambda-Funktionen einer VPC zugewiesen werden.
SC.L2-3.13.2	Verwenden Sie Architekturdesigns, Softwareentwicklungstechniken und Prinzipien der Systemtechnik, die eine effektive Informationssicherheit innerhalb von Organisationssystemen fördern.	no-unrestricted-route-to-igw	Stellen Sie sicher, dass Amazon-EC2-Routing-Tabellen keine uneingeschränkten Routen zu einem Internet-Gateway enthalten. Das Entfernen oder Beschränken des Internetzugangs für Workloads innerhalb von Amazon VPCs kann unbeabsichtigte Zugriffe in Ihrer Umgebung reduzieren.
SC.L2-3.13.2	Verwenden Sie Architekturdesigns, Softwareentwicklungstechniken und Prinzipien der Systemtechnik, die eine effektive Informationssicherheit innerhalb von Organisationssystemen fördern.	rds-instance-deletion-protection-aktiviert	Stellen Sie sicher, dass Amazon Relational Database Service (Amazon RDS)-Instances den Löschschutz aktiviert haben. Verwenden Sie den Löschschutz, um zu verhindern, dass Ihre Amazon-RDS-Instances versehentlich oder böswillig gelöscht werden, was zum Verlust der Verfügbarkeit Ihrer Anwendungen führen kann.
SC.L2-3.13.2	Verwenden Sie Architekturdesigns, Softwareentwicklungstechniken und Prinzipien der Systemtechnik, die eine effektive Informationssicherheit innerhalb von Organisationssystemen fördern.	rds-instance-public-access-überprüfen	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Relational Database Service (Amazon RDS) -Instances nicht öffentlich sind. Amazon-RDS-Datenbank-Instances können vertrauliche Informationen enthalten und für solche Konten sind Prinzipien und Zugriffskontrollen erforderlich.
SC.L2-3.13.2	Verwenden Sie Architekturdesigns, Softwareentwicklungstechniken und Prinzipien der Systemtechnik, die eine effektive Informationssicherheit innerhalb von Organisationssystemen fördern.	rds-in-backup-plan	Um Sie bei Datensicherungsprozessen zu unterstützen, stellen Sie sicher, dass Ihre Amazon Relational Database Service (Amazon RDS) -Instances Teil eines AWS Backup-Plans sind. AWS Backup ist ein vollständig verwalteter Backup-Service mit einer richtlinienbasierten Backup-Lösung. Diese Lösung vereinfacht Ihr Sicherungsmanagement und erleichtert Ihnen die Erfüllung von geschäftlichen und behördlichen Compliance-Anforderungen hinsichtlich Datensicherungen.
SC.L2-3.13.2	Verwenden Sie Architekturdesigns, Softwareentwicklungstechniken und Prinzipien der Systemtechnik, die eine effektive Informationssicherheit innerhalb von Organisationssystemen fördern.	rds-multi-az-support	Die Multi-AZ-Unterstützung in Amazon Relational Database Service (Amazon RDS) bietet eine verbesserte Verfügbarkeit und Beständigkeit von Datenbank-Instances. Wenn Sie eine Multi-AZ-Datenbank-Instance bereitstellen, erstellt Amazon RDS automatisch eine primäre Datenbank-Instance und repliziert die Daten synchron auf eine Standby-Instance in einer anderen Availability Zone. Jede Availability Zone läuft auf einer eigenen, physisch getrennten, unabhängigen Infrastruktur und ist auf eine hohe Verfügbarkeit ausgelegt. Im Falle eines Infrastrukturausfalls führt Amazon RDS einen automatischen Failover zum Standby-Modus durch, sodass Sie den Datenbankbetrieb wieder aufnehmen können, sobald der Failover abgeschlossen ist.
SC.L2-3.13.2	Verwenden Sie Architekturdesigns, Softwareentwicklungstechniken und Prinzipien der Systemtechnik, die eine effektive Informationssicherheit innerhalb von Organisationssystemen fördern.	rds-snapshots-public-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Relational Database Service (Amazon RDS) -Instances nicht öffentlich sind. Amazon-RDS-Datenbank-Instances können vertrauliche Informationen enthalten und für solche Konten sind Prinzipien und Zugriffskontrollen erforderlich.
SC.L2-3.13.2	Verwenden Sie Architekturdesigns, Softwareentwicklungstechniken und Prinzipien der Systemtechnik, die eine effektive Informationssicherheit innerhalb von Organisationssystemen fördern.	redshift-backup-enabled	Stellen Sie zur Unterstützung der Datensicherungsprozesse sicher, dass Ihre Amazon-Redshift-Cluster über automatisierte Snapshots verfügen. Wenn automatisierte Snapshots für einen Cluster aktiviert sind, erstellt Redshift in regelmäßigen Abständen Snapshots dieses Clusters. Standardmäßig erstellt Redshift alle acht Stunden oder alle 5 GB einen Snapshot für jeden Knoten mit Datenänderungen oder je nachdem, was zuerst eintritt.
SC.L2-3.13.2	Verwenden Sie Architekturdesigns, Softwareentwicklungstechniken und Prinzipien der Systemtechnik, die eine effektive Informationssicherheit innerhalb von Organisationssystemen fördern.	redshift-cluster-public-access-überprüfen	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Redshift Redshift-Cluster nicht öffentlich sind. Amazon-Redshift-Cluster können vertrauliche Informationen enthalten und für solche Konten sind Prinzipien und Zugriffskontrollen erforderlich.
SC.L2-3.13.2	Verwenden Sie Architekturdesigns, Softwareentwicklungstechniken und Prinzipien der Systemtechnik, die eine effektive Informationssicherheit innerhalb von Organisationssystemen fördern.	restricted-common-ports	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass gemeinsame Ports für Amazon Elastic Compute Cloud (Amazon EC2) -Sicherheitsgruppen eingeschränkt sind. Wenn der Zugriff auf Ports nicht auf vertrauenswürdige Quellen beschränkt wird, kann dies zu Angriffen auf die Verfügbarkeit, Integrität und Vertraulichkeit von Systemen führen. Mit dieser Regel können Sie optional die Parameter blockedPort1–blockedPort5 festlegen (Standardkonfigurationen: 20, 21, 3389, 3306, 4333). Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
SC.L2-3.13.2	Verwenden Sie Architekturdesigns, Softwareentwicklungstechniken und Prinzipien der Systemtechnik, die eine effektive Informationssicherheit innerhalb von Organisationssystemen fördern.	s3- -Block-periodisch account-level-public-access	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Simple Storage Service (Amazon S3) -Buckets nicht öffentlich zugänglich sind. Diese Regel trägt dazu bei, sensible Daten vor unbefugten Remote-Benutzern zu schützen, indem sie den öffentlichen Zugriff verhindert. Mit dieser Regel können Sie optional die Parameter ignorePublicAcls (Config Default: True), blockPublicPolicy (Config Default: True), blockPublicAcls (Config Default: True) und restrictPublicBuckets Parameter (Config Default: True) festlegen. Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
SC.L2-3.13.2	Verwenden Sie Architekturdesigns, Softwareentwicklungstechniken und Prinzipien der Systemtechnik, die eine effektive Informationssicherheit innerhalb von Organisationssystemen fördern.	s3- bucket-default-lock-enabled	Stellen Sie sicher, dass für Ihren Amazon Simple Storage Service (Amazon S3)-Bucket standardmäßig eine Sperre aktiviert ist. Zum Schutz eventuell vorhandener sensibler Daten in S3-Buckets müssen Sie Objektsperren für Daten im Ruhezustand erzwingen.
SC.L2-3.13.2	Verwenden Sie Architekturdesigns, Softwareentwicklungstechniken und Prinzipien der Systemtechnik, die eine effektive Informationssicherheit innerhalb von Organisationssystemen fördern.	s3 bucket-level-public-access - verboten	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Simple Storage Service (Amazon S3) -Buckets nicht öffentlich zugänglich sind. Diese Regel trägt dazu bei, sensible Daten vor unbefugten Remote-Benutzern zu schützen, indem sie den öffentlichen Zugriff auf Bucket-Ebene verhindert.
SC.L2-3.13.2	Verwenden Sie Architekturdesigns, Softwareentwicklungstechniken und Prinzipien der Systemtechnik, die eine effektive Informationssicherheit innerhalb von Organisationssystemen fördern.	s-3 bucket-public-read-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie nur autorisierten Benutzern, Prozessen und Geräten Zugriff auf Amazon Simple Storage Service (Amazon S3) -Buckets gewähren. Die Verwaltung des Zugriffs sollte mit der Klassifizierung der Daten übereinstimmen.
SC.L2-3.13.2	Verwenden Sie Architekturdesigns, Softwareentwicklungstechniken und Prinzipien der Systemtechnik, die eine effektive Informationssicherheit innerhalb von Organisationssystemen fördern.	s3- bucket-public-write-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie nur autorisierten Benutzern, Prozessen und Geräten Zugriff auf Amazon Simple Storage Service (Amazon S3) -Buckets gewähren. Die Verwaltung des Zugriffs sollte mit der Klassifizierung der Daten übereinstimmen.
SC.L2-3.13.2	Verwenden Sie Architekturdesigns, Softwareentwicklungstechniken und Prinzipien der Systemtechnik, die eine effektive Informationssicherheit innerhalb von Organisationssystemen fördern.	s3- bucket-replication-enabled	Amazon Simple Storage Service (Amazon S3) Cross-Region Replication (CRR) unterstützt die Aufrechterhaltung einer angemessenen Kapazität und Verfügbarkeit. CRR ermöglicht das automatische, asynchrone Kopieren von Objekten in Amazon-S3-Buckets, um die Datenverfügbarkeit sicherzustellen.
SC.L2-3.13.2	Verwenden Sie Architekturdesigns, Softwareentwicklungstechniken und Prinzipien der Systemtechnik, die eine effektive Informationssicherheit innerhalb von Organisationssystemen fördern.	s-3 bucket-versioning-enabled	Die Versionsverwaltung von Amazon Simple Storage Service (Amazon S3)-Buckets hilft dabei, mehrere Varianten eines Objekts im selben Amazon-S3-Bucket zu speichern. Verwenden Sie die Versionsverwaltung, um sämtliche Versionen aller Objekte in Ihrem Amazon-S3-Bucket zu speichern, abzurufen oder wiederherzustellen. Mit der Versionsverwaltung können Sie Versionen sowohl nach unbeabsichtigten Benutzeraktionen als auch nach Anwendungsfehlern problemlos wiederherstellen.
SC.L2-3.13.2	Verwenden Sie Architekturdesigns, Softwareentwicklungstechniken und Prinzipien der Systemtechnik, die eine effektive Informationssicherheit innerhalb von Organisationssystemen fördern.	sagemaker-notebook-no-direct-Internetzugang	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass SageMaker Amazon-Notebooks keinen direkten Internetzugang zulassen. Indem Sie direkten Internetzugang blockieren, vermeiden Sie, dass unbefugte Benutzer auf sensible Daten zugreifen.
SC.L2-3.13.2	Verwenden Sie Architekturdesigns, Softwareentwicklungstechniken und Prinzipien der Systemtechnik, die eine effektive Informationssicherheit innerhalb von Organisationssystemen fördern.	ssm-document-not-public	Stellen Sie sicher, dass AWS Systems Manager (SSM) -Dokumente nicht öffentlich sind, da dies einen unbeabsichtigten Zugriff auf Ihre SSM-Dokumente ermöglichen kann. Ein öffentliches SSM-Dokument kann Informationen über Ihr Konto, Ihre Ressourcen und internen Prozesse preisgeben.
SC.L2-3.13.2	Verwenden Sie Architekturdesigns, Softwareentwicklungstechniken und Prinzipien der Systemtechnik, die eine effektive Informationssicherheit innerhalb von Organisationssystemen fördern.	subnet-auto-assign-public-ip-deaktiviert	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass Amazon Virtual Private Cloud (VPC) -Subnetzen nicht automatisch eine öffentliche IP-Adresse zugewiesen wird. Bei Amazon-Elastic-Compute-Cloud (EC2)-Instances, die in Subnetzen gestartet werden, in denen dieses Attribut aktiviert ist, wird der primären Netzwerkschnittstelle eine öffentliche IP-Adresse zugewiesen.
SC.L2-3.13.2	Verwenden Sie Architekturdesigns, Softwareentwicklungstechniken und Prinzipien der Systemtechnik, die eine effektive Informationssicherheit innerhalb von Organisationssystemen fördern.	vpc-default-security-group-geschlossen	Sicherheitsgruppen von Amazon Elastic Compute Cloud (Amazon EC2) können bei der Verwaltung des Netzwerkzugriffs helfen, indem sie eine statusbehaftete Filterung des ein- und ausgehenden Netzwerkverkehrs zu Ressourcen bereitstellen. AWS Die Beschränkung des gesamten Datenverkehrs in der Standardsicherheitsgruppe hilft dabei, den Fernzugriff auf Ihre Ressourcen einzuschränken. AWS
SC.L2-3.13.2	Verwenden Sie Architekturdesigns, Softwareentwicklungstechniken und Prinzipien der Systemtechnik, die eine effektive Informationssicherheit innerhalb von Organisationssystemen fördern.	vpc-sg-open-only-to-authorized-ports	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass gemeinsame Ports für Amazon Elastic Compute Cloud (Amazon EC2) -Sicherheitsgruppen eingeschränkt sind. Wenn der Zugriff auf Ports nicht auf vertrauenswürdige Quellen beschränkt wird, kann dies zu Angriffen auf die Verfügbarkeit, Integrität und Vertraulichkeit von Systemen führen. Durch die Beschränkung des Zugriffs auf Ressourcen innerhalb einer Sicherheitsgruppe aus dem Internet (0.0.0.0/0) kann der Remote-Zugriff auf interne Systeme gesteuert werden.
SC.L2-3.13.2	Verwenden Sie Architekturdesigns, Softwareentwicklungstechniken und Prinzipien der Systemtechnik, die eine effektive Informationssicherheit innerhalb von Organisationssystemen fördern.	vpc-vpn-2-tunnels-up	Redundante Site-to-Site-VPN-Tunnel können implementiert werden, um die Anforderungen an die Ausfallsicherheit zu erfüllen. Dabei werden zwei Tunnel verwendet, um die Konnektivität sicherzustellen, falls eine der Site-to-Site-VPN-Verbindungen nicht verfügbar ist. Mithilfe eines zweiten Kunden-Gateway-Geräts können Sie eine zweite Site-to-Site-VPN-Verbindung mit der Amazon Virtual Private Cloud (Amazon VPC) und dem Virtual Private Gateway aufbauen, um sich vor einem Verlust an Konnektivität zu schützen, wenn Ihr Kunden-Gateway nicht verfügbar ist.
SC.L2-3.13.2	Verwenden Sie Architekturdesigns, Softwareentwicklungstechniken und Prinzipien der Systemtechnik, die eine effektive Informationssicherheit innerhalb von Organisationssystemen fördern.	opensearch-in-vpc-only	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass sich Amazon OpenSearch Service-Domains innerhalb einer Amazon Virtual Private Cloud (Amazon VPC) befinden. Eine Amazon OpenSearch Service-Domain innerhalb einer Amazon VPC ermöglicht die sichere Kommunikation zwischen Amazon OpenSearch Service und anderen Services innerhalb der Amazon VPC, ohne dass ein Internet-Gateway, ein NAT-Gerät oder eine VPN-Verbindung erforderlich ist.
SC.L2-3.13.4	Verhindern Sie die unbefugte und unbeabsichtigte Übertragung von Informationen aus gemeinsam genutzten Systemressourcen.	dms-replication-not-public	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass auf DMS-Replikationsinstanzen nicht öffentlich zugegriffen werden kann. DMS-Replikations-Instances können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
SC.L2-3.13.4	Verhindern Sie die unbefugte und unbeabsichtigte Übertragung von Informationen aus gemeinsam genutzten Systemressourcen.	ebs-snapshot-public-restorable-überprüfen	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass EBS-Snapshots nicht öffentlich wiederherstellbar sind. EBS-Volume-Snapshots können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
SC.L2-3.13.4	Verhindern Sie die unbefugte und unbeabsichtigte Übertragung von Informationen aus gemeinsam genutzten Systemressourcen.	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) -Sicherheitsgruppen können bei der Verwaltung des Netzwerkzugriffs helfen, indem sie eine statusabhängige Filterung des ein- und ausgehenden Netzwerkverkehrs zu Ressourcen bereitstellen. AWS Wenn Sie eingehenden (oder entfernten) Datenverkehr von 0.0.0.0/0 bis Port 22 auf Ihren Ressourcen nicht zulassen, können Sie den Remote-Zugriff einschränken.
SC.L2-3.13.4	Verhindern Sie die unbefugte und unbeabsichtigte Übertragung von Informationen aus gemeinsam genutzten Systemressourcen.	internet-gateway-authorized-vpc-nur	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Internet-Gateways nur mit autorisierter Amazon Virtual Private Cloud (Amazon VPC) verbunden sind. Internet-Gateways ermöglichen den bidirektionalen Internetzugang zur und von der Amazon VPC, was möglicherweise zu einem unbefugten Zugriff auf Amazon-VPC-Ressourcen führen kann.
SC.L2-3.13.4	Verhindern Sie die unbefugte und unbeabsichtigte Übertragung von Informationen aus gemeinsam genutzten Systemressourcen.	lambda-function-public-access-verboten	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass AWS Lambda-Funktionen nicht öffentlich zugänglich sind. Der öffentliche Zugriff kann möglicherweise die Verfügbarkeit von Ressourcen beeinträchtigen.
SC.L2-3.13.4	Verhindern Sie die unbefugte und unbeabsichtigte Übertragung von Informationen aus gemeinsam genutzten Systemressourcen.	no-unrestricted-route-to-igw	Stellen Sie sicher, dass Amazon-EC2-Routing-Tabellen keine uneingeschränkten Routen zu einem Internet-Gateway enthalten. Das Entfernen oder Beschränken des Internetzugangs für Workloads innerhalb von Amazon VPCs kann unbeabsichtigte Zugriffe in Ihrer Umgebung reduzieren.
SC.L2-3.13.4	Verhindern Sie die unbefugte und unbeabsichtigte Übertragung von Informationen aus gemeinsam genutzten Systemressourcen.	rds-instance-public-access-überprüfen	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Relational Database Service (Amazon RDS) -Instances nicht öffentlich sind. Amazon-RDS-Datenbank-Instances können vertrauliche Informationen enthalten und für solche Konten sind Prinzipien und Zugriffskontrollen erforderlich.
SC.L2-3.13.4	Verhindern Sie die unbefugte und unbeabsichtigte Übertragung von Informationen aus gemeinsam genutzten Systemressourcen.	rds-snapshots-public-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Relational Database Service (Amazon RDS) -Instances nicht öffentlich sind. Amazon-RDS-Datenbank-Instances können vertrauliche Informationen enthalten und für solche Konten sind Prinzipien und Zugriffskontrollen erforderlich.
SC.L2-3.13.4	Verhindern Sie die unbefugte und unbeabsichtigte Übertragung von Informationen aus gemeinsam genutzten Systemressourcen.	redshift-cluster-public-access-überprüfen	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Redshift Redshift-Cluster nicht öffentlich sind. Amazon-Redshift-Cluster können vertrauliche Informationen enthalten und für solche Konten sind Prinzipien und Zugriffskontrollen erforderlich.
SC.L2-3.13.4	Verhindern Sie die unbefugte und unbeabsichtigte Übertragung von Informationen aus gemeinsam genutzten Systemressourcen.	restricted-common-ports	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass gemeinsame Ports für Amazon Elastic Compute Cloud (Amazon EC2) -Sicherheitsgruppen eingeschränkt sind. Wenn der Zugriff auf Ports nicht auf vertrauenswürdige Quellen beschränkt wird, kann dies zu Angriffen auf die Verfügbarkeit, Integrität und Vertraulichkeit von Systemen führen. Mit dieser Regel können Sie optional die Parameter blockedPort1–blockedPort5 festlegen (Standardkonfigurationen: 20, 21, 3389, 3306, 4333). Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
SC.L2-3.13.4	Verhindern Sie die unbefugte und unbeabsichtigte Übertragung von Informationen aus gemeinsam genutzten Systemressourcen.	s3- -Block-periodisch account-level-public-access	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Simple Storage Service (Amazon S3) -Buckets nicht öffentlich zugänglich sind. Diese Regel trägt dazu bei, sensible Daten vor unbefugten Remote-Benutzern zu schützen, indem sie den öffentlichen Zugriff verhindert. Mit dieser Regel können Sie optional die Parameter ignorePublicAcls (Config Default: True), blockPublicPolicy (Config Default: True), blockPublicAcls (Config Default: True) und restrictPublicBuckets Parameter (Config Default: True) festlegen. Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
SC.L2-3.13.4	Verhindern Sie die unbefugte und unbeabsichtigte Übertragung von Informationen aus gemeinsam genutzten Systemressourcen.	s3- verboten bucket-level-public-access	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Simple Storage Service (Amazon S3) -Buckets nicht öffentlich zugänglich sind. Diese Regel trägt dazu bei, sensible Daten vor unbefugten Remote-Benutzern zu schützen, indem sie den öffentlichen Zugriff auf Bucket-Ebene verhindert.
SC.L2-3.13.4	Verhindern Sie die unbefugte und unbeabsichtigte Übertragung von Informationen aus gemeinsam genutzten Systemressourcen.	s-3 bucket-public-read-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie nur autorisierten Benutzern, Prozessen und Geräten Zugriff auf Amazon Simple Storage Service (Amazon S3) -Buckets gewähren. Die Verwaltung des Zugriffs sollte mit der Klassifizierung der Daten übereinstimmen.
SC.L2-3.13.4	Verhindern Sie die unbefugte und unbeabsichtigte Übertragung von Informationen aus gemeinsam genutzten Systemressourcen.	s-3 bucket-public-write-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie nur autorisierten Benutzern, Prozessen und Geräten Zugriff auf Amazon Simple Storage Service (Amazon S3) -Buckets gewähren. Die Verwaltung des Zugriffs sollte mit der Klassifizierung der Daten übereinstimmen.
SC.L2-3.13.4	Verhindern Sie die unbefugte und unbeabsichtigte Übertragung von Informationen aus gemeinsam genutzten Systemressourcen.	sagemaker-notebook-no-direct-Internetzugang	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass SageMaker Amazon-Notebooks keinen direkten Internetzugang zulassen. Indem Sie direkten Internetzugang blockieren, vermeiden Sie, dass unbefugte Benutzer auf sensible Daten zugreifen.
SC.L2-3.13.4	Verhindern Sie die unbefugte und unbeabsichtigte Übertragung von Informationen aus gemeinsam genutzten Systemressourcen.	ssm-document-not-public	Stellen Sie sicher, dass AWS Systems Manager (SSM) -Dokumente nicht öffentlich sind, da dies einen unbeabsichtigten Zugriff auf Ihre SSM-Dokumente ermöglichen kann. Ein öffentliches SSM-Dokument kann Informationen über Ihr Konto, Ihre Ressourcen und internen Prozesse preisgeben.
SC.L2-3.13.4	Verhindern Sie die unbefugte und unbeabsichtigte Übertragung von Informationen aus gemeinsam genutzten Systemressourcen.	vpc-default-security-group-geschlossen	Sicherheitsgruppen von Amazon Elastic Compute Cloud (Amazon EC2) können bei der Verwaltung des Netzwerkzugriffs helfen, indem sie eine statusbehaftete Filterung des ein- und ausgehenden Netzwerkverkehrs zu Ressourcen bereitstellen. AWS Die Beschränkung des gesamten Datenverkehrs in der Standardsicherheitsgruppe hilft dabei, den Fernzugriff auf Ihre Ressourcen einzuschränken. AWS
SC.L2-3.13.4	Verhindern Sie die unbefugte und unbeabsichtigte Übertragung von Informationen aus gemeinsam genutzten Systemressourcen.	vpc-sg-open-only-to-authorized-ports	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass gemeinsame Ports für Amazon Elastic Compute Cloud (Amazon EC2) -Sicherheitsgruppen eingeschränkt sind. Wenn der Zugriff auf Ports nicht auf vertrauenswürdige Quellen beschränkt wird, kann dies zu Angriffen auf die Verfügbarkeit, Integrität und Vertraulichkeit von Systemen führen. Durch die Beschränkung des Zugriffs auf Ressourcen innerhalb einer Sicherheitsgruppe aus dem Internet (0.0.0.0/0) kann der Remote-Zugriff auf interne Systeme gesteuert werden.
SC.L2-3.13.8	Implementieren Sie kryptografische Mechanismen, um die unbefugte Offenlegung von CUI während der Übertragung zu verhindern, sofern dies nicht anderweitig durch alternative physische Schutzmaßnahmen vermieden wird.	acm-certificate-expiration-check	Stellen Sie sicher, dass die Netzwerkintegrität geschützt ist, indem Sie sicherstellen, dass X509-Zertifikate von AWS ACM ausgestellt werden. Diese Zertifikate müssen gültig und dürfen nicht abgelaufen sein. Für diese Regel ist ein Wert für erforderlich daysToExpiration (Wert für bewährte AWS Grundregeln für Sicherheit: 90). Der tatsächliche Wert muss den Richtlinien Ihrer Organisation entsprechen.
SC.L2-3.13.8	Implementieren Sie kryptografische Mechanismen, um die unbefugte Offenlegung von CUI während der Übertragung zu verhindern, sofern dies nicht anderweitig durch alternative physische Schutzmaßnahmen vermieden wird.	alb-http-drop-invalid-Header-aktiviert	Stellen Sie sicher, dass Ihre Elastic Load Balancers (ELB) so konfiguriert sind, dass sie HTTP-Header löschen. Um eventuell vorhandene sensible Daten zu schützen, sollten Sie die Verschlüsselung bei der Übertragung aktivieren.
SC.L2-3.13.8	Implementieren Sie kryptografische Mechanismen, um die unbefugte Offenlegung von CUI während der Übertragung zu verhindern, sofern dies nicht anderweitig durch alternative physische Schutzmaßnahmen vermieden wird.	alb-http-to-https-Umleitungsprüfung	Um Daten während der Übertragung zu schützen, stellen Sie sicher, dass Ihr Application Load Balancer unverschlüsselte HTTP-Anfragen automatisch an HTTPS umleitet. Um eventuell vorhandene sensible Daten zu schützen, sollten Sie die Verschlüsselung bei der Übertragung aktivieren.
SC.L2-3.13.8	Implementieren Sie kryptografische Mechanismen, um die unbefugte Offenlegung von CUI während der Übertragung zu verhindern, sofern dies nicht anderweitig durch alternative physische Schutzmaßnahmen vermieden wird.	api-gw-ssl-enabled	Stellen Sie sicher, dass die REST-API-Stufen von Amazon API Gateway mit SSL-Zertifikaten konfiguriert sind, damit Backend-Systeme überprüfen können, ob Anforderungen von API Gateway stammen.
SC.L2-3.13.8	Implementieren Sie kryptografische Mechanismen, um die unbefugte Offenlegung von CUI während der Übertragung zu verhindern, sofern dies nicht anderweitig durch alternative physische Schutzmaßnahmen vermieden wird.	elasticsearch-node-to-node-Verschlüsselungsprüfung	Stellen Sie sicher, dass die node-to-node Verschlüsselung für Amazon OpenSearch Service aktiviert ist. ode-to-node N-Verschlüsselung aktiviert die TLS 1.2-Verschlüsselung für die gesamte Kommunikation innerhalb der Amazon Virtual Private Cloud (Amazon VPC). Um eventuell vorhandene sensible Daten zu schützen, sollten Sie die Verschlüsselung bei der Übertragung aktivieren.
SC.L2-3.13.8	Implementieren Sie kryptografische Mechanismen, um die unbefugte Offenlegung von CUI während der Übertragung zu verhindern, sofern dies nicht anderweitig durch alternative physische Schutzmaßnahmen vermieden wird.	elbv-2 acm-certificate-required	Zum Schutz von eventuell vorhandenen sensiblen Daten sowie von Daten während der Übertragung muss die Verschlüsselung für Ihr Elastic Load Balancing aktiviert sein. Verwenden Sie AWS Certificate Manager, um öffentliche und private SSL/TLS-Zertifikate mit AWS Diensten und internen Ressourcen zu verwalten, bereitzustellen und bereitzustellen.
SC.L2-3.13.8	Implementieren Sie kryptografische Mechanismen, um die unbefugte Offenlegung von CUI während der Übertragung zu verhindern, sofern dies nicht anderweitig durch alternative physische Schutzmaßnahmen vermieden wird.	elb-acm-certificate-required	Zum Schutz von eventuell vorhandenen sensiblen Daten sowie von Daten während der Übertragung muss die Verschlüsselung für Ihr Elastic Load Balancing aktiviert sein. Verwenden Sie AWS Certificate Manager, um öffentliche und private SSL/TLS-Zertifikate mit AWS Diensten und internen Ressourcen zu verwalten, bereitzustellen und bereitzustellen.
SC.L2-3.13.8	Implementieren Sie kryptografische Mechanismen, um die unbefugte Offenlegung von CUI während der Übertragung zu verhindern, sofern dies nicht anderweitig durch alternative physische Schutzmaßnahmen vermieden wird.	elb-tls-https-listeners-nur	Stellen Sie sicher, dass Ihre Elastic Load Balancers (ELBs) mit SSL- oder HTTPS-Listenern konfiguriert sind. Um eventuell vorhandene sensible Daten zu schützen, sollten Sie die Verschlüsselung bei der Übertragung aktivieren.
SC.L2-3.13.8	Implementieren Sie kryptografische Mechanismen, um die unbefugte Offenlegung von CUI während der Übertragung zu verhindern, sofern dies nicht anderweitig durch alternative physische Schutzmaßnahmen vermieden wird.	redshift-require-tls-ssl	Stellen Sie sicher, dass Ihre Amazon-Redshift-Cluster eine TLS/SSL-Verschlüsselung erfordern, um eine Verbindung zu SQL-Clients herzustellen. Um eventuell vorhandene sensible Daten zu schützen, sollten Sie die Verschlüsselung bei der Übertragung aktivieren.
SC.L2-3.13.8	Implementieren Sie kryptografische Mechanismen, um die unbefugte Offenlegung von CUI während der Übertragung zu verhindern, sofern dies nicht anderweitig durch alternative physische Schutzmaßnahmen vermieden wird.	s3- bucket-ssl-requests-only	Um Daten während der Übertragung zu schützen, stellen Sie sicher, dass Ihre Amazon Simple Storage Service (Amazon S3)-Buckets Anfragen zur Verwendung von Secure Socket Layer (SSL)-Buckets erfordern. Um eventuell vorhandene sensible Daten zu schützen, sollten Sie die Verschlüsselung bei der Übertragung aktivieren.
SC.L2-3.13.8	Implementieren Sie kryptografische Mechanismen, um die unbefugte Offenlegung von CUI während der Übertragung zu verhindern, sofern dies nicht anderweitig durch alternative physische Schutzmaßnahmen vermieden wird.	opensearch-node-to-node-Verschlüsselungsprüfung	Stellen Sie sicher, dass die node-to-node Verschlüsselung für Amazon OpenSearch Service aktiviert ist. ode-to-node N-Verschlüsselung aktiviert die TLS 1.2-Verschlüsselung für die gesamte Kommunikation innerhalb der Amazon Virtual Private Cloud (Amazon VPC). Um eventuell vorhandene sensible Daten zu schützen, sollten Sie die Verschlüsselung bei der Übertragung aktivieren.
SC.L2-3.13.10	Etablieren und verwalten Sie kryptografische Schlüssel für die in Organisationssystemen eingesetzte Kryptografie.	cmk-backing-key-rotation-aktiviert	Aktivieren Sie die Schlüsselrotation, um sicherzustellen, dass Schlüssel rotiert werden, nachdem sie das Ende ihrer Krypto-Periode erreicht haben.
SC.L2-3.13.10	Etablieren und verwalten Sie kryptografische Schlüssel für die in Organisationssystemen eingesetzte Kryptografie.	kms-cmk-not-scheduled-zum Löschen	Um Daten im Ruhezustand zu schützen, sollten Sie sicherstellen, dass die erforderlichen Kundenhauptschlüssel (CMKs) nicht im AWS Key Management Service (AWS KMS) gelöscht werden. Da Schlüssel manchmal gelöscht werden müssen, können Sie mit dieser Regel alle zu löschenden Schlüssel überprüfen, falls ein Schlüssel versehentlich zur Löschung vorgemerkt wurde.
SC.L2-3.13.15	Schützen Sie die Authentizität von Kommunikationssitzungen.	alb-http-to-https-Umleitungsprüfung	Um Daten während der Übertragung zu schützen, stellen Sie sicher, dass Ihr Application Load Balancer unverschlüsselte HTTP-Anfragen automatisch an HTTPS umleitet. Um eventuell vorhandene sensible Daten zu schützen, sollten Sie die Verschlüsselung bei der Übertragung aktivieren.
SC.L2-3.13.15	Schützen Sie die Authentizität von Kommunikationssitzungen.	api-gw-ssl-enabled	Stellen Sie sicher, dass die REST-API-Stufen von Amazon API Gateway mit SSL-Zertifikaten konfiguriert sind, damit Backend-Systeme überprüfen können, ob Anforderungen von API Gateway stammen.
SC.L2-3.13.15	Schützen Sie die Authentizität von Kommunikationssitzungen.	elv 2- acm-certificate-required	Zum Schutz von eventuell vorhandenen sensiblen Daten sowie von Daten während der Übertragung muss die Verschlüsselung für Ihr Elastic Load Balancing aktiviert sein. Verwenden Sie AWS Certificate Manager, um öffentliche und private SSL/TLS-Zertifikate mit AWS Diensten und internen Ressourcen zu verwalten, bereitzustellen und bereitzustellen.
SC.L2-3.13.15	Schützen Sie die Authentizität von Kommunikationssitzungen.	elb-acm-certificate-required	Zum Schutz von eventuell vorhandenen sensiblen Daten sowie von Daten während der Übertragung muss die Verschlüsselung für Ihr Elastic Load Balancing aktiviert sein. Verwenden Sie AWS Certificate Manager, um öffentliche und private SSL/TLS-Zertifikate mit AWS Diensten und internen Ressourcen zu verwalten, bereitzustellen und bereitzustellen.
SC.L2-3.13.15	Schützen Sie die Authentizität von Kommunikationssitzungen.	elb-tls-https-listeners-nur	Stellen Sie sicher, dass Ihre Elastic Load Balancers (ELBs) mit SSL- oder HTTPS-Listenern konfiguriert sind. Um eventuell vorhandene sensible Daten zu schützen, sollten Sie die Verschlüsselung bei der Übertragung aktivieren.
SC.L2-3.13.15	Schützen Sie die Authentizität von Kommunikationssitzungen.	redshift-require-tls-ssl	Stellen Sie sicher, dass Ihre Amazon-Redshift-Cluster eine TLS/SSL-Verschlüsselung erfordern, um eine Verbindung zu SQL-Clients herzustellen. Um eventuell vorhandene sensible Daten zu schützen, sollten Sie die Verschlüsselung bei der Übertragung aktivieren.
SC.L2-3.13.16	Schützen Sie die Vertraulichkeit von CUI im Ruhezustand.	api-gw-cache-enabled-und-verschlüsselt	Um Daten im Ruhezustand zu schützen, stellen Sie sicher, dass die Verschlüsselung für den Cache Ihrer API-Gateway-Stufe aktiviert ist. Da für die API-Methode sensible Daten erfasst werden können, sollten Sie die Verschlüsselung von Daten im Ruhezustand aktivieren, um diese Daten zu schützen.
SC.L2-3.13.16	Schützen Sie die Vertraulichkeit von CUI im Ruhezustand.	cloudwatch-log-group-encrypted	Um sensible Daten im Speicher zu schützen, stellen Sie sicher, dass die Verschlüsselung für Ihre Amazon CloudWatch Log Groups aktiviert ist.
SC.L2-3.13.16	Schützen Sie die Vertraulichkeit von CUI im Ruhezustand.	cloud-trail-encryption-enabled	Da sensible Daten vorhanden sein können und um Daten im Speicher zu schützen, sollten Sie sicherstellen, dass die Verschlüsselung für Ihre AWS CloudTrail Trails aktiviert ist.
SC.L2-3.13.16	Schützen Sie die Vertraulichkeit von CUI im Ruhezustand.	ec-2 ebs-encryption-by-default	Zum Schutz von Daten im Ruhezustand müssen Sie sicherstellen, dass die Verschlüsselung für Ihre Amazon Elastic Block Store (Amazon EBS)-Volumes aktiviert ist. Da sensible Daten auch im Ruhezustand vorhanden sein können, sollten Sie die Verschlüsselung im Ruhezustand aktivieren, um diese Daten zu schützen.
SC.L2-3.13.16	Schützen Sie die Vertraulichkeit von CUI im Ruhezustand.	efs-encrypted-check	Aktivieren Sie die Verschlüsselung für Ihr Amazon Elastic File System (EFS), um eventuell vorhandene sensible Daten sowie Daten im Ruhezustand zu schützen.
SC.L2-3.13.16	Schützen Sie die Vertraulichkeit von CUI im Ruhezustand.	elasticsearch-encrypted-at-rest	Da sensible Daten vorhanden sein können und um Daten im Ruhezustand zu schützen, sollten Sie sicherstellen, dass die Verschlüsselung für Ihre Amazon OpenSearch Service (OpenSearch Service) -Domains aktiviert ist.
SC.L2-3.13.16	Schützen Sie die Vertraulichkeit von CUI im Ruhezustand.	encrypted-volumes	Aktivieren Sie die Verschlüsselung für Ihre Amazon-Elastic-Block-Store (Amazon-EBS)-Volumes, um eventuell vorhandene sensible Daten sowie Daten im Ruhezustand zu schützen.
SC.L2-3.13.16	Schützen Sie die Vertraulichkeit von CUI im Ruhezustand.	rds-snapshot-encrypted	Stellen Sie sicher, dass die Verschlüsselung für Ihre Amazon Relational Database Service (Amazon RDS)-Snapshots aktiviert ist. Da sensible Daten auch im Ruhezustand vorhanden sein können, sollten Sie die Verschlüsselung im Ruhezustand aktivieren, um diese Daten zu schützen.
SC.L2-3.13.16	Schützen Sie die Vertraulichkeit von CUI im Ruhezustand.	rds-storage-encrypted	Zum Schutz von Daten im Ruhezustand müssen Sie sicherstellen, dass die Verschlüsselung für Ihre Amazon Relational Database Service (Amazon RDS)-Instances aktiviert ist. Um eventuell vorhandene sensible Daten im Ruhezustand in Amazon-RDS-Instances zu schützen, muss die Verschlüsselung von Daten im Ruhezustand aktiviert sein.
SC.L2-3.13.16	Schützen Sie die Vertraulichkeit von CUI im Ruhezustand.	redshift-cluster-kms-enabled	Um Daten im Ruhezustand zu schützen, stellen Sie sicher, dass die Verschlüsselung mit AWS Key Management Service (AWS KMS) für Ihren Amazon Redshift Redshift-Cluster aktiviert ist. Um eventuell vorhandene sensible Daten im Ruhezustand in Redshift-Clustern zu schützen, muss die Verschlüsselung von Daten im Ruhezustand aktiviert sein.
SC.L2-3.13.16	Schützen Sie die Vertraulichkeit von CUI im Ruhezustand.	s3- aktiviert bucket-server-side-encryption	Zum Schutz von Daten im Ruhezustand müssen Sie sicherstellen, dass die Verschlüsselung für Ihre Amazon Simple Storage Service (Amazon S3)-Buckets aktiviert ist. Um eventuell vorhandene sensible Daten im Ruhezustand in Amazon-S3-Buckets zu schützen, muss die Verschlüsselung aktiviert sein.
SC.L2-3.13.16	Schützen Sie die Vertraulichkeit von CUI im Ruhezustand.	s-3 default-encryption-kms	Stellen Sie sicher, dass die Verschlüsselung für Ihre Amazon Simple Storage Service (Amazon S3)-Buckets aktiviert ist. Um eventuell vorhandene sensible Daten im Ruhezustand in einem Amazon-S3-Bucket zu schützen, muss die Verschlüsselung aktiviert sein.
SC.L2-3.13.16	Schützen Sie die Vertraulichkeit von CUI im Ruhezustand.	sagemaker-endpoint-configuration-kms-key-konfiguriert	Um Daten im Ruhezustand zu schützen, stellen Sie sicher, dass die Verschlüsselung mit dem AWS Key Management Service (AWS KMS) für Ihren Endpunkt aktiviert ist. SageMaker Da sensible Daten auf dem SageMaker Endgerät gespeichert werden können, sollten Sie die Verschlüsselung im Ruhezustand aktivieren, um diese Daten zu schützen.
SC.L2-3.13.16	Schützen Sie die Vertraulichkeit von CUI im Ruhezustand.	sagemaker-notebook-instance-kms-schlüsselkonfiguriert	Um Daten im Ruhezustand zu schützen, stellen Sie sicher, dass die Verschlüsselung mit dem AWS Key Management Service (AWS KMS) für Ihr Notebook aktiviert ist. SageMaker Da vertrauliche Daten im SageMaker Notebook gespeichert werden können, sollten Sie die Verschlüsselung im Ruhezustand aktivieren, um diese Daten zu schützen.
SC.L2-3.13.16	Schützen Sie die Vertraulichkeit von CUI im Ruhezustand.	sns-encrypted-kms	Um Daten im Ruhezustand zu schützen, stellen Sie sicher, dass Ihre Amazon Simple Notification Service (Amazon SNS) -Themen mit dem AWS Key Management Service (AWS KMS) verschlüsselt werden müssen. Um eventuell vorhandene sensible Daten im Ruhezustand in veröffentlichten Nachrichten zu schützen, muss die Verschlüsselung von Daten im Ruhezustand aktiviert sein.
SC.L2-3.13.16	Schützen Sie die Vertraulichkeit von CUI im Ruhezustand.	opensearch-encrypted-at-rest	Da sensible Daten vorhanden sein können und um Daten im Ruhezustand zu schützen, sollten Sie sicherstellen, dass die Verschlüsselung für Ihre Amazon OpenSearch Service-Domains aktiviert ist.
SI.L1-3.14.1	Identifizieren, melden und korrigieren Sie Fehler in Informationen und Informationssystemen rechtzeitig.	cloudwatch-alarm-action-check	Amazon CloudWatch alarmiert, wenn eine Metrik den Schwellenwert für eine bestimmte Anzahl von Bewertungszeiträumen überschreitet. Der Alarm führt eine oder mehrere Aktionen durch, die vom Wert der Metrik oder des Ausdrucks im Vergleich zu einem Schwellenwert in einer Reihe von Zeiträumen abhängt. Diese Regel erfordert einen Wert für alarmActionRequired (Config Default: True), insufficientDataAction Required (Config Default: True), okActionRequired (Config Default: False). Der tatsächliche Wert muss die Alarmaktionen für Ihre Umgebung widerspiegeln.
SI.L1-3.14.1	Identifizieren, melden und korrigieren Sie Fehler in Informationen und Informationssystemen rechtzeitig.	guardduty-enabled-centralized	Amazon GuardDuty kann mithilfe von Threat Intelligence Feeds helfen, potenzielle Cybersicherheitsereignisse zu überwachen und zu erkennen. Dazu gehören Listen bösartiger IP-Adressen und maschinelles Lernen zur Identifizierung unerwarteter, nicht autorisierter und bösartiger Aktivitäten in Ihrer AWS Cloud-Umgebung.
SI.L1-3.14.1	Identifizieren, melden und korrigieren Sie Fehler in Informationen und Informationssystemen rechtzeitig.	securityhub-enabled	AWS Security Hub hilft bei der Überwachung von unbefugtem Personal, Verbindungen, Geräten und Software. AWS Security Hub aggregiert, organisiert und priorisiert die Sicherheitswarnungen oder Ergebnisse mehrerer Dienste. AWS Einige dieser Dienste sind Amazon Security Hub, Amazon Inspector, Amazon Macie, AWS Identity and Access Management (IAM) Access Analyzer und AWS Firewall Manager sowie AWS Partnerlösungen.
SI.L1-3.14.2	Richten Sie Sicherheitsvorkehrungen zum Schutz vor schädlichem Code an geeigneten Stellen innerhalb der Informationssysteme der Organisation ein.	guardduty-enabled-centralized	Amazon GuardDuty kann mithilfe von Threat Intelligence Feeds helfen, potenzielle Cybersicherheitsereignisse zu überwachen und zu erkennen. Dazu gehören Listen bösartiger IP-Adressen und maschinelles Lernen zur Identifizierung unerwarteter, nicht autorisierter und bösartiger Aktivitäten in Ihrer AWS Cloud-Umgebung.
SI.L1-3.14.5	Führen Sie während des Herunterladens, Öffnens und Ausführens von Dateien regelmäßige Scans des Informationssystems sowie Echtzeitscans von Dateien aus externen Quellen durch.	ecr-private-image-scanning-aktiviert	Der Amazon Elastic Container Repository (ECR)-Image-Scan unterstützt die Identifizierung von Software-Schwachstellen in Ihren Container-Images. Durch die Aktivierung von Image-Scans in ECR-Repositorys werden die Integrität und Sicherheit der gespeicherten Images mit einer zusätzlichen Überprüfungsebene verbessert.
SI.L2-3.14.3	Überwachen Sie die Warnmeldungen und Hinweise zur Systemsicherheit und ergreifen Sie entsprechende Maßnahmen.	alb-waf-enabled	Stellen Sie sicher, dass AWS WAF auf Elastic Load Balancers (ELB) aktiviert ist, um Webanwendungen zu schützen. Eine WAF hilft, Ihre Webanwendungen oder APIs vor gängigen Web-Exploits zu schützen. Diese Web-Exploits können sich auf die Verfügbarkeit auswirken, die Sicherheit gefährden oder übermäßige Ressourcen in Ihrer Umgebung verbrauchen.
SI.L2-3.14.3	Überwachen Sie die Warnmeldungen und Hinweise zur Systemsicherheit und ergreifen Sie entsprechende Maßnahmen.	api-gw-associated-with-WAF	AWS Mit WAF können Sie eine Reihe von Regeln (als Web Access Control List (Web ACL) bezeichnet) konfigurieren, die Webanfragen auf der Grundlage von anpassbaren Websicherheitsregeln und -bedingungen, die Sie definieren, zulassen, blockieren oder zählen. Stellen Sie sicher, dass Ihre Amazon-API-Gateway-Stufe mit einer WAF-Web-ACL verknüpft ist, um sie vor böswilligen Angriffen zu schützen.
SI.L2-3.14.3	Überwachen Sie die Warnmeldungen und Hinweise zur Systemsicherheit und ergreifen Sie entsprechende Maßnahmen.	cloudwatch-alarm-action-check	Amazon CloudWatch alarmiert, wenn eine Metrik den Schwellenwert für eine bestimmte Anzahl von Bewertungszeiträumen überschreitet. Der Alarm führt eine oder mehrere Aktionen durch, die vom Wert der Metrik oder des Ausdrucks im Vergleich zu einem Schwellenwert in einer Reihe von Zeiträumen abhängt. Diese Regel erfordert einen Wert für alarmActionRequired (Config Default: True), insufficientDataAction Required (Config Default: True), okActionRequired (Config Default: False). Der tatsächliche Wert muss die Alarmaktionen für Ihre Umgebung widerspiegeln.
SI.L2-3.14.3	Überwachen Sie die Warnmeldungen und Hinweise zur Systemsicherheit und ergreifen Sie entsprechende Maßnahmen.	cloud-trail-cloud-watch-logs-aktiviert	Verwenden Sie Amazon CloudWatch , um Protokollereignisaktivitäten zentral zu sammeln und zu verwalten. Die Aufnahme von AWS CloudTrail Daten liefert Einzelheiten zu den API-Aufrufaktivitäten in Ihrem AWS-Konto.
SI.L2-3.14.3	Überwachen Sie die Warnmeldungen und Hinweise zur Systemsicherheit und ergreifen Sie entsprechende Maßnahmen.	cloudtrail-enabled	AWS CloudTrail kann bei der Nichtabstreitbarkeit helfen, indem Aktionen und API-Aufrufe der AWS Management Console aufgezeichnet werden. Sie können die Benutzer und die Benutzer AWS-Konten , die einen AWS Dienst aufgerufen haben, die Quell-IP-Adresse, über die die Aufrufe generiert wurden, und den Zeitpunkt der Anrufe identifizieren. Einzelheiten zu den erfassten Daten finden Sie in den AWS CloudTrail Datensatzinhalten.
SI.L2-3.14.3	Überwachen Sie die Warnmeldungen und Hinweise zur Systemsicherheit und ergreifen Sie entsprechende Maßnahmen.	ec2-check managedinstance-association-compliance-status	Verwenden Sie AWS Systems Manager Associations, um bei der Inventarisierung von Softwareplattformen und Anwendungen innerhalb eines Unternehmens zu helfen. AWS Systems Manager weist Ihren verwalteten Instanzen einen Konfigurationsstatus zu und ermöglicht es Ihnen, Basiswerte für Betriebssystem-Patch-Levels, Softwareinstallationen, Anwendungskonfigurationen und andere Details zu Ihrer Umgebung festzulegen.
SI.L2-3.14.3	Überwachen Sie die Warnmeldungen und Hinweise zur Systemsicherheit und ergreifen Sie entsprechende Maßnahmen.	guardduty-enabled-centralized	Amazon GuardDuty kann mithilfe von Threat Intelligence Feeds helfen, potenzielle Cybersicherheitsereignisse zu überwachen und zu erkennen. Dazu gehören Listen bösartiger IP-Adressen und maschinelles Lernen zur Identifizierung unerwarteter, nicht autorisierter und bösartiger Aktivitäten in Ihrer AWS Cloud-Umgebung.
SI.L2-3.14.3	Überwachen Sie die Warnmeldungen und Hinweise zur Systemsicherheit und ergreifen Sie entsprechende Maßnahmen.	multi-region-cloudtrail-enabled	AWS CloudTrail zeichnet Aktionen und API-Aufrufe der AWS Management Console auf. Sie können feststellen, welche Benutzer und Konten angerufen wurden AWS, von welcher Quell-IP-Adresse aus die Anrufe getätigt wurden und wann die Anrufe erfolgten. CloudTrail übermittelt Protokolldateien aus allen AWS Regionen an Ihren S3-Bucket, wenn MULTI_REGION_CLOUD_TRAIL_ENABLED aktiviert ist. Außerdem wird beim AWS Start einer neuen Region derselbe Trail in der neuen Region erstellt. CloudTrail Dadurch erhalten Sie automatisch Protokolldateien mit API-Aktivitäten für die neue Region.
SI.L2-3.14.3	Überwachen Sie die Warnmeldungen und Hinweise zur Systemsicherheit und ergreifen Sie entsprechende Maßnahmen.	securityhub-enabled	AWS Security Hub hilft bei der Überwachung von unbefugtem Personal, Verbindungen, Geräten und Software. AWS Security Hub aggregiert, organisiert und priorisiert die Sicherheitswarnungen oder Ergebnisse mehrerer Dienste. AWS Einige dieser Dienste sind Amazon Security Hub, Amazon Inspector, Amazon Macie, AWS Identity and Access Management (IAM) Access Analyzer und AWS Firewall Manager sowie AWS Partnerlösungen.
SI.L2-3.14.6	Überwachen Sie die Organisationssysteme, einschließlich eingehenden und ausgehenden Kommunikationsverkehrs, um Angriffe und Hinweise für potenzielle Angriffe zu erkennen.	alb-waf-enabled	Stellen Sie sicher, dass AWS WAF auf Elastic Load Balancers (ELB) aktiviert ist, um Webanwendungen zu schützen. Eine WAF hilft, Ihre Webanwendungen oder APIs vor gängigen Web-Exploits zu schützen. Diese Web-Exploits können sich auf die Verfügbarkeit auswirken, die Sicherheit gefährden oder übermäßige Ressourcen in Ihrer Umgebung verbrauchen.
SI.L2-3.14.6	Überwachen Sie die Organisationssysteme, einschließlich eingehenden und ausgehenden Kommunikationsverkehrs, um Angriffe und Hinweise für potenzielle Angriffe zu erkennen.	api-gw-associated-with-WAF	AWS Mit WAF können Sie eine Reihe von Regeln (als Web Access Control List (Web ACL) bezeichnet) konfigurieren, die Webanfragen auf der Grundlage von anpassbaren Websicherheitsregeln und -bedingungen, die Sie definieren, zulassen, blockieren oder zählen. Stellen Sie sicher, dass Ihre Amazon-API-Gateway-Stufe mit einer WAF-Web-ACL verknüpft ist, um sie vor böswilligen Angriffen zu schützen.
SI.L2-3.14.6	Überwachen Sie die Organisationssysteme, einschließlich eingehenden und ausgehenden Kommunikationsverkehrs, um Angriffe und Hinweise für potenzielle Angriffe zu erkennen.	cloud-trail-cloud-watch-Logs aktiviert	Verwenden Sie Amazon CloudWatch , um Protokollereignisaktivitäten zentral zu sammeln und zu verwalten. Die Aufnahme von AWS CloudTrail Daten liefert Einzelheiten zu den API-Aufrufaktivitäten in Ihrem AWS-Konto.
SI.L2-3.14.6	Überwachen Sie die Organisationssysteme, einschließlich eingehenden und ausgehenden Kommunikationsverkehrs, um Angriffe und Hinweise für potenzielle Angriffe zu erkennen.	cloudtrail-enabled	AWS CloudTrail kann bei der Nichtabstreitbarkeit helfen, indem Aktionen und API-Aufrufe der AWS Management Console aufgezeichnet werden. Sie können die Benutzer und die Benutzer AWS-Konten , die einen AWS Dienst aufgerufen haben, die Quell-IP-Adresse, über die die Aufrufe generiert wurden, und den Zeitpunkt der Anrufe identifizieren. Einzelheiten zu den erfassten Daten finden Sie in den AWS CloudTrail Datensatzinhalten.
SI.L2-3.14.6	Überwachen Sie die Organisationssysteme, einschließlich eingehenden und ausgehenden Kommunikationsverkehrs, um Angriffe und Hinweise für potenzielle Angriffe zu erkennen.	guardduty-enabled-centralized	Amazon GuardDuty kann mithilfe von Threat Intelligence Feeds helfen, potenzielle Cybersicherheitsereignisse zu überwachen und zu erkennen. Dazu gehören Listen bösartiger IP-Adressen und maschinelles Lernen zur Identifizierung unerwarteter, nicht autorisierter und bösartiger Aktivitäten in Ihrer AWS Cloud-Umgebung.
SI.L2-3.14.6	Überwachen Sie die Organisationssysteme, einschließlich eingehenden und ausgehenden Kommunikationsverkehrs, um Angriffe und Hinweise für potenzielle Angriffe zu erkennen.	multi-region-cloudtrail-enabled	AWS CloudTrail zeichnet Aktionen und API-Aufrufe der AWS Management Console auf. Sie können feststellen, welche Benutzer und Konten angerufen wurden AWS, von welcher Quell-IP-Adresse aus die Anrufe getätigt wurden und wann die Anrufe erfolgten. CloudTrail übermittelt Protokolldateien aus allen AWS Regionen an Ihren S3-Bucket, wenn MULTI_REGION_CLOUD_TRAIL_ENABLED aktiviert ist. Außerdem wird beim AWS Start einer neuen Region derselbe Trail in der neuen Region erstellt. CloudTrail Dadurch erhalten Sie automatisch Protokolldateien mit API-Aktivitäten für die neue Region.
SI.L2-3.14.6	Überwachen Sie die Organisationssysteme, einschließlich eingehenden und ausgehenden Kommunikationsverkehrs, um Angriffe und Hinweise für potenzielle Angriffe zu erkennen.	securityhub-enabled	AWS Security Hub hilft bei der Überwachung von unbefugtem Personal, Verbindungen, Geräten und Software. AWS Security Hub aggregiert, organisiert und priorisiert die Sicherheitswarnungen oder Ergebnisse mehrerer Dienste. AWS Einige dieser Dienste sind Amazon Security Hub, Amazon Inspector, Amazon Macie, AWS Identity and Access Management (IAM) Access Analyzer und AWS Firewall Manager sowie AWS Partnerlösungen.
SI.L2-3.14.6	Überwachen Sie die Organisationssysteme, einschließlich eingehenden und ausgehenden Kommunikationsverkehrs, um Angriffe und Hinweise für potenzielle Angriffe zu erkennen.	wafv2-logging-enabled	Um Ihnen bei der Protokollierung und Überwachung in Ihrer Umgebung zu helfen, aktivieren Sie die AWS WAF (V2) -Protokollierung für regionale und globale Web-ACLs. AWS Die WAF-Protokollierung bietet detaillierte Informationen über den Datenverkehr, der von Ihrer Web-ACL analysiert wird. In den Protokollen werden die Uhrzeit aufgezeichnet, zu der die AWS WAF die Anfrage von Ihrer AWS Ressource erhalten hat, Informationen zu der Anfrage und eine Aktion für die Regel, der jede Anfrage entsprach.
SI.L2-3.14.7	Identifizieren Sie die unbefugte Nutzung von Organisationssystemen.	api-gw-execution-logging-aktiviert	Die API-Gateway-Protokollierung zeigt detaillierte Ansichten der Benutzer, die auf die API zugegriffen haben, und wie diese Benutzer auf die API zugegriffen haben. Diese Einblicke ermöglichen die Transparenz von Benutzeraktivitäten.
SI.L2-3.14.7	Identifizieren Sie die unbefugte Nutzung von Organisationssystemen.	cloudtrail-s3-dataevents-enabled	Die Erfassung von Simple Storage Service (Amazon S3)-Datenereignissen unterstützt die Erkennung von ungewöhnlichen Aktivitäten. Zu den Details gehören AWS-Konto Informationen über den Zugriff auf einen Amazon S3 S3-Bucket, die IP-Adresse und die Uhrzeit des Ereignisses.
SI.L2-3.14.7	Identifizieren Sie die unbefugte Nutzung von Organisationssystemen.	cloud-trail-cloud-watch-logs-aktiviert	Verwenden Sie Amazon CloudWatch , um Protokollereignisaktivitäten zentral zu sammeln und zu verwalten. Die Aufnahme von AWS CloudTrail Daten liefert Einzelheiten zu den API-Aufrufaktivitäten in Ihrem AWS-Konto.
SI.L2-3.14.7	Identifizieren Sie die unbefugte Nutzung von Organisationssystemen.	cloudtrail-enabled	AWS CloudTrail kann bei der Nichtabstreitbarkeit helfen, indem Aktionen und API-Aufrufe der AWS Management Console aufgezeichnet werden. Sie können die Benutzer und die Benutzer AWS-Konten , die einen AWS Dienst aufgerufen haben, die Quell-IP-Adresse, über die die Aufrufe generiert wurden, und den Zeitpunkt der Anrufe identifizieren. Einzelheiten zu den erfassten Daten finden Sie in den AWS CloudTrail Datensatzinhalten.
SI.L2-3.14.7	Identifizieren Sie die unbefugte Nutzung von Organisationssystemen.	ec2-check managedinstance-association-compliance-status	Verwenden Sie AWS Systems Manager Associations, um bei der Inventarisierung von Softwareplattformen und Anwendungen innerhalb eines Unternehmens zu helfen. AWS Systems Manager weist Ihren verwalteten Instanzen einen Konfigurationsstatus zu und ermöglicht es Ihnen, Basiswerte für Betriebssystem-Patch-Levels, Softwareinstallationen, Anwendungskonfigurationen und andere Details zu Ihrer Umgebung festzulegen.
SI.L2-3.14.7	Identifizieren Sie die unbefugte Nutzung von Organisationssystemen.	elb-logging-enabled	Die Elastic-Load-Balancing-Aktivität ist ein zentraler Kommunikationspunkt innerhalb einer Umgebung. Stellen Sie sicher, dass die ELB-Protokollierung aktiviert ist. Die gesammelten Daten enthalten detaillierte Informationen zu Anfragen, die an den ELB gesendet wurden. Jedes Protokoll enthält Informationen wie die Zeit, zu der die Anforderung einging, die Client-IP-Adresse, Latenzen, Anforderungspfade und Serverantworten.
SI.L2-3.14.7	Identifizieren Sie die unbefugte Nutzung von Organisationssystemen.	guardduty-enabled-centralized	Amazon GuardDuty kann mithilfe von Threat Intelligence Feeds helfen, potenzielle Cybersicherheitsereignisse zu überwachen und zu erkennen. Dazu gehören Listen bösartiger IP-Adressen und maschinelles Lernen zur Identifizierung unerwarteter, nicht autorisierter und bösartiger Aktivitäten in Ihrer AWS Cloud-Umgebung.
SI.L2-3.14.7	Identifizieren Sie die unbefugte Nutzung von Organisationssystemen.	multi-region-cloudtrail-enabled	AWS CloudTrail zeichnet Aktionen und API-Aufrufe der AWS Management Console auf. Sie können feststellen, welche Benutzer und Konten angerufen wurden AWS, von welcher Quell-IP-Adresse aus die Anrufe getätigt wurden und wann die Anrufe erfolgten. CloudTrail übermittelt Protokolldateien aus allen AWS Regionen an Ihren S3-Bucket, wenn MULTI_REGION_CLOUD_TRAIL_ENABLED aktiviert ist. Außerdem wird beim AWS Start einer neuen Region derselbe Trail in der neuen Region erstellt. CloudTrail Dadurch erhalten Sie automatisch Protokolldateien mit API-Aktivitäten für die neue Region.
SI.L2-3.14.7	Identifizieren Sie die unbefugte Nutzung von Organisationssystemen.	rds-logging-enabled	Um die Protokollierung und Überwachung in Ihrer Umgebung zu erleichtern, stellen Sie sicher, dass die Amazon Relational Database Service (Amazon RDS)-Protokollierung aktiviert ist. Mit der Amazon-RDS-Protokollierung können Sie Ereignisse wie Verbindungen, Verbindungsabbrüche, Abfragen oder abgefragte Tabellen erfassen.
SI.L2-3.14.7	Identifizieren Sie die unbefugte Nutzung von Organisationssystemen.	s-3 bucket-logging-enabled	Die Amazon Simple Storage Service (Amazon S3)-Serverzugriffsprotokollierung bietet eine Methode zur Überwachung des Netzwerks im Hinblick auf potenzielle Cybersicherheitsereignisse. Die Ereignisse werden überwacht, indem detaillierte Aufzeichnungen über die Anfragen erfasst werden, die an einen Amazon-S3-Bucket gestellt wurden. Jeder Zugriffsprotokolleintrag enthält Details zu einer einzelnen Zugriffsanfrage. Zu den Details gehören Anforderer, Bucket-Name, Anforderungszeit, Anforderungsaktion, Antwortstatus und Fehlercode, falls relevant.
SI.L2-3.14.7	Identifizieren Sie die unbefugte Nutzung von Organisationssystemen.	securityhub-enabled	AWS Security Hub hilft bei der Überwachung von unbefugtem Personal, Verbindungen, Geräten und Software. AWS Security Hub aggregiert, organisiert und priorisiert die Sicherheitswarnungen oder Ergebnisse mehrerer Dienste. AWS Einige dieser Dienste sind Amazon Security Hub, Amazon Inspector, Amazon Macie, AWS Identity and Access Management (IAM) Access Analyzer und AWS Firewall Manager sowie AWS Partnerlösungen.
SI.L2-3.14.7	Identifizieren Sie die unbefugte Nutzung von Organisationssystemen.	wafv2-logging-enabled	Um Ihnen bei der Protokollierung und Überwachung in Ihrer Umgebung zu helfen, aktivieren Sie die AWS WAF (V2) -Protokollierung für regionale und globale Web-ACLs. AWS Die WAF-Protokollierung bietet detaillierte Informationen über den Datenverkehr, der von Ihrer Web-ACL analysiert wird. In den Protokollen werden die Uhrzeit aufgezeichnet, zu der die AWS WAF die Anfrage von Ihrer AWS Ressource erhalten hat, Informationen zu der Anfrage und eine Aktion für die Regel, der jede Anfrage entsprach.

Vorlage

Die Vorlage ist verfügbar unter GitHub: Operational Best Practices for CMMC 2.0 Level 2.

Warnung JavaScript ist in Ihrem Browser nicht verfügbar oder deaktiviert.

Zur Nutzung der AWS-Dokumentation muss JavaScript aktiviert sein. Weitere Informationen finden auf den Hilfe-Seiten Ihres Browsers.

Dokumentkonventionen

Bewährte Methoden für die Ausführung von CMMC 2.0 Level 1

Bewährte Methoden für die Ausführung von Datenverarbeitungsservices