Bewährte Methoden für die Ausführung von NIST 800 181

Konformitätspakete bieten ein allgemeines Compliance-Framework, das es Ihnen ermöglicht, mithilfe verwalteter oder benutzerdefinierter AWS Config Regeln und Abhilfemaßnahmen Kontrollen zur Sicherheits-, Betriebs- oder Kostenoptimierung durchzuführen. AWS Config Conformance Packs dienen als Beispielvorlagen nicht dazu, die vollständige Einhaltung eines bestimmten Governance- oder Compliance-Standards sicherzustellen. Sie sind dafür verantwortlich, selbst zu beurteilen, ob Ihre Nutzung der Services den geltenden gesetzlichen und behördlichen Anforderungen entspricht.

Im Folgenden finden Sie ein Beispiel für eine Zuordnung zwischen den NIST 800 181- und AWS verwalteten Konfigurationsregeln. Jede Config-Regel gilt für eine bestimmte AWS Ressource und bezieht sich auf eine oder mehrere NIST 800 181-Steuerelemente. Eine Kontrolle nach NIST 800-181 kann mehreren Konfigurationsregeln zugeordnet werden. In der folgenden Tabelle finden Sie weitere Informationen und Anleitungen zu diesen Zuordnungen.

Kontroll-ID	Beschreibung der Kontrolle	AWS Config	Empfehlungen
T0008	Analysieren und planen Sie erwartete Änderungen der Datenkapazitätsanforderungen.	dynamodb-autoscaling-enabled	Amazon DynamoDB Auto Scaling verwendet den AWS Application Auto Scaling-Service, um die bereitgestellte Durchsatzkapazität so anzupassen, dass sie automatisch auf tatsächliche Verkehrsmuster reagiert. Auf diese Weise kann eine Tabelle oder ein globaler sekundärer Index die bereitgestellte Lese-/Schreibkapazität erhöhen, um plötzliche Erhöhungen des Datenverkehrs ohne Drosselung zu bewältigen.
T0008	Analysieren und planen Sie erwartete Änderungen der Datenkapazitätsanforderungen.	dynamodb-in-backup-plan	Um Sie bei Datensicherungsprozessen zu unterstützen, stellen Sie sicher, dass Ihre Amazon DynamoDB-Tabellen Teil eines AWS Backup-Plans sind. AWS Backup ist ein vollständig verwalteter Backup-Service mit einer richtlinienbasierten Backup-Lösung. Diese Lösung vereinfacht Ihr Sicherungsmanagement und erleichtert Ihnen die Erfüllung von geschäftlichen und behördlichen Compliance-Anforderungen hinsichtlich Datensicherungen.
T0008	Analysieren und planen Sie erwartete Änderungen der Datenkapazitätsanforderungen.	dynamodb-pitr-enabled	Aktivieren Sie diese Regel, um zu überprüfen, ob die Informationen gesichert wurden. Es verwaltet auch die Backups, indem es sicherstellt, dass die point-in-time Wiederherstellung in Amazon DynamoDB aktiviert ist. Bei der Wiederherstellung werden fortlaufende Backups Ihrer Tabelle für die letzten 35 Tage gespeichert.
T0008	Analysieren und planen Sie erwartete Änderungen der Datenkapazitätsanforderungen.	dynamodb-throughput-limit-check	Aktivieren Sie diese Regel, um sicherzustellen, dass die bereitgestellte Durchsatzkapazität in Ihren Amazon-DynamoDB-Tabellen überprüft wird. Dies ist der Umfang der Lese- und Schreibaktivitäten, der von den jeweiligen Tabellen unterstützt werden kann. DynamoDB verwendet diese Informationen für das Reservieren ausreichender Systemressourcen, um Ihren Durchsatzanforderungen gerecht zu werden. Diese Regel generiert eine Warnung, wenn sich der Durchsatz dem Höchstlimit für ein Kundenkonto nähert. Mit dieser Regel können Sie optional die Parameter AccountRCU ThresholdPercentage (Config Default: 80) und AccountWCU ThresholdPercentage (Config Default: 80) festlegen. Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
T0008	Analysieren und planen Sie erwartete Änderungen der Datenkapazitätsanforderungen.	ebs-in-backup-plan	Stellen Sie zur Unterstützung der Datensicherungsprozesse sicher, dass Ihre Amazon Elastic Block Store (Amazon EBS) -Volumes Teil eines AWS Backup-Plans sind. AWS Backup ist ein vollständig verwalteter Backup-Service mit einer richtlinienbasierten Backup-Lösung. Diese Lösung vereinfacht Ihre Backup-Verwaltung und ermöglicht es Ihnen, Ihre geschäftlichen und behördlichen Anforderungen bezüglich Backups zu erfüllen.
T0008	Analysieren und planen Sie erwartete Änderungen der Datenkapazitätsanforderungen.	efs-in-backup-plan	Um Sie bei Datensicherungsprozessen zu unterstützen, stellen Sie sicher, dass Ihre Amazon Elastic File System (Amazon EFS) -Dateisysteme Teil eines AWS Backup-Plans sind. AWS Backup ist ein vollständig verwalteter Backup-Service mit einer richtlinienbasierten Backup-Lösung. Diese Lösung vereinfacht Ihr Sicherungsmanagement und erleichtert Ihnen die Erfüllung von geschäftlichen und behördlichen Compliance-Anforderungen hinsichtlich Datensicherungen.
T0008	Analysieren und planen Sie erwartete Änderungen der Datenkapazitätsanforderungen.	elasticache-redis-cluster-automatic-backup-check	Wenn automatische Backups aktiviert sind, ElastiCache erstellt Amazon täglich ein Backup des Clusters. Die Sicherung kann für eine von Ihrer Organisation festgelegte Anzahl von Tagen aufbewahrt werden. Automatische Backups schützen vor Datenverlust. Bei einem Ausfall können Sie einen neuen Cluster erstellen, der Ihre Daten aus dem aktuellen Backup wiederherstellt.
T0008	Analysieren und planen Sie erwartete Änderungen der Datenkapazitätsanforderungen.	elb-cross-zone-load-balancing-enabled	Ermöglichen Sie zonenübergreifendes Load Balancing für Ihre Elastic Load Balancers (ELBs), um eine angemessene Kapazität und Verfügbarkeit aufrechtzuerhalten. Zonenübergreifendes Load Balancing reduziert die Notwendigkeit, die gleiche Anzahl von Instances in jeder aktivierten Availability Zone aufrechtzuerhalten. Es verbessert auch die Fähigkeit Ihrer Anwendung, den Verlust einer oder mehrerer Instances zu bewältigen.
T0008	Analysieren und planen Sie erwartete Änderungen der Datenkapazitätsanforderungen.	rds-in-backup-plan	Um Sie bei Datensicherungsprozessen zu unterstützen, stellen Sie sicher, dass Ihre Amazon Relational Database Service (Amazon RDS) -Instances Teil eines AWS Backup-Plans sind. AWS Backup ist ein vollständig verwalteter Backup-Service mit einer richtlinienbasierten Backup-Lösung. Diese Lösung vereinfacht Ihr Sicherungsmanagement und erleichtert Ihnen die Erfüllung von geschäftlichen und behördlichen Compliance-Anforderungen hinsichtlich Datensicherungen.
T0008	Analysieren und planen Sie erwartete Änderungen der Datenkapazitätsanforderungen.	rds-multi-az-support	Die Multi-AZ-Unterstützung in Amazon Relational Database Service (Amazon RDS) bietet eine verbesserte Verfügbarkeit und Beständigkeit von Datenbank-Instances. Wenn Sie eine Multi-AZ-Datenbank-Instance bereitstellen, erstellt Amazon RDS automatisch eine primäre Datenbank-Instance und repliziert die Daten synchron auf eine Standby-Instance in einer anderen Availability Zone. Jede Availability Zone läuft auf einer eigenen, physisch getrennten, unabhängigen Infrastruktur und ist auf eine hohe Verfügbarkeit ausgelegt. Im Falle eines Infrastrukturausfalls führt Amazon RDS einen automatischen Failover zum Standby-Modus durch, sodass Sie den Datenbankbetrieb wieder aufnehmen können, sobald der Failover abgeschlossen ist.
T0008	Analysieren und planen Sie erwartete Änderungen der Datenkapazitätsanforderungen.	redshift-backup-enabled	Stellen Sie zur Unterstützung der Datensicherungsprozesse sicher, dass Ihre Amazon-Redshift-Cluster über automatisierte Snapshots verfügen. Wenn automatisierte Snapshots für einen Cluster aktiviert sind, erstellt Redshift in regelmäßigen Abständen Snapshots dieses Clusters. Standardmäßig erstellt Redshift alle acht Stunden oder alle 5 GB einen Snapshot für jeden Knoten mit Datenänderungen oder je nachdem, was zuerst eintritt.
T0008	Analysieren und planen Sie erwartete Änderungen der Datenkapazitätsanforderungen.	s3-bucket-replication-enabled	Amazon Simple Storage Service (Amazon S3) Cross-Region Replication (CRR) unterstützt die Aufrechterhaltung einer angemessenen Kapazität und Verfügbarkeit. CRR ermöglicht das automatische, asynchrone Kopieren von Objekten in Amazon S3 Buckets, um die Datenverfügbarkeit sicherzustellen.
T0008	Analysieren und planen Sie erwartete Änderungen der Datenkapazitätsanforderungen.	backup-plan-min-frequency-and-min-retention-check	Um Sie bei Datensicherungsprozessen zu unterstützen, stellen Sie sicher, dass Ihr AWS Backup-Plan auf eine Mindestfrequenz und Aufbewahrung festgelegt ist. AWS Backup ist ein vollständig verwalteter Backup-Service mit einer richtlinienbasierten Backup-Lösung. Diese Lösung vereinfacht Ihr Sicherungsmanagement und erleichtert Ihnen die Erfüllung von geschäftlichen und behördlichen Compliance-Anforderungen hinsichtlich Datensicherungen. Mit dieser Regel können Sie die Parameter requiredFrequencyValue (Config default: 1), requiredRetentionDays (Config default: 35) und requiredFrequencyUnit (Config default: days) festlegen. Der tatsächliche Wert muss den Anforderungen Ihrer Organisation entsprechen.
T0008	Analysieren und planen Sie erwartete Änderungen der Datenkapazitätsanforderungen.	ec2-resources-protected-by-backup-plan	Um Sie bei Datensicherungsprozessen zu unterstützen, stellen Sie sicher, dass Ihre Amazon Elastic Compute Cloud (Amazon EC2) -Ressourcen Teil eines AWS Backup-Plans sind. AWS Backup ist ein vollständig verwalteter Backup-Service mit einer richtlinienbasierten Backup-Lösung. Diese Lösung vereinfacht Ihr Sicherungsmanagement und erleichtert Ihnen die Erfüllung von geschäftlichen und behördlichen Compliance-Anforderungen hinsichtlich Datensicherungen.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	acm-certificate-expiration-check	Stellen Sie sicher, dass die Netzwerkintegrität geschützt ist, indem Sie sicherstellen, dass X509-Zertifikate von ACM ausgestellt werden. AWS Diese Zertifikate müssen gültig und dürfen nicht abgelaufen sein. Für diese Regel ist ein Wert für erforderlich daysToExpiration (Wert für bewährte AWS Grundregeln für Sicherheit: 90). Der tatsächliche Wert muss den Richtlinien Ihrer Organisation entsprechen.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	alb-http-to-https-redirection-check	Um Daten während der Übertragung zu schützen, stellen Sie sicher, dass Ihr Application Load Balancer unverschlüsselte HTTP-Anfragen automatisch an HTTPS umleitet. Da sensible Daten vorhanden sein können, sollten Sie die Verschlüsselung bei der Übertragung aktivieren, um diese Daten zu schützen.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	api-gw-cache-enabled-and-encrypted	Um Daten im Ruhezustand zu schützen, stellen Sie sicher, dass die Verschlüsselung für den Cache Ihrer API-Gateway-Stufe aktiviert ist. Da für die API-Methode sensible Daten erfasst werden können, sollten Sie die Verschlüsselung von Daten im Ruhezustand aktivieren, um diese Daten zu schützen.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	autoscaling-launch-config-public-ip-disabled	Wenn Sie Ihre Netzwerkschnittstellen mit einer öffentlichen IP-Adresse konfigurieren, sind die diesen Netzwerkschnittstellen zugehörigen Ressourcen vom Internet aus erreichbar. EC2-Ressourcen sollten nicht öffentlich zugänglich sein, da dies einen unbeabsichtigten Zugriff auf Ihre Anwendungen oder Server ermöglichen kann.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	backup-plan-min-frequency-and-min-retention-check	Um Sie bei Datensicherungsprozessen zu unterstützen, stellen Sie sicher, dass Ihr AWS Backup-Plan auf eine Mindestfrequenz und Aufbewahrung festgelegt ist. AWS Backup ist ein vollständig verwalteter Backup-Service mit einer richtlinienbasierten Backup-Lösung. Diese Lösung vereinfacht Ihr Sicherungsmanagement und erleichtert Ihnen die Erfüllung von geschäftlichen und behördlichen Compliance-Anforderungen hinsichtlich Datensicherungen. Mit dieser Regel können Sie die Parameter requiredFrequencyValue (Config default: 1), requiredRetentionDays (Config default: 35) und requiredFrequencyUnit (Config default: days) festlegen. Der tatsächliche Wert muss den Anforderungen Ihrer Organisation entsprechen.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	backup-recovery-point-manual-deletion-disabled	Stellen Sie sicher, dass Ihren AWS Backup-Wiederherstellungspunkten eine ressourcenbasierte Richtlinie zugeordnet ist, die das Löschen von Wiederherstellungspunkten verhindert. Die Verwendung einer ressourcenbasierten Richtlinie zur Verhinderung des Löschens von Wiederherstellungspunkten kann dazu beitragen, ein versehentliches oder absichtliches Löschen zu unterbinden.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	cloud-trail-encryption-enabled	Da sensible Daten vorhanden sein können und um Daten im Ruhezustand zu schützen, sollten Sie sicherstellen, dass die Verschlüsselung für Ihre AWS CloudTrail Trails aktiviert ist.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	cloud-trail-log-file-validation-enabled	Verwenden Sie die Validierung von AWS CloudTrail Protokolldateien, um die Integrität von CloudTrail Protokollen zu überprüfen. Mithilfe der Protokolldateivalidierung kann festgestellt werden, ob eine Protokolldatei geändert oder gelöscht wurde oder ob sie nach der Übermittlung CloudTrail unverändert geblieben ist. Dieses Feature wurde mit dem Branchenstandard entsprechenden Algorithmen entwickelt: SHA-256 für die Hashfunktion und SHA-256 mit RSA für digitale Signaturen. Aus diesem Grund ist es rechnerisch unmöglich, CloudTrail Protokolldateien unbemerkt zu ändern, zu löschen oder zu fälschen.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	cmk-backing-key-rotation-enabled	Aktivieren Sie die Schlüsselrotation, um sicherzustellen, dass Schlüssel rotiert werden, sobald sie das Ende ihrer Kryptoperiode erreicht haben.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	db-instance-backup-enabled	Die Sicherungsfunktion von Amazon RDS erstellt Sicherungen Ihrer Datenbanken und Transaktionsprotokolle. Amazon RDS erstellt einen Snapshot für das Speichervolume Ihrer DB-Instance, sodass die gesamte DB-Instance gesichert wird. Sie können im System spezifische Aufbewahrungsfristen festlegen, um Ihre Ausfallsicherheitsanforderungen zu erfüllen.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	dms-replication-not-public	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass auf DMS-Replikationsinstanzen nicht öffentlich zugegriffen werden kann. DMS-Replikations-Instances können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	dynamodb-autoscaling-enabled	Amazon DynamoDB Auto Scaling verwendet den AWS Application Auto Scaling-Service, um die bereitgestellte Durchsatzkapazität so anzupassen, dass sie automatisch auf tatsächliche Verkehrsmuster reagiert. Auf diese Weise kann eine Tabelle oder ein globaler sekundärer Index die bereitgestellte Lese-/Schreibkapazität erhöhen, um plötzliche Erhöhungen des Datenverkehrs ohne Drosselung zu bewältigen.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	dynamodb-pitr-enabled	Aktivieren Sie diese Regel, um zu überprüfen, ob die Informationen gesichert wurden. Es verwaltet auch die Backups, indem es sicherstellt, dass die point-in-time Wiederherstellung in Amazon DynamoDB aktiviert ist. Bei der Wiederherstellung werden fortlaufende Backups Ihrer Tabelle für die letzten 35 Tage gespeichert.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	ebs-in-backup-plan	Stellen Sie zur Unterstützung der Datensicherungsprozesse sicher, dass Ihre Amazon Elastic Block Store (Amazon EBS) -Volumes Teil eines AWS Backup-Plans sind. AWS Backup ist ein vollständig verwalteter Backup-Service mit einer richtlinienbasierten Backup-Lösung. Diese Lösung vereinfacht Ihre Backup-Verwaltung und ermöglicht es Ihnen, Ihre geschäftlichen und behördlichen Anforderungen bezüglich Backups zu erfüllen.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	ebs-snapshot-public-restorable-check	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass EBS-Snapshots nicht öffentlich wiederherstellbar sind. EBS-Volume-Snapshots können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	ec2-ebs-encryption-by-default	Zum Schutz von Daten im Ruhezustand müssen Sie sicherstellen, dass die Verschlüsselung für Ihre Amazon Elastic Block Store (Amazon EBS)-Volumes aktiviert ist. Da sensible Daten in diesen Volumes gespeichert werden können, sollten Sie die Verschlüsselung von Daten im Ruhezustand aktivieren, um diese Daten zu schützen.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	ec2-instance-no-public-ip	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass Amazon Elastic Compute Cloud (Amazon EC2) -Instances nicht öffentlich zugänglich sind. Amazon-EC2-Instances können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	ec2-resources-protected-by-backup-plan	Um Sie bei Datensicherungsprozessen zu unterstützen, stellen Sie sicher, dass Ihre Amazon Elastic Compute Cloud (Amazon EC2) -Ressourcen Teil eines AWS Backup-Plans sind. AWS Backup ist ein vollständig verwalteter Backup-Service mit einer richtlinienbasierten Backup-Lösung. Diese Lösung vereinfacht Ihr Sicherungsmanagement und erleichtert Ihnen die Erfüllung von geschäftlichen und behördlichen Compliance-Anforderungen hinsichtlich Datensicherungen.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	efs-encrypted-check	Aktivieren Sie die Verschlüsselung für Ihr Amazon Elastic File System (EFS), um eventuell vorhandene sensible Daten sowie Daten im Ruhezustand zu schützen.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	efs-in-backup-plan	Um Sie bei Datensicherungsprozessen zu unterstützen, stellen Sie sicher, dass Ihre Amazon Elastic File System (Amazon EFS) -Dateisysteme Teil eines AWS Backup-Plans sind. AWS Backup ist ein vollständig verwalteter Backup-Service mit einer richtlinienbasierten Backup-Lösung. Diese Lösung vereinfacht Ihr Sicherungsmanagement und erleichtert Ihnen die Erfüllung von geschäftlichen und behördlichen Compliance-Anforderungen hinsichtlich Datensicherungen.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	elasticache-redis-cluster-automatic-backup-check	Wenn automatische Backups aktiviert sind, ElastiCache erstellt Amazon täglich ein Backup des Clusters. Die Sicherung kann für eine von Ihrer Organisation festgelegte Anzahl von Tagen aufbewahrt werden. Automatische Backups schützen vor Datenverlust. Bei einem Ausfall können Sie einen neuen Cluster erstellen, der Ihre Daten aus dem aktuellen Backup wiederherstellt.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	elasticsearch-encrypted-at-rest	Da sensible Daten vorhanden sein können und um Daten im Ruhezustand zu schützen, sollten Sie sicherstellen, dass die Verschlüsselung für Ihre Amazon OpenSearch Service (OpenSearch Service) -Domains aktiviert ist.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	elasticsearch-node-to-node-encryption-check	Stellen Sie sicher, dass die node-to-node Verschlüsselung für Amazon OpenSearch Service aktiviert ist. ode-to-node N-Verschlüsselung aktiviert die TLS 1.2-Verschlüsselung für die gesamte Kommunikation innerhalb der Amazon Virtual Private Cloud (Amazon VPC). Um eventuell vorhandene sensible Daten zu schützen, sollten Sie die Verschlüsselung bei der Übertragung aktivieren.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	elbv2-acm-certificate-required	Zum Schutz von eventuell vorhandenen sensiblen Daten sowie von Daten während der Übertragung muss die Verschlüsselung für Ihr Elastic Load Balancing aktiviert sein. Verwenden Sie AWS Certificate Manager, um öffentliche und private SSL/TLS-Zertifikate mit AWS Diensten und internen Ressourcen zu verwalten, bereitzustellen und bereitzustellen.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	elb-acm-certificate-required	Zum Schutz von eventuell vorhandenen sensiblen Daten sowie von Daten während der Übertragung muss die Verschlüsselung für Ihr Elastic Load Balancing aktiviert sein. Verwenden Sie AWS Certificate Manager, um öffentliche und private SSL/TLS-Zertifikate mit AWS Diensten und internen Ressourcen zu verwalten, bereitzustellen und bereitzustellen.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	elb-cross-zone-load-balancing-enabled	Ermöglichen Sie zonenübergreifendes Load Balancing für Ihre Elastic Load Balancers (ELBs), um eine angemessene Kapazität und Verfügbarkeit aufrechtzuerhalten. Zonenübergreifendes Load Balancing reduziert die Notwendigkeit, die gleiche Anzahl von Instances in jeder aktivierten Availability Zone aufrechtzuerhalten. Es verbessert auch die Fähigkeit Ihrer Anwendung, den Verlust einer oder mehrerer Instances zu bewältigen.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	elb-deletion-protection-enabled	Diese Regel sorgt dafür, dass der Löschschutz für Elastic Load Balancing aktiviert ist. Verwenden Sie diese Funktion, um zu verhindern, dass Ihr Load Balancer versehentlich oder böswillig gelöscht wird, was zum Verlust der Verfügbarkeit Ihrer Anwendungen führen kann.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	elb-tls-https-listeners-only	Stellen Sie sicher, dass Ihre Elastic Load Balancers (ELBs) mit SSL- oder HTTPS-Listenern konfiguriert sind. Da sensible Daten vorhanden sein können, sollten Sie die Verschlüsselung bei der Übertragung aktivieren, um diese Daten zu schützen.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	emr-master-no-public-ip	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass Amazon EMR-Cluster-Masterknoten nicht öffentlich zugänglich sind. Amazon-EMR-Cluster-Hauptknoten können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	encrypted-volumes	Aktivieren Sie die Verschlüsselung für Ihre Amazon-Elastic-Block-Store-(Amazon-EBS-)Volumes, um eventuell vorhandene sensible Daten sowie Daten im Ruhezustand zu schützen.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	kms-cmk-not-scheduled-for-deletion	Um Daten im Ruhezustand zu schützen, sollten Sie sicherstellen, dass die erforderlichen Kundenhauptschlüssel (CMKs) nicht im AWS Key Management Service (AWS KMS) gelöscht werden. Da Schlüssel manchmal gelöscht werden müssen, können Sie mit dieser Regel alle zu löschenden Schlüssel überprüfen, falls ein Schlüssel versehentlich zur Löschung vorgemerkt wurde.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	lambda-function-public-access-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass AWS Lambda-Funktionen nicht öffentlich zugänglich sind. Der öffentliche Zugriff kann möglicherweise die Verfügbarkeit von Ressourcen beeinträchtigen.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	opensearch-encrypted-at-rest	Da sensible Daten existieren können und um Daten im Ruhezustand zu schützen, sollten Sie sicherstellen, dass die Verschlüsselung für Ihre Amazon Elasticsearch Service (Amazon ES) -Domains aktiviert ist.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	opensearch-node-to-node-encryption-check	Stellen Sie sicher, dass die node-to-node Verschlüsselung für Amazon OpenSearch Service aktiviert ist. ode-to-node N-Verschlüsselung aktiviert die TLS 1.2-Verschlüsselung für die gesamte Kommunikation innerhalb der Amazon Virtual Private Cloud (Amazon VPC). Um eventuell vorhandene sensible Daten zu schützen, sollten Sie die Verschlüsselung bei der Übertragung aktivieren.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	rds-instance-deletion-protection-enabled	Stellen Sie sicher, dass Amazon Relational Database Service (Amazon RDS)-Instances den Löschschutz aktiviert haben. Verwenden Sie den Löschschutz, um zu verhindern, dass Ihre Amazon-RDS-Instances versehentlich oder böswillig gelöscht werden, was zum Verlust der Verfügbarkeit Ihrer Anwendungen führen kann.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	rds-instance-public-access-check	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Relational Database Service (Amazon RDS) -Instances nicht öffentlich sind. Amazon-RDS-Datenbank-Instances können vertrauliche Informationen enthalten und für solche Konten sind Prinzipien und Zugriffskontrollen erforderlich.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	rds-in-backup-plan	Um Sie bei Datensicherungsprozessen zu unterstützen, stellen Sie sicher, dass Ihre Amazon Relational Database Service (Amazon RDS) -Instances Teil eines AWS Backup-Plans sind. AWS Backup ist ein vollständig verwalteter Backup-Service mit einer richtlinienbasierten Backup-Lösung. Diese Lösung vereinfacht Ihr Sicherungsmanagement und erleichtert Ihnen die Erfüllung von geschäftlichen und behördlichen Compliance-Anforderungen hinsichtlich Datensicherungen.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	rds-multi-az-support	Die Multi-AZ-Unterstützung in Amazon Relational Database Service (Amazon RDS) bietet eine verbesserte Verfügbarkeit und Beständigkeit von Datenbank-Instances. Wenn Sie eine Multi-AZ-Datenbank-Instance bereitstellen, erstellt Amazon RDS automatisch eine primäre Datenbank-Instance und repliziert die Daten synchron auf eine Standby-Instance in einer anderen Availability Zone. Jede Availability Zone läuft auf einer eigenen, physisch getrennten, unabhängigen Infrastruktur und ist auf eine hohe Verfügbarkeit ausgelegt. Im Falle eines Infrastrukturausfalls führt Amazon RDS einen automatischen Failover zum Standby-Modus durch, sodass Sie den Datenbankbetrieb wieder aufnehmen können, sobald der Failover abgeschlossen ist.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	rds-snapshots-public-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Relational Database Service (Amazon RDS) -Instances nicht öffentlich sind. Amazon-RDS-Datenbank-Instances können vertrauliche Informationen enthalten und für solche Konten sind Prinzipien und Zugriffskontrollen erforderlich.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	rds-snapshot-encrypted	Stellen Sie sicher, dass die Verschlüsselung für Ihre Amazon Relational Database Service (Amazon RDS)-Snapshots aktiviert ist. Da sensible Daten auch im Ruhezustand vorhanden sein können, sollten Sie die Verschlüsselung von Daten im Ruhezustand aktivieren, um diese Daten zu schützen.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	rds-storage-encrypted	Zum Schutz von Daten im Ruhezustand müssen Sie sicherstellen, dass die Verschlüsselung für Ihre Amazon Relational Database Service (Amazon RDS)-Instances aktiviert ist. Da sensible Daten in Amazon-RDS-Instances gespeichert werden können, sollten Sie die Verschlüsselung von Daten im Ruhezustand aktivieren, um diese Daten zu schützen.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	redshift-backup-enabled	Stellen Sie zur Unterstützung der Datensicherungsprozesse sicher, dass Ihre Amazon-Redshift-Cluster über automatisierte Snapshots verfügen. Wenn automatisierte Snapshots für einen Cluster aktiviert sind, erstellt Redshift in regelmäßigen Abständen Snapshots dieses Clusters. Standardmäßig erstellt Redshift alle acht Stunden oder alle 5 GB einen Snapshot für jeden Knoten mit Datenänderungen oder je nachdem, was zuerst eintritt.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	redshift-cluster-configuration-check	Um Daten im Ruhezustand zu schützen, muss die Verschlüsselung für Ihre Amazon-Redshift-Cluster aktiviert sein. Sie müssen auch sicherstellen, dass die erforderlichen Konfigurationen auf Amazon-Redshift-Clustern bereitgestellt werden. Die Prüfungsprotokollierung muss aktiviert sein, um Informationen zu Verbindungen und Benutzeraktivitäten in der Datenbank bereitzustellen. Diese Regel erfordert, dass ein Wert für clusterDbEncrypted (Config Default: TRUE) und LoggingEnabled (Config Default: TRUE) gesetzt ist. Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	redshift-cluster-public-access-check	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Redshift Redshift-Cluster nicht öffentlich sind. Amazon-Redshift-Cluster können vertrauliche Informationen enthalten und für solche Konten sind Prinzipien und Zugriffskontrollen erforderlich.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	redshift-require-tls-ssl	Stellen Sie sicher, dass Ihre Amazon-Redshift-Cluster eine TLS/SSL-Verschlüsselung erfordern, um eine Verbindung zu SQL-Clients herzustellen. Da sensible Daten vorhanden sein können, sollten Sie die Verschlüsselung bei der Übertragung aktivieren, um diese Daten zu schützen.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	s3-account-level-public-access-blocks-periodic	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Simple Storage Service (Amazon S3) -Buckets nicht öffentlich zugänglich sind. Diese Regel trägt dazu bei, sensible Daten vor unbefugten Remote-Benutzern zu schützen, indem sie den öffentlichen Zugriff verhindert. Mit dieser Regel können Sie optional die Parameter ignorePublicAcls (Config Default: True), blockPublicPolicy (Config Default: True), blockPublicAcls (Config Default: True) und restrictPublicBuckets Parameter (Config Default: True) festlegen. Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	s3-bucket-public-read-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie nur autorisierten Benutzern, Prozessen und Geräten Zugriff auf Amazon Simple Storage Service (Amazon S3) -Buckets gewähren. Die Verwaltung des Zugriffs sollte mit der Klassifizierung der Daten übereinstimmen.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	s3-bucket-public-write-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie nur autorisierten Benutzern, Prozessen und Geräten Zugriff auf Amazon Simple Storage Service (Amazon S3) -Buckets gewähren. Die Verwaltung des Zugriffs sollte mit der Klassifizierung der Daten übereinstimmen.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	s3-bucket-replication-enabled	Amazon Simple Storage Service (Amazon S3) Cross-Region Replication (CRR) unterstützt die Aufrechterhaltung einer angemessenen Kapazität und Verfügbarkeit. CRR ermöglicht das automatische, asynchrone Kopieren von Objekten in Amazon S3 Buckets, um die Datenverfügbarkeit sicherzustellen.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	s3-bucket-server-side-encryption-enabled	Zum Schutz von Daten im Ruhezustand müssen Sie sicherstellen, dass die Verschlüsselung für Ihre Amazon Simple Storage Service (Amazon S3)-Buckets aktiviert ist. Da sensible Daten in Amazon S3 Buckets gespeichert werden können, sollten Sie die Verschlüsselung aktivieren, um diese Daten zu schützen.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	s3-bucket-ssl-requests-only	Um Daten während der Übertragung zu schützen, stellen Sie sicher, dass Ihre Amazon Simple Storage Service (Amazon S3)-Buckets Anfragen zur Verwendung von Secure Socket Layer (SSL)-Buckets erfordern. Da sensible Daten vorhanden sein können, sollten Sie die Verschlüsselung bei der Übertragung aktivieren, um diese Daten zu schützen.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	s3-bucket-versioning-enabled	Die Versionsverwaltung von Amazon Simple Storage Service (Amazon S3)-Buckets hilft dabei, mehrere Varianten eines Objekts im selben Amazon-S3-Bucket zu speichern. Verwenden Sie die Versionsverwaltung, um sämtliche Versionen aller Objekte in Ihrem Amazon-S3-Bucket zu speichern, abzurufen oder wiederherzustellen. Mit der Versionsverwaltung können Sie Versionen sowohl nach unbeabsichtigten Benutzeraktionen als auch nach Anwendungsfehlern problemlos wiederherstellen.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	s3-default-encryption-kms	Stellen Sie sicher, dass die Verschlüsselung für Ihre Amazon Simple Storage Service (Amazon S3)-Buckets aktiviert ist. Da sensible Daten in einem Amazon S3 Bucket gespeichert werden können, sollten Sie die Verschlüsselung im Ruhezustand aktivieren, um diese Daten zu schützen.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	sagemaker-endpoint-configuration-kms-key-configured	Um Daten im Ruhezustand zu schützen, stellen Sie sicher, dass die Verschlüsselung mit dem AWS Key Management Service (AWS KMS) für Ihren SageMaker Endpunkt aktiviert ist. Da sensible Daten auf dem SageMaker Endgerät gespeichert werden können, sollten Sie die Verschlüsselung im Ruhezustand aktivieren, um diese Daten zu schützen.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	sagemaker-notebook-instance-kms-key-configured	Um Daten im Ruhezustand zu schützen, sollten Sie sicherstellen, dass die Verschlüsselung mit dem AWS Key Management Service (AWS KMS) für Ihr SageMaker Notebook aktiviert ist. Da vertrauliche Daten im SageMaker Notebook gespeichert werden können, sollten Sie die Verschlüsselung im Ruhezustand aktivieren, um diese Daten zu schützen.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	ssm-document-not-public	Stellen Sie sicher, dass AWS Systems Manager (SSM) -Dokumente nicht öffentlich sind, da dies einen unbeabsichtigten Zugriff auf Ihre SSM-Dokumente ermöglichen kann. Ein öffentliches SSM-Dokument kann Informationen über Ihr Konto, Ihre Ressourcen und internen Prozesse preisgeben.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	vpc-vpn-2-tunnels-up	Redundante Site-to-Site-VPN-Tunnel können implementiert werden, um die Anforderungen an die Ausfallsicherheit zu erfüllen. Dabei werden zwei Tunnel verwendet, um die Konnektivität sicherzustellen, falls eine der Site-to-Site-VPN-Verbindungen nicht verfügbar ist. Mithilfe eines zweiten Kunden-Gateway-Geräts können Sie eine zweite Site-to-Site-VPN-Verbindung mit Ihrer Amazon Virtual Private Cloud (Amazon VPC) und Ihrem Virtual Private Gateway aufbauen, um sich vor einem Verlust an Konnektivität zu schützen, wenn Ihr Kunden-Gateway nicht verfügbar ist.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	api-gw-ssl-enabled	Stellen Sie sicher, dass die REST-API-Stufen von Amazon API Gateway mit SSL-Zertifikaten konfiguriert sind, damit Backend-Systeme überprüfen können, ob Anforderungen von API Gateway stammen.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	backup-recovery-point-encrypted	Stellen Sie sicher, dass die Verschlüsselung für Ihre AWS Backup-Wiederherstellungspunkte aktiviert ist. Da sensible Daten auch im Ruhezustand vorhanden sein können, sollten Sie die Verschlüsselung im Ruhezustand aktivieren, um diese Daten zu schützen.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	redshift-cluster-kms-enabled	Um Daten im Ruhezustand zu schützen, stellen Sie sicher, dass die Verschlüsselung mit AWS Key Management Service (AWS KMS) für Ihren Amazon Redshift Redshift-Cluster aktiviert ist. Um eventuell vorhandene sensible Daten im Ruhezustand in Redshift-Clustern zu schützen, muss die Verschlüsselung von Daten im Ruhezustand aktiviert sein.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	s3-bucket-level-public-access-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Simple Storage Service (Amazon S3) -Buckets nicht öffentlich zugänglich sind. Diese Regel trägt dazu bei, sensible Daten vor unbefugten Remote-Benutzern zu schützen, indem sie den öffentlichen Zugriff auf Bucket-Ebene verhindert.
T0017	Wenden Sie die Prinzipien der serviceorientierten Sicherheitsarchitektur an, um die Anforderungen des Unternehmens an Vertraulichkeit, Integrität und Verfügbarkeit zu erfüllen.	subnet-auto-assign-public-ip-disabled	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass Amazon Virtual Private Cloud (VPC) -Subnetzen nicht automatisch eine öffentliche IP-Adresse zugewiesen wird. Bei Amazon-Elastic-Compute-Cloud (EC2)-Instances, die in Subnetzen gestartet werden, in denen dieses Attribut aktiviert ist, wird der primären Netzwerkschnittstelle eine öffentliche IP-Adresse zugewiesen.
T0024	Sammeln und verwalten Sie Daten, die für die Berichterstattung zur Systemsicherheit erforderlich sind.	cw-loggroup-retention-period-check	Stellen Sie sicher, dass die Ereignisprotokolldaten für Ihre Protokollgruppen über eine Mindestdauer aufbewahrt werden, um die Fehlerbehebung und forensische Untersuchungen zu unterstützen. Fehlende frühere Ereignisprotokolldaten erschweren die Rekonstruierung und Identifizierung potenziell schädlicher Ereignisse.
T0042	Stimmen Sie sich mit Cyber Defense Analysts ab, um die Aktualisierung von Regeln und Signaturen (z. B. Systeme zur Erkennung und zum Schutz vor Eindringlingen, Virenschutz und Inhaltssperrlisten) für spezielle Cyberabwehranwendungen zu verwalten und zu verwalten.	guardduty-enabled-centralized	Amazon GuardDuty kann mithilfe von Threat Intelligence Feeds helfen, potenzielle Cybersicherheitsereignisse zu überwachen und zu erkennen. Dazu gehören Listen bösartiger IP-Adressen und maschinelles Lernen zur Identifizierung unerwarteter, nicht autorisierter und bösartiger Aktivitäten in Ihrer AWS Cloud-Umgebung.
T0047	Korrelieren Sie Daten zu Vorfällen, um spezifische Sicherheitslücken zu identifizieren und Empfehlungen abzugeben, die eine schnelle Behebung ermöglichen.	guardduty-enabled-centralized	Amazon GuardDuty kann mithilfe von Threat Intelligence Feeds helfen, potenzielle Cybersicherheitsereignisse zu überwachen und zu erkennen. Dazu gehören Listen bösartiger IP-Adressen und maschinelles Lernen zur Identifizierung unerwarteter, nicht autorisierter und bösartiger Aktivitäten in Ihrer AWS Cloud-Umgebung.
T0051	Definition eines angemessenen Niveaus der Systemverfügbarkeit auf der Grundlage kritischer Systemfunktionen und Sicherstellung, dass die Systemanforderungen angemessene Anforderungen an die Notfallwiederherstellung und die Kontinuität des Betriebs enthalten, einschließlich der Anforderungen an Ausfallsicherung/alternativen Standort, Backup-Anforderungen und Anforderungen an die materielle Unterstützbarkeit für die Systemwiederherstellung/-wiederbeschaffung.	backup-recovery-point-encrypted	Stellen Sie sicher, dass die Verschlüsselung für Ihre AWS Backup-Wiederherstellungspunkte aktiviert ist. Da sensible Daten auch im Ruhezustand vorhanden sein können, sollten Sie die Verschlüsselung im Ruhezustand aktivieren, um diese Daten zu schützen.
T0051	Definition eines angemessenen Niveaus der Systemverfügbarkeit auf der Grundlage kritischer Systemfunktionen und Sicherstellung, dass die Systemanforderungen angemessene Anforderungen an die Notfallwiederherstellung und die Kontinuität des Betriebs enthalten, einschließlich der Anforderungen an Ausfallsicherung/alternativen Standort, Backup-Anforderungen und Anforderungen an die materielle Unterstützbarkeit für die Systemwiederherstellung/-wiederbeschaffung.	backup-recovery-point-manual-deletion-disabled	Stellen Sie sicher, dass Ihren AWS Backup-Wiederherstellungspunkten eine ressourcenbasierte Richtlinie zugeordnet ist, die das Löschen von Wiederherstellungspunkten verhindert. Die Verwendung einer ressourcenbasierten Richtlinie zur Verhinderung des Löschens von Wiederherstellungspunkten kann dazu beitragen, ein versehentliches oder absichtliches Löschen zu unterbinden.
T0051	Definition eines angemessenen Niveaus der Systemverfügbarkeit auf der Grundlage kritischer Systemfunktionen und Sicherstellung, dass die Systemanforderungen angemessene Anforderungen an die Notfallwiederherstellung und die Kontinuität des Betriebs enthalten, einschließlich der Anforderungen an Ausfallsicherung/alternativen Standort, Backup-Anforderungen und Anforderungen an die materielle Unterstützbarkeit für die Systemwiederherstellung/-wiederbeschaffung.	db-instance-backup-enabled	Die Sicherungsfunktion von Amazon RDS erstellt Sicherungen Ihrer Datenbanken und Transaktionsprotokolle. Amazon RDS erstellt einen Snapshot für das Speichervolume Ihrer DB-Instance, sodass die gesamte DB-Instance gesichert wird. Sie können im System spezifische Aufbewahrungsfristen festlegen, um Ihre Ausfallsicherheitsanforderungen zu erfüllen.
T0051	Definition eines angemessenen Niveaus der Systemverfügbarkeit auf der Grundlage kritischer Systemfunktionen und Sicherstellung, dass die Systemanforderungen angemessene Anforderungen an die Notfallwiederherstellung und die Kontinuität des Betriebs enthalten, einschließlich der Anforderungen an Ausfallsicherung/alternativen Standort, Backup-Anforderungen und Anforderungen an die materielle Unterstützbarkeit für die Systemwiederherstellung/-wiederbeschaffung.	dynamodb-autoscaling-enabled	Amazon DynamoDB Auto Scaling verwendet den AWS Application Auto Scaling-Service, um die bereitgestellte Durchsatzkapazität so anzupassen, dass sie automatisch auf tatsächliche Verkehrsmuster reagiert. Auf diese Weise kann eine Tabelle oder ein globaler sekundärer Index die bereitgestellte Lese-/Schreibkapazität erhöhen, um plötzliche Erhöhungen des Datenverkehrs ohne Drosselung zu bewältigen.
T0051	Definition eines angemessenen Niveaus der Systemverfügbarkeit auf der Grundlage kritischer Systemfunktionen und Sicherstellung, dass die Systemanforderungen angemessene Anforderungen an die Notfallwiederherstellung und die Kontinuität des Betriebs enthalten, einschließlich der Anforderungen an Ausfallsicherung/alternativen Standort, Backup-Anforderungen und Anforderungen an die materielle Unterstützbarkeit für die Systemwiederherstellung/-wiederbeschaffung.	dynamodb-in-backup-plan	Um Sie bei Datensicherungsprozessen zu unterstützen, stellen Sie sicher, dass Ihre Amazon DynamoDB-Tabellen Teil eines AWS Backup-Plans sind. AWS Backup ist ein vollständig verwalteter Backup-Service mit einer richtlinienbasierten Backup-Lösung. Diese Lösung vereinfacht Ihr Sicherungsmanagement und erleichtert Ihnen die Erfüllung von geschäftlichen und behördlichen Compliance-Anforderungen hinsichtlich Datensicherungen.
T0051	Definition eines angemessenen Niveaus der Systemverfügbarkeit auf der Grundlage kritischer Systemfunktionen und Sicherstellung, dass die Systemanforderungen angemessene Anforderungen an die Notfallwiederherstellung und die Kontinuität des Betriebs enthalten, einschließlich der Anforderungen an Ausfallsicherung/alternativen Standort, Backup-Anforderungen und Anforderungen an die materielle Unterstützbarkeit für die Systemwiederherstellung/-wiederbeschaffung.	dynamodb-pitr-enabled	Aktivieren Sie diese Regel, um zu überprüfen, ob die Informationen gesichert wurden. Es verwaltet auch die Backups, indem es sicherstellt, dass die point-in-time Wiederherstellung in Amazon DynamoDB aktiviert ist. Bei der Wiederherstellung werden fortlaufende Backups Ihrer Tabelle für die letzten 35 Tage gespeichert.
T0051	Definition eines angemessenen Niveaus der Systemverfügbarkeit auf der Grundlage kritischer Systemfunktionen und Sicherstellung, dass die Systemanforderungen angemessene Anforderungen an die Notfallwiederherstellung und die Kontinuität des Betriebs enthalten, einschließlich der Anforderungen an Ausfallsicherung/alternativen Standort, Backup-Anforderungen und Anforderungen an die materielle Unterstützbarkeit für die Systemwiederherstellung/-wiederbeschaffung.	dynamodb-throughput-limit-check	Aktivieren Sie diese Regel, um sicherzustellen, dass die bereitgestellte Durchsatzkapazität in Ihren Amazon-DynamoDB-Tabellen überprüft wird. Dies ist der Umfang der Lese- und Schreibaktivitäten, der von den jeweiligen Tabellen unterstützt werden kann. DynamoDB verwendet diese Informationen für das Reservieren ausreichender Systemressourcen, um Ihren Durchsatzanforderungen gerecht zu werden. Diese Regel generiert eine Warnung, wenn sich der Durchsatz dem Höchstlimit für ein Kundenkonto nähert. Mit dieser Regel können Sie optional die Parameter AccountRCU ThresholdPercentage (Config Default: 80) und AccountWCU ThresholdPercentage (Config Default: 80) festlegen. Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
T0051	Definition eines angemessenen Niveaus der Systemverfügbarkeit auf der Grundlage kritischer Systemfunktionen und Sicherstellung, dass die Systemanforderungen angemessene Anforderungen an die Notfallwiederherstellung und die Kontinuität des Betriebs enthalten, einschließlich der Anforderungen an Ausfallsicherung/alternativen Standort, Backup-Anforderungen und Anforderungen an die materielle Unterstützbarkeit für die Systemwiederherstellung/-wiederbeschaffung.	ebs-in-backup-plan	Stellen Sie zur Unterstützung der Datensicherungsprozesse sicher, dass Ihre Amazon Elastic Block Store (Amazon EBS) -Volumes Teil eines AWS Backup-Plans sind. AWS Backup ist ein vollständig verwalteter Backup-Service mit einer richtlinienbasierten Backup-Lösung. Diese Lösung vereinfacht Ihre Backup-Verwaltung und ermöglicht es Ihnen, Ihre geschäftlichen und behördlichen Anforderungen bezüglich Backups zu erfüllen.
T0051	Definition eines angemessenen Niveaus der Systemverfügbarkeit auf der Grundlage kritischer Systemfunktionen und Sicherstellung, dass die Systemanforderungen angemessene Anforderungen an die Notfallwiederherstellung und die Kontinuität des Betriebs enthalten, einschließlich der Anforderungen an Ausfallsicherung/alternativen Standort, Backup-Anforderungen und Anforderungen an die materielle Unterstützbarkeit für die Systemwiederherstellung/-wiederbeschaffung.	efs-in-backup-plan	Um Sie bei Datensicherungsprozessen zu unterstützen, stellen Sie sicher, dass Ihre Amazon Elastic File System (Amazon EFS) -Dateisysteme Teil eines AWS Backup-Plans sind. AWS Backup ist ein vollständig verwalteter Backup-Service mit einer richtlinienbasierten Backup-Lösung. Diese Lösung vereinfacht Ihr Sicherungsmanagement und erleichtert Ihnen die Erfüllung von geschäftlichen und behördlichen Compliance-Anforderungen hinsichtlich Datensicherungen.
T0051	Definition eines angemessenen Niveaus der Systemverfügbarkeit auf der Grundlage kritischer Systemfunktionen und Sicherstellung, dass die Systemanforderungen angemessene Anforderungen an die Notfallwiederherstellung und die Kontinuität des Betriebs enthalten, einschließlich der Anforderungen an Ausfallsicherung/alternativen Standort, Backup-Anforderungen und Anforderungen an die materielle Unterstützbarkeit für die Systemwiederherstellung/-wiederbeschaffung.	elasticache-redis-cluster-automatic-backup-check	Wenn automatische Backups aktiviert sind, ElastiCache erstellt Amazon täglich ein Backup des Clusters. Die Sicherung kann für eine von Ihrer Organisation festgelegte Anzahl von Tagen aufbewahrt werden. Automatische Backups schützen vor Datenverlust. Bei einem Ausfall können Sie einen neuen Cluster erstellen, der Ihre Daten aus dem aktuellen Backup wiederherstellt.
T0051	Definition eines angemessenen Niveaus der Systemverfügbarkeit auf der Grundlage kritischer Systemfunktionen und Sicherstellung, dass die Systemanforderungen angemessene Anforderungen an die Notfallwiederherstellung und die Kontinuität des Betriebs enthalten, einschließlich der Anforderungen an Ausfallsicherung/alternativen Standort, Backup-Anforderungen und Anforderungen an die materielle Unterstützbarkeit für die Systemwiederherstellung/-wiederbeschaffung.	elb-cross-zone-load-balancing-enabled	Ermöglichen Sie zonenübergreifendes Load Balancing für Ihre Elastic Load Balancers (ELBs), um eine angemessene Kapazität und Verfügbarkeit aufrechtzuerhalten. Zonenübergreifendes Load Balancing reduziert die Notwendigkeit, die gleiche Anzahl von Instances in jeder aktivierten Availability Zone aufrechtzuerhalten. Es verbessert auch die Fähigkeit Ihrer Anwendung, den Verlust einer oder mehrerer Instances zu bewältigen.
T0051	Definition eines angemessenen Niveaus der Systemverfügbarkeit auf der Grundlage kritischer Systemfunktionen und Sicherstellung, dass die Systemanforderungen angemessene Anforderungen an die Notfallwiederherstellung und die Kontinuität des Betriebs enthalten, einschließlich der Anforderungen an Ausfallsicherung/alternativen Standort, Backup-Anforderungen und Anforderungen an die materielle Unterstützbarkeit für die Systemwiederherstellung/-wiederbeschaffung.	elb-deletion-protection-enabled	Diese Regel sorgt dafür, dass der Löschschutz für Elastic Load Balancing aktiviert ist. Verwenden Sie diese Funktion, um zu verhindern, dass Ihr Load Balancer versehentlich oder böswillig gelöscht wird, was zum Verlust der Verfügbarkeit Ihrer Anwendungen führen kann.
T0051	Definition eines angemessenen Niveaus der Systemverfügbarkeit auf der Grundlage kritischer Systemfunktionen und Sicherstellung, dass die Systemanforderungen angemessene Anforderungen an die Notfallwiederherstellung und die Kontinuität des Betriebs enthalten, einschließlich der Anforderungen an Ausfallsicherung/alternativen Standort, Backup-Anforderungen und Anforderungen an die materielle Unterstützbarkeit für die Systemwiederherstellung/-wiederbeschaffung.	rds-instance-deletion-protection-enabled	Stellen Sie sicher, dass Amazon Relational Database Service (Amazon RDS)-Instances den Löschschutz aktiviert haben. Verwenden Sie den Löschschutz, um zu verhindern, dass Ihre Amazon-RDS-Instances versehentlich oder böswillig gelöscht werden, was zum Verlust der Verfügbarkeit Ihrer Anwendungen führen kann.
T0051	Definition eines angemessenen Niveaus der Systemverfügbarkeit auf der Grundlage kritischer Systemfunktionen und Sicherstellung, dass die Systemanforderungen angemessene Anforderungen an die Notfallwiederherstellung und die Kontinuität des Betriebs enthalten, einschließlich der Anforderungen an Ausfallsicherung/alternativen Standort, Backup-Anforderungen und Anforderungen an die materielle Unterstützbarkeit für die Systemwiederherstellung/-wiederbeschaffung.	rds-in-backup-plan	Um Sie bei Datensicherungsprozessen zu unterstützen, stellen Sie sicher, dass Ihre Amazon Relational Database Service (Amazon RDS) -Instances Teil eines AWS Backup-Plans sind. AWS Backup ist ein vollständig verwalteter Backup-Service mit einer richtlinienbasierten Backup-Lösung. Diese Lösung vereinfacht Ihr Sicherungsmanagement und erleichtert Ihnen die Erfüllung von geschäftlichen und behördlichen Compliance-Anforderungen hinsichtlich Datensicherungen.
T0051	Definition eines angemessenen Niveaus der Systemverfügbarkeit auf der Grundlage kritischer Systemfunktionen und Sicherstellung, dass die Systemanforderungen angemessene Anforderungen an die Notfallwiederherstellung und die Kontinuität des Betriebs enthalten, einschließlich der Anforderungen an Ausfallsicherung/alternativen Standort, Backup-Anforderungen und Anforderungen an die materielle Unterstützbarkeit für die Systemwiederherstellung/-wiederbeschaffung.	rds-multi-az-support	Die Multi-AZ-Unterstützung in Amazon Relational Database Service (Amazon RDS) bietet eine verbesserte Verfügbarkeit und Beständigkeit von Datenbank-Instances. Wenn Sie eine Multi-AZ-Datenbank-Instance bereitstellen, erstellt Amazon RDS automatisch eine primäre Datenbank-Instance und repliziert die Daten synchron auf eine Standby-Instance in einer anderen Availability Zone. Jede Availability Zone läuft auf einer eigenen, physisch getrennten, unabhängigen Infrastruktur und ist auf eine hohe Verfügbarkeit ausgelegt. Im Falle eines Infrastrukturausfalls führt Amazon RDS einen automatischen Failover zum Standby-Modus durch, sodass Sie den Datenbankbetrieb wieder aufnehmen können, sobald der Failover abgeschlossen ist.
T0051	Definition eines angemessenen Niveaus der Systemverfügbarkeit auf der Grundlage kritischer Systemfunktionen und Sicherstellung, dass die Systemanforderungen angemessene Anforderungen an die Notfallwiederherstellung und die Kontinuität des Betriebs enthalten, einschließlich der Anforderungen an Ausfallsicherung/alternativen Standort, Backup-Anforderungen und Anforderungen an die materielle Unterstützbarkeit für die Systemwiederherstellung/-wiederbeschaffung.	redshift-backup-enabled	Stellen Sie zur Unterstützung der Datensicherungsprozesse sicher, dass Ihre Amazon-Redshift-Cluster über automatisierte Snapshots verfügen. Wenn automatisierte Snapshots für einen Cluster aktiviert sind, erstellt Redshift in regelmäßigen Abständen Snapshots dieses Clusters. Standardmäßig erstellt Redshift alle acht Stunden oder alle 5 GB einen Snapshot für jeden Knoten mit Datenänderungen oder je nachdem, was zuerst eintritt.
T0051	Definition eines angemessenen Niveaus der Systemverfügbarkeit auf der Grundlage kritischer Systemfunktionen und Sicherstellung, dass die Systemanforderungen angemessene Anforderungen an die Notfallwiederherstellung und die Kontinuität des Betriebs enthalten, einschließlich der Anforderungen an Ausfallsicherung/alternativen Standort, Backup-Anforderungen und Anforderungen an die materielle Unterstützbarkeit für die Systemwiederherstellung/-wiederbeschaffung.	s3-bucket-replication-enabled	Amazon Simple Storage Service (Amazon S3) Cross-Region Replication (CRR) unterstützt die Aufrechterhaltung einer angemessenen Kapazität und Verfügbarkeit. CRR ermöglicht das automatische, asynchrone Kopieren von Objekten in Amazon S3 Buckets, um die Datenverfügbarkeit sicherzustellen.
T0051	Definition eines angemessenen Niveaus der Systemverfügbarkeit auf der Grundlage kritischer Systemfunktionen und Sicherstellung, dass die Systemanforderungen angemessene Anforderungen an die Notfallwiederherstellung und die Kontinuität des Betriebs enthalten, einschließlich der Anforderungen an Ausfallsicherung/alternativen Standort, Backup-Anforderungen und Anforderungen an die materielle Unterstützbarkeit für die Systemwiederherstellung/-wiederbeschaffung.	s3-bucket-versioning-enabled	Die Versionsverwaltung von Amazon Simple Storage Service (Amazon S3)-Buckets hilft dabei, mehrere Varianten eines Objekts im selben Amazon-S3-Bucket zu speichern. Verwenden Sie die Versionsverwaltung, um sämtliche Versionen aller Objekte in Ihrem Amazon-S3-Bucket zu speichern, abzurufen oder wiederherzustellen. Mit der Versionsverwaltung können Sie Versionen sowohl nach unbeabsichtigten Benutzeraktionen als auch nach Anwendungsfehlern problemlos wiederherstellen.
T0051	Definition eines angemessenen Niveaus der Systemverfügbarkeit auf der Grundlage kritischer Systemfunktionen und Sicherstellung, dass die Systemanforderungen angemessene Anforderungen an die Notfallwiederherstellung und die Kontinuität des Betriebs enthalten, einschließlich der Anforderungen an Ausfallsicherung/alternativen Standort, Backup-Anforderungen und Anforderungen an die materielle Unterstützbarkeit für die Systemwiederherstellung/-wiederbeschaffung.	vpc-vpn-2-tunnels-up	Redundante Site-to-Site-VPN-Tunnel können implementiert werden, um die Anforderungen an die Ausfallsicherheit zu erfüllen. Dabei werden zwei Tunnel verwendet, um die Konnektivität sicherzustellen, falls eine der Site-to-Site-VPN-Verbindungen nicht verfügbar ist. Mithilfe eines zweiten Kunden-Gateway-Geräts können Sie eine zweite Site-to-Site-VPN-Verbindung mit Ihrer Amazon Virtual Private Cloud (Amazon VPC) und Ihrem Virtual Private Gateway aufbauen, um sich vor einem Verlust an Konnektivität zu schützen, wenn Ihr Kunden-Gateway nicht verfügbar ist.
T0051	Definition eines angemessenen Niveaus der Systemverfügbarkeit auf der Grundlage kritischer Systemfunktionen und Sicherstellung, dass die Systemanforderungen angemessene Anforderungen an die Notfallwiederherstellung und die Kontinuität des Betriebs enthalten, einschließlich der Anforderungen an Ausfallsicherung/alternativen Standort, Backup-Anforderungen und Anforderungen an die materielle Unterstützbarkeit für die Systemwiederherstellung/-wiederbeschaffung.	backup-plan-min-frequency-and-min-retention-check	Um Sie bei Datensicherungsprozessen zu unterstützen, stellen Sie sicher, dass Ihr AWS Backup-Plan auf eine Mindestfrequenz und Aufbewahrung festgelegt ist. AWS Backup ist ein vollständig verwalteter Backup-Service mit einer richtlinienbasierten Backup-Lösung. Diese Lösung vereinfacht Ihr Sicherungsmanagement und erleichtert Ihnen die Erfüllung von geschäftlichen und behördlichen Compliance-Anforderungen hinsichtlich Datensicherungen. Mit dieser Regel können Sie die Parameter requiredFrequencyValue (Config default: 1), requiredRetentionDays (Config default: 35) und requiredFrequencyUnit (Config default: days) festlegen. Der tatsächliche Wert muss den Anforderungen Ihrer Organisation entsprechen.
T0051	Definition eines angemessenen Niveaus der Systemverfügbarkeit auf der Grundlage kritischer Systemfunktionen und Sicherstellung, dass die Systemanforderungen angemessene Anforderungen an die Notfallwiederherstellung und die Kontinuität des Betriebs enthalten, einschließlich der Anforderungen an Ausfallsicherung/alternativen Standort, Backup-Anforderungen und Anforderungen an die materielle Unterstützbarkeit für die Systemwiederherstellung/-wiederbeschaffung.	ec2-resources-protected-by-backup-plan	Um Sie bei Datensicherungsprozessen zu unterstützen, stellen Sie sicher, dass Ihre Amazon Elastic Compute Cloud (Amazon EC2) -Ressourcen Teil eines AWS Backup-Plans sind. AWS Backup ist ein vollständig verwalteter Backup-Service mit einer richtlinienbasierten Backup-Lösung. Diese Lösung vereinfacht Ihr Sicherungsmanagement und erleichtert Ihnen die Erfüllung von geschäftlichen und behördlichen Compliance-Anforderungen hinsichtlich Datensicherungen.
T0065	Entwickeln und implementieren Sie Verfahren zur Netzwerksicherung und -wiederherstellung.	backup-plan-min-frequency-and-min-retention-check	Um Sie bei Datensicherungsprozessen zu unterstützen, stellen Sie sicher, dass Ihr AWS Backup-Plan auf eine Mindestfrequenz und Aufbewahrung festgelegt ist. AWS Backup ist ein vollständig verwalteter Backup-Service mit einer richtlinienbasierten Backup-Lösung. Diese Lösung vereinfacht Ihr Sicherungsmanagement und erleichtert Ihnen die Erfüllung von geschäftlichen und behördlichen Compliance-Anforderungen hinsichtlich Datensicherungen. Mit dieser Regel können Sie die Parameter requiredFrequencyValue (Config default: 1), requiredRetentionDays (Config default: 35) und requiredFrequencyUnit (Config default: days) festlegen. Der tatsächliche Wert muss den Anforderungen Ihrer Organisation entsprechen.
T0065	Entwickeln und implementieren Sie Verfahren zur Netzwerksicherung und -wiederherstellung.	backup-recovery-point-encrypted	Stellen Sie sicher, dass die Verschlüsselung für Ihre AWS Backup-Wiederherstellungspunkte aktiviert ist. Da sensible Daten auch im Ruhezustand vorhanden sein können, sollten Sie die Verschlüsselung im Ruhezustand aktivieren, um diese Daten zu schützen.
T0065	Entwickeln und implementieren Sie Verfahren zur Netzwerksicherung und -wiederherstellung.	backup-recovery-point-manual-deletion-disabled	Stellen Sie sicher, dass Ihren AWS Backup-Wiederherstellungspunkten eine ressourcenbasierte Richtlinie zugeordnet ist, die das Löschen von Wiederherstellungspunkten verhindert. Die Verwendung einer ressourcenbasierten Richtlinie zur Verhinderung des Löschens von Wiederherstellungspunkten kann dazu beitragen, ein versehentliches oder absichtliches Löschen zu unterbinden.
T0065	Entwickeln und implementieren Sie Verfahren zur Netzwerksicherung und -wiederherstellung.	dynamodb-autoscaling-enabled	Amazon DynamoDB Auto Scaling verwendet den AWS Application Auto Scaling-Service, um die bereitgestellte Durchsatzkapazität so anzupassen, dass sie automatisch auf tatsächliche Verkehrsmuster reagiert. Auf diese Weise kann eine Tabelle oder ein globaler sekundärer Index die bereitgestellte Lese-/Schreibkapazität erhöhen, um plötzliche Erhöhungen des Datenverkehrs ohne Drosselung zu bewältigen.
T0065	Entwickeln und implementieren Sie Verfahren zur Netzwerksicherung und -wiederherstellung.	dynamodb-in-backup-plan	Um Sie bei Datensicherungsprozessen zu unterstützen, stellen Sie sicher, dass Ihre Amazon DynamoDB-Tabellen Teil eines AWS Backup-Plans sind. AWS Backup ist ein vollständig verwalteter Backup-Service mit einer richtlinienbasierten Backup-Lösung. Diese Lösung vereinfacht Ihr Sicherungsmanagement und erleichtert Ihnen die Erfüllung von geschäftlichen und behördlichen Compliance-Anforderungen hinsichtlich Datensicherungen.
T0065	Entwickeln und implementieren Sie Verfahren zur Netzwerksicherung und -wiederherstellung.	ebs-in-backup-plan	Stellen Sie zur Unterstützung der Datensicherungsprozesse sicher, dass Ihre Amazon Elastic Block Store (Amazon EBS) -Volumes Teil eines AWS Backup-Plans sind. AWS Backup ist ein vollständig verwalteter Backup-Service mit einer richtlinienbasierten Backup-Lösung. Diese Lösung vereinfacht Ihre Backup-Verwaltung und ermöglicht es Ihnen, Ihre geschäftlichen und behördlichen Anforderungen bezüglich Backups zu erfüllen.
T0065	Entwickeln und implementieren Sie Verfahren zur Netzwerksicherung und -wiederherstellung.	ec2-resources-protected-by-backup-plan	Um Sie bei Datensicherungsprozessen zu unterstützen, stellen Sie sicher, dass Ihre Amazon Elastic Compute Cloud (Amazon EC2) -Ressourcen Teil eines AWS Backup-Plans sind. AWS Backup ist ein vollständig verwalteter Backup-Service mit einer richtlinienbasierten Backup-Lösung. Diese Lösung vereinfacht Ihr Sicherungsmanagement und erleichtert Ihnen die Erfüllung von geschäftlichen und behördlichen Compliance-Anforderungen hinsichtlich Datensicherungen.
T0065	Entwickeln und implementieren Sie Verfahren zur Netzwerksicherung und -wiederherstellung.	efs-in-backup-plan	Um Sie bei Datensicherungsprozessen zu unterstützen, stellen Sie sicher, dass Ihre Amazon Elastic File System (Amazon EFS) -Dateisysteme Teil eines AWS Backup-Plans sind. AWS Backup ist ein vollständig verwalteter Backup-Service mit einer richtlinienbasierten Backup-Lösung. Diese Lösung vereinfacht Ihr Sicherungsmanagement und erleichtert Ihnen die Erfüllung von geschäftlichen und behördlichen Compliance-Anforderungen hinsichtlich Datensicherungen.
T0065	Entwickeln und implementieren Sie Verfahren zur Netzwerksicherung und -wiederherstellung.	elb-cross-zone-load-balancing-enabled	Ermöglichen Sie zonenübergreifendes Load Balancing für Ihre Elastic Load Balancers (ELBs), um eine angemessene Kapazität und Verfügbarkeit aufrechtzuerhalten. Zonenübergreifendes Load Balancing reduziert die Notwendigkeit, die gleiche Anzahl von Instances in jeder aktivierten Availability Zone aufrechtzuerhalten. Es verbessert auch die Fähigkeit Ihrer Anwendung, den Verlust einer oder mehrerer Instances zu bewältigen.
T0065	Entwickeln und implementieren Sie Verfahren zur Netzwerksicherung und -wiederherstellung.	elb-deletion-protection-enabled	Diese Regel sorgt dafür, dass der Löschschutz für Elastic Load Balancing aktiviert ist. Verwenden Sie diese Funktion, um zu verhindern, dass Ihr Load Balancer versehentlich oder böswillig gelöscht wird, was zum Verlust der Verfügbarkeit Ihrer Anwendungen führen kann.
T0065	Entwickeln und implementieren Sie Verfahren zur Netzwerksicherung und -wiederherstellung.	rds-instance-deletion-protection-enabled	Stellen Sie sicher, dass Amazon Relational Database Service (Amazon RDS)-Instances den Löschschutz aktiviert haben. Verwenden Sie den Löschschutz, um zu verhindern, dass Ihre Amazon-RDS-Instances versehentlich oder böswillig gelöscht werden, was zum Verlust der Verfügbarkeit Ihrer Anwendungen führen kann.
T0065	Entwickeln und implementieren Sie Verfahren zur Netzwerksicherung und -wiederherstellung.	rds-in-backup-plan	Um Sie bei Datensicherungsprozessen zu unterstützen, stellen Sie sicher, dass Ihre Amazon Relational Database Service (Amazon RDS) -Instances Teil eines AWS Backup-Plans sind. AWS Backup ist ein vollständig verwalteter Backup-Service mit einer richtlinienbasierten Backup-Lösung. Diese Lösung vereinfacht Ihr Sicherungsmanagement und erleichtert Ihnen die Erfüllung von geschäftlichen und behördlichen Compliance-Anforderungen hinsichtlich Datensicherungen.
T0065	Entwickeln und implementieren Sie Verfahren zur Netzwerksicherung und -wiederherstellung.	rds-multi-az-support	Die Multi-AZ-Unterstützung in Amazon Relational Database Service (Amazon RDS) bietet eine verbesserte Verfügbarkeit und Beständigkeit von Datenbank-Instances. Wenn Sie eine Multi-AZ-Datenbank-Instance bereitstellen, erstellt Amazon RDS automatisch eine primäre Datenbank-Instance und repliziert die Daten synchron auf eine Standby-Instance in einer anderen Availability Zone. Jede Availability Zone läuft auf einer eigenen, physisch getrennten, unabhängigen Infrastruktur und ist auf eine hohe Verfügbarkeit ausgelegt. Im Falle eines Infrastrukturausfalls führt Amazon RDS einen automatischen Failover zum Standby-Modus durch, sodass Sie den Datenbankbetrieb wieder aufnehmen können, sobald der Failover abgeschlossen ist.
T0065	Entwickeln und implementieren Sie Verfahren zur Netzwerksicherung und -wiederherstellung.	redshift-backup-enabled	Stellen Sie zur Unterstützung der Datensicherungsprozesse sicher, dass Ihre Amazon-Redshift-Cluster über automatisierte Snapshots verfügen. Wenn automatisierte Snapshots für einen Cluster aktiviert sind, erstellt Redshift in regelmäßigen Abständen Snapshots dieses Clusters. Standardmäßig erstellt Redshift alle acht Stunden oder alle 5 GB einen Snapshot für jeden Knoten mit Datenänderungen oder je nachdem, was zuerst eintritt.
T0065	Entwickeln und implementieren Sie Verfahren zur Netzwerksicherung und -wiederherstellung.	vpc-vpn-2-tunnels-up	Redundante Site-to-Site-VPN-Tunnel können implementiert werden, um die Anforderungen an die Ausfallsicherheit zu erfüllen. Dabei werden zwei Tunnel verwendet, um die Konnektivität sicherzustellen, falls eine der Site-to-Site-VPN-Verbindungen nicht verfügbar ist. Mithilfe eines zweiten Kunden-Gateway-Geräts können Sie eine zweite Site-to-Site-VPN-Verbindung mit Ihrer Amazon Virtual Private Cloud (Amazon VPC) und Ihrem Virtual Private Gateway aufbauen, um sich vor einem Verlust an Konnektivität zu schützen, wenn Ihr Kunden-Gateway nicht verfügbar ist.
T0065	Entwickeln und implementieren Sie Verfahren zur Netzwerksicherung und -wiederherstellung.	db-instance-backup-enabled	Die Sicherungsfunktion von Amazon RDS erstellt Sicherungen Ihrer Datenbanken und Transaktionsprotokolle. Amazon RDS erstellt einen Snapshot für das Speichervolume Ihrer DB-Instance, sodass die gesamte DB-Instance gesichert wird. Sie können im System spezifische Aufbewahrungsfristen festlegen, um Ihre Ausfallsicherheitsanforderungen zu erfüllen.
T0065	Entwickeln und implementieren Sie Verfahren zur Netzwerksicherung und -wiederherstellung.	dynamodb-pitr-enabled	Aktivieren Sie diese Regel, um zu überprüfen, ob die Informationen gesichert wurden. Es verwaltet auch die Backups, indem es sicherstellt, dass die point-in-time Wiederherstellung in Amazon DynamoDB aktiviert ist. Bei der Wiederherstellung werden fortlaufende Backups Ihrer Tabelle für die letzten 35 Tage gespeichert.
T0065	Entwickeln und implementieren Sie Verfahren zur Netzwerksicherung und -wiederherstellung.	elasticache-redis-cluster-automatic-backup-check	Wenn automatische Backups aktiviert sind, ElastiCache erstellt Amazon täglich ein Backup des Clusters. Die Sicherung kann für eine von Ihrer Organisation festgelegte Anzahl von Tagen aufbewahrt werden. Automatische Backups schützen vor Datenverlust. Bei einem Ausfall können Sie einen neuen Cluster erstellen, der Ihre Daten aus dem aktuellen Backup wiederherstellt.
T0065	Entwickeln und implementieren Sie Verfahren zur Netzwerksicherung und -wiederherstellung.	redshift-cluster-maintenancesettings-check	Diese Regel stellt sicher, dass Amazon-Redshift-Cluster die bevorzugten Einstellungen für Ihre Organisation haben. Insbesondere sorgt sie dafür, dass Cluster bevorzugte Wartungsfenster und automatisierte Aufbewahrungsfristen für Snapshots für die Datenbank haben. Für diese Regel müssen Sie die festlegen allowVersionUpgrade. Der Standardwert ist „true“. Außerdem können Sie optional den Zeitraum preferredMaintenanceWindow (der Standardwert ist sa: 16:00 -sa: 16:30) und den automatedSnapshotRetention Zeitraum (der Standardwert ist 1) festlegen. Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
T0065	Entwickeln und implementieren Sie Verfahren zur Netzwerksicherung und -wiederherstellung.	s3-bucket-replication-enabled	Amazon Simple Storage Service (Amazon S3) Cross-Region Replication (CRR) unterstützt die Aufrechterhaltung einer angemessenen Kapazität und Verfügbarkeit. CRR ermöglicht das automatische, asynchrone Kopieren von Objekten in Amazon S3 Buckets, um die Datenverfügbarkeit sicherzustellen.
T0065	Entwickeln und implementieren Sie Verfahren zur Netzwerksicherung und -wiederherstellung.	s3-bucket-versioning-enabled	Die Versionsverwaltung von Amazon Simple Storage Service (Amazon S3)-Buckets hilft dabei, mehrere Varianten eines Objekts im selben Amazon-S3-Bucket zu speichern. Verwenden Sie die Versionsverwaltung, um sämtliche Versionen aller Objekte in Ihrem Amazon-S3-Bucket zu speichern, abzurufen oder wiederherzustellen. Mit der Versionsverwaltung können Sie Versionen sowohl nach unbeabsichtigten Benutzeraktionen als auch nach Anwendungsfehlern problemlos wiederherstellen.
T0070	Entwickeln Sie Pläne für die Notfallwiederherstellung und die Aufrechterhaltung des Betriebs für Systeme, die sich in der Entwicklung befinden, und stellen Sie sicher, dass die Systeme getestet werden, bevor sie in eine Produktionsumgebung übergehen.	backup-plan-min-frequency-and-min-retention-check	Um Sie bei Datensicherungsprozessen zu unterstützen, stellen Sie sicher, dass Ihr AWS Backup-Plan auf eine Mindestfrequenz und Aufbewahrung festgelegt ist. AWS Backup ist ein vollständig verwalteter Backup-Service mit einer richtlinienbasierten Backup-Lösung. Diese Lösung vereinfacht Ihr Sicherungsmanagement und erleichtert Ihnen die Erfüllung von geschäftlichen und behördlichen Compliance-Anforderungen hinsichtlich Datensicherungen. Mit dieser Regel können Sie die Parameter requiredFrequencyValue (Config default: 1), requiredRetentionDays (Config default: 35) und requiredFrequencyUnit (Config default: days) festlegen. Der tatsächliche Wert muss den Anforderungen Ihrer Organisation entsprechen.
T0070	Entwickeln Sie Pläne für die Notfallwiederherstellung und die Aufrechterhaltung des Betriebs für Systeme, die sich in der Entwicklung befinden, und stellen Sie sicher, dass die Systeme getestet werden, bevor sie in eine Produktionsumgebung übergehen.	backup-recovery-point-encrypted	Stellen Sie sicher, dass die Verschlüsselung für Ihre AWS Backup-Wiederherstellungspunkte aktiviert ist. Da sensible Daten auch im Ruhezustand vorhanden sein können, sollten Sie die Verschlüsselung im Ruhezustand aktivieren, um diese Daten zu schützen.
T0070	Entwickeln Sie Pläne für die Notfallwiederherstellung und die Aufrechterhaltung des Betriebs für Systeme, die sich in der Entwicklung befinden, und stellen Sie sicher, dass die Systeme getestet werden, bevor sie in eine Produktionsumgebung übergehen.	backup-recovery-point-manual-deletion-disabled	Stellen Sie sicher, dass Ihren AWS Backup-Wiederherstellungspunkten eine ressourcenbasierte Richtlinie zugeordnet ist, die das Löschen von Wiederherstellungspunkten verhindert. Die Verwendung einer ressourcenbasierten Richtlinie zur Verhinderung des Löschens von Wiederherstellungspunkten kann dazu beitragen, ein versehentliches oder absichtliches Löschen zu unterbinden.
T0070	Entwickeln Sie Pläne für die Notfallwiederherstellung und die Aufrechterhaltung des Betriebs für Systeme, die sich in der Entwicklung befinden, und stellen Sie sicher, dass die Systeme getestet werden, bevor sie in eine Produktionsumgebung übergehen.	dynamodb-in-backup-plan	Um Sie bei Datensicherungsprozessen zu unterstützen, stellen Sie sicher, dass Ihre Amazon DynamoDB-Tabellen Teil eines AWS Backup-Plans sind. AWS Backup ist ein vollständig verwalteter Backup-Service mit einer richtlinienbasierten Backup-Lösung. Diese Lösung vereinfacht Ihr Sicherungsmanagement und erleichtert Ihnen die Erfüllung von geschäftlichen und behördlichen Compliance-Anforderungen hinsichtlich Datensicherungen.
T0070	Entwickeln Sie Pläne für die Notfallwiederherstellung und die Aufrechterhaltung des Betriebs für Systeme, die sich in der Entwicklung befinden, und stellen Sie sicher, dass die Systeme getestet werden, bevor sie in eine Produktionsumgebung übergehen.	ebs-in-backup-plan	Stellen Sie zur Unterstützung der Datensicherungsprozesse sicher, dass Ihre Amazon Elastic Block Store (Amazon EBS) -Volumes Teil eines AWS Backup-Plans sind. AWS Backup ist ein vollständig verwalteter Backup-Service mit einer richtlinienbasierten Backup-Lösung. Diese Lösung vereinfacht Ihre Backup-Verwaltung und ermöglicht es Ihnen, Ihre geschäftlichen und behördlichen Anforderungen bezüglich Backups zu erfüllen.
T0070	Entwickeln Sie Pläne für die Notfallwiederherstellung und die Aufrechterhaltung des Betriebs für Systeme, die sich in der Entwicklung befinden, und stellen Sie sicher, dass die Systeme getestet werden, bevor sie in eine Produktionsumgebung übergehen.	ec2-resources-protected-by-backup-plan	Um Sie bei Datensicherungsprozessen zu unterstützen, stellen Sie sicher, dass Ihre Amazon Elastic Compute Cloud (Amazon EC2) -Ressourcen Teil eines AWS Backup-Plans sind. AWS Backup ist ein vollständig verwalteter Backup-Service mit einer richtlinienbasierten Backup-Lösung. Diese Lösung vereinfacht Ihr Sicherungsmanagement und erleichtert Ihnen die Erfüllung von geschäftlichen und behördlichen Compliance-Anforderungen hinsichtlich Datensicherungen.
T0070	Entwickeln Sie Pläne für die Notfallwiederherstellung und die Aufrechterhaltung des Betriebs für Systeme, die sich in der Entwicklung befinden, und stellen Sie sicher, dass die Systeme getestet werden, bevor sie in eine Produktionsumgebung übergehen.	efs-in-backup-plan	Um Sie bei Datensicherungsprozessen zu unterstützen, stellen Sie sicher, dass Ihre Amazon Elastic File System (Amazon EFS) -Dateisysteme Teil eines AWS Backup-Plans sind. AWS Backup ist ein vollständig verwalteter Backup-Service mit einer richtlinienbasierten Backup-Lösung. Diese Lösung vereinfacht Ihr Sicherungsmanagement und erleichtert Ihnen die Erfüllung von geschäftlichen und behördlichen Compliance-Anforderungen hinsichtlich Datensicherungen.
T0070	Entwickeln Sie Pläne für die Notfallwiederherstellung und die Aufrechterhaltung des Betriebs für Systeme, die sich in der Entwicklung befinden, und stellen Sie sicher, dass die Systeme getestet werden, bevor sie in eine Produktionsumgebung übergehen.	elb-cross-zone-load-balancing-enabled	Ermöglichen Sie zonenübergreifendes Load Balancing für Ihre Elastic Load Balancers (ELBs), um eine angemessene Kapazität und Verfügbarkeit aufrechtzuerhalten. Zonenübergreifendes Load Balancing reduziert die Notwendigkeit, die gleiche Anzahl von Instances in jeder aktivierten Availability Zone aufrechtzuerhalten. Es verbessert auch die Fähigkeit Ihrer Anwendung, den Verlust einer oder mehrerer Instances zu bewältigen.
T0070	Entwickeln Sie Pläne für die Notfallwiederherstellung und die Aufrechterhaltung des Betriebs für Systeme, die sich in der Entwicklung befinden, und stellen Sie sicher, dass die Systeme getestet werden, bevor sie in eine Produktionsumgebung übergehen.	rds-instance-deletion-protection-enabled	Stellen Sie sicher, dass Amazon Relational Database Service (Amazon RDS)-Instances den Löschschutz aktiviert haben. Verwenden Sie den Löschschutz, um zu verhindern, dass Ihre Amazon-RDS-Instances versehentlich oder böswillig gelöscht werden, was zum Verlust der Verfügbarkeit Ihrer Anwendungen führen kann.
T0070	Entwickeln Sie Pläne für die Notfallwiederherstellung und die Aufrechterhaltung des Betriebs für Systeme, die sich in der Entwicklung befinden, und stellen Sie sicher, dass die Systeme getestet werden, bevor sie in eine Produktionsumgebung übergehen.	rds-in-backup-plan	Um Sie bei Datensicherungsprozessen zu unterstützen, stellen Sie sicher, dass Ihre Amazon Relational Database Service (Amazon RDS) -Instances Teil eines AWS Backup-Plans sind. AWS Backup ist ein vollständig verwalteter Backup-Service mit einer richtlinienbasierten Backup-Lösung. Diese Lösung vereinfacht Ihr Sicherungsmanagement und erleichtert Ihnen die Erfüllung von geschäftlichen und behördlichen Compliance-Anforderungen hinsichtlich Datensicherungen.
T0070	Entwickeln Sie Pläne für die Notfallwiederherstellung und die Aufrechterhaltung des Betriebs für Systeme, die sich in der Entwicklung befinden, und stellen Sie sicher, dass die Systeme getestet werden, bevor sie in eine Produktionsumgebung übergehen.	redshift-backup-enabled	Stellen Sie zur Unterstützung der Datensicherungsprozesse sicher, dass Ihre Amazon-Redshift-Cluster über automatisierte Snapshots verfügen. Wenn automatisierte Snapshots für einen Cluster aktiviert sind, erstellt Redshift in regelmäßigen Abständen Snapshots dieses Clusters. Standardmäßig erstellt Redshift alle acht Stunden oder alle 5 GB einen Snapshot für jeden Knoten mit Datenänderungen oder je nachdem, was zuerst eintritt.
T0070	Entwickeln Sie Pläne für die Notfallwiederherstellung und die Aufrechterhaltung des Betriebs für Systeme, die sich in der Entwicklung befinden, und stellen Sie sicher, dass die Systeme getestet werden, bevor sie in eine Produktionsumgebung übergehen.	db-instance-backup-enabled	Die Sicherungsfunktion von Amazon RDS erstellt Sicherungen Ihrer Datenbanken und Transaktionsprotokolle. Amazon RDS erstellt einen Snapshot für das Speichervolume Ihrer DB-Instance, sodass die gesamte DB-Instance gesichert wird. Sie können im System spezifische Aufbewahrungsfristen festlegen, um Ihre Ausfallsicherheitsanforderungen zu erfüllen.
T0070	Entwickeln Sie Pläne für die Notfallwiederherstellung und die Aufrechterhaltung des Betriebs für Systeme, die sich in der Entwicklung befinden, und stellen Sie sicher, dass die Systeme getestet werden, bevor sie in eine Produktionsumgebung übergehen.	dynamodb-autoscaling-enabled	Amazon DynamoDB Auto Scaling verwendet den AWS Application Auto Scaling-Service, um die bereitgestellte Durchsatzkapazität so anzupassen, dass sie automatisch auf tatsächliche Verkehrsmuster reagiert. Auf diese Weise kann eine Tabelle oder ein globaler sekundärer Index die bereitgestellte Lese-/Schreibkapazität erhöhen, um plötzliche Erhöhungen des Datenverkehrs ohne Drosselung zu bewältigen.
T0070	Entwickeln Sie Pläne für die Notfallwiederherstellung und die Aufrechterhaltung des Betriebs für Systeme, die sich in der Entwicklung befinden, und stellen Sie sicher, dass die Systeme getestet werden, bevor sie in eine Produktionsumgebung übergehen.	dynamodb-pitr-enabled	Aktivieren Sie diese Regel, um zu überprüfen, ob die Informationen gesichert wurden. Es verwaltet auch die Backups, indem es sicherstellt, dass die point-in-time Wiederherstellung in Amazon DynamoDB aktiviert ist. Bei der Wiederherstellung werden fortlaufende Backups Ihrer Tabelle für die letzten 35 Tage gespeichert.
T0070	Entwickeln Sie Pläne für die Notfallwiederherstellung und die Aufrechterhaltung des Betriebs für Systeme, die sich in der Entwicklung befinden, und stellen Sie sicher, dass die Systeme getestet werden, bevor sie in eine Produktionsumgebung übergehen.	elasticache-redis-cluster-automatic-backup-check	Wenn automatische Backups aktiviert sind, ElastiCache erstellt Amazon täglich ein Backup des Clusters. Die Sicherung kann für eine von Ihrer Organisation festgelegte Anzahl von Tagen aufbewahrt werden. Automatische Backups schützen vor Datenverlust. Bei einem Ausfall können Sie einen neuen Cluster erstellen, der Ihre Daten aus dem aktuellen Backup wiederherstellt.
T0070	Entwickeln Sie Pläne für die Notfallwiederherstellung und die Aufrechterhaltung des Betriebs für Systeme, die sich in der Entwicklung befinden, und stellen Sie sicher, dass die Systeme getestet werden, bevor sie in eine Produktionsumgebung übergehen.	elb-deletion-protection-enabled	Diese Regel sorgt dafür, dass der Löschschutz für Elastic Load Balancing aktiviert ist. Verwenden Sie diese Funktion, um zu verhindern, dass Ihr Load Balancer versehentlich oder böswillig gelöscht wird, was zum Verlust der Verfügbarkeit Ihrer Anwendungen führen kann.
T0070	Entwickeln Sie Pläne für die Notfallwiederherstellung und die Aufrechterhaltung des Betriebs für Systeme, die sich in der Entwicklung befinden, und stellen Sie sicher, dass die Systeme getestet werden, bevor sie in eine Produktionsumgebung übergehen.	rds-multi-az-support	Die Multi-AZ-Unterstützung in Amazon Relational Database Service (Amazon RDS) bietet eine verbesserte Verfügbarkeit und Beständigkeit von Datenbank-Instances. Wenn Sie eine Multi-AZ-Datenbank-Instance bereitstellen, erstellt Amazon RDS automatisch eine primäre Datenbank-Instance und repliziert die Daten synchron auf eine Standby-Instance in einer anderen Availability Zone. Jede Availability Zone läuft auf einer eigenen, physisch getrennten, unabhängigen Infrastruktur und ist auf eine hohe Verfügbarkeit ausgelegt. Im Falle eines Infrastrukturausfalls führt Amazon RDS einen automatischen Failover zum Standby-Modus durch, sodass Sie den Datenbankbetrieb wieder aufnehmen können, sobald der Failover abgeschlossen ist.
T0070	Entwickeln Sie Pläne für die Notfallwiederherstellung und die Aufrechterhaltung des Betriebs für Systeme, die sich in der Entwicklung befinden, und stellen Sie sicher, dass die Systeme getestet werden, bevor sie in eine Produktionsumgebung übergehen.	s3-bucket-replication-enabled	Amazon Simple Storage Service (Amazon S3) Cross-Region Replication (CRR) unterstützt die Aufrechterhaltung einer angemessenen Kapazität und Verfügbarkeit. CRR ermöglicht das automatische, asynchrone Kopieren von Objekten in Amazon S3 Buckets, um die Datenverfügbarkeit sicherzustellen.
T0070	Entwickeln Sie Pläne für die Notfallwiederherstellung und die Aufrechterhaltung des Betriebs für Systeme, die sich in der Entwicklung befinden, und stellen Sie sicher, dass die Systeme getestet werden, bevor sie in eine Produktionsumgebung übergehen.	s3-bucket-versioning-enabled	Die Versionsverwaltung von Amazon Simple Storage Service (Amazon S3)-Buckets hilft dabei, mehrere Varianten eines Objekts im selben Amazon-S3-Bucket zu speichern. Verwenden Sie die Versionsverwaltung, um sämtliche Versionen aller Objekte in Ihrem Amazon-S3-Bucket zu speichern, abzurufen oder wiederherzustellen. Mit der Versionsverwaltung können Sie Versionen sowohl nach unbeabsichtigten Benutzeraktionen als auch nach Anwendungsfehlern problemlos wiederherstellen.
T0070	Entwickeln Sie Pläne für die Notfallwiederherstellung und die Aufrechterhaltung des Betriebs für Systeme, die sich in der Entwicklung befinden, und stellen Sie sicher, dass die Systeme getestet werden, bevor sie in eine Produktionsumgebung übergehen.	vpc-vpn-2-tunnels-up	Redundante Site-to-Site-VPN-Tunnel können implementiert werden, um die Anforderungen an die Ausfallsicherheit zu erfüllen. Dabei werden zwei Tunnel verwendet, um die Konnektivität sicherzustellen, falls eine der Site-to-Site-VPN-Verbindungen nicht verfügbar ist. Mithilfe eines zweiten Kunden-Gateway-Geräts können Sie eine zweite Site-to-Site-VPN-Verbindung mit Ihrer Amazon Virtual Private Cloud (Amazon VPC) und Ihrem Virtual Private Gateway aufbauen, um sich vor einem Verlust an Konnektivität zu schützen, wenn Ihr Kunden-Gateway nicht verfügbar ist.
T0086	Stellen Sie sicher, dass bei der Installation von Sicherheitspatches für kommerzielle Produkte, die in das Systemdesign integriert sind, die von der Verwaltungsbehörde für die vorgesehene Betriebsumgebung festgelegten Zeitpläne eingehalten werden.	rds-automatic-minor-version-upgrade-enabled	Aktivieren Sie automatische Unterversions-Upgrades auf Ihren Amazon-Relational-Database-Service-(RDS-)-Instances, um sicherzustellen, dass die aktuellen Updates für Unterversionen des Relational Database Management System (RDBMS) installiert sind, die Sicherheitspatches und Bugfixes enthalten können.
T0086	Stellen Sie sicher, dass bei der Installation von Sicherheitspatches für kommerzielle Produkte, die in das Systemdesign integriert sind, die von der Verwaltungsbehörde für die vorgesehene Betriebsumgebung festgelegten Zeitpläne eingehalten werden.	ec2-managedinstance-patch-compliance-status-check	Aktivieren Sie diese Regel, um Amazon Elastic Compute Cloud (Amazon EC2)-Schwachstellen zu identifizieren und zu dokumentieren. Die Regel prüft, ob die Amazon EC2 EC2-Instance die Patch-Konformität im AWS Systems Manager gemäß den Richtlinien und Verfahren Ihres Unternehmens einhält.
T0086	Stellen Sie sicher, dass bei der Installation von Sicherheitspatches für kommerzielle Produkte, die in das Systemdesign integriert sind, die von der Verwaltungsbehörde für die vorgesehene Betriebsumgebung festgelegten Zeitpläne eingehalten werden.	elastic-beanstalk-managed-updates-enabled	Durch die Aktivierung verwalteter Plattformupdates für eine Amazon-Elastic-Beanstalk-Umgebung wird sichergestellt, dass die aktuellen verfügbaren Plattform-Fixes, -Updates und -Features für die Umgebung installiert sind. Eine bewährte Methode zur Sicherung von Systemen besteht darin, stets die aktuellen Patches zu installieren.
T0086	Stellen Sie sicher, dass bei der Installation von Sicherheitspatches für kommerzielle Produkte, die in das Systemdesign integriert sind, die von der Verwaltungsbehörde für die vorgesehene Betriebsumgebung festgelegten Zeitpläne eingehalten werden.	redshift-cluster-maintenancesettings-check	Diese Regel stellt sicher, dass Amazon-Redshift-Cluster die bevorzugten Einstellungen für Ihre Organisation haben. Insbesondere sorgt sie dafür, dass Cluster bevorzugte Wartungsfenster und automatisierte Aufbewahrungsfristen für Snapshots für die Datenbank haben. Für diese Regel müssen Sie die allowVersionUpgrade festlegen. Der Standardwert ist „true“. Außerdem können Sie optional den Zeitraum preferredMaintenanceWindow (der Standardwert ist sa: 16:00 -sa: 16:30) und den automatedSnapshotRetention Zeitraum (der Standardwert ist 1) festlegen. Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
T0110	Identifizieren und/oder ermitteln Sie, ob ein Sicherheitsvorfall auf eine Rechtsverletzung hindeutet, die spezifische rechtliche Schritte erfordert.	securityhub-enabled	AWS Security Hub hilft bei der Überwachung von unbefugtem Personal, Verbindungen, Geräten und Software. AWS Security Hub aggregiert, organisiert und priorisiert die Sicherheitswarnungen oder Ergebnisse mehrerer Dienste. AWS Einige dieser Dienste sind Amazon Security Hub, Amazon Inspector, Amazon Macie, AWS Identity and Access Management (IAM) Access Analyzer und AWS Firewall Manager sowie AWS Partnerlösungen.
T0110	Identifizieren und/oder ermitteln Sie, ob ein Sicherheitsvorfall auf eine Rechtsverletzung hindeutet, die spezifische rechtliche Schritte erfordert.	cloudwatch-alarm-action-check	Amazon CloudWatch alarmiert, wenn eine Metrik den Schwellenwert für eine bestimmte Anzahl von Bewertungszeiträumen überschreitet. Der Alarm führt eine oder mehrere Aktionen durch, die vom Wert der Metrik oder des Ausdrucks im Vergleich zu einem Schwellenwert in einer Reihe von Zeiträumen abhängt. Diese Regel erfordert einen Wert für alarmActionRequired (Config Default: True), insufficientDataAction Required (Config Default: True), okActionRequired (Config Default: False). Der tatsächliche Wert muss die Alarmaktionen für Ihre Umgebung widerspiegeln.
T0110	Identifizieren und/oder ermitteln Sie, ob ein Sicherheitsvorfall auf eine Rechtsverletzung hindeutet, die spezifische rechtliche Schritte erfordert.	guardduty-enabled-centralized	Amazon GuardDuty kann mithilfe von Threat Intelligence Feeds helfen, potenzielle Cybersicherheitsereignisse zu überwachen und zu erkennen. Dazu gehören Listen bösartiger IP-Adressen und maschinelles Lernen zur Identifizierung unerwarteter, nicht autorisierter und bösartiger Aktivitäten in Ihrer AWS Cloud-Umgebung.
T0128	Integrieren Sie automatisierte Funktionen für die Aktualisierung oder das Patchen von Systemsoftware, sofern dies praktikabel ist, und entwickeln Sie Prozesse und Verfahren für die manuelle Aktualisierung und das Patchen von Systemsoftware auf der Grundlage der aktuellen und geplanten Anforderungen an den Patch-Timeline für die Betriebsumgebung des Systems.	rds-automatic-minor-version-upgrade-enabled	Aktivieren Sie automatische Unterversions-Upgrades auf Ihren Amazon-Relational-Database-Service-(RDS-)-Instances, um sicherzustellen, dass die aktuellen Updates für Unterversionen des Relational Database Management System (RDBMS) installiert sind, die Sicherheitspatches und Bugfixes enthalten können.
T0128	Integrieren Sie automatisierte Funktionen für die Aktualisierung oder das Patchen von Systemsoftware, sofern dies praktikabel ist, und entwickeln Sie Prozesse und Verfahren für die manuelle Aktualisierung und das Patchen von Systemsoftware auf der Grundlage der aktuellen und geplanten Anforderungen an den Patch-Timeline für die Betriebsumgebung des Systems.	ec2-managedinstance-patch-compliance-status-check	Aktivieren Sie diese Regel, um Amazon Elastic Compute Cloud (Amazon EC2)-Schwachstellen zu identifizieren und zu dokumentieren. Die Regel prüft, ob die Amazon EC2 EC2-Instance die Patch-Konformität im AWS Systems Manager gemäß den Richtlinien und Verfahren Ihres Unternehmens einhält.
T0128	Integrieren Sie automatisierte Funktionen für die Aktualisierung oder das Patchen von Systemsoftware, sofern dies praktikabel ist, und entwickeln Sie Prozesse und Verfahren für die manuelle Aktualisierung und das Patchen von Systemsoftware auf der Grundlage der aktuellen und geplanten Anforderungen an den Patch-Timeline für die Betriebsumgebung des Systems.	elastic-beanstalk-managed-updates-enabled	Durch die Aktivierung verwalteter Plattformupdates für eine Amazon-Elastic-Beanstalk-Umgebung wird sichergestellt, dass die aktuellen verfügbaren Plattform-Fixes, -Updates und -Features für die Umgebung installiert sind. Eine bewährte Methode zur Sicherung von Systemen besteht darin, stets die aktuellen Patches zu installieren.
T0128	Integrieren Sie automatisierte Funktionen für die Aktualisierung oder das Patchen von Systemsoftware, sofern dies praktikabel ist, und entwickeln Sie Prozesse und Verfahren für die manuelle Aktualisierung und das Patchen von Systemsoftware auf der Grundlage der aktuellen und geplanten Anforderungen an den Patch-Timeline für die Betriebsumgebung des Systems.	redshift-cluster-maintenancesettings-check	Diese Regel stellt sicher, dass Amazon-Redshift-Cluster die bevorzugten Einstellungen für Ihre Organisation haben. Insbesondere sorgt sie dafür, dass Cluster bevorzugte Wartungsfenster und automatisierte Aufbewahrungsfristen für Snapshots für die Datenbank haben. Für diese Regel müssen Sie die allowVersionUpgrade festlegen. Der Standardwert ist „true“. Außerdem können Sie optional den Zeitraum preferredMaintenanceWindow (der Standardwert ist sa: 16:00 -sa: 16:30) und den automatedSnapshotRetention Zeitraum (der Standardwert ist 1) festlegen. Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
T0144	Verwalten von Konten, Netzwerkrechten und den Zugriff auf Systeme und Geräte.	account-part-of-organizations	Durch die zentrale Verwaltung AWS-Konten innerhalb von AWS Organizations wird sichergestellt, dass die Konten den Vorschriften entsprechen. Eine fehlende zentrale Kontoverwaltung kann zu inkonsistenten Kontokonfigurationen führen, wodurch Ressourcen und sensible Daten offengelegt werden können.
T0144	Verwalten von Konten, Netzwerkrechten und den Zugriff auf Systeme und Geräte.	alb-waf-enabled	Stellen Sie sicher, dass AWS WAF auf Elastic Load Balancers (ELB) aktiviert ist, um Webanwendungen zu schützen. Eine WAF hilft, Ihre Webanwendungen oder APIs vor gängigen Web-Exploits zu schützen. Diese Web-Exploits können sich auf die Verfügbarkeit auswirken, die Sicherheit gefährden oder übermäßige Ressourcen in Ihrer Umgebung verbrauchen.
T0144	Verwalten von Konten, Netzwerkrechten und den Zugriff auf Systeme und Geräte.	api-gw-associated-with-waf	AWS Mit WAF können Sie eine Reihe von Regeln (eine so genannte Web Access Control List (Web ACL)) konfigurieren, die Webanfragen auf der Grundlage von anpassbaren Websicherheitsregeln und -bedingungen, die Sie definieren, zulassen, blockieren oder zählen. Stellen Sie sicher, dass Ihre Amazon-API-Gateway-Stufe mit einer WAF-Web-ACL verknüpft ist, um sie vor böswilligen Angriffen zu schützen.
T0144	Verwalten von Konten, Netzwerkrechten und den Zugriff auf Systeme und Geräte.	autoscaling-launch-config-public-ip-disabled	Wenn Sie Ihre Netzwerkschnittstellen mit einer öffentlichen IP-Adresse konfigurieren, sind die diesen Netzwerkschnittstellen zugehörigen Ressourcen vom Internet aus erreichbar. EC2-Ressourcen sollten nicht öffentlich zugänglich sein, da dies einen unbeabsichtigten Zugriff auf Ihre Anwendungen oder Server ermöglichen kann.
T0144	Verwalten von Konten, Netzwerkrechten und den Zugriff auf Systeme und Geräte.	ec2-instance-profile-attached	EC2-Instance-Profile übergeben eine IAM-Rolle an eine EC2-Instance. Das Anhängen eines Instance-Profils an Ihre Instances kann bei der Implementierung von geringsten Berechtigungen und der Berechtigungsverwaltung helfen.
T0144	Verwalten von Konten, Netzwerkrechten und den Zugriff auf Systeme und Geräte.	ecs-task-definition-user-for-host-mode-check	Wenn für eine Aufgabendefinition erhöhte Berechtigungen gelten, liegt das daran, dass der Kunde diesen Konfigurationen ausdrücklich zugestimmt hat. Diese Kontrolle prüft, ob eine unerwartete Berechtigungseskalation vorliegt, wenn für eine Aufgabendefinition das Host-Netzwerk aktiviert ist, die Kunden aber keine erhöhten Berechtigungen aktiviert haben.
T0144	Verwalten von Konten, Netzwerkrechten und den Zugriff auf Systeme und Geräte.	iam-no-inline-policy-check	Stellen Sie sicher, dass ein Benutzer, eine IAM-Rolle oder eine IAM-Gruppe ( AWS Identity and Access Management) nicht über eine Inline-Richtlinie zur Zugriffskontrolle auf Systeme und Ressourcen verfügt. AWS empfiehlt, verwaltete Richtlinien anstelle von Inline-Richtlinien zu verwenden. Verwaltete Richtlinien ermöglichen Wiederverwendbarkeit, Versionsverwaltung, Rollback und Delegierung der Berechtigungsverwaltung.
T0144	Verwalten von Konten, Netzwerkrechten und den Zugriff auf Systeme und Geräte.	iam-policy-no-statements-with-full-access	Stellen Sie sicher, dass IAM-Aktionen nur auf die benötigten Aktionen beschränkt sind. Wenn Benutzern mehr Rechte eingeräumt werden, als für die Ausführung einer Aufgabe erforderlich sind, kann dies gegen das Prinzip der geringsten Rechte und der Aufgabentrennung verstoßen.
T0144	Verwalten von Konten, Netzwerkrechten und den Zugriff auf Systeme und Geräte.	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) -Sicherheitsgruppen können bei der Verwaltung des Netzwerkzugriffs helfen, indem sie eine statusabhängige Filterung des ein- und ausgehenden Netzwerkverkehrs zu Ressourcen bereitstellen. AWS Wenn Sie eingehenden (oder entfernten) Datenverkehr von 0.0.0.0/0 bis Port 22 auf Ihren Ressourcen nicht zulassen, können Sie den Remote-Zugriff einschränken.
T0144	Verwalten von Konten, Netzwerkrechten und den Zugriff auf Systeme und Geräte.	ec2-instances-in-vpc	Stellen Sie Amazon Elastic Compute Cloud (Amazon EC2-)Instances innerhalb einer Amazon Virtual Private Cloud (Amazon VPC) bereit, um eine sichere Kommunikation zwischen einer Instance und anderen Services innerhalb der Amazon-VPC zu ermöglichen, ohne dass ein Internet-Gateway, ein NAT-Gerät oder eine VPN-Verbindung erforderlich ist. Der gesamte Datenverkehr bleibt sicher in der Cloud. AWS Domains, die sich innerhalb einer VPC befinden, verfügen aufgrund ihrer logischen Isolierung im Vergleich zu Domains mit öffentlichen Endpunkten über eine zusätzliche Sicherheitsebene. Weisen Sie Amazon-EC2-Instances einer Amazon VPC zu, um den Zugriff ordnungsgemäß zu verwalten.
T0144	Verwalten von Konten, Netzwerkrechten und den Zugriff auf Systeme und Geräte.	no-unrestricted-route-to-igw	Stellen Sie sicher, dass Amazon-EC2-Routing-Tabellen keine uneingeschränkten Routen zu einem Internet-Gateway enthalten. Das Entfernen oder Beschränken des Internetzugangs für Workloads innerhalb von Amazon VPCs kann unbeabsichtigte Zugriffe in Ihrer Umgebung reduzieren.
T0144	Verwalten von Konten, Netzwerkrechten und den Zugriff auf Systeme und Geräte.	redshift-enhanced-vpc-routing-enabled	Mit Enhanced-VPC-Routing wird erzwungen, dass der gesamte COPY- und UNLOAD-Datenverkehr zwischen Ihrem Cluster und Datenrepositorys über Ihre Amazon VPC erfolgt. Anschließend können Sie VPC-Features wie Sicherheitsgruppen und Netzwerkzugriffskontrolllisten verwenden, um den Netzwerkverkehr zu schützen. Sie können auch VPC-Flow-Logs verwenden, um den Netzwerkverkehr zu überwachen.
T0144	Verwalten von Konten, Netzwerkrechten und den Zugriff auf Systeme und Geräte.	s3-account-level-public-access-blocks-periodic	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Simple Storage Service (Amazon S3) -Buckets nicht öffentlich zugänglich sind. Diese Regel trägt dazu bei, sensible Daten vor unbefugten Remote-Benutzern zu schützen, indem sie den öffentlichen Zugriff verhindert. Mit dieser Regel können Sie optional die Parameter ignorePublicAcls (Config Default: True), blockPublicPolicy (Config Default: True), blockPublicAcls (Config Default: True) und restrictPublicBuckets Parameter (Config Default: True) festlegen. Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
T0144	Verwalten von Konten, Netzwerkrechten und den Zugriff auf Systeme und Geräte.	ssm-document-not-public	Stellen Sie sicher, dass AWS Systems Manager (SSM) -Dokumente nicht öffentlich sind, da dies einen unbeabsichtigten Zugriff auf Ihre SSM-Dokumente ermöglichen kann. Ein öffentliches SSM-Dokument kann Informationen über Ihr Konto, Ihre Ressourcen und internen Prozesse preisgeben.
T0144	Verwalten von Konten, Netzwerkrechten und den Zugriff auf Systeme und Geräte.	vpc-default-security-group-closed	Sicherheitsgruppen von Amazon Elastic Compute Cloud (Amazon EC2) können bei der Verwaltung des Netzwerkzugriffs helfen, indem sie eine statusbehaftete Filterung des ein- und ausgehenden Netzwerkverkehrs zu Ressourcen bereitstellen. AWS Die Beschränkung des gesamten Datenverkehrs in der Standardsicherheitsgruppe hilft dabei, den Fernzugriff auf Ihre Ressourcen einzuschränken. AWS
T0144	Verwalten von Konten, Netzwerkrechten und den Zugriff auf Systeme und Geräte.	vpc-sg-open-only-to-authorized-ports	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass gemeinsame Ports für Amazon Elastic Compute Cloud (Amazon EC2) -Sicherheitsgruppen eingeschränkt sind. Wenn der Zugriff auf Ports nicht auf vertrauenswürdige Quellen beschränkt wird, kann dies zu Angriffen auf die Verfügbarkeit, Integrität und Vertraulichkeit von Systemen führen. Durch die Beschränkung des Zugriffs auf Ressourcen innerhalb einer Sicherheitsgruppe aus dem Internet (0.0.0.0/0) kann der Fernzugriff auf interne Systeme gesteuert werden.
T0144	Verwalten von Konten, Netzwerkrechten und den Zugriff auf Systeme und Geräte.	access-keys-rotated	Die Anmeldeinformationen für autorisierte Geräte, Benutzer und Prozesse werden geprüft, indem sichergestellt wird, dass die IAM-Zugriffsschlüssel gemäß den Vorgaben der Unternehmensrichtlinie rotiert werden. Das regelmäßige Ändern der Zugriffsschlüssel ist eine bewährte Sicherheitsmethode. Es verkürzt den Zeitraum, in dem ein Zugriffsschlüssel aktiv ist, und reduziert die Auswirkungen auf das Unternehmen, wenn die Schlüssel kompromittiert werden. Diese Regel erfordert einen Wert für die Zugriffsschlüssel-Rotation (Standardkonfiguration: 90). Der tatsächliche Wert muss den Richtlinien Ihrer Organisation entsprechen.
T0144	Verwalten von Konten, Netzwerkrechten und den Zugriff auf Systeme und Geräte.	dms-replication-not-public	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass auf DMS-Replikationsinstanzen nicht öffentlich zugegriffen werden kann. DMS-Replikations-Instances können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
T0144	Verwalten von Konten, Netzwerkrechten und den Zugriff auf Systeme und Geräte.	ebs-snapshot-public-restorable-check	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass EBS-Snapshots nicht öffentlich wiederherstellbar sind. EBS-Volume-Snapshots können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
T0144	Verwalten von Konten, Netzwerkrechten und den Zugriff auf Systeme und Geräte.	ec2-instance-no-public-ip	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass Amazon Elastic Compute Cloud (Amazon EC2) -Instances nicht öffentlich zugänglich sind. Amazon-EC2-Instances können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
T0144	Verwalten von Konten, Netzwerkrechten und den Zugriff auf Systeme und Geräte.	elasticsearch-in-vpc-only	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass sich Amazon OpenSearch OpenSearch Service (Service) -Domains innerhalb einer Amazon Virtual Private Cloud (Amazon VPC) befinden. Eine OpenSearch Service-Domain innerhalb einer Amazon VPC ermöglicht die sichere Kommunikation zwischen OpenSearch Service und anderen Services innerhalb der Amazon VPC, ohne dass ein Internet-Gateway, ein NAT-Gerät oder eine VPN-Verbindung erforderlich ist.
T0144	Verwalten von Konten, Netzwerkrechten und den Zugriff auf Systeme und Geräte.	emr-kerberos-enabled	Die Zugriffsberechtigungen und -autorisierungen können verwaltet und nach den Prinzipien der geringsten Berechtigung und Aufgabentrennung integriert werden, indem Kerberos für Amazon-EMR-Cluster aktiviert wird. In Kerberos werden Services und Benutzer, die sich authentifizieren müssen, als Prinzipale bezeichnet. Prinzipale befinden sich in einem Kerberos-Bereich. Innerhalb dieses Bereichs wird ein Kerberos-Server als Key Distribution Center (KDC) bezeichnet. Über diesen Server können sich Prinzipale authentifizieren. Die Authentifizierung im KDC erfolgt durch die Ausstellung von Authentifizierungstickets. Das KDC unterhält eine Datenbank der Prinzipale in seinem Bereich mit ihren Passwörtern und anderen administrativen Informationen zu jedem Prinzipal.
T0144	Verwalten von Konten, Netzwerkrechten und den Zugriff auf Systeme und Geräte.	emr-master-no-public-ip	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass Amazon EMR-Cluster-Masterknoten nicht öffentlich zugänglich sind. Amazon-EMR-Cluster-Hauptknoten können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
T0144	Verwalten von Konten, Netzwerkrechten und den Zugriff auf Systeme und Geräte.	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) kann Ihnen helfen, die Prinzipien der geringsten Rechte und der Aufgabentrennung in Zugriffsberechtigungen und Autorisierungen zu integrieren und so zu verhindern, dass Richtlinien blockierte Aktionen für alle AWS Schlüssel des Key Management Service enthalten. Wenn Benutzer mehr Rechte haben, als für die Ausführung einer Aufgabe erforderlich sind, kann dies gegen das Prinzip der geringsten Berechtigung und Aufgabentrennung verstoßen. Mit dieser Regel können Sie den Parameter festlegen. blockedActionsPatterns (Wert „AWS Bewährte grundlegende Sicherheitsmethoden“: kms:Decrypt, kms: From). ReEncrypt Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
T0144	Verwalten von Konten, Netzwerkrechten und den Zugriff auf Systeme und Geräte.	iam-group-has-users-check	AWS Identity and Access Management (IAM) kann Ihnen helfen, die Prinzipien der geringsten Rechte und der Aufgabentrennung mit Zugriffsberechtigungen und Autorisierungen zu integrieren, indem sichergestellt wird, dass IAM-Gruppen mindestens einen Benutzer haben. Die Einteilung von Benutzern in Gruppen auf der Grundlage der ihnen zugewiesenen Berechtigungen oder ihrer Funktion ist eine Möglichkeit, das Prinzip der geringsten Berechtigung zu implementieren.
T0144	Verwalten von Konten, Netzwerkrechten und den Zugriff auf Systeme und Geräte.	iam-inline-policy-blocked-kms-actions	Stellen Sie sicher, dass ein Benutzer, eine IAM-Rolle oder eine IAM-Gruppe ( AWS Identity and Access Management) nicht über eine Inline-Richtlinie verfügt, die blockierte Aktionen für alle AWS Schlüssel des Key Management Service zulässt. AWS empfiehlt, verwaltete Richtlinien anstelle von Inline-Richtlinien zu verwenden. Verwaltete Richtlinien ermöglichen Wiederverwendbarkeit, Versionsverwaltung, Rollback und Delegierung der Berechtigungsverwaltung. Mit dieser Regel können Sie den blockedActionsPatterns Parameter festlegen. (Wert „AWS Bewährte grundlegende Sicherheitsmethoden“: kms:Decrypt, kms: From). ReEncrypt Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
T0144	Verwalten von Konten, Netzwerkrechten und den Zugriff auf Systeme und Geräte.	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) kann Ihnen dabei helfen, die Prinzipien der geringsten Rechte und der Aufgabentrennung in Zugriffsberechtigungen und Autorisierungen zu integrieren und so zu verhindern, dass Richtlinien „Effect“: „Allow“ mit „Action“: „“ anstelle von „Resource“: „“ enthalten. Wenn Benutzern mehr Rechte eingeräumt werden, als für die Ausführung einer Aufgabe erforderlich sind, kann dies gegen das Prinzip der geringsten Berechtigung und der Aufgabentrennung verstoßen.
T0144	Verwalten von Konten, Netzwerkrechten und den Zugriff auf Systeme und Geräte.	iam-root-access-key-check	Der Zugriff auf Systeme und Ressourcen kann gesteuert werden, indem überprüft wird, ob der Root-Benutzer keine Zugriffsschlüssel mit seiner AWS Identity and Access Management (IAM) -Rolle verknüpft hat. Stellen Sie sicher, dass die Root-Zugriffsschlüssel gelöscht werden. Erstellen und verwenden Sie stattdessen rollenbasierte Funktionen, AWS-Konten um das Prinzip der geringsten Funktionalität zu berücksichtigen.
T0144	Verwalten von Konten, Netzwerkrechten und den Zugriff auf Systeme und Geräte.	iam-user-group-membership-check	AWS Identity and Access Management (IAM) kann Ihnen helfen, Zugriffsberechtigungen und Autorisierungen einzuschränken, indem sichergestellt wird, dass Benutzer Mitglieder mindestens einer Gruppe sind. Wenn Benutzern mehr Berechtigungen eingeräumt werden, als für die Ausführung einer Aufgabe erforderlich sind, kann dies gegen das Prinzip der geringsten Berechtigung und Aufgabentrennung verstoßen.
T0144	Verwalten von Konten, Netzwerkrechten und den Zugriff auf Systeme und Geräte.	iam-user-mfa-enabled	Aktivieren Sie diese Regel, um den Zugriff auf Ressourcen in der AWS -Cloud einzuschränken. Diese Regel stellt sicher, dass die Multi-Faktor-Authentifizierung (MFA) für alle Benutzer aktiviert ist. MFA bietet eine weitere Schutzebene zusätzlich zum Benutzernamen und Passwort. Reduzieren Sie Fälle von kompromittierten Konten, indem Sie MFA für Benutzer vorschreiben.
T0144	Verwalten von Konten, Netzwerkrechten und den Zugriff auf Systeme und Geräte.	iam-user-no-policies-check	Diese Regel stellt sicher, dass AWS Identity and Access Management (IAM) -Richtlinien nur Gruppen oder Rollen zugewiesen werden, um den Zugriff auf Systeme und Ressourcen zu kontrollieren. Die Zuweisung von Berechtigungen auf Gruppen- oder Rollenebene trägt dazu bei, die Wahrscheinlichkeit zu verringern, dass eine Identität übermäßige Berechtigungen erhält oder beibehält.
T0144	Verwalten von Konten, Netzwerkrechten und den Zugriff auf Systeme und Geräte.	iam-user-unused-credentials-check	AWS Identity and Access Management (IAM) kann Ihnen bei Zugriffsberechtigungen und Autorisierungen helfen, indem es nach IAM-Passwörtern und Zugriffsschlüsseln sucht, die für einen bestimmten Zeitraum nicht verwendet wurden. Wenn ungenutzte Anmeldeinformationen identifiziert werden, müssen Sie sie deaktivieren und/oder entfernen, da dies gegen das Prinzip der geringsten Berechtigung verstoßen könnte. Für diese Regel müssen Sie einen Wert für das maxCredentialUsage Alter festlegen (Standardkonfiguration: 90). Der tatsächliche Wert muss den Richtlinien Ihrer Organisation entsprechen.
T0144	Verwalten von Konten, Netzwerkrechten und den Zugriff auf Systeme und Geräte.	lambda-function-public-access-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass AWS Lambda-Funktionen nicht öffentlich zugänglich sind. Der öffentliche Zugriff kann möglicherweise die Verfügbarkeit von Ressourcen beeinträchtigen.
T0144	Verwalten von Konten, Netzwerkrechten und den Zugriff auf Systeme und Geräte.	lambda-inside-vpc	Stellen Sie AWS Lambda-Funktionen in einer Amazon Virtual Private Cloud (Amazon VPC) bereit, um eine sichere Kommunikation zwischen einer Funktion und anderen Diensten innerhalb der Amazon VPC zu gewährleisten. Bei dieser Konfiguration sind kein Internet-Gateway, kein NAT-Gerät und keine VPN-Verbindung erforderlich. Der gesamte Datenverkehr bleibt sicher in der Cloud. AWS Domains, die sich innerhalb einer VPC befinden, verfügen aufgrund ihrer logischen Isolierung im Vergleich zu Domains mit öffentlichen Endpunkten über eine zusätzliche Sicherheitsebene. Um den Zugriff ordnungsgemäß zu verwalten, sollten AWS Lambda-Funktionen einer VPC zugewiesen werden.
T0144	Verwalten von Konten, Netzwerkrechten und den Zugriff auf Systeme und Geräte.	opensearch-in-vpc-only	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass sich die Domains von Amazon Elasticsearch Service (Amazon ES) innerhalb einer Amazon Virtual Private Cloud (Amazon VPC) befinden. Eine ES-Domain in einer Amazon VPC ermöglicht eine sichere Kommunikation zwischen Amazon ES und anderen Services innerhalb der Amazon VPC, ohne dass ein Internet-Gateway, ein NAT-Gerät oder eine VPN-Verbindung benötigt wird.
T0144	Verwalten von Konten, Netzwerkrechten und den Zugriff auf Systeme und Geräte.	rds-instance-public-access-check	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Relational Database Service (Amazon RDS) -Instances nicht öffentlich sind. Amazon-RDS-Datenbank-Instances können vertrauliche Informationen enthalten und für solche Konten sind Prinzipien und Zugriffskontrollen erforderlich.
T0144	Verwalten von Konten, Netzwerkrechten und den Zugriff auf Systeme und Geräte.	rds-snapshots-public-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Relational Database Service (Amazon RDS) -Instances nicht öffentlich sind. Amazon-RDS-Datenbank-Instances können vertrauliche Informationen enthalten und für solche Konten sind Prinzipien und Zugriffskontrollen erforderlich.
T0144	Verwalten von Konten, Netzwerkrechten und den Zugriff auf Systeme und Geräte.	redshift-cluster-public-access-check	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Redshift Redshift-Cluster nicht öffentlich sind. Amazon-Redshift-Cluster können vertrauliche Informationen enthalten und für solche Konten sind Prinzipien und Zugriffskontrollen erforderlich.
T0144	Verwalten von Konten, Netzwerkrechten und den Zugriff auf Systeme und Geräte.	restricted-common-ports	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass gemeinsame Ports für Amazon Elastic Compute Cloud (Amazon EC2) -Sicherheitsgruppen eingeschränkt sind. Wenn der Zugriff auf Ports nicht auf vertrauenswürdige Quellen beschränkt wird, kann dies zu Angriffen auf die Verfügbarkeit, Integrität und Vertraulichkeit von Systemen führen. Mit dieser Regel können Sie optional die Parameter blockedPort1–blockedPort5 festlegen (Standardkonfigurationen: 20, 21, 3389, 3306, 4333). Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
T0144	Verwalten von Konten, Netzwerkrechten und den Zugriff auf Systeme und Geräte.	s3-bucket-level-public-access-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Simple Storage Service (Amazon S3) -Buckets nicht öffentlich zugänglich sind. Diese Regel trägt dazu bei, sensible Daten vor unbefugten Remote-Benutzern zu schützen, indem sie den öffentlichen Zugriff auf Bucket-Ebene verhindert.
T0144	Verwalten von Konten, Netzwerkrechten und den Zugriff auf Systeme und Geräte.	s3-bucket-public-read-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie nur autorisierten Benutzern, Prozessen und Geräten Zugriff auf Amazon Simple Storage Service (Amazon S3) -Buckets gewähren. Die Verwaltung des Zugriffs sollte mit der Klassifizierung der Daten übereinstimmen.
T0144	Verwalten von Konten, Netzwerkrechten und den Zugriff auf Systeme und Geräte.	s3-bucket-public-write-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie nur autorisierten Benutzern, Prozessen und Geräten Zugriff auf Amazon Simple Storage Service (Amazon S3) -Buckets gewähren. Die Verwaltung des Zugriffs sollte mit der Klassifizierung der Daten übereinstimmen.
T0144	Verwalten von Konten, Netzwerkrechten und den Zugriff auf Systeme und Geräte.	sagemaker-notebook-no-direct-internet-access	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass SageMaker Amazon-Notebooks keinen direkten Internetzugang zulassen. Indem Sie direkten Internetzugang blockieren, vermeiden Sie, dass unbefugte Benutzer auf sensible Daten zugreifen.
T0144	Verwalten von Konten, Netzwerkrechten und den Zugriff auf Systeme und Geräte.	secretsmanager-rotation-enabled-check	Diese Regel stellt sicher, dass bei AWS Secrets Manager Manager-Geheimnissen die Rotation aktiviert ist. Die regelmäßige Rotation von Secrets kann den Zeitraum verkürzen, in dem ein Secret aktiv ist, und möglicherweise die Auswirkungen auf das Unternehmen verringern, falls das Secret kompromittiert wird.
T0144	Verwalten von Konten, Netzwerkrechten und den Zugriff auf Systeme und Geräte.	subnet-auto-assign-public-ip-disabled	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass Amazon Virtual Private Cloud (VPC) -Subnetzen nicht automatisch eine öffentliche IP-Adresse zugewiesen wird. Bei Amazon-Elastic-Compute-Cloud (EC2)-Instances, die in Subnetzen gestartet werden, in denen dieses Attribut aktiviert ist, wird der primären Netzwerkschnittstelle eine öffentliche IP-Adresse zugewiesen.
T0151	Überwachen und bewerten Sie die Wirksamkeit der Cybersicherheitsmaßnahmen des Unternehmens, um sicherzustellen, dass sie das beabsichtigte Schutzniveau bieten.	securityhub-enabled	AWS Security Hub hilft bei der Überwachung von unbefugtem Personal, Verbindungen, Geräten und Software. AWS Security Hub aggregiert, organisiert und priorisiert die Sicherheitswarnungen oder Ergebnisse mehrerer Dienste. AWS Einige dieser Dienste sind Amazon Security Hub, Amazon Inspector, Amazon Macie, AWS Identity and Access Management (IAM) Access Analyzer und AWS Firewall Manager sowie AWS Partnerlösungen.
T0151	Überwachen und bewerten Sie die Wirksamkeit der Cybersicherheitsmaßnahmen des Unternehmens, um sicherzustellen, dass sie das beabsichtigte Schutzniveau bieten.	cloudwatch-alarm-action-check	Amazon CloudWatch alarmiert, wenn eine Metrik den Schwellenwert für eine bestimmte Anzahl von Bewertungszeiträumen überschreitet. Der Alarm führt eine oder mehrere Aktionen durch, die vom Wert der Metrik oder des Ausdrucks im Vergleich zu einem Schwellenwert in einer Reihe von Zeiträumen abhängt. Diese Regel erfordert einen Wert für alarmActionRequired (Config Default: True), insufficientDataAction Required (Config Default: True), okActionRequired (Config Default: False). Der tatsächliche Wert muss die Alarmaktionen für Ihre Umgebung widerspiegeln.
T0151	Überwachen und bewerten Sie die Wirksamkeit der Cybersicherheitsmaßnahmen des Unternehmens, um sicherzustellen, dass sie das beabsichtigte Schutzniveau bieten.	guardduty-enabled-centralized	Amazon GuardDuty kann mithilfe von Threat Intelligence Feeds helfen, potenzielle Cybersicherheitsereignisse zu überwachen und zu erkennen. Dazu gehören Listen bösartiger IP-Adressen und maschinelles Lernen zur Identifizierung unerwarteter, nicht autorisierter und bösartiger Aktivitäten in Ihrer AWS Cloud-Umgebung.
T0152	Überwachen und verwalten von Datenbanken, um eine optimale Leistung sicherzustellen.	db-instance-backup-enabled	Die Sicherungsfunktion von Amazon RDS erstellt Sicherungen Ihrer Datenbanken und Transaktionsprotokolle. Amazon RDS erstellt einen Snapshot für das Speichervolume Ihrer DB-Instance, sodass die gesamte DB-Instance gesichert wird. Sie können im System spezifische Aufbewahrungsfristen festlegen, um Ihre Ausfallsicherheitsanforderungen zu erfüllen.
T0152	Überwachen und verwalten von Datenbanken, um eine optimale Leistung sicherzustellen.	dynamodb-autoscaling-enabled	Amazon DynamoDB Auto Scaling verwendet den AWS Application Auto Scaling-Service, um die bereitgestellte Durchsatzkapazität so anzupassen, dass sie automatisch auf tatsächliche Verkehrsmuster reagiert. Auf diese Weise kann eine Tabelle oder ein globaler sekundärer Index die bereitgestellte Lese-/Schreibkapazität erhöhen, um plötzliche Erhöhungen des Datenverkehrs ohne Drosselung zu bewältigen.
T0152	Überwachen und verwalten von Datenbanken, um eine optimale Leistung sicherzustellen.	dynamodb-in-backup-plan	Um Sie bei Datensicherungsprozessen zu unterstützen, stellen Sie sicher, dass Ihre Amazon DynamoDB-Tabellen Teil eines AWS Backup-Plans sind. AWS Backup ist ein vollständig verwalteter Backup-Service mit einer richtlinienbasierten Backup-Lösung. Diese Lösung vereinfacht Ihr Sicherungsmanagement und erleichtert Ihnen die Erfüllung von geschäftlichen und behördlichen Compliance-Anforderungen hinsichtlich Datensicherungen.
T0152	Überwachen und verwalten von Datenbanken, um eine optimale Leistung sicherzustellen.	dynamodb-pitr-enabled	Aktivieren Sie diese Regel, um zu überprüfen, ob die Informationen gesichert wurden. Es verwaltet auch die Backups, indem es sicherstellt, dass die point-in-time Wiederherstellung in Amazon DynamoDB aktiviert ist. Bei der Wiederherstellung werden fortlaufende Backups Ihrer Tabelle für die letzten 35 Tage gespeichert.
T0152	Überwachen und verwalten von Datenbanken, um eine optimale Leistung sicherzustellen.	dynamodb-throughput-limit-check	Aktivieren Sie diese Regel, um sicherzustellen, dass die bereitgestellte Durchsatzkapazität in Ihren Amazon-DynamoDB-Tabellen überprüft wird. Dies ist der Umfang der Lese- und Schreibaktivitäten, der von den jeweiligen Tabellen unterstützt werden kann. DynamoDB verwendet diese Informationen für das Reservieren ausreichender Systemressourcen, um Ihren Durchsatzanforderungen gerecht zu werden. Diese Regel generiert eine Warnung, wenn sich der Durchsatz dem Höchstlimit für ein Kundenkonto nähert. Mit dieser Regel können Sie optional die Parameter AccountRCU ThresholdPercentage (Config Default: 80) und AccountWCU ThresholdPercentage (Config Default: 80) festlegen. Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
T0152	Überwachen und verwalten von Datenbanken, um eine optimale Leistung sicherzustellen.	rds-automatic-minor-version-upgrade-enabled	Aktivieren Sie automatische Unterversions-Upgrades auf Ihren Amazon-Relational-Database-Service-(RDS-)-Instances, um sicherzustellen, dass die aktuellen Updates für Unterversionen des Relational Database Management System (RDBMS) installiert sind, die Sicherheitspatches und Bugfixes enthalten können.
T0152	Überwachen und verwalten von Datenbanken, um eine optimale Leistung sicherzustellen.	rds-enhanced-monitoring-enabled	Aktivieren Sie Amazon Relational Database Service (Amazon RDS), um die Verfügbarkeit von Amazon RDS zu überwachen. Dies bietet einen detaillierten Einblick in den Zustand Ihrer Amazon-RDS-Datenbank-Instances. Wenn der Amazon-RDS-Speicher mehr als ein zugrunde liegendes physisches Gerät verwendet, erfasst Enhanced Monitoring die Daten für jedes Gerät. Wenn die Datenbank-Instance von Amazon RDS in einer Multi-AZ-Bereitstellung ausgeführt wird, werden außerdem die Daten für jedes Gerät auf dem sekundären Host sowie die Metriken des sekundären Hosts erfasst.
T0152	Überwachen und verwalten von Datenbanken, um eine optimale Leistung sicherzustellen.	rds-instance-deletion-protection-enabled	Stellen Sie sicher, dass Amazon Relational Database Service (Amazon RDS)-Instances den Löschschutz aktiviert haben. Verwenden Sie den Löschschutz, um zu verhindern, dass Ihre Amazon-RDS-Instances versehentlich oder böswillig gelöscht werden, was zum Verlust der Verfügbarkeit Ihrer Anwendungen führen kann.
T0152	Überwachen und verwalten von Datenbanken, um eine optimale Leistung sicherzustellen.	rds-instance-public-access-check	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Relational Database Service (Amazon RDS) -Instances nicht öffentlich sind. Amazon-RDS-Datenbank-Instances können vertrauliche Informationen enthalten und für solche Konten sind Prinzipien und Zugriffskontrollen erforderlich.
T0152	Überwachen und verwalten von Datenbanken, um eine optimale Leistung sicherzustellen.	rds-in-backup-plan	Um Sie bei Datensicherungsprozessen zu unterstützen, stellen Sie sicher, dass Ihre Amazon Relational Database Service (Amazon RDS) -Instances Teil eines AWS Backup-Plans sind. AWS Backup ist ein vollständig verwalteter Backup-Service mit einer richtlinienbasierten Backup-Lösung. Diese Lösung vereinfacht Ihr Sicherungsmanagement und erleichtert Ihnen die Erfüllung von geschäftlichen und behördlichen Compliance-Anforderungen hinsichtlich Datensicherungen.
T0152	Überwachen und verwalten von Datenbanken, um eine optimale Leistung sicherzustellen.	rds-logging-enabled	Um die Protokollierung und Überwachung in Ihrer Umgebung zu erleichtern, stellen Sie sicher, dass die Amazon Relational Database Service (Amazon RDS)-Protokollierung aktiviert ist. Mit der Amazon-RDS-Protokollierung können Sie Ereignisse wie Verbindungen, Verbindungsabbrüche, Abfragen oder abgefragte Tabellen erfassen.
T0152	Überwachen und verwalten von Datenbanken, um eine optimale Leistung sicherzustellen.	rds-multi-az-support	Die Multi-AZ-Unterstützung in Amazon Relational Database Service (Amazon RDS) bietet eine verbesserte Verfügbarkeit und Beständigkeit von Datenbank-Instances. Wenn Sie eine Multi-AZ-Datenbank-Instance bereitstellen, erstellt Amazon RDS automatisch eine primäre Datenbank-Instance und repliziert die Daten synchron auf eine Standby-Instance in einer anderen Availability Zone. Jede Availability Zone läuft auf einer eigenen, physisch getrennten, unabhängigen Infrastruktur und ist auf eine hohe Verfügbarkeit ausgelegt. Im Falle eines Infrastrukturausfalls führt Amazon RDS einen automatischen Failover zum Standby-Modus durch, sodass Sie den Datenbankbetrieb wieder aufnehmen können, sobald der Failover abgeschlossen ist.
T0152	Überwachen und verwalten von Datenbanken, um eine optimale Leistung sicherzustellen.	rds-snapshots-public-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Relational Database Service (Amazon RDS) -Instances nicht öffentlich sind. Amazon-RDS-Datenbank-Instances können vertrauliche Informationen enthalten und für solche Konten sind Prinzipien und Zugriffskontrollen erforderlich.
T0152	Überwachen und verwalten von Datenbanken, um eine optimale Leistung sicherzustellen.	rds-snapshot-encrypted	Stellen Sie sicher, dass die Verschlüsselung für Ihre Amazon Relational Database Service (Amazon RDS)-Snapshots aktiviert ist. Da sensible Daten auch im Ruhezustand vorhanden sein können, sollten Sie die Verschlüsselung von Daten im Ruhezustand aktivieren, um diese Daten zu schützen.
T0152	Überwachen und verwalten von Datenbanken, um eine optimale Leistung sicherzustellen.	rds-storage-encrypted	Zum Schutz von Daten im Ruhezustand müssen Sie sicherstellen, dass die Verschlüsselung für Ihre Amazon Relational Database Service (Amazon RDS)-Instances aktiviert ist. Da sensible Daten in Amazon-RDS-Instances gespeichert werden können, sollten Sie die Verschlüsselung von Daten im Ruhezustand aktivieren, um diese Daten zu schützen.
T0152	Überwachen und verwalten von Datenbanken, um eine optimale Leistung sicherzustellen.	redshift-backup-enabled	Stellen Sie zur Unterstützung der Datensicherungsprozesse sicher, dass Ihre Amazon-Redshift-Cluster über automatisierte Snapshots verfügen. Wenn automatisierte Snapshots für einen Cluster aktiviert sind, erstellt Redshift in regelmäßigen Abständen Snapshots dieses Clusters. Standardmäßig erstellt Redshift alle acht Stunden oder alle 5 GB einen Snapshot für jeden Knoten mit Datenänderungen oder je nachdem, was zuerst eintritt.
T0152	Überwachen und verwalten von Datenbanken, um eine optimale Leistung sicherzustellen.	redshift-cluster-configuration-check	Um Daten im Ruhezustand zu schützen, muss die Verschlüsselung für Ihre Amazon-Redshift-Cluster aktiviert sein. Sie müssen auch sicherstellen, dass die erforderlichen Konfigurationen auf Amazon-Redshift-Clustern bereitgestellt werden. Die Prüfungsprotokollierung muss aktiviert sein, um Informationen zu Verbindungen und Benutzeraktivitäten in der Datenbank bereitzustellen. Diese Regel erfordert, dass ein Wert für clusterDbEncrypted (Config Default: TRUE) und LoggingEnabled (Config Default: TRUE) gesetzt ist. Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
T0152	Überwachen und verwalten von Datenbanken, um eine optimale Leistung sicherzustellen.	redshift-cluster-maintenancesettings-check	Diese Regel stellt sicher, dass Amazon-Redshift-Cluster die bevorzugten Einstellungen für Ihre Organisation haben. Insbesondere sorgt sie dafür, dass Cluster bevorzugte Wartungsfenster und automatisierte Aufbewahrungsfristen für Snapshots für die Datenbank haben. Für diese Regel müssen Sie den festlegen. allowVersionUpgrade Der Standardwert ist „true“. Außerdem können Sie optional den Zeitraum preferredMaintenanceWindow (der Standardwert ist sa: 16:00 -sa: 16:30) und den automatedSnapshotRetention Zeitraum (der Standardwert ist 1) festlegen. Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
T0152	Überwachen und verwalten von Datenbanken, um eine optimale Leistung sicherzustellen.	redshift-cluster-public-access-check	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Redshift Redshift-Cluster nicht öffentlich sind. Amazon-Redshift-Cluster können vertrauliche Informationen enthalten und für solche Konten sind Prinzipien und Zugriffskontrollen erforderlich.
T0152	Überwachen und verwalten von Datenbanken, um eine optimale Leistung sicherzustellen.	redshift-enhanced-vpc-routing-enabled	Mit Enhanced-VPC-Routing wird erzwungen, dass der gesamte COPY- und UNLOAD-Datenverkehr zwischen Ihrem Cluster und Datenrepositorys über Ihre Amazon VPC erfolgt. Anschließend können Sie VPC-Features wie Sicherheitsgruppen und Netzwerkzugriffskontrolllisten verwenden, um den Netzwerkverkehr zu schützen. Sie können auch VPC-Flow-Logs verwenden, um den Netzwerkverkehr zu überwachen.
T0152	Überwachen und verwalten von Datenbanken, um eine optimale Leistung sicherzustellen.	redshift-require-tls-ssl	Stellen Sie sicher, dass Ihre Amazon-Redshift-Cluster eine TLS/SSL-Verschlüsselung erfordern, um eine Verbindung zu SQL-Clients herzustellen. Da sensible Daten vorhanden sein können, sollten Sie die Verschlüsselung bei der Übertragung aktivieren, um diese Daten zu schützen.
T0152	Überwachen und verwalten von Datenbanken, um eine optimale Leistung sicherzustellen.	redshift-cluster-kms-enabled	Um Daten im Ruhezustand zu schützen, stellen Sie sicher, dass die Verschlüsselung mit AWS Key Management Service (AWS KMS) für Ihren Amazon Redshift Redshift-Cluster aktiviert ist. Um eventuell vorhandene sensible Daten im Ruhezustand in Redshift-Clustern zu schützen, muss die Verschlüsselung von Daten im Ruhezustand aktiviert sein.
T0153	Überwachen der Netzwerkkapazität und -leistung.	autoscaling-group-elb-healthcheck-required	Die Integritätsprüfungen des Elastic Load Balancer (ELB) für Auto Scaling-Gruppen in Amazon Elastic Compute Cloud (Amazon EC2) unterstützen die Aufrechterhaltung einer angemessenen Kapazität und Verfügbarkeit. Der Load Balancer sendet periodisch Pings, unternimmt Verbindungsversuche oder sendet Anfragen zum Testen des Zustands von EC2-Instances in einer Auto-Scaling-Gruppe. Wenn eine Instance nichts zurückmeldet, wird der Datenverkehr an eine neue Amazon-EC2-Instance gesendet.
T0153	Überwachen der Netzwerkkapazität und -leistung.	dynamodb-throughput-limit-check	Aktivieren Sie diese Regel, um sicherzustellen, dass die bereitgestellte Durchsatzkapazität in Ihren Amazon-DynamoDB-Tabellen überprüft wird. Dies ist der Umfang der Lese- und Schreibaktivitäten, der von den jeweiligen Tabellen unterstützt werden kann. DynamoDB verwendet diese Informationen für das Reservieren ausreichender Systemressourcen, um Ihren Durchsatzanforderungen gerecht zu werden. Diese Regel generiert eine Warnung, wenn sich der Durchsatz dem Höchstlimit für ein Kundenkonto nähert. Mit dieser Regel können Sie optional die Parameter AccountRCU ThresholdPercentage (Config Default: 80) und AccountWCU ThresholdPercentage (Config Default: 80) festlegen. Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
T0153	Überwachen der Netzwerkkapazität und -leistung.	vpc-flow-logs-enabled	VPC-Flow-Protokolle erfassen detaillierte Informationsdatensätze über den IP-Datenverkehr, der zu und von Netzwerkschnittstellen in Ihrer Amazon Virtual Private Cloud (Amazon VPC) fließt. Standardmäßig enthalten Flow-Protokolldatensätze Werte für die verschiedenen Komponenten des IP-Flows, einschließlich Quelle, Ziel und Protokoll.
T0153	Überwachen der Netzwerkkapazität und -leistung.	vpc-vpn-2-tunnels-up	Redundante Site-to-Site-VPN-Tunnel können implementiert werden, um die Anforderungen an die Ausfallsicherheit zu erfüllen. Dabei werden zwei Tunnel verwendet, um die Konnektivität sicherzustellen, falls eine der Site-to-Site-VPN-Verbindungen nicht verfügbar ist. Mithilfe eines zweiten Kunden-Gateway-Geräts können Sie eine zweite Site-to-Site-VPN-Verbindung mit Ihrer Amazon Virtual Private Cloud (Amazon VPC) und Ihrem Virtual Private Gateway aufbauen, um sich vor einem Verlust an Konnektivität zu schützen, wenn Ihr Kunden-Gateway nicht verfügbar ist.
T0154	Überwachen der Nutzung von Ressourcen und Ressourcen im Wissensmanagement und Erstellen entsprechender Berichte.	cw-loggroup-retention-period-check	Stellen Sie sicher, dass die Ereignisprotokolldaten für Ihre Protokollgruppen über eine Mindestdauer aufbewahrt werden, um die Fehlerbehebung und forensische Untersuchungen zu unterstützen. Fehlende frühere Ereignisprotokolldaten erschweren die Rekonstruierung und Identifizierung potenziell schädlicher Ereignisse.
T0154	Überwachen der Nutzung von Ressourcen und Ressourcen im Wissensmanagement und Erstellen entsprechender Berichte.	elasticsearch-logs-to-cloudwatch	Stellen Sie sicher, dass für Amazon OpenSearch Service-Domains Fehlerprotokolle aktiviert und zur Aufbewahrung und Beantwortung an Amazon CloudWatch Logs gestreamt werden. Domain-Fehlerprotokolle sind bei Sicherheits- und Zugriffsprüfungen sowie bei der Diagnose von Verfügbarkeitsproblemen nützlich.
T0154	Überwachen der Nutzung von Ressourcen und Ressourcen im Wissensmanagement und Erstellen entsprechender Berichte.	lambda-concurrency-check	Diese Regel stellt sicher, dass die Höchst- und Untergrenzen für die Gleichzeitigkeit einer Lambda-Funktion festgelegt werden. Dies kann Sie beim Baselining für die Anzahl der Anforderungen unterstützen, die Ihre Funktion zu einem bestimmten Zeitpunkt verarbeitet.
T0154	Überwachen der Nutzung von Ressourcen und Ressourcen im Wissensmanagement und Erstellen entsprechender Berichte.	lambda-dlq-check	Aktivieren Sie diese Regel, um das entsprechende Personal über Amazon Simple Queue Service (Amazon SQS) oder Amazon Simple Notiﬁcation Service (Amazon SNS) zu benachrichtigen, wenn eine Funktion ausgefallen ist.
T0154	Überwachen der Nutzung von Ressourcen und Ressourcen im Wissensmanagement und Erstellen entsprechender Berichte.	multi-region-cloudtrail-enabled	AWS CloudTrail zeichnet Aktionen und API-Aufrufe der AWS Management Console auf. Sie können feststellen, welche Benutzer und Konten angerufen wurden AWS, von welcher Quell-IP-Adresse aus die Anrufe getätigt wurden und wann die Anrufe erfolgten. CloudTrail übermittelt Protokolldateien aus allen AWS Regionen an Ihren S3-Bucket, wenn MULTI_REGION_CLOUD_TRAIL_ENABLED aktiviert ist. Außerdem wird beim AWS Start einer neuen Region derselbe Trail in der neuen Region erstellt. CloudTrail Dadurch erhalten Sie automatisch Protokolldateien mit API-Aktivitäten für die neue Region.
T0154	Überwachen der Nutzung von Ressourcen und Ressourcen im Wissensmanagement und Erstellen entsprechender Berichte.	rds-enhanced-monitoring-enabled	Aktivieren Sie Amazon Relational Database Service (Amazon RDS), um die Verfügbarkeit von Amazon RDS zu überwachen. Dies bietet einen detaillierten Einblick in den Zustand Ihrer Amazon-RDS-Datenbank-Instances. Wenn der Amazon-RDS-Speicher mehr als ein zugrunde liegendes physisches Gerät verwendet, erfasst Enhanced Monitoring die Daten für jedes Gerät. Wenn die Datenbank-Instance von Amazon RDS in einer Multi-AZ-Bereitstellung ausgeführt wird, werden außerdem die Daten für jedes Gerät auf dem sekundären Host sowie die Metriken des sekundären Hosts erfasst.
T0154	Überwachen der Nutzung von Ressourcen und Ressourcen im Wissensmanagement und Erstellen entsprechender Berichte.	rds-logging-enabled	Um die Protokollierung und Überwachung in Ihrer Umgebung zu erleichtern, stellen Sie sicher, dass die Amazon Relational Database Service (Amazon RDS)-Protokollierung aktiviert ist. Mit der Amazon-RDS-Protokollierung können Sie Ereignisse wie Verbindungen, Verbindungsabbrüche, Abfragen oder abgefragte Tabellen erfassen.
T0154	Überwachen der Nutzung von Ressourcen und Ressourcen im Wissensmanagement und Erstellen entsprechender Berichte.	securityhub-enabled	AWS Security Hub hilft bei der Überwachung von unbefugtem Personal, Verbindungen, Geräten und Software. AWS Security Hub aggregiert, organisiert und priorisiert die Sicherheitswarnungen oder Ergebnisse mehrerer Dienste. AWS Einige dieser Dienste sind Amazon Security Hub, Amazon Inspector, Amazon Macie, AWS Identity and Access Management (IAM) Access Analyzer und AWS Firewall Manager sowie AWS Partnerlösungen.
T0154	Überwachen der Nutzung von Ressourcen und Ressourcen im Wissensmanagement und Erstellen entsprechender Berichte.	wafv2-logging-enabled	Um Ihnen bei der Protokollierung und Überwachung in Ihrer Umgebung zu helfen, aktivieren Sie die AWS WAF (V2) -Protokollierung für regionale und globale Web-ACLs. AWS Die WAF-Protokollierung bietet detaillierte Informationen über den Datenverkehr, der von Ihrer Web-ACL analysiert wird. In den Protokollen werden die Uhrzeit aufgezeichnet, zu der die AWS WAF die Anfrage von Ihrer AWS Ressource erhalten hat, Informationen über die Anfrage und eine Aktion für die Regel, der jede Anfrage entsprach.
T0154	Überwachen der Nutzung von Ressourcen und Ressourcen im Wissensmanagement und Erstellen entsprechender Berichte.	api-gw-execution-logging-enabled	Die API-Gateway-Protokollierung zeigt detaillierte Ansichten der Benutzer, die auf die API zugegriffen haben, und wie diese Benutzer auf die API zugegriffen haben. Diese Insights ermöglichen die Einsicht in Benutzeraktivitäten.
T0154	Überwachen der Nutzung von Ressourcen und Ressourcen im Wissensmanagement und Erstellen entsprechender Berichte.	autoscaling-group-elb-healthcheck-required	Die Integritätsprüfungen des Elastic Load Balancer (ELB) für Auto Scaling-Gruppen in Amazon Elastic Compute Cloud (Amazon EC2) unterstützen die Aufrechterhaltung einer angemessenen Kapazität und Verfügbarkeit. Der Load Balancer sendet periodisch Pings, unternimmt Verbindungsversuche oder sendet Anfragen zum Testen des Zustands von EC2-Instances in einer Auto-Scaling-Gruppe. Wenn eine Instance nichts zurückmeldet, wird der Datenverkehr an eine neue Amazon-EC2-Instance gesendet.
T0154	Überwachen der Nutzung von Ressourcen und Ressourcen im Wissensmanagement und Erstellen entsprechender Berichte.	beanstalk-enhanced-health-reporting-enabled	AWS Die verbesserte Zustandsberichterstattung von Elastic Beanstalk ermöglicht eine schnellere Reaktion auf Veränderungen im Zustand der zugrunde liegenden Infrastruktur. Diese Änderungen könnten zu einer mangelnden Verfügbarkeit der Anwendung führen. Die erweiterten Zustandsberichte von Elastic Beanstalk bieten eine Statusbeschreibung, um den Schweregrad der identifizierten Probleme einzuschätzen und mögliche Ursachen zu identifizieren, die untersucht werden müssen.
T0154	Überwachen der Nutzung von Ressourcen und Ressourcen im Wissensmanagement und Erstellen entsprechender Berichte.	cloud-trail-cloud-watch-logs-enabled	Verwenden Sie Amazon CloudWatch , um Protokollereignisaktivitäten zentral zu sammeln und zu verwalten. Die Aufnahme von AWS CloudTrail Daten liefert Einzelheiten zu den API-Aufrufaktivitäten in Ihrem AWS-Konto.
T0154	Überwachen der Nutzung von Ressourcen und Ressourcen im Wissensmanagement und Erstellen entsprechender Berichte.	cloudtrail-enabled	AWS CloudTrail kann bei der Nichtabstreitbarkeit helfen, indem Aktionen und API-Aufrufe der AWS Management Console aufgezeichnet werden. Sie können die Benutzer und die Benutzer AWS-Konten , die einen AWS Dienst aufgerufen haben, die Quell-IP-Adresse, über die die Aufrufe generiert wurden, und den Zeitpunkt der Anrufe identifizieren. Einzelheiten zu den erfassten Daten finden Sie in den AWS CloudTrail Datensatzinhalten.
T0154	Überwachen der Nutzung von Ressourcen und Ressourcen im Wissensmanagement und Erstellen entsprechender Berichte.	cloudtrail-s3-dataevents-enabled	Die Erfassung von Simple Storage Service (Amazon S3)-Datenereignissen unterstützt die Erkennung von ungewöhnlichen Aktivitäten. Zu den Details gehören Informationen zu dem AWS -Konto, das auf einen Amazon-S3-Bucket zugegriffen hat, die IP-Adresse und die Uhrzeit des Ereignisses.
T0154	Überwachen der Nutzung von Ressourcen und Ressourcen im Wissensmanagement und Erstellen entsprechender Berichte.	cloudwatch-alarm-action-check	Amazon CloudWatch alarmiert, wenn eine Metrik den Schwellenwert für eine bestimmte Anzahl von Bewertungszeiträumen überschreitet. Der Alarm führt eine oder mehrere Aktionen durch, die vom Wert der Metrik oder des Ausdrucks im Vergleich zu einem Schwellenwert in einer Reihe von Zeiträumen abhängt. Diese Regel erfordert einen Wert für alarmActionRequired (Config Default: True), insufficientDataAction Required (Config Default: True), okActionRequired (Config Default: False). Der tatsächliche Wert muss die Alarmaktionen für Ihre Umgebung widerspiegeln.
T0154	Überwachen der Nutzung von Ressourcen und Ressourcen im Wissensmanagement und Erstellen entsprechender Berichte.	dynamodb-throughput-limit-check	Aktivieren Sie diese Regel, um sicherzustellen, dass die bereitgestellte Durchsatzkapazität in Ihren Amazon-DynamoDB-Tabellen überprüft wird. Dies ist der Umfang der Lese- und Schreibaktivitäten, der von den jeweiligen Tabellen unterstützt werden kann. DynamoDB verwendet diese Informationen für das Reservieren ausreichender Systemressourcen, um Ihren Durchsatzanforderungen gerecht zu werden. Diese Regel generiert eine Warnung, wenn sich der Durchsatz dem Höchstlimit für ein Kundenkonto nähert. Mit dieser Regel können Sie optional die Parameter AccountRCU ThresholdPercentage (Config Default: 80) und AccountWCU ThresholdPercentage (Config Default: 80) festlegen. Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
T0154	Überwachen der Nutzung von Ressourcen und Ressourcen im Wissensmanagement und Erstellen entsprechender Berichte.	ec2-instance-detailed-monitoring-enabled	Aktivieren Sie diese Regel, um die Überwachung der Amazon Elastic Compute Cloud (Amazon-EC2)-Instance in der Amazon-EC2-Konsole zu verbessern. Dort werden Überwachungsdiagramme mit einminütigem Intervall für die Instance angezeigt.
T0154	Überwachen der Nutzung von Ressourcen und Ressourcen im Wissensmanagement und Erstellen entsprechender Berichte.	elb-logging-enabled	Die Elastic-Load-Balancing-Aktivität ist ein zentraler Kommunikationspunkt innerhalb einer Umgebung. Stellen Sie sicher, dass die ELB-Protokollierung aktiviert ist. Die gesammelten Daten enthalten detaillierte Informationen zu Anfragen, die an den ELB gesendet wurden. Jedes Protokoll enthält Informationen wie die Zeit, zu der die Anforderung einging, die Client-IP-Adresse, Latenzen, Anforderungspfade und Serverantworten.
T0154	Überwachen der Nutzung von Ressourcen und Ressourcen im Wissensmanagement und Erstellen entsprechender Berichte.	guardduty-enabled-centralized	Amazon GuardDuty kann mithilfe von Threat Intelligence Feeds helfen, potenzielle Cybersicherheitsereignisse zu überwachen und zu erkennen. Dazu gehören Listen bösartiger IP-Adressen und maschinelles Lernen zur Identifizierung unerwarteter, nicht autorisierter und bösartiger Aktivitäten in Ihrer AWS Cloud-Umgebung.
T0154	Überwachen der Nutzung von Ressourcen und Ressourcen im Wissensmanagement und Erstellen entsprechender Berichte.	redshift-cluster-configuration-check	Um Daten im Ruhezustand zu schützen, muss die Verschlüsselung für Ihre Amazon-Redshift-Cluster aktiviert sein. Sie müssen auch sicherstellen, dass die erforderlichen Konfigurationen auf Amazon-Redshift-Clustern bereitgestellt werden. Die Prüfungsprotokollierung muss aktiviert sein, um Informationen zu Verbindungen und Benutzeraktivitäten in der Datenbank bereitzustellen. Diese Regel erfordert, dass ein Wert für clusterDbEncrypted (Config Default: TRUE) und LoggingEnabled (Config Default: TRUE) gesetzt ist. Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
T0154	Überwachen der Nutzung von Ressourcen und Ressourcen im Wissensmanagement und Erstellen entsprechender Berichte.	s3-bucket-logging-enabled	Die Amazon Simple Storage Service (Amazon S3)-Serverzugriffsprotokollierung bietet eine Methode zur Überwachung des Netzwerks im Hinblick auf potenzielle Cybersicherheitsereignisse. Die Ereignisse werden überwacht, indem detaillierte Aufzeichnungen über die Anfragen erfasst werden, die an einen Amazon-S3-Bucket gestellt wurden. Jeder Zugriffsprotokolleintrag enthält Details zu einer einzelnen Zugriffsanfrage. Zu den Details gehören Anforderer, Bucket-Name, Anforderungszeit, Anforderungsaktion, Antwortstatus und Fehlercode, falls relevant.
T0154	Überwachen der Nutzung von Ressourcen und Ressourcen im Wissensmanagement und Erstellen entsprechender Berichte.	vpc-flow-logs-enabled	VPC-Flow-Protokolle erfassen detaillierte Informationsdatensätze über den IP-Datenverkehr, der zu und von Netzwerkschnittstellen in Ihrer Amazon Virtual Private Cloud (Amazon VPC) fließt. Standardmäßig enthalten Flow-Protokolldatensätze Werte für die verschiedenen Komponenten des IP-Flows, einschließlich Quelle, Ziel und Protokoll.
T0156	Beaufsichtigung und Abgabe von Empfehlungen zum Konfigurationsmanagement.	account-part-of-organizations	Durch die zentrale Verwaltung AWS-Konten innerhalb von AWS Organizations wird sichergestellt, dass die Konten den Vorschriften entsprechen. Eine fehlende zentrale Kontoverwaltung kann zu inkonsistenten Kontokonfigurationen führen, wodurch Ressourcen und sensible Daten offengelegt werden können.
T0156	Beaufsichtigung und Abgabe von Empfehlungen zum Konfigurationsmanagement.	ec2-instance-managed-by-systems-manager	Eine Bestandsaufnahme der Softwareplattformen und Anwendungen innerhalb des Unternehmens ist möglich, indem Amazon Elastic Compute Cloud (Amazon EC2) -Instances mit AWS Systems Manager verwaltet werden. Verwenden Sie AWS Systems Manager, um detaillierte Systemkonfigurationen, Betriebssystem-Patch-Levels, Namen und Typ der Dienste, Softwareinstallationen, Anwendungsname, Herausgeber und Version sowie andere Details zu Ihrer Umgebung bereitzustellen.
T0156	Beaufsichtigung und Abgabe von Empfehlungen zum Konfigurationsmanagement.	ec2-managedinstance-association-compliance-status-check	Verwenden Sie AWS Systems Manager Associations, um bei der Inventarisierung von Softwareplattformen und Anwendungen innerhalb eines Unternehmens zu helfen. AWS Systems Manager weist Ihren verwalteten Instances einen Konfigurationsstatus zu und ermöglicht es Ihnen, Basiswerte für Betriebssystem-Patch-Levels, Softwareinstallationen, Anwendungskonfigurationen und andere Details zu Ihrer Umgebung festzulegen.
T0156	Beaufsichtigung und Abgabe von Empfehlungen zum Konfigurationsmanagement.	ec2-managedinstance-patch-compliance-status-check	Aktivieren Sie diese Regel, um Amazon Elastic Compute Cloud (Amazon EC2)-Schwachstellen zu identifizieren und zu dokumentieren. Die Regel prüft, ob die Amazon EC2 EC2-Instance die Patch-Konformität im AWS Systems Manager gemäß den Richtlinien und Verfahren Ihres Unternehmens einhält.
T0156	Beaufsichtigung und Abgabe von Empfehlungen zum Konfigurationsmanagement.	redshift-cluster-maintenancesettings-check	Diese Regel stellt sicher, dass Amazon-Redshift-Cluster die bevorzugten Einstellungen für Ihre Organisation haben. Insbesondere sorgt sie dafür, dass Cluster bevorzugte Wartungsfenster und automatisierte Aufbewahrungsfristen für Snapshots für die Datenbank haben. Für diese Regel müssen Sie die allowVersionUpgrade festlegen. Der Standardwert ist „true“. Außerdem können Sie optional den Zeitraum preferredMaintenanceWindow (der Standardwert ist sa: 16:00 -sa: 16:30) und den automatedSnapshotRetention Zeitraum (der Standardwert ist 1) festlegen. Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
T0156	Beaufsichtigung und Abgabe von Empfehlungen zum Konfigurationsmanagement.	elastic-beanstalk-managed-updates-enabled	Durch die Aktivierung verwalteter Plattformupdates für eine Amazon-Elastic-Beanstalk-Umgebung wird sichergestellt, dass die aktuellen verfügbaren Plattform-Fixes, -Updates und -Features für die Umgebung installiert sind. Eine bewährte Methode zur Sicherung von Systemen besteht darin, stets die aktuellen Patches zu installieren.
T0156	Beaufsichtigung und Abgabe von Empfehlungen zum Konfigurationsmanagement.	restricted-common-ports	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass gemeinsame Ports für Amazon Elastic Compute Cloud (Amazon EC2) -Sicherheitsgruppen eingeschränkt sind. Wenn der Zugriff auf Ports nicht auf vertrauenswürdige Quellen beschränkt wird, kann dies zu Angriffen auf die Verfügbarkeit, Integrität und Vertraulichkeit von Systemen führen. Mit dieser Regel können Sie optional die Parameter blockedPort1–blockedPort5 festlegen (Standardkonfigurationen: 20, 21, 3389, 3306, 4333). Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
T0156	Beaufsichtigung und Abgabe von Empfehlungen zum Konfigurationsmanagement.	vpc-default-security-group-closed	Sicherheitsgruppen von Amazon Elastic Compute Cloud (Amazon EC2) können bei der Verwaltung des Netzwerkzugriffs helfen, indem sie eine statusbehaftete Filterung des ein- und ausgehenden Netzwerkverkehrs zu Ressourcen bereitstellen. AWS Die Beschränkung des gesamten Datenverkehrs in der Standardsicherheitsgruppe hilft dabei, den Fernzugriff auf Ihre Ressourcen einzuschränken. AWS
T0156	Beaufsichtigung und Abgabe von Empfehlungen zum Konfigurationsmanagement.	vpc-sg-open-only-to-authorized-ports	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass gemeinsame Ports für Amazon Elastic Compute Cloud (Amazon EC2) -Sicherheitsgruppen eingeschränkt sind. Wenn der Zugriff auf Ports nicht auf vertrauenswürdige Quellen beschränkt wird, kann dies zu Angriffen auf die Verfügbarkeit, Integrität und Vertraulichkeit von Systemen führen. Durch die Beschränkung des Zugriffs auf Ressourcen innerhalb einer Sicherheitsgruppe aus dem Internet (0.0.0.0/0) kann der Fernzugriff auf interne Systeme gesteuert werden.
T0160	Patchen von Netzwerkschwachstellen, um sicherzustellen, dass die Informationen vor Außenstehenden geschützt sind.	rds-automatic-minor-version-upgrade-enabled	Aktivieren Sie automatische Unterversions-Upgrades auf Ihren Amazon-Relational-Database-Service-(RDS-)-Instances, um sicherzustellen, dass die aktuellen Updates für Unterversionen des Relational Database Management System (RDBMS) installiert sind, die Sicherheitspatches und Bugfixes enthalten können.
T0160	Patchen von Netzwerkschwachstellen, um sicherzustellen, dass die Informationen vor Außenstehenden geschützt sind.	ec2-managedinstance-association-compliance-status-check	Verwenden Sie AWS Systems Manager Associations, um bei der Inventarisierung von Softwareplattformen und Anwendungen innerhalb eines Unternehmens zu helfen. AWS Systems Manager weist Ihren verwalteten Instances einen Konfigurationsstatus zu und ermöglicht es Ihnen, Basiswerte für Betriebssystem-Patch-Levels, Softwareinstallationen, Anwendungskonfigurationen und andere Details zu Ihrer Umgebung festzulegen.
T0160	Patchen von Netzwerkschwachstellen, um sicherzustellen, dass die Informationen vor Außenstehenden geschützt sind.	ec2-managedinstance-patch-compliance-status-check	Aktivieren Sie diese Regel, um Amazon Elastic Compute Cloud (Amazon EC2)-Schwachstellen zu identifizieren und zu dokumentieren. Die Regel prüft, ob die Amazon EC2 EC2-Instance die Patch-Konformität im AWS Systems Manager gemäß den Richtlinien und Verfahren Ihres Unternehmens einhält.
T0162	Durchführung von Sicherungen und Wiederherstellungen von Datenbanken zur Gewährleistung der Datenintegrität.	dynamodb-in-backup-plan	Um Sie bei Datensicherungsprozessen zu unterstützen, stellen Sie sicher, dass Ihre Amazon DynamoDB-Tabellen Teil eines AWS Backup-Plans sind. AWS Backup ist ein vollständig verwalteter Backup-Service mit einer richtlinienbasierten Backup-Lösung. Diese Lösung vereinfacht Ihr Sicherungsmanagement und erleichtert Ihnen die Erfüllung von geschäftlichen und behördlichen Compliance-Anforderungen hinsichtlich Datensicherungen.
T0162	Durchführung von Sicherungen und Wiederherstellungen von Datenbanken zur Gewährleistung der Datenintegrität.	ebs-in-backup-plan	Stellen Sie zur Unterstützung der Datensicherungsprozesse sicher, dass Ihre Amazon Elastic Block Store (Amazon EBS) -Volumes Teil eines AWS Backup-Plans sind. AWS Backup ist ein vollständig verwalteter Backup-Service mit einer richtlinienbasierten Backup-Lösung. Diese Lösung vereinfacht Ihre Backup-Verwaltung und ermöglicht es Ihnen, Ihre geschäftlichen und behördlichen Anforderungen bezüglich Backups zu erfüllen.
T0162	Durchführung von Sicherungen und Wiederherstellungen von Datenbanken zur Gewährleistung der Datenintegrität.	efs-in-backup-plan	Um Sie bei Datensicherungsprozessen zu unterstützen, stellen Sie sicher, dass Ihre Amazon Elastic File System (Amazon EFS) -Dateisysteme Teil eines AWS Backup-Plans sind. AWS Backup ist ein vollständig verwalteter Backup-Service mit einer richtlinienbasierten Backup-Lösung. Diese Lösung vereinfacht Ihr Sicherungsmanagement und erleichtert Ihnen die Erfüllung von geschäftlichen und behördlichen Compliance-Anforderungen hinsichtlich Datensicherungen.
T0162	Durchführung von Sicherungen und Wiederherstellungen von Datenbanken zur Gewährleistung der Datenintegrität.	rds-in-backup-plan	Um Sie bei Datensicherungsprozessen zu unterstützen, stellen Sie sicher, dass Ihre Amazon Relational Database Service (Amazon RDS) -Instances Teil eines AWS Backup-Plans sind. AWS Backup ist ein vollständig verwalteter Backup-Service mit einer richtlinienbasierten Backup-Lösung. Diese Lösung vereinfacht Ihr Sicherungsmanagement und erleichtert Ihnen die Erfüllung von geschäftlichen und behördlichen Compliance-Anforderungen hinsichtlich Datensicherungen.
T0162	Durchführung von Sicherungen und Wiederherstellungen von Datenbanken zur Gewährleistung der Datenintegrität.	redshift-backup-enabled	Stellen Sie zur Unterstützung der Datensicherungsprozesse sicher, dass Ihre Amazon-Redshift-Cluster über automatisierte Snapshots verfügen. Wenn automatisierte Snapshots für einen Cluster aktiviert sind, erstellt Redshift in regelmäßigen Abständen Snapshots dieses Clusters. Standardmäßig erstellt Redshift alle acht Stunden oder alle 5 GB einen Snapshot für jeden Knoten mit Datenänderungen oder je nachdem, was zuerst eintritt.
T0162	Durchführung von Sicherungen und Wiederherstellungen von Datenbanken zur Gewährleistung der Datenintegrität.	backup-plan-min-frequency-and-min-retention-check	Um Sie bei Datensicherungsprozessen zu unterstützen, stellen Sie sicher, dass Ihr AWS Backup-Plan auf eine Mindestfrequenz und Aufbewahrung festgelegt ist. AWS Backup ist ein vollständig verwalteter Backup-Service mit einer richtlinienbasierten Backup-Lösung. Diese Lösung vereinfacht Ihr Sicherungsmanagement und erleichtert Ihnen die Erfüllung von geschäftlichen und behördlichen Compliance-Anforderungen hinsichtlich Datensicherungen. Mit dieser Regel können Sie die Parameter requiredFrequencyValue (Config default: 1), requiredRetentionDays (Config default: 35) und requiredFrequencyUnit (Config default: days) festlegen. Der tatsächliche Wert muss den Anforderungen Ihrer Organisation entsprechen.
T0162	Durchführung von Sicherungen und Wiederherstellungen von Datenbanken zur Gewährleistung der Datenintegrität.	backup-recovery-point-encrypted	Stellen Sie sicher, dass die Verschlüsselung für Ihre AWS Backup-Wiederherstellungspunkte aktiviert ist. Da sensible Daten auch im Ruhezustand vorhanden sein können, sollten Sie die Verschlüsselung im Ruhezustand aktivieren, um diese Daten zu schützen.
T0162	Durchführung von Sicherungen und Wiederherstellungen von Datenbanken zur Gewährleistung der Datenintegrität.	backup-recovery-point-manual-deletion-disabled	Stellen Sie sicher, dass Ihren AWS Backup-Wiederherstellungspunkten eine ressourcenbasierte Richtlinie zugeordnet ist, die das Löschen von Wiederherstellungspunkten verhindert. Die Verwendung einer ressourcenbasierten Richtlinie zur Verhinderung des Löschens von Wiederherstellungspunkten kann dazu beitragen, ein versehentliches oder absichtliches Löschen zu unterbinden.
T0162	Durchführung von Sicherungen und Wiederherstellungen von Datenbanken zur Gewährleistung der Datenintegrität.	db-instance-backup-enabled	Die Sicherungsfunktion von Amazon RDS erstellt Sicherungen Ihrer Datenbanken und Transaktionsprotokolle. Amazon RDS erstellt einen Snapshot für das Speichervolume Ihrer DB-Instance, sodass die gesamte DB-Instance gesichert wird. Sie können im System spezifische Aufbewahrungsfristen festlegen, um Ihre Ausfallsicherheitsanforderungen zu erfüllen.
T0162	Durchführung von Sicherungen und Wiederherstellungen von Datenbanken zur Gewährleistung der Datenintegrität.	dynamodb-pitr-enabled	Aktivieren Sie diese Regel, um zu überprüfen, ob die Informationen gesichert wurden. Es verwaltet auch die Backups, indem es sicherstellt, dass die point-in-time Wiederherstellung in Amazon DynamoDB aktiviert ist. Bei der Wiederherstellung werden fortlaufende Backups Ihrer Tabelle für die letzten 35 Tage gespeichert.
T0162	Durchführung von Sicherungen und Wiederherstellungen von Datenbanken zur Gewährleistung der Datenintegrität.	ec2-resources-protected-by-backup-plan	Um Sie bei Datensicherungsprozessen zu unterstützen, stellen Sie sicher, dass Ihre Amazon Elastic Compute Cloud (Amazon EC2) -Ressourcen Teil eines AWS Backup-Plans sind. AWS Backup ist ein vollständig verwalteter Backup-Service mit einer richtlinienbasierten Backup-Lösung. Diese Lösung vereinfacht Ihr Sicherungsmanagement und erleichtert Ihnen die Erfüllung von geschäftlichen und behördlichen Compliance-Anforderungen hinsichtlich Datensicherungen.
T0162	Durchführung von Sicherungen und Wiederherstellungen von Datenbanken zur Gewährleistung der Datenintegrität.	elasticache-redis-cluster-automatic-backup-check	Wenn automatische Backups aktiviert sind, ElastiCache erstellt Amazon täglich ein Backup des Clusters. Die Sicherung kann für eine von Ihrer Organisation festgelegte Anzahl von Tagen aufbewahrt werden. Automatische Backups schützen vor Datenverlust. Bei einem Ausfall können Sie einen neuen Cluster erstellen, der Ihre Daten aus dem aktuellen Backup wiederherstellt.
T0162	Durchführung von Sicherungen und Wiederherstellungen von Datenbanken zur Gewährleistung der Datenintegrität.	redshift-cluster-maintenancesettings-check	Diese Regel stellt sicher, dass Amazon-Redshift-Cluster die bevorzugten Einstellungen für Ihre Organisation haben. Insbesondere sorgt sie dafür, dass Cluster bevorzugte Wartungsfenster und automatisierte Aufbewahrungsfristen für Snapshots für die Datenbank haben. Für diese Regel müssen Sie die festlegen allowVersionUpgrade. Der Standardwert ist „true“. Außerdem können Sie optional den Zeitraum preferredMaintenanceWindow (der Standardwert ist sa: 16:00 -sa: 16:30) und den automatedSnapshotRetention Zeitraum (der Standardwert ist 1) festlegen. Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
T0162	Durchführung von Sicherungen und Wiederherstellungen von Datenbanken zur Gewährleistung der Datenintegrität.	s3-bucket-replication-enabled	Amazon Simple Storage Service (Amazon S3) Cross-Region Replication (CRR) unterstützt die Aufrechterhaltung einer angemessenen Kapazität und Verfügbarkeit. CRR ermöglicht das automatische, asynchrone Kopieren von Objekten in Amazon S3 Buckets, um die Datenverfügbarkeit sicherzustellen.
T0162	Durchführung von Sicherungen und Wiederherstellungen von Datenbanken zur Gewährleistung der Datenintegrität.	s3-bucket-versioning-enabled	Die Versionsverwaltung von Amazon Simple Storage Service (Amazon S3)-Buckets hilft dabei, mehrere Varianten eines Objekts im selben Amazon-S3-Bucket zu speichern. Verwenden Sie die Versionsverwaltung, um sämtliche Versionen aller Objekte in Ihrem Amazon-S3-Bucket zu speichern, abzurufen oder wiederherzustellen. Mit der Versionsverwaltung können Sie Versionen sowohl nach unbeabsichtigten Benutzeraktionen als auch nach Anwendungsfehlern problemlos wiederherstellen.
T0166	Durchführung von Ereigniskorrelation unter Verwendung von Informationen, die aus einer Vielzahl von Quellen innerhalb des Unternehmens gesammelt wurden, um ein Situationsbewusstsein zu erlangen und die Wirksamkeit eines beobachteten Angriffs zu bestimmen.	cw-loggroup-retention-period-check	Stellen Sie sicher, dass die Ereignisprotokolldaten für Ihre Protokollgruppen über eine Mindestdauer aufbewahrt werden, um die Fehlerbehebung und forensische Untersuchungen zu unterstützen. Fehlende frühere Ereignisprotokolldaten erschweren die Rekonstruierung und Identifizierung potenziell schädlicher Ereignisse.
T0166	Durchführung von Ereigniskorrelation unter Verwendung von Informationen, die aus einer Vielzahl von Quellen innerhalb des Unternehmens gesammelt wurden, um ein Situationsbewusstsein zu erlangen und die Wirksamkeit eines beobachteten Angriffs zu bestimmen.	elasticsearch-logs-to-cloudwatch	Stellen Sie sicher, dass für Amazon OpenSearch Service-Domains Fehlerprotokolle aktiviert und zur Aufbewahrung und Beantwortung an Amazon CloudWatch Logs gestreamt werden. Domain-Fehlerprotokolle sind bei Sicherheits- und Zugriffsprüfungen sowie bei der Diagnose von Verfügbarkeitsproblemen nützlich.
T0166	Durchführung von Ereigniskorrelation unter Verwendung von Informationen, die aus einer Vielzahl von Quellen innerhalb des Unternehmens gesammelt wurden, um ein Situationsbewusstsein zu erlangen und die Wirksamkeit eines beobachteten Angriffs zu bestimmen.	multi-region-cloudtrail-enabled	AWS CloudTrail zeichnet Aktionen und API-Aufrufe der AWS Management Console auf. Sie können feststellen, welche Benutzer und Konten angerufen wurden AWS, von welcher Quell-IP-Adresse aus die Anrufe getätigt wurden und wann die Anrufe erfolgten. CloudTrail übermittelt Protokolldateien aus allen AWS Regionen an Ihren S3-Bucket, wenn MULTI_REGION_CLOUD_TRAIL_ENABLED aktiviert ist. Außerdem wird beim AWS Start einer neuen Region derselbe Trail in der neuen Region erstellt. CloudTrail Dadurch erhalten Sie automatisch Protokolldateien mit API-Aktivitäten für die neue Region.
T0166	Durchführung von Ereigniskorrelation unter Verwendung von Informationen, die aus einer Vielzahl von Quellen innerhalb des Unternehmens gesammelt wurden, um ein Situationsbewusstsein zu erlangen und die Wirksamkeit eines beobachteten Angriffs zu bestimmen.	wafv2-logging-enabled	Um die Protokollierung und Überwachung in Ihrer Umgebung zu erleichtern, aktivieren Sie die AWS WAF (V2) -Protokollierung für regionale und globale Web-ACLs. AWS Die WAF-Protokollierung bietet detaillierte Informationen über den Datenverkehr, der von Ihrer Web-ACL analysiert wird. In den Protokollen werden die Uhrzeit aufgezeichnet, zu der die AWS WAF die Anfrage von Ihrer AWS Ressource erhalten hat, Informationen über die Anfrage und eine Aktion für die Regel, der jede Anfrage entsprach.
T0166	Durchführung von Ereigniskorrelation unter Verwendung von Informationen, die aus einer Vielzahl von Quellen innerhalb des Unternehmens gesammelt wurden, um ein Situationsbewusstsein zu erlangen und die Wirksamkeit eines beobachteten Angriffs zu bestimmen.	api-gw-execution-logging-enabled	Die API-Gateway-Protokollierung zeigt detaillierte Ansichten der Benutzer, die auf die API zugegriffen haben, und wie diese Benutzer auf die API zugegriffen haben. Diese Insights ermöglichen die Einsicht in Benutzeraktivitäten.
T0166	Durchführung von Ereigniskorrelation unter Verwendung von Informationen, die aus einer Vielzahl von Quellen innerhalb des Unternehmens gesammelt wurden, um ein Situationsbewusstsein zu erlangen und die Wirksamkeit eines beobachteten Angriffs zu bestimmen.	cloud-trail-cloud-watch-logs-enabled	Verwenden Sie Amazon CloudWatch , um Protokollereignisaktivitäten zentral zu sammeln und zu verwalten. Die Aufnahme von AWS CloudTrail Daten liefert Einzelheiten zu den API-Aufrufaktivitäten in Ihrem AWS-Konto.
T0166	Durchführung von Ereigniskorrelation unter Verwendung von Informationen, die aus einer Vielzahl von Quellen innerhalb des Unternehmens gesammelt wurden, um ein Situationsbewusstsein zu erlangen und die Wirksamkeit eines beobachteten Angriffs zu bestimmen.	cloudtrail-enabled	AWS CloudTrail kann bei der Nichtabstreitbarkeit helfen, indem Aktionen und API-Aufrufe der AWS Management Console aufgezeichnet werden. Sie können die Benutzer und die Benutzer AWS-Konten , die einen AWS Dienst aufgerufen haben, die Quell-IP-Adresse, über die die Aufrufe generiert wurden, und den Zeitpunkt der Anrufe identifizieren. Einzelheiten zu den erfassten Daten finden Sie in den AWS CloudTrail Datensatzinhalten.
T0166	Durchführung von Ereigniskorrelation unter Verwendung von Informationen, die aus einer Vielzahl von Quellen innerhalb des Unternehmens gesammelt wurden, um ein Situationsbewusstsein zu erlangen und die Wirksamkeit eines beobachteten Angriffs zu bestimmen.	cloudtrail-s3-dataevents-enabled	Die Erfassung von Simple Storage Service (Amazon S3)-Datenereignissen unterstützt die Erkennung von ungewöhnlichen Aktivitäten. Zu den Details gehören Informationen zu dem AWS -Konto, das auf einen Amazon-S3-Bucket zugegriffen hat, die IP-Adresse und die Uhrzeit des Ereignisses.
T0166	Durchführung von Ereigniskorrelation unter Verwendung von Informationen, die aus einer Vielzahl von Quellen innerhalb des Unternehmens gesammelt wurden, um ein Situationsbewusstsein zu erlangen und die Wirksamkeit eines beobachteten Angriffs zu bestimmen.	elb-logging-enabled	Die Elastic-Load-Balancing-Aktivität ist ein zentraler Kommunikationspunkt innerhalb einer Umgebung. Stellen Sie sicher, dass die ELB-Protokollierung aktiviert ist. Die gesammelten Daten enthalten detaillierte Informationen zu Anfragen, die an den ELB gesendet wurden. Jedes Protokoll enthält Informationen wie die Zeit, zu der die Anforderung einging, die Client-IP-Adresse, Latenzen, Anforderungspfade und Serverantworten.
T0166	Durchführung von Ereigniskorrelation unter Verwendung von Informationen, die aus einer Vielzahl von Quellen innerhalb des Unternehmens gesammelt wurden, um ein Situationsbewusstsein zu erlangen und die Wirksamkeit eines beobachteten Angriffs zu bestimmen.	rds-logging-enabled	Um die Protokollierung und Überwachung in Ihrer Umgebung zu erleichtern, stellen Sie sicher, dass die Amazon Relational Database Service (Amazon RDS)-Protokollierung aktiviert ist. Mit der Amazon-RDS-Protokollierung können Sie Ereignisse wie Verbindungen, Verbindungsabbrüche, Abfragen oder abgefragte Tabellen erfassen.
T0166	Durchführung von Ereigniskorrelation unter Verwendung von Informationen, die aus einer Vielzahl von Quellen innerhalb des Unternehmens gesammelt wurden, um ein Situationsbewusstsein zu erlangen und die Wirksamkeit eines beobachteten Angriffs zu bestimmen.	redshift-cluster-configuration-check	Um Daten im Ruhezustand zu schützen, muss die Verschlüsselung für Ihre Amazon-Redshift-Cluster aktiviert sein. Sie müssen auch sicherstellen, dass die erforderlichen Konfigurationen auf Amazon-Redshift-Clustern bereitgestellt werden. Die Prüfungsprotokollierung muss aktiviert sein, um Informationen zu Verbindungen und Benutzeraktivitäten in der Datenbank bereitzustellen. Diese Regel erfordert, dass ein Wert für clusterDbEncrypted (Config Default: TRUE) und LoggingEnabled (Config Default: TRUE) gesetzt ist. Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
T0166	Durchführung von Ereigniskorrelation unter Verwendung von Informationen, die aus einer Vielzahl von Quellen innerhalb des Unternehmens gesammelt wurden, um ein Situationsbewusstsein zu erlangen und die Wirksamkeit eines beobachteten Angriffs zu bestimmen.	s3-bucket-logging-enabled	Die Amazon Simple Storage Service (Amazon S3)-Serverzugriffsprotokollierung bietet eine Methode zur Überwachung des Netzwerks im Hinblick auf potenzielle Cybersicherheitsereignisse. Die Ereignisse werden überwacht, indem detaillierte Aufzeichnungen über die Anfragen erfasst werden, die an einen Amazon-S3-Bucket gestellt wurden. Jeder Zugriffsprotokolleintrag enthält Details zu einer einzelnen Zugriffsanfrage. Zu den Details gehören Anforderer, Bucket-Name, Anforderungszeit, Anforderungsaktion, Antwortstatus und Fehlercode, falls relevant.
T0166	Durchführung von Ereigniskorrelation unter Verwendung von Informationen, die aus einer Vielzahl von Quellen innerhalb des Unternehmens gesammelt wurden, um ein Situationsbewusstsein zu erlangen und die Wirksamkeit eines beobachteten Angriffs zu bestimmen.	vpc-flow-logs-enabled	VPC-Flow-Protokolle erfassen detaillierte Informationsdatensätze über den IP-Datenverkehr, der zu und von Netzwerkschnittstellen in Ihrer Amazon Virtual Private Cloud (Amazon VPC) fließt. Standardmäßig enthalten Flow-Protokolldatensätze Werte für die verschiedenen Komponenten des IP-Flows, einschließlich Quelle, Ziel und Protokoll.
T0168	Durchführung eines Hash-Vergleichs mit einer bestehenden Datenbank.	cloud-trail-log-file-validation-enabled	Verwenden Sie die AWS CloudTrail Protokolldateivalidierung, um die Integrität von Protokollen zu überprüfen. CloudTrail Mithilfe der Protokolldateivalidierung kann festgestellt werden, ob eine Protokolldatei geändert oder gelöscht wurde oder ob sie nach der Übermittlung CloudTrail unverändert geblieben ist. Dieses Feature wurde mit dem Branchenstandard entsprechenden Algorithmen entwickelt: SHA-256 für die Hashfunktion und SHA-256 mit RSA für digitale Signaturen. Aus diesem Grund ist es rechnerisch unmöglich, CloudTrail Protokolldateien unbemerkt zu ändern, zu löschen oder zu fälschen.
T0195	Sorgen Sie für einen gesteuerten Fluss relevanter Informationen (über webbasierte Portale oder auf andere Weise) auf der Grundlage der Missionsanforderungen.	alb-waf-enabled	Stellen Sie sicher, dass AWS WAF auf Elastic Load Balancers (ELB) aktiviert ist, um Webanwendungen zu schützen. Eine WAF hilft, Ihre Webanwendungen oder APIs vor gängigen Web-Exploits zu schützen. Diese Web-Exploits können sich auf die Verfügbarkeit auswirken, die Sicherheit gefährden oder übermäßige Ressourcen in Ihrer Umgebung verbrauchen.
T0195	Sorgen Sie für einen gesteuerten Fluss relevanter Informationen (über webbasierte Portale oder auf andere Weise) auf der Grundlage der Missionsanforderungen.	api-gw-associated-with-waf	AWS Mit WAF können Sie eine Reihe von Regeln (eine so genannte Web Access Control List (Web ACL)) konfigurieren, die Webanfragen auf der Grundlage von anpassbaren Websicherheitsregeln und -bedingungen, die Sie definieren, zulassen, blockieren oder zählen. Stellen Sie sicher, dass Ihre Amazon-API-Gateway-Stufe mit einer WAF-Web-ACL verknüpft ist, um sie vor böswilligen Angriffen zu schützen.
T0195	Sorgen Sie für einen gesteuerten Fluss relevanter Informationen (über webbasierte Portale oder auf andere Weise) auf der Grundlage der Missionsanforderungen.	autoscaling-launch-config-public-ip-disabled	Wenn Sie Ihre Netzwerkschnittstellen mit einer öffentlichen IP-Adresse konfigurieren, sind die diesen Netzwerkschnittstellen zugehörigen Ressourcen vom Internet aus erreichbar. EC2-Ressourcen sollten nicht öffentlich zugänglich sein, da dies einen unbeabsichtigten Zugriff auf Ihre Anwendungen oder Server ermöglichen kann.
T0195	Sorgen Sie für einen gesteuerten Fluss relevanter Informationen (über webbasierte Portale oder auf andere Weise) auf der Grundlage der Missionsanforderungen.	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) -Sicherheitsgruppen können bei der Verwaltung des Netzwerkzugriffs helfen, indem sie eine statusabhängige Filterung des ein- und ausgehenden Netzwerkverkehrs zu Ressourcen bereitstellen. AWS Wenn Sie eingehenden (oder entfernten) Datenverkehr von 0.0.0.0/0 bis Port 22 auf Ihren Ressourcen nicht zulassen, können Sie den Remote-Zugriff einschränken.
T0195	Sorgen Sie für einen gesteuerten Fluss relevanter Informationen (über webbasierte Portale oder auf andere Weise) auf der Grundlage der Missionsanforderungen.	ec2-instances-in-vpc	Stellen Sie Amazon Elastic Compute Cloud (Amazon EC2-)Instances innerhalb einer Amazon Virtual Private Cloud (Amazon VPC) bereit, um eine sichere Kommunikation zwischen einer Instance und anderen Services innerhalb der Amazon-VPC zu ermöglichen, ohne dass ein Internet-Gateway, ein NAT-Gerät oder eine VPN-Verbindung erforderlich ist. Der gesamte Datenverkehr bleibt sicher in der Cloud. AWS Domains, die sich innerhalb einer VPC befinden, verfügen aufgrund ihrer logischen Isolierung im Vergleich zu Domains mit öffentlichen Endpunkten über eine zusätzliche Sicherheitsebene. Weisen Sie Amazon-EC2-Instances einer Amazon VPC zu, um den Zugriff ordnungsgemäß zu verwalten.
T0195	Sorgen Sie für einen gesteuerten Fluss relevanter Informationen (über webbasierte Portale oder auf andere Weise) auf der Grundlage der Missionsanforderungen.	no-unrestricted-route-to-igw	Stellen Sie sicher, dass Amazon-EC2-Routing-Tabellen keine uneingeschränkten Routen zu einem Internet-Gateway enthalten. Das Entfernen oder Beschränken des Internetzugangs für Workloads innerhalb von Amazon VPCs kann unbeabsichtigte Zugriffe in Ihrer Umgebung reduzieren.
T0195	Sorgen Sie für einen gesteuerten Fluss relevanter Informationen (über webbasierte Portale oder auf andere Weise) auf der Grundlage der Missionsanforderungen.	redshift-enhanced-vpc-routing-enabled	Mit Enhanced-VPC-Routing wird erzwungen, dass der gesamte COPY- und UNLOAD-Datenverkehr zwischen Ihrem Cluster und Datenrepositorys über Ihre Amazon VPC erfolgt. Anschließend können Sie VPC-Features wie Sicherheitsgruppen und Netzwerkzugriffskontrolllisten verwenden, um den Netzwerkverkehr zu schützen. Sie können auch VPC-Flow-Logs verwenden, um den Netzwerkverkehr zu überwachen.
T0195	Sorgen Sie für einen gesteuerten Fluss relevanter Informationen (über webbasierte Portale oder auf andere Weise) auf der Grundlage der Missionsanforderungen.	s3-account-level-public-access-blocks-periodic	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Simple Storage Service (Amazon S3) -Buckets nicht öffentlich zugänglich sind. Diese Regel trägt dazu bei, sensible Daten vor unbefugten Remote-Benutzern zu schützen, indem sie den öffentlichen Zugriff verhindert. Mit dieser Regel können Sie optional die Parameter ignorePublicAcls (Config Default: True), blockPublicPolicy (Config Default: True), blockPublicAcls (Config Default: True) und restrictPublicBuckets Parameter (Config Default: True) festlegen. Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
T0195	Sorgen Sie für einen gesteuerten Fluss relevanter Informationen (über webbasierte Portale oder auf andere Weise) auf der Grundlage der Missionsanforderungen.	ssm-document-not-public	Stellen Sie sicher, dass AWS Systems Manager (SSM) -Dokumente nicht öffentlich sind, da dies einen unbeabsichtigten Zugriff auf Ihre SSM-Dokumente ermöglichen kann. Ein öffentliches SSM-Dokument kann Informationen über Ihr Konto, Ihre Ressourcen und internen Prozesse preisgeben.
T0195	Sorgen Sie für einen gesteuerten Fluss relevanter Informationen (über webbasierte Portale oder auf andere Weise) auf der Grundlage der Missionsanforderungen.	dms-replication-not-public	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass auf DMS-Replikationsinstanzen nicht öffentlich zugegriffen werden kann. DMS-Replikations-Instances können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
T0195	Sorgen Sie für einen gesteuerten Fluss relevanter Informationen (über webbasierte Portale oder auf andere Weise) auf der Grundlage der Missionsanforderungen.	ebs-snapshot-public-restorable-check	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass EBS-Snapshots nicht öffentlich wiederherstellbar sind. EBS-Volume-Snapshots können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
T0195	Sorgen Sie für einen gesteuerten Fluss relevanter Informationen (über webbasierte Portale oder auf andere Weise) auf der Grundlage der Missionsanforderungen.	ec2-instance-no-public-ip	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass Amazon Elastic Compute Cloud (Amazon EC2) -Instances nicht öffentlich zugänglich sind. Amazon-EC2-Instances können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
T0195	Sorgen Sie für einen gesteuerten Fluss relevanter Informationen (über webbasierte Portale oder auf andere Weise) auf der Grundlage der Missionsanforderungen.	elasticsearch-in-vpc-only	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass sich Amazon OpenSearch OpenSearch Service (Service) -Domains innerhalb einer Amazon Virtual Private Cloud (Amazon VPC) befinden. Eine OpenSearch Service-Domain innerhalb einer Amazon VPC ermöglicht die sichere Kommunikation zwischen OpenSearch Service und anderen Services innerhalb der Amazon VPC, ohne dass ein Internet-Gateway, ein NAT-Gerät oder eine VPN-Verbindung erforderlich ist.
T0195	Sorgen Sie für einen gesteuerten Fluss relevanter Informationen (über webbasierte Portale oder auf andere Weise) auf der Grundlage der Missionsanforderungen.	emr-master-no-public-ip	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass Amazon EMR-Cluster-Masterknoten nicht öffentlich zugänglich sind. Amazon-EMR-Cluster-Hauptknoten können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
T0195	Sorgen Sie für einen gesteuerten Fluss relevanter Informationen (über webbasierte Portale oder auf andere Weise) auf der Grundlage der Missionsanforderungen.	lambda-function-public-access-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass AWS Lambda-Funktionen nicht öffentlich zugänglich sind. Der öffentliche Zugriff kann möglicherweise die Verfügbarkeit von Ressourcen beeinträchtigen.
T0195	Sorgen Sie für einen gesteuerten Fluss relevanter Informationen (über webbasierte Portale oder auf andere Weise) auf der Grundlage der Missionsanforderungen.	lambda-inside-vpc	Stellen Sie AWS Lambda-Funktionen in einer Amazon Virtual Private Cloud (Amazon VPC) bereit, um eine sichere Kommunikation zwischen einer Funktion und anderen Diensten innerhalb der Amazon VPC zu gewährleisten. Bei dieser Konfiguration sind kein Internet-Gateway, kein NAT-Gerät und keine VPN-Verbindung erforderlich. Der gesamte Datenverkehr bleibt sicher in der Cloud. AWS Domains, die sich innerhalb einer VPC befinden, verfügen aufgrund ihrer logischen Isolierung im Vergleich zu Domains mit öffentlichen Endpunkten über eine zusätzliche Sicherheitsebene. Um den Zugriff ordnungsgemäß zu verwalten, sollten AWS Lambda-Funktionen einer VPC zugewiesen werden.
T0195	Sorgen Sie für einen gesteuerten Fluss relevanter Informationen (über webbasierte Portale oder auf andere Weise) auf der Grundlage der Missionsanforderungen.	opensearch-in-vpc-only	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass sich die Domains von Amazon Elasticsearch Service (Amazon ES) innerhalb einer Amazon Virtual Private Cloud (Amazon VPC) befinden. Eine ES-Domain in einer Amazon VPC ermöglicht eine sichere Kommunikation zwischen Amazon ES und anderen Services innerhalb der Amazon VPC, ohne dass ein Internet-Gateway, ein NAT-Gerät oder eine VPN-Verbindung benötigt wird.
T0195	Sorgen Sie für einen gesteuerten Fluss relevanter Informationen (über webbasierte Portale oder auf andere Weise) auf der Grundlage der Missionsanforderungen.	rds-instance-public-access-check	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Relational Database Service (Amazon RDS) -Instances nicht öffentlich sind. Amazon-RDS-Datenbank-Instances können vertrauliche Informationen enthalten und für solche Konten sind Prinzipien und Zugriffskontrollen erforderlich.
T0195	Sorgen Sie für einen gesteuerten Fluss relevanter Informationen (über webbasierte Portale oder auf andere Weise) auf der Grundlage der Missionsanforderungen.	rds-snapshots-public-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Relational Database Service (Amazon RDS) -Instances nicht öffentlich sind. Amazon-RDS-Datenbank-Instances können vertrauliche Informationen enthalten und für solche Konten sind Prinzipien und Zugriffskontrollen erforderlich.
T0195	Sorgen Sie für einen gesteuerten Fluss relevanter Informationen (über webbasierte Portale oder auf andere Weise) auf der Grundlage der Missionsanforderungen.	redshift-cluster-public-access-check	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Redshift Redshift-Cluster nicht öffentlich sind. Amazon-Redshift-Cluster können vertrauliche Informationen enthalten und für solche Konten sind Prinzipien und Zugriffskontrollen erforderlich.
T0195	Sorgen Sie für einen gesteuerten Fluss relevanter Informationen (über webbasierte Portale oder auf andere Weise) auf der Grundlage der Missionsanforderungen.	restricted-common-ports	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass gemeinsame Ports für Amazon Elastic Compute Cloud (Amazon EC2) -Sicherheitsgruppen eingeschränkt sind. Wenn der Zugriff auf Ports nicht auf vertrauenswürdige Quellen beschränkt wird, kann dies zu Angriffen auf die Verfügbarkeit, Integrität und Vertraulichkeit von Systemen führen. Mit dieser Regel können Sie optional die Parameter blockedPort1–blockedPort5 festlegen (Standardkonfigurationen: 20, 21, 3389, 3306, 4333). Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
T0195	Sorgen Sie für einen gesteuerten Fluss relevanter Informationen (über webbasierte Portale oder auf andere Weise) auf der Grundlage der Missionsanforderungen.	s3-bucket-level-public-access-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Simple Storage Service (Amazon S3) -Buckets nicht öffentlich zugänglich sind. Diese Regel trägt dazu bei, sensible Daten vor unbefugten Remote-Benutzern zu schützen, indem sie den öffentlichen Zugriff auf Bucket-Ebene verhindert.
T0195	Sorgen Sie für einen gesteuerten Fluss relevanter Informationen (über webbasierte Portale oder auf andere Weise) auf der Grundlage der Missionsanforderungen.	s3-bucket-public-read-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie nur autorisierten Benutzern, Prozessen und Geräten Zugriff auf Amazon Simple Storage Service (Amazon S3) -Buckets gewähren. Die Verwaltung des Zugriffs sollte mit der Klassifizierung der Daten übereinstimmen.
T0195	Sorgen Sie für einen gesteuerten Fluss relevanter Informationen (über webbasierte Portale oder auf andere Weise) auf der Grundlage der Missionsanforderungen.	s3-bucket-public-write-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie nur autorisierten Benutzern, Prozessen und Geräten Zugriff auf Amazon Simple Storage Service (Amazon S3) -Buckets gewähren. Die Verwaltung des Zugriffs sollte mit der Klassifizierung der Daten übereinstimmen.
T0195	Sorgen Sie für einen gesteuerten Fluss relevanter Informationen (über webbasierte Portale oder auf andere Weise) auf der Grundlage der Missionsanforderungen.	sagemaker-notebook-no-direct-internet-access	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass SageMaker Amazon-Notebooks keinen direkten Internetzugang zulassen. Indem Sie direkten Internetzugang blockieren, vermeiden Sie, dass unbefugte Benutzer auf sensible Daten zugreifen.
T0195	Sorgen Sie für einen gesteuerten Fluss relevanter Informationen (über webbasierte Portale oder auf andere Weise) auf der Grundlage der Missionsanforderungen.	subnet-auto-assign-public-ip-disabled	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass Amazon Virtual Private Cloud (VPC) -Subnetzen nicht automatisch eine öffentliche IP-Adresse zugewiesen wird. Bei Amazon-Elastic-Compute-Cloud (EC2)-Instances, die in Subnetzen gestartet werden, in denen dieses Attribut aktiviert ist, wird der primären Netzwerkschnittstelle eine öffentliche IP-Adresse zugewiesen.
T0195	Sorgen Sie für einen gesteuerten Fluss relevanter Informationen (über webbasierte Portale oder auf andere Weise) auf der Grundlage der Missionsanforderungen.	vpc-default-security-group-closed	Sicherheitsgruppen von Amazon Elastic Compute Cloud (Amazon EC2) können bei der Verwaltung des Netzwerkzugriffs helfen, indem sie eine statusbehaftete Filterung des ein- und ausgehenden Netzwerkverkehrs zu Ressourcen bereitstellen. AWS Die Beschränkung des gesamten Datenverkehrs in der Standardsicherheitsgruppe hilft dabei, den Fernzugriff auf Ihre Ressourcen einzuschränken. AWS
T0195	Sorgen Sie für einen gesteuerten Fluss relevanter Informationen (über webbasierte Portale oder auf andere Weise) auf der Grundlage der Missionsanforderungen.	vpc-sg-open-only-to-authorized-ports	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass gemeinsame Ports für Amazon Elastic Compute Cloud (Amazon EC2) -Sicherheitsgruppen eingeschränkt sind. Wenn der Zugriff auf Ports nicht auf vertrauenswürdige Quellen beschränkt wird, kann dies zu Angriffen auf die Verfügbarkeit, Integrität und Vertraulichkeit von Systemen führen. Durch die Beschränkung des Zugriffs auf Ressourcen innerhalb einer Sicherheitsgruppe aus dem Internet (0.0.0.0/0) kann der Fernzugriff auf interne Systeme gesteuert werden.
T0215	Erkennen eines möglichen Sicherheitsverstoßes und Ergreifen geeigneter Maßnahmen zur Meldung des Vorfalls, soweit erforderlich.	guardduty-enabled-centralized	Amazon GuardDuty kann mithilfe von Threat Intelligence Feeds helfen, potenzielle Cybersicherheitsereignisse zu überwachen und zu erkennen. Dazu gehören Listen bösartiger IP-Adressen und maschinelles Lernen zur Identifizierung unerwarteter, nicht autorisierter und bösartiger Aktivitäten in Ihrer AWS Cloud-Umgebung.
T0244	Stellen Sie sicher, dass die Sicherheitsvorkehrungen für Anwendungssoftware, Netzwerk und System wie angegeben umgesetzt werden, dokumentieren Sie Abweichungen und empfehlen Sie die erforderlichen Maßnahmen zur Behebung dieser Abweichungen.	cloud-trail-log-file-validation-enabled	Verwenden Sie die Validierung von AWS CloudTrail Protokolldateien, um die Integrität von CloudTrail Protokollen zu überprüfen. Mithilfe der Protokolldateivalidierung kann festgestellt werden, ob eine Protokolldatei geändert oder gelöscht wurde oder ob sie nach der Übermittlung CloudTrail unverändert geblieben ist. Dieses Feature wurde mit dem Branchenstandard entsprechenden Algorithmen entwickelt: SHA-256 für die Hashfunktion und SHA-256 mit RSA für digitale Signaturen. Aus diesem Grund ist es rechnerisch unmöglich, CloudTrail Protokolldateien unbemerkt zu ändern, zu löschen oder zu fälschen.
T0244	Stellen Sie sicher, dass die Sicherheitsvorkehrungen für Anwendungssoftware, Netzwerk und System wie angegeben umgesetzt werden, dokumentieren Sie Abweichungen und empfehlen Sie die erforderlichen Maßnahmen zur Behebung dieser Abweichungen.	ec2-instance-managed-by-systems-manager	Eine Bestandsaufnahme der Softwareplattformen und Anwendungen innerhalb des Unternehmens ist möglich, indem Amazon Elastic Compute Cloud (Amazon EC2) -Instances mit AWS Systems Manager verwaltet werden. Verwenden Sie AWS Systems Manager, um detaillierte Systemkonfigurationen, Betriebssystem-Patch-Levels, Namen und Typ der Dienste, Softwareinstallationen, Anwendungsname, Herausgeber und Version sowie andere Details zu Ihrer Umgebung bereitzustellen.
T0244	Stellen Sie sicher, dass die Sicherheitsvorkehrungen für Anwendungssoftware, Netzwerk und System wie angegeben umgesetzt werden, dokumentieren Sie Abweichungen und empfehlen Sie die erforderlichen Maßnahmen zur Behebung dieser Abweichungen.	ec2-managedinstance-association-compliance-status-check	Verwenden Sie AWS Systems Manager Associations, um bei der Inventarisierung von Softwareplattformen und Anwendungen innerhalb eines Unternehmens zu helfen. AWS Systems Manager weist Ihren verwalteten Instances einen Konfigurationsstatus zu und ermöglicht es Ihnen, Basiswerte für Betriebssystem-Patch-Levels, Softwareinstallationen, Anwendungskonfigurationen und andere Details zu Ihrer Umgebung festzulegen.
T0258	Sorgen Sie für die rechtzeitige Erkennung und Identifizierung möglicher Angriffe/Eingriffe, anomaler Aktivitäten und missbräuchlicher Aktivitäten und unterscheiden Sie diese Vorfälle und Ereignisse von harmlosen Aktivitäten.	guardduty-enabled-centralized	Amazon GuardDuty kann mithilfe von Threat Intelligence Feeds helfen, potenzielle Cybersicherheitsereignisse zu überwachen und zu erkennen. Dazu gehören Listen bösartiger IP-Adressen und maschinelles Lernen zur Identifizierung unerwarteter, nicht autorisierter und bösartiger Aktivitäten in Ihrer AWS Cloud-Umgebung.
T0259	Verwenden Sie Tools zur Cyberabwehr zur kontinuierlichen Überwachung und Analyse der Systemaktivitäten, um böswillige Aktivitäten zu identifizieren.	guardduty-enabled-centralized	Amazon GuardDuty kann mithilfe von Threat Intelligence Feeds helfen, potenzielle Cybersicherheitsereignisse zu überwachen und zu erkennen. Dazu gehören Listen bösartiger IP-Adressen und maschinelles Lernen zur Identifizierung unerwarteter, nicht autorisierter und bösartiger Aktivitäten in Ihrer AWS Cloud-Umgebung.
T0262	Wenden Sie anerkannte defense-in-depth Prinzipien und Praktiken an (z. B. defense-in-multiple Orte, mehrschichtige Schutzmaßnahmen, Robustheit der Sicherheit).	alb-waf-enabled	Stellen Sie sicher, dass AWS WAF auf Elastic Load Balancers (ELB) aktiviert ist, um Webanwendungen zu schützen. Eine WAF hilft, Ihre Webanwendungen oder APIs vor gängigen Web-Exploits zu schützen. Diese Web-Exploits können sich auf die Verfügbarkeit auswirken, die Sicherheit gefährden oder übermäßige Ressourcen in Ihrer Umgebung verbrauchen.
T0262	Wenden Sie anerkannte defense-in-depth Prinzipien und Praktiken an (z. B. defense-in-multiple Orte, mehrschichtige Schutzmaßnahmen, Robustheit der Sicherheit).	api-gw-associated-with-waf	AWS Mit WAF können Sie eine Reihe von Regeln (als Web Access Control List (Web ACL) bezeichnet) konfigurieren, die Webanfragen auf der Grundlage von anpassbaren Websicherheitsregeln und -bedingungen, die Sie definieren, zulassen, blockieren oder zählen. Stellen Sie sicher, dass Ihre Amazon-API-Gateway-Stufe mit einer WAF-Web-ACL verknüpft ist, um sie vor böswilligen Angriffen zu schützen.
T0262	Wenden Sie anerkannte defense-in-depth Prinzipien und Praktiken an (z. B. defense-in-multiple Orte, mehrschichtige Schutzmaßnahmen, Robustheit der Sicherheit).	autoscaling-launch-config-public-ip-disabled	Wenn Sie Ihre Netzwerkschnittstellen mit einer öffentlichen IP-Adresse konfigurieren, sind die diesen Netzwerkschnittstellen zugehörigen Ressourcen vom Internet aus erreichbar. EC2-Ressourcen sollten nicht öffentlich zugänglich sein, da dies einen unbeabsichtigten Zugriff auf Ihre Anwendungen oder Server ermöglichen kann.
T0262	Wenden Sie anerkannte defense-in-depth Prinzipien und Praktiken an (z. B. defense-in-multiple Orte, mehrstufige Schutzmaßnahmen, Robustheit der Sicherheit).	ec2-instances-in-vpc	Stellen Sie Amazon Elastic Compute Cloud (Amazon EC2-)Instances innerhalb einer Amazon Virtual Private Cloud (Amazon VPC) bereit, um eine sichere Kommunikation zwischen einer Instance und anderen Services innerhalb der Amazon-VPC zu ermöglichen, ohne dass ein Internet-Gateway, ein NAT-Gerät oder eine VPN-Verbindung erforderlich ist. Der gesamte Datenverkehr bleibt sicher in der Cloud. AWS Domains, die sich innerhalb einer VPC befinden, verfügen aufgrund ihrer logischen Isolierung im Vergleich zu Domains mit öffentlichen Endpunkten über eine zusätzliche Sicherheitsebene. Weisen Sie Amazon-EC2-Instances einer Amazon VPC zu, um den Zugriff ordnungsgemäß zu verwalten.
T0262	Wenden Sie anerkannte defense-in-depth Prinzipien und Praktiken an (z. B. defense-in-multiple Orte, mehrschichtige Schutzmaßnahmen, Robustheit der Sicherheit).	no-unrestricted-route-to-igw	Stellen Sie sicher, dass Amazon-EC2-Routing-Tabellen keine uneingeschränkten Routen zu einem Internet-Gateway enthalten. Das Entfernen oder Beschränken des Internetzugangs für Workloads innerhalb von Amazon VPCs kann unbeabsichtigte Zugriffe in Ihrer Umgebung reduzieren.
T0262	Wenden Sie anerkannte defense-in-depth Prinzipien und Praktiken an (z. B. defense-in-multiple Orte, mehrstufige Schutzmaßnahmen, Robustheit der Sicherheit).	redshift-enhanced-vpc-routing-enabled	Mit Enhanced-VPC-Routing wird erzwungen, dass der gesamte COPY- und UNLOAD-Datenverkehr zwischen Ihrem Cluster und Datenrepositorys über Ihre Amazon VPC erfolgt. Anschließend können Sie VPC-Features wie Sicherheitsgruppen und Netzwerkzugriffskontrolllisten verwenden, um den Netzwerkverkehr zu schützen. Sie können auch VPC-Flow-Logs verwenden, um den Netzwerkverkehr zu überwachen.
T0262	Wenden Sie anerkannte defense-in-depth Prinzipien und Praktiken an (z. B. defense-in-multiple Orte, mehrstufige Schutzmaßnahmen, Robustheit der Sicherheit).	s3-account-level-public-access-blocks-periodic	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Simple Storage Service (Amazon S3) -Buckets nicht öffentlich zugänglich sind. Diese Regel trägt dazu bei, sensible Daten vor unbefugten Remote-Benutzern zu schützen, indem sie den öffentlichen Zugriff verhindert. Mit dieser Regel können Sie optional die Parameter ignorePublicAcls (Config Default: True), blockPublicPolicy (Config Default: True), blockPublicAcls (Config Default: True) und restrictPublicBuckets Parameter (Config Default: True) festlegen. Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
T0262	Wenden Sie anerkannte defense-in-depth Prinzipien und Verfahren an (z. B. defense-in-multiple Orte, mehrschichtige Schutzmaßnahmen, Robustheit der Sicherheit).	ssm-document-not-public	Stellen Sie sicher, dass AWS Systems Manager (SSM) -Dokumente nicht öffentlich sind, da dies einen unbeabsichtigten Zugriff auf Ihre SSM-Dokumente ermöglichen kann. Ein öffentliches SSM-Dokument kann Informationen über Ihr Konto, Ihre Ressourcen und internen Prozesse preisgeben.
T0262	Wenden Sie anerkannte defense-in-depth Prinzipien und Verfahren an (z. B. defense-in-multiple Orte, mehrschichtige Schutzmaßnahmen, Robustheit der Sicherheit).	dms-replication-not-public	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass auf DMS-Replikationsinstanzen nicht öffentlich zugegriffen werden kann. DMS-Replikations-Instances können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
T0262	Wenden Sie anerkannte defense-in-depth Prinzipien und Praktiken an (z. B. defense-in-multiple Orte, mehrschichtige Schutzmaßnahmen, Robustheit der Sicherheit).	ebs-snapshot-public-restorable-check	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass EBS-Snapshots nicht öffentlich wiederherstellbar sind. EBS-Volume-Snapshots können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
T0262	Wenden Sie anerkannte defense-in-depth Prinzipien und Praktiken an (z. B. defense-in-multiple Orte, mehrschichtige Schutzmaßnahmen, Robustheit der Sicherheit).	ec2-instance-no-public-ip	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass Amazon Elastic Compute Cloud (Amazon EC2) -Instances nicht öffentlich zugänglich sind. Amazon-EC2-Instances können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
T0262	Wenden Sie anerkannte defense-in-depth Prinzipien und Praktiken an (z. B. defense-in-multiple Orte, mehrschichtige Schutzmaßnahmen, Robustheit der Sicherheit).	elasticsearch-in-vpc-only	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass sich Amazon OpenSearch OpenSearch Service (Service) -Domains innerhalb einer Amazon Virtual Private Cloud (Amazon VPC) befinden. Eine OpenSearch Service-Domain innerhalb einer Amazon VPC ermöglicht die sichere Kommunikation zwischen OpenSearch Service und anderen Services innerhalb der Amazon VPC, ohne dass ein Internet-Gateway, ein NAT-Gerät oder eine VPN-Verbindung erforderlich ist.
T0262	Wenden Sie anerkannte defense-in-depth Prinzipien und Praktiken an (z. B. defense-in-multiple Orte, mehrschichtige Schutzmaßnahmen, Robustheit der Sicherheit).	emr-master-no-public-ip	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass Amazon EMR-Cluster-Masterknoten nicht öffentlich zugänglich sind. Amazon-EMR-Cluster-Hauptknoten können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
T0262	Wenden Sie anerkannte defense-in-depth Prinzipien und Praktiken an (z. B. defense-in-multiple Orte, mehrschichtige Schutzmaßnahmen, Robustheit der Sicherheit).	lambda-function-public-access-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass AWS Lambda-Funktionen nicht öffentlich zugänglich sind. Der öffentliche Zugriff kann möglicherweise die Verfügbarkeit von Ressourcen beeinträchtigen.
T0262	Wenden Sie anerkannte defense-in-depth Prinzipien und Praktiken an (z. B. defense-in-multiple Orte, mehrschichtige Schutzmaßnahmen, Robustheit der Sicherheit).	lambda-inside-vpc	Stellen Sie AWS Lambda-Funktionen in einer Amazon Virtual Private Cloud (Amazon VPC) bereit, um eine sichere Kommunikation zwischen einer Funktion und anderen Diensten innerhalb der Amazon VPC zu gewährleisten. Bei dieser Konfiguration sind kein Internet-Gateway, kein NAT-Gerät und keine VPN-Verbindung erforderlich. Der gesamte Datenverkehr bleibt sicher in der Cloud. AWS Domains, die sich innerhalb einer VPC befinden, verfügen aufgrund ihrer logischen Isolierung im Vergleich zu Domains mit öffentlichen Endpunkten über eine zusätzliche Sicherheitsebene. Um den Zugriff ordnungsgemäß zu verwalten, sollten AWS Lambda-Funktionen einer VPC zugewiesen werden.
T0262	Wenden Sie anerkannte defense-in-depth Prinzipien und Praktiken an (z. B. defense-in-multiple Orte, mehrschichtige Schutzmaßnahmen, Robustheit der Sicherheit).	opensearch-in-vpc-only	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass sich die Domains von Amazon Elasticsearch Service (Amazon ES) innerhalb einer Amazon Virtual Private Cloud (Amazon VPC) befinden. Eine ES-Domain in einer Amazon VPC ermöglicht eine sichere Kommunikation zwischen Amazon ES und anderen Services innerhalb der Amazon VPC, ohne dass ein Internet-Gateway, ein NAT-Gerät oder eine VPN-Verbindung benötigt wird.
T0262	Wenden Sie anerkannte defense-in-depth Prinzipien und Praktiken an (z. B. defense-in-multiple Orte, mehrschichtige Schutzmaßnahmen, Robustheit der Sicherheit).	rds-instance-public-access-check	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Relational Database Service (Amazon RDS) -Instances nicht öffentlich sind. Amazon-RDS-Datenbank-Instances können vertrauliche Informationen enthalten und für solche Konten sind Prinzipien und Zugriffskontrollen erforderlich.
T0262	Wenden Sie anerkannte defense-in-depth Prinzipien und Praktiken an (z. B. defense-in-multiple Orte, mehrschichtige Schutzmaßnahmen, Robustheit der Sicherheit).	rds-snapshots-public-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Relational Database Service (Amazon RDS) -Instances nicht öffentlich sind. Amazon-RDS-Datenbank-Instances können vertrauliche Informationen enthalten und für solche Konten sind Prinzipien und Zugriffskontrollen erforderlich.
T0262	Wenden Sie anerkannte defense-in-depth Prinzipien und Praktiken an (z. B. defense-in-multiple Orte, mehrschichtige Schutzmaßnahmen, Robustheit der Sicherheit).	redshift-cluster-public-access-check	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Redshift Redshift-Cluster nicht öffentlich sind. Amazon-Redshift-Cluster können vertrauliche Informationen enthalten und für solche Konten sind Prinzipien und Zugriffskontrollen erforderlich.
T0262	Wenden Sie anerkannte defense-in-depth Prinzipien und Praktiken an (z. B. defense-in-multiple Orte, mehrschichtige Schutzmaßnahmen, Robustheit der Sicherheit).	restricted-common-ports	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass gemeinsame Ports für Amazon Elastic Compute Cloud (Amazon EC2) -Sicherheitsgruppen eingeschränkt sind. Wenn der Zugriff auf Ports nicht auf vertrauenswürdige Quellen beschränkt wird, kann dies zu Angriffen auf die Verfügbarkeit, Integrität und Vertraulichkeit von Systemen führen. Mit dieser Regel können Sie optional die Parameter blockedPort1–blockedPort5 festlegen (Standardkonfigurationen: 20, 21, 3389, 3306, 4333). Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
T0262	Wenden Sie anerkannte defense-in-depth Prinzipien und Praktiken an (z. B. defense-in-multiple Orte, mehrschichtige Schutzmaßnahmen, Robustheit der Sicherheit).	s3-bucket-level-public-access-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Simple Storage Service (Amazon S3) -Buckets nicht öffentlich zugänglich sind. Diese Regel trägt dazu bei, sensible Daten vor unbefugten Remote-Benutzern zu schützen, indem sie den öffentlichen Zugriff auf Bucket-Ebene verhindert.
T0262	Wenden Sie anerkannte defense-in-depth Prinzipien und Praktiken an (z. B. defense-in-multiple Orte, mehrschichtige Schutzmaßnahmen, Robustheit der Sicherheit).	s3-bucket-public-read-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie nur autorisierten Benutzern, Prozessen und Geräten Zugriff auf Amazon Simple Storage Service (Amazon S3) -Buckets gewähren. Die Verwaltung des Zugriffs sollte mit der Klassifizierung der Daten übereinstimmen.
T0262	Wenden Sie anerkannte defense-in-depth Prinzipien und Praktiken an (z. B. defense-in-multiple Orte, mehrschichtige Schutzmaßnahmen, Robustheit der Sicherheit).	s3-bucket-public-write-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie nur autorisierten Benutzern, Prozessen und Geräten Zugriff auf Amazon Simple Storage Service (Amazon S3) -Buckets gewähren. Die Verwaltung des Zugriffs sollte mit der Klassifizierung der Daten übereinstimmen.
T0262	Wenden Sie anerkannte defense-in-depth Prinzipien und Praktiken an (z. B. defense-in-multiple Orte, mehrschichtige Schutzmaßnahmen, Robustheit der Sicherheit).	sagemaker-notebook-no-direct-internet-access	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass SageMaker Amazon-Notebooks keinen direkten Internetzugang zulassen. Indem Sie direkten Internetzugang blockieren, vermeiden Sie, dass unbefugte Benutzer auf sensible Daten zugreifen.
T0262	Wenden Sie anerkannte defense-in-depth Prinzipien und Praktiken an (z. B. defense-in-multiple Orte, mehrschichtige Schutzmaßnahmen, robuste Sicherheit).	subnet-auto-assign-public-ip-disabled	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass Amazon Virtual Private Cloud (VPC) -Subnetzen nicht automatisch eine öffentliche IP-Adresse zugewiesen wird. Bei Amazon-Elastic-Compute-Cloud (EC2)-Instances, die in Subnetzen gestartet werden, in denen dieses Attribut aktiviert ist, wird der primären Netzwerkschnittstelle eine öffentliche IP-Adresse zugewiesen.
T0262	Wenden Sie anerkannte defense-in-depth Prinzipien und Praktiken an (z. B. defense-in-multiple Orte, mehrschichtige Schutzmaßnahmen, Robustheit der Sicherheit).	vpc-default-security-group-closed	Sicherheitsgruppen von Amazon Elastic Compute Cloud (Amazon EC2) können bei der Verwaltung des Netzwerkzugriffs helfen, indem sie eine statusbehaftete Filterung des ein- und ausgehenden Netzwerkverkehrs zu Ressourcen bereitstellen. AWS Die Beschränkung des gesamten Datenverkehrs in der Standardsicherheitsgruppe hilft dabei, den Fernzugriff auf Ihre Ressourcen einzuschränken. AWS
T0262	Wenden Sie bewährte defense-in-depth Prinzipien und Verfahren an (z. B. defense-in-multiple Orte, mehrschichtige Schutzmaßnahmen, robuste Sicherheit).	vpc-sg-open-only-to-authorized-ports	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass gemeinsame Ports für Amazon Elastic Compute Cloud (Amazon EC2) -Sicherheitsgruppen eingeschränkt sind. Wenn der Zugriff auf Ports nicht auf vertrauenswürdige Quellen beschränkt wird, kann dies zu Angriffen auf die Verfügbarkeit, Integrität und Vertraulichkeit von Systemen führen. Durch die Beschränkung des Zugriffs auf Ressourcen innerhalb einer Sicherheitsgruppe aus dem Internet (0.0.0.0/0) kann der Fernzugriff auf interne Systeme gesteuert werden.
T0284	Entwerfen Entwickeln neuer Tools/Technologien im Zusammenhang mit Cybersicherheit.	account-part-of-organizations	Durch die zentrale Verwaltung AWS-Konten innerhalb von AWS Organizations wird sichergestellt, dass die Konten den Vorschriften entsprechen. Eine fehlende zentrale Kontoverwaltung kann zu inkonsistenten Kontokonfigurationen führen, wodurch Ressourcen und sensible Daten offengelegt werden können.
T0284	Entwerfen Entwickeln neuer Tools/Technologien im Zusammenhang mit Cybersicherheit.	alb-waf-enabled	Stellen Sie sicher, dass AWS WAF auf Elastic Load Balancers (ELB) aktiviert ist, um Webanwendungen zu schützen. Eine WAF hilft, Ihre Webanwendungen oder APIs vor gängigen Web-Exploits zu schützen. Diese Web-Exploits können sich auf die Verfügbarkeit auswirken, die Sicherheit gefährden oder übermäßige Ressourcen in Ihrer Umgebung verbrauchen.
T0284	Entwerfen Entwickeln neuer Tools/Technologien im Zusammenhang mit Cybersicherheit.	api-gw-associated-with-waf	AWS Mit WAF können Sie eine Reihe von Regeln (eine so genannte Web Access Control List (Web ACL)) konfigurieren, die Webanfragen auf der Grundlage von anpassbaren Websicherheitsregeln und -bedingungen, die Sie definieren, zulassen, blockieren oder zählen. Stellen Sie sicher, dass Ihre Amazon-API-Gateway-Stufe mit einer WAF-Web-ACL verknüpft ist, um sie vor böswilligen Angriffen zu schützen.
T0284	Entwerfen Entwickeln neuer Tools/Technologien im Zusammenhang mit Cybersicherheit.	autoscaling-launch-config-public-ip-disabled	Wenn Sie Ihre Netzwerkschnittstellen mit einer öffentlichen IP-Adresse konfigurieren, sind die diesen Netzwerkschnittstellen zugehörigen Ressourcen vom Internet aus erreichbar. EC2-Ressourcen sollten nicht öffentlich zugänglich sein, da dies einen unbeabsichtigten Zugriff auf Ihre Anwendungen oder Server ermöglichen kann.
T0284	Entwerfen Entwickeln neuer Tools/Technologien im Zusammenhang mit Cybersicherheit.	ec2-instance-profile-attached	EC2-Instance-Profile übergeben eine IAM-Rolle an eine EC2-Instance. Das Anhängen eines Instance-Profils an Ihre Instances kann bei der Implementierung von geringsten Berechtigungen und der Berechtigungsverwaltung helfen.
T0284	Entwerfen Entwickeln neuer Tools/Technologien im Zusammenhang mit Cybersicherheit.	ecs-task-definition-user-for-host-mode-check	Wenn für eine Aufgabendefinition erhöhte Berechtigungen gelten, liegt das daran, dass der Kunde diesen Konfigurationen ausdrücklich zugestimmt hat. Diese Kontrolle prüft, ob eine unerwartete Berechtigungseskalation vorliegt, wenn für eine Aufgabendefinition das Host-Netzwerk aktiviert ist, die Kunden aber keine erhöhten Berechtigungen aktiviert haben.
T0284	Entwerfen Entwickeln neuer Tools/Technologien im Zusammenhang mit Cybersicherheit.	iam-no-inline-policy-check	Stellen Sie sicher, dass ein Benutzer, eine IAM-Rolle oder eine IAM-Gruppe ( AWS Identity and Access Management) nicht über eine Inline-Richtlinie zur Zugriffskontrolle auf Systeme und Ressourcen verfügt. AWS empfiehlt, verwaltete Richtlinien anstelle von Inline-Richtlinien zu verwenden. Verwaltete Richtlinien ermöglichen Wiederverwendbarkeit, Versionsverwaltung, Rollback und Delegierung der Berechtigungsverwaltung.
T0284	Entwerfen Entwickeln neuer Tools/Technologien im Zusammenhang mit Cybersicherheit.	iam-policy-no-statements-with-full-access	Stellen Sie sicher, dass IAM-Aktionen nur auf die benötigten Aktionen beschränkt sind. Wenn Benutzern mehr Rechte eingeräumt werden, als für die Ausführung einer Aufgabe erforderlich sind, kann dies gegen das Prinzip der geringsten Rechte und der Aufgabentrennung verstoßen.
T0284	Entwerfen Entwickeln neuer Tools/Technologien im Zusammenhang mit Cybersicherheit.	ec2-instances-in-vpc	Stellen Sie Amazon Elastic Compute Cloud (Amazon EC2-)Instances innerhalb einer Amazon Virtual Private Cloud (Amazon VPC) bereit, um eine sichere Kommunikation zwischen einer Instance und anderen Services innerhalb der Amazon-VPC zu ermöglichen, ohne dass ein Internet-Gateway, ein NAT-Gerät oder eine VPN-Verbindung erforderlich ist. Der gesamte Datenverkehr bleibt sicher in der AWS Cloud. Domains, die sich innerhalb einer VPC befinden, verfügen aufgrund ihrer logischen Isolierung im Vergleich zu Domains mit öffentlichen Endpunkten über eine zusätzliche Sicherheitsebene. Weisen Sie Amazon-EC2-Instances einer Amazon VPC zu, um den Zugriff ordnungsgemäß zu verwalten.
T0284	Entwerfen Entwickeln neuer Tools/Technologien im Zusammenhang mit Cybersicherheit.	no-unrestricted-route-to-igw	Stellen Sie sicher, dass Amazon-EC2-Routing-Tabellen keine uneingeschränkten Routen zu einem Internet-Gateway enthalten. Das Entfernen oder Beschränken des Internetzugangs für Workloads innerhalb von Amazon VPCs kann unbeabsichtigte Zugriffe in Ihrer Umgebung reduzieren.
T0284	Entwerfen Entwickeln neuer Tools/Technologien im Zusammenhang mit Cybersicherheit.	rds-automatic-minor-version-upgrade-enabled	Aktivieren Sie automatische Unterversions-Upgrades auf Ihren Amazon-Relational-Database-Service-(RDS-)-Instances, um sicherzustellen, dass die aktuellen Updates für Unterversionen des Relational Database Management System (RDBMS) installiert sind, die Sicherheitspatches und Bugfixes enthalten können.
T0284	Entwerfen Entwickeln neuer Tools/Technologien im Zusammenhang mit Cybersicherheit.	redshift-enhanced-vpc-routing-enabled	Mit Enhanced-VPC-Routing wird erzwungen, dass der gesamte COPY- und UNLOAD-Datenverkehr zwischen Ihrem Cluster und Datenrepositorys über Ihre Amazon VPC erfolgt. Anschließend können Sie VPC-Features wie Sicherheitsgruppen und Netzwerkzugriffskontrolllisten verwenden, um den Netzwerkverkehr zu schützen. Sie können auch VPC-Flow-Logs verwenden, um den Netzwerkverkehr zu überwachen.
T0284	Entwerfen Entwickeln neuer Tools/Technologien im Zusammenhang mit Cybersicherheit.	s3-account-level-public-access-blocks-periodic	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Simple Storage Service (Amazon S3) -Buckets nicht öffentlich zugänglich sind. Diese Regel trägt dazu bei, sensible Daten vor unbefugten Remote-Benutzern zu schützen, indem sie den öffentlichen Zugriff verhindert. Mit dieser Regel können Sie optional die Parameter ignorePublicAcls (Config Default: True), blockPublicPolicy (Config Default: True), blockPublicAcls (Config Default: True) und restrictPublicBuckets Parameter (Config Default: True) festlegen. Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
T0284	Entwerfen Entwickeln neuer Tools/Technologien im Zusammenhang mit Cybersicherheit.	ssm-document-not-public	Stellen Sie sicher, dass AWS Systems Manager (SSM) -Dokumente nicht öffentlich sind, da dies einen unbeabsichtigten Zugriff auf Ihre SSM-Dokumente ermöglichen kann. Ein öffentliches SSM-Dokument kann Informationen über Ihr Konto, Ihre Ressourcen und internen Prozesse preisgeben.
T0284	Entwerfen Entwickeln neuer Tools/Technologien im Zusammenhang mit Cybersicherheit.	backup-recovery-point-manual-deletion-disabled	Stellen Sie sicher, dass Ihren AWS Backup-Wiederherstellungspunkten eine ressourcenbasierte Richtlinie zugeordnet ist, die das Löschen von Wiederherstellungspunkten verhindert. Die Verwendung einer ressourcenbasierten Richtlinie zur Verhinderung des Löschens von Wiederherstellungspunkten kann dazu beitragen, ein versehentliches oder absichtliches Löschen zu unterbinden.
T0284	Entwerfen Entwickeln neuer Tools/Technologien im Zusammenhang mit Cybersicherheit.	cloud-trail-log-file-validation-enabled	Verwenden Sie die AWS CloudTrail Protokolldateivalidierung, um die Integrität der CloudTrail Protokolle zu überprüfen. Mithilfe der Protokolldateivalidierung kann festgestellt werden, ob eine Protokolldatei geändert oder gelöscht wurde oder ob sie nach der Übermittlung CloudTrail unverändert geblieben ist. Dieses Feature wurde mit dem Branchenstandard entsprechenden Algorithmen entwickelt: SHA-256 für die Hashfunktion und SHA-256 mit RSA für digitale Signaturen. Aus diesem Grund ist es rechnerisch unmöglich, CloudTrail Protokolldateien unbemerkt zu ändern, zu löschen oder zu fälschen.
T0284	Entwerfen Entwickeln neuer Tools/Technologien im Zusammenhang mit Cybersicherheit.	codebuild-project-envvar-awscred-check	Stellen Sie sicher, dass die Authentifizierungsdaten AWS_ACCESS_KEY_ID und AWS_SECRET_ACCESS_KEY nicht in Codebuild-Projektumgebungen vorhanden sind. AWS Speichern Sie diese Variablen nicht als Klartext. Das Speichern dieser Variablen als Klartext bewirkt eine unbeabsichtigte Offenlegung von Daten sowie unberechtigte Zugriffe.
T0284	Entwerfen Entwickeln neuer Tools/Technologien im Zusammenhang mit Cybersicherheit.	codebuild-project-source-repo-url-check	Stellen Sie sicher, dass die URL des Quell-Repositorys GitHub oder des Bitbucket-Quell-Repositorys keine persönlichen Zugriffstoken oder Anmeldeinformationen in Codebuild-Projektumgebungen enthält. AWS Verwende OAuth anstelle von persönlichen Zugriffstoken oder Anmeldedaten, um die Autorisierung für den Zugriff auf Bitbucket-Repositorys zu gewähren. GitHub
T0284	Entwerfen Entwickeln neuer Tools/Technologien im Zusammenhang mit Cybersicherheit.	dms-replication-not-public	Verwalte den Zugriff auf die AWS Cloud, indem du sicherstellst, dass auf DMS-Replikationsinstanzen nicht öffentlich zugegriffen werden kann. DMS-Replikations-Instances können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
T0284	Entwerfen Entwickeln neuer Tools/Technologien im Zusammenhang mit Cybersicherheit.	ebs-snapshot-public-restorable-check	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass EBS-Snapshots nicht öffentlich wiederherstellbar sind. EBS-Volume-Snapshots können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
T0284	Entwerfen Entwickeln neuer Tools/Technologien im Zusammenhang mit Cybersicherheit.	ec2-instance-no-public-ip	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass Amazon Elastic Compute Cloud (Amazon EC2) -Instances nicht öffentlich zugänglich sind. Amazon-EC2-Instances können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
T0284	Entwerfen Entwickeln neuer Tools/Technologien im Zusammenhang mit Cybersicherheit.	elasticsearch-in-vpc-only	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass sich Amazon OpenSearch OpenSearch Service (Service) -Domains innerhalb einer Amazon Virtual Private Cloud (Amazon VPC) befinden. Eine OpenSearch Service-Domain innerhalb einer Amazon VPC ermöglicht die sichere Kommunikation zwischen OpenSearch Service und anderen Services innerhalb der Amazon VPC, ohne dass ein Internet-Gateway, ein NAT-Gerät oder eine VPN-Verbindung erforderlich ist.
T0284	Entwerfen Entwickeln neuer Tools/Technologien im Zusammenhang mit Cybersicherheit.	emr-kerberos-enabled	Die Zugriffsberechtigungen und -autorisierungen können verwaltet und nach den Prinzipien der geringsten Berechtigung und Aufgabentrennung integriert werden, indem Kerberos für Amazon-EMR-Cluster aktiviert wird. In Kerberos werden Services und Benutzer, die sich authentifizieren müssen, als Prinzipale bezeichnet. Prinzipale befinden sich in einem Kerberos-Bereich. Innerhalb dieses Bereichs wird ein Kerberos-Server als Key Distribution Center (KDC) bezeichnet. Über diesen Server können sich Prinzipale authentifizieren. Die Authentifizierung im KDC erfolgt durch die Ausstellung von Authentifizierungstickets. Das KDC unterhält eine Datenbank der Prinzipale in seinem Bereich mit ihren Passwörtern und anderen administrativen Informationen zu jedem Prinzipal.
T0284	Entwerfen Entwickeln neuer Tools/Technologien im Zusammenhang mit Cybersicherheit.	emr-master-no-public-ip	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass Amazon EMR-Cluster-Masterknoten nicht öffentlich zugänglich sind. Amazon-EMR-Cluster-Hauptknoten können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
T0284	Entwerfen Entwickeln neuer Tools/Technologien im Zusammenhang mit Cybersicherheit.	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) kann Ihnen helfen, die Prinzipien der geringsten Rechte und der Aufgabentrennung in Zugriffsberechtigungen und Autorisierungen zu integrieren und so zu verhindern, dass Richtlinien blockierte Aktionen für alle AWS Schlüssel des Key Management Service enthalten. Wenn Benutzer mehr Rechte haben, als für die Ausführung einer Aufgabe erforderlich sind, kann dies gegen das Prinzip der geringsten Berechtigung und Aufgabentrennung verstoßen. Mit dieser Regel können Sie den Parameter festlegen. blockedActionsPatterns (Wert „AWS Bewährte grundlegende Sicherheitsmethoden“: kms:Decrypt, kms: From). ReEncrypt Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
T0284	Entwerfen Entwickeln neuer Tools/Technologien im Zusammenhang mit Cybersicherheit.	iam-group-has-users-check	AWS Identity and Access Management (IAM) kann Ihnen helfen, die Prinzipien der geringsten Rechte und der Aufgabentrennung mit Zugriffsberechtigungen und Autorisierungen zu integrieren, indem sichergestellt wird, dass IAM-Gruppen mindestens einen Benutzer haben. Die Einteilung von Benutzern in Gruppen auf der Grundlage der ihnen zugewiesenen Berechtigungen oder ihrer Funktion ist eine Möglichkeit, das Prinzip der geringsten Berechtigung zu implementieren.
T0284	Entwerfen Entwickeln neuer Tools/Technologien im Zusammenhang mit Cybersicherheit.	iam-inline-policy-blocked-kms-actions	Stellen Sie sicher, dass ein Benutzer, eine IAM-Rolle oder eine IAM-Gruppe ( AWS Identity and Access Management) nicht über eine Inline-Richtlinie verfügt, die blockierte Aktionen für alle AWS Schlüssel des Key Management Service zulässt. AWS empfiehlt, verwaltete Richtlinien anstelle von Inline-Richtlinien zu verwenden. Verwaltete Richtlinien ermöglichen Wiederverwendbarkeit, Versionsverwaltung, Rollback und Delegierung der Berechtigungsverwaltung. Mit dieser Regel können Sie den blockedActionsPatterns Parameter festlegen. (Wert AWS für bewährte Sicherheitsmethoden: kms:Decrypt, kms: From). ReEncrypt Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
T0284	Entwerfen Entwickeln neuer Tools/Technologien im Zusammenhang mit Cybersicherheit.	iam-password-policy	Die Identitäten und Anmeldeinformationen werden auf der Grundlage einer organisatorischen IAM-Passwortrichtlinie ausgestellt, verwaltet und verifiziert. Sie erfüllen oder übertreffen die Anforderungen, die von NIST SP 800-63 und dem Standard „Best Practices“ von AWS Foundation Security in Bezug auf die Passwortstärke festgelegt wurden. Mit dieser Regel können Sie optional RequireUppercaseCharacters (Wert für AWS grundlegende Sicherheitsbewährte Methoden: wahr), RequireLowercaseCharacters (Wert für bewährte Methoden für AWS grundlegende Sicherheit: wahr), RequireSymbols (Wert für bewährte Methoden für AWS grundlegende Sicherheit: wahr), RequireNumbers (Wert für bewährte Methoden für AWS grundlegende Sicherheit: wahr), MinimumPasswordLength (Wert für bewährte Methoden für AWS grundlegende Sicherheit: 14), PasswordReusePrevention (Wert für bewährte Methoden für AWS grundlegende Sicherheit: 24) und MaxPasswordAge (Wert für bewährte Methoden für AWS grundlegende Sicherheit: 90) für Ihr IAM festlegen Kennwortrichtlinie. Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
T0284	Entwerfen Entwickeln neuer Tools/Technologien im Zusammenhang mit Cybersicherheit.	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) kann Ihnen dabei helfen, die Prinzipien der geringsten Rechte und der Aufgabentrennung in Zugriffsberechtigungen und Autorisierungen zu integrieren und so zu verhindern, dass Richtlinien „Effect“: „Allow“ mit „Action“: „“ anstelle von „Resource“: „“ enthalten. Wenn Benutzern mehr Rechte eingeräumt werden, als für die Ausführung einer Aufgabe erforderlich sind, kann dies gegen das Prinzip der geringsten Berechtigung und der Aufgabentrennung verstoßen.
T0284	Entwerfen Entwickeln neuer Tools/Technologien im Zusammenhang mit Cybersicherheit.	iam-root-access-key-check	Der Zugriff auf Systeme und Ressourcen kann gesteuert werden, indem überprüft wird, ob der Root-Benutzer keine Zugriffsschlüssel mit seiner AWS Identity and Access Management (IAM) -Rolle verknüpft hat. Stellen Sie sicher, dass die Root-Zugriffsschlüssel gelöscht werden. Erstellen und verwenden Sie stattdessen rollenbasierte Funktionen, AWS-Konten um das Prinzip der geringsten Funktionalität zu berücksichtigen.
T0284	Entwerfen Entwickeln neuer Tools/Technologien im Zusammenhang mit Cybersicherheit.	iam-user-group-membership-check	AWS Identity and Access Management (IAM) kann Ihnen helfen, Zugriffsberechtigungen und Autorisierungen einzuschränken, indem sichergestellt wird, dass Benutzer Mitglieder mindestens einer Gruppe sind. Wenn Benutzern mehr Berechtigungen eingeräumt werden, als für die Ausführung einer Aufgabe erforderlich sind, kann dies gegen das Prinzip der geringsten Berechtigung und Aufgabentrennung verstoßen.
T0284	Entwerfen Entwickeln neuer Tools/Technologien im Zusammenhang mit Cybersicherheit.	iam-user-mfa-enabled	Aktivieren Sie diese Regel, um den Zugriff auf Ressourcen in der AWS -Cloud einzuschränken. Diese Regel stellt sicher, dass die Multi-Faktor-Authentifizierung (MFA) für alle Benutzer aktiviert ist. MFA bietet eine weitere Schutzebene zusätzlich zum Benutzernamen und Passwort. Reduzieren Sie Fälle von kompromittierten Konten, indem Sie MFA für Benutzer vorschreiben.
T0284	Entwerfen Entwickeln neuer Tools/Technologien im Zusammenhang mit Cybersicherheit.	iam-user-no-policies-check	Diese Regel stellt sicher, dass AWS Identity and Access Management (IAM) -Richtlinien nur Gruppen oder Rollen zugewiesen werden, um den Zugriff auf Systeme und Ressourcen zu kontrollieren. Die Zuweisung von Berechtigungen auf Gruppen- oder Rollenebene trägt dazu bei, die Wahrscheinlichkeit zu verringern, dass eine Identität übermäßige Berechtigungen erhält oder beibehält.
T0284	Entwerfen Entwickeln neuer Tools/Technologien im Zusammenhang mit Cybersicherheit.	iam-user-unused-credentials-check	AWS Identity and Access Management (IAM) kann Ihnen bei Zugriffsberechtigungen und Autorisierungen helfen, indem es nach IAM-Passwörtern und Zugriffsschlüsseln sucht, die für einen bestimmten Zeitraum nicht verwendet wurden. Wenn ungenutzte Anmeldeinformationen identifiziert werden, müssen Sie sie deaktivieren und/oder entfernen, da dies gegen das Prinzip der geringsten Berechtigung verstoßen könnte. Für diese Regel müssen Sie einen Wert für das maxCredentialUsage Alter festlegen (Standardkonfiguration: 90). Der tatsächliche Wert muss den Richtlinien Ihrer Organisation entsprechen.
T0284	Entwerfen Entwickeln neuer Tools/Technologien im Zusammenhang mit Cybersicherheit.	lambda-function-public-access-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass AWS Lambda-Funktionen nicht öffentlich zugänglich sind. Der öffentliche Zugriff kann möglicherweise die Verfügbarkeit von Ressourcen beeinträchtigen.
T0284	Entwerfen Entwickeln neuer Tools/Technologien im Zusammenhang mit Cybersicherheit.	lambda-inside-vpc	Stellen Sie AWS Lambda-Funktionen in einer Amazon Virtual Private Cloud (Amazon VPC) bereit, um eine sichere Kommunikation zwischen einer Funktion und anderen Diensten innerhalb der Amazon VPC zu gewährleisten. Bei dieser Konfiguration sind kein Internet-Gateway, kein NAT-Gerät und keine VPN-Verbindung erforderlich. Der gesamte Datenverkehr bleibt sicher in der Cloud. AWS Domains, die sich innerhalb einer VPC befinden, verfügen aufgrund ihrer logischen Isolierung im Vergleich zu Domains mit öffentlichen Endpunkten über eine zusätzliche Sicherheitsebene. Um den Zugriff ordnungsgemäß zu verwalten, sollten AWS Lambda-Funktionen einer VPC zugewiesen werden.
T0284	Entwerfen Entwickeln neuer Tools/Technologien im Zusammenhang mit Cybersicherheit.	mfa-enabled-for-iam-console-access	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass MFA für alle AWS Identity and Access Management (IAM) -Benutzer aktiviert ist, die über ein Konsolenkennwort verfügen. MFA sorgt für eine weitere Schutzebene zusätzlich zu den Anmeldeinformationen. Indem Sie MFA für Benutzer vorschreiben, können Sie Fälle kompromittierter Konten reduzieren und verhindern, dass unbefugte Benutzer auf vertrauliche Daten zugreifen.
T0284	Entwerfen Entwickeln neuer Tools/Technologien im Zusammenhang mit Cybersicherheit.	opensearch-in-vpc-only	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass sich die Domains von Amazon Elasticsearch Service (Amazon ES) innerhalb einer Amazon Virtual Private Cloud (Amazon VPC) befinden. Eine ES-Domain in einer Amazon VPC ermöglicht eine sichere Kommunikation zwischen Amazon ES und anderen Services innerhalb der Amazon VPC, ohne dass ein Internet-Gateway, ein NAT-Gerät oder eine VPN-Verbindung benötigt wird.
T0284	Entwerfen Entwickeln neuer Tools/Technologien im Zusammenhang mit Cybersicherheit.	rds-instance-public-access-check	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Relational Database Service (Amazon RDS) -Instances nicht öffentlich sind. Amazon-RDS-Datenbank-Instances können vertrauliche Informationen enthalten und für solche Konten sind Prinzipien und Zugriffskontrollen erforderlich.
T0284	Entwerfen Entwickeln neuer Tools/Technologien im Zusammenhang mit Cybersicherheit.	rds-snapshots-public-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Relational Database Service (Amazon RDS) -Instances nicht öffentlich sind. Amazon-RDS-Datenbank-Instances können vertrauliche Informationen enthalten und für solche Konten sind Prinzipien und Zugriffskontrollen erforderlich.
T0284	Entwerfen Entwickeln neuer Tools/Technologien im Zusammenhang mit Cybersicherheit.	redshift-cluster-maintenancesettings-check	Diese Regel stellt sicher, dass Amazon-Redshift-Cluster die bevorzugten Einstellungen für Ihre Organisation haben. Insbesondere sorgt sie dafür, dass Cluster bevorzugte Wartungsfenster und automatisierte Aufbewahrungsfristen für Snapshots für die Datenbank haben. Für diese Regel müssen Sie die allowVersionUpgrade festlegen. Der Standardwert ist „true“. Außerdem können Sie optional den Zeitraum preferredMaintenanceWindow (der Standardwert ist sa: 16:00 -sa: 16:30) und den automatedSnapshotRetention Zeitraum (der Standardwert ist 1) festlegen. Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
T0284	Entwerfen Entwickeln neuer Tools/Technologien im Zusammenhang mit Cybersicherheit.	redshift-cluster-public-access-check	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Redshift Redshift-Cluster nicht öffentlich sind. Amazon-Redshift-Cluster können vertrauliche Informationen enthalten und für solche Konten sind Prinzipien und Zugriffskontrollen erforderlich.
T0284	Entwerfen Entwickeln neuer Tools/Technologien im Zusammenhang mit Cybersicherheit.	restricted-common-ports	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass gemeinsame Ports für Amazon Elastic Compute Cloud (Amazon EC2) -Sicherheitsgruppen eingeschränkt sind. Wenn der Zugriff auf Ports nicht auf vertrauenswürdige Quellen beschränkt wird, kann dies zu Angriffen auf die Verfügbarkeit, Integrität und Vertraulichkeit von Systemen führen. Mit dieser Regel können Sie optional die Parameter blockedPort1–blockedPort5 festlegen (Standardkonfigurationen: 20, 21, 3389, 3306, 4333). Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
T0284	Entwerfen Entwickeln neuer Tools/Technologien im Zusammenhang mit Cybersicherheit.	root-account-hardware-mfa-enabled	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Hardware-MFA für den Root-Benutzer aktiviert ist. Der Stammbenutzer ist der AWS-Konto-Benutzer mit den meisten Berechtigungen. MFA sorgt für eine weitere Schutzebene zusätzlich zu den Anmeldeinformationen. Indem Sie MFA für den Root-Benutzer vorschreiben, können Sie die Anzahl AWS-Konten kompromittierter Benutzer reduzieren.
T0284	Entwerfen Entwickeln neuer Tools/Technologien im Zusammenhang mit Cybersicherheit.	root-account-mfa-enabled	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass MFA für den Root-Benutzer aktiviert ist. Der Stammbenutzer ist der AWS-Konto-Benutzer mit den meisten Berechtigungen. MFA bietet eine weitere Schutzebene zusätzlich zum Benutzernamen und Passwort. Indem Sie MFA für den Root-Benutzer vorschreiben, können Sie die Anzahl AWS-Konten kompromittierter Benutzer reduzieren.
T0284	Entwerfen Entwickeln neuer Tools/Technologien im Zusammenhang mit Cybersicherheit.	s3-bucket-level-public-access-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Simple Storage Service (Amazon S3) -Buckets nicht öffentlich zugänglich sind. Diese Regel trägt dazu bei, sensible Daten vor unbefugten Remote-Benutzern zu schützen, indem sie den öffentlichen Zugriff auf Bucket-Ebene verhindert.
T0284	Entwerfen Entwickeln neuer Tools/Technologien im Zusammenhang mit Cybersicherheit.	s3-bucket-public-read-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie nur autorisierten Benutzern, Prozessen und Geräten Zugriff auf Amazon Simple Storage Service (Amazon S3) -Buckets gewähren. Die Verwaltung des Zugriffs sollte mit der Klassifizierung der Daten übereinstimmen.
T0284	Entwerfen Entwickeln neuer Tools/Technologien im Zusammenhang mit Cybersicherheit.	s3-bucket-public-write-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie nur autorisierten Benutzern, Prozessen und Geräten Zugriff auf Amazon Simple Storage Service (Amazon S3) -Buckets gewähren. Die Verwaltung des Zugriffs sollte mit der Klassifizierung der Daten übereinstimmen.
T0284	Entwerfen Entwickeln neuer Tools/Technologien im Zusammenhang mit Cybersicherheit.	sagemaker-notebook-no-direct-internet-access	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass SageMaker Amazon-Notebooks keinen direkten Internetzugang zulassen. Indem Sie direkten Internetzugang blockieren, vermeiden Sie, dass unbefugte Benutzer auf sensible Daten zugreifen.
T0284	Entwerfen Entwickeln neuer Tools/Technologien im Zusammenhang mit Cybersicherheit.	subnet-auto-assign-public-ip-disabled	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass Amazon Virtual Private Cloud (VPC) -Subnetzen nicht automatisch eine öffentliche IP-Adresse zugewiesen wird. Bei Amazon-Elastic-Compute-Cloud (EC2)-Instances, die in Subnetzen gestartet werden, in denen dieses Attribut aktiviert ist, wird der primären Netzwerkschnittstelle eine öffentliche IP-Adresse zugewiesen.
T0284	Entwerfen Entwickeln neuer Tools/Technologien im Zusammenhang mit Cybersicherheit.	vpc-default-security-group-closed	Sicherheitsgruppen von Amazon Elastic Compute Cloud (Amazon EC2) können bei der Verwaltung des Netzwerkzugriffs helfen, indem sie eine statusbehaftete Filterung des ein- und ausgehenden Netzwerkverkehrs zu Ressourcen bereitstellen. AWS Die Beschränkung des gesamten Datenverkehrs in der Standardsicherheitsgruppe hilft dabei, den Fernzugriff auf Ihre Ressourcen einzuschränken. AWS
T0284	Entwerfen Entwickeln neuer Tools/Technologien im Zusammenhang mit Cybersicherheit.	vpc-sg-open-only-to-authorized-ports	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass gemeinsame Ports für Amazon Elastic Compute Cloud (Amazon EC2) -Sicherheitsgruppen eingeschränkt sind. Wenn der Zugriff auf Ports nicht auf vertrauenswürdige Quellen beschränkt wird, kann dies zu Angriffen auf die Verfügbarkeit, Integrität und Vertraulichkeit von Systemen führen. Durch die Beschränkung des Zugriffs auf Ressourcen innerhalb einer Sicherheitsgruppe aus dem Internet (0.0.0.0/0) kann der Fernzugriff auf interne Systeme gesteuert werden.
T0306	Unterstützt Incident Management, Service Level Management, Change Management, Release Management, Continuity Management und Verfügbarkeitsmanagement für Datenbanken und Datenmanagementsysteme.	securityhub-enabled	AWS Security Hub hilft bei der Überwachung von unbefugtem Personal, Verbindungen, Geräten und Software. AWS Security Hub aggregiert, organisiert und priorisiert die Sicherheitswarnungen oder Ergebnisse mehrerer Dienste. AWS Einige dieser Dienste sind Amazon Security Hub, Amazon Inspector, Amazon Macie, AWS Identity and Access Management (IAM) Access Analyzer und AWS Firewall Manager sowie AWS Partnerlösungen.
T0306	Unterstützt Incident Management, Service Level Management, Change Management, Release Management, Continuity Management und Verfügbarkeitsmanagement für Datenbanken und Datenmanagementsysteme.	cloudwatch-alarm-action-check	Amazon CloudWatch alarmiert, wenn eine Metrik den Schwellenwert für eine bestimmte Anzahl von Bewertungszeiträumen überschreitet. Der Alarm führt eine oder mehrere Aktionen durch, die vom Wert der Metrik oder des Ausdrucks im Vergleich zu einem Schwellenwert in einer Reihe von Zeiträumen abhängt. Diese Regel erfordert einen Wert für alarmActionRequired (Config Default: True), insufficientDataAction Required (Config Default: True), okActionRequired (Config Default: False). Der tatsächliche Wert muss die Alarmaktionen für Ihre Umgebung widerspiegeln.
T0306	Unterstützt Incident Management, Service Level Management, Change Management, Release Management, Continuity Management und Verfügbarkeitsmanagement für Datenbanken und Datenmanagementsysteme.	guardduty-enabled-centralized	Amazon GuardDuty kann mithilfe von Threat Intelligence Feeds helfen, potenzielle Cybersicherheitsereignisse zu überwachen und zu erkennen. Dazu gehören Listen bösartiger IP-Adressen und maschinelles Lernen zur Identifizierung unerwarteter, nicht autorisierter und bösartiger Aktivitäten in Ihrer AWS Cloud-Umgebung.
T0314	Entwickeln Sie einen Systemsicherheitskontext, ein vorläufiges Betriebskonzept für die Systemsicherheit (CONOPS) und definieren Sie grundlegende Anforderungen an die Systemsicherheit gemäß den geltenden Cybersicherheitsanforderungen.	ec2-instance-managed-by-systems-manager	Eine Bestandsaufnahme der Softwareplattformen und Anwendungen innerhalb des Unternehmens ist möglich, indem Amazon Elastic Compute Cloud (Amazon EC2) -Instances mit AWS Systems Manager verwaltet werden. Verwenden Sie AWS Systems Manager, um detaillierte Systemkonfigurationen, Betriebssystem-Patch-Levels, Namen und Typ der Dienste, Softwareinstallationen, Anwendungsname, Herausgeber und Version sowie andere Details zu Ihrer Umgebung bereitzustellen.
T0314	Entwickeln Sie einen Systemsicherheitskontext, ein vorläufiges Betriebskonzept für die Systemsicherheit (CONOPS) und definieren Sie grundlegende Anforderungen an die Systemsicherheit gemäß den geltenden Cybersicherheitsanforderungen.	ec2-managedinstance-association-compliance-status-check	Verwenden Sie AWS Systems Manager Associations, um bei der Inventarisierung von Softwareplattformen und Anwendungen innerhalb eines Unternehmens zu helfen. AWS Systems Manager weist Ihren verwalteten Instances einen Konfigurationsstatus zu und ermöglicht es Ihnen, Basiswerte für Betriebssystem-Patch-Levels, Softwareinstallationen, Anwendungskonfigurationen und andere Details zu Ihrer Umgebung festzulegen.
T0314	Entwickeln Sie einen Systemsicherheitskontext, ein vorläufiges Betriebskonzept für die Systemsicherheit (CONOPS) und definieren Sie grundlegende Anforderungen an die Systemsicherheit gemäß den geltenden Cybersicherheitsanforderungen.	ec2-stopped-instance	Aktivieren Sie diese Regel, um bei der Basiskonfiguration von Amazon Elastic Compute Cloud (Amazon EC2)-Instances zu helfen, indem Sie überprüfen, ob Amazon EC2-Instances gemäß den Standards Ihrer Organisation für mehr als die zulässige Anzahl von Tagen gestoppt wurden.
T0314	Entwickeln Sie einen Systemsicherheitskontext, ein vorläufiges Betriebskonzept für die Systemsicherheit (CONOPS) und definieren Sie grundlegende Anforderungen an die Systemsicherheit gemäß den geltenden Cybersicherheitsanforderungen.	ec2-volume-inuse-check	Diese Regel stellt sicher, dass Amazon Elastic Block Store Volumes, die an Amazon Elastic Compute Cloud (Amazon EC2)-Instances angehängt sind, zum Löschen markiert werden, wenn eine Instance beendet wird. Wenn ein Amazon-EBS-Volume beim Löschen der Instance, an die es angehängt ist, beendet wird, kann dies gegen das Konzept der geringsten Funktionalität verstoßen.
T0314	Entwickeln Sie einen Systemsicherheitskontext, ein vorläufiges Betriebskonzept für die Systemsicherheit (CONOPS) und definieren Sie grundlegende Anforderungen an die Systemsicherheit gemäß den geltenden Cybersicherheitsanforderungen.	elb-deletion-protection-enabled	Diese Regel sorgt dafür, dass der Löschschutz für Elastic Load Balancing aktiviert ist. Verwenden Sie diese Funktion, um zu verhindern, dass Ihr Load Balancer versehentlich oder böswillig gelöscht wird, was zum Verlust der Verfügbarkeit Ihrer Anwendungen führen kann.
T0314	Entwickeln Sie einen Systemsicherheitskontext, ein vorläufiges Betriebskonzept für die Systemsicherheit (CONOPS) und definieren Sie grundlegende Anforderungen an die Systemsicherheit gemäß den geltenden Cybersicherheitsanforderungen.	restricted-common-ports	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass gemeinsame Ports für Amazon Elastic Compute Cloud (Amazon EC2) -Sicherheitsgruppen eingeschränkt sind. Wenn der Zugriff auf Ports nicht auf vertrauenswürdige Quellen beschränkt wird, kann dies zu Angriffen auf die Verfügbarkeit, Integrität und Vertraulichkeit von Systemen führen. Mit dieser Regel können Sie optional die Parameter blockedPort1–blockedPort5 festlegen (Standardkonfigurationen: 20, 21, 3389, 3306, 4333). Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
T0333	Durchführung von Trendanalysen und -berichten zum Thema Cyberverteidigung.	securityhub-enabled	AWS Security Hub hilft bei der Überwachung von unbefugtem Personal, Verbindungen, Geräten und Software. AWS Security Hub aggregiert, organisiert und priorisiert die Sicherheitswarnungen oder Ergebnisse mehrerer Dienste. AWS Einige dieser Dienste sind Amazon Security Hub, Amazon Inspector, Amazon Macie, AWS Identity and Access Management (IAM) Access Analyzer und AWS Firewall Manager sowie AWS Partnerlösungen.
T0333	Durchführung von Trendanalysen und -berichten zum Thema Cyberverteidigung.	guardduty-enabled-centralized	Amazon GuardDuty kann mithilfe von Threat Intelligence Feeds helfen, potenzielle Cybersicherheitsereignisse zu überwachen und zu erkennen. Dazu gehören Listen bösartiger IP-Adressen und maschinelles Lernen zur Identifizierung unerwarteter, nicht autorisierter und bösartiger Aktivitäten in Ihrer AWS Cloud-Umgebung.
T0347	Beurteilen Sie die Gültigkeit der Quelldaten und der nachfolgenden Ergebnisse.	guardduty-enabled-centralized	Amazon GuardDuty kann mithilfe von Threat Intelligence Feeds helfen, potenzielle Cybersicherheitsereignisse zu überwachen und zu erkennen. Dazu gehören Listen bösartiger IP-Adressen und maschinelles Lernen zur Identifizierung unerwarteter, nicht autorisierter und bösartiger Aktivitäten in Ihrer AWS Cloud-Umgebung.
T0358	Entwerfen und entwickeln Sie Funktionen zur Systemadministration und -verwaltung für Benutzer mit privilegiertem Zugriff.	iam-no-inline-policy-check	Stellen Sie sicher, dass ein Benutzer, eine IAM-Rolle oder eine IAM-Gruppe ( AWS Identity and Access Management) nicht über eine Inline-Richtlinie zur Zugriffskontrolle auf Systeme und Ressourcen verfügt. AWS empfiehlt, verwaltete Richtlinien anstelle von Inline-Richtlinien zu verwenden. Verwaltete Richtlinien ermöglichen Wiederverwendbarkeit, Versionsverwaltung, Rollback und Delegierung der Berechtigungsverwaltung.
T0358	Entwerfen und entwickeln Sie Funktionen zur Systemadministration und -verwaltung für Benutzer mit privilegiertem Zugriff.	iam-policy-no-statements-with-full-access	Stellen Sie sicher, dass IAM-Aktionen nur auf die benötigten Aktionen beschränkt sind. Wenn Benutzern mehr Rechte eingeräumt werden, als für die Ausführung einer Aufgabe erforderlich sind, kann dies gegen das Prinzip der geringsten Rechte und der Aufgabentrennung verstoßen.
T0358	Entwerfen und entwickeln Sie Funktionen zur Systemadministration und -verwaltung für Benutzer mit privilegiertem Zugriff.	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) kann Ihnen helfen, die Prinzipien der geringsten Rechte und der Aufgabentrennung in Zugriffsberechtigungen und Autorisierungen zu integrieren und so zu verhindern, dass Richtlinien blockierte Aktionen für alle AWS Schlüssel des Key Management Service enthalten. Wenn Benutzer mehr Rechte haben, als für die Ausführung einer Aufgabe erforderlich sind, kann dies gegen das Prinzip der geringsten Berechtigung und Aufgabentrennung verstoßen. Mit dieser Regel können Sie den Parameter festlegen. blockedActionsPatterns (Wert AWS für bewährte Sicherheitsmethoden: kms:Decrypt, kms: From). ReEncrypt Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
T0358	Entwerfen und entwickeln Sie Funktionen zur Systemadministration und -verwaltung für Benutzer mit privilegiertem Zugriff.	iam-group-has-users-check	AWS Identity and Access Management (IAM) kann Ihnen helfen, die Prinzipien der geringsten Rechte und der Aufgabentrennung mit Zugriffsberechtigungen und Autorisierungen zu integrieren, indem sichergestellt wird, dass IAM-Gruppen mindestens einen Benutzer haben. Die Einteilung von Benutzern in Gruppen auf der Grundlage der ihnen zugewiesenen Berechtigungen oder ihrer Funktion ist eine Möglichkeit, das Prinzip der geringsten Berechtigung zu implementieren.
T0358	Entwerfen und entwickeln Sie Funktionen zur Systemadministration und -verwaltung für Benutzer mit privilegiertem Zugriff.	iam-inline-policy-blocked-kms-actions	Stellen Sie sicher, dass ein Benutzer, eine IAM-Rolle oder eine IAM-Gruppe ( AWS Identity and Access Management) nicht über eine Inline-Richtlinie verfügt, die blockierte Aktionen für alle AWS Schlüssel des Key Management Service zulässt. AWS empfiehlt, verwaltete Richtlinien anstelle von Inline-Richtlinien zu verwenden. Verwaltete Richtlinien ermöglichen Wiederverwendbarkeit, Versionsverwaltung, Rollback und Delegierung der Berechtigungsverwaltung. Mit dieser Regel können Sie den blockedActionsPatterns Parameter festlegen. (Wert AWS für bewährte Sicherheitsmethoden: kms:Decrypt, kms: From). ReEncrypt Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
T0358	Entwerfen und entwickeln Sie Funktionen zur Systemadministration und -verwaltung für Benutzer mit privilegiertem Zugriff.	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) kann Ihnen dabei helfen, die Prinzipien der geringsten Rechte und der Aufgabentrennung in Zugriffsberechtigungen und Autorisierungen zu integrieren und so zu verhindern, dass Richtlinien „Effect“: „Allow“ mit „Action“: „“ anstelle von „Resource“: „“ enthalten. Wenn Benutzern mehr Rechte eingeräumt werden, als für die Ausführung einer Aufgabe erforderlich sind, kann dies gegen das Prinzip der geringsten Berechtigung und der Aufgabentrennung verstoßen.
T0358	Entwerfen und entwickeln Sie Funktionen zur Systemadministration und -verwaltung für Benutzer mit privilegiertem Zugriff.	iam-user-group-membership-check	AWS Identity and Access Management (IAM) kann Ihnen helfen, Zugriffsberechtigungen und Autorisierungen einzuschränken, indem sichergestellt wird, dass Benutzer Mitglieder mindestens einer Gruppe sind. Wenn Benutzern mehr Berechtigungen eingeräumt werden, als für die Ausführung einer Aufgabe erforderlich sind, kann dies gegen das Prinzip der geringsten Berechtigung und Aufgabentrennung verstoßen.
T0358	Entwerfen und entwickeln Sie Funktionen zur Systemadministration und -verwaltung für Benutzer mit privilegiertem Zugriff.	iam-user-no-policies-check	Diese Regel stellt sicher, dass AWS Identity and Access Management (IAM) -Richtlinien nur Gruppen oder Rollen zugewiesen werden, um den Zugriff auf Systeme und Ressourcen zu kontrollieren. Die Zuweisung von Berechtigungen auf Gruppen- oder Rollenebene trägt dazu bei, die Wahrscheinlichkeit zu verringern, dass eine Identität übermäßige Berechtigungen erhält oder beibehält.
T0376	Einrichtung, Bereitstellung, Implementierung und Bewertung von Cyber-Workforce-Management-Programmen gemäß den organisatorischen Anforderungen.	ec2-instance-profile-attached	EC2-Instance-Profile übergeben eine IAM-Rolle an eine EC2-Instance. Das Anhängen eines Instance-Profils an Ihre Instances kann bei der Implementierung von geringsten Berechtigungen und der Berechtigungsverwaltung helfen.
T0376	Einrichtung, Bereitstellung, Implementierung und Bewertung von Cyber-Workforce-Management-Programmen gemäß den organisatorischen Anforderungen.	ecs-task-definition-user-for-host-mode-check	Wenn für eine Aufgabendefinition erhöhte Berechtigungen gelten, liegt das daran, dass der Kunde diesen Konfigurationen ausdrücklich zugestimmt hat. Diese Kontrolle prüft, ob eine unerwartete Berechtigungseskalation vorliegt, wenn für eine Aufgabendefinition das Host-Netzwerk aktiviert ist, die Kunden aber keine erhöhten Berechtigungen aktiviert haben.
T0376	Einrichtung, Bereitstellung, Implementierung und Bewertung von Cyber-Workforce-Management-Programmen gemäß den organisatorischen Anforderungen.	elasticsearch-logs-to-cloudwatch	Stellen Sie sicher, dass für Amazon OpenSearch Service-Domains Fehlerprotokolle aktiviert und zur Aufbewahrung und Beantwortung an Amazon CloudWatch Logs gestreamt werden. Domain-Fehlerprotokolle sind bei Sicherheits- und Zugriffsprüfungen sowie bei der Diagnose von Verfügbarkeitsproblemen nützlich.
T0376	Einrichtung, Bereitstellung, Implementierung und Bewertung von Cyber-Workforce-Management-Programmen gemäß den organisatorischen Anforderungen.	iam-no-inline-policy-check	Stellen Sie sicher, dass ein Benutzer, eine IAM-Rolle oder eine IAM-Gruppe ( AWS Identity and Access Management) nicht über eine Inline-Richtlinie zur Zugriffskontrolle auf Systeme und Ressourcen verfügt. AWS empfiehlt, verwaltete Richtlinien anstelle von Inline-Richtlinien zu verwenden. Verwaltete Richtlinien ermöglichen Wiederverwendbarkeit, Versionsverwaltung, Rollback und Delegierung der Berechtigungsverwaltung.
T0376	Einrichtung, Bereitstellung, Implementierung und Bewertung von Cyber-Workforce-Management-Programmen gemäß den organisatorischen Anforderungen.	iam-policy-no-statements-with-full-access	Stellen Sie sicher, dass IAM-Aktionen nur auf die benötigten Aktionen beschränkt sind. Wenn Benutzern mehr Rechte eingeräumt werden, als für die Ausführung einer Aufgabe erforderlich sind, kann dies gegen das Prinzip der geringsten Rechte und der Aufgabentrennung verstoßen.
T0376	Einrichtung, Bereitstellung, Implementierung und Bewertung von Cyber-Workforce-Management-Programmen gemäß den organisatorischen Anforderungen.	multi-region-cloudtrail-enabled	AWS CloudTrail zeichnet Aktionen und API-Aufrufe der AWS Management Console auf. Sie können feststellen, welche Benutzer und Konten angerufen wurden AWS, von welcher Quell-IP-Adresse aus die Anrufe getätigt wurden und wann die Anrufe erfolgten. CloudTrail übermittelt Protokolldateien aus allen AWS Regionen an Ihren S3-Bucket, wenn MULTI_REGION_CLOUD_TRAIL_ENABLED aktiviert ist. Außerdem wird beim AWS Start einer neuen Region derselbe Trail in der neuen Region erstellt. CloudTrail Dadurch erhalten Sie automatisch Protokolldateien mit API-Aktivitäten für die neue Region.
T0376	Einrichtung, Bereitstellung, Implementierung und Bewertung von Cyber-Workforce-Management-Programmen gemäß den organisatorischen Anforderungen.	rds-logging-enabled	Um die Protokollierung und Überwachung in Ihrer Umgebung zu erleichtern, stellen Sie sicher, dass die Amazon Relational Database Service (Amazon RDS)-Protokollierung aktiviert ist. Mit der Amazon-RDS-Protokollierung können Sie Ereignisse wie Verbindungen, Verbindungsabbrüche, Abfragen oder abgefragte Tabellen erfassen.
T0376	Einrichtung, Bereitstellung, Implementierung und Bewertung von Cyber-Workforce-Management-Programmen gemäß den organisatorischen Anforderungen.	cloud-trail-cloud-watch-logs-enabled	Verwenden Sie Amazon CloudWatch , um Protokollereignisaktivitäten zentral zu sammeln und zu verwalten. Die Aufnahme von AWS CloudTrail Daten liefert Einzelheiten zu den API-Aufrufaktivitäten in Ihrem AWS-Konto.
T0376	Einrichtung, Bereitstellung, Implementierung und Bewertung von Cyber-Workforce-Management-Programmen gemäß den organisatorischen Anforderungen.	cloudtrail-enabled	AWS CloudTrail kann bei der Nichtabstreitbarkeit helfen, indem Aktionen und API-Aufrufe der AWS Management Console aufgezeichnet werden. Sie können die Benutzer und die Benutzer AWS-Konten , die einen AWS Dienst aufgerufen haben, die Quell-IP-Adresse, über die die Aufrufe generiert wurden, und den Zeitpunkt der Anrufe identifizieren. Einzelheiten zu den erfassten Daten finden Sie in den AWS CloudTrail Datensatzinhalten.
T0376	Einrichtung, Bereitstellung, Implementierung und Bewertung von Cyber-Workforce-Management-Programmen gemäß den organisatorischen Anforderungen.	cloudtrail-s3-dataevents-enabled	Die Erfassung von Simple Storage Service (Amazon S3)-Datenereignissen unterstützt die Erkennung von ungewöhnlichen Aktivitäten. Zu den Details gehören Informationen zu dem AWS -Konto, das auf einen Amazon-S3-Bucket zugegriffen hat, die IP-Adresse und die Uhrzeit des Ereignisses.
T0376	Einrichtung, Bereitstellung, Implementierung und Bewertung von Cyber-Workforce-Management-Programmen gemäß den organisatorischen Anforderungen.	emr-kerberos-enabled	Die Zugriffsberechtigungen und -autorisierungen können verwaltet und nach den Prinzipien der geringsten Berechtigung und Aufgabentrennung integriert werden, indem Kerberos für Amazon-EMR-Cluster aktiviert wird. In Kerberos werden Services und Benutzer, die sich authentifizieren müssen, als Prinzipale bezeichnet. Prinzipale befinden sich in einem Kerberos-Bereich. Innerhalb dieses Bereichs wird ein Kerberos-Server als Key Distribution Center (KDC) bezeichnet. Über diesen Server können sich Prinzipale authentifizieren. Die Authentifizierung im KDC erfolgt durch die Ausstellung von Authentifizierungstickets. Das KDC unterhält eine Datenbank der Prinzipale in seinem Bereich mit ihren Passwörtern und anderen administrativen Informationen zu jedem Prinzipal.
T0376	Einrichtung, Bereitstellung, Implementierung und Bewertung von Cyber-Workforce-Management-Programmen gemäß den organisatorischen Anforderungen.	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) kann Ihnen helfen, die Prinzipien der geringsten Rechte und der Aufgabentrennung in Zugriffsberechtigungen und Autorisierungen zu integrieren und so zu verhindern, dass Richtlinien blockierte Aktionen für alle AWS Schlüssel des Key Management Service enthalten. Wenn Benutzer mehr Rechte haben, als für die Ausführung einer Aufgabe erforderlich sind, kann dies gegen das Prinzip der geringsten Berechtigung und Aufgabentrennung verstoßen. Mit dieser Regel können Sie den Parameter festlegen. blockedActionsPatterns (Wert AWS für bewährte Sicherheitsmethoden: kms:Decrypt, kms: From). ReEncrypt Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
T0376	Einrichtung, Bereitstellung, Implementierung und Bewertung von Cyber-Workforce-Management-Programmen gemäß den organisatorischen Anforderungen.	iam-group-has-users-check	AWS Identity and Access Management (IAM) kann Ihnen helfen, die Prinzipien der geringsten Rechte und der Aufgabentrennung mit Zugriffsberechtigungen und Autorisierungen zu integrieren, indem sichergestellt wird, dass IAM-Gruppen mindestens einen Benutzer haben. Die Einteilung von Benutzern in Gruppen auf der Grundlage der ihnen zugewiesenen Berechtigungen oder ihrer Funktion ist eine Möglichkeit, das Prinzip der geringsten Berechtigung zu implementieren.
T0376	Einrichtung, Bereitstellung, Implementierung und Bewertung von Cyber-Workforce-Management-Programmen gemäß den organisatorischen Anforderungen.	iam-inline-policy-blocked-kms-actions	Stellen Sie sicher, dass ein Benutzer, eine IAM-Rolle oder eine IAM-Gruppe ( AWS Identity and Access Management) nicht über eine Inline-Richtlinie verfügt, die blockierte Aktionen für alle AWS Schlüssel des Key Management Service zulässt. AWS empfiehlt, verwaltete Richtlinien anstelle von Inline-Richtlinien zu verwenden. Verwaltete Richtlinien ermöglichen Wiederverwendbarkeit, Versionsverwaltung, Rollback und Delegierung der Berechtigungsverwaltung. Mit dieser Regel können Sie den blockedActionsPatterns Parameter festlegen. (Wert AWS für bewährte Sicherheitsmethoden: kms:Decrypt, kms: From). ReEncrypt Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
T0376	Einrichtung, Bereitstellung, Implementierung und Bewertung von Cyber-Workforce-Management-Programmen gemäß den organisatorischen Anforderungen.	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) kann Ihnen dabei helfen, die Prinzipien der geringsten Rechte und der Aufgabentrennung in Zugriffsberechtigungen und Autorisierungen zu integrieren und so zu verhindern, dass Richtlinien „Effect“: „Allow“ mit „Action“: „“ anstelle von „Resource“: „“ enthalten. Wenn Benutzern mehr Rechte eingeräumt werden, als für die Ausführung einer Aufgabe erforderlich sind, kann dies gegen das Prinzip der geringsten Berechtigung und der Aufgabentrennung verstoßen.
T0376	Einrichtung, Bereitstellung, Implementierung und Bewertung von Cyber-Workforce-Management-Programmen gemäß den organisatorischen Anforderungen.	iam-user-group-membership-check	AWS Identity and Access Management (IAM) kann Ihnen helfen, Zugriffsberechtigungen und Autorisierungen einzuschränken, indem sichergestellt wird, dass Benutzer Mitglieder mindestens einer Gruppe sind. Wenn Benutzern mehr Berechtigungen eingeräumt werden, als für die Ausführung einer Aufgabe erforderlich sind, kann dies gegen das Prinzip der geringsten Berechtigung und Aufgabentrennung verstoßen.
T0376	Einrichtung, Bereitstellung, Implementierung und Bewertung von Cyber-Workforce-Management-Programmen gemäß den organisatorischen Anforderungen.	iam-user-no-policies-check	Diese Regel stellt sicher, dass AWS Identity and Access Management (IAM) -Richtlinien nur Gruppen oder Rollen zugewiesen werden, um den Zugriff auf Systeme und Ressourcen zu kontrollieren. Die Zuweisung von Berechtigungen auf Gruppen- oder Rollenebene trägt dazu bei, die Wahrscheinlichkeit zu verringern, dass eine Identität übermäßige Berechtigungen erhält oder beibehält.
T0376	Einrichtung, Bereitstellung, Implementierung und Bewertung von Cyber-Workforce-Management-Programmen gemäß den organisatorischen Anforderungen.	s3-bucket-logging-enabled	Die Amazon Simple Storage Service (Amazon S3)-Serverzugriffsprotokollierung bietet eine Methode zur Überwachung des Netzwerks im Hinblick auf potenzielle Cybersicherheitsereignisse. Die Ereignisse werden überwacht, indem detaillierte Aufzeichnungen über die Anfragen erfasst werden, die an einen Amazon-S3-Bucket gestellt wurden. Jeder Zugriffsprotokolleintrag enthält Details zu einer einzelnen Zugriffsanfrage. Zu den Details gehören Anforderer, Bucket-Name, Anforderungszeit, Anforderungsaktion, Antwortstatus und Fehlercode, falls relevant.
T0376	Einrichtung, Bereitstellung, Implementierung und Bewertung von Cyber-Workforce-Management-Programmen gemäß den organisatorischen Anforderungen.	vpc-flow-logs-enabled	VPC-Flow-Protokolle erfassen detaillierte Informationsdatensätze über den IP-Datenverkehr, der zu und von Netzwerkschnittstellen in Ihrer Amazon Virtual Private Cloud (Amazon VPC) fließt. Standardmäßig enthalten Flow-Protokolldatensätze Werte für die verschiedenen Komponenten des IP-Flows, einschließlich Quelle, Ziel und Protokoll.
T0416	Ermöglichen Sie Anwendungen mit Public Keying, indem Sie vorhandene PKI-Bibliotheken (Public Key Infrastructure) nutzen und gegebenenfalls Zertifikatsmanagement- und Verschlüsselungsfunktionen einbinden.	acm-certificate-expiration-check	Stellen Sie sicher, dass die Netzwerkintegrität geschützt ist, indem Sie sicherstellen, dass X509-Zertifikate von AWS ACM ausgestellt werden. Diese Zertifikate müssen gültig und dürfen nicht abgelaufen sein. Für diese Regel ist ein Wert für erforderlich daysToExpiration (Wert für bewährte AWS Grundregeln für Sicherheit: 90). Der tatsächliche Wert muss den Richtlinien Ihrer Organisation entsprechen.
T0416	Ermöglichen Sie Anwendungen mit Public Keying, indem Sie vorhandene PKI-Bibliotheken (Public Key Infrastructure) nutzen und gegebenenfalls Zertifikatsmanagement- und Verschlüsselungsfunktionen einbinden.	alb-http-to-https-redirection-check	Um Daten während der Übertragung zu schützen, stellen Sie sicher, dass Ihr Application Load Balancer unverschlüsselte HTTP-Anfragen automatisch an HTTPS umleitet. Da sensible Daten vorhanden sein können, sollten Sie die Verschlüsselung bei der Übertragung aktivieren, um diese Daten zu schützen.
T0416	Ermöglichen Sie Anwendungen mit Public Keying, indem Sie vorhandene PKI-Bibliotheken (Public Key Infrastructure) nutzen und gegebenenfalls Zertifikatsmanagement- und Verschlüsselungsfunktionen einbinden.	elasticsearch-node-to-node-encryption-check	Stellen Sie sicher, dass die node-to-node Verschlüsselung für Amazon OpenSearch Service aktiviert ist. ode-to-node N-Verschlüsselung aktiviert die TLS 1.2-Verschlüsselung für die gesamte Kommunikation innerhalb der Amazon Virtual Private Cloud (Amazon VPC). Um eventuell vorhandene sensible Daten zu schützen, sollten Sie die Verschlüsselung bei der Übertragung aktivieren.
T0416	Ermöglichen Sie Anwendungen mit Public Keying, indem Sie vorhandene PKI-Bibliotheken (Public Key Infrastructure) nutzen und gegebenenfalls Zertifikatsmanagement- und Verschlüsselungsfunktionen einbinden.	elbv2-acm-certificate-required	Zum Schutz von eventuell vorhandenen sensiblen Daten sowie von Daten während der Übertragung muss die Verschlüsselung für Ihr Elastic Load Balancing aktiviert sein. Verwenden Sie AWS Certificate Manager, um öffentliche und private SSL/TLS-Zertifikate mit AWS Diensten und internen Ressourcen zu verwalten, bereitzustellen und bereitzustellen.
T0416	Ermöglichen Sie Anwendungen mit Public Keying, indem Sie vorhandene PKI-Bibliotheken (Public Key Infrastructure) nutzen und gegebenenfalls Zertifikatsmanagement- und Verschlüsselungsfunktionen einbinden.	elb-acm-certificate-required	Zum Schutz von eventuell vorhandenen sensiblen Daten sowie von Daten während der Übertragung muss die Verschlüsselung für Ihr Elastic Load Balancing aktiviert sein. Verwenden Sie AWS Certificate Manager, um öffentliche und private SSL/TLS-Zertifikate mit AWS Diensten und internen Ressourcen zu verwalten, bereitzustellen und bereitzustellen.
T0416	Ermöglichen Sie Anwendungen mit Public Keying, indem Sie vorhandene PKI-Bibliotheken (Public Key Infrastructure) nutzen und gegebenenfalls Zertifikatsmanagement- und Verschlüsselungsfunktionen einbinden.	elb-tls-https-listeners-only	Stellen Sie sicher, dass Ihre Elastic Load Balancers (ELBs) mit SSL- oder HTTPS-Listenern konfiguriert sind. Da sensible Daten vorhanden sein können, sollten Sie die Verschlüsselung bei der Übertragung aktivieren, um diese Daten zu schützen.
T0416	Ermöglichen Sie Anwendungen mit Public Keying, indem Sie vorhandene PKI-Bibliotheken (Public Key Infrastructure) nutzen und gegebenenfalls Zertifikatsmanagement- und Verschlüsselungsfunktionen einbinden.	opensearch-node-to-node-encryption-check	Stellen Sie sicher, dass die node-to-node Verschlüsselung für Amazon OpenSearch Service aktiviert ist. ode-to-node N-Verschlüsselung aktiviert die TLS 1.2-Verschlüsselung für die gesamte Kommunikation innerhalb der Amazon Virtual Private Cloud (Amazon VPC). Um eventuell vorhandene sensible Daten zu schützen, sollten Sie die Verschlüsselung bei der Übertragung aktivieren.
T0416	Ermöglichen Sie Anwendungen mit Public Keying, indem Sie vorhandene PKI-Bibliotheken (Public Key Infrastructure) nutzen und gegebenenfalls Zertifikatsmanagement- und Verschlüsselungsfunktionen einbinden.	redshift-require-tls-ssl	Stellen Sie sicher, dass Ihre Amazon-Redshift-Cluster eine TLS/SSL-Verschlüsselung erfordern, um eine Verbindung zu SQL-Clients herzustellen. Da sensible Daten vorhanden sein können, sollten Sie die Verschlüsselung bei der Übertragung aktivieren, um diese Daten zu schützen.
T0416	Ermöglichen Sie Anwendungen mit Public Keying, indem Sie vorhandene PKI-Bibliotheken (Public Key Infrastructure) nutzen und gegebenenfalls Zertifikatsmanagement- und Verschlüsselungsfunktionen einbinden.	s3-bucket-ssl-requests-only	Um Daten während der Übertragung zu schützen, stellen Sie sicher, dass Ihre Amazon Simple Storage Service (Amazon S3)-Buckets Anfragen zur Verwendung von Secure Socket Layer (SSL)-Buckets erfordern. Da sensible Daten vorhanden sein können, sollten Sie die Verschlüsselung bei der Übertragung aktivieren, um diese Daten zu schützen.
T0416	Ermöglichen Sie Anwendungen mit Public Keying, indem Sie vorhandene PKI-Bibliotheken (Public Key Infrastructure) nutzen und gegebenenfalls Zertifikatsmanagement- und Verschlüsselungsfunktionen einbinden.	api-gw-ssl-enabled	Stellen Sie sicher, dass die REST-API-Stufen von Amazon API Gateway mit SSL-Zertifikaten konfiguriert sind, damit Backend-Systeme überprüfen können, ob Anforderungen von API Gateway stammen.
T0421	Verwalten Sie die Indexierung/Katalogisierung, Speicherung und den Zugriff auf explizites Unternehmenswissen (z. B. gedruckte Dokumente, digitale Dateien).	autoscaling-launch-config-public-ip-disabled	Wenn Sie Ihre Netzwerkschnittstellen mit einer öffentlichen IP-Adresse konfigurieren, sind die diesen Netzwerkschnittstellen zugehörigen Ressourcen vom Internet aus erreichbar. EC2-Ressourcen sollten nicht öffentlich zugänglich sein, da dies einen unbeabsichtigten Zugriff auf Ihre Anwendungen oder Server ermöglichen kann.
T0421	Verwalten Sie die Indexierung/Katalogisierung, Speicherung und den Zugriff auf explizites Unternehmenswissen (z. B. gedruckte Dokumente, digitale Dateien).	dms-replication-not-public	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass auf DMS-Replikationsinstanzen nicht öffentlich zugegriffen werden kann. DMS-Replikations-Instances können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
T0421	Verwalten Sie die Indexierung/Katalogisierung, Speicherung und den Zugriff auf explizites Unternehmenswissen (z. B. gedruckte Dokumente, digitale Dateien).	ebs-snapshot-public-restorable-check	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass EBS-Snapshots nicht öffentlich wiederherstellbar sind. EBS-Volume-Snapshots können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
T0421	Verwalten Sie die Indexierung/Katalogisierung, Speicherung und den Zugriff auf explizites Unternehmenswissen (z. B. gedruckte Dokumente, digitale Dateien).	ec2-instance-no-public-ip	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass Amazon Elastic Compute Cloud (Amazon EC2) -Instances nicht öffentlich zugänglich sind. Amazon-EC2-Instances können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
T0421	Verwalten Sie die Indexierung/Katalogisierung, Speicherung und den Zugriff auf explizites Unternehmenswissen (z. B. gedruckte Dokumente, digitale Dateien).	emr-master-no-public-ip	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass Amazon EMR-Cluster-Masterknoten nicht öffentlich zugänglich sind. Amazon-EMR-Cluster-Hauptknoten können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
T0421	Verwalten Sie die Indexierung/Katalogisierung, Speicherung und den Zugriff auf explizites Unternehmenswissen (z. B. gedruckte Dokumente, digitale Dateien).	lambda-function-public-access-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass AWS Lambda-Funktionen nicht öffentlich zugänglich sind. Der öffentliche Zugriff kann möglicherweise die Verfügbarkeit von Ressourcen beeinträchtigen.
T0421	Verwalten Sie die Indexierung/Katalogisierung, Speicherung und den Zugriff auf explizites Unternehmenswissen (z. B. gedruckte Dokumente, digitale Dateien).	rds-instance-public-access-check	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Relational Database Service (Amazon RDS) -Instances nicht öffentlich sind. Amazon-RDS-Datenbank-Instances können vertrauliche Informationen enthalten und für solche Konten sind Prinzipien und Zugriffskontrollen erforderlich.
T0421	Verwalten Sie die Indexierung/Katalogisierung, Speicherung und den Zugriff auf explizites Unternehmenswissen (z. B. gedruckte Dokumente, digitale Dateien).	rds-snapshots-public-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Relational Database Service (Amazon RDS) -Instances nicht öffentlich sind. Amazon-RDS-Datenbank-Instances können vertrauliche Informationen enthalten und für solche Konten sind Prinzipien und Zugriffskontrollen erforderlich.
T0421	Verwalten Sie die Indexierung/Katalogisierung, Speicherung und den Zugriff auf explizites Unternehmenswissen (z. B. gedruckte Dokumente, digitale Dateien).	redshift-cluster-public-access-check	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Redshift Redshift-Cluster nicht öffentlich sind. Amazon-Redshift-Cluster können vertrauliche Informationen enthalten und für solche Konten sind Prinzipien und Zugriffskontrollen erforderlich.
T0421	Verwalten Sie die Indexierung/Katalogisierung, Speicherung und den Zugriff auf explizites Unternehmenswissen (z. B. gedruckte Dokumente, digitale Dateien).	s3-account-level-public-access-blocks-periodic	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Simple Storage Service (Amazon S3) -Buckets nicht öffentlich zugänglich sind. Diese Regel trägt dazu bei, sensible Daten vor unbefugten Remote-Benutzern zu schützen, indem sie den öffentlichen Zugriff verhindert. Mit dieser Regel können Sie optional die Parameter ignorePublicAcls (Config Default: True), blockPublicPolicy (Config Default: True), blockPublicAcls (Config Default: True) und restrictPublicBuckets Parameter (Config Default: True) festlegen. Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
T0421	Verwalten Sie die Indexierung/Katalogisierung, Speicherung und den Zugriff auf explizites Unternehmenswissen (z. B. gedruckte Dokumente, digitale Dateien).	s3-bucket-public-read-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie nur autorisierten Benutzern, Prozessen und Geräten Zugriff auf Amazon Simple Storage Service (Amazon S3) -Buckets gewähren. Die Verwaltung des Zugriffs sollte mit der Klassifizierung der Daten übereinstimmen.
T0421	Verwalten Sie die Indexierung/Katalogisierung, Speicherung und den Zugriff auf explizites Unternehmenswissen (z. B. gedruckte Dokumente, digitale Dateien).	s3-bucket-public-write-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie nur autorisierten Benutzern, Prozessen und Geräten Zugriff auf Amazon Simple Storage Service (Amazon S3) -Buckets gewähren. Die Verwaltung des Zugriffs sollte mit der Klassifizierung der Daten übereinstimmen.
T0421	Verwalten Sie die Indexierung/Katalogisierung, Speicherung und den Zugriff auf explizites Unternehmenswissen (z. B. gedruckte Dokumente, digitale Dateien).	ssm-document-not-public	Stellen Sie sicher, dass AWS Systems Manager (SSM) -Dokumente nicht öffentlich sind, da dies einen unbeabsichtigten Zugriff auf Ihre SSM-Dokumente ermöglichen kann. Ein öffentliches SSM-Dokument kann Informationen über Ihr Konto, Ihre Ressourcen und internen Prozesse preisgeben.
T0421	Verwalten Sie die Indexierung/Katalogisierung, Speicherung und den Zugriff auf explizites Unternehmenswissen (z. B. gedruckte Dokumente, digitale Dateien).	emr-kerberos-enabled	Die Zugriffsberechtigungen und -autorisierungen können verwaltet und nach den Prinzipien der geringsten Berechtigung und Aufgabentrennung integriert werden, indem Kerberos für Amazon-EMR-Cluster aktiviert wird. In Kerberos werden Services und Benutzer, die sich authentifizieren müssen, als Prinzipale bezeichnet. Prinzipale befinden sich in einem Kerberos-Bereich. Innerhalb dieses Bereichs wird ein Kerberos-Server als Key Distribution Center (KDC) bezeichnet. Über diesen Server können sich Prinzipale authentifizieren. Die Authentifizierung im KDC erfolgt durch die Ausstellung von Authentifizierungstickets. Das KDC unterhält eine Datenbank der Prinzipale in seinem Bereich mit ihren Passwörtern und anderen administrativen Informationen zu jedem Prinzipal.
T0421	Verwalten Sie die Indexierung/Katalogisierung, Speicherung und den Zugriff auf explizites Unternehmenswissen (z. B. gedruckte Dokumente, digitale Dateien).	s3-bucket-level-public-access-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Simple Storage Service (Amazon S3) -Buckets nicht öffentlich zugänglich sind. Diese Regel trägt dazu bei, sensible Daten vor unbefugten Remote-Benutzern zu schützen, indem sie den öffentlichen Zugriff auf Bucket-Ebene verhindert.
T0421	Verwalten Sie die Indexierung/Katalogisierung, Speicherung und den Zugriff auf explizites Unternehmenswissen (z. B. gedruckte Dokumente, digitale Dateien).	subnet-auto-assign-public-ip-disabled	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass Amazon Virtual Private Cloud (VPC) -Subnetzen nicht automatisch eine öffentliche IP-Adresse zugewiesen wird. Bei Amazon-Elastic-Compute-Cloud (EC2)-Instances, die in Subnetzen gestartet werden, in denen dieses Attribut aktiviert ist, wird der primären Netzwerkschnittstelle eine öffentliche IP-Adresse zugewiesen.
T0475	Beurteilen Sie angemessene Zugriffskontrollen auf der Grundlage der Grundsätze der geringsten Rechte und. need-to-know	autoscaling-launch-config-public-ip-disabled	Wenn Sie Ihre Netzwerkschnittstellen mit einer öffentlichen IP-Adresse konfigurieren, sind die diesen Netzwerkschnittstellen zugehörigen Ressourcen vom Internet aus erreichbar. EC2-Ressourcen sollten nicht öffentlich zugänglich sein, da dies einen unbeabsichtigten Zugriff auf Ihre Anwendungen oder Server ermöglichen kann.
T0475	Bewertung angemessener Zugriffskontrollen auf der Grundlage der Grundsätze der geringsten Rechte und need-to-know	ec2-instance-profile-attached	EC2-Instance-Profile übergeben eine IAM-Rolle an eine EC2-Instance. Das Anhängen eines Instance-Profils an Ihre Instances kann bei der Implementierung von geringsten Berechtigungen und der Berechtigungsverwaltung helfen.
T0475	Bewertung angemessener Zugriffskontrollen auf der Grundlage der Grundsätze der geringsten Rechte und need-to-know	ecs-task-definition-user-for-host-mode-check	Wenn für eine Aufgabendefinition erhöhte Berechtigungen gelten, liegt das daran, dass der Kunde diesen Konfigurationen ausdrücklich zugestimmt hat. Diese Kontrolle prüft, ob eine unerwartete Berechtigungseskalation vorliegt, wenn für eine Aufgabendefinition das Host-Netzwerk aktiviert ist, die Kunden aber keine erhöhten Berechtigungen aktiviert haben.
T0475	Bewertung angemessener Zugriffskontrollen auf der Grundlage der Grundsätze der geringsten Rechte und need-to-know	iam-no-inline-policy-check	Stellen Sie sicher, dass ein Benutzer, eine IAM-Rolle oder eine IAM-Gruppe ( AWS Identity and Access Management) nicht über eine Inline-Richtlinie zur Zugriffskontrolle auf Systeme und Ressourcen verfügt. AWS empfiehlt, verwaltete Richtlinien anstelle von Inline-Richtlinien zu verwenden. Verwaltete Richtlinien ermöglichen Wiederverwendbarkeit, Versionsverwaltung, Rollback und Delegierung der Berechtigungsverwaltung.
T0475	Beurteilen Sie angemessene Zugriffskontrollen auf der Grundlage der Grundsätze der geringsten Rechte und need-to-know.	iam-policy-no-statements-with-full-access	Stellen Sie sicher, dass IAM-Aktionen nur auf die benötigten Aktionen beschränkt sind. Wenn Benutzern mehr Rechte eingeräumt werden, als für die Ausführung einer Aufgabe erforderlich sind, kann dies gegen das Prinzip der geringsten Rechte und der Aufgabentrennung verstoßen.
T0475	Bewertung angemessener Zugriffskontrollen auf der Grundlage der Grundsätze der geringsten Rechte und need-to-know	ec2-instances-in-vpc	Stellen Sie Amazon Elastic Compute Cloud (Amazon EC2-)Instances innerhalb einer Amazon Virtual Private Cloud (Amazon VPC) bereit, um eine sichere Kommunikation zwischen einer Instance und anderen Services innerhalb der Amazon-VPC zu ermöglichen, ohne dass ein Internet-Gateway, ein NAT-Gerät oder eine VPN-Verbindung erforderlich ist. Der gesamte Datenverkehr bleibt sicher in der AWS Cloud. Domains, die sich innerhalb einer VPC befinden, verfügen aufgrund ihrer logischen Isolierung im Vergleich zu Domains mit öffentlichen Endpunkten über eine zusätzliche Sicherheitsebene. Weisen Sie Amazon-EC2-Instances einer Amazon VPC zu, um den Zugriff ordnungsgemäß zu verwalten.
T0475	Beurteilen Sie angemessene Zugriffskontrollen auf der Grundlage der Grundsätze der geringsten Rechte und need-to-know.	s3-account-level-public-access-blocks-periodic	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Simple Storage Service (Amazon S3) -Buckets nicht öffentlich zugänglich sind. Diese Regel trägt dazu bei, sensible Daten vor unbefugten Remote-Benutzern zu schützen, indem sie den öffentlichen Zugriff verhindert. Mit dieser Regel können Sie optional die Parameter ignorePublicAcls (Config Default: True), blockPublicPolicy (Config Default: True), blockPublicAcls (Config Default: True) und restrictPublicBuckets Parameter (Config Default: True) festlegen. Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
T0475	Beurteilen Sie angemessene Zugriffskontrollen auf der Grundlage der Prinzipien der geringsten Rechte und need-to-know	ssm-document-not-public	Stellen Sie sicher, dass AWS Systems Manager (SSM) -Dokumente nicht öffentlich sind, da dies einen unbeabsichtigten Zugriff auf Ihre SSM-Dokumente ermöglichen kann. Ein öffentliches SSM-Dokument kann Informationen über Ihr Konto, Ihre Ressourcen und internen Prozesse preisgeben.
T0475	Beurteilen Sie angemessene Zugriffskontrollen auf der Grundlage der Grundsätze der geringsten Rechte und. need-to-know	dms-replication-not-public	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass auf DMS-Replikationsinstanzen nicht öffentlich zugegriffen werden kann. DMS-Replikations-Instances können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
T0475	Beurteilen Sie angemessene Zugriffskontrollen auf der Grundlage der Prinzipien der geringsten Rechte und need-to-know.	ebs-snapshot-public-restorable-check	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass EBS-Snapshots nicht öffentlich wiederherstellbar sind. EBS-Volume-Snapshots können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
T0475	Beurteilen Sie angemessene Zugriffskontrollen auf der Grundlage der Prinzipien der geringsten Rechte und. need-to-know	ec2-instance-no-public-ip	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass Amazon Elastic Compute Cloud (Amazon EC2) -Instances nicht öffentlich zugänglich sind. Amazon-EC2-Instances können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
T0475	Beurteilen Sie angemessene Zugriffskontrollen auf der Grundlage der Grundsätze der geringsten Rechte und need-to-know	elasticsearch-in-vpc-only	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass sich Amazon OpenSearch OpenSearch Service (Service) -Domains innerhalb einer Amazon Virtual Private Cloud (Amazon VPC) befinden. Eine OpenSearch Service-Domain innerhalb einer Amazon VPC ermöglicht die sichere Kommunikation zwischen OpenSearch Service und anderen Services innerhalb der Amazon VPC, ohne dass ein Internet-Gateway, ein NAT-Gerät oder eine VPN-Verbindung erforderlich ist.
T0475	Beurteilen Sie angemessene Zugriffskontrollen auf der Grundlage der Grundsätze der geringsten Rechte und need-to-know	emr-kerberos-enabled	Die Zugriffsberechtigungen und -autorisierungen können verwaltet und nach den Prinzipien der geringsten Berechtigung und Aufgabentrennung integriert werden, indem Kerberos für Amazon-EMR-Cluster aktiviert wird. In Kerberos werden Services und Benutzer, die sich authentifizieren müssen, als Prinzipale bezeichnet. Prinzipale befinden sich in einem Kerberos-Bereich. Innerhalb dieses Bereichs wird ein Kerberos-Server als Key Distribution Center (KDC) bezeichnet. Über diesen Server können sich Prinzipale authentifizieren. Die Authentifizierung im KDC erfolgt durch die Ausstellung von Authentifizierungstickets. Das KDC unterhält eine Datenbank der Prinzipale in seinem Bereich mit ihren Passwörtern und anderen administrativen Informationen zu jedem Prinzipal.
T0475	Bewertung angemessener Zugriffskontrollen auf der Grundlage der Grundsätze der geringsten Rechte und need-to-know	emr-master-no-public-ip	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass Amazon EMR-Cluster-Masterknoten nicht öffentlich zugänglich sind. Amazon-EMR-Cluster-Hauptknoten können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
T0475	Beurteilen Sie angemessene Zugriffskontrollen auf der Grundlage der Grundsätze der geringsten Rechte und need-to-know.	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) kann Ihnen helfen, die Prinzipien der geringsten Rechte und der Aufgabentrennung in Zugriffsberechtigungen und Autorisierungen zu integrieren und so zu verhindern, dass Richtlinien blockierte Aktionen für alle AWS Schlüssel des Key Management Service enthalten. Wenn Benutzer mehr Rechte haben, als für die Ausführung einer Aufgabe erforderlich sind, kann dies gegen das Prinzip der geringsten Berechtigung und Aufgabentrennung verstoßen. Mit dieser Regel können Sie den Parameter festlegen. blockedActionsPatterns (Wert AWS für bewährte Sicherheitsmethoden: kms:Decrypt, kms: From). ReEncrypt Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
T0475	Beurteilen Sie angemessene Zugriffskontrollen auf der Grundlage der Prinzipien der geringsten Rechte und. need-to-know	iam-group-has-users-check	AWS Identity and Access Management (IAM) kann Ihnen helfen, die Prinzipien der geringsten Rechte und der Aufgabentrennung mit Zugriffsberechtigungen und Autorisierungen zu integrieren, indem sichergestellt wird, dass IAM-Gruppen mindestens einen Benutzer haben. Die Einteilung von Benutzern in Gruppen auf der Grundlage der ihnen zugewiesenen Berechtigungen oder ihrer Funktion ist eine Möglichkeit, das Prinzip der geringsten Berechtigung zu implementieren.
T0475	Beurteilen Sie angemessene Zugriffskontrollen auf der Grundlage der Prinzipien der geringsten Rechte und. need-to-know	iam-inline-policy-blocked-kms-actions	Stellen Sie sicher, dass ein Benutzer, eine IAM-Rolle oder eine IAM-Gruppe ( AWS Identity and Access Management) nicht über eine Inline-Richtlinie verfügt, die blockierte Aktionen für alle AWS Schlüssel des Key Management Service zulässt. AWS empfiehlt, verwaltete Richtlinien anstelle von Inline-Richtlinien zu verwenden. Verwaltete Richtlinien ermöglichen Wiederverwendbarkeit, Versionsverwaltung, Rollback und Delegierung der Berechtigungsverwaltung. Mit dieser Regel können Sie den blockedActionsPatterns Parameter festlegen. (Wert AWS für bewährte Sicherheitsmethoden: kms:Decrypt, kms: From). ReEncrypt Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
T0475	Beurteilen Sie angemessene Zugriffskontrollen auf der Grundlage der Prinzipien der geringsten Rechte und. need-to-know	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) kann Ihnen dabei helfen, die Prinzipien der geringsten Rechte und der Aufgabentrennung in Zugriffsberechtigungen und Autorisierungen zu integrieren und so zu verhindern, dass Richtlinien „Effect“: „Allow“ mit „Action“: „“ anstelle von „Resource“: „“ enthalten. Wenn Benutzern mehr Rechte eingeräumt werden, als für die Ausführung einer Aufgabe erforderlich sind, kann dies gegen das Prinzip der geringsten Berechtigung und der Aufgabentrennung verstoßen.
T0475	Beurteilen Sie angemessene Zugriffskontrollen auf der Grundlage der Prinzipien der geringsten Rechte und. need-to-know	iam-root-access-key-check	Der Zugriff auf Systeme und Ressourcen kann gesteuert werden, indem überprüft wird, ob der Root-Benutzer keine Zugriffsschlüssel mit seiner AWS Identity and Access Management (IAM) -Rolle verknüpft hat. Stellen Sie sicher, dass die Root-Zugriffsschlüssel gelöscht werden. Erstellen und verwenden Sie stattdessen rollenbasierte Funktionen, AWS-Konten um das Prinzip der geringsten Funktionalität zu berücksichtigen.
T0475	Beurteilen Sie angemessene Zugriffskontrollen auf der Grundlage der Prinzipien der geringsten Rechte und. need-to-know	iam-user-group-membership-check	AWS Identity and Access Management (IAM) kann Ihnen helfen, Zugriffsberechtigungen und Autorisierungen einzuschränken, indem sichergestellt wird, dass Benutzer Mitglieder mindestens einer Gruppe sind. Wenn Benutzern mehr Berechtigungen eingeräumt werden, als für die Ausführung einer Aufgabe erforderlich sind, kann dies gegen das Prinzip der geringsten Berechtigung und Aufgabentrennung verstoßen.
T0475	Beurteilen Sie angemessene Zugriffskontrollen auf der Grundlage der Prinzipien der geringsten Rechte und need-to-know	iam-user-no-policies-check	Diese Regel stellt sicher, dass AWS Identity and Access Management (IAM) -Richtlinien nur Gruppen oder Rollen zugewiesen werden, um den Zugriff auf Systeme und Ressourcen zu kontrollieren. Die Zuweisung von Berechtigungen auf Gruppen- oder Rollenebene trägt dazu bei, die Wahrscheinlichkeit zu verringern, dass eine Identität übermäßige Berechtigungen erhält oder beibehält.
T0475	Beurteilen Sie angemessene Zugriffskontrollen auf der Grundlage der Grundsätze der geringsten Rechte und need-to-know	iam-user-unused-credentials-check	AWS Identity and Access Management (IAM) kann Ihnen bei Zugriffsberechtigungen und Autorisierungen helfen, indem es nach IAM-Passwörtern und Zugriffsschlüsseln sucht, die für einen bestimmten Zeitraum nicht verwendet wurden. Wenn ungenutzte Anmeldeinformationen identifiziert werden, müssen Sie sie deaktivieren und/oder entfernen, da dies gegen das Prinzip der geringsten Berechtigung verstoßen könnte. Für diese Regel müssen Sie einen Wert für das maxCredentialUsage Alter festlegen (Standardkonfiguration: 90). Der tatsächliche Wert muss den Richtlinien Ihrer Organisation entsprechen.
T0475	Beurteilen Sie angemessene Zugriffskontrollen auf der Grundlage der Prinzipien der geringsten Rechte und need-to-know.	lambda-function-public-access-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass AWS Lambda-Funktionen nicht öffentlich zugänglich sind. Der öffentliche Zugriff kann möglicherweise die Verfügbarkeit von Ressourcen beeinträchtigen.
T0475	Beurteilen Sie angemessene Zugriffskontrollen auf der Grundlage der Grundsätze der geringsten Rechte und need-to-know.	lambda-inside-vpc	Stellen Sie AWS Lambda-Funktionen in einer Amazon Virtual Private Cloud (Amazon VPC) bereit, um eine sichere Kommunikation zwischen einer Funktion und anderen Diensten innerhalb der Amazon VPC zu gewährleisten. Bei dieser Konfiguration sind kein Internet-Gateway, kein NAT-Gerät und keine VPN-Verbindung erforderlich. Der gesamte Datenverkehr bleibt sicher in der Cloud. AWS Domains, die sich innerhalb einer VPC befinden, verfügen aufgrund ihrer logischen Isolierung im Vergleich zu Domains mit öffentlichen Endpunkten über eine zusätzliche Sicherheitsebene. Um den Zugriff ordnungsgemäß zu verwalten, sollten AWS Lambda-Funktionen einer VPC zugewiesen werden.
T0475	Beurteilen Sie angemessene Zugriffskontrollen auf der Grundlage der Prinzipien der geringsten Rechte und. need-to-know	opensearch-in-vpc-only	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass sich die Domains von Amazon Elasticsearch Service (Amazon ES) innerhalb einer Amazon Virtual Private Cloud (Amazon VPC) befinden. Eine ES-Domain in einer Amazon VPC ermöglicht eine sichere Kommunikation zwischen Amazon ES und anderen Services innerhalb der Amazon VPC, ohne dass ein Internet-Gateway, ein NAT-Gerät oder eine VPN-Verbindung benötigt wird.
T0475	Beurteilen Sie angemessene Zugriffskontrollen auf der Grundlage der Grundsätze der geringsten Rechte und need-to-know	rds-instance-public-access-check	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Relational Database Service (Amazon RDS) -Instances nicht öffentlich sind. Amazon-RDS-Datenbank-Instances können vertrauliche Informationen enthalten und für solche Konten sind Prinzipien und Zugriffskontrollen erforderlich.
T0475	Beurteilen Sie angemessene Zugriffskontrollen auf der Grundlage der Grundsätze der geringsten Rechte und need-to-know.	rds-snapshots-public-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Relational Database Service (Amazon RDS) -Instances nicht öffentlich sind. Amazon-RDS-Datenbank-Instances können vertrauliche Informationen enthalten und für solche Konten sind Prinzipien und Zugriffskontrollen erforderlich.
T0475	Beurteilen Sie angemessene Zugriffskontrollen auf der Grundlage der Grundsätze der geringsten Rechte und need-to-know.	redshift-cluster-public-access-check	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Redshift Redshift-Cluster nicht öffentlich sind. Amazon-Redshift-Cluster können vertrauliche Informationen enthalten und für solche Konten sind Prinzipien und Zugriffskontrollen erforderlich.
T0475	Beurteilen Sie angemessene Zugriffskontrollen auf der Grundlage der Prinzipien der geringsten Rechte und need-to-know.	s3-bucket-level-public-access-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Simple Storage Service (Amazon S3) -Buckets nicht öffentlich zugänglich sind. Diese Regel trägt dazu bei, sensible Daten vor unbefugten Remote-Benutzern zu schützen, indem sie den öffentlichen Zugriff auf Bucket-Ebene verhindert.
T0475	Beurteilen Sie angemessene Zugriffskontrollen auf der Grundlage der Grundsätze der geringsten Rechte und need-to-know	s3-bucket-public-read-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie nur autorisierten Benutzern, Prozessen und Geräten Zugriff auf Amazon Simple Storage Service (Amazon S3) -Buckets gewähren. Die Verwaltung des Zugriffs sollte mit der Klassifizierung der Daten übereinstimmen.
T0475	Beurteilen Sie angemessene Zugriffskontrollen auf der Grundlage der Grundsätze der geringsten Rechte und need-to-know	s3-bucket-public-write-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie nur autorisierten Benutzern, Prozessen und Geräten Zugriff auf Amazon Simple Storage Service (Amazon S3) -Buckets gewähren. Die Verwaltung des Zugriffs sollte mit der Klassifizierung der Daten übereinstimmen.
T0475	Beurteilen Sie angemessene Zugriffskontrollen auf der Grundlage der Grundsätze der geringsten Rechte und need-to-know	sagemaker-notebook-no-direct-internet-access	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass SageMaker Amazon-Notebooks keinen direkten Internetzugang zulassen. Indem Sie direkten Internetzugang blockieren, vermeiden Sie, dass unbefugte Benutzer auf sensible Daten zugreifen.
T0475	Beurteilen Sie angemessene Zugriffskontrollen auf der Grundlage der Grundsätze der geringsten Rechte und need-to-know.	subnet-auto-assign-public-ip-disabled	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass Amazon Virtual Private Cloud (VPC) -Subnetzen nicht automatisch eine öffentliche IP-Adresse zugewiesen wird. Bei Amazon-Elastic-Compute-Cloud (EC2)-Instances, die in Subnetzen gestartet werden, in denen dieses Attribut aktiviert ist, wird der primären Netzwerkschnittstelle eine öffentliche IP-Adresse zugewiesen.
T0489	Umsetzung von Systemsicherheitsmaßnahmen in Übereinstimmung mit festgelegten Verfahren zur Gewährleistung von Vertraulichkeit, Integrität, Verfügbarkeit, Authentifizierung und Nichtabstreitbarkeit.	elasticsearch-logs-to-cloudwatch	Stellen Sie sicher, dass für Amazon OpenSearch Service-Domains Fehlerprotokolle aktiviert und zur Aufbewahrung und Beantwortung an Amazon CloudWatch Logs gestreamt werden. Domain-Fehlerprotokolle sind bei Sicherheits- und Zugriffsprüfungen sowie bei der Diagnose von Verfügbarkeitsproblemen nützlich.
T0489	Umsetzung von Systemsicherheitsmaßnahmen in Übereinstimmung mit festgelegten Verfahren zur Gewährleistung von Vertraulichkeit, Integrität, Verfügbarkeit, Authentifizierung und Nichtabstreitbarkeit.	multi-region-cloudtrail-enabled	AWS CloudTrail zeichnet Aktionen und API-Aufrufe der AWS Management Console auf. Sie können feststellen, welche Benutzer und Konten angerufen wurden AWS, von welcher Quell-IP-Adresse aus die Anrufe getätigt wurden und wann die Anrufe erfolgten. CloudTrail übermittelt Protokolldateien aus allen AWS Regionen an Ihren S3-Bucket, wenn MULTI_REGION_CLOUD_TRAIL_ENABLED aktiviert ist. Außerdem wird beim AWS Start einer neuen Region derselbe Trail in der neuen Region erstellt. CloudTrail Dadurch erhalten Sie automatisch Protokolldateien mit API-Aktivitäten für die neue Region.
T0489	Umsetzung von Systemsicherheitsmaßnahmen in Übereinstimmung mit festgelegten Verfahren zur Gewährleistung von Vertraulichkeit, Integrität, Verfügbarkeit, Authentifizierung und Nichtabstreitbarkeit.	wafv2-logging-enabled	Um die Protokollierung und Überwachung in Ihrer Umgebung zu erleichtern, aktivieren Sie die AWS WAF (V2) -Protokollierung für regionale und globale Web-ACLs. AWS Die WAF-Protokollierung bietet detaillierte Informationen über den Datenverkehr, der von Ihrer Web-ACL analysiert wird. In den Protokollen werden die Uhrzeit aufgezeichnet, zu der die AWS WAF die Anfrage von Ihrer AWS Ressource erhalten hat, Informationen über die Anfrage und eine Aktion für die Regel, der jede Anfrage entsprach.
T0489	Umsetzung von Systemsicherheitsmaßnahmen in Übereinstimmung mit festgelegten Verfahren zur Gewährleistung von Vertraulichkeit, Integrität, Verfügbarkeit, Authentifizierung und Nichtabstreitbarkeit.	api-gw-execution-logging-enabled	Die API-Gateway-Protokollierung zeigt detaillierte Ansichten der Benutzer, die auf die API zugegriffen haben, und wie diese Benutzer auf die API zugegriffen haben. Diese Insights ermöglichen die Einsicht in Benutzeraktivitäten.
T0489	Umsetzung von Systemsicherheitsmaßnahmen in Übereinstimmung mit festgelegten Verfahren zur Gewährleistung von Vertraulichkeit, Integrität, Verfügbarkeit, Authentifizierung und Nichtabstreitbarkeit.	cloud-trail-cloud-watch-logs-enabled	Verwenden Sie Amazon CloudWatch , um Protokollereignisaktivitäten zentral zu sammeln und zu verwalten. Die Aufnahme von AWS CloudTrail Daten liefert Einzelheiten zu den API-Aufrufaktivitäten in Ihrem AWS-Konto.
T0489	Umsetzung von Systemsicherheitsmaßnahmen in Übereinstimmung mit festgelegten Verfahren zur Gewährleistung von Vertraulichkeit, Integrität, Verfügbarkeit, Authentifizierung und Nichtabstreitbarkeit.	cloudtrail-enabled	AWS CloudTrail kann bei der Nichtabstreitbarkeit helfen, indem Aktionen und API-Aufrufe der AWS Management Console aufgezeichnet werden. Sie können die Benutzer und die Benutzer AWS-Konten , die einen AWS Dienst aufgerufen haben, die Quell-IP-Adresse, über die die Aufrufe generiert wurden, und den Zeitpunkt der Anrufe identifizieren. Einzelheiten zu den erfassten Daten finden Sie in den AWS CloudTrail Datensatzinhalten.
T0489	Umsetzung von Systemsicherheitsmaßnahmen in Übereinstimmung mit festgelegten Verfahren zur Gewährleistung von Vertraulichkeit, Integrität, Verfügbarkeit, Authentifizierung und Nichtabstreitbarkeit.	cloudtrail-s3-dataevents-enabled	Die Erfassung von Simple Storage Service (Amazon S3)-Datenereignissen unterstützt die Erkennung von ungewöhnlichen Aktivitäten. Zu den Details gehören Informationen zu dem AWS -Konto, das auf einen Amazon-S3-Bucket zugegriffen hat, die IP-Adresse und die Uhrzeit des Ereignisses.
T0489	Umsetzung von Systemsicherheitsmaßnahmen in Übereinstimmung mit festgelegten Verfahren zur Gewährleistung von Vertraulichkeit, Integrität, Verfügbarkeit, Authentifizierung und Nichtabstreitbarkeit.	elb-logging-enabled	Die Elastic-Load-Balancing-Aktivität ist ein zentraler Kommunikationspunkt innerhalb einer Umgebung. Stellen Sie sicher, dass die ELB-Protokollierung aktiviert ist. Die gesammelten Daten enthalten detaillierte Informationen zu Anfragen, die an den ELB gesendet wurden. Jedes Protokoll enthält Informationen wie die Zeit, zu der die Anforderung einging, die Client-IP-Adresse, Latenzen, Anforderungspfade und Serverantworten.
T0489	Umsetzung von Systemsicherheitsmaßnahmen in Übereinstimmung mit festgelegten Verfahren zur Gewährleistung von Vertraulichkeit, Integrität, Verfügbarkeit, Authentifizierung und Nichtabstreitbarkeit.	rds-logging-enabled	Um die Protokollierung und Überwachung in Ihrer Umgebung zu erleichtern, stellen Sie sicher, dass die Amazon Relational Database Service (Amazon RDS)-Protokollierung aktiviert ist. Mit der Amazon-RDS-Protokollierung können Sie Ereignisse wie Verbindungen, Verbindungsabbrüche, Abfragen oder abgefragte Tabellen erfassen.
T0489	Umsetzung von Systemsicherheitsmaßnahmen in Übereinstimmung mit festgelegten Verfahren zur Gewährleistung von Vertraulichkeit, Integrität, Verfügbarkeit, Authentifizierung und Nichtabstreitbarkeit.	redshift-cluster-configuration-check	Um Daten im Ruhezustand zu schützen, muss die Verschlüsselung für Ihre Amazon-Redshift-Cluster aktiviert sein. Sie müssen auch sicherstellen, dass die erforderlichen Konfigurationen auf Amazon-Redshift-Clustern bereitgestellt werden. Die Prüfungsprotokollierung muss aktiviert sein, um Informationen zu Verbindungen und Benutzeraktivitäten in der Datenbank bereitzustellen. Diese Regel erfordert, dass ein Wert für clusterDbEncrypted (Config Default: TRUE) und LoggingEnabled (Config Default: TRUE) gesetzt ist. Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
T0489	Umsetzung von Systemsicherheitsmaßnahmen in Übereinstimmung mit festgelegten Verfahren zur Gewährleistung von Vertraulichkeit, Integrität, Verfügbarkeit, Authentifizierung und Nichtabstreitbarkeit.	s3-bucket-logging-enabled	Die Amazon Simple Storage Service (Amazon S3)-Serverzugriffsprotokollierung bietet eine Methode zur Überwachung des Netzwerks im Hinblick auf potenzielle Cybersicherheitsereignisse. Die Ereignisse werden überwacht, indem detaillierte Aufzeichnungen über die Anfragen erfasst werden, die an einen Amazon-S3-Bucket gestellt wurden. Jeder Zugriffsprotokolleintrag enthält Details zu einer einzelnen Zugriffsanfrage. Zu den Details gehören Anforderer, Bucket-Name, Anforderungszeit, Anforderungsaktion, Antwortstatus und Fehlercode, falls relevant.
T0489	Umsetzung von Systemsicherheitsmaßnahmen in Übereinstimmung mit festgelegten Verfahren zur Gewährleistung von Vertraulichkeit, Integrität, Verfügbarkeit, Authentifizierung und Nichtabstreitbarkeit.	vpc-flow-logs-enabled	VPC-Flow-Protokolle erfassen detaillierte Informationsdatensätze über den IP-Datenverkehr, der zu und von Netzwerkschnittstellen in Ihrer Amazon Virtual Private Cloud (Amazon VPC) fließt. Standardmäßig enthalten Flow-Protokolldatensätze Werte für die verschiedenen Komponenten des IP-Flows, einschließlich Quelle, Ziel und Protokoll.
T0491	Installation und Konfiguration von Hardware, Software und Peripheriegeräten für Systembenutzer in Übereinstimmung mit den Unternehmensstandards.	ec2-instance-managed-by-systems-manager	Eine Bestandsaufnahme der Softwareplattformen und Anwendungen innerhalb des Unternehmens ist möglich, indem Amazon Elastic Compute Cloud (Amazon EC2) -Instances mit AWS Systems Manager verwaltet werden. Verwenden Sie AWS Systems Manager, um detaillierte Systemkonfigurationen, Betriebssystem-Patch-Levels, Namen und Typ der Dienste, Softwareinstallationen, Anwendungsname, Herausgeber und Version sowie andere Details zu Ihrer Umgebung bereitzustellen.
T0491	Installation und Konfiguration von Hardware, Software und Peripheriegeräten für Systembenutzer in Übereinstimmung mit den Unternehmensstandards.	ec2-managedinstance-association-compliance-status-check	Verwenden Sie AWS Systems Manager Associations, um bei der Inventarisierung von Softwareplattformen und Anwendungen innerhalb eines Unternehmens zu helfen. AWS Systems Manager weist Ihren verwalteten Instances einen Konfigurationsstatus zu und ermöglicht es Ihnen, Basiswerte für Betriebssystem-Patch-Levels, Softwareinstallationen, Anwendungskonfigurationen und andere Details zu Ihrer Umgebung festzulegen.
T0491	Installation und Konfiguration von Hardware, Software und Peripheriegeräten für Systembenutzer in Übereinstimmung mit den Unternehmensstandards.	ec2-managedinstance-patch-compliance-status-check	Aktivieren Sie diese Regel, um Amazon Elastic Compute Cloud (Amazon EC2)-Schwachstellen zu identifizieren und zu dokumentieren. Die Regel prüft, ob die Amazon EC2 EC2-Instance die Patch-Konformität im AWS Systems Manager gemäß den Richtlinien und Verfahren Ihres Unternehmens einhält.
T0503	Überwachen Sie externe Datenquellen (z. B. Websites von Anbietern von Cyberabwehr, Computer-Notfallteams, Security Focus), um den aktuellen Stand der Cyberabwehr zu gewährleisten und festzustellen, welche Sicherheitsprobleme sich auf das Unternehmen auswirken können.	guardduty-enabled-centralized	Amazon GuardDuty kann mithilfe von Threat Intelligence Feeds helfen, potenzielle Cybersicherheitsereignisse zu überwachen und zu erkennen. Dazu gehören Listen bösartiger IP-Adressen und maschinelles Lernen zur Identifizierung unerwarteter, nicht autorisierter und bösartiger Aktivitäten in Ihrer AWS Cloud-Umgebung.
T0509	Durchführung einer Risikobewertung der Informationssicherheit.	annual-risk-assessment-performed (Prozessüberprüfung)	Führen Sie eine jährliche Risikobewertung für Ihre Organisation durch. Risikowertungen können dabei helfen, die Wahrscheinlichkeit und Auswirkungen identifizierter Risiken und/oder Schwachstellen für eine Organisation zu ermitteln.
T0553	Wenden Sie Cybersicherheitsfunktionen (z. B. Verschlüsselung, Zugriffskontrolle und Identitätsmanagement) an, um Ausnutzungsmöglichkeiten zu verringern.	ec2-ebs-encryption-by-default	Zum Schutz von Daten im Ruhezustand müssen Sie sicherstellen, dass die Verschlüsselung für Ihre Amazon Elastic Block Store (Amazon EBS)-Volumes aktiviert ist. Da sensible Daten in diesen Volumes gespeichert werden können, sollten Sie die Verschlüsselung von Daten im Ruhezustand aktivieren, um diese Daten zu schützen.
T0553	Wenden Sie Cybersicherheitsfunktionen (z. B. Verschlüsselung, Zugriffskontrolle und Identitätsmanagement) an, um Ausnutzungsmöglichkeiten zu verringern.	elasticsearch-node-to-node-encryption-check	Stellen Sie sicher, dass die node-to-node Verschlüsselung für Amazon Elasticsearch Service aktiviert ist. ode-to-node N-Verschlüsselung aktiviert die TLS 1.2-Verschlüsselung für die gesamte Kommunikation innerhalb der Amazon Virtual Private Cloud (Amazon VPC). Um eventuell vorhandene sensible Daten zu schützen, sollten Sie die Verschlüsselung bei der Übertragung aktivieren.
T0553	Wenden Sie Cybersicherheitsfunktionen (z. B. Verschlüsselung, Zugriffskontrolle und Identitätsmanagement) an, um Ausnutzungsmöglichkeiten zu reduzieren.	elb-tls-https-listeners-only	Stellen Sie sicher, dass Ihre Elastic Load Balancers (ELBs) mit SSL- oder HTTPS-Listenern konfiguriert sind. Da sensible Daten vorhanden sein können, sollten Sie die Verschlüsselung bei der Übertragung aktivieren, um diese Daten zu schützen.
T0553	Wenden Sie Cybersicherheitsfunktionen (z. B. Verschlüsselung, Zugriffskontrolle und Identitätsmanagement) an, um Ausnutzungsmöglichkeiten zu verringern.	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) kann Ihnen helfen, die Prinzipien der geringsten Rechte und der Aufgabentrennung in Zugriffsberechtigungen und Autorisierungen zu integrieren und so zu verhindern, dass Richtlinien blockierte Aktionen für alle AWS Schlüssel des Key Management Service enthalten. Wenn Benutzer mehr Rechte haben, als für die Ausführung einer Aufgabe erforderlich sind, kann dies gegen das Prinzip der geringsten Berechtigung und Aufgabentrennung verstoßen. Mit dieser Regel können Sie den Parameter festlegen. blockedActionsPatterns (Wert AWS für bewährte Sicherheitsmethoden: kms:Decrypt, kms: From). ReEncrypt Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
T0553	Wenden Sie Cybersicherheitsfunktionen (z. B. Verschlüsselung, Zugriffskontrolle und Identitätsmanagement) an, um Ausnutzungsmöglichkeiten zu verringern.	iam-group-has-users-check	AWS Identity and Access Management (IAM) kann Ihnen helfen, die Prinzipien der geringsten Rechte und der Aufgabentrennung mit Zugriffsberechtigungen und Autorisierungen zu integrieren, indem sichergestellt wird, dass IAM-Gruppen mindestens einen Benutzer haben. Die Einteilung von Benutzern in Gruppen auf der Grundlage der ihnen zugewiesenen Berechtigungen oder ihrer Funktion ist eine Möglichkeit, das Prinzip der geringsten Berechtigung zu implementieren.
T0553	Wenden Sie Cybersicherheitsfunktionen (z. B. Verschlüsselung, Zugriffskontrolle und Identitätsmanagement) an, um Ausnutzungsmöglichkeiten zu reduzieren.	iam-inline-policy-blocked-kms-actions	Stellen Sie sicher, dass ein Benutzer, eine IAM-Rolle oder eine IAM-Gruppe ( AWS Identity and Access Management) nicht über eine Inline-Richtlinie verfügt, die blockierte Aktionen für alle AWS Schlüssel des Key Management Service zulässt. AWS empfiehlt, verwaltete Richtlinien anstelle von Inline-Richtlinien zu verwenden. Verwaltete Richtlinien ermöglichen Wiederverwendbarkeit, Versionsverwaltung, Rollback und Delegierung der Berechtigungsverwaltung. Mit dieser Regel können Sie den blockedActionsPatterns Parameter festlegen. (Wert AWS für bewährte Sicherheitsmethoden: kms:Decrypt, kms: From). ReEncrypt Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
T0553	Wenden Sie Cybersicherheitsfunktionen (z. B. Verschlüsselung, Zugriffskontrolle und Identitätsmanagement) an, um Ausnutzungsmöglichkeiten zu verringern.	iam-no-inline-policy-check	Stellen Sie sicher, dass ein Benutzer, eine IAM-Rolle oder eine IAM-Gruppe ( AWS Identity and Access Management) nicht über eine Inline-Richtlinie zur Zugriffskontrolle auf Systeme und Ressourcen verfügt. AWS empfiehlt, verwaltete Richtlinien anstelle von Inline-Richtlinien zu verwenden. Verwaltete Richtlinien ermöglichen Wiederverwendbarkeit, Versionsverwaltung, Rollback und Delegierung der Berechtigungsverwaltung.
T0553	Wenden Sie Cybersicherheitsfunktionen an (z. B. Verschlüsselung, Zugriffskontrolle und Identitätsmanagement), um Ausnutzungsmöglichkeiten zu verringern.	iam-password-policy	Die Identitäten und Anmeldeinformationen werden auf der Grundlage einer organisatorischen IAM-Passwortrichtlinie ausgestellt, verwaltet und verifiziert. Sie erfüllen oder übertreffen die Anforderungen von NIST SP 800-63 und dem Standard „Best Practices“ von AWS Foundational Security für die Passwortstärke. Mit dieser Regel können Sie optional RequireUppercaseCharacters (Wert für AWS grundlegende Sicherheitsbewährte Methoden: wahr), RequireLowercaseCharacters (Wert für bewährte Methoden für AWS grundlegende Sicherheit: wahr), RequireSymbols (Wert für bewährte Methoden für AWS grundlegende Sicherheit: wahr), RequireNumbers (Wert für bewährte Methoden für AWS grundlegende Sicherheit: wahr), MinimumPasswordLength (Wert für bewährte Methoden für AWS grundlegende Sicherheit: 14), PasswordReusePrevention (Wert für bewährte Methoden für AWS grundlegende Sicherheit: 24) und MaxPasswordAge (Wert für bewährte Methoden für AWS grundlegende Sicherheit: 90) für Ihr IAM festlegen Kennwortrichtlinie. Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
T0553	Wenden Sie Cybersicherheitsfunktionen (z. B. Verschlüsselung, Zugriffskontrolle und Identitätsmanagement) an, um Ausnutzungsmöglichkeiten zu verringern.	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) kann Ihnen dabei helfen, die Prinzipien der geringsten Rechte und der Aufgabentrennung in Zugriffsberechtigungen und Autorisierungen zu integrieren und so zu verhindern, dass Richtlinien „Effect“: „Allow“ mit „Action“: „“ anstelle von „Resource“: „“ enthalten. Wenn Benutzern mehr Rechte eingeräumt werden, als für die Ausführung einer Aufgabe erforderlich sind, kann dies gegen das Prinzip der geringsten Berechtigung und der Aufgabentrennung verstoßen.
T0553	Wenden Sie Cybersicherheitsfunktionen (z. B. Verschlüsselung, Zugriffskontrolle und Identitätsmanagement) an, um Ausnutzungsmöglichkeiten zu reduzieren.	iam-policy-no-statements-with-full-access	Stellen Sie sicher, dass IAM-Aktionen nur auf die benötigten Aktionen beschränkt sind. Wenn Benutzern mehr Rechte eingeräumt werden, als für die Ausführung einer Aufgabe erforderlich sind, kann dies gegen das Prinzip der geringsten Rechte und der Aufgabentrennung verstoßen.
T0553	Wenden Sie Cybersicherheitsfunktionen (z. B. Verschlüsselung, Zugriffskontrolle und Identitätsmanagement) an, um Ausnutzungsmöglichkeiten zu verringern.	iam-root-access-key-check	Der Zugriff auf Systeme und Ressourcen kann gesteuert werden, indem überprüft wird, ob der Root-Benutzer keine Zugriffsschlüssel mit seiner AWS Identity and Access Management (IAM) -Rolle verknüpft hat. Stellen Sie sicher, dass die Root-Zugriffsschlüssel gelöscht werden. Erstellen und verwenden Sie stattdessen rollenbasierte Funktionen, AWS-Konten um das Prinzip der geringsten Funktionalität zu berücksichtigen.
T0553	Wenden Sie Cybersicherheitsfunktionen (z. B. Verschlüsselung, Zugriffskontrolle und Identitätsmanagement) an, um Ausnutzungsmöglichkeiten zu verringern.	iam-user-group-membership-check	AWS Identity and Access Management (IAM) kann Ihnen helfen, Zugriffsberechtigungen und Autorisierungen einzuschränken, indem sichergestellt wird, dass Benutzer Mitglieder mindestens einer Gruppe sind. Wenn Benutzern mehr Berechtigungen eingeräumt werden, als für die Ausführung einer Aufgabe erforderlich sind, kann dies gegen das Prinzip der geringsten Berechtigung und Aufgabentrennung verstoßen.
T0553	Wenden Sie Cybersicherheitsfunktionen (z. B. Verschlüsselung, Zugriffskontrolle und Identitätsmanagement) an, um Ausnutzungsmöglichkeiten zu reduzieren.	iam-user-mfa-enabled	Aktivieren Sie diese Regel, um den Zugriff auf Ressourcen in der AWS -Cloud einzuschränken. Diese Regel stellt sicher, dass die Multi-Faktor-Authentifizierung (MFA) für alle Benutzer aktiviert ist. MFA bietet eine weitere Schutzebene zusätzlich zum Benutzernamen und Passwort. Reduzieren Sie Fälle von kompromittierten Konten, indem Sie MFA für Benutzer vorschreiben.
T0553	Wenden Sie Cybersicherheitsfunktionen (z. B. Verschlüsselung, Zugriffskontrolle und Identitätsmanagement) an, um Ausnutzungsmöglichkeiten zu verringern.	iam-user-no-policies-check	Diese Regel stellt sicher, dass AWS Identity and Access Management (IAM) -Richtlinien nur Gruppen oder Rollen zugewiesen werden, um den Zugriff auf Systeme und Ressourcen zu kontrollieren. Die Zuweisung von Berechtigungen auf Gruppen- oder Rollenebene trägt dazu bei, die Wahrscheinlichkeit zu verringern, dass eine Identität übermäßige Berechtigungen erhält oder beibehält.
T0553	Wenden Sie Cybersicherheitsfunktionen (z. B. Verschlüsselung, Zugriffskontrolle und Identitätsmanagement) an, um Ausnutzungsmöglichkeiten zu verringern.	iam-user-unused-credentials-check	AWS Identity and Access Management (IAM) kann Ihnen bei Zugriffsberechtigungen und Autorisierungen helfen, indem es nach IAM-Passwörtern und Zugriffsschlüsseln sucht, die für einen bestimmten Zeitraum nicht verwendet wurden. Wenn ungenutzte Anmeldeinformationen identifiziert werden, müssen Sie sie deaktivieren und/oder entfernen, da dies gegen das Prinzip der geringsten Berechtigung verstoßen könnte. Für diese Regel müssen Sie einen Wert für das maxCredentialUsage Alter festlegen (Standardkonfiguration: 90). Der tatsächliche Wert muss den Richtlinien Ihrer Organisation entsprechen.
T0553	Wenden Sie Cybersicherheitsfunktionen (z. B. Verschlüsselung, Zugriffskontrolle und Identitätsmanagement) an, um Ausnutzungsmöglichkeiten zu reduzieren.	mfa-enabled-for-iam-console-access	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass MFA für alle AWS Identity and Access Management (IAM) -Benutzer aktiviert ist, die über ein Konsolenkennwort verfügen. MFA sorgt für eine weitere Schutzebene zusätzlich zu den Anmeldeinformationen. Indem Sie MFA für Benutzer vorschreiben, können Sie Fälle kompromittierter Konten reduzieren und verhindern, dass unbefugte Benutzer auf vertrauliche Daten zugreifen.
T0553	Wenden Sie Cybersicherheitsfunktionen (z. B. Verschlüsselung, Zugriffskontrolle und Identitätsmanagement) an, um Ausnutzungsmöglichkeiten zu reduzieren.	opensearch-encrypted-at-rest	Da sensible Daten existieren können und um Daten im Ruhezustand zu schützen, sollten Sie sicherstellen, dass die Verschlüsselung für Ihre Amazon Elasticsearch Service (Amazon ES) -Domains aktiviert ist.
T0553	Wenden Sie Cybersicherheitsfunktionen (z. B. Verschlüsselung, Zugriffskontrolle und Identitätsmanagement) an, um Ausnutzungsmöglichkeiten zu verringern.	opensearch-node-to-node-encryption-check	Stellen Sie sicher, dass die node-to-node Verschlüsselung für Amazon Elasticsearch Service aktiviert ist. ode-to-node N-Verschlüsselung aktiviert die TLS 1.2-Verschlüsselung für die gesamte Kommunikation innerhalb der Amazon Virtual Private Cloud (Amazon VPC). Um eventuell vorhandene sensible Daten zu schützen, sollten Sie die Verschlüsselung bei der Übertragung aktivieren.
T0553	Wenden Sie Cybersicherheitsfunktionen (z. B. Verschlüsselung, Zugriffskontrolle und Identitätsmanagement) an, um Ausnutzungsmöglichkeiten zu reduzieren.	rds-snapshot-encrypted	Stellen Sie sicher, dass die Verschlüsselung für Ihre Amazon Relational Database Service (Amazon RDS)-Snapshots aktiviert ist. Da sensible Daten auch im Ruhezustand vorhanden sein können, sollten Sie die Verschlüsselung von Daten im Ruhezustand aktivieren, um diese Daten zu schützen.
T0553	Wenden Sie Cybersicherheitsfunktionen (z. B. Verschlüsselung, Zugriffskontrolle und Identitätsmanagement) an, um Ausnutzungsmöglichkeiten zu verringern.	s3-default-encryption-kms	Stellen Sie sicher, dass die Verschlüsselung für Ihre Amazon Simple Storage Service (Amazon S3)-Buckets aktiviert ist. Da sensible Daten in einem Amazon S3 Bucket gespeichert werden können, sollten Sie die Verschlüsselung im Ruhezustand aktivieren, um diese Daten zu schützen.
T0553	Wenden Sie Cybersicherheitsfunktionen (z. B. Verschlüsselung, Zugriffskontrolle und Identitätsmanagement) an, um Ausnutzungsmöglichkeiten zu verringern.	sagemaker-notebook-instance-kms-key-configured	Um Daten im Ruhezustand zu schützen, sollten Sie sicherstellen, dass die Verschlüsselung mit dem AWS Key Management Service (AWS KMS) für Ihr SageMaker Notebook aktiviert ist. Da vertrauliche Daten im SageMaker Notebook gespeichert werden können, sollten Sie die Verschlüsselung im Ruhezustand aktivieren, um diese Daten zu schützen.
T0553	Wenden Sie Cybersicherheitsfunktionen (z. B. Verschlüsselung, Zugriffskontrolle und Identitätsmanagement) an, um Ausnutzungsmöglichkeiten zu verringern.	alb-http-to-https-redirection-check	Um Daten während der Übertragung zu schützen, stellen Sie sicher, dass Ihr Application Load Balancer unverschlüsselte HTTP-Anfragen automatisch an HTTPS umleitet. Da sensible Daten vorhanden sein können, sollten Sie die Verschlüsselung bei der Übertragung aktivieren, um diese Daten zu schützen.
T0553	Wenden Sie Cybersicherheitsfunktionen (z. B. Verschlüsselung, Zugriffskontrolle und Identitätsmanagement) an, um Ausnutzungsmöglichkeiten zu verringern.	api-gw-cache-enabled-and-encrypted	Um Daten im Ruhezustand zu schützen, stellen Sie sicher, dass die Verschlüsselung für den Cache Ihrer API-Gateway-Stufe aktiviert ist. Da für die API-Methode sensible Daten erfasst werden können, sollten Sie die Verschlüsselung von Daten im Ruhezustand aktivieren, um diese Daten zu schützen.
T0553	Wenden Sie Cybersicherheitsfunktionen (z. B. Verschlüsselung, Zugriffskontrolle und Identitätsmanagement) an, um Ausnutzungsmöglichkeiten zu verringern.	api-gw-ssl-enabled	Stellen Sie sicher, dass die REST-API-Stufen von Amazon API Gateway mit SSL-Zertifikaten konfiguriert sind, damit Backend-Systeme überprüfen können, ob Anforderungen von API Gateway stammen.
T0553	Wenden Sie Cybersicherheitsfunktionen (z. B. Verschlüsselung, Zugriffskontrolle und Identitätsmanagement) an, um Ausnutzungsmöglichkeiten zu verringern.	cloud-trail-encryption-enabled	Da sensible Daten vorhanden sein können und um Daten im Speicher zu schützen, sollten Sie sicherstellen, dass die Verschlüsselung für Ihre AWS CloudTrail Spuren aktiviert ist.
T0553	Wenden Sie Cybersicherheitsfunktionen (z. B. Verschlüsselung, Zugriffskontrolle und Identitätsmanagement) an, um Ausnutzungsmöglichkeiten zu verringern.	efs-encrypted-check	Aktivieren Sie die Verschlüsselung für Ihr Amazon Elastic File System (EFS), um eventuell vorhandene sensible Daten sowie Daten im Ruhezustand zu schützen.
T0553	Wenden Sie Cybersicherheitsfunktionen (z. B. Verschlüsselung, Zugriffskontrolle und Identitätsmanagement) an, um Ausnutzungsmöglichkeiten zu verringern.	elasticsearch-encrypted-at-rest	Da sensible Daten existieren können und um Daten im Ruhezustand zu schützen, sollten Sie sicherstellen, dass die Verschlüsselung für Ihre Amazon Elasticsearch Service (Amazon ES) -Domains aktiviert ist.
T0553	Wenden Sie Cybersicherheitsfunktionen (z. B. Verschlüsselung, Zugriffskontrolle und Identitätsmanagement) an, um Ausnutzungsmöglichkeiten zu verringern.	elb-acm-certificate-required	Zum Schutz von eventuell vorhandenen sensiblen Daten sowie von Daten während der Übertragung muss die Verschlüsselung für Ihr Elastic Load Balancing aktiviert sein. Verwenden Sie AWS Certificate Manager, um öffentliche und private SSL/TLS-Zertifikate mit AWS Diensten und internen Ressourcen zu verwalten, bereitzustellen und bereitzustellen.
T0553	Wenden Sie Cybersicherheitsfunktionen (z. B. Verschlüsselung, Zugriffskontrolle und Identitätsmanagement) an, um Ausnutzungsmöglichkeiten zu reduzieren.	encrypted-volumes	Aktivieren Sie die Verschlüsselung für Ihre Amazon-Elastic-Block-Store-(Amazon-EBS-)Volumes, um eventuell vorhandene sensible Daten sowie Daten im Ruhezustand zu schützen.
T0553	Wenden Sie Cybersicherheitsfunktionen (z. B. Verschlüsselung, Zugriffskontrolle und Identitätsmanagement) an, um Ausnutzungsmöglichkeiten zu verringern.	rds-storage-encrypted	Zum Schutz von Daten im Ruhezustand müssen Sie sicherstellen, dass die Verschlüsselung für Ihre Amazon Relational Database Service (Amazon RDS)-Instances aktiviert ist. Da sensible Daten in Amazon-RDS-Instances gespeichert werden können, sollten Sie die Verschlüsselung von Daten im Ruhezustand aktivieren, um diese Daten zu schützen.
T0553	Wenden Sie Cybersicherheitsfunktionen (z. B. Verschlüsselung, Zugriffskontrolle und Identitätsmanagement) an, um Ausnutzungsmöglichkeiten zu verringern.	redshift-cluster-configuration-check	Um Daten im Ruhezustand zu schützen, muss die Verschlüsselung für Ihre Amazon-Redshift-Cluster aktiviert sein. Sie müssen auch sicherstellen, dass die erforderlichen Konfigurationen auf Amazon-Redshift-Clustern bereitgestellt werden. Die Prüfungsprotokollierung muss aktiviert sein, um Informationen zu Verbindungen und Benutzeraktivitäten in der Datenbank bereitzustellen. Diese Regel erfordert, dass ein Wert für clusterDbEncrypted (Config Default: TRUE) und LoggingEnabled (Config Default: TRUE) gesetzt ist. Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
T0553	Wenden Sie Cybersicherheitsfunktionen (z. B. Verschlüsselung, Zugriffskontrolle und Identitätsmanagement) an, um Ausnutzungsmöglichkeiten zu reduzieren.	redshift-cluster-kms-enabled	Um Daten im Ruhezustand zu schützen, stellen Sie sicher, dass die Verschlüsselung mit AWS Key Management Service (AWS KMS) für Ihren Amazon Redshift Redshift-Cluster aktiviert ist. Um eventuell vorhandene sensible Daten im Ruhezustand in Redshift-Clustern zu schützen, muss die Verschlüsselung von Daten im Ruhezustand aktiviert sein.
T0553	Wenden Sie Cybersicherheitsfunktionen (z. B. Verschlüsselung, Zugriffskontrolle und Identitätsmanagement) an, um Ausnutzungsmöglichkeiten zu reduzieren.	redshift-require-tls-ssl	Stellen Sie sicher, dass Ihre Amazon-Redshift-Cluster eine TLS/SSL-Verschlüsselung erfordern, um eine Verbindung zu SQL-Clients herzustellen. Da sensible Daten vorhanden sein können, sollten Sie die Verschlüsselung bei der Übertragung aktivieren, um diese Daten zu schützen.
T0553	Wenden Sie Cybersicherheitsfunktionen (z. B. Verschlüsselung, Zugriffskontrolle und Identitätsmanagement) an, um Ausnutzungsmöglichkeiten zu verringern.	s3-bucket-server-side-encryption-enabled	Zum Schutz von Daten im Ruhezustand müssen Sie sicherstellen, dass die Verschlüsselung für Ihre Amazon Simple Storage Service (Amazon S3)-Buckets aktiviert ist. Da sensible Daten in Amazon S3 Buckets gespeichert werden können, sollten Sie die Verschlüsselung aktivieren, um diese Daten zu schützen.
T0553	Wenden Sie Cybersicherheitsfunktionen (z. B. Verschlüsselung, Zugriffskontrolle und Identitätsmanagement) an, um Ausnutzungsmöglichkeiten zu verringern.	s3-bucket-ssl-requests-only	Um Daten während der Übertragung zu schützen, stellen Sie sicher, dass Ihre Amazon Simple Storage Service (Amazon S3)-Buckets Anfragen zur Verwendung von Secure Socket Layer (SSL)-Buckets erfordern. Da sensible Daten vorhanden sein können, sollten Sie die Verschlüsselung bei der Übertragung aktivieren, um diese Daten zu schützen.
T0553	Wenden Sie Cybersicherheitsfunktionen (z. B. Verschlüsselung, Zugriffskontrolle und Identitätsmanagement) an, um Ausnutzungsmöglichkeiten zu verringern.	sagemaker-endpoint-configuration-kms-key-configured	Um Daten im Ruhezustand zu schützen, sollten Sie sicherstellen, dass die Verschlüsselung mit dem AWS Key Management Service (AWS KMS) für Ihren SageMaker Endpunkt aktiviert ist. Da sensible Daten auf dem SageMaker Endgerät gespeichert werden können, sollten Sie die Verschlüsselung im Ruhezustand aktivieren, um diese Daten zu schützen.
T0557	Integration von Schlüsselverwaltungsfunktionen im Zusammenhang mit dem Cyberspace.	cmk-backing-key-rotation-enabled	Aktivieren Sie die Schlüsselrotation, um sicherzustellen, dass Schlüssel rotiert werden, sobald sie das Ende ihrer Kryptoperiode erreicht haben.
T0557	Integration von Schlüsselverwaltungsfunktionen im Zusammenhang mit dem Cyberspace.	kms-cmk-not-scheduled-for-deletion	Um Daten im Ruhezustand zu schützen, sollten Sie sicherstellen, dass die erforderlichen Masterschlüssel (Customer Master Keys, CMKs) nicht im AWS Key Management Service (AWS KMS) gelöscht werden. Da Schlüssel manchmal gelöscht werden müssen, können Sie mit dieser Regel alle zu löschenden Schlüssel überprüfen, falls ein Schlüssel versehentlich zur Löschung vorgemerkt wurde.
T0576	Bewertung von Informationen aus allen Quellen und Empfehlung von Zielen zur Unterstützung der Ziele von Cyberoperationen.	guardduty-enabled-centralized	Amazon GuardDuty kann mithilfe von Threat Intelligence Feeds helfen, potenzielle Cybersicherheitsereignisse zu überwachen und zu erkennen. Dazu gehören Listen bösartiger IP-Adressen und maschinelles Lernen zur Identifizierung unerwarteter, nicht autorisierter und bösartiger Aktivitäten in Ihrer AWS Cloud-Umgebung.
T0609	Durchführung der Zugriffsfreigabe auf drahtlose Computer- und Digitalnetze.	alb-waf-enabled	Stellen Sie sicher, dass AWS WAF auf Elastic Load Balancers (ELB) aktiviert ist, um Webanwendungen zu schützen. Eine WAF hilft, Ihre Webanwendungen oder APIs vor gängigen Web-Exploits zu schützen. Diese Web-Exploits können sich auf die Verfügbarkeit auswirken, die Sicherheit gefährden oder übermäßige Ressourcen in Ihrer Umgebung verbrauchen.
T0609	Durchführung der Zugriffsfreigabe auf drahtlose Computer- und Digitalnetze.	api-gw-associated-with-waf	AWS Mit WAF können Sie eine Reihe von Regeln (eine so genannte Web Access Control List (Web ACL)) konfigurieren, die Webanfragen auf der Grundlage von anpassbaren Websicherheitsregeln und -bedingungen, die Sie definieren, zulassen, blockieren oder zählen. Stellen Sie sicher, dass Ihre Amazon-API-Gateway-Stufe mit einer WAF-Web-ACL verknüpft ist, um sie vor böswilligen Angriffen zu schützen.
T0609	Durchführung der Zugriffsfreigabe auf drahtlose Computer- und Digitalnetze.	autoscaling-launch-config-public-ip-disabled	Wenn Sie Ihre Netzwerkschnittstellen mit einer öffentlichen IP-Adresse konfigurieren, sind die diesen Netzwerkschnittstellen zugehörigen Ressourcen vom Internet aus erreichbar. EC2-Ressourcen sollten nicht öffentlich zugänglich sein, da dies einen unbeabsichtigten Zugriff auf Ihre Anwendungen oder Server ermöglichen kann.
T0609	Durchführung der Zugriffsfreigabe auf drahtlose Computer- und Digitalnetze.	dms-replication-not-public	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass auf DMS-Replikationsinstanzen nicht öffentlich zugegriffen werden kann. DMS-Replikations-Instances können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
T0609	Durchführung der Zugriffsfreigabe auf drahtlose Computer- und Digitalnetze.	ebs-snapshot-public-restorable-check	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass EBS-Snapshots nicht öffentlich wiederherstellbar sind. EBS-Volume-Snapshots können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
T0609	Durchführung der Zugriffsfreigabe auf drahtlose Computer- und Digitalnetze.	ec2-instance-no-public-ip	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass Amazon Elastic Compute Cloud (Amazon EC2) -Instances nicht öffentlich zugänglich sind. Amazon-EC2-Instances können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
T0609	Durchführung der Zugriffsfreigabe auf drahtlose Computer- und Digitalnetze.	elasticsearch-in-vpc-only	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass sich die Domains von Amazon Elasticsearch Service (Amazon ES) innerhalb einer Amazon Virtual Private Cloud (Amazon VPC) befinden. Eine ES-Domain in einer Amazon VPC ermöglicht eine sichere Kommunikation zwischen Amazon ES und anderen Services innerhalb der Amazon VPC, ohne dass ein Internet-Gateway, ein NAT-Gerät oder eine VPN-Verbindung benötigt wird.
T0609	Durchführung der Zugriffsfreigabe auf drahtlose Computer- und Digitalnetze.	emr-master-no-public-ip	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass Amazon EMR-Cluster-Masterknoten nicht öffentlich zugänglich sind. Amazon-EMR-Cluster-Hauptknoten können vertrauliche Informationen enthalten und für solche Konten ist eine Zugriffskontrolle erforderlich.
T0609	Durchführung der Zugriffsfreigabe auf drahtlose Computer- und Digitalnetze.	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) -Sicherheitsgruppen können bei der Verwaltung des Netzwerkzugriffs helfen, indem sie eine statusabhängige Filterung des ein- und ausgehenden Netzwerkverkehrs zu Ressourcen bereitstellen. AWS Wenn Sie eingehenden (oder entfernten) Datenverkehr von 0.0.0.0/0 bis Port 22 auf Ihren Ressourcen nicht zulassen, können Sie den Remote-Zugriff einschränken.
T0609	Durchführung der Zugriffsfreigabe auf drahtlose Computer- und Digitalnetze.	ec2-instances-in-vpc	Stellen Sie Amazon Elastic Compute Cloud (Amazon EC2-)Instances innerhalb einer Amazon Virtual Private Cloud (Amazon VPC) bereit, um eine sichere Kommunikation zwischen einer Instance und anderen Services innerhalb der Amazon-VPC zu ermöglichen, ohne dass ein Internet-Gateway, ein NAT-Gerät oder eine VPN-Verbindung erforderlich ist. Der gesamte Datenverkehr bleibt sicher in der Cloud. AWS Domains, die sich innerhalb einer VPC befinden, verfügen aufgrund ihrer logischen Isolierung im Vergleich zu Domains mit öffentlichen Endpunkten über eine zusätzliche Sicherheitsebene. Weisen Sie Amazon-EC2-Instances einer Amazon VPC zu, um den Zugriff ordnungsgemäß zu verwalten.
T0609	Durchführung der Zugriffsfreigabe auf drahtlose Computer- und Digitalnetze.	lambda-function-public-access-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass AWS Lambda-Funktionen nicht öffentlich zugänglich sind. Der öffentliche Zugriff kann möglicherweise die Verfügbarkeit von Ressourcen beeinträchtigen.
T0609	Durchführung der Zugriffsfreigabe auf drahtlose Computer- und Digitalnetze.	lambda-inside-vpc	Stellen Sie AWS Lambda-Funktionen in einer Amazon Virtual Private Cloud (Amazon VPC) bereit, um eine sichere Kommunikation zwischen einer Funktion und anderen Diensten innerhalb der Amazon VPC zu gewährleisten. Bei dieser Konfiguration sind kein Internet-Gateway, kein NAT-Gerät und keine VPN-Verbindung erforderlich. Der gesamte Datenverkehr bleibt sicher in der Cloud. AWS Domains, die sich innerhalb einer VPC befinden, verfügen aufgrund ihrer logischen Isolierung im Vergleich zu Domains mit öffentlichen Endpunkten über eine zusätzliche Sicherheitsebene. Um den Zugriff ordnungsgemäß zu verwalten, sollten AWS Lambda-Funktionen einer VPC zugewiesen werden.
T0609	Durchführung der Zugriffsfreigabe auf drahtlose Computer- und Digitalnetze.	no-unrestricted-route-to-igw	Stellen Sie sicher, dass Amazon-EC2-Routing-Tabellen keine uneingeschränkten Routen zu einem Internet-Gateway enthalten. Das Entfernen oder Beschränken des Internetzugangs für Workloads innerhalb von Amazon VPCs kann unbeabsichtigte Zugriffe in Ihrer Umgebung reduzieren.
T0609	Durchführung der Zugriffsfreigabe auf drahtlose Computer- und Digitalnetze.	rds-instance-public-access-check	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Relational Database Service (Amazon RDS) -Instances nicht öffentlich sind. Amazon-RDS-Datenbank-Instances können vertrauliche Informationen enthalten und für solche Konten sind Prinzipien und Zugriffskontrollen erforderlich.
T0609	Durchführung der Zugriffsfreigabe auf drahtlose Computer- und Digitalnetze.	rds-snapshots-public-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Relational Database Service (Amazon RDS) -Instances nicht öffentlich sind. Amazon-RDS-Datenbank-Instances können vertrauliche Informationen enthalten und für solche Konten sind Prinzipien und Zugriffskontrollen erforderlich.
T0609	Durchführung der Zugriffsfreigabe auf drahtlose Computer- und Digitalnetze.	redshift-cluster-public-access-check	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Redshift Redshift-Cluster nicht öffentlich sind. Amazon-Redshift-Cluster können vertrauliche Informationen enthalten und für solche Konten sind Prinzipien und Zugriffskontrollen erforderlich.
T0609	Durchführung der Zugriffsfreigabe auf drahtlose Computer- und Digitalnetze.	redshift-enhanced-vpc-routing-enabled	Mit Enhanced-VPC-Routing wird erzwungen, dass der gesamte COPY- und UNLOAD-Datenverkehr zwischen Ihrem Cluster und Datenrepositorys über Ihre Amazon VPC erfolgt. Anschließend können Sie VPC-Features wie Sicherheitsgruppen und Netzwerkzugriffskontrolllisten verwenden, um den Netzwerkverkehr zu schützen. Sie können auch VPC-Flow-Logs verwenden, um den Netzwerkverkehr zu überwachen.
T0609	Durchführung der Zugriffsfreigabe auf drahtlose Computer- und Digitalnetze.	restricted-common-ports	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass gemeinsame Ports für Amazon Elastic Compute Cloud (Amazon EC2) -Sicherheitsgruppen eingeschränkt sind. Wenn der Zugriff auf Ports nicht auf vertrauenswürdige Quellen beschränkt wird, kann dies zu Angriffen auf die Verfügbarkeit, Integrität und Vertraulichkeit von Systemen führen. Mit dieser Regel können Sie optional die Parameter blockedPort1–blockedPort5 festlegen (Standardkonfigurationen: 20, 21, 3389, 3306, 4333). Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
T0609	Durchführung der Zugriffsfreigabe auf drahtlose Computer- und Digitalnetze.	s3-account-level-public-access-blocks-periodic	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Simple Storage Service (Amazon S3) -Buckets nicht öffentlich zugänglich sind. Diese Regel trägt dazu bei, sensible Daten vor unbefugten Remote-Benutzern zu schützen, indem sie den öffentlichen Zugriff verhindert. Mit dieser Regel können Sie optional die Parameter ignorePublicAcls (Config Default: True), blockPublicPolicy (Config Default: True), blockPublicAcls (Config Default: True) und restrictPublicBuckets Parameter (Config Default: True) festlegen. Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
T0609	Durchführung der Zugriffsfreigabe auf drahtlose Computer- und Digitalnetze.	s3-bucket-public-read-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie nur autorisierten Benutzern, Prozessen und Geräten Zugriff auf Amazon Simple Storage Service (Amazon S3) -Buckets gewähren. Die Verwaltung des Zugriffs sollte mit der Klassifizierung der Daten übereinstimmen.
T0609	Durchführung der Zugriffsfreigabe auf drahtlose Computer- und Digitalnetze.	s3-bucket-public-write-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie nur autorisierten Benutzern, Prozessen und Geräten Zugriff auf Amazon Simple Storage Service (Amazon S3) -Buckets gewähren. Die Verwaltung des Zugriffs sollte mit der Klassifizierung der Daten übereinstimmen.
T0609	Durchführung der Zugriffsfreigabe auf drahtlose Computer- und Digitalnetze.	sagemaker-notebook-no-direct-internet-access	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass SageMaker Amazon-Notebooks keinen direkten Internetzugang zulassen. Indem Sie direkten Internetzugang blockieren, vermeiden Sie, dass unbefugte Benutzer auf sensible Daten zugreifen.
T0609	Durchführung der Zugriffsfreigabe auf drahtlose Computer- und Digitalnetze.	vpc-default-security-group-closed	Sicherheitsgruppen von Amazon Elastic Compute Cloud (Amazon EC2) können bei der Verwaltung des Netzwerkzugriffs helfen, indem sie eine statusbehaftete Filterung des ein- und ausgehenden Netzwerkverkehrs zu Ressourcen bereitstellen. AWS Die Beschränkung des gesamten Datenverkehrs in der Standardsicherheitsgruppe hilft dabei, den Fernzugriff auf Ihre Ressourcen einzuschränken. AWS
T0609	Durchführung der Zugriffsfreigabe auf drahtlose Computer- und Digitalnetze.	vpc-sg-open-only-to-authorized-ports	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass gemeinsame Ports für Amazon Elastic Compute Cloud (Amazon EC2) -Sicherheitsgruppen eingeschränkt sind. Wenn der Zugriff auf Ports nicht auf vertrauenswürdige Quellen beschränkt wird, kann dies zu Angriffen auf die Verfügbarkeit, Integrität und Vertraulichkeit von Systemen führen. Durch die Beschränkung des Zugriffs auf Ressourcen innerhalb einer Sicherheitsgruppe aus dem Internet (0.0.0.0/0) kann der Fernzugriff auf interne Systeme gesteuert werden.
T0609	Durchführung der Zugriffsfreigabe auf drahtlose Computer- und Digitalnetze.	opensearch-in-vpc-only	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass sich die Domains von Amazon Elasticsearch Service (Amazon ES) innerhalb einer Amazon Virtual Private Cloud (Amazon VPC) befinden. Eine ES-Domain in einer Amazon VPC ermöglicht eine sichere Kommunikation zwischen Amazon ES und anderen Services innerhalb der Amazon VPC, ohne dass ein Internet-Gateway, ein NAT-Gerät oder eine VPN-Verbindung benötigt wird.
T0609	Durchführung der Zugriffsfreigabe auf drahtlose Computer- und Digitalnetze.	s3-bucket-level-public-access-prohibited	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Amazon Simple Storage Service (Amazon S3) -Buckets nicht öffentlich zugänglich sind. Diese Regel trägt dazu bei, sensible Daten vor unbefugten Remote-Benutzern zu schützen, indem sie den öffentlichen Zugriff auf Bucket-Ebene verhindert.
T0609	Durchführung der Zugriffsfreigabe auf drahtlose Computer- und Digitalnetze.	subnet-auto-assign-public-ip-disabled	Verwalten Sie den Zugriff auf die AWS Cloud, indem Sie sicherstellen, dass Amazon Virtual Private Cloud (VPC) -Subnetzen nicht automatisch eine öffentliche IP-Adresse zugewiesen wird. Bei Amazon-Elastic-Compute-Cloud (EC2)-Instances, die in Subnetzen gestartet werden, in denen dieses Attribut aktiviert ist, wird der primären Netzwerkschnittstelle eine öffentliche IP-Adresse zugewiesen.
T0616	Durchführung von Netzwerk-Scouting und Schwachstellenanalysen von Systemen innerhalb eines Netzwerks.	guardduty-enabled-centralized	Amazon GuardDuty kann mithilfe von Threat Intelligence Feeds helfen, potenzielle Cybersicherheitsereignisse zu überwachen und zu erkennen. Dazu gehören Listen bösartiger IP-Adressen und maschinelles Lernen zur Identifizierung unerwarteter, nicht autorisierter und bösartiger Aktivitäten in Ihrer AWS Cloud-Umgebung.
T0686	Identifizieren von Bedrohungs-Schwachstellen.	ec2-managedinstance-patch-compliance-status-check	Aktivieren Sie diese Regel, um Amazon Elastic Compute Cloud (Amazon EC2)-Schwachstellen zu identifizieren und zu dokumentieren. Die Regel prüft, ob die Amazon EC2 EC2-Instance die Patch-Konformität im AWS Systems Manager gemäß den Richtlinien und Verfahren Ihres Unternehmens einhält.
T0686	Identifizieren von Bedrohungs-Schwachstellen.	guardduty-enabled-centralized	Amazon GuardDuty kann mithilfe von Threat Intelligence Feeds helfen, potenzielle Cybersicherheitsereignisse zu überwachen und zu erkennen. Dazu gehören Listen bösartiger IP-Adressen und maschinelles Lernen zur Identifizierung unerwarteter, nicht autorisierter und bösartiger Aktivitäten in Ihrer AWS Cloud-Umgebung.
T0706	Sammeln Sie Informationen über Netzwerke mithilfe herkömmlicher und alternativer Techniken (z. B. Analyse sozialer Netzwerke, Anrufverkettung, Verkehrsanalyse).	cw-loggroup-retention-period-check	Stellen Sie sicher, dass die Ereignisprotokolldaten für Ihre Protokollgruppen über eine Mindestdauer aufbewahrt werden, um die Fehlerbehebung und forensische Untersuchungen zu unterstützen. Fehlende frühere Ereignisprotokolldaten erschweren die Rekonstruierung und Identifizierung potenziell schädlicher Ereignisse.
T0706	Sammeln Sie Informationen über Netzwerke mithilfe herkömmlicher und alternativer Techniken (z. B. Analyse sozialer Netzwerke, Anrufverkettung, Verkehrsanalyse).	elasticsearch-logs-to-cloudwatch	Stellen Sie sicher, dass für Amazon Elasticsearch Service-Domains Fehlerprotokolle aktiviert und zur Aufbewahrung und Beantwortung an Amazon CloudWatch Logs gestreamt werden. Domain-Fehlerprotokolle sind bei Sicherheits- und Zugriffsprüfungen sowie bei der Diagnose von Verfügbarkeitsproblemen nützlich.
T0706	Sammeln Sie Informationen über Netzwerke mithilfe herkömmlicher und alternativer Techniken (z. B. Analyse sozialer Netzwerke, Anrufverkettung, Verkehrsanalyse).	lambda-concurrency-check	Diese Regel stellt sicher, dass die Höchst- und Untergrenzen für die Gleichzeitigkeit einer Lambda-Funktion festgelegt werden. Dies kann Sie beim Baselining für die Anzahl der Anforderungen unterstützen, die Ihre Funktion zu einem bestimmten Zeitpunkt verarbeitet.
T0706	Sammeln Sie Informationen über Netzwerke mithilfe herkömmlicher und alternativer Techniken (z. B. Analyse sozialer Netzwerke, Anrufverkettung, Verkehrsanalyse).	lambda-dlq-check	Aktivieren Sie diese Regel, um das entsprechende Personal über Amazon Simple Queue Service (Amazon SQS) oder Amazon Simple Notiﬁcation Service (Amazon SNS) zu benachrichtigen, wenn eine Funktion ausgefallen ist.
T0706	Sammeln Sie Informationen über Netzwerke mithilfe herkömmlicher und alternativer Techniken (z. B. Analyse sozialer Netzwerke, Anrufverkettung, Verkehrsanalyse).	multi-region-cloudtrail-enabled	AWS CloudTrail zeichnet Aktionen und API-Aufrufe der AWS Management Console auf. Sie können feststellen, welche Benutzer und Konten angerufen wurden AWS, von welcher Quell-IP-Adresse aus die Anrufe getätigt wurden und wann die Anrufe erfolgten. CloudTrail übermittelt Protokolldateien aus allen AWS Regionen an Ihren S3-Bucket, wenn MULTI_REGION_CLOUD_TRAIL_ENABLED aktiviert ist. Außerdem wird beim AWS Start einer neuen Region derselbe Trail in der neuen Region erstellt. CloudTrail Dadurch erhalten Sie automatisch Protokolldateien mit API-Aktivitäten für die neue Region.
T0706	Sammeln Sie Informationen über Netzwerke mithilfe herkömmlicher und alternativer Techniken (z. B. Analyse sozialer Netzwerke, Anrufverkettung, Verkehrsanalyse).	rds-enhanced-monitoring-enabled	Aktivieren Sie Amazon Relational Database Service (Amazon RDS), um die Verfügbarkeit von Amazon RDS zu überwachen. Dies bietet einen detaillierten Einblick in den Zustand Ihrer Amazon-RDS-Datenbank-Instances. Wenn der Amazon-RDS-Speicher mehr als ein zugrunde liegendes physisches Gerät verwendet, erfasst Enhanced Monitoring die Daten für jedes Gerät. Wenn die Datenbank-Instance von Amazon RDS in einer Multi-AZ-Bereitstellung ausgeführt wird, werden außerdem die Daten für jedes Gerät auf dem sekundären Host sowie die Metriken des sekundären Hosts erfasst.
T0706	Sammeln Sie Informationen über Netzwerke mithilfe herkömmlicher und alternativer Techniken (z. B. Analyse sozialer Netzwerke, Anrufverkettung, Verkehrsanalyse).	rds-logging-enabled	Um die Protokollierung und Überwachung in Ihrer Umgebung zu erleichtern, stellen Sie sicher, dass die Amazon Relational Database Service (Amazon RDS)-Protokollierung aktiviert ist. Mit der Amazon-RDS-Protokollierung können Sie Ereignisse wie Verbindungen, Verbindungsabbrüche, Abfragen oder abgefragte Tabellen erfassen.
T0706	Sammeln Sie Informationen über Netzwerke mithilfe herkömmlicher und alternativer Techniken (z. B. Analyse sozialer Netzwerke, Anrufverkettung, Verkehrsanalyse).	securityhub-enabled	AWS Security Hub hilft bei der Überwachung von unbefugtem Personal, Verbindungen, Geräten und Software. AWS Security Hub aggregiert, organisiert und priorisiert die Sicherheitswarnungen oder Ergebnisse mehrerer Dienste. AWS Einige dieser Dienste sind Amazon Security Hub, Amazon Inspector, Amazon Macie, AWS Identity and Access Management (IAM) Access Analyzer und AWS Firewall Manager sowie AWS Partnerlösungen.
T0706	Sammeln Sie Informationen über Netzwerke mithilfe herkömmlicher und alternativer Techniken (z. B. Analyse sozialer Netzwerke, Anrufverkettung, Verkehrsanalyse).	wafv2-logging-enabled	Um die Protokollierung und Überwachung in Ihrer Umgebung zu erleichtern, aktivieren Sie die AWS WAF (V2) -Protokollierung auf regionalen und globalen Web-ACLs. AWS Die WAF-Protokollierung bietet detaillierte Informationen über den Datenverkehr, der von Ihrer Web-ACL analysiert wird. In den Protokollen werden die Uhrzeit aufgezeichnet, zu der die AWS WAF die Anfrage von Ihrer AWS Ressource erhalten hat, Informationen über die Anfrage und eine Aktion für die Regel, der jede Anfrage entsprach.
T0706	Sammeln Sie Informationen über Netzwerke mithilfe herkömmlicher und alternativer Techniken (z. B. Analyse sozialer Netzwerke, Anrufverkettung, Verkehrsanalyse).	api-gw-execution-logging-enabled	Die API-Gateway-Protokollierung zeigt detaillierte Ansichten der Benutzer, die auf die API zugegriffen haben, und wie diese Benutzer auf die API zugegriffen haben. Diese Insights ermöglichen die Einsicht in Benutzeraktivitäten.
T0706	Sammeln Sie Informationen über Netzwerke mithilfe herkömmlicher und alternativer Techniken (z. B. Analyse sozialer Netzwerke, Anrufverkettung, Verkehrsanalyse).	autoscaling-group-elb-healthcheck-required	Die Integritätsprüfungen des Elastic Load Balancer (ELB) für Auto Scaling-Gruppen in Amazon Elastic Compute Cloud (Amazon EC2) unterstützen die Aufrechterhaltung einer angemessenen Kapazität und Verfügbarkeit. Der Load Balancer sendet periodisch Pings, unternimmt Verbindungsversuche oder sendet Anfragen zum Testen des Zustands von EC2-Instances in einer Auto-Scaling-Gruppe. Wenn eine Instance nichts zurückmeldet, wird der Datenverkehr an eine neue Amazon-EC2-Instance gesendet.
T0706	Sammeln Sie Informationen über Netzwerke mithilfe herkömmlicher und alternativer Techniken (z. B. Analyse sozialer Netzwerke, Anrufverkettung, Verkehrsanalyse).	beanstalk-enhanced-health-reporting-enabled	AWS Die verbesserte Zustandsberichterstattung von Elastic Beanstalk ermöglicht eine schnellere Reaktion auf Veränderungen im Zustand der zugrunde liegenden Infrastruktur. Diese Änderungen könnten zu einer mangelnden Verfügbarkeit der Anwendung führen. Die erweiterten Zustandsberichte von Elastic Beanstalk bieten eine Statusbeschreibung, um den Schweregrad der identifizierten Probleme einzuschätzen und mögliche Ursachen zu identifizieren, die untersucht werden müssen.
T0706	Sammeln Sie Informationen über Netzwerke mithilfe herkömmlicher und alternativer Techniken (z. B. Analyse sozialer Netzwerke, Anrufverkettung, Verkehrsanalyse).	cloud-trail-cloud-watch-logs-enabled	Verwenden Sie Amazon CloudWatch , um Protokollereignisaktivitäten zentral zu sammeln und zu verwalten. Die Aufnahme von AWS CloudTrail Daten liefert Einzelheiten zu den API-Aufrufaktivitäten in Ihrem AWS-Konto.
T0706	Sammeln Sie Informationen über Netzwerke mithilfe herkömmlicher und alternativer Techniken (z. B. Analyse sozialer Netzwerke, Anrufverkettung, Verkehrsanalyse).	cloudtrail-enabled	AWS CloudTrail kann durch die Aufzeichnung AWS von Aktionen und API-Aufrufen in der Management Console helfen, die Ablehnung zu verhindern. Sie können die Benutzer und die Benutzer AWS-Konten , die einen AWS Dienst aufgerufen haben, die Quell-IP-Adresse, über die die Aufrufe generiert wurden, und den Zeitpunkt der Anrufe identifizieren. Einzelheiten zu den erfassten Daten finden Sie in den AWS CloudTrail Datensatzinhalten.
T0706	Sammeln Sie Informationen über Netzwerke mithilfe herkömmlicher und alternativer Techniken (z. B. Analyse sozialer Netzwerke, Anrufverkettung, Verkehrsanalyse).	cloudtrail-s3-dataevents-enabled	Die Erfassung von Simple Storage Service (Amazon S3)-Datenereignissen unterstützt die Erkennung von ungewöhnlichen Aktivitäten. Zu den Details gehören Informationen zu dem AWS -Konto, das auf einen Amazon-S3-Bucket zugegriffen hat, die IP-Adresse und die Uhrzeit des Ereignisses.
T0706	Sammeln Sie Informationen über Netzwerke mithilfe herkömmlicher und alternativer Techniken (z. B. Analyse sozialer Netzwerke, Anrufverkettung, Verkehrsanalyse).	cloudwatch-alarm-action-check	Amazon CloudWatch alarmiert, wenn eine Metrik den Schwellenwert für eine bestimmte Anzahl von Bewertungszeiträumen überschreitet. Der Alarm führt eine oder mehrere Aktionen durch, die vom Wert der Metrik oder des Ausdrucks im Vergleich zu einem Schwellenwert in einer Reihe von Zeiträumen abhängt. Diese Regel erfordert einen Wert für alarmActionRequired (Config Default: True), insufficientDataAction Required (Config Default: True), okActionRequired (Config Default: False). Der tatsächliche Wert muss die Alarmaktionen für Ihre Umgebung widerspiegeln.
T0706	Sammeln Sie Informationen über Netzwerke mithilfe herkömmlicher und alternativer Techniken (z. B. Analyse sozialer Netzwerke, Anrufverkettung, Verkehrsanalyse).	dynamodb-throughput-limit-check	Aktivieren Sie diese Regel, um sicherzustellen, dass die bereitgestellte Durchsatzkapazität in Ihren Amazon-DynamoDB-Tabellen überprüft wird. Dies ist der Umfang der Lese- und Schreibaktivitäten, der von den jeweiligen Tabellen unterstützt werden kann. DynamoDB verwendet diese Informationen für das Reservieren ausreichender Systemressourcen, um Ihren Durchsatzanforderungen gerecht zu werden. Diese Regel generiert eine Warnung, wenn sich der Durchsatz dem Höchstlimit für ein Kundenkonto nähert. Mit dieser Regel können Sie optional die Parameter AccountRCU ThresholdPercentage (Config Default: 80) und AccountWCU ThresholdPercentage (Config Default: 80) festlegen. Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
T0706	Sammeln Sie Informationen über Netzwerke mithilfe herkömmlicher und alternativer Techniken (z. B. Analyse sozialer Netzwerke, Anrufverkettung, Verkehrsanalyse).	ec2-instance-detailed-monitoring-enabled	Aktivieren Sie diese Regel, um die Überwachung der Amazon Elastic Compute Cloud (Amazon-EC2)-Instance in der Amazon-EC2-Konsole zu verbessern. Dort werden Überwachungsdiagramme mit einminütigem Intervall für die Instance angezeigt.
T0706	Sammeln Sie Informationen über Netzwerke mithilfe herkömmlicher und alternativer Techniken (z. B. Analyse sozialer Netzwerke, Anrufverkettung, Verkehrsanalyse).	elb-logging-enabled	Die Elastic-Load-Balancing-Aktivität ist ein zentraler Kommunikationspunkt innerhalb einer Umgebung. Stellen Sie sicher, dass die ELB-Protokollierung aktiviert ist. Die gesammelten Daten enthalten detaillierte Informationen zu Anfragen, die an den ELB gesendet wurden. Jedes Protokoll enthält Informationen wie die Zeit, zu der die Anforderung einging, die Client-IP-Adresse, Latenzen, Anforderungspfade und Serverantworten.
T0706	Sammeln Sie Informationen über Netzwerke mithilfe herkömmlicher und alternativer Techniken (z. B. Analyse sozialer Netzwerke, Anrufverkettung, Verkehrsanalyse).	guardduty-enabled-centralized	Amazon GuardDuty kann mithilfe von Threat Intelligence Feeds helfen, potenzielle Cybersicherheitsereignisse zu überwachen und zu erkennen. Dazu gehören Listen bösartiger IP-Adressen und maschinelles Lernen zur Identifizierung unerwarteter, nicht autorisierter und bösartiger Aktivitäten in Ihrer AWS Cloud-Umgebung.
T0706	Sammeln Sie Informationen über Netzwerke mithilfe herkömmlicher und alternativer Techniken (z. B. Analyse sozialer Netzwerke, Anrufverkettung, Verkehrsanalyse).	redshift-cluster-configuration-check	Um Daten im Ruhezustand zu schützen, muss die Verschlüsselung für Ihre Amazon-Redshift-Cluster aktiviert sein. Sie müssen auch sicherstellen, dass die erforderlichen Konfigurationen auf Amazon-Redshift-Clustern bereitgestellt werden. Die Prüfungsprotokollierung muss aktiviert sein, um Informationen zu Verbindungen und Benutzeraktivitäten in der Datenbank bereitzustellen. Diese Regel erfordert, dass ein Wert für clusterDbEncrypted (Config Default: TRUE) und LoggingEnabled (Config Default: TRUE) gesetzt ist. Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
T0706	Sammeln Sie Informationen über Netzwerke mithilfe herkömmlicher und alternativer Techniken (z. B. Analyse sozialer Netzwerke, Anrufverkettung, Verkehrsanalyse).	s3-bucket-logging-enabled	Die Amazon Simple Storage Service (Amazon S3)-Serverzugriffsprotokollierung bietet eine Methode zur Überwachung des Netzwerks im Hinblick auf potenzielle Cybersicherheitsereignisse. Die Ereignisse werden überwacht, indem detaillierte Aufzeichnungen über die Anfragen erfasst werden, die an einen Amazon-S3-Bucket gestellt wurden. Jeder Zugriffsprotokolleintrag enthält Details zu einer einzelnen Zugriffsanfrage. Zu den Details gehören Anforderer, Bucket-Name, Anforderungszeit, Anforderungsaktion, Antwortstatus und Fehlercode, falls relevant.
T0706	Sammeln Sie Informationen über Netzwerke mithilfe herkömmlicher und alternativer Techniken (z. B. Analyse sozialer Netzwerke, Anrufverkettung, Verkehrsanalyse).	vpc-flow-logs-enabled	VPC-Flow-Protokolle erfassen detaillierte Informationsdatensätze über den IP-Datenverkehr, der zu und von Netzwerkschnittstellen in Ihrer Amazon Virtual Private Cloud (Amazon VPC) fließt. Standardmäßig enthalten Flow-Protokolldatensätze Werte für die verschiedenen Komponenten des IP-Flows, einschließlich Quelle, Ziel und Protokoll.
T0777	Profile von Netzwerk- oder Systemadministratoren und deren Tätigkeiten.	guardduty-enabled-centralized	Amazon GuardDuty kann mithilfe von Threat Intelligence Feeds helfen, potenzielle Cybersicherheitsereignisse zu überwachen und zu erkennen. Dazu gehören Listen bösartiger IP-Adressen und maschinelles Lernen zur Identifizierung unerwarteter, nicht autorisierter und bösartiger Aktivitäten in Ihrer AWS Cloud-Umgebung.
T0805	Meldung nachrichtendienstlich ermittelter signifikanter Netzwerkereignisse und Eindringlinge.	guardduty-enabled-centralized	Amazon GuardDuty kann mithilfe von Threat Intelligence Feeds helfen, potenzielle Cybersicherheitsereignisse zu überwachen und zu erkennen. Dazu gehören Listen bösartiger IP-Adressen und maschinelles Lernen zur Identifizierung unerwarteter, nicht autorisierter und bösartiger Aktivitäten in Ihrer AWS Cloud-Umgebung.
T0877	Zusammenarbeit mit den zuständigen Organisationseinheiten bei der Überwachung der Zugangsrechte zu Verbraucherinformationen	ec2-instance-profile-attached	EC2-Instance-Profile übergeben eine IAM-Rolle an eine EC2-Instance. Das Anhängen eines Instance-Profils an Ihre Instances kann bei der Implementierung von geringsten Berechtigungen und der Berechtigungsverwaltung helfen.
T0877	Zusammenarbeit mit den zuständigen Organisationseinheiten bei der Überwachung der Zugangsrechte zu Verbraucherinformationen	ecs-task-definition-user-for-host-mode-check	Wenn für eine Aufgabendefinition erhöhte Berechtigungen gelten, liegt das daran, dass der Kunde diesen Konfigurationen ausdrücklich zugestimmt hat. Diese Kontrolle prüft, ob eine unerwartete Berechtigungseskalation vorliegt, wenn für eine Aufgabendefinition das Host-Netzwerk aktiviert ist, die Kunden aber keine erhöhten Berechtigungen aktiviert haben.
T0877	Zusammenarbeit mit den zuständigen Organisationseinheiten bei der Überwachung der Zugangsrechte zu Verbraucherinformationen	iam-no-inline-policy-check	Stellen Sie sicher, dass ein Benutzer, eine IAM-Rolle oder eine IAM-Gruppe ( AWS Identity and Access Management) nicht über eine Inline-Richtlinie zur Zugriffskontrolle auf Systeme und Ressourcen verfügt. AWS empfiehlt, verwaltete Richtlinien anstelle von Inline-Richtlinien zu verwenden. Verwaltete Richtlinien ermöglichen Wiederverwendbarkeit, Versionsverwaltung, Rollback und Delegierung der Berechtigungsverwaltung.
T0877	Zusammenarbeit mit den zuständigen Organisationseinheiten bei der Überwachung der Zugangsrechte zu Verbraucherinformationen	iam-policy-no-statements-with-full-access	Stellen Sie sicher, dass IAM-Aktionen nur auf die benötigten Aktionen beschränkt sind. Wenn Benutzern mehr Rechte eingeräumt werden, als für die Ausführung einer Aufgabe erforderlich sind, kann dies gegen das Prinzip der geringsten Rechte und der Aufgabentrennung verstoßen.
T0877	Zusammenarbeit mit den zuständigen Organisationseinheiten bei der Überwachung der Zugangsrechte zu Verbraucherinformationen	ssm-document-not-public	Stellen Sie sicher, dass AWS Systems Manager (SSM) -Dokumente nicht öffentlich sind, da dies einen unbeabsichtigten Zugriff auf Ihre SSM-Dokumente ermöglichen kann. Ein öffentliches SSM-Dokument kann Informationen über Ihr Konto, Ihre Ressourcen und internen Prozesse preisgeben.
T0877	Zusammenarbeit mit den zuständigen Organisationseinheiten bei der Überwachung der Zugangsrechte zu Verbraucherinformationen	emr-kerberos-enabled	Die Zugriffsberechtigungen und -autorisierungen können verwaltet und nach den Prinzipien der geringsten Berechtigung und Aufgabentrennung integriert werden, indem Kerberos für Amazon-EMR-Cluster aktiviert wird. In Kerberos werden Services und Benutzer, die sich authentifizieren müssen, als Prinzipale bezeichnet. Prinzipale befinden sich in einem Kerberos-Bereich. Innerhalb dieses Bereichs wird ein Kerberos-Server als Key Distribution Center (KDC) bezeichnet. Über diesen Server können sich Prinzipale authentifizieren. Die Authentifizierung im KDC erfolgt durch die Ausstellung von Authentifizierungstickets. Das KDC unterhält eine Datenbank der Prinzipale in seinem Bereich mit ihren Passwörtern und anderen administrativen Informationen zu jedem Prinzipal.
T0877	Zusammenarbeit mit den zuständigen Organisationseinheiten bei der Überwachung der Zugangsrechte zu Verbraucherinformationen	iam-group-has-users-check	AWS Identity and Access Management (IAM) kann Ihnen helfen, die Prinzipien der geringsten Rechte und der Aufgabentrennung mit Zugriffsberechtigungen und Autorisierungen zu integrieren, indem sichergestellt wird, dass IAM-Gruppen mindestens einen Benutzer haben. Die Einteilung von Benutzern in Gruppen auf der Grundlage der ihnen zugewiesenen Berechtigungen oder ihrer Funktion ist eine Möglichkeit, das Prinzip der geringsten Berechtigung zu implementieren.
T0877	Zusammenarbeit mit den zuständigen Organisationseinheiten bei der Überwachung der Zugangsrechte zu Verbraucherinformationen	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) kann Ihnen dabei helfen, die Prinzipien der geringsten Rechte und der Aufgabentrennung in Zugriffsberechtigungen und Autorisierungen zu integrieren und so zu verhindern, dass Richtlinien „Effect“: „Allow“ mit „Action“: „“ anstelle von „Resource“: „“ enthalten. Wenn Benutzern mehr Rechte eingeräumt werden, als für die Ausführung einer Aufgabe erforderlich sind, kann dies gegen das Prinzip der geringsten Berechtigung und der Aufgabentrennung verstoßen.
T0877	Zusammenarbeit mit den zuständigen Organisationseinheiten bei der Überwachung der Zugangsrechte zu Verbraucherinformationen	iam-user-group-membership-check	AWS Identity and Access Management (IAM) kann Ihnen helfen, Zugriffsberechtigungen und Autorisierungen einzuschränken, indem sichergestellt wird, dass Benutzer Mitglieder mindestens einer Gruppe sind. Wenn Benutzern mehr Berechtigungen eingeräumt werden, als für die Ausführung einer Aufgabe erforderlich sind, kann dies gegen das Prinzip der geringsten Berechtigung und Aufgabentrennung verstoßen.
T0877	Zusammenarbeit mit den zuständigen Organisationseinheiten bei der Überwachung der Zugangsrechte zu Verbraucherinformationen	iam-user-no-policies-check	Diese Regel stellt sicher, dass AWS Identity and Access Management (IAM) -Richtlinien nur Gruppen oder Rollen zugewiesen werden, um den Zugriff auf Systeme und Ressourcen zu kontrollieren. Die Zuweisung von Berechtigungen auf Gruppen- oder Rollenebene trägt dazu bei, die Wahrscheinlichkeit zu verringern, dass eine Identität übermäßige Berechtigungen erhält oder beibehält.
T0877	Zusammenarbeit mit den zuständigen Organisationseinheiten bei der Überwachung der Zugangsrechte zu Verbraucherinformationen	restricted-common-ports	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass gemeinsame Ports für Amazon Elastic Compute Cloud (Amazon EC2) -Sicherheitsgruppen eingeschränkt sind. Wenn der Zugriff auf Ports nicht auf vertrauenswürdige Quellen beschränkt wird, kann dies zu Angriffen auf die Verfügbarkeit, Integrität und Vertraulichkeit von Systemen führen. Mit dieser Regel können Sie optional die Parameter blockedPort1–blockedPort5 festlegen (Standardkonfigurationen: 20, 21, 3389, 3306, 4333). Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
T0935	Durchführung einer Risikobewertung der Informationssicherheit.	annual-risk-assessment-performed (Prozessprüfung)	Führen Sie eine jährliche Risikobewertung für Ihre Organisation durch. Risikowertungen können dabei helfen, die Wahrscheinlichkeit und Auswirkungen identifizierter Risiken und/oder Schwachstellen für eine Organisation zu ermitteln.
T0960	Überwachung von Änderungen an einem System und seiner Betriebsumgebung.	lambda-concurrency-check	Diese Regel stellt sicher, dass die Höchst- und Untergrenzen für die Gleichzeitigkeit einer Lambda-Funktion festgelegt werden. Dies kann Sie beim Baselining für die Anzahl der Anforderungen unterstützen, die Ihre Funktion zu einem bestimmten Zeitpunkt verarbeitet.
T0960	Überwachung von Änderungen an einem System und seiner Betriebsumgebung.	lambda-dlq-check	Aktivieren Sie diese Regel, um das entsprechende Personal über Amazon Simple Queue Service (Amazon SQS) oder Amazon Simple Notiﬁcation Service (Amazon SNS) zu benachrichtigen, wenn eine Funktion ausgefallen ist.
T0960	Überwachung von Änderungen an einem System und seiner Betriebsumgebung.	rds-enhanced-monitoring-enabled	Aktivieren Sie Amazon Relational Database Service (Amazon RDS), um die Verfügbarkeit von Amazon RDS zu überwachen. Dies bietet einen detaillierten Einblick in den Zustand Ihrer Amazon-RDS-Datenbank-Instances. Wenn der Amazon-RDS-Speicher mehr als ein zugrunde liegendes physisches Gerät verwendet, erfasst Enhanced Monitoring die Daten für jedes Gerät. Wenn die Datenbank-Instance von Amazon RDS in einer Multi-AZ-Bereitstellung ausgeführt wird, werden außerdem die Daten für jedes Gerät auf dem sekundären Host sowie die Metriken des sekundären Hosts erfasst.
T0960	Überwachung von Änderungen an einem System und seiner Betriebsumgebung.	autoscaling-group-elb-healthcheck-required	Die Integritätsprüfungen des Elastic Load Balancer (ELB) für Auto Scaling-Gruppen in Amazon Elastic Compute Cloud (Amazon EC2) unterstützen die Aufrechterhaltung einer angemessenen Kapazität und Verfügbarkeit. Der Load Balancer sendet periodisch Pings, unternimmt Verbindungsversuche oder sendet Anfragen zum Testen des Zustands von EC2-Instances in einer Auto-Scaling-Gruppe. Wenn eine Instance nichts zurückmeldet, wird der Datenverkehr an eine neue Amazon-EC2-Instance gesendet.
T0960	Überwachung von Änderungen an einem System und seiner Betriebsumgebung.	beanstalk-enhanced-health-reporting-enabled	AWS Die verbesserte Zustandsberichterstattung von Elastic Beanstalk ermöglicht eine schnellere Reaktion auf Veränderungen im Zustand der zugrunde liegenden Infrastruktur. Diese Änderungen könnten zu einer mangelnden Verfügbarkeit der Anwendung führen. Die erweiterten Zustandsberichte von Elastic Beanstalk bieten eine Statusbeschreibung, um den Schweregrad der identifizierten Probleme einzuschätzen und mögliche Ursachen zu identifizieren, die untersucht werden müssen.
T0960	Überwachung von Änderungen an einem System und seiner Betriebsumgebung.	cloudwatch-alarm-action-check	Amazon CloudWatch alarmiert, wenn eine Metrik den Schwellenwert für eine bestimmte Anzahl von Bewertungszeiträumen überschreitet. Der Alarm führt eine oder mehrere Aktionen durch, die vom Wert der Metrik oder des Ausdrucks im Vergleich zu einem Schwellenwert in einer Reihe von Zeiträumen abhängt. Diese Regel erfordert einen Wert für alarmActionRequired (Config Default: True), insufficientDataAction Required (Config Default: True), okActionRequired (Config Default: False). Der tatsächliche Wert muss die Alarmaktionen für Ihre Umgebung widerspiegeln.
T0960	Überwachung von Änderungen an einem System und seiner Betriebsumgebung.	dynamodb-throughput-limit-check	Aktivieren Sie diese Regel, um sicherzustellen, dass die bereitgestellte Durchsatzkapazität in Ihren Amazon-DynamoDB-Tabellen überprüft wird. Dies ist der Umfang der Lese- und Schreibaktivitäten, der von den jeweiligen Tabellen unterstützt werden kann. DynamoDB verwendet diese Informationen für das Reservieren ausreichender Systemressourcen, um Ihren Durchsatzanforderungen gerecht zu werden. Diese Regel generiert eine Warnung, wenn sich der Durchsatz dem Höchstlimit für ein Kundenkonto nähert. Mit dieser Regel können Sie optional die Parameter AccountRCU ThresholdPercentage (Config Default: 80) und AccountWCU ThresholdPercentage (Config Default: 80) festlegen. Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
T0960	Überwachung von Änderungen an einem System und seiner Betriebsumgebung.	ec2-instance-detailed-monitoring-enabled	Aktivieren Sie diese Regel, um die Überwachung der Amazon Elastic Compute Cloud (Amazon-EC2)-Instance in der Amazon-EC2-Konsole zu verbessern. Dort werden Überwachungsdiagramme mit einminütigem Intervall für die Instance angezeigt.
T0992	Legen Sie fest, wie die Ergebnisse der kontinuierlichen Überwachung bei der laufenden Genehmigung verwendet werden sollen.	ec2-instance-profile-attached	EC2-Instance-Profile übergeben eine IAM-Rolle an eine EC2-Instance. Das Anhängen eines Instance-Profils an Ihre Instances kann bei der Implementierung von geringsten Berechtigungen und der Berechtigungsverwaltung helfen.
T0992	Legen Sie fest, wie die Ergebnisse der kontinuierlichen Überwachung bei der laufenden Genehmigung verwendet werden sollen.	ecs-task-definition-user-for-host-mode-check	Wenn für eine Aufgabendefinition erhöhte Berechtigungen gelten, liegt das daran, dass der Kunde diesen Konfigurationen ausdrücklich zugestimmt hat. Diese Kontrolle prüft, ob eine unerwartete Berechtigungseskalation vorliegt, wenn für eine Aufgabendefinition das Host-Netzwerk aktiviert ist, die Kunden aber keine erhöhten Berechtigungen aktiviert haben.
T0992	Legen Sie fest, wie die Ergebnisse der kontinuierlichen Überwachung bei der laufenden Genehmigung verwendet werden sollen.	iam-no-inline-policy-check	Stellen Sie sicher, dass ein Benutzer, eine IAM-Rolle oder eine IAM-Gruppe ( AWS Identity and Access Management) nicht über eine Inline-Richtlinie zur Zugriffskontrolle auf Systeme und Ressourcen verfügt. AWS empfiehlt, verwaltete Richtlinien anstelle von Inline-Richtlinien zu verwenden. Verwaltete Richtlinien ermöglichen Wiederverwendbarkeit, Versionsverwaltung, Rollback und Delegierung der Berechtigungsverwaltung.
T0992	Legen Sie fest, wie die Ergebnisse der kontinuierlichen Überwachung bei der laufenden Genehmigung verwendet werden sollen.	iam-policy-no-statements-with-full-access	Stellen Sie sicher, dass IAM-Aktionen nur auf die benötigten Aktionen beschränkt sind. Wenn Benutzern mehr Rechte eingeräumt werden, als für die Ausführung einer Aufgabe erforderlich sind, kann dies gegen das Prinzip der geringsten Rechte und der Aufgabentrennung verstoßen.
T0992	Legen Sie fest, wie die Ergebnisse der kontinuierlichen Überwachung bei der laufenden Genehmigung verwendet werden sollen.	access-keys-rotated	Die Anmeldeinformationen für autorisierte Geräte, Benutzer und Prozesse werden geprüft, indem sichergestellt wird, dass die IAM-Zugriffsschlüssel entsprechend den Vorgaben der Unternehmensrichtlinie rotiert werden. Das regelmäßige Ändern der Zugriffsschlüssel ist eine bewährte Sicherheitsmethode. Es verkürzt den Zeitraum, in dem ein Zugriffsschlüssel aktiv ist, und reduziert die Auswirkungen auf das Unternehmen, wenn die Schlüssel kompromittiert werden. Diese Regel erfordert einen Wert für die Zugriffsschlüssel-Rotation (Standardkonfiguration: 90). Der tatsächliche Wert muss den Richtlinien Ihrer Organisation entsprechen.
T0992	Legen Sie fest, wie die Ergebnisse der kontinuierlichen Überwachung bei der laufenden Genehmigung verwendet werden sollen.	emr-kerberos-enabled	Die Zugriffsberechtigungen und -autorisierungen können verwaltet und nach den Prinzipien der geringsten Berechtigung und Aufgabentrennung integriert werden, indem Kerberos für Amazon-EMR-Cluster aktiviert wird. In Kerberos werden Services und Benutzer, die sich authentifizieren müssen, als Prinzipale bezeichnet. Prinzipale befinden sich in einem Kerberos-Bereich. Innerhalb dieses Bereichs wird ein Kerberos-Server als Key Distribution Center (KDC) bezeichnet. Über diesen Server können sich Prinzipale authentifizieren. Die Authentifizierung im KDC erfolgt durch die Ausstellung von Authentifizierungstickets. Das KDC unterhält eine Datenbank der Prinzipale in seinem Bereich mit ihren Passwörtern und anderen administrativen Informationen zu jedem Prinzipal.
T0992	Legen Sie fest, wie die Ergebnisse der kontinuierlichen Überwachung bei der laufenden Genehmigung verwendet werden sollen.	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) kann Ihnen helfen, die Prinzipien der geringsten Rechte und der Aufgabentrennung in Zugriffsberechtigungen und Autorisierungen zu integrieren und so zu verhindern, dass Richtlinien blockierte Aktionen für alle AWS Schlüssel des Key Management Service enthalten. Wenn Benutzer mehr Rechte haben, als für die Ausführung einer Aufgabe erforderlich sind, kann dies gegen das Prinzip der geringsten Berechtigung und Aufgabentrennung verstoßen. Mit dieser Regel können Sie den Parameter festlegen. blockedActionsPatterns (Wert AWS für bewährte Sicherheitsmethoden: kms:Decrypt, kms: From). ReEncrypt Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
T0992	Legen Sie fest, wie die Ergebnisse der kontinuierlichen Überwachung bei der laufenden Genehmigung verwendet werden sollen.	iam-group-has-users-check	AWS Identity and Access Management (IAM) kann Ihnen helfen, die Prinzipien der geringsten Rechte und der Aufgabentrennung mit Zugriffsberechtigungen und Autorisierungen zu integrieren, indem sichergestellt wird, dass IAM-Gruppen mindestens einen Benutzer haben. Die Einteilung von Benutzern in Gruppen auf der Grundlage der ihnen zugewiesenen Berechtigungen oder ihrer Funktion ist eine Möglichkeit, das Prinzip der geringsten Berechtigung zu implementieren.
T0992	Legen Sie fest, wie die Ergebnisse der kontinuierlichen Überwachung bei der laufenden Genehmigung verwendet werden sollen.	iam-inline-policy-blocked-kms-actions	Stellen Sie sicher, dass ein Benutzer, eine IAM-Rolle oder eine IAM-Gruppe ( AWS Identity and Access Management) nicht über eine Inline-Richtlinie verfügt, die blockierte Aktionen für alle AWS Schlüssel des Key Management Service zulässt. AWS empfiehlt, verwaltete Richtlinien anstelle von Inline-Richtlinien zu verwenden. Verwaltete Richtlinien ermöglichen Wiederverwendbarkeit, Versionsverwaltung, Rollback und Delegierung der Berechtigungsverwaltung. Mit dieser Regel können Sie den blockedActionsPatterns Parameter festlegen. (Wert AWS für bewährte Sicherheitsmethoden: kms:Decrypt, kms: From). ReEncrypt Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
T0992	Legen Sie fest, wie die Ergebnisse der kontinuierlichen Überwachung bei der laufenden Genehmigung verwendet werden sollen.	iam-password-policy	Die Identitäten und Anmeldeinformationen werden auf der Grundlage einer organisatorischen IAM-Passwortrichtlinie ausgestellt, verwaltet und verifiziert. Sie erfüllen oder übertreffen die Anforderungen, die von NIST SP 800-63 und dem Standard „Best Practices“ von AWS Foundation Security in Bezug auf die Passwortstärke festgelegt wurden. Mit dieser Regel können Sie optional RequireUppercaseCharacters (Wert für AWS grundlegende Sicherheitsbewährte Methoden: wahr), RequireLowercaseCharacters (Wert für bewährte Methoden für AWS grundlegende Sicherheit: wahr), RequireSymbols (Wert für bewährte Methoden für AWS grundlegende Sicherheit: wahr), RequireNumbers (Wert für bewährte Methoden für AWS grundlegende Sicherheit: wahr), MinimumPasswordLength (Wert für bewährte Methoden für AWS grundlegende Sicherheit: 14), PasswordReusePrevention (Wert für bewährte Methoden für AWS grundlegende Sicherheit: 24) und MaxPasswordAge (Wert für bewährte Methoden für AWS grundlegende Sicherheit: 90) für Ihr IAM festlegen Kennwortrichtlinie. Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
T0992	Legen Sie fest, wie die Ergebnisse der kontinuierlichen Überwachung bei der laufenden Genehmigung verwendet werden sollen.	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) kann Ihnen dabei helfen, die Prinzipien der geringsten Rechte und der Aufgabentrennung in Zugriffsberechtigungen und Autorisierungen zu integrieren und so zu verhindern, dass Richtlinien „Effect“: „Allow“ mit „Action“: „“ anstelle von „Resource“: „“ enthalten. Wenn Benutzern mehr Rechte eingeräumt werden, als für die Ausführung einer Aufgabe erforderlich sind, kann dies gegen das Prinzip der geringsten Berechtigung und der Aufgabentrennung verstoßen.
T0992	Legen Sie fest, wie die Ergebnisse der kontinuierlichen Überwachung bei der laufenden Genehmigung verwendet werden sollen.	iam-root-access-key-check	Der Zugriff auf Systeme und Ressourcen kann gesteuert werden, indem überprüft wird, ob der Root-Benutzer keine Zugriffsschlüssel mit seiner AWS Identity and Access Management (IAM) -Rolle verknüpft hat. Stellen Sie sicher, dass die Root-Zugriffsschlüssel gelöscht werden. Erstellen und verwenden Sie stattdessen rollenbasierte Funktionen, AWS-Konten um das Prinzip der geringsten Funktionalität zu berücksichtigen.
T0992	Legen Sie fest, wie die Ergebnisse der kontinuierlichen Überwachung bei der laufenden Genehmigung verwendet werden sollen.	iam-user-group-membership-check	AWS Identity and Access Management (IAM) kann Ihnen helfen, Zugriffsberechtigungen und Autorisierungen einzuschränken, indem sichergestellt wird, dass Benutzer Mitglieder mindestens einer Gruppe sind. Wenn Benutzern mehr Berechtigungen eingeräumt werden, als für die Ausführung einer Aufgabe erforderlich sind, kann dies gegen das Prinzip der geringsten Berechtigung und Aufgabentrennung verstoßen.
T0992	Legen Sie fest, wie die Ergebnisse der kontinuierlichen Überwachung bei der laufenden Genehmigung verwendet werden sollen.	iam-user-mfa-enabled	Aktivieren Sie diese Regel, um den Zugriff auf Ressourcen in der AWS -Cloud einzuschränken. Diese Regel stellt sicher, dass die Multi-Faktor-Authentifizierung (MFA) für alle Benutzer aktiviert ist. MFA bietet eine weitere Schutzebene zusätzlich zum Benutzernamen und Passwort. Reduzieren Sie Fälle von kompromittierten Konten, indem Sie MFA für Benutzer vorschreiben.
T0992	Legen Sie fest, wie die Ergebnisse der kontinuierlichen Überwachung bei der laufenden Genehmigung verwendet werden sollen.	iam-user-no-policies-check	Diese Regel stellt sicher, dass AWS Identity and Access Management (IAM) -Richtlinien nur Gruppen oder Rollen zugewiesen werden, um den Zugriff auf Systeme und Ressourcen zu kontrollieren. Die Zuweisung von Berechtigungen auf Gruppen- oder Rollenebene trägt dazu bei, die Wahrscheinlichkeit zu verringern, dass eine Identität übermäßige Berechtigungen erhält oder beibehält.
T0992	Legen Sie fest, wie die Ergebnisse der kontinuierlichen Überwachung bei der laufenden Genehmigung verwendet werden sollen.	iam-user-unused-credentials-check	AWS Identity and Access Management (IAM) kann Ihnen bei Zugriffsberechtigungen und Autorisierungen helfen, indem es nach IAM-Passwörtern und Zugriffsschlüsseln sucht, die für einen bestimmten Zeitraum nicht verwendet wurden. Wenn ungenutzte Anmeldeinformationen identifiziert werden, müssen Sie sie deaktivieren und/oder entfernen, da dies gegen das Prinzip der geringsten Berechtigung verstoßen könnte. Für diese Regel müssen Sie einen Wert für das maxCredentialUsage Alter festlegen (Standardkonfiguration: 90). Der tatsächliche Wert muss den Richtlinien Ihrer Organisation entsprechen.
T0992	Legen Sie fest, wie die Ergebnisse der kontinuierlichen Überwachung bei der laufenden Genehmigung verwendet werden sollen.	mfa-enabled-for-iam-console-access	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass MFA für alle AWS Identity and Access Management (IAM) -Benutzer aktiviert ist, die über ein Konsolenkennwort verfügen. MFA sorgt für eine weitere Schutzebene zusätzlich zu den Anmeldeinformationen. Indem Sie MFA für Benutzer vorschreiben, können Sie Fälle kompromittierter Konten reduzieren und verhindern, dass unbefugte Benutzer auf vertrauliche Daten zugreifen.
T0992	Legen Sie fest, wie die Ergebnisse der kontinuierlichen Überwachung bei der laufenden Genehmigung verwendet werden sollen.	root-account-hardware-mfa-enabled	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Hardware-MFA für den Root-Benutzer aktiviert ist. Der Stammbenutzer ist der AWS-Konto-Benutzer mit den meisten Berechtigungen. MFA sorgt für eine weitere Schutzebene zusätzlich zu den Anmeldeinformationen. Indem Sie MFA für den Root-Benutzer vorschreiben, können Sie die Anzahl AWS-Konten kompromittierter Benutzer reduzieren.
T0992	Legen Sie fest, wie die Ergebnisse der kontinuierlichen Überwachung bei der laufenden Genehmigung verwendet werden sollen.	root-account-mfa-enabled	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass MFA für den Root-Benutzer aktiviert ist. Der Stammbenutzer ist der AWS-Konto-Benutzer mit den meisten Berechtigungen. MFA bietet eine weitere Schutzebene zusätzlich zum Benutzernamen und Passwort. Indem Sie MFA für den Root-Benutzer vorschreiben, können Sie die Anzahl AWS-Konten kompromittierter Benutzer reduzieren.
T0992	Legen Sie fest, wie die Ergebnisse der kontinuierlichen Überwachung bei der laufenden Genehmigung verwendet werden sollen.	secretsmanager-rotation-enabled-check	Diese Regel stellt sicher, dass bei AWS Secrets Manager Manager-Geheimnissen die Rotation aktiviert ist. Die regelmäßige Rotation von Secrets kann den Zeitraum verkürzen, in dem ein Secret aktiv ist, und möglicherweise die Auswirkungen auf das Unternehmen verringern, falls das Secret kompromittiert wird.
T0993	Einrichtung von Verfahren und Verfahren zur kontinuierlichen Überwachung von Tools und Technologien für die Zugangskontrolle	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) kann Ihnen helfen, die Prinzipien der geringsten Rechte und der Aufgabentrennung in Zugriffsberechtigungen und Autorisierungen zu integrieren und so zu verhindern, dass Richtlinien blockierte Aktionen für alle AWS Schlüssel des Key Management Service enthalten. Wenn Benutzer mehr Rechte haben, als für die Ausführung einer Aufgabe erforderlich sind, kann dies gegen das Prinzip der geringsten Berechtigung und Aufgabentrennung verstoßen. Mit dieser Regel können Sie den Parameter festlegen. blockedActionsPatterns (Wert AWS für bewährte Sicherheitsmethoden: kms:Decrypt, kms: From). ReEncrypt Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
T0993	Einrichtung von Verfahren und Verfahren zur kontinuierlichen Überwachung von Tools und Technologien für die Zugangskontrolle	iam-group-has-users-check	AWS Identity and Access Management (IAM) kann Ihnen helfen, die Prinzipien der geringsten Rechte und der Aufgabentrennung mit Zugriffsberechtigungen und Autorisierungen zu integrieren, indem sichergestellt wird, dass IAM-Gruppen mindestens einen Benutzer haben. Die Einteilung von Benutzern in Gruppen auf der Grundlage der ihnen zugewiesenen Berechtigungen oder ihrer Funktion ist eine Möglichkeit, das Prinzip der geringsten Berechtigung zu implementieren.
T0993	Einrichtung von Verfahren und Verfahren zur kontinuierlichen Überwachung von Tools und Technologien für die Zugangskontrolle	iam-inline-policy-blocked-kms-actions	Stellen Sie sicher, dass ein Benutzer, eine IAM-Rolle oder eine IAM-Gruppe ( AWS Identity and Access Management) nicht über eine Inline-Richtlinie verfügt, die blockierte Aktionen für alle AWS Schlüssel des Key Management Service zulässt. AWS empfiehlt, verwaltete Richtlinien anstelle von Inline-Richtlinien zu verwenden. Verwaltete Richtlinien ermöglichen Wiederverwendbarkeit, Versionsverwaltung, Rollback und Delegierung der Berechtigungsverwaltung. Mit dieser Regel können Sie den blockedActionsPatterns Parameter festlegen. (Wert AWS für bewährte Sicherheitsmethoden: kms:Decrypt, kms: From). ReEncrypt Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
T0993	Einrichtung von Verfahren und Verfahren zur kontinuierlichen Überwachung von Tools und Technologien für die Zugangskontrolle	iam-no-inline-policy-check	Stellen Sie sicher, dass ein Benutzer, eine IAM-Rolle oder eine IAM-Gruppe ( AWS Identity and Access Management) nicht über eine Inline-Richtlinie zur Zugriffskontrolle auf Systeme und Ressourcen verfügt. AWS empfiehlt, verwaltete Richtlinien anstelle von Inline-Richtlinien zu verwenden. Verwaltete Richtlinien ermöglichen Wiederverwendbarkeit, Versionsverwaltung, Rollback und Delegierung der Berechtigungsverwaltung.
T0993	Einrichtung von Verfahren und Verfahren zur kontinuierlichen Überwachung von Tools und Technologien für die Zugangskontrolle	iam-password-policy	Die Identitäten und Anmeldeinformationen werden auf der Grundlage einer organisatorischen IAM-Passwortrichtlinie ausgestellt, verwaltet und verifiziert. Sie erfüllen oder übertreffen die Anforderungen von NIST SP 800-63 und dem Standard „Best Practices“ von AWS Foundational Security für die Passwortstärke. Mit dieser Regel können Sie optional RequireUppercaseCharacters (Wert für AWS grundlegende Sicherheitsbewährte Methoden: wahr), RequireLowercaseCharacters (Wert für bewährte Methoden für AWS grundlegende Sicherheit: wahr), RequireSymbols (Wert für bewährte Methoden für AWS grundlegende Sicherheit: wahr), RequireNumbers (Wert für bewährte Methoden für AWS grundlegende Sicherheit: wahr), MinimumPasswordLength (Wert für bewährte Methoden für AWS grundlegende Sicherheit: 14), PasswordReusePrevention (Wert für bewährte Methoden für AWS grundlegende Sicherheit: 24) und MaxPasswordAge (Wert für bewährte Methoden für AWS grundlegende Sicherheit: 90) für Ihr IAM festlegen Kennwortrichtlinie. Die tatsächlichen Werte müssen den Richtlinien Ihrer Organisation entsprechen.
T0993	Einrichtung von Verfahren und Verfahren zur kontinuierlichen Überwachung von Tools und Technologien für die Zugangskontrolle	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) kann Ihnen dabei helfen, die Prinzipien der geringsten Rechte und der Aufgabentrennung in Zugriffsberechtigungen und Autorisierungen zu integrieren und so zu verhindern, dass Richtlinien „Effect“: „Allow“ mit „Action“: „“ anstelle von „Resource“: „“ enthalten. Wenn Benutzern mehr Rechte eingeräumt werden, als für die Ausführung einer Aufgabe erforderlich sind, kann dies gegen das Prinzip der geringsten Berechtigung und der Aufgabentrennung verstoßen.
T0993	Einrichtung von Verfahren und Verfahren zur kontinuierlichen Überwachung von Tools und Technologien für die Zugangskontrolle	iam-policy-no-statements-with-full-access	Stellen Sie sicher, dass IAM-Aktionen nur auf die benötigten Aktionen beschränkt sind. Wenn Benutzern mehr Rechte eingeräumt werden, als für die Ausführung einer Aufgabe erforderlich sind, kann dies gegen das Prinzip der geringsten Rechte und der Aufgabentrennung verstoßen.
T0993	Einrichtung von Verfahren und Verfahren zur kontinuierlichen Überwachung von Tools und Technologien für die Zugangskontrolle	iam-root-access-key-check	Der Zugriff auf Systeme und Ressourcen kann gesteuert werden, indem überprüft wird, ob der Root-Benutzer keine Zugriffsschlüssel mit seiner AWS Identity and Access Management (IAM) -Rolle verknüpft hat. Stellen Sie sicher, dass die Root-Zugriffsschlüssel gelöscht werden. Erstellen und verwenden Sie stattdessen rollenbasierte Funktionen, AWS-Konten um das Prinzip der geringsten Funktionalität zu berücksichtigen.
T0993	Einrichtung von Verfahren und Verfahren zur kontinuierlichen Überwachung von Tools und Technologien für die Zugangskontrolle	iam-user-group-membership-check	AWS Identity and Access Management (IAM) kann Ihnen helfen, Zugriffsberechtigungen und Autorisierungen einzuschränken, indem sichergestellt wird, dass Benutzer Mitglieder mindestens einer Gruppe sind. Wenn Benutzern mehr Berechtigungen eingeräumt werden, als für die Ausführung einer Aufgabe erforderlich sind, kann dies gegen das Prinzip der geringsten Berechtigung und Aufgabentrennung verstoßen.
T0993	Einrichtung von Verfahren und Verfahren zur kontinuierlichen Überwachung von Tools und Technologien für die Zugangskontrolle	iam-user-no-policies-check	Diese Regel stellt sicher, dass AWS Identity and Access Management (IAM) -Richtlinien nur Gruppen oder Rollen zugewiesen werden, um den Zugriff auf Systeme und Ressourcen zu kontrollieren. Die Zuweisung von Berechtigungen auf Gruppen- oder Rollenebene trägt dazu bei, die Wahrscheinlichkeit zu verringern, dass eine Identität übermäßige Berechtigungen erhält oder beibehält.
T0993	Einrichtung von Verfahren und Verfahren zur kontinuierlichen Überwachung von Tools und Technologien für die Zugangskontrolle	iam-user-unused-credentials-check	AWS Identity and Access Management (IAM) kann Ihnen bei Zugriffsberechtigungen und Autorisierungen helfen, indem es nach IAM-Passwörtern und Zugriffsschlüsseln sucht, die für einen bestimmten Zeitraum nicht verwendet wurden. Wenn ungenutzte Anmeldeinformationen identifiziert werden, müssen Sie sie deaktivieren und/oder entfernen, da dies gegen das Prinzip der geringsten Berechtigung verstoßen könnte. Für diese Regel müssen Sie einen Wert für das maxCredentialUsage Alter festlegen (Standardkonfiguration: 90). Der tatsächliche Wert muss den Richtlinien Ihrer Organisation entsprechen.
T0993	Einrichtung von Verfahren und Verfahren zur kontinuierlichen Überwachung von Tools und Technologien für die Zugangskontrolle	mfa-enabled-for-iam-console-access	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass MFA für alle AWS Identity and Access Management (IAM) -Benutzer aktiviert ist, die über ein Konsolenkennwort verfügen. MFA sorgt für eine weitere Schutzebene zusätzlich zu den Anmeldeinformationen. Indem Sie MFA für Benutzer vorschreiben, können Sie Fälle kompromittierter Konten reduzieren und verhindern, dass unbefugte Benutzer auf vertrauliche Daten zugreifen.
T0993	Einrichtung von Verfahren und Verfahren zur kontinuierlichen Überwachung von Tools und Technologien für die Zugangskontrolle	iam-user-mfa-enabled	Aktivieren Sie diese Regel, um den Zugriff auf Ressourcen in der AWS -Cloud einzuschränken. Diese Regel stellt sicher, dass die Multi-Faktor-Authentifizierung (MFA) für alle Benutzer aktiviert ist. MFA bietet eine weitere Schutzebene zusätzlich zum Benutzernamen und Passwort. Reduzieren Sie Fälle von kompromittierten Konten, indem Sie MFA für Benutzer vorschreiben.
T0993	Einrichtung von Verfahren und Verfahren zur kontinuierlichen Überwachung von Tools und Technologien für die Zugangskontrolle	root-account-hardware-mfa-enabled	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass Hardware-MFA für den Root-Benutzer aktiviert ist. Der Stammbenutzer ist der AWS-Konto-Benutzer mit den meisten Berechtigungen. MFA sorgt für eine weitere Schutzebene zusätzlich zu den Anmeldeinformationen. Indem Sie MFA für den Root-Benutzer vorschreiben, können Sie die Anzahl AWS-Konten kompromittierter Benutzer reduzieren.
T0993	Einrichtung von Verfahren und Verfahren zur kontinuierlichen Überwachung von Tools und Technologien für die Zugangskontrolle	root-account-mfa-enabled	Verwalten Sie den Zugriff auf Ressourcen in der AWS Cloud, indem Sie sicherstellen, dass MFA für den Root-Benutzer aktiviert ist. Der Stammbenutzer ist der AWS-Konto-Benutzer mit den meisten Berechtigungen. MFA bietet eine weitere Schutzebene zusätzlich zum Benutzernamen und Passwort. Indem Sie MFA für den Root-Benutzer vorschreiben, können Sie die Anzahl AWS-Konten kompromittierter Benutzer reduzieren.

Vorlage

Die Vorlage ist verfügbar unter GitHub: Operational Best Practices for NIST 800 181.

Warnung JavaScript ist in Ihrem Browser nicht verfügbar oder deaktiviert.

Zur Nutzung der AWS-Dokumentation muss JavaScript aktiviert sein. Weitere Informationen finden auf den Hilfe-Seiten Ihres Browsers.

Dokumentkonventionen

Bewährte Methoden für die Ausführung von NIST 800 172

Bewährte Methoden für die Ausführung von NIST 1800 25