Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
CIS AWS Maßstab für Stiftungen
Der AWS Foundations Benchmark des Center for Internet Security (CIS) dient als Sammlung von bewährten Methoden zur Sicherheitskonfiguration für AWS. Diese branchenweit anerkannten Best Practices bieten Ihnen klare step-by-step Implementierungs- und Bewertungsverfahren. Die Kontrollen in diesem Benchmark reichen von Betriebssystemen über Cloud-Dienste bis hin zu Netzwerkgeräten und helfen Ihnen dabei, die spezifischen Systeme zu schützen, die Ihr Unternehmen verwendet.
AWS Security Hub unterstützt CIS AWS Foundations Benchmark v3.0.0, 1.4.0 und v1.2.0.
Diese Seite listet die Sicherheitskontrollen auf, die jede Version unterstützt, und bietet einen Vergleich der Versionen.
CIS AWS Benchmark für Grundlagen v3.0.0
Security Hub unterstützt Version 3.0.0 des CIS AWS Foundations Benchmark.
Security Hub hat die Anforderungen der CIS Sicherheitssoftware-Zertifizierung erfüllt und wurde für die folgenden CIS Benchmarks mit der CIS Sicherheitssoftware-Zertifizierung ausgezeichnet:
-
CISBenchmark for CIS AWS Foundations Benchmark, v3.0.0, Stufe 1
-
CISBenchmark für CIS AWS Stiftungen Benchmark, v3.0.0, Stufe 2
Kontrollen, die für CIS AWS Foundations Benchmark v3.0.0 gelten
[Konto.1] Sicherheitskontaktinformationen sollten bereitgestellt werden für AWS-Konto
[CloudTrail.2] CloudTrail sollte die Verschlüsselung im Ruhezustand aktiviert haben
[CloudTrail.4] Die Überprüfung der CloudTrail Protokolldatei sollte aktiviert sein
[EC2.6] Die VPC Flow-Protokollierung sollte in allen aktiviert sein VPCs
[EC2.7] Die EBS Standardverschlüsselung sollte aktiviert sein
[EC2.8] EC2 Instances sollten Instance Metadata Service Version 2 () IMDSv2 verwenden
[EC2.21] Das Netzwerk ACLs sollte keinen Zugriff von 0.0.0.0/0 auf Port 22 oder Port 3389 zulassen
[IAM.2] IAM Benutzern sollten keine IAM Richtlinien angehängt werden
[IAM.3] IAM Die Zugangsschlüssel der Benutzer sollten alle 90 Tage oder weniger gewechselt werden
[IAM.4] Der IAM Root-Benutzerzugriffsschlüssel sollte nicht existieren
[IAM.5] MFA sollte für alle IAM Benutzer aktiviert sein, die ein Konsolenpasswort haben
[IAM.6] Die Hardware MFA sollte für den Root-Benutzer aktiviert sein
[IAM.9] MFA sollte für den Root-Benutzer aktiviert sein
[IAM.22] IAM Benutzeranmeldedaten, die 45 Tage lang nicht verwendet wurden, sollten entfernt werden
[IAM.26] AbgelaufeneSSL//In verwaltete TLS Zertifikate IAM sollten entfernt werden
[IAM.27] IAM Identitäten sollte die Richtlinie nicht beigefügt sein AWSCloudShellFullAccess
[IAM.28] IAM Der externe Access Analyzer von Access Analyzer sollte aktiviert sein
[KMS.4] AWS KMS Die Schlüsselrotation sollte aktiviert sein
[RDS.3] Für RDS DB-Instances sollte die Verschlüsselung im Ruhezustand aktiviert sein
[RDS.13] RDS Automatische Upgrades für kleinere Versionen sollten aktiviert sein
[S3.5] Für S3-Allzweck-Buckets sollten Nutzungsanfragen erforderlich sein SSL
[S3.8] S3-Allzweck-Buckets sollten den öffentlichen Zugriff blockieren
[S3.20] Für S3-Allzweck-Buckets sollte die Option Löschen aktiviert sein MFA
[S3.22] S3-Allzweck-Buckets sollten Schreibereignisse auf Objektebene protokollieren
[S3.23] S3-Allzweck-Buckets sollten Leseereignisse auf Objektebene protokollieren
CIS AWS Benchmark für Stiftungen v1.4.0
Security Hub unterstützt Version 1.4.0 des CIS AWS Foundations Benchmark.
Kontrollen, die für CIS AWS Foundations Benchmark v1.4.0 gelten
[CloudTrail.2] CloudTrail sollte die Verschlüsselung im Ruhezustand aktiviert haben
[CloudTrail.4] Die Überprüfung der CloudTrail Protokolldatei sollte aktiviert sein
[CloudTrail.5] CloudTrail Trails sollten in Amazon CloudWatch Logs integriert werden
[EC2.6] Die VPC Flow-Protokollierung sollte in allen aktiviert sein VPCs
[EC2.7] Die EBS Standardverschlüsselung sollte aktiviert sein
[EC2.21] Das Netzwerk ACLs sollte keinen Zugriff von 0.0.0.0/0 auf Port 22 oder Port 3389 zulassen
[IAM.1] IAM Richtlinien sollten keine vollen „*“ -Administratorrechte zulassen
[IAM.3] IAM Die Zugangsschlüssel der Benutzer sollten alle 90 Tage oder weniger gewechselt werden
[IAM.4] Der IAM Root-Benutzerzugriffsschlüssel sollte nicht existieren
[IAM.5] MFA sollte für alle IAM Benutzer aktiviert sein, die ein Konsolenpasswort haben
[IAM.6] Die Hardware MFA sollte für den Root-Benutzer aktiviert sein
[IAM.9] MFA sollte für den Root-Benutzer aktiviert sein
[IAM.22] IAM Benutzeranmeldedaten, die 45 Tage lang nicht verwendet wurden, sollten entfernt werden
[KMS.4] AWS KMS Die Schlüsselrotation sollte aktiviert sein
[RDS.3] Für RDS DB-Instances sollte die Verschlüsselung im Ruhezustand aktiviert sein
[S3.5] Für S3-Allzweck-Buckets sollten Nutzungsanfragen erforderlich sein SSL
[S3.8] S3-Allzweck-Buckets sollten den öffentlichen Zugriff blockieren
[S3.20] Für S3-Allzweck-Buckets sollte die Option Löschen aktiviert sein MFA
Benchmark v1.2.0 der AWS Grundlagen des Zentrums für Internetsicherheit (CIS)
Security Hub unterstützt Version 1.2.0 des CIS AWS Foundations Benchmark.
Security Hub hat die Anforderungen der CIS Sicherheitssoftware-Zertifizierung erfüllt und wurde für die folgenden CIS Benchmarks mit der CIS Sicherheitssoftware-Zertifizierung ausgezeichnet:
-
CISBenchmark for CIS AWS Foundations Benchmark, v1.2.0, Stufe 1
-
CISBenchmark für CIS AWS Stiftungen Benchmark, v1.2.0, Stufe 2
Kontrollen, die für CIS AWS Foundations Benchmark v1.2.0 gelten
[CloudTrail.2] CloudTrail sollte die Verschlüsselung im Ruhezustand aktiviert haben
[CloudTrail.4] Die Überprüfung der CloudTrail Protokolldatei sollte aktiviert sein
[CloudTrail.5] CloudTrail Trails sollten in Amazon CloudWatch Logs integriert werden
[EC2.6] Die VPC Flow-Protokollierung sollte in allen aktiviert sein VPCs
[EC2.13] Sicherheitsgruppen sollten keinen Zugang von 0.0.0.0/0 oder: :/0 zu Port 22 zulassen
[EC2.14] Sicherheitsgruppen sollten keinen Zugriff von 0.0.0.0/0 oder: :/0 auf Port 3389 zulassen
[IAM.1] IAM Richtlinien sollten keine vollen „*“ -Administratorrechte zulassen
[IAM.2] IAM Benutzern sollten keine IAM Richtlinien angehängt werden
[IAM.3] IAM Die Zugangsschlüssel der Benutzer sollten alle 90 Tage oder weniger gewechselt werden
[IAM.4] Der IAM Root-Benutzerzugriffsschlüssel sollte nicht existieren
[IAM.5] MFA sollte für alle IAM Benutzer aktiviert sein, die ein Konsolenpasswort haben
[IAM.6] Die Hardware MFA sollte für den Root-Benutzer aktiviert sein
[IAM.8] Unbenutzte IAM Benutzeranmeldedaten sollten entfernt werden
[IAM.9] MFA sollte für den Root-Benutzer aktiviert sein
[IAM.14] Stellen Sie sicher, dass die IAM Passwortrichtlinie mindestens eine Zahl erfordert
[KMS.4] AWS KMS Die Schlüsselrotation sollte aktiviert sein
Versionsvergleich für CIS AWS Foundations Benchmark
In diesem Abschnitt werden die Unterschiede zwischen den Center for Internet Security (CIS) AWS Foundations Benchmark v3.0.0, v1.4.0 und v1.2.0 zusammengefasst.
Security Hub unterstützt jede dieser Versionen des CIS AWS Foundations Benchmark, wir empfehlen jedoch, Version 3.0.0 zu verwenden, um über bewährte Sicherheitsmethoden auf dem Laufenden zu bleiben. Sie können mehrere Versionen des Standards gleichzeitig aktivieren. Anweisungen zur Aktivierung von Standards finden Sie unterAktivierung eines Sicherheitsstandards in Security Hub. Wenn Sie ein Upgrade auf Version 3.0.0 durchführen möchten, aktivieren Sie diese Version am besten zuerst, bevor Sie eine ältere Version deaktivieren. Wenn Sie die Security Hub Hub-Integration mit verwenden AWS Organizations , um mehrere Konten zentral zu verwalten, AWS-Konten und Sie v3.0.0 für alle Konten stapelweise aktivieren möchten, können Sie die zentrale Konfiguration verwenden.
Zuordnung der Kontrollen zu den CIS Anforderungen in jeder Version
Verstehen Sie, welche Kontrollen jede Version des CIS AWS Foundations Benchmark unterstützt.
| Kontroll-ID und Titel | CISv3.0.0-Anforderung | CISv1.4.0-Anforderung | CISAnforderung v1.2.0 |
|---|---|---|---|
|
[Konto.1] Sicherheitskontaktinformationen sollten bereitgestellt werden für AWS-Konto |
1.2 |
1.2 |
1.18 |
|
3.1 |
3.1 |
2.1 |
|
|
[CloudTrail.2] CloudTrail sollte die Verschlüsselung im Ruhezustand aktiviert haben |
3.5 |
3.7 |
2.7 |
|
[CloudTrail.4] Die Überprüfung der CloudTrail Protokolldatei sollte aktiviert sein |
3.2 |
3.2 |
2.2 |
|
[CloudTrail.5] CloudTrail Trails sollten in Amazon CloudWatch Logs integriert werden |
Nicht unterstützt — diese CIS Anforderung wurde entfernt |
3.4 |
2.4 |
|
Nicht unterstützt — diese Anforderung CIS wurde entfernt |
3.3 |
2.3 |
|
|
3.4 |
3.6 |
2.6 |
|
|
Nicht unterstützt — manuelle Überprüfung |
4.3 |
3.3 |
|
|
Nicht unterstützt — manuelle Überprüfung |
Nicht unterstützt — manuelle Überprüfung |
3.1 |
|
|
Nicht unterstützt — manuelle Überprüfung |
Nicht unterstützt — manuelle Überprüfung |
3.2 |
|
|
Nicht unterstützt — manuelle Überprüfung |
4.4 |
3.4 |
|
|
Nicht unterstützt — manuelle Überprüfung |
4.5 |
3.5 |
|
|
Nicht unterstützt — manuelle Überprüfung |
4.6 |
3.6 |
|
|
Nicht unterstützt — manuelle Überprüfung |
4.7 |
3.7 |
|
|
Nicht unterstützt — manuelle Überprüfung |
4.8 |
3.8 |
|
|
Nicht unterstützt — manuelle Überprüfung |
4,9 bis 4,9 |
3.9 |
|
|
Nicht unterstützt — manuelle Überprüfung |
4.10 |
3,10 |
|
|
Nicht unterstützt — manuelle Überprüfung |
4.11 |
3,11 |
|
|
Nicht unterstützt — manuelle Überprüfung |
4.12 |
3,12 |
|
|
Nicht unterstützt — manuelle Überprüfung |
4.13 |
3.13 |
|
|
Nicht unterstützt — manuelle Überprüfung |
4.14 |
3,14 |
|
|
3.3 |
3.5 |
2.5 |
|
|
5.4 |
5.3 |
4.3 |
|
|
[EC2.6] Die VPC Flow-Protokollierung sollte in allen aktiviert sein VPCs |
3.7 |
3.9 |
2,9 |
|
[EC2.7] Die EBS Standardverschlüsselung sollte aktiviert sein |
2.2.1 |
2.2.1 |
Nicht unterstützt |
|
[EC2.8] EC2 Instances sollten Instance Metadata Service Version 2 () IMDSv2 verwenden |
5.6 |
Nicht unterstützt |
Nicht unterstützt |
|
[EC2.13] Sicherheitsgruppen sollten keinen Zugang von 0.0.0.0/0 oder: :/0 zu Port 22 zulassen |
Nicht unterstützt — ersetzt durch die Anforderungen 5.2 und 5.3 |
Nicht unterstützt — ersetzt durch die Anforderungen 5.2 und 5.3 |
4.1 |
|
[EC2.14] Sicherheitsgruppen sollten keinen Zugriff von 0.0.0.0/0 oder: :/0 auf Port 3389 zulassen |
Nicht unterstützt — ersetzt durch die Anforderungen 5.2 und 5.3 |
Nicht unterstützt — ersetzt durch die Anforderungen 5.2 und 5.3 |
4.2 |
|
[EC2.21] Das Netzwerk ACLs sollte keinen Zugriff von 0.0.0.0/0 auf Port 22 oder Port 3389 zulassen |
5.1 |
5.1 |
Nicht unterstützt |
|
5.2 |
Nicht unterstützt |
Nicht unterstützt |
|
|
5.3 |
Nicht unterstützt |
Nicht unterstützt |
|
|
2.4.1 |
Nicht unterstützt |
Nicht unterstützt |
|
|
[IAM.1] IAM Richtlinien sollten keine vollen „*“ -Administratorrechte zulassen |
Nicht unterstützt |
1.16 |
1,22 |
|
[IAM.2] IAM Benutzern sollten keine IAM Richtlinien angehängt werden |
1.15 |
Nicht unterstützt |
1.16 |
|
[IAM.3] IAM Die Zugangsschlüssel der Benutzer sollten alle 90 Tage oder weniger gewechselt werden |
1.14 |
1.14 |
1.4 |
|
[IAM.4] Der IAM Root-Benutzerzugriffsschlüssel sollte nicht existieren |
1.4 |
1.4 |
1.12 |
|
[IAM.5] MFA sollte für alle IAM Benutzer aktiviert sein, die ein Konsolenpasswort haben |
1.10 |
1.10 |
1.2 |
|
[IAM.6] Die Hardware MFA sollte für den Root-Benutzer aktiviert sein |
1,6 |
1,6 |
1.14 |
|
[IAM.8] Unbenutzte IAM Benutzeranmeldedaten sollten entfernt werden |
Nicht unterstützt — siehe stattdessen [IAM.22] IAM Benutzeranmeldedaten, die 45 Tage lang nicht verwendet wurden, sollten entfernt werden |
Nicht unterstützt — siehe [IAM.22] IAM Benutzeranmeldedaten, die 45 Tage lang nicht verwendet wurden, sollten entfernt werden stattdessen |
1.3 |
|
1.5 |
1.5 |
1.13 |
|
|
Nicht unterstützt — diese Anforderung CIS wurde entfernt |
Nicht unterstützt — diese Anforderung CIS wurde entfernt |
1.5 |
|
|
Nicht unterstützt — diese Anforderung CIS wurde entfernt |
Nicht unterstützt — diese Anforderung CIS wurde entfernt |
1,6 |
|
|
Nicht unterstützt — diese Anforderung CIS wurde entfernt |
Nicht unterstützt — diese Anforderung CIS wurde entfernt |
1,7 |
|
|
[IAM.14] Stellen Sie sicher, dass die IAM Passwortrichtlinie mindestens eine Zahl erfordert |
Nicht unterstützt — diese Anforderung CIS wurde entfernt |
Nicht unterstützt — diese Anforderung CIS wurde entfernt |
1.8 |
|
1.8 |
1.8 |
1.9 |
|
|
1.9 |
1.9 |
1.10 |
|
|
Nicht unterstützt — diese Anforderung CIS wurde entfernt |
Nicht unterstützt — diese Anforderung CIS wurde entfernt |
1.11 |
|
|
1,17 |
1,17 |
1.2 |
|
|
Nicht unterstützt — diese Anforderung CIS wurde entfernt |
Nicht unterstützt — diese Anforderung CIS wurde entfernt |
1.1 |
|
|
[IAM.22] IAM Benutzeranmeldedaten, die 45 Tage lang nicht verwendet wurden, sollten entfernt werden |
1.12 |
1.12 |
Nicht unterstützt — diese Anforderung wurde in späteren Versionen CIS hinzugefügt |
|
[IAM.26] AbgelaufeneSSL//In verwaltete TLS Zertifikate IAM sollten entfernt werden |
1.19 |
Nicht unterstützt — diese Anforderung wurde in späteren Versionen CIS hinzugefügt |
Nicht unterstützt — diese Anforderung wurde in späteren Versionen CIS hinzugefügt |
|
[IAM.27] IAM Identitäten sollte die Richtlinie nicht beigefügt sein AWSCloudShellFullAccess |
1.22 |
Nicht unterstützt — diese Anforderung wurde in späteren Versionen CIS hinzugefügt |
Nicht unterstützt — diese Anforderung wurde in späteren Versionen CIS hinzugefügt |
|
[IAM.28] IAM Der externe Access Analyzer von Access Analyzer sollte aktiviert sein |
1.20 |
Nicht unterstützt — diese Anforderung wurde in späteren Versionen CIS hinzugefügt |
Nicht unterstützt — diese Anforderung wurde in späteren Versionen CIS hinzugefügt |
|
3.6 |
3.8 |
2.8 |
|
|
Nicht unterstützt — manuelle Überprüfung |
Nicht unterstützt — manuelle Überprüfung |
Nicht unterstützt — manuelle Überprüfung |
|
|
2.3.3 |
Nicht unterstützt — diese Anforderung wurde in späteren Versionen CIS hinzugefügt |
Nicht unterstützt — diese Anforderung wurde in späteren Versionen CIS hinzugefügt |
|
|
[RDS.3] Für RDS DB-Instances sollte die Verschlüsselung im Ruhezustand aktiviert sein |
2.3.1 |
2.3.1 |
Nicht unterstützt — diese Anforderung wurde in späteren Versionen CIS hinzugefügt |
|
[RDS.13] RDS Automatische Upgrades für kleinere Versionen sollten aktiviert sein |
2.3.2 |
Nicht unterstützt — diese Anforderung wurde in späteren Versionen CIS hinzugefügt |
Nicht unterstützt — diese Anforderung wurde in späteren Versionen CIS hinzugefügt |
|
2.1.4 |
2.1.5 |
Nicht unterstützt — diese Anforderung wurde in späteren Versionen CIS hinzugefügt |
|
|
[S3.5] Für S3-Allzweck-Buckets sollten Nutzungsanfragen erforderlich sein SSL |
2.1.1 |
2.1.2 |
Nicht unterstützt — diese Anforderung wurde in späteren Versionen CIS hinzugefügt |
|
[S3.8] S3-Allzweck-Buckets sollten den öffentlichen Zugriff blockieren |
2.1.4 |
2.1.5 |
Nicht unterstützt — diese Anforderung wurde in späteren Versionen CIS hinzugefügt |
|
[S3.20] Für S3-Allzweck-Buckets sollte die Option Löschen aktiviert sein MFA |
2.1.2 |
2.1.3 |
Nicht unterstützt — diese Anforderung wurde in späteren Versionen CIS hinzugefügt |
ARNsfür CIS AWS Foundations Benchmark
Wenn Sie eine oder mehrere Versionen von CIS AWS Foundations Benchmark aktivieren, erhalten Sie die Ergebnisse ab sofort im AWS Security Finding Format (ASFF). ASFFIn jeder Version wird der folgende Amazon-Ressourcenname (ARN) verwendet:
- CIS AWS Benchmark für Grundlagen v3.0.0
arn:aws:securityhub:region::standards/cis-aws-foundations-benchmark/v/3.0.0- CIS AWS Benchmark für Stiftungen v1.4.0
arn:aws:securityhub:region::standards/cis-aws-foundations-benchmark/v/1.4.0- CIS AWS Benchmark für Stiftungen v1.2.0
arn:aws:securityhub:::ruleset/cis-aws-foundations-benchmark/v/1.2.0
Sie können das verwenden GetEnabledStandardsBetrieb des Security HubAPI, um herauszufinden, ob ARN ein Standard aktiviert ist.
Die vorherigen Werte sind fürStandardsArn. StandardsSubscriptionArnBezieht sich jedoch auf die Standard-Abonnementressource, die Security Hub erstellt, wenn Sie einen Standard abonnieren, indem Sie BatchEnableStandardsin einer Region.
Anmerkung
Wenn Sie eine Version von CIS AWS Foundations Benchmark aktivieren, kann es bis zu 18 Stunden dauern, bis Security Hub Ergebnisse für Kontrollen generiert, die dieselbe AWS Config serviceverknüpfte Regel verwenden wie aktivierte Kontrollen in anderen aktivierten Standards. Weitere Informationen zum Zeitplan für die Generierung von Kontrollbefunden finden Sie unterZeitplan für die Ausführung von Sicherheitsprüfungen.
Suchfelder unterscheiden sich, wenn Sie konsolidierte Kontrollergebnisse aktivieren. Weitere Informationen zu diesen Unterschieden erhalten Sie unter Auswirkungen der Konsolidierung auf ASFF Felder und Werte. Stichprobenergebnisse aus der Kontrolluntersuchung finden Sie unterErgebnisse der Stichprobenkontrolle in Security Hub.
CISAnforderungen, die in Security Hub nicht unterstützt werden
Wie in der obigen Tabelle erwähnt, unterstützt Security Hub nicht alle CIS Anforderungen in jeder Version des CIS AWS Foundations Benchmark. Viele der nicht unterstützten Anforderungen können nur manuell bewertet werden, indem der Status Ihrer AWS Ressourcen überprüft wird.
