Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Security Hub CSPM-Kontrollen für Amazon CloudFront

Diese AWS Security Hub CSPM Kontrollen bewerten den CloudFront Service und die Ressourcen von Amazon. Die Steuerelemente sind möglicherweise nicht in allen Bereichen verfügbar AWS-Regionen. Weitere Informationen finden Sie unter Verfügbarkeit von Kontrollen nach Regionen.

Bei [CloudFront.1] CloudFront Distributionen sollte ein Standard-Root-Objekt konfiguriert sein

Verwandte Anforderungen: NIST.800-53.r5 SC-7 (11), NIST.800-53.r5 SC-7 (16), PCI DSS v4.0. 1/22.2.6

Kategorie: Schützen > Sichere Zugriffsverwaltung > Ressourcen, die nicht öffentlich zugänglich sind

Schweregrad: Hoch

Art der Ressource: AWS::CloudFront::Distribution

AWS Config -Regel: cloudfront-default-root-object-configured

Zeitplantyp: Änderung ausgelöst

Parameter: Keine

Dieses Steuerelement überprüft, ob eine CloudFront Amazon-Distribution mit S3-Ursprüngen so konfiguriert ist, dass sie ein bestimmtes Objekt zurückgibt, das das Standard-Stammobjekt ist. Die Steuerung schlägt fehl, wenn die CloudFront Distribution S3-Ursprünge verwendet und kein Standard-Root-Objekt konfiguriert ist. Dieses Steuerelement gilt nicht für CloudFront Distributionen, die benutzerdefinierte Ursprünge verwenden.

Manchmal kann es vorkommen, dass ein Benutzer die Stamm-URL der Distribution anstelle eines Objekts in der Distribution anfordert. In diesem Fall können Sie durch die Festlegung eines Standardstammobjekt verhindern, dass die Inhalte Ihrer Web-Verteilung preisgegeben werden.

Abhilfe

Informationen zum Konfigurieren eines Standard-Root-Objekts für eine CloudFront Distribution finden Sie im Amazon CloudFront Developer Guide unter So geben Sie ein Standard-Root-Objekt an.

[CloudFront.3] CloudFront Distributionen sollten während der Übertragung eine Verschlüsselung erfordern

Verwandte Anforderungen: NIST.800-53.r5 AC-17 (2) NIST.800-53.r5 AC-4, NIST.800-53.r5 IA-5 (1), (3),, NIST.800-53.r5 SC-12 (3) NIST.800-53.r5 SC-13 NIST.800-53.r5 SC-23, NIST.800-53.r5 SC-23 (3), NIST.800-53.r5 SC-7 (4), NIST.800-53.r5 SC-8 (1) NIST.800-53.r5 SC-8, (2), NIST.800-53.r5 SC-8 NIST.800-53.r5 SI-7 (6), PCI DSS v4.0. 1/42.2.1

Kategorie: Schützen > Datenschutz > Verschlüsselung von Daten bei der Übertragung

Schweregrad: Mittel

Art der Ressource: AWS::CloudFront::Distribution

AWS Config -Regel: cloudfront-viewer-policy-https

Zeitplantyp: Änderung ausgelöst

Parameter: Keine

Dieses Steuerelement überprüft, ob eine CloudFront Amazon-Distribution verlangt, dass Zuschauer HTTPS direkt verwenden, oder ob eine Umleitung verwendet wird. Die Steuerung schlägt fehl, wenn sie auf allow-all für defaultCacheBehavior oder für cacheBehaviors gesetzt ViewerProtocolPolicy ist.

HTTPS (TLS) kann verwendet werden, um potenzielle Angreifer daran zu hindern, Person-in-the-Middle- oder ähnliche Angriffe zu nutzen, um den Netzwerkverkehr abzuhören oder zu manipulieren. Nur verschlüsselte Verbindungen über HTTPS (TLS) sollten zugelassen werden. Das Verschlüsseln von Daten während der Übertragung kann die Leistung beeinträchtigen. Sie sollten Ihre Anwendung mit dieser Funktion testen, um das Leistungsprofil und die Auswirkungen von TLS zu verstehen.

Abhilfe

Informationen zum Verschlüsseln einer CloudFront Übertragung finden Sie unter HTTPS-Anforderungen für die Kommunikation zwischen Zuschauern und CloudFront im Amazon CloudFront Developer Guide.

[CloudFront.4] Für CloudFront Distributionen sollte das Origin-Failover konfiguriert sein

Verwandte Anforderungen: NIST.800-53.r5 CP-10 NIST.800-53.r5 SC-36, NIST.800-53.r5 SC-5 (2), NIST.800-53.r5 SI-13 (5)

Kategorie: Wiederherstellung > Resilienz > Hochverfügbarkeit

Schweregrad: Niedrig

Art der Ressource: AWS::CloudFront::Distribution

AWS Config -Regel: cloudfront-origin-failover-enabled

Zeitplantyp: Änderung ausgelöst

Parameter: Keine

Dieses Steuerelement überprüft, ob eine CloudFront Amazon-Distribution mit einer Ursprungsgruppe konfiguriert ist, die zwei oder mehr Ursprünge hat.

CloudFront Origin-Failover kann die Verfügbarkeit erhöhen. Das Origin-Failover leitet den Datenverkehr automatisch an einen sekundären Ursprung weiter, wenn der primäre Ursprung nicht verfügbar ist oder wenn bestimmte HTTP-Antwortstatuscodes zurückgegeben werden.

Abhilfe

Informationen zur Konfiguration des Origin-Failovers für eine CloudFront Distribution finden Sie unter Creating an Origin Group im Amazon CloudFront Developer Guide.

Bei [CloudFront.5] CloudFront Distributionen sollte die Protokollierung aktiviert sein

Verwandte Anforderungen: NIST.800-53.r5 AC-2 (4), NIST.800-53.r5 AC-4 (26), NIST.800-53.r5 AC-6 (9),,, NIST.800-53.r5 AU-10 NIST.800-53.r5 AU-12, NIST.800-53.r5 AU-6 (3) NIST.800-53.r5 AU-2 NIST.800-53.r5 AU-3, (4), NIST.800-53.r5 AU-6 (9) NIST.800-53.r5 CA-7, NIST.800-53.r5 SC-7 (8), NIST.800-53.r5 SI-3 (20), (8), NIST.800-53.r5 SI-4 NIST.800-53.r5 SI-7 (8), PCI DSS v4.0. 1/101.4.2

Kategorie: Identifizieren > Protokollierung

Schweregrad: Mittel

Art der Ressource: AWS::CloudFront::Distribution

AWS Config -Regel: cloudfront-accesslogs-enabled

Zeitplantyp: Änderung ausgelöst

Parameter: Keine

Dieses Steuerelement überprüft, ob die Protokollierung des Serverzugriffs auf CloudFront Distributionen aktiviert ist. Die Steuerung schlägt fehl, wenn die Zugriffsprotokollierung für eine Verteilung nicht aktiviert ist. Dieses Steuerelement bewertet nur, ob die Standardprotokollierung (ältere Version) für eine Distribution aktiviert ist.

CloudFront Zugriffsprotokolle enthalten detaillierte Informationen zu jeder eingegangenen Benutzeranfrage CloudFront. Jedes Protokoll enthält Informationen wie Datum und Uhrzeit des Eingangs der Anfrage, die IP-Adresse des Betrachters, der die Anfrage gestellt hat, die Quelle der Anfrage und die Portnummer der Anfrage vom Betrachter. Diese Protokolle sind für Anwendungen wie Sicherheits- und Zugriffsprüfungen sowie forensische Untersuchungen nützlich. Weitere Informationen zur Analyse von Zugriffsprotokollen finden Sie unter Abfragen von CloudFront Amazon-Protokollen im Amazon Athena-Benutzerhandbuch.

Abhilfe

Informationen zur Konfiguration der Standardprotokollierung (Legacy) für eine CloudFront Distribution finden Sie unter Konfigurieren der Standardprotokollierung (Legacy) im Amazon CloudFront Developer Guide.

Bei [CloudFront.6] CloudFront Distributionen sollte WAF aktiviert sein

Verwandte Anforderungen: NIST.800-53.r5 AC-4 (21), PCI DSS v4.0. 1/64.4.2

Kategorie: Schützen > Schutzdienste

Schweregrad: Mittel

Art der Ressource: AWS::CloudFront::Distribution

AWS Config -Regel: cloudfront-associated-with-waf

Zeitplantyp: Änderung ausgelöst

Parameter: Keine

Dieses Steuerelement überprüft, ob CloudFront Verteilungen entweder AWS WAF klassischen oder AWS WAF Web-ACLs zugeordnet sind. Die Steuerung schlägt fehl, wenn die Distribution keiner Web-ACL zugeordnet ist.

AWS WAF ist eine Webanwendungs-Firewall, die Webanwendungen und APIs vor Angriffen schützt. Sie ermöglicht es ihnen, eine Gruppe von Regeln (eine sogenannte Web-Zugriffskontrollliste oder Web-ACL) zum Zulassen, Blockieren oder Zählen von Webanforderungen basierend auf von Ihnen definierten anpassbaren Web-Sicherheitsregeln und Bedingungen zu konfigurieren. Stellen Sie sicher, dass Ihre CloudFront Distribution mit einer AWS WAF Web-ACL verknüpft ist, um sie vor böswilligen Angriffen zu schützen.

Abhilfe

Informationen zum Zuordnen einer AWS WAF Web-ACL zu einer CloudFront Distribution finden Sie unter Verwenden AWS WAF zur Zugriffskontrolle auf Ihre Inhalte im Amazon CloudFront Developer Guide.

[CloudFront.7] CloudFront Distributionen sollten benutzerdefinierte SSL/TLS Zertifikate verwenden

Verwandte Anforderungen: NIST.800-53.r5 AC-17 (2) NIST.800-53.r5 AC-4, NIST.800-53.r5 IA-5 (1), NIST.800-53.r5 SC-12 (3),, (3) NIST.800-53.r5 SC-13 NIST.800-53.r5 SC-23, NIST.800-53.r5 SC-23 (3), NIST.800-53.r5 SC-7 (4) NIST.800-53.r5 SC-8, NIST.800-53.r5 SC-8 (1), (2), NIST.800-53.r5 SC-8 NIST.800-53.r5 SI-7 (6), NIST.800-171.r2 3.13.15

Kategorie: Schützen > Datenschutz > Verschlüsselung von Daten bei der Übertragung

Schweregrad: Niedrig

Art der Ressource: AWS::CloudFront::Distribution

AWS Config -Regel: cloudfront-custom-ssl-certificate

Zeitplantyp: Änderung ausgelöst

Parameter: Keine

Dieses Steuerelement überprüft, ob CloudFront Distributionen die SSL/TLS Standardzertifikate verwenden CloudFront . Dieses Steuerelement ist erfolgreich, wenn die CloudFront Distribution ein benutzerdefiniertes SSL/TLS Zertifikat verwendet. Dieses Steuerelement schlägt fehl, wenn die CloudFront Verteilung das SSL/TLS Standardzertifikat verwendet.

Benutzerdefiniert SSL/TLS ermöglichen es Ihren Benutzern, mithilfe alternativer Domainnamen auf Inhalte zuzugreifen. Sie können benutzerdefinierte Zertifikate in AWS Certificate Manager (empfohlen) oder in IAM speichern.

Abhilfe

Informationen zum Hinzufügen eines alternativen Domainnamens für eine CloudFront Distribution mithilfe eines benutzerdefinierten SSL/TLS Zertifikats finden Sie unter Hinzufügen eines alternativen Domainnamens im CloudFront Amazon-Entwicklerhandbuch.

[CloudFront.8] CloudFront Distributionen sollten SNI verwenden, um HTTPS-Anfragen zu bearbeiten

Verwandte Anforderungen: NIST.800-53.r5 CA-9 (1), NIST.800-53.r5 CM-2

Kategorie: Schutz > Sichere Netzwerkkonfiguration

Schweregrad: Niedrig

Art der Ressource: AWS::CloudFront::Distribution

AWS Config -Regel: cloudfront-sni-enabled

Zeitplantyp: Änderung ausgelöst

Parameter: Keine

Dieses Steuerelement prüft, ob CloudFront Amazon-Distributionen ein benutzerdefiniertes SSL/TLS Zertifikat verwenden und so konfiguriert sind, dass SNI zur Bearbeitung von HTTPS-Anfragen verwendet wird. Diese Steuerung schlägt fehl, wenn ein benutzerdefiniertes SSL/TLS Zertifikat verknüpft ist, die SSL/TLS Unterstützungsmethode jedoch eine dedizierte IP-Adresse ist.

Die Servernamensanzeige (SNI) ist eine Erweiterung des TLS-Protokolls, die in Browsern und Clients unterstützt wird, die nach 2010 veröffentlicht wurden. Wenn Sie CloudFront die Verarbeitung von HTTPS-Anfragen mithilfe von SNI konfigurieren CloudFront , verknüpfen Sie Ihren alternativen Domainnamen mit einer IP-Adresse für jeden Edge-Standort. Sobald ein Viewer Inhalte von Ihnen durch Senden einer HTTPS-Anforderung abruft, leitet DNS die Anforderung an die IP-Adresse des korrekten Edge-Standorts weiter. Die IP-Adresse für Ihren Domainnamen wird während der SSL/TLS Handshake-Aushandlung festgelegt; die IP-Adresse ist nicht für Ihre Verteilung bestimmt.

Abhilfe

Wie Sie eine CloudFront Distribution so konfigurieren, dass SNI zur Bearbeitung von HTTPS-Anfragen verwendet wird, finden Sie im Entwicklerhandbuch unter Verwenden von SNI zur Bearbeitung von HTTPS-Anfragen (funktioniert für die CloudFront meisten Clients). Informationen zu benutzerdefinierten SSL-Zertifikaten finden Sie unter Anforderungen für die Verwendung von SSL/TLS Zertifikaten mit. CloudFront

[CloudFront.9] CloudFront Distributionen sollten den Datenverkehr zu benutzerdefinierten Ursprüngen verschlüsseln

Verwandte Anforderungen: NIST.800-53.r5 AC-17 (2), NIST.800-53.r5 IA-5 (1) NIST.800-53.r5 AC-4, (3),, NIST.800-53.r5 SC-12 (3) NIST.800-53.r5 SC-13 NIST.800-53.r5 SC-23, NIST.800-53.r5 SC-23 (3), NIST.800-53.r5 SC-7 (4), (1) NIST.800-53.r5 SC-8, NIST.800-53.r5 SC-8 (2), NIST.800-53.r5 SC-8 NIST.800-53.r5 SI-7 (6), PCI DSS v4.0. 1/42.2.1

Kategorie: Schützen > Datenschutz > Verschlüsselung von Daten bei der Übertragung

Schweregrad: Mittel

Art der Ressource: AWS::CloudFront::Distribution

AWS Config -Regel: cloudfront-traffic-to-origin-encrypted

Zeitplantyp: Änderung ausgelöst

Parameter: Keine

Dieses Steuerelement überprüft, ob CloudFront Amazon-Distributionen den Datenverkehr zu benutzerdefinierten Quellen verschlüsseln. Diese Steuerung schlägt für eine CloudFront Distribution fehl, deren Ursprungsprotokollrichtlinie „nur HTTP“ zulässt. Diese Steuerung schlägt auch fehl, wenn die Ursprungsprotokollrichtlinie der Distribution „Match-Viewer“ lautet, während die Viewer-Protokollrichtlinie „Allow-All“ lautet.

HTTPS (TLS) kann verwendet werden, um das Abhören oder die Manipulation des Netzwerkverkehrs zu verhindern. Nur verschlüsselte Verbindungen über HTTPS (TLS) sollten zugelassen werden.

Abhilfe

Informationen zur Aktualisierung der Origin-Protokollrichtlinie, sodass für eine CloudFront Verbindung eine Verschlüsselung erforderlich ist, finden Sie im CloudFront Amazon-Entwicklerhandbuch unter Erfordern von HTTPS für die Kommunikation zwischen CloudFront und Ihrem benutzerdefinierten Ursprung.

[CloudFront.10] CloudFront Distributionen sollten keine veralteten SSL-Protokolle zwischen Edge-Standorten und benutzerdefinierten Ursprüngen verwenden

Verwandte Anforderungen: NIST.800-53.r5 AC-17 (2), NIST.800-53.r5 IA-5 (1) NIST.800-53.r5 AC-4, (3),, NIST.800-53.r5 SC-12 (4) NIST.800-53.r5 SC-13 NIST.800-53.r5 SC-23, NIST.800-53.r5 SC-7 (1), (2) NIST.800-53.r5 SC-8, NIST.800-53.r5 SC-8 NIST.800-53.r5 SI-7 (6), NIST.800-53.r5 SC-8 NIST.800-171.r2 3.13.15, PCI DSS v4.0. 1/42.2.1

Kategorie: Schützen > Datenschutz > Verschlüsselung von Daten bei der Übertragung

Schweregrad: Mittel

Art der Ressource: AWS::CloudFront::Distribution

AWS Config -Regel: cloudfront-no-deprecated-ssl-protocols

Zeitplantyp: Änderung ausgelöst

Parameter: Keine

Dieses Steuerelement überprüft, ob CloudFront Amazon-Distributionen veraltete SSL-Protokolle für die HTTPS-Kommunikation zwischen CloudFront Edge-Standorten und Ihren benutzerdefinierten Startpunkten verwenden. Diese Steuerung schlägt fehl, wenn eine CloudFront Distribution ein Where Includes hat. CustomOriginConfig OriginSslProtocols SSLv3

Im Jahr 2015 gab die Internet Engineering Task Force (IETF) offiziell bekannt, dass SSL 3.0 veraltet sein sollte, da das Protokoll nicht ausreichend sicher ist. Es wird empfohlen, für die HTTPS-Kommunikation zu Ihren benutzerdefinierten Ursprüngen TLSv1.2 oder höher zu verwenden.

Abhilfe

Informationen zur Aktualisierung der Origin-SSL-Protokolle für eine CloudFront Distribution finden Sie im CloudFront Amazon-Entwicklerhandbuch unter Erfordern von HTTPS für die Kommunikation zwischen CloudFront und Ihrem benutzerdefinierten Ursprung.

[CloudFront.12] CloudFront Distributionen sollten nicht auf nicht existierende S3-Ursprünge verweisen

Verwandte Anforderungen: NIST.800-53.r5 CM-2, NIST.800-53.r5 CM-2 (2), PCI DSS v4.0. 1/22.2.6

Kategorie: Identifizieren > Ressourcenkonfiguration

Schweregrad: Hoch

Art der Ressource: AWS::CloudFront::Distribution

AWS Config -Regel: cloudfront-s3-origin-non-existent-bucket

Zeitplantyp: Periodisch

Parameter: Keine

Diese Kontrolle überprüft, ob CloudFront Amazon-Verteilungen auf nicht existierende Amazon S3-Ursprünge verweisen. Die Steuerung schlägt für eine CloudFront Verteilung fehl, wenn der Ursprung so konfiguriert ist, dass er auf einen nicht existierenden Bucket verweist. Diese Steuerung gilt nur für CloudFront Distributionen, bei denen ein S3-Bucket ohne statisches Website-Hosting der S3-Ursprung ist.

Wenn eine CloudFront Distribution in Ihrem Konto so konfiguriert ist, dass sie auf einen nicht existierenden Bucket verweist, kann ein böswilliger Dritter den Bucket erstellen, auf den verwiesen wird, und seinen eigenen Inhalt über Ihre Distribution bereitstellen. Wir empfehlen, alle Quellen unabhängig vom Routing-Verhalten zu überprüfen, um sicherzustellen, dass Ihre Distributionen auf die richtigen Quellen verweisen.

Abhilfe

Informationen zum Ändern einer CloudFront Distribution, sodass sie auf einen neuen Ursprung verweist, finden Sie unter Aktualisieren einer Distribution im Amazon CloudFront Developer Guide.

[CloudFront.13] CloudFront Distributionen sollten Origin Access Control verwenden

Kategorie: Schützen > Sichere Zugriffsverwaltung > Ressource ist nicht öffentlich zugänglich

Schweregrad: Mittel

Art der Ressource: AWS::CloudFront::Distribution

AWS Config -Regel: cloudfront-s3-origin-access-control-enabled

Zeitplantyp: Änderung ausgelöst

Parameter: Keine

Diese Steuerung überprüft, ob für eine CloudFront Amazon-Distribution mit einem Amazon S3-Ursprung die Origin Access Control (OAC) konfiguriert ist. Die Steuerung schlägt fehl, wenn OAC nicht für die CloudFront Verteilung konfiguriert ist.

Wenn Sie einen S3-Bucket als Ursprung für Ihre CloudFront Distribution verwenden, können Sie OAC aktivieren. Dies ermöglicht den Zugriff auf den Inhalt im Bucket nur über die angegebene CloudFront Distribution und verhindert den direkten Zugriff aus dem Bucket oder einer anderen Distribution. Obwohl OAC Origin Access Identity (OAI) CloudFront unterstützt, bietet OAC zusätzliche Funktionen, und Distributionen, die OAI verwenden, können zu OAC migriert werden. OAI bietet zwar eine sichere Methode für den Zugriff auf S3-Ursprünge, weist jedoch Einschränkungen auf, wie z. B. die fehlende Unterstützung für granulare Richtlinienkonfigurationen und für HTTP/HTTPS Anfragen, die die POST-Methode verwenden und für die Signature Version 4 (SigV4) erforderlich AWS ist. AWS-Regionen OAI unterstützt auch keine Verschlüsselung mit. AWS Key Management Service OAC basiert auf einer AWS bewährten Methode zur Verwendung von IAM-Dienstprinzipalen zur Authentifizierung bei S3-Ursprüngen.

Abhilfe

Informationen zur Konfiguration von OAC für eine CloudFront Distribution mit S3-Ursprüngen finden Sie unter Beschränken des Zugriffs auf einen Amazon S3-Ursprung im Amazon Developer Guide. CloudFront

[CloudFront.14] CloudFront Distributionen sollten mit Tags versehen werden

Kategorie: Identifizieren > Inventar > Tagging

Schweregrad: Niedrig

Art der Ressource: AWS::CloudFront::Distribution

AWS Config Regel: tagged-cloudfront-distribution (benutzerdefinierte Security Hub CSPM-Regel)

Zeitplantyp: Änderung ausgelöst

Parameter:

Dieses Steuerelement überprüft, ob eine CloudFront Amazon-Distribution Tags mit den spezifischen Schlüsseln enthält, die im Parameter requiredTagKeys definiert sind. Die Steuerung schlägt fehl, wenn die Distribution keine Tag-Schlüssel hat oder wenn sie nicht über alle im Parameter angegebenen Schlüssel verfügtrequiredTagKeys. Wenn der Parameter requiredTagKeys nicht angegeben wird, prüft das Steuerelement nur, ob ein Tag-Schlüssel vorhanden ist, und schlägt fehl, wenn die Distribution mit keinem Schlüssel versehen ist. System-Tags, die automatisch angewendet werden und mit dem beginnenaws:, werden ignoriert.

Ein Tag ist eine Bezeichnung, die Sie einer AWS Ressource zuweisen. Sie besteht aus einem Schlüssel und einem optionalen Wert. Sie können Tags erstellen, um Ressourcen nach Zweck, Eigentümer, Umgebung oder anderen Kriterien zu kategorisieren. Mithilfe von Tags können Sie Ressourcen identifizieren, organisieren, suchen und filtern. Tagging hilft dir auch dabei, verantwortliche Ressourceninhaber im Hinblick auf Aktionen und Benachrichtigungen im Auge zu behalten. Wenn Sie Tagging verwenden, können Sie die attributbasierte Zugriffskontrolle (ABAC) als Autorisierungsstrategie implementieren, bei der Berechtigungen auf der Grundlage von Stichwörtern definiert werden. Sie können IAM-Entitäten (Benutzern oder Rollen) und Ressourcen Tags zuordnen. AWS Sie können eine einzelne ABAC-Richtlinie oder einen separaten Satz von Richtlinien für Ihre IAM-Prinzipale erstellen. Sie können diese ABAC-Richtlinien so entwerfen, dass sie Operationen zulassen, wenn das Tag des Principals mit dem Ressourcen-Tag übereinstimmt. Weitere Informationen finden Sie unter Wofür ist ABAC gedacht? AWSim IAM-Benutzerhandbuch.

Abhilfe

Informationen zum Hinzufügen von Stichwörtern zu einer CloudFront Distribution finden Sie unter Tagging von CloudFront Amazon-Distributionen im Amazon-Entwicklerhandbuch. CloudFront

[CloudFront.15] CloudFront Distributionen sollten die empfohlene TLS-Sicherheitsrichtlinie verwenden

Kategorie: Schützen > Datenschutz > Verschlüsselung von Daten bei der Übertragung

Schweregrad: Mittel

Art der Ressource: AWS::CloudFront::Distribution

AWS Config -Regel: cloudfront-ssl-policy-check

Zeitplantyp: Änderung ausgelöst

Parameter securityPolicies: TLSv1.2_2021,TLSv1.2_2025,TLSv1.3_2025 (nicht anpassbar)

Dieses Steuerelement überprüft, ob eine CloudFront Amazon-Distribution für die Verwendung einer empfohlenen TLS-Sicherheitsrichtlinie konfiguriert ist. Die Steuerung schlägt fehl, wenn die CloudFront Distribution nicht für die Verwendung einer empfohlenen TLS-Sicherheitsrichtlinie konfiguriert ist.

Wenn Sie eine CloudFront Amazon-Distribution so konfigurieren, dass Zuschauer HTTPS verwenden müssen, um auf Inhalte zuzugreifen, müssen Sie eine Sicherheitsrichtlinie auswählen und die SSL/TLS Mindestprotokollversion angeben, die verwendet werden soll. Dies bestimmt, welche Protokollversion für die Kommunikation mit Zuschauern CloudFront verwendet wird und welche Chiffren zur Verschlüsselung der Kommunikation CloudFront verwendet werden. Wir empfehlen, die neueste Sicherheitsrichtlinie zu verwenden, die dies bietet. CloudFront Dadurch wird sichergestellt, dass die neuesten Verschlüsselungssammlungen CloudFront verwendet werden, um Daten bei der Übertragung zwischen einem Zuschauer und einer Distribution zu verschlüsseln. CloudFront

Abhilfe

Informationen zur Konfiguration der Sicherheitsrichtlinie für eine CloudFront Distribution finden Sie unter Aktualisieren einer Distribution im Amazon CloudFront Developer Guide. Wenn Sie die Sicherheitsrichtlinie für eine Distribution konfigurieren, wählen Sie die neueste Sicherheitsrichtlinie aus.

[CloudFront.16] CloudFront Distributionen sollten Origin Access Control für die URL-Ursprünge der Lambda-Funktion verwenden

Kategorie: Schützen > Sichere Zugriffsverwaltung > Zugriffskontrolle

Schweregrad: Mittel

Art der Ressource: AWS::CloudFront::Distribution

AWS Config -Regel: cloudfront-origin-lambda-url-oac-enabled

Zeitplantyp: Änderung ausgelöst

Parameter: Keine

Dieses Steuerelement überprüft, ob für eine CloudFront Amazon-Distribution mit einer AWS Lambda Funktions-URL als Ursprung die Origin Access Control (OAC) aktiviert ist. Die Steuerung schlägt fehl, wenn die CloudFront Verteilung eine Lambda-Funktions-URL als Ursprung hat und OAC nicht aktiviert ist.

Eine AWS Lambda Funktions-URL ist ein dedizierter HTTPS-Endpunkt für eine Lambda-Funktion. Wenn eine Lambda-Funktions-URL der Ursprung einer CloudFront Distribution ist, muss die Funktions-URL öffentlich zugänglich sein. Aus Sicherheitsgründen sollten Sie daher ein OAC erstellen und es der Lambda-Funktions-URL in einer Distribution hinzufügen. OAC verwendet IAM-Dienstprinzipale, um Anfragen zwischen und der Funktions-URL zu authentifizieren. CloudFront Es unterstützt auch die Verwendung ressourcenbasierter Richtlinien, sodass eine Funktion nur aufgerufen werden kann, wenn eine Anforderung im Namen einer in der Richtlinie angegebenen Verteilung erfolgt. CloudFront

Abhilfe

Informationen zur Konfiguration von OAC für eine CloudFront Amazon-Distribution, die eine Lambda-Funktions-URL als Ursprung verwendet, finden Sie im Amazon-Entwicklerhandbuch unter Zugriff auf den Ursprung einer AWS Lambda Funktions-URL einschränken. CloudFront

[CloudFront.17] CloudFront Distributionen sollten vertrauenswürdige Schlüsselgruppen für signierte URLs und Cookies verwenden

Kategorie: Schützen > Sichere Zugriffsverwaltung > Zugriffskontrolle

Schweregrad: Mittel

Art der Ressource: AWS::CloudFront::Distribution

AWS Config -Regel: cloudfront-distribution-key-group-enabled

Zeitplantyp: Änderung ausgelöst

Parameter: Keine

Dieses Steuerelement überprüft, ob eine CloudFront Amazon-Distribution so konfiguriert ist, dass sie vertrauenswürdige Schlüsselgruppen für die Authentifizierung mit signierten URLs oder signierten Cookies verwendet. Die Steuerung schlägt fehl, wenn die CloudFront Verteilung vertrauenswürdige Unterzeichner verwendet oder wenn für die Verteilung keine Authentifizierung konfiguriert ist.

Um signierte URLs oder signierte Cookies verwenden zu können, benötigen Sie einen Aussteller. Ein Unterzeichner ist entweder eine vertrauenswürdige Schlüsselgruppe, in der Sie erstellen CloudFront, oder ein AWS Konto, das ein CloudFront Schlüsselpaar enthält. Wir empfehlen, vertrauenswürdige Schlüsselgruppen zu verwenden, da Sie bei CloudFront Schlüsselgruppen nicht den Root-Benutzer des AWS Kontos verwenden müssen, um die öffentlichen Schlüssel für CloudFront signierte URLs und signierte Cookies zu verwalten.

Abhilfe

Informationen zur Verwendung vertrauenswürdiger Schlüsselgruppen mit signierten URLs und Cookies finden Sie im CloudFront Amazon-Entwicklerhandbuch unter Verwenden vertrauenswürdiger Schlüsselgruppen.