Regionale Beschränkungen der Security Hub-Steuerungen

[ElastiCache.4] ElastiCache Replikationsgruppen sollten im Ruhezustand verschlüsselt werden

[ElastiCache.5] ElastiCache Replikationsgruppen sollten bei der Übertragung verschlüsselt werden

[ElastiCache.6] Für ElastiCache (RedisOSS) -Replikationsgruppen früherer Versionen sollte Redis aktiviert sein OSS AUTH

[ElastiCache.7] ElastiCache Cluster sollten nicht die Standard-Subnetzgruppe verwenden

[GlobalAccelerator.1] Global Accelerator-Beschleuniger sollten markiert werden

[S3.24] Für S3-Access Points mit mehreren Regionen sollten die Einstellungen für die Blockierung des öffentlichen Zugriffs aktiviert sein

[AppSync.1] AWS AppSync API Caches sollten im Ruhezustand verschlüsselt werden

[AppSync.6] AWS AppSync API Caches sollten bei der Übertragung verschlüsselt werden

Bei [CloudFront.1] CloudFront Distributionen sollte ein Standard-Root-Objekt konfiguriert sein

[CloudFront.3] CloudFront Distributionen sollten während der Übertragung verschlüsselt werden müssen

[CloudFront.4] Bei CloudFront Distributionen sollte das Origin-Failover konfiguriert sein

[CloudFront.5] Bei CloudFront Distributionen sollte die Protokollierung aktiviert sein

[CloudFront.6] CloudFront Distributionen sollten aktiviert worden sein WAF

[CloudFront.7] CloudFront Distributionen sollten benutzerdefinierte SSL /-Zertifikate verwenden TLS

[CloudFront.8] CloudFront Distributionen sollten zur Bearbeitung von Anfragen verwendet SNI werden HTTPS

[CloudFront.9] CloudFront Distributionen sollten den Datenverkehr zu benutzerdefinierten Ursprüngen verschlüsseln

[CloudFront.10] CloudFront Distributionen sollten keine veralteten SSL Protokolle zwischen Edge-Standorten und benutzerdefinierten Ursprüngen verwenden

[CloudFront.12] CloudFront Distributionen sollten nicht auf nicht existierende S3-Ursprünge verweisen

[CloudFront.13] CloudFront Distributionen sollten die Origin-Zugriffskontrolle verwenden

[CloudFront.14] CloudFront Distributionen sollten markiert werden

[EC2.24] EC2 Paravirtual-Instance-Typen von Amazon sollten nicht verwendet werden

[EC2.128] VPCs sollte mit einem Schnittstellenendpunkt für AMB Query konfiguriert werden

[EC2.129] VPCs sollte mit einem Schnittstellenendpunkt für AMB Access Bitcoin konfiguriert sein

[EC2.130] VPCs sollte mit einem Schnittstellen-Endpunkt für AMB Bitcoin Testnet konfiguriert werden

[ECR.4] ECR Öffentliche Repositorien sollten markiert werden

[GlobalAccelerator.1] Global Accelerator-Beschleuniger sollten markiert werden

[IAM.26] AbgelaufeneSSL//In verwaltete TLS Zertifikate IAM sollten entfernt werden

[RDS.31] RDS DB-Sicherheitsgruppen sollten markiert werden

[Route 53.1] Route 53-Zustandsprüfungen sollten gekennzeichnet sein

[Route 53.2] Öffentliche, gehostete Zonen in Route 53 sollten Abfragen protokollieren DNS

[S3.24] Für S3-Access Points mit mehreren Regionen sollten die Einstellungen für die Blockierung des öffentlichen Zugriffs aktiviert sein

[WAF.1] Die AWS WAF klassische globale ACL Webprotokollierung sollte aktiviert sein

[WAF.6] AWS WAF Klassische globale Regeln sollten mindestens eine Bedingung haben

[WAF.7] AWS WAF Klassische globale Regelgruppen sollten mindestens eine Regel haben

[WAF.8] Das AWS WAF klassische globale Web ACLs sollte mindestens eine Regel oder Regelgruppe enthalten

[WorkSpaces.1] WorkSpaces Benutzervolumes sollten im Ruhezustand verschlüsselt werden

[WorkSpaces.2] WorkSpaces Root-Volumes sollten im Ruhezustand verschlüsselt werden

[AppSync.1] AWS AppSync API Caches sollten im Ruhezustand verschlüsselt werden

[AppSync.6] AWS AppSync API Caches sollten bei der Übertragung verschlüsselt werden

Bei [CloudFront.1] CloudFront Distributionen sollte ein Standard-Root-Objekt konfiguriert sein

[CloudFront.3] CloudFront Distributionen sollten während der Übertragung verschlüsselt werden müssen

[CloudFront.4] Bei CloudFront Distributionen sollte das Origin-Failover konfiguriert sein

[CloudFront.5] Bei CloudFront Distributionen sollte die Protokollierung aktiviert sein

[CloudFront.6] CloudFront Distributionen sollten aktiviert worden sein WAF

[CloudFront.7] CloudFront Distributionen sollten benutzerdefinierte SSL /-Zertifikate verwenden TLS

[CloudFront.8] CloudFront Distributionen sollten zur Bearbeitung von Anfragen verwendet SNI werden HTTPS

[CloudFront.9] CloudFront Distributionen sollten den Datenverkehr zu benutzerdefinierten Ursprüngen verschlüsseln

[CloudFront.10] CloudFront Distributionen sollten keine veralteten SSL Protokolle zwischen Edge-Standorten und benutzerdefinierten Ursprüngen verwenden

[CloudFront.12] CloudFront Distributionen sollten nicht auf nicht existierende S3-Ursprünge verweisen

[CloudFront.13] CloudFront Distributionen sollten die Origin-Zugriffskontrolle verwenden

[CloudFront.14] CloudFront Distributionen sollten markiert werden

[CodeArtifact.1] CodeArtifact Repositorien sollten markiert werden

[DocumentDB.1] Amazon DocumentDB-Cluster sollten im Ruhezustand verschlüsselt werden

[DocumentDB.2] Amazon DocumentDB-Cluster sollten über eine angemessene Aufbewahrungsfrist für Backups verfügen

[DocumentDB.3] Manuelle Cluster-Snapshots von Amazon DocumentDB sollten nicht öffentlich sein

[DocumentDB.4] Amazon DocumentDB-Cluster sollten Auditprotokolle in Logs veröffentlichen CloudWatch

[DocumentDB.5] Bei Amazon DocumentDB-Clustern sollte der Löschschutz aktiviert sein

[EC2.104] VPCs sollte mit einem Schnittstellenendpunkt für den MWAA Amazon-Betreiber konfiguriert werden

[EC2.121] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für CodeArtifact API

[EC2.122] VPCs sollte mit einem Schnittstellen-Endpunkt für CodeArtifact Repositorys konfiguriert werden

[EC2.125] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Managed Service for Prometheus konfiguriert sein

[EC2.128] VPCs sollte mit einem Schnittstellenendpunkt für AMB Query konfiguriert werden

[EC2.129] VPCs sollte mit einem Schnittstellenendpunkt für AMB Access Bitcoin konfiguriert sein

[EC2.130] VPCs sollte mit einem Schnittstellen-Endpunkt für AMB Bitcoin Testnet konfiguriert werden

[EC2.135] VPCs sollte mit einem Schnittstellenendpunkt für Amazon konfiguriert sein AppStream API

[EC2.136] VPCs sollte mit einem Schnittstellenendpunkt für Amazon AppStream Streaming konfiguriert sein

[EC2.147] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Bedrock konfiguriert sein

[EC2.150] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Comprehend konfiguriert sein

[EC2.151] VPCs sollte mit einem Schnittstellen-Endpunkt für App Runner konfiguriert werden

[EC2.158] VPCs sollte mit einem Schnittstellenendpunkt für IoT Core Fleet Hub konfiguriert werden

[EC2.162] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Managed Service for Prometheus konfiguriert sein

[EC2.163] VPCs sollte mit einem Schnittstellen-Endpunkt für Elastic Inference Runtime konfiguriert sein

[EC2.165] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Bedrock konfiguriert sein

[ECR.4] ECR Öffentliche Repositorien sollten markiert werden

[GlobalAccelerator.1] Global Accelerator-Beschleuniger sollten markiert werden

[IAM.26] AbgelaufeneSSL//In verwaltete TLS Zertifikate IAM sollten entfernt werden

[Inspector.3] Das Scannen von Amazon Inspector Lambda-Code sollte aktiviert sein

[RDS.35] Bei RDS DB-Clustern sollte das automatische Upgrade auf Nebenversionen aktiviert sein

[Route 53.1] Route 53-Zustandsprüfungen sollten gekennzeichnet sein

[Route 53.2] Öffentliche, gehostete Zonen in Route 53 sollten Abfragen protokollieren DNS

[S3.24] Für S3-Access Points mit mehreren Regionen sollten die Einstellungen für die Blockierung des öffentlichen Zugriffs aktiviert sein

[WAF.1] Die AWS WAF klassische globale ACL Webprotokollierung sollte aktiviert sein

[WAF.6] AWS WAF Klassische globale Regeln sollten mindestens eine Bedingung haben

[WAF.7] AWS WAF Klassische globale Regelgruppen sollten mindestens eine Regel haben

[WAF.8] Das AWS WAF klassische globale Web ACLs sollte mindestens eine Regel oder Regelgruppe enthalten

[WorkSpaces.1] WorkSpaces Benutzervolumes sollten im Ruhezustand verschlüsselt werden

[WorkSpaces.2] WorkSpaces Root-Volumes sollten im Ruhezustand verschlüsselt werden

[AppSync.1] AWS AppSync API Caches sollten im Ruhezustand verschlüsselt werden

[AppSync.6] AWS AppSync API Caches sollten bei der Übertragung verschlüsselt werden

Bei [CloudFront.1] CloudFront Distributionen sollte ein Standard-Root-Objekt konfiguriert sein

[CloudFront.3] CloudFront Distributionen sollten während der Übertragung verschlüsselt werden müssen

[CloudFront.4] Bei CloudFront Distributionen sollte das Origin-Failover konfiguriert sein

[CloudFront.5] Bei CloudFront Distributionen sollte die Protokollierung aktiviert sein

[CloudFront.6] CloudFront Distributionen sollten aktiviert worden sein WAF

[CloudFront.7] CloudFront Distributionen sollten benutzerdefinierte SSL /-Zertifikate verwenden TLS

[CloudFront.8] CloudFront Distributionen sollten zur Bearbeitung von Anfragen verwendet SNI werden HTTPS

[CloudFront.9] CloudFront Distributionen sollten den Datenverkehr zu benutzerdefinierten Ursprüngen verschlüsseln

[CloudFront.10] CloudFront Distributionen sollten keine veralteten SSL Protokolle zwischen Edge-Standorten und benutzerdefinierten Ursprüngen verwenden

[CloudFront.12] CloudFront Distributionen sollten nicht auf nicht existierende S3-Ursprünge verweisen

[CloudFront.13] CloudFront Distributionen sollten die Origin-Zugriffskontrolle verwenden

[CloudFront.14] CloudFront Distributionen sollten markiert werden

[EC2.128] VPCs sollte mit einem Schnittstellenendpunkt für AMB Query konfiguriert werden

[EC2.129] VPCs sollte mit einem Schnittstellenendpunkt für AMB Access Bitcoin konfiguriert sein

[EC2.130] VPCs sollte mit einem Schnittstellen-Endpunkt für AMB Bitcoin Testnet konfiguriert werden

[ECR.4] ECR Öffentliche Repositorien sollten markiert werden

[IAM.26] AbgelaufeneSSL//In verwaltete TLS Zertifikate IAM sollten entfernt werden

[Route 53.1] Route 53-Zustandsprüfungen sollten gekennzeichnet sein

[Route 53.2] Öffentliche, gehostete Zonen in Route 53 sollten Abfragen protokollieren DNS

[WAF.1] Die AWS WAF klassische globale ACL Webprotokollierung sollte aktiviert sein

[WAF.6] AWS WAF Klassische globale Regeln sollten mindestens eine Bedingung haben

[WAF.7] AWS WAF Klassische globale Regelgruppen sollten mindestens eine Regel haben

[WAF.8] Das AWS WAF klassische globale Web ACLs sollte mindestens eine Regel oder Regelgruppe enthalten

[AppSync.1] AWS AppSync API Caches sollten im Ruhezustand verschlüsselt werden

[AppSync.6] AWS AppSync API Caches sollten bei der Übertragung verschlüsselt werden

Bei [CloudFront.1] CloudFront Distributionen sollte ein Standard-Root-Objekt konfiguriert sein

[CloudFront.3] CloudFront Distributionen sollten während der Übertragung verschlüsselt werden müssen

[CloudFront.4] Bei CloudFront Distributionen sollte das Origin-Failover konfiguriert sein

[CloudFront.5] Bei CloudFront Distributionen sollte die Protokollierung aktiviert sein

[CloudFront.6] CloudFront Distributionen sollten aktiviert worden sein WAF

[CloudFront.7] CloudFront Distributionen sollten benutzerdefinierte SSL /-Zertifikate verwenden TLS

[CloudFront.8] CloudFront Distributionen sollten zur Bearbeitung von Anfragen verwendet SNI werden HTTPS

[CloudFront.9] CloudFront Distributionen sollten den Datenverkehr zu benutzerdefinierten Ursprüngen verschlüsseln

[CloudFront.10] CloudFront Distributionen sollten keine veralteten SSL Protokolle zwischen Edge-Standorten und benutzerdefinierten Ursprüngen verwenden

[CloudFront.12] CloudFront Distributionen sollten nicht auf nicht existierende S3-Ursprünge verweisen

[CloudFront.13] CloudFront Distributionen sollten die Origin-Zugriffskontrolle verwenden

[CloudFront.14] CloudFront Distributionen sollten markiert werden

[CodeArtifact.1] CodeArtifact Repositorien sollten markiert werden

[CodeBuild.1] Das CodeBuild Bitbucket-Quell-Repository URLs sollte keine vertraulichen Anmeldeinformationen enthalten

[DMS.1] Replikationsinstanzen des Database Migration Service sollten nicht öffentlich sein

[DMS.10] Auf DMS Endpunkten für Neptune-Datenbanken sollte die Autorisierung aktiviert sein IAM

[DocumentDB.1] Amazon DocumentDB-Cluster sollten im Ruhezustand verschlüsselt werden

[DocumentDB.2] Amazon DocumentDB-Cluster sollten über eine angemessene Aufbewahrungsfrist für Backups verfügen

[DocumentDB.3] Manuelle Cluster-Snapshots von Amazon DocumentDB sollten nicht öffentlich sein

[DocumentDB.4] Amazon DocumentDB-Cluster sollten Auditprotokolle in Logs veröffentlichen CloudWatch

[DocumentDB.5] Bei Amazon DocumentDB-Clustern sollte der Löschschutz aktiviert sein

[DynamoDB.3] DynamoDB Accelerator (DAX) -Cluster sollten im Ruhezustand verschlüsselt werden

[DynamoDB.7] DynamoDB Accelerator-Cluster sollten bei der Übertragung verschlüsselt werden

[EC2.3] Angehängte EBS Amazon-Volumes sollten im Ruhezustand verschlüsselt werden

[EC2.4] Gestoppte EC2 Instances sollten nach einem bestimmten Zeitraum entfernt werden

[EC2.8] EC2 Instances sollten Instance Metadata Service Version 2 () IMDSv2 verwenden

[EC2.12] Unbenutztes Amazon EC2 EIPs sollte entfernt werden

[EC2.13] Sicherheitsgruppen sollten keinen Zugang von 0.0.0.0/0 oder: :/0 zu Port 22 zulassen

[EC2.14] Sicherheitsgruppen sollten keinen Zugriff von 0.0.0.0/0 oder: :/0 auf Port 3389 zulassen

[EC2.24] EC2 Paravirtual-Instance-Typen von Amazon sollten nicht verwendet werden

[EC2.58] VPCs sollte mit einem Schnittstellenendpunkt für Systems Manager Incident Manager-Kontakte konfiguriert sein

[EC2.60] VPCs sollte mit einem Schnittstellenendpunkt für Systems Manager Incident Manager konfiguriert werden

[EC2.61] VPCs sollte mit einem Schnittstellenendpunkt für Systems Manager Quick Setup konfiguriert sein

[EC2.83] VPCs sollte mit einem Schnittstellenendpunkt für SageMaker AI Runtime konfiguriert werden für FIPS

[EC2.94] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für SES

[EC2.101] VPCs sollte mit einem Schnittstellenendpunkt für Amazon MWAA konfiguriert werden für FIPS

[EC2.103] VPCs sollte mit einem Schnittstellenendpunkt für die MWAA FIPS Amazon-Umgebung konfiguriert werden

[EC2.104] VPCs sollte mit einem Schnittstellenendpunkt für den MWAA Amazon-Betreiber konfiguriert werden

[EC2.113] VPCs sollte mit einem Schnittstellenendpunkt für RDS Daten konfiguriert werden API

[EC2.121] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für CodeArtifact API

[EC2.122] VPCs sollte mit einem Schnittstellen-Endpunkt für CodeArtifact Repositorys konfiguriert werden

[EC2.123] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Redshift konfiguriert sein

[EC2.124] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für CodeDeploy

[EC2.125] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Managed Service for Prometheus konfiguriert sein

[EC2.127] VPCs sollte mit einem Schnittstellenendpunkt für S3 Multi-Region Access Points konfiguriert werden

[EC2.128] VPCs sollte mit einem Schnittstellenendpunkt für AMB Query konfiguriert werden

[EC2.129] VPCs sollte mit einem Schnittstellenendpunkt für AMB Access Bitcoin konfiguriert sein

[EC2.130] VPCs sollte mit einem Schnittstellen-Endpunkt für AMB Bitcoin Testnet konfiguriert werden

[EC2.135] VPCs sollte mit einem Schnittstellenendpunkt für Amazon konfiguriert sein AppStream API

[EC2.136] VPCs sollte mit einem Schnittstellenendpunkt für Amazon AppStream Streaming konfiguriert sein

[EC2.138] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für AWS CodeConnections API

[EC2.139] VPCs sollte mit einem Schnittstellenendpunkt für AWS CodeStar Connections konfiguriert werden API

[EC2.141] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Textract konfiguriert sein

[EC2.142] VPCs sollte mit einem Schnittstellenendpunkt für Keyspaces konfiguriert werden

[EC2.146] VPCs sollte mit einem Schnittstellenendpunkt für Auto Scaling konfiguriert werden

[EC2.147] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Bedrock konfiguriert sein

[EC2.150] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Comprehend konfiguriert sein

[EC2.151] VPCs sollte mit einem Schnittstellen-Endpunkt für App Runner konfiguriert werden

[EC2.156] VPCs sollte mit einem Schnittstellenendpunkt für IoT Core Data konfiguriert sein

[EC2.157] VPCs sollte mit einem Schnittstellenendpunkt für IoT Core Credentials konfiguriert werden

[EC2.158] VPCs sollte mit einem Schnittstellenendpunkt für IoT Core Fleet Hub konfiguriert werden

[EC2.161] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Rekognition konfiguriert sein

[EC2.162] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Managed Service for Prometheus konfiguriert sein

[EC2.163] VPCs sollte mit einem Schnittstellen-Endpunkt für Elastic Inference Runtime konfiguriert sein

[EC2.164] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für CloudWatch

[EC2.165] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Bedrock konfiguriert sein

[ECR.4] ECR Öffentliche Repositorien sollten markiert werden

[EFS.1] Elastic File System sollte so konfiguriert sein, dass ruhende Dateidaten verschlüsselt werden mit AWS KMS

[EFS.2] EFS Amazon-Volumes sollten in Backup-Plänen enthalten sein

[ELB.1] Application Load Balancer sollte so konfiguriert sein, dass alle HTTP Anfragen umgeleitet werden an HTTPS

[ELB.2] Classic Load Balancer mit SSL HTTPS /Listenern sollten ein Zertifikat verwenden, das bereitgestellt wird von AWS Certificate Manager

[ELB.4] Application Load Balancer sollte so konfiguriert sein, dass ungültige HTTP-Header gelöscht werden

[ELB2.8] Classic Load Balancer mit SSL Listenern sollten eine vordefinierte Sicherheitsrichtlinie mit starker Dauer verwenden AWS Config

[ELB.16] Application Load Balancers sollten mit einer Website verknüpft sein AWS WAF ACL

[EMR.1] Primäre EMR Amazon-Clusterknoten sollten keine öffentlichen IP-Adressen haben

[ES.3] Elasticsearch-Domains sollten Daten verschlüsseln, die zwischen Knoten gesendet werden

[EventBridge.4] Auf EventBridge globalen Endpunkten sollte die Ereignisreplikation aktiviert sein

[GlobalAccelerator.1] Global Accelerator-Beschleuniger sollten markiert werden

[IAM.18] Stellen Sie sicher, dass eine Support-Rolle für die Verwaltung von Vorfällen eingerichtet wurde AWS Support

[IAM.26] AbgelaufeneSSL//In verwaltete TLS Zertifikate IAM sollten entfernt werden

[Inspector.3] Das Scannen von Amazon Inspector Lambda-Code sollte aktiviert sein

[IoT.1] AWS IoT Device Defender Sicherheitsprofile sollten markiert werden

[IoT.2] AWS IoT Core Maßnahmen zur Schadensbegrenzung sollten gekennzeichnet werden

[IoT.3] AWS IoT Core Dimensionen sollten markiert werden

[IoT.4] AWS IoT Core Autorisierer sollten markiert werden

[IoT.5] AWS IoT Core Rollenaliase sollten markiert werden

[IoT.6] AWS IoT Core Richtlinien sollten markiert werden

[MSK.3] MSK Connect-Anschlüsse sollten bei der Übertragung verschlüsselt werden

[RDS.1] Der RDS Snapshot sollte privat sein

[RDS.9] RDS DB-Instances sollten Protokolle in Logs veröffentlichen CloudWatch

[RDS.10] Die IAM Authentifizierung sollte für RDS Instances konfiguriert werden

[RDS.14] Bei Amazon Aurora Aurora-Clustern sollte Backtracking aktiviert sein

[RDS.31] RDS DB-Sicherheitsgruppen sollten markiert werden

[Redshift.3] Bei Amazon Redshift Redshift-Clustern sollten automatische Snapshots aktiviert sein

[Route 53.1] Route 53-Zustandsprüfungen sollten gekennzeichnet sein

[Route 53.2] Öffentliche, gehostete Zonen in Route 53 sollten Abfragen protokollieren DNS

[S3.24] Für S3-Access Points mit mehreren Regionen sollten die Einstellungen für die Blockierung des öffentlichen Zugriffs aktiviert sein

[SageMaker AI.1] Amazon SageMaker AI-Notebook-Instances sollten keinen direkten Internetzugang haben

[SSM.2] Von Systems Manager verwaltete EC2 Amazon-Instances sollten COMPLIANT nach einer Patch-Installation den Patch-Compliance-Status von haben

[SSM.3] Von Systems Manager verwaltete EC2 Amazon-Instances sollten den Zuordnungs-Compliance-Status von haben COMPLIANT

[WAF.1] Die AWS WAF klassische globale ACL Webprotokollierung sollte aktiviert sein

[WAF.6] AWS WAF Klassische globale Regeln sollten mindestens eine Bedingung haben

[WAF.7] AWS WAF Klassische globale Regelgruppen sollten mindestens eine Regel haben

[WAF.8] Das AWS WAF klassische globale Web ACLs sollte mindestens eine Regel oder Regelgruppe enthalten

[WAF.11] Die AWS WAF ACL Webprotokollierung sollte aktiviert sein

[AppSync.1] AWS AppSync API Caches sollten im Ruhezustand verschlüsselt werden

[AppSync.6] AWS AppSync API Caches sollten bei der Übertragung verschlüsselt werden

Bei [CloudFront.1] CloudFront Distributionen sollte ein Standard-Root-Objekt konfiguriert sein

[CloudFront.3] CloudFront Distributionen sollten während der Übertragung verschlüsselt werden müssen

[CloudFront.4] Bei CloudFront Distributionen sollte das Origin-Failover konfiguriert sein

[CloudFront.5] Bei CloudFront Distributionen sollte die Protokollierung aktiviert sein

[CloudFront.6] CloudFront Distributionen sollten aktiviert worden sein WAF

[CloudFront.7] CloudFront Distributionen sollten benutzerdefinierte SSL /-Zertifikate verwenden TLS

[CloudFront.8] CloudFront Distributionen sollten zur Bearbeitung von Anfragen verwendet SNI werden HTTPS

[CloudFront.9] CloudFront Distributionen sollten den Datenverkehr zu benutzerdefinierten Ursprüngen verschlüsseln

[CloudFront.10] CloudFront Distributionen sollten keine veralteten SSL Protokolle zwischen Edge-Standorten und benutzerdefinierten Ursprüngen verwenden

[CloudFront.12] CloudFront Distributionen sollten nicht auf nicht existierende S3-Ursprünge verweisen

[CloudFront.13] CloudFront Distributionen sollten die Origin-Zugriffskontrolle verwenden

[CloudFront.14] CloudFront Distributionen sollten markiert werden

[CodeArtifact.1] CodeArtifact Repositorien sollten markiert werden

[DynamoDB.3] DynamoDB Accelerator (DAX) -Cluster sollten im Ruhezustand verschlüsselt werden

[DynamoDB.7] DynamoDB Accelerator-Cluster sollten bei der Übertragung verschlüsselt werden

[EC2.24] EC2 Paravirtual-Instance-Typen von Amazon sollten nicht verwendet werden

[EC2.58] VPCs sollte mit einem Schnittstellenendpunkt für Systems Manager Incident Manager-Kontakte konfiguriert sein

[EC2.60] VPCs sollte mit einem Schnittstellenendpunkt für Systems Manager Incident Manager konfiguriert werden

[EC2.61] VPCs sollte mit einem Schnittstellenendpunkt für Systems Manager Quick Setup konfiguriert sein

[EC2.83] VPCs sollte mit einem Schnittstellenendpunkt für SageMaker AI Runtime konfiguriert werden für FIPS

[EC2.94] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für SES

[EC2.101] VPCs sollte mit einem Schnittstellenendpunkt für Amazon MWAA konfiguriert werden für FIPS

[EC2.103] VPCs sollte mit einem Schnittstellenendpunkt für die MWAA FIPS Amazon-Umgebung konfiguriert werden

[EC2.104] VPCs sollte mit einem Schnittstellenendpunkt für den MWAA Amazon-Betreiber konfiguriert werden

[EC2.113] VPCs sollte mit einem Schnittstellenendpunkt für RDS Daten konfiguriert werden API

[EC2.121] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für CodeArtifact API

[EC2.122] VPCs sollte mit einem Schnittstellen-Endpunkt für CodeArtifact Repositorys konfiguriert werden

[EC2.125] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Managed Service for Prometheus konfiguriert sein

[EC2.127] VPCs sollte mit einem Schnittstellenendpunkt für S3 Multi-Region Access Points konfiguriert werden

[EC2.128] VPCs sollte mit einem Schnittstellenendpunkt für AMB Query konfiguriert werden

[EC2.129] VPCs sollte mit einem Schnittstellenendpunkt für AMB Access Bitcoin konfiguriert sein

[EC2.130] VPCs sollte mit einem Schnittstellen-Endpunkt für AMB Bitcoin Testnet konfiguriert werden

[EC2.135] VPCs sollte mit einem Schnittstellenendpunkt für Amazon konfiguriert sein AppStream API

[EC2.136] VPCs sollte mit einem Schnittstellenendpunkt für Amazon AppStream Streaming konfiguriert sein

[EC2.138] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für AWS CodeConnections API

[EC2.139] VPCs sollte mit einem Schnittstellenendpunkt für AWS CodeStar Connections konfiguriert werden API

[EC2.141] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Textract konfiguriert sein

[EC2.146] VPCs sollte mit einem Schnittstellenendpunkt für Auto Scaling konfiguriert werden

[EC2.147] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Bedrock konfiguriert sein

[EC2.150] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Comprehend konfiguriert sein

[EC2.151] VPCs sollte mit einem Schnittstellen-Endpunkt für App Runner konfiguriert werden

[EC2.158] VPCs sollte mit einem Schnittstellenendpunkt für IoT Core Fleet Hub konfiguriert werden

[EC2.161] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Rekognition konfiguriert sein

[EC2.162] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Managed Service for Prometheus konfiguriert sein

[EC2.163] VPCs sollte mit einem Schnittstellen-Endpunkt für Elastic Inference Runtime konfiguriert sein

[EC2.165] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Bedrock konfiguriert sein

[ECR.4] ECR Öffentliche Repositorien sollten markiert werden

[EventBridge.4] Auf EventBridge globalen Endpunkten sollte die Ereignisreplikation aktiviert sein

[GlobalAccelerator.1] Global Accelerator-Beschleuniger sollten markiert werden

[IAM.26] AbgelaufeneSSL//In verwaltete TLS Zertifikate IAM sollten entfernt werden

[Inspector.3] Das Scannen von Amazon Inspector Lambda-Code sollte aktiviert sein

[MSK.3] MSK Connect-Anschlüsse sollten bei der Übertragung verschlüsselt werden

[RDS.10] Die IAM Authentifizierung sollte für RDS Instances konfiguriert werden

[RDS.14] Bei Amazon Aurora Aurora-Clustern sollte Backtracking aktiviert sein

[RDS.31] RDS DB-Sicherheitsgruppen sollten markiert werden

[Route 53.1] Route 53-Zustandsprüfungen sollten gekennzeichnet sein

[Route 53.2] Öffentliche, gehostete Zonen in Route 53 sollten Abfragen protokollieren DNS

[S3.24] Für S3-Access Points mit mehreren Regionen sollten die Einstellungen für die Blockierung des öffentlichen Zugriffs aktiviert sein

[SES.1] SES Kontaktlisten sollten mit Tags versehen werden

[SES.2] SES Konfigurationssätze sollten mit Tags versehen werden

[WAF.1] Die AWS WAF klassische globale ACL Webprotokollierung sollte aktiviert sein

[WAF.6] AWS WAF Klassische globale Regeln sollten mindestens eine Bedingung haben

[WAF.7] AWS WAF Klassische globale Regelgruppen sollten mindestens eine Regel haben

[WAF.8] Das AWS WAF klassische globale Web ACLs sollte mindestens eine Regel oder Regelgruppe enthalten

[WorkSpaces.1] WorkSpaces Benutzervolumes sollten im Ruhezustand verschlüsselt werden

[WorkSpaces.2] WorkSpaces Root-Volumes sollten im Ruhezustand verschlüsselt werden

[Konto.2] AWS-Konten sollte Teil eines sein AWS Organizations Organisation

[APIGateway.1] API Gateway REST und WebSocket API Ausführungsprotokollierung sollten aktiviert sein

[APIGateway.2] API REST API Gateway-Phasen sollten so konfiguriert werden, dass sie SSL Zertifikate für die Backend-Authentifizierung verwenden

[APIGateway.3] Bei API REST API Gateway-Phasen sollte die AWS X-Ray Ablaufverfolgung aktiviert sein

[APIGateway.4] API Gateway sollte mit einem Web verknüpft sein WAF ACL

[APIGateway.8] API Gateway-Routen sollten einen Autorisierungstyp angeben

[APIGateway.9] Die Zugriffsprotokollierung sollte für API Gateway V2-Stufen konfiguriert werden

[AppSync.1] AWS AppSync API Caches sollten im Ruhezustand verschlüsselt werden

[AppSync.6] AWS AppSync API Caches sollten bei der Übertragung verschlüsselt werden

[Autoscaling.5] EC2 Amazon-Instances, die mit Auto Scaling Scaling-Gruppenstartkonfigurationen gestartet wurden, sollten keine öffentlichen IP-Adressen haben

[Sicherung.1] AWS Backup Wiederherstellungspunkte sollten im Ruhezustand verschlüsselt werden

[Sicherung.2] AWS Backup Wiederherstellungspunkte sollten markiert werden

[Sicherung.4] AWS Backup Berichtspläne sollten markiert werden

[CloudFormation.2] CloudFormation Stapel sollten markiert werden

Bei [CloudFront.1] CloudFront Distributionen sollte ein Standard-Root-Objekt konfiguriert sein

[CloudFront.3] CloudFront Distributionen sollten während der Übertragung verschlüsselt werden müssen

[CloudFront.4] Bei CloudFront Distributionen sollte das Origin-Failover konfiguriert sein

[CloudFront.5] Bei CloudFront Distributionen sollte die Protokollierung aktiviert sein

[CloudFront.6] CloudFront Distributionen sollten aktiviert worden sein WAF

[CloudFront.7] CloudFront Distributionen sollten benutzerdefinierte SSL /-Zertifikate verwenden TLS

[CloudFront.8] CloudFront Distributionen sollten zur Bearbeitung von Anfragen verwendet SNI werden HTTPS

[CloudFront.9] CloudFront Distributionen sollten den Datenverkehr zu benutzerdefinierten Ursprüngen verschlüsseln

[CloudFront.10] CloudFront Distributionen sollten keine veralteten SSL Protokolle zwischen Edge-Standorten und benutzerdefinierten Ursprüngen verwenden

[CloudFront.12] CloudFront Distributionen sollten nicht auf nicht existierende S3-Ursprünge verweisen

[CloudFront.13] CloudFront Distributionen sollten die Origin-Zugriffskontrolle verwenden

[CloudFront.14] CloudFront Distributionen sollten markiert werden

[CodeArtifact.1] CodeArtifact Repositorien sollten markiert werden

[CodeBuild.1] Das CodeBuild Bitbucket-Quell-Repository URLs sollte keine vertraulichen Anmeldeinformationen enthalten

[CodeBuild.2] CodeBuild Projektumgebungsvariablen sollten keine Klartext-Anmeldeinformationen enthalten

[CodeBuild.3] CodeBuild S3-Protokolle sollten verschlüsselt sein

[CodeBuild1.4] CodeBuild Projektumgebungen sollten eine AWS Config Protokollierungsdauer haben

[CodeBuild.7] Exporte von CodeBuild Berichtsgruppen sollten im Ruhezustand verschlüsselt werden

[Detective.1] Verhaltensdiagramme von Detektiven sollten markiert werden

[DMS.1] Replikationsinstanzen des Database Migration Service sollten nicht öffentlich sein

[DMS.2] DMS Zertifikate sollten markiert werden

[DMS.3] DMS Event-Abonnements sollten mit Tags versehen werden

[DMS.4] DMS Replikationsinstanzen sollten markiert werden

[DMS.5] DMS Replikations-Subnetzgruppen sollten markiert werden

[DMS.6] Für DMS Replikationsinstanzen sollte das automatische Upgrade der Nebenversionen aktiviert sein

[DMS.7] Bei DMS Replikationsaufgaben für die Zieldatenbank sollte die Protokollierung aktiviert sein

[DMS.8] Bei DMS Replikationsaufgaben für die Quelldatenbank sollte die Protokollierung aktiviert sein

[DMS.9] DMS Endgeräte sollten verwenden SSL

[DMS.10] Auf DMS Endpunkten für Neptune-Datenbanken sollte die Autorisierung aktiviert sein IAM

[DMS.11] Auf DMS Endpunkten für MongoDB sollte ein Authentifizierungsmechanismus aktiviert sein

[DMS.12] DMS Endpunkte für Redis hätten aktiviert sein müssen OSS TLS

[DocumentDB.1] Amazon DocumentDB-Cluster sollten im Ruhezustand verschlüsselt werden

[DocumentDB.2] Amazon DocumentDB-Cluster sollten über eine angemessene Aufbewahrungsfrist für Backups verfügen

[DocumentDB.3] Manuelle Cluster-Snapshots von Amazon DocumentDB sollten nicht öffentlich sein

[DocumentDB.4] Amazon DocumentDB-Cluster sollten Auditprotokolle in Logs veröffentlichen CloudWatch

[DocumentDB.5] Bei Amazon DocumentDB-Clustern sollte der Löschschutz aktiviert sein

[DynamoDB.3] DynamoDB Accelerator (DAX) -Cluster sollten im Ruhezustand verschlüsselt werden

[DynamoDB.4] DynamoDB-Tabellen sollten in einem Backup-Plan vorhanden sein

[DynamoDB.7] DynamoDB Accelerator-Cluster sollten bei der Übertragung verschlüsselt werden

[EC2.13] Sicherheitsgruppen sollten keinen Zugang von 0.0.0.0/0 oder: :/0 zu Port 22 zulassen

[EC2.14] Sicherheitsgruppen sollten keinen Zugriff von 0.0.0.0/0 oder: :/0 auf Port 3389 zulassen

[EC2.18] Sicherheitsgruppen sollten nur uneingeschränkten eingehenden Datenverkehr für autorisierte Ports zulassen

[EC2.22] Ungenutzte EC2 Amazon-Sicherheitsgruppen sollten entfernt werden

[EC2.24] EC2 Paravirtual-Instance-Typen von Amazon sollten nicht verwendet werden

[EC2.28] EBS Volumes sollten durch einen Backup-Plan abgedeckt werden

[EC2.51] Auf EC2 VPN Client-Endpunkten sollte die Protokollierung der Client-Verbindungen aktiviert sein

[EC2.58] VPCs sollte mit einem Schnittstellenendpunkt für Systems Manager Incident Manager-Kontakte konfiguriert sein

[EC2.60] VPCs sollte mit einem Schnittstellenendpunkt für Systems Manager Incident Manager konfiguriert werden

[EC2.61] VPCs sollte mit einem Schnittstellenendpunkt für Systems Manager Quick Setup konfiguriert sein

[EC2.83] VPCs sollte mit einem Schnittstellenendpunkt für SageMaker AI Runtime konfiguriert werden für FIPS

[EC2.94] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für SES

[EC2.101] VPCs sollte mit einem Schnittstellenendpunkt für Amazon MWAA konfiguriert werden für FIPS

[EC2.103] VPCs sollte mit einem Schnittstellenendpunkt für die MWAA FIPS Amazon-Umgebung konfiguriert werden

[EC2.104] VPCs sollte mit einem Schnittstellenendpunkt für den MWAA Amazon-Betreiber konfiguriert werden

[EC2.113] VPCs sollte mit einem Schnittstellenendpunkt für RDS Daten konfiguriert werden API

[EC2.120] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für ElastiCache

[EC2.121] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für CodeArtifact API

[EC2.122] VPCs sollte mit einem Schnittstellen-Endpunkt für CodeArtifact Repositorys konfiguriert werden

[EC2.123] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Redshift konfiguriert sein

[EC2.124] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für CodeDeploy

[EC2.125] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Managed Service for Prometheus konfiguriert sein

[EC2.127] VPCs sollte mit einem Schnittstellenendpunkt für S3 Multi-Region Access Points konfiguriert werden

[EC2.128] VPCs sollte mit einem Schnittstellenendpunkt für AMB Query konfiguriert werden

[EC2.129] VPCs sollte mit einem Schnittstellenendpunkt für AMB Access Bitcoin konfiguriert sein

[EC2.130] VPCs sollte mit einem Schnittstellen-Endpunkt für AMB Bitcoin Testnet konfiguriert werden

[EC2.135] VPCs sollte mit einem Schnittstellenendpunkt für Amazon konfiguriert sein AppStream API

[EC2.136] VPCs sollte mit einem Schnittstellenendpunkt für Amazon AppStream Streaming konfiguriert sein

[EC2.138] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für AWS CodeConnections API

[EC2.139] VPCs sollte mit einem Schnittstellenendpunkt für AWS CodeStar Connections konfiguriert werden API

[EC2.141] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Textract konfiguriert sein

[EC2.142] VPCs sollte mit einem Schnittstellenendpunkt für Keyspaces konfiguriert werden

[EC2.146] VPCs sollte mit einem Schnittstellenendpunkt für Auto Scaling konfiguriert werden

[EC2.147] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Bedrock konfiguriert sein

[EC2.148] VPCs sollte mit einem Schnittstellenendpunkt für Batch konfiguriert werden

[EC2.150] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Comprehend konfiguriert sein

[EC2.151] VPCs sollte mit einem Schnittstellen-Endpunkt für App Runner konfiguriert werden

[EC2.156] VPCs sollte mit einem Schnittstellenendpunkt für IoT Core Data konfiguriert sein

[EC2.157] VPCs sollte mit einem Schnittstellenendpunkt für IoT Core Credentials konfiguriert werden

[EC2.158] VPCs sollte mit einem Schnittstellenendpunkt für IoT Core Fleet Hub konfiguriert werden

[EC2.161] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Rekognition konfiguriert sein

[EC2.162] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Managed Service for Prometheus konfiguriert sein

[EC2.163] VPCs sollte mit einem Schnittstellen-Endpunkt für Elastic Inference Runtime konfiguriert sein

[EC2.164] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für CloudWatch

[EC2.165] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Bedrock konfiguriert sein

[EC2.166] VPCs sollte mit einem Schnittstellenendpunkt für Security Hub konfiguriert sein

[EC2.168] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Transcribe Medical konfiguriert sein

[ECR.4] ECR Öffentliche Repositorien sollten markiert werden

[ECS.9] ECS Aufgabendefinitionen sollten über eine Protokollierungskonfiguration verfügen

[EFS.1] Elastic File System sollte so konfiguriert sein, dass ruhende Dateidaten verschlüsselt werden mit AWS KMS

[EFS.2] EFS Amazon-Volumes sollten in Backup-Plänen enthalten sein

Bei [ElastiCache.1] ElastiCache (Redis-OSS) Clustern sollten automatische Backups aktiviert sein

[ElastiCache.6] Für ElastiCache (RedisOSS) -Replikationsgruppen früherer Versionen sollte Redis aktiviert sein OSS AUTH

[ElastiCache.7] ElastiCache Cluster sollten nicht die Standard-Subnetzgruppe verwenden

[ElasticBeanstalk.1] Elastic Beanstalk Beanstalk-Umgebungen sollten erweiterte Gesundheitsberichte aktiviert haben

[ElasticBeanstalk.2] Von Elastic Beanstalk verwaltete Plattformupdates sollten aktiviert sein

[EMR.1] Primäre EMR Amazon-Clusterknoten sollten keine öffentlichen IP-Adressen haben

[ES.1] Bei Elasticsearch-Domains sollte die Verschlüsselung im Ruhezustand aktiviert sein

[ES.2] Elasticsearch-Domains sollten nicht öffentlich zugänglich sein

[ES.3] Elasticsearch-Domains sollten Daten verschlüsseln, die zwischen Knoten gesendet werden

[EventBridge.4] Auf EventBridge globalen Endpunkten sollte die Ereignisreplikation aktiviert sein

[GlobalAccelerator.1] Global Accelerator-Beschleuniger sollten markiert werden

[Kleber.1] AWS Glue Jobs sollten markiert werden

[Kleber.2] AWS Glue Für Jobs sollte die Protokollierung aktiviert sein

[Kleber.3] AWS Glue Transformationen für maschinelles Lernen sollten im Ruhezustand verschlüsselt werden

[GuardDuty.2] GuardDuty Filter sollten mit Tags versehen sein

[IAM.18] Stellen Sie sicher, dass eine Support-Rolle für die Verwaltung von Vorfällen eingerichtet wurde AWS Support

[IAM.26] AbgelaufeneSSL//In verwaltete TLS Zertifikate IAM sollten entfernt werden

[Inspector.3] Das Scannen von Amazon Inspector Lambda-Code sollte aktiviert sein

[IoT.1] AWS IoT Device Defender Sicherheitsprofile sollten markiert werden

[IoT.2] AWS IoT Core Maßnahmen zur Schadensbegrenzung sollten gekennzeichnet werden

[IoT.3] AWS IoT Core Dimensionen sollten markiert werden

[IoT.4] AWS IoT Core Autorisierer sollten markiert werden

[IoT.5] AWS IoT Core Rollenaliase sollten markiert werden

[IoT.6] AWS IoT Core Richtlinien sollten markiert werden

[Macie.1] Amazon Macie sollte aktiviert sein

[Macie.2] Die automatische Erkennung sensibler Daten durch Macie sollte aktiviert sein

[MSK.3] MSK Connect-Anschlüsse sollten bei der Übertragung verschlüsselt werden

[Neptune.1] Neptune-DB-Cluster sollten im Ruhezustand verschlüsselt werden

[Neptune.2] Neptune-DB-Cluster sollten Audit-Logs in Logs veröffentlichen CloudWatch

[Neptune.3] Neptune-DB-Cluster-Snapshots sollten nicht öffentlich sein

[Neptune.4] Bei Neptune-DB-Clustern sollte der Löschschutz aktiviert sein

[Neptune.5] Bei Neptune-DB-Clustern sollten automatische Backups aktiviert sein

[Neptune.6] Neptune-DB-Cluster-Snapshots sollten im Ruhezustand verschlüsselt werden

[Neptune.7] Bei Neptune-DB-Clustern sollte die Datenbankauthentifizierung aktiviert sein IAM

[Neptune.8] Neptune-DB-Cluster sollten so konfiguriert sein, dass sie Tags in Snapshots kopieren

[Neptune.9] Neptune-DB-Cluster sollten in mehreren Availability Zones bereitgestellt werden

Für [Opensearch.5] OpenSearch -Domains sollte die Audit-Protokollierung aktiviert sein

[Opensearch.6] OpenSearch -Domains sollten mindestens drei Datenknoten haben

[RDS.9] RDS DB-Instances sollten Protokolle in Logs veröffentlichen CloudWatch

[RDS.14] Bei Amazon Aurora Aurora-Clustern sollte Backtracking aktiviert sein

[RDS.26] RDS DB-Instances sollten durch einen Backup-Plan geschützt werden

[RDS.31] RDS DB-Sicherheitsgruppen sollten markiert werden

[Redshift.1] Amazon Redshift Redshift-Cluster sollten den öffentlichen Zugriff verbieten

[Redshift.2] Verbindungen zu Amazon Redshift Redshift-Clustern sollten bei der Übertragung verschlüsselt werden

[Redshift.3] Bei Amazon Redshift Redshift-Clustern sollten automatische Snapshots aktiviert sein

[Redshift.7] Redshift-Cluster sollten erweitertes Routing verwenden VPC

[Redshift.9] Redshift-Cluster sollten nicht den Standard-Datenbanknamen verwenden

[Redshift.10] Redshift-Cluster sollten im Ruhezustand verschlüsselt werden

[Route 53.1] Route 53-Zustandsprüfungen sollten gekennzeichnet sein

[Route 53.2] Öffentliche, gehostete Zonen in Route 53 sollten Abfragen protokollieren DNS

[S3.11] Bei S3-Allzweck-Buckets sollten Ereignisbenachrichtigungen aktiviert sein

[S3.24] Für S3-Access Points mit mehreren Regionen sollten die Einstellungen für die Blockierung des öffentlichen Zugriffs aktiviert sein

[SageMaker AI.1] Amazon SageMaker AI-Notebook-Instances sollten keinen direkten Internetzugang haben

[ServiceCatalog.1] Servicekatalog-Portfolios sollten innerhalb eines gemeinsam genutzt werden AWS nur Organisation

[SQS.1] SQS Amazon-Warteschlangen sollten im Ruhezustand verschlüsselt sein

[SQS.2] SQS Warteschlangen sollten markiert werden

[SSM.1] EC2 Amazon-Instances sollten verwaltet werden von AWS Systems Manager

[SSM.2] Von Systems Manager verwaltete EC2 Amazon-Instances sollten COMPLIANT nach einer Patch-Installation den Patch-Compliance-Status von haben

[SSM.3] Von Systems Manager verwaltete EC2 Amazon-Instances sollten den Zuordnungs-Compliance-Status von haben COMPLIANT

[WAF.1] Die AWS WAF klassische globale ACL Webprotokollierung sollte aktiviert sein

[WAF.3] AWS WAF Klassische regionale Regelgruppen sollten mindestens eine Regel haben

[WAF.6] AWS WAF Klassische globale Regeln sollten mindestens eine Bedingung haben

[WAF.7] AWS WAF Klassische globale Regelgruppen sollten mindestens eine Regel haben

[WAF.8] Das AWS WAF klassische globale Web ACLs sollte mindestens eine Regel oder Regelgruppe enthalten

[WAF.10] AWS WAF web ACLs sollte mindestens eine Regel oder Regelgruppe haben

[WorkSpaces.1] WorkSpaces Benutzervolumes sollten im Ruhezustand verschlüsselt werden

[WorkSpaces.2] WorkSpaces Root-Volumes sollten im Ruhezustand verschlüsselt werden

[Konto.2] AWS-Konten sollte Teil eines sein AWS Organizations Organisation

[APIGateway.3] Bei API REST API Gateway-Phasen sollte die AWS X-Ray Ablaufverfolgung aktiviert sein

[APIGateway.4] API Gateway sollte mit einem Web verknüpft sein WAF ACL

[APIGateway.8] API Gateway-Routen sollten einen Autorisierungstyp angeben

[APIGateway.9] Die Zugriffsprotokollierung sollte für API Gateway V2-Stufen konfiguriert werden

[AppSync.1] AWS AppSync API Caches sollten im Ruhezustand verschlüsselt werden

[AppSync.6] AWS AppSync API Caches sollten bei der Übertragung verschlüsselt werden

[Athena.4] Bei Athena-Arbeitsgruppen sollte die Protokollierung aktiviert sein

[Sicherung.1] AWS Backup Wiederherstellungspunkte sollten im Ruhezustand verschlüsselt werden

[Sicherung.2] AWS Backup Wiederherstellungspunkte sollten markiert werden

[Sicherung.4] AWS Backup Berichtspläne sollten markiert werden

[CloudFormation.2] CloudFormation Stapel sollten markiert werden

Bei [CloudFront.1] CloudFront Distributionen sollte ein Standard-Root-Objekt konfiguriert sein

[CloudFront.3] CloudFront Distributionen sollten während der Übertragung verschlüsselt werden müssen

[CloudFront.4] Bei CloudFront Distributionen sollte das Origin-Failover konfiguriert sein

[CloudFront.5] Bei CloudFront Distributionen sollte die Protokollierung aktiviert sein

[CloudFront.6] CloudFront Distributionen sollten aktiviert worden sein WAF

[CloudFront.7] CloudFront Distributionen sollten benutzerdefinierte SSL /-Zertifikate verwenden TLS

[CloudFront.8] CloudFront Distributionen sollten zur Bearbeitung von Anfragen verwendet SNI werden HTTPS

[CloudFront.9] CloudFront Distributionen sollten den Datenverkehr zu benutzerdefinierten Ursprüngen verschlüsseln

[CloudFront.10] CloudFront Distributionen sollten keine veralteten SSL Protokolle zwischen Edge-Standorten und benutzerdefinierten Ursprüngen verwenden

[CloudFront.12] CloudFront Distributionen sollten nicht auf nicht existierende S3-Ursprünge verweisen

[CloudFront.13] CloudFront Distributionen sollten die Origin-Zugriffskontrolle verwenden

[CloudFront.14] CloudFront Distributionen sollten markiert werden

[CloudTrail.6] Stellen Sie sicher, dass der zum Speichern von CloudTrail Protokollen verwendete S3-Bucket nicht öffentlich zugänglich ist

[CloudTrail.7] Stellen Sie sicher, dass die Protokollierung des S3-Bucket-Zugriffs auf dem CloudTrail S3-Bucket aktiviert ist

[CodeArtifact.1] CodeArtifact Repositorien sollten markiert werden

[CodeBuild.1] Das CodeBuild Bitbucket-Quell-Repository URLs sollte keine vertraulichen Anmeldeinformationen enthalten

[CodeBuild.2] CodeBuild Projektumgebungsvariablen sollten keine Klartext-Anmeldeinformationen enthalten

[CodeBuild.7] Exporte von CodeBuild Berichtsgruppen sollten im Ruhezustand verschlüsselt werden

[Detective.1] Verhaltensdiagramme von Detektiven sollten markiert werden

[DMS.1] Replikationsinstanzen des Database Migration Service sollten nicht öffentlich sein

[DMS.2] DMS Zertifikate sollten markiert werden

[DMS.3] DMS Event-Abonnements sollten mit Tags versehen werden

[DMS.4] DMS Replikationsinstanzen sollten markiert werden

[DMS.5] DMS Replikations-Subnetzgruppen sollten markiert werden

[DMS.6] Für DMS Replikationsinstanzen sollte das automatische Upgrade der Nebenversionen aktiviert sein

[DMS.7] Bei DMS Replikationsaufgaben für die Zieldatenbank sollte die Protokollierung aktiviert sein

[DMS.8] Bei DMS Replikationsaufgaben für die Quelldatenbank sollte die Protokollierung aktiviert sein

[DMS.9] DMS Endgeräte sollten verwenden SSL

[DMS.10] Auf DMS Endpunkten für Neptune-Datenbanken sollte die Autorisierung aktiviert sein IAM

[DMS.11] Auf DMS Endpunkten für MongoDB sollte ein Authentifizierungsmechanismus aktiviert sein

[DMS.12] DMS Endpunkte für Redis hätten aktiviert sein müssen OSS TLS

[DynamoDB.3] DynamoDB Accelerator (DAX) -Cluster sollten im Ruhezustand verschlüsselt werden

[DynamoDB.4] DynamoDB-Tabellen sollten in einem Backup-Plan vorhanden sein

[DynamoDB.7] DynamoDB Accelerator-Cluster sollten bei der Übertragung verschlüsselt werden

[EC2.13] Sicherheitsgruppen sollten keinen Zugang von 0.0.0.0/0 oder: :/0 zu Port 22 zulassen

[EC2.14] Sicherheitsgruppen sollten keinen Zugriff von 0.0.0.0/0 oder: :/0 auf Port 3389 zulassen

[EC2.18] Sicherheitsgruppen sollten nur uneingeschränkten eingehenden Datenverkehr für autorisierte Ports zulassen

[EC2.22] Ungenutzte EC2 Amazon-Sicherheitsgruppen sollten entfernt werden

[EC2.24] EC2 Paravirtual-Instance-Typen von Amazon sollten nicht verwendet werden

[EC2.25] EC2 Amazon-Startvorlagen sollten Netzwerkschnittstellen nicht öffentlich IPs zuweisen

[EC2.28] EBS Volumes sollten durch einen Backup-Plan abgedeckt werden

[EC2.34] Routentabellen für EC2 Transit-Gateways sollten mit Tags versehen werden

[EC2.40] EC2 NAT Gateways sollten markiert werden

[EC2.48] VPC Amazon-Flow-Logs sollten mit Tags versehen werden

[EC2.51] Auf EC2 VPN Client-Endpunkten sollte die Protokollierung der Client-Verbindungen aktiviert sein

[EC2.58] VPCs sollte mit einem Schnittstellenendpunkt für Systems Manager Incident Manager-Kontakte konfiguriert sein

[EC2.60] VPCs sollte mit einem Schnittstellenendpunkt für Systems Manager Incident Manager konfiguriert werden

[EC2.61] VPCs sollte mit einem Schnittstellenendpunkt für Systems Manager Quick Setup konfiguriert sein

[EC2.80] VPCs sollte mit einem Schnittstellen-Endpunkt für SageMaker AI Feature Store Runtime konfiguriert werden

[EC2.83] VPCs sollte mit einem Schnittstellenendpunkt für SageMaker AI Runtime konfiguriert werden für FIPS

[EC2.85] VPCs sollte mit einem Schnittstellen-Endpunkt für SageMaker AI Studio konfiguriert werden

[EC2.94] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für SES

[EC2.101] VPCs sollte mit einem Schnittstellenendpunkt für Amazon MWAA konfiguriert werden für FIPS

[EC2.103] VPCs sollte mit einem Schnittstellenendpunkt für die MWAA FIPS Amazon-Umgebung konfiguriert werden

[EC2.104] VPCs sollte mit einem Schnittstellenendpunkt für den MWAA Amazon-Betreiber konfiguriert werden

[EC2.113] VPCs sollte mit einem Schnittstellenendpunkt für RDS Daten konfiguriert werden API

[EC2.115] VPCs sollte mit einem Schnittstellenendpunkt für Amazon konfiguriert sein EMR

[EC2.117] VPCs sollte mit einem Schnittstellenendpunkt für App Mesh konfiguriert werden

[EC2.118] VPCs sollte mit einem Schnittstellenendpunkt für Elastic Beanstalk konfiguriert sein

[EC2.120] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für ElastiCache

[EC2.121] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für CodeArtifact API

[EC2.122] VPCs sollte mit einem Schnittstellen-Endpunkt für CodeArtifact Repositorys konfiguriert werden

[EC2.123] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Redshift konfiguriert sein

[EC2.124] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für CodeDeploy

[EC2.125] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Managed Service for Prometheus konfiguriert sein

[EC2.127] VPCs sollte mit einem Schnittstellenendpunkt für S3 Multi-Region Access Points konfiguriert werden

[EC2.128] VPCs sollte mit einem Schnittstellenendpunkt für AMB Query konfiguriert werden

[EC2.129] VPCs sollte mit einem Schnittstellenendpunkt für AMB Access Bitcoin konfiguriert sein

[EC2.130] VPCs sollte mit einem Schnittstellen-Endpunkt für AMB Bitcoin Testnet konfiguriert werden

[EC2.135] VPCs sollte mit einem Schnittstellenendpunkt für Amazon konfiguriert sein AppStream API

[EC2.136] VPCs sollte mit einem Schnittstellenendpunkt für Amazon AppStream Streaming konfiguriert sein

[EC2.137] VPCs sollte mit einem Schnittstellenendpunkt für Elastic Beanstalk konfiguriert sein

[EC2.138] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für AWS CodeConnections API

[EC2.139] VPCs sollte mit einem Schnittstellenendpunkt für AWS CodeStar Connections konfiguriert werden API

[EC2.141] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Textract konfiguriert sein

[EC2.142] VPCs sollte mit einem Schnittstellenendpunkt für Keyspaces konfiguriert werden

[EC2.146] VPCs sollte mit einem Schnittstellenendpunkt für Auto Scaling konfiguriert werden

[EC2.147] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Bedrock konfiguriert sein

[EC2.148] VPCs sollte mit einem Schnittstellenendpunkt für Batch konfiguriert werden

[EC2.150] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Comprehend konfiguriert sein

[EC2.151] VPCs sollte mit einem Schnittstellen-Endpunkt für App Runner konfiguriert werden

[EC2.152] VPCs sollte mit einem Schnittstellenendpunkt für EMR Serverless konfiguriert werden

[EC2.155] VPCs sollte mit einem Schnittstellenendpunkt für Amazon EMR konfiguriert sein EKS

[EC2.156] VPCs sollte mit einem Schnittstellenendpunkt für IoT Core Data konfiguriert sein

[EC2.157] VPCs sollte mit einem Schnittstellenendpunkt für IoT Core Credentials konfiguriert werden

[EC2.158] VPCs sollte mit einem Schnittstellenendpunkt für IoT Core Fleet Hub konfiguriert werden

[EC2.161] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Rekognition konfiguriert sein

[EC2.162] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Managed Service for Prometheus konfiguriert sein

[EC2.163] VPCs sollte mit einem Schnittstellen-Endpunkt für Elastic Inference Runtime konfiguriert sein

[EC2.164] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für CloudWatch

[EC2.165] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Bedrock konfiguriert sein

[EC2.166] VPCs sollte mit einem Schnittstellenendpunkt für Security Hub konfiguriert sein

[EC2.168] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Transcribe Medical konfiguriert sein

[EC2.170] EC2 Startvorlagen sollten Instance Metadata Service Version 2 () IMDSv2 verwenden

[ECR.4] ECR Öffentliche Repositorien sollten markiert werden

[ECS.9] ECS Aufgabendefinitionen sollten über eine Protokollierungskonfiguration verfügen

[EFS.1] Elastic File System sollte so konfiguriert sein, dass ruhende Dateidaten verschlüsselt werden mit AWS KMS

[EFS.2] EFS Amazon-Volumes sollten in Backup-Plänen enthalten sein

[ELB.5] Die Protokollierung von Anwendungen und Classic Load Balancers sollte aktiviert sein

[ELB.14] Classic Load Balancer sollte mit einem defensiven oder strengsten Desync-Minimationsmodus konfiguriert werden

Bei [ElastiCache.1] ElastiCache (Redis-OSS) Clustern sollten automatische Backups aktiviert sein

[ElastiCache.6] Für ElastiCache (RedisOSS) -Replikationsgruppen früherer Versionen sollte Redis aktiviert sein OSS AUTH

[ElastiCache.7] ElastiCache Cluster sollten nicht die Standard-Subnetzgruppe verwenden

[ElasticBeanstalk.1] Elastic Beanstalk Beanstalk-Umgebungen sollten erweiterte Gesundheitsberichte aktiviert haben

[ElasticBeanstalk.2] Von Elastic Beanstalk verwaltete Plattformupdates sollten aktiviert sein

[ElasticBeanstalk.3] Elastic Beanstalk sollte Logs streamen nach CloudWatch

[EMR.1] Primäre EMR Amazon-Clusterknoten sollten keine öffentlichen IP-Adressen haben

[ES.1] Bei Elasticsearch-Domains sollte die Verschlüsselung im Ruhezustand aktiviert sein

[ES.2] Elasticsearch-Domains sollten nicht öffentlich zugänglich sein

[ES.3] Elasticsearch-Domains sollten Daten verschlüsseln, die zwischen Knoten gesendet werden

[ES.4] Die Elasticsearch-Domain-Fehlerprotokollierung in CloudWatch Logs sollte aktiviert sein

[EventBridge.3] An EventBridge benutzerdefinierte Eventbusse sollte eine ressourcenbasierte Richtlinie angehängt werden

[EventBridge.4] Auf EventBridge globalen Endpunkten sollte die Ereignisreplikation aktiviert sein

[GlobalAccelerator.1] Global Accelerator-Beschleuniger sollten markiert werden

[Kleber.1] AWS Glue Jobs sollten markiert werden

[GuardDuty.2] GuardDuty Filter sollten mit Tags versehen sein

[GuardDuty.9] GuardDuty RDS Der Schutz sollte aktiviert sein

[IAM.1] IAM Richtlinien sollten keine vollen „*“ -Administratorrechte zulassen

[IAM.2] IAM Benutzern sollten keine IAM Richtlinien angehängt werden

[IAM.3] IAM Die Zugangsschlüssel der Benutzer sollten alle 90 Tage oder weniger gewechselt werden

[IAM.5] MFA sollte für alle IAM Benutzer aktiviert sein, die ein Konsolenpasswort haben

[IAM.8] Unbenutzte IAM Benutzeranmeldedaten sollten entfernt werden

[IAM.18] Stellen Sie sicher, dass eine Support-Rolle für die Verwaltung von Vorfällen eingerichtet wurde AWS Support

[IAM.19] MFA sollte für alle IAM Benutzer aktiviert sein

[IAM.21] Von Ihnen erstellte, vom IAM Kunden verwaltete Richtlinien sollten keine Platzhalteraktionen für Dienste zulassen

[IAM.22] IAM Benutzeranmeldedaten, die 45 Tage lang nicht verwendet wurden, sollten entfernt werden

[IAM.24] IAM Rollen sollten markiert werden

[IAM.25] IAM Benutzer sollten markiert werden

[IAM.26] AbgelaufeneSSL//In verwaltete TLS Zertifikate IAM sollten entfernt werden

[IAM.27] IAM Identitäten sollte die Richtlinie nicht beigefügt sein AWSCloudShellFullAccess

[Inspector.1] Das EC2 Scannen mit Amazon Inspector sollte aktiviert sein

[Inspector.2] Das ECR Scannen mit Amazon Inspector sollte aktiviert sein

[Inspector.3] Das Scannen von Amazon Inspector Lambda-Code sollte aktiviert sein

[Inspector.4] Das Standardscannen von Amazon Inspector Lambda sollte aktiviert sein

[IoT.1] AWS IoT Device Defender Sicherheitsprofile sollten markiert werden

[IoT.2] AWS IoT Core Maßnahmen zur Schadensbegrenzung sollten gekennzeichnet werden

[IoT.3] AWS IoT Core Dimensionen sollten markiert werden

[IoT.4] AWS IoT Core Autorisierer sollten markiert werden

[IoT.5] AWS IoT Core Rollenaliase sollten markiert werden

[IoT.6] AWS IoT Core Richtlinien sollten markiert werden

[KMS.1] Von IAM Kunden verwaltete Richtlinien sollten Entschlüsselungsaktionen nicht für alle KMS Schlüssel zulassen

[KMS.2] IAM Prinzipale sollten keine IAM Inline-Richtlinien haben, die Entschlüsselungsaktionen für alle Schlüssel zulassen KMS

[Macie.1] Amazon Macie sollte aktiviert sein

[Macie.2] Die automatische Erkennung sensibler Daten durch Macie sollte aktiviert sein

[MQ.2] ActiveMQ-Broker sollten Audit-Logs streamen an CloudWatch

[MQ.3] Bei Amazon MQ-Brokern sollte das automatische Upgrade der Nebenversion aktiviert sein

[MQ.4] Amazon MQ-Broker sollten markiert werden

[MQ.5] ActiveMQ-Broker sollten den Aktiv-/Standby-Bereitstellungsmodus verwenden

[MQ.6] RabbitMQ-Broker sollten den Cluster-Bereitstellungsmodus verwenden

[MSK.3] MSK Connect-Anschlüsse sollten bei der Übertragung verschlüsselt werden

[Neptune.1] Neptune-DB-Cluster sollten im Ruhezustand verschlüsselt werden

[Neptune.2] Neptune-DB-Cluster sollten Audit-Logs in Logs veröffentlichen CloudWatch

[Neptune.3] Neptune-DB-Cluster-Snapshots sollten nicht öffentlich sein

[Neptune.4] Bei Neptune-DB-Clustern sollte der Löschschutz aktiviert sein

[Neptune.5] Bei Neptune-DB-Clustern sollten automatische Backups aktiviert sein

[Neptune.6] Neptune-DB-Cluster-Snapshots sollten im Ruhezustand verschlüsselt werden

[Neptune.7] Bei Neptune-DB-Clustern sollte die Datenbankauthentifizierung aktiviert sein IAM

[Neptune.8] Neptune-DB-Cluster sollten so konfiguriert sein, dass sie Tags in Snapshots kopieren

[Neptune.9] Neptune-DB-Cluster sollten in mehreren Availability Zones bereitgestellt werden

Bei [Opensearch.1] OpenSearch -Domains sollte die Verschlüsselung im Ruhezustand aktiviert sein

[Opensearch.2] OpenSearch -Domains sollten nicht öffentlich zugänglich sein

[Opensearch.3] OpenSearch -Domains sollten Daten verschlüsseln, die zwischen Knoten gesendet werden

Die Protokollierung von [Opensearch.4] OpenSearch Domain-Fehlern in CloudWatch Logs sollte aktiviert sein

Für [Opensearch.5] OpenSearch -Domains sollte die Audit-Protokollierung aktiviert sein

[Opensearch.6] OpenSearch -Domains sollten mindestens drei Datenknoten haben

Für [Opensearch.7] OpenSearch -Domains sollte eine differenzierte Zugriffskontrolle aktiviert sein

[Opensearch.8] Verbindungen zu OpenSearch Domains sollten mit der neuesten Sicherheitsrichtlinie verschlüsselt werden TLS

[Opensearch.9] OpenSearch -Domains sollten mit Tags versehen werden

Auf [Opensearch.10] OpenSearch -Domains sollte das neueste Softwareupdate installiert sein

[Opensearch.11] OpenSearch Domains sollten mindestens drei dedizierte Primärknoten haben

[RDS.2] RDS DB-Instances sollten, wie in der Konfiguration festgelegt, den PubliclyAccessible öffentlichen Zugriff verbieten

[RDS.7] Bei RDS Clustern sollte der Löschschutz aktiviert sein

[RDS.9] RDS DB-Instances sollten Protokolle in Logs veröffentlichen CloudWatch

[RDS.12] Die IAM Authentifizierung sollte für RDS Cluster konfiguriert werden

[RDS.14] Bei Amazon Aurora Aurora-Clustern sollte Backtracking aktiviert sein

[RDS.15] RDS DB-Cluster sollten für mehrere Availability Zones konfiguriert werden

[RDS.26] RDS DB-Instances sollten durch einen Backup-Plan geschützt werden

[RDS.31] RDS DB-Sicherheitsgruppen sollten markiert werden

[RDS.35] Bei RDS DB-Clustern sollte das automatische Upgrade auf Nebenversionen aktiviert sein

[RDS3.7] Aurora SQL Postgre-DB-Cluster sollten Protokolle in Logs veröffentlichen CloudWatch

[Redshift.1] Amazon Redshift Redshift-Cluster sollten den öffentlichen Zugriff verbieten

[Redshift.2] Verbindungen zu Amazon Redshift Redshift-Clustern sollten bei der Übertragung verschlüsselt werden

[Redshift.3] Bei Amazon Redshift Redshift-Clustern sollten automatische Snapshots aktiviert sein

[Redshift.6] Bei Amazon Redshift sollten automatische Upgrades auf Hauptversionen aktiviert sein

[Redshift.7] Redshift-Cluster sollten erweitertes Routing verwenden VPC

[Redshift.10] Redshift-Cluster sollten im Ruhezustand verschlüsselt werden

[Route 53.1] Route 53-Zustandsprüfungen sollten gekennzeichnet sein

[Route 53.2] Öffentliche, gehostete Zonen in Route 53 sollten Abfragen protokollieren DNS

[S3.6] Allgemeine S3-Bucket-Richtlinien sollten den Zugriff auf andere einschränken AWS-Konten

[S3.17] S3-Allzweck-Buckets sollten im Ruhezustand verschlüsselt werden mit AWS KMS keys

[S3.24] Für S3-Access Points mit mehreren Regionen sollten die Einstellungen für die Blockierung des öffentlichen Zugriffs aktiviert sein

[SageMaker AI.1] Amazon SageMaker AI-Notebook-Instances sollten keinen direkten Internetzugang haben

[SageMaker AI.2] SageMaker KI-Notebook-Instances sollten in einer benutzerdefinierten Version gestartet werden VPC

[SageMaker AI.3] Benutzer sollten keinen Root-Zugriff auf SageMaker KI-Notebook-Instances haben

[SES.1] SES Kontaktlisten sollten mit Tags versehen werden

[SES.2] SES Konfigurationssätze sollten mit Tags versehen werden

[SQS.1] SQS Amazon-Warteschlangen sollten im Ruhezustand verschlüsselt sein

[SQS.2] SQS Warteschlangen sollten markiert werden

[SSM.1] EC2 Amazon-Instances sollten verwaltet werden von AWS Systems Manager

[SSM.2] Von Systems Manager verwaltete EC2 Amazon-Instances sollten COMPLIANT nach einer Patch-Installation den Patch-Compliance-Status von haben

[SSM.3] Von Systems Manager verwaltete EC2 Amazon-Instances sollten den Zuordnungs-Compliance-Status von haben COMPLIANT

[StepFunctions.1] Step Functions Functions-Zustandsmaschinen sollten die Protokollierung aktiviert haben

[WAF.1] Die AWS WAF klassische globale ACL Webprotokollierung sollte aktiviert sein

[WAF.3] AWS WAF Klassische regionale Regelgruppen sollten mindestens eine Regel haben

[WAF.6] AWS WAF Klassische globale Regeln sollten mindestens eine Bedingung haben

[WAF.7] AWS WAF Klassische globale Regelgruppen sollten mindestens eine Regel haben

[WAF.8] Das AWS WAF klassische globale Web ACLs sollte mindestens eine Regel oder Regelgruppe enthalten

[WAF.10] AWS WAF web ACLs sollte mindestens eine Regel oder Regelgruppe haben

[WAF.11] Die AWS WAF ACL Webprotokollierung sollte aktiviert sein

[WorkSpaces.1] WorkSpaces Benutzervolumes sollten im Ruhezustand verschlüsselt werden

[WorkSpaces.2] WorkSpaces Root-Volumes sollten im Ruhezustand verschlüsselt werden

[ACM.1] ACM Importierte und ausgestellte Zertifikate sollten nach einem bestimmten Zeitraum erneuert werden

[ACM.2] RSA Zertifikate, die von verwaltet werden, ACM sollten eine Schlüssellänge von mindestens 2.048 Bit verwenden

[ACM.3] ACM Zertifikate sollten mit einem Tag versehen werden

[Konto.1] Sicherheitskontaktinformationen sollten bereitgestellt werden für AWS-Konto

[Konto.2] AWS-Konten sollte Teil eines sein AWS Organizations Organisation

[APIGateway.1] API Gateway REST und WebSocket API Ausführungsprotokollierung sollten aktiviert sein

[APIGateway.2] API REST API Gateway-Phasen sollten so konfiguriert werden, dass sie SSL Zertifikate für die Backend-Authentifizierung verwenden

[APIGateway.3] Bei API REST API Gateway-Phasen sollte die AWS X-Ray Ablaufverfolgung aktiviert sein

[APIGateway.4] API Gateway sollte mit einem Web verknüpft sein WAF ACL

[APIGateway.5] API REST API Gateway-Cache-Daten sollten im Ruhezustand verschlüsselt werden

[APIGateway.8] API Gateway-Routen sollten einen Autorisierungstyp angeben

[APIGateway.9] Die Zugriffsprotokollierung sollte für API Gateway V2-Stufen konfiguriert werden

[AppSync.1] AWS AppSync API Caches sollten im Ruhezustand verschlüsselt werden

[AppSync.2] AWS AppSync sollte die Protokollierung auf Feldebene aktiviert haben

[AppSync.4] AWS AppSync GraphQL APIs sollte markiert sein

[AppSync.5] AWS AppSync GraphQL APIs sollte nicht mit Schlüsseln authentifiziert werden API

[AppSync.6] AWS AppSync API Caches sollten bei der Übertragung verschlüsselt werden

[Athena.2] Athena-Datenkataloge sollten mit Tags versehen werden

[Athena.3] Athena-Arbeitsgruppen sollten markiert werden

[Athena.4] Bei Athena-Arbeitsgruppen sollte die Protokollierung aktiviert sein

[AutoScaling.1] Auto Scaling Scaling-Gruppen, die einem Load Balancer zugeordnet sind, sollten ELB Integritätsprüfungen verwenden

[AutoScaling.2] Die Amazon EC2 Auto Scaling Scaling-Gruppe sollte mehrere Availability Zones abdecken

[AutoScaling.3] Auto Scaling Scaling-Gruppenstartkonfigurationen sollten EC2 Instances so konfigurieren, dass sie Instance Metadata Service Version 2 (IMDSv2) benötigen

[AutoScaling.6] Auto Scaling Scaling-Gruppen sollten mehrere Instance-Typen in mehreren Availability Zones verwenden

[AutoScaling.9] Amazon EC2 Auto Scaling Scaling-Gruppen sollten EC2 Amazon-Startvorlagen verwenden

[Autoscaling.5] EC2 Amazon-Instances, die mit Auto Scaling Scaling-Gruppenstartkonfigurationen gestartet wurden, sollten keine öffentlichen IP-Adressen haben

[Sicherung.1] AWS Backup Wiederherstellungspunkte sollten im Ruhezustand verschlüsselt werden

[Sicherung.2] AWS Backup Wiederherstellungspunkte sollten markiert werden

[Sicherung.3] AWS Backup Tresore sollten markiert werden

[Sicherung.4] AWS Backup Berichtspläne sollten markiert werden

[Sicherung.5] AWS Backup Backup-Pläne sollten markiert werden

[CloudFormation.2] CloudFormation Stapel sollten markiert werden

Bei [CloudFront.1] CloudFront Distributionen sollte ein Standard-Root-Objekt konfiguriert sein

[CloudFront.3] CloudFront Distributionen sollten während der Übertragung verschlüsselt werden müssen

[CloudFront.4] Bei CloudFront Distributionen sollte das Origin-Failover konfiguriert sein

[CloudFront.5] Bei CloudFront Distributionen sollte die Protokollierung aktiviert sein

[CloudFront.6] CloudFront Distributionen sollten aktiviert worden sein WAF

[CloudFront.7] CloudFront Distributionen sollten benutzerdefinierte SSL /-Zertifikate verwenden TLS

[CloudFront.8] CloudFront Distributionen sollten zur Bearbeitung von Anfragen verwendet SNI werden HTTPS

[CloudFront.9] CloudFront Distributionen sollten den Datenverkehr zu benutzerdefinierten Ursprüngen verschlüsseln

[CloudFront.10] CloudFront Distributionen sollten keine veralteten SSL Protokolle zwischen Edge-Standorten und benutzerdefinierten Ursprüngen verwenden

[CloudFront.12] CloudFront Distributionen sollten nicht auf nicht existierende S3-Ursprünge verweisen

[CloudFront.13] CloudFront Distributionen sollten die Origin-Zugriffskontrolle verwenden

[CloudFront.14] CloudFront Distributionen sollten markiert werden

[CloudTrail.6] Stellen Sie sicher, dass der zum Speichern von CloudTrail Protokollen verwendete S3-Bucket nicht öffentlich zugänglich ist

[CloudTrail.7] Stellen Sie sicher, dass die Protokollierung des S3-Bucket-Zugriffs auf dem CloudTrail S3-Bucket aktiviert ist

[CloudWatch.17] CloudWatch Alarmaktionen sollten aktiviert sein

[CodeArtifact.1] CodeArtifact Repositorien sollten markiert werden

[CodeBuild.1] Das CodeBuild Bitbucket-Quell-Repository URLs sollte keine vertraulichen Anmeldeinformationen enthalten

[CodeBuild.2] CodeBuild Projektumgebungsvariablen sollten keine Klartext-Anmeldeinformationen enthalten

[CodeBuild.3] CodeBuild S3-Protokolle sollten verschlüsselt sein

[CodeBuild1.4] CodeBuild Projektumgebungen sollten eine AWS Config Protokollierungsdauer haben

[CodeBuild.7] Exporte von CodeBuild Berichtsgruppen sollten im Ruhezustand verschlüsselt werden

[DataFirehose.1] Firehose-Lieferstreams sollten im Ruhezustand verschlüsselt werden

Bei [DataSync.1] DataSync Aufgaben sollte die Protokollierung aktiviert sein

[Detective.1] Verhaltensdiagramme von Detektiven sollten markiert werden

[DMS.1] Replikationsinstanzen des Database Migration Service sollten nicht öffentlich sein

[DMS.2] DMS Zertifikate sollten markiert werden

[DMS.3] DMS Event-Abonnements sollten mit Tags versehen werden

[DMS.4] DMS Replikationsinstanzen sollten markiert werden

[DMS.5] DMS Replikations-Subnetzgruppen sollten markiert werden

[DMS.6] Für DMS Replikationsinstanzen sollte das automatische Upgrade der Nebenversionen aktiviert sein

[DMS.7] Bei DMS Replikationsaufgaben für die Zieldatenbank sollte die Protokollierung aktiviert sein

[DMS.8] Bei DMS Replikationsaufgaben für die Quelldatenbank sollte die Protokollierung aktiviert sein

[DMS.9] DMS Endgeräte sollten verwenden SSL

[DMS.10] Auf DMS Endpunkten für Neptune-Datenbanken sollte die Autorisierung aktiviert sein IAM

[DMS.11] Auf DMS Endpunkten für MongoDB sollte ein Authentifizierungsmechanismus aktiviert sein

[DMS.12] DMS Endpunkte für Redis hätten aktiviert sein müssen OSS TLS

[DocumentDB.1] Amazon DocumentDB-Cluster sollten im Ruhezustand verschlüsselt werden

[DocumentDB.2] Amazon DocumentDB-Cluster sollten über eine angemessene Aufbewahrungsfrist für Backups verfügen

[DocumentDB.3] Manuelle Cluster-Snapshots von Amazon DocumentDB sollten nicht öffentlich sein

[DocumentDB.4] Amazon DocumentDB-Cluster sollten Auditprotokolle in Logs veröffentlichen CloudWatch

[DocumentDB.5] Bei Amazon DocumentDB-Clustern sollte der Löschschutz aktiviert sein

[DynamoDB.3] DynamoDB Accelerator (DAX) -Cluster sollten im Ruhezustand verschlüsselt werden

[DynamoDB.4] DynamoDB-Tabellen sollten in einem Backup-Plan vorhanden sein

[DynamoDB.6] Bei DynamoDB-Tabellen sollte der Löschschutz aktiviert sein

[DynamoDB.7] DynamoDB Accelerator-Cluster sollten bei der Übertragung verschlüsselt werden

[EC2.4] Gestoppte EC2 Instances sollten nach einem bestimmten Zeitraum entfernt werden

[EC2.21] Das Netzwerk ACLs sollte keinen Zugriff von 0.0.0.0/0 auf Port 22 oder Port 3389 zulassen

[EC2.22] Ungenutzte EC2 Amazon-Sicherheitsgruppen sollten entfernt werden

[EC2.23] Amazon EC2 Transit Gateways sollte Anfragen für Dateianhänge nicht automatisch akzeptieren VPC

[EC2.24] EC2 Paravirtual-Instance-Typen von Amazon sollten nicht verwendet werden

[EC2.25] EC2 Amazon-Startvorlagen sollten Netzwerkschnittstellen nicht öffentlich IPs zuweisen

[EC2.28] EBS Volumes sollten durch einen Backup-Plan abgedeckt werden

[EC2.33] EC2 Transit-Gateway-Anhänge sollten mit Tags versehen werden

[EC2.34] Routentabellen für EC2 Transit-Gateways sollten mit Tags versehen werden

[EC2.37] EC2 Elastische IP-Adressen sollten mit Tags versehen werden

[EC2.40] EC2 NAT Gateways sollten markiert werden

[EC2.48] VPC Amazon-Flow-Logs sollten mit Tags versehen werden

[EC2.51] Auf EC2 VPN Client-Endpunkten sollte die Protokollierung der Client-Verbindungen aktiviert sein

[EC2.52] EC2 Transit-Gateways sollten markiert werden

[EC2.53] EC2 Sicherheitsgruppen sollten keinen Zugriff von 0.0.0.0/0 zu Remote-Serververwaltungsports zulassen

[EC2.54] EC2 Sicherheitsgruppen sollten keinen Zugriff von: :/0 zu Remote-Serveradministrationsports zulassen

[EC2.55] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für ECR API

[EC2.56] VPCs sollte mit einem Schnittstellenendpunkt für Docker Registry konfiguriert werden

[EC2.57] VPCs sollte mit einem Schnittstellenendpunkt für Systems Manager konfiguriert werden

[EC2.58] VPCs sollte mit einem Schnittstellenendpunkt für Systems Manager Incident Manager-Kontakte konfiguriert sein

[EC2.60] VPCs sollte mit einem Schnittstellenendpunkt für Systems Manager Incident Manager konfiguriert werden

[EC2.61] VPCs sollte mit einem Schnittstellenendpunkt für Systems Manager Quick Setup konfiguriert sein

[EC2.62] VPCs sollte mit einem Schnittstellenendpunkt für CloudWatch Logs konfiguriert werden

[EC2.63] VPCs sollte mit einem Schnittstellenendpunkt für Systems Manager Manager-Nachrichten konfiguriert werden

[EC2.64] VPCs sollte mit einem Schnittstellenendpunkt für den Message Delivery Service konfiguriert werden

[EC2.65] VPCs sollte mit einem Schnittstellenendpunkt für Secrets Manager konfiguriert sein

[EC2.66] VPCs sollte mit einem Schnittstellenendpunkt für API Gateway konfiguriert werden

[EC2.67] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für CloudWatch

[EC2.68] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für AWS KMS

[EC2.69] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für SQS

[EC2.70] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für STS

[EC2.71] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für SNS

[EC2.72] VPCs sollte mit einem Schnittstellenendpunkt für S3 konfiguriert werden

[EC2.73] VPCs sollte mit einem Schnittstellenendpunkt für Lambda konfiguriert werden

[EC2.74] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für ECS

[EC2.75] VPCs sollte mit einem Schnittstellenendpunkt für Elastic Load Balancing konfiguriert werden

[EC2.76] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für CloudFormation

[EC2.77] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für EventBridge

[EC2.78] VPCs sollte mit einem Schnittstellenendpunkt für EC2 Auto Scaling konfiguriert werden

[EC2.79] VPCs sollte mit einem Schnittstellen-Endpunkt für SageMaker KI konfiguriert werden API

[EC2.80] VPCs sollte mit einem Schnittstellen-Endpunkt für SageMaker AI Feature Store Runtime konfiguriert werden

[EC2.81] VPCs sollte mit einem Schnittstellen-Endpunkt für den SageMaker AI Metrics Service konfiguriert werden

[EC2.82] VPCs sollte mit einem Schnittstellen-Endpunkt für SageMaker AI Runtime konfiguriert werden

[EC2.83] VPCs sollte mit einem Schnittstellenendpunkt für SageMaker AI Runtime konfiguriert werden für FIPS

[EC2.84] VPCs sollte mit einem Schnittstellen-Endpunkt für SageMaker KI-Notebooks konfiguriert werden

[EC2.85] VPCs sollte mit einem Schnittstellen-Endpunkt für SageMaker AI Studio konfiguriert werden

[EC2.86] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für AWS Glue

[EC2.87] VPCs sollte mit einem Schnittstellenendpunkt für Kinesis Data Streams konfiguriert sein

[EC2.88] VPCs sollte mit einem Schnittstellenendpunkt für Transfer Family for konfiguriert werden SFTP

[EC2.89] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für CloudTrail

[EC2.90] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für RDS

[EC2.91] VPCs sollte mit einem Schnittstellen-Endpunkt für ECS den Agenten konfiguriert werden

[EC2.92] VPCs sollte mit einem Schnittstellenendpunkt für ECS Telemetrie konfiguriert werden

[EC2.93] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für GuardDuty

[EC2.94] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für SES

[EC2.95] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für EFS

[EC2.96] VPCs sollte mit einem Schnittstellenendpunkt für Athena konfiguriert werden

[EC2.97] VPCs sollte mit einem Schnittstellenendpunkt für Firehose konfiguriert werden

[EC2.98] VPCs sollte mit einem Schnittstellenendpunkt für Step Functions konfiguriert werden

[EC2.99] VPCs sollte mit einem Schnittstellenendpunkt für Storage Gateway konfiguriert werden

[EC2.100] VPCs sollte mit einem Schnittstellenendpunkt für Amazon konfiguriert sein MWAA

[EC2.101] VPCs sollte mit einem Schnittstellenendpunkt für Amazon MWAA konfiguriert werden für FIPS

[EC2.102] VPCs sollte mit einem Schnittstellenendpunkt für die MWAA Amazon-Umgebung konfiguriert werden

[EC2.103] VPCs sollte mit einem Schnittstellenendpunkt für die MWAA FIPS Amazon-Umgebung konfiguriert werden

[EC2.104] VPCs sollte mit einem Schnittstellenendpunkt für den MWAA Amazon-Betreiber konfiguriert werden

[EC2.105] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für DataSync

[EC2.106] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für CodePipeline

[EC2.107] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für EKS

[EC2.108] VPCs sollte mit einem Schnittstellen-Endpunkt für EBS Direct konfiguriert werden APIs

[EC2.109] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für CodeCommit

[EC2.110] VPCs sollte mit einem Schnittstellenendpunkt für X-Ray konfiguriert werden

[EC2.111] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für CodeBuild

[EC2.112] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für AWS Config

[EC2.113] VPCs sollte mit einem Schnittstellenendpunkt für RDS Daten konfiguriert werden API

[EC2.114] VPCs sollte mit einem Schnittstellenendpunkt für Service Catalog konfiguriert werden

[EC2.115] VPCs sollte mit einem Schnittstellenendpunkt für Amazon konfiguriert sein EMR

[EC2.116] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für CodeCommit

[EC2.117] VPCs sollte mit einem Schnittstellenendpunkt für App Mesh konfiguriert werden

[EC2.118] VPCs sollte mit einem Schnittstellenendpunkt für Elastic Beanstalk konfiguriert sein

[EC2.119] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für AWS Private CA

[EC2.120] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für ElastiCache

[EC2.121] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für CodeArtifact API

[EC2.122] VPCs sollte mit einem Schnittstellen-Endpunkt für CodeArtifact Repositorys konfiguriert werden

[EC2.123] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Redshift konfiguriert sein

[EC2.124] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für CodeDeploy

[EC2.125] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Managed Service for Prometheus konfiguriert sein

[EC2.126] VPCs sollte mit einem Schnittstellenendpunkt für Application Auto Scaling konfiguriert werden

[EC2.127] VPCs sollte mit einem Schnittstellenendpunkt für S3 Multi-Region Access Points konfiguriert werden

[EC2.128] VPCs sollte mit einem Schnittstellenendpunkt für AMB Query konfiguriert werden

[EC2.129] VPCs sollte mit einem Schnittstellenendpunkt für AMB Access Bitcoin konfiguriert sein

[EC2.130] VPCs sollte mit einem Schnittstellen-Endpunkt für AMB Bitcoin Testnet konfiguriert werden

[EC2.131] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für EFS

[EC2.132] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für AWS Backup

[EC2.133] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für DMS

[EC2.134] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für CodeDeploy

[EC2.135] VPCs sollte mit einem Schnittstellenendpunkt für Amazon konfiguriert sein AppStream API

[EC2.136] VPCs sollte mit einem Schnittstellenendpunkt für Amazon AppStream Streaming konfiguriert sein

[EC2.137] VPCs sollte mit einem Schnittstellenendpunkt für Elastic Beanstalk konfiguriert sein

[EC2.138] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für AWS CodeConnections API

[EC2.139] VPCs sollte mit einem Schnittstellenendpunkt für AWS CodeStar Connections konfiguriert werden API

[EC2.140] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Redshift Data konfiguriert sein API

[EC2.141] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Textract konfiguriert sein

[EC2.142] VPCs sollte mit einem Schnittstellenendpunkt für Keyspaces konfiguriert werden

[EC2.143] VPCs sollte mit einem Schnittstellen-Endpunkt konfiguriert werden für AWS MGN

[EC2.144] VPCs sollte mit einem Schnittstellenendpunkt für Image Builder konfiguriert werden

[EC2.145] VPCs sollte mit einem Schnittstellenendpunkt für Step Functions konfiguriert werden

[EC2.146] VPCs sollte mit einem Schnittstellenendpunkt für Auto Scaling konfiguriert werden

[EC2.147] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Bedrock konfiguriert sein

[EC2.148] VPCs sollte mit einem Schnittstellenendpunkt für Batch konfiguriert werden

[EC2.149] VPCs sollte mit einem Schnittstellen-Endpunkt für Amazon konfiguriert sein EKS

[EC2.150] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Comprehend konfiguriert sein

[EC2.151] VPCs sollte mit einem Schnittstellen-Endpunkt für App Runner konfiguriert werden

[EC2.152] VPCs sollte mit einem Schnittstellenendpunkt für EMR Serverless konfiguriert werden

[EC2.153] VPCs sollte mit einem Schnittstellenendpunkt für Lake Formation konfiguriert sein

[EC2.154] VPCs sollte mit einem Schnittstellen-Endpunkt für Amazon konfiguriert sein FSx

[EC2.155] VPCs sollte mit einem Schnittstellenendpunkt für Amazon EMR konfiguriert sein EKS

[EC2.156] VPCs sollte mit einem Schnittstellenendpunkt für IoT Core Data konfiguriert sein

[EC2.157] VPCs sollte mit einem Schnittstellenendpunkt für IoT Core Credentials konfiguriert werden

[EC2.158] VPCs sollte mit einem Schnittstellenendpunkt für IoT Core Fleet Hub konfiguriert werden

[EC2.159] VPCs sollte mit einem Schnittstellen-Endpunkt für Elastic Disaster Recovery konfiguriert sein

[EC2.160] VPCs sollte mit einem Schnittstellen-Endpunkt für Cloud konfiguriert werden HSM

[EC2.161] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Rekognition konfiguriert sein

[EC2.162] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Managed Service for Prometheus konfiguriert sein

[EC2.163] VPCs sollte mit einem Schnittstellen-Endpunkt für Elastic Inference Runtime konfiguriert sein

[EC2.164] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für CloudWatch

[EC2.165] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Bedrock konfiguriert sein

[EC2.166] VPCs sollte mit einem Schnittstellenendpunkt für Security Hub konfiguriert sein

[EC2.167] VPCs sollte mit einem Schnittstellenendpunkt für DynamoDB konfiguriert werden

[EC2.168] VPCs sollte mit einem Schnittstellenendpunkt für Access Analyzer konfiguriert werden

[EC2.168] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Transcribe Medical konfiguriert sein

[EC2.170] EC2 Startvorlagen sollten Instance Metadata Service Version 2 () IMDSv2 verwenden

Bei [EC2.171] EC2 VPN Verbindungen sollte die Protokollierung aktiviert sein

[ECR.1] Bei ECR privaten Repositorien sollte das Scannen von Bildern konfiguriert sein

[ECR.2] Bei ECR privaten Repositorys sollte die Tag-Unveränderlichkeit konfiguriert sein

[ECR.3] Für ECR Repositorys sollte mindestens eine Lebenszyklus-Richtlinie konfiguriert sein

[ECR.4] ECR Öffentliche Repositorien sollten markiert werden

[ECS.1] ECS Amazon-Aufgabendefinitionen sollten sichere Netzwerkmodi und Benutzerdefinitionen enthalten.

[ECS.3] ECS Aufgabendefinitionen sollten den Prozess-Namespace des Hosts nicht gemeinsam nutzen

[ECS.4] ECS Container sollten ohne Zugriffsrechte ausgeführt werden

[ECS.5] ECS Container sollten auf den schreibgeschützten Zugriff auf Root-Dateisysteme beschränkt sein

[ECS.8] Geheimnisse sollten nicht als Container-Umgebungsvariablen übergeben werden

[ECS.9] ECS Aufgabendefinitionen sollten über eine Protokollierungskonfiguration verfügen

[ECS.10] ECS Fargate-Dienste sollten auf der neuesten Fargate-Plattformversion laufen

[ECS.12] ECS Cluster sollten Container Insights verwenden

[ECS.16] ECS Aufgabensätze sollten öffentliche IP-Adressen nicht automatisch zuweisen

[EFS.1] Elastic File System sollte so konfiguriert sein, dass ruhende Dateidaten verschlüsselt werden mit AWS KMS

[EFS.2] EFS Amazon-Volumes sollten in Backup-Plänen enthalten sein

[EFS.3] EFS Access Points sollten ein Stammverzeichnis erzwingen

[EFS.4] EFS Access Points sollten eine Benutzeridentität erzwingen

[EFS.5] EFS Access Points sollten markiert werden

[EFS.6] EFS Mount-Ziele sollten keinem öffentlichen Subnetz zugeordnet werden

[EFS.7] Bei EFS Dateisystemen sollten automatische Backups aktiviert sein

[EFS.8] EFS Dateisysteme sollten im Ruhezustand verschlüsselt werden

[EKS.1] EKS Cluster-Endpunkte sollten nicht öffentlich zugänglich sein

[EKS.2] EKS Cluster sollten auf einer unterstützten Kubernetes-Version laufen

[EKS.3] EKS Cluster sollten verschlüsselte Kubernetes-Geheimnisse verwenden

[EKS.6] EKS Cluster sollten markiert werden

[EKS.7] Konfigurationen von EKS Identitätsanbietern sollten mit Tags versehen werden

[EKS.8] Bei EKS Clustern sollte die Audit-Protokollierung aktiviert sein

[ELB.2] Classic Load Balancer mit SSL HTTPS /Listenern sollten ein Zertifikat verwenden, das bereitgestellt wird von AWS Certificate Manager

[ELB.10] Classic Load Balancer sollte sich über mehrere Availability Zones erstrecken

[ELB.12] Der Application Load Balancer sollte mit einem defensiven oder strengsten Desync-Minimationsmodus konfiguriert werden

[ELB.13] Anwendungs-, Netzwerk- und Gateway-Load Balancer sollten sich über mehrere Availability Zones erstrecken

[ELB.14] Classic Load Balancer sollte mit einem defensiven oder strengsten Desync-Minimationsmodus konfiguriert werden

[ELB.16] Application Load Balancers sollten mit einer Website verknüpft sein AWS WAF ACL

Bei [ElastiCache.1] ElastiCache (Redis-OSS) Clustern sollten automatische Backups aktiviert sein

[ElastiCache.2] Bei ElastiCache (Redis-OSS) Clustern sollten auto Nebenversions-Upgrades aktiviert sein

[ElastiCache.3] Für ElastiCache Replikationsgruppen sollte der automatische Failover aktiviert sein

[ElastiCache.4] ElastiCache Replikationsgruppen sollten im Ruhezustand verschlüsselt werden

[ElastiCache.5] ElastiCache Replikationsgruppen sollten bei der Übertragung verschlüsselt werden

[ElastiCache.6] Für ElastiCache (RedisOSS) -Replikationsgruppen früherer Versionen sollte Redis aktiviert sein OSS AUTH

[ElastiCache.7] ElastiCache Cluster sollten nicht die Standard-Subnetzgruppe verwenden

[ElasticBeanstalk.1] Elastic Beanstalk Beanstalk-Umgebungen sollten erweiterte Gesundheitsberichte aktiviert haben

[ElasticBeanstalk.2] Von Elastic Beanstalk verwaltete Plattformupdates sollten aktiviert sein

[ElasticBeanstalk.3] Elastic Beanstalk sollte Logs streamen nach CloudWatch

[EMR.1] Primäre EMR Amazon-Clusterknoten sollten keine öffentlichen IP-Adressen haben

[EMR.2] Die Einstellung Amazon EMR Block Public Access sollte aktiviert sein

[ES.1] Bei Elasticsearch-Domains sollte die Verschlüsselung im Ruhezustand aktiviert sein

[ES.2] Elasticsearch-Domains sollten nicht öffentlich zugänglich sein

[ES.3] Elasticsearch-Domains sollten Daten verschlüsseln, die zwischen Knoten gesendet werden

[ES.4] Die Elasticsearch-Domain-Fehlerprotokollierung in CloudWatch Logs sollte aktiviert sein

[ES.9] Elasticsearch-Domains sollten markiert werden

[EventBridge.2] EventBridge Eventbusse sollten gekennzeichnet sein

[EventBridge.3] An EventBridge benutzerdefinierte Eventbusse sollte eine ressourcenbasierte Richtlinie angehängt werden

[EventBridge.4] Auf EventBridge globalen Endpunkten sollte die Ereignisreplikation aktiviert sein

[FSx.1] FSx für offene ZFS Dateisysteme sollte so konfiguriert sein, dass Tags auf Backups und Volumes kopiert werden

[FSx.2] FSx für Lustre sollten Dateisysteme so konfiguriert sein, dass Tags in Backups kopiert werden

[GlobalAccelerator.1] Global Accelerator-Beschleuniger sollten markiert werden

[Kleber.1] AWS Glue Jobs sollten markiert werden

[Kleber.2] AWS Glue Für Jobs sollte die Protokollierung aktiviert sein

[Kleber.3] AWS Glue Transformationen für maschinelles Lernen sollten im Ruhezustand verschlüsselt werden

[GuardDuty.1] GuardDuty sollte aktiviert sein

[GuardDuty.2] GuardDuty Filter sollten mit Tags versehen sein

[GuardDuty.3] GuardDuty IPSets sollte markiert sein

[GuardDuty.4] GuardDuty Detektoren sollten markiert sein

[GuardDuty.5] GuardDuty EKS Audit Log Monitoring sollte aktiviert sein

[GuardDuty.6] GuardDuty Lambda Protection sollte aktiviert sein

[GuardDuty.7] GuardDuty EKS Runtime Monitoring sollte aktiviert sein

[GuardDuty.8] Der GuardDuty Malware-Schutz für EC2 sollte aktiviert sein

[GuardDuty.9] GuardDuty RDS Der Schutz sollte aktiviert sein

[GuardDuty.10] Der GuardDuty S3-Schutz sollte aktiviert sein

[IAM.1] IAM Richtlinien sollten keine vollen „*“ -Administratorrechte zulassen

[IAM.2] IAM Benutzern sollten keine IAM Richtlinien angehängt werden

[IAM.3] IAM Die Zugangsschlüssel der Benutzer sollten alle 90 Tage oder weniger gewechselt werden

[IAM.4] Der IAM Root-Benutzerzugriffsschlüssel sollte nicht existieren

[IAM.5] MFA sollte für alle IAM Benutzer aktiviert sein, die ein Konsolenpasswort haben

[IAM.6] Die Hardware MFA sollte für den Root-Benutzer aktiviert sein

[IAM.7] Die Passwortrichtlinien für IAM Benutzer sollten stark konfiguriert sein

[IAM.8] Unbenutzte IAM Benutzeranmeldedaten sollten entfernt werden

[IAM.9] MFA sollte für den Root-Benutzer aktiviert sein

[IAM.10] Passwortrichtlinien für IAM Benutzer sollten strenge AWS Config Laufzeiten haben

[IAM.11] Stellen Sie sicher, dass die IAM Passwortrichtlinie mindestens einen Großbuchstaben erfordert

[IAM.12] Stellen Sie sicher, dass die IAM Passwortrichtlinie mindestens einen Kleinbuchstaben erfordert

[IAM.13] Stellen Sie sicher, dass für die IAM Passwortrichtlinie mindestens ein Symbol erforderlich ist

[IAM.14] Stellen Sie sicher, dass die IAM Passwortrichtlinie mindestens eine Zahl erfordert

[IAM.15] Stellen Sie sicher, dass die IAM Passwortrichtlinie eine Mindestkennwortlänge von 14 oder mehr vorschreibt

[IAM.16] Stellen Sie sicher, dass die IAM Passwortrichtlinie die Wiederverwendung von Passwörtern verhindert

[IAM.17] Stellen Sie sicher, dass IAM Passwörter innerhalb von 90 Tagen oder weniger ablaufen

[IAM.18] Stellen Sie sicher, dass eine Support-Rolle für die Verwaltung von Vorfällen eingerichtet wurde AWS Support

[IAM.19] MFA sollte für alle IAM Benutzer aktiviert sein

[IAM.21] Von Ihnen erstellte, vom IAM Kunden verwaltete Richtlinien sollten keine Platzhalteraktionen für Dienste zulassen

[IAM.22] IAM Benutzeranmeldedaten, die 45 Tage lang nicht verwendet wurden, sollten entfernt werden

[IAM.23] IAM Access Analyzer-Analyzer sollten mit Tags versehen werden

[IAM.24] IAM Rollen sollten markiert werden

[IAM.25] IAM Benutzer sollten markiert werden

[IAM.26] AbgelaufeneSSL//In verwaltete TLS Zertifikate IAM sollten entfernt werden

[IAM.27] IAM Identitäten sollte die Richtlinie nicht beigefügt sein AWSCloudShellFullAccess

[IAM.28] IAM Der externe Access Analyzer von Access Analyzer sollte aktiviert sein

[Inspector.1] Das EC2 Scannen mit Amazon Inspector sollte aktiviert sein

[Inspector.2] Das ECR Scannen mit Amazon Inspector sollte aktiviert sein

[Inspector.3] Das Scannen von Amazon Inspector Lambda-Code sollte aktiviert sein

[Inspector.4] Das Standardscannen von Amazon Inspector Lambda sollte aktiviert sein

[IoT.1] AWS IoT Device Defender Sicherheitsprofile sollten markiert werden

[IoT.2] AWS IoT Core Maßnahmen zur Schadensbegrenzung sollten gekennzeichnet werden

[IoT.3] AWS IoT Core Dimensionen sollten markiert werden

[IoT.4] AWS IoT Core Autorisierer sollten markiert werden

[IoT.5] AWS IoT Core Rollenaliase sollten markiert werden

[IoT.6] AWS IoT Core Richtlinien sollten markiert werden

[Kinesis.1] Kinesis-Streams sollten im Ruhezustand verschlüsselt werden

[Kinesis.2] Kinesis-Streams sollten markiert werden

[Kinesis.3] Kinesis-Streams sollten über eine angemessene Aufbewahrungsfrist für Daten verfügen

[KMS.1] Von IAM Kunden verwaltete Richtlinien sollten Entschlüsselungsaktionen nicht für alle KMS Schlüssel zulassen

[KMS.2] IAM Prinzipale sollten keine IAM Inline-Richtlinien haben, die Entschlüsselungsaktionen für alle Schlüssel zulassen KMS

[KMS.3] AWS KMS keys sollte nicht unbeabsichtigt gelöscht werden

[KMS.5] KMS Schlüssel sollten nicht öffentlich zugänglich sein

[Lambda.5] VPC Lambda-Funktionen sollten in mehreren Availability Zones funktionieren

[Macie.1] Amazon Macie sollte aktiviert sein

[Macie.2] Die automatische Erkennung sensibler Daten durch Macie sollte aktiviert sein

[MQ.2] ActiveMQ-Broker sollten Audit-Logs streamen an CloudWatch

[MQ.3] Bei Amazon MQ-Brokern sollte das automatische Upgrade der Nebenversion aktiviert sein

[MQ.4] Amazon MQ-Broker sollten markiert werden

[MQ.5] ActiveMQ-Broker sollten den Aktiv-/Standby-Bereitstellungsmodus verwenden

[MQ.6] RabbitMQ-Broker sollten den Cluster-Bereitstellungsmodus verwenden

[MSK.1] MSK Cluster sollten bei der Übertragung zwischen Broker-Knoten verschlüsselt werden

[MSK.2] Für MSK Cluster sollte die erweiterte Überwachung konfiguriert sein

[MSK.3] MSK Connect-Anschlüsse sollten bei der Übertragung verschlüsselt werden

[Neptune.1] Neptune-DB-Cluster sollten im Ruhezustand verschlüsselt werden

[Neptune.2] Neptune-DB-Cluster sollten Audit-Logs in Logs veröffentlichen CloudWatch

[Neptune.3] Neptune-DB-Cluster-Snapshots sollten nicht öffentlich sein

[Neptune.4] Bei Neptune-DB-Clustern sollte der Löschschutz aktiviert sein

[Neptune.5] Bei Neptune-DB-Clustern sollten automatische Backups aktiviert sein

[Neptune.6] Neptune-DB-Cluster-Snapshots sollten im Ruhezustand verschlüsselt werden

[Neptune.7] Bei Neptune-DB-Clustern sollte die Datenbankauthentifizierung aktiviert sein IAM

[Neptune.8] Neptune-DB-Cluster sollten so konfiguriert sein, dass sie Tags in Snapshots kopieren

[Neptune.9] Neptune-DB-Cluster sollten in mehreren Availability Zones bereitgestellt werden

[NetworkFirewall.1] Netzwerk-Firewall-Firewalls sollten in mehreren Availability Zones eingesetzt werden

[NetworkFirewall.2] Die Netzwerk-Firewall-Protokollierung sollte aktiviert sein

[NetworkFirewall.3] Netzwerk-Firewall-Richtlinien sollten mindestens eine Regelgruppe zugeordnet haben

[NetworkFirewall.4] Die standardmäßige statuslose Aktion für Netzwerk-Firewall-Richtlinien sollte für vollständige Pakete „Verwerfen“ oder „Weiterleiten“ sein.

[NetworkFirewall.5] Die standardmäßige statuslose Aktion für Netzwerk-Firewall-Richtlinien sollte für fragmentierte Pakete „Drop“ oder „Forward“ sein.

[NetworkFirewall.6] Die Regelgruppe Stateless Network Firewall sollte nicht leer sein

[NetworkFirewall.7] Netzwerk-Firewall-Firewalls sollten markiert werden

[NetworkFirewall.8] Firewall-Richtlinien für Netzwerk-Firewalls sollten markiert werden

[NetworkFirewall.9] Bei Netzwerk-Firewall-Firewalls sollte der Löschschutz aktiviert sein

Bei [Opensearch.1] OpenSearch -Domains sollte die Verschlüsselung im Ruhezustand aktiviert sein

[Opensearch.2] OpenSearch -Domains sollten nicht öffentlich zugänglich sein

[Opensearch.3] OpenSearch -Domains sollten Daten verschlüsseln, die zwischen Knoten gesendet werden

Die Protokollierung von [Opensearch.4] OpenSearch Domain-Fehlern in CloudWatch Logs sollte aktiviert sein

Für [Opensearch.5] OpenSearch -Domains sollte die Audit-Protokollierung aktiviert sein

[Opensearch.6] OpenSearch -Domains sollten mindestens drei Datenknoten haben

Für [Opensearch.7] OpenSearch -Domains sollte eine differenzierte Zugriffskontrolle aktiviert sein

[Opensearch.8] Verbindungen zu OpenSearch Domains sollten mit der neuesten Sicherheitsrichtlinie verschlüsselt werden TLS

[Opensearch.9] OpenSearch -Domains sollten mit Tags versehen werden

Auf [Opensearch.10] OpenSearch -Domains sollte das neueste Softwareupdate installiert sein

[Opensearch.11] OpenSearch Domains sollten mindestens drei dedizierte Primärknoten haben

[PCA.1] AWS Private CA Die Stammzertifizierungsstelle sollte deaktiviert sein

[RDS.14] Bei Amazon Aurora Aurora-Clustern sollte Backtracking aktiviert sein

[RDS.17] RDS DB-Instances sollten so konfiguriert sein, dass sie Tags in Snapshots kopieren

[RDS.18] RDS Instanzen sollten in einem bereitgestellt werden VPC

[RDS.23] RDS Instances sollten keinen Standard-Port für die Datenbank-Engine verwenden

[RDS.24] RDS Datenbankcluster sollten einen benutzerdefinierten Administratorbenutzernamen verwenden

[RDS.25] RDS Datenbank-Instances sollten einen benutzerdefinierten Administrator-Benutzernamen verwenden

[RDS.26] RDS DB-Instances sollten durch einen Backup-Plan geschützt werden

[RDS.27] RDS DB-Cluster sollten im Ruhezustand verschlüsselt werden

[RDS.30] RDS DB-Instances sollten markiert werden

[RDS.31] RDS DB-Sicherheitsgruppen sollten markiert werden

[RDS.32] RDS DB-Snapshots sollten mit Tags versehen werden

[RDS.34] Aurora My SQL DB-Cluster sollten Audit-Logs in Logs veröffentlichen CloudWatch

[RDS.35] Bei RDS DB-Clustern sollte das automatische Upgrade auf Nebenversionen aktiviert sein

[RDS3.6] RDS für SQL Postgre-DB-Instances sollten Protokolle in Logs veröffentlichen CloudWatch

[RDS3.7] Aurora SQL Postgre-DB-Cluster sollten Protokolle in Logs veröffentlichen CloudWatch

[Redshift.1] Amazon Redshift Redshift-Cluster sollten den öffentlichen Zugriff verbieten

[Redshift.2] Verbindungen zu Amazon Redshift Redshift-Clustern sollten bei der Übertragung verschlüsselt werden

[Redshift.3] Bei Amazon Redshift Redshift-Clustern sollten automatische Snapshots aktiviert sein

[Redshift.4] Bei Amazon Redshift Redshift-Clustern sollte die Auditprotokollierung aktiviert sein

[Redshift.6] Bei Amazon Redshift sollten automatische Upgrades auf Hauptversionen aktiviert sein

[Redshift.7] Redshift-Cluster sollten erweitertes Routing verwenden VPC

[Redshift.8] Amazon Redshift Redshift-Cluster sollten nicht den standardmäßigen Admin-Benutzernamen verwenden

[Redshift.9] Redshift-Cluster sollten nicht den Standard-Datenbanknamen verwenden

[Redshift.10] Redshift-Cluster sollten im Ruhezustand verschlüsselt werden

[Redshift.11] Redshift-Cluster sollten markiert werden

[Redshift.13] Redshift-Cluster-Snapshots sollten markiert werden

[Redshift.15] Redshift-Sicherheitsgruppen sollten den Zugriff auf den Cluster-Port nur von eingeschränkten Quellen zulassen

[Route 53.1] Route 53-Zustandsprüfungen sollten gekennzeichnet sein

[Route 53.2] Öffentliche, gehostete Zonen in Route 53 sollten Abfragen protokollieren DNS

[S3.7] S3-Allzweck-Buckets sollten die regionsübergreifende Replikation verwenden

[S3.10] S3-Allzweck-Buckets mit aktivierter Versionierung sollten Lifecycle-Konfigurationen haben

[S3.11] Bei S3-Allzweck-Buckets sollten Ereignisbenachrichtigungen aktiviert sein

[S3.12] ACLs sollte nicht zur Verwaltung des Benutzerzugriffs auf S3-Allzweck-Buckets verwendet werden

[S3.13] S3-Allzweck-Buckets sollten Lifecycle-Konfigurationen haben

[S3.17] S3-Allzweck-Buckets sollten im Ruhezustand verschlüsselt werden mit AWS KMS keys

[S3.19] Bei S3-Zugangspunkten sollten die Einstellungen zum Blockieren des öffentlichen Zugriffs aktiviert sein

[S3.20] Für S3-Allzweck-Buckets sollte die Option Löschen aktiviert sein MFA

[S3.22] S3-Allzweck-Buckets sollten Schreibereignisse auf Objektebene protokollieren

[S3.23] S3-Allzweck-Buckets sollten Leseereignisse auf Objektebene protokollieren

[S3.24] Für S3-Access Points mit mehreren Regionen sollten die Einstellungen für die Blockierung des öffentlichen Zugriffs aktiviert sein

[SageMaker AI.1] Amazon SageMaker AI-Notebook-Instances sollten keinen direkten Internetzugang haben

[SageMaker AI.2] SageMaker KI-Notebook-Instances sollten in einer benutzerdefinierten Version gestartet werden VPC

[SageMaker AI.3] Benutzer sollten keinen Root-Zugriff auf SageMaker KI-Notebook-Instances haben

[SageMaker AI.4] Bei Produktionsvarianten für SageMaker KI-Endgeräte sollte die anfängliche Anzahl der Instances größer als 1 sein

[SES.1] SES Kontaktlisten sollten mit Tags versehen werden

[SES.2] SES Konfigurationssätze sollten mit Tags versehen werden

[SecretsManager.1] Bei Secrets Manager Manager-Geheimnissen sollte die automatische Rotation aktiviert sein

[SecretsManager.2] Secrets Manager Manager-Geheimnisse, die mit automatischer Rotation konfiguriert sind, sollten erfolgreich rotieren

[SecretsManager.3] Unbenutzte Secrets Manager Manager-Geheimnisse entfernen

[SecretsManager.4] Secrets Manager Manager-Geheimnisse sollten innerhalb einer bestimmten Anzahl von Tagen rotiert werden

[ServiceCatalog.1] Servicekatalog-Portfolios sollten innerhalb eines gemeinsam genutzt werden AWS nur Organisation

[SNS.4] Richtlinien für den Zugriff auf SNS Themen sollten keinen öffentlichen Zugriff zulassen

[SQS.1] SQS Amazon-Warteschlangen sollten im Ruhezustand verschlüsselt sein

[SQS.2] SQS Warteschlangen sollten markiert werden

[SSM.1] EC2 Amazon-Instances sollten verwaltet werden von AWS Systems Manager

[SSM.2] Von Systems Manager verwaltete EC2 Amazon-Instances sollten COMPLIANT nach einer Patch-Installation den Patch-Compliance-Status von haben

[SSM.3] Von Systems Manager verwaltete EC2 Amazon-Instances sollten den Zuordnungs-Compliance-Status von haben COMPLIANT

[SSM.4] SSM Dokumente sollten nicht öffentlich sein

[StepFunctions.1] Step Functions Functions-Zustandsmaschinen sollten die Protokollierung aktiviert haben

[StepFunctions.2] Die Aktivitäten von Step Functions sollten mit Tags versehen werden

[Transfer.1] AWS Transfer Family -Workflows sollten mit Tags versehen werden

[Transfer.2] Transfer Family Family-Server sollten kein FTP Protokoll für die Endpunktverbindung verwenden

[WAF.1] Die AWS WAF klassische globale ACL Webprotokollierung sollte aktiviert sein

[WAF.2] AWS WAF Klassische Regionalregeln sollten mindestens eine Bedingung enthalten

[WAF.3] AWS WAF Klassische regionale Regelgruppen sollten mindestens eine Regel haben

[WAF.4] Das AWS WAF klassische regionale Web ACLs sollte mindestens eine Regel oder Regelgruppe enthalten

[WAF.6] AWS WAF Klassische globale Regeln sollten mindestens eine Bedingung haben

[WAF.7] AWS WAF Klassische globale Regelgruppen sollten mindestens eine Regel haben

[WAF.8] Das AWS WAF klassische globale Web ACLs sollte mindestens eine Regel oder Regelgruppe enthalten

[WAF.10] AWS WAF web ACLs sollte mindestens eine Regel oder Regelgruppe haben

[WAF.11] Die AWS WAF ACL Webprotokollierung sollte aktiviert sein

[WAF.12] Für AWS WAF Regeln sollten CloudWatch Metriken aktiviert sein

[WorkSpaces.1] WorkSpaces Benutzervolumes sollten im Ruhezustand verschlüsselt werden

[WorkSpaces.2] WorkSpaces Root-Volumes sollten im Ruhezustand verschlüsselt werden

[ACM.1] ACM Importierte und ausgestellte Zertifikate sollten nach einem bestimmten Zeitraum erneuert werden

[APIGateway.8] API Gateway-Routen sollten einen Autorisierungstyp angeben

[APIGateway.9] Die Zugriffsprotokollierung sollte für API Gateway V2-Stufen konfiguriert werden

[AppSync.1] AWS AppSync API Caches sollten im Ruhezustand verschlüsselt werden

[AppSync.2] AWS AppSync sollte die Protokollierung auf Feldebene aktiviert haben

[AppSync.5] AWS AppSync GraphQL APIs sollte nicht mit Schlüsseln authentifiziert werden API

[AppSync.6] AWS AppSync API Caches sollten bei der Übertragung verschlüsselt werden

[Athena.4] Bei Athena-Arbeitsgruppen sollte die Protokollierung aktiviert sein

[AutoScaling.1] Auto Scaling Scaling-Gruppen, die einem Load Balancer zugeordnet sind, sollten ELB Integritätsprüfungen verwenden

[Autoscaling.5] EC2 Amazon-Instances, die mit Auto Scaling Scaling-Gruppenstartkonfigurationen gestartet wurden, sollten keine öffentlichen IP-Adressen haben

[Sicherung.1] AWS Backup Wiederherstellungspunkte sollten im Ruhezustand verschlüsselt werden

[Sicherung.2] AWS Backup Wiederherstellungspunkte sollten markiert werden

[Sicherung.4] AWS Backup Berichtspläne sollten markiert werden

[CloudFormation.2] CloudFormation Stapel sollten markiert werden

Bei [CloudFront.1] CloudFront Distributionen sollte ein Standard-Root-Objekt konfiguriert sein

[CloudFront.3] CloudFront Distributionen sollten während der Übertragung verschlüsselt werden müssen

[CloudFront.4] Bei CloudFront Distributionen sollte das Origin-Failover konfiguriert sein

[CloudFront.5] Bei CloudFront Distributionen sollte die Protokollierung aktiviert sein

[CloudFront.6] CloudFront Distributionen sollten aktiviert worden sein WAF

[CloudFront.7] CloudFront Distributionen sollten benutzerdefinierte SSL /-Zertifikate verwenden TLS

[CloudFront.8] CloudFront Distributionen sollten zur Bearbeitung von Anfragen verwendet SNI werden HTTPS

[CloudFront.9] CloudFront Distributionen sollten den Datenverkehr zu benutzerdefinierten Ursprüngen verschlüsseln

[CloudFront.10] CloudFront Distributionen sollten keine veralteten SSL Protokolle zwischen Edge-Standorten und benutzerdefinierten Ursprüngen verwenden

[CloudFront.12] CloudFront Distributionen sollten nicht auf nicht existierende S3-Ursprünge verweisen

[CloudFront.13] CloudFront Distributionen sollten die Origin-Zugriffskontrolle verwenden

[CloudFront.14] CloudFront Distributionen sollten markiert werden

[CodeArtifact.1] CodeArtifact Repositorien sollten markiert werden

[CodeBuild.1] Das CodeBuild Bitbucket-Quell-Repository URLs sollte keine vertraulichen Anmeldeinformationen enthalten

[CodeBuild.7] Exporte von CodeBuild Berichtsgruppen sollten im Ruhezustand verschlüsselt werden

[Detective.1] Verhaltensdiagramme von Detektiven sollten markiert werden

[DMS.1] Replikationsinstanzen des Database Migration Service sollten nicht öffentlich sein

[DMS.2] DMS Zertifikate sollten markiert werden

[DMS.3] DMS Event-Abonnements sollten mit Tags versehen werden

[DMS.4] DMS Replikationsinstanzen sollten markiert werden

[DMS.5] DMS Replikations-Subnetzgruppen sollten markiert werden

[DMS.6] Für DMS Replikationsinstanzen sollte das automatische Upgrade der Nebenversionen aktiviert sein

[DMS.7] Bei DMS Replikationsaufgaben für die Zieldatenbank sollte die Protokollierung aktiviert sein

[DMS.8] Bei DMS Replikationsaufgaben für die Quelldatenbank sollte die Protokollierung aktiviert sein

[DMS.9] DMS Endgeräte sollten verwenden SSL

[DMS.10] Auf DMS Endpunkten für Neptune-Datenbanken sollte die Autorisierung aktiviert sein IAM

[DMS.11] Auf DMS Endpunkten für MongoDB sollte ein Authentifizierungsmechanismus aktiviert sein

[DMS.12] DMS Endpunkte für Redis hätten aktiviert sein müssen OSS TLS

[DocumentDB.1] Amazon DocumentDB-Cluster sollten im Ruhezustand verschlüsselt werden

[DocumentDB.2] Amazon DocumentDB-Cluster sollten über eine angemessene Aufbewahrungsfrist für Backups verfügen

[DocumentDB.3] Manuelle Cluster-Snapshots von Amazon DocumentDB sollten nicht öffentlich sein

[DocumentDB.4] Amazon DocumentDB-Cluster sollten Auditprotokolle in Logs veröffentlichen CloudWatch

[DocumentDB.5] Bei Amazon DocumentDB-Clustern sollte der Löschschutz aktiviert sein

[DynamoDB.3] DynamoDB Accelerator (DAX) -Cluster sollten im Ruhezustand verschlüsselt werden

[DynamoDB.4] DynamoDB-Tabellen sollten in einem Backup-Plan vorhanden sein

[DynamoDB.7] DynamoDB Accelerator-Cluster sollten bei der Übertragung verschlüsselt werden

[EC2.1] EBS Amazon-Snapshots sollten nicht öffentlich wiederherstellbar sein

[EC2.4] Gestoppte EC2 Instances sollten nach einem bestimmten Zeitraum entfernt werden

[EC2.8] EC2 Instances sollten Instance Metadata Service Version 2 () IMDSv2 verwenden

[EC2.9] EC2 Amazon-Instances sollten keine öffentliche IPv4 Adresse haben

[EC2.13] Sicherheitsgruppen sollten keinen Zugang von 0.0.0.0/0 oder: :/0 zu Port 22 zulassen

[EC2.14] Sicherheitsgruppen sollten keinen Zugriff von 0.0.0.0/0 oder: :/0 auf Port 3389 zulassen

[EC2.18] Sicherheitsgruppen sollten nur uneingeschränkten eingehenden Datenverkehr für autorisierte Ports zulassen

[EC2.22] Ungenutzte EC2 Amazon-Sicherheitsgruppen sollten entfernt werden

[EC2.23] Amazon EC2 Transit Gateways sollte Anfragen für Dateianhänge nicht automatisch akzeptieren VPC

[EC2.24] EC2 Paravirtual-Instance-Typen von Amazon sollten nicht verwendet werden

[EC2.25] EC2 Amazon-Startvorlagen sollten Netzwerkschnittstellen nicht öffentlich IPs zuweisen

[EC2.28] EBS Volumes sollten durch einen Backup-Plan abgedeckt werden

[EC2.34] Routentabellen für EC2 Transit-Gateways sollten mit Tags versehen werden

[EC2.40] EC2 NAT Gateways sollten markiert werden

[EC2.48] VPC Amazon-Flow-Logs sollten mit Tags versehen werden

[EC2.51] Auf EC2 VPN Client-Endpunkten sollte die Protokollierung der Client-Verbindungen aktiviert sein

[EC2.58] VPCs sollte mit einem Schnittstellenendpunkt für Systems Manager Incident Manager-Kontakte konfiguriert sein

[EC2.60] VPCs sollte mit einem Schnittstellenendpunkt für Systems Manager Incident Manager konfiguriert werden

[EC2.61] VPCs sollte mit einem Schnittstellenendpunkt für Systems Manager Quick Setup konfiguriert sein

[EC2.80] VPCs sollte mit einem Schnittstellen-Endpunkt für SageMaker AI Feature Store Runtime konfiguriert werden

[EC2.83] VPCs sollte mit einem Schnittstellenendpunkt für SageMaker AI Runtime konfiguriert werden für FIPS

[EC2.84] VPCs sollte mit einem Schnittstellen-Endpunkt für SageMaker KI-Notebooks konfiguriert werden

[EC2.85] VPCs sollte mit einem Schnittstellen-Endpunkt für SageMaker AI Studio konfiguriert werden

[EC2.94] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für SES

[EC2.101] VPCs sollte mit einem Schnittstellenendpunkt für Amazon MWAA konfiguriert werden für FIPS

[EC2.103] VPCs sollte mit einem Schnittstellenendpunkt für die MWAA FIPS Amazon-Umgebung konfiguriert werden

[EC2.104] VPCs sollte mit einem Schnittstellenendpunkt für den MWAA Amazon-Betreiber konfiguriert werden

[EC2.109] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für CodeCommit

[EC2.111] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für CodeBuild

[EC2.113] VPCs sollte mit einem Schnittstellenendpunkt für RDS Daten konfiguriert werden API

[EC2.116] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für CodeCommit

[EC2.117] VPCs sollte mit einem Schnittstellenendpunkt für App Mesh konfiguriert werden

[EC2.118] VPCs sollte mit einem Schnittstellenendpunkt für Elastic Beanstalk konfiguriert sein

[EC2.120] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für ElastiCache

[EC2.121] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für CodeArtifact API

[EC2.122] VPCs sollte mit einem Schnittstellen-Endpunkt für CodeArtifact Repositorys konfiguriert werden

[EC2.123] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Redshift konfiguriert sein

[EC2.124] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für CodeDeploy

[EC2.125] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Managed Service for Prometheus konfiguriert sein

[EC2.127] VPCs sollte mit einem Schnittstellenendpunkt für S3 Multi-Region Access Points konfiguriert werden

[EC2.128] VPCs sollte mit einem Schnittstellenendpunkt für AMB Query konfiguriert werden

[EC2.129] VPCs sollte mit einem Schnittstellenendpunkt für AMB Access Bitcoin konfiguriert sein

[EC2.130] VPCs sollte mit einem Schnittstellen-Endpunkt für AMB Bitcoin Testnet konfiguriert werden

[EC2.135] VPCs sollte mit einem Schnittstellenendpunkt für Amazon konfiguriert sein AppStream API

[EC2.136] VPCs sollte mit einem Schnittstellenendpunkt für Amazon AppStream Streaming konfiguriert sein

[EC2.137] VPCs sollte mit einem Schnittstellenendpunkt für Elastic Beanstalk konfiguriert sein

[EC2.138] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für AWS CodeConnections API

[EC2.139] VPCs sollte mit einem Schnittstellenendpunkt für AWS CodeStar Connections konfiguriert werden API

[EC2.141] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Textract konfiguriert sein

[EC2.142] VPCs sollte mit einem Schnittstellenendpunkt für Keyspaces konfiguriert werden

[EC2.146] VPCs sollte mit einem Schnittstellenendpunkt für Auto Scaling konfiguriert werden

[EC2.147] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Bedrock konfiguriert sein

[EC2.148] VPCs sollte mit einem Schnittstellenendpunkt für Batch konfiguriert werden

[EC2.150] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Comprehend konfiguriert sein

[EC2.151] VPCs sollte mit einem Schnittstellen-Endpunkt für App Runner konfiguriert werden

[EC2.152] VPCs sollte mit einem Schnittstellenendpunkt für EMR Serverless konfiguriert werden

[EC2.155] VPCs sollte mit einem Schnittstellenendpunkt für Amazon EMR konfiguriert sein EKS

[EC2.156] VPCs sollte mit einem Schnittstellenendpunkt für IoT Core Data konfiguriert sein

[EC2.157] VPCs sollte mit einem Schnittstellenendpunkt für IoT Core Credentials konfiguriert werden

[EC2.158] VPCs sollte mit einem Schnittstellenendpunkt für IoT Core Fleet Hub konfiguriert werden

[EC2.160] VPCs sollte mit einem Schnittstellen-Endpunkt für Cloud konfiguriert werden HSM

[EC2.161] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Rekognition konfiguriert sein

[EC2.162] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Managed Service for Prometheus konfiguriert sein

[EC2.163] VPCs sollte mit einem Schnittstellen-Endpunkt für Elastic Inference Runtime konfiguriert sein

[EC2.164] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für CloudWatch

[EC2.165] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Bedrock konfiguriert sein

[EC2.166] VPCs sollte mit einem Schnittstellenendpunkt für Security Hub konfiguriert sein

[EC2.168] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Transcribe Medical konfiguriert sein

[EC2.170] EC2 Startvorlagen sollten Instance Metadata Service Version 2 () IMDSv2 verwenden

[ECR.4] ECR Öffentliche Repositorien sollten markiert werden

[ECS.1] ECS Amazon-Aufgabendefinitionen sollten sichere Netzwerkmodi und Benutzerdefinitionen enthalten.

[ECS.9] ECS Aufgabendefinitionen sollten über eine Protokollierungskonfiguration verfügen

[EFS.1] Elastic File System sollte so konfiguriert sein, dass ruhende Dateidaten verschlüsselt werden mit AWS KMS

[EFS.2] EFS Amazon-Volumes sollten in Backup-Plänen enthalten sein

[ELB.14] Classic Load Balancer sollte mit einem defensiven oder strengsten Desync-Minimationsmodus konfiguriert werden

Bei [ElastiCache.1] ElastiCache (Redis-OSS) Clustern sollten automatische Backups aktiviert sein

[ElastiCache.2] Bei ElastiCache (Redis-OSS) Clustern sollten auto Nebenversions-Upgrades aktiviert sein

[ElastiCache.3] Für ElastiCache Replikationsgruppen sollte der automatische Failover aktiviert sein

[ElastiCache.4] ElastiCache Replikationsgruppen sollten im Ruhezustand verschlüsselt werden

[ElastiCache.5] ElastiCache Replikationsgruppen sollten bei der Übertragung verschlüsselt werden

[ElastiCache.6] Für ElastiCache (RedisOSS) -Replikationsgruppen früherer Versionen sollte Redis aktiviert sein OSS AUTH

[ElastiCache.7] ElastiCache Cluster sollten nicht die Standard-Subnetzgruppe verwenden

[ElasticBeanstalk.1] Elastic Beanstalk Beanstalk-Umgebungen sollten erweiterte Gesundheitsberichte aktiviert haben

[ElasticBeanstalk.2] Von Elastic Beanstalk verwaltete Plattformupdates sollten aktiviert sein

[ElasticBeanstalk.3] Elastic Beanstalk sollte Logs streamen nach CloudWatch

[EMR.1] Primäre EMR Amazon-Clusterknoten sollten keine öffentlichen IP-Adressen haben

[ES.1] Bei Elasticsearch-Domains sollte die Verschlüsselung im Ruhezustand aktiviert sein

[ES.2] Elasticsearch-Domains sollten nicht öffentlich zugänglich sein

[ES.3] Elasticsearch-Domains sollten Daten verschlüsseln, die zwischen Knoten gesendet werden

[ES.4] Die Elasticsearch-Domain-Fehlerprotokollierung in CloudWatch Logs sollte aktiviert sein

[EventBridge.3] An EventBridge benutzerdefinierte Eventbusse sollte eine ressourcenbasierte Richtlinie angehängt werden

[EventBridge.4] Auf EventBridge globalen Endpunkten sollte die Ereignisreplikation aktiviert sein

[FSx.1] FSx für offene ZFS Dateisysteme sollte so konfiguriert sein, dass Tags auf Backups und Volumes kopiert werden

[GlobalAccelerator.1] Global Accelerator-Beschleuniger sollten markiert werden

[Kleber.1] AWS Glue Jobs sollten markiert werden

[GuardDuty.2] GuardDuty Filter sollten mit Tags versehen sein

[GuardDuty.9] GuardDuty RDS Der Schutz sollte aktiviert sein

[IAM.1] IAM Richtlinien sollten keine vollen „*“ -Administratorrechte zulassen

[IAM.2] IAM Benutzern sollten keine IAM Richtlinien angehängt werden

[IAM.3] IAM Die Zugangsschlüssel der Benutzer sollten alle 90 Tage oder weniger gewechselt werden

[IAM.5] MFA sollte für alle IAM Benutzer aktiviert sein, die ein Konsolenpasswort haben

[IAM.6] Die Hardware MFA sollte für den Root-Benutzer aktiviert sein

[IAM.8] Unbenutzte IAM Benutzeranmeldedaten sollten entfernt werden

[IAM.10] Passwortrichtlinien für IAM Benutzer sollten strenge AWS Config Laufzeiten haben

[IAM.11] Stellen Sie sicher, dass die IAM Passwortrichtlinie mindestens einen Großbuchstaben erfordert

[IAM.12] Stellen Sie sicher, dass die IAM Passwortrichtlinie mindestens einen Kleinbuchstaben erfordert

[IAM.13] Stellen Sie sicher, dass für die IAM Passwortrichtlinie mindestens ein Symbol erforderlich ist

[IAM.14] Stellen Sie sicher, dass die IAM Passwortrichtlinie mindestens eine Zahl erfordert

[IAM.15] Stellen Sie sicher, dass die IAM Passwortrichtlinie eine Mindestkennwortlänge von 14 oder mehr vorschreibt

[IAM.16] Stellen Sie sicher, dass die IAM Passwortrichtlinie die Wiederverwendung von Passwörtern verhindert

[IAM.17] Stellen Sie sicher, dass IAM Passwörter innerhalb von 90 Tagen oder weniger ablaufen

[IAM.18] Stellen Sie sicher, dass eine Support-Rolle für die Verwaltung von Vorfällen eingerichtet wurde AWS Support

[IAM.19] MFA sollte für alle IAM Benutzer aktiviert sein

[IAM.21] Von Ihnen erstellte, vom IAM Kunden verwaltete Richtlinien sollten keine Platzhalteraktionen für Dienste zulassen

[IAM.22] IAM Benutzeranmeldedaten, die 45 Tage lang nicht verwendet wurden, sollten entfernt werden

[IAM.24] IAM Rollen sollten markiert werden

[IAM.25] IAM Benutzer sollten markiert werden

[IAM.26] AbgelaufeneSSL//In verwaltete TLS Zertifikate IAM sollten entfernt werden

[IAM.27] IAM Identitäten sollte die Richtlinie nicht beigefügt sein AWSCloudShellFullAccess

[Inspector.1] Das EC2 Scannen mit Amazon Inspector sollte aktiviert sein

[Inspector.2] Das ECR Scannen mit Amazon Inspector sollte aktiviert sein

[Inspector.3] Das Scannen von Amazon Inspector Lambda-Code sollte aktiviert sein

[Inspector.4] Das Standardscannen von Amazon Inspector Lambda sollte aktiviert sein

[IoT.1] AWS IoT Device Defender Sicherheitsprofile sollten markiert werden

[IoT.2] AWS IoT Core Maßnahmen zur Schadensbegrenzung sollten gekennzeichnet werden

[IoT.3] AWS IoT Core Dimensionen sollten markiert werden

[IoT.4] AWS IoT Core Autorisierer sollten markiert werden

[IoT.5] AWS IoT Core Rollenaliase sollten markiert werden

[IoT.6] AWS IoT Core Richtlinien sollten markiert werden

[Kinesis.1] Kinesis-Streams sollten im Ruhezustand verschlüsselt werden

[KMS.1] Von IAM Kunden verwaltete Richtlinien sollten Entschlüsselungsaktionen nicht für alle KMS Schlüssel zulassen

[KMS.2] IAM Prinzipale sollten keine IAM Inline-Richtlinien haben, die Entschlüsselungsaktionen für alle Schlüssel zulassen KMS

[Macie.1] Amazon Macie sollte aktiviert sein

[Macie.2] Die automatische Erkennung sensibler Daten durch Macie sollte aktiviert sein

[MQ.2] ActiveMQ-Broker sollten Audit-Logs streamen an CloudWatch

[MQ.3] Bei Amazon MQ-Brokern sollte das automatische Upgrade der Nebenversion aktiviert sein

[MQ.5] ActiveMQ-Broker sollten den Aktiv-/Standby-Bereitstellungsmodus verwenden

[MQ.6] RabbitMQ-Broker sollten den Cluster-Bereitstellungsmodus verwenden

[MSK.3] MSK Connect-Anschlüsse sollten bei der Übertragung verschlüsselt werden

[Neptune.1] Neptune-DB-Cluster sollten im Ruhezustand verschlüsselt werden

[Neptune.2] Neptune-DB-Cluster sollten Audit-Logs in Logs veröffentlichen CloudWatch

[Neptune.3] Neptune-DB-Cluster-Snapshots sollten nicht öffentlich sein

[Neptune.4] Bei Neptune-DB-Clustern sollte der Löschschutz aktiviert sein

[Neptune.5] Bei Neptune-DB-Clustern sollten automatische Backups aktiviert sein

[Neptune.6] Neptune-DB-Cluster-Snapshots sollten im Ruhezustand verschlüsselt werden

[Neptune.7] Bei Neptune-DB-Clustern sollte die Datenbankauthentifizierung aktiviert sein IAM

[Neptune.8] Neptune-DB-Cluster sollten so konfiguriert sein, dass sie Tags in Snapshots kopieren

[Neptune.9] Neptune-DB-Cluster sollten in mehreren Availability Zones bereitgestellt werden

Bei [Opensearch.1] OpenSearch -Domains sollte die Verschlüsselung im Ruhezustand aktiviert sein

[Opensearch.2] OpenSearch -Domains sollten nicht öffentlich zugänglich sein

[Opensearch.3] OpenSearch -Domains sollten Daten verschlüsseln, die zwischen Knoten gesendet werden

Die Protokollierung von [Opensearch.4] OpenSearch Domain-Fehlern in CloudWatch Logs sollte aktiviert sein

Für [Opensearch.5] OpenSearch -Domains sollte die Audit-Protokollierung aktiviert sein

[Opensearch.6] OpenSearch -Domains sollten mindestens drei Datenknoten haben

Für [Opensearch.7] OpenSearch -Domains sollte eine differenzierte Zugriffskontrolle aktiviert sein

[Opensearch.8] Verbindungen zu OpenSearch Domains sollten mit der neuesten Sicherheitsrichtlinie verschlüsselt werden TLS

[Opensearch.9] OpenSearch -Domains sollten mit Tags versehen werden

Auf [Opensearch.10] OpenSearch -Domains sollte das neueste Softwareupdate installiert sein

[Opensearch.11] OpenSearch Domains sollten mindestens drei dedizierte Primärknoten haben

[RDS.1] Der RDS Snapshot sollte privat sein

[RDS.3] Für RDS DB-Instances sollte die Verschlüsselung im Ruhezustand aktiviert sein

[RDS.7] Bei RDS Clustern sollte der Löschschutz aktiviert sein

[RDS.12] Die IAM Authentifizierung sollte für RDS Cluster konfiguriert werden

[RDS.14] Bei Amazon Aurora Aurora-Clustern sollte Backtracking aktiviert sein

[RDS.15] RDS DB-Cluster sollten für mehrere Availability Zones konfiguriert werden

[RDS.26] RDS DB-Instances sollten durch einen Backup-Plan geschützt werden

[RDS.31] RDS DB-Sicherheitsgruppen sollten markiert werden

[RDS.35] Bei RDS DB-Clustern sollte das automatische Upgrade auf Nebenversionen aktiviert sein

[RDS3.7] Aurora SQL Postgre-DB-Cluster sollten Protokolle in Logs veröffentlichen CloudWatch

[Route 53.1] Route 53-Zustandsprüfungen sollten gekennzeichnet sein

[Route 53.2] Öffentliche, gehostete Zonen in Route 53 sollten Abfragen protokollieren DNS

[S3.14] Für S3-Allzweck-Buckets sollte die Versionierung aktiviert sein

[S3.15] Bei S3-Allzweck-Buckets sollte Object Lock aktiviert sein

[S3.24] Für S3-Access Points mit mehreren Regionen sollten die Einstellungen für die Blockierung des öffentlichen Zugriffs aktiviert sein

[SageMaker AI.1] Amazon SageMaker AI-Notebook-Instances sollten keinen direkten Internetzugang haben

[SageMaker AI.2] SageMaker KI-Notebook-Instances sollten in einer benutzerdefinierten Version gestartet werden VPC

[SageMaker AI.3] Benutzer sollten keinen Root-Zugriff auf SageMaker KI-Notebook-Instances haben

[SES.1] SES Kontaktlisten sollten mit Tags versehen werden

[SES.2] SES Konfigurationssätze sollten mit Tags versehen werden

[SNS.1] SNS Themen sollten im Ruhezustand verschlüsselt werden mit AWS KMS

[SQS.1] SQS Amazon-Warteschlangen sollten im Ruhezustand verschlüsselt sein

[SQS.2] SQS Warteschlangen sollten markiert werden

[SSM.2] Von Systems Manager verwaltete EC2 Amazon-Instances sollten COMPLIANT nach einer Patch-Installation den Patch-Compliance-Status von haben

[SSM.3] Von Systems Manager verwaltete EC2 Amazon-Instances sollten den Zuordnungs-Compliance-Status von haben COMPLIANT

[SSM.4] SSM Dokumente sollten nicht öffentlich sein

[StepFunctions.1] Step Functions Functions-Zustandsmaschinen sollten die Protokollierung aktiviert haben

[StepFunctions.2] Die Aktivitäten von Step Functions sollten mit Tags versehen werden

[WAF.1] Die AWS WAF klassische globale ACL Webprotokollierung sollte aktiviert sein

[WAF.6] AWS WAF Klassische globale Regeln sollten mindestens eine Bedingung haben

[WAF.7] AWS WAF Klassische globale Regelgruppen sollten mindestens eine Regel haben

[WAF.8] Das AWS WAF klassische globale Web ACLs sollte mindestens eine Regel oder Regelgruppe enthalten

[WAF.11] Die AWS WAF ACL Webprotokollierung sollte aktiviert sein

[WorkSpaces.1] WorkSpaces Benutzervolumes sollten im Ruhezustand verschlüsselt werden

[WorkSpaces.2] WorkSpaces Root-Volumes sollten im Ruhezustand verschlüsselt werden

[AppSync.1] AWS AppSync API Caches sollten im Ruhezustand verschlüsselt werden

[AppSync.6] AWS AppSync API Caches sollten bei der Übertragung verschlüsselt werden

Bei [CloudFront.1] CloudFront Distributionen sollte ein Standard-Root-Objekt konfiguriert sein

[CloudFront.3] CloudFront Distributionen sollten während der Übertragung verschlüsselt werden müssen

[CloudFront.4] Bei CloudFront Distributionen sollte das Origin-Failover konfiguriert sein

[CloudFront.5] Bei CloudFront Distributionen sollte die Protokollierung aktiviert sein

[CloudFront.6] CloudFront Distributionen sollten aktiviert worden sein WAF

[CloudFront.7] CloudFront Distributionen sollten benutzerdefinierte SSL /-Zertifikate verwenden TLS

[CloudFront.8] CloudFront Distributionen sollten zur Bearbeitung von Anfragen verwendet SNI werden HTTPS

[CloudFront.9] CloudFront Distributionen sollten den Datenverkehr zu benutzerdefinierten Ursprüngen verschlüsseln

[CloudFront.10] CloudFront Distributionen sollten keine veralteten SSL Protokolle zwischen Edge-Standorten und benutzerdefinierten Ursprüngen verwenden

[CloudFront.12] CloudFront Distributionen sollten nicht auf nicht existierende S3-Ursprünge verweisen

[CloudFront.13] CloudFront Distributionen sollten die Origin-Zugriffskontrolle verwenden

[CloudFront.14] CloudFront Distributionen sollten markiert werden

[EC2.24] EC2 Paravirtual-Instance-Typen von Amazon sollten nicht verwendet werden

[EC2.83] VPCs sollte mit einem Schnittstellenendpunkt für SageMaker AI Runtime konfiguriert werden für FIPS

[EC2.101] VPCs sollte mit einem Schnittstellenendpunkt für Amazon MWAA konfiguriert werden für FIPS

[EC2.103] VPCs sollte mit einem Schnittstellenendpunkt für die MWAA FIPS Amazon-Umgebung konfiguriert werden

[EC2.128] VPCs sollte mit einem Schnittstellenendpunkt für AMB Query konfiguriert werden

[EC2.129] VPCs sollte mit einem Schnittstellenendpunkt für AMB Access Bitcoin konfiguriert sein

[EC2.130] VPCs sollte mit einem Schnittstellen-Endpunkt für AMB Bitcoin Testnet konfiguriert werden

[EC2.163] VPCs sollte mit einem Schnittstellen-Endpunkt für Elastic Inference Runtime konfiguriert sein

[ECR.4] ECR Öffentliche Repositorien sollten markiert werden

[GlobalAccelerator.1] Global Accelerator-Beschleuniger sollten markiert werden

[IAM.26] AbgelaufeneSSL//In verwaltete TLS Zertifikate IAM sollten entfernt werden

[Inspector.3] Das Scannen von Amazon Inspector Lambda-Code sollte aktiviert sein

[RDS.31] RDS DB-Sicherheitsgruppen sollten markiert werden

[Route 53.1] Route 53-Zustandsprüfungen sollten gekennzeichnet sein

[Route 53.2] Öffentliche, gehostete Zonen in Route 53 sollten Abfragen protokollieren DNS

[S3.24] Für S3-Access Points mit mehreren Regionen sollten die Einstellungen für die Blockierung des öffentlichen Zugriffs aktiviert sein

[WAF.1] Die AWS WAF klassische globale ACL Webprotokollierung sollte aktiviert sein

[WAF.6] AWS WAF Klassische globale Regeln sollten mindestens eine Bedingung haben

[WAF.7] AWS WAF Klassische globale Regelgruppen sollten mindestens eine Regel haben

[WAF.8] Das AWS WAF klassische globale Web ACLs sollte mindestens eine Regel oder Regelgruppe enthalten

[ACM.1] ACM Importierte und ausgestellte Zertifikate sollten nach einem bestimmten Zeitraum erneuert werden

[Konto.2] AWS-Konten sollte Teil eines sein AWS Organizations Organisation

[APIGateway.1] API Gateway REST und WebSocket API Ausführungsprotokollierung sollten aktiviert sein

[APIGateway.2] API REST API Gateway-Phasen sollten so konfiguriert werden, dass sie SSL Zertifikate für die Backend-Authentifizierung verwenden

[APIGateway.3] Bei API REST API Gateway-Phasen sollte die AWS X-Ray Ablaufverfolgung aktiviert sein

[APIGateway.4] API Gateway sollte mit einem Web verknüpft sein WAF ACL

[AppSync.1] AWS AppSync API Caches sollten im Ruhezustand verschlüsselt werden

[AppSync.6] AWS AppSync API Caches sollten bei der Übertragung verschlüsselt werden

[Autoscaling.5] EC2 Amazon-Instances, die mit Auto Scaling Scaling-Gruppenstartkonfigurationen gestartet wurden, sollten keine öffentlichen IP-Adressen haben

[Sicherung.1] AWS Backup Wiederherstellungspunkte sollten im Ruhezustand verschlüsselt werden

[Sicherung.4] AWS Backup Berichtspläne sollten markiert werden

Bei [CloudFront.1] CloudFront Distributionen sollte ein Standard-Root-Objekt konfiguriert sein

[CloudFront.3] CloudFront Distributionen sollten während der Übertragung verschlüsselt werden müssen

[CloudFront.4] Bei CloudFront Distributionen sollte das Origin-Failover konfiguriert sein

[CloudFront.5] Bei CloudFront Distributionen sollte die Protokollierung aktiviert sein

[CloudFront.6] CloudFront Distributionen sollten aktiviert worden sein WAF

[CloudFront.7] CloudFront Distributionen sollten benutzerdefinierte SSL /-Zertifikate verwenden TLS

[CloudFront.8] CloudFront Distributionen sollten zur Bearbeitung von Anfragen verwendet SNI werden HTTPS

[CloudFront.9] CloudFront Distributionen sollten den Datenverkehr zu benutzerdefinierten Ursprüngen verschlüsseln

[CloudFront.10] CloudFront Distributionen sollten keine veralteten SSL Protokolle zwischen Edge-Standorten und benutzerdefinierten Ursprüngen verwenden

[CloudFront.12] CloudFront Distributionen sollten nicht auf nicht existierende S3-Ursprünge verweisen

[CloudFront.13] CloudFront Distributionen sollten die Origin-Zugriffskontrolle verwenden

[CloudFront.14] CloudFront Distributionen sollten markiert werden

[CloudWatch.15] Für CloudWatch Alarme sollten bestimmte Aktionen konfiguriert sein

[CloudWatch.16] CloudWatch Protokollgruppen sollten für einen bestimmten Zeitraum aufbewahrt werden

[CodeArtifact.1] CodeArtifact Repositorien sollten markiert werden

[Detective.1] Verhaltensdiagramme von Detektiven sollten markiert werden

[DMS.7] Bei DMS Replikationsaufgaben für die Zieldatenbank sollte die Protokollierung aktiviert sein

[DMS.8] Bei DMS Replikationsaufgaben für die Quelldatenbank sollte die Protokollierung aktiviert sein

[DMS.10] Auf DMS Endpunkten für Neptune-Datenbanken sollte die Autorisierung aktiviert sein IAM

[DocumentDB.1] Amazon DocumentDB-Cluster sollten im Ruhezustand verschlüsselt werden

[DocumentDB.2] Amazon DocumentDB-Cluster sollten über eine angemessene Aufbewahrungsfrist für Backups verfügen

[DocumentDB.3] Manuelle Cluster-Snapshots von Amazon DocumentDB sollten nicht öffentlich sein

[DocumentDB.4] Amazon DocumentDB-Cluster sollten Auditprotokolle in Logs veröffentlichen CloudWatch

[DocumentDB.5] Bei Amazon DocumentDB-Clustern sollte der Löschschutz aktiviert sein

[DynamoDB.2] Bei DynamoDB-Tabellen sollte die Wiederherstellung aktiviert sein point-in-time

[DynamoDB.3] DynamoDB Accelerator (DAX) -Cluster sollten im Ruhezustand verschlüsselt werden

[DynamoDB.4] DynamoDB-Tabellen sollten in einem Backup-Plan vorhanden sein

[DynamoDB.7] DynamoDB Accelerator-Cluster sollten bei der Übertragung verschlüsselt werden

[EC2.1] EBS Amazon-Snapshots sollten nicht öffentlich wiederherstellbar sein

[EC2.3] Angehängte EBS Amazon-Volumes sollten im Ruhezustand verschlüsselt werden

[EC2.4] Gestoppte EC2 Instances sollten nach einem bestimmten Zeitraum entfernt werden

[EC2.7] Die EBS Standardverschlüsselung sollte aktiviert sein

[EC2.8] EC2 Instances sollten Instance Metadata Service Version 2 () IMDSv2 verwenden

[EC2.9] EC2 Amazon-Instances sollten keine öffentliche IPv4 Adresse haben

[EC2.10] Amazon EC2 sollte so konfiguriert sein, dass es VPC Endpunkte verwendet, die für den Amazon-Service erstellt wurden EC2

[EC2.13] Sicherheitsgruppen sollten keinen Zugang von 0.0.0.0/0 oder: :/0 zu Port 22 zulassen

[EC2.14] Sicherheitsgruppen sollten keinen Zugriff von 0.0.0.0/0 oder: :/0 auf Port 3389 zulassen

[EC2.15] EC2 Amazon-Subnetze sollten öffentliche IP-Adressen nicht automatisch zuweisen

[EC2.16] Ungenutzte Network Access Control Lists sollten entfernt werden

[EC2.17] EC2 Amazon-Instances sollten nicht mehrere verwenden ENIs

[EC2.18] Sicherheitsgruppen sollten nur uneingeschränkten eingehenden Datenverkehr für autorisierte Ports zulassen

[EC2.20] Beide VPN Tunnel für eine AWS Site-to-Site VPN Verbindung sollten aktiv sein

[EC2.22] Ungenutzte EC2 Amazon-Sicherheitsgruppen sollten entfernt werden

[EC2.23] Amazon EC2 Transit Gateways sollte Anfragen für Dateianhänge nicht automatisch akzeptieren VPC

[EC2.24] EC2 Paravirtual-Instance-Typen von Amazon sollten nicht verwendet werden

[EC2.28] EBS Volumes sollten durch einen Backup-Plan abgedeckt werden

[EC2.51] Auf EC2 VPN Client-Endpunkten sollte die Protokollierung der Client-Verbindungen aktiviert sein

[EC2.55] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für ECR API

[EC2.56] VPCs sollte mit einem Schnittstellenendpunkt für Docker Registry konfiguriert werden

[EC2.57] VPCs sollte mit einem Schnittstellenendpunkt für Systems Manager konfiguriert werden

[EC2.58] VPCs sollte mit einem Schnittstellenendpunkt für Systems Manager Incident Manager-Kontakte konfiguriert sein

[EC2.60] VPCs sollte mit einem Schnittstellenendpunkt für Systems Manager Incident Manager konfiguriert werden

[EC2.61] VPCs sollte mit einem Schnittstellenendpunkt für Systems Manager Quick Setup konfiguriert sein

[EC2.62] VPCs sollte mit einem Schnittstellenendpunkt für CloudWatch Logs konfiguriert werden

[EC2.63] VPCs sollte mit einem Schnittstellenendpunkt für Systems Manager Manager-Nachrichten konfiguriert werden

[EC2.64] VPCs sollte mit einem Schnittstellenendpunkt für den Message Delivery Service konfiguriert werden

[EC2.65] VPCs sollte mit einem Schnittstellenendpunkt für Secrets Manager konfiguriert sein

[EC2.66] VPCs sollte mit einem Schnittstellenendpunkt für API Gateway konfiguriert werden

[EC2.67] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für CloudWatch

[EC2.68] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für AWS KMS

[EC2.69] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für SQS

[EC2.70] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für STS

[EC2.71] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für SNS

[EC2.72] VPCs sollte mit einem Schnittstellenendpunkt für S3 konfiguriert werden

[EC2.73] VPCs sollte mit einem Schnittstellenendpunkt für Lambda konfiguriert werden

[EC2.74] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für ECS

[EC2.75] VPCs sollte mit einem Schnittstellenendpunkt für Elastic Load Balancing konfiguriert werden

[EC2.76] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für CloudFormation

[EC2.77] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für EventBridge

[EC2.78] VPCs sollte mit einem Schnittstellenendpunkt für EC2 Auto Scaling konfiguriert werden

[EC2.79] VPCs sollte mit einem Schnittstellen-Endpunkt für SageMaker KI konfiguriert werden API

[EC2.80] VPCs sollte mit einem Schnittstellen-Endpunkt für SageMaker AI Feature Store Runtime konfiguriert werden

[EC2.81] VPCs sollte mit einem Schnittstellen-Endpunkt für den SageMaker AI Metrics Service konfiguriert werden

[EC2.82] VPCs sollte mit einem Schnittstellen-Endpunkt für SageMaker AI Runtime konfiguriert werden

[EC2.83] VPCs sollte mit einem Schnittstellenendpunkt für SageMaker AI Runtime konfiguriert werden für FIPS

[EC2.84] VPCs sollte mit einem Schnittstellen-Endpunkt für SageMaker KI-Notebooks konfiguriert werden

[EC2.85] VPCs sollte mit einem Schnittstellen-Endpunkt für SageMaker AI Studio konfiguriert werden

[EC2.86] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für AWS Glue

[EC2.87] VPCs sollte mit einem Schnittstellenendpunkt für Kinesis Data Streams konfiguriert sein

[EC2.88] VPCs sollte mit einem Schnittstellenendpunkt für Transfer Family for konfiguriert werden SFTP

[EC2.89] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für CloudTrail

[EC2.90] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für RDS

[EC2.91] VPCs sollte mit einem Schnittstellen-Endpunkt für ECS den Agenten konfiguriert werden

[EC2.92] VPCs sollte mit einem Schnittstellenendpunkt für ECS Telemetrie konfiguriert werden

[EC2.93] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für GuardDuty

[EC2.94] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für SES

[EC2.95] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für EFS

[EC2.96] VPCs sollte mit einem Schnittstellenendpunkt für Athena konfiguriert werden

[EC2.97] VPCs sollte mit einem Schnittstellenendpunkt für Firehose konfiguriert werden

[EC2.98] VPCs sollte mit einem Schnittstellenendpunkt für Step Functions konfiguriert werden

[EC2.99] VPCs sollte mit einem Schnittstellenendpunkt für Storage Gateway konfiguriert werden

[EC2.100] VPCs sollte mit einem Schnittstellenendpunkt für Amazon konfiguriert sein MWAA

[EC2.101] VPCs sollte mit einem Schnittstellenendpunkt für Amazon MWAA konfiguriert werden für FIPS

[EC2.102] VPCs sollte mit einem Schnittstellenendpunkt für die MWAA Amazon-Umgebung konfiguriert werden

[EC2.103] VPCs sollte mit einem Schnittstellenendpunkt für die MWAA FIPS Amazon-Umgebung konfiguriert werden

[EC2.104] VPCs sollte mit einem Schnittstellenendpunkt für den MWAA Amazon-Betreiber konfiguriert werden

[EC2.105] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für DataSync

[EC2.106] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für CodePipeline

[EC2.107] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für EKS

[EC2.108] VPCs sollte mit einem Schnittstellen-Endpunkt für EBS Direct konfiguriert werden APIs

[EC2.109] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für CodeCommit

[EC2.110] VPCs sollte mit einem Schnittstellenendpunkt für X-Ray konfiguriert werden

[EC2.111] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für CodeBuild

[EC2.112] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für AWS Config

[EC2.113] VPCs sollte mit einem Schnittstellenendpunkt für RDS Daten konfiguriert werden API

[EC2.114] VPCs sollte mit einem Schnittstellenendpunkt für Service Catalog konfiguriert werden

[EC2.115] VPCs sollte mit einem Schnittstellenendpunkt für Amazon konfiguriert sein EMR

[EC2.116] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für CodeCommit

[EC2.117] VPCs sollte mit einem Schnittstellenendpunkt für App Mesh konfiguriert werden

[EC2.118] VPCs sollte mit einem Schnittstellenendpunkt für Elastic Beanstalk konfiguriert sein

[EC2.119] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für AWS Private CA

[EC2.120] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für ElastiCache

[EC2.121] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für CodeArtifact API

[EC2.122] VPCs sollte mit einem Schnittstellen-Endpunkt für CodeArtifact Repositorys konfiguriert werden

[EC2.123] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Redshift konfiguriert sein

[EC2.124] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für CodeDeploy

[EC2.125] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Managed Service for Prometheus konfiguriert sein

[EC2.126] VPCs sollte mit einem Schnittstellenendpunkt für Application Auto Scaling konfiguriert werden

[EC2.127] VPCs sollte mit einem Schnittstellenendpunkt für S3 Multi-Region Access Points konfiguriert werden

[EC2.128] VPCs sollte mit einem Schnittstellenendpunkt für AMB Query konfiguriert werden

[EC2.129] VPCs sollte mit einem Schnittstellenendpunkt für AMB Access Bitcoin konfiguriert sein

[EC2.130] VPCs sollte mit einem Schnittstellen-Endpunkt für AMB Bitcoin Testnet konfiguriert werden

[EC2.131] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für EFS

[EC2.132] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für AWS Backup

[EC2.133] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für DMS

[EC2.134] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für CodeDeploy

[EC2.135] VPCs sollte mit einem Schnittstellenendpunkt für Amazon konfiguriert sein AppStream API

[EC2.136] VPCs sollte mit einem Schnittstellenendpunkt für Amazon AppStream Streaming konfiguriert sein

[EC2.137] VPCs sollte mit einem Schnittstellenendpunkt für Elastic Beanstalk konfiguriert sein

[EC2.138] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für AWS CodeConnections API

[EC2.139] VPCs sollte mit einem Schnittstellenendpunkt für AWS CodeStar Connections konfiguriert werden API

[EC2.140] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Redshift Data konfiguriert sein API

[EC2.141] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Textract konfiguriert sein

[EC2.142] VPCs sollte mit einem Schnittstellenendpunkt für Keyspaces konfiguriert werden

[EC2.143] VPCs sollte mit einem Schnittstellen-Endpunkt konfiguriert werden für AWS MGN

[EC2.144] VPCs sollte mit einem Schnittstellenendpunkt für Image Builder konfiguriert werden

[EC2.145] VPCs sollte mit einem Schnittstellenendpunkt für Step Functions konfiguriert werden

[EC2.146] VPCs sollte mit einem Schnittstellenendpunkt für Auto Scaling konfiguriert werden

[EC2.147] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Bedrock konfiguriert sein

[EC2.148] VPCs sollte mit einem Schnittstellenendpunkt für Batch konfiguriert werden

[EC2.149] VPCs sollte mit einem Schnittstellen-Endpunkt für Amazon konfiguriert sein EKS

[EC2.150] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Comprehend konfiguriert sein

[EC2.151] VPCs sollte mit einem Schnittstellen-Endpunkt für App Runner konfiguriert werden

[EC2.152] VPCs sollte mit einem Schnittstellenendpunkt für EMR Serverless konfiguriert werden

[EC2.153] VPCs sollte mit einem Schnittstellenendpunkt für Lake Formation konfiguriert sein

[EC2.154] VPCs sollte mit einem Schnittstellen-Endpunkt für Amazon konfiguriert sein FSx

[EC2.155] VPCs sollte mit einem Schnittstellenendpunkt für Amazon EMR konfiguriert sein EKS

[EC2.156] VPCs sollte mit einem Schnittstellenendpunkt für IoT Core Data konfiguriert sein

[EC2.157] VPCs sollte mit einem Schnittstellenendpunkt für IoT Core Credentials konfiguriert werden

[EC2.158] VPCs sollte mit einem Schnittstellenendpunkt für IoT Core Fleet Hub konfiguriert werden

[EC2.159] VPCs sollte mit einem Schnittstellen-Endpunkt für Elastic Disaster Recovery konfiguriert sein

[EC2.160] VPCs sollte mit einem Schnittstellen-Endpunkt für Cloud konfiguriert werden HSM

[EC2.161] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Rekognition konfiguriert sein

[EC2.162] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Managed Service for Prometheus konfiguriert sein

[EC2.163] VPCs sollte mit einem Schnittstellen-Endpunkt für Elastic Inference Runtime konfiguriert sein

[EC2.164] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für CloudWatch

[EC2.165] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Bedrock konfiguriert sein

[EC2.166] VPCs sollte mit einem Schnittstellenendpunkt für Security Hub konfiguriert sein

[EC2.167] VPCs sollte mit einem Schnittstellenendpunkt für DynamoDB konfiguriert werden

[EC2.168] VPCs sollte mit einem Schnittstellenendpunkt für Access Analyzer konfiguriert werden

[EC2.168] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Transcribe Medical konfiguriert sein

[ECR.4] ECR Öffentliche Repositorien sollten markiert werden

[ECS.1] ECS Amazon-Aufgabendefinitionen sollten sichere Netzwerkmodi und Benutzerdefinitionen enthalten.

[ECS.9] ECS Aufgabendefinitionen sollten über eine Protokollierungskonfiguration verfügen

[EFS.1] Elastic File System sollte so konfiguriert sein, dass ruhende Dateidaten verschlüsselt werden mit AWS KMS

[EFS.2] EFS Amazon-Volumes sollten in Backup-Plänen enthalten sein

[ELB.1] Application Load Balancer sollte so konfiguriert sein, dass alle HTTP Anfragen umgeleitet werden an HTTPS

[ELB.2] Classic Load Balancer mit SSL HTTPS /Listenern sollten ein Zertifikat verwenden, das bereitgestellt wird von AWS Certificate Manager

[ELB.3] Classic Load Balancer Balancer-Listener sollten mit HTTPS oder Terminierung konfiguriert werden TLS

[ELB.4] Application Load Balancer sollte so konfiguriert sein, dass ungültige HTTP-Header gelöscht werden

[ELB.6] Für Anwendungen, Gateways und Network Load Balancers sollte der Löschschutz aktiviert sein

[ELB2.8] Classic Load Balancer mit SSL Listenern sollten eine vordefinierte Sicherheitsrichtlinie mit starker Dauer verwenden AWS Config

[ELB.9] Bei Classic Load Balancers sollte der zonenübergreifende Load Balancing aktiviert sein

[ELB.16] Application Load Balancers sollten mit einer Website verknüpft sein AWS WAF ACL

Bei [ElastiCache.1] ElastiCache (Redis-OSS) Clustern sollten automatische Backups aktiviert sein

[ElastiCache.7] ElastiCache Cluster sollten nicht die Standard-Subnetzgruppe verwenden

[ElasticBeanstalk.1] Elastic Beanstalk Beanstalk-Umgebungen sollten erweiterte Gesundheitsberichte aktiviert haben

[ElasticBeanstalk.2] Von Elastic Beanstalk verwaltete Plattformupdates sollten aktiviert sein

[ElasticBeanstalk.3] Elastic Beanstalk sollte Logs streamen nach CloudWatch

[EMR.1] Primäre EMR Amazon-Clusterknoten sollten keine öffentlichen IP-Adressen haben

[ES.1] Bei Elasticsearch-Domains sollte die Verschlüsselung im Ruhezustand aktiviert sein

[ES.3] Elasticsearch-Domains sollten Daten verschlüsseln, die zwischen Knoten gesendet werden

[GlobalAccelerator.1] Global Accelerator-Beschleuniger sollten markiert werden

[IAM.4] Der IAM Root-Benutzerzugriffsschlüssel sollte nicht existieren

[IAM.18] Stellen Sie sicher, dass eine Support-Rolle für die Verwaltung von Vorfällen eingerichtet wurde AWS Support

[IAM.21] Von Ihnen erstellte, vom IAM Kunden verwaltete Richtlinien sollten keine Platzhalteraktionen für Dienste zulassen

[IAM.26] AbgelaufeneSSL//In verwaltete TLS Zertifikate IAM sollten entfernt werden

[Inspector.3] Das Scannen von Amazon Inspector Lambda-Code sollte aktiviert sein

[IoT.1] AWS IoT Device Defender Sicherheitsprofile sollten markiert werden

[IoT.2] AWS IoT Core Maßnahmen zur Schadensbegrenzung sollten gekennzeichnet werden

[IoT.3] AWS IoT Core Dimensionen sollten markiert werden

[IoT.4] AWS IoT Core Autorisierer sollten markiert werden

[IoT.5] AWS IoT Core Rollenaliase sollten markiert werden

[IoT.6] AWS IoT Core Richtlinien sollten markiert werden

[KMS.1] Von IAM Kunden verwaltete Richtlinien sollten Entschlüsselungsaktionen nicht für alle KMS Schlüssel zulassen

[KMS.2] IAM Prinzipale sollten keine IAM Inline-Richtlinien haben, die Entschlüsselungsaktionen für alle Schlüssel zulassen KMS

[Lambda.1] Lambda-Funktionsrichtlinien sollten den öffentlichen Zugriff verbieten

[Lambda.2] Lambda-Funktionen sollten unterstützte Laufzeiten verwenden

[Lambda.3] Lambda-Funktionen sollten in einem VPC

[MSK.3] MSK Connect-Anschlüsse sollten bei der Übertragung verschlüsselt werden

[RDS.1] Der RDS Snapshot sollte privat sein

[RDS.4] RDS Cluster-Snapshots und Datenbank-Snapshots sollten im Ruhezustand verschlüsselt werden

[RDS.6] Die erweiterte Überwachung sollte für RDS DB-Instances konfiguriert werden

[RDS.7] Bei RDS Clustern sollte der Löschschutz aktiviert sein

[RDS.8] Für RDS DB-Instances sollte der Löschschutz aktiviert sein

[RDS.9] RDS DB-Instances sollten Protokolle in Logs veröffentlichen CloudWatch

[RDS.10] Die IAM Authentifizierung sollte für RDS Instances konfiguriert werden

[RDS.12] Die IAM Authentifizierung sollte für RDS Cluster konfiguriert werden

[RDS.13] RDS Automatische Upgrades für kleinere Versionen sollten aktiviert sein

[RDS.14] Bei Amazon Aurora Aurora-Clustern sollte Backtracking aktiviert sein

[RDS.15] RDS DB-Cluster sollten für mehrere Availability Zones konfiguriert werden

[RDS.26] RDS DB-Instances sollten durch einen Backup-Plan geschützt werden

[RDS.31] RDS DB-Sicherheitsgruppen sollten markiert werden

[Redshift.2] Verbindungen zu Amazon Redshift Redshift-Clustern sollten bei der Übertragung verschlüsselt werden

[Redshift.3] Bei Amazon Redshift Redshift-Clustern sollten automatische Snapshots aktiviert sein

[Redshift.7] Redshift-Cluster sollten erweitertes Routing verwenden VPC

[Redshift.10] Redshift-Cluster sollten im Ruhezustand verschlüsselt werden

[Route 53.1] Route 53-Zustandsprüfungen sollten gekennzeichnet sein

[Route 53.2] Öffentliche, gehostete Zonen in Route 53 sollten Abfragen protokollieren DNS

[S3.8] S3-Allzweck-Buckets sollten den öffentlichen Zugriff blockieren

[S3.15] Bei S3-Allzweck-Buckets sollte Object Lock aktiviert sein

[S3.17] S3-Allzweck-Buckets sollten im Ruhezustand verschlüsselt werden mit AWS KMS keys

[S3.24] Für S3-Access Points mit mehreren Regionen sollten die Einstellungen für die Blockierung des öffentlichen Zugriffs aktiviert sein

[SageMaker AI.1] Amazon SageMaker AI-Notebook-Instances sollten keinen direkten Internetzugang haben

[SNS.1] SNS Themen sollten im Ruhezustand verschlüsselt werden mit AWS KMS

[SSM.2] Von Systems Manager verwaltete EC2 Amazon-Instances sollten COMPLIANT nach einer Patch-Installation den Patch-Compliance-Status von haben

[SSM.3] Von Systems Manager verwaltete EC2 Amazon-Instances sollten den Zuordnungs-Compliance-Status von haben COMPLIANT

[WAF.1] Die AWS WAF klassische globale ACL Webprotokollierung sollte aktiviert sein

[WAF.3] AWS WAF Klassische regionale Regelgruppen sollten mindestens eine Regel haben

[WAF.6] AWS WAF Klassische globale Regeln sollten mindestens eine Bedingung haben

[WAF.7] AWS WAF Klassische globale Regelgruppen sollten mindestens eine Regel haben

[WAF.8] Das AWS WAF klassische globale Web ACLs sollte mindestens eine Regel oder Regelgruppe enthalten

[WAF.10] AWS WAF web ACLs sollte mindestens eine Regel oder Regelgruppe haben

[WAF.11] Die AWS WAF ACL Webprotokollierung sollte aktiviert sein

[WorkSpaces.1] WorkSpaces Benutzervolumes sollten im Ruhezustand verschlüsselt werden

[WorkSpaces.2] WorkSpaces Root-Volumes sollten im Ruhezustand verschlüsselt werden

[AppSync.1] AWS AppSync API Caches sollten im Ruhezustand verschlüsselt werden

[AppSync.6] AWS AppSync API Caches sollten bei der Übertragung verschlüsselt werden

Bei [CloudFront.1] CloudFront Distributionen sollte ein Standard-Root-Objekt konfiguriert sein

[CloudFront.3] CloudFront Distributionen sollten während der Übertragung verschlüsselt werden müssen

[CloudFront.4] Bei CloudFront Distributionen sollte das Origin-Failover konfiguriert sein

[CloudFront.5] Bei CloudFront Distributionen sollte die Protokollierung aktiviert sein

[CloudFront.6] CloudFront Distributionen sollten aktiviert worden sein WAF

[CloudFront.7] CloudFront Distributionen sollten benutzerdefinierte SSL /-Zertifikate verwenden TLS

[CloudFront.8] CloudFront Distributionen sollten zur Bearbeitung von Anfragen verwendet SNI werden HTTPS

[CloudFront.9] CloudFront Distributionen sollten den Datenverkehr zu benutzerdefinierten Ursprüngen verschlüsseln

[CloudFront.10] CloudFront Distributionen sollten keine veralteten SSL Protokolle zwischen Edge-Standorten und benutzerdefinierten Ursprüngen verwenden

[CloudFront.12] CloudFront Distributionen sollten nicht auf nicht existierende S3-Ursprünge verweisen

[CloudFront.13] CloudFront Distributionen sollten die Origin-Zugriffskontrolle verwenden

[CloudFront.14] CloudFront Distributionen sollten markiert werden

[CodeArtifact.1] CodeArtifact Repositorien sollten markiert werden

[DynamoDB.3] DynamoDB Accelerator (DAX) -Cluster sollten im Ruhezustand verschlüsselt werden

[DynamoDB.7] DynamoDB Accelerator-Cluster sollten bei der Übertragung verschlüsselt werden

[EC2.24] EC2 Paravirtual-Instance-Typen von Amazon sollten nicht verwendet werden

[EC2.83] VPCs sollte mit einem Schnittstellenendpunkt für SageMaker AI Runtime konfiguriert werden für FIPS

[EC2.101] VPCs sollte mit einem Schnittstellenendpunkt für Amazon MWAA konfiguriert werden für FIPS

[EC2.103] VPCs sollte mit einem Schnittstellenendpunkt für die MWAA FIPS Amazon-Umgebung konfiguriert werden

[EC2.121] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für CodeArtifact API

[EC2.122] VPCs sollte mit einem Schnittstellen-Endpunkt für CodeArtifact Repositorys konfiguriert werden

[EC2.128] VPCs sollte mit einem Schnittstellenendpunkt für AMB Query konfiguriert werden

[EC2.151] VPCs sollte mit einem Schnittstellen-Endpunkt für App Runner konfiguriert werden

[ECR.4] ECR Öffentliche Repositorien sollten markiert werden

[GlobalAccelerator.1] Global Accelerator-Beschleuniger sollten markiert werden

[IAM.26] AbgelaufeneSSL//In verwaltete TLS Zertifikate IAM sollten entfernt werden

[Inspector.3] Das Scannen von Amazon Inspector Lambda-Code sollte aktiviert sein

[RDS.31] RDS DB-Sicherheitsgruppen sollten markiert werden

[Route 53.1] Route 53-Zustandsprüfungen sollten gekennzeichnet sein

[Route 53.2] Öffentliche, gehostete Zonen in Route 53 sollten Abfragen protokollieren DNS

[S3.24] Für S3-Access Points mit mehreren Regionen sollten die Einstellungen für die Blockierung des öffentlichen Zugriffs aktiviert sein

[WAF.1] Die AWS WAF klassische globale ACL Webprotokollierung sollte aktiviert sein

[WAF.6] AWS WAF Klassische globale Regeln sollten mindestens eine Bedingung haben

[WAF.7] AWS WAF Klassische globale Regelgruppen sollten mindestens eine Regel haben

[WAF.8] Das AWS WAF klassische globale Web ACLs sollte mindestens eine Regel oder Regelgruppe enthalten

[AppSync.1] AWS AppSync API Caches sollten im Ruhezustand verschlüsselt werden

[AppSync.6] AWS AppSync API Caches sollten bei der Übertragung verschlüsselt werden

Bei [CloudFront.1] CloudFront Distributionen sollte ein Standard-Root-Objekt konfiguriert sein

[CloudFront.3] CloudFront Distributionen sollten während der Übertragung verschlüsselt werden müssen

[CloudFront.4] Bei CloudFront Distributionen sollte das Origin-Failover konfiguriert sein

[CloudFront.5] Bei CloudFront Distributionen sollte die Protokollierung aktiviert sein

[CloudFront.6] CloudFront Distributionen sollten aktiviert worden sein WAF

[CloudFront.7] CloudFront Distributionen sollten benutzerdefinierte SSL /-Zertifikate verwenden TLS

[CloudFront.8] CloudFront Distributionen sollten zur Bearbeitung von Anfragen verwendet SNI werden HTTPS

[CloudFront.9] CloudFront Distributionen sollten den Datenverkehr zu benutzerdefinierten Ursprüngen verschlüsseln

[CloudFront.10] CloudFront Distributionen sollten keine veralteten SSL Protokolle zwischen Edge-Standorten und benutzerdefinierten Ursprüngen verwenden

[CloudFront.12] CloudFront Distributionen sollten nicht auf nicht existierende S3-Ursprünge verweisen

[CloudFront.13] CloudFront Distributionen sollten die Origin-Zugriffskontrolle verwenden

[CloudFront.14] CloudFront Distributionen sollten markiert werden

[EC2.83] VPCs sollte mit einem Schnittstellenendpunkt für SageMaker AI Runtime konfiguriert werden für FIPS

[EC2.101] VPCs sollte mit einem Schnittstellenendpunkt für Amazon MWAA konfiguriert werden für FIPS

[EC2.103] VPCs sollte mit einem Schnittstellenendpunkt für die MWAA FIPS Amazon-Umgebung konfiguriert werden

[EC2.128] VPCs sollte mit einem Schnittstellenendpunkt für AMB Query konfiguriert werden

[EC2.163] VPCs sollte mit einem Schnittstellen-Endpunkt für Elastic Inference Runtime konfiguriert sein

[ECR.4] ECR Öffentliche Repositorien sollten markiert werden

[GlobalAccelerator.1] Global Accelerator-Beschleuniger sollten markiert werden

[IAM.26] AbgelaufeneSSL//In verwaltete TLS Zertifikate IAM sollten entfernt werden

[Route 53.1] Route 53-Zustandsprüfungen sollten gekennzeichnet sein

[Route 53.2] Öffentliche, gehostete Zonen in Route 53 sollten Abfragen protokollieren DNS

[S3.24] Für S3-Access Points mit mehreren Regionen sollten die Einstellungen für die Blockierung des öffentlichen Zugriffs aktiviert sein

[WAF.1] Die AWS WAF klassische globale ACL Webprotokollierung sollte aktiviert sein

[WAF.6] AWS WAF Klassische globale Regeln sollten mindestens eine Bedingung haben

[WAF.7] AWS WAF Klassische globale Regelgruppen sollten mindestens eine Regel haben

[WAF.8] Das AWS WAF klassische globale Web ACLs sollte mindestens eine Regel oder Regelgruppe enthalten

[AppSync.1] AWS AppSync API Caches sollten im Ruhezustand verschlüsselt werden

[AppSync.6] AWS AppSync API Caches sollten bei der Übertragung verschlüsselt werden

Bei [CloudFront.1] CloudFront Distributionen sollte ein Standard-Root-Objekt konfiguriert sein

[CloudFront.3] CloudFront Distributionen sollten während der Übertragung verschlüsselt werden müssen

[CloudFront.4] Bei CloudFront Distributionen sollte das Origin-Failover konfiguriert sein

[CloudFront.5] Bei CloudFront Distributionen sollte die Protokollierung aktiviert sein

[CloudFront.6] CloudFront Distributionen sollten aktiviert worden sein WAF

[CloudFront.7] CloudFront Distributionen sollten benutzerdefinierte SSL /-Zertifikate verwenden TLS

[CloudFront.8] CloudFront Distributionen sollten zur Bearbeitung von Anfragen verwendet SNI werden HTTPS

[CloudFront.9] CloudFront Distributionen sollten den Datenverkehr zu benutzerdefinierten Ursprüngen verschlüsseln

[CloudFront.10] CloudFront Distributionen sollten keine veralteten SSL Protokolle zwischen Edge-Standorten und benutzerdefinierten Ursprüngen verwenden

[CloudFront.12] CloudFront Distributionen sollten nicht auf nicht existierende S3-Ursprünge verweisen

[CloudFront.13] CloudFront Distributionen sollten die Origin-Zugriffskontrolle verwenden

[CloudFront.14] CloudFront Distributionen sollten markiert werden

[EC2.83] VPCs sollte mit einem Schnittstellenendpunkt für SageMaker AI Runtime konfiguriert werden für FIPS

[EC2.101] VPCs sollte mit einem Schnittstellenendpunkt für Amazon MWAA konfiguriert werden für FIPS

[EC2.103] VPCs sollte mit einem Schnittstellenendpunkt für die MWAA FIPS Amazon-Umgebung konfiguriert werden

[EC2.128] VPCs sollte mit einem Schnittstellenendpunkt für AMB Query konfiguriert werden

[EC2.129] VPCs sollte mit einem Schnittstellenendpunkt für AMB Access Bitcoin konfiguriert sein

[EC2.130] VPCs sollte mit einem Schnittstellen-Endpunkt für AMB Bitcoin Testnet konfiguriert werden

[EC2.163] VPCs sollte mit einem Schnittstellen-Endpunkt für Elastic Inference Runtime konfiguriert sein

[ECR.4] ECR Öffentliche Repositorien sollten markiert werden

[GlobalAccelerator.1] Global Accelerator-Beschleuniger sollten markiert werden

[IAM.26] AbgelaufeneSSL//In verwaltete TLS Zertifikate IAM sollten entfernt werden

[Route 53.1] Route 53-Zustandsprüfungen sollten gekennzeichnet sein

[Route 53.2] Öffentliche, gehostete Zonen in Route 53 sollten Abfragen protokollieren DNS

[S3.24] Für S3-Access Points mit mehreren Regionen sollten die Einstellungen für die Blockierung des öffentlichen Zugriffs aktiviert sein

[WAF.1] Die AWS WAF klassische globale ACL Webprotokollierung sollte aktiviert sein

[WAF.6] AWS WAF Klassische globale Regeln sollten mindestens eine Bedingung haben

[WAF.7] AWS WAF Klassische globale Regelgruppen sollten mindestens eine Regel haben

[WAF.8] Das AWS WAF klassische globale Web ACLs sollte mindestens eine Regel oder Regelgruppe enthalten

[AppSync.1] AWS AppSync API Caches sollten im Ruhezustand verschlüsselt werden

[AppSync.6] AWS AppSync API Caches sollten bei der Übertragung verschlüsselt werden

Bei [CloudFront.1] CloudFront Distributionen sollte ein Standard-Root-Objekt konfiguriert sein

[CloudFront.3] CloudFront Distributionen sollten während der Übertragung verschlüsselt werden müssen

[CloudFront.4] Bei CloudFront Distributionen sollte das Origin-Failover konfiguriert sein

[CloudFront.5] Bei CloudFront Distributionen sollte die Protokollierung aktiviert sein

[CloudFront.6] CloudFront Distributionen sollten aktiviert worden sein WAF

[CloudFront.7] CloudFront Distributionen sollten benutzerdefinierte SSL /-Zertifikate verwenden TLS

[CloudFront.8] CloudFront Distributionen sollten zur Bearbeitung von Anfragen verwendet SNI werden HTTPS

[CloudFront.9] CloudFront Distributionen sollten den Datenverkehr zu benutzerdefinierten Ursprüngen verschlüsseln

[CloudFront.10] CloudFront Distributionen sollten keine veralteten SSL Protokolle zwischen Edge-Standorten und benutzerdefinierten Ursprüngen verwenden

[CloudFront.12] CloudFront Distributionen sollten nicht auf nicht existierende S3-Ursprünge verweisen

[CloudFront.13] CloudFront Distributionen sollten die Origin-Zugriffskontrolle verwenden

[CloudFront.14] CloudFront Distributionen sollten markiert werden

[EC2.83] VPCs sollte mit einem Schnittstellenendpunkt für SageMaker AI Runtime konfiguriert werden für FIPS

[EC2.101] VPCs sollte mit einem Schnittstellenendpunkt für Amazon MWAA konfiguriert werden für FIPS

[EC2.103] VPCs sollte mit einem Schnittstellenendpunkt für die MWAA FIPS Amazon-Umgebung konfiguriert werden

[EC2.128] VPCs sollte mit einem Schnittstellenendpunkt für AMB Query konfiguriert werden

[EC2.141] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Textract konfiguriert sein

[ECR.4] ECR Öffentliche Repositorien sollten markiert werden

[GlobalAccelerator.1] Global Accelerator-Beschleuniger sollten markiert werden

[IAM.26] AbgelaufeneSSL//In verwaltete TLS Zertifikate IAM sollten entfernt werden

[Route 53.1] Route 53-Zustandsprüfungen sollten gekennzeichnet sein

[Route 53.2] Öffentliche, gehostete Zonen in Route 53 sollten Abfragen protokollieren DNS

[S3.24] Für S3-Access Points mit mehreren Regionen sollten die Einstellungen für die Blockierung des öffentlichen Zugriffs aktiviert sein

[WAF.1] Die AWS WAF klassische globale ACL Webprotokollierung sollte aktiviert sein

[WAF.6] AWS WAF Klassische globale Regeln sollten mindestens eine Bedingung haben

[WAF.7] AWS WAF Klassische globale Regelgruppen sollten mindestens eine Regel haben

[WAF.8] Das AWS WAF klassische globale Web ACLs sollte mindestens eine Regel oder Regelgruppe enthalten

[AppSync.1] AWS AppSync API Caches sollten im Ruhezustand verschlüsselt werden

[AppSync.6] AWS AppSync API Caches sollten bei der Übertragung verschlüsselt werden

Bei [CloudFront.1] CloudFront Distributionen sollte ein Standard-Root-Objekt konfiguriert sein

[CloudFront.3] CloudFront Distributionen sollten während der Übertragung verschlüsselt werden müssen

[CloudFront.4] Bei CloudFront Distributionen sollte das Origin-Failover konfiguriert sein

[CloudFront.5] Bei CloudFront Distributionen sollte die Protokollierung aktiviert sein

[CloudFront.6] CloudFront Distributionen sollten aktiviert worden sein WAF

[CloudFront.7] CloudFront Distributionen sollten benutzerdefinierte SSL /-Zertifikate verwenden TLS

[CloudFront.8] CloudFront Distributionen sollten zur Bearbeitung von Anfragen verwendet SNI werden HTTPS

[CloudFront.9] CloudFront Distributionen sollten den Datenverkehr zu benutzerdefinierten Ursprüngen verschlüsseln

[CloudFront.10] CloudFront Distributionen sollten keine veralteten SSL Protokolle zwischen Edge-Standorten und benutzerdefinierten Ursprüngen verwenden

[CloudFront.12] CloudFront Distributionen sollten nicht auf nicht existierende S3-Ursprünge verweisen

[CloudFront.13] CloudFront Distributionen sollten die Origin-Zugriffskontrolle verwenden

[CloudFront.14] CloudFront Distributionen sollten markiert werden

[CodeArtifact.1] CodeArtifact Repositorien sollten markiert werden

[DynamoDB.3] DynamoDB Accelerator (DAX) -Cluster sollten im Ruhezustand verschlüsselt werden

[DynamoDB.7] DynamoDB Accelerator-Cluster sollten bei der Übertragung verschlüsselt werden

[EC2.24] EC2 Paravirtual-Instance-Typen von Amazon sollten nicht verwendet werden

[EC2.83] VPCs sollte mit einem Schnittstellenendpunkt für SageMaker AI Runtime konfiguriert werden für FIPS

[EC2.121] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für CodeArtifact API

[EC2.122] VPCs sollte mit einem Schnittstellen-Endpunkt für CodeArtifact Repositorys konfiguriert werden

[EC2.125] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Managed Service for Prometheus konfiguriert sein

[EC2.128] VPCs sollte mit einem Schnittstellenendpunkt für AMB Query konfiguriert werden

[EC2.129] VPCs sollte mit einem Schnittstellenendpunkt für AMB Access Bitcoin konfiguriert sein

[EC2.130] VPCs sollte mit einem Schnittstellen-Endpunkt für AMB Bitcoin Testnet konfiguriert werden

[EC2.151] VPCs sollte mit einem Schnittstellen-Endpunkt für App Runner konfiguriert werden

[EC2.162] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Managed Service for Prometheus konfiguriert sein

[EC2.163] VPCs sollte mit einem Schnittstellen-Endpunkt für Elastic Inference Runtime konfiguriert sein

[ECR.4] ECR Öffentliche Repositorien sollten markiert werden

[GlobalAccelerator.1] Global Accelerator-Beschleuniger sollten markiert werden

[IAM.26] AbgelaufeneSSL//In verwaltete TLS Zertifikate IAM sollten entfernt werden

[Inspector.3] Das Scannen von Amazon Inspector Lambda-Code sollte aktiviert sein

[Kinesis.3] Kinesis-Streams sollten über eine angemessene Aufbewahrungsfrist für Daten verfügen

[RDS.31] RDS DB-Sicherheitsgruppen sollten markiert werden

[Route 53.1] Route 53-Zustandsprüfungen sollten gekennzeichnet sein

[Route 53.2] Öffentliche, gehostete Zonen in Route 53 sollten Abfragen protokollieren DNS

[S3.24] Für S3-Access Points mit mehreren Regionen sollten die Einstellungen für die Blockierung des öffentlichen Zugriffs aktiviert sein

[WAF.1] Die AWS WAF klassische globale ACL Webprotokollierung sollte aktiviert sein

[WAF.6] AWS WAF Klassische globale Regeln sollten mindestens eine Bedingung haben

[WAF.7] AWS WAF Klassische globale Regelgruppen sollten mindestens eine Regel haben

[WAF.8] Das AWS WAF klassische globale Web ACLs sollte mindestens eine Regel oder Regelgruppe enthalten

[ACM.1] ACM Importierte und ausgestellte Zertifikate sollten nach einem bestimmten Zeitraum erneuert werden

[ACM.2] RSA Zertifikate, die von verwaltet werden, ACM sollten eine Schlüssellänge von mindestens 2.048 Bit verwenden

[ACM.3] ACM Zertifikate sollten mit einem Tag versehen werden

[Konto.2] AWS-Konten sollte Teil eines sein AWS Organizations Organisation

[APIGateway.2] API REST API Gateway-Phasen sollten so konfiguriert werden, dass sie SSL Zertifikate für die Backend-Authentifizierung verwenden

[APIGateway.3] Bei API REST API Gateway-Phasen sollte die AWS X-Ray Ablaufverfolgung aktiviert sein

[APIGateway.4] API Gateway sollte mit einem Web verknüpft sein WAF ACL

[AppSync.1] AWS AppSync API Caches sollten im Ruhezustand verschlüsselt werden

[AppSync.4] AWS AppSync GraphQL APIs sollte markiert sein

[AppSync.6] AWS AppSync API Caches sollten bei der Übertragung verschlüsselt werden

[Athena.2] Athena-Datenkataloge sollten mit Tags versehen werden

[Athena.3] Athena-Arbeitsgruppen sollten markiert werden

[AutoScaling.10] EC2 Auto Scaling Scaling-Gruppen sollten markiert werden

[Sicherung.1] AWS Backup Wiederherstellungspunkte sollten im Ruhezustand verschlüsselt werden

[Sicherung.2] AWS Backup Wiederherstellungspunkte sollten markiert werden

[Sicherung.3] AWS Backup Tresore sollten markiert werden

[Sicherung.4] AWS Backup Berichtspläne sollten markiert werden

[Sicherung.5] AWS Backup Backup-Pläne sollten markiert werden

[CloudFormation.2] CloudFormation Stapel sollten markiert werden

Bei [CloudFront.1] CloudFront Distributionen sollte ein Standard-Root-Objekt konfiguriert sein

[CloudFront.3] CloudFront Distributionen sollten während der Übertragung verschlüsselt werden müssen

[CloudFront.4] Bei CloudFront Distributionen sollte das Origin-Failover konfiguriert sein

[CloudFront.5] Bei CloudFront Distributionen sollte die Protokollierung aktiviert sein

[CloudFront.6] CloudFront Distributionen sollten aktiviert worden sein WAF

[CloudFront.7] CloudFront Distributionen sollten benutzerdefinierte SSL /-Zertifikate verwenden TLS

[CloudFront.8] CloudFront Distributionen sollten zur Bearbeitung von Anfragen verwendet SNI werden HTTPS

[CloudFront.9] CloudFront Distributionen sollten den Datenverkehr zu benutzerdefinierten Ursprüngen verschlüsseln

[CloudFront.10] CloudFront Distributionen sollten keine veralteten SSL Protokolle zwischen Edge-Standorten und benutzerdefinierten Ursprüngen verwenden

[CloudFront.13] CloudFront Distributionen sollten die Origin-Zugriffskontrolle verwenden

[CloudFront.14] CloudFront Distributionen sollten markiert werden

[CloudTrail.9] CloudTrail Wege sollten markiert werden

[CloudWatch.15] Für CloudWatch Alarme sollten bestimmte Aktionen konfiguriert sein

[CloudWatch.16] CloudWatch Protokollgruppen sollten für einen bestimmten Zeitraum aufbewahrt werden

[CodeArtifact.1] CodeArtifact Repositorien sollten markiert werden

[DataFirehose.1] Firehose-Lieferstreams sollten im Ruhezustand verschlüsselt werden

[Detective.1] Verhaltensdiagramme von Detektiven sollten markiert werden

[DMS.2] DMS Zertifikate sollten markiert werden

[DMS.3] DMS Event-Abonnements sollten mit Tags versehen werden

[DMS.4] DMS Replikationsinstanzen sollten markiert werden

[DMS.5] DMS Replikations-Subnetzgruppen sollten markiert werden

[DMS.10] Auf DMS Endpunkten für Neptune-Datenbanken sollte die Autorisierung aktiviert sein IAM

[DMS.11] Auf DMS Endpunkten für MongoDB sollte ein Authentifizierungsmechanismus aktiviert sein

[DMS.12] DMS Endpunkte für Redis hätten aktiviert sein müssen OSS TLS

[DocumentDB.1] Amazon DocumentDB-Cluster sollten im Ruhezustand verschlüsselt werden

[DocumentDB.2] Amazon DocumentDB-Cluster sollten über eine angemessene Aufbewahrungsfrist für Backups verfügen

[DocumentDB.3] Manuelle Cluster-Snapshots von Amazon DocumentDB sollten nicht öffentlich sein

[DocumentDB.4] Amazon DocumentDB-Cluster sollten Auditprotokolle in Logs veröffentlichen CloudWatch

[DocumentDB.5] Bei Amazon DocumentDB-Clustern sollte der Löschschutz aktiviert sein

[DynamoDB.3] DynamoDB Accelerator (DAX) -Cluster sollten im Ruhezustand verschlüsselt werden

[DynamoDB.4] DynamoDB-Tabellen sollten in einem Backup-Plan vorhanden sein

[DynamoDB.5] DynamoDB-Tabellen sollten mit Tags versehen werden

[DynamoDB.7] DynamoDB Accelerator-Cluster sollten bei der Übertragung verschlüsselt werden

[EC2.15] EC2 Amazon-Subnetze sollten öffentliche IP-Adressen nicht automatisch zuweisen

[EC2.16] Ungenutzte Network Access Control Lists sollten entfernt werden

[EC2.20] Beide VPN Tunnel für eine AWS Site-to-Site VPN Verbindung sollten aktiv sein

[EC2.22] Ungenutzte EC2 Amazon-Sicherheitsgruppen sollten entfernt werden

[EC2.23] Amazon EC2 Transit Gateways sollte Anfragen für Dateianhänge nicht automatisch akzeptieren VPC

[EC2.28] EBS Volumes sollten durch einen Backup-Plan abgedeckt werden

[EC2.33] EC2 Transit-Gateway-Anhänge sollten mit Tags versehen werden

[EC2.34] Routentabellen für EC2 Transit-Gateways sollten mit Tags versehen werden

[EC2.35] EC2 Netzwerkschnittstellen sollten markiert werden

[EC2.36] EC2 Kunden-Gateways sollten markiert werden

[EC2.37] EC2 Elastische IP-Adressen sollten mit Tags versehen werden

[EC2.38] EC2 Instances sollten mit Tags versehen werden

[EC2.39] EC2 Internet-Gateways sollten markiert werden

[EC2.40] EC2 NAT Gateways sollten markiert werden

[EC2.41] Das EC2 Netzwerk ACLs sollte markiert sein

[EC2.42] EC2 Routing-Tabellen sollten mit Tags versehen werden

[EC2.43] EC2 Sicherheitsgruppen sollten markiert werden

[EC2.44] EC2 Subnetze sollten markiert werden

[EC2.45] EC2 Volumes sollten mit Tags versehen werden

[EC2.46] Amazon VPCs sollte markiert werden

[EC2.47] Amazon VPC Endpoint Services sollten markiert werden

[EC2.48] VPC Amazon-Flow-Logs sollten mit Tags versehen werden

[EC2.49] VPC Amazon-Peering-Verbindungen sollten markiert werden

[EC2.50] EC2 VPN Gateways sollten markiert werden

[EC2.51] Auf EC2 VPN Client-Endpunkten sollte die Protokollierung der Client-Verbindungen aktiviert sein

[EC2.52] EC2 Transit-Gateways sollten markiert werden

[EC2.53] EC2 Sicherheitsgruppen sollten keinen Zugriff von 0.0.0.0/0 zu Remote-Serververwaltungsports zulassen

[EC2.54] EC2 Sicherheitsgruppen sollten keinen Zugriff von: :/0 zu Remote-Serveradministrationsports zulassen

[EC2.58] VPCs sollte mit einem Schnittstellenendpunkt für Systems Manager Incident Manager-Kontakte konfiguriert sein

[EC2.60] VPCs sollte mit einem Schnittstellenendpunkt für Systems Manager Incident Manager konfiguriert werden

[EC2.61] VPCs sollte mit einem Schnittstellenendpunkt für Systems Manager Quick Setup konfiguriert sein

[EC2.81] VPCs sollte mit einem Schnittstellen-Endpunkt für den SageMaker AI Metrics Service konfiguriert werden

[EC2.83] VPCs sollte mit einem Schnittstellenendpunkt für SageMaker AI Runtime konfiguriert werden für FIPS

[EC2.89] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für CloudTrail

[EC2.93] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für GuardDuty

[EC2.94] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für SES

[EC2.101] VPCs sollte mit einem Schnittstellenendpunkt für Amazon MWAA konfiguriert werden für FIPS

[EC2.103] VPCs sollte mit einem Schnittstellenendpunkt für die MWAA FIPS Amazon-Umgebung konfiguriert werden

[EC2.104] VPCs sollte mit einem Schnittstellenendpunkt für den MWAA Amazon-Betreiber konfiguriert werden

[EC2.106] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für CodePipeline

[EC2.112] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für AWS Config

[EC2.113] VPCs sollte mit einem Schnittstellenendpunkt für RDS Daten konfiguriert werden API

[EC2.121] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für CodeArtifact API

[EC2.122] VPCs sollte mit einem Schnittstellen-Endpunkt für CodeArtifact Repositorys konfiguriert werden

[EC2.124] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für CodeDeploy

[EC2.125] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Managed Service for Prometheus konfiguriert sein

[EC2.127] VPCs sollte mit einem Schnittstellenendpunkt für S3 Multi-Region Access Points konfiguriert werden

[EC2.128] VPCs sollte mit einem Schnittstellenendpunkt für AMB Query konfiguriert werden

[EC2.129] VPCs sollte mit einem Schnittstellenendpunkt für AMB Access Bitcoin konfiguriert sein

[EC2.130] VPCs sollte mit einem Schnittstellen-Endpunkt für AMB Bitcoin Testnet konfiguriert werden

[EC2.135] VPCs sollte mit einem Schnittstellenendpunkt für Amazon konfiguriert sein AppStream API

[EC2.136] VPCs sollte mit einem Schnittstellenendpunkt für Amazon AppStream Streaming konfiguriert sein

[EC2.138] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für AWS CodeConnections API

[EC2.139] VPCs sollte mit einem Schnittstellenendpunkt für AWS CodeStar Connections konfiguriert werden API

[EC2.141] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Textract konfiguriert sein

[EC2.143] VPCs sollte mit einem Schnittstellen-Endpunkt konfiguriert werden für AWS MGN

[EC2.146] VPCs sollte mit einem Schnittstellenendpunkt für Auto Scaling konfiguriert werden

[EC2.147] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Bedrock konfiguriert sein

[EC2.149] VPCs sollte mit einem Schnittstellen-Endpunkt für Amazon konfiguriert sein EKS

[EC2.150] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Comprehend konfiguriert sein

[EC2.151] VPCs sollte mit einem Schnittstellen-Endpunkt für App Runner konfiguriert werden

[EC2.157] VPCs sollte mit einem Schnittstellenendpunkt für IoT Core Credentials konfiguriert werden

[EC2.158] VPCs sollte mit einem Schnittstellenendpunkt für IoT Core Fleet Hub konfiguriert werden

[EC2.159] VPCs sollte mit einem Schnittstellen-Endpunkt für Elastic Disaster Recovery konfiguriert sein

[EC2.160] VPCs sollte mit einem Schnittstellen-Endpunkt für Cloud konfiguriert werden HSM

[EC2.161] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Rekognition konfiguriert sein

[EC2.162] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Managed Service for Prometheus konfiguriert sein

[EC2.163] VPCs sollte mit einem Schnittstellen-Endpunkt für Elastic Inference Runtime konfiguriert sein

[EC2.165] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Bedrock konfiguriert sein

[EC2.168] VPCs sollte mit einem Schnittstellenendpunkt für Access Analyzer konfiguriert werden

Bei [EC2.171] EC2 VPN Verbindungen sollte die Protokollierung aktiviert sein

[ECR.1] Bei ECR privaten Repositorien sollte das Scannen von Bildern konfiguriert sein

[ECR.4] ECR Öffentliche Repositorien sollten markiert werden

[ECS.1] ECS Amazon-Aufgabendefinitionen sollten sichere Netzwerkmodi und Benutzerdefinitionen enthalten.

[ECS.13] ECS Dienste sollten mit Tags versehen werden

[ECS.14] ECS Cluster sollten markiert werden

[ECS.15] ECS Aufgabendefinitionen sollten mit Tags versehen werden

[EFS.5] EFS Access Points sollten markiert werden

[EFS.6] EFS Mount-Ziele sollten keinem öffentlichen Subnetz zugeordnet werden

[EKS.3] EKS Cluster sollten verschlüsselte Kubernetes-Geheimnisse verwenden

[EKS.6] EKS Cluster sollten markiert werden

[EKS.7] Konfigurationen von EKS Identitätsanbietern sollten mit Tags versehen werden

[ELB.2] Classic Load Balancer mit SSL HTTPS /Listenern sollten ein Zertifikat verwenden, das bereitgestellt wird von AWS Certificate Manager

[ELB.16] Application Load Balancers sollten mit einer Website verknüpft sein AWS WAF ACL

Bei [ElastiCache.1] ElastiCache (Redis-OSS) Clustern sollten automatische Backups aktiviert sein

[ElasticBeanstalk.1] Elastic Beanstalk Beanstalk-Umgebungen sollten erweiterte Gesundheitsberichte aktiviert haben

[ElasticBeanstalk.2] Von Elastic Beanstalk verwaltete Plattformupdates sollten aktiviert sein

[ElasticBeanstalk.3] Elastic Beanstalk sollte Logs streamen nach CloudWatch

[EMR.2] Die Einstellung Amazon EMR Block Public Access sollte aktiviert sein

[ES.3] Elasticsearch-Domains sollten Daten verschlüsseln, die zwischen Knoten gesendet werden

[ES.4] Die Elasticsearch-Domain-Fehlerprotokollierung in CloudWatch Logs sollte aktiviert sein

[ES.9] Elasticsearch-Domains sollten markiert werden

[EventBridge.2] EventBridge Eventbusse sollten gekennzeichnet sein

[EventBridge.4] Auf EventBridge globalen Endpunkten sollte die Ereignisreplikation aktiviert sein

[FSx.1] FSx für offene ZFS Dateisysteme sollte so konfiguriert sein, dass Tags auf Backups und Volumes kopiert werden

[FSx.2] FSx für Lustre sollten Dateisysteme so konfiguriert sein, dass Tags in Backups kopiert werden

[GlobalAccelerator.1] Global Accelerator-Beschleuniger sollten markiert werden

[Kleber.1] AWS Glue Jobs sollten markiert werden

[GuardDuty.1] GuardDuty sollte aktiviert sein

[GuardDuty.2] GuardDuty Filter sollten mit Tags versehen sein

[GuardDuty.3] GuardDuty IPSets sollte markiert sein

[GuardDuty.4] GuardDuty Detektoren sollten markiert sein

[GuardDuty.5] GuardDuty EKS Audit Log Monitoring sollte aktiviert sein

[GuardDuty.6] GuardDuty Lambda Protection sollte aktiviert sein

[GuardDuty.7] GuardDuty EKS Runtime Monitoring sollte aktiviert sein

[GuardDuty.8] Der GuardDuty Malware-Schutz für EC2 sollte aktiviert sein

[GuardDuty.9] GuardDuty RDS Der Schutz sollte aktiviert sein

[GuardDuty.10] Der GuardDuty S3-Schutz sollte aktiviert sein

[IAM.6] Die Hardware MFA sollte für den Root-Benutzer aktiviert sein

[IAM.9] MFA sollte für den Root-Benutzer aktiviert sein

[IAM.21] Von Ihnen erstellte, vom IAM Kunden verwaltete Richtlinien sollten keine Platzhalteraktionen für Dienste zulassen

[IAM.23] IAM Access Analyzer-Analyzer sollten mit Tags versehen werden

[IAM.24] IAM Rollen sollten markiert werden

[IAM.25] IAM Benutzer sollten markiert werden

[IAM.26] AbgelaufeneSSL//In verwaltete TLS Zertifikate IAM sollten entfernt werden

[IAM.27] IAM Identitäten sollte die Richtlinie nicht beigefügt sein AWSCloudShellFullAccess

[IAM.28] IAM Der externe Access Analyzer von Access Analyzer sollte aktiviert sein

[Inspector.1] Das EC2 Scannen mit Amazon Inspector sollte aktiviert sein

[Inspector.2] Das ECR Scannen mit Amazon Inspector sollte aktiviert sein

[Inspector.3] Das Scannen von Amazon Inspector Lambda-Code sollte aktiviert sein

[Inspector.4] Das Standardscannen von Amazon Inspector Lambda sollte aktiviert sein

[IoT.1] AWS IoT Device Defender Sicherheitsprofile sollten markiert werden

[IoT.2] AWS IoT Core Maßnahmen zur Schadensbegrenzung sollten gekennzeichnet werden

[IoT.3] AWS IoT Core Dimensionen sollten markiert werden

[IoT.4] AWS IoT Core Autorisierer sollten markiert werden

[IoT.5] AWS IoT Core Rollenaliase sollten markiert werden

[IoT.6] AWS IoT Core Richtlinien sollten markiert werden

[Kinesis.2] Kinesis-Streams sollten markiert werden

[Lambda.6] Lambda-Funktionen sollten markiert werden

[Macie.1] Amazon Macie sollte aktiviert sein

[Macie.2] Die automatische Erkennung sensibler Daten durch Macie sollte aktiviert sein

[MQ.2] ActiveMQ-Broker sollten Audit-Logs streamen an CloudWatch

[MQ.4] Amazon MQ-Broker sollten markiert werden

[MSK.3] MSK Connect-Anschlüsse sollten bei der Übertragung verschlüsselt werden

[Neptune.1] Neptune-DB-Cluster sollten im Ruhezustand verschlüsselt werden

[Neptune.2] Neptune-DB-Cluster sollten Audit-Logs in Logs veröffentlichen CloudWatch

[Neptune.3] Neptune-DB-Cluster-Snapshots sollten nicht öffentlich sein

[Neptune.4] Bei Neptune-DB-Clustern sollte der Löschschutz aktiviert sein

[Neptune.5] Bei Neptune-DB-Clustern sollten automatische Backups aktiviert sein

[Neptune.6] Neptune-DB-Cluster-Snapshots sollten im Ruhezustand verschlüsselt werden

[Neptune.7] Bei Neptune-DB-Clustern sollte die Datenbankauthentifizierung aktiviert sein IAM

[Neptune.8] Neptune-DB-Cluster sollten so konfiguriert sein, dass sie Tags in Snapshots kopieren

[Neptune.9] Neptune-DB-Cluster sollten in mehreren Availability Zones bereitgestellt werden

[NetworkFirewall.1] Netzwerk-Firewall-Firewalls sollten in mehreren Availability Zones eingesetzt werden

[NetworkFirewall.2] Die Netzwerk-Firewall-Protokollierung sollte aktiviert sein

[NetworkFirewall.3] Netzwerk-Firewall-Richtlinien sollten mindestens eine Regelgruppe zugeordnet haben

[NetworkFirewall.4] Die standardmäßige statuslose Aktion für Netzwerk-Firewall-Richtlinien sollte für vollständige Pakete „Verwerfen“ oder „Weiterleiten“ sein.

[NetworkFirewall.5] Die standardmäßige statuslose Aktion für Netzwerk-Firewall-Richtlinien sollte für fragmentierte Pakete „Drop“ oder „Forward“ sein.

[NetworkFirewall.6] Die Regelgruppe Stateless Network Firewall sollte nicht leer sein

[NetworkFirewall.7] Netzwerk-Firewall-Firewalls sollten markiert werden

[NetworkFirewall.8] Firewall-Richtlinien für Netzwerk-Firewalls sollten markiert werden

[NetworkFirewall.9] Bei Netzwerk-Firewall-Firewalls sollte der Löschschutz aktiviert sein

Bei [Opensearch.1] OpenSearch -Domains sollte die Verschlüsselung im Ruhezustand aktiviert sein

[Opensearch.2] OpenSearch -Domains sollten nicht öffentlich zugänglich sein

[Opensearch.3] OpenSearch -Domains sollten Daten verschlüsseln, die zwischen Knoten gesendet werden

Die Protokollierung von [Opensearch.4] OpenSearch Domain-Fehlern in CloudWatch Logs sollte aktiviert sein

Für [Opensearch.5] OpenSearch -Domains sollte die Audit-Protokollierung aktiviert sein

[Opensearch.6] OpenSearch -Domains sollten mindestens drei Datenknoten haben

Für [Opensearch.7] OpenSearch -Domains sollte eine differenzierte Zugriffskontrolle aktiviert sein

[Opensearch.8] Verbindungen zu OpenSearch Domains sollten mit der neuesten Sicherheitsrichtlinie verschlüsselt werden TLS

[Opensearch.9] OpenSearch -Domains sollten mit Tags versehen werden

[Opensearch.11] OpenSearch Domains sollten mindestens drei dedizierte Primärknoten haben

[PCA.1] AWS Private CA Die Stammzertifizierungsstelle sollte deaktiviert sein

[RDS.7] Bei RDS Clustern sollte der Löschschutz aktiviert sein

[RDS.10] Die IAM Authentifizierung sollte für RDS Instances konfiguriert werden

[RDS.12] Die IAM Authentifizierung sollte für RDS Cluster konfiguriert werden

[RDS.13] RDS Automatische Upgrades für kleinere Versionen sollten aktiviert sein

[RDS.14] Bei Amazon Aurora Aurora-Clustern sollte Backtracking aktiviert sein

[RDS.15] RDS DB-Cluster sollten für mehrere Availability Zones konfiguriert werden

[RDS.16] RDS DB-Cluster sollten so konfiguriert werden, dass sie Tags in Snapshots kopieren

[RDS.24] RDS Datenbankcluster sollten einen benutzerdefinierten Administratorbenutzernamen verwenden

[RDS.25] RDS Datenbank-Instances sollten einen benutzerdefinierten Administrator-Benutzernamen verwenden

[RDS.26] RDS DB-Instances sollten durch einen Backup-Plan geschützt werden

[RDS.27] RDS DB-Cluster sollten im Ruhezustand verschlüsselt werden

[RDS.28] RDS DB-Cluster sollten markiert werden

[RDS.29] RDS DB-Cluster-Snapshots sollten mit Tags versehen werden

[RDS.30] RDS DB-Instances sollten markiert werden

[RDS.31] RDS DB-Sicherheitsgruppen sollten markiert werden

[RDS.32] RDS DB-Snapshots sollten mit Tags versehen werden

[RDS.33] RDS DB-Subnetzgruppen sollten markiert werden

[RDS.34] Aurora My SQL DB-Cluster sollten Audit-Logs in Logs veröffentlichen CloudWatch

[RDS.35] Bei RDS DB-Clustern sollte das automatische Upgrade auf Nebenversionen aktiviert sein

[RDS3.7] Aurora SQL Postgre-DB-Cluster sollten Protokolle in Logs veröffentlichen CloudWatch

[Redshift.7] Redshift-Cluster sollten erweitertes Routing verwenden VPC

[Redshift.10] Redshift-Cluster sollten im Ruhezustand verschlüsselt werden

[Redshift.11] Redshift-Cluster sollten markiert werden

[Redshift.12] Abonnements für Redshift-Ereignisbenachrichtigungen sollten markiert werden

[Redshift.13] Redshift-Cluster-Snapshots sollten markiert werden

[Redshift.14] Redshift-Cluster-Subnetzgruppen sollten markiert werden

[Redshift.15] Redshift-Sicherheitsgruppen sollten den Zugriff auf den Cluster-Port nur von eingeschränkten Quellen zulassen

[Route 53.1] Route 53-Zustandsprüfungen sollten gekennzeichnet sein

[Route 53.2] Öffentliche, gehostete Zonen in Route 53 sollten Abfragen protokollieren DNS

[S3.1] Bei S3-Allzweck-Buckets sollten die Einstellungen für den öffentlichen Zugriff blockieren aktiviert sein

[S3.8] S3-Allzweck-Buckets sollten den öffentlichen Zugriff blockieren

[S3.14] Für S3-Allzweck-Buckets sollte die Versionierung aktiviert sein

[S3.22] S3-Allzweck-Buckets sollten Schreibereignisse auf Objektebene protokollieren

[S3.23] S3-Allzweck-Buckets sollten Leseereignisse auf Objektebene protokollieren

[S3.24] Für S3-Access Points mit mehreren Regionen sollten die Einstellungen für die Blockierung des öffentlichen Zugriffs aktiviert sein

[SageMaker AI.1] Amazon SageMaker AI-Notebook-Instances sollten keinen direkten Internetzugang haben

[SageMaker AI.4] Bei Produktionsvarianten für SageMaker KI-Endgeräte sollte die anfängliche Anzahl der Instances größer als 1 sein

[SES.1] SES Kontaktlisten sollten mit Tags versehen werden

[SES.2] SES Konfigurationssätze sollten mit Tags versehen werden

[SecretsManager.3] Unbenutzte Secrets Manager Manager-Geheimnisse entfernen

[SecretsManager.4] Secrets Manager Manager-Geheimnisse sollten innerhalb einer bestimmten Anzahl von Tagen rotiert werden

[SecretsManager.5] Secrets Manager Manager-Geheimnisse sollten markiert werden

[ServiceCatalog.1] Servicekatalog-Portfolios sollten innerhalb eines gemeinsam genutzt werden AWS nur Organisation

[SNS.3] SNS Themen sollten mit Schlagwörtern versehen werden

[SQS.2] SQS Warteschlangen sollten markiert werden

[StepFunctions.2] Die Aktivitäten von Step Functions sollten mit Tags versehen werden

[Transfer.1] AWS Transfer Family -Workflows sollten mit Tags versehen werden

[Transfer.2] Transfer Family Family-Server sollten kein FTP Protokoll für die Endpunktverbindung verwenden

[WAF.1] Die AWS WAF klassische globale ACL Webprotokollierung sollte aktiviert sein

[WAF.3] AWS WAF Klassische regionale Regelgruppen sollten mindestens eine Regel haben

[WAF.6] AWS WAF Klassische globale Regeln sollten mindestens eine Bedingung haben

[WAF.7] AWS WAF Klassische globale Regelgruppen sollten mindestens eine Regel haben

[WAF.8] Das AWS WAF klassische globale Web ACLs sollte mindestens eine Regel oder Regelgruppe enthalten

[WAF.11] Die AWS WAF ACL Webprotokollierung sollte aktiviert sein

[WorkSpaces.1] WorkSpaces Benutzervolumes sollten im Ruhezustand verschlüsselt werden

[WorkSpaces.2] WorkSpaces Root-Volumes sollten im Ruhezustand verschlüsselt werden

[ACM.1] ACM Importierte und ausgestellte Zertifikate sollten nach einem bestimmten Zeitraum erneuert werden

[ACM.2] RSA Zertifikate, die von verwaltet werden, ACM sollten eine Schlüssellänge von mindestens 2.048 Bit verwenden

[ACM.3] ACM Zertifikate sollten mit einem Tag versehen werden

[Konto.2] AWS-Konten sollte Teil eines sein AWS Organizations Organisation

[APIGateway.2] API REST API Gateway-Phasen sollten so konfiguriert werden, dass sie SSL Zertifikate für die Backend-Authentifizierung verwenden

[APIGateway.3] Bei API REST API Gateway-Phasen sollte die AWS X-Ray Ablaufverfolgung aktiviert sein

[APIGateway.4] API Gateway sollte mit einem Web verknüpft sein WAF ACL

[AppSync.1] AWS AppSync API Caches sollten im Ruhezustand verschlüsselt werden

[AppSync.4] AWS AppSync GraphQL APIs sollte markiert sein

[AppSync.6] AWS AppSync API Caches sollten bei der Übertragung verschlüsselt werden

[Athena.2] Athena-Datenkataloge sollten mit Tags versehen werden

[Athena.3] Athena-Arbeitsgruppen sollten markiert werden

[AutoScaling.10] EC2 Auto Scaling Scaling-Gruppen sollten markiert werden

[Sicherung.1] AWS Backup Wiederherstellungspunkte sollten im Ruhezustand verschlüsselt werden

[Sicherung.2] AWS Backup Wiederherstellungspunkte sollten markiert werden

[Sicherung.3] AWS Backup Tresore sollten markiert werden

[Sicherung.4] AWS Backup Berichtspläne sollten markiert werden

[Sicherung.5] AWS Backup Backup-Pläne sollten markiert werden

[CloudFormation.2] CloudFormation Stapel sollten markiert werden

Bei [CloudFront.1] CloudFront Distributionen sollte ein Standard-Root-Objekt konfiguriert sein

[CloudFront.3] CloudFront Distributionen sollten während der Übertragung verschlüsselt werden müssen

[CloudFront.4] Bei CloudFront Distributionen sollte das Origin-Failover konfiguriert sein

[CloudFront.5] Bei CloudFront Distributionen sollte die Protokollierung aktiviert sein

[CloudFront.6] CloudFront Distributionen sollten aktiviert worden sein WAF

[CloudFront.7] CloudFront Distributionen sollten benutzerdefinierte SSL /-Zertifikate verwenden TLS

[CloudFront.8] CloudFront Distributionen sollten zur Bearbeitung von Anfragen verwendet SNI werden HTTPS

[CloudFront.9] CloudFront Distributionen sollten den Datenverkehr zu benutzerdefinierten Ursprüngen verschlüsseln

[CloudFront.10] CloudFront Distributionen sollten keine veralteten SSL Protokolle zwischen Edge-Standorten und benutzerdefinierten Ursprüngen verwenden

[CloudFront.12] CloudFront Distributionen sollten nicht auf nicht existierende S3-Ursprünge verweisen

[CloudFront.13] CloudFront Distributionen sollten die Origin-Zugriffskontrolle verwenden

[CloudFront.14] CloudFront Distributionen sollten markiert werden

[CloudTrail.9] CloudTrail Wege sollten markiert werden

[CloudWatch.15] Für CloudWatch Alarme sollten bestimmte Aktionen konfiguriert sein

[CloudWatch.16] CloudWatch Protokollgruppen sollten für einen bestimmten Zeitraum aufbewahrt werden

[CodeArtifact.1] CodeArtifact Repositorien sollten markiert werden

[DataFirehose.1] Firehose-Lieferstreams sollten im Ruhezustand verschlüsselt werden

[Detective.1] Verhaltensdiagramme von Detektiven sollten markiert werden

[DMS.2] DMS Zertifikate sollten markiert werden

[DMS.3] DMS Event-Abonnements sollten mit Tags versehen werden

[DMS.4] DMS Replikationsinstanzen sollten markiert werden

[DMS.5] DMS Replikations-Subnetzgruppen sollten markiert werden

[DMS.10] Auf DMS Endpunkten für Neptune-Datenbanken sollte die Autorisierung aktiviert sein IAM

[DMS.11] Auf DMS Endpunkten für MongoDB sollte ein Authentifizierungsmechanismus aktiviert sein

[DMS.12] DMS Endpunkte für Redis hätten aktiviert sein müssen OSS TLS

[DocumentDB.3] Manuelle Cluster-Snapshots von Amazon DocumentDB sollten nicht öffentlich sein

[DynamoDB.3] DynamoDB Accelerator (DAX) -Cluster sollten im Ruhezustand verschlüsselt werden

[DynamoDB.4] DynamoDB-Tabellen sollten in einem Backup-Plan vorhanden sein

[DynamoDB.5] DynamoDB-Tabellen sollten mit Tags versehen werden

[DynamoDB.7] DynamoDB Accelerator-Cluster sollten bei der Übertragung verschlüsselt werden

[EC2.15] EC2 Amazon-Subnetze sollten öffentliche IP-Adressen nicht automatisch zuweisen

[EC2.16] Ungenutzte Network Access Control Lists sollten entfernt werden

[EC2.20] Beide VPN Tunnel für eine AWS Site-to-Site VPN Verbindung sollten aktiv sein

[EC2.22] Ungenutzte EC2 Amazon-Sicherheitsgruppen sollten entfernt werden

[EC2.23] Amazon EC2 Transit Gateways sollte Anfragen für Dateianhänge nicht automatisch akzeptieren VPC

[EC2.24] EC2 Paravirtual-Instance-Typen von Amazon sollten nicht verwendet werden

[EC2.28] EBS Volumes sollten durch einen Backup-Plan abgedeckt werden

[EC2.33] EC2 Transit-Gateway-Anhänge sollten mit Tags versehen werden

[EC2.34] Routentabellen für EC2 Transit-Gateways sollten mit Tags versehen werden

[EC2.35] EC2 Netzwerkschnittstellen sollten markiert werden

[EC2.36] EC2 Kunden-Gateways sollten markiert werden

[EC2.37] EC2 Elastische IP-Adressen sollten mit Tags versehen werden

[EC2.38] EC2 Instances sollten mit Tags versehen werden

[EC2.39] EC2 Internet-Gateways sollten markiert werden

[EC2.40] EC2 NAT Gateways sollten markiert werden

[EC2.41] Das EC2 Netzwerk ACLs sollte markiert sein

[EC2.42] EC2 Routing-Tabellen sollten mit Tags versehen werden

[EC2.43] EC2 Sicherheitsgruppen sollten markiert werden

[EC2.44] EC2 Subnetze sollten markiert werden

[EC2.45] EC2 Volumes sollten mit Tags versehen werden

[EC2.46] Amazon VPCs sollte markiert werden

[EC2.47] Amazon VPC Endpoint Services sollten markiert werden

[EC2.48] VPC Amazon-Flow-Logs sollten mit Tags versehen werden

[EC2.49] VPC Amazon-Peering-Verbindungen sollten markiert werden

[EC2.50] EC2 VPN Gateways sollten markiert werden

[EC2.51] Auf EC2 VPN Client-Endpunkten sollte die Protokollierung der Client-Verbindungen aktiviert sein

[EC2.52] EC2 Transit-Gateways sollten markiert werden

[EC2.58] VPCs sollte mit einem Schnittstellenendpunkt für Systems Manager Incident Manager-Kontakte konfiguriert sein

[EC2.60] VPCs sollte mit einem Schnittstellenendpunkt für Systems Manager Incident Manager konfiguriert werden

[EC2.61] VPCs sollte mit einem Schnittstellenendpunkt für Systems Manager Quick Setup konfiguriert sein

[EC2.81] VPCs sollte mit einem Schnittstellen-Endpunkt für den SageMaker AI Metrics Service konfiguriert werden

[EC2.83] VPCs sollte mit einem Schnittstellenendpunkt für SageMaker AI Runtime konfiguriert werden für FIPS

[EC2.89] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für CloudTrail

[EC2.93] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für GuardDuty

[EC2.94] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für SES

[EC2.101] VPCs sollte mit einem Schnittstellenendpunkt für Amazon MWAA konfiguriert werden für FIPS

[EC2.103] VPCs sollte mit einem Schnittstellenendpunkt für die MWAA FIPS Amazon-Umgebung konfiguriert werden

[EC2.104] VPCs sollte mit einem Schnittstellenendpunkt für den MWAA Amazon-Betreiber konfiguriert werden

[EC2.106] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für CodePipeline

[EC2.112] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für AWS Config

[EC2.113] VPCs sollte mit einem Schnittstellenendpunkt für RDS Daten konfiguriert werden API

[EC2.121] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für CodeArtifact API

[EC2.122] VPCs sollte mit einem Schnittstellen-Endpunkt für CodeArtifact Repositorys konfiguriert werden

[EC2.124] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für CodeDeploy

[EC2.125] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Managed Service for Prometheus konfiguriert sein

[EC2.127] VPCs sollte mit einem Schnittstellenendpunkt für S3 Multi-Region Access Points konfiguriert werden

[EC2.128] VPCs sollte mit einem Schnittstellenendpunkt für AMB Query konfiguriert werden

[EC2.129] VPCs sollte mit einem Schnittstellenendpunkt für AMB Access Bitcoin konfiguriert sein

[EC2.130] VPCs sollte mit einem Schnittstellen-Endpunkt für AMB Bitcoin Testnet konfiguriert werden

[EC2.135] VPCs sollte mit einem Schnittstellenendpunkt für Amazon konfiguriert sein AppStream API

[EC2.136] VPCs sollte mit einem Schnittstellenendpunkt für Amazon AppStream Streaming konfiguriert sein

[EC2.138] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für AWS CodeConnections API

[EC2.139] VPCs sollte mit einem Schnittstellenendpunkt für AWS CodeStar Connections konfiguriert werden API

[EC2.141] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Textract konfiguriert sein

[EC2.143] VPCs sollte mit einem Schnittstellen-Endpunkt konfiguriert werden für AWS MGN

[EC2.146] VPCs sollte mit einem Schnittstellenendpunkt für Auto Scaling konfiguriert werden

[EC2.147] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Bedrock konfiguriert sein

[EC2.149] VPCs sollte mit einem Schnittstellen-Endpunkt für Amazon konfiguriert sein EKS

[EC2.150] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Comprehend konfiguriert sein

[EC2.151] VPCs sollte mit einem Schnittstellen-Endpunkt für App Runner konfiguriert werden

[EC2.157] VPCs sollte mit einem Schnittstellenendpunkt für IoT Core Credentials konfiguriert werden

[EC2.158] VPCs sollte mit einem Schnittstellenendpunkt für IoT Core Fleet Hub konfiguriert werden

[EC2.159] VPCs sollte mit einem Schnittstellen-Endpunkt für Elastic Disaster Recovery konfiguriert sein

[EC2.160] VPCs sollte mit einem Schnittstellen-Endpunkt für Cloud konfiguriert werden HSM

[EC2.161] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Rekognition konfiguriert sein

[EC2.162] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Managed Service for Prometheus konfiguriert sein

[EC2.163] VPCs sollte mit einem Schnittstellen-Endpunkt für Elastic Inference Runtime konfiguriert sein

[EC2.165] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Bedrock konfiguriert sein

[EC2.168] VPCs sollte mit einem Schnittstellenendpunkt für Access Analyzer konfiguriert werden

Bei [EC2.171] EC2 VPN Verbindungen sollte die Protokollierung aktiviert sein

[ECR.1] Bei ECR privaten Repositorien sollte das Scannen von Bildern konfiguriert sein

[ECR.4] ECR Öffentliche Repositorien sollten markiert werden

[ECS.1] ECS Amazon-Aufgabendefinitionen sollten sichere Netzwerkmodi und Benutzerdefinitionen enthalten.

[ECS.13] ECS Dienste sollten mit Tags versehen werden

[ECS.14] ECS Cluster sollten markiert werden

[ECS.15] ECS Aufgabendefinitionen sollten mit Tags versehen werden

[EFS.3] EFS Access Points sollten ein Stammverzeichnis erzwingen

[EFS.4] EFS Access Points sollten eine Benutzeridentität erzwingen

[EFS.5] EFS Access Points sollten markiert werden

[EFS.6] EFS Mount-Ziele sollten keinem öffentlichen Subnetz zugeordnet werden

[EKS.3] EKS Cluster sollten verschlüsselte Kubernetes-Geheimnisse verwenden

[EKS.6] EKS Cluster sollten markiert werden

[EKS.7] Konfigurationen von EKS Identitätsanbietern sollten mit Tags versehen werden

[ELB.2] Classic Load Balancer mit SSL HTTPS /Listenern sollten ein Zertifikat verwenden, das bereitgestellt wird von AWS Certificate Manager

[ELB.16] Application Load Balancers sollten mit einer Website verknüpft sein AWS WAF ACL

Bei [ElastiCache.1] ElastiCache (Redis-OSS) Clustern sollten automatische Backups aktiviert sein

[ElasticBeanstalk.1] Elastic Beanstalk Beanstalk-Umgebungen sollten erweiterte Gesundheitsberichte aktiviert haben

[ElasticBeanstalk.2] Von Elastic Beanstalk verwaltete Plattformupdates sollten aktiviert sein

[ElasticBeanstalk.3] Elastic Beanstalk sollte Logs streamen nach CloudWatch

[EMR.2] Die Einstellung Amazon EMR Block Public Access sollte aktiviert sein

[ES.1] Bei Elasticsearch-Domains sollte die Verschlüsselung im Ruhezustand aktiviert sein

[ES.3] Elasticsearch-Domains sollten Daten verschlüsseln, die zwischen Knoten gesendet werden

[ES.4] Die Elasticsearch-Domain-Fehlerprotokollierung in CloudWatch Logs sollte aktiviert sein

[ES.9] Elasticsearch-Domains sollten markiert werden

[EventBridge.2] EventBridge Eventbusse sollten gekennzeichnet sein

[EventBridge.4] Auf EventBridge globalen Endpunkten sollte die Ereignisreplikation aktiviert sein

[FSx.1] FSx für offene ZFS Dateisysteme sollte so konfiguriert sein, dass Tags auf Backups und Volumes kopiert werden

[FSx.2] FSx für Lustre sollten Dateisysteme so konfiguriert sein, dass Tags in Backups kopiert werden

[GlobalAccelerator.1] Global Accelerator-Beschleuniger sollten markiert werden

[Kleber.1] AWS Glue Jobs sollten markiert werden

[Kleber.3] AWS Glue Transformationen für maschinelles Lernen sollten im Ruhezustand verschlüsselt werden

[GuardDuty.1] GuardDuty sollte aktiviert sein

[GuardDuty.2] GuardDuty Filter sollten mit Tags versehen sein

[GuardDuty.3] GuardDuty IPSets sollte markiert sein

[GuardDuty.4] GuardDuty Detektoren sollten markiert sein

[GuardDuty.5] GuardDuty EKS Audit Log Monitoring sollte aktiviert sein

[GuardDuty.6] GuardDuty Lambda Protection sollte aktiviert sein

[GuardDuty.7] GuardDuty EKS Runtime Monitoring sollte aktiviert sein

[GuardDuty.8] Der GuardDuty Malware-Schutz für EC2 sollte aktiviert sein

[GuardDuty.9] GuardDuty RDS Der Schutz sollte aktiviert sein

[GuardDuty.10] Der GuardDuty S3-Schutz sollte aktiviert sein

[IAM.6] Die Hardware MFA sollte für den Root-Benutzer aktiviert sein

[IAM.9] MFA sollte für den Root-Benutzer aktiviert sein

[IAM.21] Von Ihnen erstellte, vom IAM Kunden verwaltete Richtlinien sollten keine Platzhalteraktionen für Dienste zulassen

[IAM.23] IAM Access Analyzer-Analyzer sollten mit Tags versehen werden

[IAM.24] IAM Rollen sollten markiert werden

[IAM.25] IAM Benutzer sollten markiert werden

[IAM.26] AbgelaufeneSSL//In verwaltete TLS Zertifikate IAM sollten entfernt werden

[IAM.27] IAM Identitäten sollte die Richtlinie nicht beigefügt sein AWSCloudShellFullAccess

[IAM.28] IAM Der externe Access Analyzer von Access Analyzer sollte aktiviert sein

[Inspector.1] Das EC2 Scannen mit Amazon Inspector sollte aktiviert sein

[Inspector.2] Das ECR Scannen mit Amazon Inspector sollte aktiviert sein

[Inspector.3] Das Scannen von Amazon Inspector Lambda-Code sollte aktiviert sein

[Inspector.4] Das Standardscannen von Amazon Inspector Lambda sollte aktiviert sein

[IoT.1] AWS IoT Device Defender Sicherheitsprofile sollten markiert werden

[IoT.2] AWS IoT Core Maßnahmen zur Schadensbegrenzung sollten gekennzeichnet werden

[IoT.3] AWS IoT Core Dimensionen sollten markiert werden

[IoT.4] AWS IoT Core Autorisierer sollten markiert werden

[IoT.5] AWS IoT Core Rollenaliase sollten markiert werden

[IoT.6] AWS IoT Core Richtlinien sollten markiert werden

[Kinesis.2] Kinesis-Streams sollten markiert werden

[Lambda.1] Lambda-Funktionsrichtlinien sollten den öffentlichen Zugriff verbieten

[Lambda.2] Lambda-Funktionen sollten unterstützte Laufzeiten verwenden

[Lambda.3] Lambda-Funktionen sollten in einem VPC

[Lambda.5] VPC Lambda-Funktionen sollten in mehreren Availability Zones funktionieren

[Lambda.6] Lambda-Funktionen sollten markiert werden

[Macie.1] Amazon Macie sollte aktiviert sein

[Macie.2] Die automatische Erkennung sensibler Daten durch Macie sollte aktiviert sein

[MQ.2] ActiveMQ-Broker sollten Audit-Logs streamen an CloudWatch

[MQ.4] Amazon MQ-Broker sollten markiert werden

[MSK.3] MSK Connect-Anschlüsse sollten bei der Übertragung verschlüsselt werden

[Neptune.3] Neptune-DB-Cluster-Snapshots sollten nicht öffentlich sein

[NetworkFirewall.1] Netzwerk-Firewall-Firewalls sollten in mehreren Availability Zones eingesetzt werden

[NetworkFirewall.2] Die Netzwerk-Firewall-Protokollierung sollte aktiviert sein

[NetworkFirewall.3] Netzwerk-Firewall-Richtlinien sollten mindestens eine Regelgruppe zugeordnet haben

[NetworkFirewall.4] Die standardmäßige statuslose Aktion für Netzwerk-Firewall-Richtlinien sollte für vollständige Pakete „Verwerfen“ oder „Weiterleiten“ sein.

[NetworkFirewall.5] Die standardmäßige statuslose Aktion für Netzwerk-Firewall-Richtlinien sollte für fragmentierte Pakete „Drop“ oder „Forward“ sein.

[NetworkFirewall.6] Die Regelgruppe Stateless Network Firewall sollte nicht leer sein

[NetworkFirewall.7] Netzwerk-Firewall-Firewalls sollten markiert werden

[NetworkFirewall.8] Firewall-Richtlinien für Netzwerk-Firewalls sollten markiert werden

[NetworkFirewall.9] Bei Netzwerk-Firewall-Firewalls sollte der Löschschutz aktiviert sein

Bei [Opensearch.1] OpenSearch -Domains sollte die Verschlüsselung im Ruhezustand aktiviert sein

[Opensearch.2] OpenSearch -Domains sollten nicht öffentlich zugänglich sein

[Opensearch.3] OpenSearch -Domains sollten Daten verschlüsseln, die zwischen Knoten gesendet werden

Die Protokollierung von [Opensearch.4] OpenSearch Domain-Fehlern in CloudWatch Logs sollte aktiviert sein

Für [Opensearch.5] OpenSearch -Domains sollte die Audit-Protokollierung aktiviert sein

[Opensearch.6] OpenSearch -Domains sollten mindestens drei Datenknoten haben

Für [Opensearch.7] OpenSearch -Domains sollte eine differenzierte Zugriffskontrolle aktiviert sein

[Opensearch.8] Verbindungen zu OpenSearch Domains sollten mit der neuesten Sicherheitsrichtlinie verschlüsselt werden TLS

[Opensearch.9] OpenSearch -Domains sollten mit Tags versehen werden

[Opensearch.11] OpenSearch Domains sollten mindestens drei dedizierte Primärknoten haben

[PCA.1] AWS Private CA Die Stammzertifizierungsstelle sollte deaktiviert sein

[RDS.7] Bei RDS Clustern sollte der Löschschutz aktiviert sein

[RDS.9] RDS DB-Instances sollten Protokolle in Logs veröffentlichen CloudWatch

[RDS.10] Die IAM Authentifizierung sollte für RDS Instances konfiguriert werden

[RDS.12] Die IAM Authentifizierung sollte für RDS Cluster konfiguriert werden

[RDS.13] RDS Automatische Upgrades für kleinere Versionen sollten aktiviert sein

[RDS.14] Bei Amazon Aurora Aurora-Clustern sollte Backtracking aktiviert sein

[RDS.15] RDS DB-Cluster sollten für mehrere Availability Zones konfiguriert werden

[RDS.24] RDS Datenbankcluster sollten einen benutzerdefinierten Administratorbenutzernamen verwenden

[RDS.25] RDS Datenbank-Instances sollten einen benutzerdefinierten Administrator-Benutzernamen verwenden

[RDS.26] RDS DB-Instances sollten durch einen Backup-Plan geschützt werden

[RDS.28] RDS DB-Cluster sollten markiert werden

[RDS.29] RDS DB-Cluster-Snapshots sollten mit Tags versehen werden

[RDS.30] RDS DB-Instances sollten markiert werden

[RDS.31] RDS DB-Sicherheitsgruppen sollten markiert werden

[RDS.32] RDS DB-Snapshots sollten mit Tags versehen werden

[RDS.33] RDS DB-Subnetzgruppen sollten markiert werden

[RDS.34] Aurora My SQL DB-Cluster sollten Audit-Logs in Logs veröffentlichen CloudWatch

[RDS.35] Bei RDS DB-Clustern sollte das automatische Upgrade auf Nebenversionen aktiviert sein

[Redshift.3] Bei Amazon Redshift Redshift-Clustern sollten automatische Snapshots aktiviert sein

[Redshift.7] Redshift-Cluster sollten erweitertes Routing verwenden VPC

[Redshift.10] Redshift-Cluster sollten im Ruhezustand verschlüsselt werden

[Redshift.11] Redshift-Cluster sollten markiert werden

[Redshift.12] Abonnements für Redshift-Ereignisbenachrichtigungen sollten markiert werden

[Redshift.13] Redshift-Cluster-Snapshots sollten markiert werden

[Redshift.14] Redshift-Cluster-Subnetzgruppen sollten markiert werden

[Redshift.15] Redshift-Sicherheitsgruppen sollten den Zugriff auf den Cluster-Port nur von eingeschränkten Quellen zulassen

[Route 53.1] Route 53-Zustandsprüfungen sollten gekennzeichnet sein

[Route 53.2] Öffentliche, gehostete Zonen in Route 53 sollten Abfragen protokollieren DNS

[S3.1] Bei S3-Allzweck-Buckets sollten die Einstellungen für den öffentlichen Zugriff blockieren aktiviert sein

[S3.8] S3-Allzweck-Buckets sollten den öffentlichen Zugriff blockieren

[S3.14] Für S3-Allzweck-Buckets sollte die Versionierung aktiviert sein

[S3.24] Für S3-Access Points mit mehreren Regionen sollten die Einstellungen für die Blockierung des öffentlichen Zugriffs aktiviert sein

[SageMaker AI.1] Amazon SageMaker AI-Notebook-Instances sollten keinen direkten Internetzugang haben

[SageMaker AI.4] Bei Produktionsvarianten für SageMaker KI-Endgeräte sollte die anfängliche Anzahl der Instances größer als 1 sein

[SES.1] SES Kontaktlisten sollten mit Tags versehen werden

[SES.2] SES Konfigurationssätze sollten mit Tags versehen werden

[SecretsManager.3] Unbenutzte Secrets Manager Manager-Geheimnisse entfernen

[SecretsManager.4] Secrets Manager Manager-Geheimnisse sollten innerhalb einer bestimmten Anzahl von Tagen rotiert werden

[SecretsManager.5] Secrets Manager Manager-Geheimnisse sollten markiert werden

[ServiceCatalog.1] Servicekatalog-Portfolios sollten innerhalb eines gemeinsam genutzt werden AWS nur Organisation

[SNS.3] SNS Themen sollten mit Schlagwörtern versehen werden

[SQS.2] SQS Warteschlangen sollten markiert werden

[StepFunctions.2] Die Aktivitäten von Step Functions sollten mit Tags versehen werden

[Transfer.1] AWS Transfer Family -Workflows sollten mit Tags versehen werden

[Transfer.2] Transfer Family Family-Server sollten kein FTP Protokoll für die Endpunktverbindung verwenden

[WAF.1] Die AWS WAF klassische globale ACL Webprotokollierung sollte aktiviert sein

[WAF.3] AWS WAF Klassische regionale Regelgruppen sollten mindestens eine Regel haben

[WAF.6] AWS WAF Klassische globale Regeln sollten mindestens eine Bedingung haben

[WAF.7] AWS WAF Klassische globale Regelgruppen sollten mindestens eine Regel haben

[WAF.8] Das AWS WAF klassische globale Web ACLs sollte mindestens eine Regel oder Regelgruppe enthalten

[WAF.11] Die AWS WAF ACL Webprotokollierung sollte aktiviert sein

Bei [CloudFront.1] CloudFront Distributionen sollte ein Standard-Root-Objekt konfiguriert sein

[CloudFront.3] CloudFront Distributionen sollten während der Übertragung verschlüsselt werden müssen

[CloudFront.4] Bei CloudFront Distributionen sollte das Origin-Failover konfiguriert sein

[CloudFront.5] Bei CloudFront Distributionen sollte die Protokollierung aktiviert sein

[CloudFront.6] CloudFront Distributionen sollten aktiviert worden sein WAF

[CloudFront.7] CloudFront Distributionen sollten benutzerdefinierte SSL /-Zertifikate verwenden TLS

[CloudFront.8] CloudFront Distributionen sollten zur Bearbeitung von Anfragen verwendet SNI werden HTTPS

[CloudFront.9] CloudFront Distributionen sollten den Datenverkehr zu benutzerdefinierten Ursprüngen verschlüsseln

[CloudFront.10] CloudFront Distributionen sollten keine veralteten SSL Protokolle zwischen Edge-Standorten und benutzerdefinierten Ursprüngen verwenden

[CloudFront.12] CloudFront Distributionen sollten nicht auf nicht existierende S3-Ursprünge verweisen

[CloudFront.13] CloudFront Distributionen sollten die Origin-Zugriffskontrolle verwenden

[CloudFront.14] CloudFront Distributionen sollten markiert werden

[EC2.83] VPCs sollte mit einem Schnittstellenendpunkt für SageMaker AI Runtime konfiguriert werden für FIPS

[EC2.101] VPCs sollte mit einem Schnittstellenendpunkt für Amazon MWAA konfiguriert werden für FIPS

[EC2.103] VPCs sollte mit einem Schnittstellenendpunkt für die MWAA FIPS Amazon-Umgebung konfiguriert werden

[EC2.128] VPCs sollte mit einem Schnittstellenendpunkt für AMB Query konfiguriert werden

[EC2.129] VPCs sollte mit einem Schnittstellenendpunkt für AMB Access Bitcoin konfiguriert sein

[EC2.130] VPCs sollte mit einem Schnittstellen-Endpunkt für AMB Bitcoin Testnet konfiguriert werden

[EC2.163] VPCs sollte mit einem Schnittstellen-Endpunkt für Elastic Inference Runtime konfiguriert sein

[ECR.4] ECR Öffentliche Repositorien sollten markiert werden

[GlobalAccelerator.1] Global Accelerator-Beschleuniger sollten markiert werden

[IAM.26] AbgelaufeneSSL//In verwaltete TLS Zertifikate IAM sollten entfernt werden

[RDS.31] RDS DB-Sicherheitsgruppen sollten markiert werden

[Route 53.1] Route 53-Zustandsprüfungen sollten gekennzeichnet sein

[Route 53.2] Öffentliche, gehostete Zonen in Route 53 sollten Abfragen protokollieren DNS

[S3.24] Für S3-Access Points mit mehreren Regionen sollten die Einstellungen für die Blockierung des öffentlichen Zugriffs aktiviert sein

[WAF.1] Die AWS WAF klassische globale ACL Webprotokollierung sollte aktiviert sein

[WAF.6] AWS WAF Klassische globale Regeln sollten mindestens eine Bedingung haben

[WAF.7] AWS WAF Klassische globale Regelgruppen sollten mindestens eine Regel haben

[WAF.8] Das AWS WAF klassische globale Web ACLs sollte mindestens eine Regel oder Regelgruppe enthalten

[AppSync.1] AWS AppSync API Caches sollten im Ruhezustand verschlüsselt werden

[AppSync.6] AWS AppSync API Caches sollten bei der Übertragung verschlüsselt werden

Bei [CloudFront.1] CloudFront Distributionen sollte ein Standard-Root-Objekt konfiguriert sein

[CloudFront.3] CloudFront Distributionen sollten während der Übertragung verschlüsselt werden müssen

[CloudFront.4] Bei CloudFront Distributionen sollte das Origin-Failover konfiguriert sein

[CloudFront.5] Bei CloudFront Distributionen sollte die Protokollierung aktiviert sein

[CloudFront.6] CloudFront Distributionen sollten aktiviert worden sein WAF

[CloudFront.7] CloudFront Distributionen sollten benutzerdefinierte SSL /-Zertifikate verwenden TLS

[CloudFront.8] CloudFront Distributionen sollten zur Bearbeitung von Anfragen verwendet SNI werden HTTPS

[CloudFront.9] CloudFront Distributionen sollten den Datenverkehr zu benutzerdefinierten Ursprüngen verschlüsseln

[CloudFront.10] CloudFront Distributionen sollten keine veralteten SSL Protokolle zwischen Edge-Standorten und benutzerdefinierten Ursprüngen verwenden

[CloudFront.12] CloudFront Distributionen sollten nicht auf nicht existierende S3-Ursprünge verweisen

[CloudFront.13] CloudFront Distributionen sollten die Origin-Zugriffskontrolle verwenden

[CloudFront.14] CloudFront Distributionen sollten markiert werden

[EC2.83] VPCs sollte mit einem Schnittstellenendpunkt für SageMaker AI Runtime konfiguriert werden für FIPS

[EC2.101] VPCs sollte mit einem Schnittstellenendpunkt für Amazon MWAA konfiguriert werden für FIPS

[EC2.103] VPCs sollte mit einem Schnittstellenendpunkt für die MWAA FIPS Amazon-Umgebung konfiguriert werden

[EC2.128] VPCs sollte mit einem Schnittstellenendpunkt für AMB Query konfiguriert werden

[ECR.4] ECR Öffentliche Repositorien sollten markiert werden

[GlobalAccelerator.1] Global Accelerator-Beschleuniger sollten markiert werden

[IAM.26] AbgelaufeneSSL//In verwaltete TLS Zertifikate IAM sollten entfernt werden

[Route 53.1] Route 53-Zustandsprüfungen sollten gekennzeichnet sein

[Route 53.2] Öffentliche, gehostete Zonen in Route 53 sollten Abfragen protokollieren DNS

[S3.24] Für S3-Access Points mit mehreren Regionen sollten die Einstellungen für die Blockierung des öffentlichen Zugriffs aktiviert sein

[WAF.1] Die AWS WAF klassische globale ACL Webprotokollierung sollte aktiviert sein

[WAF.6] AWS WAF Klassische globale Regeln sollten mindestens eine Bedingung haben

[WAF.7] AWS WAF Klassische globale Regelgruppen sollten mindestens eine Regel haben

[WAF.8] Das AWS WAF klassische globale Web ACLs sollte mindestens eine Regel oder Regelgruppe enthalten

[AppSync.1] AWS AppSync API Caches sollten im Ruhezustand verschlüsselt werden

[AppSync.6] AWS AppSync API Caches sollten bei der Übertragung verschlüsselt werden

Bei [CloudFront.1] CloudFront Distributionen sollte ein Standard-Root-Objekt konfiguriert sein

[CloudFront.3] CloudFront Distributionen sollten während der Übertragung verschlüsselt werden müssen

[CloudFront.4] Bei CloudFront Distributionen sollte das Origin-Failover konfiguriert sein

[CloudFront.5] Bei CloudFront Distributionen sollte die Protokollierung aktiviert sein

[CloudFront.6] CloudFront Distributionen sollten aktiviert worden sein WAF

[CloudFront.7] CloudFront Distributionen sollten benutzerdefinierte SSL /-Zertifikate verwenden TLS

[CloudFront.8] CloudFront Distributionen sollten zur Bearbeitung von Anfragen verwendet SNI werden HTTPS

[CloudFront.9] CloudFront Distributionen sollten den Datenverkehr zu benutzerdefinierten Ursprüngen verschlüsseln

[CloudFront.10] CloudFront Distributionen sollten keine veralteten SSL Protokolle zwischen Edge-Standorten und benutzerdefinierten Ursprüngen verwenden

[CloudFront.12] CloudFront Distributionen sollten nicht auf nicht existierende S3-Ursprünge verweisen

[CloudFront.13] CloudFront Distributionen sollten die Origin-Zugriffskontrolle verwenden

[CloudFront.14] CloudFront Distributionen sollten markiert werden

[EC2.24] EC2 Paravirtual-Instance-Typen von Amazon sollten nicht verwendet werden

[EC2.83] VPCs sollte mit einem Schnittstellenendpunkt für SageMaker AI Runtime konfiguriert werden für FIPS

[EC2.101] VPCs sollte mit einem Schnittstellenendpunkt für Amazon MWAA konfiguriert werden für FIPS

[EC2.103] VPCs sollte mit einem Schnittstellenendpunkt für die MWAA FIPS Amazon-Umgebung konfiguriert werden

[EC2.128] VPCs sollte mit einem Schnittstellenendpunkt für AMB Query konfiguriert werden

[EC2.163] VPCs sollte mit einem Schnittstellen-Endpunkt für Elastic Inference Runtime konfiguriert sein

[ECR.4] ECR Öffentliche Repositorien sollten markiert werden

[GlobalAccelerator.1] Global Accelerator-Beschleuniger sollten markiert werden

[IAM.26] AbgelaufeneSSL//In verwaltete TLS Zertifikate IAM sollten entfernt werden

[RDS.31] RDS DB-Sicherheitsgruppen sollten markiert werden

[Route 53.1] Route 53-Zustandsprüfungen sollten gekennzeichnet sein

[Route 53.2] Öffentliche, gehostete Zonen in Route 53 sollten Abfragen protokollieren DNS

[S3.24] Für S3-Access Points mit mehreren Regionen sollten die Einstellungen für die Blockierung des öffentlichen Zugriffs aktiviert sein

[WAF.1] Die AWS WAF klassische globale ACL Webprotokollierung sollte aktiviert sein

[WAF.6] AWS WAF Klassische globale Regeln sollten mindestens eine Bedingung haben

[WAF.7] AWS WAF Klassische globale Regelgruppen sollten mindestens eine Regel haben

[WAF.8] Das AWS WAF klassische globale Web ACLs sollte mindestens eine Regel oder Regelgruppe enthalten

[ACM.1] ACM Importierte und ausgestellte Zertifikate sollten nach einem bestimmten Zeitraum erneuert werden

[AppSync.1] AWS AppSync API Caches sollten im Ruhezustand verschlüsselt werden

[AppSync.6] AWS AppSync API Caches sollten bei der Übertragung verschlüsselt werden

Bei [CloudFront.1] CloudFront Distributionen sollte ein Standard-Root-Objekt konfiguriert sein

[CloudFront.3] CloudFront Distributionen sollten während der Übertragung verschlüsselt werden müssen

[CloudFront.4] Bei CloudFront Distributionen sollte das Origin-Failover konfiguriert sein

[CloudFront.5] Bei CloudFront Distributionen sollte die Protokollierung aktiviert sein

[CloudFront.6] CloudFront Distributionen sollten aktiviert worden sein WAF

[CloudFront.7] CloudFront Distributionen sollten benutzerdefinierte SSL /-Zertifikate verwenden TLS

[CloudFront.8] CloudFront Distributionen sollten zur Bearbeitung von Anfragen verwendet SNI werden HTTPS

[CloudFront.9] CloudFront Distributionen sollten den Datenverkehr zu benutzerdefinierten Ursprüngen verschlüsseln

[CloudFront.10] CloudFront Distributionen sollten keine veralteten SSL Protokolle zwischen Edge-Standorten und benutzerdefinierten Ursprüngen verwenden

[CloudFront.12] CloudFront Distributionen sollten nicht auf nicht existierende S3-Ursprünge verweisen

[CloudFront.13] CloudFront Distributionen sollten die Origin-Zugriffskontrolle verwenden

[CloudFront.14] CloudFront Distributionen sollten markiert werden

[CodeBuild.1] Das CodeBuild Bitbucket-Quell-Repository URLs sollte keine vertraulichen Anmeldeinformationen enthalten

[DMS.1] Replikationsinstanzen des Database Migration Service sollten nicht öffentlich sein

[DMS.10] Auf DMS Endpunkten für Neptune-Datenbanken sollte die Autorisierung aktiviert sein IAM

[DynamoDB.3] DynamoDB Accelerator (DAX) -Cluster sollten im Ruhezustand verschlüsselt werden

[DynamoDB.7] DynamoDB Accelerator-Cluster sollten bei der Übertragung verschlüsselt werden

[EC2.3] Angehängte EBS Amazon-Volumes sollten im Ruhezustand verschlüsselt werden

[EC2.4] Gestoppte EC2 Instances sollten nach einem bestimmten Zeitraum entfernt werden

[EC2.8] EC2 Instances sollten Instance Metadata Service Version 2 () IMDSv2 verwenden

[EC2.12] Unbenutztes Amazon EC2 EIPs sollte entfernt werden

[EC2.13] Sicherheitsgruppen sollten keinen Zugang von 0.0.0.0/0 oder: :/0 zu Port 22 zulassen

[EC2.14] Sicherheitsgruppen sollten keinen Zugriff von 0.0.0.0/0 oder: :/0 auf Port 3389 zulassen

[EC2.24] EC2 Paravirtual-Instance-Typen von Amazon sollten nicht verwendet werden

[EC2.58] VPCs sollte mit einem Schnittstellenendpunkt für Systems Manager Incident Manager-Kontakte konfiguriert sein

[EC2.60] VPCs sollte mit einem Schnittstellenendpunkt für Systems Manager Incident Manager konfiguriert werden

[EC2.61] VPCs sollte mit einem Schnittstellenendpunkt für Systems Manager Quick Setup konfiguriert sein

[EC2.83] VPCs sollte mit einem Schnittstellenendpunkt für SageMaker AI Runtime konfiguriert werden für FIPS

[EC2.94] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für SES

[EC2.101] VPCs sollte mit einem Schnittstellenendpunkt für Amazon MWAA konfiguriert werden für FIPS

[EC2.103] VPCs sollte mit einem Schnittstellenendpunkt für die MWAA FIPS Amazon-Umgebung konfiguriert werden

[EC2.104] VPCs sollte mit einem Schnittstellenendpunkt für den MWAA Amazon-Betreiber konfiguriert werden

[EC2.113] VPCs sollte mit einem Schnittstellenendpunkt für RDS Daten konfiguriert werden API

[EC2.123] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Redshift konfiguriert sein

[EC2.124] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für CodeDeploy

[EC2.125] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Managed Service for Prometheus konfiguriert sein

[EC2.127] VPCs sollte mit einem Schnittstellenendpunkt für S3 Multi-Region Access Points konfiguriert werden

[EC2.128] VPCs sollte mit einem Schnittstellenendpunkt für AMB Query konfiguriert werden

[EC2.129] VPCs sollte mit einem Schnittstellenendpunkt für AMB Access Bitcoin konfiguriert sein

[EC2.130] VPCs sollte mit einem Schnittstellen-Endpunkt für AMB Bitcoin Testnet konfiguriert werden

[EC2.135] VPCs sollte mit einem Schnittstellenendpunkt für Amazon konfiguriert sein AppStream API

[EC2.136] VPCs sollte mit einem Schnittstellenendpunkt für Amazon AppStream Streaming konfiguriert sein

[EC2.141] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Textract konfiguriert sein

[EC2.142] VPCs sollte mit einem Schnittstellenendpunkt für Keyspaces konfiguriert werden

[EC2.146] VPCs sollte mit einem Schnittstellenendpunkt für Auto Scaling konfiguriert werden

[EC2.147] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Bedrock konfiguriert sein

[EC2.150] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Comprehend konfiguriert sein

[EC2.151] VPCs sollte mit einem Schnittstellen-Endpunkt für App Runner konfiguriert werden

[EC2.156] VPCs sollte mit einem Schnittstellenendpunkt für IoT Core Data konfiguriert sein

[EC2.157] VPCs sollte mit einem Schnittstellenendpunkt für IoT Core Credentials konfiguriert werden

[EC2.158] VPCs sollte mit einem Schnittstellenendpunkt für IoT Core Fleet Hub konfiguriert werden

[EC2.161] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Rekognition konfiguriert sein

[EC2.162] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Managed Service for Prometheus konfiguriert sein

[EC2.163] VPCs sollte mit einem Schnittstellen-Endpunkt für Elastic Inference Runtime konfiguriert sein

[EC2.164] VPCs sollte mit einem Schnittstellenendpunkt konfiguriert werden für CloudWatch

[EC2.165] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Bedrock konfiguriert sein

[EC2.168] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Transcribe Medical konfiguriert sein

[ECR.4] ECR Öffentliche Repositorien sollten markiert werden

[EFS.1] Elastic File System sollte so konfiguriert sein, dass ruhende Dateidaten verschlüsselt werden mit AWS KMS

[EFS.2] EFS Amazon-Volumes sollten in Backup-Plänen enthalten sein

[ELB.1] Application Load Balancer sollte so konfiguriert sein, dass alle HTTP Anfragen umgeleitet werden an HTTPS

[ELB.2] Classic Load Balancer mit SSL HTTPS /Listenern sollten ein Zertifikat verwenden, das bereitgestellt wird von AWS Certificate Manager

[ELB.4] Application Load Balancer sollte so konfiguriert sein, dass ungültige HTTP-Header gelöscht werden

[ELB2.8] Classic Load Balancer mit SSL Listenern sollten eine vordefinierte Sicherheitsrichtlinie mit starker Dauer verwenden AWS Config

[ELB.16] Application Load Balancers sollten mit einer Website verknüpft sein AWS WAF ACL

[EMR.1] Primäre EMR Amazon-Clusterknoten sollten keine öffentlichen IP-Adressen haben

[ES.3] Elasticsearch-Domains sollten Daten verschlüsseln, die zwischen Knoten gesendet werden

[EventBridge.4] Auf EventBridge globalen Endpunkten sollte die Ereignisreplikation aktiviert sein

[GlobalAccelerator.1] Global Accelerator-Beschleuniger sollten markiert werden

[IAM.18] Stellen Sie sicher, dass eine Support-Rolle für die Verwaltung von Vorfällen eingerichtet wurde AWS Support

[IAM.26] AbgelaufeneSSL//In verwaltete TLS Zertifikate IAM sollten entfernt werden

[Inspector.3] Das Scannen von Amazon Inspector Lambda-Code sollte aktiviert sein

[IoT.1] AWS IoT Device Defender Sicherheitsprofile sollten markiert werden

[IoT.2] AWS IoT Core Maßnahmen zur Schadensbegrenzung sollten gekennzeichnet werden

[IoT.3] AWS IoT Core Dimensionen sollten markiert werden

[IoT.4] AWS IoT Core Autorisierer sollten markiert werden

[IoT.5] AWS IoT Core Rollenaliase sollten markiert werden

[IoT.6] AWS IoT Core Richtlinien sollten markiert werden

[MSK.3] MSK Connect-Anschlüsse sollten bei der Übertragung verschlüsselt werden

[Neptune.1] Neptune-DB-Cluster sollten im Ruhezustand verschlüsselt werden

[Neptune.2] Neptune-DB-Cluster sollten Audit-Logs in Logs veröffentlichen CloudWatch

[Neptune.3] Neptune-DB-Cluster-Snapshots sollten nicht öffentlich sein

[Neptune.4] Bei Neptune-DB-Clustern sollte der Löschschutz aktiviert sein

[Neptune.5] Bei Neptune-DB-Clustern sollten automatische Backups aktiviert sein

[Neptune.6] Neptune-DB-Cluster-Snapshots sollten im Ruhezustand verschlüsselt werden

[Neptune.7] Bei Neptune-DB-Clustern sollte die Datenbankauthentifizierung aktiviert sein IAM

[Neptune.8] Neptune-DB-Cluster sollten so konfiguriert sein, dass sie Tags in Snapshots kopieren

[Neptune.9] Neptune-DB-Cluster sollten in mehreren Availability Zones bereitgestellt werden

[RDS.1] Der RDS Snapshot sollte privat sein

[RDS.4] RDS Cluster-Snapshots und Datenbank-Snapshots sollten im Ruhezustand verschlüsselt werden

[RDS.9] RDS DB-Instances sollten Protokolle in Logs veröffentlichen CloudWatch

[RDS.14] Bei Amazon Aurora Aurora-Clustern sollte Backtracking aktiviert sein

[RDS.31] RDS DB-Sicherheitsgruppen sollten markiert werden

[Redshift.2] Verbindungen zu Amazon Redshift Redshift-Clustern sollten bei der Übertragung verschlüsselt werden

[Redshift.3] Bei Amazon Redshift Redshift-Clustern sollten automatische Snapshots aktiviert sein

[Route 53.1] Route 53-Zustandsprüfungen sollten gekennzeichnet sein

[Route 53.2] Öffentliche, gehostete Zonen in Route 53 sollten Abfragen protokollieren DNS

[S3.24] Für S3-Access Points mit mehreren Regionen sollten die Einstellungen für die Blockierung des öffentlichen Zugriffs aktiviert sein

[SageMaker AI.1] Amazon SageMaker AI-Notebook-Instances sollten keinen direkten Internetzugang haben

[SSM.2] Von Systems Manager verwaltete EC2 Amazon-Instances sollten COMPLIANT nach einer Patch-Installation den Patch-Compliance-Status von haben

[SSM.3] Von Systems Manager verwaltete EC2 Amazon-Instances sollten den Zuordnungs-Compliance-Status von haben COMPLIANT

[WAF.1] Die AWS WAF klassische globale ACL Webprotokollierung sollte aktiviert sein

[WAF.6] AWS WAF Klassische globale Regeln sollten mindestens eine Bedingung haben

[WAF.7] AWS WAF Klassische globale Regelgruppen sollten mindestens eine Regel haben

[WAF.8] Das AWS WAF klassische globale Web ACLs sollte mindestens eine Regel oder Regelgruppe enthalten

[WAF.11] Die AWS WAF ACL Webprotokollierung sollte aktiviert sein

[WorkSpaces.1] WorkSpaces Benutzervolumes sollten im Ruhezustand verschlüsselt werden

[WorkSpaces.2] WorkSpaces Root-Volumes sollten im Ruhezustand verschlüsselt werden

[AppSync.1] AWS AppSync API Caches sollten im Ruhezustand verschlüsselt werden

[AppSync.6] AWS AppSync API Caches sollten bei der Übertragung verschlüsselt werden

Bei [CloudFront.1] CloudFront Distributionen sollte ein Standard-Root-Objekt konfiguriert sein

[CloudFront.3] CloudFront Distributionen sollten während der Übertragung verschlüsselt werden müssen

[CloudFront.4] Bei CloudFront Distributionen sollte das Origin-Failover konfiguriert sein

[CloudFront.5] Bei CloudFront Distributionen sollte die Protokollierung aktiviert sein

[CloudFront.6] CloudFront Distributionen sollten aktiviert worden sein WAF

[CloudFront.7] CloudFront Distributionen sollten benutzerdefinierte SSL /-Zertifikate verwenden TLS

[CloudFront.8] CloudFront Distributionen sollten zur Bearbeitung von Anfragen verwendet SNI werden HTTPS

[CloudFront.9] CloudFront Distributionen sollten den Datenverkehr zu benutzerdefinierten Ursprüngen verschlüsseln

[CloudFront.10] CloudFront Distributionen sollten keine veralteten SSL Protokolle zwischen Edge-Standorten und benutzerdefinierten Ursprüngen verwenden

[CloudFront.12] CloudFront Distributionen sollten nicht auf nicht existierende S3-Ursprünge verweisen

[CloudFront.13] CloudFront Distributionen sollten die Origin-Zugriffskontrolle verwenden

[CloudFront.14] CloudFront Distributionen sollten markiert werden

[EC2.24] EC2 Paravirtual-Instance-Typen von Amazon sollten nicht verwendet werden

[EC2.83] VPCs sollte mit einem Schnittstellenendpunkt für SageMaker AI Runtime konfiguriert werden für FIPS

[EC2.101] VPCs sollte mit einem Schnittstellenendpunkt für Amazon MWAA konfiguriert werden für FIPS

[EC2.103] VPCs sollte mit einem Schnittstellenendpunkt für die MWAA FIPS Amazon-Umgebung konfiguriert werden

[EC2.128] VPCs sollte mit einem Schnittstellenendpunkt für AMB Query konfiguriert werden

[EC2.129] VPCs sollte mit einem Schnittstellenendpunkt für AMB Access Bitcoin konfiguriert sein

[EC2.130] VPCs sollte mit einem Schnittstellen-Endpunkt für AMB Bitcoin Testnet konfiguriert werden

[EC2.135] VPCs sollte mit einem Schnittstellenendpunkt für Amazon konfiguriert sein AppStream API

[EC2.136] VPCs sollte mit einem Schnittstellenendpunkt für Amazon AppStream Streaming konfiguriert sein

[EC2.146] VPCs sollte mit einem Schnittstellenendpunkt für Auto Scaling konfiguriert werden

[EC2.150] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Comprehend konfiguriert sein

[EC2.158] VPCs sollte mit einem Schnittstellenendpunkt für IoT Core Fleet Hub konfiguriert werden

[EC2.161] VPCs sollte mit einem Schnittstellenendpunkt für Amazon Rekognition konfiguriert sein

[EC2.163] VPCs sollte mit einem Schnittstellen-Endpunkt für Elastic Inference Runtime konfiguriert sein

[ECR.4] ECR Öffentliche Repositorien sollten markiert werden

[GlobalAccelerator.1] Global Accelerator-Beschleuniger sollten markiert werden

[IAM.26] AbgelaufeneSSL//In verwaltete TLS Zertifikate IAM sollten entfernt werden

[Inspector.3] Das Scannen von Amazon Inspector Lambda-Code sollte aktiviert sein

[RDS.31] RDS DB-Sicherheitsgruppen sollten markiert werden

[Route 53.1] Route 53-Zustandsprüfungen sollten gekennzeichnet sein

[Route 53.2] Öffentliche, gehostete Zonen in Route 53 sollten Abfragen protokollieren DNS

[S3.24] Für S3-Access Points mit mehreren Regionen sollten die Einstellungen für die Blockierung des öffentlichen Zugriffs aktiviert sein

[WAF.1] Die AWS WAF klassische globale ACL Webprotokollierung sollte aktiviert sein

[WAF.6] AWS WAF Klassische globale Regeln sollten mindestens eine Bedingung haben

[WAF.7] AWS WAF Klassische globale Regelgruppen sollten mindestens eine Regel haben

[WAF.8] Das AWS WAF klassische globale Web ACLs sollte mindestens eine Regel oder Regelgruppe enthalten

[WorkSpaces.1] WorkSpaces Benutzervolumes sollten im Ruhezustand verschlüsselt werden

[WorkSpaces.2] WorkSpaces Root-Volumes sollten im Ruhezustand verschlüsselt werden

[ACM.1] ACM Importierte und ausgestellte Zertifikate sollten nach einem bestimmten Zeitraum erneuert werden

[Konto.2] AWS-Konten sollte Teil eines sein AWS Organizations Organisation