Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
# Security Hub CSPM-Steuerungen für Amazon SNS
Diese AWS Security Hub CSPM Kontrollen bewerten den Service und die Ressourcen des Amazon Simple Notification Service (Amazon SNS). Die Kontrollen sind möglicherweise nicht in allen AWS-Regionen verfügbar. Weitere Informationen finden Sie unter [Verfügbarkeit von Kontrollen nach Regionen](securityhub-regions.md#securityhub-regions-control-support).
## [SNS.1] SNS-Themen sollten im Ruhezustand wie folgt verschlüsselt werden AWS KMS
**Verwandte Anforderungen:** NIST.800-53.r5 CA-9 (1), NIST.800-53.r5 CM-3(6), NIST.800-53.r5 SC-1 3, NIST.800-53.r5 SC-2 8 (1), (10), NIST.800-53.R5 NIST.800-53.r5 SC-2 SI-7 (6), NIST.800-53.r5 SC-7 NIST.800-171.r2 3.13.11, NIST.800-171.R2 3.13.16
**Kategorie**: Schützen > Datenschutz > Verschlüsselung von data-at-rest
**Schweregrad:** Mittel
**Art der Ressource:** `AWS::SNS::Topic`
**AWS Config -Regel: ** [https://docs.aws.amazon.com/config/latest/developerguide/sns-encrypted-kms.html](https://docs.aws.amazon.com/config/latest/developerguide/sns-encrypted-kms.html)
**Art des Zeitplans:** Änderung wurde ausgelöst
**Parameter:** Keine
Dieses Steuerelement prüft, ob ein Amazon SNS SNS-Thema im Ruhezustand mithilfe von Schlüsseln verschlüsselt ist, die in AWS Key Management Service (AWS KMS) verwaltet werden. Die Steuerung schlägt fehl, wenn das SNS-Thema keinen KMS-Schlüssel für die serverseitige Verschlüsselung (SSE) verwendet. Standardmäßig speichert SNS Nachrichten und Dateien mithilfe der Festplattenverschlüsselung. Um diese Kontrolle zu bestehen, müssen Sie stattdessen einen KMS-Schlüssel für die Verschlüsselung verwenden. Dies fügt eine zusätzliche Sicherheitsebene hinzu und bietet mehr Flexibilität bei der Zugriffskontrolle.
Durch die Verschlüsselung von Daten im Ruhezustand wird das Risiko verringert, dass auf Daten, die auf der Festplatte gespeichert sind, von einem Benutzer zugegriffen wird, für den kein Benutzer authentifiziert ist. AWS API-Berechtigungen sind erforderlich, um die Daten zu entschlüsseln, bevor sie gelesen werden können. Wir empfehlen, SNS-Themen mit KMS-Schlüsseln zu verschlüsseln, um eine zusätzliche Sicherheitsebene zu gewährleisten.
### Abhilfe
Informationen zur [Aktivierung von SSE für ein SNS-Thema finden Sie unter Serverseitige Verschlüsselung (SSE) für ein Amazon SNS SNS-Thema aktivieren im Amazon](https://docs.aws.amazon.com/sns/latest/dg/sns-enable-encryption-for-topic.html) *Simple Notification Service* Developer Guide. Bevor Sie SSE verwenden können, müssen Sie außerdem AWS KMS key Richtlinien konfigurieren, die die Verschlüsselung von Themen sowie die Verschlüsselung und Entschlüsselung von Nachrichten ermöglichen. Weitere Informationen finden Sie unter [Konfiguration von AWS KMS Berechtigungen](https://docs.aws.amazon.com/sns/latest/dg/sns-key-management.html#sns-what-permissions-for-sse) im *Amazon Simple Notification Service Developer Guide*.
## [SNS.2] Die Protokollierung des Lieferstatus sollte für Benachrichtigungen aktiviert werden, die an ein Thema gesendet werden
**Wichtig**
Security Hub CSPM hat diese Kontrolle im April 2024 eingestellt. Weitere Informationen finden Sie unter [Änderungsprotokoll für Security Hub CSPM-Steuerelemente](controls-change-log.md).
**Verwandte Anforderungen:** NIST.800-53.R5 AU-12, NIST.800-53.R5 AU-2
**Kategorie:** Identifizieren > Protokollierung
**Schweregrad:** Mittel
**Art der Ressource:** `AWS::SNS::Topic`
**AWS Config -Regel: ** [https://docs.aws.amazon.com/config/latest/developerguide/sns-topic-message-delivery-notification-enabled.html](https://docs.aws.amazon.com/config/latest/developerguide/sns-topic-message-delivery-notification-enabled.html)
**Art des Zeitplans:** Änderung wurde ausgelöst
**Parameter:** Keine
Dieses Steuerelement prüft, ob die Protokollierung für den Lieferstatus von Benachrichtigungen aktiviert ist, die an ein Amazon SNS SNS-Thema für die Endgeräte gesendet werden. Diese Kontrolle schlägt fehl, wenn die Benachrichtigung über den Lieferstatus von Nachrichten nicht aktiviert ist.
Die Protokollierung ist ein wichtiger Bestandteil der Aufrechterhaltung der Zuverlässigkeit, Verfügbarkeit und Leistung von Diensten. Die Protokollierung des Nachrichtenzustellungsstatus hilft dabei, betriebliche Erkenntnisse wie die folgenden zu gewinnen:
+ Kenntnis, ob eine Mitteilung an den Amazon SNS-Endpunkt gesendet wurde.
+ Ermittlung der Antwort, die vom Amazon SNS-Endpunkt an Amazon SNS gesendet wurde.
+ Bestimmung der Verweildauer der Nachricht (die Zeit zwischen dem Veröffentlichungszeitstempel und der Übergabe an einen Amazon SNS SNS-Endpunkt).
### Abhilfe
Informationen zur Konfiguration der Versandstatusprotokollierung für ein Thema finden Sie unter [Amazon SNS SNS-Nachrichtenzustellungsstatus](https://docs.aws.amazon.com/sns/latest/dg/sns-topic-attributes.html) im *Amazon Simple Notification Service Developer Guide*.
## [SNS.3] SNS-Themen sollten markiert werden
**Kategorie: Identifizieren > Inventar** > Tagging
**Schweregrad:** Niedrig
**Art der Ressource:** `AWS::SNS::Topic`
**AWS Config Regel:** `tagged-sns-topic` (benutzerdefinierte Security Hub CSPM-Regel)
**Zeitplantyp: Änderung wurde ausgelöst**
**Parameter:**
| Parameter | Description | Typ | Zulässige benutzerdefinierte Werte | Security Hub CSPM-Standardwert |
| --- | --- | --- | --- | --- |
| requiredTagKeys | Liste der -Tag-Schlüssel, die die evaluierte Ressource enthalten muss. Bei Tag-Schlüsseln wird zwischen Groß- und Kleinschreibung unterschieden. | StringList (maximal 6 Elemente) | 1—6 Tag-Schlüssel, die die [AWS Anforderungen](https://docs.aws.amazon.com/tag-editor/latest/userguide/tagging.html#tag-conventions) erfüllen. | No default value |
Dieses Steuerelement prüft, ob ein Amazon SNS SNS-Thema Tags mit den spezifischen Schlüsseln enthält, die im Parameter `requiredTagKeys` definiert sind. Das Steuerelement schlägt fehl, wenn das Thema keine Tag-Schlüssel hat oder wenn es nicht alle im Parameter `requiredTagKeys` angegebenen Schlüssel enthält. Wenn der Parameter `requiredTagKeys` nicht angegeben wird, prüft das Steuerelement nur, ob ein Tag-Schlüssel vorhanden ist, und schlägt fehl, wenn das Thema mit keinem Schlüssel markiert ist. Systemtags, die automatisch angewendet werden und mit beginnen`aws:`, werden ignoriert.
Ein Tag ist eine Bezeichnung, die Sie einer AWS Ressource zuweisen. Sie besteht aus einem Schlüssel und einem optionalen Wert. Sie können Tags erstellen, um Ressourcen nach Zweck, Eigentümer, Umgebung oder anderen Kriterien zu kategorisieren. Mithilfe von Tags können Sie Ressourcen identifizieren, organisieren, suchen und filtern. Mithilfe von Stichwörtern können Sie außerdem nachvollziehen, welche Aktionen und Benachrichtigungen von Ressourcenbesitzern verantwortlich sind. Wenn Sie Tagging verwenden, können Sie die attributebasierte Zugriffskontrolle (ABAC) als Autorisierungsstrategie implementieren, bei der Berechtigungen auf der Grundlage von Tags definiert werden. Sie können Tags an IAM-Entitäten (Benutzer oder Rollen) und Ressourcen anhängen. AWS Sie können eine einzelne ABAC-Richtlinie oder einen separaten Satz von Richtlinien für Ihre IAM-Prinzipale erstellen. Sie können diese ABAC-Richtlinien so entwerfen, dass Operationen möglich sind, wenn das Tag des Prinzipals mit dem Ressourcen-Tag übereinstimmt. Weitere Informationen finden Sie unter [Wozu dient ABAC](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction_attribute-based-access-control.html)? AWS im *IAM-Benutzerhandbuch*.
**Anmerkung**
Fügen Sie keine persönlich identifizierbaren Informationen (PII) oder andere vertrauliche oder sensible Informationen zu Tags hinzu. Tags sind für viele zugänglich AWS-Services, darunter AWS Billing. Weitere bewährte Methoden zum Taggen finden Sie unter [Taggen Ihrer AWS Ressourcen](https://docs.aws.amazon.com/tag-editor/latest/userguide/tagging.html#tag-best-practices) in der. *Allgemeine AWS-Referenz*
### Abhilfe
Informationen zum Hinzufügen von Tags zu einem SNS-Thema finden Sie unter [Konfiguration von Amazon SNS SNS-Themen-Tags](https://docs.aws.amazon.com/sns/latest/dg/sns-tags-configuring.html) im *Amazon Simple Notification Service Developer Guide*.
## [SNS.4] Zugriffsrichtlinien für SNS-Themen sollten keinen öffentlichen Zugriff zulassen
**Kategorie:** Schützen > Sichere Netzwerkkonfiguration > Ressourcen, die nicht öffentlich zugänglich sind
**Schweregrad:** Kritisch
**Art der Ressource:** `AWS::SNS::Topic`
**AWS Config -Regel: ** [https://docs.aws.amazon.com/config/latest/developerguide/sns-topic-no-public-access.html](https://docs.aws.amazon.com/config/latest/developerguide/sns-topic-no-public-access.html)
**Art des Zeitplans:** Änderung wurde ausgelöst
**Parameter:** Keine
Diese Kontrolle prüft, ob die Amazon SNS SNS-Themenzugriffsrichtlinie öffentlichen Zugriff zulässt. Diese Kontrolle schlägt fehl, wenn die SNS-Themenzugriffsrichtlinie den öffentlichen Zugriff zulässt.
Sie verwenden eine Amazon SNS SNS-Zugriffsrichtlinie mit einem bestimmten Thema, um einzuschränken, wer mit diesem Thema arbeiten kann (z. B. wer Nachrichten zu diesem Thema veröffentlichen oder wer es abonnieren kann). SNS-Richtlinien können anderen AWS-Konten oder Benutzern innerhalb Ihres eigenen Bereichs Zugriff gewähren. AWS-Konto Die Angabe eines Platzhalters (\$1) im `Principal` Feld der Themenrichtlinie und das Fehlen von Bedingungen zur Einschränkung der Themenrichtlinie können zu Datenexfiltration, Denial-of-Service oder unerwünschter Einschleusung von Nachrichten in Ihren Dienst durch einen Angreifer führen.
**Anmerkung**
Dieses Steuerelement bewertet keine Richtlinienbedingungen, die Platzhalterzeichen oder Variablen verwenden. Um ein `PASSED` Ergebnis zu erzielen, dürfen Bedingungen in der Amazon SNS SNS-Zugriffsrichtlinie für ein Thema nur feste Werte verwenden, d. h. Werte, die keine Platzhalterzeichen oder Richtlinienvariablen enthalten. Informationen zu Richtlinienvariablen finden Sie unter [Variablen und Tags](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_variables.html) im *AWS Identity and Access Management Benutzerhandbuch*.
### Abhilfe
Informationen zur Aktualisierung der Zugriffsrichtlinien für ein SNS-Thema finden Sie unter [Überblick über die Zugriffsverwaltung in Amazon SNS](https://docs.aws.amazon.com/sns/latest/dg/sns-overview-of-managing-access.html) im *Amazon Simple Notification Service Developer Guide*.