Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
# NIST SP 800-53 Revision 5 im Security Hub CSPM
Die NIST-Sonderveröffentlichung 800-53 Revision 5 (NIST SP 800-53 Rev. 5) ist ein Cybersicherheits- und Compliance-Framework, das vom National Institute of Standards and Technology (NIST) entwickelt wurde, einer Behörde, die Teil des ist. U.S Handelsministerium. Dieses Compliance-Framework enthält einen Katalog von Sicherheits- und Datenschutzanforderungen zum Schutz der Vertraulichkeit, Integrität und Verfügbarkeit von Informationssystemen und kritischen Ressourcen. U.S. Bundesbehörden und Auftragnehmer müssen diese Anforderungen erfüllen, um ihre Systeme und Organisationen zu schützen. Private Organisationen können die Anforderungen auch freiwillig als Leitfaden für die Reduzierung des Cybersicherheitsrisikos verwenden. Weitere Informationen zum Framework und seinen Anforderungen finden Sie unter [ NIST SP 800-53 Rev. 5 ](https://csrc.nist.gov/publications/detail/sp/800-53/rev-5/final) im * NIST Computer Security Resource Center. *
AWS Security Hub CSPM bietet Sicherheitskontrollen, die einen Teil der Anforderungen von NIST SP 800-53 Revision 5 unterstützen. Die Kontrollen führen automatische Sicherheitsprüfungen für bestimmte Ressourcen durch. AWS-Services Um diese Kontrollen zu aktivieren und zu verwalten, können Sie das NIST SP 800-53 Revision 5-Framework als Standard in Security Hub CSPM aktivieren. Beachten Sie, dass die Steuerelemente die Anforderungen von NIST SP 800-53 Revision 5, die manuelle Prüfungen erfordern, nicht unterstützen.
Im Gegensatz zu anderen Frameworks schreibt das NIST SP 800-53 Revision 5-Framework nicht vor, wie die Anforderungen bewertet werden sollten. Stattdessen enthält das Framework Richtlinien. In Security Hub CSPM geben der NIST SP 800-53 Revision 5-Standard und die entsprechenden Kontrollen das Verständnis des Dienstes für diese Richtlinien wieder.
**Topics**
+ [Konfiguration der Ressourcenaufzeichnung für den Standard](#standards-reference-nist-800-53-recording)
+ [Ermitteln, welche Kontrollen für den Standard gelten](#standards-reference-nist-800-53-controls)
## Konfiguration der Ressourcenaufzeichnung für Steuerelemente, die für den Standard gelten
Um die Abdeckung und Genauigkeit der Ergebnisse zu optimieren, ist es wichtig, die Ressourcenaufzeichnung zu aktivieren und zu konfigurieren, AWS Config bevor Sie den NIST SP 800-53 Revision 5-Standard in AWS Security Hub CSPM aktivieren. Achten Sie bei der Konfiguration der Ressourcenaufzeichnung auch darauf, sie für alle AWS Ressourcentypen zu aktivieren, die durch die für den Standard geltenden Steuerelemente überprüft werden. Dies gilt in erster Linie für Steuerelemente, deren * Zeitplantyp durch * Änderungen ausgelöst wurde. Für einige Steuerelemente mit einem * periodischen * Zeitplantyp ist jedoch auch eine Ressourcenaufzeichnung erforderlich. Wenn die Ressourcenaufzeichnung nicht aktiviert oder richtig konfiguriert ist, ist Security Hub CSPM möglicherweise nicht in der Lage, die entsprechenden Ressourcen zu evaluieren und genaue Ergebnisse für die Kontrollen zu generieren, die für den Standard gelten.
Informationen darüber, wie Security Hub CSPM die Ressourcenaufzeichnung verwendet, finden Sie unter. AWS Config[Aktivierung und Konfiguration AWS Config für Security Hub CSPM](securityhub-setup-prereqs.md) Informationen zur Konfiguration der Ressourcenaufzeichnung in AWS Config finden Sie unter [ Arbeiten mit dem Konfigurationsrekorder ](https://docs.aws.amazon.com/config/latest/developerguide/stop-start-recorder.html) im *AWS Config Entwicklerhandbuch. *
In der folgenden Tabelle sind die Ressourcentypen aufgeführt, die für Kontrollen aufgezeichnet werden müssen, die dem Standard NIST SP 800-53 Revision 5 in Security Hub CSPM entsprechen.
| AWS-Service | Ressourcentypen |
| --- | --- |
| Amazon API Gateway | `AWS::ApiGateway::Stage`, `AWS::ApiGatewayV2::Stage` |
| AWS AppSync | `AWS::AppSync::GraphQLApi` |
| AWS Backup | `AWS::Backup::RecoveryPoint` |
| Amazonas Bedrock AgentCore | `AWS::BedrockAgentCore::Gateway`, `AWS::BedrockAgentCore::Memory` |
| AWS Certificate Manager (ACM) | `AWS::ACM::Certificate` |
| AWS CloudFormation | `AWS::CloudFormation::Stack` |
| Amazonas CloudFront | `AWS::CloudFront::Distribution` |
| Amazonas CloudWatch | `AWS::CloudWatch::Alarm` |
| AWS CodeBuild | `AWS::CodeBuild::Project` |
| AWS Database Migration Service (AWS DMS) | `AWS::DMS::Endpoint`, `AWS::DMS::ReplicationInstance`, `AWS::DMS::ReplicationTask` |
| Amazon DynamoDB | `AWS::DynamoDB::Table` |
| Amazon Elastic Compute Cloud (Amazon EC2) | `AWS::EC2::ClientVpnEndpoint`, `AWS::EC2::EIP`, `AWS::EC2::Instance`, `AWS::EC2::LaunchTemplate`, `AWS::EC2::NetworkAcl`, `AWS::EC2::NetworkInterface`, `AWS::EC2::SecurityGroup`, `AWS::EC2::Subnet`, `AWS::EC2::TransitGateway`, `AWS::EC2::VPNConnection`, `AWS::EC2::Volume` |
| Amazon EC2 Auto Scaling | `AWS::AutoScaling::AutoScalingGroup`, `AWS::AutoScaling::LaunchConfiguration` |
| Amazon Elastic Container Registry (Amazon ECR) | `AWS::ECR::Repository` |
| Amazon Elastic Container Service (Amazon ECS) | `AWS::ECS::Cluster`, `AWS::ECS::Service`, `AWS::ECS::TaskDefinition` |
| Amazon Elastic File System (Amazon EFS) | `AWS::EFS::AccessPoint` |
| Amazon Elastic Kubernetes Service (Amazon EKS) | `AWS::EKS::Cluster` |
| AWS Elastic Beanstalk | `AWS::ElasticBeanstalk::Environment` |
| Elastic Load Balancing | `AWS::ElasticLoadBalancing::LoadBalancer`, `AWS::ElasticLoadBalancingV2::Listener`, `AWS::ElasticLoadBalancingV2::LoadBalancer` |
| Amazonas ElasticSearch | `AWS::Elasticsearch::Domain` |
| Amazon EMR | `AWS::EMR::SecurityConfiguration` |
| Amazonas EventBridge | `AWS::Events::Endpoint`, `AWS::Events::EventBus` |
| AWS Glue | `AWS::Glue::Job` |
| AWS Identity and Access Management (ICH BIN) | `AWS::IAM::Group`, `AWS::IAM::Policy`, `AWS::IAM::Role`, `AWS::IAM::User` |
| AWS Key Management Service (AWS KMS) | `AWS::KMS::Alias`, `AWS::KMS::Key` |
| Amazon Kinesis | `AWS::Kinesis::Stream` |
| AWS Lambda | `AWS::Lambda::Function` |
| Amazon Managed Streaming for Apache Kafka (Amazon MSK) | `AWS::MSK::Cluster` |
| Amazon MQ | `AWS::AmazonMQ::Broker` |
| AWS Network Firewall | `AWS::NetworkFirewall::Firewall`, `AWS::NetworkFirewall::FirewallPolicy`, `AWS::NetworkFirewall::RuleGroup` |
| Amazon-Dienst OpenSearch | `AWS::OpenSearch::Domain` |
| Amazon Relational Database Service (Amazon RDS) | `AWS::RDS::DBCluster`, `AWS::RDS::DBClusterSnapshot`, `AWS::RDS::DBInstance`, `AWS::RDS::DBSnapshot`, `AWS::RDS::EventSubscription` |
| Amazon Redshift | `AWS::Redshift::Cluster`, `AWS::Redshift::ClusterSubnetGroup` |
| Amazon Route 53 | `AWS::Route53::HostedZone` |
| Amazon Simple Storage Service (Amazon-S3) | `AWS::S3::AccessPoint`, `AWS::S3::AccountPublicAccessBlock`, `AWS::S3::Bucket` |
| AWS Service Catalog | `AWS::ServiceCatalog::Portfolio` |
| Amazon-Simple-Notification-Service (Amazon-SNS) | `AWS::SNS::Topic` |
| Amazon-Simple-Queue-Service (Amazon SQS) | `AWS::SQS::Queue` |
| Amazon EC2 Systems Manager (SSM) | `AWS::SSM::AssociationCompliance`, `AWS::SSM::ManagedInstanceInventory`, `AWS::SSM::PatchCompliance` |
| Amazon SageMaker KI | `AWS::SageMaker::FeatureGroup`, `AWS::SageMaker::NotebookInstance` |
| AWS Secrets Manager | `AWS::SecretsManager::Secret` |
| AWS Transfer Family | `AWS::Transfer::Connector` |
| AWS WAF | `AWS::WAF::Rule`, `AWS::WAF::RuleGroup`, `AWS::WAF::WebACL`, `AWS::WAFRegional::Rule`, `AWS::WAFRegional::RuleGroup`, `AWS::WAFRegional::WebACL`, `AWS::WAFv2::RuleGroup`, `AWS::WAFv2::WebACL` |
## Ermitteln, welche Kontrollen für den Standard gelten
In der folgenden Liste sind die Steuerungen aufgeführt, die die Anforderungen von NIST SP 800-53 Revision 5 unterstützen und für den NIST SP 800-53 Revision 5-Standard in AWS Security Hub CSPM gelten. Weitere Informationen zu den spezifischen Anforderungen, die ein Steuerelement unterstützt, erhalten Sie, wenn Sie das Steuerelement auswählen. Sehen Sie sich dann das ** Feld ** Verwandte Anforderungen in den Details für das Steuerelement an. Dieses Feld gibt jede NIST-Anforderung an, die das Steuerelement unterstützt. Wenn das Feld keine bestimmte NIST-Anforderung angibt, unterstützt das Steuerelement die Anforderung nicht.
+ [[Account.1] Sicherheitskontaktinformationen sollten für eine bereitgestellt werdenAWS-Konto](account-controls.md#account-1)
+ [[Account.2]AWS-Kontensollte Teil eines seinAWS OrganizationsOrganisation](account-controls.md#account-2)
+ [[ACM.1] Importiert und ACM-issued Zertifikate sollten nach einem bestimmten Zeitraum erneuert werden](acm-controls.md#acm-1)
+ [[APIGateway.1] API Gateway REST und WebSocket API-Ausführungsprotokollierung sollten aktiviert sein](apigateway-controls.md#apigateway-1)
+ [[APIGateway.2] Die REST-API-Stufen von API Gateway sollten so konfiguriert werden, dass SSL-Zertifikate für die Backend-Authentifizierung verwendet werden](apigateway-controls.md#apigateway-2)
+ [[APIGateway.3] Die REST-API-Stufen von API Gateway sollten AWS X-Ray Tracing aktiviert](apigateway-controls.md#apigateway-3)
+ [[APIGateway.4] API Gateway sollte mit einer WAF Web ACL verknüpft sein](apigateway-controls.md#apigateway-4)
+ [[APIGateway.5] API Gateway-REST-API-Cache-Daten sollten im Ruhezustand verschlüsselt werden](apigateway-controls.md#apigateway-5)
+ [[APIGateway.8] API-Gateway-Routen sollten einen Autorisierungstyp angeben](apigateway-controls.md#apigateway-8)
+ [[APIGateway.9] Die Zugriffsprotokollierung sollte für API Gateway V2 Stages konfiguriert werden](apigateway-controls.md#apigateway-9)
+ [[AppSync.5]AWS AppSyncGraphQL-APIs sollten nicht mit API-Schlüsseln authentifiziert werden](appsync-controls.md#appsync-5)
+ [[AutoScaling.1] Auto Scaling Scaling-Gruppen, die einem Load Balancer zugeordnet sind, sollten ELB-Zustandsprüfungen verwenden](autoscaling-controls.md#autoscaling-1)
+ [[AutoScaling.2] Die Amazon EC2 Auto Scaling Scaling-Gruppe sollte mehrere Availability Zones abdecken](autoscaling-controls.md#autoscaling-2)
+ [[AutoScaling.3] Auto Scaling Scaling-Gruppenstartkonfigurationen sollten EC2-Instances so konfigurieren, dass sie Instance Metadata Service Version 2 (IMDSv2) benötigen](autoscaling-controls.md#autoscaling-3)
+ [[Autoscaling.5] Amazon EC2 EC2-Instances, die mit Auto Scaling Scaling-Gruppenstartkonfigurationen gestartet wurden, sollten keine öffentlichen IP-Adressen haben](autoscaling-controls.md#autoscaling-5)
+ [[AutoScaling.6] Auto Scaling Scaling-Gruppen sollten mehrere Instanztypen in mehreren Availability Zones verwenden](autoscaling-controls.md#autoscaling-6)
+ [[AutoScaling.9] Amazon EC2 Auto Scaling Scaling-Gruppen sollten Amazon EC2 EC2-Startvorlagen verwenden](autoscaling-controls.md#autoscaling-9)
+ [[Backup.1]AWS BackupWiederherstellungspunkte sollten im Ruhezustand verschlüsselt werden](backup-controls.md#backup-1)
+ [[BedrockAgentCore.3] Bedrock AgentCore Memory sollte verschlüsselt und vom Kunden verwaltet werdenAWS KMSkeys](bedrockagentcore-controls.md#bedrockagentcore-3)
+ [[BedrockAgentCore.4] Bedrock AgentCore Gateway sollte verschlüsselt und vom Kunden verwaltet werdenAWS KMSkeys](bedrockagentcore-controls.md#bedrockagentcore-4)
+ [Bei [CloudFront.1] CloudFront Distributionen sollte ein Standard-Root-Objekt konfiguriert sein](cloudfront-controls.md#cloudfront-1)
+ [[CloudFront.3] CloudFront Distributionen sollten während der Übertragung eine Verschlüsselung erfordern](cloudfront-controls.md#cloudfront-3)
+ [[CloudFront.4] Für CloudFront Distributionen sollte das Origin-Failover konfiguriert sein](cloudfront-controls.md#cloudfront-4)
+ [Bei [CloudFront.5] CloudFront Distributionen sollte die Protokollierung aktiviert sein](cloudfront-controls.md#cloudfront-5)
+ [Bei [CloudFront.6] CloudFront Distributionen sollte WAF aktiviert sein](cloudfront-controls.md#cloudfront-6)
+ [[CloudFront.7] CloudFront Distributionen sollten benutzerdefinierte SSL/TLS Zertifikate verwenden](cloudfront-controls.md#cloudfront-7)
+ [[CloudFront.8] CloudFront Distributionen sollten SNI verwenden, um HTTPS-Anfragen zu bearbeiten](cloudfront-controls.md#cloudfront-8)
+ [[CloudFront.9] CloudFront Distributionen sollten den Datenverkehr zu benutzerdefinierten Quellen verschlüsseln](cloudfront-controls.md#cloudfront-9)
+ [[CloudFront.10] CloudFront Distributionen sollten keine veralteten SSL-Protokolle zwischen Edge-Standorten und benutzerdefinierten Ursprüngen verwenden](cloudfront-controls.md#cloudfront-10)
+ [[CloudFront.12] CloudFront Distributionen sollten nicht auf nicht existierende S3-Ursprünge verweisen](cloudfront-controls.md#cloudfront-12)
+ [[CloudTrail.1] CloudTrail sollte aktiviert und mit mindestens einem regionsübergreifenden Trail konfiguriert sein, der Verwaltungsereignisse für Lese- und Schreibvorgänge umfasst](cloudtrail-controls.md#cloudtrail-1)
+ [[CloudTrail.2] CloudTrail sollte die Verschlüsselung im Ruhezustand aktiviert haben](cloudtrail-controls.md#cloudtrail-2)
+ [[CloudTrail.4] Die Überprüfung der CloudTrail Protokolldatei sollte aktiviert sein](cloudtrail-controls.md#cloudtrail-4)
+ [[CloudTrail.5] CloudTrail Trails sollten in Amazon CloudWatch Logs integriert werden](cloudtrail-controls.md#cloudtrail-5)
+ [[CloudTrail.10] Datenspeicher für Ereignisse in CloudTrail Lake sollten verschlüsselt und vom Kunden verwaltet werdenAWS KMS keys](cloudtrail-controls.md#cloudtrail-10)
+ [Für [CloudWatch.15] CloudWatch Alarme sollten bestimmte Aktionen konfiguriert sein](cloudwatch-controls.md#cloudwatch-15)
+ [[CloudWatch.16] CloudWatch Protokollgruppen sollten für einen bestimmten Zeitraum aufbewahrt werden](cloudwatch-controls.md#cloudwatch-16)
+ [[CloudWatch.17] CloudWatch Alarmaktionen sollten aktiviert sein](cloudwatch-controls.md#cloudwatch-17)
+ [[CodeBuild.1] Die URLs des CodeBuild Bitbucket-Quell-Repositorys sollten keine vertraulichen Anmeldeinformationen enthalten](codebuild-controls.md#codebuild-1)
+ [[CodeBuild.2] CodeBuild Projektumgebungsvariablen sollten keine Klartext-Anmeldeinformationen enthalten](codebuild-controls.md#codebuild-2)
+ [[CodeBuild.3] CodeBuild S3-Protokolle sollten verschlüsselt sein](codebuild-controls.md#codebuild-3)
+ [[CodeBuild.4] CodeBuild Projektumgebungen sollten über eine Protokollierung verfügenAWS ConfigDauer](codebuild-controls.md#codebuild-4)
+ [[Config.1] AWS Config sollte aktiviert sein und die dienstgebundene Rolle für die Ressourcenaufzeichnung verwenden](config-controls.md#config-1)
+ [[DataFirehose.1] Firehose-Lieferstreams sollten im Ruhezustand verschlüsselt werden](datafirehose-controls.md#datafirehose-1)
+ [[DMS.1] Replikationsinstanzen des Database Migration Service sollten nicht öffentlich sein](dms-controls.md#dms-1)
+ [[DMS.6] Für DMS-Replikationsinstanzen sollte das automatische Upgrade der Nebenversionen aktiviert sein](dms-controls.md#dms-6)
+ [[DMS.7] Bei DMS-Replikationsaufgaben für die Zieldatenbank sollte die Protokollierung aktiviert sein](dms-controls.md#dms-7)
+ [[DMS.8] Bei DMS-Replikationsaufgaben für die Quelldatenbank sollte die Protokollierung aktiviert sein](dms-controls.md#dms-8)
+ [[DMS.9] DMS-Endpunkte sollten SSL verwenden](dms-controls.md#dms-9)
+ [[DMS.10] DMS-Endpunkte für Neptune-Datenbanken sollten die IAM-Autorisierung aktiviert haben](dms-controls.md#dms-10)
+ [[DMS.11] DMS-Endpunkte für MongoDB sollten einen Authentifizierungsmechanismus aktiviert haben](dms-controls.md#dms-11)
+ [[DMS.12] Auf DMS-Endpunkten für Redis OSS sollte TLS aktiviert sein](dms-controls.md#dms-12)
+ [[DocumentDB.1] Amazon DocumentDB-Cluster sollten im Ruhezustand verschlüsselt werden](documentdb-controls.md#documentdb-1)
+ [[DocumentDB.2] Amazon DocumentDB-Cluster sollten über eine angemessene Aufbewahrungsfrist für Backups verfügen](documentdb-controls.md#documentdb-2)
+ [[DocumentDB.3] Manuelle Cluster-Snapshots von Amazon DocumentDB sollten nicht öffentlich sein](documentdb-controls.md#documentdb-3)
+ [[DocumentDB.4] Amazon DocumentDB-Cluster sollten Auditprotokolle in Logs veröffentlichen CloudWatch](documentdb-controls.md#documentdb-4)
+ [[DocumentDB.5] Bei Amazon DocumentDB-Clustern sollte der Löschschutz aktiviert sein](documentdb-controls.md#documentdb-5)
+ [[DynamoDB.1] DynamoDB-Tabellen sollten die Kapazität automatisch bei Bedarf skalieren](dynamodb-controls.md#dynamodb-1)
+ [[DynamoDB.2] Bei DynamoDB-Tabellen sollte die Point-in-Time-Wiederherstellung aktiviert sein](dynamodb-controls.md#dynamodb-2)
+ [[DynamoDB.3] DynamoDB Accelerator (DAX) -Cluster sollten im Ruhezustand verschlüsselt werden](dynamodb-controls.md#dynamodb-3)
+ [[DynamoDB.4] DynamoDB-Tabellen sollten in einem Backup-Plan vorhanden sein](dynamodb-controls.md#dynamodb-4)
+ [[DynamoDB.6] Bei DynamoDB-Tabellen sollte der Löschschutz aktiviert sein](dynamodb-controls.md#dynamodb-6)
+ [[DynamoDB.7] DynamoDB Accelerator-Cluster sollten bei der Übertragung verschlüsselt werden](dynamodb-controls.md#dynamodb-7)
+ [[EC2.1] Amazon EBS-Snapshots sollten nicht so konfiguriert werden, dass sie öffentlich wiederherstellbar sind](ec2-controls.md#ec2-1)
+ [[EC2.2] VPC-Standardsicherheitsgruppen sollten keinen eingehenden oder ausgehenden Datenverkehr zulassen](ec2-controls.md#ec2-2)
+ [[EC2.3] Angehängte Amazon EBS-Volumes sollten im Ruhezustand verschlüsselt werden](ec2-controls.md#ec2-3)
+ [[EC2.4] Gestoppte EC2-Instances sollten nach einem bestimmten Zeitraum entfernt werden](ec2-controls.md#ec2-4)
+ [[EC2.6] Die VPC-Flow-Protokollierung sollte in allen VPCs aktiviert sein](ec2-controls.md#ec2-6)
+ [[EC2.7] Die EBS-Standardverschlüsselung sollte aktiviert sein](ec2-controls.md#ec2-7)
+ [[EC2.8] EC2-Instances sollten Instance Metadata Service Version 2 (IMDSv2) verwenden](ec2-controls.md#ec2-8)
+ [[EC2.9] Amazon EC2 EC2-Instances sollten keine öffentliche IPv4-Adresse haben](ec2-controls.md#ec2-9)
+ [[EC2.10] Amazon EC2 sollte für die Verwendung von VPC-Endpunkten konfiguriert werden, die für den Amazon EC2-Service erstellt wurden](ec2-controls.md#ec2-10)
+ [[EC2.12] Ungenutzte Amazon EC2 EC2-EIPs sollten entfernt werden](ec2-controls.md#ec2-12)
+ [[EC2.13] Sicherheitsgruppen sollten ab Version 0.0.0 keinen Zugriff mehr zulassen. 0/0 oder: :/0 zu Port 22](ec2-controls.md#ec2-13)
+ [[EC2.15] Amazon EC2-Subnetze sollten öffentliche IP-Adressen nicht automatisch zuweisen](ec2-controls.md#ec2-15)
+ [[EC2.16] Unbenutzte Network Access Control Lists sollten entfernt werden](ec2-controls.md#ec2-16)
+ [[EC2.17] Amazon EC2 EC2-Instances sollten nicht mehrere ENIs verwenden](ec2-controls.md#ec2-17)
+ [[EC2.18] Sicherheitsgruppen sollten nur uneingeschränkten eingehenden Datenverkehr für autorisierte Ports zulassen](ec2-controls.md#ec2-18)
+ [[EC2.19] Sicherheitsgruppen sollten keinen uneingeschränkten Zugriff auf Ports mit hohem Risiko zulassen](ec2-controls.md#ec2-19)
+ [[EC2.20] Beide VPN-Tunnel für ein AWS Site-to-Site Die VPN-Verbindung sollte bestehen](ec2-controls.md#ec2-20)
+ [[EC2.21] Netzwerk-ACLs sollten ab Version 0.0.0 keinen Zugriff mehr zulassen. 0/0 zu Port 22 oder Port 3389](ec2-controls.md#ec2-21)
+ [[EC2.23] Amazon EC2 Transit Gateways sollten VPC-Anhangsanforderungen nicht automatisch akzeptieren](ec2-controls.md#ec2-23)
+ [[EC2.24] Paravirtuelle Amazon EC2 EC2-Instance-Typen sollten nicht verwendet werden](ec2-controls.md#ec2-24)
+ [[EC2.25] Amazon EC2 EC2-Startvorlagen sollten Netzwerkschnittstellen keine öffentlichen IPs zuweisen](ec2-controls.md#ec2-25)
+ [[EC2.28] EBS-Volumes sollten durch einen Backup-Plan abgedeckt sein](ec2-controls.md#ec2-28)
+ [[EC2.51] Bei EC2-Client-VPN-Endpunkten sollte die Client-Verbindungsprotokollierung aktiviert sein](ec2-controls.md#ec2-51)
+ [[EC2.55] VPCs sollten mit einem Schnittstellenendpunkt für die ECR-API konfiguriert werden](ec2-controls.md#ec2-55)
+ [[EC2.56] VPCs sollten mit einem Schnittstellenendpunkt für Docker Registry konfiguriert werden](ec2-controls.md#ec2-56)
+ [[EC2.57] VPCs sollten mit einem Schnittstellenendpunkt für Systems Manager konfiguriert werden](ec2-controls.md#ec2-57)
+ [[EC2.58] VPCs sollten mit einem Schnittstellenendpunkt für Systems Manager Incident Manager-Kontakte konfiguriert werden](ec2-controls.md#ec2-58)
+ [[EC2.60] VPCs sollten mit einem Schnittstellenendpunkt für Systems Manager Incident Manager konfiguriert werden](ec2-controls.md#ec2-60)
+ [In [ECR.1] privaten ECR-Repositorys sollte das Scannen von Bildern konfiguriert sein](ecr-controls.md#ecr-1)
+ [[ECR.2] Für private ECR-Repositorys sollte die Tag-Unveränderlichkeit konfiguriert sein](ecr-controls.md#ecr-2)
+ [[ECR.3] Für ECR-Repositorys sollte mindestens eine Lifecycle-Policy konfiguriert sein](ecr-controls.md#ecr-3)
+ [[ECR.5] ECR-Repositorys sollten mit vom Kunden verwalteten Daten verschlüsselt werden AWS KMS keys](ecr-controls.md#ecr-5)
+ [[ECS.2] ECS-Diensten sollten nicht automatisch öffentliche IP-Adressen zugewiesen werden](ecs-controls.md#ecs-2)
+ [[ECS.3] ECS-Aufgabendefinitionen sollten den Prozess-Namespace des Hosts nicht gemeinsam nutzen](ecs-controls.md#ecs-3)
+ [[ECS.4] ECS-Container sollten ohne Zugriffsrechte ausgeführt werden](ecs-controls.md#ecs-4)
+ [[ECS.5] ECS-Aufgabendefinitionen sollten Container so konfigurieren, dass sie auf den schreibgeschützten Zugriff auf Root-Dateisysteme beschränkt sind](ecs-controls.md#ecs-5)
+ [[ECS.8] Geheimnisse sollten nicht als Container-Umgebungsvariablen übergeben werden](ecs-controls.md#ecs-8)
+ [[ECS.9] ECS-Aufgabendefinitionen sollten über eine Protokollierungskonfiguration verfügen](ecs-controls.md#ecs-9)
+ [[ECS.10] ECS Fargate-Dienste sollten auf der neuesten Fargate-Plattformversion laufen](ecs-controls.md#ecs-10)
+ [[ECS.12] ECS-Cluster sollten Container Insights verwenden](ecs-controls.md#ecs-12)
+ [[ECS.17] ECS-Aufgabendefinitionen sollten nicht den Host-Netzwerkmodus verwenden](ecs-controls.md#ecs-17)
+ [[EFS.1] Elastic File System sollte so konfiguriert werden, dass Dateidaten im Ruhezustand mit folgenden Methoden verschlüsselt werden AWS KMS](efs-controls.md#efs-1)
+ [[EFS.2] Amazon EFS-Volumes sollten in Backup-Plänen enthalten sein](efs-controls.md#efs-2)
+ [[EFS.3] EFS-Zugriffspunkte sollten ein Stammverzeichnis vorschreiben](efs-controls.md#efs-3)
+ [[EFS.4] EFS-Zugriffspunkte sollten eine Benutzeridentität durchsetzen](efs-controls.md#efs-4)
+ [[EFS.6] EFS-Mount-Ziele sollten nicht Subnetzen zugeordnet werden, die beim Start öffentliche IP-Adressen zuweisen](efs-controls.md#efs-6)
+ [[EKS.1] EKS-Cluster-Endpunkte sollten nicht öffentlich zugänglich sein](eks-controls.md#eks-1)
+ [[EKS.2] EKS-Cluster sollten auf einer unterstützten Kubernetes-Version ausgeführt werden](eks-controls.md#eks-2)
+ [[EKS.3] EKS-Cluster sollten verschlüsselte Kubernetes-Geheimnisse verwenden](eks-controls.md#eks-3)
+ [[EKS.8] Bei EKS-Clustern sollte die Auditprotokollierung aktiviert sein](eks-controls.md#eks-8)
+ [Bei [ElastiCache.1] ElastiCache (Redis OSS) -Clustern sollten automatische Backups aktiviert sein](elasticache-controls.md#elasticache-1)
+ [[ElastiCache.2] Bei ElastiCache Clustern sollten automatische Upgrades für kleinere Versionen aktiviert sein](elasticache-controls.md#elasticache-2)
+ [[ElastiCache.3] Für ElastiCache Replikationsgruppen sollte der automatische Failover aktiviert sein](elasticache-controls.md#elasticache-3)
+ [[ElastiCache.4] ElastiCache Replikationsgruppen sollten im Ruhezustand verschlüsselt werden](elasticache-controls.md#elasticache-4)
+ [[ElastiCache.5] ElastiCache Replikationsgruppen sollten bei der Übertragung verschlüsselt werden](elasticache-controls.md#elasticache-5)
+ [[ElastiCache.6] ElastiCache (Redis OSS) -Replikationsgruppen früherer Versionen sollten Redis OSS AUTH aktiviert haben](elasticache-controls.md#elasticache-6)
+ [[ElastiCache.7] ElastiCache Cluster sollten nicht die Standard-Subnetzgruppe verwenden](elasticache-controls.md#elasticache-7)
+ [[ElasticBeanstalk.1] Elastic Beanstalk Beanstalk-Umgebungen sollten erweiterte Gesundheitsberichte aktiviert haben](elasticbeanstalk-controls.md#elasticbeanstalk-1)
+ [[ElasticBeanstalk.2] Von Elastic Beanstalk verwaltete Plattformupdates sollten aktiviert sein](elasticbeanstalk-controls.md#elasticbeanstalk-2)
+ [[ELB.1] Application Load Balancer sollte so konfiguriert sein, dass alle HTTP-Anfragen an HTTPS umgeleitet werden](elb-controls.md#elb-1)
+ [[ELB.2] Klassische Load Balancer mit SSL/HTTPS Listenern sollten ein Zertifikat verwenden, das von bereitgestellt wird AWS Certificate Manager](elb-controls.md#elb-2)
+ [[ELB.3] Classic Load Balancer-Listener sollten mit HTTPS- oder TLS-Terminierung konfiguriert werden](elb-controls.md#elb-3)
+ [[ELB.4] Application Load Balancer sollte so konfiguriert sein, dass ungültige HTTP-Header gelöscht werden](elb-controls.md#elb-4)
+ [[ELB.5] Die Protokollierung von Application und Classic Load Balancers sollte aktiviert sein](elb-controls.md#elb-5)
+ [[ELB.6] Für Application, Gateway und Network Load Balancer sollte der Löschschutz aktiviert sein](elb-controls.md#elb-6)
+ [[ELB.7] Bei Classic Load Balancers sollte das Connection Draining aktiviert sein](elb-controls.md#elb-7)
+ [[ELB.8] Classic Load Balancer mit SSL-Listenern sollten eine vordefinierte Sicherheitsrichtlinie verwenden, die stark ist AWS Config Dauer](elb-controls.md#elb-8)
+ [[ELB.9] Bei klassischen Load Balancern sollte der zonenübergreifende Load Balancing aktiviert sein](elb-controls.md#elb-9)
+ [[ELB.10] Classic Load Balancer sollte sich über mehrere Availability Zones erstrecken](elb-controls.md#elb-10)
+ [[ELB.12] Der Application Load Balancer sollte mit einem defensiven oder strengsten Desync-Abwehrmodus konfiguriert werden](elb-controls.md#elb-12)
+ [[ELB.13] Anwendungs-, Netzwerk- und Gateway-Load Balancer sollten sich über mehrere Availability Zones erstrecken](elb-controls.md#elb-13)
+ [[ELB.14] Classic Load Balancer sollte mit einem defensiven oder strengsten Desync-Abwehrmodus konfiguriert werden](elb-controls.md#elb-14)
+ [[ELB.16] Application Load Balancer sollten einem zugeordnet werden AWS WAF Web-ACL](elb-controls.md#elb-16)
+ [[ELB.17] Anwendungs- und Network Load Balancer mit Listenern sollten die empfohlenen Sicherheitsrichtlinien verwenden](elb-controls.md#elb-17)
+ [[EMR.1] Primäre Amazon EMR-Clusterknoten sollten keine öffentlichen IP-Adressen haben](emr-controls.md#emr-1)
+ [[EMR.2] Die Einstellung Amazon EMR Block Public Access sollte aktiviert sein](emr-controls.md#emr-2)
+ [[EMR.3] Amazon EMR-Sicherheitskonfigurationen sollten im Ruhezustand verschlüsselt werden](emr-controls.md#emr-3)
+ [[EMR.4] Amazon EMR-Sicherheitskonfigurationen sollten bei der Übertragung verschlüsselt werden](emr-controls.md#emr-4)
+ [[ES.1] Bei Elasticsearch-Domains sollte die Verschlüsselung im Ruhezustand aktiviert sein](es-controls.md#es-1)
+ [[ES.2] Elasticsearch-Domains sollten nicht öffentlich zugänglich sein](es-controls.md#es-2)
+ [[ES.3] Elasticsearch-Domains sollten Daten verschlüsseln, die zwischen Knoten gesendet werden](es-controls.md#es-3)
+ [[ES.4] Die Elasticsearch-Domain-Fehlerprotokollierung in Logs sollte aktiviert sein CloudWatch](es-controls.md#es-4)
+ [Bei [ES.5] Elasticsearch-Domains sollte die Audit-Protokollierung aktiviert sein](es-controls.md#es-5)
+ [[ES.6] Elasticsearch-Domains sollten mindestens drei Datenknoten haben](es-controls.md#es-6)
+ [[ES.7] Elasticsearch-Domains sollten mit mindestens drei dedizierten Master-Nodes konfiguriert werden](es-controls.md#es-7)
+ [[ES.8] Verbindungen zu Elasticsearch-Domains sollten mit der neuesten TLS-Sicherheitsrichtlinie verschlüsselt werden](es-controls.md#es-8)
+ [[EventBridge.3] An EventBridge benutzerdefinierte Eventbusse sollte eine ressourcenbasierte Richtlinie angehängt werden](eventbridge-controls.md#eventbridge-3)
+ [[EventBridge.4] Auf EventBridge globalen Endpunkten sollte die Ereignisreplikation aktiviert sein](eventbridge-controls.md#eventbridge-4)
+ [[FSx.1] FSx für OpenZFS-Dateisysteme sollte so konfiguriert sein, dass Tags auf Backups und Volumes kopiert werden](fsx-controls.md#fsx-1)
+ [[FSx.2] FSx for Lustre-Dateisysteme sollten so konfiguriert sein, dass Tags in Backups kopiert werden](fsx-controls.md#fsx-2)
+ [[Glue.4]AWS GlueSpark-Jobs sollten auf unterstützten Versionen von ausgeführt werdenAWS Glue](glue-controls.md#glue-4)
+ [[GuardDuty.1] GuardDuty sollte aktiviert sein](guardduty-controls.md#guardduty-1)
+ [[IAM.1] IAM-Richtlinien sollten keine vollen „\*“ -Administratorrechte zulassen](iam-controls.md#iam-1)
+ [[IAM.2] IAM-Benutzern sollten keine IAM-Richtlinien zugeordnet sein](iam-controls.md#iam-2)
+ [[IAM.3] Die Zugriffsschlüssel von IAM-Benutzern sollten alle 90 Tage oder weniger gewechselt werden](iam-controls.md#iam-3)
+ [[IAM.4] Der IAM-Root-Benutzerzugriffsschlüssel sollte nicht existieren](iam-controls.md#iam-4)
+ [[IAM.5] MFA sollte für alle IAM-Benutzer aktiviert sein, die ein Konsolenpasswort haben](iam-controls.md#iam-5)
+ [[IAM.6] Hardware-MFA sollte für den Root-Benutzer aktiviert sein](iam-controls.md#iam-6)
+ [[IAM.7] Die Kennwortrichtlinien für IAM-Benutzer sollten stark konfiguriert sein](iam-controls.md#iam-7)
+ [[IAM.8] Unbenutzte IAM-Benutzeranmeldedaten sollten entfernt werden](iam-controls.md#iam-8)
+ [[IAM.9] MFA sollte für den Root-Benutzer aktiviert sein](iam-controls.md#iam-9)
+ [[IAM.19] MFA sollte für alle IAM-Benutzer aktiviert sein](iam-controls.md#iam-19)
+ [[IAM.21] Kundenverwaltete IAM-Richtlinien, die Sie erstellen, sollten keine Platzhalteraktionen für Dienste zulassen](iam-controls.md#iam-21)
+ [[Kinesis.1] Kinesis-Streams sollten im Ruhezustand verschlüsselt werden](kinesis-controls.md#kinesis-1)
+ [[KMS.1] Kundenverwaltete IAM-Richtlinien sollten keine Entschlüsselungsaktionen für alle KMS-Schlüssel zulassen](kms-controls.md#kms-1)
+ [[KMS.2] IAM-Prinzipale sollten keine IAM-Inline-Richtlinien haben, die Entschlüsselungsaktionen für alle KMS-Schlüssel zulassen](kms-controls.md#kms-2)
+ [[KMS.3]AWS KMS keyssollte nicht unbeabsichtigt gelöscht werden](kms-controls.md#kms-3)
+ [[KMS.4]AWS KMSDie Schlüsselrotation sollte aktiviert sein](kms-controls.md#kms-4)
+ [[Lambda.1] Richtlinien für Lambda-Funktionen sollten den öffentlichen Zugriff verbieten](lambda-controls.md#lambda-1)
+ [[Lambda.2] Lambda-Funktionen sollten unterstützte Laufzeiten verwenden](lambda-controls.md#lambda-2)
+ [[Lambda.3] Lambda-Funktionen sollten sich in einer VPC befinden](lambda-controls.md#lambda-3)
+ [[Lambda.5] VPC-Lambda-Funktionen sollten in mehreren Availability Zones ausgeführt werden](lambda-controls.md#lambda-5)
+ [[Lambda.7] Lambda-Funktionen sollten AWS X-Ray aktives Tracing aktiviert](lambda-controls.md#lambda-7)
+ [[Macie.1] Amazon Macie sollte aktiviert sein](macie-controls.md#macie-1)
+ [[Macie.2] Die automatische Erkennung sensibler Daten durch Macie sollte aktiviert sein](macie-controls.md#macie-2)
+ [[MSK.1] MSK-Cluster sollten bei der Übertragung zwischen Broker-Knoten verschlüsselt werden](msk-controls.md#msk-1)
+ [[MSK.2] Für MSK-Cluster sollte die erweiterte Überwachung konfiguriert sein](msk-controls.md#msk-2)
+ [[MQ.2] ActiveMQ-Broker sollten Audit-Logs streamen an CloudWatch](mq-controls.md#mq-2)
+ [[MQ.5] ActiveMQ-Broker sollten den Bereitstellungsmodus verwenden active/standby](mq-controls.md#mq-5)
+ [[MQ.6] RabbitMQ-Broker sollten den Cluster-Bereitstellungsmodus verwenden](mq-controls.md#mq-6)
+ [[Neptune.1] Neptune-DB-Cluster sollten im Ruhezustand verschlüsselt werden](neptune-controls.md#neptune-1)
+ [[Neptune.2] Neptune-DB-Cluster sollten Audit-Logs in Logs veröffentlichen CloudWatch](neptune-controls.md#neptune-2)
+ [[Neptune.3] Neptune DB-Cluster-Snapshots sollten nicht öffentlich sein](neptune-controls.md#neptune-3)
+ [[Neptune.4] Bei Neptune-DB-Clustern sollte der Löschschutz aktiviert sein](neptune-controls.md#neptune-4)
+ [[Neptune.5] Bei Neptune-DB-Clustern sollten automatische Backups aktiviert sein](neptune-controls.md#neptune-5)
+ [[Neptune.6] Neptune DB-Cluster-Snapshots sollten im Ruhezustand verschlüsselt werden](neptune-controls.md#neptune-6)
+ [[Neptune.7] Neptune-DB-Cluster sollten die IAM-Datenbankauthentifizierung aktiviert haben](neptune-controls.md#neptune-7)
+ [[Neptune.8] Neptune-DB-Cluster sollten so konfiguriert sein, dass sie Tags in Snapshots kopieren](neptune-controls.md#neptune-8)
+ [[Neptune.9] Neptune-DB-Cluster sollten in mehreren Availability Zones bereitgestellt werden](neptune-controls.md#neptune-9)
+ [[NetworkFirewall.1] Netzwerk-Firewall-Firewalls sollten in mehreren Availability Zones eingesetzt werden](networkfirewall-controls.md#networkfirewall-1)
+ [[NetworkFirewall.2] Die Netzwerk-Firewall-Protokollierung sollte aktiviert sein](networkfirewall-controls.md#networkfirewall-2)
+ [[NetworkFirewall.3] Netzwerk-Firewall-Richtlinien sollten mindestens eine Regelgruppe zugeordnet sein](networkfirewall-controls.md#networkfirewall-3)
+ [[NetworkFirewall.4] Die standardmäßige statuslose Aktion für Netzwerk-Firewall-Richtlinien sollte für vollständige Pakete Drop oder Forward sein](networkfirewall-controls.md#networkfirewall-4)
+ [[NetworkFirewall.5] Die standardmäßige statuslose Aktion für Netzwerk-Firewall-Richtlinien sollte für fragmentierte Pakete Drop oder Forward sein](networkfirewall-controls.md#networkfirewall-5)
+ [[NetworkFirewall.6] Die Regelgruppe Stateless Network Firewall sollte nicht leer sein](networkfirewall-controls.md#networkfirewall-6)
+ [[NetworkFirewall.9] Bei Netzwerk-Firewall-Firewalls sollte der Löschschutz aktiviert sein](networkfirewall-controls.md#networkfirewall-9)
+ [[NetworkFirewall.10] Bei Netzwerk-Firewall-Firewalls sollte der Subnetzänderungsschutz aktiviert sein](networkfirewall-controls.md#networkfirewall-10)
+ [Bei [Opensearch.1] OpenSearch Domänen sollte die Verschlüsselung im Ruhezustand aktiviert sein](opensearch-controls.md#opensearch-1)
+ [[Opensearch.2] OpenSearch Domains sollten nicht öffentlich zugänglich sein](opensearch-controls.md#opensearch-2)
+ [[Opensearch.3] OpenSearch Domains sollten Daten verschlüsseln, die zwischen Knoten gesendet werden](opensearch-controls.md#opensearch-3)
+ [[Opensearch.4] OpenSearch Die Protokollierung von Domain-Fehlern in Logs sollte aktiviert sein CloudWatch](opensearch-controls.md#opensearch-4)
+ [[Opensearch.5] Für OpenSearch Domains sollte die Audit-Protokollierung aktiviert sein](opensearch-controls.md#opensearch-5)
+ [[Opensearch.6] OpenSearch Domains sollten mindestens drei Datenknoten haben](opensearch-controls.md#opensearch-6)
+ [Bei [Opensearch.7] OpenSearch Domänen sollte eine differenzierte Zugriffskontrolle aktiviert sein](opensearch-controls.md#opensearch-7)
+ [[Opensearch.8] Verbindungen zu OpenSearch Domains sollten mit der neuesten TLS-Sicherheitsrichtlinie verschlüsselt werden](opensearch-controls.md#opensearch-8)
+ [Auf [Opensearch.10] OpenSearch Domains sollte das neueste Softwareupdate installiert sein](opensearch-controls.md#opensearch-10)
+ [[Opensearch.11] OpenSearch Domains sollten mindestens drei dedizierte Primärknoten haben](opensearch-controls.md#opensearch-11)
+ [[PCA.1]AWS Private CADie Stammzertifizierungsstelle sollte deaktiviert sein](pca-controls.md#pca-1)
+ [[RDS.1] Der RDS-Snapshot sollte privat sein](rds-controls.md#rds-1)
+ [[RDS.2] RDS-DB-Instances sollten den öffentlichen Zugriff verbieten, wie in der PubliclyAccessible Konfiguration festgelegt](rds-controls.md#rds-2)
+ [[RDS.3] Für RDS-DB-Instances sollte die Verschlüsselung im Ruhezustand aktiviert sein](rds-controls.md#rds-3)
+ [[RDS.4] RDS-Cluster-Snapshots und Datenbank-Snapshots sollten im Ruhezustand verschlüsselt werden](rds-controls.md#rds-4)
+ [[RDS.5] RDS-DB-Instances sollten mit mehreren Availability Zones konfiguriert werden](rds-controls.md#rds-5)
+ [[RDS.6] Für RDS-DB-Instances sollte eine erweiterte Überwachung konfiguriert werden](rds-controls.md#rds-6)
+ [[RDS.7] Bei RDS-Clustern sollte der Löschschutz aktiviert sein](rds-controls.md#rds-7)
+ [[RDS.8] Für RDS-DB-Instances sollte der Löschschutz aktiviert sein](rds-controls.md#rds-8)
+ [[RDS.9] RDS-DB-Instances sollten CloudWatch Protokolle in Logs veröffentlichen](rds-controls.md#rds-9)
+ [[RDS.10] Die IAM-Authentifizierung sollte für RDS-Instances konfiguriert werden](rds-controls.md#rds-10)
+ [[RDS.11] Bei RDS-Instances sollten automatische Backups aktiviert sein](rds-controls.md#rds-11)
+ [[RDS.12] Die IAM-Authentifizierung sollte für RDS-Cluster konfiguriert werden](rds-controls.md#rds-12)
+ [[RDS.13] Automatische RDS-Upgrades für Nebenversionen sollten aktiviert sein](rds-controls.md#rds-13)
+ [[RDS.14] Bei Amazon Aurora-Clustern sollte Backtracking aktiviert sein](rds-controls.md#rds-14)
+ [[RDS.15] RDS-DB-Cluster sollten für mehrere Availability Zones konfiguriert werden](rds-controls.md#rds-15)
+ [[RDS.16] Aurora-DB-Cluster sollten so konfiguriert werden, dass sie Tags in DB-Snapshots kopieren](rds-controls.md#rds-16)
+ [[RDS.17] RDS-DB-Instances sollten so konfiguriert werden, dass sie Tags in Snapshots kopieren](rds-controls.md#rds-17)
+ [[RDS.19] Bestehende Abonnements für RDS-Ereignisbenachrichtigungen sollten für kritische Cluster-Ereignisse konfiguriert werden](rds-controls.md#rds-19)
+ [[RDS.20] Bestehende Abonnements für RDS-Ereignisbenachrichtigungen sollten für kritische Datenbank-Instance-Ereignisse konfiguriert werden](rds-controls.md#rds-20)
+ [[RDS.21] Für wichtige Gruppenereignisse mit Datenbankparametern sollte ein Abonnement für RDS-Ereignisbenachrichtigungen konfiguriert werden](rds-controls.md#rds-21)
+ [[RDS.22] Für kritische Ereignisse der Datenbank-Sicherheitsgruppe sollte ein Abonnement für RDS-Ereignisbenachrichtigungen konfiguriert werden](rds-controls.md#rds-22)
+ [[RDS.23] RDS-Instances sollten keinen Standard-Port für die Datenbank-Engine verwenden](rds-controls.md#rds-23)
+ [[RDS.24] RDS-Datenbank-Cluster sollten einen benutzerdefinierten Administrator-Benutzernamen verwenden](rds-controls.md#rds-24)
+ [[RDS.25] RDS-Datenbank-Instances sollten einen benutzerdefinierten Administrator-Benutzernamen verwenden](rds-controls.md#rds-25)
+ [[RDS.26] RDS-DB-Instances sollten durch einen Backup-Plan geschützt werden](rds-controls.md#rds-26)
+ [[RDS.27] RDS-DB-Cluster sollten im Ruhezustand verschlüsselt werden](rds-controls.md#rds-27)
+ [[RDS.34] Aurora MySQL-DB-Cluster sollten Audit-Logs in Logs veröffentlichen CloudWatch](rds-controls.md#rds-34)
+ [[RDS.35] Für RDS-DB-Cluster sollte das automatische Nebenversions-Upgrade aktiviert sein](rds-controls.md#rds-35)
+ [[RDS.40] RDS für SQL Server-DB-Instances sollte CloudWatch Protokolle in Logs veröffentlichen](rds-controls.md#rds-40)
+ [[RDS.42] RDS für MariaDB-DB-Instances sollte Protokolle in Logs veröffentlichen CloudWatch](rds-controls.md#rds-42)
+ [[RDS.45] Bei Aurora MySQL-DB-Clustern sollte die Audit-Protokollierung aktiviert sein](rds-controls.md#rds-45)
+ [[Redshift.1] Amazon Redshift Redshift-Cluster sollten den öffentlichen Zugriff verbieten](redshift-controls.md#redshift-1)
+ [[Redshift.2] Verbindungen zu Amazon Redshift Redshift-Clustern sollten bei der Übertragung verschlüsselt werden](redshift-controls.md#redshift-2)
+ [[Redshift.3] Bei Amazon Redshift Redshift-Clustern sollten automatische Snapshots aktiviert sein](redshift-controls.md#redshift-3)
+ [[Redshift.4] Bei Amazon Redshift Redshift-Clustern sollte die Auditprotokollierung aktiviert sein](redshift-controls.md#redshift-4)
+ [[Redshift.6] Bei Amazon Redshift sollten automatische Upgrades auf Hauptversionen aktiviert sein](redshift-controls.md#redshift-6)
+ [[Redshift.7] Redshift-Cluster sollten erweitertes VPC-Routing verwenden](redshift-controls.md#redshift-7)
+ [[Redshift.8] Amazon Redshift Redshift-Cluster sollten nicht den Standard-Admin-Benutzernamen verwenden](redshift-controls.md#redshift-8)
+ [[Redshift.10] Redshift-Cluster sollten im Ruhezustand verschlüsselt werden](redshift-controls.md#redshift-10)
+ [[RedshiftServerless.4] Serverlose Redshift-Namespaces sollten verschlüsselt und vom Kunden verwaltet werdenAWS KMS keys](redshiftserverless-controls.md#redshiftserverless-4)
+ [[Route53.2] In öffentlich gehosteten Zonen von Route 53 sollten DNS-Abfragen protokolliert werden](route53-controls.md#route53-2)
+ [Bei [S3.1] S3-Buckets für allgemeine Zwecke sollten die Einstellungen zum Blockieren des öffentlichen Zugriffs aktiviert sein](s3-controls.md#s3-1)
+ [[S3.2] S3-Buckets für allgemeine Zwecke sollten den öffentlichen Lesezugriff blockieren](s3-controls.md#s3-2)
+ [[S3.3] S3-Buckets für allgemeine Zwecke sollten den öffentlichen Schreibzugriff blockieren](s3-controls.md#s3-3)
+ [[S3.5] S3-Buckets für allgemeine Zwecke sollten Anfragen zur Verwendung von TLS erfordern](s3-controls.md#s3-5)
+ [[S3.6] Die allgemeinen S3-Bucket-Richtlinien sollten den Zugriff auf andere einschränken AWS-Konten](s3-controls.md#s3-6)
+ [[S3.7] S3-Buckets für allgemeine Zwecke sollten die regionsübergreifende Replikation verwenden](s3-controls.md#s3-7)
+ [[S3.8] S3-Buckets für allgemeine Zwecke sollten den öffentlichen Zugriff blockieren](s3-controls.md#s3-8)
+ [Bei [S3.9] S3-Buckets für allgemeine Zwecke sollte die Protokollierung des Serverzugriffs aktiviert sein](s3-controls.md#s3-9)
+ [[S3.10] S3-Buckets für allgemeine Zwecke mit aktivierter Versionierung sollten über Lifecycle-Konfigurationen verfügen](s3-controls.md#s3-10)
+ [[S3.11] Für S3-Buckets für allgemeine Zwecke sollten Ereignisbenachrichtigungen aktiviert sein](s3-controls.md#s3-11)
+ [[S3.12] ACLs sollten nicht verwendet werden, um den Benutzerzugriff auf S3-Buckets für allgemeine Zwecke zu verwalten](s3-controls.md#s3-12)
+ [[S3.13] S3-Buckets für allgemeine Zwecke sollten über Lifecycle-Konfigurationen verfügen](s3-controls.md#s3-13)
+ [Für S3.14 S3-Buckets für allgemeine Zwecke sollte die Versionierung aktiviert sein](s3-controls.md#s3-14)
+ [Bei [S3.15] S3-Buckets für allgemeine Zwecke sollte Object Lock aktiviert sein](s3-controls.md#s3-15)
+ [[S3.17] S3-Buckets für allgemeine Zwecke sollten im Ruhezustand mit verschlüsselt werden AWS KMS keys](s3-controls.md#s3-17)
+ [[S3.19] Bei S3-Zugangspunkten sollten die Einstellungen zum Blockieren des öffentlichen Zugriffs aktiviert sein](s3-controls.md#s3-19)
+ [[S3.20] Für S3-Buckets für allgemeine Zwecke sollte das MFA-Löschen aktiviert sein](s3-controls.md#s3-20)
+ [[SageMaker.1] Amazon SageMaker Notebook-Instances sollten keinen direkten Internetzugang haben](sagemaker-controls.md#sagemaker-1)
+ [[SageMaker.2] SageMaker Notebook-Instances sollten in einer benutzerdefinierten VPC gestartet werden](sagemaker-controls.md#sagemaker-2)
+ [[SageMaker.3] Benutzer sollten keinen Root-Zugriff auf SageMaker Notebook-Instances haben](sagemaker-controls.md#sagemaker-3)
+ [[SageMaker.4] SageMaker Endpunkt-Produktionsvarianten sollten eine anfängliche Instanzanzahl von mehr als 1 haben](sagemaker-controls.md#sagemaker-4)
+ [[SageMaker.18] SageMaker Feature-Group-Onlineshops mit Standardspeicher sollten verschlüsselt werden mit AWS KMS keys](sagemaker-controls.md#sagemaker-18)
+ [[SecretsManager.1] Bei Secrets Manager Manager-Geheimnissen sollte die automatische Rotation aktiviert sein](secretsmanager-controls.md#secretsmanager-1)
+ [[SecretsManager.2] Secrets Manager Manager-Geheimnisse, die mit automatischer Rotation konfiguriert sind, sollten erfolgreich rotieren](secretsmanager-controls.md#secretsmanager-2)
+ [[SecretsManager.3] Unbenutzte Secrets Manager Manager-Geheimnisse entfernen](secretsmanager-controls.md#secretsmanager-3)
+ [[SecretsManager.4] Secrets Manager Manager-Geheimnisse sollten innerhalb einer bestimmten Anzahl von Tagen rotiert werden](secretsmanager-controls.md#secretsmanager-4)
+ [[ServiceCatalog.1] Servicekatalog-Portfolios sollten innerhalb eines gemeinsam genutzt werdenAWSnur Organisation](servicecatalog-controls.md#servicecatalog-1)
+ [[SNS.1] SNS-Themen sollten im Ruhezustand verschlüsselt werden mitAWS KMS](sns-controls.md#sns-1)
+ [[SQS.1] Amazon SQS SQS-Warteschlangen sollten im Ruhezustand verschlüsselt sein](sqs-controls.md#sqs-1)
+ [[SSM.1] Amazon EC2 EC2-Instances sollten verwaltet werden vonAWS Systems Manager](ssm-controls.md#ssm-1)
+ [[SSM.2] Von Systems Manager verwaltete Amazon EC2 EC2-Instances sollten nach einer Patch-Installation den Patch-Compliance-Status COMPLIANT haben](ssm-controls.md#ssm-2)
+ [[SSM.3] Von Systems Manager verwaltete Amazon EC2 EC2-Instances sollten den Zuordnungs-Compliance-Status COMPLIANT haben](ssm-controls.md#ssm-3)
+ [[SSM.4] SSM-Dokumente sollten nicht öffentlich sein](ssm-controls.md#ssm-4)
+ [[Transfer.2] Transfer Family Family-Server sollten kein FTP-Protokoll für die Endpunktverbindung verwenden](transfer-controls.md#transfer-2)
+ [[Transfer.3] Bei Connectoren der Transfer Family sollte die Protokollierung aktiviert sein](transfer-controls.md#transfer-3)
+ [[WAF.1]AWS WAFDie klassische globale Web-ACL-Protokollierung sollte aktiviert sein](waf-controls.md#waf-1)
+ [[WAF.2]AWS WAFKlassische Regionalregeln sollten mindestens eine Bedingung enthalten](waf-controls.md#waf-2)
+ [[WAF.3]AWS WAFKlassische regionale Regelgruppen sollten mindestens eine Regel haben](waf-controls.md#waf-3)
+ [[WAF.4]AWS WAFKlassische regionale Web-ACLs sollten mindestens eine Regel oder Regelgruppe haben](waf-controls.md#waf-4)
+ [[WAF.6]AWS WAFKlassische globale Regeln sollten mindestens eine Bedingung haben](waf-controls.md#waf-6)
+ [[WAF.7]AWS WAFKlassische globale Regelgruppen sollten mindestens eine Regel haben](waf-controls.md#waf-7)
+ [[WAF.8]AWS WAFKlassische globale Web-ACLs sollten mindestens eine Regel oder Regelgruppe haben](waf-controls.md#waf-8)
+ [[WAF.10]AWS WAFWeb-ACLs sollten mindestens eine Regel oder Regelgruppe haben](waf-controls.md#waf-10)
+ [[WAF.11]AWS WAFDie Web-ACL-Protokollierung sollte aktiviert sein](waf-controls.md#waf-11)
+ [[WAF.12]AWS WAFFür Regeln sollten CloudWatch Metriken aktiviert sein](waf-controls.md#waf-12)