Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.
Controles de Security Hub para AWS AppSync
Estos controles de Security Hub evalúan el AWS AppSync servicio y los recursos.
Es posible que estos controles no estén disponibles en todos Regiones de AWS. Para obtener más información, consulte Disponibilidad de los controles por región.
[AppSync.1] las AWS AppSync API cachés deben cifrarse en reposo
Categoría: Proteger > Protección de datos > Cifrado de data-at-rest
Gravedad: media
Tipo de recurso: AWS::AppSync::GraphQLApi
Regla de AWS Config : appsync-cache-ct-encryption-at-rest
Tipo de horario: provocado por un cambio
Parámetros: ninguno
Este control comprueba si una AWS AppSync API caché está cifrada en reposo. El control falla si la API caché no está cifrada en reposo.
Los datos en reposo hacen referencia a los datos que se almacenan en un almacenamiento persistente y no volátil durante cualquier periodo de tiempo. El cifrado de datos en reposo permite proteger la confidencialidad de los datos, lo que reduce el riesgo de que un usuario no autorizado pueda acceder a ellos.
Corrección
No puedes cambiar la configuración de cifrado después de habilitar el almacenamiento en caché para tu AWS AppSync API. En su lugar, debe eliminar la caché y volver a crearla con el cifrado habilitado. Para obtener más información, consulte Cifrado de caché, en la Guía para desarrolladores de AWS AppSync .
[AppSync.2] AWS AppSync debe tener activado el registro a nivel de campo
Requisitos relacionados: v4.0.1/10.4.2 PCI DSS
Categoría: Identificar - Registro
Gravedad: media
Tipo de recurso: AWS::AppSync::GraphQLApi
Regla de AWS Config : appsync-logging-enabled
Tipo de horario: provocado por un cambio
Parámetros:
| Parámetro | Descripción | Tipo | Valores personalizados permitidos | Valor predeterminado de Security Hub |
|---|---|---|---|---|
|
|
Nivel de registro del campo |
Enum |
|
|
Este control comprueba si un usuario AWS AppSync API tiene activado el registro a nivel de campo. Se produce un error en el control si el nivel de registro del solucionador de campos está establecido en Ninguno. A menos que se proporcionen valores personalizados de parámetros para indicar que se debe habilitar un tipo de registro específico, Security Hub genera un resultado válido si el nivel de registro del solucionador de campos es ERROR o ALL.
Puede utilizar el registro y las métricas para identificar, solucionar problemas y optimizar sus consultas de GraphQL. Activar el registro en AWS AppSync GraphQL te ayuda a obtener información detallada sobre las API solicitudes y las respuestas, a identificar y responder a los problemas y a cumplir con los requisitos reglamentarios.
Corrección
Para activar el registro AWS AppSync, consulta Instalación y configuración en la Guía para AWS AppSync desarrolladores.
[AppSync.4] AWS AppSync APIs GraphQL debe estar etiquetado
Categoría: Identificar > Inventario > Etiquetado
Gravedad: baja
Tipo de recurso: AWS::AppSync::GraphQLApi
Regla de AWS Config : tagged-appsync-graphqlapi (regla personalizada de Security Hub)
Tipo de horario: provocado por un cambio
Parámetros:
| Parámetro | Descripción | Tipo | Valores personalizados permitidos | Valor predeterminado de Security Hub |
|---|---|---|---|---|
requiredTagKeys
|
Lista de claves de etiquetas que no corresponden al sistema que debe contener el recurso evaluado. Las claves de etiqueta distinguen entre mayúsculas y minúsculas. | StringList | Lista de etiquetas que cumplen los requisitos de AWS | Sin valor predeterminado |
Este control comprueba si un AWS AppSync GraphQL API tiene etiquetas con las claves específicas definidas en el parámetro. requiredTagKeys El control falla si GraphQL API no tiene ninguna clave de etiqueta o si no tiene todas las claves especificadas en el parámetro. requiredTagKeys Si requiredTagKeys no se proporciona el parámetro, el control solo comprueba la existencia de una clave de etiqueta y falla si el GraphQL API no está etiquetado con ninguna clave. Las etiquetas del sistema, que se aplican automáticamente y comienzan con aws:, se ignoran.
Una etiqueta es una etiqueta que se asigna a un AWS recurso y consta de una clave y un valor opcional. Puede crear etiquetas para clasificar los recursos según su finalidad, propietario, entorno u otro criterio. Las etiquetas pueden ayudarlo a identificar, organizar, buscar y filtrar recursos. El etiquetado también lo ayuda a realizar un seguimiento de las acciones y las notificaciones de los propietarios responsables de los recursos. Al utilizar el etiquetado, puede implementar el control de acceso basado en atributos (ABAC) como estrategia de autorización, que define los permisos en función de las etiquetas. Puede adjuntar etiquetas a IAM las entidades (usuarios o roles) y a los recursos. AWS Puede crear una ABAC política única o un conjunto de políticas independiente para sus IAM directores. Puede diseñar estas ABAC políticas para permitir las operaciones cuando la etiqueta del principal coincida con la etiqueta del recurso. Para obtener más información, consulte ¿ABACPara qué sirve AWS? en la Guía IAM del usuario.
nota
No añada información de identificación personal (PII) ni otra información confidencial o delicada en las etiquetas. Muchas personas pueden acceder a las etiquetas Servicios de AWS, incluidas AWS Billing. Para obtener más información sobre las mejores prácticas de etiquetado, consulte Etiquetar sus AWS recursos en el. Referencia general de AWS
Corrección
Para añadir etiquetas a un AWS AppSync GraphQLAPI, consulte TagResourceen la AWS AppSync APIReferencia.
[AppSync.5] AWS AppSync APIs GraphQL no debe autenticarse con claves API
Requisitos relacionados: NIST.800-53.r5 AC-2 (1), NIST.800-53.r5 AC-3 (15) NIST.800-53.r5 AC-3, (7), NIST.800-53.r5 AC-3 NIST.800-53.r5 AC-6
Categoría: Proteger > Gestión del acceso seguro > Autenticación sin contraseña
Gravedad: alta
Tipo de recurso: AWS::AppSync::GraphQLApi
Regla de AWS Config : appsync-authorization-check
Tipo de horario: provocado por un cambio
Parámetros:
AllowedAuthorizationTypes:AWS_LAMBDA, AWS_IAM, OPENID_CONNECT, AMAZON_COGNITO_USER_POOLS(no personalizable)
Este control comprueba si la aplicación utiliza una API clave para interactuar con un AWS AppSync GraphQLAPI. El control falla si un AWS AppSync GraphQL API se autentica con una clave. API
Una API clave es un valor codificado en la aplicación que el AWS AppSync servicio genera al crear un punto final de GraphQL no autenticado. Si esta API clave está comprometida, tu punto final es vulnerable a un acceso no deseado. A menos que respalde una aplicación o un sitio web de acceso público, no recomendamos utilizar una API clave de autenticación.
Corrección
Para configurar una opción de autorización para tu AWS AppSync GraphQLAPI, consulta Autorización y autenticación en la Guía para AWS AppSync desarrolladores.
[AppSync.6] AWS AppSync API Las cachés deben cifrarse en tránsito
Categoría: Proteger > Protección de datos > Cifrado de data-in-transit
Gravedad: media
Tipo de recurso: AWS::AppSync::ApiCache
Regla de AWS Config : appsync-cache-ct-encryption-in-transit
Tipo de horario: provocado por un cambio
Parámetros: ninguno
Este control comprueba si una AWS AppSync API caché está cifrada en tránsito. El control falla si la API caché no está cifrada en tránsito.
Los datos en tránsito hacen referencia a los datos que se mueven de una ubicación a otra, por ejemplo, entre los nodos del clúster o entre el clúster y la aplicación. Los datos pueden moverse a través de Internet o dentro de una red privada. El cifrado de los datos en tránsito reduce el riesgo de que un usuario no autorizado pueda espiar el tráfico de la red.
Corrección
No puedes cambiar la configuración de cifrado después de habilitar el almacenamiento en caché para tu AWS AppSync API. En su lugar, debe eliminar la caché y volver a crearla con el cifrado habilitado. Para obtener más información, consulte Cifrado de caché, en la Guía para desarrolladores de AWS AppSync .
