Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Controles de Security Hub para CloudTrail

Estos controles de Security Hub evalúan el AWS CloudTrail servicio y los recursos.

Es posible que estos controles no estén disponibles en todos Regiones de AWS. Para obtener más información, consulte Disponibilidad de los controles por región.

[CloudTrail.1] CloudTrail debe habilitarse y configurarse con al menos un registro multirregional que incluya eventos de administración de lectura y escritura

Requisitos relacionados: CIS AWS Foundations Benchmark v1.2.0/2.1, CIS AWS Foundations Benchmark v1.4.0/3.1, CIS AWS Foundations Benchmark v3.0.0/3.1, NIST.800-53.r5 AC-2 (4), (26), (9), NIST.800-53.r5 AC-4 (9), (22) NIST.800-53.r5 AC-6 NIST.800-53.r5 AU-10, NIST.800-53.r5 AU-12, NIST.800-53.r5 AU-2, NIST.800-53.r5 AU-3, NIST.800-53.r5 AU-6(3), NIST.800-53.r5 AU-6(4), NIST.800-53.r5 AU-14(1), NIST.800-53.r5 CA-7 NIST.800-53.r5 SC-7 NIST.800-53.r5 SI-3(8), NIST.800-53.r5 SI-4(20), NIST.800-53.r5 SI-7(8), NIST.800-53.r5 SA-8

Categoría: Identificar - Registro

Gravedad: alta

Tipo de recurso: AWS::::Account

Regla de AWS Config : multi-region-cloudtrail-enabled

Tipo de programa: Periódico

Parámetros:

Este control comprueba si hay al menos un registro multirregional que capture los eventos de administración de lectura y escritura. AWS CloudTrail El control falla si CloudTrail está deshabilitado o si no hay al menos un CloudTrail registro que capture los eventos de administración de lectura y escritura.

AWS CloudTrail graba AWS API las llamadas de tu cuenta y te entrega los archivos de registro. La información registrada incluye lo siguiente:

CloudTrail proporciona un historial de las AWS API llamadas de una cuenta, incluidas las API llamadas realizadas desde las herramientas de línea de comandos AWS Management Console AWS SDKs,,. El historial también incluye API las llamadas de un nivel superior Servicios de AWS , como AWS CloudFormation.

El historial de AWS API llamadas generado por CloudTrail permite el análisis de seguridad, el seguimiento de los cambios en los recursos y la auditoría de conformidad. Los registros de seguimiento de varias regiones también ofrecen los siguientes beneficios.

De forma predeterminada, las CloudTrail rutas que se crean con ellas AWS Management Console son rutas multirregionales.

Corrección

Para crear un nuevo sendero multirregional CloudTrail, consulte Creación de un sendero en la Guía del AWS CloudTrail usuario. Use los siguientes valores:

Para actualizar una ruta existente, consulte Actualización de una ruta en la Guía del usuario de AWS CloudTrail . En Eventos de gestión, para APIla actividad, elija Leer y escribir.

[CloudTrail.2] CloudTrail debe tener activado el cifrado en reposo

Requisitos relacionados: PCI DSS v3.2.1/3.4, CIS AWS Foundations Benchmark v1.2.0/2.7, Foundations Benchmark v1.4.0/3.7, CIS AWS Foundations Benchmark v3.0.0/3.5, (1), CIS AWS NIST.800-53.r5 CM-3(6), NIST.800-53.r5 SC-1 3, 8, NIST.800-53.r5 SC-2 8 NIST.800-53.r5 AU-9, NIST.800-53.r5 CA-9 (1), (10), .800-53.r5 SI-7 (6), v4.0.1/10.3.2 NIST.800-53.r5 SC-2 NIST.800-53.r5 SC-7 NIST PCI DSS

Categoría: Proteger > Protección de datos > Cifrado de data-at-rest

Gravedad: media

Tipo de recurso: AWS::CloudTrail::Trail

Regla de AWS Config : cloud-trail-encryption-enabled

Tipo de programa: Periódico

Parámetros: ninguno

Este control comprueba si CloudTrail está configurado para utilizar el cifrado del lado del servidor (SSE). AWS KMS key El control falla si no se ha definido KmsKeyId.

Para aumentar la seguridad de sus archivos de CloudTrail registro confidenciales, debe utilizar el cifrado del lado del servidor con AWS KMS keys (SSE-KMS) en los archivos de CloudTrail registro para cifrarlos en reposo. Tenga en cuenta que, de forma predeterminada, los archivos de registro que envían CloudTrail a sus depósitos se cifran mediante el cifrado del lado del servidor de Amazon con claves de cifrado administradas por Amazon S3 (-S3). SSE

Corrección

Para activar el SSE KMS cifrado de los archivos de CloudTrail registro, consulte Actualizar un registro para usar una KMS clave en la Guía del usuario.AWS CloudTrail

[CloudTrail.3] Debe estar habilitada al menos una CloudTrail ruta

Requisitos relacionados: PCI DSS v3.2.1/10.1, PCI DSS v3.2.1/10.2.1, PCI DSS v3.2.1/10.2.2, PCI DSS v3.2.1/10.2.3, v3.2.1/10.2.4, v3.2.1/10.2.5, v3.2.1/10.2.6, v3.2.1/10.2.7, v3.2.1/10.3.1, v3.2.1/10.3.2, PCI DSS v3.2.1/10.3.3, v3.2.1/10.3.4, PCI DSS v3.2.1/10.3.5, PCI DSS PCI DSS PCI DSS PCI DSS PCI DSS PCI DSS PCI DSS PCIDSSv3.2.1/10.3.6, PCI DSS v4.0.1/10.2.1

Categoría: Identificar - Registro

Gravedad: alta

Tipo de recurso: AWS::::Account

Regla de AWS Config : cloudtrail-enabled

Tipo de programa: Periódico

Parámetros: ninguno

Este control comprueba si una ruta está habilitada en su. AWS CloudTrail Cuenta de AWS El control falla si tu cuenta no tiene al menos una CloudTrail ruta habilitada.

Sin embargo, algunos AWS servicios no permiten el registro de todos APIs los eventos. Debe implementar cualquier registro de auditoría adicional que no sea CloudTrail revisar la documentación de cada servicio en los servicios e integraciones CloudTrail compatibles.

Corrección

Para empezar CloudTrail a crear un registro, consulte el AWS CloudTrail tutorial Cómo empezar a usarlo en la Guía del AWS CloudTrail usuario.

[CloudTrail.4] La validación del archivo de CloudTrail registro debe estar habilitada

Requisitos relacionados: PCI DSS v3.2.1/10.5.2, PCI DSS v3.2.1/10.5.5, Foundations Benchmark v1.2.0/2.2, CIS AWS Foundations Benchmark v1.4.0/3.2, Foundations Benchmark v3.0.0/3.2, CIS AWS NIST .800-53.r5 AU-9, .800-53.r5 SI-4, CIS AWS .800-53.r5 SI-7 (1), .800-53.r5 SI-7 (3), .800-53.r5 SI-7 (7), NIST v4.0.1/10.3.2 NIST NIST NIST PCI DSS

Categoría: Protección de datos > Integridad de los datos

Gravedad: baja

Tipo de recurso: AWS::CloudTrail::Trail

Regla de AWS Config : cloud-trail-log-file-validation-enabled

Tipo de programa: Periódico

Parámetros: ninguno

Este control comprueba si la validación de la integridad del archivo de registro está habilitada en un CloudTrail registro.

CloudTrail la validación del archivo de registro crea un archivo de resumen firmado digitalmente que contiene un hash de cada registro que se CloudTrail escribe en Amazon S3. Puede utilizar estos archivos de resumen para determinar si un archivo de registro se modificó, se eliminó o no se modificó después de CloudTrail entregar el registro.

Recomendamos que Hub recomienda que habilite la validación de archivos en todos los registros de seguimiento. La validación de los archivos de registro proporciona comprobaciones adicionales de integridad de CloudTrail los registros.

Corrección

Para habilitar la validación de los archivos de CloudTrail registro, consulte Habilitar la validación de la integridad de los archivos de registro CloudTrail en la Guía del AWS CloudTrail usuario.

[CloudTrail.5] CloudTrail Los senderos deben estar integrados con Amazon Logs CloudWatch

Requisitos relacionados: PCI DSS v3.2.1/10.5.3, CIS AWS Foundations Benchmark v1.2.0/2.4, CIS AWS Foundations Benchmark v1.4.0/3.4, NIST.800-53.r5 AC-2 (4), (26), (9),, NIST.800-53.r5 AC-4 NIST .800-53.r5 SI-20, NIST.800-53.r5 AC-6 .800-53.r5 SI-3 NIST.800-53.r5 SC-7 (8), .800-53.r5 SI-4 (20), NIST .800-53.r5 SI-4 (5), .800-53.r5 SI-4 (5) NIST -7 (8) NIST.800-53.r5 AU-10, NIST.800-53.r5 AU-12, NIST.800-53.r5 AU-2, NIST.800-53.r5 AU-3, NIST.800-53.r5 AU-6(1), NIST.800-53.r5 AU-6(3), NIST.800-53.r5 AU-6(4), NIST.800-53.r5 AU-6(5), NIST.800-53.r5 AU-7(1), NIST.800-53.r5 CA-7 NIST NIST

Categoría: Identificar - Registro

Gravedad: baja

Tipo de recurso: AWS::CloudTrail::Trail

Regla de AWS Config : cloud-trail-cloud-watch-logs-enabled

Tipo de programa: Periódico

Parámetros: ninguno

Este control comprueba si las CloudTrail rutas están configuradas para enviar registros a CloudWatch registros. El control falla si la propiedad CloudWatchLogsLogGroupArn de la ruta está vacía.

CloudTrail graba AWS API las llamadas que se realizan en una cuenta determinada. La información registrada incluye lo siguiente:

CloudTrail utiliza Amazon S3 para el almacenamiento y la entrega de archivos de registro. Puede capturar CloudTrail los registros en un depósito de S3 específico para analizarlos a largo plazo. Para realizar un análisis en tiempo real, puede configurar CloudTrail el envío de CloudWatch registros a Logs.

En el caso de un registro que esté habilitado en todas las regiones de una cuenta, CloudTrail envía los archivos de registro de todas esas regiones a un grupo de CloudWatch registros.

Security Hub recomienda enviar CloudTrail los CloudWatch registros a Logs. Tenga en cuenta que esta recomendación tiene por objeto garantizar que la actividad de la cuenta se capture, supervise y se genere la alarma adecuada. Puede usar CloudWatch los registros para configurar esto con su Servicios de AWS. Esta recomendación no impide el uso de una solución diferente.

El envío de CloudTrail CloudWatch registros a Logs facilita el registro de actividades históricas y en tiempo real en función del usuarioAPI, el recurso y la dirección IP. Puede utilizar este abordaje para establecer alarmas y notificaciones en caso de que se produzcan actividades de la cuenta anómalas o delicadas.

Corrección

Para integrarlo CloudTrail con CloudWatch los registros, consulte Enviar eventos a CloudWatch los registros en la Guía del AWS CloudTrail usuario.

[CloudTrail.6] Asegúrese de que el depósito de S3 que se utiliza para almacenar CloudTrail los registros no sea de acceso público

Requisitos relacionados: CIS AWS Foundations Benchmark v1.2.0/2.3, Foundations Benchmark v1.4.0/3.3, CIS AWS v4.0.1/1.4.4 PCI DSS

Categoría: Identificar - Registro

Gravedad: crítica

Tipo de recurso: AWS::S3::Bucket

AWS Config regla: Ninguna (regla personalizada de Security Hub)

Tipo de programa: periódico y activado por cambios

Parámetros: ninguno

CloudTrail registra un registro de todas las API llamadas realizadas en su cuenta. Estos archivos de registro se almacenan en un bucket de S3. CISrecomienda aplicar la política de depósitos de S3, o lista de control de acceso (ACL), al depósito de S3 que CloudTrail registra para impedir el acceso público a los CloudTrail registros. Permitir el acceso público al contenido de los CloudTrail registros podría ayudar a un adversario a identificar puntos débiles en el uso o la configuración de la cuenta afectada.

Para ejecutar esta comprobación, Security Hub utiliza primero una lógica personalizada para buscar el bucket de S3 en el que se almacenan CloudTrail los registros. A continuación, utiliza las reglas AWS Config administradas para comprobar que el depósito es de acceso público.

Si agrega sus registros en un único bucket de S3 centralizado, Security Hub solo realizará la comprobación de la cuenta y la región en las que se encuentra el bucket de S3 centralizado. En el caso de otras cuentas y regiones, el estado de control es Sin datos.

Si el bucket está accesible públicamente, la comprobación genera un resultado de error.

Corrección

Para bloquear el acceso público a su depósito de CloudTrail S3, consulte Configuración de los ajustes de bloqueo de acceso público para sus depósitos de S3 en la Guía del usuario de Amazon Simple Storage Service. Seleccione las cuatro configuraciones de Bloqueo de acceso público de Amazon S3.

[CloudTrail.7] Asegúrese de que el registro de acceso al bucket de S3 esté habilitado en el CloudTrail bucket de S3

Requisitos relacionados: CIS AWS Foundations Benchmark v1.2.0/2.6, Foundations Benchmark v1.4.0/3.6, CIS AWS Foundations Benchmark v3.0.0/3.4, v4.0.1/10.2.1 CIS AWS PCI DSS

Categoría: Identificar - Registro

Gravedad: baja

Tipo de recurso: AWS::S3::Bucket

AWS Config regla: Ninguna (regla personalizada de Security Hub)

Tipo de programa: Periódico

Parámetros: ninguno

El registro de acceso al bucket S3 genera un registro que contiene registros de acceso para cada solicitud realizada a su bucket S3. Un registro de acceso contiene detalles sobre la solicitud, como el tipo de solicitud, los recursos especificados en la solicitud con los que se ha trabajado y la fecha y hora en que se procesó la solicitud.

CISrecomienda que habilite el registro de acceso al bucket en el bucket de CloudTrail S3.

Al habilitar el registro del bucket de S3 en los buckets de S3 de destino, puede capturar todos los eventos que podrían afectar a los objetos en el bucket de destino. Configurar los registros para que se coloquen en un bucket independiente permite el acceso a la información de registro, lo que puede resultar útil en flujos de trabajo de respuesta a incidentes y seguridad.

Para ejecutar esta comprobación, Security Hub utiliza primero una lógica personalizada para buscar el depósito en el que se almacenan CloudTrail los registros y, a continuación, utiliza la regla AWS Config administrada para comprobar si el registro está habilitado.

Si CloudTrail entrega archivos de registro de varios Cuentas de AWS depósitos de Amazon S3 a un único bucket de destino, Security Hub evalúa este control únicamente con respecto al depósito de destino de la región en la que se encuentra. Esto optimiza sus resultados. Sin embargo, debes activar todas CloudTrail las cuentas que envían registros al depósito de destino. Para todas las cuentas, excepto la que contiene el bucket de destino, el estado de control es Sin datos.

Corrección

Para habilitar el registro de acceso al servidor para su bucket de CloudTrail S3, consulte Habilitar el registro de acceso al servidor Amazon S3 en la Guía del usuario de Amazon Simple Storage Service.

[CloudTrail.9] las CloudTrail rutas deben estar etiquetadas

Categoría: Identificar > Inventario > Etiquetado

Gravedad: baja

Tipo de recurso: AWS::CloudTrail::Trail

Regla de AWS Config : tagged-cloudtrail-trail (regla personalizada de Security Hub)

Tipo de horario: provocado por un cambio

Parámetros:

Este control comprueba si un AWS CloudTrail sendero tiene etiquetas con las claves específicas definidas en el parámetrorequiredTagKeys. El control lanza error si el registro de seguimiento no tiene ninguna clave de etiqueta o si no tiene todas las claves especificadas en el parámetro requiredTagKeys. Si no se proporciona el parámetro requiredTagKeys, el control solo comprueba la existencia de una clave de etiqueta y lanza error si el registro de seguimiento no está etiquetado con ninguna clave. Las etiquetas del sistema, que se aplican automáticamente y comienzan con aws:, se ignoran.

Una etiqueta es una etiqueta que se asigna a un AWS recurso y consta de una clave y un valor opcional. Puede crear etiquetas para clasificar los recursos según su finalidad, propietario, entorno u otro criterio. Las etiquetas pueden ayudarlo a identificar, organizar, buscar y filtrar recursos. El etiquetado también lo ayuda a realizar un seguimiento de las acciones y las notificaciones de los propietarios responsables de los recursos. Al utilizar el etiquetado, puede implementar el control de acceso basado en atributos (ABAC) como estrategia de autorización, que define los permisos en función de las etiquetas. Puede adjuntar etiquetas a IAM las entidades (usuarios o roles) y a los recursos. AWS Puede crear una ABAC política única o un conjunto de políticas independiente para sus IAM directores. Puede diseñar estas ABAC políticas para permitir las operaciones cuando la etiqueta del principal coincida con la etiqueta del recurso. Para obtener más información, consulte ¿ABACPara qué sirve AWS? en la Guía IAM del usuario.

Corrección

Para añadir etiquetas a un CloudTrail sendero, consulte AddTagsla AWS CloudTrail API Referencia.