Registro de cambios en los controles de Security Hub - AWS Security Hub

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Registro de cambios en los controles de Security Hub

El siguiente registro de cambios registra los cambios importantes en los controles de AWS Security Hub seguridad existentes, que pueden provocar cambios en el estado general de un control y en el estado de cumplimiento de sus hallazgos. Para obtener información sobre cómo evalúa Security Hub el estado de los controles, consulte Evaluación del estado de control y el estado de conformidad en Security Hub. Los cambios pueden tardar unos días después de su entrada en este registro y afectar a todos los elementos Regiones de AWS en los que esté disponible el control.

Este registro realiza el seguimiento de los cambios que se han producido desde abril de 2023. Elija un control para ver detalles adicionales sobre él. Los cambios de título se anotan en la descripción detallada del control durante 90 días.

Fecha del cambio ID y título de control Descripción del cambio
7 de marzo de 2025 Las instancias de RDS [RDS.18] deben implementarse en una VPC Security Hub eliminó este control del estándar AWS Foundational Security Best Practices v1.0.0 y automatizó las comprobaciones de los requisitos del NIST SP 800-53 Rev. 5. Desde que se retiraron las redes Amazon EC2 -Classic, las instancias de Amazon Relational Database Service (Amazon RDS) ya no se pueden implementar fuera de una VPC. El control sigue formando parte del estándar de administración de servicios.AWS Control Tower
10 de enero de 2025 [Glue.2] Los trabajos de AWS pegado deberían tener habilitado el registro Security Hub ha retirado este control y lo ha eliminado de todos los estándares.
20 de diciembre de 2024 EC2.61 a 1.69 EC2 Security Hub anuló la versión de los controles EC2 .61 a EC2 .169.
12 de diciembre de 2024 Las instancias RDS [RDS.23] no deben usar el puerto predeterminado de un motor de base de datos El RDS.23 comprueba si un clúster o instancia de Amazon Relational Database Service (Amazon RDS) utiliza un puerto distinto del puerto predeterminado del motor de base de datos. Hemos actualizado el control para que la AWS Config regla subyacente devuelva un resultado de las instancias de NOT_APPLICABLE RDS que forman parte de un clúster.
2 de diciembre de 2024 [Lambda.2] Las funciones de Lambda deben usar los tiempos de ejecución admitidos Lambda.2 comprueba si la configuración de la AWS Lambda función para los tiempos de ejecución coincide con los valores esperados establecidos para los tiempos de ejecución admitidos en cada idioma. Ahora Security Hub admite nodejs22.x como parámetro.
26 de noviembre de 2024 [EKS.2] Los clústeres de EKS deberían ejecutarse en una versión de Kubernetes compatible Este control comprueba si un clúster de Amazon Elastic Kubernetes Service (Amazon EKS) se ejecuta en una versión de Kubernetes compatible. La versión compatible más antigua es 1.29.
20 de noviembre de 2024 [Config.1] AWS Config debe estar habilitado y usar el rol vinculado al servicio para el registro de recursos

La configuración 1 comprueba si AWS Config está habilitada, usa la función vinculada al servicio y registra los recursos para los controles habilitados. Security Hub aumentó la severidad de este control de MEDIUM aCRITICAL. Security Hub también agregó nuevos códigos de estado y motivos de estado para los hallazgos fallidos de Config.1. Estos cambios reflejan la importancia de la configuración 1 para el funcionamiento de los controles del Security Hub. Si tiene AWS Config deshabilitado el registro de recursos, puede recibir resultados de control inexactos.

Para recibir información sobre Config.1, active el registro de recursos para los recursos que correspondan a los controles de Security Hub habilitados y deshabilite los controles que no sean necesarios en su organización. PASSED Para obtener instrucciones sobre la configuración AWS Config de Security Hub, consulteActivación y configuración AWS Config de Security Hub. Para obtener una lista de los controles de Security Hub y sus recursos correspondientes, consulteAWS Config Recursos necesarios para los hallazgos de control de Security Hub.
12 de noviembre de 2024 [Lambda.2] Las funciones de Lambda deben usar los tiempos de ejecución admitidos Lambda.2 comprueba si la configuración de la AWS Lambda función para los tiempos de ejecución coincide con los valores esperados establecidos para los tiempos de ejecución admitidos en cada idioma. Ahora Security Hub admite python3.13 como parámetro.
11 de octubre de 2024 ElastiCache controles Se han cambiado los títulos de los controles para las versiones ElastiCache 3.3, ElastiCache .4, ElastiCache .5 y ElastiCache .7. Los títulos ya no mencionan Redis OSS porque los controles también se aplican a Valkey. ElastiCache
27 de septiembre de 2024 [ELB.4] El equilibrador de carga de aplicación debe configurarse para eliminar los encabezados http no válidos Se cambió el título del control de El equilibrador de carga de aplicación debe configurarse para eliminar los encabezados http a El equilibrador de carga de aplicación debe configurarse para eliminar los encabezados http no válidos.
19 de agosto de 2024 El título cambia a DMS.12 y controles ElastiCache Se han cambiado los títulos de los controles de los DMS.12 y ElastiCache de 1.1 a 0.7. ElastiCache Hemos cambiado estos títulos para reflejar un cambio de nombre en el servicio Amazon ElastiCache (Redis OSS).
15 de agosto de 2024 [Config.1] AWS Config debe estar habilitado y usar el rol vinculado al servicio para el registro de recursos La configuración 1 comprueba si AWS Config está habilitada, usa la función vinculada al servicio y registra los recursos para los controles habilitados. Security Hub agregó un parámetro de control personalizado denominado includeConfigServiceLinkedRoleCheck. Si establece este parámetro enfalse, puede optar por no comprobar si AWS Config utiliza el rol vinculado al servicio.
31 de julio de 2024 Los perfiles de AWS IoT Device Defender seguridad [IoT.1] deben estar etiquetados Se cambió el título del control de Los perfiles de seguridad de AWS IoT Core deben estar etiquetados a Los perfiles de seguridad de AWS IoT Device Defender deben estar etiquetados.
29 de julio de 2024 [Lambda.2] Las funciones de Lambda deben usar los tiempos de ejecución admitidos Lambda.2 comprueba si la configuración de la AWS Lambda función para los tiempos de ejecución coincide con los valores esperados establecidos para los tiempos de ejecución admitidos en cada idioma. Security Hub ha dejado de admitir nodejs16.x como parámetro.
29 de julio de 2024 [EKS.2] Los clústeres de EKS deberían ejecutarse en una versión de Kubernetes compatible Este control comprueba si un clúster de Amazon Elastic Kubernetes Service (Amazon EKS) se ejecuta en una versión de Kubernetes compatible. La versión compatible más antigua es 1.28.
25 de junio de 2024 [Config.1] AWS Config debe estar habilitado y usar el rol vinculado al servicio para el registro de recursos Este control comprueba si AWS Config está activado, utiliza la función vinculada al servicio y registra los recursos de los controles habilitados. Security Hub actualizó el título del control para reflejar lo que este evalúa.
14 de junio de 2024 [RDS.34] Los clústeres de bases de datos Aurora MySQL deberían publicar los registros de auditoría en Logs CloudWatch Este control comprueba si un clúster de base de datos Amazon Aurora MySQL está configurado para publicar registros de auditoría en Amazon CloudWatch Logs. Security Hub actualizó el control para que no genere resultados para los clústeres de bases de datos Aurora sin servidor v1.
11 de junio de 2024 [EKS.2] Los clústeres de EKS deberían ejecutarse en una versión de Kubernetes compatible Este control comprueba si un clúster de Amazon Elastic Kubernetes Service (Amazon EKS) se ejecuta en una versión de Kubernetes compatible. La versión compatible más antigua es 1.27.
10 de junio de 2024 [Config.1] AWS Config debe estar habilitado y usar el rol vinculado al servicio para el registro de recursos Este control comprueba si AWS Config está activado y el registro de AWS Config recursos está activado. Anteriormente, el control solo generaba un resultado PASSED si se configuraba el registro para todos los recursos. Security Hub actualizó el control para generar un resultado PASSED cuando se activa el registro para los recursos necesarios para los controles habilitados. El control también se actualizó para comprobar si se utiliza el rol vinculado al servicio de AWS Config , que proporciona permisos para registrar los recursos necesarios.
8 de mayo de 2024 [S3.20] Los buckets de uso general de S3 deben tener habilitada la eliminación de MFA Este control comprueba si el bucket con control de versiones de uso general de Amazon S3 tiene habilitada la eliminación de la autenticación multifactor (MFA). Anteriormente, el control generaba un resultado FAILED para los buckets que tenían una configuración de ciclo de vida. Sin embargo, la eliminación de la MFA con el control de versiones no se puede habilitar en un bucket que tenga una configuración de ciclo de vida. Security Hub actualizó el control para no generar resultados para los buckets con una configuración de ciclo de vida. La descripción del control se actualizó para reflejar el comportamiento actual.
2 de mayo de 2024 [EKS.2] Los clústeres de EKS deberían ejecutarse en una versión de Kubernetes compatible Security Hub actualizó la versión compatible más antigua de Kubernetes en la que puede ejecutar el clúster de Amazon EKS para producir un resultado aprobado. La versión compatible más antigua actual es Kubernetes 1.26.
30 de abril de 2024 [CloudTrail.3] Debe estar habilitada al menos una CloudTrail ruta Se ha cambiado el título del control de «CloudTrail Debe estar activado» a «Al menos una CloudTrail ruta debe estar habilitada». Actualmente, este control produce un PASSED resultado si un sendero Cuenta de AWS tiene activado al menos un CloudTrail sendero. El título y la descripción se modificaron para reflejar con precisión el comportamiento actual.
29 de abril de 2024 [AutoScaling.1] Los grupos de Auto Scaling asociados a un balanceador de cargas deben usar las comprobaciones de estado del ELB Se cambió el título del control de Los grupos de escalado automático asociados a un equilibrador de carga clásico deben usar las comprobaciones de estado a Los grupos de escalado automático asociados a un equilibrador de carga deben usar comprobaciones de estado de ELB. Actualmente, este control evalúa los equilibradores de carga clásicos, de red, de puerta de enlace y de aplicaciones. El título y la descripción se modificaron para reflejar con precisión el comportamiento actual.
19 de abril de 2024 [CloudTrail.1] CloudTrail debe habilitarse y configurarse con al menos un registro multirregional que incluya eventos de administración de lectura y escritura El control comprueba si AWS CloudTrail está habilitado y configurado con al menos un registro multirregional que incluya eventos de administración de lectura y escritura. Anteriormente, el control generaba PASSED resultados de forma incorrecta cuando una cuenta tenía CloudTrail habilitada y configurada al menos un registro multirregional, incluso si ningún registro capturaba los eventos de administración de lectura y escritura. El control ahora genera un PASSED resultado solo cuando CloudTrail está habilitado y configurado con al menos un registro multirregional que captura los eventos de administración de lectura y escritura.
10 de abril de 2024 [Athena.1] Los grupos de trabajo de Athena deben estar cifrados en reposo Security Hub ha retirado este control y lo ha eliminado de todos los estándares. Los grupos de trabajo de Athena envían registros a buckets de Amazon Simple Storage Service (Amazon S3). Amazon S3 ahora ofrece cifrado predeterminado con claves administradas de S3 (SS3-S3) en buckets S3 nuevos y existentes.
10 de abril de 2024 [AutoScaling.4] La configuración de inicio de grupos de Auto Scaling no debe tener un límite de saltos de respuesta de metadatos superior a 1 Security Hub ha retirado este control y lo ha eliminado de todos los estándares. Los límites de saltos de respuesta de metadatos para las instancias de Amazon Elastic Compute Cloud (Amazon EC2) dependen de la carga de trabajo.
10 de abril de 2024 [CloudFormation.1] las CloudFormation pilas deben integrarse con el Simple Notification Service (SNS) Security Hub ha retirado este control y lo ha eliminado de todos los estándares. Integrar AWS CloudFormation pilas con temas de Amazon SNS ya no es una práctica recomendada de seguridad. Si bien la integración de CloudFormation pilas importantes con los temas de SNS puede resultar útil, no es necesaria para todas las pilas.
10 de abril de 2024 [CodeBuild.5] Los entornos de CodeBuild proyectos no deberían tener habilitado el modo privilegiado Security Hub ha retirado este control y lo ha eliminado de todos los estándares. Habilitar el modo privilegiado en un CodeBuild proyecto no supone un riesgo adicional para el entorno del cliente.
10 de abril de 2024 [IAM.20] Evitar el uso del usuario raíz Security Hub ha retirado este control y lo ha eliminado de todos los estándares. El propósito de este control está cubierto por otro control, [CloudWatch.1] Debe haber un filtro de métricas de registro y una alarma para que los utilice el usuario «root».
10 de abril de 2024 [SNS.2] Debe habilitarse el registro del estado de la entrega para los mensajes de notificación enviados a un tema Security Hub ha retirado este control y lo ha eliminado de todos los estándares. Registrar el estado de entrega de los temas de SNS ya no es una práctica de seguridad recomendada. Aunque registrar el estado de entrega de los temas importantes del SNS puede resultar útil, no es obligatorio para todos los temas.
10 de abril de 2024 [S3.10] Los buckets de uso general de S3 con el control de versiones habilitado deben tener configuraciones de ciclo de vida Security Hub eliminó este control de AWS Foundational Security Best Practices v1.0.0 y Service-Managed Standard:. AWS Control Tower El propósito de este control está cubierto por otros dos controles: [S3.13] Los buckets de uso general de S3 deben tener configuraciones de ciclo de vida y [S3.14] Los buckets de uso general de S3 deben tener habilitado el control de versiones. Este control sigue siendo parte del NIST SP 800-53 Rev. 5.
10 de abril de 2024 [S3.11] Los buckets de uso general de S3 deben tener habilitadas las notificaciones de eventos Security Hub eliminó este control de AWS Foundational Security Best Practices v1.0.0 y Service-Managed Standard:. AWS Control Tower Si bien hay algunos casos en los que las notificaciones de eventos para los buckets de S3 son útiles, no se trata de una práctica de seguridad universal recomendada. Este control sigue siendo parte del NIST SP 800-53 Rev. 5.
10 de abril de 2024 [SNS.1] Los temas de SNS deben cifrarse en reposo mediante AWS KMS Security Hub eliminó este control de AWS Foundational Security Best Practices v1.0.0 y Service-Managed Standard:. AWS Control Tower De forma predeterminada, SNS cifra los temas en reposo mediante el cifrado de disco. Para más información, consulte Cifrado de datos. Ya no AWS KMS se recomienda su uso para cifrar temas como práctica recomendada de seguridad. Este control sigue siendo parte del NIST SP 800-53 Rev. 5.
8 de abril de 2024 [ELB.6] La protección contra la eliminación de un equilibrador de carga de aplicación, de puerta de enlace y de red debe estar habilitada Se cambió el título del control de El equilibrador de carga de aplicación debe tener habilitada la protección contra eliminaciones a Los equilibradores de carga de red, de las aplicaciones y de la puerta de enlace deben tener habilitada la protección contra eliminaciones. Actualmente, este control evalúa los equilibradores de carga de red, puertas de enlace y aplicaciones. El título y la descripción se modificaron para reflejar con precisión el comportamiento actual.
22 de marzo de 2024 [Opensearch.8] Las conexiones a los OpenSearch dominios deben cifrarse según la política de seguridad TLS más reciente Se cambió el título de control de Las conexiones a OpenSearch los dominios deben cifrarse mediante TLS 1.2 a Las conexiones a OpenSearch los dominios deben cifrarse mediante la última política de seguridad de TLS. Anteriormente, el control solo comprobaba si las conexiones a los OpenSearch dominios utilizaban TLS 1.2. El control ahora determina si los OpenSearch dominios están cifrados con la última política de seguridad de TLS. PASSED El título y la descripción del control se actualizaron para reflejar el comportamiento actual.
22 de marzo de 2024 [ES.8] Las conexiones a dominios de Elasticsearch deben estar cifradas conforme a la política de seguridad TLS más reciente Se cambió el título del control de Las conexiones a dominios de Elasticsearch deben estar cifradas a través de TLS 1.2 a Las conexiones a los dominios de Elasticsearch deben estar cifrados a través de la última política de seguridad de TLS. Anteriormente, el control solo comprobaba si las conexiones a los dominios de Elasticsearch utilizaban TLS 1.2. El control ahora genera un resultado PASSED si los dominios de Elasticsearch están cifrados a través de la última política de seguridad de TLS. El título y la descripción del control se actualizaron para reflejar el comportamiento actual.
12 de marzo de 2024 [S3.1] Los buckets de uso general de S3 deben tener habilitado el bloqueo de acceso público El título cambió de La configuración del bloqueo de acceso público de S3 debe estar habilitada a Los buckets de uso general de S3 deben tener el bloqueo de acceso público habilitado. Security Hub cambió el título para considerar un nuevo tipo de bucket de S3.
12 de marzo de 2024 [S3.2] Los buckets de uso general de S3 deben bloquear el acceso público de lectura Se cambió el título de Los buckets de S3 deben prohibir el acceso de lectura público a Los buckets de uso general de S3 deben bloquear el acceso de lectura público. Security Hub cambió el título para considerar un nuevo tipo de bucket de S3.
12 de marzo de 2024 [S3.3] Los buckets de uso general de S3 deben bloquear el acceso público de escritura Se cambió el título de Los buckets de S3 deben prohibir el acceso de escritura público a Los buckets de uso general de S3 deben bloquear el acceso de escritura público. Security Hub cambió el título para considerar un nuevo tipo de bucket de S3.
12 de marzo de 2024 [S3.5] En las solicitudes de los buckets de uso general de S3, se debe pedir el uso de SSL Se cambió el título de Los buckets de S3 deben requerir solicitudes para usar Secure Socket Layer a Los buckets de uso general de S3 deben requerir solicitudes para usar SSL. Security Hub cambió el título para considerar un nuevo tipo de bucket de S3.
12 de marzo de 2024 [S3.6] Las políticas de compartimentos de uso general de S3 deberían restringir el acceso a otros Cuentas de AWS Si se ha cambiado el título de S3, los permisos concedidos a otras Cuentas de AWS políticas de bucket deberían restringirse a las políticas de bucket de uso general de S3. Las políticas de bucket de uso general deberían restringir el acceso a otras Cuentas de AWS políticas. Security Hub cambió el título para considerar un nuevo tipo de bucket de S3.
12 de marzo de 2024 [S3.7] Los buckets de uso general de S3 deben usar la replicación entre regiones Se cambió el título de Los buckets de S3 deben tener la replicación entre regiones habilitada a Los buckets de uso general de S3 deben usar la replicación entre regiones. Security Hub cambió el título para considerar un nuevo tipo de bucket de S3.
12 de marzo de 2024 [S3.7] Los buckets de uso general de S3 deben usar la replicación entre regiones Se cambió el título de Los buckets de S3 deben tener la replicación entre regiones habilitada a Los buckets de uso general de S3 deben usar la replicación entre regiones. Security Hub cambió el título para considerar un nuevo tipo de bucket de S3.
12 de marzo de 2024 [S3.8] Los buckets de uso general de S3 deben bloquear el acceso público Se cambió el título de La configuración de acceso público al bloque S3 debe estar habilitada en el nivel de bucket a Los buckets de uso general de S3 deben bloquear el acceso público. Security Hub cambió el título para considerar un nuevo tipo de bucket de S3.
12 de marzo de 2024 [S3.9] Los buckets de uso general de S3 deben tener habilitado el registro de acceso al servidor Se cambió el título de Se debe habilitar el registro de acceso al bucket de S3 a Se debe habilitar el registro de acceso al servidor para los buckets de uso general de S3. Security Hub cambió el título para considerar un nuevo tipo de bucket de S3.
12 de marzo de 2024 [S3.10] Los buckets de uso general de S3 con el control de versiones habilitado deben tener configuraciones de ciclo de vida Se cambió el título de Los buckets de S3 con el control de versiones habilitado deben tener configuradas las políticas de ciclo de vida a Los buckets de uso general de S3 con el control de versiones habilitado deben tener configuraciones de ciclo de vida. Security Hub cambió el título para considerar un nuevo tipo de bucket de S3.
12 de marzo de 2024 [S3.11] Los buckets de uso general de S3 deben tener habilitadas las notificaciones de eventos Se cambió el título de Los buckets de S3 deben tener las notificaciones de eventos habilitadas a Los buckets de uso general de S3 deben tener las notificaciones de eventos habilitadas. Security Hub cambió el título para considerar un nuevo tipo de bucket de S3.
12 de marzo de 2024 [S3.12] no ACLs debe usarse para administrar el acceso de los usuarios a los depósitos de uso general de S3 El título cambiado de listas de control de acceso de S3 (ACLs) no debe usarse para administrar el acceso de los usuarios a los buckets y no ACLs debe usarse para administrar el acceso de los usuarios a los buckets de uso general de S3. Security Hub cambió el título para considerar un nuevo tipo de bucket de S3.
12 de marzo de 2024 [S3.13] Los buckets de uso general de S3 deben tener configuraciones de ciclo de vida Se cambió el título de Los buckets de S3 deben tener configuradas las políticas de ciclo de vida a Los buckets de uso general de S3 deben tener configuraciones de ciclo de vida. Security Hub cambió el título para considerar un nuevo tipo de bucket de S3.
12 de marzo de 2024 [S3.14] Los buckets de uso general de S3 deben tener habilitado el control de versiones Se cambió el título de Los buckets de S3 deben utilizar el control de versiones a Los buckets de uso general de S3 deben tener el control de versiones habilitado. Security Hub cambió el título para considerar un nuevo tipo de bucket de S3.
12 de marzo de 2024 [S3.15] Los buckets de uso general de S3 deben tener habilitado el bloqueo de objetos Se cambió el título de Los buckets de S3 deben configurarse para usar el Bloqueo de objetos a Los buckets de uso general de S3 deben tener Bloqueo de objetos habilitado. Security Hub cambió el título para considerar un nuevo tipo de bucket de S3.
12 de marzo de 2024 [S3.17] Los depósitos de uso general de S3 deben cifrarse en reposo con AWS KMS keys Se cambió el título de Los buckets de S3 deben estar cifrados en reposo a través de AWS KMS keys a Los buckets de uso general de S3 deben estar cifrados en reposo a través de AWS KMS keys. Security Hub cambió el título para considerar un nuevo tipo de bucket de S3.
7 de marzo de 2024 [Lambda.2] Las funciones de Lambda deben usar los tiempos de ejecución admitidos Lambda.2 comprueba si la configuración de la AWS Lambda función para los tiempos de ejecución coincide con los valores esperados establecidos para los tiempos de ejecución admitidos en cada idioma. Security Hub admite ahora nodejs20.x y ruby3.3 como parámetros.
22 de febrero de 2024 [Lambda.2] Las funciones de Lambda deben usar los tiempos de ejecución admitidos Lambda.2 comprueba si la configuración de la AWS Lambda función para los tiempos de ejecución coincide con los valores esperados establecidos para los tiempos de ejecución admitidos en cada idioma. Ahora Security Hub admite dotnet8 como parámetro.
5 de febrero de 2024 [EKS.2] Los clústeres de EKS deberían ejecutarse en una versión de Kubernetes compatible Security Hub actualizó la versión compatible más antigua de Kubernetes en la que puede ejecutar el clúster de Amazon EKS para producir un resultado aprobado. La versión compatible más antigua actual es Kubernetes 1.25.
10 de enero de 2024 [CodeBuild.1] CodeBuild El repositorio fuente de Bitbucket no URLs debe contener credenciales confidenciales El título modificado del repositorio fuente de Bitbucket CodeBuild GitHub o el que se URLs debe usar OAuth al repositorio fuente de CodeBuild Bitbucket no debe contener credenciales confidenciales. URLs Security Hub eliminó la mención OAuth porque otros métodos de conexión también pueden ser seguros. Security Hub eliminó la mención GitHub porque ya no es posible tener un token de acceso personal o un nombre de usuario y una contraseña en el repositorio de GitHub origen URLs.
8 de enero de 2024 [Lambda.2] Las funciones de Lambda deben usar los tiempos de ejecución admitidos Lambda.2 comprueba si la configuración de la AWS Lambda función para los tiempos de ejecución coincide con los valores esperados establecidos para los tiempos de ejecución admitidos en cada idioma. Security Hub ya no admite go1.x ni java8 como parámetros porque se trata de tiempos de ejecución retirados.
29 de diciembre de 2023 Las instancias de base de datos de RDS [RDS.8] deben tener habilitada la protección contra la eliminación RDS.8 comprueba si una instancia de base de datos de Amazon RDS que utiliza uno de los motores de bases de datos compatibles tiene habilitada la protección contra eliminaciones. Security Hub admite ahora custom-oracle-ee, oracle-ee-cdb y oracle-se2-cdb como motores de bases de datos.
22 de diciembre de 2023 [Lambda.2] Las funciones de Lambda deben usar los tiempos de ejecución admitidos Lambda.2 comprueba si la configuración de la AWS Lambda función para los tiempos de ejecución coincide con los valores esperados establecidos para los tiempos de ejecución admitidos en cada idioma. Security Hub admite ahora java21 y python3.12 como parámetros. Security Hub ha dejado de admitir ruby2.7 como parámetro.
15 de diciembre de 2023 [CloudFront.1] CloudFront las distribuciones deben tener configurado un objeto raíz predeterminado CloudFront.1 comprueba si una CloudFront distribución de Amazon tiene configurado un objeto raíz predeterminado. Security Hub ha reducido la gravedad de este control de CRÍTICA a ALTA, ya que se recomienda agregar el objeto raíz predeterminado, que depende de la aplicación y los requisitos específicos del usuario.
5 de diciembre de 2023 [EC2.13] Los grupos de seguridad no deberían permitir la entrada desde el 0.0.0.0/0 o: :/0 al puerto 22 Se ha cambiado el título del control de Los grupos de seguridad no deben permitir la entrada desde 0.0.0.0/0 al puerto 22 a Los grupos de seguridad no deben permitir la entrada desde 0.0.0.0/0 o ::/0 al puerto 22.
5 de diciembre de 2023 [EC2.14] Los grupos de seguridad no deberían permitir la entrada desde el 0.0.0.0/0 o: :/0 al puerto 3389 Se ha cambiado el título del control de Asegúrese de que ningún grupo de seguridad permita la entrada desde 0.0.0.0/0 al puerto 3389 a Los grupos de seguridad no deben permitir la entrada desde 0.0.0.0/0 o ::/0 al puerto 3389.
5 de diciembre de 2023 [RDS.9] Las instancias de base de datos de RDS deben publicar los registros en Logs CloudWatch Si se ha cambiado el título del control, el registro de bases de datos debe estar activado y las instancias de base de datos de RDS deben publicar los registros en los CloudWatch registros. Security Hub identificó que este control solo comprueba si los registros se publican en Amazon CloudWatch Logs y no comprueba si los registros de RDS están habilitados. El control determina si las instancias PASSED de base de datos de RDS están configuradas para publicar registros en Logs. CloudWatch El título del control se ha actualizado para reflejar el comportamiento actual.
5 de diciembre de 2023 [EKS.8] Los clústeres de EKS deben tener habilitado el registro de auditoría Este control comprueba si los clústeres de Amazon EKS tienen habilitado el registro de auditoría. La AWS Config regla que utiliza Security Hub para evaluar este control cambió de eks-cluster-logging-enabled aeks-cluster-log-enabled.
17 de noviembre de 2023 [EC2.19] Los grupos de seguridad no deberían permitir el acceso sin restricciones a los puertos de alto riesgo EC2.19 comprueba si el tráfico entrante sin restricciones de un grupo de seguridad es accesible desde los puertos especificados que se consideran de alto riesgo. Security Hub ha actualizado este control para tener en cuenta las listas de prefijos administrados cuando se proporcionan como origen de una regla de grupo de seguridad. El control genera un resultado FAILED si las listas de prefijos contienen las cadenas “0.0.0.0/0” o “::/0”.
16 de noviembre de 2023 [CloudWatch.15] CloudWatch las alarmas deben tener configuradas acciones específicas Se ha cambiado el título del control: CloudWatch las alarmas deberían tener una acción configurada para el estado de ALARMA a CloudWatch las alarmas que deberían tener configuradas las acciones especificadas.
16 de noviembre de 2023 [CloudWatch.16] Los grupos de CloudWatch registros deben conservarse durante un período de tiempo específico El título de control modificado, de grupos de CloudWatch registros, debe conservarse durante al menos 1 año, a grupos de CloudWatch registros, debe conservarse durante un período de tiempo específico.
16 de noviembre de 2023 [Lambda.5] Las funciones de Lambda de la VPC deben funcionar en varias zonas de disponibilidad Se ha cambiado el título de control de Las funciones de Lambda de la VPC deben funcionar en más de una zona de disponibilidad a Las funciones de Lambda de la VPC deben funcionar en varias zonas de disponibilidad.
16 de noviembre de 2023 [AppSync.2] AWS AppSync debe tener habilitado el registro a nivel de campo Se ha cambiado el título de control de AWS AppSync debe tener activado el registro a nivel de solicitud y a nivel de campo a AWS AppSync debe tener habilitado el registro a nivel de campo.
16 de noviembre de 2023 [EMR.1] Los nodos maestros del clúster de Amazon EMR no deben tener direcciones IP públicas Se cambió el título de control de los nodos maestros del MapReduce clúster de Amazon Elastic no deberían tener direcciones IP públicas a los nodos principales del clúster de Amazon EMR no deberían tener direcciones IP públicas.
16 de noviembre de 2023 Los OpenSearch dominios [Opensearch.2] no deben ser de acceso público El título de control modificado de OpenSearch los dominios debería estar en una VPC a OpenSearchdominios que no deberían ser de acceso público.
16 de noviembre de 2023 [ES.2] Los dominios de Elasticsearch no deben ser de acceso público Se ha cambiado el título de control de Los dominios de Elasticsearch deben estar en una VPC a Los dominios de Elasticsearch no deben ser de acceso público.
31 de octubre de 2023 [ES.4] Debe estar habilitado el registro de errores de dominio de Elasticsearch en los CloudWatch registros ES.4 comprueba si los dominios de Elasticsearch están configurados para enviar registros de errores a Amazon Logs. CloudWatch Anteriormente, el control PASSED encontró un dominio de Elasticsearch que tenía todos los registros configurados para enviarlos a Logs. CloudWatch Security Hub actualizó el control para producir una PASSED búsqueda solo para un dominio de Elasticsearch que esté configurado para enviar registros de errores a Logs. CloudWatch El control también se actualizó para excluir de la evaluación versiones de Elasticsearch que no admiten registros de errores.
16 de octubre de 2023 [EC2.13] Los grupos de seguridad no deberían permitir la entrada desde el 0.0.0.0/0 o: :/0 al puerto 22 EC2La versión .13 comprueba si los grupos de seguridad permiten el acceso sin restricciones al puerto 22. Security Hub ha actualizado este control para tener en cuenta las listas de prefijos administrados cuando se proporcionan como origen de una regla de grupo de seguridad. El control genera un resultado FAILED si las listas de prefijos contienen las cadenas “0.0.0.0/0” o “::/0”.
16 de octubre de 2023 [EC2.14] Los grupos de seguridad no deberían permitir la entrada desde el 0.0.0.0/0 o: :/0 al puerto 3389 EC2.14 comprueba si los grupos de seguridad permiten el acceso de entrada sin restricciones al puerto 3389. Security Hub ha actualizado este control para tener en cuenta las listas de prefijos administrados cuando se proporcionan como origen de una regla de grupo de seguridad. El control genera un resultado FAILED si las listas de prefijos contienen las cadenas “0.0.0.0/0” o “::/0”.
16 de octubre de 2023 [EC2.18] Los grupos de seguridad solo deberían permitir el tráfico entrante sin restricciones en los puertos autorizados EC2.18 comprueba si los grupos de seguridad que se utilizan permiten el tráfico entrante sin restricciones. Security Hub ha actualizado este control para tener en cuenta las listas de prefijos administrados cuando se proporcionan como origen de una regla de grupo de seguridad. El control genera un resultado FAILED si las listas de prefijos contienen las cadenas “0.0.0.0/0” o “::/0”.
16 de octubre de 2023 [Lambda.2] Las funciones de Lambda deben usar los tiempos de ejecución admitidos Lambda.2 comprueba si la configuración de la AWS Lambda función para los tiempos de ejecución coincide con los valores esperados establecidos para los tiempos de ejecución admitidos en cada idioma. Ahora Security Hub admite python3.11 como parámetro.
4 de octubre de 2023 [S3.7] Los buckets de uso general de S3 deben usar la replicación entre regiones Security Hub agregó el parámetro ReplicationType con un valor CROSS-REGION para garantizar que los buckets de S3 tengan habilitada la replicación entre regiones en lugar de la replicación en la misma región.
27 de septiembre de 2023 [EKS.2] Los clústeres de EKS deberían ejecutarse en una versión de Kubernetes compatible Security Hub actualizó la versión compatible más antigua de Kubernetes en la que puede ejecutar el clúster de Amazon EKS para producir un resultado aprobado. La versión compatible más antigua actual es Kubernetes 1.24.
20 de septiembre de 2023 [CloudFront.2] las CloudFront distribuciones deben tener habilitada la identidad de acceso de origen Security Hub ha retirado este control y lo ha eliminado de todos los estándares. En su lugar, consulte [CloudFront.13] CloudFront las distribuciones deben usar el control de acceso al origen. El control de acceso de Origin es la mejor práctica de seguridad actual. Este control se eliminará de la documentación en 90 días.
20 de septiembre de 2023 [EC2.22] Los grupos de EC2 seguridad de Amazon no utilizados deberían eliminarse Security Hub eliminó este control de las prácticas recomendadas de seguridad AWS fundamentales (FSBP) y del Instituto Nacional de Estándares y Tecnología (NIST) SP 800-53 Rev. 5. Sigue formando parte del estándar de gestión de servicios:. AWS Control Tower Este control produce una comprobación válida si los grupos de seguridad están conectados a EC2 instancias o a una interface de red elástica. Sin embargo, en algunos casos de uso, los grupos de seguridad independientes no representan un riesgo para la seguridad. Puede usar otros EC2 controles, como EC2 .2, EC2 .13, EC2 .14, EC2 .18 y EC2 .19, para monitorear sus grupos de seguridad.
20 de septiembre de 2023 [EC2.29] EC2 las instancias deben lanzarse en una VPC Security Hub ha retirado este control y lo ha eliminado de todos los estándares. Amazon EC2 ha EC2 migrado las instancias clásicas a una VPC. Este control se eliminará de la documentación en 90 días.
20 de septiembre de 2023 [S3.4] Los buckets de S3 deben tener habilitado el cifrado del servidor Security Hub ha retirado este control y lo ha eliminado de todos los estándares. Amazon S3 ahora ofrece cifrado predeterminado con claves administradas de S3 (SS3-S3) en buckets S3 nuevos y existentes. La configuración de cifrado no ha cambiado para los buckets existentes que se cifran con el cifrado SS3 -S3 o SS3 -KMS del lado del servidor. Este control se eliminará de la documentación en 90 días.
14 de septiembre de 2023 [EC2.2] Los grupos de seguridad predeterminados de VPC no deben permitir el tráfico entrante o saliente Se cambió el título de control de El grupo de seguridad predeterminado de VPC no debe permitir el tráfico entrante ni saliente a Los grupos de seguridad predeterminados de VPC no deben permitir el tráfico entrante ni saliente.
14 de septiembre de 2023 [IAM.9] La MFA debe estar habilitada para el usuario raíz Se cambió el título de control de La MFA virtual debe estar habilitada para el usuario raíz a La MFA debe estar habilitada para el usuario raíz.

14 de septiembre de 2023

 Las suscripciones de notificación de eventos de RDS [RDS.19] existentes deben configurarse para los eventos de clúster críticos Se cambió el título de control de Se debe configurar una suscripción a las notificaciones de eventos de RDS para los eventos de clúster críticos a Las suscripciones de notificación de eventos de RDS existentes deben configurarse para los eventos de clúster críticos.
14 de septiembre de 2023 Las suscripciones de notificación de eventos de RDS [RDS.20] existentes deben configurarse para eventos críticos de instancias de bases de datos Se cambió el título de control de Se debe configurar una suscripción a las notificaciones de eventos de RDS para los eventos críticos de instancias de bases de datos a Las suscripciones de notificación de eventos de RDS existentes deben configurarse para los eventos críticos de instancias de bases de datos.
14 de septiembre de 2023 [WAF.2] Las reglas regionales AWS WAF clásicas deben tener al menos una condición Se cambió el título de control de Una regla regional de WAF debe tener al menos una condición a Las reglas regionales de AWS WAF Classic deben tener al menos una condición.
14 de septiembre de 2023 [WAF.3] Los grupos de reglas regionales AWS WAF clásicos deben tener al menos una regla Se cambió el título de control de Un grupo de reglas regionales de WAF debe tener al menos una regla a Los grupos de reglas regionales de AWS WAF Classic deben tener al menos una regla.
14 de septiembre de 2023 [WAF.4] La web regional AWS WAF clásica ACLs debe tener al menos una regla o grupo de reglas Se ha cambiado el título del control: Una ACL web regional de WAF debe tener al menos una regla o grupo de reglas a una web regional AWS WAF clásica, ACLs debe tener al menos una regla o grupo de reglas.
14 de septiembre de 2023 [WAF.6] Las reglas globales AWS WAF clásicas deben tener al menos una condición Se cambió el título de control de Una regla global de WAF debe tener al menos una condición a Las reglas globales de AWS WAF Classic deben tener al menos una condición.
14 de septiembre de 2023 [WAF.7] Los grupos de reglas globales AWS WAF clásicos deben tener al menos una regla Se cambió el título de control de Un grupo de reglas globales de WAF debe tener al menos una regla a Los grupos de reglas globales de AWS WAF Classic deben tener al menos una regla.
14 de septiembre de 2023 [WAF.8] La web global AWS WAF clásica ACLs debe tener al menos una regla o grupo de reglas Se ha cambiado el título del control de una ACL web global de WAF que debe tener al menos una regla o grupo de reglas a una web global AWS WAF clásica que ACLs debe tener al menos una regla o grupo de reglas.
14 de septiembre de 2023 [WAF.10] AWS WAF web ACLs debe tener al menos una regla o grupo de reglas El título de control cambiado de una ACL WAFv2 web debe tener al menos una regla o grupo de reglas a AWS WAF web ACLs debe tener al menos una regla o grupo de reglas.
14 de septiembre de 2023 [WAF.11] El registro de ACL AWS WAF web debe estar habilitado Se cambió el título de control de El registro de la ACL web de AWS WAF v2 debe estar activado a El registro de la ACL web de AWS WAF debe estar habilitado.

20 de julio de 2023

 [S3.4] Los buckets de S3 deben tener habilitado el cifrado del servidor S3.4 comprueba si el bucket de Amazon S3 tiene habilitado el cifrado del lado del servidor o que la política de bucket de S3 deniega explícitamente las solicitudes PutObject sin cifrado del lado del servidor. Security Hub actualizó este control para incluir el cifrado de doble capa del lado del servidor con claves de KMS (DSSE-KMS). El control genera un resultado aprobado cuando un bucket de S3 está cifrado con SSE-S3, SSE-KMS o DSSE-KMS.
17 de julio de 2023 [S3.17] Los depósitos de uso general de S3 deben cifrarse en reposo con AWS KMS keys S3.17 comprueba si un bucket de Amazon S3 está cifrado con un AWS KMS key. Security Hub actualizó este control para incluir el cifrado de doble capa del lado del servidor con claves de KMS (DSSE-KMS). El control genera un resultado aprobado cuando un bucket de S3 está cifrado con SSE-KMS o DSSE-KMS.
9 de junio de 2023 [EKS.2] Los clústeres de EKS deberían ejecutarse en una versión de Kubernetes compatible EKS.2 comprueba si un clúster de Amazon EKS se está ejecutando en una versión compatible de Kubernetes. La versión compatible más antigua es ahora 1.23.
9 de junio de 2023 [Lambda.2] Las funciones de Lambda deben usar los tiempos de ejecución admitidos Lambda.2 comprueba si la configuración de la AWS Lambda función para los tiempos de ejecución coincide con los valores esperados establecidos para los tiempos de ejecución admitidos en cada idioma. Ahora Security Hub admite ruby3.2 como parámetro.
5 de junio de 2023 [APIGateway.5] Los datos de la caché de la API REST de API Gateway deben cifrarse en reposo APIGateway.5. Comprueba si todos los métodos de las etapas de la API REST de Amazon API Gateway están cifrados en reposo. Security Hub actualizó el control para evaluar el cifrado de un método en particular solo cuando el almacenamiento en caché está habilitado para ese método.
18 de mayo de 2023 [Lambda.2] Las funciones de Lambda deben usar los tiempos de ejecución admitidos Lambda.2 comprueba si la configuración de la AWS Lambda función para los tiempos de ejecución coincide con los valores esperados establecidos para los tiempos de ejecución admitidos en cada idioma. Ahora Security Hub admite java17 como parámetro.
18 de mayo de 2023 [Lambda.2] Las funciones de Lambda deben usar los tiempos de ejecución admitidos Lambda.2 comprueba si la configuración de la AWS Lambda función para los tiempos de ejecución coincide con los valores esperados establecidos para los tiempos de ejecución admitidos en cada idioma. Security Hub ha dejado de admitir nodejs12.x como parámetro.
23 de abril de 2023 [ECS.10] Los servicios Fargate de ECS deberían ejecutarse en la última versión de la plataforma Fargate ECS.10 comprueba si los servicios Fargate de Amazon ECS ejecutan la versión de la plataforma Fargate más reciente. Los clientes pueden implementar Amazon ECS a través de ECS directamente o mediante CodeDeploy. Security Hub actualizó este control para generar resultados aprobados cuando se utilizan CodeDeploy para implementar los servicios Fargate de ECS.
20 de abril de 2023 [S3.6] Las políticas de compartimentos de uso general de S3 deberían restringir el acceso a otros Cuentas de AWS El S3.6 comprueba si una política de bucket de Amazon Simple Storage Service (Amazon S3) impide que los directores de Cuentas de AWS otras entidades realicen acciones denegadas en los recursos del bucket de S3. Security Hub actualizó el control para tener en cuenta los condicionales de una política de bucket.
18 de abril de 2023 [Lambda.2] Las funciones de Lambda deben usar los tiempos de ejecución admitidos Lambda.2 comprueba si la configuración de la AWS Lambda función para los tiempos de ejecución coincide con los valores esperados establecidos para los tiempos de ejecución admitidos en cada idioma. Ahora Security Hub admite python3.10 como parámetro.
18 de abril de 2023 [Lambda.2] Las funciones de Lambda deben usar los tiempos de ejecución admitidos Lambda.2 comprueba si la configuración de la AWS Lambda función para los tiempos de ejecución coincide con los valores esperados establecidos para los tiempos de ejecución admitidos en cada idioma. Security Hub ha dejado de admitir dotnetcore3.1 como parámetro.
17 de abril de 2023 Las instancias RDS [RDS.11] deben tener habilitadas las copias de seguridad automáticas RDS.11 comprueba si las instancias de Amazon RDS tienen habilitadas las copias de seguridad automáticas, con un periodo de retención de las copias de seguridad superior o igual a siete días. Security Hub actualizó este control para excluir las réplicas de lectura de la evaluación, ya que no todos los motores admiten copias de seguridad automatizadas en las réplicas de lectura. Además, RDS no ofrece la opción de especificar un periodo de retención de las copias de seguridad al crear réplicas de lectura. Las réplicas de lectura se crean con un periodo de retención predeterminado de la copia de seguridad de 0.