Límites regionales de los controles de Security Hub

[ElastiCache.4] los grupos de ElastiCache replicación deben estar cifrados en reposo

[ElastiCache.5] los grupos de ElastiCache replicación deben cifrarse en tránsito

[ElastiCache.6] Los grupos de replicación ElastiCache (RedisOSS) de versiones anteriores deberían tener Redis activado OSS AUTH

[ElastiCache.7] los ElastiCache clústeres no deben usar el grupo de subredes predeterminado

[GlobalAccelerator.1] Los aceleradores de Global Accelerator deben estar etiquetados

[S3.24] Los puntos de acceso multirregionales de S3 deben tener habilitada la configuración de bloqueo de acceso público

[CloudFront.1] CloudFront las distribuciones deben tener configurado un objeto raíz predeterminado

[CloudFront.3] CloudFront las distribuciones deberían requerir el cifrado en tránsito

[CloudFront.4] CloudFront las distribuciones deben tener configurada la conmutación por error de Origin

[CloudFront.5] CloudFront las distribuciones deberían tener el registro activado

[CloudFront.6] CloudFront las distribuciones deberían estar habilitadas WAF

[CloudFront.7] CloudFront las distribuciones deben usar certificados/personalizados SSL TLS

[CloudFront.8] CloudFront las distribuciones deberían usarse SNI para atender las solicitudes HTTPS

[CloudFront.9] CloudFront las distribuciones deberían cifrar el tráfico hacia orígenes personalizados

[CloudFront.10] CloudFront las distribuciones no deberían usar SSL protocolos obsoletos entre las ubicaciones de los bordes y los orígenes personalizados

[CloudFront.12] CloudFront las distribuciones no deben apuntar a orígenes S3 inexistentes

[CloudFront.13] CloudFront las distribuciones deben usar el control de acceso al origen

[CloudFront.14] CloudFront las distribuciones deben estar etiquetadas

[EC2.24] No se deben usar los tipos de instancias EC2 paravirtuales de Amazon

[ECR.4] Los repositorios ECR públicos deben estar etiquetados

[GlobalAccelerator.1] Los aceleradores de Global Accelerator deben estar etiquetados

[IAM.26] TLS Los certificados SSL caducados o gestionados IAM deben eliminarse

[RDS.31] Los grupos de seguridad RDS de bases de datos deben etiquetarse

[Route53.1] Los controles de estado de Route 53 deben estar etiquetados

[Route53.2] Las zonas alojadas públicamente de Route 53 deberían registrar las consultas DNS

[S3.24] Los puntos de acceso multirregionales de S3 deben tener habilitada la configuración de bloqueo de acceso público

[WAF.1] AWS WAF El ACL registro web global clásico debe estar habilitado

[WAF.6] AWS WAF Las reglas globales clásicas deben tener al menos una condición

[WAF7.] AWS WAF Los grupos de reglas globales clásicos deben tener al menos una regla

[WAF.8] AWS WAF La web global clásica ACLs debe tener al menos una regla o grupo de reglas

[WorkSpaces.1] los volúmenes de WorkSpaces usuarios deben cifrarse en reposo

[WorkSpaces.2] los volúmenes WorkSpaces raíz deben cifrarse en reposo

[CloudFront.1] CloudFront las distribuciones deben tener configurado un objeto raíz predeterminado

[CloudFront.3] CloudFront las distribuciones deberían requerir el cifrado en tránsito

[CloudFront.4] CloudFront las distribuciones deben tener configurada la conmutación por error de Origin

[CloudFront.5] CloudFront las distribuciones deberían tener el registro activado

[CloudFront.6] CloudFront las distribuciones deberían estar habilitadas WAF

[CloudFront.7] CloudFront las distribuciones deben usar certificados/personalizados SSL TLS

[CloudFront.8] CloudFront las distribuciones deberían usarse SNI para atender las solicitudes HTTPS

[CloudFront.9] CloudFront las distribuciones deberían cifrar el tráfico hacia orígenes personalizados

[CloudFront.10] CloudFront las distribuciones no deberían usar SSL protocolos obsoletos entre las ubicaciones de los bordes y los orígenes personalizados

[CloudFront.12] CloudFront las distribuciones no deben apuntar a orígenes S3 inexistentes

[CloudFront.13] CloudFront las distribuciones deben usar el control de acceso al origen

[CloudFront.14] CloudFront las distribuciones deben estar etiquetadas

[CodeArtifact.1] CodeArtifact Los repositorios deben estar etiquetados

[DocumentDB.1] Los clústeres de Amazon DocumentDB deben cifrarse en reposo

[DocumentDb.2] Los clústeres de Amazon DocumentDB deben tener un período de retención de copias de seguridad adecuado

[DocumentDb.3] Las instantáneas de clústeres manuales de Amazon DocumentDB no deben ser públicas

[DocumentDb.4] Los clústeres de Amazon DocumentDB deben publicar los registros de auditoría en Logs CloudWatch

[DocumentDb.5] Los clústeres de Amazon DocumentDB deben tener habilitada la protección contra eliminaciones

[ECR.4] Los repositorios ECR públicos deben estar etiquetados

[FSx.1] FSx para sistemas de ZFS archivos abiertos, debe configurarse para copiar etiquetas a copias de seguridad y volúmenes

[GlobalAccelerator.1] Los aceleradores de Global Accelerator deben estar etiquetados

[IAM.26] TLS Los certificados SSL caducados o gestionados IAM deben eliminarse

[Inspector.3] Debe estar activado el escaneo de código Lambda de Amazon Inspector

[RDS.35] Los clústeres de RDS bases de datos deben tener habilitada la actualización automática de las versiones secundarias

[Route53.1] Los controles de estado de Route 53 deben estar etiquetados

[Route53.2] Las zonas alojadas públicamente de Route 53 deberían registrar las consultas DNS

[S3.24] Los puntos de acceso multirregionales de S3 deben tener habilitada la configuración de bloqueo de acceso público

[WAF.1] AWS WAF El ACL registro web global clásico debe estar habilitado

[WAF.6] AWS WAF Las reglas globales clásicas deben tener al menos una condición

[WAF7.] AWS WAF Los grupos de reglas globales clásicos deben tener al menos una regla

[WAF.8] AWS WAF La web global clásica ACLs debe tener al menos una regla o grupo de reglas

[WorkSpaces.1] los volúmenes de WorkSpaces usuarios deben cifrarse en reposo

[WorkSpaces.2] los volúmenes WorkSpaces raíz deben cifrarse en reposo

[CloudFront.1] CloudFront las distribuciones deben tener configurado un objeto raíz predeterminado

[CloudFront.3] CloudFront las distribuciones deberían requerir el cifrado en tránsito

[CloudFront.4] CloudFront las distribuciones deben tener configurada la conmutación por error de Origin

[CloudFront.5] CloudFront las distribuciones deberían tener el registro activado

[CloudFront.6] CloudFront las distribuciones deberían estar habilitadas WAF

[CloudFront.7] CloudFront las distribuciones deben usar certificados/personalizados SSL TLS

[CloudFront.8] CloudFront las distribuciones deberían usarse SNI para atender las solicitudes HTTPS

[CloudFront.9] CloudFront las distribuciones deberían cifrar el tráfico hacia orígenes personalizados

[CloudFront.10] CloudFront las distribuciones no deberían usar SSL protocolos obsoletos entre las ubicaciones de los bordes y los orígenes personalizados

[CloudFront.12] CloudFront las distribuciones no deben apuntar a orígenes S3 inexistentes

[CloudFront.13] CloudFront las distribuciones deben usar el control de acceso al origen

[CloudFront.14] CloudFront las distribuciones deben estar etiquetadas

[ECR.4] Los repositorios ECR públicos deben estar etiquetados

[IAM.26] TLS Los certificados SSL caducados o gestionados IAM deben eliminarse

[Route53.1] Los controles de estado de Route 53 deben estar etiquetados

[Route53.2] Las zonas alojadas públicamente de Route 53 deberían registrar las consultas DNS

[WAF.1] AWS WAF El ACL registro web global clásico debe estar habilitado

[WAF.6] AWS WAF Las reglas globales clásicas deben tener al menos una condición

[WAF7.] AWS WAF Los grupos de reglas globales clásicos deben tener al menos una regla

[WAF.8] AWS WAF La web global clásica ACLs debe tener al menos una regla o grupo de reglas

[AppSync.2] AWS AppSync debe tener habilitado el registro a nivel de campo

[AppSync.5] AWS AppSync GraphQL no APIs debe autenticarse con claves API

[CloudFront.1] CloudFront las distribuciones deben tener configurado un objeto raíz predeterminado

[CloudFront.3] CloudFront las distribuciones deberían requerir el cifrado en tránsito

[CloudFront.4] CloudFront las distribuciones deben tener configurada la conmutación por error de Origin

[CloudFront.5] CloudFront las distribuciones deberían tener el registro activado

[CloudFront.6] CloudFront las distribuciones deberían estar habilitadas WAF

[CloudFront.7] CloudFront las distribuciones deben usar certificados/personalizados SSL TLS

[CloudFront.8] CloudFront las distribuciones deberían usarse SNI para atender las solicitudes HTTPS

[CloudFront.9] CloudFront las distribuciones deberían cifrar el tráfico hacia orígenes personalizados

[CloudFront.10] CloudFront las distribuciones no deberían usar SSL protocolos obsoletos entre las ubicaciones de los bordes y los orígenes personalizados

[CloudFront.12] CloudFront las distribuciones no deben apuntar a orígenes S3 inexistentes

[CloudFront.13] CloudFront las distribuciones deben usar el control de acceso al origen

[CloudFront.14] CloudFront las distribuciones deben estar etiquetadas

[CodeArtifact.1] CodeArtifact Los repositorios deben estar etiquetados

[CodeBuild.1] CodeBuild El repositorio fuente de Bitbucket no URLs debe contener credenciales confidenciales

[DMS.1] Las instancias de replicación de Database Migration Service no deben ser públicas

[DMS.10] DMS Los puntos finales de las bases de datos de Neptune deben tener habilitada la autorización IAM

[DocumentDB.1] Los clústeres de Amazon DocumentDB deben cifrarse en reposo

[DocumentDb.2] Los clústeres de Amazon DocumentDB deben tener un período de retención de copias de seguridad adecuado

[DocumentDb.3] Las instantáneas de clústeres manuales de Amazon DocumentDB no deben ser públicas

[DocumentDb.4] Los clústeres de Amazon DocumentDB deben publicar los registros de auditoría en Logs CloudWatch

[DocumentDb.5] Los clústeres de Amazon DocumentDB deben tener habilitada la protección contra eliminaciones

[DynamoDB.3] Los clústeres de DynamoDB Accelerator () deben cifrarse en reposo DAX

[DynamoDB.7] Los clústeres de DynamoDB Accelerator deben cifrarse en tránsito

[EC2.3] EBS Los volúmenes adjuntos de Amazon deben cifrarse en reposo

[EC2.4] EC2 Las instancias detenidas deben eliminarse después de un período de tiempo específico

[EC2.8] EC2 las instancias deben usar la versión 2 del servicio de metadatos de instancias IMDSv2

[EC2.12] Amazon no utilizado EC2 EIPs debería retirarse

[EC2.13] Los grupos de seguridad no deberían permitir la entrada desde el 0.0.0.0/0 o: :/0 al puerto 22

[EC2.14] Los grupos de seguridad no deberían permitir la entrada desde el 0.0.0.0/0 o: :/0 al puerto 3389

[EC2.24] No se deben usar los tipos de instancias EC2 paravirtuales de Amazon

[ECR.4] Los repositorios ECR públicos deben estar etiquetados

[EFS.1] El Elastic File System debe configurarse para cifrar los datos de los archivos en reposo mediante AWS KMS

[EFS.2] EFS Los volúmenes de Amazon deberían estar en los planes de respaldo

[ELB.1] Application Load Balancer debe configurarse para redirigir todas las HTTP solicitudes a HTTPS

[ELB.2] Los balanceadores de carga clásicos con HTTPS listenersSSL/deben usar un certificado proporcionado por AWS Certificate Manager

[ELB.4] Application Load Balancer debe configurarse para eliminar los encabezados http no válidos

[ELB.8] Los balanceadores de carga clásicos con SSL oyentes deben usar una política de seguridad predefinida que tenga una duración sólida AWS Config

[ELB.16] Los balanceadores de carga de aplicaciones deben estar asociados a una web AWS WAF ACL

[EMR.1] Los nodos principales EMR del clúster de Amazon no deben tener direcciones IP públicas

[ES.3] Los dominios de Elasticsearch deben cifrar los datos enviados entre nodos

[EventBridge.4] Los puntos finales EventBridge globales deberían tener habilitada la replicación de eventos

[FSx.1] FSx para sistemas de ZFS archivos abiertos, debe configurarse para copiar etiquetas a copias de seguridad y volúmenes

[GlobalAccelerator.1] Los aceleradores de Global Accelerator deben estar etiquetados

[IAM.18] Asegúrese de que se haya creado una función de soporte para gestionar los incidentes con AWS Support

[IAM.26] TLS Los certificados SSL caducados o gestionados IAM deben eliminarse

[Inspector.3] Debe estar activado el escaneo de código Lambda de Amazon Inspector

[IoT 1] AWS IoT Device Defender los perfiles de seguridad deben estar etiquetados

[IoT 2] AWS IoT Core las acciones de mitigación deben estar etiquetadas

[IoT 3] AWS IoT Core las dimensiones deben estar etiquetadas

[IoT. 4] AWS IoT Core los autorizadores deben estar etiquetados

[IoT 5] AWS IoT Core los alias de los roles deben estar etiquetados

[IoT 6] AWS IoT Core las políticas deben estar etiquetadas

[MSK.3] Los conectores MSK Connect deben estar cifrados en tránsito

Los OpenSearch dominios [Opensearch.1] deben tener activado el cifrado en reposo

Los OpenSearch dominios [Opensearch.2] no deben ser de acceso público

Los OpenSearch dominios [Opensearch.3] deben cifrar los datos enviados entre nodos

El registro de errores de OpenSearch dominio [Opensearch.4] en CloudWatch Logs debe estar activado

Los OpenSearch dominios [Opensearch.5] deben tener habilitado el registro de auditoría

Los OpenSearch dominios [Opensearch.6] deben tener al menos tres nodos de datos

Los OpenSearch dominios [Opensearch.7] deben tener habilitado un control de acceso detallado

[Opensearch.8] Las conexiones a los dominios deben cifrarse OpenSearch según la política de seguridad más reciente TLS

[RDS.1] La RDS instantánea debe ser privada

[RDS.9] Las RDS instancias de base de datos deben publicar los registros en Logs CloudWatch

La IAM autenticación [RDS.10] debe configurarse para las instancias RDS

[RDS.14] Los clústeres de Amazon Aurora deben tener habilitada la función de retroceso

[RDS.31] Los grupos de seguridad RDS de bases de datos deben etiquetarse

Los clústeres de Amazon Redshift [Redshift.3] deben tener habilitadas las instantáneas automáticas

[Route53.1] Los controles de estado de Route 53 deben estar etiquetados

[Route53.2] Las zonas alojadas públicamente de Route 53 deberían registrar las consultas DNS

[S3.24] Los puntos de acceso multirregionales de S3 deben tener habilitada la configuración de bloqueo de acceso público

[SageMaker.1] Las instancias de Amazon SageMaker Notebook no deberían tener acceso directo a Internet

[SSM.2] EC2 Las instancias de Amazon gestionadas por Systems Manager deben tener un estado de conformidad con el parche COMPLIANT tras la instalación de un parche

[SSM.3] EC2 Las instancias de Amazon gestionadas por Systems Manager deben tener un estado de conformidad de asociación de COMPLIANT

[WAF.1] AWS WAF El ACL registro web global clásico debe estar habilitado

[WAF.6] AWS WAF Las reglas globales clásicas deben tener al menos una condición

[WAF7.] AWS WAF Los grupos de reglas globales clásicos deben tener al menos una regla

[WAF.8] AWS WAF La web global clásica ACLs debe tener al menos una regla o grupo de reglas

[WAF.11] AWS WAF el ACL registro web debe estar habilitado

[CloudFront.1] CloudFront las distribuciones deben tener configurado un objeto raíz predeterminado

[CloudFront.3] CloudFront las distribuciones deberían requerir el cifrado en tránsito

[CloudFront.4] CloudFront las distribuciones deben tener configurada la conmutación por error de Origin

[CloudFront.5] CloudFront las distribuciones deberían tener el registro activado

[CloudFront.6] CloudFront las distribuciones deberían estar habilitadas WAF

[CloudFront.7] CloudFront las distribuciones deben usar certificados/personalizados SSL TLS

[CloudFront.8] CloudFront las distribuciones deberían usarse SNI para atender las solicitudes HTTPS

[CloudFront.9] CloudFront las distribuciones deberían cifrar el tráfico hacia orígenes personalizados

[CloudFront.10] CloudFront las distribuciones no deberían usar SSL protocolos obsoletos entre las ubicaciones de los bordes y los orígenes personalizados

[CloudFront.12] CloudFront las distribuciones no deben apuntar a orígenes S3 inexistentes

[CloudFront.13] CloudFront las distribuciones deben usar el control de acceso al origen

[CloudFront.14] CloudFront las distribuciones deben estar etiquetadas

[CodeArtifact.1] CodeArtifact Los repositorios deben estar etiquetados

[DocumentDB.1] Los clústeres de Amazon DocumentDB deben cifrarse en reposo

[DocumentDb.2] Los clústeres de Amazon DocumentDB deben tener un período de retención de copias de seguridad adecuado

[DocumentDb.3] Las instantáneas de clústeres manuales de Amazon DocumentDB no deben ser públicas

[DocumentDb.4] Los clústeres de Amazon DocumentDB deben publicar los registros de auditoría en Logs CloudWatch

[DocumentDb.5] Los clústeres de Amazon DocumentDB deben tener habilitada la protección contra eliminaciones

[DynamoDB.3] Los clústeres de DynamoDB Accelerator () deben cifrarse en reposo DAX

[DynamoDB.7] Los clústeres de DynamoDB Accelerator deben cifrarse en tránsito

[EC2.23] Amazon EC2 Transit Gateways no debería aceptar VPC automáticamente las solicitudes de archivos adjuntos

[EC2.24] No se deben usar los tipos de instancias EC2 paravirtuales de Amazon

[ECR.4] Los repositorios ECR públicos deben estar etiquetados

[EventBridge.4] Los puntos finales EventBridge globales deberían tener habilitada la replicación de eventos

[GlobalAccelerator.1] Los aceleradores de Global Accelerator deben estar etiquetados

[IAM.26] TLS Los certificados SSL caducados o gestionados IAM deben eliminarse

[Inspector.3] Debe estar activado el escaneo de código Lambda de Amazon Inspector

[MSK.3] Los conectores MSK Connect deben estar cifrados en tránsito

La IAM autenticación [RDS.10] debe configurarse para las instancias RDS

[RDS.14] Los clústeres de Amazon Aurora deben tener habilitada la función de retroceso

[RDS.31] Los grupos de seguridad RDS de bases de datos deben etiquetarse

[Route53.1] Los controles de estado de Route 53 deben estar etiquetados

[Route53.2] Las zonas alojadas públicamente de Route 53 deberían registrar las consultas DNS

[S3.24] Los puntos de acceso multirregionales de S3 deben tener habilitada la configuración de bloqueo de acceso público

[SES.1] las listas de SES contactos deben estar etiquetadas

[SES.2] los conjuntos de SES configuración deben estar etiquetados

[WAF.1] AWS WAF El ACL registro web global clásico debe estar habilitado

[WAF.6] AWS WAF Las reglas globales clásicas deben tener al menos una condición

[WAF7.] AWS WAF Los grupos de reglas globales clásicos deben tener al menos una regla

[WAF.8] AWS WAF La web global clásica ACLs debe tener al menos una regla o grupo de reglas

[WorkSpaces.1] los volúmenes de WorkSpaces usuarios deben cifrarse en reposo

[WorkSpaces.2] los volúmenes WorkSpaces raíz deben cifrarse en reposo

[ACM.2] RSA los certificados gestionados por ACM deben utilizar una longitud de clave de al menos 2048 bits

[Cuenta. 2] Cuentas de AWS debe ser parte de un AWS Organizations organización

[APIGateway.3] REST API Las etapas de API Gateway deberían tener AWS X-Ray rastreo activado

[APIGateway.4] La API puerta de enlace debe estar asociada a una web WAF ACL

[APIGateway.8] Las rutas de API gateway deben especificar un tipo de autorización

[APIGateway.9] El registro de acceso debe configurarse para las etapas de API Gateway V2

[AppSync.2] AWS AppSync debe tener habilitado el registro a nivel de campo

[AppSync.5] AWS AppSync GraphQL no APIs debe autenticarse con claves API

[Athena.4] Los grupos de trabajo de Athena deben tener habilitado el registro

[Copia de seguridad.1] AWS Backup los puntos de recuperación deben estar cifrados en reposo

[Copia de seguridad.2] AWS Backup los puntos de recuperación deben estar etiquetados

[Respaldo. 4] AWS Backup los planes de informes deben estar etiquetados

[CloudFormation.2] las CloudFormation pilas deben estar etiquetadas

[CloudFront.1] CloudFront las distribuciones deben tener configurado un objeto raíz predeterminado

[CloudFront.3] CloudFront las distribuciones deberían requerir el cifrado en tránsito

[CloudFront.4] CloudFront las distribuciones deben tener configurada la conmutación por error de Origin

[CloudFront.5] CloudFront las distribuciones deberían tener el registro activado

[CloudFront.6] CloudFront las distribuciones deberían estar habilitadas WAF

[CloudFront.7] CloudFront las distribuciones deben usar certificados/personalizados SSL TLS

[CloudFront.8] CloudFront las distribuciones deberían usarse SNI para atender las solicitudes HTTPS

[CloudFront.9] CloudFront las distribuciones deberían cifrar el tráfico hacia orígenes personalizados

[CloudFront.10] CloudFront las distribuciones no deberían usar SSL protocolos obsoletos entre las ubicaciones de los bordes y los orígenes personalizados

[CloudFront.12] CloudFront las distribuciones no deben apuntar a orígenes S3 inexistentes

[CloudFront.13] CloudFront las distribuciones deben usar el control de acceso al origen

[CloudFront.14] CloudFront las distribuciones deben estar etiquetadas

[CloudTrail.6] Asegúrese de que el depósito de S3 que se utiliza para almacenar CloudTrail los registros no sea de acceso público

[CloudTrail.7] Asegúrese de que el registro de acceso al bucket de S3 esté habilitado en el CloudTrail bucket de S3

[CodeArtifact.1] CodeArtifact Los repositorios deben estar etiquetados

[CodeBuild.1] CodeBuild El repositorio fuente de Bitbucket no URLs debe contener credenciales confidenciales

[CodeBuild.2] Las variables de entorno CodeBuild del proyecto no deben contener credenciales de texto claro

[CodeBuild.3] Los registros de CodeBuild S3 deben estar cifrados

[CodeBuild.4] los entornos de CodeBuild proyectos deben tener un registro AWS Config Duración

[CodeBuild.7] las exportaciones de grupos de CodeBuild informes deben cifrarse en reposo

[Detective.1] Los gráficos de comportamiento de los detectives deben estar etiquetados

[DMS.1] Las instancias de replicación de Database Migration Service no deben ser públicas

[DMS.2] DMS los certificados deben estar etiquetados

[DMS.3] las suscripciones a DMS eventos deben estar etiquetadas

[DMS.4] las instancias de DMS replicación deben estar etiquetadas

[DMS.5] los grupos de subredes de DMS replicación deben estar etiquetados

[DMS.6] las instancias de DMS replicación deben tener habilitada la actualización automática de las versiones secundarias

[DMS.7] las tareas de DMS replicación de la base de datos de destino deben tener habilitado el registro

[DMS.8] las tareas de DMS replicación de la base de datos de origen deben tener habilitado el registro

[DMS.9] Los DMS puntos finales deben usar SSL

[DMS.10] DMS Los puntos finales de las bases de datos de Neptune deben tener habilitada la autorización IAM

[DMS.11] DMS Los puntos finales de MongoDB deberían tener habilitado un mecanismo de autenticación

[DMS.12] DMS Los puntos finales de Redis OSS deberían estar habilitados TLS

[DocumentDB.1] Los clústeres de Amazon DocumentDB deben cifrarse en reposo

[DocumentDb.2] Los clústeres de Amazon DocumentDB deben tener un período de retención de copias de seguridad adecuado

[DocumentDb.3] Las instantáneas de clústeres manuales de Amazon DocumentDB no deben ser públicas

[DocumentDb.4] Los clústeres de Amazon DocumentDB deben publicar los registros de auditoría en Logs CloudWatch

[DocumentDb.5] Los clústeres de Amazon DocumentDB deben tener habilitada la protección contra eliminaciones

[DynamoDB.3] Los clústeres de DynamoDB Accelerator () deben cifrarse en reposo DAX

[DynamoDB.4] Las tablas de DynamoDB deben estar presentes en un plan de copias de seguridad

[DynamoDB.7] Los clústeres de DynamoDB Accelerator deben cifrarse en tránsito

[EC2.13] Los grupos de seguridad no deberían permitir la entrada desde el 0.0.0.0/0 o: :/0 al puerto 22

[EC2.14] Los grupos de seguridad no deberían permitir la entrada desde el 0.0.0.0/0 o: :/0 al puerto 3389

[EC2.18] Los grupos de seguridad solo deberían permitir el tráfico entrante sin restricciones en los puertos autorizados

[EC2.22] Los grupos de EC2 seguridad de Amazon no utilizados deberían eliminarse

[EC2.23] Amazon EC2 Transit Gateways no debería aceptar VPC automáticamente las solicitudes de archivos adjuntos

[EC2.24] No se deben usar los tipos de instancias EC2 paravirtuales de Amazon

[EC2.25] Las plantillas de EC2 lanzamiento de Amazon no deben asignar interfaces públicas IPs a las de red

[EC2.28] EBS los volúmenes deben estar cubiertos por un plan de respaldo

[EC2.34] Las tablas de rutas de las pasarelas de EC2 tránsito deben estar etiquetadas

EC2NATLas pasarelas [EC2.40] deben estar etiquetadas

[EC2.48] Los registros de VPC flujo de Amazon deben estar etiquetados

[EC2.51] Los VPN puntos finales de los EC2 clientes deben tener habilitado el registro de las conexiones de los clientes

[ECR.1] Los repositorios ECR privados deben tener configurado el escaneo de imágenes

[ECR.2] Los repositorios ECR privados deben tener configurada la inmutabilidad de las etiquetas

[ECR.3] ECR Los repositorios deben tener configurada al menos una política de ciclo de vida

[ECR.4] Los repositorios ECR públicos deben estar etiquetados

[ECS.9] las definiciones de ECS tareas deben tener una configuración de registro

[EFS.1] El Elastic File System debe configurarse para cifrar los datos de los archivos en reposo mediante AWS KMS

[EFS.2] EFS Los volúmenes de Amazon deberían estar en los planes de respaldo

[EFS.3] los puntos de EFS acceso deben establecer un directorio raíz

[EFS.4] los puntos de EFS acceso deben imponer la identidad de un usuario

[EKS.2] EKS los clústeres deberían ejecutarse en una versión compatible de Kubernetes

[ELB.5] El registro de aplicaciones y balanceadores de carga clásicos debe estar habilitado

[ELB.13] Los balanceadores de carga de aplicaciones, redes y puertas de enlace deben abarcar varias zonas de disponibilidad

[ELB.14] El Classic Load Balancer debe configurarse con el modo defensivo o de mitigación de desincronización más estricto.

[ElastiCache.1] Los clústeres ElastiCache (RedisOSS) deben tener habilitadas las copias de seguridad automáticas

[ElastiCache.6] Los grupos de replicación ElastiCache (RedisOSS) de versiones anteriores deberían tener Redis activado OSS AUTH

[ElastiCache.7] los ElastiCache clústeres no deben usar el grupo de subredes predeterminado

[ElasticBeanstalk.1] Los entornos de Elastic Beanstalk deberían tener habilitados los informes de estado mejorados

[ElasticBeanstalk.2] Las actualizaciones de la plataforma gestionada de Elastic Beanstalk deben estar habilitadas

[ElasticBeanstalk.3] Elastic Beanstalk debería transmitir los registros a CloudWatch

[EMR.1] Los nodos principales EMR del clúster de Amazon no deben tener direcciones IP públicas

[ES.1] Los dominios de Elasticsearch deben tener habilitado el cifrado en reposo

[ES.2] Los dominios de Elasticsearch no deben ser de acceso público

[ES.3] Los dominios de Elasticsearch deben cifrar los datos enviados entre nodos

[ES.4] Debe estar habilitado el registro de errores de dominio de Elasticsearch en los CloudWatch registros

[EventBridge.3] Los autobuses de eventos EventBridge personalizados deben incluir una política basada en los recursos

[EventBridge.4] Los puntos finales EventBridge globales deberían tener habilitada la replicación de eventos

[FSx.1] FSx para sistemas de ZFS archivos abiertos, debe configurarse para copiar etiquetas a copias de seguridad y volúmenes

[GlobalAccelerator.1] Los aceleradores de Global Accelerator deben estar etiquetados

[Pegamento.1] AWS Glue los trabajos deben estar etiquetados

[GuardDuty.2] GuardDuty los filtros deben estar etiquetados

[GuardDuty.9] La GuardDuty RDS protección debe estar habilitada

[IAM.1] IAM las políticas no deberían permitir todos los privilegios administrativos «*»

[IAM.2] IAM los usuarios no deberían tener IAM políticas adjuntas

[IAM.3] las claves IAM de acceso de los usuarios deben rotarse cada 90 días o menos

[IAM.5] MFA debería estar activado para todos los IAM usuarios que tengan una contraseña de consola

[IAM.8] Se deben eliminar las credenciales IAM de usuario no utilizadas

[IAM.18] Asegúrese de que se haya creado una función de soporte para gestionar los incidentes con AWS Support

[IAM.19] MFA debe estar habilitado para todos los usuarios IAM

[IAM.21] Las políticas gestionadas por el IAM cliente que cree no deberían permitir acciones comodín para los servicios

[IAM.22] Se deben eliminar las credenciales de IAM usuario que no se hayan utilizado durante 45 días

Los IAM roles deben estar IAM etiquetados [.24]

Se debe etiquetar a IAM los usuarios [IAM.25]

[IAM.26] TLS Los certificados SSL caducados o gestionados IAM deben eliminarse

[IAM.27] IAM las identidades no deberían tener la AWSCloudShellFullAccess política adjunta

[Inspector.1] El EC2 escaneo de Amazon Inspector debe estar activado

[Inspector.2] El ECR escaneo de Amazon Inspector debe estar activado

[Inspector.3] Debe estar activado el escaneo de código Lambda de Amazon Inspector

[Inspector.4] El escaneo estándar de Amazon Inspector Lambda debe estar activado

[IoT 1] AWS IoT Device Defender los perfiles de seguridad deben estar etiquetados

[IoT 2] AWS IoT Core las acciones de mitigación deben estar etiquetadas

[IoT 3] AWS IoT Core las dimensiones deben estar etiquetadas

[IoT. 4] AWS IoT Core los autorizadores deben estar etiquetados

[IoT 5] AWS IoT Core los alias de los roles deben estar etiquetados

[IoT 6] AWS IoT Core las políticas deben estar etiquetadas

[Kinesis.1] Las transmisiones de Kinesis deben cifrarse en reposo

[KMS.1] Las políticas gestionadas por el IAM cliente no deberían permitir acciones de descifrado en todas KMS las claves

[KMS.2] IAM los directores no deberían tener políticas integradas que permitan IAM realizar acciones de descifrado en todas las claves KMS

[Lambda.5] Las funciones VPC Lambda deben funcionar en varias zonas de disponibilidad

[Macie.1] Amazon Macie debería estar activado

[Macie.2] La detección automática de datos confidenciales por parte de Macie debería estar habilitada

[MQ.2] Los corredores de ActiveMQ deberían transmitir los registros de auditoría a CloudWatch

[MQ.3] Los corredores de Amazon MQ deberían tener habilitada la actualización automática de las versiones secundarias

[MQ.4] Los corredores de Amazon MQ deberían estar etiquetados

[MQ.5] Los corredores ActiveMQ deben usar el modo de implementación activo/en espera

[MQ.6] Los corredores de RabbitMQ deberían usar el modo de implementación de clústeres

[MSK.1] MSK Los clústeres deben cifrarse en tránsito entre los nodos intermediarios

[MSK.2] MSK los clústeres deben tener configurada una supervisión mejorada

[MSK.3] Los conectores MSK Connect deben estar cifrados en tránsito

[Neptune.1] Los clústeres de bases de datos de Neptune deben cifrarse en reposo

[Neptune.2] Los clústeres de bases de datos de Neptune deberían publicar los registros de auditoría en Logs CloudWatch

[Neptune.3] Las instantáneas del clúster de base de datos de Neptune no deben ser públicas

[Neptune.4] Los clústeres de base de datos de Neptune deben tener habilitada la protección de eliminación

[Neptune.5] Los clústeres de bases de datos de Neptune deberían tener habilitadas las copias de seguridad automáticas

[Neptune.6] Las instantáneas del clúster de base de datos de Neptune deben cifrarse en reposo

[Neptune.7] Los clústeres de bases de datos de Neptune deben tener habilitada la autenticación de bases de datos IAM

[Neptune.8] Los clústeres de base de datos de Neptune deben configurarse para copiar etiquetas a las instantáneas

[Neptune.9] Los clústeres de base de datos de Neptune se deben implementar en varias zonas de disponibilidad

[NetworkFirewall.1] Los firewalls de Network Firewall deben implementarse en varias zonas de disponibilidad

[NetworkFirewall.2] El registro de Network Firewall debe estar habilitado

[NetworkFirewall.3] Las políticas de Network Firewall deben tener asociado al menos un grupo de reglas

[NetworkFirewall.4] La acción sin estado predeterminada para las políticas de Network Firewall debe ser eliminar o reenviar paquetes completos

[NetworkFirewall.5] La acción sin estado predeterminada para las políticas de Network Firewall debe ser eliminar o reenviar paquetes fragmentados

[NetworkFirewall.6] El grupo de reglas de Stateless Network Firewall no debe estar vacío

[NetworkFirewall.9] Los firewalls de Network Firewall deben tener habilitada la protección contra eliminaciones

Los OpenSearch dominios [Opensearch.1] deben tener activado el cifrado en reposo

Los OpenSearch dominios [Opensearch.2] no deben ser de acceso público

Los OpenSearch dominios [Opensearch.3] deben cifrar los datos enviados entre nodos

El registro de errores de OpenSearch dominio [Opensearch.4] en CloudWatch Logs debe estar activado

Los OpenSearch dominios [Opensearch.5] deben tener habilitado el registro de auditoría

Los OpenSearch dominios [Opensearch.6] deben tener al menos tres nodos de datos

Los OpenSearch dominios [Opensearch.7] deben tener habilitado un control de acceso detallado

[Opensearch.8] Las conexiones a los dominios deben cifrarse OpenSearch según la política de seguridad más reciente TLS

Los OpenSearch dominios [Opensearch.9] deben estar etiquetados

Los OpenSearch dominios [Opensearch.10] deben tener instalada la última actualización de software

Los OpenSearch dominios [Opensearch.11] deben tener al menos tres nodos principales dedicados

[RDS.2] Las RDS instancias de base de datos deben prohibir el acceso público, según lo determine la configuración PubliclyAccessible

[RDS.7] RDS los clústeres deben tener habilitada la protección contra la eliminación

[RDS.9] Las RDS instancias de base de datos deben publicar los registros en Logs CloudWatch

La IAM autenticación [RDS.12] debe configurarse para RDS los clústeres

[RDS.14] Los clústeres de Amazon Aurora deben tener habilitada la función de retroceso

[RDS.15] Los clústeres de RDS bases de datos deben configurarse para varias zonas de disponibilidad

[RDS.24] Los clústeres RDS de bases de datos deben usar un nombre de usuario de administrador personalizado

[RDS.26] Las RDS instancias de base de datos deben protegerse mediante un plan de respaldo

[RDS.27] Los clústeres de RDS bases de datos deben cifrarse cuando están inactivos

[RDS.31] Los grupos de seguridad RDS de bases de datos deben etiquetarse

[RDS.34] Los clústeres de Aurora My SQL DB deberían publicar los registros de auditoría en Logs CloudWatch

[RDS.35] Los clústeres de RDS bases de datos deben tener habilitada la actualización automática de las versiones secundarias

[RDS.37] Los clústeres de SQL bases de datos Aurora Postgre deberían publicar registros en Logs CloudWatch

[Redshift.1] Los clústeres de Amazon Redshift deberían prohibir el acceso público

Las conexiones a los clústeres de Amazon Redshift [Redshift.2] deben cifrarse en tránsito

Los clústeres de Amazon Redshift [Redshift.3] deben tener habilitadas las instantáneas automáticas

Amazon Redshift [Redshift.6] debería tener habilitadas las actualizaciones automáticas a las versiones principales

[Redshift.7] Los clústeres de Redshift deberían utilizar un enrutamiento mejorado VPC

Los clústeres de Redshift [Redshift.10] deben cifrarse en reposo

[Redshift.12] Las suscripciones a notificaciones de eventos de Redshift deben estar etiquetadas

[Route53.1] Los controles de estado de Route 53 deben estar etiquetados

[Route53.2] Las zonas alojadas públicamente de Route 53 deberían registrar las consultas DNS

[S3.6] Las políticas de compartimentos de uso general de S3 deberían restringir el acceso a otros Cuentas de AWS

[S3.17] Los depósitos de uso general de S3 deben cifrarse en reposo con AWS KMS keys

[S3.24] Los puntos de acceso multirregionales de S3 deben tener habilitada la configuración de bloqueo de acceso público

[SageMaker.1] Las instancias de Amazon SageMaker Notebook no deberían tener acceso directo a Internet

[SageMaker.2] las instancias de SageMaker notebook deberían lanzarse de forma personalizada VPC

[SageMaker.3] Los usuarios no deberían tener acceso root a las instancias de SageMaker notebook

[SES.1] las listas de SES contactos deben estar etiquetadas

[SES.2] los conjuntos de SES configuración deben estar etiquetados

[SQS.1] SQS Las colas de Amazon deberían estar cifradas en reposo

[SQS.2] las colas deben estar etiquetadas SQS

[SSM.1] EC2 Las instancias de Amazon deben gestionarse mediante AWS Systems Manager

[SSM.2] EC2 Las instancias de Amazon gestionadas por Systems Manager deben tener un estado de conformidad con el parche COMPLIANT tras la instalación de un parche

[SSM.3] EC2 Las instancias de Amazon gestionadas por Systems Manager deben tener un estado de conformidad de asociación de COMPLIANT

[StepFunctions.1] Las máquinas de estado de Step Functions deberían tener el registro activado

[WAF.1] AWS WAF El ACL registro web global clásico debe estar habilitado

[WAF.2] AWS WAF Las normas regionales clásicas deben tener al menos una condición

[WAF.3] AWS WAF Los grupos de reglas regionales clásicos deben tener al menos una regla

[WAF.4] AWS WAF La web regional clásica ACLs debe tener al menos una regla o grupo de reglas

[WAF.6] AWS WAF Las reglas globales clásicas deben tener al menos una condición

[WAF7.] AWS WAF Los grupos de reglas globales clásicos deben tener al menos una regla

[WAF.8] AWS WAF La web global clásica ACLs debe tener al menos una regla o grupo de reglas

[WAF.10] AWS WAF la web ACLs debe tener al menos una regla o grupo de reglas

[WAF.11] AWS WAF el ACL registro web debe estar habilitado

[WorkSpaces.1] los volúmenes de WorkSpaces usuarios deben cifrarse en reposo

[WorkSpaces.2] los volúmenes WorkSpaces raíz deben cifrarse en reposo

[Cuenta. 2] Cuentas de AWS debe ser parte de un AWS Organizations organización

[APIGateway.1] La API puerta de enlace REST y el registro de WebSocket API ejecuciones deben estar habilitados

[APIGateway.2] REST API Las etapas de la API puerta de enlace deben configurarse para usar SSL certificados para la autenticación de fondo

[APIGateway.3] REST API Las etapas de API Gateway deberían tener AWS X-Ray rastreo activado

[APIGateway.4] La API puerta de enlace debe estar asociada a una web WAF ACL

[APIGateway.8] Las rutas de API gateway deben especificar un tipo de autorización

[APIGateway.9] El registro de acceso debe configurarse para las etapas de API Gateway V2

[AppSync.2] AWS AppSync debe tener habilitado el registro a nivel de campo

[AppSync.5] AWS AppSync GraphQL no APIs debe autenticarse con claves API

[AutoScaling.3] Las configuraciones de lanzamiento grupal de Auto Scaling deberían configurar las EC2 instancias para que requieran la versión 2 del Servicio de Metadatos de Instancia (IMDSv2)

[AutoScaling.6] Los grupos de Auto Scaling deben usar varios tipos de instancias en múltiples zonas de disponibilidad

[AutoScaling.9] Los grupos de Amazon EC2 Auto Scaling deberían usar las plantillas de EC2 lanzamiento de Amazon

[AutoScaling.5] EC2 Las instancias de Amazon lanzadas mediante configuraciones de lanzamiento grupal de Auto Scaling no deben tener direcciones IP públicas

[Copia de seguridad.1] AWS Backup los puntos de recuperación deben estar cifrados en reposo

[Copia de seguridad.2] AWS Backup los puntos de recuperación deben estar etiquetados

[Respaldo. 4] AWS Backup los planes de informes deben estar etiquetados

[CloudFormation.2] las CloudFormation pilas deben estar etiquetadas

[CloudFront.1] CloudFront las distribuciones deben tener configurado un objeto raíz predeterminado

[CloudFront.3] CloudFront las distribuciones deberían requerir el cifrado en tránsito

[CloudFront.4] CloudFront las distribuciones deben tener configurada la conmutación por error de Origin

[CloudFront.5] CloudFront las distribuciones deberían tener el registro activado

[CloudFront.6] CloudFront las distribuciones deberían estar habilitadas WAF

[CloudFront.7] CloudFront las distribuciones deben usar certificados/personalizados SSL TLS

[CloudFront.8] CloudFront las distribuciones deberían usarse SNI para atender las solicitudes HTTPS

[CloudFront.9] CloudFront las distribuciones deberían cifrar el tráfico hacia orígenes personalizados

[CloudFront.10] CloudFront las distribuciones no deberían usar SSL protocolos obsoletos entre las ubicaciones de los bordes y los orígenes personalizados

[CloudFront.12] CloudFront las distribuciones no deben apuntar a orígenes S3 inexistentes

[CloudFront.13] CloudFront las distribuciones deben usar el control de acceso al origen

[CloudFront.14] CloudFront las distribuciones deben estar etiquetadas

[CloudWatch.17] Las acciones CloudWatch de alarma deben estar activadas

[CodeArtifact.1] CodeArtifact Los repositorios deben estar etiquetados

[CodeBuild.1] CodeBuild El repositorio fuente de Bitbucket no URLs debe contener credenciales confidenciales

[CodeBuild.2] Las variables de entorno CodeBuild del proyecto no deben contener credenciales de texto claro

[CodeBuild.3] Los registros de CodeBuild S3 deben estar cifrados

[CodeBuild.4] los entornos de CodeBuild proyectos deben tener un registro AWS Config Duración

[CodeBuild.7] las exportaciones de grupos de CodeBuild informes deben cifrarse en reposo

[Detective.1] Los gráficos de comportamiento de los detectives deben estar etiquetados

[DMS.1] Las instancias de replicación de Database Migration Service no deben ser públicas

[DMS.2] DMS los certificados deben estar etiquetados

[DMS.3] las suscripciones a DMS eventos deben estar etiquetadas

[DMS.4] las instancias de DMS replicación deben estar etiquetadas

[DMS.5] los grupos de subredes de DMS replicación deben estar etiquetados

[DMS.6] las instancias de DMS replicación deben tener habilitada la actualización automática de las versiones secundarias

[DMS.7] las tareas de DMS replicación de la base de datos de destino deben tener habilitado el registro

[DMS.8] las tareas de DMS replicación de la base de datos de origen deben tener habilitado el registro

[DMS.9] Los DMS puntos finales deben usar SSL

[DMS.10] DMS Los puntos finales de las bases de datos de Neptune deben tener habilitada la autorización IAM

[DMS.11] DMS Los puntos finales de MongoDB deberían tener habilitado un mecanismo de autenticación

[DMS.12] DMS Los puntos finales de Redis OSS deberían estar habilitados TLS

[DocumentDB.1] Los clústeres de Amazon DocumentDB deben cifrarse en reposo

[DocumentDb.2] Los clústeres de Amazon DocumentDB deben tener un período de retención de copias de seguridad adecuado

[DocumentDb.3] Las instantáneas de clústeres manuales de Amazon DocumentDB no deben ser públicas

[DocumentDb.4] Los clústeres de Amazon DocumentDB deben publicar los registros de auditoría en Logs CloudWatch

[DocumentDb.5] Los clústeres de Amazon DocumentDB deben tener habilitada la protección contra eliminaciones

[DynamoDB.3] Los clústeres de DynamoDB Accelerator () deben cifrarse en reposo DAX

[DynamoDB.4] Las tablas de DynamoDB deben estar presentes en un plan de copias de seguridad

[DynamoDB.7] Los clústeres de DynamoDB Accelerator deben cifrarse en tránsito

[EC2.13] Los grupos de seguridad no deberían permitir la entrada desde el 0.0.0.0/0 o: :/0 al puerto 22

[EC2.14] Los grupos de seguridad no deberían permitir la entrada desde el 0.0.0.0/0 o: :/0 al puerto 3389

[EC2.18] Los grupos de seguridad solo deberían permitir el tráfico entrante sin restricciones en los puertos autorizados

[EC2.22] Los grupos de EC2 seguridad de Amazon no utilizados deberían eliminarse

[EC2.23] Amazon EC2 Transit Gateways no debería aceptar VPC automáticamente las solicitudes de archivos adjuntos

[EC2.24] No se deben usar los tipos de instancias EC2 paravirtuales de Amazon

[EC2.28] EBS los volúmenes deben estar cubiertos por un plan de respaldo

[EC2.51] Los VPN puntos finales de los EC2 clientes deben tener habilitado el registro de las conexiones de los clientes

[ECR.1] Los repositorios ECR privados deben tener configurado el escaneo de imágenes

[ECR.2] Los repositorios ECR privados deben tener configurada la inmutabilidad de las etiquetas

[ECR.3] ECR Los repositorios deben tener configurada al menos una política de ciclo de vida

[ECR.4] Los repositorios ECR públicos deben estar etiquetados

[ECS.3] las definiciones de ECS tareas no deben compartir el espacio de nombres de procesos del host

[ECS.4] los ECS contenedores deberían ejecutarse sin privilegios

[ECS.5] ECS Los contenedores deben limitarse al acceso de solo lectura a los sistemas de archivos raíz

[ECS.8] Los secretos no deben pasarse como variables de entorno del contenedor

[ECS.9] las definiciones de ECS tareas deben tener una configuración de registro

[ECS.10] Los servicios de ECS Fargate deberían ejecutarse en la última versión de la plataforma Fargate

[ECS.12] ECS los clústeres deben usar Container Insights

[EFS.1] El Elastic File System debe configurarse para cifrar los datos de los archivos en reposo mediante AWS KMS

[EFS.2] EFS Los volúmenes de Amazon deberían estar en los planes de respaldo

[EFS.3] los puntos de EFS acceso deben establecer un directorio raíz

[EFS.4] los puntos de EFS acceso deben imponer la identidad de un usuario

[EKS.2] EKS los clústeres deberían ejecutarse en una versión compatible de Kubernetes

[ELB.12] Application Load Balancer debe configurarse con el modo defensivo o de mitigación de desincronización más estricto.

[ELB.13] Los balanceadores de carga de aplicaciones, redes y puertas de enlace deben abarcar varias zonas de disponibilidad

[ELB.14] El Classic Load Balancer debe configurarse con el modo defensivo o de mitigación de desincronización más estricto.

[ElastiCache.1] Los clústeres ElastiCache (RedisOSS) deben tener habilitadas las copias de seguridad automáticas

[ElastiCache.6] Los grupos de replicación ElastiCache (RedisOSS) de versiones anteriores deberían tener Redis activado OSS AUTH

[ElastiCache.7] los ElastiCache clústeres no deben usar el grupo de subredes predeterminado

[ElasticBeanstalk.1] Los entornos de Elastic Beanstalk deberían tener habilitados los informes de estado mejorados

[ElasticBeanstalk.2] Las actualizaciones de la plataforma gestionada de Elastic Beanstalk deben estar habilitadas

[EMR.1] Los nodos principales EMR del clúster de Amazon no deben tener direcciones IP públicas

[ES.1] Los dominios de Elasticsearch deben tener habilitado el cifrado en reposo

[ES.2] Los dominios de Elasticsearch no deben ser de acceso público

[ES.3] Los dominios de Elasticsearch deben cifrar los datos enviados entre nodos

[EventBridge.4] Los puntos finales EventBridge globales deberían tener habilitada la replicación de eventos

[FSx.1] FSx para sistemas de ZFS archivos abiertos, debe configurarse para copiar etiquetas a copias de seguridad y volúmenes

[GlobalAccelerator.1] Los aceleradores de Global Accelerator deben estar etiquetados

[Pegamento.1] AWS Glue los trabajos deben estar etiquetados

[Pegamento.2] AWS Glue los trabajos deberían tener habilitado el registro

[Pegamento.3] AWS Glue Las transformaciones de aprendizaje automático deben cifrarse en reposo

[GuardDuty.2] GuardDuty los filtros deben estar etiquetados

[IAM.18] Asegúrese de que se haya creado una función de soporte para gestionar los incidentes con AWS Support

[IAM.26] TLS Los certificados SSL caducados o gestionados IAM deben eliminarse

[Inspector.3] Debe estar activado el escaneo de código Lambda de Amazon Inspector

[IoT 1] AWS IoT Device Defender los perfiles de seguridad deben estar etiquetados

[IoT 2] AWS IoT Core las acciones de mitigación deben estar etiquetadas

[IoT 3] AWS IoT Core las dimensiones deben estar etiquetadas

[IoT. 4] AWS IoT Core los autorizadores deben estar etiquetados

[IoT 5] AWS IoT Core los alias de los roles deben estar etiquetados

[IoT 6] AWS IoT Core las políticas deben estar etiquetadas

[Kinesis.1] Las transmisiones de Kinesis deben cifrarse en reposo

[Lambda.5] Las funciones VPC Lambda deben funcionar en varias zonas de disponibilidad

[Macie.1] Amazon Macie debería estar activado

[Macie.2] La detección automática de datos confidenciales por parte de Macie debería estar habilitada

[MSK.1] MSK Los clústeres deben cifrarse en tránsito entre los nodos intermediarios

[MSK.2] MSK los clústeres deben tener configurada una supervisión mejorada

[MSK.3] Los conectores MSK Connect deben estar cifrados en tránsito

[Neptune.1] Los clústeres de bases de datos de Neptune deben cifrarse en reposo

[Neptune.2] Los clústeres de bases de datos de Neptune deberían publicar los registros de auditoría en Logs CloudWatch

[Neptune.3] Las instantáneas del clúster de base de datos de Neptune no deben ser públicas

[Neptune.4] Los clústeres de base de datos de Neptune deben tener habilitada la protección de eliminación

[Neptune.5] Los clústeres de bases de datos de Neptune deberían tener habilitadas las copias de seguridad automáticas

[Neptune.6] Las instantáneas del clúster de base de datos de Neptune deben cifrarse en reposo

[Neptune.7] Los clústeres de bases de datos de Neptune deben tener habilitada la autenticación de bases de datos IAM

[Neptune.8] Los clústeres de base de datos de Neptune deben configurarse para copiar etiquetas a las instantáneas

[Neptune.9] Los clústeres de base de datos de Neptune se deben implementar en varias zonas de disponibilidad

[NetworkFirewall.1] Los firewalls de Network Firewall deben implementarse en varias zonas de disponibilidad

[NetworkFirewall.3] Las políticas de Network Firewall deben tener asociado al menos un grupo de reglas

[NetworkFirewall.4] La acción sin estado predeterminada para las políticas de Network Firewall debe ser eliminar o reenviar paquetes completos

[NetworkFirewall.5] La acción sin estado predeterminada para las políticas de Network Firewall debe ser eliminar o reenviar paquetes fragmentados

[NetworkFirewall.6] El grupo de reglas de Stateless Network Firewall no debe estar vacío

Los OpenSearch dominios [Opensearch.1] deben tener activado el cifrado en reposo

Los OpenSearch dominios [Opensearch.2] no deben ser de acceso público

Los OpenSearch dominios [Opensearch.3] deben cifrar los datos enviados entre nodos

El registro de errores de OpenSearch dominio [Opensearch.4] en CloudWatch Logs debe estar activado

Los OpenSearch dominios [Opensearch.5] deben tener habilitado el registro de auditoría

Los OpenSearch dominios [Opensearch.6] deben tener al menos tres nodos de datos

Los OpenSearch dominios [Opensearch.7] deben tener habilitado un control de acceso detallado

[Opensearch.8] Las conexiones a los dominios deben cifrarse OpenSearch según la política de seguridad más reciente TLS

[RDS.9] Las RDS instancias de base de datos deben publicar los registros en Logs CloudWatch

[RDS.14] Los clústeres de Amazon Aurora deben tener habilitada la función de retroceso

[RDS.24] Los clústeres RDS de bases de datos deben usar un nombre de usuario de administrador personalizado

[RDS.26] Las RDS instancias de base de datos deben protegerse mediante un plan de respaldo

[RDS.31] Los grupos de seguridad RDS de bases de datos deben etiquetarse

[Redshift.1] Los clústeres de Amazon Redshift deberían prohibir el acceso público

Las conexiones a los clústeres de Amazon Redshift [Redshift.2] deben cifrarse en tránsito

Los clústeres de Amazon Redshift [Redshift.3] deben tener habilitadas las instantáneas automáticas

[Redshift.7] Los clústeres de Redshift deberían utilizar un enrutamiento mejorado VPC

Los clústeres de Redshift [Redshift.9] no deben usar el nombre de base de datos predeterminado

Los clústeres de Redshift [Redshift.10] deben cifrarse en reposo

[Redshift.12] Las suscripciones a notificaciones de eventos de Redshift deben estar etiquetadas

[Route53.1] Los controles de estado de Route 53 deben estar etiquetados

[Route53.2] Las zonas alojadas públicamente de Route 53 deberían registrar las consultas DNS

[S3.11] Los buckets de uso general de S3 deberían tener habilitadas las notificaciones de eventos

[S3.13] Los depósitos de uso general de S3 deben tener configuraciones de ciclo de vida

[S3.24] Los puntos de acceso multirregionales de S3 deben tener habilitada la configuración de bloqueo de acceso público

[SageMaker.1] Las instancias de Amazon SageMaker Notebook no deberían tener acceso directo a Internet

[SageMaker.2] las instancias de SageMaker notebook deberían lanzarse de forma personalizada VPC

[SageMaker.3] Los usuarios no deberían tener acceso root a las instancias de SageMaker notebook

[ServiceCatalog.1] Las carteras de Service Catalog deben compartirse dentro de un AWS solo una organización

[SQS.1] SQS Las colas de Amazon deberían estar cifradas en reposo

[SQS.2] las colas deben estar etiquetadas SQS

[SSM.1] EC2 Las instancias de Amazon deben gestionarse mediante AWS Systems Manager

[SSM.2] EC2 Las instancias de Amazon gestionadas por Systems Manager deben tener un estado de conformidad con el parche COMPLIANT tras la instalación de un parche

[SSM.3] EC2 Las instancias de Amazon gestionadas por Systems Manager deben tener un estado de conformidad de asociación de COMPLIANT

[WAF.1] AWS WAF El ACL registro web global clásico debe estar habilitado

[WAF.2] AWS WAF Las normas regionales clásicas deben tener al menos una condición

[WAF.3] AWS WAF Los grupos de reglas regionales clásicos deben tener al menos una regla

[WAF.4] AWS WAF La web regional clásica ACLs debe tener al menos una regla o grupo de reglas

[WAF.6] AWS WAF Las reglas globales clásicas deben tener al menos una condición

[WAF7.] AWS WAF Los grupos de reglas globales clásicos deben tener al menos una regla

[WAF.8] AWS WAF La web global clásica ACLs debe tener al menos una regla o grupo de reglas

[WAF.10] AWS WAF la web ACLs debe tener al menos una regla o grupo de reglas

[WorkSpaces.1] los volúmenes de WorkSpaces usuarios deben cifrarse en reposo

[WorkSpaces.2] los volúmenes WorkSpaces raíz deben cifrarse en reposo

[CloudFront.1] CloudFront las distribuciones deben tener configurado un objeto raíz predeterminado

[CloudFront.3] CloudFront las distribuciones deberían requerir el cifrado en tránsito

[CloudFront.4] CloudFront las distribuciones deben tener configurada la conmutación por error de Origin

[CloudFront.5] CloudFront las distribuciones deberían tener el registro activado

[CloudFront.6] CloudFront las distribuciones deberían estar habilitadas WAF

[CloudFront.7] CloudFront las distribuciones deben usar certificados/personalizados SSL TLS

[CloudFront.8] CloudFront las distribuciones deberían usarse SNI para atender las solicitudes HTTPS

[CloudFront.9] CloudFront las distribuciones deberían cifrar el tráfico hacia orígenes personalizados

[CloudFront.10] CloudFront las distribuciones no deberían usar SSL protocolos obsoletos entre las ubicaciones de los bordes y los orígenes personalizados

[CloudFront.12] CloudFront las distribuciones no deben apuntar a orígenes S3 inexistentes

[CloudFront.13] CloudFront las distribuciones deben usar el control de acceso al origen

[CloudFront.14] CloudFront las distribuciones deben estar etiquetadas

[EC2.23] Amazon EC2 Transit Gateways no debería aceptar VPC automáticamente las solicitudes de archivos adjuntos

[EC2.24] No se deben usar los tipos de instancias EC2 paravirtuales de Amazon

[ECR.4] Los repositorios ECR públicos deben estar etiquetados

[GlobalAccelerator.1] Los aceleradores de Global Accelerator deben estar etiquetados

[IAM.26] TLS Los certificados SSL caducados o gestionados IAM deben eliminarse

[Inspector.3] Debe estar activado el escaneo de código Lambda de Amazon Inspector

[RDS.31] Los grupos de seguridad RDS de bases de datos deben etiquetarse

[Route53.1] Los controles de estado de Route 53 deben estar etiquetados

[Route53.2] Las zonas alojadas públicamente de Route 53 deberían registrar las consultas DNS

[S3.24] Los puntos de acceso multirregionales de S3 deben tener habilitada la configuración de bloqueo de acceso público

[WAF.1] AWS WAF El ACL registro web global clásico debe estar habilitado

[WAF.6] AWS WAF Las reglas globales clásicas deben tener al menos una condición

[WAF7.] AWS WAF Los grupos de reglas globales clásicos deben tener al menos una regla

[WAF.8] AWS WAF La web global clásica ACLs debe tener al menos una regla o grupo de reglas

[ACM.1] Los certificados importados y ACM emitidos deben renovarse después de un período de tiempo específico

[ACM.2] RSA los certificados gestionados por ACM deben utilizar una longitud de clave de al menos 2048 bits

[APIGateway.8] Las rutas de API gateway deben especificar un tipo de autorización

[APIGateway.9] El registro de acceso debe configurarse para las etapas de API Gateway V2

[AppSync.2] AWS AppSync debe tener habilitado el registro a nivel de campo

[AppSync.5] AWS AppSync GraphQL no APIs debe autenticarse con claves API

[Athena.4] Los grupos de trabajo de Athena deben tener habilitado el registro

[AutoScaling.1] Los grupos de Auto Scaling asociados a un balanceador de cargas deben usar controles de ELB estado

[AutoScaling.5] EC2 Las instancias de Amazon lanzadas mediante configuraciones de lanzamiento grupal de Auto Scaling no deben tener direcciones IP públicas

[Copia de seguridad.1] AWS Backup los puntos de recuperación deben estar cifrados en reposo

[Copia de seguridad.2] AWS Backup los puntos de recuperación deben estar etiquetados

[Respaldo. 4] AWS Backup los planes de informes deben estar etiquetados

[CloudFormation.2] las CloudFormation pilas deben estar etiquetadas

[CloudFront.1] CloudFront las distribuciones deben tener configurado un objeto raíz predeterminado

[CloudFront.3] CloudFront las distribuciones deberían requerir el cifrado en tránsito

[CloudFront.4] CloudFront las distribuciones deben tener configurada la conmutación por error de Origin

[CloudFront.5] CloudFront las distribuciones deberían tener el registro activado

[CloudFront.6] CloudFront las distribuciones deberían estar habilitadas WAF

[CloudFront.7] CloudFront las distribuciones deben usar certificados/personalizados SSL TLS

[CloudFront.8] CloudFront las distribuciones deberían usarse SNI para atender las solicitudes HTTPS

[CloudFront.9] CloudFront las distribuciones deberían cifrar el tráfico hacia orígenes personalizados

[CloudFront.10] CloudFront las distribuciones no deberían usar SSL protocolos obsoletos entre las ubicaciones de los bordes y los orígenes personalizados

[CloudFront.12] CloudFront las distribuciones no deben apuntar a orígenes S3 inexistentes

[CloudFront.13] CloudFront las distribuciones deben usar el control de acceso al origen

[CloudFront.14] CloudFront las distribuciones deben estar etiquetadas

[CodeArtifact.1] CodeArtifact Los repositorios deben estar etiquetados

[CodeBuild.1] CodeBuild El repositorio fuente de Bitbucket no URLs debe contener credenciales confidenciales

[CodeBuild.3] Los registros de CodeBuild S3 deben estar cifrados

[CodeBuild.4] los entornos de CodeBuild proyectos deben tener un registro AWS Config Duración

[CodeBuild.7] las exportaciones de grupos de CodeBuild informes deben cifrarse en reposo

[Detective.1] Los gráficos de comportamiento de los detectives deben estar etiquetados

[DMS.1] Las instancias de replicación de Database Migration Service no deben ser públicas

[DMS.2] DMS los certificados deben estar etiquetados

[DMS.3] las suscripciones a DMS eventos deben estar etiquetadas

[DMS.4] las instancias de DMS replicación deben estar etiquetadas

[DMS.5] los grupos de subredes de DMS replicación deben estar etiquetados

[DMS.6] las instancias de DMS replicación deben tener habilitada la actualización automática de las versiones secundarias

[DMS.7] las tareas de DMS replicación de la base de datos de destino deben tener habilitado el registro

[DMS.8] las tareas de DMS replicación de la base de datos de origen deben tener habilitado el registro

[DMS.9] Los DMS puntos finales deben usar SSL

[DMS.10] DMS Los puntos finales de las bases de datos de Neptune deben tener habilitada la autorización IAM

[DMS.11] DMS Los puntos finales de MongoDB deberían tener habilitado un mecanismo de autenticación

[DMS.12] DMS Los puntos finales de Redis OSS deberían estar habilitados TLS

[DocumentDB.1] Los clústeres de Amazon DocumentDB deben cifrarse en reposo

[DocumentDb.2] Los clústeres de Amazon DocumentDB deben tener un período de retención de copias de seguridad adecuado

[DocumentDb.3] Las instantáneas de clústeres manuales de Amazon DocumentDB no deben ser públicas

[DocumentDb.4] Los clústeres de Amazon DocumentDB deben publicar los registros de auditoría en Logs CloudWatch

[DocumentDb.5] Los clústeres de Amazon DocumentDB deben tener habilitada la protección contra eliminaciones

[DynamoDB.3] Los clústeres de DynamoDB Accelerator () deben cifrarse en reposo DAX

[DynamoDB.4] Las tablas de DynamoDB deben estar presentes en un plan de copias de seguridad

[DynamoDB.7] Los clústeres de DynamoDB Accelerator deben cifrarse en tránsito

[EC2.1] EBS Las instantáneas de Amazon no deberían poder restaurarse públicamente

[EC2.4] EC2 Las instancias detenidas deben eliminarse después de un período de tiempo específico

[EC2.8] EC2 las instancias deben usar la versión 2 del servicio de metadatos de instancias IMDSv2

[EC2.9] EC2 Las instancias de Amazon no deben tener una dirección pública IPv4

[EC2.13] Los grupos de seguridad no deberían permitir la entrada desde el 0.0.0.0/0 o: :/0 al puerto 22

[EC2.14] Los grupos de seguridad no deberían permitir la entrada desde el 0.0.0.0/0 o: :/0 al puerto 3389

[EC2.18] Los grupos de seguridad solo deberían permitir el tráfico entrante sin restricciones en los puertos autorizados

[EC2.22] Los grupos de EC2 seguridad de Amazon no utilizados deberían eliminarse

[EC2.23] Amazon EC2 Transit Gateways no debería aceptar VPC automáticamente las solicitudes de archivos adjuntos

[EC2.24] No se deben usar los tipos de instancias EC2 paravirtuales de Amazon

[EC2.25] Las plantillas de EC2 lanzamiento de Amazon no deben asignar interfaces públicas IPs a las de red

[EC2.28] EBS los volúmenes deben estar cubiertos por un plan de respaldo

[EC2.34] Las tablas de rutas de las pasarelas de EC2 tránsito deben estar etiquetadas

EC2NATLas pasarelas [EC2.40] deben estar etiquetadas

[EC2.48] Los registros de VPC flujo de Amazon deben estar etiquetados

[EC2.51] Los VPN puntos finales de los EC2 clientes deben tener habilitado el registro de las conexiones de los clientes

[ECR.1] Los repositorios ECR privados deben tener configurado el escaneo de imágenes

[ECR.4] Los repositorios ECR públicos deben estar etiquetados

[ECS.1] Las definiciones de ECS tareas de Amazon deben tener modos de red seguros y definiciones de usuario.

[ECS.9] las definiciones de ECS tareas deben tener una configuración de registro

[EFS.1] El Elastic File System debe configurarse para cifrar los datos de los archivos en reposo mediante AWS KMS

[EFS.2] EFS Los volúmenes de Amazon deberían estar en los planes de respaldo

[EFS.3] los puntos de EFS acceso deben establecer un directorio raíz

[EFS.4] los puntos de EFS acceso deben imponer la identidad de un usuario

[EKS.2] EKS los clústeres deberían ejecutarse en una versión compatible de Kubernetes

[EKS.8] EKS los clústeres deben tener habilitado el registro de auditoría

[ELB.13] Los balanceadores de carga de aplicaciones, redes y puertas de enlace deben abarcar varias zonas de disponibilidad

[ELB.14] El Classic Load Balancer debe configurarse con el modo defensivo o de mitigación de desincronización más estricto.

[ElastiCache.1] Los clústeres ElastiCache (RedisOSS) deben tener habilitadas las copias de seguridad automáticas

[ElastiCache.2] Los clústeres ElastiCache (RedisOSS) deberían tener habilitadas las actualizaciones automáticas de versiones secundarias

[ElastiCache.3] Los grupos de ElastiCache replicación deben tener habilitada la conmutación por error automática

[ElastiCache.4] los grupos de ElastiCache replicación deben estar cifrados en reposo

[ElastiCache.5] los grupos de ElastiCache replicación deben cifrarse en tránsito

[ElastiCache.6] Los grupos de replicación ElastiCache (RedisOSS) de versiones anteriores deberían tener Redis activado OSS AUTH

[ElastiCache.7] los ElastiCache clústeres no deben usar el grupo de subredes predeterminado

[ElasticBeanstalk.1] Los entornos de Elastic Beanstalk deberían tener habilitados los informes de estado mejorados

[ElasticBeanstalk.2] Las actualizaciones de la plataforma gestionada de Elastic Beanstalk deben estar habilitadas

[ElasticBeanstalk.3] Elastic Beanstalk debería transmitir los registros a CloudWatch

[EMR.1] Los nodos principales EMR del clúster de Amazon no deben tener direcciones IP públicas

[ES.1] Los dominios de Elasticsearch deben tener habilitado el cifrado en reposo

[ES.2] Los dominios de Elasticsearch no deben ser de acceso público

[ES.3] Los dominios de Elasticsearch deben cifrar los datos enviados entre nodos

[ES.4] Debe estar habilitado el registro de errores de dominio de Elasticsearch en los CloudWatch registros

[EventBridge.3] Los autobuses de eventos EventBridge personalizados deben incluir una política basada en los recursos

[EventBridge.4] Los puntos finales EventBridge globales deberían tener habilitada la replicación de eventos

[FSx.1] FSx para sistemas de ZFS archivos abiertos, debe configurarse para copiar etiquetas a copias de seguridad y volúmenes

[FSx.2] FSx para Lustre, los sistemas de archivos deben configurarse para copiar etiquetas a las copias de seguridad

[GlobalAccelerator.1] Los aceleradores de Global Accelerator deben estar etiquetados

[Pegamento.1] AWS Glue los trabajos deben estar etiquetados

[GuardDuty.2] GuardDuty los filtros deben estar etiquetados

[GuardDuty.9] La GuardDuty RDS protección debe estar habilitada

[IAM.1] IAM las políticas no deberían permitir todos los privilegios administrativos «*»

[IAM.2] IAM los usuarios no deberían tener IAM políticas adjuntas

[IAM.3] las claves IAM de acceso de los usuarios deben rotarse cada 90 días o menos

[IAM.5] MFA debería estar activado para todos los IAM usuarios que tengan una contraseña de consola

[IAM.6] El hardware MFA debe estar habilitado para el usuario root

[IAM.8] Se deben eliminar las credenciales IAM de usuario no utilizadas

[IAM.10] Las políticas de contraseñas para IAM los usuarios deben tener una duración rigurosa AWS Config

[IAM.11] Asegúrese de que la política de IAM contraseñas requiera al menos una letra mayúscula

[IAM.12] Asegúrese de que la política de IAM contraseñas requiera al menos una letra minúscula

[IAM.13] Asegúrese de que la política de IAM contraseñas requiera al menos un símbolo

[IAM.14] Asegúrese de que la política de IAM contraseñas requiera al menos un número

[IAM.15] Asegúrese de que la política de IAM contraseñas exija una longitud de contraseña mínima de 14 o más

[IAM.16] Asegúrese de que la política de IAM contraseñas impida su reutilización

[IAM.17] Asegúrese de que la política de contraseñas IAM haga caducar las contraseñas en un plazo de 90 días o menos

[IAM.18] Asegúrese de que se haya creado una función de soporte para gestionar los incidentes con AWS Support

[IAM.19] MFA debe estar habilitado para todos los usuarios IAM

[IAM.21] Las políticas gestionadas por el IAM cliente que cree no deberían permitir acciones comodín para los servicios

[IAM.22] Se deben eliminar las credenciales de IAM usuario que no se hayan utilizado durante 45 días

Los IAM roles deben estar IAM etiquetados [.24]

Se debe etiquetar a IAM los usuarios [IAM.25]

[IAM.26] TLS Los certificados SSL caducados o gestionados IAM deben eliminarse

[IAM.27] IAM las identidades no deberían tener la AWSCloudShellFullAccess política adjunta

[Inspector.1] El EC2 escaneo de Amazon Inspector debe estar activado

[Inspector.2] El ECR escaneo de Amazon Inspector debe estar activado

[Inspector.3] Debe estar activado el escaneo de código Lambda de Amazon Inspector

[Inspector.4] El escaneo estándar de Amazon Inspector Lambda debe estar activado

[IoT 1] AWS IoT Device Defender los perfiles de seguridad deben estar etiquetados

[IoT 2] AWS IoT Core las acciones de mitigación deben estar etiquetadas

[IoT 3] AWS IoT Core las dimensiones deben estar etiquetadas

[IoT. 4] AWS IoT Core los autorizadores deben estar etiquetados

[IoT 5] AWS IoT Core los alias de los roles deben estar etiquetados

[IoT 6] AWS IoT Core las políticas deben estar etiquetadas

[Kinesis.1] Las transmisiones de Kinesis deben cifrarse en reposo

[KMS.1] Las políticas gestionadas por el IAM cliente no deberían permitir acciones de descifrado en todas KMS las claves

[KMS.2] IAM los directores no deberían tener políticas integradas que permitan IAM realizar acciones de descifrado en todas las claves KMS

[Lambda.5] Las funciones VPC Lambda deben funcionar en varias zonas de disponibilidad

[Macie.1] Amazon Macie debería estar activado

[Macie.2] La detección automática de datos confidenciales por parte de Macie debería estar habilitada

[MQ.2] Los corredores de ActiveMQ deberían transmitir los registros de auditoría a CloudWatch

[MQ.3] Los corredores de Amazon MQ deberían tener habilitada la actualización automática de las versiones secundarias

[MQ.5] Los corredores ActiveMQ deben usar el modo de implementación activo/en espera

[MQ.6] Los corredores de RabbitMQ deberían usar el modo de implementación de clústeres

[MSK.1] MSK Los clústeres deben cifrarse en tránsito entre los nodos intermediarios

[MSK.2] MSK los clústeres deben tener configurada una supervisión mejorada

[Neptune.1] Los clústeres de bases de datos de Neptune deben cifrarse en reposo

[Neptune.2] Los clústeres de bases de datos de Neptune deberían publicar los registros de auditoría en Logs CloudWatch

[Neptune.3] Las instantáneas del clúster de base de datos de Neptune no deben ser públicas

[Neptune.4] Los clústeres de base de datos de Neptune deben tener habilitada la protección de eliminación

[Neptune.5] Los clústeres de bases de datos de Neptune deberían tener habilitadas las copias de seguridad automáticas

[Neptune.6] Las instantáneas del clúster de base de datos de Neptune deben cifrarse en reposo

[Neptune.7] Los clústeres de bases de datos de Neptune deben tener habilitada la autenticación de bases de datos IAM

[Neptune.8] Los clústeres de base de datos de Neptune deben configurarse para copiar etiquetas a las instantáneas

[Neptune.9] Los clústeres de base de datos de Neptune se deben implementar en varias zonas de disponibilidad

[NetworkFirewall.1] Los firewalls de Network Firewall deben implementarse en varias zonas de disponibilidad

[NetworkFirewall.2] El registro de Network Firewall debe estar habilitado

[NetworkFirewall.3] Las políticas de Network Firewall deben tener asociado al menos un grupo de reglas

[NetworkFirewall.4] La acción sin estado predeterminada para las políticas de Network Firewall debe ser eliminar o reenviar paquetes completos

[NetworkFirewall.5] La acción sin estado predeterminada para las políticas de Network Firewall debe ser eliminar o reenviar paquetes fragmentados

[NetworkFirewall.6] El grupo de reglas de Stateless Network Firewall no debe estar vacío

[NetworkFirewall.9] Los firewalls de Network Firewall deben tener habilitada la protección contra eliminaciones

Los OpenSearch dominios [Opensearch.1] deben tener activado el cifrado en reposo

Los OpenSearch dominios [Opensearch.2] no deben ser de acceso público

Los OpenSearch dominios [Opensearch.3] deben cifrar los datos enviados entre nodos

El registro de errores de OpenSearch dominio [Opensearch.4] en CloudWatch Logs debe estar activado

Los OpenSearch dominios [Opensearch.5] deben tener habilitado el registro de auditoría

Los OpenSearch dominios [Opensearch.6] deben tener al menos tres nodos de datos

Los OpenSearch dominios [Opensearch.7] deben tener habilitado un control de acceso detallado

[Opensearch.8] Las conexiones a los dominios deben cifrarse OpenSearch según la política de seguridad más reciente TLS

Los OpenSearch dominios [Opensearch.9] deben estar etiquetados

Los OpenSearch dominios [Opensearch.10] deben tener instalada la última actualización de software

Los OpenSearch dominios [Opensearch.11] deben tener al menos tres nodos principales dedicados

[RDS.1] La RDS instantánea debe ser privada

[RDS.3] Las RDS instancias de base de datos deben tener activado el cifrado en reposo

[RDS.7] RDS los clústeres deben tener habilitada la protección contra la eliminación

La IAM autenticación [RDS.12] debe configurarse para RDS los clústeres

[RDS.14] Los clústeres de Amazon Aurora deben tener habilitada la función de retroceso

[RDS.15] Los clústeres de RDS bases de datos deben configurarse para varias zonas de disponibilidad

[RDS.24] Los clústeres RDS de bases de datos deben usar un nombre de usuario de administrador personalizado

[RDS.26] Las RDS instancias de base de datos deben protegerse mediante un plan de respaldo

[RDS.27] Los clústeres de RDS bases de datos deben cifrarse cuando están inactivos

[RDS.31] Los grupos de seguridad RDS de bases de datos deben etiquetarse

[RDS.34] Los clústeres de Aurora My SQL DB deberían publicar los registros de auditoría en Logs CloudWatch

[RDS.35] Los clústeres de RDS bases de datos deben tener habilitada la actualización automática de las versiones secundarias

[RDS.37] Los clústeres de SQL bases de datos Aurora Postgre deberían publicar registros en Logs CloudWatch

[Redshift.12] Las suscripciones a notificaciones de eventos de Redshift deben estar etiquetadas

[Route53.1] Los controles de estado de Route 53 deben estar etiquetados

[Route53.2] Las zonas alojadas públicamente de Route 53 deberían registrar las consultas DNS

[S3.14] Los buckets de uso general de S3 deberían tener habilitado el control de versiones

[S3.15] Los depósitos de uso general de S3 deberían tener activado Object Lock

[S3.24] Los puntos de acceso multirregionales de S3 deben tener habilitada la configuración de bloqueo de acceso público

[SageMaker.1] Las instancias de Amazon SageMaker Notebook no deberían tener acceso directo a Internet

[SageMaker.2] las instancias de SageMaker notebook deberían lanzarse de forma personalizada VPC

[SageMaker.3] Los usuarios no deberían tener acceso root a las instancias de SageMaker notebook

[SES.1] las listas de SES contactos deben estar etiquetadas

[SES.2] los conjuntos de SES configuración deben estar etiquetados

[SNS.1] SNS los temas deben cifrarse en reposo mediante AWS KMS

[SQS.1] SQS Las colas de Amazon deberían estar cifradas en reposo

[SQS.2] las colas deben estar etiquetadas SQS

[SSM.2] EC2 Las instancias de Amazon gestionadas por Systems Manager deben tener un estado de conformidad con el parche COMPLIANT tras la instalación de un parche

[SSM.3] EC2 Las instancias de Amazon gestionadas por Systems Manager deben tener un estado de conformidad de asociación de COMPLIANT

[SSM.4] SSM los documentos no deben ser públicos

[StepFunctions.1] Las máquinas de estado de Step Functions deberían tener el registro activado

[StepFunctions.2] Las actividades de Step Functions deben estar etiquetadas

[WAF.1] AWS WAF El ACL registro web global clásico debe estar habilitado

[WAF.6] AWS WAF Las reglas globales clásicas deben tener al menos una condición

[WAF7.] AWS WAF Los grupos de reglas globales clásicos deben tener al menos una regla

[WAF.8] AWS WAF La web global clásica ACLs debe tener al menos una regla o grupo de reglas

[WAF.11] AWS WAF el ACL registro web debe estar habilitado

[WorkSpaces.1] los volúmenes de WorkSpaces usuarios deben cifrarse en reposo

[WorkSpaces.2] los volúmenes WorkSpaces raíz deben cifrarse en reposo

[ACM.1] Los certificados importados y ACM emitidos deben renovarse después de un período de tiempo específico

[Cuenta. 2] Cuentas de AWS debe ser parte de un AWS Organizations organización

[APIGateway.1] La API puerta de enlace REST y el registro de WebSocket API ejecuciones deben estar habilitados

[APIGateway.2] REST API Las etapas de la API puerta de enlace deben configurarse para usar SSL certificados para la autenticación de fondo

[APIGateway.3] REST API Las etapas de API Gateway deberían tener AWS X-Ray rastreo activado

[APIGateway.4] La API puerta de enlace debe estar asociada a una web WAF ACL

[AutoScaling.5] EC2 Las instancias de Amazon lanzadas mediante configuraciones de lanzamiento grupal de Auto Scaling no deben tener direcciones IP públicas

[Copia de seguridad.1] AWS Backup los puntos de recuperación deben estar cifrados en reposo

[Respaldo. 4] AWS Backup los planes de informes deben estar etiquetados

[CloudFront.1] CloudFront las distribuciones deben tener configurado un objeto raíz predeterminado

[CloudFront.3] CloudFront las distribuciones deberían requerir el cifrado en tránsito

[CloudFront.4] CloudFront las distribuciones deben tener configurada la conmutación por error de Origin

[CloudFront.5] CloudFront las distribuciones deberían tener el registro activado

[CloudFront.6] CloudFront las distribuciones deberían estar habilitadas WAF

[CloudFront.7] CloudFront las distribuciones deben usar certificados/personalizados SSL TLS

[CloudFront.8] CloudFront las distribuciones deberían usarse SNI para atender las solicitudes HTTPS

[CloudFront.9] CloudFront las distribuciones deberían cifrar el tráfico hacia orígenes personalizados

[CloudFront.10] CloudFront las distribuciones no deberían usar SSL protocolos obsoletos entre las ubicaciones de los bordes y los orígenes personalizados

[CloudFront.12] CloudFront las distribuciones no deben apuntar a orígenes S3 inexistentes

[CloudFront.13] CloudFront las distribuciones deben usar el control de acceso al origen

[CloudFront.14] CloudFront las distribuciones deben estar etiquetadas

[CloudWatch.15] CloudWatch las alarmas deben tener configuradas las acciones especificadas

[CloudWatch.16] Los grupos de CloudWatch registros deben conservarse durante un período de tiempo específico

[CodeArtifact.1] CodeArtifact Los repositorios deben estar etiquetados

[CodeBuild.3] Los registros de CodeBuild S3 deben estar cifrados

[CodeBuild.4] los entornos de CodeBuild proyectos deben tener un registro AWS Config Duración

[Detective.1] Los gráficos de comportamiento de los detectives deben estar etiquetados

[DMS.7] las tareas de DMS replicación de la base de datos de destino deben tener habilitado el registro

[DMS.8] las tareas de DMS replicación de la base de datos de origen deben tener habilitado el registro

[DMS.10] DMS Los puntos finales de las bases de datos de Neptune deben tener habilitada la autorización IAM

[DocumentDB.1] Los clústeres de Amazon DocumentDB deben cifrarse en reposo

[DocumentDb.2] Los clústeres de Amazon DocumentDB deben tener un período de retención de copias de seguridad adecuado

[DocumentDb.3] Las instantáneas de clústeres manuales de Amazon DocumentDB no deben ser públicas

[DocumentDb.4] Los clústeres de Amazon DocumentDB deben publicar los registros de auditoría en Logs CloudWatch

[DocumentDb.5] Los clústeres de Amazon DocumentDB deben tener habilitada la protección contra eliminaciones

[DynamoDB.2] Las tablas de DynamoDB deben tener habilitada la recuperación point-in-time

[DynamoDB.3] Los clústeres de DynamoDB Accelerator () deben cifrarse en reposo DAX

[DynamoDB.4] Las tablas de DynamoDB deben estar presentes en un plan de copias de seguridad

[DynamoDB.7] Los clústeres de DynamoDB Accelerator deben cifrarse en tránsito

[EC2.1] EBS Las instantáneas de Amazon no deberían poder restaurarse públicamente

[EC2.3] EBS Los volúmenes adjuntos de Amazon deben cifrarse en reposo

[EC2.4] EC2 Las instancias detenidas deben eliminarse después de un período de tiempo específico

[EC2.7] EBS El cifrado predeterminado debe estar activado

[EC2.8] EC2 las instancias deben usar la versión 2 del servicio de metadatos de instancias IMDSv2

[EC2.9] EC2 Las instancias de Amazon no deben tener una dirección pública IPv4

[EC2.10] Amazon EC2 debe configurarse para usar VPC puntos de conexión creados para el servicio de Amazon EC2

[EC2.13] Los grupos de seguridad no deberían permitir la entrada desde el 0.0.0.0/0 o: :/0 al puerto 22

[EC2.14] Los grupos de seguridad no deberían permitir la entrada desde el 0.0.0.0/0 o: :/0 al puerto 3389

[EC2.15] EC2 Las subredes de Amazon no deberían asignar automáticamente direcciones IP públicas

[EC2.16] Deben eliminarse las listas de control de acceso a la red no utilizadas

[EC2.17] EC2 Las instancias de Amazon no deberían usar múltiples ENIs

[EC2.18] Los grupos de seguridad solo deberían permitir el tráfico entrante sin restricciones en los puertos autorizados

[EC2.20] Ambos VPN túneles forman un AWS La VPN conexión de sitio a sitio debe estar activa

[EC2.22] Los grupos de EC2 seguridad de Amazon no utilizados deberían eliminarse

[EC2.23] Amazon EC2 Transit Gateways no debería aceptar VPC automáticamente las solicitudes de archivos adjuntos

[EC2.24] No se deben usar los tipos de instancias EC2 paravirtuales de Amazon

[EC2.28] EBS los volúmenes deben estar cubiertos por un plan de respaldo

[EC2.51] Los VPN puntos finales de los EC2 clientes deben tener habilitado el registro de las conexiones de los clientes

[ECR.1] Los repositorios ECR privados deben tener configurado el escaneo de imágenes

[ECR.2] Los repositorios ECR privados deben tener configurada la inmutabilidad de las etiquetas

[ECR.4] Los repositorios ECR públicos deben estar etiquetados

[ECS.1] Las definiciones de ECS tareas de Amazon deben tener modos de red seguros y definiciones de usuario.

[ECS.3] las definiciones de ECS tareas no deben compartir el espacio de nombres de procesos del host

[ECS.4] los ECS contenedores deberían ejecutarse sin privilegios

[ECS.8] Los secretos no deben pasarse como variables de entorno del contenedor

[ECS.9] las definiciones de ECS tareas deben tener una configuración de registro

[ECS.10] Los servicios de ECS Fargate deberían ejecutarse en la última versión de la plataforma Fargate

[ECS.12] ECS los clústeres deben usar Container Insights

[EFS.1] El Elastic File System debe configurarse para cifrar los datos de los archivos en reposo mediante AWS KMS

[EFS.2] EFS Los volúmenes de Amazon deberían estar en los planes de respaldo

[EKS.2] EKS los clústeres deberían ejecutarse en una versión compatible de Kubernetes

[ELB.1] Application Load Balancer debe configurarse para redirigir todas las HTTP solicitudes a HTTPS

[ELB.2] Los balanceadores de carga clásicos con HTTPS listenersSSL/deben usar un certificado proporcionado por AWS Certificate Manager

[ELB.3] Los oyentes de Classic Load Balancer deben configurarse con o con terminación HTTPS TLS

[ELB.4] Application Load Balancer debe configurarse para eliminar los encabezados http no válidos

[ELB.6] Los balanceadores de carga de aplicaciones, puertas de enlace y redes deben tener habilitada la protección contra eliminaciones

[ELB.8] Los balanceadores de carga clásicos con SSL oyentes deben usar una política de seguridad predefinida que tenga una duración sólida AWS Config

[ELB.9] Los balanceadores de carga clásicos deberían tener activado el balanceo de cargas entre zonas

[ELB.16] Los balanceadores de carga de aplicaciones deben estar asociados a una web AWS WAF ACL

[ElastiCache.1] Los clústeres ElastiCache (RedisOSS) deben tener habilitadas las copias de seguridad automáticas

[ElastiCache.7] los ElastiCache clústeres no deben usar el grupo de subredes predeterminado

[ElasticBeanstalk.1] Los entornos de Elastic Beanstalk deberían tener habilitados los informes de estado mejorados

[ElasticBeanstalk.2] Las actualizaciones de la plataforma gestionada de Elastic Beanstalk deben estar habilitadas

[ElasticBeanstalk.3] Elastic Beanstalk debería transmitir los registros a CloudWatch

[EMR.1] Los nodos principales EMR del clúster de Amazon no deben tener direcciones IP públicas

[ES.1] Los dominios de Elasticsearch deben tener habilitado el cifrado en reposo

[ES.3] Los dominios de Elasticsearch deben cifrar los datos enviados entre nodos

[FSx.1] FSx para sistemas de ZFS archivos abiertos, debe configurarse para copiar etiquetas a copias de seguridad y volúmenes

[GlobalAccelerator.1] Los aceleradores de Global Accelerator deben estar etiquetados

[IAM.4] la clave de acceso del usuario IAM root no debería existir

[IAM.18] Asegúrese de que se haya creado una función de soporte para gestionar los incidentes con AWS Support

[IAM.21] Las políticas gestionadas por el IAM cliente que cree no deberían permitir acciones comodín para los servicios

[IAM.26] TLS Los certificados SSL caducados o gestionados IAM deben eliminarse

[Inspector.3] Debe estar activado el escaneo de código Lambda de Amazon Inspector

[IoT 1] AWS IoT Device Defender los perfiles de seguridad deben estar etiquetados

[IoT 2] AWS IoT Core las acciones de mitigación deben estar etiquetadas

[IoT 3] AWS IoT Core las dimensiones deben estar etiquetadas

[IoT. 4] AWS IoT Core los autorizadores deben estar etiquetados

[IoT 5] AWS IoT Core los alias de los roles deben estar etiquetados

[IoT 6] AWS IoT Core las políticas deben estar etiquetadas

[Kinesis.1] Las transmisiones de Kinesis deben cifrarse en reposo

[KMS.1] Las políticas gestionadas por el IAM cliente no deberían permitir acciones de descifrado en todas KMS las claves

[KMS.2] IAM los directores no deberían tener políticas integradas que permitan IAM realizar acciones de descifrado en todas las claves KMS

[Lambda.1] Las políticas de función de Lambda deberían prohibir el acceso público

[Lambda.2] Las funciones de Lambda deben usar los tiempos de ejecución admitidos

[Lambda.3] Las funciones lambda deben estar en un VPC

[Lambda.5] Las funciones VPC Lambda deben funcionar en varias zonas de disponibilidad

[MSK.3] Los conectores MSK Connect deben estar cifrados en tránsito

[Neptune.1] Los clústeres de bases de datos de Neptune deben cifrarse en reposo

[Neptune.2] Los clústeres de bases de datos de Neptune deberían publicar los registros de auditoría en Logs CloudWatch

[Neptune.3] Las instantáneas del clúster de base de datos de Neptune no deben ser públicas

[Neptune.4] Los clústeres de base de datos de Neptune deben tener habilitada la protección de eliminación

[Neptune.5] Los clústeres de bases de datos de Neptune deberían tener habilitadas las copias de seguridad automáticas

[Neptune.6] Las instantáneas del clúster de base de datos de Neptune deben cifrarse en reposo

[Neptune.7] Los clústeres de bases de datos de Neptune deben tener habilitada la autenticación de bases de datos IAM

[Neptune.8] Los clústeres de base de datos de Neptune deben configurarse para copiar etiquetas a las instantáneas

[Neptune.9] Los clústeres de base de datos de Neptune se deben implementar en varias zonas de disponibilidad

Los OpenSearch dominios [Opensearch.1] deben tener activado el cifrado en reposo

Los OpenSearch dominios [Opensearch.2] no deben ser de acceso público

Los OpenSearch dominios [Opensearch.3] deben cifrar los datos enviados entre nodos

El registro de errores de OpenSearch dominio [Opensearch.4] en CloudWatch Logs debe estar activado

Los OpenSearch dominios [Opensearch.5] deben tener habilitado el registro de auditoría

Los OpenSearch dominios [Opensearch.6] deben tener al menos tres nodos de datos

Los OpenSearch dominios [Opensearch.7] deben tener habilitado un control de acceso detallado

[Opensearch.8] Las conexiones a los dominios deben cifrarse OpenSearch según la política de seguridad más reciente TLS

[RDS.1] La RDS instantánea debe ser privada

[RDS.4] Las instantáneas de RDS clústeres y las instantáneas de bases de datos deben cifrarse cuando están inactivas

[RDS.6] Se debe configurar una supervisión mejorada para RDS las instancias de base de datos

[RDS.7] RDS los clústeres deben tener habilitada la protección contra la eliminación

[RDS.8] Las RDS instancias de base de datos deben tener habilitada la protección contra la eliminación

[RDS.9] Las RDS instancias de base de datos deben publicar los registros en Logs CloudWatch

La IAM autenticación [RDS.10] debe configurarse para las instancias RDS

La IAM autenticación [RDS.12] debe configurarse para RDS los clústeres

[RDS.13] Las actualizaciones RDS automáticas de las versiones secundarias deben estar habilitadas

[RDS.14] Los clústeres de Amazon Aurora deben tener habilitada la función de retroceso

[RDS.15] Los clústeres de RDS bases de datos deben configurarse para varias zonas de disponibilidad

[RDS.26] Las RDS instancias de base de datos deben protegerse mediante un plan de respaldo

[RDS.31] Los grupos de seguridad RDS de bases de datos deben etiquetarse

[RDS.35] Los clústeres de RDS bases de datos deben tener habilitada la actualización automática de las versiones secundarias

Las conexiones a los clústeres de Amazon Redshift [Redshift.2] deben cifrarse en tránsito

Los clústeres de Amazon Redshift [Redshift.3] deben tener habilitadas las instantáneas automáticas

[Redshift.7] Los clústeres de Redshift deberían utilizar un enrutamiento mejorado VPC

Los clústeres de Redshift [Redshift.10] deben cifrarse en reposo

[Route53.1] Los controles de estado de Route 53 deben estar etiquetados

[Route53.2] Las zonas alojadas públicamente de Route 53 deberían registrar las consultas DNS

[S3.8] Los depósitos de uso general de S3 deberían bloquear el acceso público

[S3.15] Los depósitos de uso general de S3 deberían tener activado Object Lock

[S3.17] Los depósitos de uso general de S3 deben cifrarse en reposo con AWS KMS keys

[S3.24] Los puntos de acceso multirregionales de S3 deben tener habilitada la configuración de bloqueo de acceso público

[SageMaker.1] Las instancias de Amazon SageMaker Notebook no deberían tener acceso directo a Internet

[SNS.1] SNS los temas deben cifrarse en reposo mediante AWS KMS

[SSM.2] EC2 Las instancias de Amazon gestionadas por Systems Manager deben tener un estado de conformidad con el parche COMPLIANT tras la instalación de un parche

[SSM.3] EC2 Las instancias de Amazon gestionadas por Systems Manager deben tener un estado de conformidad de asociación de COMPLIANT

[WAF.1] AWS WAF El ACL registro web global clásico debe estar habilitado

[WAF.3] AWS WAF Los grupos de reglas regionales clásicos deben tener al menos una regla

[WAF.6] AWS WAF Las reglas globales clásicas deben tener al menos una condición

[WAF7.] AWS WAF Los grupos de reglas globales clásicos deben tener al menos una regla

[WAF.8] AWS WAF La web global clásica ACLs debe tener al menos una regla o grupo de reglas

[WAF.10] AWS WAF la web ACLs debe tener al menos una regla o grupo de reglas

[WAF.11] AWS WAF el ACL registro web debe estar habilitado

[WorkSpaces.1] los volúmenes de WorkSpaces usuarios deben cifrarse en reposo

[WorkSpaces.2] los volúmenes WorkSpaces raíz deben cifrarse en reposo

[CloudFront.1] CloudFront las distribuciones deben tener configurado un objeto raíz predeterminado

[CloudFront.3] CloudFront las distribuciones deberían requerir el cifrado en tránsito

[CloudFront.4] CloudFront las distribuciones deben tener configurada la conmutación por error de Origin

[CloudFront.5] CloudFront las distribuciones deberían tener el registro activado

[CloudFront.6] CloudFront las distribuciones deberían estar habilitadas WAF

[CloudFront.7] CloudFront las distribuciones deben usar certificados/personalizados SSL TLS

[CloudFront.8] CloudFront las distribuciones deberían usarse SNI para atender las solicitudes HTTPS

[CloudFront.9] CloudFront las distribuciones deberían cifrar el tráfico hacia orígenes personalizados

[CloudFront.10] CloudFront las distribuciones no deberían usar SSL protocolos obsoletos entre las ubicaciones de los bordes y los orígenes personalizados

[CloudFront.12] CloudFront las distribuciones no deben apuntar a orígenes S3 inexistentes

[CloudFront.13] CloudFront las distribuciones deben usar el control de acceso al origen

[CloudFront.14] CloudFront las distribuciones deben estar etiquetadas

[CodeArtifact.1] CodeArtifact Los repositorios deben estar etiquetados

[DynamoDB.3] Los clústeres de DynamoDB Accelerator () deben cifrarse en reposo DAX

[DynamoDB.7] Los clústeres de DynamoDB Accelerator deben cifrarse en tránsito

[EC2.24] No se deben usar los tipos de instancias EC2 paravirtuales de Amazon

[ECR.4] Los repositorios ECR públicos deben estar etiquetados

[GlobalAccelerator.1] Los aceleradores de Global Accelerator deben estar etiquetados

[IAM.26] TLS Los certificados SSL caducados o gestionados IAM deben eliminarse

[Inspector.3] Debe estar activado el escaneo de código Lambda de Amazon Inspector

[RDS.31] Los grupos de seguridad RDS de bases de datos deben etiquetarse

[Route53.1] Los controles de estado de Route 53 deben estar etiquetados

[Route53.2] Las zonas alojadas públicamente de Route 53 deberían registrar las consultas DNS

[S3.24] Los puntos de acceso multirregionales de S3 deben tener habilitada la configuración de bloqueo de acceso público

[WAF.1] AWS WAF El ACL registro web global clásico debe estar habilitado

[WAF.6] AWS WAF Las reglas globales clásicas deben tener al menos una condición

[WAF7.] AWS WAF Los grupos de reglas globales clásicos deben tener al menos una regla

[WAF.8] AWS WAF La web global clásica ACLs debe tener al menos una regla o grupo de reglas

[CloudFront.1] CloudFront las distribuciones deben tener configurado un objeto raíz predeterminado

[CloudFront.3] CloudFront las distribuciones deberían requerir el cifrado en tránsito

[CloudFront.4] CloudFront las distribuciones deben tener configurada la conmutación por error de Origin

[CloudFront.5] CloudFront las distribuciones deberían tener el registro activado

[CloudFront.6] CloudFront las distribuciones deberían estar habilitadas WAF

[CloudFront.7] CloudFront las distribuciones deben usar certificados/personalizados SSL TLS

[CloudFront.8] CloudFront las distribuciones deberían usarse SNI para atender las solicitudes HTTPS

[CloudFront.9] CloudFront las distribuciones deberían cifrar el tráfico hacia orígenes personalizados

[CloudFront.10] CloudFront las distribuciones no deberían usar SSL protocolos obsoletos entre las ubicaciones de los bordes y los orígenes personalizados

[CloudFront.12] CloudFront las distribuciones no deben apuntar a orígenes S3 inexistentes

[CloudFront.13] CloudFront las distribuciones deben usar el control de acceso al origen

[CloudFront.14] CloudFront las distribuciones deben estar etiquetadas

[ECR.4] Los repositorios ECR públicos deben estar etiquetados

[GlobalAccelerator.1] Los aceleradores de Global Accelerator deben estar etiquetados

[IAM.26] TLS Los certificados SSL caducados o gestionados IAM deben eliminarse

[Route53.1] Los controles de estado de Route 53 deben estar etiquetados

[Route53.2] Las zonas alojadas públicamente de Route 53 deberían registrar las consultas DNS

[S3.24] Los puntos de acceso multirregionales de S3 deben tener habilitada la configuración de bloqueo de acceso público

[WAF.1] AWS WAF El ACL registro web global clásico debe estar habilitado

[WAF.6] AWS WAF Las reglas globales clásicas deben tener al menos una condición

[WAF7.] AWS WAF Los grupos de reglas globales clásicos deben tener al menos una regla

[WAF.8] AWS WAF La web global clásica ACLs debe tener al menos una regla o grupo de reglas

[CloudFront.1] CloudFront las distribuciones deben tener configurado un objeto raíz predeterminado

[CloudFront.3] CloudFront las distribuciones deberían requerir el cifrado en tránsito

[CloudFront.4] CloudFront las distribuciones deben tener configurada la conmutación por error de Origin

[CloudFront.5] CloudFront las distribuciones deberían tener el registro activado

[CloudFront.6] CloudFront las distribuciones deberían estar habilitadas WAF

[CloudFront.7] CloudFront las distribuciones deben usar certificados/personalizados SSL TLS

[CloudFront.8] CloudFront las distribuciones deberían usarse SNI para atender las solicitudes HTTPS

[CloudFront.9] CloudFront las distribuciones deberían cifrar el tráfico hacia orígenes personalizados

[CloudFront.10] CloudFront las distribuciones no deberían usar SSL protocolos obsoletos entre las ubicaciones de los bordes y los orígenes personalizados

[CloudFront.12] CloudFront las distribuciones no deben apuntar a orígenes S3 inexistentes

[CloudFront.13] CloudFront las distribuciones deben usar el control de acceso al origen

[CloudFront.14] CloudFront las distribuciones deben estar etiquetadas

[ECR.4] Los repositorios ECR públicos deben estar etiquetados

[GlobalAccelerator.1] Los aceleradores de Global Accelerator deben estar etiquetados

[IAM.26] TLS Los certificados SSL caducados o gestionados IAM deben eliminarse

[Route53.1] Los controles de estado de Route 53 deben estar etiquetados

[Route53.2] Las zonas alojadas públicamente de Route 53 deberían registrar las consultas DNS

[S3.24] Los puntos de acceso multirregionales de S3 deben tener habilitada la configuración de bloqueo de acceso público

[WAF.1] AWS WAF El ACL registro web global clásico debe estar habilitado

[WAF.6] AWS WAF Las reglas globales clásicas deben tener al menos una condición

[WAF7.] AWS WAF Los grupos de reglas globales clásicos deben tener al menos una regla

[WAF.8] AWS WAF La web global clásica ACLs debe tener al menos una regla o grupo de reglas

[CloudFront.1] CloudFront las distribuciones deben tener configurado un objeto raíz predeterminado

[CloudFront.3] CloudFront las distribuciones deberían requerir el cifrado en tránsito

[CloudFront.4] CloudFront las distribuciones deben tener configurada la conmutación por error de Origin

[CloudFront.5] CloudFront las distribuciones deberían tener el registro activado

[CloudFront.6] CloudFront las distribuciones deberían estar habilitadas WAF

[CloudFront.7] CloudFront las distribuciones deben usar certificados/personalizados SSL TLS

[CloudFront.8] CloudFront las distribuciones deberían usarse SNI para atender las solicitudes HTTPS

[CloudFront.9] CloudFront las distribuciones deberían cifrar el tráfico hacia orígenes personalizados

[CloudFront.10] CloudFront las distribuciones no deberían usar SSL protocolos obsoletos entre las ubicaciones de los bordes y los orígenes personalizados

[CloudFront.12] CloudFront las distribuciones no deben apuntar a orígenes S3 inexistentes

[CloudFront.13] CloudFront las distribuciones deben usar el control de acceso al origen

[CloudFront.14] CloudFront las distribuciones deben estar etiquetadas

[ECR.4] Los repositorios ECR públicos deben estar etiquetados

[GlobalAccelerator.1] Los aceleradores de Global Accelerator deben estar etiquetados

[IAM.26] TLS Los certificados SSL caducados o gestionados IAM deben eliminarse

[Route53.1] Los controles de estado de Route 53 deben estar etiquetados

[Route53.2] Las zonas alojadas públicamente de Route 53 deberían registrar las consultas DNS

[S3.24] Los puntos de acceso multirregionales de S3 deben tener habilitada la configuración de bloqueo de acceso público

[WAF.1] AWS WAF El ACL registro web global clásico debe estar habilitado

[WAF.6] AWS WAF Las reglas globales clásicas deben tener al menos una condición

[WAF7.] AWS WAF Los grupos de reglas globales clásicos deben tener al menos una regla

[WAF.8] AWS WAF La web global clásica ACLs debe tener al menos una regla o grupo de reglas

[CloudFront.1] CloudFront las distribuciones deben tener configurado un objeto raíz predeterminado

[CloudFront.3] CloudFront las distribuciones deberían requerir el cifrado en tránsito

[CloudFront.4] CloudFront las distribuciones deben tener configurada la conmutación por error de Origin

[CloudFront.5] CloudFront las distribuciones deberían tener el registro activado

[CloudFront.6] CloudFront las distribuciones deberían estar habilitadas WAF

[CloudFront.7] CloudFront las distribuciones deben usar certificados/personalizados SSL TLS

[CloudFront.8] CloudFront las distribuciones deberían usarse SNI para atender las solicitudes HTTPS

[CloudFront.9] CloudFront las distribuciones deberían cifrar el tráfico hacia orígenes personalizados

[CloudFront.10] CloudFront las distribuciones no deberían usar SSL protocolos obsoletos entre las ubicaciones de los bordes y los orígenes personalizados

[CloudFront.12] CloudFront las distribuciones no deben apuntar a orígenes S3 inexistentes

[CloudFront.13] CloudFront las distribuciones deben usar el control de acceso al origen

[CloudFront.14] CloudFront las distribuciones deben estar etiquetadas

[CodeArtifact.1] CodeArtifact Los repositorios deben estar etiquetados

[DynamoDB.3] Los clústeres de DynamoDB Accelerator () deben cifrarse en reposo DAX

[DynamoDB.7] Los clústeres de DynamoDB Accelerator deben cifrarse en tránsito

[EC2.24] No se deben usar los tipos de instancias EC2 paravirtuales de Amazon

[ECR.4] Los repositorios ECR públicos deben estar etiquetados

[GlobalAccelerator.1] Los aceleradores de Global Accelerator deben estar etiquetados

[IAM.26] TLS Los certificados SSL caducados o gestionados IAM deben eliminarse

[Inspector.3] Debe estar activado el escaneo de código Lambda de Amazon Inspector

[Kinesis.3] Las transmisiones de Kinesis deben tener un período de retención de datos adecuado

[RDS.31] Los grupos de seguridad RDS de bases de datos deben etiquetarse

[Route53.1] Los controles de estado de Route 53 deben estar etiquetados

[Route53.2] Las zonas alojadas públicamente de Route 53 deberían registrar las consultas DNS

[S3.24] Los puntos de acceso multirregionales de S3 deben tener habilitada la configuración de bloqueo de acceso público

[WAF.1] AWS WAF El ACL registro web global clásico debe estar habilitado

[WAF.6] AWS WAF Las reglas globales clásicas deben tener al menos una condición

[WAF7.] AWS WAF Los grupos de reglas globales clásicos deben tener al menos una regla

[WAF.8] AWS WAF La web global clásica ACLs debe tener al menos una regla o grupo de reglas

[ACM.1] Los certificados importados y ACM emitidos deben renovarse después de un período de tiempo específico

[ACM.2] RSA los certificados gestionados por ACM deben utilizar una longitud de clave de al menos 2048 bits

[ACM.3] ACM los certificados deben estar etiquetados

[Cuenta. 2] Cuentas de AWS debe ser parte de un AWS Organizations organización

[APIGateway.2] REST API Las etapas de la API puerta de enlace deben configurarse para usar SSL certificados para la autenticación de fondo

[APIGateway.3] REST API Las etapas de API Gateway deberían tener AWS X-Ray rastreo activado

[APIGateway.4] La API puerta de enlace debe estar asociada a una web WAF ACL

[AppSync.4] AWS AppSync GraphQL APIs debe estar etiquetado

[Athena.2] Los catálogos de datos de Athena deben estar etiquetados

[Athena.3] Los grupos de trabajo de Athena deben estar etiquetados

[AutoScaling.10] Los grupos EC2 de Auto Scaling deben estar etiquetados

[Copia de seguridad.1] AWS Backup los puntos de recuperación deben estar cifrados en reposo

[Copia de seguridad.2] AWS Backup los puntos de recuperación deben estar etiquetados

[Copia de seguridad.3] AWS Backup las bóvedas deben estar etiquetadas

[Respaldo. 4] AWS Backup los planes de informes deben estar etiquetados

[Respaldo. 5] AWS Backup los planes de respaldo deben estar etiquetados

[CloudFormation.2] las CloudFormation pilas deben estar etiquetadas

[CloudFront.1] CloudFront las distribuciones deben tener configurado un objeto raíz predeterminado

[CloudFront.3] CloudFront las distribuciones deberían requerir el cifrado en tránsito

[CloudFront.4] CloudFront las distribuciones deben tener configurada la conmutación por error de Origin

[CloudFront.5] CloudFront las distribuciones deberían tener el registro activado

[CloudFront.6] CloudFront las distribuciones deberían estar habilitadas WAF

[CloudFront.7] CloudFront las distribuciones deben usar certificados/personalizados SSL TLS

[CloudFront.8] CloudFront las distribuciones deberían usarse SNI para atender las solicitudes HTTPS

[CloudFront.9] CloudFront las distribuciones deberían cifrar el tráfico hacia orígenes personalizados

[CloudFront.10] CloudFront las distribuciones no deberían usar SSL protocolos obsoletos entre las ubicaciones de los bordes y los orígenes personalizados

[CloudFront.13] CloudFront las distribuciones deben usar el control de acceso al origen

[CloudFront.14] CloudFront las distribuciones deben estar etiquetadas

[CloudTrail.9] las CloudTrail rutas deben estar etiquetadas

[CloudWatch.15] CloudWatch las alarmas deben tener configuradas las acciones especificadas

[CloudWatch.16] Los grupos de CloudWatch registros deben conservarse durante un período de tiempo específico

[CodeArtifact.1] CodeArtifact Los repositorios deben estar etiquetados

[DataFirehose.1] Los flujos de entrega de Firehose deben cifrarse en reposo

[Detective.1] Los gráficos de comportamiento de los detectives deben estar etiquetados

[DMS.2] DMS los certificados deben estar etiquetados

[DMS.3] las suscripciones a DMS eventos deben estar etiquetadas

[DMS.4] las instancias de DMS replicación deben estar etiquetadas

[DMS.5] los grupos de subredes de DMS replicación deben estar etiquetados

[DMS.10] DMS Los puntos finales de las bases de datos de Neptune deben tener habilitada la autorización IAM

[DMS.11] DMS Los puntos finales de MongoDB deberían tener habilitado un mecanismo de autenticación

[DMS.12] DMS Los puntos finales de Redis OSS deberían estar habilitados TLS

[DocumentDB.1] Los clústeres de Amazon DocumentDB deben cifrarse en reposo

[DocumentDb.2] Los clústeres de Amazon DocumentDB deben tener un período de retención de copias de seguridad adecuado

[DocumentDb.3] Las instantáneas de clústeres manuales de Amazon DocumentDB no deben ser públicas

[DocumentDb.4] Los clústeres de Amazon DocumentDB deben publicar los registros de auditoría en Logs CloudWatch

[DocumentDb.5] Los clústeres de Amazon DocumentDB deben tener habilitada la protección contra eliminaciones

[DynamoDB.3] Los clústeres de DynamoDB Accelerator () deben cifrarse en reposo DAX

[DynamoDB.4] Las tablas de DynamoDB deben estar presentes en un plan de copias de seguridad

[DynamoDB.5] Las tablas de DynamoDB deben estar etiquetadas

[DynamoDB.7] Los clústeres de DynamoDB Accelerator deben cifrarse en tránsito

[EC2.15] EC2 Las subredes de Amazon no deberían asignar automáticamente direcciones IP públicas

[EC2.16] Deben eliminarse las listas de control de acceso a la red no utilizadas

[EC2.20] Ambos VPN túneles forman un AWS La VPN conexión de sitio a sitio debe estar activa

[EC2.22] Los grupos de EC2 seguridad de Amazon no utilizados deberían eliminarse

[EC2.23] Amazon EC2 Transit Gateways no debería aceptar VPC automáticamente las solicitudes de archivos adjuntos

[EC2.28] EBS los volúmenes deben estar cubiertos por un plan de respaldo

[EC2.33] Los archivos adjuntos a las pasarelas de EC2 tránsito deben estar etiquetados

[EC2.34] Las tablas de rutas de las pasarelas de EC2 tránsito deben estar etiquetadas

Las interfaces de EC2 red deben estar etiquetadas [EC2.35]

[EC2.36] Las pasarelas de EC2 clientes deben estar etiquetadas

[EC2.37] Las direcciones IP EC2 elásticas deben estar etiquetadas

[EC2.38] EC2 las instancias deben estar etiquetadas

[EC2.39] Las pasarelas EC2 de Internet deben estar etiquetadas

EC2NATLas pasarelas [EC2.40] deben estar etiquetadas

La EC2 red [EC2.41] ACLs debe estar etiquetada

[EC2.42] las tablas de EC2 rutas deben estar etiquetadas

[EC2.43] los grupos EC2 de seguridad deben estar etiquetados

EC2Las subredes [EC2.44] deben estar etiquetadas

[EC2.45] los EC2 volúmenes deben estar etiquetados

[EC2.46] Amazon VPCs debería estar etiquetado

[EC2.47] Los servicios de Amazon VPC Endpoint Services deben estar etiquetados

[EC2.48] Los registros de VPC flujo de Amazon deben estar etiquetados

[EC2.49] VPC Las conexiones entre pares de Amazon deben estar etiquetadas

EC2VPNLas pasarelas de enlace [EC2.50] deben estar etiquetadas

[EC2.51] Los VPN puntos finales de los EC2 clientes deben tener habilitado el registro de las conexiones de los clientes

[EC2.52] Las pasarelas de EC2 tránsito deben estar etiquetadas

[EC2.53] los grupos de EC2 seguridad no deberían permitir la entrada desde el 0.0.0.0/0 a los puertos de administración remota del servidor

[EC2.54] los grupos EC2 de seguridad no deberían permitir la entrada desde: :/0 a los puertos de administración remota del servidor

[ECR.1] Los repositorios ECR privados deben tener configurado el escaneo de imágenes

[ECR.4] Los repositorios ECR públicos deben estar etiquetados

[ECS.1] Las definiciones de ECS tareas de Amazon deben tener modos de red seguros y definiciones de usuario.

[ECS.13] ECS los servicios deben estar etiquetados

[ECS.14] los ECS clústeres deben estar etiquetados

[ECS.15] las definiciones de ECS tareas deben estar etiquetadas

[EFS.5] los puntos de EFS acceso deben estar etiquetados

[EFS.6] Los destinos de EFS montaje no deben estar asociados a una subred pública

[EKS.3] los EKS clústeres deben usar secretos de Kubernetes cifrados

[EKS.6] EKS los clústeres deben estar etiquetados

[EKS.7] Las configuraciones de los proveedores de EKS identidad deben estar etiquetadas

[ELB.2] Los balanceadores de carga clásicos con HTTPS listenersSSL/deben usar un certificado proporcionado por AWS Certificate Manager

[ELB.16] Los balanceadores de carga de aplicaciones deben estar asociados a una web AWS WAF ACL

[ElastiCache.1] Los clústeres ElastiCache (RedisOSS) deben tener habilitadas las copias de seguridad automáticas

[ElasticBeanstalk.1] Los entornos de Elastic Beanstalk deberían tener habilitados los informes de estado mejorados

[ElasticBeanstalk.2] Las actualizaciones de la plataforma gestionada de Elastic Beanstalk deben estar habilitadas

[ElasticBeanstalk.3] Elastic Beanstalk debería transmitir los registros a CloudWatch

[EMR.2] La configuración de EMR bloqueo de acceso público de Amazon debe estar habilitada

[ES.3] Los dominios de Elasticsearch deben cifrar los datos enviados entre nodos

[ES.4] Debe estar habilitado el registro de errores de dominio de Elasticsearch en los CloudWatch registros

[ES.9] Los dominios de Elasticsearch deben estar etiquetados

[EventBridge.2] los autobuses de EventBridge eventos deben estar etiquetados

[EventBridge.4] Los puntos finales EventBridge globales deberían tener habilitada la replicación de eventos

[FSx.1] FSx para sistemas de ZFS archivos abiertos, debe configurarse para copiar etiquetas a copias de seguridad y volúmenes

[FSx.2] FSx para Lustre, los sistemas de archivos deben configurarse para copiar etiquetas a las copias de seguridad

[GlobalAccelerator.1] Los aceleradores de Global Accelerator deben estar etiquetados

[Pegamento.1] AWS Glue los trabajos deben estar etiquetados

[GuardDuty.1] GuardDuty debe estar activado

[GuardDuty.2] GuardDuty los filtros deben estar etiquetados

[GuardDuty.3] GuardDuty IPSets debe estar etiquetado

[GuardDuty.4] GuardDuty los detectores deben estar etiquetados

[GuardDuty.5] La supervisión del registro de GuardDuty EKS auditoría debe estar habilitada

[GuardDuty.6] La protección GuardDuty Lambda debe estar habilitada

[GuardDuty.7] La monitorización del GuardDuty EKS tiempo de ejecución debe estar habilitada

[GuardDuty.8] La protección contra GuardDuty malware para EC2 debe estar habilitada

[GuardDuty.9] La GuardDuty RDS protección debe estar habilitada

[GuardDuty.10] La protección GuardDuty S3 debe estar habilitada

[IAM.6] El hardware MFA debe estar habilitado para el usuario root

[IAM.9] MFA debe estar activado para el usuario root

[IAM.21] Las políticas gestionadas por el IAM cliente que cree no deberían permitir acciones comodín para los servicios

[IAM.23] Los analizadores de IAM Access Analyzer deben estar etiquetados

Los IAM roles deben estar IAM etiquetados [.24]

Se debe etiquetar a IAM los usuarios [IAM.25]

[IAM.26] TLS Los certificados SSL caducados o gestionados IAM deben eliminarse

[IAM.27] IAM las identidades no deberían tener la AWSCloudShellFullAccess política adjunta

[IAM.28] El analizador de IAM acceso externo Access Analyzer debe estar activado

[Inspector.1] El EC2 escaneo de Amazon Inspector debe estar activado

[Inspector.2] El ECR escaneo de Amazon Inspector debe estar activado

[Inspector.3] Debe estar activado el escaneo de código Lambda de Amazon Inspector

[Inspector.4] El escaneo estándar de Amazon Inspector Lambda debe estar activado

[IoT 1] AWS IoT Device Defender los perfiles de seguridad deben estar etiquetados

[IoT 2] AWS IoT Core las acciones de mitigación deben estar etiquetadas

[IoT 3] AWS IoT Core las dimensiones deben estar etiquetadas

[IoT. 4] AWS IoT Core los autorizadores deben estar etiquetados

[IoT 5] AWS IoT Core los alias de los roles deben estar etiquetados

[IoT 6] AWS IoT Core las políticas deben estar etiquetadas

[Kinesis.2] Las transmisiones de Kinesis deben estar etiquetadas

[Lambda.6] Las funciones Lambda deben etiquetarse

[Macie.1] Amazon Macie debería estar activado

[Macie.2] La detección automática de datos confidenciales por parte de Macie debería estar habilitada

[MQ.2] Los corredores de ActiveMQ deberían transmitir los registros de auditoría a CloudWatch

[MQ.4] Los corredores de Amazon MQ deberían estar etiquetados

[MSK.3] Los conectores MSK Connect deben estar cifrados en tránsito

[Neptune.1] Los clústeres de bases de datos de Neptune deben cifrarse en reposo

[Neptune.2] Los clústeres de bases de datos de Neptune deberían publicar los registros de auditoría en Logs CloudWatch

[Neptune.3] Las instantáneas del clúster de base de datos de Neptune no deben ser públicas

[Neptune.4] Los clústeres de base de datos de Neptune deben tener habilitada la protección de eliminación

[Neptune.5] Los clústeres de bases de datos de Neptune deberían tener habilitadas las copias de seguridad automáticas

[Neptune.6] Las instantáneas del clúster de base de datos de Neptune deben cifrarse en reposo

[Neptune.7] Los clústeres de bases de datos de Neptune deben tener habilitada la autenticación de bases de datos IAM

[Neptune.8] Los clústeres de base de datos de Neptune deben configurarse para copiar etiquetas a las instantáneas

[Neptune.9] Los clústeres de base de datos de Neptune se deben implementar en varias zonas de disponibilidad

[NetworkFirewall.1] Los firewalls de Network Firewall deben implementarse en varias zonas de disponibilidad

[NetworkFirewall.2] El registro de Network Firewall debe estar habilitado

[NetworkFirewall.3] Las políticas de Network Firewall deben tener asociado al menos un grupo de reglas

[NetworkFirewall.4] La acción sin estado predeterminada para las políticas de Network Firewall debe ser eliminar o reenviar paquetes completos

[NetworkFirewall.5] La acción sin estado predeterminada para las políticas de Network Firewall debe ser eliminar o reenviar paquetes fragmentados

[NetworkFirewall.6] El grupo de reglas de Stateless Network Firewall no debe estar vacío

[NetworkFirewall.7] Los firewalls de Network Firewall deben estar etiquetados

[NetworkFirewall.8] Las políticas de firewall de Network Firewall deben estar etiquetadas

[NetworkFirewall.9] Los firewalls de Network Firewall deben tener habilitada la protección contra eliminaciones

Los OpenSearch dominios [Opensearch.1] deben tener activado el cifrado en reposo

Los OpenSearch dominios [Opensearch.2] no deben ser de acceso público

Los OpenSearch dominios [Opensearch.3] deben cifrar los datos enviados entre nodos

El registro de errores de OpenSearch dominio [Opensearch.4] en CloudWatch Logs debe estar activado

Los OpenSearch dominios [Opensearch.5] deben tener habilitado el registro de auditoría

Los OpenSearch dominios [Opensearch.6] deben tener al menos tres nodos de datos

Los OpenSearch dominios [Opensearch.7] deben tener habilitado un control de acceso detallado

[Opensearch.8] Las conexiones a los dominios deben cifrarse OpenSearch según la política de seguridad más reciente TLS

Los OpenSearch dominios [Opensearch.9] deben estar etiquetados

Los OpenSearch dominios [Opensearch.11] deben tener al menos tres nodos principales dedicados

[PCA.1] AWS Private CA la autoridad emisora de certificados raíz debe estar deshabilitada

[RDS.7] RDS los clústeres deben tener habilitada la protección contra la eliminación

La IAM autenticación [RDS.10] debe configurarse para las instancias RDS

La IAM autenticación [RDS.12] debe configurarse para RDS los clústeres

[RDS.13] Las actualizaciones RDS automáticas de las versiones secundarias deben estar habilitadas

[RDS.14] Los clústeres de Amazon Aurora deben tener habilitada la función de retroceso

[RDS.15] Los clústeres de RDS bases de datos deben configurarse para varias zonas de disponibilidad

[RDS.16] Los clústeres RDS de bases de datos deben configurarse para copiar etiquetas en las instantáneas

[RDS.24] Los clústeres RDS de bases de datos deben usar un nombre de usuario de administrador personalizado

[RDS.25] las instancias RDS de bases de datos deben usar un nombre de usuario de administrador personalizado

[RDS.26] Las RDS instancias de base de datos deben protegerse mediante un plan de respaldo

[RDS.27] Los clústeres de RDS bases de datos deben cifrarse cuando están inactivos

[RDS.28] Los clústeres de RDS bases de datos deben etiquetarse

[RDS.29] Las instantáneas de los clústeres RDS de bases de datos deben estar etiquetadas

[RDS.30] Las RDS instancias de base de datos deben etiquetarse

[RDS.31] Los grupos de seguridad RDS de bases de datos deben etiquetarse

[RDS.32] Las instantáneas de bases de RDS datos deben estar etiquetadas

[RDS.33] Los grupos de subredes de RDS bases de datos deben etiquetarse

[RDS.34] Los clústeres de Aurora My SQL DB deberían publicar los registros de auditoría en Logs CloudWatch

[RDS.35] Los clústeres de RDS bases de datos deben tener habilitada la actualización automática de las versiones secundarias

[RDS.37] Los clústeres de SQL bases de datos Aurora Postgre deberían publicar registros en Logs CloudWatch

[Redshift.7] Los clústeres de Redshift deberían utilizar un enrutamiento mejorado VPC

Los clústeres de Redshift [Redshift.10] deben cifrarse en reposo

[Redshift.11] Los clústeres de Redshift deben estar etiquetados

[Redshift.12] Las suscripciones a notificaciones de eventos de Redshift deben estar etiquetadas

[Redshift.13] Las instantáneas del clúster de Redshift deben estar etiquetadas

[Redshift.14] Los grupos de subredes del clúster de Redshift deben estar etiquetados

[Redshift.15] Los grupos de seguridad de Redshift deberían permitir la entrada en el puerto del clúster solo desde orígenes restringidos

[Route53.1] Los controles de estado de Route 53 deben estar etiquetados

[Route53.2] Las zonas alojadas públicamente de Route 53 deberían registrar las consultas DNS

[S3.1] Los depósitos de uso general de S3 deberían tener habilitada la configuración de bloqueo de acceso público

[S3.8] Los depósitos de uso general de S3 deberían bloquear el acceso público

[S3.14] Los buckets de uso general de S3 deberían tener habilitado el control de versiones

[S3.22] Los buckets de uso general de S3 deberían registrar los eventos de escritura a nivel de objeto

[S3.23] Los depósitos de uso general de S3 deberían registrar los eventos de lectura a nivel de objeto

[S3.24] Los puntos de acceso multirregionales de S3 deben tener habilitada la configuración de bloqueo de acceso público

[SageMaker.1] Las instancias de Amazon SageMaker Notebook no deberían tener acceso directo a Internet

[SageMaker.4] Las variantes de producción de SageMaker terminales deben tener un recuento inicial de instancias superior a 1

[SES.1] las listas de SES contactos deben estar etiquetadas

[SES.2] los conjuntos de SES configuración deben estar etiquetados

[SecretsManager.3] Eliminar los secretos de Secrets Manager no utilizados

[SecretsManager.4] Los secretos de Secrets Manager deben rotarse en un número específico de días

[SecretsManager.5] Los secretos de Secrets Manager deben estar etiquetados

[ServiceCatalog.1] Las carteras de Service Catalog deben compartirse dentro de un AWS solo una organización

[SNS.3] SNS los temas deben estar etiquetados

[SQS.2] las colas deben estar etiquetadas SQS

[StepFunctions.2] Las actividades de Step Functions deben estar etiquetadas

[Transferencia.1] AWS Transfer Family los flujos de trabajo deben estar etiquetados

[Transfer.2] Los servidores Transfer Family no deben usar el FTP protocolo para la conexión de puntos finales

[WAF.1] AWS WAF El ACL registro web global clásico debe estar habilitado

[WAF.3] AWS WAF Los grupos de reglas regionales clásicos deben tener al menos una regla

[WAF.6] AWS WAF Las reglas globales clásicas deben tener al menos una condición

[WAF7.] AWS WAF Los grupos de reglas globales clásicos deben tener al menos una regla

[WAF.8] AWS WAF La web global clásica ACLs debe tener al menos una regla o grupo de reglas

[WAF.11] AWS WAF el ACL registro web debe estar habilitado

[WorkSpaces.1] los volúmenes de WorkSpaces usuarios deben cifrarse en reposo

[WorkSpaces.2] los volúmenes WorkSpaces raíz deben cifrarse en reposo

[ACM.1] Los certificados importados y ACM emitidos deben renovarse después de un período de tiempo específico

[ACM.2] RSA los certificados gestionados por ACM deben utilizar una longitud de clave de al menos 2048 bits

[ACM.3] ACM los certificados deben estar etiquetados

[Cuenta. 2] Cuentas de AWS debe ser parte de un AWS Organizations organización

[APIGateway.2] REST API Las etapas de la API puerta de enlace deben configurarse para usar SSL certificados para la autenticación de fondo

[APIGateway.3] REST API Las etapas de API Gateway deberían tener AWS X-Ray rastreo activado

[APIGateway.4] La API puerta de enlace debe estar asociada a una web WAF ACL

[AppSync.4] AWS AppSync GraphQL APIs debe estar etiquetado

[Athena.2] Los catálogos de datos de Athena deben estar etiquetados

[Athena.3] Los grupos de trabajo de Athena deben estar etiquetados

[AutoScaling.10] Los grupos EC2 de Auto Scaling deben estar etiquetados

[Copia de seguridad.1] AWS Backup los puntos de recuperación deben estar cifrados en reposo

[Copia de seguridad.2] AWS Backup los puntos de recuperación deben estar etiquetados

[Copia de seguridad.3] AWS Backup las bóvedas deben estar etiquetadas

[Respaldo. 4] AWS Backup los planes de informes deben estar etiquetados

[Respaldo. 5] AWS Backup los planes de respaldo deben estar etiquetados

[CloudFormation.2] las CloudFormation pilas deben estar etiquetadas

[CloudFront.1] CloudFront las distribuciones deben tener configurado un objeto raíz predeterminado

[CloudFront.3] CloudFront las distribuciones deberían requerir el cifrado en tránsito

[CloudFront.4] CloudFront las distribuciones deben tener configurada la conmutación por error de Origin

[CloudFront.5] CloudFront las distribuciones deberían tener el registro activado

[CloudFront.6] CloudFront las distribuciones deberían estar habilitadas WAF

[CloudFront.7] CloudFront las distribuciones deben usar certificados/personalizados SSL TLS

[CloudFront.8] CloudFront las distribuciones deberían usarse SNI para atender las solicitudes HTTPS

[CloudFront.9] CloudFront las distribuciones deberían cifrar el tráfico hacia orígenes personalizados

[CloudFront.10] CloudFront las distribuciones no deberían usar SSL protocolos obsoletos entre las ubicaciones de los bordes y los orígenes personalizados

[CloudFront.12] CloudFront las distribuciones no deben apuntar a orígenes S3 inexistentes

[CloudFront.13] CloudFront las distribuciones deben usar el control de acceso al origen

[CloudFront.14] CloudFront las distribuciones deben estar etiquetadas

[CloudTrail.9] las CloudTrail rutas deben estar etiquetadas

[CloudWatch.15] CloudWatch las alarmas deben tener configuradas las acciones especificadas

[CloudWatch.16] Los grupos de CloudWatch registros deben conservarse durante un período de tiempo específico

[CodeArtifact.1] CodeArtifact Los repositorios deben estar etiquetados

[DataFirehose.1] Los flujos de entrega de Firehose deben cifrarse en reposo

[Detective.1] Los gráficos de comportamiento de los detectives deben estar etiquetados

[DMS.2] DMS los certificados deben estar etiquetados

[DMS.3] las suscripciones a DMS eventos deben estar etiquetadas

[DMS.4] las instancias de DMS replicación deben estar etiquetadas

[DMS.5] los grupos de subredes de DMS replicación deben estar etiquetados

[DMS.10] DMS Los puntos finales de las bases de datos de Neptune deben tener habilitada la autorización IAM

[DMS.11] DMS Los puntos finales de MongoDB deberían tener habilitado un mecanismo de autenticación

[DMS.12] DMS Los puntos finales de Redis OSS deberían estar habilitados TLS

[DocumentDb.3] Las instantáneas de clústeres manuales de Amazon DocumentDB no deben ser públicas

[DynamoDB.3] Los clústeres de DynamoDB Accelerator () deben cifrarse en reposo DAX

[DynamoDB.4] Las tablas de DynamoDB deben estar presentes en un plan de copias de seguridad

[DynamoDB.5] Las tablas de DynamoDB deben estar etiquetadas

[DynamoDB.7] Los clústeres de DynamoDB Accelerator deben cifrarse en tránsito

[EC2.15] EC2 Las subredes de Amazon no deberían asignar automáticamente direcciones IP públicas

[EC2.16] Deben eliminarse las listas de control de acceso a la red no utilizadas

[EC2.20] Ambos VPN túneles forman un AWS La VPN conexión de sitio a sitio debe estar activa

[EC2.22] Los grupos de EC2 seguridad de Amazon no utilizados deberían eliminarse

[EC2.23] Amazon EC2 Transit Gateways no debería aceptar VPC automáticamente las solicitudes de archivos adjuntos

[EC2.24] No se deben usar los tipos de instancias EC2 paravirtuales de Amazon

[EC2.28] EBS los volúmenes deben estar cubiertos por un plan de respaldo

[EC2.33] Los archivos adjuntos a las pasarelas de EC2 tránsito deben estar etiquetados

[EC2.34] Las tablas de rutas de las pasarelas de EC2 tránsito deben estar etiquetadas

Las interfaces de EC2 red deben estar etiquetadas [EC2.35]

[EC2.36] Las pasarelas de EC2 clientes deben estar etiquetadas

[EC2.37] Las direcciones IP EC2 elásticas deben estar etiquetadas

[EC2.38] EC2 las instancias deben estar etiquetadas

[EC2.39] Las pasarelas EC2 de Internet deben estar etiquetadas

EC2NATLas pasarelas [EC2.40] deben estar etiquetadas

La EC2 red [EC2.41] ACLs debe estar etiquetada

[EC2.42] las tablas de EC2 rutas deben estar etiquetadas

[EC2.43] los grupos EC2 de seguridad deben estar etiquetados

EC2Las subredes [EC2.44] deben estar etiquetadas

[EC2.45] los EC2 volúmenes deben estar etiquetados

[EC2.46] Amazon VPCs debería estar etiquetado

[EC2.47] Los servicios de Amazon VPC Endpoint Services deben estar etiquetados

[EC2.48] Los registros de VPC flujo de Amazon deben estar etiquetados

[EC2.49] VPC Las conexiones entre pares de Amazon deben estar etiquetadas

EC2VPNLas pasarelas de enlace [EC2.50] deben estar etiquetadas

[EC2.51] Los VPN puntos finales de los EC2 clientes deben tener habilitado el registro de las conexiones de los clientes

[EC2.52] Las pasarelas de EC2 tránsito deben estar etiquetadas

[ECR.1] Los repositorios ECR privados deben tener configurado el escaneo de imágenes

[ECR.4] Los repositorios ECR públicos deben estar etiquetados

[ECS.1] Las definiciones de ECS tareas de Amazon deben tener modos de red seguros y definiciones de usuario.

[ECS.13] ECS los servicios deben estar etiquetados

[ECS.14] los ECS clústeres deben estar etiquetados

[ECS.15] las definiciones de ECS tareas deben estar etiquetadas

[EFS.3] los puntos de EFS acceso deben establecer un directorio raíz

[EFS.4] los puntos de EFS acceso deben imponer la identidad de un usuario

[EFS.5] los puntos de EFS acceso deben estar etiquetados

[EFS.6] Los destinos de EFS montaje no deben estar asociados a una subred pública

[EKS.3] los EKS clústeres deben usar secretos de Kubernetes cifrados

[EKS.6] EKS los clústeres deben estar etiquetados

[EKS.7] Las configuraciones de los proveedores de EKS identidad deben estar etiquetadas

[ELB.2] Los balanceadores de carga clásicos con HTTPS listenersSSL/deben usar un certificado proporcionado por AWS Certificate Manager

[ELB.16] Los balanceadores de carga de aplicaciones deben estar asociados a una web AWS WAF ACL

[ElastiCache.1] Los clústeres ElastiCache (RedisOSS) deben tener habilitadas las copias de seguridad automáticas

[ElasticBeanstalk.1] Los entornos de Elastic Beanstalk deberían tener habilitados los informes de estado mejorados

[ElasticBeanstalk.2] Las actualizaciones de la plataforma gestionada de Elastic Beanstalk deben estar habilitadas

[ElasticBeanstalk.3] Elastic Beanstalk debería transmitir los registros a CloudWatch

[EMR.2] La configuración de EMR bloqueo de acceso público de Amazon debe estar habilitada

[ES.1] Los dominios de Elasticsearch deben tener habilitado el cifrado en reposo

[ES.3] Los dominios de Elasticsearch deben cifrar los datos enviados entre nodos

[ES.4] Debe estar habilitado el registro de errores de dominio de Elasticsearch en los CloudWatch registros

[ES.9] Los dominios de Elasticsearch deben estar etiquetados

[EventBridge.2] los autobuses de EventBridge eventos deben estar etiquetados

[EventBridge.4] Los puntos finales EventBridge globales deberían tener habilitada la replicación de eventos

[FSx.1] FSx para sistemas de ZFS archivos abiertos, debe configurarse para copiar etiquetas a copias de seguridad y volúmenes

[FSx.2] FSx para Lustre, los sistemas de archivos deben configurarse para copiar etiquetas a las copias de seguridad

[GlobalAccelerator.1] Los aceleradores de Global Accelerator deben estar etiquetados

[Pegamento.1] AWS Glue los trabajos deben estar etiquetados

[Pegamento.3] AWS Glue Las transformaciones de aprendizaje automático deben cifrarse en reposo

[GuardDuty.1] GuardDuty debe estar activado

[GuardDuty.2] GuardDuty los filtros deben estar etiquetados

[GuardDuty.3] GuardDuty IPSets debe estar etiquetado

[GuardDuty.4] GuardDuty los detectores deben estar etiquetados

[GuardDuty.5] La supervisión del registro de GuardDuty EKS auditoría debe estar habilitada

[GuardDuty.6] La protección GuardDuty Lambda debe estar habilitada

[GuardDuty.7] La monitorización del GuardDuty EKS tiempo de ejecución debe estar habilitada

[GuardDuty.8] La protección contra GuardDuty malware para EC2 debe estar habilitada

[GuardDuty.9] La GuardDuty RDS protección debe estar habilitada

[GuardDuty.10] La protección GuardDuty S3 debe estar habilitada

[IAM.6] El hardware MFA debe estar habilitado para el usuario root

[IAM.9] MFA debe estar activado para el usuario root

[IAM.21] Las políticas gestionadas por el IAM cliente que cree no deberían permitir acciones comodín para los servicios

[IAM.23] Los analizadores de IAM Access Analyzer deben estar etiquetados

Los IAM roles deben estar IAM etiquetados [.24]

Se debe etiquetar a IAM los usuarios [IAM.25]

[IAM.26] TLS Los certificados SSL caducados o gestionados IAM deben eliminarse

[IAM.27] IAM las identidades no deberían tener la AWSCloudShellFullAccess política adjunta

[IAM.28] El analizador de IAM acceso externo Access Analyzer debe estar activado

[Inspector.1] El EC2 escaneo de Amazon Inspector debe estar activado

[Inspector.2] El ECR escaneo de Amazon Inspector debe estar activado

[Inspector.3] Debe estar activado el escaneo de código Lambda de Amazon Inspector

[Inspector.4] El escaneo estándar de Amazon Inspector Lambda debe estar activado

[IoT 1] AWS IoT Device Defender los perfiles de seguridad deben estar etiquetados

[IoT 2] AWS IoT Core las acciones de mitigación deben estar etiquetadas

[IoT 3] AWS IoT Core las dimensiones deben estar etiquetadas

[IoT. 4] AWS IoT Core los autorizadores deben estar etiquetados

[IoT 5] AWS IoT Core los alias de los roles deben estar etiquetados

[IoT 6] AWS IoT Core las políticas deben estar etiquetadas

[Kinesis.2] Las transmisiones de Kinesis deben estar etiquetadas

[Lambda.1] Las políticas de función de Lambda deberían prohibir el acceso público

[Lambda.2] Las funciones de Lambda deben usar los tiempos de ejecución admitidos

[Lambda.3] Las funciones lambda deben estar en un VPC

[Lambda.5] Las funciones VPC Lambda deben funcionar en varias zonas de disponibilidad

[Lambda.6] Las funciones Lambda deben etiquetarse

[Macie.1] Amazon Macie debería estar activado

[Macie.2] La detección automática de datos confidenciales por parte de Macie debería estar habilitada

[MQ.2] Los corredores de ActiveMQ deberían transmitir los registros de auditoría a CloudWatch

[MQ.4] Los corredores de Amazon MQ deberían estar etiquetados

[Neptune.3] Las instantáneas del clúster de base de datos de Neptune no deben ser públicas

[NetworkFirewall.1] Los firewalls de Network Firewall deben implementarse en varias zonas de disponibilidad

[NetworkFirewall.2] El registro de Network Firewall debe estar habilitado

[NetworkFirewall.3] Las políticas de Network Firewall deben tener asociado al menos un grupo de reglas

[NetworkFirewall.4] La acción sin estado predeterminada para las políticas de Network Firewall debe ser eliminar o reenviar paquetes completos

[NetworkFirewall.5] La acción sin estado predeterminada para las políticas de Network Firewall debe ser eliminar o reenviar paquetes fragmentados

[NetworkFirewall.6] El grupo de reglas de Stateless Network Firewall no debe estar vacío

[NetworkFirewall.7] Los firewalls de Network Firewall deben estar etiquetados

[NetworkFirewall.8] Las políticas de firewall de Network Firewall deben estar etiquetadas

[NetworkFirewall.9] Los firewalls de Network Firewall deben tener habilitada la protección contra eliminaciones

Los OpenSearch dominios [Opensearch.1] deben tener activado el cifrado en reposo

Los OpenSearch dominios [Opensearch.2] no deben ser de acceso público

Los OpenSearch dominios [Opensearch.3] deben cifrar los datos enviados entre nodos

El registro de errores de OpenSearch dominio [Opensearch.4] en CloudWatch Logs debe estar activado

Los OpenSearch dominios [Opensearch.5] deben tener habilitado el registro de auditoría

Los OpenSearch dominios [Opensearch.6] deben tener al menos tres nodos de datos

Los OpenSearch dominios [Opensearch.7] deben tener habilitado un control de acceso detallado

[Opensearch.8] Las conexiones a los dominios deben cifrarse OpenSearch según la política de seguridad más reciente TLS

Los OpenSearch dominios [Opensearch.9] deben estar etiquetados

Los OpenSearch dominios [Opensearch.11] deben tener al menos tres nodos principales dedicados

[PCA.1] AWS Private CA la autoridad emisora de certificados raíz debe estar deshabilitada

[RDS.7] RDS los clústeres deben tener habilitada la protección contra la eliminación

[RDS.9] Las RDS instancias de base de datos deben publicar los registros en Logs CloudWatch

La IAM autenticación [RDS.10] debe configurarse para las instancias RDS

La IAM autenticación [RDS.12] debe configurarse para RDS los clústeres

[RDS.13] Las actualizaciones RDS automáticas de las versiones secundarias deben estar habilitadas

[RDS.14] Los clústeres de Amazon Aurora deben tener habilitada la función de retroceso

[RDS.15] Los clústeres de RDS bases de datos deben configurarse para varias zonas de disponibilidad

[RDS.24] Los clústeres RDS de bases de datos deben usar un nombre de usuario de administrador personalizado

[RDS.25] las instancias RDS de bases de datos deben usar un nombre de usuario de administrador personalizado

[RDS.26] Las RDS instancias de base de datos deben protegerse mediante un plan de respaldo

[RDS.28] Los clústeres de RDS bases de datos deben etiquetarse

[RDS.29] Las instantáneas de los clústeres RDS de bases de datos deben estar etiquetadas

[RDS.30] Las RDS instancias de base de datos deben etiquetarse

[RDS.31] Los grupos de seguridad RDS de bases de datos deben etiquetarse

[RDS.32] Las instantáneas de bases de RDS datos deben estar etiquetadas

[RDS.33] Los grupos de subredes de RDS bases de datos deben etiquetarse

[RDS.34] Los clústeres de Aurora My SQL DB deberían publicar los registros de auditoría en Logs CloudWatch

[RDS.35] Los clústeres de RDS bases de datos deben tener habilitada la actualización automática de las versiones secundarias

Los clústeres de Amazon Redshift [Redshift.3] deben tener habilitadas las instantáneas automáticas

[Redshift.7] Los clústeres de Redshift deberían utilizar un enrutamiento mejorado VPC

Los clústeres de Redshift [Redshift.10] deben cifrarse en reposo

[Redshift.11] Los clústeres de Redshift deben estar etiquetados

[Redshift.12] Las suscripciones a notificaciones de eventos de Redshift deben estar etiquetadas

[Redshift.13] Las instantáneas del clúster de Redshift deben estar etiquetadas

[Redshift.14] Los grupos de subredes del clúster de Redshift deben estar etiquetados

[Redshift.15] Los grupos de seguridad de Redshift deberían permitir la entrada en el puerto del clúster solo desde orígenes restringidos

[Route53.1] Los controles de estado de Route 53 deben estar etiquetados

[Route53.2] Las zonas alojadas públicamente de Route 53 deberían registrar las consultas DNS

[S3.1] Los depósitos de uso general de S3 deberían tener habilitada la configuración de bloqueo de acceso público

[S3.8] Los depósitos de uso general de S3 deberían bloquear el acceso público

[S3.14] Los buckets de uso general de S3 deberían tener habilitado el control de versiones

[S3.24] Los puntos de acceso multirregionales de S3 deben tener habilitada la configuración de bloqueo de acceso público

[SageMaker.1] Las instancias de Amazon SageMaker Notebook no deberían tener acceso directo a Internet

[SageMaker.4] Las variantes de producción de SageMaker terminales deben tener un recuento inicial de instancias superior a 1

[SES.1] las listas de SES contactos deben estar etiquetadas

[SES.2] los conjuntos de SES configuración deben estar etiquetados

[SecretsManager.3] Eliminar los secretos de Secrets Manager no utilizados

[SecretsManager.4] Los secretos de Secrets Manager deben rotarse en un número específico de días

[SecretsManager.5] Los secretos de Secrets Manager deben estar etiquetados

[ServiceCatalog.1] Las carteras de Service Catalog deben compartirse dentro de un AWS solo una organización

[SNS.3] SNS los temas deben estar etiquetados

[SQS.2] las colas deben estar etiquetadas SQS

[StepFunctions.2] Las actividades de Step Functions deben estar etiquetadas

[Transferencia.1] AWS Transfer Family los flujos de trabajo deben estar etiquetados

[Transfer.2] Los servidores Transfer Family no deben usar el FTP protocolo para la conexión de puntos finales

[WAF.1] AWS WAF El ACL registro web global clásico debe estar habilitado

[WAF.3] AWS WAF Los grupos de reglas regionales clásicos deben tener al menos una regla

[WAF.6] AWS WAF Las reglas globales clásicas deben tener al menos una condición

[WAF7.] AWS WAF Los grupos de reglas globales clásicos deben tener al menos una regla

[WAF.8] AWS WAF La web global clásica ACLs debe tener al menos una regla o grupo de reglas

[WAF.11] AWS WAF el ACL registro web debe estar habilitado

[CloudFront.1] CloudFront las distribuciones deben tener configurado un objeto raíz predeterminado

[CloudFront.3] CloudFront las distribuciones deberían requerir el cifrado en tránsito

[CloudFront.4] CloudFront las distribuciones deben tener configurada la conmutación por error de Origin

[CloudFront.5] CloudFront las distribuciones deberían tener el registro activado

[CloudFront.6] CloudFront las distribuciones deberían estar habilitadas WAF

[CloudFront.7] CloudFront las distribuciones deben usar certificados/personalizados SSL TLS

[CloudFront.8] CloudFront las distribuciones deberían usarse SNI para atender las solicitudes HTTPS

[CloudFront.9] CloudFront las distribuciones deberían cifrar el tráfico hacia orígenes personalizados

[CloudFront.10] CloudFront las distribuciones no deberían usar SSL protocolos obsoletos entre las ubicaciones de los bordes y los orígenes personalizados

[CloudFront.12] CloudFront las distribuciones no deben apuntar a orígenes S3 inexistentes

[CloudFront.13] CloudFront las distribuciones deben usar el control de acceso al origen

[CloudFront.14] CloudFront las distribuciones deben estar etiquetadas

[ECR.4] Los repositorios ECR públicos deben estar etiquetados

[GlobalAccelerator.1] Los aceleradores de Global Accelerator deben estar etiquetados

[IAM.26] TLS Los certificados SSL caducados o gestionados IAM deben eliminarse

[RDS.31] Los grupos de seguridad RDS de bases de datos deben etiquetarse

[Route53.1] Los controles de estado de Route 53 deben estar etiquetados

[Route53.2] Las zonas alojadas públicamente de Route 53 deberían registrar las consultas DNS

[S3.24] Los puntos de acceso multirregionales de S3 deben tener habilitada la configuración de bloqueo de acceso público

[WAF.1] AWS WAF El ACL registro web global clásico debe estar habilitado

[WAF.6] AWS WAF Las reglas globales clásicas deben tener al menos una condición

[WAF7.] AWS WAF Los grupos de reglas globales clásicos deben tener al menos una regla

[WAF.8] AWS WAF La web global clásica ACLs debe tener al menos una regla o grupo de reglas

[CloudFront.1] CloudFront las distribuciones deben tener configurado un objeto raíz predeterminado

[CloudFront.3] CloudFront las distribuciones deberían requerir el cifrado en tránsito

[CloudFront.4] CloudFront las distribuciones deben tener configurada la conmutación por error de Origin

[CloudFront.5] CloudFront las distribuciones deberían tener el registro activado

[CloudFront.6] CloudFront las distribuciones deberían estar habilitadas WAF

[CloudFront.7] CloudFront las distribuciones deben usar certificados/personalizados SSL TLS

[CloudFront.8] CloudFront las distribuciones deberían usarse SNI para atender las solicitudes HTTPS

[CloudFront.9] CloudFront las distribuciones deberían cifrar el tráfico hacia orígenes personalizados

[CloudFront.10] CloudFront las distribuciones no deberían usar SSL protocolos obsoletos entre las ubicaciones de los bordes y los orígenes personalizados

[CloudFront.12] CloudFront las distribuciones no deben apuntar a orígenes S3 inexistentes

[CloudFront.13] CloudFront las distribuciones deben usar el control de acceso al origen

[CloudFront.14] CloudFront las distribuciones deben estar etiquetadas

[ECR.4] Los repositorios ECR públicos deben estar etiquetados

[GlobalAccelerator.1] Los aceleradores de Global Accelerator deben estar etiquetados

[IAM.26] TLS Los certificados SSL caducados o gestionados IAM deben eliminarse

[Route53.1] Los controles de estado de Route 53 deben estar etiquetados

[Route53.2] Las zonas alojadas públicamente de Route 53 deberían registrar las consultas DNS

[S3.24] Los puntos de acceso multirregionales de S3 deben tener habilitada la configuración de bloqueo de acceso público

[WAF.1] AWS WAF El ACL registro web global clásico debe estar habilitado

[WAF.6] AWS WAF Las reglas globales clásicas deben tener al menos una condición

[WAF7.] AWS WAF Los grupos de reglas globales clásicos deben tener al menos una regla

[WAF.8] AWS WAF La web global clásica ACLs debe tener al menos una regla o grupo de reglas

[CloudFront.1] CloudFront las distribuciones deben tener configurado un objeto raíz predeterminado

[CloudFront.3] CloudFront las distribuciones deberían requerir el cifrado en tránsito

[CloudFront.4] CloudFront las distribuciones deben tener configurada la conmutación por error de Origin

[CloudFront.5] CloudFront las distribuciones deberían tener el registro activado

[CloudFront.6] CloudFront las distribuciones deberían estar habilitadas WAF

[CloudFront.7] CloudFront las distribuciones deben usar certificados/personalizados SSL TLS

[CloudFront.8] CloudFront las distribuciones deberían usarse SNI para atender las solicitudes HTTPS

[CloudFront.9] CloudFront las distribuciones deberían cifrar el tráfico hacia orígenes personalizados

[CloudFront.10] CloudFront las distribuciones no deberían usar SSL protocolos obsoletos entre las ubicaciones de los bordes y los orígenes personalizados

[CloudFront.12] CloudFront las distribuciones no deben apuntar a orígenes S3 inexistentes

[CloudFront.13] CloudFront las distribuciones deben usar el control de acceso al origen

[CloudFront.14] CloudFront las distribuciones deben estar etiquetadas

[EC2.24] No se deben usar los tipos de instancias EC2 paravirtuales de Amazon

[ECR.4] Los repositorios ECR públicos deben estar etiquetados

[GlobalAccelerator.1] Los aceleradores de Global Accelerator deben estar etiquetados

[IAM.26] TLS Los certificados SSL caducados o gestionados IAM deben eliminarse

[RDS.31] Los grupos de seguridad RDS de bases de datos deben etiquetarse

[Route53.1] Los controles de estado de Route 53 deben estar etiquetados

[Route53.2] Las zonas alojadas públicamente de Route 53 deberían registrar las consultas DNS

[S3.24] Los puntos de acceso multirregionales de S3 deben tener habilitada la configuración de bloqueo de acceso público

[WAF.1] AWS WAF El ACL registro web global clásico debe estar habilitado

[WAF.6] AWS WAF Las reglas globales clásicas deben tener al menos una condición

[WAF7.] AWS WAF Los grupos de reglas globales clásicos deben tener al menos una regla

[WAF.8] AWS WAF La web global clásica ACLs debe tener al menos una regla o grupo de reglas

[ACM.1] Los certificados importados y ACM emitidos deben renovarse después de un período de tiempo específico

[CloudFront.1] CloudFront las distribuciones deben tener configurado un objeto raíz predeterminado

[CloudFront.3] CloudFront las distribuciones deberían requerir el cifrado en tránsito

[CloudFront.4] CloudFront las distribuciones deben tener configurada la conmutación por error de Origin

[CloudFront.5] CloudFront las distribuciones deberían tener el registro activado

[CloudFront.6] CloudFront las distribuciones deberían estar habilitadas WAF

[CloudFront.7] CloudFront las distribuciones deben usar certificados/personalizados SSL TLS

[CloudFront.8] CloudFront las distribuciones deberían usarse SNI para atender las solicitudes HTTPS

[CloudFront.9] CloudFront las distribuciones deberían cifrar el tráfico hacia orígenes personalizados

[CloudFront.10] CloudFront las distribuciones no deberían usar SSL protocolos obsoletos entre las ubicaciones de los bordes y los orígenes personalizados

[CloudFront.12] CloudFront las distribuciones no deben apuntar a orígenes S3 inexistentes

[CloudFront.13] CloudFront las distribuciones deben usar el control de acceso al origen

[CloudFront.14] CloudFront las distribuciones deben estar etiquetadas

[CodeBuild.1] CodeBuild El repositorio fuente de Bitbucket no URLs debe contener credenciales confidenciales

[DMS.1] Las instancias de replicación de Database Migration Service no deben ser públicas

[DMS.10] DMS Los puntos finales de las bases de datos de Neptune deben tener habilitada la autorización IAM

[DynamoDB.3] Los clústeres de DynamoDB Accelerator () deben cifrarse en reposo DAX

[DynamoDB.7] Los clústeres de DynamoDB Accelerator deben cifrarse en tránsito

[EC2.3] EBS Los volúmenes adjuntos de Amazon deben cifrarse en reposo

[EC2.4] EC2 Las instancias detenidas deben eliminarse después de un período de tiempo específico

[EC2.8] EC2 las instancias deben usar la versión 2 del servicio de metadatos de instancias IMDSv2

[EC2.12] Amazon no utilizado EC2 EIPs debería retirarse

[EC2.13] Los grupos de seguridad no deberían permitir la entrada desde el 0.0.0.0/0 o: :/0 al puerto 22

[EC2.14] Los grupos de seguridad no deberían permitir la entrada desde el 0.0.0.0/0 o: :/0 al puerto 3389

[EC2.24] No se deben usar los tipos de instancias EC2 paravirtuales de Amazon

[ECR.4] Los repositorios ECR públicos deben estar etiquetados

[ECS.12] ECS los clústeres deben usar Container Insights

[EFS.1] El Elastic File System debe configurarse para cifrar los datos de los archivos en reposo mediante AWS KMS

[EFS.2] EFS Los volúmenes de Amazon deberían estar en los planes de respaldo

[ELB.1] Application Load Balancer debe configurarse para redirigir todas las HTTP solicitudes a HTTPS

[ELB.2] Los balanceadores de carga clásicos con HTTPS listenersSSL/deben usar un certificado proporcionado por AWS Certificate Manager

[ELB.4] Application Load Balancer debe configurarse para eliminar los encabezados http no válidos

[ELB.8] Los balanceadores de carga clásicos con SSL oyentes deben usar una política de seguridad predefinida que tenga una duración sólida AWS Config

[ELB.16] Los balanceadores de carga de aplicaciones deben estar asociados a una web AWS WAF ACL

[EMR.1] Los nodos principales EMR del clúster de Amazon no deben tener direcciones IP públicas

[ES.3] Los dominios de Elasticsearch deben cifrar los datos enviados entre nodos

[EventBridge.4] Los puntos finales EventBridge globales deberían tener habilitada la replicación de eventos

[FSx.1] FSx para sistemas de ZFS archivos abiertos, debe configurarse para copiar etiquetas a copias de seguridad y volúmenes

[GlobalAccelerator.1] Los aceleradores de Global Accelerator deben estar etiquetados

[IAM.18] Asegúrese de que se haya creado una función de soporte para gestionar los incidentes con AWS Support

[IAM.26] TLS Los certificados SSL caducados o gestionados IAM deben eliminarse

[Inspector.3] Debe estar activado el escaneo de código Lambda de Amazon Inspector

[IoT 1] AWS IoT Device Defender los perfiles de seguridad deben estar etiquetados

[IoT 2] AWS IoT Core las acciones de mitigación deben estar etiquetadas

[IoT 3] AWS IoT Core las dimensiones deben estar etiquetadas

[IoT. 4] AWS IoT Core los autorizadores deben estar etiquetados

[IoT 5] AWS IoT Core los alias de los roles deben estar etiquetados

[IoT 6] AWS IoT Core las políticas deben estar etiquetadas

[Neptune.1] Los clústeres de bases de datos de Neptune deben cifrarse en reposo

[Neptune.2] Los clústeres de bases de datos de Neptune deberían publicar los registros de auditoría en Logs CloudWatch

[Neptune.3] Las instantáneas del clúster de base de datos de Neptune no deben ser públicas

[Neptune.4] Los clústeres de base de datos de Neptune deben tener habilitada la protección de eliminación

[Neptune.5] Los clústeres de bases de datos de Neptune deberían tener habilitadas las copias de seguridad automáticas

[Neptune.6] Las instantáneas del clúster de base de datos de Neptune deben cifrarse en reposo

[Neptune.7] Los clústeres de bases de datos de Neptune deben tener habilitada la autenticación de bases de datos IAM

[Neptune.8] Los clústeres de base de datos de Neptune deben configurarse para copiar etiquetas a las instantáneas

[Neptune.9] Los clústeres de base de datos de Neptune se deben implementar en varias zonas de disponibilidad

Los OpenSearch dominios [Opensearch.1] deben tener activado el cifrado en reposo

Los OpenSearch dominios [Opensearch.2] no deben ser de acceso público

Los OpenSearch dominios [Opensearch.3] deben cifrar los datos enviados entre nodos

El registro de errores de OpenSearch dominio [Opensearch.4] en CloudWatch Logs debe estar activado

Los OpenSearch dominios [Opensearch.5] deben tener habilitado el registro de auditoría

Los OpenSearch dominios [Opensearch.6] deben tener al menos tres nodos de datos

Los OpenSearch dominios [Opensearch.7] deben tener habilitado un control de acceso detallado

[Opensearch.8] Las conexiones a los dominios deben cifrarse OpenSearch según la política de seguridad más reciente TLS

[RDS.1] La RDS instantánea debe ser privada

[RDS.4] Las instantáneas de RDS clústeres y las instantáneas de bases de datos deben cifrarse cuando están inactivas

[RDS.9] Las RDS instancias de base de datos deben publicar los registros en Logs CloudWatch

[RDS.14] Los clústeres de Amazon Aurora deben tener habilitada la función de retroceso

[RDS.31] Los grupos de seguridad RDS de bases de datos deben etiquetarse

Las conexiones a los clústeres de Amazon Redshift [Redshift.2] deben cifrarse en tránsito

Los clústeres de Amazon Redshift [Redshift.3] deben tener habilitadas las instantáneas automáticas

[Route53.1] Los controles de estado de Route 53 deben estar etiquetados

[Route53.2] Las zonas alojadas públicamente de Route 53 deberían registrar las consultas DNS

[S3.24] Los puntos de acceso multirregionales de S3 deben tener habilitada la configuración de bloqueo de acceso público

[SageMaker.1] Las instancias de Amazon SageMaker Notebook no deberían tener acceso directo a Internet

[SSM.2] EC2 Las instancias de Amazon gestionadas por Systems Manager deben tener un estado de conformidad con el parche COMPLIANT tras la instalación de un parche

[SSM.3] EC2 Las instancias de Amazon gestionadas por Systems Manager deben tener un estado de conformidad de asociación de COMPLIANT

[WAF.1] AWS WAF El ACL registro web global clásico debe estar habilitado

[WAF.6] AWS WAF Las reglas globales clásicas deben tener al menos una condición

[WAF7.] AWS WAF Los grupos de reglas globales clásicos deben tener al menos una regla

[WAF.8] AWS WAF La web global clásica ACLs debe tener al menos una regla o grupo de reglas

[WAF.11] AWS WAF el ACL registro web debe estar habilitado

[WorkSpaces.1] los volúmenes de WorkSpaces usuarios deben cifrarse en reposo

[WorkSpaces.2] los volúmenes WorkSpaces raíz deben cifrarse en reposo

[CloudFront.1] CloudFront las distribuciones deben tener configurado un objeto raíz predeterminado

[CloudFront.3] CloudFront las distribuciones deberían requerir el cifrado en tránsito

[CloudFront.4] CloudFront las distribuciones deben tener configurada la conmutación por error de Origin

[CloudFront.5] CloudFront las distribuciones deberían tener el registro activado

[CloudFront.6] CloudFront las distribuciones deberían estar habilitadas WAF

[CloudFront.7] CloudFront las distribuciones deben usar certificados/personalizados SSL TLS

[CloudFront.8] CloudFront las distribuciones deberían usarse SNI para atender las solicitudes HTTPS

[CloudFront.9] CloudFront las distribuciones deberían cifrar el tráfico hacia orígenes personalizados

[CloudFront.10] CloudFront las distribuciones no deberían usar SSL protocolos obsoletos entre las ubicaciones de los bordes y los orígenes personalizados

[CloudFront.12] CloudFront las distribuciones no deben apuntar a orígenes S3 inexistentes

[CloudFront.13] CloudFront las distribuciones deben usar el control de acceso al origen

[CloudFront.14] CloudFront las distribuciones deben estar etiquetadas

[EC2.24] No se deben usar los tipos de instancias EC2 paravirtuales de Amazon

[ECR.4] Los repositorios ECR públicos deben estar etiquetados

[FSx.1] FSx para sistemas de ZFS archivos abiertos, debe configurarse para copiar etiquetas a copias de seguridad y volúmenes

[GlobalAccelerator.1] Los aceleradores de Global Accelerator deben estar etiquetados

[IAM.26] TLS Los certificados SSL caducados o gestionados IAM deben eliminarse

[Inspector.3] Debe estar activado el escaneo de código Lambda de Amazon Inspector

[RDS.31] Los grupos de seguridad RDS de bases de datos deben etiquetarse

[Route53.1] Los controles de estado de Route 53 deben estar etiquetados

[Route53.2] Las zonas alojadas públicamente de Route 53 deberían registrar las consultas DNS

[S3.24] Los puntos de acceso multirregionales de S3 deben tener habilitada la configuración de bloqueo de acceso público

[WAF.1] AWS WAF El ACL registro web global clásico debe estar habilitado

[WAF.6] AWS WAF Las reglas globales clásicas deben tener al menos una condición

[WAF7.] AWS WAF Los grupos de reglas globales clásicos deben tener al menos una regla

[WAF.8] AWS WAF La web global clásica ACLs debe tener al menos una regla o grupo de reglas

[WorkSpaces.1] los volúmenes de WorkSpaces usuarios deben cifrarse en reposo

[WorkSpaces.2] los volúmenes WorkSpaces raíz deben cifrarse en reposo

[ACM.1] Los certificados importados y ACM emitidos deben renovarse después de un período de tiempo específico

[ACM.2] RSA los certificados gestionados por ACM deben utilizar una longitud de clave de al menos 2048 bits

[Cuenta. 2] Cuentas de AWS debe ser parte de un AWS Organizations organización

[APIGateway.3] REST API Las etapas de API Gateway deberían tener AWS X-Ray rastreo activado

[APIGateway.4] La API puerta de enlace debe estar asociada a una web WAF ACL

[APIGateway.8] Las rutas de API gateway deben especificar un tipo de autorización

[APIGateway.9] El registro de acceso debe configurarse para las etapas de API Gateway V2

[AppSync.2] AWS AppSync debe tener habilitado el registro a nivel de campo

[AppSync.5] AWS AppSync GraphQL no APIs debe autenticarse con claves API

[Athena.4] Los grupos de trabajo de Athena deben tener habilitado el registro

[Copia de seguridad.1] AWS Backup los puntos de recuperación deben estar cifrados en reposo

[Copia de seguridad.2] AWS Backup los puntos de recuperación deben estar etiquetados

[Respaldo. 4] AWS Backup los planes de informes deben estar etiquetados

[CloudFormation.2] las CloudFormation pilas deben estar etiquetadas

[CloudFront.1] CloudFront las distribuciones deben tener configurado un objeto raíz predeterminado

[CloudFront.3] CloudFront las distribuciones deberían requerir el cifrado en tránsito

[CloudFront.4] CloudFront las distribuciones deben tener configurada la conmutación por error de Origin

[CloudFront.5] CloudFront las distribuciones deberían tener el registro activado

[CloudFront.6] CloudFront las distribuciones deberían estar habilitadas WAF

[CloudFront.7] CloudFront las distribuciones deben usar certificados/personalizados SSL TLS

[CloudFront.8] CloudFront las distribuciones deberían usarse SNI para atender las solicitudes HTTPS

[CloudFront.9] CloudFront las distribuciones deberían cifrar el tráfico hacia orígenes personalizados

[CloudFront.10] CloudFront las distribuciones no deberían usar SSL protocolos obsoletos entre las ubicaciones de los bordes y los orígenes personalizados

[CloudFront.12] CloudFront las distribuciones no deben apuntar a orígenes S3 inexistentes

[CloudFront.13] CloudFront las distribuciones deben usar el control de acceso al origen

[CloudFront.14] CloudFront las distribuciones deben estar etiquetadas

[CloudTrail.6] Asegúrese de que el depósito de S3 que se utiliza para almacenar CloudTrail los registros no sea de acceso público

[CloudTrail.7] Asegúrese de que el registro de acceso al bucket de S3 esté habilitado en el CloudTrail bucket de S3

[CloudWatch.16] Los grupos de CloudWatch registros deben conservarse durante un período de tiempo específico

[CodeArtifact.1] CodeArtifact Los repositorios deben estar etiquetados

[CodeBuild.1] CodeBuild El repositorio fuente de Bitbucket no URLs debe contener credenciales confidenciales

[CodeBuild.2] Las variables de entorno CodeBuild del proyecto no deben contener credenciales de texto claro

[CodeBuild.3] Los registros de CodeBuild S3 deben estar cifrados

[CodeBuild.4] los entornos de CodeBuild proyectos deben tener un registro AWS Config Duración

[CodeBuild.7] las exportaciones de grupos de CodeBuild informes deben cifrarse en reposo

[Detective.1] Los gráficos de comportamiento de los detectives deben estar etiquetados

[DMS.1] Las instancias de replicación de Database Migration Service no deben ser públicas

[DMS.2] DMS los certificados deben estar etiquetados

[DMS.3] las suscripciones a DMS eventos deben estar etiquetadas

[DMS.4] las instancias de DMS replicación deben estar etiquetadas

[DMS.5] los grupos de subredes de DMS replicación deben estar etiquetados

[DMS.6] las instancias de DMS replicación deben tener habilitada la actualización automática de las versiones secundarias

[DMS.7] las tareas de DMS replicación de la base de datos de destino deben tener habilitado el registro

[DMS.8] las tareas de DMS replicación de la base de datos de origen deben tener habilitado el registro

[DMS.9] Los DMS puntos finales deben usar SSL

[DMS.10] DMS Los puntos finales de las bases de datos de Neptune deben tener habilitada la autorización IAM

[DMS.11] DMS Los puntos finales de MongoDB deberían tener habilitado un mecanismo de autenticación

[DMS.12] DMS Los puntos finales de Redis OSS deberían estar habilitados TLS

[DocumentDB.1] Los clústeres de Amazon DocumentDB deben cifrarse en reposo

[DocumentDb.2] Los clústeres de Amazon DocumentDB deben tener un período de retención de copias de seguridad adecuado

[DocumentDb.3] Las instantáneas de clústeres manuales de Amazon DocumentDB no deben ser públicas

[DocumentDb.4] Los clústeres de Amazon DocumentDB deben publicar los registros de auditoría en Logs CloudWatch

[DocumentDb.5] Los clústeres de Amazon DocumentDB deben tener habilitada la protección contra eliminaciones

[DynamoDB.1] Las tablas de DynamoDB deberían escalar automáticamente la capacidad en función de la demanda

[DynamoDB.2] Las tablas de DynamoDB deben tener habilitada la recuperación point-in-time

[DynamoDB.3] Los clústeres de DynamoDB Accelerator () deben cifrarse en reposo DAX

[DynamoDB.4] Las tablas de DynamoDB deben estar presentes en un plan de copias de seguridad

[DynamoDB.7] Los clústeres de DynamoDB Accelerator deben cifrarse en tránsito

[EC2.1] EBS Las instantáneas de Amazon no deberían poder restaurarse públicamente

[EC2.2] Los grupos de seguridad VPC predeterminados no deberían permitir el tráfico entrante o saliente

[EC2.3] EBS Los volúmenes adjuntos de Amazon deben cifrarse en reposo

[EC2.4] EC2 Las instancias detenidas deben eliminarse después de un período de tiempo específico

[EC2.6] El registro VPC de flujos debe estar habilitado en todas VPCs

[EC2.7] EBS El cifrado predeterminado debe estar activado

[EC2.8] EC2 las instancias deben usar la versión 2 del servicio de metadatos de instancias IMDSv2

[EC2.9] EC2 Las instancias de Amazon no deben tener una dirección pública IPv4

[EC2.13] Los grupos de seguridad no deberían permitir la entrada desde el 0.0.0.0/0 o: :/0 al puerto 22

[EC2.14] Los grupos de seguridad no deberían permitir la entrada desde el 0.0.0.0/0 o: :/0 al puerto 3389

[EC2.15] EC2 Las subredes de Amazon no deberían asignar automáticamente direcciones IP públicas

[EC2.16] Deben eliminarse las listas de control de acceso a la red no utilizadas

[EC2.17] EC2 Las instancias de Amazon no deberían usar múltiples ENIs

[EC2.18] Los grupos de seguridad solo deberían permitir el tráfico entrante sin restricciones en los puertos autorizados

[EC2.20] Ambos VPN túneles forman un AWS La VPN conexión de sitio a sitio debe estar activa

[EC2.22] Los grupos de EC2 seguridad de Amazon no utilizados deberían eliminarse

[EC2.23] Amazon EC2 Transit Gateways no debería aceptar VPC automáticamente las solicitudes de archivos adjuntos

[EC2.24] No se deben usar los tipos de instancias EC2 paravirtuales de Amazon

[EC2.25] Las plantillas de EC2 lanzamiento de Amazon no deben asignar interfaces públicas IPs a las de red

[EC2.28] EBS los volúmenes deben estar cubiertos por un plan de respaldo

[EC2.34] Las tablas de rutas de las pasarelas de EC2 tránsito deben estar etiquetadas

EC2NATLas pasarelas [EC2.40] deben estar etiquetadas

[EC2.48] Los registros de VPC flujo de Amazon deben estar etiquetados

[EC2.51] Los VPN puntos finales de los EC2 clientes deben tener habilitado el registro de las conexiones de los clientes

[ECR.1] Los repositorios ECR privados deben tener configurado el escaneo de imágenes

[ECR.2] Los repositorios ECR privados deben tener configurada la inmutabilidad de las etiquetas

[ECR.3] ECR Los repositorios deben tener configurada al menos una política de ciclo de vida

[ECR.4] Los repositorios ECR públicos deben estar etiquetados

[ECS.9] las definiciones de ECS tareas deben tener una configuración de registro

[EFS.1] El Elastic File System debe configurarse para cifrar los datos de los archivos en reposo mediante AWS KMS

[EFS.2] EFS Los volúmenes de Amazon deberían estar en los planes de respaldo

[EFS.3] los puntos de EFS acceso deben establecer un directorio raíz

[EFS.4] los puntos de EFS acceso deben imponer la identidad de un usuario

[EKS.2] EKS los clústeres deberían ejecutarse en una versión compatible de Kubernetes

[ELB.1] Application Load Balancer debe configurarse para redirigir todas las HTTP solicitudes a HTTPS

[ELB.2] Los balanceadores de carga clásicos con HTTPS listenersSSL/deben usar un certificado proporcionado por AWS Certificate Manager

[ELB.3] Los oyentes de Classic Load Balancer deben configurarse con o con terminación HTTPS TLS

[ELB.4] Application Load Balancer debe configurarse para eliminar los encabezados http no válidos

[ELB.5] El registro de aplicaciones y balanceadores de carga clásicos debe estar habilitado

[ELB.6] Los balanceadores de carga de aplicaciones, puertas de enlace y redes deben tener habilitada la protección contra eliminaciones

[ELB.8] Los balanceadores de carga clásicos con SSL oyentes deben usar una política de seguridad predefinida que tenga una duración sólida AWS Config

[ELB.9] Los balanceadores de carga clásicos deberían tener activado el balanceo de cargas entre zonas

[ELB.14] El Classic Load Balancer debe configurarse con el modo defensivo o de mitigación de desincronización más estricto.

[ELB.16] Los balanceadores de carga de aplicaciones deben estar asociados a una web AWS WAF ACL

[ElastiCache.1] Los clústeres ElastiCache (RedisOSS) deben tener habilitadas las copias de seguridad automáticas

[ElastiCache.6] Los grupos de replicación ElastiCache (RedisOSS) de versiones anteriores deberían tener Redis activado OSS AUTH

[ElastiCache.7] los ElastiCache clústeres no deben usar el grupo de subredes predeterminado

[ElasticBeanstalk.1] Los entornos de Elastic Beanstalk deberían tener habilitados los informes de estado mejorados

[ElasticBeanstalk.2] Las actualizaciones de la plataforma gestionada de Elastic Beanstalk deben estar habilitadas

[ElasticBeanstalk.3] Elastic Beanstalk debería transmitir los registros a CloudWatch

[EMR.1] Los nodos principales EMR del clúster de Amazon no deben tener direcciones IP públicas

[ES.1] Los dominios de Elasticsearch deben tener habilitado el cifrado en reposo

[ES.2] Los dominios de Elasticsearch no deben ser de acceso público

[ES.3] Los dominios de Elasticsearch deben cifrar los datos enviados entre nodos

[ES.4] Debe estar habilitado el registro de errores de dominio de Elasticsearch en los CloudWatch registros

[EventBridge.3] Los autobuses de eventos EventBridge personalizados deben incluir una política basada en los recursos

[EventBridge.4] Los puntos finales EventBridge globales deberían tener habilitada la replicación de eventos

[FSx.1] FSx para sistemas de ZFS archivos abiertos, debe configurarse para copiar etiquetas a copias de seguridad y volúmenes

[GlobalAccelerator.1] Los aceleradores de Global Accelerator deben estar etiquetados

[Pegamento.1] AWS Glue los trabajos deben estar etiquetados

[GuardDuty.2] GuardDuty los filtros deben estar etiquetados

[GuardDuty.3] GuardDuty IPSets debe estar etiquetado

[GuardDuty.9] La GuardDuty RDS protección debe estar habilitada

[IAM.1] IAM las políticas no deberían permitir todos los privilegios administrativos «*»

[IAM.2] IAM los usuarios no deberían tener IAM políticas adjuntas

[IAM.3] las claves IAM de acceso de los usuarios deben rotarse cada 90 días o menos

[IAM.4] la clave de acceso del usuario IAM root no debería existir

[IAM.5] MFA debería estar activado para todos los IAM usuarios que tengan una contraseña de consola

[IAM.8] Se deben eliminar las credenciales IAM de usuario no utilizadas

[IAM.18] Asegúrese de que se haya creado una función de soporte para gestionar los incidentes con AWS Support

[IAM.19] MFA debe estar habilitado para todos los usuarios IAM

[IAM.21] Las políticas gestionadas por el IAM cliente que cree no deberían permitir acciones comodín para los servicios

[IAM.22] Se deben eliminar las credenciales de IAM usuario que no se hayan utilizado durante 45 días

Los IAM roles deben estar IAM etiquetados [.24]

Se debe etiquetar a IAM los usuarios [IAM.25]

[IAM.26] TLS Los certificados SSL caducados o gestionados IAM deben eliminarse

[IAM.27] IAM las identidades no deberían tener la AWSCloudShellFullAccess política adjunta

[Inspector.1] El EC2 escaneo de Amazon Inspector debe estar activado

[Inspector.2] El ECR escaneo de Amazon Inspector debe estar activado

[Inspector.3] Debe estar activado el escaneo de código Lambda de Amazon Inspector

[Inspector.4] El escaneo estándar de Amazon Inspector Lambda debe estar activado

[IoT 1] AWS IoT Device Defender los perfiles de seguridad deben estar etiquetados

[IoT 2] AWS IoT Core las acciones de mitigación deben estar etiquetadas

[IoT 3] AWS IoT Core las dimensiones deben estar etiquetadas

[IoT. 4] AWS IoT Core los autorizadores deben estar etiquetados

[IoT 5] AWS IoT Core los alias de los roles deben estar etiquetados

[IoT 6] AWS IoT Core las políticas deben estar etiquetadas

[Kinesis.1] Las transmisiones de Kinesis deben cifrarse en reposo

[KMS.1] Las políticas gestionadas por el IAM cliente no deberían permitir acciones de descifrado en todas KMS las claves

[KMS.2] IAM los directores no deberían tener políticas integradas que permitan IAM realizar acciones de descifrado en todas las claves KMS

[KMS.4] AWS KMS la rotación de teclas debe estar habilitada

[Lambda.1] Las políticas de función de Lambda deberían prohibir el acceso público

[Lambda.2] Las funciones de Lambda deben usar los tiempos de ejecución admitidos

[Lambda.3] Las funciones lambda deben estar en un VPC

[Lambda.5] Las funciones VPC Lambda deben funcionar en varias zonas de disponibilidad

[Macie.1] Amazon Macie debería estar activado

[Macie.2] La detección automática de datos confidenciales por parte de Macie debería estar habilitada

[MQ.2] Los corredores de ActiveMQ deberían transmitir los registros de auditoría a CloudWatch

[MQ.3] Los corredores de Amazon MQ deberían tener habilitada la actualización automática de las versiones secundarias

[MQ.4] Los corredores de Amazon MQ deberían estar etiquetados

[MQ.5] Los corredores ActiveMQ deben usar el modo de implementación activo/en espera

[MQ.6] Los corredores de RabbitMQ deberían usar el modo de implementación de clústeres

[MSK.1] MSK Los clústeres deben cifrarse en tránsito entre los nodos intermediarios

[MSK.2] MSK los clústeres deben tener configurada una supervisión mejorada

[Neptune.1] Los clústeres de bases de datos de Neptune deben cifrarse en reposo

[Neptune.2] Los clústeres de bases de datos de Neptune deberían publicar los registros de auditoría en Logs CloudWatch

[Neptune.3] Las instantáneas del clúster de base de datos de Neptune no deben ser públicas

[Neptune.4] Los clústeres de base de datos de Neptune deben tener habilitada la protección de eliminación

[Neptune.5] Los clústeres de bases de datos de Neptune deberían tener habilitadas las copias de seguridad automáticas

[Neptune.6] Las instantáneas del clúster de base de datos de Neptune deben cifrarse en reposo

[Neptune.7] Los clústeres de bases de datos de Neptune deben tener habilitada la autenticación de bases de datos IAM

[Neptune.8] Los clústeres de base de datos de Neptune deben configurarse para copiar etiquetas a las instantáneas

[Neptune.9] Los clústeres de base de datos de Neptune se deben implementar en varias zonas de disponibilidad

[NetworkFirewall.1] Los firewalls de Network Firewall deben implementarse en varias zonas de disponibilidad

[NetworkFirewall.2] El registro de Network Firewall debe estar habilitado

[NetworkFirewall.3] Las políticas de Network Firewall deben tener asociado al menos un grupo de reglas

[NetworkFirewall.4] La acción sin estado predeterminada para las políticas de Network Firewall debe ser eliminar o reenviar paquetes completos

[NetworkFirewall.5] La acción sin estado predeterminada para las políticas de Network Firewall debe ser eliminar o reenviar paquetes fragmentados

[NetworkFirewall.6] El grupo de reglas de Stateless Network Firewall no debe estar vacío

[NetworkFirewall.9] Los firewalls de Network Firewall deben tener habilitada la protección contra eliminaciones

Los OpenSearch dominios [Opensearch.1] deben tener activado el cifrado en reposo

Los OpenSearch dominios [Opensearch.2] no deben ser de acceso público

Los OpenSearch dominios [Opensearch.3] deben cifrar los datos enviados entre nodos

El registro de errores de OpenSearch dominio [Opensearch.4] en CloudWatch Logs debe estar activado

Los OpenSearch dominios [Opensearch.5] deben tener habilitado el registro de auditoría

Los OpenSearch dominios [Opensearch.6] deben tener al menos tres nodos de datos

Los OpenSearch dominios [Opensearch.7] deben tener habilitado un control de acceso detallado

[Opensearch.8] Las conexiones a los dominios deben cifrarse OpenSearch según la política de seguridad más reciente TLS

Los OpenSearch dominios [Opensearch.9] deben estar etiquetados

Los OpenSearch dominios [Opensearch.10] deben tener instalada la última actualización de software

Los OpenSearch dominios [Opensearch.11] deben tener al menos tres nodos principales dedicados

[RDS.1] La RDS instantánea debe ser privada

[RDS.2] Las RDS instancias de base de datos deben prohibir el acceso público, según lo determine la configuración PubliclyAccessible

[RDS.3] Las RDS instancias de base de datos deben tener activado el cifrado en reposo

[RDS.4] Las instantáneas de RDS clústeres y las instantáneas de bases de datos deben cifrarse cuando están inactivas

[RDS.5] Las RDS instancias de base de datos deben configurarse con varias zonas de disponibilidad

[RDS.6] Se debe configurar una supervisión mejorada para RDS las instancias de base de datos

[RDS.7] RDS los clústeres deben tener habilitada la protección contra la eliminación

[RDS.8] Las RDS instancias de base de datos deben tener habilitada la protección contra la eliminación

[RDS.9] Las RDS instancias de base de datos deben publicar los registros en Logs CloudWatch

La IAM autenticación [RDS.10] debe configurarse para las instancias RDS

[RDS.11] las RDS instancias deben tener habilitadas las copias de seguridad automáticas

La IAM autenticación [RDS.12] debe configurarse para RDS los clústeres

[RDS.13] Las actualizaciones RDS automáticas de las versiones secundarias deben estar habilitadas

[RDS.14] Los clústeres de Amazon Aurora deben tener habilitada la función de retroceso

[RDS.15] Los clústeres de RDS bases de datos deben configurarse para varias zonas de disponibilidad

[RDS.24] Los clústeres RDS de bases de datos deben usar un nombre de usuario de administrador personalizado

[RDS.26] Las RDS instancias de base de datos deben protegerse mediante un plan de respaldo

[RDS.27] Los clústeres de RDS bases de datos deben cifrarse cuando están inactivos

[RDS.31] Los grupos de seguridad RDS de bases de datos deben etiquetarse

[RDS.34] Los clústeres de Aurora My SQL DB deberían publicar los registros de auditoría en Logs CloudWatch

[RDS.35] Los clústeres de RDS bases de datos deben tener habilitada la actualización automática de las versiones secundarias

[RDS.37] Los clústeres de SQL bases de datos Aurora Postgre deberían publicar registros en Logs CloudWatch

[Redshift.1] Los clústeres de Amazon Redshift deberían prohibir el acceso público

Las conexiones a los clústeres de Amazon Redshift [Redshift.2] deben cifrarse en tránsito

Los clústeres de Amazon Redshift [Redshift.3] deben tener habilitadas las instantáneas automáticas

Amazon Redshift [Redshift.6] debería tener habilitadas las actualizaciones automáticas a las versiones principales

[Redshift.7] Los clústeres de Redshift deberían utilizar un enrutamiento mejorado VPC

Los clústeres de Redshift [Redshift.10] deben cifrarse en reposo

[Redshift.12] Las suscripciones a notificaciones de eventos de Redshift deben estar etiquetadas

[Route53.1] Los controles de estado de Route 53 deben estar etiquetados

[Route53.2] Las zonas alojadas públicamente de Route 53 deberían registrar las consultas DNS

[S3.1] Los depósitos de uso general de S3 deberían tener habilitada la configuración de bloqueo de acceso público

[S3.5] Los depósitos de uso general de S3 deberían requerir solicitudes de uso SSL

[S3.6] Las políticas de compartimentos de uso general de S3 deberían restringir el acceso a otros Cuentas de AWS

[S3.8] Los depósitos de uso general de S3 deberían bloquear el acceso público

[S3.9] Los depósitos de uso general de S3 deberían tener habilitado el registro de acceso al servidor

[S3.15] Los depósitos de uso general de S3 deberían tener activado Object Lock

[S3.17] Los depósitos de uso general de S3 deben cifrarse en reposo con AWS KMS keys

[S3.24] Los puntos de acceso multirregionales de S3 deben tener habilitada la configuración de bloqueo de acceso público

[SageMaker.1] Las instancias de Amazon SageMaker Notebook no deberían tener acceso directo a Internet

[SageMaker.2] las instancias de SageMaker notebook deberían lanzarse de forma personalizada VPC

[SageMaker.3] Los usuarios no deberían tener acceso root a las instancias de SageMaker notebook

[SES.1] las listas de SES contactos deben estar etiquetadas

[SES.2] los conjuntos de SES configuración deben estar etiquetados

[SNS.1] SNS los temas deben cifrarse en reposo mediante AWS KMS

[SQS.1] SQS Las colas de Amazon deberían estar cifradas en reposo

[SQS.2] las colas deben estar etiquetadas SQS

[SSM.1] EC2 Las instancias de Amazon deben gestionarse mediante AWS Systems Manager

[SSM.2] EC2 Las instancias de Amazon gestionadas por Systems Manager deben tener un estado de conformidad con el parche COMPLIANT tras la instalación de un parche

[SSM.3] EC2 Las instancias de Amazon gestionadas por Systems Manager deben tener un estado de conformidad de asociación de COMPLIANT

[StepFunctions.1] Las máquinas de estado de Step Functions deberían tener el registro activado

[WAF.1] AWS WAF El ACL registro web global clásico debe estar habilitado

[WAF.2] AWS WAF Las normas regionales clásicas deben tener al menos una condición

[WAF.3] AWS WAF Los grupos de reglas regionales clásicos deben tener al menos una regla

[WAF.4] AWS WAF La web regional clásica ACLs debe tener al menos una regla o grupo de reglas

[WAF.6] AWS WAF Las reglas globales clásicas deben tener al menos una condición

[WAF7.] AWS WAF Los grupos de reglas globales clásicos deben tener al menos una regla

[WAF.8] AWS WAF La web global clásica ACLs debe tener al menos una regla o grupo de reglas

[WAF.10] AWS WAF la web ACLs debe tener al menos una regla o grupo de reglas

[WAF.11] AWS WAF el ACL registro web debe estar habilitado

[WorkSpaces.1] los volúmenes de WorkSpaces usuarios deben cifrarse en reposo

[WorkSpaces.2] los volúmenes WorkSpaces raíz deben cifrarse en reposo

[CloudFront.1] CloudFront las distribuciones deben tener configurado un objeto raíz predeterminado

[CloudFront.3] CloudFront las distribuciones deberían requerir el cifrado en tránsito

[CloudFront.4] CloudFront las distribuciones deben tener configurada la conmutación por error de Origin

[CloudFront.5] CloudFront las distribuciones deberían tener el registro activado

[CloudFront.6] CloudFront las distribuciones deberían estar habilitadas WAF

[CloudFront.7] CloudFront las distribuciones deben usar certificados/personalizados SSL TLS

[CloudFront.8] CloudFront las distribuciones deberían usarse SNI para atender las solicitudes HTTPS

[CloudFront.9] CloudFront las distribuciones deberían cifrar el tráfico hacia orígenes personalizados

[CloudFront.10] CloudFront las distribuciones no deberían usar SSL protocolos obsoletos entre las ubicaciones de los bordes y los orígenes personalizados

[CloudFront.12] CloudFront las distribuciones no deben apuntar a orígenes S3 inexistentes

[CloudFront.13] CloudFront las distribuciones deben usar el control de acceso al origen

[CloudFront.14] CloudFront las distribuciones deben estar etiquetadas

[DocumentDB.1] Los clústeres de Amazon DocumentDB deben cifrarse en reposo

[DocumentDb.2] Los clústeres de Amazon DocumentDB deben tener un período de retención de copias de seguridad adecuado

[DocumentDb.3] Las instantáneas de clústeres manuales de Amazon DocumentDB no deben ser públicas

[DocumentDb.4] Los clústeres de Amazon DocumentDB deben publicar los registros de auditoría en Logs CloudWatch

[DocumentDb.5] Los clústeres de Amazon DocumentDB deben tener habilitada la protección contra eliminaciones

[DynamoDB.3] Los clústeres de DynamoDB Accelerator () deben cifrarse en reposo DAX

[DynamoDB.7] Los clústeres de DynamoDB Accelerator deben cifrarse en tránsito

[EC2.24] No se deben usar los tipos de instancias EC2 paravirtuales de Amazon

[ECR.4] Los repositorios ECR públicos deben estar etiquetados

[GlobalAccelerator.1] Los aceleradores de Global Accelerator deben estar etiquetados

[IAM.26] TLS Los certificados SSL caducados o gestionados IAM deben eliminarse

[RDS.14] Los clústeres de Amazon Aurora deben tener habilitada la función de retroceso

[RDS.31] Los grupos de seguridad RDS de bases de datos deben etiquetarse

[Route53.1] Los controles de estado de Route 53 deben estar etiquetados

[Route53.2] Las zonas alojadas públicamente de Route 53 deberían registrar las consultas DNS

[S3.24] Los puntos de acceso multirregionales de S3 deben tener habilitada la configuración de bloqueo de acceso público

[WAF.1] AWS WAF El ACL registro web global clásico debe estar habilitado

[WAF.6] AWS WAF Las reglas globales clásicas deben tener al menos una condición

[WAF7.] AWS WAF Los grupos de reglas globales clásicos deben tener al menos una regla

[WAF.8] AWS WAF La web global clásica ACLs debe tener al menos una regla o grupo de reglas

[WorkSpaces.1] los volúmenes de WorkSpaces usuarios deben cifrarse en reposo

[WorkSpaces.2] los volúmenes WorkSpaces raíz deben cifrarse en reposo

[ACM.1] Los certificados importados y ACM emitidos deben renovarse después de un período de tiempo específico

[ACM.2] RSA los certificados gestionados por ACM deben utilizar una longitud de clave de al menos 2048 bits

[APIGateway.8] Las rutas de API gateway deben especificar un tipo de autorización

[APIGateway.9] El registro de acceso debe configurarse para las etapas de API Gateway V2

[AppSync.2] AWS AppSync debe tener habilitado el registro a nivel de campo

[AppSync.5] AWS AppSync GraphQL no APIs debe autenticarse con claves API

[Athena.4] Los grupos de trabajo de Athena deben tener habilitado el registro

[Copia de seguridad.1] AWS Backup los puntos de recuperación deben estar cifrados en reposo

[Copia de seguridad.2] AWS Backup los puntos de recuperación deben estar etiquetados

[Respaldo. 4] AWS Backup los planes de informes deben estar etiquetados

[CloudFormation.2] las CloudFormation pilas deben estar etiquetadas

[CloudFront.1] CloudFront las distribuciones deben tener configurado un objeto raíz predeterminado

[CloudFront.3] CloudFront las distribuciones deberían requerir el cifrado en tránsito

[CloudFront.4] CloudFront las distribuciones deben tener configurada la conmutación por error de Origin

[CloudFront.5] CloudFront las distribuciones deberían tener el registro activado

[CloudFront.6] CloudFront las distribuciones deberían estar habilitadas WAF

[CloudFront.7] CloudFront las distribuciones deben usar certificados/personalizados SSL TLS

[CloudFront.8] CloudFront las distribuciones deberían usarse SNI para atender las solicitudes HTTPS

[CloudFront.9] CloudFront las distribuciones deberían cifrar el tráfico hacia orígenes personalizados

[CloudFront.10] CloudFront las distribuciones no deberían usar SSL protocolos obsoletos entre las ubicaciones de los bordes y los orígenes personalizados

[CloudFront.12] CloudFront las distribuciones no deben apuntar a orígenes S3 inexistentes

[CloudFront.13] CloudFront las distribuciones deben usar el control de acceso al origen

[CloudFront.14] CloudFront las distribuciones deben estar etiquetadas

[CloudTrail.6] Asegúrese de que el depósito de S3 que se utiliza para almacenar CloudTrail los registros no sea de acceso público

[CloudTrail.7] Asegúrese de que el registro de acceso al bucket de S3 esté habilitado en el CloudTrail bucket de S3

[CodeArtifact.1] CodeArtifact Los repositorios deben estar etiquetados

[CodeBuild.1] CodeBuild El repositorio fuente de Bitbucket no URLs debe contener credenciales confidenciales

[CodeBuild.2] Las variables de entorno CodeBuild del proyecto no deben contener credenciales de texto claro

[CodeBuild.3] Los registros de CodeBuild S3 deben estar cifrados

[CodeBuild.4] los entornos de CodeBuild proyectos deben tener un registro AWS Config Duración

[CodeBuild.7] las exportaciones de grupos de CodeBuild informes deben cifrarse en reposo

[Detective.1] Los gráficos de comportamiento de los detectives deben estar etiquetados

[DMS.1] Las instancias de replicación de Database Migration Service no deben ser públicas

[DMS.2] DMS los certificados deben estar etiquetados

[DMS.3] las suscripciones a DMS eventos deben estar etiquetadas

[DMS.4] las instancias de DMS replicación deben estar etiquetadas

[DMS.5] los grupos de subredes de DMS replicación deben estar etiquetados

[DMS.6] las instancias de DMS replicación deben tener habilitada la actualización automática de las versiones secundarias

[DMS.7] las tareas de DMS replicación de la base de datos de destino deben tener habilitado el registro

[DMS.8] las tareas de DMS replicación de la base de datos de origen deben tener habilitado el registro

[DMS.9] Los DMS puntos finales deben usar SSL

[DMS.10] DMS Los puntos finales de las bases de datos de Neptune deben tener habilitada la autorización IAM

[DMS.11] DMS Los puntos finales de MongoDB deberían tener habilitado un mecanismo de autenticación

[DMS.12] DMS Los puntos finales de Redis OSS deberían estar habilitados TLS

[DocumentDB.1] Los clústeres de Amazon DocumentDB deben cifrarse en reposo

[DocumentDb.2] Los clústeres de Amazon DocumentDB deben tener un período de retención de copias de seguridad adecuado

[DocumentDb.3] Las instantáneas de clústeres manuales de Amazon DocumentDB no deben ser públicas

[DocumentDb.4] Los clústeres de Amazon DocumentDB deben publicar los registros de auditoría en Logs CloudWatch

[DocumentDb.5] Los clústeres de Amazon DocumentDB deben tener habilitada la protección contra eliminaciones

[DynamoDB.1] Las tablas de DynamoDB deberían escalar automáticamente la capacidad en función de la demanda

[DynamoDB.2] Las tablas de DynamoDB deben tener habilitada la recuperación point-in-time

[DynamoDB.3] Los clústeres de DynamoDB Accelerator () deben cifrarse en reposo DAX

[DynamoDB.4] Las tablas de DynamoDB deben estar presentes en un plan de copias de seguridad

[DynamoDB.7] Los clústeres de DynamoDB Accelerator deben cifrarse en tránsito

[EC2.2] Los grupos de seguridad VPC predeterminados no deberían permitir el tráfico entrante o saliente

[EC2.3] EBS Los volúmenes adjuntos de Amazon deben cifrarse en reposo

[EC2.4] EC2 Las instancias detenidas deben eliminarse después de un período de tiempo específico

[EC2.6] El registro VPC de flujos debe estar habilitado en todas VPCs

[EC2.8] EC2 las instancias deben usar la versión 2 del servicio de metadatos de instancias IMDSv2

[EC2.9] EC2 Las instancias de Amazon no deben tener una dirección pública IPv4

[EC2.13] Los grupos de seguridad no deberían permitir la entrada desde el 0.0.0.0/0 o: :/0 al puerto 22

[EC2.14] Los grupos de seguridad no deberían permitir la entrada desde el 0.0.0.0/0 o: :/0 al puerto 3389

[EC2.15] EC2 Las subredes de Amazon no deberían asignar automáticamente direcciones IP públicas

[EC2.16] Deben eliminarse las listas de control de acceso a la red no utilizadas

[EC2.17] EC2 Las instancias de Amazon no deberían usar múltiples ENIs

[EC2.18] Los grupos de seguridad solo deberían permitir el tráfico entrante sin restricciones en los puertos autorizados

[EC2.20] Ambos VPN túneles forman un AWS La VPN conexión de sitio a sitio debe estar activa

[EC2.22] Los grupos de EC2 seguridad de Amazon no utilizados deberían eliminarse

[EC2.23] Amazon EC2 Transit Gateways no debería aceptar VPC automáticamente las solicitudes de archivos adjuntos

[EC2.24] No se deben usar los tipos de instancias EC2 paravirtuales de Amazon

[EC2.25] Las plantillas de EC2 lanzamiento de Amazon no deben asignar interfaces públicas IPs a las de red

[EC2.28] EBS los volúmenes deben estar cubiertos por un plan de respaldo

[EC2.51] Los VPN puntos finales de los EC2 clientes deben tener habilitado el registro de las conexiones de los clientes

[ECR.1] Los repositorios ECR privados deben tener configurado el escaneo de imágenes

[ECR.2] Los repositorios ECR privados deben tener configurada la inmutabilidad de las etiquetas

[ECR.3] ECR Los repositorios deben tener configurada al menos una política de ciclo de vida

[ECR.4] Los repositorios ECR públicos deben estar etiquetados

[ECS.9] las definiciones de ECS tareas deben tener una configuración de registro

[EFS.1] El Elastic File System debe configurarse para cifrar los datos de los archivos en reposo mediante AWS KMS

[EFS.2] EFS Los volúmenes de Amazon deberían estar en los planes de respaldo

[EFS.3] los puntos de EFS acceso deben establecer un directorio raíz

[EFS.4] los puntos de EFS acceso deben imponer la identidad de un usuario

[EKS.2] EKS los clústeres deberían ejecutarse en una versión compatible de Kubernetes

[ELB.1] Application Load Balancer debe configurarse para redirigir todas las HTTP solicitudes a HTTPS

[ELB.2] Los balanceadores de carga clásicos con HTTPS listenersSSL/deben usar un certificado proporcionado por AWS Certificate Manager

[ELB.3] Los oyentes de Classic Load Balancer deben configurarse con o con terminación HTTPS TLS

[ELB.4] Application Load Balancer debe configurarse para eliminar los encabezados http no válidos

[ELB.8] Los balanceadores de carga clásicos con SSL oyentes deben usar una política de seguridad predefinida que tenga una duración sólida AWS Config

[ELB.9] Los balanceadores de carga clásicos deberían tener activado el balanceo de cargas entre zonas

[ELB.14] El Classic Load Balancer debe configurarse con el modo defensivo o de mitigación de desincronización más estricto.

[ELB.16] Los balanceadores de carga de aplicaciones deben estar asociados a una web AWS WAF ACL

[ElastiCache.1] Los clústeres ElastiCache (RedisOSS) deben tener habilitadas las copias de seguridad automáticas

[ElastiCache.6] Los grupos de replicación ElastiCache (RedisOSS) de versiones anteriores deberían tener Redis activado OSS AUTH

[ElastiCache.7] los ElastiCache clústeres no deben usar el grupo de subredes predeterminado

[ElasticBeanstalk.1] Los entornos de Elastic Beanstalk deberían tener habilitados los informes de estado mejorados

[ElasticBeanstalk.2] Las actualizaciones de la plataforma gestionada de Elastic Beanstalk deben estar habilitadas

[ElasticBeanstalk.3] Elastic Beanstalk debería transmitir los registros a CloudWatch

[EMR.1] Los nodos principales EMR del clúster de Amazon no deben tener direcciones IP públicas

[ES.1] Los dominios de Elasticsearch deben tener habilitado el cifrado en reposo

[ES.2] Los dominios de Elasticsearch no deben ser de acceso público

[ES.3] Los dominios de Elasticsearch deben cifrar los datos enviados entre nodos

[ES.4] Debe estar habilitado el registro de errores de dominio de Elasticsearch en los CloudWatch registros

[EventBridge.3] Los autobuses de eventos EventBridge personalizados deben incluir una política basada en los recursos

[EventBridge.4] Los puntos finales EventBridge globales deberían tener habilitada la replicación de eventos

[FSx.1] FSx para sistemas de ZFS archivos abiertos, debe configurarse para copiar etiquetas a copias de seguridad y volúmenes

[GlobalAccelerator.1] Los aceleradores de Global Accelerator deben estar etiquetados

[Pegamento.1] AWS Glue los trabajos deben estar etiquetados

[GuardDuty.2] GuardDuty los filtros deben estar etiquetados

[GuardDuty.3] GuardDuty IPSets debe estar etiquetado

[GuardDuty.9] La GuardDuty RDS protección debe estar habilitada

[IAM.1] IAM las políticas no deberían permitir todos los privilegios administrativos «*»

[IAM.2] IAM los usuarios no deberían tener IAM políticas adjuntas

[IAM.3] las claves IAM de acceso de los usuarios deben rotarse cada 90 días o menos

[IAM.4] la clave de acceso del usuario IAM root no debería existir

[IAM.5] MFA debería estar activado para todos los IAM usuarios que tengan una contraseña de consola

[IAM.8] Se deben eliminar las credenciales IAM de usuario no utilizadas

[IAM.18] Asegúrese de que se haya creado una función de soporte para gestionar los incidentes con AWS Support

[IAM.19] MFA debe estar habilitado para todos los usuarios IAM

[IAM.21] Las políticas gestionadas por el IAM cliente que cree no deberían permitir acciones comodín para los servicios

[IAM.22] Se deben eliminar las credenciales de IAM usuario que no se hayan utilizado durante 45 días

Los IAM roles deben estar IAM etiquetados [.24]

Se debe etiquetar a IAM los usuarios [IAM.25]

[IAM.26] TLS Los certificados SSL caducados o gestionados IAM deben eliminarse

[IAM.27] IAM las identidades no deberían tener la AWSCloudShellFullAccess política adjunta

[Inspector.3] Debe estar activado el escaneo de código Lambda de Amazon Inspector

[IoT 1] AWS IoT Device Defender los perfiles de seguridad deben estar etiquetados

[IoT 2] AWS IoT Core las acciones de mitigación deben estar etiquetadas

[IoT 3] AWS IoT Core las dimensiones deben estar etiquetadas

[IoT. 4] AWS IoT Core los autorizadores deben estar etiquetados

[IoT 5] AWS IoT Core los alias de los roles deben estar etiquetados

[IoT 6] AWS IoT Core las políticas deben estar etiquetadas

[Kinesis.1] Las transmisiones de Kinesis deben cifrarse en reposo

[KMS.1] Las políticas gestionadas por el IAM cliente no deberían permitir acciones de descifrado en todas KMS las claves

[KMS.2] IAM los directores no deberían tener políticas integradas que permitan IAM realizar acciones de descifrado en todas las claves KMS

[Lambda.5] Las funciones VPC Lambda deben funcionar en varias zonas de disponibilidad

[Macie.1] Amazon Macie debería estar activado

[Macie.2] La detección automática de datos confidenciales por parte de Macie debería estar habilitada

[MQ.2] Los corredores de ActiveMQ deberían transmitir los registros de auditoría a CloudWatch

[MQ.3] Los corredores de Amazon MQ deberían tener habilitada la actualización automática de las versiones secundarias

[MQ.4] Los corredores de Amazon MQ deberían estar etiquetados

[MQ.5] Los corredores ActiveMQ deben usar el modo de implementación activo/en espera

[MQ.6] Los corredores de RabbitMQ deberían usar el modo de implementación de clústeres

[MSK.1] MSK Los clústeres deben cifrarse en tránsito entre los nodos intermediarios

[MSK.2] MSK los clústeres deben tener configurada una supervisión mejorada

[Neptune.1] Los clústeres de bases de datos de Neptune deben cifrarse en reposo

[Neptune.2] Los clústeres de bases de datos de Neptune deberían publicar los registros de auditoría en Logs CloudWatch

[Neptune.3] Las instantáneas del clúster de base de datos de Neptune no deben ser públicas

[Neptune.4] Los clústeres de base de datos de Neptune deben tener habilitada la protección de eliminación

[Neptune.5] Los clústeres de bases de datos de Neptune deberían tener habilitadas las copias de seguridad automáticas

[Neptune.6] Las instantáneas del clúster de base de datos de Neptune deben cifrarse en reposo

[Neptune.7] Los clústeres de bases de datos de Neptune deben tener habilitada la autenticación de bases de datos IAM

[Neptune.8] Los clústeres de base de datos de Neptune deben configurarse para copiar etiquetas a las instantáneas

[Neptune.9] Los clústeres de base de datos de Neptune se deben implementar en varias zonas de disponibilidad

[NetworkFirewall.1] Los firewalls de Network Firewall deben implementarse en varias zonas de disponibilidad

[NetworkFirewall.2] El registro de Network Firewall debe estar habilitado

[NetworkFirewall.3] Las políticas de Network Firewall deben tener asociado al menos un grupo de reglas

[NetworkFirewall.4] La acción sin estado predeterminada para las políticas de Network Firewall debe ser eliminar o reenviar paquetes completos

[NetworkFirewall.5] La acción sin estado predeterminada para las políticas de Network Firewall debe ser eliminar o reenviar paquetes fragmentados

[NetworkFirewall.6] El grupo de reglas de Stateless Network Firewall no debe estar vacío

[NetworkFirewall.9] Los firewalls de Network Firewall deben tener habilitada la protección contra eliminaciones

Los OpenSearch dominios [Opensearch.1] deben tener activado el cifrado en reposo

Los OpenSearch dominios [Opensearch.2] no deben ser de acceso público

Los OpenSearch dominios [Opensearch.3] deben cifrar los datos enviados entre nodos

El registro de errores de OpenSearch dominio [Opensearch.4] en CloudWatch Logs debe estar activado

Los OpenSearch dominios [Opensearch.5] deben tener habilitado el registro de auditoría

Los OpenSearch dominios [Opensearch.6] deben tener al menos tres nodos de datos

Los OpenSearch dominios [Opensearch.7] deben tener habilitado un control de acceso detallado

[Opensearch.8] Las conexiones a los dominios deben cifrarse OpenSearch según la política de seguridad más reciente TLS

Los OpenSearch dominios [Opensearch.9] deben estar etiquetados

Los OpenSearch dominios [Opensearch.10] deben tener instalada la última actualización de software

Los OpenSearch dominios [Opensearch.11] deben tener al menos tres nodos principales dedicados

[RDS.1] La RDS instantánea debe ser privada

[RDS.3] Las RDS instancias de base de datos deben tener activado el cifrado en reposo

[RDS.5] Las RDS instancias de base de datos deben configurarse con varias zonas de disponibilidad

[RDS.8] Las RDS instancias de base de datos deben tener habilitada la protección contra la eliminación

[RDS.14] Los clústeres de Amazon Aurora deben tener habilitada la función de retroceso

[RDS.24] Los clústeres RDS de bases de datos deben usar un nombre de usuario de administrador personalizado

[RDS.26] Las RDS instancias de base de datos deben protegerse mediante un plan de respaldo

[RDS.31] Los grupos de seguridad RDS de bases de datos deben etiquetarse

[RDS.35] Los clústeres de RDS bases de datos deben tener habilitada la actualización automática de las versiones secundarias

Los clústeres de Amazon Redshift [Redshift.3] deben tener habilitadas las instantáneas automáticas

[Redshift.12] Las suscripciones a notificaciones de eventos de Redshift deben estar etiquetadas

[Route53.1] Los controles de estado de Route 53 deben estar etiquetados

[Route53.2] Las zonas alojadas públicamente de Route 53 deberían registrar las consultas DNS

[S3.1] Los depósitos de uso general de S3 deberían tener habilitada la configuración de bloqueo de acceso público

[S3.8] Los depósitos de uso general de S3 deberían bloquear el acceso público

[S3.24] Los puntos de acceso multirregionales de S3 deben tener habilitada la configuración de bloqueo de acceso público

[SageMaker.1] Las instancias de Amazon SageMaker Notebook no deberían tener acceso directo a Internet

[SageMaker.2] las instancias de SageMaker notebook deberían lanzarse de forma personalizada VPC

[SageMaker.3] Los usuarios no deberían tener acceso root a las instancias de SageMaker notebook

[SES.1] las listas de SES contactos deben estar etiquetadas

[SES.2] los conjuntos de SES configuración deben estar etiquetados

[SNS.1] SNS los temas deben cifrarse en reposo mediante AWS KMS

[SQS.1] SQS Las colas de Amazon deberían estar cifradas en reposo

[SQS.2] las colas deben estar etiquetadas SQS

[SSM.2] EC2 Las instancias de Amazon gestionadas por Systems Manager deben tener un estado de conformidad con el parche COMPLIANT tras la instalación de un parche

[SSM.3] EC2 Las instancias de Amazon gestionadas por Systems Manager deben tener un estado de conformidad de asociación de COMPLIANT

[StepFunctions.1] Las máquinas de estado de Step Functions deberían tener el registro activado

[WAF.1] AWS WAF El ACL registro web global clásico debe estar habilitado

[WAF.2] AWS WAF Las normas regionales clásicas deben tener al menos una condición

[WAF.3] AWS WAF Los grupos de reglas regionales clásicos deben tener al menos una regla

[WAF.4] AWS WAF La web regional clásica ACLs debe tener al menos una regla o grupo de reglas

[WAF.6] AWS WAF Las reglas globales clásicas deben tener al menos una condición

[WAF7.] AWS WAF Los grupos de reglas globales clásicos deben tener al menos una regla

[WAF.8] AWS WAF La web global clásica ACLs debe tener al menos una regla o grupo de reglas

[WAF.10] AWS WAF la web ACLs debe tener al menos una regla o grupo de reglas

[WAF.11] AWS WAF el ACL registro web debe estar habilitado

[WorkSpaces.1] los volúmenes de WorkSpaces usuarios deben cifrarse en reposo

[WorkSpaces.2] los volúmenes WorkSpaces raíz deben cifrarse en reposo

[ACM.1] Los certificados importados y ACM emitidos deben renovarse después de un período de tiempo específico

[ACM.2] RSA los certificados gestionados por ACM deben utilizar una longitud de clave de al menos 2048 bits

[APIGateway.8] Las rutas de API gateway deben especificar un tipo de autorización

[APIGateway.9] El registro de acceso debe configurarse para las etapas de API Gateway V2

[AppSync.2] AWS AppSync debe tener habilitado el registro a nivel de campo

[AppSync.5] AWS AppSync GraphQL no APIs debe autenticarse con claves API

[Athena.4] Los grupos de trabajo de Athena deben tener habilitado el registro

[AutoScaling.5] EC2 Las instancias de Amazon lanzadas mediante configuraciones de lanzamiento grupal de Auto Scaling no deben tener direcciones IP públicas

[Copia de seguridad.1] AWS Backup los puntos de recuperación deben estar cifrados en reposo

[Copia de seguridad.2] AWS Backup los puntos de recuperación deben estar etiquetados

[Respaldo. 4] AWS Backup los planes de informes deben estar etiquetados

[CloudFormation.2] las CloudFormation pilas deben estar etiquetadas

[CloudFront.1] CloudFront las distribuciones deben tener configurado un objeto raíz predeterminado

[CloudFront.3] CloudFront las distribuciones deberían requerir el cifrado en tránsito

[CloudFront.4] CloudFront las distribuciones deben tener configurada la conmutación por error de Origin

[CloudFront.5] CloudFront las distribuciones deberían tener el registro activado

[CloudFront.6] CloudFront las distribuciones deberían estar habilitadas WAF

[CloudFront.7] CloudFront las distribuciones deben usar certificados/personalizados SSL TLS

[CloudFront.8] CloudFront las distribuciones deberían usarse SNI para atender las solicitudes HTTPS

[CloudFront.9] CloudFront las distribuciones deberían cifrar el tráfico hacia orígenes personalizados

[CloudFront.10] CloudFront las distribuciones no deberían usar SSL protocolos obsoletos entre las ubicaciones de los bordes y los orígenes personalizados

[CloudFront.12] CloudFront las distribuciones no deben apuntar a orígenes S3 inexistentes

[CloudFront.13] CloudFront las distribuciones deben usar el control de acceso al origen

[CloudFront.14] CloudFront las distribuciones deben estar etiquetadas

[CodeArtifact.1] CodeArtifact Los repositorios deben estar etiquetados

[CodeBuild.1] CodeBuild El repositorio fuente de Bitbucket no URLs debe contener credenciales confidenciales

[CodeBuild.2] Las variables de entorno CodeBuild del proyecto no deben contener credenciales de texto claro

[CodeBuild.3] Los registros de CodeBuild S3 deben estar cifrados

[CodeBuild.4] los entornos de CodeBuild proyectos deben tener un registro AWS Config Duración

[CodeBuild.7] las exportaciones de grupos de CodeBuild informes deben cifrarse en reposo

[DataSync.1] DataSync las tareas deben tener el registro activado

[DMS.1] Las instancias de replicación de Database Migration Service no deben ser públicas

[DMS.2] DMS los certificados deben estar etiquetados

[DMS.3] las suscripciones a DMS eventos deben estar etiquetadas

[DMS.4] las instancias de DMS replicación deben estar etiquetadas

[DMS.5] los grupos de subredes de DMS replicación deben estar etiquetados

[DMS.6] las instancias de DMS replicación deben tener habilitada la actualización automática de las versiones secundarias

[DMS.7] las tareas de DMS replicación de la base de datos de destino deben tener habilitado el registro

[DMS.8] las tareas de DMS replicación de la base de datos de origen deben tener habilitado el registro

[DMS.9] Los DMS puntos finales deben usar SSL

[DMS.10] DMS Los puntos finales de las bases de datos de Neptune deben tener habilitada la autorización IAM

[DMS.11] DMS Los puntos finales de MongoDB deberían tener habilitado un mecanismo de autenticación

[DMS.12] DMS Los puntos finales de Redis OSS deberían estar habilitados TLS

[DocumentDB.1] Los clústeres de Amazon DocumentDB deben cifrarse en reposo

[DocumentDb.2] Los clústeres de Amazon DocumentDB deben tener un período de retención de copias de seguridad adecuado

[DocumentDb.3] Las instantáneas de clústeres manuales de Amazon DocumentDB no deben ser públicas

[DocumentDb.4] Los clústeres de Amazon DocumentDB deben publicar los registros de auditoría en Logs CloudWatch

[DocumentDb.5] Los clústeres de Amazon DocumentDB deben tener habilitada la protección contra eliminaciones

[DynamoDB.3] Los clústeres de DynamoDB Accelerator () deben cifrarse en reposo DAX

[DynamoDB.4] Las tablas de DynamoDB deben estar presentes en un plan de copias de seguridad

[DynamoDB.7] Los clústeres de DynamoDB Accelerator deben cifrarse en tránsito

[EC2.3] EBS Los volúmenes adjuntos de Amazon deben cifrarse en reposo

[EC2.4] EC2 Las instancias detenidas deben eliminarse después de un período de tiempo específico

[EC2.6] El registro VPC de flujos debe estar habilitado en todas VPCs

[EC2.10] Amazon EC2 debe configurarse para usar VPC puntos de conexión creados para el servicio de Amazon EC2

[EC2.13] Los grupos de seguridad no deberían permitir la entrada desde el 0.0.0.0/0 o: :/0 al puerto 22

[EC2.14] Los grupos de seguridad no deberían permitir la entrada desde el 0.0.0.0/0 o: :/0 al puerto 3389

[EC2.18] Los grupos de seguridad solo deberían permitir el tráfico entrante sin restricciones en los puertos autorizados

[EC2.20] Ambos VPN túneles forman un AWS La VPN conexión de sitio a sitio debe estar activa

[EC2.22] Los grupos de EC2 seguridad de Amazon no utilizados deberían eliminarse

[EC2.23] Amazon EC2 Transit Gateways no debería aceptar VPC automáticamente las solicitudes de archivos adjuntos

[EC2.24] No se deben usar los tipos de instancias EC2 paravirtuales de Amazon

[EC2.25] Las plantillas de EC2 lanzamiento de Amazon no deben asignar interfaces públicas IPs a las de red

[EC2.28] EBS los volúmenes deben estar cubiertos por un plan de respaldo

[EC2.33] Los archivos adjuntos a las pasarelas de EC2 tránsito deben estar etiquetados

[EC2.34] Las tablas de rutas de las pasarelas de EC2 tránsito deben estar etiquetadas

EC2NATLas pasarelas [EC2.40] deben estar etiquetadas

[EC2.48] Los registros de VPC flujo de Amazon deben estar etiquetados

[EC2.51] Los VPN puntos finales de los EC2 clientes deben tener habilitado el registro de las conexiones de los clientes

[ECR.2] Los repositorios ECR privados deben tener configurada la inmutabilidad de las etiquetas

[ECR.3] ECR Los repositorios deben tener configurada al menos una política de ciclo de vida

[ECR.4] Los repositorios ECR públicos deben estar etiquetados

[ECS.1] Las definiciones de ECS tareas de Amazon deben tener modos de red seguros y definiciones de usuario.

[ECS.9] las definiciones de ECS tareas deben tener una configuración de registro

[ECS.16] Los conjuntos de ECS tareas no deben asignar automáticamente direcciones IP públicas

[EFS.1] El Elastic File System debe configurarse para cifrar los datos de los archivos en reposo mediante AWS KMS

[EFS.2] EFS Los volúmenes de Amazon deberían estar en los planes de respaldo

[EFS.3] los puntos de EFS acceso deben establecer un directorio raíz

[EFS.4] los puntos de EFS acceso deben imponer la identidad de un usuario

[EFS.6] Los destinos de EFS montaje no deben estar asociados a una subred pública

[EFS.7] los sistemas de EFS archivos deben tener habilitadas las copias de seguridad automáticas

[EKS.2] EKS los clústeres deberían ejecutarse en una versión compatible de Kubernetes

[EKS.3] los EKS clústeres deben usar secretos de Kubernetes cifrados

[EKS.6] EKS los clústeres deben estar etiquetados

[EKS.7] Las configuraciones de los proveedores de EKS identidad deben estar etiquetadas

[EKS.8] EKS los clústeres deben tener habilitado el registro de auditoría

[ELB.1] Application Load Balancer debe configurarse para redirigir todas las HTTP solicitudes a HTTPS

[ELB.2] Los balanceadores de carga clásicos con HTTPS listenersSSL/deben usar un certificado proporcionado por AWS Certificate Manager

[ELB.4] Application Load Balancer debe configurarse para eliminar los encabezados http no válidos

[ELB.6] Los balanceadores de carga de aplicaciones, puertas de enlace y redes deben tener habilitada la protección contra eliminaciones

[ELB.8] Los balanceadores de carga clásicos con SSL oyentes deben usar una política de seguridad predefinida que tenga una duración sólida AWS Config

[ELB.13] Los balanceadores de carga de aplicaciones, redes y puertas de enlace deben abarcar varias zonas de disponibilidad

[ELB.14] El Classic Load Balancer debe configurarse con el modo defensivo o de mitigación de desincronización más estricto.

[ELB.16] Los balanceadores de carga de aplicaciones deben estar asociados a una web AWS WAF ACL

[ElastiCache.1] Los clústeres ElastiCache (RedisOSS) deben tener habilitadas las copias de seguridad automáticas

[ElastiCache.2] Los clústeres ElastiCache (RedisOSS) deberían tener habilitadas las actualizaciones automáticas de versiones secundarias

[ElastiCache.3] Los grupos de ElastiCache replicación deben tener habilitada la conmutación por error automática

[ElastiCache.4] los grupos de ElastiCache replicación deben estar cifrados en reposo

[ElastiCache.5] los grupos de ElastiCache replicación deben cifrarse en tránsito

[ElastiCache.6] Los grupos de replicación ElastiCache (RedisOSS) de versiones anteriores deberían tener Redis activado OSS AUTH

[ElastiCache.7] los ElastiCache clústeres no deben usar el grupo de subredes predeterminado

[ElasticBeanstalk.1] Los entornos de Elastic Beanstalk deberían tener habilitados los informes de estado mejorados

[ElasticBeanstalk.2] Las actualizaciones de la plataforma gestionada de Elastic Beanstalk deben estar habilitadas

[ElasticBeanstalk.3] Elastic Beanstalk debería transmitir los registros a CloudWatch

[EMR.1] Los nodos principales EMR del clúster de Amazon no deben tener direcciones IP públicas

[ES.1] Los dominios de Elasticsearch deben tener habilitado el cifrado en reposo

[ES.2] Los dominios de Elasticsearch no deben ser de acceso público

[ES.3] Los dominios de Elasticsearch deben cifrar los datos enviados entre nodos

[ES.4] Debe estar habilitado el registro de errores de dominio de Elasticsearch en los CloudWatch registros

[EventBridge.3] Los autobuses de eventos EventBridge personalizados deben incluir una política basada en los recursos

[EventBridge.4] Los puntos finales EventBridge globales deberían tener habilitada la replicación de eventos

[FSx.1] FSx para sistemas de ZFS archivos abiertos, debe configurarse para copiar etiquetas a copias de seguridad y volúmenes

[FSx.2] FSx para Lustre, los sistemas de archivos deben configurarse para copiar etiquetas a las copias de seguridad

[GlobalAccelerator.1] Los aceleradores de Global Accelerator deben estar etiquetados

[GuardDuty.1] GuardDuty debe estar activado

[GuardDuty.2] GuardDuty los filtros deben estar etiquetados

[GuardDuty.3] GuardDuty IPSets debe estar etiquetado

[GuardDuty.9] La GuardDuty RDS protección debe estar habilitada

[IAM.1] IAM las políticas no deberían permitir todos los privilegios administrativos «*»

[IAM.2] IAM los usuarios no deberían tener IAM políticas adjuntas

[IAM.3] las claves IAM de acceso de los usuarios deben rotarse cada 90 días o menos

[IAM.4] la clave de acceso del usuario IAM root no debería existir

[IAM.5] MFA debería estar activado para todos los IAM usuarios que tengan una contraseña de consola

[IAM.6] El hardware MFA debe estar habilitado para el usuario root

[IAM.7] Las políticas de contraseñas para IAM los usuarios deben tener una configuración sólida

[IAM.8] Se deben eliminar las credenciales IAM de usuario no utilizadas

[IAM.9] MFA debe estar activado para el usuario root

[IAM.10] Las políticas de contraseñas para IAM los usuarios deben tener una duración rigurosa AWS Config

[IAM.11] Asegúrese de que la política de IAM contraseñas requiera al menos una letra mayúscula

[IAM.12] Asegúrese de que la política de IAM contraseñas requiera al menos una letra minúscula

[IAM.13] Asegúrese de que la política de IAM contraseñas requiera al menos un símbolo

[IAM.14] Asegúrese de que la política de IAM contraseñas requiera al menos un número

[IAM.15] Asegúrese de que la política de IAM contraseñas exija una longitud de contraseña mínima de 14 o más

[IAM.16] Asegúrese de que la política de IAM contraseñas impida su reutilización

[IAM.17] Asegúrese de que la política de contraseñas IAM haga caducar las contraseñas en un plazo de 90 días o menos

[IAM.18] Asegúrese de que se haya creado una función de soporte para gestionar los incidentes con AWS Support

[IAM.19] MFA debe estar habilitado para todos los usuarios IAM

[IAM.21] Las políticas gestionadas por el IAM cliente que cree no deberían permitir acciones comodín para los servicios

[IAM.22] Se deben eliminar las credenciales de IAM usuario que no se hayan utilizado durante 45 días

Los IAM roles deben estar IAM etiquetados [.24]

Se debe etiquetar a IAM los usuarios [IAM.25]

[IAM.26] TLS Los certificados SSL caducados o gestionados IAM deben eliminarse

[IAM.27] IAM las identidades no deberían tener la AWSCloudShellFullAccess política adjunta

[IAM.28] El analizador de IAM acceso externo Access Analyzer debe estar activado

[Inspector.1] El EC2 escaneo de Amazon Inspector debe estar activado

[Inspector.2] El ECR escaneo de Amazon Inspector debe estar activado

[Inspector.3] Debe estar activado el escaneo de código Lambda de Amazon Inspector

[Inspector.4] El escaneo estándar de Amazon Inspector Lambda debe estar activado

[IoT 1] AWS IoT Device Defender los perfiles de seguridad deben estar etiquetados

[IoT 2] AWS IoT Core las acciones de mitigación deben estar etiquetadas

[IoT 3] AWS IoT Core las dimensiones deben estar etiquetadas

[IoT. 4] AWS IoT Core los autorizadores deben estar etiquetados

[IoT 5] AWS IoT Core los alias de los roles deben estar etiquetados

[IoT 6] AWS IoT Core las políticas deben estar etiquetadas

[Kinesis.1] Las transmisiones de Kinesis deben cifrarse en reposo

[Kinesis.2] Las transmisiones de Kinesis deben estar etiquetadas

[Kinesis.3] Las transmisiones de Kinesis deben tener un período de retención de datos adecuado

[KMS.1] Las políticas gestionadas por el IAM cliente no deberían permitir acciones de descifrado en todas KMS las claves

[KMS.2] IAM los directores no deberían tener políticas integradas que permitan IAM realizar acciones de descifrado en todas las claves KMS

[Lambda.5] Las funciones VPC Lambda deben funcionar en varias zonas de disponibilidad

[Macie.1] Amazon Macie debería estar activado

[MQ.2] Los corredores de ActiveMQ deberían transmitir los registros de auditoría a CloudWatch

[MQ.3] Los corredores de Amazon MQ deberían tener habilitada la actualización automática de las versiones secundarias

[MQ.4] Los corredores de Amazon MQ deberían estar etiquetados

[MQ.5] Los corredores ActiveMQ deben usar el modo de implementación activo/en espera

[MQ.6] Los corredores de RabbitMQ deberían usar el modo de implementación de clústeres

[MSK.1] MSK Los clústeres deben cifrarse en tránsito entre los nodos intermediarios

[MSK.2] MSK los clústeres deben tener configurada una supervisión mejorada

[Neptune.1] Los clústeres de bases de datos de Neptune deben cifrarse en reposo

[Neptune.2] Los clústeres de bases de datos de Neptune deberían publicar los registros de auditoría en Logs CloudWatch

[Neptune.3] Las instantáneas del clúster de base de datos de Neptune no deben ser públicas

[Neptune.4] Los clústeres de base de datos de Neptune deben tener habilitada la protección de eliminación

[Neptune.5] Los clústeres de bases de datos de Neptune deberían tener habilitadas las copias de seguridad automáticas

[Neptune.6] Las instantáneas del clúster de base de datos de Neptune deben cifrarse en reposo

[Neptune.7] Los clústeres de bases de datos de Neptune deben tener habilitada la autenticación de bases de datos IAM

[Neptune.8] Los clústeres de base de datos de Neptune deben configurarse para copiar etiquetas a las instantáneas

[Neptune.9] Los clústeres de base de datos de Neptune se deben implementar en varias zonas de disponibilidad

[NetworkFirewall.1] Los firewalls de Network Firewall deben implementarse en varias zonas de disponibilidad

[NetworkFirewall.2] El registro de Network Firewall debe estar habilitado

[NetworkFirewall.3] Las políticas de Network Firewall deben tener asociado al menos un grupo de reglas

[NetworkFirewall.4] La acción sin estado predeterminada para las políticas de Network Firewall debe ser eliminar o reenviar paquetes completos

[NetworkFirewall.5] La acción sin estado predeterminada para las políticas de Network Firewall debe ser eliminar o reenviar paquetes fragmentados

[NetworkFirewall.6] El grupo de reglas de Stateless Network Firewall no debe estar vacío

[NetworkFirewall.9] Los firewalls de Network Firewall deben tener habilitada la protección contra eliminaciones

Los OpenSearch dominios [Opensearch.1] deben tener activado el cifrado en reposo

Los OpenSearch dominios [Opensearch.2] no deben ser de acceso público

Los OpenSearch dominios [Opensearch.3] deben cifrar los datos enviados entre nodos

El registro de errores de OpenSearch dominio [Opensearch.4] en CloudWatch Logs debe estar activado

Los OpenSearch dominios [Opensearch.5] deben tener habilitado el registro de auditoría

Los OpenSearch dominios [Opensearch.6] deben tener al menos tres nodos de datos

Los OpenSearch dominios [Opensearch.7] deben tener habilitado un control de acceso detallado

[Opensearch.8] Las conexiones a los dominios deben cifrarse OpenSearch según la política de seguridad más reciente TLS

Los OpenSearch dominios [Opensearch.9] deben estar etiquetados

Los OpenSearch dominios [Opensearch.10] deben tener instalada la última actualización de software

Los OpenSearch dominios [Opensearch.11] deben tener al menos tres nodos principales dedicados

[PCA.1] AWS Private CA la autoridad emisora de certificados raíz debe estar deshabilitada

[RDS.1] La RDS instantánea debe ser privada

[RDS.4] Las instantáneas de RDS clústeres y las instantáneas de bases de datos deben cifrarse cuando están inactivas

[RDS.7] RDS los clústeres deben tener habilitada la protección contra la eliminación

[RDS.8] Las RDS instancias de base de datos deben tener habilitada la protección contra la eliminación

La IAM autenticación [RDS.12] debe configurarse para RDS los clústeres

[RDS.14] Los clústeres de Amazon Aurora deben tener habilitada la función de retroceso

[RDS.15] Los clústeres de RDS bases de datos deben configurarse para varias zonas de disponibilidad

[RDS.24] Los clústeres RDS de bases de datos deben usar un nombre de usuario de administrador personalizado

[RDS.26] Las RDS instancias de base de datos deben protegerse mediante un plan de respaldo

[RDS.27] Los clústeres de RDS bases de datos deben cifrarse cuando están inactivos

[RDS.29] Las instantáneas de los clústeres RDS de bases de datos deben estar etiquetadas

[RDS.31] Los grupos de seguridad RDS de bases de datos deben etiquetarse

[RDS.34] Los clústeres de Aurora My SQL DB deberían publicar los registros de auditoría en Logs CloudWatch

[RDS.35] Los clústeres de RDS bases de datos deben tener habilitada la actualización automática de las versiones secundarias

[RDS.37] Los clústeres de SQL bases de datos Aurora Postgre deberían publicar registros en Logs CloudWatch

Los clústeres de Amazon Redshift [Redshift.3] deben tener habilitadas las instantáneas automáticas

Los clústeres de Amazon Redshift [Redshift.8] no deben usar el nombre de usuario de administrador predeterminado

Los clústeres de Redshift [Redshift.9] no deben usar el nombre de base de datos predeterminado

[Redshift.12] Las suscripciones a notificaciones de eventos de Redshift deben estar etiquetadas

[Route53.1] Los controles de estado de Route 53 deben estar etiquetados

[Route53.2] Las zonas alojadas públicamente de Route 53 deberían registrar las consultas DNS

[S3.1] Los depósitos de uso general de S3 deberían tener habilitada la configuración de bloqueo de acceso público

[S3.2] Los depósitos de uso general de S3 deberían bloquear el acceso público de lectura

[S3.3] Los cubos de uso general de S3 deberían bloquear el acceso público de escritura

[S3.8] Los depósitos de uso general de S3 deberían bloquear el acceso público

[S3.9] Los depósitos de uso general de S3 deberían tener habilitado el registro de acceso al servidor

[S3.24] Los puntos de acceso multirregionales de S3 deben tener habilitada la configuración de bloqueo de acceso público

[SageMaker.1] Las instancias de Amazon SageMaker Notebook no deberían tener acceso directo a Internet

[SageMaker.2] las instancias de SageMaker notebook deberían lanzarse de forma personalizada VPC

[SageMaker.3] Los usuarios no deberían tener acceso root a las instancias de SageMaker notebook

[ServiceCatalog.1] Las carteras de Service Catalog deben compartirse dentro de un AWS solo una organización

[SNS.1] SNS los temas deben cifrarse en reposo mediante AWS KMS

[SQS.1] SQS Las colas de Amazon deberían estar cifradas en reposo

[SQS.2] las colas deben estar etiquetadas SQS

[SSM.1] EC2 Las instancias de Amazon deben gestionarse mediante AWS Systems Manager

[SSM.2] EC2 Las instancias de Amazon gestionadas por Systems Manager deben tener un estado de conformidad con el parche COMPLIANT tras la instalación de un parche

[SSM.3] EC2 Las instancias de Amazon gestionadas por Systems Manager deben tener un estado de conformidad de asociación de COMPLIANT

[SSM.4] SSM los documentos no deben ser públicos

[StepFunctions.1] Las máquinas de estado de Step Functions deberían tener el registro activado

[StepFunctions.2] Las actividades de Step Functions deben estar etiquetadas

[WAF.1] AWS WAF El ACL registro web global clásico debe estar habilitado

[WAF.2] AWS WAF Las normas regionales clásicas deben tener al menos una condición

[WAF.3] AWS WAF Los grupos de reglas regionales clásicos deben tener al menos una regla

[WAF.4] AWS WAF La web regional clásica ACLs debe tener al menos una regla o grupo de reglas

[WAF.6] AWS WAF Las reglas globales clásicas deben tener al menos una condición

[WAF7.] AWS WAF Los grupos de reglas globales clásicos deben tener al menos una regla

[WAF.8] AWS WAF La web global clásica ACLs debe tener al menos una regla o grupo de reglas

[WAF.11] AWS WAF el ACL registro web debe estar habilitado

[WAF.12] AWS WAF las reglas deben tener las CloudWatch métricas habilitadas

[WorkSpaces.1] los volúmenes de WorkSpaces usuarios deben cifrarse en reposo

[WorkSpaces.2] los volúmenes WorkSpaces raíz deben cifrarse en reposo

[CloudFront.1] CloudFront las distribuciones deben tener configurado un objeto raíz predeterminado

[CloudFront.3] CloudFront las distribuciones deberían requerir el cifrado en tránsito

[CloudFront.4] CloudFront las distribuciones deben tener configurada la conmutación por error de Origin

[CloudFront.5] CloudFront las distribuciones deberían tener el registro activado

[CloudFront.6] CloudFront las distribuciones deberían estar habilitadas WAF

[CloudFront.7] CloudFront las distribuciones deben usar certificados/personalizados SSL TLS

[CloudFront.8] CloudFront las distribuciones deberían usarse SNI para atender las solicitudes HTTPS

[CloudFront.9] CloudFront las distribuciones deberían cifrar el tráfico hacia orígenes personalizados

[CloudFront.10] CloudFront las distribuciones no deberían usar SSL protocolos obsoletos entre las ubicaciones de los bordes y los orígenes personalizados

[CloudFront.12] CloudFront las distribuciones no deben apuntar a orígenes S3 inexistentes

[CloudFront.13] CloudFront las distribuciones deben usar el control de acceso al origen

[CloudFront.14] CloudFront las distribuciones deben estar etiquetadas

[CodeArtifact.1] CodeArtifact Los repositorios deben estar etiquetados

[DocumentDB.1] Los clústeres de Amazon DocumentDB deben cifrarse en reposo

[DocumentDb.2] Los clústeres de Amazon DocumentDB deben tener un período de retención de copias de seguridad adecuado

[DocumentDb.3] Las instantáneas de clústeres manuales de Amazon DocumentDB no deben ser públicas

[DocumentDb.4] Los clústeres de Amazon DocumentDB deben publicar los registros de auditoría en Logs CloudWatch

[DocumentDb.5] Los clústeres de Amazon DocumentDB deben tener habilitada la protección contra eliminaciones

[DynamoDB.3] Los clústeres de DynamoDB Accelerator () deben cifrarse en reposo DAX

[DynamoDB.7] Los clústeres de DynamoDB Accelerator deben cifrarse en tránsito

[EC2.20] Ambos VPN túneles forman un AWS La VPN conexión de sitio a sitio debe estar activa

[EC2.23] Amazon EC2 Transit Gateways no debería aceptar VPC automáticamente las solicitudes de archivos adjuntos

[EC2.24] No se deben usar los tipos de instancias EC2 paravirtuales de Amazon

[ECR.4] Los repositorios ECR públicos deben estar etiquetados

[ElasticBeanstalk.3] Elastic Beanstalk debería transmitir los registros a CloudWatch

[EventBridge.4] Los puntos finales EventBridge globales deberían tener habilitada la replicación de eventos

[FSx.1] FSx para sistemas de ZFS archivos abiertos, debe configurarse para copiar etiquetas a copias de seguridad y volúmenes

[GlobalAccelerator.1] Los aceleradores de Global Accelerator deben estar etiquetados

[GuardDuty.1] GuardDuty debe estar activado

[IAM.26] TLS Los certificados SSL caducados o gestionados IAM deben eliminarse

[Inspector.3] Debe estar activado el escaneo de código Lambda de Amazon Inspector

[MSK.3] Los conectores MSK Connect deben estar cifrados en tránsito

[RDS.7] RDS los clústeres deben tener habilitada la protección contra la eliminación

La IAM autenticación [RDS.12] debe configurarse para RDS los clústeres

[RDS.14] Los clústeres de Amazon Aurora deben tener habilitada la función de retroceso

[RDS.15] Los clústeres de RDS bases de datos deben configurarse para varias zonas de disponibilidad

[RDS.24] Los clústeres RDS de bases de datos deben usar un nombre de usuario de administrador personalizado

[RDS.31] Los grupos de seguridad RDS de bases de datos deben etiquetarse

Amazon Redshift [Redshift.6] debería tener habilitadas las actualizaciones automáticas a las versiones principales

[Route53.1] Los controles de estado de Route 53 deben estar etiquetados

[Route53.2] Las zonas alojadas públicamente de Route 53 deberían registrar las consultas DNS

[S3.24] Los puntos de acceso multirregionales de S3 deben tener habilitada la configuración de bloqueo de acceso público

[SSM.2] EC2 Las instancias de Amazon gestionadas por Systems Manager deben tener un estado de conformidad con el parche COMPLIANT tras la instalación de un parche

[WAF.1] AWS WAF El ACL registro web global clásico debe estar habilitado

[WAF.6] AWS WAF Las reglas globales clásicas deben tener al menos una condición

[WAF7.] AWS WAF Los grupos de reglas globales clásicos deben tener al menos una regla

[WAF.8] AWS WAF La web global clásica ACLs debe tener al menos una regla o grupo de reglas

[WorkSpaces.1] los volúmenes de WorkSpaces usuarios deben cifrarse en reposo

[WorkSpaces.2] los volúmenes WorkSpaces raíz deben cifrarse en reposo

[ACM.2] RSA los certificados gestionados por ACM deben utilizar una longitud de clave de al menos 2048 bits

[APIGateway.8] Las rutas de API gateway deben especificar un tipo de autorización

[APIGateway.9] El registro de acceso debe configurarse para las etapas de API Gateway V2

[AppSync.2] AWS AppSync debe tener habilitado el registro a nivel de campo

[AppSync.5] AWS AppSync GraphQL no APIs debe autenticarse con claves API

[AutoScaling.1] Los grupos de Auto Scaling asociados a un balanceador de cargas deben usar controles de ELB estado

[Copia de seguridad.1] AWS Backup los puntos de recuperación deben estar cifrados en reposo

[Copia de seguridad.2] AWS Backup los puntos de recuperación deben estar etiquetados

[Respaldo. 4] AWS Backup los planes de informes deben estar etiquetados

[CloudFormation.2] las CloudFormation pilas deben estar etiquetadas

[CloudFront.1] CloudFront las distribuciones deben tener configurado un objeto raíz predeterminado

[CloudFront.3] CloudFront las distribuciones deberían requerir el cifrado en tránsito

[CloudFront.4] CloudFront las distribuciones deben tener configurada la conmutación por error de Origin

[CloudFront.5] CloudFront las distribuciones deberían tener el registro activado

[CloudFront.6] CloudFront las distribuciones deberían estar habilitadas WAF

[CloudFront.7] CloudFront las distribuciones deben usar certificados/personalizados SSL TLS

[CloudFront.8] CloudFront las distribuciones deberían usarse SNI para atender las solicitudes HTTPS

[CloudFront.9] CloudFront las distribuciones deberían cifrar el tráfico hacia orígenes personalizados

[CloudFront.10] CloudFront las distribuciones no deberían usar SSL protocolos obsoletos entre las ubicaciones de los bordes y los orígenes personalizados

[CloudFront.12] CloudFront las distribuciones no deben apuntar a orígenes S3 inexistentes

[CloudFront.13] CloudFront las distribuciones deben usar el control de acceso al origen

[CloudFront.14] CloudFront las distribuciones deben estar etiquetadas

[CloudTrail.1] CloudTrail debe habilitarse y configurarse con al menos un registro multirregional que incluya eventos de administración de lectura y escritura

[CloudTrail.6] Asegúrese de que el depósito de S3 que se utiliza para almacenar CloudTrail los registros no sea de acceso público

[CloudWatch.15] CloudWatch las alarmas deben tener configuradas las acciones especificadas

[CloudWatch.16] Los grupos de CloudWatch registros deben conservarse durante un período de tiempo específico

[CloudWatch.17] Las acciones CloudWatch de alarma deben estar activadas

[CodeArtifact.1] CodeArtifact Los repositorios deben estar etiquetados

[CodeBuild.1] CodeBuild El repositorio fuente de Bitbucket no URLs debe contener credenciales confidenciales

[CodeBuild.3] Los registros de CodeBuild S3 deben estar cifrados

[CodeBuild.4] los entornos de CodeBuild proyectos deben tener un registro AWS Config Duración

[CodeBuild.7] las exportaciones de grupos de CodeBuild informes deben cifrarse en reposo

[Detective.1] Los gráficos de comportamiento de los detectives deben estar etiquetados

[DMS.1] Las instancias de replicación de Database Migration Service no deben ser públicas

[DMS.2] DMS los certificados deben estar etiquetados

[DMS.3] las suscripciones a DMS eventos deben estar etiquetadas

[DMS.4] las instancias de DMS replicación deben estar etiquetadas

[DMS.5] los grupos de subredes de DMS replicación deben estar etiquetados

[DMS.6] las instancias de DMS replicación deben tener habilitada la actualización automática de las versiones secundarias

[DMS.7] las tareas de DMS replicación de la base de datos de destino deben tener habilitado el registro

[DMS.8] las tareas de DMS replicación de la base de datos de origen deben tener habilitado el registro

[DMS.9] Los DMS puntos finales deben usar SSL

[DMS.10] DMS Los puntos finales de las bases de datos de Neptune deben tener habilitada la autorización IAM

[DMS.11] DMS Los puntos finales de MongoDB deberían tener habilitado un mecanismo de autenticación

[DMS.12] DMS Los puntos finales de Redis OSS deberían estar habilitados TLS

[DocumentDB.1] Los clústeres de Amazon DocumentDB deben cifrarse en reposo

[DocumentDb.2] Los clústeres de Amazon DocumentDB deben tener un período de retención de copias de seguridad adecuado

[DocumentDb.3] Las instantáneas de clústeres manuales de Amazon DocumentDB no deben ser públicas

[DocumentDb.4] Los clústeres de Amazon DocumentDB deben publicar los registros de auditoría en Logs CloudWatch

[DocumentDb.5] Los clústeres de Amazon DocumentDB deben tener habilitada la protección contra eliminaciones

[DynamoDB.3] Los clústeres de DynamoDB Accelerator () deben cifrarse en reposo DAX

[DynamoDB.4] Las tablas de DynamoDB deben estar presentes en un plan de copias de seguridad

[DynamoDB.7] Los clústeres de DynamoDB Accelerator deben cifrarse en tránsito

[EC2.3] EBS Los volúmenes adjuntos de Amazon deben cifrarse en reposo

[EC2.4] EC2 Las instancias detenidas deben eliminarse después de un período de tiempo específico

[EC2.6] El registro VPC de flujos debe estar habilitado en todas VPCs

[EC2.8] EC2 las instancias deben usar la versión 2 del servicio de metadatos de instancias IMDSv2