Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Contrôles Security Hub pour Amazon EC2

Ces AWS Security Hub contrôles évaluent le service et les ressources Amazon Elastic Compute Cloud (Amazon EC2).

Il est possible que ces commandes ne soient pas toutes disponibles Régions AWS. Pour de plus amples informations, veuillez consulter Disponibilité des contrôles par région.

[EC2.1] Les instantanés Amazon EBS ne doivent pas être restaurables publiquement

Exigences connexes : PCI DSS v3.2.1/1.2.1, PCI DSS v3.2.1/1.3.1, PCI DSS v3.2.1/1.3.4, PCI DSS v3.2.1/7.2.1, NIST.800-53.r5 AC-2 1, NIST.800-53.r5 AC-3 (7), (21),,, (11), (16), (20) NIST.800-53.r5 AC-3, (21), (3) NIST.800-53.r5 AC-4, NIST.800-53.r5 AC-4 (4) NIST.800-53.r5 AC-6, NIST.800-53.r5 SC-7 (9) NIST.800-53.r5 SC-7 NIST.800-53.r5 SC-7 NIST.800-53.r5 SC-7 NIST.800-53.r5 SC-7 NIST.800-53.r5 SC-7 NIST.800-53.r5 SC-7 NIST.800-53.r5 SC-7

Catégorie : Protéger - Configuration réseau sécurisée

Gravité : Critique

Type de ressource : AWS::::Account

Règle AWS Config  : ebs-snapshot-public-restorable-check

Type de calendrier : Périodique

Paramètres : Aucun

Ce contrôle vérifie si les instantanés Amazon Elastic Block Store ne sont pas publics. Le contrôle échoue si les instantanés Amazon EBS peuvent être restaurés par n'importe qui.

Les instantanés EBS sont utilisés pour sauvegarder les données de vos volumes EBS sur Amazon S3 à un moment précis. Vous pouvez utiliser les instantanés pour restaurer les états précédents des volumes EBS. Il est rarement acceptable de partager un instantané avec le public. Généralement, la décision de partager un instantané publiquement a été prise par erreur ou sans une compréhension complète des implications. Cette vérification permet de s'assurer que tout ce partage a été entièrement planifié et intentionnel.

Correction

Pour rendre privé un instantané EBS public, consultez la section Partager un instantané dans le guide de l' EC2 utilisateur Amazon. Pour Actions, Modifier les autorisations, choisissez Privé.

[EC2.2] Les groupes de sécurité VPC par défaut ne doivent pas autoriser le trafic entrant ou sortant

Exigences associées : PCI DSS v3.2.1/1.2.1, PCI DSS v3.2.1/1.3.4, PCI DSS v3.2.1/2.1, CIS AWS Foundations Benchmark v1.2.0/4.3, CIS Foundations Benchmark v1.4.0/5.3, CIS Foundations Benchmark v3.0.0/5.4, (21), (11), (16), (21), (21), (4) AWS , (5) AWS NIST.800-53.r5 AC-4 NIST.800-53.r5 AC-4 NIST.800-53.r5 SC-7 NIST.800-53.r5 SC-7 NIST.800-53.r5 SC-7 NIST.800-53.r5 SC-7 NIST.800-53.r5 SC-7 NIST.800-53.r5 SC-7

Catégorie : Protéger - Configuration réseau sécurisée

Gravité : Élevée

Type de ressource : AWS::EC2::SecurityGroup

Règle AWS Config  : vpc-default-security-group-closed

Type de calendrier : changement déclenché

Paramètres : Aucun

Ce contrôle vérifie si le groupe de sécurité par défaut d'un VPC autorise le trafic entrant ou sortant. Le contrôle échoue si le groupe de sécurité autorise le trafic entrant ou sortant.

Les règles du groupe de sécurité par défaut autorisent tout le trafic sortant et entrant à partir d’interfaces réseau (et de leurs instances associées) affectées au même groupe de sécurité. Nous vous recommandons de ne pas utiliser le groupe de sécurité par défaut. Étant donné que le groupe de sécurité par défaut ne peut pas être supprimé, vous devez modifier le paramètre des règles de groupe de sécurité par défaut pour restreindre le trafic entrant et sortant. Cela permet d'éviter tout trafic involontaire si le groupe de sécurité par défaut est accidentellement configuré pour des ressources telles que des EC2 instances.

Correction

Pour remédier à ce problème, commencez par créer de nouveaux groupes de sécurité dotés du moindre privilège. Pour obtenir des instructions, consultez la section Créer un groupe de sécurité dans le guide de l'utilisateur Amazon VPC. Attribuez ensuite les nouveaux groupes de sécurité à vos EC2 instances. Pour obtenir des instructions, consultez Modifier le groupe de sécurité d'une instance dans le guide de EC2 l'utilisateur Amazon.

Après avoir attribué les nouveaux groupes de sécurité à vos ressources, supprimez toutes les règles entrantes et sortantes des groupes de sécurité par défaut. Pour obtenir des instructions, consultez la section Configurer les règles des groupes de sécurité dans le guide de l'utilisateur Amazon VPC.

[EC2.3] Les volumes Amazon EBS joints doivent être chiffrés au repos

Exigences connexes : NIST.800-53.r5 CA-9 (1), NIST.800-53.r5 CM-3(6), NIST.800-53.r5 SC-1 3, NIST.800-53.r5 SC-2 8, NIST.800-53.r5 SC-2 8 (1), NIST.800-53.r5 SC-7 (10), NIST.800-53.R5 SI-7 (6)

Catégorie : Protéger > Protection des données > Chiffrement de data-at-rest

Gravité : Moyenne

Type de ressource : AWS::EC2::Volume

Règle AWS Config  : encrypted-volumes

Type de calendrier : changement déclenché

Paramètres : Aucun

Ce contrôle vérifie que les volumes EBS attachés sont chiffrés. Pour réussir cette vérification, les volumes EBS doivent être en cours d'utilisation et chiffrés. Si le volume EBS n'est pas attaché, il ne fait pas partie de la portée de cette vérification.

Pour une couche supplémentaire de sécurité de vos données sensibles dans les volumes EBS, vous devez activer le chiffrement EBS au repos. Le chiffrement Amazon EBS offre une solution simple de chiffrement pour vos ressources EBS, qui n'exige pas de développer, contrôler ni sécuriser votre propre infrastructure de gestion de clés. Il utilise des clés KMS lors de la création de volumes chiffrés et de snapshots.

Pour en savoir plus sur le chiffrement Amazon EBS, consultez la section relative au chiffrement Amazon EBS dans le guide de EC2 l'utilisateur Amazon.

Correction

Il n'existe aucun moyen direct de chiffrer un volume ou un instantané non chiffré existant. Vous pouvez uniquement chiffrer un nouveau volume ou instantané lorsque vous le créez.

Si vous avez activé le chiffrement par défaut, Amazon EBS chiffre le nouveau volume ou instantané obtenu à l'aide de votre clé par défaut pour le chiffrement Amazon EBS. Même si vous n'avez pas activé le chiffrement par défaut, vous pouvez activer le chiffrement lorsque vous créez un volume ou un instantané spécifique. Dans les deux cas, vous pouvez remplacer la clé par défaut pour le chiffrement Amazon EBS et choisir une clé symétrique gérée par le client.

Pour plus d'informations, consultez les sections Création d'un volume Amazon EBS et Copie d'un instantané Amazon EBS dans le guide de EC2 l'utilisateur Amazon.

[EC2.4] Les EC2 instances arrêtées doivent être supprimées après une période spécifiée

Exigences connexes : NIST.800-53.r5 CA-9 (1), NIST.800-53.R5 CM-2, NIST.800-53.R5 CM-2 (2)

Catégorie : Identifier - Inventaire

Gravité : Moyenne

Type de ressource : AWS::EC2::Instance

Règle AWS Config  : ec2-stopped-instance

Type de calendrier : Périodique

Paramètres :

Ce contrôle vérifie si une EC2 instance Amazon a été arrêtée pendant plus de jours que le nombre de jours autorisé. Le contrôle échoue si une EC2 instance est arrêtée pendant une durée supérieure à la durée maximale autorisée. À moins que vous ne fournissiez une valeur de paramètre personnalisée pour la période maximale autorisée, Security Hub utilise une valeur par défaut de 30 jours.

Lorsqu'une EC2 instance n'est pas exécutée pendant une longue période, cela crée un risque de sécurité car elle n'est pas activement maintenue (analysée, corrigée, mise à jour). S'il est lancé ultérieurement, l'absence de maintenance appropriée peut entraîner des problèmes inattendus dans votre AWS environnement. Pour maintenir une EC2 instance inactive en toute sécurité au fil du temps, démarrez-la régulièrement pour la maintenance, puis arrêtez-la après la maintenance. Idéalement, il devrait s'agir d'un processus automatisé.

Correction

Pour mettre fin à une EC2 instance inactive, consultez la section Résiliation d'une instance dans le guide de EC2 l'utilisateur Amazon.

[EC2.6] La journalisation des flux VPC doit être activée dans tous les cas VPCs

Exigences associées : CIS AWS Foundations Benchmark v1.2.0/2.9, CIS Foundations Benchmark v1.4.0/3.9, CIS AWS Foundations Benchmark v3.0.0/3.7, PCI DSS v3.2.1/10.3.3, PCI DSS v3.2.1/10.3.4, PCI DSS v3.2.1/10.3.5, PCI DSS v3.2.1/10.3.6, (26), NIST.800-53.R5 AWS SI-7 (8) NIST.800-53.r5 AC-4 NIST.800-53.r5 AU-12, NIST.800-53.r5 AU-2, NIST.800-53.r5 AU-3, NIST.800-53.r5 AU-6(3), NIST.800-53.r5 AU-6(4), NIST.800-53.r5 CA-7

Catégorie : Identifier - Journalisation

Gravité : Moyenne

Type de ressource : AWS::EC2::VPC

Règle AWS Config  : vpc-flow-logs-enabled

Type de calendrier : Périodique

Paramètres :

Ce contrôle vérifie si les journaux de flux Amazon VPC sont trouvés et activés. VPCs Le type de trafic est défini surReject. Le contrôle échoue si les journaux de flux VPC ne sont pas activés VPCs dans votre compte.

Grâce à la fonctionnalité VPC Flow Logs, vous pouvez capturer des informations sur le trafic d'adresses IP à destination et en provenance des interfaces réseau de votre VPC. Après avoir créé un journal de flux, vous pouvez consulter et récupérer ses données dans CloudWatch Logs. Pour réduire les coûts, vous pouvez également envoyer vos journaux de flux vers Amazon S3.

Security Hub vous recommande d'activer la journalisation des flux pour les rejets de paquets pour VPCs. Les journaux de flux fournissent une visibilité sur le trafic réseau qui traverse le VPC et peuvent détecter le trafic anormal ou fournir des informations lors des flux de travail de sécurité.

Par défaut, l'enregistrement inclut des valeurs pour les différents composants du flux d'adresses IP, notamment la source, la destination et le protocole. Pour plus d'informations et une description des champs de journal, consultez la section VPC Flow Logs dans le guide de l'utilisateur Amazon VPC.

Correction

Pour créer un journal de flux VPC, consultez la section Créer un journal de flux dans le guide de l'utilisateur Amazon VPC. Après avoir ouvert la console Amazon VPC, choisissez Your. VPCs Pour Filtrer, choisissez Rejeter ou Tout.

[EC2.7] Le chiffrement par défaut d'EBS doit être activé

Exigences associées : CIS AWS Foundations Benchmark v1.4.0/2.2.1, CIS AWS Foundations Benchmark v3.0.0/2.2.1, (1), NIST.800-53.r5 CM-3(6), NIST.800-53.r5 SC-1 3, 8, NIST.800-53.r5 SC-2 8 NIST.800-53.r5 CA-9 (1), (10), NIST.800-53.r5 SC-2 NIST.800-53.R5 SI-7 (6) NIST.800-53.r5 SC-7

Catégorie : Protéger > Protection des données > Chiffrement de data-at-rest

Gravité : Moyenne

Type de ressource : AWS::::Account

Règle AWS Config  : ec2-ebs-encryption-by-default

Type de calendrier : Périodique

Paramètres : Aucun

Ce contrôle vérifie si le chiffrement au niveau du compte est activé par défaut pour les volumes Amazon Elastic Block Store (Amazon EBS). Le contrôle échoue si le chiffrement au niveau du compte n'est pas activé pour les volumes EBS.

Lorsque le chiffrement est activé pour votre compte, les volumes Amazon EBS et les copies instantanées sont chiffrés au repos. Cela ajoute un niveau de protection supplémentaire à vos données. Pour plus d'informations, consultez la section Chiffrement par défaut dans le guide de EC2 l'utilisateur Amazon.

Correction

Pour configurer le chiffrement par défaut pour les volumes Amazon EBS, consultez la section Chiffrement par défaut dans le guide de EC2 l'utilisateur Amazon.

[EC2.8] EC2 les instances doivent utiliser le service de métadonnées d'instance version 2 () IMDSv2

Exigences associées : CIS AWS Foundations Benchmark v3.0.0/5.6, NIST.800-53.r5 AC-3 (15) NIST.800-53.r5 AC-3, NIST.800-53.r5 AC-3 (7), NIST.800-53.r5 AC-6 PCI DSS v4.0.1/2.2.6

Catégorie : Protection > Sécurité du réseau

Gravité : Élevée

Type de ressource : AWS::EC2::Instance

Règle AWS Config  : ec2-imdsv2-check

Type de calendrier : changement déclenché

Paramètres : Aucun

Ce contrôle vérifie si la version des métadonnées de votre EC2 instance est configurée avec le service de métadonnées d'instance version 2 (IMDSv2). Le contrôle passe s'il HttpTokens est défini sur obligatoire pour IMDSv2. Le contrôle échoue s'il HttpTokens est défini suroptional.

Vous utilisez les métadonnées de l'instance pour configurer ou gérer l'instance en cours d'exécution. L'IMDS donne accès à des informations d'identification temporaires fréquemment renouvelées. Ces informations d'identification éliminent le besoin de coder en dur ou de distribuer des informations d'identification sensibles aux instances manuellement ou par programmation. L'IMDS est attaché localement à chaque EC2 instance. Il fonctionne sur une adresse IP spéciale « lien local » 169.254.169.254. Cette adresse IP n'est accessible que par le logiciel qui s'exécute sur l'instance.

La version 2 de l'IMDS ajoute de nouvelles protections pour les types de vulnérabilités suivants. Ces vulnérabilités pourraient être utilisées pour tenter d'accéder à l'IMDS.

Security Hub vous recommande de configurer vos EC2 instances avec IMDSv2.

Correction

Pour configurer EC2 les instances avec IMDSv2, consultez le chemin recommandé pour exiger IMDSv2 dans le guide de EC2 l'utilisateur Amazon.

[EC2.9] EC2 Les instances Amazon ne doivent pas avoir d'adresse publique IPv4

Exigences connexes : NIST.800-53.r5 AC-2 1 NIST.800-53.r5 AC-3, NIST.800-53.r5 AC-3 (7) NIST.800-53.r5 AC-4, NIST.800-53.r5 AC-4 (21),, NIST.800-53.r5 AC-6 NIST.800-53.r5 SC-7, NIST.800-53.r5 SC-7 (11), NIST.800-53.r5 SC-7 (16), NIST.800-53.r5 SC-7 (20), NIST.800-53.r5 SC-7 (21), NIST.800-53.r5 SC-7 (3), NIST.800-53.r5 SC-7 (4), NIST.800-53.r5 SC-7 (9)

Catégorie : Protéger > Configuration réseau sécurisée > Ressources non accessibles au public

Gravité : Élevée

Type de ressource : AWS::EC2::Instance

Règle AWS Config  : ec2-instance-no-public-ip

Type de calendrier : changement déclenché

Paramètres : Aucun

Ce contrôle vérifie si EC2 les instances possèdent une adresse IP publique. Le contrôle échoue si le publicIp champ est présent dans l'élément de configuration de l' EC2 instance. Ce contrôle s'applique uniquement aux IPv4 adresses.

Une IPv4 adresse publique est une adresse IP accessible depuis Internet. Si vous lancez votre instance avec une adresse IP publique, elle est accessible depuis Internet. EC2 Une IPv4 adresse privée est une adresse IP qui n'est pas accessible depuis Internet. Vous pouvez utiliser IPv4 des adresses privées pour communiquer entre les EC2 instances d'un même VPC ou de votre réseau privé connecté.

IPv6 les adresses sont uniques au monde et sont donc accessibles depuis Internet. Cependant, par défaut, tous les sous-réseaux ont l'attribut d' IPv6 adressage défini sur false. Pour plus d'informations IPv6, consultez la section Adressage IP dans votre VPC dans le guide de l'utilisateur Amazon VPC.

Si vous avez un cas d'utilisation légitime pour gérer EC2 des instances avec des adresses IP publiques, vous pouvez supprimer les résultats de ce contrôle. Pour plus d'informations sur les options d'architecture frontale, consultez le blog sur AWS l'architecture ou la série de AWS vidéos This Is My Architecture.

Correction

Utilisez un VPC autre que celui par défaut afin qu'aucune adresse IP publique ne soit attribuée par défaut à votre instance.

Lorsque vous lancez une EC2 instance dans un VPC par défaut, une adresse IP publique lui est attribuée. Lorsque vous lancez une EC2 instance dans un VPC autre que celui par défaut, la configuration du sous-réseau détermine si elle reçoit une adresse IP publique. Le sous-réseau possède un attribut permettant de déterminer si les nouvelles EC2 instances du sous-réseau reçoivent une adresse IP publique du pool d' IPv4 adresses publiques.

Vous pouvez dissocier une adresse IP publique attribuée automatiquement de votre instance. EC2 Pour plus d'informations, consultez la section IPv4 Adresses publiques et noms d'hôte DNS externes dans le guide de l' EC2 utilisateur Amazon.

[EC2.10] Amazon EC2 doit être configuré pour utiliser les points de terminaison VPC créés pour le service Amazon EC2

Exigences connexes : NIST.800-53.r5 AC-2 1 NIST.800-53.r5 AC-3, NIST.800-53.r5 AC-3 (7) NIST.800-53.r5 AC-4, NIST.800-53.r5 AC-4 (21),, NIST.800-53.r5 AC-6 NIST.800-53.r5 SC-7, NIST.800-53.r5 SC-7 (11), NIST.800-53.r5 SC-7 (16), NIST.800-53.r5 SC-7 (20), NIST.800-53.r5 SC-7 (21), NIST.800-53.r5 SC-7 (3), NIST.800-53.r5 SC-7 (4)

Catégorie : Protection > Configuration réseau sécurisée > Accès privé à l'API

Gravité : Moyenne

Type de ressource : AWS::EC2::VPC

Règle AWS Config  : service-vpc-endpoint-enabled

Type de calendrier : Périodique

Paramètres :

Ce contrôle vérifie si un point de terminaison de service pour Amazon EC2 est créé pour chaque VPC. Le contrôle échoue si aucun point de terminaison VPC n'a été créé pour le service Amazon pour un VPC. EC2

Ce contrôle évalue les ressources dans un seul compte. Il ne peut pas décrire les ressources extérieures au compte. Security Hub n'effectuant pas de vérifications entre comptes, vous constaterez VPCs que FAILED les résultats seront partagés entre les comptes. AWS Config Security Hub vous recommande de supprimer ces FAILED résultats.

Pour améliorer le niveau de sécurité de votre VPC, vous pouvez configurer Amazon EC2 pour qu'il utilise un point de terminaison VPC d'interface. Les points de terminaison de l'interface sont AWS PrivateLink alimentés par une technologie qui vous permet d'accéder aux opérations des EC2 API Amazon en privé. Il restreint tout le trafic réseau entre votre VPC et Amazon EC2 vers le réseau Amazon. Comme les points de terminaison ne sont pris en charge que dans la même région, vous ne pouvez pas créer de point de terminaison entre un VPC et un service d'une région différente. Cela permet d'éviter les appels d' EC2 API Amazon involontaires vers d'autres régions.

Pour en savoir plus sur la création de points de terminaison VPC pour Amazon, EC2 consultez Amazon et EC2 interfacez les points de terminaison VPC dans le guide de l'utilisateur Amazon. EC2

Correction

Pour créer un point de terminaison d'interface avec Amazon à EC2 partir de la console Amazon VPC, consultez la section Créer un point de terminaison VPC dans le Guide.AWS PrivateLink Pour le nom du service, choisissez com.amazonaws. region.ec2.

Vous pouvez également créer et associer une politique de point de terminaison à votre point de terminaison VPC afin de contrôler l'accès à l'API Amazon EC2 . Pour obtenir des instructions sur la création d'une politique de point de terminaison VPC, consultez la section Créer une politique de point de terminaison dans le guide de EC2 l'utilisateur Amazon.

[EC2.12] Amazon non utilisé EC2 EIPs doit être supprimé

Exigences associées : PCI DSS v3.2.1/2.4, nIST.800-53.R5 CM-8 (1)

Catégorie : Protéger - Configuration réseau sécurisée

Gravité : Faible

Type de ressource : AWS::EC2::EIP

Règle AWS Config  : eip-attached

Type de calendrier : changement déclenché

Paramètres : Aucun

Ce contrôle vérifie si les adresses IP élastiques (EIP) allouées à un VPC sont attachées à des instances ou EC2 à des interfaces réseau élastiques en cours d'utilisation (). ENIs

L'échec de la recherche indique que vous n'en avez peut-être pas utilisé EC2 EIPs.

Cela vous aidera à maintenir un inventaire précis des actifs EIPs dans l'environnement de données de votre titulaire de carte (CDE).

Correction

Pour libérer une EIP non utilisée, consultez la section Libérer une adresse IP élastique dans le guide de l' EC2 utilisateur Amazon.

[EC2.13] Les groupes de sécurité ne doivent pas autoriser l'entrée depuis 0.0.0.0/0 ou : :/0 vers le port 22

Exigences associées : CIS AWS Foundations Benchmark v1.2.0/4.1, PCI DSS v3.2.1/1.2.1, PCI DSS v3.2.1/1.3.1, PCI DSS v3.2.1/2.2.2, (21),, (11), (16), NIST.800-53.r5 AC-4 (21), (4), (5) NIST.800-53.r5 AC-4, NIST.800-53.r5 CM-7, NIST.800-53.r5 SC-7 PCI DSS v4.0.1/1.3.1 NIST.800-53.r5 SC-7 NIST.800-53.r5 SC-7 NIST.800-53.r5 SC-7 NIST.800-53.r5 SC-7 NIST.800-53.r5 SC-7

Catégorie : Protéger - Configuration réseau sécurisée

Gravité : Élevée

Type de ressource : AWS::EC2::SecurityGroup

Règle AWS Config  : restricted-ssh

Type de calendrier : changement déclenché et périodique

Paramètres : Aucun

Ce contrôle vérifie si un groupe de EC2 sécurité Amazon autorise l'entrée depuis 0.0.0.0/0 ou : :/0 vers le port 22. Le contrôle échoue si le groupe de sécurité autorise l'entrée depuis 0.0.0.0/0 ou : :/0 vers le port 22.

Les groupes de sécurité autorisent le filtrage avec état du trafic réseau entrant et sortant vers des ressources AWS . Nous vous recommandons de faire en sorte qu'aucun groupe de sécurité n'autorise un accès entrant sans restriction au port 22. La suppression d'une connectivité illimitée aux services de la console à distance (SSH, par exemple) réduit le risque qu'un serveur soit compromis.

Correction

Pour interdire l'accès au port 22, supprimez la règle qui autorise un tel accès pour chaque groupe de sécurité associé à un VPC. Pour obtenir des instructions, consultez la section Mettre à jour les règles des groupes de sécurité dans le guide de EC2 l'utilisateur Amazon. Après avoir sélectionné un groupe de sécurité dans la EC2 console Amazon, choisissez Actions, Modifier les règles entrantes. Supprimez la règle qui autorise l'accès au port 22.

[EC2.14] Les groupes de sécurité ne doivent pas autoriser l'entrée depuis 0.0.0.0/0 ou : :/0 vers le port 3389

Exigences associées : CIS AWS Foundations Benchmark v1.2.0/4.2, PCI DSS v4.0.1/1.3.1

Catégorie : Protéger - Configuration réseau sécurisée

Gravité : Élevée

Type de ressource : AWS::EC2::SecurityGroup

AWS Config règle : restricted-common-ports(la règle créée estrestricted-rdp)

Type de calendrier : changement déclenché et périodique

Paramètres : Aucun

Ce contrôle vérifie si un groupe de EC2 sécurité Amazon autorise l'entrée depuis 0.0.0.0/0 ou : :/0 vers le port 3389. Le contrôle échoue si le groupe de sécurité autorise l'entrée depuis 0.0.0.0/0 ou : :/0 vers le port 3389.

Les groupes de sécurité autorisent le filtrage avec état du trafic réseau entrant et sortant vers des ressources AWS . Nous vous recommandons de faire en sorte qu'aucun groupe de sécurité n'autorise un accès entrant sans restriction au port 3389. La suppression d'une connectivité illimitée aux services de la console à distance (RDP, par exemple) réduit le risque qu'un serveur soit compromis.

Correction

Pour interdire l'accès au port 3389, supprimez la règle qui autorise un tel accès pour chaque groupe de sécurité associé à un VPC. Pour obtenir des instructions, consultez la section Mettre à jour les règles des groupes de sécurité dans le guide de l'utilisateur Amazon VPC. Après avoir sélectionné un groupe de sécurité dans la console Amazon VPC, choisissez Actions, Modifier les règles entrantes. Supprimez la règle qui autorise l'accès au port 3389.

[EC2.15] EC2 Les sous-réseaux Amazon ne doivent pas attribuer automatiquement d'adresses IP publiques

Exigences associées : NIST.800-53.r5 AC-2 1 NIST.800-53.r5 AC-3, NIST.800-53.r5 AC-3 (7), NIST.800-53.r5 AC-4 (21) NIST.800-53.r5 AC-4,,, (11) NIST.800-53.r5 AC-6 NIST.800-53.r5 SC-7, NIST.800-53.r5 SC-7 (16), NIST.800-53.r5 SC-7 (20), NIST.800-53.r5 SC-7 (21), NIST.800-53.r5 SC-7 (3), NIST.800-53.r5 SC-7 (4), NIST.800-53.r5 SC-7 NIST.800-53.r5 SC-7 (9), PCI DSS v4.0.1/1.4.4

Catégorie : Protection > Sécurité du réseau

Gravité : Moyenne

Type de ressource : AWS::EC2::Subnet

Règle AWS Config  : subnet-auto-assign-public-ip-disabled

Type de calendrier : changement déclenché

Paramètres : Aucun

Ce contrôle vérifie si l'attribution du public IPs dans les sous-réseaux Amazon Virtual Private Cloud (Amazon VPC) est définie sur. MapPublicIpOnLaunch FALSE Le contrôle passe si le drapeau est réglé surFALSE.

Tous les sous-réseaux possèdent un attribut qui détermine si une interface réseau créée dans le sous-réseau reçoit automatiquement une adresse publique IPv4 . Les instances lancées dans des sous-réseaux pour lesquels cet attribut est activé ont une adresse IP publique attribuée à leur interface réseau principale.

Correction

Pour configurer un sous-réseau afin de ne pas attribuer d'adresses IP publiques, consultez Modifier l'attribut d' IPv4 adressage public de votre sous-réseau dans le guide de l'utilisateur Amazon VPC. Décochez la case Activer l'attribution automatique d'une IPv4 adresse publique.

[EC2.16] Les listes de contrôle d'accès réseau non utilisées doivent être supprimées

Exigences connexes : NIST.800-53.R5 CM-8 (1), PCI DSS v4.0.1/1.2.7

Catégorie : Protection > Sécurité du réseau

Gravité : Faible

Type de ressource : AWS::EC2::NetworkAcl

Règle AWS Config  : vpc-network-acl-unused-check

Type de calendrier : changement déclenché

Paramètres : Aucun

Ce contrôle vérifie s'il existe des listes de contrôle d'accès réseau (réseau ACLs) non utilisées dans votre cloud privé virtuel (VPC). Le contrôle échoue si l'ACL réseau n'est pas associée à un sous-réseau. Le contrôle ne génère pas de résultats pour une ACL réseau par défaut non utilisée.

Le contrôle vérifie la configuration des éléments de la ressource AWS::EC2::NetworkAcl et détermine les relations entre les ACL du réseau.

Si la seule relation est le VPC de l'ACL réseau, le contrôle échoue.

Si d'autres relations sont répertoriées, le contrôle est transféré.

Correction

Pour obtenir des instructions sur la suppression d'un ACL réseau inutilisé, consultez Supprimer un ACL réseau dans le guide de l'utilisateur Amazon VPC. Vous ne pouvez pas supprimer l'ACL réseau par défaut ou une ACL associée à des sous-réseaux.

[EC2.17] Les EC2 instances Amazon ne doivent pas utiliser plusieurs ENIs

Exigences connexes : NIST.800-53.r5 AC-4 (21)

Catégorie : Protection > Sécurité du réseau

Gravité : Faible

Type de ressource : AWS::EC2::Instance

Règle AWS Config  : ec2-instance-multiple-eni-check

Type de calendrier : changement déclenché

Paramètres : Aucun

Ce contrôle vérifie si une EC2 instance utilise plusieurs interfaces réseau élastiques (ENIs) ou adaptateurs Elastic Fabric (EFAs). Ce contrôle passe si un seul adaptateur réseau est utilisé. Le contrôle inclut une liste de paramètres facultatifs pour identifier les paramètres autorisés ENIs. Ce contrôle échoue également si une EC2 instance appartenant à un cluster Amazon EKS utilise plusieurs ENI. Si vos EC2 instances doivent en avoir plusieurs dans ENIs le cadre d'un cluster Amazon EKS, vous pouvez supprimer ces résultats de contrôle.

Plusieurs ENIs peuvent entraîner des instances à double hébergement, c'est-à-dire des instances dotées de plusieurs sous-réseaux. Cela peut ajouter à la complexité de la sécurité du réseau et introduire des chemins et des accès non intentionnels au réseau.

Correction

Pour détacher une interface réseau d'une EC2 instance, consultez la section Détacher une interface réseau d'une instance dans le guide de EC2 l'utilisateur Amazon.

[EC2.18] Les groupes de sécurité ne doivent autoriser le trafic entrant illimité que pour les ports autorisés

Exigences connexes : NIST.800-53.r5 AC-4, NIST.800-53.r5 AC-4 (21) NIST.800-53.r5 SC-7, NIST.800-53.r5 SC-7 (11), NIST.800-53.r5 SC-7 (16), NIST.800-53.r5 SC-7 (21), NIST.800-53.r5 SC-7 (4), NIST.800-53.r5 SC-7 (5)

Catégorie : Protection > Configuration réseau sécurisée > Configuration du groupe de sécurité

Gravité : Élevée

Type de ressource : AWS::EC2::SecurityGroup

Règle AWS Config  : vpc-sg-open-only-to-authorized-ports

Type de calendrier : changement déclenché

Paramètres :

Ce contrôle vérifie si un groupe de EC2 sécurité Amazon autorise le trafic entrant illimité en provenance de ports non autorisés. L'état du contrôle est déterminé comme suit :

Les groupes de sécurité fournissent un filtrage dynamique du trafic réseau entrant et sortant vers. AWS Les règles des groupes de sécurité doivent respecter le principe de l'accès le moins privilégié. L'accès illimité (adresse IP avec le suffixe /0) augmente les risques d'activités malveillantes telles que le piratage, les denial-of-service attaques et la perte de données. À moins qu'un port ne soit spécifiquement autorisé, le port doit refuser un accès illimité.

Correction

Pour modifier un groupe de sécurité, consultez la section Travailler avec des groupes de sécurité dans le guide de l'utilisateur Amazon VPC.

[EC2.19] Les groupes de sécurité ne doivent pas autoriser un accès illimité aux ports présentant un risque élevé

Exigences connexes : NIST.800-53.r5 AC-4, NIST.800-53.r5 AC-4 (21), NIST.800-53.r5 CA-9 (1) NIST.800-53.r5 CM-2, NIST.800-53.r5 CM-2(2), NIST.800-53.r5 CM-7, NIST.800-53.r5 SC-7, NIST.800-53.r5 SC-7 (11), NIST.800-53.r5 SC-7 (16), NIST.800-53.r5 SC-7 (21), NIST.800-53.r5 SC-7 (4), NIST.800-53.r5 SC-7 (5)

Catégorie : Protéger > Accès réseau restreint

Gravité : Critique

Type de ressource : AWS::EC2::SecurityGroup

AWS Config règle : restricted-common-ports(la règle créée estvpc-sg-restricted-common-ports)

Type de calendrier : changement déclenché et périodique

Paramètres : "blockedPorts": "20,21,22,23,25,110,135,143,445,1433,1434,3000,3306,3389,4333,5000,5432,5500,5601,8080,8088,8888,9200,9300" (non personnalisable)

Ce contrôle vérifie si le trafic entrant illimité pour un groupe EC2 de sécurité Amazon est accessible aux ports spécifiés considérés comme présentant un risque élevé. Ce contrôle échoue si l'une des règles d'un groupe de sécurité autorise le trafic entrant depuis '0.0.0.0/0' ou ': :/0' vers ces ports.

Les groupes de sécurité autorisent le filtrage avec état du trafic réseau entrant et sortant vers des ressources AWS . L'accès illimité (0.0.0.0/0) augmente les risques d'activités malveillantes, telles que le piratage, les denial-of-service attaques et la perte de données. Aucun groupe de sécurité ne doit autoriser un accès d'entrée illimité aux ports suivants :

Correction

Pour supprimer des règles d'un groupe de sécurité, consultez la section Supprimer des règles d'un groupe de sécurité dans le guide de EC2 l'utilisateur Amazon.

[EC2.20] Les deux tunnels VPN pour une connexion AWS Site-to-Site VPN doivent être actifs

Exigences connexes : NIST.800-53.r5 CP-10, NIST.800-53.r5 CP-6(2), NIST.800-53.r5 SC-3 6, NIST.800-53.r5 SC-5 (2), NIST.800-53.R5 SI-13 (5)

Catégorie : Restauration > Résilience > Haute disponibilité

Gravité : Moyenne

Type de ressource : AWS::EC2::VPNConnection

Règle AWS Config  : vpc-vpn-2-tunnels-up

Type de calendrier : changement déclenché

Paramètres : Aucun

Un tunnel VPN est un lien crypté par lequel les données peuvent passer du réseau du client vers ou AWS depuis une connexion AWS Site-to-Site VPN. Chaque connexion VPN comprend deux tunnels VPN que vous pouvez utiliser simultanément pour une haute disponibilité. Il est important de s'assurer que les deux tunnels VPN sont prêts pour une connexion VPN afin de confirmer une connexion sécurisée et hautement disponible entre un AWS VPC et votre réseau distant.

Ce contrôle vérifie que les deux tunnels VPN fournis par le AWS Site-to-Site VPN sont en état UP. Le contrôle échoue si l'un des tunnels ou les deux sont en état d'arrêt.

Correction

Pour modifier les options du tunnel VPN, consultez la section Modification des options du tunnel Site-to-Site VPN dans le Guide de l'utilisateur du AWS Site-to-Site VPN.

[EC2.21] Le réseau ne ACLs doit pas autoriser l'entrée depuis 0.0.0.0/0 vers le port 22 ou le port 3389

Exigences associées : CIS AWS Foundations Benchmark v1.4.0/5.1, CIS AWS Foundations Benchmark v3.0.0/5.1, NIST.800-53.r5 AC-4 (21), (1), (21), NIST.800-53.r5 CA-9 (21), (5) NIST.800-53.r5 CM-2, NIST.800-53.r5 CM-2(2), NIST.800-53.r5 CM-7, NIST.800-53.r5 SC-7, PCI DSS NIST.800-53.r5 SC-7 v4.0.1/1.3.1 NIST.800-53.r5 SC-7

Catégorie : Protection > Configuration réseau sécurisée

Gravité : Moyenne

Type de ressource : AWS::EC2::NetworkAcl

Règle AWS Config  : nacl-no-unrestricted-ssh-rdp

Type de calendrier : changement déclenché

Paramètres : Aucun

Ce contrôle vérifie si une liste de contrôle d'accès réseau (ACL réseau) autorise un accès illimité aux ports TCP par défaut pour le trafic entrant SSH/RDP. Le contrôle échoue si l'entrée entrante de l'ACL réseau autorise un bloc CIDR source de '0.0.0.0/0' ou ': :/0' pour les ports TCP 22 ou 3389. Le contrôle ne génère pas de résultats pour une ACL réseau par défaut.

L'accès aux ports d'administration du serveur distant, tels que le port 22 (SSH) et le port 3389 (RDP), ne doit pas être accessible au public, car cela peut permettre un accès involontaire aux ressources de votre VPC.

Correction

Pour modifier les règles de trafic réseau ACL, consultez la section Travailler avec le réseau ACLs dans le guide de l'utilisateur Amazon VPC.

[EC2.22] Les groupes de EC2 sécurité Amazon non utilisés doivent être supprimés

Catégorie : Identifier - Inventaire

Gravité : Moyenne

Type de ressource :AWS::EC2::NetworkInterface, AWS::EC2::SecurityGroup

Règle AWS Config  : ec2-security-group-attached-to-eni-periodic

Type de calendrier : Périodique

Paramètres : Aucun

Ce contrôle vérifie si des groupes de sécurité sont attachés à des instances Amazon Elastic Compute Cloud (Amazon EC2) ou à une interface réseau élastique. Le contrôle échoue si le groupe de sécurité n'est pas associé à une EC2 instance Amazon ou à une interface Elastic Network.

Correction

Pour créer, attribuer et supprimer des groupes de sécurité, consultez la section Groupes de sécurité dans le guide de EC2 l'utilisateur Amazon.

[EC2.23] Amazon EC2 Transit Gateways ne doit pas accepter automatiquement les demandes de pièces jointes VPC

Exigences connexes : NIST.800-53.r5 AC-4 (21), NIST.800-53.r5 CA-9 (1), NIST.800-53.R5 CM-2

Catégorie : Protéger - Configuration réseau sécurisée

Gravité : Élevée

Type de ressource : AWS::EC2::TransitGateway

Règle AWS Config  : ec2-transit-gateway-auto-vpc-attach-disabled

Type de calendrier : changement déclenché

Paramètres : Aucun

Ce contrôle vérifie si les passerelles de EC2 transit acceptent automatiquement les pièces jointes VPC partagées. Ce contrôle échoue pour une passerelle de transit qui accepte automatiquement les demandes de pièces jointes VPC partagées.

L'activation AutoAcceptSharedAttachments configure une passerelle de transit pour qu'elle accepte automatiquement toutes les demandes de pièce jointe VPC entre comptes sans vérifier la demande ou le compte d'origine de la pièce jointe. Pour suivre les meilleures pratiques en matière d'autorisation et d'authentification, nous vous recommandons de désactiver cette fonctionnalité afin de garantir que seules les demandes de pièces jointes VPC autorisées sont acceptées.

Correction

Pour modifier une passerelle de transit, consultez la section Modifier une passerelle de transit dans le manuel Amazon VPC Developer Guide.

[EC2.24] Les types d'instances EC2 paravirtuelles Amazon ne doivent pas être utilisés

Exigences connexes : NIST.800-53.R5 CM-2, NIST.800-53.R5 CM-2 (2)

Catégorie : Identifier > Gestion des vulnérabilités, des correctifs et des versions

Gravité : Moyenne

Type de ressource : AWS::EC2::Instance

Règle AWS Config  : ec2-paravirtual-instance-check

Type de calendrier : changement déclenché

Paramètres : Aucun

Ce contrôle vérifie si le type de virtualisation d'une EC2 instance est paravirtuel. Le contrôle échoue si le virtualizationType de l' EC2 instance est défini surparavirtual.

Linux Amazon Machine Images (AMIs) utilise l'un des deux types de virtualisation suivants : machine virtuelle paravirtuelle (PV) ou machine virtuelle matérielle (HVM). Les principales différences entre le PV et le HVM AMIs résident dans la manière dont ils démarrent et dans la possibilité de tirer parti d'extensions matérielles spéciales (processeur, réseau et stockage) pour de meilleures performances.

Historiquement, les clients photovoltaïques affichaient de meilleures performances que les clients HVM dans de nombreux cas, mais en raison des améliorations apportées à la virtualisation HVM et de la disponibilité de pilotes photovoltaïques pour le HVM AMIs, cela n'est plus vrai. Pour plus d'informations, consultez les types de virtualisation d'AMI Linux dans le guide de EC2 l'utilisateur Amazon.

Correction

Pour mettre à jour une EC2 instance vers un nouveau type d'instance, consultez Modifier le type d'instance dans le guide de EC2 l'utilisateur Amazon.

[EC2.25] Les modèles de EC2 lancement Amazon ne doivent pas attribuer de public IPs aux interfaces réseau

Exigences associées : NIST.800-53.r5 AC-2 1 NIST.800-53.r5 AC-3, NIST.800-53.r5 AC-3 (7), NIST.800-53.r5 AC-4 (21) NIST.800-53.r5 AC-4,,, (11) NIST.800-53.r5 AC-6 NIST.800-53.r5 SC-7, NIST.800-53.r5 SC-7 (16), NIST.800-53.r5 SC-7 (20), NIST.800-53.r5 SC-7 (21), NIST.800-53.r5 SC-7 (3), NIST.800-53.r5 SC-7 (4), NIST.800-53.r5 SC-7 NIST.800-53.r5 SC-7 (9), PCI DSS v4.0.1/1.4.4

Catégorie : Protéger > Configuration réseau sécurisée > Ressources non accessibles au public

Gravité : Élevée

Type de ressource : AWS::EC2::LaunchTemplate

Règle AWS Config  : ec2-launch-template-public-ip-disabled

Type de calendrier : changement déclenché

Paramètres : Aucun

Ce contrôle vérifie si les modèles de EC2 lancement Amazon sont configurés pour attribuer des adresses IP publiques aux interfaces réseau lors du lancement. Le contrôle échoue si un modèle de EC2 lancement est configuré pour attribuer une adresse IP publique aux interfaces réseau ou si au moins une interface réseau possède une adresse IP publique.

Une adresse IP publique est une adresse accessible depuis Internet. Si vous configurez vos interfaces réseau avec une adresse IP publique, les ressources associées à ces interfaces réseau peuvent être accessibles depuis Internet. EC2 les ressources ne doivent pas être accessibles au public, car cela peut permettre un accès involontaire à vos charges de travail.

Correction

Pour mettre à jour un modèle de EC2 lancement, consultez Modifier les paramètres de l'interface réseau par défaut dans le guide de l'utilisateur Amazon EC2 Auto Scaling.

[EC2.28] Les volumes EBS doivent être couverts par un plan de sauvegarde

Catégorie : Restauration > Résilience > Sauvegardes activées

Exigences connexes : NIST.800-53.r5 CP-10, NIST.800-53.r5 CP-6, NIST.800-53.r5 CP-6(1), NIST.800-53.r5 CP-6(2), NIST.800-53.r5 CP-9, NIST.800-53.r5 SC-5 (2), NIST.800-53.R5 SI-12, NIST.800-53.R5 SI-13 (5)

Gravité : Faible

Type de ressource : AWS::EC2::Volume

AWS Config règle : ebs-resources-protected-by-backup-plan

Type de calendrier : Périodique

Paramètres :

Ce contrôle évalue si un volume Amazon EBS en cours est in-use couvert par un plan de sauvegarde. Le contrôle échoue si un volume EBS n'est pas couvert par un plan de sauvegarde. Si vous définissez le backupVaultLockCheck paramètre égal àtrue, le contrôle est transféré uniquement si le volume EBS est sauvegardé dans un coffre AWS Backup verrouillé.

Les sauvegardes vous permettent de récupérer plus rapidement après un incident de sécurité. Ils renforcent également la résilience de vos systèmes. L'inclusion de volumes Amazon EBS dans un plan de sauvegarde vous permet de protéger vos données contre toute perte ou suppression involontaire.

Correction

Pour ajouter un volume Amazon EBS à un plan de AWS Backup sauvegarde, consultez la section Affectation de ressources à un plan de sauvegarde dans le manuel du AWS Backup développeur.

[EC2.33] les pièces jointes aux passerelles de EC2 transit doivent être étiquetées

Catégorie : Identifier > Inventaire > Étiquetage

Gravité : Faible

Type de ressource : AWS::EC2::TransitGatewayAttachment

AWS Config règle : tagged-ec2-transitgatewayattachment (règle Security Hub personnalisée)

Type de calendrier : changement déclenché

Paramètres :

Ce contrôle vérifie si une pièce jointe d'une passerelle de EC2 transit Amazon possède des balises avec les clés spécifiques définies dans le paramètrerequiredTagKeys. Le contrôle échoue si la pièce jointe à la passerelle de transit ne comporte aucune clé de balise ou si toutes les clés spécifiées dans le paramètre ne sont pas toutes spécifiées dans le paramètrerequiredTagKeys. Si le paramètre requiredTagKeys n'est pas fourni, le contrôle vérifie uniquement l'existence d'une clé de balise et échoue si la pièce jointe de la passerelle de transit n'est étiquetée avec aucune clé. Les balises système, qui sont automatiquement appliquées et commencent paraws:, sont ignorées.

Une balise est une étiquette que vous attribuez à une AWS ressource. Elle se compose d'une clé et d'une valeur facultative. Vous pouvez créer des balises pour classer vos ressources par objectif, propriétaire, environnement ou selon d'autres critères. Les balises peuvent vous aider à identifier, organiser, rechercher et filtrer les ressources. Le balisage vous permet également de suivre les propriétaires de ressources responsables en ce qui concerne les actions et les notifications. Lorsque vous utilisez le balisage, vous pouvez implémenter le contrôle d'accès basé sur les attributs (ABAC) en tant que stratégie d'autorisation, qui définit les autorisations en fonction des balises. Vous pouvez associer des balises aux entités IAM (utilisateurs ou rôles) et aux AWS ressources. Vous pouvez créer une politique ABAC unique ou un ensemble de politiques distinct pour vos principaux IAM. Vous pouvez concevoir ces politiques ABAC pour autoriser les opérations lorsque la balise du principal correspond à la balise de ressource. Pour plus d'informations, voir À quoi sert ABAC ? AWS dans le guide de l'utilisateur IAM.

Correction

Pour ajouter des balises à une pièce jointe d'une passerelle de EC2 transit, consultez la section Marquer vos EC2 ressources Amazon dans le guide de EC2 l'utilisateur Amazon.

[EC2.34] les tables de routage des passerelles de EC2 transit doivent être balisées

Catégorie : Identifier > Inventaire > Étiquetage

Gravité : Faible

Type de ressource : AWS::EC2::TransitGatewayRouteTable

AWS Config règle : tagged-ec2-transitgatewayroutetable (règle Security Hub personnalisée)

Type de calendrier : changement déclenché

Paramètres :

Ce contrôle vérifie si une table de routage d'Amazon EC2 Transit Gateway comporte des balises avec les clés spécifiques définies dans le paramètrerequiredTagKeys. Le contrôle échoue si la table de routage de la passerelle de transit ne contient aucune clé de balise ou si toutes les clés spécifiées dans le paramètre ne sont pas toutes spécifiées dans le paramètrerequiredTagKeys. Si le paramètre requiredTagKeys n'est pas fourni, le contrôle vérifie uniquement l'existence d'une clé de balise et échoue si la table de routage de la passerelle de transit n'est étiquetée avec aucune clé. Les balises système, qui sont automatiquement appliquées et commencent paraws:, sont ignorées.

Une balise est une étiquette que vous attribuez à une AWS ressource. Elle se compose d'une clé et d'une valeur facultative. Vous pouvez créer des balises pour classer vos ressources par objectif, propriétaire, environnement ou selon d'autres critères. Les balises peuvent vous aider à identifier, organiser, rechercher et filtrer les ressources. Le balisage vous permet également de suivre les propriétaires de ressources responsables en ce qui concerne les actions et les notifications. Lorsque vous utilisez le balisage, vous pouvez implémenter le contrôle d'accès basé sur les attributs (ABAC) en tant que stratégie d'autorisation, qui définit les autorisations en fonction des balises. Vous pouvez associer des balises aux entités IAM (utilisateurs ou rôles) et aux AWS ressources. Vous pouvez créer une politique ABAC unique ou un ensemble de politiques distinct pour vos principaux IAM. Vous pouvez concevoir ces politiques ABAC pour autoriser les opérations lorsque la balise du principal correspond à la balise de ressource. Pour plus d'informations, voir À quoi sert ABAC ? AWS dans le guide de l'utilisateur IAM.

Correction

Pour ajouter des balises à la table de routage d'une passerelle de EC2 transit, consultez la section Marquer vos EC2 ressources Amazon dans le guide de EC2 l'utilisateur Amazon.

[EC2.35] les interfaces EC2 réseau doivent être étiquetées

Catégorie : Identifier > Inventaire > Étiquetage

Gravité : Faible

Type de ressource : AWS::EC2::NetworkInterface

AWS Config règle : tagged-ec2-networkinterface (règle Security Hub personnalisée)

Type de calendrier : changement déclenché

Paramètres :

Ce contrôle vérifie si une interface EC2 réseau Amazon possède des balises avec les clés spécifiques définies dans le paramètrerequiredTagKeys. Le contrôle échoue si l'interface réseau ne possède aucune clé de balise ou si elle ne possède pas toutes les clés spécifiées dans le paramètrerequiredTagKeys. Si le paramètre requiredTagKeys n'est pas fourni, le contrôle vérifie uniquement l'existence d'une clé de balise et échoue si l'interface réseau n'est associée à aucune clé. Les balises système, qui sont automatiquement appliquées et commencent paraws:, sont ignorées.

Une balise est une étiquette que vous attribuez à une AWS ressource. Elle se compose d'une clé et d'une valeur facultative. Vous pouvez créer des balises pour classer vos ressources par objectif, propriétaire, environnement ou selon d'autres critères. Les balises peuvent vous aider à identifier, organiser, rechercher et filtrer les ressources. Le balisage vous permet également de suivre les propriétaires de ressources responsables en ce qui concerne les actions et les notifications. Lorsque vous utilisez le balisage, vous pouvez implémenter le contrôle d'accès basé sur les attributs (ABAC) en tant que stratégie d'autorisation, qui définit les autorisations en fonction des balises. Vous pouvez associer des balises aux entités IAM (utilisateurs ou rôles) et aux AWS ressources. Vous pouvez créer une politique ABAC unique ou un ensemble de politiques distinct pour vos principaux IAM. Vous pouvez concevoir ces politiques ABAC pour autoriser les opérations lorsque la balise du principal correspond à la balise de ressource. Pour plus d'informations, voir À quoi sert ABAC ? AWS dans le guide de l'utilisateur IAM.

Correction

Pour ajouter des balises à une interface EC2 réseau, consultez la section Marquer vos EC2 ressources Amazon dans le guide de EC2 l'utilisateur Amazon.

[EC2.36] les passerelles EC2 client doivent être étiquetées

Catégorie : Identifier > Inventaire > Étiquetage

Gravité : Faible

Type de ressource : AWS::EC2::CustomerGateway

AWS Config règle : tagged-ec2-customergateway (règle Security Hub personnalisée)

Type de calendrier : changement déclenché

Paramètres :

Ce contrôle vérifie si une passerelle EC2 client Amazon possède des balises avec les clés spécifiques définies dans le paramètrerequiredTagKeys. Le contrôle échoue si la passerelle client ne possède aucune clé de balise ou si elle ne possède pas toutes les clés spécifiées dans le paramètrerequiredTagKeys. Si le paramètre requiredTagKeys n'est pas fourni, le contrôle vérifie uniquement l'existence d'une clé de balise et échoue si la passerelle client n'est associée à aucune clé. Les balises système, qui sont automatiquement appliquées et commencent paraws:, sont ignorées.

Une balise est une étiquette que vous attribuez à une AWS ressource. Elle se compose d'une clé et d'une valeur facultative. Vous pouvez créer des balises pour classer vos ressources par objectif, propriétaire, environnement ou selon d'autres critères. Les balises peuvent vous aider à identifier, organiser, rechercher et filtrer les ressources. Le balisage vous permet également de suivre les propriétaires de ressources responsables en ce qui concerne les actions et les notifications. Lorsque vous utilisez le balisage, vous pouvez implémenter le contrôle d'accès basé sur les attributs (ABAC) en tant que stratégie d'autorisation, qui définit les autorisations en fonction des balises. Vous pouvez associer des balises aux entités IAM (utilisateurs ou rôles) et aux AWS ressources. Vous pouvez créer une politique ABAC unique ou un ensemble de politiques distinct pour vos principaux IAM. Vous pouvez concevoir ces politiques ABAC pour autoriser les opérations lorsque la balise du principal correspond à la balise de ressource. Pour plus d'informations, voir À quoi sert ABAC ? AWS dans le guide de l'utilisateur IAM.

Correction

Pour ajouter des balises à une passerelle EC2 client, consultez la section Marquer vos EC2 ressources Amazon dans le guide de EC2 l'utilisateur Amazon.

[EC2.37] Les adresses IP EC2 élastiques doivent être balisées

Catégorie : Identifier > Inventaire > Étiquetage

Gravité : Faible

Type de ressource : AWS::EC2::EIP

AWS Config règle : tagged-ec2-eip (règle Security Hub personnalisée)

Type de calendrier : changement déclenché

Paramètres :

Ce contrôle vérifie si une adresse IP Amazon EC2 Elastic possède des balises avec les clés spécifiques définies dans le paramètrerequiredTagKeys. Le contrôle échoue si l'adresse IP élastique ne possède aucune clé de balise ou si toutes les clés ne sont pas spécifiées dans le paramètrerequiredTagKeys. Si le paramètre requiredTagKeys n'est pas fourni, le contrôle vérifie uniquement l'existence d'une clé de balise et échoue si l'adresse IP élastique n'est associée à aucune clé. Les balises système, qui sont automatiquement appliquées et commencent paraws:, sont ignorées.

Une balise est une étiquette que vous attribuez à une AWS ressource. Elle se compose d'une clé et d'une valeur facultative. Vous pouvez créer des balises pour classer vos ressources par objectif, propriétaire, environnement ou selon d'autres critères. Les balises peuvent vous aider à identifier, organiser, rechercher et filtrer les ressources. Le balisage vous permet également de suivre les propriétaires de ressources responsables en ce qui concerne les actions et les notifications. Lorsque vous utilisez le balisage, vous pouvez implémenter le contrôle d'accès basé sur les attributs (ABAC) en tant que stratégie d'autorisation, qui définit les autorisations en fonction des balises. Vous pouvez associer des balises aux entités IAM (utilisateurs ou rôles) et aux AWS ressources. Vous pouvez créer une politique ABAC unique ou un ensemble de politiques distinct pour vos principaux IAM. Vous pouvez concevoir ces politiques ABAC pour autoriser les opérations lorsque la balise du principal correspond à la balise de ressource. Pour plus d'informations, voir À quoi sert ABAC ? AWS dans le guide de l'utilisateur IAM.

Correction

Pour ajouter des balises à une adresse IP EC2 élastique, consultez la section Marquer vos EC2 ressources Amazon dans le guide de EC2 l'utilisateur Amazon.

[EC2.38] les EC2 instances doivent être étiquetées

Catégorie : Identifier > Inventaire > Étiquetage

Gravité : Faible

Type de ressource : AWS::EC2::Instance

AWS Config règle : tagged-ec2-instance (règle Security Hub personnalisée)

Type de calendrier : changement déclenché

Paramètres :

Ce contrôle vérifie si une EC2 instance Amazon possède des balises avec les clés spécifiques définies dans le paramètrerequiredTagKeys. Le contrôle échoue si l'instance ne possède aucune clé de balise ou si elle ne possède pas toutes les clés spécifiées dans le paramètrerequiredTagKeys. Si le paramètre requiredTagKeys n'est pas fourni, le contrôle vérifie uniquement l'existence d'une clé de balise et échoue si l'instance n'est étiquetée avec aucune clé. Les balises système, qui sont automatiquement appliquées et commencent paraws:, sont ignorées.

Une balise est une étiquette que vous attribuez à une AWS ressource. Elle se compose d'une clé et d'une valeur facultative. Vous pouvez créer des balises pour classer vos ressources par objectif, propriétaire, environnement ou selon d'autres critères. Les balises peuvent vous aider à identifier, organiser, rechercher et filtrer les ressources. Le balisage vous permet également de suivre les propriétaires de ressources responsables en ce qui concerne les actions et les notifications. Lorsque vous utilisez le balisage, vous pouvez implémenter le contrôle d'accès basé sur les attributs (ABAC) en tant que stratégie d'autorisation, qui définit les autorisations en fonction des balises. Vous pouvez associer des balises aux entités IAM (utilisateurs ou rôles) et aux AWS ressources. Vous pouvez créer une politique ABAC unique ou un ensemble de politiques distinct pour vos principaux IAM. Vous pouvez concevoir ces politiques ABAC pour autoriser les opérations lorsque la balise du principal correspond à la balise de ressource. Pour plus d'informations, voir À quoi sert ABAC ? AWS dans le guide de l'utilisateur IAM.

Correction

Pour ajouter des balises à une EC2 instance, consultez la section Marquer vos EC2 ressources Amazon dans le guide de EC2 l'utilisateur Amazon.

[EC2.39] les passerelles EC2 Internet doivent être étiquetées

Catégorie : Identifier > Inventaire > Étiquetage

Gravité : Faible

Type de ressource : AWS::EC2::InternetGateway

AWS Config règle : tagged-ec2-internetgateway (règle Security Hub personnalisée)

Type de calendrier : changement déclenché

Paramètres :

Ce contrôle vérifie si une passerelle EC2 Internet Amazon possède des balises avec les clés spécifiques définies dans le paramètrerequiredTagKeys. Le contrôle échoue si la passerelle Internet ne possède aucune clé de balise ou si elle ne possède pas toutes les clés spécifiées dans le paramètrerequiredTagKeys. Si le paramètre requiredTagKeys n'est pas fourni, le contrôle vérifie uniquement l'existence d'une clé de balise et échoue si la passerelle Internet n'est associée à aucune clé. Les balises système, qui sont automatiquement appliquées et commencent paraws:, sont ignorées.

Une balise est une étiquette que vous attribuez à une AWS ressource. Elle se compose d'une clé et d'une valeur facultative. Vous pouvez créer des balises pour classer vos ressources par objectif, propriétaire, environnement ou selon d'autres critères. Les balises peuvent vous aider à identifier, organiser, rechercher et filtrer les ressources. Le balisage vous permet également de suivre les propriétaires de ressources responsables en ce qui concerne les actions et les notifications. Lorsque vous utilisez le balisage, vous pouvez implémenter le contrôle d'accès basé sur les attributs (ABAC) en tant que stratégie d'autorisation, qui définit les autorisations en fonction des balises. Vous pouvez associer des balises aux entités IAM (utilisateurs ou rôles) et aux AWS ressources. Vous pouvez créer une politique ABAC unique ou un ensemble de politiques distinct pour vos principaux IAM. Vous pouvez concevoir ces politiques ABAC pour autoriser les opérations lorsque la balise du principal correspond à la balise de ressource. Pour plus d'informations, voir À quoi sert ABAC ? AWS dans le guide de l'utilisateur IAM.

Correction

Pour ajouter des balises à une passerelle EC2 Internet, consultez la section Marquer vos EC2 ressources Amazon dans le guide de EC2 l'utilisateur Amazon.

[EC2.40] Les passerelles EC2 NAT doivent être balisées

Catégorie : Identifier > Inventaire > Étiquetage

Gravité : Faible

Type de ressource : AWS::EC2::NatGateway

AWS Config règle : tagged-ec2-natgateway (règle Security Hub personnalisée)

Type de calendrier : changement déclenché

Paramètres :

Ce contrôle vérifie si une passerelle de traduction d'adresses EC2 réseau (NAT) Amazon possède des balises avec les clés spécifiques définies dans le paramètrerequiredTagKeys. Le contrôle échoue si la passerelle NAT ne possède aucune clé de balise ou si elle ne possède pas toutes les clés spécifiées dans le paramètrerequiredTagKeys. Si le paramètre requiredTagKeys n'est pas fourni, le contrôle vérifie uniquement l'existence d'une clé de balise et échoue si la passerelle NAT n'est étiquetée avec aucune clé. Les balises système, qui sont automatiquement appliquées et commencent paraws:, sont ignorées.

Une balise est une étiquette que vous attribuez à une AWS ressource. Elle se compose d'une clé et d'une valeur facultative. Vous pouvez créer des balises pour classer vos ressources par objectif, propriétaire, environnement ou selon d'autres critères. Les balises peuvent vous aider à identifier, organiser, rechercher et filtrer les ressources. Le balisage vous permet également de suivre les propriétaires de ressources responsables en ce qui concerne les actions et les notifications. Lorsque vous utilisez le balisage, vous pouvez implémenter le contrôle d'accès basé sur les attributs (ABAC) en tant que stratégie d'autorisation, qui définit les autorisations en fonction des balises. Vous pouvez associer des balises aux entités IAM (utilisateurs ou rôles) et aux AWS ressources. Vous pouvez créer une politique ABAC unique ou un ensemble de politiques distinct pour vos principaux IAM. Vous pouvez concevoir ces politiques ABAC pour autoriser les opérations lorsque la balise du principal correspond à la balise de ressource. Pour plus d'informations, voir À quoi sert ABAC ? AWS dans le guide de l'utilisateur IAM.

Correction

Pour ajouter des balises à une passerelle EC2 NAT, consultez la section Marquer vos EC2 ressources Amazon dans le guide de EC2 l'utilisateur Amazon.

[EC2.41] le EC2 réseau ACLs doit être étiqueté

Catégorie : Identifier > Inventaire > Étiquetage

Gravité : Faible

Type de ressource : AWS::EC2::NetworkAcl

AWS Config règle : tagged-ec2-networkacl (règle Security Hub personnalisée)

Type de calendrier : changement déclenché

Paramètres :

Ce contrôle vérifie si une liste de contrôle d'accès EC2 réseau (ACL réseau) Amazon contient des balises avec les clés spécifiques définies dans le paramètrerequiredTagKeys. Le contrôle échoue si l'ACL réseau ne possède aucune clé de balise ou s'il ne possède pas toutes les clés spécifiées dans le paramètrerequiredTagKeys. Si le paramètre requiredTagKeys n'est pas fourni, le contrôle vérifie uniquement l'existence d'une clé de balise et échoue si aucune clé n'est associée à l'ACL du réseau. Les balises système, qui sont automatiquement appliquées et commencent paraws:, sont ignorées.

Une balise est une étiquette que vous attribuez à une AWS ressource. Elle se compose d'une clé et d'une valeur facultative. Vous pouvez créer des balises pour classer vos ressources par objectif, propriétaire, environnement ou selon d'autres critères. Les balises peuvent vous aider à identifier, organiser, rechercher et filtrer les ressources. Le balisage vous permet également de suivre les propriétaires de ressources responsables en ce qui concerne les actions et les notifications. Lorsque vous utilisez le balisage, vous pouvez implémenter le contrôle d'accès basé sur les attributs (ABAC) en tant que stratégie d'autorisation, qui définit les autorisations en fonction des balises. Vous pouvez associer des balises aux entités IAM (utilisateurs ou rôles) et aux AWS ressources. Vous pouvez créer une politique ABAC unique ou un ensemble de politiques distinct pour vos principaux IAM. Vous pouvez concevoir ces politiques ABAC pour autoriser les opérations lorsque la balise du principal correspond à la balise de ressource. Pour plus d'informations, voir À quoi sert ABAC ? AWS dans le guide de l'utilisateur IAM.

Correction

Pour ajouter des balises à une ACL EC2 réseau, consultez la section Marquer vos EC2 ressources Amazon dans le guide de EC2 l'utilisateur Amazon.

[EC2.42] les tables de EC2 routage doivent être balisées

Catégorie : Identifier > Inventaire > Étiquetage

Gravité : Faible

Type de ressource : AWS::EC2::RouteTable

AWS Config règle : tagged-ec2-routetable (règle Security Hub personnalisée)

Type de calendrier : changement déclenché

Paramètres :

Ce contrôle vérifie si une table de EC2 routage Amazon possède des balises avec les clés spécifiques définies dans le paramètrerequiredTagKeys. Le contrôle échoue si la table de routage ne possède aucune clé de balise ou si toutes les clés spécifiées dans le paramètre ne sont pas présentesrequiredTagKeys. Si le paramètre requiredTagKeys n'est pas fourni, le contrôle vérifie uniquement l'existence d'une clé de balise et échoue si la table de routage n'est associée à aucune clé. Les balises système, qui sont automatiquement appliquées et commencent paraws:, sont ignorées.

Une balise est une étiquette que vous attribuez à une AWS ressource. Elle se compose d'une clé et d'une valeur facultative. Vous pouvez créer des balises pour classer vos ressources par objectif, propriétaire, environnement ou selon d'autres critères. Les balises peuvent vous aider à identifier, organiser, rechercher et filtrer les ressources. Le balisage vous permet également de suivre les propriétaires de ressources responsables en ce qui concerne les actions et les notifications. Lorsque vous utilisez le balisage, vous pouvez implémenter le contrôle d'accès basé sur les attributs (ABAC) en tant que stratégie d'autorisation, qui définit les autorisations en fonction des balises. Vous pouvez associer des balises aux entités IAM (utilisateurs ou rôles) et aux AWS ressources. Vous pouvez créer une politique ABAC unique ou un ensemble de politiques distinct pour vos principaux IAM. Vous pouvez concevoir ces politiques ABAC pour autoriser les opérations lorsque la balise du principal correspond à la balise de ressource. Pour plus d'informations, voir À quoi sert ABAC ? AWS dans le guide de l'utilisateur IAM.

Correction

Pour ajouter des balises à une table de EC2 routage, consultez la section Marquer vos EC2 ressources Amazon dans le guide de EC2 l'utilisateur Amazon.

[EC2.43] les groupes EC2 de sécurité doivent être balisés

Catégorie : Identifier > Inventaire > Étiquetage

Gravité : Faible

Type de ressource : AWS::EC2::SecurityGroup

AWS Config règle : tagged-ec2-securitygroup (règle Security Hub personnalisée)

Type de calendrier : changement déclenché

Paramètres :

Ce contrôle vérifie si un groupe EC2 de sécurité Amazon possède des balises avec les clés spécifiques définies dans le paramètrerequiredTagKeys. Le contrôle échoue si le groupe de sécurité ne possède aucune clé de balise ou s'il ne possède pas toutes les clés spécifiées dans le paramètrerequiredTagKeys. Si le paramètre requiredTagKeys n'est pas fourni, le contrôle vérifie uniquement l'existence d'une clé de balise et échoue si le groupe de sécurité n'est étiqueté avec aucune clé. Les balises système, qui sont automatiquement appliquées et commencent paraws:, sont ignorées.

Une balise est une étiquette que vous attribuez à une AWS ressource. Elle se compose d'une clé et d'une valeur facultative. Vous pouvez créer des balises pour classer vos ressources par objectif, propriétaire, environnement ou selon d'autres critères. Les balises peuvent vous aider à identifier, organiser, rechercher et filtrer les ressources. Le balisage vous permet également de suivre les propriétaires de ressources responsables en ce qui concerne les actions et les notifications. Lorsque vous utilisez le balisage, vous pouvez implémenter le contrôle d'accès basé sur les attributs (ABAC) en tant que stratégie d'autorisation, qui définit les autorisations en fonction des balises. Vous pouvez associer des balises aux entités IAM (utilisateurs ou rôles) et aux AWS ressources. Vous pouvez créer une politique ABAC unique ou un ensemble de politiques distinct pour vos principaux IAM. Vous pouvez concevoir ces politiques ABAC pour autoriser les opérations lorsque la balise du principal correspond à la balise de ressource. Pour plus d'informations, voir À quoi sert ABAC ? AWS dans le guide de l'utilisateur IAM.

Correction

Pour ajouter des balises à un groupe EC2 de sécurité, consultez la section Marquer vos EC2 ressources Amazon dans le guide de EC2 l'utilisateur Amazon.

[EC2.44] les EC2 sous-réseaux doivent être balisés

Catégorie : Identifier > Inventaire > Étiquetage

Gravité : Faible

Type de ressource : AWS::EC2::Subnet

AWS Config règle : tagged-ec2-subnet (règle Security Hub personnalisée)

Type de calendrier : changement déclenché

Paramètres :

Ce contrôle vérifie si un EC2 sous-réseau Amazon possède des balises avec les clés spécifiques définies dans le paramètrerequiredTagKeys. Le contrôle échoue si le sous-réseau ne possède aucune clé de balise ou s'il ne possède pas toutes les clés spécifiées dans le paramètrerequiredTagKeys. Si le paramètre requiredTagKeys n'est pas fourni, le contrôle vérifie uniquement l'existence d'une clé de balise et échoue si le sous-réseau n'est étiqueté avec aucune clé. Les balises système, qui sont automatiquement appliquées et commencent paraws:, sont ignorées.

Une balise est une étiquette que vous attribuez à une AWS ressource. Elle se compose d'une clé et d'une valeur facultative. Vous pouvez créer des balises pour classer vos ressources par objectif, propriétaire, environnement ou selon d'autres critères. Les balises peuvent vous aider à identifier, organiser, rechercher et filtrer les ressources. Le balisage vous permet également de suivre les propriétaires de ressources responsables en ce qui concerne les actions et les notifications. Lorsque vous utilisez le balisage, vous pouvez implémenter le contrôle d'accès basé sur les attributs (ABAC) en tant que stratégie d'autorisation, qui définit les autorisations en fonction des balises. Vous pouvez associer des balises aux entités IAM (utilisateurs ou rôles) et aux AWS ressources. Vous pouvez créer une politique ABAC unique ou un ensemble de politiques distinct pour vos principaux IAM. Vous pouvez concevoir ces politiques ABAC pour autoriser les opérations lorsque la balise du principal correspond à la balise de ressource. Pour plus d'informations, voir À quoi sert ABAC ? AWS dans le guide de l'utilisateur IAM.

Correction

Pour ajouter des balises à un EC2 sous-réseau, consultez la section Marquer vos EC2 ressources Amazon dans le guide de l' EC2 utilisateur Amazon.

[EC2.45] les EC2 volumes doivent être balisés

Catégorie : Identifier > Inventaire > Étiquetage

Gravité : Faible

Type de ressource : AWS::EC2::Volume

AWS Config règle : tagged-ec2-volume (règle Security Hub personnalisée)

Type de calendrier : changement déclenché

Paramètres :

Ce contrôle vérifie si un EC2 volume Amazon possède des balises avec les clés spécifiques définies dans le paramètrerequiredTagKeys. Le contrôle échoue si le volume ne possède aucune clé de balise ou s'il ne possède pas toutes les clés spécifiées dans le paramètrerequiredTagKeys. Si le paramètre requiredTagKeys n'est pas fourni, le contrôle vérifie uniquement l'existence d'une clé de balise et échoue si le volume n'est étiqueté avec aucune clé. Les balises système, qui sont automatiquement appliquées et commencent paraws:, sont ignorées.

Une balise est une étiquette que vous attribuez à une AWS ressource. Elle se compose d'une clé et d'une valeur facultative. Vous pouvez créer des balises pour classer vos ressources par objectif, propriétaire, environnement ou selon d'autres critères. Les balises peuvent vous aider à identifier, organiser, rechercher et filtrer les ressources. Le balisage vous permet également de suivre les propriétaires de ressources responsables en ce qui concerne les actions et les notifications. Lorsque vous utilisez le balisage, vous pouvez implémenter le contrôle d'accès basé sur les attributs (ABAC) en tant que stratégie d'autorisation, qui définit les autorisations en fonction des balises. Vous pouvez associer des balises aux entités IAM (utilisateurs ou rôles) et aux AWS ressources. Vous pouvez créer une politique ABAC unique ou un ensemble de politiques distinct pour vos principaux IAM. Vous pouvez concevoir ces politiques ABAC pour autoriser les opérations lorsque la balise du principal correspond à la balise de ressource. Pour plus d'informations, voir À quoi sert ABAC ? AWS dans le guide de l'utilisateur IAM.

Correction

Pour ajouter des balises à un EC2 volume, consultez la section Marquer vos EC2 ressources Amazon dans le guide de EC2 l'utilisateur Amazon.

[EC2.46] Amazon VPCs doit être tagué

Catégorie : Identifier > Inventaire > Étiquetage

Gravité : Faible

Type de ressource : AWS::EC2::VPC

AWS Config règle : tagged-ec2-vpc (règle Security Hub personnalisée)

Type de calendrier : changement déclenché

Paramètres :

Ce contrôle vérifie si un Amazon Virtual Private Cloud (Amazon VPC) possède des balises avec les clés spécifiques définies dans le paramètre. requiredTagKeys Le contrôle échoue si le VPC Amazon ne possède aucune clé de balise ou s'il ne possède pas toutes les clés spécifiées dans le paramètre. requiredTagKeys Si le paramètre requiredTagKeys n'est pas fourni, le contrôle vérifie uniquement l'existence d'une clé de balise et échoue si le VPC Amazon n'est étiqueté avec aucune clé. Les balises système, qui sont automatiquement appliquées et commencent paraws:, sont ignorées.

Une balise est une étiquette que vous attribuez à une AWS ressource. Elle se compose d'une clé et d'une valeur facultative. Vous pouvez créer des balises pour classer vos ressources par objectif, propriétaire, environnement ou selon d'autres critères. Les balises peuvent vous aider à identifier, organiser, rechercher et filtrer les ressources. Le balisage vous permet également de suivre les propriétaires de ressources responsables en ce qui concerne les actions et les notifications. Lorsque vous utilisez le balisage, vous pouvez implémenter le contrôle d'accès basé sur les attributs (ABAC) en tant que stratégie d'autorisation, qui définit les autorisations en fonction des balises. Vous pouvez associer des balises aux entités IAM (utilisateurs ou rôles) et aux AWS ressources. Vous pouvez créer une politique ABAC unique ou un ensemble de politiques distinct pour vos principaux IAM. Vous pouvez concevoir ces politiques ABAC pour autoriser les opérations lorsque la balise du principal correspond à la balise de ressource. Pour plus d'informations, voir À quoi sert ABAC ? AWS dans le guide de l'utilisateur IAM.

Correction

Pour ajouter des balises à un VPC, consultez la section Marquer vos EC2 ressources Amazon dans le guide de EC2 l'utilisateur Amazon.

[EC2.47] Les services de point de terminaison Amazon VPC doivent être balisés

Catégorie : Identifier > Inventaire > Étiquetage

Gravité : Faible

Type de ressource : AWS::EC2::VPCEndpointService

AWS Config règle : tagged-ec2-vpcendpointservice (règle Security Hub personnalisée)

Type de calendrier : changement déclenché

Paramètres :

Ce contrôle vérifie si un service de point de terminaison Amazon VPC possède des balises avec les clés spécifiques définies dans le paramètre. requiredTagKeys Le contrôle échoue si le service de point de terminaison ne possède aucune clé de balise ou s'il ne possède pas toutes les clés spécifiées dans le paramètrerequiredTagKeys. Si le paramètre requiredTagKeys n'est pas fourni, le contrôle vérifie uniquement l'existence d'une clé de balise et échoue si le service de point de terminaison n'est étiqueté avec aucune clé. Les balises système, qui sont automatiquement appliquées et commencent paraws:, sont ignorées.

Une balise est une étiquette que vous attribuez à une AWS ressource. Elle se compose d'une clé et d'une valeur facultative. Vous pouvez créer des balises pour classer vos ressources par objectif, propriétaire, environnement ou selon d'autres critères. Les balises peuvent vous aider à identifier, organiser, rechercher et filtrer les ressources. Le balisage vous permet également de suivre les propriétaires de ressources responsables en ce qui concerne les actions et les notifications. Lorsque vous utilisez le balisage, vous pouvez implémenter le contrôle d'accès basé sur les attributs (ABAC) en tant que stratégie d'autorisation, qui définit les autorisations en fonction des balises. Vous pouvez associer des balises aux entités IAM (utilisateurs ou rôles) et aux AWS ressources. Vous pouvez créer une politique ABAC unique ou un ensemble de politiques distinct pour vos principaux IAM. Vous pouvez concevoir ces politiques ABAC pour autoriser les opérations lorsque la balise du principal correspond à la balise de ressource. Pour plus d'informations, voir À quoi sert ABAC ? AWS dans le guide de l'utilisateur IAM.

Correction

Pour ajouter des balises à un service de point de terminaison Amazon VPC, consultez la section Gérer les balises dans la section Configurer un service de point de terminaison du AWS PrivateLink Guide.

[EC2.48] Les journaux de flux Amazon VPC doivent être balisés

Catégorie : Identifier > Inventaire > Étiquetage

Gravité : Faible

Type de ressource : AWS::EC2::FlowLog

AWS Config règle : tagged-ec2-flowlog (règle Security Hub personnalisée)

Type de calendrier : changement déclenché

Paramètres :

Ce contrôle vérifie si un journal de flux Amazon VPC contient des balises avec les clés spécifiques définies dans le paramètre. requiredTagKeys Le contrôle échoue si le journal de flux ne contient aucune clé de balise ou s'il ne contient pas toutes les clés spécifiées dans le paramètrerequiredTagKeys. Si le paramètre requiredTagKeys n'est pas fourni, le contrôle vérifie uniquement l'existence d'une clé de balise et échoue si le journal de flux n'est étiqueté avec aucune clé. Les balises système, qui sont automatiquement appliquées et commencent paraws:, sont ignorées.

Une balise est une étiquette que vous attribuez à une AWS ressource. Elle se compose d'une clé et d'une valeur facultative. Vous pouvez créer des balises pour classer vos ressources par objectif, propriétaire, environnement ou selon d'autres critères. Les balises peuvent vous aider à identifier, organiser, rechercher et filtrer les ressources. Le balisage vous permet également de suivre les propriétaires de ressources responsables en ce qui concerne les actions et les notifications. Lorsque vous utilisez le balisage, vous pouvez implémenter le contrôle d'accès basé sur les attributs (ABAC) en tant que stratégie d'autorisation, qui définit les autorisations en fonction des balises. Vous pouvez associer des balises aux entités IAM (utilisateurs ou rôles) et aux AWS ressources. Vous pouvez créer une politique ABAC unique ou un ensemble de politiques distinct pour vos principaux IAM. Vous pouvez concevoir ces politiques ABAC pour autoriser les opérations lorsque la balise du principal correspond à la balise de ressource. Pour plus d'informations, voir À quoi sert ABAC ? AWS dans le guide de l'utilisateur IAM.

Correction

Pour ajouter des balises à un journal de flux Amazon VPC, consultez la section Marquer un journal de flux dans le guide de l'utilisateur Amazon VPC.

[EC2.49] Les connexions d'appairage Amazon VPC doivent être étiquetées

Catégorie : Identifier > Inventaire > Étiquetage

Gravité : Faible

Type de ressource : AWS::EC2::VPCPeeringConnection

AWS Config règle : tagged-ec2-vpcpeeringconnection (règle Security Hub personnalisée)

Type de calendrier : changement déclenché

Paramètres :

Ce contrôle vérifie si une connexion d'appairage Amazon VPC possède des balises avec les clés spécifiques définies dans le paramètre. requiredTagKeys Le contrôle échoue si la connexion d'appairage ne possède aucune clé de balise ou si toutes les clés spécifiées dans le paramètre requiredTagKeys ne sont pas présentes. Si le paramètre requiredTagKeys n'est pas fourni, le contrôle vérifie uniquement l'existence d'une clé de balise et échoue si la connexion d'appairage n'est associée à aucune clé. Les balises système, qui sont automatiquement appliquées et commencent paraws:, sont ignorées.

Une balise est une étiquette que vous attribuez à une AWS ressource. Elle se compose d'une clé et d'une valeur facultative. Vous pouvez créer des balises pour classer vos ressources par objectif, propriétaire, environnement ou selon d'autres critères. Les balises peuvent vous aider à identifier, organiser, rechercher et filtrer les ressources. Le balisage vous permet également de suivre les propriétaires de ressources responsables en ce qui concerne les actions et les notifications. Lorsque vous utilisez le balisage, vous pouvez implémenter le contrôle d'accès basé sur les attributs (ABAC) en tant que stratégie d'autorisation, qui définit les autorisations en fonction des balises. Vous pouvez associer des balises aux entités IAM (utilisateurs ou rôles) et aux AWS ressources. Vous pouvez créer une politique ABAC unique ou un ensemble de politiques distinct pour vos principaux IAM. Vous pouvez concevoir ces politiques ABAC pour autoriser les opérations lorsque la balise du principal correspond à la balise de ressource. Pour plus d'informations, voir À quoi sert ABAC ? AWS dans le guide de l'utilisateur IAM.

Correction

Pour ajouter des balises à une connexion d'appairage Amazon VPC, consultez la section Marquer vos EC2 ressources Amazon dans le guide de l'utilisateur Amazon EC2 .

[EC2.50] Les passerelles EC2 VPN doivent être étiquetées

Catégorie : Identifier > Inventaire > Étiquetage

Gravité : Faible

Type de ressource : AWS::EC2::VPNGateway

AWS Config règle : tagged-ec2-vpngateway (règle Security Hub personnalisée)

Type de calendrier : changement déclenché

Paramètres :

Ce contrôle vérifie si une passerelle Amazon EC2 VPN possède des balises avec les clés spécifiques définies dans le paramètrerequiredTagKeys. Le contrôle échoue si la passerelle VPN ne possède aucune clé de balise ou si elle ne possède pas toutes les clés spécifiées dans le paramètrerequiredTagKeys. Si le paramètre requiredTagKeys n'est pas fourni, le contrôle vérifie uniquement l'existence d'une clé de balise et échoue si la passerelle VPN n'est associée à aucune clé. Les balises système, qui sont automatiquement appliquées et commencent paraws:, sont ignorées.

Une balise est une étiquette que vous attribuez à une AWS ressource. Elle se compose d'une clé et d'une valeur facultative. Vous pouvez créer des balises pour classer vos ressources par objectif, propriétaire, environnement ou selon d'autres critères. Les balises peuvent vous aider à identifier, organiser, rechercher et filtrer les ressources. Le balisage vous permet également de suivre les propriétaires de ressources responsables en ce qui concerne les actions et les notifications. Lorsque vous utilisez le balisage, vous pouvez implémenter le contrôle d'accès basé sur les attributs (ABAC) en tant que stratégie d'autorisation, qui définit les autorisations en fonction des balises. Vous pouvez associer des balises aux entités IAM (utilisateurs ou rôles) et aux AWS ressources. Vous pouvez créer une politique ABAC unique ou un ensemble de politiques distinct pour vos principaux IAM. Vous pouvez concevoir ces politiques ABAC pour autoriser les opérations lorsque la balise du principal correspond à la balise de ressource. Pour plus d'informations, voir À quoi sert ABAC ? AWS dans le guide de l'utilisateur IAM.

Correction

Pour ajouter des balises à une passerelle EC2 VPN, consultez la section Marquer vos EC2 ressources Amazon dans le guide de EC2 l'utilisateur Amazon.

[EC2.51] La journalisation des connexions EC2 client doit être activée sur les points de terminaison VPN du client

Exigences connexes : NIST.800-53.r5 AC-2 (12), (4), NIST.800-53.r5 AC-2 (26), (9), NIST.800-53.r5 AC-4 (9), NIST.800-53.r5 AC-6 NIST.800-53.R5 SI-3 NIST.800-53.r5 SC-7 (8) NIST.800-53.r5 AU-10, NIST.800-53.r5 AU-12, NIST.800-53.r5 AU-2, NIST.800-53.r5 AU-3, NIST.800-53.r5 AU-6(3), NIST.800-53.r5 AU-6(4), NIST.800-53.r5 AU-9(7), NIST.800-53.r5 CA-7, NIST.800-53.R5 SI-4, NIST.800-53.R5 SI-4 (20), NIST.800-53.R5 SI-7 (8), PCI DSS v4.0.1/10.2.1

Catégorie : Identifier - Journalisation

Gravité : Faible

Type de ressource : AWS::EC2::ClientVpnEndpoint

AWS Config règle : ec2-client-vpn-connection-log-enabled

Type de calendrier : changement déclenché

Paramètres : Aucun

Ce contrôle vérifie si la journalisation des connexions client est activée sur un AWS Client VPN terminal. Le contrôle échoue si la journalisation des connexions client n'est pas activée sur le terminal.

Les points de terminaison VPN client permettent aux clients distants de se connecter en toute sécurité aux ressources d'un Virtual Private Cloud (VPC) dans. AWS Les journaux de connexion vous permettent de suivre l'activité des utilisateurs sur le point de terminaison VPN et offrent une visibilité. Lorsque vous activez la journalisation des connexions, vous pouvez spécifier le nom d'un flux de journaux dans le groupe de journaux. Si vous ne spécifiez aucun flux de journal, le service Client VPN en crée un pour vous.

Correction

Pour activer la journalisation des connexions, consultez la section Activer la journalisation des connexions pour un point de terminaison Client VPN existant dans le Guide de l'AWS Client VPN administrateur.

[EC2.52] les passerelles de EC2 transport en commun devraient être étiquetées

Catégorie : Identifier > Inventaire > Étiquetage

Gravité : Faible

Type de ressource : AWS::EC2::TransitGateway

AWS Config règle : tagged-ec2-transitgateway (règle Security Hub personnalisée)

Type de calendrier : changement déclenché

Paramètres :

Ce contrôle vérifie si une passerelle de EC2 transit Amazon possède des balises avec les clés spécifiques définies dans le paramètrerequiredTagKeys. Le contrôle échoue si la passerelle de transit ne possède aucune clé de balise ou si elle ne possède pas toutes les clés spécifiées dans le paramètrerequiredTagKeys. Si le paramètre requiredTagKeys n'est pas fourni, le contrôle vérifie uniquement l'existence d'une clé de balise et échoue si la passerelle de transit n'est étiquetée avec aucune clé. Les balises système, qui sont automatiquement appliquées et commencent paraws:, sont ignorées.

Une balise est une étiquette que vous attribuez à une AWS ressource. Elle se compose d'une clé et d'une valeur facultative. Vous pouvez créer des balises pour classer vos ressources par objectif, propriétaire, environnement ou selon d'autres critères. Les balises peuvent vous aider à identifier, organiser, rechercher et filtrer les ressources. Le balisage vous permet également de suivre les propriétaires de ressources responsables en ce qui concerne les actions et les notifications. Lorsque vous utilisez le balisage, vous pouvez implémenter le contrôle d'accès basé sur les attributs (ABAC) en tant que stratégie d'autorisation, qui définit les autorisations en fonction des balises. Vous pouvez associer des balises aux entités IAM (utilisateurs ou rôles) et aux AWS ressources. Vous pouvez créer une politique ABAC unique ou un ensemble de politiques distinct pour vos principaux IAM. Vous pouvez concevoir ces politiques ABAC pour autoriser les opérations lorsque la balise du principal correspond à la balise de ressource. Pour plus d'informations, voir À quoi sert ABAC ? AWS dans le guide de l'utilisateur IAM.

Correction

Pour ajouter des balises à une passerelle de EC2 transit, consultez la section Marquer vos EC2 ressources Amazon dans le guide de EC2 l'utilisateur Amazon.

[EC2.53] les groupes EC2 de sécurité ne doivent pas autoriser l'entrée depuis 0.0.0.0/0 vers les ports d'administration des serveurs distants

Exigences connexes : CIS AWS Foundations Benchmark v3.0.0/5.2, PCI DSS v4.0.1/1.3.1

Catégorie : Protection > Configuration réseau sécurisée > Configuration du groupe de sécurité

Gravité : Élevée

Type de ressource : AWS::EC2::SecurityGroup

Règle AWS Config  : vpc-sg-port-restriction-check

Type de calendrier : Périodique

Paramètres :

Ce contrôle vérifie si un groupe de EC2 sécurité Amazon autorise l'entrée depuis 0.0.0.0/0 vers les ports d'administration de serveurs distants (ports 22 et 3389). Le contrôle échoue si le groupe de sécurité autorise l'entrée depuis 0.0.0.0/0 vers le port 22 ou 3389.

Les groupes de sécurité fournissent un filtrage dynamique du trafic réseau entrant et sortant vers les ressources. AWS Nous recommandons qu'aucun groupe de sécurité n'autorise un accès d'entrée illimité aux ports d'administration des serveurs distants, tels que SSH vers le port 22 et RDP vers le port 3389, en utilisant les protocoles TDP (6), UDP (17) ou ALL (-1). Permettre au public d'accéder à ces ports augmente la surface d'attaque des ressources et le risque de compromission des ressources.

Correction

Pour mettre à jour une règle EC2 de groupe de sécurité afin d'interdire le trafic entrant vers les ports spécifiés, consultez la section Mettre à jour les règles du groupe de sécurité dans le guide de EC2 l'utilisateur Amazon. Après avoir sélectionné un groupe de sécurité dans la EC2 console Amazon, choisissez Actions, Modifier les règles entrantes. Supprimez la règle qui autorise l'accès au port 22 ou au port 3389.

[EC2.54] les groupes EC2 de sécurité ne doivent pas autoriser l'entrée depuis : :/0 vers les ports d'administration des serveurs distants

Exigences connexes : CIS AWS Foundations Benchmark v3.0.0/5.3, PCI DSS v4.0.1/1.3.1

Catégorie : Protection > Configuration réseau sécurisée > Configuration du groupe de sécurité

Gravité : Élevée

Type de ressource : AWS::EC2::SecurityGroup

Règle AWS Config  : vpc-sg-port-restriction-check

Type de calendrier : Périodique

Paramètres :

Ce contrôle vérifie si un groupe de EC2 sécurité Amazon autorise l'entrée depuis : :/0 vers les ports d'administration de serveurs distants (ports 22 et 3389). Le contrôle échoue si le groupe de sécurité autorise l'entrée depuis : :/0 vers le port 22 ou 3389.

Les groupes de sécurité fournissent un filtrage dynamique du trafic réseau entrant et sortant vers les ressources. AWS Nous recommandons qu'aucun groupe de sécurité n'autorise un accès d'entrée illimité aux ports d'administration des serveurs distants, tels que SSH vers le port 22 et RDP vers le port 3389, en utilisant les protocoles TDP (6), UDP (17) ou ALL (-1). Permettre au public d'accéder à ces ports augmente la surface d'attaque des ressources et le risque de compromission des ressources.

Correction

Pour mettre à jour une règle EC2 de groupe de sécurité afin d'interdire le trafic entrant vers les ports spécifiés, consultez la section Mettre à jour les règles du groupe de sécurité dans le guide de EC2 l'utilisateur Amazon. Après avoir sélectionné un groupe de sécurité dans la EC2 console Amazon, choisissez Actions, Modifier les règles entrantes. Supprimez la règle qui autorise l'accès au port 22 ou au port 3389.

[EC2.55] VPCs doit être configuré avec un point de terminaison d'interface pour l'API ECR

Exigences connexes : NIST.800-53.r5 AC-2 1 NIST.800-53.r5 AC-3, NIST.800-53.r5 AC-3 (7) NIST.800-53.r5 AC-4, NIST.800-53.r5 AC-4 (21),, NIST.800-53.r5 AC-6 NIST.800-53.r5 SC-7, NIST.800-53.r5 SC-7 (11), NIST.800-53.r5 SC-7 (16), NIST.800-53.r5 SC-7 (20), NIST.800-53.r5 SC-7 (21), NIST.800-53.r5 SC-7 (3), NIST.800-53.r5 SC-7 (4)

Catégorie : Protéger > Gestion des accès sécurisés > Contrôle d'accès

Gravité : Moyenne

Type de ressource :AWS::EC2::VPC, AWS::EC2::VPCEndpoint

Règle AWS Config  : vpc-endpoint-enabled

Type de calendrier : Périodique

Paramètres :

Ce contrôle vérifie si un cloud privé virtuel (VPC) que vous gérez possède un point de terminaison VPC d'interface pour l'API Amazon ECR. Le contrôle échoue si le VPC ne possède pas de point de terminaison VPC d'interface pour l'API ECR. Ce contrôle évalue les ressources dans un seul compte.

AWS PrivateLink permet aux clients d'accéder aux services hébergés de AWS manière hautement disponible et évolutive, tout en maintenant l'ensemble du trafic réseau au sein du AWS réseau. Les utilisateurs des services peuvent accéder PrivateLink de manière privée aux services alimentés par leur VPC ou sur site, sans passer par le public IPs et sans avoir à faire transiter le trafic sur Internet.

Correction

Pour configurer un point de terminaison VPC, consultez la section Accès et Service AWS utilisation d'un point de terminaison VPC d'interface dans le Guide.AWS PrivateLink

[EC2.56] VPCs doit être configuré avec un point de terminaison d'interface pour Docker Registry

Exigences connexes : NIST.800-53.r5 AC-2 1 NIST.800-53.r5 AC-3, NIST.800-53.r5 AC-3 (7) NIST.800-53.r5 AC-4, NIST.800-53.r5 AC-4 (21),, NIST.800-53.r5 AC-6 NIST.800-53.r5 SC-7, NIST.800-53.r5 SC-7 (11), NIST.800-53.r5 SC-7 (16), NIST.800-53.r5 SC-7 (20), NIST.800-53.r5 SC-7 (21), NIST.800-53.r5 SC-7 (3), NIST.800-53.r5 SC-7 (4)

Catégorie : Protéger > Gestion des accès sécurisés > Contrôle d'accès

Gravité : Moyenne

Type de ressource :AWS::EC2::VPC, AWS::EC2::VPCEndpoint

Règle AWS Config  : vpc-endpoint-enabled

Type de calendrier : Périodique

Paramètres :

Ce contrôle vérifie si un cloud privé virtuel (VPC) que vous gérez possède un point de terminaison VPC d'interface pour Docker Registry. Le contrôle échoue si le VPC ne possède pas de point de terminaison VPC d'interface pour Docker Registry. Ce contrôle évalue les ressources dans un seul compte.

AWS PrivateLink permet aux clients d'accéder aux services hébergés de AWS manière hautement disponible et évolutive, tout en maintenant l'ensemble du trafic réseau au sein du AWS réseau. Les utilisateurs des services peuvent accéder PrivateLink de manière privée aux services alimentés par leur VPC ou sur site, sans passer par le public IPs et sans avoir à faire transiter le trafic sur Internet.

Correction

Pour configurer un point de terminaison VPC, consultez la section Accès et Service AWS utilisation d'un point de terminaison VPC d'interface dans le Guide.AWS PrivateLink

[EC2.57] VPCs doit être configuré avec un point de terminaison d'interface pour Systems Manager

Exigences connexes : NIST.800-53.r5 AC-2 1 NIST.800-53.r5 AC-3, NIST.800-53.r5 AC-3 (7) NIST.800-53.r5 AC-4, NIST.800-53.r5 AC-4 (21),, NIST.800-53.r5 AC-6 NIST.800-53.r5 SC-7, NIST.800-53.r5 SC-7 (11), NIST.800-53.r5 SC-7 (16), NIST.800-53.r5 SC-7 (20), NIST.800-53.r5 SC-7 (21), NIST.800-53.r5 SC-7 (3), NIST.800-53.r5 SC-7 (4)

Catégorie : Protéger > Gestion des accès sécurisés > Contrôle d'accès

Gravité : Moyenne

Type de ressource :AWS::EC2::VPC, AWS::EC2::VPCEndpoint

Règle AWS Config  : vpc-endpoint-enabled

Type de calendrier : Périodique

Paramètres :

Ce contrôle vérifie si un cloud privé virtuel (VPC) que vous gérez possède un point de terminaison VPC d'interface pour lequel vous gérez. AWS Systems Manager Le contrôle échoue si le VPC ne possède pas de point de terminaison VPC d'interface pour Systems Manager. Ce contrôle évalue les ressources dans un seul compte.

AWS PrivateLink permet aux clients d'accéder aux services hébergés de AWS manière hautement disponible et évolutive, tout en maintenant l'ensemble du trafic réseau au sein du AWS réseau. Les utilisateurs des services peuvent accéder PrivateLink de manière privée aux services alimentés par leur VPC ou sur site, sans passer par le public IPs et sans avoir à faire transiter le trafic sur Internet.

Correction

Pour configurer un point de terminaison VPC, consultez la section Accès et Service AWS utilisation d'un point de terminaison VPC d'interface dans le Guide.AWS PrivateLink

[EC2.58] VPCs doit être configuré avec un point de terminaison d'interface pour les contacts de Systems Manager Incident Manager

Exigences connexes : NIST.800-53.r5 AC-2 1 NIST.800-53.r5 AC-3, NIST.800-53.r5 AC-3 (7) NIST.800-53.r5 AC-4, NIST.800-53.r5 AC-4 (21),, NIST.800-53.r5 AC-6 NIST.800-53.r5 SC-7, NIST.800-53.r5 SC-7 (11), NIST.800-53.r5 SC-7 (16), NIST.800-53.r5 SC-7 (20), NIST.800-53.r5 SC-7 (21), NIST.800-53.r5 SC-7 (3), NIST.800-53.r5 SC-7 (4)

Catégorie : Protéger > Gestion des accès sécurisés > Contrôle d'accès

Gravité : Moyenne

Type de ressource :AWS::EC2::VPC, AWS::EC2::VPCEndpoint

Règle AWS Config  : vpc-endpoint-enabled

Type de calendrier : Périodique

Paramètres :

Ce contrôle vérifie si le cloud privé virtuel (VPC) que vous gérez possède un point de terminaison VPC d'interface pour AWS Systems Manager les contacts d'Incident Manager. Le contrôle échoue si le VPC ne possède pas de point de terminaison VPC d'interface pour les contacts de Systems Manager Incident Manager. Ce contrôle évalue les ressources dans un seul compte.

AWS PrivateLink permet aux clients d'accéder aux services hébergés de AWS manière hautement disponible et évolutive, tout en maintenant l'ensemble du trafic réseau au sein du AWS réseau. Les utilisateurs des services peuvent accéder PrivateLink de manière privée aux services alimentés par leur VPC ou sur site, sans passer par le public IPs et sans avoir à faire transiter le trafic sur Internet.

Correction

Pour configurer un point de terminaison VPC, consultez la section Accès et Service AWS utilisation d'un point de terminaison VPC d'interface dans le Guide.AWS PrivateLink

[EC2.60] VPCs doit être configuré avec un point de terminaison d'interface pour Systems Manager Incident Manager

Exigences connexes : NIST.800-53.r5 AC-2 1 NIST.800-53.r5 AC-3, NIST.800-53.r5 AC-3 (7) NIST.800-53.r5 AC-4, NIST.800-53.r5 AC-4 (21),, NIST.800-53.r5 AC-6 NIST.800-53.r5 SC-7, NIST.800-53.r5 SC-7 (11), NIST.800-53.r5 SC-7 (16), NIST.800-53.r5 SC-7 (20), NIST.800-53.r5 SC-7 (21), NIST.800-53.r5 SC-7 (3), NIST.800-53.r5 SC-7 (4)

Catégorie : Protéger > Gestion des accès sécurisés > Contrôle d'accès

Gravité : Moyenne

Type de ressource :AWS::EC2::VPC, AWS::EC2::VPCEndpoint

Règle AWS Config  : vpc-endpoint-enabled

Type de calendrier : Périodique

Paramètres :

Ce contrôle vérifie si le cloud privé virtuel (VPC) que vous gérez possède un point de terminaison VPC d'interface pour Incident Manager. AWS Systems Manager Le contrôle échoue si le VPC ne possède pas de point de terminaison VPC d'interface pour Systems Manager Incident Manager. Ce contrôle évalue les ressources dans un seul compte.

AWS PrivateLink permet aux clients d'accéder aux services hébergés de AWS manière hautement disponible et évolutive, tout en maintenant l'ensemble du trafic réseau au sein du AWS réseau. Les utilisateurs des services peuvent accéder PrivateLink de manière privée aux services alimentés par leur VPC ou sur site, sans passer par le public IPs et sans avoir à faire transiter le trafic sur Internet.

Correction

Pour configurer un point de terminaison VPC, consultez la section Accès et Service AWS utilisation d'un point de terminaison VPC d'interface dans le Guide.AWS PrivateLink

[EC2.170] les modèles de EC2 lancement doivent utiliser le service de métadonnées d'instance version 2 () IMDSv2

Exigences connexes : PCI DSS v4.0.1/2.2.6

Catégorie : Protection > Sécurité du réseau

Gravité : Faible

Type de ressource : AWS::EC2::LaunchTemplate

Règle AWS Config  : ec2-launch-template-imdsv2-check

Type de calendrier : changement déclenché

Paramètres : Aucun

Ce contrôle vérifie si un modèle de EC2 lancement Amazon est configuré avec le service de métadonnées d'instance version 2 (IMDSv2). Le contrôle échoue s'il HttpTokens est défini suroptional.

L'exécution des ressources sur les versions logicielles prises en charge garantit des performances, une sécurité et un accès aux fonctionnalités les plus récentes. Des mises à jour régulières protègent contre les vulnérabilités, ce qui contribue à garantir une expérience utilisateur stable et efficace.

Correction

Pour demander IMDSv2 un modèle de EC2 lancement, consultez la section Configurer les options du service de métadonnées d'instance dans le guide de EC2 l'utilisateur Amazon.

[EC2.171] La journalisation des connexions EC2 VPN doit être activée

Exigences connexes : CIS AWS Foundations Benchmark v3.0.0/5.3, PCI DSS v4.0.1/10.4.2

Catégorie : Identifier - Journalisation

Gravité : Moyenne

Type de ressource : AWS::EC2::VPNConnection

Règle AWS Config  : ec2-vpn-connection-logging-enabled

Type de calendrier : changement déclenché

Paramètres : Aucun

Ce contrôle vérifie si Amazon CloudWatch Logs est activé pour les deux tunnels sur une connexion AWS Site-to-Site VPN. Le contrôle échoue si les CloudWatch journaux ne sont pas activés pour une connexion Site-to-Site VPN pour les deux tunnels.

AWS Site-to-Site Les journaux VPN vous offrent une meilleure visibilité de vos déploiements Site-to-Site VPN. Grâce à cette fonctionnalité, vous avez accès aux journaux de connexion Site-to-Site VPN qui fournissent des détails sur l'établissement du tunnel de sécurité IP (IPsec), les négociations sur l'échange de clés Internet (IKE) et les messages du protocole de détection des pairs morts (DDP). Site-to-Site Les journaux VPN peuvent être publiés dans CloudWatch Logs. Cette fonctionnalité fournit aux clients un moyen unique et cohérent d'accéder aux journaux détaillés de toutes leurs connexions Site-to-Site VPN et de les analyser.

Correction

Pour activer la journalisation par tunnel sur une connexion EC2 VPN, consultez la section Journaux AWS Site-to-Site VPN dans le Guide de l'utilisateur du AWS Site-to-Site VPN.

[EC2.172] Les paramètres d'accès public EC2 VPC Block devraient bloquer le trafic de passerelle Internet

Catégorie : Protéger > Configuration réseau sécurisée > Ressources non accessibles au public

Gravité : Moyenne

Type de ressource : AWS::EC2::VPCBlockPublicAccessOptions

AWS Config règle : ec2-vpc-bpa-internet-gateway-blocked (règle Security Hub personnalisée)

Type de calendrier : changement déclenché

Paramètres :

Ce contrôle vérifie si les paramètres BPA (Amazon EC2 VPC Block Public Access) sont configurés pour bloquer le trafic de passerelle Internet pour tous les Amazon VPCs du. Compte AWS Le contrôle échoue si les paramètres BPA du VPC ne sont pas configurés pour bloquer le trafic de passerelle Internet. Pour que le contrôle passe, le BPA du VPC InternetGatewayBlockMode doit être réglé sur ou. block-bidirectional block-ingress Si le paramètre vpcBpaInternetGatewayBlockMode est fourni, le contrôle est transmis uniquement si la valeur BPA du VPC pour InternetGatewayBlockMode correspond au paramètre.

La configuration des paramètres VPC BPA de votre compte dans an vous Région AWS permet d'empêcher les ressources VPCs et les sous-réseaux que vous possédez dans cette région d'atteindre ou d'être accessibles depuis Internet via des passerelles Internet et des passerelles Internet de sortie uniquement. Si vous avez besoin de sous-réseaux VPCs et de sous-réseaux spécifiques pour pouvoir accéder ou être accessibles depuis Internet, vous pouvez les exclure en configurant les exclusions BPA des VPC. Pour obtenir des instructions sur la création et la suppression d'exclusions, consultez la section Créer et supprimer des exclusions dans le guide de l'utilisateur Amazon VPC.

Correction

Pour activer le BPA bidirectionnel au niveau du compte, consultez Activer le mode bidirectionnel BPA pour votre compte dans le guide de l'utilisateur Amazon VPC. Pour activer le BPA en entrée uniquement, voir Changer le mode BPA du VPC en mode BPA en entrée uniquement. Pour activer le BPA VPC au niveau de l'organisation, voir Activer le BPA VPC au niveau de l'organisation.