Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

AWSNorme relative aux meilleures pratiques de sécurité fondamentales dans Security Hub CSPM

Développée par AWS des professionnels du secteur, la norme AWS Foundational Security Best Practices (FSBP) est une compilation des meilleures pratiques de sécurité destinées aux entreprises, quels que soient leur secteur ou leur taille. Il fournit un ensemble de contrôles qui détectent quand Comptes AWS et quand les ressources s'écartent des meilleures pratiques en matière de sécurité. Il fournit également des conseils prescriptifs sur la manière d'améliorer et de maintenir le niveau de sécurité de votre organisation.

Dans AWS Security Hub CSPM, la norme des meilleures pratiques de sécurité AWS fondamentales inclut des contrôles qui évaluent en permanence votre charge de travail Comptes AWS et vous aident à identifier les domaines qui s'écartent des meilleures pratiques en matière de sécurité. Les contrôles incluent les meilleures pratiques de sécurité pour les ressources provenant de plusieurs sourcesServices AWS. Chaque contrôle se voit attribuer une catégorie qui reflète la fonction de sécurité à laquelle le contrôle s'applique. Pour obtenir la liste des catégories et des informations supplémentaires, consultezCatégories de contrôle.

Contrôles applicables à la norme

La liste suivante indique quels contrôles AWS Security Hub CSPM s'appliquent à la norme AWS Foundational Security Best Practices (v1.0.0). Pour consulter les détails d'un contrôle, choisissez-le.

[Account.1] Les coordonnées de sécurité doivent être fournies pourCompte AWS

[ACM.1] Importé et ACM-issued les certificats doivent être renouvelés après une période spécifiée

[ACM.2] Les certificats RSA gérés par ACM doivent utiliser une longueur de clé d'au moins 2 048 bits

[APIGateway.1] API Gateway REST et la journalisation de l'exécution de l' WebSocket API doivent être activées

[APIGateway.2] Les étapes de l'API REST d'API Gateway doivent être configurées pour utiliser des certificats SSL pour l'authentification du backend

[APIGateway.3] Les stages de l'API REST API Gateway doivent avoirAWS X-Raysuivi activé

[APIGateway.4] API Gateway doit être associée à une ACL Web WAF

[APIGateway.5] Les données du cache de l'API REST API Gateway doivent être chiffrées au repos

[APIGateway.8] Les routes API Gateway doivent spécifier un type d'autorisation

[APIGateway.9] La journalisation des accès doit être configurée pour les étapes API Gateway V2

[APIGateway.10] Les intégrations d'API Gateway V2 doivent utiliser le protocole HTTPS pour les connexions privées

[APIGateway.11] Les noms de domaine API Gateway doivent utiliser les politiques de sécurité recommandées

[AppSync.1]AWS AppSyncLes caches d'API doivent être chiffrés au repos

[AppSync.2]AWS AppSyncla journalisation au niveau du champ doit être activée

[AppSync.5]AWS AppSyncLes API GraphQL ne doivent pas être authentifiées avec des clés d'API

[AppSync.6]AWS AppSyncLes caches d'API doivent être chiffrés pendant le transport

[Athena.4] La journalisation des groupes de travail Athena doit être activée

[AutoScaling.1] Les groupes Auto Scaling associés à un équilibreur de charge doivent utiliser les contrôles de santé ELB

[AutoScaling.2] Le groupe Amazon EC2 Auto Scaling doit couvrir plusieurs zones de disponibilité

[AutoScaling.3] Les configurations de lancement du groupe Auto Scaling doivent configurer les instances EC2 pour qu'elles nécessitent le service de métadonnées d'instance version 2 (IMDSv2)

[Autoscaling.5] Les instances Amazon EC2 lancées à l'aide des configurations de lancement de groupe Auto Scaling ne doivent pas avoir d'adresses IP publiques

[AutoScaling.6] Les groupes Auto Scaling doivent utiliser plusieurs types d'instances dans plusieurs zones de disponibilité

[AutoScaling.9] Les groupes Amazon EC2 Auto Scaling doivent utiliser les modèles de lancement Amazon EC2

[Backup.1]AWS Backuples points de récupération doivent être chiffrés au repos

[BedrockAgentCore.1] Les environnements d' AgentCore exécution de Bedrock doivent être configurés en mode réseau VPC

[BedrockAgentCore.2] Bedrock AgentCore Gateways devrait exiger une autorisation pour les demandes entrantes

[BedrockAgentCore.5] Les navigateurs AgentCore personnalisés de Bedrock ne doivent pas utiliser le mode réseau public

[BedrockAgentCore.6] L'enregistrement de session devrait être activé dans les navigateurs AgentCore personnalisés Bedrock

[CloudFormation.3] la protection contre les terminaisons doit être activée pour les CloudFormation piles

[CloudFormation.4] les CloudFormation piles doivent avoir des rôles de service associés

[CloudFront.1] CloudFront les distributions doivent avoir un objet racine par défaut configuré

[CloudFront.3] CloudFront les distributions devraient nécessiter un chiffrement en transit

[CloudFront.4] le basculement d'origine doit être configuré pour les CloudFront distributions

[CloudFront.5] la journalisation des CloudFront distributions doit être activée

[CloudFront.6] WAF doit être activé sur les CloudFront distributions

[CloudFront.7] CloudFront les distributions doivent utiliser des SSL/TLS certificats personnalisés

[CloudFront.8] CloudFront les distributions doivent utiliser le SNI pour traiter les requêtes HTTPS

[CloudFront.9] CloudFront les distributions doivent crypter le trafic vers des origines personnalisées

[CloudFront.10] CloudFront les distributions ne doivent pas utiliser de protocoles SSL obsolètes entre les emplacements périphériques et les origines personnalisées

[CloudFront.12] CloudFront les distributions ne doivent pas pointer vers des origines S3 inexistantes

[CloudFront.13] CloudFront les distributions doivent utiliser le contrôle d'accès à l'origine

[CloudFront.15] CloudFront les distributions doivent utiliser la politique de sécurité TLS recommandée

[CloudFront.16] CloudFront les distributions doivent utiliser le contrôle d'accès à l'origine pour les origines des URL des fonctions Lambda

[CloudFront.17] CloudFront les distributions doivent utiliser des groupes de clés fiables pour les URL signées et les cookies

[CloudTrail.1] CloudTrail doit être activé et configuré avec au moins un journal multirégional incluant des événements de gestion de lecture et d'écriture

[CloudTrail.2] CloudTrail doit avoir le chiffrement au repos activé

[CloudTrail.4] la validation du fichier CloudTrail journal doit être activée

[CloudTrail.5] les CloudTrail sentiers doivent être intégrés à Amazon CloudWatch Logs

[CodeBuild.1] Les URL du référentiel source CodeBuild Bitbucket ne doivent pas contenir d'informations d'identification sensibles

[CodeBuild.2] les variables d'environnement CodeBuild du projet ne doivent pas contenir d'informations d'identification en texte clair

[CodeBuild.3] Les journaux CodeBuild S3 doivent être chiffrés

[CodeBuild.4] les environnements de CodeBuild projet doivent avoir une journalisationAWS Configdurée

[CodeBuild.7] les exportations de groupes de CodeBuild rapports doivent être cryptées au repos

[Cognito.2] Les pools d'identités Cognito ne doivent pas autoriser les identités non authentifiées

[Cognito.3] Les politiques de mot de passe pour les groupes d'utilisateurs de Cognito doivent être fortement configurées

[Cognito.4] Les groupes d'utilisateurs de Cognito doivent avoir la protection contre les menaces activée avec le mode d'application complet pour une authentification personnalisée

[Cognito.5] La MFA doit être activée pour les groupes d'utilisateurs de Cognito

[Cognito.6] La protection contre les suppressions doit être activée pour les groupes d'utilisateurs de Cognito

[Config.1]AWS Configdoit être activé et utiliser le rôle lié au service pour l'enregistrement des ressources

[Connect.2] La CloudWatch journalisation des instances Connect Customer doit être activée

[DataFirehose.1] Les flux de diffusion de Firehose doivent être chiffrés au repos

[DataSync.1] la journalisation des DataSync tâches doit être activée

[DMS.1] Les instances de réplication du Database Migration Service ne doivent pas être publiques

[DMS.6] La mise à niveau automatique des versions mineures des instances de réplication DMS doit être activée

[DMS.7] La journalisation des tâches de réplication DMS pour la base de données cible doit être activée

[DMS.8] La journalisation des tâches de réplication DMS pour la base de données source doit être activée

[DMS.9] Les points de terminaison DMS doivent utiliser le protocole SSL

[DMS.10] L'autorisation IAM doit être activée sur les points de terminaison DMS pour les bases de données Neptune

[DMS.11] Les points de terminaison DMS pour MongoDB doivent avoir un mécanisme d'authentification activé

[DMS.12] TLS doit être activé sur les points de terminaison DMS pour Redis OSS

[DMS.13] Les instances de réplication DMS doivent être configurées pour utiliser plusieurs zones de disponibilité

[DocumentDB.1] Les clusters Amazon DocumentDB doivent être chiffrés au repos

[DocumentDB.2] Les clusters Amazon DocumentDB doivent disposer d'une période de conservation des sauvegardes adéquate

[DocumentDB.3] Les instantanés de cluster manuels Amazon DocumentDB ne doivent pas être publics

[DocumentDB.4] Les clusters Amazon DocumentDB doivent publier les journaux d'audit dans Logs CloudWatch

[DocumentDB.5] La protection contre la suppression des clusters Amazon DocumentDB doit être activée

[DocumentDB.6] Les clusters Amazon DocumentDB doivent être chiffrés pendant le transport

[DynamoDB.1] Les tables DynamoDB doivent automatiquement adapter la capacité à la demande

[DynamoDB.2] La restauration instantanée des tables DynamoDB doit être activée

[DynamoDB.3] Les clusters DynamoDB Accelerator (DAX) doivent être chiffrés au repos

[DynamoDB.6] La protection contre la suppression des tables DynamoDB doit être activée

[DynamoDB.7] Les clusters DynamoDB Accelerator doivent être chiffrés en transit

[EC2.1] Les instantanés Amazon EBS ne doivent pas être configurés pour être restaurables publiquement

[EC2.2] Les groupes de sécurité VPC par défaut ne doivent pas autoriser le trafic entrant ou sortant

[EC2.3] Les volumes Amazon EBS joints doivent être chiffrés au repos

[EC2.4] Les instances EC2 arrêtées doivent être supprimées après une période spécifiée

[EC2.6] La journalisation des flux VPC doit être activée dans tous les VPC

[EC2.7] Le chiffrement par défaut d'EBS doit être activé

[EC2.8] Les instances EC2 doivent utiliser le service de métadonnées d'instance version 2 (IMDSv2)

[EC2.9] Les instances Amazon EC2 ne doivent pas avoir d'adresse IPv4 publique

[EC2.10] Amazon EC2 doit être configuré pour utiliser les points de terminaison VPC créés pour le service Amazon EC2

[EC2.15] Les sous-réseaux Amazon EC2 ne doivent pas attribuer automatiquement d'adresses IP publiques

[EC2.16] Les listes de contrôle d'accès réseau non utilisées doivent être supprimées

[EC2.17] Les instances Amazon EC2 ne doivent pas utiliser plusieurs ENI

[EC2.18] Les groupes de sécurité ne doivent autoriser le trafic entrant illimité que pour les ports autorisés

[EC2.19] Les groupes de sécurité ne doivent pas autoriser un accès illimité aux ports présentant un risque élevé

[EC2.20] Les deux tunnels VPN pour unAWSSite-to-Site La connexion VPN devrait être active

[EC2.21] Les ACL réseau ne doivent pas autoriser l'entrée à partir de la version 0.0.0. 0/0 vers le port 22 ou le port 3389

[EC2.23] Les passerelles de transit Amazon EC2 ne doivent pas accepter automatiquement les demandes de pièces jointes VPC

[EC2.24] Les types d'instances paravirtuelles Amazon EC2 ne doivent pas être utilisés

[EC2.25] Les modèles de lancement Amazon EC2 ne doivent pas attribuer d'adresses IP publiques aux interfaces réseau

[EC2.51] La journalisation des connexions client doit être activée sur les points de terminaison VPN EC2

[EC2.55] Les VPC doivent être configurés avec un point de terminaison d'interface pour l'API ECR

[EC2.56] Les VPC doivent être configurés avec un point de terminaison d'interface pour Docker Registry

[EC2.57] Les VPC doivent être configurés avec un point de terminaison d'interface pour Systems Manager

[EC2.58] Les VPC doivent être configurés avec un point de terminaison d'interface pour les contacts de Systems Manager Incident Manager

[EC2.60] Les VPC doivent être configurés avec un point de terminaison d'interface pour Systems Manager Incident Manager

[EC2.170] Les modèles de lancement EC2 doivent utiliser le service de métadonnées d'instance version 2 (IMDSv2)

[EC2.171] La journalisation des connexions VPN EC2 doit être activée

[EC2.172] Les paramètres d'accès public EC2 VPC Block devraient bloquer le trafic de passerelle Internet

[EC2.173] Les demandes EC2 Spot Fleet avec paramètres de lancement doivent permettre le chiffrement des volumes EBS attachés

[EC2.180] La source/destination vérification doit être activée sur les interfaces réseau EC2

[EC2.181] Les modèles de lancement EC2 doivent activer le chiffrement pour les volumes EBS attachés

[EC2.182] Les paramètres de blocage de l'accès public doivent être activés pour les instantanés Amazon EBS

[EC2.183] Les connexions VPN EC2 doivent utiliser le protocole IKEv2

[ECR.1] La numérisation des images doit être configurée dans les référentiels privés ECR

[ECR.2] L'immuabilité des balises doit être configurée dans les référentiels privés ECR

[ECR.3] Les référentiels ECR doivent avoir au moins une politique de cycle de vie configurée

[ECS.2] Aucune adresse IP publique ne doit être attribuée automatiquement aux services ECS

[ECS.3] Les définitions de tâches ECS ne doivent pas partager l'espace de noms de processus de l'hôte

[ECS.4] Les conteneurs ECS doivent fonctionner comme des conteneurs non privilégiés

[ECS.5] Les définitions de tâches ECS doivent configurer les conteneurs de manière à ce qu'ils soient limités à l'accès en lecture seule aux systèmes de fichiers racine

[ECS.8] Les secrets ne doivent pas être transmis en tant que variables d'environnement de conteneur

[ECS.9] Les définitions de tâches ECS doivent avoir une configuration de journalisation

[ECS.10] Les services ECS Fargate doivent fonctionner sur la dernière version de la plateforme Fargate

[ECS.12] Les clusters ECS doivent utiliser Container Insights

[ECS.16] Les ensembles de tâches ECS ne doivent pas attribuer automatiquement d'adresses IP publiques

[ECS.18] Les définitions de tâches ECS doivent utiliser le chiffrement en transit pour les volumes EFS

[ECS.19] Les fournisseurs de capacité ECS devraient avoir activé la protection des terminaisons gérée

[ECS.20] Les définitions de tâches ECS doivent configurer les utilisateurs non root dans les définitions de conteneurs Linux

[ECS.21] Les définitions de tâches ECS doivent configurer les utilisateurs non administrateurs dans les définitions de conteneurs Windows

[EFS.1] Le système de fichiers Elastic doit être configuré pour chiffrer les données des fichiers au repos à l'aide deAWS KMS

[EFS.2] Les volumes Amazon EFS doivent figurer dans des plans de sauvegarde

[EFS.3] Les points d'accès EFS doivent appliquer un répertoire racine

[EFS.4] Les points d'accès EFS doivent renforcer l'identité de l'utilisateur

[EFS.6] Les cibles de montage EFS ne doivent pas être associées à des sous-réseaux qui attribuent des adresses IP publiques au lancement

[EFS.7] Les sauvegardes automatiques des systèmes de fichiers EFS doivent être activées

[EFS.8] Les systèmes de fichiers EFS doivent être chiffrés au repos

[EKS.1] Les points de terminaison du cluster EKS ne doivent pas être accessibles au public

[EKS.2] Les clusters EKS doivent fonctionner sur une version de Kubernetes prise en charge

[EKS.3] Les clusters EKS doivent utiliser des secrets Kubernetes chiffrés

[EKS.8] La journalisation des audits doit être activée sur les clusters EKS

[EKS.9] Les groupes de nœuds EKS doivent fonctionner sur une version de Kubernetes prise en charge

[ElastiCache.1] Les sauvegardes automatiques des clusters ElastiCache (Redis OSS) doivent être activées

[ElastiCache.2] les mises à niveau automatiques des versions mineures devraient être activées sur les ElastiCache clusters

[ElastiCache.3] le basculement automatique doit être activé pour les groupes de ElastiCache réplication

[ElastiCache.4] les groupes de ElastiCache réplication doivent être chiffrés au repos

[ElastiCache.5] les groupes ElastiCache de réplication doivent être chiffrés pendant le transport

[ElastiCache.6] Les groupes de réplication ElastiCache (Redis OSS) des versions antérieures doivent avoir Redis OSS AUTH activé

[ElastiCache.7] les ElastiCache clusters ne doivent pas utiliser le groupe de sous-réseaux par défaut

[ElasticBeanstalk.1] Les environnements Elastic Beanstalk devraient avoir activé les rapports de santé améliorés

[ElasticBeanstalk.2] Les mises à jour de la plateforme gérée par Elastic Beanstalk doivent être activées

[ElasticBeanstalk.3] Elastic Beanstalk devrait diffuser les logs vers CloudWatch

[ELB.1] Application Load Balancer doit être configuré pour rediriger toutes les requêtes HTTP vers HTTPS

[ELB.2] Les équilibreurs de charge classiques avec SSL/HTTPS écouteurs doivent utiliser un certificat fourni parAWS Certificate Manager

[ELB.3] Les écouteurs Classic Load Balancer doivent être configurés avec une terminaison HTTPS ou TLS

[ELB.4] Application Load Balancer doit être configuré pour supprimer les en-têtes HTTP non valides

[ELB.5] La journalisation des applications et des équilibreurs de charge classiques doit être activée

[ELB.6] La protection contre les suppressions doit être activée sur les équilibreurs de charge des applications, des passerelles et du réseau

[ELB.7] La vidange des connexions doit être activée sur les équilibreurs de charge classiques

[ELB.8] Les équilibreurs de charge classiques dotés d'écouteurs SSL doivent utiliser une politique de sécurité prédéfinie qui repose surAWS Configdurée

[ELB.9] L'équilibrage de charge entre zones doit être activé sur les équilibreurs de charge classiques

[ELB.10] Le Classic Load Balancer doit couvrir plusieurs zones de disponibilité

[ELB.12] Application Load Balancer doit être configuré avec le mode défensif ou le mode d'atténuation de désynchronisation le plus strict

[ELB.13] Les équilibreurs de charge des applications, du réseau et des passerelles doivent couvrir plusieurs zones de disponibilité

[ELB.14] Le Classic Load Balancer doit être configuré avec le mode défensif ou le mode d'atténuation de désynchronisation le plus strict

[ELB.17] Les équilibreurs de charge des applications et du réseau dotés d'écouteurs doivent utiliser les politiques de sécurité recommandées

[ELB.18] Les auditeurs d'applications et de Network Load Balancer doivent utiliser des protocoles sécurisés pour chiffrer les données en transit

[ELB.21] Les groupes cibles d'applications et de Network Load Balancer doivent utiliser des protocoles de contrôle de santé cryptés

[ELB.22] Les groupes cibles de l'ELB doivent utiliser des protocoles de transport cryptés

[EMR.1] Les nœuds principaux du cluster Amazon EMR ne doivent pas avoir d'adresses IP publiques

[EMR.2] Le paramètre de blocage de l'accès public à Amazon EMR doit être activé

[EMR.3] Les configurations de sécurité Amazon EMR doivent être chiffrées au repos

[EMR.4] Les configurations de sécurité Amazon EMR doivent être cryptées pendant le transport

[ES.1] Le chiffrement au repos doit être activé dans les domaines Elasticsearch

[ES.2] Les domaines Elasticsearch ne doivent pas être accessibles au public

[ES.3] Les domaines Elasticsearch doivent chiffrer les données envoyées entre les nœuds

[ES.4] La journalisation des erreurs du domaine Elasticsearch dans les CloudWatch journaux doit être activée

[ES.5] La journalisation des audits doit être activée dans les domaines Elasticsearch

[ES.6] Les domaines Elasticsearch doivent comporter au moins trois nœuds de données

[ES.7] Les domaines Elasticsearch doivent être configurés avec au moins trois nœuds maîtres dédiés

[ES.8] Les connexions aux domaines Elasticsearch doivent être chiffrées conformément à la dernière politique de sécurité TLS

[EventBridge.3] les bus d'événements EventBridge personnalisés doivent être associés à une politique basée sur les ressources

[FSx.1] Les systèmes de fichiers FSx pour OpenZFS doivent être configurés pour copier les balises vers les sauvegardes et les volumes

[FSx.2] Les systèmes de fichiers FSx for Lustre doivent être configurés pour copier les balises dans les sauvegardes

[FSx.3] Les systèmes de fichiers FSx pour OpenZFS doivent être configurés pour le déploiement Multi-AZ

[FSx.4] Les systèmes de fichiers FSx pour NetApp ONTAP doivent être configurés pour le déploiement Multi-AZ

[FSx.5] Les systèmes de fichiers FSx for Windows File Server doivent être configurés pour Multi-AZ le déploiement

[Glue.3]AWS Glueles transformations de machine learning doivent être cryptées au repos

[Glue.4]AWS GlueLes tâches Spark doivent s'exécuter sur les versions prises en charge deAWS Glue

[GuardDuty.1] GuardDuty doit être activé

[GuardDuty.5] La surveillance du journal d'audit GuardDuty EKS doit être activée

[GuardDuty.6] La protection GuardDuty Lambda doit être activée

[GuardDuty.7] La surveillance du temps d'exécution GuardDuty EKS doit être activée

[GuardDuty.8] La protection contre les GuardDuty programmes malveillants pour EC2 doit être activée

[GuardDuty.9] GuardDuty La protection RDS doit être activée

[GuardDuty.10] La protection GuardDuty S3 doit être activée

[GuardDuty.11] La surveillance du temps GuardDuty d'exécution doit être activée

[GuardDuty.12] La surveillance du temps d'exécution GuardDuty ECS doit être activée

[GuardDuty.13] GuardDuty La surveillance du temps d'exécution EC2 doit être activée

[IAM.1] Les politiques IAM ne doivent pas autoriser des privilèges administratifs « * » complets

[IAM.2] Les utilisateurs IAM ne doivent pas être associés à des politiques IAM

[IAM.3] Les clés d'accès des utilisateurs IAM doivent être renouvelées tous les 90 jours ou moins

[IAM.4] La clé d'accès de l'utilisateur root IAM ne doit pas exister

[IAM.5] La MFA doit être activée pour tous les utilisateurs IAM disposant d'un mot de passe de console

[IAM.6] Le MFA matériel doit être activé pour l'utilisateur root

[IAM.7] Les politiques de mot de passe pour les utilisateurs IAM doivent avoir des configurations strictes

[IAM.8] Les informations d'identification utilisateur IAM non utilisées doivent être supprimées

[IAM.21] Les politiques gérées par le client IAM que vous créez ne doivent pas autoriser les actions génériques pour les services

[Inspector.1] La numérisation Amazon Inspector EC2 doit être activée

[Inspector.2] La numérisation ECR d'Amazon Inspector doit être activée

[Inspector.3] La numérisation du code Lambda par Amazon Inspector doit être activée

[Inspector.4] Le scan standard Amazon Inspector Lambda doit être activé

[Kinesis.1] Les flux Kinesis doivent être chiffrés au repos

[Kinesis.3] Les flux Kinesis doivent avoir une période de conservation des données adéquate

[KMS.1] Les politiques gérées par le client IAM ne doivent pas autoriser les actions de déchiffrement sur toutes les clés KMS

[KMS.2] Les principaux IAM ne devraient pas avoir de politiques IAM en ligne autorisant les actions de déchiffrement sur toutes les clés KMS

[KMS.3]AWS KMS keysne doit pas être supprimé par inadvertance

[KMS.5] Les clés KMS ne doivent pas être accessibles au public

[Lambda.1] Les politiques relatives à la fonction Lambda devraient interdire l'accès public

[Lambda.2] Les fonctions Lambda doivent utiliser des environnements d'exécution pris en charge

[Lambda.5] Les fonctions VPC Lambda doivent fonctionner dans plusieurs zones de disponibilité

[Macie.1] Amazon Macie devrait être activé

[Macie.2] La découverte automatique des données sensibles par Macie doit être activée

[MQ.2] Les courtiers ActiveMQ doivent diffuser les journaux d'audit à CloudWatch

[MSK.1] Les clusters MSK doivent être chiffrés lors du transit entre les nœuds du courtier

[MSK.3] Les connecteurs MSK Connect doivent être chiffrés pendant le transport

[MSK.4] L'accès public aux clusters MSK doit être désactivé

[MSK.5] La journalisation des connecteurs MSK doit être activée

[MSK.6] Les clusters MSK doivent désactiver l'accès non authentifié

[Neptune.1] Les clusters de base de données Neptune doivent être chiffrés au repos

[Neptune.2] Les clusters de base de données Neptune doivent publier les journaux d'audit dans Logs CloudWatch

[Neptune.3] Les instantanés du cluster de base de données Neptune ne doivent pas être publics

[Neptune.4] La protection contre la suppression des clusters de base de données Neptune doit être activée

[Neptune.5] Les sauvegardes automatiques des clusters de base de données Neptune doivent être activées

[Neptune.6] Les instantanés du cluster de base de données Neptune doivent être chiffrés au repos

[Neptune.7] L'authentification de base de données IAM doit être activée pour les clusters de base de données Neptune

[Neptune.8] Les clusters de base de données Neptune doivent être configurés pour copier des balises dans des instantanés

[NetworkFirewall.2] La journalisation du Network Firewall doit être activée

[NetworkFirewall.3] Les politiques de Network Firewall doivent être associées à au moins un groupe de règles

[NetworkFirewall.4] L'action apatride par défaut pour les politiques de Network Firewall doit être « drop » ou « forward » pour les paquets complets.

[NetworkFirewall.5] L'action apatride par défaut pour les politiques de Network Firewall doit être « drop » ou « forward » pour les paquets fragmentés.

[NetworkFirewall.6] Le groupe de règles Stateless Network Firewall ne doit pas être vide

[NetworkFirewall.9] La protection contre les suppressions doit être activée sur les pare-feux Network Firewall

[NetworkFirewall.10] La protection contre les modifications de sous-réseau doit être activée sur les pare-feux Network Firewall

[Opensearch.1] le chiffrement au repos doit être activé dans les OpenSearch domaines

[Opensearch.2] OpenSearch les domaines ne doivent pas être accessibles au public

[Opensearch.3] OpenSearch les domaines doivent crypter les données envoyées entre les nœuds

[Opensearch.4] la journalisation des erreurs de OpenSearch domaine dans CloudWatch Logs doit être activée

[Opensearch.5] la journalisation des audits doit être activée dans les OpenSearch domaines

[Opensearch.6] OpenSearch les domaines doivent avoir au moins trois nœuds de données

[Opensearch.7] le contrôle d'accès détaillé des OpenSearch domaines doit être activé

[Opensearch.8] Les connexions aux OpenSearch domaines doivent être cryptées selon la dernière politique de sécurité TLS

[Opensearch.10] OpenSearch les domaines doivent avoir la dernière mise à jour logicielle installée

[PCA.1]AWS CA privéel'autorité de certification racine doit être désactivée

[Route53.2] Les zones hébergées publiques de Route 53 doivent enregistrer les requêtes DNS

[RDS.1] L'instantané RDS doit être privé

[RDS.2] Les instances de base de données RDS doivent interdire l'accès public, tel que déterminé par la configuration PubliclyAccessible

[RDS.3] Le chiffrement au repos doit être activé sur les instances de base de données RDS

[RDS.4] Les instantanés du cluster RDS et les instantanés de base de données doivent être chiffrés au repos

[RDS.5] Les instances de base de données RDS doivent être configurées avec plusieurs zones de disponibilité

[RDS.6] Une surveillance améliorée doit être configurée pour les instances de base de données RDS

[RDS.7] La protection contre la suppression des clusters RDS doit être activée

[RDS.8] La protection contre la suppression des instances de base de données RDS doit être activée

[RDS.9] Les instances de base de données RDS doivent publier les journaux dans Logs CloudWatch

[RDS.10] L'authentification IAM doit être configurée pour les instances RDS

[RDS.11] Les sauvegardes automatiques doivent être activées sur les instances RDS

[RDS.12] L'authentification IAM doit être configurée pour les clusters RDS

[RDS.13] Les mises à niveau automatiques des versions mineures de RDS doivent être activées

[RDS.14] Le retour en arrière doit être activé sur les clusters Amazon Aurora

[RDS.15] Les clusters de base de données RDS doivent être configurés pour plusieurs zones de disponibilité

[RDS.16] Les clusters de base de données Aurora doivent être configurés pour copier des balises dans des instantanés de base de données

[RDS.17] Les instances de base de données RDS doivent être configurées pour copier des balises dans des instantanés

[RDS.19] Les abonnements existants aux notifications d'événements RDS doivent être configurés pour les événements critiques du cluster

[RDS.20] Les abonnements existants aux notifications d'événements RDS doivent être configurés pour les événements critiques liés aux instances de base de données

[RDS.21] Un abonnement aux notifications d'événements RDS doit être configuré pour les événements critiques liés aux groupes de paramètres de base de données

[RDS.22] Un abonnement aux notifications d'événements RDS doit être configuré pour les événements critiques des groupes de sécurité de base de données

[RDS.23] Les instances RDS ne doivent pas utiliser de port par défaut du moteur de base de données

[RDS.24] Les clusters de base de données RDS doivent utiliser un nom d'utilisateur d'administrateur personnalisé

[RDS.25] Les instances de base de données RDS doivent utiliser un nom d'utilisateur d'administrateur personnalisé

[RDS.27] Les clusters de base de données RDS doivent être chiffrés au repos

[RDS.34] Les clusters de base de données Aurora MySQL doivent publier les journaux d'audit dans CloudWatch Logs

[RDS.35] La mise à niveau automatique des versions mineures des clusters de base de données RDS doit être activée

[RDS.36] Les instances de base de données RDS pour PostgreSQL doivent publier les journaux dans Logs CloudWatch

[RDS.37] Les clusters de base de données Aurora PostgreSQL doivent publier les journaux dans Logs CloudWatch

[RDS.40] Les instances de base de données RDS pour SQL Server doivent publier les journaux dans Logs CloudWatch

[RDS.41] Les instances de base de données RDS pour SQL Server doivent être chiffrées pendant le transit

[RDS.42] Les instances de base de données RDS pour MariaDB doivent publier les journaux dans Logs CloudWatch

[RDS.43] Les proxys de base de données RDS doivent exiger le cryptage TLS pour les connexions

[RDS.44] Les instances de base de données RDS pour MariaDB doivent être chiffrées pendant le transit

[RDS.45] La journalisation des audits doit être activée sur les clusters de base de données Aurora MySQL

[RDS.46] Les instances de base de données RDS ne doivent pas être déployées dans des sous-réseaux publics dotés de routes vers des passerelles Internet

[RDS.47] Les clusters de base de données RDS pour PostgreSQL doivent être configurés pour copier des balises dans des instantanés de base de données

[RDS.48] Les clusters de base de données RDS pour MySQL doivent être configurés pour copier des balises dans des instantanés de base de données

[RDS.50] Les clusters de base de données RDS doivent avoir une période de rétention des sauvegardes suffisamment définie

[RDS.51] Les clusters globaux RDS doivent s'exécuter sur une version d'Aurora MySQL prise en charge

[Redshift.1] Les clusters Amazon Redshift devraient interdire l'accès public

[Redshift.2] Les connexions aux clusters Amazon Redshift doivent être chiffrées pendant le transit

[Redshift.3] Les snapshots automatiques doivent être activés sur les clusters Amazon Redshift

[Redshift.4] La journalisation des audits doit être activée sur les clusters Amazon Redshift

[Redshift.6] Amazon Redshift devrait activer les mises à niveau automatiques vers les versions majeures

[Redshift.7] Les clusters Redshift doivent utiliser un routage VPC amélioré

[Redshift.8] Les clusters Amazon Redshift ne doivent pas utiliser le nom d'utilisateur d'administrateur par défaut

[Redshift.10] Les clusters Redshift doivent être chiffrés au repos

[Redshift.15] Les groupes de sécurité Redshift doivent autoriser l'entrée sur le port du cluster uniquement à partir d'origines restreintes

[Redshift.18] Les déploiements doivent être activés pour les clusters Redshift Multi-AZ

[RedshiftServerless.1] Les groupes de travail Amazon Redshift Serverless doivent utiliser un routage VPC amélioré

[RedshiftServerless.2] Les connexions aux groupes de travail Redshift Serverless doivent être requises pour utiliser le protocole SSL

[RedshiftServerless.3] Les groupes de travail Redshift Serverless devraient interdire l'accès public

[RedshiftServerless.5] Les espaces de noms Redshift Serverless ne doivent pas utiliser le nom d'utilisateur administrateur par défaut

[RedshiftServerless.6] Les espaces de noms Redshift Serverless doivent exporter les journaux vers Logs CloudWatch

[S3.1] Les paramètres de blocage de l'accès public aux compartiments S3 à usage général doivent être activés

[S3.2] Les compartiments à usage général S3 devraient bloquer l'accès public à la lecture

[S3.3] Les compartiments à usage général S3 devraient bloquer l'accès public en écriture

[S3.5] Les compartiments à usage général S3 devraient nécessiter des demandes d'utilisation du protocole SSL

[S3.6] Les politiques générales relatives aux compartiments S3 devraient restreindre l'accès à d'autresComptes AWS

[S3.8] Les compartiments à usage général S3 devraient bloquer l'accès public

[S3.9] La journalisation des accès au serveur doit être activée dans les compartiments S3 à usage général

[S3.12] Les ACL ne doivent pas être utilisées pour gérer l'accès des utilisateurs aux compartiments S3 à usage général

[S3.13] Les compartiments à usage général S3 doivent avoir des configurations de cycle de vie

[S3.19] Les paramètres de blocage de l'accès public doivent être activés sur les points d'accès S3

[S3.24] Les paramètres de blocage de Multi-Region l'accès public aux points d'accès S3 doivent être activés

[S3.25] Les compartiments de répertoire S3 doivent avoir des configurations de cycle de vie

[SageMaker.1] Les instances d'Amazon SageMaker Notebook ne doivent pas avoir d'accès direct à Internet

[SageMaker.2] les instances de SageMaker bloc-notes doivent être lancées dans un VPC personnalisé

[SageMaker.3] Les utilisateurs ne doivent pas avoir d'accès root aux instances de SageMaker bloc-notes

[SageMaker.4] Les variantes de production de SageMaker terminaux doivent avoir un nombre initial d'instances supérieur à 1

[SageMaker.5] l'isolation du réseau doit être activée sur les SageMaker modèles

[SageMaker.8] les instances de SageMaker bloc-notes doivent fonctionner sur les plateformes prises en charge

[SageMaker.9] le chiffrement du trafic inter-conteneurs doit être activé dans les définitions des tâches liées à la qualité des SageMaker données

[SageMaker.10] le chiffrement du trafic inter-conteneurs doit être activé dans les définitions des tâches d'explicabilité du SageMaker modèle

[SageMaker.11] l'isolation du réseau doit être activée dans les définitions des tâches liées à la qualité des SageMaker données

[SageMaker.12] les définitions des tâches liées au biais du SageMaker modèle doivent avoir l'isolation du réseau activée

[SageMaker.13] le chiffrement du trafic inter-conteneurs doit être activé dans les définitions de tâches liées à la qualité du SageMaker modèle

[SageMaker.14] l'isolation du réseau doit être activée dans les plannings de SageMaker surveillance

[SageMaker.15] le chiffrement du trafic inter-conteneurs doit être activé dans les définitions des tâches liées au biais du SageMaker modèle

[SageMaker.16] SageMaker les modèles doivent utiliser un registre privé dans le VPC pour les conteneurs principaux

[SageMaker.17] les boutiques hors ligne du groupe de SageMaker fonctionnalités doivent être cryptées avecAWS KMSclés

[SageMaker.19] SageMaker les modèles doivent utiliser un registre privé dans le VPC pour les pipelines d'inférence multi-conteneurs

[SecretsManager.1] La rotation automatique des secrets des secrets de Secrets Manager doit être activée

[SecretsManager.2] Les secrets de Secrets Manager configurés avec une rotation automatique devraient être correctement pivotés

[SecretsManager.3] Supprimer les secrets inutilisés du Gestionnaire de Secrets

[SecretsManager.4] Les secrets de Secrets Manager doivent être renouvelés dans un délai spécifié

[ServiceCatalog.1] Les portefeuilles de Service Catalog doivent être partagés au sein d'unAWSorganisation uniquement

[SES.3] Les ensembles de configuration SES doivent avoir le protocole TLS activé pour l'envoi d'e-mails

[SNS.4] Les politiques d'accès aux rubriques du SNS ne devraient pas autoriser l'accès public

[SQS.1] Les files d'attente Amazon SQS doivent être chiffrées au repos

[SQS.3] Les politiques d'accès aux files d'attente SQS ne doivent pas autoriser l'accès public

[SSM.1] Les instances Amazon EC2 doivent être gérées parAWS Systems Manager

[SSM.2] Les instances Amazon EC2 gérées par Systems Manager doivent avoir un statut de conformité aux correctifs de COMPLIANT après l'installation d'un correctif

[SSM.3] Les instances Amazon EC2 gérées par Systems Manager doivent avoir le statut de conformité des associations COMPLIANT

[SSM.4] Les documents SSM ne doivent pas être publics

[SSM.6] La CloudWatch journalisation devrait être activée dans SSM Automation

[SSM.7] Le paramètre de blocage du partage public doit être activé pour les documents SSM

[StepFunctions.1] La journalisation des machines à états Step Functions doit être activée

[Transfer.2] Les serveurs Transfer Family ne doivent pas utiliser le protocole FTP pour la connexion des terminaux

[Transfer.3] La journalisation des connecteurs Transfer Family doit être activée

[WAF.1]AWS WAFLa journalisation classique de l'ACL Web globale doit être activée

[WAF.2]AWS WAFLes règles régionales classiques doivent comporter au moins une condition

[WAF.3]AWS WAFLes groupes de règles régionaux classiques doivent avoir au moins une règle

[WAF.4]AWS WAFLes ACL Web régionales classiques doivent comporter au moins une règle ou un groupe de règles

[WAF.6]AWS WAFLes règles globales classiques doivent comporter au moins une condition

[WAF.7]AWS WAFLes groupes de règles globaux classiques doivent comporter au moins une règle

[WAF.8]AWS WAFLes ACL Web globales classiques doivent comporter au moins une règle ou un groupe de règles

[WAF.10]AWS WAFLes ACL Web doivent avoir au moins une règle ou un groupe de règles

[WAF.12]AWS WAFles CloudWatch métriques doivent être activées pour les règles

[WorkSpaces.1] les volumes WorkSpaces d'utilisateurs doivent être chiffrés au repos

[WorkSpaces.2] les volumes WorkSpaces racine doivent être chiffrés au repos