Limites régionales des contrôles CSPM du Security Hub

[ElastiCache.4] les groupes de ElastiCache réplication doivent être chiffrés au repos

[ElastiCache.5] les groupes ElastiCache de réplication doivent être chiffrés pendant le transport

[ElastiCache.6] Les groupes de réplication ElastiCache (Redis OSS) des versions antérieures doivent avoir Redis OSS AUTH activé

[ElastiCache.7] les ElastiCache clusters ne doivent pas utiliser le groupe de sous-réseaux par défaut

[GlobalAccelerator.1] Les accélérateurs Global Accelerator doivent être étiquetés

[S3.24] Les paramètres de blocage de Multi-Region l'accès public aux points d'accès S3 doivent être activés

[AppSync.1]AWS AppSyncLes caches d'API doivent être chiffrés au repos

[AppSync.6]AWS AppSyncLes caches d'API doivent être chiffrés pendant le transport

[CloudFront.1] CloudFront les distributions doivent avoir un objet racine configuré par défaut

[CloudFront.3] CloudFront les distributions devraient nécessiter un cryptage en transit

[CloudFront.4] CloudFront les distributions doivent avoir le basculement d'origine configuré

[CloudFront.5] CloudFront les distributions doivent avoir la journalisation activée

[CloudFront.6] CloudFront les distributions doivent avoir le WAF activé

[CloudFront.7] CloudFront les distributions doivent utiliser des SSL/TLS certificats personnalisés

[CloudFront.8] CloudFront les distributions doivent utiliser le SNI pour traiter les requêtes HTTPS

[CloudFront.9] CloudFront les distributions doivent crypter le trafic vers des origines personnalisées

[CloudFront.10] CloudFront les distributions ne doivent pas utiliser de protocoles SSL obsolètes entre les emplacements périphériques et les origines personnalisées

[CloudFront.12] CloudFront les distributions ne doivent pas pointer vers des origines S3 inexistantes

[CloudFront.13] CloudFront les distributions doivent utiliser le contrôle d'accès à l'origine

[CloudFront.14] les CloudFront distributions doivent être étiquetées

[CloudFront.15] CloudFront les distributions doivent utiliser la politique de sécurité TLS recommandée

[CloudFront.16] CloudFront les distributions doivent utiliser le contrôle d'accès à l'origine pour les origines des URL des fonctions Lambda

[CloudFront.17] CloudFront les distributions doivent utiliser des groupes de clés fiables pour les URL signées et les cookies

[Connect.1] Les types d'objets des profils clients Amazon Connect doivent être balisés

[Connect.2] La CloudWatch journalisation des instances Connect Customer doit être activée

[EC2.24] Les types d'instances paravirtuelles Amazon EC2 ne doivent pas être utilisés

[EC2.173] Les demandes EC2 Spot Fleet avec paramètres de lancement doivent permettre le chiffrement des volumes EBS attachés

[ECR.4] Les référentiels publics ECR doivent être étiquetés

[GlobalAccelerator.1] Les accélérateurs Global Accelerator doivent être étiquetés

[IAM.26] SSL/TLS Les certificats expirés gérés dans IAM doivent être supprimés

[IoTTwinMaker.1]AWSLes tâches de TwinMaker synchronisation de l'IoT doivent être étiquetées

[IoTTwinMaker.2]AWSLes TwinMaker espaces de travail IoT doivent être étiquetés

[IoTTwinMaker.3]AWSLes TwinMaker scènes IoT doivent être étiquetées

[IoTTwinMaker.4]AWS TwinMaker Les entités IoT doivent être étiquetées

[IoTWireless.1]AWSLes groupes de multidiffusion IoT Wireless doivent être étiquetés

[IoTWireless.2]AWSLes profils de service IoT Wireless doivent être balisés

[IoTWireless.3]AWSLes tâches IoT FUOTA doivent être étiquetées

[IVS.1] Les paires de clés de lecture IVS doivent être étiquetées

[IVS.2] Les configurations d'enregistrement IVS doivent être étiquetées

[IVS.3] Les canaux IVS doivent être balisés

[RDS.31] Les groupes de sécurité RDS DB doivent être balisés

[Route53.1] Les bilans de santé de la Route 53 doivent être étiquetés

[Route53.2] Les zones hébergées publiques de Route 53 doivent enregistrer les requêtes DNS

[S3.24] Les paramètres de blocage de Multi-Region l'accès public aux points d'accès S3 doivent être activés

[WAF.1]AWS WAFLa journalisation classique de l'ACL Web globale doit être activée

[WAF.6]AWS WAFLes règles globales classiques doivent comporter au moins une condition

[WAF.7]AWS WAFLes groupes de règles globaux classiques doivent comporter au moins une règle

[WAF.8]AWS WAFLes ACL Web globales classiques doivent comporter au moins une règle ou un groupe de règles

[WorkSpaces.1] les volumes WorkSpaces d'utilisateurs doivent être chiffrés au repos

[WorkSpaces.2] les volumes WorkSpaces racine doivent être chiffrés au repos

[AppRunner.1] Les services App Runner doivent être balisés

[AppRunner.2] Les connecteurs VPC App Runner doivent être étiquetés

[AppSync.1]AWS AppSyncLes caches d'API doivent être chiffrés au repos

[AppSync.6]AWS AppSyncLes caches d'API doivent être chiffrés pendant le transport

[BedrockAgentCore.1] Les environnements d' AgentCore exécution de Bedrock doivent être configurés en mode réseau VPC

[BedrockAgentCore.2] Bedrock AgentCore Gateways devrait exiger une autorisation pour les demandes entrantes

[BedrockAgentCore.3] La AgentCore mémoire Bedrock doit être cryptée et gérée par le clientAWS KMSclés

[BedrockAgentCore.4] La AgentCore passerelle Bedrock doit être cryptée et gérée par le clientAWS KMSclés

[BedrockAgentCore.5] Les navigateurs AgentCore personnalisés de Bedrock ne doivent pas utiliser le mode réseau public

[BedrockAgentCore.6] L'enregistrement de session devrait être activé dans les navigateurs AgentCore personnalisés Bedrock

[CloudFront.1] CloudFront les distributions doivent avoir un objet racine configuré par défaut

[CloudFront.3] CloudFront les distributions devraient nécessiter un cryptage en transit

[CloudFront.4] CloudFront les distributions doivent avoir le basculement d'origine configuré

[CloudFront.5] CloudFront les distributions doivent avoir la journalisation activée

[CloudFront.6] CloudFront les distributions doivent avoir le WAF activé

[CloudFront.7] CloudFront les distributions doivent utiliser des SSL/TLS certificats personnalisés

[CloudFront.8] CloudFront les distributions doivent utiliser le SNI pour traiter les requêtes HTTPS

[CloudFront.9] CloudFront les distributions doivent crypter le trafic vers des origines personnalisées

[CloudFront.10] CloudFront les distributions ne doivent pas utiliser de protocoles SSL obsolètes entre les emplacements périphériques et les origines personnalisées

[CloudFront.12] CloudFront les distributions ne doivent pas pointer vers des origines S3 inexistantes

[CloudFront.13] CloudFront les distributions doivent utiliser le contrôle d'accès à l'origine

[CloudFront.14] les CloudFront distributions doivent être étiquetées

[CloudFront.15] CloudFront les distributions doivent utiliser la politique de sécurité TLS recommandée

[CloudFront.16] CloudFront les distributions doivent utiliser le contrôle d'accès à l'origine pour les origines des URL des fonctions Lambda

[CloudFront.17] CloudFront les distributions doivent utiliser des groupes de clés fiables pour les URL signées et les cookies

[CodeArtifact.1] les CodeArtifact référentiels doivent être balisés

[CodeGuruProfiler.1] Les groupes de CodeGuru profilage de profileurs doivent être balisés

[CodeGuruReviewer.1] Les associations de référentiels des CodeGuru réviseurs doivent être étiquetées

[Connect.1] Les types d'objets des profils clients Amazon Connect doivent être balisés

[Connect.2] La CloudWatch journalisation des instances Connect Customer doit être activée

[DocumentDB.1] Les clusters Amazon DocumentDB doivent être chiffrés au repos

[DocumentDB.2] Les clusters Amazon DocumentDB doivent disposer d'une période de conservation des sauvegardes adéquate

[DocumentDB.3] Les instantanés de cluster manuels Amazon DocumentDB ne doivent pas être publics

[DocumentDB.4] Les clusters Amazon DocumentDB doivent publier les journaux d'audit dans Logs CloudWatch

[DocumentDB.5] La protection contre la suppression des clusters Amazon DocumentDB doit être activée

[DocumentDB.6] Les clusters Amazon DocumentDB doivent être chiffrés pendant le transport

[EC2.173] Les demandes EC2 Spot Fleet avec paramètres de lancement doivent permettre le chiffrement des volumes EBS attachés

[ECR.4] Les référentiels publics ECR doivent être étiquetés

[FraudDetector.1] Les types d'entités Amazon Fraud Detector doivent être balisés

[FraudDetector.2] Les étiquettes Amazon Fraud Detector doivent être étiquetées

[FraudDetector.3] Les résultats d'Amazon Fraud Detector doivent être étiquetés

[FraudDetector.4] Les variables Amazon Fraud Detector doivent être étiquetées

[GlobalAccelerator.1] Les accélérateurs Global Accelerator doivent être étiquetés

[IAM.26] SSL/TLS Les certificats expirés gérés dans IAM doivent être supprimés

[Inspector.3] La numérisation du code Lambda par Amazon Inspector doit être activée

[IoTSiteWise.1]AWSLes modèles SiteWise d'actifs IoT devraient être étiquetés

[IoTSiteWise.2]AWS SiteWise Les tableaux de bord de l'IoT doivent être balisés

[IoTSiteWise.3]AWS SiteWise Les passerelles IoT doivent être étiquetées

[IoTSiteWise.4]AWS SiteWise Les portails IoT doivent être étiquetés

[IoTSiteWise.5]AWS SiteWise Les projets IoT doivent être étiquetés

[IoTTwinMaker.1]AWSLes tâches de TwinMaker synchronisation de l'IoT doivent être étiquetées

[IoTTwinMaker.2]AWSLes TwinMaker espaces de travail IoT doivent être étiquetés

[IoTTwinMaker.3]AWSLes TwinMaker scènes IoT doivent être étiquetées

[IoTTwinMaker.4]AWS TwinMaker Les entités IoT doivent être étiquetées

[IoTWireless.1]AWSLes groupes de multidiffusion IoT Wireless doivent être étiquetés

[IoTWireless.2]AWSLes profils de service IoT Wireless doivent être balisés

[IoTWireless.3]AWSLes tâches IoT FUOTA doivent être étiquetées

[IVS.1] Les paires de clés de lecture IVS doivent être étiquetées

[IVS.2] Les configurations d'enregistrement IVS doivent être étiquetées

[IVS.3] Les canaux IVS doivent être balisés

[RDS.35] La mise à niveau automatique des versions mineures des clusters de bases de données RDS doit être activée

[RDS.47] Les clusters de bases de données RDS pour PostgreSQL doivent être configurés pour copier les balises dans les instantanés de base de données

[RDS.48] Les clusters de bases de données RDS pour MySQL doivent être configurés pour copier les balises dans les instantanés de base de données

[Redshift.18] Les déploiements doivent être activés pour les clusters Redshift Multi-AZ

[Route53.1] Les bilans de santé de la Route 53 doivent être étiquetés

[Route53.2] Les zones hébergées publiques de Route 53 doivent enregistrer les requêtes DNS

[S3.24] Les paramètres de blocage de Multi-Region l'accès public aux points d'accès S3 doivent être activés

[S3.25] Les compartiments de répertoire S3 doivent avoir des configurations de cycle de vie

[WAF.1]AWS WAFLa journalisation classique de l'ACL Web globale doit être activée

[WAF.6]AWS WAFLes règles globales classiques doivent comporter au moins une condition

[WAF.7]AWS WAFLes groupes de règles globaux classiques doivent comporter au moins une règle

[WAF.8]AWS WAFLes ACL Web globales classiques doivent comporter au moins une règle ou un groupe de règles

[WorkSpaces.1] les volumes WorkSpaces d'utilisateurs doivent être chiffrés au repos

[WorkSpaces.2] les volumes WorkSpaces racine doivent être chiffrés au repos

[AppSync.1]AWS AppSyncLes caches d'API doivent être chiffrés au repos

[AppSync.6]AWS AppSyncLes caches d'API doivent être chiffrés pendant le transport

[BedrockAgentCore.3] La AgentCore mémoire Bedrock doit être cryptée et gérée par le clientAWS KMSclés

[CloudFront.1] CloudFront les distributions doivent avoir un objet racine configuré par défaut

[CloudFront.3] CloudFront les distributions devraient nécessiter un cryptage en transit

[CloudFront.4] CloudFront les distributions doivent avoir le basculement d'origine configuré

[CloudFront.5] CloudFront les distributions doivent avoir la journalisation activée

[CloudFront.6] CloudFront les distributions doivent avoir le WAF activé

[CloudFront.7] CloudFront les distributions doivent utiliser des SSL/TLS certificats personnalisés

[CloudFront.8] CloudFront les distributions doivent utiliser le SNI pour traiter les requêtes HTTPS

[CloudFront.9] CloudFront les distributions doivent crypter le trafic vers des origines personnalisées

[CloudFront.10] CloudFront les distributions ne doivent pas utiliser de protocoles SSL obsolètes entre les emplacements périphériques et les origines personnalisées

[CloudFront.12] CloudFront les distributions ne doivent pas pointer vers des origines S3 inexistantes

[CloudFront.13] CloudFront les distributions doivent utiliser le contrôle d'accès à l'origine

[CloudFront.14] les CloudFront distributions doivent être étiquetées

[CloudFront.15] CloudFront les distributions doivent utiliser la politique de sécurité TLS recommandée

[CloudFront.16] CloudFront les distributions doivent utiliser le contrôle d'accès à l'origine pour les origines des URL des fonctions Lambda

[CloudFront.17] CloudFront les distributions doivent utiliser des groupes de clés fiables pour les URL signées et les cookies

[EC2.173] Les demandes EC2 Spot Fleet avec paramètres de lancement doivent permettre le chiffrement des volumes EBS attachés

[ECR.4] Les référentiels publics ECR doivent être étiquetés

[IAM.26] SSL/TLS Les certificats expirés gérés dans IAM doivent être supprimés

[Route53.1] Les bilans de santé de la Route 53 doivent être étiquetés

[Route53.2] Les zones hébergées publiques de Route 53 doivent enregistrer les requêtes DNS

[WAF.1]AWS WAFLa journalisation classique de l'ACL Web globale doit être activée

[WAF.6]AWS WAFLes règles globales classiques doivent comporter au moins une condition

[WAF.7]AWS WAFLes groupes de règles globaux classiques doivent comporter au moins une règle

[WAF.8]AWS WAFLes ACL Web globales classiques doivent comporter au moins une règle ou un groupe de règles

[Amplify.1] Les applications Amplify doivent être étiquetées

[Amplify.2] Les branches Amplify doivent être étiquetées

[AppRunner.1] Les services App Runner doivent être balisés

[AppRunner.2] Les connecteurs VPC App Runner doivent être étiquetés

[AppSync.1]AWS AppSyncLes caches d'API doivent être chiffrés au repos

[AppSync.6]AWS AppSyncLes caches d'API doivent être chiffrés pendant le transport

[BedrockAgentCore.1] Les environnements d' AgentCore exécution de Bedrock doivent être configurés en mode réseau VPC

[BedrockAgentCore.2] Bedrock AgentCore Gateways devrait exiger une autorisation pour les demandes entrantes

[BedrockAgentCore.3] La AgentCore mémoire Bedrock doit être cryptée et gérée par le clientAWS KMSclés

[BedrockAgentCore.4] La AgentCore passerelle Bedrock doit être cryptée et gérée par le clientAWS KMSclés

[BedrockAgentCore.5] Les navigateurs AgentCore personnalisés de Bedrock ne doivent pas utiliser le mode réseau public

[BedrockAgentCore.6] L'enregistrement de session devrait être activé dans les navigateurs AgentCore personnalisés Bedrock

[CloudFront.1] CloudFront les distributions doivent avoir un objet racine configuré par défaut

[CloudFront.3] CloudFront les distributions devraient nécessiter un cryptage en transit

[CloudFront.4] CloudFront les distributions doivent avoir le basculement d'origine configuré

[CloudFront.5] CloudFront les distributions doivent avoir la journalisation activée

[CloudFront.6] CloudFront les distributions doivent avoir le WAF activé

[CloudFront.7] CloudFront les distributions doivent utiliser des SSL/TLS certificats personnalisés

[CloudFront.8] CloudFront les distributions doivent utiliser le SNI pour traiter les requêtes HTTPS

[CloudFront.9] CloudFront les distributions doivent crypter le trafic vers des origines personnalisées

[CloudFront.10] CloudFront les distributions ne doivent pas utiliser de protocoles SSL obsolètes entre les emplacements périphériques et les origines personnalisées

[CloudFront.12] CloudFront les distributions ne doivent pas pointer vers des origines S3 inexistantes

[CloudFront.13] CloudFront les distributions doivent utiliser le contrôle d'accès à l'origine

[CloudFront.14] les CloudFront distributions doivent être étiquetées

[CloudFront.15] CloudFront les distributions doivent utiliser la politique de sécurité TLS recommandée

[CloudFront.16] CloudFront les distributions doivent utiliser le contrôle d'accès à l'origine pour les origines des URL des fonctions Lambda

[CloudFront.17] CloudFront les distributions doivent utiliser des groupes de clés fiables pour les URL signées et les cookies

[CodeArtifact.1] les CodeArtifact référentiels doivent être balisés

[CodeGuruProfiler.1] Les groupes de CodeGuru profilage de profileurs doivent être balisés

[CodeGuruReviewer.1] Les associations de référentiels des CodeGuru réviseurs doivent être étiquetées

[Cognito.1] La protection contre les menaces des groupes d'utilisateurs Cognito doit être activée avec un mode d'application complète des fonctions pour l'authentification standard

[DMS.10] L'autorisation IAM doit être activée sur les points de terminaison DMS pour les bases de données Neptune

[DocumentDB.1] Les clusters Amazon DocumentDB doivent être chiffrés au repos

[DocumentDB.2] Les clusters Amazon DocumentDB doivent disposer d'une période de conservation des sauvegardes adéquate

[DocumentDB.3] Les instantanés de cluster manuels Amazon DocumentDB ne doivent pas être publics

[DocumentDB.4] Les clusters Amazon DocumentDB doivent publier les journaux d'audit dans Logs CloudWatch

[DocumentDB.5] La protection contre la suppression des clusters Amazon DocumentDB doit être activée

[DocumentDB.6] Les clusters Amazon DocumentDB doivent être chiffrés pendant le transport

[DynamoDB.3] Les clusters DynamoDB Accelerator (DAX) doivent être chiffrés au repos

[DynamoDB.7] Les clusters DynamoDB Accelerator doivent être chiffrés en transit

[EC2.4] Les instances EC2 arrêtées doivent être supprimées après une période spécifiée

[EC2.14] Les groupes de sécurité ne doivent pas autoriser l'entrée depuis la version 0.0.0. 0/0 ou : :/0 vers le port 3389

[EC2.24] Les types d'instances paravirtuelles Amazon EC2 ne doivent pas être utilisés

[EC2.58] Les VPC doivent être configurés avec un point de terminaison d'interface pour les contacts de Systems Manager Incident Manager

[EC2.60] Les VPC doivent être configurés avec un point de terminaison d'interface pour Systems Manager Incident Manager

[EC2.173] Les demandes EC2 Spot Fleet avec paramètres de lancement doivent permettre le chiffrement des volumes EBS attachés

[EC2.177] Les sessions EC2 Traffic Mirror doivent être étiquetées

[EC2.179] Les cibles du miroir de trafic EC2 doivent être étiquetées

[ECR.4] Les référentiels publics ECR doivent être étiquetés

[ELB.2] Les équilibreurs de charge classiques avec SSL/HTTPS écouteurs doivent utiliser un certificat fourni par AWS Certificate Manager

[ES.3] Les domaines Elasticsearch doivent crypter les données envoyées entre les nœuds

[EventBridge.4] la réplication des événements doit être activée sur les points de terminaison EventBridge globaux

[FraudDetector.1] Les types d'entités Amazon Fraud Detector doivent être balisés

[FraudDetector.2] Les étiquettes Amazon Fraud Detector doivent être étiquetées

[FraudDetector.3] Les résultats d'Amazon Fraud Detector doivent être étiquetés

[FraudDetector.4] Les variables Amazon Fraud Detector doivent être étiquetées

[GlobalAccelerator.1] Les accélérateurs Global Accelerator doivent être étiquetés

[IAM.18] Assurez-vous qu'un rôle de support a été créé pour gérer les incidents avecAWS Support

[IAM.26] SSL/TLS Les certificats expirés gérés dans IAM doivent être supprimés

[Inspector.3] La numérisation du code Lambda par Amazon Inspector doit être activée

[IoT.1]AWS IoT Device Defenderles profils de sécurité doivent être balisés

[IoT.2]AWS IoT Coreles mesures d'atténuation doivent être étiquetées

[IoT.3]AWS IoT Coreles dimensions doivent être étiquetées

[IoT.4]AWS IoT Coreles autorisateurs doivent être étiquetés

[IoT.5]AWS IoT Coreles alias de rôle doivent être balisés

[IoT.6]AWS IoT Coreles politiques doivent être étiquetées

[IoTSiteWise.1]AWSLes modèles SiteWise d'actifs IoT devraient être étiquetés

[IoTSiteWise.2]AWS SiteWise Les tableaux de bord de l'IoT doivent être balisés

[IoTSiteWise.3]AWS SiteWise Les passerelles IoT doivent être étiquetées

[IoTSiteWise.4]AWS SiteWise Les portails IoT doivent être étiquetés

[IoTSiteWise.5]AWS SiteWise Les projets IoT doivent être étiquetés

[IoTTwinMaker.1]AWSLes tâches de TwinMaker synchronisation de l'IoT doivent être étiquetées

[IoTTwinMaker.2]AWSLes TwinMaker espaces de travail IoT doivent être étiquetés

[IoTTwinMaker.3]AWSLes TwinMaker scènes IoT doivent être étiquetées

[IoTTwinMaker.4]AWS TwinMaker Les entités IoT doivent être étiquetées

[IoTWireless.1]AWSLes groupes de multidiffusion IoT Wireless doivent être étiquetés

[IoTWireless.2]AWSLes profils de service IoT Wireless doivent être balisés

[IoTWireless.3]AWSLes tâches IoT FUOTA doivent être étiquetées

[IVS.1] Les paires de clés de lecture IVS doivent être étiquetées

[IVS.2] Les configurations d'enregistrement IVS doivent être étiquetées

[IVS.3] Les canaux IVS doivent être balisés

[Keyspaces.1] Les espaces de touches Amazon Keyspaces doivent être balisés

[MSK.3] Les connecteurs MSK Connect doivent être chiffrés pendant le transport

[MSK.5] La journalisation des connecteurs MSK doit être activée

[RDS.1] L'instantané RDS doit être privé

[RDS.14] Le retour en arrière doit être activé sur les clusters Amazon Aurora

[RDS.31] Les groupes de sécurité RDS DB doivent être balisés

[RedshiftServerless.1] Les groupes de travail Amazon Redshift Serverless doivent utiliser un routage VPC amélioré

[RedshiftServerless.2] Les connexions aux groupes de travail Redshift Serverless doivent être requises pour utiliser le protocole SSL

[RedshiftServerless.3] Les groupes de travail Redshift Serverless devraient interdire l'accès public

[RedshiftServerless.4] Les espaces de noms Redshift Serverless doivent être chiffrés et gérés par le clientAWS KMS keys

[RedshiftServerless.5] Les espaces de noms Redshift Serverless ne doivent pas utiliser le nom d'utilisateur administrateur par défaut

[RedshiftServerless.6] Les espaces de noms Redshift Serverless doivent exporter les journaux vers Logs CloudWatch

[Route53.1] Les bilans de santé de la Route 53 doivent être étiquetés

[Route53.2] Les zones hébergées publiques de Route 53 doivent enregistrer les requêtes DNS

[S3.24] Les paramètres de blocage de Multi-Region l'accès public aux points d'accès S3 doivent être activés

[S3.25] Les compartiments de répertoire S3 doivent avoir des configurations de cycle de vie

[SageMaker.9] SageMaker les définitions de tâches relatives à la qualité des données doivent avoir le chiffrement du trafic inter-conteneurs activé

[SageMaker.10] les définitions de tâches d'explicabilité du SageMaker modèle doivent avoir le cryptage du trafic inter-conteneurs activé

[SageMaker.11] SageMaker les définitions de tâches relatives à la qualité des données doivent avoir l'isolation réseau activée

[SageMaker.12] les définitions de tâches liées au biais du SageMaker modèle doivent avoir l'isolation réseau activée

[SageMaker.13] les définitions de tâches de qualité des SageMaker modèles doivent avoir le cryptage du trafic inter-conteneurs activé

[SageMaker.14] les calendriers SageMaker de surveillance doivent avoir l'isolation réseau activée

[SageMaker.15] les définitions de tâches liées au biais du SageMaker modèle doivent avoir le cryptage du trafic inter-conteneurs activé

[WAF.1]AWS WAFLa journalisation classique de l'ACL Web globale doit être activée

[WAF.6]AWS WAFLes règles globales classiques doivent comporter au moins une condition

[WAF.7]AWS WAFLes groupes de règles globaux classiques doivent comporter au moins une règle

[WAF.8]AWS WAFLes ACL Web globales classiques doivent comporter au moins une règle ou un groupe de règles

[AppFlow.1] AppFlow Les flux Amazon doivent être balisés

[AppRunner.1] Les services App Runner doivent être balisés

[AppRunner.2] Les connecteurs VPC App Runner doivent être étiquetés

[AppSync.1]AWS AppSyncLes caches d'API doivent être chiffrés au repos

[AppSync.6]AWS AppSyncLes caches d'API doivent être chiffrés pendant le transport

[BedrockAgentCore.1] Les environnements d' AgentCore exécution de Bedrock doivent être configurés en mode réseau VPC

[BedrockAgentCore.2] Bedrock AgentCore Gateways devrait exiger une autorisation pour les demandes entrantes

[BedrockAgentCore.3] La AgentCore mémoire Bedrock doit être cryptée et gérée par le clientAWS KMSclés

[BedrockAgentCore.4] La AgentCore passerelle Bedrock doit être cryptée et gérée par le clientAWS KMSclés

[BedrockAgentCore.5] Les navigateurs AgentCore personnalisés de Bedrock ne doivent pas utiliser le mode réseau public

[BedrockAgentCore.6] L'enregistrement de session devrait être activé dans les navigateurs AgentCore personnalisés Bedrock

[CloudFront.1] CloudFront les distributions doivent avoir un objet racine configuré par défaut

[CloudFront.3] CloudFront les distributions devraient nécessiter un cryptage en transit

[CloudFront.4] CloudFront les distributions doivent avoir le basculement d'origine configuré

[CloudFront.5] CloudFront les distributions doivent avoir la journalisation activée

[CloudFront.6] CloudFront les distributions doivent avoir le WAF activé

[CloudFront.7] CloudFront les distributions doivent utiliser des SSL/TLS certificats personnalisés

[CloudFront.8] CloudFront les distributions doivent utiliser le SNI pour traiter les requêtes HTTPS

[CloudFront.9] CloudFront les distributions doivent crypter le trafic vers des origines personnalisées

[CloudFront.10] CloudFront les distributions ne doivent pas utiliser de protocoles SSL obsolètes entre les emplacements périphériques et les origines personnalisées

[CloudFront.12] CloudFront les distributions ne doivent pas pointer vers des origines S3 inexistantes

[CloudFront.13] CloudFront les distributions doivent utiliser le contrôle d'accès à l'origine

[CloudFront.14] les CloudFront distributions doivent être étiquetées

[CloudFront.15] CloudFront les distributions doivent utiliser la politique de sécurité TLS recommandée

[CloudFront.16] CloudFront les distributions doivent utiliser le contrôle d'accès à l'origine pour les origines des URL des fonctions Lambda

[CloudFront.17] CloudFront les distributions doivent utiliser des groupes de clés fiables pour les URL signées et les cookies

[CodeArtifact.1] les CodeArtifact référentiels doivent être balisés

[CodeGuruProfiler.1] Les groupes de CodeGuru profilage de profileurs doivent être balisés

[CodeGuruReviewer.1] Les associations de référentiels des CodeGuru réviseurs doivent être étiquetées

[Cognito.1] La protection contre les menaces des groupes d'utilisateurs Cognito doit être activée avec un mode d'application complète des fonctions pour l'authentification standard

[Connect.1] Les types d'objets des profils clients Amazon Connect doivent être balisés

[Connect.2] La CloudWatch journalisation des instances Connect Customer doit être activée

[DynamoDB.3] Les clusters DynamoDB Accelerator (DAX) doivent être chiffrés au repos

[DynamoDB.7] Les clusters DynamoDB Accelerator doivent être chiffrés en transit

[EC2.24] Les types d'instances paravirtuelles Amazon EC2 ne doivent pas être utilisés

[EC2.58] Les VPC doivent être configurés avec un point de terminaison d'interface pour les contacts de Systems Manager Incident Manager

[EC2.60] Les VPC doivent être configurés avec un point de terminaison d'interface pour Systems Manager Incident Manager

[EC2.173] Les demandes EC2 Spot Fleet avec paramètres de lancement doivent permettre le chiffrement des volumes EBS attachés

[ECR.4] Les référentiels publics ECR doivent être étiquetés

[EventBridge.4] la réplication des événements doit être activée sur les points de terminaison EventBridge globaux

[FraudDetector.1] Les types d'entités Amazon Fraud Detector doivent être balisés

[FraudDetector.2] Les étiquettes Amazon Fraud Detector doivent être étiquetées

[FraudDetector.3] Les résultats d'Amazon Fraud Detector doivent être étiquetés

[FraudDetector.4] Les variables Amazon Fraud Detector doivent être étiquetées

[GlobalAccelerator.1] Les accélérateurs Global Accelerator doivent être étiquetés

[IAM.26] SSL/TLS Les certificats expirés gérés dans IAM doivent être supprimés

[Inspector.3] La numérisation du code Lambda par Amazon Inspector doit être activée

[IoTSiteWise.1]AWSLes modèles SiteWise d'actifs IoT devraient être étiquetés

[IoTSiteWise.2]AWS SiteWise Les tableaux de bord de l'IoT doivent être balisés

[IoTSiteWise.3]AWS SiteWise Les passerelles IoT doivent être étiquetées

[IoTSiteWise.4]AWS SiteWise Les portails IoT doivent être étiquetés

[IoTSiteWise.5]AWS SiteWise Les projets IoT doivent être étiquetés

[IoTTwinMaker.1]AWSLes tâches de TwinMaker synchronisation de l'IoT doivent être étiquetées

[IoTTwinMaker.2]AWSLes TwinMaker espaces de travail IoT doivent être étiquetés

[IoTTwinMaker.3]AWSLes TwinMaker scènes IoT doivent être étiquetées

[IoTTwinMaker.4]AWS TwinMaker Les entités IoT doivent être étiquetées

[IoTWireless.1]AWSLes groupes de multidiffusion IoT Wireless doivent être étiquetés

[IoTWireless.2]AWSLes profils de service IoT Wireless doivent être balisés

[IoTWireless.3]AWSLes tâches IoT FUOTA doivent être étiquetées

[IVS.1] Les paires de clés de lecture IVS doivent être étiquetées

[IVS.2] Les configurations d'enregistrement IVS doivent être étiquetées

[IVS.3] Les canaux IVS doivent être balisés

[MSK.3] Les connecteurs MSK Connect doivent être chiffrés pendant le transport

[MSK.5] La journalisation des connecteurs MSK doit être activée

[RDS.14] Le retour en arrière doit être activé sur les clusters Amazon Aurora

[RDS.31] Les groupes de sécurité RDS DB doivent être balisés

[RedshiftServerless.1] Les groupes de travail Amazon Redshift Serverless doivent utiliser un routage VPC amélioré

[RedshiftServerless.2] Les connexions aux groupes de travail Redshift Serverless doivent être requises pour utiliser le protocole SSL

[Route53.1] Les bilans de santé de la Route 53 doivent être étiquetés

[Route53.2] Les zones hébergées publiques de Route 53 doivent enregistrer les requêtes DNS

[S3.24] Les paramètres de blocage de Multi-Region l'accès public aux points d'accès S3 doivent être activés

[S3.25] Les compartiments de répertoire S3 doivent avoir des configurations de cycle de vie

[SES.1] Les listes de contacts SES doivent être étiquetées

[SES.2] Les ensembles de configuration SES doivent être étiquetés

[SES.3] Les ensembles de configuration SES doivent avoir le protocole TLS activé pour l'envoi d'e-mails

[WAF.1]AWS WAFLa journalisation classique de l'ACL Web globale doit être activée

[WAF.6]AWS WAFLes règles globales classiques doivent comporter au moins une condition

[WAF.7]AWS WAFLes groupes de règles globaux classiques doivent comporter au moins une règle

[WAF.8]AWS WAFLes ACL Web globales classiques doivent comporter au moins une règle ou un groupe de règles

[WorkSpaces.1] les volumes WorkSpaces d'utilisateurs doivent être chiffrés au repos

[WorkSpaces.2] les volumes WorkSpaces racine doivent être chiffrés au repos

[Account.2]Comptes AWSdevrait faire partie d'unAWS Organizationsorganization

[APIGateway.8] Les routes API Gateway doivent spécifier un type d'autorisation

[APIGateway.9] La journalisation des accès doit être configurée pour les étapes API Gateway V2

[Amplify.1] Les applications Amplify doivent être étiquetées

[Amplify.2] Les branches Amplify doivent être étiquetées

[AppConfig.1]AWS AppConfigles applications doivent être étiquetées

[AppConfig.2]AWS AppConfigles profils de configuration doivent être balisés

[AppConfig.3]AWS AppConfigles environnements doivent être balisés

[AppFlow.1] AppFlow Les flux Amazon doivent être balisés

[AppRunner.1] Les services App Runner doivent être balisés

[AppRunner.2] Les connecteurs VPC App Runner doivent être étiquetés

[AppSync.1]AWS AppSyncLes caches d'API doivent être chiffrés au repos

[AppSync.6]AWS AppSyncLes caches d'API doivent être chiffrés pendant le transport

[Backup.1]AWS Backuples points de récupération doivent être chiffrés au repos

[BedrockAgentCore.1] Les environnements d' AgentCore exécution de Bedrock doivent être configurés en mode réseau VPC

[BedrockAgentCore.2] Bedrock AgentCore Gateways devrait exiger une autorisation pour les demandes entrantes

[BedrockAgentCore.3] La AgentCore mémoire Bedrock doit être cryptée et gérée par le clientAWS KMSclés

[BedrockAgentCore.4] La AgentCore passerelle Bedrock doit être cryptée et gérée par le clientAWS KMSclés

[BedrockAgentCore.5] Les navigateurs AgentCore personnalisés de Bedrock ne doivent pas utiliser le mode réseau public

[BedrockAgentCore.6] L'enregistrement de session devrait être activé dans les navigateurs AgentCore personnalisés Bedrock

[CloudFormation.3] la protection contre les terminaisons doit être activée pour les CloudFormation piles

[CloudFormation.4] les CloudFormation piles doivent avoir des rôles de service associés

[CloudFront.1] CloudFront les distributions doivent avoir un objet racine configuré par défaut

[CloudFront.3] CloudFront les distributions devraient nécessiter un cryptage en transit

[CloudFront.4] CloudFront les distributions doivent avoir le basculement d'origine configuré

[CloudFront.5] CloudFront les distributions doivent avoir la journalisation activée

[CloudFront.6] CloudFront les distributions doivent avoir le WAF activé

[CloudFront.7] CloudFront les distributions doivent utiliser des SSL/TLS certificats personnalisés

[CloudFront.8] CloudFront les distributions doivent utiliser le SNI pour traiter les requêtes HTTPS

[CloudFront.9] CloudFront les distributions doivent crypter le trafic vers des origines personnalisées

[CloudFront.10] CloudFront les distributions ne doivent pas utiliser de protocoles SSL obsolètes entre les emplacements périphériques et les origines personnalisées

[CloudFront.12] CloudFront les distributions ne doivent pas pointer vers des origines S3 inexistantes

[CloudFront.13] CloudFront les distributions doivent utiliser le contrôle d'accès à l'origine

[CloudFront.14] les CloudFront distributions doivent être étiquetées

[CloudFront.15] CloudFront les distributions doivent utiliser la politique de sécurité TLS recommandée

[CloudFront.16] CloudFront les distributions doivent utiliser le contrôle d'accès à l'origine pour les origines des URL des fonctions Lambda

[CloudFront.17] CloudFront les distributions doivent utiliser des groupes de clés fiables pour les URL signées et les cookies

[CloudTrail.6] Assurez-vous que le compartiment S3 utilisé pour stocker les CloudTrail journaux n'est pas accessible au public

[CloudTrail.7] Assurez-vous que la journalisation des accès au compartiment S3 est activée sur le compartiment CloudTrail S3

[CodeArtifact.1] les CodeArtifact référentiels doivent être balisés

[CodeGuruProfiler.1] Les groupes de CodeGuru profilage de profileurs doivent être balisés

[CodeGuruReviewer.1] Les associations de référentiels des CodeGuru réviseurs doivent être étiquetées

[Cognito.1] La protection contre les menaces des groupes d'utilisateurs Cognito doit être activée avec un mode d'application complète des fonctions pour l'authentification standard

[Cognito.2] Les pools d'identités Cognito ne doivent pas autoriser les identités non authentifiées

[Connect.1] Les types d'objets des profils clients Amazon Connect doivent être balisés

[Connect.2] La CloudWatch journalisation des instances Connect Customer doit être activée

[Detective.1] Les graphes de comportement des détectives doivent être balisés

[DMS.2] Les certificats DMS doivent être balisés

[DMS.3] Les abonnements aux événements DMS doivent être étiquetés

[DMS.4] Les instances de réplication DMS doivent être étiquetées

[DMS.5] Les groupes de sous-réseaux de réplication DMS doivent être balisés

[DMS.6] La mise à niveau automatique des versions mineures des instances de réplication DMS doit être activée

[DMS.7] La journalisation des tâches de réplication DMS pour la base de données cible doit être activée

[DMS.8] La journalisation des tâches de réplication DMS pour la base de données source doit être activée

[DMS.9] Les points de terminaison DMS doivent utiliser le protocole SSL

[DMS.10] L'autorisation IAM doit être activée sur les points de terminaison DMS pour les bases de données Neptune

[DMS.11] Les points de terminaison DMS pour MongoDB doivent avoir un mécanisme d'authentification activé

[DMS.12] TLS doit être activé sur les points de terminaison DMS pour Redis OSS

[DMS.13] Les instances de réplication DMS doivent être configurées pour utiliser plusieurs zones de disponibilité

[DynamoDB.3] Les clusters DynamoDB Accelerator (DAX) doivent être chiffrés au repos

[DynamoDB.7] Les clusters DynamoDB Accelerator doivent être chiffrés en transit

[EC2.14] Les groupes de sécurité ne doivent pas autoriser l'entrée depuis la version 0.0.0. 0/0 ou : :/0 vers le port 3389

[EC2.22] Les groupes de sécurité Amazon EC2 non utilisés doivent être supprimés

[EC2.24] Les types d'instances paravirtuelles Amazon EC2 ne doivent pas être utilisés

[EC2.25] Les modèles de lancement Amazon EC2 ne doivent pas attribuer d'adresses IP publiques aux interfaces réseau

[EC2.34] Les tables de routage de la passerelle de transit EC2 doivent être balisées

[EC2.40] Les passerelles NAT EC2 doivent être étiquetées

[EC2.51] La journalisation des connexions client doit être activée sur les points de terminaison VPN EC2

[EC2.58] Les VPC doivent être configurés avec un point de terminaison d'interface pour les contacts de Systems Manager Incident Manager

[EC2.60] Les VPC doivent être configurés avec un point de terminaison d'interface pour Systems Manager Incident Manager

[EC2.170] Les modèles de lancement EC2 doivent utiliser le service de métadonnées d'instance version 2 (IMDSv2)

[EC2.173] Les demandes EC2 Spot Fleet avec paramètres de lancement doivent permettre le chiffrement des volumes EBS attachés

[EC2.175] Les modèles de lancement EC2 doivent être balisés

[EC2.177] Les sessions EC2 Traffic Mirror doivent être étiquetées

[EC2.179] Les cibles du miroir de trafic EC2 doivent être étiquetées

[EC2.180] La source/destination vérification doit être activée sur les interfaces réseau EC2

[EC2.181] Les modèles de lancement EC2 doivent activer le chiffrement pour les volumes EBS attachés

[ECR.4] Les référentiels publics ECR doivent être étiquetés

[EFS.1] Elastic File System doit être configuré pour crypter les données des fichiers au repos à l'aide de AWS KMS

[EFS.2] Les volumes Amazon EFS doivent figurer dans les plans de sauvegarde

[ELB.14] L'équilibreur de charge classique doit être configuré avec le mode défensif ou le mode d'atténuation de désynchronisation le plus strict

[ELB.17] Les équilibreurs de charge des applications et du réseau dotés d'écouteurs doivent utiliser les politiques de sécurité recommandées

[ELB.18] Les auditeurs de l'application et de l'équilibreur de charge réseau doivent utiliser des protocoles sécurisés pour crypter les données en transit

[ElastiCache.1] Les sauvegardes automatiques des clusters ElastiCache (Redis OSS) doivent être activées

[ElastiCache.6] Les groupes de réplication ElastiCache (Redis OSS) des versions antérieures doivent avoir Redis OSS AUTH activé

[ElastiCache.7] les ElastiCache clusters ne doivent pas utiliser le groupe de sous-réseaux par défaut

[ElasticBeanstalk.1] Les environnements Elastic Beanstalk devraient avoir activé les rapports de santé améliorés

[ElasticBeanstalk.2] Les mises à jour de la plateforme gérée par Elastic Beanstalk doivent être activées

[ElasticBeanstalk.3] Elastic Beanstalk devrait diffuser les logs vers CloudWatch

[EMR.1] Les nœuds principaux du cluster Amazon EMR ne doivent pas avoir d'adresses IP publiques

[ES.4] La journalisation des erreurs du domaine Elasticsearch dans les CloudWatch journaux doit être activée

[EventBridge.4] la réplication des événements doit être activée sur les points de terminaison EventBridge globaux

[FraudDetector.1] Les types d'entités Amazon Fraud Detector doivent être balisés

[FraudDetector.2] Les étiquettes Amazon Fraud Detector doivent être étiquetées

[FraudDetector.3] Les résultats d'Amazon Fraud Detector doivent être étiquetés

[FraudDetector.4] Les variables Amazon Fraud Detector doivent être étiquetées

[GlobalAccelerator.1] Les accélérateurs Global Accelerator doivent être étiquetés

[Glue.4]AWS GlueLes tâches Spark doivent s'exécuter sur les versions prises en charge deAWS Glue

[GuardDuty.2] GuardDuty les filtres doivent être balisés

[IAM.1] Les politiques IAM ne doivent pas autoriser des privilèges administratifs « * » complets

[IAM.2] Les utilisateurs IAM ne doivent pas être associés à des politiques IAM

[IAM.3] Les clés d'accès des utilisateurs IAM doivent être renouvelées tous les 90 jours ou moins

[IAM.5] La MFA doit être activée pour tous les utilisateurs IAM disposant d'un mot de passe de console

[IAM.8] Les informations d'identification utilisateur IAM non utilisées doivent être supprimées

[IAM.18] Assurez-vous qu'un rôle de support a été créé pour gérer les incidents avecAWS Support

[IAM.19] Le MFA doit être activé pour tous les utilisateurs IAM

[IAM.21] Les politiques gérées par le client IAM que vous créez ne doivent pas autoriser les actions génériques pour les services

[IAM.22] Les informations d'identification utilisateur IAM non utilisées pendant 45 jours doivent être supprimées

[IAM.24] Les rôles IAM doivent être balisés

[IAM.25] Les utilisateurs IAM doivent être tagués

[IAM.26] SSL/TLS Les certificats expirés gérés dans IAM doivent être supprimés

[IAM.27] La AWSCloudShellFullAccess politique ne doit pas être attachée aux identités IAM

[Inspector.1] La numérisation Amazon Inspector EC2 doit être activée

[Inspector.2] La numérisation ECR d'Amazon Inspector doit être activée

[Inspector.3] La numérisation du code Lambda par Amazon Inspector doit être activée

[Inspector.4] Le scan standard Amazon Inspector Lambda doit être activé

[IoT.1]AWS IoT Device Defenderles profils de sécurité doivent être balisés

[IoT.2]AWS IoT Coreles mesures d'atténuation doivent être étiquetées

[IoT.3]AWS IoT Coreles dimensions doivent être étiquetées

[IoT.4]AWS IoT Coreles autorisateurs doivent être étiquetés

[IoT.5]AWS IoT Coreles alias de rôle doivent être balisés

[IoT.6]AWS IoT Coreles politiques doivent être étiquetées

[IoTSiteWise.1]AWSLes modèles SiteWise d'actifs IoT devraient être étiquetés

[IoTSiteWise.2]AWS SiteWise Les tableaux de bord de l'IoT doivent être balisés

[IoTSiteWise.3]AWS SiteWise Les passerelles IoT doivent être étiquetées

[IoTSiteWise.4]AWS SiteWise Les portails IoT doivent être étiquetés

[IoTSiteWise.5]AWS SiteWise Les projets IoT doivent être étiquetés

[IoTTwinMaker.1]AWSLes tâches de TwinMaker synchronisation de l'IoT doivent être étiquetées

[IoTTwinMaker.2]AWSLes TwinMaker espaces de travail IoT doivent être étiquetés

[IoTTwinMaker.3]AWSLes TwinMaker scènes IoT doivent être étiquetées

[IoTTwinMaker.4]AWS TwinMaker Les entités IoT doivent être étiquetées

[IoTWireless.1]AWSLes groupes de multidiffusion IoT Wireless doivent être étiquetés

[IoTWireless.2]AWSLes profils de service IoT Wireless doivent être balisés

[IoTWireless.3]AWSLes tâches IoT FUOTA doivent être étiquetées

[IVS.1] Les paires de clés de lecture IVS doivent être étiquetées

[IVS.2] Les configurations d'enregistrement IVS doivent être étiquetées

[IVS.3] Les canaux IVS doivent être balisés

[Keyspaces.1] Les espaces de touches Amazon Keyspaces doivent être balisés

[KMS.1] Les politiques gérées par le client IAM ne doivent pas autoriser les actions de déchiffrement sur toutes les clés KMS

[KMS.2] Les principaux IAM ne devraient pas avoir de politiques IAM en ligne autorisant les actions de déchiffrement sur toutes les clés KMS

[Lambda.7] Les fonctions Lambda doivent avoir AWS X-Ray traçage actif activé

[Macie.1] Amazon Macie devrait être activé

[Macie.2] La découverte automatique des données sensibles par Macie doit être activée

[MQ.2] Les courtiers ActiveMQ doivent diffuser les journaux d'audit à CloudWatch

[MQ.4] Les courtiers Amazon MQ doivent être étiquetés

[MQ.5] Les courtiers ActiveMQ doivent utiliser le mode déploiement active/standby

[MQ.6] Les courtiers RabbitMQ doivent utiliser le mode de déploiement en cluster

[MSK.3] Les connecteurs MSK Connect doivent être chiffrés pendant le transport

[MSK.4] L'accès public aux clusters MSK doit être désactivé

[MSK.5] La journalisation des connecteurs MSK doit être activée

[MSK.6] Les clusters MSK doivent désactiver l'accès non authentifié

[Neptune.1] Les clusters de base de données Neptune doivent être chiffrés au repos

[Neptune.2] Les clusters de base de données Neptune doivent publier les journaux d'audit dans Logs CloudWatch

[Neptune.3] Les instantanés du cluster de base de données Neptune ne doivent pas être publics

[Neptune.4] La protection contre la suppression des clusters de base de données Neptune doit être activée

[Neptune.5] Les sauvegardes automatiques des clusters de base de données Neptune doivent être activées

[Neptune.6] Les instantanés du cluster de base de données Neptune doivent être chiffrés au repos

[Neptune.7] L'authentification de base de données IAM doit être activée pour les clusters de base de données Neptune

[Neptune.8] Les clusters de base de données Neptune doivent être configurés pour copier des balises dans des instantanés

[Neptune.9] Les clusters de base de données Neptune doivent être déployés dans plusieurs zones de disponibilité

[Opensearch.1] le chiffrement au repos doit être activé dans les OpenSearch domaines

[Opensearch.2] OpenSearch les domaines ne doivent pas être accessibles au public

[Opensearch.3] OpenSearch les domaines doivent crypter les données envoyées entre les nœuds

[Opensearch.4] la journalisation des erreurs de OpenSearch domaine dans CloudWatch Logs doit être activée

[Opensearch.5] la journalisation des audits doit être activée dans les OpenSearch domaines

[Opensearch.6] OpenSearch les domaines doivent avoir au moins trois nœuds de données

[Opensearch.7] le contrôle d'accès détaillé des OpenSearch domaines doit être activé

[Opensearch.8] Les connexions aux OpenSearch domaines doivent être cryptées selon la dernière politique de sécurité TLS

[Opensearch.9] OpenSearch les domaines doivent être balisés

[Opensearch.10] OpenSearch les domaines doivent avoir la dernière mise à jour logicielle installée

[Opensearch.11] OpenSearch les domaines doivent avoir au moins trois nœuds principaux dédiés

[RDS.14] Le retour en arrière doit être activé sur les clusters Amazon Aurora

[RDS.31] Les groupes de sécurité RDS DB doivent être balisés

[RDS.35] La mise à niveau automatique des versions mineures des clusters de bases de données RDS doit être activée

[RDS.37] Les clusters de bases de données Aurora PostgreSQL doivent publier des journaux dans Logs CloudWatch

[Redshift.10] Les clusters Redshift doivent être chiffrés au repos

[Redshift.18] Les déploiements doivent être activés pour les clusters Redshift Multi-AZ

[RedshiftServerless.1] Les groupes de travail Amazon Redshift Serverless doivent utiliser un routage VPC amélioré

[RedshiftServerless.2] Les connexions aux groupes de travail Redshift Serverless doivent être requises pour utiliser le protocole SSL

[RedshiftServerless.3] Les groupes de travail Redshift Serverless devraient interdire l'accès public

[RedshiftServerless.4] Les espaces de noms Redshift Serverless doivent être chiffrés et gérés par le clientAWS KMS keys

[RedshiftServerless.5] Les espaces de noms Redshift Serverless ne doivent pas utiliser le nom d'utilisateur administrateur par défaut

[RedshiftServerless.6] Les espaces de noms Redshift Serverless doivent exporter les journaux vers Logs CloudWatch

[Route53.1] Les bilans de santé de la Route 53 doivent être étiquetés

[Route53.2] Les zones hébergées publiques de Route 53 doivent enregistrer les requêtes DNS

[S3.24] Les paramètres de blocage de Multi-Region l'accès public aux points d'accès S3 doivent être activés

[S3.25] Les compartiments de répertoire S3 doivent avoir des configurations de cycle de vie

[SageMaker.1] Les instances Amazon SageMaker Notebook ne doivent pas disposer d'un accès direct à Internet

[SageMaker.2] les instances de SageMaker bloc-notes doivent être lancées dans un VPC personnalisé

[SageMaker.3] Les utilisateurs ne doivent pas avoir d'accès root aux instances de SageMaker bloc-notes

[SageMaker.5] SageMaker les modèles doivent avoir l'isolation réseau activée

[SageMaker.6] les configurations d'image de l' SageMaker application doivent être balisées

[SageMaker.7] les SageMaker images doivent être étiquetées

[SageMaker.9] SageMaker les définitions de tâches relatives à la qualité des données doivent avoir le chiffrement du trafic inter-conteneurs activé

[SageMaker.10] les définitions de tâches d'explicabilité du SageMaker modèle doivent avoir le cryptage du trafic inter-conteneurs activé

[SageMaker.11] SageMaker les définitions de tâches relatives à la qualité des données doivent avoir l'isolation réseau activée

[SageMaker.12] les définitions de tâches liées au biais du SageMaker modèle doivent avoir l'isolation réseau activée

[SageMaker.13] les définitions de tâches de qualité des SageMaker modèles doivent avoir le cryptage du trafic inter-conteneurs activé

[SageMaker.14] les calendriers SageMaker de surveillance doivent avoir l'isolation réseau activée

[SageMaker.15] les définitions de tâches liées au biais du SageMaker modèle doivent avoir le cryptage du trafic inter-conteneurs activé

[SageMaker.16] SageMaker les modèles doivent utiliser un registre privé dans VPC pour les conteneurs principaux

[SageMaker.17] les boutiques hors ligne des groupes de SageMaker fonctionnalités doivent être cryptées avec AWS KMS clés

[SageMaker.18] les boutiques en ligne de groupes de SageMaker fonctionnalités avec stockage standard doivent être cryptées avec AWS KMS clés

[SageMaker.19] SageMaker les modèles doivent utiliser un registre privé dans VPC pour les pipelines d'inférence multi-conteneurs

[SES.3] Les ensembles de configuration SES doivent avoir le protocole TLS activé pour l'envoi d'e-mails

[SQS.1] Les files d'attente Amazon SQS doivent être chiffrées au repos

[SQS.2] Les files d'attente SQS doivent être étiquetées

[SQS.3] Les politiques d'accès aux files d'attente SQS ne doivent pas autoriser l'accès public

[SSM.6] La CloudWatch journalisation devrait être activée dans SSM Automation

[SSM.7] Le paramètre de blocage du partage public doit être activé pour les documents SSM

[Transfer.3] La journalisation des connecteurs Transfer Family doit être activée

[Transfer.4] Les accords Transfer Family doivent être étiquetés

[WAF.1]AWS WAFLa journalisation classique de l'ACL Web globale doit être activée

[WAF.3]AWS WAFLes groupes de règles régionaux classiques doivent avoir au moins une règle

[WAF.6]AWS WAFLes règles globales classiques doivent comporter au moins une condition

[WAF.7]AWS WAFLes groupes de règles globaux classiques doivent comporter au moins une règle

[WAF.8]AWS WAFLes ACL Web globales classiques doivent comporter au moins une règle ou un groupe de règles

[WAF.10]AWS WAFLes ACL Web doivent avoir au moins une règle ou un groupe de règles

[WorkSpaces.1] les volumes WorkSpaces d'utilisateurs doivent être chiffrés au repos

[WorkSpaces.2] les volumes WorkSpaces racine doivent être chiffrés au repos

[Account.2]Comptes AWSdevrait faire partie d'unAWS Organizationsorganization

[APIGateway.8] Les routes API Gateway doivent spécifier un type d'autorisation

[APIGateway.9] La journalisation des accès doit être configurée pour les étapes API Gateway V2

[Amplify.1] Les applications Amplify doivent être étiquetées

[Amplify.2] Les branches Amplify doivent être étiquetées

[AppFlow.1] AppFlow Les flux Amazon doivent être balisés

[AppRunner.1] Les services App Runner doivent être balisés

[AppRunner.2] Les connecteurs VPC App Runner doivent être étiquetés

[AppSync.1]AWS AppSyncLes caches d'API doivent être chiffrés au repos

[AppSync.6]AWS AppSyncLes caches d'API doivent être chiffrés pendant le transport

[Backup.1]AWS Backuples points de récupération doivent être chiffrés au repos

[BedrockAgentCore.1] Les environnements d' AgentCore exécution de Bedrock doivent être configurés en mode réseau VPC

[BedrockAgentCore.2] Bedrock AgentCore Gateways devrait exiger une autorisation pour les demandes entrantes

[BedrockAgentCore.3] La AgentCore mémoire Bedrock doit être cryptée et gérée par le clientAWS KMSclés

[BedrockAgentCore.4] La AgentCore passerelle Bedrock doit être cryptée et gérée par le clientAWS KMSclés

[BedrockAgentCore.5] Les navigateurs AgentCore personnalisés de Bedrock ne doivent pas utiliser le mode réseau public

[BedrockAgentCore.6] L'enregistrement de session devrait être activé dans les navigateurs AgentCore personnalisés Bedrock

[CloudFormation.3] la protection contre les terminaisons doit être activée pour les CloudFormation piles

[CloudFormation.4] les CloudFormation piles doivent avoir des rôles de service associés

[CloudFront.1] CloudFront les distributions doivent avoir un objet racine configuré par défaut

[CloudFront.3] CloudFront les distributions devraient nécessiter un cryptage en transit

[CloudFront.4] CloudFront les distributions doivent avoir le basculement d'origine configuré

[CloudFront.5] CloudFront les distributions doivent avoir la journalisation activée

[CloudFront.6] CloudFront les distributions doivent avoir le WAF activé

[CloudFront.7] CloudFront les distributions doivent utiliser des SSL/TLS certificats personnalisés

[CloudFront.8] CloudFront les distributions doivent utiliser le SNI pour traiter les requêtes HTTPS

[CloudFront.9] CloudFront les distributions doivent crypter le trafic vers des origines personnalisées

[CloudFront.10] CloudFront les distributions ne doivent pas utiliser de protocoles SSL obsolètes entre les emplacements périphériques et les origines personnalisées

[CloudFront.12] CloudFront les distributions ne doivent pas pointer vers des origines S3 inexistantes

[CloudFront.13] CloudFront les distributions doivent utiliser le contrôle d'accès à l'origine

[CloudFront.14] les CloudFront distributions doivent être étiquetées

[CloudFront.15] CloudFront les distributions doivent utiliser la politique de sécurité TLS recommandée

[CloudFront.16] CloudFront les distributions doivent utiliser le contrôle d'accès à l'origine pour les origines des URL des fonctions Lambda

[CloudFront.17] CloudFront les distributions doivent utiliser des groupes de clés fiables pour les URL signées et les cookies

[CodeArtifact.1] les CodeArtifact référentiels doivent être balisés

[CodeBuild.1] Les URL du référentiel source CodeBuild Bitbucket ne doivent pas contenir d'informations d'identification sensibles

[CodeBuild.2] les variables d'environnement CodeBuild du projet ne doivent pas contenir d'informations d'identification en texte clair

[CodeBuild.3] Les journaux CodeBuild S3 doivent être chiffrés

[CodeBuild.4] les environnements de CodeBuild projet doivent avoir une journalisationAWS Configdurée

[CodeGuruProfiler.1] Les groupes de CodeGuru profilage de profileurs doivent être balisés

[CodeGuruReviewer.1] Les associations de référentiels des CodeGuru réviseurs doivent être étiquetées

[Cognito.1] La protection contre les menaces des groupes d'utilisateurs Cognito doit être activée avec un mode d'application complète des fonctions pour l'authentification standard

[Connect.1] Les types d'objets des profils clients Amazon Connect doivent être balisés

[Connect.2] La CloudWatch journalisation des instances Connect Customer doit être activée

[Detective.1] Les graphes de comportement des détectives doivent être balisés

[DMS.2] Les certificats DMS doivent être balisés

[DMS.3] Les abonnements aux événements DMS doivent être étiquetés

[DMS.4] Les instances de réplication DMS doivent être étiquetées

[DMS.5] Les groupes de sous-réseaux de réplication DMS doivent être balisés

[DMS.6] La mise à niveau automatique des versions mineures des instances de réplication DMS doit être activée

[DMS.7] La journalisation des tâches de réplication DMS pour la base de données cible doit être activée

[DMS.8] La journalisation des tâches de réplication DMS pour la base de données source doit être activée

[DMS.9] Les points de terminaison DMS doivent utiliser le protocole SSL

[DMS.10] L'autorisation IAM doit être activée sur les points de terminaison DMS pour les bases de données Neptune

[DMS.11] Les points de terminaison DMS pour MongoDB doivent avoir un mécanisme d'authentification activé

[DMS.12] TLS doit être activé sur les points de terminaison DMS pour Redis OSS

[DMS.13] Les instances de réplication DMS doivent être configurées pour utiliser plusieurs zones de disponibilité

[DocumentDB.1] Les clusters Amazon DocumentDB doivent être chiffrés au repos

[DocumentDB.2] Les clusters Amazon DocumentDB doivent disposer d'une période de conservation des sauvegardes adéquate

[DocumentDB.3] Les instantanés de cluster manuels Amazon DocumentDB ne doivent pas être publics

[DocumentDB.4] Les clusters Amazon DocumentDB doivent publier les journaux d'audit dans Logs CloudWatch

[DocumentDB.5] La protection contre la suppression des clusters Amazon DocumentDB doit être activée

[DocumentDB.6] Les clusters Amazon DocumentDB doivent être chiffrés pendant le transport

[DynamoDB.3] Les clusters DynamoDB Accelerator (DAX) doivent être chiffrés au repos

[DynamoDB.7] Les clusters DynamoDB Accelerator doivent être chiffrés en transit

[EC2.14] Les groupes de sécurité ne doivent pas autoriser l'entrée depuis la version 0.0.0. 0/0 ou : :/0 vers le port 3389

[EC2.22] Les groupes de sécurité Amazon EC2 non utilisés doivent être supprimés

[EC2.24] Les types d'instances paravirtuelles Amazon EC2 ne doivent pas être utilisés

[EC2.51] La journalisation des connexions client doit être activée sur les points de terminaison VPN EC2

[EC2.58] Les VPC doivent être configurés avec un point de terminaison d'interface pour les contacts de Systems Manager Incident Manager

[EC2.60] Les VPC doivent être configurés avec un point de terminaison d'interface pour Systems Manager Incident Manager

[EC2.173] Les demandes EC2 Spot Fleet avec paramètres de lancement doivent permettre le chiffrement des volumes EBS attachés

[EC2.177] Les sessions EC2 Traffic Mirror doivent être étiquetées

[EC2.179] Les cibles du miroir de trafic EC2 doivent être étiquetées

[ECR.4] Les référentiels publics ECR doivent être étiquetés

[EFS.1] Elastic File System doit être configuré pour crypter les données des fichiers au repos à l'aide de AWS KMS

[EFS.2] Les volumes Amazon EFS doivent figurer dans les plans de sauvegarde

[ELB.17] Les équilibreurs de charge des applications et du réseau dotés d'écouteurs doivent utiliser les politiques de sécurité recommandées

[ELB.18] Les auditeurs de l'application et de l'équilibreur de charge réseau doivent utiliser des protocoles sécurisés pour crypter les données en transit

[ElastiCache.1] Les sauvegardes automatiques des clusters ElastiCache (Redis OSS) doivent être activées

[ElastiCache.6] Les groupes de réplication ElastiCache (Redis OSS) des versions antérieures doivent avoir Redis OSS AUTH activé

[ElastiCache.7] les ElastiCache clusters ne doivent pas utiliser le groupe de sous-réseaux par défaut

[ElasticBeanstalk.1] Les environnements Elastic Beanstalk devraient avoir activé les rapports de santé améliorés

[EventBridge.4] la réplication des événements doit être activée sur les points de terminaison EventBridge globaux

[FraudDetector.1] Les types d'entités Amazon Fraud Detector doivent être balisés

[FraudDetector.2] Les étiquettes Amazon Fraud Detector doivent être étiquetées

[FraudDetector.3] Les résultats d'Amazon Fraud Detector doivent être étiquetés

[FraudDetector.4] Les variables Amazon Fraud Detector doivent être étiquetées

[GlobalAccelerator.1] Les accélérateurs Global Accelerator doivent être étiquetés

[GuardDuty.2] GuardDuty les filtres doivent être balisés

[IAM.18] Assurez-vous qu'un rôle de support a été créé pour gérer les incidents avecAWS Support

[IAM.26] SSL/TLS Les certificats expirés gérés dans IAM doivent être supprimés

[Inspector.3] La numérisation du code Lambda par Amazon Inspector doit être activée

[IoT.1]AWS IoT Device Defenderles profils de sécurité doivent être balisés

[IoT.2]AWS IoT Coreles mesures d'atténuation doivent être étiquetées

[IoT.3]AWS IoT Coreles dimensions doivent être étiquetées

[IoT.4]AWS IoT Coreles autorisateurs doivent être étiquetés

[IoT.5]AWS IoT Coreles alias de rôle doivent être balisés

[IoT.6]AWS IoT Coreles politiques doivent être étiquetées

[IoTSiteWise.1]AWSLes modèles SiteWise d'actifs IoT devraient être étiquetés

[IoTSiteWise.2]AWS SiteWise Les tableaux de bord de l'IoT doivent être balisés

[IoTSiteWise.3]AWS SiteWise Les passerelles IoT doivent être étiquetées

[IoTSiteWise.4]AWS SiteWise Les portails IoT doivent être étiquetés

[IoTSiteWise.5]AWS SiteWise Les projets IoT doivent être étiquetés

[IoTTwinMaker.1]AWSLes tâches de TwinMaker synchronisation de l'IoT doivent être étiquetées

[IoTTwinMaker.2]AWSLes TwinMaker espaces de travail IoT doivent être étiquetés

[IoTTwinMaker.3]AWSLes TwinMaker scènes IoT doivent être étiquetées

[IoTTwinMaker.4]AWS TwinMaker Les entités IoT doivent être étiquetées

[IoTWireless.1]AWSLes groupes de multidiffusion IoT Wireless doivent être étiquetés

[IoTWireless.2]AWSLes profils de service IoT Wireless doivent être balisés

[IoTWireless.3]AWSLes tâches IoT FUOTA doivent être étiquetées

[IVS.1] Les paires de clés de lecture IVS doivent être étiquetées

[IVS.2] Les configurations d'enregistrement IVS doivent être étiquetées

[IVS.3] Les canaux IVS doivent être balisés

[Keyspaces.1] Les espaces de touches Amazon Keyspaces doivent être balisés

[Macie.1] Amazon Macie devrait être activé

[Macie.2] La découverte automatique des données sensibles par Macie doit être activée

[MSK.3] Les connecteurs MSK Connect doivent être chiffrés pendant le transport

[MSK.5] La journalisation des connecteurs MSK doit être activée

[Neptune.1] Les clusters de base de données Neptune doivent être chiffrés au repos

[Neptune.2] Les clusters de base de données Neptune doivent publier les journaux d'audit dans Logs CloudWatch

[Neptune.3] Les instantanés du cluster de base de données Neptune ne doivent pas être publics

[Neptune.4] La protection contre la suppression des clusters de base de données Neptune doit être activée

[Neptune.5] Les sauvegardes automatiques des clusters de base de données Neptune doivent être activées

[Neptune.6] Les instantanés du cluster de base de données Neptune doivent être chiffrés au repos

[Neptune.7] L'authentification de base de données IAM doit être activée pour les clusters de base de données Neptune

[Neptune.8] Les clusters de base de données Neptune doivent être configurés pour copier des balises dans des instantanés

[Neptune.9] Les clusters de base de données Neptune doivent être déployés dans plusieurs zones de disponibilité

[Opensearch.5] la journalisation des audits doit être activée dans les OpenSearch domaines

[Opensearch.6] OpenSearch les domaines doivent avoir au moins trois nœuds de données

[RDS.14] Le retour en arrière doit être activé sur les clusters Amazon Aurora

[RDS.31] Les groupes de sécurité RDS DB doivent être balisés

[RedshiftServerless.1] Les groupes de travail Amazon Redshift Serverless doivent utiliser un routage VPC amélioré

[RedshiftServerless.2] Les connexions aux groupes de travail Redshift Serverless doivent être requises pour utiliser le protocole SSL

[Route53.1] Les bilans de santé de la Route 53 doivent être étiquetés

[Route53.2] Les zones hébergées publiques de Route 53 doivent enregistrer les requêtes DNS

[S3.11] Les notifications d'événements devraient être activées dans les compartiments à usage général S3

[S3.24] Les paramètres de blocage de Multi-Region l'accès public aux points d'accès S3 doivent être activés

[S3.25] Les compartiments de répertoire S3 doivent avoir des configurations de cycle de vie

[SageMaker.9] SageMaker les définitions de tâches relatives à la qualité des données doivent avoir le chiffrement du trafic inter-conteneurs activé

[SageMaker.10] les définitions de tâches d'explicabilité du SageMaker modèle doivent avoir le cryptage du trafic inter-conteneurs activé

[SageMaker.11] SageMaker les définitions de tâches relatives à la qualité des données doivent avoir l'isolation réseau activée

[SageMaker.12] les définitions de tâches liées au biais du SageMaker modèle doivent avoir l'isolation réseau activée

[SageMaker.13] les définitions de tâches de qualité des SageMaker modèles doivent avoir le cryptage du trafic inter-conteneurs activé

[SageMaker.14] les calendriers SageMaker de surveillance doivent avoir l'isolation réseau activée

[SageMaker.15] les définitions de tâches liées au biais du SageMaker modèle doivent avoir le cryptage du trafic inter-conteneurs activé

[SageMaker.16] SageMaker les modèles doivent utiliser un registre privé dans VPC pour les conteneurs principaux

[SageMaker.19] SageMaker les modèles doivent utiliser un registre privé dans VPC pour les pipelines d'inférence multi-conteneurs

[ServiceCatalog.1] Les portefeuilles de Service Catalog doivent être partagés au sein d'unAWSorganisation uniquement

[SQS.1] Les files d'attente Amazon SQS doivent être chiffrées au repos

[SQS.2] Les files d'attente SQS doivent être étiquetées

[SQS.3] Les politiques d'accès aux files d'attente SQS ne doivent pas autoriser l'accès public

[WAF.1]AWS WAFLa journalisation classique de l'ACL Web globale doit être activée

[WAF.3]AWS WAFLes groupes de règles régionaux classiques doivent avoir au moins une règle

[WAF.6]AWS WAFLes règles globales classiques doivent comporter au moins une condition

[WAF.7]AWS WAFLes groupes de règles globaux classiques doivent comporter au moins une règle

[WAF.8]AWS WAFLes ACL Web globales classiques doivent comporter au moins une règle ou un groupe de règles

[WAF.10]AWS WAFLes ACL Web doivent avoir au moins une règle ou un groupe de règles

[WorkSpaces.1] les volumes WorkSpaces d'utilisateurs doivent être chiffrés au repos

[WorkSpaces.2] les volumes WorkSpaces racine doivent être chiffrés au repos

[ACM.1] Importé et ACM-issued les certificats doivent être renouvelés après une période spécifiée

[ACM.2] Les certificats RSA gérés par ACM doivent utiliser une longueur de clé d'au moins 2 048 bits

[Account.1] Les coordonnées de sécurité doivent être fournies pourCompte AWS

[Account.2]Comptes AWSdevrait faire partie d'unAWS Organizationsorganization

[APIGateway.8] Les routes API Gateway doivent spécifier un type d'autorisation

[APIGateway.9] La journalisation des accès doit être configurée pour les étapes API Gateway V2

[Amplify.1] Les applications Amplify doivent être étiquetées

[Amplify.2] Les branches Amplify doivent être étiquetées

[AppConfig.1]AWS AppConfigles applications doivent être étiquetées

[AppConfig.2]AWS AppConfigles profils de configuration doivent être balisés

[AppConfig.3]AWS AppConfigles environnements doivent être balisés

[AppConfig.4]AWS AppConfigles associations d'extensions doivent être étiquetées

[AppFlow.1] AppFlow Les flux Amazon doivent être balisés

[AppRunner.1] Les services App Runner doivent être balisés

[AppRunner.2] Les connecteurs VPC App Runner doivent être étiquetés

[AppSync.1]AWS AppSyncLes caches d'API doivent être chiffrés au repos

[AppSync.2]AWS AppSyncla journalisation au niveau du champ doit être activée

[AppSync.5]AWS AppSyncLes API GraphQL ne doivent pas être authentifiées avec des clés d'API

[AppSync.6]AWS AppSyncLes caches d'API doivent être chiffrés pendant le transport

[Athena.4] La journalisation des groupes de travail Athena doit être activée

[AutoScaling.2] Le groupe Amazon EC2 Auto Scaling doit couvrir plusieurs zones de disponibilité

[AutoScaling.3] Les configurations de lancement du groupe Auto Scaling doivent configurer les instances EC2 pour qu'elles nécessitent le service de métadonnées d'instance version 2 (IMDSv2)

[AutoScaling.6] Les groupes Auto Scaling doivent utiliser plusieurs types d'instances dans plusieurs zones de disponibilité

[AutoScaling.9] Les groupes Amazon EC2 Auto Scaling doivent utiliser les modèles de lancement Amazon EC2

[Backup.1]AWS Backuples points de récupération doivent être chiffrés au repos

[Backup.2]AWS Backuples points de récupération doivent être étiquetés

[Backup.4]AWS Backuples plans de rapport doivent être étiquetés

[Batch.1] Les files d'attente de tâches par lots doivent être étiquetées

[Batch.2] Les politiques de planification par lots doivent être étiquetées

[Batch.3] Les environnements de calcul par lots doivent être balisés

[Batch.4] Les propriétés des ressources de calcul dans les environnements de calcul Batch gérés doivent être balisées

[BedrockAgentCore.1] Les environnements d' AgentCore exécution de Bedrock doivent être configurés en mode réseau VPC

[BedrockAgentCore.2] Bedrock AgentCore Gateways devrait exiger une autorisation pour les demandes entrantes

[BedrockAgentCore.3] La AgentCore mémoire Bedrock doit être cryptée et gérée par le clientAWS KMSclés

[BedrockAgentCore.4] La AgentCore passerelle Bedrock doit être cryptée et gérée par le clientAWS KMSclés

[BedrockAgentCore.5] Les navigateurs AgentCore personnalisés de Bedrock ne doivent pas utiliser le mode réseau public

[BedrockAgentCore.6] L'enregistrement de session devrait être activé dans les navigateurs AgentCore personnalisés Bedrock

[CloudFormation.3] la protection contre les terminaisons doit être activée pour les CloudFormation piles

[CloudFormation.4] les CloudFormation piles doivent avoir des rôles de service associés

[CloudFront.1] CloudFront les distributions doivent avoir un objet racine configuré par défaut

[CloudFront.3] CloudFront les distributions devraient nécessiter un cryptage en transit

[CloudFront.4] CloudFront les distributions doivent avoir le basculement d'origine configuré

[CloudFront.5] CloudFront les distributions doivent avoir la journalisation activée

[CloudFront.6] CloudFront les distributions doivent avoir le WAF activé

[CloudFront.7] CloudFront les distributions doivent utiliser des SSL/TLS certificats personnalisés

[CloudFront.8] CloudFront les distributions doivent utiliser le SNI pour traiter les requêtes HTTPS

[CloudFront.9] CloudFront les distributions doivent crypter le trafic vers des origines personnalisées

[CloudFront.10] CloudFront les distributions ne doivent pas utiliser de protocoles SSL obsolètes entre les emplacements périphériques et les origines personnalisées

[CloudFront.12] CloudFront les distributions ne doivent pas pointer vers des origines S3 inexistantes

[CloudFront.13] CloudFront les distributions doivent utiliser le contrôle d'accès à l'origine

[CloudFront.14] les CloudFront distributions doivent être étiquetées

[CloudFront.15] CloudFront les distributions doivent utiliser la politique de sécurité TLS recommandée

[CloudFront.16] CloudFront les distributions doivent utiliser le contrôle d'accès à l'origine pour les origines des URL des fonctions Lambda

[CloudFront.17] CloudFront les distributions doivent utiliser des groupes de clés fiables pour les URL signées et les cookies

[CloudTrail.6] Assurez-vous que le compartiment S3 utilisé pour stocker les CloudTrail journaux n'est pas accessible au public

[CloudTrail.7] Assurez-vous que la journalisation des accès au compartiment S3 est activée sur le compartiment CloudTrail S3

[CloudTrail.10] Les magasins de données sur les événements CloudTrail du lac doivent être chiffrés et gérés par le clientAWS KMS keys

[CloudWatch.17] les actions CloudWatch d'alarme doivent être activées

[CodeArtifact.1] les CodeArtifact référentiels doivent être balisés

[CodeBuild.1] Les URL du référentiel source CodeBuild Bitbucket ne doivent pas contenir d'informations d'identification sensibles

[CodeBuild.2] les variables d'environnement CodeBuild du projet ne doivent pas contenir d'informations d'identification en texte clair

[CodeBuild.3] Les journaux CodeBuild S3 doivent être chiffrés

[CodeBuild.4] les environnements de CodeBuild projet doivent avoir une journalisationAWS Configdurée

[CodeBuild.7] les exportations de groupes de CodeBuild rapports doivent être cryptées au repos

[CodeGuruProfiler.1] Les groupes de CodeGuru profilage de profileurs doivent être balisés

[CodeGuruReviewer.1] Les associations de référentiels des CodeGuru réviseurs doivent être étiquetées

[Cognito.1] La protection contre les menaces des groupes d'utilisateurs Cognito doit être activée avec un mode d'application complète des fonctions pour l'authentification standard

[Cognito.2] Les pools d'identités Cognito ne doivent pas autoriser les identités non authentifiées

[Cognito.3] Les politiques de mots de passe pour les groupes d'utilisateurs Cognito doivent être configurées de manière robuste

[Cognito.4] La protection contre les menaces des groupes d'utilisateurs Cognito doit être activée avec un mode d'application complète des fonctions pour une authentification personnalisée

[Cognito.5] Le MFA doit être activé pour les groupes d'utilisateurs Cognito

[Cognito.6] La protection contre la suppression des groupes d'utilisateurs Cognito doit être activée

[Connect.1] Les types d'objets des profils clients Amazon Connect doivent être balisés

[Connect.2] La CloudWatch journalisation des instances Connect Customer doit être activée

[DataFirehose.1] Les flux de diffusion de Firehose doivent être chiffrés au repos

[DataSync.1] la journalisation des DataSync tâches doit être activée

[DataSync.2] DataSync les tâches doivent être étiquetées

[Detective.1] Les graphes de comportement des détectives doivent être balisés

[DMS.2] Les certificats DMS doivent être balisés

[DMS.3] Les abonnements aux événements DMS doivent être étiquetés

[DMS.4] Les instances de réplication DMS doivent être étiquetées

[DMS.5] Les groupes de sous-réseaux de réplication DMS doivent être balisés

[DMS.6] La mise à niveau automatique des versions mineures des instances de réplication DMS doit être activée

[DMS.7] La journalisation des tâches de réplication DMS pour la base de données cible doit être activée

[DMS.8] La journalisation des tâches de réplication DMS pour la base de données source doit être activée

[DMS.9] Les points de terminaison DMS doivent utiliser le protocole SSL

[DMS.10] L'autorisation IAM doit être activée sur les points de terminaison DMS pour les bases de données Neptune

[DMS.11] Les points de terminaison DMS pour MongoDB doivent avoir un mécanisme d'authentification activé

[DMS.12] TLS doit être activé sur les points de terminaison DMS pour Redis OSS

[DMS.13] Les instances de réplication DMS doivent être configurées pour utiliser plusieurs zones de disponibilité

[DocumentDB.1] Les clusters Amazon DocumentDB doivent être chiffrés au repos

[DocumentDB.2] Les clusters Amazon DocumentDB doivent disposer d'une période de conservation des sauvegardes adéquate

[DocumentDB.3] Les instantanés de cluster manuels Amazon DocumentDB ne doivent pas être publics

[DocumentDB.4] Les clusters Amazon DocumentDB doivent publier les journaux d'audit dans Logs CloudWatch

[DocumentDB.5] La protection contre la suppression des clusters Amazon DocumentDB doit être activée

[DocumentDB.6] Les clusters Amazon DocumentDB doivent être chiffrés pendant le transport

[DynamoDB.3] Les clusters DynamoDB Accelerator (DAX) doivent être chiffrés au repos

[DynamoDB.4] Les tables DynamoDB doivent être présentes dans un plan de sauvegarde

[DynamoDB.6] La protection contre la suppression des tables DynamoDB doit être activée

[DynamoDB.7] Les clusters DynamoDB Accelerator doivent être chiffrés en transit

[EC2.4] Les instances EC2 arrêtées doivent être supprimées après une période spécifiée

[EC2.21] Les ACL réseau ne doivent pas autoriser l'entrée à partir de la version 0.0.0. 0/0 vers le port 22 ou le port 3389

[EC2.22] Les groupes de sécurité Amazon EC2 non utilisés doivent être supprimés

[EC2.23] Les passerelles de transit Amazon EC2 ne doivent pas accepter automatiquement les demandes de pièces jointes VPC

[EC2.24] Les types d'instances paravirtuelles Amazon EC2 ne doivent pas être utilisés

[EC2.25] Les modèles de lancement Amazon EC2 ne doivent pas attribuer d'adresses IP publiques aux interfaces réseau

[EC2.28] Les volumes EBS doivent être couverts par un plan de sauvegarde

[EC2.34] Les tables de routage de la passerelle de transit EC2 doivent être balisées

[EC2.40] Les passerelles NAT EC2 doivent être étiquetées

[EC2.51] La journalisation des connexions client doit être activée sur les points de terminaison VPN EC2

[EC2.53] Les groupes de sécurité EC2 ne doivent pas autoriser l'entrée depuis la version 0.0.0. 0/0 vers les ports d'administration de serveurs distants

[EC2.54] Les groupes de sécurité EC2 ne doivent pas autoriser l'entrée depuis : :/0 vers les ports d'administration des serveurs distants

[EC2.55] Les VPC doivent être configurés avec un point de terminaison d'interface pour l'API ECR

[EC2.56] Les VPC doivent être configurés avec un point de terminaison d'interface pour Docker Registry

[EC2.57] Les VPC doivent être configurés avec un point de terminaison d'interface pour Systems Manager

[EC2.58] Les VPC doivent être configurés avec un point de terminaison d'interface pour les contacts de Systems Manager Incident Manager

[EC2.60] Les VPC doivent être configurés avec un point de terminaison d'interface pour Systems Manager Incident Manager

[EC2.170] Les modèles de lancement EC2 doivent utiliser le service de métadonnées d'instance version 2 (IMDSv2)

[EC2.171] La journalisation des connexions VPN EC2 doit être activée

[EC2.173] Les demandes EC2 Spot Fleet avec paramètres de lancement doivent permettre le chiffrement des volumes EBS attachés

[EC2.174] Les ensembles d'options DHCP EC2 doivent être balisés

[EC2.175] Les modèles de lancement EC2 doivent être balisés

[EC2.176] Les listes de préfixes EC2 doivent être étiquetées

[EC2.177] Les sessions EC2 Traffic Mirror doivent être étiquetées

[EC2.178] Les filtres de rétroviseurs EC2 doivent être étiquetés

[EC2.179] Les cibles du miroir de trafic EC2 doivent être étiquetées

[EC2.180] La source/destination vérification doit être activée sur les interfaces réseau EC2

[EC2.181] Les modèles de lancement EC2 doivent activer le chiffrement pour les volumes EBS attachés

[EC2.183] Les connexions VPN EC2 doivent utiliser le protocole IKEv2

[ECR.1] Les référentiels privés ECR doivent avoir la numérisation d'images configurée

[ECR.2] Les référentiels privés ECR doivent avoir l'immuabilité des balises configurée

[ECR.3] Les référentiels ECR doivent avoir au moins une politique de cycle de vie configurée

[ECR.4] Les référentiels publics ECR doivent être étiquetés

[ECR.5] Les référentiels ECR doivent être chiffrés et gérés par le client AWS KMS keys

[ECS.3] Les définitions de tâches ECS ne doivent pas partager l'espace de noms de processus de l'hôte

[ECS.4] Les conteneurs ECS doivent fonctionner comme des conteneurs non privilégiés

[ECS.5] Les définitions de tâches ECS doivent configurer les conteneurs de manière à ce qu'ils soient limités à l'accès en lecture seule aux systèmes de fichiers racine

[ECS.8] Les secrets ne doivent pas être transmis en tant que variables d'environnement de conteneur

[ECS.9] Les définitions de tâches ECS doivent avoir une configuration de journalisation

[ECS.10] Les services ECS Fargate doivent fonctionner sur la dernière version de la plateforme Fargate

[ECS.12] Les clusters ECS doivent utiliser Container Insights

[ECS.17] Les définitions de tâches ECS ne doivent pas utiliser le mode réseau hôte

[ECS.19] Les fournisseurs de capacité ECS devraient avoir activé la protection des terminaisons gérée

[EFS.1] Elastic File System doit être configuré pour crypter les données des fichiers au repos à l'aide de AWS KMS

[EFS.2] Les volumes Amazon EFS doivent figurer dans les plans de sauvegarde

[EFS.3] Les points d'accès EFS devraient appliquer un répertoire racine

[EFS.4] Les points d'accès EFS devraient renforcer l'identité de l'utilisateur

[EFS.6] Les cibles de montage EFS ne doivent pas être associées à des sous-réseaux qui attribuent des adresses IP publiques au lancement

[EFS.7] Les sauvegardes automatiques doivent être activées sur les systèmes de fichiers EFS

[EFS.8] Les systèmes de fichiers EFS doivent être chiffrés au repos

[EKS.2] Les clusters EKS doivent fonctionner sur une version de Kubernetes prise en charge

[EKS.3] Les clusters EKS doivent utiliser des secrets Kubernetes chiffrés

[EKS.7] Les configurations du fournisseur d'identité EKS doivent être balisées

[EKS.8] Les clusters EKS doivent avoir la journalisation des audits activée

[ELB.10] L'équilibreur de charge classique doit couvrir plusieurs zones de disponibilité

[ELB.12] L'équilibreur de charge d'application doit être configuré avec le mode défensif ou le mode d'atténuation de désynchronisation le plus strict

[ELB.13] Les équilibreurs de charge des applications, des réseaux et des passerelles doivent couvrir plusieurs zones de disponibilité

[ELB.14] L'équilibreur de charge classique doit être configuré avec le mode défensif ou le mode d'atténuation de désynchronisation le plus strict

[ELB.17] Les équilibreurs de charge des applications et du réseau dotés d'écouteurs doivent utiliser les politiques de sécurité recommandées

[ELB.18] Les auditeurs de l'application et de l'équilibreur de charge réseau doivent utiliser des protocoles sécurisés pour crypter les données en transit

[ElastiCache.1] Les sauvegardes automatiques des clusters ElastiCache (Redis OSS) doivent être activées

[ElastiCache.2] les mises à niveau automatiques des versions mineures devraient être activées sur les ElastiCache clusters

[ElastiCache.3] le basculement automatique doit être activé pour les groupes de ElastiCache réplication

[ElastiCache.4] les groupes de ElastiCache réplication doivent être chiffrés au repos

[ElastiCache.5] les groupes ElastiCache de réplication doivent être chiffrés pendant le transport

[ElastiCache.6] Les groupes de réplication ElastiCache (Redis OSS) des versions antérieures doivent avoir Redis OSS AUTH activé

[ElastiCache.7] les ElastiCache clusters ne doivent pas utiliser le groupe de sous-réseaux par défaut

[ElasticBeanstalk.1] Les environnements Elastic Beanstalk devraient avoir activé les rapports de santé améliorés

[ElasticBeanstalk.2] Les mises à jour de la plateforme gérée par Elastic Beanstalk doivent être activées

[ElasticBeanstalk.3] Elastic Beanstalk devrait diffuser les logs vers CloudWatch

[EMR.1] Les nœuds principaux du cluster Amazon EMR ne doivent pas avoir d'adresses IP publiques

[EMR.2] Le paramètre de blocage de l'accès public à Amazon EMR doit être activé

[EMR.3] Les configurations de sécurité Amazon EMR doivent être chiffrées au repos

[EMR.4] Les configurations de sécurité Amazon EMR doivent être cryptées pendant le transport

[ES.4] La journalisation des erreurs du domaine Elasticsearch dans les CloudWatch journaux doit être activée

[ES.9] Les domaines Elasticsearch doivent être balisés

[EventBridge.3] les bus d'événements EventBridge personnalisés doivent être associés à une politique basée sur les ressources

[EventBridge.4] la réplication des événements doit être activée sur les points de terminaison EventBridge globaux

[FraudDetector.1] Les types d'entités Amazon Fraud Detector doivent être balisés

[FraudDetector.2] Les étiquettes Amazon Fraud Detector doivent être étiquetées

[FraudDetector.3] Les résultats d'Amazon Fraud Detector doivent être étiquetés

[FraudDetector.4] Les variables Amazon Fraud Detector doivent être étiquetées

[FSx.1] Les systèmes de fichiers FSx pour OpenZFS doivent être configurés pour copier les balises vers les sauvegardes et les volumes

[FSx.2] Les systèmes de fichiers FSx for Lustre doivent être configurés pour copier les balises dans les sauvegardes

[FSx.3] Les systèmes de fichiers FSx pour OpenZFS doivent être configurés pour le déploiement Multi-AZ

[FSx.4] Les systèmes de fichiers FSx pour NetApp ONTAP doivent être configurés pour le déploiement Multi-AZ

[FSx.5] Les systèmes de fichiers FSx for Windows File Server doivent être configurés pour Multi-AZ le déploiement

[GlobalAccelerator.1] Les accélérateurs Global Accelerator doivent être étiquetés

[Glue.1]AWS Glueles emplois doivent être étiquetés

[Glue.3]AWS Glueles transformations de machine learning doivent être cryptées au repos

[Glue.4]AWS GlueLes tâches Spark doivent s'exécuter sur les versions prises en charge deAWS Glue

[GuardDuty.2] GuardDuty les filtres doivent être balisés

[GuardDuty.5] La surveillance du journal d'audit GuardDuty EKS doit être activée

[GuardDuty.6] La protection GuardDuty Lambda doit être activée

[GuardDuty.7] La surveillance du temps d'exécution GuardDuty EKS doit être activée

[GuardDuty.8] La protection contre les GuardDuty programmes malveillants pour EC2 doit être activée

[GuardDuty.9] GuardDuty La protection RDS doit être activée

[GuardDuty.10] La protection GuardDuty S3 doit être activée

[GuardDuty.11] La surveillance du temps GuardDuty d'exécution doit être activée

[GuardDuty.12] La surveillance du temps d'exécution GuardDuty ECS doit être activée

[GuardDuty.13] GuardDuty La surveillance du temps d'exécution EC2 doit être activée

[IAM.1] Les politiques IAM ne doivent pas autoriser des privilèges administratifs « * » complets

[IAM.2] Les utilisateurs IAM ne doivent pas être associés à des politiques IAM

[IAM.3] Les clés d'accès des utilisateurs IAM doivent être renouvelées tous les 90 jours ou moins

[IAM.4] La clé d'accès de l'utilisateur root IAM ne doit pas exister

[IAM.5] La MFA doit être activée pour tous les utilisateurs IAM disposant d'un mot de passe de console

[IAM.6] Le MFA matériel doit être activé pour l'utilisateur root

[IAM.7] Les politiques de mot de passe pour les utilisateurs IAM doivent avoir des configurations strictes

[IAM.8] Les informations d'identification utilisateur IAM non utilisées doivent être supprimées

[IAM.9] La MFA doit être activée pour l'utilisateur root

[IAM.10] Les politiques de mot de passe pour les utilisateurs IAM doivent avoir des configurations strictes

[IAM.11] Assurez-vous que la politique de mot de passe IAM nécessite au moins une lettre majuscule

[IAM.12] Assurez-vous que la politique de mot de passe IAM nécessite au moins une lettre minuscule

[IAM.13] Assurez-vous que la politique de mot de passe IAM nécessite au moins un symbole

[IAM.14] Assurez-vous que la politique de mot de passe IAM nécessite au moins un chiffre

[IAM.15] Assurez-vous que la politique de mot de passe IAM exige une longueur de mot de passe minimale de 14 ou plus

[IAM.16] Assurez-vous que la politique de mot de passe IAM empêche la réutilisation des mots de passe

[IAM.17] Assurez-vous que la politique de mot de passe IAM expire les mots de passe dans un délai de 90 jours ou moins

[IAM.18] Assurez-vous qu'un rôle de support a été créé pour gérer les incidents avecAWS Support

[IAM.19] Le MFA doit être activé pour tous les utilisateurs IAM

[IAM.21] Les politiques gérées par le client IAM que vous créez ne doivent pas autoriser les actions génériques pour les services

[IAM.22] Les informations d'identification utilisateur IAM non utilisées pendant 45 jours doivent être supprimées

[IAM.24] Les rôles IAM doivent être balisés

[IAM.25] Les utilisateurs IAM doivent être tagués

[IAM.26] SSL/TLS Les certificats expirés gérés dans IAM doivent être supprimés

[IAM.27] La AWSCloudShellFullAccess politique ne doit pas être attachée aux identités IAM

[IAM.28] L'analyseur d'accès externe IAM Access Analyzer doit être activé

[Inspector.1] La numérisation Amazon Inspector EC2 doit être activée

[Inspector.2] La numérisation ECR d'Amazon Inspector doit être activée

[Inspector.3] La numérisation du code Lambda par Amazon Inspector doit être activée

[Inspector.4] Le scan standard Amazon Inspector Lambda doit être activé

[IoTSiteWise.1]AWSLes modèles SiteWise d'actifs IoT devraient être étiquetés

[IoTSiteWise.2]AWS SiteWise Les tableaux de bord de l'IoT doivent être balisés

[IoTSiteWise.3]AWS SiteWise Les passerelles IoT doivent être étiquetées

[IoTSiteWise.4]AWS SiteWise Les portails IoT doivent être étiquetés

[IoTSiteWise.5]AWS SiteWise Les projets IoT doivent être étiquetés

[IoTTwinMaker.1]AWSLes tâches de TwinMaker synchronisation de l'IoT doivent être étiquetées

[IoTTwinMaker.2]AWSLes TwinMaker espaces de travail IoT doivent être étiquetés

[IoTTwinMaker.3]AWSLes TwinMaker scènes IoT doivent être étiquetées

[IoTTwinMaker.4]AWS TwinMaker Les entités IoT doivent être étiquetées

[IoTWireless.1]AWSLes groupes de multidiffusion IoT Wireless doivent être étiquetés

[IoTWireless.2]AWSLes profils de service IoT Wireless doivent être balisés

[IoTWireless.3]AWSLes tâches IoT FUOTA doivent être étiquetées

[IVS.1] Les paires de clés de lecture IVS doivent être étiquetées

[IVS.2] Les configurations d'enregistrement IVS doivent être étiquetées

[IVS.3] Les canaux IVS doivent être balisés

[Keyspaces.1] Les espaces de touches Amazon Keyspaces doivent être balisés

[Kinesis.1] Les flux Kinesis doivent être chiffrés au repos

[Kinesis.3] Les flux Kinesis doivent avoir une période de conservation des données adéquate

[KMS.1] Les politiques gérées par le client IAM ne doivent pas autoriser les actions de déchiffrement sur toutes les clés KMS

[KMS.2] Les principaux IAM ne devraient pas avoir de politiques IAM en ligne autorisant les actions de déchiffrement sur toutes les clés KMS

[KMS.5] Les clés KMS ne doivent pas être accessibles au public

[Lambda.5] Les fonctions Lambda du VPC doivent fonctionner dans plusieurs zones de disponibilité

[Lambda.7] Les fonctions Lambda doivent avoir AWS X-Ray traçage actif activé

[Macie.1] Amazon Macie devrait être activé

[Macie.2] La découverte automatique des données sensibles par Macie doit être activée

[MQ.2] Les courtiers ActiveMQ doivent diffuser les journaux d'audit à CloudWatch

[MQ.4] Les courtiers Amazon MQ doivent être étiquetés

[MQ.5] Les courtiers ActiveMQ doivent utiliser le mode déploiement active/standby

[MQ.6] Les courtiers RabbitMQ doivent utiliser le mode de déploiement en cluster

[MSK.1] Les clusters MSK doivent être chiffrés lors du transit entre les nœuds du courtier

[MSK.2] Les clusters MSK doivent avoir une surveillance améliorée configurée

[MSK.3] Les connecteurs MSK Connect doivent être chiffrés pendant le transport

[MSK.4] L'accès public aux clusters MSK doit être désactivé

[MSK.5] La journalisation des connecteurs MSK doit être activée

[MSK.6] Les clusters MSK doivent désactiver l'accès non authentifié

[Neptune.1] Les clusters de base de données Neptune doivent être chiffrés au repos

[Neptune.2] Les clusters de base de données Neptune doivent publier les journaux d'audit dans Logs CloudWatch

[Neptune.3] Les instantanés du cluster de base de données Neptune ne doivent pas être publics

[Neptune.4] La protection contre la suppression des clusters de base de données Neptune doit être activée

[Neptune.5] Les sauvegardes automatiques des clusters de base de données Neptune doivent être activées

[Neptune.6] Les instantanés du cluster de base de données Neptune doivent être chiffrés au repos

[Neptune.7] L'authentification de base de données IAM doit être activée pour les clusters de base de données Neptune

[Neptune.8] Les clusters de base de données Neptune doivent être configurés pour copier des balises dans des instantanés

[Neptune.9] Les clusters de base de données Neptune doivent être déployés dans plusieurs zones de disponibilité

[NetworkFirewall.1] Les pare-feux Network Firewall doivent être déployés dans plusieurs zones de disponibilité

[NetworkFirewall.2] La journalisation du Network Firewall doit être activée

[NetworkFirewall.3] Les politiques de Network Firewall doivent être associées à au moins un groupe de règles

[NetworkFirewall.4] L'action apatride par défaut pour les politiques de Network Firewall doit être « drop » ou « forward » pour les paquets complets.

[NetworkFirewall.5] L'action apatride par défaut pour les politiques de Network Firewall doit être « drop » ou « forward » pour les paquets fragmentés.

[NetworkFirewall.6] Le groupe de règles Stateless Network Firewall ne doit pas être vide

[NetworkFirewall.9] La protection contre les suppressions doit être activée sur les pare-feux Network Firewall

[NetworkFirewall.10] La protection contre les modifications de sous-réseau doit être activée sur les pare-feux Network Firewall

[Opensearch.1] le chiffrement au repos doit être activé dans les OpenSearch domaines

[Opensearch.2] OpenSearch les domaines ne doivent pas être accessibles au public

[Opensearch.3] OpenSearch les domaines doivent crypter les données envoyées entre les nœuds

[Opensearch.4] la journalisation des erreurs de OpenSearch domaine dans CloudWatch Logs doit être activée

[Opensearch.5] la journalisation des audits doit être activée dans les OpenSearch domaines

[Opensearch.6] OpenSearch les domaines doivent avoir au moins trois nœuds de données

[Opensearch.7] le contrôle d'accès détaillé des OpenSearch domaines doit être activé

[Opensearch.8] Les connexions aux OpenSearch domaines doivent être cryptées selon la dernière politique de sécurité TLS

[Opensearch.9] OpenSearch les domaines doivent être balisés

[Opensearch.10] OpenSearch les domaines doivent avoir la dernière mise à jour logicielle installée

[Opensearch.11] OpenSearch les domaines doivent avoir au moins trois nœuds principaux dédiés

[PCA.1]CA privée AWSl'autorité de certification racine doit être désactivée

[PCA.2]AWSLes autorités de certification privées de l'autorité de certification doivent être étiquetées

[RDS.14] Le retour en arrière doit être activé sur les clusters Amazon Aurora

[RDS.24] Les clusters de bases de données RDS doivent utiliser un nom d'utilisateur d'administrateur personnalisé

[RDS.25] Les instances de base de données RDS doivent utiliser un nom d'utilisateur d'administrateur personnalisé

[RDS.26] Les instances de base de données RDS doivent être protégées par un plan de sauvegarde

[RDS.27] Les clusters de bases de données RDS doivent être chiffrés au repos

[RDS.31] Les groupes de sécurité RDS DB doivent être balisés

[RDS.34] Les clusters de bases de données Aurora MySQL doivent publier des journaux d'audit dans CloudWatch Logs

[RDS.35] La mise à niveau automatique des versions mineures des clusters de bases de données RDS doit être activée

[RDS.36] Les instances de base de données RDS pour PostgreSQL doivent publier des journaux dans Logs CloudWatch

[RDS.37] Les clusters de bases de données Aurora PostgreSQL doivent publier des journaux dans Logs CloudWatch

[RDS.38] Les instances de base de données RDS pour PostgreSQL doivent être chiffrées en transit

[RDS.39] Les instances de base de données RDS pour MySQL doivent être chiffrées en transit

[RDS.40] Les instances de base de données RDS pour SQL Server doivent publier des CloudWatch journaux dans Logs

[RDS.41] Les instances de base de données RDS pour SQL Server doivent être chiffrées en transit

[RDS.42] Les instances de base de données RDS pour MariaDB doivent publier des journaux dans Logs CloudWatch

[RDS.43] Les proxys de base de données RDS doivent nécessiter un cryptage TLS pour les connexions

[RDS.44] Les instances de base de données RDS pour MariaDB doivent être chiffrées en transit

[RDS.45] La journalisation des audits doit être activée pour les clusters de bases de données Aurora MySQL

[RDS.46] Les instances de base de données RDS ne doivent pas être déployées dans des sous-réseaux publics comportant des itinéraires vers des passerelles Internet

[RDS.47] Les clusters de bases de données RDS pour PostgreSQL doivent être configurés pour copier les balises dans les instantanés de base de données

[RDS.51] Les clusters globaux RDS doivent fonctionner sur une version d'Aurora MySQL prise en charge

[Redshift.8] Les clusters Amazon Redshift ne doivent pas utiliser le nom d'utilisateur d'administrateur par défaut

[Redshift.10] Les clusters Redshift doivent être chiffrés au repos

[Redshift.15] Les groupes de sécurité Redshift doivent autoriser l'entrée sur le port du cluster uniquement à partir d'origines restreintes

[Redshift.16] Les groupes de sous-réseaux du cluster Redshift doivent avoir des sous-réseaux provenant de plusieurs zones de disponibilité

[Redshift.17] Les groupes de paramètres du cluster Redshift doivent être balisés

[Redshift.18] Les déploiements doivent être activés pour les clusters Redshift Multi-AZ

[RedshiftServerless.1] Les groupes de travail Amazon Redshift Serverless doivent utiliser un routage VPC amélioré

[RedshiftServerless.2] Les connexions aux groupes de travail Redshift Serverless doivent être requises pour utiliser le protocole SSL

[RedshiftServerless.3] Les groupes de travail Redshift Serverless devraient interdire l'accès public

[RedshiftServerless.4] Les espaces de noms Redshift Serverless doivent être chiffrés et gérés par le clientAWS KMS keys

[RedshiftServerless.5] Les espaces de noms Redshift Serverless ne doivent pas utiliser le nom d'utilisateur administrateur par défaut

[RedshiftServerless.6] Les espaces de noms Redshift Serverless doivent exporter les journaux vers Logs CloudWatch

[Route53.1] Les bilans de santé de la Route 53 doivent être étiquetés

[Route53.2] Les zones hébergées publiques de Route 53 doivent enregistrer les requêtes DNS

[S3.7] Les compartiments à usage général S3 doivent utiliser la réplication entre régions

[S3.10] Les compartiments S3 à usage général avec la gestion des versions activée doivent avoir des configurations de cycle de vie

[S3.11] Les notifications d'événements devraient être activées dans les compartiments à usage général S3

[S3.12] Les ACL ne doivent pas être utilisées pour gérer l'accès des utilisateurs aux compartiments S3 à usage général

[S3.13] Les compartiments à usage général S3 doivent avoir des configurations de cycle de vie

[S3.19] Les paramètres de blocage de l'accès public doivent être activés sur les points d'accès S3

[S3.20] La suppression MFA doit être activée dans les compartiments S3 à usage général

[S3.22] Les compartiments à usage général S3 doivent enregistrer les événements d'écriture au niveau de l'objet

[S3.23] Les compartiments à usage général S3 doivent enregistrer les événements de lecture au niveau de l'objet

[S3.24] Les paramètres de blocage de Multi-Region l'accès public aux points d'accès S3 doivent être activés

[S3.25] Les compartiments de répertoire S3 doivent avoir des configurations de cycle de vie

[SageMaker.1] Les instances Amazon SageMaker Notebook ne doivent pas disposer d'un accès direct à Internet

[SageMaker.2] les instances de SageMaker bloc-notes doivent être lancées dans un VPC personnalisé

[SageMaker.3] Les utilisateurs ne doivent pas avoir d'accès root aux instances de SageMaker bloc-notes

[SageMaker.4] les variantes de production de SageMaker terminaux doivent avoir un nombre d'instances initial supérieur à 1

[SageMaker.5] SageMaker les modèles doivent avoir l'isolation réseau activée

[SageMaker.6] les configurations d'image de l' SageMaker application doivent être balisées

[SageMaker.7] les SageMaker images doivent être étiquetées

[SageMaker.8] les instances de SageMaker bloc-notes doivent fonctionner sur les plates-formes prises en charge

[SageMaker.9] SageMaker les définitions de tâches relatives à la qualité des données doivent avoir le chiffrement du trafic inter-conteneurs activé

[SageMaker.10] les définitions de tâches d'explicabilité du SageMaker modèle doivent avoir le cryptage du trafic inter-conteneurs activé

[SageMaker.11] SageMaker les définitions de tâches relatives à la qualité des données doivent avoir l'isolation réseau activée

[SageMaker.12] les définitions de tâches liées au biais du SageMaker modèle doivent avoir l'isolation réseau activée

[SageMaker.13] les définitions de tâches de qualité des SageMaker modèles doivent avoir le cryptage du trafic inter-conteneurs activé

[SageMaker.14] les calendriers SageMaker de surveillance doivent avoir l'isolation réseau activée

[SageMaker.15] les définitions de tâches liées au biais du SageMaker modèle doivent avoir le cryptage du trafic inter-conteneurs activé

[SageMaker.16] SageMaker les modèles doivent utiliser un registre privé dans VPC pour les conteneurs principaux

[SageMaker.17] les boutiques hors ligne des groupes de SageMaker fonctionnalités doivent être cryptées avec AWS KMS clés

[SageMaker.18] les boutiques en ligne de groupes de SageMaker fonctionnalités avec stockage standard doivent être cryptées avec AWS KMS clés

[SageMaker.19] SageMaker les modèles doivent utiliser un registre privé dans VPC pour les pipelines d'inférence multi-conteneurs

[SES.3] Les ensembles de configuration SES doivent avoir le protocole TLS activé pour l'envoi d'e-mails

[ServiceCatalog.1] Les portefeuilles de Service Catalog doivent être partagés au sein d'unAWSorganisation uniquement

[SNS.4] Les politiques d'accès aux rubriques du SNS ne devraient pas autoriser l'accès public

[SQS.1] Les files d'attente Amazon SQS doivent être chiffrées au repos

[SQS.2] Les files d'attente SQS doivent être étiquetées

[SQS.3] Les politiques d'accès aux files d'attente SQS ne doivent pas autoriser l'accès public

[SSM.4] Les documents SSM ne doivent pas être publics

[SSM.5] Les documents SSM doivent être balisés

[SSM.6] La CloudWatch journalisation devrait être activée dans SSM Automation

[SSM.7] Le paramètre de blocage du partage public doit être activé pour les documents SSM

[StepFunctions.1] La journalisation des machines à états Step Functions doit être activée

[Transfer.2] Les serveurs Transfer Family ne doivent pas utiliser le protocole FTP pour la connexion des terminaux

[Transfer.3] La journalisation des connecteurs Transfer Family doit être activée

[Transfer.4] Les accords Transfer Family doivent être étiquetés

[Transfer.5] Les certificats Transfer Family doivent être étiquetés

[Transfer.6] Les connecteurs Transfer Family doivent être étiquetés

[Transfer.7] Les profils Transfer Family doivent être balisés

[WAF.1]AWS WAFLa journalisation classique de l'ACL Web globale doit être activée

[WAF.2]AWS WAFLes règles régionales classiques doivent comporter au moins une condition

[WAF.3]AWS WAFLes groupes de règles régionaux classiques doivent avoir au moins une règle

[WAF.4]AWS WAFLes ACL Web régionales classiques doivent comporter au moins une règle ou un groupe de règles

[WAF.6]AWS WAFLes règles globales classiques doivent comporter au moins une condition

[WAF.7]AWS WAFLes groupes de règles globaux classiques doivent comporter au moins une règle

[WAF.8]AWS WAFLes ACL Web globales classiques doivent comporter au moins une règle ou un groupe de règles

[WAF.10]AWS WAFLes ACL Web doivent avoir au moins une règle ou un groupe de règles

[WAF.12]AWS WAFles CloudWatch métriques doivent être activées pour les règles

[WorkSpaces.1] les volumes WorkSpaces d'utilisateurs doivent être chiffrés au repos

[WorkSpaces.2] les volumes WorkSpaces racine doivent être chiffrés au repos

[APIGateway.8] Les routes API Gateway doivent spécifier un type d'autorisation

[APIGateway.9] La journalisation des accès doit être configurée pour les étapes API Gateway V2

[Amplify.1] Les applications Amplify doivent être étiquetées

[Amplify.2] Les branches Amplify doivent être étiquetées

[AppFlow.1] AppFlow Les flux Amazon doivent être balisés

[AppRunner.1] Les services App Runner doivent être balisés

[AppRunner.2] Les connecteurs VPC App Runner doivent être étiquetés

[AppSync.1]AWS AppSyncLes caches d'API doivent être chiffrés au repos

[AppSync.2]AWS AppSyncla journalisation au niveau du champ doit être activée

[AppSync.5]AWS AppSyncLes API GraphQL ne doivent pas être authentifiées avec des clés d'API

[AppSync.6]AWS AppSyncLes caches d'API doivent être chiffrés pendant le transport

[Backup.1]AWS Backuples points de récupération doivent être chiffrés au repos

[Batch.1] Les files d'attente de tâches par lots doivent être étiquetées

[Batch.3] Les environnements de calcul par lots doivent être balisés

[Batch.4] Les propriétés des ressources de calcul dans les environnements de calcul Batch gérés doivent être balisées

[BedrockAgentCore.1] Les environnements d' AgentCore exécution de Bedrock doivent être configurés en mode réseau VPC

[BedrockAgentCore.2] Bedrock AgentCore Gateways devrait exiger une autorisation pour les demandes entrantes

[BedrockAgentCore.3] La AgentCore mémoire Bedrock doit être cryptée et gérée par le clientAWS KMSclés

[BedrockAgentCore.4] La AgentCore passerelle Bedrock doit être cryptée et gérée par le clientAWS KMSclés

[BedrockAgentCore.5] Les navigateurs AgentCore personnalisés de Bedrock ne doivent pas utiliser le mode réseau public

[BedrockAgentCore.6] L'enregistrement de session devrait être activé dans les navigateurs AgentCore personnalisés Bedrock

[CloudFormation.3] la protection contre les terminaisons doit être activée pour les CloudFormation piles

[CloudFormation.4] les CloudFormation piles doivent avoir des rôles de service associés

[CloudFront.1] CloudFront les distributions doivent avoir un objet racine configuré par défaut

[CloudFront.3] CloudFront les distributions devraient nécessiter un cryptage en transit

[CloudFront.4] CloudFront les distributions doivent avoir le basculement d'origine configuré

[CloudFront.5] CloudFront les distributions doivent avoir la journalisation activée

[CloudFront.6] CloudFront les distributions doivent avoir le WAF activé

[CloudFront.7] CloudFront les distributions doivent utiliser des SSL/TLS certificats personnalisés

[CloudFront.8] CloudFront les distributions doivent utiliser le SNI pour traiter les requêtes HTTPS

[CloudFront.9] CloudFront les distributions doivent crypter le trafic vers des origines personnalisées

[CloudFront.10] CloudFront les distributions ne doivent pas utiliser de protocoles SSL obsolètes entre les emplacements périphériques et les origines personnalisées

[CloudFront.12] CloudFront les distributions ne doivent pas pointer vers des origines S3 inexistantes

[CloudFront.13] CloudFront les distributions doivent utiliser le contrôle d'accès à l'origine

[CloudFront.14] les CloudFront distributions doivent être étiquetées

[CloudFront.15] CloudFront les distributions doivent utiliser la politique de sécurité TLS recommandée

[CloudFront.16] CloudFront les distributions doivent utiliser le contrôle d'accès à l'origine pour les origines des URL des fonctions Lambda

[CloudFront.17] CloudFront les distributions doivent utiliser des groupes de clés fiables pour les URL signées et les cookies

[CodeArtifact.1] les CodeArtifact référentiels doivent être balisés

[CodeGuruProfiler.1] Les groupes de CodeGuru profilage de profileurs doivent être balisés

[CodeGuruReviewer.1] Les associations de référentiels des CodeGuru réviseurs doivent être étiquetées

[Cognito.1] La protection contre les menaces des groupes d'utilisateurs Cognito doit être activée avec un mode d'application complète des fonctions pour l'authentification standard

[Connect.1] Les types d'objets des profils clients Amazon Connect doivent être balisés

[Connect.2] La CloudWatch journalisation des instances Connect Customer doit être activée

[Detective.1] Les graphes de comportement des détectives doivent être balisés

[DMS.2] Les certificats DMS doivent être balisés

[DMS.3] Les abonnements aux événements DMS doivent être étiquetés

[DMS.4] Les instances de réplication DMS doivent être étiquetées

[DMS.5] Les groupes de sous-réseaux de réplication DMS doivent être balisés

[DMS.6] La mise à niveau automatique des versions mineures des instances de réplication DMS doit être activée

[DMS.7] La journalisation des tâches de réplication DMS pour la base de données cible doit être activée

[DMS.8] La journalisation des tâches de réplication DMS pour la base de données source doit être activée

[DMS.9] Les points de terminaison DMS doivent utiliser le protocole SSL

[DMS.10] L'autorisation IAM doit être activée sur les points de terminaison DMS pour les bases de données Neptune

[DMS.11] Les points de terminaison DMS pour MongoDB doivent avoir un mécanisme d'authentification activé

[DMS.12] TLS doit être activé sur les points de terminaison DMS pour Redis OSS

[DMS.13] Les instances de réplication DMS doivent être configurées pour utiliser plusieurs zones de disponibilité

[DocumentDB.1] Les clusters Amazon DocumentDB doivent être chiffrés au repos

[DocumentDB.2] Les clusters Amazon DocumentDB doivent disposer d'une période de conservation des sauvegardes adéquate

[DocumentDB.3] Les instantanés de cluster manuels Amazon DocumentDB ne doivent pas être publics

[DocumentDB.4] Les clusters Amazon DocumentDB doivent publier les journaux d'audit dans Logs CloudWatch

[DocumentDB.5] La protection contre la suppression des clusters Amazon DocumentDB doit être activée

[DocumentDB.6] Les clusters Amazon DocumentDB doivent être chiffrés pendant le transport

[DynamoDB.3] Les clusters DynamoDB Accelerator (DAX) doivent être chiffrés au repos

[DynamoDB.7] Les clusters DynamoDB Accelerator doivent être chiffrés en transit

[EC2.4] Les instances EC2 arrêtées doivent être supprimées après une période spécifiée

[EC2.14] Les groupes de sécurité ne doivent pas autoriser l'entrée depuis la version 0.0.0. 0/0 ou : :/0 vers le port 3389

[EC2.22] Les groupes de sécurité Amazon EC2 non utilisés doivent être supprimés

[EC2.23] Les passerelles de transit Amazon EC2 ne doivent pas accepter automatiquement les demandes de pièces jointes VPC

[EC2.24] Les types d'instances paravirtuelles Amazon EC2 ne doivent pas être utilisés

[EC2.25] Les modèles de lancement Amazon EC2 ne doivent pas attribuer d'adresses IP publiques aux interfaces réseau

[EC2.34] Les tables de routage de la passerelle de transit EC2 doivent être balisées

[EC2.40] Les passerelles NAT EC2 doivent être étiquetées

[EC2.58] Les VPC doivent être configurés avec un point de terminaison d'interface pour les contacts de Systems Manager Incident Manager

[EC2.60] Les VPC doivent être configurés avec un point de terminaison d'interface pour Systems Manager Incident Manager

[EC2.170] Les modèles de lancement EC2 doivent utiliser le service de métadonnées d'instance version 2 (IMDSv2)

[EC2.173] Les demandes EC2 Spot Fleet avec paramètres de lancement doivent permettre le chiffrement des volumes EBS attachés

[EC2.175] Les modèles de lancement EC2 doivent être balisés

[EC2.181] Les modèles de lancement EC2 doivent activer le chiffrement pour les volumes EBS attachés

[ECR.4] Les référentiels publics ECR doivent être étiquetés

[EFS.1] Elastic File System doit être configuré pour crypter les données des fichiers au repos à l'aide de AWS KMS

[EFS.2] Les volumes Amazon EFS doivent figurer dans les plans de sauvegarde

[ELB.14] L'équilibreur de charge classique doit être configuré avec le mode défensif ou le mode d'atténuation de désynchronisation le plus strict

[ELB.17] Les équilibreurs de charge des applications et du réseau dotés d'écouteurs doivent utiliser les politiques de sécurité recommandées

[ELB.18] Les auditeurs de l'application et de l'équilibreur de charge réseau doivent utiliser des protocoles sécurisés pour crypter les données en transit

[ElastiCache.1] Les sauvegardes automatiques des clusters ElastiCache (Redis OSS) doivent être activées

[ElastiCache.2] les mises à niveau automatiques des versions mineures devraient être activées sur les ElastiCache clusters

[ElastiCache.3] le basculement automatique doit être activé pour les groupes de ElastiCache réplication

[ElastiCache.4] les groupes de ElastiCache réplication doivent être chiffrés au repos

[ElastiCache.5] les groupes ElastiCache de réplication doivent être chiffrés pendant le transport

[ElastiCache.6] Les groupes de réplication ElastiCache (Redis OSS) des versions antérieures doivent avoir Redis OSS AUTH activé

[ElastiCache.7] les ElastiCache clusters ne doivent pas utiliser le groupe de sous-réseaux par défaut

[ElasticBeanstalk.1] Les environnements Elastic Beanstalk devraient avoir activé les rapports de santé améliorés

[ElasticBeanstalk.2] Les mises à jour de la plateforme gérée par Elastic Beanstalk doivent être activées

[ElasticBeanstalk.3] Elastic Beanstalk devrait diffuser les logs vers CloudWatch

[EMR.1] Les nœuds principaux du cluster Amazon EMR ne doivent pas avoir d'adresses IP publiques

[ES.4] La journalisation des erreurs du domaine Elasticsearch dans les CloudWatch journaux doit être activée

[EventBridge.4] la réplication des événements doit être activée sur les points de terminaison EventBridge globaux

[FraudDetector.1] Les types d'entités Amazon Fraud Detector doivent être balisés

[FraudDetector.2] Les étiquettes Amazon Fraud Detector doivent être étiquetées

[FraudDetector.3] Les résultats d'Amazon Fraud Detector doivent être étiquetés

[FraudDetector.4] Les variables Amazon Fraud Detector doivent être étiquetées

[FSx.1] Les systèmes de fichiers FSx pour OpenZFS doivent être configurés pour copier les balises vers les sauvegardes et les volumes

[FSx.3] Les systèmes de fichiers FSx pour OpenZFS doivent être configurés pour le déploiement Multi-AZ

[GlobalAccelerator.1] Les accélérateurs Global Accelerator doivent être étiquetés

[Glue.4]AWS GlueLes tâches Spark doivent s'exécuter sur les versions prises en charge deAWS Glue

[GuardDuty.2] GuardDuty les filtres doivent être balisés

[IAM.1] Les politiques IAM ne doivent pas autoriser des privilèges administratifs « * » complets

[IAM.2] Les utilisateurs IAM ne doivent pas être associés à des politiques IAM

[IAM.3] Les clés d'accès des utilisateurs IAM doivent être renouvelées tous les 90 jours ou moins

[IAM.5] La MFA doit être activée pour tous les utilisateurs IAM disposant d'un mot de passe de console

[IAM.6] Le MFA matériel doit être activé pour l'utilisateur root

[IAM.8] Les informations d'identification utilisateur IAM non utilisées doivent être supprimées

[IAM.10] Les politiques de mot de passe pour les utilisateurs IAM doivent avoir des configurations strictes

[IAM.11] Assurez-vous que la politique de mot de passe IAM nécessite au moins une lettre majuscule

[IAM.12] Assurez-vous que la politique de mot de passe IAM nécessite au moins une lettre minuscule

[IAM.13] Assurez-vous que la politique de mot de passe IAM nécessite au moins un symbole

[IAM.14] Assurez-vous que la politique de mot de passe IAM nécessite au moins un chiffre

[IAM.15] Assurez-vous que la politique de mot de passe IAM exige une longueur de mot de passe minimale de 14 ou plus

[IAM.16] Assurez-vous que la politique de mot de passe IAM empêche la réutilisation des mots de passe

[IAM.17] Assurez-vous que la politique de mot de passe IAM expire les mots de passe dans un délai de 90 jours ou moins

[IAM.18] Assurez-vous qu'un rôle de support a été créé pour gérer les incidents avecAWS Support

[IAM.19] Le MFA doit être activé pour tous les utilisateurs IAM

[IAM.21] Les politiques gérées par le client IAM que vous créez ne doivent pas autoriser les actions génériques pour les services

[IAM.22] Les informations d'identification utilisateur IAM non utilisées pendant 45 jours doivent être supprimées

[IAM.24] Les rôles IAM doivent être balisés

[IAM.25] Les utilisateurs IAM doivent être tagués

[IAM.26] SSL/TLS Les certificats expirés gérés dans IAM doivent être supprimés

[IAM.27] La AWSCloudShellFullAccess politique ne doit pas être attachée aux identités IAM

[Inspector.1] La numérisation Amazon Inspector EC2 doit être activée

[Inspector.2] La numérisation ECR d'Amazon Inspector doit être activée

[Inspector.3] La numérisation du code Lambda par Amazon Inspector doit être activée

[Inspector.4] Le scan standard Amazon Inspector Lambda doit être activé

[IoT.1]AWS IoT Device Defenderles profils de sécurité doivent être balisés

[IoT.2]AWS IoT Coreles mesures d'atténuation doivent être étiquetées

[IoT.3]AWS IoT Coreles dimensions doivent être étiquetées

[IoT.4]AWS IoT Coreles autorisateurs doivent être étiquetés

[IoT.5]AWS IoT Coreles alias de rôle doivent être balisés

[IoT.6]AWS IoT Coreles politiques doivent être étiquetées

[IoTSiteWise.1]AWSLes modèles SiteWise d'actifs IoT devraient être étiquetés

[IoTSiteWise.2]AWS SiteWise Les tableaux de bord de l'IoT doivent être balisés

[IoTSiteWise.3]AWS SiteWise Les passerelles IoT doivent être étiquetées

[IoTSiteWise.4]AWS SiteWise Les portails IoT doivent être étiquetés

[IoTSiteWise.5]AWS SiteWise Les projets IoT doivent être étiquetés

[IoTTwinMaker.1]AWSLes tâches de TwinMaker synchronisation de l'IoT doivent être étiquetées

[IoTTwinMaker.2]AWSLes TwinMaker espaces de travail IoT doivent être étiquetés

[IoTTwinMaker.3]AWSLes TwinMaker scènes IoT doivent être étiquetées

[IoTTwinMaker.4]AWS TwinMaker Les entités IoT doivent être étiquetées

[IoTWireless.1]AWSLes groupes de multidiffusion IoT Wireless doivent être étiquetés

[IoTWireless.2]AWSLes profils de service IoT Wireless doivent être balisés

[IoTWireless.3]AWSLes tâches IoT FUOTA doivent être étiquetées

[IVS.1] Les paires de clés de lecture IVS doivent être étiquetées

[IVS.2] Les configurations d'enregistrement IVS doivent être étiquetées

[IVS.3] Les canaux IVS doivent être balisés

[Keyspaces.1] Les espaces de touches Amazon Keyspaces doivent être balisés

[Kinesis.1] Les flux Kinesis doivent être chiffrés au repos

[KMS.1] Les politiques gérées par le client IAM ne doivent pas autoriser les actions de déchiffrement sur toutes les clés KMS

[KMS.2] Les principaux IAM ne devraient pas avoir de politiques IAM en ligne autorisant les actions de déchiffrement sur toutes les clés KMS

[Macie.1] Amazon Macie devrait être activé

[Macie.2] La découverte automatique des données sensibles par Macie doit être activée

[MQ.6] Les courtiers RabbitMQ doivent utiliser le mode de déploiement en cluster

[MSK.3] Les connecteurs MSK Connect doivent être chiffrés pendant le transport

[MSK.5] La journalisation des connecteurs MSK doit être activée

[Neptune.1] Les clusters de base de données Neptune doivent être chiffrés au repos

[Neptune.2] Les clusters de base de données Neptune doivent publier les journaux d'audit dans Logs CloudWatch

[Neptune.3] Les instantanés du cluster de base de données Neptune ne doivent pas être publics

[Neptune.4] La protection contre la suppression des clusters de base de données Neptune doit être activée

[Neptune.5] Les sauvegardes automatiques des clusters de base de données Neptune doivent être activées

[Neptune.6] Les instantanés du cluster de base de données Neptune doivent être chiffrés au repos

[Neptune.7] L'authentification de base de données IAM doit être activée pour les clusters de base de données Neptune

[Neptune.8] Les clusters de base de données Neptune doivent être configurés pour copier des balises dans des instantanés

[Neptune.9] Les clusters de base de données Neptune doivent être déployés dans plusieurs zones de disponibilité

[Opensearch.1] le chiffrement au repos doit être activé dans les OpenSearch domaines

[Opensearch.2] OpenSearch les domaines ne doivent pas être accessibles au public

[Opensearch.3] OpenSearch les domaines doivent crypter les données envoyées entre les nœuds

[Opensearch.4] la journalisation des erreurs de OpenSearch domaine dans CloudWatch Logs doit être activée

[Opensearch.5] la journalisation des audits doit être activée dans les OpenSearch domaines

[Opensearch.6] OpenSearch les domaines doivent avoir au moins trois nœuds de données

[Opensearch.7] le contrôle d'accès détaillé des OpenSearch domaines doit être activé

[Opensearch.8] Les connexions aux OpenSearch domaines doivent être cryptées selon la dernière politique de sécurité TLS

[Opensearch.9] OpenSearch les domaines doivent être balisés

[Opensearch.10] OpenSearch les domaines doivent avoir la dernière mise à jour logicielle installée

[Opensearch.11] OpenSearch les domaines doivent avoir au moins trois nœuds principaux dédiés

[RDS.1] L'instantané RDS doit être privé

[RDS.14] Le retour en arrière doit être activé sur les clusters Amazon Aurora

[RDS.31] Les groupes de sécurité RDS DB doivent être balisés

[RDS.35] La mise à niveau automatique des versions mineures des clusters de bases de données RDS doit être activée

[RDS.37] Les clusters de bases de données Aurora PostgreSQL doivent publier des journaux dans Logs CloudWatch

[RedshiftServerless.1] Les groupes de travail Amazon Redshift Serverless doivent utiliser un routage VPC amélioré

[RedshiftServerless.2] Les connexions aux groupes de travail Redshift Serverless doivent être requises pour utiliser le protocole SSL

[RedshiftServerless.3] Les groupes de travail Redshift Serverless devraient interdire l'accès public

[RedshiftServerless.4] Les espaces de noms Redshift Serverless doivent être chiffrés et gérés par le clientAWS KMS keys

[RedshiftServerless.5] Les espaces de noms Redshift Serverless ne doivent pas utiliser le nom d'utilisateur administrateur par défaut

[RedshiftServerless.6] Les espaces de noms Redshift Serverless doivent exporter les journaux vers Logs CloudWatch

[Route53.1] Les bilans de santé de la Route 53 doivent être étiquetés

[Route53.2] Les zones hébergées publiques de Route 53 doivent enregistrer les requêtes DNS

[S3.24] Les paramètres de blocage de Multi-Region l'accès public aux points d'accès S3 doivent être activés

[S3.25] Les compartiments de répertoire S3 doivent avoir des configurations de cycle de vie

[SageMaker.1] Les instances Amazon SageMaker Notebook ne doivent pas disposer d'un accès direct à Internet

[SageMaker.2] les instances de SageMaker bloc-notes doivent être lancées dans un VPC personnalisé

[SageMaker.3] Les utilisateurs ne doivent pas avoir d'accès root aux instances de SageMaker bloc-notes

[SageMaker.5] SageMaker les modèles doivent avoir l'isolation réseau activée

[SageMaker.6] les configurations d'image de l' SageMaker application doivent être balisées

[SageMaker.7] les SageMaker images doivent être étiquetées

[SageMaker.8] les instances de SageMaker bloc-notes doivent fonctionner sur les plates-formes prises en charge

[SageMaker.9] SageMaker les définitions de tâches relatives à la qualité des données doivent avoir le chiffrement du trafic inter-conteneurs activé

[SageMaker.10] les définitions de tâches d'explicabilité du SageMaker modèle doivent avoir le cryptage du trafic inter-conteneurs activé

[SageMaker.11] SageMaker les définitions de tâches relatives à la qualité des données doivent avoir l'isolation réseau activée

[SageMaker.12] les définitions de tâches liées au biais du SageMaker modèle doivent avoir l'isolation réseau activée

[SageMaker.13] les définitions de tâches de qualité des SageMaker modèles doivent avoir le cryptage du trafic inter-conteneurs activé

[SageMaker.14] les calendriers SageMaker de surveillance doivent avoir l'isolation réseau activée

[SageMaker.15] les définitions de tâches liées au biais du SageMaker modèle doivent avoir le cryptage du trafic inter-conteneurs activé

[SageMaker.16] SageMaker les modèles doivent utiliser un registre privé dans VPC pour les conteneurs principaux

[SageMaker.17] les boutiques hors ligne des groupes de SageMaker fonctionnalités doivent être cryptées avec AWS KMS clés

[SageMaker.18] les boutiques en ligne de groupes de SageMaker fonctionnalités avec stockage standard doivent être cryptées avec AWS KMS clés

[SageMaker.19] SageMaker les modèles doivent utiliser un registre privé dans VPC pour les pipelines d'inférence multi-conteneurs

[SES.1] Les listes de contacts SES doivent être étiquetées

[SES.2] Les ensembles de configuration SES doivent être étiquetés

[SES.3] Les ensembles de configuration SES doivent avoir le protocole TLS activé pour l'envoi d'e-mails

[SQS.1] Les files d'attente Amazon SQS doivent être chiffrées au repos

[SQS.2] Les files d'attente SQS doivent être étiquetées

[SQS.3] Les politiques d'accès aux files d'attente SQS ne doivent pas autoriser l'accès public

[SSM.4] Les documents SSM ne doivent pas être publics

[SSM.7] Le paramètre de blocage du partage public doit être activé pour les documents SSM

[StepFunctions.1] La journalisation des machines à états Step Functions doit être activée

[Transfer.3] La journalisation des connecteurs Transfer Family doit être activée

[Transfer.4] Les accords Transfer Family doivent être étiquetés

[WAF.1]AWS WAFLa journalisation classique de l'ACL Web globale doit être activée

[WAF.6]AWS WAFLes règles globales classiques doivent comporter au moins une condition

[WAF.7]AWS WAFLes groupes de règles globaux classiques doivent comporter au moins une règle

[WAF.8]AWS WAFLes ACL Web globales classiques doivent comporter au moins une règle ou un groupe de règles

[WorkSpaces.1] les volumes WorkSpaces d'utilisateurs doivent être chiffrés au repos

[WorkSpaces.2] les volumes WorkSpaces racine doivent être chiffrés au repos

[AppSync.1]AWS AppSyncLes caches d'API doivent être chiffrés au repos

[AppSync.6]AWS AppSyncLes caches d'API doivent être chiffrés pendant le transport

[CloudFront.1] CloudFront les distributions doivent avoir un objet racine configuré par défaut

[CloudFront.3] CloudFront les distributions devraient nécessiter un cryptage en transit

[CloudFront.4] CloudFront les distributions doivent avoir le basculement d'origine configuré

[CloudFront.5] CloudFront les distributions doivent avoir la journalisation activée

[CloudFront.6] CloudFront les distributions doivent avoir le WAF activé

[CloudFront.7] CloudFront les distributions doivent utiliser des SSL/TLS certificats personnalisés

[CloudFront.8] CloudFront les distributions doivent utiliser le SNI pour traiter les requêtes HTTPS

[CloudFront.9] CloudFront les distributions doivent crypter le trafic vers des origines personnalisées

[CloudFront.10] CloudFront les distributions ne doivent pas utiliser de protocoles SSL obsolètes entre les emplacements périphériques et les origines personnalisées

[CloudFront.12] CloudFront les distributions ne doivent pas pointer vers des origines S3 inexistantes

[CloudFront.13] CloudFront les distributions doivent utiliser le contrôle d'accès à l'origine

[CloudFront.14] les CloudFront distributions doivent être étiquetées

[CloudFront.15] CloudFront les distributions doivent utiliser la politique de sécurité TLS recommandée

[CloudFront.16] CloudFront les distributions doivent utiliser le contrôle d'accès à l'origine pour les origines des URL des fonctions Lambda

[CloudFront.17] CloudFront les distributions doivent utiliser des groupes de clés fiables pour les URL signées et les cookies

[CodeGuruProfiler.1] Les groupes de CodeGuru profilage de profileurs doivent être balisés

[CodeGuruReviewer.1] Les associations de référentiels des CodeGuru réviseurs doivent être étiquetées

[Connect.1] Les types d'objets des profils clients Amazon Connect doivent être balisés

[Connect.2] La CloudWatch journalisation des instances Connect Customer doit être activée

[EC2.24] Les types d'instances paravirtuelles Amazon EC2 ne doivent pas être utilisés

[EC2.173] Les demandes EC2 Spot Fleet avec paramètres de lancement doivent permettre le chiffrement des volumes EBS attachés

[ECR.4] Les référentiels publics ECR doivent être étiquetés

[FraudDetector.1] Les types d'entités Amazon Fraud Detector doivent être balisés

[FraudDetector.2] Les étiquettes Amazon Fraud Detector doivent être étiquetées

[FraudDetector.3] Les résultats d'Amazon Fraud Detector doivent être étiquetés

[FraudDetector.4] Les variables Amazon Fraud Detector doivent être étiquetées

[GlobalAccelerator.1] Les accélérateurs Global Accelerator doivent être étiquetés

[IAM.26] SSL/TLS Les certificats expirés gérés dans IAM doivent être supprimés

[Inspector.3] La numérisation du code Lambda par Amazon Inspector doit être activée

[IoTTwinMaker.4]AWS TwinMaker Les entités IoT doivent être étiquetées

[IoTWireless.1]AWSLes groupes de multidiffusion IoT Wireless doivent être étiquetés

[IoTWireless.2]AWSLes profils de service IoT Wireless doivent être balisés

[IoTWireless.3]AWSLes tâches IoT FUOTA doivent être étiquetées

[RDS.31] Les groupes de sécurité RDS DB doivent être balisés

[Route53.1] Les bilans de santé de la Route 53 doivent être étiquetés

[Route53.2] Les zones hébergées publiques de Route 53 doivent enregistrer les requêtes DNS

[S3.24] Les paramètres de blocage de Multi-Region l'accès public aux points d'accès S3 doivent être activés

[WAF.1]AWS WAFLa journalisation classique de l'ACL Web globale doit être activée

[WAF.6]AWS WAFLes règles globales classiques doivent comporter au moins une condition

[WAF.7]AWS WAFLes groupes de règles globaux classiques doivent comporter au moins une règle

[WAF.8]AWS WAFLes ACL Web globales classiques doivent comporter au moins une règle ou un groupe de règles

[ACM.1] Importé et ACM-issued les certificats doivent être renouvelés après une période spécifiée

[ACM.2] Les certificats RSA gérés par ACM doivent utiliser une longueur de clé d'au moins 2 048 bits

[Account.1] Les coordonnées de sécurité doivent être fournies pourCompte AWS

[Account.2]Comptes AWSdevrait faire partie d'unAWS Organizationsorganization

[APIGateway.1] API Gateway REST et la journalisation de l'exécution de l' WebSocket API doivent être activées

[APIGateway.2] Les étapes de l'API REST d'API Gateway doivent être configurées pour utiliser des certificats SSL pour l'authentification du backend

[APIGateway.3] Les stages de l'API REST API Gateway doivent avoirAWS X-Raysuivi activé

[APIGateway.4] API Gateway doit être associée à une ACL Web WAF

[APIGateway.5] Les données du cache de l'API REST API Gateway doivent être chiffrées au repos

[APIGateway.8] Les routes API Gateway doivent spécifier un type d'autorisation

[APIGateway.9] La journalisation des accès doit être configurée pour les étapes API Gateway V2

[APIGateway.10] Les intégrations d'API Gateway V2 doivent utiliser le protocole HTTPS pour les connexions privées

[APIGateway.11] Les noms de domaine API Gateway doivent utiliser les politiques de sécurité recommandées

[Amplify.1] Les applications Amplify doivent être étiquetées

[Amplify.2] Les branches Amplify doivent être étiquetées

[AppConfig.1]AWS AppConfigles applications doivent être étiquetées

[AppConfig.2]AWS AppConfigles profils de configuration doivent être balisés

[AppConfig.3]AWS AppConfigles environnements doivent être balisés

[AppConfig.4]AWS AppConfigles associations d'extensions doivent être étiquetées

[AppFlow.1] AppFlow Les flux Amazon doivent être balisés

[AppRunner.1] Les services App Runner doivent être balisés

[AppRunner.2] Les connecteurs VPC App Runner doivent être étiquetés

[AppSync.1]AWS AppSyncLes caches d'API doivent être chiffrés au repos

[AppSync.2]AWS AppSyncla journalisation au niveau du champ doit être activée

[AppSync.4]AWS AppSyncLes API GraphQL doivent être balisées

[AppSync.5]AWS AppSyncLes API GraphQL ne doivent pas être authentifiées avec des clés d'API

[AppSync.6]AWS AppSyncLes caches d'API doivent être chiffrés pendant le transport

[Athena.2] Les catalogues de données Athena doivent être balisés

[Athena.3] Les groupes de travail Athena doivent être étiquetés

[Athena.4] La journalisation des groupes de travail Athena doit être activée

[AutoScaling.2] Le groupe Amazon EC2 Auto Scaling doit couvrir plusieurs zones de disponibilité

[AutoScaling.3] Les configurations de lancement du groupe Auto Scaling doivent configurer les instances EC2 pour qu'elles nécessitent le service de métadonnées d'instance version 2 (IMDSv2)

[AutoScaling.6] Les groupes Auto Scaling doivent utiliser plusieurs types d'instances dans plusieurs zones de disponibilité

[AutoScaling.9] Les groupes Amazon EC2 Auto Scaling doivent utiliser les modèles de lancement Amazon EC2

[Backup.1]AWS Backuples points de récupération doivent être chiffrés au repos

[Backup.2]AWS Backuples points de récupération doivent être étiquetés

[Backup.4]AWS Backuples plans de rapport doivent être étiquetés

[Batch.1] Les files d'attente de tâches par lots doivent être étiquetées

[Batch.2] Les politiques de planification par lots doivent être étiquetées

[Batch.3] Les environnements de calcul par lots doivent être balisés

[Batch.4] Les propriétés des ressources de calcul dans les environnements de calcul Batch gérés doivent être balisées

[BedrockAgentCore.1] Les environnements d' AgentCore exécution de Bedrock doivent être configurés en mode réseau VPC

[BedrockAgentCore.2] Bedrock AgentCore Gateways devrait exiger une autorisation pour les demandes entrantes

[BedrockAgentCore.3] La AgentCore mémoire Bedrock doit être cryptée et gérée par le clientAWS KMSclés

[BedrockAgentCore.4] La AgentCore passerelle Bedrock doit être cryptée et gérée par le clientAWS KMSclés

[BedrockAgentCore.5] Les navigateurs AgentCore personnalisés de Bedrock ne doivent pas utiliser le mode réseau public

[BedrockAgentCore.6] L'enregistrement de session devrait être activé dans les navigateurs AgentCore personnalisés Bedrock

[CloudFormation.3] la protection contre les terminaisons doit être activée pour les CloudFormation piles

[CloudFormation.4] les CloudFormation piles doivent avoir des rôles de service associés

[CloudFront.1] CloudFront les distributions doivent avoir un objet racine configuré par défaut

[CloudFront.3] CloudFront les distributions devraient nécessiter un cryptage en transit

[CloudFront.4] CloudFront les distributions doivent avoir le basculement d'origine configuré

[CloudFront.5] CloudFront les distributions doivent avoir la journalisation activée

[CloudFront.6] CloudFront les distributions doivent avoir le WAF activé

[CloudFront.7] CloudFront les distributions doivent utiliser des SSL/TLS certificats personnalisés

[CloudFront.8] CloudFront les distributions doivent utiliser le SNI pour traiter les requêtes HTTPS

[CloudFront.9] CloudFront les distributions doivent crypter le trafic vers des origines personnalisées

[CloudFront.10] CloudFront les distributions ne doivent pas utiliser de protocoles SSL obsolètes entre les emplacements périphériques et les origines personnalisées

[CloudFront.12] CloudFront les distributions ne doivent pas pointer vers des origines S3 inexistantes

[CloudFront.13] CloudFront les distributions doivent utiliser le contrôle d'accès à l'origine

[CloudFront.14] les CloudFront distributions doivent être étiquetées

[CloudFront.15] CloudFront les distributions doivent utiliser la politique de sécurité TLS recommandée

[CloudFront.16] CloudFront les distributions doivent utiliser le contrôle d'accès à l'origine pour les origines des URL des fonctions Lambda

[CloudFront.17] CloudFront les distributions doivent utiliser des groupes de clés fiables pour les URL signées et les cookies

[CloudTrail.6] Assurez-vous que le compartiment S3 utilisé pour stocker les CloudTrail journaux n'est pas accessible au public

[CloudTrail.7] Assurez-vous que la journalisation des accès au compartiment S3 est activée sur le compartiment CloudTrail S3

[CloudTrail.10] Les magasins de données sur les événements CloudTrail du lac doivent être chiffrés et gérés par le clientAWS KMS keys

[CloudWatch.17] les actions CloudWatch d'alarme doivent être activées

[CodeArtifact.1] les CodeArtifact référentiels doivent être balisés

[CodeBuild.1] Les URL du référentiel source CodeBuild Bitbucket ne doivent pas contenir d'informations d'identification sensibles

[CodeBuild.2] les variables d'environnement CodeBuild du projet ne doivent pas contenir d'informations d'identification en texte clair

[CodeBuild.3] Les journaux CodeBuild S3 doivent être chiffrés

[CodeBuild.4] les environnements de CodeBuild projet doivent avoir une journalisationAWS Configdurée

[CodeBuild.7] les exportations de groupes de CodeBuild rapports doivent être cryptées au repos

[CodeGuruProfiler.1] Les groupes de CodeGuru profilage de profileurs doivent être balisés

[CodeGuruReviewer.1] Les associations de référentiels des CodeGuru réviseurs doivent être étiquetées

[Cognito.1] La protection contre les menaces des groupes d'utilisateurs Cognito doit être activée avec un mode d'application complète des fonctions pour l'authentification standard

[Cognito.2] Les pools d'identités Cognito ne doivent pas autoriser les identités non authentifiées

[Cognito.3] Les politiques de mots de passe pour les groupes d'utilisateurs Cognito doivent être configurées de manière robuste

[Cognito.4] La protection contre les menaces des groupes d'utilisateurs Cognito doit être activée avec un mode d'application complète des fonctions pour une authentification personnalisée

[Cognito.5] Le MFA doit être activé pour les groupes d'utilisateurs Cognito

[Cognito.6] La protection contre la suppression des groupes d'utilisateurs Cognito doit être activée

[Connect.1] Les types d'objets des profils clients Amazon Connect doivent être balisés

[Connect.2] La CloudWatch journalisation des instances Connect Customer doit être activée

[DataFirehose.1] Les flux de diffusion de Firehose doivent être chiffrés au repos

[DataSync.1] la journalisation des DataSync tâches doit être activée

[DataSync.2] DataSync les tâches doivent être étiquetées

[Detective.1] Les graphes de comportement des détectives doivent être balisés

[DMS.2] Les certificats DMS doivent être balisés

[DMS.3] Les abonnements aux événements DMS doivent être étiquetés

[DMS.4] Les instances de réplication DMS doivent être étiquetées

[DMS.5] Les groupes de sous-réseaux de réplication DMS doivent être balisés

[DMS.6] La mise à niveau automatique des versions mineures des instances de réplication DMS doit être activée

[DMS.7] La journalisation des tâches de réplication DMS pour la base de données cible doit être activée

[DMS.8] La journalisation des tâches de réplication DMS pour la base de données source doit être activée

[DMS.9] Les points de terminaison DMS doivent utiliser le protocole SSL

[DMS.10] L'autorisation IAM doit être activée sur les points de terminaison DMS pour les bases de données Neptune

[DMS.11] Les points de terminaison DMS pour MongoDB doivent avoir un mécanisme d'authentification activé

[DMS.12] TLS doit être activé sur les points de terminaison DMS pour Redis OSS

[DMS.13] Les instances de réplication DMS doivent être configurées pour utiliser plusieurs zones de disponibilité

[DocumentDB.1] Les clusters Amazon DocumentDB doivent être chiffrés au repos

[DocumentDB.2] Les clusters Amazon DocumentDB doivent disposer d'une période de conservation des sauvegardes adéquate

[DocumentDB.3] Les instantanés de cluster manuels Amazon DocumentDB ne doivent pas être publics

[DocumentDB.4] Les clusters Amazon DocumentDB doivent publier les journaux d'audit dans Logs CloudWatch

[DocumentDB.5] La protection contre la suppression des clusters Amazon DocumentDB doit être activée

[DocumentDB.6] Les clusters Amazon DocumentDB doivent être chiffrés pendant le transport

[DynamoDB.3] Les clusters DynamoDB Accelerator (DAX) doivent être chiffrés au repos

[DynamoDB.4] Les tables DynamoDB doivent être présentes dans un plan de sauvegarde

[DynamoDB.6] La protection contre la suppression des tables DynamoDB doit être activée

[DynamoDB.7] Les clusters DynamoDB Accelerator doivent être chiffrés en transit

[EC2.4] Les instances EC2 arrêtées doivent être supprimées après une période spécifiée

[EC2.21] Les ACL réseau ne doivent pas autoriser l'entrée à partir de la version 0.0.0. 0/0 vers le port 22 ou le port 3389

[EC2.22] Les groupes de sécurité Amazon EC2 non utilisés doivent être supprimés

[EC2.23] Les passerelles de transit Amazon EC2 ne doivent pas accepter automatiquement les demandes de pièces jointes VPC

[EC2.24] Les types d'instances paravirtuelles Amazon EC2 ne doivent pas être utilisés

[EC2.25] Les modèles de lancement Amazon EC2 ne doivent pas attribuer d'adresses IP publiques aux interfaces réseau

[EC2.28] Les volumes EBS doivent être couverts par un plan de sauvegarde

[EC2.34] Les tables de routage de la passerelle de transit EC2 doivent être balisées

[EC2.40] Les passerelles NAT EC2 doivent être étiquetées

[EC2.51] La journalisation des connexions client doit être activée sur les points de terminaison VPN EC2

[EC2.53] Les groupes de sécurité EC2 ne doivent pas autoriser l'entrée depuis la version 0.0.0. 0/0 vers les ports d'administration de serveurs distants

[EC2.54] Les groupes de sécurité EC2 ne doivent pas autoriser l'entrée depuis : :/0 vers les ports d'administration des serveurs distants

[EC2.55] Les VPC doivent être configurés avec un point de terminaison d'interface pour l'API ECR

[EC2.56] Les VPC doivent être configurés avec un point de terminaison d'interface pour Docker Registry

[EC2.57] Les VPC doivent être configurés avec un point de terminaison d'interface pour Systems Manager

[EC2.58] Les VPC doivent être configurés avec un point de terminaison d'interface pour les contacts de Systems Manager Incident Manager

[EC2.60] Les VPC doivent être configurés avec un point de terminaison d'interface pour Systems Manager Incident Manager

[EC2.170] Les modèles de lancement EC2 doivent utiliser le service de métadonnées d'instance version 2 (IMDSv2)

[EC2.171] La journalisation des connexions VPN EC2 doit être activée

[EC2.172] Les paramètres d'accès public EC2 VPC Block devraient bloquer le trafic de passerelle Internet

[EC2.173] Les demandes EC2 Spot Fleet avec paramètres de lancement doivent permettre le chiffrement des volumes EBS attachés

[EC2.174] Les ensembles d'options DHCP EC2 doivent être balisés

[EC2.175] Les modèles de lancement EC2 doivent être balisés

[EC2.176] Les listes de préfixes EC2 doivent être étiquetées

[EC2.177] Les sessions EC2 Traffic Mirror doivent être étiquetées

[EC2.178] Les filtres de rétroviseurs EC2 doivent être étiquetés

[EC2.179] Les cibles du miroir de trafic EC2 doivent être étiquetées

[EC2.180] La source/destination vérification doit être activée sur les interfaces réseau EC2

[EC2.181] Les modèles de lancement EC2 doivent activer le chiffrement pour les volumes EBS attachés

[EC2.182] Les paramètres de blocage de l'accès public doivent être activés pour les instantanés Amazon EBS

[EC2.183] Les connexions VPN EC2 doivent utiliser le protocole IKEv2

[ECR.1] Les référentiels privés ECR doivent avoir la numérisation d'images configurée

[ECR.2] Les référentiels privés ECR doivent avoir l'immuabilité des balises configurée

[ECR.3] Les référentiels ECR doivent avoir au moins une politique de cycle de vie configurée

[ECR.4] Les référentiels publics ECR doivent être étiquetés

[ECR.5] Les référentiels ECR doivent être chiffrés et gérés par le client AWS KMS keys

[ECS.3] Les définitions de tâches ECS ne doivent pas partager l'espace de noms de processus de l'hôte

[ECS.4] Les conteneurs ECS doivent fonctionner comme des conteneurs non privilégiés

[ECS.5] Les définitions de tâches ECS doivent configurer les conteneurs de manière à ce qu'ils soient limités à l'accès en lecture seule aux systèmes de fichiers racine

[ECS.8] Les secrets ne doivent pas être transmis en tant que variables d'environnement de conteneur

[ECS.9] Les définitions de tâches ECS doivent avoir une configuration de journalisation

[ECS.10] Les services ECS Fargate doivent fonctionner sur la dernière version de la plateforme Fargate

[ECS.12] Les clusters ECS doivent utiliser Container Insights

[ECS.16] Les ensembles de tâches ECS ne doivent pas attribuer automatiquement d'adresses IP publiques

[ECS.17] Les définitions de tâches ECS ne doivent pas utiliser le mode réseau hôte

[ECS.18] Les définitions de tâches ECS doivent utiliser le chiffrement en transit pour les volumes EFS

[ECS.19] Les fournisseurs de capacité ECS devraient avoir activé la protection des terminaisons gérée

[ECS.20] Les définitions de tâches ECS doivent configurer les utilisateurs non root dans les définitions de conteneurs Linux

[ECS.21] Les définitions de tâches ECS doivent configurer les utilisateurs non administrateurs dans les définitions de conteneurs Windows

[EFS.1] Elastic File System doit être configuré pour crypter les données des fichiers au repos à l'aide de AWS KMS

[EFS.2] Les volumes Amazon EFS doivent figurer dans les plans de sauvegarde

[EFS.3] Les points d'accès EFS devraient appliquer un répertoire racine

[EFS.4] Les points d'accès EFS devraient renforcer l'identité de l'utilisateur

[EFS.6] Les cibles de montage EFS ne doivent pas être associées à des sous-réseaux qui attribuent des adresses IP publiques au lancement

[EFS.7] Les sauvegardes automatiques doivent être activées sur les systèmes de fichiers EFS

[EFS.8] Les systèmes de fichiers EFS doivent être chiffrés au repos

[EKS.2] Les clusters EKS doivent fonctionner sur une version de Kubernetes prise en charge

[EKS.3] Les clusters EKS doivent utiliser des secrets Kubernetes chiffrés

[EKS.7] Les configurations du fournisseur d'identité EKS doivent être balisées

[EKS.8] Les clusters EKS doivent avoir la journalisation des audits activée

[EKS.9] Les groupes de nœuds EKS doivent fonctionner sur une version de Kubernetes prise en charge

[ELB.2] Les équilibreurs de charge classiques avec SSL/HTTPS écouteurs doivent utiliser un certificat fourni par AWS Certificate Manager

[ELB.10] L'équilibreur de charge classique doit couvrir plusieurs zones de disponibilité

[ELB.12] L'équilibreur de charge d'application doit être configuré avec le mode défensif ou le mode d'atténuation de désynchronisation le plus strict

[ELB.13] Les équilibreurs de charge des applications, des réseaux et des passerelles doivent couvrir plusieurs zones de disponibilité

[ELB.14] L'équilibreur de charge classique doit être configuré avec le mode défensif ou le mode d'atténuation de désynchronisation le plus strict

[ELB.16] Les équilibreurs de charge des applications doivent être associés à un AWS WAF ACL web

[ELB.17] Les équilibreurs de charge des applications et du réseau dotés d'écouteurs doivent utiliser les politiques de sécurité recommandées

[ELB.18] Les auditeurs de l'application et de l'équilibreur de charge réseau doivent utiliser des protocoles sécurisés pour crypter les données en transit

[ELB.21] Les groupes cibles de l'équilibreur de charge des applications et du Network Load Balancer doivent utiliser des protocoles de contrôle de santé chiffrés

[ELB.22] Les groupes cibles ELB doivent utiliser des protocoles de transport cryptés

[ElastiCache.1] Les sauvegardes automatiques des clusters ElastiCache (Redis OSS) doivent être activées

[ElastiCache.2] les mises à niveau automatiques des versions mineures devraient être activées sur les ElastiCache clusters

[ElastiCache.3] le basculement automatique doit être activé pour les groupes de ElastiCache réplication

[ElastiCache.4] les groupes de ElastiCache réplication doivent être chiffrés au repos

[ElastiCache.5] les groupes ElastiCache de réplication doivent être chiffrés pendant le transport

[ElastiCache.6] Les groupes de réplication ElastiCache (Redis OSS) des versions antérieures doivent avoir Redis OSS AUTH activé

[ElastiCache.7] les ElastiCache clusters ne doivent pas utiliser le groupe de sous-réseaux par défaut

[ElasticBeanstalk.1] Les environnements Elastic Beanstalk devraient avoir activé les rapports de santé améliorés

[ElasticBeanstalk.2] Les mises à jour de la plateforme gérée par Elastic Beanstalk doivent être activées

[ElasticBeanstalk.3] Elastic Beanstalk devrait diffuser les logs vers CloudWatch

[EMR.1] Les nœuds principaux du cluster Amazon EMR ne doivent pas avoir d'adresses IP publiques

[EMR.2] Le paramètre de blocage de l'accès public à Amazon EMR doit être activé

[EMR.3] Les configurations de sécurité Amazon EMR doivent être chiffrées au repos

[EMR.4] Les configurations de sécurité Amazon EMR doivent être cryptées pendant le transport

[ES.3] Les domaines Elasticsearch doivent crypter les données envoyées entre les nœuds

[ES.4] La journalisation des erreurs du domaine Elasticsearch dans les CloudWatch journaux doit être activée

[ES.9] Les domaines Elasticsearch doivent être balisés

[EventBridge.3] les bus d'événements EventBridge personnalisés doivent être associés à une politique basée sur les ressources

[EventBridge.4] la réplication des événements doit être activée sur les points de terminaison EventBridge globaux

[FraudDetector.1] Les types d'entités Amazon Fraud Detector doivent être balisés

[FraudDetector.2] Les étiquettes Amazon Fraud Detector doivent être étiquetées

[FraudDetector.3] Les résultats d'Amazon Fraud Detector doivent être étiquetés

[FraudDetector.4] Les variables Amazon Fraud Detector doivent être étiquetées

[FSx.1] Les systèmes de fichiers FSx pour OpenZFS doivent être configurés pour copier les balises vers les sauvegardes et les volumes

[FSx.2] Les systèmes de fichiers FSx for Lustre doivent être configurés pour copier les balises dans les sauvegardes

[FSx.3] Les systèmes de fichiers FSx pour OpenZFS doivent être configurés pour le déploiement Multi-AZ

[FSx.4] Les systèmes de fichiers FSx pour NetApp ONTAP doivent être configurés pour le déploiement Multi-AZ

[FSx.5] Les systèmes de fichiers FSx for Windows File Server doivent être configurés pour Multi-AZ le déploiement

[GlobalAccelerator.1] Les accélérateurs Global Accelerator doivent être étiquetés

[Glue.1]AWS Glueles emplois doivent être étiquetés

[Glue.3]AWS Glueles transformations de machine learning doivent être cryptées au repos

[Glue.4]AWS GlueLes tâches Spark doivent s'exécuter sur les versions prises en charge deAWS Glue

[GuardDuty.1] GuardDuty doit être activé

[GuardDuty.2] GuardDuty les filtres doivent être balisés

[GuardDuty.3] Les GuardDuty IPsets doivent être balisés

[GuardDuty.4] les GuardDuty détecteurs doivent être étiquetés

[GuardDuty.5] La surveillance du journal d'audit GuardDuty EKS doit être activée

[GuardDuty.6] La protection GuardDuty Lambda doit être activée

[GuardDuty.7] La surveillance du temps d'exécution GuardDuty EKS doit être activée

[GuardDuty.8] La protection contre les GuardDuty programmes malveillants pour EC2 doit être activée

[GuardDuty.9] GuardDuty La protection RDS doit être activée

[GuardDuty.10] La protection GuardDuty S3 doit être activée

[GuardDuty.11] La surveillance du temps GuardDuty d'exécution doit être activée

[GuardDuty.12] La surveillance du temps d'exécution GuardDuty ECS doit être activée

[GuardDuty.13] GuardDuty La surveillance du temps d'exécution EC2 doit être activée

[IAM.1] Les politiques IAM ne doivent pas autoriser des privilèges administratifs « * » complets

[IAM.2] Les utilisateurs IAM ne doivent pas être associés à des politiques IAM

[IAM.3] Les clés d'accès des utilisateurs IAM doivent être renouvelées tous les 90 jours ou moins

[IAM.4] La clé d'accès de l'utilisateur root IAM ne doit pas exister

[IAM.5] La MFA doit être activée pour tous les utilisateurs IAM disposant d'un mot de passe de console

[IAM.6] Le MFA matériel doit être activé pour l'utilisateur root

[IAM.7] Les politiques de mot de passe pour les utilisateurs IAM doivent avoir des configurations strictes

[IAM.8] Les informations d'identification utilisateur IAM non utilisées doivent être supprimées

[IAM.9] La MFA doit être activée pour l'utilisateur root

[IAM.10] Les politiques de mot de passe pour les utilisateurs IAM doivent avoir des configurations strictes

[IAM.11] Assurez-vous que la politique de mot de passe IAM nécessite au moins une lettre majuscule

[IAM.12] Assurez-vous que la politique de mot de passe IAM nécessite au moins une lettre minuscule

[IAM.13] Assurez-vous que la politique de mot de passe IAM nécessite au moins un symbole

[IAM.14] Assurez-vous que la politique de mot de passe IAM nécessite au moins un chiffre

[IAM.15] Assurez-vous que la politique de mot de passe IAM exige une longueur de mot de passe minimale de 14 ou plus

[IAM.16] Assurez-vous que la politique de mot de passe IAM empêche la réutilisation des mots de passe

[IAM.17] Assurez-vous que la politique de mot de passe IAM expire les mots de passe dans un délai de 90 jours ou moins

[IAM.18] Assurez-vous qu'un rôle de support a été créé pour gérer les incidents avecAWS Support

[IAM.19] Le MFA doit être activé pour tous les utilisateurs IAM

[IAM.21] Les politiques gérées par le client IAM que vous créez ne doivent pas autoriser les actions génériques pour les services

[IAM.22] Les informations d'identification utilisateur IAM non utilisées pendant 45 jours doivent être supprimées

[IAM.24] Les rôles IAM doivent être balisés

[IAM.25] Les utilisateurs IAM doivent être tagués

[IAM.26] SSL/TLS Les certificats expirés gérés dans IAM doivent être supprimés

[IAM.27] La AWSCloudShellFullAccess politique ne doit pas être attachée aux identités IAM

[IAM.28] L'analyseur d'accès externe IAM Access Analyzer doit être activé

[Inspector.1] La numérisation Amazon Inspector EC2 doit être activée

[Inspector.2] La numérisation ECR d'Amazon Inspector doit être activée

[Inspector.3] La numérisation du code Lambda par Amazon Inspector doit être activée

[Inspector.4] Le scan standard Amazon Inspector Lambda doit être activé

[IoT.1]AWS IoT Device Defenderles profils de sécurité doivent être balisés

[IoT.2]AWS IoT Coreles mesures d'atténuation doivent être étiquetées

[IoT.3]AWS IoT Coreles dimensions doivent être étiquetées

[IoT.4]AWS IoT Coreles autorisateurs doivent être étiquetés

[IoT.5]AWS IoT Coreles alias de rôle doivent être balisés

[IoT.6]AWS IoT Coreles politiques doivent être étiquetées

[IoTSiteWise.1]AWSLes modèles SiteWise d'actifs IoT devraient être étiquetés

[IoTSiteWise.2]AWS SiteWise Les tableaux de bord de l'IoT doivent être balisés

[IoTSiteWise.3]AWS SiteWise Les passerelles IoT doivent être étiquetées

[IoTSiteWise.4]AWS SiteWise Les portails IoT doivent être étiquetés

[IoTSiteWise.5]AWS SiteWise Les projets IoT doivent être étiquetés

[IoTTwinMaker.1]AWSLes tâches de TwinMaker synchronisation de l'IoT doivent être étiquetées

[IoTTwinMaker.2]AWSLes TwinMaker espaces de travail IoT doivent être étiquetés

[IoTTwinMaker.3]AWSLes TwinMaker scènes IoT doivent être étiquetées

[IoTTwinMaker.4]AWS TwinMaker Les entités IoT doivent être étiquetées

[IoTWireless.1]AWSLes groupes de multidiffusion IoT Wireless doivent être étiquetés

[IoTWireless.2]AWSLes profils de service IoT Wireless doivent être balisés

[IoTWireless.3]AWSLes tâches IoT FUOTA doivent être étiquetées

[IVS.1] Les paires de clés de lecture IVS doivent être étiquetées

[IVS.2] Les configurations d'enregistrement IVS doivent être étiquetées

[IVS.3] Les canaux IVS doivent être balisés

[Keyspaces.1] Les espaces de touches Amazon Keyspaces doivent être balisés

[Kinesis.1] Les flux Kinesis doivent être chiffrés au repos

[Kinesis.3] Les flux Kinesis doivent avoir une période de conservation des données adéquate

[KMS.1] Les politiques gérées par le client IAM ne doivent pas autoriser les actions de déchiffrement sur toutes les clés KMS

[KMS.2] Les principaux IAM ne devraient pas avoir de politiques IAM en ligne autorisant les actions de déchiffrement sur toutes les clés KMS

[KMS.5] Les clés KMS ne doivent pas être accessibles au public

[Lambda.5] Les fonctions Lambda du VPC doivent fonctionner dans plusieurs zones de disponibilité

[Lambda.7] Les fonctions Lambda doivent avoir AWS X-Ray traçage actif activé

[Macie.1] Amazon Macie devrait être activé

[Macie.2] La découverte automatique des données sensibles par Macie doit être activée

[MQ.2] Les courtiers ActiveMQ doivent diffuser les journaux d'audit à CloudWatch

[MQ.4] Les courtiers Amazon MQ doivent être étiquetés

[MQ.5] Les courtiers ActiveMQ doivent utiliser le mode déploiement active/standby

[MQ.6] Les courtiers RabbitMQ doivent utiliser le mode de déploiement en cluster

[MSK.1] Les clusters MSK doivent être chiffrés lors du transit entre les nœuds du courtier

[MSK.2] Les clusters MSK doivent avoir une surveillance améliorée configurée

[MSK.3] Les connecteurs MSK Connect doivent être chiffrés pendant le transport

[MSK.4] L'accès public aux clusters MSK doit être désactivé

[MSK.5] La journalisation des connecteurs MSK doit être activée

[MSK.6] Les clusters MSK doivent désactiver l'accès non authentifié

[Neptune.1] Les clusters de base de données Neptune doivent être chiffrés au repos

[Neptune.2] Les clusters de base de données Neptune doivent publier les journaux d'audit dans Logs CloudWatch

[Neptune.3] Les instantanés du cluster de base de données Neptune ne doivent pas être publics

[Neptune.4] La protection contre la suppression des clusters de base de données Neptune doit être activée

[Neptune.5] Les sauvegardes automatiques des clusters de base de données Neptune doivent être activées

[Neptune.6] Les instantanés du cluster de base de données Neptune doivent être chiffrés au repos

[Neptune.7] L'authentification de base de données IAM doit être activée pour les clusters de base de données Neptune

[Neptune.8] Les clusters de base de données Neptune doivent être configurés pour copier des balises dans des instantanés

[Neptune.9] Les clusters de base de données Neptune doivent être déployés dans plusieurs zones de disponibilité

[NetworkFirewall.1] Les pare-feux Network Firewall doivent être déployés dans plusieurs zones de disponibilité

[NetworkFirewall.2] La journalisation du Network Firewall doit être activée

[NetworkFirewall.3] Les politiques de Network Firewall doivent être associées à au moins un groupe de règles

[NetworkFirewall.4] L'action apatride par défaut pour les politiques de Network Firewall doit être « drop » ou « forward » pour les paquets complets.

[NetworkFirewall.5] L'action apatride par défaut pour les politiques de Network Firewall doit être « drop » ou « forward » pour les paquets fragmentés.

[NetworkFirewall.6] Le groupe de règles Stateless Network Firewall ne doit pas être vide

[NetworkFirewall.9] La protection contre les suppressions doit être activée sur les pare-feux Network Firewall

[NetworkFirewall.10] La protection contre les modifications de sous-réseau doit être activée sur les pare-feux Network Firewall

[Opensearch.1] le chiffrement au repos doit être activé dans les OpenSearch domaines

[Opensearch.2] OpenSearch les domaines ne doivent pas être accessibles au public

[Opensearch.3] OpenSearch les domaines doivent crypter les données envoyées entre les nœuds

[Opensearch.4] la journalisation des erreurs de OpenSearch domaine dans CloudWatch Logs doit être activée

[Opensearch.5] la journalisation des audits doit être activée dans les OpenSearch domaines

[Opensearch.6] OpenSearch les domaines doivent avoir au moins trois nœuds de données

[Opensearch.7] le contrôle d'accès détaillé des OpenSearch domaines doit être activé

[Opensearch.8] Les connexions aux OpenSearch domaines doivent être cryptées selon la dernière politique de sécurité TLS

[Opensearch.9] OpenSearch les domaines doivent être balisés

[Opensearch.10] OpenSearch les domaines doivent avoir la dernière mise à jour logicielle installée

[Opensearch.11] OpenSearch les domaines doivent avoir au moins trois nœuds principaux dédiés

[PCA.1]CA privée AWSl'autorité de certification racine doit être désactivée

[PCA.2]AWSLes autorités de certification privées de l'autorité de certification doivent être étiquetées

[RDS.14] Le retour en arrière doit être activé sur les clusters Amazon Aurora

[RDS.24] Les clusters de bases de données RDS doivent utiliser un nom d'utilisateur d'administrateur personnalisé

[RDS.25] Les instances de base de données RDS doivent utiliser un nom d'utilisateur d'administrateur personnalisé

[RDS.26] Les instances de base de données RDS doivent être protégées par un plan de sauvegarde

[RDS.27] Les clusters de bases de données RDS doivent être chiffrés au repos

[RDS.31] Les groupes de sécurité RDS DB doivent être balisés

[RDS.34] Les clusters de bases de données Aurora MySQL doivent publier des journaux d'audit dans CloudWatch Logs

[RDS.35] La mise à niveau automatique des versions mineures des clusters de bases de données RDS doit être activée

[RDS.36] Les instances de base de données RDS pour PostgreSQL doivent publier des journaux dans Logs CloudWatch

[RDS.37] Les clusters de bases de données Aurora PostgreSQL doivent publier des journaux dans Logs CloudWatch

[RDS.38] Les instances de base de données RDS pour PostgreSQL doivent être chiffrées en transit

[RDS.39] Les instances de base de données RDS pour MySQL doivent être chiffrées en transit

[RDS.40] Les instances de base de données RDS pour SQL Server doivent publier des CloudWatch journaux dans Logs

[RDS.41] Les instances de base de données RDS pour SQL Server doivent être chiffrées en transit

[RDS.42] Les instances de base de données RDS pour MariaDB doivent publier des journaux dans Logs CloudWatch

[RDS.43] Les proxys de base de données RDS doivent nécessiter un cryptage TLS pour les connexions

[RDS.44] Les instances de base de données RDS pour MariaDB doivent être chiffrées en transit

[RDS.45] La journalisation des audits doit être activée pour les clusters de bases de données Aurora MySQL

[RDS.46] Les instances de base de données RDS ne doivent pas être déployées dans des sous-réseaux publics comportant des itinéraires vers des passerelles Internet

[RDS.47] Les clusters de bases de données RDS pour PostgreSQL doivent être configurés pour copier les balises dans les instantanés de base de données

[RDS.48] Les clusters de bases de données RDS pour MySQL doivent être configurés pour copier les balises dans les instantanés de base de données

[RDS.50] Les clusters de bases de données RDS doivent avoir une période de rétention des sauvegardes suffisante

[RDS.51] Les clusters globaux RDS doivent fonctionner sur une version d'Aurora MySQL prise en charge

[Redshift.1] Les clusters Amazon Redshift devraient interdire l'accès public

[Redshift.3] Les snapshots automatiques doivent être activés sur les clusters Amazon Redshift

[Redshift.4] La journalisation des audits doit être activée sur les clusters Amazon Redshift

[Redshift.6] Amazon Redshift devrait activer les mises à niveau automatiques vers les versions majeures

[Redshift.7] Les clusters Redshift doivent utiliser un routage VPC amélioré

[Redshift.8] Les clusters Amazon Redshift ne doivent pas utiliser le nom d'utilisateur d'administrateur par défaut

[Redshift.10] Les clusters Redshift doivent être chiffrés au repos

[Redshift.11] Les clusters Redshift doivent être balisés

[Redshift.13] Les instantanés du cluster Redshift doivent être balisés

[Redshift.15] Les groupes de sécurité Redshift doivent autoriser l'entrée sur le port du cluster uniquement à partir d'origines restreintes

[Redshift.16] Les groupes de sous-réseaux du cluster Redshift doivent avoir des sous-réseaux provenant de plusieurs zones de disponibilité

[Redshift.17] Les groupes de paramètres du cluster Redshift doivent être balisés

[Redshift.18] Les déploiements doivent être activés pour les clusters Redshift Multi-AZ

[RedshiftServerless.1] Les groupes de travail Amazon Redshift Serverless doivent utiliser un routage VPC amélioré

[RedshiftServerless.2] Les connexions aux groupes de travail Redshift Serverless doivent être requises pour utiliser le protocole SSL

[RedshiftServerless.3] Les groupes de travail Redshift Serverless devraient interdire l'accès public

[RedshiftServerless.4] Les espaces de noms Redshift Serverless doivent être chiffrés et gérés par le clientAWS KMS keys

[RedshiftServerless.5] Les espaces de noms Redshift Serverless ne doivent pas utiliser le nom d'utilisateur administrateur par défaut

[RedshiftServerless.6] Les espaces de noms Redshift Serverless doivent exporter les journaux vers Logs CloudWatch

[Route53.1] Les bilans de santé de la Route 53 doivent être étiquetés

[Route53.2] Les zones hébergées publiques de Route 53 doivent enregistrer les requêtes DNS

[S3.7] Les compartiments à usage général S3 doivent utiliser la réplication entre régions

[S3.10] Les compartiments S3 à usage général avec la gestion des versions activée doivent avoir des configurations de cycle de vie

[S3.11] Les notifications d'événements devraient être activées dans les compartiments à usage général S3

[S3.12] Les ACL ne doivent pas être utilisées pour gérer l'accès des utilisateurs aux compartiments S3 à usage général

[S3.13] Les compartiments à usage général S3 doivent avoir des configurations de cycle de vie

[S3.19] Les paramètres de blocage de l'accès public doivent être activés sur les points d'accès S3

[S3.20] La suppression MFA doit être activée dans les compartiments S3 à usage général

[S3.22] Les compartiments à usage général S3 doivent enregistrer les événements d'écriture au niveau de l'objet

[S3.23] Les compartiments à usage général S3 doivent enregistrer les événements de lecture au niveau de l'objet

[S3.24] Les paramètres de blocage de Multi-Region l'accès public aux points d'accès S3 doivent être activés

[S3.25] Les compartiments de répertoire S3 doivent avoir des configurations de cycle de vie

[SageMaker.1] Les instances Amazon SageMaker Notebook ne doivent pas disposer d'un accès direct à Internet

[SageMaker.2] les instances de SageMaker bloc-notes doivent être lancées dans un VPC personnalisé

[SageMaker.3] Les utilisateurs ne doivent pas avoir d'accès root aux instances de SageMaker bloc-notes

[SageMaker.4] les variantes de production de SageMaker terminaux doivent avoir un nombre d'instances initial supérieur à 1

[SageMaker.5] SageMaker les modèles doivent avoir l'isolation réseau activée

[SageMaker.6] les configurations d'image de l' SageMaker application doivent être balisées

[SageMaker.7] les SageMaker images doivent être étiquetées

[SageMaker.8] les instances de SageMaker bloc-notes doivent fonctionner sur les plates-formes prises en charge

[SageMaker.9] SageMaker les définitions de tâches relatives à la qualité des données doivent avoir le chiffrement du trafic inter-conteneurs activé

[SageMaker.10] les définitions de tâches d'explicabilité du SageMaker modèle doivent avoir le cryptage du trafic inter-conteneurs activé

[SageMaker.11] SageMaker les définitions de tâches relatives à la qualité des données doivent avoir l'isolation réseau activée

[SageMaker.12] les définitions de tâches liées au biais du SageMaker modèle doivent avoir l'isolation réseau activée

[SageMaker.13] les définitions de tâches de qualité des SageMaker modèles doivent avoir le cryptage du trafic inter-conteneurs activé

[SageMaker.14] les calendriers SageMaker de surveillance doivent avoir l'isolation réseau activée

[SageMaker.15] les définitions de tâches liées au biais du SageMaker modèle doivent avoir le cryptage du trafic inter-conteneurs activé

[SageMaker.16] SageMaker les modèles doivent utiliser un registre privé dans VPC pour les conteneurs principaux

[SageMaker.17] les boutiques hors ligne des groupes de SageMaker fonctionnalités doivent être cryptées avec AWS KMS clés

[SageMaker.18] les boutiques en ligne de groupes de SageMaker fonctionnalités avec stockage standard doivent être cryptées avec AWS KMS clés

[SageMaker.19] SageMaker les modèles doivent utiliser un registre privé dans VPC pour les pipelines d'inférence multi-conteneurs

[SES.1] Les listes de contacts SES doivent être étiquetées

[SES.2] Les ensembles de configuration SES doivent être étiquetés

[SES.3] Les ensembles de configuration SES doivent avoir le protocole TLS activé pour l'envoi d'e-mails

[ServiceCatalog.1] Les portefeuilles de Service Catalog doivent être partagés au sein d'unAWSorganisation uniquement

[SNS.4] Les politiques d'accès aux rubriques du SNS ne devraient pas autoriser l'accès public

[SQS.1] Les files d'attente Amazon SQS doivent être chiffrées au repos

[SQS.2] Les files d'attente SQS doivent être étiquetées

[SQS.3] Les politiques d'accès aux files d'attente SQS ne doivent pas autoriser l'accès public

[SSM.1] Les instances Amazon EC2 doivent être gérées parAWS Systems Manager

[SSM.2] Les instances Amazon EC2 gérées par Systems Manager doivent avoir un statut de conformité aux correctifs de COMPLIANT après l'installation d'un correctif

[SSM.3] Les instances Amazon EC2 gérées par Systems Manager doivent avoir le statut de conformité des associations COMPLIANT

[SSM.4] Les documents SSM ne doivent pas être publics

[SSM.5] Les documents SSM doivent être balisés

[SSM.6] La CloudWatch journalisation devrait être activée dans SSM Automation

[SSM.7] Le paramètre de blocage du partage public doit être activé pour les documents SSM

[StepFunctions.1] La journalisation des machines à états Step Functions doit être activée

[Transfer.1]AWS Transfer Familyles flux de travail doivent être balisés

[Transfer.2] Les serveurs Transfer Family ne doivent pas utiliser le protocole FTP pour la connexion des terminaux

[Transfer.3] La journalisation des connecteurs Transfer Family doit être activée

[Transfer.4] Les accords Transfer Family doivent être étiquetés

[Transfer.5] Les certificats Transfer Family doivent être étiquetés

[Transfer.6] Les connecteurs Transfer Family doivent être étiquetés

[Transfer.7] Les profils Transfer Family doivent être balisés

[WAF.1]AWS WAFLa journalisation classique de l'ACL Web globale doit être activée

[WAF.2]AWS WAFLes règles régionales classiques doivent comporter au moins une condition

[WAF.3]AWS WAFLes groupes de règles régionaux classiques doivent avoir au moins une règle

[WAF.4]AWS WAFLes ACL Web régionales classiques doivent comporter au moins une règle ou un groupe de règles

[WAF.6]AWS WAFLes règles globales classiques doivent comporter au moins une condition

[WAF.7]AWS WAFLes groupes de règles globaux classiques doivent comporter au moins une règle

[WAF.8]AWS WAFLes ACL Web globales classiques doivent comporter au moins une règle ou un groupe de règles

[WAF.10]AWS WAFLes ACL Web doivent avoir au moins une règle ou un groupe de règles

[WAF.11]AWS WAFla journalisation des ACL Web doit être activée

[WAF.12]AWS WAFles CloudWatch métriques doivent être activées pour les règles

[WorkSpaces.1] les volumes WorkSpaces d'utilisateurs doivent être chiffrés au repos

[WorkSpaces.2] les volumes WorkSpaces racine doivent être chiffrés au repos

[AppFlow.1] AppFlow Les flux Amazon doivent être balisés

[AppRunner.1] Les services App Runner doivent être balisés

[AppRunner.2] Les connecteurs VPC App Runner doivent être étiquetés

[AppSync.1]AWS AppSyncLes caches d'API doivent être chiffrés au repos

[AppSync.6]AWS AppSyncLes caches d'API doivent être chiffrés pendant le transport

[Backup.1]AWS Backuples points de récupération doivent être chiffrés au repos

[BedrockAgentCore.1] Les environnements d' AgentCore exécution de Bedrock doivent être configurés en mode réseau VPC

[BedrockAgentCore.2] Bedrock AgentCore Gateways devrait exiger une autorisation pour les demandes entrantes

[BedrockAgentCore.3] La AgentCore mémoire Bedrock doit être cryptée et gérée par le clientAWS KMSclés

[BedrockAgentCore.4] La AgentCore passerelle Bedrock doit être cryptée et gérée par le clientAWS KMSclés

[BedrockAgentCore.5] Les navigateurs AgentCore personnalisés de Bedrock ne doivent pas utiliser le mode réseau public

[BedrockAgentCore.6] L'enregistrement de session devrait être activé dans les navigateurs AgentCore personnalisés Bedrock

[CloudFront.1] CloudFront les distributions doivent avoir un objet racine configuré par défaut

[CloudFront.3] CloudFront les distributions devraient nécessiter un cryptage en transit

[CloudFront.4] CloudFront les distributions doivent avoir le basculement d'origine configuré

[CloudFront.5] CloudFront les distributions doivent avoir la journalisation activée

[CloudFront.6] CloudFront les distributions doivent avoir le WAF activé

[CloudFront.7] CloudFront les distributions doivent utiliser des SSL/TLS certificats personnalisés

[CloudFront.8] CloudFront les distributions doivent utiliser le SNI pour traiter les requêtes HTTPS

[CloudFront.9] CloudFront les distributions doivent crypter le trafic vers des origines personnalisées

[CloudFront.10] CloudFront les distributions ne doivent pas utiliser de protocoles SSL obsolètes entre les emplacements périphériques et les origines personnalisées

[CloudFront.12] CloudFront les distributions ne doivent pas pointer vers des origines S3 inexistantes

[CloudFront.13] CloudFront les distributions doivent utiliser le contrôle d'accès à l'origine

[CloudFront.14] les CloudFront distributions doivent être étiquetées

[CloudFront.15] CloudFront les distributions doivent utiliser la politique de sécurité TLS recommandée

[CloudFront.16] CloudFront les distributions doivent utiliser le contrôle d'accès à l'origine pour les origines des URL des fonctions Lambda

[CloudFront.17] CloudFront les distributions doivent utiliser des groupes de clés fiables pour les URL signées et les cookies

[CodeArtifact.1] les CodeArtifact référentiels doivent être balisés

[CodeGuruProfiler.1] Les groupes de CodeGuru profilage de profileurs doivent être balisés

[CodeGuruReviewer.1] Les associations de référentiels des CodeGuru réviseurs doivent être étiquetées

[Connect.1] Les types d'objets des profils clients Amazon Connect doivent être balisés

[Connect.2] La CloudWatch journalisation des instances Connect Customer doit être activée

[Detective.1] Les graphes de comportement des détectives doivent être balisés

[DMS.7] La journalisation des tâches de réplication DMS pour la base de données cible doit être activée

[DMS.8] La journalisation des tâches de réplication DMS pour la base de données source doit être activée

[DMS.10] L'autorisation IAM doit être activée sur les points de terminaison DMS pour les bases de données Neptune

[DocumentDB.1] Les clusters Amazon DocumentDB doivent être chiffrés au repos

[DocumentDB.2] Les clusters Amazon DocumentDB doivent disposer d'une période de conservation des sauvegardes adéquate

[DocumentDB.3] Les instantanés de cluster manuels Amazon DocumentDB ne doivent pas être publics

[DocumentDB.4] Les clusters Amazon DocumentDB doivent publier les journaux d'audit dans Logs CloudWatch

[DocumentDB.5] La protection contre la suppression des clusters Amazon DocumentDB doit être activée

[DocumentDB.6] Les clusters Amazon DocumentDB doivent être chiffrés pendant le transport

[DynamoDB.3] Les clusters DynamoDB Accelerator (DAX) doivent être chiffrés au repos

[DynamoDB.7] Les clusters DynamoDB Accelerator doivent être chiffrés en transit

[EC2.4] Les instances EC2 arrêtées doivent être supprimées après une période spécifiée

[EC2.14] Les groupes de sécurité ne doivent pas autoriser l'entrée depuis la version 0.0.0. 0/0 ou : :/0 vers le port 3389

[EC2.22] Les groupes de sécurité Amazon EC2 non utilisés doivent être supprimés

[EC2.23] Les passerelles de transit Amazon EC2 ne doivent pas accepter automatiquement les demandes de pièces jointes VPC

[EC2.24] Les types d'instances paravirtuelles Amazon EC2 ne doivent pas être utilisés

[EC2.55] Les VPC doivent être configurés avec un point de terminaison d'interface pour l'API ECR

[EC2.56] Les VPC doivent être configurés avec un point de terminaison d'interface pour Docker Registry

[EC2.57] Les VPC doivent être configurés avec un point de terminaison d'interface pour Systems Manager

[EC2.58] Les VPC doivent être configurés avec un point de terminaison d'interface pour les contacts de Systems Manager Incident Manager

[EC2.60] Les VPC doivent être configurés avec un point de terminaison d'interface pour Systems Manager Incident Manager

[EC2.173] Les demandes EC2 Spot Fleet avec paramètres de lancement doivent permettre le chiffrement des volumes EBS attachés

[ECR.4] Les référentiels publics ECR doivent être étiquetés

[ELB.2] Les équilibreurs de charge classiques avec SSL/HTTPS écouteurs doivent utiliser un certificat fourni par AWS Certificate Manager

[ElastiCache.1] Les sauvegardes automatiques des clusters ElastiCache (Redis OSS) doivent être activées

[ElastiCache.7] les ElastiCache clusters ne doivent pas utiliser le groupe de sous-réseaux par défaut

[ElasticBeanstalk.1] Les environnements Elastic Beanstalk devraient avoir activé les rapports de santé améliorés

[FraudDetector.1] Les types d'entités Amazon Fraud Detector doivent être balisés

[FraudDetector.2] Les étiquettes Amazon Fraud Detector doivent être étiquetées

[FraudDetector.3] Les résultats d'Amazon Fraud Detector doivent être étiquetés

[FraudDetector.4] Les variables Amazon Fraud Detector doivent être étiquetées

[GlobalAccelerator.1] Les accélérateurs Global Accelerator doivent être étiquetés

[IAM.26] SSL/TLS Les certificats expirés gérés dans IAM doivent être supprimés

[Inspector.3] La numérisation du code Lambda par Amazon Inspector doit être activée

[IoT.1]AWS IoT Device Defenderles profils de sécurité doivent être balisés

[IoT.2]AWS IoT Coreles mesures d'atténuation doivent être étiquetées

[IoT.3]AWS IoT Coreles dimensions doivent être étiquetées

[IoT.4]AWS IoT Coreles autorisateurs doivent être étiquetés

[IoT.5]AWS IoT Coreles alias de rôle doivent être balisés

[IoT.6]AWS IoT Coreles politiques doivent être étiquetées

[IoTSiteWise.1]AWSLes modèles SiteWise d'actifs IoT devraient être étiquetés

[IoTSiteWise.2]AWS SiteWise Les tableaux de bord de l'IoT doivent être balisés

[IoTSiteWise.3]AWS SiteWise Les passerelles IoT doivent être étiquetées

[IoTSiteWise.4]AWS SiteWise Les portails IoT doivent être étiquetés

[IoTSiteWise.5]AWS SiteWise Les projets IoT doivent être étiquetés

[IoTTwinMaker.1]AWSLes tâches de TwinMaker synchronisation de l'IoT doivent être étiquetées

[IoTTwinMaker.2]AWSLes TwinMaker espaces de travail IoT doivent être étiquetés

[IoTTwinMaker.3]AWSLes TwinMaker scènes IoT doivent être étiquetées

[IoTTwinMaker.4]AWS TwinMaker Les entités IoT doivent être étiquetées

[IoTWireless.1]AWSLes groupes de multidiffusion IoT Wireless doivent être étiquetés

[IoTWireless.2]AWSLes profils de service IoT Wireless doivent être balisés

[IoTWireless.3]AWSLes tâches IoT FUOTA doivent être étiquetées

[IVS.1] Les paires de clés de lecture IVS doivent être étiquetées

[IVS.2] Les configurations d'enregistrement IVS doivent être étiquetées

[IVS.3] Les canaux IVS doivent être balisés

[Keyspaces.1] Les espaces de touches Amazon Keyspaces doivent être balisés

[MSK.3] Les connecteurs MSK Connect doivent être chiffrés pendant le transport

[MSK.5] La journalisation des connecteurs MSK doit être activée

[RDS.31] Les groupes de sécurité RDS DB doivent être balisés

[RedshiftServerless.1] Les groupes de travail Amazon Redshift Serverless doivent utiliser un routage VPC amélioré

[RedshiftServerless.2] Les connexions aux groupes de travail Redshift Serverless doivent être requises pour utiliser le protocole SSL

[RedshiftServerless.3] Les groupes de travail Redshift Serverless devraient interdire l'accès public

[RedshiftServerless.4] Les espaces de noms Redshift Serverless doivent être chiffrés et gérés par le clientAWS KMS keys

[RedshiftServerless.5] Les espaces de noms Redshift Serverless ne doivent pas utiliser le nom d'utilisateur administrateur par défaut

[RedshiftServerless.6] Les espaces de noms Redshift Serverless doivent exporter les journaux vers Logs CloudWatch

[Route53.1] Les bilans de santé de la Route 53 doivent être étiquetés

[Route53.2] Les zones hébergées publiques de Route 53 doivent enregistrer les requêtes DNS

[S3.24] Les paramètres de blocage de Multi-Region l'accès public aux points d'accès S3 doivent être activés

[S3.25] Les compartiments de répertoire S3 doivent avoir des configurations de cycle de vie

[SageMaker.16] SageMaker les modèles doivent utiliser un registre privé dans VPC pour les conteneurs principaux

[SageMaker.19] SageMaker les modèles doivent utiliser un registre privé dans VPC pour les pipelines d'inférence multi-conteneurs

[SSM.2] Les instances Amazon EC2 gérées par Systems Manager doivent avoir un statut de conformité aux correctifs de COMPLIANT après l'installation d'un correctif

[SSM.3] Les instances Amazon EC2 gérées par Systems Manager doivent avoir le statut de conformité des associations COMPLIANT

[WAF.1]AWS WAFLa journalisation classique de l'ACL Web globale doit être activée

[WAF.3]AWS WAFLes groupes de règles régionaux classiques doivent avoir au moins une règle

[WAF.6]AWS WAFLes règles globales classiques doivent comporter au moins une condition

[WAF.7]AWS WAFLes groupes de règles globaux classiques doivent comporter au moins une règle

[WAF.8]AWS WAFLes ACL Web globales classiques doivent comporter au moins une règle ou un groupe de règles

[WAF.10]AWS WAFLes ACL Web doivent avoir au moins une règle ou un groupe de règles

[WorkSpaces.1] les volumes WorkSpaces d'utilisateurs doivent être chiffrés au repos

[WorkSpaces.2] les volumes WorkSpaces racine doivent être chiffrés au repos

[AppRunner.1] Les services App Runner doivent être balisés

[AppRunner.2] Les connecteurs VPC App Runner doivent être étiquetés

[AppSync.1]AWS AppSyncLes caches d'API doivent être chiffrés au repos

[AppSync.6]AWS AppSyncLes caches d'API doivent être chiffrés pendant le transport

[BedrockAgentCore.3] La AgentCore mémoire Bedrock doit être cryptée et gérée par le clientAWS KMSclés

[CloudFront.1] CloudFront les distributions doivent avoir un objet racine configuré par défaut

[CloudFront.3] CloudFront les distributions devraient nécessiter un cryptage en transit

[CloudFront.4] CloudFront les distributions doivent avoir le basculement d'origine configuré

[CloudFront.5] CloudFront les distributions doivent avoir la journalisation activée

[CloudFront.6] CloudFront les distributions doivent avoir le WAF activé

[CloudFront.7] CloudFront les distributions doivent utiliser des SSL/TLS certificats personnalisés

[CloudFront.8] CloudFront les distributions doivent utiliser le SNI pour traiter les requêtes HTTPS

[CloudFront.9] CloudFront les distributions doivent crypter le trafic vers des origines personnalisées

[CloudFront.10] CloudFront les distributions ne doivent pas utiliser de protocoles SSL obsolètes entre les emplacements périphériques et les origines personnalisées

[CloudFront.12] CloudFront les distributions ne doivent pas pointer vers des origines S3 inexistantes

[CloudFront.13] CloudFront les distributions doivent utiliser le contrôle d'accès à l'origine

[CloudFront.14] les CloudFront distributions doivent être étiquetées

[CloudFront.15] CloudFront les distributions doivent utiliser la politique de sécurité TLS recommandée

[CloudFront.16] CloudFront les distributions doivent utiliser le contrôle d'accès à l'origine pour les origines des URL des fonctions Lambda

[CloudFront.17] CloudFront les distributions doivent utiliser des groupes de clés fiables pour les URL signées et les cookies

[CodeArtifact.1] les CodeArtifact référentiels doivent être balisés

[CodeGuruProfiler.1] Les groupes de CodeGuru profilage de profileurs doivent être balisés

[CodeGuruReviewer.1] Les associations de référentiels des CodeGuru réviseurs doivent être étiquetées

[Cognito.2] Les pools d'identités Cognito ne doivent pas autoriser les identités non authentifiées

[DynamoDB.3] Les clusters DynamoDB Accelerator (DAX) doivent être chiffrés au repos

[DynamoDB.7] Les clusters DynamoDB Accelerator doivent être chiffrés en transit

[EC2.24] Les types d'instances paravirtuelles Amazon EC2 ne doivent pas être utilisés

[EC2.173] Les demandes EC2 Spot Fleet avec paramètres de lancement doivent permettre le chiffrement des volumes EBS attachés

[EC2.180] La source/destination vérification doit être activée sur les interfaces réseau EC2

[ECR.4] Les référentiels publics ECR doivent être étiquetés

[ELB.18] Les auditeurs de l'application et de l'équilibreur de charge réseau doivent utiliser des protocoles sécurisés pour crypter les données en transit

[FraudDetector.1] Les types d'entités Amazon Fraud Detector doivent être balisés

[FraudDetector.2] Les étiquettes Amazon Fraud Detector doivent être étiquetées

[FraudDetector.3] Les résultats d'Amazon Fraud Detector doivent être étiquetés

[FraudDetector.4] Les variables Amazon Fraud Detector doivent être étiquetées

[GlobalAccelerator.1] Les accélérateurs Global Accelerator doivent être étiquetés

[Glue.4]AWS GlueLes tâches Spark doivent s'exécuter sur les versions prises en charge deAWS Glue

[IAM.26] SSL/TLS Les certificats expirés gérés dans IAM doivent être supprimés

[Inspector.3] La numérisation du code Lambda par Amazon Inspector doit être activée

[IoTTwinMaker.4]AWS TwinMaker Les entités IoT doivent être étiquetées

[IoTWireless.1]AWSLes groupes de multidiffusion IoT Wireless doivent être étiquetés

[IoTWireless.2]AWSLes profils de service IoT Wireless doivent être balisés

[IoTWireless.3]AWSLes tâches IoT FUOTA doivent être étiquetées

[Lambda.7] Les fonctions Lambda doivent avoir AWS X-Ray traçage actif activé

[RDS.31] Les groupes de sécurité RDS DB doivent être balisés

[Redshift.18] Les déploiements doivent être activés pour les clusters Redshift Multi-AZ

[Route53.1] Les bilans de santé de la Route 53 doivent être étiquetés

[Route53.2] Les zones hébergées publiques de Route 53 doivent enregistrer les requêtes DNS

[S3.24] Les paramètres de blocage de Multi-Region l'accès public aux points d'accès S3 doivent être activés

[S3.25] Les compartiments de répertoire S3 doivent avoir des configurations de cycle de vie

[SageMaker.19] SageMaker les modèles doivent utiliser un registre privé dans VPC pour les pipelines d'inférence multi-conteneurs

[SSM.6] La CloudWatch journalisation devrait être activée dans SSM Automation

[SSM.7] Le paramètre de blocage du partage public doit être activé pour les documents SSM

[WAF.1]AWS WAFLa journalisation classique de l'ACL Web globale doit être activée

[WAF.6]AWS WAFLes règles globales classiques doivent comporter au moins une condition

[WAF.7]AWS WAFLes groupes de règles globaux classiques doivent comporter au moins une règle

[WAF.8]AWS WAFLes ACL Web globales classiques doivent comporter au moins une règle ou un groupe de règles

[AppSync.1]AWS AppSyncLes caches d'API doivent être chiffrés au repos

[AppSync.6]AWS AppSyncLes caches d'API doivent être chiffrés pendant le transport

[CloudFront.1] CloudFront les distributions doivent avoir un objet racine configuré par défaut

[CloudFront.3] CloudFront les distributions devraient nécessiter un cryptage en transit

[CloudFront.4] CloudFront les distributions doivent avoir le basculement d'origine configuré

[CloudFront.5] CloudFront les distributions doivent avoir la journalisation activée

[CloudFront.6] CloudFront les distributions doivent avoir le WAF activé

[CloudFront.7] CloudFront les distributions doivent utiliser des SSL/TLS certificats personnalisés

[CloudFront.8] CloudFront les distributions doivent utiliser le SNI pour traiter les requêtes HTTPS

[CloudFront.9] CloudFront les distributions doivent crypter le trafic vers des origines personnalisées

[CloudFront.10] CloudFront les distributions ne doivent pas utiliser de protocoles SSL obsolètes entre les emplacements périphériques et les origines personnalisées

[CloudFront.12] CloudFront les distributions ne doivent pas pointer vers des origines S3 inexistantes

[CloudFront.13] CloudFront les distributions doivent utiliser le contrôle d'accès à l'origine

[CloudFront.14] les CloudFront distributions doivent être étiquetées

[CloudFront.15] CloudFront les distributions doivent utiliser la politique de sécurité TLS recommandée

[CloudFront.16] CloudFront les distributions doivent utiliser le contrôle d'accès à l'origine pour les origines des URL des fonctions Lambda

[CloudFront.17] CloudFront les distributions doivent utiliser des groupes de clés fiables pour les URL signées et les cookies

[EC2.173] Les demandes EC2 Spot Fleet avec paramètres de lancement doivent permettre le chiffrement des volumes EBS attachés

[ECR.4] Les référentiels publics ECR doivent être étiquetés

[GlobalAccelerator.1] Les accélérateurs Global Accelerator doivent être étiquetés

[IAM.26] SSL/TLS Les certificats expirés gérés dans IAM doivent être supprimés

[IoTWireless.1]AWSLes groupes de multidiffusion IoT Wireless doivent être étiquetés

[IoTWireless.2]AWSLes profils de service IoT Wireless doivent être balisés

[IoTWireless.3]AWSLes tâches IoT FUOTA doivent être étiquetées

[IVS.1] Les paires de clés de lecture IVS doivent être étiquetées

[IVS.2] Les configurations d'enregistrement IVS doivent être étiquetées

[IVS.3] Les canaux IVS doivent être balisés

[Route53.1] Les bilans de santé de la Route 53 doivent être étiquetés

[Route53.2] Les zones hébergées publiques de Route 53 doivent enregistrer les requêtes DNS

[S3.24] Les paramètres de blocage de Multi-Region l'accès public aux points d'accès S3 doivent être activés

[S3.25] Les compartiments de répertoire S3 doivent avoir des configurations de cycle de vie

[WAF.1]AWS WAFLa journalisation classique de l'ACL Web globale doit être activée

[WAF.6]AWS WAFLes règles globales classiques doivent comporter au moins une condition

[WAF.7]AWS WAFLes groupes de règles globaux classiques doivent comporter au moins une règle

[WAF.8]AWS WAFLes ACL Web globales classiques doivent comporter au moins une règle ou un groupe de règles

[AppSync.1]AWS AppSyncLes caches d'API doivent être chiffrés au repos

[AppSync.6]AWS AppSyncLes caches d'API doivent être chiffrés pendant le transport

[CloudFront.1] CloudFront les distributions doivent avoir un objet racine configuré par défaut

[CloudFront.3] CloudFront les distributions devraient nécessiter un cryptage en transit

[CloudFront.4] CloudFront les distributions doivent avoir le basculement d'origine configuré

[CloudFront.5] CloudFront les distributions doivent avoir la journalisation activée

[CloudFront.6] CloudFront les distributions doivent avoir le WAF activé

[CloudFront.7] CloudFront les distributions doivent utiliser des SSL/TLS certificats personnalisés

[CloudFront.8] CloudFront les distributions doivent utiliser le SNI pour traiter les requêtes HTTPS

[CloudFront.9] CloudFront les distributions doivent crypter le trafic vers des origines personnalisées

[CloudFront.10] CloudFront les distributions ne doivent pas utiliser de protocoles SSL obsolètes entre les emplacements périphériques et les origines personnalisées

[CloudFront.12] CloudFront les distributions ne doivent pas pointer vers des origines S3 inexistantes

[CloudFront.13] CloudFront les distributions doivent utiliser le contrôle d'accès à l'origine

[CloudFront.14] les CloudFront distributions doivent être étiquetées

[CloudFront.15] CloudFront les distributions doivent utiliser la politique de sécurité TLS recommandée

[CloudFront.16] CloudFront les distributions doivent utiliser le contrôle d'accès à l'origine pour les origines des URL des fonctions Lambda

[CloudFront.17] CloudFront les distributions doivent utiliser des groupes de clés fiables pour les URL signées et les cookies

[EC2.173] Les demandes EC2 Spot Fleet avec paramètres de lancement doivent permettre le chiffrement des volumes EBS attachés

[ECR.4] Les référentiels publics ECR doivent être étiquetés

[GlobalAccelerator.1] Les accélérateurs Global Accelerator doivent être étiquetés

[IAM.26] SSL/TLS Les certificats expirés gérés dans IAM doivent être supprimés

[IVS.1] Les paires de clés de lecture IVS doivent être étiquetées

[IVS.2] Les configurations d'enregistrement IVS doivent être étiquetées

[IVS.3] Les canaux IVS doivent être balisés

[Route53.1] Les bilans de santé de la Route 53 doivent être étiquetés

[Route53.2] Les zones hébergées publiques de Route 53 doivent enregistrer les requêtes DNS

[S3.24] Les paramètres de blocage de Multi-Region l'accès public aux points d'accès S3 doivent être activés

[S3.25] Les compartiments de répertoire S3 doivent avoir des configurations de cycle de vie

[WAF.1]AWS WAFLa journalisation classique de l'ACL Web globale doit être activée

[WAF.6]AWS WAFLes règles globales classiques doivent comporter au moins une condition

[WAF.7]AWS WAFLes groupes de règles globaux classiques doivent comporter au moins une règle

[WAF.8]AWS WAFLes ACL Web globales classiques doivent comporter au moins une règle ou un groupe de règles

[ACM.1] Importé et ACM-issued les certificats doivent être renouvelés après une période spécifiée

[ACM.2] Les certificats RSA gérés par ACM doivent utiliser une longueur de clé d'au moins 2 048 bits

[ACM.3] Les certificats ACM doivent être balisés

[Account.1] Les coordonnées de sécurité doivent être fournies pourCompte AWS

[Account.2]Comptes AWSdevrait faire partie d'unAWS Organizationsorganization

[APIGateway.1] API Gateway REST et la journalisation de l'exécution de l' WebSocket API doivent être activées

[APIGateway.2] Les étapes de l'API REST d'API Gateway doivent être configurées pour utiliser des certificats SSL pour l'authentification du backend

[APIGateway.3] Les stages de l'API REST API Gateway doivent avoirAWS X-Raysuivi activé

[APIGateway.4] API Gateway doit être associée à une ACL Web WAF

[APIGateway.5] Les données du cache de l'API REST API Gateway doivent être chiffrées au repos

[APIGateway.8] Les routes API Gateway doivent spécifier un type d'autorisation

[APIGateway.9] La journalisation des accès doit être configurée pour les étapes API Gateway V2

[APIGateway.10] Les intégrations d'API Gateway V2 doivent utiliser le protocole HTTPS pour les connexions privées

[APIGateway.11] Les noms de domaine API Gateway doivent utiliser les politiques de sécurité recommandées

[Amplify.1] Les applications Amplify doivent être étiquetées

[Amplify.2] Les branches Amplify doivent être étiquetées

[AppConfig.1]AWS AppConfigles applications doivent être étiquetées

[AppConfig.2]AWS AppConfigles profils de configuration doivent être balisés

[AppConfig.3]AWS AppConfigles environnements doivent être balisés

[AppConfig.4]AWS AppConfigles associations d'extensions doivent être étiquetées

[AppFlow.1] AppFlow Les flux Amazon doivent être balisés

[AppRunner.1] Les services App Runner doivent être balisés

[AppRunner.2] Les connecteurs VPC App Runner doivent être étiquetés

[AppSync.1]AWS AppSyncLes caches d'API doivent être chiffrés au repos

[AppSync.2]AWS AppSyncla journalisation au niveau du champ doit être activée

[AppSync.4]AWS AppSyncLes API GraphQL doivent être balisées

[AppSync.5]AWS AppSyncLes API GraphQL ne doivent pas être authentifiées avec des clés d'API

[AppSync.6]AWS AppSyncLes caches d'API doivent être chiffrés pendant le transport

[Athena.2] Les catalogues de données Athena doivent être balisés

[Athena.3] Les groupes de travail Athena doivent être étiquetés

[Athena.4] La journalisation des groupes de travail Athena doit être activée

[AutoScaling.1] Les groupes Auto Scaling associés à un équilibreur de charge doivent utiliser les contrôles de santé ELB

[AutoScaling.2] Le groupe Amazon EC2 Auto Scaling doit couvrir plusieurs zones de disponibilité

[AutoScaling.3] Les configurations de lancement du groupe Auto Scaling doivent configurer les instances EC2 pour qu'elles nécessitent le service de métadonnées d'instance version 2 (IMDSv2)

[AutoScaling.6] Les groupes Auto Scaling doivent utiliser plusieurs types d'instances dans plusieurs zones de disponibilité

[AutoScaling.9] Les groupes Amazon EC2 Auto Scaling doivent utiliser les modèles de lancement Amazon EC2

[AutoScaling.10] Les groupes EC2 Auto Scaling doivent être balisés

[Autoscaling.5] Les instances Amazon EC2 lancées à l'aide des configurations de lancement de groupe Auto Scaling ne doivent pas avoir d'adresses IP publiques

[Backup.1]AWS Backuples points de récupération doivent être chiffrés au repos

[Backup.2]AWS Backuples points de récupération doivent être étiquetés

[Backup.3]AWS Backuples coffres-forts doivent être étiquetés

[Backup.4]AWS Backuples plans de rapport doivent être étiquetés

[Backup.5]AWS Backuples plans de sauvegarde doivent être étiquetés

[Batch.1] Les files d'attente de tâches par lots doivent être étiquetées

[Batch.2] Les politiques de planification par lots doivent être étiquetées

[Batch.3] Les environnements de calcul par lots doivent être balisés

[Batch.4] Les propriétés des ressources de calcul dans les environnements de calcul Batch gérés doivent être balisées

[BedrockAgentCore.1] Les environnements d' AgentCore exécution de Bedrock doivent être configurés en mode réseau VPC

[BedrockAgentCore.2] Bedrock AgentCore Gateways devrait exiger une autorisation pour les demandes entrantes

[BedrockAgentCore.3] La AgentCore mémoire Bedrock doit être cryptée et gérée par le clientAWS KMSclés

[BedrockAgentCore.4] La AgentCore passerelle Bedrock doit être cryptée et gérée par le clientAWS KMSclés

[BedrockAgentCore.5] Les navigateurs AgentCore personnalisés de Bedrock ne doivent pas utiliser le mode réseau public

[BedrockAgentCore.6] L'enregistrement de session devrait être activé dans les navigateurs AgentCore personnalisés Bedrock

[CloudFormation.2] les CloudFormation piles doivent être étiquetées

[CloudFormation.3] la protection contre les terminaisons doit être activée pour les CloudFormation piles

[CloudFormation.4] les CloudFormation piles doivent avoir des rôles de service associés

[CloudFront.1] CloudFront les distributions doivent avoir un objet racine configuré par défaut

[CloudFront.3] CloudFront les distributions devraient nécessiter un cryptage en transit

[CloudFront.4] CloudFront les distributions doivent avoir le basculement d'origine configuré

[CloudFront.5] CloudFront les distributions doivent avoir la journalisation activée

[CloudFront.6] CloudFront les distributions doivent avoir le WAF activé

[CloudFront.7] CloudFront les distributions doivent utiliser des SSL/TLS certificats personnalisés

[CloudFront.8] CloudFront les distributions doivent utiliser le SNI pour traiter les requêtes HTTPS

[CloudFront.9] CloudFront les distributions doivent crypter le trafic vers des origines personnalisées

[CloudFront.10] CloudFront les distributions ne doivent pas utiliser de protocoles SSL obsolètes entre les emplacements périphériques et les origines personnalisées

[CloudFront.12] CloudFront les distributions ne doivent pas pointer vers des origines S3 inexistantes

[CloudFront.13] CloudFront les distributions doivent utiliser le contrôle d'accès à l'origine

[CloudFront.14] les CloudFront distributions doivent être étiquetées

[CloudFront.15] CloudFront les distributions doivent utiliser la politique de sécurité TLS recommandée

[CloudFront.16] CloudFront les distributions doivent utiliser le contrôle d'accès à l'origine pour les origines des URL des fonctions Lambda

[CloudFront.17] CloudFront les distributions doivent utiliser des groupes de clés fiables pour les URL signées et les cookies

[CloudTrail.6] Assurez-vous que le compartiment S3 utilisé pour stocker les CloudTrail journaux n'est pas accessible au public

[CloudTrail.7] Assurez-vous que la journalisation des accès au compartiment S3 est activée sur le compartiment CloudTrail S3

[CloudTrail.9] les CloudTrail sentiers doivent être balisés

[CloudTrail.10] Les magasins de données sur les événements CloudTrail du lac doivent être chiffrés et gérés par le clientAWS KMS keys

[CloudWatch.17] les actions CloudWatch d'alarme doivent être activées

[CodeArtifact.1] les CodeArtifact référentiels doivent être balisés

[CodeBuild.1] Les URL du référentiel source CodeBuild Bitbucket ne doivent pas contenir d'informations d'identification sensibles

[CodeBuild.2] les variables d'environnement CodeBuild du projet ne doivent pas contenir d'informations d'identification en texte clair

[CodeBuild.3] Les journaux CodeBuild S3 doivent être chiffrés

[CodeBuild.4] les environnements de CodeBuild projet doivent avoir une journalisationAWS Configdurée

[CodeBuild.7] les exportations de groupes de CodeBuild rapports doivent être cryptées au repos

[CodeGuruProfiler.1] Les groupes de CodeGuru profilage de profileurs doivent être balisés

[CodeGuruReviewer.1] Les associations de référentiels des CodeGuru réviseurs doivent être étiquetées

[Cognito.1] La protection contre les menaces des groupes d'utilisateurs Cognito doit être activée avec un mode d'application complète des fonctions pour l'authentification standard

[Cognito.2] Les pools d'identités Cognito ne doivent pas autoriser les identités non authentifiées

[Cognito.3] Les politiques de mots de passe pour les groupes d'utilisateurs Cognito doivent être configurées de manière robuste

[Cognito.4] La protection contre les menaces des groupes d'utilisateurs Cognito doit être activée avec un mode d'application complète des fonctions pour une authentification personnalisée

[Cognito.5] Le MFA doit être activé pour les groupes d'utilisateurs Cognito

[Cognito.6] La protection contre la suppression des groupes d'utilisateurs Cognito doit être activée

[Connect.1] Les types d'objets des profils clients Amazon Connect doivent être balisés

[Connect.2] La CloudWatch journalisation des instances Connect Customer doit être activée

[DataFirehose.1] Les flux de diffusion de Firehose doivent être chiffrés au repos

[DataSync.1] la journalisation des DataSync tâches doit être activée

[DataSync.2] DataSync les tâches doivent être étiquetées

[Detective.1] Les graphes de comportement des détectives doivent être balisés

[DMS.1] Les instances de réplication du Database Migration Service ne doivent pas être publiques

[DMS.2] Les certificats DMS doivent être balisés

[DMS.3] Les abonnements aux événements DMS doivent être étiquetés

[DMS.4] Les instances de réplication DMS doivent être étiquetées

[DMS.5] Les groupes de sous-réseaux de réplication DMS doivent être balisés

[DMS.6] La mise à niveau automatique des versions mineures des instances de réplication DMS doit être activée

[DMS.7] La journalisation des tâches de réplication DMS pour la base de données cible doit être activée

[DMS.8] La journalisation des tâches de réplication DMS pour la base de données source doit être activée

[DMS.9] Les points de terminaison DMS doivent utiliser le protocole SSL

[DMS.10] L'autorisation IAM doit être activée sur les points de terminaison DMS pour les bases de données Neptune

[DMS.11] Les points de terminaison DMS pour MongoDB doivent avoir un mécanisme d'authentification activé

[DMS.12] TLS doit être activé sur les points de terminaison DMS pour Redis OSS

[DMS.13] Les instances de réplication DMS doivent être configurées pour utiliser plusieurs zones de disponibilité

[DocumentDB.1] Les clusters Amazon DocumentDB doivent être chiffrés au repos

[DocumentDB.2] Les clusters Amazon DocumentDB doivent disposer d'une période de conservation des sauvegardes adéquate

[DocumentDB.3] Les instantanés de cluster manuels Amazon DocumentDB ne doivent pas être publics

[DocumentDB.4] Les clusters Amazon DocumentDB doivent publier les journaux d'audit dans Logs CloudWatch

[DocumentDB.5] La protection contre la suppression des clusters Amazon DocumentDB doit être activée

[DocumentDB.6] Les clusters Amazon DocumentDB doivent être chiffrés pendant le transport

[DynamoDB.3] Les clusters DynamoDB Accelerator (DAX) doivent être chiffrés au repos

[DynamoDB.4] Les tables DynamoDB doivent être présentes dans un plan de sauvegarde

[DynamoDB.5] Les tables DynamoDB doivent être balisées

[DynamoDB.6] La protection contre la suppression des tables DynamoDB doit être activée

[DynamoDB.7] Les clusters DynamoDB Accelerator doivent être chiffrés en transit

[EC2.4] Les instances EC2 arrêtées doivent être supprimées après une période spécifiée

[EC2.10] Amazon EC2 doit être configuré pour utiliser les points de terminaison VPC créés pour le service Amazon EC2

[EC2.19] Les groupes de sécurité ne doivent pas autoriser un accès illimité aux ports présentant un risque élevé

[EC2.21] Les ACL réseau ne doivent pas autoriser l'entrée à partir de la version 0.0.0. 0/0 vers le port 22 ou le port 3389

[EC2.22] Les groupes de sécurité Amazon EC2 non utilisés doivent être supprimés

[EC2.23] Les passerelles de transit Amazon EC2 ne doivent pas accepter automatiquement les demandes de pièces jointes VPC

[EC2.24] Les types d'instances paravirtuelles Amazon EC2 ne doivent pas être utilisés

[EC2.25] Les modèles de lancement Amazon EC2 ne doivent pas attribuer d'adresses IP publiques aux interfaces réseau

[EC2.28] Les volumes EBS doivent être couverts par un plan de sauvegarde

[EC2.33] Les pièces jointes de la passerelle de transit EC2 doivent être étiquetées

[EC2.34] Les tables de routage de la passerelle de transit EC2 doivent être balisées

[EC2.35] Les interfaces réseau EC2 doivent être étiquetées

[EC2.36] Les passerelles client EC2 doivent être étiquetées

[EC2.37] Les adresses IP Elastic EC2 doivent être balisées

[EC2.38] Les instances EC2 doivent être étiquetées

[EC2.39] Les passerelles Internet EC2 doivent être étiquetées

[EC2.40] Les passerelles NAT EC2 doivent être étiquetées

[EC2.41] Les ACL du réseau EC2 doivent être balisées

[EC2.42] Les tables de routage EC2 doivent être étiquetées

[EC2.43] Les groupes de sécurité EC2 doivent être balisés

[EC2.44] Les sous-réseaux EC2 doivent être balisés

[EC2.45] Les volumes EC2 doivent être balisés

[EC2.46] Les Amazon VPC doivent être balisés

[EC2.47] Les services de point de terminaison Amazon VPC doivent être balisés

[EC2.48] Les journaux de flux Amazon VPC doivent être balisés

[EC2.49] Les connexions d'appairage Amazon VPC doivent être étiquetées

[EC2.50] Les passerelles VPN EC2 doivent être étiquetées

[EC2.51] La journalisation des connexions client doit être activée sur les points de terminaison VPN EC2

[EC2.52] Les passerelles de transit EC2 doivent être étiquetées

[EC2.53] Les groupes de sécurité EC2 ne doivent pas autoriser l'entrée depuis la version 0.0.0. 0/0 vers les ports d'administration de serveurs distants

[EC2.54] Les groupes de sécurité EC2 ne doivent pas autoriser l'entrée depuis : :/0 vers les ports d'administration des serveurs distants

[EC2.55] Les VPC doivent être configurés avec un point de terminaison d'interface pour l'API ECR

[EC2.56] Les VPC doivent être configurés avec un point de terminaison d'interface pour Docker Registry

[EC2.57] Les VPC doivent être configurés avec un point de terminaison d'interface pour Systems Manager

[EC2.58] Les VPC doivent être configurés avec un point de terminaison d'interface pour les contacts de Systems Manager Incident Manager

[EC2.60] Les VPC doivent être configurés avec un point de terminaison d'interface pour Systems Manager Incident Manager

[EC2.170] Les modèles de lancement EC2 doivent utiliser le service de métadonnées d'instance version 2 (IMDSv2)

[EC2.171] La journalisation des connexions VPN EC2 doit être activée

[EC2.172] Les paramètres d'accès public EC2 VPC Block devraient bloquer le trafic de passerelle Internet

[EC2.173] Les demandes EC2 Spot Fleet avec paramètres de lancement doivent permettre le chiffrement des volumes EBS attachés

[EC2.174] Les ensembles d'options DHCP EC2 doivent être balisés

[EC2.175] Les modèles de lancement EC2 doivent être balisés

[EC2.176] Les listes de préfixes EC2 doivent être étiquetées

[EC2.177] Les sessions EC2 Traffic Mirror doivent être étiquetées

[EC2.178] Les filtres de rétroviseurs EC2 doivent être étiquetés

[EC2.179] Les cibles du miroir de trafic EC2 doivent être étiquetées

[EC2.180] La source/destination vérification doit être activée sur les interfaces réseau EC2

[EC2.181] Les modèles de lancement EC2 doivent activer le chiffrement pour les volumes EBS attachés

[EC2.182] Les paramètres de blocage de l'accès public doivent être activés pour les instantanés Amazon EBS

[EC2.183] Les connexions VPN EC2 doivent utiliser le protocole IKEv2

[ECR.1] Les référentiels privés ECR doivent avoir la numérisation d'images configurée

[ECR.2] Les référentiels privés ECR doivent avoir l'immuabilité des balises configurée

[ECR.3] Les référentiels ECR doivent avoir au moins une politique de cycle de vie configurée

[ECR.4] Les référentiels publics ECR doivent être étiquetés

[ECR.5] Les référentiels ECR doivent être chiffrés et gérés par le client AWS KMS keys

[ECS.2] Aucune adresse IP publique ne doit être attribuée automatiquement aux services ECS

[ECS.3] Les définitions de tâches ECS ne doivent pas partager l'espace de noms de processus de l'hôte

[ECS.4] Les conteneurs ECS doivent fonctionner comme des conteneurs non privilégiés

[ECS.5] Les définitions de tâches ECS doivent configurer les conteneurs de manière à ce qu'ils soient limités à l'accès en lecture seule aux systèmes de fichiers racine

[ECS.8] Les secrets ne doivent pas être transmis en tant que variables d'environnement de conteneur

[ECS.9] Les définitions de tâches ECS doivent avoir une configuration de journalisation

[ECS.10] Les services ECS Fargate doivent fonctionner sur la dernière version de la plateforme Fargate

[ECS.12] Les clusters ECS doivent utiliser Container Insights

[ECS.13] Les services ECS doivent être balisés

[ECS.14] Les clusters ECS doivent être balisés

[ECS.15] Les définitions de tâches ECS doivent être étiquetées

[ECS.16] Les ensembles de tâches ECS ne doivent pas attribuer automatiquement d'adresses IP publiques

[ECS.17] Les définitions de tâches ECS ne doivent pas utiliser le mode réseau hôte

[ECS.18] Les définitions de tâches ECS doivent utiliser le chiffrement en transit pour les volumes EFS

[ECS.19] Les fournisseurs de capacité ECS devraient avoir activé la protection des terminaisons gérée

[ECS.20] Les définitions de tâches ECS doivent configurer les utilisateurs non root dans les définitions de conteneurs Linux

[ECS.21] Les définitions de tâches ECS doivent configurer les utilisateurs non administrateurs dans les définitions de conteneurs Windows

[EFS.1] Elastic File System doit être configuré pour crypter les données des fichiers au repos à l'aide de AWS KMS

[EFS.2] Les volumes Amazon EFS doivent figurer dans les plans de sauvegarde

[EFS.3] Les points d'accès EFS devraient appliquer un répertoire racine

[EFS.4] Les points d'accès EFS devraient renforcer l'identité de l'utilisateur

[EFS.5] Les points d'accès EFS doivent être balisés

[EFS.6] Les cibles de montage EFS ne doivent pas être associées à des sous-réseaux qui attribuent des adresses IP publiques au lancement

[EFS.7] Les sauvegardes automatiques doivent être activées sur les systèmes de fichiers EFS

[EFS.8] Les systèmes de fichiers EFS doivent être chiffrés au repos

[EKS.1] Les points de terminaison du cluster EKS ne doivent pas être accessibles au public

[EKS.2] Les clusters EKS doivent fonctionner sur une version de Kubernetes prise en charge

[EKS.3] Les clusters EKS doivent utiliser des secrets Kubernetes chiffrés

[EKS.6] Les clusters EKS doivent être balisés

[EKS.7] Les configurations du fournisseur d'identité EKS doivent être balisées

[EKS.8] Les clusters EKS doivent avoir la journalisation des audits activée

[EKS.9] Les groupes de nœuds EKS doivent fonctionner sur une version de Kubernetes prise en charge

[ELB.2] Les équilibreurs de charge classiques avec SSL/HTTPS écouteurs doivent utiliser un certificat fourni par AWS Certificate Manager

[ELB.3] Les écouteurs Classic Load Balancer doivent être configurés avec une terminaison HTTPS ou TLS

[ELB.7] Le drainage des connexions doit être activé pour les équilibreurs de charge classiques

[ELB.8] Les équilibreurs de charge classiques dotés d'écouteurs SSL doivent utiliser une politique de sécurité prédéfinie qui est solide AWS Config durée

[ELB.10] L'équilibreur de charge classique doit couvrir plusieurs zones de disponibilité

[ELB.12] L'équilibreur de charge d'application doit être configuré avec le mode défensif ou le mode d'atténuation de désynchronisation le plus strict

[ELB.13] Les équilibreurs de charge des applications, des réseaux et des passerelles doivent couvrir plusieurs zones de disponibilité

[ELB.14] L'équilibreur de charge classique doit être configuré avec le mode défensif ou le mode d'atténuation de désynchronisation le plus strict

[ELB.16] Les équilibreurs de charge des applications doivent être associés à un AWS WAF ACL web

[ELB.17] Les équilibreurs de charge des applications et du réseau dotés d'écouteurs doivent utiliser les politiques de sécurité recommandées

[ELB.18] Les auditeurs de l'application et de l'équilibreur de charge réseau doivent utiliser des protocoles sécurisés pour crypter les données en transit

[ELB.21] Les groupes cibles de l'équilibreur de charge des applications et du Network Load Balancer doivent utiliser des protocoles de contrôle de santé chiffrés

[ELB.22] Les groupes cibles ELB doivent utiliser des protocoles de transport cryptés

[ElastiCache.1] Les sauvegardes automatiques des clusters ElastiCache (Redis OSS) doivent être activées

[ElastiCache.2] les mises à niveau automatiques des versions mineures devraient être activées sur les ElastiCache clusters

[ElastiCache.3] le basculement automatique doit être activé pour les groupes de ElastiCache réplication

[ElastiCache.4] les groupes de ElastiCache réplication doivent être chiffrés au repos

[ElastiCache.5] les groupes ElastiCache de réplication doivent être chiffrés pendant le transport

[ElastiCache.6] Les groupes de réplication ElastiCache (Redis OSS) des versions antérieures doivent avoir Redis OSS AUTH activé

[ElastiCache.7] les ElastiCache clusters ne doivent pas utiliser le groupe de sous-réseaux par défaut

[ElasticBeanstalk.1] Les environnements Elastic Beanstalk devraient avoir activé les rapports de santé améliorés

[ElasticBeanstalk.2] Les mises à jour de la plateforme gérée par Elastic Beanstalk doivent être activées

[ElasticBeanstalk.3] Elastic Beanstalk devrait diffuser les logs vers CloudWatch

[EMR.1] Les nœuds principaux du cluster Amazon EMR ne doivent pas avoir d'adresses IP publiques

[EMR.2] Le paramètre de blocage de l'accès public à Amazon EMR doit être activé

[EMR.3] Les configurations de sécurité Amazon EMR doivent être chiffrées au repos

[EMR.4] Les configurations de sécurité Amazon EMR doivent être cryptées pendant le transport

[ES.1] Le chiffrement au repos doit être activé pour les domaines Elasticsearch

[ES.2] Les domaines Elasticsearch ne doivent pas être accessibles au public

[ES.3] Les domaines Elasticsearch doivent crypter les données envoyées entre les nœuds

[ES.4] La journalisation des erreurs du domaine Elasticsearch dans les CloudWatch journaux doit être activée

[ES.5] La journalisation des audits doit être activée pour les domaines Elasticsearch

[ES.6] Les domaines Elasticsearch doivent comporter au moins trois nœuds de données

[ES.7] Les domaines Elasticsearch doivent être configurés avec au moins trois nœuds principaux dédiés

[ES.8] Les connexions aux domaines Elasticsearch doivent être chiffrées conformément à la dernière politique de sécurité TLS

[ES.9] Les domaines Elasticsearch doivent être balisés

[EventBridge.2] les bus EventBridge d'événements doivent être étiquetés

[EventBridge.3] les bus d'événements EventBridge personnalisés doivent être associés à une politique basée sur les ressources

[EventBridge.4] la réplication des événements doit être activée sur les points de terminaison EventBridge globaux

[FraudDetector.1] Les types d'entités Amazon Fraud Detector doivent être balisés

[FraudDetector.2] Les étiquettes Amazon Fraud Detector doivent être étiquetées

[FraudDetector.3] Les résultats d'Amazon Fraud Detector doivent être étiquetés

[FraudDetector.4] Les variables Amazon Fraud Detector doivent être étiquetées

[FSx.1] Les systèmes de fichiers FSx pour OpenZFS doivent être configurés pour copier les balises vers les sauvegardes et les volumes

[FSx.2] Les systèmes de fichiers FSx for Lustre doivent être configurés pour copier les balises dans les sauvegardes

[FSx.3] Les systèmes de fichiers FSx pour OpenZFS doivent être configurés pour le déploiement Multi-AZ

[FSx.4] Les systèmes de fichiers FSx pour NetApp ONTAP doivent être configurés pour le déploiement Multi-AZ

[FSx.5] Les systèmes de fichiers FSx for Windows File Server doivent être configurés pour Multi-AZ le déploiement

[GlobalAccelerator.1] Les accélérateurs Global Accelerator doivent être étiquetés

[Glue.1]AWS Glueles emplois doivent être étiquetés

[Glue.3]AWS Glueles transformations de machine learning doivent être cryptées au repos

[Glue.4]AWS GlueLes tâches Spark doivent s'exécuter sur les versions prises en charge deAWS Glue

[GuardDuty.1] GuardDuty doit être activé

[GuardDuty.2] GuardDuty les filtres doivent être balisés

[GuardDuty.3] Les GuardDuty IPsets doivent être balisés

[GuardDuty.4] les GuardDuty détecteurs doivent être étiquetés

[GuardDuty.5] La surveillance du journal d'audit GuardDuty EKS doit être activée

[GuardDuty.6] La protection GuardDuty Lambda doit être activée

[GuardDuty.7] La surveillance du temps d'exécution GuardDuty EKS doit être activée

[GuardDuty.8] La protection contre les GuardDuty programmes malveillants pour EC2 doit être activée

[GuardDuty.9] GuardDuty La protection RDS doit être activée

[GuardDuty.10] La protection GuardDuty S3 doit être activée

[GuardDuty.11] La surveillance du temps GuardDuty d'exécution doit être activée

[GuardDuty.12] La surveillance du temps d'exécution GuardDuty ECS doit être activée

[GuardDuty.13] GuardDuty La surveillance du temps d'exécution EC2 doit être activée

[IAM.1] Les politiques IAM ne doivent pas autoriser des privilèges administratifs « * » complets

[IAM.2] Les utilisateurs IAM ne doivent pas être associés à des politiques IAM

[IAM.3] Les clés d'accès des utilisateurs IAM doivent être renouvelées tous les 90 jours ou moins

[IAM.4] La clé d'accès de l'utilisateur root IAM ne doit pas exister

[IAM.5] La MFA doit être activée pour tous les utilisateurs IAM disposant d'un mot de passe de console

[IAM.6] Le MFA matériel doit être activé pour l'utilisateur root

[IAM.7] Les politiques de mot de passe pour les utilisateurs IAM doivent avoir des configurations strictes

[IAM.8] Les informations d'identification utilisateur IAM non utilisées doivent être supprimées

[IAM.9] La MFA doit être activée pour l'utilisateur root

[IAM.10] Les politiques de mot de passe pour les utilisateurs IAM doivent avoir des configurations strictes

[IAM.11] Assurez-vous que la politique de mot de passe IAM nécessite au moins une lettre majuscule

[IAM.12] Assurez-vous que la politique de mot de passe IAM nécessite au moins une lettre minuscule

[IAM.13] Assurez-vous que la politique de mot de passe IAM nécessite au moins un symbole

[IAM.14] Assurez-vous que la politique de mot de passe IAM nécessite au moins un chiffre

[IAM.15] Assurez-vous que la politique de mot de passe IAM exige une longueur de mot de passe minimale de 14 ou plus

[IAM.16] Assurez-vous que la politique de mot de passe IAM empêche la réutilisation des mots de passe

[IAM.17] Assurez-vous que la politique de mot de passe IAM expire les mots de passe dans un délai de 90 jours ou moins

[IAM.18] Assurez-vous qu'un rôle de support a été créé pour gérer les incidents avecAWS Support

[IAM.19] Le MFA doit être activé pour tous les utilisateurs IAM

[IAM.21] Les politiques gérées par le client IAM que vous créez ne doivent pas autoriser les actions génériques pour les services

[IAM.22] Les informations d'identification utilisateur IAM non utilisées pendant 45 jours doivent être supprimées

[IAM.23] Les analyseurs IAM Access Analyzer doivent être étiquetés

[IAM.24] Les rôles IAM doivent être balisés

[IAM.25] Les utilisateurs IAM doivent être tagués

[IAM.26] SSL/TLS Les certificats expirés gérés dans IAM doivent être supprimés

[IAM.27] La AWSCloudShellFullAccess politique ne doit pas être attachée aux identités IAM

[IAM.28] L'analyseur d'accès externe IAM Access Analyzer doit être activé

[Inspector.1] La numérisation Amazon Inspector EC2 doit être activée

[Inspector.2] La numérisation ECR d'Amazon Inspector doit être activée

[Inspector.3] La numérisation du code Lambda par Amazon Inspector doit être activée

[Inspector.4] Le scan standard Amazon Inspector Lambda doit être activé

[IoT.1]AWS IoT Device Defenderles profils de sécurité doivent être balisés

[IoT.2]AWS IoT Coreles mesures d'atténuation doivent être étiquetées

[IoT.3]AWS IoT Coreles dimensions doivent être étiquetées

[IoT.4]AWS IoT Coreles autorisateurs doivent être étiquetés

[IoT.5]AWS IoT Coreles alias de rôle doivent être balisés

[IoT.6]AWS IoT Coreles politiques doivent être étiquetées

[IoTSiteWise.1]AWSLes modèles SiteWise d'actifs IoT devraient être étiquetés

[IoTSiteWise.2]AWS SiteWise Les tableaux de bord de l'IoT doivent être balisés

[IoTSiteWise.3]AWS SiteWise Les passerelles IoT doivent être étiquetées

[IoTSiteWise.4]AWS SiteWise Les portails IoT doivent être étiquetés

[IoTSiteWise.5]AWS SiteWise Les projets IoT doivent être étiquetés

[IoTTwinMaker.1]AWSLes tâches de TwinMaker synchronisation de l'IoT doivent être étiquetées

[IoTTwinMaker.2]AWSLes TwinMaker espaces de travail IoT doivent être étiquetés

[IoTTwinMaker.3]AWSLes TwinMaker scènes IoT doivent être étiquetées

[IoTTwinMaker.4]AWS TwinMaker Les entités IoT doivent être étiquetées

[IoTWireless.1]AWSLes groupes de multidiffusion IoT Wireless doivent être étiquetés

[IoTWireless.2]AWSLes profils de service IoT Wireless doivent être balisés

[IoTWireless.3]AWSLes tâches IoT FUOTA doivent être étiquetées

[IVS.1] Les paires de clés de lecture IVS doivent être étiquetées

[IVS.2] Les configurations d'enregistrement IVS doivent être étiquetées

[IVS.3] Les canaux IVS doivent être balisés

[Keyspaces.1] Les espaces de touches Amazon Keyspaces doivent être balisés

[Kinesis.1] Les flux Kinesis doivent être chiffrés au repos

[Kinesis.2] Les flux Kinesis doivent être balisés

[Kinesis.3] Les flux Kinesis doivent avoir une période de conservation des données adéquate

[KMS.1] Les politiques gérées par le client IAM ne doivent pas autoriser les actions de déchiffrement sur toutes les clés KMS

[KMS.2] Les principaux IAM ne devraient pas avoir de politiques IAM en ligne autorisant les actions de déchiffrement sur toutes les clés KMS

[KMS.3]AWS KMS keysne doit pas être supprimé par inadvertance

[KMS.5] Les clés KMS ne doivent pas être accessibles au public

[Lambda.5] Les fonctions Lambda du VPC doivent fonctionner dans plusieurs zones de disponibilité

[Lambda.6] Les fonctions Lambda doivent être balisées

[Lambda.7] Les fonctions Lambda doivent avoir AWS X-Ray traçage actif activé

[Macie.1] Amazon Macie devrait être activé

[Macie.2] La découverte automatique des données sensibles par Macie doit être activée

[MQ.2] Les courtiers ActiveMQ doivent diffuser les journaux d'audit à CloudWatch

[MQ.4] Les courtiers Amazon MQ doivent être étiquetés

[MQ.5] Les courtiers ActiveMQ doivent utiliser le mode déploiement active/standby

[MQ.6] Les courtiers RabbitMQ doivent utiliser le mode de déploiement en cluster

[MSK.1] Les clusters MSK doivent être chiffrés lors du transit entre les nœuds du courtier

[MSK.2] Les clusters MSK doivent avoir une surveillance améliorée configurée

[MSK.3] Les connecteurs MSK Connect doivent être chiffrés pendant le transport

[MSK.4] L'accès public aux clusters MSK doit être désactivé

[MSK.5] La journalisation des connecteurs MSK doit être activée

[MSK.6] Les clusters MSK doivent désactiver l'accès non authentifié

[Neptune.1] Les clusters de base de données Neptune doivent être chiffrés au repos

[Neptune.2] Les clusters de base de données Neptune doivent publier les journaux d'audit dans Logs CloudWatch

[Neptune.3] Les instantanés du cluster de base de données Neptune ne doivent pas être publics

[Neptune.4] La protection contre la suppression des clusters de base de données Neptune doit être activée

[Neptune.5] Les sauvegardes automatiques des clusters de base de données Neptune doivent être activées

[Neptune.6] Les instantanés du cluster de base de données Neptune doivent être chiffrés au repos

[Neptune.7] L'authentification de base de données IAM doit être activée pour les clusters de base de données Neptune

[Neptune.8] Les clusters de base de données Neptune doivent être configurés pour copier des balises dans des instantanés

[Neptune.9] Les clusters de base de données Neptune doivent être déployés dans plusieurs zones de disponibilité

[NetworkFirewall.1] Les pare-feux Network Firewall doivent être déployés dans plusieurs zones de disponibilité

[NetworkFirewall.2] La journalisation du Network Firewall doit être activée

[NetworkFirewall.3] Les politiques de Network Firewall doivent être associées à au moins un groupe de règles

[NetworkFirewall.4] L'action apatride par défaut pour les politiques de Network Firewall doit être « drop » ou « forward » pour les paquets complets.

[NetworkFirewall.5] L'action apatride par défaut pour les politiques de Network Firewall doit être « drop » ou « forward » pour les paquets fragmentés.

[NetworkFirewall.6] Le groupe de règles Stateless Network Firewall ne doit pas être vide

[NetworkFirewall.7] Les pare-feux Network Firewall doivent être étiquetés

[NetworkFirewall.8] Les politiques de pare-feu de Network Firewall doivent être étiquetées

[NetworkFirewall.9] La protection contre les suppressions doit être activée sur les pare-feux Network Firewall

[NetworkFirewall.10] La protection contre les modifications de sous-réseau doit être activée sur les pare-feux Network Firewall

[Opensearch.1] le chiffrement au repos doit être activé dans les OpenSearch domaines

[Opensearch.2] OpenSearch les domaines ne doivent pas être accessibles au public

[Opensearch.3] OpenSearch les domaines doivent crypter les données envoyées entre les nœuds

[Opensearch.4] la journalisation des erreurs de OpenSearch domaine dans CloudWatch Logs doit être activée

[Opensearch.5] la journalisation des audits doit être activée dans les OpenSearch domaines

[Opensearch.6] OpenSearch les domaines doivent avoir au moins trois nœuds de données

[Opensearch.7] le contrôle d'accès détaillé des OpenSearch domaines doit être activé

[Opensearch.8] Les connexions aux OpenSearch domaines doivent être cryptées selon la dernière politique de sécurité TLS

[Opensearch.9] OpenSearch les domaines doivent être balisés

[Opensearch.10] OpenSearch les domaines doivent avoir la dernière mise à jour logicielle installée

[Opensearch.11] OpenSearch les domaines doivent avoir au moins trois nœuds principaux dédiés

[PCA.1]CA privée AWSl'autorité de certification racine doit être désactivée

[PCA.2]AWSLes autorités de certification privées de l'autorité de certification doivent être étiquetées

[RDS.14] Le retour en arrière doit être activé sur les clusters Amazon Aurora

[RDS.16] Les clusters de base de données Aurora doivent être configurés pour copier les balises dans les instantanés de base de données

[RDS.17] Les instances de base de données RDS doivent être configurées pour copier les balises dans les instantanés

[RDS.19] Les abonnements de notification d'événements RDS existants doivent être configurés pour les événements de cluster critiques

[RDS.20] Les abonnements de notification d'événements RDS existants doivent être configurés pour les événements d'instance de base de données critiques

[RDS.21] Un abonnement aux notifications d'événements RDS doit être configuré pour les événements de groupe de paramètres de base de données critiques

[RDS.22] Un abonnement aux notifications d'événements RDS doit être configuré pour les événements critiques du groupe de sécurité des bases de données

[RDS.23] Les instances RDS ne doivent pas utiliser le port par défaut d'un moteur de base de données

[RDS.24] Les clusters de bases de données RDS doivent utiliser un nom d'utilisateur d'administrateur personnalisé

[RDS.25] Les instances de base de données RDS doivent utiliser un nom d'utilisateur d'administrateur personnalisé

[RDS.26] Les instances de base de données RDS doivent être protégées par un plan de sauvegarde

[RDS.27] Les clusters de bases de données RDS doivent être chiffrés au repos

[RDS.28] Les clusters de bases de données RDS doivent être balisés

[RDS.29] Les instantanés du cluster de bases de données RDS doivent être balisés

[RDS.30] Les instances de base de données RDS doivent être balisées

[RDS.31] Les groupes de sécurité RDS DB doivent être balisés

[RDS.32] Les instantanés de base de données RDS doivent être balisés

[RDS.33] Les groupes de sous-réseaux de base de données RDS doivent être balisés

[RDS.34] Les clusters de bases de données Aurora MySQL doivent publier des journaux d'audit dans CloudWatch Logs

[RDS.35] La mise à niveau automatique des versions mineures des clusters de bases de données RDS doit être activée

[RDS.36] Les instances de base de données RDS pour PostgreSQL doivent publier des journaux dans Logs CloudWatch

[RDS.37] Les clusters de bases de données Aurora PostgreSQL doivent publier des journaux dans Logs CloudWatch

[RDS.38] Les instances de base de données RDS pour PostgreSQL doivent être chiffrées en transit

[RDS.39] Les instances de base de données RDS pour MySQL doivent être chiffrées en transit

[RDS.40] Les instances de base de données RDS pour SQL Server doivent publier des CloudWatch journaux dans Logs

[RDS.41] Les instances de base de données RDS pour SQL Server doivent être chiffrées en transit

[RDS.42] Les instances de base de données RDS pour MariaDB doivent publier des journaux dans Logs CloudWatch

[RDS.43] Les proxys de base de données RDS doivent nécessiter un cryptage TLS pour les connexions

[RDS.44] Les instances de base de données RDS pour MariaDB doivent être chiffrées en transit

[RDS.45] La journalisation des audits doit être activée pour les clusters de bases de données Aurora MySQL

[RDS.46] Les instances de base de données RDS ne doivent pas être déployées dans des sous-réseaux publics comportant des itinéraires vers des passerelles Internet

[RDS.47] Les clusters de bases de données RDS pour PostgreSQL doivent être configurés pour copier les balises dans les instantanés de base de données

[RDS.48] Les clusters de bases de données RDS pour MySQL doivent être configurés pour copier les balises dans les instantanés de base de données

[RDS.50] Les clusters de bases de données RDS doivent avoir une période de rétention des sauvegardes suffisante

[RDS.51] Les clusters globaux RDS doivent fonctionner sur une version d'Aurora MySQL prise en charge

[Redshift.1] Les clusters Amazon Redshift devraient interdire l'accès public

[Redshift.2] Les connexions aux clusters Amazon Redshift doivent être chiffrées pendant le transit

[Redshift.3] Les snapshots automatiques doivent être activés sur les clusters Amazon Redshift

[Redshift.4] La journalisation des audits doit être activée sur les clusters Amazon Redshift

[Redshift.6] Amazon Redshift devrait activer les mises à niveau automatiques vers les versions majeures

[Redshift.7] Les clusters Redshift doivent utiliser un routage VPC amélioré

[Redshift.8] Les clusters Amazon Redshift ne doivent pas utiliser le nom d'utilisateur d'administrateur par défaut

[Redshift.10] Les clusters Redshift doivent être chiffrés au repos

[Redshift.11] Les clusters Redshift doivent être balisés

[Redshift.12] Les abonnements aux notifications d'événements Redshift doivent être balisés

[Redshift.13] Les instantanés du cluster Redshift doivent être balisés

[Redshift.14] Les groupes de sous-réseaux du cluster Redshift doivent être balisés

[Redshift.15] Les groupes de sécurité Redshift doivent autoriser l'entrée sur le port du cluster uniquement à partir d'origines restreintes

[Redshift.16] Les groupes de sous-réseaux du cluster Redshift doivent avoir des sous-réseaux provenant de plusieurs zones de disponibilité

[Redshift.17] Les groupes de paramètres du cluster Redshift doivent être balisés

[Redshift.18] Les déploiements doivent être activés pour les clusters Redshift Multi-AZ

[RedshiftServerless.1] Les groupes de travail Amazon Redshift Serverless doivent utiliser un routage VPC amélioré

[RedshiftServerless.2] Les connexions aux groupes de travail Redshift Serverless doivent être requises pour utiliser le protocole SSL

[RedshiftServerless.3] Les groupes de travail Redshift Serverless devraient interdire l'accès public

[RedshiftServerless.4] Les espaces de noms Redshift Serverless doivent être chiffrés et gérés par le clientAWS KMS keys

[RedshiftServerless.5] Les espaces de noms Redshift Serverless ne doivent pas utiliser le nom d'utilisateur administrateur par défaut

[RedshiftServerless.6] Les espaces de noms Redshift Serverless doivent exporter les journaux vers Logs CloudWatch

[Route53.1] Les bilans de santé de la Route 53 doivent être étiquetés

[Route53.2] Les zones hébergées publiques de Route 53 doivent enregistrer les requêtes DNS

[S3.7] Les compartiments à usage général S3 doivent utiliser la réplication entre régions

[S3.10] Les compartiments S3 à usage général avec la gestion des versions activée doivent avoir des configurations de cycle de vie

[S3.11] Les notifications d'événements devraient être activées dans les compartiments à usage général S3

[S3.12] Les ACL ne doivent pas être utilisées pour gérer l'accès des utilisateurs aux compartiments S3 à usage général

[S3.13] Les compartiments à usage général S3 doivent avoir des configurations de cycle de vie

[S3.17] Les compartiments S3 à usage général doivent être chiffrés au repos avecAWS KMS keys

[S3.19] Les paramètres de blocage de l'accès public doivent être activés sur les points d'accès S3

[S3.20] La suppression MFA doit être activée dans les compartiments S3 à usage général

[S3.22] Les compartiments à usage général S3 doivent enregistrer les événements d'écriture au niveau de l'objet

[S3.23] Les compartiments à usage général S3 doivent enregistrer les événements de lecture au niveau de l'objet

[S3.24] Les paramètres de blocage de Multi-Region l'accès public aux points d'accès S3 doivent être activés

[S3.25] Les compartiments de répertoire S3 doivent avoir des configurations de cycle de vie

[SageMaker.1] Les instances Amazon SageMaker Notebook ne doivent pas disposer d'un accès direct à Internet

[SageMaker.2] les instances de SageMaker bloc-notes doivent être lancées dans un VPC personnalisé

[SageMaker.3] Les utilisateurs ne doivent pas avoir d'accès root aux instances de SageMaker bloc-notes

[SageMaker.4] les variantes de production de SageMaker terminaux doivent avoir un nombre d'instances initial supérieur à 1

[SageMaker.5] SageMaker les modèles doivent avoir l'isolation réseau activée

[SageMaker.6] les configurations d'image de l' SageMaker application doivent être balisées

[SageMaker.7] les SageMaker images doivent être étiquetées

[SageMaker.8] les instances de SageMaker bloc-notes doivent fonctionner sur les plates-formes prises en charge

[SageMaker.9] SageMaker les définitions de tâches relatives à la qualité des données doivent avoir le chiffrement du trafic inter-conteneurs activé

[SageMaker.10] les définitions de tâches d'explicabilité du SageMaker modèle doivent avoir le cryptage du trafic inter-conteneurs activé

[SageMaker.11] SageMaker les définitions de tâches relatives à la qualité des données doivent avoir l'isolation réseau activée

[SageMaker.12] les définitions de tâches liées au biais du SageMaker modèle doivent avoir l'isolation réseau activée

[SageMaker.13] les définitions de tâches de qualité des SageMaker modèles doivent avoir le cryptage du trafic inter-conteneurs activé

[SageMaker.14] les calendriers SageMaker de surveillance doivent avoir l'isolation réseau activée

[SageMaker.15] les définitions de tâches liées au biais du SageMaker modèle doivent avoir le cryptage du trafic inter-conteneurs activé

[SageMaker.16] SageMaker les modèles doivent utiliser un registre privé dans VPC pour les conteneurs principaux

[SageMaker.17] les boutiques hors ligne des groupes de SageMaker fonctionnalités doivent être cryptées avec AWS KMS clés

[SageMaker.18] les boutiques en ligne de groupes de SageMaker fonctionnalités avec stockage standard doivent être cryptées avec AWS KMS clés

[SageMaker.19] SageMaker les modèles doivent utiliser un registre privé dans VPC pour les pipelines d'inférence multi-conteneurs

[SES.1] Les listes de contacts SES doivent être étiquetées

[SES.2] Les ensembles de configuration SES doivent être étiquetés

[SES.3] Les ensembles de configuration SES doivent avoir le protocole TLS activé pour l'envoi d'e-mails

[SecretsManager.1] La rotation automatique des secrets des secrets de Secrets Manager doit être activée

[SecretsManager.2] Les secrets de Secrets Manager configurés avec une rotation automatique devraient être correctement pivotés

[SecretsManager.3] Supprimer les secrets inutilisés du Gestionnaire de Secrets

[SecretsManager.4] Les secrets de Secrets Manager doivent être renouvelés dans un délai spécifié

[SecretsManager.5] Les secrets de Secrets Manager doivent être balisés

[ServiceCatalog.1] Les portefeuilles de Service Catalog doivent être partagés au sein d'unAWSorganisation uniquement

[SNS.3] Les sujets SNS doivent être balisés

[SNS.4] Les politiques d'accès aux rubriques du SNS ne devraient pas autoriser l'accès public

[SQS.1] Les files d'attente Amazon SQS doivent être chiffrées au repos

[SQS.2] Les files d'attente SQS doivent être étiquetées

[SQS.3] Les politiques d'accès aux files d'attente SQS ne doivent pas autoriser l'accès public

[SSM.1] Les instances Amazon EC2 doivent être gérées parAWS Systems Manager

[SSM.2] Les instances Amazon EC2 gérées par Systems Manager doivent avoir un statut de conformité aux correctifs de COMPLIANT après l'installation d'un correctif

[SSM.3] Les instances Amazon EC2 gérées par Systems Manager doivent avoir le statut de conformité des associations COMPLIANT

[SSM.4] Les documents SSM ne doivent pas être publics

[SSM.5] Les documents SSM doivent être balisés

[SSM.6] La CloudWatch journalisation devrait être activée dans SSM Automation

[SSM.7] Le paramètre de blocage du partage public doit être activé pour les documents SSM

[StepFunctions.1] La journalisation des machines à états Step Functions doit être activée

[StepFunctions.2] Les activités de Step Functions doivent être étiquetées

[Transfer.1]AWS Transfer Familyles flux de travail doivent être balisés

[Transfer.2] Les serveurs Transfer Family ne doivent pas utiliser le protocole FTP pour la connexion des terminaux

[Transfer.3] La journalisation des connecteurs Transfer Family doit être activée

[Transfer.4] Les accords Transfer Family doivent être étiquetés

[Transfer.5] Les certificats Transfer Family doivent être étiquetés

[Transfer.6] Les connecteurs Transfer Family doivent être étiquetés

[Transfer.7] Les profils Transfer Family doivent être balisés

[WAF.1]AWS WAFLa journalisation classique de l'ACL Web globale doit être activée

[WAF.2]AWS WAFLes règles régionales classiques doivent comporter au moins une condition

[WAF.3]AWS WAFLes groupes de règles régionaux classiques doivent avoir au moins une règle

[WAF.4]AWS WAFLes ACL Web régionales classiques doivent comporter au moins une règle ou un groupe de règles

[WAF.6]AWS WAFLes règles globales classiques doivent comporter au moins une condition

[WAF.7]AWS WAFLes groupes de règles globaux classiques doivent comporter au moins une règle

[WAF.8]AWS WAFLes ACL Web globales classiques doivent comporter au moins une règle ou un groupe de règles

[WAF.10]AWS WAFLes ACL Web doivent avoir au moins une règle ou un groupe de règles

[WAF.11]AWS WAFla journalisation des ACL Web doit être activée

[WAF.12]AWS WAFles CloudWatch métriques doivent être activées pour les règles

[WorkSpaces.1] les volumes WorkSpaces d'utilisateurs doivent être chiffrés au repos

[WorkSpaces.2] les volumes WorkSpaces racine doivent être chiffrés au repos

[ACM.1] Importé et ACM-issued les certificats doivent être renouvelés après une période spécifiée

[ACM.2] Les certificats RSA gérés par ACM doivent utiliser une longueur de clé d'au moins 2 048 bits

[Account.1] Les coordonnées de sécurité doivent être fournies pourCompte AWS

[Account.2]Comptes AWSdevrait faire partie d'unAWS Organizationsorganization

[APIGateway.8] Les routes API Gateway doivent spécifier un type d'autorisation

[APIGateway.9] La journalisation des accès doit être configurée pour les étapes API Gateway V2

[APIGateway.10] Les intégrations d'API Gateway V2 doivent utiliser le protocole HTTPS pour les connexions privées

[Amplify.1] Les applications Amplify doivent être étiquetées