Keamanan

Memeriksa grup keamanan yang dilampirkan ke Application Load Balancer dan target Amazon EC2-nya. Grup keamanan Application Load Balancer seharusnya hanya mengizinkan port masuk yang dikonfigurasi dalam pendengar. Grup keamanan target tidak boleh menerima koneksi langsung dari internet di port yang sama dengan target menerima lalu lintas dari penyeimbang beban.

Jika grup keamanan mengizinkan akses ke port yang tidak dikonfigurasi untuk penyeimbang beban atau memungkinkan akses langsung ke target, risiko kehilangan data atau serangan berbahaya meningkat.

Pemeriksaan ini mengecualikan grup berikut:

8604e947f2

Untuk keamanan yang lebih baik, pastikan grup keamanan Anda hanya mengizinkan arus lalu lintas yang diperlukan:

Memeriksa CloudWatch apakah periode retensi grup log Amazon diatur ke 365 hari atau nomor tertentu lainnya.

Secara default, log disimpan tanpa batas waktu dan tidak pernah kedaluwarsa. Namun, Anda dapat menyesuaikan kebijakan penyimpanan untuk setiap grup log agar sesuai dengan peraturan industri atau persyaratan hukum untuk periode tertentu.

Anda dapat menentukan waktu retensi minimum dan nama grup log menggunakan MinRetentionTime parameter LogGroupNames dan dalam AWS Config aturan Anda.

c18d2gz186

AWS Config Managed Rule: cw-loggroup-retention-period-check

Kuning: Periode retensi grup CloudWatch log Amazon kurang dari jumlah hari minimum yang diinginkan.

Konfigurasikan periode penyimpanan lebih dari 365 hari untuk data log Anda yang disimpan di Amazon CloudWatch Logs untuk memenuhi persyaratan kepatuhan.

Untuk informasi selengkapnya, lihat Mengubah retensi data CloudWatch log di Log.

Mengubah retensi CloudWatch log

Memeriksa versi SQL Server untuk instans Amazon Elastic Compute Cloud (Amazon EC2) yang berjalan dalam 24 jam terakhir. Pemeriksaan ini memberi tahu Anda jika versi sudah dekat atau telah mencapai akhir dukungan. Setiap versi SQL Server menawarkan dukungan 10 tahun, termasuk 5 tahun dukungan mainstream dan 5 tahun dukungan diperpanjang. Setelah dukungan berakhir, versi SQL Server tidak akan menerima pembaruan keamanan reguler. Menjalankan aplikasi dengan versi SQL Server yang tidak didukung dapat membawa risiko keamanan atau kepatuhan.

Qsdfp3A4L3

Untuk memodernisasi beban kerja SQL Server Anda, pertimbangkan refactoring ke database AWS Cloud asli seperti Amazon Aurora. Untuk informasi selengkapnya, lihat Memoder nisasi Beban Kerja Windows dengan. AWS

Untuk pindah ke database yang dikelola sepenuhnya, pertimbangkan untuk melakukan replatform ke Amazon Relational Database Service (Amazon RDS). Untuk informasi selengkapnya, lihat Amazon RDS untuk SQL Server.

Untuk meningkatkan SQL Server Anda di Amazon EC2, pertimbangkan untuk menggunakan runbook otomatisasi untuk menyederhanakan peningkatan Anda. Lihat informasi yang lebih lengkap dalam dokumentasi AWS Systems Manager.

Jika Anda tidak dapat memutakhirkan SQL Server di Amazon EC2, pertimbangkan Program End-of-Support Migrasi (EMP) untuk Windows Server. Untuk informasi lebih lanjut, lihat Situs Web https://aws.amazon.com/emp-windows-server/ EMP.

Pemeriksaan ini memberi tahu Anda jika versi Microsoft Windows Server Anda sudah dekat atau telah mencapai akhir dukungan. Setiap versi Windows Server menawarkan dukungan 10 tahun, termasuk 5 tahun dukungan mainstream dan 5 tahun dukungan diperpanjang. Setelah dukungan berakhir, versi Windows Server tidak akan menerima pembaruan keamanan reguler. Menjalankan aplikasi dengan versi Windows Server yang tidak didukung dapat membawa risiko keamanan atau kepatuhan.

Qsdfp3A4L4

Untuk memodernisasi beban kerja Windows Server Anda, pertimbangkan berbagai opsi yang tersedia di Modernisasi Beban Kerja Windows dengan. AWS

Untuk memutakhirkan beban kerja Windows Server Anda agar berjalan pada versi Windows Server yang lebih baru, Anda dapat menggunakan runbook otomatisasi. Untuk informasi selengkapnya, lihat dokumentasi Manajer AWS Sistem.

Selesaikan langkah-langkah berikut:

Pemeriksaan ini memberi tahu Anda jika versi sudah dekat atau telah mencapai akhir dukungan standar. Penting untuk mengambil tindakan — baik dengan bermigrasi ke LTS berikutnya atau memutakhirkan ke Ubuntu Pro. Setelah dukungan berakhir, mesin 18.04 LTS Anda tidak akan menerima pembaruan keamanan apa pun. Dengan langganan Ubuntu Pro, penerapan Ubuntu 18.04 LTS Anda dapat menerima Pemeliharaan Keamanan yang Diperluas (ESM) hingga 2028. Kerentanan keamanan yang tetap tidak ditambal membuka sistem Anda untuk peretas dan potensi pelanggaran besar.

c1dfprch15

Merah: Instans Amazon EC2 memiliki versi Ubuntu yang mencapai akhir dukungan standar (Ubuntu 18.04 LTS, 18.04.1 LTS, 18.04.2 LTS, 18.04.3 LTS, 18.04.4 LTS, 18.04.5 LTS, dan 18.04.6 LTS).

Kuning: Instans Amazon EC2 memiliki versi Ubuntu yang akan mencapai akhir dukungan standar dalam waktu kurang dari 6 bulan (Ubuntu 20.04 LTS, 20.04.1 LTS, 20.04.2 LTS, 20.04.3 LTS, 20.04.4 LTS, 20.04.5 LTS, dan 20.04.6 LTS).

Hijau: Semua instans Amazon EC2 sesuai.

Untuk memutakhirkan instance Ubuntu 18.04 LTS ke versi LTS yang didukung, ikuti langkah-langkah yang disebutkan dalam artikel ini. Untuk memutakhirkan instance Ubuntu 18.04 LTS ke Ubuntu Pro, kunjungi AWS License Manager konsol dan ikuti langkah-langkah yang disebutkan dalam panduan AWS License Manager pengguna. Anda juga dapat merujuk ke blog Ubuntu yang menunjukkan demo langkah demi langkah untuk meningkatkan instance Ubuntu ke Ubuntu Pro.

Untuk informasi tentang harga, hubungi Dukungan.

Memeriksa apakah sistem file Amazon EFS dipasang menggunakan enkripsi data-in-transit. AWS merekomendasikan agar pelanggan menggunakan enkripsi data-in-transit untuk semua aliran data untuk melindungi data dari paparan yang tidak disengaja atau akses yang tidak sah. Amazon EFS merekomendasikan klien menggunakan setelan mount '-o tls' menggunakan pembantu pemasangan Amazon EFS untuk mengenkripsi data yang sedang transit menggunakan TLS v1.2.

c1dfpnchv1

Kuning: Satu atau lebih klien NFS untuk sistem file Amazon EFS Anda tidak menggunakan pengaturan pemasangan yang disarankan yang menyediakan enkripsi data-in-transit.

Hijau: Semua klien NFS untuk sistem file Amazon EFS Anda menggunakan pengaturan pemasangan yang disarankan yang menyediakan enkripsi data-in-transit.

Untuk memanfaatkan fitur enkripsi data-in-transit di Amazon EFS, sebaiknya pasang kembali sistem file menggunakan pembantu pemasangan Amazon EFS dan pengaturan pemasangan yang disarankan.

Memeriksa pengaturan izin untuk snapshot volume Amazon Elastic Block Store (Amazon EBS) Anda dan memberi tahu Anda jika ada snapshot yang dapat diakses publik.

Saat Anda membuat snapshot publik, Anda memberikan semua Akun AWS dan pengguna akses ke semua data pada snapshot. Untuk berbagi snapshot hanya dengan pengguna atau akun tertentu, tandai snapshot sebagai pribadi. Kemudian, tentukan pengguna atau akun yang ingin Anda bagikan data snapshot. Perhatikan bahwa jika Anda mengaktifkan Blokir Akses Publik dalam mode 'blokir semua bagian', maka snapshot publik Anda tidak dapat diakses publik dan tidak muncul dalam hasil pemeriksaan ini.

ePs02jT06w

Merah: Cuplikan volume EBS dapat diakses publik.

Kecuali Anda yakin ingin berbagi semua data dalam snapshot dengan semua Akun AWS dan pengguna, ubah izin: tandai snapshot sebagai pribadi, lalu tentukan akun yang ingin Anda berikan izin. Untuk informasi selengkapnya, lihat Berbagi Snapshot Amazon EBS. Gunakan Blokir Akses Publik untuk Snapshots EBS untuk mengontrol pengaturan yang memungkinkan akses publik ke data Anda. Pemeriksaan ini tidak dapat dikecualikan dari tampilan di Trusted Advisor konsol.

Untuk mengubah izin untuk snapshot Anda secara langsung, gunakan runbook di AWS Systems Manager konsol. Untuk informasi selengkapnya, lihat AWSSupport-ModifyEBSSnapshotPermission.

Snapshot Amazon EBS

Amazon RDS mendukung enkripsi diam untuk semua mesin database dengan menggunakan kunci yang Anda kelola. AWS Key Management Service Pada instance DB aktif dengan enkripsi Amazon RDS, data yang disimpan saat diam di penyimpanan dienkripsi, mirip dengan pencadangan otomatis, replika baca, dan snapshot.

Jika enkripsi tidak diaktifkan saat membuat cluster Aurora DB, maka Anda harus mengembalikan snapshot yang didekripsi ke cluster DB terenkripsi.

c1qf5bt005

Merah: Sumber daya Amazon RDS Aurora tidak mengaktifkan enkripsi.

Aktifkan enkripsi data saat diam untuk cluster DB Anda.

Anda dapat mengaktifkan enkripsi saat membuat instance DB atau menggunakan solusi untuk mengaktifkan enkripsi pada instans DB aktif. Anda tidak dapat memodifikasi cluster DB yang didekripsi menjadi cluster DB terenkripsi. Namun, Anda dapat mengembalikan snapshot yang didekripsi ke cluster DB terenkripsi. Saat Anda memulihkan dari snapshot yang didekripsi, Anda harus menentukan AWS KMS kunci.

Untuk informasi selengkapnya, lihat Mengenkripsi sumber daya Amazon Aurora.

Sumber daya database Anda tidak menjalankan versi mesin DB minor terbaru. Versi minor terbaru berisi perbaikan keamanan terbaru dan peningkatan lainnya.

c1qf5bt003

Kuning: Sumber daya Amazon RDS tidak menjalankan versi mesin DB minor terbaru.

Tingkatkan ke versi mesin terbaru.

Sebaiknya Anda memelihara database dengan versi minor engine DB terbaru karena versi ini mencakup perbaikan keamanan dan fungsionalitas terbaru. Upgrade versi minor engine DB hanya berisi perubahan yang kompatibel ke belakang dengan versi minor sebelumnya dari versi utama yang sama dari mesin DB.

Untuk informasi selengkapnya, lihat Meng upgrade versi mesin instance DB.

Memeriksa pengaturan izin untuk snapshot DB Amazon Relational Database Service (Amazon RDS) Anda dan memberi tahu Anda jika ada snapshot yang ditandai sebagai publik.

Saat Anda membuat snapshot publik, Anda memberikan semua Akun AWS dan pengguna akses ke semua data pada snapshot. Jika Anda ingin berbagi snapshot hanya dengan pengguna atau akun tertentu, tandai snapshot sebagai pribadi. Kemudian, tentukan pengguna atau akun yang ingin Anda bagikan data snapshot.

rSs93HQwa1

Merah: Snapshot Amazon RDS ditandai sebagai publik.

Kecuali Anda yakin ingin berbagi semua data dalam snapshot dengan semua Akun AWS dan pengguna, ubah izin: tandai snapshot sebagai pribadi, lalu tentukan akun yang ingin Anda berikan izin. Untuk informasi selengkapnya, lihat Berbagi Snapshot DB atau Snapshot Cluster DB. Pemeriksaan ini tidak dapat dikecualikan dari tampilan di Trusted Advisor konsol.

Untuk mengubah izin untuk snapshot Anda secara langsung, Anda dapat menggunakan runbook di AWS Systems Manager konsol. Untuk informasi selengkapnya, lihat AWSSupport-ModifyRDSSnapshotPermission.

Membuat Cadangan dan Memulihkan Instans DB Amazon RDS

Memeriksa konfigurasi grup keamanan untuk Amazon Relational Database Service (Amazon RDS) dan memperingatkan ketika aturan grup keamanan memberikan akses yang terlalu permisif ke database Anda. Konfigurasi yang disarankan untuk aturan grup keamanan adalah mengizinkan akses hanya dari grup keamanan Amazon Elastic Compute Cloud (Amazon EC2) tertentu atau dari alamat IP tertentu.

nNauJisYIT

EC2-Classic pensiun pada 15 Agustus 2022. Disarankan untuk memindahkan instans Amazon RDS Anda ke VPC dan menggunakan grup keamanan Amazon EC2. Untuk informasi selengkapnya tentang memindahkan instance DB Anda ke VPC, lihat Mem indahkan instance DB yang tidak ada di VPC ke VPC.

Jika Anda tidak dapat memigrasikan instans Amazon RDS ke VPC, tinjau aturan grup keamanan Anda dan batasi akses ke alamat IP atau rentang IP resmi. Untuk mengedit grup keamanan, gunakan AuthorizeDBSecurityGroupIngress API atau Konsol Manajemen AWS. Untuk informasi selengkapnya, lihat Bekerja dengan Grup Keamanan DB.

Amazon RDS mendukung enkripsi diam untuk semua mesin database dengan menggunakan kunci yang Anda kelola. AWS Key Management Service Pada instance DB aktif dengan enkripsi Amazon RDS, data yang disimpan saat diam di penyimpanan dienkripsi, mirip dengan pencadangan otomatis, replika baca, dan snapshot.

Jika enkripsi tidak diaktifkan saat membuat instance DB, maka Anda harus memulihkan salinan terenkripsi dari snapshot yang didekripsi sebelum mengaktifkan enkripsi.

c1qf5bt006

Merah: Sumber daya Amazon RDS tidak mengaktifkan enkripsi.

Aktifkan enkripsi data saat diam untuk instans DB Anda.

Anda dapat mengenkripsi instance DB hanya saat Anda membuat instance DB. Untuk mengenkripsi instance DB aktif yang ada:

Untuk informasi selengkapnya, lihat sumber daya berikut:

Memeriksa Amazon Route 53 Hosted Zone dengan catatan CNAME yang menunjuk langsung ke nama host bucket Amazon S3 dan memperingatkan jika CNAME Anda tidak cocok dengan nama bucket S3 Anda.

c1ng44jvbm

Merah: Amazon Route 53 Hosted Zone memiliki catatan CNAME yang menunjuk ke nama host bucket S3 yang tidak cocok.

Hijau: Tidak ada catatan CNAME yang tidak cocok ditemukan di Zona Hosted Amazon Route 53 Anda.

Saat mengarahkan rekaman CNAME ke nama host bucket S3, Anda harus memastikan bahwa bucket yang cocok ada untuk setiap catatan CNAME atau alias yang Anda konfigurasikan. Dengan melakukan ini, Anda menghindari risiko catatan CNAME Anda dipalsukan. Anda juga mencegah AWS pengguna yang tidak sah menghosting konten web yang salah atau berbahaya dengan domain Anda.

Untuk menghindari mengarahkan catatan CNAME langsung ke nama host bucket S3, pertimbangkan untuk menggunakan kontrol akses asal (OAC) untuk mengakses aset web bucket S3 Anda melalui Amazon. CloudFront

Untuk informasi selengkapnya tentang mengait kan CNAME dengan nama host bucket Amazon S3, lihat Menyesuaikan URL Amazon S3 dengan catatan CNAME.

Untuk setiap catatan MX, periksa catatan TXT terkait yang berisi nilai SPF yang valid. Nilai rekaman TXT harus dimulai dengan “v=spf1". Jenis catatan SPF tidak digunakan lagi oleh Internet Engineering Task Force (IETF). Dengan Route 53, saya adalah praktik terbaik untuk menggunakan catatan TXT alih-alih catatan SPF. Trusted Advisor melaporkan pemeriksaan ini sebagai hijau ketika catatan MX memiliki setidaknya satu catatan TXT terkait dengan nilai SPF yang valid.

c9D319e7sG

Untuk setiap kumpulan rekaman sumber daya MX, buat kumpulan rekaman sumber daya TXT yang berisi nilai SPF yang valid. Untuk informasi selengkapnya, lihat Kerangka Kebijakan Pengirim: Sintaks Rek aman SPF dan Membuat Kumpulan Rekaman Sumber Daya Dengan Menggunakan Konsol Amazon Route 53.

Memeriksa bucket di Amazon Simple Storage Service (Amazon S3) yang memiliki izin akses terbuka, atau yang memungkinkan akses ke AWS pengguna yang diautentikasi.

Pemeriksaan ini memeriksa izin bucket eksplisit, serta kebijakan bucket yang mungkin mengganti izin tersebut. Memberikan izin akses daftar kepada semua pengguna untuk bucket Amazon S3 tidak disarankan. Izin ini dapat menyebabkan pengguna yang tidak diinginkan mencantumkan objek dalam bucket pada frekuensi tinggi, yang dapat mengakibatkan biaya yang lebih tinggi dari yang diharapkan. Izin yang memberikan akses unggah dan penghapusan ke semua orang dapat menyebabkan kerentanan keamanan di bucket Anda.

Pfx0RwqBli

Jika bucket memungkinkan akses terbuka, tentukan apakah akses terbuka benar-benar diperlukan. Misalnya untuk meng-host situs web statis, Anda dapat menggunakan Amazon CloudFront untuk menyajikan konten yang dihosting di Amazon S3. Lihat Membatasi akses ke sumber Amazon S3 di Panduan CloudFront Pengembang Amazon. Jika memungkinkan, perbarui izin bucket untuk membatasi akses ke pemilik atau pengguna tertentu. Gunakan Amazon S3 Block Public Access untuk mengontrol pengaturan yang memungkinkan akses publik ke data Anda. Lihat Meng atur Izin Akses Bucket dan Objek.

Mengelola Izin Akses ke Sumber Daya Amazon S3 Anda

Mengkonfigurasi setelan akses publik blok untuk bucket Amazon S3 Anda

Memeriksa apakah koneksi peering VPC Anda mengaktifkan resolusi DNS untuk VPC akseptor dan pemohon.

Resolusi DNS untuk koneksi peering VPC memungkinkan resolusi nama host DNS publik ke alamat IPv4 pribadi saat ditanyakan dari VPC Anda. Hal ini memungkinkan penggunaan nama DNS untuk komunikasi antar sumber daya di VPC yang diintip. Resolusi DNS dalam koneksi peering VPC Anda membuat pengembangan dan pengelolaan aplikasi lebih sederhana dan kurang rawan kesalahan, dan memastikan bahwa sumber daya selalu berkomunikasi secara pribadi melalui koneksi peering VPC.

Anda dapat menentukan ID VPC, menggunakan parameter vPCids dalam aturan Anda. AWS Config

Untuk informasi selengkapnya, lihat Mengaktifkan resolusi DNS untuk koneksi peering VPC.

c18d2gz124

AWS Config Managed Rule: vpc-peering-dns-resolution-check

Kuning: Resolusi DNS tidak diaktifkan untuk VPC akseptor dan pemohon dalam koneksi peering VPC.

Aktifkan resolusi DNS untuk koneksi peering VPC Anda.

Memeriksa kelompok target Application Load Balancer (ALB) menggunakan protokol HTTPS untuk mengenkripsi komunikasi dalam transit untuk jenis instance atau IP target back-end. Permintaan HTTPS antara ALB dan target back-end membantu menjaga kerahasiaan data untuk data yang sedang transit.

c2vlfg0p1w

Konfigurasikan jenis instance atau IP target back-end untuk mendukung akses HTTPS, dan ubah grup target untuk menggunakan protokol HTTPS untuk mengenkripsi komunikasi antara ALB dan tipe target back-end instance atau IP.

Menerapkan enkripsi saat transit

Jenis Target Penyeimbang Beban Aplikasi

Konfigurasi Perutean Penyeimbang Beban Aplikasi

Perlindungan Data dalam Penyeimbangan Beban Elastis

Memeriksa apakah AWS Backup vault memiliki kebijakan berbasis sumber daya terlampir yang mencegah penghapusan titik pemulihan.

Kebijakan berbasis sumber daya mencegah penghapusan titik pemulihan yang tidak terduga, yang memungkinkan Anda menerapkan kontrol akses dengan hak istimewa terkecil terhadap data cadangan Anda.

Anda dapat menentukan AWS Identity and Access Management ARN yang tidak ingin diperiksa aturan di ArnList parameter utama AWS Config aturan Anda.

c18d2gz152

AWS Config Managed Rule: backup-recovery-point-manual-deletion-disabled

Kuning: Ada AWS Backup brankas yang tidak memiliki kebijakan berbasis sumber daya untuk mencegah penghapusan titik pemulihan.

Buat kebijakan berbasis sumber daya untuk brankas Anda untuk mencegah penghap AWS Backup usan titik pemulihan yang tidak terduga.

Kebijakan harus menyertakan pernyataan “Tolak” dengan PutBackupVaultAccessPolicy izin backup:DeleteRecoveryPoint, backup:UpdateRecoveryPointLifecycle, dan backup:.

Untuk informasi selengkapnya, lihat Mengatur kebijakan akses pada brankas cadangan.

Memeriksa penggunaan Anda AWS CloudTrail. CloudTrail memberikan peningkatan visibilitas ke dalam aktivitas Anda Akun AWS. Ini dilakukan dengan merekam informasi tentang panggilan AWS API yang dilakukan di akun. Anda dapat menggunakan log ini untuk menentukan, misalnya, tindakan apa yang telah diambil pengguna tertentu selama periode waktu tertentu, atau pengguna mana yang telah mengambil tindakan pada sumber daya tertentu selama periode waktu tertentu.

Karena CloudTrail mengirimkan file log ke bucket Amazon Simple Storage Service (Amazon S3), CloudTrail harus memiliki izin menulis untuk bucket tersebut. Jika jejak berlaku untuk semua Wilayah AWS (default saat membuat jejak baru), maka jejak tersebut muncul beberapa kali dalam Trusted Advisor laporan.

c25hn9x03v

Untuk membuat jejak dan mulai mencatat dari konsol, buka AWS CloudTrail konsol.

Untuk memulai pencatatan, lihat Mengh entikan dan Memulai Pencatatan untuk Jejak.

Jika Anda menerima kesalahan pengiriman log, pastikan bucket ada dan kebijakan yang diperlukan dilampirkan ke bucket. Lihat Kebijakan Bucket Amazon S3.

Memeriksa fungsi Lambda yang versi $LATEST dikonfigurasi untuk menggunakan runtime yang mendekati penghentian, atau tidak digunakan lagi. Runtime yang tidak digunakan lagi tidak memenuhi syarat untuk pembaruan keamanan atau dukungan teknis

Versi fungsi Lambda yang diterbitkan tidak dapat diubah, yang berarti mereka dapat dipanggil tetapi tidak diperbarui. Hanya $LATEST versi untuk fungsi Lambda yang dapat diperbarui. Untuk informasi selengkapnya, lihat versi fungsi Lambda.

L4dfs2Q4C5

Jika Anda memiliki fungsi yang berjalan pada runtime yang mendekati penghentian, Anda harus mempersiapkan migrasi ke runtime yang didukung. Untuk informasi selengkapnya, lihat Kebijakan dukungan Runtime.

Kami menyarankan Anda menghapus versi fungsi sebelumnya yang tidak lagi Anda gunakan.

Runtime Lambda

Memeriksa masalah risiko tinggi (HRI) untuk beban kerja Anda di pilar keamanan. Pemeriksaan ini didasarkan pada AWS-Well Architected ulasan Anda. Hasil pemeriksaan Anda tergantung pada apakah Anda menyelesaikan evaluasi beban kerja denganAWS Well-Architected.

Wxdfp4B1L3

AWS Well-Architected mendeteksi masalah berisiko tinggi selama evaluasi beban kerja Anda. Masalah-masalah ini menghadirkan peluang untuk mengurangi risiko dan menghemat uang. Masuk ke AWS Well-Architected alat untuk meninjau jawaban Anda dan mengambil tindakan untuk menyelesaikan masalah aktif Anda.

Memeriksa sertifikat SSL untuk nama domain CloudFront alternatif di penyimpanan sertifikat IAM. Pemeriksaan ini memberi tahu Anda jika sertifikat kedaluwarsa, akan segera kedaluwarsa, menggunakan enkripsi usang, atau tidak dikonfigurasi dengan benar untuk distribusi.

Ketika sertifikat khusus untuk nama domain alternatif kedaluwarsa, browser yang menampilkan CloudFront konten Anda mungkin menampilkan pesan peringatan tentang keamanan situs web Anda. Sertifikat yang dienkripsi dengan menggunakan algoritma SHA-1 hashing tidak digunakan lagi oleh sebagian besar browser web seperti Chrome dan Firefox.

Sertifikat harus berisi nama domain yang cocok dengan Nama Domain Asal atau nama domain di header host permintaan penampil. Jika tidak cocok, CloudFront mengembalikan kode status HTTP 502 (gateway buruk) kepada pengguna. Untuk informasi lebih lanjut, lihat Menggunakan Nama Domain Alternatif dan HTTPS.

N425c450f2

Sebaiknya gunakan AWS Certificate Manager untuk menyediakan, mengelola, dan menyebarkan sertifikat server Anda. Dengan ACM, Anda dapat meminta sertifikat baru atau menerapkan ACM atau sertifikat eksternal yang ada ke AWS sumber daya. Sertifikat yang disediakan oleh ACM gratis dan dapat diperpanjang secara otomatis. Untuk informasi selengkapnya tentang menggunakan ACM, lihat Panduan AWS Certificate Manager Pengguna. Untuk memverifikasi dukungan Wilayah AWS ACM, lihat AWS Certificate Manager titik akhir dan kuota di. Referensi Umum AWS

Perbarui sertifikat yang kedaluwarsa atau sertifikat yang akan segera kedaluwarsa. Untuk informasi selengkapnya tentang memperbarui sertifikat, lihat M engelola sertifikat server di IAM.

Ganti sertifikat yang dienkripsi dengan menggunakan algoritma SHA-1 hashing dengan sertifikat yang dienkripsi dengan menggunakan algoritma SHA-256 hashing.

Ganti sertifikat dengan sertifikat yang berisi nilai yang berlaku di bidang Nama Umum atau Nama Domain Alternatif Subjek.

Menggunakan Koneksi HTTPS untuk Mengakses Objek Anda

Mengimpor Sertifikat

AWS Certificate Manager Panduan Pengguna

Memeriksa server asal Anda untuk sertifikat SSL yang kedaluwarsa, akan kedaluwarsa, hilang, atau yang menggunakan enkripsi usang. Jika sertifikat memiliki salah satu masalah ini, tang CloudFront gapi permintaan konten Anda dengan kode status HTTP 502, Bad Gateway.

Sertifikat yang dienkripsi dengan menggunakan algoritma SHA-1 hashing tidak digunakan lagi oleh browser web seperti Chrome dan Firefox. Bergantung pada jumlah sertifikat SSL yang telah Anda kaitkan dengan CloudFront distribusi Anda, cek ini mungkin menambahkan beberapa sen per bulan ke tagihan Anda dengan penyedia hosting web Anda, misalnya, AWS jika Anda menggunakan Amazon EC2 atau Elastic Load Balancing sebagai sumber CloudFront distribusi Anda. Pemeriksaan ini tidak memvalidasi rantai sertifikat asal atau otoritas sertifikat Anda. Anda dapat memeriksa ini di CloudFront konfigurasi Anda.

N430c450f2

Perbarui sertifikat asal Anda jika sudah kedaluwarsa atau akan kedaluwarsa.

Tambahkan sertifikat jika tidak ada.

Ganti sertifikat yang dienkripsi dengan menggunakan algoritma SHA-1 hashing dengan sertifikat yang dienkripsi dengan menggunakan algoritma SHA-256 hashing.

Menggunakan Nama Domain Alternatif dan HTTPS

Memeriksa penyeimbang beban klasik dengan pendengar yang tidak menggunakan konfigurasi keamanan yang disarankan untuk komunikasi terenkripsi. AWS merekomendasikan agar Anda menggunakan protokol aman (HTTPS atau SSL), kebijakan keamanan terkini, serta sandi dan protokol yang aman. Saat Anda menggunakan protokol aman untuk koneksi front-end (client to load balancer), permintaan dienkripsi antara klien Anda dan penyeimbang beban. Ini menciptakan lingkungan yang lebih aman. Elastic Load Balancing menyediakan kebijakan keamanan yang telah ditentukan sebelumnya dengan sandi dan protokol yang mematuhi praktik terbaik AWS keamanan. Versi baru dari kebijakan yang telah ditentukan dirilis saat konfigurasi baru tersedia.

a2sEc6ILx

Jika lalu lintas ke penyeimbang beban Anda harus aman, gunakan protokol HTTPS atau SSL untuk koneksi front-end.

Tingkatkan penyeimbang beban Anda ke versi terbaru dari kebijakan keamanan SSL yang telah ditentukan sebelumnya.

Gunakan hanya sandi dan protokol yang direkomendasikan.

Untuk informasi selengkapnya, lihat Konfigurasi Pen dengar untuk Penyeimbangan Beban Elastis.

Memeriksa penyeimbang beban yang dikonfigurasi dengan grup keamanan yang memungkinkan akses ke port yang tidak dikonfigurasi untuk penyeimbang beban.

Jika grup keamanan mengizinkan akses ke port yang tidak dikonfigurasi untuk penyeimbang beban, risiko kehilangan data atau serangan berbahaya meningkat.

xSqX82fQu

Konfigurasikan aturan grup keamanan untuk membatasi akses hanya ke port dan protokol yang ditentukan dalam konfigurasi pendengar penyeimbang beban, ditambah protokol ICMP untuk mendukung Penemuan Path MTU. Lihat Pen dengar untuk Penyeimbang Beban Klasik Anda dan Grup Keamanan untuk Penyeimbang Beban di VPC.

Jika grup keamanan hilang, terapkan grup keamanan baru ke penyeimbang beban. Buat aturan grup keamanan yang membatasi akses hanya ke port dan protokol yang ditentukan dalam konfigurasi pendengar penyeimbang beban. Lihat Grup Keamanan untuk Penyeimbang Beban di V PC.

Memeriksa repositori kode populer untuk kunci akses yang telah diekspos ke publik dan penggunaan Amazon Elastic Compute Cloud (Amazon EC2) yang tidak teratur yang dapat disebabkan oleh kunci akses yang dikompromikan.

Kunci akses terdiri dari ID kunci akses dan kunci akses rahasia yang sesuai. Kunci akses yang terbuka menimbulkan risiko keamanan bagi akun Anda dan pengguna lain, dapat menyebabkan biaya berlebihan dari aktivitas atau penyalahgunaan yang tidak sah, dan melanggar Perjanjian AWS Pelanggan.

Jika kunci akses Anda terbuka, segera ambil tindakan untuk mengamankan akun Anda. Untuk melindungi akun Anda dari biaya yang berlebihan, AWS batasi sementara kemampuan Anda untuk membuat beberapa AWS sumber daya. Ini tidak membuat akun Anda aman. Ini hanya membatasi sebagian penggunaan tidak sah yang dapat dikenakan biaya kepada Anda.

Jika tenggat waktu ditampilkan untuk kunci akses, AWS dapat menangguhkan Anda Akun AWS jika penggunaan yang tidak sah tidak dihentikan pada tanggal tersebut. Jika Anda yakin peringatan salah, hubungi AWS Dukungan.

Informasi yang ditampilkan di Trusted Advisor mungkin tidak mencerminkan status terbaru akun Anda. Tidak ada kunci akses terbuka yang ditandai sebagai diselesaikan sampai semua kunci akses yang terbuka di akun telah diselesaikan. Sinkronisasi data ini dapat memakan waktu hingga satu minggu.

12Fnkpl8Y5

Hapus kunci akses yang terpengaruh sesegera mungkin. Jika kunci dikaitkan dengan pengguna IAM, lihat Mengelola Kunci Akses untuk Pengguna IAM.

Periksa akun Anda untuk penggunaan yang tidak sah. Masuk ke Konsol Manajemen AWS dan periksa setiap konsol layanan untuk sumber daya yang mencurigakan. Berikan perhatian khusus untuk menjalankan instans Amazon EC2, permintaan Instans Spot, kunci akses, dan pengguna IAM. Anda juga dapat memeriksa penggunaan keseluruhan di konsol Pen agihan dan Manajemen Biaya.

Memeriksa kunci akses IAM aktif yang belum dirotasi dalam 90 hari terakhir.

Ketika Anda memutar kunci akses secara teratur, Anda mengurangi kemungkinan kunci yang dikompromikan dapat digunakan tanpa sepengetahuan Anda untuk mengakses sumber daya. Untuk keperluan pemeriksaan ini, tanggal dan waktu rotasi terakhir adalah saat kunci akses dibuat atau terakhir diaktifkan. Nomor dan tanggal kunci akses berasal dari access_key_1_last_rotated dan access_key_2_last_rotated informasi dalam laporan kredensi IAM terbaru.

Karena frekuensi regenerasi laporan kredensi dibatasi, menyegarkan pemeriksaan ini mungkin tidak mencerminkan perubahan terbaru. Untuk informasi selengkapnya, lihat M endapatkan Laporan Kredensi untuk Anda Akun AWS.

Untuk membuat dan memutar kunci akses, pengguna harus memiliki izin yang sesuai. Untuk informasi selengkapnya, lihat Men gizinkan Pengguna Mengelola Kata Sandi, Kunci Akses, dan Kunci SSH Mereka Sendiri.

DqdJqYeRm5

Putar tombol akses secara teratur. Lihat Mem utar Kunci Ak ses dan Mengelola Kunci Akses untuk Pengguna IAM.

Memeriksa apakah ada akses eksternal Penganalisis Akses IAM di tingkat akun.

Penganalisis akses eksternal IAM Access Analyzer membantu mengidentifikasi sumber daya di akun Anda yang dibagikan dengan entitas eksternal. Penganalisis kemudian membuat dasbor terpusat dengan temuan. Setelah penganalisis baru diaktifkan di konsol IAM, tim keamanan kemudian dapat memprioritaskan akun mana yang akan ditinjau berdasarkan izin yang berlebihan. Penganalisis akses eksternal membuat temuan akses publik dan lintas akun untuk sumber daya, dan disediakan tanpa biaya tambahan.

07602fcad6

Pembuatan penganalisis akses eksternal per akun membantu tim keamanan memprioritaskan akun mana yang akan ditinjau berdasarkan izin yang berlebihan. Untuk informasi selengkapnya, lihat Memulai dengan AWS Identity and Access Management Access Analyzer temuan.

Selain itu, ini adalah praktik terbaik untuk menggunakan penganalisis akses yang tidak digunakan, fitur berbayar yang menyederhanakan pemeriksaan akses yang tidak digunakan untuk memandu Anda menuju hak istimewa yang paling sedikit. Untuk informasi selengkapnya, lihat Men gidentifikasi akses yang tidak digunakan yang diberikan kepada pengguna dan peran IAM.

Memeriksa kebijakan kata sandi untuk akun Anda dan memperingatkan ketika kebijakan kata sandi tidak diaktifkan, atau jika persyaratan konten kata sandi belum diaktifkan.

Persyaratan konten kata sandi meningkatkan keamanan AWS lingkungan Anda secara keseluruhan dengan menegakkan pembuatan kata sandi pengguna yang kuat. Saat Anda membuat atau mengubah kebijakan kata sandi, perubahan diterapkan segera untuk pengguna baru tetapi tidak mengharuskan pengguna yang ada untuk mengubah kata sandi mereka.

Yw2K9puPzl

Jika beberapa persyaratan konten tidak diaktifkan, pertimbangkan untuk mengaktifkannya. Jika tidak ada kebijakan kata sandi yang diaktifkan, buat dan konfigurasikan satu. Lihat Mengatur Kebijakan Kata Sandi Akun untuk Pengguna IAM.

Untuk mengakses Konsol Manajemen AWS, pengguna IAM memerlukan kata sandi. Sebagai praktik terbaik, AWS sangat menyarankan agar alih-alih membuat pengguna IAM, Anda menggunakan federasi. Federasi memungkinkan pengguna untuk menggunakan kredenSIAL perusahaan mereka yang ada untuk masuk ke Konsol Manajemen AWS. Gunakan Pusat Identitas IAM untuk membuat atau menyatukan pengguna, dan kemudian mengambil peran IAM ke dalam akun.

Untuk mempelajari selengkapnya tentang penyedia identitas dan federasi, lihat Penyedia identitas dan federasi di Panduan Pengguna IAM. Untuk mempelajari selengkapnya tentang Pusat Identitas IAM, lihat Panduan Pengguna Pusat Identitas IAM.

Mengelola Kata Sandi

Memeriksa apakah Akun AWS dikonfigurasi untuk akses melalui penyedia identitas (IdP) yang mendukung SAML 2.0. Pastikan untuk mengikuti praktik terbaik saat Anda memusatkan identitas dan mengonfigurasi pengguna di penyedia identitas eksternal atau AWS IAM Identity Center.

c2vlfg0p86

Aktifkan Pusat Identitas IAM untuk. Akun AWS Untuk informasi selengkapnya, lihat EnablingIAM Identity Center. Setelah mengaktifkan Pusat Identitas IAM, Anda kemudian dapat melakukan tugas umum seperti membuat kumpulan izin dan menetapkan akses untuk grup Pusat Identitas. Untuk informasi selengkapnya, lihat Tugas umum.

Ini adalah praktik terbaik untuk mengelola pengguna manusia di Pusat Identitas IAM. Tetapi Anda dapat mengaktifkan akses pengguna federasi dengan IAM untuk pengguna manusia dalam jangka pendek untuk penerapan skala kecil. Untuk informasi lebih lanjut lihat federasi https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_providers_saml.html SAML 2.0.

Apa itu IAM Identity Center?

Apa iSiam?

Memeriksa kredentif pengguna root dari akun dan memperingatkan jika otentikasi multi-faktor (MFA) tidak diaktifkan.

Untuk meningkatkan keamanan, kami sarankan Anda melindungi akun Anda dengan menggunakan MFA, yang mengharuskan pengguna memasukkan kode otentikasi unik dari perangkat keras MFA atau perangkat virtual mereka saat berinteraksi dengan Konsol Manajemen AWS dan situs web terkait.

7DAFEmoDos

Jika ini adalah akun anggota di AWS Organizations: Mas uk ke akun manajemen Anda, aktifkan fitur manajemen akses root di IAM, dan hapus kredenSIAL pengguna root Anda dari akun anggota ini. Lihat Memusatkan akses root untuk akun anggota.

Jika ini adalah akun mandiri atau manajemen AWS Organizations: Mas uk ke akun root Anda dan aktifkan perangkat MFA. Untuk informasi selengkapnya, lihat Memer iksa status dan AWS Multi-factor otentikasi MFA di IAM

Memeriksa apakah kunci akses pengguna root ada. Sangat disarankan agar Anda tidak membuat pasangan kunci akses untuk pengguna root Anda. Karena hanya beberapa tugas yang memerlukan pengguna root dan Anda biasanya jarang melakukan tugas-tugas tersebut, ini adalah praktik terbaik untuk masuk Konsol Manajemen AWS ke untuk melakukan tugas pengguna root. Sebelum Anda membuat kunci akses, tinjau alternatif untuk kunci akses jangka panjang.

c2vlfg0f4h

Hapus kunci akses untuk pengguna root. Lihat Menghapus kunci akses untuk pengguna root. Tugas ini harus dilakukan oleh pengguna root. Anda tidak dapat melakukan langkah-langkah ini sebagai pengguna atau peran IAM.

Memeriksa grup keamanan untuk aturan yang mengizinkan akses tidak terbatas (0.0.0. 0/0) ke port tertentu.

Akses tak terbatas meningkatkan peluang untuk aktivitas berbahaya (peretasan, serangan penolakan layanan, kehilangan data). Port dengan risiko tertinggi ditandai merah, dan port dengan risiko lebih rendah ditandai kuning. Port bertanda hijau biasanya digunakan oleh aplikasi yang memerlukan akses tidak terbatas, seperti HTTP dan SMTP.

Jika Anda sengaja mengonfigurasi grup keamanan dengan cara ini, sebaiknya gunakan langkah-langkah keamanan tambahan untuk mengamankan infrastruktur Anda (seperti tabel IP).

HCP4007jGY

Batasi akses hanya ke alamat IP yang membutuhkannya. Untuk membatasi akses ke alamat IP tertentu, atur akhiran ke /32 (misalnya, 192.0.2. 10/32). Pastikan untuk menghapus aturan yang terlalu permisif setelah membuat aturan yang lebih ketat.

Tinjau dan hapus grup keamanan yang tidak digunakan. Anda dapat menggunakan AWS Firewall Manager untuk mengkonfigurasi dan mengelola grup keamanan secara terpusat dalam skala besar Akun AWS, Untuk informasi selengkapnya, lihat AWS Firewall Manager dokumentasi.

Pertimbangkan untuk menggunakan Manajer Sesi Sistem untuk akses SSH (Port 22) dan RDP (Port 3389) ke instans EC2. Dengan pengelola sesi, Anda dapat mengakses instans EC2 tanpa mengaktifkan port 22 dan 3389 di grup keamanan.

Memeriksa grup keamanan untuk aturan yang memungkinkan akses tidak terbatas ke sumber daya.

Akses tak terbatas meningkatkan peluang untuk aktivitas berbahaya (peretasan, serangan penolakan layanan, kehilangan data).

1iG5NDGVre

Batasi akses hanya ke alamat IP yang membutuhkannya. Untuk membatasi akses ke alamat IP tertentu, atur akhiran ke /32 (misalnya, 192.0.2. 10/32). Pastikan untuk menghapus aturan yang terlalu permisif setelah membuat aturan yang lebih ketat.

Tinjau dan hapus grup keamanan yang tidak digunakan. Anda dapat menggunakan AWS Firewall Manager untuk mengkonfigurasi dan mengelola grup keamanan secara terpusat dalam skala besar Akun AWS, Untuk informasi selengkapnya, lihat AWS Firewall Manager dokumentasi.

Pertimbangkan untuk menggunakan Manajer Sesi Sistem untuk akses SSH (Port 22) dan RDP (Port 3389) ke instans EC2. Dengan pengelola sesi, Anda dapat mengakses instans EC2 tanpa mengaktifkan port 22 dan 3389 di grup keamanan.