Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.
Praktik Terbaik Operasional untuk Pilar Keamanan AWS Kerangka Well-Architected
Paket kesesuaian menyediakan kerangka kerja kepatuhan tujuan umum yang dirancang untuk memungkinkan Anda membuat pemeriksaan tata kelola keamanan, operasional, atau pengoptimalan biaya menggunakan aturan dan tindakan remediasi terkelola atau khusus. AWS Config AWS Config Paket Kesesuaian, sebagai contoh templat, tidak dirancang untuk sepenuhnya memastikan kepatuhan terhadap tata kelola atau standar kepatuhan tertentu. Anda bertanggung jawab untuk membuat penilaian sendiri tentang apakah penggunaan Layanan oleh Anda memenuhi persyaratan hukum dan peraturan yang berlaku.
Berikut ini menyediakan contoh pemetaan antara Pilar Keamanan Well-Architected Framework Amazon Web Services dan aturan Config terkelola. AWS Setiap aturan Config berlaku untuk AWS sumber daya tertentu, dan berhubungan dengan satu atau beberapa prinsip desain pilar. Kategori Well-Architected Framework dapat dikaitkan dengan beberapa aturan Config. Lihat tabel di bawah ini untuk detail lebih lanjut dan panduan terkait pemetaan ini.
| ID Kontrol | Deskripsi Kontrol | AWS Aturan Config | Bimbingan |
|---|---|---|---|
| SEC-1 | Bagaimana Anda mengoperasikan beban kerja Anda dengan aman? Untuk mengoperasikan beban kerja Anda dengan aman, Anda harus menerapkan praktik terbaik menyeluruh untuk setiap bidang keamanan. Ambil persyaratan dan proses yang telah Anda tentukan dalam keunggulan operasional di tingkat organisasi dan beban kerja, dan terapkan ke semua bidang. Tetap up to date dengan rekomendasi industri AWS dan intelijen ancaman membantu Anda mengembangkan model ancaman dan tujuan pengendalian Anda. Mengotomatiskan proses keamanan, pengujian, dan validasi memungkinkan Anda untuk meningkatkan skala operasi keamanan Anda. | Manajemen terpusat Akun AWS dalam AWS Organizations membantu memastikan bahwa akun sesuai. Kurangnya tata kelola akun terpusat dapat menyebabkan konfigurasi akun yang tidak konsisten, yang dapat mengekspos sumber daya dan data sensitif. | |
| SEC-1 | Bagaimana Anda mengoperasikan beban kerja Anda dengan aman? Untuk mengoperasikan beban kerja Anda dengan aman, Anda harus menerapkan praktik terbaik menyeluruh untuk setiap bidang keamanan. Ambil persyaratan dan proses yang telah Anda tentukan dalam keunggulan operasional di tingkat organisasi dan beban kerja, dan terapkan ke semua bidang. Tetap up to date dengan rekomendasi industri AWS dan intelijen ancaman membantu Anda mengembangkan model ancaman dan tujuan pengendalian Anda. Mengotomatiskan proses keamanan, pengujian, dan validasi memungkinkan Anda untuk meningkatkan skala operasi keamanan Anda. | Kelola akses ke sumber daya di AWS Cloud dengan memastikan bahwa MFA diaktifkan untuk semua pengguna AWS Identity and Access Management (IAM) yang memiliki kata sandi konsol. MFAmenambahkan lapisan perlindungan ekstra di atas kredensi masuk. Dengan MFA mewajibkan pengguna, Anda dapat mengurangi insiden akun yang disusupi dan menjaga agar data sensitif tidak diakses oleh pengguna yang tidak sah. | |
| SEC-1 | Bagaimana Anda mengoperasikan beban kerja Anda dengan aman? Untuk mengoperasikan beban kerja Anda dengan aman, Anda harus menerapkan praktik terbaik menyeluruh untuk setiap bidang keamanan. Ambil persyaratan dan proses yang telah Anda tentukan dalam keunggulan operasional di tingkat organisasi dan beban kerja, dan terapkan ke semua bidang. Tetap up to date dengan rekomendasi industri AWS dan intelijen ancaman membantu Anda mengembangkan model ancaman dan tujuan pengendalian Anda. Mengotomatiskan proses keamanan, pengujian, dan validasi memungkinkan Anda untuk meningkatkan skala operasi keamanan Anda. | Aktifkan aturan ini untuk membatasi akses ke sumber daya di AWS Cloud. Aturan ini memastikan otentikasi multi-faktor (MFA) diaktifkan untuk semua pengguna. MFAmenambahkan lapisan perlindungan ekstra di atas kredensi masuk. Kurangi insiden akun yang disusupi dengan MFA mewajibkan pengguna. | |
| SEC-1 | Bagaimana Anda mengoperasikan beban kerja Anda dengan aman? Untuk mengoperasikan beban kerja Anda dengan aman, Anda harus menerapkan praktik terbaik menyeluruh untuk setiap bidang keamanan. Ambil persyaratan dan proses yang telah Anda tentukan dalam keunggulan operasional di tingkat organisasi dan beban kerja, dan terapkan ke semua bidang. Tetap up to date dengan rekomendasi industri AWS dan intelijen ancaman membantu Anda mengembangkan model ancaman dan tujuan pengendalian Anda. Mengotomatiskan proses keamanan, pengujian, dan validasi memungkinkan Anda untuk meningkatkan skala operasi keamanan Anda. | Akses ke sistem dan aset dapat dikontrol dengan memeriksa bahwa pengguna root tidak memiliki kunci akses yang melekat pada peran AWS Identity and Access Management (IAM) mereka. Pastikan kunci akses root dihapus. Sebaliknya, buat dan gunakan berbasis peran Akun AWS untuk membantu menggabungkan prinsip fungsionalitas paling sedikit. | |
| SEC-1 | Bagaimana Anda mengoperasikan beban kerja Anda dengan aman? Untuk mengoperasikan beban kerja Anda dengan aman, Anda harus menerapkan praktik terbaik menyeluruh untuk setiap bidang keamanan. Ambil persyaratan dan proses yang telah Anda tentukan dalam keunggulan operasional di tingkat organisasi dan beban kerja, dan terapkan ke semua bidang. Tetap up to date dengan rekomendasi industri AWS dan intelijen ancaman membantu Anda mengembangkan model ancaman dan tujuan pengendalian Anda. Mengotomatiskan proses keamanan, pengujian, dan validasi memungkinkan Anda untuk meningkatkan skala operasi keamanan Anda. | Kelola akses ke sumber daya di AWS Cloud dengan memastikan perangkat keras MFA diaktifkan untuk pengguna root. Pengguna root adalah pengguna yang paling istimewa dalam file Akun AWS. Ini MFA menambahkan lapisan perlindungan ekstra untuk kredensi masuk. Dengan MFA mewajibkan pengguna root, Anda dapat mengurangi insiden yang Akun AWS disusupi. | |
| SEC-1 | Bagaimana Anda mengoperasikan beban kerja Anda dengan aman? Untuk mengoperasikan beban kerja Anda dengan aman, Anda harus menerapkan praktik terbaik menyeluruh untuk setiap bidang keamanan. Ambil persyaratan dan proses yang telah Anda tentukan dalam keunggulan operasional di tingkat organisasi dan beban kerja, dan terapkan ke semua bidang. Tetap up to date dengan rekomendasi industri AWS dan intelijen ancaman membantu Anda mengembangkan model ancaman dan tujuan pengendalian Anda. Mengotomatiskan proses keamanan, pengujian, dan validasi memungkinkan Anda untuk meningkatkan skala operasi keamanan Anda. | Kelola akses ke sumber daya di AWS Cloud dengan memastikan MFA diaktifkan untuk pengguna root. Pengguna root adalah pengguna yang paling istimewa dalam file Akun AWS. Ini MFA menambahkan lapisan perlindungan ekstra untuk kredensi masuk. Dengan MFA mewajibkan pengguna root, Anda dapat mengurangi insiden yang Akun AWS disusupi. | |
| SEC-1 | Bagaimana Anda mengoperasikan beban kerja Anda dengan aman? Untuk mengoperasikan beban kerja Anda dengan aman, Anda harus menerapkan praktik terbaik menyeluruh untuk setiap bidang keamanan. Ambil persyaratan dan proses yang telah Anda tentukan dalam keunggulan operasional di tingkat organisasi dan beban kerja, dan terapkan ke semua bidang. Tetap up to date dengan rekomendasi industri AWS dan intelijen ancaman membantu Anda mengembangkan model ancaman dan tujuan pengendalian Anda. Mengotomatiskan proses keamanan, pengujian, dan validasi memungkinkan Anda untuk meningkatkan skala operasi keamanan Anda. | Inventarisasi platform perangkat lunak dan aplikasi dalam organisasi dimungkinkan dengan mengelola instans Amazon Elastic Compute Cloud (AmazonEC2) dengan AWS Systems Manager. Gunakan AWS Systems Manager untuk menyediakan konfigurasi sistem terperinci, tingkat patch sistem operasi, nama dan jenis layanan, instalasi perangkat lunak, nama aplikasi, penerbit dan versi, dan detail lainnya tentang lingkungan Anda. | |
| SEC-1 | Bagaimana Anda mengoperasikan beban kerja Anda dengan aman? Untuk mengoperasikan beban kerja Anda dengan aman, Anda harus menerapkan praktik terbaik menyeluruh untuk setiap bidang keamanan. Ambil persyaratan dan proses yang telah Anda tentukan dalam keunggulan operasional di tingkat organisasi dan beban kerja, dan terapkan ke semua bidang. Tetap up to date dengan rekomendasi industri AWS dan intelijen ancaman membantu Anda mengembangkan model ancaman dan tujuan pengendalian Anda. Mengotomatiskan proses keamanan, pengujian, dan validasi memungkinkan Anda untuk meningkatkan skala operasi keamanan Anda. | Gunakan Asosiasi AWS Systems Manager untuk membantu inventaris platform perangkat lunak dan aplikasi dalam suatu organisasi. AWS Systems Manager menetapkan status konfigurasi untuk instans terkelola Anda dan memungkinkan Anda untuk mengatur dasar tingkat patch sistem operasi, instalasi perangkat lunak, konfigurasi aplikasi, dan detail lainnya tentang lingkungan Anda. | |
| SEC-1 | Bagaimana Anda mengoperasikan beban kerja Anda dengan aman? Untuk mengoperasikan beban kerja Anda dengan aman, Anda harus menerapkan praktik terbaik menyeluruh untuk setiap bidang keamanan. Ambil persyaratan dan proses yang telah Anda tentukan dalam keunggulan operasional di tingkat organisasi dan beban kerja, dan terapkan ke semua bidang. Tetap up to date dengan rekomendasi industri AWS dan intelijen ancaman membantu Anda mengembangkan model ancaman dan tujuan pengendalian Anda. Mengotomatiskan proses keamanan, pengujian, dan validasi memungkinkan Anda untuk meningkatkan skala operasi keamanan Anda. | Aktifkan aturan ini untuk membantu identifikasi dan dokumentasi kerentanan Amazon Elastic Compute Cloud (AmazonEC2). Aturan memeriksa apakah EC2 instans Amazon menambal kepatuhan di AWS Systems Manager sebagaimana diwajibkan oleh kebijakan dan prosedur organisasi Anda. | |
| SEC-1 | Bagaimana Anda mengoperasikan beban kerja Anda dengan aman? Untuk mengoperasikan beban kerja Anda dengan aman, Anda harus menerapkan praktik terbaik menyeluruh untuk setiap bidang keamanan. Ambil persyaratan dan proses yang telah Anda tentukan dalam keunggulan operasional di tingkat organisasi dan beban kerja, dan terapkan ke semua bidang. Tetap up to date dengan rekomendasi industri AWS dan intelijen ancaman membantu Anda mengembangkan model ancaman dan tujuan pengendalian Anda. Mengotomatiskan proses keamanan, pengujian, dan validasi memungkinkan Anda untuk meningkatkan skala operasi keamanan Anda. | Pastikan kredensyal otentikasi AWS _ ACCESS _ KEY _ID dan _ AWS _ SECRET ACCESS _ KEY tidak ada dalam lingkungan AWS proyek Codebuild. Jangan menyimpan variabel ini dalam teks yang jelas. Menyimpan variabel-variabel ini dalam teks yang jelas menyebabkan paparan data yang tidak diinginkan dan akses yang tidak sah. | |
| SEC-2 | Bagaimana Anda mengelola identitas untuk orang dan mesin? Ada dua jenis identitas yang perlu Anda kelola saat mendekati beban AWS kerja yang aman. Memahami jenis identitas yang Anda butuhkan untuk mengelola dan memberikan akses membantu Anda memastikan identitas yang tepat memiliki akses ke sumber daya yang tepat dalam kondisi yang tepat. Identitas Manusia: Administrator, pengembang, operator, dan pengguna akhir Anda memerlukan identitas untuk mengakses AWS lingkungan dan aplikasi Anda. Ini adalah anggota organisasi Anda, atau pengguna eksternal dengan siapa Anda berkolaborasi, dan yang berinteraksi dengan AWS sumber daya Anda dari browser web, aplikasi klien, atau alat baris perintah interaktif. Identitas Mesin: Aplikasi layanan, alat operasional, dan beban kerja Anda memerlukan identitas untuk membuat permintaan ke AWS layanan - misalnya, untuk membaca data. Identitas ini mencakup mesin yang berjalan di AWS lingkungan Anda seperti EC2 instans Amazon atau fungsi Lambda AWS . Anda juga dapat mengelola identitas mesin untuk pihak eksternal yang membutuhkan akses. Selain itu, Anda mungkin juga memiliki mesin di luar AWS yang membutuhkan akses ke AWS lingkungan Anda. | Identitas dan kredensialnya dikeluarkan, dikelola, dan diverifikasi berdasarkan kebijakan kata sandi organisasiIAM. Mereka memenuhi atau melampaui persyaratan sebagaimana dinyatakan oleh NIST SP 800-63 dan standar Praktik Terbaik Keamanan AWS Dasar untuk kekuatan kata sandi. Aturan ini memungkinkan Anda untuk mengatur secara opsional RequireUppercaseCharacters (Nilai Praktik Terbaik Keamanan AWS Dasar: benar), RequireLowercaseCharacters (Nilai Praktik Terbaik Keamanan AWS Dasar: benar), RequireSymbols (Nilai Praktik Terbaik Keamanan AWS Dasar: benar), RequireNumbers (Nilai Praktik Terbaik Keamanan AWS Dasar: benar), MinimumPasswordLength (Nilai Praktik Terbaik Keamanan AWS Dasar: 14), (Nilai Praktik Terbaik Keamanan AWS Dasar: 24), dan PasswordReusePrevention MaxPasswordAge (Nilai Praktik Terbaik Keamanan AWS Dasar: 90) untuk Anda IAMKebijakan Kata Sandi. Nilai aktual harus mencerminkan kebijakan organisasi Anda. | |
| SEC-2 | Bagaimana Anda mengelola identitas untuk orang dan mesin? Ada dua jenis identitas yang perlu Anda kelola saat mendekati beban AWS kerja yang aman. Memahami jenis identitas yang Anda butuhkan untuk mengelola dan memberikan akses membantu Anda memastikan identitas yang tepat memiliki akses ke sumber daya yang tepat dalam kondisi yang tepat. Identitas Manusia: Administrator, pengembang, operator, dan pengguna akhir Anda memerlukan identitas untuk mengakses AWS lingkungan dan aplikasi Anda. Ini adalah anggota organisasi Anda, atau pengguna eksternal dengan siapa Anda berkolaborasi, dan yang berinteraksi dengan AWS sumber daya Anda dari browser web, aplikasi klien, atau alat baris perintah interaktif. Identitas Mesin: Aplikasi layanan, alat operasional, dan beban kerja Anda memerlukan identitas untuk membuat permintaan ke AWS layanan - misalnya, untuk membaca data. Identitas ini mencakup mesin yang berjalan di AWS lingkungan Anda seperti EC2 instans Amazon atau fungsi Lambda AWS . Anda juga dapat mengelola identitas mesin untuk pihak eksternal yang membutuhkan akses. Selain itu, Anda mungkin juga memiliki mesin di luar AWS yang membutuhkan akses ke AWS lingkungan Anda. | Kelola akses ke sumber daya di AWS Cloud dengan memastikan perangkat keras MFA diaktifkan untuk pengguna root. Pengguna root adalah pengguna yang paling istimewa dalam file Akun AWS. Ini MFA menambahkan lapisan perlindungan ekstra untuk kredensi masuk. Dengan MFA mewajibkan pengguna root, Anda dapat mengurangi insiden yang Akun AWS disusupi. | |
| SEC-2 | Bagaimana Anda mengelola identitas untuk orang dan mesin? Ada dua jenis identitas yang perlu Anda kelola saat mendekati beban AWS kerja yang aman. Memahami jenis identitas yang Anda butuhkan untuk mengelola dan memberikan akses membantu Anda memastikan identitas yang tepat memiliki akses ke sumber daya yang tepat dalam kondisi yang tepat. Identitas Manusia: Administrator, pengembang, operator, dan pengguna akhir Anda memerlukan identitas untuk mengakses AWS lingkungan dan aplikasi Anda. Ini adalah anggota organisasi Anda, atau pengguna eksternal dengan siapa Anda berkolaborasi, dan yang berinteraksi dengan AWS sumber daya Anda dari browser web, aplikasi klien, atau alat baris perintah interaktif. Identitas Mesin: Aplikasi layanan, alat operasional, dan beban kerja Anda memerlukan identitas untuk membuat permintaan ke AWS layanan - misalnya, untuk membaca data. Identitas ini mencakup mesin yang berjalan di AWS lingkungan Anda seperti EC2 instans Amazon atau fungsi Lambda AWS . Anda juga dapat mengelola identitas mesin untuk pihak eksternal yang membutuhkan akses. Selain itu, Anda mungkin juga memiliki mesin di luar AWS yang membutuhkan akses ke AWS lingkungan Anda. | Kelola akses ke sumber daya di AWS Cloud dengan memastikan MFA diaktifkan untuk pengguna root. Pengguna root adalah pengguna yang paling istimewa dalam file Akun AWS. Ini MFA menambahkan lapisan perlindungan ekstra untuk kredensi masuk. Dengan MFA mewajibkan pengguna root, Anda dapat mengurangi insiden yang Akun AWS disusupi. | |
| SEC-2 | Bagaimana Anda mengelola identitas untuk orang dan mesin? Ada dua jenis identitas yang perlu Anda kelola saat mendekati beban AWS kerja yang aman. Memahami jenis identitas yang Anda butuhkan untuk mengelola dan memberikan akses membantu Anda memastikan identitas yang tepat memiliki akses ke sumber daya yang tepat dalam kondisi yang tepat. Identitas Manusia: Administrator, pengembang, operator, dan pengguna akhir Anda memerlukan identitas untuk mengakses AWS lingkungan dan aplikasi Anda. Ini adalah anggota organisasi Anda, atau pengguna eksternal dengan siapa Anda berkolaborasi, dan yang berinteraksi dengan AWS sumber daya Anda dari browser web, aplikasi klien, atau alat baris perintah interaktif. Identitas Mesin: Aplikasi layanan, alat operasional, dan beban kerja Anda memerlukan identitas untuk membuat permintaan ke AWS layanan - misalnya, untuk membaca data. Identitas ini mencakup mesin yang berjalan di AWS lingkungan Anda seperti EC2 instans Amazon atau fungsi Lambda AWS . Anda juga dapat mengelola identitas mesin untuk pihak eksternal yang membutuhkan akses. Selain itu, Anda mungkin juga memiliki mesin di luar AWS yang membutuhkan akses ke AWS lingkungan Anda. | Aktifkan aturan ini untuk membatasi akses ke sumber daya di AWS Cloud. Aturan ini memastikan otentikasi multi-faktor (MFA) diaktifkan untuk semua pengguna. MFAmenambahkan lapisan perlindungan ekstra di atas kredensi masuk. Kurangi insiden akun yang disusupi dengan MFA mewajibkan pengguna. | |
| SEC-2 | Bagaimana Anda mengelola identitas untuk orang dan mesin? Ada dua jenis identitas yang perlu Anda kelola saat mendekati beban AWS kerja yang aman. Memahami jenis identitas yang Anda butuhkan untuk mengelola dan memberikan akses membantu Anda memastikan identitas yang tepat memiliki akses ke sumber daya yang tepat dalam kondisi yang tepat. Identitas Manusia: Administrator, pengembang, operator, dan pengguna akhir Anda memerlukan identitas untuk mengakses AWS lingkungan dan aplikasi Anda. Ini adalah anggota organisasi Anda, atau pengguna eksternal dengan siapa Anda berkolaborasi, dan yang berinteraksi dengan AWS sumber daya Anda dari browser web, aplikasi klien, atau alat baris perintah interaktif. Identitas Mesin: Aplikasi layanan, alat operasional, dan beban kerja Anda memerlukan identitas untuk membuat permintaan ke AWS layanan - misalnya, untuk membaca data. Identitas ini mencakup mesin yang berjalan di AWS lingkungan Anda seperti EC2 instans Amazon atau fungsi Lambda AWS . Anda juga dapat mengelola identitas mesin untuk pihak eksternal yang membutuhkan akses. Selain itu, Anda mungkin juga memiliki mesin di luar AWS yang membutuhkan akses ke AWS lingkungan Anda. | Kelola akses ke sumber daya di AWS Cloud dengan memastikan bahwa MFA diaktifkan untuk semua pengguna AWS Identity and Access Management (IAM) yang memiliki kata sandi konsol. MFAmenambahkan lapisan perlindungan ekstra di atas kredensi masuk. Dengan MFA mewajibkan pengguna, Anda dapat mengurangi insiden akun yang disusupi dan menjaga agar data sensitif tidak diakses oleh pengguna yang tidak sah. | |
| SEC-2 | Bagaimana Anda mengelola identitas untuk orang dan mesin? Ada dua jenis identitas yang perlu Anda kelola saat mendekati beban AWS kerja yang aman. Memahami jenis identitas yang Anda butuhkan untuk mengelola dan memberikan akses membantu Anda memastikan identitas yang tepat memiliki akses ke sumber daya yang tepat dalam kondisi yang tepat. Identitas Manusia: Administrator, pengembang, operator, dan pengguna akhir Anda memerlukan identitas untuk mengakses AWS lingkungan dan aplikasi Anda. Ini adalah anggota organisasi Anda, atau pengguna eksternal dengan siapa Anda berkolaborasi, dan yang berinteraksi dengan AWS sumber daya Anda dari browser web, aplikasi klien, atau alat baris perintah interaktif. Identitas Mesin: Aplikasi layanan, alat operasional, dan beban kerja Anda memerlukan identitas untuk membuat permintaan ke AWS layanan - misalnya, untuk membaca data. Identitas ini mencakup mesin yang berjalan di AWS lingkungan Anda seperti EC2 instans Amazon atau fungsi Lambda AWS . Anda juga dapat mengelola identitas mesin untuk pihak eksternal yang membutuhkan akses. Selain itu, Anda mungkin juga memiliki mesin di luar AWS yang membutuhkan akses ke AWS lingkungan Anda. | Jika definisi tugas memiliki hak istimewa yang tinggi, itu karena pelanggan telah secara khusus ikut serta dalam konfigurasi tersebut. Kontrol ini memeriksa eskalasi hak istimewa yang tidak terduga ketika definisi tugas mengaktifkan jaringan host tetapi pelanggan belum ikut serta dalam hak istimewa yang ditinggikan. | |
| SEC-2 | Bagaimana Anda mengelola identitas untuk orang dan mesin? Ada dua jenis identitas yang perlu Anda kelola saat mendekati beban AWS kerja yang aman. Memahami jenis identitas yang Anda butuhkan untuk mengelola dan memberikan akses membantu Anda memastikan identitas yang tepat memiliki akses ke sumber daya yang tepat dalam kondisi yang tepat. Identitas Manusia: Administrator, pengembang, operator, dan pengguna akhir Anda memerlukan identitas untuk mengakses AWS lingkungan dan aplikasi Anda. Ini adalah anggota organisasi Anda, atau pengguna eksternal dengan siapa Anda berkolaborasi, dan yang berinteraksi dengan AWS sumber daya Anda dari browser web, aplikasi klien, atau alat baris perintah interaktif. Identitas Mesin: Aplikasi layanan, alat operasional, dan beban kerja Anda memerlukan identitas untuk membuat permintaan ke AWS layanan - misalnya, untuk membaca data. Identitas ini mencakup mesin yang berjalan di AWS lingkungan Anda seperti EC2 instans Amazon atau fungsi Lambda AWS . Anda juga dapat mengelola identitas mesin untuk pihak eksternal yang membutuhkan akses. Selain itu, Anda mungkin juga memiliki mesin di luar AWS yang membutuhkan akses ke AWS lingkungan Anda. | AWS Identity and Access Management (IAM) dapat membantu Anda menggabungkan prinsip-prinsip hak istimewa dan pemisahan tugas dengan izin akses dan otorisasi, dengan memastikan bahwa IAM grup memiliki setidaknya satu pengguna. Menempatkan pengguna dalam grup berdasarkan izin terkait atau fungsi pekerjaan adalah salah satu cara untuk memasukkan hak istimewa paling sedikit. | |
| SEC-2 | Bagaimana Anda mengelola identitas untuk orang dan mesin? Ada dua jenis identitas yang perlu Anda kelola saat mendekati beban AWS kerja yang aman. Memahami jenis identitas yang Anda butuhkan untuk mengelola dan memberikan akses membantu Anda memastikan identitas yang tepat memiliki akses ke sumber daya yang tepat dalam kondisi yang tepat. Identitas Manusia: Administrator, pengembang, operator, dan pengguna akhir Anda memerlukan identitas untuk mengakses AWS lingkungan dan aplikasi Anda. Ini adalah anggota organisasi Anda, atau pengguna eksternal dengan siapa Anda berkolaborasi, dan yang berinteraksi dengan AWS sumber daya Anda dari browser web, aplikasi klien, atau alat baris perintah interaktif. Identitas Mesin: Aplikasi layanan, alat operasional, dan beban kerja Anda memerlukan identitas untuk membuat permintaan ke AWS layanan - misalnya, untuk membaca data. Identitas ini mencakup mesin yang berjalan di AWS lingkungan Anda seperti EC2 instans Amazon atau fungsi Lambda AWS . Anda juga dapat mengelola identitas mesin untuk pihak eksternal yang membutuhkan akses. Selain itu, Anda mungkin juga memiliki mesin di luar AWS yang membutuhkan akses ke AWS lingkungan Anda. | Pastikan pengguna, IAM peran, atau IAM grup AWS Identity and Access Management (IAM) tidak memiliki kebijakan inline untuk mengontrol akses ke sistem dan aset. AWS merekomendasikan untuk menggunakan kebijakan terkelola alih-alih kebijakan inline. Kebijakan terkelola memungkinkan penggunaan kembali, pembuatan versi dan pemutaran kembali, serta mendelegasikan manajemen izin. | |
| SEC-2 | Bagaimana Anda mengelola identitas untuk orang dan mesin? Ada dua jenis identitas yang perlu Anda kelola saat mendekati beban AWS kerja yang aman. Memahami jenis identitas yang Anda butuhkan untuk mengelola dan memberikan akses membantu Anda memastikan identitas yang tepat memiliki akses ke sumber daya yang tepat dalam kondisi yang tepat. Identitas Manusia: Administrator, pengembang, operator, dan pengguna akhir Anda memerlukan identitas untuk mengakses AWS lingkungan dan aplikasi Anda. Ini adalah anggota organisasi Anda, atau pengguna eksternal dengan siapa Anda berkolaborasi, dan yang berinteraksi dengan AWS sumber daya Anda dari browser web, aplikasi klien, atau alat baris perintah interaktif. Identitas Mesin: Aplikasi layanan, alat operasional, dan beban kerja Anda memerlukan identitas untuk membuat permintaan ke AWS layanan - misalnya, untuk membaca data. Identitas ini mencakup mesin yang berjalan di AWS lingkungan Anda seperti EC2 instans Amazon atau fungsi Lambda AWS . Anda juga dapat mengelola identitas mesin untuk pihak eksternal yang membutuhkan akses. Selain itu, Anda mungkin juga memiliki mesin di luar AWS yang membutuhkan akses ke AWS lingkungan Anda. | AWS Identity and Access Management (IAM) dapat membantu Anda menggabungkan prinsip-prinsip hak istimewa dan pemisahan tugas dengan izin akses dan otorisasi, membatasi kebijakan agar tidak mengandung “Efek”: “Izinkan” dengan “Tindakan”: “*” di atas “Sumber Daya”: “*”. Memungkinkan pengguna untuk memiliki lebih banyak hak istimewa daripada yang dibutuhkan untuk menyelesaikan tugas dapat melanggar prinsip hak istimewa dan pemisahan tugas. | |
| SEC-2 | Bagaimana Anda mengelola identitas untuk orang dan mesin? Ada dua jenis identitas yang perlu Anda kelola saat mendekati beban AWS kerja yang aman. Memahami jenis identitas yang Anda butuhkan untuk mengelola dan memberikan akses membantu Anda memastikan identitas yang tepat memiliki akses ke sumber daya yang tepat dalam kondisi yang tepat. Identitas Manusia: Administrator, pengembang, operator, dan pengguna akhir Anda memerlukan identitas untuk mengakses AWS lingkungan dan aplikasi Anda. Ini adalah anggota organisasi Anda, atau pengguna eksternal dengan siapa Anda berkolaborasi, dan yang berinteraksi dengan AWS sumber daya Anda dari browser web, aplikasi klien, atau alat baris perintah interaktif. Identitas Mesin: Aplikasi layanan, alat operasional, dan beban kerja Anda memerlukan identitas untuk membuat permintaan ke AWS layanan - misalnya, untuk membaca data. Identitas ini mencakup mesin yang berjalan di AWS lingkungan Anda seperti EC2 instans Amazon atau fungsi Lambda AWS . Anda juga dapat mengelola identitas mesin untuk pihak eksternal yang membutuhkan akses. Selain itu, Anda mungkin juga memiliki mesin di luar AWS yang membutuhkan akses ke AWS lingkungan Anda. | Pastikan IAM Tindakan dibatasi hanya pada tindakan yang diperlukan. Memungkinkan pengguna untuk memiliki lebih banyak hak istimewa daripada yang dibutuhkan untuk menyelesaikan tugas dapat melanggar prinsip hak istimewa dan pemisahan tugas. | |
| SEC-2 | Bagaimana Anda mengelola identitas untuk orang dan mesin? Ada dua jenis identitas yang perlu Anda kelola saat mendekati beban AWS kerja yang aman. Memahami jenis identitas yang Anda butuhkan untuk mengelola dan memberikan akses membantu Anda memastikan identitas yang tepat memiliki akses ke sumber daya yang tepat dalam kondisi yang tepat. Identitas Manusia: Administrator, pengembang, operator, dan pengguna akhir Anda memerlukan identitas untuk mengakses AWS lingkungan dan aplikasi Anda. Ini adalah anggota organisasi Anda, atau pengguna eksternal dengan siapa Anda berkolaborasi, dan yang berinteraksi dengan AWS sumber daya Anda dari browser web, aplikasi klien, atau alat baris perintah interaktif. Identitas Mesin: Aplikasi layanan, alat operasional, dan beban kerja Anda memerlukan identitas untuk membuat permintaan ke AWS layanan - misalnya, untuk membaca data. Identitas ini mencakup mesin yang berjalan di AWS lingkungan Anda seperti EC2 instans Amazon atau fungsi Lambda AWS . Anda juga dapat mengelola identitas mesin untuk pihak eksternal yang membutuhkan akses. Selain itu, Anda mungkin juga memiliki mesin di luar AWS yang membutuhkan akses ke AWS lingkungan Anda. | AWS Identity and Access Management (IAM) dapat membantu Anda membatasi izin akses dan otorisasi, dengan memastikan pengguna adalah anggota setidaknya satu grup. Mengizinkan pengguna lebih banyak hak istimewa daripada yang dibutuhkan untuk menyelesaikan tugas dapat melanggar prinsip hak istimewa paling sedikit dan pemisahan tugas. | |
| SEC-2 | Bagaimana Anda mengelola identitas untuk orang dan mesin? Ada dua jenis identitas yang perlu Anda kelola saat mendekati beban AWS kerja yang aman. Memahami jenis identitas yang Anda butuhkan untuk mengelola dan memberikan akses membantu Anda memastikan identitas yang tepat memiliki akses ke sumber daya yang tepat dalam kondisi yang tepat. Identitas Manusia: Administrator, pengembang, operator, dan pengguna akhir Anda memerlukan identitas untuk mengakses AWS lingkungan dan aplikasi Anda. Ini adalah anggota organisasi Anda, atau pengguna eksternal dengan siapa Anda berkolaborasi, dan yang berinteraksi dengan AWS sumber daya Anda dari browser web, aplikasi klien, atau alat baris perintah interaktif. Identitas Mesin: Aplikasi layanan, alat operasional, dan beban kerja Anda memerlukan identitas untuk membuat permintaan ke AWS layanan - misalnya, untuk membaca data. Identitas ini mencakup mesin yang berjalan di AWS lingkungan Anda seperti EC2 instans Amazon atau fungsi Lambda AWS . Anda juga dapat mengelola identitas mesin untuk pihak eksternal yang membutuhkan akses. Selain itu, Anda mungkin juga memiliki mesin di luar AWS yang membutuhkan akses ke AWS lingkungan Anda. | AWS Identity and Access Management (IAM) dapat membantu Anda dengan izin akses dan otorisasi dengan memeriksa IAM kata sandi dan kunci akses yang tidak digunakan untuk jangka waktu tertentu. Jika kredensil yang tidak digunakan ini diidentifikasi, Anda harus menonaktifkan dan/atau menghapus kredensialnya, karena ini dapat melanggar prinsip hak istimewa paling sedikit. Aturan ini mengharuskan Anda untuk menetapkan nilai ke maxCredentialUsage Usia (Config Default: 90). Nilai aktual harus mencerminkan kebijakan organisasi Anda. | |
| SEC-2 | Bagaimana Anda mengelola identitas untuk orang dan mesin? Ada dua jenis identitas yang perlu Anda kelola saat mendekati beban AWS kerja yang aman. Memahami jenis identitas yang Anda butuhkan untuk mengelola dan memberikan akses membantu Anda memastikan identitas yang tepat memiliki akses ke sumber daya yang tepat dalam kondisi yang tepat. Identitas Manusia: Administrator, pengembang, operator, dan pengguna akhir Anda memerlukan identitas untuk mengakses AWS lingkungan dan aplikasi Anda. Ini adalah anggota organisasi Anda, atau pengguna eksternal dengan siapa Anda berkolaborasi, dan yang berinteraksi dengan AWS sumber daya Anda dari browser web, aplikasi klien, atau alat baris perintah interaktif. Identitas Mesin: Aplikasi layanan, alat operasional, dan beban kerja Anda memerlukan identitas untuk membuat permintaan ke AWS layanan - misalnya, untuk membaca data. Identitas ini mencakup mesin yang berjalan di AWS lingkungan Anda seperti EC2 instans Amazon atau fungsi Lambda AWS . Anda juga dapat mengelola identitas mesin untuk pihak eksternal yang membutuhkan akses. Selain itu, Anda mungkin juga memiliki mesin di luar AWS yang membutuhkan akses ke AWS lingkungan Anda. | Aturan ini memastikan AWS rahasia Secrets Manager telah diaktifkan rotasi. Memutar rahasia pada jadwal reguler dapat mempersingkat periode rahasia aktif, dan berpotensi mengurangi dampak bisnis jika rahasia itu dikompromikan. | |
| SEC-2 | Bagaimana Anda mengelola identitas untuk orang dan mesin? Ada dua jenis identitas yang perlu Anda kelola saat mendekati beban AWS kerja yang aman. Memahami jenis identitas yang Anda butuhkan untuk mengelola dan memberikan akses membantu Anda memastikan identitas yang tepat memiliki akses ke sumber daya yang tepat dalam kondisi yang tepat. Identitas Manusia: Administrator, pengembang, operator, dan pengguna akhir Anda memerlukan identitas untuk mengakses AWS lingkungan dan aplikasi Anda. Ini adalah anggota organisasi Anda, atau pengguna eksternal dengan siapa Anda berkolaborasi, dan yang berinteraksi dengan AWS sumber daya Anda dari browser web, aplikasi klien, atau alat baris perintah interaktif. Identitas Mesin: Aplikasi layanan, alat operasional, dan beban kerja Anda memerlukan identitas untuk membuat permintaan ke AWS layanan - misalnya, untuk membaca data. Identitas ini mencakup mesin yang berjalan di AWS lingkungan Anda seperti EC2 instans Amazon atau fungsi Lambda AWS . Anda juga dapat mengelola identitas mesin untuk pihak eksternal yang membutuhkan akses. Selain itu, Anda mungkin juga memiliki mesin di luar AWS yang membutuhkan akses ke AWS lingkungan Anda. | Aturan ini memastikan bahwa AWS rahasia Secrets Manager telah berhasil diputar sesuai dengan jadwal rotasi. Memutar rahasia pada jadwal reguler dapat mempersingkat periode di mana rahasia aktif, dan berpotensi mengurangi dampak bisnis jika dikompromikan. | |
| SEC-2 | Bagaimana Anda mengelola identitas untuk orang dan mesin? Ada dua jenis identitas yang perlu Anda kelola saat mendekati beban AWS kerja yang aman. Memahami jenis identitas yang Anda butuhkan untuk mengelola dan memberikan akses membantu Anda memastikan identitas yang tepat memiliki akses ke sumber daya yang tepat dalam kondisi yang tepat. Identitas Manusia: Administrator, pengembang, operator, dan pengguna akhir Anda memerlukan identitas untuk mengakses AWS lingkungan dan aplikasi Anda. Ini adalah anggota organisasi Anda, atau pengguna eksternal dengan siapa Anda berkolaborasi, dan yang berinteraksi dengan AWS sumber daya Anda dari browser web, aplikasi klien, atau alat baris perintah interaktif. Identitas Mesin: Aplikasi layanan, alat operasional, dan beban kerja Anda memerlukan identitas untuk membuat permintaan ke AWS layanan - misalnya, untuk membaca data. Identitas ini mencakup mesin yang berjalan di AWS lingkungan Anda seperti EC2 instans Amazon atau fungsi Lambda AWS . Anda juga dapat mengelola identitas mesin untuk pihak eksternal yang membutuhkan akses. Selain itu, Anda mungkin juga memiliki mesin di luar AWS yang membutuhkan akses ke AWS lingkungan Anda. | Aturan ini memastikan AWS rahasia Secrets Manager mengaktifkan rotasi periodik. Memutar rahasia pada jadwal reguler dapat mempersingkat periode rahasia aktif, dan berpotensi mengurangi dampak bisnis jika rahasia itu dikompromikan. Nilai default adalah 90 hari. | |
| SEC-2 | Bagaimana Anda mengelola identitas untuk orang dan mesin? Ada dua jenis identitas yang perlu Anda kelola saat mendekati beban AWS kerja yang aman. Memahami jenis identitas yang Anda butuhkan untuk mengelola dan memberikan akses membantu Anda memastikan identitas yang tepat memiliki akses ke sumber daya yang tepat dalam kondisi yang tepat. Identitas Manusia: Administrator, pengembang, operator, dan pengguna akhir Anda memerlukan identitas untuk mengakses AWS lingkungan dan aplikasi Anda. Ini adalah anggota organisasi Anda, atau pengguna eksternal dengan siapa Anda berkolaborasi, dan yang berinteraksi dengan AWS sumber daya Anda dari browser web, aplikasi klien, atau alat baris perintah interaktif. Identitas Mesin: Aplikasi layanan, alat operasional, dan beban kerja Anda memerlukan identitas untuk membuat permintaan ke AWS layanan - misalnya, untuk membaca data. Identitas ini mencakup mesin yang berjalan di AWS lingkungan Anda seperti EC2 instans Amazon atau fungsi Lambda AWS . Anda juga dapat mengelola identitas mesin untuk pihak eksternal yang membutuhkan akses. Selain itu, Anda mungkin juga memiliki mesin di luar AWS yang membutuhkan akses ke AWS lingkungan Anda. | Jika kredensil yang tidak digunakan ada di AWS Secrets Manager, Anda harus menonaktifkan dan/atau menghapus kredensialnya, karena hal ini dapat melanggar prinsip hak istimewa terkecil. Aturan ini memungkinkan Anda untuk menetapkan nilai ke unusedForDays (Config Default: 90). Nilai aktual harus mencerminkan kebijakan organisasi Anda. | |
| SEC-2 | Bagaimana Anda mengelola identitas untuk orang dan mesin? Ada dua jenis identitas yang perlu Anda kelola saat mendekati beban AWS kerja yang aman. Memahami jenis identitas yang Anda butuhkan untuk mengelola dan memberikan akses membantu Anda memastikan identitas yang tepat memiliki akses ke sumber daya yang tepat dalam kondisi yang tepat. Identitas Manusia: Administrator, pengembang, operator, dan pengguna akhir Anda memerlukan identitas untuk mengakses AWS lingkungan dan aplikasi Anda. Ini adalah anggota organisasi Anda, atau pengguna eksternal dengan siapa Anda berkolaborasi, dan yang berinteraksi dengan AWS sumber daya Anda dari browser web, aplikasi klien, atau alat baris perintah interaktif. Identitas Mesin: Aplikasi layanan, alat operasional, dan beban kerja Anda memerlukan identitas untuk membuat permintaan ke AWS layanan - misalnya, untuk membaca data. Identitas ini mencakup mesin yang berjalan di AWS lingkungan Anda seperti EC2 instans Amazon atau fungsi Lambda AWS . Anda juga dapat mengelola identitas mesin untuk pihak eksternal yang membutuhkan akses. Selain itu, Anda mungkin juga memiliki mesin di luar AWS yang membutuhkan akses ke AWS lingkungan Anda. | Untuk membantu melindungi data saat istirahat, pastikan enkripsi dengan AWS Key Management Service (AWS KMS) diaktifkan untuk AWS rahasia Secrets Manager. Karena data sensitif dapat ada saat diam di rahasia Secrets Manager, aktifkan enkripsi saat istirahat untuk membantu melindungi data tersebut. | |
| SEC-2 | Bagaimana Anda mengelola identitas untuk orang dan mesin? Ada dua jenis identitas yang perlu Anda kelola saat mendekati beban AWS kerja yang aman. Memahami jenis identitas yang Anda butuhkan untuk mengelola dan memberikan akses membantu Anda memastikan identitas yang tepat memiliki akses ke sumber daya yang tepat dalam kondisi yang tepat. Identitas Manusia: Administrator, pengembang, operator, dan pengguna akhir Anda memerlukan identitas untuk mengakses AWS lingkungan dan aplikasi Anda. Ini adalah anggota organisasi Anda, atau pengguna eksternal dengan siapa Anda berkolaborasi, dan yang berinteraksi dengan AWS sumber daya Anda dari browser web, aplikasi klien, atau alat baris perintah interaktif. Identitas Mesin: Aplikasi layanan, alat operasional, dan beban kerja Anda memerlukan identitas untuk membuat permintaan ke AWS layanan - misalnya, untuk membaca data. Identitas ini mencakup mesin yang berjalan di AWS lingkungan Anda seperti EC2 instans Amazon atau fungsi Lambda AWS . Anda juga dapat mengelola identitas mesin untuk pihak eksternal yang membutuhkan akses. Selain itu, Anda mungkin juga memiliki mesin di luar AWS yang membutuhkan akses ke AWS lingkungan Anda. | Kredensi diaudit untuk perangkat, pengguna, dan proses yang berwenang dengan memastikan kunci IAM akses diputar seperti yang ditentukan oleh kebijakan organisasi. Mengubah kunci akses pada jadwal reguler adalah praktik terbaik keamanan. Ini mempersingkat periode kunci akses aktif dan mengurangi dampak bisnis jika kunci dikompromikan. Aturan ini memerlukan nilai rotasi kunci akses (Config Default: 90). Nilai aktual harus mencerminkan kebijakan organisasi Anda. | |
| SEC-3 | Bagaimana Anda mengelola izin untuk orang dan mesin? Setiap komponen atau sumber daya beban kerja Anda perlu diakses oleh administrator, pengguna akhir, atau komponen lainnya. Memiliki definisi yang jelas tentang siapa atau apa yang harus memiliki akses ke setiap komponen, pilih jenis identitas yang sesuai dan metode otentikasi dan otorisasi. | Pastikan metode Instance Metadata Service Version 2 (IMDSv2) diaktifkan untuk membantu melindungi akses dan kontrol metadata instans Amazon Elastic Compute Cloud (AmazonEC2). IMDSv2Metode ini menggunakan kontrol berbasis sesi. DenganIMDSv2, kontrol dapat diimplementasikan untuk membatasi perubahan pada metadata instance. | |
| SEC-3 | Bagaimana Anda mengelola izin untuk orang dan mesin? Setiap komponen atau sumber daya beban kerja Anda perlu diakses oleh administrator, pengguna akhir, atau komponen lainnya. Memiliki definisi yang jelas tentang siapa atau apa yang harus memiliki akses ke setiap komponen, pilih jenis identitas yang sesuai dan metode otentikasi dan otorisasi. | EC2profil instance meneruskan IAM peran ke sebuah EC2 instance. Melampirkan profil instans ke instans Anda dapat membantu pengelolaan hak istimewa dan izin paling sedikit. | |
| SEC-3 | Bagaimana Anda mengelola izin untuk orang dan mesin? Setiap komponen atau sumber daya beban kerja Anda perlu diakses oleh administrator, pengguna akhir, atau komponen lainnya. Memiliki definisi yang jelas tentang siapa atau apa yang harus memiliki akses ke setiap komponen, pilih jenis identitas yang sesuai dan metode otentikasi dan otorisasi. | Jika definisi tugas memiliki hak istimewa yang tinggi, itu karena pelanggan telah secara khusus ikut serta dalam konfigurasi tersebut. Kontrol ini memeriksa eskalasi hak istimewa yang tidak terduga ketika definisi tugas mengaktifkan jaringan host tetapi pelanggan belum ikut serta dalam hak istimewa yang ditinggikan. | |
| SEC-3 | Bagaimana Anda mengelola izin untuk orang dan mesin? Setiap komponen atau sumber daya beban kerja Anda perlu diakses oleh administrator, pengguna akhir, atau komponen lainnya. Memiliki definisi yang jelas tentang siapa atau apa yang harus memiliki akses ke setiap komponen, pilih jenis identitas yang sesuai dan metode otentikasi dan otorisasi. | Untuk membantu menerapkan prinsip hak istimewa paling sedikit, pastikan bahwa pengguna non-root ditunjuk untuk mengakses definisi tugas Amazon Elastic Container Service ECS (Amazon) Anda. | |
| SEC-3 | Bagaimana Anda mengelola izin untuk orang dan mesin? Setiap komponen atau sumber daya beban kerja Anda perlu diakses oleh administrator, pengguna akhir, atau komponen lainnya. Memiliki definisi yang jelas tentang siapa atau apa yang harus memiliki akses ke setiap komponen, pilih jenis identitas yang sesuai dan metode otentikasi dan otorisasi. | Untuk membantu menerapkan prinsip hak istimewa paling sedikit, definisi tugas Amazon Elastic Container Service (AmazonECS) seharusnya tidak mengaktifkan hak istimewa yang ditinggikan. Ketika parameter ini benar, wadah diberikan hak istimewa yang ditinggikan pada instance wadah host (mirip dengan pengguna root). | |
| SEC-3 | Bagaimana Anda mengelola izin untuk orang dan mesin? Setiap komponen atau sumber daya beban kerja Anda perlu diakses oleh administrator, pengguna akhir, atau komponen lainnya. Memiliki definisi yang jelas tentang siapa atau apa yang harus memiliki akses ke setiap komponen, pilih jenis identitas yang sesuai dan metode otentikasi dan otorisasi. | Mengaktifkan akses baca saja ke wadah Amazon Elastic Container Service (ECS) dapat membantu mematuhi prinsip hak istimewa paling rendah. Opsi ini dapat mengurangi vektor serangan karena sistem file instance container tidak dapat dimodifikasi kecuali jika memiliki izin baca-tulis eksplisit. | |
| SEC-3 | Bagaimana Anda mengelola izin untuk orang dan mesin? Setiap komponen atau sumber daya beban kerja Anda perlu diakses oleh administrator, pengguna akhir, atau komponen lainnya. Memiliki definisi yang jelas tentang siapa atau apa yang harus memiliki akses ke setiap komponen, pilih jenis identitas yang sesuai dan metode otentikasi dan otorisasi. | Untuk membantu menerapkan prinsip hak istimewa paling sedikit, pastikan penegakan pengguna diaktifkan untuk Amazon Elastic File System (AmazonEFS) Anda. Saat diaktifkan, Amazon EFS mengganti pengguna dan grup NFS klien IDs dengan identitas yang dikonfigurasi pada titik akses untuk semua operasi sistem file dan hanya memberikan akses ke identitas pengguna yang diberlakukan ini. | |
| SEC-3 | Bagaimana Anda mengelola izin untuk orang dan mesin? Setiap komponen atau sumber daya beban kerja Anda perlu diakses oleh administrator, pengguna akhir, atau komponen lainnya. Memiliki definisi yang jelas tentang siapa atau apa yang harus memiliki akses ke setiap komponen, pilih jenis identitas yang sesuai dan metode otentikasi dan otorisasi. | Izin akses dan otorisasi dapat dikelola dan digabungkan dengan prinsip-prinsip hak istimewa dan pemisahan tugas yang paling rendah, dengan mengaktifkan Kerberos untuk klaster Amazon. EMR Di Kerberos, layanan dan pengguna yang perlu mengautentikasi dikenal sebagai prinsipal. Prinsipal ada dalam ranah Kerberos. Dalam dunia, server Kerberos dikenal sebagai pusat distribusi kunci ()KDC. Ini menyediakan sarana bagi kepala sekolah untuk mengotentikasi. KDCOtentikasi dengan mengeluarkan tiket untuk otentikasi. Mereka KDC memelihara database kepala sekolah dalam wilayahnya, kata sandi mereka, dan informasi administratif lainnya tentang masing-masing kepala sekolah. | |
| SEC-3 | Bagaimana Anda mengelola izin untuk orang dan mesin? Setiap komponen atau sumber daya beban kerja Anda perlu diakses oleh administrator, pengguna akhir, atau komponen lainnya. Memiliki definisi yang jelas tentang siapa atau apa yang harus memiliki akses ke setiap komponen, pilih jenis identitas yang sesuai dan metode otentikasi dan otorisasi. | AWS Identity and Access Management (IAM) dapat membantu Anda menggabungkan prinsip-prinsip hak istimewa dan pemisahan tugas dengan izin akses dan otorisasi, dengan memastikan bahwa IAM grup memiliki setidaknya satu pengguna. Menempatkan pengguna dalam grup berdasarkan izin terkait atau fungsi pekerjaan adalah salah satu cara untuk memasukkan hak istimewa paling sedikit. | |
| SEC-3 | Bagaimana Anda mengelola izin untuk orang dan mesin? Setiap komponen atau sumber daya beban kerja Anda perlu diakses oleh administrator, pengguna akhir, atau komponen lainnya. Memiliki definisi yang jelas tentang siapa atau apa yang harus memiliki akses ke setiap komponen, pilih jenis identitas yang sesuai dan metode otentikasi dan otorisasi. | Pastikan pengguna, IAM peran, atau IAM grup AWS Identity and Access Management (IAM) tidak memiliki kebijakan inline untuk mengontrol akses ke sistem dan aset. AWS merekomendasikan untuk menggunakan kebijakan terkelola alih-alih kebijakan inline. Kebijakan terkelola memungkinkan penggunaan kembali, pembuatan versi dan pemutaran kembali, serta mendelegasikan manajemen izin. | |
| SEC-3 | Bagaimana Anda mengelola izin untuk orang dan mesin? Setiap komponen atau sumber daya beban kerja Anda perlu diakses oleh administrator, pengguna akhir, atau komponen lainnya. Memiliki definisi yang jelas tentang siapa atau apa yang harus memiliki akses ke setiap komponen, pilih jenis identitas yang sesuai dan metode otentikasi dan otorisasi. | AWS Identity and Access Management (IAM) dapat membantu Anda menggabungkan prinsip-prinsip hak istimewa dan pemisahan tugas dengan izin akses dan otorisasi, membatasi kebijakan agar tidak mengandung “Efek”: “Izinkan” dengan “Tindakan”: “*” di atas “Sumber Daya”: “*”. Memungkinkan pengguna untuk memiliki lebih banyak hak istimewa daripada yang dibutuhkan untuk menyelesaikan tugas dapat melanggar prinsip hak istimewa dan pemisahan tugas. | |
| SEC-3 | Bagaimana Anda mengelola izin untuk orang dan mesin? Setiap komponen atau sumber daya beban kerja Anda perlu diakses oleh administrator, pengguna akhir, atau komponen lainnya. Memiliki definisi yang jelas tentang siapa atau apa yang harus memiliki akses ke setiap komponen, pilih jenis identitas yang sesuai dan metode otentikasi dan otorisasi. | Pastikan IAM Tindakan dibatasi hanya pada tindakan yang diperlukan. Memungkinkan pengguna untuk memiliki lebih banyak hak istimewa daripada yang dibutuhkan untuk menyelesaikan tugas dapat melanggar prinsip hak istimewa dan pemisahan tugas. | |
| SEC-3 | Bagaimana Anda mengelola izin untuk orang dan mesin? Setiap komponen atau sumber daya beban kerja Anda perlu diakses oleh administrator, pengguna akhir, atau komponen lainnya. Memiliki definisi yang jelas tentang siapa atau apa yang harus memiliki akses ke setiap komponen, pilih jenis identitas yang sesuai dan metode otentikasi dan otorisasi. | AWS Identity and Access Management (IAM) dapat membantu Anda menggabungkan prinsip-prinsip hak istimewa dan pemisahan tugas dengan izin akses dan otorisasi, membatasi kebijakan agar tidak mengandung tindakan yang diblokir pada semua AWS kunci Layanan Manajemen Kunci. Memiliki lebih banyak hak istimewa daripada yang dibutuhkan untuk menyelesaikan tugas dapat melanggar prinsip hak istimewa yang paling sedikit dan pemisahan tugas. Aturan ini memungkinkan Anda untuk mengatur blockedActionsPatterns parameter. (Nilai Praktik Terbaik Keamanan AWS Dasar: KMS: Dekripsi, kms:). ReEncryptFrom Nilai aktual harus mencerminkan kebijakan organisasi Anda | |
| SEC-3 | Bagaimana Anda mengelola izin untuk orang dan mesin? Setiap komponen atau sumber daya beban kerja Anda perlu diakses oleh administrator, pengguna akhir, atau komponen lainnya. Memiliki definisi yang jelas tentang siapa atau apa yang harus memiliki akses ke setiap komponen, pilih jenis identitas yang sesuai dan metode otentikasi dan otorisasi. | AWS Identity and Access Management (IAM) dapat membantu Anda menggabungkan prinsip-prinsip hak istimewa dan pemisahan tugas dengan izin akses dan otorisasi, dengan memastikan bahwa IAM grup memiliki setidaknya satu pengguna. Menempatkan pengguna dalam grup berdasarkan izin terkait atau fungsi pekerjaan adalah salah satu cara untuk memasukkan hak istimewa paling sedikit. | |
| SEC-3 | Bagaimana Anda mengelola izin untuk orang dan mesin? Setiap komponen atau sumber daya beban kerja Anda perlu diakses oleh administrator, pengguna akhir, atau komponen lainnya. Memiliki definisi yang jelas tentang siapa atau apa yang harus memiliki akses ke setiap komponen, pilih jenis identitas yang sesuai dan metode otentikasi dan otorisasi. | AWS Identity and Access Management (IAM) dapat membantu Anda menggabungkan prinsip-prinsip hak istimewa dan pemisahan tugas dengan izin akses dan otorisasi, membatasi kebijakan agar tidak mengandung “Efek”: “Izinkan” dengan “Tindakan”: “*” di atas “Sumber Daya”: “*”. Memungkinkan pengguna untuk memiliki lebih banyak hak istimewa daripada yang dibutuhkan untuk menyelesaikan tugas dapat melanggar prinsip hak istimewa dan pemisahan tugas. | |
| SEC-3 | Bagaimana Anda mengelola izin untuk orang dan mesin? Setiap komponen atau sumber daya beban kerja Anda perlu diakses oleh administrator, pengguna akhir, atau komponen lainnya. Memiliki definisi yang jelas tentang siapa atau apa yang harus memiliki akses ke setiap komponen, pilih jenis identitas yang sesuai dan metode otentikasi dan otorisasi. | Akses ke sistem dan aset dapat dikontrol dengan memeriksa bahwa pengguna root tidak memiliki kunci akses yang melekat pada peran AWS Identity and Access Management (IAM) mereka. Pastikan kunci akses root dihapus. Sebaliknya, buat dan gunakan berbasis peran Akun AWS untuk membantu menggabungkan prinsip fungsionalitas paling sedikit. | |
| SEC-3 | Bagaimana Anda mengelola izin untuk orang dan mesin? Setiap komponen atau sumber daya beban kerja Anda perlu diakses oleh administrator, pengguna akhir, atau komponen lainnya. Memiliki definisi yang jelas tentang siapa atau apa yang harus memiliki akses ke setiap komponen, pilih jenis identitas yang sesuai dan metode otentikasi dan otorisasi. | AWS Identity and Access Management (IAM) dapat membantu Anda membatasi izin akses dan otorisasi, dengan memastikan pengguna adalah anggota setidaknya satu grup. Mengizinkan pengguna lebih banyak hak istimewa daripada yang dibutuhkan untuk menyelesaikan tugas dapat melanggar prinsip hak istimewa paling sedikit dan pemisahan tugas. | |
| SEC-3 | Bagaimana Anda mengelola izin untuk orang dan mesin? Setiap komponen atau sumber daya beban kerja Anda perlu diakses oleh administrator, pengguna akhir, atau komponen lainnya. Memiliki definisi yang jelas tentang siapa atau apa yang harus memiliki akses ke setiap komponen, pilih jenis identitas yang sesuai dan metode otentikasi dan otorisasi. | AWS Identity and Access Management (IAM) dapat membantu Anda dengan izin akses dan otorisasi dengan memeriksa IAM kata sandi dan kunci akses yang tidak digunakan untuk jangka waktu tertentu. Jika kredensil yang tidak digunakan ini diidentifikasi, Anda harus menonaktifkan dan/atau menghapus kredensialnya, karena ini dapat melanggar prinsip hak istimewa paling sedikit. Aturan ini mengharuskan Anda untuk menetapkan nilai ke maxCredentialUsage Usia (Config Default: 90). Nilai aktual harus mencerminkan kebijakan organisasi Anda. | |
| SEC-3 | Bagaimana Anda mengelola izin untuk orang dan mesin? Tetapkan kontrol umum yang membatasi akses ke semua identitas di organisasi Anda. Misalnya, Anda dapat membatasi akses ke AWS Wilayah tertentu, atau mencegah operator menghapus sumber daya umum, seperti IAM peran yang digunakan untuk tim keamanan pusat Anda | Manajemen terpusat Akun AWS dalam AWS Organizations membantu memastikan bahwa akun sesuai. Kurangnya tata kelola akun terpusat dapat menyebabkan konfigurasi akun yang tidak konsisten, yang dapat mengekspos sumber daya dan data sensitif. | |
| SEC-3 | Bagaimana Anda mengelola izin untuk orang dan mesin? Terus memantau temuan yang menyoroti akses publik dan lintas akun. Kurangi akses publik dan akses lintas akun hanya ke sumber daya yang memerlukan jenis akses ini. | Kelola akses ke AWS Cloud dengan memastikan instans DMS replikasi tidak dapat diakses publik. DMScontoh replikasi dapat berisi informasi sensitif dan kontrol akses diperlukan untuk akun tersebut. | |
| SEC-3 | Bagaimana Anda mengelola izin untuk orang dan mesin? Terus memantau temuan yang menyoroti akses publik dan lintas akun. Kurangi akses publik dan akses lintas akun hanya ke sumber daya yang memerlukan jenis akses ini. | Kelola akses ke AWS Cloud dengan memastikan EBS snapshot tidak dapat dipulihkan secara publik. EBSsnapshot volume dapat berisi informasi sensitif dan kontrol akses diperlukan untuk akun tersebut. | |
| SEC-3 | Bagaimana Anda mengelola izin untuk orang dan mesin? Terus memantau temuan yang menyoroti akses publik dan lintas akun. Kurangi akses publik dan akses lintas akun hanya ke sumber daya yang memerlukan jenis akses ini. | Kelola akses ke AWS Cloud dengan memastikan instans Amazon Elastic Compute Cloud (AmazonEC2) tidak dapat diakses publik. EC2Instans Amazon dapat berisi informasi sensitif dan kontrol akses diperlukan untuk akun tersebut. | |
| SEC-3 | Bagaimana Anda mengelola izin untuk orang dan mesin? Terus memantau temuan yang menyoroti akses publik dan lintas akun. Kurangi akses publik dan akses lintas akun hanya ke sumber daya yang memerlukan jenis akses ini. | Kelola akses ke AWS Cloud dengan memastikan Domain OpenSearch Layanan Amazon (OpenSearch Layanan) berada dalam Amazon Virtual Private Cloud (AmazonVPC). Domain OpenSearch Layanan dalam Amazon VPC memungkinkan komunikasi yang aman antara OpenSearch Layanan dan layanan lain di Amazon VPC tanpa memerlukan gateway internet, NAT perangkat, atau VPN koneksi. | |
| SEC-3 | Bagaimana Anda mengelola izin untuk orang dan mesin? Terus memantau temuan yang menyoroti akses publik dan lintas akun. Kurangi akses publik dan akses lintas akun hanya ke sumber daya yang memerlukan jenis akses ini. | Kelola akses ke AWS Cloud dengan memastikan domain OpenSearch Layanan Amazon berada dalam Amazon Virtual Private Cloud (AmazonVPC). Domain OpenSearch Layanan Amazon dalam Amazon VPC memungkinkan komunikasi yang aman antara OpenSearch Layanan Amazon dan layanan lain di Amazon VPC tanpa memerlukan gateway internet, NAT perangkat, atau VPN koneksi. | |
| SEC-3 | Bagaimana Anda mengelola izin untuk orang dan mesin? Terus memantau temuan yang menyoroti akses publik dan lintas akun. Kurangi akses publik dan akses lintas akun hanya ke sumber daya yang memerlukan jenis akses ini. | Kelola akses ke AWS Cloud dengan memastikan node master EMR cluster Amazon tidak dapat diakses publik. Node master EMR cluster Amazon dapat berisi informasi sensitif dan kontrol akses diperlukan untuk akun tersebut. | |
| SEC-3 | Bagaimana Anda mengelola izin untuk orang dan mesin? Terus memantau temuan yang menyoroti akses publik dan lintas akun. Kurangi akses publik dan akses lintas akun hanya ke sumber daya yang memerlukan jenis akses ini. | Menerapkan instans Amazon Elastic Compute Cloud (AmazonEC2) dalam Amazon Virtual Private Cloud (AmazonVPC) untuk mengaktifkan komunikasi aman antara instans dan layanan lain di dalam amazonVPC, tanpa memerlukan gateway internet, NAT perangkat, atau koneksi. VPN Semua lalu lintas tetap aman di dalam AWS Cloud. Karena isolasi logisnya, domain yang berada di Amazon VPC memiliki lapisan keamanan ekstra jika dibandingkan dengan domain yang menggunakan titik akhir publik. Tetapkan EC2 instans Amazon ke Amazon VPC untuk mengelola akses dengan benar. | |
| SEC-3 | Bagaimana Anda mengelola izin untuk orang dan mesin? Terus memantau temuan yang menyoroti akses publik dan lintas akun. Kurangi akses publik dan akses lintas akun hanya ke sumber daya yang memerlukan jenis akses ini. | Kelola akses ke sumber daya di AWS Cloud dengan memastikan fungsi AWS Lambda tidak dapat diakses publik. Akses publik berpotensi menyebabkan degradasi ketersediaan sumber daya. | |
| SEC-3 | Bagaimana Anda mengelola izin untuk orang dan mesin? Terus memantau temuan yang menyoroti akses publik dan lintas akun. Kurangi akses publik dan akses lintas akun hanya ke sumber daya yang memerlukan jenis akses ini. | Menerapkan fungsi AWS Lambda dalam Amazon Virtual Private Cloud (VPCAmazon) untuk komunikasi yang aman antara fungsi dan layanan lain di Amazon. VPC Dengan konfigurasi ini, tidak ada persyaratan untuk gateway internet, NAT perangkat, atau VPN koneksi. Semua lalu lintas tetap aman di dalam AWS Cloud. Karena isolasi logisnya, domain yang berada di Amazon VPC memiliki lapisan keamanan ekstra jika dibandingkan dengan domain yang menggunakan titik akhir publik. Untuk mengelola akses dengan benar, fungsi AWS Lambda harus ditetapkan ke file. VPC | |
| SEC-3 | Bagaimana Anda mengelola izin untuk orang dan mesin? Terus memantau temuan yang menyoroti akses publik dan lintas akun. Kurangi akses publik dan akses lintas akun hanya ke sumber daya yang memerlukan jenis akses ini. | Kelola akses ke sumber daya di AWS Cloud dengan memastikan bahwa instans Amazon Relational Database Service (RDSAmazon) tidak bersifat publik. Instans RDS database Amazon dapat berisi informasi sensitif, dan prinsip serta kontrol akses diperlukan untuk akun tersebut. | |
| SEC-3 | Bagaimana Anda mengelola izin untuk orang dan mesin? Terus memantau temuan yang menyoroti akses publik dan lintas akun. Kurangi akses publik dan akses lintas akun hanya ke sumber daya yang memerlukan jenis akses ini. | Kelola akses ke sumber daya di AWS Cloud dengan memastikan bahwa instans Amazon Relational Database Service (RDSAmazon) tidak bersifat publik. Instans RDS database Amazon dapat berisi informasi dan prinsip sensitif dan kontrol akses diperlukan untuk akun tersebut. | |
| SEC-3 | Bagaimana Anda mengelola izin untuk orang dan mesin? Terus memantau temuan yang menyoroti akses publik dan lintas akun. Kurangi akses publik dan akses lintas akun hanya ke sumber daya yang memerlukan jenis akses ini. | Kelola akses ke sumber daya di AWS Cloud dengan memastikan bahwa klaster Amazon Redshift tidak bersifat publik. Cluster Amazon Redshift dapat berisi informasi dan prinsip sensitif dan kontrol akses diperlukan untuk akun tersebut. | |
| SEC-3 | Bagaimana Anda mengelola izin untuk orang dan mesin? Terus memantau temuan yang menyoroti akses publik dan lintas akun. Kurangi akses publik dan akses lintas akun hanya ke sumber daya yang memerlukan jenis akses ini. | Kelola akses ke sumber daya di AWS Cloud dengan memastikan bahwa bucket Amazon Simple Storage Service (Amazon S3) tidak dapat diakses publik. Aturan ini membantu menjaga keamanan data sensitif dari pengguna jarak jauh yang tidak sah dengan mencegah akses publik. Aturan ini memungkinkan Anda untuk secara opsional mengatur ignorePublicAcls (Config Default: True), blockPublicPolicy (Config Default: True), (Config Default: True), dan restrictPublicBuckets parameter blockPublicAcls (Config Default: True). Nilai aktual harus mencerminkan kebijakan organisasi Anda. | |
| SEC-3 | Bagaimana Anda mengelola izin untuk orang dan mesin? Terus memantau temuan yang menyoroti akses publik dan lintas akun. Kurangi akses publik dan akses lintas akun hanya ke sumber daya yang memerlukan jenis akses ini. | Kelola akses ke sumber daya di AWS Cloud dengan memastikan bahwa bucket Amazon Simple Storage Service (Amazon S3) tidak dapat diakses publik. Aturan ini membantu menjaga keamanan data sensitif dari pengguna jarak jauh yang tidak sah dengan mencegah akses publik di tingkat bucket. | |
| SEC-3 | Bagaimana Anda mengelola izin untuk orang dan mesin? Terus memantau temuan yang menyoroti akses publik dan lintas akun. Kurangi akses publik dan akses lintas akun hanya ke sumber daya yang memerlukan jenis akses ini. | Kelola akses ke sumber daya di AWS Cloud dengan hanya mengizinkan pengguna, proses, dan perangkat yang berwenang mengakses bucket Amazon Simple Storage Service (Amazon S3). Pengelolaan akses harus konsisten dengan klasifikasi data. | |
| SEC-3 | Bagaimana Anda mengelola izin untuk orang dan mesin? Terus memantau temuan yang menyoroti akses publik dan lintas akun. Kurangi akses publik dan akses lintas akun hanya ke sumber daya yang memerlukan jenis akses ini. | Kelola akses ke sumber daya di AWS Cloud dengan hanya mengizinkan pengguna, proses, dan perangkat yang berwenang mengakses bucket Amazon Simple Storage Service (Amazon S3). Pengelolaan akses harus konsisten dengan klasifikasi data. | |
| SEC-3 | Bagaimana Anda mengelola izin untuk orang dan mesin? Terus memantau temuan yang menyoroti akses publik dan lintas akun. Kurangi akses publik dan akses lintas akun hanya ke sumber daya yang memerlukan jenis akses ini. | Kelola akses ke sumber daya di AWS Cloud dengan memastikan bahwa SageMaker notebook Amazon tidak mengizinkan akses internet langsung. Dengan mencegah akses internet langsung, Anda dapat menjaga agar data sensitif tidak diakses oleh pengguna yang tidak sah. | |
| SEC-3 | Bagaimana Anda mengelola izin untuk orang dan mesin? Terus memantau temuan yang menyoroti akses publik dan lintas akun. Kurangi akses publik dan akses lintas akun hanya ke sumber daya yang memerlukan jenis akses ini. | Jika kredensil yang tidak digunakan ada di AWS Secrets Manager, Anda harus menonaktifkan dan/atau menghapus kredensialnya, karena hal ini dapat melanggar prinsip hak istimewa terkecil. Aturan ini memungkinkan Anda untuk menetapkan nilai ke unusedForDays (Config Default: 90). Nilai aktual harus mencerminkan kebijakan organisasi Anda. | |
| SEC-3 | Bagaimana Anda mengelola izin untuk orang dan mesin? Terus memantau temuan yang menyoroti akses publik dan lintas akun. Kurangi akses publik dan akses lintas akun hanya ke sumber daya yang memerlukan jenis akses ini. | Pastikan dokumen AWS Systems Manager (SSM) tidak bersifat publik, karena ini memungkinkan akses yang tidak diinginkan ke SSM dokumen Anda. SSMDokumen publik dapat mengekspos informasi tentang akun, sumber daya, dan proses internal Anda. | |
| SEC-3 | Bagaimana Anda mengelola izin untuk orang dan mesin? Terus memantau temuan yang menyoroti akses publik dan lintas akun. Kurangi akses publik dan akses lintas akun hanya ke sumber daya yang memerlukan jenis akses ini. | Kelola akses ke AWS Cloud dengan memastikan subnet Amazon Virtual Private Cloud (VPC) tidak secara otomatis ditetapkan alamat IP publik. Instans Amazon Elastic Compute Cloud (EC2) yang diluncurkan ke subnet yang mengaktifkan atribut ini memiliki alamat IP publik yang ditetapkan ke antarmuka jaringan utamanya. | |
| SEC-3 | Bagaimana Anda mengelola izin untuk orang dan mesin? Terus memantau temuan yang menyoroti akses publik dan lintas akun. Kurangi akses publik dan akses lintas akun hanya ke sumber daya yang memerlukan jenis akses ini. | Jika Anda mengonfigurasi Antarmuka Jaringan Anda dengan alamat IP publik, maka sumber daya yang terkait dengan Antarmuka Jaringan tersebut dapat dijangkau dari internet. EC2sumber daya tidak boleh diakses publik, karena ini memungkinkan akses yang tidak diinginkan ke aplikasi atau server Anda. | |
| SEC-4 | Bagaimana Anda mendeteksi dan menyelidiki peristiwa keamanan? Tangkap dan analisis peristiwa dari log dan metrik untuk mendapatkan visibilitas. Ambil tindakan terhadap peristiwa keamanan dan potensi ancaman untuk membantu mengamankan beban kerja Anda. | APIGateway logging menampilkan tampilan rinci dari pengguna yang mengakses API dan cara mereka mengaksesAPI. Wawasan ini memungkinkan visibilitas aktivitas pengguna. | |
| SEC-4 | Bagaimana Anda mendeteksi dan menyelidiki peristiwa keamanan? Tangkap dan analisis peristiwa dari log dan metrik untuk mendapatkan visibilitas. Ambil tindakan terhadap peristiwa keamanan dan potensi ancaman untuk membantu mengamankan beban kerja Anda. | Pastikan pencatatan audit diaktifkan di domain OpenSearch Layanan Amazon Anda. Pencatatan audit memungkinkan Anda melacak aktivitas pengguna di OpenSearch domain Anda, termasuk keberhasilan dan kegagalan otentikasi, permintaan, perubahan indeks OpenSearch, dan kueri penelusuran yang masuk. | |
| SEC-4 | Bagaimana Anda mendeteksi dan menyelidiki peristiwa keamanan? Tangkap dan analisis peristiwa dari log dan metrik untuk mendapatkan visibilitas. Ambil tindakan terhadap peristiwa keamanan dan potensi ancaman untuk membantu mengamankan beban kerja Anda. | Gunakan Amazon CloudWatch untuk mengumpulkan dan mengelola aktivitas peristiwa log secara terpusat. Penyertaan AWS CloudTrail data memberikan rincian aktivitas API panggilan di dalam Anda Akun AWS. | |
| SEC-4 | Bagaimana Anda mendeteksi dan menyelidiki peristiwa keamanan? Tangkap dan analisis peristiwa dari log dan metrik untuk mendapatkan visibilitas. Ambil tindakan terhadap peristiwa keamanan dan potensi ancaman untuk membantu mengamankan beban kerja Anda. | Pengumpulan peristiwa data Simple Storage Service (Amazon S3) membantu mendeteksi aktivitas anomali apa pun. Detailnya mencakup Akun AWS informasi yang mengakses objek di bucket Amazon S3, alamat IP, dan waktu acara. | |
| SEC-4 | Bagaimana Anda mendeteksi dan menyelidiki peristiwa keamanan? Tangkap dan analisis peristiwa dari log dan metrik untuk mendapatkan visibilitas. Ambil tindakan terhadap peristiwa keamanan dan potensi ancaman untuk membantu mengamankan beban kerja Anda. | Pastikan durasi minimum data log peristiwa disimpan untuk grup log Anda untuk membantu pemecahan masalah dan investigasi forensik. Kurangnya data log peristiwa masa lalu yang tersedia membuat sulit untuk merekonstruksi dan mengidentifikasi peristiwa yang berpotensi berbahaya. | |
| SEC-4 | Bagaimana Anda mendeteksi dan menyelidiki peristiwa keamanan? Tangkap dan analisis peristiwa dari log dan metrik untuk mendapatkan visibilitas. Ambil tindakan terhadap peristiwa keamanan dan potensi ancaman untuk membantu mengamankan beban kerja Anda. | Pastikan domain OpenSearch Layanan Amazon mengaktifkan log kesalahan dan dialirkan ke CloudWatch Log Amazon untuk penyimpanan dan respons. Log kesalahan domain dapat membantu audit keamanan dan akses, dan dapat membantu mendiagnosis masalah ketersediaan. | |
| SEC-4 | Bagaimana Anda mendeteksi dan menyelidiki peristiwa keamanan? Tangkap dan analisis peristiwa dari log dan metrik untuk mendapatkan visibilitas. Ambil tindakan terhadap peristiwa keamanan dan potensi ancaman untuk membantu mengamankan beban kerja Anda. | Pastikan domain OpenSearch Layanan Amazon mengaktifkan log kesalahan dan dialirkan ke CloudWatch Log Amazon untuk penyimpanan dan respons. OpenSearch Log kesalahan layanan dapat membantu audit keamanan dan akses, dan dapat membantu mendiagnosis masalah ketersediaan. | |
| SEC-4 | Bagaimana Anda mendeteksi dan menyelidiki peristiwa keamanan? Tangkap dan analisis peristiwa dari log dan metrik untuk mendapatkan visibilitas. Ambil tindakan terhadap peristiwa keamanan dan potensi ancaman untuk membantu mengamankan beban kerja Anda. | Aktivitas Elastic Load Balancing adalah titik pusat komunikasi dalam suatu lingkungan. Pastikan ELB logging diaktifkan. Data yang dikumpulkan memberikan informasi rinci tentang permintaan yang dikirim keELB. Setiap log berisi informasi, seperti waktu permintaan diterima, alamat IP klien, latensi, jalur permintaan, dan respons server. | |
| SEC-4 | Bagaimana Anda mendeteksi dan menyelidiki peristiwa keamanan? Tangkap dan analisis peristiwa dari log dan metrik untuk mendapatkan visibilitas. Ambil tindakan terhadap peristiwa keamanan dan potensi ancaman untuk membantu mengamankan beban kerja Anda. | AWS CloudTrail merekam tindakan dan API panggilan AWS Management Console. Anda dapat mengidentifikasi pengguna dan akun mana yang dipanggil AWS, alamat IP sumber dari mana panggilan dilakukan, dan kapan panggilan terjadi. CloudTrail akan mengirimkan file log dari semua AWS Wilayah ke bucket S3 Anda jika MULTI _ REGION _ CLOUD _ TRAIL _ ENABLED diaktifkan. Selain itu, ketika AWS meluncurkan Wilayah baru, CloudTrail akan membuat jejak yang sama di Wilayah baru. Akibatnya, Anda akan menerima file log yang berisi API aktivitas untuk Wilayah baru tanpa mengambil tindakan apa pun. | |
| SEC-4 | Bagaimana Anda mendeteksi dan menyelidiki peristiwa keamanan? Tangkap dan analisis peristiwa dari log dan metrik untuk mendapatkan visibilitas. Ambil tindakan terhadap peristiwa keamanan dan potensi ancaman untuk membantu mengamankan beban kerja Anda. | Untuk membantu pencatatan dan pemantauan di lingkungan Anda, pastikan pencatatan Amazon Relational Database Service (RDSAmazon) diaktifkan. Dengan RDS pencatatan Amazon, Anda dapat menangkap peristiwa seperti koneksi, pemutusan sambungan, kueri, atau tabel yang ditanyakan. | |
| SEC-4 | Bagaimana Anda mendeteksi dan menyelidiki peristiwa keamanan? Tangkap dan analisis peristiwa dari log dan metrik untuk mendapatkan visibilitas. Ambil tindakan terhadap peristiwa keamanan dan potensi ancaman untuk membantu mengamankan beban kerja Anda. | Amazon Simple Storage Service (Amazon S3) pencatatan akses server menyediakan metode untuk memantau jaringan untuk potensi peristiwa keamanan siber. Acara dipantau dengan menangkap catatan terperinci untuk permintaan yang dibuat ke bucket Amazon S3. Setiap catatan log akses memberikan rincian tentang permintaan akses tunggal. Detailnya mencakup pemohon, nama bucket, waktu permintaan, tindakan permintaan, status respons, dan kode kesalahan, jika relevan. | |
| SEC-4 | Bagaimana Anda mendeteksi dan menyelidiki peristiwa keamanan? Tangkap dan analisis peristiwa dari log dan metrik untuk mendapatkan visibilitas. Ambil tindakan terhadap peristiwa keamanan dan potensi ancaman untuk membantu mengamankan beban kerja Anda. | Log VPC alur menyediakan catatan terperinci untuk informasi tentang lalu lintas IP yang masuk ke dan dari antarmuka jaringan di Amazon Virtual Private Cloud (AmazonVPC) Anda. Secara default, catatan log aliran mencakup nilai untuk berbagai komponen aliran IP, termasuk sumber, tujuan, dan protokol. | |
| SEC-4 | Bagaimana Anda mendeteksi dan menyelidiki peristiwa keamanan? Tangkap dan analisis peristiwa dari log dan metrik untuk mendapatkan visibilitas. Ambil tindakan terhadap peristiwa keamanan dan potensi ancaman untuk membantu mengamankan beban kerja Anda. | Untuk membantu pencatatan dan pemantauan di lingkungan Anda, aktifkan AWS WAF (V2) logging di web regional dan globalACLs. AWS WAFlogging memberikan informasi rinci tentang lalu lintas yang dianalisis oleh web AndaACL. Log mencatat waktu yang AWS WAF menerima permintaan dari AWS sumber daya Anda, informasi tentang permintaan, dan tindakan untuk aturan yang dicocokkan oleh setiap permintaan. | |
| SEC-4 | Bagaimana Anda mendeteksi dan menyelidiki peristiwa keamanan? Tangkap dan analisis peristiwa dari log dan metrik untuk mendapatkan visibilitas. Ambil tindakan terhadap peristiwa keamanan dan potensi ancaman untuk membantu mengamankan beban kerja Anda. | Aturan ini membantu memastikan penggunaan praktik terbaik keamanan yang AWS direkomendasikan untuk AWS CloudTrail, dengan memeriksa pengaktifan beberapa pengaturan. Ini termasuk penggunaan enkripsi log, validasi log, dan mengaktifkan AWS CloudTrail di beberapa wilayah. | |
| SEC-4 | Bagaimana Anda mendeteksi dan menyelidiki peristiwa keamanan? Tangkap dan analisis peristiwa dari log dan metrik untuk mendapatkan visibilitas. Ambil tindakan terhadap peristiwa keamanan dan potensi ancaman untuk membantu mengamankan beban kerja Anda. | Untuk melindungi data saat istirahat, pastikan enkripsi diaktifkan untuk klaster Amazon Redshift Anda. Anda juga harus memastikan bahwa konfigurasi yang diperlukan diterapkan di klaster Amazon Redshift. Pencatatan audit harus diaktifkan untuk memberikan informasi tentang koneksi dan aktivitas pengguna dalam database. Aturan ini mensyaratkan bahwa nilai ditetapkan untuk clusterDbEncrypted (Config Default:TRUE), dan ( loggingEnabled Config Default:). TRUE Nilai aktual harus mencerminkan kebijakan organisasi Anda. | |
| SEC-4 | Bagaimana Anda mendeteksi dan menyelidiki peristiwa keamanan? Tangkap dan analisis peristiwa dari log dan metrik untuk mendapatkan visibilitas. Ambil tindakan terhadap peristiwa keamanan dan potensi ancaman untuk membantu mengamankan beban kerja Anda. | Amazon GuardDuty dapat membantu memantau dan mendeteksi potensi peristiwa keamanan siber dengan menggunakan umpan intelijen ancaman. Ini termasuk daftar pembelajaran berbahaya IPs dan mesin untuk mengidentifikasi aktivitas tak terduga, tidak sah, dan berbahaya dalam lingkungan AWS Cloud Anda. | |
| SEC-4 | Bagaimana Anda mendeteksi dan menyelidiki peristiwa keamanan? Tangkap dan analisis peristiwa dari log dan metrik untuk mendapatkan visibilitas. Ambil tindakan terhadap peristiwa keamanan dan potensi ancaman untuk membantu mengamankan beban kerja Anda. | AWS Security Hub membantu memantau personel, koneksi, perangkat, dan perangkat lunak yang tidak sah. AWS Security Hub mengumpulkan, mengatur, dan memprioritaskan peringatan keamanan, atau temuan, dari berbagai layanan. AWS Beberapa layanan tersebut adalah Amazon Security Hub, Amazon Inspector, Amazon Macie, Identity and Access Management IAM () Access Analyzer AWS , dan Firewall AWS Manager, dan solusi Partner. AWS | |
| SEC-4 | Bagaimana Anda mendeteksi dan menyelidiki peristiwa keamanan? Tangkap dan analisis peristiwa dari log dan metrik untuk mendapatkan visibilitas. Ambil tindakan terhadap peristiwa keamanan dan potensi ancaman untuk membantu mengamankan beban kerja Anda. | Amazon CloudWatch memperingatkan ketika metrik melanggar ambang batas untuk sejumlah periode evaluasi tertentu. Alarm tersebut melakukan satu atau beberapa tindakan berdasarkan pada nilai metrik atau ekspresi relatif terhadap ambang batas selama beberapa periode waktu. Aturan ini memerlukan nilai untuk alarmActionRequired (Config Default: True), insufficientDataAction Required (Config Default: True), ( okActionRequired Config Default: False). Nilai aktual harus mencerminkan tindakan alarm untuk lingkungan Anda. | |
| SEC-5 | Bagaimana Anda melindungi sumber daya jaringan Anda? Setiap beban kerja yang memiliki beberapa bentuk konektivitas jaringan, apakah itu internet atau jaringan pribadi, memerlukan beberapa lapisan pertahanan untuk membantu melindungi dari ancaman berbasis jaringan eksternal dan internal. | Kelola akses ke AWS Cloud dengan memastikan Domain OpenSearch Layanan Amazon (OpenSearch Layanan) berada dalam Amazon Virtual Private Cloud (AmazonVPC). Domain OpenSearch Layanan dalam Amazon VPC memungkinkan komunikasi yang aman antara OpenSearch Layanan dan layanan lain di Amazon VPC tanpa memerlukan gateway internet, NAT perangkat, atau VPN koneksi. | |
| SEC-5 | Bagaimana Anda melindungi sumber daya jaringan Anda? Setiap beban kerja yang memiliki beberapa bentuk konektivitas jaringan, apakah itu internet atau jaringan pribadi, memerlukan beberapa lapisan pertahanan untuk membantu melindungi dari ancaman berbasis jaringan eksternal dan internal. | Kelola akses ke AWS Cloud dengan memastikan domain OpenSearch Layanan Amazon berada dalam Amazon Virtual Private Cloud (AmazonVPC). Domain OpenSearch Layanan Amazon dalam Amazon VPC memungkinkan komunikasi yang aman antara OpenSearch Layanan Amazon dan layanan lain di Amazon VPC tanpa memerlukan gateway internet, NAT perangkat, atau VPN koneksi. | |
| SEC-5 | Bagaimana Anda melindungi sumber daya jaringan Anda? Setiap beban kerja yang memiliki beberapa bentuk konektivitas jaringan, apakah itu internet atau jaringan pribadi, memerlukan beberapa lapisan pertahanan untuk membantu melindungi dari ancaman berbasis jaringan eksternal dan internal. | Menerapkan instans Amazon Elastic Compute Cloud (AmazonEC2) dalam Amazon Virtual Private Cloud (AmazonVPC) untuk mengaktifkan komunikasi aman antara instans dan layanan lain di dalam amazonVPC, tanpa memerlukan gateway internet, NAT perangkat, atau koneksi. VPN Semua lalu lintas tetap aman di dalam AWS Cloud. Karena isolasi logisnya, domain yang berada di Amazon VPC memiliki lapisan keamanan ekstra jika dibandingkan dengan domain yang menggunakan titik akhir publik. Tetapkan EC2 instans Amazon ke Amazon VPC untuk mengelola akses dengan benar. | |
| SEC-5 | Bagaimana Anda melindungi sumber daya jaringan Anda? Setiap beban kerja yang memiliki beberapa bentuk konektivitas jaringan, apakah itu internet atau jaringan pribadi, memerlukan beberapa lapisan pertahanan untuk membantu melindungi dari ancaman berbasis jaringan eksternal dan internal. | Menerapkan fungsi AWS Lambda dalam Amazon Virtual Private Cloud (VPCAmazon) untuk komunikasi yang aman antara fungsi dan layanan lain di Amazon. VPC Dengan konfigurasi ini, tidak ada persyaratan untuk gateway internet, NAT perangkat, atau VPN koneksi. Semua lalu lintas tetap aman di dalam AWS Cloud. Karena isolasi logisnya, domain yang berada di Amazon VPC memiliki lapisan keamanan ekstra jika dibandingkan dengan domain yang menggunakan titik akhir publik. Untuk mengelola akses dengan benar, fungsi AWS Lambda harus ditetapkan ke file. VPC | |
| SEC-5 | Bagaimana Anda melindungi sumber daya jaringan Anda? Setiap beban kerja yang memiliki beberapa bentuk konektivitas jaringan, apakah itu internet atau jaringan pribadi, memerlukan beberapa lapisan pertahanan untuk membantu melindungi dari ancaman berbasis jaringan eksternal dan internal. | VPCPerutean yang ditingkatkan memaksa semua COPY dan UNLOAD lalu lintas antara cluster dan repositori data untuk melewati Amazon Anda. VPC Anda kemudian dapat menggunakan VPC fitur seperti grup keamanan dan daftar kontrol akses jaringan untuk mengamankan lalu lintas jaringan. Anda juga dapat menggunakan log VPC aliran untuk memantau lalu lintas jaringan. | |
| SEC-5 | Bagaimana Anda melindungi sumber daya jaringan Anda? Setiap beban kerja yang memiliki beberapa bentuk konektivitas jaringan, apakah itu internet atau jaringan pribadi, memerlukan beberapa lapisan pertahanan untuk membantu melindungi dari ancaman berbasis jaringan eksternal dan internal. | Pastikan AWS WAF diaktifkan pada Elastic Load Balancers (ELB) untuk membantu melindungi aplikasi web. A WAF membantu melindungi aplikasi web Anda atau APIs terhadap eksploitasi web umum. Eksploitasi web ini dapat memengaruhi ketersediaan, membahayakan keamanan, atau mengkonsumsi sumber daya yang berlebihan di lingkungan Anda. | |
| SEC-5 | Bagaimana Anda melindungi sumber daya jaringan Anda? Setiap beban kerja yang memiliki beberapa bentuk konektivitas jaringan, apakah itu internet atau jaringan pribadi, memerlukan beberapa lapisan pertahanan untuk membantu melindungi dari ancaman berbasis jaringan eksternal dan internal. | AWS WAFmemungkinkan Anda mengonfigurasi seperangkat aturan (disebut daftar kontrol akses web (webACL)) yang mengizinkan, memblokir, atau menghitung permintaan web berdasarkan aturan dan kondisi keamanan web yang dapat disesuaikan yang Anda tentukan. Pastikan tahap Amazon API Gateway Anda dikaitkan dengan WAF Web ACL untuk melindunginya dari serangan berbahaya | |
| SEC-5 | Bagaimana Anda melindungi sumber daya jaringan Anda? Setiap beban kerja yang memiliki beberapa bentuk konektivitas jaringan, apakah itu internet atau jaringan pribadi, memerlukan beberapa lapisan pertahanan untuk membantu melindungi dari ancaman berbasis jaringan eksternal dan internal. | Kelola akses ke AWS Cloud dengan memastikan instans DMS replikasi tidak dapat diakses publik. DMScontoh replikasi dapat berisi informasi sensitif dan kontrol akses diperlukan untuk akun tersebut. | |
| SEC-5 | Bagaimana Anda melindungi sumber daya jaringan Anda? Setiap beban kerja yang memiliki beberapa bentuk konektivitas jaringan, apakah itu internet atau jaringan pribadi, memerlukan beberapa lapisan pertahanan untuk membantu melindungi dari ancaman berbasis jaringan eksternal dan internal. | Kelola akses ke AWS Cloud dengan memastikan EBS snapshot tidak dapat dipulihkan secara publik. EBSsnapshot volume dapat berisi informasi sensitif dan kontrol akses diperlukan untuk akun tersebut. | |
| SEC-5 | Bagaimana Anda melindungi sumber daya jaringan Anda? Setiap beban kerja yang memiliki beberapa bentuk konektivitas jaringan, apakah itu internet atau jaringan pribadi, memerlukan beberapa lapisan pertahanan untuk membantu melindungi dari ancaman berbasis jaringan eksternal dan internal. | Aturan ini memeriksa apakah instans Amazon Elastic Compute Cloud (AmazonEC2) Anda memiliki beberapa. ENIs Memiliki beberapa ENIs dapat menyebabkan instance dual-homed, yang berarti instance yang memiliki beberapa subnet. Ini dapat menambah kompleksitas keamanan jaringan dan memperkenalkan jalur dan akses jaringan yang tidak diinginkan. | |
| SEC-5 | Bagaimana Anda melindungi sumber daya jaringan Anda? Setiap beban kerja yang memiliki beberapa bentuk konektivitas jaringan, apakah itu internet atau jaringan pribadi, memerlukan beberapa lapisan pertahanan untuk membantu melindungi dari ancaman berbasis jaringan eksternal dan internal. | Kelola akses ke AWS Cloud dengan memastikan instans Amazon Elastic Compute Cloud (AmazonEC2) tidak dapat diakses publik. EC2Instans Amazon dapat berisi informasi sensitif dan kontrol akses diperlukan untuk akun tersebut. | |
| SEC-5 | Bagaimana Anda melindungi sumber daya jaringan Anda? Setiap beban kerja yang memiliki beberapa bentuk konektivitas jaringan, apakah itu internet atau jaringan pribadi, memerlukan beberapa lapisan pertahanan untuk membantu melindungi dari ancaman berbasis jaringan eksternal dan internal. | Kelola akses ke AWS Cloud dengan memastikan node master EMR cluster Amazon tidak dapat diakses publik. Node master EMR cluster Amazon dapat berisi informasi sensitif dan kontrol akses diperlukan untuk akun tersebut. | |
| SEC-5 | Bagaimana Anda melindungi sumber daya jaringan Anda? Setiap beban kerja yang memiliki beberapa bentuk konektivitas jaringan, apakah itu internet atau jaringan pribadi, memerlukan beberapa lapisan pertahanan untuk membantu melindungi dari ancaman berbasis jaringan eksternal dan internal. | Kelola akses ke sumber daya di AWS Cloud dengan memastikan fungsi AWS Lambda tidak dapat diakses publik. Akses publik berpotensi menyebabkan degradasi ketersediaan sumber daya. | |
| SEC-5 | Bagaimana Anda melindungi sumber daya jaringan Anda? Setiap beban kerja yang memiliki beberapa bentuk konektivitas jaringan, apakah itu internet atau jaringan pribadi, memerlukan beberapa lapisan pertahanan untuk membantu melindungi dari ancaman berbasis jaringan eksternal dan internal. | Pastikan tabel EC2 rute Amazon tidak memiliki rute tak terbatas ke gateway internet. Menghapus atau membatasi akses ke internet untuk beban kerja di Amazon VPCs dapat mengurangi akses yang tidak diinginkan di lingkungan Anda. | |
| SEC-5 | Bagaimana Anda melindungi sumber daya jaringan Anda? Setiap beban kerja yang memiliki beberapa bentuk konektivitas jaringan, apakah itu internet atau jaringan pribadi, memerlukan beberapa lapisan pertahanan untuk membantu melindungi dari ancaman berbasis jaringan eksternal dan internal. | Kelola akses ke sumber daya di AWS Cloud dengan memastikan bahwa instans Amazon Relational Database Service (RDSAmazon) tidak bersifat publik. Instans RDS database Amazon dapat berisi informasi sensitif, dan prinsip serta kontrol akses diperlukan untuk akun tersebut. | |
| SEC-5 | Bagaimana Anda melindungi sumber daya jaringan Anda? Setiap beban kerja yang memiliki beberapa bentuk konektivitas jaringan, apakah itu internet atau jaringan pribadi, memerlukan beberapa lapisan pertahanan untuk membantu melindungi dari ancaman berbasis jaringan eksternal dan internal. | Kelola akses ke sumber daya di AWS Cloud dengan memastikan bahwa instans Amazon Relational Database Service (RDSAmazon) tidak bersifat publik. Instans RDS database Amazon dapat berisi informasi dan prinsip sensitif dan kontrol akses diperlukan untuk akun tersebut. | |
| SEC-5 | Bagaimana Anda melindungi sumber daya jaringan Anda? Setiap beban kerja yang memiliki beberapa bentuk konektivitas jaringan, apakah itu internet atau jaringan pribadi, memerlukan beberapa lapisan pertahanan untuk membantu melindungi dari ancaman berbasis jaringan eksternal dan internal. | Kelola akses ke sumber daya di AWS Cloud dengan memastikan bahwa klaster Amazon Redshift tidak bersifat publik. Cluster Amazon Redshift dapat berisi informasi dan prinsip sensitif dan kontrol akses diperlukan untuk akun tersebut. | |
| SEC-5 | Bagaimana Anda melindungi sumber daya jaringan Anda? Setiap beban kerja yang memiliki beberapa bentuk konektivitas jaringan, apakah itu internet atau jaringan pribadi, memerlukan beberapa lapisan pertahanan untuk membantu melindungi dari ancaman berbasis jaringan eksternal dan internal. | Grup Keamanan Amazon Elastic Compute Cloud (AmazonEC2) dapat membantu mengelola akses jaringan dengan menyediakan pemfilteran stateful dari lalu lintas jaringan masuk dan keluar ke sumber daya. AWS Tidak mengizinkan lalu lintas masuk (atau jarak jauh) dari 0.0.0.0/0 ke port 22 pada sumber daya Anda membantu Anda membatasi akses jarak jauh. | |
| SEC-5 | Bagaimana Anda melindungi sumber daya jaringan Anda? Setiap beban kerja yang memiliki beberapa bentuk konektivitas jaringan, apakah itu internet atau jaringan pribadi, memerlukan beberapa lapisan pertahanan untuk membantu melindungi dari ancaman berbasis jaringan eksternal dan internal. | Kelola akses ke sumber daya di AWS Cloud dengan memastikan bahwa bucket Amazon Simple Storage Service (Amazon S3) tidak dapat diakses publik. Aturan ini membantu menjaga keamanan data sensitif dari pengguna jarak jauh yang tidak sah dengan mencegah akses publik. Aturan ini memungkinkan Anda untuk secara opsional mengatur ignorePublicAcls (Config Default: True), blockPublicPolicy (Config Default: True), (Config Default: True), dan restrictPublicBuckets parameter blockPublicAcls (Config Default: True). Nilai aktual harus mencerminkan kebijakan organisasi Anda. | |
| SEC-5 | Bagaimana Anda melindungi sumber daya jaringan Anda? Setiap beban kerja yang memiliki beberapa bentuk konektivitas jaringan, apakah itu internet atau jaringan pribadi, memerlukan beberapa lapisan pertahanan untuk membantu melindungi dari ancaman berbasis jaringan eksternal dan internal. | Kelola akses ke sumber daya di AWS Cloud dengan memastikan bahwa bucket Amazon Simple Storage Service (Amazon S3) tidak dapat diakses publik. Aturan ini membantu menjaga keamanan data sensitif dari pengguna jarak jauh yang tidak sah dengan mencegah akses publik di tingkat bucket. | |
| SEC-5 | Bagaimana Anda melindungi sumber daya jaringan Anda? Setiap beban kerja yang memiliki beberapa bentuk konektivitas jaringan, apakah itu internet atau jaringan pribadi, memerlukan beberapa lapisan pertahanan untuk membantu melindungi dari ancaman berbasis jaringan eksternal dan internal. | Kelola akses ke sumber daya di AWS Cloud dengan hanya mengizinkan pengguna, proses, dan perangkat yang berwenang mengakses bucket Amazon Simple Storage Service (Amazon S3). Pengelolaan akses harus konsisten dengan klasifikasi data. | |
| SEC-5 | Bagaimana Anda melindungi sumber daya jaringan Anda? Setiap beban kerja yang memiliki beberapa bentuk konektivitas jaringan, apakah itu internet atau jaringan pribadi, memerlukan beberapa lapisan pertahanan untuk membantu melindungi dari ancaman berbasis jaringan eksternal dan internal. | Kelola akses ke sumber daya di AWS Cloud dengan hanya mengizinkan pengguna, proses, dan perangkat yang berwenang mengakses bucket Amazon Simple Storage Service (Amazon S3). Pengelolaan akses harus konsisten dengan klasifikasi data. | |
| SEC-5 | Bagaimana Anda melindungi sumber daya jaringan Anda? Setiap beban kerja yang memiliki beberapa bentuk konektivitas jaringan, apakah itu internet atau jaringan pribadi, memerlukan beberapa lapisan pertahanan untuk membantu melindungi dari ancaman berbasis jaringan eksternal dan internal. | Kelola akses ke sumber daya di AWS Cloud dengan memastikan bahwa SageMaker notebook Amazon tidak mengizinkan akses internet langsung. Dengan mencegah akses internet langsung, Anda dapat menjaga agar data sensitif tidak diakses oleh pengguna yang tidak sah. | |
| SEC-5 | Bagaimana Anda melindungi sumber daya jaringan Anda? Setiap beban kerja yang memiliki beberapa bentuk konektivitas jaringan, apakah itu internet atau jaringan pribadi, memerlukan beberapa lapisan pertahanan untuk membantu melindungi dari ancaman berbasis jaringan eksternal dan internal. | Pastikan dokumen AWS Systems Manager (SSM) tidak bersifat publik, karena ini memungkinkan akses yang tidak diinginkan ke SSM dokumen Anda. SSMDokumen publik dapat mengekspos informasi tentang akun, sumber daya, dan proses internal Anda. | |
| SEC-5 | Bagaimana Anda melindungi sumber daya jaringan Anda? Setiap beban kerja yang memiliki beberapa bentuk konektivitas jaringan, apakah itu internet atau jaringan pribadi, memerlukan beberapa lapisan pertahanan untuk membantu melindungi dari ancaman berbasis jaringan eksternal dan internal. | Kelola akses ke AWS Cloud dengan memastikan subnet Amazon Virtual Private Cloud (VPC) tidak secara otomatis ditetapkan alamat IP publik. Instans Amazon Elastic Compute Cloud (EC2) yang diluncurkan ke subnet yang mengaktifkan atribut ini memiliki alamat IP publik yang ditetapkan ke antarmuka jaringan utamanya. | |
| SEC-5 | Bagaimana Anda melindungi sumber daya jaringan Anda? Setiap beban kerja yang memiliki beberapa bentuk konektivitas jaringan, apakah itu internet atau jaringan pribadi, memerlukan beberapa lapisan pertahanan untuk membantu melindungi dari ancaman berbasis jaringan eksternal dan internal. | Grup keamanan Amazon Elastic Compute Cloud (AmazonEC2) dapat membantu dalam pengelolaan akses jaringan dengan menyediakan pemfilteran stateful dari lalu lintas jaringan masuk dan keluar ke sumber daya. AWS Membatasi semua lalu lintas pada grup keamanan default membantu membatasi akses jarak jauh ke sumber daya Anda AWS . | |
| SEC-5 | Bagaimana Anda melindungi sumber daya jaringan Anda? Setiap beban kerja yang memiliki beberapa bentuk konektivitas jaringan, apakah itu internet atau jaringan pribadi, memerlukan beberapa lapisan pertahanan untuk membantu melindungi dari ancaman berbasis jaringan eksternal dan internal. | Jika Anda mengonfigurasi Antarmuka Jaringan Anda dengan alamat IP publik, maka sumber daya yang terkait dengan Antarmuka Jaringan tersebut dapat dijangkau dari internet. EC2sumber daya tidak boleh diakses publik, karena ini memungkinkan akses yang tidak diinginkan ke aplikasi atau server Anda. | |
| SEC-5 | Bagaimana Anda melindungi sumber daya jaringan Anda? Setiap beban kerja yang memiliki beberapa bentuk konektivitas jaringan, apakah itu internet atau jaringan pribadi, memerlukan beberapa lapisan pertahanan untuk membantu melindungi dari ancaman berbasis jaringan eksternal dan internal. | Kelola akses ke sumber daya di AWS Cloud dengan memastikan port umum dibatasi pada grup keamanan Amazon Elastic Compute Cloud (AmazonEC2). Tidak membatasi akses ke port ke sumber tepercaya dapat menyebabkan serangan terhadap ketersediaan, integritas, dan kerahasiaan sistem. Aturan ini memungkinkan Anda untuk secara opsional mengatur blockedPort 1 - blockedPort 5 parameter (Config Defaults: 20,21,3389.3306.4333). Nilai aktual harus mencerminkan kebijakan organisasi Anda. | |
| SEC-5 | Bagaimana Anda melindungi sumber daya jaringan Anda? Setiap beban kerja yang memiliki beberapa bentuk konektivitas jaringan, apakah itu internet atau jaringan pribadi, memerlukan beberapa lapisan pertahanan untuk membantu melindungi dari ancaman berbasis jaringan eksternal dan internal. | Kelola akses ke sumber daya di AWS Cloud dengan memastikan port umum dibatasi pada Grup Keamanan Amazon Elastic Compute Cloud (AmazonEC2). Tidak membatasi akses pada port ke sumber tepercaya dapat menyebabkan serangan terhadap ketersediaan, integritas, dan kerahasiaan sistem. Dengan membatasi akses ke sumber daya dalam kelompok keamanan dari internet (0.0.0.0/0) akses jarak jauh dapat dikontrol ke sistem internal. | |
| SEC-5 | Bagaimana Anda melindungi sumber daya komputasi Anda? Menghitung sumber daya dalam beban kerja Anda memerlukan beberapa lapisan pertahanan untuk membantu melindungi dari ancaman eksternal dan internal. Sumber daya komputasi mencakup EC2 instance, kontainer, fungsi AWS Lambda, layanan basis data, perangkat IoT, dan banyak lagi. | Pastikan Anda AWS WAF memiliki aturan yang tidak kosong. Aturan tanpa kondisi dapat mengakibatkan perilaku yang tidak diinginkan. | |
| SEC-5 | Bagaimana Anda melindungi sumber daya komputasi Anda? Menghitung sumber daya dalam beban kerja Anda memerlukan beberapa lapisan pertahanan untuk membantu melindungi dari ancaman eksternal dan internal. Sumber daya komputasi mencakup EC2 instance, kontainer, fungsi AWS Lambda, layanan basis data, perangkat IoT, dan banyak lagi. | Pastikan Anda AWS WAF memiliki kelompok aturan yang tidak kosong. Grup aturan yang kosong dapat mengakibatkan perilaku yang tidak diinginkan. | |
| SEC-5 | Bagaimana Anda melindungi sumber daya komputasi Anda? Menghitung sumber daya dalam beban kerja Anda memerlukan beberapa lapisan pertahanan untuk membantu melindungi dari ancaman eksternal dan internal. Sumber daya komputasi mencakup EC2 instance, kontainer, fungsi AWS Lambda, layanan basis data, perangkat IoT, dan banyak lagi. | Web yang ACL dilampirkan ke AWS WAF dapat berisi kumpulan aturan dan kelompok aturan untuk memeriksa dan mengontrol permintaan web. Jika Web ACL kosong, lalu lintas web berlalu tanpa terdeteksi atau ditindaklanjuti olehWAF. | |
| SEC-5 | Bagaimana Anda melindungi sumber daya komputasi Anda? Menghitung sumber daya dalam beban kerja Anda memerlukan beberapa lapisan pertahanan untuk membantu melindungi dari ancaman eksternal dan internal. Sumber daya komputasi mencakup EC2 instance, kontainer, fungsi AWS Lambda, layanan basis data, perangkat IoT, dan banyak lagi. | Aturan ini memastikan bahwa daftar kontrol akses jaringan Amazon Virtual Private Cloud (VPC) sedang digunakan. Pemantauan untuk daftar kontrol akses jaringan yang tidak digunakan dapat membantu inventaris dan pengelolaan lingkungan Anda yang akurat. | |
| SEC-5 | Bagaimana Anda melindungi sumber daya jaringan Anda? Setiap beban kerja yang memiliki beberapa bentuk konektivitas jaringan, apakah itu internet atau jaringan pribadi, memerlukan beberapa lapisan pertahanan untuk membantu melindungi dari ancaman berbasis jaringan eksternal dan internal. | Amazon GuardDuty dapat membantu memantau dan mendeteksi potensi peristiwa keamanan siber dengan menggunakan umpan intelijen ancaman. Ini termasuk daftar pembelajaran berbahaya IPs dan mesin untuk mengidentifikasi aktivitas tak terduga, tidak sah, dan berbahaya dalam lingkungan AWS Cloud Anda. | |
| SEC-5 | Bagaimana Anda melindungi sumber daya jaringan Anda? Setiap beban kerja yang memiliki beberapa bentuk konektivitas jaringan, apakah itu internet atau jaringan pribadi, memerlukan beberapa lapisan pertahanan untuk membantu melindungi dari ancaman berbasis jaringan eksternal dan internal. | Log VPC alur menyediakan catatan terperinci untuk informasi tentang lalu lintas IP yang masuk ke dan dari antarmuka jaringan di Amazon Virtual Private Cloud (AmazonVPC) Anda. Secara default, catatan log aliran mencakup nilai untuk berbagai komponen aliran IP, termasuk sumber, tujuan, dan protokol. | |
| SEC-6 | Bagaimana Anda melindungi sumber daya komputasi Anda? Menghitung sumber daya dalam beban kerja Anda memerlukan beberapa lapisan pertahanan untuk membantu melindungi dari ancaman eksternal dan internal. Sumber daya komputasi mencakup EC2 instance, kontainer, fungsi AWS Lambda, layanan basis data, perangkat IoT, dan banyak lagi. | Aktifkan upgrade versi minor otomatis pada instans Amazon Relational Database Service RDS () Anda untuk memastikan pembaruan versi minor terbaru ke Relational Database Management System RDBMS () diinstal, yang mungkin mencakup patch keamanan dan perbaikan bug. | |
| SEC-6 | Bagaimana Anda melindungi sumber daya komputasi Anda? Menghitung sumber daya dalam beban kerja Anda memerlukan beberapa lapisan pertahanan untuk membantu melindungi dari ancaman eksternal dan internal. Sumber daya komputasi mencakup EC2 instance, kontainer, fungsi AWS Lambda, layanan basis data, perangkat IoT, dan banyak lagi. | Memanfaatkan validasi file AWS CloudTrail log untuk memeriksa integritas CloudTrail log. Validasi file log membantu menentukan apakah file log diubah atau dihapus atau tidak diubah setelah CloudTrail dikirimkan. Fitur ini dibangun menggunakan algoritma standar industri: SHA -256 untuk hashing dan SHA -256 dengan RSA untuk penandatanganan digital. Ini membuatnya secara komputasi tidak layak untuk memodifikasi, menghapus atau memalsukan CloudTrail file log tanpa deteksi. | |
| SEC-6 | Bagaimana Anda melindungi sumber daya komputasi Anda? Menghitung sumber daya dalam beban kerja Anda memerlukan beberapa lapisan pertahanan untuk membantu melindungi dari ancaman eksternal dan internal. Sumber daya komputasi mencakup EC2 instance, kontainer, fungsi AWS Lambda, layanan basis data, perangkat IoT, dan banyak lagi. | Aturan ini membantu memastikan penggunaan praktik terbaik keamanan yang AWS direkomendasikan untuk AWS CloudTrail, dengan memeriksa pengaktifan beberapa pengaturan. Ini termasuk penggunaan enkripsi log, validasi log, dan mengaktifkan AWS CloudTrail di beberapa wilayah. | |
| SEC-6 | Bagaimana Anda melindungi sumber daya komputasi Anda? Menghitung sumber daya dalam beban kerja Anda memerlukan beberapa lapisan pertahanan untuk membantu melindungi dari ancaman eksternal dan internal. Sumber daya komputasi mencakup EC2 instance, kontainer, fungsi AWS Lambda, layanan basis data, perangkat IoT, dan banyak lagi. | Mengaktifkan pembaruan platform terkelola untuk lingkungan Amazon Elastic Beanstalk memastikan bahwa perbaikan, pembaruan, dan fitur platform terbaru yang tersedia untuk lingkungan diinstal. Tetap up to date dengan instalasi patch adalah praktik terbaik dalam mengamankan sistem. | |
| SEC-6 | Bagaimana Anda melindungi sumber daya komputasi Anda? Menghitung sumber daya dalam beban kerja Anda memerlukan beberapa lapisan pertahanan untuk membantu melindungi dari ancaman eksternal dan internal. Sumber daya komputasi mencakup EC2 instance, kontainer, fungsi AWS Lambda, layanan basis data, perangkat IoT, dan banyak lagi. | Menerapkan fungsi AWS Lambda dalam Amazon Virtual Private Cloud (VPCAmazon) untuk komunikasi yang aman antara fungsi dan layanan lain di Amazon. VPC Dengan konfigurasi ini, tidak ada persyaratan untuk gateway internet, NAT perangkat, atau VPN koneksi. Semua lalu lintas tetap aman di dalam AWS Cloud. Karena isolasi logisnya, domain yang berada di Amazon VPC memiliki lapisan keamanan ekstra jika dibandingkan dengan domain yang menggunakan titik akhir publik. Untuk mengelola akses dengan benar, fungsi AWS Lambda harus ditetapkan ke file. VPC | |
| SEC-6 | Bagaimana Anda melindungi sumber daya komputasi Anda? Menghitung sumber daya dalam beban kerja Anda memerlukan beberapa lapisan pertahanan untuk membantu melindungi dari ancaman eksternal dan internal. Sumber daya komputasi mencakup EC2 instance, kontainer, fungsi AWS Lambda, layanan basis data, perangkat IoT, dan banyak lagi. | Pemindaian gambar Amazon Elastic Container Repository (ECR) membantu mengidentifikasi kerentanan perangkat lunak dalam gambar kontainer Anda. Mengaktifkan pemindaian gambar pada ECR repositori menambahkan lapisan verifikasi untuk integritas dan keamanan gambar yang disimpan. | |
| SEC-6 | Bagaimana Anda melindungi sumber daya komputasi Anda? Menghitung sumber daya dalam beban kerja Anda memerlukan beberapa lapisan pertahanan untuk membantu melindungi dari ancaman eksternal dan internal. Sumber daya komputasi mencakup EC2 instance, kontainer, fungsi AWS Lambda, layanan basis data, perangkat IoT, dan banyak lagi. | Pemantauan merupakan bagian penting dalam menjaga keandalan, ketersediaan, dan kinerja Amazon Elastic Container Service (ECS) dan AWS solusi Anda. Wawasan Kontainer juga akan menyediakan informasi diagnostik, seperti kegagalan mengulang kembali kontainer, untuk membantu Anda melakukan isolasi atas masalah dan mengatasi masalah itu dengan cepat. | |
| SEC-6 | Bagaimana Anda melindungi sumber daya komputasi Anda? Menghitung sumber daya dalam beban kerja Anda memerlukan beberapa lapisan pertahanan untuk membantu melindungi dari ancaman eksternal dan internal. Sumber daya komputasi mencakup EC2 instance, kontainer, fungsi AWS Lambda, layanan basis data, perangkat IoT, dan banyak lagi. | Pembaruan dan tambalan keamanan diterapkan secara otomatis untuk tugas Fargate AWS Anda. Jika ditemukan masalah keamanan yang memengaruhi versi platform AWS Fargate, AWS tambal versi platform. Untuk membantu pengelolaan tambalan tugas Amazon Elastic Container Service (ECS) yang menjalankan AWS Fargate, perbarui tugas mandiri layanan Anda untuk menggunakan versi platform terbaru. | |
| SEC-6 | Bagaimana Anda melindungi sumber daya komputasi Anda? Menghitung sumber daya dalam beban kerja Anda memerlukan beberapa lapisan pertahanan untuk membantu melindungi dari ancaman eksternal dan internal. Sumber daya komputasi mencakup EC2 instance, kontainer, fungsi AWS Lambda, layanan basis data, perangkat IoT, dan banyak lagi. | Aturan ini memastikan bahwa klaster Amazon Redshift memiliki pengaturan yang diinginkan untuk organisasi Anda. Secara khusus, bahwa mereka lebih menyukai jendela pemeliharaan dan periode retensi snapshot otomatis untuk database. Aturan ini mengharuskan Anda untuk mengatur allowVersionUpgrade. Bawaannya adalah benar. Ini juga memungkinkan Anda secara opsional mengatur preferredMaintenanceWindow (defaultnya adalah sat: 16:00 -sat: 16:30), dan automatedSnapshotRetention Periode (defaultnya adalah 1). Nilai aktual harus mencerminkan kebijakan organisasi Anda. | |
| SEC-6 | Bagaimana Anda melindungi sumber daya komputasi Anda? Menghitung sumber daya dalam beban kerja Anda memerlukan beberapa lapisan pertahanan untuk membantu melindungi dari ancaman eksternal dan internal. Sumber daya komputasi mencakup EC2 instance, kontainer, fungsi AWS Lambda, layanan basis data, perangkat IoT, dan banyak lagi. | Pastikan metode Instance Metadata Service Version 2 (IMDSv2) diaktifkan untuk membantu melindungi akses dan kontrol metadata instans Amazon Elastic Compute Cloud (AmazonEC2). IMDSv2Metode ini menggunakan kontrol berbasis sesi. DenganIMDSv2, kontrol dapat diimplementasikan untuk membatasi perubahan pada metadata instance. | |
| SEC-6 | Bagaimana Anda melindungi sumber daya komputasi Anda? Menghitung sumber daya dalam beban kerja Anda memerlukan beberapa lapisan pertahanan untuk membantu melindungi dari ancaman eksternal dan internal. Sumber daya komputasi mencakup EC2 instance, kontainer, fungsi AWS Lambda, layanan basis data, perangkat IoT, dan banyak lagi. | Aturan ini memeriksa apakah instans Amazon Elastic Compute Cloud (AmazonEC2) Anda memiliki beberapa. ENIs Memiliki beberapa ENIs dapat menyebabkan instance dual-homed, yang berarti instance yang memiliki beberapa subnet. Ini dapat menambah kompleksitas keamanan jaringan dan memperkenalkan jalur dan akses jaringan yang tidak diinginkan. | |
| SEC-6 | Bagaimana Anda melindungi sumber daya komputasi Anda? Menghitung sumber daya dalam beban kerja Anda memerlukan beberapa lapisan pertahanan untuk membantu melindungi dari ancaman eksternal dan internal. Sumber daya komputasi mencakup EC2 instance, kontainer, fungsi AWS Lambda, layanan basis data, perangkat IoT, dan banyak lagi. | Kelola akses ke AWS Cloud dengan memastikan instans Amazon Elastic Compute Cloud (AmazonEC2) tidak dapat diakses publik. EC2Instans Amazon dapat berisi informasi sensitif dan kontrol akses diperlukan untuk akun tersebut. | |
| SEC-6 | Bagaimana Anda melindungi sumber daya komputasi Anda? Menghitung sumber daya dalam beban kerja Anda memerlukan beberapa lapisan pertahanan untuk membantu melindungi dari ancaman eksternal dan internal. Sumber daya komputasi mencakup EC2 instance, kontainer, fungsi AWS Lambda, layanan basis data, perangkat IoT, dan banyak lagi. | EC2profil instance meneruskan IAM peran ke sebuah EC2 instance. Melampirkan profil instans ke instans Anda dapat membantu pengelolaan hak istimewa dan izin paling sedikit. | |
| SEC-6 | Bagaimana Anda melindungi sumber daya komputasi Anda? Menghitung sumber daya dalam beban kerja Anda memerlukan beberapa lapisan pertahanan untuk membantu melindungi dari ancaman eksternal dan internal. Sumber daya komputasi mencakup EC2 instance, kontainer, fungsi AWS Lambda, layanan basis data, perangkat IoT, dan banyak lagi. | Inventarisasi platform perangkat lunak dan aplikasi dalam organisasi dimungkinkan dengan mengelola instans Amazon Elastic Compute Cloud (AmazonEC2) dengan AWS Systems Manager. Gunakan AWS Systems Manager untuk menyediakan konfigurasi sistem terperinci, tingkat patch sistem operasi, nama dan jenis layanan, instalasi perangkat lunak, nama aplikasi, penerbit dan versi, dan detail lainnya tentang lingkungan Anda. | |
| SEC-6 | Bagaimana Anda melindungi sumber daya komputasi Anda? Menghitung sumber daya dalam beban kerja Anda memerlukan beberapa lapisan pertahanan untuk membantu melindungi dari ancaman eksternal dan internal. Sumber daya komputasi mencakup EC2 instance, kontainer, fungsi AWS Lambda, layanan basis data, perangkat IoT, dan banyak lagi. | Aturan ini memastikan grup keamanan dilampirkan ke instans Amazon Elastic Compute Cloud (AmazonEC2) atau ke instanceENI. Aturan ini membantu memantau kelompok keamanan yang tidak digunakan dalam inventaris dan pengelolaan lingkungan Anda. | |
| SEC-6 | Bagaimana Anda melindungi sumber daya komputasi Anda? Menghitung sumber daya dalam beban kerja Anda memerlukan beberapa lapisan pertahanan untuk membantu melindungi dari ancaman eksternal dan internal. Sumber daya komputasi mencakup EC2 instance, kontainer, fungsi AWS Lambda, layanan basis data, perangkat IoT, dan banyak lagi. | Aktifkan aturan ini untuk membantu konfigurasi dasar instans Amazon Elastic Compute Cloud (AmazonEC2) dengan memeriksa apakah EC2 instans Amazon telah dihentikan selama lebih dari jumlah hari yang diizinkan, sesuai dengan standar organisasi Anda. | |
| SEC-6 | Bagaimana Anda melindungi sumber daya komputasi Anda? Menghitung sumber daya dalam beban kerja Anda memerlukan beberapa lapisan pertahanan untuk membantu melindungi dari ancaman eksternal dan internal. Sumber daya komputasi mencakup EC2 instance, kontainer, fungsi AWS Lambda, layanan basis data, perangkat IoT, dan banyak lagi. | Aturan ini memastikan bahwa volume Amazon Elastic Block Store yang dilampirkan ke instans Amazon Elastic Compute Cloud (AmazonEC2) ditandai untuk dihapus saat instance dihentikan. Jika EBS volume Amazon tidak dihapus ketika instance yang dilampirkan dihentikan, itu mungkin melanggar konsep fungsionalitas terkecil. | |
| SEC-6 | Bagaimana Anda melindungi sumber daya komputasi Anda? Menghitung sumber daya dalam beban kerja Anda memerlukan beberapa lapisan pertahanan untuk membantu melindungi dari ancaman eksternal dan internal. Sumber daya komputasi mencakup EC2 instance, kontainer, fungsi AWS Lambda, layanan basis data, perangkat IoT, dan banyak lagi. | Gunakan Asosiasi AWS Systems Manager untuk membantu inventaris platform perangkat lunak dan aplikasi dalam suatu organisasi. AWS Systems Manager menetapkan status konfigurasi untuk instans terkelola Anda dan memungkinkan Anda untuk mengatur dasar tingkat patch sistem operasi, instalasi perangkat lunak, konfigurasi aplikasi, dan detail lainnya tentang lingkungan Anda. | |
| SEC-6 | Bagaimana Anda melindungi sumber daya komputasi Anda? Menghitung sumber daya dalam beban kerja Anda memerlukan beberapa lapisan pertahanan untuk membantu melindungi dari ancaman eksternal dan internal. Sumber daya komputasi mencakup EC2 instance, kontainer, fungsi AWS Lambda, layanan basis data, perangkat IoT, dan banyak lagi. | Aktifkan aturan ini untuk membantu identifikasi dan dokumentasi kerentanan Amazon Elastic Compute Cloud (AmazonEC2). Aturan memeriksa apakah EC2 instans Amazon menambal kepatuhan di AWS Systems Manager sebagaimana diwajibkan oleh kebijakan dan prosedur organisasi Anda. | |
| SEC-8 | Bagaimana Anda melindungi data Anda saat istirahat? Lindungi data Anda saat istirahat dengan menerapkan beberapa kontrol, untuk mengurangi risiko akses yang tidak sah atau kesalahan penanganan. | Untuk membantu melindungi data saat istirahat, pastikan enkripsi diaktifkan untuk cache tahap API Gateway Anda. Karena data sensitif dapat ditangkap untuk API metode ini, aktifkan enkripsi saat istirahat untuk membantu melindungi data tersebut. | |
| SEC-8 | Bagaimana Anda melindungi data Anda saat istirahat? Lindungi data Anda saat istirahat dengan menerapkan beberapa kontrol, untuk mengurangi risiko akses yang tidak sah atau kesalahan penanganan. | Pastikan enkripsi diaktifkan untuk titik pemulihan AWS Backup Anda. Karena data sensitif dapat ada saat istirahat, aktifkan enkripsi saat istirahat untuk membantu melindungi data tersebut. | |
| SEC-8 | Bagaimana Anda melindungi data Anda saat istirahat? Lindungi data Anda saat istirahat dengan menerapkan beberapa kontrol, untuk mengurangi risiko akses yang tidak sah atau kesalahan penanganan. | Untuk membantu melindungi data sensitif saat istirahat, pastikan enkripsi diaktifkan untuk AWS CodeBuild artefak Anda. | |
| SEC-8 | Bagaimana Anda melindungi data Anda saat istirahat? Lindungi data Anda saat istirahat dengan menerapkan beberapa kontrol, untuk mengurangi risiko akses yang tidak sah atau kesalahan penanganan. | Untuk membantu melindungi data sensitif saat istirahat, pastikan enkripsi diaktifkan untuk AWS CodeBuild log Anda yang disimpan di Amazon S3. | |
| SEC-8 | Bagaimana Anda melindungi data Anda saat istirahat? Lindungi data Anda saat istirahat dengan menerapkan beberapa kontrol, untuk mengurangi risiko akses yang tidak sah atau kesalahan penanganan. | Untuk membantu melindungi data saat istirahat, pastikan kunci master pelanggan yang diperlukan (CMKs) tidak dijadwalkan untuk dihapus di Layanan Manajemen AWS Kunci ()AWS KMS. Karena penghapusan kunci diperlukan pada waktu tertentu, aturan ini dapat membantu dalam memeriksa semua kunci yang dijadwalkan untuk dihapus, jika kunci dijadwalkan secara tidak sengaja. | |
| SEC-8 | Bagaimana Anda melindungi data Anda saat istirahat? Lindungi data Anda saat istirahat dengan menerapkan beberapa kontrol, untuk mengurangi risiko akses yang tidak sah atau kesalahan penanganan. | Karena data sensitif mungkin ada dan untuk membantu melindungi data saat istirahat, pastikan enkripsi diaktifkan untuk AWS CloudTrail jejak Anda. | |
| SEC-8 | Bagaimana Anda melindungi data Anda saat istirahat? Lindungi data Anda saat istirahat dengan menerapkan beberapa kontrol, untuk mengurangi risiko akses yang tidak sah atau kesalahan penanganan. | Untuk membantu melindungi data sensitif saat istirahat, pastikan enkripsi diaktifkan untuk Grup CloudWatch Log Amazon Anda. | |
| SEC-8 | Bagaimana Anda melindungi data Anda saat istirahat? Lindungi data Anda saat istirahat dengan menerapkan beberapa kontrol, untuk mengurangi risiko akses yang tidak sah atau kesalahan penanganan. | Pastikan enkripsi diaktifkan untuk tabel Amazon DynamoDB Anda. Karena data sensitif dapat ada saat diam di tabel ini, aktifkan enkripsi saat istirahat untuk membantu melindungi data tersebut. Secara default, tabel DynamoDB dienkripsi dengan kunci master pelanggan AWS yang dimiliki (). CMK | |
| SEC-8 | Bagaimana Anda melindungi data Anda saat istirahat? Lindungi data Anda saat istirahat dengan menerapkan beberapa kontrol, untuk mengurangi risiko akses yang tidak sah atau kesalahan penanganan. | Untuk membantu melindungi data saat istirahat, pastikan enkripsi diaktifkan untuk volume Amazon Elastic Block Store (AmazonEBS) Anda. Karena data sensitif dapat ada saat diam dalam volume ini, aktifkan enkripsi saat istirahat untuk membantu melindungi data tersebut. | |
| SEC-8 | Bagaimana Anda melindungi data Anda saat istirahat? Lindungi data Anda saat istirahat dengan menerapkan beberapa kontrol, untuk mengurangi risiko akses yang tidak sah atau kesalahan penanganan. | Karena data sensitif dapat ada dan membantu melindungi data saat istirahat, pastikan enkripsi diaktifkan untuk Amazon Elastic File System (EFS) Anda. | |
| SEC-8 | Bagaimana Anda melindungi data Anda saat istirahat? Lindungi data Anda saat istirahat dengan menerapkan beberapa kontrol, untuk mengurangi risiko akses yang tidak sah atau kesalahan penanganan. | Karena data sensitif dapat ada dan membantu melindungi data saat istirahat, pastikan enkripsi diaktifkan untuk domain OpenSearch Layanan Amazon (OpenSearch Layanan) Anda. | |
| SEC-8 | Bagaimana Anda melindungi data Anda saat istirahat? Lindungi data Anda saat istirahat dengan menerapkan beberapa kontrol, untuk mengurangi risiko akses yang tidak sah atau kesalahan penanganan. | Karena data sensitif dapat ada dan membantu melindungi data saat istirahat, pastikan enkripsi diaktifkan untuk domain OpenSearch Layanan Amazon Anda. | |
| SEC-8 | Bagaimana Anda melindungi data Anda saat istirahat? Lindungi data Anda saat istirahat dengan menerapkan beberapa kontrol, untuk mengurangi risiko akses yang tidak sah atau kesalahan penanganan. | Karena data sensitif dapat ada dan membantu melindungi data saat istirahat, pastikan enkripsi diaktifkan untuk volume Amazon Elastic Block Store (AmazonEBS) Anda. | |
| SEC-8 | Bagaimana Anda melindungi data Anda saat istirahat? Lindungi data Anda saat istirahat dengan menerapkan beberapa kontrol, untuk mengurangi risiko akses yang tidak sah atau kesalahan penanganan. | Pastikan enkripsi diaktifkan untuk snapshot Amazon Relational Database Service (RDSAmazon) Anda. Karena data sensitif dapat ada saat istirahat, aktifkan enkripsi saat istirahat untuk membantu melindungi data tersebut. | |
| SEC-8 | Bagaimana Anda melindungi data Anda saat istirahat? Lindungi data Anda saat istirahat dengan menerapkan beberapa kontrol, untuk mengurangi risiko akses yang tidak sah atau kesalahan penanganan. | Untuk membantu melindungi data saat istirahat, pastikan enkripsi diaktifkan untuk instans Amazon Relational Database Service (RDSAmazon) Anda. Karena data sensitif dapat ada saat diam di RDS instans Amazon, aktifkan enkripsi saat istirahat untuk membantu melindungi data tersebut. | |
| SEC-8 | Bagaimana Anda melindungi data Anda saat istirahat? Lindungi data Anda saat istirahat dengan menerapkan beberapa kontrol, untuk mengurangi risiko akses yang tidak sah atau kesalahan penanganan. | Untuk melindungi data saat istirahat, pastikan enkripsi diaktifkan untuk klaster Amazon Redshift Anda. Anda juga harus memastikan bahwa konfigurasi yang diperlukan diterapkan di klaster Amazon Redshift. Pencatatan audit harus diaktifkan untuk memberikan informasi tentang koneksi dan aktivitas pengguna dalam database. Aturan ini mensyaratkan bahwa nilai ditetapkan untuk clusterDbEncrypted (Config Default:TRUE), dan ( loggingEnabled Config Default:). TRUE Nilai aktual harus mencerminkan kebijakan organisasi Anda. | |
| SEC-8 | Bagaimana Anda melindungi data Anda saat istirahat? Lindungi data Anda saat istirahat dengan menerapkan beberapa kontrol, untuk mengurangi risiko akses yang tidak sah atau kesalahan penanganan. | Untuk membantu melindungi data saat istirahat, pastikan enkripsi dengan AWS Key Management Service (AWS KMS) diaktifkan untuk klaster Amazon Redshift Anda. Karena data sensitif dapat ada saat diam di cluster Redshift, aktifkan enkripsi saat istirahat untuk membantu melindungi data tersebut. | |
| SEC-8 | Bagaimana Anda melindungi data Anda saat istirahat? Lindungi data Anda saat istirahat dengan menerapkan beberapa kontrol, untuk mengurangi risiko akses yang tidak sah atau kesalahan penanganan. | Untuk membantu melindungi data saat istirahat, pastikan enkripsi diaktifkan untuk bucket Amazon Simple Storage Service (Amazon S3). Karena data sensitif dapat ada saat diam di bucket Amazon S3, aktifkan enkripsi untuk membantu melindungi data tersebut. | |
| SEC-8 | Bagaimana Anda melindungi data Anda saat istirahat? Lindungi data Anda saat istirahat dengan menerapkan beberapa kontrol, untuk mengurangi risiko akses yang tidak sah atau kesalahan penanganan. | Pastikan enkripsi diaktifkan untuk bucket Amazon Simple Storage Service (Amazon S3). Karena data sensitif dapat ada saat diam di bucket Amazon S3, aktifkan enkripsi saat istirahat untuk membantu melindungi data tersebut. | |
| SEC-8 | Bagaimana Anda melindungi data Anda saat istirahat? Lindungi data Anda saat istirahat dengan menerapkan beberapa kontrol, untuk mengurangi risiko akses yang tidak sah atau kesalahan penanganan. | Untuk membantu melindungi data saat istirahat, pastikan enkripsi dengan AWS Key Management Service (AWS KMS) diaktifkan untuk SageMaker titik akhir Anda. Karena data sensitif dapat ada saat istirahat di SageMaker titik akhir, aktifkan enkripsi saat istirahat untuk membantu melindungi data tersebut. | |
| SEC-8 | Bagaimana Anda melindungi data Anda saat istirahat? Lindungi data Anda saat istirahat dengan menerapkan beberapa kontrol, untuk mengurangi risiko akses yang tidak sah atau kesalahan penanganan. | Untuk membantu melindungi data saat istirahat, pastikan enkripsi dengan AWS Key Management Service (AWS KMS) diaktifkan untuk SageMaker buku catatan Anda. Karena data sensitif dapat ada saat diam di SageMaker notebook, aktifkan enkripsi saat istirahat untuk membantu melindungi data tersebut. | |
| SEC-8 | Bagaimana Anda melindungi data Anda saat istirahat? Lindungi data Anda saat istirahat dengan menerapkan beberapa kontrol, untuk mengurangi risiko akses yang tidak sah atau kesalahan penanganan. | Untuk membantu melindungi data saat istirahat, pastikan enkripsi dengan AWS Key Management Service (AWS KMS) diaktifkan untuk AWS rahasia Secrets Manager. Karena data sensitif dapat ada saat diam di rahasia Secrets Manager, aktifkan enkripsi saat istirahat untuk membantu melindungi data tersebut. | |
| SEC-8 | Bagaimana Anda melindungi data Anda saat istirahat? Lindungi data Anda saat istirahat dengan menerapkan beberapa kontrol, untuk mengurangi risiko akses yang tidak sah atau kesalahan penanganan. | Untuk membantu melindungi data saat istirahat, pastikan bahwa topik Amazon Simple Notification Service (AmazonSNS) Anda memerlukan enkripsi menggunakan AWS Key Management Service (AWS KMS). Karena data sensitif dapat ada saat diam dalam pesan yang dipublikasikan, aktifkan enkripsi saat istirahat untuk membantu melindungi data tersebut. | |
| SEC-8 | Bagaimana Anda melindungi data Anda saat istirahat? Lindungi data Anda saat istirahat dengan menerapkan beberapa kontrol, untuk mengurangi risiko akses yang tidak sah atau kesalahan penanganan. | Pembuatan versi bucket Amazon Simple Storage Service (Amazon S3) membantu menyimpan beberapa varian objek dalam bucket Amazon S3 yang sama. Gunakan pembuatan versi untuk mempertahankan, mengambil, dan memulihkan setiap versi dari setiap objek yang disimpan di bucket Amazon S3 Anda. Pembuatan versi membantu Anda memulihkan dengan mudah dari tindakan pengguna yang tidak diinginkan dan kegagalan aplikasi. | |
| SEC-8 | Bagaimana Anda melindungi data Anda saat istirahat? Lindungi data Anda saat istirahat dengan menerapkan beberapa kontrol, untuk mengurangi risiko akses yang tidak sah atau kesalahan penanganan. | Manajemen terpusat Akun AWS dalam AWS Organizations membantu memastikan bahwa akun sesuai. Kurangnya tata kelola akun terpusat dapat menyebabkan konfigurasi akun yang tidak konsisten, yang dapat mengekspos sumber daya dan data sensitif. | |
| SEC-8 | Bagaimana Anda melindungi data Anda saat istirahat? Lindungi data Anda saat istirahat dengan menerapkan beberapa kontrol, untuk mengurangi risiko akses yang tidak sah atau kesalahan penanganan. | Kelola akses ke sumber daya di AWS Cloud dengan memastikan bahwa bucket Amazon Simple Storage Service (Amazon S3) tidak dapat diakses publik. Aturan ini membantu menjaga keamanan data sensitif dari pengguna jarak jauh yang tidak sah dengan mencegah akses publik. Aturan ini memungkinkan Anda untuk secara opsional mengatur ignorePublicAcls (Config Default: True), blockPublicPolicy (Config Default: True), (Config Default: True), dan restrictPublicBuckets parameter blockPublicAcls (Config Default: True). Nilai aktual harus mencerminkan kebijakan organisasi Anda. | |
| SEC-8 | Bagaimana Anda melindungi data Anda saat istirahat? Lindungi data Anda saat istirahat dengan menerapkan beberapa kontrol, untuk mengurangi risiko akses yang tidak sah atau kesalahan penanganan. | Kelola akses ke sumber daya di AWS Cloud dengan memastikan bahwa bucket Amazon Simple Storage Service (Amazon S3) tidak dapat diakses publik. Aturan ini membantu menjaga keamanan data sensitif dari pengguna jarak jauh yang tidak sah dengan mencegah akses publik di tingkat bucket. | |
| SEC-8 | Bagaimana Anda melindungi data Anda saat istirahat? Lindungi data Anda saat istirahat dengan menerapkan beberapa kontrol, untuk mengurangi risiko akses yang tidak sah atau kesalahan penanganan. | Kelola akses ke sumber daya di AWS Cloud dengan hanya mengizinkan pengguna, proses, dan perangkat yang berwenang mengakses bucket Amazon Simple Storage Service (Amazon S3). Pengelolaan akses harus konsisten dengan klasifikasi data. | |
| SEC-8 | Bagaimana Anda melindungi data Anda saat istirahat? Lindungi data Anda saat istirahat dengan menerapkan beberapa kontrol, untuk mengurangi risiko akses yang tidak sah atau kesalahan penanganan. | Kelola akses ke sumber daya di AWS Cloud dengan hanya mengizinkan pengguna, proses, dan perangkat yang berwenang mengakses bucket Amazon Simple Storage Service (Amazon S3). Pengelolaan akses harus konsisten dengan klasifikasi data. | |
| SEC-9 | Bagaimana Anda melindungi data Anda saat transit? Lindungi data Anda dalam perjalanan dengan menerapkan beberapa kontrol untuk mengurangi risiko akses atau kehilangan yang tidak sah. | Pastikan integritas jaringan dilindungi dengan memastikan sertifikat X509 dikeluarkan oleh. AWS ACM Sertifikat ini harus valid dan belum kedaluwarsa. Aturan ini membutuhkan nilai untuk daysToExpiration (Nilai Praktik Terbaik Keamanan AWS Dasar: 90). Nilai aktual harus mencerminkan kebijakan organisasi Anda. | |
| SEC-9 | Bagaimana Anda melindungi data Anda saat transit? Lindungi data Anda dalam perjalanan dengan menerapkan beberapa kontrol untuk mengurangi risiko akses atau kehilangan yang tidak sah. | Karena data sensitif dapat ada dan untuk membantu melindungi data saat transit, pastikan enkripsi diaktifkan untuk Elastic Load Balancing Anda. Gunakan AWS Certificate Manager untuk mengelola, menyediakan, dan menyebarkan sertifikat publik dan SSL TLS privat/sertifikat dengan AWS layanan dan sumber daya internal. | |
| SEC-9 | Bagaimana Anda melindungi data Anda saat transit? Lindungi data Anda dalam perjalanan dengan menerapkan beberapa kontrol untuk mengurangi risiko akses atau kehilangan yang tidak sah. | Karena data sensitif dapat ada dan untuk membantu melindungi data saat transit, pastikan enkripsi diaktifkan untuk Elastic Load Balancing Anda. Gunakan AWS Certificate Manager untuk mengelola, menyediakan, dan menyebarkan sertifikat publik dan SSL TLS privat/sertifikat dengan AWS layanan dan sumber daya internal. | |
| SEC-9 | Bagaimana Anda melindungi data Anda saat transit? Lindungi data Anda dalam perjalanan dengan menerapkan beberapa kontrol untuk mengurangi risiko akses atau kehilangan yang tidak sah. | Pastikan Elastic Load Balancers (ELB) Anda dikonfigurasi untuk menjatuhkan header http. Karena data sensitif dapat ada, aktifkan enkripsi dalam perjalanan untuk membantu melindungi data tersebut. | |
| SEC-9 | Bagaimana Anda melindungi data Anda saat transit? Lindungi data Anda dalam perjalanan dengan menerapkan beberapa kontrol untuk mengurangi risiko akses atau kehilangan yang tidak sah. | Untuk membantu melindungi data dalam perjalanan, pastikan bahwa Application Load Balancer Anda secara otomatis mengalihkan permintaan yang tidak terenkripsi ke. HTTP HTTPS Karena data sensitif dapat ada, aktifkan enkripsi dalam perjalanan untuk membantu melindungi data tersebut. | |
| SEC-9 | Bagaimana Anda melindungi data Anda saat transit? Lindungi data Anda dalam perjalanan dengan menerapkan beberapa kontrol untuk mengurangi risiko akses atau kehilangan yang tidak sah. | Pastikan REST API tahapan Amazon API Gateway dikonfigurasi dengan SSL sertifikat untuk memungkinkan sistem backend mengautentikasi permintaan yang berasal dari Gateway. API | |
| SEC-9 | Bagaimana Anda melindungi data Anda saat transit? Lindungi data Anda dalam perjalanan dengan menerapkan beberapa kontrol untuk mengurangi risiko akses atau kehilangan yang tidak sah. | Pastikan node-to-node enkripsi untuk OpenSearch Layanan Amazon diaktifkan. ode-to-node Enkripsi N memungkinkan enkripsi TLS 1.2 untuk semua komunikasi dalam Amazon Virtual Private Cloud (AmazonVPC). Karena data sensitif dapat ada, aktifkan enkripsi dalam perjalanan untuk membantu melindungi data tersebut. | |
| SEC-9 | Bagaimana Anda melindungi data Anda saat transit? Lindungi data Anda dalam perjalanan dengan menerapkan beberapa kontrol untuk mengurangi risiko akses atau kehilangan yang tidak sah. | Pastikan node-to-node enkripsi untuk OpenSearch Layanan Amazon diaktifkan. ode-to-node Enkripsi N memungkinkan enkripsi TLS 1.2 untuk semua komunikasi dalam Amazon Virtual Private Cloud (AmazonVPC). Karena data sensitif dapat ada, aktifkan enkripsi dalam perjalanan untuk membantu melindungi data tersebut. | |
| SEC-9 | Bagaimana Anda melindungi data Anda saat transit? Lindungi data Anda dalam perjalanan dengan menerapkan beberapa kontrol untuk mengurangi risiko akses atau kehilangan yang tidak sah. | Karena data sensitif dapat ada dan untuk membantu melindungi data dalam perjalanan, pastikan HTTPS diaktifkan untuk koneksi ke domain OpenSearch Layanan Amazon Anda. | |
| SEC-9 | Bagaimana Anda melindungi data Anda saat transit? Lindungi data Anda dalam perjalanan dengan menerapkan beberapa kontrol untuk mengurangi risiko akses atau kehilangan yang tidak sah. | Pastikan klaster Amazon Redshift Anda TLS SSL memerlukan/enkripsi untuk terhubung ke klien. SQL Karena data sensitif dapat ada, aktifkan enkripsi dalam perjalanan untuk membantu melindungi data tersebut. | |
| SEC-9 | Bagaimana Anda melindungi data Anda saat transit? Lindungi data Anda dalam perjalanan dengan menerapkan beberapa kontrol untuk mengurangi risiko akses atau kehilangan yang tidak sah. | Untuk membantu melindungi data dalam perjalanan, pastikan bucket Amazon Simple Storage Service (Amazon S3) Anda memerlukan permintaan untuk menggunakan Secure Socket Layer (). SSL Karena data sensitif dapat ada, aktifkan enkripsi dalam perjalanan untuk membantu melindungi data tersebut. | |
| SEC-9 | Bagaimana Anda melindungi data Anda saat transit? Lindungi data Anda dalam perjalanan dengan menerapkan beberapa kontrol untuk mengurangi risiko akses atau kehilangan yang tidak sah. | Pastikan Elastic Load Balancers (ELBs) Anda dikonfigurasi dengan SSL atau HTTPS pendengar. Karena data sensitif dapat ada, aktifkan enkripsi dalam perjalanan untuk membantu melindungi data tersebut. | |
| SEC-9 | Bagaimana Anda melindungi data Anda saat transit? Lindungi data Anda dalam perjalanan dengan menerapkan beberapa kontrol untuk mengurangi risiko akses atau kehilangan yang tidak sah. | Log VPC alur menyediakan catatan terperinci untuk informasi tentang lalu lintas IP yang masuk ke dan dari antarmuka jaringan di Amazon Virtual Private Cloud (AmazonVPC) Anda. Secara default, catatan log aliran mencakup nilai untuk berbagai komponen aliran IP, termasuk sumber, tujuan, dan protokol. | |
| SEC-9 | Bagaimana Anda melindungi data Anda saat transit? Lindungi data Anda dalam perjalanan dengan menerapkan beberapa kontrol untuk mengurangi risiko akses atau kehilangan yang tidak sah. | Amazon GuardDuty dapat membantu memantau dan mendeteksi potensi peristiwa keamanan siber dengan menggunakan umpan intelijen ancaman. Ini termasuk daftar pembelajaran berbahaya IPs dan mesin untuk mengidentifikasi aktivitas tak terduga, tidak sah, dan berbahaya dalam lingkungan AWS Cloud Anda. |
Templat
Template tersedia di GitHub: Praktik Terbaik Operasional untuk Pilar Keamanan AWS Well-Architected
