Profil CRI v2.2 di CSPM Security Hub

[Account.1] Informasi kontak keamanan harus disediakan untuk Akun AWS

[Account.2] Akun AWS harus menjadi bagian dari sebuah AWS Organizations organisasi

[ACM.1] Impor dan ACM-issued sertifikat harus diperpanjang setelah jangka waktu tertentu

[ACM.2] Sertifikat RSA yang dikelola oleh ACM harus menggunakan panjang kunci minimal 2.048 bit

[Amplify.2] Amplify branch harus diberi tag

[APIGateway.1] API Gateway REST dan pencatatan eksekusi WebSocket API harus diaktifkan

[APIGateway.2] Tahapan API Gateway REST API harus dikonfigurasi untuk menggunakan sertifikat SSL untuk otentikasi backend

[APIGateway.3] Tahapan API Gateway REST API harus memiliki AWS X-Ray penelusuran diaktifkan

[APIGateway.4] API Gateway harus dikaitkan dengan WAF Web ACL

[APIGateway.5] Data cache API Gateway REST API harus dienkripsi saat istirahat

[APIGateway.8] Rute API Gateway harus menentukan jenis otorisasi

[APIGateway.9] Pencatatan akses harus dikonfigurasi untuk Tahap API Gateway V2

[AppFlow.1] AppFlow Aliran Amazon harus ditandai

[AppRunner.1] Layanan Pelari Aplikasi harus ditandai

[AppSync.2] AWS AppSync harus mengaktifkan logging tingkat lapangan

[AppSync.5] AWS AppSync GraphQL API tidak boleh diautentikasi dengan kunci API

[Athena.4] Kelompok kerja Athena seharusnya mengaktifkan pencatatan

[AutoScaling.1] Grup Auto Scaling yang terkait dengan penyeimbang beban harus menggunakan pemeriksaan kesehatan ELB

[AutoScaling.2] Grup Amazon EC2 Auto Scaling harus mencakup beberapa Availability Zone

[AutoScaling.3] Konfigurasi peluncuran grup Auto Scaling harus mengonfigurasi instans EC2 agar memerlukan Layanan Metadata Instans Versi 2 (IMDSv2)

[Autoscaling.5] Instans Amazon EC2 yang diluncurkan menggunakan konfigurasi peluncuran grup Auto Scaling seharusnya tidak memiliki alamat IP Publik

[AutoScaling.6] Grup Auto Scaling harus menggunakan beberapa jenis instance di beberapa Availability Zone

[AutoScaling.9] Grup Amazon EC2 Auto Scaling harus menggunakan templat peluncuran Amazon EC2

[Backup.1] AWS Backup titik pemulihan harus dienkripsi saat istirahat

[Batch.2] Kebijakan penjadwalan Batch harus ditandai

[Batch.4] Properti sumber daya komputasi di lingkungan komputasi Batch terkelola harus ditandai

[CloudFront.1] CloudFront distribusi harus memiliki objek root default yang dikonfigurasi

[CloudFront.3] CloudFront distribusi harus memerlukan enkripsi dalam perjalanan

[CloudFront.4] CloudFront distribusi harus memiliki failover asal yang dikonfigurasi

[CloudFront.5] CloudFront distribusi seharusnya mengaktifkan logging

[CloudFront.6] CloudFront distribusi harus mengaktifkan WAF

[CloudFront.7] CloudFront distribusi harus menggunakan sertifikat khusus SSL/TLS

[CloudFront.8] CloudFront distribusi harus menggunakan SNI untuk melayani permintaan HTTPS

[CloudFront.9] CloudFront distribusi harus mengenkripsi lalu lintas ke asal khusus

[CloudFront.10] CloudFront distribusi tidak boleh menggunakan protokol SSL yang tidak digunakan lagi antara lokasi tepi dan asal kustom

[CloudFront.12] CloudFront distribusi seharusnya tidak menunjukkan asal S3 yang tidak ada

[CloudFront.13] CloudFront distribusi harus menggunakan kontrol akses asal

[CloudFront.15] CloudFront distribusi harus menggunakan kebijakan keamanan TLS yang direkomendasikan

[CloudTrail.1] CloudTrail harus diaktifkan dan dikonfigurasi dengan setidaknya satu jejak Multi-wilayah yang mencakup acara manajemen baca dan tulis

[CloudTrail.2] CloudTrail harus mengaktifkan enkripsi saat istirahat

[CloudTrail.3] Setidaknya satu CloudTrail jejak harus diaktifkan

[CloudTrail.4] validasi file CloudTrail log harus diaktifkan

[CloudTrail.5] CloudTrail jalur harus diintegrasikan dengan Amazon Logs CloudWatch

[CloudTrail.6] Pastikan bucket S3 yang digunakan untuk menyimpan CloudTrail log tidak dapat diakses publik

[CloudTrail.7] Pastikan pencatatan akses bucket S3 diaktifkan pada bucket CloudTrail S3

[CloudWatch.1] Filter metrik log dan alarm harus ada untuk penggunaan pengguna “root”

[CloudWatch.2] Pastikan filter metrik log dan alarm ada untuk panggilan API yang tidak sah

[CloudWatch.3] Pastikan filter metrik log dan alarm ada untuk login Konsol Manajemen tanpa MFA

[CloudWatch.4] Pastikan filter metrik log dan alarm ada untuk perubahan kebijakan IAM

[CloudWatch.5] Pastikan filter metrik log dan alarm ada untuk perubahan CloudTrail konfigurasi

[CloudWatch.6] Pastikan filter metrik log dan alarm ada untuk Konsol Manajemen AWS kegagalan otentikasi

[CloudWatch.7] Pastikan filter metrik log dan alarm ada untuk menonaktifkan atau menjadwalkan penghapusan kunci yang dikelola pelanggan

[CloudWatch.8] Pastikan filter metrik log dan alarm ada untuk perubahan kebijakan bucket S3

[CloudWatch.9] Pastikan filter metrik log dan alarm ada untuk AWS Config perubahan konfigurasi

[CloudWatch.10] Pastikan filter metrik log dan alarm ada untuk perubahan grup keamanan

[CloudWatch.11] Pastikan filter metrik log dan alarm ada untuk perubahan pada Daftar Kontrol Akses Jaringan (NACL)

[CloudWatch.12] Pastikan filter metrik log dan alarm ada untuk perubahan gateway jaringan

[CloudWatch.13] Pastikan filter metrik log dan alarm ada untuk perubahan tabel rute

[CloudWatch.14] Pastikan filter metrik log dan alarm ada untuk perubahan VPC

[CloudWatch.15] CloudWatch alarm harus memiliki tindakan tertentu yang dikonfigurasi

[CloudWatch.16] grup CloudWatch log harus dipertahankan untuk jangka waktu tertentu

[CloudWatch.17] tindakan CloudWatch alarm harus diaktifkan

[CodeBuild.1] URL repositori sumber CodeBuild Bitbucket tidak boleh berisi kredensyal sensitif

[CodeBuild.2] variabel lingkungan CodeBuild proyek tidak boleh berisi kredensyal teks yang jelas

[CodeBuild.3] CodeBuild Log S3 harus dienkripsi

[CodeBuild.4] lingkungan CodeBuild proyek harus memiliki pencatatan AWS Config buang air kecil

[CodeBuild.7] ekspor kelompok CodeBuild laporan harus dienkripsi saat istirahat

[CodeGuruProfiler.1] Grup CodeGuru profil profiler harus ditandai

[CodeGuruReviewer.1] Asosiasi CodeGuru repositori peninjau harus ditandai

[Cognito.2] Kumpulan identitas Cognito seharusnya tidak mengizinkan identitas yang tidak diautentikasi

[Cognito.3] Kebijakan kata sandi untuk kumpulan pengguna Cognito harus memiliki konfigurasi yang kuat

[Config.1] AWS Config harus diaktifkan dan menggunakan peran terkait layanan untuk perekaman sumber daya

[Connect.2] Connect Instans Pelanggan seharusnya mengaktifkan CloudWatch pencatatan

[DataFirehose.1] Aliran pengiriman Firehose harus dienkripsi saat istirahat

[DataSync.1] DataSync tugas harus mengaktifkan pencatatan

[DataSync.2] DataSync tugas harus ditandai

[DMS.1] Instans replikasi Layanan Migrasi Database tidak boleh bersifat publik

[DMS.6] Instans replikasi DMS harus mengaktifkan peningkatan versi minor otomatis

[DMS.7] Tugas replikasi DMS untuk database target harus mengaktifkan logging

[DMS.8] Tugas replikasi DMS untuk database sumber harus mengaktifkan logging

[DMS.9] Titik akhir DMS harus menggunakan SSL

[DMS.10] Titik akhir DMS untuk database Neptunus harus mengaktifkan otorisasi IAM

[DMS.11] Titik akhir DMS untuk MongoDB harus mengaktifkan mekanisme otentikasi

[DMS.12] Titik akhir DMS untuk Redis OSS seharusnya mengaktifkan TLS

[DocumentDB.1] Cluster Amazon DocumentDB harus dienkripsi saat istirahat

[DocumentDB.2] Cluster Amazon DocumentDB harus memiliki periode retensi cadangan yang memadai

[DocumentDB.3] Cuplikan cluster manual Amazon DocumentDB seharusnya tidak bersifat publik

[DocumentDB.4] Cluster Amazon DocumentDB harus mempublikasikan log audit ke Log CloudWatch

[DocumentDB.5] Cluster Amazon DocumentDB harus mengaktifkan perlindungan penghapusan

[DocumentDB.6] Cluster Amazon DocumentDB harus dienkripsi saat transit

[DynamoDB.1] Tabel DynamoDB harus secara otomatis menskalakan kapasitas dengan permintaan

[DynamoDB.2] Tabel DynamoDB harus mengaktifkan pemulihan point-in-time

[DynamoDB.3] Cluster DynamoDB Accelerator (DAX) harus dienkripsi saat istirahat

[DynamoDB.4] Tabel DynamoDB harus ada dalam rencana cadangan

[DynamoDB.6] Tabel DynamoDB harus mengaktifkan perlindungan penghapusan

[DynamoDB.7] Cluster DynamoDB Accelerator harus dienkripsi saat transit

[EC2.1] Snapshot Amazon EBS tidak boleh dikonfigurasi agar dapat dipulihkan secara publik

[EC2.2] Grup keamanan default VPC tidak boleh mengizinkan lalu lintas masuk atau keluar

[EC2.3] Volume Amazon EBS yang terlampir harus dienkripsi saat istirahat

[EC2.4] Instans EC2 yang dihentikan harus dihapus setelah periode waktu tertentu

[EC2.6] Pencatatan aliran VPC harus diaktifkan di semua VPC

[EC2.7] Enkripsi default EBS harus diaktifkan

[EC2.8] Instans EC2 harus menggunakan Layanan Metadata Instance Versi 2 (IMDSv2)

[EC2.9] Instans Amazon EC2 seharusnya tidak memiliki alamat IPv4 publik

[EC2.10] Amazon EC2 harus dikonfigurasi untuk menggunakan titik akhir VPC yang dibuat untuk layanan Amazon EC2

[EC2.12] EIP Amazon EC2 yang tidak digunakan harus dihapus

[EC2.13] Grup keamanan tidak boleh mengizinkan masuknya dari 0.0.0. 0/0 atau: :/0 ke port 22

[EC2.14] Grup keamanan tidak boleh mengizinkan masuknya dari 0.0.0. 0/0 atau: :/0 ke port 3389

[EC2.15] Subnet Amazon EC2 seharusnya tidak secara otomatis menetapkan alamat IP publik

[EC2.16] Daftar Kontrol Akses Jaringan yang Tidak Digunakan harus dihapus

[EC2.17] Instans Amazon EC2 tidak boleh menggunakan beberapa ENI

[EC2.18] Grup keamanan seharusnya hanya mengizinkan lalu lintas masuk yang tidak terbatas untuk port resmi

[EC2.19] Kelompok keamanan tidak boleh mengizinkan akses tidak terbatas ke port dengan risiko tinggi

[EC2.20] Kedua terowongan VPN untuk AWS Site-to-Site Koneksi VPN harus aktif

[EC2.21] ACL jaringan seharusnya tidak mengizinkan masuknya dari 0.0.0. 0/0 ke port 22 atau port 3389

[EC2.22] Grup keamanan Amazon EC2 yang tidak digunakan harus dihapus

[EC2.23] Amazon EC2 Transit Gateways seharusnya tidak secara otomatis menerima permintaan lampiran VPC

[EC2.24] Jenis instans paravirtual Amazon EC2 tidak boleh digunakan

[EC2.25] Templat peluncuran Amazon EC2 tidak boleh menetapkan IP publik ke antarmuka jaringan

[EC2.28] Volume EBS harus dicakup oleh rencana cadangan

[EC2.51] Titik akhir EC2 Client VPN harus mengaktifkan pencatatan koneksi klien

[EC2.53] Grup keamanan EC2 seharusnya tidak mengizinkan masuknya dari 0.0.0. 0/0 ke port administrasi server jarak jauh

[EC2.54] Grup keamanan EC2 tidak boleh mengizinkan masuknya dari: :/0 ke port administrasi server jarak jauh

[EC2.170] Template peluncuran EC2 harus menggunakan Layanan Metadata Instans Versi 2 (IMDSv2)

[EC2.171] Koneksi VPN EC2 seharusnya mengaktifkan logging

[EC2.173] Permintaan Armada Spot EC2 dengan parameter peluncuran harus mengaktifkan enkripsi untuk volume EBS terlampir

[EC2.174] Set opsi EC2 DHCP harus ditandai

[EC2.176] Daftar awalan EC2 harus ditandai

[EC2.177] Sesi cermin lalu lintas EC2 harus ditandai

[EC2.178] Filter cermin lalu lintas EC2 harus ditandai

[EC2.180] Antarmuka jaringan EC2 seharusnya mengaktifkan pemeriksaan source/destination

[EC2.181] Templat peluncuran EC2 harus mengaktifkan enkripsi untuk volume EBS terlampir

[ECR.1] Repositori pribadi ECR harus memiliki pemindaian gambar yang dikonfigurasi

[ECR.2] Repositori pribadi ECR harus memiliki kekekalan tag yang dikonfigurasi

[ECR.3] Repositori ECR harus memiliki setidaknya satu kebijakan siklus hidup yang dikonfigurasi

[ECS.2] Layanan ECS seharusnya tidak memiliki alamat IP publik yang ditetapkan kepadanya secara otomatis

[ECS.3] Definisi tugas ECS tidak boleh membagikan namespace proses host

[ECS.4] Kontainer ECS harus berjalan sebagai non-istimewa

[ECS.5] Definisi tugas ECS harus mengonfigurasi wadah agar dibatasi pada akses hanya-baca ke sistem file root

[ECS.8] Rahasia tidak boleh diteruskan sebagai variabel lingkungan kontainer

[ECS.9] Definisi tugas ECS harus memiliki konfigurasi logging

[ECS.10] Layanan ECS Fargate harus berjalan pada versi platform Fargate terbaru

[ECS.12] Cluster ECS harus menggunakan Wawasan Kontainer

[ECS.16] Kumpulan tugas ECS seharusnya tidak secara otomatis menetapkan alamat IP publik

[ECS.17] Definisi tugas ECS tidak boleh menggunakan mode jaringan host

[EFS.1] Sistem File Elastis harus dikonfigurasi untuk mengenkripsi data file saat istirahat menggunakan AWS KMS

[EFS.2] Volume Amazon EFS harus dalam rencana cadangan

[EFS.3] Titik akses EFS harus menegakkan direktori root

[EFS.4] Titik akses EFS harus menegakkan identitas pengguna

[EFS.6] Target pemasangan EFS tidak boleh dikaitkan dengan subnet yang menetapkan alamat IP publik saat diluncurkan

[EFS.7] Sistem file EFS harus mengaktifkan pencadangan otomatis

[EFS.8] Sistem file EFS harus dienkripsi saat istirahat

[EKS.1] Titik akhir klaster EKS seharusnya tidak dapat diakses publik

[EKS.2] Kluster EKS harus berjalan pada versi Kubernetes yang didukung

[EKS.8] Kluster EKS harus mengaktifkan pencatatan audit

[ElastiCache.1] ElastiCache (Redis OSS) cluster harus mengaktifkan pencadangan otomatis

[ElastiCache.2] ElastiCache cluster harus mengaktifkan peningkatan versi minor otomatis

[ElastiCache.3] grup ElastiCache replikasi harus mengaktifkan failover otomatis

[ElastiCache.4] grup ElastiCache replikasi harus dienkripsi saat istirahat

[ElastiCache.5] grup ElastiCache replikasi harus dienkripsi dalam perjalanan

[ElastiCache.6] ElastiCache (Redis OSS) grup replikasi dari versi sebelumnya harus mengaktifkan Redis OSS AUTH

[ElastiCache.7] ElastiCache cluster tidak boleh menggunakan grup subnet default

[ElasticBeanstalk.1] Lingkungan Elastic Beanstalk seharusnya mengaktifkan pelaporan kesehatan yang ditingkatkan

[ElasticBeanstalk.2] Pembaruan platform yang dikelola Elastic Beanstalk harus diaktifkan

[ElasticBeanstalk.3] Elastic Beanstalk harus mengalirkan log ke CloudWatch

[ELB.1] Application Load Balancer harus dikonfigurasi untuk mengalihkan semua permintaan HTTP ke HTTPS

[ELB.2] Classic Load Balancer dengan SSL/HTTPS pendengar harus menggunakan sertifikat yang disediakan oleh AWS Certificate Manager

[ELB.3] Pendengar Classic Load Balancer harus dikonfigurasi dengan penghentian HTTPS atau TLS

[ELB.4] Application Load Balancer harus dikonfigurasi untuk menjatuhkan header http yang tidak valid

[ELB.5] Pencatatan Aplikasi dan Classic Load Balancer harus diaktifkan

[ELB.6] Application, Gateway, dan Network Load Balancers harus mengaktifkan perlindungan penghapusan

[ELB.7] Classic Load Balancers harus mengaktifkan pengurasan koneksi

[ELB.8] Classic Load Balancer dengan pendengar SSL harus menggunakan kebijakan keamanan yang telah ditentukan sebelumnya yang memiliki kekuatan AWS Config buang air kecil

[ELB.9] Penyeimbang Beban Klasik harus mengaktifkan penyeimbangan beban lintas zona

[ELB.10] Classic Load Balancer harus menjangkau beberapa Availability Zone

[ELB.12] Application Load Balancer harus dikonfigurasi dengan mode mitigasi desync defensif atau paling ketat

[ELB.13] Penyeimbang Beban Aplikasi, Jaringan, dan Gateway harus mencakup beberapa Availability Zone

[ELB.14] Classic Load Balancer harus dikonfigurasi dengan mode mitigasi desync defensif atau paling ketat

[ELB.16] Application Load Balancer harus dikaitkan dengan AWS WAF web ACL

[ELB.17] Aplikasi dan Network Load Balancer dengan pendengar harus menggunakan kebijakan keamanan yang direkomendasikan

[ELB.18] Pendengar Aplikasi dan Network Load Balancer harus menggunakan protokol aman untuk mengenkripsi data dalam perjalanan

[ELB.21] Grup sasaran Aplikasi dan Network Load Balancer harus menggunakan protokol pemeriksaan kesehatan terenkripsi

[ELB.22] Kelompok target ELB harus menggunakan protokol transportasi terenkripsi

[EMR.1] Node utama klaster EMR Amazon seharusnya tidak memiliki alamat IP publik

[EMR.2] Pengaturan akses publik blok EMR Amazon harus diaktifkan

[EMR.3] Konfigurasi keamanan Amazon EMR harus dienkripsi saat istirahat

[EMR.4] Konfigurasi keamanan Amazon EMR harus dienkripsi saat transit

[ES.1] Domain Elasticsearch harus mengaktifkan enkripsi saat istirahat

[ES.2] Domain Elasticsearch tidak boleh diakses publik

[ES.3] Domain Elasticsearch harus mengenkripsi data yang dikirim antar node

[ES.4] Kesalahan domain Elasticsearch yang masuk ke CloudWatch Log harus diaktifkan

[ES.5] Domain Elasticsearch harus mengaktifkan pencatatan audit

[ES.6] Domain Elasticsearch harus memiliki setidaknya tiga node data

[ES.7] Domain Elasticsearch harus dikonfigurasi dengan setidaknya tiga node master khusus

[ES.8] Koneksi ke domain Elasticsearch harus dienkripsi menggunakan kebijakan keamanan TLS terbaru

[EventBridge.3] bus acara EventBridge khusus harus memiliki kebijakan berbasis sumber daya terlampir

[EventBridge.4] titik akhir EventBridge global harus mengaktifkan replikasi acara

[FSx.1] FSx untuk sistem file OpenZFS harus dikonfigurasi untuk menyalin tag ke cadangan dan volume

[FSx.2] Sistem file FSx for Lustre harus dikonfigurasi untuk menyalin tag ke cadangan

[FSx.3] FSx untuk sistem file OpenZFS harus dikonfigurasi untuk penerapan Multi-AZ

[FSx.5] Sistem file FSx for Windows File Server harus dikonfigurasi untuk penyebaran Multi-AZ

[Glue.3] AWS Glue transformasi pembelajaran mesin harus dienkripsi saat istirahat

[Glue.4] AWS Glue Pekerjaan percikan harus berjalan pada versi yang didukung AWS Glue

[GuardDuty.1] GuardDuty harus diaktifkan

[GuardDuty.5] Pemantauan Log Audit GuardDuty EKS harus diaktifkan

[GuardDuty.6] Perlindungan GuardDuty Lambda harus diaktifkan

[GuardDuty.7] GuardDuty EKS Runtime Monitoring harus diaktifkan

[GuardDuty.8] Perlindungan GuardDuty Malware untuk EC2 harus diaktifkan

[GuardDuty.9] Perlindungan GuardDuty RDS harus diaktifkan

[GuardDuty.10] Perlindungan GuardDuty S3 harus diaktifkan

[GuardDuty.11] GuardDuty Runtime Monitoring harus diaktifkan

[GuardDuty.12] GuardDuty ECS Runtime Monitoring harus diaktifkan

[GuardDuty.13] GuardDuty EC2 Runtime Monitoring harus diaktifkan

[IAM.1] Kebijakan IAM seharusnya tidak mengizinkan hak administratif “*” penuh

[IAM.2] Pengguna IAM seharusnya tidak memiliki kebijakan IAM yang dilampirkan

[IAM.3] Kunci akses pengguna IAM harus diputar setiap 90 hari atau kurang

[IAM.4] Kunci akses pengguna root IAM seharusnya tidak ada

[IAM.5] MFA harus diaktifkan untuk semua pengguna IAM yang memiliki kata sandi konsol

[IAM.6] MFA perangkat keras harus diaktifkan untuk pengguna root

[IAM.7] Kebijakan kata sandi untuk pengguna IAM harus memiliki konfigurasi yang kuat

[IAM.8] Kredensi pengguna IAM yang tidak digunakan harus dihapus

[IAM.9] MFA harus diaktifkan untuk pengguna root

[IAM.10] Kebijakan kata sandi untuk pengguna IAM harus memiliki konfigurasi yang kuat

[IAM.11] Pastikan kebijakan kata sandi IAM membutuhkan setidaknya satu huruf besar

[IAM.12] Pastikan kebijakan kata sandi IAM membutuhkan setidaknya satu huruf kecil

[IAM.13] Pastikan kebijakan kata sandi IAM membutuhkan setidaknya satu simbol

[IAM.14] Pastikan kebijakan kata sandi IAM membutuhkan setidaknya satu nomor

[IAM.15] Pastikan kebijakan kata sandi IAM memerlukan panjang kata sandi minimum 14 atau lebih

[IAM.16] Pastikan kebijakan kata sandi IAM mencegah penggunaan kembali kata sandi

[IAM.17] Pastikan kebijakan kata sandi IAM kedaluwarsa kata sandi dalam waktu 90 hari atau kurang

[IAM.18] Pastikan peran dukungan telah dibuat untuk mengelola insiden dengan AWS Dukungan

[IAM.19] MFA harus diaktifkan untuk semua pengguna IAM

[IAM.21] Kebijakan terkelola pelanggan IAM yang Anda buat seharusnya tidak mengizinkan tindakan wildcard untuk layanan

[IAM.22] Kredensi pengguna IAM yang tidak digunakan selama 45 hari harus dihapus

[IAM.26] SSL/TLS Sertifikat kedaluwarsa yang dikelola di IAM harus dihapus

[IAM.27] Identitas IAM seharusnya tidak memiliki kebijakan yang dilampirkan AWSCloudShellFullAccess

[IAM.28] IAM Access Analyzer penganalisis akses eksternal harus diaktifkan

[Inspector.1] Pemindaian Amazon Inspector EC2 harus diaktifkan

[Inspector.2] Pemindaian ECR Amazon Inspector harus diaktifkan

[Inspector.3] Pemindaian kode Amazon Inspector Lambda harus diaktifkan

[Inspector.4] Pemindaian standar Amazon Inspector Lambda harus diaktifkan

[IoTTwinMaker.2] AWS TwinMaker Ruang kerja IoT harus diberi tag

[IVS.1] Pasangan kunci pemutaran IVS harus ditandai

[IVS.2] Konfigurasi perekaman IVS harus ditandai

[Keyspaces.1] Ruang kunci Amazon Keyspaces harus diberi tag

[Kinesis.1] Aliran Kinesis harus dienkripsi saat istirahat

[KMS.1] Kebijakan yang dikelola pelanggan IAM tidak boleh mengizinkan tindakan dekripsi pada semua kunci KMS

[KMS.2] Prinsipal IAM seharusnya tidak memiliki kebijakan inline IAM yang memungkinkan tindakan dekripsi pada semua kunci KMS

[KMS.3] AWS KMS keys tidak boleh dihapus secara tidak sengaja

[KMS.4] AWS KMS rotasi kunci harus diaktifkan

[KMS.5] Kunci KMS tidak boleh diakses publik

[Lambda.1] Kebijakan fungsi Lambda harus melarang akses publik

[Lambda.2] Fungsi Lambda harus menggunakan runtime yang didukung

[Lambda.3] Fungsi Lambda harus dalam VPC

[Lambda.5] Fungsi VPC Lambda harus beroperasi di beberapa Availability Zone

[Lambda.7] Fungsi Lambda seharusnya AWS X-Ray penelusuran aktif diaktifkan

[Macie.1] Amazon Macie harus diaktifkan

[Macie.2] Penemuan data sensitif otomatis Macie harus diaktifkan

[MQ.2] Pialang ActiveMQ harus mengalirkan log audit ke CloudWatch

[MQ.5] Broker ActiveMQ harus menggunakan mode penerapan active/standby

[MQ.6] Broker RabbitMQ harus menggunakan mode penerapan cluster

[MSK.1] Cluster MSK harus dienkripsi dalam perjalanan di antara node broker

[MSK.2] Kluster MSK seharusnya memiliki pemantauan yang ditingkatkan yang dikonfigurasi

[MSK.3] Konektor MSK Connect harus dienkripsi saat transit

[MSK.4] Kluster MSK harus menonaktifkan akses publik

[MSK.5] Konektor MSK seharusnya mengaktifkan logging

[MSK.6] Kluster MSK harus menonaktifkan akses yang tidak diautentikasi

[Neptune.1] Cluster DB Neptunus harus dienkripsi saat istirahat

[Neptune.2] Cluster DB Neptunus harus menerbitkan log audit ke Log CloudWatch

[Neptune.3] Snapshot cluster DB Neptunus seharusnya tidak bersifat publik

[Neptune.4] Cluster DB Neptunus harus mengaktifkan perlindungan penghapusan

[Neptune.5] Cluster DB Neptunus harus mengaktifkan cadangan otomatis

[Neptune.6] Snapshot cluster DB Neptunus harus dienkripsi saat istirahat

[Neptune.7] Cluster DB Neptunus harus mengaktifkan otentikasi basis data IAM

[Neptune.8] Cluster DB Neptunus harus dikonfigurasi untuk menyalin tag ke snapshot

[Neptune.9] Cluster DB Neptunus harus digunakan di beberapa Availability Zone

[NetworkFirewall.1] Firewall Firewall Jaringan harus digunakan di beberapa Availability Zone

[NetworkFirewall.2] Pencatatan Firewall Jaringan harus diaktifkan

[NetworkFirewall.3] Kebijakan Network Firewall harus memiliki setidaknya satu kelompok aturan yang terkait

[NetworkFirewall.4] Tindakan stateless default untuk kebijakan Network Firewall harus drop atau forward untuk paket penuh

[NetworkFirewall.5] Tindakan stateless default untuk kebijakan Network Firewall harus drop atau forward untuk paket yang terfragmentasi

[NetworkFirewall.6] Grup aturan Stateless Network Firewall tidak boleh kosong

[NetworkFirewall.9] Firewall Firewall Jaringan harus mengaktifkan perlindungan penghapusan

[NetworkFirewall.10] Firewall Firewall Jaringan harus mengaktifkan perlindungan perubahan subnet

[Opensearch.1] OpenSearch domain harus mengaktifkan enkripsi saat istirahat

[Opensearch.2] OpenSearch domain tidak boleh diakses publik

[Opensearch.3] OpenSearch domain harus mengenkripsi data yang dikirim antar node

[Opensearch.4] login kesalahan OpenSearch domain ke CloudWatch Log harus diaktifkan

[Opensearch.5] OpenSearch domain harus mengaktifkan pencatatan audit

[Opensearch.6] OpenSearch domain harus memiliki setidaknya tiga node data

[Opensearch.7] OpenSearch domain harus mengaktifkan kontrol akses berbutir halus

[Opensearch.8] Koneksi ke OpenSearch domain harus dienkripsi menggunakan kebijakan keamanan TLS terbaru

[Opensearch.10] OpenSearch domain harus menginstal pembaruan perangkat lunak terbaru

[Opensearch.11] OpenSearch domain harus memiliki setidaknya tiga node primer khusus

[PCA.1] AWS Private CA otoritas sertifikat root harus dinonaktifkan

[RDS.1] Snapshot RDS harus pribadi

[RDS.2] Instans RDS DB harus melarang akses publik, sebagaimana ditentukan oleh konfigurasi PubliclyAccessible

[RDS.3] Instans RDS DB harus mengaktifkan enkripsi saat istirahat

[RDS.4] Snapshot cluster RDS dan snapshot database harus dienkripsi saat istirahat

[RDS.5] Instans RDS DB harus dikonfigurasi dengan beberapa Availability Zone

[RDS.6] Pemantauan yang ditingkatkan harus dikonfigurasi untuk instans RDS DB

[RDS.7] Cluster RDS harus mengaktifkan perlindungan penghapusan

[RDS.8] Instans RDS DB harus mengaktifkan perlindungan penghapusan

[RDS.9] Instans RDS DB harus menerbitkan log ke Log CloudWatch

[RDS.10] Otentikasi IAM harus dikonfigurasi untuk instance RDS

[RDS.11] Instans RDS harus mengaktifkan pencadangan otomatis

[RDS.12] Otentikasi IAM harus dikonfigurasi untuk cluster RDS

[RDS.13] Peningkatan versi minor otomatis RDS harus diaktifkan

[RDS.14] Cluster Amazon Aurora seharusnya mengaktifkan backtracking

[RDS.15] Cluster RDS DB harus dikonfigurasi untuk beberapa Availability Zone

[RDS.16] Cluster Aurora DB harus dikonfigurasi untuk menyalin tag ke snapshot DB

[RDS.17] Instans RDS DB harus dikonfigurasi untuk menyalin tag ke snapshot

[RDS.19] Langganan pemberitahuan acara RDS yang ada harus dikonfigurasi untuk peristiwa klaster kritis

[RDS.20] Langganan pemberitahuan acara RDS yang ada harus dikonfigurasi untuk peristiwa instance database penting

[RDS.21] Langganan pemberitahuan acara RDS harus dikonfigurasi untuk peristiwa grup parameter basis data kritis

[RDS.22] Langganan pemberitahuan acara RDS harus dikonfigurasi untuk acara grup keamanan basis data penting

[RDS.23] Instans RDS tidak boleh menggunakan port default mesin database

[RDS.24] Kluster Database RDS harus menggunakan nama pengguna administrator khusus

[RDS.25] Contoh database RDS harus menggunakan nama pengguna administrator khusus

[RDS.26] Instans RDS DB harus dilindungi oleh rencana cadangan

[RDS.27] Cluster RDS DB harus dienkripsi saat istirahat

[RDS.34] Cluster Aurora MySQL DB harus menerbitkan log audit ke Log CloudWatch

[RDS.35] Cluster RDS DB harus mengaktifkan peningkatan versi minor otomatis

[RDS.36] RDS untuk instance PostgreSQL DB harus menerbitkan log ke Log CloudWatch

[RDS.37] Cluster Aurora PostgreSQL DB harus menerbitkan log ke Log CloudWatch

[RDS.38] RDS untuk instance PostgreSQL DB harus dienkripsi saat transit

[RDS.39] RDS untuk instance MySQL DB harus dienkripsi saat transit

[RDS.41] RDS untuk instance SQL Server DB harus dienkripsi saat transit

[RDS.44] RDS untuk instance MariaDB DB harus dienkripsi saat transit

[RDS.45] Cluster Aurora MySQL DB harus mengaktifkan pencatatan audit

[Redshift.1] Cluster Amazon Redshift harus melarang akses publik

[Redshift.2] Koneksi ke cluster Amazon Redshift harus dienkripsi saat transit

[Redshift.3] Cluster Amazon Redshift harus mengaktifkan snapshot otomatis

[Redshift.4] Cluster Amazon Redshift harus mengaktifkan pencatatan audit

[Redshift.6] Amazon Redshift harus mengaktifkan peningkatan otomatis ke versi utama

[Redshift.7] Cluster Redshift harus menggunakan perutean VPC yang ditingkatkan

[Redshift.8] Cluster Amazon Redshift tidak boleh menggunakan nama pengguna Admin default

[Redshift.10] Cluster Redshift harus dienkripsi saat istirahat

[Redshift.15] Grup keamanan Redshift harus mengizinkan masuknya port cluster hanya dari asal yang dibatasi

[Redshift.16] Grup subnet cluster Redshift harus memiliki subnet dari beberapa Availability Zone

[Redshift.18] Cluster Redshift harus mengaktifkan penerapan Multi-AZ

[RedshiftServerless.1] Grup kerja Amazon Redshift Tanpa Server harus menggunakan perutean VPC yang disempurnakan

[RedshiftServerless.2] Koneksi ke grup kerja Redshift Serverless harus diperlukan untuk menggunakan SSL

[RedshiftServerless.3] Kelompok kerja Redshift Tanpa Server harus melarang akses publik

[RedshiftServerless.6] Ruang nama Redshift Tanpa Server harus mengekspor log ke Log CloudWatch

[Route53.2] Rute 53 zona yang dihosting publik harus mencatat kueri DNS

[S3.1] Bucket tujuan umum S3 harus mengaktifkan pengaturan akses publik blok

[S3.2] Bucket tujuan umum S3 harus memblokir akses baca publik

[S3.3] Bucket tujuan umum S3 harus memblokir akses tulis publik

[S3.5] Bucket tujuan umum S3 harus memerlukan permintaan untuk menggunakan TLS

[S3.6] Kebijakan bucket tujuan umum S3 harus membatasi akses ke yang lain Akun AWS

[S3.7] Ember tujuan umum S3 harus menggunakan replikasi lintas wilayah

[S3.8] Bucket tujuan umum S3 harus memblokir akses publik

[S3.9] Bucket tujuan umum S3 harus mengaktifkan pencatatan akses server

[S3.10] Bucket tujuan umum S3 dengan versi diaktifkan harus memiliki konfigurasi Siklus Hidup

[S3.11] Bucket tujuan umum S3 harus mengaktifkan pemberitahuan acara

[S3.12] ACL tidak boleh digunakan untuk mengelola akses pengguna ke bucket tujuan umum S3

[S3.13] Bucket tujuan umum S3 harus memiliki konfigurasi Siklus Hidup

[S3.14] Bucket tujuan umum S3 harus mengaktifkan versi

[S3.15] Bucket tujuan umum S3 harus mengaktifkan Object Lock

[S3.17] Ember tujuan umum S3 harus dienkripsi saat istirahat AWS KMS keys

[S3.19] Titik akses S3 harus mengaktifkan pengaturan akses publik blok

[S3.20] Bucket tujuan umum S3 harus mengaktifkan penghapusan MFA

[S3.22] Bucket tujuan umum S3 harus mencatat peristiwa penulisan tingkat objek

[S3.23] Bucket tujuan umum S3 harus mencatat peristiwa pembacaan tingkat objek

[S3.24] Poin Multi-Region Akses S3 harus mengaktifkan pengaturan akses publik blok

[SageMaker.1] Instans SageMaker notebook Amazon seharusnya tidak memiliki akses internet langsung

[SageMaker.2] instance SageMaker notebook harus diluncurkan dalam VPC khusus

[SageMaker.3] Pengguna seharusnya tidak memiliki akses root ke instance SageMaker notebook

[SageMaker.4] varian produksi SageMaker titik akhir harus memiliki jumlah instance awal yang lebih besar dari 1

[SageMaker.5] SageMaker model harus mengaktifkan isolasi jaringan

[SageMaker.8] instance SageMaker notebook harus berjalan pada platform yang didukung

[SecretsManager.1] Rahasia Secrets Manager harus mengaktifkan rotasi otomatis

[SecretsManager.2] Rahasia Secrets Manager yang dikonfigurasi dengan rotasi otomatis harus berhasil diputar

[SecretsManager.3] Hapus rahasia Secrets Manager yang tidak digunakan

[SecretsManager.4] Rahasia Secrets Manager harus diputar dalam jumlah hari tertentu

[ServiceCatalog.1] Portofolio Service Catalog harus dibagikan dalam AWS organisasi saja

[SNS.1] Topik SNS harus dienkripsi saat istirahat menggunakan AWS KMS

[SNS.4] Kebijakan akses topik SNS seharusnya tidak mengizinkan akses publik

[SQS.1] Antrian Amazon SQS harus dienkripsi saat istirahat

[SQS.3] Kebijakan akses antrian SQS seharusnya tidak mengizinkan akses publik

[SSM.1] Instans Amazon EC2 harus dikelola oleh AWS Systems Manager

[SSM.2] Instans Amazon EC2 yang dikelola oleh Systems Manager harus memiliki status kepatuhan patch COMPLIANT setelah instalasi patch

[SSM.3] Instans Amazon EC2 yang dikelola oleh Systems Manager harus memiliki status kepatuhan asosiasi COMPLIANT

[SSM.4] Dokumen SSM seharusnya tidak bersifat publik

[SSM.6] Otomatisasi SSM seharusnya mengaktifkan CloudWatch pencatatan

[SSM.7] Dokumen SSM harus mengaktifkan pengaturan blok berbagi publik

[StepFunctions.1] Mesin status Step Functions seharusnya mengaktifkan logging

[Transfer.2] Server Transfer Family tidak boleh menggunakan protokol FTP untuk koneksi titik akhir

[Transfer.3] Konektor Transfer Family seharusnya mengaktifkan logging

[Transfer.4] Perjanjian Transfer Family harus ditandai

[Transfer.6] Konektor Transfer Family harus diberi tag

[WAF.1] AWS WAF Pencatatan ACL Web Global Klasik harus diaktifkan

[WAF.2] AWS WAF Aturan Regional Klasik harus memiliki setidaknya satu syarat

[WAF.3] AWS WAF Kelompok aturan Regional klasik harus memiliki setidaknya satu aturan

[WAF.4] AWS WAF ACL web Regional Klasik harus memiliki setidaknya satu aturan atau grup aturan

[WAF.6] AWS WAF Aturan global klasik harus memiliki setidaknya satu syarat

[WAF.7] AWS WAF Kelompok aturan global klasik harus memiliki setidaknya satu aturan

[WAF.8] AWS WAF ACL web global klasik harus memiliki setidaknya satu aturan atau grup aturan

[WAF.10] AWS WAF ACL web harus memiliki setidaknya satu aturan atau kelompok aturan

[WAF.11] AWS WAF pencatatan ACL web harus diaktifkan

[WAF.12] AWS WAF aturan harus mengaktifkan CloudWatch metrik

[WorkSpaces.1] volume WorkSpaces pengguna harus dienkripsi saat istirahat

[WorkSpaces.2] volume WorkSpaces root harus dienkripsi saat istirahat