Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
AWS Audit Manager fornisce due framework predefiniti che supportano il Center for Internet Security (CIS) Amazon Web Services (AWS) Benchmark v1.2.0.
Nota
-
Per informazioni sui framework Gestione audit che supportano la versione 1.3.0, consulta Benchmark AWS CIS v1.3.0.
-
Per informazioni sui framework Gestione audit che supportano la versione 1.4.0, consulta AWS CIS Benchmark v1.4.0.
Cos'è il CIS?
Il CIS è un'organizzazione no profit che ha sviluppato il CIS Foundations Benchmark. AWS
Per ulteriori informazioni, consultate i post del blog CIS AWS Foundations Benchmark sul Security Blog
Differenza tra i benchmark CIS e i controlli CIS
I benchmark CIS sono linee guida sulle best practice di sicurezza specifiche per i prodotti dei fornitori. Dai sistemi operativi ai servizi cloud e ai dispositivi di rete, le impostazioni applicate da un benchmark proteggono i sistemi specifici utilizzati dall'organizzazione. I controlli CIS sono linee guida di best practice fondamentali per i sistemi a livello di organizzazione da seguire per la protezione dai vettori di attacchi informatici noti.
Esempi
-
I benchmark CIS sono prescrittivi. In genere fanno riferimento a un'impostazione specifica che può essere rivista e impostata nel prodotto del fornitore.
Esempio: CIS AWS Benchmark v1.2.0 - Assicurati che l'MFA sia abilitata per l'account «utente root».
Questa raccomandazione fornisce indicazioni prescrittive su come verificarlo e su come impostarlo sull'account root dell'ambiente. AWS
-
I controlli CIS sono rivolti all'intera organizzazione. Non sono specifici per un solo prodotto del fornitore.
Esempio: CIS v7.1: utilizzo dell'autenticazione a più fattori per tutti gli accessi amministrativi
Questo controllo descrive cosa dovrebbe essere applicato all'interno dell'organizzazione. Non descrive come applicarlo ai sistemi e ai carichi di lavoro in esecuzione (indipendentemente da dove si trovino).
Utilizzo di questo framework
È possibile utilizzare i framework CIS AWS Benchmark v1.2 per prepararsi agli audit CIS. AWS Audit Manager Puoi inoltre personalizzare questi framework e i relativi controlli per supportare gli audit interni in base ai requisiti specifici.
Utilizzando i framework come punto di partenza, puoi creare una valutazione Gestione audit e iniziare a raccogliere prove rilevanti per l'audit. Dopo aver creato una valutazione, Audit Manager inizia a valutare le tue AWS risorse. La valutazione avviene sulla base dei controlli definiti nel framework CIS. Quando è il momento di fare un audit, tu o un delegato di tua scelta potete esaminare le prove raccolte da Gestione audit. A seconda dei casi, puoi sfogliare le cartelle delle prove della valutazione e scegliere quali prove includere nel report di valutazione. Oppure, se hai abilitato la ricerca delle prove, puoi cercare prove specifiche ed esportarle in formato CSV oppure creare un report di valutazione dai risultati della ricerca. In ogni caso, puoi utilizzare questo report di valutazione per dimostrare che i controlli funzionano come previsto.
I dettagli del framework sono i seguenti:
| Nome del framework in AWS Audit Manager | Numero di controlli automatici | Numero di controlli manuali | Numero di set di controllo |
|---|---|---|---|
| Centro per la sicurezza Internet (CIS) Amazon Web Services (AWS) Benchmark v1.2.0, livello 1 | 33 | 3 | 4 |
| Centro per la sicurezza Internet (CIS) Amazon Web Services (AWS) Benchmark v1.2.0, livello 1 e 2 | 45 | 4 | 4 |
Importante
Per garantire che questi framework raccolgano le prove previste AWS Security Hub, assicurati di aver abilitato tutti gli standard in Security Hub.
Per garantire che questi framework raccolgano le prove previste AWS Config, assicurati di abilitare le regole necessarie. AWS Config Per esaminare un elenco delle AWS Config regole utilizzate come mappature delle sorgenti dati per questi framework standard, scarica i seguenti file:
I controlli in questi framework non hanno lo scopo di verificare se i sistemi sono conformi alle migliori pratiche di CIS Benchmark. AWS Inoltre, non possono garantire che supererai un audit CIS. AWS Audit Manager non verifica automaticamente i controlli procedurali che richiedono la raccolta manuale delle prove.
Prerequisiti per l'utilizzo di questi framework
Molti controlli nei framework CIS AWS Benchmark v1.2 vengono utilizzati AWS Config come tipo di origine dati. Per supportare questi controlli, è necessario abilitarli AWS Config su tutti gli account in ciascuno dei Regione AWS quali è stato abilitato Audit Manager. È inoltre necessario assicurarsi che siano abilitate AWS Config regole specifiche e che tali regole siano configurate correttamente.
Le seguenti AWS Config regole e parametri sono necessari per raccogliere le prove corrette e acquisire uno stato di conformità accurato per il CIS AWS Foundations Benchmark v1.2. Per istruzioni su come abilitare o configurare una regola, consulta Lavorare con regole gestite AWS Config.
| AWS Config Regola obbligatoria | Parametri obbligatori |
|---|---|
| ACCESS_KEYS_ROTATED |
|
| CLOUD_TRAIL_CLOUD_WATCH_LOGS_ENABLED | Non applicabile |
| CLOUD_TRAIL_ENCRYPTION_ENABLED | Non applicabile |
| CLOUD_TRAIL_LOG_FILE_VALIDATION_ENABLED | Non applicabile |
| CMK_BACKING_KEY_ROTATION_ENABLED | Non applicabile |
| IAM_PASSWORD_POLICY |
|
| IAM_PASSWORD_POLICY |
|
| IAM_PASSWORD_POLICY |
|
| IAM_PASSWORD_POLICY |
|
| IAM_PASSWORD_POLICY |
|
| IAM_PASSWORD_POLICY |
|
| IAM_PASSWORD_POLICY |
|
|
|
| IAM_POLICY_NO_STATEMENTS_WITH_ADMIN_ACCESS | Non applicabile |
| IAM_ROOT_ACCESS_KEY_CHECK | Non applicabile |
| IAM_USER_NO_POLICIES_CHECK | Non applicabile |
| IAM_USER_UNUSED_CREDENTIALS_CHECK |
|
| INCOMING_SSH_DISABLED | Non applicabile |
| MFA_ENABLED_FOR_IAM_CONSOLE_ACCESS | Non applicabile |
| MULTI_REGION_CLOUD_TRAIL_ENABLED | Non applicabile |
| RESTRICTED_INCOMING_TRAFFIC |
|
| ROOT_ACCOUNT_HARDWARE_MFA_ENABLED | Non applicabile |
| ROOT_ACCOUNT_MFA_ENABLED | Non applicabile |
| S3_BUCKET_LOGGING_ENABLED |
|
| S3_BUCKET_PUBLIC_READ_PROHIBITED | Non applicabile |
| VPC_DEFAULT_SECURITY_GROUP_CLOSED | Non applicabile |
| VPC_FLOW_LOGS_ENABLED |
|
Passaggi successivi
Per istruzioni su come visualizzare informazioni dettagliate su questi framework, incluso l'elenco dei controlli standard che contengono, consulta. Revisione di un framework in AWS Audit Manager
Per istruzioni su come creare una valutazione utilizzando questi framework, consulta Creazione di una valutazione in AWS Audit Manager.
Per istruzioni su come personalizzare questi framework per supportare requisiti specifici, consulta. Creazione di una copia modificabile di un framework esistente in AWS Audit Manager
Risorse aggiuntive
-
Post del blog di CIS AWS Foundations Benchmark
sul Blog sulla sicurezza AWS
