Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

NISTSP 800-53 Rev. 5 nel Security Hub

NISTSP 800-53 Rev. 5 è un framework di sicurezza e conformità informatica sviluppato dal National Institute of Standards and Technology (NIST), un'agenzia che fa parte del Dipartimento del Commercio degli Stati Uniti. Questo framework di conformità consente di proteggere la disponibilità, la riservatezza e l'integrità dei sistemi informativi e delle risorse critiche. Le agenzie e gli appaltatori del governo federale degli Stati Uniti devono conformarsi allo NIST SP 800-53 per proteggere i propri sistemi, ma le aziende private possono utilizzarlo volontariamente come quadro guida per ridurre i rischi di sicurezza informatica.

Security Hub fornisce controlli che supportano determinati requisiti NIST SP 800-53. Questi controlli vengono valutati tramite controlli di sicurezza automatizzati. I controlli Security Hub non supportano i requisiti NIST SP 800-53 che richiedono controlli manuali. Inoltre, i controlli Security Hub supportano solo i requisiti automatizzati NIST SP 800-53 elencati come Requisiti correlati nei dettagli di ciascun controllo. Scegli un controllo dal seguente elenco per visualizzarne i dettagli. I requisiti correlati non menzionati nei dettagli di controllo non sono attualmente supportati da Security Hub.

A differenza di altri framework, NIST SP 800-53 non è prescrittivo su come valutare i suoi requisiti. Invece, il framework fornisce linee guida e i controlli Security Hub NIST SP 800-53 ne rappresentano la comprensione da parte del servizio.

Se utilizzi l'integrazione di Security Hub con AWS Organizations per gestire centralmente più account e desideri abilitare in batch NIST SP 800-53 su tutti, puoi eseguire uno script multi-account di Security Hub dall'account amministratore.

Per ulteriori informazioni su NIST SP 800-53 Rev. 5, consulta il Computer Security Resource Center. NIST

Controlli che si applicano a NIST SP 800-53 Rev. 5

[Account.1] Le informazioni di contatto di sicurezza devono essere fornite per un Account AWS

[Account.2] Account AWS dovrebbe far parte di un AWS Organizations organizzazione

[ACM.1] I certificati ACM importati ed emessi devono essere rinnovati dopo un periodo di tempo specificato

[APIGateway.1] Il API gateway REST e la registrazione WebSocket API dell'esecuzione devono essere abilitati

[APIGateway.2] REST API Le fasi del API gateway devono essere configurate per utilizzare i SSL certificati per l'autenticazione del backend

[APIGateway.3] Le REST API fasi del API gateway devono avere AWS X-Ray tracciamento abilitato

[APIGateway.4] Il API gateway deve essere associato a un WAF sito Web ACL

[APIGateway.5] I dati REST API della cache del API gateway devono essere crittografati quando sono inattivi

[APIGateway.8] Le route API gateway devono specificare un tipo di autorizzazione

[APIGateway.9] La registrazione degli accessi deve essere configurata per API Gateway V2 Stages

[AppSync.5] AWS AppSync GraphQL non APIs deve essere autenticato con chiavi API

[AutoScaling.1] I gruppi di Auto Scaling associati a un sistema di bilanciamento del carico devono utilizzare controlli di integrità ELB

[AutoScaling.2] Il gruppo Amazon EC2 Auto Scaling dovrebbe coprire più zone di disponibilità

[AutoScaling.3] Le configurazioni di avvio del gruppo Auto Scaling devono EC2 configurare le istanze in modo da richiedere Instance Metadata Service versione 2 () IMDSv2

[Autoscaling.5] Le istanze EC2 Amazon avviate utilizzando le configurazioni di avvio del gruppo Auto Scaling non devono avere indirizzi IP pubblici

[AutoScaling.6] I gruppi di Auto Scaling devono utilizzare più tipi di istanze in più zone di disponibilità

[AutoScaling.9] I gruppi Amazon EC2 Auto Scaling devono utilizzare i modelli di lancio di Amazon EC2

[Backup.1] AWS Backup i punti di ripristino devono essere crittografati quando sono inattivi

CloudFront Le distribuzioni [CloudFront.1] devono avere un oggetto root predefinito configurato

[CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito

[CloudFront.4] le CloudFront distribuzioni devono avere configurato il failover di origine

[CloudFront.5] le CloudFront distribuzioni dovrebbero avere la registrazione abilitata

[CloudFront.6] le distribuzioni avrebbero dovuto essere abilitate CloudFront WAF

[CloudFront.7] CloudFront le distribuzioni devono utilizzare certificati/personalizzati SSL TLS

[CloudFront.8] le CloudFront distribuzioni dovrebbero utilizzare per soddisfare le richieste SNI HTTPS

[CloudFront.9] CloudFront le distribuzioni devono crittografare il traffico verso origini personalizzate

[CloudFront.10] CloudFront le distribuzioni non devono utilizzare SSL protocolli obsoleti tra edge location e origini personalizzate

[CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti

[CloudTrail.1] CloudTrail deve essere abilitato e configurato con almeno un percorso multiregionale che includa eventi di gestione di lettura e scrittura

[CloudTrail.2] CloudTrail dovrebbe avere la crittografia a riposo abilitata

[CloudTrail.4] la convalida dei file di CloudTrail registro dovrebbe essere abilitata

[CloudTrail.5] i CloudTrail trail devono essere integrati con Amazon Logs CloudWatch

[CloudWatch.15] gli CloudWatch allarmi devono avere azioni specificate configurate

[CloudWatch.16] i gruppi di CloudWatch log devono essere conservati per un periodo di tempo specificato

[CloudWatch.17] le azioni di CloudWatch allarme devono essere attivate

[CodeBuild.1] L'archivio dei sorgenti di CodeBuild Bitbucket non URLs deve contenere credenziali riservate

[CodeBuild.2] le variabili di ambiente CodeBuild del progetto non devono contenere credenziali di testo non crittografato

[CodeBuild.3] I log CodeBuild S3 devono essere crittografati

[CodeBuild.4] gli ambienti di CodeBuild progetto dovrebbero avere una registrazione AWS Config Durata

[Configurazione 1] AWS Config deve essere abilitato e utilizzare il ruolo collegato al servizio per la registrazione delle risorse

[DataFirehose.1] I flussi di distribuzione di Firehose devono essere crittografati quando sono inattivi

[DMS.1] Le istanze di replica del Database Migration Service non devono essere pubbliche

[DMS.6] le istanze di DMS replica devono avere l'aggiornamento automatico delle versioni secondarie abilitato

[DMS.7] le attività di DMS replica per il database di destinazione devono avere la registrazione abilitata

[DMS.8] le attività di DMS replica per il database di origine devono avere la registrazione abilitata

[DMS.9] gli DMS endpoint devono utilizzare SSL

[DMS.10] gli DMS endpoint per i database Neptune devono avere l'autorizzazione abilitata IAM

[DMS.11] gli DMS endpoint per MongoDB devono avere un meccanismo di autenticazione abilitato

[DMS.12] gli DMS endpoint per Redis OSS avrebbero dovuto essere abilitati TLS

[DocumentDB.1] I cluster Amazon DocumentDB devono essere crittografati quando sono inattivi

[DocumentDB.2] I cluster Amazon DocumentDB devono avere un periodo di conservazione dei backup adeguato

[DocumentDB.3] Le istantanee manuali dei cluster di Amazon DocumentDB non devono essere pubbliche

[DocumentDB.4] I cluster Amazon DocumentDB devono pubblicare i log di controllo su Logs CloudWatch

[DocumentDB.5] I cluster Amazon DocumentDB devono avere la protezione da eliminazione abilitata

[DynamoDB.1] Le tabelle DynamoDB dovrebbero scalare automaticamente la capacità in base alla domanda

[DynamoDB.2] Le tabelle DynamoDB dovrebbero avere il ripristino abilitato point-in-time

[DynamoDB.3] I cluster DynamoDB Accelerator () devono essere crittografati quando sono inattivi DAX

[DynamoDB.4] Le tabelle DynamoDB devono essere presenti in un piano di backup

[DynamoDB.6] Le tabelle DynamoDB devono avere la protezione da eliminazione abilitata

[DynamoDB.7] I cluster DynamoDB Accelerator devono essere crittografati in transito

[EC2.1] Le EBS istantanee di Amazon non devono essere ripristinabili pubblicamente

[EC2.2] i gruppi di sicurezza VPC predefiniti non devono consentire il traffico in entrata o in uscita

[EC2.3] I EBS volumi Amazon collegati devono essere crittografati quando sono inattivi

[EC2.4] EC2 Le istanze interrotte devono essere rimosse dopo un periodo di tempo specificato

[EC2.6] la registrazione VPC del flusso deve essere abilitata in tutto VPCs

[EC2.7] la crittografia EBS predefinita deve essere abilitata

[EC2.8] EC2 le istanze devono utilizzare Instance Metadata Service versione 2 () IMDSv2

[EC2.9] EC2 Le istanze Amazon non devono avere un indirizzo pubblico IPv4

[EC2.10] Amazon EC2 deve essere configurato per utilizzare gli VPC endpoint creati per il servizio Amazon EC2

[EC2.12] Amazon non utilizzato EC2 EIPs deve essere rimosso

[EC2.13] I gruppi di sicurezza non devono consentire l'ingresso da 0.0.0.0/0 o: :/0 alla porta 22

[EC2.15] Le EC2 sottoreti Amazon non devono assegnare automaticamente indirizzi IP pubblici

[EC2.16] Gli elenchi di controllo degli accessi alla rete non utilizzati devono essere rimossi

[EC2.17] EC2 Le istanze Amazon non devono utilizzare più istanze ENIs

[EC2.18] I gruppi di sicurezza devono consentire il traffico in entrata senza restrizioni solo per le porte autorizzate

[EC2.19] I gruppi di sicurezza non devono consentire l'accesso illimitato alle porte ad alto rischio

[EC2.20] Entrambi i VPN tunnel per un AWS La connessione da sito a sito dovrebbe essere attiva VPN

[EC2.21] La rete non ACLs dovrebbe consentire l'ingresso dalla porta 0.0.0.0/0 alla porta 22 o alla porta 3389

[EC2.23] Amazon EC2 Transit Gateways non dovrebbe accettare VPC automaticamente le richieste di allegati

[EC2.24] I tipi di istanze EC2 paravirtuali di Amazon non devono essere utilizzati

[EC2.25] I modelli di EC2 lancio di Amazon non devono assegnare interfacce IPs di rete pubbliche

[EC2.28] EBS i volumi devono essere coperti da un piano di backup

[EC2.51] VPN Gli endpoint EC2 client devono avere la registrazione delle connessioni client abilitata

[ECR.1] I repository ECR privati dovrebbero avere la scansione delle immagini configurata

[ECR.2] I repository ECR privati devono avere configurata l'immutabilità dei tag

[ECR.3] I ECR repository devono avere almeno una politica del ciclo di vita configurata

[ECS.1] Le definizioni delle ECS attività di Amazon devono avere modalità di rete e definizioni utente sicure.

[ECS.2] ECS ai servizi non devono essere assegnati automaticamente indirizzi IP pubblici

[ECS.3] le definizioni delle ECS attività non devono condividere lo spazio dei nomi dei processi dell'host

[ECS.4] ECS I contenitori devono essere eseguiti come non privilegiati

[ECS.5] ECS I contenitori devono essere limitati all'accesso in sola lettura ai filesystem root

[ECS.8] I segreti non devono essere passati come variabili di ambiente del contenitore

[ECS.9] le definizioni delle ECS attività devono avere una configurazione di registrazione

[ECS.10] I servizi ECS Fargate devono essere eseguiti sulla versione più recente della piattaforma Fargate

[ECS.12] ECS i cluster devono utilizzare Container Insights

[EFS.1] Elastic File System deve essere configurato per crittografare i dati dei file archiviati utilizzando AWS KMS

[EFS.2] EFS I volumi Amazon devono essere inclusi nei piani di backup

[EFS.3] i punti di EFS accesso devono applicare una directory principale

[EFS.4] i punti di EFS accesso devono imporre l'identità di un utente

[EFS.6] gli obiettivi di EFS montaggio non devono essere associati a una sottorete pubblica

[EKS.1] gli endpoint EKS del cluster non devono essere accessibili al pubblico

[EKS.2] EKS i cluster devono essere eseguiti su una versione di Kubernetes supportata

[EKS.3] i EKS cluster devono utilizzare segreti Kubernetes criptati

[EKS.8] i EKS cluster dovrebbero avere la registrazione di controllo abilitata

I cluster [ElastiCache.1] ElastiCache (RedisOSS) devono avere i backup automatici abilitati

[ElastiCache.2] ElastiCache (RedisOSS) i cluster dovrebbero avere gli aggiornamenti automatici delle versioni secondarie abilitati

[ElastiCache.3] i gruppi di ElastiCache replica devono avere il failover automatico abilitato

[ElastiCache.4] i gruppi di ElastiCache replica devono essere crittografati quando sono inattivi

[ElastiCache.5] i gruppi di ElastiCache replica devono essere crittografati in transito

[ElastiCache.6] I gruppi di replica ElastiCache (RedisOSS) delle versioni precedenti devono avere Redis abilitato OSS AUTH

[ElastiCache.7] i ElastiCache cluster non devono utilizzare il gruppo di sottoreti predefinito

[ElasticBeanstalk.1] Gli ambienti Elastic Beanstalk dovrebbero avere la reportistica sullo stato avanzata abilitata

[ElasticBeanstalk.2] Gli aggiornamenti della piattaforma gestita da Elastic Beanstalk devono essere abilitati

[ELB.1] Application Load Balancer deve essere configurato per HTTP reindirizzare tutte le richieste a HTTPS

[ELB.2] I sistemi Classic Load Balancer conSSL/HTTPSlistener devono utilizzare un certificato fornito da AWS Certificate Manager

[ELB.3] I listener Classic Load Balancer devono essere configurati con o terminazione HTTPS TLS

[ELB.4] L'Application Load Balancer deve essere configurato per eliminare le intestazioni http non valide

[ELB.5] La registrazione di Application e Classic Load Balancers deve essere abilitata

[ELB.6] Application, Gateway e Network Load Balancer devono avere la protezione da eliminazione abilitata

[ELB.7] I Classic Load Balancer devono avere abilitato il drenaggio della connessione

[ELB.8] I sistemi Classic Load Balancer con SSL listener devono utilizzare una politica di sicurezza predefinita con una durata elevata AWS Config

[ELB.9] I Classic Load Balancer devono avere il bilanciamento del carico tra zone abilitato

[ELB.10] Classic Load Balancer dovrebbe estendersi su più zone di disponibilità

[ELB.12] Application Load Balancer deve essere configurato con la modalità di mitigazione della desincronizzazione difensiva o più rigorosa

[ELB.13] I Load Balancer per applicazioni, reti e gateway devono estendersi su più zone di disponibilità

[ELB.14] Classic Load Balancer deve essere configurato con la modalità di mitigazione della desincronizzazione difensiva o più rigorosa

[ELB.16] Gli Application Load Balancer devono essere associati a un sito Web AWS WAF ACL

[EMR.1] I nodi primari EMR del cluster Amazon non devono avere indirizzi IP pubblici

[EMR.2] L'impostazione di EMR blocco dell'accesso pubblico di Amazon deve essere abilitata

[ES.1] I domini Elasticsearch devono avere la crittografia a riposo abilitata

[ES.2] I domini Elasticsearch non devono essere accessibili al pubblico

[ES.3] I domini Elasticsearch devono crittografare i dati inviati tra i nodi

[ES.4] La registrazione degli errori del dominio Elasticsearch nei log deve essere abilitata CloudWatch

[ES.5] I domini Elasticsearch devono avere la registrazione di controllo abilitata

[ES.6] I domini Elasticsearch devono avere almeno tre nodi di dati

[ES.7] I domini Elasticsearch devono essere configurati con almeno tre nodi master dedicati

[ES.8] Le connessioni ai domini Elasticsearch devono essere crittografate utilizzando la politica di sicurezza più recente TLS

[EventBridge.3] i bus di eventi EventBridge personalizzati dovrebbero avere una politica basata sulle risorse allegata

[EventBridge.4] EventBridge gli endpoint globali dovrebbero avere la replica degli eventi abilitata

[FSx.1] FSx per i ZFS file system Open deve essere configurato per copiare i tag su backup e volumi

[FSx.2] FSx per i file system Lustre deve essere configurato per copiare i tag nei backup

[GuardDuty.1] GuardDuty dovrebbe essere abilitato

[IAM.1] IAM le politiche non dovrebbero consentire i privilegi amministrativi completi di tipo «*»

[IAM.2] IAM gli utenti non dovrebbero avere politiche allegate IAM

[IAM.3] le chiavi di accesso IAM degli utenti devono essere ruotate ogni 90 giorni o meno

[IAM.4] la chiave di accesso per l'utente IAM root non dovrebbe esistere

[IAM.5] MFA deve essere abilitato per tutti IAM gli utenti che dispongono di una password di console

[IAM.6] L'hardware MFA deve essere abilitato per l'utente root

[IAM.7] Le politiche in materia di password per IAM gli utenti devono avere configurazioni solide

[IAM.8] Le credenziali IAM utente non utilizzate devono essere rimosse

[IAM.9] MFA deve essere abilitato per l'utente root

[IAM.19] MFA deve essere abilitato per tutti gli utenti IAM

[IAM.21] le politiche gestite dai IAM clienti che create non dovrebbero consentire azioni jolly per i servizi

[Kinesis.1] Gli stream Kinesis devono essere crittografati quando sono inattivi

[KMS.1] le politiche gestite dai IAM clienti non dovrebbero consentire azioni di decrittografia su tutte le chiavi KMS

[KMS.2] IAM i principali non dovrebbero avere politiche in IAM linea che consentano azioni di decrittografia su tutte le chiavi KMS

[.3] KMS AWS KMS keys non deve essere cancellato involontariamente

[KMS.4] AWS KMS la rotazione dei tasti dovrebbe essere abilitata

[Lambda.1] Le politiche delle funzioni Lambda dovrebbero vietare l'accesso pubblico

[Lambda.2] Le funzioni Lambda devono utilizzare runtime supportati

[Lambda.3] Le funzioni Lambda dovrebbero trovarsi in un VPC

[Lambda.5] Le funzioni VPC Lambda devono funzionare in più zone di disponibilità

[Macie.1] Amazon Macie dovrebbe essere abilitato

[Macie.2] Il rilevamento automatico dei dati sensibili di Macie deve essere abilitato

[MSK.1] MSK i cluster devono essere crittografati durante il transito tra i nodi broker

[MSK.2] i MSK cluster dovrebbero avere configurato un monitoraggio avanzato

[MQ.2] I broker ActiveMQ devono trasmettere i log di controllo a CloudWatch

[MQ.3] I broker Amazon MQ dovrebbero avere abilitato l'aggiornamento automatico delle versioni secondarie

[MQ.5] I broker ActiveMQ devono utilizzare la modalità di distribuzione attiva/standby

[MQ.6] I broker RabbitMQ dovrebbero utilizzare la modalità di distribuzione del cluster

[Neptune.1] I cluster Neptune DB devono essere crittografati a riposo

[Neptune.2] I cluster Neptune DB devono pubblicare i log di controllo su Logs CloudWatch

[Neptune.3] Le istantanee del cluster Neptune DB non devono essere pubbliche

[Neptune.4] I cluster Neptune DB devono avere la protezione da eliminazione abilitata

[Neptune.5] I cluster Neptune DB devono avere i backup automatici abilitati

[Neptune.6] Le istantanee del cluster Neptune DB devono essere crittografate quando sono inattive

[Neptune.7] I cluster Neptune DB devono avere l'autenticazione del database abilitata IAM

[Neptune.8] I cluster Neptune DB devono essere configurati per copiare i tag nelle istantanee

[Neptune.9] I cluster Neptune DB devono essere distribuiti su più zone di disponibilità

[NetworkFirewall.1] I firewall Network Firewall devono essere distribuiti su più zone di disponibilità

[NetworkFirewall.2] La registrazione del Network Firewall deve essere abilitata

[NetworkFirewall.3] Le policy di Network Firewall devono avere almeno un gruppo di regole associato

[NetworkFirewall.4] L'azione stateless predefinita per le policy del Network Firewall dovrebbe essere drop or forward per pacchetti completi

[NetworkFirewall.5] L'azione stateless predefinita per le policy del Network Firewall dovrebbe essere drop or forward per i pacchetti frammentati

[NetworkFirewall.6] Il gruppo di regole Stateless Network Firewall non deve essere vuoto

[NetworkFirewall.9] I firewall Network Firewall devono avere la protezione da eliminazione abilitata

I OpenSearch domini [Opensearch.1] devono avere la crittografia a riposo abilitata

I OpenSearch domini [Opensearch.2] non devono essere accessibili al pubblico

I OpenSearch domini [Opensearch.3] devono crittografare i dati inviati tra i nodi

La registrazione degli errori del OpenSearch dominio [Opensearch.4] nei log dovrebbe essere abilitata CloudWatch

I OpenSearch domini [Opensearch.5] devono avere la registrazione di controllo abilitata

I OpenSearch domini [Opensearch.6] devono avere almeno tre nodi di dati

I OpenSearch domini [Opensearch.7] devono avere un controllo degli accessi granulare abilitato

[Opensearch.8] Le connessioni ai domini devono essere crittografate utilizzando la politica di OpenSearch sicurezza più recente TLS

Nei OpenSearch domini [Opensearch.10] deve essere installato l'ultimo aggiornamento software

I OpenSearch domini [Opensearch.11] devono avere almeno tre nodi primari dedicati

[PCA.1] AWS Private CA l'autorità di certificazione principale deve essere disabilitata

[RDS.1] l'RDSistantanea deve essere privata

[RDS.2] Le istanze RDS DB dovrebbero vietare l'accesso pubblico, come determinato dalla configurazione PubliclyAccessible

[RDS.3] Le istanze RDS DB devono avere la crittografia a riposo abilitata

[RDS.4] Le istantanee RDS del cluster e le istantanee del database devono essere crittografate quando sono inattive

[RDS.5] Le istanze RDS DB devono essere configurate con più zone di disponibilità

[RDS.6] Il monitoraggio avanzato deve essere configurato per le istanze DB RDS

[RDS.7] RDS i cluster dovrebbero avere la protezione da eliminazione abilitata

[RDS.8] Le istanze RDS DB devono avere la protezione da eliminazione abilitata

[RDS.9] Le istanze RDS DB devono pubblicare i log in Logs CloudWatch

[RDS.10] IAM l'autenticazione deve essere configurata per le istanze RDS

[RDS.11] RDS le istanze devono avere i backup automatici abilitati

[RDS.12] IAM l'autenticazione deve essere configurata per i cluster RDS

[RDS.13] gli aggiornamenti RDS automatici delle versioni secondarie devono essere abilitati

[RDS.14] I cluster Amazon Aurora dovrebbero avere il backtracking abilitato

[RDS.15] I cluster RDS DB devono essere configurati per più zone di disponibilità

[RDS.16] I cluster RDS DB devono essere configurati per copiare i tag nelle istantanee

[RDS.17] Le istanze RDS DB devono essere configurate per copiare i tag nelle istantanee

Le RDS istanze [RDS.18] devono essere distribuite in un VPC

[RDS.19] Gli abbonamenti esistenti per la notifica RDS degli eventi devono essere configurati per gli eventi critici del cluster

[RDS.20] Le sottoscrizioni esistenti per le notifiche di RDS eventi devono essere configurate per gli eventi critici delle istanze di database

[RDS.21] È necessario configurare un abbonamento alle notifiche di RDS eventi per gli eventi dei gruppi di parametri critici del database

[RDS.22] È necessario configurare un abbonamento alle notifiche di RDS eventi per gli eventi critici dei gruppi di sicurezza del database

RDSLe istanze [RDS.23] non devono utilizzare una porta predefinita del motore di database

[RDS.24] I cluster di RDS database devono utilizzare un nome utente di amministratore personalizzato

[RDS.25] le istanze di RDS database devono utilizzare un nome utente di amministratore personalizzato

[RDS.26] Le istanze RDS DB devono essere protette da un piano di backup

[RDS.27] I cluster RDS DB devono essere crittografati quando sono inattivi

[RDS.34] Aurora I SQL miei cluster DB dovrebbero pubblicare i log di controllo in Logs CloudWatch

[RDS.35] Nei cluster RDS DB dovrebbe essere abilitato l'aggiornamento automatico delle versioni secondarie

[Redshift.1] I cluster Amazon Redshift dovrebbero vietare l'accesso pubblico

[Redshift.2] Le connessioni ai cluster Amazon Redshift devono essere crittografate in transito

[Redshift.3] I cluster Amazon Redshift devono avere le istantanee automatiche abilitate

[Redshift.4] I cluster Amazon Redshift devono avere la registrazione di controllo abilitata

[Redshift.6] Amazon Redshift dovrebbe avere gli upgrade automatici alle versioni principali abilitati

[Redshift.7] I cluster Redshift dovrebbero utilizzare un routing avanzato VPC

[Redshift.8] I cluster Amazon Redshift non devono utilizzare il nome utente amministratore predefinito

[Redshift.9] I cluster Redshift non devono utilizzare il nome di database predefinito

[Redshift.10] I cluster Redshift devono essere crittografati a riposo

[Route53.2] Le zone ospitate pubblicamente su Route 53 devono registrare le interrogazioni DNS

[S3.1] I bucket generici S3 devono avere le impostazioni di blocco dell'accesso pubblico abilitate

[S3.2] I bucket S3 per uso generico dovrebbero bloccare l'accesso pubblico in lettura

[S3.3] I bucket generici S3 dovrebbero bloccare l'accesso pubblico in scrittura

[S3.5] I bucket generici S3 devono richiedere l'utilizzo di richieste SSL

[S3.6] Le policy generiche relative ai bucket di S3 dovrebbero limitare l'accesso ad altri Account AWS

[S3.7] I bucket S3 per uso generico devono utilizzare la replica tra regioni

[S3.8] I bucket generici S3 dovrebbero bloccare l'accesso pubblico

[S3.9] I bucket generici S3 devono avere la registrazione degli accessi al server abilitata

[S3.10] I bucket generici S3 con il controllo delle versioni abilitato devono avere configurazioni del ciclo di vita

[S3.11] I bucket generici S3 devono avere le notifiche degli eventi abilitate

[S3.12] non ACLs deve essere usato per gestire l'accesso degli utenti ai bucket generici S3

[S3.13] I bucket S3 per uso generico devono avere configurazioni del ciclo di vita

[S3.14] I bucket generici S3 devono avere il controllo delle versioni abilitato

[S3.15] I bucket generici S3 devono avere Object Lock abilitato

[S3.17] I bucket generici S3 devono essere crittografati quando sono inattivi con AWS KMS keys

[S3.19] I punti di accesso S3 devono avere le impostazioni di blocco dell'accesso pubblico abilitate

[S3.20] I bucket generici S3 dovrebbero avere l'opzione di cancellazione abilitata MFA

[SageMaker.1] Le istanze di SageMaker notebook Amazon non devono avere accesso diretto a Internet

[SageMaker.2] le istanze di SageMaker notebook devono essere avviate in modo personalizzato VPC

[SageMaker.3] Gli utenti non devono avere accesso root alle SageMaker istanze dei notebook

[SageMaker.4] Le varianti di produzione di SageMaker endpoint devono avere un numero iniziale di istanze superiore a 1

[SecretsManager.1] I segreti di Secrets Manager devono avere la rotazione automatica abilitata

[SecretsManager.2] I segreti di Secrets Manager configurati con rotazione automatica dovrebbero ruotare correttamente

[SecretsManager.3] Rimuovi i segreti inutilizzati di Secrets Manager

[SecretsManager.4] I segreti di Secrets Manager devono essere ruotati entro un determinato numero di giorni

[ServiceCatalog.1] I portafogli Service Catalog devono essere condivisi all'interno di un AWS solo organizzazione

[SNS.1] SNS gli argomenti devono essere crittografati quando sono inattivi utilizzando AWS KMS

[SQS.1] Le SQS code di Amazon devono essere crittografate quando sono inattive

[SSM.1] EC2 Le istanze Amazon devono essere gestite da AWS Systems Manager

[SSM.2] EC2 Le istanze Amazon gestite da Systems Manager devono avere uno stato di conformità delle patch pari a COMPLIANT dopo l'installazione della patch

[SSM.3] EC2 Le istanze Amazon gestite da Systems Manager devono avere uno stato di conformità dell'associazione pari a COMPLIANT

[SSM.4] SSM i documenti non devono essere pubblici

[Transfer.2] I server Transfer Family non devono utilizzare il FTP protocollo per la connessione agli endpoint

[WAF.1] AWS WAF La ACL registrazione Web globale classica deve essere abilitata

[WAF.2] AWS WAF Le regole regionali classiche devono avere almeno una condizione

[WAF.3] AWS WAF I gruppi di regole regionali classici devono avere almeno una regola

[WAF.4] AWS WAF Il sito Web regionale classico ACLs deve avere almeno una regola o un gruppo di regole

[WAF.6] AWS WAF Le regole globali classiche devono avere almeno una condizione

[WAF.7] AWS WAF I gruppi di regole globali classici dovrebbero avere almeno una regola

[WAF.8] AWS WAF Il Web globale classico ACLs dovrebbe avere almeno una regola o un gruppo di regole

[WAF.10] AWS WAF il web ACLs dovrebbe avere almeno una regola o un gruppo di regole

[WAF.11] AWS WAF la ACL registrazione web dovrebbe essere abilitata

[WAF.12] AWS WAF le regole dovrebbero avere le CloudWatch metriche abilitate