APRA CPG 234 운영 모범 사례

적합성 팩은 관리형 또는 사용자 지정 AWS Config 규칙 및 AWS Config 문제 해결 작업을 사용하여 보안, 운영 또는 비용 최적화 거버넌스 검사를 생성할 수 있도록 설계된 범용 규정 준수 프레임워크를 제공합니다. 샘플 템플릿인 적합성 팩은 특정 거버넌스 또는 규정 준수 표준을 완벽하게 준수하도록 설계되지 않았습니다. 사용자는 서비스 이용이 관련 법률 및 규제 요구 사항을 충족하는지 여부를 스스로 평가할 책임이 있습니다.

다음은 호주 Prudential Regulation Authority(APRA) CPG 234와 AWS 관리형 Config 규칙 간의 샘플 매핑을 제공합니다. 각 Config 규칙은 특정 AWS 리소스에 적용되며 하나 이상의 APRA CPG 234 제어와 관련이 있습니다. APRA CPG 234 제어는 여러 Config 규칙과 관련이 있을 수 있습니다. 이러한 매핑과 관련된 자세한 내용 및 지침은 아래 표를 참조하세요.

이 샘플 적합성 팩 템플릿에는 호주 연방에서 생성한 APRA CPG 2019년 234일 내의 컨트롤에 대한 매핑이 포함되어 있으며, 이는 Prudential 연습 가이드: CPG 234 정보 보안에서 확인할 수 있습니다. Creative Commons Australia Attribution 3.0에 따른 프레임워크 라이선스 및 프레임워크에 대한 저작권 정보(보증 부인 포함)는 APRA | Copyright에서 확인할 수 있습니다.

제어 ID	AWS 구성 규칙	지침
36a	ec2-instance-managed-by-systems-관리자	AWS Systems Manager를 사용하여 Amazon Elastic Compute Cloud(Amazon EC2) 인스턴스를 관리하면 조직 내 소프트웨어 플랫폼 및 애플리케이션의 인벤토리를 생성할 수 있습니다. AWS Systems Manager를 사용하여 세부 시스템 구성, 운영 체제 패치 수준, 서비스 이름 및 유형, 소프트웨어 설치, 애플리케이션 이름, 게시자 및 버전, 환경에 대한 기타 세부 정보를 제공합니다.
36a	ec2-managedinstance-association-compliance-status-확인	AWS Systems Manager Associations를 사용하여 조직 내 소프트웨어 플랫폼 및 애플리케이션의 인벤토리를 확인할 수 있습니다. AWS Systems Manager는 관리형 인스턴스에 구성 상태를 할당하며 운영 체제 패치 수준, 소프트웨어 설치, 애플리케이션 구성 및 환경에 관한 기타 세부 정보의 기준선을 설정할 수 있도록 합니다.
36a	ec2-managedinstance-patch-compliance-status-확인	Amazon Elastic Compute Cloud(AmazonEC2) 취약성을 식별하고 문서화하는 데 도움이 되도록이 규칙을 활성화합니다. 규칙은 조직의 정책 및 절차에 따라 AWS Systems Manager에서 Amazon EC2 인스턴스 패치 규정 준수 여부를 확인합니다.
36b	ec2-instance-managed-by-systems-관리자	AWS Systems Manager를 사용하여 Amazon Elastic Compute Cloud(Amazon EC2) 인스턴스를 관리하면 조직 내 소프트웨어 플랫폼 및 애플리케이션의 인벤토리를 생성할 수 있습니다. AWS Systems Manager를 사용하여 세부 시스템 구성, 운영 체제 패치 수준, 서비스 이름 및 유형, 소프트웨어 설치, 애플리케이션 이름, 게시자 및 버전, 환경에 대한 기타 세부 정보를 제공합니다.
36b	ec2-managedinstance-association-compliance-status-확인	AWS Systems Manager Associations를 사용하여 조직 내 소프트웨어 플랫폼 및 애플리케이션의 인벤토리를 확인할 수 있습니다. AWS Systems Manager는 관리형 인스턴스에 구성 상태를 할당하며 운영 체제 패치 수준, 소프트웨어 설치, 애플리케이션 구성 및 환경에 관한 기타 세부 정보의 기준선을 설정할 수 있도록 합니다.
36b	ec2-managedinstance-patch-compliance-status-확인	Amazon Elastic Compute Cloud(AmazonEC2) 취약성을 식별하고 문서화하는 데 도움이 되도록이 규칙을 활성화합니다. 규칙은 조직의 정책 및 절차에 따라 AWS Systems Manager에서 Amazon EC2 인스턴스 패치 규정 준수 여부를 확인합니다.
36b	cloudtrail-security-trail-enabled	이 규칙은 여러 설정의 활성화를 AWS CloudTrail확인하여에 대한 AWS 권장 보안 모범 사례를 사용하는 데 도움이 됩니다. 여기에는 여러 리전 AWS CloudTrail 에서 로그 암호화, 로그 검증 및 활성화 사용이 포함됩니다.
36b	redshift-cluster-maintenancesettings-check	이 규칙은 Amazon Redshift 클러스터가 조직에서 선호하는 설정을 갖도록 보장합니다. 특히 데이터베이스에 기본 설정된 유지 관리 기간과 자동화된 스냅샷 보존 기간이 있습니다. 이 규칙을 사용하려면를 설정해야 합니다 allowVersionUpgrade. 기본값은 true입니다. 또한 선택적으로 preferredMaintenanceWindow (기본값은 sat:16:00-sat:16:30) 및 automatedSnapshotRetention기간(기본값은 1)을 설정할 수 있습니다. 실제 값은 조직의 정책을 반영해야 합니다.
36b	elastic-beanstalk-managed-updates활성화됨	Amazon Elastic Beanstalk 환경에서 관리형 플랫폼 업데이트를 활성화하면 사용 가능한 최신 플랫폼 수정, 업데이트 및 환경 기능이 설치됩니다. 패치 설치를 최신 상태로 유지하는 것이 시스템 보안의 모범 사례입니다.
36b	rds-automatic-minor-version-upgrade-enabled	Amazon Relational Database Service(RDS) 인스턴스에서 자동 마이너 버전 업그레이드를 활성화하여 보안 패치 및 버그 수정을 포함할 수 있는 관계형 데이터베이스 관리 시스템(RDBMS)에 대한 최신 마이너 버전 업데이트가 설치되도록 합니다.
36c	iam-policy-no-statements-with-admin-access	AWS 자격 증명 및 액세스 관리(IAM)는 최소 권한 및 직무 분리 원칙을 액세스 권한 및 권한과 통합하여 정책이 “효과”: “허용”을 “작업”: “”과 함께 “리소스”: “”를 포함하도록 제한하는 데 도움이 될 수 있습니다. 작업을 완료하는 데 필요한 것보다 더 많은 권한을 갖도록 허용하는 것은 최소 권한 및 업무 분리 원칙에 위배될 수 있습니다.
36c	iam-user-group-membership-확인	AWS Identity and Access Management(IAM)는 사용자가 하나 이상의 그룹의 멤버가 되도록 하여 액세스 권한 및 권한 부여를 제한하는 데 도움이 될 수 있습니다. 사용자에게 작업을 완료하는 데 필요한 것보다 더 많은 권한을 허용하면 최소 권한 및 업무 분리 원칙에 위배될 수 있습니다.
36c	iam-no-inline-policy-확인	AWS Identity and Access Management(IAM) 사용자, IAM 역할 또는 IAM 그룹에 시스템 및 자산에 대한 액세스를 제어하는 인라인 정책이 없는지 확인합니다.는 인라인 정책 대신 관리형 정책을 사용하도록 AWS 권장합니다. 관리형 정책을 사용하면 재사용, 버전 관리, 롤백 및 권한 위임 관리가 가능합니다.
36c	restricted-common-ports	Amazon Elastic Compute AWS Cloud(AmazonEC2) 보안 그룹에서 공통 포트가 제한되도록 하여 클라우드의 리소스에 대한 액세스를 관리합니다. 포트 액세스를 신뢰할 수 있는 소스로 제한하지 않으면 시스템의 가용성, 무결성 및 기밀성에 대한 공격이 발생할 수 있습니다. 이 규칙을 사용하면 선택적으로 blockedPort1~blockedPort5개의 파라미터를 설정할 수 있습니다(구성 기본값: 20,21,3389,3306,4333). 실제 값은 조직의 정책을 반영해야 합니다.
36c	vpc-sg-open-only-to-authorized-ports	Amazon Elastic Compute AWS Cloud(Amazon EC2) 보안 그룹에서 공통 포트가 제한되도록 하여 클라우드의 리소스에 대한 액세스를 관리합니다. 포트 액세스를 신뢰할 수 있는 소스로 제한하지 않으면 시스템의 가용성, 무결성 및 기밀성에 대한 공격이 발생할 수 있습니다. 인터넷(0.0.0.0/0)에서 보안 그룹 내 리소스에 대한 액세스를 제한함으로써 내부 시스템에 대한 원격 액세스를 제어할 수 있습니다.
36c	restricted-ssh	Amazon Elastic Compute Cloud(Amazon EC2) 보안 그룹은 AWS 리소스에 대한 네트워크 트래픽의 수신 및 송신을 상태 저장 필터링하여 네트워크 액세스를 관리하는 데 도움이 될 수 있습니다. 리소스의 0.0.0.0/0에서 포트 22로 수신(또는 원격) 트래픽을 허용하지 않으면 원격 액세스를 제한하는 데 도움이 됩니다.
36c	ec2-instance-profile-attached	EC2 인스턴스 프로파일은 IAM 역할을 EC2 인스턴스에 전달합니다. 인스턴스 프로파일을 인스턴스에 연결하면 최소 권한 및 권한 관리에 도움이 될 수 있습니다.
36c	iam-policy-no-statements-with-full-access	IAM 작업이 필요한 작업으로만 제한되도록 합니다. 작업을 완료하는 데 필요한 것보다 더 많은 권한을 갖도록 허용하는 것은 최소 권한 및 업무 분리 원칙에 위배될 수 있습니다.
36c	ecs-task-definition-user-for-host-mode-check	작업 정의에 승격된 권한이 있는 경우는 고객이 해당 구성을 특별히 선택했기 때문입니다. 이 제어는 작업 정의에 호스트 네트워킹이 활성화되어 있지만 고객이 승격된 권한을 선택하지 않은 경우 예상치 못한 권한 에스컬레이션을 검사합니다.
36d	dms-replication-not-public	DMS 복제 인스턴스에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드에 대한 액세스를 관리합니다. DMS 복제 인스턴스에는 민감한 정보가 포함될 수 있으며 이러한 계정에 대한 액세스 제어가 필요합니다.
36d	ebs-snapshot-public-restorable-확인	EBS 스냅샷을 공개적으로 복원할 수 없도록 하여 AWS 클라우드에 대한 액세스를 관리합니다. EBS 볼륨 스냅샷에는 민감한 정보가 포함될 수 있으며 이러한 계정에 대한 액세스 제어가 필요합니다.
36d	ec2-instance-no-public-ip	Amazon Elastic Compute AWS Cloud(Amazon EC2) 인스턴스에 공개적으로 액세스할 수 없도록 하여 클라우드에 대한 액세스를 관리합니다. Amazon EC2 인스턴스에는 민감한 정보가 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
36d	elasticsearch-in-vpc-only	Amazon OpenSearch Service(OpenSearch Service) 도메인이 Amazon Virtual Private AWS Cloud(Amazon) 내에 있는지 확인하여 클라우드에 대한 액세스를 관리합니다VPC. Amazon Virtual Private Cloud Amazon 내의 OpenSearch 서비스 도메인은 인터넷 게이트웨이, NAT 디바이스 또는 VPN 연결 VPC 없이 OpenSearch 도 서비스와 Amazon 내의 다른 서비스 간의 안전한 통신을 VPC 가능하게 합니다.
36d	emr-master-no-public-ip	Amazon EMR 클러스터 마스터 노드에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드에 대한 액세스를 관리합니다. Amazon EMR 클러스터 마스터 노드에는 민감한 정보가 포함될 수 있으며 해당 계정에 대한 액세스 제어가 필요합니다.
36d	ec2-instances-in-vpc	Amazon Virtual Private Cloud(Amazon EC2) 내에 Amazon Elastic Compute Cloud(Amazon VPC) 인스턴스를 배포하여 인터넷 게이트웨이, NAT 디바이스 또는 VPN 연결 VPC없이 인스턴스와 Amazon 내의 다른 서비스 간에 안전한 통신을 가능하게 합니다. Amazon Virtual Private Cloud 모든 트래픽은 AWS 클라우드 내에서 안전하게 유지됩니다. 논리적 격리로 인해 Amazon 내에 있는 도메인VPC은 퍼블릭 엔드포인트를 사용하는 도메인과 비교할 때 추가 보안 계층이 있습니다. Amazon EC2 인스턴스를 Amazon에 할당VPC하여 액세스를 적절하게 관리합니다.
36d	internet-gateway-authorized-vpc- 전용	인터넷 게이트웨이가 승인된 Amazon Virtual Private AWS Cloud(Amazon)에만 연결되도록 하여 클라우드의 리소스에 대한 액세스를 관리합니다VPC. Amazon Virtual Private Cloud 인터넷 게이트웨이는 Amazon 리소스에 대한 무단 액세스로 이어질 수 VPC 있는 Amazon과의 양방향 인터넷 액세스를 허용합니다VPC.
36d	lambda-function-public-access-금지됨	AWS Lambda 함수에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 퍼블릭 액세스는 잠재적으로 리소스 가용성을 저하시킬 수 있습니다.
36d	lambda-inside-vpc	Amazon Virtual Private Cloud(AmazonVPC) 내에 AWS Lambda 함수를 배포하여 Amazon 내의 함수와 다른 서비스 간의 안전한 통신을 보장합니다VPC. 이 구성에서는 인터넷 게이트웨이, NAT 디바이스 또는 VPN 연결에 대한 요구 사항이 없습니다. 모든 트래픽은 AWS 클라우드 내에서 안전하게 유지됩니다. 논리적 격리로 인해 Amazon 내에 있는 도메인VPC은 퍼블릭 엔드포인트를 사용하는 도메인과 비교할 때 추가 보안 계층이 있습니다. 액세스를 올바르게 관리하려면 AWS Lambda 함수를에 할당해야 합니다VPC.
36d	rds-instance-public-access- 확인	Amazon Relational Database Service(Amazon RDS) 인스턴스가 공개되지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. Amazon RDS 데이터베이스 인스턴스에는 민감한 정보가 포함될 수 있으며 이러한 계정에는 원칙과 액세스 제어가 필요합니다.
36d	rds-snapshots-public-prohibited	Amazon Relational Database Service(Amazon RDS) 인스턴스가 공개되지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. Amazon RDS 데이터베이스 인스턴스에는 민감한 정보와 원칙이 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
36d	redshift-cluster-public-access- 확인	Amazon Redshift 클러스터가 공개되지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. Amazon Redshift 클러스터에는 민감한 정보와 원칙이 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
36d	s3-bucket-public-read-prohibited	승인된 사용자, 프로세스 및 디바이스만 Amazon Simple Storage Service(Amazon S3) 버킷에 액세스할 수 있도록 허용하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 액세스 관리는 데이터 분류와 일치해야 합니다.
36d	s3-bucket-public-write-prohibited	승인된 사용자, 프로세스 및 디바이스만 Amazon Simple Storage Service(Amazon S3) 버킷에 액세스할 수 있도록 허용하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 액세스 관리는 데이터 분류와 일치해야 합니다.
36d	sagemaker-notebook-no-direct-internet-access	Amazon SageMaker 노트북에서 직접 인터넷 액세스를 허용하지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 직접 인터넷 액세스를 방지함으로써 권한이 없는 사용자가 민감한 데이터에 액세스하는 것을 방지할 수 있습니다.
36d	access-keys-rotated	보안 인증 정보는 조직 정책에 지정된 대로 IAM 액세스 키가 교체되도록 하여 승인된 디바이스, 사용자 및 프로세스에 대해 감사됩니다. 정기적인 일정에 따라 액세스 키를 변경하는 것이 보안 모범 사례입니다. 이렇게 하면 액세스 키가 활성화되는 기간이 단축되고 키가 손상될 경우 비즈니스에 미치는 영향을 줄일 수 있습니다. 이 규칙에는 액세스 키 교체 값이 필요합니다(Config 기본값: 90). 실제 값은 조직의 정책을 반영해야 합니다.
36d	emr-kerberos-enabled	Amazon EMR 클러스터용 Kerberos를 활성화하여 액세스 권한 및 권한 부여를 관리하고 최소 권한 및 업무 분리 원칙과 통합할 수 있습니다. Kerberos에서는 인증이 필요한 서비스 및 사용자를 보안 주체라고 합니다. 보안 주체는 Kerberos 영역 내에 존재합니다. 영역 내에서 Kerberos 서버는 키 배포 센터()라고 합니다KDC. 이는 보안 주체가 인증할 수 있는 수단을 제공합니다. 는 KDC 인증을 위한 티켓을 발급하여 인증합니다. 는 영역 내에서 보안 주체의 데이터베이스, 암호 및 각 보안 주체에 대한 기타 관리 정보를 KDC 유지합니다.
36d	iam-password-policy	자격 증명과 자격 증명은 조직 IAM 암호 정책에 따라 발급, 관리 및 확인됩니다. SP NIST 800-63 및 암호 강도에 대한 AWS 기본 보안 모범 사례 표준에 명시된 요구 사항을 충족하거나 초과합니다. 이 규칙을 사용하면 IAM 암호 정책에 대해 RequireUppercaseCharacters (AWS 기본 보안 모범 사례 값: true), RequireLowercaseCharacters (AWS 기본 보안 모범 사례 값: true), RequireSymbols (AWS 기본 보안 모범 사례 값: true), RequireNumbers (AWS 기본 보안 모범 사례 값: true), MinimumPasswordLength (AWS 기본 보안 모범 사례 값: 14), PasswordReusePrevention (AWS 기본 보안 모범 사례 값: 24), ( MaxPasswordAge AWS 기본 보안 모범 사례 값: 90)을 선택적으로 설정할 수 있습니다. 실제 값은 조직의 정책을 반영해야 합니다.
36d	iam-policy-no-statements-with-admin-access	AWS 자격 증명 및 액세스 관리(IAM)는 최소 권한 및 직무 분리 원칙을 액세스 권한 및 권한과 통합하여 정책이 “효과”: “허용”을 “작업”: “”과 함께 “리소스”: “”를 포함하도록 제한하는 데 도움이 될 수 있습니다. 작업을 완료하는 데 필요한 것보다 더 많은 권한을 갖도록 허용하는 것은 최소 권한 및 업무 분리 원칙에 위배될 수 있습니다.
36d	iam-root-access-key- 확인	루트 사용자에게 AWS Identity and Access Management(IAM) 역할에 연결된 액세스 키가 없는지 확인하여 시스템 및 자산에 대한 액세스를 제어할 수 있습니다. 루트 액세스 키가 삭제되었는지 확인하세요. 대신 역할 기반 AWS 계정 를 생성하고 사용하여 최소 기능의 원칙을 통합하는 데 도움이 됩니다.
36d	iam-user-group-membership-확인	AWS Identity and Access Management(IAM)는 사용자가 하나 이상의 그룹의 멤버가 되도록 하여 액세스 권한 및 권한 부여를 제한하는 데 도움이 될 수 있습니다. 사용자에게 작업을 완료하는 데 필요한 것보다 더 많은 권한을 허용하면 최소 권한 및 업무 분리 원칙에 위배될 수 있습니다.
36d	iam-user-mfa-enabled	이 규칙을 사용하면 AWS 클라우드의 리소스에 대한 액세스를 제한할 수 있습니다. 이 규칙은 모든 사용자에 대해 다중 인증(MFA)이 활성화되도록 합니다.는 사용자 이름 및 암호 외에도 추가 보호 계층을 MFA 추가합니다. 사용자에게를 요구하여 손상된 계정의 인시던트MFA를 줄입니다.
36d	iam-user-no-policies-확인	이 규칙은 AWS ID 및 액세스 관리(IAM) 정책이 그룹 또는 역할에만 연결되어 시스템 및 자산에 대한 액세스를 제어하도록 합니다. 그룹 또는 역할 수준에서 권한을 할당하면 ID가 과도한 권한을 받거나 보유할 기회를 줄이는 데 도움이 됩니다.
36d	iam-user-unused-credentials-확인	AWS Identity and Access Management(IAM)는 지정된 기간 동안 사용되지 않는 IAM 암호 및 액세스 키를 확인하여 액세스 권한 및 권한 부여를 지원합니다. 이러한 미사용 보안 인증 정보가 발견되면 최소 권한의 원칙에 위배될 수 있으므로 해당 보안 인증 정보를 비활성화 및/또는 제거해야 합니다. 이 규칙을 사용하려면 값을 maxCredentialUsageAge(구성 기본값: 90)로 설정해야 합니다. 실제 값은 조직의 정책을 반영해야 합니다.
36d	mfa-enabled-for-iam-콘솔-액세스	콘솔 암호가 있는 모든 AWS Identity and Access Management(IAM) 사용자에 대해 MFA가 활성화되어 있는지 확인하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다.는 로그인 자격 증명 외에도 추가 보호 계층을 MFA 추가합니다. 사용자에게 MFA를 요구하면 손상된 계정의 인시던트를 줄이고 권한이 없는 사용자가 민감한 데이터에 액세스하지 못하도록 할 수 있습니다.
36d	root-account-hardware-mfa활성화됨	루트 사용자에 대해 하드웨어MFA가 활성화되어 있는지 확인하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 루트 사용자는 권한이 가장 많은 AWS 계정사용자입니다. 는 로그인 자격 증명에 대한 추가 보호 계층을 MFA 추가합니다. 루트 사용자에게 MFA를 요구하면 손상된 인시던트를 줄일 수 있습니다 AWS 계정.
36d	root-account-mfa-enabled	루트 사용자에 대해 MFA가 활성화되어 있는지 확인하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 루트 사용자는 권한이 가장 많은 AWS 계정사용자입니다. 는 사용자 이름 및 암호에 대한 추가 보호 계층을 MFA 추가합니다. 루트 사용자에게 MFA를 요구하면 손상된 인시던트를 줄일 수 있습니다 AWS 계정.
36d	ec2-imdsv2-check	Amazon Elastic Compute Cloud(AmazonIMDSv2) 인스턴스 메타데이터의 액세스 및 제어를 보호하려면 인스턴스 메타데이터 서비스 버전 2(EC2) 메서드가 활성화되어 있는지 확인합니다. IMDSv2 메서드는 세션 기반 제어를 사용합니다. 를 사용하면 인스턴스 메타데이터에 대한 변경 사항을 제한하는 IMDSv2제어를 구현할 수 있습니다.
36d	iam-no-inline-policy-확인	AWS Identity and Access Management(IAM) 사용자, IAM 역할 또는 IAM 그룹에 시스템 및 자산에 대한 액세스를 제어하는 인라인 정책이 없는지 확인합니다. 인라인 정책 대신 관리형 정책을 사용하는 것이 AWS 좋습니다. 관리형 정책을 사용하면 재사용, 버전 관리, 롤백 및 권한 위임 관리가 가능합니다.
36d	iam-customer-policy-blocked-kms-작업	AWS Identity and Access Management(IAM)를 사용하면 최소 권한 및 업무 분리 원칙을 액세스 권한 및 권한과 통합하여 정책이 모든 AWS Key Management Service 키에 차단된 작업을 포함하지 못하도록 제한할 수 있습니다. 작업을 완료하는 데 필요한 것보다 더 많은 권한을 갖는 것은 최소 권한 및 업무 분리 원칙에 위배될 수 있습니다. 이 규칙을 사용하면 blockedActionsPatterns 파라미터를 설정할 수 있습니다. (AWS 기본 보안 모범 사례 값: kms:암호 해독, kms:ReEncryptFrom). 실제 값은 조직의 정책을 반영해야 합니다.
36d	iam-inline-policy-blocked-kms-작업	AWS Identity and Access Management(IAM) 사용자, IAM 역할 또는 IAM 그룹에 모든 AWS Key Management Service 키에 대해 차단된 작업을 허용하는 인라인 정책이 없는지 확인합니다. AWS 는 인라인 정책 대신 관리형 정책을 사용하도록 권장합니다. 관리형 정책을 사용하면 재사용, 버전 관리, 롤백 및 권한 위임 관리가 가능합니다. 이 규칙을 사용하면 파라미터를 설정할 수 있습니다 blockedActionsPatterns. (AWS 기본 보안 모범 사례 값: kms:암호 해독, kms:ReEncryptFrom). 실제 값은 조직의 정책을 반영해야 합니다.
36d	ec2-instance-profile-attached	EC2 인스턴스 프로파일은 IAM 역할을 EC2 인스턴스에 전달합니다. 인스턴스 프로파일을 인스턴스에 연결하면 최소 권한 및 권한 관리에 도움이 될 수 있습니다.
36d	iam-policy-no-statements-with-full-access	IAM 작업이 필요한 작업으로만 제한되도록 합니다. 작업을 완료하는 데 필요한 것보다 더 많은 권한을 갖도록 허용하는 것은 최소 권한 및 업무 분리 원칙에 위배될 수 있습니다.
36d	ecs-task-definition-user-for-host-mode-check	작업 정의에 승격된 권한이 있는 경우는 고객이 해당 구성을 특별히 선택했기 때문입니다. 이 제어는 작업 정의에 호스트 네트워킹이 활성화되어 있지만 고객이 승격된 권한을 선택하지 않은 경우 예상치 못한 권한 에스컬레이션을 검사합니다.
36d	no-unrestricted-route-to-igw	Amazon EC2 라우팅 테이블에 인터넷 게이트웨이에 대한 무제한 경로가 없는지 확인합니다. Amazon 내의 워크로드에 대한 인터넷 액세스를 제거하거나 제한하면 환경 내에서 의도하지 않은 액세스를 줄일 VPCs 수 있습니다.
36d	s3-bucket-level-public-access-금지됨	Amazon Simple Storage Service(Amazon S3) 버킷에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 이 규칙은 버킷 수준에서 퍼블릭 액세스를 차단하여 권한이 없는 원격 사용자로부터 민감한 데이터를 안전하게 보호하는 데 도움이 됩니다.
36d	subnet-auto-assign-public-ip-비활성화	Amazon Virtual Private AWS Cloud(VPC) 서브넷에 퍼블릭 IP 주소가 자동으로 할당되지 않도록 하여 클라우드에 대한 액세스를 관리합니다. Amazon Virtual Private Cloud 이 속성이 활성화된 서브넷으로 시작되는 Amazon Elastic Compute Cloud(EC2) 인스턴스에는 기본 네트워크 인터페이스에 할당된 퍼블릭 IP 주소가 있습니다.
36d	autoscaling-launch-config-public-ip-비활성화	퍼블릭 IP 주소로 네트워크 인터페이스를 구성하는 경우 해당 네트워크 인터페이스에 연결된 리소스는 인터넷에서 연결할 수 있습니다. EC2 리소스는 애플리케이션 또는 서버에 의도하지 않은 액세스를 허용할 수 있으므로 공개적으로 액세스할 수 없어야 합니다.
36d	redshift-enhanced-vpc-routing활성화됨	향상된 VPC 라우팅은 클러스터와 데이터 리포지토리 간의 모든 COPY UNLOAD 트래픽이 Amazon를 통과하도록 합니다VPC. 그런 다음 보안 그룹 및 네트워크 액세스 제어 목록과 같은 VPC 기능을 사용하여 네트워크 트래픽을 보호할 수 있습니다. VPC 흐름 로그를 사용하여 네트워크 트래픽을 모니터링할 수도 있습니다.
36d	s3-account-level-public-access-blocks-periodic	Amazon Simple Storage Service(Amazon S3) 버킷에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 이 규칙은 퍼블릭 액세스를 방지하여 권한이 없는 원격 사용자로부터 민감한 데이터를 안전하게 보호하는 데 도움이 됩니다. 이 규칙을 사용하면 (Config Default: True), ignorePublicAcls ( blockPublicPolicy Config Default: True), blockPublicAcls (Config Default: True) 및 restrictPublicBuckets 파라미터(Config Default: True)를 선택적으로 설정할 수 있습니다. 실제 값은 조직의 정책을 반영해야 합니다.
36d	ssm-document-not-public	AWS Systems Manager(SSM) 문서는 SSM 문서에 의도하지 않은 액세스를 허용할 수 있으므로 공개되지 않아야 합니다. 퍼블릭 SSM 문서는 계정, 리소스 및 내부 프로세스에 대한 정보를 노출할 수 있습니다.
36d	opensearch-in-vpc-only	Amazon OpenSearch Service 도메인이 Amazon Virtual Private AWS Cloud(Amazon) 내에 있는지 확인하여 클라우드에 대한 액세스를 관리합니다VPC. Amazon Virtual Private Cloud Amazon 내의 Amazon OpenSearch Service 도메인은 인터넷 게이트웨이, NAT 디바이스 또는 VPN 연결 VPC 없이 Amazon OpenSearch Service와 Amazon 내의 다른 서비스 간의 안전한 통신을 VPC 가능하게 합니다.
36e	secretsmanager-rotation-enabled-check	이 규칙은 AWS Secrets Manager 보안 암호에 교체가 활성화되어 있는지 확인합니다. 정기적으로 암호를 교체하면 암호가 활성화되는 기간을 단축할 수 있으며, 암호가 침해될 경우 비즈니스에 미치는 영향을 잠재적으로 줄일 수 있습니다.
36e	secretsmanager-scheduled-rotation-success- 확인	이 규칙은 AWS Secrets Manager 보안 암호가 교체 일정에 따라 성공적으로 교체되도록 합니다. 정기적으로 암호를 교체하면 암호가 활성화되는 기간을 단축할 수 있으며, 침해될 경우 비즈니스에 미치는 영향을 잠재적으로 줄일 수 있습니다.
36e	dms-replication-not-public	DMS 복제 인스턴스에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드에 대한 액세스를 관리합니다. DMS 복제 인스턴스에는 민감한 정보가 포함될 수 있으며 이러한 계정에 대한 액세스 제어가 필요합니다.
36e	ebs-snapshot-public-restorable- 확인	EBS 스냅샷을 공개적으로 복원할 수 없도록 하여 AWS 클라우드에 대한 액세스를 관리합니다. EBS 볼륨 스냅샷에는 민감한 정보가 포함될 수 있으며 이러한 계정에 대한 액세스 제어가 필요합니다.
36e	ec2-instance-no-public-ip	Amazon Elastic Compute AWS Cloud(Amazon EC2) 인스턴스에 공개적으로 액세스할 수 없도록 하여 클라우드에 대한 액세스를 관리합니다. Amazon EC2 인스턴스에는 민감한 정보가 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
36e	elasticsearch-in-vpc-only	Amazon OpenSearch Service(OpenSearch Service) 도메인이 Amazon Virtual Private AWS Cloud(Amazon) 내에 있는지 확인하여 클라우드에 대한 액세스를 관리합니다VPC. Amazon Virtual Private Cloud Amazon 내의 OpenSearch 서비스 도메인은 인터넷 게이트웨이, NAT 디바이스 또는 VPN 연결 VPC 없이 OpenSearch 도 서비스와 Amazon 내의 다른 서비스 간의 안전한 통신을 VPC 가능하게 합니다.
36e	emr-master-no-public-ip	Amazon EMR 클러스터 마스터 노드에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드에 대한 액세스를 관리합니다. Amazon EMR 클러스터 마스터 노드에는 민감한 정보가 포함될 수 있으며 해당 계정에 대한 액세스 제어가 필요합니다.
36e	ec2-instances-in-vpc	Amazon Virtual Private Cloud(Amazon EC2) 내에 Amazon Elastic Compute Cloud(Amazon VPC) 인스턴스를 배포하여 인터넷 게이트웨이, NAT 디바이스 또는 VPN 연결 VPC없이 인스턴스와 Amazon 내의 다른 서비스 간에 안전한 통신을 가능하게 합니다. Amazon Virtual Private Cloud 모든 트래픽은 AWS 클라우드 내에서 안전하게 유지됩니다. 논리적 격리로 인해 Amazon 내에 있는 도메인VPC은 퍼블릭 엔드포인트를 사용하는 도메인과 비교할 때 추가 보안 계층이 있습니다. Amazon EC2 인스턴스를 Amazon에 할당VPC하여 액세스를 적절히 관리합니다.
36e	internet-gateway-authorized-vpc- 전용	인터넷 게이트웨이가 승인된 Amazon Virtual Private AWS Cloud(Amazon)에만 연결되도록 하여 클라우드의 리소스에 대한 액세스를 관리합니다VPC. Amazon Virtual Private Cloud 인터넷 게이트웨이는 Amazon VPC 리소스에 대한 무단 액세스로 이어질 수 VPC 있는 Amazon과의 양방향 인터넷 액세스를 허용합니다.
36e	lambda-function-public-access-금지됨	AWS Lambda 함수에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 퍼블릭 액세스는 잠재적으로 리소스 가용성을 저하시킬 수 있습니다.
36e	lambda-inside-vpc	Amazon Virtual Private Cloud(AmazonVPC) 내에 AWS Lambda 함수를 배포하여 Amazon 내의 함수와 다른 서비스 간의 안전한 통신을 보장합니다VPC. 이 구성에서는 인터넷 게이트웨이, NAT 디바이스 또는 VPN 연결에 대한 요구 사항이 없습니다. 모든 트래픽은 AWS 클라우드 내에서 안전하게 유지됩니다. 논리적 격리로 인해 Amazon 내에 있는 도메인VPC은 퍼블릭 엔드포인트를 사용하는 도메인과 비교할 때 추가 보안 계층이 있습니다. 액세스를 올바르게 관리하려면 AWS Lambda 함수를에 할당해야 합니다VPC.
36e	rds-instance-public-access-확인	Amazon Relational Database Service(AmazonRDS) 인스턴스가 공개되지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. Amazon RDS 데이터베이스 인스턴스에는 민감한 정보가 포함될 수 있으며 이러한 계정에는 원칙과 액세스 제어가 필요합니다.
36e	rds-snapshots-public-prohibited	Amazon Relational Database Service(AmazonRDS) 인스턴스가 공개되지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. Amazon RDS 데이터베이스 인스턴스에는 민감한 정보와 원칙이 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
36e	redshift-cluster-public-access-확인	Amazon Redshift 클러스터가 퍼블릭이 아닌지 확인하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. Amazon Redshift 클러스터에는 민감한 정보와 원칙이 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
36e	s3-bucket-public-read-prohibited	승인된 사용자, 프로세스 및 디바이스만 Amazon Simple Storage Service(Amazon S3) 버킷에 액세스할 수 있도록 허용하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 액세스 관리는 데이터 분류와 일치해야 합니다.
36e	s3-bucket-public-write-prohibited	승인된 사용자, 프로세스 및 디바이스만 Amazon Simple Storage Service(Amazon S3) 버킷에 액세스할 수 있도록 허용하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 액세스 관리는 데이터 분류와 일치해야 합니다.
36e	sagemaker-notebook-no-direct-internet-access	Amazon SageMaker 노트북에서 직접 인터넷 액세스를 허용하지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 직접 인터넷 액세스를 방지함으로써 권한이 없는 사용자가 민감한 데이터에 액세스하는 것을 방지할 수 있습니다.
36e	ec2-instance-profile-attached	EC2 인스턴스 프로파일은 IAM 역할을 EC2 인스턴스에 전달합니다. 인스턴스 프로파일을 인스턴스에 연결하면 최소 권한 및 권한 관리에 도움이 될 수 있습니다.
36e	no-unrestricted-route-to-igw	Amazon EC2 라우팅 테이블에 인터넷 게이트웨이에 대한 무제한 경로가 없는지 확인합니다. Amazon 내의 워크로드에 대한 인터넷 액세스를 제거하거나 제한하면 환경 내에서 의도하지 않은 액세스를 줄일 VPCs 수 있습니다.
36e	s3-bucket-level-public-access-금지됨	Amazon Simple Storage Service(Amazon S3) 버킷에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 이 규칙은 버킷 수준에서 퍼블릭 액세스를 차단하여 권한이 없는 원격 사용자로부터 민감한 데이터를 안전하게 보호하는 데 도움이 됩니다.
36e	subnet-auto-assign-public-ip-비활성화	Amazon Virtual Private AWS Cloud(VPC) 서브넷에 퍼블릭 IP 주소가 자동으로 할당되지 않도록 하여 클라우드에 대한 액세스를 관리합니다. Amazon Virtual Private Cloud 이 속성이 활성화된 서브넷에서 시작되는 Amazon Elastic Compute Cloud(EC2) 인스턴스에는 기본 네트워크 인터페이스에 할당된 퍼블릭 IP 주소가 있습니다.
36e	autoscaling-launch-config-public-ip-비활성화	퍼블릭 IP 주소로 네트워크 인터페이스를 구성하는 경우 인터넷에서 해당 네트워크 인터페이스에 연결된 리소스에 연결할 수 있습니다. EC2 리소스에 공개적으로 액세스할 수 없어야 합니다. 이렇게 하면 애플리케이션 또는 서버에 의도하지 않은 액세스가 허용될 수 있습니다.
36e	redshift-enhanced-vpc-routing활성화됨	향상된 VPC 라우팅은 클러스터와 데이터 리포지토리 간의 모든 COPY UNLOAD 트래픽이 Amazon를 통과하도록 합니다VPC. 그런 다음 보안 그룹 및 네트워크 액세스 제어 목록과 같은 VPC 기능을 사용하여 네트워크 트래픽을 보호할 수 있습니다. VPC 흐름 로그를 사용하여 네트워크 트래픽을 모니터링할 수도 있습니다.
36e	api-gw-associated-with-waf	AWS WAF를 사용하면 정의한 사용자 지정 가능한 웹 보안 규칙 및 조건을 기반으로 웹 요청을 허용, 차단 또는 계산하는 규칙 세트(웹 액세스 제어 목록(웹 ACL)이라고 함)를 구성할 수 있습니다. Amazon API Gateway 단계가 WAF 웹과 연결되어 ACL 악의적인 공격으로부터 보호하는지 확인합니다.
36e	s3-account-level-public-access-blocks-periodic	Amazon Simple Storage Service(Amazon S3) 버킷에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 이 규칙은 퍼블릭 액세스를 방지하여 권한이 없는 원격 사용자로부터 민감한 데이터를 안전하게 보호하는 데 도움이 됩니다. 이 규칙을 사용하면 (Config Default: True), ignorePublicAcls ( blockPublicPolicy Config Default: True), blockPublicAcls (Config Default: True) 및 restrictPublicBuckets 파라미터(Config Default: True)를 선택적으로 설정할 수 있습니다. 실제 값은 조직의 정책을 반영해야 합니다.
36e	ssm-document-not-public	AWS Systems Manager(SSM) 문서는 SSM 문서에 의도하지 않은 액세스를 허용할 수 있으므로 공개되지 않아야 합니다. 퍼블릭 SSM 문서는 계정, 리소스 및 내부 프로세스에 대한 정보를 노출할 수 있습니다.
36e	opensearch-in-vpc-only	Amazon OpenSearch Service 도메인이 Amazon Virtual Private AWS Cloud(Amazon) 내에 있는지 확인하여 클라우드에 대한 액세스를 관리합니다VPC. Amazon Virtual Private Cloud Amazon 내의 Amazon OpenSearch Service 도메인은 인터넷 게이트웨이, NAT 디바이스 또는 VPN 연결 VPC 없이 Amazon OpenSearch Service와 Amazon 내의 다른 서비스 간의 안전한 통신을 VPC 가능하게 합니다.
36f	dms-replication-not-public	DMS 복제 인스턴스에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드에 대한 액세스를 관리합니다. DMS 복제 인스턴스에는 민감한 정보가 포함될 수 있으며 이러한 계정에 대한 액세스 제어가 필요합니다.
36f	ebs-snapshot-public-restorable-확인	EBS 스냅샷을 공개적으로 복원할 수 없도록 하여 AWS 클라우드에 대한 액세스를 관리합니다. EBS 볼륨 스냅샷에는 민감한 정보가 포함될 수 있으며 이러한 계정에 대한 액세스 제어가 필요합니다.
36f	ec2-instance-no-public-ip	Amazon Elastic Compute AWS Cloud(Amazon EC2) 인스턴스에 공개적으로 액세스할 수 없도록 하여 클라우드에 대한 액세스를 관리합니다. Amazon EC2 인스턴스에는 민감한 정보가 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
36f	elasticsearch-in-vpc-only	Amazon OpenSearch Service(OpenSearch 서비스) 도메인이 Amazon Virtual Private AWS Cloud(Amazon) 내에 있는지 확인하여 클라우드에 대한 액세스를 관리합니다VPC. Amazon Virtual Private Cloud Amazon 내의 OpenSearch 서비스 도메인은 인터넷 게이트웨이, NAT 디바이스 또는 VPN 연결 VPC 없이 OpenSearch 도 서비스와 Amazon 내의 다른 서비스 간의 안전한 통신을 VPC 가능하게 합니다.
36f	emr-master-no-public-ip	Amazon EMR 클러스터 마스터 노드에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드에 대한 액세스를 관리합니다. Amazon EMR 클러스터 마스터 노드에는 민감한 정보가 포함될 수 있으며 해당 계정에 대한 액세스 제어가 필요합니다.
36f	ec2-instances-in-vpc	Amazon Virtual Private Cloud(Amazon EC2) 내에 Amazon Elastic Compute Cloud(Amazon VPC) 인스턴스를 배포하여 인터넷 게이트웨이, NAT 디바이스 또는 VPN 연결 VPC없이 인스턴스와 Amazon 내의 다른 서비스 간에 안전한 통신을 가능하게 합니다. Amazon Virtual Private Cloud 모든 트래픽은 AWS 클라우드 내에서 안전하게 유지됩니다. 논리적 격리로 인해 Amazon 내에 있는 도메인VPC은 퍼블릭 엔드포인트를 사용하는 도메인과 비교할 때 추가 보안 계층이 있습니다. Amazon EC2 인스턴스를 Amazon에 할당VPC하여 액세스를 적절하게 관리합니다.
36f	internet-gateway-authorized-vpc- 전용	인터넷 게이트웨이가 승인된 Amazon Virtual Private AWS Cloud(Amazon)에만 연결되도록 하여 클라우드의 리소스에 대한 액세스를 관리합니다VPC. Amazon Virtual Private Cloud 인터넷 게이트웨이는 Amazon 리소스에 대한 무단 액세스로 이어질 수 VPC 있는 Amazon과의 양방향 인터넷 액세스를 허용합니다VPC.
36f	lambda-function-public-access-금지됨	AWS Lambda 함수에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 퍼블릭 액세스는 잠재적으로 리소스 가용성을 저하시킬 수 있습니다.
36f	lambda-inside-vpc	Amazon Virtual Private Cloud(AmazonVPC) 내에 AWS Lambda 함수를 배포하여 Amazon 내의 함수와 다른 서비스 간의 안전한 통신을 보장합니다VPC. 이 구성에서는 인터넷 게이트웨이, NAT 디바이스 또는 VPN 연결에 대한 요구 사항이 없습니다. 모든 트래픽은 AWS 클라우드 내에서 안전하게 유지됩니다. 논리적 격리로 인해 Amazon 내에 있는 도메인VPC은 퍼블릭 엔드포인트를 사용하는 도메인과 비교할 때 추가 보안 계층이 있습니다. 액세스를 올바르게 관리하려면 AWS Lambda 함수를에 할당해야 합니다VPC.
36f	rds-instance-public-access-확인	Amazon Relational Database Service(AmazonRDS) 인스턴스가 공개되지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. Amazon RDS 데이터베이스 인스턴스에는 민감한 정보가 포함될 수 있으며 이러한 계정에는 원칙과 액세스 제어가 필요합니다.
36f	rds-snapshots-public-prohibited	Amazon Relational Database Service(AmazonRDS) 인스턴스가 공개되지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. Amazon RDS 데이터베이스 인스턴스에는 민감한 정보와 원칙이 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
36f	redshift-cluster-public-access-확인	Amazon Redshift 클러스터가 공개되지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. Amazon Redshift 클러스터에는 민감한 정보와 원칙이 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
36f	s3-bucket-public-read-prohibited	승인된 사용자, 프로세스 및 디바이스만 Amazon Simple Storage Service(Amazon S3) 버킷에 액세스할 수 있도록 허용하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 액세스 관리는 데이터 분류와 일치해야 합니다.
36f	s3-bucket-public-write-prohibited	승인된 사용자, 프로세스 및 디바이스만 Amazon Simple Storage Service(Amazon S3) 버킷에 액세스할 수 있도록 허용하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 액세스 관리는 데이터 분류와 일치해야 합니다.
36f	sagemaker-notebook-no-direct-인터넷-액세스	Amazon SageMaker 노트북에서 직접 인터넷 액세스를 허용하지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 직접 인터넷 액세스를 방지함으로써 권한이 없는 사용자가 민감한 데이터에 액세스하는 것을 방지할 수 있습니다.
36f	restricted-ssh	Amazon Elastic Compute Cloud(Amazon EC2) 보안 그룹은 AWS 리소스에 대한 네트워크 트래픽의 수신 및 송신을 상태 저장 필터링하여 네트워크 액세스를 관리하는 데 도움이 될 수 있습니다. 리소스의 0.0.0.0/0에서 포트 22로 수신(또는 원격) 트래픽을 허용하지 않으면 원격 액세스를 제한하는 데 도움이 됩니다.
36f	restricted-common-ports	Amazon Elastic Compute AWS Cloud(Amazon EC2) 보안 그룹에서 공통 포트가 제한되도록 하여 클라우드의 리소스에 대한 액세스를 관리합니다. 포트 액세스를 신뢰할 수 있는 소스로 제한하지 않으면 시스템의 가용성, 무결성 및 기밀성에 대한 공격이 발생할 수 있습니다. 이 규칙을 사용하면 선택적으로 blockedPort1~blockedPort5개의 파라미터를 설정할 수 있습니다(구성 기본값: 20,21,3389,3306,4333). 실제 값은 조직의 정책을 반영해야 합니다.
36f	vpc-default-security-group-닫힘	Amazon Elastic Compute Cloud(Amazon EC2) 보안 그룹은 AWS 리소스에 대한 네트워크 트래픽의 수신 및 송신을 상태 저장 필터링하여 네트워크 액세스를 관리하는 데 도움이 될 수 있습니다. 기본 보안 그룹의 모든 트래픽을 제한하면 AWS 리소스에 대한 원격 액세스를 제한하는 데 도움이 됩니다.
36f	vpc-sg-open-only-to-authorized-ports	Amazon Elastic Compute AWS Cloud(Amazon EC2) 보안 그룹에서 공통 포트가 제한되도록 하여 클라우드의 리소스에 대한 액세스를 관리합니다. 포트 액세스를 신뢰할 수 있는 소스로 제한하지 않으면 시스템의 가용성, 무결성 및 기밀성에 대한 공격이 발생할 수 있습니다. 인터넷(0.0.0.0/0)에서 보안 그룹 내 리소스에 대한 액세스를 제한함으로써 내부 시스템에 대한 원격 액세스를 제어할 수 있습니다.
36f	alb-waf-enabled	웹 애플리케이션을 보호하기 위해 Elastic Load Balancer(ELB)에서가 활성화되어 있는지 확인합니다 AWS WAF. 는 웹 애플리케이션을 보호하거나 일반적인 웹 악용APIs으로부터 보호하는 데 WAF 도움이 됩니다. 이러한 웹 익스플로잇은 사용자 환경에서 가용성에 영향을 미치고 보안을 손상시키거나 리소스를 과도하게 소비할 수 있습니다.
36f	no-unrestricted-route-to-igw	Amazon EC2 라우팅 테이블에 인터넷 게이트웨이에 대한 무제한 경로가 없는지 확인합니다. Amazon 내의 워크로드에 대한 인터넷 액세스를 제거하거나 제한하면 환경 내에서 의도하지 않은 액세스를 줄일 VPCs 수 있습니다.
36f	s3-bucket-level-public-access-금지됨	Amazon Simple Storage Service(Amazon S3) 버킷에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 이 규칙은 버킷 수준에서 퍼블릭 액세스를 차단하여 권한이 없는 원격 사용자로부터 민감한 데이터를 안전하게 보호하는 데 도움이 됩니다.
36f	subnet-auto-assign-public-ip-비활성화	Amazon Virtual Private AWS Cloud(VPC) 서브넷에 퍼블릭 IP 주소가 자동으로 할당되지 않도록 하여 클라우드에 대한 액세스를 관리합니다. Amazon Virtual Private Cloud 이 속성이 활성화된 서브넷에서 시작되는 Amazon Elastic Compute Cloud(EC2) 인스턴스에는 기본 네트워크 인터페이스에 할당된 퍼블릭 IP 주소가 있습니다.
36f	autoscaling-launch-config-public-ip-비활성화	퍼블릭 IP 주소로 네트워크 인터페이스를 구성하는 경우 인터넷에서 해당 네트워크 인터페이스에 연결된 리소스에 연결할 수 있습니다. EC2 리소스에 공개적으로 액세스할 수 없어야 합니다. 이렇게 하면 애플리케이션 또는 서버에 의도하지 않은 액세스가 허용될 수 있습니다.
36f	redshift-enhanced-vpc-routing활성화됨	향상된 VPC 라우팅은 클러스터와 데이터 리포지토리 간의 모든 COPY UNLOAD 트래픽이 Amazon를 통과하도록 합니다VPC. 그런 다음 보안 그룹 및 네트워크 액세스 제어 목록과 같은 VPC 기능을 사용하여 네트워크 트래픽을 보호할 수 있습니다. VPC 흐름 로그를 사용하여 네트워크 트래픽을 모니터링할 수도 있습니다.
36f	api-gw-associated-with-waf	AWS WAF를 사용하면 정의한 사용자 지정 가능한 웹 보안 규칙 및 조건을 기반으로 웹 요청을 허용, 차단 또는 계산하는 규칙 세트(웹 액세스 제어 목록(웹 ACL)이라고 함)를 구성할 수 있습니다. Amazon API Gateway 단계가 WAF 웹과 연결되어 ACL 악의적인 공격으로부터 보호하는지 확인합니다.
36f	s3-account-level-public-access-blocks-periodic	Amazon Simple Storage Service(Amazon S3) 버킷에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 이 규칙은 퍼블릭 액세스를 방지하여 권한이 없는 원격 사용자로부터 민감한 데이터를 안전하게 보호하는 데 도움이 됩니다. 이 규칙을 사용하면 (Config Default: True), ignorePublicAcls ( blockPublicPolicy Config Default: True), blockPublicAcls (Config Default: True) 및 restrictPublicBuckets 파라미터(Config Default: True)를 선택적으로 설정할 수 있습니다. 실제 값은 조직의 정책을 반영해야 합니다.
36f	ssm-document-not-public	AWS Systems Manager(SSM) 문서는 SSM 문서에 의도하지 않은 액세스를 허용할 수 있으므로 공개되지 않아야 합니다. 퍼블릭 SSM 문서는 계정, 리소스 및 내부 프로세스에 대한 정보를 노출할 수 있습니다.
36f	opensearch-in-vpc-only	Amazon OpenSearch Service 도메인이 Amazon Virtual Private AWS Cloud(Amazon) 내에 있는지 확인하여 클라우드에 대한 액세스를 관리합니다VPC. Amazon Virtual Private Cloud Amazon 내의 Amazon OpenSearch Service 도메인은 인터넷 게이트웨이, NAT 디바이스 또는 VPN 연결 VPC 없이 Amazon OpenSearch Service와 Amazon 내의 다른 서비스 간의 안전한 통신을 VPC 가능하게 합니다.
36g	securityhub-enabled	AWS Security Hub는 권한이 없는 직원, 연결, 디바이스 및 소프트웨어를 모니터링하는 데 도움이 됩니다. AWS Security Hub는 여러 AWS 서비스의 보안 알림 또는 조사 결과를 집계, 구성 및 우선 순위를 지정합니다. 이러한 서비스 중에는 Amazon Security Hub, Amazon Inspector, Amazon Macie, AWS Identity and Access Management(IAM) Access Analyzer, AWS Firewall Manager 및 AWS 파트너 솔루션이 있습니다.
36g	guardduty-enabled-centralized	Amazon은 위협 인텔리전스 피드를 사용하여 잠재적 사이버 보안 이벤트를 모니터링하고 탐지하는 데 도움이 될 GuardDuty 수 있습니다. 여기에는 AWS 클라우드 환경 내에서 예상치 못한, 승인되지 않은, 악의적인 활동을 식별하기 위한 악의적인 및 IPs 기계 학습 목록이 포함됩니다.
36g	guardduty-non-archived-findings	Amazon은 조사 결과를 심각도별로 분류하여 인시던트의 영향을 이해하는 데 GuardDuty 도움이 됩니다. 이러한 분류를 사용하여 해결 전략 및 우선 순위를 결정할 수 있습니다. 이 규칙을 사용하면 조직의 정책에 따라 아카이브되지 않은 결과에 대해 daysLowSev (Config Default: 30), daysMediumSev (Config Default: 7) 및 daysHighSev (Config Default: 1)을 선택적으로 설정할 수 있습니다.
36h	securityhub-enabled	AWS Security Hub는 권한이 없는 직원, 연결, 디바이스 및 소프트웨어를 모니터링하는 데 도움이 됩니다. AWS Security Hub는 여러 AWS 서비스의 보안 알림 또는 조사 결과를 집계, 구성 및 우선 순위를 지정합니다. 이러한 서비스 중에는 Amazon Security Hub, Amazon Inspector, Amazon Macie, AWS Identity and Access Management(IAM) Access Analyzer, AWS Firewall Manager 및 AWS 파트너 솔루션이 있습니다.
36h	guardduty-enabled-centralized	Amazon은 위협 인텔리전스 피드를 사용하여 잠재적 사이버 보안 이벤트를 모니터링하고 탐지하는 데 도움이 될 GuardDuty 수 있습니다. 여기에는 AWS 클라우드 환경 내에서 예상치 못한, 승인되지 않은, 악의적인 활동을 식별하기 위한 악의적인 및 IPs 기계 학습 목록이 포함됩니다.
36h	guardduty-non-archived-findings	Amazon은 조사 결과를 심각도별로 분류하여 인시던트의 영향을 이해하는 데 GuardDuty 도움이 됩니다. 이러한 분류를 사용하여 해결 전략 및 우선 순위를 결정할 수 있습니다. 이 규칙을 사용하면 조직의 정책에 따라 아카이브되지 않은 결과에 대해 daysLowSev (Config Default: 30), daysMediumSev (Config Default: 7) 및 daysHighSev (Config Default: 1)을 선택적으로 설정할 수 있습니다.
36h	ec2-instance-managed-by-systems-관리자	AWS Systems Manager를 사용하여 Amazon Elastic Compute Cloud(Amazon EC2) 인스턴스를 관리하면 조직 내 소프트웨어 플랫폼 및 애플리케이션의 인벤토리를 생성할 수 있습니다. AWS Systems Manager를 사용하여 세부 시스템 구성, 운영 체제 패치 수준, 서비스 이름 및 유형, 소프트웨어 설치, 애플리케이션 이름, 게시자 및 버전, 환경에 대한 기타 세부 정보를 제공합니다.
36h	ec2-managedinstance-association-compliance-status-확인	AWS Systems Manager Associations를 사용하여 조직 내 소프트웨어 플랫폼 및 애플리케이션의 인벤토리를 확인할 수 있습니다. AWS Systems Manager는 관리형 인스턴스에 구성 상태를 할당하며 운영 체제 패치 수준, 소프트웨어 설치, 애플리케이션 구성 및 환경에 관한 기타 세부 정보의 기준선을 설정할 수 있도록 합니다.
36h	ec2-managedinstance-patch-compliance-status-확인	Amazon Elastic Compute Cloud(AmazonEC2) 취약성을 식별하고 문서화하는 데 도움이 되도록이 규칙을 활성화합니다. 규칙은 조직의 정책 및 절차에 따라 AWS Systems Manager에서 Amazon EC2 인스턴스 패치 규정 준수 여부를 확인합니다.
36h	redshift-cluster-maintenancesettings-check	이 규칙은 Amazon Redshift 클러스터가 조직에서 선호하는 설정을 갖도록 보장합니다. 특히 데이터베이스에 기본 설정된 유지 관리 기간과 자동화된 스냅샷 보존 기간이 있습니다. 이 규칙을 사용하려면를 설정해야 합니다 allowVersionUpgrade. 기본값은 true입니다. 또한 선택적으로 preferredMaintenanceWindow (기본값은 sat:16:00-sat:16:30) 및 automatedSnapshotRetention기간(기본값은 1)을 설정할 수 있습니다. 실제 값은 조직의 정책을 반영해야 합니다.
36h	elastic-beanstalk-managed-updates활성화됨	Amazon Elastic Beanstalk 환경에서 관리형 플랫폼 업데이트를 활성화하면 사용 가능한 최신 플랫폼 수정, 업데이트 및 환경 기능이 설치됩니다. 패치 설치를 최신 상태로 유지하는 것이 시스템 보안의 모범 사례입니다.
36i	autoscaling-group-elb-healthcheck-필수	Amazon Elastic Compute Cloud(Amazon ELB) Auto Scaling 그룹에 대한 Elastic Load Balancer(EC2) 상태 확인은 적절한 용량 및 가용성 유지 관리를 지원합니다. 로드 밸런서는 주기적으로 ping을 전송하거나, 연결을 시도하거나, 자동 크기 조정 그룹에서 Amazon EC2 인스턴스 상태를 테스트하기 위한 요청을 보냅니다. 인스턴스가 다시 보고하지 않으면 트래픽이 새 Amazon EC2 인스턴스로 전송됩니다.
36i	cloudwatch-alarm-action-check	지표가 지정된 평가 기간 수 동안 임계값을 위반하면 Amazon CloudWatch 경보가 알림을 보냅니다. 이러한 경보는 여러 기간에 대해 지정된 임계값과 지표 또는 표현식의 값을 비교하여 하나 이상의 작업을 수행합니다. 이 규칙에는 alarmActionRequired (Config Default: True), insufficientDataActionRequired(Config Default: True), okActionRequired (Config Default: False)에 대한 값이 필요합니다. 실제 값은 사용자 환경의 경보 동작을 반영해야 합니다.
36i	dynamodb-throughput-limit-check	Amazon DynamoDB 테이블에서 프로비저닝된 처리 용량을 확인하려면 이 규칙을 활성화하세요. 이는 각 테이블에서 지원할 수 있는 읽기 및 쓰기 활동의 양입니다. DynamoDB는 이 정보를 사용하여 처리량 요구 사항에 맞는 충분한 시스템 리소스를 예약합니다. 이 규칙은 처리량이 고객 계정의 최대 한도에 도달하면 알림을 생성합니다. 이 규칙을 사용하면 accountRCUThreshold백분율(구성 기본값: 80) 및 accountWCUThreshold백분율(구성 기본값: 80) 파라미터를 선택적으로 설정할 수 있습니다. 실제 값은 조직의 정책을 반영해야 합니다.
36i	guardduty-enabled-centralized	Amazon은 위협 인텔리전스 피드를 사용하여 잠재적 사이버 보안 이벤트를 모니터링하고 탐지하는 데 도움이 될 GuardDuty 수 있습니다. 여기에는 AWS 클라우드 환경 내에서 예상치 못한, 승인되지 않은, 악의적인 활동을 식별하기 위한 악의적인 및 IPs 기계 학습 목록이 포함됩니다.
36i	lambda-concurrency-check	이 규칙은 Lambda 함수의 동시성 상한 및 하한이 설정되도록 합니다. 이는 특정 시점에 함수가 처리하는 요청 수에 대한 기준 설정에 도움이 될 수 있습니다.
36i	lambda-dlq-check	함수가 실패하면 Amazon Simple Queue Service(Amazon SQS) 또는 Amazon Simple Notification Service(Amazon SNS)를 통해 적절한 담당자에게 알리는 데 도움이 되도록이 규칙을 활성화합니다.
36i	rds-enhanced-monitoring-enabled	Amazon Relational Database Service(AmazonRDS)를 활성화하여 Amazon RDS 가용성을 모니터링할 수 있습니다. 이를 통해 Amazon RDS 데이터베이스 인스턴스의 상태를 자세히 파악할 수 있습니다. Amazon RDS 스토리지가 둘 이상의 기본 물리적 디바이스를 사용하는 경우 Enhanced Monitoring은 각 디바이스에 대한 데이터를 수집합니다. 또한 Amazon RDS 데이터베이스 인스턴스가 다중 AZ 배포에서 실행 중인 경우 보조 호스트의 각 디바이스에 대한 데이터와 보조 호스트 지표가 수집됩니다.
36i	opensearch-logs-to-cloudwatch	Amazon OpenSearch Service 도메인에 오류 로그가 활성화되어 있고 보존 및 응답을 위해 Amazon CloudWatch Logs로 스트리밍되어 있는지 확인합니다. OpenSearch 서비스 오류 로그는 보안 및 액세스 감사를 지원하고 가용성 문제를 진단하는 데 도움이 될 수 있습니다.
36i	securityhub-enabled	AWS Security Hub는 권한이 없는 직원, 연결, 디바이스 및 소프트웨어를 모니터링하는 데 도움이 됩니다. AWS Security Hub는 여러 AWS 서비스의 보안 알림 또는 조사 결과를 집계, 구성 및 우선 순위를 지정합니다. 이러한 서비스 중에는 Amazon Security Hub, Amazon Inspector, Amazon Macie, AWS Identity and Access Management(IAM) Access Analyzer, AWS Firewall Manager 및 AWS 파트너 솔루션이 있습니다.
36i	beanstalk-enhanced-health-reporting활성화됨	AWS Elastic Beanstalk 향상된 상태 보고를 사용하면 기본 인프라의 상태 변화에 더 빠르게 대응할 수 있습니다. 이러한 변경으로 인해 애플리케이션 가용성이 떨어질 수 있습니다. Elastic Beanstalk 향상된 상태 보고는 식별된 문제의 심각도를 판단하고 조사할 가능한 원인을 식별할 수 있는 상태 설명자를 제공합니다.
36i	elasticsearch-logs-to-cloudwatch	Amazon OpenSearch Service 도메인에 오류 로그가 활성화되어 있고 보존 및 응답을 위해 Amazon CloudWatch Logs로 스트리밍되어 있는지 확인합니다. 도메인 오류 로그는 보안 및 액세스 감사에 도움이 되며 가용성 문제를 진단하는 데 도움이 될 수 있습니다.
36j	securityhub-enabled	AWS Security Hub는 권한이 없는 직원, 연결, 디바이스 및 소프트웨어를 모니터링하는 데 도움이 됩니다. AWS Security Hub는 여러 AWS 서비스의 보안 알림 또는 조사 결과를 집계, 구성 및 우선 순위를 지정합니다. 이러한 서비스 중에는 Amazon Security Hub, Amazon Inspector, Amazon Macie, AWS Identity and Access Management(IAM) Access Analyzer, AWS Firewall Manager 및 AWS 파트너 솔루션이 있습니다.
36j	guardduty-enabled-centralized	Amazon은 위협 인텔리전스 피드를 사용하여 잠재적 사이버 보안 이벤트를 모니터링하고 탐지하는 데 도움이 될 GuardDuty 수 있습니다. 여기에는 AWS 클라우드 환경 내에서 예상치 못한, 승인되지 않은, 악의적인 활동을 식별하기 위한 악의적인 및 IPs 기계 학습 목록이 포함됩니다.
36j	guardduty-non-archived-findings	Amazon은 조사 결과를 심각도별로 분류하여 인시던트의 영향을 이해하는 데 GuardDuty 도움이 됩니다. 이러한 분류를 사용하여 해결 전략 및 우선 순위를 결정할 수 있습니다. 이 규칙을 사용하면 조직의 정책에 따라 아카이브되지 않은 결과에 대해 daysLowSev (Config Default: 30), daysMediumSev (Config Default: 7) 및 daysHighSev (Config Default: 1)을 선택적으로 설정할 수 있습니다.
36j	opensearch-logs-to-cloudwatch	Amazon OpenSearch Service 도메인에 오류 로그가 활성화되어 있고 보존 및 응답을 위해 Amazon CloudWatch Logs로 스트리밍되어 있는지 확인합니다. OpenSearch 서비스 오류 로그는 보안 및 액세스 감사를 지원하고 가용성 문제를 진단하는 데 도움이 될 수 있습니다.
36j	autoscaling-group-elb-healthcheck-필수	Amazon Elastic Compute Cloud(Amazon ELB) Auto Scaling 그룹에 대한 Elastic Load Balancer(EC2) 상태 확인은 적절한 용량 및 가용성 유지 관리를 지원합니다. 로드 밸런서는 주기적으로 ping을 전송하거나, 연결을 시도하거나, 자동 크기 조정 그룹에서 Amazon EC2 인스턴스 상태를 테스트하기 위한 요청을 보냅니다. 인스턴스가 다시 보고하지 않으면 트래픽이 새 Amazon EC2 인스턴스로 전송됩니다.
36j	cloudwatch-alarm-action-check	지표가 지정된 평가 기간 수 동안 임계값을 위반하면 Amazon CloudWatch 경보가 알림을 보냅니다. 이러한 경보는 여러 기간에 대해 지정된 임계값과 지표 또는 표현식의 값을 비교하여 하나 이상의 작업을 수행합니다. 이 규칙에는 alarmActionRequired (Config Default: True), insufficientDataActionRequired(Config Default: True), okActionRequired (Config Default: False)에 대한 값이 필요합니다. 실제 값은 사용자 환경의 경보 동작을 반영해야 합니다.
36j	dynamodb-throughput-limit-check	Amazon DynamoDB 테이블에서 프로비저닝된 처리 용량을 확인하려면 이 규칙을 활성화하세요. 이는 각 테이블에서 지원할 수 있는 읽기 및 쓰기 활동의 양입니다. DynamoDB는 이 정보를 사용하여 처리량 요구 사항에 맞는 충분한 시스템 리소스를 예약합니다. 이 규칙은 처리량이 고객 계정의 최대 한도에 도달하면 알림을 생성합니다. 이 규칙을 사용하면 accountRCUThreshold백분율(구성 기본값: 80) 및 accountWCUThreshold백분율(구성 기본값: 80) 파라미터를 선택적으로 설정할 수 있습니다. 실제 값은 조직의 정책을 반영해야 합니다.
36j	lambda-dlq-check	함수가 실패하면 Amazon Simple Queue Service(Amazon SQS) 또는 Amazon Simple Notification Service(Amazon SNS)를 통해 적절한 담당자에게 알리는 데 도움이 되도록이 규칙을 활성화합니다.
36j	rds-enhanced-monitoring-enabled	Amazon Relational Database Service(AmazonRDS)를 활성화하여 Amazon RDS 가용성을 모니터링할 수 있습니다. 이를 통해 Amazon RDS 데이터베이스 인스턴스의 상태를 자세히 파악할 수 있습니다. Amazon RDS 스토리지가 둘 이상의 기본 물리적 디바이스를 사용하는 경우 Enhanced Monitoring은 각 디바이스에 대한 데이터를 수집합니다. 또한 Amazon RDS 데이터베이스 인스턴스가 다중 AZ 배포에서 실행 중인 경우 보조 호스트의 각 디바이스에 대한 데이터와 보조 호스트 지표가 수집됩니다.
36j	beanstalk-enhanced-health-reporting-활성화됨	AWS Elastic Beanstalk 향상된 상태 보고를 사용하면 기본 인프라의 상태 변화에 더 빠르게 대응할 수 있습니다. 이러한 변경으로 인해 애플리케이션 가용성이 떨어질 수 있습니다. Elastic Beanstalk 향상된 상태 보고는 식별된 문제의 심각도를 판단하고 조사할 가능한 원인을 식별할 수 있는 상태 설명자를 제공합니다.
36j	elasticsearch-logs-to-cloudwatch	Amazon OpenSearch Service 도메인에 오류 로그가 활성화되어 있고 보존 및 응답을 위해 Amazon CloudWatch Logs로 스트리밍되어 있는지 확인합니다. 도메인 오류 로그는 보안 및 액세스 감사에 도움이 되며 가용성 문제를 진단하는 데 도움이 될 수 있습니다.
36l	db-instance-backup-enabled	Amazon의 백업 기능은 데이터베이스 및 트랜잭션 로그의 백업을 RDS 생성합니다. Amazon은 DB 인스턴스의 스토리지 볼륨 스냅샷을 RDS 자동으로 생성하여 전체 DB 인스턴스를 백업합니다. 시스템에서 복원력 요구 사항을 충족하도록 특정 보존 기간을 설정할 수 있습니다.
36l	dynamodb-autoscaling-enabled	Amazon DynamoDB Auto Scaling은 AWS Application Auto Scaling 서비스를 사용하여 실제 트래픽 패턴에 자동으로 응답하는 프로비저닝된 처리량 용량을 조정합니다. 따라서 테이블 또는 글로벌 보조 인덱스에 따라 할당된 읽기/쓰기 용량을 늘려 제한 없이 갑작스러운 트래픽 증가를 처리할 수 있습니다.
36l	dynamodb-pitr-enabled	이 규칙을 사용하면 정보가 백업되었는지 확인할 수 있습니다. 또한 Amazon DynamoDB에서 복구가 활성화되어 point-in-time 있는지 확인하여 백업을 유지합니다. 복구를 통해 지난 35일 동안의 테이블 연속 백업이 유지됩니다.
36l	elasticache-redis-cluster-automatic-backup-check	자동 백업이 활성화되면 Amazon ElastiCache은 매일 클러스터의 백업을 생성합니다. 백업은 조직에서 지정한 기간 동안 유지할 수 있습니다. 자동 백업은 데이터 손실을 막는 데 도움이 됩니다. 실패할 경우 새로운 클러스터를 생성해 최신 백업에서 모든 데이터를 복원할 수 있습니다.
36l	elb-deletion-protection-enabled	이 규칙은 Elastic Load Balancing이 삭제 방지 기능을 사용하도록 합니다. 이 기능을 사용하면 로드 밸런서가 실수로 또는 악의적으로 삭제되어 애플리케이션의 가용성이 손실되는 것을 방지할 수 있습니다.
36l	rds-multi-az-support	Amazon Relational Database Service(Amazon RDS)에서 다중 AZ를 지원하면 데이터베이스 인스턴스의 가용성과 내구성이 향상됩니다. 다중 AZ 데이터베이스 인스턴스를 프로비저닝하면 Amazon은 기본 데이터베이스 인스턴스를 RDS 자동으로 생성하고 데이터를 다른 가용 영역의 대기 인스턴스에 동기식으로 복제합니다. 각 가용 영역은 물리적으로 구분된 자체 독립 인프라에서 실행되며 안정성이 높도록 설계되었습니다. 인프라에 장애가 발생하는 경우 Amazon은 자동 장애 조치를 대기 모드로 RDS 수행하므로 장애 조치가 완료되는 즉시 데이터베이스 작업을 재개할 수 있습니다.
36l	rds-cluster-multi-az활성화됨	Amazon Relational Database Service(Amazon RDS)에서 다중 AZ를 지원하면 데이터베이스 인스턴스의 가용성과 내구성이 향상됩니다. 다중 AZ 데이터베이스 인스턴스를 프로비저닝하면 Amazon은 기본 데이터베이스 인스턴스를 RDS 자동으로 생성하고 데이터를 다른 가용 영역의 대기 인스턴스에 동기식으로 복제합니다. 각 가용 영역은 물리적으로 구분된 자체 독립 인프라에서 실행되며 안정성이 높도록 설계되었습니다. 인프라에 장애가 발생하는 경우 Amazon은 자동 장애 조치를 대기 모드로 RDS 수행하므로 장애 조치가 완료되는 즉시 데이터베이스 작업을 재개할 수 있습니다.
36l	s3-bucket-replication-enabled	Amazon Simple Storage Service(Amazon S3) 리전 간 복제(CRR)는 적절한 용량 및 가용성 유지를 지원합니다. CRR는 Amazon S3 버킷에서 객체를 비동기식으로 자동 복사하여 데이터 가용성을 유지할 수 있도록 지원합니다.
36l	vpc-vpn-2-tunnels-up	복원력 요구 사항을 충족하기 위해 중복 Site-to-Site VPN 터널을 구현할 수 있습니다. 두 터널을 사용하여 연결 중 Site-to-Site 하나를 사용할 수 없게 되는 경우 VPN 연결을 보장합니다. 고객 게이트웨이를 사용할 수 없는 경우 연결 손실을 방지하기 위해 두 번째 Site-to-Site 고객 게이트웨이를 사용하여 Amazon Virtual Private Cloud(AmazonVPC) 및 가상 프라이빗 게이트웨이에 대한 두 번째 VPN 연결을 설정할 수 있습니다.
36l	dynamodb-in-backup-plan	데이터 백업 프로세스에 도움이 되도록 Amazon DynamoDB 테이블이 AWS 백업 계획의 일부인지 확인합니다. AWS 백업은 정책 기반 백업 솔루션을 사용하는 완전 관리형 백업 서비스입니다. 이 솔루션을 사용하면 백업 관리를 단순화하고 비즈니스 및 규제 백업 규정 준수 요구 사항을 충족할 수 있습니다.
36l	ebs-in-backup-plan	데이터 백업 프로세스에 도움이 되도록 Amazon Elastic Block Store(Amazon EBS) 볼륨이 AWS 백업 계획의 일부인지 확인합니다. AWS 백업은 정책 기반 백업 솔루션을 갖춘 완전 관리형 백업 서비스입니다. 이 솔루션을 사용하면 백업 관리를 단순화하고 비즈니스 및 규제 백업 규정 준수 요구 사항을 충족할 수 있습니다.
36l	efs-in-backup-plan	데이터 백업 프로세스에 도움이 되도록 Amazon Elastic File System(Amazon EFS) 파일 시스템이 AWS 백업 계획의 일부인지 확인합니다. AWS 백업은 정책 기반 백업 솔루션을 사용하는 완전 관리형 백업 서비스입니다. 이 솔루션을 사용하면 백업 관리를 단순화하고 비즈니스 및 규제 백업 규정 준수 요구 사항을 충족할 수 있습니다.
36l	elb-cross-zone-load-밸런싱 사용	Elastic Load Balancer(ELBs)에 대해 교차 영역 로드 밸런싱을 활성화하여 적절한 용량과 가용성을 유지할 수 있습니다. 영역 간 로드 밸런싱을 사용하면 활성화된 각 가용성 영역에서 동일한 수의 인스턴스를 유지해야 할 필요성이 줄어듭니다. 또한 애플리케이션이 보다 효과적으로 하나 이상의 인스턴스 손실을 처리할 수 있습니다.
36l	rds-instance-deletion-protection활성화됨	Amazon Relational Database Service(AmazonRDS) 인스턴스에 삭제 방지가 활성화되어 있는지 확인합니다. 삭제 방지 기능을 사용하여 Amazon RDS 인스턴스가 실수로 또는 악의적으로 삭제되지 않도록 하여 애플리케이션의 가용성이 손실될 수 있습니다.
36l	rds-in-backup-plan	데이터 백업 프로세스에 도움이 되도록 Amazon Relational Database Service(Amazon RDS) 인스턴스가 백업 계획의 AWS 일부인지 확인합니다. AWS 백업은 정책 기반 백업 솔루션을 사용하는 완전 관리형 백업 서비스입니다. 이 솔루션을 사용하면 백업 관리를 단순화하고 비즈니스 및 규제 백업 규정 준수 요구 사항을 충족할 수 있습니다.
36l	redshift-backup-enabled	데이터 백업 프로세스에 도움이 되도록 Amazon Redshift 클러스터에 자동 스냅샷이 있는지 확인하세요. 클러스터에 자동 스냅샷이 사용되면 Redshift는 정기적으로 해당 클러스터의 스냅샷을 생성합니다. 기본적으로 Redshift는 8시간마다 또는 각 노드당 5GB의 데이터 변경이 있을 때마다 둘 중 먼저 발생하는 시점을 기준으로 스냅샷을 생성합니다.
36l	beanstalk-enhanced-health-reporting활성화됨	AWS Elastic Beanstalk 향상된 상태 보고를 사용하면 기본 인프라의 상태 변화에 더 빠르게 대응할 수 있습니다. 이러한 변경으로 인해 애플리케이션 가용성이 떨어질 수 있습니다. Elastic Beanstalk 향상된 상태 보고는 식별된 문제의 심각도를 판단하고 조사할 가능한 원인을 식별할 수 있는 상태 설명자를 제공합니다.
39(a)(b)(d)	guardduty-enabled-centralized	Amazon은 위협 인텔리전스 피드를 사용하여 잠재적 사이버 보안 이벤트를 모니터링하고 탐지하는 데 도움이 될 GuardDuty 수 있습니다. 여기에는 AWS 클라우드 환경 내에서 예상치 못한, 승인되지 않은, 악의적인 활동을 식별하기 위한 악의적인 및 IPs 기계 학습 목록이 포함됩니다.
39(a)(b)(d)	guardduty-non-archived-findings	Amazon은 조사 결과를 심각도별로 분류하여 인시던트의 영향을 이해하는 데 GuardDuty 도움이 됩니다. 이러한 분류를 사용하여 해결 전략 및 우선 순위를 결정할 수 있습니다. 이 규칙을 사용하면 조직의 정책에 따라 아카이브되지 않은 결과에 대해 daysLowSev (Config Default: 30), daysMediumSev (Config Default: 7) 및 daysHighSev (Config Default: 1)을 선택적으로 설정할 수 있습니다.
39(a)(b)(d)	securityhub-enabled	AWS Security Hub는 권한이 없는 직원, 연결, 디바이스 및 소프트웨어를 모니터링하는 데 도움이 됩니다. AWS Security Hub는 여러 AWS 서비스의 보안 알림 또는 조사 결과를 집계, 구성 및 우선 순위를 지정합니다. 이러한 서비스 중에는 Amazon Security Hub, Amazon Inspector, Amazon Macie, AWS Identity and Access Management(IAM) Access Analyzer, AWS Firewall Manager 및 AWS 파트너 솔루션이 있습니다.
40	ec2-managedinstance-patch-compliance-status-확인	Amazon Elastic Compute Cloud(AmazonEC2) 취약성을 식별하고 문서화하는 데 도움이 되도록이 규칙을 활성화합니다. 규칙은 조직의 정책 및 절차에 따라 AWS Systems Manager에서 Amazon EC2 인스턴스 패치 규정 준수 여부를 확인합니다.
40	redshift-cluster-maintenancesettings-check	이 규칙은 Amazon Redshift 클러스터가 조직에서 선호하는 설정을 갖도록 보장합니다. 특히 데이터베이스에 기본 설정된 유지 관리 기간과 자동화된 스냅샷 보존 기간이 있습니다. 이 규칙을 사용하려면를 설정해야 합니다 allowVersionUpgrade. 기본값은 true입니다. 또한 선택적으로 preferredMaintenanceWindow (기본값은 sat:16:00-sat:16:30) 및 automatedSnapshotRetention기간(기본값은 1)을 설정할 수 있습니다. 실제 값은 조직의 정책을 반영해야 합니다.
40	elastic-beanstalk-managed-updates활성화됨	Amazon Elastic Beanstalk 환경에서 관리형 플랫폼 업데이트를 활성화하면 사용 가능한 최신 플랫폼 수정, 업데이트 및 환경 기능이 설치됩니다. 패치 설치를 최신 상태로 유지하는 것이 시스템 보안의 모범 사례입니다.
40	rds-automatic-minor-version-upgrade-enabled	Amazon Relational Database Service(RDS) 인스턴스에서 마이너 버전 자동 업그레이드를 활성화하여 보안 패치 및 버그 수정을 포함할 수 있는 관계형 데이터베이스 관리 시스템(RDBMS)에 대한 최신 마이너 버전 업데이트가 설치되도록 합니다.
44a	iam-root-access-key-확인	루트 사용자에게 AWS Identity and Access Management(IAM) 역할에 연결된 액세스 키가 없는지 확인하여 시스템 및 자산에 대한 액세스를 제어할 수 있습니다. 루트 액세스 키가 삭제되었는지 확인하세요. 대신 역할 기반 AWS 계정 를 생성하고 사용하여 최소 기능의 원칙을 통합하는 데 도움이 됩니다.
44a	root-account-hardware-mfa활성화됨	루트 사용자에 대해 하드웨어가 활성화MFA되어 있는지 확인하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 루트 사용자는 권한이 가장 많은 AWS 계정사용자입니다. 는 로그인 자격 증명에 대한 추가 보호 계층을 MFA 추가합니다. 루트 사용자에게 MFA를 요구하면 손상된 인시던트를 줄일 수 있습니다 AWS 계정.
44a	root-account-mfa-enabled	루트 사용자에 대해 MFA가 활성화되어 있는지 확인하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 루트 사용자는 권한이 가장 많은 AWS 계정사용자입니다. 는 사용자 이름 및 암호에 대한 추가 보호 계층을 MFA 추가합니다. 루트 사용자에게 MFA를 요구하면 손상된 인시던트를 줄일 수 있습니다 AWS 계정.
44b	rds-instance-deletion-protection활성화됨	Amazon Relational Database Service(AmazonRDS) 인스턴스에 삭제 방지가 활성화되어 있는지 확인합니다. 삭제 방지 기능을 사용하여 Amazon RDS 인스턴스가 실수로 또는 악의적으로 삭제되지 않도록 하여 애플리케이션의 가용성이 손실될 수 있습니다.
44b	s3-bucket-versioning-enabled	Amazon Simple Storage Service(S3) 버킷 버전 관리를 사용하면 동일한 Amazon S3 버킷 내에 객체의 여러 변형을 보유할 수 있습니다. 버전 관리를 사용하여 Amazon S3 버킷에 저장된 모든 버전의 모든 객체를 보존, 검색 및 복원합니다. 버전 관리는 의도치 않은 사용자 작업 및 애플리케이션 장애로부터 복구하는 데 도움이 됩니다.
44b	elb-deletion-protection-enabled	이 규칙은 Elastic Load Balancing이 삭제 방지 기능을 사용하도록 합니다. 이 기능을 사용하면 로드 밸런서가 실수로 또는 악의적으로 삭제되어 애플리케이션의 가용성이 손실되는 것을 방지할 수 있습니다.
44c	kms-cmk-not-scheduled삭제용	저장 데이터를 보호하기 위해 AWS Key Management Service(CMKs)에서 필요한 고객 마스터 키()를 삭제하지 않도록 예약해야 합니다AWS KMS. 때때로 키 삭제가 필요하기 때문에 이 규칙은 실수로 키가 예약된 경우 삭제가 예약된 모든 키를 확인하는 데 도움을 줄 수 있습니다.
44c	iam-root-access-key- 확인	루트 사용자에게 AWS Identity and Access Management(IAM) 역할에 연결된 액세스 키가 없는지 확인하여 시스템 및 자산에 대한 액세스를 제어할 수 있습니다. 루트 액세스 키가 삭제되었는지 확인하세요. 대신 역할 기반 AWS 계정 를 생성하고 사용하여 최소 기능의 원칙을 통합하는 데 도움이 됩니다.
44c	iam-customer-policy-blocked-kms-작업	AWS Identity and Access Management(IAM)는 최소 권한 및 업무 분리 원칙을 액세스 권한 및 권한과 통합하여 정책이 모든 AWS Key Management Service 키에 차단된 작업을 포함하지 못하도록 제한하는 데 도움이 될 수 있습니다. 작업을 완료하는 데 필요한 것보다 더 많은 권한을 갖는 것은 최소 권한 및 업무 분리 원칙에 위배될 수 있습니다. 이 규칙을 사용하면 blockedActionsPatterns 파라미터를 설정할 수 있습니다. (AWS 기본 보안 모범 사례 값: kms:암호 해독, kms:ReEncryptFrom). 실제 값은 조직의 정책을 반영해야 합니다.
44c	iam-inline-policy-blocked-kms-작업	AWS Identity and Access Management(IAM) 사용자, IAM 역할 또는 IAM 그룹에 모든 AWS Key Management Service 키에 대해 차단된 작업을 허용하는 인라인 정책이 없는지 확인합니다. AWS 는 인라인 정책 대신 관리형 정책을 사용하도록 권장합니다. 관리형 정책을 사용하면 재사용, 버전 관리, 롤백 및 권한 위임 관리가 가능합니다. 이 규칙을 사용하면 파라미터를 설정할 수 있습니다 blockedActionsPatterns. (AWS 기본 보안 모범 사례 값: kms:암호 해독, kms:ReEncryptFrom). 실제 값은 조직의 정책을 반영해야 합니다.
45	iam-policy-no-statements-with-admin-access	AWS 자격 증명 및 액세스 관리(IAM)는 최소 권한 및 직무 분리 원칙을 액세스 권한 및 권한과 통합하는 데 도움이 되며, 정책이 “효과”: “허용”을 “작업”: “”과 함께 “리소스”: “”를 포함하도록 제한할 수 있습니다. 작업을 완료하는 데 필요한 것보다 더 많은 권한을 갖도록 허용하는 것은 최소 권한 및 업무 분리 원칙에 위배될 수 있습니다.
45	iam-root-access-key-확인	루트 사용자에게 AWS Identity and Access Management(IAM) 역할에 연결된 액세스 키가 없는지 확인하여 시스템 및 자산에 대한 액세스를 제어할 수 있습니다. 루트 액세스 키가 삭제되었는지 확인하세요. 대신 역할 기반 AWS 계정 를 생성하고 사용하여 최소 기능의 원칙을 통합하는 데 도움이 됩니다.
45	iam-user-group-membership-확인	AWS Identity and Access Management(IAM)는 사용자가 하나 이상의 그룹의 멤버가 되도록 하여 액세스 권한 및 권한 부여를 제한하는 데 도움이 될 수 있습니다. 사용자에게 작업을 완료하는 데 필요한 것보다 더 많은 권한을 허용하면 최소 권한 및 업무 분리 원칙에 위배될 수 있습니다.
45	iam-user-mfa-enabled	이 규칙을 사용하면 AWS 클라우드의 리소스에 대한 액세스를 제한할 수 있습니다. 이 규칙은 모든 사용자에 대해 다중 인증(MFA)이 활성화되도록 합니다.는 사용자 이름 및 암호 외에도 추가 보호 계층을 MFA 추가합니다. 사용자에게를 요구하여 손상된 계정의 인시던트MFA를 줄입니다.
45	iam-user-no-policies- 확인	이 규칙은 AWS ID 및 액세스 관리(IAM) 정책이 그룹 또는 역할에만 연결되어 시스템 및 자산에 대한 액세스를 제어하도록 합니다. 그룹 또는 역할 수준에서 권한을 할당하면 ID가 과도한 권한을 받거나 보유할 기회를 줄이는 데 도움이 됩니다.
45	iam-user-unused-credentials-확인	AWS Identity and Access Management(IAM)는 지정된 기간 동안 사용되지 않는 IAM 암호 및 액세스 키를 확인하여 액세스 권한 및 권한 부여를 지원합니다. 이러한 미사용 보안 인증 정보가 발견되면 최소 권한의 원칙에 위배될 수 있으므로 해당 보안 인증 정보를 비활성화 및/또는 제거해야 합니다. 이 규칙을 사용하려면 값을 maxCredentialUsageAge(구성 기본값: 90)로 설정해야 합니다. 실제 값은 조직의 정책을 반영해야 합니다.
45	mfa-enabled-for-iam-콘솔-액세스	콘솔 암호가 있는 모든 AWS Identity and Access Management(IAM) 사용자에 대해 MFA가 활성화되어 있는지 확인하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다.는 로그인 자격 증명 외에도 추가 보호 계층을 MFA 추가합니다. 사용자에게 MFA를 요구하면 손상된 계정의 인시던트를 줄이고 권한이 없는 사용자가 민감한 데이터에 액세스하지 못하도록 할 수 있습니다.
45	root-account-hardware-mfa활성화됨	루트 사용자에 대해 하드웨어가 활성화MFA되어 있는지 확인하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 루트 사용자는 권한이 가장 많은 AWS 계정사용자입니다. 는 로그인 자격 증명에 대한 추가 보호 계층을 MFA 추가합니다. 루트 사용자에게 MFA를 요구하면 손상된 인시던트를 줄일 수 있습니다 AWS 계정.
45	root-account-mfa-enabled	루트 사용자에 대해 MFA가 활성화되어 있는지 확인하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 루트 사용자는 권한이 가장 많은 AWS 계정사용자입니다. 는 사용자 이름 및 암호에 대한 추가 보호 계층을 MFA 추가합니다. 루트 사용자에게 MFA를 요구하면 손상된 인시던트를 줄일 수 있습니다 AWS 계정.
45	emr-kerberos-enabled	Amazon EMR 클러스터용 Kerberos를 활성화하여 액세스 권한 및 권한 부여를 관리하고 최소 권한 및 업무 분리 원칙에 통합할 수 있습니다. Kerberos에서는 인증이 필요한 서비스 및 사용자를 보안 주체라고 합니다. 보안 주체는 Kerberos 영역 내에 존재합니다. 영역 내에서 Kerberos 서버를 키 배포 센터()라고 합니다KDC. 이는 보안 주체가 인증할 수 있는 수단을 제공합니다. 는 KDC 인증을 위한 티켓을 발급하여 인증합니다. 는 영역 내에서 보안 주체의 데이터베이스, 암호 및 각 보안 주체에 대한 기타 관리 정보를 KDC 유지합니다.
45	iam-no-inline-policy- 확인	AWS Identity and Access Management(IAM) 사용자, IAM 역할 또는 IAM 그룹에 시스템 및 자산에 대한 액세스를 제어하는 인라인 정책이 없는지 확인합니다.는 인라인 정책 대신 관리형 정책을 사용하도록 AWS 권장합니다. 관리형 정책을 사용하면 재사용, 버전 관리, 롤백 및 권한 위임 관리가 가능합니다.
45	dms-replication-not-public	DMS 복제 인스턴스에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드에 대한 액세스를 관리합니다. DMS 복제 인스턴스에는 민감한 정보가 포함될 수 있으며 이러한 계정에 대한 액세스 제어가 필요합니다.
45	ebs-snapshot-public-restorable- 확인	EBS 스냅샷을 공개적으로 복원할 수 없도록 하여 AWS 클라우드에 대한 액세스를 관리합니다. EBS 볼륨 스냅샷에는 민감한 정보가 포함될 수 있으며 이러한 계정에 대한 액세스 제어가 필요합니다.
45	ec2-instance-no-public-ip	Amazon Elastic Compute AWS Cloud(Amazon EC2) 인스턴스에 공개적으로 액세스할 수 없도록 하여 클라우드에 대한 액세스를 관리합니다. Amazon EC2 인스턴스에는 민감한 정보가 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
45	elasticsearch-in-vpc-only	Amazon OpenSearch Service(OpenSearch 서비스) 도메인이 Amazon Virtual Private AWS Cloud(Amazon) 내에 있는지 확인하여 클라우드에 대한 액세스를 관리합니다VPC. Amazon Virtual Private Cloud Amazon 내의 OpenSearch 서비스 도메인은 인터넷 게이트웨이, NAT 디바이스 또는 VPN 연결 VPC 없이 OpenSearch 도 서비스와 Amazon 내의 다른 서비스 간의 안전한 통신을 VPC 가능하게 합니다.
45	emr-master-no-public-ip	Amazon EMR 클러스터 마스터 노드에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드에 대한 액세스를 관리합니다. Amazon EMR 클러스터 마스터 노드에는 민감한 정보가 포함될 수 있으며 해당 계정에 대한 액세스 제어가 필요합니다.
45	restricted-ssh	Amazon Elastic Compute Cloud(Amazon EC2) 보안 그룹은 AWS 리소스에 대한 네트워크 트래픽의 수신 및 송신을 상태 저장 필터링하여 네트워크 액세스를 관리하는 데 도움이 될 수 있습니다. 리소스의 0.0.0.0/0에서 포트 22로 수신(또는 원격) 트래픽을 허용하지 않으면 원격 액세스를 제한하는 데 도움이 됩니다.
45	ec2-instances-in-vpc	Amazon Virtual Private Cloud(Amazon EC2) 내에 Amazon Elastic Compute Cloud(Amazon VPC) 인스턴스를 배포하여 인터넷 게이트웨이, NAT 디바이스 또는 VPN 연결 VPC없이 인스턴스와 Amazon 내의 다른 서비스 간에 안전한 통신을 가능하게 합니다. Amazon Virtual Private Cloud 모든 트래픽은 AWS 클라우드 내에서 안전하게 유지됩니다. 논리적 격리로 인해 Amazon 내에 있는 도메인VPC은 퍼블릭 엔드포인트를 사용하는 도메인과 비교할 때 추가 보안 계층이 있습니다. Amazon EC2 인스턴스를 Amazon에 할당VPC하여 액세스를 적절하게 관리합니다.
45	internet-gateway-authorized-vpc- 전용	인터넷 게이트웨이가 승인된 Amazon Virtual Private AWS Cloud(Amazon)에만 연결되도록 하여 클라우드의 리소스에 대한 액세스를 관리합니다VPC. Amazon Virtual Private Cloud 인터넷 게이트웨이는 Amazon 리소스에 대한 무단 액세스로 이어질 수 VPC 있는 Amazon과의 양방향 인터넷 액세스를 허용합니다VPC.
45	lambda-function-public-access-금지됨	AWS Lambda 함수에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 퍼블릭 액세스는 잠재적으로 리소스 가용성을 저하시킬 수 있습니다.
45	lambda-inside-vpc	Amazon Virtual Private Cloud(AmazonVPC) 내에 AWS Lambda 함수를 배포하여 Amazon 내의 함수와 다른 서비스 간의 안전한 통신을 보장합니다VPC. 이 구성에서는 인터넷 게이트웨이, NAT 디바이스 또는 VPN 연결에 대한 요구 사항이 없습니다. 모든 트래픽은 AWS 클라우드 내에서 안전하게 유지됩니다. 논리적 격리로 인해 Amazon 내에 있는 도메인VPC은 퍼블릭 엔드포인트를 사용하는 도메인과 비교할 때 추가 보안 계층이 있습니다. 액세스를 올바르게 관리하려면 AWS Lambda 함수를에 할당해야 합니다VPC.
45	rds-instance-public-access-확인	Amazon Relational Database Service(AmazonRDS) 인스턴스가 공개되지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. Amazon RDS 데이터베이스 인스턴스에는 민감한 정보가 포함될 수 있으며 이러한 계정에는 원칙과 액세스 제어가 필요합니다.
45	rds-snapshots-public-prohibited	Amazon Relational Database Service(AmazonRDS) 인스턴스가 공개되지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. Amazon RDS 데이터베이스 인스턴스에는 민감한 정보와 원칙이 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
45	redshift-cluster-public-access-확인	Amazon Redshift 클러스터가 공개되지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. Amazon Redshift 클러스터에는 민감한 정보와 원칙이 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
45	restricted-common-ports	Amazon Elastic Compute AWS Cloud(Amazon EC2) 보안 그룹에서 공통 포트가 제한되도록 하여 클라우드의 리소스에 대한 액세스를 관리합니다. 포트 액세스를 신뢰할 수 있는 소스로 제한하지 않으면 시스템의 가용성, 무결성 및 기밀성에 대한 공격이 발생할 수 있습니다. 이 규칙을 사용하면 선택적으로 blockedPort1~blockedPort5개의 파라미터를 설정할 수 있습니다(구성 기본값: 20,21,3389,3306,4333). 실제 값은 조직의 정책을 반영해야 합니다.
45	s3-bucket-public-read-prohibited	승인된 사용자, 프로세스 및 디바이스만 Amazon Simple Storage Service(Amazon S3) 버킷에 액세스할 수 있도록 허용하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 액세스 관리는 데이터 분류와 일치해야 합니다.
45	s3-bucket-public-write-prohibited	승인된 사용자, 프로세스 및 디바이스만 Amazon Simple Storage Service(Amazon S3) 버킷에 액세스할 수 있도록 허용하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 액세스 관리는 데이터 분류와 일치해야 합니다.
45	sagemaker-notebook-no-direct-인터넷-액세스	Amazon SageMaker 노트북에서 직접 인터넷 액세스를 허용하지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 직접 인터넷 액세스를 방지함으로써 권한이 없는 사용자가 민감한 데이터에 액세스하는 것을 방지할 수 있습니다.
45	vpc-default-security-group-닫힘	Amazon Elastic Compute Cloud(Amazon EC2) 보안 그룹은 AWS 리소스에 대한 네트워크 트래픽의 수신 및 송신을 상태 저장 필터링하여 네트워크 액세스를 관리하는 데 도움이 될 수 있습니다. 기본 보안 그룹의 모든 트래픽을 제한하면 AWS 리소스에 대한 원격 액세스를 제한하는 데 도움이 됩니다.
45	vpc-sg-open-only-to-authorized-ports	Amazon Elastic Compute AWS Cloud(Amazon EC2) 보안 그룹에서 공통 포트가 제한되도록 하여 클라우드의 리소스에 대한 액세스를 관리합니다. 포트 액세스를 신뢰할 수 있는 소스로 제한하지 않으면 시스템의 가용성, 무결성 및 기밀성에 대한 공격이 발생할 수 있습니다. 인터넷(0.0.0.0/0)에서 보안 그룹 내 리소스에 대한 액세스를 제한함으로써 내부 시스템에 대한 원격 액세스를 제어할 수 있습니다.
45	account-part-of-organizations	Organizations AWS 계정 내 AWS 중앙 집중식 관리는 계정이 규정을 준수하도록 하는 데 도움이 됩니다. 중앙 집중식 계정 거버넌스가 없으면 계정 구성이 일관되지 않아 리소스와 민감한 데이터가 노출될 수 있습니다.
45	iam-customer-policy-blocked-kms-작업	AWS Identity and Access Management(IAM)를 사용하면 최소 권한 및 업무 분리 원칙을 액세스 권한 및 권한과 통합하여 정책이 모든 AWS Key Management Service 키에 차단된 작업을 포함하지 못하도록 제한할 수 있습니다. 작업을 완료하는 데 필요한 것보다 더 많은 권한을 갖는 것은 최소 권한 및 업무 분리 원칙에 위배될 수 있습니다. 이 규칙을 사용하면 blockedActionsPatterns 파라미터를 설정할 수 있습니다. (AWS 기본 보안 모범 사례 값: kms:암호 해독, kms:ReEncryptFrom). 실제 값은 조직의 정책을 반영해야 합니다.
45	iam-inline-policy-blocked-kms-작업	AWS Identity and Access Management(IAM) 사용자, IAM 역할 또는 IAM 그룹에 모든 AWS Key Management Service 키에 대해 차단된 작업을 허용하는 인라인 정책이 없는지 확인합니다. AWS 는 인라인 정책 대신 관리형 정책을 사용하도록 권장합니다. 관리형 정책을 사용하면 재사용, 버전 관리, 롤백 및 권한 위임 관리가 가능합니다. 이 규칙을 사용하면 파라미터를 설정할 수 있습니다 blockedActionsPatterns. (AWS 기본 보안 모범 사례 값: kms:암호 해독, kms:ReEncryptFrom). 실제 값은 조직의 정책을 반영해야 합니다.
45	ec2-instance-profile-attached	EC2 인스턴스 프로파일은 IAM 역할을 EC2 인스턴스에 전달합니다. 인스턴스 프로파일을 인스턴스에 연결하면 최소 권한 및 권한 관리에 도움이 될 수 있습니다.
45	iam-policy-no-statements-with-full-access	IAM 작업이 필요한 작업으로만 제한되도록 합니다. 작업을 완료하는 데 필요한 것보다 더 많은 권한을 갖도록 허용하는 것은 최소 권한 및 업무 분리 원칙에 위배될 수 있습니다.
45	no-unrestricted-route-to-igw	Amazon EC2 라우팅 테이블에 인터넷 게이트웨이에 대한 무제한 경로가 없는지 확인합니다. Amazon 내의 워크로드에 대한 인터넷 액세스를 제거하거나 제한하면 환경 내에서 의도하지 않은 액세스를 줄일 VPCs 수 있습니다.
45	s3-bucket-level-public-access-금지됨	Amazon Simple Storage Service(Amazon S3) 버킷에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 이 규칙은 버킷 수준에서 퍼블릭 액세스를 차단하여 권한이 없는 원격 사용자로부터 민감한 데이터를 안전하게 보호하는 데 도움이 됩니다.
45	subnet-auto-assign-public-ip-비활성화	Amazon Virtual Private AWS Cloud(VPC) 서브넷에 퍼블릭 IP 주소가 자동으로 할당되지 않도록 하여 클라우드에 대한 액세스를 관리합니다. Amazon Virtual Private Cloud 이 속성이 활성화된 서브넷으로 시작되는 Amazon Elastic Compute Cloud(EC2) 인스턴스에는 기본 네트워크 인터페이스에 할당된 퍼블릭 IP 주소가 있습니다.
45	autoscaling-launch-config-public-ip-비활성화	퍼블릭 IP 주소로 네트워크 인터페이스를 구성하는 경우 해당 네트워크 인터페이스에 연결된 리소스는 인터넷에서 연결할 수 있습니다. EC2 리소스는 애플리케이션 또는 서버에 의도하지 않은 액세스를 허용할 수 있으므로 공개적으로 액세스할 수 없어야 합니다.
45	redshift-enhanced-vpc-routing활성화됨	향상된 VPC 라우팅은 클러스터와 데이터 리포지토리 간의 모든 COPY UNLOAD 트래픽이 Amazon를 통과하도록 합니다VPC. 그런 다음 보안 그룹 및 네트워크 액세스 제어 목록과 같은 VPC 기능을 사용하여 네트워크 트래픽을 보호할 수 있습니다. VPC 흐름 로그를 사용하여 네트워크 트래픽을 모니터링할 수도 있습니다.
45	opensearch-in-vpc-only	Amazon OpenSearch Service 도메인이 Amazon Virtual Private AWS Cloud(Amazon) 내에 있는지 확인하여 클라우드에 대한 액세스를 관리합니다VPC. Amazon Virtual Private Cloud Amazon 내의 Amazon OpenSearch Service 도메인은 인터넷 게이트웨이, NAT 디바이스 또는 VPN 연결 VPC 없이 Amazon OpenSearch Service와 Amazon 내의 다른 서비스 간의 안전한 통신을 VPC 가능하게 합니다.
45	s3-account-level-public-access-blocks-periodic	Amazon Simple Storage Service(Amazon S3) 버킷에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 이 규칙은 퍼블릭 액세스를 방지하여 권한이 없는 원격 사용자로부터 민감한 데이터를 안전하게 보호하는 데 도움이 됩니다. 이 규칙을 사용하면 (Config Default: True), ignorePublicAcls ( blockPublicPolicy Config Default: True), blockPublicAcls (Config Default: True) 및 restrictPublicBuckets 파라미터(Config Default: True)를 선택적으로 설정할 수 있습니다. 실제 값은 조직의 정책을 반영해야 합니다.
45	ssm-document-not-public	AWS Systems Manager(SSM) 문서는 SSM 문서에 의도하지 않은 액세스를 허용할 수 있으므로 공개되지 않아야 합니다. 퍼블릭 SSM 문서는 계정, 리소스 및 내부 프로세스에 대한 정보를 노출할 수 있습니다.
47c	emr-kerberos-enabled	Amazon EMR 클러스터용 Kerberos를 활성화하여 액세스 권한 및 권한 부여를 관리하고 최소 권한 및 업무 분리 원칙과 통합할 수 있습니다. Kerberos에서는 인증이 필요한 서비스 및 사용자를 보안 주체라고 합니다. 보안 주체는 Kerberos 영역 내에 존재합니다. 영역 내에서 Kerberos 서버를 키 배포 센터()라고 합니다KDC. 이는 보안 주체가 인증할 수 있는 수단을 제공합니다. 는 KDC 인증을 위한 티켓을 발급하여 인증합니다. 는 영역 내에서 보안 주체의 데이터베이스, 암호 및 각 보안 주체에 대한 기타 관리 정보를 KDC 유지합니다.
47c	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management(IAM)는 최소 권한 및 업무 분리 원칙을 액세스 권한 및 권한과 통합하여 정책이 "Effect": "Allow"를 "Action": ""과 함께 "Resource": ""를 포함하도록 제한하는 데 도움이 될 수 있습니다. 작업을 완료하는 데 필요한 것보다 더 많은 권한을 갖도록 허용하는 것은 최소 권한 및 업무 분리 원칙에 위배될 수 있습니다.
47c	iam-root-access-key-확인	루트 사용자에게 AWS Identity and Access Management(IAM) 역할에 연결된 액세스 키가 없는지 확인하여 시스템 및 자산에 대한 액세스를 제어할 수 있습니다. 루트 액세스 키가 삭제되었는지 확인하세요. 대신 역할 기반 AWS 계정 를 생성하고 사용하여 최소 기능의 원칙을 통합하는 데 도움이 됩니다.
47c	iam-user-group-membership-확인	AWS Identity and Access Management(IAM)는 사용자가 하나 이상의 그룹의 멤버가 되도록 하여 액세스 권한 및 권한 부여를 제한하는 데 도움이 될 수 있습니다. 사용자에게 작업을 완료하는 데 필요한 것보다 더 많은 권한을 허용하면 최소 권한 및 업무 분리 원칙에 위배될 수 있습니다.
47c	iam-user-no-policies- 확인	이 규칙은 AWS ID 및 액세스 관리(IAM) 정책이 그룹 또는 역할에만 연결되어 시스템 및 자산에 대한 액세스를 제어하도록 합니다. 그룹 또는 역할 수준에서 권한을 할당하면 ID가 과도한 권한을 받거나 보유할 기회를 줄이는 데 도움이 됩니다.
47c	iam-no-inline-policy-확인	AWS Identity and Access Management(IAM) 사용자, IAM 역할 또는 IAM 그룹에 시스템 및 자산에 대한 액세스를 제어하는 인라인 정책이 없는지 확인합니다. 인라인 정책 대신 관리형 정책을 사용하는 것이 AWS 좋습니다. 관리형 정책을 사용하면 재사용, 버전 관리, 롤백 및 권한 위임 관리가 가능합니다.
47c	iam-policy-no-statements-with-full-access	IAM 작업이 필요한 작업으로만 제한되도록 합니다. 작업을 완료하는 데 필요한 것보다 더 많은 권한을 갖도록 허용하는 것은 최소 권한 및 업무 분리 원칙에 위배될 수 있습니다.
52c	api-gw-cache-enabled-및-암호화됨	저장 데이터를 보호하려면 API 게이트웨이 단계의 캐시에 암호화가 활성화되어 있는지 확인하세요. API 메서드에 민감한 데이터를 캡처할 수 있으므로 저장 시 암호화를 활성화하여 해당 데이터를 보호합니다.
52c	cloud-trail-encryption-enabled	민감한 데이터가 존재할 수 있으므로 저장 데이터를 보호하는 데 도움이 되도록 AWS CloudTrail 추적에 암호화가 활성화되어 있는지 확인합니다.
52c	cloudwatch-log-group-encrypted	저장 시 민감한 데이터를 보호하려면 Amazon CloudWatch Log Groups에 암호화가 활성화되어 있는지 확인하세요.
52c	efs-encrypted-check	민감한 데이터가 존재할 수 있고 저장 데이터를 보호하기 위해 Amazon Elastic File System()에 암호화가 활성화되어 있는지 확인합니다EFS.
52c	elasticsearch-encrypted-at-rest	민감한 데이터가 존재할 수 있고 저장 데이터를 보호하기 위해 Amazon OpenSearch Service(OpenSearch Service) 도메인에 암호화가 활성화되어 있는지 확인합니다.
52c	encrypted-volumes	민감한 데이터가 존재할 수 있고 저장 데이터를 보호하기 위해 Amazon Elastic Block Store(AmazonEBS) 볼륨에 암호화가 활성화되어 있는지 확인합니다.
52c	rds-storage-encrypted	저장 데이터를 보호하려면 Amazon Relational Database Service(AmazonRDS) 인스턴스에 암호화가 활성화되어 있는지 확인합니다. 민감한 데이터는 Amazon RDS 인스턴스에 유휴 상태로 존재할 수 있으므로 해당 데이터를 보호하는 데 도움이 되도록 유휴 상태의 암호화를 활성화합니다.
52c	redshift-cluster-configuration-check	저장 데이터를 보호하기 위해 Amazon Redshift 클러스터에 대해 암호화가 활성화되어 있는지 확인합니다. 또한 필수 구성이 Amazon Redshift 클러스터에 배포되었는지 확인해야 합니다. 데이터베이스의 연결 및 사용자 활동에 관한 정보를 제공하려면 감사 로깅을 활성화해야 합니다. 이 규칙을 사용하려면 clusterDbEncrypted (구성 기본값: TRUE) 및 loggingEnabled (구성 기본값: )에 대한 값을 설정해야 합니다TRUE. 실제 값은 조직의 정책을 반영해야 합니다.
52c	s3 bucket-server-side-encryption지원	저장 데이터를 보호하려면 Amazon Simple Storage Service(S3) 버킷에 대해 암호화가 활성화되어 있는지 확인합니다. Amazon S3 버킷에 저장 중 민감한 데이터가 존재할 수 있으므로 암호화를 활성화하여 해당 데이터를 보호합니다.
52c	sagemaker-endpoint-configuration-kms-key- configured	저장 데이터를 보호하려면 SageMaker 엔드포인트에 대해 Key Management Service(AWS KMS)를 사용한 AWS 암호화가 활성화되어 있는지 확인합니다. 민감한 데이터는 SageMaker 엔드포인트에 유휴 상태로 존재할 수 있으므로 해당 데이터를 보호하는 데 도움이 되도록 유휴 상태의 암호화를 활성화합니다.
52c	sagemaker-notebook-instance-kms-key- configured	저장 데이터를 보호하기 위해 SageMaker 노트북에 Key Management Service(AWS KMS)를 사용한 AWS 암호화가 활성화되어 있는지 확인합니다. SageMaker 노트북에 민감한 데이터가 저장되어 있을 수 있으므로 저장 시 암호화를 활성화하여 해당 데이터를 보호합니다.
52c	sns-encrypted-kms	저장 데이터를 보호하려면 Amazon Simple Notification Service(Amazon) 주제에 Key Management Service(SNS)를 사용한 AWS 암호화가 필요한지 확인합니다AWS KMS. 게시된 메시지에 민감한 데이터가 저장될 수 있으므로 저장 중 암호화를 활성화하여 해당 데이터를 보호합니다.
52c	ec2-ebs-encryption-by-default	저장 데이터를 보호하려면 Amazon Elastic Block Store(AmazonEBS) 볼륨에 암호화가 활성화되어 있는지 확인하세요. 이러한 볼륨에 저장 중 민감한 데이터가 존재할 수 있으므로 저장 중 암호화를 활성화하여 해당 데이터를 보호합니다.
52c	dynamodb-table-encrypted-kms	Amazon DynamoDB 테이블에 대해 암호화가 활성화되었는지 확인합니다. 이러한 테이블에 민감한 데이터가 저장 중일 수 있으므로 저장 암호화를 활성화하여 해당 데이터를 보호합니다. 기본적으로 DynamoDB 테이블은 AWS 소유 고객 마스터 키()로 암호화됩니다CMK.
52c	rds-snapshot-encrypted	Amazon Relational Database Service(AmazonRDS) 스냅샷에 암호화가 활성화되어 있는지 확인합니다. 저장 중 민감한 데이터가 존재할 수 있으므로 저장 중 암호화를 활성화하여 해당 데이터를 보호합니다.
52c	s3-default-encryption-kms	Amazon Simple Storage Service(S3) 버킷에 대해 암호화가 활성화되어 있는지 확인합니다. Amazon S3 버킷에 민감한 데이터가 저장 중일 수 있으므로 저장 암호화를 활성화하여 해당 데이터를 보호합니다.
52c	redshift-cluster-kms-enabled	저장 데이터를 보호하려면 Amazon Redshift 클러스터에 대해 Key Management Service(AWS KMS)를 사용한 AWS 암호화가 활성화되어 있는지 확인합니다. Redshift 클러스터에 저장 중 민감한 데이터가 존재할 수 있으므로 저장 중 암호화를 활성화하여 해당 데이터를 보호합니다.
52c	opensearch-encrypted-at-rest	민감한 데이터가 존재할 수 있고 저장 데이터를 보호하기 위해 Amazon OpenSearch Service 도메인에 암호화가 활성화되어 있는지 확인합니다.
52d	s3-bucket-public-read-prohibited	승인된 사용자, 프로세스 및 디바이스만 Amazon Simple Storage Service(Amazon S3) 버킷에 액세스할 수 있도록 허용하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 액세스 관리는 데이터 분류와 일치해야 합니다.
52d	s3-bucket-public-write-prohibited	승인된 사용자, 프로세스 및 디바이스만 Amazon Simple Storage Service(Amazon S3) 버킷에 액세스할 수 있도록 허용하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 액세스 관리는 데이터 분류와 일치해야 합니다.
52d	sagemaker-notebook-no-direct-인터넷-액세스	Amazon SageMaker 노트북에서 직접 인터넷 액세스를 허용하지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 직접 인터넷 액세스를 방지함으로써 권한이 없는 사용자가 민감한 데이터에 액세스하는 것을 방지할 수 있습니다.
52d	dms-replication-not-public	DMS 복제 인스턴스에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드에 대한 액세스를 관리합니다. DMS 복제 인스턴스에는 민감한 정보가 포함될 수 있으며 이러한 계정에 대한 액세스 제어가 필요합니다.
52d	ebs-snapshot-public-restorable-확인	EBS 스냅샷을 공개적으로 복원할 수 없도록 하여 AWS 클라우드에 대한 액세스를 관리합니다. EBS 볼륨 스냅샷에는 민감한 정보가 포함될 수 있으며 이러한 계정에 대한 액세스 제어가 필요합니다.
52d	ec2-instance-no-public-ip	Amazon Elastic Compute AWS Cloud(Amazon EC2) 인스턴스에 공개적으로 액세스할 수 없도록 하여 클라우드에 대한 액세스를 관리합니다. Amazon EC2 인스턴스에는 민감한 정보가 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
52d	elasticsearch-in-vpc-only	Amazon OpenSearch Service(OpenSearch Service) 도메인이 Amazon Virtual Private AWS Cloud(Amazon) 내에 있는지 확인하여 클라우드에 대한 액세스를 관리합니다VPC. Amazon Virtual Private Cloud Amazon 내의 OpenSearch 서비스 도메인은 인터넷 게이트웨이, NAT 디바이스 또는 VPN 연결 VPC 없이 OpenSearch 도 서비스와 Amazon 내의 다른 서비스 간의 안전한 통신을 VPC 가능하게 합니다.
52d	emr-master-no-public-ip	Amazon EMR 클러스터 마스터 노드에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드에 대한 액세스를 관리합니다. Amazon EMR 클러스터 마스터 노드에는 민감한 정보가 포함될 수 있으며 해당 계정에 대한 액세스 제어가 필요합니다.
52d	ec2-instances-in-vpc	Amazon Virtual Private Cloud(Amazon EC2) 내에 Amazon Elastic Compute Cloud(Amazon VPC) 인스턴스를 배포하여 인터넷 게이트웨이, NAT 디바이스 또는 VPN 연결 VPC없이 인스턴스와 Amazon 내의 다른 서비스 간에 안전한 통신을 가능하게 합니다. Amazon Virtual Private Cloud 모든 트래픽은 AWS 클라우드 내에서 안전하게 유지됩니다. 논리적 격리로 인해 Amazon 내에 있는 도메인VPC은 퍼블릭 엔드포인트를 사용하는 도메인과 비교할 때 추가 보안 계층이 있습니다. Amazon EC2 인스턴스를 Amazon에 할당VPC하여 액세스를 적절히 관리합니다.
52d	internet-gateway-authorized-vpc- 전용	인터넷 게이트웨이가 승인된 Amazon Virtual Private AWS Cloud(Amazon)에만 연결되도록 하여 클라우드의 리소스에 대한 액세스를 관리합니다VPC. Amazon Virtual Private Cloud 인터넷 게이트웨이는 Amazon VPC 리소스에 대한 무단 액세스로 이어질 수 VPC 있는 Amazon과의 양방향 인터넷 액세스를 허용합니다.
52d	lambda-function-public-access-금지됨	AWS Lambda 함수에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 퍼블릭 액세스는 잠재적으로 리소스 가용성을 저하시킬 수 있습니다.
52d	lambda-inside-vpc	Amazon Virtual Private Cloud(AmazonVPC) 내에 AWS Lambda 함수를 배포하여 Amazon 내의 함수와 다른 서비스 간의 안전한 통신을 보장합니다VPC. 이 구성에서는 인터넷 게이트웨이, NAT 디바이스 또는 VPN 연결에 대한 요구 사항이 없습니다. 모든 트래픽은 AWS 클라우드 내에서 안전하게 유지됩니다. 논리적 격리로 인해 Amazon 내에 있는 도메인VPC은 퍼블릭 엔드포인트를 사용하는 도메인과 비교할 때 추가 보안 계층이 있습니다. 액세스를 올바르게 관리하려면 AWS Lambda 함수를에 할당해야 합니다VPC.
52d	rds-instance-public-access-확인	Amazon Relational Database Service(AmazonRDS) 인스턴스가 공개되지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. Amazon RDS 데이터베이스 인스턴스에는 민감한 정보가 포함될 수 있으며 이러한 계정에는 원칙과 액세스 제어가 필요합니다.
52d	rds-snapshots-public-prohibited	Amazon Relational Database Service(AmazonRDS) 인스턴스가 공개되지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. Amazon RDS 데이터베이스 인스턴스에는 민감한 정보와 원칙이 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
52d	redshift-cluster-public-access-확인	Amazon Redshift 클러스터가 퍼블릭이 아닌지 확인하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. Amazon Redshift 클러스터에는 민감한 정보와 원칙이 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
52d	no-unrestricted-route-to-igw	Amazon EC2 라우팅 테이블에 인터넷 게이트웨이에 대한 무제한 경로가 없는지 확인합니다. Amazon 내의 워크로드에 대한 인터넷 액세스를 제거하거나 제한하면 환경 내에서 의도하지 않은 액세스를 줄일 VPCs 수 있습니다.
52d	subnet-auto-assign-public-ip-비활성화	Amazon Virtual Private AWS Cloud(VPC) 서브넷에 퍼블릭 IP 주소가 자동으로 할당되지 않도록 하여 클라우드에 대한 액세스를 관리합니다. Amazon Virtual Private Cloud 이 속성이 활성화된 서브넷으로 시작되는 Amazon Elastic Compute Cloud(EC2) 인스턴스에는 기본 네트워크 인터페이스에 할당된 퍼블릭 IP 주소가 있습니다.
52d	autoscaling-launch-config-public-ip-비활성화	퍼블릭 IP 주소로 네트워크 인터페이스를 구성하는 경우 해당 네트워크 인터페이스에 연결된 리소스는 인터넷에서 연결할 수 있습니다. EC2 리소스는 애플리케이션 또는 서버에 의도하지 않은 액세스를 허용할 수 있으므로 공개적으로 액세스할 수 없어야 합니다.
52d	redshift-enhanced-vpc-routing활성화됨	향상된 VPC 라우팅은 클러스터와 데이터 리포지토리 간의 모든 COPY UNLOAD 트래픽이 Amazon를 통과하도록 합니다VPC. 그런 다음 보안 그룹 및 네트워크 액세스 제어 목록과 같은 VPC 기능을 사용하여 네트워크 트래픽을 보호할 수 있습니다. VPC 흐름 로그를 사용하여 네트워크 트래픽을 모니터링할 수도 있습니다.
52d	ssm-document-not-public	AWS Systems Manager(SSM) 문서는 SSM 문서에 의도하지 않은 액세스를 허용할 수 있으므로 공개되지 않아야 합니다. 퍼블릭 SSM 문서는 계정, 리소스 및 내부 프로세스에 대한 정보를 노출할 수 있습니다.
52d	s3-bucket-level-public-access-금지됨	Amazon Simple Storage Service(Amazon S3) 버킷에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 이 규칙은 버킷 수준에서 퍼블릭 액세스를 차단하여 권한이 없는 원격 사용자로부터 민감한 데이터를 안전하게 보호하는 데 도움이 됩니다.
52d	opensearch-in-vpc-only	Amazon OpenSearch Service 도메인이 Amazon Virtual Private AWS Cloud(Amazon) 내에 있는지 확인하여 클라우드에 대한 액세스를 관리합니다VPC. Amazon Virtual Private Cloud Amazon 내의 Amazon OpenSearch Service 도메인은 인터넷 게이트웨이, NAT 디바이스 또는 VPN 연결 VPC 없이 Amazon OpenSearch Service와 Amazon 내의 다른 서비스 간의 안전한 통신을 VPC 가능하게 합니다.
52d	s3-account-level-public-access-blocks-periodic	Amazon Simple Storage Service(Amazon S3) 버킷에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 이 규칙은 퍼블릭 액세스를 방지하여 권한이 없는 원격 사용자로부터 민감한 데이터를 안전하게 보호하는 데 도움이 됩니다. 이 규칙을 사용하면 (Config Default: True), ignorePublicAcls ( blockPublicPolicy Config Default: True), blockPublicAcls (Config Default: True) 및 restrictPublicBuckets 파라미터(Config Default: True)를 선택적으로 설정할 수 있습니다. 실제 값은 조직의 정책을 반영해야 합니다.
52e	securityhub-enabled	AWS Security Hub는 권한이 없는 직원, 연결, 디바이스 및 소프트웨어를 모니터링하는 데 도움이 됩니다. AWS Security Hub는 여러 AWS 서비스의 보안 알림 또는 조사 결과를 집계, 구성 및 우선 순위를 지정합니다. 이러한 서비스 중에는 Amazon Security Hub, Amazon Inspector, Amazon Macie, AWS Identity and Access Management(IAM) Access Analyzer, AWS Firewall Manager 및 AWS 파트너 솔루션이 있습니다.
52e	guardduty-enabled-centralized	Amazon은 위협 인텔리전스 피드를 사용하여 잠재적 사이버 보안 이벤트를 모니터링하고 탐지하는 데 도움이 될 GuardDuty 수 있습니다. 여기에는 AWS 클라우드 환경 내에서 예상치 못한, 승인되지 않은, 악의적인 활동을 식별하기 위한 악의적인 및 IPs 기계 학습 목록이 포함됩니다.
53	s3-bucket-public-read-prohibited	승인된 사용자, 프로세스 및 디바이스만 Amazon Simple Storage Service(Amazon S3) 버킷에 액세스할 수 있도록 허용하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 액세스 관리는 데이터 분류와 일치해야 합니다.
53	s3-bucket-public-write-prohibited	승인된 사용자, 프로세스 및 디바이스만 Amazon Simple Storage Service(Amazon S3) 버킷에 액세스할 수 있도록 허용하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 액세스 관리는 데이터 분류와 일치해야 합니다.
53	opensearch-in-vpc-only	Amazon OpenSearch Service 도메인이 Amazon Virtual Private AWS Cloud(Amazon) 내에 있는지 확인하여 클라우드에 대한 액세스를 관리합니다VPC. Amazon Virtual Private Cloud Amazon 내의 Amazon OpenSearch Service 도메인은 인터넷 게이트웨이, NAT 디바이스 또는 VPN 연결 VPC 없이 Amazon OpenSearch Service와 Amazon 내의 다른 서비스 간의 안전한 통신을 VPC 가능하게 합니다.
53	sagemaker-notebook-no-direct-인터넷-액세스	Amazon SageMaker 노트북에서 직접 인터넷 액세스를 허용하지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 직접 인터넷 액세스를 방지함으로써 권한이 없는 사용자가 민감한 데이터에 액세스하는 것을 방지할 수 있습니다.
53	dms-replication-not-public	DMS 복제 인스턴스에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드에 대한 액세스를 관리합니다. DMS 복제 인스턴스에는 민감한 정보가 포함될 수 있으며 이러한 계정에 대한 액세스 제어가 필요합니다.
53	ebs-snapshot-public-restorable-확인	EBS 스냅샷을 공개적으로 복원할 수 없도록 하여 AWS 클라우드에 대한 액세스를 관리합니다. EBS 볼륨 스냅샷에는 민감한 정보가 포함될 수 있으며 이러한 계정에 대한 액세스 제어가 필요합니다.
53	ec2-instance-no-public-ip	Amazon Elastic Compute AWS Cloud(Amazon EC2) 인스턴스에 공개적으로 액세스할 수 없도록 하여 클라우드에 대한 액세스를 관리합니다. Amazon EC2 인스턴스에는 민감한 정보가 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
53	elasticsearch-in-vpc-only	Amazon OpenSearch Service(OpenSearch Service) 도메인이 Amazon Virtual Private AWS Cloud(Amazon) 내에 있는지 확인하여 클라우드에 대한 액세스를 관리합니다VPC. Amazon Virtual Private Cloud Amazon 내의 OpenSearch 서비스 도메인은 인터넷 게이트웨이, NAT 디바이스 또는 VPN 연결 VPC 없이 OpenSearch 도 서비스와 Amazon 내의 다른 서비스 간의 안전한 통신을 VPC 가능하게 합니다.
53	emr-master-no-public-ip	Amazon EMR 클러스터 마스터 노드에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드에 대한 액세스를 관리합니다. Amazon EMR 클러스터 마스터 노드에는 민감한 정보가 포함될 수 있으며 해당 계정에 대한 액세스 제어가 필요합니다.
53	ec2-instances-in-vpc	Amazon Virtual Private Cloud(Amazon EC2) 내에 Amazon Elastic Compute Cloud(Amazon VPC) 인스턴스를 배포하여 인터넷 게이트웨이, NAT 디바이스 또는 VPN 연결 VPC없이 인스턴스와 Amazon 내의 다른 서비스 간에 안전한 통신을 가능하게 합니다. Amazon Virtual Private Cloud 모든 트래픽은 AWS 클라우드 내에서 안전하게 유지됩니다. 논리적 격리로 인해 Amazon 내에 있는 도메인VPC은 퍼블릭 엔드포인트를 사용하는 도메인과 비교할 때 추가 보안 계층이 있습니다. Amazon EC2 인스턴스를 Amazon에 할당VPC하여 액세스를 적절히 관리합니다.
53	internet-gateway-authorized-vpc- 전용	인터넷 게이트웨이가 승인된 Amazon Virtual Private AWS Cloud(Amazon)에만 연결되도록 하여 클라우드의 리소스에 대한 액세스를 관리합니다VPC. Amazon Virtual Private Cloud 인터넷 게이트웨이는 Amazon VPC 리소스에 대한 무단 액세스로 이어질 수 VPC 있는 Amazon과의 양방향 인터넷 액세스를 허용합니다.
53	lambda-function-public-access-금지됨	AWS Lambda 함수에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 퍼블릭 액세스는 잠재적으로 리소스 가용성을 저하시킬 수 있습니다.
53	lambda-inside-vpc	Amazon Virtual Private Cloud(AmazonVPC) 내에 AWS Lambda 함수를 배포하여 Amazon 내의 함수와 다른 서비스 간의 안전한 통신을 보장합니다VPC. 이 구성에서는 인터넷 게이트웨이, NAT 디바이스 또는 VPN 연결에 대한 요구 사항이 없습니다. 모든 트래픽은 AWS 클라우드 내에서 안전하게 유지됩니다. 논리적 격리로 인해 Amazon 내에 있는 도메인VPC은 퍼블릭 엔드포인트를 사용하는 도메인과 비교할 때 추가 보안 계층이 있습니다. 액세스를 올바르게 관리하려면 AWS Lambda 함수를에 할당해야 합니다VPC.
53	rds-instance-public-access-확인	Amazon Relational Database Service(AmazonRDS) 인스턴스가 공개되지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. Amazon RDS 데이터베이스 인스턴스에는 민감한 정보가 포함될 수 있으며 이러한 계정에는 원칙과 액세스 제어가 필요합니다.
53	rds-snapshots-public-prohibited	Amazon Relational Database Service(AmazonRDS) 인스턴스가 공개되지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. Amazon RDS 데이터베이스 인스턴스에는 민감한 정보와 원칙이 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
53	redshift-cluster-public-access- 확인	Amazon Redshift 클러스터가 퍼블릭이 아닌지 확인하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. Amazon Redshift 클러스터에는 민감한 정보와 원칙이 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다.
53	no-unrestricted-route-to-igw	Amazon EC2 라우팅 테이블에 인터넷 게이트웨이에 대한 무제한 경로가 없는지 확인합니다. Amazon 내의 워크로드에 대한 인터넷 액세스를 제거하거나 제한하면 환경 내에서 의도하지 않은 액세스를 줄일 VPCs 수 있습니다.
53	s3-bucket-level-public-access-금지됨	Amazon Simple Storage Service(Amazon S3) 버킷에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 이 규칙은 버킷 수준에서 퍼블릭 액세스를 차단하여 권한이 없는 원격 사용자로부터 민감한 데이터를 안전하게 보호하는 데 도움이 됩니다.
53	subnet-auto-assign-public-ip-비활성화	Amazon Virtual Private AWS Cloud(VPC) 서브넷에 퍼블릭 IP 주소가 자동으로 할당되지 않도록 하여 클라우드에 대한 액세스를 관리합니다. Amazon Virtual Private Cloud 이 속성이 활성화된 서브넷으로 시작되는 Amazon Elastic Compute Cloud(EC2) 인스턴스에는 기본 네트워크 인터페이스에 할당된 퍼블릭 IP 주소가 있습니다.
53	autoscaling-launch-config-public-ip-비활성화	퍼블릭 IP 주소로 네트워크 인터페이스를 구성하는 경우 해당 네트워크 인터페이스에 연결된 리소스는 인터넷에서 연결할 수 있습니다. EC2 리소스는 애플리케이션 또는 서버에 의도하지 않은 액세스를 허용할 수 있으므로 공개적으로 액세스할 수 없어야 합니다.
53	redshift-enhanced-vpc-routing활성화됨	향상된 VPC 라우팅은 클러스터와 데이터 리포지토리 간의 모든 COPY UNLOAD 트래픽이 Amazon를 통과하도록 합니다VPC. 그런 다음 보안 그룹 및 네트워크 액세스 제어 목록과 같은 VPC 기능을 사용하여 네트워크 트래픽을 보호할 수 있습니다. VPC 흐름 로그를 사용하여 네트워크 트래픽을 모니터링할 수도 있습니다.
53	s3-account-level-public-access-blocks-periodic	Amazon Simple Storage Service(Amazon S3) 버킷에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 이 규칙은 퍼블릭 액세스를 방지하여 권한이 없는 원격 사용자로부터 민감한 데이터를 안전하게 보호하는 데 도움이 됩니다. 이 규칙을 사용하면 (Config Default: True), ignorePublicAcls ( blockPublicPolicy Config Default: True), blockPublicAcls (Config Default: True) 및 restrictPublicBuckets 파라미터(Config Default: True)를 선택적으로 설정할 수 있습니다. 실제 값은 조직의 정책을 반영해야 합니다.
53	ssm-document-not-public	AWS Systems Manager(SSM) 문서는 SSM 문서에 의도하지 않은 액세스를 허용할 수 있으므로 공개되지 않아야 합니다. 퍼블릭 SSM 문서는 계정, 리소스 및 내부 프로세스에 대한 정보를 노출할 수 있습니다.
54	opensearch-encrypted-at-rest	민감한 데이터가 존재할 수 있고 저장 데이터를 보호하기 위해 Amazon OpenSearch Service 도메인에 암호화가 활성화되어 있는지 확인합니다.
54	acm-certificate-expiration-check	에서 X509 인증서를 발급하여 네트워크 무결성을 보호합니다 AWS ACM. 이러한 인증서는 유효하고 만료되지 않은 것이어야 합니다. 이 규칙에는 daysToExpiration (AWS 기본 보안 모범 사례 값: 90)에 대한 값이 필요합니다. 실제 값은 조직의 정책을 반영해야 합니다.
54	alb-http-to-https-리디렉션-확인	전송 중인 데이터를 보호하려면 Application Load Balancer가 암호화되지 않은 HTTP 요청을 로 자동으로 리디렉션해야 합니다HTTPS. 민감한 데이터가 존재할 수 있으므로 전송 중 암호화를 활성화하여 해당 데이터를 보호합니다.
54	api-gw-cache-enabled-및-암호화됨	저장 데이터를 보호하려면 API 게이트웨이 단계의 캐시에 암호화가 활성화되어 있는지 확인하세요. API 메서드에 민감한 데이터를 캡처할 수 있으므로 저장 시 암호화를 활성화하여 해당 데이터를 보호합니다.
54	cloud-trail-encryption-enabled	민감한 데이터가 존재할 수 있으므로 저장 데이터를 보호하는 데 도움이 되도록 AWS CloudTrail 추적에 암호화가 활성화되어 있는지 확인합니다.
54	cloudwatch-log-group-encrypted	저장 시 민감한 데이터를 보호하려면 Amazon CloudWatch Log Groups에 암호화가 활성화되어 있는지 확인하세요.
54	efs-encrypted-check	민감한 데이터가 존재할 수 있고 저장 데이터를 보호하기 위해 Amazon Elastic File System()에 암호화가 활성화되어 있는지 확인합니다EFS.
54	elasticsearch-encrypted-at-rest	민감한 데이터가 존재할 수 있고 저장 데이터를 보호하기 위해 Amazon OpenSearch Service(OpenSearch Service) 도메인에 암호화가 활성화되어 있는지 확인합니다.
54	elb-acm-certificate-required	민감한 데이터가 존재할 수 있으므로 전송 시 데이터를 보호하는 데 도움이 되도록 Elastic Load Balancing에 대해 암호화가 활성화되었는지 확인합니다. AWS Certificate Manager를 사용하여 AWS 서비스 및 내부 리소스를 사용하여 퍼블릭 및 프라이빗SSL/TLS인증서를 관리, 프로비저닝 및 배포합니다.
54	encrypted-volumes	민감한 데이터가 존재할 수 있고 저장 데이터를 보호하기 위해 Amazon Elastic Block Store(AmazonEBS) 볼륨에 암호화가 활성화되어 있는지 확인합니다.
54	rds-storage-encrypted	저장 데이터를 보호하려면 Amazon Relational Database Service(AmazonRDS) 인스턴스에 암호화가 활성화되어 있는지 확인합니다. 민감한 데이터는 Amazon RDS 인스턴스에 유휴 상태로 존재할 수 있으므로 해당 데이터를 보호하는 데 도움이 되도록 유휴 상태의 암호화를 활성화합니다.
54	redshift-cluster-configuration-check	저장 데이터를 보호하기 위해 Amazon Redshift 클러스터에 대해 암호화가 활성화되어 있는지 확인합니다. 또한 필수 구성이 Amazon Redshift 클러스터에 배포되었는지 확인해야 합니다. 데이터베이스의 연결 및 사용자 활동에 관한 정보를 제공하려면 감사 로깅을 활성화해야 합니다. 이 규칙을 사용하려면 clusterDbEncrypted (구성 기본값: TRUE) 및 loggingEnabled (구성 기본값: )에 대한 값을 설정해야 합니다TRUE. 실제 값은 조직의 정책을 반영해야 합니다.
54	opensearch-node-to-node-encryption-check	Amazon OpenSearch Service에 대한 암호화가 활성화되어 있는지 확인합니다 node-to-node. Node-to-node 암호화를 사용하면 Amazon Virtual Private Cloud(Amazon VPC) 내의 모든 통신에 대해 TLS1.2 암호화가 활성화됩니다. 민감한 데이터가 존재할 수 있으므로 전송 중 암호화를 활성화하여 해당 데이터를 보호합니다.
54	redshift-require-tls-ssl	Amazon Redshift 클러스터가 SQL 클라이언트에 연결하려면 TLS/SSL 암호화가 필요한지 확인합니다. 민감한 데이터가 존재할 수 있으므로 전송 중 암호화를 활성화하여 해당 데이터를 보호합니다.
54	s3 bucket-server-side-encryption지원	저장 데이터를 보호하려면 Amazon Simple Storage Service(S3) 버킷에 대해 암호화가 활성화되어 있는지 확인합니다. Amazon S3 버킷에 저장 중 민감한 데이터가 존재할 수 있으므로 암호화를 활성화하여 해당 데이터를 보호합니다.
54	s3-bucket-ssl-requests-only	전송 중인 데이터를 보호하려면 Amazon Simple Storage Service(Amazon S3) 버킷에 Secure Socket Layer()를 사용하도록 요청해야 합니다SSL. 민감한 데이터가 존재할 수 있으므로 전송 중 암호화를 활성화하여 해당 데이터를 보호합니다.
54	sagemaker-endpoint-configuration-kms-key- configured	저장 데이터를 보호하려면 SageMaker 엔드포인트에 대해 Key Management Service(AWS KMS)를 사용한 AWS 암호화가 활성화되어 있는지 확인합니다. 민감한 데이터는 SageMaker 엔드포인트에 유휴 상태로 존재할 수 있으므로 해당 데이터를 보호하는 데 도움이 되도록 유휴 상태의 암호화를 활성화합니다.
54	sagemaker-notebook-instance-kms-key- configured	저장 데이터를 보호하기 위해 SageMaker 노트북에 Key Management Service(AWS KMS)를 사용한 AWS 암호화가 활성화되어 있는지 확인합니다. SageMaker 노트북에 민감한 데이터가 저장되어 있을 수 있으므로 저장 시 암호화를 활성화하여 해당 데이터를 보호합니다.
54	sns-encrypted-kms	저장 데이터를 보호하려면 Amazon Simple Notification Service(Amazon) 주제에 Key Management Service(SNS)를 사용한 AWS 암호화가 필요한지 확인합니다AWS KMS. 게시된 메시지에 민감한 데이터가 저장될 수 있으므로 저장 중 암호화를 활성화하여 해당 데이터를 보호합니다.
54	ec2-ebs-encryption-by-default	저장 데이터를 보호하려면 Amazon Elastic Block Store(AmazonEBS) 볼륨에 암호화가 활성화되어 있는지 확인하세요. 이러한 볼륨에 저장 중 민감한 데이터가 존재할 수 있으므로 저장 중 암호화를 활성화하여 해당 데이터를 보호합니다.
54	rds-snapshot-encrypted	Amazon Relational Database Service(AmazonRDS) 스냅샷에 암호화가 활성화되어 있는지 확인합니다. 저장 중 민감한 데이터가 존재할 수 있으므로 저장 중 암호화를 활성화하여 해당 데이터를 보호합니다.
54	elasticsearch-node-to-node-encryption-check	Amazon OpenSearch Service에 대한 암호화가 활성화되어 있는지 확인합니다 node-to-node. Node-to-node 암호화를 사용하면 Amazon Virtual Private Cloud(Amazon VPC) 내의 모든 통신에 대해 TLS1.2 암호화가 활성화됩니다. 민감한 데이터가 존재할 수 있으므로 전송 중 암호화를 활성화하여 해당 데이터를 보호합니다.
54	elb-tls-https-listeners- 전용	Elastic Load Balancer(ELBs)가 SSL 또는 HTTPS리스너로 구성되어 있는지 확인합니다. 민감한 데이터가 존재할 수 있으므로 전송 중 암호화를 활성화하여 해당 데이터를 보호합니다.
54	redshift-cluster-kms-enabled	저장 데이터를 보호하려면 Amazon Redshift 클러스터에 대해 Key Management Service(AWS KMS)를 사용한 AWS 암호화가 활성화되어 있는지 확인합니다. Redshift 클러스터에 저장 중 민감한 데이터가 존재할 수 있으므로 저장 중 암호화를 활성화하여 해당 데이터를 보호합니다.
54	api-gw-ssl-enabled	백엔드 시스템이 요청이 API 게이트웨이에서 시작되었음을 인증할 수 있도록 Amazon API Gateway REST API 단계가 SSL 인증서로 구성되어 있는지 확인합니다.
54	elbv2-acm-certificate-required	민감한 데이터가 존재할 수 있으므로 전송 시 데이터를 보호하는 데 도움이 되도록 Elastic Load Balancing에 대해 암호화가 활성화되었는지 확인합니다. AWS Certificate Manager를 사용하여 AWS 서비스 및 내부 리소스를 사용하여 퍼블릭 및 프라이빗SSL/TLS인증서를 관리, 프로비저닝 및 배포합니다.
55	elasticsearch-node-to-node-encryption-check	Amazon OpenSearch Service에 대한 암호화가 활성화되어 있는지 확인합니다 node-to-node. Node-to-node 암호화를 사용하면 Amazon Virtual Private Cloud(Amazon VPC) 내의 모든 통신에 대해 TLS1.2 암호화가 활성화됩니다. 민감한 데이터가 존재할 수 있으므로 전송 중 암호화를 활성화하여 해당 데이터를 보호합니다.
55	opensearch-node-to-node-encryption-check	Amazon OpenSearch Service에 대한 암호화가 활성화되어 있는지 확인합니다 node-to-node. Node-to-node 암호화를 사용하면 Amazon Virtual Private Cloud(Amazon VPC) 내의 모든 통신에 대해 TLS1.2 암호화가 활성화됩니다. 민감한 데이터가 존재할 수 있으므로 전송 중 암호화를 활성화하여 해당 데이터를 보호합니다.
67	api-gw-execution-logging활성화됨	API 게이트웨이 로깅은에 액세스한 사용자의 세부 보기API와에 액세스한 방법을 표시합니다API. 이러한 인사이트를 통해 사용자 활동을 파악할 수 있습니다.
67	cloud-trail-cloud-watch-logs-enabled	Amazon CloudWatch 을 사용하여 로그 이벤트 활동을 중앙에서 수집하고 관리합니다. AWS CloudTrail 데이터를 포함하면 내 API 통화 활동에 대한 세부 정보가 제공됩니다 AWS 계정.
67	cloudtrail-enabled	AWS CloudTrail 는 AWS Management Console 작업 및 API 호출을 기록하여 거부하지 않는 데 도움이 될 수 있습니다. 사용자와 AWS 서비스를 호출 AWS 계정 한 사용자, 호출이 생성된 소스 IP 주소, 호출 타이밍을 식별할 수 있습니다. 캡처된 데이터의 세부 정보는 AWS CloudTrail 레코드 콘텐츠에서 확인할 수 있습니다.
67	cloudtrail-s3-dataevents-enabled	Amazon Simple Storage Service(S3) 데이터 이벤트를 수집하면 모든 변칙적 활동을 탐지하는 데 도움이 됩니다. 세부 정보에는 Amazon S3 버킷에 액세스한 AWS 계정 정보, IP 주소, 이벤트 시간이 포함됩니다.
67	elb-logging-enabled	Elastic Load Balancing 활동은 환경 내 통신의 중심 지점입니다. ELB 로깅이 활성화되어 있는지 확인합니다. 수집된 데이터는 로 전송된 요청에 대한 자세한 정보를 제공합니다ELB. 각 로그에는 요청을 받은 시간, 클라이언트의 IP 주소, 지연 시간, 요청 경로 및 서버 응답과 같은 정보가 포함되어 있습니다.
67	multi-region-cloudtrail-enabled	AWS CloudTrail 는 AWS Management Console 작업 및 API 호출을 기록합니다. 호출된 사용자 및 계정 AWS, 호출이 수행된 원본 IP 주소, 호출이 발생한 시기를 식별할 수 있습니다. MULTI_REGION_CLOUD_TRAIL_ENABLED가 활성화된 경우 CloudTrail 는 모든 AWS 리전에서 S3 버킷으로 로그 파일을 전송합니다. 또한가 새 리전을 AWS 시작하면 CloudTrail 는 새 리전에서 동일한 추적을 생성합니다. 따라서 아무런 조치 없이 새 리전에 대한 API 활동이 포함된 로그 파일을 받게 됩니다.
67	s3-bucket-logging-enabled	Amazon Simple Storage Service(S3) 서버 액세스 로깅은 네트워크에 잠재적인 사이버 보안 이벤트가 있는지 모니터링하는 방법을 제공합니다. 이벤트는 Amazon S3 버킷에 대해 이루어진 요청에 대한 상세한 레코드를 캡처하여 모니터링됩니다. 각 액세스 로그 레코드는 단일 액세스 요청에 관한 세부 정보를 제공합니다. 세부 정보에는 요청자, 버킷 이름, 요청 시간, 요청 작업, 응답 상태, 오류 코드(해당하는 경우)가 포함됩니다.
67	vpc-flow-logs-enabled	VPC 흐름 로그는 Amazon Virtual Private Cloud(Amazon )의 네트워크 인터페이스에서 송수신되는 IP 트래픽에 대한 자세한 레코드를 제공합니다VPC. 기본적으로 이 흐름 로그 레코드에는 소스, 대상, 프로토콜 등 IP 흐름의 다양한 구성 요소에 대한 값이 포함됩니다.
67	rds-logging-enabled	환경 내에서 로깅 및 모니터링을 지원하려면 Amazon Relational Database Service(AmazonRDS) 로깅이 활성화되어 있는지 확인하세요. Amazon RDS 로깅을 사용하면 연결, 연결 해제, 쿼리 또는 쿼리된 테이블과 같은 이벤트를 캡처할 수 있습니다.
67	wafv2-logging-enabled	환경 내에서 로깅 및 모니터링을 지원하기 위해 리전 및 글로벌 웹에서 (V2) 로깅을 활성화합니다 AWS WAFACLs. AWS WAF 로깅은 웹에서 분석하는 트래픽에 대한 자세한 정보를 제공합니다ACL. 로그는 AWS 리소스로부터 요청을 받은 시간 AWS WAF, 요청에 대한 정보 및 각 요청이 일치하는 규칙에 대한 작업을 기록합니다.
67	cloudwatch-alarm-action-check	지표가 지정된 평가 기간 수 동안 임계값을 위반하면 Amazon CloudWatch 경보가 알림을 보냅니다. 이러한 경보는 여러 기간에 대해 지정된 임계값과 지표 또는 표현식의 값을 비교하여 하나 이상의 작업을 수행합니다. 이 규칙에는 alarmActionRequired (Config Default: True), insufficientDataActionRequired(Config Default: True), okActionRequired (Config Default: False)에 대한 값이 필요합니다. 실제 값은 사용자 환경의 경보 동작을 반영해야 합니다.
67	guardduty-enabled-centralized	Amazon은 위협 인텔리전스 피드를 사용하여 잠재적 사이버 보안 이벤트를 모니터링하고 탐지하는 데 도움이 될 GuardDuty 수 있습니다. 여기에는 AWS 클라우드 환경 내에서 예상치 못한, 승인되지 않은, 악의적인 활동을 식별하기 위한 악의적인 및 IPs 기계 학습 목록이 포함됩니다.
67	securityhub-enabled	AWS Security Hub는 권한이 없는 직원, 연결, 디바이스 및 소프트웨어를 모니터링하는 데 도움이 됩니다. AWS Security Hub는 여러 AWS 서비스의 보안 알림 또는 조사 결과를 집계, 구성 및 우선 순위를 지정합니다. 이러한 서비스 중에는 Amazon Security Hub, Amazon Inspector, Amazon Macie, AWS Identity and Access Management(IAM) Access Analyzer, AWS Firewall Manager 및 AWS 파트너 솔루션이 있습니다.
67	opensearch-logs-to-cloudwatch	Amazon OpenSearch Service 도메인에 오류 로그가 활성화되어 있고 보존 및 응답을 위해 Amazon CloudWatch Logs로 스트리밍되어 있는지 확인합니다. OpenSearch 서비스 오류 로그는 보안 및 액세스 감사를 지원하고 가용성 문제를 진단하는 데 도움이 될 수 있습니다.
67	ec2-managedinstance-patch-compliance-status-확인	Amazon Elastic Compute Cloud(AmazonEC2) 취약성을 식별하고 문서화하는 데 도움이 되도록이 규칙을 활성화합니다. 규칙은 조직의 정책 및 절차에 따라 AWS Systems Manager에서 Amazon EC2 인스턴스 패치 규정 준수 여부를 확인합니다.
67	ec2-managedinstance-association-compliance-status-확인	AWS Systems Manager Associations를 사용하여 조직 내 소프트웨어 플랫폼 및 애플리케이션의 인벤토리를 확인할 수 있습니다. AWS Systems Manager는 관리형 인스턴스에 구성 상태를 할당하며 운영 체제 패치 수준, 소프트웨어 설치, 애플리케이션 구성 및 환경에 관한 기타 세부 정보의 기준선을 설정할 수 있도록 합니다.
67	redshift-cluster-configuration-check	저장 데이터를 보호하기 위해 Amazon Redshift 클러스터에 대해 암호화가 활성화되어 있는지 확인합니다. 또한 필수 구성이 Amazon Redshift 클러스터에 배포되었는지 확인해야 합니다. 데이터베이스의 연결 및 사용자 활동에 관한 정보를 제공하려면 감사 로깅을 활성화해야 합니다. 이 규칙을 사용하려면 clusterDbEncrypted (구성 기본값: TRUE) 및 loggingEnabled (구성 기본값: )에 대한 값을 설정해야 합니다TRUE. 실제 값은 조직의 정책을 반영해야 합니다.
67	elasticsearch-logs-to-cloudwatch	Amazon OpenSearch Service 도메인에 오류 로그가 활성화되어 있고 보존 및 응답을 위해 Amazon CloudWatch Logs로 스트리밍되어 있는지 확인합니다. 도메인 오류 로그는 보안 및 액세스 감사에 도움이 되며 가용성 문제를 진단하는 데 도움이 될 수 있습니다.
68	guardduty-enabled-centralized	Amazon은 위협 인텔리전스 피드를 사용하여 잠재적 사이버 보안 이벤트를 모니터링하고 탐지하는 데 도움이 될 GuardDuty 수 있습니다. 여기에는 AWS 클라우드 환경 내에서 예상치 못한, 승인되지 않은, 악의적인 활동을 식별하기 위한 악의적인 및 IPs 기계 학습 목록이 포함됩니다.
68	securityhub-enabled	AWS Security Hub는 권한이 없는 직원, 연결, 디바이스 및 소프트웨어를 모니터링하는 데 도움이 됩니다. AWS Security Hub는 여러 AWS 서비스의 보안 알림 또는 조사 결과를 집계, 구성 및 우선 순위를 지정합니다. 이러한 서비스 중에는 Amazon Security Hub, Amazon Inspector, Amazon Macie, AWS Identity and Access Management(IAM) Access Analyzer, AWS Firewall Manager 및 AWS 파트너 솔루션이 있습니다.
73	guardduty-enabled-centralized	Amazon은 위협 인텔리전스 피드를 사용하여 잠재적 사이버 보안 이벤트를 모니터링하고 탐지하는 데 도움이 될 GuardDuty 수 있습니다. 여기에는 AWS 클라우드 환경 내에서 예상치 못한, 승인되지 않은, 악의적인 활동을 식별하기 위한 악의적인 및 IPs 기계 학습 목록이 포함됩니다.
73	securityhub-enabled	AWS Security Hub는 권한이 없는 직원, 연결, 디바이스 및 소프트웨어를 모니터링하는 데 도움이 됩니다. AWS Security Hub는 여러 AWS 서비스의 보안 알림 또는 조사 결과를 집계, 구성 및 우선 순위를 지정합니다. 이러한 서비스 중에는 Amazon Security Hub, Amazon Inspector, Amazon Macie, AWS Identity and Access Management(IAM) Access Analyzer, AWS Firewall Manager 및 AWS 파트너 솔루션이 있습니다.
AttachmentA_1(b)(h)	emr-kerberos-enabled	Amazon EMR 클러스터용 Kerberos를 활성화하여 액세스 권한 및 권한 부여를 관리하고 최소 권한 및 업무 분리 원칙에 통합할 수 있습니다. Kerberos에서는 인증이 필요한 서비스 및 사용자를 보안 주체라고 합니다. 보안 주체는 Kerberos 영역 내에 존재합니다. 영역 내에서 Kerberos 서버를 키 배포 센터()라고 합니다KDC. 이는 보안 주체가 인증할 수 있는 수단을 제공합니다. 는 KDC 인증을 위한 티켓을 발급하여 인증합니다. 는 영역 내에서 보안 주체의 데이터베이스, 암호 및 각 보안 주체에 대한 기타 관리 정보를 KDC 유지합니다.
AttachmentA_1(b)(h)	iam-policy-no-statements-with-admin-access	AWS 자격 증명 및 액세스 관리(IAM)는 최소 권한 및 직무 분리 원칙을 액세스 권한 및 권한과 통합하는 데 도움이 되며, 정책이 “효과”: “허용”을 “작업”: “”과 함께 “리소스”: “”를 포함하도록 제한할 수 있습니다. 작업을 완료하는 데 필요한 것보다 더 많은 권한을 갖도록 허용하는 것은 최소 권한 및 업무 분리 원칙에 위배될 수 있습니다.
AttachmentA_1(b)(h)	iam-root-access-key-확인	루트 사용자에게 AWS Identity and Access Management(IAM) 역할에 연결된 액세스 키가 없는지 확인하여 시스템 및 자산에 대한 액세스를 제어할 수 있습니다. 루트 액세스 키가 삭제되었는지 확인하세요. 대신 역할 기반 AWS 계정 를 생성하고 사용하여 최소 기능의 원칙을 통합하는 데 도움이 됩니다.
AttachmentA_1(b)(h)	iam-user-group-membership-확인	AWS Identity and Access Management(IAM)는 사용자가 하나 이상의 그룹의 멤버가 되도록 하여 액세스 권한 및 권한 부여를 제한하는 데 도움이 될 수 있습니다. 사용자에게 작업을 완료하는 데 필요한 것보다 더 많은 권한을 허용하면 최소 권한 및 업무 분리 원칙에 위배될 수 있습니다.
AttachmentA_1(b)(h)	iam-user-unused-credentials-확인	AWS Identity and Access Management(IAM)는 지정된 기간 동안 사용되지 않는 IAM 암호 및 액세스 키를 확인하여 액세스 권한 및 권한 부여를 지원합니다. 이러한 미사용 보안 인증 정보가 발견되면 최소 권한의 원칙에 위배될 수 있으므로 해당 보안 인증 정보를 비활성화 및/또는 제거해야 합니다. 이 규칙을 사용하려면 값을 maxCredentialUsageAge(구성 기본값: 90)로 설정해야 합니다. 실제 값은 조직의 정책을 반영해야 합니다.
AttachmentA_1(b)(h)	iam-no-inline-policy-확인	AWS Identity and Access Management(IAM) 사용자, IAM 역할 또는 IAM 그룹에 시스템 및 자산에 대한 액세스를 제어하는 인라인 정책이 없는지 확인합니다.는 인라인 정책 대신 관리형 정책을 사용하도록 AWS 권장합니다. 관리형 정책을 사용하면 재사용, 버전 관리, 롤백 및 권한 위임 관리가 가능합니다.
AttachmentA_1(b)(h)	iam-customer-policy-blocked-kms-작업	AWS Identity and Access Management(IAM)는 최소 권한 및 업무 분리 원칙을 액세스 권한 및 권한과 통합하여 정책이 모든 AWS Key Management Service 키에 차단된 작업을 포함하지 못하도록 제한하는 데 도움이 될 수 있습니다. 작업을 완료하는 데 필요한 것보다 더 많은 권한을 갖는 것은 최소 권한 및 업무 분리 원칙에 위배될 수 있습니다. 이 규칙을 사용하면 blockedActionsPatterns 파라미터를 설정할 수 있습니다. (AWS 기본 보안 모범 사례 값: kms:암호 해독, kms:ReEncryptFrom). 실제 값은 조직의 정책을 반영해야 합니다.
AttachmentA_1(b)(h)	iam-inline-policy-blocked-kms-작업	AWS Identity and Access Management(IAM) 사용자, IAM 역할 또는 IAM 그룹에 모든 AWS Key Management Service 키에 대해 차단된 작업을 허용하는 인라인 정책이 없는지 확인합니다. AWS 는 인라인 정책 대신 관리형 정책을 사용하도록 권장합니다. 관리형 정책을 사용하면 재사용, 버전 관리, 롤백 및 권한 위임 관리가 가능합니다. 이 규칙을 사용하면 파라미터를 설정할 수 있습니다 blockedActionsPatterns. (AWS 기본 보안 모범 사례 값: kms:암호 해독, kms:ReEncryptFrom). 실제 값은 조직의 정책을 반영해야 합니다.
AttachmentA_1(b)(h)	iam-policy-no-statements-with-full-access	IAM 작업이 필요한 작업으로만 제한되도록 합니다. 작업을 완료하는 데 필요한 것보다 더 많은 권한을 갖도록 허용하는 것은 최소 권한 및 업무 분리 원칙에 위배될 수 있습니다.
AttachmentA_1(b)(h)	ec2-instance-profile-attached	EC2 인스턴스 프로파일은 IAM 역할을 EC2 인스턴스에 전달합니다. 인스턴스 프로파일을 인스턴스에 연결하면 최소 권한 및 권한 관리에 도움이 될 수 있습니다.
AttachmentA_1(c)	securityhub-enabled	AWS Security Hub는 권한이 없는 직원, 연결, 디바이스 및 소프트웨어를 모니터링하는 데 도움이 됩니다. AWS Security Hub는 여러 AWS 서비스의 보안 알림 또는 조사 결과를 집계, 구성 및 우선 순위를 지정합니다. 이러한 서비스 중에는 Amazon Security Hub, Amazon Inspector, Amazon Macie, AWS Identity and Access Management(IAM) Access Analyzer, AWS Firewall Manager 및 AWS 파트너 솔루션이 있습니다.
AttachmentA_1(c)	guardduty-enabled-centralized	Amazon은 위협 인텔리전스 피드를 사용하여 잠재적 사이버 보안 이벤트를 모니터링하고 탐지하는 데 도움이 될 GuardDuty 수 있습니다. 여기에는 AWS 클라우드 환경 내에서 예상치 못한, 승인되지 않은, 악의적인 활동을 식별하기 위한 악의적인 및 IPs 기계 학습 목록이 포함됩니다.
AttachmentA_1(e)	securityhub-enabled	AWS Security Hub는 권한이 없는 직원, 연결, 디바이스 및 소프트웨어를 모니터링하는 데 도움이 됩니다. AWS Security Hub는 여러 AWS 서비스의 보안 알림 또는 조사 결과를 집계, 구성 및 우선 순위를 지정합니다. 이러한 서비스 중에는 Amazon Security Hub, Amazon Inspector, Amazon Macie, AWS Identity and Access Management(IAM) Access Analyzer, AWS Firewall Manager 및 AWS 파트너 솔루션이 있습니다.
AttachmentA_1(e)	guardduty-enabled-centralized	Amazon은 위협 인텔리전스 피드를 사용하여 잠재적 사이버 보안 이벤트를 모니터링하고 탐지하는 데 도움이 될 GuardDuty 수 있습니다. 여기에는 AWS 클라우드 환경 내에서 예상치 못한, 승인되지 않은, 악의적인 활동을 식별하기 위한 악의적인 및 IPs 기계 학습 목록이 포함됩니다.
AttachmentA_1(e)	cloudwatch-alarm-action-check	지표가 지정된 평가 기간 동안 임계값을 위반하면 Amazon CloudWatch 경보가 알림을 보냅니다. 이러한 경보는 여러 기간에 대해 지정된 임계값과 지표 또는 표현식의 값을 비교하여 하나 이상의 작업을 수행합니다. 이 규칙에는 alarmActionRequired (Config Default: True), insufficientDataActionRequired(Config Default: True), okActionRequired (Config Default: False)에 대한 값이 필요합니다. 실제 값은 사용자 환경의 경보 동작을 반영해야 합니다.
AttachmentA_1(e)	api-gw-execution-logging활성화됨	API 게이트웨이 로깅은에 액세스한 사용자의 세부 보기API와에 액세스한 방법을 표시합니다API. 이러한 인사이트를 통해 사용자 활동을 파악할 수 있습니다.
AttachmentA_1(e)	cloud-trail-cloud-watch-logs-enabled	Amazon CloudWatch 을 사용하여 로그 이벤트 활동을 중앙에서 수집하고 관리합니다. AWS CloudTrail 데이터를 포함하면 내 API 통화 활동에 대한 세부 정보가 제공됩니다 AWS 계정.
AttachmentA_1(e)	cloudtrail-enabled	AWS CloudTrail 는 AWS Management Console 작업 및 API 호출을 기록하여 거부 방지에 도움이 될 수 있습니다. 사용자와 AWS 서비스를 호출 AWS 계정 한 사용자, 호출이 생성된 소스 IP 주소, 호출 타이밍을 식별할 수 있습니다. 캡처된 데이터의 세부 정보는 AWS CloudTrail 레코드 콘텐츠에서 확인할 수 있습니다.
AttachmentA_1(e)	cloudtrail-s3-dataevents-enabled	Amazon Simple Storage Service(S3) 데이터 이벤트를 수집하면 모든 변칙적 활동을 탐지하는 데 도움이 됩니다. 세부 정보에는 Amazon S3 버킷에 액세스한 AWS 계정 정보, IP 주소, 이벤트 시간이 포함됩니다.
AttachmentA_1(e)	elb-logging-enabled	Elastic Load Balancing 활동은 환경 내 통신의 중심 지점입니다. ELB 로깅이 활성화되어 있는지 확인합니다. 수집된 데이터는 로 전송된 요청에 대한 자세한 정보를 제공합니다ELB. 각 로그에는 요청을 받은 시간, 클라이언트의 IP 주소, 지연 시간, 요청 경로 및 서버 응답과 같은 정보가 포함되어 있습니다.
AttachmentA_1(e)	multi-region-cloudtrail-enabled	AWS CloudTrail 는 AWS Management Console 작업 및 API 호출을 기록합니다. 호출된 사용자 및 계정 AWS, 호출이 수행된 원본 IP 주소, 호출이 발생한 시기를 식별할 수 있습니다. MULTI_REGION_CLOUD_TRAIL_ENABLED가 활성화된 경우 CloudTrail 는 모든 AWS 리전에서 S3 버킷으로 로그 파일을 전송합니다. 또한가 새 리전을 AWS 시작하면 CloudTrail 는 새 리전에서 동일한 추적을 생성합니다. 따라서 아무런 조치 없이 새 리전에 대한 API 활동이 포함된 로그 파일을 받게 됩니다.
AttachmentA_1(e)	s3-bucket-logging-enabled	Amazon Simple Storage Service(S3) 서버 액세스 로깅은 네트워크에 잠재적인 사이버 보안 이벤트가 있는지 모니터링하는 방법을 제공합니다. 이벤트는 Amazon S3 버킷에 대해 이루어진 요청에 대한 상세한 레코드를 캡처하여 모니터링됩니다. 각 액세스 로그 레코드는 단일 액세스 요청에 관한 세부 정보를 제공합니다. 세부 정보에는 요청자, 버킷 이름, 요청 시간, 요청 작업, 응답 상태, 오류 코드(해당하는 경우)가 포함됩니다.
AttachmentA_1(e)	vpc-flow-logs-enabled	VPC 흐름 로그는 Amazon Virtual Private Cloud(Amazon )의 네트워크 인터페이스에서 송수신되는 IP 트래픽에 대한 자세한 레코드를 제공합니다VPC. 기본적으로 이 흐름 로그 레코드에는 소스, 대상, 프로토콜 등 IP 흐름의 다양한 구성 요소에 대한 값이 포함됩니다.
AttachmentA_1(e)	rds-logging-enabled	환경 내에서 로깅 및 모니터링을 지원하려면 Amazon Relational Database Service(AmazonRDS) 로깅이 활성화되어 있는지 확인하세요. Amazon RDS 로깅을 사용하면 연결, 연결 해제, 쿼리 또는 쿼리된 테이블과 같은 이벤트를 캡처할 수 있습니다.
AttachmentA_1(e)	wafv2-logging-enabled	환경 내에서 로깅 및 모니터링을 지원하기 위해 리전 및 글로벌 웹에서 (V2) 로깅을 활성화합니다 AWS WAFACLs. AWS WAF 로깅은 웹에서 분석하는 트래픽에 대한 자세한 정보를 제공합니다ACL. 로그는 AWS 리소스로부터 요청을 받은 시간 AWS WAF, 요청에 대한 정보 및 각 요청이 일치하는 규칙에 대한 작업을 기록합니다.
AttachmentA_1(e)	elasticsearch-logs-to-cloudwatch	Amazon OpenSearch Service 도메인에 오류 로그가 활성화되어 있고 보존 및 응답을 위해 Amazon CloudWatch Logs로 스트리밍되어 있는지 확인합니다. 도메인 오류 로그는 보안 및 액세스 감사에 도움이 되며 가용성 문제를 진단하는 데 도움이 될 수 있습니다.
AttachmentA_1(e)	opensearch-logs-to-cloudwatch	Amazon OpenSearch Service 도메인에 오류 로그가 활성화되어 있고 보존 및 응답을 위해 Amazon CloudWatch Logs로 스트리밍되어 있는지 확인합니다. OpenSearch 서비스 오류 로그는 보안 및 액세스 감사를 지원하고 가용성 문제를 진단하는 데 도움이 될 수 있습니다.
AttachmentB_1	security-awareness-program-exists (프로세스 확인)	조직을 위한 보안 인식 프로그램을 수립하고 유지합니다. 보안 인식 프로그램은 다양한 보안 침해나 사고로부터 조직을 보호하는 방법을 직원들에게 교육합니다.
AttachmentC_4	access-keys-rotated	보안 인증 정보는 조직 정책에 지정된 대로 IAM 액세스 키가 교체되도록 하여 승인된 디바이스, 사용자 및 프로세스에 대해 감사됩니다. 정기적인 일정에 따라 액세스 키를 변경하는 것이 보안 모범 사례입니다. 이렇게 하면 액세스 키가 활성화되는 기간이 단축되고 키가 손상될 경우 비즈니스에 미치는 영향을 줄일 수 있습니다. 이 규칙에는 액세스 키 교체 값이 필요합니다(Config 기본값: 90). 실제 값은 조직의 정책을 반영해야 합니다.
AttachmentC_4	emr-kerberos-enabled	Amazon EMR 클러스터용 Kerberos를 활성화하여 액세스 권한 및 권한 부여를 관리하고 최소 권한 및 업무 분리 원칙에 통합할 수 있습니다. Kerberos에서는 인증이 필요한 서비스 및 사용자를 보안 주체라고 합니다. 보안 주체는 Kerberos 영역 내에 존재합니다. 영역 내에서 Kerberos 서버를 키 배포 센터()라고 합니다KDC. 이는 보안 주체가 인증할 수 있는 수단을 제공합니다. 는 KDC 인증을 위한 티켓을 발급하여 인증합니다. 는 영역 내에서 보안 주체의 데이터베이스, 암호 및 각 보안 주체에 대한 기타 관리 정보를 KDC 유지합니다.
AttachmentC_4	iam-password-policy	자격 증명과 자격 증명은 조직 IAM 암호 정책에 따라 발급, 관리 및 확인됩니다. SP NIST 800-63 및 암호 강도에 대한 AWS 기본 보안 모범 사례 표준에 명시된 요구 사항을 충족하거나 초과합니다. 이 규칙을 사용하면 IAM 암호 정책에 대해 RequireUppercaseCharacters (AWS 기본 보안 모범 사례 값: true), RequireLowercaseCharacters (AWS 기본 보안 모범 사례 값: true), RequireSymbols (AWS 기본 보안 모범 사례 값: true), RequireNumbers (AWS 기본 보안 모범 사례 값: true), MinimumPasswordLength (AWS 기본 보안 모범 사례 값: 14), PasswordReusePrevention (AWS 기본 보안 모범 사례 값: 24), ( MaxPasswordAge AWS 기본 보안 모범 사례 값: 90)을 선택적으로 설정할 수 있습니다. 실제 값은 조직의 정책을 반영해야 합니다.
AttachmentC_4	iam-policy-no-statements-with-admin-access	AWS 자격 증명 및 액세스 관리(IAM)는 최소 권한 및 직무 분리 원칙을 액세스 권한 및 권한과 통합하는 데 도움이 되며, 정책이 “효과”: “허용”을 “작업”: “”과 함께 “리소스”: “”를 포함하도록 제한할 수 있습니다. 작업을 완료하는 데 필요한 것보다 더 많은 권한을 갖도록 허용하는 것은 최소 권한 및 업무 분리 원칙에 위배될 수 있습니다.
AttachmentC_4	iam-root-access-key-확인	루트 사용자에게 AWS Identity and Access Management(IAM) 역할에 연결된 액세스 키가 없는지 확인하여 시스템 및 자산에 대한 액세스를 제어할 수 있습니다. 루트 액세스 키가 삭제되었는지 확인하세요. 대신 역할 기반 AWS 계정 를 생성하고 사용하여 최소 기능의 원칙을 통합하는 데 도움이 됩니다.
AttachmentC_4	iam-user-group-membership-확인	AWS Identity and Access Management(IAM)는 사용자가 하나 이상의 그룹의 멤버가 되도록 하여 액세스 권한 및 권한 부여를 제한하는 데 도움이 될 수 있습니다. 사용자에게 작업을 완료하는 데 필요한 것보다 더 많은 권한을 허용하면 최소 권한 및 업무 분리 원칙에 위배될 수 있습니다.
AttachmentC_4	iam-user-mfa-enabled	이 규칙을 사용하면 AWS 클라우드의 리소스에 대한 액세스를 제한할 수 있습니다. 이 규칙은 모든 사용자에 대해 다중 인증(MFA)이 활성화되도록 합니다.는 사용자 이름 및 암호 외에도 추가 보호 계층을 MFA 추가합니다. 사용자에게를 요구하여 손상된 계정의 인시던트MFA를 줄입니다.
AttachmentC_4	iam-user-no-policies-확인	이 규칙은 AWS ID 및 액세스 관리(IAM) 정책이 그룹 또는 역할에만 연결되어 시스템 및 자산에 대한 액세스를 제어하도록 합니다. 그룹 또는 역할 수준에서 권한을 할당하면 ID가 과도한 권한을 받거나 보유할 기회를 줄이는 데 도움이 됩니다.
AttachmentC_4	iam-user-unused-credentials- 확인	AWS Identity and Access Management(IAM)는 지정된 기간 동안 사용되지 않는 IAM 암호 및 액세스 키를 확인하여 액세스 권한 및 권한 부여를 지원합니다. 이러한 미사용 보안 인증 정보가 발견되면 최소 권한의 원칙에 위배될 수 있으므로 해당 보안 인증 정보를 비활성화 및/또는 제거해야 합니다. 이 규칙을 사용하려면 값을 maxCredentialUsageAge(구성 기본값: 90)로 설정해야 합니다. 실제 값은 조직의 정책을 반영해야 합니다.
AttachmentC_4	mfa-enabled-for-iam-콘솔-액세스	콘솔 암호가 있는 모든 AWS Identity and Access Management(IAM) 사용자에 대해 MFA가 활성화되어 있는지 확인하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다.는 로그인 자격 증명 외에도 추가 보호 계층을 MFA 추가합니다. 사용자에게 MFA를 요구하면 손상된 계정의 인시던트를 줄이고 권한이 없는 사용자가 민감한 데이터에 액세스하지 못하도록 할 수 있습니다.
AttachmentC_4	root-account-hardware-mfa활성화됨	루트 사용자에 대해 하드웨어가 활성화MFA되어 있는지 확인하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 루트 사용자는 권한이 가장 많은 AWS 계정사용자입니다. 는 로그인 자격 증명에 대한 추가 보호 계층을 MFA 추가합니다. 루트 사용자에게 MFA를 요구하면 손상된 인시던트를 줄일 수 있습니다 AWS 계정.
AttachmentC_4	root-account-mfa-enabled	루트 사용자에 대해 MFA가 활성화되어 있는지 확인하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 루트 사용자는 권한이 가장 많은 AWS 계정사용자입니다. 는 사용자 이름 및 암호에 대한 추가 보호 계층을 MFA 추가합니다. 루트 사용자에게 MFA를 요구하면 손상된 인시던트를 줄일 수 있습니다 AWS 계정.
AttachmentC_4	secretsmanager-rotation-enabled-check	이 규칙은 AWS Secrets Manager 보안 암호에 교체가 활성화되어 있는지 확인합니다. 정기적으로 암호를 교체하면 암호가 활성화되는 기간을 단축할 수 있으며, 암호가 침해될 경우 비즈니스에 미치는 영향을 잠재적으로 줄일 수 있습니다.
AttachmentC_4	secretsmanager-scheduled-rotation-success-확인	이 규칙은 AWS Secrets Manager 보안 암호가 교체 일정에 따라 성공적으로 교체되었는지 확인합니다. 정기적으로 암호를 교체하면 암호가 활성화되는 기간을 단축할 수 있으며, 침해될 경우 비즈니스에 미치는 영향을 잠재적으로 줄일 수 있습니다.
AttachmentC_4	iam-no-inline-policy- 확인	AWS Identity and Access Management(IAM) 사용자, IAM 역할 또는 IAM 그룹에 시스템 및 자산에 대한 액세스를 제어하는 인라인 정책이 없는지 확인합니다. 인라인 정책 대신 관리형 정책을 사용하는 것이 AWS 좋습니다. 관리형 정책을 사용하면 재사용, 버전 관리, 롤백 및 권한 위임 관리가 가능합니다.
AttachmentC_4	iam-customer-policy-blocked-kms-작업	AWS Identity and Access Management(IAM)를 사용하면 최소 권한 및 업무 분리 원칙을 액세스 권한 및 권한과 통합하여 정책이 모든 AWS Key Management Service 키에 차단된 작업을 포함하지 못하도록 제한할 수 있습니다. 작업을 완료하는 데 필요한 것보다 더 많은 권한을 갖는 것은 최소 권한 및 업무 분리 원칙에 위배될 수 있습니다. 이 규칙을 사용하면 blockedActionsPatterns 파라미터를 설정할 수 있습니다. (AWS 기본 보안 모범 사례 값: kms:암호 해독, kms:ReEncryptFrom). 실제 값은 조직의 정책을 반영해야 합니다.
AttachmentC_4	iam-inline-policy-blocked-kms-작업	AWS Identity and Access Management(IAM) 사용자, IAM 역할 또는 IAM 그룹에 모든 AWS Key Management Service 키에 대해 차단된 작업을 허용하는 인라인 정책이 없는지 확인합니다. AWS 는 인라인 정책 대신 관리형 정책을 사용하도록 권장합니다. 관리형 정책을 사용하면 재사용, 버전 관리, 롤백 및 권한 위임 관리가 가능합니다. 이 규칙을 사용하면 파라미터를 설정할 수 있습니다 blockedActionsPatterns. (AWS 기본 보안 모범 사례 값: kms:암호 해독, kms:ReEncryptFrom). 실제 값은 조직의 정책을 반영해야 합니다.
AttachmentC_4	ec2-instance-profile-attached	EC2 인스턴스 프로파일은 IAM 역할을 EC2 인스턴스에 전달합니다. 인스턴스 프로파일을 인스턴스에 연결하면 최소 권한 및 권한 관리에 도움이 될 수 있습니다.
AttachmentC_4	iam-policy-no-statements-with-full-access	IAM 작업이 필요한 작업으로만 제한되도록 합니다. 작업을 완료하는 데 필요한 것보다 더 많은 권한을 갖도록 허용하는 것은 최소 권한 및 업무 분리 원칙에 위배될 수 있습니다.
AttachmentC_5	mfa-enabled-for-iam-콘솔-액세스	콘솔 암호가 있는 모든 AWS Identity and Access Management(IAM) 사용자에 대해 MFA가 활성화되어 있는지 확인하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다.는 로그인 자격 증명 외에도 추가 보호 계층을 MFA 추가합니다. 사용자에게 MFA를 요구하면 손상된 계정의 인시던트를 줄이고 권한이 없는 사용자가 민감한 데이터에 액세스하지 못하도록 할 수 있습니다.
AttachmentC_5	root-account-hardware-mfa활성화됨	루트 사용자에 대해 하드웨어MFA가 활성화되어 있는지 확인하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 루트 사용자는 권한이 가장 많은 AWS 계정사용자입니다. 는 로그인 자격 증명에 대한 추가 보호 계층을 MFA 추가합니다. 루트 사용자에게 MFA를 요구하면 손상된 인시던트를 줄일 수 있습니다 AWS 계정.
AttachmentC_5	root-account-mfa-enabled	루트 사용자에 대해 MFA가 활성화되어 있는지 확인하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 루트 사용자는 권한이 가장 많은 AWS 계정사용자입니다. 는 사용자 이름 및 암호에 대한 추가 보호 계층을 MFA 추가합니다. 루트 사용자에게 MFA를 요구하면 손상된 인시던트를 줄일 수 있습니다 AWS 계정.
AttachmentC_5	iam-user-no-policies- 확인	이 규칙은 AWS ID 및 액세스 관리(IAM) 정책이 그룹 또는 역할에만 연결되어 시스템 및 자산에 대한 액세스를 제어하도록 합니다. 그룹 또는 역할 수준에서 권한을 할당하면 ID가 과도한 권한을 받거나 보유할 기회를 줄이는 데 도움이 됩니다.
AttachmentC_5	iam-password-policy	자격 증명과 자격 증명은 조직 IAM 암호 정책에 따라 발급, 관리 및 확인됩니다. SP NIST 800-63 및 암호 강도에 대한 AWS 기본 보안 모범 사례 표준에 명시된 요구 사항을 충족하거나 초과합니다. 이 규칙을 사용하면 IAM 암호 정책에 대해 RequireUppercaseCharacters (AWS 기본 보안 모범 사례 값: true), RequireLowercaseCharacters (AWS 기본 보안 모범 사례 값: true), RequireSymbols (AWS 기본 보안 모범 사례 값: true), RequireNumbers (AWS 기본 보안 모범 사례 값: true), MinimumPasswordLength (AWS 기본 보안 모범 사례 값: 14), PasswordReusePrevention (AWS 기본 보안 모범 사례 값: 24), ( MaxPasswordAge AWS 기본 보안 모범 사례 값: 90)을 선택적으로 설정할 수 있습니다. 실제 값은 조직의 정책을 반영해야 합니다.
AttachmentC_6	root-account-hardware-mfa활성화됨	루트 사용자에 대해 하드웨어MFA가 활성화되어 있는지 확인하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 루트 사용자는 권한이 가장 많은 AWS 계정사용자입니다. 는 로그인 자격 증명에 대한 추가 보호 계층을 MFA 추가합니다. 루트 사용자에게 MFA를 요구하면 손상된 인시던트를 줄일 수 있습니다 AWS 계정.
AttachmentC_6	root-account-mfa-enabled	루트 사용자에 대해 MFA가 활성화되어 있는지 확인하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 루트 사용자는 권한이 가장 많은 AWS 계정사용자입니다. 는 사용자 이름 및 암호에 대한 추가 보호 계층을 MFA 추가합니다. 루트 사용자에게 MFA를 요구하면 손상된 인시던트를 줄일 수 있습니다 AWS 계정.
AttachmentC_6	iam-root-access-key-확인	루트 사용자에게 AWS Identity and Access Management(IAM) 역할에 연결된 액세스 키가 없는지 확인하여 시스템 및 자산에 대한 액세스를 제어할 수 있습니다. 루트 액세스 키가 삭제되었는지 확인하세요. 대신 역할 기반 AWS 계정 를 생성하고 사용하여 최소 기능의 원칙을 통합하는 데 도움이 됩니다.
AttachmentC_7(c)	iam-root-access-key- 확인	루트 사용자에게 AWS Identity and Access Management(IAM) 역할에 연결된 액세스 키가 없는지 확인하여 시스템 및 자산에 대한 액세스를 제어할 수 있습니다. 루트 액세스 키가 삭제되었는지 확인하세요. 대신 역할 기반 AWS 계정 를 생성하고 사용하여 최소 기능의 원칙을 통합하는 데 도움이 됩니다.
AttachmentC_7(h)	api-gw-execution-logging활성화됨	API 게이트웨이 로깅은에 액세스한 사용자의 세부 보기API와에 액세스한 방법을 표시합니다API. 이러한 인사이트를 통해 사용자 활동을 파악할 수 있습니다.
AttachmentC_7(h)	cloud-trail-cloud-watch-logs-enabled	Amazon CloudWatch 을 사용하여 로그 이벤트 활동을 중앙에서 수집하고 관리합니다. AWS CloudTrail 데이터를 포함하면 내 API 통화 활동에 대한 세부 정보가 제공됩니다 AWS 계정.
AttachmentC_7(h)	cloudtrail-enabled	AWS CloudTrail 는 AWS Management Console 작업 및 API 호출을 기록하여 거부하지 않는 데 도움이 될 수 있습니다. 사용자와 AWS 서비스를 호출 AWS 계정 한 사용자, 호출이 생성된 소스 IP 주소, 호출 타이밍을 식별할 수 있습니다. 캡처된 데이터의 세부 정보는 AWS CloudTrail 레코드 콘텐츠에서 확인할 수 있습니다.
AttachmentC_7(h)	cloudtrail-s3-dataevents-enabled	Amazon Simple Storage Service(S3) 데이터 이벤트를 수집하면 모든 변칙적 활동을 탐지하는 데 도움이 됩니다. 세부 정보에는 Amazon S3 버킷에 액세스한 AWS 계정 정보, IP 주소, 이벤트 시간이 포함됩니다.
AttachmentC_7(h)	cloudwatch-alarm-action-check	지표가 지정된 평가 기간 수 동안 임계값을 위반하면 Amazon CloudWatch 경보가 알림을 보냅니다. 이러한 경보는 여러 기간에 대해 지정된 임계값과 지표 또는 표현식의 값을 비교하여 하나 이상의 작업을 수행합니다. 이 규칙에는 alarmActionRequired (Config Default: True), insufficientDataActionRequired(Config Default: True), okActionRequired (Config Default: False)에 대한 값이 필요합니다. 실제 값은 사용자 환경의 경보 동작을 반영해야 합니다.
AttachmentC_7(h)	elb-logging-enabled	Elastic Load Balancing 활동은 환경 내 통신의 중심 지점입니다. ELB 로깅이 활성화되어 있는지 확인합니다. 수집된 데이터는 로 전송된 요청에 대한 자세한 정보를 제공합니다ELB. 각 로그에는 요청을 받은 시간, 클라이언트의 IP 주소, 지연 시간, 요청 경로 및 서버 응답과 같은 정보가 포함되어 있습니다.
AttachmentC_7(h)	guardduty-enabled-centralized	Amazon은 위협 인텔리전스 피드를 사용하여 잠재적 사이버 보안 이벤트를 모니터링하고 탐지하는 데 도움이 될 GuardDuty 수 있습니다. 여기에는 AWS 클라우드 환경 내에서 예상치 못한, 승인되지 않은, 악의적인 활동을 식별하기 위한 악의적인 및 IPs 기계 학습 목록이 포함됩니다.
AttachmentC_7(h)	multi-region-cloudtrail-enabled	AWS CloudTrail 는 AWS Management Console 작업 및 API 호출을 기록합니다. 호출된 사용자 및 계정 AWS, 호출이 수행된 원본 IP 주소, 호출이 발생한 시기를 식별할 수 있습니다. MULTI_REGION_CLOUD_TRAIL_ENABLED가 활성화된 경우 CloudTrail 는 모든 AWS 리전에서 S3 버킷으로 로그 파일을 전송합니다. 또한가 새 리전을 AWS 시작하면 CloudTrail 는 새 리전에서 동일한 추적을 생성합니다. 따라서 아무런 조치 없이 새 리전에 대한 API 활동이 포함된 로그 파일을 받게 됩니다.
AttachmentC_7(h)	s3-bucket-logging-enabled	Amazon Simple Storage Service(S3) 서버 액세스 로깅은 네트워크에 잠재적인 사이버 보안 이벤트가 있는지 모니터링하는 방법을 제공합니다. 이벤트는 Amazon S3 버킷에 대해 이루어진 요청에 대한 상세한 레코드를 캡처하여 모니터링됩니다. 각 액세스 로그 레코드는 단일 액세스 요청에 관한 세부 정보를 제공합니다. 세부 정보에는 요청자, 버킷 이름, 요청 시간, 요청 작업, 응답 상태, 오류 코드(해당하는 경우)가 포함됩니다.
AttachmentC_7(h)	securityhub-enabled	AWS Security Hub는 권한이 없는 직원, 연결, 디바이스 및 소프트웨어를 모니터링하는 데 도움이 됩니다. AWS Security Hub는 여러 AWS 서비스의 보안 알림 또는 조사 결과를 집계, 구성 및 우선 순위를 지정합니다. 이러한 서비스 중에는 Amazon Security Hub, Amazon Inspector, Amazon Macie, AWS Identity and Access Management(IAM) Access Analyzer, AWS Firewall Manager 및 AWS 파트너 솔루션이 있습니다.
AttachmentC_7(h)	vpc-flow-logs-enabled	VPC 흐름 로그는 Amazon Virtual Private Cloud(Amazon )의 네트워크 인터페이스에서 송수신되는 IP 트래픽에 대한 자세한 레코드를 제공합니다VPC. 기본적으로 이 흐름 로그 레코드에는 소스, 대상, 프로토콜 등 IP 흐름의 다양한 구성 요소에 대한 값이 포함됩니다.
AttachmentC_7(h)	rds-logging-enabled	환경 내에서 로깅 및 모니터링을 지원하려면 Amazon Relational Database Service(AmazonRDS) 로깅이 활성화되어 있는지 확인하세요. Amazon RDS 로깅을 사용하면 연결, 연결 해제, 쿼리 또는 쿼리된 테이블과 같은 이벤트를 캡처할 수 있습니다.
AttachmentC_7(h)	opensearch-logs-to-cloudwatch	Amazon OpenSearch Service 도메인에 오류 로그가 활성화되어 있고 보존 및 응답을 위해 Amazon CloudWatch Logs로 스트리밍되어 있는지 확인합니다. OpenSearch 서비스 오류 로그는 보안 및 액세스 감사를 지원하고 가용성 문제를 진단하는 데 도움이 될 수 있습니다.
AttachmentC_7(h)	wafv2-logging-enabled	환경 내에서 로깅 및 모니터링을 지원하기 위해 리전 및 글로벌 웹에서 (V2) 로깅을 활성화합니다 AWS WAFACLs. AWS WAF 로깅은 웹에서 분석하는 트래픽에 대한 자세한 정보를 제공합니다ACL. 로그는 AWS 리소스로부터 요청을 받은 시간 AWS WAF, 요청에 대한 정보 및 각 요청이 일치하는 규칙에 대한 작업을 기록합니다.
AttachmentC_7(h)	elasticsearch-logs-to-cloudwatch	Amazon OpenSearch Service 도메인에 오류 로그가 활성화되어 있고 보존 및 응답을 위해 Amazon CloudWatch Logs로 스트리밍되어 있는지 확인합니다. 도메인 오류 로그는 보안 및 액세스 감사에 도움이 되며 가용성 문제를 진단하는 데 도움이 될 수 있습니다.
AttachmentC_7(i)	iam-user-unused-credentials- 확인	AWS Identity and Access Management(IAM)는 지정된 기간 동안 사용되지 않는 IAM 암호 및 액세스 키를 확인하여 액세스 권한 및 권한 부여를 지원합니다. 이러한 미사용 보안 인증 정보가 발견되면 최소 권한의 원칙에 위배될 수 있으므로 해당 보안 인증 정보를 비활성화 및/또는 제거해야 합니다. 이 규칙을 사용하려면 값을 maxCredentialUsageAge(구성 기본값: 90)로 설정해야 합니다. 실제 값은 조직의 정책을 반영해야 합니다.
AttachmentC_7(j)	iam-user-mfa-enabled	이 규칙을 사용하면 AWS 클라우드의 리소스에 대한 액세스를 제한할 수 있습니다. 이 규칙은 모든 사용자에 대해 다중 인증(MFA)이 활성화되도록 합니다.는 사용자 이름 및 암호 외에도 추가 보호 계층을 MFA 추가합니다. 사용자에게를 요구하여 손상된 계정의 인시던트MFA를 줄입니다.
AttachmentC_7(j)	mfa-enabled-for-iam-콘솔-액세스	콘솔 암호가 있는 모든 AWS Identity and Access Management(IAM) 사용자에 대해 MFA가 활성화되어 있는지 확인하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다.는 로그인 자격 증명 외에도 추가 보호 계층을 MFA 추가합니다. 사용자에게 MFA를 요구하면 손상된 계정의 인시던트를 줄이고 권한이 없는 사용자가 민감한 데이터에 액세스하지 못하도록 할 수 있습니다.
AttachmentC_7(j)	root-account-hardware-mfa활성화됨	루트 사용자에 대해 하드웨어MFA가 활성화되어 있는지 확인하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 루트 사용자는 권한이 가장 많은 AWS 계정사용자입니다. 는 로그인 자격 증명에 대한 추가 보호 계층을 MFA 추가합니다. 루트 사용자에게 MFA를 요구하면 손상된 인시던트를 줄일 수 있습니다 AWS 계정.
AttachmentC_7(j)	root-account-mfa-enabled	루트 사용자에 대해 MFA가 활성화되어 있는지 확인하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 루트 사용자는 권한이 가장 많은 AWS 계정사용자입니다. 는 사용자 이름 및 암호에 대한 추가 보호 계층을 MFA 추가합니다. 루트 사용자에게 MFA를 요구하면 손상된 인시던트를 줄일 수 있습니다 AWS 계정.
AttachmentC_8	opensearch-logs-to-cloudwatch	Amazon OpenSearch Service 도메인에 오류 로그가 활성화되어 있고 보존 및 응답을 위해 Amazon CloudWatch Logs로 스트리밍되어 있는지 확인합니다. OpenSearch 서비스 오류 로그는 보안 및 액세스 감사를 지원하고 가용성 문제를 진단하는 데 도움이 될 수 있습니다.
AttachmentC_8	api-gw-execution-logging활성화됨	API 게이트웨이 로깅은에 액세스한 사용자의 세부 보기API와에 액세스한 방법을 표시합니다API. 이러한 인사이트를 통해 사용자 활동을 파악할 수 있습니다.
AttachmentC_8	cloud-trail-cloud-watch-logs-enabled	Amazon CloudWatch 을 사용하여 로그 이벤트 활동을 중앙에서 수집하고 관리합니다. AWS CloudTrail 데이터를 포함하면 내 API 통화 활동에 대한 세부 정보가 제공됩니다 AWS 계정.
AttachmentC_8	cloudtrail-enabled	AWS CloudTrail 는 AWS Management Console 작업 및 API 호출을 기록하여 거부하지 않는 데 도움이 될 수 있습니다. 사용자와 AWS 서비스를 호출 AWS 계정 한 사용자, 호출이 생성된 소스 IP 주소, 호출 타이밍을 식별할 수 있습니다. 캡처된 데이터의 세부 정보는 AWS CloudTrail 레코드 콘텐츠에서 확인할 수 있습니다.
AttachmentC_8	cloudtrail-s3-dataevents-enabled	Amazon Simple Storage Service(S3) 데이터 이벤트를 수집하면 모든 변칙적 활동을 탐지하는 데 도움이 됩니다. 세부 정보에는 Amazon S3 버킷에 액세스한 AWS 계정 정보, IP 주소, 이벤트 시간이 포함됩니다.
AttachmentC_8	elb-logging-enabled	Elastic Load Balancing 활동은 환경 내 통신의 중심 지점입니다. ELB 로깅이 활성화되어 있는지 확인합니다. 수집된 데이터는 로 전송된 요청에 대한 자세한 정보를 제공합니다ELB. 각 로그에는 요청을 받은 시간, 클라이언트의 IP 주소, 지연 시간, 요청 경로 및 서버 응답과 같은 정보가 포함되어 있습니다.
AttachmentC_8	multi-region-cloudtrail-enabled	AWS CloudTrail 는 AWS Management Console 작업 및 API 호출을 기록합니다. 호출된 사용자 및 계정 AWS, 호출이 수행된 원본 IP 주소, 호출이 발생한 시기를 식별할 수 있습니다. MULTI_REGION_CLOUD_TRAIL_ENABLED가 활성화된 경우 CloudTrail 는 모든 AWS 리전에서 S3 버킷으로 로그 파일을 전송합니다. 또한가 새 리전을 AWS 시작하면 CloudTrail 는 새 리전에서 동일한 추적을 생성합니다. 따라서 아무런 조치 없이 새 리전에 대한 API 활동이 포함된 로그 파일을 받게 됩니다.
AttachmentC_8	s3-bucket-logging-enabled	Amazon Simple Storage Service(S3) 서버 액세스 로깅은 네트워크에 잠재적인 사이버 보안 이벤트가 있는지 모니터링하는 방법을 제공합니다. 이벤트는 Amazon S3 버킷에 대해 이루어진 요청에 대한 상세한 레코드를 캡처하여 모니터링됩니다. 각 액세스 로그 레코드는 단일 액세스 요청에 관한 세부 정보를 제공합니다. 세부 정보에는 요청자, 버킷 이름, 요청 시간, 요청 작업, 응답 상태, 오류 코드(해당하는 경우)가 포함됩니다.
AttachmentC_8	vpc-flow-logs-enabled	VPC 흐름 로그는 Amazon Virtual Private Cloud(Amazon )의 네트워크 인터페이스에서 송수신되는 IP 트래픽에 대한 자세한 레코드를 제공합니다VPC. 기본적으로 이 흐름 로그 레코드에는 소스, 대상, 프로토콜 등 IP 흐름의 다양한 구성 요소에 대한 값이 포함됩니다.
AttachmentC_8	rds-logging-enabled	환경 내에서 로깅 및 모니터링을 지원하려면 Amazon Relational Database Service(AmazonRDS) 로깅이 활성화되어 있는지 확인하세요. Amazon RDS 로깅을 사용하면 연결, 연결 해제, 쿼리 또는 쿼리된 테이블과 같은 이벤트를 캡처할 수 있습니다.
AttachmentC_8	wafv2-logging-enabled	환경 내에서 로깅 및 모니터링을 지원하기 위해 리전 및 글로벌 웹에서 (V2) 로깅을 활성화합니다 AWS WAFACLs. AWS WAF 로깅은 웹에서 분석하는 트래픽에 대한 자세한 정보를 제공합니다ACL. 로그는 AWS 리소스로부터 요청을 받은 시간 AWS WAF, 요청에 대한 정보 및 각 요청이 일치하는 규칙에 대한 작업을 기록합니다.
AttachmentC_8	elasticsearch-logs-to-cloudwatch	Amazon OpenSearch Service 도메인에 오류 로그가 활성화되어 있고 보존 및 응답을 위해 Amazon CloudWatch Logs로 스트리밍되어 있는지 확인합니다. 도메인 오류 로그는 보안 및 액세스 감사에 도움이 되며 가용성 문제를 진단하는 데 도움이 될 수 있습니다.
AttachmentD_1	codebuild-project-envvar-awscred-확인	인증 자격 증명 AWS_ACCESS_KEY_ID 및이 AWS Codebuild 프로젝트 환경 내에 존재하지 AWS_SECRET_ACCESS_KEY 않는지 확인합니다. 이러한 변수를 일반 텍스트로 저장하지 마십시오. 이러한 변수를 일반 텍스트로 저장하면 의도하지 않은 데이터 노출 및 무단 액세스가 발생할 수 있습니다.
AttachmentD_1	codebuild-project-source-repo-url-확인	GitHub 또는 Bitbucket 소스 리포지토리에 Codebuild 프로젝트 환경 내에서 AWS 개인 액세스 토큰, 로그인 자격 증명URL이 포함되어 있지 않은지 확인합니다. 개인 액세스 토큰 또는 로그인 자격 증명 OAuth 대신를 사용하여 GitHub 또는 Bitbucket 리포지토리에 대한 액세스 권한을 부여합니다.
AttachmentE_4	kms-cmk-not-scheduled삭제용	저장 데이터를 보호하기 위해 AWS Key Management Service(CMKs)에서 필요한 고객 마스터 키()를 삭제하지 않도록 예약해야 합니다AWS KMS. 때때로 키 삭제가 필요하기 때문에 이 규칙은 실수로 키가 예약된 경우 삭제가 예약된 모든 키를 확인하는 데 도움을 줄 수 있습니다.
AttachmentE_4	cmk-backing-key-rotation활성화됨	키 교체를 활성화하여 암호화 기간이 종료되면 키가 교체되도록 합니다.
AttachmentE_5(d)	cmk-backing-key-rotation활성화됨	키 교체를 활성화하여 암호화 기간이 종료되면 키가 교체되도록 합니다.
AttachmentE_1(a)(b)(d)	opensearch-encrypted-at-rest	민감한 데이터가 존재할 수 있고 저장 데이터를 보호하기 위해 Amazon OpenSearch Service 도메인에 암호화가 활성화되어 있는지 확인합니다.
AttachmentE_1(a)(b)(d)	opensearch-node-to-node-encryption-check	Amazon OpenSearch Service에 대한 암호화가 활성화되어 있는지 확인합니다 node-to-node. Node-to-node 암호화를 사용하면 Amazon Virtual Private Cloud(Amazon VPC) 내의 모든 통신에 대해 TLS1.2 암호화가 활성화됩니다. 민감한 데이터가 존재할 수 있으므로 전송 중 암호화를 활성화하여 해당 데이터를 보호합니다.
AttachmentE_1(a)(b)(d)	acm-certificate-expiration-check	에서 X509 인증서를 발급하여 네트워크 무결성을 보호합니다 AWS ACM. 이러한 인증서는 유효하고 만료되지 않은 것이어야 합니다. 이 규칙에는 daysToExpiration (AWS 기본 보안 모범 사례 값: 90)에 대한 값이 필요합니다. 실제 값은 조직의 정책을 반영해야 합니다.
AttachmentE_1(a)(b)(d)	alb-http-to-https-리디렉션-확인	전송 중인 데이터를 보호하려면 Application Load Balancer가 암호화되지 않은 HTTP 요청을 로 자동으로 리디렉션해야 합니다HTTPS. 민감한 데이터가 존재할 수 있으므로 전송 중 암호화를 활성화하여 해당 데이터를 보호합니다.
AttachmentE_1(a)(b)(d)	api-gw-cache-enabled-및-암호화됨	저장 데이터를 보호하려면 API 게이트웨이 단계의 캐시에 암호화가 활성화되어 있는지 확인하세요. API 메서드에 민감한 데이터를 캡처할 수 있으므로 저장 시 암호화를 활성화하여 해당 데이터를 보호합니다.
AttachmentE_1(a)(b)(d)	cloud-trail-encryption-enabled	민감한 데이터가 존재할 수 있으므로 저장 데이터를 보호하는 데 도움이 되도록 AWS CloudTrail 추적에 암호화가 활성화되어 있는지 확인합니다.
AttachmentE_1(a)(b)(d)	cloudwatch-log-group-encrypted	저장 시 민감한 데이터를 보호하려면 Amazon CloudWatch Log Groups에 암호화가 활성화되어 있는지 확인하세요.
AttachmentE_1(a)(b)(d)	efs-encrypted-check	민감한 데이터가 존재할 수 있고 저장 데이터를 보호하기 위해 Amazon Elastic File System()에 암호화가 활성화되어 있는지 확인합니다EFS.
AttachmentE_1(a)(b)(d)	elasticsearch-encrypted-at-rest	민감한 데이터가 존재할 수 있고 저장 데이터를 보호하기 위해 Amazon OpenSearch Service(OpenSearch Service) 도메인에 암호화가 활성화되어 있는지 확인합니다.
AttachmentE_1(a)(b)(d)	elb-acm-certificate-required	민감한 데이터가 존재할 수 있으므로 전송 시 데이터를 보호하는 데 도움이 되도록 Elastic Load Balancing에 대해 암호화가 활성화되었는지 확인합니다. AWS Certificate Manager를 사용하여 AWS 서비스 및 내부 리소스를 사용하여 퍼블릭 및 프라이빗SSL/TLS인증서를 관리, 프로비저닝 및 배포합니다.
AttachmentE_1(a)(b)(d)	encrypted-volumes	민감한 데이터가 존재할 수 있고 저장 데이터를 보호하기 위해 Amazon Elastic Block Store(AmazonEBS) 볼륨에 암호화가 활성화되어 있는지 확인합니다.
AttachmentE_1(a)(b)(d)	kms-cmk-not-scheduled삭제용	저장 데이터를 보호하기 위해 AWS Key Management Service(CMKs)에서 필요한 고객 마스터 키()를 삭제하지 않도록 예약해야 합니다AWS KMS. 때때로 키 삭제가 필요하기 때문에 이 규칙은 실수로 키가 예약된 경우 삭제가 예약된 모든 키를 확인하는 데 도움을 줄 수 있습니다.
AttachmentE_1(a)(b)(d)	rds-storage-encrypted	저장 데이터를 보호하려면 Amazon Relational Database Service(AmazonRDS) 인스턴스에 암호화가 활성화되어 있는지 확인합니다. 민감한 데이터는 Amazon RDS 인스턴스에 유휴 상태로 존재할 수 있으므로 해당 데이터를 보호하는 데 도움이 되도록 유휴 상태의 암호화를 활성화합니다.
AttachmentE_1(a)(b)(d)	redshift-cluster-configuration-check	저장 데이터를 보호하기 위해 Amazon Redshift 클러스터에 대해 암호화가 활성화되어 있는지 확인합니다. 또한 필수 구성이 Amazon Redshift 클러스터에 배포되었는지 확인해야 합니다. 데이터베이스의 연결 및 사용자 활동에 관한 정보를 제공하려면 감사 로깅을 활성화해야 합니다. 이 규칙을 사용하려면 clusterDbEncrypted (구성 기본값: TRUE) 및 loggingEnabled (구성 기본값: )에 대한 값을 설정해야 합니다TRUE. 실제 값은 조직의 정책을 반영해야 합니다.
AttachmentE_1(a)(b)(d)	redshift-require-tls-ssl	Amazon Redshift 클러스터가 SQL 클라이언트에 연결하려면 TLS/SSL 암호화가 필요한지 확인합니다. 민감한 데이터가 존재할 수 있으므로 전송 중 암호화를 활성화하여 해당 데이터를 보호합니다.
AttachmentE_1(a)(b)(d)	s3 bucket-server-side-encryption지원	저장 데이터를 보호하려면 Amazon Simple Storage Service(S3) 버킷에 대해 암호화가 활성화되어 있는지 확인합니다. Amazon S3 버킷에 저장 중 민감한 데이터가 존재할 수 있으므로 암호화를 활성화하여 해당 데이터를 보호합니다.
AttachmentE_1(a)(b)(d)	s3-bucket-ssl-requests-only	전송 중인 데이터를 보호하려면 Amazon Simple Storage Service(Amazon S3) 버킷에 Secure Socket Layer()를 사용하도록 요청해야 합니다SSL. 민감한 데이터가 존재할 수 있으므로 전송 중 암호화를 활성화하여 해당 데이터를 보호합니다.
AttachmentE_1(a)(b)(d)	sagemaker-endpoint-configuration-kms-key- configured	저장 데이터를 보호하려면 SageMaker 엔드포인트에 대해 Key Management Service(AWS KMS)를 사용한 AWS 암호화가 활성화되어 있는지 확인합니다. 민감한 데이터는 SageMaker 엔드포인트에 유휴 상태로 존재할 수 있으므로 해당 데이터를 보호하는 데 도움이 되도록 유휴 상태의 암호화를 활성화합니다.
AttachmentE_1(a)(b)(d)	sagemaker-notebook-instance-kms-key- configured	저장 데이터를 보호하기 위해 SageMaker 노트북에 Key Management Service(AWS KMS)를 사용한 AWS 암호화가 활성화되어 있는지 확인합니다. SageMaker 노트북에 민감한 데이터가 저장되어 있을 수 있으므로 저장 시 암호화를 활성화하여 해당 데이터를 보호합니다.
AttachmentE_1(a)(b)(d)	sns-encrypted-kms	저장 데이터를 보호하려면 Amazon Simple Notification Service(Amazon) 주제에 Key Management Service(SNS)를 사용한 AWS 암호화가 필요한지 확인합니다AWS KMS. 게시된 메시지에 민감한 데이터가 저장될 수 있으므로 저장 중 암호화를 활성화하여 해당 데이터를 보호합니다.
AttachmentE_1(a)(b)(d)	ec2-ebs-encryption-by-default	저장 데이터를 보호하려면 Amazon Elastic Block Store(AmazonEBS) 볼륨에 암호화가 활성화되어 있는지 확인하세요. 이러한 볼륨에 저장 중 민감한 데이터가 존재할 수 있으므로 저장 중 암호화를 활성화하여 해당 데이터를 보호합니다.
AttachmentE_1(a)(b)(d)	rds-snapshot-encrypted	Amazon Relational Database Service(AmazonRDS) 스냅샷에 암호화가 활성화되어 있는지 확인합니다. 저장 중 민감한 데이터가 존재할 수 있으므로 저장 중 암호화를 활성화하여 해당 데이터를 보호합니다.
AttachmentE_1(a)(b)(d)	elasticsearch-node-to-node-encryption-check	Amazon OpenSearch Service에 대한 암호화가 활성화되어 있는지 확인합니다 node-to-node. Node-to-node 암호화를 사용하면 Amazon Virtual Private Cloud(Amazon VPC) 내의 모든 통신에 대해 TLS1.2 암호화가 활성화됩니다. 민감한 데이터가 존재할 수 있으므로 전송 중 암호화를 활성화하여 해당 데이터를 보호합니다.
AttachmentE_1(a)(b)(d)	elb-tls-https-listeners- 전용	Elastic Load Balancer(ELBs)가 SSL 또는 HTTPS리스너로 구성되어 있는지 확인합니다. 민감한 데이터가 존재할 수 있으므로 전송 중 암호화를 활성화하여 해당 데이터를 보호합니다.
AttachmentE_1(a)(b)(d)	redshift-cluster-kms-enabled	저장 데이터를 보호하려면 Amazon Redshift 클러스터에 대해 Key Management Service(AWS KMS)를 사용한 AWS 암호화가 활성화되어 있는지 확인합니다. Redshift 클러스터에 저장 중 민감한 데이터가 존재할 수 있으므로 저장 중 암호화를 활성화하여 해당 데이터를 보호합니다.
AttachmentE_1(a)(b)(d)	api-gw-ssl-enabled	백엔드 시스템이 요청이 API 게이트웨이에서 시작되었음을 인증할 수 있도록 Amazon API Gateway REST API 단계가 SSL 인증서로 구성되어 있는지 확인합니다.

템플릿

템플릿은 GitHubAPRACPG234의 운영 모범 사례에서 사용할 수 있습니다.

javascript가 브라우저에서 비활성화되거나 사용이 불가합니다.

AWS 설명서를 사용하려면 Javascript가 활성화되어야 합니다. 지침을 보려면 브라우저의 도움말 페이지를 참조하십시오.

문서 규칙

Amazon S3 운영 모범 사례

자산 관리 운영 모범 사례