기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.
독일 C5(Cloud Computing Compliance Criteria Catalog) 운영 모범 사례
적합성 팩은 관리형 또는 사용자 지정 AWS Config 규칙 및 AWS Config 문제 해결 작업을 사용하여 보안, 운영 또는 비용 최적화 거버넌스 검사를 만들 수 있도록 설계된 범용 규정 준수 프레임워크를 제공합니다. 샘플 템플릿인 적합성 팩은 특정 거버넌스 또는 규정 준수 표준을 완벽하게 준수하도록 설계되지 않았습니다. 귀하는 서비스 이용이 관련 법률 및 규제 요구 사항을 충족하는지 여부를 스스로 평가할 책임이 있습니다.
다음은 C5(Cloud Computing Compliance Criteria Catalog)와 AWS 관리형 Config 규칙 간의 샘플 매핑입니다. 각 Config 규칙은 특정 AWS 리소스에 적용되며 하나 이상의 독일 C5 제어와 관련이 있습니다. 하나의 독일 C5 제어가 여러 Config 규칙과 관련될 수 있습니다. 이러한 매핑과 관련된 자세한 내용 및 지침은 아래 표를 참조하세요.
| 제어 ID | AWS Config 규칙 | 지침 |
|---|---|---|
| COS-01 | 웹 애플리케이션을 보호하는 데 도움이 되도록 Elastic Load Balancers(ELB)에서 AWS WAF가 활성화되었는지 확인하세요. WAF는 일반적인 웹 익스플로잇으로부터 웹 애플리케이션 또는 API를 보호하는 데 도움이 됩니다. 이러한 웹 익스플로잇은 사용자 환경에서 가용성에 영향을 미치거나, 보안을 손상시키거나, 리소스를 과도하게 소비할 수 있습니다. | |
| COS-01 | AWS WAF를 통해 사용자가 정의한 맞춤형 웹 보안 규칙 및 조건에 따라 웹 요청을 허용, 차단 또는 계산하는 규칙 집합(웹 ACL)을 구성할 수 있습니다. 악의적인 공격으로부터 보호하기 위해 Amazon API Gateway 스테이지가 WAF 웹 ACL과 연결되어 있도록 합니다. | |
| COS-01 | AWS WAF에 비어 있지 않은 규칙이 있는지 확인합니다. 조건이 없는 규칙에서는 의도하지 않은 동작이 발생할 수 있습니다. | |
| COS-01 | AWS WAF에 비어 있지 않은 규칙 그룹이 있는지 확인합니다. 규칙 그룹이 비어 있으면 의도하지 않은 동작이 발생할 수 있습니다. | |
| COS-01 | AWS WAF에 연결된 웹 ACL에는 웹 요청을 검사하고 제어하기 위한 규칙 및 규칙 그룹 모음이 포함될 수 있습니다. 웹 ACL이 비어 있는 경우 WAF에서 탐지하거나 조치를 취하지 않고 웹 트래픽이 전달됩니다. | |
| COS-01 | Amazon GuardDuty는 위협 인텔리전스 피드를 사용하여 잠재적인 사이버 보안 이벤트를 모니터링하고 탐지하는 데 도움이 될 수 있습니다. 여기에는 AWS 클라우드 환경 내에서 예상치 못한 악의적인 무단 활동을 식별하기 위한 악성 IP 및 기계 학습 목록이 포함됩니다. | |
| COS-03 | 웹 애플리케이션을 보호하는 데 도움이 되도록 Elastic Load Balancers(ELB)에서 AWS WAF가 활성화되었는지 확인하세요. WAF는 일반적인 웹 익스플로잇으로부터 웹 애플리케이션 또는 API를 보호하는 데 도움이 됩니다. 이러한 웹 익스플로잇은 사용자 환경에서 가용성에 영향을 미치거나, 보안을 손상시키거나, 리소스를 과도하게 소비할 수 있습니다. | |
| COS-03 | DMS 복제 인스턴스에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드에 대한 액세스를 관리합니다. DMS 복제 인스턴스에는 민감한 정보가 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다. | |
| COS-03 | EBS 스냅샷을 공개적으로 복원할 수 없도록 하여 AWS 클라우드에 대한 액세스를 관리합니다. EBS 볼륨 스냅샷에는 민감한 정보가 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다. | |
| COS-03 | Amazon Elastic Compute Cloud(Amazon EC2) 인스턴스에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드에 대한 액세스를 관리합니다. Amazon EC2 인스턴스에는 민감한 정보가 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다. | |
| COS-03 | Amazon Elastic Compute Cloud(Amazon EC2) 인스턴스를 Amazon Virtual Private Cloud(VPC) 내에 배포하면 인터넷 게이트웨이, NAT 디바이스 또는 VPN 연결 없이 Amazon VPC 내부에서 인스턴스와 다른 서비스 간에 보안 통신이 가능합니다. 모든 트래픽이 AWS 클라우드 내에서 안전하게 보호됩니다. 논리적 격리로 인해 퍼블릭 엔드포인트를 사용할 때에 비해, Amazon VPC에 상주하는 도메인에는 보안 계층이 하나 추가됩니다. Amazon EC2 인스턴스를 Amazon VPC에 할당하여 액세스를 적절하게 관리합니다. | |
| COS-03 | Amazon Virtual Private Cloud(VPC) 내에 Amazon OpenSearch Service(OpenSearch Service) 도메인이 있는지 확인하여 AWS 클라우드에 대한 액세스를 관리합니다. OpenSearch Service 도메인이 Amazon VPC 안에 있으면 인터넷 게이트웨이, NAT 디바이스 또는 VPN 연결 없이 Amazon VPC 내부에서 OpenSearch Service와 다른 서비스 간에 보안 통신이 가능합니다. | |
| COS-03 | Amazon OpenSearch Service 도메인이 Amazon Virtual Private Cloud(VPC) 내에 있는지 확인하여 AWS 클라우드에 대한 액세스를 관리합니다. Amazon OpenSearch Service 도메인이 Amazon VPC 안에 있으면 인터넷 게이트웨이, NAT 디바이스 또는 VPN 연결 없이 Amazon VPC 내부에서 Amazon OpenSearch Service와 다른 서비스 간에 보안 통신이 가능합니다. | |
| COS-03 | Amazon EMR 클러스터 프라이머리 노드에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드에 대한 액세스를 관리합니다. Amazon EMR 클러스터 프라이머리 노드에는 민감한 정보가 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다. | |
| COS-03 | 인터넷 게이트웨이가 승인된 Amazon Virtual Private Cloud(VPC)에만 연결되도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 인터넷 게이트웨이를 사용하면 Amazon VPC와 주고받는 양방향 인터넷 액세스가 가능하므로 Amazon VPC 리소스에 대한 무단 액세스가 발생할 수 있습니다. | |
| COS-03 | AWS Lambda 함수에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 퍼블릭 액세스는 잠재적으로 리소스 가용성을 저하시킬 수 있습니다. | |
| COS-03 | Amazon VPC 내부에서 함수와 다른 서비스 간에 안전한 통신이 가능하도록 Amazon Virtual Private Cloud(VPC) 내에 AWS Lambda 함수를 배포합니다. 이 구성을 사용하면 인터넷 게이트웨이, NAT 디바이스 또는 VPN 연결이 필요하지 않습니다. 모든 트래픽이 AWS 클라우드 내에서 안전하게 보호됩니다. 논리적 격리로 인해 퍼블릭 엔드포인트를 사용할 때에 비해, Amazon VPC에 상주하는 도메인에는 보안 계층이 하나 추가됩니다. 액세스를 적절하게 관리하려면 AWS Lambda 함수를 VPC에 할당해야 합니다. | |
| COS-03 | Amazon Relational Database Service(RDS) 인스턴스가 공개되지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. Amazon RDS 데이터베이스 인스턴스에는 민감한 정보와 원칙이 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다. | |
| COS-03 | Amazon Relational Database Service(RDS) 인스턴스가 공개되지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. Amazon RDS 데이터베이스 인스턴스에는 민감한 정보와 원칙이 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다. | |
| COS-03 | Amazon Redshift 클러스터가 공개되지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. Amazon Redshift 클러스터에는 민감한 정보와 원칙이 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다. | |
| COS-03 | Amazon Elastic Compute Cloud(Amazon EC2) 보안 그룹에서 공통 포트를 제한하여 AWS 클라우드에서 리소스에 대한 액세스를 관리합니다. 포트 액세스를 신뢰할 수 있는 소스로 제한하지 않으면 시스템의 가용성, 무결성 및 기밀성에 대한 공격이 발생할 수 있습니다. 이 규칙을 사용하면 blockedPort1 ~ blockedPort5 파라미터를 선택적으로 설정할 수 있습니다(Config 기본값: 20,21,3389,3306,4333). 실제 값은 조직의 정책을 반영해야 합니다. | |
| COS-03 | Amazon Elastic Compute Cloud(Amazon EC2) 보안 그룹은 AWS 리소스에 대한 수신 및 송신 네트워크 트래픽의 상태 저장 필터링을 제공하여 네트워크 액세스를 관리하는 데 도움을 줄 수 있습니다. 리소스의 0.0.0.0/0에서 포트 22로 수신(또는 원격) 트래픽을 허용하지 않으면 원격 액세스를 제한하는 데 도움이 됩니다. | |
| COS-03 | Amazon Simple Storage Service(S3) 버킷에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 이 규칙은 퍼블릭 액세스를 방지하여 권한이 없는 원격 사용자로부터 민감한 데이터를 안전하게 보호하는 데 도움이 됩니다. 이 규칙을 사용하면 ignorePublicAcls(Config 기본값: True), blockPublicPolicy(Config 기본값: True), blockPublicAcls(Config 기본값: True) 및 restrictPublicBuckets 파라미터(Config 기본값: True)를 선택적으로 설정할 수 있습니다. 실제 값은 조직의 정책을 반영해야 합니다. | |
| COS-03 | Amazon SageMaker 노트북이 직접 인터넷 액세스를 허용하지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 직접 인터넷 액세스를 방지함으로써 권한이 없는 사용자가 민감한 데이터에 액세스하는 것을 방지할 수 있습니다. | |
| COS-03 | Amazon Elastic Compute Cloud(Amazon EC2) 보안 그룹은 AWS 리소스에 대한 수신 및 송신 네트워크 트래픽의 상태 저장 필터링을 제공하여 네트워크 액세스를 관리하는 데 도움을 줄 수 있습니다. 기본 보안 그룹의 모든 트래픽을 제한하면 AWS 리소스에 대한 원격 액세스를 제한하는 데 도움이 됩니다. | |
| COS-03 | Amazon Elastic Compute Cloud(Amazon EC2) 보안 그룹에서 공통 포트를 제한하여 AWS 클라우드에서 리소스에 대한 액세스를 관리합니다. 포트 액세스를 신뢰할 수 있는 소스로 제한하지 않으면 시스템의 가용성, 무결성 및 기밀성에 대한 공격이 발생할 수 있습니다. 인터넷(0.0.0.0/0)에서 보안 그룹 내 리소스에 대한 액세스를 제한함으로써 내부 시스템에 대한 원격 액세스를 제어할 수 있습니다. | |
| COS-03 | Elastic Load Balancer(ELB)가 http 헤더를 삭제하도록 구성되었는지 확인합니다. 민감한 데이터가 존재할 수 있으므로 전송 중 암호화를 활성화하여 해당 데이터를 보호합니다. | |
| COS-05 | 이 규칙을 사용하면 AWS 클라우드의 리소스에 대한 액세스를 제한할 수 있습니다. 이 규칙은 모든 사용자에 대해 다중 인증(MFA)이 활성화되도록 합니다. MFA를 통해 로그인 보안 인증 외에 보호 계층이 한 단계 더 추가됩니다. 사용자에게 MFA를 요구하여 계정 보안 침해 사고를 줄이십시오. | |
| COS-05 | 콘솔 암호가 있는 모든 AWS Identity and Access Management(IAM) 사용자가 MFA를 사용하도록 설정하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. MFA를 통해 로그인 보안 인증 외에 보호 계층이 한 단계 더 추가됩니다. 사용자에게 MFA를 요구하면 계정이 침해되는 사고를 줄이고 승인되지 않은 사용자가 민감한 데이터에 액세스하는 것을 방지할 수 있습니다. | |
| COS-05 | 루트 사용자가 하드웨어 MFA를 사용하도록 설정하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 루트 사용자는 권한이 가장 많은 AWS 계정 사용자입니다. MFA는 로그인 보안 인증에 보호 계층을 한 단계 더 추가합니다. 루트 사용자에게 MFA를 요구하면 AWS 계정 침해 사고를 줄일 수 있습니다. | |
| COS-05 | 루트 사용자에 대해 MFA가 활성화되도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 루트 사용자는 권한이 가장 많은 AWS 계정 사용자입니다. MFA는 로그인 보안 인증에 보호 계층을 한 단계 더 추가합니다. 루트 사용자에게 MFA를 요구하면 AWS 계정 침해 사고를 줄일 수 있습니다. | |
| COS-05 | Amazon Elastic Compute Cloud(Amazon EC2) 인스턴스에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드에 대한 액세스를 관리합니다. Amazon EC2 인스턴스에는 민감한 정보가 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다. | |
| COS-05 | Amazon EMR 클러스터 프라이머리 노드에 공개적으로 액세스할 수 없도록 하여 AWS 클라우드에 대한 액세스를 관리합니다. Amazon EMR 클러스터 프라이머리 노드에는 민감한 정보가 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다. | |
| COS-05 | Amazon Relational Database Service(RDS) 인스턴스가 공개되지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. Amazon RDS 데이터베이스 인스턴스에는 민감한 정보와 원칙이 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다. | |
| COS-05 | Amazon Relational Database Service(RDS) 인스턴스가 공개되지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. Amazon RDS 데이터베이스 인스턴스에는 민감한 정보와 원칙이 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다. | |
| COS-05 | Amazon Redshift 클러스터가 공개되지 않도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. Amazon Redshift 클러스터에는 민감한 정보와 원칙이 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다. | |
| COS-05 | Amazon Elastic Compute Cloud(Amazon EC2) 보안 그룹에서 공통 포트를 제한하여 AWS 클라우드에서 리소스에 대한 액세스를 관리합니다. 포트 액세스를 신뢰할 수 있는 소스로 제한하지 않으면 시스템의 가용성, 무결성 및 기밀성에 대한 공격이 발생할 수 있습니다. 이 규칙을 사용하면 blockedPort1 ~ blockedPort5 파라미터를 선택적으로 설정할 수 있습니다(Config 기본값: 20,21,3389,3306,4333). 실제 값은 조직의 정책을 반영해야 합니다. | |
| COS-05 | Amazon Elastic Compute Cloud(Amazon EC2) 보안 그룹은 AWS 리소스에 대한 수신 및 송신 네트워크 트래픽의 상태 저장 필터링을 제공하여 네트워크 액세스를 관리하는 데 도움을 줄 수 있습니다. 리소스의 0.0.0.0/0에서 포트 22로 수신(또는 원격) 트래픽을 허용하지 않으면 원격 액세스를 제한하는 데 도움이 됩니다. | |
| COS-05 | Amazon Elastic Compute Cloud(Amazon EC2) 보안 그룹은 AWS 리소스에 대한 수신 및 송신 네트워크 트래픽의 상태 저장 필터링을 제공하여 네트워크 액세스를 관리하는 데 도움을 줄 수 있습니다. 기본 보안 그룹의 모든 트래픽을 제한하면 AWS 리소스에 대한 원격 액세스를 제한하는 데 도움이 됩니다. | |
| COS-05 | Amazon Elastic Compute Cloud(Amazon EC2) 보안 그룹에서 공통 포트를 제한하여 AWS 클라우드에서 리소스에 대한 액세스를 관리합니다. 포트 액세스를 신뢰할 수 있는 소스로 제한하지 않으면 시스템의 가용성, 무결성 및 기밀성에 대한 공격이 발생할 수 있습니다. 인터넷(0.0.0.0/0)에서 보안 그룹 내 리소스에 대한 액세스를 제한함으로써 내부 시스템에 대한 원격 액세스를 제어할 수 있습니다. | |
| CRY-02 | 전송 중 데이터를 보호하려면 Application Load Balancer가 암호화되지 않은 HTTP 요청을 자동으로 HTTPS로 리디렉션하도록 해야 합니다. 민감한 데이터가 존재할 수 있으므로 전송 중 암호화를 활성화하여 해당 데이터를 보호합니다. | |
| CRY-02 | Amazon API Gateway REST API 스테이지를 SSL 인증서로 구성하여 요청이 API Gateway에서 시작되었음을 백엔드 시스템이 인증할 수 있도록 하십시오. | |
| CRY-02 | 전송 중 데이터를 보호하려면 Classic Elastic Load Balancing SSL 리스너가 사전 정의된 보안 정책을 사용하고 있는지 확인합니다. Elastic Load Balancing은 클라이언트와 로드 밸런서 간에 연결을 설정할 때 SSL 협상에 사용되는 사전 정의된 SSL 협상 구성을 제공합니다. SSL 협상 구성은 광범위한 클라이언트와 호환되며 강력한 암호화 알고리즘을 사용합니다. 이 규칙을 사용하려면 SSL 리스너에 대해 사전 정의된 보안 정책을 설정해야 합니다. 기본 보안 정책은 ELBSecurityPolicy-TLS-1-2-2017-0입니다. 실제 값은 조직의 정책을 반영해야 합니다. | |
| CRY-02 | 민감한 데이터가 존재할 수 있으므로 전송 중 데이터를 보호하는 데 도움이 되도록 Amazon OpenSearch Service 도메인에서 HTTPS가 활성화되어 있는지 확인합니다. | |
| CRY-02 | Amazon OpenSearch Service를 위한 노드 간 암호화가 활성화되어 있는지 확인합니다. 노드 간 암호화를 사용하면 Amazon Virtual Private Cloud(VPC) 내 모든 통신에 대해 TLS 1.2 암호화를 사용할 수 있습니다. 민감한 데이터가 존재할 수 있으므로 전송 중 암호화를 활성화하여 해당 데이터를 보호합니다. | |
| CRY-02 | Elastic Load Balancer(ELB)가 SSL 또는 HTTPS 리스너로 구성되어 있는지 확인하세요. 민감한 데이터가 존재할 수 있으므로 전송 중 암호화를 활성화하여 해당 데이터를 보호합니다. | |
| CRY-02 | Amazon Redshift 클러스터를 SQL 클라이언트에 연결하려면 TLS/SSL 암호화가 필요한지 확인하세요. 민감한 데이터가 존재할 수 있으므로 전송 중 암호화를 활성화하여 해당 데이터를 보호합니다. | |
| CRY-02 | 전송 중 데이터 데이터를 보호하려면 Amazon Simple Storage Service(S3) 버킷에 보안 소켓 계층(SSL) 사용 요청이 필요한지 확인하세요. 민감한 데이터가 존재할 수 있으므로 전송 중 암호화를 활성화하여 해당 데이터를 보호합니다. | |
| CRY-02 | Amazon OpenSearch Service를 위한 노드 간 암호화가 활성화되어 있는지 확인합니다. 노드 간 암호화를 사용하면 Amazon Virtual Private Cloud(VPC) 내 모든 통신에 대해 TLS 1.2 암호화를 사용할 수 있습니다. 민감한 데이터가 존재할 수 있으므로 전송 중 암호화를 활성화하여 해당 데이터를 보호합니다. | |
| CRY-03 | 저장 데이터를 보호하려면 API Gateway 단계의 캐시에 암호화가 활성화되어 있어야 합니다. API 메서드에서 민감한 데이터를 캡처할 수 있으므로 저장 중 암호화를 활성화하면 해당 데이터를 보호하는 데 도움이 됩니다. | |
| CRY-03 | 민감한 데이터가 존재할 수 있으므로 저장 데이터를 보호하는 데 도움이 되도록 AWS CloudTrail 트레일에 암호화가 활성화되어 있는지 확인하십시오. | |
| CRY-03 | 민감한 저장 데이터를 보호하려면 Amazon CloudWatch 로그 그룹에 암호화가 활성화되어 있는지 확인하십시오. | |
| CRY-03 | 민감한 데이터가 존재할 수 있으므로 저장 데이터를 보호하는 데 도움이 되도록 Amazon Kinesis Streams에 암호화가 활성화되어 있는지 확인합니다. | |
| CRY-03 | 저장 데이터를 보호하려면 AWS Secrets Manager 암호에 AWS Key Management Service(AWS KMS)를 통한 암호화가 활성화되어 있는지 확인하세요. Secrets Manager 암호에 저장 중 민감한 데이터가 존재할 수 있으므로 저장 중 암호화를 활성화하여 해당 데이터를 보호합니다. | |
| CRY-03 | Amazon DynamoDB 테이블에 대해 암호화가 활성화되었는지 확인합니다. 이러한 테이블에 민감한 데이터가 저장 중일 수 있으므로 저장 암호화를 활성화하여 해당 데이터를 보호합니다. DynamoDB 테이블은 기본적으로 AWS 소유 고객 마스터 키(CMK)로 암호화됩니다. | |
| CRY-03 | EBS 스냅샷을 공개적으로 복원할 수 없도록 하여 AWS 클라우드에 대한 액세스를 관리합니다. EBS 볼륨 스냅샷에는 민감한 정보가 포함될 수 있으며 이러한 계정에는 액세스 제어가 필요합니다. | |
| CRY-03 | 저장 데이터를 보호하려면Amazon Elastic Block Store(Amazon EBS) 볼륨에 대해 암호화를 활성화해야 합니다. 이러한 볼륨에 저장 중 민감한 데이터가 존재할 수 있으므로 저장 중 암호화를 활성화하여 해당 데이터를 보호합니다. | |
| CRY-03 | 민감한 데이터가 존재할 수 있으므로 저장 데이터를 보호하는 데 도움이 되도록 Amazon Elastic File System(EFS)에 대해 암호화가 활성화되어 있는지 확인합니다. | |
| CRY-03 | 민감한 데이터가 존재할 수 있으므로 저장 데이터를 보호하는 데 도움이 되도록 Amazon OpenSearch Service(OpenSearch Service) 도메인에서 암호화가 활성화되어 있는지 확인합니다. | |
| CRY-03 | 민감한 데이터가 존재할 수 있으므로 저장 데이터를 보호하는 데 도움이 되도록 Amazon OpenSearch Service 도메인에 암호화가 활성화되어 있는지 확인하십시오. | |
| CRY-03 | 민감한 데이터가 존재할 수 있으므로 저장 데이터를 보호하는 데 도움이 되도록 Amazon Elastic Block Store(Amazon EBS)에 대해 암호화가 활성화되어 있는지 확인합니다. | |
| CRY-03 | Amazon Relational Database Service(RDS) 스냅샷에 대해 암호화가 활성화되었는지 확인합니다. 저장 중 민감한 데이터가 존재할 수 있으므로 저장 중 암호화를 활성화하여 해당 데이터를 보호합니다. | |
| CRY-03 | 민감한 저장 데이터를 보호하려면 AWS CodeBuild 아티팩트에 암호화가 활성화되어 있어야 합니다. | |
| CRY-03 | 저장 데이터를 보호하기 위해 Amazon Relational Database Service(RDS) 인스턴스에 대해 암호화가 활성화되었는지 확인합니다. Amazon RDS 인스턴스에 저장 중 민감한 데이터가 존재할 수 있으므로 저장 중 암호화를 활성화하여 해당 데이터를 보호합니다. | |
| CRY-03 | 저장 데이터를 보호하기 위해 Amazon Redshift 클러스터에 대해 암호화가 활성화되어 있는지 확인합니다. 또한 필수 구성이 Amazon Redshift 클러스터에 배포되었는지 확인해야 합니다. 데이터베이스의 연결 및 사용자 활동에 관한 정보를 제공하려면 감사 로깅을 활성화해야 합니다. 이 규칙을 사용하려면 clusterDbEncrypted(Config 기본값: TRUE) 및 loggingEnabled(Config 기본값: TRUE)에 대한 값을 설정해야 합니다. 실제 값은 조직의 정책을 반영해야 합니다. | |
| CRY-03 | Amazon Simple Storage Service(S3) 버킷에 대해 암호화가 활성화되어 있는지 확인합니다. Amazon S3 버킷에 저장 중 민감한 데이터가 존재할 수 있으므로 저장 중 암호화를 활성화하여 해당 데이터를 보호합니다. | |
| CRY-03 | 저장 데이터를 보호하려면 SageMaker 엔드포인트에 AWS Key Management Service(AWS KMS)를 통한 암호화가 활성화되어 있는지 확인하세요. SageMaker 엔드포인트에 저장 중 민감한 데이터가 존재할 수 있으므로 저장 중 암호화를 활성화하여 해당 데이터를 보호합니다. | |
| CRY-03 | 저장 데이터를 보호하려면 SageMaker 노트북에 AWS Key Management Service(AWS KMS)를 통한 암호화가 활성화되어 있는지 확인하세요. SageMaker 노트북에 저장 중 민감한 데이터가 존재할 수 있으므로 저장 중 암호화를 활성화하여 해당 데이터를 보호합니다. | |
| CRY-03 | 저장 데이터를 보호하려면 Amazon Simple Notification Service(SNS) 주제에 AWS Key Management Service(AWS KMS)를 사용한 암호화가 필요한지 확인하세요. 게시된 메시지에 민감한 데이터가 저장될 수 있으므로 저장 중 암호화를 활성화하여 해당 데이터를 보호합니다. | |
| CRY-04 | 키 교체를 활성화하여 암호화 기간 종료 후 키를 교체하도록 합니다. | |
| DEV-07 | Amazon CloudWatch를 사용하여 로그 이벤트 활동을 중앙에서 수집하고 관리합니다. AWS CloudTrail 데이터를 포함하면 AWS 계정 내 API 직접 호출 활동에 관한 세부 정보가 제공됩니다. | |
| DEV-07 | AWS CodeBuild 프로젝트 로깅이 활성화되어 있어 빌드 출력 로그가 Amazon CloudWatch 또는 Amazon Simple Storage Service(S3)로 전송되도록 합니다. 빌드 출력 로그는 빌드 프로젝트에 관한 자세한 정보를 제공합니다. | |
| DEV-07 | Amazon Simple Storage Service(S3) 서버 액세스 로깅은 네트워크에 잠재적인 사이버 보안 이벤트가 있는지 모니터링하는 방법을 제공합니다. 이벤트는 Amazon S3 버킷에 대해 이루어진 요청에 대한 상세한 레코드를 캡처하여 모니터링됩니다. 각 액세스 로그 레코드는 단일 액세스 요청에 관한 세부 정보를 제공합니다. 세부 정보에는 요청자, 버킷 이름, 요청 시간, 요청 작업, 응답 상태, 오류 코드(해당하는 경우)가 포함됩니다. | |
| DEV-07 | AWS CloudTrail은 AWS Management Console 작업 및 API 직접 호출을 기록하여 부인 방지에 유용할 수 있습니다. AWS 서비스를 호출한 사용자 및 AWS 계정, 호출이 생성된 소스 IP 주소, 호출 시점을 파악할 수 있습니다. 캡처된 데이터의 세부 정보는 AWS CloudTrail 레코드 콘텐츠에서 확인할 수 있습니다. | |
| DEV-07 | Amazon Simple Storage Service(S3) 데이터 이벤트를 수집하면 모든 변칙적 활동을 탐지하는 데 도움이 됩니다. 세부 정보에는 Amazon S3 버킷에 액세스한 AWS 계정 정보, IP 주소, 이벤트 시간이 포함됩니다. | |
| DEV-07 | AWS CloudTrail은 AWS Management Console 작업 및 API 직접 호출을 기록합니다. 어떤 사용자 및 계정이 AWS를 호출했는지, 어떤 소스 IP 주소에 호출이 이루어졌는지, 언제 호출이 발생했는지 확인할 수 있습니다. MULTI_REGION_CLOUD_TRAIL_ENABLED가 활성화된 경우 CloudTrail은 모든 AWS 리전의 로그 파일을 S3 버킷으로 전송합니다. 또한 AWS에서 새 리전을 시작하면 CloudTrail은 새 리전에 동일한 추적을 생성합니다. 따라서 별도의 조치를 취하지 않아도 새 지역의 API 활동이 포함된 로그 파일을 받게 됩니다. | |
| IDM-01 | 조직 정책에서 지정한 대로 IAM 액세스 키가 교체되도록 하여 승인된 디바이스, 사용자 및 프로세스에 대한 보안 인증을 감사합니다. 정기적인 일정에 따라 액세스 키를 변경하는 것이 보안 모범 사례입니다. 이렇게 하면 액세스 키가 활성화되는 기간이 단축되고 키가 손상될 경우 비즈니스에 미치는 영향을 줄일 수 있습니다. 이 규칙에는 액세스 키 교체 값이 필요합니다(Config 기본값: 90). 실제 값은 조직의 정책을 반영해야 합니다. | |
| IDM-01 | Amazon EMR 클러스터용 Kerberos를 활성화하면 액세스 권한 및 권한 부여를 관리하고 최소 권한 및 업무 분리 원칙에 따라 통합할 수 있습니다. Kerberos에서는 인증이 필요한 서비스 및 사용자를 보안 주체라고 합니다. 보안 주체는 Kerberos 영역 내에 존재합니다. 영역 내에서 Kerberos 서버는 키 배포 센터(KDC)로 알려져 있습니다. 이는 보안 주체가 인증할 수 있는 수단을 제공합니다. KDC는 인증을 위한 티켓을 발급하여 인증합니다. KDC는 영역 내의 보안 주체, 그들의 암호 및 각 보안 주체에 대한 기타 관리자 정보가 저장된 데이터베이스를 유지합니다. | |
| IDM-01 | ID 및 보안 인증 정보는 조직의 IAM 암호 정책을 기반으로 발급, 관리 및 검증됩니다. 이들은 NIST SP 800-63에 명시된 요구 사항은 물론, 암호 강도에 대한 AWS 기초 보안 모범 사례 표준 또는 그보다 더 까다로운 표준도 충족합니다. 이 규칙을 사용하면 IAM 암호 정책에 대한 RequireUppercaseCharacters(AWS 기초 보안 모범 사례 값: true), RequireLowercaseCharacters(AWS 기초 보안 모범 사례 값: true), RequireSymbols(AWS 기초 보안 모범 사례 값: true), RequireNumbers(AWS 기초 보안 모범 사례 값: true), MinimalPasswordLength(AWS 기초 보안 모범 사례 값: 14), PasswordReusePrevention(AWS 기초 보안 모범 사례 값: 24) 및 MaxPasswordAge(AWS 기초 보안 모범 사례 값: 90)를 선택적으로 설정할 수 있습니다. 실제 값은 조직의 정책을 반영해야 합니다. | |
| IDM-01 | 루트 사용자의 AWS Identity and Access Management(IAM) 역할에 연결된 액세스 키가 없는지 확인하여 시스템 및 자산에 대한 액세스를 제어할 수 있습니다. 루트 액세스 키가 삭제되었는지 확인하세요. 그 대신 역할 기반 AWS 계정를 만들어 사용하면 최소 기능의 원칙을 통합하는 데 도움이 됩니다. | |
| IDM-01 | AWS Identity and Access Management(IAM)를 사용하면 사용자가 하나 이상의 그룹에 속하도록 하여 액세스 권한 및 권한 부여를 제한할 수 있습니다. 작업을 완료하는 데 필요한 것보다 더 많은 권한을 허용하는 것은 최소 권한 및 업무 분리 원칙에 위배될 수 있습니다. | |
| IDM-01 | 이 규칙을 사용하면 AWS 클라우드의 리소스에 대한 액세스를 제한할 수 있습니다. 이 규칙은 모든 사용자에 대해 다중 인증(MFA)이 활성화되도록 합니다. MFA를 통해 로그인 보안 인증 외에 보호 계층이 한 단계 더 추가됩니다. 사용자에게 MFA를 요구하여 계정 보안 침해 사고를 줄이십시오. | |
| IDM-01 | AWS Identity and Access Management(IAM)는 지정된 기간 동안 사용되지 않은 IAM 암호와 액세스 키를 확인하여 액세스 권한 및 권한 부여 관리에 도움을 줄 수 있습니다. 이러한 미사용 보안 인증 정보가 발견되면 최소 권한의 원칙에 위배될 수 있으므로 해당 보안 인증 정보를 비활성화 및/또는 제거해야 합니다. 이 규칙을 사용하려면 maxCredentialUsageAge 값을 설정해야 합니다(Config 기본값: 90). 실제 값은 조직의 정책을 반영해야 합니다. | |
| IDM-01 | 콘솔 암호가 있는 모든 AWS Identity and Access Management(IAM) 사용자가 MFA를 사용하도록 설정하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. MFA를 통해 로그인 보안 인증 외에 보호 계층이 한 단계 더 추가됩니다. 사용자에게 MFA를 요구하면 계정이 침해되는 사고를 줄이고 승인되지 않은 사용자가 민감한 데이터에 액세스하는 것을 방지할 수 있습니다. | |
| IDM-01 | 루트 사용자가 하드웨어 MFA를 사용하도록 설정하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 루트 사용자는 권한이 가장 많은 AWS 계정 사용자입니다. MFA는 로그인 보안 인증에 보호 계층을 한 단계 더 추가합니다. 루트 사용자에게 MFA를 요구하면 AWS 계정 침해 사고를 줄일 수 있습니다. | |
| IDM-01 | 루트 사용자에 대해 MFA가 활성화되도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 루트 사용자는 권한이 가장 많은 AWS 계정 사용자입니다. MFA는 로그인 보안 인증에 보호 계층을 한 단계 더 추가합니다. 루트 사용자에게 MFA를 요구하면 AWS 계정 침해 사고를 줄일 수 있습니다. | |
| IDM-01 | 이 규칙은 AWS Secrets Manager 보안 암호에서 교체가 활성화되도록 합니다. 정기적으로 암호를 교체하면 암호가 활성화되는 기간을 단축할 수 있으며, 암호가 침해될 경우 비즈니스에 미치는 영향을 잠재적으로 줄일 수 있습니다. | |
| IDM-01 | 이 규칙은 AWS Secrets Manager 암호가 교체 일정에 따라 성공적으로 교체되도록 합니다. 정기적으로 암호를 교체하면 암호가 활성화되는 기간을 단축할 수 있으며, 침해될 경우 비즈니스에 미치는 영향을 잠재적으로 줄일 수 있습니다. | |
| IDM-01 | AWS Identity and Access Management(IAM)를 사용하면 IAM 그룹에 최소 한 명의 사용자를 지정하여 최소 권한 및 업무 분리 원칙을 액세스 권한 및 권한 부여와 통합할 수 있습니다. 관련 권한 또는 직무에 따라 사용자를 그룹에 배치하는 것은 최소 권한을 통합하는 한 가지 방법입니다. | |
| IDM-01 | 이 규칙은 AWS Identity and Access Management(IAM) 정책을 그룹 또는 역할에만 연결하여 시스템과 자산에 대한 액세스를 제어합니다. 그룹 또는 역할 수준에서 권한을 할당하면 ID가 과도한 권한을 받거나 보유할 기회를 줄이는 데 도움이 됩니다. | |
| IDM-01 | 보안 인증 정보 AWS_ACCESS_KEY_ID 및 AWS_SECRET_ACCESS_KEY가 AWS Codebuild 프로젝트 환경 내에 존재하지 않도록 보장합니다. 이러한 변수를 일반 텍스트로 저장하지 마십시오. 이러한 변수를 일반 텍스트로 저장하면 의도하지 않은 데이터 노출 및 무단 액세스가 발생할 수 있습니다. | |
| IDM-01 | 최소 권한 원칙을 구현하는 데 도움이 되도록 Amazon Elastic Container Service(Amazon ECS) 작업 정의에는 승격 권한이 활성화되어 있지 않아야 합니다. 이 파라미터가 true인 경우 컨테이너는 호스트 컨테이너 인스턴스에 대해 승격된 권한을 부여받습니다(루트 사용자와 비슷함). | |
| IDM-01 | Amazon Elastic Container Service(ECS) 컨테이너에 대한 읽기 전용 액세스를 활성화하면 최소 권한 원칙을 준수하는 데 도움이 될 수 있습니다. 명시적인 읽기-쓰기 권한이 없는 한, 이 옵션은 컨테이너 인스턴스의 파일 시스템을 수정할 수 없으므로 공격 벡터를 줄일 수 있습니다. | |
| IDM-01 | 작업 정의에 승격된 권한이 있는 경우는 고객이 해당 구성을 특별히 선택했기 때문입니다. 이 제어는 작업 정의에 호스트 네트워킹이 활성화되어 있지만 고객이 승격된 권한을 선택하지 않은 경우 예상치 못한 권한 에스컬레이션을 검사합니다. | |
| IDM-01 | Amazon Elastic File System(Amazon EFS) 액세스 포인트에 루트 디렉터리를 적용하면 액세스 포인트의 사용자가 지정된 하위 디렉터리의 파일에만 액세스할 수 있도록 하여 데이터 액세스를 제한하는 데 도움이 됩니다. | |
| IDM-01 | 최소 권한 원칙을 구현하는 데 도움이 되도록 Amazon Elastic File System(Amazon EFS)에 대해 사용자 적용이 활성화되어 있어야 합니다. 활성화되면 Amazon EFS는 NFS 클라이언트의 사용자 및 그룹 ID를 모든 파일 시스템 작업의 액세스 포인트에 구성된 ID로 대체하고, 적용된 이 사용자 ID에 대한 액세스 권한만 부여합니다. | |
| IDM-01 | IAM 작업을 필요한 작업으로만 제한해야 합니다. 작업을 완료하는 데 필요한 것보다 더 많은 권한을 갖도록 허용하는 것은 최소 권한 및 업무 분리 원칙에 위배될 수 있습니다. | |
| IDM-01 | Amazon OpenSearch Service 도메인에서 세분화된 액세스 제어가 활성화되었는지 확인합니다. 세분화된 액세스 제어를 통해 Amazon OpenSearch 서비스 도메인에 대한 액세스 권한을 최소한으로 확보할 수 있는 향상된 권한 부여 메커니즘이 제공됩니다. 이를 통해 도메인에 대한 역할 기반 액세스 제어는 물론 인덱스, 문서 및 필드 수준의 보안, OpenSearch Service 대시보드 멀티테넌시 지원, OpenSearch Service 및 Kibana에 대한 HTTP 기본 인증이 가능합니다. | |
| IDM-01 | Amazon Relational Database Service(RDS) 인스턴스에서 AWS Identity and Access Management(IAM) 인증을 활성화하여 시스템 및 자산에 대한 액세스를 제어해야 합니다. 이렇게 하면 데이터베이스를 오가는 네트워크 트래픽이 SSL(Secure Sockets Layer)을 통해 암호화됩니다. 인증은 외부에서 관리되므로 사용자 보안 인증 정보를 데이터베이스에 저장할 필요가 없습니다. | |
| IDM-01 | 이 규칙은 액세스 제어 목록(ACL)이 Amazon S3 버킷의 액세스 제어에 사용되는지 확인합니다. ACL은 AWS Identity and Access Management(IAM) 이전의 Amazon S3 버킷에 대한 레거시 액세스 제어 메커니즘입니다. ACL 대신 IAM 정책 또는 S3 버킷 정책을 사용하여 S3 버킷에 대한 액세스를 보다 쉽게 관리하는 것은 모범 사례입니다. | |
| IDM-03 | AWS Identity and Access Management(IAM)는 지정된 기간 동안 사용되지 않은 IAM 암호와 액세스 키를 확인하여 액세스 권한 및 권한 부여 관리에 도움을 줄 수 있습니다. 이러한 미사용 보안 인증 정보가 발견되면 최소 권한의 원칙에 위배될 수 있으므로 해당 보안 인증 정보를 비활성화 및/또는 제거해야 합니다. 이 규칙을 사용하려면 maxCredentialUsageAge 값을 설정해야 합니다(Config 기본값: 90). 실제 값은 조직의 정책을 반영해야 합니다. | |
| IDM-03 | AWS Secrets Manager에 미사용 보안 인증이 존재하는 경우, 최소 권한 원칙에 위배될 수 있으므로 해당 보안 인증을 비활성화 및/또는 제거해야 합니다. 이 규칙을 사용하면 값을 unusedForDays(Config 기본값: 90)로 설정할 수 있습니다. 실제 값은 조직의 정책을 반영해야 합니다. | |
| IDM-08 | ID 및 보안 인증 정보는 조직의 IAM 암호 정책을 기반으로 발급, 관리 및 검증됩니다. 이들은 NIST SP 800-63에 명시된 요구 사항은 물론, 암호 강도에 대한 AWS 기초 보안 모범 사례 표준 또는 그보다 더 까다로운 표준도 충족합니다. 이 규칙을 사용하면 IAM 암호 정책에 대한 RequireUppercaseCharacters(AWS 기초 보안 모범 사례 값: true), RequireLowercaseCharacters(AWS 기초 보안 모범 사례 값: true), RequireSymbols(AWS 기초 보안 모범 사례 값: true), RequireNumbers(AWS 기초 보안 모범 사례 값: true), MinimalPasswordLength(AWS 기초 보안 모범 사례 값: 14), PasswordReusePrevention(AWS 기초 보안 모범 사례 값: 24) 및 MaxPasswordAge(AWS 기초 보안 모범 사례 값: 90)를 선택적으로 설정할 수 있습니다. 실제 값은 조직의 정책을 반영해야 합니다. | |
| CRY-01 | ID 및 보안 인증 정보는 조직의 IAM 암호 정책을 기반으로 발급, 관리 및 검증됩니다. 이들은 NIST SP 800-63에 명시된 요구 사항은 물론, 암호 강도에 대한 AWS 기초 보안 모범 사례 표준 또는 그보다 더 까다로운 표준도 충족합니다. 이 규칙을 사용하면 IAM 암호 정책에 대한 RequireUppercaseCharacters(AWS 기초 보안 모범 사례 값: true), RequireLowercaseCharacters(AWS 기초 보안 모범 사례 값: true), RequireSymbols(AWS 기초 보안 모범 사례 값: true), RequireNumbers(AWS 기초 보안 모범 사례 값: true), MinimalPasswordLength(AWS 기초 보안 모범 사례 값: 14), PasswordReusePrevention(AWS 기초 보안 모범 사례 값: 24) 및 MaxPasswordAge(AWS 기초 보안 모범 사례 값: 90)를 선택적으로 설정할 수 있습니다. 실제 값은 조직의 정책을 반영해야 합니다. | |
| IDM-09 | 이 규칙을 사용하면 AWS 클라우드의 리소스에 대한 액세스를 제한할 수 있습니다. 이 규칙은 모든 사용자에 대해 다중 인증(MFA)이 활성화되도록 합니다. MFA를 통해 로그인 보안 인증 외에 보호 계층이 한 단계 더 추가됩니다. 사용자에게 MFA를 요구하여 계정 보안 침해 사고를 줄이십시오. | |
| IDM-09 | 콘솔 암호가 있는 모든 AWS Identity and Access Management(IAM) 사용자가 MFA를 사용하도록 설정하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. MFA를 통해 로그인 보안 인증 외에 보호 계층이 한 단계 더 추가됩니다. 사용자에게 MFA를 요구하면 계정이 침해되는 사고를 줄이고 승인되지 않은 사용자가 민감한 데이터에 액세스하는 것을 방지할 수 있습니다. | |
| IDM-09 | 루트 사용자가 하드웨어 MFA를 사용하도록 설정하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 루트 사용자는 권한이 가장 많은 AWS 계정 사용자입니다. MFA는 로그인 보안 인증에 보호 계층을 한 단계 더 추가합니다. 루트 사용자에게 MFA를 요구하면 AWS 계정 침해 사고를 줄일 수 있습니다. | |
| IDM-09 | 루트 사용자에 대해 MFA가 활성화되도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 루트 사용자는 권한이 가장 많은 AWS 계정 사용자입니다. MFA는 로그인 보안 인증에 보호 계층을 한 단계 더 추가합니다. 루트 사용자에게 MFA를 요구하면 AWS 계정 침해 사고를 줄일 수 있습니다. | |
| OPS-01 | Elastic Load Balancing(ELB)은 하나의 가용 영역에서 EC2 인스턴스, 컨테이너, IP 주소 등 여러 대상에 걸쳐 수신되는 트래픽을 자동으로 분산합니다. 고가용성을 보장하려면 ELB에 여러 가용 영역의 인스턴스가 등록되어 있어야 합니다. | |
| OPS-01 | Elastic Load Balancing(ELB)은 하나의 가용 영역에서 EC2 인스턴스, 컨테이너, IP 주소 등 여러 대상에 걸쳐 수신되는 트래픽을 자동으로 분산합니다. 고가용성을 보장하려면 ELB에 여러 가용 영역의 인스턴스가 등록되어 있어야 합니다. | |
| OPS-01 | AWS Lambda 함수가 계정의 Virtual Private Cloud(VPC)에 연결하도록 구성된 경우, AWS Lambda 함수를 두 개 이상의 서로 다른 가용 영역에 배포합니다. 이렇게 하면 단일 영역에서 서비스 중단 발생 시 함수를 사용하여 이벤트를 처리할 수 있습니다. | |
| OPS-01 | Amazon Relational Database Service(RDS) 클러스터에는 저장된 데이터의 가용성을 지원하기 위해 다중 AZ 복제가 활성화되어 있어야 합니다. 각 가용 영역은 물리적으로 구분된 자체 독립 인프라에서 실행되며 안정성이 높도록 설계되었습니다. 인프라 장애가 발생할 경우, Amazon RDS는 대기 인프라로 자동 장애 조치를 수행하므로 장애 조치가 완료되는 즉시 데이터베이스 작업을 재개할 수 있습니다. | |
| OPS-01 | Amazon Relational Database Service(RDS)의 다중 AZ 지원은 데이터베이스 인스턴스의 가용성과 내구성을 향상시킵니다. 다중 AZ 데이터베이스 인스턴스를 프로비저닝하면 Amazon RDS가 자동으로 기본 데이터베이스 인스턴스를 생성하고 다른 가용 영역에 있는 대기 인스턴스에 데이터를 동기식으로 복제합니다. 각 가용 영역은 물리적으로 구분된 자체 독립 인프라에서 실행되며 안정성이 높도록 설계되었습니다. 인프라 장애가 발생할 경우, Amazon RDS는 대기 인프라로 자동 장애 조치를 수행하므로 장애 조치가 완료되는 즉시 데이터베이스 작업을 재개할 수 있습니다. | |
| OPS-01 | Amazon DynamoDB Auto Scaling은 AWS Application Auto Scaling 서비스를 사용하여 실제 트래픽 패턴에 자동으로 대응하여 프로비저닝된 처리량 용량을 조정합니다. 따라서 테이블 또는 글로벌 보조 인덱스에 따라 할당된 읽기 및 쓰기 용량을 늘려 제한 없이 갑작스러운 트래픽 증가를 처리할 수 있습니다. | |
| OPS-01 | Elastic Load Balancer(ELB)의 영역 간 로드 밸런싱 활성화는 적절한 용량과 가용성을 유지하는 데 도움이 됩니다. 영역 간 로드 밸런싱을 사용하면 활성화된 각 가용성 영역에서 동일한 수의 인스턴스를 유지해야 할 필요성이 줄어듭니다. 또한 애플리케이션이 보다 효과적으로 하나 이상의 인스턴스 손실을 처리할 수 있습니다. | |
| OPS-01 | Amazon DynamoDB 테이블에서 프로비저닝된 처리 용량을 확인하려면 이 규칙을 활성화하세요. 이는 각 테이블에서 지원할 수 있는 읽기 및 쓰기 활동의 양입니다. DynamoDB는 이 정보를 사용하여 처리량 요구 사항에 맞는 충분한 시스템 리소스를 예약합니다. 이 규칙은 처리량이 고객 계정의 최대 한도에 도달하면 알림을 생성합니다. 이 규칙을 사용하면 선택적으로 accountRCUThresholdPercentage(Config 기본값: 80) 및 accountWCUThresholdPercentage(Config 기본값: 80) 파라미터를 설정할 수 있습니다. 실제 값은 조직의 정책을 반영해야 합니다. | |
| OPS-02 | Elastic Load Balancing(ELB)은 하나의 가용 영역에서 EC2 인스턴스, 컨테이너, IP 주소 등 여러 대상에 걸쳐 수신되는 트래픽을 자동으로 분산합니다. 고가용성을 보장하려면 ELB에 여러 가용 영역의 인스턴스가 등록되어 있어야 합니다. | |
| OPS-02 | Amazon Elastic Compute Cloud(Amazon EC2) Auto Scaling 그룹의 Elastic Load Balancer(ELB) 상태 확인은 적절한 용량과 가용성의 유지 관리를 지원합니다. 로드 밸런서가 정기적으로 ping을 전송하거나, 연결을 시도하거나, 요청을 전송하여 Auto Scaling 그룹의 Amazon EC2 인스턴스 상태를 테스트합니다. 인스턴스가 다시 보고하지 않는 경우, 트래픽은 새 Amazon EC2 인스턴스로 전송됩니다. | |
| OPS-02 | AWS Elastic Beanstalk 강화된 상태 보고를 활성화하면 기본 인프라의 상태 변화에 보다 신속하게 대응할 수 있습니다. 이러한 변경으로 인해 애플리케이션 가용성이 감소할 수 있습니다. Elastic Beanstalk 강화된 상태 보고는 식별된 문제의 심각도를 판단하고 조사할 가능한 원인을 식별할 수 있는 상태 설명자를 제공합니다. | |
| OPS-02 | Elastic Load Balancing(ELB)은 하나의 가용 영역에서 EC2 인스턴스, 컨테이너, IP 주소 등 여러 대상에 걸쳐 수신되는 트래픽을 자동으로 분산합니다. 고가용성을 보장하려면 ELB에 여러 가용 영역의 인스턴스가 등록되어 있어야 합니다. | |
| OPS-02 | AWS Lambda 함수가 계정의 Virtual Private Cloud(VPC)에 연결하도록 구성된 경우, AWS Lambda 함수를 두 개 이상의 서로 다른 가용 영역에 배포합니다. 이렇게 하면 단일 영역에서 서비스 중단 발생 시 함수를 사용하여 이벤트를 처리할 수 있습니다. | |
| OPS-02 | Amazon Relational Database Service(RDS) 클러스터에는 저장된 데이터의 가용성을 지원하기 위해 다중 AZ 복제가 활성화되어 있어야 합니다. 각 가용 영역은 물리적으로 구분된 자체 독립 인프라에서 실행되며 안정성이 높도록 설계되었습니다. 인프라 장애가 발생할 경우, Amazon RDS는 대기 인프라로 자동 장애 조치를 수행하므로 장애 조치가 완료되는 즉시 데이터베이스 작업을 재개할 수 있습니다. | |
| OPS-02 | Amazon Relational Database Service(RDS)의 다중 AZ 지원은 데이터베이스 인스턴스의 가용성과 내구성을 향상시킵니다. 다중 AZ 데이터베이스 인스턴스를 프로비저닝하면 Amazon RDS가 자동으로 기본 데이터베이스 인스턴스를 생성하고 다른 가용 영역에 있는 대기 인스턴스에 데이터를 동기식으로 복제합니다. 각 가용 영역은 물리적으로 구분된 자체 독립 인프라에서 실행되며 안정성이 높도록 설계되었습니다. 인프라 장애가 발생할 경우, Amazon RDS는 대기 인프라로 자동 장애 조치를 수행하므로 장애 조치가 완료되는 즉시 데이터베이스 작업을 재개할 수 있습니다. | |
| OPS-02 | Amazon DynamoDB Auto Scaling은 AWS Application Auto Scaling 서비스를 사용하여 실제 트래픽 패턴에 자동으로 대응하여 프로비저닝된 처리량 용량을 조정합니다. 따라서 테이블 또는 글로벌 보조 인덱스에 따라 할당된 읽기 및 쓰기 용량을 늘려 제한 없이 갑작스러운 트래픽 증가를 처리할 수 있습니다. | |
| OPS-02 | Elastic Load Balancer(ELB)의 영역 간 로드 밸런싱 활성화는 적절한 용량과 가용성을 유지하는 데 도움이 됩니다. 영역 간 로드 밸런싱을 사용하면 활성화된 각 가용성 영역에서 동일한 수의 인스턴스를 유지해야 할 필요성이 줄어듭니다. 또한 애플리케이션이 보다 효과적으로 하나 이상의 인스턴스 손실을 처리할 수 있습니다. | |
| OPS-02 | Amazon DynamoDB 테이블에서 프로비저닝된 처리 용량을 확인하려면 이 규칙을 활성화하세요. 이는 각 테이블에서 지원할 수 있는 읽기 및 쓰기 활동의 양입니다. DynamoDB는 이 정보를 사용하여 처리량 요구 사항에 맞는 충분한 시스템 리소스를 예약합니다. 이 규칙은 처리량이 고객 계정의 최대 한도에 도달하면 알림을 생성합니다. 이 규칙을 사용하면 선택적으로 accountRCUThresholdPercentage(Config 기본값: 80) 및 accountWCUThresholdPercentage(Config 기본값: 80) 파라미터를 설정할 수 있습니다. 실제 값은 조직의 정책을 반영해야 합니다. | |
| OPS-07 | 데이터 백업 프로세스에 도움이 되도록 Amazon Aurora 리소스가 AWS Backup 계획에 포함되어 있는지 확인합니다. AWS Backup은 정책 기반 백업 솔루션을 갖춘 완전 관리형 백업 서비스입니다. 이 솔루션을 사용하면 백업 관리를 단순화하고 비즈니스 및 규제 백업 규정 준수 요구 사항을 충족할 수 있습니다. | |
| OPS-07 | 데이터 백업 프로세스를 지원하려면 AWS 백업 계획이 최소 빈도 및 보존 기간으로 설정되어 있는지 확인합니다. AWS Backup은 정책 기반 백업 솔루션을 갖춘 완전 관리형 백업 서비스입니다. 이 솔루션을 사용하면 백업 관리를 단순화하고 비즈니스 및 규제 백업 규정 준수 요구 사항을 충족할 수 있습니다. 이 규칙을 사용하면 requiredFrequencyValue(Config 기본값: 1), requiredRetentionDays(Config 기본값: 35) 및 requiredFrequencyUnit(Config 기본값: days) 파라미터를 설정할 수 있습니다. 실제 값은 조직의 요구 사항을 반영해야 합니다. | |
| OPS-07 | AWS 백업 복구 시점에 복구 시점 삭제를 방지하는 연결된 리소스 기반 정책이 있는지 확인하세요. 리소스 기반 정책을 사용하여 복구 시점의 삭제를 방지하면 우발적 또는 의도적인 삭제를 방지하는 데 도움이 될 수 있습니다. | |
| OPS-07 | 이 규칙을 사용하면 정보가 백업되었는지 확인할 수 있습니다. 또한 Amazon DynamoDB에서 특정 시점으로 복구를 활성화하여 백업을 유지합니다. 복구를 통해 지난 35일 동안 테이블의 연속 백업이 유지됩니다. | |
| OPS-07 | Amazon OpenSearch Service(OpenSearch Service)의 고가용성과 내결함성을 위해서는 최소한 3개 이상의 데이터 노드가 필요합니다. 3개 이상의 데이터 노드가 포함된 OpenSearch Service 도메인을 배포하면 노드에 장애가 발생하더라도 클러스터 운영이 보장됩니다. | |
| OPS-07 | 데이터 백업 프로세스에 도움이 되도록 AWS Backup 복구 시점에 최소 보존 기간을 설정해야 합니다. AWS Backup은 정책 기반 백업 솔루션을 갖춘 완전 관리형 백업 서비스입니다. 이 솔루션을 사용하면 백업 관리를 단순화하고 비즈니스 및 규제 백업 규정 준수 요구 사항을 충족할 수 있습니다. 이 규칙을 통해 requiredRetentionDays(Config 기본값: 35) 파라미터를 설정할 수 있습니다. 실제 값은 조직의 요구 사항을 반영해야 합니다. | |
| OPS-07 | Amazon RDS의 백업 기능은 데이터베이스 및 트랜잭션 로그의 백업을 생성합니다. Amazon RDS는 전체 DB 인스턴스를 백업하여 DB 인스턴스의 스토리지 볼륨 스냅샷을 생성합니다. 시스템에서 복원력 요구 사항을 충족하도록 특정 보존 기간을 설정할 수 있습니다. | |
| OPS-07 | 데이터 백업 프로세스에 도움이 되도록 Amazon DynamoDB 테이블이 AWS Backup 계획에 포함되어 있는지 확인합니다. AWS Backup은 정책 기반 백업 솔루션을 갖춘 완전 관리형 백업 서비스입니다. 이 솔루션을 사용하면 백업 관리를 단순화하고 비즈니스 및 규제 백업 규정 준수 요구 사항을 충족할 수 있습니다. | |
| OPS-07 | 데이터 백업 프로세스에 도움이 되도록 Amazon Elastic Block Store(Amazon EBS) 볼륨이 AWS Backup 계획에 포함되어 있는지 확인합니다. AWS Backup은 정책 기반 백업 솔루션을 갖춘 완전 관리형 백업 서비스입니다. 이 솔루션을 사용하면 백업 관리를 단순화하고 비즈니스 및 규제 백업 규정 준수 요구 사항을 충족할 수 있습니다. | |
| OPS-07 | 데이터 백업 프로세스에 도움이 되도록 Amazon Elastic Compute Cloud(Amazon EC2) 리소스가 AWS Backup 계획에 포함되어 있는지 확인합니다. AWS Backup은 정책 기반 백업 솔루션을 갖춘 완전 관리형 백업 서비스입니다. 이 솔루션을 사용하면 백업 관리를 단순화하고 비즈니스 및 규제 백업 규정 준수 요구 사항을 충족할 수 있습니다. | |
| OPS-07 | 데이터 백업 프로세스에 도움이 되도록 Amazon Elastic File System(Amazon EFS) 파일 시스템이 AWS Backup 계획에 포함되어 있는지 확인합니다. AWS Backup은 정책 기반 백업 솔루션을 갖춘 완전 관리형 백업 서비스입니다. 이 솔루션을 사용하면 백업 관리를 단순화하고 비즈니스 및 규제 백업 규정 준수 요구 사항을 충족할 수 있습니다. | |
| OPS-07 | 자동 백업이 활성화되면 Amazon ElastiCache에서 매일 클러스터 백업을 생성합니다. 백업은 조직에서 지정한 기간 동안 유지할 수 있습니다. 자동 백업은 데이터 손실을 막는 데 도움이 됩니다. 장애가 발생할 경우 새로운 클러스터를 생성해 최신 백업에서 모든 데이터를 복원할 수 있습니다. | |
| OPS-07 | 데이터 백업 프로세스에 도움이 되도록 Amazon FSx 파일 시스템이 AWS Backup 계획에 포함되어 있는지 확인합니다. AWS Backup은 정책 기반 백업 솔루션을 갖춘 완전 관리형 백업 서비스입니다. 이 솔루션을 사용하면 백업 관리를 단순화하고 비즈니스 및 규제 백업 규정 준수 요구 사항을 충족할 수 있습니다. | |
| OPS-07 | 데이터 백업 프로세스를 지원하려면 Amazon Relational Database Service(RDS) 인스턴스가 AWS 백업 계획의 일부인지 확인하세요. AWS Backup은 정책 기반 백업 솔루션을 갖춘 완전 관리형 백업 서비스입니다. 이 솔루션을 사용하면 백업 관리를 단순화하고 비즈니스 및 규제 백업 규정 준수 요구 사항을 충족할 수 있습니다. | |
| OPS-07 | 데이터 백업 프로세스에 도움이 되도록 Amazon Redshift 클러스터에 자동 스냅샷이 있는지 확인하세요. 클러스터에 자동 스냅샷이 사용되면 Redshift는 정기적으로 해당 클러스터의 스냅샷을 생성합니다. 기본적으로 Redshift는 8시간마다 또는 각 노드당 5GB의 데이터 변경이 있을 때마다 둘 중 먼저 발생하는 시점을 기준으로 스냅샷을 생성합니다. | |
| OPS-12 | 문제 해결 및 포렌식 조사에 도움이 되도록 로그 그룹에 대한 이벤트 로그 데이터를 최소 기간 동안 유지하세요. 사용 가능한 과거 이벤트 로그 데이터가 부족하면 잠재적으로 악의적인 이벤트를 재구성하고 식별하기가 어렵습니다. | |
| OPS-12 | Amazon S3 수명 주기 정책이 객체 수명 주기 동안 Amazon S3에서 수행하려는 작업을 정의하도록 구성됩니다(예: 객체를 다른 스토리지 클래스로 이전, 객체 보관, 지정된 기간이 경과한 후 객체 삭제). | |
| OPS-13 | Amazon GuardDuty는 위협 인텔리전스 피드를 사용하여 잠재적인 사이버 보안 이벤트를 모니터링하고 탐지하는 데 도움이 될 수 있습니다. 여기에는 AWS 클라우드 환경 내에서 예상치 못한 악의적인 무단 활동을 식별하기 위한 악성 IP 및 기계 학습 목록이 포함됩니다. | |
| OPS-13 | 저장 데이터를 보호하기 위해 Amazon Redshift 클러스터에 대해 암호화가 활성화되어 있는지 확인합니다. 또한 필수 구성이 Amazon Redshift 클러스터에 배포되었는지 확인해야 합니다. 데이터베이스의 연결 및 사용자 활동에 관한 정보를 제공하려면 감사 로깅을 활성화해야 합니다. 이 규칙을 사용하려면 clusterDbEncrypted(Config 기본값: TRUE) 및 loggingEnabled(Config 기본값: TRUE)에 대한 값을 설정해야 합니다. 실제 값은 조직의 정책을 반영해야 합니다. | |
| OPS-13 | AWS Security Hub는 승인되지 않은 사용자, 연결, 디바이스 및 소프트웨어를 모니터링하는 데 도움이 됩니다. AWS Security Hub는 여러 AWS 서비스의 보안 알림 또는 결과를 집계 및 구성하고 우선순위를 지정합니다. 이러한 서비스로는 Amazon Security Hub, Amazon Inspector, Amazon Macie, AWS Identity and Access Management(IAM) Access Analyzer, AWS Firewall Manager, AWS 파트너 솔루션 등이 있습니다. | |
| OPS-14 | AWS CloudTrail 로그 파일 검증을 활용하여 CloudTrail 로그의 무결성 여부를 확인합니다. 로그 파일 검증을 통해 CloudTrail이 로그 파일을 전달한 후 로그 파일이 수정, 삭제 또는 변경되지 않았는지 확인할 수 있습니다. 이 기능은 산업 표준 알고리즘(해시의 경우 SHA-256, 디지털 서명의 경우 RSA 포함 SHA-256)으로 구축되었습니다. 따라서 CloudTrail 로그 파일의 수정, 삭제 또는 위조가 감지되지 않는 것이 계산상 불가능합니다. | |
| OPS-14 | 민감한 데이터가 존재할 수 있으므로 저장 데이터를 보호하는 데 도움이 되도록 AWS CloudTrail 트레일에 암호화가 활성화되어 있는지 확인하십시오. | |
| OPS-14 | 문제 해결 및 포렌식 조사에 도움이 되도록 로그 그룹에 대한 이벤트 로그 데이터를 최소 기간 동안 유지하세요. 사용 가능한 과거 이벤트 로그 데이터가 부족하면 잠재적으로 악의적인 이벤트를 재구성하고 식별하기가 어렵습니다. | |
| OPS-14 | Amazon S3 수명 주기 정책이 객체 수명 주기 동안 Amazon S3에서 수행하려는 작업을 정의하도록 구성됩니다(예: 객체를 다른 스토리지 클래스로 이전, 객체 보관, 지정된 기간이 경과한 후 객체 삭제). | |
| OPS-15 | API Gateway 로깅에는 API에 액세스한 사용자 및 액세스 방식에 관한 세부 정보 보기가 표시됩니다. 이러한 인사이트를 통해 사용자 활동을 파악할 수 있습니다. | |
| OPS-15 | Amazon CloudWatch를 사용하여 로그 이벤트 활동을 중앙에서 수집하고 관리합니다. AWS CloudTrail 데이터를 포함하면 AWS 계정 내 API 직접 호출 활동에 관한 세부 정보가 제공됩니다. | |
| OPS-15 | AWS CodeBuild 프로젝트 로깅이 활성화되어 있어 빌드 출력 로그가 Amazon CloudWatch 또는 Amazon Simple Storage Service(S3)로 전송되도록 합니다. 빌드 출력 로그는 빌드 프로젝트에 관한 자세한 정보를 제공합니다. | |
| OPS-15 | Amazon OpenSearch Service 도메인에 오류 로그가 활성화되어 있고 보존 및 대응을 위해 Amazon CloudWatch Logs로 스트리밍되는지 확인하세요. 도메인 오류 로그는 보안 및 액세스 감사에 도움이 되며 가용성 문제를 진단하는 데 도움이 될 수 있습니다. | |
| OPS-15 | Elastic Load Balancing 활동은 환경 내 통신의 중심 지점입니다. ELB 로깅이 활성화되었는지 확인합니다. 수집된 데이터는 ELB로 전송된 요청에 관한 자세한 정보를 제공합니다. 각 로그에는 요청을 받은 시간, 클라이언트의 IP 주소, 지연 시간, 요청 경로 및 서버 응답과 같은 정보가 포함되어 있습니다. | |
| OPS-15 | Amazon OpenSearch Service 도메인에서 감사 로깅이 활성화되었는지 확인합니다. 감사 로깅을 사용하면 인증 성공 및 실패, OpenSearch에 대한 요청, 인덱스 변경, 들어오는 검색 쿼리를 포함하여 OpenSearch 도메인에서의 사용자 활동을 추적할 수 있습니다. | |
| OPS-15 | Amazon OpenSearch Service 도메인에 오류 로그가 활성화되어 있고 보존 및 대응을 위해 Amazon CloudWatch Logs로 스트리밍되는지 확인하세요. OpenSearch Service 오류 로그는 보안 및 액세스 감사에 도움이 되며 가용성 문제를 진단하는 데 도움이 될 수 있습니다. | |
| OPS-15 | 환경 내에서 로깅 및 모니터링에 도움이 되도록 Amazon Relational Database Service(RDS) 로깅이 활성화되어 있는지 확인합니다. Amazon RDS 로깅을 사용하면 연결, 연결 끊김, 쿼리 또는 쿼리된 테이블과 같은 이벤트를 캡처할 수 있습니다. | |
| OPS-15 | Amazon Redshift 클러스터의 연결 및 사용자 활동에 대한 정보를 캡처하려면 감사 로깅이 활성화되어 있어야 합니다. | |
| OPS-15 | Amazon Simple Storage Service(S3) 서버 액세스 로깅은 네트워크에 잠재적인 사이버 보안 이벤트가 있는지 모니터링하는 방법을 제공합니다. 이벤트는 Amazon S3 버킷에 대해 이루어진 요청에 대한 상세한 레코드를 캡처하여 모니터링됩니다. 각 액세스 로그 레코드는 단일 액세스 요청에 관한 세부 정보를 제공합니다. 세부 정보에는 요청자, 버킷 이름, 요청 시간, 요청 작업, 응답 상태, 오류 코드(해당하는 경우)가 포함됩니다. | |
| OPS-15 | VPC 흐름 로그는 Amazon Virtual Private Cloud(VPC)의 네트워크 인터페이스에서 들어오고 나가는 IP 트래픽에 관한 정보의 자세한 기록을 제공합니다. 기본적으로 이 흐름 로그 레코드에는 소스, 대상, 프로토콜 등 IP 흐름의 다양한 구성 요소에 대한 값이 포함됩니다. | |
| OPS-15 | 환경 내에서 로깅 및 모니터링을 지원하려면 리전 및 글로벌 웹 ACL에서 AWS WAF(V2) 로깅을 활성화하세요. AWS WAF 로깅은 웹 ACL에서 분석한 트래픽에 대한 자세한 정보를 제공합니다. 로그는 AWS WAF가 AWS 리소스로부터 요청을 받은 시간, 요청에 대한 정보, 각 요청이 부합되는 규칙에 대한 작업을 기록합니다. | |
| OPS-15 | AWS CloudTrail은 AWS Management Console 작업 및 API 직접 호출을 기록하여 부인 방지에 유용할 수 있습니다. AWS 서비스를 호출한 사용자 및 AWS 계정, 호출이 생성된 소스 IP 주소, 호출 시점을 파악할 수 있습니다. 캡처된 데이터의 세부 정보는 AWS CloudTrail 레코드 콘텐츠에서 확인할 수 있습니다. | |
| OPS-15 | Amazon Simple Storage Service(S3) 데이터 이벤트를 수집하면 모든 변칙적 활동을 탐지하는 데 도움이 됩니다. 세부 정보에는 Amazon S3 버킷에 액세스한 AWS 계정 정보, IP 주소, 이벤트 시간이 포함됩니다. | |
| OPS-15 | 이 규칙은 여러 설정이 활성화되었는지 확인하여 AWS CloudTrail에 AWS 권장 보안 모범 사례를 사용할 수 있도록 지원합니다. 여기에는 로그 암호화 및 로그 검증 사용, 여러 리전에서의 AWS CloudTrail 활성화 등이 포함됩니다. | |
| OPS-15 | AWS CloudTrail은 AWS Management Console 작업 및 API 직접 호출을 기록합니다. 어떤 사용자 및 계정이 AWS를 호출했는지, 어떤 소스 IP 주소에 호출이 이루어졌는지, 언제 호출이 발생했는지 확인할 수 있습니다. MULTI_REGION_CLOUD_TRAIL_ENABLED가 활성화된 경우 CloudTrail은 모든 AWS 리전의 로그 파일을 S3 버킷으로 전송합니다. 또한 AWS에서 새 리전을 시작하면 CloudTrail은 새 리전에 동일한 추적을 생성합니다. 따라서 별도의 조치를 취하지 않아도 새 지역의 API 활동이 포함된 로그 파일을 받게 됩니다. | |
| OPS-22 | Amazon Elastic Container Repository(ECR) 이미지 스캔은 컨테이너 이미지의 소프트웨어 취약성을 식별하는 데 도움이 됩니다. ECR 리포지토리에서 이미지 스캔을 활성화하면 저장되는 이미지의 무결성과 안전성에 대한 검증 계층이 추가됩니다. | |
| PSS-05 | 이 규칙을 사용하면 AWS 클라우드의 리소스에 대한 액세스를 제한할 수 있습니다. 이 규칙은 모든 사용자에 대해 다중 인증(MFA)이 활성화되도록 합니다. MFA를 통해 로그인 보안 인증 외에 보호 계층이 한 단계 더 추가됩니다. 사용자에게 MFA를 요구하여 계정 보안 침해 사고를 줄이십시오. | |
| PSS-05 | 콘솔 암호가 있는 모든 AWS Identity and Access Management(IAM) 사용자가 MFA를 사용하도록 설정하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. MFA를 통해 로그인 보안 인증 외에 보호 계층이 한 단계 더 추가됩니다. 사용자에게 MFA를 요구하면 계정이 침해되는 사고를 줄이고 승인되지 않은 사용자가 민감한 데이터에 액세스하는 것을 방지할 수 있습니다. | |
| PSS-05 | 루트 사용자가 하드웨어 MFA를 사용하도록 설정하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 루트 사용자는 권한이 가장 많은 AWS 계정 사용자입니다. MFA는 로그인 보안 인증에 보호 계층을 한 단계 더 추가합니다. 루트 사용자에게 MFA를 요구하면 AWS 계정 침해 사고를 줄일 수 있습니다. | |
| PSS-05 | 루트 사용자에 대해 MFA가 활성화되도록 하여 AWS 클라우드의 리소스에 대한 액세스를 관리합니다. 루트 사용자는 권한이 가장 많은 AWS 계정 사용자입니다. MFA는 로그인 보안 인증에 보호 계층을 한 단계 더 추가합니다. 루트 사용자에게 MFA를 요구하면 AWS 계정 침해 사고를 줄일 수 있습니다. | |
| PSS-07 | ID 및 보안 인증 정보는 조직의 IAM 암호 정책을 기반으로 발급, 관리 및 검증됩니다. 이들은 NIST SP 800-63에 명시된 요구 사항은 물론, 암호 강도에 대한 AWS 기초 보안 모범 사례 표준 또는 그보다 더 까다로운 표준도 충족합니다. 이 규칙을 사용하면 IAM 암호 정책에 대한 RequireUppercaseCharacters(AWS 기초 보안 모범 사례 값: true), RequireLowercaseCharacters(AWS 기초 보안 모범 사례 값: true), RequireSymbols(AWS 기초 보안 모범 사례 값: true), RequireNumbers(AWS 기초 보안 모범 사례 값: true), MinimalPasswordLength(AWS 기초 보안 모범 사례 값: 14), PasswordReusePrevention(AWS 기초 보안 모범 사례 값: 24) 및 MaxPasswordAge(AWS 기초 보안 모범 사례 값: 90)를 선택적으로 설정할 수 있습니다. 실제 값은 조직의 정책을 반영해야 합니다. |
템플릿
템플릿은 GitHub: 독일 C5(Cloud Computing Compliance Criteria Catalog)
