View a markdown version of this page

Controles CSPM do Security Hub para CodeBuild - AWS Security Hub
[CodeBuild.1] Os URLs do repositório CodeBuild de origem do Bitbucket não devem conter credenciais confidenciais[CodeBuild.2] as variáveis de ambiente CodeBuild do projeto não devem conter credenciais de texto não criptografado[CodeBuild.3] CodeBuild Os registros do S3 devem ser criptografados[CodeBuild.4] os ambientes CodeBuild do projeto devem ter um registro AWS Config duração[CodeBuild.7] as exportações CodeBuild do grupo de relatórios devem ser criptografadas em repouso

As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Controles CSPM do Security Hub para CodeBuild

Esses controles CSPM do Security Hub avaliam o AWS CodeBuild serviço e os recursos.

Esses controles podem não estar disponíveis em todos Regiões da AWS. Para obter mais informações, consulte Disponibilidade de controles por região.

[CodeBuild.1] Os URLs do repositório CodeBuild de origem do Bitbucket não devem conter credenciais confidenciais

Requisitos relacionados: NIST.800-53.r5 SA-3 PCI DSS v3.2. 1/82.2.1, PCI DSS v4.0. 1/83.3.2, Perfil CRI v2. 2/PR. AA-04.01, Perfil CRI v2. 2/PR. DS-02.01

Categoria: Proteger > Desenvolvimento seguro

Gravidade: crítica

Tipo de recurso: AWS::CodeBuild::Project

Regra do AWS Config : codebuild-project-source-repo-url-check

Tipo de programação: acionado por alterações

Parâmetros: nenhum

Esse controle verifica se o URL do repositório de origem do Bitbucket do AWS CodeBuild projeto contém tokens de acesso pessoais ou um nome de usuário e senha. O controle falhará se o URL do repositórios Bitbucket de fontes contiver tokens de acesso pessoais ou um nome de usuário e senha.

nota

Esse controle avalia a fonte primária e as fontes secundárias de um projeto de CodeBuild compilação. Para obter mais informações sobre fonte de projetos, consulte Multiple input sources and output artifacts sample no AWS CodeBuild User Guide.

Sign-in as credenciais não devem ser armazenadas ou transmitidas em texto não criptografado nem aparecer na URL do repositório de origem. Em vez de tokens de acesso pessoal ou credenciais de login, você deve acessar seu provedor de origem e alterar a URL do repositório de origem para conter somente o caminho para a localização do repositório Bitbucket. CodeBuild O uso de tokens de acesso pessoais ou credenciais de login poderia resultar em exposição não intencional de dados ou acesso não autorizado.

Correção

Você pode atualizar seu CodeBuild projeto para usar o OAuth.

Para remover a autenticação básica/(GitHub) Personal Access Token da fonte do CodeBuild projeto

  1. Abra o CodeBuild console em https://console.aws.amazon.com/codebuild/.

  2. Escolha o projeto de compilação que contém tokens de acesso pessoal ou um nome de usuário e uma senha.

  3. Em Edit (Editar), selecione Source (Origem).

  4. Escolha Desconectar de GitHub /Bitbucket.

  5. Escolha Connect using OAuth e, em seguida, escolha Connect to GitHub/Bitbucket.

  6. Quando solicitado, escolha authorize as appropriate (autorizar conforme apropriado).

  7. Redefina as configurações de URL do repositório e configuração adicional, conforme necessário.

  8. Selecione Update source (Atualizar origem).

Para obter mais informações, consulte exemplos baseados em casos de CodeBuild uso no Guia do AWS CodeBuild usuário.

[CodeBuild.2] as variáveis de ambiente CodeBuild do projeto não devem conter credenciais de texto não criptografado

Requisitos relacionados: NIST.800-53.r5 IA-5 (7) NIST.800-53.r5 SA-3, PCI DSS v3.2. 1/82.2.1, PCI DSS v4.0. 1/83.3.2, Perfil CRI v2. 2/PR. AA-01.01, Perfil CRI v2. 2/PR. DS-01.01, Perfil CRI v2. 2/PR. PS-06.04

Categoria: Proteger > Desenvolvimento seguro

Gravidade: crítica

Tipo de recurso: AWS::CodeBuild::Project

Regra do AWS Config : codebuild-project-envvar-awscred-check

Tipo de programação: acionado por alterações

Parâmetros: nenhum

Este controle verifica se o projeto contém as variáveis de ambiente AWS_ACCESS_KEY_ID e AWS_SECRET_ACCESS_KEY.

As credenciais de autenticação AWS_ACCESS_KEY_ID e AWS_SECRET_ACCESS_KEY nunca devem ser armazenadas em texto não criptografado, pois isso poderia levar à exposição não intencional de dados e acesso não autorizado.

Correção

Para remover variáveis de ambiente de um CodeBuild projeto, consulte Alterar as configurações de um projeto de compilação AWS CodeBuild no Guia AWS CodeBuild do usuário. Certifique-se de que nada esteja selecionado para as Variáveis de ambiente.

Você pode armazenar variáveis de ambiente com valores confidenciais no AWS Systems Manager Parameter Store ou AWS Secrets Manager recuperá-las de sua especificação de compilação. Para obter instruções, consulte a caixa chamada Importante na seção Ambiente do Guia do usuário do AWS CodeBuild .

[CodeBuild.3] CodeBuild Os registros do S3 devem ser criptografados

Requisitos relacionados: NIST.800-53.r5 CA-9 (1), NIST.800-53.r5 CM-3 (6),, NIST.800-53.r5 SC-13 NIST.800-53.r5 SC-28, NIST.800-53.r5 SC-28 (1), NIST.800-53.r5 SI-7 (6), PCI DSS v4.0. 1/103.3.2, Perfil CRI v2. 2/PR. DS-01.01, Perfil CRI v2. 2/PR. PS-01.06, Perfil CRI v2. 2/PR. PS-04.03

Categoria: Proteger > Proteção de dados > Criptografia de dados em repouso

Gravidade: baixa

Tipo de recurso: AWS::CodeBuild::Project

Regra do AWS Config : codebuild-project-s3-logs-encrypted

Tipo de programação: acionado por alterações

Parâmetros: nenhum

Esse controle verifica se os registros do Amazon S3 de um AWS CodeBuild projeto estão criptografados. O controle falhará se a criptografia for desativada para os registros do S3 de um CodeBuild projeto.

A criptografia de dados em repouso é uma prática recomendada para adicionar uma camada de gerenciamento de acesso aos seus dados. Criptografar os registros em repouso reduz o risco de um usuário não autenticado acessar AWS os dados armazenados no disco. Ele adiciona outro conjunto de controles de acesso para limitar a capacidade de usuários não autorizados acessarem os dados.

Correção

Para alterar as configurações de criptografia dos registros CodeBuild do projeto S3, consulte Alterar as configurações de um projeto de compilação AWS CodeBuild no Guia do AWS CodeBuild usuário.

[CodeBuild.4] os ambientes CodeBuild do projeto devem ter um registro AWS Config duração

Requisitos relacionados: NIST.800-53.r5 AC-2 (12), NIST.800-53.r5 AC-2 (4), NIST.800-53.r5 AC-4 (26), NIST.800-53.r5 AC-6 (9) NIST.800-53.r5 AU-10, NIST.800-53.r5 AU-12, NIST.800-53.r5 AU-2, NIST.800-53.r5 AU-3, NIST.800-53.r5 AU-6 (3), NIST.800-53.r5 AU-6 (4), NIST.800-53.r5 AU-9 (7) NIST.800-53.r5 CA-7, NIST.800-53.r5 SC-7 (9), NIST.800-53.r5 SI-3 (8), (20) NIST.800-53.r5 SI-4, NIST.800-53.r5 SI-4 NIST.800-53.r5 SI-7 (8), CRI Profile v2. 2/DE. AE-03.01, Perfil CRI v2. 2/PR. IR-04.01, Perfil CRI v2. 2/PR. PS-04.02

Categoria: Identificar > Registro em log

Gravidade: média

Tipo de recurso: AWS::CodeBuild::Project

Regra do AWS Config : codebuild-project-logging-enabled

Tipo de programação: acionado por alterações

Parâmetros: nenhum

Esse controle verifica se um ambiente de CodeBuild projeto tem pelo menos uma opção de log, seja para S3 ou para CloudWatch logs habilitados. Esse controle falhará se um ambiente de CodeBuild projeto não tiver pelo menos uma opção de log ativada.

Do ponto de vista da segurança, o registro em log é um atributo importante para permitir futuros esforços forenses no caso de incidentes de segurança. Correlacionar anomalias em CodeBuild projetos com detecções de ameaças pode aumentar a confiança na precisão dessas detecções de ameaças.

Correção

Para obter mais informações sobre como definir as configurações CodeBuild do registro do projeto, consulte Criar um projeto de compilação (console) no Guia CodeBuild do usuário.

[CodeBuild.7] as exportações CodeBuild do grupo de relatórios devem ser criptografadas em repouso

Requisitos relacionados: CRI Profile v2. 2/PR. DS-01.01, Perfil CRI v2. 2/PR. PS-01.06

Categoria: Proteger > Proteção de dados > Criptografia de dados em repouso

Gravidade: média

Tipo de recurso: AWS::CodeBuild::ReportGroup

Regra do AWS Config : codebuild-report-group-encrypted-at-rest

Tipo de programação: acionado por alterações

Parâmetros: nenhum

Esse controle verifica se os resultados do teste de um grupo de AWS CodeBuild relatórios que são exportados para um bucket do Amazon Simple Storage Service (Amazon S3) estão criptografados em repouso. O controle falhará se o grupo de relatórios não for criptografado em repouso.

Dados em repouso se referem a dados armazenados em um armazenamento persistente e não volátil por qualquer período. Criptografar os dados em repouso ajuda a proteger sua confidencialidade, reduzindo o risco de que um usuário não autorizado possa acessá-los.

Correção

Para criptografar a exportação do grupo de relatórios para o S3, consulte Update a report group no AWS CodeBuild User Guide.