As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.
Controles do Security Hub para Kinesis
Esses AWS Security Hub controles avaliam o serviço e os recursos do Amazon Kinesis.
Esses controles podem não estar disponíveis em todos Regiões da AWS. Para obter mais informações, consulte Disponibilidade de controles por região.
[Kinesis.1] Os fluxos do Kinesis devem ser criptografados em repouso
Requisitos relacionados: NIST.800-53.r5 CA-9 (1), NIST.800-53.r5 CM-3(6), NIST.800-53.r5 SC-1 3, NIST.800-53.r5 SC-2 8, NIST.800-53.r5 SC-2 8 (1), NIST.800-53.r5 SC-7 (10), NIST .800-53.r5 SI-7 (6)
Categoria: Proteger > Proteção de dados > Criptografia de data-at-rest
Severidade: média
Tipo de recurso: AWS::Kinesis::Stream
Regra do AWS Config : kinesis-stream-encrypted
Tipo de programação: acionado por alterações
Parâmetros: nenhum
Esse controle verifica se o Kinesis Data Streams está criptografado em repouso com criptografia do lado do servidor. Esse controle falha se um fluxo do Kinesis não estiver criptografado em repouso com criptografia do lado do servidor.
A criptografia no lado do servidor é um recurso do Amazon Kinesis Data Streams que criptografa automaticamente os dados antes do repouso usando um AWS KMS key. Os dados são criptografados antes de serem gravados na camada de armazenamento do fluxo do Kinesis e descriptografados depois de recuperados do armazenamento. Como resultado, os dados são criptografados em repouso no serviço Amazon Kinesis Data Streams.
Correção
Para obter informações sobre como habilitar a criptografia no lado do servidor para fluxos do Kinesis, consulte Como começar a criptografia no lado do servidor? no Guia do desenvolvedor do Amazon Kinesis.
[Kinesis.2] Os streams do Kinesis devem ser marcados
Categoria: Identificar > Inventário > Marcação
Severidade: baixa
Tipo de recurso: AWS::Kinesis::Stream
Regra AWS Config: tagged-kinesis-stream (regra personalizada do Security Hub)
Tipo de programação: acionado por alterações
Parâmetros:
| Parâmetro | Descrição | Tipo | Valores personalizados permitidos | Valor padrão do Security Hub |
|---|---|---|---|---|
requiredTagKeys
|
Lista de chaves de tag que não são do sistema que o recurso avaliado deve conter. Chaves de tag fazem distinção entre maiúsculas e minúsculas. | StringList | Lista de tags que atendem aos AWS requisitos | Nenhum valor padrão |
Esse controle verifica se um stream de dados do Amazon Kinesis tem tags com as chaves específicas definidas no parâmetro. requiredTagKeys O controle falhará se o fluxo de dados não tiver nenhuma chave de tag ou se não tiver todas as chaves especificadas no parâmetrorequiredTagKeys. Se o parâmetro requiredTagKeys não for fornecido, o controle só verificará a existência de uma chave de tag e falhará se o fluxo de dados não estiver marcado com nenhuma chave. As tags do sistema, que são aplicadas automaticamente e começam comaws:, são ignoradas.
Uma tag é um rótulo que você atribui a um AWS recurso e consiste em uma chave e um valor opcional. Você pode criar tags para categorizar recursos por finalidade, proprietário, ambiente ou outros critérios. As tags podem ajudar você a identificar, organizar, pesquisar e filtrar recursos. A marcação também ajuda você a rastrear os proprietários de recursos responsáveis por ações e notificações. Ao usar a marcação, você pode implementar o controle de acesso baseado em atributos (ABAC) como uma estratégia de autorização, que define as permissões com base nas tags. Você pode anexar tags a IAM entidades (usuários ou funções) e a AWS recursos. Você pode criar uma única ABAC política ou um conjunto separado de políticas para seus IAM diretores. Você pode criar essas ABAC políticas para permitir operações quando a tag do diretor corresponder à tag do recurso. Para obter mais informações, consulte ABACPara que serve AWS? no Guia do IAM usuário.
nota
Não adicione informações de identificação pessoal (PII) ou outras informações confidenciais ou sigilosas nas tags. As tags podem ser acessadas por muitos Serviços da AWS, inclusive AWS Billing. Para obter mais práticas recomendadas de marcação, consulte Como marcar seus AWS recursos no. Referência geral da AWS
Correção
Para adicionar tags a um stream de dados do Kinesis, consulte Como marcar seus streams no Amazon Kinesis Data Streams no Guia do desenvolvedor do Amazon Kinesis.
[Kinesis.3] Os streams do Kinesis devem ter um período de retenção de dados adequado
Categoria: Recuperação > Resiliência > Backups ativados
Severidade: média
Tipo de recurso: AWS::Kinesis::Stream
Regra do AWS Config: kinesis-stream-backup-retention-check
Tipo de programação: acionado por alterações
Parâmetros:
| Parâmetro | Descrição | Tipo | Valores personalizados permitidos | Valor padrão do Security Hub |
|---|---|---|---|---|
minimumBackupRetentionPeriod
|
Número mínimo de horas em que os dados devem ser retidos. | String | 24 a 8760 | 168 |
Esse controle verifica se um stream de dados do Amazon Kinesis tem um período de retenção de dados maior ou igual ao período de tempo especificado. O controle falhará se o período de retenção de dados for menor que o período de tempo especificado. A menos que você forneça um valor de parâmetro personalizado para o período de retenção de dados, o Security Hub usa um valor padrão de 168 horas.
No Kinesis Data Streams, um stream de dados é uma sequência ordenada de registros de dados destinados a serem gravados e lidos em tempo real. Os registros de dados são armazenados temporariamente em fragmentos no seu stream. O período entre o momento de adição de um registro e o momento em que ele deixa de estar acessível é chamado de período de retenção. O Kinesis Data Streams quase imediatamente torna os registros mais antigos do que o novo período de retenção inacessíveis depois de diminuir o período de retenção. Por exemplo, alterar o período de retenção de 24 horas para 48 horas significa que os registros adicionados ao streaming 23 horas 55 minutos antes ainda estarão disponíveis depois de 24 horas.
Correção
Para alterar o período de retenção de backup do seu Kinesis Data Streams, consulte Alterar o período de retenção de dados no Guia do desenvolvedor do Amazon Kinesis Data Streams.
