Limites regionais em controles do CSPM do Security Hub

[ElastiCache.4] os grupos ElastiCache de replicação devem ser criptografados em repouso

[ElastiCache.5] os grupos ElastiCache de replicação devem ser criptografados em trânsito

[ElastiCache.6] ElastiCache (Redis OSS) grupos de replicação de versões anteriores devem ter o Redis OSS AUTH ativado

[ElastiCache.7] ElastiCache os clusters não devem usar o grupo de sub-rede padrão

[GlobalAccelerator.1] Os aceleradores do Global Accelerator devem ser marcados

[S3.24] Os pontos de Multi-Region acesso S3 devem ter as configurações de bloqueio de acesso público ativadas

[AppSync.1]AWS AppSyncOs caches de API devem ser criptografados em repouso

[AppSync.6]AWS AppSyncOs caches de API devem ser criptografados em trânsito

[CloudFront.1] CloudFront as distribuições devem ter um objeto raiz padrão configurado

[CloudFront.3] CloudFront as distribuições devem exigir criptografia em trânsito

[CloudFront.4] CloudFront as distribuições devem ter o failover de origem configurado

[CloudFront.5] CloudFront as distribuições devem ter o registro ativado

[CloudFront.6] CloudFront as distribuições devem ter o WAF ativado

[CloudFront.7] CloudFront as distribuições devem usar certificados personalizados SSL/TLS

[CloudFront.8] CloudFront as distribuições devem usar o SNI para atender às solicitações HTTPS

[CloudFront.9] CloudFront as distribuições devem criptografar o tráfego para origens personalizadas

[CloudFront.10] CloudFront as distribuições não devem usar protocolos SSL obsoletos entre pontos de presença e origens personalizadas

[CloudFront.12] CloudFront as distribuições não devem apontar para origens inexistentes do S3

[CloudFront.13] CloudFront as distribuições devem usar o controle de acesso de origem

[CloudFront.14] CloudFront as distribuições devem ser marcadas

[CloudFront.15] CloudFront as distribuições devem usar a política de segurança TLS recomendada

[CloudFront.16] CloudFront as distribuições devem usar o controle de acesso de origem para origens de URL da função Lambda

[CloudFront.17] CloudFront as distribuições devem usar grupos de chaves confiáveis para URLs e cookies assinados

[Connect.1] Os tipos de objetos do Amazon Connect Customer Profiles devem ser marcados

[Connect.2] As instâncias do Connect Customer devem ter o CloudWatch registro ativado

[EC2.24] Os tipos de instância paravirtual do Amazon EC2 não devem ser usados

[EC2.173] Solicitações do EC2 Spot Fleet com parâmetros de inicialização devem habilitar a criptografia para volumes anexados do EBS

[ECR.4] Os repositórios públicos do ECR devem ser marcados

[GlobalAccelerator.1] Os aceleradores do Global Accelerator devem ser marcados

[IAM.26] SSL/TLS Os certificados expirados gerenciados no IAM devem ser removidos

[IoTTwinMaker.1]AWSOs trabalhos de TwinMaker sincronização de IoT devem ser marcados

[IoTTwinMaker.2]AWSOs TwinMaker espaços de trabalho de IoT devem ser marcados

[IoTTwinMaker.3]AWSAs TwinMaker cenas de IoT devem ser marcadas

[IoTTwinMaker.4]AWSAs TwinMaker entidades de IoT devem ser marcadas

[IoTWireless.1]AWSOs grupos multicast do IoT Wireless devem ser marcados

[IoTWireless.2]AWSOs perfis de serviço IoT Wireless devem ser marcados

[IoTWireless.3]AWSAs tarefas IOT FUOTA devem ser marcadas

[IVS.1] Os pares de teclas de reprodução do IVS devem ser marcados

[IVS.2] As configurações de gravação IVS devem ser marcadas

[IVS.3] Os canais IVS devem ser marcados

[RDS.31] Os grupos de segurança do RDS DB devem ser marcados

[Route53.1] As verificações de saúde do Route 53 devem ser marcadas

[Route53.2] As zonas hospedadas públicas do Route 53 devem registrar consultas de DNS

[S3.24] Os pontos de Multi-Region acesso S3 devem ter as configurações de bloqueio de acesso público ativadas

[WAF.1]AWS WAFO registro clássico do Global Web ACL deve estar ativado

[WAF.6]AWS WAFAs regras globais clássicas devem ter pelo menos uma condição

[WAF.7]AWS WAFOs grupos de regras globais clássicos devem ter pelo menos uma regra

[WAF.8]AWS WAFAs ACLs web globais clássicas devem ter pelo menos uma regra ou grupo de regras

[WorkSpaces.1] os volumes WorkSpaces do usuário devem ser criptografados em repouso

[WorkSpaces.2] os volumes WorkSpaces raiz devem ser criptografados em repouso

[AppRunner.1] Os serviços do App Runner devem ser marcados

[AppRunner.2] Os conectores VPC do App Runner devem ser marcados

[AppSync.1]AWS AppSyncOs caches de API devem ser criptografados em repouso

[AppSync.6]AWS AppSyncOs caches de API devem ser criptografados em trânsito

[BedrockAgentCore.1] Os AgentCore tempos de execução do Bedrock devem ser configurados com o modo de rede VPC

[BedrockAgentCore.2] Os Bedrock AgentCore Gateways devem exigir autorização para solicitações de entrada

[BedrockAgentCore.3] A AgentCore memória Bedrock deve ser criptografada e gerenciada pelo clienteAWS KMSkeys

[BedrockAgentCore.4] O Bedrock AgentCore Gateway deve ser criptografado com gerenciamento de clientesAWS KMSkeys

[BedrockAgentCore.5] Os navegadores AgentCore personalizados Bedrock não devem usar o modo de rede pública

[BedrockAgentCore.6] Os navegadores AgentCore personalizados do Bedrock devem ter a gravação de sessão ativada

[CloudFront.1] CloudFront as distribuições devem ter um objeto raiz padrão configurado

[CloudFront.3] CloudFront as distribuições devem exigir criptografia em trânsito

[CloudFront.4] CloudFront as distribuições devem ter o failover de origem configurado

[CloudFront.5] CloudFront as distribuições devem ter o registro ativado

[CloudFront.6] CloudFront as distribuições devem ter o WAF ativado

[CloudFront.7] CloudFront as distribuições devem usar certificados personalizados SSL/TLS

[CloudFront.8] CloudFront as distribuições devem usar o SNI para atender às solicitações HTTPS

[CloudFront.9] CloudFront as distribuições devem criptografar o tráfego para origens personalizadas

[CloudFront.10] CloudFront as distribuições não devem usar protocolos SSL obsoletos entre pontos de presença e origens personalizadas

[CloudFront.12] CloudFront as distribuições não devem apontar para origens inexistentes do S3

[CloudFront.13] CloudFront as distribuições devem usar o controle de acesso de origem

[CloudFront.14] CloudFront as distribuições devem ser marcadas

[CloudFront.15] CloudFront as distribuições devem usar a política de segurança TLS recomendada

[CloudFront.16] CloudFront as distribuições devem usar o controle de acesso de origem para origens de URL da função Lambda

[CloudFront.17] CloudFront as distribuições devem usar grupos de chaves confiáveis para URLs e cookies assinados

[CodeArtifact.1] CodeArtifact repositórios devem ser marcados

[CodeGuruProfiler.1] Os grupos CodeGuru de criação de perfil do Profiler devem ser marcados

[CodeGuruReviewer.1] As associações do repositório do CodeGuru revisor devem ser marcadas

[Connect.1] Os tipos de objetos do Amazon Connect Customer Profiles devem ser marcados

[Connect.2] As instâncias do Connect Customer devem ter o CloudWatch registro ativado

[DocumentDB.1] Os clusters do Amazon DocumentDB devem ser criptografados em repouso

[DocumentDB.2] Os clusters do Amazon DocumentDB devem ter um período de retenção de backup adequado

[DocumentDB.3] Os snapshots manuais do cluster do Amazon DocumentDB não devem ser públicos

[DocumentDB.4] Os clusters do Amazon DocumentDB devem publicar registros de auditoria no Logs CloudWatch

[DocumentDB.5] Os clusters do Amazon DocumentDB devem ter a proteção contra exclusão ativada

[DocumentDB.6] Os clusters do Amazon DocumentDB devem ser criptografados em trânsito

[EC2.173] Solicitações do EC2 Spot Fleet com parâmetros de inicialização devem habilitar a criptografia para volumes anexados do EBS

[ECR.4] Os repositórios públicos do ECR devem ser marcados

[FraudDetector.1] Os tipos de entidade do Amazon Fraud Detector devem ser marcados

[FraudDetector.2] Os rótulos do Amazon Fraud Detector devem ser marcados

[FraudDetector.3] Os resultados do Amazon Fraud Detector devem ser marcados

[FraudDetector.4] As variáveis do Amazon Fraud Detector devem ser marcadas

[GlobalAccelerator.1] Os aceleradores do Global Accelerator devem ser marcados

[IAM.26] SSL/TLS Os certificados expirados gerenciados no IAM devem ser removidos

[Inspector.3] A digitalização de código do Amazon Inspector Lambda deve estar ativada

[IoTEvents.1]AWSAs entradas do IoT Events devem ser marcadas

[IoTEvents.2]AWSOs modelos de detectores de eventos da IoT devem ser marcados

[IoTEvents.3]AWSOs modelos de alarme do IoT Events devem ser marcados

[IoTSiteWise.1]AWSOs modelos de SiteWise ativos de IoT devem ser marcados

[IoTSiteWise.2]AWSOs SiteWise painéis de IoT devem ser marcados

[IoTSiteWise.3]AWSOs SiteWise gateways de IoT devem ser marcados

[IoTSiteWise.4]AWS SiteWise Portais de IoT devem ser marcados

[IoTSiteWise.5]AWS SiteWise Projetos de IoT devem ser marcados

[IoTTwinMaker.1]AWSOs trabalhos de TwinMaker sincronização de IoT devem ser marcados

[IoTTwinMaker.2]AWSOs TwinMaker espaços de trabalho de IoT devem ser marcados

[IoTTwinMaker.3]AWSAs TwinMaker cenas de IoT devem ser marcadas

[IoTTwinMaker.4]AWSAs TwinMaker entidades de IoT devem ser marcadas

[IoTWireless.1]AWSOs grupos multicast do IoT Wireless devem ser marcados

[IoTWireless.2]AWSOs perfis de serviço IoT Wireless devem ser marcados

[IoTWireless.3]AWSAs tarefas IOT FUOTA devem ser marcadas

[IVS.1] Os pares de teclas de reprodução do IVS devem ser marcados

[IVS.2] As configurações de gravação IVS devem ser marcadas

[IVS.3] Os canais IVS devem ser marcados

[RDS.35] Os clusters de banco de dados do RDS devem ter a atualização automática de versões secundárias habilitada

[RDS.47] O RDS para clusters de banco de dados PostgreSQL deve ser configurado para copiar tags para DB snapshots

[RDS.48] O RDS para clusters de banco de dados MySQL deve ser configurado para copiar tags para DB snapshots

[Redshift.18] Os clusters do Redshift devem ter Multi-AZ implantações habilitadas

[Route53.1] As verificações de saúde do Route 53 devem ser marcadas

[Route53.2] As zonas hospedadas públicas do Route 53 devem registrar consultas de DNS

[S3.24] Os pontos de Multi-Region acesso S3 devem ter as configurações de bloqueio de acesso público ativadas

[S3.25] Os buckets de diretório S3 devem ter configurações de ciclo de vida

[WAF.1]AWS WAFO registro clássico do Global Web ACL deve estar ativado

[WAF.6]AWS WAFAs regras globais clássicas devem ter pelo menos uma condição

[WAF.7]AWS WAFOs grupos de regras globais clássicos devem ter pelo menos uma regra

[WAF.8]AWS WAFAs ACLs web globais clássicas devem ter pelo menos uma regra ou grupo de regras

[WorkSpaces.1] os volumes WorkSpaces do usuário devem ser criptografados em repouso

[WorkSpaces.2] os volumes WorkSpaces raiz devem ser criptografados em repouso

[AppSync.1]AWS AppSyncOs caches de API devem ser criptografados em repouso

[AppSync.6]AWS AppSyncOs caches de API devem ser criptografados em trânsito

[BedrockAgentCore.3] A AgentCore memória Bedrock deve ser criptografada e gerenciada pelo clienteAWS KMSkeys

[CloudFront.1] CloudFront as distribuições devem ter um objeto raiz padrão configurado

[CloudFront.3] CloudFront as distribuições devem exigir criptografia em trânsito

[CloudFront.4] CloudFront as distribuições devem ter o failover de origem configurado

[CloudFront.5] CloudFront as distribuições devem ter o registro ativado

[CloudFront.6] CloudFront as distribuições devem ter o WAF ativado

[CloudFront.7] CloudFront as distribuições devem usar certificados personalizados SSL/TLS

[CloudFront.8] CloudFront as distribuições devem usar o SNI para atender às solicitações HTTPS

[CloudFront.9] CloudFront as distribuições devem criptografar o tráfego para origens personalizadas

[CloudFront.10] CloudFront as distribuições não devem usar protocolos SSL obsoletos entre pontos de presença e origens personalizadas

[CloudFront.12] CloudFront as distribuições não devem apontar para origens inexistentes do S3

[CloudFront.13] CloudFront as distribuições devem usar o controle de acesso de origem

[CloudFront.14] CloudFront as distribuições devem ser marcadas

[CloudFront.15] CloudFront as distribuições devem usar a política de segurança TLS recomendada

[CloudFront.16] CloudFront as distribuições devem usar o controle de acesso de origem para origens de URL da função Lambda

[CloudFront.17] CloudFront as distribuições devem usar grupos de chaves confiáveis para URLs e cookies assinados

[EC2.173] Solicitações do EC2 Spot Fleet com parâmetros de inicialização devem habilitar a criptografia para volumes anexados do EBS

[ECR.4] Os repositórios públicos do ECR devem ser marcados

[IAM.26] SSL/TLS Os certificados expirados gerenciados no IAM devem ser removidos

[Route53.1] As verificações de saúde do Route 53 devem ser marcadas

[Route53.2] As zonas hospedadas públicas do Route 53 devem registrar consultas de DNS

[WAF.1]AWS WAFO registro clássico do Global Web ACL deve estar ativado

[WAF.6]AWS WAFAs regras globais clássicas devem ter pelo menos uma condição

[WAF.7]AWS WAFOs grupos de regras globais clássicos devem ter pelo menos uma regra

[WAF.8]AWS WAFAs ACLs web globais clássicas devem ter pelo menos uma regra ou grupo de regras

[Amplify.1] Os aplicativos Amplify devem ser marcados

[Amplify.2] As ramificações do Amplify devem ser marcadas

[AppRunner.1] Os serviços do App Runner devem ser marcados

[AppRunner.2] Os conectores VPC do App Runner devem ser marcados

[AppSync.1]AWS AppSyncOs caches de API devem ser criptografados em repouso

[AppSync.6]AWS AppSyncOs caches de API devem ser criptografados em trânsito

[BedrockAgentCore.1] Os AgentCore tempos de execução do Bedrock devem ser configurados com o modo de rede VPC

[BedrockAgentCore.2] Os Bedrock AgentCore Gateways devem exigir autorização para solicitações de entrada

[BedrockAgentCore.3] A AgentCore memória Bedrock deve ser criptografada e gerenciada pelo clienteAWS KMSkeys

[BedrockAgentCore.4] O Bedrock AgentCore Gateway deve ser criptografado com gerenciamento de clientesAWS KMSkeys

[BedrockAgentCore.5] Os navegadores AgentCore personalizados Bedrock não devem usar o modo de rede pública

[BedrockAgentCore.6] Os navegadores AgentCore personalizados do Bedrock devem ter a gravação de sessão ativada

[CloudFront.1] CloudFront as distribuições devem ter um objeto raiz padrão configurado

[CloudFront.3] CloudFront as distribuições devem exigir criptografia em trânsito

[CloudFront.4] CloudFront as distribuições devem ter o failover de origem configurado

[CloudFront.5] CloudFront as distribuições devem ter o registro ativado

[CloudFront.6] CloudFront as distribuições devem ter o WAF ativado

[CloudFront.7] CloudFront as distribuições devem usar certificados personalizados SSL/TLS

[CloudFront.8] CloudFront as distribuições devem usar o SNI para atender às solicitações HTTPS

[CloudFront.9] CloudFront as distribuições devem criptografar o tráfego para origens personalizadas

[CloudFront.10] CloudFront as distribuições não devem usar protocolos SSL obsoletos entre pontos de presença e origens personalizadas

[CloudFront.12] CloudFront as distribuições não devem apontar para origens inexistentes do S3

[CloudFront.13] CloudFront as distribuições devem usar o controle de acesso de origem

[CloudFront.14] CloudFront as distribuições devem ser marcadas

[CloudFront.15] CloudFront as distribuições devem usar a política de segurança TLS recomendada

[CloudFront.16] CloudFront as distribuições devem usar o controle de acesso de origem para origens de URL da função Lambda

[CloudFront.17] CloudFront as distribuições devem usar grupos de chaves confiáveis para URLs e cookies assinados

[CodeArtifact.1] CodeArtifact repositórios devem ser marcados

[CodeGuruProfiler.1] Os grupos CodeGuru de criação de perfil do Profiler devem ser marcados

[CodeGuruReviewer.1] As associações do repositório do CodeGuru revisor devem ser marcadas

[Cognito.1] Os grupos de usuários do Cognito devem ter a proteção contra ameaças ativada com o modo de fiscalização de funções completas para autenticação padrão

[DMS.10] Os endpoints do DMS para bancos de dados Neptune devem ter a autorização do IAM habilitada

[DocumentDB.1] Os clusters do Amazon DocumentDB devem ser criptografados em repouso

[DocumentDB.2] Os clusters do Amazon DocumentDB devem ter um período de retenção de backup adequado

[DocumentDB.3] Os snapshots manuais do cluster do Amazon DocumentDB não devem ser públicos

[DocumentDB.4] Os clusters do Amazon DocumentDB devem publicar registros de auditoria no Logs CloudWatch

[DocumentDB.5] Os clusters do Amazon DocumentDB devem ter a proteção contra exclusão ativada

[DocumentDB.6] Os clusters do Amazon DocumentDB devem ser criptografados em trânsito

[DynamoDB.3] Os clusters do DynamoDB Accelerator (DAX) devem ser criptografados em repouso

[DynamoDB.7] Os clusters do DynamoDB Accelerator devem ser criptografados em trânsito

[EC2.4] As instâncias EC2 interrompidas devem ser removidas após um período de tempo especificado

[EC2.14] Grupos de segurança não devem permitir a entrada a partir de 0.0.0. 0/0 ou: :/0 para a porta 3389

[EC2.24] Os tipos de instância paravirtual do Amazon EC2 não devem ser usados

[EC2.58] As VPCs devem ser configuradas com um endpoint de interface para os contatos do Systems Manager Incident Manager

[EC2.60] As VPCs devem ser configuradas com um endpoint de interface para o Systems Manager Incident Manager

[EC2.173] Solicitações do EC2 Spot Fleet com parâmetros de inicialização devem habilitar a criptografia para volumes anexados do EBS

[EC2.177] As sessões de espelhamento de tráfego do EC2 devem ser marcadas

[EC2.179] Os alvos do espelho de tráfego do EC2 devem ser marcados

[ECR.4] Os repositórios públicos do ECR devem ser marcados

[ELB.2] Os balanceadores de carga clássicos com SSL/HTTPS ouvintes devem usar um certificado fornecido porGerenciador de certificados da AWS

[ES.3] Os domínios do Elasticsearch devem criptografar os dados enviados entre os nós

[EventBridge.4] endpoints EventBridge globais devem ter a replicação de eventos ativada

[FraudDetector.1] Os tipos de entidade do Amazon Fraud Detector devem ser marcados

[FraudDetector.2] Os rótulos do Amazon Fraud Detector devem ser marcados

[FraudDetector.3] Os resultados do Amazon Fraud Detector devem ser marcados

[FraudDetector.4] As variáveis do Amazon Fraud Detector devem ser marcadas

[GlobalAccelerator.1] Os aceleradores do Global Accelerator devem ser marcados

[IAM.18] Certifique-se de que uma função de suporte tenha sido criada para gerenciar incidentes comAWS Support

[IAM.26] SSL/TLS Os certificados expirados gerenciados no IAM devem ser removidos

[Inspector.3] A digitalização de código do Amazon Inspector Lambda deve estar ativada

[IoT.1]AWS IoT Device Defenderperfis de segurança devem ser marcados

[IoT.2]AWS IoT Coreações de mitigação devem ser marcadas

[IoT.3]AWS IoT Coreas dimensões devem ser marcadas

[IoT.4]AWS IoT Coreos autorizadores devem ser marcados

[IoT.5]AWS IoT Corealiases de função devem ser marcados

[IoT.6]AWS IoT Coreas políticas devem ser marcadas

[IoTEvents.1]AWSAs entradas do IoT Events devem ser marcadas

[IoTEvents.2]AWSOs modelos de detectores de eventos da IoT devem ser marcados

[IoTEvents.3]AWSOs modelos de alarme do IoT Events devem ser marcados

[IoTSiteWise.1]AWSOs modelos de SiteWise ativos de IoT devem ser marcados

[IoTSiteWise.2]AWSOs SiteWise painéis de IoT devem ser marcados

[IoTSiteWise.3]AWSOs SiteWise gateways de IoT devem ser marcados

[IoTSiteWise.4]AWS SiteWise Portais de IoT devem ser marcados

[IoTSiteWise.5]AWS SiteWise Projetos de IoT devem ser marcados

[IoTTwinMaker.1]AWSOs trabalhos de TwinMaker sincronização de IoT devem ser marcados

[IoTTwinMaker.2]AWSOs TwinMaker espaços de trabalho de IoT devem ser marcados

[IoTTwinMaker.3]AWSAs TwinMaker cenas de IoT devem ser marcadas

[IoTTwinMaker.4]AWSAs TwinMaker entidades de IoT devem ser marcadas

[IoTWireless.1]AWSOs grupos multicast do IoT Wireless devem ser marcados

[IoTWireless.2]AWSOs perfis de serviço IoT Wireless devem ser marcados

[IoTWireless.3]AWSAs tarefas IOT FUOTA devem ser marcadas

[IVS.1] Os pares de teclas de reprodução do IVS devem ser marcados

[IVS.2] As configurações de gravação IVS devem ser marcadas

[IVS.3] Os canais IVS devem ser marcados

[Keyspaces.1] Os keyspaces do Amazon Keyspaces devem ser marcados

[MSK.3] Os conectores MSK Connect devem ser criptografados em trânsito

[MSK.5] Os conectores MSK devem ter o registro ativado

[RDS.1] O instantâneo do RDS deve ser privado

[RDS.14] Os clusters do Amazon Aurora devem ter o retrocesso ativado

[RDS.31] Os grupos de segurança do RDS DB devem ser marcados

[RedshiftServerless.1] Os grupos de trabalho sem servidor do Amazon Redshift devem usar o roteamento de VPC aprimorado

[RedshiftServerless.2] Conexões com grupos de trabalho sem servidor do Redshift devem ser obrigatórias para usar SSL

[RedshiftServerless.3] Os grupos de trabalho sem servidor do Redshift devem proibir o acesso público

[RedshiftServerless.4] Os namespaces sem servidor do Redshift devem ser criptografados com o gerenciamento do clienteAWS KMS keys

[RedshiftServerless.5] Os namespaces Redshift Serverless não devem usar o nome de usuário de administrador padrão

[RedshiftServerless.6] Os namespaces sem servidor do Redshift devem exportar registros para Logs CloudWatch

[Route53.1] As verificações de saúde do Route 53 devem ser marcadas

[Route53.2] As zonas hospedadas públicas do Route 53 devem registrar consultas de DNS

[S3.24] Os pontos de Multi-Region acesso S3 devem ter as configurações de bloqueio de acesso público ativadas

[S3.25] Os buckets de diretório S3 devem ter configurações de ciclo de vida

[SageMaker.9] as definições de tarefas de qualidade de SageMaker dados devem ter a criptografia de tráfego entre contêineres ativada

[SageMaker.10] as definições de tarefas de explicabilidade do SageMaker modelo devem ter a criptografia de tráfego entre contêineres ativada

[SageMaker.11] as definições de tarefas de qualidade de SageMaker dados devem ter o isolamento de rede ativado

[SageMaker.12] as definições de tarefas de viés de SageMaker modelo devem ter o isolamento de rede ativado

[SageMaker.13] as definições de trabalho de qualidade do SageMaker modelo devem ter a criptografia de tráfego entre contêineres ativada

[SageMaker.14] os cronogramas de SageMaker monitoramento devem ter o isolamento de rede ativado

[SageMaker.15] as definições de tarefas de viés de SageMaker modelo devem ter a criptografia de tráfego entre contêineres ativada

[WAF.1]AWS WAFO registro clássico do Global Web ACL deve estar ativado

[WAF.6]AWS WAFAs regras globais clássicas devem ter pelo menos uma condição

[WAF.7]AWS WAFOs grupos de regras globais clássicos devem ter pelo menos uma regra

[WAF.8]AWS WAFAs ACLs web globais clássicas devem ter pelo menos uma regra ou grupo de regras

[AppFlow.1] Os AppFlow fluxos da Amazon devem ser marcados

[AppRunner.1] Os serviços do App Runner devem ser marcados

[AppRunner.2] Os conectores VPC do App Runner devem ser marcados

[AppSync.1]AWS AppSyncOs caches de API devem ser criptografados em repouso

[AppSync.6]AWS AppSyncOs caches de API devem ser criptografados em trânsito

[BedrockAgentCore.1] Os AgentCore tempos de execução do Bedrock devem ser configurados com o modo de rede VPC

[BedrockAgentCore.2] Os Bedrock AgentCore Gateways devem exigir autorização para solicitações de entrada

[BedrockAgentCore.3] A AgentCore memória Bedrock deve ser criptografada e gerenciada pelo clienteAWS KMSkeys

[BedrockAgentCore.4] O Bedrock AgentCore Gateway deve ser criptografado com gerenciamento de clientesAWS KMSkeys

[BedrockAgentCore.5] Os navegadores AgentCore personalizados Bedrock não devem usar o modo de rede pública

[BedrockAgentCore.6] Os navegadores AgentCore personalizados do Bedrock devem ter a gravação de sessão ativada

[CloudFront.1] CloudFront as distribuições devem ter um objeto raiz padrão configurado

[CloudFront.3] CloudFront as distribuições devem exigir criptografia em trânsito

[CloudFront.4] CloudFront as distribuições devem ter o failover de origem configurado

[CloudFront.5] CloudFront as distribuições devem ter o registro ativado

[CloudFront.6] CloudFront as distribuições devem ter o WAF ativado

[CloudFront.7] CloudFront as distribuições devem usar certificados personalizados SSL/TLS

[CloudFront.8] CloudFront as distribuições devem usar o SNI para atender às solicitações HTTPS

[CloudFront.9] CloudFront as distribuições devem criptografar o tráfego para origens personalizadas

[CloudFront.10] CloudFront as distribuições não devem usar protocolos SSL obsoletos entre pontos de presença e origens personalizadas

[CloudFront.12] CloudFront as distribuições não devem apontar para origens inexistentes do S3

[CloudFront.13] CloudFront as distribuições devem usar o controle de acesso de origem

[CloudFront.14] CloudFront as distribuições devem ser marcadas

[CloudFront.15] CloudFront as distribuições devem usar a política de segurança TLS recomendada

[CloudFront.16] CloudFront as distribuições devem usar o controle de acesso de origem para origens de URL da função Lambda

[CloudFront.17] CloudFront as distribuições devem usar grupos de chaves confiáveis para URLs e cookies assinados

[CodeArtifact.1] CodeArtifact repositórios devem ser marcados

[CodeGuruProfiler.1] Os grupos CodeGuru de criação de perfil do Profiler devem ser marcados

[CodeGuruReviewer.1] As associações do repositório do CodeGuru revisor devem ser marcadas

[Cognito.1] Os grupos de usuários do Cognito devem ter a proteção contra ameaças ativada com o modo de fiscalização de funções completas para autenticação padrão

[Connect.1] Os tipos de objetos do Amazon Connect Customer Profiles devem ser marcados

[Connect.2] As instâncias do Connect Customer devem ter o CloudWatch registro ativado

[DynamoDB.3] Os clusters do DynamoDB Accelerator (DAX) devem ser criptografados em repouso

[DynamoDB.7] Os clusters do DynamoDB Accelerator devem ser criptografados em trânsito

[EC2.24] Os tipos de instância paravirtual do Amazon EC2 não devem ser usados

[EC2.58] As VPCs devem ser configuradas com um endpoint de interface para os contatos do Systems Manager Incident Manager

[EC2.60] As VPCs devem ser configuradas com um endpoint de interface para o Systems Manager Incident Manager

[EC2.173] Solicitações do EC2 Spot Fleet com parâmetros de inicialização devem habilitar a criptografia para volumes anexados do EBS

[ECR.4] Os repositórios públicos do ECR devem ser marcados

[EventBridge.4] endpoints EventBridge globais devem ter a replicação de eventos ativada

[FraudDetector.1] Os tipos de entidade do Amazon Fraud Detector devem ser marcados

[FraudDetector.2] Os rótulos do Amazon Fraud Detector devem ser marcados

[FraudDetector.3] Os resultados do Amazon Fraud Detector devem ser marcados

[FraudDetector.4] As variáveis do Amazon Fraud Detector devem ser marcadas

[GlobalAccelerator.1] Os aceleradores do Global Accelerator devem ser marcados

[IAM.26] SSL/TLS Os certificados expirados gerenciados no IAM devem ser removidos

[Inspector.3] A digitalização de código do Amazon Inspector Lambda deve estar ativada

[IoTEvents.1]AWSAs entradas do IoT Events devem ser marcadas

[IoTEvents.2]AWSOs modelos de detectores de eventos da IoT devem ser marcados

[IoTEvents.3]AWSOs modelos de alarme do IoT Events devem ser marcados

[IoTSiteWise.1]AWSOs modelos de SiteWise ativos de IoT devem ser marcados

[IoTSiteWise.2]AWSOs SiteWise painéis de IoT devem ser marcados

[IoTSiteWise.3]AWSOs SiteWise gateways de IoT devem ser marcados

[IoTSiteWise.4]AWS SiteWise Portais de IoT devem ser marcados

[IoTSiteWise.5]AWS SiteWise Projetos de IoT devem ser marcados

[IoTTwinMaker.1]AWSOs trabalhos de TwinMaker sincronização de IoT devem ser marcados

[IoTTwinMaker.2]AWSOs TwinMaker espaços de trabalho de IoT devem ser marcados

[IoTTwinMaker.3]AWSAs TwinMaker cenas de IoT devem ser marcadas

[IoTTwinMaker.4]AWSAs TwinMaker entidades de IoT devem ser marcadas

[IoTWireless.1]AWSOs grupos multicast do IoT Wireless devem ser marcados

[IoTWireless.2]AWSOs perfis de serviço IoT Wireless devem ser marcados

[IoTWireless.3]AWSAs tarefas IOT FUOTA devem ser marcadas

[IVS.1] Os pares de teclas de reprodução do IVS devem ser marcados

[IVS.2] As configurações de gravação IVS devem ser marcadas

[IVS.3] Os canais IVS devem ser marcados

[MSK.3] Os conectores MSK Connect devem ser criptografados em trânsito

[MSK.5] Os conectores MSK devem ter o registro ativado

[RDS.14] Os clusters do Amazon Aurora devem ter o retrocesso ativado

[RDS.31] Os grupos de segurança do RDS DB devem ser marcados

[RedshiftServerless.1] Os grupos de trabalho sem servidor do Amazon Redshift devem usar o roteamento de VPC aprimorado

[RedshiftServerless.2] Conexões com grupos de trabalho sem servidor do Redshift devem ser obrigatórias para usar SSL

[Route53.1] As verificações de saúde do Route 53 devem ser marcadas

[Route53.2] As zonas hospedadas públicas do Route 53 devem registrar consultas de DNS

[S3.24] Os pontos de Multi-Region acesso S3 devem ter as configurações de bloqueio de acesso público ativadas

[S3.25] Os buckets de diretório S3 devem ter configurações de ciclo de vida

[SES.1] As listas de contatos do SES devem ser marcadas

[SES.2] Os conjuntos de configuração do SES devem ser marcados

[SES.3] Os conjuntos de configuração do SES devem ter o TLS ativado para envio de e-mails

[WAF.1]AWS WAFO registro clássico do Global Web ACL deve estar ativado

[WAF.6]AWS WAFAs regras globais clássicas devem ter pelo menos uma condição

[WAF.7]AWS WAFOs grupos de regras globais clássicos devem ter pelo menos uma regra

[WAF.8]AWS WAFAs ACLs web globais clássicas devem ter pelo menos uma regra ou grupo de regras

[WorkSpaces.1] os volumes WorkSpaces do usuário devem ser criptografados em repouso

[WorkSpaces.2] os volumes WorkSpaces raiz devem ser criptografados em repouso

[Account.2]Contas da AWSdeve fazer parte de umAWS Organizationsorganização

[APIGateway.8] As rotas do API Gateway devem especificar um tipo de autorização

[APIGateway.9] O registro de acesso deve ser configurado para os estágios do API Gateway V2

[Amplify.1] Os aplicativos Amplify devem ser marcados

[Amplify.2] As ramificações do Amplify devem ser marcadas

[AppConfig.1]AWS AppConfigos aplicativos devem ser marcados

[AppConfig.2]AWS AppConfigperfis de configuração devem ser marcados

[AppConfig.3]AWS AppConfigambientes devem ser marcados

[AppFlow.1] Os AppFlow fluxos da Amazon devem ser marcados

[AppRunner.1] Os serviços do App Runner devem ser marcados

[AppRunner.2] Os conectores VPC do App Runner devem ser marcados

[AppSync.1]AWS AppSyncOs caches de API devem ser criptografados em repouso

[AppSync.6]AWS AppSyncOs caches de API devem ser criptografados em trânsito

[Backup.1]AWS Backupos pontos de recuperação devem ser criptografados em repouso

[BedrockAgentCore.1] Os AgentCore tempos de execução do Bedrock devem ser configurados com o modo de rede VPC

[BedrockAgentCore.2] Os Bedrock AgentCore Gateways devem exigir autorização para solicitações de entrada

[BedrockAgentCore.3] A AgentCore memória Bedrock deve ser criptografada e gerenciada pelo clienteAWS KMSkeys

[BedrockAgentCore.4] O Bedrock AgentCore Gateway deve ser criptografado com gerenciamento de clientesAWS KMSkeys

[BedrockAgentCore.5] Os navegadores AgentCore personalizados Bedrock não devem usar o modo de rede pública

[BedrockAgentCore.6] Os navegadores AgentCore personalizados do Bedrock devem ter a gravação de sessão ativada

[CloudFormation.3] CloudFormation as pilhas devem ter a proteção de encerramento ativada

[CloudFormation.4] CloudFormation as pilhas devem ter funções de serviço associadas

[CloudFront.1] CloudFront as distribuições devem ter um objeto raiz padrão configurado

[CloudFront.3] CloudFront as distribuições devem exigir criptografia em trânsito

[CloudFront.4] CloudFront as distribuições devem ter o failover de origem configurado

[CloudFront.5] CloudFront as distribuições devem ter o registro ativado

[CloudFront.6] CloudFront as distribuições devem ter o WAF ativado

[CloudFront.7] CloudFront as distribuições devem usar certificados personalizados SSL/TLS

[CloudFront.8] CloudFront as distribuições devem usar o SNI para atender às solicitações HTTPS

[CloudFront.9] CloudFront as distribuições devem criptografar o tráfego para origens personalizadas

[CloudFront.10] CloudFront as distribuições não devem usar protocolos SSL obsoletos entre pontos de presença e origens personalizadas

[CloudFront.12] CloudFront as distribuições não devem apontar para origens inexistentes do S3

[CloudFront.13] CloudFront as distribuições devem usar o controle de acesso de origem

[CloudFront.14] CloudFront as distribuições devem ser marcadas

[CloudFront.15] CloudFront as distribuições devem usar a política de segurança TLS recomendada

[CloudFront.16] CloudFront as distribuições devem usar o controle de acesso de origem para origens de URL da função Lambda

[CloudFront.17] CloudFront as distribuições devem usar grupos de chaves confiáveis para URLs e cookies assinados

[CloudTrail.6] Certifique-se de que o bucket S3 usado para armazenar CloudTrail registros não esteja acessível publicamente

[CloudTrail.7] Certifique-se de que o registro de acesso ao bucket do S3 esteja ativado no bucket do CloudTrail S3

[CodeArtifact.1] CodeArtifact repositórios devem ser marcados

[CodeGuruProfiler.1] Os grupos CodeGuru de criação de perfil do Profiler devem ser marcados

[CodeGuruReviewer.1] As associações do repositório do CodeGuru revisor devem ser marcadas

[Cognito.1] Os grupos de usuários do Cognito devem ter a proteção contra ameaças ativada com o modo de fiscalização de funções completas para autenticação padrão

[Cognito.2] Os grupos de identidades do Cognito não devem permitir identidades não autenticadas

[Connect.1] Os tipos de objetos do Amazon Connect Customer Profiles devem ser marcados

[Connect.2] As instâncias do Connect Customer devem ter o CloudWatch registro ativado

[Detective.1] Os gráficos de comportamento do Detective devem ser marcados

[DMS.2] Os certificados DMS devem ser marcados

[DMS.3] As assinaturas de eventos do DMS devem ser marcadas

[DMS.4] As instâncias de replicação do DMS devem ser marcadas

[DMS.5] Os grupos de sub-redes de replicação do DMS devem ser marcados

[DMS.6] As instâncias de replicação do DMS devem ter a atualização automática de versões secundárias ativada

[DMS.7] As tarefas de replicação do DMS para o banco de dados de destino devem ter o registro ativado

[DMS.8] As tarefas de replicação do DMS para o banco de dados de origem devem ter o registro ativado

[DMS.9] Os endpoints do DMS devem usar SSL

[DMS.10] Os endpoints do DMS para bancos de dados Neptune devem ter a autorização do IAM habilitada

[DMS.11] Os endpoints DMS para MongoDB devem ter um mecanismo de autenticação habilitado

[DMS.12] Os endpoints DMS para Redis OSS devem ter o TLS habilitado

[DMS.13] As instâncias de replicação do DMS devem ser configuradas para usar várias zonas de disponibilidade

[DynamoDB.3] Os clusters do DynamoDB Accelerator (DAX) devem ser criptografados em repouso

[DynamoDB.7] Os clusters do DynamoDB Accelerator devem ser criptografados em trânsito

[EC2.14] Grupos de segurança não devem permitir a entrada a partir de 0.0.0. 0/0 ou: :/0 para a porta 3389

[EC2.22] Grupos de segurança não utilizados do Amazon EC2 devem ser removidos

[EC2.24] Os tipos de instância paravirtual do Amazon EC2 não devem ser usados

[EC2.25] Os modelos de lançamento do Amazon EC2 não devem atribuir IPs públicos às interfaces de rede

[EC2.34] As tabelas de rotas do gateway de trânsito EC2 devem ser marcadas

[EC2.40] Os gateways NAT do EC2 devem ser marcados

[EC2.51] Os endpoints do EC2 Client VPN devem ter o registro de conexão do cliente ativado

[EC2.58] As VPCs devem ser configuradas com um endpoint de interface para os contatos do Systems Manager Incident Manager

[EC2.60] As VPCs devem ser configuradas com um endpoint de interface para o Systems Manager Incident Manager

[EC2.170] Os modelos de lançamento do EC2 devem usar o Instance Metadata Service Version 2 (IMDSv2)

[EC2.173] Solicitações do EC2 Spot Fleet com parâmetros de inicialização devem habilitar a criptografia para volumes anexados do EBS

[EC2.175] Os modelos de lançamento do EC2 devem ser marcados

[EC2.177] As sessões de espelhamento de tráfego do EC2 devem ser marcadas

[EC2.179] Os alvos do espelho de tráfego do EC2 devem ser marcados

[EC2.180] As interfaces de rede EC2 devem ter a source/destination verificação ativada

[EC2.181] Os modelos de lançamento do EC2 devem permitir a criptografia para volumes anexados do EBS

[ECR.4] Os repositórios públicos do ECR devem ser marcados

[EFS.1] O Elastic File System deve ser configurado para criptografar dados de arquivos em repouso usandoAWS KMS

[EFS.2] Os volumes do Amazon EFS devem estar em planos de backup

[ELB.14] O Classic Load Balancer deve ser configurado com o modo de mitigação de dessincronização defensivo ou mais rigoroso

[ELB.17] Os balanceadores de carga de aplicativos e redes com ouvintes devem usar as políticas de segurança recomendadas

[ELB.18] Os ouvintes do Application and Network Load Balancer devem usar protocolos seguros para criptografar dados em trânsito

[ElastiCache.1] Os clusters ElastiCache (Redis OSS) devem ter backups automáticos habilitados

[ElastiCache.6] ElastiCache (Redis OSS) grupos de replicação de versões anteriores devem ter o Redis OSS AUTH ativado

[ElastiCache.7] ElastiCache os clusters não devem usar o grupo de sub-rede padrão

[ElasticBeanstalk.1] Os ambientes do Elastic Beanstalk devem ter os relatórios de saúde aprimorados habilitados

[ElasticBeanstalk.2] As atualizações da plataforma gerenciada do Elastic Beanstalk devem estar habilitadas

[ElasticBeanstalk.3] O Elastic Beanstalk deve transmitir registros para CloudWatch

[EMR.1] Os nós primários do cluster Amazon EMR não devem ter endereços IP públicos

[ES.4] O registro de erros do domínio Elasticsearch CloudWatch nos registros deve estar ativado

[EventBridge.4] endpoints EventBridge globais devem ter a replicação de eventos ativada

[FraudDetector.1] Os tipos de entidade do Amazon Fraud Detector devem ser marcados

[FraudDetector.2] Os rótulos do Amazon Fraud Detector devem ser marcados

[FraudDetector.3] Os resultados do Amazon Fraud Detector devem ser marcados

[FraudDetector.4] As variáveis do Amazon Fraud Detector devem ser marcadas

[GlobalAccelerator.1] Os aceleradores do Global Accelerator devem ser marcados

[Glue.4]AWS GlueOs trabalhos do Spark devem ser executados em versões compatíveis doAWS Glue

[GuardDuty.2] GuardDuty os filtros devem ser marcados

[IAM.1] As políticas do IAM não devem permitir privilégios administrativos “*” completos

[IAM.2] Os usuários do IAM não devem ter políticas do IAM anexadas

[IAM.3] As chaves de acesso dos usuários do IAM devem ser trocadas a cada 90 dias ou menos

[IAM.5] O MFA deve ser habilitado para todos os usuários do IAM que tenham uma senha de console

[IAM.8] As credenciais de usuário do IAM não utilizadas devem ser removidas

[IAM.18] Certifique-se de que uma função de suporte tenha sido criada para gerenciar incidentes comAWS Support

[IAM.19] O MFA deve estar habilitado para todos os usuários do IAM

[IAM.21] As políticas gerenciadas pelo cliente do IAM que você cria não devem permitir ações curinga para serviços

[IAM.22] As credenciais de usuário do IAM não usadas por 45 dias devem ser removidas

[IAM.24] As funções do IAM devem ser marcadas

[IAM.25] Os usuários do IAM devem ser marcados

[IAM.26] SSL/TLS Os certificados expirados gerenciados no IAM devem ser removidos

[IAM.27] As identidades do IAM não devem ter a AWSCloudShellFullAccess política anexada

[Inspector.1] A digitalização do Amazon Inspector EC2 deve estar ativada

[Inspector.2] O escaneamento ECR do Amazon Inspector deve estar ativado

[Inspector.3] A digitalização de código do Amazon Inspector Lambda deve estar ativada

[Inspector.4] O escaneamento padrão do Amazon Inspector Lambda deve estar ativado

[IoT.1]AWS IoT Device Defenderperfis de segurança devem ser marcados

[IoT.2]AWS IoT Coreações de mitigação devem ser marcadas

[IoT.3]AWS IoT Coreas dimensões devem ser marcadas

[IoT.4]AWS IoT Coreos autorizadores devem ser marcados

[IoT.5]AWS IoT Corealiases de função devem ser marcados

[IoT.6]AWS IoT Coreas políticas devem ser marcadas

[IoTEvents.1]AWSAs entradas do IoT Events devem ser marcadas

[IoTEvents.2]AWSOs modelos de detectores de eventos da IoT devem ser marcados

[IoTEvents.3]AWSOs modelos de alarme do IoT Events devem ser marcados

[IoTSiteWise.1]AWSOs modelos de SiteWise ativos de IoT devem ser marcados

[IoTSiteWise.2]AWSOs SiteWise painéis de IoT devem ser marcados

[IoTSiteWise.3]AWSOs SiteWise gateways de IoT devem ser marcados

[IoTSiteWise.4]AWS SiteWise Portais de IoT devem ser marcados

[IoTSiteWise.5]AWS SiteWise Projetos de IoT devem ser marcados

[IoTTwinMaker.1]AWSOs trabalhos de TwinMaker sincronização de IoT devem ser marcados

[IoTTwinMaker.2]AWSOs TwinMaker espaços de trabalho de IoT devem ser marcados

[IoTTwinMaker.3]AWSAs TwinMaker cenas de IoT devem ser marcadas

[IoTTwinMaker.4]AWSAs TwinMaker entidades de IoT devem ser marcadas

[IoTWireless.1]AWSOs grupos multicast do IoT Wireless devem ser marcados

[IoTWireless.2]AWSOs perfis de serviço IoT Wireless devem ser marcados

[IoTWireless.3]AWSAs tarefas IOT FUOTA devem ser marcadas

[IVS.1] Os pares de teclas de reprodução do IVS devem ser marcados

[IVS.2] As configurações de gravação IVS devem ser marcadas

[IVS.3] Os canais IVS devem ser marcados

[Keyspaces.1] Os keyspaces do Amazon Keyspaces devem ser marcados

[KMS.1] As políticas gerenciadas pelo cliente do IAM não devem permitir ações de descriptografia em todas as chaves do KMS

[KMS.2] Os diretores do IAM não devem ter políticas embutidas do IAM que permitam ações de descriptografia em todas as chaves do KMS

[Lambda.7] As funções Lambda devem terAWS X-Rayrastreamento ativo ativado

[Macie.1] O Amazon Macie deve estar ativado

[Macie.2] A descoberta automatizada de dados confidenciais do Macie deve ser ativada

[MQ.2] Os corretores do ActiveMQ devem transmitir os registros de auditoria para CloudWatch

[MQ.4] Os corretores do Amazon MQ devem ser marcados

[MQ.5] Os corretores ActiveMQ devem usar o modo de implantação active/standby

[MQ.6] Os corretores do RabbitMQ devem usar o modo de implantação de cluster

[MSK.3] Os conectores MSK Connect devem ser criptografados em trânsito

[MSK.4] Os clusters MSK devem ter o acesso público desativado

[MSK.5] Os conectores MSK devem ter o registro ativado

[MSK.6] Os clusters MSK devem desativar o acesso não autenticado

[Neptune.1] Os clusters de banco de dados Neptune devem ser criptografados em repouso

[Neptune.2] Os clusters de banco de dados Neptune devem publicar registros de auditoria no Logs CloudWatch

[Neptune.3] Os instantâneos do cluster de banco de dados Neptune não devem ser públicos

[Neptune.4] Os clusters de banco de dados Neptune devem ter a proteção contra exclusão ativada

[Neptune.5] Os clusters de banco de dados Neptune devem ter backups automatizados habilitados

[Neptune.6] Os instantâneos do cluster de banco de dados Neptune devem ser criptografados em repouso

[Neptune.7] Os clusters de banco de dados Neptune devem ter a autenticação de banco de dados do IAM habilitada

[Neptune.8] Os clusters de banco de dados Neptune devem ser configurados para copiar tags para instantâneos

[Neptune.9] Os clusters de banco de dados Neptune devem ser implantados em várias zonas de disponibilidade

[Opensearch.1] os OpenSearch domínios devem ter a criptografia em repouso ativada

[Opensearch.2] os OpenSearch domínios não devem ser acessíveis ao público

[Opensearch.3] os OpenSearch domínios devem criptografar os dados enviados entre os nós

[Opensearch.4] OpenSearch o registro de erros de domínio CloudWatch nos registros deve estar ativado

[Opensearch.5] os OpenSearch domínios devem ter o registro de auditoria ativado

[Opensearch.6] os OpenSearch domínios devem ter pelo menos três nós de dados

[Opensearch.7] os OpenSearch domínios devem ter um controle de acesso refinado ativado

[Opensearch.8] As conexões com OpenSearch domínios devem ser criptografadas usando a política de segurança TLS mais recente

[Opensearch.9] os OpenSearch domínios devem ser marcados

[Opensearch.10] os OpenSearch domínios devem ter a atualização de software mais recente instalada

[Opensearch.11] os OpenSearch domínios devem ter pelo menos três nós primários dedicados

[RDS.14] Os clusters do Amazon Aurora devem ter o retrocesso ativado

[RDS.31] Os grupos de segurança do RDS DB devem ser marcados

[RDS.35] Os clusters de banco de dados do RDS devem ter a atualização automática de versões secundárias habilitada

[RDS.37] Os clusters de banco de dados Aurora PostgreSQL devem publicar registros em Logs CloudWatch

[Redshift.10] Os clusters do Redshift devem ser criptografados em repouso

[Redshift.18] Os clusters do Redshift devem ter Multi-AZ implantações habilitadas

[RedshiftServerless.1] Os grupos de trabalho sem servidor do Amazon Redshift devem usar o roteamento de VPC aprimorado

[RedshiftServerless.2] Conexões com grupos de trabalho sem servidor do Redshift devem ser obrigatórias para usar SSL

[RedshiftServerless.3] Os grupos de trabalho sem servidor do Redshift devem proibir o acesso público

[RedshiftServerless.4] Os namespaces sem servidor do Redshift devem ser criptografados com o gerenciamento do clienteAWS KMS keys

[RedshiftServerless.5] Os namespaces Redshift Serverless não devem usar o nome de usuário de administrador padrão

[RedshiftServerless.6] Os namespaces sem servidor do Redshift devem exportar registros para Logs CloudWatch

[Route53.1] As verificações de saúde do Route 53 devem ser marcadas

[Route53.2] As zonas hospedadas públicas do Route 53 devem registrar consultas de DNS

[S3.24] Os pontos de Multi-Region acesso S3 devem ter as configurações de bloqueio de acesso público ativadas

[S3.25] Os buckets de diretório S3 devem ter configurações de ciclo de vida

[SageMaker.1] As instâncias de SageMaker notebooks da Amazon não devem ter acesso direto à Internet

[SageMaker.2] as instâncias do SageMaker notebook devem ser iniciadas em uma VPC personalizada

[SageMaker.3] Os usuários não devem ter acesso root às instâncias do SageMaker notebook

[SageMaker.5] SageMaker os modelos devem ter o isolamento de rede ativado

[SageMaker.6] as configurações da imagem do SageMaker aplicativo devem ser marcadas

[SageMaker.7] SageMaker as imagens devem ser marcadas

[SageMaker.9] as definições de tarefas de qualidade de SageMaker dados devem ter a criptografia de tráfego entre contêineres ativada

[SageMaker.10] as definições de tarefas de explicabilidade do SageMaker modelo devem ter a criptografia de tráfego entre contêineres ativada

[SageMaker.11] as definições de tarefas de qualidade de SageMaker dados devem ter o isolamento de rede ativado

[SageMaker.12] as definições de tarefas de viés de SageMaker modelo devem ter o isolamento de rede ativado

[SageMaker.13] as definições de trabalho de qualidade do SageMaker modelo devem ter a criptografia de tráfego entre contêineres ativada

[SageMaker.14] os cronogramas de SageMaker monitoramento devem ter o isolamento de rede ativado

[SageMaker.15] as definições de tarefas de viés de SageMaker modelo devem ter a criptografia de tráfego entre contêineres ativada

[SageMaker.16] SageMaker os modelos devem usar registro privado em VPC para contêineres primários

[SageMaker.17] SageMaker As lojas off-line do grupo de recursos devem ser criptografadas comAWS KMSkeys

[SageMaker.18] lojas online de grupos de SageMaker recursos com armazenamento padrão devem ser criptografadas comAWS KMSkeys

[SageMaker.19] SageMaker os modelos devem usar registro privado na VPC para pipelines de inferência de vários contêineres

[SES.3] Os conjuntos de configuração do SES devem ter o TLS ativado para envio de e-mails

[SQS.1] As filas do Amazon SQS devem ser criptografadas em repouso

[SQS.2] As filas SQS devem ser marcadas

[SQS.3] As políticas de acesso à fila do SQS não devem permitir acesso público

[SSM.6] A automação SSM deve ter o CloudWatch registro ativado

[SSM.7] Os documentos SSM devem ter a configuração de bloqueio de compartilhamento público habilitada

[Transfer.3] Os conectores Transfer Family devem ter o registro ativado

[Transfer.4] Os acordos Transfer Family devem ser marcados

[WAF.1]AWS WAFO registro clássico do Global Web ACL deve estar ativado

[WAF.3]AWS WAFOs grupos de regras regionais clássicos devem ter pelo menos uma regra

[WAF.6]AWS WAFAs regras globais clássicas devem ter pelo menos uma condição

[WAF.7]AWS WAFOs grupos de regras globais clássicos devem ter pelo menos uma regra

[WAF.8]AWS WAFAs ACLs web globais clássicas devem ter pelo menos uma regra ou grupo de regras

[WAF.10]AWS WAFas ACLs da web devem ter pelo menos uma regra ou grupo de regras

[WorkSpaces.1] os volumes WorkSpaces do usuário devem ser criptografados em repouso

[WorkSpaces.2] os volumes WorkSpaces raiz devem ser criptografados em repouso

[Account.2]Contas da AWSdeve fazer parte de umAWS Organizationsorganização

[APIGateway.8] As rotas do API Gateway devem especificar um tipo de autorização

[APIGateway.9] O registro de acesso deve ser configurado para os estágios do API Gateway V2

[Amplify.1] Os aplicativos Amplify devem ser marcados

[Amplify.2] As ramificações do Amplify devem ser marcadas

[AppFlow.1] Os AppFlow fluxos da Amazon devem ser marcados

[AppRunner.1] Os serviços do App Runner devem ser marcados

[AppRunner.2] Os conectores VPC do App Runner devem ser marcados

[AppSync.1]AWS AppSyncOs caches de API devem ser criptografados em repouso

[AppSync.6]AWS AppSyncOs caches de API devem ser criptografados em trânsito

[Backup.1]AWS Backupos pontos de recuperação devem ser criptografados em repouso

[BedrockAgentCore.1] Os AgentCore tempos de execução do Bedrock devem ser configurados com o modo de rede VPC

[BedrockAgentCore.2] Os Bedrock AgentCore Gateways devem exigir autorização para solicitações de entrada

[BedrockAgentCore.3] A AgentCore memória Bedrock deve ser criptografada e gerenciada pelo clienteAWS KMSkeys

[BedrockAgentCore.4] O Bedrock AgentCore Gateway deve ser criptografado com gerenciamento de clientesAWS KMSkeys

[BedrockAgentCore.5] Os navegadores AgentCore personalizados Bedrock não devem usar o modo de rede pública

[BedrockAgentCore.6] Os navegadores AgentCore personalizados do Bedrock devem ter a gravação de sessão ativada

[CloudFormation.3] CloudFormation as pilhas devem ter a proteção de encerramento ativada

[CloudFormation.4] CloudFormation as pilhas devem ter funções de serviço associadas

[CloudFront.1] CloudFront as distribuições devem ter um objeto raiz padrão configurado

[CloudFront.3] CloudFront as distribuições devem exigir criptografia em trânsito

[CloudFront.4] CloudFront as distribuições devem ter o failover de origem configurado

[CloudFront.5] CloudFront as distribuições devem ter o registro ativado

[CloudFront.6] CloudFront as distribuições devem ter o WAF ativado

[CloudFront.7] CloudFront as distribuições devem usar certificados personalizados SSL/TLS

[CloudFront.8] CloudFront as distribuições devem usar o SNI para atender às solicitações HTTPS

[CloudFront.9] CloudFront as distribuições devem criptografar o tráfego para origens personalizadas

[CloudFront.10] CloudFront as distribuições não devem usar protocolos SSL obsoletos entre pontos de presença e origens personalizadas

[CloudFront.12] CloudFront as distribuições não devem apontar para origens inexistentes do S3

[CloudFront.13] CloudFront as distribuições devem usar o controle de acesso de origem

[CloudFront.14] CloudFront as distribuições devem ser marcadas

[CloudFront.15] CloudFront as distribuições devem usar a política de segurança TLS recomendada

[CloudFront.16] CloudFront as distribuições devem usar o controle de acesso de origem para origens de URL da função Lambda

[CloudFront.17] CloudFront as distribuições devem usar grupos de chaves confiáveis para URLs e cookies assinados

[CodeArtifact.1] CodeArtifact repositórios devem ser marcados

[CodeBuild.1] Os URLs do repositório CodeBuild de origem do Bitbucket não devem conter credenciais confidenciais

[CodeBuild.2] as variáveis de ambiente CodeBuild do projeto não devem conter credenciais de texto não criptografado

[CodeBuild.3] CodeBuild Os registros do S3 devem ser criptografados

[CodeBuild.4] os ambientes CodeBuild do projeto devem ter um registroAWS Configduração

[CodeGuruProfiler.1] Os grupos CodeGuru de criação de perfil do Profiler devem ser marcados

[CodeGuruReviewer.1] As associações do repositório do CodeGuru revisor devem ser marcadas

[Cognito.1] Os grupos de usuários do Cognito devem ter a proteção contra ameaças ativada com o modo de fiscalização de funções completas para autenticação padrão

[Connect.1] Os tipos de objetos do Amazon Connect Customer Profiles devem ser marcados

[Connect.2] As instâncias do Connect Customer devem ter o CloudWatch registro ativado

[Detective.1] Os gráficos de comportamento do Detective devem ser marcados

[DMS.2] Os certificados DMS devem ser marcados

[DMS.3] As assinaturas de eventos do DMS devem ser marcadas

[DMS.4] As instâncias de replicação do DMS devem ser marcadas

[DMS.5] Os grupos de sub-redes de replicação do DMS devem ser marcados

[DMS.6] As instâncias de replicação do DMS devem ter a atualização automática de versões secundárias ativada

[DMS.7] As tarefas de replicação do DMS para o banco de dados de destino devem ter o registro ativado

[DMS.8] As tarefas de replicação do DMS para o banco de dados de origem devem ter o registro ativado

[DMS.9] Os endpoints do DMS devem usar SSL

[DMS.10] Os endpoints do DMS para bancos de dados Neptune devem ter a autorização do IAM habilitada

[DMS.11] Os endpoints DMS para MongoDB devem ter um mecanismo de autenticação habilitado

[DMS.12] Os endpoints DMS para Redis OSS devem ter o TLS habilitado

[DMS.13] As instâncias de replicação do DMS devem ser configuradas para usar várias zonas de disponibilidade

[DocumentDB.1] Os clusters do Amazon DocumentDB devem ser criptografados em repouso

[DocumentDB.2] Os clusters do Amazon DocumentDB devem ter um período de retenção de backup adequado

[DocumentDB.3] Os snapshots manuais do cluster do Amazon DocumentDB não devem ser públicos

[DocumentDB.4] Os clusters do Amazon DocumentDB devem publicar registros de auditoria no Logs CloudWatch

[DocumentDB.5] Os clusters do Amazon DocumentDB devem ter a proteção contra exclusão ativada

[DocumentDB.6] Os clusters do Amazon DocumentDB devem ser criptografados em trânsito

[DynamoDB.3] Os clusters do DynamoDB Accelerator (DAX) devem ser criptografados em repouso

[DynamoDB.7] Os clusters do DynamoDB Accelerator devem ser criptografados em trânsito

[EC2.14] Grupos de segurança não devem permitir a entrada a partir de 0.0.0. 0/0 ou: :/0 para a porta 3389

[EC2.22] Grupos de segurança não utilizados do Amazon EC2 devem ser removidos

[EC2.24] Os tipos de instância paravirtual do Amazon EC2 não devem ser usados

[EC2.51] Os endpoints do EC2 Client VPN devem ter o registro de conexão do cliente ativado

[EC2.58] As VPCs devem ser configuradas com um endpoint de interface para os contatos do Systems Manager Incident Manager

[EC2.60] As VPCs devem ser configuradas com um endpoint de interface para o Systems Manager Incident Manager

[EC2.173] Solicitações do EC2 Spot Fleet com parâmetros de inicialização devem habilitar a criptografia para volumes anexados do EBS

[EC2.177] As sessões de espelhamento de tráfego do EC2 devem ser marcadas

[EC2.179] Os alvos do espelho de tráfego do EC2 devem ser marcados

[ECR.4] Os repositórios públicos do ECR devem ser marcados

[EFS.1] O Elastic File System deve ser configurado para criptografar dados de arquivos em repouso usandoAWS KMS

[EFS.2] Os volumes do Amazon EFS devem estar em planos de backup

[ELB.17] Os balanceadores de carga de aplicativos e redes com ouvintes devem usar as políticas de segurança recomendadas

[ELB.18] Os ouvintes do Application and Network Load Balancer devem usar protocolos seguros para criptografar dados em trânsito

[ElastiCache.1] Os clusters ElastiCache (Redis OSS) devem ter backups automáticos habilitados

[ElastiCache.6] ElastiCache (Redis OSS) grupos de replicação de versões anteriores devem ter o Redis OSS AUTH ativado

[ElastiCache.7] ElastiCache os clusters não devem usar o grupo de sub-rede padrão

[ElasticBeanstalk.1] Os ambientes do Elastic Beanstalk devem ter os relatórios de saúde aprimorados habilitados

[EventBridge.4] endpoints EventBridge globais devem ter a replicação de eventos ativada

[FraudDetector.1] Os tipos de entidade do Amazon Fraud Detector devem ser marcados

[FraudDetector.2] Os rótulos do Amazon Fraud Detector devem ser marcados

[FraudDetector.3] Os resultados do Amazon Fraud Detector devem ser marcados

[FraudDetector.4] As variáveis do Amazon Fraud Detector devem ser marcadas

[GlobalAccelerator.1] Os aceleradores do Global Accelerator devem ser marcados

[GuardDuty.2] GuardDuty os filtros devem ser marcados

[IAM.18] Certifique-se de que uma função de suporte tenha sido criada para gerenciar incidentes comAWS Support

[IAM.26] SSL/TLS Os certificados expirados gerenciados no IAM devem ser removidos

[Inspector.3] A digitalização de código do Amazon Inspector Lambda deve estar ativada

[IoT.1]AWS IoT Device Defenderperfis de segurança devem ser marcados

[IoT.2]AWS IoT Coreações de mitigação devem ser marcadas

[IoT.3]AWS IoT Coreas dimensões devem ser marcadas

[IoT.4]AWS IoT Coreos autorizadores devem ser marcados

[IoT.5]AWS IoT Corealiases de função devem ser marcados

[IoT.6]AWS IoT Coreas políticas devem ser marcadas

[IoTEvents.1]AWSAs entradas do IoT Events devem ser marcadas

[IoTEvents.2]AWSOs modelos de detectores de eventos da IoT devem ser marcados

[IoTEvents.3]AWSOs modelos de alarme do IoT Events devem ser marcados

[IoTSiteWise.1]AWSOs modelos de SiteWise ativos de IoT devem ser marcados

[IoTSiteWise.2]AWSOs SiteWise painéis de IoT devem ser marcados

[IoTSiteWise.3]AWSOs SiteWise gateways de IoT devem ser marcados

[IoTSiteWise.4]AWS SiteWise Portais de IoT devem ser marcados

[IoTSiteWise.5]AWS SiteWise Projetos de IoT devem ser marcados

[IoTTwinMaker.1]AWSOs trabalhos de TwinMaker sincronização de IoT devem ser marcados

[IoTTwinMaker.2]AWSOs TwinMaker espaços de trabalho de IoT devem ser marcados

[IoTTwinMaker.3]AWSAs TwinMaker cenas de IoT devem ser marcadas

[IoTTwinMaker.4]AWSAs TwinMaker entidades de IoT devem ser marcadas

[IoTWireless.1]AWSOs grupos multicast do IoT Wireless devem ser marcados

[IoTWireless.2]AWSOs perfis de serviço IoT Wireless devem ser marcados

[IoTWireless.3]AWSAs tarefas IOT FUOTA devem ser marcadas

[IVS.1] Os pares de teclas de reprodução do IVS devem ser marcados

[IVS.2] As configurações de gravação IVS devem ser marcadas

[IVS.3] Os canais IVS devem ser marcados

[Keyspaces.1] Os keyspaces do Amazon Keyspaces devem ser marcados

[Macie.1] O Amazon Macie deve estar ativado

[Macie.2] A descoberta automatizada de dados confidenciais do Macie deve ser ativada

[MSK.3] Os conectores MSK Connect devem ser criptografados em trânsito

[MSK.5] Os conectores MSK devem ter o registro ativado

[Neptune.1] Os clusters de banco de dados Neptune devem ser criptografados em repouso

[Neptune.2] Os clusters de banco de dados Neptune devem publicar registros de auditoria no Logs CloudWatch

[Neptune.3] Os instantâneos do cluster de banco de dados Neptune não devem ser públicos

[Neptune.4] Os clusters de banco de dados Neptune devem ter a proteção contra exclusão ativada

[Neptune.5] Os clusters de banco de dados Neptune devem ter backups automatizados habilitados

[Neptune.6] Os instantâneos do cluster de banco de dados Neptune devem ser criptografados em repouso

[Neptune.7] Os clusters de banco de dados Neptune devem ter a autenticação de banco de dados do IAM habilitada

[Neptune.8] Os clusters de banco de dados Neptune devem ser configurados para copiar tags para instantâneos

[Neptune.9] Os clusters de banco de dados Neptune devem ser implantados em várias zonas de disponibilidade

[Opensearch.5] os OpenSearch domínios devem ter o registro de auditoria ativado

[Opensearch.6] os OpenSearch domínios devem ter pelo menos três nós de dados

[RDS.14] Os clusters do Amazon Aurora devem ter o retrocesso ativado

[RDS.31] Os grupos de segurança do RDS DB devem ser marcados

[RedshiftServerless.1] Os grupos de trabalho sem servidor do Amazon Redshift devem usar o roteamento de VPC aprimorado

[RedshiftServerless.2] Conexões com grupos de trabalho sem servidor do Redshift devem ser obrigatórias para usar SSL

[Route53.1] As verificações de saúde do Route 53 devem ser marcadas

[Route53.2] As zonas hospedadas públicas do Route 53 devem registrar consultas de DNS

[S3.11] Os buckets de uso geral do S3 devem ter as notificações de eventos ativadas

[S3.24] Os pontos de Multi-Region acesso S3 devem ter as configurações de bloqueio de acesso público ativadas

[S3.25] Os buckets de diretório S3 devem ter configurações de ciclo de vida

[SageMaker.9] as definições de tarefas de qualidade de SageMaker dados devem ter a criptografia de tráfego entre contêineres ativada

[SageMaker.10] as definições de tarefas de explicabilidade do SageMaker modelo devem ter a criptografia de tráfego entre contêineres ativada

[SageMaker.11] as definições de tarefas de qualidade de SageMaker dados devem ter o isolamento de rede ativado

[SageMaker.12] as definições de tarefas de viés de SageMaker modelo devem ter o isolamento de rede ativado

[SageMaker.13] as definições de trabalho de qualidade do SageMaker modelo devem ter a criptografia de tráfego entre contêineres ativada

[SageMaker.14] os cronogramas de SageMaker monitoramento devem ter o isolamento de rede ativado

[SageMaker.15] as definições de tarefas de viés de SageMaker modelo devem ter a criptografia de tráfego entre contêineres ativada

[SageMaker.16] SageMaker os modelos devem usar registro privado em VPC para contêineres primários

[SageMaker.19] SageMaker os modelos devem usar registro privado na VPC para pipelines de inferência de vários contêineres

[ServiceCatalog.1] Os portfólios do Service Catalog devem ser compartilhados em umAWSsomente organização

[SQS.1] As filas do Amazon SQS devem ser criptografadas em repouso

[SQS.2] As filas SQS devem ser marcadas

[SQS.3] As políticas de acesso à fila do SQS não devem permitir acesso público

[WAF.1]AWS WAFO registro clássico do Global Web ACL deve estar ativado

[WAF.3]AWS WAFOs grupos de regras regionais clássicos devem ter pelo menos uma regra

[WAF.6]AWS WAFAs regras globais clássicas devem ter pelo menos uma condição

[WAF.7]AWS WAFOs grupos de regras globais clássicos devem ter pelo menos uma regra

[WAF.8]AWS WAFAs ACLs web globais clássicas devem ter pelo menos uma regra ou grupo de regras

[WAF.10]AWS WAFas ACLs da web devem ter pelo menos uma regra ou grupo de regras

[WorkSpaces.1] os volumes WorkSpaces do usuário devem ser criptografados em repouso

[WorkSpaces.2] os volumes WorkSpaces raiz devem ser criptografados em repouso

[ACM.1] Importado e ACM-issued os certificados devem ser renovados após um período de tempo especificado

[ACM.2] Os certificados RSA gerenciados pelo ACM devem usar um comprimento de chave de pelo menos 2.048 bits

[Account.1] As informações de contato de segurança devem ser fornecidas para umConta da AWS

[Account.2]Contas da AWSdeve fazer parte de umAWS Organizationsorganização

[APIGateway.8] As rotas do API Gateway devem especificar um tipo de autorização

[APIGateway.9] O registro de acesso deve ser configurado para os estágios do API Gateway V2

[Amplify.1] Os aplicativos Amplify devem ser marcados

[Amplify.2] As ramificações do Amplify devem ser marcadas

[AppConfig.1]AWS AppConfigos aplicativos devem ser marcados

[AppConfig.2]AWS AppConfigperfis de configuração devem ser marcados

[AppConfig.3]AWS AppConfigambientes devem ser marcados

[AppConfig.4]AWS AppConfigassociações de extensão devem ser marcadas

[AppFlow.1] Os AppFlow fluxos da Amazon devem ser marcados

[AppRunner.1] Os serviços do App Runner devem ser marcados

[AppRunner.2] Os conectores VPC do App Runner devem ser marcados

[AppSync.1]AWS AppSyncOs caches de API devem ser criptografados em repouso

[AppSync.2]AWS AppSyncdeve ter o registro em nível de campo ativado

[AppSync.5]AWS AppSyncAs APIs do GraphQL não devem ser autenticadas com chaves de API

[AppSync.6]AWS AppSyncOs caches de API devem ser criptografados em trânsito

[Athena.4] Os grupos de trabalho do Athena devem ter o registro ativado

[AutoScaling.2] O grupo Amazon EC2 Auto Scaling deve abranger várias zonas de disponibilidade

[AutoScaling.3] As configurações de lançamento de grupos do Auto Scaling devem configurar as instâncias do EC2 para exigir o Instance Metadata Service Version 2 (IMDSv2)

[AutoScaling.6] Os grupos de Auto Scaling devem usar vários tipos de instância em várias zonas de disponibilidade

[AutoScaling.9] Os grupos do Amazon EC2 Auto Scaling devem usar os modelos de lançamento do Amazon EC2

[Backup.1]AWS Backupos pontos de recuperação devem ser criptografados em repouso

[Backup.2]AWS Backupos pontos de recuperação devem ser marcados

[Backup.4]AWS Backupos planos de relatórios devem ser marcados

[Batch.1] As filas de trabalhos em lote devem ser marcadas

[Batch.2] As políticas de agendamento em lote devem ser marcadas

[Batch.3] Ambientes de computação em lote devem ser marcados

[Batch.4] As propriedades dos recursos computacionais em ambientes de computação gerenciados em Batch devem ser marcadas

[BedrockAgentCore.1] Os AgentCore tempos de execução do Bedrock devem ser configurados com o modo de rede VPC

[BedrockAgentCore.2] Os Bedrock AgentCore Gateways devem exigir autorização para solicitações de entrada

[BedrockAgentCore.3] A AgentCore memória Bedrock deve ser criptografada e gerenciada pelo clienteAWS KMSkeys

[BedrockAgentCore.4] O Bedrock AgentCore Gateway deve ser criptografado com gerenciamento de clientesAWS KMSkeys

[BedrockAgentCore.5] Os navegadores AgentCore personalizados Bedrock não devem usar o modo de rede pública

[BedrockAgentCore.6] Os navegadores AgentCore personalizados do Bedrock devem ter a gravação de sessão ativada

[CloudFormation.3] CloudFormation as pilhas devem ter a proteção de encerramento ativada

[CloudFormation.4] CloudFormation as pilhas devem ter funções de serviço associadas

[CloudFront.1] CloudFront as distribuições devem ter um objeto raiz padrão configurado

[CloudFront.3] CloudFront as distribuições devem exigir criptografia em trânsito

[CloudFront.4] CloudFront as distribuições devem ter o failover de origem configurado

[CloudFront.5] CloudFront as distribuições devem ter o registro ativado

[CloudFront.6] CloudFront as distribuições devem ter o WAF ativado

[CloudFront.7] CloudFront as distribuições devem usar certificados personalizados SSL/TLS

[CloudFront.8] CloudFront as distribuições devem usar o SNI para atender às solicitações HTTPS

[CloudFront.9] CloudFront as distribuições devem criptografar o tráfego para origens personalizadas

[CloudFront.10] CloudFront as distribuições não devem usar protocolos SSL obsoletos entre pontos de presença e origens personalizadas

[CloudFront.12] CloudFront as distribuições não devem apontar para origens inexistentes do S3

[CloudFront.13] CloudFront as distribuições devem usar o controle de acesso de origem

[CloudFront.14] CloudFront as distribuições devem ser marcadas

[CloudFront.15] CloudFront as distribuições devem usar a política de segurança TLS recomendada

[CloudFront.16] CloudFront as distribuições devem usar o controle de acesso de origem para origens de URL da função Lambda

[CloudFront.17] CloudFront as distribuições devem usar grupos de chaves confiáveis para URLs e cookies assinados

[CloudTrail.6] Certifique-se de que o bucket S3 usado para armazenar CloudTrail registros não esteja acessível publicamente

[CloudTrail.7] Certifique-se de que o registro de acesso ao bucket do S3 esteja ativado no bucket do CloudTrail S3

[CloudTrail.10] Os armazenamentos de dados de eventos do CloudTrail Lake devem ser criptografados com gerenciamento de clientesAWS KMS keys

[CloudWatch.17] ações CloudWatch de alarme devem ser ativadas

[CodeArtifact.1] CodeArtifact repositórios devem ser marcados

[CodeBuild.1] Os URLs do repositório CodeBuild de origem do Bitbucket não devem conter credenciais confidenciais

[CodeBuild.2] as variáveis de ambiente CodeBuild do projeto não devem conter credenciais de texto não criptografado

[CodeBuild.3] CodeBuild Os registros do S3 devem ser criptografados

[CodeBuild.4] os ambientes CodeBuild do projeto devem ter um registroAWS Configduração

[CodeBuild.7] as exportações CodeBuild do grupo de relatórios devem ser criptografadas em repouso

[CodeGuruProfiler.1] Os grupos CodeGuru de criação de perfil do Profiler devem ser marcados

[CodeGuruReviewer.1] As associações do repositório do CodeGuru revisor devem ser marcadas

[Cognito.1] Os grupos de usuários do Cognito devem ter a proteção contra ameaças ativada com o modo de fiscalização de funções completas para autenticação padrão

[Cognito.2] Os grupos de identidades do Cognito não devem permitir identidades não autenticadas

[Cognito.3] As políticas de senha para grupos de usuários do Cognito devem ter configurações fortes

[Cognito.4] Os grupos de usuários do Cognito devem ter a proteção contra ameaças ativada com o modo de fiscalização de funções completas para autenticação personalizada

[Cognito.5] O MFA deve ser habilitado para grupos de usuários do Cognito

[Cognito.6] Os grupos de usuários do Cognito devem ter a proteção de exclusão ativada

[Connect.1] Os tipos de objetos do Amazon Connect Customer Profiles devem ser marcados

[Connect.2] As instâncias do Connect Customer devem ter o CloudWatch registro ativado

[DataFirehose.1] Os fluxos de entrega do Firehose devem ser criptografados em repouso

[DataSync.1] DataSync as tarefas devem ter o registro ativado

[DataSync.2] DataSync as tarefas devem ser marcadas

[Detective.1] Os gráficos de comportamento do Detective devem ser marcados

[DMS.2] Os certificados DMS devem ser marcados

[DMS.3] As assinaturas de eventos do DMS devem ser marcadas

[DMS.4] As instâncias de replicação do DMS devem ser marcadas

[DMS.5] Os grupos de sub-redes de replicação do DMS devem ser marcados

[DMS.6] As instâncias de replicação do DMS devem ter a atualização automática de versões secundárias ativada

[DMS.7] As tarefas de replicação do DMS para o banco de dados de destino devem ter o registro ativado

[DMS.8] As tarefas de replicação do DMS para o banco de dados de origem devem ter o registro ativado

[DMS.9] Os endpoints do DMS devem usar SSL

[DMS.10] Os endpoints do DMS para bancos de dados Neptune devem ter a autorização do IAM habilitada

[DMS.11] Os endpoints DMS para MongoDB devem ter um mecanismo de autenticação habilitado

[DMS.12] Os endpoints DMS para Redis OSS devem ter o TLS habilitado

[DMS.13] As instâncias de replicação do DMS devem ser configuradas para usar várias zonas de disponibilidade

[DocumentDB.1] Os clusters do Amazon DocumentDB devem ser criptografados em repouso

[DocumentDB.2] Os clusters do Amazon DocumentDB devem ter um período de retenção de backup adequado

[DocumentDB.3] Os snapshots manuais do cluster do Amazon DocumentDB não devem ser públicos

[DocumentDB.4] Os clusters do Amazon DocumentDB devem publicar registros de auditoria no Logs CloudWatch

[DocumentDB.5] Os clusters do Amazon DocumentDB devem ter a proteção contra exclusão ativada

[DocumentDB.6] Os clusters do Amazon DocumentDB devem ser criptografados em trânsito

[DynamoDB.3] Os clusters do DynamoDB Accelerator (DAX) devem ser criptografados em repouso

[DynamoDB.4] As tabelas do DynamoDB devem estar presentes em um plano de backup

[DynamoDB.6] As tabelas do DynamoDB devem ter a proteção de exclusão ativada

[DynamoDB.7] Os clusters do DynamoDB Accelerator devem ser criptografados em trânsito

[EC2.4] As instâncias EC2 interrompidas devem ser removidas após um período de tempo especificado

[EC2.21] As ACLs de rede não devem permitir a entrada a partir de 0.0.0. 0/0 para a porta 22 ou porta 3389

[EC2.22] Grupos de segurança não utilizados do Amazon EC2 devem ser removidos

[EC2.23] Os Amazon EC2 Transit Gateways não devem aceitar automaticamente solicitações de anexos de VPC

[EC2.24] Os tipos de instância paravirtual do Amazon EC2 não devem ser usados

[EC2.25] Os modelos de lançamento do Amazon EC2 não devem atribuir IPs públicos às interfaces de rede

[EC2.28] Os volumes do EBS devem ser cobertos por um plano de backup

[EC2.34] As tabelas de rotas do gateway de trânsito EC2 devem ser marcadas

[EC2.40] Os gateways NAT do EC2 devem ser marcados

[EC2.51] Os endpoints do EC2 Client VPN devem ter o registro de conexão do cliente ativado

[EC2.53] Os grupos de segurança do EC2 não devem permitir a entrada a partir de 0.0.0. 0/0 às portas de administração remota do servidor

[EC2.54] Os grupos de segurança do EC2 não devem permitir a entrada de: :/0 nas portas de administração do servidor remoto

[EC2.55] As VPCs devem ser configuradas com um endpoint de interface para a API ECR

[EC2.56] As VPCs devem ser configuradas com um endpoint de interface para o Docker Registry

[EC2.57] As VPCs devem ser configuradas com um endpoint de interface para Systems Manager

[EC2.58] As VPCs devem ser configuradas com um endpoint de interface para os contatos do Systems Manager Incident Manager

[EC2.60] As VPCs devem ser configuradas com um endpoint de interface para o Systems Manager Incident Manager

[EC2.170] Os modelos de lançamento do EC2 devem usar o Instance Metadata Service Version 2 (IMDSv2)

[EC2.171] As conexões EC2 VPN devem ter o registro ativado

[EC2.173] Solicitações do EC2 Spot Fleet com parâmetros de inicialização devem habilitar a criptografia para volumes anexados do EBS

[EC2.174] Os conjuntos de opções DHCP do EC2 devem ser marcados

[EC2.175] Os modelos de lançamento do EC2 devem ser marcados

[EC2.176] As listas de prefixos do EC2 devem ser marcadas

[EC2.177] As sessões de espelhamento de tráfego do EC2 devem ser marcadas

[EC2.178] Os filtros de espelhos de tráfego do EC2 devem ser marcados

[EC2.179] Os alvos do espelho de tráfego do EC2 devem ser marcados

[EC2.180] As interfaces de rede EC2 devem ter a source/destination verificação ativada

[EC2.181] Os modelos de lançamento do EC2 devem permitir a criptografia para volumes anexados do EBS

[EC2.183] As conexões VPN EC2 devem usar o protocolo IKEv2

[ECR.1] Os repositórios privados do ECR devem ter a digitalização de imagens configurada

[ECR.2] Os repositórios privados do ECR devem ter a imutabilidade da tag configurada

[ECR.3] Os repositórios ECR devem ter pelo menos uma política de ciclo de vida configurada

[ECR.4] Os repositórios públicos do ECR devem ser marcados

[ECR.5] Os repositórios ECR devem ser criptografados com gerenciamento de clientesAWS KMS keys

[ECS.3] As definições de tarefas do ECS não devem compartilhar o namespace do processo do host

[ECS.4] Os contêineres ECS devem ser executados sem privilégios

[ECS.5] As definições de tarefas do ECS devem configurar os contêineres para serem limitados ao acesso somente de leitura aos sistemas de arquivos raiz

[ECS.8] Os segredos não devem ser passados como variáveis de ambiente do contêiner

[ECS.9] As definições de tarefas do ECS devem ter uma configuração de registro

[ECS.10] Os serviços ECS Fargate devem ser executados na versão mais recente da plataforma Fargate

[ECS.12] Os clusters do ECS devem usar o Container Insights

[ECS.17] As definições de tarefas do ECS não devem usar o modo de rede host

[ECS.19] Os provedores de capacidade do ECS devem ter a proteção gerenciada de terminação ativada

[EFS.1] O Elastic File System deve ser configurado para criptografar dados de arquivos em repouso usandoAWS KMS

[EFS.2] Os volumes do Amazon EFS devem estar em planos de backup

[EFS.3] Os pontos de acesso do EFS devem impor um diretório raiz

[EFS.4] Os pontos de acesso do EFS devem impor uma identidade de usuário

[EFS.6] Os destinos de montagem do EFS não devem ser associados a sub-redes que atribuem endereços IP públicos na inicialização

[EFS.7] Os sistemas de arquivos EFS devem ter backups automáticos habilitados

[EFS.8] Os sistemas de arquivos EFS devem ser criptografados em repouso

[EKS.2] Os clusters EKS devem ser executados em uma versão compatível do Kubernetes

[EKS.3] Os clusters EKS devem usar segredos criptografados do Kubernetes

[EKS.7] As configurações do provedor de identidade EKS devem ser marcadas

[EKS.8] Os clusters EKS devem ter o registro de auditoria ativado

[ELB.10] O Classic Load Balancer deve abranger várias zonas de disponibilidade

[ELB.12] O Application Load Balancer deve ser configurado com o modo de mitigação de dessincronização defensivo ou mais rigoroso

[ELB.13] Os balanceadores de carga de aplicativos, redes e gateways devem abranger várias zonas de disponibilidade

[ELB.14] O Classic Load Balancer deve ser configurado com o modo de mitigação de dessincronização defensivo ou mais rigoroso

[ELB.17] Os balanceadores de carga de aplicativos e redes com ouvintes devem usar as políticas de segurança recomendadas

[ELB.18] Os ouvintes do Application and Network Load Balancer devem usar protocolos seguros para criptografar dados em trânsito

[ElastiCache.1] Os clusters ElastiCache (Redis OSS) devem ter backups automáticos habilitados

[ElastiCache.2] ElastiCache os clusters devem ter atualizações automáticas de versões secundárias habilitadas

[ElastiCache.3] os grupos ElastiCache de replicação devem ter o failover automático ativado

[ElastiCache.4] os grupos ElastiCache de replicação devem ser criptografados em repouso

[ElastiCache.5] os grupos ElastiCache de replicação devem ser criptografados em trânsito

[ElastiCache.6] ElastiCache (Redis OSS) grupos de replicação de versões anteriores devem ter o Redis OSS AUTH ativado

[ElastiCache.7] ElastiCache os clusters não devem usar o grupo de sub-rede padrão

[ElasticBeanstalk.1] Os ambientes do Elastic Beanstalk devem ter os relatórios de saúde aprimorados habilitados

[ElasticBeanstalk.2] As atualizações da plataforma gerenciada do Elastic Beanstalk devem estar habilitadas

[ElasticBeanstalk.3] O Elastic Beanstalk deve transmitir registros para CloudWatch

[EMR.1] Os nós primários do cluster Amazon EMR não devem ter endereços IP públicos

[EMR.2] A configuração de bloqueio de acesso público do Amazon EMR deve estar ativada

[EMR.3] As configurações de segurança do Amazon EMR devem ser criptografadas em repouso

[EMR.4] As configurações de segurança do Amazon EMR devem ser criptografadas em trânsito

[ES.4] O registro de erros do domínio Elasticsearch CloudWatch nos registros deve estar ativado

[ES.9] Os domínios do Elasticsearch devem ser marcados

[EventBridge.3] os ônibus de eventos EventBridge personalizados devem ter uma política baseada em recursos anexada

[EventBridge.4] endpoints EventBridge globais devem ter a replicação de eventos ativada

[FraudDetector.1] Os tipos de entidade do Amazon Fraud Detector devem ser marcados

[FraudDetector.2] Os rótulos do Amazon Fraud Detector devem ser marcados

[FraudDetector.3] Os resultados do Amazon Fraud Detector devem ser marcados

[FraudDetector.4] As variáveis do Amazon Fraud Detector devem ser marcadas

[FSx.1] O FSx para sistemas de arquivos OpenZFS deve ser configurado para copiar tags para backups e volumes

[FSx.2] Os sistemas de arquivos FSx for Lustre devem ser configurados para copiar tags para backups

[FSx.3] FSx para sistemas de arquivos OpenZFS devem ser configurados para implantação Multi-AZ

[FSx.4] O FSx para sistemas de arquivos NetApp ONTAP deve ser configurado para implantação Multi-AZ

[FSx.5] Os sistemas de arquivos FSx for Windows File Server devem ser configurados Multi-AZ para implantação

[GlobalAccelerator.1] Os aceleradores do Global Accelerator devem ser marcados

[Glue.1]AWS Glueos trabalhos devem ser marcados

[Glue.3]AWS Glueas transformações de aprendizado de máquina devem ser criptografadas em repouso

[Glue.4]AWS GlueOs trabalhos do Spark devem ser executados em versões compatíveis doAWS Glue

[GuardDuty.2] GuardDuty os filtros devem ser marcados

[GuardDuty.5] O monitoramento do registro de auditoria do GuardDuty EKS deve estar ativado

[GuardDuty.6] A Proteção GuardDuty Lambda deve estar ativada

[GuardDuty.7] O monitoramento de tempo de execução do GuardDuty EKS deve estar ativado

[GuardDuty.8] A proteção contra GuardDuty malware para EC2 deve estar ativada

[GuardDuty.9] A proteção GuardDuty do RDS deve estar ativada

[GuardDuty.10] A proteção GuardDuty S3 deve estar ativada

[GuardDuty.11] O monitoramento GuardDuty do tempo de execução deve estar ativado

[GuardDuty.12] O monitoramento de tempo GuardDuty de execução do ECS deve estar ativado

[GuardDuty.13] O monitoramento de tempo de execução do GuardDuty EC2 deve estar ativado

[IAM.1] As políticas do IAM não devem permitir privilégios administrativos “*” completos

[IAM.2] Os usuários do IAM não devem ter políticas do IAM anexadas

[IAM.3] As chaves de acesso dos usuários do IAM devem ser trocadas a cada 90 dias ou menos

[IAM.4] A chave de acesso do usuário raiz do IAM não deve existir

[IAM.5] O MFA deve ser habilitado para todos os usuários do IAM que tenham uma senha de console

[IAM.6] O MFA de hardware deve estar habilitado para o usuário root

[IAM.7] As políticas de senha para usuários do IAM devem ter configurações fortes

[IAM.8] As credenciais de usuário do IAM não utilizadas devem ser removidas

[IAM.9] O MFA deve estar habilitado para o usuário root

[IAM.10] As políticas de senha para usuários do IAM devem ter configurações fortes

[IAM.11] Certifique-se de que a política de senha do IAM exija pelo menos uma letra maiúscula

[IAM.12] Certifique-se de que a política de senha do IAM exija pelo menos uma letra minúscula

[IAM.13] Certifique-se de que a política de senha do IAM exija pelo menos um símbolo

[IAM.14] Certifique-se de que a política de senha do IAM exija pelo menos um número

[IAM.15] Certifique-se de que a política de senha do IAM exija um tamanho mínimo de senha de 14 ou mais

[IAM.16] Certifique-se de que a política de senha do IAM evite a reutilização de senhas

[IAM.17] Certifique-se de que a política de senhas do IAM expire as senhas em 90 dias ou menos

[IAM.18] Certifique-se de que uma função de suporte tenha sido criada para gerenciar incidentes comAWS Support

[IAM.19] O MFA deve estar habilitado para todos os usuários do IAM

[IAM.21] As políticas gerenciadas pelo cliente do IAM que você cria não devem permitir ações curinga para serviços

[IAM.22] As credenciais de usuário do IAM não usadas por 45 dias devem ser removidas

[IAM.24] As funções do IAM devem ser marcadas

[IAM.25] Os usuários do IAM devem ser marcados

[IAM.26] SSL/TLS Os certificados expirados gerenciados no IAM devem ser removidos

[IAM.27] As identidades do IAM não devem ter a AWSCloudShellFullAccess política anexada

[IAM.28] O analisador de acesso externo do IAM Access Analyzer deve estar ativado

[Inspector.1] A digitalização do Amazon Inspector EC2 deve estar ativada

[Inspector.2] O escaneamento ECR do Amazon Inspector deve estar ativado

[Inspector.3] A digitalização de código do Amazon Inspector Lambda deve estar ativada

[Inspector.4] O escaneamento padrão do Amazon Inspector Lambda deve estar ativado

[IoTEvents.1]AWSAs entradas do IoT Events devem ser marcadas

[IoTEvents.2]AWSOs modelos de detectores de eventos da IoT devem ser marcados

[IoTEvents.3]AWSOs modelos de alarme do IoT Events devem ser marcados

[IoTSiteWise.1]AWSOs modelos de SiteWise ativos de IoT devem ser marcados

[IoTSiteWise.2]AWSOs SiteWise painéis de IoT devem ser marcados

[IoTSiteWise.3]AWSOs SiteWise gateways de IoT devem ser marcados

[IoTSiteWise.4]AWS SiteWise Portais de IoT devem ser marcados

[IoTSiteWise.5]AWS SiteWise Projetos de IoT devem ser marcados

[IoTTwinMaker.1]AWSOs trabalhos de TwinMaker sincronização de IoT devem ser marcados

[IoTTwinMaker.2]AWSOs TwinMaker espaços de trabalho de IoT devem ser marcados

[IoTTwinMaker.3]AWSAs TwinMaker cenas de IoT devem ser marcadas

[IoTTwinMaker.4]AWSAs TwinMaker entidades de IoT devem ser marcadas

[IoTWireless.1]AWSOs grupos multicast do IoT Wireless devem ser marcados

[IoTWireless.2]AWSOs perfis de serviço IoT Wireless devem ser marcados

[IoTWireless.3]AWSAs tarefas IOT FUOTA devem ser marcadas

[IVS.1] Os pares de teclas de reprodução do IVS devem ser marcados

[IVS.2] As configurações de gravação IVS devem ser marcadas

[IVS.3] Os canais IVS devem ser marcados

[Keyspaces.1] Os keyspaces do Amazon Keyspaces devem ser marcados

[Kinesis.1] Os streams do Kinesis devem ser criptografados em repouso

[Kinesis.3] Os Kinesis Streams devem ter um período de retenção de dados adequado

[KMS.1] As políticas gerenciadas pelo cliente do IAM não devem permitir ações de descriptografia em todas as chaves do KMS

[KMS.2] Os diretores do IAM não devem ter políticas embutidas do IAM que permitam ações de descriptografia em todas as chaves do KMS

[KMS.5] As chaves KMS não devem estar acessíveis ao público

[Lambda.5] As funções VPC Lambda devem operar em várias zonas de disponibilidade

[Lambda.7] As funções Lambda devem terAWS X-Rayrastreamento ativo ativado

[Macie.1] O Amazon Macie deve estar ativado

[Macie.2] A descoberta automatizada de dados confidenciais do Macie deve ser ativada

[MQ.2] Os corretores do ActiveMQ devem transmitir os registros de auditoria para CloudWatch

[MQ.4] Os corretores do Amazon MQ devem ser marcados

[MQ.5] Os corretores ActiveMQ devem usar o modo de implantação active/standby

[MQ.6] Os corretores do RabbitMQ devem usar o modo de implantação de cluster

[MSK.1] Os clusters MSK devem ser criptografados em trânsito entre os nós do broker

[MSK.2] Os clusters MSK devem ter um monitoramento aprimorado configurado

[MSK.3] Os conectores MSK Connect devem ser criptografados em trânsito

[MSK.4] Os clusters MSK devem ter o acesso público desativado

[MSK.5] Os conectores MSK devem ter o registro ativado

[MSK.6] Os clusters MSK devem desativar o acesso não autenticado

[Neptune.1] Os clusters de banco de dados Neptune devem ser criptografados em repouso

[Neptune.2] Os clusters de banco de dados Neptune devem publicar registros de auditoria no Logs CloudWatch

[Neptune.3] Os instantâneos do cluster de banco de dados Neptune não devem ser públicos

[Neptune.4] Os clusters de banco de dados Neptune devem ter a proteção contra exclusão ativada

[Neptune.5] Os clusters de banco de dados Neptune devem ter backups automatizados habilitados

[Neptune.6] Os instantâneos do cluster de banco de dados Neptune devem ser criptografados em repouso

[Neptune.7] Os clusters de banco de dados Neptune devem ter a autenticação de banco de dados do IAM habilitada

[Neptune.8] Os clusters de banco de dados Neptune devem ser configurados para copiar tags para instantâneos

[Neptune.9] Os clusters de banco de dados Neptune devem ser implantados em várias zonas de disponibilidade

[NetworkFirewall.1] Os firewalls do Network Firewall devem ser implantados em várias zonas de disponibilidade

[NetworkFirewall.2] O registro do Firewall de Rede deve estar ativado

[NetworkFirewall.3] As políticas de Firewall de Rede devem ter pelo menos um grupo de regras associado

[NetworkFirewall.4] A ação sem estado padrão para políticas de Firewall de Rede deve ser descartar ou encaminhar pacotes completos

[NetworkFirewall.5] A ação sem estado padrão para políticas de Firewall de Rede deve ser descartar ou encaminhar para pacotes fragmentados

[NetworkFirewall.6] O grupo de regras do Stateless Network Firewall não deve estar vazio

[NetworkFirewall.9] Os firewalls do Network Firewall devem ter a proteção contra exclusão ativada

[NetworkFirewall.10] Os firewalls do Firewall de Rede devem ter a proteção contra alterações de sub-rede ativada

[Opensearch.1] os OpenSearch domínios devem ter a criptografia em repouso ativada

[Opensearch.2] os OpenSearch domínios não devem ser acessíveis ao público

[Opensearch.3] os OpenSearch domínios devem criptografar os dados enviados entre os nós

[Opensearch.4] OpenSearch o registro de erros de domínio CloudWatch nos registros deve estar ativado

[Opensearch.5] os OpenSearch domínios devem ter o registro de auditoria ativado

[Opensearch.6] os OpenSearch domínios devem ter pelo menos três nós de dados

[Opensearch.7] os OpenSearch domínios devem ter um controle de acesso refinado ativado

[Opensearch.8] As conexões com OpenSearch domínios devem ser criptografadas usando a política de segurança TLS mais recente

[Opensearch.9] os OpenSearch domínios devem ser marcados

[Opensearch.10] os OpenSearch domínios devem ter a atualização de software mais recente instalada

[Opensearch.11] os OpenSearch domínios devem ter pelo menos três nós primários dedicados

[PCA.1]CA privada da AWSa autoridade de certificação raiz deve ser desativada

[PCA.2]AWSAs autoridades certificadoras privadas da CA devem ser marcadas

[RDS.14] Os clusters do Amazon Aurora devem ter o retrocesso ativado

[RDS.24] Os clusters de banco de dados do RDS devem usar um nome de usuário de administrador personalizado

[RDS.25] As instâncias do banco de dados do RDS devem usar um nome de usuário de administrador personalizado

[RDS.26] As instâncias de banco de dados do RDS devem ser protegidas por um plano de backup

[RDS.27] Os clusters de banco de dados do RDS devem ser criptografados em repouso

[RDS.31] Os grupos de segurança do RDS DB devem ser marcados

[RDS.34] Os clusters de banco de dados Aurora MySQL devem publicar registros de auditoria no Logs CloudWatch

[RDS.35] Os clusters de banco de dados do RDS devem ter a atualização automática de versões secundárias habilitada

[RDS.36] O RDS para instâncias de banco de dados PostgreSQL deve publicar registros em Logs CloudWatch

[RDS.37] Os clusters de banco de dados Aurora PostgreSQL devem publicar registros em Logs CloudWatch

[RDS.38] O RDS para instâncias de banco de dados PostgreSQL deve ser criptografado em trânsito

[RDS.39] O RDS para instâncias de banco de dados MySQL deve ser criptografado em trânsito

[RDS.40] O RDS para instâncias de banco de dados SQL Server deve publicar registros em Logs CloudWatch

[RDS.41] O RDS para instâncias de banco de dados SQL Server deve ser criptografado em trânsito

[RDS.42] O RDS para instâncias de banco de dados MariaDB deve publicar registros em Logs CloudWatch

[RDS.43] Os proxies de banco de dados do RDS devem exigir criptografia TLS para conexões

[RDS.44] O RDS para instâncias de banco de dados MariaDB deve ser criptografado em trânsito

[RDS.45] Os clusters de banco de dados Aurora MySQL devem ter o registro de auditoria ativado

[RDS.46] As instâncias de banco de dados do RDS não devem ser implantadas em sub-redes públicas com rotas para gateways de internet

[RDS.47] O RDS para clusters de banco de dados PostgreSQL deve ser configurado para copiar tags para DB snapshots

[RDS.51] Os clusters globais do RDS devem ser executados em uma versão compatível do Aurora MySQL

[Redshift.8] Os clusters do Amazon Redshift não devem usar o nome de usuário Admin padrão

[Redshift.10] Os clusters do Redshift devem ser criptografados em repouso

[Redshift.15] Os grupos de segurança do Redshift devem permitir a entrada na porta do cluster somente de origens restritas

[Redshift.16] Os grupos de sub-redes do cluster Redshift devem ter sub-redes de várias zonas de disponibilidade

[Redshift.17] Os grupos de parâmetros do cluster Redshift devem ser marcados

[Redshift.18] Os clusters do Redshift devem ter Multi-AZ implantações habilitadas

[RedshiftServerless.1] Os grupos de trabalho sem servidor do Amazon Redshift devem usar o roteamento de VPC aprimorado

[RedshiftServerless.2] Conexões com grupos de trabalho sem servidor do Redshift devem ser obrigatórias para usar SSL

[RedshiftServerless.3] Os grupos de trabalho sem servidor do Redshift devem proibir o acesso público

[RedshiftServerless.4] Os namespaces sem servidor do Redshift devem ser criptografados com o gerenciamento do clienteAWS KMS keys

[RedshiftServerless.5] Os namespaces Redshift Serverless não devem usar o nome de usuário de administrador padrão

[RedshiftServerless.6] Os namespaces sem servidor do Redshift devem exportar registros para Logs CloudWatch

[Route53.1] As verificações de saúde do Route 53 devem ser marcadas

[Route53.2] As zonas hospedadas públicas do Route 53 devem registrar consultas de DNS

[S3.7] Os buckets de uso geral do S3 devem usar replicação entre regiões

[S3.10] Os buckets de uso geral do S3 com versionamento ativado devem ter configurações de ciclo de vida

[S3.11] Os buckets de uso geral do S3 devem ter as notificações de eventos ativadas

[S3.12] As ACLs não devem ser usadas para gerenciar o acesso do usuário aos buckets de uso geral do S3

[S3.13] Os buckets de uso geral do S3 devem ter configurações de ciclo de vida

[S3.19] Os pontos de acesso S3 devem ter as configurações de bloqueio de acesso público ativadas

[S3.20] Os buckets de uso geral do S3 devem ter a exclusão de MFA ativada

[S3.22] Os buckets de uso geral do S3 devem registrar eventos de gravação em nível de objeto

[S3.23] Os buckets de uso geral do S3 devem registrar eventos de leitura em nível de objeto

[S3.24] Os pontos de Multi-Region acesso S3 devem ter as configurações de bloqueio de acesso público ativadas

[S3.25] Os buckets de diretório S3 devem ter configurações de ciclo de vida

[SageMaker.1] As instâncias de SageMaker notebooks da Amazon não devem ter acesso direto à Internet

[SageMaker.2] as instâncias do SageMaker notebook devem ser iniciadas em uma VPC personalizada

[SageMaker.3] Os usuários não devem ter acesso root às instâncias do SageMaker notebook

[SageMaker.4] as variantes de produção de SageMaker endpoints devem ter uma contagem inicial de instâncias maior que 1

[SageMaker.5] SageMaker os modelos devem ter o isolamento de rede ativado

[SageMaker.6] as configurações da imagem do SageMaker aplicativo devem ser marcadas

[SageMaker.7] SageMaker as imagens devem ser marcadas

[SageMaker.8] as instâncias do SageMaker notebook devem ser executadas em plataformas compatíveis

[SageMaker.9] as definições de tarefas de qualidade de SageMaker dados devem ter a criptografia de tráfego entre contêineres ativada

[SageMaker.10] as definições de tarefas de explicabilidade do SageMaker modelo devem ter a criptografia de tráfego entre contêineres ativada

[SageMaker.11] as definições de tarefas de qualidade de SageMaker dados devem ter o isolamento de rede ativado

[SageMaker.12] as definições de tarefas de viés de SageMaker modelo devem ter o isolamento de rede ativado

[SageMaker.13] as definições de trabalho de qualidade do SageMaker modelo devem ter a criptografia de tráfego entre contêineres ativada

[SageMaker.14] os cronogramas de SageMaker monitoramento devem ter o isolamento de rede ativado

[SageMaker.15] as definições de tarefas de viés de SageMaker modelo devem ter a criptografia de tráfego entre contêineres ativada

[SageMaker.16] SageMaker os modelos devem usar registro privado em VPC para contêineres primários

[SageMaker.17] SageMaker As lojas off-line do grupo de recursos devem ser criptografadas comAWS KMSkeys

[SageMaker.18] lojas online de grupos de SageMaker recursos com armazenamento padrão devem ser criptografadas comAWS KMSkeys

[SageMaker.19] SageMaker os modelos devem usar registro privado na VPC para pipelines de inferência de vários contêineres

[SES.3] Os conjuntos de configuração do SES devem ter o TLS ativado para envio de e-mails

[ServiceCatalog.1] Os portfólios do Service Catalog devem ser compartilhados em umAWSsomente organização

[SNS.4] As políticas de acesso a tópicos do SNS não devem permitir o acesso público

[SQS.1] As filas do Amazon SQS devem ser criptografadas em repouso

[SQS.2] As filas SQS devem ser marcadas

[SQS.3] As políticas de acesso à fila do SQS não devem permitir acesso público

[SSM.4] Os documentos SSM não devem ser públicos

[SSM.5] Os documentos SSM devem ser marcados

[SSM.6] A automação SSM deve ter o CloudWatch registro ativado

[SSM.7] Os documentos SSM devem ter a configuração de bloqueio de compartilhamento público habilitada

[StepFunctions.1] As máquinas de estado do Step Functions devem ter o registro ativado

[Transfer.2] Os servidores Transfer Family não devem usar o protocolo FTP para conexão de endpoints

[Transfer.3] Os conectores Transfer Family devem ter o registro ativado

[Transfer.4] Os acordos Transfer Family devem ser marcados

[Transfer.5] Os certificados Transfer Family devem ser marcados

[Transfer.6] Os conectores Transfer Family devem ser marcados

[Transfer.7] Os perfis do Transfer Family devem ser marcados

[WAF.1]AWS WAFO registro clássico do Global Web ACL deve estar ativado

[WAF.2]AWS WAFAs regras regionais clássicas devem ter pelo menos uma condição

[WAF.3]AWS WAFOs grupos de regras regionais clássicos devem ter pelo menos uma regra

[WAF.4]AWS WAFAs ACLs regionais clássicas da web devem ter pelo menos uma regra ou grupo de regras

[WAF.6]AWS WAFAs regras globais clássicas devem ter pelo menos uma condição

[WAF.7]AWS WAFOs grupos de regras globais clássicos devem ter pelo menos uma regra

[WAF.8]AWS WAFAs ACLs web globais clássicas devem ter pelo menos uma regra ou grupo de regras

[WAF.10]AWS WAFas ACLs da web devem ter pelo menos uma regra ou grupo de regras

[WAF.12]AWS WAFas regras devem ter CloudWatch métricas ativadas

[WorkSpaces.1] os volumes WorkSpaces do usuário devem ser criptografados em repouso

[WorkSpaces.2] os volumes WorkSpaces raiz devem ser criptografados em repouso

[APIGateway.8] As rotas do API Gateway devem especificar um tipo de autorização

[APIGateway.9] O registro de acesso deve ser configurado para os estágios do API Gateway V2

[Amplify.1] Os aplicativos Amplify devem ser marcados

[Amplify.2] As ramificações do Amplify devem ser marcadas

[AppFlow.1] Os AppFlow fluxos da Amazon devem ser marcados

[AppRunner.1] Os serviços do App Runner devem ser marcados

[AppRunner.2] Os conectores VPC do App Runner devem ser marcados

[AppSync.1]AWS AppSyncOs caches de API devem ser criptografados em repouso

[AppSync.2]AWS AppSyncdeve ter o registro em nível de campo ativado

[AppSync.5]AWS AppSyncAs APIs do GraphQL não devem ser autenticadas com chaves de API

[AppSync.6]AWS AppSyncOs caches de API devem ser criptografados em trânsito

[Backup.1]AWS Backupos pontos de recuperação devem ser criptografados em repouso

[Batch.1] As filas de trabalhos em lote devem ser marcadas

[Batch.3] Ambientes de computação em lote devem ser marcados

[Batch.4] As propriedades dos recursos computacionais em ambientes de computação gerenciados em Batch devem ser marcadas

[BedrockAgentCore.1] Os AgentCore tempos de execução do Bedrock devem ser configurados com o modo de rede VPC

[BedrockAgentCore.2] Os Bedrock AgentCore Gateways devem exigir autorização para solicitações de entrada

[BedrockAgentCore.3] A AgentCore memória Bedrock deve ser criptografada e gerenciada pelo clienteAWS KMSkeys

[BedrockAgentCore.4] O Bedrock AgentCore Gateway deve ser criptografado com gerenciamento de clientesAWS KMSkeys

[BedrockAgentCore.5] Os navegadores AgentCore personalizados Bedrock não devem usar o modo de rede pública

[BedrockAgentCore.6] Os navegadores AgentCore personalizados do Bedrock devem ter a gravação de sessão ativada

[CloudFormation.3] CloudFormation as pilhas devem ter a proteção de encerramento ativada

[CloudFormation.4] CloudFormation as pilhas devem ter funções de serviço associadas

[CloudFront.1] CloudFront as distribuições devem ter um objeto raiz padrão configurado

[CloudFront.3] CloudFront as distribuições devem exigir criptografia em trânsito

[CloudFront.4] CloudFront as distribuições devem ter o failover de origem configurado

[CloudFront.5] CloudFront as distribuições devem ter o registro ativado

[CloudFront.6] CloudFront as distribuições devem ter o WAF ativado

[CloudFront.7] CloudFront as distribuições devem usar certificados personalizados SSL/TLS

[CloudFront.8] CloudFront as distribuições devem usar o SNI para atender às solicitações HTTPS

[CloudFront.9] CloudFront as distribuições devem criptografar o tráfego para origens personalizadas

[CloudFront.10] CloudFront as distribuições não devem usar protocolos SSL obsoletos entre pontos de presença e origens personalizadas

[CloudFront.12] CloudFront as distribuições não devem apontar para origens inexistentes do S3

[CloudFront.13] CloudFront as distribuições devem usar o controle de acesso de origem

[CloudFront.14] CloudFront as distribuições devem ser marcadas

[CloudFront.15] CloudFront as distribuições devem usar a política de segurança TLS recomendada

[CloudFront.16] CloudFront as distribuições devem usar o controle de acesso de origem para origens de URL da função Lambda

[CloudFront.17] CloudFront as distribuições devem usar grupos de chaves confiáveis para URLs e cookies assinados

[CodeArtifact.1] CodeArtifact repositórios devem ser marcados

[CodeGuruProfiler.1] Os grupos CodeGuru de criação de perfil do Profiler devem ser marcados

[CodeGuruReviewer.1] As associações do repositório do CodeGuru revisor devem ser marcadas

[Cognito.1] Os grupos de usuários do Cognito devem ter a proteção contra ameaças ativada com o modo de fiscalização de funções completas para autenticação padrão

[Connect.1] Os tipos de objetos do Amazon Connect Customer Profiles devem ser marcados

[Connect.2] As instâncias do Connect Customer devem ter o CloudWatch registro ativado

[Detective.1] Os gráficos de comportamento do Detective devem ser marcados

[DMS.2] Os certificados DMS devem ser marcados

[DMS.3] As assinaturas de eventos do DMS devem ser marcadas

[DMS.4] As instâncias de replicação do DMS devem ser marcadas

[DMS.5] Os grupos de sub-redes de replicação do DMS devem ser marcados

[DMS.6] As instâncias de replicação do DMS devem ter a atualização automática de versões secundárias ativada

[DMS.7] As tarefas de replicação do DMS para o banco de dados de destino devem ter o registro ativado

[DMS.8] As tarefas de replicação do DMS para o banco de dados de origem devem ter o registro ativado

[DMS.9] Os endpoints do DMS devem usar SSL

[DMS.10] Os endpoints do DMS para bancos de dados Neptune devem ter a autorização do IAM habilitada

[DMS.11] Os endpoints DMS para MongoDB devem ter um mecanismo de autenticação habilitado

[DMS.12] Os endpoints DMS para Redis OSS devem ter o TLS habilitado

[DMS.13] As instâncias de replicação do DMS devem ser configuradas para usar várias zonas de disponibilidade

[DocumentDB.1] Os clusters do Amazon DocumentDB devem ser criptografados em repouso

[DocumentDB.2] Os clusters do Amazon DocumentDB devem ter um período de retenção de backup adequado

[DocumentDB.3] Os snapshots manuais do cluster do Amazon DocumentDB não devem ser públicos

[DocumentDB.4] Os clusters do Amazon DocumentDB devem publicar registros de auditoria no Logs CloudWatch

[DocumentDB.5] Os clusters do Amazon DocumentDB devem ter a proteção contra exclusão ativada

[DocumentDB.6] Os clusters do Amazon DocumentDB devem ser criptografados em trânsito

[DynamoDB.3] Os clusters do DynamoDB Accelerator (DAX) devem ser criptografados em repouso

[DynamoDB.7] Os clusters do DynamoDB Accelerator devem ser criptografados em trânsito

[EC2.4] As instâncias EC2 interrompidas devem ser removidas após um período de tempo especificado

[EC2.14] Grupos de segurança não devem permitir a entrada a partir de 0.0.0. 0/0 ou: :/0 para a porta 3389

[EC2.22] Grupos de segurança não utilizados do Amazon EC2 devem ser removidos

[EC2.23] Os Amazon EC2 Transit Gateways não devem aceitar automaticamente solicitações de anexos de VPC

[EC2.24] Os tipos de instância paravirtual do Amazon EC2 não devem ser usados

[EC2.25] Os modelos de lançamento do Amazon EC2 não devem atribuir IPs públicos às interfaces de rede

[EC2.34] As tabelas de rotas do gateway de trânsito EC2 devem ser marcadas

[EC2.40] Os gateways NAT do EC2 devem ser marcados

[EC2.58] As VPCs devem ser configuradas com um endpoint de interface para os contatos do Systems Manager Incident Manager

[EC2.60] As VPCs devem ser configuradas com um endpoint de interface para o Systems Manager Incident Manager

[EC2.170] Os modelos de lançamento do EC2 devem usar o Instance Metadata Service Version 2 (IMDSv2)

[EC2.173] Solicitações do EC2 Spot Fleet com parâmetros de inicialização devem habilitar a criptografia para volumes anexados do EBS

[EC2.175] Os modelos de lançamento do EC2 devem ser marcados

[EC2.181] Os modelos de lançamento do EC2 devem permitir a criptografia para volumes anexados do EBS

[ECR.4] Os repositórios públicos do ECR devem ser marcados

[EFS.1] O Elastic File System deve ser configurado para criptografar dados de arquivos em repouso usandoAWS KMS

[EFS.2] Os volumes do Amazon EFS devem estar em planos de backup

[ELB.14] O Classic Load Balancer deve ser configurado com o modo de mitigação de dessincronização defensivo ou mais rigoroso

[ELB.17] Os balanceadores de carga de aplicativos e redes com ouvintes devem usar as políticas de segurança recomendadas

[ELB.18] Os ouvintes do Application and Network Load Balancer devem usar protocolos seguros para criptografar dados em trânsito

[ElastiCache.1] Os clusters ElastiCache (Redis OSS) devem ter backups automáticos habilitados

[ElastiCache.2] ElastiCache os clusters devem ter atualizações automáticas de versões secundárias habilitadas

[ElastiCache.3] os grupos ElastiCache de replicação devem ter o failover automático ativado

[ElastiCache.4] os grupos ElastiCache de replicação devem ser criptografados em repouso

[ElastiCache.5] os grupos ElastiCache de replicação devem ser criptografados em trânsito

[ElastiCache.6] ElastiCache (Redis OSS) grupos de replicação de versões anteriores devem ter o Redis OSS AUTH ativado

[ElastiCache.7] ElastiCache os clusters não devem usar o grupo de sub-rede padrão

[ElasticBeanstalk.1] Os ambientes do Elastic Beanstalk devem ter os relatórios de saúde aprimorados habilitados

[ElasticBeanstalk.2] As atualizações da plataforma gerenciada do Elastic Beanstalk devem estar habilitadas

[ElasticBeanstalk.3] O Elastic Beanstalk deve transmitir registros para CloudWatch

[EMR.1] Os nós primários do cluster Amazon EMR não devem ter endereços IP públicos

[ES.4] O registro de erros do domínio Elasticsearch CloudWatch nos registros deve estar ativado

[EventBridge.4] endpoints EventBridge globais devem ter a replicação de eventos ativada

[FraudDetector.1] Os tipos de entidade do Amazon Fraud Detector devem ser marcados

[FraudDetector.2] Os rótulos do Amazon Fraud Detector devem ser marcados

[FraudDetector.3] Os resultados do Amazon Fraud Detector devem ser marcados

[FraudDetector.4] As variáveis do Amazon Fraud Detector devem ser marcadas

[FSx.1] O FSx para sistemas de arquivos OpenZFS deve ser configurado para copiar tags para backups e volumes

[FSx.3] FSx para sistemas de arquivos OpenZFS devem ser configurados para implantação Multi-AZ

[GlobalAccelerator.1] Os aceleradores do Global Accelerator devem ser marcados

[Glue.4]AWS GlueOs trabalhos do Spark devem ser executados em versões compatíveis doAWS Glue

[GuardDuty.2] GuardDuty os filtros devem ser marcados

[IAM.1] As políticas do IAM não devem permitir privilégios administrativos “*” completos

[IAM.2] Os usuários do IAM não devem ter políticas do IAM anexadas

[IAM.3] As chaves de acesso dos usuários do IAM devem ser trocadas a cada 90 dias ou menos

[IAM.5] O MFA deve ser habilitado para todos os usuários do IAM que tenham uma senha de console

[IAM.6] O MFA de hardware deve estar habilitado para o usuário root

[IAM.8] As credenciais de usuário do IAM não utilizadas devem ser removidas

[IAM.10] As políticas de senha para usuários do IAM devem ter configurações fortes

[IAM.11] Certifique-se de que a política de senha do IAM exija pelo menos uma letra maiúscula

[IAM.12] Certifique-se de que a política de senha do IAM exija pelo menos uma letra minúscula

[IAM.13] Certifique-se de que a política de senha do IAM exija pelo menos um símbolo

[IAM.14] Certifique-se de que a política de senha do IAM exija pelo menos um número

[IAM.15] Certifique-se de que a política de senha do IAM exija um tamanho mínimo de senha de 14 ou mais

[IAM.16] Certifique-se de que a política de senha do IAM evite a reutilização de senhas

[IAM.17] Certifique-se de que a política de senhas do IAM expire as senhas em 90 dias ou menos

[IAM.18] Certifique-se de que uma função de suporte tenha sido criada para gerenciar incidentes comAWS Support

[IAM.19] O MFA deve estar habilitado para todos os usuários do IAM

[IAM.21] As políticas gerenciadas pelo cliente do IAM que você cria não devem permitir ações curinga para serviços

[IAM.22] As credenciais de usuário do IAM não usadas por 45 dias devem ser removidas

[IAM.24] As funções do IAM devem ser marcadas

[IAM.25] Os usuários do IAM devem ser marcados

[IAM.26] SSL/TLS Os certificados expirados gerenciados no IAM devem ser removidos

[IAM.27] As identidades do IAM não devem ter a AWSCloudShellFullAccess política anexada

[Inspector.1] A digitalização do Amazon Inspector EC2 deve estar ativada

[Inspector.2] O escaneamento ECR do Amazon Inspector deve estar ativado

[Inspector.3] A digitalização de código do Amazon Inspector Lambda deve estar ativada

[Inspector.4] O escaneamento padrão do Amazon Inspector Lambda deve estar ativado

[IoT.1]AWS IoT Device Defenderperfis de segurança devem ser marcados

[IoT.2]AWS IoT Coreações de mitigação devem ser marcadas

[IoT.3]AWS IoT Coreas dimensões devem ser marcadas

[IoT.4]AWS IoT Coreos autorizadores devem ser marcados

[IoT.5]AWS IoT Corealiases de função devem ser marcados

[IoT.6]AWS IoT Coreas políticas devem ser marcadas

[IoTEvents.1]AWSAs entradas do IoT Events devem ser marcadas

[IoTEvents.2]AWSOs modelos de detectores de eventos da IoT devem ser marcados

[IoTEvents.3]AWSOs modelos de alarme do IoT Events devem ser marcados

[IoTSiteWise.1]AWSOs modelos de SiteWise ativos de IoT devem ser marcados

[IoTSiteWise.2]AWSOs SiteWise painéis de IoT devem ser marcados

[IoTSiteWise.3]AWSOs SiteWise gateways de IoT devem ser marcados

[IoTSiteWise.4]AWS SiteWise Portais de IoT devem ser marcados

[IoTSiteWise.5]AWS SiteWise Projetos de IoT devem ser marcados

[IoTTwinMaker.1]AWSOs trabalhos de TwinMaker sincronização de IoT devem ser marcados

[IoTTwinMaker.2]AWSOs TwinMaker espaços de trabalho de IoT devem ser marcados

[IoTTwinMaker.3]AWSAs TwinMaker cenas de IoT devem ser marcadas

[IoTTwinMaker.4]AWSAs TwinMaker entidades de IoT devem ser marcadas

[IoTWireless.1]AWSOs grupos multicast do IoT Wireless devem ser marcados

[IoTWireless.2]AWSOs perfis de serviço IoT Wireless devem ser marcados

[IoTWireless.3]AWSAs tarefas IOT FUOTA devem ser marcadas

[IVS.1] Os pares de teclas de reprodução do IVS devem ser marcados

[IVS.2] As configurações de gravação IVS devem ser marcadas

[IVS.3] Os canais IVS devem ser marcados

[Keyspaces.1] Os keyspaces do Amazon Keyspaces devem ser marcados

[Kinesis.1] Os streams do Kinesis devem ser criptografados em repouso

[KMS.1] As políticas gerenciadas pelo cliente do IAM não devem permitir ações de descriptografia em todas as chaves do KMS

[KMS.2] Os diretores do IAM não devem ter políticas embutidas do IAM que permitam ações de descriptografia em todas as chaves do KMS

[Macie.1] O Amazon Macie deve estar ativado

[Macie.2] A descoberta automatizada de dados confidenciais do Macie deve ser ativada

[MQ.6] Os corretores do RabbitMQ devem usar o modo de implantação de cluster

[MSK.3] Os conectores MSK Connect devem ser criptografados em trânsito

[MSK.5] Os conectores MSK devem ter o registro ativado

[Neptune.1] Os clusters de banco de dados Neptune devem ser criptografados em repouso

[Neptune.2] Os clusters de banco de dados Neptune devem publicar registros de auditoria no Logs CloudWatch

[Neptune.3] Os instantâneos do cluster de banco de dados Neptune não devem ser públicos

[Neptune.4] Os clusters de banco de dados Neptune devem ter a proteção contra exclusão ativada

[Neptune.5] Os clusters de banco de dados Neptune devem ter backups automatizados habilitados

[Neptune.6] Os instantâneos do cluster de banco de dados Neptune devem ser criptografados em repouso

[Neptune.7] Os clusters de banco de dados Neptune devem ter a autenticação de banco de dados do IAM habilitada

[Neptune.8] Os clusters de banco de dados Neptune devem ser configurados para copiar tags para instantâneos

[Neptune.9] Os clusters de banco de dados Neptune devem ser implantados em várias zonas de disponibilidade

[Opensearch.1] os OpenSearch domínios devem ter a criptografia em repouso ativada

[Opensearch.2] os OpenSearch domínios não devem ser acessíveis ao público

[Opensearch.3] os OpenSearch domínios devem criptografar os dados enviados entre os nós

[Opensearch.4] OpenSearch o registro de erros de domínio CloudWatch nos registros deve estar ativado

[Opensearch.5] os OpenSearch domínios devem ter o registro de auditoria ativado

[Opensearch.6] os OpenSearch domínios devem ter pelo menos três nós de dados

[Opensearch.7] os OpenSearch domínios devem ter um controle de acesso refinado ativado

[Opensearch.8] As conexões com OpenSearch domínios devem ser criptografadas usando a política de segurança TLS mais recente

[Opensearch.9] os OpenSearch domínios devem ser marcados

[Opensearch.10] os OpenSearch domínios devem ter a atualização de software mais recente instalada

[Opensearch.11] os OpenSearch domínios devem ter pelo menos três nós primários dedicados

[RDS.1] O instantâneo do RDS deve ser privado

[RDS.14] Os clusters do Amazon Aurora devem ter o retrocesso ativado

[RDS.31] Os grupos de segurança do RDS DB devem ser marcados

[RDS.35] Os clusters de banco de dados do RDS devem ter a atualização automática de versões secundárias habilitada

[RDS.37] Os clusters de banco de dados Aurora PostgreSQL devem publicar registros em Logs CloudWatch

[RedshiftServerless.1] Os grupos de trabalho sem servidor do Amazon Redshift devem usar o roteamento de VPC aprimorado

[RedshiftServerless.2] Conexões com grupos de trabalho sem servidor do Redshift devem ser obrigatórias para usar SSL

[RedshiftServerless.3] Os grupos de trabalho sem servidor do Redshift devem proibir o acesso público

[RedshiftServerless.4] Os namespaces sem servidor do Redshift devem ser criptografados com o gerenciamento do clienteAWS KMS keys

[RedshiftServerless.5] Os namespaces Redshift Serverless não devem usar o nome de usuário de administrador padrão

[RedshiftServerless.6] Os namespaces sem servidor do Redshift devem exportar registros para Logs CloudWatch

[Route53.1] As verificações de saúde do Route 53 devem ser marcadas

[Route53.2] As zonas hospedadas públicas do Route 53 devem registrar consultas de DNS

[S3.24] Os pontos de Multi-Region acesso S3 devem ter as configurações de bloqueio de acesso público ativadas

[S3.25] Os buckets de diretório S3 devem ter configurações de ciclo de vida

[SageMaker.1] As instâncias de SageMaker notebooks da Amazon não devem ter acesso direto à Internet

[SageMaker.2] as instâncias do SageMaker notebook devem ser iniciadas em uma VPC personalizada

[SageMaker.3] Os usuários não devem ter acesso root às instâncias do SageMaker notebook

[SageMaker.5] SageMaker os modelos devem ter o isolamento de rede ativado

[SageMaker.6] as configurações da imagem do SageMaker aplicativo devem ser marcadas

[SageMaker.7] SageMaker as imagens devem ser marcadas

[SageMaker.8] as instâncias do SageMaker notebook devem ser executadas em plataformas compatíveis

[SageMaker.9] as definições de tarefas de qualidade de SageMaker dados devem ter a criptografia de tráfego entre contêineres ativada

[SageMaker.10] as definições de tarefas de explicabilidade do SageMaker modelo devem ter a criptografia de tráfego entre contêineres ativada

[SageMaker.11] as definições de tarefas de qualidade de SageMaker dados devem ter o isolamento de rede ativado

[SageMaker.12] as definições de tarefas de viés de SageMaker modelo devem ter o isolamento de rede ativado

[SageMaker.13] as definições de trabalho de qualidade do SageMaker modelo devem ter a criptografia de tráfego entre contêineres ativada

[SageMaker.14] os cronogramas de SageMaker monitoramento devem ter o isolamento de rede ativado

[SageMaker.15] as definições de tarefas de viés de SageMaker modelo devem ter a criptografia de tráfego entre contêineres ativada

[SageMaker.16] SageMaker os modelos devem usar registro privado em VPC para contêineres primários

[SageMaker.17] SageMaker As lojas off-line do grupo de recursos devem ser criptografadas comAWS KMSkeys

[SageMaker.18] lojas online de grupos de SageMaker recursos com armazenamento padrão devem ser criptografadas comAWS KMSkeys

[SageMaker.19] SageMaker os modelos devem usar registro privado na VPC para pipelines de inferência de vários contêineres

[SES.1] As listas de contatos do SES devem ser marcadas

[SES.2] Os conjuntos de configuração do SES devem ser marcados

[SES.3] Os conjuntos de configuração do SES devem ter o TLS ativado para envio de e-mails

[SQS.1] As filas do Amazon SQS devem ser criptografadas em repouso

[SQS.2] As filas SQS devem ser marcadas

[SQS.3] As políticas de acesso à fila do SQS não devem permitir acesso público

[SSM.4] Os documentos SSM não devem ser públicos

[SSM.7] Os documentos SSM devem ter a configuração de bloqueio de compartilhamento público habilitada

[StepFunctions.1] As máquinas de estado do Step Functions devem ter o registro ativado

[Transfer.3] Os conectores Transfer Family devem ter o registro ativado

[Transfer.4] Os acordos Transfer Family devem ser marcados

[WAF.1]AWS WAFO registro clássico do Global Web ACL deve estar ativado

[WAF.6]AWS WAFAs regras globais clássicas devem ter pelo menos uma condição

[WAF.7]AWS WAFOs grupos de regras globais clássicos devem ter pelo menos uma regra

[WAF.8]AWS WAFAs ACLs web globais clássicas devem ter pelo menos uma regra ou grupo de regras

[WorkSpaces.1] os volumes WorkSpaces do usuário devem ser criptografados em repouso

[WorkSpaces.2] os volumes WorkSpaces raiz devem ser criptografados em repouso

[AppSync.1]AWS AppSyncOs caches de API devem ser criptografados em repouso

[AppSync.6]AWS AppSyncOs caches de API devem ser criptografados em trânsito

[CloudFront.1] CloudFront as distribuições devem ter um objeto raiz padrão configurado

[CloudFront.3] CloudFront as distribuições devem exigir criptografia em trânsito

[CloudFront.4] CloudFront as distribuições devem ter o failover de origem configurado

[CloudFront.5] CloudFront as distribuições devem ter o registro ativado

[CloudFront.6] CloudFront as distribuições devem ter o WAF ativado

[CloudFront.7] CloudFront as distribuições devem usar certificados personalizados SSL/TLS

[CloudFront.8] CloudFront as distribuições devem usar o SNI para atender às solicitações HTTPS

[CloudFront.9] CloudFront as distribuições devem criptografar o tráfego para origens personalizadas

[CloudFront.10] CloudFront as distribuições não devem usar protocolos SSL obsoletos entre pontos de presença e origens personalizadas

[CloudFront.12] CloudFront as distribuições não devem apontar para origens inexistentes do S3

[CloudFront.13] CloudFront as distribuições devem usar o controle de acesso de origem

[CloudFront.14] CloudFront as distribuições devem ser marcadas

[CloudFront.15] CloudFront as distribuições devem usar a política de segurança TLS recomendada

[CloudFront.16] CloudFront as distribuições devem usar o controle de acesso de origem para origens de URL da função Lambda

[CloudFront.17] CloudFront as distribuições devem usar grupos de chaves confiáveis para URLs e cookies assinados

[CodeGuruProfiler.1] Os grupos CodeGuru de criação de perfil do Profiler devem ser marcados

[CodeGuruReviewer.1] As associações do repositório do CodeGuru revisor devem ser marcadas

[Connect.1] Os tipos de objetos do Amazon Connect Customer Profiles devem ser marcados

[Connect.2] As instâncias do Connect Customer devem ter o CloudWatch registro ativado

[EC2.24] Os tipos de instância paravirtual do Amazon EC2 não devem ser usados

[EC2.173] Solicitações do EC2 Spot Fleet com parâmetros de inicialização devem habilitar a criptografia para volumes anexados do EBS

[ECR.4] Os repositórios públicos do ECR devem ser marcados

[FraudDetector.1] Os tipos de entidade do Amazon Fraud Detector devem ser marcados

[FraudDetector.2] Os rótulos do Amazon Fraud Detector devem ser marcados

[FraudDetector.3] Os resultados do Amazon Fraud Detector devem ser marcados

[FraudDetector.4] As variáveis do Amazon Fraud Detector devem ser marcadas

[GlobalAccelerator.1] Os aceleradores do Global Accelerator devem ser marcados

[IAM.26] SSL/TLS Os certificados expirados gerenciados no IAM devem ser removidos

[Inspector.3] A digitalização de código do Amazon Inspector Lambda deve estar ativada

[IoTTwinMaker.4]AWSAs TwinMaker entidades de IoT devem ser marcadas

[IoTWireless.1]AWSOs grupos multicast do IoT Wireless devem ser marcados

[IoTWireless.2]AWSOs perfis de serviço IoT Wireless devem ser marcados

[IoTWireless.3]AWSAs tarefas IOT FUOTA devem ser marcadas

[RDS.31] Os grupos de segurança do RDS DB devem ser marcados

[Route53.1] As verificações de saúde do Route 53 devem ser marcadas

[Route53.2] As zonas hospedadas públicas do Route 53 devem registrar consultas de DNS

[S3.24] Os pontos de Multi-Region acesso S3 devem ter as configurações de bloqueio de acesso público ativadas

[WAF.1]AWS WAFO registro clássico do Global Web ACL deve estar ativado

[WAF.6]AWS WAFAs regras globais clássicas devem ter pelo menos uma condição

[WAF.7]AWS WAFOs grupos de regras globais clássicos devem ter pelo menos uma regra

[WAF.8]AWS WAFAs ACLs web globais clássicas devem ter pelo menos uma regra ou grupo de regras

[ACM.1] Importado e ACM-issued os certificados devem ser renovados após um período de tempo especificado

[ACM.2] Os certificados RSA gerenciados pelo ACM devem usar um comprimento de chave de pelo menos 2.048 bits

[Account.1] As informações de contato de segurança devem ser fornecidas para umConta da AWS

[Account.2]Contas da AWSdeve fazer parte de umAWS Organizationsorganização

[APIGateway.1] O REST do API Gateway e o registro de execução WebSocket da API devem estar habilitados

[APIGateway.2] Os estágios da API Gateway REST da API devem ser configurados para usar certificados SSL para autenticação de back-end

[APIGateway.3] Os estágios da API Gateway REST da API devem terAWS X-Rayrastreamento ativado

[APIGateway.4] O API Gateway deve ser associado a uma WAF Web ACL

[APIGateway.5] API Gateway REST Os dados do cache da API devem ser criptografados em repouso

[APIGateway.8] As rotas do API Gateway devem especificar um tipo de autorização

[APIGateway.9] O registro de acesso deve ser configurado para os estágios do API Gateway V2

[APIGateway.10] As integrações do API Gateway V2 devem usar HTTPS para conexões privadas

[APIGateway.11] Os nomes de domínio do API Gateway devem usar as políticas de segurança recomendadas

[Amplify.1] Os aplicativos Amplify devem ser marcados

[Amplify.2] As ramificações do Amplify devem ser marcadas

[AppConfig.1]AWS AppConfigos aplicativos devem ser marcados

[AppConfig.2]AWS AppConfigperfis de configuração devem ser marcados

[AppConfig.3]AWS AppConfigambientes devem ser marcados

[AppConfig.4]AWS AppConfigassociações de extensão devem ser marcadas

[AppFlow.1] Os AppFlow fluxos da Amazon devem ser marcados

[AppRunner.1] Os serviços do App Runner devem ser marcados

[AppRunner.2] Os conectores VPC do App Runner devem ser marcados

[AppSync.1]AWS AppSyncOs caches de API devem ser criptografados em repouso

[AppSync.2]AWS AppSyncdeve ter o registro em nível de campo ativado

[AppSync.4]AWS AppSyncAs APIs do GraphQL devem ser marcadas

[AppSync.5]AWS AppSyncAs APIs do GraphQL não devem ser autenticadas com chaves de API

[AppSync.6]AWS AppSyncOs caches de API devem ser criptografados em trânsito

[Athena.2] Os catálogos de dados do Athena devem ser marcados

[Athena.3] Os grupos de trabalho do Athena devem ser marcados

[Athena.4] Os grupos de trabalho do Athena devem ter o registro ativado

[AutoScaling.2] O grupo Amazon EC2 Auto Scaling deve abranger várias zonas de disponibilidade

[AutoScaling.3] As configurações de lançamento de grupos do Auto Scaling devem configurar as instâncias do EC2 para exigir o Instance Metadata Service Version 2 (IMDSv2)

[AutoScaling.6] Os grupos de Auto Scaling devem usar vários tipos de instância em várias zonas de disponibilidade

[AutoScaling.9] Os grupos do Amazon EC2 Auto Scaling devem usar os modelos de lançamento do Amazon EC2

[Backup.1]AWS Backupos pontos de recuperação devem ser criptografados em repouso

[Backup.2]AWS Backupos pontos de recuperação devem ser marcados

[Backup.4]AWS Backupos planos de relatórios devem ser marcados

[Batch.1] As filas de trabalhos em lote devem ser marcadas

[Batch.2] As políticas de agendamento em lote devem ser marcadas

[Batch.3] Ambientes de computação em lote devem ser marcados

[Batch.4] As propriedades dos recursos computacionais em ambientes de computação gerenciados em Batch devem ser marcadas

[BedrockAgentCore.1] Os AgentCore tempos de execução do Bedrock devem ser configurados com o modo de rede VPC

[BedrockAgentCore.2] Os Bedrock AgentCore Gateways devem exigir autorização para solicitações de entrada

[BedrockAgentCore.3] A AgentCore memória Bedrock deve ser criptografada e gerenciada pelo clienteAWS KMSkeys

[BedrockAgentCore.4] O Bedrock AgentCore Gateway deve ser criptografado com gerenciamento de clientesAWS KMSkeys

[BedrockAgentCore.5] Os navegadores AgentCore personalizados Bedrock não devem usar o modo de rede pública

[BedrockAgentCore.6] Os navegadores AgentCore personalizados do Bedrock devem ter a gravação de sessão ativada

[CloudFormation.3] CloudFormation as pilhas devem ter a proteção de encerramento ativada

[CloudFormation.4] CloudFormation as pilhas devem ter funções de serviço associadas

[CloudFront.1] CloudFront as distribuições devem ter um objeto raiz padrão configurado

[CloudFront.3] CloudFront as distribuições devem exigir criptografia em trânsito

[CloudFront.4] CloudFront as distribuições devem ter o failover de origem configurado

[CloudFront.5] CloudFront as distribuições devem ter o registro ativado

[CloudFront.6] CloudFront as distribuições devem ter o WAF ativado

[CloudFront.7] CloudFront as distribuições devem usar certificados personalizados SSL/TLS

[CloudFront.8] CloudFront as distribuições devem usar o SNI para atender às solicitações HTTPS

[CloudFront.9] CloudFront as distribuições devem criptografar o tráfego para origens personalizadas

[CloudFront.10] CloudFront as distribuições não devem usar protocolos SSL obsoletos entre pontos de presença e origens personalizadas

[CloudFront.12] CloudFront as distribuições não devem apontar para origens inexistentes do S3

[CloudFront.13] CloudFront as distribuições devem usar o controle de acesso de origem

[CloudFront.14] CloudFront as distribuições devem ser marcadas

[CloudFront.15] CloudFront as distribuições devem usar a política de segurança TLS recomendada

[CloudFront.16] CloudFront as distribuições devem usar o controle de acesso de origem para origens de URL da função Lambda

[CloudFront.17] CloudFront as distribuições devem usar grupos de chaves confiáveis para URLs e cookies assinados

[CloudTrail.6] Certifique-se de que o bucket S3 usado para armazenar CloudTrail registros não esteja acessível publicamente

[CloudTrail.7] Certifique-se de que o registro de acesso ao bucket do S3 esteja ativado no bucket do CloudTrail S3

[CloudTrail.10] Os armazenamentos de dados de eventos do CloudTrail Lake devem ser criptografados com gerenciamento de clientesAWS KMS keys

[CloudWatch.17] ações CloudWatch de alarme devem ser ativadas

[CodeArtifact.1] CodeArtifact repositórios devem ser marcados

[CodeBuild.1] Os URLs do repositório CodeBuild de origem do Bitbucket não devem conter credenciais confidenciais

[CodeBuild.2] as variáveis de ambiente CodeBuild do projeto não devem conter credenciais de texto não criptografado

[CodeBuild.3] CodeBuild Os registros do S3 devem ser criptografados

[CodeBuild.4] os ambientes CodeBuild do projeto devem ter um registroAWS Configduração

[CodeBuild.7] as exportações CodeBuild do grupo de relatórios devem ser criptografadas em repouso

[CodeGuruProfiler.1] Os grupos CodeGuru de criação de perfil do Profiler devem ser marcados

[CodeGuruReviewer.1] As associações do repositório do CodeGuru revisor devem ser marcadas

[Cognito.1] Os grupos de usuários do Cognito devem ter a proteção contra ameaças ativada com o modo de fiscalização de funções completas para autenticação padrão

[Cognito.2] Os grupos de identidades do Cognito não devem permitir identidades não autenticadas

[Cognito.3] As políticas de senha para grupos de usuários do Cognito devem ter configurações fortes

[Cognito.4] Os grupos de usuários do Cognito devem ter a proteção contra ameaças ativada com o modo de fiscalização de funções completas para autenticação personalizada

[Cognito.5] O MFA deve ser habilitado para grupos de usuários do Cognito

[Cognito.6] Os grupos de usuários do Cognito devem ter a proteção de exclusão ativada

[Connect.1] Os tipos de objetos do Amazon Connect Customer Profiles devem ser marcados

[Connect.2] As instâncias do Connect Customer devem ter o CloudWatch registro ativado

[DataFirehose.1] Os fluxos de entrega do Firehose devem ser criptografados em repouso

[DataSync.1] DataSync as tarefas devem ter o registro ativado

[DataSync.2] DataSync as tarefas devem ser marcadas

[Detective.1] Os gráficos de comportamento do Detective devem ser marcados

[DMS.2] Os certificados DMS devem ser marcados

[DMS.3] As assinaturas de eventos do DMS devem ser marcadas

[DMS.4] As instâncias de replicação do DMS devem ser marcadas

[DMS.5] Os grupos de sub-redes de replicação do DMS devem ser marcados

[DMS.6] As instâncias de replicação do DMS devem ter a atualização automática de versões secundárias ativada

[DMS.7] As tarefas de replicação do DMS para o banco de dados de destino devem ter o registro ativado

[DMS.8] As tarefas de replicação do DMS para o banco de dados de origem devem ter o registro ativado

[DMS.9] Os endpoints do DMS devem usar SSL

[DMS.10] Os endpoints do DMS para bancos de dados Neptune devem ter a autorização do IAM habilitada

[DMS.11] Os endpoints DMS para MongoDB devem ter um mecanismo de autenticação habilitado

[DMS.12] Os endpoints DMS para Redis OSS devem ter o TLS habilitado

[DMS.13] As instâncias de replicação do DMS devem ser configuradas para usar várias zonas de disponibilidade

[DocumentDB.1] Os clusters do Amazon DocumentDB devem ser criptografados em repouso

[DocumentDB.2] Os clusters do Amazon DocumentDB devem ter um período de retenção de backup adequado

[DocumentDB.3] Os snapshots manuais do cluster do Amazon DocumentDB não devem ser públicos

[DocumentDB.4] Os clusters do Amazon DocumentDB devem publicar registros de auditoria no Logs CloudWatch

[DocumentDB.5] Os clusters do Amazon DocumentDB devem ter a proteção contra exclusão ativada

[DocumentDB.6] Os clusters do Amazon DocumentDB devem ser criptografados em trânsito

[DynamoDB.3] Os clusters do DynamoDB Accelerator (DAX) devem ser criptografados em repouso

[DynamoDB.4] As tabelas do DynamoDB devem estar presentes em um plano de backup

[DynamoDB.6] As tabelas do DynamoDB devem ter a proteção de exclusão ativada

[DynamoDB.7] Os clusters do DynamoDB Accelerator devem ser criptografados em trânsito

[EC2.4] As instâncias EC2 interrompidas devem ser removidas após um período de tempo especificado

[EC2.21] As ACLs de rede não devem permitir a entrada a partir de 0.0.0. 0/0 para a porta 22 ou porta 3389

[EC2.22] Grupos de segurança não utilizados do Amazon EC2 devem ser removidos

[EC2.23] Os Amazon EC2 Transit Gateways não devem aceitar automaticamente solicitações de anexos de VPC

[EC2.24] Os tipos de instância paravirtual do Amazon EC2 não devem ser usados

[EC2.25] Os modelos de lançamento do Amazon EC2 não devem atribuir IPs públicos às interfaces de rede

[EC2.28] Os volumes do EBS devem ser cobertos por um plano de backup

[EC2.34] As tabelas de rotas do gateway de trânsito EC2 devem ser marcadas

[EC2.40] Os gateways NAT do EC2 devem ser marcados

[EC2.51] Os endpoints do EC2 Client VPN devem ter o registro de conexão do cliente ativado

[EC2.53] Os grupos de segurança do EC2 não devem permitir a entrada a partir de 0.0.0. 0/0 às portas de administração remota do servidor

[EC2.54] Os grupos de segurança do EC2 não devem permitir a entrada de: :/0 nas portas de administração do servidor remoto

[EC2.55] As VPCs devem ser configuradas com um endpoint de interface para a API ECR

[EC2.56] As VPCs devem ser configuradas com um endpoint de interface para o Docker Registry

[EC2.57] As VPCs devem ser configuradas com um endpoint de interface para Systems Manager

[EC2.58] As VPCs devem ser configuradas com um endpoint de interface para os contatos do Systems Manager Incident Manager

[EC2.60] As VPCs devem ser configuradas com um endpoint de interface para o Systems Manager Incident Manager

[EC2.170] Os modelos de lançamento do EC2 devem usar o Instance Metadata Service Version 2 (IMDSv2)

[EC2.171] As conexões EC2 VPN devem ter o registro ativado

[EC2.172] As configurações do EC2 VPC Block Public Access devem bloquear o tráfego do gateway de internet

[EC2.173] Solicitações do EC2 Spot Fleet com parâmetros de inicialização devem habilitar a criptografia para volumes anexados do EBS

[EC2.174] Os conjuntos de opções DHCP do EC2 devem ser marcados

[EC2.175] Os modelos de lançamento do EC2 devem ser marcados

[EC2.176] As listas de prefixos do EC2 devem ser marcadas

[EC2.177] As sessões de espelhamento de tráfego do EC2 devem ser marcadas

[EC2.178] Os filtros de espelhos de tráfego do EC2 devem ser marcados

[EC2.179] Os alvos do espelho de tráfego do EC2 devem ser marcados

[EC2.180] As interfaces de rede EC2 devem ter a source/destination verificação ativada

[EC2.181] Os modelos de lançamento do EC2 devem permitir a criptografia para volumes anexados do EBS

[EC2.182] As configurações de bloqueio de acesso público devem ser habilitadas para snapshots do Amazon EBS

[EC2.183] As conexões VPN EC2 devem usar o protocolo IKEv2

[ECR.1] Os repositórios privados do ECR devem ter a digitalização de imagens configurada

[ECR.2] Os repositórios privados do ECR devem ter a imutabilidade da tag configurada

[ECR.3] Os repositórios ECR devem ter pelo menos uma política de ciclo de vida configurada

[ECR.4] Os repositórios públicos do ECR devem ser marcados

[ECR.5] Os repositórios ECR devem ser criptografados com gerenciamento de clientesAWS KMS keys

[ECS.3] As definições de tarefas do ECS não devem compartilhar o namespace do processo do host

[ECS.4] Os contêineres ECS devem ser executados sem privilégios

[ECS.5] As definições de tarefas do ECS devem configurar os contêineres para serem limitados ao acesso somente de leitura aos sistemas de arquivos raiz

[ECS.8] Os segredos não devem ser passados como variáveis de ambiente do contêiner

[ECS.9] As definições de tarefas do ECS devem ter uma configuração de registro

[ECS.10] Os serviços ECS Fargate devem ser executados na versão mais recente da plataforma Fargate

[ECS.12] Os clusters do ECS devem usar o Container Insights

[ECS.16] Os conjuntos de tarefas do ECS não devem atribuir automaticamente endereços IP públicos

[ECS.17] As definições de tarefas do ECS não devem usar o modo de rede host

[ECS.18] As definições de tarefas do ECS devem usar criptografia em trânsito para volumes EFS

[ECS.19] Os provedores de capacidade do ECS devem ter a proteção gerenciada de terminação ativada

[ECS.20] As definições de tarefas do ECS devem configurar usuários não raiz nas definições de contêiner Linux

[ECS.21] As definições de tarefas do ECS devem configurar usuários não administradores nas definições de contêiner do Windows

[EFS.1] O Elastic File System deve ser configurado para criptografar dados de arquivos em repouso usandoAWS KMS

[EFS.2] Os volumes do Amazon EFS devem estar em planos de backup

[EFS.3] Os pontos de acesso do EFS devem impor um diretório raiz

[EFS.4] Os pontos de acesso do EFS devem impor uma identidade de usuário

[EFS.6] Os destinos de montagem do EFS não devem ser associados a sub-redes que atribuem endereços IP públicos na inicialização

[EFS.7] Os sistemas de arquivos EFS devem ter backups automáticos habilitados

[EFS.8] Os sistemas de arquivos EFS devem ser criptografados em repouso

[EKS.2] Os clusters EKS devem ser executados em uma versão compatível do Kubernetes

[EKS.3] Os clusters EKS devem usar segredos criptografados do Kubernetes

[EKS.7] As configurações do provedor de identidade EKS devem ser marcadas

[EKS.8] Os clusters EKS devem ter o registro de auditoria ativado

[EKS.9] Os grupos de nós do EKS devem ser executados em uma versão compatível do Kubernetes

[ELB.2] Os balanceadores de carga clássicos com SSL/HTTPS ouvintes devem usar um certificado fornecido porGerenciador de certificados da AWS

[ELB.10] O Classic Load Balancer deve abranger várias zonas de disponibilidade

[ELB.12] O Application Load Balancer deve ser configurado com o modo de mitigação de dessincronização defensivo ou mais rigoroso

[ELB.13] Os balanceadores de carga de aplicativos, redes e gateways devem abranger várias zonas de disponibilidade

[ELB.14] O Classic Load Balancer deve ser configurado com o modo de mitigação de dessincronização defensivo ou mais rigoroso

[ELB.16] Os balanceadores de carga de aplicativos devem ser associados a umAWS WAFweb ACL

[ELB.17] Os balanceadores de carga de aplicativos e redes com ouvintes devem usar as políticas de segurança recomendadas

[ELB.18] Os ouvintes do Application and Network Load Balancer devem usar protocolos seguros para criptografar dados em trânsito

[ELB.21] Os grupos-alvo do Application and Network Load Balancer devem usar protocolos de verificação de integridade criptografados

[ELB.22] Os grupos-alvo do ELB devem usar protocolos de transporte criptografados

[ElastiCache.1] Os clusters ElastiCache (Redis OSS) devem ter backups automáticos habilitados

[ElastiCache.2] ElastiCache os clusters devem ter atualizações automáticas de versões secundárias habilitadas

[ElastiCache.3] os grupos ElastiCache de replicação devem ter o failover automático ativado

[ElastiCache.4] os grupos ElastiCache de replicação devem ser criptografados em repouso

[ElastiCache.5] os grupos ElastiCache de replicação devem ser criptografados em trânsito

[ElastiCache.6] ElastiCache (Redis OSS) grupos de replicação de versões anteriores devem ter o Redis OSS AUTH ativado

[ElastiCache.7] ElastiCache os clusters não devem usar o grupo de sub-rede padrão

[ElasticBeanstalk.1] Os ambientes do Elastic Beanstalk devem ter os relatórios de saúde aprimorados habilitados

[ElasticBeanstalk.2] As atualizações da plataforma gerenciada do Elastic Beanstalk devem estar habilitadas

[ElasticBeanstalk.3] O Elastic Beanstalk deve transmitir registros para CloudWatch

[EMR.1] Os nós primários do cluster Amazon EMR não devem ter endereços IP públicos

[EMR.2] A configuração de bloqueio de acesso público do Amazon EMR deve estar ativada

[EMR.3] As configurações de segurança do Amazon EMR devem ser criptografadas em repouso

[EMR.4] As configurações de segurança do Amazon EMR devem ser criptografadas em trânsito

[ES.3] Os domínios do Elasticsearch devem criptografar os dados enviados entre os nós

[ES.4] O registro de erros do domínio Elasticsearch CloudWatch nos registros deve estar ativado

[ES.9] Os domínios do Elasticsearch devem ser marcados

[EventBridge.3] os ônibus de eventos EventBridge personalizados devem ter uma política baseada em recursos anexada

[EventBridge.4] endpoints EventBridge globais devem ter a replicação de eventos ativada

[FraudDetector.1] Os tipos de entidade do Amazon Fraud Detector devem ser marcados

[FraudDetector.2] Os rótulos do Amazon Fraud Detector devem ser marcados

[FraudDetector.3] Os resultados do Amazon Fraud Detector devem ser marcados

[FraudDetector.4] As variáveis do Amazon Fraud Detector devem ser marcadas

[FSx.1] O FSx para sistemas de arquivos OpenZFS deve ser configurado para copiar tags para backups e volumes

[FSx.2] Os sistemas de arquivos FSx for Lustre devem ser configurados para copiar tags para backups

[FSx.3] FSx para sistemas de arquivos OpenZFS devem ser configurados para implantação Multi-AZ

[FSx.4] O FSx para sistemas de arquivos NetApp ONTAP deve ser configurado para implantação Multi-AZ

[FSx.5] Os sistemas de arquivos FSx for Windows File Server devem ser configurados Multi-AZ para implantação

[GlobalAccelerator.1] Os aceleradores do Global Accelerator devem ser marcados

[Glue.1]AWS Glueos trabalhos devem ser marcados

[Glue.3]AWS Glueas transformações de aprendizado de máquina devem ser criptografadas em repouso

[Glue.4]AWS GlueOs trabalhos do Spark devem ser executados em versões compatíveis doAWS Glue

[GuardDuty.1] GuardDuty deve ser habilitado

[GuardDuty.2] GuardDuty os filtros devem ser marcados

[GuardDuty.3] Os GuardDuty IPsets devem ser marcados

[GuardDuty.4] GuardDuty os detectores devem ser marcados

[GuardDuty.5] O monitoramento do registro de auditoria do GuardDuty EKS deve estar ativado

[GuardDuty.6] A Proteção GuardDuty Lambda deve estar ativada

[GuardDuty.7] O monitoramento de tempo de execução do GuardDuty EKS deve estar ativado

[GuardDuty.8] A proteção contra GuardDuty malware para EC2 deve estar ativada

[GuardDuty.9] A proteção GuardDuty do RDS deve estar ativada

[GuardDuty.10] A proteção GuardDuty S3 deve estar ativada

[GuardDuty.11] O monitoramento GuardDuty do tempo de execução deve estar ativado

[GuardDuty.12] O monitoramento de tempo GuardDuty de execução do ECS deve estar ativado

[GuardDuty.13] O monitoramento de tempo de execução do GuardDuty EC2 deve estar ativado

[IAM.1] As políticas do IAM não devem permitir privilégios administrativos “*” completos

[IAM.2] Os usuários do IAM não devem ter políticas do IAM anexadas

[IAM.3] As chaves de acesso dos usuários do IAM devem ser trocadas a cada 90 dias ou menos

[IAM.4] A chave de acesso do usuário raiz do IAM não deve existir

[IAM.5] O MFA deve ser habilitado para todos os usuários do IAM que tenham uma senha de console

[IAM.6] O MFA de hardware deve estar habilitado para o usuário root

[IAM.7] As políticas de senha para usuários do IAM devem ter configurações fortes

[IAM.8] As credenciais de usuário do IAM não utilizadas devem ser removidas

[IAM.9] O MFA deve estar habilitado para o usuário root

[IAM.10] As políticas de senha para usuários do IAM devem ter configurações fortes

[IAM.11] Certifique-se de que a política de senha do IAM exija pelo menos uma letra maiúscula

[IAM.12] Certifique-se de que a política de senha do IAM exija pelo menos uma letra minúscula

[IAM.13] Certifique-se de que a política de senha do IAM exija pelo menos um símbolo

[IAM.14] Certifique-se de que a política de senha do IAM exija pelo menos um número

[IAM.15] Certifique-se de que a política de senha do IAM exija um tamanho mínimo de senha de 14 ou mais

[IAM.16] Certifique-se de que a política de senha do IAM evite a reutilização de senhas

[IAM.17] Certifique-se de que a política de senhas do IAM expire as senhas em 90 dias ou menos

[IAM.18] Certifique-se de que uma função de suporte tenha sido criada para gerenciar incidentes comAWS Support

[IAM.19] O MFA deve estar habilitado para todos os usuários do IAM

[IAM.21] As políticas gerenciadas pelo cliente do IAM que você cria não devem permitir ações curinga para serviços

[IAM.22] As credenciais de usuário do IAM não usadas por 45 dias devem ser removidas

[IAM.24] As funções do IAM devem ser marcadas

[IAM.25] Os usuários do IAM devem ser marcados

[IAM.26] SSL/TLS Os certificados expirados gerenciados no IAM devem ser removidos

[IAM.27] As identidades do IAM não devem ter a AWSCloudShellFullAccess política anexada

[IAM.28] O analisador de acesso externo do IAM Access Analyzer deve estar ativado

[Inspector.1] A digitalização do Amazon Inspector EC2 deve estar ativada

[Inspector.2] O escaneamento ECR do Amazon Inspector deve estar ativado

[Inspector.3] A digitalização de código do Amazon Inspector Lambda deve estar ativada

[Inspector.4] O escaneamento padrão do Amazon Inspector Lambda deve estar ativado

[IoT.1]AWS IoT Device Defenderperfis de segurança devem ser marcados

[IoT.2]AWS IoT Coreações de mitigação devem ser marcadas

[IoT.3]AWS IoT Coreas dimensões devem ser marcadas

[IoT.4]AWS IoT Coreos autorizadores devem ser marcados

[IoT.5]AWS IoT Corealiases de função devem ser marcados

[IoT.6]AWS IoT Coreas políticas devem ser marcadas

[IoTEvents.1]AWSAs entradas do IoT Events devem ser marcadas

[IoTEvents.2]AWSOs modelos de detectores de eventos da IoT devem ser marcados

[IoTEvents.3]AWSOs modelos de alarme do IoT Events devem ser marcados

[IoTSiteWise.1]AWSOs modelos de SiteWise ativos de IoT devem ser marcados

[IoTSiteWise.2]AWSOs SiteWise painéis de IoT devem ser marcados

[IoTSiteWise.3]AWSOs SiteWise gateways de IoT devem ser marcados

[IoTSiteWise.4]AWS SiteWise Portais de IoT devem ser marcados

[IoTSiteWise.5]AWS SiteWise Projetos de IoT devem ser marcados

[IoTTwinMaker.1]AWSOs trabalhos de TwinMaker sincronização de IoT devem ser marcados

[IoTTwinMaker.2]AWSOs TwinMaker espaços de trabalho de IoT devem ser marcados

[IoTTwinMaker.3]AWSAs TwinMaker cenas de IoT devem ser marcadas

[IoTTwinMaker.4]AWSAs TwinMaker entidades de IoT devem ser marcadas

[IoTWireless.1]AWSOs grupos multicast do IoT Wireless devem ser marcados

[IoTWireless.2]AWSOs perfis de serviço IoT Wireless devem ser marcados

[IoTWireless.3]AWSAs tarefas IOT FUOTA devem ser marcadas

[IVS.1] Os pares de teclas de reprodução do IVS devem ser marcados

[IVS.2] As configurações de gravação IVS devem ser marcadas

[IVS.3] Os canais IVS devem ser marcados

[Keyspaces.1] Os keyspaces do Amazon Keyspaces devem ser marcados

[Kinesis.1] Os streams do Kinesis devem ser criptografados em repouso

[Kinesis.3] Os Kinesis Streams devem ter um período de retenção de dados adequado

[KMS.1] As políticas gerenciadas pelo cliente do IAM não devem permitir ações de descriptografia em todas as chaves do KMS

[KMS.2] Os diretores do IAM não devem ter políticas embutidas do IAM que permitam ações de descriptografia em todas as chaves do KMS

[KMS.5] As chaves KMS não devem estar acessíveis ao público

[Lambda.5] As funções VPC Lambda devem operar em várias zonas de disponibilidade

[Lambda.7] As funções Lambda devem terAWS X-Rayrastreamento ativo ativado

[Macie.1] O Amazon Macie deve estar ativado

[Macie.2] A descoberta automatizada de dados confidenciais do Macie deve ser ativada

[MQ.2] Os corretores do ActiveMQ devem transmitir os registros de auditoria para CloudWatch

[MQ.4] Os corretores do Amazon MQ devem ser marcados

[MQ.5] Os corretores ActiveMQ devem usar o modo de implantação active/standby

[MQ.6] Os corretores do RabbitMQ devem usar o modo de implantação de cluster

[MSK.1] Os clusters MSK devem ser criptografados em trânsito entre os nós do broker

[MSK.2] Os clusters MSK devem ter um monitoramento aprimorado configurado

[MSK.3] Os conectores MSK Connect devem ser criptografados em trânsito

[MSK.4] Os clusters MSK devem ter o acesso público desativado

[MSK.5] Os conectores MSK devem ter o registro ativado

[MSK.6] Os clusters MSK devem desativar o acesso não autenticado

[Neptune.1] Os clusters de banco de dados Neptune devem ser criptografados em repouso

[Neptune.2] Os clusters de banco de dados Neptune devem publicar registros de auditoria no Logs CloudWatch

[Neptune.3] Os instantâneos do cluster de banco de dados Neptune não devem ser públicos

[Neptune.4] Os clusters de banco de dados Neptune devem ter a proteção contra exclusão ativada

[Neptune.5] Os clusters de banco de dados Neptune devem ter backups automatizados habilitados

[Neptune.6] Os instantâneos do cluster de banco de dados Neptune devem ser criptografados em repouso

[Neptune.7] Os clusters de banco de dados Neptune devem ter a autenticação de banco de dados do IAM habilitada

[Neptune.8] Os clusters de banco de dados Neptune devem ser configurados para copiar tags para instantâneos

[Neptune.9] Os clusters de banco de dados Neptune devem ser implantados em várias zonas de disponibilidade

[NetworkFirewall.1] Os firewalls do Network Firewall devem ser implantados em várias zonas de disponibilidade

[NetworkFirewall.2] O registro do Firewall de Rede deve estar ativado

[NetworkFirewall.3] As políticas de Firewall de Rede devem ter pelo menos um grupo de regras associado

[NetworkFirewall.4] A ação sem estado padrão para políticas de Firewall de Rede deve ser descartar ou encaminhar pacotes completos

[NetworkFirewall.5] A ação sem estado padrão para políticas de Firewall de Rede deve ser descartar ou encaminhar para pacotes fragmentados

[NetworkFirewall.6] O grupo de regras do Stateless Network Firewall não deve estar vazio

[NetworkFirewall.9] Os firewalls do Network Firewall devem ter a proteção contra exclusão ativada

[NetworkFirewall.10] Os firewalls do Firewall de Rede devem ter a proteção contra alterações de sub-rede ativada

[Opensearch.1] os OpenSearch domínios devem ter a criptografia em repouso ativada

[Opensearch.2] os OpenSearch domínios não devem ser acessíveis ao público

[Opensearch.3] os OpenSearch domínios devem criptografar os dados enviados entre os nós

[Opensearch.4] OpenSearch o registro de erros de domínio CloudWatch nos registros deve estar ativado

[Opensearch.5] os OpenSearch domínios devem ter o registro de auditoria ativado

[Opensearch.6] os OpenSearch domínios devem ter pelo menos três nós de dados

[Opensearch.7] os OpenSearch domínios devem ter um controle de acesso refinado ativado

[Opensearch.8] As conexões com OpenSearch domínios devem ser criptografadas usando a política de segurança TLS mais recente

[Opensearch.9] os OpenSearch domínios devem ser marcados

[Opensearch.10] os OpenSearch domínios devem ter a atualização de software mais recente instalada

[Opensearch.11] os OpenSearch domínios devem ter pelo menos três nós primários dedicados

[PCA.1]CA privada da AWSa autoridade de certificação raiz deve ser desativada

[PCA.2]AWSAs autoridades certificadoras privadas da CA devem ser marcadas

[RDS.14] Os clusters do Amazon Aurora devem ter o retrocesso ativado

[RDS.24] Os clusters de banco de dados do RDS devem usar um nome de usuário de administrador personalizado

[RDS.25] As instâncias do banco de dados do RDS devem usar um nome de usuário de administrador personalizado

[RDS.26] As instâncias de banco de dados do RDS devem ser protegidas por um plano de backup

[RDS.27] Os clusters de banco de dados do RDS devem ser criptografados em repouso

[RDS.31] Os grupos de segurança do RDS DB devem ser marcados

[RDS.34] Os clusters de banco de dados Aurora MySQL devem publicar registros de auditoria no Logs CloudWatch

[RDS.35] Os clusters de banco de dados do RDS devem ter a atualização automática de versões secundárias habilitada

[RDS.36] O RDS para instâncias de banco de dados PostgreSQL deve publicar registros em Logs CloudWatch

[RDS.37] Os clusters de banco de dados Aurora PostgreSQL devem publicar registros em Logs CloudWatch

[RDS.38] O RDS para instâncias de banco de dados PostgreSQL deve ser criptografado em trânsito

[RDS.39] O RDS para instâncias de banco de dados MySQL deve ser criptografado em trânsito

[RDS.40] O RDS para instâncias de banco de dados SQL Server deve publicar registros em Logs CloudWatch

[RDS.41] O RDS para instâncias de banco de dados SQL Server deve ser criptografado em trânsito

[RDS.42] O RDS para instâncias de banco de dados MariaDB deve publicar registros em Logs CloudWatch

[RDS.43] Os proxies de banco de dados do RDS devem exigir criptografia TLS para conexões

[RDS.44] O RDS para instâncias de banco de dados MariaDB deve ser criptografado em trânsito

[RDS.45] Os clusters de banco de dados Aurora MySQL devem ter o registro de auditoria ativado

[RDS.46] As instâncias de banco de dados do RDS não devem ser implantadas em sub-redes públicas com rotas para gateways de internet

[RDS.47] O RDS para clusters de banco de dados PostgreSQL deve ser configurado para copiar tags para DB snapshots

[RDS.48] O RDS para clusters de banco de dados MySQL deve ser configurado para copiar tags para DB snapshots

[RDS.50] Os clusters de banco de dados do RDS devem ter um período de retenção de backup suficiente definido

[RDS.51] Os clusters globais do RDS devem ser executados em uma versão compatível do Aurora MySQL

[Redshift.1] Os clusters do Amazon Redshift devem proibir o acesso público

[Redshift.3] Os clusters do Amazon Redshift devem ter snapshots automáticos habilitados

[Redshift.4] Os clusters do Amazon Redshift devem ter o registro de auditoria ativado

[Redshift.6] O Amazon Redshift deve ter as atualizações automáticas para as versões principais habilitadas

[Redshift.7] Os clusters do Redshift devem usar roteamento de VPC aprimorado

[Redshift.8] Os clusters do Amazon Redshift não devem usar o nome de usuário Admin padrão

[Redshift.10] Os clusters do Redshift devem ser criptografados em repouso

[Redshift.11] Os clusters do Redshift devem ser marcados

[Redshift.13] Os instantâneos do cluster Redshift devem ser marcados

[Redshift.15] Os grupos de segurança do Redshift devem permitir a entrada na porta do cluster somente de origens restritas

[Redshift.16] Os grupos de sub-redes do cluster Redshift devem ter sub-redes de várias zonas de disponibilidade

[Redshift.17] Os grupos de parâmetros do cluster Redshift devem ser marcados

[Redshift.18] Os clusters do Redshift devem ter Multi-AZ implantações habilitadas

[RedshiftServerless.1] Os grupos de trabalho sem servidor do Amazon Redshift devem usar o roteamento de VPC aprimorado

[RedshiftServerless.2] Conexões com grupos de trabalho sem servidor do Redshift devem ser obrigatórias para usar SSL

[RedshiftServerless.3] Os grupos de trabalho sem servidor do Redshift devem proibir o acesso público

[RedshiftServerless.4] Os namespaces sem servidor do Redshift devem ser criptografados com o gerenciamento do clienteAWS KMS keys

[RedshiftServerless.5] Os namespaces Redshift Serverless não devem usar o nome de usuário de administrador padrão

[RedshiftServerless.6] Os namespaces sem servidor do Redshift devem exportar registros para Logs CloudWatch

[Route53.1] As verificações de saúde do Route 53 devem ser marcadas

[Route53.2] As zonas hospedadas públicas do Route 53 devem registrar consultas de DNS

[S3.7] Os buckets de uso geral do S3 devem usar replicação entre regiões

[S3.10] Os buckets de uso geral do S3 com versionamento ativado devem ter configurações de ciclo de vida

[S3.11] Os buckets de uso geral do S3 devem ter as notificações de eventos ativadas

[S3.12] As ACLs não devem ser usadas para gerenciar o acesso do usuário aos buckets de uso geral do S3

[S3.13] Os buckets de uso geral do S3 devem ter configurações de ciclo de vida

[S3.19] Os pontos de acesso S3 devem ter as configurações de bloqueio de acesso público ativadas

[S3.20] Os buckets de uso geral do S3 devem ter a exclusão de MFA ativada

[S3.22] Os buckets de uso geral do S3 devem registrar eventos de gravação em nível de objeto

[S3.23] Os buckets de uso geral do S3 devem registrar eventos de leitura em nível de objeto

[S3.24] Os pontos de Multi-Region acesso S3 devem ter as configurações de bloqueio de acesso público ativadas

[S3.25] Os buckets de diretório S3 devem ter configurações de ciclo de vida

[SageMaker.1] As instâncias de SageMaker notebooks da Amazon não devem ter acesso direto à Internet

[SageMaker.2] as instâncias do SageMaker notebook devem ser iniciadas em uma VPC personalizada

[SageMaker.3] Os usuários não devem ter acesso root às instâncias do SageMaker notebook

[SageMaker.4] as variantes de produção de SageMaker endpoints devem ter uma contagem inicial de instâncias maior que 1

[SageMaker.5] SageMaker os modelos devem ter o isolamento de rede ativado

[SageMaker.6] as configurações da imagem do SageMaker aplicativo devem ser marcadas

[SageMaker.7] SageMaker as imagens devem ser marcadas

[SageMaker.8] as instâncias do SageMaker notebook devem ser executadas em plataformas compatíveis

[SageMaker.9] as definições de tarefas de qualidade de SageMaker dados devem ter a criptografia de tráfego entre contêineres ativada

[SageMaker.10] as definições de tarefas de explicabilidade do SageMaker modelo devem ter a criptografia de tráfego entre contêineres ativada

[SageMaker.11] as definições de tarefas de qualidade de SageMaker dados devem ter o isolamento de rede ativado

[SageMaker.12] as definições de tarefas de viés de SageMaker modelo devem ter o isolamento de rede ativado

[SageMaker.13] as definições de trabalho de qualidade do SageMaker modelo devem ter a criptografia de tráfego entre contêineres ativada

[SageMaker.14] os cronogramas de SageMaker monitoramento devem ter o isolamento de rede ativado

[SageMaker.15] as definições de tarefas de viés de SageMaker modelo devem ter a criptografia de tráfego entre contêineres ativada

[SageMaker.16] SageMaker os modelos devem usar registro privado em VPC para contêineres primários

[SageMaker.17] SageMaker As lojas off-line do grupo de recursos devem ser criptografadas comAWS KMSkeys

[SageMaker.18] lojas online de grupos de SageMaker recursos com armazenamento padrão devem ser criptografadas comAWS KMSkeys

[SageMaker.19] SageMaker os modelos devem usar registro privado na VPC para pipelines de inferência de vários contêineres

[SES.1] As listas de contatos do SES devem ser marcadas

[SES.2] Os conjuntos de configuração do SES devem ser marcados

[SES.3] Os conjuntos de configuração do SES devem ter o TLS ativado para envio de e-mails

[ServiceCatalog.1] Os portfólios do Service Catalog devem ser compartilhados em umAWSsomente organização

[SNS.4] As políticas de acesso a tópicos do SNS não devem permitir o acesso público

[SQS.1] As filas do Amazon SQS devem ser criptografadas em repouso

[SQS.2] As filas SQS devem ser marcadas

[SQS.3] As políticas de acesso à fila do SQS não devem permitir acesso público

[SSM.1] As instâncias do Amazon EC2 devem ser gerenciadas porAWS Systems Manager

[SSM.2] As instâncias do Amazon EC2 gerenciadas pelo Systems Manager devem ter um status de conformidade de patch de COMPATÍVEL após a instalação de um patch

[SSM.3] As instâncias do Amazon EC2 gerenciadas pelo Systems Manager devem ter um status de conformidade de associação de COMPATÍVEL

[SSM.4] Os documentos SSM não devem ser públicos

[SSM.5] Os documentos SSM devem ser marcados

[SSM.6] A automação SSM deve ter o CloudWatch registro ativado

[SSM.7] Os documentos SSM devem ter a configuração de bloqueio de compartilhamento público habilitada

[StepFunctions.1] As máquinas de estado do Step Functions devem ter o registro ativado

[Transfer.1]AWS Transfer Familyfluxos de trabalho devem ser marcados

[Transfer.2] Os servidores Transfer Family não devem usar o protocolo FTP para conexão de endpoints

[Transfer.3] Os conectores Transfer Family devem ter o registro ativado

[Transfer.4] Os acordos Transfer Family devem ser marcados

[Transfer.5] Os certificados Transfer Family devem ser marcados

[Transfer.6] Os conectores Transfer Family devem ser marcados

[Transfer.7] Os perfis do Transfer Family devem ser marcados

[WAF.1]AWS WAFO registro clássico do Global Web ACL deve estar ativado

[WAF.2]AWS WAFAs regras regionais clássicas devem ter pelo menos uma condição

[WAF.3]AWS WAFOs grupos de regras regionais clássicos devem ter pelo menos uma regra

[WAF.4]AWS WAFAs ACLs regionais clássicas da web devem ter pelo menos uma regra ou grupo de regras

[WAF.6]AWS WAFAs regras globais clássicas devem ter pelo menos uma condição

[WAF.7]AWS WAFOs grupos de regras globais clássicos devem ter pelo menos uma regra

[WAF.8]AWS WAFAs ACLs web globais clássicas devem ter pelo menos uma regra ou grupo de regras

[WAF.10]AWS WAFas ACLs da web devem ter pelo menos uma regra ou grupo de regras

[WAF.11]AWS WAFo registro de ACL na web deve estar ativado

[WAF.12]AWS WAFas regras devem ter CloudWatch métricas ativadas

[WorkSpaces.1] os volumes WorkSpaces do usuário devem ser criptografados em repouso

[WorkSpaces.2] os volumes WorkSpaces raiz devem ser criptografados em repouso

[AppFlow.1] Os AppFlow fluxos da Amazon devem ser marcados

[AppRunner.1] Os serviços do App Runner devem ser marcados

[AppRunner.2] Os conectores VPC do App Runner devem ser marcados

[AppSync.1]AWS AppSyncOs caches de API devem ser criptografados em repouso

[AppSync.6]AWS AppSyncOs caches de API devem ser criptografados em trânsito

[Backup.1]AWS Backupos pontos de recuperação devem ser criptografados em repouso

[BedrockAgentCore.1] Os AgentCore tempos de execução do Bedrock devem ser configurados com o modo de rede VPC

[BedrockAgentCore.2] Os Bedrock AgentCore Gateways devem exigir autorização para solicitações de entrada

[BedrockAgentCore.3] A AgentCore memória Bedrock deve ser criptografada e gerenciada pelo clienteAWS KMSkeys

[BedrockAgentCore.4] O Bedrock AgentCore Gateway deve ser criptografado com gerenciamento de clientesAWS KMSkeys

[BedrockAgentCore.5] Os navegadores AgentCore personalizados Bedrock não devem usar o modo de rede pública

[BedrockAgentCore.6] Os navegadores AgentCore personalizados do Bedrock devem ter a gravação de sessão ativada

[CloudFront.1] CloudFront as distribuições devem ter um objeto raiz padrão configurado

[CloudFront.3] CloudFront as distribuições devem exigir criptografia em trânsito

[CloudFront.4] CloudFront as distribuições devem ter o failover de origem configurado

[CloudFront.5] CloudFront as distribuições devem ter o registro ativado

[CloudFront.6] CloudFront as distribuições devem ter o WAF ativado

[CloudFront.7] CloudFront as distribuições devem usar certificados personalizados SSL/TLS

[CloudFront.8] CloudFront as distribuições devem usar o SNI para atender às solicitações HTTPS

[CloudFront.9] CloudFront as distribuições devem criptografar o tráfego para origens personalizadas

[CloudFront.10] CloudFront as distribuições não devem usar protocolos SSL obsoletos entre pontos de presença e origens personalizadas

[CloudFront.12] CloudFront as distribuições não devem apontar para origens inexistentes do S3

[CloudFront.13] CloudFront as distribuições devem usar o controle de acesso de origem

[CloudFront.14] CloudFront as distribuições devem ser marcadas

[CloudFront.15] CloudFront as distribuições devem usar a política de segurança TLS recomendada

[CloudFront.16] CloudFront as distribuições devem usar o controle de acesso de origem para origens de URL da função Lambda

[CloudFront.17] CloudFront as distribuições devem usar grupos de chaves confiáveis para URLs e cookies assinados

[CodeArtifact.1] CodeArtifact repositórios devem ser marcados

[CodeGuruProfiler.1] Os grupos CodeGuru de criação de perfil do Profiler devem ser marcados

[CodeGuruReviewer.1] As associações do repositório do CodeGuru revisor devem ser marcadas

[Connect.1] Os tipos de objetos do Amazon Connect Customer Profiles devem ser marcados

[Connect.2] As instâncias do Connect Customer devem ter o CloudWatch registro ativado

[Detective.1] Os gráficos de comportamento do Detective devem ser marcados

[DMS.7] As tarefas de replicação do DMS para o banco de dados de destino devem ter o registro ativado

[DMS.8] As tarefas de replicação do DMS para o banco de dados de origem devem ter o registro ativado

[DMS.10] Os endpoints do DMS para bancos de dados Neptune devem ter a autorização do IAM habilitada

[DocumentDB.1] Os clusters do Amazon DocumentDB devem ser criptografados em repouso

[DocumentDB.2] Os clusters do Amazon DocumentDB devem ter um período de retenção de backup adequado

[DocumentDB.3] Os snapshots manuais do cluster do Amazon DocumentDB não devem ser públicos

[DocumentDB.4] Os clusters do Amazon DocumentDB devem publicar registros de auditoria no Logs CloudWatch

[DocumentDB.5] Os clusters do Amazon DocumentDB devem ter a proteção contra exclusão ativada

[DocumentDB.6] Os clusters do Amazon DocumentDB devem ser criptografados em trânsito

[DynamoDB.3] Os clusters do DynamoDB Accelerator (DAX) devem ser criptografados em repouso

[DynamoDB.7] Os clusters do DynamoDB Accelerator devem ser criptografados em trânsito

[EC2.4] As instâncias EC2 interrompidas devem ser removidas após um período de tempo especificado

[EC2.14] Grupos de segurança não devem permitir a entrada a partir de 0.0.0. 0/0 ou: :/0 para a porta 3389

[EC2.22] Grupos de segurança não utilizados do Amazon EC2 devem ser removidos

[EC2.23] Os Amazon EC2 Transit Gateways não devem aceitar automaticamente solicitações de anexos de VPC

[EC2.24] Os tipos de instância paravirtual do Amazon EC2 não devem ser usados

[EC2.55] As VPCs devem ser configuradas com um endpoint de interface para a API ECR

[EC2.56] As VPCs devem ser configuradas com um endpoint de interface para o Docker Registry

[EC2.57] As VPCs devem ser configuradas com um endpoint de interface para Systems Manager

[EC2.58] As VPCs devem ser configuradas com um endpoint de interface para os contatos do Systems Manager Incident Manager

[EC2.60] As VPCs devem ser configuradas com um endpoint de interface para o Systems Manager Incident Manager

[EC2.173] Solicitações do EC2 Spot Fleet com parâmetros de inicialização devem habilitar a criptografia para volumes anexados do EBS

[ECR.4] Os repositórios públicos do ECR devem ser marcados

[ELB.2] Os balanceadores de carga clássicos com SSL/HTTPS ouvintes devem usar um certificado fornecido porGerenciador de certificados da AWS

[ElastiCache.1] Os clusters ElastiCache (Redis OSS) devem ter backups automáticos habilitados

[ElastiCache.7] ElastiCache os clusters não devem usar o grupo de sub-rede padrão

[ElasticBeanstalk.1] Os ambientes do Elastic Beanstalk devem ter os relatórios de saúde aprimorados habilitados

[FraudDetector.1] Os tipos de entidade do Amazon Fraud Detector devem ser marcados

[FraudDetector.2] Os rótulos do Amazon Fraud Detector devem ser marcados

[FraudDetector.3] Os resultados do Amazon Fraud Detector devem ser marcados

[FraudDetector.4] As variáveis do Amazon Fraud Detector devem ser marcadas

[GlobalAccelerator.1] Os aceleradores do Global Accelerator devem ser marcados

[IAM.26] SSL/TLS Os certificados expirados gerenciados no IAM devem ser removidos

[Inspector.3] A digitalização de código do Amazon Inspector Lambda deve estar ativada

[IoT.1]AWS IoT Device Defenderperfis de segurança devem ser marcados

[IoT.2]AWS IoT Coreações de mitigação devem ser marcadas

[IoT.3]AWS IoT Coreas dimensões devem ser marcadas

[IoT.4]AWS IoT Coreos autorizadores devem ser marcados

[IoT.5]AWS IoT Corealiases de função devem ser marcados

[IoT.6]AWS IoT Coreas políticas devem ser marcadas

[IoTEvents.1]AWSAs entradas do IoT Events devem ser marcadas

[IoTEvents.2]AWSOs modelos de detectores de eventos da IoT devem ser marcados

[IoTEvents.3]AWSOs modelos de alarme do IoT Events devem ser marcados

[IoTSiteWise.1]AWSOs modelos de SiteWise ativos de IoT devem ser marcados

[IoTSiteWise.2]AWSOs SiteWise painéis de IoT devem ser marcados

[IoTSiteWise.3]AWSOs SiteWise gateways de IoT devem ser marcados

[IoTSiteWise.4]AWS SiteWise Portais de IoT devem ser marcados

[IoTSiteWise.5]AWS SiteWise Projetos de IoT devem ser marcados

[IoTTwinMaker.1]AWSOs trabalhos de TwinMaker sincronização de IoT devem ser marcados

[IoTTwinMaker.2]AWSOs TwinMaker espaços de trabalho de IoT devem ser marcados

[IoTTwinMaker.3]AWSAs TwinMaker cenas de IoT devem ser marcadas

[IoTTwinMaker.4]AWSAs TwinMaker entidades de IoT devem ser marcadas

[IoTWireless.1]AWSOs grupos multicast do IoT Wireless devem ser marcados

[IoTWireless.2]AWSOs perfis de serviço IoT Wireless devem ser marcados

[IoTWireless.3]AWSAs tarefas IOT FUOTA devem ser marcadas

[IVS.1] Os pares de teclas de reprodução do IVS devem ser marcados

[IVS.2] As configurações de gravação IVS devem ser marcadas

[IVS.3] Os canais IVS devem ser marcados

[Keyspaces.1] Os keyspaces do Amazon Keyspaces devem ser marcados

[MSK.3] Os conectores MSK Connect devem ser criptografados em trânsito

[MSK.5] Os conectores MSK devem ter o registro ativado

[RDS.31] Os grupos de segurança do RDS DB devem ser marcados

[RedshiftServerless.1] Os grupos de trabalho sem servidor do Amazon Redshift devem usar o roteamento de VPC aprimorado

[RedshiftServerless.2] Conexões com grupos de trabalho sem servidor do Redshift devem ser obrigatórias para usar SSL

[RedshiftServerless.3] Os grupos de trabalho sem servidor do Redshift devem proibir o acesso público

[RedshiftServerless.4] Os namespaces sem servidor do Redshift devem ser criptografados com o gerenciamento do clienteAWS KMS keys

[RedshiftServerless.5] Os namespaces Redshift Serverless não devem usar o nome de usuário de administrador padrão

[RedshiftServerless.6] Os namespaces sem servidor do Redshift devem exportar registros para Logs CloudWatch

[Route53.1] As verificações de saúde do Route 53 devem ser marcadas

[Route53.2] As zonas hospedadas públicas do Route 53 devem registrar consultas de DNS

[S3.24] Os pontos de Multi-Region acesso S3 devem ter as configurações de bloqueio de acesso público ativadas

[S3.25] Os buckets de diretório S3 devem ter configurações de ciclo de vida

[SageMaker.16] SageMaker os modelos devem usar registro privado em VPC para contêineres primários

[SageMaker.19] SageMaker os modelos devem usar registro privado na VPC para pipelines de inferência de vários contêineres

[SSM.2] As instâncias do Amazon EC2 gerenciadas pelo Systems Manager devem ter um status de conformidade de patch de COMPATÍVEL após a instalação de um patch

[SSM.3] As instâncias do Amazon EC2 gerenciadas pelo Systems Manager devem ter um status de conformidade de associação de COMPATÍVEL

[WAF.1]AWS WAFO registro clássico do Global Web ACL deve estar ativado

[WAF.3]AWS WAFOs grupos de regras regionais clássicos devem ter pelo menos uma regra

[WAF.6]AWS WAFAs regras globais clássicas devem ter pelo menos uma condição

[WAF.7]AWS WAFOs grupos de regras globais clássicos devem ter pelo menos uma regra

[WAF.8]AWS WAFAs ACLs web globais clássicas devem ter pelo menos uma regra ou grupo de regras

[WAF.10]AWS WAFas ACLs da web devem ter pelo menos uma regra ou grupo de regras

[WorkSpaces.1] os volumes WorkSpaces do usuário devem ser criptografados em repouso

[WorkSpaces.2] os volumes WorkSpaces raiz devem ser criptografados em repouso

[AppRunner.1] Os serviços do App Runner devem ser marcados

[AppRunner.2] Os conectores VPC do App Runner devem ser marcados

[AppSync.1]AWS AppSyncOs caches de API devem ser criptografados em repouso

[AppSync.6]AWS AppSyncOs caches de API devem ser criptografados em trânsito

[BedrockAgentCore.3] A AgentCore memória Bedrock deve ser criptografada e gerenciada pelo clienteAWS KMSkeys

[CloudFront.1] CloudFront as distribuições devem ter um objeto raiz padrão configurado

[CloudFront.3] CloudFront as distribuições devem exigir criptografia em trânsito

[CloudFront.4] CloudFront as distribuições devem ter o failover de origem configurado

[CloudFront.5] CloudFront as distribuições devem ter o registro ativado

[CloudFront.6] CloudFront as distribuições devem ter o WAF ativado

[CloudFront.7] CloudFront as distribuições devem usar certificados personalizados SSL/TLS

[CloudFront.8] CloudFront as distribuições devem usar o SNI para atender às solicitações HTTPS

[CloudFront.9] CloudFront as distribuições devem criptografar o tráfego para origens personalizadas

[CloudFront.10] CloudFront as distribuições não devem usar protocolos SSL obsoletos entre pontos de presença e origens personalizadas

[CloudFront.12] CloudFront as distribuições não devem apontar para origens inexistentes do S3

[CloudFront.13] CloudFront as distribuições devem usar o controle de acesso de origem

[CloudFront.14] CloudFront as distribuições devem ser marcadas

[CloudFront.15] CloudFront as distribuições devem usar a política de segurança TLS recomendada

[CloudFront.16] CloudFront as distribuições devem usar o controle de acesso de origem para origens de URL da função Lambda

[CloudFront.17] CloudFront as distribuições devem usar grupos de chaves confiáveis para URLs e cookies assinados

[CodeArtifact.1] CodeArtifact repositórios devem ser marcados

[CodeGuruProfiler.1] Os grupos CodeGuru de criação de perfil do Profiler devem ser marcados

[CodeGuruReviewer.1] As associações do repositório do CodeGuru revisor devem ser marcadas

[Cognito.2] Os grupos de identidades do Cognito não devem permitir identidades não autenticadas

[DynamoDB.3] Os clusters do DynamoDB Accelerator (DAX) devem ser criptografados em repouso

[DynamoDB.7] Os clusters do DynamoDB Accelerator devem ser criptografados em trânsito

[EC2.24] Os tipos de instância paravirtual do Amazon EC2 não devem ser usados

[EC2.173] Solicitações do EC2 Spot Fleet com parâmetros de inicialização devem habilitar a criptografia para volumes anexados do EBS

[EC2.180] As interfaces de rede EC2 devem ter a source/destination verificação ativada

[ECR.4] Os repositórios públicos do ECR devem ser marcados

[ELB.18] Os ouvintes do Application and Network Load Balancer devem usar protocolos seguros para criptografar dados em trânsito

[FraudDetector.1] Os tipos de entidade do Amazon Fraud Detector devem ser marcados

[FraudDetector.2] Os rótulos do Amazon Fraud Detector devem ser marcados

[FraudDetector.3] Os resultados do Amazon Fraud Detector devem ser marcados

[FraudDetector.4] As variáveis do Amazon Fraud Detector devem ser marcadas

[GlobalAccelerator.1] Os aceleradores do Global Accelerator devem ser marcados

[Glue.4]AWS GlueOs trabalhos do Spark devem ser executados em versões compatíveis doAWS Glue

[IAM.26] SSL/TLS Os certificados expirados gerenciados no IAM devem ser removidos

[Inspector.3] A digitalização de código do Amazon Inspector Lambda deve estar ativada

[IoTTwinMaker.4]AWSAs TwinMaker entidades de IoT devem ser marcadas

[IoTWireless.1]AWSOs grupos multicast do IoT Wireless devem ser marcados

[IoTWireless.2]AWSOs perfis de serviço IoT Wireless devem ser marcados

[IoTWireless.3]AWSAs tarefas IOT FUOTA devem ser marcadas

[Lambda.7] As funções Lambda devem terAWS X-Rayrastreamento ativo ativado

[RDS.31] Os grupos de segurança do RDS DB devem ser marcados

[Redshift.18] Os clusters do Redshift devem ter Multi-AZ implantações habilitadas

[Route53.1] As verificações de saúde do Route 53 devem ser marcadas

[Route53.2] As zonas hospedadas públicas do Route 53 devem registrar consultas de DNS

[S3.24] Os pontos de Multi-Region acesso S3 devem ter as configurações de bloqueio de acesso público ativadas

[S3.25] Os buckets de diretório S3 devem ter configurações de ciclo de vida

[SageMaker.19] SageMaker os modelos devem usar registro privado na VPC para pipelines de inferência de vários contêineres

[SSM.6] A automação SSM deve ter o CloudWatch registro ativado

[SSM.7] Os documentos SSM devem ter a configuração de bloqueio de compartilhamento público habilitada

[WAF.1]AWS WAFO registro clássico do Global Web ACL deve estar ativado

[WAF.6]AWS WAFAs regras globais clássicas devem ter pelo menos uma condição

[WAF.7]AWS WAFOs grupos de regras globais clássicos devem ter pelo menos uma regra

[WAF.8]AWS WAFAs ACLs web globais clássicas devem ter pelo menos uma regra ou grupo de regras

[AppSync.1]AWS AppSyncOs caches de API devem ser criptografados em repouso

[AppSync.6]AWS AppSyncOs caches de API devem ser criptografados em trânsito

[CloudFront.1] CloudFront as distribuições devem ter um objeto raiz padrão configurado

[CloudFront.3] CloudFront as distribuições devem exigir criptografia em trânsito

[CloudFront.4] CloudFront as distribuições devem ter o failover de origem configurado

[CloudFront.5] CloudFront as distribuições devem ter o registro ativado

[CloudFront.6] CloudFront as distribuições devem ter o WAF ativado

[CloudFront.7] CloudFront as distribuições devem usar certificados personalizados SSL/TLS

[CloudFront.8] CloudFront as distribuições devem usar o SNI para atender às solicitações HTTPS

[CloudFront.9] CloudFront as distribuições devem criptografar o tráfego para origens personalizadas

[CloudFront.10] CloudFront as distribuições não devem usar protocolos SSL obsoletos entre pontos de presença e origens personalizadas

[CloudFront.12] CloudFront as distribuições não devem apontar para origens inexistentes do S3

[CloudFront.13] CloudFront as distribuições devem usar o controle de acesso de origem

[CloudFront.14] CloudFront as distribuições devem ser marcadas

[CloudFront.15] CloudFront as distribuições devem usar a política de segurança TLS recomendada

[CloudFront.16] CloudFront as distribuições devem usar o controle de acesso de origem para origens de URL da função Lambda

[CloudFront.17] CloudFront as distribuições devem usar grupos de chaves confiáveis para URLs e cookies assinados

[EC2.173] Solicitações do EC2 Spot Fleet com parâmetros de inicialização devem habilitar a criptografia para volumes anexados do EBS

[ECR.4] Os repositórios públicos do ECR devem ser marcados

[GlobalAccelerator.1] Os aceleradores do Global Accelerator devem ser marcados

[IAM.26] SSL/TLS Os certificados expirados gerenciados no IAM devem ser removidos

[IoTWireless.1]AWSOs grupos multicast do IoT Wireless devem ser marcados

[IoTWireless.2]AWSOs perfis de serviço IoT Wireless devem ser marcados

[IoTWireless.3]AWSAs tarefas IOT FUOTA devem ser marcadas

[IVS.1] Os pares de teclas de reprodução do IVS devem ser marcados

[IVS.2] As configurações de gravação IVS devem ser marcadas

[IVS.3] Os canais IVS devem ser marcados

[Route53.1] As verificações de saúde do Route 53 devem ser marcadas

[Route53.2] As zonas hospedadas públicas do Route 53 devem registrar consultas de DNS

[S3.24] Os pontos de Multi-Region acesso S3 devem ter as configurações de bloqueio de acesso público ativadas

[S3.25] Os buckets de diretório S3 devem ter configurações de ciclo de vida

[WAF.1]AWS WAFO registro clássico do Global Web ACL deve estar ativado

[WAF.6]AWS WAFAs regras globais clássicas devem ter pelo menos uma condição

[WAF.7]AWS WAFOs grupos de regras globais clássicos devem ter pelo menos uma regra

[WAF.8]AWS WAFAs ACLs web globais clássicas devem ter pelo menos uma regra ou grupo de regras

[AppSync.1]AWS AppSyncOs caches de API devem ser criptografados em repouso

[AppSync.6]AWS AppSyncOs caches de API devem ser criptografados em trânsito

[CloudFront.1] CloudFront as distribuições devem ter um objeto raiz padrão configurado

[CloudFront.3] CloudFront as distribuições devem exigir criptografia em trânsito

[CloudFront.4] CloudFront as distribuições devem ter o failover de origem configurado

[CloudFront.5] CloudFront as distribuições devem ter o registro ativado

[CloudFront.6] CloudFront as distribuições devem ter o WAF ativado

[CloudFront.7] CloudFront as distribuições devem usar certificados personalizados SSL/TLS

[CloudFront.8] CloudFront as distribuições devem usar o SNI para atender às solicitações HTTPS

[CloudFront.9] CloudFront as distribuições devem criptografar o tráfego para origens personalizadas

[CloudFront.10] CloudFront as distribuições não devem usar protocolos SSL obsoletos entre pontos de presença e origens personalizadas

[CloudFront.12] CloudFront as distribuições não devem apontar para origens inexistentes do S3

[CloudFront.13] CloudFront as distribuições devem usar o controle de acesso de origem

[CloudFront.14] CloudFront as distribuições devem ser marcadas

[CloudFront.15] CloudFront as distribuições devem usar a política de segurança TLS recomendada

[CloudFront.16] CloudFront as distribuições devem usar o controle de acesso de origem para origens de URL da função Lambda

[CloudFront.17] CloudFront as distribuições devem usar grupos de chaves confiáveis para URLs e cookies assinados

[EC2.173] Solicitações do EC2 Spot Fleet com parâmetros de inicialização devem habilitar a criptografia para volumes anexados do EBS

[ECR.4] Os repositórios públicos do ECR devem ser marcados

[GlobalAccelerator.1] Os aceleradores do Global Accelerator devem ser marcados

[IAM.26] SSL/TLS Os certificados expirados gerenciados no IAM devem ser removidos

[IVS.1] Os pares de teclas de reprodução do IVS devem ser marcados

[IVS.2] As configurações de gravação IVS devem ser marcadas

[IVS.3] Os canais IVS devem ser marcados

[Route53.1] As verificações de saúde do Route 53 devem ser marcadas

[Route53.2] As zonas hospedadas públicas do Route 53 devem registrar consultas de DNS

[S3.24] Os pontos de Multi-Region acesso S3 devem ter as configurações de bloqueio de acesso público ativadas

[S3.25] Os buckets de diretório S3 devem ter configurações de ciclo de vida

[WAF.1]AWS WAFO registro clássico do Global Web ACL deve estar ativado

[WAF.6]AWS WAFAs regras globais clássicas devem ter pelo menos uma condição

[WAF.7]AWS WAFOs grupos de regras globais clássicos devem ter pelo menos uma regra

[WAF.8]AWS WAFAs ACLs web globais clássicas devem ter pelo menos uma regra ou grupo de regras

[ACM.1] Importado e ACM-issued os certificados devem ser renovados após um período de tempo especificado

[ACM.2] Os certificados RSA gerenciados pelo ACM devem usar um comprimento de chave de pelo menos 2.048 bits

[ACM.3] Os certificados ACM devem ser marcados

[Account.1] As informações de contato de segurança devem ser fornecidas para umConta da AWS

[Account.2]Contas da AWSdeve fazer parte de umAWS Organizationsorganização

[APIGateway.1] O REST do API Gateway e o registro de execução WebSocket da API devem estar habilitados

[APIGateway.2] Os estágios da API Gateway REST da API devem ser configurados para usar certificados SSL para autenticação de back-end

[APIGateway.3] Os estágios da API Gateway REST da API devem terAWS X-Rayrastreamento ativado

[APIGateway.4] O API Gateway deve ser associado a uma WAF Web ACL

[APIGateway.5] API Gateway REST Os dados do cache da API devem ser criptografados em repouso

[APIGateway.8] As rotas do API Gateway devem especificar um tipo de autorização

[APIGateway.9] O registro de acesso deve ser configurado para os estágios do API Gateway V2

[APIGateway.10] As integrações do API Gateway V2 devem usar HTTPS para conexões privadas

[APIGateway.11] Os nomes de domínio do API Gateway devem usar as políticas de segurança recomendadas

[Amplify.1] Os aplicativos Amplify devem ser marcados

[Amplify.2] As ramificações do Amplify devem ser marcadas

[AppConfig.1]AWS AppConfigos aplicativos devem ser marcados

[AppConfig.2]AWS AppConfigperfis de configuração devem ser marcados

[AppConfig.3]AWS AppConfigambientes devem ser marcados

[AppConfig.4]AWS AppConfigassociações de extensão devem ser marcadas

[AppFlow.1] Os AppFlow fluxos da Amazon devem ser marcados

[AppRunner.1] Os serviços do App Runner devem ser marcados

[AppRunner.2] Os conectores VPC do App Runner devem ser marcados

[AppSync.1]AWS AppSyncOs caches de API devem ser criptografados em repouso

[AppSync.2]AWS AppSyncdeve ter o registro em nível de campo ativado

[AppSync.4]AWS AppSyncAs APIs do GraphQL devem ser marcadas

[AppSync.5]AWS AppSyncAs APIs do GraphQL não devem ser autenticadas com chaves de API

[AppSync.6]AWS AppSyncOs caches de API devem ser criptografados em trânsito

[Athena.2] Os catálogos de dados do Athena devem ser marcados

[Athena.3] Os grupos de trabalho do Athena devem ser marcados

[Athena.4] Os grupos de trabalho do Athena devem ter o registro ativado

[AutoScaling.1] Grupos de Auto Scaling associados a um balanceador de carga devem usar verificações de integridade do ELB

[AutoScaling.2] O grupo Amazon EC2 Auto Scaling deve abranger várias zonas de disponibilidade

[AutoScaling.3] As configurações de lançamento de grupos do Auto Scaling devem configurar as instâncias do EC2 para exigir o Instance Metadata Service Version 2 (IMDSv2)

[AutoScaling.6] Os grupos de Auto Scaling devem usar vários tipos de instância em várias zonas de disponibilidade

[AutoScaling.9] Os grupos do Amazon EC2 Auto Scaling devem usar os modelos de lançamento do Amazon EC2

[AutoScaling.10] Os grupos do EC2 Auto Scaling devem ser marcados

[Autoscaling.5] As instâncias do Amazon EC2 lançadas usando as configurações de execução em grupo do Auto Scaling não devem ter endereços IP públicos

[Backup.1]AWS Backupos pontos de recuperação devem ser criptografados em repouso

[Backup.2]AWS Backupos pontos de recuperação devem ser marcados

[Backup.3]AWS Backupcofres devem ser marcados

[Backup.4]AWS Backupos planos de relatórios devem ser marcados

[Backup.5]AWS Backupplanos de backup devem ser marcados

[Batch.1] As filas de trabalhos em lote devem ser marcadas

[Batch.2] As políticas de agendamento em lote devem ser marcadas

[Batch.3] Ambientes de computação em lote devem ser marcados

[Batch.4] As propriedades dos recursos computacionais em ambientes de computação gerenciados em Batch devem ser marcadas

[BedrockAgentCore.1] Os AgentCore tempos de execução do Bedrock devem ser configurados com o modo de rede VPC

[BedrockAgentCore.2] Os Bedrock AgentCore Gateways devem exigir autorização para solicitações de entrada

[BedrockAgentCore.3] A AgentCore memória Bedrock deve ser criptografada e gerenciada pelo clienteAWS KMSkeys

[BedrockAgentCore.4] O Bedrock AgentCore Gateway deve ser criptografado com gerenciamento de clientesAWS KMSkeys

[BedrockAgentCore.5] Os navegadores AgentCore personalizados Bedrock não devem usar o modo de rede pública

[BedrockAgentCore.6] Os navegadores AgentCore personalizados do Bedrock devem ter a gravação de sessão ativada

[CloudFormation.2] as CloudFormation pilhas devem ser marcadas

[CloudFormation.3] CloudFormation as pilhas devem ter a proteção de encerramento ativada

[CloudFormation.4] CloudFormation as pilhas devem ter funções de serviço associadas

[CloudFront.1] CloudFront as distribuições devem ter um objeto raiz padrão configurado

[CloudFront.3] CloudFront as distribuições devem exigir criptografia em trânsito

[CloudFront.4] CloudFront as distribuições devem ter o failover de origem configurado

[CloudFront.5] CloudFront as distribuições devem ter o registro ativado

[CloudFront.6] CloudFront as distribuições devem ter o WAF ativado

[CloudFront.7] CloudFront as distribuições devem usar certificados personalizados SSL/TLS

[CloudFront.8] CloudFront as distribuições devem usar o SNI para atender às solicitações HTTPS

[CloudFront.9] CloudFront as distribuições devem criptografar o tráfego para origens personalizadas

[CloudFront.10] CloudFront as distribuições não devem usar protocolos SSL obsoletos entre pontos de presença e origens personalizadas

[CloudFront.12] CloudFront as distribuições não devem apontar para origens inexistentes do S3

[CloudFront.13] CloudFront as distribuições devem usar o controle de acesso de origem

[CloudFront.14] CloudFront as distribuições devem ser marcadas

[CloudFront.15] CloudFront as distribuições devem usar a política de segurança TLS recomendada

[CloudFront.16] CloudFront as distribuições devem usar o controle de acesso de origem para origens de URL da função Lambda

[CloudFront.17] CloudFront as distribuições devem usar grupos de chaves confiáveis para URLs e cookies assinados

[CloudTrail.6] Certifique-se de que o bucket S3 usado para armazenar CloudTrail registros não esteja acessível publicamente

[CloudTrail.7] Certifique-se de que o registro de acesso ao bucket do S3 esteja ativado no bucket do CloudTrail S3

[CloudTrail.9] CloudTrail trilhas devem ser marcadas

[CloudTrail.10] Os armazenamentos de dados de eventos do CloudTrail Lake devem ser criptografados com gerenciamento de clientesAWS KMS keys

[CloudWatch.17] ações CloudWatch de alarme devem ser ativadas

[CodeArtifact.1] CodeArtifact repositórios devem ser marcados

[CodeBuild.1] Os URLs do repositório CodeBuild de origem do Bitbucket não devem conter credenciais confidenciais

[CodeBuild.2] as variáveis de ambiente CodeBuild do projeto não devem conter credenciais de texto não criptografado

[CodeBuild.3] CodeBuild Os registros do S3 devem ser criptografados

[CodeBuild.4] os ambientes CodeBuild do projeto devem ter um registroAWS Configduração

[CodeBuild.7] as exportações CodeBuild do grupo de relatórios devem ser criptografadas em repouso

[CodeGuruProfiler.1] Os grupos CodeGuru de criação de perfil do Profiler devem ser marcados

[CodeGuruReviewer.1] As associações do repositório do CodeGuru revisor devem ser marcadas

[Cognito.1] Os grupos de usuários do Cognito devem ter a proteção contra ameaças ativada com o modo de fiscalização de funções completas para autenticação padrão

[Cognito.2] Os grupos de identidades do Cognito não devem permitir identidades não autenticadas

[Cognito.3] As políticas de senha para grupos de usuários do Cognito devem ter configurações fortes

[Cognito.4] Os grupos de usuários do Cognito devem ter a proteção contra ameaças ativada com o modo de fiscalização de funções completas para autenticação personalizada

[Cognito.5] O MFA deve ser habilitado para grupos de usuários do Cognito

[Cognito.6] Os grupos de usuários do Cognito devem ter a proteção de exclusão ativada

[Connect.1] Os tipos de objetos do Amazon Connect Customer Profiles devem ser marcados

[Connect.2] As instâncias do Connect Customer devem ter o CloudWatch registro ativado

[DataFirehose.1] Os fluxos de entrega do Firehose devem ser criptografados em repouso

[DataSync.1] DataSync as tarefas devem ter o registro ativado

[DataSync.2] DataSync as tarefas devem ser marcadas

[Detective.1] Os gráficos de comportamento do Detective devem ser marcados

[DMS.1] As instâncias de replicação do Database Migration Service não devem ser públicas

[DMS.2] Os certificados DMS devem ser marcados

[DMS.3] As assinaturas de eventos do DMS devem ser marcadas

[DMS.4] As instâncias de replicação do DMS devem ser marcadas

[DMS.5] Os grupos de sub-redes de replicação do DMS devem ser marcados

[DMS.6] As instâncias de replicação do DMS devem ter a atualização automática de versões secundárias ativada

[DMS.7] As tarefas de replicação do DMS para o banco de dados de destino devem ter o registro ativado

[DMS.8] As tarefas de replicação do DMS para o banco de dados de origem devem ter o registro ativado

[DMS.9] Os endpoints do DMS devem usar SSL

[DMS.10] Os endpoints do DMS para bancos de dados Neptune devem ter a autorização do IAM habilitada

[DMS.11] Os endpoints DMS para MongoDB devem ter um mecanismo de autenticação habilitado

[DMS.12] Os endpoints DMS para Redis OSS devem ter o TLS habilitado

[DMS.13] As instâncias de replicação do DMS devem ser configuradas para usar várias zonas de disponibilidade

[DocumentDB.1] Os clusters do Amazon DocumentDB devem ser criptografados em repouso

[DocumentDB.2] Os clusters do Amazon DocumentDB devem ter um período de retenção de backup adequado

[DocumentDB.3] Os snapshots manuais do cluster do Amazon DocumentDB não devem ser públicos

[DocumentDB.4] Os clusters do Amazon DocumentDB devem publicar registros de auditoria no Logs CloudWatch

[DocumentDB.5] Os clusters do Amazon DocumentDB devem ter a proteção contra exclusão ativada

[DocumentDB.6] Os clusters do Amazon DocumentDB devem ser criptografados em trânsito

[DynamoDB.3] Os clusters do DynamoDB Accelerator (DAX) devem ser criptografados em repouso

[DynamoDB.4] As tabelas do DynamoDB devem estar presentes em um plano de backup

[DynamoDB.5] As tabelas do DynamoDB devem ser marcadas

[DynamoDB.6] As tabelas do DynamoDB devem ter a proteção de exclusão ativada

[DynamoDB.7] Os clusters do DynamoDB Accelerator devem ser criptografados em trânsito

[EC2.4] As instâncias EC2 interrompidas devem ser removidas após um período de tempo especificado

[EC2.10] O Amazon EC2 deve ser configurado para usar endpoints VPC criados para o serviço Amazon EC2

[EC2.19] Grupos de segurança não devem permitir acesso irrestrito a portas com alto risco

[EC2.21] As ACLs de rede não devem permitir a entrada a partir de 0.0.0. 0/0 para a porta 22 ou porta 3389

[EC2.22] Grupos de segurança não utilizados do Amazon EC2 devem ser removidos

[EC2.23] Os Amazon EC2 Transit Gateways não devem aceitar automaticamente solicitações de anexos de VPC

[EC2.24] Os tipos de instância paravirtual do Amazon EC2 não devem ser usados

[EC2.25] Os modelos de lançamento do Amazon EC2 não devem atribuir IPs públicos às interfaces de rede

[EC2.28] Os volumes do EBS devem ser cobertos por um plano de backup

[EC2.33] Os anexos do EC2 Transit Gateway devem ser marcados

[EC2.34] As tabelas de rotas do gateway de trânsito EC2 devem ser marcadas

[EC2.35] As interfaces de rede EC2 devem ser marcadas

[EC2.36] Os gateways de clientes do EC2 devem ser marcados

[EC2.37] Os endereços IP elásticos do EC2 devem ser marcados

[EC2.38] As instâncias do EC2 devem ser marcadas

[EC2.39] Os gateways de internet EC2 devem ser marcados

[EC2.40] Os gateways NAT do EC2 devem ser marcados

[EC2.41] As ACLs de rede EC2 devem ser marcadas

[EC2.42] As tabelas de rotas do EC2 devem ser marcadas

[EC2.43] Os grupos de segurança do EC2 devem ser marcados

[EC2.44] As sub-redes do EC2 devem ser marcadas

[EC2.45] Os volumes do EC2 devem ser marcados

[EC2.46] As Amazon VPCs devem ser marcadas

[EC2.47] Os serviços de endpoint do Amazon VPC devem ser marcados

[EC2.48] Os registros de fluxo da Amazon VPC devem ser marcados

[EC2.49] As conexões de emparelhamento da Amazon VPC devem ser marcadas

[EC2.50] Os gateways EC2 VPN devem ser marcados

[EC2.51] Os endpoints do EC2 Client VPN devem ter o registro de conexão do cliente ativado

[EC2.52] Os gateways de trânsito do EC2 devem ser marcados

[EC2.53] Os grupos de segurança do EC2 não devem permitir a entrada a partir de 0.0.0. 0/0 às portas de administração remota do servidor

[EC2.54] Os grupos de segurança do EC2 não devem permitir a entrada de: :/0 nas portas de administração do servidor remoto

[EC2.55] As VPCs devem ser configuradas com um endpoint de interface para a API ECR

[EC2.56] As VPCs devem ser configuradas com um endpoint de interface para o Docker Registry

[EC2.57] As VPCs devem ser configuradas com um endpoint de interface para Systems Manager

[EC2.58] As VPCs devem ser configuradas com um endpoint de interface para os contatos do Systems Manager Incident Manager

[EC2.60] As VPCs devem ser configuradas com um endpoint de interface para o Systems Manager Incident Manager

[EC2.170] Os modelos de lançamento do EC2 devem usar o Instance Metadata Service Version 2 (IMDSv2)

[EC2.171] As conexões EC2 VPN devem ter o registro ativado

[EC2.172] As configurações do EC2 VPC Block Public Access devem bloquear o tráfego do gateway de internet

[EC2.173] Solicitações do EC2 Spot Fleet com parâmetros de inicialização devem habilitar a criptografia para volumes anexados do EBS

[EC2.174] Os conjuntos de opções DHCP do EC2 devem ser marcados

[EC2.175] Os modelos de lançamento do EC2 devem ser marcados

[EC2.176] As listas de prefixos do EC2 devem ser marcadas

[EC2.177] As sessões de espelhamento de tráfego do EC2 devem ser marcadas

[EC2.178] Os filtros de espelhos de tráfego do EC2 devem ser marcados

[EC2.179] Os alvos do espelho de tráfego do EC2 devem ser marcados

[EC2.180] As interfaces de rede EC2 devem ter a source/destination verificação ativada

[EC2.181] Os modelos de lançamento do EC2 devem permitir a criptografia para volumes anexados do EBS

[EC2.182] As configurações de bloqueio de acesso público devem ser habilitadas para snapshots do Amazon EBS

[EC2.183] As conexões VPN EC2 devem usar o protocolo IKEv2

[ECR.1] Os repositórios privados do ECR devem ter a digitalização de imagens configurada

[ECR.2] Os repositórios privados do ECR devem ter a imutabilidade da tag configurada

[ECR.3] Os repositórios ECR devem ter pelo menos uma política de ciclo de vida configurada

[ECR.4] Os repositórios públicos do ECR devem ser marcados

[ECR.5] Os repositórios ECR devem ser criptografados com gerenciamento de clientesAWS KMS keys

[ECS.2] Os serviços do ECS não devem ter endereços IP públicos atribuídos a eles automaticamente

[ECS.3] As definições de tarefas do ECS não devem compartilhar o namespace do processo do host

[ECS.4] Os contêineres ECS devem ser executados sem privilégios

[ECS.5] As definições de tarefas do ECS devem configurar os contêineres para serem limitados ao acesso somente de leitura aos sistemas de arquivos raiz

[ECS.8] Os segredos não devem ser passados como variáveis de ambiente do contêiner

[ECS.9] As definições de tarefas do ECS devem ter uma configuração de registro

[ECS.10] Os serviços ECS Fargate devem ser executados na versão mais recente da plataforma Fargate

[ECS.12] Os clusters do ECS devem usar o Container Insights

[ECS.13] Os serviços do ECS devem ser marcados

[ECS.14] Os clusters do ECS devem ser marcados

[ECS.15] As definições de tarefas do ECS devem ser marcadas

[ECS.16] Os conjuntos de tarefas do ECS não devem atribuir automaticamente endereços IP públicos

[ECS.17] As definições de tarefas do ECS não devem usar o modo de rede host

[ECS.18] As definições de tarefas do ECS devem usar criptografia em trânsito para volumes EFS

[ECS.19] Os provedores de capacidade do ECS devem ter a proteção gerenciada de terminação ativada

[ECS.20] As definições de tarefas do ECS devem configurar usuários não raiz nas definições de contêiner Linux

[ECS.21] As definições de tarefas do ECS devem configurar usuários não administradores nas definições de contêiner do Windows

[EFS.1] O Elastic File System deve ser configurado para criptografar dados de arquivos em repouso usandoAWS KMS

[EFS.2] Os volumes do Amazon EFS devem estar em planos de backup

[EFS.3] Os pontos de acesso do EFS devem impor um diretório raiz

[EFS.4] Os pontos de acesso do EFS devem impor uma identidade de usuário

[EFS.5] Os pontos de acesso do EFS devem ser marcados

[EFS.6] Os destinos de montagem do EFS não devem ser associados a sub-redes que atribuem endereços IP públicos na inicialização

[EFS.7] Os sistemas de arquivos EFS devem ter backups automáticos habilitados

[EFS.8] Os sistemas de arquivos EFS devem ser criptografados em repouso

[EKS.1] Os endpoints do cluster EKS não devem ser acessíveis ao público

[EKS.2] Os clusters EKS devem ser executados em uma versão compatível do Kubernetes

[EKS.3] Os clusters EKS devem usar segredos criptografados do Kubernetes

[EKS.6] Os clusters EKS devem ser marcados

[EKS.7] As configurações do provedor de identidade EKS devem ser marcadas

[EKS.8] Os clusters EKS devem ter o registro de auditoria ativado

[EKS.9] Os grupos de nós do EKS devem ser executados em uma versão compatível do Kubernetes

[ELB.2] Os balanceadores de carga clássicos com SSL/HTTPS ouvintes devem usar um certificado fornecido porGerenciador de certificados da AWS

[ELB.3] Os ouvintes do Classic Load Balancer devem ser configurados com terminação HTTPS ou TLS

[ELB.7] Os balanceadores de carga clássicos devem ter a drenagem de conexão ativada

[ELB.8] Os balanceadores de carga clássicos com ouvintes SSL devem usar uma política de segurança predefinida que seja forteAWS Configduração

[ELB.10] O Classic Load Balancer deve abranger várias zonas de disponibilidade

[ELB.12] O Application Load Balancer deve ser configurado com o modo de mitigação de dessincronização defensivo ou mais rigoroso

[ELB.13] Os balanceadores de carga de aplicativos, redes e gateways devem abranger várias zonas de disponibilidade

[ELB.14] O Classic Load Balancer deve ser configurado com o modo de mitigação de dessincronização defensivo ou mais rigoroso

[ELB.16] Os balanceadores de carga de aplicativos devem ser associados a umAWS WAFweb ACL

[ELB.17] Os balanceadores de carga de aplicativos e redes com ouvintes devem usar as políticas de segurança recomendadas

[ELB.18] Os ouvintes do Application and Network Load Balancer devem usar protocolos seguros para criptografar dados em trânsito

[ELB.21] Os grupos-alvo do Application and Network Load Balancer devem usar protocolos de verificação de integridade criptografados

[ELB.22] Os grupos-alvo do ELB devem usar protocolos de transporte criptografados

[ElastiCache.1] Os clusters ElastiCache (Redis OSS) devem ter backups automáticos habilitados

[ElastiCache.2] ElastiCache os clusters devem ter atualizações automáticas de versões secundárias habilitadas

[ElastiCache.3] os grupos ElastiCache de replicação devem ter o failover automático ativado

[ElastiCache.4] os grupos ElastiCache de replicação devem ser criptografados em repouso

[ElastiCache.5] os grupos ElastiCache de replicação devem ser criptografados em trânsito

[ElastiCache.6] ElastiCache (Redis OSS) grupos de replicação de versões anteriores devem ter o Redis OSS AUTH ativado

[ElastiCache.7] ElastiCache os clusters não devem usar o grupo de sub-rede padrão

[ElasticBeanstalk.1] Os ambientes do Elastic Beanstalk devem ter os relatórios de saúde aprimorados habilitados

[ElasticBeanstalk.2] As atualizações da plataforma gerenciada do Elastic Beanstalk devem estar habilitadas

[ElasticBeanstalk.3] O Elastic Beanstalk deve transmitir registros para CloudWatch

[EMR.1] Os nós primários do cluster Amazon EMR não devem ter endereços IP públicos

[EMR.2] A configuração de bloqueio de acesso público do Amazon EMR deve estar ativada

[EMR.3] As configurações de segurança do Amazon EMR devem ser criptografadas em repouso

[EMR.4] As configurações de segurança do Amazon EMR devem ser criptografadas em trânsito

[ES.1] Os domínios do Elasticsearch devem ter a criptografia em repouso habilitada

[ES.2] Os domínios do Elasticsearch não devem ser acessíveis ao público

[ES.3] Os domínios do Elasticsearch devem criptografar os dados enviados entre os nós

[ES.4] O registro de erros do domínio Elasticsearch CloudWatch nos registros deve estar ativado

[ES.5] Os domínios do Elasticsearch devem ter o registro de auditoria ativado

[ES.6] Os domínios do Elasticsearch devem ter pelo menos três nós de dados

[ES.7] Os domínios do Elasticsearch devem ser configurados com pelo menos três nós principais dedicados

[ES.8] As conexões com os domínios do Elasticsearch devem ser criptografadas usando a política de segurança TLS mais recente

[ES.9] Os domínios do Elasticsearch devem ser marcados

[EventBridge.2] ônibus de EventBridge eventos devem ser etiquetados

[EventBridge.3] os ônibus de eventos EventBridge personalizados devem ter uma política baseada em recursos anexada

[EventBridge.4] endpoints EventBridge globais devem ter a replicação de eventos ativada

[FraudDetector.1] Os tipos de entidade do Amazon Fraud Detector devem ser marcados

[FraudDetector.2] Os rótulos do Amazon Fraud Detector devem ser marcados

[FraudDetector.3] Os resultados do Amazon Fraud Detector devem ser marcados

[FraudDetector.4] As variáveis do Amazon Fraud Detector devem ser marcadas

[FSx.1] O FSx para sistemas de arquivos OpenZFS deve ser configurado para copiar tags para backups e volumes

[FSx.2] Os sistemas de arquivos FSx for Lustre devem ser configurados para copiar tags para backups

[FSx.3] FSx para sistemas de arquivos OpenZFS devem ser configurados para implantação Multi-AZ

[FSx.4] O FSx para sistemas de arquivos NetApp ONTAP deve ser configurado para implantação Multi-AZ

[FSx.5] Os sistemas de arquivos FSx for Windows File Server devem ser configurados Multi-AZ para implantação

[GlobalAccelerator.1] Os aceleradores do Global Accelerator devem ser marcados

[Glue.1]AWS Glueos trabalhos devem ser marcados

[Glue.3]AWS Glueas transformações de aprendizado de máquina devem ser criptografadas em repouso

[Glue.4]AWS GlueOs trabalhos do Spark devem ser executados em versões compatíveis doAWS Glue

[GuardDuty.1] GuardDuty deve ser habilitado

[GuardDuty.2] GuardDuty os filtros devem ser marcados

[GuardDuty.3] Os GuardDuty IPsets devem ser marcados

[GuardDuty.4] GuardDuty os detectores devem ser marcados

[GuardDuty.5] O monitoramento do registro de auditoria do GuardDuty EKS deve estar ativado

[GuardDuty.6] A Proteção GuardDuty Lambda deve estar ativada

[GuardDuty.7] O monitoramento de tempo de execução do GuardDuty EKS deve estar ativado

[GuardDuty.8] A proteção contra GuardDuty malware para EC2 deve estar ativada

[GuardDuty.9] A proteção GuardDuty do RDS deve estar ativada

[GuardDuty.10] A proteção GuardDuty S3 deve estar ativada

[GuardDuty.11] O monitoramento GuardDuty do tempo de execução deve estar ativado

[GuardDuty.12] O monitoramento de tempo GuardDuty de execução do ECS deve estar ativado

[GuardDuty.13] O monitoramento de tempo de execução do GuardDuty EC2 deve estar ativado

[IAM.1] As políticas do IAM não devem permitir privilégios administrativos “*” completos

[IAM.2] Os usuários do IAM não devem ter políticas do IAM anexadas

[IAM.3] As chaves de acesso dos usuários do IAM devem ser trocadas a cada 90 dias ou menos

[IAM.4] A chave de acesso do usuário raiz do IAM não deve existir

[IAM.5] O MFA deve ser habilitado para todos os usuários do IAM que tenham uma senha de console

[IAM.6] O MFA de hardware deve estar habilitado para o usuário root

[IAM.7] As políticas de senha para usuários do IAM devem ter configurações fortes

[IAM.8] As credenciais de usuário do IAM não utilizadas devem ser removidas

[IAM.9] O MFA deve estar habilitado para o usuário root

[IAM.10] As políticas de senha para usuários do IAM devem ter configurações fortes

[IAM.11] Certifique-se de que a política de senha do IAM exija pelo menos uma letra maiúscula

[IAM.12] Certifique-se de que a política de senha do IAM exija pelo menos uma letra minúscula

[IAM.13] Certifique-se de que a política de senha do IAM exija pelo menos um símbolo

[IAM.14] Certifique-se de que a política de senha do IAM exija pelo menos um número

[IAM.15] Certifique-se de que a política de senha do IAM exija um tamanho mínimo de senha de 14 ou mais

[IAM.16] Certifique-se de que a política de senha do IAM evite a reutilização de senhas

[IAM.17] Certifique-se de que a política de senhas do IAM expire as senhas em 90 dias ou menos

[IAM.18] Certifique-se de que uma função de suporte tenha sido criada para gerenciar incidentes comAWS Support

[IAM.19] O MFA deve estar habilitado para todos os usuários do IAM

[IAM.21] As políticas gerenciadas pelo cliente do IAM que você cria não devem permitir ações curinga para serviços

[IAM.22] As credenciais de usuário do IAM não usadas por 45 dias devem ser removidas

[IAM.23] Os analisadores do IAM Access Analyzer devem ser marcados

[IAM.24] As funções do IAM devem ser marcadas

[IAM.25] Os usuários do IAM devem ser marcados

[IAM.26] SSL/TLS Os certificados expirados gerenciados no IAM devem ser removidos

[IAM.27] As identidades do IAM não devem ter a AWSCloudShellFullAccess política anexada

[IAM.28] O analisador de acesso externo do IAM Access Analyzer deve estar ativado

[Inspector.1] A digitalização do Amazon Inspector EC2 deve estar ativada

[Inspector.2] O escaneamento ECR do Amazon Inspector deve estar ativado

[Inspector.3] A digitalização de código do Amazon Inspector Lambda deve estar ativada

[Inspector.4] O escaneamento padrão do Amazon Inspector Lambda deve estar ativado

[IoT.1]AWS IoT Device Defenderperfis de segurança devem ser marcados

[IoT.2]AWS IoT Coreações de mitigação devem ser marcadas

[IoT.3]AWS IoT Coreas dimensões devem ser marcadas

[IoT.4]AWS IoT Coreos autorizadores devem ser marcados

[IoT.5]AWS IoT Corealiases de função devem ser marcados

[IoT.6]AWS IoT Coreas políticas devem ser marcadas

[IoTEvents.1]AWSAs entradas do IoT Events devem ser marcadas

[IoTEvents.2]AWSOs modelos de detectores de eventos da IoT devem ser marcados

[IoTEvents.3]AWSOs modelos de alarme do IoT Events devem ser marcados

[IoTSiteWise.1]AWSOs modelos de SiteWise ativos de IoT devem ser marcados

[IoTSiteWise.2]AWSOs SiteWise painéis de IoT devem ser marcados

[IoTSiteWise.3]AWSOs SiteWise gateways de IoT devem ser marcados

[IoTSiteWise.4]AWS SiteWise Portais de IoT devem ser marcados

[IoTSiteWise.5]AWS SiteWise Projetos de IoT devem ser marcados

[IoTTwinMaker.1]AWSOs trabalhos de TwinMaker sincronização de IoT devem ser marcados

[IoTTwinMaker.2]AWSOs TwinMaker espaços de trabalho de IoT devem ser marcados

[IoTTwinMaker.3]AWSAs TwinMaker cenas de IoT devem ser marcadas

[IoTTwinMaker.4]AWSAs TwinMaker entidades de IoT devem ser marcadas

[IoTWireless.1]AWSOs grupos multicast do IoT Wireless devem ser marcados

[IoTWireless.2]AWSOs perfis de serviço IoT Wireless devem ser marcados

[IoTWireless.3]AWSAs tarefas IOT FUOTA devem ser marcadas

[IVS.1] Os pares de teclas de reprodução do IVS devem ser marcados

[IVS.2] As configurações de gravação IVS devem ser marcadas

[IVS.3] Os canais IVS devem ser marcados

[Keyspaces.1] Os keyspaces do Amazon Keyspaces devem ser marcados

[Kinesis.1] Os streams do Kinesis devem ser criptografados em repouso

[Kinesis.2] Os streams do Kinesis devem ser marcados

[Kinesis.3] Os Kinesis Streams devem ter um período de retenção de dados adequado

[KMS.1] As políticas gerenciadas pelo cliente do IAM não devem permitir ações de descriptografia em todas as chaves do KMS

[KMS.2] Os diretores do IAM não devem ter políticas embutidas do IAM que permitam ações de descriptografia em todas as chaves do KMS

[KMS.3]AWS KMS keysnão deve ser excluído acidentalmente

[KMS.5] As chaves KMS não devem estar acessíveis ao público

[Lambda.5] As funções VPC Lambda devem operar em várias zonas de disponibilidade

[Lambda.6] As funções Lambda devem ser marcadas

[Lambda.7] As funções Lambda devem terAWS X-Rayrastreamento ativo ativado

[Macie.1] O Amazon Macie deve estar ativado

[Macie.2] A descoberta automatizada de dados confidenciais do Macie deve ser ativada

[MQ.2] Os corretores do ActiveMQ devem transmitir os registros de auditoria para CloudWatch

[MQ.4] Os corretores do Amazon MQ devem ser marcados

[MQ.5] Os corretores ActiveMQ devem usar o modo de implantação active/standby

[MQ.6] Os corretores do RabbitMQ devem usar o modo de implantação de cluster

[MSK.1] Os clusters MSK devem ser criptografados em trânsito entre os nós do broker

[MSK.2] Os clusters MSK devem ter um monitoramento aprimorado configurado

[MSK.3] Os conectores MSK Connect devem ser criptografados em trânsito

[MSK.4] Os clusters MSK devem ter o acesso público desativado

[MSK.5] Os conectores MSK devem ter o registro ativado

[MSK.6] Os clusters MSK devem desativar o acesso não autenticado

[Neptune.1] Os clusters de banco de dados Neptune devem ser criptografados em repouso

[Neptune.2] Os clusters de banco de dados Neptune devem publicar registros de auditoria no Logs CloudWatch

[Neptune.3] Os instantâneos do cluster de banco de dados Neptune não devem ser públicos

[Neptune.4] Os clusters de banco de dados Neptune devem ter a proteção contra exclusão ativada

[Neptune.5] Os clusters de banco de dados Neptune devem ter backups automatizados habilitados

[Neptune.6] Os instantâneos do cluster de banco de dados Neptune devem ser criptografados em repouso

[Neptune.7] Os clusters de banco de dados Neptune devem ter a autenticação de banco de dados do IAM habilitada

[Neptune.8] Os clusters de banco de dados Neptune devem ser configurados para copiar tags para instantâneos

[Neptune.9] Os clusters de banco de dados Neptune devem ser implantados em várias zonas de disponibilidade

[NetworkFirewall.1] Os firewalls do Network Firewall devem ser implantados em várias zonas de disponibilidade

[NetworkFirewall.2] O registro do Firewall de Rede deve estar ativado

[NetworkFirewall.3] As políticas de Firewall de Rede devem ter pelo menos um grupo de regras associado

[NetworkFirewall.4] A ação sem estado padrão para políticas de Firewall de Rede deve ser descartar ou encaminhar pacotes completos

[NetworkFirewall.5] A ação sem estado padrão para políticas de Firewall de Rede deve ser descartar ou encaminhar para pacotes fragmentados

[NetworkFirewall.6] O grupo de regras do Stateless Network Firewall não deve estar vazio

[NetworkFirewall.7] Os firewalls do Network Firewall devem ser marcados

[NetworkFirewall.8] As políticas de firewall do Network Firewall devem ser marcadas

[NetworkFirewall.9] Os firewalls do Network Firewall devem ter a proteção contra exclusão ativada

[NetworkFirewall.10] Os firewalls do Firewall de Rede devem ter a proteção contra alterações de sub-rede ativada

[Opensearch.1] os OpenSearch domínios devem ter a criptografia em repouso ativada

[Opensearch.2] os OpenSearch domínios não devem ser acessíveis ao público

[Opensearch.3] os OpenSearch domínios devem criptografar os dados enviados entre os nós

[Opensearch.4] OpenSearch o registro de erros de domínio CloudWatch nos registros deve estar ativado

[Opensearch.5] os OpenSearch domínios devem ter o registro de auditoria ativado

[Opensearch.6] os OpenSearch domínios devem ter pelo menos três nós de dados

[Opensearch.7] os OpenSearch domínios devem ter um controle de acesso refinado ativado

[Opensearch.8] As conexões com OpenSearch domínios devem ser criptografadas usando a política de segurança TLS mais recente

[Opensearch.9] os OpenSearch domínios devem ser marcados

[Opensearch.10] os OpenSearch domínios devem ter a atualização de software mais recente instalada

[Opensearch.11] os OpenSearch domínios devem ter pelo menos três nós primários dedicados

[PCA.1]CA privada da AWSa autoridade de certificação raiz deve ser desativada

[PCA.2]AWSAs autoridades certificadoras privadas da CA devem ser marcadas

[RDS.14] Os clusters do Amazon Aurora devem ter o retrocesso ativado

[RDS.16] Os clusters de banco de dados Aurora devem ser configurados para copiar tags para DB snapshots

[RDS.17] As instâncias de banco de dados do RDS devem ser configuradas para copiar tags para instantâneos

[RDS.19] As assinaturas existentes de notificação de eventos do RDS devem ser configuradas para eventos críticos de cluster

[RDS.20] As assinaturas existentes de notificação de eventos do RDS devem ser configuradas para eventos críticos de instância de banco de dados

[RDS.21] Uma assinatura de notificações de eventos do RDS deve ser configurada para eventos críticos do grupo de parâmetros do banco de dados

[RDS.22] Uma assinatura de notificações de eventos do RDS deve ser configurada para eventos críticos do grupo de segurança do banco de dados

[RDS.23] As instâncias do RDS não devem usar uma porta padrão do mecanismo de banco de dados

[RDS.24] Os clusters de banco de dados do RDS devem usar um nome de usuário de administrador personalizado

[RDS.25] As instâncias do banco de dados do RDS devem usar um nome de usuário de administrador personalizado

[RDS.26] As instâncias de banco de dados do RDS devem ser protegidas por um plano de backup

[RDS.27] Os clusters de banco de dados do RDS devem ser criptografados em repouso

[RDS.28] Os clusters de banco de dados do RDS devem ser marcados

[RDS.29] Os instantâneos do cluster de banco de dados do RDS devem ser marcados

[RDS.30] As instâncias de banco de dados do RDS devem ser marcadas

[RDS.31] Os grupos de segurança do RDS DB devem ser marcados

[RDS.32] Os instantâneos do banco de dados do RDS devem ser marcados

[RDS.33] Os grupos de sub-redes do banco de dados do RDS devem ser marcados

[RDS.34] Os clusters de banco de dados Aurora MySQL devem publicar registros de auditoria no Logs CloudWatch

[RDS.35] Os clusters de banco de dados do RDS devem ter a atualização automática de versões secundárias habilitada

[RDS.36] O RDS para instâncias de banco de dados PostgreSQL deve publicar registros em Logs CloudWatch

[RDS.37] Os clusters de banco de dados Aurora PostgreSQL devem publicar registros em Logs CloudWatch

[RDS.38] O RDS para instâncias de banco de dados PostgreSQL deve ser criptografado em trânsito

[RDS.39] O RDS para instâncias de banco de dados MySQL deve ser criptografado em trânsito

[RDS.40] O RDS para instâncias de banco de dados SQL Server deve publicar registros em Logs CloudWatch

[RDS.41] O RDS para instâncias de banco de dados SQL Server deve ser criptografado em trânsito

[RDS.42] O RDS para instâncias de banco de dados MariaDB deve publicar registros em Logs CloudWatch

[RDS.43] Os proxies de banco de dados do RDS devem exigir criptografia TLS para conexões

[RDS.44] O RDS para instâncias de banco de dados MariaDB deve ser criptografado em trânsito

[RDS.45] Os clusters de banco de dados Aurora MySQL devem ter o registro de auditoria ativado

[RDS.46] As instâncias de banco de dados do RDS não devem ser implantadas em sub-redes públicas com rotas para gateways de internet

[RDS.47] O RDS para clusters de banco de dados PostgreSQL deve ser configurado para copiar tags para DB snapshots

[RDS.48] O RDS para clusters de banco de dados MySQL deve ser configurado para copiar tags para DB snapshots

[RDS.50] Os clusters de banco de dados do RDS devem ter um período de retenção de backup suficiente definido

[RDS.51] Os clusters globais do RDS devem ser executados em uma versão compatível do Aurora MySQL

[Redshift.1] Os clusters do Amazon Redshift devem proibir o acesso público

[Redshift.2] As conexões com os clusters do Amazon Redshift devem ser criptografadas em trânsito

[Redshift.3] Os clusters do Amazon Redshift devem ter snapshots automáticos habilitados

[Redshift.4] Os clusters do Amazon Redshift devem ter o registro de auditoria ativado

[Redshift.6] O Amazon Redshift deve ter as atualizações automáticas para as versões principais habilitadas

[Redshift.7] Os clusters do Redshift devem usar roteamento de VPC aprimorado

[Redshift.8] Os clusters do Amazon Redshift não devem usar o nome de usuário Admin padrão

[Redshift.10] Os clusters do Redshift devem ser criptografados em repouso

[Redshift.11] Os clusters do Redshift devem ser marcados

[Redshift.12] As assinaturas de notificação de eventos do Redshift devem ser marcadas

[Redshift.13] Os instantâneos do cluster Redshift devem ser marcados

[Redshift.14] Os grupos de sub-redes do cluster Redshift devem ser marcados

[Redshift.15] Os grupos de segurança do Redshift devem permitir a entrada na porta do cluster somente de origens restritas

[Redshift.16] Os grupos de sub-redes do cluster Redshift devem ter sub-redes de várias zonas de disponibilidade

[Redshift.17] Os grupos de parâmetros do cluster Redshift devem ser marcados

[Redshift.18] Os clusters do Redshift devem ter Multi-AZ implantações habilitadas

[RedshiftServerless.1] Os grupos de trabalho sem servidor do Amazon Redshift devem usar o roteamento de VPC aprimorado

[RedshiftServerless.2] Conexões com grupos de trabalho sem servidor do Redshift devem ser obrigatórias para usar SSL

[RedshiftServerless.3] Os grupos de trabalho sem servidor do Redshift devem proibir o acesso público

[RedshiftServerless.4] Os namespaces sem servidor do Redshift devem ser criptografados com o gerenciamento do clienteAWS KMS keys

[RedshiftServerless.5] Os namespaces Redshift Serverless não devem usar o nome de usuário de administrador padrão

[RedshiftServerless.6] Os namespaces sem servidor do Redshift devem exportar registros para Logs CloudWatch

[Route53.1] As verificações de saúde do Route 53 devem ser marcadas

[Route53.2] As zonas hospedadas públicas do Route 53 devem registrar consultas de DNS

[S3.7] Os buckets de uso geral do S3 devem usar replicação entre regiões

[S3.10] Os buckets de uso geral do S3 com versionamento ativado devem ter configurações de ciclo de vida

[S3.11] Os buckets de uso geral do S3 devem ter as notificações de eventos ativadas

[S3.12] As ACLs não devem ser usadas para gerenciar o acesso do usuário aos buckets de uso geral do S3

[S3.13] Os buckets de uso geral do S3 devem ter configurações de ciclo de vida

[S3.17] Os buckets de uso geral do S3 devem ser criptografados em repouso comAWS KMS keys

[S3.19] Os pontos de acesso S3 devem ter as configurações de bloqueio de acesso público ativadas

[S3.20] Os buckets de uso geral do S3 devem ter a exclusão de MFA ativada

[S3.22] Os buckets de uso geral do S3 devem registrar eventos de gravação em nível de objeto

[S3.23] Os buckets de uso geral do S3 devem registrar eventos de leitura em nível de objeto

[S3.24] Os pontos de Multi-Region acesso S3 devem ter as configurações de bloqueio de acesso público ativadas

[S3.25] Os buckets de diretório S3 devem ter configurações de ciclo de vida

[SageMaker.1] As instâncias de SageMaker notebooks da Amazon não devem ter acesso direto à Internet

[SageMaker.2] as instâncias do SageMaker notebook devem ser iniciadas em uma VPC personalizada

[SageMaker.3] Os usuários não devem ter acesso root às instâncias do SageMaker notebook

[SageMaker.4] as variantes de produção de SageMaker endpoints devem ter uma contagem inicial de instâncias maior que 1

[SageMaker.5] SageMaker os modelos devem ter o isolamento de rede ativado

[SageMaker.6] as configurações da imagem do SageMaker aplicativo devem ser marcadas

[SageMaker.7] SageMaker as imagens devem ser marcadas

[SageMaker.8] as instâncias do SageMaker notebook devem ser executadas em plataformas compatíveis

[SageMaker.9] as definições de tarefas de qualidade de SageMaker dados devem ter a criptografia de tráfego entre contêineres ativada

[SageMaker.10] as definições de tarefas de explicabilidade do SageMaker modelo devem ter a criptografia de tráfego entre contêineres ativada

[SageMaker.11] as definições de tarefas de qualidade de SageMaker dados devem ter o isolamento de rede ativado

[SageMaker.12] as definições de tarefas de viés de SageMaker modelo devem ter o isolamento de rede ativado

[SageMaker.13] as definições de trabalho de qualidade do SageMaker modelo devem ter a criptografia de tráfego entre contêineres ativada

[SageMaker.14] os cronogramas de SageMaker monitoramento devem ter o isolamento de rede ativado

[SageMaker.15] as definições de tarefas de viés de SageMaker modelo devem ter a criptografia de tráfego entre contêineres ativada

[SageMaker.16] SageMaker os modelos devem usar registro privado em VPC para contêineres primários

[SageMaker.17] SageMaker As lojas off-line do grupo de recursos devem ser criptografadas comAWS KMSkeys

[SageMaker.18] lojas online de grupos de SageMaker recursos com armazenamento padrão devem ser criptografadas comAWS KMSkeys

[SageMaker.19] SageMaker os modelos devem usar registro privado na VPC para pipelines de inferência de vários contêineres

[SES.1] As listas de contatos do SES devem ser marcadas

[SES.2] Os conjuntos de configuração do SES devem ser marcados

[SES.3] Os conjuntos de configuração do SES devem ter o TLS ativado para envio de e-mails

[SecretsManager.1] Os segredos do Secrets Manager devem ter a rotação automática ativada

[SecretsManager.2] Os segredos do Secrets Manager configurados com rotação automática devem girar com sucesso

[SecretsManager.3] Remover segredos não utilizados do Secrets Manager

[SecretsManager.4] Os segredos do Secrets Manager devem ser alternados dentro de um determinado número de dias

[SecretsManager.5] Os segredos do Secrets Manager devem ser marcados

[ServiceCatalog.1] Os portfólios do Service Catalog devem ser compartilhados em umAWSsomente organização

[SNS.3] Os tópicos do SNS devem ser marcados

[SNS.4] As políticas de acesso a tópicos do SNS não devem permitir o acesso público

[SQS.1] As filas do Amazon SQS devem ser criptografadas em repouso

[SQS.2] As filas SQS devem ser marcadas

[SQS.3] As políticas de acesso à fila do SQS não devem permitir acesso público

[SSM.1] As instâncias do Amazon EC2 devem ser gerenciadas porAWS Systems Manager

[SSM.2] As instâncias do Amazon EC2 gerenciadas pelo Systems Manager devem ter um status de conformidade de patch de COMPATÍVEL após a instalação de um patch

[SSM.3] As instâncias do Amazon EC2 gerenciadas pelo Systems Manager devem ter um status de conformidade de associação de COMPATÍVEL

[SSM.4] Os documentos SSM não devem ser públicos

[SSM.5] Os documentos SSM devem ser marcados

[SSM.6] A automação SSM deve ter o CloudWatch registro ativado

[SSM.7] Os documentos SSM devem ter a configuração de bloqueio de compartilhamento público habilitada