本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
刑事司法信息服务 (CJIS) 操作最佳实践
Conformance Pack 提供了一个通用的合规框架，旨在使您能够使用托管或自定义 AWS Config 规则和 AWS Config 补救措施来创建安全、运营或成本优化治理检查。作为示例模板，合规包并不是为了完全确保遵守特定的治理或合规标准而设计的。您有责任自行评估自己对服务的使用是否符合适用的法律和监管要求。
以下提供了刑事司法信息服务 (CJIS) 合规要求和 AWS 托管 Config 规则之间的映射示例。每条 Config 规则都适用于特定 AWS 资源，并与一个或多个 CJIS 控件相关。一个 CJIS 控制可以与多个 Config 规则相关联。有关这些映射的更多详细信息和指导，请参阅下表。
| 控制 ID | 控制描述 | AWS Config 规则 | 指南 |
|---|---|---|---|
| 5.2 | 安全意识培训 | security-awareness-program-exists （流程检查） | 为您的组织制定并维护安全认知计划。安全认知计划教育员工如何保护其组织免受各种安全漏洞或事件的侵害。 |
| 5.3 | 事件响应 | response-plan-exists-maintained （流程检查） | 确保制定和维护事件响应计划，并将其分发给负责人。更新并正式记录响应计划，有助于确保响应人员了解自己的角色、责任以及在事件发生时应遵循的流程。 |
| 5.3 | 事件响应 | response-plan-tested （流程检查） | 确保对事件响应和恢复计划进行测试。这有助于了解您的计划在事件期间是否有效，以及是否需要弥补任何不足或进行更新。 |
| 5.4 | 审计和问责 | audit-log-policy-exists （过程检查） | 制定并维护审计日志管理策略，以定义贵组织的日志记录要求。这包括但不限于审查和保留审计日志。 |
| 5.4.1 | 可审计的事件和内容（信息系统） | API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。 | |
| 5.4.1 | 可审计的事件和内容（信息系统） | 为帮助保护静态敏感数据，请确保您的 Amazon CloudWatch 日志组启用了加密。 | |
| 5.4.1 | 可审计的事件和内容（信息系统） | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您内部的 API 调用活动的详细信息 AWS 账户。 | |
| 5.4.1 | 可审计的事件和内容（信息系统） | 利用 AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 传送后是否被修改、删除或未更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这使得在没有检测到的情况下修改、删除或伪造 CloudTrail 日志文件在计算上是不可行的。 | |
| 5.4.1 | 可审计的事件和内容（信息系统） | 确保启用 AWS CodeBuild 项目日志记录，以便将您的构建输出日志发送到亚马逊 CloudWatch 或亚马逊简单存储服务 (Amazon S3) Simple Storage Service。构建输出日志提供有关您的构建项目的详细信息。 | |
| 5.4.1 | 可审计的事件和内容（信息系统） | 为帮助保护静态敏感数据，请确保对存储在 Amazon S3 中的 AWS CodeBuild 日志启用加密。 | |
| 5.4.1 | 可审计的事件和内容（信息系统） | 确保为日志组保留事件日志数据的最短时间，以帮助进行故障排除和取证调查。缺乏过去的事件日志数据会让重建和识别潜在的恶意事件变得困难。 | |
| 5.4.1 | 可审计的事件和内容（信息系统） | 确保 Amazon S OpenSearch ervice 域已启用错误日志，并将其流式传输到 Amazon CloudWatch Logs 以进行保留和响应。域错误日志可以帮助进行安全和访问审核，还可以帮助诊断可用性问题。 | |
| 5.4.1 | 可审计的事件和内容（信息系统） | Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息 (例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。 | |
| 5.4.1 | 可审计的事件和内容（信息系统） | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，则会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | |
| 5.4.1 | 可审计的事件和内容（信息系统） | 为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service (Amazon RDS) 日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。 | |
| 5.4.1 | 可审计的事件和内容（信息系统） | Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | |
| 5.4.1 | 可审计的事件和内容（信息系统） | VPC 流日志详细记录进出 Amazon Virtual Private Cloud (Amazon VPC) 网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。 | |
| 5.4.1 | 可审计的事件和内容（信息系统） | 要帮助在您的环境中进行日志记录和监控，请在区域和全球 Web ACL 上启用 AWS WAF (V2) 日志记录。 AWS WAF 日志记录提供有关您的 Web ACL 所分析的流量的详细信息。这些日志记录了 AWS WAF 从您的 AWS 资源收到请求的时间、有关请求的信息以及每个请求匹配的规则的操作。 | |
| 5.4.1 | 可审计的事件和内容（信息系统） | 确保在您的 Amazon OpenSearch 服务域上启用了审核日志。审核日志允许您跟踪 OpenSearch 网域上的用户活动，包括身份验证成功和失败、对域名的请求 OpenSearch、索引更改以及传入的搜索查询。 | |
| 5.4.1 | 可审计的事件和内容（信息系统） | 确保 Amazon S OpenSearch ervice 域已启用错误日志，并将其流式传输到 Amazon CloudWatch Logs 以进行保留和响应。 OpenSearch 服务错误日志可以帮助进行安全和访问审计，还可以帮助诊断可用性问题。 | |
| 5.4.1 | 可审计的事件和内容（信息系统） | 要捕获有关您的 Amazon Redshift 集群上的连接和用户活动的信息，请确保已启用审计日志记录。 | |
| 5.4.5 | 保护审计信息 | 为帮助保护静态敏感数据，请确保您的 Amazon CloudWatch 日志组启用了加密。 | |
| 5.4.5 | 保护审计信息 | 利用 AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 传送后是否被修改、删除或未更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这使得在没有检测到的情况下修改、删除或伪造 CloudTrail 日志文件在计算上是不可行的。 | |
| 5.4.5 | 保护审计信息 | 为帮助保护静态敏感数据，请确保对存储在 Amazon S3 中的 AWS CodeBuild 日志启用加密。 | |
| 5.4.6 | 审计记录保留 | 确保为日志组保留事件日志数据的最短时间，以帮助进行故障排除和取证调查。缺乏过去的事件日志数据会让重建和识别潜在的恶意事件变得困难。 | |
| 5.4.6 | 审计记录保留 | 确保默认情况下 Amazon Simple Storage Service (Amazon S3) 存储桶已启用锁定。由于 S3 存储桶中可能存在敏感的静态数据，因此应强制执行静态对象锁定以帮助保护这些数据。 | |
| 5.5.2 | 强制访问权限 | 通过确保按照组织策略的规定轮换 IAM 访问密钥，对授权设备、用户和流程的证书进行审计。定期更改访问密钥是一种安全最佳实践。它会缩短访问密钥的有效期，并降低密钥泄露时对业务的影响。此规则需要访问密钥轮换值（配置默认值：90）。实际值应反映贵组织的策略。 | |
| 5.5.2 | 强制访问权限 | Organiz AWS ations AWS 账户 内部的集中管理有助于确保账户合规。缺乏集中式账户管理可能会导致账户配置不一致，从而可能泄露资源和敏感数据。 | |
| 5.5.2 | 强制访问权限 | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有允许对 AWS 所有密钥管理服务密钥执行阻止操作的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。此规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms: decrypt，kms：From）。ReEncrypt实际值应反映贵组织的策略。 | |
| 5.5.2 | 强制访问权限 | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有控制系统和资产访问权限的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。 | |
| 5.5.2 | 强制访问权限 | 身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过了 NIST SP 800-63 和密码强度 AWS 基础安全最佳实践标准规定的要求。此规则允许您选择为 IAM 密码策略设置 RequireUppercaseCharacters （CJIS 值：假）、 RequireLowercaseCharacters （CJIS 值：假）、 RequireSymbols （CJIS 值：假）、 RequireNumbers （CJIS 值：假）、（CJIS 值：false）、 MinimumPasswordLength （CJIS 值：8）、 PasswordReusePrevention （CJIS 值：10）和 MaxPasswordAge （CJIS 值：90）。实际值应反映贵组织的策略。 | |
| 5.5.2 | 强制访问权限 | 确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| 5.5.2 | 强制访问权限 | 通过检查根用户的 AWS 身份和访问管理 (IAM) 角色是否没有附加访问密钥，可以控制对系统和资产的访问。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户 方法来帮助整合功能最少的原则。 | |
| 5.5.2 | 强制访问权限 | AWS 身份与访问管理 (IAM) Access Management 可通过确保用户至少属于一个群组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| 5.5.2 | 强制访问权限 | 启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证 (MFA)。MFA 在登录凭证之上添加一层额外的保护。要求用户进行多重身份验证，从而减少账户被盗事件。 | |
| 5.5.2 | 强制访问权限 | 该规则确保 AWS 身份和访问管理 (IAM) Access Management 策略仅附加到组或角色以控制对系统和资产的访问权限。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。 | |
| 5.5.2 | 强制访问权限 | AWS 身份与访问管理 (IAM) Access Management 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果发现这些未使用的凭证，则应禁用和/或删除这些凭证，因为这可能违反最低权限原则。此规则要求您为 “ maxCredentialUsage年龄” 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。 | |
| 5.5.2 | 强制访问权限 | 确保所有拥有控制台密码的 AWS 身份和访问管理 (IAM) Access Management 用户都启用 MFA，从而管理对 AWS 云中资源的访问权限。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。 | |
| 5.5.2 | 强制访问权限 | 确保在亚马逊关系数据库服务 (Amazon RDS) 实例上启用 AWS 身份和访问管理 (IAM) 身份验证，以控制对系统和资产的访问。这会强制进出数据库的网络流量使用安全套接字层 (SSL) 进行加密。您无需将用户凭证存储在数据库中，因为身份验证在外部进行管理。 | |
| 5.5.2 | 强制访问权限 | 此规则检查访问控制列表 (ACL) 是否用于对 Amazon S3 存储桶进行访问控制。ACL 是 Amazon S3 存储桶的传统访问控制机制，早于 AWS 身份和访问管理 (IAM) Access Management。最佳实践是使用 IAM 策略或 S3 存储桶策略来更轻松地管理对 S3 存储桶的访问权限，而不是使用 ACL。 | |
| 5.5.2.1 | 最低权限 | 要帮助实施最低权限原则，请确保您的 Amazon CodeBuild 项目环境未启用特权模式。应禁用此设置，以防止意外访问 Docker API 及容器的底层硬件。 | |
| 5.5.2.1 | 最低权限 | EC2 实例配置文件将 IAM 角色传递给 EC2 实例。将实例配置文件附加到您的实例可以帮助实现最低权限和权限管理。 | |
| 5.5.2.1 | 最低权限 | 通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心 (KDC)。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。 | |
| 5.5.2.1 | 最低权限 | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对 AWS 所有密钥管理服务密钥的封锁操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。此规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms: decrypt，kms：From）。ReEncrypt实际值应反映贵组织的策略 | |
| 5.5.2.1 | 最低权限 | AWS Identity and Access Management (IAM) 可以确保 IAM 群组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。 | |
| 5.5.2.1 | 最低权限 | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“*” 而不是 “资源”：“*”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| 5.5.2.1 | 最低权限 | 确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| 5.5.2.1 | 最低权限 | AWS 身份与访问管理 (IAM) Access Management 可通过确保用户至少属于一个群组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| 5.5.2.1 | 最低权限 | AWS 身份与访问管理 (IAM) Access Management 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果发现这些未使用的凭证，则应禁用和/或删除这些凭证，因为这可能违反最低权限原则。此规则要求您为 “ maxCredentialUsage年龄” 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。 | |
| 5.5.2.1 | 最低权限 | 为了帮助实施最低权限原则，Amazon Elastic Container Service (Amazon ECS) 任务定义不应启用提升权限。在该参数为 true 时，将为该容器提供提升的主机容器实例权限（类似于根用户）。 | |
| 5.5.2.1 | 最低权限 | 启用对 Amazon Elastic Container Service (ECS) 容器的只读访问有助于遵守最低权限原则。此选项可以减少攻击载体，因为除非容器实例具有明确的读写权限，否则无法修改其文件系统。 | |
| 5.5.2.1 | 最低权限 | 为了帮助实施最低权限原则，请确保指定非根用户来访问您的 Amazon Elastic Container Service (Amazon ECS) 任务定义。 | |
| 5.5.2.1 | 最低权限 | 为了帮助实施最低权限原则，请确保为您的 Amazon Elastic File System (Amazon EFS) 启用用户强制执行。启用后，Amazon EFS 会将 NFS 客户端的用户和组 ID 替换为接入点上为所有文件系统操作配置的身份，并只向此强制用户身份授予访问权限。 | |
| 5.5.2.1 | 最低权限 | 如果 S AWS ecrets Manager 中存在未使用的凭证，则应禁用和/或删除凭证，因为这可能违反最低权限原则。此规则允许您将值设置为 unusedForDays （Config 默认值：90）。实际值应反映贵组织的策略。 | |
| 5.5.6 | 远程访问 | 通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。 | |
| 5.5.6 | 远程访问 | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。 | |
| 5.6.2.1.1 | 密码 | 身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过了 NIST SP 800-63 和密码强度 AWS 基础安全最佳实践标准规定的要求。此规则允许您选择为 IAM 密码策略设置 RequireUppercaseCharacters （CJIS 值：假）、 RequireLowercaseCharacters （CJIS 值：假）、 RequireSymbols （CJIS 值：假）、 RequireNumbers （CJIS 值：假）、（CJIS 值：false）、 MinimumPasswordLength （CJIS 值：8）、 PasswordReusePrevention （CJIS 值：10）和 MaxPasswordAge （CJIS 值：90）。实际值应反映贵组织的策略。 | |
| 5.6.2.2 | 高级身份验证 | 通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心 (KDC)。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。 | |
| 5.6.2.2 | 高级身份验证 | 启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证 (MFA)。MFA 在登录凭证之上添加一层额外的保护。要求用户进行多重身份验证，从而减少账户被盗事件。 | |
| 5.6.2.2 | 高级身份验证 | 确保所有拥有控制台密码的 AWS 身份和访问管理 (IAM) Access Management 用户都启用 MFA，从而管理对 AWS 云中资源的访问权限。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。 | |
| 5.6.2.2 | 高级身份验证 | 通过确保为根用户启用硬件 MFA 来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户进行 MFA，可以减少泄露事件。 AWS 账户 | |
| 5.6.2.2 | 高级身份验证 | 通过确保为根用户启用 MFA 来管理对 AWS 云中资源的访问权限。根用户是 AWS 账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户进行 MFA，可以减少泄露事件。 AWS 账户 | |
| 5.6.3.1 | 标识符管理 | AWS 身份与访问管理 (IAM) Access Management 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果发现这些未使用的凭证，则应禁用和/或删除这些凭证，因为这可能违反最低权限原则。此规则要求您为 “ maxCredentialUsage年龄” 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。 | |
| 5.7.1.1 | 最少功能 | 如果您使用公有 IP 地址配置网络接口，则可以从互联网访问这些网络接口的相关资源。EC2 资源不应可公开访问，因为这可能会允许意外地访问您的应用程序或服务器。 | |
| 5.7.1.1 | 最少功能 | 通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问权限。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| 5.7.1.1 | 最少功能 | 通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问权限。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| 5.7.1.1 | 最少功能 | 通过确保无法公开访问亚马逊弹性计算云 (Amazon EC2) 实例来管理对云的访问。 AWS Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| 5.7.1.1 | 最少功能 | 通过确保亚马逊 OpenSearch 服务（OpenSearch 服务）域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。Amazon VPC 中的 OpenSearch 服务域可实现 OpenSearch 服务与 Amazon VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。 | |
| 5.7.1.1 | 最少功能 | 通过确保无法公开访问 Amazon EMR 集群主节点来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| 5.7.1.1 | 最少功能 | 通过检查根用户的 AWS 身份和访问管理 (IAM) 角色是否没有附加访问密钥，可以控制对系统和资产的访问。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户 方法来帮助整合功能最少的原则。 | |
| 5.7.1.1 | 最少功能 | AWS 身份与访问管理 (IAM) Access Management 可通过确保用户至少属于一个群组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| 5.7.1.1 | 最少功能 | AWS 身份与访问管理 (IAM) Access Management 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果发现这些未使用的凭证，则应禁用和/或删除这些凭证，因为这可能违反最低权限原则。此规则要求您为 “ maxCredentialUsage年龄” 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。 | |
| 5.7.1.1 | 最少功能 | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。 | |
| 5.7.1.1 | 最少功能 | 在 Amazon Virtual Private Cloud (Amazon VPC) 内部署 Amazon Elastic Compute Cloud (Amazon EC2) 实例，以实现实例与 Amazon VPC 内其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。 | |
| 5.7.1.1 | 最少功能 | 通过确保无法公开访问 AWS Lambda 函数来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。 | |
| 5.7.1.1 | 最少功能 | 在亚马逊虚拟私有云（亚马逊 VPC）中部署 AWS Lambda 函数，以便在亚马逊 VPC 内的函数与其他服务之间进行安全通信。使用此配置时，不需要互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。为了正确管理访问权限，应 AWS 将 Lambda 函数分配给 VPC。 | |
| 5.7.1.1 | 最少功能 | 确保 Amazon EC2 路由表中没有指向互联网网关的无限制路由。移除或限制 Amazon VPC 内工作负载的互联网访问可以减少环境中的意外访问。 | |
| 5.7.1.1 | 最少功能 | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| 5.7.1.1 | 最少功能 | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| 5.7.1.1 | 最少功能 | 通过确保 Amazon Redshift 集群不公开，管理对 AWS 云端资源的访问权限。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| 5.7.1.1 | 最少功能 | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置（配置默认值：True）、 ignorePublicAcls （配置默认值：True）、 blockPublicPolicy （配置默认值：True）和参数 blockPublicAcls （配置默认值：True）和 restrictPublicBuckets 参数（配置默认值：True）。实际值应反映贵组织的策略。 | |
| 5.7.1.1 | 最少功能 | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | |
| 5.7.1.1 | 最少功能 | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | |
| 5.7.1.1 | 最少功能 | 通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对 AWS 云端资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。 | |
| 5.7.1.1 | 最少功能 | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。 | |
| 5.7.1.1 | 最少功能 | 通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。 | |
| 5.7.1.1 | 最少功能 | 使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。 AWS Systems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。 | |
| 5.7.1.1 | 最少功能 | 通过确保亚马逊 OpenSearch 服务域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。亚马逊 VPC 内的亚马逊 OpenSearch 服务域可实现亚马逊 OpenSearch 服务与亚马逊 VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。 | |
| 5.7.1.1 | 最少功能 | 通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。 | |
| 5.7.1.1 | 最少功能 | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。 | |
| 5.7.1.1 | 最少功能 | 通过确保亚马逊虚拟私有 AWS 云 (VPC) Virtual Private Cloud 子网不会自动分配公有 IP 地址来管理对云的访问。Amazon Elastic Compute Cloud (EC2) 实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。 | |
| 5.10 | 系统和通信保护与信息完整性 | 确保您的 Elastic Load Balancers (ELB) 已配置为丢弃 http 标头。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| 5.10 | 系统和通信保护与信息完整性 | 为帮助保护传输中的数据，请确保应用负载均衡器自动将未加密的 HTTP 请求重定向到 HTTPS。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| 5.10 | 系统和通信保护与信息完整性 | AWS WAF 允许您配置一组规则（称为 Web 访问控制列表 (Web ACL)），这些规则根据您定义的可自定义 Web 安全规则和条件允许、阻止或计数 Web 请求。确保您的 Amazon API Gateway 阶段与某个 WAF Web ACL 关联，以保护其免受恶意攻击 | |
| 5.10 | 系统和通信保护与信息完整性 | 确保启用了 Amazon OpenSearch 服务的 node-to-node 加密。N ode-to-node 加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| 5.10 | 系统和通信保护与信息完整性 | 确保您的弹性负载均衡器 (ELB) 配置了 SSL 或 HTTPS 侦听器。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| 5.10 | 系统和通信保护与信息完整性 | 确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| 5.10 | 系统和通信保护与信息完整性 | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置（配置默认值：True）、 ignorePublicAcls （配置默认值：True）、 blockPublicPolicy （配置默认值：True）和参数 blockPublicAcls （配置默认值：True）和 restrictPublicBuckets 参数（配置默认值：True）。实际值应反映贵组织的策略。 | |
| 5.10 | 系统和通信保护与信息完整性 | 为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶需要请求使用安全套接字层 (SSL)。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| 5.10 | 系统和通信保护与信息完整性 | 要帮助在您的环境中进行日志记录和监控，请在区域和全球 Web ACL 上启用 AWS WAF (V2) 日志记录。 AWS WAF 日志记录提供有关您的 Web ACL 所分析的流量的详细信息。这些日志记录了 AWS WAF 从您的 AWS 资源收到请求的时间、有关请求的信息以及每个请求匹配的规则的操作。 | |
| 5.10 | 系统和通信保护与信息完整性 | 确保启用了 Amazon OpenSearch 服务的 node-to-node 加密。N ode-to-node 加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| 5.10 | 系统和通信保护与信息完整性 | 此规则检查访问控制列表 (ACL) 是否用于对 Amazon S3 存储桶进行访问控制。ACL 是 Amazon S3 存储桶的传统访问控制机制，早于 AWS 身份和访问管理 (IAM) Access Management。最佳实践是使用 IAM 策略或 S3 存储桶策略来更轻松地管理对 S3 存储桶的访问权限，而不是使用 ACL。 | |
| 5.10 | 系统和通信保护与信息完整性 | 此规则可确保 Amazon Virtual Private Cloud (VPC) 网络访问控制列表正在使用中。监控未使用的网络访问控制列表有助于准确清点和管理您的环境。 | |
| 5.10 | 系统和通信保护与信息完整性 | 附加到 AWS WAF 的 Web ACL 可以包含一组用于检查和控制 Web 请求的规则和规则组。如果 Web ACL 为空，Web 流量将直接通过，而不会被 WAF 检测或处理。 | |
| 5.10.1 | 强制执行信息流 | 确保您的 Elastic Load Balancers (ELB) 已配置为丢弃 http 标头。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| 5.10.1 | 强制执行信息流 | 为帮助保护传输中的数据，请确保应用负载均衡器自动将未加密的 HTTP 请求重定向到 HTTPS。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| 5.10.1 | 强制执行信息流 | 确保启用了 Amazon OpenSearch 服务的 node-to-node 加密。N ode-to-node 加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| 5.10.1 | 强制执行信息流 | 确保您的弹性负载均衡器 (ELB) 配置了 SSL 或 HTTPS 侦听器。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| 5.10.1 | 强制执行信息流 | 在 Amazon Virtual Private Cloud (Amazon VPC) 内部署 Amazon Elastic Compute Cloud (Amazon EC2) 实例，以实现实例与 Amazon VPC 内其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。 | |
| 5.10.1 | 强制执行信息流 | 确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| 5.10.1 | 强制执行信息流 | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置（配置默认值：True）、 ignorePublicAcls （配置默认值：True）、 blockPublicPolicy （配置默认值：True）和参数 blockPublicAcls （配置默认值：True）和 restrictPublicBuckets 参数（配置默认值：True）。实际值应反映贵组织的策略。 | |
| 5.10.1 | 强制执行信息流 | 为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶需要请求使用安全套接字层 (SSL)。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| 5.10.1 | 强制执行信息流 | 通过确保 X509 证书由 ACM 颁发，确保网络完整性得到保护。 AWS 这些证书必须有效且未过期。此规则需要一个值 daysToExpiration （AWS 基础安全最佳实践值：90）。实际值应反映贵组织的策略。 | |
| 5.10.1 | 强制执行信息流 | 通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问权限。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| 5.10.1 | 强制执行信息流 | 通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问权限。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| 5.10.1 | 强制执行信息流 | 通过确保无法公开访问亚马逊弹性计算云 (Amazon EC2) 实例来管理对云的访问。 AWS Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| 5.10.1 | 强制执行信息流 | 通过确保亚马逊 OpenSearch 服务（OpenSearch 服务）域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。Amazon VPC 中的 OpenSearch 服务域可实现 OpenSearch 服务与 Amazon VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。 | |
| 5.10.1 | 强制执行信息流 | 通过确保无法公开访问 Amazon EMR 集群主节点来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| 5.10.1 | 强制执行信息流 | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。 | |
| 5.10.1 | 强制执行信息流 | 通过确保无法公开访问 AWS Lambda 函数来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。 | |
| 5.10.1 | 强制执行信息流 | 在亚马逊虚拟私有云（亚马逊 VPC）中部署 AWS Lambda 函数，以便在亚马逊 VPC 内的函数与其他服务之间进行安全通信。使用此配置时，不需要互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。为了正确管理访问权限，应 AWS 将 Lambda 函数分配给 VPC。 | |
| 5.10.1 | 强制执行信息流 | 通过确保亚马逊 OpenSearch 服务域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。亚马逊 VPC 内的亚马逊 OpenSearch 服务域可实现亚马逊 OpenSearch 服务与亚马逊 VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。 | |
| 5.10.1 | 强制执行信息流 | 确保启用了 Amazon OpenSearch 服务的 node-to-node 加密。N ode-to-node 加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| 5.10.1 | 强制执行信息流 | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| 5.10.1 | 强制执行信息流 | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| 5.10.1 | 强制执行信息流 | 通过确保 Amazon Redshift 集群不公开，管理对 AWS 云端资源的访问权限。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| 5.10.1 | 强制执行信息流 | 通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。 | |
| 5.10.1 | 强制执行信息流 | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | |
| 5.10.1 | 强制执行信息流 | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | |
| 5.10.1 | 强制执行信息流 | 通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对 AWS 云端资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。 | |
| 5.10.1 | 强制执行信息流 | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。 | |
| 5.10.1 | 强制执行信息流 | 通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。 | |
| 5.10.1.1 | 边界保护 | 为帮助保护传输中的数据，请确保应用负载均衡器自动将未加密的 HTTP 请求重定向到 HTTPS。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| 5.10.1.1 | 边界保护 | 确保在弹性负载均衡器 (ELB) 上启用 AWS WAF，以帮助保护 Web 应用程序。WAF 有助于保护您的 Web 应用程序或 API 免遭常见 Web 漏洞的侵害。这些 Web 漏洞可能会影响可用性、损害安全性或消耗环境中过多的资源。 | |
| 5.10.1.1 | 边界保护 | AWS WAF 允许您配置一组规则（称为 Web 访问控制列表 (Web ACL)），这些规则根据您定义的可自定义 Web 安全规则和条件允许、阻止或计数 Web 请求。确保您的 Amazon API Gateway 阶段与某个 WAF Web ACL 关联，以保护其免受恶意攻击 | |
| 5.10.1.1 | 边界保护 | 确保您的弹性负载均衡器 (ELB) 配置了 SSL 或 HTTPS 侦听器。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| 5.10.1.1 | 边界保护 | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 列表和机器学习，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | |
| 5.10.1.1 | 边界保护 | Amazon 按严重程度对调查结果进行分类：低、中、高，从而 GuardDuty 帮助您了解事件的影响。您可以使用这些分类来确定补救策略和优先级。此规则允许您根据组织政策的 daysLowSev 要求选择性地为非存档的查找结果设置 daysMediumSev （配置默认值：30）、 daysHighSev （配置默认值：7）和（配置默认：1）。 | |
| 5.10.1.1 | 边界保护 | 要帮助在您的环境中进行日志记录和监控，请在区域和全球 Web ACL 上启用 AWS WAF (V2) 日志记录。 AWS WAF 日志记录提供有关您的 Web ACL 所分析的流量的详细信息。这些日志记录了 AWS WAF 从您的 AWS 资源收到请求的时间、有关请求的信息以及每个请求匹配的规则的操作。 | |
| 5.10.1.1 | 边界保护 | 由于敏感数据可能存在，并且为了帮助保护传输中的数据，请确保为与您的 Amazon OpenSearch 服务域的连接启用 HTTPS。 | |
| 5.10.1.1 | 边界保护 | 确保您的 AWS WAF 有一条不为空的规则。不含条件的规则可能会导致意外行为。 | |
| 5.10.1.1 | 边界保护 | 确保您的 AWS WAF 的规则组不为空。空规则组可能会导致意外行为。 | |
| 5.10.1.1 | 边界保护 | 附加到 AWS WAF 的 Web ACL 可以包含一组用于检查和控制 Web 请求的规则和规则组。如果 Web ACL 为空，Web 流量将直接通过，而不会被 WAF 检测或处理。 | |
| 5.10.1.2 | 加密 | 确保您的 Elastic Load Balancers (ELB) 已配置为丢弃 http 标头。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| 5.10.1.2 | 加密 | 为帮助保护传输中的数据，请确保应用负载均衡器自动将未加密的 HTTP 请求重定向到 HTTPS。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| 5.10.1.2 | 加密 | 为了帮助保护静态数据，请确保为 API Gateway 阶段的缓存启用加密。由于可能会为 API 方法捕获敏感数据，因此应启用静态加密以帮助保护这些数据。 | |
| 5.10.1.2 | 加密 | 此规则通过检查是否启用了多个设置 AWS CloudTrail，有助于确保使用 AWS 推荐的安全最佳实践。其中包括使用日志加密、日志验证和 AWS CloudTrail 在多个区域启用。 | |
| 5.10.1.2 | 加密 | 为帮助保护静态敏感数据，请确保您的 Amazon CloudWatch 日志组启用了加密。 | |
| 5.10.1.2 | 加密 | 由于可能存在敏感数据，为了帮助保护静态数据，请确保为您的 AWS CloudTrail 跟踪启用了加密。 | |
| 5.10.1.2 | 加密 | 为帮助保护静态敏感数据，请确保为 AWS CodeBuild 工件启用加密。 | |
| 5.10.1.2 | 加密 | 为帮助保护静态敏感数据，请确保对存储在 Amazon S3 中的 AWS CodeBuild 日志启用加密。 | |
| 5.10.1.2 | 加密 | 确保为 Amazon DynamoDB 表启用加密。由于这些表中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。默认情况下，DynamoDB 表使用自有的客户主密钥 ( AWS CMK) 进行加密。 | |
| 5.10.1.2 | 加密 | 为了帮助保护静态数据，请确保为您的 Amazon Elastic Block Store (Amazon EBS) 卷启用加密。由于这些卷中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| 5.10.1.2 | 加密 | 由于可能存在敏感数据，并且为了帮助保护静态数据，请确保为您的 Amazon Elastic File System (EFS) 启用加密。 | |
| 5.10.1.2 | 加密 | 由于敏感数据可能存在，并且为了帮助保护静态数据，请确保您的亚马逊 OpenSearch 服务（OpenSearch 服务）域已启用加密。 | |
| 5.10.1.2 | 加密 | 确保启用了 Amazon OpenSearch 服务的 node-to-node 加密。N ode-to-node 加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| 5.10.1.2 | 加密 | 由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certifice Manager 通过 AWS 服务和内部资源管理、配置和部署公共和私有 SSL/TLS 证书。 | |
| 5.10.1.2 | 加密 | 由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certifice Manager 通过 AWS 服务和内部资源管理、配置和部署公共和私有 SSL/TLS 证书。 | |
| 5.10.1.2 | 加密 | 确保您的弹性负载均衡器 (ELB) 配置了 SSL 或 HTTPS 侦听器。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| 5.10.1.2 | 加密 | 由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon Elastic Block Store (Amazon EBS) 卷启用了加密。 | |
| 5.10.1.2 | 加密 | 由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon Kinesis Streams 启用了加密。 | |
| 5.10.1.2 | 加密 | 确保为 Amazon Relational Database Service (Amazon RDS) 快照启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| 5.10.1.2 | 加密 | 为了帮助保护静态数据，请确保您的 Amazon Relational Database Service (Amazon RDS) 实例启用了加密。由于 Amazon RDS 实例中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| 5.10.1.2 | 加密 | 要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。 | |
| 5.10.1.2 | 加密 | 确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| 5.10.1.2 | 加密 | 为了帮助保护静态数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用加密以帮助保护这些数据。 | |
| 5.10.1.2 | 加密 | 为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶需要请求使用安全套接字层 (SSL)。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| 5.10.1.2 | 加密 | 确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| 5.10.1.2 | 加密 | 为了帮助保护静态数据，请确保您的 SageMaker 终端节点启用了 AWS 密钥管理服务 (AWS KMS) 的加密。由于敏感数据可以静态存在于 SageMaker 端点中，因此启用静态加密以帮助保护这些数据。 | |
| 5.10.1.2 | 加密 | 为帮助保护静态数据，请确保您的 SageMaker 笔记本电脑启用了 AWS 密钥管理服务 (AWS KMS) 的加密。由于敏感数据可以静态存在于 SageMaker 笔记本中，因此启用静态加密以帮助保护这些数据。 | |
| 5.10.1.2 | 加密 | 为了帮助保护静态数据，请确保您的亚马逊简单通知服务 (Amazon SNS) Simple Notification Service 主题需要 AWS 使用密钥管理服务AWS (KMS) 进行加密。由于已发布的消息中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| 5.10.1.2 | 加密 | 确保您的 AWS Backup 恢复点已启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| 5.10.1.2 | 加密 | 由于敏感数据可能存在，并且为了帮助保护静态数据，请确保对您的 Amazon S OpenSearch ervice 域启用加密。 | |
| 5.10.1.2 | 加密 | 确保启用了 Amazon OpenSearch 服务的 node-to-node 加密。N ode-to-node 加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| 5.10.1.2 | 加密 | 为了帮助保护静态数据，请确保您的 Amazon Redshift 集群启用了密 AWS 钥管理服务 (AWS KMS) 的加密。由于 Redshift 集群中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| 5.10.1.2 | 加密 | 为了帮助保护静态数据，请确保为 S AWS ecrets Manager 密 AWS 钥启用密钥管理服务 (AWS KMS) 加密。由于 Secrets Manager 机密中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| 5.10.1.3 | 入侵检测工具和技术 | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 列表和机器学习，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | |
| 5.10.1.3 | 入侵检测工具和技术 | Amazon 按严重程度对调查结果进行分类：低、中、高，从而 GuardDuty 帮助您了解事件的影响。您可以使用这些分类来确定补救策略和优先级。此规则允许您根据组织政策的 daysLowSev 要求选择性地为非存档的查找结果设置 daysMediumSev （配置默认值：30）、 daysHighSev （配置默认值：7）和（配置默认：1）。 | |
| 5.10.1.3 | 入侵检测工具和技术 | AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。 AWS Security Hub 汇总、整理来自多个服务的安全警报或发现，并对其进行优先排序。 AWS 其中一些服务包括Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS 身份和访问管理 (IAM) Access Analyzer、Firewall Manager 以及 AWS 合作伙伴解决方案。 AWS | |
| 5.10.4.1 | 补丁管理 | 通过使用 Systems Man AWS ager 管理亚马逊弹性计算云 (Amazon EC2) 实例，可以清点组织内的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发行商和版本以及有关您的环境的其他详细信息。 | |
| 5.10.4.1 | 补丁管理 | 使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。 AWS Systems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。 | |
| 5.10.4.1 | 补丁管理 | 启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。该规则根据贵组织的政策和程序的要求检查 S AWS ystems Manager 中的 Amazon EC2 实例补丁是否合规。 | |
| 5.10.4.1 | 补丁管理 | 系统会自动为您的 AWS Fargate 任务部署安全更新和补丁。如果发现影响 AWS Fargate 平台版本的安全问题，请 AWS 修补平台版本。要协助对运行 AWS Fargate 的亚马逊弹性容器服务 (ECS) 任务进行补丁管理，请将您的服务独立任务更新为使用最新平台版本。 | |
| 5.10.4.1 | 补丁管理 | 为 Amazon Elastic Beanstalk 环境启用受管平台更新可确保安装环境的最新可用平台修复、更新和功能。及时安装补丁是保护系统的最佳实践。 | |
| 5.10.4.4 | 安全警报和建议 | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 列表和机器学习，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | |
| 5.10.4.4 | 安全警报和建议 | Amazon 按严重程度对调查结果进行分类：低、中、高，从而 GuardDuty 帮助您了解事件的影响。您可以使用这些分类来确定补救策略和优先级。此规则允许您根据组织政策的 daysLowSev 要求选择性地为非存档的查找结果设置 daysMediumSev （配置默认：30）、 daysHighSev （配置默认值：7）和（配置默认：1）。 | |
| 5.10.4.4 | 安全警报和建议 | AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。 AWS Security Hub 汇总、整理来自多个服务的安全警报或发现，并对其进行优先排序。 AWS 其中一些服务包括Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS 身份和访问管理 (IAM) Access Analyzer、Firewall Manager 以及 AWS 合作伙伴解决方案。 AWS |
模板
该模板可在以下网址获得 GitHub：CJIS 操作最佳实践
