本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
NIST 800 181 操作最佳实践
Conformance Pack 提供了一个通用的合规框架，旨在使您能够使用托管或自定义 AWS Config 规则和 AWS Config 补救措施来创建安全、运营或成本优化治理检查。作为示例模板，合规包并不是为了完全确保遵守特定的治理或合规标准而设计的。您有责任自行评估自己对服务的使用是否符合适用的法律和监管要求。
以下内容提供了 NIST 800 181 和 AWS 托管 Config 规则之间的映射示例。每条 Config 规则都适用于特定 AWS 资源，并与一个或多个 NIST 800 181 控件相关。一个 NIST 800 181 控制可以与多个 Config 规则相关联。有关这些映射的更多详细信息和指导，请参阅下表。
| 控制 ID | 控制描述 | AWS Config 规则 | 指南 |
|---|---|---|---|
| T0008 | 分析和规划数据容量需求的预期变化。 | Amazon DynamoDB 自动扩展 AWS 使用 Application Auto Scaling 服务来调整自动响应实际流量模式的预配置吞吐容量。这将允许表或全局二级索引增大其预置的读/写容量以处理突发流量，而不进行节流。 | |
| T0008 | 分析和规划数据容量需求的预期变化。 | 为了帮助完成数据备份流程，请确保备份计划中包含您的 Amazon DynamoDB 表。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| T0008 | 分析和规划数据容量需求的预期变化。 | 启用此规则可检查信息是否已备份。它还通过确保在 Amazon DynamoDB 中启用 point-in-time 恢复功能来维护备份。恢复过程会维持表在过去 35 天的连续备份。 | |
| T0008 | 分析和规划数据容量需求的预期变化。 | 启用此规则可确保检查您的 Amazon DynamoDB 表上的预置吞吐容量。这是每个表可以支持的读/写活动量。DynamoDB 使用这些信息来预留足够的系统资源，以满足吞吐量需求。当吞吐量接近客户账户的最大限制时，此规则会生成警报。此规则允许您选择设置 AccountRCU（ThresholdPercentage 配置默认值：80）和 AccountWCUThresholdPercentage （配置默认值：80）参数。实际值应反映贵组织的策略。 | |
| T0008 | 分析和规划数据容量需求的预期变化。 | 为了帮助完成数据备份流程，请确保您的亚马逊弹性区块存储 (Amazon EBS) 卷包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| T0008 | 分析和规划数据容量需求的预期变化。 | 为了帮助完成数据备份流程，请确保您的亚马逊弹性文件系统（Amazon EFS）文件系统包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| T0008 | 分析和规划数据容量需求的预期变化。 | 启用自动备份后，Amazon ElastiCache 会每天创建集群的备份。备份可保留的天数由贵组织规定。自动备份可以帮助防止数据丢失。发生故障时，您可以通过从最新的备份还原数据来创建新集群。 | |
| T0008 | 分析和规划数据容量需求的预期变化。 | 为您的 Elastic Load Balancers (ELB) 启用跨区域负载均衡，以帮助保持足够的容量和可用性。跨区域负载均衡可降低在每个启用的可用区维持相同数量实例的需求。它还将提高应用程序处理一个或多个实例丢失情况的能力。 | |
| T0008 | 分析和规划数据容量需求的预期变化。 | 为了帮助完成数据备份流程，请确保您的亚马逊关系数据库服务 (Amazon RDS) 实例包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| T0008 | 分析和规划数据容量需求的预期变化。 | Amazon Relational Database Service (Amazon RDS) 中的多可用区支持为数据库实例提供了增强的可用性和耐久性。当您预置多可用区数据库实例时，Amazon RDS 会自动创建一个主数据库实例，并将数据同步复制到不同可用区中的备用实例。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。 | |
| T0008 | 分析和规划数据容量需求的预期变化。 | 为了帮助完成数据备份流程，请确保您的 Amazon Redshift 集群具有自动快照。当某个集群的自动快照处于启用状态时，Redshift 会定期拍摄该集群的快照。默认情况下，Redshift 每八小时或每 5 GB 为每个数据更改节点（或以先到者为准）拍摄一次快照。 | |
| T0008 | 分析和规划数据容量需求的预期变化。 | Amazon Simple Storage Service (Amazon S3) 跨区域复制 (CRR) 支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。 | |
| T0008 | 分析和规划数据容量需求的预期变化。 | 为了帮助完成数据 AWS 备份流程，请确保将 Backup 计划设置为最低频率和保留期限。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredFrequencyValue （配置默认：1）、 requiredRetentionDays（配置默认值：35）和 requiredFrequencyUnit （配置默认值：天）参数。实际值应反映贵组织的需求。 | |
| T0008 | 分析和规划数据容量需求的预期变化。 | 为了帮助完成数据备份流程，请确保您的亚马逊弹性计算云 (Amazon EC2) 资源包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | 通过确保 X509 证书由 ACM 颁发，确保网络完整性得到保护。 AWS 这些证书必须有效且未过期。此规则需要一个值 daysToExpiration （AWS 基础安全最佳实践值：90）。实际值应反映贵组织的策略。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | 为帮助保护传输中的数据，请确保应用负载均衡器自动将未加密的 HTTP 请求重定向到 HTTPS。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | 为了帮助保护静态数据，请确保为 API Gateway 阶段的缓存启用加密。由于可能会为 API 方法捕获敏感数据，因此应启用静态加密以帮助保护这些数据。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | 如果您使用公有 IP 地址配置网络接口，则可以从互联网访问这些网络接口的相关资源。EC2 资源不应可公开访问，因为这可能会允许意外地访问您的应用程序或服务器。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | 为了帮助完成数据 AWS 备份流程，请确保将 Backup 计划设置为最低频率和保留期限。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredFrequencyValue （配置默认：1）、 requiredRetentionDays（配置默认值：35）和 requiredFrequencyUnit （配置默认值：天）参数。实际值应反映贵组织的需求。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | 确保您的 AWS Backup 恢复点附有基于资源的策略，以防止删除恢复点。使用基于资源的策略来防止删除恢复点有助于防止意外或故意删除。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | 由于可能存在敏感数据，为了帮助保护静态数据，请确保为您的 AWS CloudTrail跟踪启用了加密。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | 利用 AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 传送后是否被修改、删除或未更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这使得在没有检测到的情况下修改、删除或伪造 CloudTrail 日志文件在计算上是不可行的。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | 启用密钥轮换，以确保密钥在加密周期结束后立即进行轮换。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 会自动创建数据库实例的存储卷快照，备份整个数据库实例。系统允许您设置特定的保留期以满足您的弹性要求。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | 通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问权限。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | Amazon DynamoDB 自动扩展 AWS 使用 Application Auto Scaling 服务来调整自动响应实际流量模式的预配置吞吐容量。这将允许表或全局二级索引增大其预置的读/写容量以处理突发流量，而不进行节流。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | 启用此规则可检查信息是否已备份。它还通过确保在 Amazon DynamoDB 中启用 point-in-time 恢复功能来维护备份。恢复过程会维持表在过去 35 天的连续备份。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | 为了帮助完成数据备份流程，请确保您的亚马逊弹性区块存储 (Amazon EBS) 卷包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | 通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问权限。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | 为了帮助保护静态数据，请确保为您的 Amazon Elastic Block Store (Amazon EBS) 卷启用加密。由于这些卷中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | 通过确保无法公开访问亚马逊弹性计算云 (Amazon EC2) 实例来管理对云的访问。 AWS Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | 为了帮助完成数据备份流程，请确保您的亚马逊弹性计算云 (Amazon EC2) 资源包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | 由于可能存在敏感数据，并且为了帮助保护静态数据，请确保为您的 Amazon Elastic File System (EFS) 启用加密。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | 为了帮助完成数据备份流程，请确保您的亚马逊弹性文件系统（Amazon EFS）文件系统包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | 启用自动备份后，Amazon ElastiCache 会每天创建集群的备份。备份可保留的天数由贵组织规定。自动备份可以帮助防止数据丢失。发生故障时，您可以通过从最新的备份还原数据来创建新集群。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | 由于敏感数据可能存在，并且为了帮助保护静态数据，请确保您的亚马逊 OpenSearch 服务（OpenSearch 服务）域已启用加密。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | 确保启用了 Amazon OpenSearch 服务的 node-to-node 加密。N ode-to-node 加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | 由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certifice Manager 通过 AWS 服务和内部资源管理、配置和部署公共和私有 SSL/TLS 证书。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | 由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certifice Manager 通过 AWS 服务和内部资源管理、配置和部署公共和私有 SSL/TLS 证书。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | 为您的 Elastic Load Balancers (ELB) 启用跨区域负载均衡，以帮助保持足够的容量和可用性。跨区域负载均衡可降低在每个启用的可用区维持相同数量实例的需求。它还将提高应用程序处理一个或多个实例丢失情况的能力。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | 此规则可确保 Elastic Load Balancing 已启用删除保护。使用此功能可防止负载均衡器被意外或恶意删除，因为这可能导致应用程序丧失可用性。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | 确保您的弹性负载均衡器 (ELB) 配置了 SSL 或 HTTPS 侦听器。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | 通过确保无法公开访问 Amazon EMR 集群主节点来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | 由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon Elastic Block Store (Amazon EBS) 卷启用了加密。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | 为了帮助保护静态数据，请确保在密钥管理服务 (KMS) 中没有计划删除必要的客户主 AWS 密AWS 钥 (CMK)。由于有时需要删除密钥，因此此规则可以帮助检查所有计划删除的密钥，以防密钥被无意中安排删除。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | 通过确保无法公开访问 AWS Lambda 函数来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | 由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon Elasticsearch Service (Amazon ES) 域启用了加密。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | 确保启用了 Amazon OpenSearch 服务的 node-to-node 加密。N ode-to-node 加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | 确保 Amazon Relational Database Service (Amazon RDS) 实例已启用删除保护。使用删除保护可防止您的 Amazon RDS 实例被意外或恶意删除，这可能会导致您的应用程序丧失可用性。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | 为了帮助完成数据备份流程，请确保您的亚马逊关系数据库服务 (Amazon RDS) 实例包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | Amazon Relational Database Service (Amazon RDS) 中的多可用区支持为数据库实例提供了增强的可用性和耐久性。当您预置多可用区数据库实例时，Amazon RDS 会自动创建一个主数据库实例，并将数据同步复制到不同可用区中的备用实例。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | 确保为 Amazon Relational Database Service (Amazon RDS) 快照启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | 为了帮助保护静态数据，请确保您的 Amazon Relational Database Service (Amazon RDS) 实例启用了加密。由于 Amazon RDS 实例中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | 为了帮助完成数据备份流程，请确保您的 Amazon Redshift 集群具有自动快照。当某个集群的自动快照处于启用状态时，Redshift 会定期拍摄该集群的快照。默认情况下，Redshift 每八小时或每 5 GB 为每个数据更改节点（或以先到者为准）拍摄一次快照。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | 要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | 通过确保 Amazon Redshift 集群不公开，管理对 AWS 云端资源的访问权限。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | 确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置（配置默认值：True）、 ignorePublicAcls （配置默认值：True）、 blockPublicPolicy （配置默认值：True）和参数 blockPublicAcls （配置默认值：True）和 restrictPublicBuckets 参数（配置默认值：True）。实际值应反映贵组织的策略。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | Amazon Simple Storage Service (Amazon S3) 跨区域复制 (CRR) 支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | 为了帮助保护静态数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用加密以帮助保护这些数据。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | 为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶需要请求使用安全套接字层 (SSL)。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | Amazon Simple Storage Service (Amazon S3) 存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | 确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | 为了帮助保护静态数据，请确保您的 SageMaker 终端节点启用了 AWS 密钥管理服务 (AWS KMS) 的加密。由于敏感数据可以静态存在于 SageMaker 端点中，因此启用静态加密以帮助保护这些数据。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | 为帮助保护静态数据，请确保您的 SageMaker 笔记本电脑启用了 AWS 密钥管理服务 (AWS KMS) 的加密。由于敏感数据可以静态存在于 SageMaker 笔记本中，因此启用静态加密以帮助保护这些数据。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | 确保 S AWS ystems Manager (SSM) 文档不公开，因为这可能会允许意外访问您的 SSM 文档。公开 SSM 文档可能会公开有关您的账户、资源和内部流程的信息。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | 可实施冗余站点到站点 VPN 隧道来实现弹性需求。它使用两条隧道来帮助确保连接性，以防其中一个站点到站点 VPN 连接不可用。为防止在客户网关不可用的情况下断开连接，您可以使用第二个客户网关为您的 Amazon Virtual Private Cloud (Amazon VPC) 和虚拟私有网关建立第二个站点到站点 VPN 连接。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | 确保 Amazon API Gateway REST API 阶段配置了 SSL 证书，以允许后端系统验证请求来自 API Gateway。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | 确保您的 AWS Backup 恢复点已启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | 为了帮助保护静态数据，请确保您的 Amazon Redshift 集群启用了密 AWS 钥管理服务 (AWS KMS) 的加密。由于 Redshift 集群中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。 | |
| T0017 | 应用以服务为导向的安全架构原则，以满足组织的机密性、完整性和可用性要求。 | 通过确保亚马逊虚拟私有 AWS 云 (VPC) Virtual Private Cloud 子网不会自动分配公有 IP 地址来管理对云的访问。Amazon Elastic Compute Cloud (EC2) 实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。 | |
| T0024 | 收集和维护满足系统网络安全报告要求所需的数据。 | 确保为日志组保留事件日志数据的最短时间，以帮助进行故障排除和取证调查。缺乏过去的事件日志数据会让重建和识别潜在的恶意事件变得困难。 | |
| T0042 | 与网络防御分析师协调，管理和管理专业网络防御应用程序的规则和签名（例如，入侵检测/保护系统、防病毒和内容黑名单）的更新。 | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 列表和机器学习，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | |
| T0047 | 关联事件数据以识别特定漏洞，并提出建议以实现快速修复。 | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 列表和机器学习，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | |
| T0051 | 根据关键系统功能定义适当的系统可用性级别，并确保根据系统要求确定适当的灾难恢复和操作连续性要求，以包括任何适当的故障转移/备用站点要求、备份要求以及系统恢复/还原的重要支持性要求。 | 确保您的 AWS Backup 恢复点已启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| T0051 | 根据关键系统功能定义适当的系统可用性级别，并确保根据系统要求确定适当的灾难恢复和操作连续性要求，以包括任何适当的故障转移/备用站点要求、备份要求以及系统恢复/还原的重要支持性要求。 | 确保您的 AWS Backup 恢复点附有基于资源的策略，以防止删除恢复点。使用基于资源的策略来防止删除恢复点有助于防止意外或故意删除。 | |
| T0051 | 根据关键系统功能定义适当的系统可用性级别，并确保根据系统要求确定适当的灾难恢复和操作连续性要求，以包括任何适当的故障转移/备用站点要求、备份要求以及系统恢复/还原的重要支持性要求。 | Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 会自动创建数据库实例的存储卷快照，备份整个数据库实例。系统允许您设置特定的保留期以满足您的弹性要求。 | |
| T0051 | 根据关键系统功能定义适当的系统可用性级别，并确保根据系统要求确定适当的灾难恢复和操作连续性要求，以包括任何适当的故障转移/备用站点要求、备份要求以及系统恢复/还原的重要支持性要求。 | Amazon DynamoDB 自动扩展 AWS 使用 Application Auto Scaling 服务来调整自动响应实际流量模式的预配置吞吐容量。这将允许表或全局二级索引增大其预置的读/写容量以处理突发流量，而不进行节流。 | |
| T0051 | 根据关键系统功能定义适当的系统可用性级别，并确保根据系统要求确定适当的灾难恢复和操作连续性要求，以包括任何适当的故障转移/备用站点要求、备份要求以及系统恢复/还原的重要支持性要求。 | 为了帮助完成数据备份流程，请确保备份计划中包含您的 Amazon DynamoDB 表。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| T0051 | 根据关键系统功能定义适当的系统可用性级别，并确保根据系统要求确定适当的灾难恢复和操作连续性要求，以包括任何适当的故障转移/备用站点要求、备份要求以及系统恢复/还原的重要支持性要求。 | 启用此规则可检查信息是否已备份。它还通过确保在 Amazon DynamoDB 中启用 point-in-time 恢复功能来维护备份。恢复过程会维持表在过去 35 天的连续备份。 | |
| T0051 | 根据关键系统功能定义适当的系统可用性级别，并确保根据系统要求确定适当的灾难恢复和操作连续性要求，以包括任何适当的故障转移/备用站点要求、备份要求以及系统恢复/还原的重要支持性要求。 | 启用此规则可确保检查您的 Amazon DynamoDB 表上的预置吞吐容量。这是每个表可以支持的读/写活动量。DynamoDB 使用这些信息来预留足够的系统资源，以满足吞吐量需求。当吞吐量接近客户账户的最大限制时，此规则会生成警报。此规则允许您选择设置 AccountRCU（ThresholdPercentage 配置默认值：80）和 AccountWCUThresholdPercentage （配置默认值：80）参数。实际值应反映贵组织的策略。 | |
| T0051 | 根据关键系统功能定义适当的系统可用性级别，并确保根据系统要求确定适当的灾难恢复和操作连续性要求，以包括任何适当的故障转移/备用站点要求、备份要求以及系统恢复/还原的重要支持性要求。 | 为了帮助完成数据备份流程，请确保您的亚马逊弹性区块存储 (Amazon EBS) 卷包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| T0051 | 根据关键系统功能定义适当的系统可用性级别，并确保根据系统要求确定适当的灾难恢复和操作连续性要求，以包括任何适当的故障转移/备用站点要求、备份要求以及系统恢复/还原的重要支持性要求。 | 为了帮助完成数据备份流程，请确保您的亚马逊弹性文件系统（Amazon EFS）文件系统包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| T0051 | 根据关键系统功能定义适当的系统可用性级别，并确保根据系统要求确定适当的灾难恢复和操作连续性要求，以包括任何适当的故障转移/备用站点要求、备份要求以及系统恢复/还原的重要支持性要求。 | 启用自动备份后，Amazon ElastiCache 会每天创建集群的备份。备份可保留的天数由贵组织规定。自动备份可以帮助防止数据丢失。发生故障时，您可以通过从最新的备份还原数据来创建新集群。 | |
| T0051 | 根据关键系统功能定义适当的系统可用性级别，并确保根据系统要求确定适当的灾难恢复和操作连续性要求，以包括任何适当的故障转移/备用站点要求、备份要求以及系统恢复/还原的重要支持性要求。 | 为您的 Elastic Load Balancers (ELB) 启用跨区域负载均衡，以帮助保持足够的容量和可用性。跨区域负载均衡可降低在每个启用的可用区维持相同数量实例的需求。它还将提高应用程序处理一个或多个实例丢失情况的能力。 | |
| T0051 | 根据关键系统功能定义适当的系统可用性级别，并确保根据系统要求确定适当的灾难恢复和操作连续性要求，以包括任何适当的故障转移/备用站点要求、备份要求以及系统恢复/还原的重要支持性要求。 | 此规则可确保 Elastic Load Balancing 已启用删除保护。使用此功能可防止负载均衡器被意外或恶意删除，因为这可能导致应用程序丧失可用性。 | |
| T0051 | 根据关键系统功能定义适当的系统可用性级别，并确保根据系统要求确定适当的灾难恢复和操作连续性要求，以包括任何适当的故障转移/备用站点要求、备份要求以及系统恢复/还原的重要支持性要求。 | 确保 Amazon Relational Database Service (Amazon RDS) 实例已启用删除保护。使用删除保护可防止您的 Amazon RDS 实例被意外或恶意删除，这可能会导致您的应用程序丧失可用性。 | |
| T0051 | 根据关键系统功能定义适当的系统可用性级别，并确保根据系统要求确定适当的灾难恢复和操作连续性要求，以包括任何适当的故障转移/备用站点要求、备份要求以及系统恢复/还原的重要支持性要求。 | 为了帮助完成数据备份流程，请确保您的亚马逊关系数据库服务 (Amazon RDS) 实例包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| T0051 | 根据关键系统功能定义适当的系统可用性级别，并确保根据系统要求确定适当的灾难恢复和操作连续性要求，以包括任何适当的故障转移/备用站点要求、备份要求以及系统恢复/还原的重要支持性要求。 | Amazon Relational Database Service (Amazon RDS) 中的多可用区支持为数据库实例提供了增强的可用性和耐久性。当您预置多可用区数据库实例时，Amazon RDS 会自动创建一个主数据库实例，并将数据同步复制到不同可用区中的备用实例。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。 | |
| T0051 | 根据关键系统功能定义适当的系统可用性级别，并确保根据系统要求确定适当的灾难恢复和操作连续性要求，以包括任何适当的故障转移/备用站点要求、备份要求以及系统恢复/还原的重要支持性要求。 | 为了帮助完成数据备份流程，请确保您的 Amazon Redshift 集群具有自动快照。当某个集群的自动快照处于启用状态时，Redshift 会定期拍摄该集群的快照。默认情况下，Redshift 每八小时或每 5 GB 为每个数据更改节点（或以先到者为准）拍摄一次快照。 | |
| T0051 | 根据关键系统功能定义适当的系统可用性级别，并确保根据系统要求确定适当的灾难恢复和操作连续性要求，以包括任何适当的故障转移/备用站点要求、备份要求以及系统恢复/还原的重要支持性要求。 | Amazon Simple Storage Service (Amazon S3) 跨区域复制 (CRR) 支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。 | |
| T0051 | 根据关键系统功能定义适当的系统可用性级别，并确保根据系统要求确定适当的灾难恢复和操作连续性要求，以包括任何适当的故障转移/备用站点要求、备份要求以及系统恢复/还原的重要支持性要求。 | Amazon Simple Storage Service (Amazon S3) 存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。 | |
| T0051 | 根据关键系统功能定义适当的系统可用性级别，并确保根据系统要求确定适当的灾难恢复和操作连续性要求，以包括任何适当的故障转移/备用站点要求、备份要求以及系统恢复/还原的重要支持性要求。 | 可实施冗余站点到站点 VPN 隧道来实现弹性需求。它使用两条隧道来帮助确保连接性，以防其中一个站点到站点 VPN 连接不可用。为防止在客户网关不可用的情况下断开连接，您可以使用第二个客户网关为您的 Amazon Virtual Private Cloud (Amazon VPC) 和虚拟私有网关建立第二个站点到站点 VPN 连接。 | |
| T0051 | 根据关键系统功能定义适当的系统可用性级别，并确保根据系统要求确定适当的灾难恢复和操作连续性要求，以包括任何适当的故障转移/备用站点要求、备份要求以及系统恢复/还原的重要支持性要求。 | 为了帮助完成数据 AWS 备份流程，请确保将 Backup 计划设置为最低频率和保留期限。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredFrequencyValue （配置默认：1）、 requiredRetentionDays（配置默认值：35）和 requiredFrequencyUnit （配置默认值：天）参数。实际值应反映贵组织的需求。 | |
| T0051 | 根据关键系统功能定义适当的系统可用性级别，并确保根据系统要求确定适当的灾难恢复和操作连续性要求，以包括任何适当的故障转移/备用站点要求、备份要求以及系统恢复/还原的重要支持性要求。 | 为了帮助完成数据备份流程，请确保您的亚马逊弹性计算云 (Amazon EC2) 资源包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| T0065 | 制定和实施网络备份和恢复程序。 | 为了帮助完成数据 AWS 备份流程，请确保将 Backup 计划设置为最低频率和保留期限。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredFrequencyValue （配置默认：1）、 requiredRetentionDays（配置默认值：35）和 requiredFrequencyUnit （配置默认值：天）参数。实际值应反映贵组织的需求。 | |
| T0065 | 制定和实施网络备份和恢复程序。 | 确保您的 AWS Backup 恢复点已启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| T0065 | 制定和实施网络备份和恢复程序。 | 确保您的 AWS Backup 恢复点附有基于资源的策略，以防止删除恢复点。使用基于资源的策略来防止删除恢复点有助于防止意外或故意删除。 | |
| T0065 | 制定和实施网络备份和恢复程序。 | Amazon DynamoDB 自动扩展 AWS 使用 Application Auto Scaling 服务来调整自动响应实际流量模式的预配置吞吐容量。这将允许表或全局二级索引增大其预置的读/写容量以处理突发流量，而不进行节流。 | |
| T0065 | 制定和实施网络备份和恢复程序。 | 为了帮助完成数据备份流程，请确保备份计划中包含您的 Amazon DynamoDB 表。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| T0065 | 制定和实施网络备份和恢复程序。 | 为了帮助完成数据备份流程，请确保您的亚马逊弹性区块存储 (Amazon EBS) 卷包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| T0065 | 制定和实施网络备份和恢复程序。 | 为了帮助完成数据备份流程，请确保您的亚马逊弹性计算云 (Amazon EC2) 资源包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| T0065 | 制定和实施网络备份和恢复程序。 | 为了帮助完成数据备份流程，请确保您的亚马逊弹性文件系统（Amazon EFS）文件系统包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| T0065 | 制定和实施网络备份和恢复程序。 | 为您的 Elastic Load Balancers (ELB) 启用跨区域负载均衡，以帮助保持足够的容量和可用性。跨区域负载均衡可降低在每个启用的可用区维持相同数量实例的需求。它还将提高应用程序处理一个或多个实例丢失情况的能力。 | |
| T0065 | 制定和实施网络备份和恢复程序。 | 此规则可确保 Elastic Load Balancing 已启用删除保护。使用此功能可防止负载均衡器被意外或恶意删除，因为这可能导致应用程序丧失可用性。 | |
| T0065 | 制定和实施网络备份和恢复程序。 | 确保 Amazon Relational Database Service (Amazon RDS) 实例已启用删除保护。使用删除保护可防止您的 Amazon RDS 实例被意外或恶意删除，这可能会导致您的应用程序丧失可用性。 | |
| T0065 | 制定和实施网络备份和恢复程序。 | 为了帮助完成数据备份流程，请确保您的亚马逊关系数据库服务 (Amazon RDS) 实例包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| T0065 | 制定和实施网络备份和恢复程序。 | Amazon Relational Database Service (Amazon RDS) 中的多可用区支持为数据库实例提供了增强的可用性和耐久性。当您预置多可用区数据库实例时，Amazon RDS 会自动创建一个主数据库实例，并将数据同步复制到不同可用区中的备用实例。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。 | |
| T0065 | 制定和实施网络备份和恢复程序。 | 为了帮助完成数据备份流程，请确保您的 Amazon Redshift 集群具有自动快照。当某个集群的自动快照处于启用状态时，Redshift 会定期拍摄该集群的快照。默认情况下，Redshift 每八小时或每 5 GB 为每个数据更改节点（或以先到者为准）拍摄一次快照。 | |
| T0065 | 制定和实施网络备份和恢复程序。 | 可实施冗余站点到站点 VPN 隧道来实现弹性需求。它使用两条隧道来帮助确保连接性，以防其中一个站点到站点 VPN 连接不可用。为防止在客户网关不可用的情况下断开连接，您可以使用第二个客户网关为您的 Amazon Virtual Private Cloud (Amazon VPC) 和虚拟私有网关建立第二个站点到站点 VPN 连接。 | |
| T0065 | 制定和实施网络备份和恢复程序。 | Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 会自动创建数据库实例的存储卷快照，备份整个数据库实例。系统允许您设置特定的保留期以满足您的弹性要求。 | |
| T0065 | 制定和实施网络备份和恢复程序。 | 启用此规则可检查信息是否已备份。它还通过确保在 Amazon DynamoDB 中启用 point-in-time 恢复功能来维护备份。恢复过程会维持表在过去 35 天的连续备份。 | |
| T0065 | 制定和实施网络备份和恢复程序。 | 启用自动备份后，Amazon ElastiCache 会每天创建集群的备份。备份可保留的天数由贵组织规定。自动备份可以帮助防止数据丢失。发生故障时，您可以通过从最新的备份还原数据来创建新集群。 | |
| T0065 | 制定和实施网络备份和恢复程序。 | 此规则可确保 Amazon Redshift 集群具有适合贵组织的首选设置。具体而言，就是确保它们有首选的数据库维护窗口和自动快照保留期。此规则要求您设置 allowVersionUpgrade. 默认值为 true。它还允许您选择设置 preferredMaintenanceWindow （默认值为 sat：16:00-sat：16:30）和周 automatedSnapshotRetention期（默认值为 1）。实际值应反映贵组织的策略。 | |
| T0065 | 制定和实施网络备份和恢复程序。 | Amazon Simple Storage Service (Amazon S3) 跨区域复制 (CRR) 支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。 | |
| T0065 | 制定和实施网络备份和恢复程序。 | Amazon Simple Storage Service (Amazon S3) 存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。 | |
| T0070 | 为正在开发的系统制定灾难恢复和操作连续性计划，并确保在系统进入生产环境之前进行测试。 | 为了帮助完成数据 AWS 备份流程，请确保将 Backup 计划设置为最低频率和保留期限。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredFrequencyValue （配置默认：1）、 requiredRetentionDays（配置默认值：35）和 requiredFrequencyUnit （配置默认值：天）参数。实际值应反映贵组织的需求。 | |
| T0070 | 为正在开发的系统制定灾难恢复和操作连续性计划，并确保在系统进入生产环境之前进行测试。 | 确保您的 AWS Backup 恢复点已启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| T0070 | 为正在开发的系统制定灾难恢复和操作连续性计划，并确保在系统进入生产环境之前进行测试。 | 确保您的 AWS Backup 恢复点附有基于资源的策略，以防止删除恢复点。使用基于资源的策略来防止删除恢复点有助于防止意外或故意删除。 | |
| T0070 | 为正在开发的系统制定灾难恢复和操作连续性计划，并确保在系统进入生产环境之前进行测试。 | 为了帮助完成数据备份流程，请确保备份计划中包含您的 Amazon DynamoDB 表。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| T0070 | 为正在开发的系统制定灾难恢复和操作连续性计划，并确保在系统进入生产环境之前进行测试。 | 为了帮助完成数据备份流程，请确保您的亚马逊弹性区块存储 (Amazon EBS) 卷包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| T0070 | 为正在开发的系统制定灾难恢复和操作连续性计划，并确保在系统进入生产环境之前进行测试。 | 为了帮助完成数据备份流程，请确保您的亚马逊弹性计算云 (Amazon EC2) 资源包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| T0070 | 为正在开发的系统制定灾难恢复和操作连续性计划，并确保在系统进入生产环境之前进行测试。 | 为了帮助完成数据备份流程，请确保您的亚马逊弹性文件系统（Amazon EFS）文件系统包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| T0070 | 为正在开发的系统制定灾难恢复和操作连续性计划，并确保在系统进入生产环境之前进行测试。 | 为您的 Elastic Load Balancers (ELB) 启用跨区域负载均衡，以帮助保持足够的容量和可用性。跨区域负载均衡可降低在每个启用的可用区维持相同数量实例的需求。它还将提高应用程序处理一个或多个实例丢失情况的能力。 | |
| T0070 | 为正在开发的系统制定灾难恢复和操作连续性计划，并确保在系统进入生产环境之前进行测试。 | 确保 Amazon Relational Database Service (Amazon RDS) 实例已启用删除保护。使用删除保护可防止您的 Amazon RDS 实例被意外或恶意删除，这可能会导致您的应用程序丧失可用性。 | |
| T0070 | 为正在开发的系统制定灾难恢复和操作连续性计划，并确保在系统进入生产环境之前进行测试。 | 为了帮助完成数据备份流程，请确保您的亚马逊关系数据库服务 (Amazon RDS) 实例包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| T0070 | 为正在开发的系统制定灾难恢复和操作连续性计划，并确保在系统进入生产环境之前进行测试。 | 为了帮助完成数据备份流程，请确保您的 Amazon Redshift 集群具有自动快照。当某个集群的自动快照处于启用状态时，Redshift 会定期拍摄该集群的快照。默认情况下，Redshift 每八小时或每 5 GB 为每个数据更改节点（或以先到者为准）拍摄一次快照。 | |
| T0070 | 为正在开发的系统制定灾难恢复和操作连续性计划，并确保在系统进入生产环境之前进行测试。 | Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 会自动创建数据库实例的存储卷快照，备份整个数据库实例。系统允许您设置特定的保留期以满足您的弹性要求。 | |
| T0070 | 为正在开发的系统制定灾难恢复和操作连续性计划，并确保在系统进入生产环境之前进行测试。 | Amazon DynamoDB 自动扩展 AWS 使用 Application Auto Scaling 服务来调整自动响应实际流量模式的预配置吞吐容量。这将允许表或全局二级索引增大其预置的读/写容量以处理突发流量，而不进行节流。 | |
| T0070 | 为正在开发的系统制定灾难恢复和操作连续性计划，并确保在系统进入生产环境之前进行测试。 | 启用此规则可检查信息是否已备份。它还通过确保在 Amazon DynamoDB 中启用 point-in-time 恢复功能来维护备份。恢复过程会维持表在过去 35 天的连续备份。 | |
| T0070 | 为正在开发的系统制定灾难恢复和操作连续性计划，并确保在系统进入生产环境之前进行测试。 | 启用自动备份后，Amazon ElastiCache 会每天创建集群的备份。备份可保留的天数由贵组织规定。自动备份可以帮助防止数据丢失。发生故障时，您可以通过从最新的备份还原数据来创建新集群。 | |
| T0070 | 为正在开发的系统制定灾难恢复和操作连续性计划，并确保在系统进入生产环境之前进行测试。 | 此规则可确保 Elastic Load Balancing 已启用删除保护。使用此功能可防止负载均衡器被意外或恶意删除，因为这可能导致应用程序丧失可用性。 | |
| T0070 | 为正在开发的系统制定灾难恢复和操作连续性计划，并确保在系统进入生产环境之前进行测试。 | Amazon Relational Database Service (Amazon RDS) 中的多可用区支持为数据库实例提供了增强的可用性和耐久性。当您预置多可用区数据库实例时，Amazon RDS 会自动创建一个主数据库实例，并将数据同步复制到不同可用区中的备用实例。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。 | |
| T0070 | 为正在开发的系统制定灾难恢复和操作连续性计划，并确保在系统进入生产环境之前进行测试。 | Amazon Simple Storage Service (Amazon S3) 跨区域复制 (CRR) 支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。 | |
| T0070 | 为正在开发的系统制定灾难恢复和操作连续性计划，并确保在系统进入生产环境之前进行测试。 | Amazon Simple Storage Service (Amazon S3) 存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。 | |
| T0070 | 为正在开发的系统制定灾难恢复和操作连续性计划，并确保在系统进入生产环境之前进行测试。 | 可实施冗余站点到站点 VPN 隧道来实现弹性需求。它使用两条隧道来帮助确保连接性，以防其中一个站点到站点 VPN 连接不可用。为防止在客户网关不可用的情况下断开连接，您可以使用第二个客户网关为您的 Amazon Virtual Private Cloud (Amazon VPC) 和虚拟私有网关建立第二个站点到站点 VPN 连接。 | |
| T0086 | 确保为集成到系统设计中的商业产品应用安全补丁的工作符合管理机构为预期操作环境规定的时间表。 | 启用 Amazon Relational Database Service (RDS) 实例的自动次要版本升级，以确保安装关系数据库管理系统 (RDBMS) 的最新次要版本更新，其中可能包括安全补丁和错误修复。 | |
| T0086 | 确保为集成到系统设计中的商业产品应用安全补丁的工作符合管理机构为预期操作环境规定的时间表。 | 启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。该规则根据贵组织的政策和程序的要求检查 S AWS ystems Manager 中的 Amazon EC2 实例补丁是否合规。 | |
| T0086 | 确保为集成到系统设计中的商业产品应用安全补丁的工作符合管理机构为预期操作环境规定的时间表。 | 为 Amazon Elastic Beanstalk 环境启用受管平台更新可确保安装环境的最新可用平台修复、更新和功能。及时安装补丁是保护系统的最佳实践。 | |
| T0086 | 确保为集成到系统设计中的商业产品应用安全补丁的工作符合管理机构为预期操作环境规定的时间表。 | 此规则可确保 Amazon Redshift 集群具有适合贵组织的首选设置。具体而言，就是确保它们有首选的数据库维护窗口和自动快照保留期。此规则要求您设置 allowVersionUpgrade. 默认值为 true。它还允许您选择设置 preferredMaintenanceWindow （默认值为 sat：16:00-sat：16:30）和周 automatedSnapshotRetention期（默认值为 1）。实际值应反映贵组织的策略。 | |
| T0110 | 识别和/或确定安全事件是否表明存在需要采取具体法律行动的违法行为。 | AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。 AWS Security Hub 汇总、整理来自多个服务的安全警报或发现，并对其进行优先排序。 AWS 其中一些服务包括Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS 身份和访问管理 (IAM) Access Analyzer、Firewall Manager 以及 AWS 合作伙伴解决方案。 AWS | |
| T0110 | 识别和/或确定安全事件是否表明存在需要采取具体法律行动的违法行为。 | 当某个指标在指定数量的评估周期内突破阈值时，Amazon 会发出 CloudWatch 警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （配置默认值：True）、 insufficientDataAction必填项（配置默认值：True）、 okActionRequired （配置默认值：False）的值。实际值应反映您的环境的警报操作。 | |
| T0110 | 识别和/或确定安全事件是否表明存在需要采取具体法律行动的违法行为。 | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 列表和机器学习，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | |
| T0128 | 在可行的情况下，集成更新或修补系统软件的自动功能，并根据系统运行环境的当前和预计的修补时间表要求，制定手动更新和修补系统软件的流程和程序。 | 启用 Amazon Relational Database Service (RDS) 实例的自动次要版本升级，以确保安装关系数据库管理系统 (RDBMS) 的最新次要版本更新，其中可能包括安全补丁和错误修复。 | |
| T0128 | 在可行的情况下，集成更新或修补系统软件的自动功能，并根据系统运行环境的当前和预计的修补时间表要求，制定手动更新和修补系统软件的流程和程序。 | 启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。该规则根据贵组织的政策和程序的要求检查 S AWS ystems Manager 中的 Amazon EC2 实例补丁是否合规。 | |
| T0128 | 在可行的情况下，集成更新或修补系统软件的自动功能，并根据系统运行环境的当前和预计的修补时间表要求，制定手动更新和修补系统软件的流程和程序。 | 为 Amazon Elastic Beanstalk 环境启用受管平台更新可确保安装环境的最新可用平台修复、更新和功能。及时安装补丁是保护系统的最佳实践。 | |
| T0128 | 在可行的情况下，集成更新或修补系统软件的自动功能，并根据系统运行环境的当前和预计的修补时间表要求，制定手动更新和修补系统软件的流程和程序。 | 此规则可确保 Amazon Redshift 集群具有适合贵组织的首选设置。具体而言，就是确保它们有首选的数据库维护窗口和自动快照保留期。此规则要求您设置 allowVersionUpgrade. 默认值为 true。它还允许您选择设置 preferredMaintenanceWindow （默认值为 sat：16:00-sat：16:30）和周 automatedSnapshotRetention期（默认值为 1）。实际值应反映贵组织的策略。 | |
| T0144 | 管理账户、网络权限以及对系统和设备的访问权限。 | Organiz AWS ations AWS 账户 内部的集中管理有助于确保账户合规。缺乏集中式账户管理可能会导致账户配置不一致，从而可能泄露资源和敏感数据。 | |
| T0144 | 管理账户、网络权限以及对系统和设备的访问权限。 | 确保在弹性负载均衡器 (ELB) 上启用 AWS WAF，以帮助保护 Web 应用程序。WAF 有助于保护您的 Web 应用程序或 API 免遭常见 Web 漏洞的侵害。这些 Web 漏洞可能会影响可用性、损害安全性或消耗环境中过多的资源。 | |
| T0144 | 管理账户、网络权限以及对系统和设备的访问权限。 | AWS WAF 允许您配置一组规则（称为 Web 访问控制列表 (Web ACL)），这些规则根据您定义的可自定义 Web 安全规则和条件允许、阻止或计数 Web 请求。确保您的 Amazon API Gateway 阶段与某个 WAF Web ACL 关联，以保护其免受恶意攻击 | |
| T0144 | 管理账户、网络权限以及对系统和设备的访问权限。 | 如果您使用公有 IP 地址配置网络接口，则可以从互联网访问这些网络接口的相关资源。EC2 资源不应可公开访问，因为这可能会允许意外地访问您的应用程序或服务器。 | |
| T0144 | 管理账户、网络权限以及对系统和设备的访问权限。 | EC2 实例配置文件将 IAM 角色传递给 EC2 实例。将实例配置文件附加到您的实例可以帮助实现最低权限和权限管理。 | |
| T0144 | 管理账户、网络权限以及对系统和设备的访问权限。 | 如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。 | |
| T0144 | 管理账户、网络权限以及对系统和设备的访问权限。 | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有控制系统和资产访问权限的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。 | |
| T0144 | 管理账户、网络权限以及对系统和设备的访问权限。 | 确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| T0144 | 管理账户、网络权限以及对系统和设备的访问权限。 | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。 | |
| T0144 | 管理账户、网络权限以及对系统和设备的访问权限。 | 在 Amazon Virtual Private Cloud (Amazon VPC) 内部署 Amazon Elastic Compute Cloud (Amazon EC2) 实例，以实现实例与 Amazon VPC 内其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。 | |
| T0144 | 管理账户、网络权限以及对系统和设备的访问权限。 | 确保 Amazon EC2 路由表中没有指向互联网网关的无限制路由。移除或限制 Amazon VPC 内工作负载的互联网访问可以减少环境中的意外访问。 | |
| T0144 | 管理账户、网络权限以及对系统和设备的访问权限。 | 增强型 VPC 路由会强制群集和数据存储库之间的所有 COPY 和 UNLOAD 流量都通过 Amazon VPC。然后，您可以使用安全组和网络访问控制列表等 VPC 功能，来保护网络流量。还可以使用 VPC 流日志来监控网络流量。 | |
| T0144 | 管理账户、网络权限以及对系统和设备的访问权限。 | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置（配置默认值：True）、 ignorePublicAcls （配置默认值：True）、 blockPublicPolicy （配置默认值：True）和参数 blockPublicAcls （配置默认值：True）和 restrictPublicBuckets 参数（配置默认值：True）。实际值应反映贵组织的策略。 | |
| T0144 | 管理账户、网络权限以及对系统和设备的访问权限。 | 确保 S AWS ystems Manager (SSM) 文档不公开，因为这可能会允许意外访问您的 SSM 文档。公开 SSM 文档可能会公开有关您的账户、资源和内部流程的信息。 | |
| T0144 | 管理账户、网络权限以及对系统和设备的访问权限。 | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。 | |
| T0144 | 管理账户、网络权限以及对系统和设备的访问权限。 | 通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。 | |
| T0144 | 管理账户、网络权限以及对系统和设备的访问权限。 | 通过确保 IAM 访问密钥按照组织策略的规定轮换，对授权设备、用户和流程的证书进行审计。定期更改访问密钥是一种安全最佳实践。它会缩短访问密钥的有效期，并降低密钥泄露时对业务的影响。此规则需要访问密钥轮换值（配置默认值：90）。实际值应反映贵组织的策略。 | |
| T0144 | 管理账户、网络权限以及对系统和设备的访问权限。 | 通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问权限。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| T0144 | 管理账户、网络权限以及对系统和设备的访问权限。 | 通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问权限。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| T0144 | 管理账户、网络权限以及对系统和设备的访问权限。 | 通过确保无法公开访问亚马逊弹性计算云 (Amazon EC2) 实例来管理对云的访问。 AWS Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| T0144 | 管理账户、网络权限以及对系统和设备的访问权限。 | 通过确保亚马逊 OpenSearch 服务（OpenSearch 服务）域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。Amazon VPC 中的 OpenSearch 服务域可实现 OpenSearch 服务与 Amazon VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。 | |
| T0144 | 管理账户、网络权限以及对系统和设备的访问权限。 | 通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心 (KDC)。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。 | |
| T0144 | 管理账户、网络权限以及对系统和设备的访问权限。 | 通过确保无法公开访问 Amazon EMR 集群主节点来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| T0144 | 管理账户、网络权限以及对系统和设备的访问权限。 | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对 AWS 所有密钥管理服务密钥的封锁操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。此规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms: decrypt，kms：From）。ReEncrypt实际值应反映贵组织的策略 | |
| T0144 | 管理账户、网络权限以及对系统和设备的访问权限。 | AWS Identity and Access Management (IAM) 可以确保 IAM 群组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。 | |
| T0144 | 管理账户、网络权限以及对系统和设备的访问权限。 | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有允许对 AWS 所有密钥管理服务密钥执行阻止操作的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。此规则允许您设置 blockedActionsPatterns参数。（AWS 基础安全最佳实践值：kms: decrypt，kms：From）。ReEncrypt实际值应反映贵组织的策略。 | |
| T0144 | 管理账户、网络权限以及对系统和设备的访问权限。 | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“*” 而不是 “资源”：“*”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| T0144 | 管理账户、网络权限以及对系统和设备的访问权限。 | 通过检查根用户的 AWS 身份和访问管理 (IAM) 角色是否没有附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户 方法来帮助整合功能最少的原则。 | |
| T0144 | 管理账户、网络权限以及对系统和设备的访问权限。 | AWS 身份与访问管理 (IAM) Access Management 可通过确保用户至少属于一个群组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| T0144 | 管理账户、网络权限以及对系统和设备的访问权限。 | 启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证 (MFA)。MFA 在用户名和密码之上增加了一层额外的防护。要求用户进行多重身份验证，从而减少账户被盗事件。 | |
| T0144 | 管理账户、网络权限以及对系统和设备的访问权限。 | 该规则确保 AWS 身份和访问管理 (IAM) Access Management 策略仅附加到组或角色以控制对系统和资产的访问权限。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。 | |
| T0144 | 管理账户、网络权限以及对系统和设备的访问权限。 | AWS 身份与访问管理 (IAM) Access Management 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果发现这些未使用的凭证，则应禁用和/或删除这些凭证，因为这可能违反最低权限原则。此规则要求您为 “ maxCredentialUsage年龄” 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。 | |
| T0144 | 管理账户、网络权限以及对系统和设备的访问权限。 | 通过确保无法公开访问 AWS Lambda 函数来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。 | |
| T0144 | 管理账户、网络权限以及对系统和设备的访问权限。 | 在亚马逊虚拟私有云（亚马逊 VPC）中部署 AWS Lambda 函数，以便在亚马逊 VPC 内的函数与其他服务之间进行安全通信。使用此配置时，不需要互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。为了正确管理访问权限，应 AWS 将 Lambda 函数分配给 VPC。 | |
| T0144 | 管理账户、网络权限以及对系统和设备的访问权限。 | 确保亚马逊 E AWS lasticsearch 服务 (Amazon ES) 域位于亚马逊虚拟私有云 (亚马逊 VPC) 中，从而管理对云的访问。Amazon VPC 中的 Amazon ES 域可实现 Amazon ES 与 Amazon VPC 中其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。 | |
| T0144 | 管理账户、网络权限以及对系统和设备的访问权限。 | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| T0144 | 管理账户、网络权限以及对系统和设备的访问权限。 | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| T0144 | 管理账户、网络权限以及对系统和设备的访问权限。 | 通过确保 Amazon Redshift 集群不公开，管理对 AWS 云端资源的访问权限。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| T0144 | 管理账户、网络权限以及对系统和设备的访问权限。 | 通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。 | |
| T0144 | 管理账户、网络权限以及对系统和设备的访问权限。 | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。 | |
| T0144 | 管理账户、网络权限以及对系统和设备的访问权限。 | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | |
| T0144 | 管理账户、网络权限以及对系统和设备的访问权限。 | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | |
| T0144 | 管理账户、网络权限以及对系统和设备的访问权限。 | 通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对 AWS 云端资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。 | |
| T0144 | 管理账户、网络权限以及对系统和设备的访问权限。 | 此规则可确保 S AWS ecrets Manager 密钥已启用轮换。定期轮换机密可以缩短机密的有效期，并有可能减少机密泄露时对业务的影响。 | |
| T0144 | 管理账户、网络权限以及对系统和设备的访问权限。 | 通过确保亚马逊虚拟私有 AWS 云 (VPC) Virtual Private Cloud 子网不会自动分配公有 IP 地址来管理对云的访问。Amazon Elastic Compute Cloud (EC2) 实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。 | |
| T0151 | 监控和评估企业网络安全保障措施的有效性，以确保其提供预期的保护级别。 | AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。 AWS Security Hub 汇总、整理来自多个服务的安全警报或发现，并对其进行优先排序。 AWS 其中一些服务包括Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS 身份和访问管理 (IAM) Access Analyzer、Firewall Manager 以及 AWS 合作伙伴解决方案。 AWS | |
| T0151 | 监控和评估企业网络安全保障措施的有效性，以确保其提供预期的保护级别。 | 当某个指标在指定数量的评估周期内突破阈值时，Amazon 会发出 CloudWatch 警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （配置默认值：True）、 insufficientDataAction必填项（配置默认值：True）、 okActionRequired （配置默认值：False）的值。实际值应反映您的环境的警报操作。 | |
| T0151 | 监控和评估企业网络安全保障措施的有效性，以确保其提供预期的保护级别。 | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 列表和机器学习，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | |
| T0152 | 监控和维护数据库以确保最佳性能。 | Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 会自动创建数据库实例的存储卷快照，备份整个数据库实例。系统允许您设置特定的保留期以满足您的弹性要求。 | |
| T0152 | 监控和维护数据库以确保最佳性能。 | Amazon DynamoDB 自动扩展 AWS 使用 Application Auto Scaling 服务来调整自动响应实际流量模式的预配置吞吐容量。这将允许表或全局二级索引增大其预置的读/写容量以处理突发流量，而不进行节流。 | |
| T0152 | 监控和维护数据库以确保最佳性能。 | 为了帮助完成数据备份流程，请确保备份计划中包含您的 Amazon DynamoDB 表。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| T0152 | 监控和维护数据库以确保最佳性能。 | 启用此规则可检查信息是否已备份。它还通过确保在 Amazon DynamoDB 中启用 point-in-time 恢复功能来维护备份。恢复过程会维持表在过去 35 天的连续备份。 | |
| T0152 | 监控和维护数据库以确保最佳性能。 | 启用此规则可确保检查您的 Amazon DynamoDB 表上的预置吞吐容量。这是每个表可以支持的读/写活动量。DynamoDB 使用这些信息来预留足够的系统资源，以满足吞吐量需求。当吞吐量接近客户账户的最大限制时，此规则会生成警报。此规则允许您选择设置 AccountRCU（ThresholdPercentage 配置默认值：80）和 AccountWCUThresholdPercentage （配置默认值：80）参数。实际值应反映贵组织的策略。 | |
| T0152 | 监控和维护数据库以确保最佳性能。 | 启用 Amazon Relational Database Service (RDS) 实例的自动次要版本升级，以确保安装关系数据库管理系统 (RDBMS) 的最新次要版本更新，其中可能包括安全补丁和错误修复。 | |
| T0152 | 监控和维护数据库以确保最佳性能。 | 启用 Amazon Relational Database Service (Amazon RDS)，以帮助监控 Amazon RDS 可用性。这让您可以详细了解您的 Amazon RDS 数据库实例的运行状况。当 Amazon RDS 存储使用多个底层物理设备时，“增强监控”会收集每台设备的数据。此外，当 Amazon RDS 数据库实例在多可用区部署中运行时，会收集辅助主机上每个设备的数据和辅助主机指标。 | |
| T0152 | 监控和维护数据库以确保最佳性能。 | 确保 Amazon Relational Database Service (Amazon RDS) 实例已启用删除保护。使用删除保护可防止您的 Amazon RDS 实例被意外或恶意删除，这可能会导致您的应用程序丧失可用性。 | |
| T0152 | 监控和维护数据库以确保最佳性能。 | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| T0152 | 监控和维护数据库以确保最佳性能。 | 为了帮助完成数据备份流程，请确保您的亚马逊关系数据库服务 (Amazon RDS) 实例包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| T0152 | 监控和维护数据库以确保最佳性能。 | 为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service (Amazon RDS) 日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。 | |
| T0152 | 监控和维护数据库以确保最佳性能。 | Amazon Relational Database Service (Amazon RDS) 中的多可用区支持为数据库实例提供了增强的可用性和耐久性。当您预置多可用区数据库实例时，Amazon RDS 会自动创建一个主数据库实例，并将数据同步复制到不同可用区中的备用实例。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。 | |
| T0152 | 监控和维护数据库以确保最佳性能。 | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| T0152 | 监控和维护数据库以确保最佳性能。 | 确保为 Amazon Relational Database Service (Amazon RDS) 快照启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| T0152 | 监控和维护数据库以确保最佳性能。 | 为了帮助保护静态数据，请确保您的 Amazon Relational Database Service (Amazon RDS) 实例启用了加密。由于 Amazon RDS 实例中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| T0152 | 监控和维护数据库以确保最佳性能。 | 为了帮助完成数据备份流程，请确保您的 Amazon Redshift 集群具有自动快照。当某个集群的自动快照处于启用状态时，Redshift 会定期拍摄该集群的快照。默认情况下，Redshift 每八小时或每 5 GB 为每个数据更改节点（或以先到者为准）拍摄一次快照。 | |
| T0152 | 监控和维护数据库以确保最佳性能。 | 要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。 | |
| T0152 | 监控和维护数据库以确保最佳性能。 | 此规则可确保 Amazon Redshift 集群具有适合贵组织的首选设置。具体而言，就是确保它们有首选的数据库维护窗口和自动快照保留期。此规则要求您设置 allowVersionUpgrade. 默认值为 true。它还允许您选择设置 preferredMaintenanceWindow （默认值为 sat：16:00-sat：16:30）和周 automatedSnapshotRetention期（默认值为 1）。实际值应反映贵组织的策略。 | |
| T0152 | 监控和维护数据库以确保最佳性能。 | 通过确保 Amazon Redshift 集群不公开，管理对 AWS 云端资源的访问权限。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| T0152 | 监控和维护数据库以确保最佳性能。 | 增强型 VPC 路由会强制群集和数据存储库之间的所有 COPY 和 UNLOAD 流量都通过 Amazon VPC。然后，您可以使用安全组和网络访问控制列表等 VPC 功能，来保护网络流量。还可以使用 VPC 流日志来监控网络流量。 | |
| T0152 | 监控和维护数据库以确保最佳性能。 | 确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| T0152 | 监控和维护数据库以确保最佳性能。 | 为了帮助保护静态数据，请确保您的 Amazon Redshift 集群启用了密 AWS 钥管理服务 (AWS KMS) 的加密。由于 Redshift 集群中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| T0153 | 监控网络容量和性能。 | Amazon Elastic Compute Cloud (Amazon EC2) Auto Scaling 组的 Elastic Load Balancer (ELB) 运行状况检查支持维持足够的容量和可用性。负载均衡器会定期发送 ping、尝试进行连接或者发送请求来测试自动扩缩组中的 Amazon EC2 实例。如果实例没有返回报告，则流量会发送到新的 Amazon EC2 实例。 | |
| T0153 | 监控网络容量和性能。 | 启用此规则可确保检查您的 Amazon DynamoDB 表上的预置吞吐容量。这是每个表可以支持的读/写活动量。DynamoDB 使用这些信息来预留足够的系统资源，以满足吞吐量需求。当吞吐量接近客户账户的最大限制时，此规则会生成警报。此规则允许您选择设置 AccountRCU（ThresholdPercentage 配置默认值：80）和 AccountWCUThresholdPercentage （配置默认值：80）参数。实际值应反映贵组织的策略。 | |
| T0153 | 监控网络容量和性能。 | VPC 流日志详细记录进出 Amazon Virtual Private Cloud (Amazon VPC) 网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。 | |
| T0153 | 监控网络容量和性能。 | 可实施冗余站点到站点 VPN 隧道来实现弹性需求。它使用两条隧道来帮助确保连接性，以防其中一个站点到站点 VPN 连接不可用。为防止在客户网关不可用的情况下断开连接，您可以使用第二个客户网关为您的 Amazon Virtual Private Cloud (Amazon VPC) 和虚拟私有网关建立第二个站点到站点 VPN 连接。 | |
| T0154 | 监控和报告知识管理资产和资源的使用情况。 | 确保为日志组保留事件日志数据的最短时间，以帮助进行故障排除和取证调查。缺乏过去的事件日志数据会让重建和识别潜在的恶意事件变得困难。 | |
| T0154 | 监控和报告知识管理资产和资源的使用情况。 | 确保 Amazon S OpenSearch ervice 域已启用错误日志，并将其流式传输到 Amazon CloudWatch Logs 以进行保留和响应。域错误日志可以帮助进行安全和访问审核，还可以帮助诊断可用性问题。 | |
| T0154 | 监控和报告知识管理资产和资源的使用情况。 | 此规则可确保建立 Lambda 函数的并发上限和下限。这有助于确定函数在任何特定时间提供服务的请求数量的基准。 | |
| T0154 | 监控和报告知识管理资产和资源的使用情况。 | 启用此规则有助于在功能发生故障时通过 Amazon Simple Queue Service (Amazon SQS) 或 Amazon Simple Notification Service (Amazon SNS) 通知相关人员。 | |
| T0154 | 监控和报告知识管理资产和资源的使用情况。 | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，则会将所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | |
| T0154 | 监控和报告知识管理资产和资源的使用情况。 | 启用 Amazon Relational Database Service (Amazon RDS)，以帮助监控 Amazon RDS 可用性。这让您可以详细了解您的 Amazon RDS 数据库实例的运行状况。当 Amazon RDS 存储使用多个底层物理设备时，“增强监控”会收集每台设备的数据。此外，当 Amazon RDS 数据库实例在多可用区部署中运行时，会收集辅助主机上每个设备的数据和辅助主机指标。 | |
| T0154 | 监控和报告知识管理资产和资源的使用情况。 | 为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service (Amazon RDS) 日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。 | |
| T0154 | 监控和报告知识管理资产和资源的使用情况。 | AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。 AWS Security Hub 汇总、整理来自多个服务的安全警报或发现，并对其进行优先排序。 AWS 其中一些服务包括Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS 身份和访问管理 (IAM) Access Analyzer、Firewall Manager 以及 AWS 合作伙伴解决方案。 AWS | |
| T0154 | 监控和报告知识管理资产和资源的使用情况。 | 要帮助在您的环境中进行日志记录和监控，请在区域和全球 Web ACL 上启用 AWS WAF (V2) 日志记录。 AWS WAF 日志记录提供有关您的 Web ACL 所分析的流量的详细信息。这些日志记录了 AWS WAF 从您的 AWS 资源收到请求的时间、有关请求的信息以及每个请求匹配的规则的操作。 | |
| T0154 | 监控和报告知识管理资产和资源的使用情况。 | API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。 | |
| T0154 | 监控和报告知识管理资产和资源的使用情况。 | Amazon Elastic Compute Cloud (Amazon EC2) Auto Scaling 组的 Elastic Load Balancer (ELB) 运行状况检查支持维持足够的容量和可用性。负载均衡器会定期发送 ping、尝试进行连接或者发送请求来测试自动扩缩组中的 Amazon EC2 实例。如果实例没有返回报告，则流量会发送到新的 Amazon EC2 实例。 | |
| T0154 | 监控和报告知识管理资产和资源的使用情况。 | AWS Elastic Beanstalk 增强的运行状况报告功能可以更快地响应底层基础设施运行状况的变化。这些变更可能会导致应用程序的可用性不足。Elastic Beanstalk 增强的运行状况报告提供了状态描述符，用于衡量已发现问题的严重性并确定可能的原因以进行调查。 | |
| T0154 | 监控和报告知识管理资产和资源的使用情况。 | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您内部的 API 调用活动的详细信息 AWS 账户。 | |
| T0154 | 监控和报告知识管理资产和资源的使用情况。 | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。 | |
| T0154 | 监控和报告知识管理资产和资源的使用情况。 | 收集 Simple Storage Service (Amazon S3) 数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。 | |
| T0154 | 监控和报告知识管理资产和资源的使用情况。 | 当某个指标在指定数量的评估周期内突破阈值时，Amazon 会发出 CloudWatch 警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （配置默认值：True）、 insufficientDataAction必填项（配置默认值：True）、 okActionRequired （配置默认值：False）的值。实际值应反映您的环境的警报操作。 | |
| T0154 | 监控和报告知识管理资产和资源的使用情况。 | 启用此规则可确保检查您的 Amazon DynamoDB 表上的预置吞吐容量。这是每个表可以支持的读/写活动量。DynamoDB 使用这些信息来预留足够的系统资源，以满足吞吐量需求。当吞吐量接近客户账户的最大限制时，此规则会生成警报。此规则允许您选择设置 AccountRCU（ThresholdPercentage 配置默认值：80）和 AccountWCUThresholdPercentage （配置默认值：80）参数。实际值应反映贵组织的策略。 | |
| T0154 | 监控和报告知识管理资产和资源的使用情况。 | 启用此规则可帮助改进 Amazon EC2 控制台上的 Amazon Elastic Compute Cloud (Amazon EC2) 实例监控，该控制台以 1 分钟为周期显示实例的监控图。 | |
| T0154 | 监控和报告知识管理资产和资源的使用情况。 | Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息 (例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。 | |
| T0154 | 监控和报告知识管理资产和资源的使用情况。 | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 列表和机器学习，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | |
| T0154 | 监控和报告知识管理资产和资源的使用情况。 | 要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。 | |
| T0154 | 监控和报告知识管理资产和资源的使用情况。 | Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | |
| T0154 | 监控和报告知识管理资产和资源的使用情况。 | VPC 流日志详细记录进出 Amazon Virtual Private Cloud (Amazon VPC) 网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。 | |
| T0156 | 监督配置管理并提出建议。 | Organiz AWS ations AWS 账户 内部的集中管理有助于确保账户合规。缺乏集中式账户管理可能会导致账户配置不一致，从而可能泄露资源和敏感数据。 | |
| T0156 | 监督配置管理并提出建议。 | 通过使用 Systems Man AWS ager 管理亚马逊弹性计算云 (Amazon EC2) 实例，可以清点组织内的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发行商和版本以及有关您的环境的其他详细信息。 | |
| T0156 | 监督配置管理并提出建议。 | 使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。 AWS Systems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。 | |
| T0156 | 监督配置管理并提出建议。 | 启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。该规则根据贵组织的政策和程序的要求检查 S AWS ystems Manager 中的 Amazon EC2 实例补丁是否合规。 | |
| T0156 | 监督配置管理并提出建议。 | 此规则可确保 Amazon Redshift 集群具有适合贵组织的首选设置。具体而言，就是确保它们有首选的数据库维护窗口和自动快照保留期。此规则要求您设置 allowVersionUpgrade. 默认值为 true。它还允许您选择设置 preferredMaintenanceWindow （默认值为 sat：16:00-sat：16:30）和周 automatedSnapshotRetention期（默认值为 1）。实际值应反映贵组织的策略。 | |
| T0156 | 监督配置管理并提出建议。 | 为 Amazon Elastic Beanstalk 环境启用受管平台更新可确保安装环境的最新可用平台修复、更新和功能。及时安装补丁是保护系统的最佳实践。 | |
| T0156 | 监督配置管理并提出建议。 | 通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。 | |
| T0156 | 监督配置管理并提出建议。 | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。 | |
| T0156 | 监督配置管理并提出建议。 | 通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。 | |
| T0160 | 修补网络漏洞，确保信息免受外界侵害。 | 启用 Amazon Relational Database Service (RDS) 实例的自动次要版本升级，以确保安装关系数据库管理系统 (RDBMS) 的最新次要版本更新，其中可能包括安全补丁和错误修复。 | |
| T0160 | 修补网络漏洞，确保信息免受外界侵害。 | 使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。 AWS Systems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。 | |
| T0160 | 修补网络漏洞，确保信息免受外界侵害。 | 启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。该规则根据贵组织的政策和程序的要求检查 S AWS ystems Manager 中的 Amazon EC2 实例补丁是否合规。 | |
| T0162 | 对数据库执行备份和恢复以确保数据完整性。 | 为了帮助完成数据备份流程，请确保备份计划中包含您的 Amazon DynamoDB 表。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| T0162 | 对数据库执行备份和恢复以确保数据完整性。 | 为了帮助完成数据备份流程，请确保您的亚马逊弹性区块存储 (Amazon EBS) 卷包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| T0162 | 对数据库执行备份和恢复以确保数据完整性。 | 为了帮助完成数据备份流程，请确保您的亚马逊弹性文件系统（Amazon EFS）文件系统包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| T0162 | 对数据库执行备份和恢复以确保数据完整性。 | 为了帮助完成数据备份流程，请确保您的亚马逊关系数据库服务 (Amazon RDS) 实例包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| T0162 | 对数据库执行备份和恢复以确保数据完整性。 | 为了帮助完成数据备份流程，请确保您的 Amazon Redshift 集群具有自动快照。当某个集群的自动快照处于启用状态时，Redshift 会定期拍摄该集群的快照。默认情况下，Redshift 每八小时或每 5 GB 为每个数据更改节点（或以先到者为准）拍摄一次快照。 | |
| T0162 | 对数据库执行备份和恢复以确保数据完整性。 | 为了帮助完成数据 AWS 备份流程，请确保将 Backup 计划设置为最低频率和保留期限。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredFrequencyValue （配置默认：1）、 requiredRetentionDays（配置默认值：35）和 requiredFrequencyUnit （配置默认值：天）参数。实际值应反映贵组织的需求。 | |
| T0162 | 对数据库执行备份和恢复以确保数据完整性。 | 确保您的 AWS Backup 恢复点已启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| T0162 | 对数据库执行备份和恢复以确保数据完整性。 | 确保您的 AWS Backup 恢复点附有基于资源的策略，以防止删除恢复点。使用基于资源的策略来防止删除恢复点有助于防止意外或故意删除。 | |
| T0162 | 对数据库执行备份和恢复以确保数据完整性。 | Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 会自动创建数据库实例的存储卷快照，备份整个数据库实例。系统允许您设置特定的保留期以满足您的弹性要求。 | |
| T0162 | 对数据库执行备份和恢复以确保数据完整性。 | 启用此规则可检查信息是否已备份。它还通过确保在 Amazon DynamoDB 中启用 point-in-time 恢复功能来维护备份。恢复过程会维持表在过去 35 天的连续备份。 | |
| T0162 | 对数据库执行备份和恢复以确保数据完整性。 | 为了帮助完成数据备份流程，请确保您的亚马逊弹性计算云 (Amazon EC2) 资源包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| T0162 | 对数据库执行备份和恢复以确保数据完整性。 | 启用自动备份后，Amazon ElastiCache 会每天创建集群的备份。备份可保留的天数由贵组织规定。自动备份可以帮助防止数据丢失。发生故障时，您可以通过从最新的备份还原数据来创建新集群。 | |
| T0162 | 对数据库执行备份和恢复以确保数据完整性。 | 此规则可确保 Amazon Redshift 集群具有适合贵组织的首选设置。具体而言，就是确保它们有首选的数据库维护窗口和自动快照保留期。此规则要求您设置 allowVersionUpgrade. 默认值为 true。它还允许您选择设置 preferredMaintenanceWindow （默认值为 sat：16:00-sat：16:30）和周 automatedSnapshotRetention期（默认值为 1）。实际值应反映贵组织的策略。 | |
| T0162 | 对数据库执行备份和恢复以确保数据完整性。 | Amazon Simple Storage Service (Amazon S3) 跨区域复制 (CRR) 支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。 | |
| T0162 | 对数据库执行备份和恢复以确保数据完整性。 | Amazon Simple Storage Service (Amazon S3) 存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。 | |
| T0166 | 使用从企业内部各种来源收集的信息进行事件关联，以获得态势感知并确定所观察到的攻击的有效性。 | 确保为日志组保留事件日志数据的最短时间，以帮助进行故障排除和取证调查。缺乏过去的事件日志数据会让重建和识别潜在的恶意事件变得困难。 | |
| T0166 | 使用从企业内部各种来源收集的信息进行事件关联，以获得态势感知并确定所观察到的攻击的有效性。 | 确保 Amazon S OpenSearch ervice 域已启用错误日志，并将其流式传输到 Amazon CloudWatch Logs 以进行保留和响应。域错误日志可以帮助进行安全和访问审核，还可以帮助诊断可用性问题。 | |
| T0166 | 使用从企业内部各种来源收集的信息进行事件关联，以获得态势感知并确定所观察到的攻击的有效性。 | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，则会将所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | |
| T0166 | 使用从企业内部各种来源收集的信息进行事件关联，以获得态势感知并确定所观察到的攻击的有效性。 | 要帮助在您的环境中进行日志记录和监控，请在区域和全球 Web ACL 上启用 AWS WAF (V2) 日志记录。 AWS WAF 日志记录提供有关您的 Web ACL 所分析的流量的详细信息。这些日志记录了 AWS WAF 从您的 AWS 资源收到请求的时间、有关请求的信息以及每个请求匹配的规则的操作。 | |
| T0166 | 使用从企业内部各种来源收集的信息进行事件关联，以获得态势感知并确定所观察到的攻击的有效性。 | API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。 | |
| T0166 | 使用从企业内部各种来源收集的信息进行事件关联，以获得态势感知并确定所观察到的攻击的有效性。 | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您内部的 API 调用活动的详细信息 AWS 账户。 | |
| T0166 | 使用从企业内部各种来源收集的信息进行事件关联，以获得态势感知并确定所观察到的攻击的有效性。 | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。 | |
| T0166 | 使用从企业内部各种来源收集的信息进行事件关联，以获得态势感知并确定所观察到的攻击的有效性。 | 收集 Simple Storage Service (Amazon S3) 数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。 | |
| T0166 | 使用从企业内部各种来源收集的信息进行事件关联，以获得态势感知并确定所观察到的攻击的有效性。 | Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息 (例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。 | |
| T0166 | 使用从企业内部各种来源收集的信息进行事件关联，以获得态势感知并确定所观察到的攻击的有效性。 | 为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service (Amazon RDS) 日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。 | |
| T0166 | 使用从企业内部各种来源收集的信息进行事件关联，以获得态势感知并确定所观察到的攻击的有效性。 | 要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。 | |
| T0166 | 使用从企业内部各种来源收集的信息进行事件关联，以获得态势感知并确定所观察到的攻击的有效性。 | Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | |
| T0166 | 使用从企业内部各种来源收集的信息进行事件关联，以获得态势感知并确定所观察到的攻击的有效性。 | VPC 流日志详细记录进出 Amazon Virtual Private Cloud (Amazon VPC) 网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。 | |
| T0168 | 与已建立的数据库进行哈希比较。 | 利用 AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 传送后是否被修改、删除或未更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这使得在没有检测到的情况下修改、删除或伪造 CloudTrail 日志文件在计算上是不可行的。 | |
| T0195 | 根据任务要求提供受管理的相关信息流（通过基于 Web 的门户网站或其他方式）。 | 确保在弹性负载均衡器 (ELB) 上启用 AWS WAF，以帮助保护 Web 应用程序。WAF 有助于保护您的 Web 应用程序或 API 免遭常见 Web 漏洞的侵害。这些 Web 漏洞可能会影响可用性、损害安全性或消耗环境中过多的资源。 | |
| T0195 | 根据任务要求提供受管理的相关信息流（通过基于 Web 的门户网站或其他方式）。 | AWS WAF 允许您配置一组规则（称为 Web 访问控制列表 (Web ACL)），这些规则根据您定义的可自定义 Web 安全规则和条件允许、阻止或计数 Web 请求。确保您的 Amazon API Gateway 阶段与某个 WAF Web ACL 关联，以保护其免受恶意攻击 | |
| T0195 | 根据任务要求提供受管理的相关信息流（通过基于 Web 的门户网站或其他方式）。 | 如果您使用公有 IP 地址配置网络接口，则可以从互联网访问这些网络接口的相关资源。EC2 资源不应可公开访问，因为这可能会允许意外地访问您的应用程序或服务器。 | |
| T0195 | 根据任务要求提供受管理的相关信息流（通过基于 Web 的门户网站或其他方式）。 | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。 | |
| T0195 | 根据任务要求提供受管理的相关信息流（通过基于 Web 的门户网站或其他方式）。 | 在 Amazon Virtual Private Cloud (Amazon VPC) 内部署 Amazon Elastic Compute Cloud (Amazon EC2) 实例，以实现实例与 Amazon VPC 内其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。 | |
| T0195 | 根据任务要求提供受管理的相关信息流（通过基于 Web 的门户网站或其他方式）。 | 确保 Amazon EC2 路由表中没有指向互联网网关的无限制路由。移除或限制 Amazon VPC 内工作负载的互联网访问可以减少环境中的意外访问。 | |
| T0195 | 根据任务要求提供受管理的相关信息流（通过基于 Web 的门户网站或其他方式）。 | 增强型 VPC 路由会强制群集和数据存储库之间的所有 COPY 和 UNLOAD 流量都通过 Amazon VPC。然后，您可以使用安全组和网络访问控制列表等 VPC 功能，来保护网络流量。还可以使用 VPC 流日志来监控网络流量。 | |
| T0195 | 根据任务要求提供受管理的相关信息流（通过基于 Web 的门户网站或其他方式）。 | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置（配置默认值：True）、 ignorePublicAcls （配置默认值：True）、 blockPublicPolicy （配置默认值：True）和参数 blockPublicAcls （配置默认值：True）和 restrictPublicBuckets 参数（配置默认值：True）。实际值应反映贵组织的策略。 | |
| T0195 | 根据任务要求提供受管理的相关信息流（通过基于 Web 的门户网站或其他方式）。 | 确保 S AWS ystems Manager (SSM) 文档不公开，因为这可能会允许意外访问您的 SSM 文档。公开 SSM 文档可能会公开有关您的账户、资源和内部流程的信息。 | |
| T0195 | 根据任务要求提供受管理的相关信息流（通过基于 Web 的门户网站或其他方式）。 | 通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问权限。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| T0195 | 根据任务要求提供受管理的相关信息流（通过基于 Web 的门户网站或其他方式）。 | 通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问权限。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| T0195 | 根据任务要求提供受管理的相关信息流（通过基于 Web 的门户网站或其他方式）。 | 通过确保无法公开访问亚马逊弹性计算云 (Amazon EC2) 实例来管理对云的访问。 AWS Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| T0195 | 根据任务要求提供受管理的相关信息流（通过基于 Web 的门户网站或其他方式）。 | 通过确保亚马逊 OpenSearch 服务（OpenSearch 服务）域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。Amazon VPC 中的 OpenSearch 服务域可实现 OpenSearch 服务与 Amazon VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。 | |
| T0195 | 根据任务要求提供受管理的相关信息流（通过基于 Web 的门户网站或其他方式）。 | 通过确保无法公开访问 Amazon EMR 集群主节点来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| T0195 | 根据任务要求提供受管理的相关信息流（通过基于 Web 的门户网站或其他方式）。 | 通过确保无法公开访问 AWS Lambda 函数来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。 | |
| T0195 | 根据任务要求提供受管理的相关信息流（通过基于 Web 的门户网站或其他方式）。 | 在亚马逊虚拟私有云（亚马逊 VPC）中部署 AWS Lambda 函数，以便在亚马逊 VPC 内的函数与其他服务之间进行安全通信。使用此配置时，不需要互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。为了正确管理访问权限，应 AWS 将 Lambda 函数分配给 VPC。 | |
| T0195 | 根据任务要求提供受管理的相关信息流（通过基于 Web 的门户网站或其他方式）。 | 确保亚马逊 E AWS lasticsearch 服务 (Amazon ES) 域位于亚马逊虚拟私有云 (亚马逊 VPC) 中，从而管理对云的访问。Amazon VPC 中的 Amazon ES 域可实现 Amazon ES 与 Amazon VPC 中其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。 | |
| T0195 | 根据任务要求提供受管理的相关信息流（通过基于 Web 的门户网站或其他方式）。 | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| T0195 | 根据任务要求提供受管理的相关信息流（通过基于 Web 的门户网站或其他方式）。 | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| T0195 | 根据任务要求提供受管理的相关信息流（通过基于 Web 的门户网站或其他方式）。 | 通过确保 Amazon Redshift 集群不公开，管理对 AWS 云端资源的访问权限。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| T0195 | 根据任务要求提供受管理的相关信息流（通过基于 Web 的门户网站或其他方式）。 | 通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。 | |
| T0195 | 根据任务要求提供受管理的相关信息流（通过基于 Web 的门户网站或其他方式）。 | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。 | |
| T0195 | 根据任务要求提供受管理的相关信息流（通过基于 Web 的门户网站或其他方式）。 | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | |
| T0195 | 根据任务要求提供受管理的相关信息流（通过基于 Web 的门户网站或其他方式）。 | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | |
| T0195 | 根据任务要求提供受管理的相关信息流（通过基于 Web 的门户网站或其他方式）。 | 通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对 AWS 云端资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。 | |
| T0195 | 根据任务要求提供受管理的相关信息流（通过基于 Web 的门户网站或其他方式）。 | 通过确保亚马逊虚拟私有 AWS 云 (VPC) Virtual Private Cloud 子网不会自动分配公有 IP 地址来管理对云的访问。Amazon Elastic Compute Cloud (EC2) 实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。 | |
| T0195 | 根据任务要求提供受管理的相关信息流（通过基于 Web 的门户网站或其他方式）。 | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。 | |
| T0195 | 根据任务要求提供受管理的相关信息流（通过基于 Web 的门户网站或其他方式）。 | 通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。 | |
| T0215 | 识别可能存在的安全违规行为，并根据需要采取适当措施报告事件。 | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 列表和机器学习，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | |
| T0244 | 验证应用程序软件/网络/系统安全态势是否按规定实施，记录偏差，并建议所需措施以纠正这些偏差。 | 利用 AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 传送后是否被修改、删除或未更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这使得在没有检测到的情况下修改、删除或伪造 CloudTrail 日志文件在计算上是不可行的。 | |
| T0244 | 验证应用程序软件/网络/系统安全态势是否按规定实施，记录偏差，并建议所需措施以纠正这些偏差。 | 通过使用 Systems Man AWS ager 管理亚马逊弹性计算云 (Amazon EC2) 实例，可以清点组织内的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发行商和版本以及有关您的环境的其他详细信息。 | |
| T0244 | 验证应用程序软件/网络/系统安全态势是否按规定实施，记录偏差，并建议所需措施以纠正这些偏差。 | 使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。 AWS Systems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。 | |
| T0258 | 及时检测、识别可能的攻击/入侵、异常活动和滥用活动并发出警报，并将这些事件和活动与良性活动区分开来。 | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 列表和机器学习，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | |
| T0259 | 使用网络防御工具持续监控和分析系统活动，以识别恶意活动。 | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 列表和机器学习，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | |
| T0262 | 采用经批准 defense-in-depth 的原则和实践（例如， defense-in-multiple 地点、分层防御、安全稳健性）。 | 确保在弹性负载均衡器 (ELB) 上启用 AWS WAF，以帮助保护 Web 应用程序。WAF 有助于保护您的 Web 应用程序或 API 免遭常见 Web 漏洞的侵害。这些 Web 漏洞可能会影响可用性、损害安全性或消耗环境中过多的资源。 | |
| T0262 | 采用经批准 defense-in-depth 的原则和实践（例如， defense-in-multiple 地点、分层防御、安全稳健性）。 | AWS WAF 允许您配置一组规则（称为 Web 访问控制列表 (Web ACL)），这些规则根据您定义的可自定义 Web 安全规则和条件允许、阻止或计数 Web 请求。确保您的 Amazon API Gateway 阶段与某个 WAF Web ACL 关联，以保护其免受恶意攻击 | |
| T0262 | 采用经批准 defense-in-depth 的原则和实践（例如， defense-in-multiple 地点、分层防御、安全稳健性）。 | 如果您使用公有 IP 地址配置网络接口，则可以从互联网访问这些网络接口的相关资源。EC2 资源不应可公开访问，因为这可能会允许意外地访问您的应用程序或服务器。 | |
| T0262 | 采用经批准 defense-in-depth 的原则和实践（例如， defense-in-multiple 地点、分层防御、安全稳健性）。 | 在 Amazon Virtual Private Cloud (Amazon VPC) 内部署 Amazon Elastic Compute Cloud (Amazon EC2) 实例，以实现实例与 Amazon VPC 内其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。 | |
| T0262 | 采用经批准 defense-in-depth 的原则和实践（例如， defense-in-multiple 地点、分层防御、安全稳健性）。 | 确保 Amazon EC2 路由表中没有指向互联网网关的无限制路由。移除或限制 Amazon VPC 内工作负载的互联网访问可以减少环境中的意外访问。 | |
| T0262 | 采用经批准 defense-in-depth 的原则和实践（例如， defense-in-multiple 地点、分层防御、安全稳健性）。 | 增强型 VPC 路由会强制群集和数据存储库之间的所有 COPY 和 UNLOAD 流量都通过 Amazon VPC。然后，您可以使用安全组和网络访问控制列表等 VPC 功能，来保护网络流量。还可以使用 VPC 流日志来监控网络流量。 | |
| T0262 | 采用经批准 defense-in-depth 的原则和实践（例如， defense-in-multiple 地点、分层防御、安全稳健性）。 | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置（配置默认值：True）、 ignorePublicAcls （配置默认值：True）、 blockPublicPolicy （配置默认值：True）和参数 blockPublicAcls （配置默认值：True）和 restrictPublicBuckets 参数（配置默认值：True）。实际值应反映贵组织的策略。 | |
| T0262 | 采用经批准 defense-in-depth 的原则和实践（例如， defense-in-multiple 地点、分层防御、安全稳健性）。 | 确保 S AWS ystems Manager (SSM) 文档不公开，因为这可能会允许意外访问您的 SSM 文档。公开 SSM 文档可能会公开有关您的账户、资源和内部流程的信息。 | |
| T0262 | 采用经批准 defense-in-depth 的原则和实践（例如， defense-in-multiple 地点、分层防御、安全稳健性）。 | 通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问权限。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| T0262 | 采用经批准 defense-in-depth 的原则和实践（例如， defense-in-multiple 地点、分层防御、安全稳健性）。 | 通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问权限。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| T0262 | 采用经批准 defense-in-depth 的原则和实践（例如， defense-in-multiple 地点、分层防御、安全稳健性）。 | 通过确保无法公开访问亚马逊弹性计算云 (Amazon EC2) 实例来管理对云的访问。 AWS Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| T0262 | 采用经批准 defense-in-depth 的原则和实践（例如， defense-in-multiple 地点、分层防御、安全稳健性）。 | 通过确保亚马逊 OpenSearch 服务（OpenSearch 服务）域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。Amazon VPC 中的 OpenSearch 服务域可实现 OpenSearch 服务与 Amazon VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。 | |
| T0262 | 采用经批准 defense-in-depth 的原则和实践（例如， defense-in-multiple 地点、分层防御、安全稳健性）。 | 通过确保无法公开访问 Amazon EMR 集群主节点来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| T0262 | 采用经批准 defense-in-depth 的原则和实践（例如， defense-in-multiple 地点、分层防御、安全稳健性）。 | 通过确保无法公开访问 AWS Lambda 函数来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。 | |
| T0262 | 采用经批准 defense-in-depth 的原则和实践（例如， defense-in-multiple 地点、分层防御、安全稳健性）。 | 在亚马逊虚拟私有云（亚马逊 VPC）中部署 AWS Lambda 函数，以便在亚马逊 VPC 内的函数与其他服务之间进行安全通信。使用此配置时，不需要互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。为了正确管理访问权限，应 AWS 将 Lambda 函数分配给 VPC。 | |
| T0262 | 采用经批准 defense-in-depth 的原则和实践（例如， defense-in-multiple 地点、分层防御、安全稳健性）。 | 确保亚马逊 E AWS lasticsearch 服务 (Amazon ES) 域位于亚马逊虚拟私有云 (亚马逊 VPC) 中，从而管理对云的访问。Amazon VPC 中的 Amazon ES 域可实现 Amazon ES 与 Amazon VPC 中其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。 | |
| T0262 | 采用经批准 defense-in-depth 的原则和实践（例如， defense-in-multiple 地点、分层防御、安全稳健性）。 | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| T0262 | 采用经批准 defense-in-depth 的原则和实践（例如， defense-in-multiple 地点、分层防御、安全稳健性）。 | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| T0262 | 采用经批准 defense-in-depth 的原则和实践（例如， defense-in-multiple 地点、分层防御、安全稳健性）。 | 通过确保 Amazon Redshift 集群不公开，管理对 AWS 云端资源的访问权限。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| T0262 | 采用经批准 defense-in-depth 的原则和实践（例如， defense-in-multiple 地点、分层防御、安全稳健性）。 | 通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。 | |
| T0262 | 采用经批准 defense-in-depth 的原则和实践（例如， defense-in-multiple 地点、分层防御、安全稳健性）。 | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。 | |
| T0262 | 采用经批准 defense-in-depth 的原则和实践（例如， defense-in-multiple 地点、分层防御、安全稳健性）。 | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | |
| T0262 | 采用经批准 defense-in-depth 的原则和实践（例如， defense-in-multiple 地点、分层防御、安全稳健性）。 | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | |
| T0262 | 采用经批准 defense-in-depth 的原则和实践（例如， defense-in-multiple 地点、分层防御、安全稳健性）。 | 通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对 AWS 云端资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。 | |
| T0262 | 采用经批准 defense-in-depth 的原则和实践（例如， defense-in-multiple 地点、分层防御、安全稳健性）。 | 通过确保亚马逊虚拟私有 AWS 云 (VPC) Virtual Private Cloud 子网不会自动分配公有 IP 地址来管理对云的访问。Amazon Elastic Compute Cloud (EC2) 实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。 | |
| T0262 | 采用经批准 defense-in-depth 的原则和实践（例如， defense-in-multiple 地点、分层防御、安全稳健性）。 | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。 | |
| T0262 | 采用经批准 defense-in-depth 的原则和实践（例如， defense-in-multiple 地点、分层防御、安全稳健性）。 | 通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。 | |
| T0284 | 设计和开发与网络安全相关的新工具/技术。 | Organiz AWS ations AWS 账户 内部的集中管理有助于确保账户合规。缺乏集中式账户管理可能会导致账户配置不一致，从而可能泄露资源和敏感数据。 | |
| T0284 | 设计和开发与网络安全相关的新工具/技术。 | 确保在弹性负载均衡器 (ELB) 上启用 AWS WAF，以帮助保护 Web 应用程序。WAF 有助于保护您的 Web 应用程序或 API 免遭常见 Web 漏洞的侵害。这些 Web 漏洞可能会影响可用性、损害安全性或消耗环境中过多的资源。 | |
| T0284 | 设计和开发与网络安全相关的新工具/技术。 | AWS WAF 允许您配置一组规则（称为 Web 访问控制列表 (Web ACL)），这些规则根据您定义的可自定义 Web 安全规则和条件允许、阻止或计数 Web 请求。确保您的 Amazon API Gateway 阶段与某个 WAF Web ACL 关联，以保护其免受恶意攻击 | |
| T0284 | 设计和开发与网络安全相关的新工具/技术。 | 如果您使用公有 IP 地址配置网络接口，则可以从互联网访问这些网络接口的相关资源。EC2 资源不应可公开访问，因为这可能会允许意外地访问您的应用程序或服务器。 | |
| T0284 | 设计和开发与网络安全相关的新工具/技术。 | EC2 实例配置文件将 IAM 角色传递给 EC2 实例。将实例配置文件附加到您的实例可以帮助实现最低权限和权限管理。 | |
| T0284 | 设计和开发与网络安全相关的新工具/技术。 | 如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。 | |
| T0284 | 设计和开发与网络安全相关的新工具/技术。 | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有控制系统和资产访问权限的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。 | |
| T0284 | 设计和开发与网络安全相关的新工具/技术。 | 确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| T0284 | 设计和开发与网络安全相关的新工具/技术。 | 在 Amazon Virtual Private Cloud (Amazon VPC) 内部署 Amazon Elastic Compute Cloud (Amazon EC2) 实例，以实现实例与 Amazon VPC 内其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。 | |
| T0284 | 设计和开发与网络安全相关的新工具/技术。 | 确保 Amazon EC2 路由表中没有指向互联网网关的无限制路由。移除或限制 Amazon VPC 内工作负载的互联网访问可以减少环境中的意外访问。 | |
| T0284 | 设计和开发与网络安全相关的新工具/技术。 | 启用 Amazon Relational Database Service (RDS) 实例的自动次要版本升级，以确保安装关系数据库管理系统 (RDBMS) 的最新次要版本更新，其中可能包括安全补丁和错误修复。 | |
| T0284 | 设计和开发与网络安全相关的新工具/技术。 | 增强型 VPC 路由会强制群集和数据存储库之间的所有 COPY 和 UNLOAD 流量都通过 Amazon VPC。然后，您可以使用安全组和网络访问控制列表等 VPC 功能，来保护网络流量。还可以使用 VPC 流日志来监控网络流量。 | |
| T0284 | 设计和开发与网络安全相关的新工具/技术。 | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置（配置默认值：True）、 ignorePublicAcls （配置默认值：True）、 blockPublicPolicy （配置默认值：True）和参数 blockPublicAcls （配置默认值：True）和 restrictPublicBuckets 参数（配置默认值：True）。实际值应反映贵组织的策略。 | |
| T0284 | 设计和开发与网络安全相关的新工具/技术。 | 确保 S AWS ystems Manager (SSM) 文档不公开，因为这可能会允许意外访问您的 SSM 文档。公开 SSM 文档可能会公开有关您的账户、资源和内部流程的信息。 | |
| T0284 | 设计和开发与网络安全相关的新工具/技术。 | 确保您的 AWS Backup 恢复点附有基于资源的策略，以防止删除恢复点。使用基于资源的策略来防止删除恢复点有助于防止意外或故意删除。 | |
| T0284 | 设计和开发与网络安全相关的新工具/技术。 | 利用 AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 传送后是否被修改、删除或未更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这使得在没有检测到的情况下修改、删除或伪造 CloudTrail 日志文件在计算上是不可行的。 | |
| T0284 | 设计和开发与网络安全相关的新工具/技术。 | 确保 Codebuild 项目环境中不存在身份验证凭据 AWS_ACCESS_KEY_ID 和 AWS_SECRET_ACCESS_KEY。 AWS 不要以明文形式存储这些变量。以明文形式存储这些变量会导致意外的数据泄露和未经授权的访问。 | |
| T0284 | 设计和开发与网络安全相关的新工具/技术。 | 确保 GitHub 或 Bitbucket 源存储库网址不包含个人访问令牌，即 AWS Codebuild 项目环境中的登录凭证。使用 OAuth 代替个人访问令牌或登录凭证来授予访问或 Bitbucket 存储库的授权。 GitHub | |
| T0284 | 设计和开发与网络安全相关的新工具/技术。 | 通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问权限。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| T0284 | 设计和开发与网络安全相关的新工具/技术。 | 通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问权限。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| T0284 | 设计和开发与网络安全相关的新工具/技术。 | 通过确保无法公开访问亚马逊弹性计算云 (Amazon EC2) 实例来管理对云的访问。 AWS Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| T0284 | 设计和开发与网络安全相关的新工具/技术。 | 通过确保亚马逊 OpenSearch 服务（OpenSearch 服务）域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。Amazon VPC 中的 OpenSearch 服务域可实现 OpenSearch 服务与 Amazon VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。 | |
| T0284 | 设计和开发与网络安全相关的新工具/技术。 | 通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心 (KDC)。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。 | |
| T0284 | 设计和开发与网络安全相关的新工具/技术。 | 通过确保无法公开访问 Amazon EMR 集群主节点来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| T0284 | 设计和开发与网络安全相关的新工具/技术。 | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对 AWS 所有密钥管理服务密钥的封锁操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。此规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms: decrypt，kms：From）。ReEncrypt实际值应反映贵组织的策略 | |
| T0284 | 设计和开发与网络安全相关的新工具/技术。 | AWS Identity and Access Management (IAM) 可以确保 IAM 群组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。 | |
| T0284 | 设计和开发与网络安全相关的新工具/技术。 | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有允许对 AWS 所有密钥管理服务密钥执行阻止操作的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。此规则允许您设置 blockedActionsPatterns参数。（AWS 基础安全最佳实践值：kms: decrypt，kms：From）。ReEncrypt实际值应反映贵组织的策略。 | |
| T0284 | 设计和开发与网络安全相关的新工具/技术。 | 身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过了 NIST SP 800-63 和密码强度 AWS 基础安全最佳实践标准规定的要求。此规则允许您选择为自己的 IAM 设置 RequireUppercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireSymbols （AWS 基础安全最佳实践值：true）、 RequireNumbers （AWS 基础安全最佳实践值：true）、 MinimumPasswordLength （AWS 基础安全最佳实践值：14）、 PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）密码政策。实际值应反映贵组织的策略。 | |
| T0284 | 设计和开发与网络安全相关的新工具/技术。 | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“*” 而不是 “资源”：“*”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| T0284 | 设计和开发与网络安全相关的新工具/技术。 | 通过检查根用户的 AWS 身份和访问管理 (IAM) 角色是否没有附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户 方法来帮助整合功能最少的原则。 | |
| T0284 | 设计和开发与网络安全相关的新工具/技术。 | AWS 身份与访问管理 (IAM) Access Management 可通过确保用户至少属于一个群组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| T0284 | 设计和开发与网络安全相关的新工具/技术。 | 启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证 (MFA)。MFA 在用户名和密码之上增加了一层额外的防护。要求用户进行多重身份验证，从而减少账户被盗事件。 | |
| T0284 | 设计和开发与网络安全相关的新工具/技术。 | 该规则确保 AWS 身份和访问管理 (IAM) Access Management 策略仅附加到组或角色以控制对系统和资产的访问权限。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。 | |
| T0284 | 设计和开发与网络安全相关的新工具/技术。 | AWS 身份与访问管理 (IAM) Access Management 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果发现这些未使用的凭证，则应禁用和/或删除这些凭证，因为这可能违反最低权限原则。此规则要求您为 “ maxCredentialUsage年龄” 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。 | |
| T0284 | 设计和开发与网络安全相关的新工具/技术。 | 通过确保无法公开访问 AWS Lambda 函数来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。 | |
| T0284 | 设计和开发与网络安全相关的新工具/技术。 | 在亚马逊虚拟私有云（亚马逊 VPC）中部署 AWS Lambda 函数，以便在亚马逊 VPC 内的函数与其他服务之间进行安全通信。使用此配置时，不需要互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。为了正确管理访问权限，应 AWS 将 Lambda 函数分配给 VPC。 | |
| T0284 | 设计和开发与网络安全相关的新工具/技术。 | 确保所有拥有控制台密码的 AWS 身份和访问管理 (IAM) Access Management 用户都启用 MFA，从而管理对 AWS 云中资源的访问权限。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。 | |
| T0284 | 设计和开发与网络安全相关的新工具/技术。 | 确保亚马逊 E AWS lasticsearch 服务 (Amazon ES) 域位于亚马逊虚拟私有云 (亚马逊 VPC) 中，从而管理对云的访问。Amazon VPC 中的 Amazon ES 域可实现 Amazon ES 与 Amazon VPC 中其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。 | |
| T0284 | 设计和开发与网络安全相关的新工具/技术。 | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| T0284 | 设计和开发与网络安全相关的新工具/技术。 | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| T0284 | 设计和开发与网络安全相关的新工具/技术。 | 此规则可确保 Amazon Redshift 集群具有适合贵组织的首选设置。具体而言，就是确保它们有首选的数据库维护窗口和自动快照保留期。此规则要求您设置 allowVersionUpgrade. 默认值为 true。它还允许您选择设置 preferredMaintenanceWindow （默认值为 sat：16:00-sat：16:30）和周 automatedSnapshotRetention期（默认值为 1）。实际值应反映贵组织的策略。 | |
| T0284 | 设计和开发与网络安全相关的新工具/技术。 | 通过确保 Amazon Redshift 集群不公开，管理对 AWS 云端资源的访问权限。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| T0284 | 设计和开发与网络安全相关的新工具/技术。 | 通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。 | |
| T0284 | 设计和开发与网络安全相关的新工具/技术。 | 通过确保为根用户启用硬件 MFA 来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户进行 MFA，可以减少泄露事件。 AWS 账户 | |
| T0284 | 设计和开发与网络安全相关的新工具/技术。 | 通过确保为根用户启用 MFA 来管理对 AWS 云中资源的访问权限。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少泄露事件。 AWS 账户 | |
| T0284 | 设计和开发与网络安全相关的新工具/技术。 | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。 | |
| T0284 | 设计和开发与网络安全相关的新工具/技术。 | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | |
| T0284 | 设计和开发与网络安全相关的新工具/技术。 | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | |
| T0284 | 设计和开发与网络安全相关的新工具/技术。 | 通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对 AWS 云端资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。 | |
| T0284 | 设计和开发与网络安全相关的新工具/技术。 | 通过确保亚马逊虚拟私有 AWS 云 (VPC) Virtual Private Cloud 子网不会自动分配公有 IP 地址来管理对云的访问。Amazon Elastic Compute Cloud (EC2) 实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。 | |
| T0284 | 设计和开发与网络安全相关的新工具/技术。 | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。 | |
| T0284 | 设计和开发与网络安全相关的新工具/技术。 | 通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。 | |
| T0306 | 支持事件管理、服务级别管理、变更管理、发布管理、连续性管理以及数据库和数据管理系统的可用性管理。 | AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。 AWS Security Hub 汇总、整理来自多个服务的安全警报或发现，并对其进行优先排序。 AWS 其中一些服务包括Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS 身份和访问管理 (IAM) Access Analyzer、Firewall Manager 以及 AWS 合作伙伴解决方案。 AWS | |
| T0306 | 支持事件管理、服务级别管理、变更管理、发布管理、连续性管理以及数据库和数据管理系统的可用性管理。 | 当某个指标在指定数量的评估周期内突破阈值时，Amazon 会发出 CloudWatch 警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （配置默认值：True）、 insufficientDataAction必填项（配置默认值：True）、 okActionRequired （配置默认值：False）的值。实际值应反映您的环境的警报操作。 | |
| T0306 | 支持事件管理、服务级别管理、变更管理、发布管理、连续性管理以及数据库和数据管理系统的可用性管理。 | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 列表和机器学习，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | |
| T0314 | 根据适用的网络安全要求制定系统安全背景、初步的系统安全操作概念 (CONOPS)，并定义基准系统安全要求。 | 通过使用 Systems Man AWS ager 管理亚马逊弹性计算云 (Amazon EC2) 实例，可以清点组织内的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发行商和版本以及有关您的环境的其他详细信息。 | |
| T0314 | 根据适用的网络安全要求制定系统安全背景、初步的系统安全操作概念 (CONOPS)，并定义基准系统安全要求。 | 使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。 AWS Systems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。 | |
| T0314 | 根据适用的网络安全要求制定系统安全背景、初步的系统安全操作概念 (CONOPS)，并定义基准系统安全要求。 | 根据组织的标准，启用此规则可检查 Amazon EC2 实例停止运行的天数是否超过允许的天数，从而帮助进行 Amazon Elastic Compute Cloud (Amazon EC2) 实例的基线配置。 | |
| T0314 | 根据适用的网络安全要求制定系统安全背景、初步的系统安全操作概念 (CONOPS)，并定义基准系统安全要求。 | 此规则可确保附加到 Amazon Elastic Compute Cloud (Amazon EC2) 实例上的 Amazon Elastic Block Store 卷在实例终止时标记为删除。如果在附加到 Amazon EBS 卷的实例终止时，卷没有被删除，则可能违反最少功能的概念。 | |
| T0314 | 根据适用的网络安全要求制定系统安全背景、初步的系统安全操作概念 (CONOPS)，并定义基准系统安全要求。 | 此规则可确保 Elastic Load Balancing 已启用删除保护。使用此功能可防止负载均衡器被意外或恶意删除，因为这可能导致应用程序丧失可用性。 | |
| T0314 | 根据适用的网络安全要求制定系统安全背景、初步的系统安全操作概念 (CONOPS)，并定义基准系统安全要求。 | 通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。 | |
| T0333 | 执行网络防御趋势分析和报告。 | AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。 AWS Security Hub 汇总、整理来自多个服务的安全警报或发现，并对其进行优先排序。 AWS 其中一些服务包括Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS 身份和访问管理 (IAM) Access Analyzer、Firewall Manager 以及 AWS 合作伙伴解决方案。 AWS | |
| T0333 | 执行网络防御趋势分析和报告。 | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 列表和机器学习，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | |
| T0347 | 评估源数据和后续发现的有效性。 | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 列表和机器学习，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | |
| T0358 | 为特权访问用户设计和开发系统管理功能。 | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有控制系统和资产访问权限的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。 | |
| T0358 | 为特权访问用户设计和开发系统管理功能。 | 确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| T0358 | 为特权访问用户设计和开发系统管理功能。 | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对 AWS 所有密钥管理服务密钥的封锁操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。此规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms: decrypt，kms：From）。ReEncrypt实际值应反映贵组织的策略 | |
| T0358 | 为特权访问用户设计和开发系统管理功能。 | AWS Identity and Access Management (IAM) 可以确保 IAM 群组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。 | |
| T0358 | 为特权访问用户设计和开发系统管理功能。 | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有允许对 AWS 所有密钥管理服务密钥执行阻止操作的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。此规则允许您设置 blockedActionsPatterns参数。（AWS 基础安全最佳实践值：kms: decrypt，kms：From）。ReEncrypt实际值应反映贵组织的策略。 | |
| T0358 | 为特权访问用户设计和开发系统管理功能。 | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“*” 而不是 “资源”：“*”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| T0358 | 为特权访问用户设计和开发系统管理功能。 | AWS 身份与访问管理 (IAM) Access Management 可通过确保用户至少属于一个群组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| T0358 | 为特权访问用户设计和开发系统管理功能。 | 该规则确保 AWS 身份和访问管理 (IAM) Access Management 策略仅附加到组或角色以控制对系统和资产的访问权限。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。 | |
| T0376 | 根据组织要求建立、实施和评估网络劳动力管理计划并为其配备资源。 | EC2 实例配置文件将 IAM 角色传递给 EC2 实例。将实例配置文件附加到您的实例可以帮助实现最低权限和权限管理。 | |
| T0376 | 根据组织要求建立、实施和评估网络劳动力管理计划并为其配备资源。 | 如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。 | |
| T0376 | 根据组织要求建立、实施和评估网络劳动力管理计划并为其配备资源。 | 确保 Amazon S OpenSearch ervice 域已启用错误日志，并将其流式传输到 Amazon CloudWatch Logs 以进行保留和响应。域错误日志可以帮助进行安全和访问审核，还可以帮助诊断可用性问题。 | |
| T0376 | 根据组织要求建立、实施和评估网络劳动力管理计划并为其配备资源。 | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有控制系统和资产访问权限的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。 | |
| T0376 | 根据组织要求建立、实施和评估网络劳动力管理计划并为其配备资源。 | 确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| T0376 | 根据组织要求建立、实施和评估网络劳动力管理计划并为其配备资源。 | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，则会将所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | |
| T0376 | 根据组织要求建立、实施和评估网络劳动力管理计划并为其配备资源。 | 为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service (Amazon RDS) 日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。 | |
| T0376 | 根据组织要求建立、实施和评估网络劳动力管理计划并为其配备资源。 | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您内部的 API 调用活动的详细信息 AWS 账户。 | |
| T0376 | 根据组织要求建立、实施和评估网络劳动力管理计划并为其配备资源。 | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。 | |
| T0376 | 根据组织要求建立、实施和评估网络劳动力管理计划并为其配备资源。 | 收集 Simple Storage Service (Amazon S3) 数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。 | |
| T0376 | 根据组织要求建立、实施和评估网络劳动力管理计划并为其配备资源。 | 通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心 (KDC)。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。 | |
| T0376 | 根据组织要求建立、实施和评估网络劳动力管理计划并为其配备资源。 | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对 AWS 所有密钥管理服务密钥的封锁操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。此规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms: decrypt，kms：From）。ReEncrypt实际值应反映贵组织的策略 | |
| T0376 | 根据组织要求建立、实施和评估网络劳动力管理计划并为其配备资源。 | AWS Identity and Access Management (IAM) 可以确保 IAM 群组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。 | |
| T0376 | 根据组织要求建立、实施和评估网络劳动力管理计划并为其配备资源。 | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有允许对 AWS 所有密钥管理服务密钥执行阻止操作的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。此规则允许您设置 blockedActionsPatterns参数。（AWS 基础安全最佳实践值：kms: decrypt，kms：From）。ReEncrypt实际值应反映贵组织的策略。 | |
| T0376 | 根据组织要求建立、实施和评估网络劳动力管理计划并为其配备资源。 | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“*” 而不是 “资源”：“*”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| T0376 | 根据组织要求建立、实施和评估网络劳动力管理计划并为其配备资源。 | AWS 身份与访问管理 (IAM) Access Management 可通过确保用户至少属于一个群组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| T0376 | 根据组织要求建立、实施和评估网络劳动力管理计划并为其配备资源。 | 该规则确保 AWS 身份和访问管理 (IAM) Access Management 策略仅附加到组或角色以控制对系统和资产的访问权限。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。 | |
| T0376 | 根据组织要求建立、实施和评估网络劳动力管理计划并为其配备资源。 | Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | |
| T0376 | 根据组织要求建立、实施和评估网络劳动力管理计划并为其配备资源。 | VPC 流日志详细记录进出 Amazon Virtual Private Cloud (Amazon VPC) 网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。 | |
| T0416 | 通过利用现有的公钥基础架构 (PKI) 库并在适当时加入证书管理和加密功能，为应用程序提供公钥。 | 通过确保 X509 证书由 ACM 颁发，确保网络完整性得到保护。 AWS 这些证书必须有效且未过期。此规则需要一个值 daysToExpiration （AWS 基础安全最佳实践值：90）。实际值应反映贵组织的策略。 | |
| T0416 | 通过利用现有的公钥基础架构 (PKI) 库并在适当时加入证书管理和加密功能，为应用程序提供公钥。 | 为帮助保护传输中的数据，请确保应用负载均衡器自动将未加密的 HTTP 请求重定向到 HTTPS。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| T0416 | 通过利用现有的公钥基础架构 (PKI) 库并在适当时加入证书管理和加密功能，为应用程序提供公钥。 | 确保启用了 Amazon OpenSearch 服务的 node-to-node 加密。N ode-to-node 加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| T0416 | 通过利用现有的公钥基础架构 (PKI) 库并在适当时加入证书管理和加密功能，为应用程序提供公钥。 | 由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certifice Manager 通过 AWS 服务和内部资源管理、配置和部署公共和私有 SSL/TLS 证书。 | |
| T0416 | 通过利用现有的公钥基础架构 (PKI) 库并在适当时加入证书管理和加密功能，为应用程序提供公钥。 | 由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certifice Manager 通过 AWS 服务和内部资源管理、配置和部署公共和私有 SSL/TLS 证书。 | |
| T0416 | 通过利用现有的公钥基础架构 (PKI) 库并在适当时加入证书管理和加密功能，为应用程序提供公钥。 | 确保您的弹性负载均衡器 (ELB) 配置了 SSL 或 HTTPS 侦听器。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| T0416 | 通过利用现有的公钥基础架构 (PKI) 库并在适当时加入证书管理和加密功能，为应用程序提供公钥。 | 确保启用了 Amazon OpenSearch 服务的 node-to-node 加密。N ode-to-node 加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| T0416 | 通过利用现有的公钥基础架构 (PKI) 库并在适当时加入证书管理和加密功能，为应用程序提供公钥。 | 确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| T0416 | 通过利用现有的公钥基础架构 (PKI) 库并在适当时加入证书管理和加密功能，为应用程序提供公钥。 | 为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶需要请求使用安全套接字层 (SSL)。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| T0416 | 通过利用现有的公钥基础架构 (PKI) 库并在适当时加入证书管理和加密功能，为应用程序提供公钥。 | 确保 Amazon API Gateway REST API 阶段配置了 SSL 证书，以允许后端系统验证请求来自 API Gateway。 | |
| T0421 | 管理明确的组织知识（例如硬拷贝文档、数字文件）的索引/编目、存储和访问。 | 如果您使用公有 IP 地址配置网络接口，则可以从互联网访问这些网络接口的相关资源。EC2 资源不应可公开访问，因为这可能会允许意外地访问您的应用程序或服务器。 | |
| T0421 | 管理明确的组织知识（例如硬拷贝文档、数字文件）的索引/编目、存储和访问。 | 通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问权限。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| T0421 | 管理明确的组织知识（例如硬拷贝文档、数字文件）的索引/编目、存储和访问。 | 通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问权限。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| T0421 | 管理明确的组织知识（例如硬拷贝文档、数字文件）的索引/编目、存储和访问。 | 通过确保无法公开访问亚马逊弹性计算云 (Amazon EC2) 实例来管理对云的访问。 AWS Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| T0421 | 管理明确的组织知识（例如硬拷贝文档、数字文件）的索引/编目、存储和访问。 | 通过确保无法公开访问 Amazon EMR 集群主节点来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| T0421 | 管理明确的组织知识（例如硬拷贝文档、数字文件）的索引/编目、存储和访问。 | 通过确保无法公开访问 AWS Lambda 函数来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。 | |
| T0421 | 管理明确的组织知识（例如硬拷贝文档、数字文件）的索引/编目、存储和访问。 | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| T0421 | 管理明确的组织知识（例如硬拷贝文档、数字文件）的索引/编目、存储和访问。 | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| T0421 | 管理明确的组织知识（例如硬拷贝文档、数字文件）的索引/编目、存储和访问。 | 通过确保 Amazon Redshift 集群不公开，管理对 AWS 云端资源的访问权限。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| T0421 | 管理明确的组织知识（例如硬拷贝文档、数字文件）的索引/编目、存储和访问。 | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置（配置默认值：True）、 ignorePublicAcls （配置默认值：True）、 blockPublicPolicy （配置默认值：True）和参数 blockPublicAcls （配置默认值：True）和 restrictPublicBuckets 参数（配置默认值：True）。实际值应反映贵组织的策略。 | |
| T0421 | 管理明确的组织知识（例如硬拷贝文档、数字文件）的索引/编目、存储和访问。 | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | |
| T0421 | 管理明确的组织知识（例如硬拷贝文档、数字文件）的索引/编目、存储和访问。 | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | |
| T0421 | 管理明确的组织知识（例如硬拷贝文档、数字文件）的索引/编目、存储和访问。 | 确保 S AWS ystems Manager (SSM) 文档不公开，因为这可能会允许意外访问您的 SSM 文档。公开 SSM 文档可能会公开有关您的账户、资源和内部流程的信息。 | |
| T0421 | 管理明确的组织知识（例如硬拷贝文档、数字文件）的索引/编目、存储和访问。 | 通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心 (KDC)。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。 | |
| T0421 | 管理明确的组织知识（例如硬拷贝文档、数字文件）的索引/编目、存储和访问。 | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。 | |
| T0421 | 管理明确的组织知识（例如硬拷贝文档、数字文件）的索引/编目、存储和访问。 | 通过确保亚马逊虚拟私有 AWS 云 (VPC) Virtual Private Cloud 子网不会自动分配公有 IP 地址来管理对云的访问。Amazon Elastic Compute Cloud (EC2) 实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。 | |
| T0475 | 根据最低权限原则评估适当的访问控制和 need-to-know. | 如果您使用公有 IP 地址配置网络接口，则可以从互联网访问这些网络接口的相关资源。EC2 资源不应可公开访问，因为这可能会允许意外地访问您的应用程序或服务器。 | |
| T0475 | 根据最低权限原则评估适当的访问控制和 need-to-know. | EC2 实例配置文件将 IAM 角色传递给 EC2 实例。将实例配置文件附加到您的实例可以帮助实现最低权限和权限管理。 | |
| T0475 | 根据最低权限原则评估适当的访问控制和 need-to-know. | 如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。 | |
| T0475 | 根据最低权限原则评估适当的访问控制和 need-to-know. | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有控制系统和资产访问权限的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。 | |
| T0475 | 根据最低权限原则评估适当的访问控制和 need-to-know. | 确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| T0475 | 根据最低权限原则评估适当的访问控制和 need-to-know. | 在 Amazon Virtual Private Cloud (Amazon VPC) 内部署 Amazon Elastic Compute Cloud (Amazon EC2) 实例，以实现实例与 Amazon VPC 内其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。 | |
| T0475 | 根据最低权限原则评估适当的访问控制和 need-to-know. | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置（配置默认值：True）、 ignorePublicAcls （配置默认值：True）、 blockPublicPolicy （配置默认值：True）和参数 blockPublicAcls （配置默认值：True）和 restrictPublicBuckets 参数（配置默认值：True）。实际值应反映贵组织的策略。 | |
| T0475 | 根据最低权限原则评估适当的访问控制和 need-to-know. | 确保 S AWS ystems Manager (SSM) 文档不公开，因为这可能会允许意外访问您的 SSM 文档。公开 SSM 文档可能会公开有关您的账户、资源和内部流程的信息。 | |
| T0475 | 根据最低权限原则评估适当的访问控制和 need-to-know. | 通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问权限。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| T0475 | 根据最低权限原则评估适当的访问控制和 need-to-know. | 通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问权限。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| T0475 | 根据最低权限原则评估适当的访问控制和 need-to-know. | 通过确保无法公开访问亚马逊弹性计算云 (Amazon EC2) 实例来管理对云的访问。 AWS Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| T0475 | 根据最低权限原则评估适当的访问控制和 need-to-know. | 通过确保亚马逊 OpenSearch 服务（OpenSearch 服务）域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。Amazon VPC 中的 OpenSearch 服务域可实现 OpenSearch 服务与 Amazon VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。 | |
| T0475 | 根据最低权限原则评估适当的访问控制和 need-to-know. | 通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心 (KDC)。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。 | |
| T0475 | 根据最低权限原则评估适当的访问控制和 need-to-know. | 通过确保无法公开访问 Amazon EMR 集群主节点来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| T0475 | 根据最低权限原则评估适当的访问控制和 need-to-know. | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对 AWS 所有密钥管理服务密钥的封锁操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。此规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms: decrypt，kms：From）。ReEncrypt实际值应反映贵组织的策略 | |
| T0475 | 根据最低权限原则评估适当的访问控制和 need-to-know. | AWS Identity and Access Management (IAM) 可以确保 IAM 群组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。 | |
| T0475 | 根据最低权限原则评估适当的访问控制和 need-to-know. | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有允许对 AWS 所有密钥管理服务密钥执行阻止操作的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。此规则允许您设置 blockedActionsPatterns参数。（AWS 基础安全最佳实践值：kms: decrypt，kms：From）。ReEncrypt实际值应反映贵组织的策略。 | |
| T0475 | 根据最低权限原则评估适当的访问控制和 need-to-know. | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“*” 而不是 “资源”：“*”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| T0475 | 根据最低权限原则评估适当的访问控制和 need-to-know. | 通过检查根用户的 AWS 身份和访问管理 (IAM) 角色是否没有附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户 方法来帮助整合功能最少的原则。 | |
| T0475 | 根据最低权限原则评估适当的访问控制和 need-to-know. | AWS 身份与访问管理 (IAM) Access Management 可通过确保用户至少属于一个群组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| T0475 | 根据最低权限原则评估适当的访问控制和 need-to-know. | 该规则确保 AWS 身份和访问管理 (IAM) Access Management 策略仅附加到组或角色以控制对系统和资产的访问权限。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。 | |
| T0475 | 根据最低权限原则评估适当的访问控制和 need-to-know. | AWS 身份与访问管理 (IAM) Access Management 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果发现这些未使用的凭证，则应禁用和/或删除这些凭证，因为这可能违反最低权限原则。此规则要求您为 “ maxCredentialUsage年龄” 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。 | |
| T0475 | 根据最低权限原则评估适当的访问控制和 need-to-know. | 通过确保无法公开访问 AWS Lambda 函数来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。 | |
| T0475 | 根据最低权限原则评估适当的访问控制和 need-to-know. | 在亚马逊虚拟私有云（亚马逊 VPC）中部署 AWS Lambda 函数，以便在亚马逊 VPC 内的函数与其他服务之间进行安全通信。使用此配置时，不需要互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。为了正确管理访问权限，应 AWS 将 Lambda 函数分配给 VPC。 | |
| T0475 | 根据最低权限原则评估适当的访问控制和 need-to-know. | 确保亚马逊 E AWS lasticsearch 服务 (Amazon ES) 域位于亚马逊虚拟私有云 (亚马逊 VPC) 中，从而管理对云的访问。Amazon VPC 中的 Amazon ES 域可实现 Amazon ES 与 Amazon VPC 中其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。 | |
| T0475 | 根据最低权限原则评估适当的访问控制和 need-to-know. | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| T0475 | 根据最低权限原则评估适当的访问控制和 need-to-know. | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| T0475 | 根据最低权限原则评估适当的访问控制和 need-to-know. | 通过确保 Amazon Redshift 集群不公开，管理对 AWS 云端资源的访问权限。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| T0475 | 根据最低权限原则评估适当的访问控制和 need-to-know. | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。 | |
| T0475 | 根据最低权限原则评估适当的访问控制和 need-to-know. | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | |
| T0475 | 根据最低权限原则评估适当的访问控制和 need-to-know. | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | |
| T0475 | 根据最低权限原则评估适当的访问控制和 need-to-know. | 通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对 AWS 云端资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。 | |
| T0475 | 根据最低权限原则评估适当的访问控制和 need-to-know. | 通过确保亚马逊虚拟私有 AWS 云 (VPC) Virtual Private Cloud 子网不会自动分配公有 IP 地址来管理对云的访问。Amazon Elastic Compute Cloud (EC2) 实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。 | |
| T0489 | 按照既定程序实施系统安全措施，以确保机密性、完整性、可用性、身份验证和不可否认性。 | 确保 Amazon S OpenSearch ervice 域已启用错误日志，并将其流式传输到 Amazon CloudWatch Logs 以进行保留和响应。域错误日志可以帮助进行安全和访问审核，还可以帮助诊断可用性问题。 | |
| T0489 | 按照既定程序实施系统安全措施，以确保机密性、完整性、可用性、身份验证和不可否认性。 | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，则会将所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | |
| T0489 | 按照既定程序实施系统安全措施，以确保机密性、完整性、可用性、身份验证和不可否认性。 | 要帮助在您的环境中进行日志记录和监控，请在区域和全球 Web ACL 上启用 AWS WAF (V2) 日志记录。 AWS WAF 日志记录提供有关您的 Web ACL 所分析的流量的详细信息。这些日志记录了 AWS WAF 从您的 AWS 资源收到请求的时间、有关请求的信息以及每个请求匹配的规则的操作。 | |
| T0489 | 按照既定程序实施系统安全措施，以确保机密性、完整性、可用性、身份验证和不可否认性。 | API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。 | |
| T0489 | 按照既定程序实施系统安全措施，以确保机密性、完整性、可用性、身份验证和不可否认性。 | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您内部的 API 调用活动的详细信息 AWS 账户。 | |
| T0489 | 按照既定程序实施系统安全措施，以确保机密性、完整性、可用性、身份验证和不可否认性。 | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。 | |
| T0489 | 按照既定程序实施系统安全措施，以确保机密性、完整性、可用性、身份验证和不可否认性。 | 收集 Simple Storage Service (Amazon S3) 数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。 | |
| T0489 | 按照既定程序实施系统安全措施，以确保机密性、完整性、可用性、身份验证和不可否认性。 | Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息 (例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。 | |
| T0489 | 按照既定程序实施系统安全措施，以确保机密性、完整性、可用性、身份验证和不可否认性。 | 为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service (Amazon RDS) 日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。 | |
| T0489 | 按照既定程序实施系统安全措施，以确保机密性、完整性、可用性、身份验证和不可否认性。 | 要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。 | |
| T0489 | 按照既定程序实施系统安全措施，以确保机密性、完整性、可用性、身份验证和不可否认性。 | Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | |
| T0489 | 按照既定程序实施系统安全措施，以确保机密性、完整性、可用性、身份验证和不可否认性。 | VPC 流日志详细记录进出 Amazon Virtual Private Cloud (Amazon VPC) 网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。 | |
| T0491 | 根据组织标准为系统用户安装和配置硬件、软件和外围设备。 | 通过使用 Systems Man AWS ager 管理亚马逊弹性计算云 (Amazon EC2) 实例，可以清点组织内的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发行商和版本以及有关您的环境的其他详细信息。 | |
| T0491 | 根据组织标准为系统用户安装和配置硬件、软件和外围设备。 | 使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。 AWS Systems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。 | |
| T0491 | 根据组织标准为系统用户安装和配置硬件、软件和外围设备。 | 启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。该规则根据贵组织的政策和程序的要求检查 S AWS ystems Manager 中的 Amazon EC2 实例补丁是否合规。 | |
| T0503 | 监控外部数据源（例如网络防御供应商站点、计算机应急响应小组、Security Focus），以了解网络防御威胁的最新情况，并确定哪些安全问题可能会对企业产生影响。 | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 列表和机器学习，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | |
| T0509 | 执行信息安全风险评估。 | annual-risk-assessment-performed （过程检查） | 对您的组织进行年度风险评估。风险评估有助于确定已识别的风险和/或漏洞对组织造成影响的可能性和影响。 |
| T0553 | 应用网络安全功能（例如加密、访问控制和身份管理）以减少漏洞利用机会。 | 为了帮助保护静态数据，请确保为您的 Amazon Elastic Block Store (Amazon EBS) 卷启用加密。由于这些卷中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| T0553 | 应用网络安全功能（例如加密、访问控制和身份管理）以减少漏洞利用机会。 | 确保已启用亚马逊 Elasticsearch Service 的 node-to-node 加密。N ode-to-node 加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| T0553 | 应用网络安全功能（例如加密、访问控制和身份管理）以减少漏洞利用机会。 | 确保您的弹性负载均衡器 (ELB) 配置了 SSL 或 HTTPS 侦听器。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| T0553 | 应用网络安全功能（例如加密、访问控制和身份管理）以减少漏洞利用机会。 | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对 AWS 所有密钥管理服务密钥的封锁操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。此规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms: decrypt，kms：From）。ReEncrypt实际值应反映贵组织的策略 | |
| T0553 | 应用网络安全功能（例如加密、访问控制和身份管理）以减少漏洞利用机会。 | AWS Identity and Access Management (IAM) 可以确保 IAM 群组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。 | |
| T0553 | 应用网络安全功能（例如加密、访问控制和身份管理）以减少漏洞利用机会。 | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有允许对 AWS 所有密钥管理服务密钥执行阻止操作的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。此规则允许您设置 blockedActionsPatterns参数。（AWS 基础安全最佳实践值：kms: decrypt，kms：From）。ReEncrypt实际值应反映贵组织的策略。 | |
| T0553 | 应用网络安全功能（例如加密、访问控制和身份管理）以减少漏洞利用机会。 | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有控制系统和资产访问权限的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。 | |
| T0553 | 应用网络安全功能（例如加密、访问控制和身份管理）以减少漏洞利用机会。 | 身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过了 NIST SP 800-63 和密码强度 AWS 基础安全最佳实践标准规定的要求。此规则允许您选择为自己的 IAM 设置 RequireUppercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireSymbols （AWS 基础安全最佳实践值：true）、 RequireNumbers （AWS 基础安全最佳实践值：true）、 MinimumPasswordLength （AWS 基础安全最佳实践值：14）、 PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）密码政策。实际值应反映贵组织的策略。 | |
| T0553 | 应用网络安全功能（例如加密、访问控制和身份管理）以减少漏洞利用机会。 | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“*” 而不是 “资源”：“*”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| T0553 | 应用网络安全功能（例如加密、访问控制和身份管理）以减少漏洞利用机会。 | 确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| T0553 | 应用网络安全功能（例如加密、访问控制和身份管理）以减少漏洞利用机会。 | 通过检查根用户的 AWS 身份和访问管理 (IAM) 角色是否没有附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户 方法来帮助整合功能最少的原则。 | |
| T0553 | 应用网络安全功能（例如加密、访问控制和身份管理）以减少漏洞利用机会。 | AWS 身份与访问管理 (IAM) Access Management 可通过确保用户至少属于一个群组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| T0553 | 应用网络安全功能（例如加密、访问控制和身份管理）以减少漏洞利用机会。 | 启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证 (MFA)。MFA 在用户名和密码之上增加了一层额外的防护。要求用户进行多重身份验证，从而减少账户被盗事件。 | |
| T0553 | 应用网络安全功能（例如加密、访问控制和身份管理）以减少漏洞利用机会。 | 该规则确保 AWS 身份和访问管理 (IAM) Access Management 策略仅附加到组或角色以控制对系统和资产的访问权限。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。 | |
| T0553 | 应用网络安全功能（例如加密、访问控制和身份管理）以减少漏洞利用机会。 | AWS 身份与访问管理 (IAM) Access Management 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果发现这些未使用的凭证，则应禁用和/或删除这些凭证，因为这可能违反最低权限原则。此规则要求您为 “ maxCredentialUsage年龄” 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。 | |
| T0553 | 应用网络安全功能（例如加密、访问控制和身份管理）以减少漏洞利用机会。 | 确保所有拥有控制台密码的 AWS 身份和访问管理 (IAM) Access Management 用户都启用 MFA，从而管理对 AWS 云中资源的访问权限。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。 | |
| T0553 | 应用网络安全功能（例如加密、访问控制和身份管理）以减少漏洞利用机会。 | 由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon Elasticsearch Service (Amazon ES) 域启用了加密。 | |
| T0553 | 应用网络安全功能（例如加密、访问控制和身份管理）以减少漏洞利用机会。 | 确保已启用亚马逊 Elasticsearch Service 的 node-to-node 加密。N ode-to-node 加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| T0553 | 应用网络安全功能（例如加密、访问控制和身份管理）以减少漏洞利用机会。 | 确保为 Amazon Relational Database Service (Amazon RDS) 快照启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| T0553 | 应用网络安全功能（例如加密、访问控制和身份管理）以减少漏洞利用机会。 | 确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| T0553 | 应用网络安全功能（例如加密、访问控制和身份管理）以减少漏洞利用机会。 | 为帮助保护静态数据，请确保您的 SageMaker 笔记本电脑启用了 AWS 密钥管理服务 (AWS KMS) 的加密。由于敏感数据可以静态存在于 SageMaker 笔记本中，因此启用静态加密以帮助保护这些数据。 | |
| T0553 | 应用网络安全功能（例如加密、访问控制和身份管理）以减少漏洞利用机会。 | 为帮助保护传输中的数据，请确保应用负载均衡器自动将未加密的 HTTP 请求重定向到 HTTPS。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| T0553 | 应用网络安全功能（例如加密、访问控制和身份管理）以减少漏洞利用机会。 | 为了帮助保护静态数据，请确保为 API Gateway 阶段的缓存启用加密。由于可能会为 API 方法捕获敏感数据，因此应启用静态加密以帮助保护这些数据。 | |
| T0553 | 应用网络安全功能（例如加密、访问控制和身份管理）以减少漏洞利用机会。 | 确保 Amazon API Gateway REST API 阶段配置了 SSL 证书，以允许后端系统验证请求来自 API Gateway。 | |
| T0553 | 应用网络安全功能（例如加密、访问控制和身份管理）以减少漏洞利用机会。 | 由于可能存在敏感数据，为了帮助保护静态数据，请确保为您的 AWS CloudTrail跟踪启用了加密。 | |
| T0553 | 应用网络安全功能（例如加密、访问控制和身份管理）以减少漏洞利用机会。 | 由于可能存在敏感数据，并且为了帮助保护静态数据，请确保为您的 Amazon Elastic File System (EFS) 启用加密。 | |
| T0553 | 应用网络安全功能（例如加密、访问控制和身份管理）以减少漏洞利用机会。 | 由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon Elasticsearch Service (Amazon ES) 域启用了加密。 | |
| T0553 | 应用网络安全功能（例如加密、访问控制和身份管理）以减少漏洞利用机会。 | 由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certifice Manager 通过 AWS 服务和内部资源管理、配置和部署公共和私有 SSL/TLS 证书。 | |
| T0553 | 应用网络安全功能（例如加密、访问控制和身份管理）以减少漏洞利用机会。 | 由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon Elastic Block Store (Amazon EBS) 卷启用了加密。 | |
| T0553 | 应用网络安全功能（例如加密、访问控制和身份管理）以减少漏洞利用机会。 | 为了帮助保护静态数据，请确保您的 Amazon Relational Database Service (Amazon RDS) 实例启用了加密。由于 Amazon RDS 实例中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| T0553 | 应用网络安全功能（例如加密、访问控制和身份管理）以减少漏洞利用机会。 | 要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。 | |
| T0553 | 应用网络安全功能（例如加密、访问控制和身份管理）以减少漏洞利用机会。 | 为了帮助保护静态数据，请确保您的 Amazon Redshift 集群启用了密 AWS 钥管理服务 (AWS KMS) 的加密。由于 Redshift 集群中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| T0553 | 应用网络安全功能（例如加密、访问控制和身份管理）以减少漏洞利用机会。 | 确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| T0553 | 应用网络安全功能（例如加密、访问控制和身份管理）以减少漏洞利用机会。 | 为了帮助保护静态数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用加密以帮助保护这些数据。 | |
| T0553 | 应用网络安全功能（例如加密、访问控制和身份管理）以减少漏洞利用机会。 | 为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶需要请求使用安全套接字层 (SSL)。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| T0553 | 应用网络安全功能（例如加密、访问控制和身份管理）以减少漏洞利用机会。 | 为帮助保护静态数据，请确保您的 SageMaker 终端节点已启用 AWS 密钥管理服务 (AWS KMS) 加密。由于敏感数据可以静态存在于 SageMaker 端点中，因此启用静态加密以帮助保护这些数据。 | |
| T0557 | 集成与网络空间相关的关键管理功能。 | 启用密钥轮换，以确保密钥在加密周期结束后立即进行轮换。 | |
| T0557 | 集成与网络空间相关的关键管理功能。 | 为了帮助保护静态数据，请确保在密钥管理服务 (KMS) 中没有计划删除必要的客户主 AWS 密AWS 钥 (CMK)。由于有时需要删除密钥，因此此规则可以帮助检查所有计划删除的密钥，以防密钥被无意中安排删除。 | |
| T0576 | 评估所有来源的情报并推荐目标以支持网络操作目标。 | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 列表和机器学习，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | |
| T0609 | 对无线计算机和数字网络进行接入启用。 | 确保在弹性负载均衡器 (ELB) 上启用 AWS WAF，以帮助保护 Web 应用程序。WAF 有助于保护您的 Web 应用程序或 API 免遭常见 Web 漏洞的侵害。这些 Web 漏洞可能会影响可用性、损害安全性或消耗环境中过多的资源。 | |
| T0609 | 对无线计算机和数字网络进行接入启用。 | AWS WAF 允许您配置一组规则（称为 Web 访问控制列表 (Web ACL)），这些规则根据您定义的可自定义 Web 安全规则和条件允许、阻止或计数 Web 请求。确保您的 Amazon API Gateway 阶段与某个 WAF Web ACL 关联，以保护其免受恶意攻击 | |
| T0609 | 对无线计算机和数字网络进行接入启用。 | 如果您使用公有 IP 地址配置网络接口，则可以从互联网访问这些网络接口的相关资源。EC2 资源不应可公开访问，因为这可能会允许意外地访问您的应用程序或服务器。 | |
| T0609 | 对无线计算机和数字网络进行接入启用。 | 通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问权限。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| T0609 | 对无线计算机和数字网络进行接入启用。 | 通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问权限。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| T0609 | 对无线计算机和数字网络进行接入启用。 | 通过确保无法公开访问亚马逊弹性计算云 (Amazon EC2) 实例来管理对云的访问。 AWS Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| T0609 | 对无线计算机和数字网络进行接入启用。 | 确保亚马逊 E AWS lasticsearch 服务 (Amazon ES) 域位于亚马逊虚拟私有云 (亚马逊 VPC) 中，从而管理对云的访问。Amazon VPC 中的 Amazon ES 域可实现 Amazon ES 与 Amazon VPC 中其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。 | |
| T0609 | 对无线计算机和数字网络进行接入启用。 | 通过确保无法公开访问 Amazon EMR 集群主节点来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| T0609 | 对无线计算机和数字网络进行接入启用。 | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。 | |
| T0609 | 对无线计算机和数字网络进行接入启用。 | 在 Amazon Virtual Private Cloud (Amazon VPC) 内部署 Amazon Elastic Compute Cloud (Amazon EC2) 实例，以实现实例与 Amazon VPC 内其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。 | |
| T0609 | 对无线计算机和数字网络进行接入启用。 | 通过确保无法公开访问 AWS Lambda 函数来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。 | |
| T0609 | 对无线计算机和数字网络进行接入启用。 | 在亚马逊虚拟私有云（亚马逊 VPC）中部署 AWS Lambda 函数，以便在亚马逊 VPC 内的函数与其他服务之间进行安全通信。使用此配置时，不需要互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。为了正确管理访问权限，应 AWS 将 Lambda 函数分配给 VPC。 | |
| T0609 | 对无线计算机和数字网络进行接入启用。 | 确保 Amazon EC2 路由表中没有指向互联网网关的无限制路由。移除或限制 Amazon VPC 内工作负载的互联网访问可以减少环境中的意外访问。 | |
| T0609 | 对无线计算机和数字网络进行接入启用。 | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| T0609 | 对无线计算机和数字网络进行接入启用。 | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| T0609 | 对无线计算机和数字网络进行接入启用。 | 通过确保 Amazon Redshift 集群不公开，管理对 AWS 云端资源的访问权限。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| T0609 | 对无线计算机和数字网络进行接入启用。 | 增强型 VPC 路由会强制群集和数据存储库之间的所有 COPY 和 UNLOAD 流量都通过 Amazon VPC。然后，您可以使用安全组和网络访问控制列表等 VPC 功能，来保护网络流量。还可以使用 VPC 流日志来监控网络流量。 | |
| T0609 | 对无线计算机和数字网络进行接入启用。 | 通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。 | |
| T0609 | 对无线计算机和数字网络进行接入启用。 | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置（配置默认值：True）、 ignorePublicAcls （配置默认值：True）、 blockPublicPolicy （配置默认值：True）和参数 blockPublicAcls （配置默认值：True）和 restrictPublicBuckets 参数（配置默认值：True）。实际值应反映贵组织的策略。 | |
| T0609 | 对无线计算机和数字网络进行接入启用。 | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | |
| T0609 | 对无线计算机和数字网络进行接入启用。 | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | |
| T0609 | 对无线计算机和数字网络进行接入启用。 | 通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对 AWS 云端资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。 | |
| T0609 | 对无线计算机和数字网络进行接入启用。 | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。 | |
| T0609 | 对无线计算机和数字网络进行接入启用。 | 通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。 | |
| T0609 | 对无线计算机和数字网络进行接入启用。 | 确保亚马逊 E AWS lasticsearch 服务 (Amazon ES) 域位于亚马逊虚拟私有云 (亚马逊 VPC) 中，从而管理对云的访问。Amazon VPC 中的 Amazon ES 域可实现 Amazon ES 与 Amazon VPC 中其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。 | |
| T0609 | 对无线计算机和数字网络进行接入启用。 | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。 | |
| T0609 | 对无线计算机和数字网络进行接入启用。 | 通过确保亚马逊虚拟私有 AWS 云 (VPC) Virtual Private Cloud 子网不会自动分配公有 IP 地址来管理对云的访问。Amazon Elastic Compute Cloud (EC2) 实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。 | |
| T0616 | 对网络中的系统进行网络侦察和漏洞分析。 | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 列表和机器学习，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | |
| T0686 | 识别威胁漏洞。 | 启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。该规则根据贵组织的政策和程序的要求检查 S AWS ystems Manager 中的 Amazon EC2 实例补丁是否合规。 | |
| T0686 | 识别威胁漏洞。 | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 列表和机器学习，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | |
| T0706 | 通过传统和替代技术（例如，社交网络分析、呼叫链接、流量分析）收集有关网络的信息。 | 确保为日志组保留事件日志数据的最短时间，以帮助进行故障排除和取证调查。缺乏过去的事件日志数据会让重建和识别潜在的恶意事件变得困难。 | |
| T0706 | 通过传统和替代技术（例如，社交网络分析、呼叫链接、流量分析）收集有关网络的信息。 | 确保 Amazon Elasticsearch 服务域启用错误日志，并将其流式传输到亚马逊 CloudWatch 日志以进行保留和响应。域错误日志可以帮助进行安全和访问审核，还可以帮助诊断可用性问题。 | |
| T0706 | 通过传统和替代技术（例如，社交网络分析、呼叫链接、流量分析）收集有关网络的信息。 | 此规则可确保建立 Lambda 函数的并发上限和下限。这有助于确定函数在任何特定时间提供服务的请求数量的基准。 | |
| T0706 | 通过传统和替代技术（例如，社交网络分析、呼叫链接、流量分析）收集有关网络的信息。 | 启用此规则有助于在功能发生故障时通过 Amazon Simple Queue Service (Amazon SQS) 或 Amazon Simple Notification Service (Amazon SNS) 通知相关人员。 | |
| T0706 | 通过传统和替代技术（例如，社交网络分析、呼叫链接、流量分析）收集有关网络的信息。 | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，则会将所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | |
| T0706 | 通过传统和替代技术（例如，社交网络分析、呼叫链接、流量分析）收集有关网络的信息。 | 启用 Amazon Relational Database Service (Amazon RDS)，以帮助监控 Amazon RDS 可用性。这让您可以详细了解您的 Amazon RDS 数据库实例的运行状况。当 Amazon RDS 存储使用多个底层物理设备时，“增强监控”会收集每台设备的数据。此外，当 Amazon RDS 数据库实例在多可用区部署中运行时，会收集辅助主机上每个设备的数据和辅助主机指标。 | |
| T0706 | 通过传统和替代技术（例如，社交网络分析、呼叫链接、流量分析）收集有关网络的信息。 | 为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service (Amazon RDS) 日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。 | |
| T0706 | 通过传统和替代技术（例如，社交网络分析、呼叫链接、流量分析）收集有关网络的信息。 | AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。 AWS Security Hub 汇总、整理来自多个服务的安全警报或发现，并对其进行优先排序。 AWS 其中一些服务包括Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS 身份和访问管理 (IAM) Access Analyzer、Firewall Manager 以及 AWS 合作伙伴解决方案。 AWS | |
| T0706 | 通过传统和替代技术（例如，社交网络分析、呼叫链接、流量分析）收集有关网络的信息。 | 要帮助在您的环境中进行日志记录和监控，请在区域和全球 Web ACL 上启用 AWS WAF (V2) 日志记录。 AWS WAF 日志记录提供有关您的 Web ACL 所分析的流量的详细信息。这些日志记录了 AWS WAF 从您的 AWS 资源收到请求的时间、有关请求的信息以及每个请求匹配的规则的操作。 | |
| T0706 | 通过传统和替代技术（例如，社交网络分析、呼叫链接、流量分析）收集有关网络的信息。 | API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。 | |
| T0706 | 通过传统和替代技术（例如，社交网络分析、呼叫链接、流量分析）收集有关网络的信息。 | Amazon Elastic Compute Cloud (Amazon EC2) Auto Scaling 组的 Elastic Load Balancer (ELB) 运行状况检查支持维持足够的容量和可用性。负载均衡器会定期发送 ping、尝试进行连接或者发送请求来测试自动扩缩组中的 Amazon EC2 实例。如果实例没有返回报告，则流量会发送到新的 Amazon EC2 实例。 | |
| T0706 | 通过传统和替代技术（例如，社交网络分析、呼叫链接、流量分析）收集有关网络的信息。 | AWS Elastic Beanstalk 增强的运行状况报告功能可以更快地响应底层基础设施运行状况的变化。这些变更可能会导致应用程序的可用性不足。Elastic Beanstalk 增强的运行状况报告提供了状态描述符，用于衡量已发现问题的严重性并确定可能的原因以进行调查。 | |
| T0706 | 通过传统和替代技术（例如，社交网络分析、呼叫链接、流量分析）收集有关网络的信息。 | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您内部的 API 调用活动的详细信息 AWS 账户。 | |
| T0706 | 通过传统和替代技术（例如，社交网络分析、呼叫链接、流量分析）收集有关网络的信息。 | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。 | |
| T0706 | 通过传统和替代技术（例如，社交网络分析、呼叫链接、流量分析）收集有关网络的信息。 | 收集 Simple Storage Service (Amazon S3) 数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。 | |
| T0706 | 通过传统和替代技术（例如，社交网络分析、呼叫链接、流量分析）收集有关网络的信息。 | 当某个指标在指定数量的评估周期内突破阈值时，Amazon 会发出 CloudWatch 警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （配置默认值：True）、 insufficientDataAction必填项（配置默认值：True）、 okActionRequired （配置默认值：False）的值。实际值应反映您的环境的警报操作。 | |
| T0706 | 通过传统和替代技术（例如，社交网络分析、呼叫链接、流量分析）收集有关网络的信息。 | 启用此规则可确保检查您的 Amazon DynamoDB 表上的预置吞吐容量。这是每个表可以支持的读/写活动量。DynamoDB 使用这些信息来预留足够的系统资源，以满足吞吐量需求。当吞吐量接近客户账户的最大限制时，此规则会生成警报。此规则允许您选择设置 AccountRCU（ThresholdPercentage 配置默认值：80）和 AccountWCUThresholdPercentage （配置默认值：80）参数。实际值应反映贵组织的策略。 | |
| T0706 | 通过传统和替代技术（例如，社交网络分析、呼叫链接、流量分析）收集有关网络的信息。 | 启用此规则可帮助改进 Amazon EC2 控制台上的 Amazon Elastic Compute Cloud (Amazon EC2) 实例监控，该控制台以 1 分钟为周期显示实例的监控图。 | |
| T0706 | 通过传统和替代技术（例如，社交网络分析、呼叫链接、流量分析）收集有关网络的信息。 | Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息 (例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。 | |
| T0706 | 通过传统和替代技术（例如，社交网络分析、呼叫链接、流量分析）收集有关网络的信息。 | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 列表和机器学习，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | |
| T0706 | 通过传统和替代技术（例如，社交网络分析、呼叫链接、流量分析）收集有关网络的信息。 | 要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。 | |
| T0706 | 通过传统和替代技术（例如，社交网络分析、呼叫链接、流量分析）收集有关网络的信息。 | Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | |
| T0706 | 通过传统和替代技术（例如，社交网络分析、呼叫链接、流量分析）收集有关网络的信息。 | VPC 流日志详细记录进出 Amazon Virtual Private Cloud (Amazon VPC) 网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。 | |
| T0777 | 分析网络或系统管理员及其活动。 | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 列表和机器学习，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | |
| T0805 | 报告源自情报的重大网络事件和入侵。 | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 列表和机器学习，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | |
| T0877 | 与适用的组织单位合作，监督消费者信息访问权 | EC2 实例配置文件将 IAM 角色传递给 EC2 实例。将实例配置文件附加到您的实例可以帮助实现最低权限和权限管理。 | |
| T0877 | 与适用的组织单位合作，监督消费者信息访问权 | 如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。 | |
| T0877 | 与适用的组织单位合作，监督消费者信息访问权 | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有控制系统和资产访问权限的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。 | |
| T0877 | 与适用的组织单位合作，监督消费者信息访问权 | 确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| T0877 | 与适用的组织单位合作，监督消费者信息访问权 | 确保 S AWS ystems Manager (SSM) 文档不公开，因为这可能会允许意外访问您的 SSM 文档。公开 SSM 文档可能会公开有关您的账户、资源和内部流程的信息。 | |
| T0877 | 与适用的组织单位合作，监督消费者信息访问权 | 通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心 (KDC)。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。 | |
| T0877 | 与适用的组织单位合作，监督消费者信息访问权 | AWS Identity and Access Management (IAM) 可以确保 IAM 群组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。 | |
| T0877 | 与适用的组织单位合作，监督消费者信息访问权 | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“*” 而不是 “资源”：“*”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| T0877 | 与适用的组织单位合作，监督消费者信息访问权 | AWS 身份与访问管理 (IAM) Access Management 可通过确保用户至少属于一个群组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| T0877 | 与适用的组织单位合作，监督消费者信息访问权 | 该规则确保 AWS 身份和访问管理 (IAM) Access Management 策略仅附加到组或角色以控制对系统和资产的访问权限。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。 | |
| T0877 | 与适用的组织单位合作，监督消费者信息访问权 | 通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。 | |
| T0935 | 执行信息安全风险评估。 | annual-risk-assessment-performed （过程检查） | 对您的组织进行年度风险评估。风险评估有助于确定已识别的风险和/或漏洞对组织造成影响的可能性和影响。 |
| T0960 | 监控系统及其运行环境的变化。 | 此规则可确保建立 Lambda 函数的并发上限和下限。这有助于确定函数在任何特定时间提供服务的请求数量的基准。 | |
| T0960 | 监控系统及其运行环境的变化。 | 启用此规则有助于在功能发生故障时通过 Amazon Simple Queue Service (Amazon SQS) 或 Amazon Simple Notification Service (Amazon SNS) 通知相关人员。 | |
| T0960 | 监控系统及其运行环境的变化。 | 启用 Amazon Relational Database Service (Amazon RDS)，以帮助监控 Amazon RDS 可用性。这让您可以详细了解您的 Amazon RDS 数据库实例的运行状况。当 Amazon RDS 存储使用多个底层物理设备时，“增强监控”会收集每台设备的数据。此外，当 Amazon RDS 数据库实例在多可用区部署中运行时，会收集辅助主机上每个设备的数据和辅助主机指标。 | |
| T0960 | 监控系统及其运行环境的变化。 | Amazon Elastic Compute Cloud (Amazon EC2) Auto Scaling 组的 Elastic Load Balancer (ELB) 运行状况检查支持维持足够的容量和可用性。负载均衡器会定期发送 ping、尝试进行连接或者发送请求来测试自动扩缩组中的 Amazon EC2 实例。如果实例没有返回报告，则流量会发送到新的 Amazon EC2 实例。 | |
| T0960 | 监控系统及其运行环境的变化。 | AWS Elastic Beanstalk 增强的运行状况报告功能可以更快地响应底层基础设施运行状况的变化。这些变更可能会导致应用程序的可用性不足。Elastic Beanstalk 增强的运行状况报告提供了状态描述符，用于衡量已发现问题的严重性并确定可能的原因以进行调查。 | |
| T0960 | 监控系统及其运行环境的变化。 | 当某个指标在指定数量的评估周期内突破阈值时，Amazon 会发出 CloudWatch 警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （配置默认值：True）、 insufficientDataAction必填项（配置默认值：True）、 okActionRequired （配置默认值：False）的值。实际值应反映您的环境的警报操作。 | |
| T0960 | 监控系统及其运行环境的变化。 | 启用此规则可确保检查您的 Amazon DynamoDB 表上的预置吞吐容量。这是每个表可以支持的读/写活动量。DynamoDB 使用这些信息来预留足够的系统资源，以满足吞吐量需求。当吞吐量接近客户账户的最大限制时，此规则会生成警报。此规则允许您选择设置 AccountRCU（ThresholdPercentage 配置默认值：80）和 AccountWCUThresholdPercentage （配置默认值：80）参数。实际值应反映贵组织的策略。 | |
| T0960 | 监控系统及其运行环境的变化。 | 启用此规则可帮助改进 Amazon EC2 控制台上的 Amazon Elastic Compute Cloud (Amazon EC2) 实例监控，该控制台以 1 分钟为周期显示实例的监控图。 | |
| T0992 | 确定持续监控结果将如何用于持续授权。 | EC2 实例配置文件将 IAM 角色传递给 EC2 实例。将实例配置文件附加到您的实例可以帮助实现最低权限和权限管理。 | |
| T0992 | 确定持续监控结果将如何用于持续授权。 | 如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。 | |
| T0992 | 确定持续监控结果将如何用于持续授权。 | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有控制系统和资产访问权限的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。 | |
| T0992 | 确定持续监控结果将如何用于持续授权。 | 确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| T0992 | 确定持续监控结果将如何用于持续授权。 | 通过确保 IAM 访问密钥按照组织策略的规定轮换，对授权设备、用户和流程的证书进行审计。定期更改访问密钥是一种安全最佳实践。它会缩短访问密钥的有效期，并降低密钥泄露时对业务的影响。此规则需要访问密钥轮换值（配置默认值：90）。实际值应反映贵组织的策略。 | |
| T0992 | 确定持续监控结果将如何用于持续授权。 | 通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心 (KDC)。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。 | |
| T0992 | 确定持续监控结果将如何用于持续授权。 | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对 AWS 所有密钥管理服务密钥的封锁操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。此规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms: decrypt，kms：From）。ReEncrypt实际值应反映贵组织的策略 | |
| T0992 | 确定持续监控结果将如何用于持续授权。 | AWS Identity and Access Management (IAM) 可以确保 IAM 群组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。 | |
| T0992 | 确定持续监控结果将如何用于持续授权。 | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有允许对 AWS 所有密钥管理服务密钥执行阻止操作的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。此规则允许您设置 blockedActionsPatterns参数。（AWS 基础安全最佳实践值：kms: decrypt，kms：From）。ReEncrypt实际值应反映贵组织的策略。 | |
| T0992 | 确定持续监控结果将如何用于持续授权。 | 身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过了 NIST SP 800-63 和密码强度 AWS 基础安全最佳实践标准规定的要求。此规则允许您选择为自己的 IAM 设置 RequireUppercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireSymbols （AWS 基础安全最佳实践值：true）、 RequireNumbers （AWS 基础安全最佳实践值：true）、 MinimumPasswordLength （AWS 基础安全最佳实践值：14）、 PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）密码政策。实际值应反映贵组织的策略。 | |
| T0992 | 确定持续监控结果将如何用于持续授权。 | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“*” 而不是 “资源”：“*”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| T0992 | 确定持续监控结果将如何用于持续授权。 | 通过检查根用户的 AWS 身份和访问管理 (IAM) 角色是否没有附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户 方法来帮助整合功能最少的原则。 | |
| T0992 | 确定持续监控结果将如何用于持续授权。 | AWS 身份与访问管理 (IAM) Access Management 可通过确保用户至少属于一个群组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| T0992 | 确定持续监控结果将如何用于持续授权。 | 启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证 (MFA)。MFA 在用户名和密码之上增加了一层额外的防护。要求用户进行多重身份验证，从而减少账户被盗事件。 | |
| T0992 | 确定持续监控结果将如何用于持续授权。 | 该规则确保 AWS 身份和访问管理 (IAM) Access Management 策略仅附加到组或角色以控制对系统和资产的访问权限。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。 | |
| T0992 | 确定持续监控结果将如何用于持续授权。 | AWS 身份与访问管理 (IAM) Access Management 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果发现这些未使用的凭证，则应禁用和/或删除这些凭证，因为这可能违反最低权限原则。此规则要求您为 “ maxCredentialUsage年龄” 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。 | |
| T0992 | 确定持续监控结果将如何用于持续授权。 | 确保所有拥有控制台密码的 AWS 身份和访问管理 (IAM) Access Management 用户都启用 MFA，从而管理对 AWS 云中资源的访问权限。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。 | |
| T0992 | 确定持续监控结果将如何用于持续授权。 | 通过确保为根用户启用硬件 MFA 来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户进行 MFA，可以减少泄露事件。 AWS 账户 | |
| T0992 | 确定持续监控结果将如何用于持续授权。 | 通过确保为根用户启用 MFA 来管理对 AWS 云中资源的访问权限。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少泄露事件。 AWS 账户 | |
| T0992 | 确定持续监控结果将如何用于持续授权。 | 此规则可确保 S AWS ecrets Manager 密钥已启用轮换。定期轮换机密可以缩短机密的有效期，并有可能减少机密泄露时对业务的影响。 | |
| T0993 | 建立持续监控工具和技术访问控制流程及程序。 | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对 AWS 所有密钥管理服务密钥的封锁操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。此规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms: decrypt，kms：From）。ReEncrypt实际值应反映贵组织的策略 | |
| T0993 | 建立持续监控工具和技术访问控制流程及程序。 | AWS Identity and Access Management (IAM) 可以确保 IAM 群组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。 | |
| T0993 | 建立持续监控工具和技术访问控制流程及程序。 | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有允许对 AWS 所有密钥管理服务密钥执行阻止操作的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。此规则允许您设置 blockedActionsPatterns参数。（AWS 基础安全最佳实践值：kms: decrypt，kms：From）。ReEncrypt实际值应反映贵组织的策略。 | |
| T0993 | 建立持续监控工具和技术访问控制流程及程序。 | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有控制系统和资产访问权限的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。 | |
| T0993 | 建立持续监控工具和技术访问控制流程及程序。 | 身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过了 NIST SP 800-63 和密码强度 AWS 基础安全最佳实践标准规定的要求。此规则允许您选择为自己的 IAM 设置 RequireUppercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireSymbols （AWS 基础安全最佳实践值：true）、 RequireNumbers （AWS 基础安全最佳实践值：true）、 MinimumPasswordLength （AWS 基础安全最佳实践值：14）、 PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）密码政策。实际值应反映贵组织的策略。 | |
| T0993 | 建立持续监控工具和技术访问控制流程及程序。 | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“*” 而不是 “资源”：“*”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| T0993 | 建立持续监控工具和技术访问控制流程及程序。 | 确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| T0993 | 建立持续监控工具和技术访问控制流程及程序。 | 通过检查根用户的 AWS 身份和访问管理 (IAM) 角色是否没有附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户 方法来帮助整合功能最少的原则。 | |
| T0993 | 建立持续监控工具和技术访问控制流程及程序。 | AWS 身份与访问管理 (IAM) Access Management 可通过确保用户至少属于一个群组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| T0993 | 建立持续监控工具和技术访问控制流程及程序。 | 该规则确保 AWS 身份和访问管理 (IAM) Access Management 策略仅附加到组或角色以控制对系统和资产的访问权限。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。 | |
| T0993 | 建立持续监控工具和技术访问控制流程及程序。 | AWS 身份与访问管理 (IAM) Access Management 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果发现这些未使用的凭证，则应禁用和/或删除这些凭证，因为这可能违反最低权限原则。此规则要求您为 “ maxCredentialUsage年龄” 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。 | |
| T0993 | 建立持续监控工具和技术访问控制流程及程序。 | 确保所有拥有控制台密码的 AWS 身份和访问管理 (IAM) Access Management 用户都启用 MFA，从而管理对 AWS 云中资源的访问权限。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。 | |
| T0993 | 建立持续监控工具和技术访问控制流程及程序。 | 启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证 (MFA)。MFA 在用户名和密码之上增加了一层额外的防护。要求用户进行多重身份验证，从而减少账户被盗事件。 | |
| T0993 | 建立持续监控工具和技术访问控制流程及程序。 | 通过确保为根用户启用硬件 MFA 来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户进行 MFA，可以减少泄露事件。 AWS 账户 | |
| T0993 | 建立持续监控工具和技术访问控制流程及程序。 | 通过确保为根用户启用 MFA 来管理对 AWS 云中资源的访问权限。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少泄露事件。 AWS 账户 |
模板
该模板可在以下网址获得 GitHub：NIST 800 181 操作最佳实践
