本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
Kinesis 的 Security Hub 控件
这些 AWS Security Hub 控制措施用于评估 Amazon Kinesis 服务和资源。
这些控件可能并非全部可用 AWS 区域。有关更多信息，请参阅 按地区划分的控件可用性。
[Kinesis.1] Kinesis 直播应在静态状态下进行加密
相关要求： NIST.800-53.r5 CA-9(1)、 NIST.800-53.r5 CM-3(6), NIST.800-53.r5 SC-1 3、 NIST.800-53.r5 SC-2 8、 NIST.800-53.r5 SC-2 8 (1)、 NIST.800-53.r5 SC-7 (10)、NIST .800-53.r5 SI-7 (6)
类别：保护 > 数据保护 > 加密 data-at-rest
严重性：中
资源类型：AWS::Kinesis::Stream
AWS Config 规则：kinesis-stream-encrypted
计划类型：已触发变更
参数：无
此控件检查 Kinesis Data Streams 是否使用服务器端加密进行静态加密。如果 Kinesis 流未使用服务器端加密进行静态加密，则此控制失败。
服务器端加密是 Amazon Kinesis Data Streams 中的一项功能，它使用 AWS KMS key在数据静止之前自动对其进行加密。数据在写入 Kinesis 流存储层之前进行加密，并在从存储中检索后进行解密。因此，在 Amazon Kinesis Data Streams 服务中对数据进行静态加密。
修复
有关启用 Kinesis 流的服务器端加密的信息，请参阅 Amazon Kinesis 开发人员指南中的“如何开始使用服务器端加密？”。
[Kinesis.2] Kinesis 直播应该被标记
类别：识别 > 清单 > 标记
严重性：低
资源类型：AWS::Kinesis::Stream
AWS Config规则：tagged-kinesis-stream（自定义 Security Hub 规则）
计划类型：已触发变更
参数：
| 参数 | 描述 | 类型 | 允许的自定义值 | Security Hub 默认值 |
|---|---|---|---|---|
requiredTagKeys
|
评估的资源必须包含的非系统标签密钥列表。标签键区分大小写。 | StringList | 符合AWS 要求的标签列表 | 无默认值 |
此控件检查 Amazon Kinesis 数据流是否具有参数中定义的特定密钥的标签。requiredTagKeys如果数据流没有任何标签密钥或者没有参数中指定的所有密钥，则控件将失败requiredTagKeys。如果requiredTagKeys未提供该参数，则该控件仅检查标签密钥是否存在，如果数据流未使用任何密钥进行标记，则该控件将失败。系统标签会自动应用并以其开头aws:，但会被忽略。
标签是您分配给 AWS 资源的标签，它由密钥和可选值组成。您可以创建标签，按用途、所有者、环境或其他标准对资源进行分类。标签可以帮助您识别、组织、搜索和筛选资源。标记还可以帮助您跟踪负责任的资源所有者的操作和通知。使用标记时，可以实现基于属性的访问控制 (ABAC) 作为一种授权策略，它根据标签定义权限。您可以为IAM实体（用户或角色）和 AWS 资源附加标签。您可以为IAM委托人创建单个ABAC策略或一组单独的策略。您可以将这些ABAC策略设计为允许在委托人的标签与资源标签匹配时进行操作。有关更多信息，请参阅有什么ABAC用 AWS？ 在《IAM用户指南》中。
注意
不要在标签中添加个人身份信息 (PII) 或其他机密或敏感信息。许多人都可以访问标签 AWS 服务，包括 AWS Billing。有关更多标记最佳做法，请参阅中的为AWS 资源添加标签。AWS 一般参考
修复
要向 Kinesis 数据流添加标签，请参阅《亚马逊 Kinesis 开发者指南》中的在 Amazon Kinesis 数据流中为直播添加标签。
[Kinesis.3] Kinesis 直播应有足够的数据保留期
类别：恢复 > 弹性 > 启用备份
严重性：中
资源类型：AWS::Kinesis::Stream
AWS Config规则：kinesis-stream-backup-retention-check
计划类型：已触发变更
参数：
| 参数 | 描述 | 类型 | 允许的自定义值 | Security Hub 默认值 |
|---|---|---|---|---|
minimumBackupRetentionPeriod
|
数据应保留的最小小时数。 | String | 24 到 8760 | 168 |
此控件检查 Amazon Kinesis 数据流的数据保留期是否大于或等于指定的时间范围。如果数据保留期少于指定的时间范围，则控制失败。除非您为数据保留期提供自定义参数值，否则 Security Hub 将使用默认值 168 小时。
在 Kinesis Data Streams 中，数据流是一系列有序的数据记录，旨在实时写入和读取。数据记录暂时存储在流中的分片中。从添加记录开始，到记录不再可供访问为止的时间段称为保留期。在缩短保留期后，Kinesis Data Streams 几乎立即使超过新保留期的记录无法访问。例如，将保留期从 24 小时更改为 48 小时意味着，在 23 小时 55 分钟之前添加到流中的记录在 24 小时之后仍可用。
修复
要更改 Kinesis Data Streams 的备份保留期，请参阅亚马逊 Kinesis Data Streams 开发者指南中的更改数据保留期。
