本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。
Route 53 的 Security Hub CSPM 控制項
這些AWS Security Hub CSPM控制項會評估 Amazon Route 53 服務和資源。
這些控制項可能無法全部使用AWS 區域。如需詳細資訊，請參閱依區域的控制項可用性。
【Route53.1】 應標記 Route 53 運作狀態檢查
類別：識別 > 庫存 > 標記
嚴重性：低
資源類型： AWS::Route53::HealthCheck
AWS Configrule：tagged-route53-healthcheck（自訂 Security Hub CSPM 規則）
排程類型：變更已觸發
參數：
| 參數 | Description (描述) | Type | 允許自訂值 | Security Hub CSPM 預設值 |
|---|---|---|---|---|
requiredTagKeys
|
評估資源必須包含的非系統標籤索引鍵清單。標籤金鑰會區分大小寫。 | StringList （最多 6 個項目） | 1–6 個符合AWS要求的標籤金鑰。 | 無預設值 |
此控制項會檢查 Amazon Route 53 運作狀態檢查是否具有具有參數 中定義之特定金鑰的標籤requiredTagKeys。如果運作狀態檢查沒有任何標籤索引鍵，或沒有參數 中指定的所有索引鍵，則控制項會失敗requiredTagKeys。如果requiredTagKeys未提供 參數，則控制項只會檢查標籤索引鍵是否存在，如果運作狀態檢查未標記任何索引鍵，則 會失敗。系統會aws:忽略自動套用並以 開頭的系統標籤。
標籤是您指派給AWS資源的標籤，由索引鍵和選用值組成。您可建立標籤，以依照用途、擁有者、環境或其他條件分類資源。標籤可協助您識別、組織、搜尋和篩選資源。標記也可協助您追蹤動作和通知的當責資源擁有者。使用標記時，您可以實作屬性型存取控制 (ABAC) 做為授權策略，以根據標籤定義許可。您可以將標籤連接至 IAM 實體 （使用者或角色） 和 AWS資源。您可以為 IAM 主體建立單一 ABAC 政策或一組單獨的政策。您可以設計這些 ABAC 政策，以便在委託人的標籤符合資源標籤時允許操作。如需詳細資訊，請參閱什麼是 ABACAWS？ IAM 使用者指南中的 。
注意
請勿在標籤中新增個人身分識別資訊 (PII) 或其他機密或敏感資訊。許多 都可以存取標籤AWS 服務，包括 AWS Billing。如需更多標記最佳實務，請參閱《》中的標記您的 AWS資源AWS 一般參考。
修補
若要將標籤新增至 Route 53 運作狀態檢查，請參閱《Amazon Route 53 開發人員指南》中的命名和標記運作狀態檢查。
【Route53.2】 Route 53 公有託管區域應記錄 DNS 查詢
相關要求：NIST.800-53.r5 AC-2(4)、NIST.800-53.r5 AC-4(26)、NIST.800-53.r5 AC-6(9)、NIST.800-53.r5 AU-10、NIST.800-53.r5 AU-12、NIST.800-53.r5 AU-2、NIST.800-53.r5 AU-3、NIST.800-53.r5 AU-6(3)、NIST.800-53.r5 AU-6(4)、NIST.8000-53.r5 CA-7、NIST.800-53.r5 SC-7 SI-3 SI-4 SI-710.4.2
類別：識別 > 記錄日誌
嚴重性：中
資源類型： AWS::Route53::HostedZone
AWS Config 規則：route53-query-logging-enabled
排程類型：已觸發變更
參數：無
此控制項會檢查是否已為 Amazon Route 53 公有託管區域啟用 DNS 查詢記錄。如果未針對 Route 53 公有託管區域啟用 DNS 查詢記錄，則控制項會失敗。
記錄 Route 53 託管區域的 DNS 查詢可解決 DNS 安全和合規要求，並授予可見性。日誌包含查詢的網域或子網域、查詢的日期和時間、DNS 記錄類型 （例如 A 或 AAAA) 和 DNS 回應代碼 （例如 NoError或 ) 等資訊ServFail。啟用 DNS 查詢記錄時，Route 53 會將日誌檔案發佈至 Amazon CloudWatch Logs。
修補
若要記錄 Route 53 公有託管區域的 DNS 查詢，請參閱《Amazon Route 53 開發人員指南》中的設定 DNS 查詢的記錄。
