Regionale Beschränkungen der Security Hub CSPM-Steuerungen

[ElastiCache.4] ElastiCache Replikationsgruppen sollten im Ruhezustand verschlüsselt werden

[ElastiCache.5] ElastiCache Replikationsgruppen sollten bei der Übertragung verschlüsselt werden

[ElastiCache.6] ElastiCache (Redis OSS) -Replikationsgruppen früherer Versionen sollten Redis OSS AUTH aktiviert haben

[ElastiCache.7] ElastiCache Cluster sollten nicht die Standard-Subnetzgruppe verwenden

[GlobalAccelerator.1] Global Accelerator-Beschleuniger sollten markiert sein

[S3.24] Bei Multi-Region S3-Zugangspunkten sollten die Einstellungen zum Blockieren des öffentlichen Zugriffs aktiviert sein

[AppSync.1]AWS AppSyncAPI-Caches sollten im Ruhezustand verschlüsselt werden

[AppSync.6]AWS AppSyncAPI-Caches sollten bei der Übertragung verschlüsselt werden

Bei [CloudFront.1] CloudFront Distributionen sollte ein Standard-Root-Objekt konfiguriert sein

[CloudFront.3] CloudFront Distributionen sollten während der Übertragung verschlüsselt werden müssen

[CloudFront.4] Bei CloudFront Distributionen sollte das Origin-Failover konfiguriert sein

[CloudFront.5] Bei CloudFront Distributionen sollte die Protokollierung aktiviert sein

[CloudFront.6] Bei CloudFront Distributionen sollte WAF aktiviert sein

[CloudFront.7] CloudFront Distributionen sollten benutzerdefinierte SSL/TLS Zertifikate verwenden

[CloudFront.8] CloudFront Distributionen sollten SNI verwenden, um HTTPS-Anfragen zu bearbeiten

[CloudFront.9] CloudFront Distributionen sollten den Datenverkehr zu benutzerdefinierten Ursprüngen verschlüsseln

[CloudFront.10] CloudFront Distributionen sollten keine veralteten SSL-Protokolle zwischen Edge-Standorten und benutzerdefinierten Ursprüngen verwenden

[CloudFront.12] CloudFront Distributionen sollten nicht auf nicht existierende S3-Ursprünge verweisen

[CloudFront.13] CloudFront Distributionen sollten die Origin-Zugriffskontrolle verwenden

[CloudFront.14] CloudFront Distributionen sollten markiert werden

[CloudFront.15] CloudFront Distributionen sollten die empfohlene TLS-Sicherheitsrichtlinie verwenden

[CloudFront.16] CloudFront Distributionen sollten die Origin-Zugriffskontrolle für die URL-Ursprünge der Lambda-Funktion verwenden

[CloudFront.17] CloudFront Distributionen sollten vertrauenswürdige Schlüsselgruppen für signierte URLs und Cookies verwenden

[Connect.1] Objekttypen von Amazon Connect Customer Profiles sollten mit Tags versehen werden

[Connect.2] Connect Customer-Instanzen sollten die CloudWatch Protokollierung aktiviert haben

[EC2.24] Paravirtuelle Amazon EC2 EC2-Instance-Typen sollten nicht verwendet werden

[EC2.173] EC2 Spot Fleet-Anfragen mit Startparametern sollten die Verschlüsselung für angehängte EBS-Volumes ermöglichen

[ECR.4] Öffentliche ECR-Repositorien sollten mit Tags versehen werden

[GlobalAccelerator.1] Global Accelerator-Beschleuniger sollten markiert sein

[IAM.26] Abgelaufene SSL/TLS Zertifikate, die in IAM verwaltet werden, sollten entfernt werden

[IoTTwinMaker.1]AWS TwinMaker IoT-Synchronisierungsjobs sollten markiert werden

[IoTTwinMaker.2]AWS TwinMaker IoT-Arbeitsbereiche sollten markiert werden

[IoTTwinMaker.3]AWS TwinMaker IoT-Szenen sollten markiert werden

[IoTTwinMaker.4]AWS TwinMaker IoT-Entitäten sollten markiert werden

[IoTWireless.1]AWSIoT-Wireless-Multicast-Gruppen sollten markiert werden

[IoTWireless.2]AWSIoT-Wireless-Dienstprofile sollten markiert werden

[IoTWireless.3]AWSIoT FUOTA-Aufgaben sollten markiert werden

[IVS.1] Schlüsselpaare für die IVS-Wiedergabe sollten markiert werden

[IVS.2] IVS-Aufnahmekonfigurationen sollten mit Tags versehen werden

[IVS.3] IVS-Kanäle sollten mit Tags versehen werden

[RDS.31] RDS-DB-Sicherheitsgruppen sollten markiert werden

[Route53.1] Route 53-Gesundheitschecks sollten markiert werden

[Route53.2] In öffentlich gehosteten Zonen von Route 53 sollten DNS-Abfragen protokolliert werden

[S3.24] Bei Multi-Region S3-Zugangspunkten sollten die Einstellungen zum Blockieren des öffentlichen Zugriffs aktiviert sein

[WAF.1]AWS WAFDie klassische globale Web-ACL-Protokollierung sollte aktiviert sein

[WAF.6]AWS WAFKlassische globale Regeln sollten mindestens eine Bedingung haben

[WAF.7]AWS WAFKlassische globale Regelgruppen sollten mindestens eine Regel haben

[WAF.8]AWS WAFKlassische globale Web-ACLs sollten mindestens eine Regel oder Regelgruppe haben

[WorkSpaces.1] WorkSpaces Benutzervolumes sollten im Ruhezustand verschlüsselt werden

[WorkSpaces.2] WorkSpaces Root-Volumes sollten im Ruhezustand verschlüsselt werden

[AppRunner.1] App Runner-Dienste sollten markiert sein

[AppRunner.2] App Runner VPC-Konnektoren sollten markiert werden

[AppSync.1]AWS AppSyncAPI-Caches sollten im Ruhezustand verschlüsselt werden

[AppSync.6]AWS AppSyncAPI-Caches sollten bei der Übertragung verschlüsselt werden

[BedrockAgentCore.1] AgentCore Bedrock-Laufzeiten sollten mit dem VPC-Netzwerkmodus konfiguriert werden

[BedrockAgentCore.2] Bedrock AgentCore Gateways sollten eine Autorisierung für eingehende Anfragen benötigen

[BedrockAgentCore.3] Bedrock AgentCore Memory sollte verschlüsselt und vom Kunden verwaltet werdenAWS KMSkeys

[BedrockAgentCore.4] Bedrock AgentCore Gateway sollte verschlüsselt und vom Kunden verwaltet werdenAWS KMSkeys

[BedrockAgentCore.5] AgentCore Benutzerdefinierte Bedrock-Browser sollten den öffentlichen Netzwerkmodus nicht verwenden

[BedrockAgentCore.6] Für AgentCore benutzerdefinierte Bedrock-Browser sollte die Sitzungsaufzeichnung aktiviert sein

Bei [CloudFront.1] CloudFront Distributionen sollte ein Standard-Root-Objekt konfiguriert sein

[CloudFront.3] CloudFront Distributionen sollten während der Übertragung verschlüsselt werden müssen

[CloudFront.4] Bei CloudFront Distributionen sollte das Origin-Failover konfiguriert sein

[CloudFront.5] Bei CloudFront Distributionen sollte die Protokollierung aktiviert sein

[CloudFront.6] Bei CloudFront Distributionen sollte WAF aktiviert sein

[CloudFront.7] CloudFront Distributionen sollten benutzerdefinierte SSL/TLS Zertifikate verwenden

[CloudFront.8] CloudFront Distributionen sollten SNI verwenden, um HTTPS-Anfragen zu bearbeiten

[CloudFront.9] CloudFront Distributionen sollten den Datenverkehr zu benutzerdefinierten Ursprüngen verschlüsseln

[CloudFront.10] CloudFront Distributionen sollten keine veralteten SSL-Protokolle zwischen Edge-Standorten und benutzerdefinierten Ursprüngen verwenden

[CloudFront.12] CloudFront Distributionen sollten nicht auf nicht existierende S3-Ursprünge verweisen

[CloudFront.13] CloudFront Distributionen sollten die Origin-Zugriffskontrolle verwenden

[CloudFront.14] CloudFront Distributionen sollten markiert werden

[CloudFront.15] CloudFront Distributionen sollten die empfohlene TLS-Sicherheitsrichtlinie verwenden

[CloudFront.16] CloudFront Distributionen sollten die Origin-Zugriffskontrolle für die URL-Ursprünge der Lambda-Funktion verwenden

[CloudFront.17] CloudFront Distributionen sollten vertrauenswürdige Schlüsselgruppen für signierte URLs und Cookies verwenden

[CodeArtifact.1] CodeArtifact Repositorien sollten markiert werden

[CodeGuruProfiler.1] CodeGuru Profiler-Profiling-Gruppen sollten markiert werden

[CodeGuruReviewer.1] CodeGuru Reviewer-Repository-Verknüpfungen sollten markiert werden

[Connect.1] Objekttypen von Amazon Connect Customer Profiles sollten mit Tags versehen werden

[Connect.2] Connect Customer-Instanzen sollten die CloudWatch Protokollierung aktiviert haben

[DocumentDB.1] Amazon DocumentDB-Cluster sollten im Ruhezustand verschlüsselt werden

[DocumentDB.2] Amazon DocumentDB-Cluster sollten über eine angemessene Aufbewahrungsfrist für Backups verfügen

[DocumentDB.3] Manuelle Cluster-Snapshots von Amazon DocumentDB sollten nicht öffentlich sein

[DocumentDB.4] Amazon DocumentDB-Cluster sollten Auditprotokolle in Logs veröffentlichen CloudWatch

[DocumentDB.5] Bei Amazon DocumentDB-Clustern sollte der Löschschutz aktiviert sein

[DocumentDB.6] Amazon DocumentDB-Cluster sollten bei der Übertragung verschlüsselt werden

[EC2.173] EC2 Spot Fleet-Anfragen mit Startparametern sollten die Verschlüsselung für angehängte EBS-Volumes ermöglichen

[ECR.4] Öffentliche ECR-Repositorien sollten mit Tags versehen werden

[FraudDetector.1] Entitätstypen von Amazon Fraud Detector sollten markiert werden

[FraudDetector.2] Amazon Fraud Detector Detector-Etiketten sollten gekennzeichnet sein

[FraudDetector.3] Die Ergebnisse von Amazon Fraud Detector sollten markiert werden

[FraudDetector.4] Amazon Fraud Detector Detector-Variablen sollten markiert werden

[GlobalAccelerator.1] Global Accelerator-Beschleuniger sollten markiert sein

[IAM.26] Abgelaufene SSL/TLS Zertifikate, die in IAM verwaltet werden, sollten entfernt werden

[Inspector.3] Das Scannen von Amazon Inspector Lambda-Code sollte aktiviert sein

[IoTEvents.1]AWSEingaben für IoT Events sollten markiert werden

[IoTEvents.2]AWSModelle mit IoT-Ereignisdetektoren sollten markiert werden

[IoTEvents.3]AWSAlarmmodelle für IoT Events sollten markiert werden

[IoTSiteWise.1]AWS SiteWise IoT-Asset-Modelle sollten markiert werden

[IoTSiteWise.2]AWS SiteWise IoT-Dashboards sollten mit Tags versehen werden

[IoTSiteWise.3]AWS SiteWise IoT-Gateways sollten markiert werden

[IoTSiteWise.4]AWS SiteWise IoT-Portale sollten mit Tags versehen werden

[IoTSiteWise.5]AWS SiteWise IoT-Projekte sollten markiert werden

[IoTTwinMaker.1]AWS TwinMaker IoT-Synchronisierungsjobs sollten markiert werden

[IoTTwinMaker.2]AWS TwinMaker IoT-Arbeitsbereiche sollten markiert werden

[IoTTwinMaker.3]AWS TwinMaker IoT-Szenen sollten markiert werden

[IoTTwinMaker.4]AWS TwinMaker IoT-Entitäten sollten markiert werden

[IoTWireless.1]AWSIoT-Wireless-Multicast-Gruppen sollten markiert werden

[IoTWireless.2]AWSIoT-Wireless-Dienstprofile sollten markiert werden

[IoTWireless.3]AWSIoT FUOTA-Aufgaben sollten markiert werden

[IVS.1] Schlüsselpaare für die IVS-Wiedergabe sollten markiert werden

[IVS.2] IVS-Aufnahmekonfigurationen sollten mit Tags versehen werden

[IVS.3] IVS-Kanäle sollten mit Tags versehen werden

[RDS.35] Für RDS-DB-Cluster sollte das automatische Upgrade der Nebenversion aktiviert sein

[RDS.47] RDS für PostgreSQL-DB-Cluster sollten so konfiguriert sein, dass Tags in DB-Snapshots kopiert werden

[RDS.48] RDS für MySQL-DB-Cluster sollten so konfiguriert sein, dass Tags in DB-Snapshots kopiert werden

[Redshift.18] Für Redshift-Cluster sollten Multi-AZ Bereitstellungen aktiviert sein

[Route53.1] Route 53-Gesundheitschecks sollten markiert werden

[Route53.2] In öffentlich gehosteten Zonen von Route 53 sollten DNS-Abfragen protokolliert werden

[S3.24] Bei Multi-Region S3-Zugangspunkten sollten die Einstellungen zum Blockieren des öffentlichen Zugriffs aktiviert sein

[S3.25] S3-Verzeichnis-Buckets sollten Lebenszykluskonfigurationen haben

[WAF.1]AWS WAFDie klassische globale Web-ACL-Protokollierung sollte aktiviert sein

[WAF.6]AWS WAFKlassische globale Regeln sollten mindestens eine Bedingung haben

[WAF.7]AWS WAFKlassische globale Regelgruppen sollten mindestens eine Regel haben

[WAF.8]AWS WAFKlassische globale Web-ACLs sollten mindestens eine Regel oder Regelgruppe haben

[WorkSpaces.1] WorkSpaces Benutzervolumes sollten im Ruhezustand verschlüsselt werden

[WorkSpaces.2] WorkSpaces Root-Volumes sollten im Ruhezustand verschlüsselt werden

[AppSync.1]AWS AppSyncAPI-Caches sollten im Ruhezustand verschlüsselt werden

[AppSync.6]AWS AppSyncAPI-Caches sollten bei der Übertragung verschlüsselt werden

[BedrockAgentCore.3] Bedrock AgentCore Memory sollte verschlüsselt und vom Kunden verwaltet werdenAWS KMSkeys

Bei [CloudFront.1] CloudFront Distributionen sollte ein Standard-Root-Objekt konfiguriert sein

[CloudFront.3] CloudFront Distributionen sollten während der Übertragung verschlüsselt werden müssen

[CloudFront.4] Bei CloudFront Distributionen sollte das Origin-Failover konfiguriert sein

[CloudFront.5] Bei CloudFront Distributionen sollte die Protokollierung aktiviert sein

[CloudFront.6] Bei CloudFront Distributionen sollte WAF aktiviert sein

[CloudFront.7] CloudFront Distributionen sollten benutzerdefinierte SSL/TLS Zertifikate verwenden

[CloudFront.8] CloudFront Distributionen sollten SNI verwenden, um HTTPS-Anfragen zu bearbeiten

[CloudFront.9] CloudFront Distributionen sollten den Datenverkehr zu benutzerdefinierten Ursprüngen verschlüsseln

[CloudFront.10] CloudFront Distributionen sollten keine veralteten SSL-Protokolle zwischen Edge-Standorten und benutzerdefinierten Ursprüngen verwenden

[CloudFront.12] CloudFront Distributionen sollten nicht auf nicht existierende S3-Ursprünge verweisen

[CloudFront.13] CloudFront Distributionen sollten die Origin-Zugriffskontrolle verwenden

[CloudFront.14] CloudFront Distributionen sollten markiert werden

[CloudFront.15] CloudFront Distributionen sollten die empfohlene TLS-Sicherheitsrichtlinie verwenden

[CloudFront.16] CloudFront Distributionen sollten die Origin-Zugriffskontrolle für die URL-Ursprünge der Lambda-Funktion verwenden

[CloudFront.17] CloudFront Distributionen sollten vertrauenswürdige Schlüsselgruppen für signierte URLs und Cookies verwenden

[EC2.173] EC2 Spot Fleet-Anfragen mit Startparametern sollten die Verschlüsselung für angehängte EBS-Volumes ermöglichen

[ECR.4] Öffentliche ECR-Repositorien sollten mit Tags versehen werden

[IAM.26] Abgelaufene SSL/TLS Zertifikate, die in IAM verwaltet werden, sollten entfernt werden

[Route53.1] Route 53-Gesundheitschecks sollten markiert werden

[Route53.2] In öffentlich gehosteten Zonen von Route 53 sollten DNS-Abfragen protokolliert werden

[WAF.1]AWS WAFDie klassische globale Web-ACL-Protokollierung sollte aktiviert sein

[WAF.6]AWS WAFKlassische globale Regeln sollten mindestens eine Bedingung haben

[WAF.7]AWS WAFKlassische globale Regelgruppen sollten mindestens eine Regel haben

[WAF.8]AWS WAFKlassische globale Web-ACLs sollten mindestens eine Regel oder Regelgruppe haben

[Amplify.1] Amplify-Apps sollten markiert werden

[Amplify.2] Amplify-Zweige sollten markiert werden

[AppRunner.1] App Runner-Dienste sollten markiert sein

[AppRunner.2] App Runner VPC-Konnektoren sollten markiert werden

[AppSync.1]AWS AppSyncAPI-Caches sollten im Ruhezustand verschlüsselt werden

[AppSync.6]AWS AppSyncAPI-Caches sollten bei der Übertragung verschlüsselt werden

[BedrockAgentCore.1] AgentCore Bedrock-Laufzeiten sollten mit dem VPC-Netzwerkmodus konfiguriert werden

[BedrockAgentCore.2] Bedrock AgentCore Gateways sollten eine Autorisierung für eingehende Anfragen benötigen

[BedrockAgentCore.3] Bedrock AgentCore Memory sollte verschlüsselt und vom Kunden verwaltet werdenAWS KMSkeys

[BedrockAgentCore.4] Bedrock AgentCore Gateway sollte verschlüsselt und vom Kunden verwaltet werdenAWS KMSkeys

[BedrockAgentCore.5] AgentCore Benutzerdefinierte Bedrock-Browser sollten den öffentlichen Netzwerkmodus nicht verwenden

[BedrockAgentCore.6] Für AgentCore benutzerdefinierte Bedrock-Browser sollte die Sitzungsaufzeichnung aktiviert sein

Bei [CloudFront.1] CloudFront Distributionen sollte ein Standard-Root-Objekt konfiguriert sein

[CloudFront.3] CloudFront Distributionen sollten während der Übertragung verschlüsselt werden müssen

[CloudFront.4] Bei CloudFront Distributionen sollte das Origin-Failover konfiguriert sein

[CloudFront.5] Bei CloudFront Distributionen sollte die Protokollierung aktiviert sein

[CloudFront.6] Bei CloudFront Distributionen sollte WAF aktiviert sein

[CloudFront.7] CloudFront Distributionen sollten benutzerdefinierte SSL/TLS Zertifikate verwenden

[CloudFront.8] CloudFront Distributionen sollten SNI verwenden, um HTTPS-Anfragen zu bearbeiten

[CloudFront.9] CloudFront Distributionen sollten den Datenverkehr zu benutzerdefinierten Ursprüngen verschlüsseln

[CloudFront.10] CloudFront Distributionen sollten keine veralteten SSL-Protokolle zwischen Edge-Standorten und benutzerdefinierten Ursprüngen verwenden

[CloudFront.12] CloudFront Distributionen sollten nicht auf nicht existierende S3-Ursprünge verweisen

[CloudFront.13] CloudFront Distributionen sollten die Origin-Zugriffskontrolle verwenden

[CloudFront.14] CloudFront Distributionen sollten markiert werden

[CloudFront.15] CloudFront Distributionen sollten die empfohlene TLS-Sicherheitsrichtlinie verwenden

[CloudFront.16] CloudFront Distributionen sollten die Origin-Zugriffskontrolle für die URL-Ursprünge der Lambda-Funktion verwenden

[CloudFront.17] CloudFront Distributionen sollten vertrauenswürdige Schlüsselgruppen für signierte URLs und Cookies verwenden

[CodeArtifact.1] CodeArtifact Repositorien sollten markiert werden

[CodeGuruProfiler.1] CodeGuru Profiler-Profiling-Gruppen sollten markiert werden

[CodeGuruReviewer.1] CodeGuru Reviewer-Repository-Verknüpfungen sollten markiert werden

[Cognito.1] In Cognito-Benutzerpools sollte der Bedrohungsschutz mit vollem Funktionsumfang für die Standardauthentifizierung aktiviert sein

[DMS.10] DMS-Endpunkte für Neptune-Datenbanken sollten die IAM-Autorisierung aktiviert haben

[DocumentDB.1] Amazon DocumentDB-Cluster sollten im Ruhezustand verschlüsselt werden

[DocumentDB.2] Amazon DocumentDB-Cluster sollten über eine angemessene Aufbewahrungsfrist für Backups verfügen

[DocumentDB.3] Manuelle Cluster-Snapshots von Amazon DocumentDB sollten nicht öffentlich sein

[DocumentDB.4] Amazon DocumentDB-Cluster sollten Auditprotokolle in Logs veröffentlichen CloudWatch

[DocumentDB.5] Bei Amazon DocumentDB-Clustern sollte der Löschschutz aktiviert sein

[DocumentDB.6] Amazon DocumentDB-Cluster sollten bei der Übertragung verschlüsselt werden

[DynamoDB.3] DynamoDB Accelerator (DAX) -Cluster sollten im Ruhezustand verschlüsselt werden

[DynamoDB.7] DynamoDB Accelerator-Cluster sollten bei der Übertragung verschlüsselt werden

[EC2.4] Gestoppte EC2-Instances sollten nach einem bestimmten Zeitraum entfernt werden

[EC2.14] Sicherheitsgruppen sollten ab Version 0.0.0 keinen Zugriff zulassen. 0/0 oder: :/0 zu Port 3389

[EC2.24] Paravirtuelle Amazon EC2 EC2-Instance-Typen sollten nicht verwendet werden

[EC2.58] VPCs sollten mit einem Schnittstellenendpunkt für Systems Manager Incident Manager-Kontakte konfiguriert werden

[EC2.60] VPCs sollten mit einem Schnittstellenendpunkt für Systems Manager Incident Manager konfiguriert werden

[EC2.173] EC2 Spot Fleet-Anfragen mit Startparametern sollten die Verschlüsselung für angehängte EBS-Volumes ermöglichen

[EC2.177] EC2-Traffic-Mirror-Sitzungen sollten mit Tags versehen werden

[EC2.179] EC2-Traffic-Mirror-Ziele sollten markiert werden

[ECR.4] Öffentliche ECR-Repositorien sollten mit Tags versehen werden

[ELB.2] Classic Load Balancer mit SSL/HTTPS Listenern sollten ein Zertifikat verwenden, das bereitgestellt wird vonAWS Certificate Manager

[ES.3] Elasticsearch-Domains sollten Daten verschlüsseln, die zwischen Knoten gesendet werden

[EventBridge.4] Auf EventBridge globalen Endpunkten sollte die Ereignisreplikation aktiviert sein

[FraudDetector.1] Entitätstypen von Amazon Fraud Detector sollten markiert werden

[FraudDetector.2] Amazon Fraud Detector Detector-Etiketten sollten gekennzeichnet sein

[FraudDetector.3] Die Ergebnisse von Amazon Fraud Detector sollten markiert werden

[FraudDetector.4] Amazon Fraud Detector Detector-Variablen sollten markiert werden

[GlobalAccelerator.1] Global Accelerator-Beschleuniger sollten markiert sein

[IAM.18] Stellen Sie sicher, dass eine Support-Rolle für die Verwaltung von Vorfällen eingerichtet wurdeAWS Support

[IAM.26] Abgelaufene SSL/TLS Zertifikate, die in IAM verwaltet werden, sollten entfernt werden

[Inspector.3] Das Scannen von Amazon Inspector Lambda-Code sollte aktiviert sein

[IoT.1]AWS IoT Device DefenderSicherheitsprofile sollten markiert werden

[IoT.2]AWS IoT CoreMaßnahmen zur Schadensbegrenzung sollten mit einem Tag versehen werden

[IoT.3]AWS IoT CoreDimensionen sollten mit Tags versehen werden

[IoT.4]AWS IoT CoreAutorisierer sollten markiert werden

[IoT.5]AWS IoT CoreRollenaliase sollten mit Tags versehen werden

[IoT.6]AWS IoT CoreRichtlinien sollten mit Tags versehen werden

[IoTEvents.1]AWSEingaben für IoT Events sollten markiert werden

[IoTEvents.2]AWSModelle mit IoT-Ereignisdetektoren sollten markiert werden

[IoTEvents.3]AWSAlarmmodelle für IoT Events sollten markiert werden

[IoTSiteWise.1]AWS SiteWise IoT-Asset-Modelle sollten markiert werden

[IoTSiteWise.2]AWS SiteWise IoT-Dashboards sollten mit Tags versehen werden

[IoTSiteWise.3]AWS SiteWise IoT-Gateways sollten markiert werden

[IoTSiteWise.4]AWS SiteWise IoT-Portale sollten mit Tags versehen werden

[IoTSiteWise.5]AWS SiteWise IoT-Projekte sollten markiert werden

[IoTTwinMaker.1]AWS TwinMaker IoT-Synchronisierungsjobs sollten markiert werden

[IoTTwinMaker.2]AWS TwinMaker IoT-Arbeitsbereiche sollten markiert werden

[IoTTwinMaker.3]AWS TwinMaker IoT-Szenen sollten markiert werden

[IoTTwinMaker.4]AWS TwinMaker IoT-Entitäten sollten markiert werden

[IoTWireless.1]AWSIoT-Wireless-Multicast-Gruppen sollten markiert werden

[IoTWireless.2]AWSIoT-Wireless-Dienstprofile sollten markiert werden

[IoTWireless.3]AWSIoT FUOTA-Aufgaben sollten markiert werden

[IVS.1] Schlüsselpaare für die IVS-Wiedergabe sollten markiert werden

[IVS.2] IVS-Aufnahmekonfigurationen sollten mit Tags versehen werden

[IVS.3] IVS-Kanäle sollten mit Tags versehen werden

[Keyspaces.1] Amazon Keyspaces-Keyspaces sollten markiert werden

[MSK.3] MSK Connect-Anschlüsse sollten bei der Übertragung verschlüsselt werden

[MSK.5] Für MSK-Konnektoren sollte die Protokollierung aktiviert sein

[RDS.1] Der RDS-Snapshot sollte privat sein

[RDS.14] Bei Amazon Aurora Aurora-Clustern sollte Backtracking aktiviert sein

[RDS.31] RDS-DB-Sicherheitsgruppen sollten markiert werden

[RedshiftServerless.1] Serverlose Amazon Redshift Redshift-Arbeitsgruppen sollten erweitertes VPC-Routing verwenden

[RedshiftServerless.2] Für die Verwendung von SSL sollten Verbindungen zu Redshift Serverless-Arbeitsgruppen erforderlich sein

[RedshiftServerless.3] Redshift Serverless-Arbeitsgruppen sollten den öffentlichen Zugriff verbieten

[RedshiftServerless.4] Serverlose Redshift-Namespaces sollten verschlüsselt und vom Kunden verwaltet werdenAWS KMS keys

[RedshiftServerless.5] Redshift Serverless-Namespaces sollten nicht den Standard-Admin-Benutzernamen verwenden

[RedshiftServerless.6] Redshift Serverless Namespaces sollten Protokolle in Logs exportieren CloudWatch

[Route53.1] Route 53-Gesundheitschecks sollten markiert werden

[Route53.2] In öffentlich gehosteten Zonen von Route 53 sollten DNS-Abfragen protokolliert werden

[S3.24] Bei Multi-Region S3-Zugangspunkten sollten die Einstellungen zum Blockieren des öffentlichen Zugriffs aktiviert sein

[S3.25] S3-Verzeichnis-Buckets sollten Lebenszykluskonfigurationen haben

[SageMaker.9] Bei Auftragsdefinitionen SageMaker zur Datenqualität sollte die Verschlüsselung des Datenverkehrs zwischen Containern aktiviert sein

Bei Auftragsdefinitionen zur Erläuterung des SageMaker Modells [SageMaker.10] sollte die Verschlüsselung des Datenverkehrs zwischen Containern aktiviert sein

[SageMaker.11] Bei Auftragsdefinitionen SageMaker zur Datenqualität sollte die Netzwerkisolierung aktiviert sein

Bei Auftragsdefinitionen für [SageMaker.12] SageMaker Model Bias sollte die Netzwerkisolierung aktiviert sein

[SageMaker.13] Bei Auftragsdefinitionen in SageMaker Modellqualität sollte die Verschlüsselung des Datenverkehrs zwischen Containern aktiviert sein

[SageMaker.14] In den SageMaker Überwachungsplänen sollte die Netzwerkisolierung aktiviert sein

[SageMaker.15] Bei Jobdefinitionen mit SageMaker Modellverzerrung sollte die Verschlüsselung des Datenverkehrs zwischen Containern aktiviert sein

[WAF.1]AWS WAFDie klassische globale Web-ACL-Protokollierung sollte aktiviert sein

[WAF.6]AWS WAFKlassische globale Regeln sollten mindestens eine Bedingung haben

[WAF.7]AWS WAFKlassische globale Regelgruppen sollten mindestens eine Regel haben

[WAF.8]AWS WAFKlassische globale Web-ACLs sollten mindestens eine Regel oder Regelgruppe haben

[AppFlow.1] AppFlow Amazon-Flows sollten markiert werden

[AppRunner.1] App Runner-Dienste sollten markiert sein

[AppRunner.2] App Runner VPC-Konnektoren sollten markiert werden

[AppSync.1]AWS AppSyncAPI-Caches sollten im Ruhezustand verschlüsselt werden

[AppSync.6]AWS AppSyncAPI-Caches sollten bei der Übertragung verschlüsselt werden

[BedrockAgentCore.1] AgentCore Bedrock-Laufzeiten sollten mit dem VPC-Netzwerkmodus konfiguriert werden

[BedrockAgentCore.2] Bedrock AgentCore Gateways sollten eine Autorisierung für eingehende Anfragen benötigen

[BedrockAgentCore.3] Bedrock AgentCore Memory sollte verschlüsselt und vom Kunden verwaltet werdenAWS KMSkeys

[BedrockAgentCore.4] Bedrock AgentCore Gateway sollte verschlüsselt und vom Kunden verwaltet werdenAWS KMSkeys

[BedrockAgentCore.5] AgentCore Benutzerdefinierte Bedrock-Browser sollten den öffentlichen Netzwerkmodus nicht verwenden

[BedrockAgentCore.6] Für AgentCore benutzerdefinierte Bedrock-Browser sollte die Sitzungsaufzeichnung aktiviert sein

Bei [CloudFront.1] CloudFront Distributionen sollte ein Standard-Root-Objekt konfiguriert sein

[CloudFront.3] CloudFront Distributionen sollten während der Übertragung verschlüsselt werden müssen

[CloudFront.4] Bei CloudFront Distributionen sollte das Origin-Failover konfiguriert sein

[CloudFront.5] Bei CloudFront Distributionen sollte die Protokollierung aktiviert sein

[CloudFront.6] Bei CloudFront Distributionen sollte WAF aktiviert sein

[CloudFront.7] CloudFront Distributionen sollten benutzerdefinierte SSL/TLS Zertifikate verwenden

[CloudFront.8] CloudFront Distributionen sollten SNI verwenden, um HTTPS-Anfragen zu bearbeiten

[CloudFront.9] CloudFront Distributionen sollten den Datenverkehr zu benutzerdefinierten Ursprüngen verschlüsseln

[CloudFront.10] CloudFront Distributionen sollten keine veralteten SSL-Protokolle zwischen Edge-Standorten und benutzerdefinierten Ursprüngen verwenden

[CloudFront.12] CloudFront Distributionen sollten nicht auf nicht existierende S3-Ursprünge verweisen

[CloudFront.13] CloudFront Distributionen sollten die Origin-Zugriffskontrolle verwenden

[CloudFront.14] CloudFront Distributionen sollten markiert werden

[CloudFront.15] CloudFront Distributionen sollten die empfohlene TLS-Sicherheitsrichtlinie verwenden

[CloudFront.16] CloudFront Distributionen sollten die Origin-Zugriffskontrolle für die URL-Ursprünge der Lambda-Funktion verwenden

[CloudFront.17] CloudFront Distributionen sollten vertrauenswürdige Schlüsselgruppen für signierte URLs und Cookies verwenden

[CodeArtifact.1] CodeArtifact Repositorien sollten markiert werden

[CodeGuruProfiler.1] CodeGuru Profiler-Profiling-Gruppen sollten markiert werden

[CodeGuruReviewer.1] CodeGuru Reviewer-Repository-Verknüpfungen sollten markiert werden

[Cognito.1] In Cognito-Benutzerpools sollte der Bedrohungsschutz mit vollem Funktionsumfang für die Standardauthentifizierung aktiviert sein

[Connect.1] Objekttypen von Amazon Connect Customer Profiles sollten mit Tags versehen werden

[Connect.2] Connect Customer-Instanzen sollten die CloudWatch Protokollierung aktiviert haben

[DynamoDB.3] DynamoDB Accelerator (DAX) -Cluster sollten im Ruhezustand verschlüsselt werden

[DynamoDB.7] DynamoDB Accelerator-Cluster sollten bei der Übertragung verschlüsselt werden

[EC2.24] Paravirtuelle Amazon EC2 EC2-Instance-Typen sollten nicht verwendet werden

[EC2.58] VPCs sollten mit einem Schnittstellenendpunkt für Systems Manager Incident Manager-Kontakte konfiguriert werden

[EC2.60] VPCs sollten mit einem Schnittstellenendpunkt für Systems Manager Incident Manager konfiguriert werden

[EC2.173] EC2 Spot Fleet-Anfragen mit Startparametern sollten die Verschlüsselung für angehängte EBS-Volumes ermöglichen

[ECR.4] Öffentliche ECR-Repositorien sollten mit Tags versehen werden

[EventBridge.4] Auf EventBridge globalen Endpunkten sollte die Ereignisreplikation aktiviert sein

[FraudDetector.1] Entitätstypen von Amazon Fraud Detector sollten markiert werden

[FraudDetector.2] Amazon Fraud Detector Detector-Etiketten sollten gekennzeichnet sein

[FraudDetector.3] Die Ergebnisse von Amazon Fraud Detector sollten markiert werden

[FraudDetector.4] Amazon Fraud Detector Detector-Variablen sollten markiert werden

[GlobalAccelerator.1] Global Accelerator-Beschleuniger sollten markiert sein

[IAM.26] Abgelaufene SSL/TLS Zertifikate, die in IAM verwaltet werden, sollten entfernt werden

[Inspector.3] Das Scannen von Amazon Inspector Lambda-Code sollte aktiviert sein

[IoTEvents.1]AWSEingaben für IoT Events sollten markiert werden

[IoTEvents.2]AWSModelle mit IoT-Ereignisdetektoren sollten markiert werden

[IoTEvents.3]AWSAlarmmodelle für IoT Events sollten markiert werden

[IoTSiteWise.1]AWS SiteWise IoT-Asset-Modelle sollten markiert werden

[IoTSiteWise.2]AWS SiteWise IoT-Dashboards sollten mit Tags versehen werden

[IoTSiteWise.3]AWS SiteWise IoT-Gateways sollten markiert werden

[IoTSiteWise.4]AWS SiteWise IoT-Portale sollten mit Tags versehen werden

[IoTSiteWise.5]AWS SiteWise IoT-Projekte sollten markiert werden

[IoTTwinMaker.1]AWS TwinMaker IoT-Synchronisierungsjobs sollten markiert werden

[IoTTwinMaker.2]AWS TwinMaker IoT-Arbeitsbereiche sollten markiert werden

[IoTTwinMaker.3]AWS TwinMaker IoT-Szenen sollten markiert werden

[IoTTwinMaker.4]AWS TwinMaker IoT-Entitäten sollten markiert werden

[IoTWireless.1]AWSIoT-Wireless-Multicast-Gruppen sollten markiert werden

[IoTWireless.2]AWSIoT-Wireless-Dienstprofile sollten markiert werden

[IoTWireless.3]AWSIoT FUOTA-Aufgaben sollten markiert werden

[IVS.1] Schlüsselpaare für die IVS-Wiedergabe sollten markiert werden

[IVS.2] IVS-Aufnahmekonfigurationen sollten mit Tags versehen werden

[IVS.3] IVS-Kanäle sollten mit Tags versehen werden

[MSK.3] MSK Connect-Anschlüsse sollten bei der Übertragung verschlüsselt werden

[MSK.5] Für MSK-Konnektoren sollte die Protokollierung aktiviert sein

[RDS.14] Bei Amazon Aurora Aurora-Clustern sollte Backtracking aktiviert sein

[RDS.31] RDS-DB-Sicherheitsgruppen sollten markiert werden

[RedshiftServerless.1] Serverlose Amazon Redshift Redshift-Arbeitsgruppen sollten erweitertes VPC-Routing verwenden

[RedshiftServerless.2] Für die Verwendung von SSL sollten Verbindungen zu Redshift Serverless-Arbeitsgruppen erforderlich sein

[Route53.1] Route 53-Gesundheitschecks sollten markiert werden

[Route53.2] In öffentlich gehosteten Zonen von Route 53 sollten DNS-Abfragen protokolliert werden

[S3.24] Bei Multi-Region S3-Zugangspunkten sollten die Einstellungen zum Blockieren des öffentlichen Zugriffs aktiviert sein

[S3.25] S3-Verzeichnis-Buckets sollten Lebenszykluskonfigurationen haben

[SES.1] SES-Kontaktlisten sollten mit Tags versehen werden

[SES.2] SES-Konfigurationssätze sollten mit Tags versehen werden

[SES.3] In SES-Konfigurationssätzen sollte TLS für das Senden von E-Mails aktiviert sein

[WAF.1]AWS WAFDie klassische globale Web-ACL-Protokollierung sollte aktiviert sein

[WAF.6]AWS WAFKlassische globale Regeln sollten mindestens eine Bedingung haben

[WAF.7]AWS WAFKlassische globale Regelgruppen sollten mindestens eine Regel haben

[WAF.8]AWS WAFKlassische globale Web-ACLs sollten mindestens eine Regel oder Regelgruppe haben

[WorkSpaces.1] WorkSpaces Benutzervolumes sollten im Ruhezustand verschlüsselt werden

[WorkSpaces.2] WorkSpaces Root-Volumes sollten im Ruhezustand verschlüsselt werden

[Account.2]AWS-Kontensollte Teil eines seinAWS OrganizationsOrganisation

[APIGateway.8] API-Gateway-Routen sollten einen Autorisierungstyp angeben

[APIGateway.9] Die Zugriffsprotokollierung sollte für API Gateway V2 Stages konfiguriert werden

[Amplify.1] Amplify-Apps sollten markiert werden

[Amplify.2] Amplify-Zweige sollten markiert werden

[AppConfig.1]AWS AppConfigAnwendungen sollten markiert werden

[AppConfig.2]AWS AppConfigKonfigurationsprofile sollten mit Tags versehen werden

[AppConfig.3]AWS AppConfigUmgebungen sollten markiert werden

[AppFlow.1] AppFlow Amazon-Flows sollten markiert werden

[AppRunner.1] App Runner-Dienste sollten markiert sein

[AppRunner.2] App Runner VPC-Konnektoren sollten markiert werden

[AppSync.1]AWS AppSyncAPI-Caches sollten im Ruhezustand verschlüsselt werden

[AppSync.6]AWS AppSyncAPI-Caches sollten bei der Übertragung verschlüsselt werden

[Backup.1]AWS BackupWiederherstellungspunkte sollten im Ruhezustand verschlüsselt werden

[BedrockAgentCore.1] AgentCore Bedrock-Laufzeiten sollten mit dem VPC-Netzwerkmodus konfiguriert werden

[BedrockAgentCore.2] Bedrock AgentCore Gateways sollten eine Autorisierung für eingehende Anfragen benötigen

[BedrockAgentCore.3] Bedrock AgentCore Memory sollte verschlüsselt und vom Kunden verwaltet werdenAWS KMSkeys

[BedrockAgentCore.4] Bedrock AgentCore Gateway sollte verschlüsselt und vom Kunden verwaltet werdenAWS KMSkeys

[BedrockAgentCore.5] AgentCore Benutzerdefinierte Bedrock-Browser sollten den öffentlichen Netzwerkmodus nicht verwenden

[BedrockAgentCore.6] Für AgentCore benutzerdefinierte Bedrock-Browser sollte die Sitzungsaufzeichnung aktiviert sein

Bei [CloudFormation.3] CloudFormation Stacks sollte der Kündigungsschutz aktiviert sein

[CloudFormation.4] CloudFormation Stacks sollten zugeordnete Servicerollen haben

Bei [CloudFront.1] CloudFront Distributionen sollte ein Standard-Root-Objekt konfiguriert sein

[CloudFront.3] CloudFront Distributionen sollten während der Übertragung verschlüsselt werden müssen

[CloudFront.4] Bei CloudFront Distributionen sollte das Origin-Failover konfiguriert sein

[CloudFront.5] Bei CloudFront Distributionen sollte die Protokollierung aktiviert sein

[CloudFront.6] Bei CloudFront Distributionen sollte WAF aktiviert sein

[CloudFront.7] CloudFront Distributionen sollten benutzerdefinierte SSL/TLS Zertifikate verwenden

[CloudFront.8] CloudFront Distributionen sollten SNI verwenden, um HTTPS-Anfragen zu bearbeiten

[CloudFront.9] CloudFront Distributionen sollten den Datenverkehr zu benutzerdefinierten Ursprüngen verschlüsseln

[CloudFront.10] CloudFront Distributionen sollten keine veralteten SSL-Protokolle zwischen Edge-Standorten und benutzerdefinierten Ursprüngen verwenden

[CloudFront.12] CloudFront Distributionen sollten nicht auf nicht existierende S3-Ursprünge verweisen

[CloudFront.13] CloudFront Distributionen sollten die Origin-Zugriffskontrolle verwenden

[CloudFront.14] CloudFront Distributionen sollten markiert werden

[CloudFront.15] CloudFront Distributionen sollten die empfohlene TLS-Sicherheitsrichtlinie verwenden

[CloudFront.16] CloudFront Distributionen sollten die Origin-Zugriffskontrolle für die URL-Ursprünge der Lambda-Funktion verwenden

[CloudFront.17] CloudFront Distributionen sollten vertrauenswürdige Schlüsselgruppen für signierte URLs und Cookies verwenden

[CloudTrail.6] Stellen Sie sicher, dass der zum Speichern von CloudTrail Protokollen verwendete S3-Bucket nicht öffentlich zugänglich ist

[CloudTrail.7] Stellen Sie sicher, dass die Protokollierung des S3-Bucket-Zugriffs auf dem CloudTrail S3-Bucket aktiviert ist

[CodeArtifact.1] CodeArtifact Repositorien sollten markiert werden

[CodeGuruProfiler.1] CodeGuru Profiler-Profiling-Gruppen sollten markiert werden

[CodeGuruReviewer.1] CodeGuru Reviewer-Repository-Verknüpfungen sollten markiert werden

[Cognito.1] In Cognito-Benutzerpools sollte der Bedrohungsschutz mit vollem Funktionsumfang für die Standardauthentifizierung aktiviert sein

[Cognito.2] Cognito-Identitätspools sollten keine nicht authentifizierten Identitäten zulassen

[Connect.1] Objekttypen von Amazon Connect Customer Profiles sollten mit Tags versehen werden

[Connect.2] Connect Customer-Instanzen sollten die CloudWatch Protokollierung aktiviert haben

[Detective.1] Graphen zum Verhalten von Detektiven sollten markiert werden

[DMS.2] DMS-Zertifikate sollten markiert werden

[DMS.3] DMS-Veranstaltungsabonnements sollten mit einem Tag versehen werden

[DMS.4] DMS-Replikationsinstanzen sollten markiert werden

[DMS.5] Subnetzgruppen für die DMS-Replikation sollten markiert werden

[DMS.6] Für DMS-Replikationsinstanzen sollte das automatische Upgrade der Nebenversionen aktiviert sein

[DMS.7] Bei DMS-Replikationsaufgaben für die Zieldatenbank sollte die Protokollierung aktiviert sein

[DMS.8] Bei DMS-Replikationsaufgaben für die Quelldatenbank sollte die Protokollierung aktiviert sein

[DMS.9] DMS-Endpunkte sollten SSL verwenden

[DMS.10] DMS-Endpunkte für Neptune-Datenbanken sollten die IAM-Autorisierung aktiviert haben

[DMS.11] DMS-Endpunkte für MongoDB sollten einen Authentifizierungsmechanismus aktiviert haben

[DMS.12] Auf DMS-Endpunkten für Redis OSS sollte TLS aktiviert sein

[DMS.13] DMS-Replikationsinstanzen sollten so konfiguriert werden, dass sie mehrere Availability Zones verwenden

[DynamoDB.3] DynamoDB Accelerator (DAX) -Cluster sollten im Ruhezustand verschlüsselt werden

[DynamoDB.7] DynamoDB Accelerator-Cluster sollten bei der Übertragung verschlüsselt werden

[EC2.14] Sicherheitsgruppen sollten ab Version 0.0.0 keinen Zugriff zulassen. 0/0 oder: :/0 zu Port 3389

[EC2.22] Unbenutzte Amazon EC2-Sicherheitsgruppen sollten entfernt werden

[EC2.24] Paravirtuelle Amazon EC2 EC2-Instance-Typen sollten nicht verwendet werden

[EC2.25] Amazon EC2 EC2-Startvorlagen sollten Netzwerkschnittstellen keine öffentlichen IPs zuweisen

[EC2.34] Die EC2-Transit-Gateway-Routentabellen sollten mit Tags versehen werden

[EC2.40] EC2-NAT-Gateways sollten markiert werden

[EC2.51] Bei EC2-Client-VPN-Endpunkten sollte die Client-Verbindungsprotokollierung aktiviert sein

[EC2.58] VPCs sollten mit einem Schnittstellenendpunkt für Systems Manager Incident Manager-Kontakte konfiguriert werden

[EC2.60] VPCs sollten mit einem Schnittstellenendpunkt für Systems Manager Incident Manager konfiguriert werden

[EC2.170] EC2-Startvorlagen sollten Instance Metadata Service Version 2 (IMDSv2) verwenden

[EC2.173] EC2 Spot Fleet-Anfragen mit Startparametern sollten die Verschlüsselung für angehängte EBS-Volumes ermöglichen

[EC2.175] EC2-Startvorlagen sollten mit Tags versehen werden

[EC2.177] EC2-Traffic-Mirror-Sitzungen sollten mit Tags versehen werden

[EC2.179] EC2-Traffic-Mirror-Ziele sollten markiert werden

[EC2.180] Bei EC2-Netzwerkschnittstellen sollte die Überprüfung aktiviert sein source/destination

[EC2.181] EC2-Startvorlagen sollten die Verschlüsselung für angehängte EBS-Volumes ermöglichen

[ECR.4] Öffentliche ECR-Repositorien sollten mit Tags versehen werden

[EFS.1] Elastic File System sollte so konfiguriert sein, dass es Dateidaten im Ruhezustand verschlüsseltAWS KMS

[EFS.2] Amazon EFS-Volumes sollten in Backup-Plänen enthalten sein

[ELB.14] Classic Load Balancer sollte mit einem defensiven oder strengsten Desync-Minimationsmodus konfiguriert werden

[ELB.17] Anwendungs- und Netzwerk-Load-Balancer mit Listenern sollten die empfohlenen Sicherheitsrichtlinien verwenden

[ELB.18] Anwendungs- und Network Load Balancer Balancer-Listener sollten sichere Protokolle verwenden, um Daten während der Übertragung zu verschlüsseln

Bei [ElastiCache.1] ElastiCache (Redis OSS) -Clustern sollten automatische Backups aktiviert sein

[ElastiCache.6] ElastiCache (Redis OSS) -Replikationsgruppen früherer Versionen sollten Redis OSS AUTH aktiviert haben

[ElastiCache.7] ElastiCache Cluster sollten nicht die Standard-Subnetzgruppe verwenden

[ElasticBeanstalk.1] Elastic Beanstalk Beanstalk-Umgebungen sollten erweiterte Gesundheitsberichte aktiviert haben

[ElasticBeanstalk.2] Von Elastic Beanstalk verwaltete Plattformupdates sollten aktiviert sein

[ElasticBeanstalk.3] Elastic Beanstalk sollte Logs streamen nach CloudWatch

[EMR.1] Primäre Amazon EMR-Clusterknoten sollten keine öffentlichen IP-Adressen haben

[ES.4] Die Elasticsearch-Domain-Fehlerprotokollierung in Logs sollte aktiviert sein CloudWatch

[EventBridge.4] Auf EventBridge globalen Endpunkten sollte die Ereignisreplikation aktiviert sein

[FraudDetector.1] Entitätstypen von Amazon Fraud Detector sollten markiert werden

[FraudDetector.2] Amazon Fraud Detector Detector-Etiketten sollten gekennzeichnet sein

[FraudDetector.3] Die Ergebnisse von Amazon Fraud Detector sollten markiert werden

[FraudDetector.4] Amazon Fraud Detector Detector-Variablen sollten markiert werden

[GlobalAccelerator.1] Global Accelerator-Beschleuniger sollten markiert sein

[Glue.4]AWS GlueSpark-Jobs sollten auf unterstützten Versionen von ausgeführt werdenAWS Glue

[GuardDuty.2] GuardDuty Filter sollten mit Tags versehen sein

[IAM.1] IAM-Richtlinien sollten keine vollen „*“ -Administratorrechte zulassen

[IAM.2] IAM-Benutzern sollten keine IAM-Richtlinien zugeordnet sein

[IAM.3] Die Zugriffsschlüssel von IAM-Benutzern sollten alle 90 Tage oder weniger gewechselt werden

[IAM.5] MFA sollte für alle IAM-Benutzer aktiviert sein, die ein Konsolenpasswort haben

[IAM.8] Unbenutzte IAM-Benutzeranmeldedaten sollten entfernt werden

[IAM.18] Stellen Sie sicher, dass eine Support-Rolle für die Verwaltung von Vorfällen eingerichtet wurdeAWS Support

[IAM.19] MFA sollte für alle IAM-Benutzer aktiviert sein

[IAM.21] Kundenverwaltete IAM-Richtlinien, die Sie erstellen, sollten keine Platzhalteraktionen für Dienste zulassen

[IAM.22] IAM-Benutzeranmeldedaten, die 45 Tage lang nicht verwendet wurden, sollten entfernt werden

[IAM.24] IAM-Rollen sollten mit Tags versehen werden

[IAM.25] IAM-Benutzer sollten markiert werden

[IAM.26] Abgelaufene SSL/TLS Zertifikate, die in IAM verwaltet werden, sollten entfernt werden

[IAM.27] IAM-Identitäten sollte die Richtlinie nicht angehängt sein AWSCloudShellFullAccess

[Inspector.1] Amazon Inspector EC2-Scannen sollte aktiviert sein

[Inspector.2] Amazon Inspector ECR-Scannen sollte aktiviert sein

[Inspector.3] Das Scannen von Amazon Inspector Lambda-Code sollte aktiviert sein

[Inspector.4] Das Standardscannen von Amazon Inspector Lambda sollte aktiviert sein

[IoT.1]AWS IoT Device DefenderSicherheitsprofile sollten markiert werden

[IoT.2]AWS IoT CoreMaßnahmen zur Schadensbegrenzung sollten mit einem Tag versehen werden

[IoT.3]AWS IoT CoreDimensionen sollten mit Tags versehen werden

[IoT.4]AWS IoT CoreAutorisierer sollten markiert werden

[IoT.5]AWS IoT CoreRollenaliase sollten mit Tags versehen werden

[IoT.6]AWS IoT CoreRichtlinien sollten mit Tags versehen werden

[IoTEvents.1]AWSEingaben für IoT Events sollten markiert werden

[IoTEvents.2]AWSModelle mit IoT-Ereignisdetektoren sollten markiert werden

[IoTEvents.3]AWSAlarmmodelle für IoT Events sollten markiert werden

[IoTSiteWise.1]AWS SiteWise IoT-Asset-Modelle sollten markiert werden

[IoTSiteWise.2]AWS SiteWise IoT-Dashboards sollten mit Tags versehen werden

[IoTSiteWise.3]AWS SiteWise IoT-Gateways sollten markiert werden

[IoTSiteWise.4]AWS SiteWise IoT-Portale sollten mit Tags versehen werden

[IoTSiteWise.5]AWS SiteWise IoT-Projekte sollten markiert werden

[IoTTwinMaker.1]AWS TwinMaker IoT-Synchronisierungsjobs sollten markiert werden

[IoTTwinMaker.2]AWS TwinMaker IoT-Arbeitsbereiche sollten markiert werden

[IoTTwinMaker.3]AWS TwinMaker IoT-Szenen sollten markiert werden

[IoTTwinMaker.4]AWS TwinMaker IoT-Entitäten sollten markiert werden

[IoTWireless.1]AWSIoT-Wireless-Multicast-Gruppen sollten markiert werden

[IoTWireless.2]AWSIoT-Wireless-Dienstprofile sollten markiert werden

[IoTWireless.3]AWSIoT FUOTA-Aufgaben sollten markiert werden

[IVS.1] Schlüsselpaare für die IVS-Wiedergabe sollten markiert werden

[IVS.2] IVS-Aufnahmekonfigurationen sollten mit Tags versehen werden

[IVS.3] IVS-Kanäle sollten mit Tags versehen werden

[Keyspaces.1] Amazon Keyspaces-Keyspaces sollten markiert werden

[KMS.1] Kundenverwaltete IAM-Richtlinien sollten keine Entschlüsselungsaktionen für alle KMS-Schlüssel zulassen

[KMS.2] IAM-Prinzipale sollten keine IAM-Inline-Richtlinien haben, die Entschlüsselungsaktionen für alle KMS-Schlüssel zulassen

[Lambda.7] Lambda-Funktionen sollten habenAWS X-Rayaktives Tracing aktiviert

[Macie.1] Amazon Macie sollte aktiviert sein

[Macie.2] Die automatische Erkennung sensibler Daten durch Macie sollte aktiviert sein

[MQ.2] ActiveMQ-Broker sollten Audit-Logs streamen an CloudWatch

[MQ.4] Amazon MQ-Broker sollten markiert werden

[MQ.5] ActiveMQ-Broker sollten den Bereitstellungsmodus verwenden active/standby

[MQ.6] RabbitMQ-Broker sollten den Cluster-Bereitstellungsmodus verwenden

[MSK.3] MSK Connect-Anschlüsse sollten bei der Übertragung verschlüsselt werden

[MSK.4] Bei MSK-Clustern sollte der öffentliche Zugriff deaktiviert sein

[MSK.5] Für MSK-Konnektoren sollte die Protokollierung aktiviert sein

[MSK.6] MSK-Cluster sollten den nicht authentifizierten Zugriff deaktivieren

[Neptune.1] Neptune-DB-Cluster sollten im Ruhezustand verschlüsselt werden

[Neptune.2] Neptune-DB-Cluster sollten Audit-Logs in Logs veröffentlichen CloudWatch

[Neptune.3] Neptune DB-Cluster-Snapshots sollten nicht öffentlich sein

[Neptune.4] Bei Neptune-DB-Clustern sollte der Löschschutz aktiviert sein

[Neptune.5] Bei Neptune-DB-Clustern sollten automatische Backups aktiviert sein

[Neptune.6] Neptune DB-Cluster-Snapshots sollten im Ruhezustand verschlüsselt werden

[Neptune.7] Neptune-DB-Cluster sollten die IAM-Datenbankauthentifizierung aktiviert haben

[Neptune.8] Neptune-DB-Cluster sollten so konfiguriert sein, dass sie Tags in Snapshots kopieren

[Neptune.9] Neptune-DB-Cluster sollten in mehreren Availability Zones bereitgestellt werden

Bei [Opensearch.1] OpenSearch Domänen sollte die Verschlüsselung im Ruhezustand aktiviert sein

[Opensearch.2] OpenSearch Domains sollten nicht öffentlich zugänglich sein

[Opensearch.3] OpenSearch Domains sollten Daten verschlüsseln, die zwischen Knoten gesendet werden

[Opensearch.4] OpenSearch Die Protokollierung von Domain-Fehlern in Logs sollte aktiviert sein CloudWatch

[Opensearch.5] Für OpenSearch Domains sollte die Audit-Protokollierung aktiviert sein

[Opensearch.6] OpenSearch Domains sollten mindestens drei Datenknoten haben

Bei [Opensearch.7] OpenSearch Domänen sollte eine differenzierte Zugriffskontrolle aktiviert sein

[Opensearch.8] Verbindungen zu OpenSearch Domains sollten mit der neuesten TLS-Sicherheitsrichtlinie verschlüsselt werden

[Opensearch.9] OpenSearch Domains sollten mit Tags versehen werden

Auf [Opensearch.10] OpenSearch Domains sollte das neueste Softwareupdate installiert sein

[Opensearch.11] OpenSearch Domains sollten mindestens drei dedizierte Primärknoten haben

[RDS.14] Bei Amazon Aurora Aurora-Clustern sollte Backtracking aktiviert sein

[RDS.31] RDS-DB-Sicherheitsgruppen sollten markiert werden

[RDS.35] Für RDS-DB-Cluster sollte das automatische Upgrade der Nebenversion aktiviert sein

[RDS.37] Aurora PostgreSQL-DB-Cluster sollten Protokolle in Logs veröffentlichen CloudWatch

[Redshift.10] Redshift-Cluster sollten im Ruhezustand verschlüsselt werden

[Redshift.18] Für Redshift-Cluster sollten Multi-AZ Bereitstellungen aktiviert sein

[RedshiftServerless.1] Serverlose Amazon Redshift Redshift-Arbeitsgruppen sollten erweitertes VPC-Routing verwenden

[RedshiftServerless.2] Für die Verwendung von SSL sollten Verbindungen zu Redshift Serverless-Arbeitsgruppen erforderlich sein

[RedshiftServerless.3] Redshift Serverless-Arbeitsgruppen sollten den öffentlichen Zugriff verbieten

[RedshiftServerless.4] Serverlose Redshift-Namespaces sollten verschlüsselt und vom Kunden verwaltet werdenAWS KMS keys

[RedshiftServerless.5] Redshift Serverless-Namespaces sollten nicht den Standard-Admin-Benutzernamen verwenden

[RedshiftServerless.6] Redshift Serverless Namespaces sollten Protokolle in Logs exportieren CloudWatch

[Route53.1] Route 53-Gesundheitschecks sollten markiert werden

[Route53.2] In öffentlich gehosteten Zonen von Route 53 sollten DNS-Abfragen protokolliert werden

[S3.24] Bei Multi-Region S3-Zugangspunkten sollten die Einstellungen zum Blockieren des öffentlichen Zugriffs aktiviert sein

[S3.25] S3-Verzeichnis-Buckets sollten Lebenszykluskonfigurationen haben

[SageMaker.1] SageMaker Amazon-Notebook-Instances sollten keinen direkten Internetzugang haben

[SageMaker.2] SageMaker Notebook-Instances sollten in einer benutzerdefinierten VPC gestartet werden

[SageMaker.3] Benutzer sollten keinen Root-Zugriff auf SageMaker Notebook-Instances haben

[SageMaker.5] SageMaker Bei Modellen sollte die Netzwerkisolierung aktiviert sein

[SageMaker.6] SageMaker App-Image-Konfigurationen sollten mit Tags versehen werden

[SageMaker.7] SageMaker Bilder sollten mit Tags versehen werden

[SageMaker.9] Bei Auftragsdefinitionen SageMaker zur Datenqualität sollte die Verschlüsselung des Datenverkehrs zwischen Containern aktiviert sein

Bei Auftragsdefinitionen zur Erläuterung des SageMaker Modells [SageMaker.10] sollte die Verschlüsselung des Datenverkehrs zwischen Containern aktiviert sein

[SageMaker.11] Bei Auftragsdefinitionen SageMaker zur Datenqualität sollte die Netzwerkisolierung aktiviert sein

Bei Auftragsdefinitionen für [SageMaker.12] SageMaker Model Bias sollte die Netzwerkisolierung aktiviert sein

[SageMaker.13] Bei Auftragsdefinitionen in SageMaker Modellqualität sollte die Verschlüsselung des Datenverkehrs zwischen Containern aktiviert sein

[SageMaker.14] In den SageMaker Überwachungsplänen sollte die Netzwerkisolierung aktiviert sein

[SageMaker.15] Bei Jobdefinitionen mit SageMaker Modellverzerrung sollte die Verschlüsselung des Datenverkehrs zwischen Containern aktiviert sein

[SageMaker.16] SageMaker Modelle sollten eine private Registrierung in VPC für primäre Container verwenden

[SageMaker.17] Offline-Shops für SageMaker Featuregruppen sollten verschlüsselt werden mitAWS KMSkeys

[SageMaker.18] Onlineshops mit Standardspeicher für SageMaker Featuregruppen sollten verschlüsselt werden mitAWS KMSkeys

[SageMaker.19] SageMaker Modelle sollten eine private Registrierung in VPC für Inferenz-Pipelines mit mehreren Containern verwenden

[SES.3] In SES-Konfigurationssätzen sollte TLS für das Senden von E-Mails aktiviert sein

[SQS.1] Amazon SQS SQS-Warteschlangen sollten im Ruhezustand verschlüsselt sein

[SQS.2] SQS-Warteschlangen sollten markiert werden

[SQS.3] Die Richtlinien für den Zugriff auf SQS-Warteschlangen sollten keinen öffentlichen Zugriff zulassen

[SSM.6] Bei SSM Automation sollte die Protokollierung aktiviert sein CloudWatch

[SSM.7] Bei SSM-Dokumenten sollte die Einstellung „Öffentliches Teilen blockieren“ aktiviert sein

[Transfer.3] Bei Connectoren der Transfer Family sollte die Protokollierung aktiviert sein

[Transfer.4] Transfer Family Familienverträge sollten gekennzeichnet werden

[WAF.1]AWS WAFDie klassische globale Web-ACL-Protokollierung sollte aktiviert sein

[WAF.3]AWS WAFKlassische regionale Regelgruppen sollten mindestens eine Regel haben

[WAF.6]AWS WAFKlassische globale Regeln sollten mindestens eine Bedingung haben

[WAF.7]AWS WAFKlassische globale Regelgruppen sollten mindestens eine Regel haben

[WAF.8]AWS WAFKlassische globale Web-ACLs sollten mindestens eine Regel oder Regelgruppe haben

[WAF.10]AWS WAFWeb-ACLs sollten mindestens eine Regel oder Regelgruppe haben

[WorkSpaces.1] WorkSpaces Benutzervolumes sollten im Ruhezustand verschlüsselt werden

[WorkSpaces.2] WorkSpaces Root-Volumes sollten im Ruhezustand verschlüsselt werden

[Account.2]AWS-Kontensollte Teil eines seinAWS OrganizationsOrganisation

[APIGateway.8] API-Gateway-Routen sollten einen Autorisierungstyp angeben

[APIGateway.9] Die Zugriffsprotokollierung sollte für API Gateway V2 Stages konfiguriert werden

[Amplify.1] Amplify-Apps sollten markiert werden

[Amplify.2] Amplify-Zweige sollten markiert werden

[AppFlow.1] AppFlow Amazon-Flows sollten markiert werden

[AppRunner.1] App Runner-Dienste sollten markiert sein

[AppRunner.2] App Runner VPC-Konnektoren sollten markiert werden

[AppSync.1]AWS AppSyncAPI-Caches sollten im Ruhezustand verschlüsselt werden

[AppSync.6]AWS AppSyncAPI-Caches sollten bei der Übertragung verschlüsselt werden

[Backup.1]AWS BackupWiederherstellungspunkte sollten im Ruhezustand verschlüsselt werden

[BedrockAgentCore.1] AgentCore Bedrock-Laufzeiten sollten mit dem VPC-Netzwerkmodus konfiguriert werden

[BedrockAgentCore.2] Bedrock AgentCore Gateways sollten eine Autorisierung für eingehende Anfragen benötigen

[BedrockAgentCore.3] Bedrock AgentCore Memory sollte verschlüsselt und vom Kunden verwaltet werdenAWS KMSkeys

[BedrockAgentCore.4] Bedrock AgentCore Gateway sollte verschlüsselt und vom Kunden verwaltet werdenAWS KMSkeys

[BedrockAgentCore.5] AgentCore Benutzerdefinierte Bedrock-Browser sollten den öffentlichen Netzwerkmodus nicht verwenden

[BedrockAgentCore.6] Für AgentCore benutzerdefinierte Bedrock-Browser sollte die Sitzungsaufzeichnung aktiviert sein

Bei [CloudFormation.3] CloudFormation Stacks sollte der Kündigungsschutz aktiviert sein

[CloudFormation.4] CloudFormation Stacks sollten zugeordnete Servicerollen haben

Bei [CloudFront.1] CloudFront Distributionen sollte ein Standard-Root-Objekt konfiguriert sein

[CloudFront.3] CloudFront Distributionen sollten während der Übertragung verschlüsselt werden müssen

[CloudFront.4] Bei CloudFront Distributionen sollte das Origin-Failover konfiguriert sein

[CloudFront.5] Bei CloudFront Distributionen sollte die Protokollierung aktiviert sein

[CloudFront.6] Bei CloudFront Distributionen sollte WAF aktiviert sein

[CloudFront.7] CloudFront Distributionen sollten benutzerdefinierte SSL/TLS Zertifikate verwenden

[CloudFront.8] CloudFront Distributionen sollten SNI verwenden, um HTTPS-Anfragen zu bearbeiten

[CloudFront.9] CloudFront Distributionen sollten den Datenverkehr zu benutzerdefinierten Ursprüngen verschlüsseln

[CloudFront.10] CloudFront Distributionen sollten keine veralteten SSL-Protokolle zwischen Edge-Standorten und benutzerdefinierten Ursprüngen verwenden

[CloudFront.12] CloudFront Distributionen sollten nicht auf nicht existierende S3-Ursprünge verweisen

[CloudFront.13] CloudFront Distributionen sollten die Origin-Zugriffskontrolle verwenden

[CloudFront.14] CloudFront Distributionen sollten markiert werden

[CloudFront.15] CloudFront Distributionen sollten die empfohlene TLS-Sicherheitsrichtlinie verwenden

[CloudFront.16] CloudFront Distributionen sollten die Origin-Zugriffskontrolle für die URL-Ursprünge der Lambda-Funktion verwenden

[CloudFront.17] CloudFront Distributionen sollten vertrauenswürdige Schlüsselgruppen für signierte URLs und Cookies verwenden

[CodeArtifact.1] CodeArtifact Repositorien sollten markiert werden

[CodeBuild.1] Die URLs des CodeBuild Bitbucket-Quell-Repositorys sollten keine vertraulichen Anmeldeinformationen enthalten

[CodeBuild.2] CodeBuild Projektumgebungsvariablen sollten keine Klartext-Anmeldeinformationen enthalten

[CodeBuild.3] CodeBuild S3-Protokolle sollten verschlüsselt sein

[CodeBuild.4] CodeBuild Projektumgebungen sollten über eine Protokollierung verfügenAWS ConfigDauer

[CodeGuruProfiler.1] CodeGuru Profiler-Profiling-Gruppen sollten markiert werden

[CodeGuruReviewer.1] CodeGuru Reviewer-Repository-Verknüpfungen sollten markiert werden

[Cognito.1] In Cognito-Benutzerpools sollte der Bedrohungsschutz mit vollem Funktionsumfang für die Standardauthentifizierung aktiviert sein

[Connect.1] Objekttypen von Amazon Connect Customer Profiles sollten mit Tags versehen werden

[Connect.2] Connect Customer-Instanzen sollten die CloudWatch Protokollierung aktiviert haben

[Detective.1] Graphen zum Verhalten von Detektiven sollten markiert werden

[DMS.2] DMS-Zertifikate sollten markiert werden

[DMS.3] DMS-Veranstaltungsabonnements sollten mit einem Tag versehen werden

[DMS.4] DMS-Replikationsinstanzen sollten markiert werden

[DMS.5] Subnetzgruppen für die DMS-Replikation sollten markiert werden

[DMS.6] Für DMS-Replikationsinstanzen sollte das automatische Upgrade der Nebenversionen aktiviert sein

[DMS.7] Bei DMS-Replikationsaufgaben für die Zieldatenbank sollte die Protokollierung aktiviert sein

[DMS.8] Bei DMS-Replikationsaufgaben für die Quelldatenbank sollte die Protokollierung aktiviert sein

[DMS.9] DMS-Endpunkte sollten SSL verwenden

[DMS.10] DMS-Endpunkte für Neptune-Datenbanken sollten die IAM-Autorisierung aktiviert haben

[DMS.11] DMS-Endpunkte für MongoDB sollten einen Authentifizierungsmechanismus aktiviert haben

[DMS.12] Auf DMS-Endpunkten für Redis OSS sollte TLS aktiviert sein

[DMS.13] DMS-Replikationsinstanzen sollten so konfiguriert werden, dass sie mehrere Availability Zones verwenden

[DocumentDB.1] Amazon DocumentDB-Cluster sollten im Ruhezustand verschlüsselt werden

[DocumentDB.2] Amazon DocumentDB-Cluster sollten über eine angemessene Aufbewahrungsfrist für Backups verfügen

[DocumentDB.3] Manuelle Cluster-Snapshots von Amazon DocumentDB sollten nicht öffentlich sein

[DocumentDB.4] Amazon DocumentDB-Cluster sollten Auditprotokolle in Logs veröffentlichen CloudWatch

[DocumentDB.5] Bei Amazon DocumentDB-Clustern sollte der Löschschutz aktiviert sein

[DocumentDB.6] Amazon DocumentDB-Cluster sollten bei der Übertragung verschlüsselt werden

[DynamoDB.3] DynamoDB Accelerator (DAX) -Cluster sollten im Ruhezustand verschlüsselt werden

[DynamoDB.7] DynamoDB Accelerator-Cluster sollten bei der Übertragung verschlüsselt werden

[EC2.14] Sicherheitsgruppen sollten ab Version 0.0.0 keinen Zugriff zulassen. 0/0 oder: :/0 zu Port 3389

[EC2.22] Unbenutzte Amazon EC2-Sicherheitsgruppen sollten entfernt werden

[EC2.24] Paravirtuelle Amazon EC2 EC2-Instance-Typen sollten nicht verwendet werden

[EC2.51] Bei EC2-Client-VPN-Endpunkten sollte die Client-Verbindungsprotokollierung aktiviert sein

[EC2.58] VPCs sollten mit einem Schnittstellenendpunkt für Systems Manager Incident Manager-Kontakte konfiguriert werden

[EC2.60] VPCs sollten mit einem Schnittstellenendpunkt für Systems Manager Incident Manager konfiguriert werden

[EC2.173] EC2 Spot Fleet-Anfragen mit Startparametern sollten die Verschlüsselung für angehängte EBS-Volumes ermöglichen

[EC2.177] EC2-Traffic-Mirror-Sitzungen sollten mit Tags versehen werden

[EC2.179] EC2-Traffic-Mirror-Ziele sollten markiert werden

[ECR.4] Öffentliche ECR-Repositorien sollten mit Tags versehen werden

[EFS.1] Elastic File System sollte so konfiguriert sein, dass es Dateidaten im Ruhezustand verschlüsseltAWS KMS

[EFS.2] Amazon EFS-Volumes sollten in Backup-Plänen enthalten sein

[ELB.17] Anwendungs- und Netzwerk-Load-Balancer mit Listenern sollten die empfohlenen Sicherheitsrichtlinien verwenden

[ELB.18] Anwendungs- und Network Load Balancer Balancer-Listener sollten sichere Protokolle verwenden, um Daten während der Übertragung zu verschlüsseln

Bei [ElastiCache.1] ElastiCache (Redis OSS) -Clustern sollten automatische Backups aktiviert sein

[ElastiCache.6] ElastiCache (Redis OSS) -Replikationsgruppen früherer Versionen sollten Redis OSS AUTH aktiviert haben

[ElastiCache.7] ElastiCache Cluster sollten nicht die Standard-Subnetzgruppe verwenden

[ElasticBeanstalk.1] Elastic Beanstalk Beanstalk-Umgebungen sollten erweiterte Gesundheitsberichte aktiviert haben

[EventBridge.4] Auf EventBridge globalen Endpunkten sollte die Ereignisreplikation aktiviert sein

[FraudDetector.1] Entitätstypen von Amazon Fraud Detector sollten markiert werden

[FraudDetector.2] Amazon Fraud Detector Detector-Etiketten sollten gekennzeichnet sein

[FraudDetector.3] Die Ergebnisse von Amazon Fraud Detector sollten markiert werden

[FraudDetector.4] Amazon Fraud Detector Detector-Variablen sollten markiert werden

[GlobalAccelerator.1] Global Accelerator-Beschleuniger sollten markiert sein

[GuardDuty.2] GuardDuty Filter sollten mit Tags versehen sein

[IAM.18] Stellen Sie sicher, dass eine Support-Rolle für die Verwaltung von Vorfällen eingerichtet wurdeAWS Support

[IAM.26] Abgelaufene SSL/TLS Zertifikate, die in IAM verwaltet werden, sollten entfernt werden

[Inspector.3] Das Scannen von Amazon Inspector Lambda-Code sollte aktiviert sein

[IoT.1]AWS IoT Device DefenderSicherheitsprofile sollten markiert werden

[IoT.2]AWS IoT CoreMaßnahmen zur Schadensbegrenzung sollten mit einem Tag versehen werden

[IoT.3]AWS IoT CoreDimensionen sollten mit Tags versehen werden

[IoT.4]AWS IoT CoreAutorisierer sollten markiert werden

[IoT.5]AWS IoT CoreRollenaliase sollten mit Tags versehen werden

[IoT.6]AWS IoT CoreRichtlinien sollten mit Tags versehen werden

[IoTEvents.1]AWSEingaben für IoT Events sollten markiert werden

[IoTEvents.2]AWSModelle mit IoT-Ereignisdetektoren sollten markiert werden

[IoTEvents.3]AWSAlarmmodelle für IoT Events sollten markiert werden

[IoTSiteWise.1]AWS SiteWise IoT-Asset-Modelle sollten markiert werden

[IoTSiteWise.2]AWS SiteWise IoT-Dashboards sollten mit Tags versehen werden

[IoTSiteWise.3]AWS SiteWise IoT-Gateways sollten markiert werden

[IoTSiteWise.4]AWS SiteWise IoT-Portale sollten mit Tags versehen werden

[IoTSiteWise.5]AWS SiteWise IoT-Projekte sollten markiert werden

[IoTTwinMaker.1]AWS TwinMaker IoT-Synchronisierungsjobs sollten markiert werden

[IoTTwinMaker.2]AWS TwinMaker IoT-Arbeitsbereiche sollten markiert werden

[IoTTwinMaker.3]AWS TwinMaker IoT-Szenen sollten markiert werden

[IoTTwinMaker.4]AWS TwinMaker IoT-Entitäten sollten markiert werden

[IoTWireless.1]AWSIoT-Wireless-Multicast-Gruppen sollten markiert werden

[IoTWireless.2]AWSIoT-Wireless-Dienstprofile sollten markiert werden

[IoTWireless.3]AWSIoT FUOTA-Aufgaben sollten markiert werden

[IVS.1] Schlüsselpaare für die IVS-Wiedergabe sollten markiert werden

[IVS.2] IVS-Aufnahmekonfigurationen sollten mit Tags versehen werden

[IVS.3] IVS-Kanäle sollten mit Tags versehen werden

[Keyspaces.1] Amazon Keyspaces-Keyspaces sollten markiert werden

[Macie.1] Amazon Macie sollte aktiviert sein

[Macie.2] Die automatische Erkennung sensibler Daten durch Macie sollte aktiviert sein

[MSK.3] MSK Connect-Anschlüsse sollten bei der Übertragung verschlüsselt werden

[MSK.5] Für MSK-Konnektoren sollte die Protokollierung aktiviert sein

[Neptune.1] Neptune-DB-Cluster sollten im Ruhezustand verschlüsselt werden

[Neptune.2] Neptune-DB-Cluster sollten Audit-Logs in Logs veröffentlichen CloudWatch

[Neptune.3] Neptune DB-Cluster-Snapshots sollten nicht öffentlich sein

[Neptune.4] Bei Neptune-DB-Clustern sollte der Löschschutz aktiviert sein

[Neptune.5] Bei Neptune-DB-Clustern sollten automatische Backups aktiviert sein

[Neptune.6] Neptune DB-Cluster-Snapshots sollten im Ruhezustand verschlüsselt werden

[Neptune.7] Neptune-DB-Cluster sollten die IAM-Datenbankauthentifizierung aktiviert haben

[Neptune.8] Neptune-DB-Cluster sollten so konfiguriert sein, dass sie Tags in Snapshots kopieren

[Neptune.9] Neptune-DB-Cluster sollten in mehreren Availability Zones bereitgestellt werden

[Opensearch.5] Für OpenSearch Domains sollte die Audit-Protokollierung aktiviert sein

[Opensearch.6] OpenSearch Domains sollten mindestens drei Datenknoten haben

[RDS.14] Bei Amazon Aurora Aurora-Clustern sollte Backtracking aktiviert sein

[RDS.31] RDS-DB-Sicherheitsgruppen sollten markiert werden

[RedshiftServerless.1] Serverlose Amazon Redshift Redshift-Arbeitsgruppen sollten erweitertes VPC-Routing verwenden

[RedshiftServerless.2] Für die Verwendung von SSL sollten Verbindungen zu Redshift Serverless-Arbeitsgruppen erforderlich sein

[Route53.1] Route 53-Gesundheitschecks sollten markiert werden

[Route53.2] In öffentlich gehosteten Zonen von Route 53 sollten DNS-Abfragen protokolliert werden

[S3.11] Für S3-Allzweck-Buckets sollten Ereignisbenachrichtigungen aktiviert sein

[S3.24] Bei Multi-Region S3-Zugangspunkten sollten die Einstellungen zum Blockieren des öffentlichen Zugriffs aktiviert sein

[S3.25] S3-Verzeichnis-Buckets sollten Lebenszykluskonfigurationen haben

[SageMaker.9] Bei Auftragsdefinitionen SageMaker zur Datenqualität sollte die Verschlüsselung des Datenverkehrs zwischen Containern aktiviert sein

Bei Auftragsdefinitionen zur Erläuterung des SageMaker Modells [SageMaker.10] sollte die Verschlüsselung des Datenverkehrs zwischen Containern aktiviert sein

[SageMaker.11] Bei Auftragsdefinitionen SageMaker zur Datenqualität sollte die Netzwerkisolierung aktiviert sein

Bei Auftragsdefinitionen für [SageMaker.12] SageMaker Model Bias sollte die Netzwerkisolierung aktiviert sein

[SageMaker.13] Bei Auftragsdefinitionen in SageMaker Modellqualität sollte die Verschlüsselung des Datenverkehrs zwischen Containern aktiviert sein

[SageMaker.14] In den SageMaker Überwachungsplänen sollte die Netzwerkisolierung aktiviert sein

[SageMaker.15] Bei Jobdefinitionen mit SageMaker Modellverzerrung sollte die Verschlüsselung des Datenverkehrs zwischen Containern aktiviert sein

[SageMaker.16] SageMaker Modelle sollten eine private Registrierung in VPC für primäre Container verwenden

[SageMaker.19] SageMaker Modelle sollten eine private Registrierung in VPC für Inferenz-Pipelines mit mehreren Containern verwenden

[ServiceCatalog.1] Servicekatalog-Portfolios sollten innerhalb eines gemeinsam genutzt werdenAWSnur Organisation

[SQS.1] Amazon SQS SQS-Warteschlangen sollten im Ruhezustand verschlüsselt sein

[SQS.2] SQS-Warteschlangen sollten markiert werden

[SQS.3] Die Richtlinien für den Zugriff auf SQS-Warteschlangen sollten keinen öffentlichen Zugriff zulassen

[WAF.1]AWS WAFDie klassische globale Web-ACL-Protokollierung sollte aktiviert sein

[WAF.3]AWS WAFKlassische regionale Regelgruppen sollten mindestens eine Regel haben

[WAF.6]AWS WAFKlassische globale Regeln sollten mindestens eine Bedingung haben

[WAF.7]AWS WAFKlassische globale Regelgruppen sollten mindestens eine Regel haben

[WAF.8]AWS WAFKlassische globale Web-ACLs sollten mindestens eine Regel oder Regelgruppe haben

[WAF.10]AWS WAFWeb-ACLs sollten mindestens eine Regel oder Regelgruppe haben

[WorkSpaces.1] WorkSpaces Benutzervolumes sollten im Ruhezustand verschlüsselt werden

[WorkSpaces.2] WorkSpaces Root-Volumes sollten im Ruhezustand verschlüsselt werden

[ACM.1] Importiert und ACM-issued Zertifikate sollten nach einem bestimmten Zeitraum erneuert werden

[ACM.2] Von ACM verwaltete RSA-Zertifikate sollten eine Schlüssellänge von mindestens 2.048 Bit verwenden

[Account.1] Sicherheitskontaktinformationen sollten für eine bereitgestellt werdenAWS-Konto

[Account.2]AWS-Kontensollte Teil eines seinAWS OrganizationsOrganisation

[APIGateway.8] API-Gateway-Routen sollten einen Autorisierungstyp angeben

[APIGateway.9] Die Zugriffsprotokollierung sollte für API Gateway V2 Stages konfiguriert werden

[Amplify.1] Amplify-Apps sollten markiert werden

[Amplify.2] Amplify-Zweige sollten markiert werden

[AppConfig.1]AWS AppConfigAnwendungen sollten markiert werden

[AppConfig.2]AWS AppConfigKonfigurationsprofile sollten mit Tags versehen werden

[AppConfig.3]AWS AppConfigUmgebungen sollten markiert werden

[AppConfig.4]AWS AppConfigErweiterungszuordnungen sollten mit Tags versehen werden

[AppFlow.1] AppFlow Amazon-Flows sollten markiert werden

[AppRunner.1] App Runner-Dienste sollten markiert sein

[AppRunner.2] App Runner VPC-Konnektoren sollten markiert werden

[AppSync.1]AWS AppSyncAPI-Caches sollten im Ruhezustand verschlüsselt werden

[AppSync.2]AWS AppSyncsollte die Protokollierung auf Feldebene aktiviert haben

[AppSync.5]AWS AppSyncGraphQL-APIs sollten nicht mit API-Schlüsseln authentifiziert werden

[AppSync.6]AWS AppSyncAPI-Caches sollten bei der Übertragung verschlüsselt werden

[Athena.4] Bei Athena-Arbeitsgruppen sollte die Protokollierung aktiviert sein

[AutoScaling.2] Die Amazon EC2 Auto Scaling Scaling-Gruppe sollte mehrere Availability Zones abdecken

[AutoScaling.3] Auto Scaling Scaling-Gruppenstartkonfigurationen sollten EC2-Instances so konfigurieren, dass sie Instance Metadata Service Version 2 (IMDSv2) benötigen

[AutoScaling.6] Auto Scaling Scaling-Gruppen sollten mehrere Instanztypen in mehreren Availability Zones verwenden

[AutoScaling.9] Amazon EC2 Auto Scaling Scaling-Gruppen sollten Amazon EC2 EC2-Startvorlagen verwenden

[Backup.1]AWS BackupWiederherstellungspunkte sollten im Ruhezustand verschlüsselt werden

[Backup.2]AWS BackupWiederherstellungspunkte sollten markiert werden

[Backup.4]AWS BackupBerichtspläne sollten mit Tags versehen werden

[Batch.1] Batch-Job-Warteschlangen sollten markiert werden

[Batch.2] Richtlinien zur Batch-Planung sollten markiert werden

[Batch.3] Batch-Computing-Umgebungen sollten markiert werden

[Batch.4] Eigenschaften von Rechenressourcen in verwalteten Batch-Computing-Umgebungen sollten markiert werden

[BedrockAgentCore.1] AgentCore Bedrock-Laufzeiten sollten mit dem VPC-Netzwerkmodus konfiguriert werden

[BedrockAgentCore.2] Bedrock AgentCore Gateways sollten eine Autorisierung für eingehende Anfragen benötigen

[BedrockAgentCore.3] Bedrock AgentCore Memory sollte verschlüsselt und vom Kunden verwaltet werdenAWS KMSkeys

[BedrockAgentCore.4] Bedrock AgentCore Gateway sollte verschlüsselt und vom Kunden verwaltet werdenAWS KMSkeys

[BedrockAgentCore.5] AgentCore Benutzerdefinierte Bedrock-Browser sollten den öffentlichen Netzwerkmodus nicht verwenden

[BedrockAgentCore.6] Für AgentCore benutzerdefinierte Bedrock-Browser sollte die Sitzungsaufzeichnung aktiviert sein

Bei [CloudFormation.3] CloudFormation Stacks sollte der Kündigungsschutz aktiviert sein

[CloudFormation.4] CloudFormation Stacks sollten zugeordnete Servicerollen haben

Bei [CloudFront.1] CloudFront Distributionen sollte ein Standard-Root-Objekt konfiguriert sein

[CloudFront.3] CloudFront Distributionen sollten während der Übertragung verschlüsselt werden müssen

[CloudFront.4] Bei CloudFront Distributionen sollte das Origin-Failover konfiguriert sein

[CloudFront.5] Bei CloudFront Distributionen sollte die Protokollierung aktiviert sein

[CloudFront.6] Bei CloudFront Distributionen sollte WAF aktiviert sein

[CloudFront.7] CloudFront Distributionen sollten benutzerdefinierte SSL/TLS Zertifikate verwenden

[CloudFront.8] CloudFront Distributionen sollten SNI verwenden, um HTTPS-Anfragen zu bearbeiten

[CloudFront.9] CloudFront Distributionen sollten den Datenverkehr zu benutzerdefinierten Ursprüngen verschlüsseln

[CloudFront.10] CloudFront Distributionen sollten keine veralteten SSL-Protokolle zwischen Edge-Standorten und benutzerdefinierten Ursprüngen verwenden

[CloudFront.12] CloudFront Distributionen sollten nicht auf nicht existierende S3-Ursprünge verweisen

[CloudFront.13] CloudFront Distributionen sollten die Origin-Zugriffskontrolle verwenden

[CloudFront.14] CloudFront Distributionen sollten markiert werden

[CloudFront.15] CloudFront Distributionen sollten die empfohlene TLS-Sicherheitsrichtlinie verwenden

[CloudFront.16] CloudFront Distributionen sollten die Origin-Zugriffskontrolle für die URL-Ursprünge der Lambda-Funktion verwenden

[CloudFront.17] CloudFront Distributionen sollten vertrauenswürdige Schlüsselgruppen für signierte URLs und Cookies verwenden

[CloudTrail.6] Stellen Sie sicher, dass der zum Speichern von CloudTrail Protokollen verwendete S3-Bucket nicht öffentlich zugänglich ist

[CloudTrail.7] Stellen Sie sicher, dass die Protokollierung des S3-Bucket-Zugriffs auf dem CloudTrail S3-Bucket aktiviert ist

[CloudTrail.10] Datenspeicher für Ereignisse in CloudTrail Lake sollten verschlüsselt und vom Kunden verwaltet werdenAWS KMS keys

[CloudWatch.17] CloudWatch Alarmaktionen sollten aktiviert sein

[CodeArtifact.1] CodeArtifact Repositorien sollten markiert werden

[CodeBuild.1] Die URLs des CodeBuild Bitbucket-Quell-Repositorys sollten keine vertraulichen Anmeldeinformationen enthalten

[CodeBuild.2] CodeBuild Projektumgebungsvariablen sollten keine Klartext-Anmeldeinformationen enthalten

[CodeBuild.3] CodeBuild S3-Protokolle sollten verschlüsselt sein

[CodeBuild.4] CodeBuild Projektumgebungen sollten über eine Protokollierung verfügenAWS ConfigDauer

[CodeBuild.7] Exporte von CodeBuild Berichtsgruppen sollten im Ruhezustand verschlüsselt werden

[CodeGuruProfiler.1] CodeGuru Profiler-Profiling-Gruppen sollten markiert werden

[CodeGuruReviewer.1] CodeGuru Reviewer-Repository-Verknüpfungen sollten markiert werden

[Cognito.1] In Cognito-Benutzerpools sollte der Bedrohungsschutz mit vollem Funktionsumfang für die Standardauthentifizierung aktiviert sein

[Cognito.2] Cognito-Identitätspools sollten keine nicht authentifizierten Identitäten zulassen

[Cognito.3] Passwortrichtlinien für Cognito-Benutzerpools sollten starke Konfigurationen haben

[Cognito.4] In Cognito-Benutzerpools sollte der Bedrohungsschutz mit vollem Funktionsumfang für die benutzerdefinierte Authentifizierung aktiviert sein

[Cognito.5] MFA sollte für Cognito-Benutzerpools aktiviert sein

[Cognito.6] In Cognito-Benutzerpools sollte der Löschschutz aktiviert sein

[Connect.1] Objekttypen von Amazon Connect Customer Profiles sollten mit Tags versehen werden

[Connect.2] Connect Customer-Instanzen sollten die CloudWatch Protokollierung aktiviert haben

[DataFirehose.1] Firehose-Lieferstreams sollten im Ruhezustand verschlüsselt werden

Bei [DataSync.1] DataSync Aufgaben sollte die Protokollierung aktiviert sein

[DataSync.2] DataSync Aufgaben sollten mit Tags versehen werden

[Detective.1] Graphen zum Verhalten von Detektiven sollten markiert werden

[DMS.2] DMS-Zertifikate sollten markiert werden

[DMS.3] DMS-Veranstaltungsabonnements sollten mit einem Tag versehen werden

[DMS.4] DMS-Replikationsinstanzen sollten markiert werden

[DMS.5] Subnetzgruppen für die DMS-Replikation sollten markiert werden

[DMS.6] Für DMS-Replikationsinstanzen sollte das automatische Upgrade der Nebenversionen aktiviert sein

[DMS.7] Bei DMS-Replikationsaufgaben für die Zieldatenbank sollte die Protokollierung aktiviert sein

[DMS.8] Bei DMS-Replikationsaufgaben für die Quelldatenbank sollte die Protokollierung aktiviert sein

[DMS.9] DMS-Endpunkte sollten SSL verwenden

[DMS.10] DMS-Endpunkte für Neptune-Datenbanken sollten die IAM-Autorisierung aktiviert haben

[DMS.11] DMS-Endpunkte für MongoDB sollten einen Authentifizierungsmechanismus aktiviert haben

[DMS.12] Auf DMS-Endpunkten für Redis OSS sollte TLS aktiviert sein

[DMS.13] DMS-Replikationsinstanzen sollten so konfiguriert werden, dass sie mehrere Availability Zones verwenden

[DocumentDB.1] Amazon DocumentDB-Cluster sollten im Ruhezustand verschlüsselt werden

[DocumentDB.2] Amazon DocumentDB-Cluster sollten über eine angemessene Aufbewahrungsfrist für Backups verfügen

[DocumentDB.3] Manuelle Cluster-Snapshots von Amazon DocumentDB sollten nicht öffentlich sein

[DocumentDB.4] Amazon DocumentDB-Cluster sollten Auditprotokolle in Logs veröffentlichen CloudWatch

[DocumentDB.5] Bei Amazon DocumentDB-Clustern sollte der Löschschutz aktiviert sein

[DocumentDB.6] Amazon DocumentDB-Cluster sollten bei der Übertragung verschlüsselt werden

[DynamoDB.3] DynamoDB Accelerator (DAX) -Cluster sollten im Ruhezustand verschlüsselt werden

[DynamoDB.4] DynamoDB-Tabellen sollten in einem Backup-Plan vorhanden sein

[DynamoDB.6] Bei DynamoDB-Tabellen sollte der Löschschutz aktiviert sein

[DynamoDB.7] DynamoDB Accelerator-Cluster sollten bei der Übertragung verschlüsselt werden

[EC2.4] Gestoppte EC2-Instances sollten nach einem bestimmten Zeitraum entfernt werden

[EC2.21] Netzwerk-ACLs sollten ab Version 0.0.0 keinen Zugriff mehr zulassen. 0/0 zu Port 22 oder Port 3389

[EC2.22] Unbenutzte Amazon EC2-Sicherheitsgruppen sollten entfernt werden

[EC2.23] Amazon EC2 Transit Gateways sollten VPC-Anhangsanforderungen nicht automatisch akzeptieren

[EC2.24] Paravirtuelle Amazon EC2 EC2-Instance-Typen sollten nicht verwendet werden

[EC2.25] Amazon EC2 EC2-Startvorlagen sollten Netzwerkschnittstellen keine öffentlichen IPs zuweisen

[EC2.28] EBS-Volumes sollten durch einen Backup-Plan abgedeckt sein

[EC2.34] Die EC2-Transit-Gateway-Routentabellen sollten mit Tags versehen werden

[EC2.40] EC2-NAT-Gateways sollten markiert werden

[EC2.51] Bei EC2-Client-VPN-Endpunkten sollte die Client-Verbindungsprotokollierung aktiviert sein

[EC2.53] EC2-Sicherheitsgruppen sollten keinen Zugriff ab Version 0.0.0 zulassen. 0/0 zu den Verwaltungsports des Remoteservers

[EC2.54] EC2-Sicherheitsgruppen sollten keinen Zugriff von: :/0 zu Remote-Serveradministrationsports zulassen

[EC2.55] VPCs sollten mit einem Schnittstellenendpunkt für die ECR-API konfiguriert werden

[EC2.56] VPCs sollten mit einem Schnittstellenendpunkt für Docker Registry konfiguriert werden

[EC2.57] VPCs sollten mit einem Schnittstellenendpunkt für Systems Manager konfiguriert werden

[EC2.58] VPCs sollten mit einem Schnittstellenendpunkt für Systems Manager Incident Manager-Kontakte konfiguriert werden

[EC2.60] VPCs sollten mit einem Schnittstellenendpunkt für Systems Manager Incident Manager konfiguriert werden

[EC2.170] EC2-Startvorlagen sollten Instance Metadata Service Version 2 (IMDSv2) verwenden

[EC2.171] Bei EC2-VPN-Verbindungen sollte die Protokollierung aktiviert sein

[EC2.173] EC2 Spot Fleet-Anfragen mit Startparametern sollten die Verschlüsselung für angehängte EBS-Volumes ermöglichen

[EC2.174] EC2-DHCP-Optionssätze sollten mit Tags versehen werden

[EC2.175] EC2-Startvorlagen sollten mit Tags versehen werden

[EC2.176] EC2-Präfixlisten sollten mit Tags versehen werden

[EC2.177] EC2-Traffic-Mirror-Sitzungen sollten mit Tags versehen werden

[EC2.178] EC2-Traffic-Spiegelfilter sollten mit Tags versehen werden

[EC2.179] EC2-Traffic-Mirror-Ziele sollten markiert werden

[EC2.180] Bei EC2-Netzwerkschnittstellen sollte die Überprüfung aktiviert sein source/destination

[EC2.181] EC2-Startvorlagen sollten die Verschlüsselung für angehängte EBS-Volumes ermöglichen

[EC2.183] EC2-VPN-Verbindungen sollten das IKEv2-Protokoll verwenden

[ECR.1] Bei privaten ECR-Repositorys sollte das Scannen von Bildern konfiguriert sein

[ECR.2] Für private ECR-Repositorys sollte die Tag-Unveränderlichkeit konfiguriert sein

[ECR.3] Für ECR-Repositorys sollte mindestens eine Lebenszyklusrichtlinie konfiguriert sein

[ECR.4] Öffentliche ECR-Repositorien sollten mit Tags versehen werden

[ECR.5] ECR-Repositorys sollten verschlüsselt und vom Kunden verwaltet werdenAWS KMS keys

[ECS.3] ECS-Aufgabendefinitionen sollten den Prozess-Namespace des Hosts nicht gemeinsam nutzen

[ECS.4] ECS-Container sollten ohne Zugriffsrechte ausgeführt werden

[ECS.5] ECS-Aufgabendefinitionen sollten Container so konfigurieren, dass sie auf den schreibgeschützten Zugriff auf Root-Dateisysteme beschränkt sind

[ECS.8] Geheimnisse sollten nicht als Container-Umgebungsvariablen übergeben werden

[ECS.9] ECS-Aufgabendefinitionen sollten über eine Protokollierungskonfiguration verfügen

[ECS.10] ECS Fargate-Dienste sollten auf der neuesten Fargate-Plattformversion laufen

[ECS.12] ECS-Cluster sollten Container Insights verwenden

[ECS.17] ECS-Aufgabendefinitionen sollten nicht den Host-Netzwerkmodus verwenden

[ECS.19] ECS-Kapazitätsanbieter sollten den Managed Termination Protection aktiviert haben

[EFS.1] Elastic File System sollte so konfiguriert sein, dass es Dateidaten im Ruhezustand verschlüsseltAWS KMS

[EFS.2] Amazon EFS-Volumes sollten in Backup-Plänen enthalten sein

[EFS.3] EFS-Zugriffspunkte sollten ein Stammverzeichnis erzwingen

[EFS.4] EFS-Zugriffspunkte sollten eine Benutzeridentität erzwingen

[EFS.6] EFS-Mount-Ziele sollten nicht mit Subnetzen verknüpft werden, die beim Start öffentliche IP-Adressen zuweisen

[EFS.7] Bei EFS-Dateisystemen sollten automatische Backups aktiviert sein

[EFS.8] EFS-Dateisysteme sollten im Ruhezustand verschlüsselt werden

[EKS.2] EKS-Cluster sollten auf einer unterstützten Kubernetes-Version ausgeführt werden

[EKS.3] EKS-Cluster sollten verschlüsselte Kubernetes-Geheimnisse verwenden

[EKS.7] Die Konfigurationen des EKS-Identitätsanbieters sollten mit Tags versehen werden

[EKS.8] Bei EKS-Clustern sollte die Audit-Protokollierung aktiviert sein

[ELB.10] Classic Load Balancer sollte sich über mehrere Availability Zones erstrecken

[ELB.12] Der Application Load Balancer sollte mit einem defensiven oder strengsten Desync-Minimationsmodus konfiguriert werden

[ELB.13] Anwendungs-, Netzwerk- und Gateway-Load Balancer sollten sich über mehrere Availability Zones erstrecken

[ELB.14] Classic Load Balancer sollte mit einem defensiven oder strengsten Desync-Minimationsmodus konfiguriert werden

[ELB.17] Anwendungs- und Netzwerk-Load-Balancer mit Listenern sollten die empfohlenen Sicherheitsrichtlinien verwenden

[ELB.18] Anwendungs- und Network Load Balancer Balancer-Listener sollten sichere Protokolle verwenden, um Daten während der Übertragung zu verschlüsseln

Bei [ElastiCache.1] ElastiCache (Redis OSS) -Clustern sollten automatische Backups aktiviert sein

[ElastiCache.2] Bei ElastiCache Clustern sollten automatische Upgrades für kleinere Versionen aktiviert sein

[ElastiCache.3] Für ElastiCache Replikationsgruppen sollte der automatische Failover aktiviert sein

[ElastiCache.4] ElastiCache Replikationsgruppen sollten im Ruhezustand verschlüsselt werden

[ElastiCache.5] ElastiCache Replikationsgruppen sollten bei der Übertragung verschlüsselt werden

[ElastiCache.6] ElastiCache (Redis OSS) -Replikationsgruppen früherer Versionen sollten Redis OSS AUTH aktiviert haben

[ElastiCache.7] ElastiCache Cluster sollten nicht die Standard-Subnetzgruppe verwenden

[ElasticBeanstalk.1] Elastic Beanstalk Beanstalk-Umgebungen sollten erweiterte Gesundheitsberichte aktiviert haben

[ElasticBeanstalk.2] Von Elastic Beanstalk verwaltete Plattformupdates sollten aktiviert sein

[ElasticBeanstalk.3] Elastic Beanstalk sollte Logs streamen nach CloudWatch

[EMR.1] Primäre Amazon EMR-Clusterknoten sollten keine öffentlichen IP-Adressen haben

[EMR.2] Die Einstellung Amazon EMR Block Public Access sollte aktiviert sein

[EMR.3] Amazon EMR-Sicherheitskonfigurationen sollten im Ruhezustand verschlüsselt werden

[EMR.4] Amazon EMR-Sicherheitskonfigurationen sollten bei der Übertragung verschlüsselt werden

[ES.4] Die Elasticsearch-Domain-Fehlerprotokollierung in Logs sollte aktiviert sein CloudWatch

[ES.9] Elasticsearch-Domains sollten markiert werden

[EventBridge.3] An EventBridge benutzerdefinierte Eventbusse sollte eine ressourcenbasierte Richtlinie angehängt werden

[EventBridge.4] Auf EventBridge globalen Endpunkten sollte die Ereignisreplikation aktiviert sein

[FraudDetector.1] Entitätstypen von Amazon Fraud Detector sollten markiert werden

[FraudDetector.2] Amazon Fraud Detector Detector-Etiketten sollten gekennzeichnet sein

[FraudDetector.3] Die Ergebnisse von Amazon Fraud Detector sollten markiert werden

[FraudDetector.4] Amazon Fraud Detector Detector-Variablen sollten markiert werden

[FSx.1] FSx für OpenZFS-Dateisysteme sollte so konfiguriert sein, dass Tags auf Backups und Volumes kopiert werden

[FSx.2] FSx for Lustre-Dateisysteme sollten so konfiguriert sein, dass Tags in Backups kopiert werden

[FSx.3] FSx für OpenZFS-Dateisysteme sollte für die Bereitstellung konfiguriert sein Multi-AZ

[FSx.4] FSx für NetApp ONTAP-Dateisysteme sollte für die Bereitstellung konfiguriert sein Multi-AZ

[FSx.5] FSx for Windows File Server Server-Dateisysteme sollten für Multi-AZ die Bereitstellung konfiguriert sein

[GlobalAccelerator.1] Global Accelerator-Beschleuniger sollten markiert sein

[Glue.1]AWS GlueJobs sollten markiert werden

[Glue.3]AWS GlueTransformationen für maschinelles Lernen sollten im Ruhezustand verschlüsselt werden

[Glue.4]AWS GlueSpark-Jobs sollten auf unterstützten Versionen von ausgeführt werdenAWS Glue

[GuardDuty.2] GuardDuty Filter sollten mit Tags versehen sein

[GuardDuty.5] GuardDuty EKS Audit Log Monitoring sollte aktiviert sein

[GuardDuty.6] GuardDuty Lambda Protection sollte aktiviert sein

[GuardDuty.7] GuardDuty EKS Runtime Monitoring sollte aktiviert sein

[GuardDuty.8] Der GuardDuty Malware-Schutz für EC2 sollte aktiviert sein

[GuardDuty.9] GuardDuty RDS-Schutz sollte aktiviert sein

[GuardDuty.10] GuardDuty S3-Schutz sollte aktiviert sein

[GuardDuty.11] GuardDuty Runtime Monitoring sollte aktiviert sein

[GuardDuty.12] GuardDuty ECS Runtime Monitoring sollte aktiviert sein

[GuardDuty.13] GuardDuty EC2 Runtime Monitoring sollte aktiviert sein

[IAM.1] IAM-Richtlinien sollten keine vollen „*“ -Administratorrechte zulassen

[IAM.2] IAM-Benutzern sollten keine IAM-Richtlinien zugeordnet sein

[IAM.3] Die Zugriffsschlüssel von IAM-Benutzern sollten alle 90 Tage oder weniger gewechselt werden

[IAM.4] Der IAM-Root-Benutzerzugriffsschlüssel sollte nicht existieren

[IAM.5] MFA sollte für alle IAM-Benutzer aktiviert sein, die ein Konsolenpasswort haben

[IAM.6] Hardware-MFA sollte für den Root-Benutzer aktiviert sein

[IAM.7] Die Kennwortrichtlinien für IAM-Benutzer sollten stark konfiguriert sein

[IAM.8] Unbenutzte IAM-Benutzeranmeldedaten sollten entfernt werden

[IAM.9] MFA sollte für den Root-Benutzer aktiviert sein

[IAM.10] Die Kennwortrichtlinien für IAM-Benutzer sollten stark konfiguriert sein

[IAM.11] Stellen Sie sicher, dass die IAM-Passwortrichtlinie mindestens einen Großbuchstaben erfordert

[IAM.12] Stellen Sie sicher, dass die IAM-Passwortrichtlinie mindestens einen Kleinbuchstaben erfordert

[IAM.13] Stellen Sie sicher, dass für die IAM-Passwortrichtlinie mindestens ein Symbol erforderlich ist

[IAM.14] Stellen Sie sicher, dass die IAM-Passwortrichtlinie mindestens eine Zahl erfordert

[IAM.15] Stellen Sie sicher, dass die IAM-Passwortrichtlinie eine Mindestkennwortlänge von 14 oder mehr erfordert

[IAM.16] Stellen Sie sicher, dass die IAM-Kennwortrichtlinie die Wiederverwendung von Passwörtern

[IAM.17] Stellen Sie sicher, dass die IAM-Passwortrichtlinie Passwörter innerhalb von 90 Tagen oder weniger abläuft

[IAM.18] Stellen Sie sicher, dass eine Support-Rolle für die Verwaltung von Vorfällen eingerichtet wurdeAWS Support

[IAM.19] MFA sollte für alle IAM-Benutzer aktiviert sein

[IAM.21] Kundenverwaltete IAM-Richtlinien, die Sie erstellen, sollten keine Platzhalteraktionen für Dienste zulassen

[IAM.22] IAM-Benutzeranmeldedaten, die 45 Tage lang nicht verwendet wurden, sollten entfernt werden

[IAM.24] IAM-Rollen sollten mit Tags versehen werden

[IAM.25] IAM-Benutzer sollten markiert werden

[IAM.26] Abgelaufene SSL/TLS Zertifikate, die in IAM verwaltet werden, sollten entfernt werden

[IAM.27] IAM-Identitäten sollte die Richtlinie nicht angehängt sein AWSCloudShellFullAccess

[IAM.28] Der externe Zugriffsanalysator von IAM Access Analyzer sollte aktiviert sein

[Inspector.1] Amazon Inspector EC2-Scannen sollte aktiviert sein

[Inspector.2] Amazon Inspector ECR-Scannen sollte aktiviert sein

[Inspector.3] Das Scannen von Amazon Inspector Lambda-Code sollte aktiviert sein

[Inspector.4] Das Standardscannen von Amazon Inspector Lambda sollte aktiviert sein

[IoTEvents.1]AWSEingaben für IoT Events sollten markiert werden

[IoTEvents.2]AWSModelle mit IoT-Ereignisdetektoren sollten markiert werden

[IoTEvents.3]AWSAlarmmodelle für IoT Events sollten markiert werden

[IoTSiteWise.1]AWS SiteWise IoT-Asset-Modelle sollten markiert werden

[IoTSiteWise.2]AWS SiteWise IoT-Dashboards sollten mit Tags versehen werden

[IoTSiteWise.3]AWS SiteWise IoT-Gateways sollten markiert werden

[IoTSiteWise.4]AWS SiteWise IoT-Portale sollten mit Tags versehen werden

[IoTSiteWise.5]AWS SiteWise IoT-Projekte sollten markiert werden

[IoTTwinMaker.1]AWS TwinMaker IoT-Synchronisierungsjobs sollten markiert werden

[IoTTwinMaker.2]AWS TwinMaker IoT-Arbeitsbereiche sollten markiert werden

[IoTTwinMaker.3]AWS TwinMaker IoT-Szenen sollten markiert werden

[IoTTwinMaker.4]AWS TwinMaker IoT-Entitäten sollten markiert werden

[IoTWireless.1]AWSIoT-Wireless-Multicast-Gruppen sollten markiert werden

[IoTWireless.2]AWSIoT-Wireless-Dienstprofile sollten markiert werden

[IoTWireless.3]AWSIoT FUOTA-Aufgaben sollten markiert werden

[IVS.1] Schlüsselpaare für die IVS-Wiedergabe sollten markiert werden

[IVS.2] IVS-Aufnahmekonfigurationen sollten mit Tags versehen werden

[IVS.3] IVS-Kanäle sollten mit Tags versehen werden

[Keyspaces.1] Amazon Keyspaces-Keyspaces sollten markiert werden

[Kinesis.1] Kinesis-Streams sollten im Ruhezustand verschlüsselt werden

[Kinesis.3] Kinesis-Streams sollten über eine angemessene Datenaufbewahrungsfrist verfügen

[KMS.1] Kundenverwaltete IAM-Richtlinien sollten keine Entschlüsselungsaktionen für alle KMS-Schlüssel zulassen

[KMS.2] IAM-Prinzipale sollten keine IAM-Inline-Richtlinien haben, die Entschlüsselungsaktionen für alle KMS-Schlüssel zulassen

[KMS.5] KMS-Schlüssel sollten nicht öffentlich zugänglich sein

[Lambda.5] VPC-Lambda-Funktionen sollten in mehreren Availability Zones funktionieren

[Lambda.7] Lambda-Funktionen sollten habenAWS X-Rayaktives Tracing aktiviert

[Macie.1] Amazon Macie sollte aktiviert sein

[Macie.2] Die automatische Erkennung sensibler Daten durch Macie sollte aktiviert sein

[MQ.2] ActiveMQ-Broker sollten Audit-Logs streamen an CloudWatch

[MQ.4] Amazon MQ-Broker sollten markiert werden

[MQ.5] ActiveMQ-Broker sollten den Bereitstellungsmodus verwenden active/standby

[MQ.6] RabbitMQ-Broker sollten den Cluster-Bereitstellungsmodus verwenden

[MSK.1] MSK-Cluster sollten bei der Übertragung zwischen Broker-Knoten verschlüsselt werden

[MSK.2] Für MSK-Cluster sollte die erweiterte Überwachung konfiguriert sein

[MSK.3] MSK Connect-Anschlüsse sollten bei der Übertragung verschlüsselt werden

[MSK.4] Bei MSK-Clustern sollte der öffentliche Zugriff deaktiviert sein

[MSK.5] Für MSK-Konnektoren sollte die Protokollierung aktiviert sein

[MSK.6] MSK-Cluster sollten den nicht authentifizierten Zugriff deaktivieren

[Neptune.1] Neptune-DB-Cluster sollten im Ruhezustand verschlüsselt werden

[Neptune.2] Neptune-DB-Cluster sollten Audit-Logs in Logs veröffentlichen CloudWatch

[Neptune.3] Neptune DB-Cluster-Snapshots sollten nicht öffentlich sein

[Neptune.4] Bei Neptune-DB-Clustern sollte der Löschschutz aktiviert sein

[Neptune.5] Bei Neptune-DB-Clustern sollten automatische Backups aktiviert sein

[Neptune.6] Neptune DB-Cluster-Snapshots sollten im Ruhezustand verschlüsselt werden

[Neptune.7] Neptune-DB-Cluster sollten die IAM-Datenbankauthentifizierung aktiviert haben

[Neptune.8] Neptune-DB-Cluster sollten so konfiguriert sein, dass sie Tags in Snapshots kopieren

[Neptune.9] Neptune-DB-Cluster sollten in mehreren Availability Zones bereitgestellt werden

[NetworkFirewall.1] Netzwerk-Firewall-Firewalls sollten in mehreren Availability Zones eingesetzt werden

[NetworkFirewall.2] Die Netzwerk-Firewall-Protokollierung sollte aktiviert sein

[NetworkFirewall.3] Netzwerk-Firewall-Richtlinien sollten mindestens eine Regelgruppe zugeordnet sein

[NetworkFirewall.4] Die standardmäßige statuslose Aktion für Netzwerk-Firewall-Richtlinien sollte für vollständige Pakete Drop oder Forward sein

[NetworkFirewall.5] Die standardmäßige statuslose Aktion für Netzwerk-Firewall-Richtlinien sollte für fragmentierte Pakete Drop oder Forward sein

[NetworkFirewall.6] Die Regelgruppe Stateless Network Firewall sollte nicht leer sein

[NetworkFirewall.9] Bei Netzwerk-Firewall-Firewalls sollte der Löschschutz aktiviert sein

[NetworkFirewall.10] Bei Netzwerk-Firewall-Firewalls sollte der Subnetzänderungsschutz aktiviert sein

Bei [Opensearch.1] OpenSearch Domänen sollte die Verschlüsselung im Ruhezustand aktiviert sein

[Opensearch.2] OpenSearch Domains sollten nicht öffentlich zugänglich sein

[Opensearch.3] OpenSearch Domains sollten Daten verschlüsseln, die zwischen Knoten gesendet werden

[Opensearch.4] OpenSearch Die Protokollierung von Domain-Fehlern in Logs sollte aktiviert sein CloudWatch

[Opensearch.5] Für OpenSearch Domains sollte die Audit-Protokollierung aktiviert sein

[Opensearch.6] OpenSearch Domains sollten mindestens drei Datenknoten haben

Bei [Opensearch.7] OpenSearch Domänen sollte eine differenzierte Zugriffskontrolle aktiviert sein

[Opensearch.8] Verbindungen zu OpenSearch Domains sollten mit der neuesten TLS-Sicherheitsrichtlinie verschlüsselt werden

[Opensearch.9] OpenSearch Domains sollten mit Tags versehen werden

Auf [Opensearch.10] OpenSearch Domains sollte das neueste Softwareupdate installiert sein

[Opensearch.11] OpenSearch Domains sollten mindestens drei dedizierte Primärknoten haben

[PCA.1]AWS Private CADie Stammzertifizierungsstelle sollte deaktiviert sein

[PCA.2]AWSPrivate Zertifizierungsstellen sollten markiert werden

[RDS.14] Bei Amazon Aurora Aurora-Clustern sollte Backtracking aktiviert sein

[RDS.24] RDS-Datenbankcluster sollten einen benutzerdefinierten Administratorbenutzernamen verwenden

[RDS.25] RDS-Datenbank-Instances sollten einen benutzerdefinierten Administrator-Benutzernamen verwenden

[RDS.26] RDS-DB-Instances sollten durch einen Backup-Plan geschützt werden

[RDS.27] RDS-DB-Cluster sollten im Ruhezustand verschlüsselt werden

[RDS.31] RDS-DB-Sicherheitsgruppen sollten markiert werden

[RDS.34] Aurora MySQL-DB-Cluster sollten Audit-Logs in CloudWatch Logs veröffentlichen

[RDS.35] Für RDS-DB-Cluster sollte das automatische Upgrade der Nebenversion aktiviert sein

[RDS.36] RDS für PostgreSQL-DB-Instances sollten Protokolle in Logs veröffentlichen CloudWatch

[RDS.37] Aurora PostgreSQL-DB-Cluster sollten Protokolle in Logs veröffentlichen CloudWatch

[RDS.38] RDS für PostgreSQL-DB-Instances sollte bei der Übertragung verschlüsselt werden

[RDS.39] RDS für MySQL-DB-Instances sollte bei der Übertragung verschlüsselt werden

[RDS.40] RDS für SQL Server-DB-Instances sollten CloudWatch Protokolle in Logs veröffentlichen

[RDS.41] RDS für SQL Server-DB-Instances sollten bei der Übertragung verschlüsselt werden

[RDS.42] RDS für MariaDB-DB-Instances sollte Protokolle in Logs veröffentlichen CloudWatch

[RDS.43] RDS-DB-Proxys sollten TLS-Verschlüsselung für Verbindungen erfordern

[RDS.44] RDS für MariaDB-DB-Instances sollte bei der Übertragung verschlüsselt werden

[RDS.45] Bei Aurora MySQL-DB-Clustern sollte die Auditprotokollierung aktiviert sein

[RDS.46] RDS-DB-Instances sollten nicht in öffentlichen Subnetzen mit Routen zu Internet-Gateways bereitgestellt werden

[RDS.47] RDS für PostgreSQL-DB-Cluster sollten so konfiguriert sein, dass Tags in DB-Snapshots kopiert werden

[RDS.51] Globale RDS-Cluster sollten auf einer unterstützten Aurora MySQL-Version laufen

[Redshift.8] Amazon Redshift Redshift-Cluster sollten nicht den Standard-Admin-Benutzernamen verwenden

[Redshift.10] Redshift-Cluster sollten im Ruhezustand verschlüsselt werden

[Redshift.15] Redshift-Sicherheitsgruppen sollten den Zugriff auf den Cluster-Port nur von eingeschränkten Quellen zulassen

[Redshift.16] Redshift-Cluster-Subnetzgruppen sollten Subnetze aus mehreren Availability Zones haben

[Redshift.17] Redshift-Cluster-Parametergruppen sollten markiert werden

[Redshift.18] Für Redshift-Cluster sollten Multi-AZ Bereitstellungen aktiviert sein

[RedshiftServerless.1] Serverlose Amazon Redshift Redshift-Arbeitsgruppen sollten erweitertes VPC-Routing verwenden

[RedshiftServerless.2] Für die Verwendung von SSL sollten Verbindungen zu Redshift Serverless-Arbeitsgruppen erforderlich sein

[RedshiftServerless.3] Redshift Serverless-Arbeitsgruppen sollten den öffentlichen Zugriff verbieten

[RedshiftServerless.4] Serverlose Redshift-Namespaces sollten verschlüsselt und vom Kunden verwaltet werdenAWS KMS keys

[RedshiftServerless.5] Redshift Serverless-Namespaces sollten nicht den Standard-Admin-Benutzernamen verwenden

[RedshiftServerless.6] Redshift Serverless Namespaces sollten Protokolle in Logs exportieren CloudWatch

[Route53.1] Route 53-Gesundheitschecks sollten markiert werden

[Route53.2] In öffentlich gehosteten Zonen von Route 53 sollten DNS-Abfragen protokolliert werden

[S3.7] S3-Allzweck-Buckets sollten die regionsübergreifende Replikation verwenden

[S3.10] S3-Allzweck-Buckets mit aktivierter Versionierung sollten Lifecycle-Konfigurationen haben

[S3.11] Für S3-Allzweck-Buckets sollten Ereignisbenachrichtigungen aktiviert sein

[S3.12] ACLs sollten nicht verwendet werden, um den Benutzerzugriff auf S3-Allzweck-Buckets zu verwalten

[S3.13] S3-Allzweck-Buckets sollten Lifecycle-Konfigurationen haben

[S3.19] Bei S3-Zugriffspunkten sollten die Einstellungen zum Blockieren des öffentlichen Zugriffs aktiviert sein

[S3.20] Für S3-Allzweck-Buckets sollte MFA Delete aktiviert sein

[S3.22] S3-Buckets für allgemeine Zwecke sollten Schreibereignisse auf Objektebene protokollieren

[S3.23] S3-Allzweck-Buckets sollten Leseereignisse auf Objektebene protokollieren

[S3.24] Bei Multi-Region S3-Zugangspunkten sollten die Einstellungen zum Blockieren des öffentlichen Zugriffs aktiviert sein

[S3.25] S3-Verzeichnis-Buckets sollten Lebenszykluskonfigurationen haben

[SageMaker.1] SageMaker Amazon-Notebook-Instances sollten keinen direkten Internetzugang haben

[SageMaker.2] SageMaker Notebook-Instances sollten in einer benutzerdefinierten VPC gestartet werden

[SageMaker.3] Benutzer sollten keinen Root-Zugriff auf SageMaker Notebook-Instances haben

[SageMaker.4] Bei Produktionsvarianten für SageMaker Endgeräte sollte die anfängliche Anzahl der Instances größer als 1 sein

[SageMaker.5] SageMaker Bei Modellen sollte die Netzwerkisolierung aktiviert sein

[SageMaker.6] SageMaker App-Image-Konfigurationen sollten mit Tags versehen werden

[SageMaker.7] SageMaker Bilder sollten mit Tags versehen werden

[SageMaker.8] SageMaker Notebook-Instances sollten auf unterstützten Plattformen laufen

[SageMaker.9] Bei Auftragsdefinitionen SageMaker zur Datenqualität sollte die Verschlüsselung des Datenverkehrs zwischen Containern aktiviert sein

Bei Auftragsdefinitionen zur Erläuterung des SageMaker Modells [SageMaker.10] sollte die Verschlüsselung des Datenverkehrs zwischen Containern aktiviert sein

[SageMaker.11] Bei Auftragsdefinitionen SageMaker zur Datenqualität sollte die Netzwerkisolierung aktiviert sein

Bei Auftragsdefinitionen für [SageMaker.12] SageMaker Model Bias sollte die Netzwerkisolierung aktiviert sein

[SageMaker.13] Bei Auftragsdefinitionen in SageMaker Modellqualität sollte die Verschlüsselung des Datenverkehrs zwischen Containern aktiviert sein

[SageMaker.14] In den SageMaker Überwachungsplänen sollte die Netzwerkisolierung aktiviert sein

[SageMaker.15] Bei Jobdefinitionen mit SageMaker Modellverzerrung sollte die Verschlüsselung des Datenverkehrs zwischen Containern aktiviert sein

[SageMaker.16] SageMaker Modelle sollten eine private Registrierung in VPC für primäre Container verwenden

[SageMaker.17] Offline-Shops für SageMaker Featuregruppen sollten verschlüsselt werden mitAWS KMSkeys

[SageMaker.18] Onlineshops mit Standardspeicher für SageMaker Featuregruppen sollten verschlüsselt werden mitAWS KMSkeys

[SageMaker.19] SageMaker Modelle sollten eine private Registrierung in VPC für Inferenz-Pipelines mit mehreren Containern verwenden

[SES.3] In SES-Konfigurationssätzen sollte TLS für das Senden von E-Mails aktiviert sein

[ServiceCatalog.1] Servicekatalog-Portfolios sollten innerhalb eines gemeinsam genutzt werdenAWSnur Organisation

[SNS.4] Richtlinien für den Zugriff auf SNS-Themen sollten keinen öffentlichen Zugriff zulassen

[SQS.1] Amazon SQS SQS-Warteschlangen sollten im Ruhezustand verschlüsselt sein

[SQS.2] SQS-Warteschlangen sollten markiert werden

[SQS.3] Die Richtlinien für den Zugriff auf SQS-Warteschlangen sollten keinen öffentlichen Zugriff zulassen

[SSM.4] SSM-Dokumente sollten nicht öffentlich sein

[SSM.5] SSM-Dokumente sollten mit einem Tag versehen werden

[SSM.6] Bei SSM Automation sollte die Protokollierung aktiviert sein CloudWatch

[SSM.7] Bei SSM-Dokumenten sollte die Einstellung „Öffentliches Teilen blockieren“ aktiviert sein

[StepFunctions.1] Step Functions Functions-Zustandsmaschinen sollten die Protokollierung aktiviert haben

[Transfer.2] Transfer Family Family-Server sollten kein FTP-Protokoll für die Endpunktverbindung verwenden

[Transfer.3] Bei Connectoren der Transfer Family sollte die Protokollierung aktiviert sein

[Transfer.4] Transfer Family Familienverträge sollten gekennzeichnet werden

[Transfer.5] Transfer Family Familienzertifikate sollten gekennzeichnet sein

[Transfer.6] Steckverbinder der Transfer Family sollten gekennzeichnet sein

[Transfer.7] Familienprofile übertragen sollten markiert werden

[WAF.1]AWS WAFDie klassische globale Web-ACL-Protokollierung sollte aktiviert sein

[WAF.2]AWS WAFKlassische Regionalregeln sollten mindestens eine Bedingung enthalten

[WAF.3]AWS WAFKlassische regionale Regelgruppen sollten mindestens eine Regel haben

[WAF.4]AWS WAFKlassische regionale Web-ACLs sollten mindestens eine Regel oder Regelgruppe haben

[WAF.6]AWS WAFKlassische globale Regeln sollten mindestens eine Bedingung haben

[WAF.7]AWS WAFKlassische globale Regelgruppen sollten mindestens eine Regel haben

[WAF.8]AWS WAFKlassische globale Web-ACLs sollten mindestens eine Regel oder Regelgruppe haben

[WAF.10]AWS WAFWeb-ACLs sollten mindestens eine Regel oder Regelgruppe haben

[WAF.12]AWS WAFFür Regeln sollten CloudWatch Metriken aktiviert sein

[WorkSpaces.1] WorkSpaces Benutzervolumes sollten im Ruhezustand verschlüsselt werden

[WorkSpaces.2] WorkSpaces Root-Volumes sollten im Ruhezustand verschlüsselt werden

[APIGateway.8] API-Gateway-Routen sollten einen Autorisierungstyp angeben

[APIGateway.9] Die Zugriffsprotokollierung sollte für API Gateway V2 Stages konfiguriert werden

[Amplify.1] Amplify-Apps sollten markiert werden

[Amplify.2] Amplify-Zweige sollten markiert werden

[AppFlow.1] AppFlow Amazon-Flows sollten markiert werden

[AppRunner.1] App Runner-Dienste sollten markiert sein

[AppRunner.2] App Runner VPC-Konnektoren sollten markiert werden

[AppSync.1]AWS AppSyncAPI-Caches sollten im Ruhezustand verschlüsselt werden

[AppSync.2]AWS AppSyncsollte die Protokollierung auf Feldebene aktiviert haben

[AppSync.5]AWS AppSyncGraphQL-APIs sollten nicht mit API-Schlüsseln authentifiziert werden

[AppSync.6]AWS AppSyncAPI-Caches sollten bei der Übertragung verschlüsselt werden

[Backup.1]AWS BackupWiederherstellungspunkte sollten im Ruhezustand verschlüsselt werden

[Batch.1] Batch-Job-Warteschlangen sollten markiert werden

[Batch.3] Batch-Computing-Umgebungen sollten markiert werden

[Batch.4] Eigenschaften von Rechenressourcen in verwalteten Batch-Computing-Umgebungen sollten markiert werden

[BedrockAgentCore.1] AgentCore Bedrock-Laufzeiten sollten mit dem VPC-Netzwerkmodus konfiguriert werden

[BedrockAgentCore.2] Bedrock AgentCore Gateways sollten eine Autorisierung für eingehende Anfragen benötigen

[BedrockAgentCore.3] Bedrock AgentCore Memory sollte verschlüsselt und vom Kunden verwaltet werdenAWS KMSkeys

[BedrockAgentCore.4] Bedrock AgentCore Gateway sollte verschlüsselt und vom Kunden verwaltet werdenAWS KMSkeys

[BedrockAgentCore.5] AgentCore Benutzerdefinierte Bedrock-Browser sollten den öffentlichen Netzwerkmodus nicht verwenden

[BedrockAgentCore.6] Für AgentCore benutzerdefinierte Bedrock-Browser sollte die Sitzungsaufzeichnung aktiviert sein

Bei [CloudFormation.3] CloudFormation Stacks sollte der Kündigungsschutz aktiviert sein

[CloudFormation.4] CloudFormation Stacks sollten zugeordnete Servicerollen haben

Bei [CloudFront.1] CloudFront Distributionen sollte ein Standard-Root-Objekt konfiguriert sein

[CloudFront.3] CloudFront Distributionen sollten während der Übertragung verschlüsselt werden müssen

[CloudFront.4] Bei CloudFront Distributionen sollte das Origin-Failover konfiguriert sein

[CloudFront.5] Bei CloudFront Distributionen sollte die Protokollierung aktiviert sein

[CloudFront.6] Bei CloudFront Distributionen sollte WAF aktiviert sein

[CloudFront.7] CloudFront Distributionen sollten benutzerdefinierte SSL/TLS Zertifikate verwenden

[CloudFront.8] CloudFront Distributionen sollten SNI verwenden, um HTTPS-Anfragen zu bearbeiten

[CloudFront.9] CloudFront Distributionen sollten den Datenverkehr zu benutzerdefinierten Ursprüngen verschlüsseln

[CloudFront.10] CloudFront Distributionen sollten keine veralteten SSL-Protokolle zwischen Edge-Standorten und benutzerdefinierten Ursprüngen verwenden

[CloudFront.12] CloudFront Distributionen sollten nicht auf nicht existierende S3-Ursprünge verweisen

[CloudFront.13] CloudFront Distributionen sollten die Origin-Zugriffskontrolle verwenden

[CloudFront.14] CloudFront Distributionen sollten markiert werden

[CloudFront.15] CloudFront Distributionen sollten die empfohlene TLS-Sicherheitsrichtlinie verwenden

[CloudFront.16] CloudFront Distributionen sollten die Origin-Zugriffskontrolle für die URL-Ursprünge der Lambda-Funktion verwenden

[CloudFront.17] CloudFront Distributionen sollten vertrauenswürdige Schlüsselgruppen für signierte URLs und Cookies verwenden

[CodeArtifact.1] CodeArtifact Repositorien sollten markiert werden

[CodeGuruProfiler.1] CodeGuru Profiler-Profiling-Gruppen sollten markiert werden

[CodeGuruReviewer.1] CodeGuru Reviewer-Repository-Verknüpfungen sollten markiert werden

[Cognito.1] In Cognito-Benutzerpools sollte der Bedrohungsschutz mit vollem Funktionsumfang für die Standardauthentifizierung aktiviert sein

[Connect.1] Objekttypen von Amazon Connect Customer Profiles sollten mit Tags versehen werden

[Connect.2] Connect Customer-Instanzen sollten die CloudWatch Protokollierung aktiviert haben

[Detective.1] Graphen zum Verhalten von Detektiven sollten markiert werden

[DMS.2] DMS-Zertifikate sollten markiert werden

[DMS.3] DMS-Veranstaltungsabonnements sollten mit einem Tag versehen werden

[DMS.4] DMS-Replikationsinstanzen sollten markiert werden

[DMS.5] Subnetzgruppen für die DMS-Replikation sollten markiert werden

[DMS.6] Für DMS-Replikationsinstanzen sollte das automatische Upgrade der Nebenversionen aktiviert sein

[DMS.7] Bei DMS-Replikationsaufgaben für die Zieldatenbank sollte die Protokollierung aktiviert sein

[DMS.8] Bei DMS-Replikationsaufgaben für die Quelldatenbank sollte die Protokollierung aktiviert sein

[DMS.9] DMS-Endpunkte sollten SSL verwenden

[DMS.10] DMS-Endpunkte für Neptune-Datenbanken sollten die IAM-Autorisierung aktiviert haben

[DMS.11] DMS-Endpunkte für MongoDB sollten einen Authentifizierungsmechanismus aktiviert haben

[DMS.12] Auf DMS-Endpunkten für Redis OSS sollte TLS aktiviert sein

[DMS.13] DMS-Replikationsinstanzen sollten so konfiguriert werden, dass sie mehrere Availability Zones verwenden

[DocumentDB.1] Amazon DocumentDB-Cluster sollten im Ruhezustand verschlüsselt werden

[DocumentDB.2] Amazon DocumentDB-Cluster sollten über eine angemessene Aufbewahrungsfrist für Backups verfügen

[DocumentDB.3] Manuelle Cluster-Snapshots von Amazon DocumentDB sollten nicht öffentlich sein

[DocumentDB.4] Amazon DocumentDB-Cluster sollten Auditprotokolle in Logs veröffentlichen CloudWatch

[DocumentDB.5] Bei Amazon DocumentDB-Clustern sollte der Löschschutz aktiviert sein

[DocumentDB.6] Amazon DocumentDB-Cluster sollten bei der Übertragung verschlüsselt werden

[DynamoDB.3] DynamoDB Accelerator (DAX) -Cluster sollten im Ruhezustand verschlüsselt werden

[DynamoDB.7] DynamoDB Accelerator-Cluster sollten bei der Übertragung verschlüsselt werden

[EC2.4] Gestoppte EC2-Instances sollten nach einem bestimmten Zeitraum entfernt werden

[EC2.14] Sicherheitsgruppen sollten ab Version 0.0.0 keinen Zugriff zulassen. 0/0 oder: :/0 zu Port 3389

[EC2.22] Unbenutzte Amazon EC2-Sicherheitsgruppen sollten entfernt werden

[EC2.23] Amazon EC2 Transit Gateways sollten VPC-Anhangsanforderungen nicht automatisch akzeptieren

[EC2.24] Paravirtuelle Amazon EC2 EC2-Instance-Typen sollten nicht verwendet werden

[EC2.25] Amazon EC2 EC2-Startvorlagen sollten Netzwerkschnittstellen keine öffentlichen IPs zuweisen

[EC2.34] Die EC2-Transit-Gateway-Routentabellen sollten mit Tags versehen werden

[EC2.40] EC2-NAT-Gateways sollten markiert werden

[EC2.58] VPCs sollten mit einem Schnittstellenendpunkt für Systems Manager Incident Manager-Kontakte konfiguriert werden

[EC2.60] VPCs sollten mit einem Schnittstellenendpunkt für Systems Manager Incident Manager konfiguriert werden

[EC2.170] EC2-Startvorlagen sollten Instance Metadata Service Version 2 (IMDSv2) verwenden

[EC2.173] EC2 Spot Fleet-Anfragen mit Startparametern sollten die Verschlüsselung für angehängte EBS-Volumes ermöglichen

[EC2.175] EC2-Startvorlagen sollten mit Tags versehen werden

[EC2.181] EC2-Startvorlagen sollten die Verschlüsselung für angehängte EBS-Volumes ermöglichen

[ECR.4] Öffentliche ECR-Repositorien sollten mit Tags versehen werden

[EFS.1] Elastic File System sollte so konfiguriert sein, dass es Dateidaten im Ruhezustand verschlüsseltAWS KMS

[EFS.2] Amazon EFS-Volumes sollten in Backup-Plänen enthalten sein

[ELB.14] Classic Load Balancer sollte mit einem defensiven oder strengsten Desync-Minimationsmodus konfiguriert werden

[ELB.17] Anwendungs- und Netzwerk-Load-Balancer mit Listenern sollten die empfohlenen Sicherheitsrichtlinien verwenden

[ELB.18] Anwendungs- und Network Load Balancer Balancer-Listener sollten sichere Protokolle verwenden, um Daten während der Übertragung zu verschlüsseln

Bei [ElastiCache.1] ElastiCache (Redis OSS) -Clustern sollten automatische Backups aktiviert sein

[ElastiCache.2] Bei ElastiCache Clustern sollten automatische Upgrades für kleinere Versionen aktiviert sein

[ElastiCache.3] Für ElastiCache Replikationsgruppen sollte der automatische Failover aktiviert sein

[ElastiCache.4] ElastiCache Replikationsgruppen sollten im Ruhezustand verschlüsselt werden

[ElastiCache.5] ElastiCache Replikationsgruppen sollten bei der Übertragung verschlüsselt werden

[ElastiCache.6] ElastiCache (Redis OSS) -Replikationsgruppen früherer Versionen sollten Redis OSS AUTH aktiviert haben

[ElastiCache.7] ElastiCache Cluster sollten nicht die Standard-Subnetzgruppe verwenden

[ElasticBeanstalk.1] Elastic Beanstalk Beanstalk-Umgebungen sollten erweiterte Gesundheitsberichte aktiviert haben

[ElasticBeanstalk.2] Von Elastic Beanstalk verwaltete Plattformupdates sollten aktiviert sein

[ElasticBeanstalk.3] Elastic Beanstalk sollte Logs streamen nach CloudWatch

[EMR.1] Primäre Amazon EMR-Clusterknoten sollten keine öffentlichen IP-Adressen haben

[ES.4] Die Elasticsearch-Domain-Fehlerprotokollierung in Logs sollte aktiviert sein CloudWatch

[EventBridge.4] Auf EventBridge globalen Endpunkten sollte die Ereignisreplikation aktiviert sein

[FraudDetector.1] Entitätstypen von Amazon Fraud Detector sollten markiert werden

[FraudDetector.2] Amazon Fraud Detector Detector-Etiketten sollten gekennzeichnet sein

[FraudDetector.3] Die Ergebnisse von Amazon Fraud Detector sollten markiert werden

[FraudDetector.4] Amazon Fraud Detector Detector-Variablen sollten markiert werden

[FSx.1] FSx für OpenZFS-Dateisysteme sollte so konfiguriert sein, dass Tags auf Backups und Volumes kopiert werden

[FSx.3] FSx für OpenZFS-Dateisysteme sollte für die Bereitstellung konfiguriert sein Multi-AZ

[GlobalAccelerator.1] Global Accelerator-Beschleuniger sollten markiert sein

[Glue.4]AWS GlueSpark-Jobs sollten auf unterstützten Versionen von ausgeführt werdenAWS Glue

[GuardDuty.2] GuardDuty Filter sollten mit Tags versehen sein

[IAM.1] IAM-Richtlinien sollten keine vollen „*“ -Administratorrechte zulassen

[IAM.2] IAM-Benutzern sollten keine IAM-Richtlinien zugeordnet sein

[IAM.3] Die Zugriffsschlüssel von IAM-Benutzern sollten alle 90 Tage oder weniger gewechselt werden

[IAM.5] MFA sollte für alle IAM-Benutzer aktiviert sein, die ein Konsolenpasswort haben

[IAM.6] Hardware-MFA sollte für den Root-Benutzer aktiviert sein

[IAM.8] Unbenutzte IAM-Benutzeranmeldedaten sollten entfernt werden

[IAM.10] Die Kennwortrichtlinien für IAM-Benutzer sollten stark konfiguriert sein

[IAM.11] Stellen Sie sicher, dass die IAM-Passwortrichtlinie mindestens einen Großbuchstaben erfordert

[IAM.12] Stellen Sie sicher, dass die IAM-Passwortrichtlinie mindestens einen Kleinbuchstaben erfordert

[IAM.13] Stellen Sie sicher, dass für die IAM-Passwortrichtlinie mindestens ein Symbol erforderlich ist

[IAM.14] Stellen Sie sicher, dass die IAM-Passwortrichtlinie mindestens eine Zahl erfordert

[IAM.15] Stellen Sie sicher, dass die IAM-Passwortrichtlinie eine Mindestkennwortlänge von 14 oder mehr erfordert

[IAM.16] Stellen Sie sicher, dass die IAM-Kennwortrichtlinie die Wiederverwendung von Passwörtern

[IAM.17] Stellen Sie sicher, dass die IAM-Passwortrichtlinie Passwörter innerhalb von 90 Tagen oder weniger abläuft

[IAM.18] Stellen Sie sicher, dass eine Support-Rolle für die Verwaltung von Vorfällen eingerichtet wurdeAWS Support

[IAM.19] MFA sollte für alle IAM-Benutzer aktiviert sein

[IAM.21] Kundenverwaltete IAM-Richtlinien, die Sie erstellen, sollten keine Platzhalteraktionen für Dienste zulassen

[IAM.22] IAM-Benutzeranmeldedaten, die 45 Tage lang nicht verwendet wurden, sollten entfernt werden

[IAM.24] IAM-Rollen sollten mit Tags versehen werden

[IAM.25] IAM-Benutzer sollten markiert werden

[IAM.26] Abgelaufene SSL/TLS Zertifikate, die in IAM verwaltet werden, sollten entfernt werden

[IAM.27] IAM-Identitäten sollte die Richtlinie nicht angehängt sein AWSCloudShellFullAccess

[Inspector.1] Amazon Inspector EC2-Scannen sollte aktiviert sein

[Inspector.2] Amazon Inspector ECR-Scannen sollte aktiviert sein

[Inspector.3] Das Scannen von Amazon Inspector Lambda-Code sollte aktiviert sein

[Inspector.4] Das Standardscannen von Amazon Inspector Lambda sollte aktiviert sein

[IoT.1]AWS IoT Device DefenderSicherheitsprofile sollten markiert werden

[IoT.2]AWS IoT CoreMaßnahmen zur Schadensbegrenzung sollten mit einem Tag versehen werden

[IoT.3]AWS IoT CoreDimensionen sollten mit Tags versehen werden

[IoT.4]AWS IoT CoreAutorisierer sollten markiert werden

[IoT.5]AWS IoT CoreRollenaliase sollten mit Tags versehen werden

[IoT.6]AWS IoT CoreRichtlinien sollten mit Tags versehen werden

[IoTEvents.1]AWSEingaben für IoT Events sollten markiert werden

[IoTEvents.2]AWSModelle mit IoT-Ereignisdetektoren sollten markiert werden

[IoTEvents.3]AWSAlarmmodelle für IoT Events sollten markiert werden

[IoTSiteWise.1]AWS SiteWise IoT-Asset-Modelle sollten markiert werden

[IoTSiteWise.2]AWS SiteWise IoT-Dashboards sollten mit Tags versehen werden

[IoTSiteWise.3]AWS SiteWise IoT-Gateways sollten markiert werden

[IoTSiteWise.4]AWS SiteWise IoT-Portale sollten mit Tags versehen werden

[IoTSiteWise.5]AWS SiteWise IoT-Projekte sollten markiert werden

[IoTTwinMaker.1]AWS TwinMaker IoT-Synchronisierungsjobs sollten markiert werden

[IoTTwinMaker.2]AWS TwinMaker IoT-Arbeitsbereiche sollten markiert werden

[IoTTwinMaker.3]AWS TwinMaker IoT-Szenen sollten markiert werden

[IoTTwinMaker.4]AWS TwinMaker IoT-Entitäten sollten markiert werden

[IoTWireless.1]AWSIoT-Wireless-Multicast-Gruppen sollten markiert werden

[IoTWireless.2]AWSIoT-Wireless-Dienstprofile sollten markiert werden

[IoTWireless.3]AWSIoT FUOTA-Aufgaben sollten markiert werden

[IVS.1] Schlüsselpaare für die IVS-Wiedergabe sollten markiert werden

[IVS.2] IVS-Aufnahmekonfigurationen sollten mit Tags versehen werden

[IVS.3] IVS-Kanäle sollten mit Tags versehen werden

[Keyspaces.1] Amazon Keyspaces-Keyspaces sollten markiert werden

[Kinesis.1] Kinesis-Streams sollten im Ruhezustand verschlüsselt werden

[KMS.1] Kundenverwaltete IAM-Richtlinien sollten keine Entschlüsselungsaktionen für alle KMS-Schlüssel zulassen

[KMS.2] IAM-Prinzipale sollten keine IAM-Inline-Richtlinien haben, die Entschlüsselungsaktionen für alle KMS-Schlüssel zulassen

[Macie.1] Amazon Macie sollte aktiviert sein

[Macie.2] Die automatische Erkennung sensibler Daten durch Macie sollte aktiviert sein

[MQ.6] RabbitMQ-Broker sollten den Cluster-Bereitstellungsmodus verwenden

[MSK.3] MSK Connect-Anschlüsse sollten bei der Übertragung verschlüsselt werden

[MSK.5] Für MSK-Konnektoren sollte die Protokollierung aktiviert sein

[Neptune.1] Neptune-DB-Cluster sollten im Ruhezustand verschlüsselt werden

[Neptune.2] Neptune-DB-Cluster sollten Audit-Logs in Logs veröffentlichen CloudWatch

[Neptune.3] Neptune DB-Cluster-Snapshots sollten nicht öffentlich sein

[Neptune.4] Bei Neptune-DB-Clustern sollte der Löschschutz aktiviert sein

[Neptune.5] Bei Neptune-DB-Clustern sollten automatische Backups aktiviert sein

[Neptune.6] Neptune DB-Cluster-Snapshots sollten im Ruhezustand verschlüsselt werden

[Neptune.7] Neptune-DB-Cluster sollten die IAM-Datenbankauthentifizierung aktiviert haben

[Neptune.8] Neptune-DB-Cluster sollten so konfiguriert sein, dass sie Tags in Snapshots kopieren

[Neptune.9] Neptune-DB-Cluster sollten in mehreren Availability Zones bereitgestellt werden

Bei [Opensearch.1] OpenSearch Domänen sollte die Verschlüsselung im Ruhezustand aktiviert sein

[Opensearch.2] OpenSearch Domains sollten nicht öffentlich zugänglich sein

[Opensearch.3] OpenSearch Domains sollten Daten verschlüsseln, die zwischen Knoten gesendet werden

[Opensearch.4] OpenSearch Die Protokollierung von Domain-Fehlern in Logs sollte aktiviert sein CloudWatch

[Opensearch.5] Für OpenSearch Domains sollte die Audit-Protokollierung aktiviert sein

[Opensearch.6] OpenSearch Domains sollten mindestens drei Datenknoten haben

Bei [Opensearch.7] OpenSearch Domänen sollte eine differenzierte Zugriffskontrolle aktiviert sein

[Opensearch.8] Verbindungen zu OpenSearch Domains sollten mit der neuesten TLS-Sicherheitsrichtlinie verschlüsselt werden

[Opensearch.9] OpenSearch Domains sollten mit Tags versehen werden

Auf [Opensearch.10] OpenSearch Domains sollte das neueste Softwareupdate installiert sein

[Opensearch.11] OpenSearch Domains sollten mindestens drei dedizierte Primärknoten haben

[RDS.1] Der RDS-Snapshot sollte privat sein

[RDS.14] Bei Amazon Aurora Aurora-Clustern sollte Backtracking aktiviert sein

[RDS.31] RDS-DB-Sicherheitsgruppen sollten markiert werden

[RDS.35] Für RDS-DB-Cluster sollte das automatische Upgrade der Nebenversion aktiviert sein

[RDS.37] Aurora PostgreSQL-DB-Cluster sollten Protokolle in Logs veröffentlichen CloudWatch

[RedshiftServerless.1] Serverlose Amazon Redshift Redshift-Arbeitsgruppen sollten erweitertes VPC-Routing verwenden

[RedshiftServerless.2] Für die Verwendung von SSL sollten Verbindungen zu Redshift Serverless-Arbeitsgruppen erforderlich sein

[RedshiftServerless.3] Redshift Serverless-Arbeitsgruppen sollten den öffentlichen Zugriff verbieten

[RedshiftServerless.4] Serverlose Redshift-Namespaces sollten verschlüsselt und vom Kunden verwaltet werdenAWS KMS keys

[RedshiftServerless.5] Redshift Serverless-Namespaces sollten nicht den Standard-Admin-Benutzernamen verwenden

[RedshiftServerless.6] Redshift Serverless Namespaces sollten Protokolle in Logs exportieren CloudWatch

[Route53.1] Route 53-Gesundheitschecks sollten markiert werden

[Route53.2] In öffentlich gehosteten Zonen von Route 53 sollten DNS-Abfragen protokolliert werden

[S3.24] Bei Multi-Region S3-Zugangspunkten sollten die Einstellungen zum Blockieren des öffentlichen Zugriffs aktiviert sein

[S3.25] S3-Verzeichnis-Buckets sollten Lebenszykluskonfigurationen haben

[SageMaker.1] SageMaker Amazon-Notebook-Instances sollten keinen direkten Internetzugang haben

[SageMaker.2] SageMaker Notebook-Instances sollten in einer benutzerdefinierten VPC gestartet werden

[SageMaker.3] Benutzer sollten keinen Root-Zugriff auf SageMaker Notebook-Instances haben

[SageMaker.5] SageMaker Bei Modellen sollte die Netzwerkisolierung aktiviert sein

[SageMaker.6] SageMaker App-Image-Konfigurationen sollten mit Tags versehen werden

[SageMaker.7] SageMaker Bilder sollten mit Tags versehen werden

[SageMaker.8] SageMaker Notebook-Instances sollten auf unterstützten Plattformen laufen

[SageMaker.9] Bei Auftragsdefinitionen SageMaker zur Datenqualität sollte die Verschlüsselung des Datenverkehrs zwischen Containern aktiviert sein

Bei Auftragsdefinitionen zur Erläuterung des SageMaker Modells [SageMaker.10] sollte die Verschlüsselung des Datenverkehrs zwischen Containern aktiviert sein

[SageMaker.11] Bei Auftragsdefinitionen SageMaker zur Datenqualität sollte die Netzwerkisolierung aktiviert sein

Bei Auftragsdefinitionen für [SageMaker.12] SageMaker Model Bias sollte die Netzwerkisolierung aktiviert sein

[SageMaker.13] Bei Auftragsdefinitionen in SageMaker Modellqualität sollte die Verschlüsselung des Datenverkehrs zwischen Containern aktiviert sein

[SageMaker.14] In den SageMaker Überwachungsplänen sollte die Netzwerkisolierung aktiviert sein

[SageMaker.15] Bei Jobdefinitionen mit SageMaker Modellverzerrung sollte die Verschlüsselung des Datenverkehrs zwischen Containern aktiviert sein

[SageMaker.16] SageMaker Modelle sollten eine private Registrierung in VPC für primäre Container verwenden

[SageMaker.17] Offline-Shops für SageMaker Featuregruppen sollten verschlüsselt werden mitAWS KMSkeys

[SageMaker.18] Onlineshops mit Standardspeicher für SageMaker Featuregruppen sollten verschlüsselt werden mitAWS KMSkeys

[SageMaker.19] SageMaker Modelle sollten eine private Registrierung in VPC für Inferenz-Pipelines mit mehreren Containern verwenden

[SES.1] SES-Kontaktlisten sollten mit Tags versehen werden

[SES.2] SES-Konfigurationssätze sollten mit Tags versehen werden

[SES.3] In SES-Konfigurationssätzen sollte TLS für das Senden von E-Mails aktiviert sein

[SQS.1] Amazon SQS SQS-Warteschlangen sollten im Ruhezustand verschlüsselt sein

[SQS.2] SQS-Warteschlangen sollten markiert werden

[SQS.3] Die Richtlinien für den Zugriff auf SQS-Warteschlangen sollten keinen öffentlichen Zugriff zulassen

[SSM.4] SSM-Dokumente sollten nicht öffentlich sein

[SSM.7] Bei SSM-Dokumenten sollte die Einstellung „Öffentliches Teilen blockieren“ aktiviert sein

[StepFunctions.1] Step Functions Functions-Zustandsmaschinen sollten die Protokollierung aktiviert haben

[Transfer.3] Bei Connectoren der Transfer Family sollte die Protokollierung aktiviert sein

[Transfer.4] Transfer Family Familienverträge sollten gekennzeichnet werden

[WAF.1]AWS WAFDie klassische globale Web-ACL-Protokollierung sollte aktiviert sein

[WAF.6]AWS WAFKlassische globale Regeln sollten mindestens eine Bedingung haben

[WAF.7]AWS WAFKlassische globale Regelgruppen sollten mindestens eine Regel haben

[WAF.8]AWS WAFKlassische globale Web-ACLs sollten mindestens eine Regel oder Regelgruppe haben

[WorkSpaces.1] WorkSpaces Benutzervolumes sollten im Ruhezustand verschlüsselt werden

[WorkSpaces.2] WorkSpaces Root-Volumes sollten im Ruhezustand verschlüsselt werden

[AppSync.1]AWS AppSyncAPI-Caches sollten im Ruhezustand verschlüsselt werden

[AppSync.6]AWS AppSyncAPI-Caches sollten bei der Übertragung verschlüsselt werden

Bei [CloudFront.1] CloudFront Distributionen sollte ein Standard-Root-Objekt konfiguriert sein

[CloudFront.3] CloudFront Distributionen sollten während der Übertragung verschlüsselt werden müssen

[CloudFront.4] Bei CloudFront Distributionen sollte das Origin-Failover konfiguriert sein

[CloudFront.5] Bei CloudFront Distributionen sollte die Protokollierung aktiviert sein

[CloudFront.6] Bei CloudFront Distributionen sollte WAF aktiviert sein

[CloudFront.7] CloudFront Distributionen sollten benutzerdefinierte SSL/TLS Zertifikate verwenden

[CloudFront.8] CloudFront Distributionen sollten SNI verwenden, um HTTPS-Anfragen zu bearbeiten

[CloudFront.9] CloudFront Distributionen sollten den Datenverkehr zu benutzerdefinierten Ursprüngen verschlüsseln

[CloudFront.10] CloudFront Distributionen sollten keine veralteten SSL-Protokolle zwischen Edge-Standorten und benutzerdefinierten Ursprüngen verwenden

[CloudFront.12] CloudFront Distributionen sollten nicht auf nicht existierende S3-Ursprünge verweisen

[CloudFront.13] CloudFront Distributionen sollten die Origin-Zugriffskontrolle verwenden

[CloudFront.14] CloudFront Distributionen sollten markiert werden

[CloudFront.15] CloudFront Distributionen sollten die empfohlene TLS-Sicherheitsrichtlinie verwenden

[CloudFront.16] CloudFront Distributionen sollten die Origin-Zugriffskontrolle für die URL-Ursprünge der Lambda-Funktion verwenden

[CloudFront.17] CloudFront Distributionen sollten vertrauenswürdige Schlüsselgruppen für signierte URLs und Cookies verwenden

[CodeGuruProfiler.1] CodeGuru Profiler-Profiling-Gruppen sollten markiert werden

[CodeGuruReviewer.1] CodeGuru Reviewer-Repository-Verknüpfungen sollten markiert werden

[Connect.1] Objekttypen von Amazon Connect Customer Profiles sollten mit Tags versehen werden

[Connect.2] Connect Customer-Instanzen sollten die CloudWatch Protokollierung aktiviert haben

[EC2.24] Paravirtuelle Amazon EC2 EC2-Instance-Typen sollten nicht verwendet werden

[EC2.173] EC2 Spot Fleet-Anfragen mit Startparametern sollten die Verschlüsselung für angehängte EBS-Volumes ermöglichen

[ECR.4] Öffentliche ECR-Repositorien sollten mit Tags versehen werden

[FraudDetector.1] Entitätstypen von Amazon Fraud Detector sollten markiert werden

[FraudDetector.2] Amazon Fraud Detector Detector-Etiketten sollten gekennzeichnet sein

[FraudDetector.3] Die Ergebnisse von Amazon Fraud Detector sollten markiert werden

[FraudDetector.4] Amazon Fraud Detector Detector-Variablen sollten markiert werden

[GlobalAccelerator.1] Global Accelerator-Beschleuniger sollten markiert sein

[IAM.26] Abgelaufene SSL/TLS Zertifikate, die in IAM verwaltet werden, sollten entfernt werden

[Inspector.3] Das Scannen von Amazon Inspector Lambda-Code sollte aktiviert sein

[IoTTwinMaker.4]AWS TwinMaker IoT-Entitäten sollten markiert werden

[IoTWireless.1]AWSIoT-Wireless-Multicast-Gruppen sollten markiert werden

[IoTWireless.2]AWSIoT-Wireless-Dienstprofile sollten markiert werden

[IoTWireless.3]AWSIoT FUOTA-Aufgaben sollten markiert werden

[RDS.31] RDS-DB-Sicherheitsgruppen sollten markiert werden

[Route53.1] Route 53-Gesundheitschecks sollten markiert werden

[Route53.2] In öffentlich gehosteten Zonen von Route 53 sollten DNS-Abfragen protokolliert werden

[S3.24] Bei Multi-Region S3-Zugangspunkten sollten die Einstellungen zum Blockieren des öffentlichen Zugriffs aktiviert sein

[WAF.1]AWS WAFDie klassische globale Web-ACL-Protokollierung sollte aktiviert sein

[WAF.6]AWS WAFKlassische globale Regeln sollten mindestens eine Bedingung haben

[WAF.7]AWS WAFKlassische globale Regelgruppen sollten mindestens eine Regel haben

[WAF.8]AWS WAFKlassische globale Web-ACLs sollten mindestens eine Regel oder Regelgruppe haben

[ACM.1] Importiert und ACM-issued Zertifikate sollten nach einem bestimmten Zeitraum erneuert werden

[ACM.2] Von ACM verwaltete RSA-Zertifikate sollten eine Schlüssellänge von mindestens 2.048 Bit verwenden

[Account.1] Sicherheitskontaktinformationen sollten für eine bereitgestellt werdenAWS-Konto

[Account.2]AWS-Kontensollte Teil eines seinAWS OrganizationsOrganisation

[APIGateway.1] API Gateway REST und WebSocket API-Ausführungsprotokollierung sollten aktiviert sein

[APIGateway.2] API Gateway REST API-Stufen sollten so konfiguriert werden, dass sie SSL-Zertifikate für die Backend-Authentifizierung verwenden

[APIGateway.3] API Gateway REST API-Phasen solltenAWS X-RayAblaufverfolgung aktiviert

[APIGateway.4] API Gateway sollte mit einer WAF-Web-ACL verknüpft sein

[APIGateway.5] API Gateway REST API-Cache-Daten sollten im Ruhezustand verschlüsselt werden

[APIGateway.8] API-Gateway-Routen sollten einen Autorisierungstyp angeben

[APIGateway.9] Die Zugriffsprotokollierung sollte für API Gateway V2 Stages konfiguriert werden

[APIGateway.10] API Gateway V2-Integrationen sollten HTTPS für private Verbindungen verwenden

[APIGateway.11] API-Gateway-Domainnamen sollten empfohlene Sicherheitsrichtlinien verwenden

[Amplify.1] Amplify-Apps sollten markiert werden

[Amplify.2] Amplify-Zweige sollten markiert werden

[AppConfig.1]AWS AppConfigAnwendungen sollten markiert werden

[AppConfig.2]AWS AppConfigKonfigurationsprofile sollten mit Tags versehen werden

[AppConfig.3]AWS AppConfigUmgebungen sollten markiert werden

[AppConfig.4]AWS AppConfigErweiterungszuordnungen sollten mit Tags versehen werden

[AppFlow.1] AppFlow Amazon-Flows sollten markiert werden

[AppRunner.1] App Runner-Dienste sollten markiert sein

[AppRunner.2] App Runner VPC-Konnektoren sollten markiert werden

[AppSync.1]AWS AppSyncAPI-Caches sollten im Ruhezustand verschlüsselt werden

[AppSync.2]AWS AppSyncsollte die Protokollierung auf Feldebene aktiviert haben

[AppSync.4]AWS AppSyncGraphQL-APIs sollten markiert werden

[AppSync.5]AWS AppSyncGraphQL-APIs sollten nicht mit API-Schlüsseln authentifiziert werden

[AppSync.6]AWS AppSyncAPI-Caches sollten bei der Übertragung verschlüsselt werden

[Athena.2] Athena-Datenkataloge sollten markiert werden

[Athena.3] Athena-Arbeitsgruppen sollten markiert werden

[Athena.4] Bei Athena-Arbeitsgruppen sollte die Protokollierung aktiviert sein

[AutoScaling.2] Die Amazon EC2 Auto Scaling Scaling-Gruppe sollte mehrere Availability Zones abdecken

[AutoScaling.3] Auto Scaling Scaling-Gruppenstartkonfigurationen sollten EC2-Instances so konfigurieren, dass sie Instance Metadata Service Version 2 (IMDSv2) benötigen

[AutoScaling.6] Auto Scaling Scaling-Gruppen sollten mehrere Instanztypen in mehreren Availability Zones verwenden

[AutoScaling.9] Amazon EC2 Auto Scaling Scaling-Gruppen sollten Amazon EC2 EC2-Startvorlagen verwenden

[Backup.1]AWS BackupWiederherstellungspunkte sollten im Ruhezustand verschlüsselt werden

[Backup.2]AWS BackupWiederherstellungspunkte sollten markiert werden

[Backup.4]AWS BackupBerichtspläne sollten mit Tags versehen werden

[Batch.1] Batch-Job-Warteschlangen sollten markiert werden

[Batch.2] Richtlinien zur Batch-Planung sollten markiert werden

[Batch.3] Batch-Computing-Umgebungen sollten markiert werden

[Batch.4] Eigenschaften von Rechenressourcen in verwalteten Batch-Computing-Umgebungen sollten markiert werden

[BedrockAgentCore.1] AgentCore Bedrock-Laufzeiten sollten mit dem VPC-Netzwerkmodus konfiguriert werden

[BedrockAgentCore.2] Bedrock AgentCore Gateways sollten eine Autorisierung für eingehende Anfragen benötigen

[BedrockAgentCore.3] Bedrock AgentCore Memory sollte verschlüsselt und vom Kunden verwaltet werdenAWS KMSkeys

[BedrockAgentCore.4] Bedrock AgentCore Gateway sollte verschlüsselt und vom Kunden verwaltet werdenAWS KMSkeys

[BedrockAgentCore.5] AgentCore Benutzerdefinierte Bedrock-Browser sollten den öffentlichen Netzwerkmodus nicht verwenden

[BedrockAgentCore.6] Für AgentCore benutzerdefinierte Bedrock-Browser sollte die Sitzungsaufzeichnung aktiviert sein

Bei [CloudFormation.3] CloudFormation Stacks sollte der Kündigungsschutz aktiviert sein

[CloudFormation.4] CloudFormation Stacks sollten zugeordnete Servicerollen haben

Bei [CloudFront.1] CloudFront Distributionen sollte ein Standard-Root-Objekt konfiguriert sein

[CloudFront.3] CloudFront Distributionen sollten während der Übertragung verschlüsselt werden müssen

[CloudFront.4] Bei CloudFront Distributionen sollte das Origin-Failover konfiguriert sein

[CloudFront.5] Bei CloudFront Distributionen sollte die Protokollierung aktiviert sein

[CloudFront.6] Bei CloudFront Distributionen sollte WAF aktiviert sein

[CloudFront.7] CloudFront Distributionen sollten benutzerdefinierte SSL/TLS Zertifikate verwenden

[CloudFront.8] CloudFront Distributionen sollten SNI verwenden, um HTTPS-Anfragen zu bearbeiten

[CloudFront.9] CloudFront Distributionen sollten den Datenverkehr zu benutzerdefinierten Ursprüngen verschlüsseln

[CloudFront.10] CloudFront Distributionen sollten keine veralteten SSL-Protokolle zwischen Edge-Standorten und benutzerdefinierten Ursprüngen verwenden

[CloudFront.12] CloudFront Distributionen sollten nicht auf nicht existierende S3-Ursprünge verweisen

[CloudFront.13] CloudFront Distributionen sollten die Origin-Zugriffskontrolle verwenden

[CloudFront.14] CloudFront Distributionen sollten markiert werden

[CloudFront.15] CloudFront Distributionen sollten die empfohlene TLS-Sicherheitsrichtlinie verwenden

[CloudFront.16] CloudFront Distributionen sollten die Origin-Zugriffskontrolle für die URL-Ursprünge der Lambda-Funktion verwenden

[CloudFront.17] CloudFront Distributionen sollten vertrauenswürdige Schlüsselgruppen für signierte URLs und Cookies verwenden

[CloudTrail.6] Stellen Sie sicher, dass der zum Speichern von CloudTrail Protokollen verwendete S3-Bucket nicht öffentlich zugänglich ist

[CloudTrail.7] Stellen Sie sicher, dass die Protokollierung des S3-Bucket-Zugriffs auf dem CloudTrail S3-Bucket aktiviert ist

[CloudTrail.10] Datenspeicher für Ereignisse in CloudTrail Lake sollten verschlüsselt und vom Kunden verwaltet werdenAWS KMS keys

[CloudWatch.17] CloudWatch Alarmaktionen sollten aktiviert sein

[CodeArtifact.1] CodeArtifact Repositorien sollten markiert werden

[CodeBuild.1] Die URLs des CodeBuild Bitbucket-Quell-Repositorys sollten keine vertraulichen Anmeldeinformationen enthalten

[CodeBuild.2] CodeBuild Projektumgebungsvariablen sollten keine Klartext-Anmeldeinformationen enthalten

[CodeBuild.3] CodeBuild S3-Protokolle sollten verschlüsselt sein

[CodeBuild.4] CodeBuild Projektumgebungen sollten über eine Protokollierung verfügenAWS ConfigDauer

[CodeBuild.7] Exporte von CodeBuild Berichtsgruppen sollten im Ruhezustand verschlüsselt werden

[CodeGuruProfiler.1] CodeGuru Profiler-Profiling-Gruppen sollten markiert werden

[CodeGuruReviewer.1] CodeGuru Reviewer-Repository-Verknüpfungen sollten markiert werden

[Cognito.1] In Cognito-Benutzerpools sollte der Bedrohungsschutz mit vollem Funktionsumfang für die Standardauthentifizierung aktiviert sein

[Cognito.2] Cognito-Identitätspools sollten keine nicht authentifizierten Identitäten zulassen

[Cognito.3] Passwortrichtlinien für Cognito-Benutzerpools sollten starke Konfigurationen haben

[Cognito.4] In Cognito-Benutzerpools sollte der Bedrohungsschutz mit vollem Funktionsumfang für die benutzerdefinierte Authentifizierung aktiviert sein

[Cognito.5] MFA sollte für Cognito-Benutzerpools aktiviert sein

[Cognito.6] In Cognito-Benutzerpools sollte der Löschschutz aktiviert sein

[Connect.1] Objekttypen von Amazon Connect Customer Profiles sollten mit Tags versehen werden

[Connect.2] Connect Customer-Instanzen sollten die CloudWatch Protokollierung aktiviert haben

[DataFirehose.1] Firehose-Lieferstreams sollten im Ruhezustand verschlüsselt werden

Bei [DataSync.1] DataSync Aufgaben sollte die Protokollierung aktiviert sein

[DataSync.2] DataSync Aufgaben sollten mit Tags versehen werden

[Detective.1] Graphen zum Verhalten von Detektiven sollten markiert werden

[DMS.2] DMS-Zertifikate sollten markiert werden

[DMS.3] DMS-Veranstaltungsabonnements sollten mit einem Tag versehen werden

[DMS.4] DMS-Replikationsinstanzen sollten markiert werden

[DMS.5] Subnetzgruppen für die DMS-Replikation sollten markiert werden

[DMS.6] Für DMS-Replikationsinstanzen sollte das automatische Upgrade der Nebenversionen aktiviert sein

[DMS.7] Bei DMS-Replikationsaufgaben für die Zieldatenbank sollte die Protokollierung aktiviert sein

[DMS.8] Bei DMS-Replikationsaufgaben für die Quelldatenbank sollte die Protokollierung aktiviert sein

[DMS.9] DMS-Endpunkte sollten SSL verwenden

[DMS.10] DMS-Endpunkte für Neptune-Datenbanken sollten die IAM-Autorisierung aktiviert haben

[DMS.11] DMS-Endpunkte für MongoDB sollten einen Authentifizierungsmechanismus aktiviert haben

[DMS.12] Auf DMS-Endpunkten für Redis OSS sollte TLS aktiviert sein

[DMS.13] DMS-Replikationsinstanzen sollten so konfiguriert werden, dass sie mehrere Availability Zones verwenden

[DocumentDB.1] Amazon DocumentDB-Cluster sollten im Ruhezustand verschlüsselt werden

[DocumentDB.2] Amazon DocumentDB-Cluster sollten über eine angemessene Aufbewahrungsfrist für Backups verfügen

[DocumentDB.3] Manuelle Cluster-Snapshots von Amazon DocumentDB sollten nicht öffentlich sein

[DocumentDB.4] Amazon DocumentDB-Cluster sollten Auditprotokolle in Logs veröffentlichen CloudWatch

[DocumentDB.5] Bei Amazon DocumentDB-Clustern sollte der Löschschutz aktiviert sein

[DocumentDB.6] Amazon DocumentDB-Cluster sollten bei der Übertragung verschlüsselt werden

[DynamoDB.3] DynamoDB Accelerator (DAX) -Cluster sollten im Ruhezustand verschlüsselt werden

[DynamoDB.4] DynamoDB-Tabellen sollten in einem Backup-Plan vorhanden sein

[DynamoDB.6] Bei DynamoDB-Tabellen sollte der Löschschutz aktiviert sein

[DynamoDB.7] DynamoDB Accelerator-Cluster sollten bei der Übertragung verschlüsselt werden

[EC2.4] Gestoppte EC2-Instances sollten nach einem bestimmten Zeitraum entfernt werden

[EC2.21] Netzwerk-ACLs sollten ab Version 0.0.0 keinen Zugriff mehr zulassen. 0/0 zu Port 22 oder Port 3389

[EC2.22] Unbenutzte Amazon EC2-Sicherheitsgruppen sollten entfernt werden

[EC2.23] Amazon EC2 Transit Gateways sollten VPC-Anhangsanforderungen nicht automatisch akzeptieren

[EC2.24] Paravirtuelle Amazon EC2 EC2-Instance-Typen sollten nicht verwendet werden

[EC2.25] Amazon EC2 EC2-Startvorlagen sollten Netzwerkschnittstellen keine öffentlichen IPs zuweisen

[EC2.28] EBS-Volumes sollten durch einen Backup-Plan abgedeckt sein

[EC2.34] Die EC2-Transit-Gateway-Routentabellen sollten mit Tags versehen werden

[EC2.40] EC2-NAT-Gateways sollten markiert werden

[EC2.51] Bei EC2-Client-VPN-Endpunkten sollte die Client-Verbindungsprotokollierung aktiviert sein

[EC2.53] EC2-Sicherheitsgruppen sollten keinen Zugriff ab Version 0.0.0 zulassen. 0/0 zu den Verwaltungsports des Remoteservers

[EC2.54] EC2-Sicherheitsgruppen sollten keinen Zugriff von: :/0 zu Remote-Serveradministrationsports zulassen

[EC2.55] VPCs sollten mit einem Schnittstellenendpunkt für die ECR-API konfiguriert werden

[EC2.56] VPCs sollten mit einem Schnittstellenendpunkt für Docker Registry konfiguriert werden

[EC2.57] VPCs sollten mit einem Schnittstellenendpunkt für Systems Manager konfiguriert werden

[EC2.58] VPCs sollten mit einem Schnittstellenendpunkt für Systems Manager Incident Manager-Kontakte konfiguriert werden

[EC2.60] VPCs sollten mit einem Schnittstellenendpunkt für Systems Manager Incident Manager konfiguriert werden

[EC2.170] EC2-Startvorlagen sollten Instance Metadata Service Version 2 (IMDSv2) verwenden

[EC2.171] Bei EC2-VPN-Verbindungen sollte die Protokollierung aktiviert sein

[EC2.172] Die EC2 VPC Block Public Access-Einstellungen sollten den Internet-Gateway-Verkehr blockieren

[EC2.173] EC2 Spot Fleet-Anfragen mit Startparametern sollten die Verschlüsselung für angehängte EBS-Volumes ermöglichen

[EC2.174] EC2-DHCP-Optionssätze sollten mit Tags versehen werden

[EC2.175] EC2-Startvorlagen sollten mit Tags versehen werden

[EC2.176] EC2-Präfixlisten sollten mit Tags versehen werden

[EC2.177] EC2-Traffic-Mirror-Sitzungen sollten mit Tags versehen werden

[EC2.178] EC2-Traffic-Spiegelfilter sollten mit Tags versehen werden

[EC2.179] EC2-Traffic-Mirror-Ziele sollten markiert werden

[EC2.180] Bei EC2-Netzwerkschnittstellen sollte die Überprüfung aktiviert sein source/destination

[EC2.181] EC2-Startvorlagen sollten die Verschlüsselung für angehängte EBS-Volumes ermöglichen

[EC2.182] Einstellungen für den öffentlichen Zugriff blockieren sollten für Amazon EBS-Snapshots aktiviert sein

[EC2.183] EC2-VPN-Verbindungen sollten das IKEv2-Protokoll verwenden

[ECR.1] Bei privaten ECR-Repositorys sollte das Scannen von Bildern konfiguriert sein

[ECR.2] Für private ECR-Repositorys sollte die Tag-Unveränderlichkeit konfiguriert sein

[ECR.3] Für ECR-Repositorys sollte mindestens eine Lebenszyklusrichtlinie konfiguriert sein

[ECR.4] Öffentliche ECR-Repositorien sollten mit Tags versehen werden

[ECR.5] ECR-Repositorys sollten verschlüsselt und vom Kunden verwaltet werdenAWS KMS keys

[ECS.3] ECS-Aufgabendefinitionen sollten den Prozess-Namespace des Hosts nicht gemeinsam nutzen

[ECS.4] ECS-Container sollten ohne Zugriffsrechte ausgeführt werden

[ECS.5] ECS-Aufgabendefinitionen sollten Container so konfigurieren, dass sie auf den schreibgeschützten Zugriff auf Root-Dateisysteme beschränkt sind

[ECS.8] Geheimnisse sollten nicht als Container-Umgebungsvariablen übergeben werden

[ECS.9] ECS-Aufgabendefinitionen sollten über eine Protokollierungskonfiguration verfügen

[ECS.10] ECS Fargate-Dienste sollten auf der neuesten Fargate-Plattformversion laufen

[ECS.12] ECS-Cluster sollten Container Insights verwenden

[ECS.16] ECS-Aufgabensätze sollten öffentliche IP-Adressen nicht automatisch zuweisen

[ECS.17] ECS-Aufgabendefinitionen sollten nicht den Host-Netzwerkmodus verwenden

[ECS.18] ECS-Aufgabendefinitionen sollten die Verschlüsselung während der Übertragung für EFS-Volumes verwenden

[ECS.19] ECS-Kapazitätsanbieter sollten den Managed Termination Protection aktiviert haben

[ECS.20] ECS-Aufgabendefinitionen sollten Benutzer, die keine Root-Benutzer sind, in Linux-Container-Definitionen konfigurieren

[ECS.21] ECS-Aufgabendefinitionen sollten Benutzer ohne Administratorrechte in Windows-Containerdefinitionen konfigurieren

[EFS.1] Elastic File System sollte so konfiguriert sein, dass es Dateidaten im Ruhezustand verschlüsseltAWS KMS

[EFS.2] Amazon EFS-Volumes sollten in Backup-Plänen enthalten sein

[EFS.3] EFS-Zugriffspunkte sollten ein Stammverzeichnis erzwingen

[EFS.4] EFS-Zugriffspunkte sollten eine Benutzeridentität erzwingen

[EFS.6] EFS-Mount-Ziele sollten nicht mit Subnetzen verknüpft werden, die beim Start öffentliche IP-Adressen zuweisen

[EFS.7] Bei EFS-Dateisystemen sollten automatische Backups aktiviert sein

[EFS.8] EFS-Dateisysteme sollten im Ruhezustand verschlüsselt werden

[EKS.2] EKS-Cluster sollten auf einer unterstützten Kubernetes-Version ausgeführt werden

[EKS.3] EKS-Cluster sollten verschlüsselte Kubernetes-Geheimnisse verwenden

[EKS.7] Die Konfigurationen des EKS-Identitätsanbieters sollten mit Tags versehen werden

[EKS.8] Bei EKS-Clustern sollte die Audit-Protokollierung aktiviert sein

[EKS.9] EKS-Knotengruppen sollten auf einer unterstützten Kubernetes-Version ausgeführt werden

[ELB.2] Classic Load Balancer mit SSL/HTTPS Listenern sollten ein Zertifikat verwenden, das bereitgestellt wird vonAWS Certificate Manager

[ELB.10] Classic Load Balancer sollte sich über mehrere Availability Zones erstrecken

[ELB.12] Der Application Load Balancer sollte mit einem defensiven oder strengsten Desync-Minimationsmodus konfiguriert werden

[ELB.13] Anwendungs-, Netzwerk- und Gateway-Load Balancer sollten sich über mehrere Availability Zones erstrecken

[ELB.14] Classic Load Balancer sollte mit einem defensiven oder strengsten Desync-Minimationsmodus konfiguriert werden

[ELB.16] Application Load Balancers sollten mit einem verknüpft seinAWS WAFWeb-ACL

[ELB.17] Anwendungs- und Netzwerk-Load-Balancer mit Listenern sollten die empfohlenen Sicherheitsrichtlinien verwenden

[ELB.18] Anwendungs- und Network Load Balancer Balancer-Listener sollten sichere Protokolle verwenden, um Daten während der Übertragung zu verschlüsseln

[ELB.21] Anwendungs- und Network Load Balancer Balancer-Zielgruppen sollten verschlüsselte Health Check-Protokolle verwenden

[ELB.22] ELB-Zielgruppen sollten verschlüsselte Transportprotokolle verwenden

Bei [ElastiCache.1] ElastiCache (Redis OSS) -Clustern sollten automatische Backups aktiviert sein

[ElastiCache.2] Bei ElastiCache Clustern sollten automatische Upgrades für kleinere Versionen aktiviert sein

[ElastiCache.3] Für ElastiCache Replikationsgruppen sollte der automatische Failover aktiviert sein

[ElastiCache.4] ElastiCache Replikationsgruppen sollten im Ruhezustand verschlüsselt werden

[ElastiCache.5] ElastiCache Replikationsgruppen sollten bei der Übertragung verschlüsselt werden

[ElastiCache.6] ElastiCache (Redis OSS) -Replikationsgruppen früherer Versionen sollten Redis OSS AUTH aktiviert haben

[ElastiCache.7] ElastiCache Cluster sollten nicht die Standard-Subnetzgruppe verwenden

[ElasticBeanstalk.1] Elastic Beanstalk Beanstalk-Umgebungen sollten erweiterte Gesundheitsberichte aktiviert haben

[ElasticBeanstalk.2] Von Elastic Beanstalk verwaltete Plattformupdates sollten aktiviert sein

[ElasticBeanstalk.3] Elastic Beanstalk sollte Logs streamen nach CloudWatch

[EMR.1] Primäre Amazon EMR-Clusterknoten sollten keine öffentlichen IP-Adressen haben

[EMR.2] Die Einstellung Amazon EMR Block Public Access sollte aktiviert sein

[EMR.3] Amazon EMR-Sicherheitskonfigurationen sollten im Ruhezustand verschlüsselt werden

[EMR.4] Amazon EMR-Sicherheitskonfigurationen sollten bei der Übertragung verschlüsselt werden

[ES.3] Elasticsearch-Domains sollten Daten verschlüsseln, die zwischen Knoten gesendet werden

[ES.4] Die Elasticsearch-Domain-Fehlerprotokollierung in Logs sollte aktiviert sein CloudWatch

[ES.9] Elasticsearch-Domains sollten markiert werden

[EventBridge.3] An EventBridge benutzerdefinierte Eventbusse sollte eine ressourcenbasierte Richtlinie angehängt werden

[EventBridge.4] Auf EventBridge globalen Endpunkten sollte die Ereignisreplikation aktiviert sein

[FraudDetector.1] Entitätstypen von Amazon Fraud Detector sollten markiert werden

[FraudDetector.2] Amazon Fraud Detector Detector-Etiketten sollten gekennzeichnet sein

[FraudDetector.3] Die Ergebnisse von Amazon Fraud Detector sollten markiert werden

[FraudDetector.4] Amazon Fraud Detector Detector-Variablen sollten markiert werden

[FSx.1] FSx für OpenZFS-Dateisysteme sollte so konfiguriert sein, dass Tags auf Backups und Volumes kopiert werden

[FSx.2] FSx for Lustre-Dateisysteme sollten so konfiguriert sein, dass Tags in Backups kopiert werden

[FSx.3] FSx für OpenZFS-Dateisysteme sollte für die Bereitstellung konfiguriert sein Multi-AZ

[FSx.4] FSx für NetApp ONTAP-Dateisysteme sollte für die Bereitstellung konfiguriert sein Multi-AZ

[FSx.5] FSx for Windows File Server Server-Dateisysteme sollten für Multi-AZ die Bereitstellung konfiguriert sein

[GlobalAccelerator.1] Global Accelerator-Beschleuniger sollten markiert sein

[Glue.1]AWS GlueJobs sollten markiert werden

[Glue.3]AWS GlueTransformationen für maschinelles Lernen sollten im Ruhezustand verschlüsselt werden

[Glue.4]AWS GlueSpark-Jobs sollten auf unterstützten Versionen von ausgeführt werdenAWS Glue

[GuardDuty.1] GuardDuty sollte aktiviert sein

[GuardDuty.2] GuardDuty Filter sollten mit Tags versehen sein

[GuardDuty.3] GuardDuty IPSets sollten markiert werden

[GuardDuty.4] GuardDuty Detektoren sollten markiert werden

[GuardDuty.5] GuardDuty EKS Audit Log Monitoring sollte aktiviert sein

[GuardDuty.6] GuardDuty Lambda Protection sollte aktiviert sein

[GuardDuty.7] GuardDuty EKS Runtime Monitoring sollte aktiviert sein

[GuardDuty.8] Der GuardDuty Malware-Schutz für EC2 sollte aktiviert sein

[GuardDuty.9] GuardDuty RDS-Schutz sollte aktiviert sein

[GuardDuty.10] GuardDuty S3-Schutz sollte aktiviert sein

[GuardDuty.11] GuardDuty Runtime Monitoring sollte aktiviert sein

[GuardDuty.12] GuardDuty ECS Runtime Monitoring sollte aktiviert sein

[GuardDuty.13] GuardDuty EC2 Runtime Monitoring sollte aktiviert sein

[IAM.1] IAM-Richtlinien sollten keine vollen „*“ -Administratorrechte zulassen

[IAM.2] IAM-Benutzern sollten keine IAM-Richtlinien zugeordnet sein

[IAM.3] Die Zugriffsschlüssel von IAM-Benutzern sollten alle 90 Tage oder weniger gewechselt werden

[IAM.4] Der IAM-Root-Benutzerzugriffsschlüssel sollte nicht existieren

[IAM.5] MFA sollte für alle IAM-Benutzer aktiviert sein, die ein Konsolenpasswort haben

[IAM.6] Hardware-MFA sollte für den Root-Benutzer aktiviert sein

[IAM.7] Die Kennwortrichtlinien für IAM-Benutzer sollten stark konfiguriert sein

[IAM.8] Unbenutzte IAM-Benutzeranmeldedaten sollten entfernt werden

[IAM.9] MFA sollte für den Root-Benutzer aktiviert sein

[IAM.10] Die Kennwortrichtlinien für IAM-Benutzer sollten stark konfiguriert sein

[IAM.11] Stellen Sie sicher, dass die IAM-Passwortrichtlinie mindestens einen Großbuchstaben erfordert

[IAM.12] Stellen Sie sicher, dass die IAM-Passwortrichtlinie mindestens einen Kleinbuchstaben erfordert

[IAM.13] Stellen Sie sicher, dass für die IAM-Passwortrichtlinie mindestens ein Symbol erforderlich ist

[IAM.14] Stellen Sie sicher, dass die IAM-Passwortrichtlinie mindestens eine Zahl erfordert

[IAM.15] Stellen Sie sicher, dass die IAM-Passwortrichtlinie eine Mindestkennwortlänge von 14 oder mehr erfordert

[IAM.16] Stellen Sie sicher, dass die IAM-Kennwortrichtlinie die Wiederverwendung von Passwörtern

[IAM.17] Stellen Sie sicher, dass die IAM-Passwortrichtlinie Passwörter innerhalb von 90 Tagen oder weniger abläuft

[IAM.18] Stellen Sie sicher, dass eine Support-Rolle für die Verwaltung von Vorfällen eingerichtet wurdeAWS Support

[IAM.19] MFA sollte für alle IAM-Benutzer aktiviert sein

[IAM.21] Kundenverwaltete IAM-Richtlinien, die Sie erstellen, sollten keine Platzhalteraktionen für Dienste zulassen

[IAM.22] IAM-Benutzeranmeldedaten, die 45 Tage lang nicht verwendet wurden, sollten entfernt werden

[IAM.24] IAM-Rollen sollten mit Tags versehen werden

[IAM.25] IAM-Benutzer sollten markiert werden

[IAM.26] Abgelaufene SSL/TLS Zertifikate, die in IAM verwaltet werden, sollten entfernt werden

[IAM.27] IAM-Identitäten sollte die Richtlinie nicht angehängt sein AWSCloudShellFullAccess

[IAM.28] Der externe Zugriffsanalysator von IAM Access Analyzer sollte aktiviert sein

[Inspector.1] Amazon Inspector EC2-Scannen sollte aktiviert sein

[Inspector.2] Amazon Inspector ECR-Scannen sollte aktiviert sein

[Inspector.3] Das Scannen von Amazon Inspector Lambda-Code sollte aktiviert sein

[Inspector.4] Das Standardscannen von Amazon Inspector Lambda sollte aktiviert sein

[IoT.1]AWS IoT Device DefenderSicherheitsprofile sollten markiert werden

[IoT.2]AWS IoT CoreMaßnahmen zur Schadensbegrenzung sollten mit einem Tag versehen werden

[IoT.3]AWS IoT CoreDimensionen sollten mit Tags versehen werden

[IoT.4]AWS IoT CoreAutorisierer sollten markiert werden

[IoT.5]AWS IoT CoreRollenaliase sollten mit Tags versehen werden

[IoT.6]AWS IoT CoreRichtlinien sollten mit Tags versehen werden

[IoTEvents.1]AWSEingaben für IoT Events sollten markiert werden

[IoTEvents.2]AWSModelle mit IoT-Ereignisdetektoren sollten markiert werden

[IoTEvents.3]AWSAlarmmodelle für IoT Events sollten markiert werden

[IoTSiteWise.1]AWS SiteWise IoT-Asset-Modelle sollten markiert werden

[IoTSiteWise.2]AWS SiteWise IoT-Dashboards sollten mit Tags versehen werden

[IoTSiteWise.3]AWS SiteWise IoT-Gateways sollten markiert werden

[IoTSiteWise.4]AWS SiteWise IoT-Portale sollten mit Tags versehen werden

[IoTSiteWise.5]AWS SiteWise IoT-Projekte sollten markiert werden

[IoTTwinMaker.1]AWS TwinMaker IoT-Synchronisierungsjobs sollten markiert werden

[IoTTwinMaker.2]AWS TwinMaker IoT-Arbeitsbereiche sollten markiert werden

[IoTTwinMaker.3]AWS TwinMaker IoT-Szenen sollten markiert werden

[IoTTwinMaker.4]AWS TwinMaker IoT-Entitäten sollten markiert werden

[IoTWireless.1]AWSIoT-Wireless-Multicast-Gruppen sollten markiert werden

[IoTWireless.2]AWSIoT-Wireless-Dienstprofile sollten markiert werden

[IoTWireless.3]AWSIoT FUOTA-Aufgaben sollten markiert werden

[IVS.1] Schlüsselpaare für die IVS-Wiedergabe sollten markiert werden

[IVS.2] IVS-Aufnahmekonfigurationen sollten mit Tags versehen werden

[IVS.3] IVS-Kanäle sollten mit Tags versehen werden

[Keyspaces.1] Amazon Keyspaces-Keyspaces sollten markiert werden

[Kinesis.1] Kinesis-Streams sollten im Ruhezustand verschlüsselt werden

[Kinesis.3] Kinesis-Streams sollten über eine angemessene Datenaufbewahrungsfrist verfügen

[KMS.1] Kundenverwaltete IAM-Richtlinien sollten keine Entschlüsselungsaktionen für alle KMS-Schlüssel zulassen

[KMS.2] IAM-Prinzipale sollten keine IAM-Inline-Richtlinien haben, die Entschlüsselungsaktionen für alle KMS-Schlüssel zulassen

[KMS.5] KMS-Schlüssel sollten nicht öffentlich zugänglich sein

[Lambda.5] VPC-Lambda-Funktionen sollten in mehreren Availability Zones funktionieren

[Lambda.7] Lambda-Funktionen sollten habenAWS X-Rayaktives Tracing aktiviert

[Macie.1] Amazon Macie sollte aktiviert sein

[Macie.2] Die automatische Erkennung sensibler Daten durch Macie sollte aktiviert sein

[MQ.2] ActiveMQ-Broker sollten Audit-Logs streamen an CloudWatch

[MQ.4] Amazon MQ-Broker sollten markiert werden

[MQ.5] ActiveMQ-Broker sollten den Bereitstellungsmodus verwenden active/standby

[MQ.6] RabbitMQ-Broker sollten den Cluster-Bereitstellungsmodus verwenden

[MSK.1] MSK-Cluster sollten bei der Übertragung zwischen Broker-Knoten verschlüsselt werden

[MSK.2] Für MSK-Cluster sollte die erweiterte Überwachung konfiguriert sein

[MSK.3] MSK Connect-Anschlüsse sollten bei der Übertragung verschlüsselt werden

[MSK.4] Bei MSK-Clustern sollte der öffentliche Zugriff deaktiviert sein

[MSK.5] Für MSK-Konnektoren sollte die Protokollierung aktiviert sein

[MSK.6] MSK-Cluster sollten den nicht authentifizierten Zugriff deaktivieren

[Neptune.1] Neptune-DB-Cluster sollten im Ruhezustand verschlüsselt werden

[Neptune.2] Neptune-DB-Cluster sollten Audit-Logs in Logs veröffentlichen CloudWatch

[Neptune.3] Neptune DB-Cluster-Snapshots sollten nicht öffentlich sein

[Neptune.4] Bei Neptune-DB-Clustern sollte der Löschschutz aktiviert sein

[Neptune.5] Bei Neptune-DB-Clustern sollten automatische Backups aktiviert sein

[Neptune.6] Neptune DB-Cluster-Snapshots sollten im Ruhezustand verschlüsselt werden

[Neptune.7] Neptune-DB-Cluster sollten die IAM-Datenbankauthentifizierung aktiviert haben

[Neptune.8] Neptune-DB-Cluster sollten so konfiguriert sein, dass sie Tags in Snapshots kopieren

[Neptune.9] Neptune-DB-Cluster sollten in mehreren Availability Zones bereitgestellt werden

[NetworkFirewall.1] Netzwerk-Firewall-Firewalls sollten in mehreren Availability Zones eingesetzt werden

[NetworkFirewall.2] Die Netzwerk-Firewall-Protokollierung sollte aktiviert sein

[NetworkFirewall.3] Netzwerk-Firewall-Richtlinien sollten mindestens eine Regelgruppe zugeordnet sein

[NetworkFirewall.4] Die standardmäßige statuslose Aktion für Netzwerk-Firewall-Richtlinien sollte für vollständige Pakete Drop oder Forward sein

[NetworkFirewall.5] Die standardmäßige statuslose Aktion für Netzwerk-Firewall-Richtlinien sollte für fragmentierte Pakete Drop oder Forward sein

[NetworkFirewall.6] Die Regelgruppe Stateless Network Firewall sollte nicht leer sein

[NetworkFirewall.9] Bei Netzwerk-Firewall-Firewalls sollte der Löschschutz aktiviert sein

[NetworkFirewall.10] Bei Netzwerk-Firewall-Firewalls sollte der Subnetzänderungsschutz aktiviert sein

Bei [Opensearch.1] OpenSearch Domänen sollte die Verschlüsselung im Ruhezustand aktiviert sein

[Opensearch.2] OpenSearch Domains sollten nicht öffentlich zugänglich sein

[Opensearch.3] OpenSearch Domains sollten Daten verschlüsseln, die zwischen Knoten gesendet werden

[Opensearch.4] OpenSearch Die Protokollierung von Domain-Fehlern in Logs sollte aktiviert sein CloudWatch

[Opensearch.5] Für OpenSearch Domains sollte die Audit-Protokollierung aktiviert sein

[Opensearch.6] OpenSearch Domains sollten mindestens drei Datenknoten haben

Bei [Opensearch.7] OpenSearch Domänen sollte eine differenzierte Zugriffskontrolle aktiviert sein

[Opensearch.8] Verbindungen zu OpenSearch Domains sollten mit der neuesten TLS-Sicherheitsrichtlinie verschlüsselt werden

[Opensearch.9] OpenSearch Domains sollten mit Tags versehen werden

Auf [Opensearch.10] OpenSearch Domains sollte das neueste Softwareupdate installiert sein

[Opensearch.11] OpenSearch Domains sollten mindestens drei dedizierte Primärknoten haben

[PCA.1]AWS Private CADie Stammzertifizierungsstelle sollte deaktiviert sein

[PCA.2]AWSPrivate Zertifizierungsstellen sollten markiert werden

[RDS.14] Bei Amazon Aurora Aurora-Clustern sollte Backtracking aktiviert sein

[RDS.24] RDS-Datenbankcluster sollten einen benutzerdefinierten Administratorbenutzernamen verwenden

[RDS.25] RDS-Datenbank-Instances sollten einen benutzerdefinierten Administrator-Benutzernamen verwenden

[RDS.26] RDS-DB-Instances sollten durch einen Backup-Plan geschützt werden

[RDS.27] RDS-DB-Cluster sollten im Ruhezustand verschlüsselt werden

[RDS.31] RDS-DB-Sicherheitsgruppen sollten markiert werden

[RDS.34] Aurora MySQL-DB-Cluster sollten Audit-Logs in CloudWatch Logs veröffentlichen

[RDS.35] Für RDS-DB-Cluster sollte das automatische Upgrade der Nebenversion aktiviert sein

[RDS.36] RDS für PostgreSQL-DB-Instances sollten Protokolle in Logs veröffentlichen CloudWatch

[RDS.37] Aurora PostgreSQL-DB-Cluster sollten Protokolle in Logs veröffentlichen CloudWatch

[RDS.38] RDS für PostgreSQL-DB-Instances sollte bei der Übertragung verschlüsselt werden

[RDS.39] RDS für MySQL-DB-Instances sollte bei der Übertragung verschlüsselt werden

[RDS.40] RDS für SQL Server-DB-Instances sollten CloudWatch Protokolle in Logs veröffentlichen

[RDS.41] RDS für SQL Server-DB-Instances sollten bei der Übertragung verschlüsselt werden

[RDS.42] RDS für MariaDB-DB-Instances sollte Protokolle in Logs veröffentlichen CloudWatch

[RDS.43] RDS-DB-Proxys sollten TLS-Verschlüsselung für Verbindungen erfordern

[RDS.44] RDS für MariaDB-DB-Instances sollte bei der Übertragung verschlüsselt werden

[RDS.45] Bei Aurora MySQL-DB-Clustern sollte die Auditprotokollierung aktiviert sein

[RDS.46] RDS-DB-Instances sollten nicht in öffentlichen Subnetzen mit Routen zu Internet-Gateways bereitgestellt werden

[RDS.47] RDS für PostgreSQL-DB-Cluster sollten so konfiguriert sein, dass Tags in DB-Snapshots kopiert werden

[RDS.48] RDS für MySQL-DB-Cluster sollten so konfiguriert sein, dass Tags in DB-Snapshots kopiert werden

[RDS.50] Für RDS-DB-Cluster sollte ein ausreichender Aufbewahrungszeitraum für Backups festgelegt sein

[RDS.51] Globale RDS-Cluster sollten auf einer unterstützten Aurora MySQL-Version laufen

[Redshift.1] Amazon Redshift Redshift-Cluster sollten den öffentlichen Zugriff verbieten

[Redshift.3] Bei Amazon Redshift Redshift-Clustern sollten automatische Snapshots aktiviert sein

[Redshift.4] Bei Amazon Redshift Redshift-Clustern sollte die Auditprotokollierung aktiviert sein

[Redshift.6] Bei Amazon Redshift sollten automatische Upgrades auf Hauptversionen aktiviert sein

[Redshift.7] Redshift-Cluster sollten erweitertes VPC-Routing verwenden

[Redshift.8] Amazon Redshift Redshift-Cluster sollten nicht den Standard-Admin-Benutzernamen verwenden

[Redshift.10] Redshift-Cluster sollten im Ruhezustand verschlüsselt werden

[Redshift.11] Redshift-Cluster sollten markiert werden

[Redshift.13] Redshift-Cluster-Snapshots sollten markiert werden

[Redshift.15] Redshift-Sicherheitsgruppen sollten den Zugriff auf den Cluster-Port nur von eingeschränkten Quellen zulassen

[Redshift.16] Redshift-Cluster-Subnetzgruppen sollten Subnetze aus mehreren Availability Zones haben

[Redshift.17] Redshift-Cluster-Parametergruppen sollten markiert werden

[Redshift.18] Für Redshift-Cluster sollten Multi-AZ Bereitstellungen aktiviert sein

[RedshiftServerless.1] Serverlose Amazon Redshift Redshift-Arbeitsgruppen sollten erweitertes VPC-Routing verwenden

[RedshiftServerless.2] Für die Verwendung von SSL sollten Verbindungen zu Redshift Serverless-Arbeitsgruppen erforderlich sein

[RedshiftServerless.3] Redshift Serverless-Arbeitsgruppen sollten den öffentlichen Zugriff verbieten

[RedshiftServerless.4] Serverlose Redshift-Namespaces sollten verschlüsselt und vom Kunden verwaltet werdenAWS KMS keys

[RedshiftServerless.5] Redshift Serverless-Namespaces sollten nicht den Standard-Admin-Benutzernamen verwenden

[RedshiftServerless.6] Redshift Serverless Namespaces sollten Protokolle in Logs exportieren CloudWatch

[Route53.1] Route 53-Gesundheitschecks sollten markiert werden

[Route53.2] In öffentlich gehosteten Zonen von Route 53 sollten DNS-Abfragen protokolliert werden

[S3.7] S3-Allzweck-Buckets sollten die regionsübergreifende Replikation verwenden

[S3.10] S3-Allzweck-Buckets mit aktivierter Versionierung sollten Lifecycle-Konfigurationen haben

[S3.11] Für S3-Allzweck-Buckets sollten Ereignisbenachrichtigungen aktiviert sein

[S3.12] ACLs sollten nicht verwendet werden, um den Benutzerzugriff auf S3-Allzweck-Buckets zu verwalten

[S3.13] S3-Allzweck-Buckets sollten Lifecycle-Konfigurationen haben

[S3.19] Bei S3-Zugriffspunkten sollten die Einstellungen zum Blockieren des öffentlichen Zugriffs aktiviert sein

[S3.20] Für S3-Allzweck-Buckets sollte MFA Delete aktiviert sein

[S3.22] S3-Buckets für allgemeine Zwecke sollten Schreibereignisse auf Objektebene protokollieren

[S3.23] S3-Allzweck-Buckets sollten Leseereignisse auf Objektebene protokollieren

[S3.24] Bei Multi-Region S3-Zugangspunkten sollten die Einstellungen zum Blockieren des öffentlichen Zugriffs aktiviert sein

[S3.25] S3-Verzeichnis-Buckets sollten Lebenszykluskonfigurationen haben

[SageMaker.1] SageMaker Amazon-Notebook-Instances sollten keinen direkten Internetzugang haben

[SageMaker.2] SageMaker Notebook-Instances sollten in einer benutzerdefinierten VPC gestartet werden

[SageMaker.3] Benutzer sollten keinen Root-Zugriff auf SageMaker Notebook-Instances haben

[SageMaker.4] Bei Produktionsvarianten für SageMaker Endgeräte sollte die anfängliche Anzahl der Instances größer als 1 sein

[SageMaker.5] SageMaker Bei Modellen sollte die Netzwerkisolierung aktiviert sein

[SageMaker.6] SageMaker App-Image-Konfigurationen sollten mit Tags versehen werden

[SageMaker.7] SageMaker Bilder sollten mit Tags versehen werden

[SageMaker.8] SageMaker Notebook-Instances sollten auf unterstützten Plattformen laufen

[SageMaker.9] Bei Auftragsdefinitionen SageMaker zur Datenqualität sollte die Verschlüsselung des Datenverkehrs zwischen Containern aktiviert sein

Bei Auftragsdefinitionen zur Erläuterung des SageMaker Modells [SageMaker.10] sollte die Verschlüsselung des Datenverkehrs zwischen Containern aktiviert sein

[SageMaker.11] Bei Auftragsdefinitionen SageMaker zur Datenqualität sollte die Netzwerkisolierung aktiviert sein

Bei Auftragsdefinitionen für [SageMaker.12] SageMaker Model Bias sollte die Netzwerkisolierung aktiviert sein

[SageMaker.13] Bei Auftragsdefinitionen in SageMaker Modellqualität sollte die Verschlüsselung des Datenverkehrs zwischen Containern aktiviert sein

[SageMaker.14] In den SageMaker Überwachungsplänen sollte die Netzwerkisolierung aktiviert sein

[SageMaker.15] Bei Jobdefinitionen mit SageMaker Modellverzerrung sollte die Verschlüsselung des Datenverkehrs zwischen Containern aktiviert sein

[SageMaker.16] SageMaker Modelle sollten eine private Registrierung in VPC für primäre Container verwenden

[SageMaker.17] Offline-Shops für SageMaker Featuregruppen sollten verschlüsselt werden mitAWS KMSkeys

[SageMaker.18] Onlineshops mit Standardspeicher für SageMaker Featuregruppen sollten verschlüsselt werden mitAWS KMSkeys

[SageMaker.19] SageMaker Modelle sollten eine private Registrierung in VPC für Inferenz-Pipelines mit mehreren Containern verwenden

[SES.1] SES-Kontaktlisten sollten mit Tags versehen werden

[SES.2] SES-Konfigurationssätze sollten mit Tags versehen werden

[SES.3] In SES-Konfigurationssätzen sollte TLS für das Senden von E-Mails aktiviert sein

[ServiceCatalog.1] Servicekatalog-Portfolios sollten innerhalb eines gemeinsam genutzt werdenAWSnur Organisation

[SNS.4] Richtlinien für den Zugriff auf SNS-Themen sollten keinen öffentlichen Zugriff zulassen

[SQS.1] Amazon SQS SQS-Warteschlangen sollten im Ruhezustand verschlüsselt sein

[SQS.2] SQS-Warteschlangen sollten markiert werden

[SQS.3] Die Richtlinien für den Zugriff auf SQS-Warteschlangen sollten keinen öffentlichen Zugriff zulassen

[SSM.1] Amazon EC2 EC2-Instances sollten verwaltet werden vonAWS Systems Manager

[SSM.2] Von Systems Manager verwaltete Amazon EC2 EC2-Instances sollten nach einer Patch-Installation den Patch-Compliance-Status COMPLIANT haben

[SSM.3] Von Systems Manager verwaltete Amazon EC2 EC2-Instances sollten den Zuordnungs-Compliance-Status COMPLIANT haben

[SSM.4] SSM-Dokumente sollten nicht öffentlich sein

[SSM.5] SSM-Dokumente sollten mit einem Tag versehen werden

[SSM.6] Bei SSM Automation sollte die Protokollierung aktiviert sein CloudWatch

[SSM.7] Bei SSM-Dokumenten sollte die Einstellung „Öffentliches Teilen blockieren“ aktiviert sein

[StepFunctions.1] Step Functions Functions-Zustandsmaschinen sollten die Protokollierung aktiviert haben

[Transfer.1]AWS Transfer FamilyWorkflows sollten markiert werden

[Transfer.2] Transfer Family Family-Server sollten kein FTP-Protokoll für die Endpunktverbindung verwenden

[Transfer.3] Bei Connectoren der Transfer Family sollte die Protokollierung aktiviert sein

[Transfer.4] Transfer Family Familienverträge sollten gekennzeichnet werden

[Transfer.5] Transfer Family Familienzertifikate sollten gekennzeichnet sein

[Transfer.6] Steckverbinder der Transfer Family sollten gekennzeichnet sein

[Transfer.7] Familienprofile übertragen sollten markiert werden

[WAF.1]AWS WAFDie klassische globale Web-ACL-Protokollierung sollte aktiviert sein

[WAF.2]AWS WAFKlassische Regionalregeln sollten mindestens eine Bedingung enthalten

[WAF.3]AWS WAFKlassische regionale Regelgruppen sollten mindestens eine Regel haben

[WAF.4]AWS WAFKlassische regionale Web-ACLs sollten mindestens eine Regel oder Regelgruppe haben

[WAF.6]AWS WAFKlassische globale Regeln sollten mindestens eine Bedingung haben

[WAF.7]AWS WAFKlassische globale Regelgruppen sollten mindestens eine Regel haben

[WAF.8]AWS WAFKlassische globale Web-ACLs sollten mindestens eine Regel oder Regelgruppe haben

[WAF.10]AWS WAFWeb-ACLs sollten mindestens eine Regel oder Regelgruppe haben

[WAF.11]AWS WAFDie Web-ACL-Protokollierung sollte aktiviert sein

[WAF.12]AWS WAFFür Regeln sollten CloudWatch Metriken aktiviert sein

[WorkSpaces.1] WorkSpaces Benutzervolumes sollten im Ruhezustand verschlüsselt werden

[WorkSpaces.2] WorkSpaces Root-Volumes sollten im Ruhezustand verschlüsselt werden

[AppFlow.1] AppFlow Amazon-Flows sollten markiert werden

[AppRunner.1] App Runner-Dienste sollten markiert sein

[AppRunner.2] App Runner VPC-Konnektoren sollten markiert werden

[AppSync.1]AWS AppSyncAPI-Caches sollten im Ruhezustand verschlüsselt werden

[AppSync.6]AWS AppSyncAPI-Caches sollten bei der Übertragung verschlüsselt werden

[Backup.1]AWS BackupWiederherstellungspunkte sollten im Ruhezustand verschlüsselt werden

[BedrockAgentCore.1] AgentCore Bedrock-Laufzeiten sollten mit dem VPC-Netzwerkmodus konfiguriert werden

[BedrockAgentCore.2] Bedrock AgentCore Gateways sollten eine Autorisierung für eingehende Anfragen benötigen

[BedrockAgentCore.3] Bedrock AgentCore Memory sollte verschlüsselt und vom Kunden verwaltet werdenAWS KMSkeys

[BedrockAgentCore.4] Bedrock AgentCore Gateway sollte verschlüsselt und vom Kunden verwaltet werdenAWS KMSkeys

[BedrockAgentCore.5] AgentCore Benutzerdefinierte Bedrock-Browser sollten den öffentlichen Netzwerkmodus nicht verwenden

[BedrockAgentCore.6] Für AgentCore benutzerdefinierte Bedrock-Browser sollte die Sitzungsaufzeichnung aktiviert sein

Bei [CloudFront.1] CloudFront Distributionen sollte ein Standard-Root-Objekt konfiguriert sein

[CloudFront.3] CloudFront Distributionen sollten während der Übertragung verschlüsselt werden müssen

[CloudFront.4] Bei CloudFront Distributionen sollte das Origin-Failover konfiguriert sein

[CloudFront.5] Bei CloudFront Distributionen sollte die Protokollierung aktiviert sein

[CloudFront.6] Bei CloudFront Distributionen sollte WAF aktiviert sein

[CloudFront.7] CloudFront Distributionen sollten benutzerdefinierte SSL/TLS Zertifikate verwenden

[CloudFront.8] CloudFront Distributionen sollten SNI verwenden, um HTTPS-Anfragen zu bearbeiten

[CloudFront.9] CloudFront Distributionen sollten den Datenverkehr zu benutzerdefinierten Ursprüngen verschlüsseln

[CloudFront.10] CloudFront Distributionen sollten keine veralteten SSL-Protokolle zwischen Edge-Standorten und benutzerdefinierten Ursprüngen verwenden

[CloudFront.12] CloudFront Distributionen sollten nicht auf nicht existierende S3-Ursprünge verweisen

[CloudFront.13] CloudFront Distributionen sollten die Origin-Zugriffskontrolle verwenden

[CloudFront.14] CloudFront Distributionen sollten markiert werden

[CloudFront.15] CloudFront Distributionen sollten die empfohlene TLS-Sicherheitsrichtlinie verwenden

[CloudFront.16] CloudFront Distributionen sollten die Origin-Zugriffskontrolle für die URL-Ursprünge der Lambda-Funktion verwenden

[CloudFront.17] CloudFront Distributionen sollten vertrauenswürdige Schlüsselgruppen für signierte URLs und Cookies verwenden

[CodeArtifact.1] CodeArtifact Repositorien sollten markiert werden

[CodeGuruProfiler.1] CodeGuru Profiler-Profiling-Gruppen sollten markiert werden

[CodeGuruReviewer.1] CodeGuru Reviewer-Repository-Verknüpfungen sollten markiert werden

[Connect.1] Objekttypen von Amazon Connect Customer Profiles sollten mit Tags versehen werden

[Connect.2] Connect Customer-Instanzen sollten die CloudWatch Protokollierung aktiviert haben

[Detective.1] Graphen zum Verhalten von Detektiven sollten markiert werden

[DMS.7] Bei DMS-Replikationsaufgaben für die Zieldatenbank sollte die Protokollierung aktiviert sein

[DMS.8] Bei DMS-Replikationsaufgaben für die Quelldatenbank sollte die Protokollierung aktiviert sein

[DMS.10] DMS-Endpunkte für Neptune-Datenbanken sollten die IAM-Autorisierung aktiviert haben

[DocumentDB.1] Amazon DocumentDB-Cluster sollten im Ruhezustand verschlüsselt werden

[DocumentDB.2] Amazon DocumentDB-Cluster sollten über eine angemessene Aufbewahrungsfrist für Backups verfügen

[DocumentDB.3] Manuelle Cluster-Snapshots von Amazon DocumentDB sollten nicht öffentlich sein

[DocumentDB.4] Amazon DocumentDB-Cluster sollten Auditprotokolle in Logs veröffentlichen CloudWatch

[DocumentDB.5] Bei Amazon DocumentDB-Clustern sollte der Löschschutz aktiviert sein

[DocumentDB.6] Amazon DocumentDB-Cluster sollten bei der Übertragung verschlüsselt werden

[DynamoDB.3] DynamoDB Accelerator (DAX) -Cluster sollten im Ruhezustand verschlüsselt werden

[DynamoDB.7] DynamoDB Accelerator-Cluster sollten bei der Übertragung verschlüsselt werden

[EC2.4] Gestoppte EC2-Instances sollten nach einem bestimmten Zeitraum entfernt werden

[EC2.14] Sicherheitsgruppen sollten ab Version 0.0.0 keinen Zugriff zulassen. 0/0 oder: :/0 zu Port 3389

[EC2.22] Unbenutzte Amazon EC2-Sicherheitsgruppen sollten entfernt werden

[EC2.23] Amazon EC2 Transit Gateways sollten VPC-Anhangsanforderungen nicht automatisch akzeptieren

[EC2.24] Paravirtuelle Amazon EC2 EC2-Instance-Typen sollten nicht verwendet werden

[EC2.55] VPCs sollten mit einem Schnittstellenendpunkt für die ECR-API konfiguriert werden

[EC2.56] VPCs sollten mit einem Schnittstellenendpunkt für Docker Registry konfiguriert werden

[EC2.57] VPCs sollten mit einem Schnittstellenendpunkt für Systems Manager konfiguriert werden

[EC2.58] VPCs sollten mit einem Schnittstellenendpunkt für Systems Manager Incident Manager-Kontakte konfiguriert werden

[EC2.60] VPCs sollten mit einem Schnittstellenendpunkt für Systems Manager Incident Manager konfiguriert werden

[EC2.173] EC2 Spot Fleet-Anfragen mit Startparametern sollten die Verschlüsselung für angehängte EBS-Volumes ermöglichen

[ECR.4] Öffentliche ECR-Repositorien sollten mit Tags versehen werden

[ELB.2] Classic Load Balancer mit SSL/HTTPS Listenern sollten ein Zertifikat verwenden, das bereitgestellt wird vonAWS Certificate Manager

Bei [ElastiCache.1] ElastiCache (Redis OSS) -Clustern sollten automatische Backups aktiviert sein

[ElastiCache.7] ElastiCache Cluster sollten nicht die Standard-Subnetzgruppe verwenden

[ElasticBeanstalk.1] Elastic Beanstalk Beanstalk-Umgebungen sollten erweiterte Gesundheitsberichte aktiviert haben

[FraudDetector.1] Entitätstypen von Amazon Fraud Detector sollten markiert werden

[FraudDetector.2] Amazon Fraud Detector Detector-Etiketten sollten gekennzeichnet sein

[FraudDetector.3] Die Ergebnisse von Amazon Fraud Detector sollten markiert werden

[FraudDetector.4] Amazon Fraud Detector Detector-Variablen sollten markiert werden

[GlobalAccelerator.1] Global Accelerator-Beschleuniger sollten markiert sein

[IAM.26] Abgelaufene SSL/TLS Zertifikate, die in IAM verwaltet werden, sollten entfernt werden

[Inspector.3] Das Scannen von Amazon Inspector Lambda-Code sollte aktiviert sein

[IoT.1]AWS IoT Device DefenderSicherheitsprofile sollten markiert werden

[IoT.2]AWS IoT CoreMaßnahmen zur Schadensbegrenzung sollten mit einem Tag versehen werden

[IoT.3]AWS IoT CoreDimensionen sollten mit Tags versehen werden

[IoT.4]AWS IoT CoreAutorisierer sollten markiert werden

[IoT.5]AWS IoT CoreRollenaliase sollten mit Tags versehen werden

[IoT.6]AWS IoT CoreRichtlinien sollten mit Tags versehen werden

[IoTEvents.1]AWSEingaben für IoT Events sollten markiert werden

[IoTEvents.2]AWSModelle mit IoT-Ereignisdetektoren sollten markiert werden

[IoTEvents.3]AWSAlarmmodelle für IoT Events sollten markiert werden

[IoTSiteWise.1]AWS SiteWise IoT-Asset-Modelle sollten markiert werden

[IoTSiteWise.2]AWS SiteWise IoT-Dashboards sollten mit Tags versehen werden

[IoTSiteWise.3]AWS SiteWise IoT-Gateways sollten markiert werden

[IoTSiteWise.4]AWS SiteWise IoT-Portale sollten mit Tags versehen werden

[IoTSiteWise.5]AWS SiteWise IoT-Projekte sollten markiert werden

[IoTTwinMaker.1]AWS TwinMaker IoT-Synchronisierungsjobs sollten markiert werden

[IoTTwinMaker.2]AWS TwinMaker IoT-Arbeitsbereiche sollten markiert werden

[IoTTwinMaker.3]AWS TwinMaker IoT-Szenen sollten markiert werden

[IoTTwinMaker.4]AWS TwinMaker IoT-Entitäten sollten markiert werden

[IoTWireless.1]AWSIoT-Wireless-Multicast-Gruppen sollten markiert werden

[IoTWireless.2]AWSIoT-Wireless-Dienstprofile sollten markiert werden

[IoTWireless.3]AWSIoT FUOTA-Aufgaben sollten markiert werden

[IVS.1] Schlüsselpaare für die IVS-Wiedergabe sollten markiert werden

[IVS.2] IVS-Aufnahmekonfigurationen sollten mit Tags versehen werden

[IVS.3] IVS-Kanäle sollten mit Tags versehen werden

[Keyspaces.1] Amazon Keyspaces-Keyspaces sollten markiert werden

[MSK.3] MSK Connect-Anschlüsse sollten bei der Übertragung verschlüsselt werden

[MSK.5] Für MSK-Konnektoren sollte die Protokollierung aktiviert sein

[RDS.31] RDS-DB-Sicherheitsgruppen sollten markiert werden

[RedshiftServerless.1] Serverlose Amazon Redshift Redshift-Arbeitsgruppen sollten erweitertes VPC-Routing verwenden

[RedshiftServerless.2] Für die Verwendung von SSL sollten Verbindungen zu Redshift Serverless-Arbeitsgruppen erforderlich sein

[RedshiftServerless.3] Redshift Serverless-Arbeitsgruppen sollten den öffentlichen Zugriff verbieten

[RedshiftServerless.4] Serverlose Redshift-Namespaces sollten verschlüsselt und vom Kunden verwaltet werdenAWS KMS keys

[RedshiftServerless.5] Redshift Serverless-Namespaces sollten nicht den Standard-Admin-Benutzernamen verwenden

[RedshiftServerless.6] Redshift Serverless Namespaces sollten Protokolle in Logs exportieren CloudWatch

[Route53.1] Route 53-Gesundheitschecks sollten markiert werden

[Route53.2] In öffentlich gehosteten Zonen von Route 53 sollten DNS-Abfragen protokolliert werden

[S3.24] Bei Multi-Region S3-Zugangspunkten sollten die Einstellungen zum Blockieren des öffentlichen Zugriffs aktiviert sein

[S3.25] S3-Verzeichnis-Buckets sollten Lebenszykluskonfigurationen haben

[SageMaker.16] SageMaker Modelle sollten eine private Registrierung in VPC für primäre Container verwenden

[SageMaker.19] SageMaker Modelle sollten eine private Registrierung in VPC für Inferenz-Pipelines mit mehreren Containern verwenden

[SSM.2] Von Systems Manager verwaltete Amazon EC2 EC2-Instances sollten nach einer Patch-Installation den Patch-Compliance-Status COMPLIANT haben

[SSM.3] Von Systems Manager verwaltete Amazon EC2 EC2-Instances sollten den Zuordnungs-Compliance-Status COMPLIANT haben

[WAF.1]AWS WAFDie klassische globale Web-ACL-Protokollierung sollte aktiviert sein

[WAF.3]AWS WAFKlassische regionale Regelgruppen sollten mindestens eine Regel haben

[WAF.6]AWS WAFKlassische globale Regeln sollten mindestens eine Bedingung haben

[WAF.7]AWS WAFKlassische globale Regelgruppen sollten mindestens eine Regel haben

[WAF.8]AWS WAFKlassische globale Web-ACLs sollten mindestens eine Regel oder Regelgruppe haben

[WAF.10]AWS WAFWeb-ACLs sollten mindestens eine Regel oder Regelgruppe haben

[WorkSpaces.1] WorkSpaces Benutzervolumes sollten im Ruhezustand verschlüsselt werden

[WorkSpaces.2] WorkSpaces Root-Volumes sollten im Ruhezustand verschlüsselt werden

[AppRunner.1] App Runner-Dienste sollten markiert sein

[AppRunner.2] App Runner VPC-Konnektoren sollten markiert werden

[AppSync.1]AWS AppSyncAPI-Caches sollten im Ruhezustand verschlüsselt werden

[AppSync.6]AWS AppSyncAPI-Caches sollten bei der Übertragung verschlüsselt werden

[BedrockAgentCore.3] Bedrock AgentCore Memory sollte verschlüsselt und vom Kunden verwaltet werdenAWS KMSkeys

Bei [CloudFront.1] CloudFront Distributionen sollte ein Standard-Root-Objekt konfiguriert sein

[CloudFront.3] CloudFront Distributionen sollten während der Übertragung verschlüsselt werden müssen

[CloudFront.4] Bei CloudFront Distributionen sollte das Origin-Failover konfiguriert sein

[CloudFront.5] Bei CloudFront Distributionen sollte die Protokollierung aktiviert sein

[CloudFront.6] Bei CloudFront Distributionen sollte WAF aktiviert sein

[CloudFront.7] CloudFront Distributionen sollten benutzerdefinierte SSL/TLS Zertifikate verwenden

[CloudFront.8] CloudFront Distributionen sollten SNI verwenden, um HTTPS-Anfragen zu bearbeiten

[CloudFront.9] CloudFront Distributionen sollten den Datenverkehr zu benutzerdefinierten Ursprüngen verschlüsseln

[CloudFront.10] CloudFront Distributionen sollten keine veralteten SSL-Protokolle zwischen Edge-Standorten und benutzerdefinierten Ursprüngen verwenden

[CloudFront.12] CloudFront Distributionen sollten nicht auf nicht existierende S3-Ursprünge verweisen

[CloudFront.13] CloudFront Distributionen sollten die Origin-Zugriffskontrolle verwenden

[CloudFront.14] CloudFront Distributionen sollten markiert werden

[CloudFront.15] CloudFront Distributionen sollten die empfohlene TLS-Sicherheitsrichtlinie verwenden

[CloudFront.16] CloudFront Distributionen sollten die Origin-Zugriffskontrolle für die URL-Ursprünge der Lambda-Funktion verwenden

[CloudFront.17] CloudFront Distributionen sollten vertrauenswürdige Schlüsselgruppen für signierte URLs und Cookies verwenden

[CodeArtifact.1] CodeArtifact Repositorien sollten markiert werden

[CodeGuruProfiler.1] CodeGuru Profiler-Profiling-Gruppen sollten markiert werden

[CodeGuruReviewer.1] CodeGuru Reviewer-Repository-Verknüpfungen sollten markiert werden

[Cognito.2] Cognito-Identitätspools sollten keine nicht authentifizierten Identitäten zulassen

[DynamoDB.3] DynamoDB Accelerator (DAX) -Cluster sollten im Ruhezustand verschlüsselt werden

[DynamoDB.7] DynamoDB Accelerator-Cluster sollten bei der Übertragung verschlüsselt werden

[EC2.24] Paravirtuelle Amazon EC2 EC2-Instance-Typen sollten nicht verwendet werden

[EC2.173] EC2 Spot Fleet-Anfragen mit Startparametern sollten die Verschlüsselung für angehängte EBS-Volumes ermöglichen

[EC2.180] Bei EC2-Netzwerkschnittstellen sollte die Überprüfung aktiviert sein source/destination

[ECR.4] Öffentliche ECR-Repositorien sollten mit Tags versehen werden

[ELB.18] Anwendungs- und Network Load Balancer Balancer-Listener sollten sichere Protokolle verwenden, um Daten während der Übertragung zu verschlüsseln

[FraudDetector.1] Entitätstypen von Amazon Fraud Detector sollten markiert werden

[FraudDetector.2] Amazon Fraud Detector Detector-Etiketten sollten gekennzeichnet sein

[FraudDetector.3] Die Ergebnisse von Amazon Fraud Detector sollten markiert werden

[FraudDetector.4] Amazon Fraud Detector Detector-Variablen sollten markiert werden

[GlobalAccelerator.1] Global Accelerator-Beschleuniger sollten markiert sein

[Glue.4]AWS GlueSpark-Jobs sollten auf unterstützten Versionen von ausgeführt werdenAWS Glue

[IAM.26] Abgelaufene SSL/TLS Zertifikate, die in IAM verwaltet werden, sollten entfernt werden

[Inspector.3] Das Scannen von Amazon Inspector Lambda-Code sollte aktiviert sein

[IoTTwinMaker.4]AWS TwinMaker IoT-Entitäten sollten markiert werden

[IoTWireless.1]AWSIoT-Wireless-Multicast-Gruppen sollten markiert werden

[IoTWireless.2]AWSIoT-Wireless-Dienstprofile sollten markiert werden

[IoTWireless.3]AWSIoT FUOTA-Aufgaben sollten markiert werden

[Lambda.7] Lambda-Funktionen sollten habenAWS X-Rayaktives Tracing aktiviert

[RDS.31] RDS-DB-Sicherheitsgruppen sollten markiert werden

[Redshift.18] Für Redshift-Cluster sollten Multi-AZ Bereitstellungen aktiviert sein

[Route53.1] Route 53-Gesundheitschecks sollten markiert werden

[Route53.2] In öffentlich gehosteten Zonen von Route 53 sollten DNS-Abfragen protokolliert werden

[S3.24] Bei Multi-Region S3-Zugangspunkten sollten die Einstellungen zum Blockieren des öffentlichen Zugriffs aktiviert sein

[S3.25] S3-Verzeichnis-Buckets sollten Lebenszykluskonfigurationen haben

[SageMaker.19] SageMaker Modelle sollten eine private Registrierung in VPC für Inferenz-Pipelines mit mehreren Containern verwenden

[SSM.6] Bei SSM Automation sollte die Protokollierung aktiviert sein CloudWatch

[SSM.7] Bei SSM-Dokumenten sollte die Einstellung „Öffentliches Teilen blockieren“ aktiviert sein

[WAF.1]AWS WAFDie klassische globale Web-ACL-Protokollierung sollte aktiviert sein

[WAF.6]AWS WAFKlassische globale Regeln sollten mindestens eine Bedingung haben

[WAF.7]AWS WAFKlassische globale Regelgruppen sollten mindestens eine Regel haben

[WAF.8]AWS WAFKlassische globale Web-ACLs sollten mindestens eine Regel oder Regelgruppe haben

[AppSync.1]AWS AppSyncAPI-Caches sollten im Ruhezustand verschlüsselt werden

[AppSync.6]AWS AppSyncAPI-Caches sollten bei der Übertragung verschlüsselt werden

Bei [CloudFront.1] CloudFront Distributionen sollte ein Standard-Root-Objekt konfiguriert sein

[CloudFront.3] CloudFront Distributionen sollten während der Übertragung verschlüsselt werden müssen

[CloudFront.4] Bei CloudFront Distributionen sollte das Origin-Failover konfiguriert sein

[CloudFront.5] Bei CloudFront Distributionen sollte die Protokollierung aktiviert sein

[CloudFront.6] Bei CloudFront Distributionen sollte WAF aktiviert sein

[CloudFront.7] CloudFront Distributionen sollten benutzerdefinierte SSL/TLS Zertifikate verwenden

[CloudFront.8] CloudFront Distributionen sollten SNI verwenden, um HTTPS-Anfragen zu bearbeiten

[CloudFront.9] CloudFront Distributionen sollten den Datenverkehr zu benutzerdefinierten Ursprüngen verschlüsseln

[CloudFront.10] CloudFront Distributionen sollten keine veralteten SSL-Protokolle zwischen Edge-Standorten und benutzerdefinierten Ursprüngen verwenden

[CloudFront.12] CloudFront Distributionen sollten nicht auf nicht existierende S3-Ursprünge verweisen

[CloudFront.13] CloudFront Distributionen sollten die Origin-Zugriffskontrolle verwenden

[CloudFront.14] CloudFront Distributionen sollten markiert werden

[CloudFront.15] CloudFront Distributionen sollten die empfohlene TLS-Sicherheitsrichtlinie verwenden

[CloudFront.16] CloudFront Distributionen sollten die Origin-Zugriffskontrolle für die URL-Ursprünge der Lambda-Funktion verwenden

[CloudFront.17] CloudFront Distributionen sollten vertrauenswürdige Schlüsselgruppen für signierte URLs und Cookies verwenden

[EC2.173] EC2 Spot Fleet-Anfragen mit Startparametern sollten die Verschlüsselung für angehängte EBS-Volumes ermöglichen

[ECR.4] Öffentliche ECR-Repositorien sollten mit Tags versehen werden

[GlobalAccelerator.1] Global Accelerator-Beschleuniger sollten markiert sein

[IAM.26] Abgelaufene SSL/TLS Zertifikate, die in IAM verwaltet werden, sollten entfernt werden

[IoTWireless.1]AWSIoT-Wireless-Multicast-Gruppen sollten markiert werden

[IoTWireless.2]AWSIoT-Wireless-Dienstprofile sollten markiert werden

[IoTWireless.3]AWSIoT FUOTA-Aufgaben sollten markiert werden

[IVS.1] Schlüsselpaare für die IVS-Wiedergabe sollten markiert werden

[IVS.2] IVS-Aufnahmekonfigurationen sollten mit Tags versehen werden

[IVS.3] IVS-Kanäle sollten mit Tags versehen werden

[Route53.1] Route 53-Gesundheitschecks sollten markiert werden

[Route53.2] In öffentlich gehosteten Zonen von Route 53 sollten DNS-Abfragen protokolliert werden

[S3.24] Bei Multi-Region S3-Zugangspunkten sollten die Einstellungen zum Blockieren des öffentlichen Zugriffs aktiviert sein

[S3.25] S3-Verzeichnis-Buckets sollten Lebenszykluskonfigurationen haben

[WAF.1]AWS WAFDie klassische globale Web-ACL-Protokollierung sollte aktiviert sein

[WAF.6]AWS WAFKlassische globale Regeln sollten mindestens eine Bedingung haben

[WAF.7]AWS WAFKlassische globale Regelgruppen sollten mindestens eine Regel haben

[WAF.8]AWS WAFKlassische globale Web-ACLs sollten mindestens eine Regel oder Regelgruppe haben

[AppSync.1]AWS AppSyncAPI-Caches sollten im Ruhezustand verschlüsselt werden

[AppSync.6]AWS AppSyncAPI-Caches sollten bei der Übertragung verschlüsselt werden

Bei [CloudFront.1] CloudFront Distributionen sollte ein Standard-Root-Objekt konfiguriert sein

[CloudFront.3] CloudFront Distributionen sollten während der Übertragung verschlüsselt werden müssen

[CloudFront.4] Bei CloudFront Distributionen sollte das Origin-Failover konfiguriert sein

[CloudFront.5] Bei CloudFront Distributionen sollte die Protokollierung aktiviert sein

[CloudFront.6] Bei CloudFront Distributionen sollte WAF aktiviert sein

[CloudFront.7] CloudFront Distributionen sollten benutzerdefinierte SSL/TLS Zertifikate verwenden

[CloudFront.8] CloudFront Distributionen sollten SNI verwenden, um HTTPS-Anfragen zu bearbeiten

[CloudFront.9] CloudFront Distributionen sollten den Datenverkehr zu benutzerdefinierten Ursprüngen verschlüsseln

[CloudFront.10] CloudFront Distributionen sollten keine veralteten SSL-Protokolle zwischen Edge-Standorten und benutzerdefinierten Ursprüngen verwenden

[CloudFront.12] CloudFront Distributionen sollten nicht auf nicht existierende S3-Ursprünge verweisen

[CloudFront.13] CloudFront Distributionen sollten die Origin-Zugriffskontrolle verwenden

[CloudFront.14] CloudFront Distributionen sollten markiert werden

[CloudFront.15] CloudFront Distributionen sollten die empfohlene TLS-Sicherheitsrichtlinie verwenden

[CloudFront.16] CloudFront Distributionen sollten die Origin-Zugriffskontrolle für die URL-Ursprünge der Lambda-Funktion verwenden

[CloudFront.17] CloudFront Distributionen sollten vertrauenswürdige Schlüsselgruppen für signierte URLs und Cookies verwenden

[EC2.173] EC2 Spot Fleet-Anfragen mit Startparametern sollten die Verschlüsselung für angehängte EBS-Volumes ermöglichen

[ECR.4] Öffentliche ECR-Repositorien sollten mit Tags versehen werden

[GlobalAccelerator.1] Global Accelerator-Beschleuniger sollten markiert sein

[IAM.26] Abgelaufene SSL/TLS Zertifikate, die in IAM verwaltet werden, sollten entfernt werden

[IVS.1] Schlüsselpaare für die IVS-Wiedergabe sollten markiert werden

[IVS.2] IVS-Aufnahmekonfigurationen sollten mit Tags versehen werden

[IVS.3] IVS-Kanäle sollten mit Tags versehen werden

[Route53.1] Route 53-Gesundheitschecks sollten markiert werden

[Route53.2] In öffentlich gehosteten Zonen von Route 53 sollten DNS-Abfragen protokolliert werden

[S3.24] Bei Multi-Region S3-Zugangspunkten sollten die Einstellungen zum Blockieren des öffentlichen Zugriffs aktiviert sein

[S3.25] S3-Verzeichnis-Buckets sollten Lebenszykluskonfigurationen haben

[WAF.1]AWS WAFDie klassische globale Web-ACL-Protokollierung sollte aktiviert sein

[WAF.6]AWS WAFKlassische globale Regeln sollten mindestens eine Bedingung haben

[WAF.7]AWS WAFKlassische globale Regelgruppen sollten mindestens eine Regel haben

[WAF.8]AWS WAFKlassische globale Web-ACLs sollten mindestens eine Regel oder Regelgruppe haben

[ACM.1] Importiert und ACM-issued Zertifikate sollten nach einem bestimmten Zeitraum erneuert werden

[ACM.2] Von ACM verwaltete RSA-Zertifikate sollten eine Schlüssellänge von mindestens 2.048 Bit verwenden

[ACM.3] ACM-Zertifikate sollten mit einem Tag versehen werden

[Account.1] Sicherheitskontaktinformationen sollten für eine bereitgestellt werdenAWS-Konto

[Account.2]AWS-Kontensollte Teil eines seinAWS OrganizationsOrganisation

[APIGateway.1] API Gateway REST und WebSocket API-Ausführungsprotokollierung sollten aktiviert sein

[APIGateway.2] API Gateway REST API-Stufen sollten so konfiguriert werden, dass sie SSL-Zertifikate für die Backend-Authentifizierung verwenden

[APIGateway.3] API Gateway REST API-Phasen solltenAWS X-RayAblaufverfolgung aktiviert

[APIGateway.4] API Gateway sollte mit einer WAF-Web-ACL verknüpft sein

[APIGateway.5] API Gateway REST API-Cache-Daten sollten im Ruhezustand verschlüsselt werden

[APIGateway.8] API-Gateway-Routen sollten einen Autorisierungstyp angeben

[APIGateway.9] Die Zugriffsprotokollierung sollte für API Gateway V2 Stages konfiguriert werden

[APIGateway.10] API Gateway V2-Integrationen sollten HTTPS für private Verbindungen verwenden

[APIGateway.11] API-Gateway-Domainnamen sollten empfohlene Sicherheitsrichtlinien verwenden

[Amplify.1] Amplify-Apps sollten markiert werden

[Amplify.2] Amplify-Zweige sollten markiert werden

[AppConfig.1]AWS AppConfigAnwendungen sollten markiert werden

[AppConfig.2]AWS AppConfigKonfigurationsprofile sollten mit Tags versehen werden

[AppConfig.3]AWS AppConfigUmgebungen sollten markiert werden

[AppConfig.4]AWS AppConfigErweiterungszuordnungen sollten mit Tags versehen werden

[AppFlow.1] AppFlow Amazon-Flows sollten markiert werden

[AppRunner.1] App Runner-Dienste sollten markiert sein

[AppRunner.2] App Runner VPC-Konnektoren sollten markiert werden

[AppSync.1]AWS AppSyncAPI-Caches sollten im Ruhezustand verschlüsselt werden

[AppSync.2]AWS AppSyncsollte die Protokollierung auf Feldebene aktiviert haben

[AppSync.4]AWS AppSyncGraphQL-APIs sollten markiert werden

[AppSync.5]AWS AppSyncGraphQL-APIs sollten nicht mit API-Schlüsseln authentifiziert werden

[AppSync.6]AWS AppSyncAPI-Caches sollten bei der Übertragung verschlüsselt werden

[Athena.2] Athena-Datenkataloge sollten markiert werden

[Athena.3] Athena-Arbeitsgruppen sollten markiert werden

[Athena.4] Bei Athena-Arbeitsgruppen sollte die Protokollierung aktiviert sein

[AutoScaling.1] Auto Scaling Scaling-Gruppen, die einem Load Balancer zugeordnet sind, sollten ELB-Zustandsprüfungen verwenden

[AutoScaling.2] Die Amazon EC2 Auto Scaling Scaling-Gruppe sollte mehrere Availability Zones abdecken

[AutoScaling.3] Auto Scaling Scaling-Gruppenstartkonfigurationen sollten EC2-Instances so konfigurieren, dass sie Instance Metadata Service Version 2 (IMDSv2) benötigen

[AutoScaling.6] Auto Scaling Scaling-Gruppen sollten mehrere Instanztypen in mehreren Availability Zones verwenden

[AutoScaling.9] Amazon EC2 Auto Scaling Scaling-Gruppen sollten Amazon EC2 EC2-Startvorlagen verwenden

[AutoScaling.10] EC2 Auto Scaling Scaling-Gruppen sollten markiert werden

[Autoscaling.5] Amazon EC2 EC2-Instances, die mit Auto Scaling Scaling-Gruppenstartkonfigurationen gestartet wurden, sollten keine öffentlichen IP-Adressen haben

[Backup.1]AWS BackupWiederherstellungspunkte sollten im Ruhezustand verschlüsselt werden

[Backup.2]AWS BackupWiederherstellungspunkte sollten markiert werden

[Backup.3]AWS BackupTresore sollten mit Tags versehen werden

[Backup.4]AWS BackupBerichtspläne sollten mit Tags versehen werden

[Backup.5]AWS BackupBackup-Pläne sollten mit einem Tag versehen werden

[Batch.1] Batch-Job-Warteschlangen sollten markiert werden

[Batch.2] Richtlinien zur Batch-Planung sollten markiert werden

[Batch.3] Batch-Computing-Umgebungen sollten markiert werden

[Batch.4] Eigenschaften von Rechenressourcen in verwalteten Batch-Computing-Umgebungen sollten markiert werden

[BedrockAgentCore.1] AgentCore Bedrock-Laufzeiten sollten mit dem VPC-Netzwerkmodus konfiguriert werden

[BedrockAgentCore.2] Bedrock AgentCore Gateways sollten eine Autorisierung für eingehende Anfragen benötigen

[BedrockAgentCore.3] Bedrock AgentCore Memory sollte verschlüsselt und vom Kunden verwaltet werdenAWS KMSkeys

[BedrockAgentCore.4] Bedrock AgentCore Gateway sollte verschlüsselt und vom Kunden verwaltet werdenAWS KMSkeys

[BedrockAgentCore.5] AgentCore Benutzerdefinierte Bedrock-Browser sollten den öffentlichen Netzwerkmodus nicht verwenden

[BedrockAgentCore.6] Für AgentCore benutzerdefinierte Bedrock-Browser sollte die Sitzungsaufzeichnung aktiviert sein

[CloudFormation.2] CloudFormation Stacks sollten markiert werden

Bei [CloudFormation.3] CloudFormation Stacks sollte der Kündigungsschutz aktiviert sein

[CloudFormation.4] CloudFormation Stacks sollten zugeordnete Servicerollen haben

Bei [CloudFront.1] CloudFront Distributionen sollte ein Standard-Root-Objekt konfiguriert sein

[CloudFront.3] CloudFront Distributionen sollten während der Übertragung verschlüsselt werden müssen

[CloudFront.4] Bei CloudFront Distributionen sollte das Origin-Failover konfiguriert sein

[CloudFront.5] Bei CloudFront Distributionen sollte die Protokollierung aktiviert sein

[CloudFront.6] Bei CloudFront Distributionen sollte WAF aktiviert sein

[CloudFront.7] CloudFront Distributionen sollten benutzerdefinierte SSL/TLS Zertifikate verwenden

[CloudFront.8] CloudFront Distributionen sollten SNI verwenden, um HTTPS-Anfragen zu bearbeiten

[CloudFront.9] CloudFront Distributionen sollten den Datenverkehr zu benutzerdefinierten Ursprüngen verschlüsseln

[CloudFront.10] CloudFront Distributionen sollten keine veralteten SSL-Protokolle zwischen Edge-Standorten und benutzerdefinierten Ursprüngen verwenden

[CloudFront.12] CloudFront Distributionen sollten nicht auf nicht existierende S3-Ursprünge verweisen

[CloudFront.13] CloudFront Distributionen sollten die Origin-Zugriffskontrolle verwenden

[CloudFront.14] CloudFront Distributionen sollten markiert werden

[CloudFront.15] CloudFront Distributionen sollten die empfohlene TLS-Sicherheitsrichtlinie verwenden

[CloudFront.16] CloudFront Distributionen sollten die Origin-Zugriffskontrolle für die URL-Ursprünge der Lambda-Funktion verwenden

[CloudFront.17] CloudFront Distributionen sollten vertrauenswürdige Schlüsselgruppen für signierte URLs und Cookies verwenden

[CloudTrail.6] Stellen Sie sicher, dass der zum Speichern von CloudTrail Protokollen verwendete S3-Bucket nicht öffentlich zugänglich ist

[CloudTrail.7] Stellen Sie sicher, dass die Protokollierung des S3-Bucket-Zugriffs auf dem CloudTrail S3-Bucket aktiviert ist

[CloudTrail.9] CloudTrail Pfade sollten markiert werden

[CloudTrail.10] Datenspeicher für Ereignisse in CloudTrail Lake sollten verschlüsselt und vom Kunden verwaltet werdenAWS KMS keys

[CloudWatch.17] CloudWatch Alarmaktionen sollten aktiviert sein

[CodeArtifact.1] CodeArtifact Repositorien sollten markiert werden

[CodeBuild.1] Die URLs des CodeBuild Bitbucket-Quell-Repositorys sollten keine vertraulichen Anmeldeinformationen enthalten

[CodeBuild.2] CodeBuild Projektumgebungsvariablen sollten keine Klartext-Anmeldeinformationen enthalten

[CodeBuild.3] CodeBuild S3-Protokolle sollten verschlüsselt sein

[CodeBuild.4] CodeBuild Projektumgebungen sollten über eine Protokollierung verfügenAWS ConfigDauer

[CodeBuild.7] Exporte von CodeBuild Berichtsgruppen sollten im Ruhezustand verschlüsselt werden

[CodeGuruProfiler.1] CodeGuru Profiler-Profiling-Gruppen sollten markiert werden

[CodeGuruReviewer.1] CodeGuru Reviewer-Repository-Verknüpfungen sollten markiert werden

[Cognito.1] In Cognito-Benutzerpools sollte der Bedrohungsschutz mit vollem Funktionsumfang für die Standardauthentifizierung aktiviert sein

[Cognito.2] Cognito-Identitätspools sollten keine nicht authentifizierten Identitäten zulassen

[Cognito.3] Passwortrichtlinien für Cognito-Benutzerpools sollten starke Konfigurationen haben

[Cognito.4] In Cognito-Benutzerpools sollte der Bedrohungsschutz mit vollem Funktionsumfang für die benutzerdefinierte Authentifizierung aktiviert sein

[Cognito.5] MFA sollte für Cognito-Benutzerpools aktiviert sein

[Cognito.6] In Cognito-Benutzerpools sollte der Löschschutz aktiviert sein

[Connect.1] Objekttypen von Amazon Connect Customer Profiles sollten mit Tags versehen werden

[Connect.2] Connect Customer-Instanzen sollten die CloudWatch Protokollierung aktiviert haben

[DataFirehose.1] Firehose-Lieferstreams sollten im Ruhezustand verschlüsselt werden

Bei [DataSync.1] DataSync Aufgaben sollte die Protokollierung aktiviert sein

[DataSync.2] DataSync Aufgaben sollten mit Tags versehen werden

[Detective.1] Graphen zum Verhalten von Detektiven sollten markiert werden

[DMS.1] Replikationsinstanzen des Database Migration Service sollten nicht öffentlich sein

[DMS.2] DMS-Zertifikate sollten markiert werden

[DMS.3] DMS-Veranstaltungsabonnements sollten mit einem Tag versehen werden

[DMS.4] DMS-Replikationsinstanzen sollten markiert werden

[DMS.5] Subnetzgruppen für die DMS-Replikation sollten markiert werden

[DMS.6] Für DMS-Replikationsinstanzen sollte das automatische Upgrade der Nebenversionen aktiviert sein

[DMS.7] Bei DMS-Replikationsaufgaben für die Zieldatenbank sollte die Protokollierung aktiviert sein

[DMS.8] Bei DMS-Replikationsaufgaben für die Quelldatenbank sollte die Protokollierung aktiviert sein

[DMS.9] DMS-Endpunkte sollten SSL verwenden

[DMS.10] DMS-Endpunkte für Neptune-Datenbanken sollten die IAM-Autorisierung aktiviert haben

[DMS.11] DMS-Endpunkte für MongoDB sollten einen Authentifizierungsmechanismus aktiviert haben

[DMS.12] Auf DMS-Endpunkten für Redis OSS sollte TLS aktiviert sein

[DMS.13] DMS-Replikationsinstanzen sollten so konfiguriert werden, dass sie mehrere Availability Zones verwenden

[DocumentDB.1] Amazon DocumentDB-Cluster sollten im Ruhezustand verschlüsselt werden

[DocumentDB.2] Amazon DocumentDB-Cluster sollten über eine angemessene Aufbewahrungsfrist für Backups verfügen

[DocumentDB.3] Manuelle Cluster-Snapshots von Amazon DocumentDB sollten nicht öffentlich sein

[DocumentDB.4] Amazon DocumentDB-Cluster sollten Auditprotokolle in Logs veröffentlichen CloudWatch

[DocumentDB.5] Bei Amazon DocumentDB-Clustern sollte der Löschschutz aktiviert sein

[DocumentDB.6] Amazon DocumentDB-Cluster sollten bei der Übertragung verschlüsselt werden

[DynamoDB.3] DynamoDB Accelerator (DAX) -Cluster sollten im Ruhezustand verschlüsselt werden

[DynamoDB.4] DynamoDB-Tabellen sollten in einem Backup-Plan vorhanden sein

[DynamoDB.5] DynamoDB-Tabellen sollten markiert werden

[DynamoDB.6] Bei DynamoDB-Tabellen sollte der Löschschutz aktiviert sein

[DynamoDB.7] DynamoDB Accelerator-Cluster sollten bei der Übertragung verschlüsselt werden

[EC2.4] Gestoppte EC2-Instances sollten nach einem bestimmten Zeitraum entfernt werden

[EC2.10] Amazon EC2 sollte für die Verwendung von VPC-Endpunkten konfiguriert werden, die für den Amazon EC2-Service erstellt wurden

[EC2.19] Sicherheitsgruppen sollten keinen uneingeschränkten Zugriff auf Ports mit hohem Risiko zulassen

[EC2.21] Netzwerk-ACLs sollten ab Version 0.0.0 keinen Zugriff mehr zulassen. 0/0 zu Port 22 oder Port 3389

[EC2.22] Unbenutzte Amazon EC2-Sicherheitsgruppen sollten entfernt werden

[EC2.23] Amazon EC2 Transit Gateways sollten VPC-Anhangsanforderungen nicht automatisch akzeptieren

[EC2.24] Paravirtuelle Amazon EC2 EC2-Instance-Typen sollten nicht verwendet werden

[EC2.25] Amazon EC2 EC2-Startvorlagen sollten Netzwerkschnittstellen keine öffentlichen IPs zuweisen

[EC2.28] EBS-Volumes sollten durch einen Backup-Plan abgedeckt sein

[EC2.33] EC2 Transit Gateway-Anhänge sollten mit Tags versehen werden

[EC2.34] Die EC2-Transit-Gateway-Routentabellen sollten mit Tags versehen werden

[EC2.35] EC2-Netzwerkschnittstellen sollten markiert werden

[EC2.36] EC2-Kunden-Gateways sollten markiert werden

[EC2.37] EC2-Elastic-IP-Adressen sollten mit Tags versehen werden

[EC2.38] EC2-Instances sollten markiert werden

[EC2.39] EC2-Internet-Gateways sollten markiert werden

[EC2.40] EC2-NAT-Gateways sollten markiert werden

[EC2.41] EC2-Netzwerk-ACLs sollten markiert werden

[EC2.42] EC2-Routing-Tabellen sollten mit Tags versehen werden

[EC2.43] EC2-Sicherheitsgruppen sollten markiert werden

[EC2.44] EC2-Subnetze sollten markiert werden

[EC2.45] EC2-Volumes sollten markiert werden

[EC2.46] Amazon VPCs sollten markiert werden

[EC2.47] Amazon VPC Endpoint Services sollten markiert werden

[EC2.48] Amazon VPC-Flow-Logs sollten markiert werden

[EC2.49] Amazon VPC-Peering-Verbindungen sollten markiert werden

[EC2.50] EC2-VPN-Gateways sollten markiert werden

[EC2.51] Bei EC2-Client-VPN-Endpunkten sollte die Client-Verbindungsprotokollierung aktiviert sein

[EC2.52] EC2-Transit-Gateways sollten markiert werden

[EC2.53] EC2-Sicherheitsgruppen sollten keinen Zugriff ab Version 0.0.0 zulassen. 0/0 zu den Verwaltungsports des Remoteservers

[EC2.54] EC2-Sicherheitsgruppen sollten keinen Zugriff von: :/0 zu Remote-Serveradministrationsports zulassen

[EC2.55] VPCs sollten mit einem Schnittstellenendpunkt für die ECR-API konfiguriert werden

[EC2.56] VPCs sollten mit einem Schnittstellenendpunkt für Docker Registry konfiguriert werden

[EC2.57] VPCs sollten mit einem Schnittstellenendpunkt für Systems Manager konfiguriert werden

[EC2.58] VPCs sollten mit einem Schnittstellenendpunkt für Systems Manager Incident Manager-Kontakte konfiguriert werden

[EC2.60] VPCs sollten mit einem Schnittstellenendpunkt für Systems Manager Incident Manager konfiguriert werden

[EC2.170] EC2-Startvorlagen sollten Instance Metadata Service Version 2 (IMDSv2) verwenden

[EC2.171] Bei EC2-VPN-Verbindungen sollte die Protokollierung aktiviert sein

[EC2.172] Die EC2 VPC Block Public Access-Einstellungen sollten den Internet-Gateway-Verkehr blockieren

[EC2.173] EC2 Spot Fleet-Anfragen mit Startparametern sollten die Verschlüsselung für angehängte EBS-Volumes ermöglichen

[EC2.174] EC2-DHCP-Optionssätze sollten mit Tags versehen werden

[EC2.175] EC2-Startvorlagen sollten mit Tags versehen werden

[EC2.176] EC2-Präfixlisten sollten mit Tags versehen werden

[EC2.177] EC2-Traffic-Mirror-Sitzungen sollten mit Tags versehen werden

[EC2.178] EC2-Traffic-Spiegelfilter sollten mit Tags versehen werden

[EC2.179] EC2-Traffic-Mirror-Ziele sollten markiert werden

[EC2.180] Bei EC2-Netzwerkschnittstellen sollte die Überprüfung aktiviert sein source/destination

[EC2.181] EC2-Startvorlagen sollten die Verschlüsselung für angehängte EBS-Volumes ermöglichen

[EC2.182] Einstellungen für den öffentlichen Zugriff blockieren sollten für Amazon EBS-Snapshots aktiviert sein

[EC2.183] EC2-VPN-Verbindungen sollten das IKEv2-Protokoll verwenden

[ECR.1] Bei privaten ECR-Repositorys sollte das Scannen von Bildern konfiguriert sein

[ECR.2] Für private ECR-Repositorys sollte die Tag-Unveränderlichkeit konfiguriert sein

[ECR.3] Für ECR-Repositorys sollte mindestens eine Lebenszyklusrichtlinie konfiguriert sein

[ECR.4] Öffentliche ECR-Repositorien sollten mit Tags versehen werden

[ECR.5] ECR-Repositorys sollten verschlüsselt und vom Kunden verwaltet werdenAWS KMS keys

[ECS.2] ECS-Diensten sollten nicht automatisch öffentliche IP-Adressen zugewiesen werden

[ECS.3] ECS-Aufgabendefinitionen sollten den Prozess-Namespace des Hosts nicht gemeinsam nutzen

[ECS.4] ECS-Container sollten ohne Zugriffsrechte ausgeführt werden

[ECS.5] ECS-Aufgabendefinitionen sollten Container so konfigurieren, dass sie auf den schreibgeschützten Zugriff auf Root-Dateisysteme beschränkt sind

[ECS.8] Geheimnisse sollten nicht als Container-Umgebungsvariablen übergeben werden

[ECS.9] ECS-Aufgabendefinitionen sollten über eine Protokollierungskonfiguration verfügen

[ECS.10] ECS Fargate-Dienste sollten auf der neuesten Fargate-Plattformversion laufen

[ECS.12] ECS-Cluster sollten Container Insights verwenden

[ECS.13] ECS-Services sollten markiert werden

[ECS.14] ECS-Cluster sollten markiert werden

[ECS.15] ECS-Aufgabendefinitionen sollten mit Tags versehen werden

[ECS.16] ECS-Aufgabensätze sollten öffentliche IP-Adressen nicht automatisch zuweisen

[ECS.17] ECS-Aufgabendefinitionen sollten nicht den Host-Netzwerkmodus verwenden

[ECS.18] ECS-Aufgabendefinitionen sollten die Verschlüsselung während der Übertragung für EFS-Volumes verwenden

[ECS.19] ECS-Kapazitätsanbieter sollten den Managed Termination Protection aktiviert haben

[ECS.20] ECS-Aufgabendefinitionen sollten Benutzer, die keine Root-Benutzer sind, in Linux-Container-Definitionen konfigurieren

[ECS.21] ECS-Aufgabendefinitionen sollten Benutzer ohne Administratorrechte in Windows-Containerdefinitionen konfigurieren

[EFS.1] Elastic File System sollte so konfiguriert sein, dass es Dateidaten im Ruhezustand verschlüsseltAWS KMS

[EFS.2] Amazon EFS-Volumes sollten in Backup-Plänen enthalten sein

[EFS.3] EFS-Zugriffspunkte sollten ein Stammverzeichnis erzwingen

[EFS.4] EFS-Zugriffspunkte sollten eine Benutzeridentität erzwingen

[EFS.5] EFS-Zugangspunkte sollten markiert werden

[EFS.6] EFS-Mount-Ziele sollten nicht mit Subnetzen verknüpft werden, die beim Start öffentliche IP-Adressen zuweisen

[EFS.7] Bei EFS-Dateisystemen sollten automatische Backups aktiviert sein

[EFS.8] EFS-Dateisysteme sollten im Ruhezustand verschlüsselt werden

[EKS.1] EKS-Cluster-Endpunkte sollten nicht öffentlich zugänglich sein

[EKS.2] EKS-Cluster sollten auf einer unterstützten Kubernetes-Version ausgeführt werden

[EKS.3] EKS-Cluster sollten verschlüsselte Kubernetes-Geheimnisse verwenden

[EKS.6] EKS-Cluster sollten markiert werden

[EKS.7] Die Konfigurationen des EKS-Identitätsanbieters sollten mit Tags versehen werden

[EKS.8] Bei EKS-Clustern sollte die Audit-Protokollierung aktiviert sein

[EKS.9] EKS-Knotengruppen sollten auf einer unterstützten Kubernetes-Version ausgeführt werden

[ELB.2] Classic Load Balancer mit SSL/HTTPS Listenern sollten ein Zertifikat verwenden, das bereitgestellt wird vonAWS Certificate Manager

[ELB.3] Classic Load Balancer Balancer-Listener sollten mit HTTPS- oder TLS-Terminierung konfiguriert werden

[ELB.7] Bei Classic Load Balancers sollte der Verbindungsabbau aktiviert sein

[ELB.8] Classic Load Balancer mit SSL-Listenern sollten eine vordefinierte Sicherheitsrichtlinie mit starkenAWS ConfigDauer

[ELB.10] Classic Load Balancer sollte sich über mehrere Availability Zones erstrecken

[ELB.12] Der Application Load Balancer sollte mit einem defensiven oder strengsten Desync-Minimationsmodus konfiguriert werden

[ELB.13] Anwendungs-, Netzwerk- und Gateway-Load Balancer sollten sich über mehrere Availability Zones erstrecken

[ELB.14] Classic Load Balancer sollte mit einem defensiven oder strengsten Desync-Minimationsmodus konfiguriert werden

[ELB.16] Application Load Balancers sollten mit einem verknüpft seinAWS WAFWeb-ACL

[ELB.17] Anwendungs- und Netzwerk-Load-Balancer mit Listenern sollten die empfohlenen Sicherheitsrichtlinien verwenden

[ELB.18] Anwendungs- und Network Load Balancer Balancer-Listener sollten sichere Protokolle verwenden, um Daten während der Übertragung zu verschlüsseln

[ELB.21] Anwendungs- und Network Load Balancer Balancer-Zielgruppen sollten verschlüsselte Health Check-Protokolle verwenden

[ELB.22] ELB-Zielgruppen sollten verschlüsselte Transportprotokolle verwenden

Bei [ElastiCache.1] ElastiCache (Redis OSS) -Clustern sollten automatische Backups aktiviert sein

[ElastiCache.2] Bei ElastiCache Clustern sollten automatische Upgrades für kleinere Versionen aktiviert sein

[ElastiCache.3] Für ElastiCache Replikationsgruppen sollte der automatische Failover aktiviert sein

[ElastiCache.4] ElastiCache Replikationsgruppen sollten im Ruhezustand verschlüsselt werden

[ElastiCache.5] ElastiCache Replikationsgruppen sollten bei der Übertragung verschlüsselt werden

[ElastiCache.6] ElastiCache (Redis OSS) -Replikationsgruppen früherer Versionen sollten Redis OSS AUTH aktiviert haben

[ElastiCache.7] ElastiCache Cluster sollten nicht die Standard-Subnetzgruppe verwenden

[ElasticBeanstalk.1] Elastic Beanstalk Beanstalk-Umgebungen sollten erweiterte Gesundheitsberichte aktiviert haben

[ElasticBeanstalk.2] Von Elastic Beanstalk verwaltete Plattformupdates sollten aktiviert sein

[ElasticBeanstalk.3] Elastic Beanstalk sollte Logs streamen nach CloudWatch

[EMR.1] Primäre Amazon EMR-Clusterknoten sollten keine öffentlichen IP-Adressen haben

[EMR.2] Die Einstellung Amazon EMR Block Public Access sollte aktiviert sein

[EMR.3] Amazon EMR-Sicherheitskonfigurationen sollten im Ruhezustand verschlüsselt werden

[EMR.4] Amazon EMR-Sicherheitskonfigurationen sollten bei der Übertragung verschlüsselt werden

[ES.1] Für Elasticsearch-Domains sollte die Verschlüsselung im Ruhezustand aktiviert sein

[ES.2] Elasticsearch-Domains sollten nicht öffentlich zugänglich sein

[ES.3] Elasticsearch-Domains sollten Daten verschlüsseln, die zwischen Knoten gesendet werden

[ES.4] Die Elasticsearch-Domain-Fehlerprotokollierung in Logs sollte aktiviert sein CloudWatch

[ES.5] Für Elasticsearch-Domains sollte die Audit-Protokollierung aktiviert sein

[ES.6] Elasticsearch-Domains sollten mindestens drei Datenknoten haben

[ES.7] Elasticsearch-Domains sollten mit mindestens drei dedizierten Master-Knoten konfiguriert werden

[ES.8] Verbindungen zu Elasticsearch-Domains sollten mit der neuesten TLS-Sicherheitsrichtlinie verschlüsselt werden

[ES.9] Elasticsearch-Domains sollten markiert werden

[EventBridge.2] EventBridge Eventbusse sollten gekennzeichnet sein

[EventBridge.3] An EventBridge benutzerdefinierte Eventbusse sollte eine ressourcenbasierte Richtlinie angehängt werden

[EventBridge.4] Auf EventBridge globalen Endpunkten sollte die Ereignisreplikation aktiviert sein

[FraudDetector.1] Entitätstypen von Amazon Fraud Detector sollten markiert werden

[FraudDetector.2] Amazon Fraud Detector Detector-Etiketten sollten gekennzeichnet sein

[FraudDetector.3] Die Ergebnisse von Amazon Fraud Detector sollten markiert werden

[FraudDetector.4] Amazon Fraud Detector Detector-Variablen sollten markiert werden

[FSx.1] FSx für OpenZFS-Dateisysteme sollte so konfiguriert sein, dass Tags auf Backups und Volumes kopiert werden

[FSx.2] FSx for Lustre-Dateisysteme sollten so konfiguriert sein, dass Tags in Backups kopiert werden

[FSx.3] FSx für OpenZFS-Dateisysteme sollte für die Bereitstellung konfiguriert sein Multi-AZ

[FSx.4] FSx für NetApp ONTAP-Dateisysteme sollte für die Bereitstellung konfiguriert sein Multi-AZ

[FSx.5] FSx for Windows File Server Server-Dateisysteme sollten für Multi-AZ die Bereitstellung konfiguriert sein

[GlobalAccelerator.1] Global Accelerator-Beschleuniger sollten markiert sein

[Glue.1]AWS GlueJobs sollten markiert werden

[Glue.3]AWS GlueTransformationen für maschinelles Lernen sollten im Ruhezustand verschlüsselt werden

[Glue.4]AWS GlueSpark-Jobs sollten auf unterstützten Versionen von ausgeführt werdenAWS Glue

[GuardDuty.1] GuardDuty sollte aktiviert sein

[GuardDuty.2] GuardDuty Filter sollten mit Tags versehen sein

[GuardDuty.3] GuardDuty IPSets sollten markiert werden

[GuardDuty.4] GuardDuty Detektoren sollten markiert werden

[GuardDuty.5] GuardDuty EKS Audit Log Monitoring sollte aktiviert sein

[GuardDuty.6] GuardDuty Lambda Protection sollte aktiviert sein

[GuardDuty.7] GuardDuty EKS Runtime Monitoring sollte aktiviert sein

[GuardDuty.8] Der GuardDuty Malware-Schutz für EC2 sollte aktiviert sein

[GuardDuty.9] GuardDuty RDS-Schutz sollte aktiviert sein

[GuardDuty.10] GuardDuty S3-Schutz sollte aktiviert sein

[GuardDuty.11] GuardDuty Runtime Monitoring sollte aktiviert sein

[GuardDuty.12] GuardDuty ECS Runtime Monitoring sollte aktiviert sein

[GuardDuty.13] GuardDuty EC2 Runtime Monitoring sollte aktiviert sein

[IAM.1] IAM-Richtlinien sollten keine vollen „*“ -Administratorrechte zulassen

[IAM.2] IAM-Benutzern sollten keine IAM-Richtlinien zugeordnet sein

[IAM.3] Die Zugriffsschlüssel von IAM-Benutzern sollten alle 90 Tage oder weniger gewechselt werden

[IAM.4] Der IAM-Root-Benutzerzugriffsschlüssel sollte nicht existieren

[IAM.5] MFA sollte für alle IAM-Benutzer aktiviert sein, die ein Konsolenpasswort haben

[IAM.6] Hardware-MFA sollte für den Root-Benutzer aktiviert sein

[IAM.7] Die Kennwortrichtlinien für IAM-Benutzer sollten stark konfiguriert sein

[IAM.8] Unbenutzte IAM-Benutzeranmeldedaten sollten entfernt werden

[IAM.9] MFA sollte für den Root-Benutzer aktiviert sein

[IAM.10] Die Kennwortrichtlinien für IAM-Benutzer sollten stark konfiguriert sein

[IAM.11] Stellen Sie sicher, dass die IAM-Passwortrichtlinie mindestens einen Großbuchstaben erfordert

[IAM.12] Stellen Sie sicher, dass die IAM-Passwortrichtlinie mindestens einen Kleinbuchstaben erfordert

[IAM.13] Stellen Sie sicher, dass für die IAM-Passwortrichtlinie mindestens ein Symbol erforderlich ist

[IAM.14] Stellen Sie sicher, dass die IAM-Passwortrichtlinie mindestens eine Zahl erfordert

[IAM.15] Stellen Sie sicher, dass die IAM-Passwortrichtlinie eine Mindestkennwortlänge von 14 oder mehr erfordert

[IAM.16] Stellen Sie sicher, dass die IAM-Kennwortrichtlinie die Wiederverwendung von Passwörtern

[IAM.17] Stellen Sie sicher, dass die IAM-Passwortrichtlinie Passwörter innerhalb von 90 Tagen oder weniger abläuft

[IAM.18] Stellen Sie sicher, dass eine Support-Rolle für die Verwaltung von Vorfällen eingerichtet wurdeAWS Support

[IAM.19] MFA sollte für alle IAM-Benutzer aktiviert sein

[IAM.21] Kundenverwaltete IAM-Richtlinien, die Sie erstellen, sollten keine Platzhalteraktionen für Dienste zulassen

[IAM.22] IAM-Benutzeranmeldedaten, die 45 Tage lang nicht verwendet wurden, sollten entfernt werden

[IAM.23] IAM Access Analyzer-Analyzer sollten gekennzeichnet sein

[IAM.24] IAM-Rollen sollten mit Tags versehen werden

[IAM.25] IAM-Benutzer sollten markiert werden

[IAM.26] Abgelaufene SSL/TLS Zertifikate, die in IAM verwaltet werden, sollten entfernt werden

[IAM.27] IAM-Identitäten sollte die Richtlinie nicht angehängt sein AWSCloudShellFullAccess

[IAM.28] Der externe Zugriffsanalysator von IAM Access Analyzer sollte aktiviert sein

[Inspector.1] Amazon Inspector EC2-Scannen sollte aktiviert sein

[Inspector.2] Amazon Inspector ECR-Scannen sollte aktiviert sein

[Inspector.3] Das Scannen von Amazon Inspector Lambda-Code sollte aktiviert sein

[Inspector.4] Das Standardscannen von Amazon Inspector Lambda sollte aktiviert sein

[IoT.1]AWS IoT Device DefenderSicherheitsprofile sollten markiert werden

[IoT.2]AWS IoT CoreMaßnahmen zur Schadensbegrenzung sollten mit einem Tag versehen werden

[IoT.3]AWS IoT CoreDimensionen sollten mit Tags versehen werden

[IoT.4]AWS IoT CoreAutorisierer sollten markiert werden

[IoT.5]AWS IoT CoreRollenaliase sollten mit Tags versehen werden

[IoT.6]AWS IoT CoreRichtlinien sollten mit Tags versehen werden

[IoTEvents.1]AWSEingaben für IoT Events sollten markiert werden

[IoTEvents.2]AWSModelle mit IoT-Ereignisdetektoren sollten markiert werden

[IoTEvents.3]AWSAlarmmodelle für IoT Events sollten markiert werden

[IoTSiteWise.1]AWS SiteWise IoT-Asset-Modelle sollten markiert werden

[IoTSiteWise.2]AWS SiteWise IoT-Dashboards sollten mit Tags versehen werden

[IoTSiteWise.3]AWS SiteWise IoT-Gateways sollten markiert werden

[IoTSiteWise.4]AWS SiteWise IoT-Portale sollten mit Tags versehen werden

[IoTSiteWise.5]AWS SiteWise IoT-Projekte sollten markiert werden

[IoTTwinMaker.1]AWS TwinMaker IoT-Synchronisierungsjobs sollten markiert werden

[IoTTwinMaker.2]AWS TwinMaker IoT-Arbeitsbereiche sollten markiert werden

[IoTTwinMaker.3]AWS TwinMaker IoT-Szenen sollten markiert werden

[IoTTwinMaker.4]AWS TwinMaker IoT-Entitäten sollten markiert werden

[IoTWireless.1]AWSIoT-Wireless-Multicast-Gruppen sollten markiert werden

[IoTWireless.2]AWSIoT-Wireless-Dienstprofile sollten markiert werden

[IoTWireless.3]AWSIoT FUOTA-Aufgaben sollten markiert werden

[IVS.1] Schlüsselpaare für die IVS-Wiedergabe sollten markiert werden

[IVS.2] IVS-Aufnahmekonfigurationen sollten mit Tags versehen werden

[IVS.3] IVS-Kanäle sollten mit Tags versehen werden

[Keyspaces.1] Amazon Keyspaces-Keyspaces sollten markiert werden

[Kinesis.1] Kinesis-Streams sollten im Ruhezustand verschlüsselt werden

[Kinesis.2] Kinesis-Streams sollten markiert werden

[Kinesis.3] Kinesis-Streams sollten über eine angemessene Datenaufbewahrungsfrist verfügen

[KMS.1] Kundenverwaltete IAM-Richtlinien sollten keine Entschlüsselungsaktionen für alle KMS-Schlüssel zulassen

[KMS.2] IAM-Prinzipale sollten keine IAM-Inline-Richtlinien haben, die Entschlüsselungsaktionen für alle KMS-Schlüssel zulassen

[KMS.3]AWS KMS keyssollte nicht unbeabsichtigt gelöscht werden

[KMS.5] KMS-Schlüssel sollten nicht öffentlich zugänglich sein

[Lambda.5] VPC-Lambda-Funktionen sollten in mehreren Availability Zones funktionieren

[Lambda.6] Lambda-Funktionen sollten markiert werden

[Lambda.7] Lambda-Funktionen sollten habenAWS X-Rayaktives Tracing aktiviert

[Macie.1] Amazon Macie sollte aktiviert sein

[Macie.2] Die automatische Erkennung sensibler Daten durch Macie sollte aktiviert sein

[MQ.2] ActiveMQ-Broker sollten Audit-Logs streamen an CloudWatch

[MQ.4] Amazon MQ-Broker sollten markiert werden

[MQ.5] ActiveMQ-Broker sollten den Bereitstellungsmodus verwenden active/standby

[MQ.6] RabbitMQ-Broker sollten den Cluster-Bereitstellungsmodus verwenden

[MSK.1] MSK-Cluster sollten bei der Übertragung zwischen Broker-Knoten verschlüsselt werden

[MSK.2] Für MSK-Cluster sollte die erweiterte Überwachung konfiguriert sein

[MSK.3] MSK Connect-Anschlüsse sollten bei der Übertragung verschlüsselt werden

[MSK.4] Bei MSK-Clustern sollte der öffentliche Zugriff deaktiviert sein

[MSK.5] Für MSK-Konnektoren sollte die Protokollierung aktiviert sein

[MSK.6] MSK-Cluster sollten den nicht authentifizierten Zugriff deaktivieren

[Neptune.1] Neptune-DB-Cluster sollten im Ruhezustand verschlüsselt werden

[Neptune.2] Neptune-DB-Cluster sollten Audit-Logs in Logs veröffentlichen CloudWatch

[Neptune.3] Neptune DB-Cluster-Snapshots sollten nicht öffentlich sein

[Neptune.4] Bei Neptune-DB-Clustern sollte der Löschschutz aktiviert sein

[Neptune.5] Bei Neptune-DB-Clustern sollten automatische Backups aktiviert sein

[Neptune.6] Neptune DB-Cluster-Snapshots sollten im Ruhezustand verschlüsselt werden

[Neptune.7] Neptune-DB-Cluster sollten die IAM-Datenbankauthentifizierung aktiviert haben

[Neptune.8] Neptune-DB-Cluster sollten so konfiguriert sein, dass sie Tags in Snapshots kopieren

[Neptune.9] Neptune-DB-Cluster sollten in mehreren Availability Zones bereitgestellt werden

[NetworkFirewall.1] Netzwerk-Firewall-Firewalls sollten in mehreren Availability Zones eingesetzt werden

[NetworkFirewall.2] Die Netzwerk-Firewall-Protokollierung sollte aktiviert sein

[NetworkFirewall.3] Netzwerk-Firewall-Richtlinien sollten mindestens eine Regelgruppe zugeordnet sein

[NetworkFirewall.4] Die standardmäßige statuslose Aktion für Netzwerk-Firewall-Richtlinien sollte für vollständige Pakete Drop oder Forward sein

[NetworkFirewall.5] Die standardmäßige statuslose Aktion für Netzwerk-Firewall-Richtlinien sollte für fragmentierte Pakete Drop oder Forward sein

[NetworkFirewall.6] Die Regelgruppe Stateless Network Firewall sollte nicht leer sein

[NetworkFirewall.7] Netzwerk-Firewall-Firewalls sollten markiert werden

[NetworkFirewall.8] Firewall-Richtlinien für Netzwerk-Firewalls sollten markiert werden

[NetworkFirewall.9] Bei Netzwerk-Firewall-Firewalls sollte der Löschschutz aktiviert sein

[NetworkFirewall.10] Bei Netzwerk-Firewall-Firewalls sollte der Subnetzänderungsschutz aktiviert sein

Bei [Opensearch.1] OpenSearch Domänen sollte die Verschlüsselung im Ruhezustand aktiviert sein

[Opensearch.2] OpenSearch Domains sollten nicht öffentlich zugänglich sein

[Opensearch.3] OpenSearch Domains sollten Daten verschlüsseln, die zwischen Knoten gesendet werden

[Opensearch.4] OpenSearch Die Protokollierung von Domain-Fehlern in Logs sollte aktiviert sein CloudWatch

[Opensearch.5] Für OpenSearch Domains sollte die Audit-Protokollierung aktiviert sein

[Opensearch.6] OpenSearch Domains sollten mindestens drei Datenknoten haben

Bei [Opensearch.7] OpenSearch Domänen sollte eine differenzierte Zugriffskontrolle aktiviert sein

[Opensearch.8] Verbindungen zu OpenSearch Domains sollten mit der neuesten TLS-Sicherheitsrichtlinie verschlüsselt werden

[Opensearch.9] OpenSearch Domains sollten mit Tags versehen werden

Auf [Opensearch.10] OpenSearch Domains sollte das neueste Softwareupdate installiert sein

[Opensearch.11] OpenSearch Domains sollten mindestens drei dedizierte Primärknoten haben

[PCA.1]AWS Private CADie Stammzertifizierungsstelle sollte deaktiviert sein

[PCA.2]AWSPrivate Zertifizierungsstellen sollten markiert werden

[RDS.14] Bei Amazon Aurora Aurora-Clustern sollte Backtracking aktiviert sein

[RDS.16] Aurora-DB-Cluster sollten so konfiguriert sein, dass sie Tags in DB-Snapshots kopieren

[RDS.17] RDS-DB-Instances sollten so konfiguriert sein, dass sie Tags in Snapshots kopieren

[RDS.19] Bestehende Abonnements für RDS-Ereignisbenachrichtigungen sollten für kritische Clusterereignisse konfiguriert werden

[RDS.20] Bestehende Abonnements für RDS-Ereignisbenachrichtigungen sollten für kritische Ereignisse der Datenbankinstanz konfiguriert werden

[RDS.21] Ein Abonnement für RDS-Ereignisbenachrichtigungen sollte für kritische Datenbankparametergruppenereignisse konfiguriert werden

[RDS.22] Ein Abonnement für RDS-Ereignisbenachrichtigungen sollte für kritische Datenbanksicherheitsgruppenereignisse konfiguriert werden

[RDS.23] RDS-Instances sollten keinen Standard-Port für die Datenbank-Engine verwenden

[RDS.24] RDS-Datenbankcluster sollten einen benutzerdefinierten Administratorbenutzernamen verwenden

[RDS.25] RDS-Datenbank-Instances sollten einen benutzerdefinierten Administrator-Benutzernamen verwenden

[RDS.26] RDS-DB-Instances sollten durch einen Backup-Plan geschützt werden

[RDS.27] RDS-DB-Cluster sollten im Ruhezustand verschlüsselt werden

[RDS.28] RDS-DB-Cluster sollten markiert werden

[RDS.29] Snapshots von RDS-DB-Clustern sollten mit Tags versehen werden

[RDS.30] RDS-DB-Instances sollten markiert werden

[RDS.31] RDS-DB-Sicherheitsgruppen sollten markiert werden

[RDS.32] RDS-DB-Snapshots sollten markiert werden

[RDS.33] RDS-DB-Subnetzgruppen sollten markiert werden

[RDS.34] Aurora MySQL-DB-Cluster sollten Audit-Logs in CloudWatch Logs veröffentlichen

[RDS.35] Für RDS-DB-Cluster sollte das automatische Upgrade der Nebenversion aktiviert sein

[RDS.36] RDS für PostgreSQL-DB-Instances sollten Protokolle in Logs veröffentlichen CloudWatch

[RDS.37] Aurora PostgreSQL-DB-Cluster sollten Protokolle in Logs veröffentlichen CloudWatch

[RDS.38] RDS für PostgreSQL-DB-Instances sollte bei der Übertragung verschlüsselt werden

[RDS.39] RDS für MySQL-DB-Instances sollte bei der Übertragung verschlüsselt werden

[RDS.40] RDS für SQL Server-DB-Instances sollten CloudWatch Protokolle in Logs veröffentlichen

[RDS.41] RDS für SQL Server-DB-Instances sollten bei der Übertragung verschlüsselt werden

[RDS.42] RDS für MariaDB-DB-Instances sollte Protokolle in Logs veröffentlichen CloudWatch

[RDS.43] RDS-DB-Proxys sollten TLS-Verschlüsselung für Verbindungen erfordern

[RDS.44] RDS für MariaDB-DB-Instances sollte bei der Übertragung verschlüsselt werden

[RDS.45] Bei Aurora MySQL-DB-Clustern sollte die Auditprotokollierung aktiviert sein

[RDS.46] RDS-DB-Instances sollten nicht in öffentlichen Subnetzen mit Routen zu Internet-Gateways bereitgestellt werden

[RDS.47] RDS für PostgreSQL-DB-Cluster sollten so konfiguriert sein, dass Tags in DB-Snapshots kopiert werden

[RDS.48] RDS für MySQL-DB-Cluster sollten so konfiguriert sein, dass Tags in DB-Snapshots kopiert werden

[RDS.50] Für RDS-DB-Cluster sollte ein ausreichender Aufbewahrungszeitraum für Backups festgelegt sein

[RDS.51] Globale RDS-Cluster sollten auf einer unterstützten Aurora MySQL-Version laufen

[Redshift.1] Amazon Redshift Redshift-Cluster sollten den öffentlichen Zugriff verbieten

[Redshift.2] Verbindungen zu Amazon Redshift Redshift-Clustern sollten bei der Übertragung verschlüsselt werden

[Redshift.3] Bei Amazon Redshift Redshift-Clustern sollten automatische Snapshots aktiviert sein

[Redshift.4] Bei Amazon Redshift Redshift-Clustern sollte die Auditprotokollierung aktiviert sein

[Redshift.6] Bei Amazon Redshift sollten automatische Upgrades auf Hauptversionen aktiviert sein

[Redshift.7] Redshift-Cluster sollten erweitertes VPC-Routing verwenden

[Redshift.8] Amazon Redshift Redshift-Cluster sollten nicht den Standard-Admin-Benutzernamen verwenden

[Redshift.10] Redshift-Cluster sollten im Ruhezustand verschlüsselt werden

[Redshift.11] Redshift-Cluster sollten markiert werden

[Redshift.12] Abonnements für Redshift-Ereignisbenachrichtigungen sollten markiert werden

[Redshift.13] Redshift-Cluster-Snapshots sollten markiert werden

[Redshift.14] Redshift-Cluster-Subnetzgruppen sollten markiert werden

[Redshift.15] Redshift-Sicherheitsgruppen sollten den Zugriff auf den Cluster-Port nur von eingeschränkten Quellen zulassen

[Redshift.16] Redshift-Cluster-Subnetzgruppen sollten Subnetze aus mehreren Availability Zones haben

[Redshift.17] Redshift-Cluster-Parametergruppen sollten markiert werden

[Redshift.18] Für Redshift-Cluster sollten Multi-AZ Bereitstellungen aktiviert sein

[RedshiftServerless.1] Serverlose Amazon Redshift Redshift-Arbeitsgruppen sollten erweitertes VPC-Routing verwenden

[RedshiftServerless.2] Für die Verwendung von SSL sollten Verbindungen zu Redshift Serverless-Arbeitsgruppen erforderlich sein

[RedshiftServerless.3] Redshift Serverless-Arbeitsgruppen sollten den öffentlichen Zugriff verbieten

[RedshiftServerless.4] Serverlose Redshift-Namespaces sollten verschlüsselt und vom Kunden verwaltet werdenAWS KMS keys

[RedshiftServerless.5] Redshift Serverless-Namespaces sollten nicht den Standard-Admin-Benutzernamen verwenden

[RedshiftServerless.6] Redshift Serverless Namespaces sollten Protokolle in Logs exportieren CloudWatch

[Route53.1] Route 53-Gesundheitschecks sollten markiert werden

[Route53.2] In öffentlich gehosteten Zonen von Route 53 sollten DNS-Abfragen protokolliert werden

[S3.7] S3-Allzweck-Buckets sollten die regionsübergreifende Replikation verwenden

[S3.10] S3-Allzweck-Buckets mit aktivierter Versionierung sollten Lifecycle-Konfigurationen haben

[S3.11] Für S3-Allzweck-Buckets sollten Ereignisbenachrichtigungen aktiviert sein

[S3.12] ACLs sollten nicht verwendet werden, um den Benutzerzugriff auf S3-Allzweck-Buckets zu verwalten

[S3.13] S3-Allzweck-Buckets sollten Lifecycle-Konfigurationen haben

[S3.17] S3-Allzweck-Buckets sollten im Ruhezustand verschlüsselt werden mitAWS KMS keys

[S3.19] Bei S3-Zugriffspunkten sollten die Einstellungen zum Blockieren des öffentlichen Zugriffs aktiviert sein

[S3.20] Für S3-Allzweck-Buckets sollte MFA Delete aktiviert sein

[S3.22] S3-Buckets für allgemeine Zwecke sollten Schreibereignisse auf Objektebene protokollieren

[S3.23] S3-Allzweck-Buckets sollten Leseereignisse auf Objektebene protokollieren

[S3.24] Bei Multi-Region S3-Zugangspunkten sollten die Einstellungen zum Blockieren des öffentlichen Zugriffs aktiviert sein

[S3.25] S3-Verzeichnis-Buckets sollten Lebenszykluskonfigurationen haben

[SageMaker.1] SageMaker Amazon-Notebook-Instances sollten keinen direkten Internetzugang haben

[SageMaker.2] SageMaker Notebook-Instances sollten in einer benutzerdefinierten VPC gestartet werden

[SageMaker.3] Benutzer sollten keinen Root-Zugriff auf SageMaker Notebook-Instances haben

[SageMaker.4] Bei Produktionsvarianten für SageMaker Endgeräte sollte die anfängliche Anzahl der Instances größer als 1 sein

[SageMaker.5] SageMaker Bei Modellen sollte die Netzwerkisolierung aktiviert sein

[SageMaker.6] SageMaker App-Image-Konfigurationen sollten mit Tags versehen werden

[SageMaker.7] SageMaker Bilder sollten mit Tags versehen werden

[SageMaker.8] SageMaker Notebook-Instances sollten auf unterstützten Plattformen laufen

[SageMaker.9] Bei Auftragsdefinitionen SageMaker zur Datenqualität sollte die Verschlüsselung des Datenverkehrs zwischen Containern aktiviert sein

Bei Auftragsdefinitionen zur Erläuterung des SageMaker Modells [SageMaker.10] sollte die Verschlüsselung des Datenverkehrs zwischen Containern aktiviert sein

[SageMaker.11] Bei Auftragsdefinitionen SageMaker zur Datenqualität sollte die Netzwerkisolierung aktiviert sein

Bei Auftragsdefinitionen für [SageMaker.12] SageMaker Model Bias sollte die Netzwerkisolierung aktiviert sein

[SageMaker.13] Bei Auftragsdefinitionen in SageMaker Modellqualität sollte die Verschlüsselung des Datenverkehrs zwischen Containern aktiviert sein

[SageMaker.14] In den SageMaker Überwachungsplänen sollte die Netzwerkisolierung aktiviert sein

[SageMaker.15] Bei Jobdefinitionen mit SageMaker Modellverzerrung sollte die Verschlüsselung des Datenverkehrs zwischen Containern aktiviert sein

[SageMaker.16] SageMaker Modelle sollten eine private Registrierung in VPC für primäre Container verwenden

[SageMaker.17] Offline-Shops für SageMaker Featuregruppen sollten verschlüsselt werden mitAWS KMSkeys

[SageMaker.18] Onlineshops mit Standardspeicher für SageMaker Featuregruppen sollten verschlüsselt werden mitAWS KMSkeys

[SageMaker.19] SageMaker Modelle sollten eine private Registrierung in VPC für Inferenz-Pipelines mit mehreren Containern verwenden

[SES.1] SES-Kontaktlisten sollten mit Tags versehen werden

[SES.2] SES-Konfigurationssätze sollten mit Tags versehen werden

[SES.3] In SES-Konfigurationssätzen sollte TLS für das Senden von E-Mails aktiviert sein

[SecretsManager.1] Bei Secrets Manager Manager-Geheimnissen sollte die automatische Rotation aktiviert sein

[SecretsManager.2] Secrets Manager Manager-Geheimnisse, die mit automatischer Rotation konfiguriert sind, sollten erfolgreich rotieren

[SecretsManager.3] Unbenutzte Secrets Manager Manager-Geheimnisse entfernen

[SecretsManager.4] Secrets Manager Manager-Geheimnisse sollten innerhalb einer bestimmten Anzahl von Tagen rotiert werden

[SecretsManager.5] Secrets Manager Manager-Geheimnisse sollten markiert werden

[ServiceCatalog.1] Servicekatalog-Portfolios sollten innerhalb eines gemeinsam genutzt werdenAWSnur Organisation

[SNS.3] SNS-Themen sollten markiert werden

[SNS.4] Richtlinien für den Zugriff auf SNS-Themen sollten keinen öffentlichen Zugriff zulassen

[SQS.1] Amazon SQS SQS-Warteschlangen sollten im Ruhezustand verschlüsselt sein

[SQS.2] SQS-Warteschlangen sollten markiert werden

[SQS.3] Die Richtlinien für den Zugriff auf SQS-Warteschlangen sollten keinen öffentlichen Zugriff zulassen

[SSM.1] Amazon EC2 EC2-Instances sollten verwaltet werden vonAWS Systems Manager

[SSM.2] Von Systems Manager verwaltete Amazon EC2 EC2-Instances sollten nach einer Patch-Installation den Patch-Compliance-Status COMPLIANT haben

[SSM.3] Von Systems Manager verwaltete Amazon EC2 EC2-Instances sollten den Zuordnungs-Compliance-Status COMPLIANT haben

[SSM.4] SSM-Dokumente sollten nicht öffentlich sein

[SSM.5] SSM-Dokumente sollten mit einem Tag versehen werden

[SSM.6] Bei SSM Automation sollte die Protokollierung aktiviert sein CloudWatch

[SSM.7] Bei SSM-Dokumenten sollte die Einstellung „Öffentliches Teilen blockieren“ aktiviert sein