Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.
Mejores prácticas operativas para NZISM 3.9 (transición a Nueva Zelanda)
Los paquetes de conformidad proporcionan un marco de conformidad de uso general diseñado para permitirle crear controles de seguridad, operativos o de optimización de costos mediante reglas administradas o personalizadas AWS Config y acciones correctivas. AWS Config Los paquetes de conformidad, como plantillas de ejemplo, no están diseñados para garantizar plenamente el cumplimiento de una norma de gobernanza o de conformidad específicas. Usted debe evaluar si su uso de los servicios cumple con los requisitos legales y normativos aplicables.
A continuación, se proporciona un ejemplo de mapeo entre el Manual de seguridad de la información (NZISM) 2025-11 versión 3.9 de la Oficina de Seguridad de las Comunicaciones del Gobierno de Nueva Zelanda (GCSB)
Este ejemplo de plantilla de paquete de conformidad contiene asignaciones a los controles incluidos en el marco del NZISM, que es una parte integral del marco de requisitos de protección y seguridad (PSR) que establece las expectativas del Gobierno de Nueva Zelanda en lo que respecta a la gestión del personal, la información y la seguridad física.
La parte básica de este paquete de conformidad se puede implementar en las regiones de Sídney y de todo el mundo. La parte NZ Transition contiene el subconjunto de reglas de Foundation Config que están disponibles actualmente en la región de Nueva Zelanda. La parte de la Fundación no se desplegará actualmente en la región de Nueva Zelanda. La parte de extensión de este paquete de conformidad se puede implementar en las regiones de Sídney y Nueva Zelanda para aumentar las reglas de Config incluidas en las partes Foundation y NZ Transition.
El NZISM está licenciado bajo la licencia Creative Commons Attribution 4.0 de Nueva Zelanda, disponible en. https://creativecommons.org/licenses/by/4.0/
| ID de control | Descripción del control | Regla de AWS Config | Directrices |
|---|---|---|---|
| 1661 | Seguridad del software, desarrollo de aplicaciones web, contenido del sitio web de la agencia (14.5.6. C.01.) | Este control comprueba si una CloudFront distribución de Amazon está configurada para devolver un objeto específico que es el objeto raíz predeterminado. El control falla si la CloudFront distribución no tiene un objeto raíz predeterminado configurado. A veces, un usuario puede solicitar la URL raíz de la distribución en lugar de un objeto de la distribución. Cuando esto sucede, especificar un objeto raíz predeterminado puede ayudarle a evitar la exposición del contenido de su distribución web. Esta regla debe aplicarse en la región us-east-1. Implemente con el parámetro de plantilla DeployEdgeRules = true | |
| 1667 | Seguridad del software, desarrollo de aplicaciones web, aplicaciones web (14.5.8. C.01.) | Asegúrese de que la integridad de la red esté protegida asegurándose de que AWS ACM emita los certificados X509. Estos certificados deben ser válidos y estar vigentes. Esta regla requiere un valor de días. ToExpiration El valor es de 30 días. | |
| 1667 | Seguridad del software, desarrollo de aplicaciones web, aplicaciones web (14.5.8. C.01.) | Asegúrese de que sus Elastic Load Balancers (ELB) estén configurados con oyentes SSL o HTTPS. Puesto que puede haber datos confidenciales, habilite el cifrado en tránsito para proteger esos datos. | |
| 1847 | Control de acceso y contraseñas, identificación, autenticación y contraseñas, protección de los datos de autenticación en tránsito (16.1.37). C.01.) | Para ayudar a proteger los datos en tránsito, asegúrese de que el equilibrador de carga de aplicación redirija automáticamente las solicitudes HTTP no cifradas hacia HTTPS. Puesto que puede haber datos confidenciales, habilite el cifrado en tránsito para proteger esos datos. | |
| 1847 | Control de acceso y contraseñas, identificación, autenticación y contraseñas, protección de los datos de autenticación en tránsito (16.1.37). C.01.) | Este control comprueba si una CloudFront distribución de Amazon requiere que los espectadores utilicen HTTPS directamente o si utiliza la redirección. El control falla si ViewerProtocolPolicy está configurado en allow-all de forma predeterminada CacheBehavior o en CacheBehaviors. Puede utilizar HTTPS (TLS) para ayudarle a evitar posibles ataques de tipo “intermediario”, de espionaje o de manipulación del tráfico de red. Solo se deben permitir las conexiones cifradas a través de HTTPS (TLS). Esta regla debe aplicarse en la región us-east-1. Implemente con el parámetro de plantilla = true DeployEdgeRules | |
| 1847 | Control de acceso y contraseñas, identificación, autenticación y contraseñas, protección de los datos de autenticación en tránsito (16.1.37). C.01.) | Este control comprueba si los dominios de Elasticsearch tienen habilitada la encriptación de nodo a nodo. Este control falla si el cifrado de nodo a nodo está deshabilitado en el dominio. HTTPS (TLS) puede utilizarse para ayudar a evitar posibles ataques de espionaje o de manipulación del tráfico de red con ataques de «persona en medio» o similares. Solo se deben permitir las conexiones cifradas a través de HTTPS (TLS). Habilitar el cifrado de nodo a nodo para los dominios de Elasticsearch garantiza que las comunicaciones dentro del clúster se cifren en tránsito. | |
| 1847 | Control de acceso y contraseñas, identificación, autenticación y contraseñas, protección de los datos de autenticación en tránsito (16.1.37). C.01.) | Asegúrese de que sus Elastic Load Balancers (ELB) estén configurados con oyentes SSL o HTTPS. Puesto que puede haber datos confidenciales, habilite el cifrado en tránsito para proteger esos datos. | |
| 1998 | Control de acceso y contraseñas, registro y auditoría de eventos, mantenimiento de los registros de administración del sistema (16.6.6. C.02.) | Debe configurarlo CloudTrail con CloudWatch registros para monitorear sus registros de senderos y recibir notificaciones cuando se produzca una actividad específica. Esta regla comprueba si las CloudTrail rutas de AWS están configuradas para enviar registros a Amazon CloudWatch Logs. | |
| 1998 | Control de acceso y contraseñas, registro y auditoría de eventos, mantenimiento de los registros de administración del sistema (16.6.6. C.02.) | AWS CloudTrail puede ayudar a evitar el repudio registrando las acciones de la consola de administración de AWS y las llamadas a la API. Puede identificar los usuarios y las cuentas de AWS que llamaron a un servicio de AWS, la dirección IP de origen en la que se generaron las llamadas y los horarios de las llamadas. Los detalles de los datos capturados se muestran en el contenido de los CloudTrail registros de AWS. | |
| 1998 | Control de acceso y contraseñas, registro y auditoría de eventos, mantenimiento de los registros de administración del sistema (16.6.6. C.02.) | Asegúrese de que los datos del registro de eventos se conserven durante un tiempo mínimo para sus grupos de registros, a fin de facilitar la resolución de problemas y las investigaciones forenses. La falta de datos de registros de eventos anteriores disponibles dificulta la reconstrucción e identificación de eventos potencialmente maliciosos. La retención mínima es de 18 meses. | |
| 2013 | Control de acceso y contraseñas, registro y auditoría de eventos, eventos adicionales que deben registrarse (16.6.10. C.02.) | Este control comprueba si el registro de acceso al servidor está habilitado en CloudFront las distribuciones. El control falla si el registro de acceso no está habilitado para una distribución. CloudFront los registros de acceso proporcionan información detallada sobre cada solicitud de usuario que CloudFront recibe. Cada registro contiene información como la fecha y la hora en que se recibió la solicitud, la dirección IP del espectador que realizó la solicitud, el origen de la solicitud y el número de puerto de la solicitud del espectador. Estos registros son útiles para aplicaciones como auditorías de seguridad y acceso y para investigaciones forenses. Esta regla debe aplicarse en la región us-east-1. Implemente con el parámetro de plantilla DeployEdgeRules = true | |
| 2013 | Control de acceso y contraseñas, registro y auditoría de eventos, eventos adicionales que deben registrarse (16.6.10. C.02.) | AWS CloudTrail puede ayudar a evitar el repudio registrando las acciones de la consola de administración de AWS y las llamadas a la API. Puede identificar los usuarios y las cuentas de AWS que llamaron a un servicio de AWS, la dirección IP de origen en la que se generaron las llamadas y los horarios de las llamadas. Los detalles de los datos capturados se muestran en el contenido de los CloudTrail registros de AWS. | |
| 2013 | Control de acceso y contraseñas, registro y auditoría de eventos, eventos adicionales que deben registrarse (16.6.10). C.02.) | La actividad de Elastic Load Balancing es un punto central de comunicación dentro de un entorno. Asegúrese de que el registro de ELB esté habilitado. Los datos recopilados proporcionan información detallada sobre las solicitudes enviadas al ELB. Cada registro contiene distintos datos, como el momento en que se recibió la solicitud, la dirección IP del cliente, las latencias, las rutas de solicitud y las respuestas del servidor. | |
| 2013 | Control de acceso y contraseñas, registro y auditoría de eventos, eventos adicionales que deben registrarse (16.6.10. C.02.) | Para facilitar el registro y el monitoreo en su entorno, asegúrese de que el registro de Amazon Relational Database Service (Amazon RDS) esté habilitado. Con el registro de Amazon RDS, puede capturar eventos tales como conexiones, desconexiones, consultas o tablas consultadas. | |
| 2022 | Control de acceso y contraseñas, registro y auditoría de eventos, protección del registro de eventos (16.6.12. C.01.) | Utilice la validación de archivos de CloudTrail registro de AWS para comprobar la integridad de CloudTrail los registros. La validación de los archivos de registro ayuda a determinar si un archivo de registro se modificó, se eliminó o no se modificó después de CloudTrail entregarlo. Esta función se ha creado con algoritmos estándares del sector: SHA-256 para el cifrado y SHA-256 con RSA para la firma digital. Esto hace que sea computacionalmente inviable modificar, eliminar o CloudTrail falsificar los archivos de registro sin ser detectados. | |
| 2022 | Control de acceso y contraseñas, registro y auditoría de eventos, protección del registro de eventos (16.6.12. C.01.) | Para ayudar a proteger los datos confidenciales en reposo, asegúrate de que el cifrado esté activado en tus Amazon CloudWatch Log Groups. | |
| 2028 | Control de acceso y contraseñas, registro y auditoría de eventos, archivos de registro de eventos (16.6.13). C.01.) | Asegúrese de que los datos del registro de eventos se conserven durante un tiempo mínimo para sus grupos de registros, a fin de facilitar la resolución de problemas y las investigaciones forenses. La falta de datos de registros de eventos anteriores disponibles dificulta la reconstrucción e identificación de eventos potencialmente maliciosos. La retención mínima es de 18 meses. | |
| 2082 | Criptografía, fundamentos criptográficos, reducción de los requisitos de almacenamiento y transferencia física (17.1.53. C.04.) | Como es posible que existan datos confidenciales y, para ayudar a proteger los datos en reposo, asegúrese de que el cifrado esté habilitado para sus CloudTrail rutas de AWS. | |
| 2082 | Criptografía, fundamentos criptográficos, reducción de los requisitos de almacenamiento y transferencia física (17.1.53. C.04.) | Para proteger los datos en reposo, asegúrese de habilitar el cifrado de los volúmenes de Amazon Elastic Block Store (Amazon EBS). Puesto que puede haber datos confidenciales en reposo en estos volúmenes, habilite el cifrado en reposo para ayudar a protegerlos. | |
| 2082 | Criptografía, fundamentos criptográficos, reducción de los requisitos de almacenamiento y transferencia física (17.1.53. C.04.) | Puesto que puede haber datos confidenciales, para proteger los datos en reposo, asegúrese de habilitar el cifrado de Amazon Elastic File System (EFS). | |
| 2082 | Criptografía, fundamentos criptográficos, reducción de los requisitos de almacenamiento y transferencia física (17.1.53. C.04.) | Este control comprueba si los dominios de Elasticsearch tienen habilitada la configuración de cifrado en reposo. La comprobación falla si el cifrado en reposo no está habilitado. Para obtener una capa adicional de seguridad para la información confidencial, debe configurar su dominio de Elasticsearch Service de tal manera que esta información se cifre en reposo. Al configurar el cifrado de datos en reposo, Amazon Key Management Service (KMS) almacena y administra las claves de cifrado. Para realizar el cifrado, AWS KMS utiliza el algoritmo del estándar de cifrado avanzado con claves de 256 bits ()AES-256. | |
| 2082 | Criptografía, fundamentos criptográficos, reducción de los requisitos de almacenamiento y transferencia física (17.1.53. C.04.) | Puesto que puede haber datos confidenciales, para proteger los datos en reposo, asegúrese de habilitar el cifrado de los volúmenes de Amazon Elastic Block Store (Amazon EBS). | |
| 2082 | Criptografía, fundamentos criptográficos, reducción de los requisitos de almacenamiento y transferencia física (17.1.53. C.04.) | Asegúrese de que el cifrado esté habilitado para las instantáneas de Amazon Relational Database Service (Amazon RDS). Puesto que puede haber datos confidenciales en reposo, habilite el cifrado en reposo para ayudar a protegerlos. | |
| 2082 | Criptografía, fundamentos criptográficos, reducción de los requisitos de almacenamiento y transferencia física (17.1.53. C.04.) | Para ayudar a proteger los datos en reposo, asegúrese de que el cifrado esté habilitado para sus instancias de Amazon Relational Database Service (Amazon RDS). Puesto que puede haber datos confidenciales en reposo en las instancias de Amazon RDS, habilite el cifrado en reposo para ayudar a protegerlos. | |
| 2082 | Criptografía, fundamentos criptográficos, reducción de los requisitos de almacenamiento y transferencia física (17.1.53. C.04.) | Para ayudar a proteger los datos en reposo, asegúrese de habilitar el cifrado para los buckets de Amazon Simple Storage Service (Amazon S3). Puesto que puede haber datos confidenciales en reposo en los buckets de S3, habilite el cifrado para protegerlos. | |
| 2009 | Criptografía, fundamentos criptográficos, protección de la información y los sistemas (17.1.55. C.02.) | Para ayudar a proteger los datos en tránsito, asegúrese de que el equilibrador de carga de aplicación redirija automáticamente las solicitudes HTTP no cifradas hacia HTTPS. Puesto que puede haber datos confidenciales, habilite el cifrado en tránsito para proteger esos datos. | |
| 2009 | Criptografía, fundamentos criptográficos, protección de la información y los sistemas (17.1.55. C.02.) | Asegúrese de que sus Elastic Load Balancers (ELB) estén configurados con oyentes SSL o HTTPS. Puesto que puede haber datos confidenciales, habilite el cifrado en tránsito para proteger esos datos. | |
| 2009 | Criptografía, fundamentos criptográficos, protección de la información y los sistemas (17.1.55. C.02.) | Asegúrese de que sus clústeres de Amazon Redshift requieran TLS/SSL cifrado para conectarse a los clientes de SQL. Puesto que puede haber datos confidenciales, habilite el cifrado en tránsito para proteger esos datos. | |
| 2598 | Criptografía, seguridad de la capa de transporte, uso de TLS (17.4.16. C.01.) | Para ayudar a proteger los datos en tránsito, asegúrese de que sus oyentes de ElasticLoadBalancer SSL clásico utilicen una política de seguridad personalizada. Estas políticas pueden proporcionar varios algoritmos criptográficos de alta seguridad para ayudar a garantizar las comunicaciones de red cifradas entre los sistemas. Esta regla requiere que establezca una política de seguridad personalizada para sus oyentes SSL. La política de seguridad es: Protocol-TLSv1.2,ECDHE-ECDSA-AES256-GCM-SHA384. | |
| 2600 | Criptografía, seguridad de la capa de transporte, uso de TLS (17.4.16. C.02.) | Para ayudar a proteger los datos en tránsito, asegúrese de que sus oyentes de ElasticLoadBalancer SSL clásico utilicen una política de seguridad personalizada. Estas políticas pueden proporcionar varios algoritmos criptográficos de alta seguridad para ayudar a garantizar las comunicaciones de red cifradas entre los sistemas. Esta regla requiere que establezca una política de seguridad personalizada para sus oyentes SSL. La política de seguridad predeterminada es: Protocol-TLSv1.2,ECDHE-ECDSA-AES256-GCM-SHA384. | |
| 2726 | Criptografía, Secure Shell, acceso remoto automatizado (17.5.8. C.02.) | Los grupos de seguridad de Amazon Elastic Compute Cloud (Amazon EC2) pueden ayudar a administrar el acceso a la red al proporcionar un filtrado estatal del tráfico de red de entrada y salida a los recursos de AWS. No se permite el tráfico de entrada (o remoto) desde la versión 0.0.0. 0/0 al puerto 22 de sus recursos le ayuda a restringir el acceso remoto. | |
| 3021 | Criptografía, gestión de claves y contenido de los KMP (17.9.25. C.01.) | Amazon Key Management Service (KMS) permite a los clientes rotar la clave de respaldo, que es el material clave almacenado en AWS KMS y está vinculado al ID de clave de la CMK. Es la clave de backup que se utiliza para realizar operaciones criptográficas como, por ejemplo, cifrado y descifrado. Actualmente, la rotación de claves automática retiene todas las claves de backup anteriores, por lo que el descifrado de los datos cifrado se puede realizar de forma transparente. La rotación de claves de cifrado ayuda a reducir el impacto potencial de una clave en peligro porque los datos cifrados con una nueva clave no son accesibles con un clave anterior que se haya visto expuesta. | |
| 3205 | Seguridad de la red, administración de la red, limitación del acceso a la red (18.1.13. C.02.) | Gestione el acceso a los recursos de la nube de AWS asegurándose de que los puertos comunes estén restringidos en los grupos de seguridad de Amazon Elastic Compute Cloud (Amazon EC2). No restringir el acceso a los puertos a solamente fuentes fiables puede afectar a la disponibilidad, integridad y confidencialidad de los sistemas. Restringiendo el acceso a los recursos de un grupo de seguridad desde Internet (0.0.0). 0/0) el acceso remoto se puede controlar a los sistemas internos. La lista de puertos de Internet autorizados es: solo 443 | |
| 3449 | Seguridad de los productos, aplicación de parches y actualizaciones de los productos, corrección de las vulnerabilidades de los productos (12.4.4. C.02.) | Esta regla garantiza que los clústeres de Amazon Redshift tengan la configuración preferida para su organización. En concreto, que tengan períodos de mantenimiento preferidos y períodos de retención automática de instantáneas para la base de datos. Esta regla establece allow VersionUpgrade en TRUE. | |
| 3452 | Seguridad de los productos, aplicación de parches y actualizaciones de los productos, reparación de las vulnerabilidades de los productos (12.4.4). C.05.) | Este control comprueba si las actualizaciones automáticas de las versiones secundarias están habilitadas para la instancia de base de datos de RDS. Al habilitar las actualizaciones automáticas de las versiones secundarias, se garantiza que se instalen las últimas actualizaciones de las versiones secundarias del sistema de administración de bases de datos relacionales (RDBMS). Estas actualizaciones pueden incluir parches de seguridad y correcciones de errores. Mantenerse al día con la instalación de los parches es un paso importante para proteger los sistemas. | |
| 3453 | Seguridad de los productos, aplicación de parches y actualizaciones de los productos, reparación de las vulnerabilidades de los productos (12.4.4. C.06.) | Esta regla garantiza que los clústeres de Amazon Redshift tengan la configuración preferida para su organización. En concreto, que tengan períodos de mantenimiento preferidos y períodos de retención automática de instantáneas para la base de datos. Esta regla establece allow VersionUpgrade en TRUE. | |
| 3562 | Seguridad de pasarelas, pasarelas, configuración de pasarelas (19.1.12. C.01.) | Este control comprueba si CloudFront las distribuciones están asociadas a las ACL web de AWS WAF o de AWS WAFv2. El control falla si la distribución no está asociada a una ACL web. AWS WAF es un firewall de aplicaciones web que ayuda a proteger las aplicaciones web y las API de ataques. Le permite configurar un conjunto de reglas denominadas lista de control de acceso web (Web ACL) que permiten, bloquean o cuentan solicitudes web en función de las reglas y condiciones de seguridad web personalizables que defina. Asegúrese de que su CloudFront distribución esté asociada a una ACL web de AWS WAF para protegerla de ataques malintencionados. Esta regla debe aplicarse en la región us-east-1. Implemente con el parámetro de plantilla DeployEdgeRules = true | |
| 3562 | Seguridad de pasarelas, pasarelas, configuración de pasarelas (19.1.12. C.01.) | Gestione el acceso a la nube de AWS asegurándose de que no se pueda acceder públicamente a las instancias de replicación del AWS Database Migration Service (DMS). Las instancias de replicación de DMS pueden contener información confidencial y dichas cuentas requieren control de acceso. | |
| 3562 | Seguridad de pasarelas, pasarelas, configuración de pasarelas (19.1.12. C.01.) | Asegúrese de que el método Servicio de metadatos de instancias versión 2 (IMDSv2) esté habilitado para ayudar a proteger el acceso y el control de los metadatos de instancia de Amazon Elastic Compute Cloud (Amazon EC2). El método IMDSv2 utiliza controles basados en sesiones. IMDSv2 permite implementar controles para restringir los cambios en los metadatos de la instancia. | |
| 3562 | Seguridad de pasarelas, pasarelas, configuración de pasarelas (19.1.12. C.01.) | Gestione el acceso a la nube de AWS asegurándose de que no se pueda acceder públicamente a las instancias de Amazon Elastic Compute Cloud (Amazon EC2). Las instancias de Amazon EC2 pueden contener información confidencial y dichas cuentas requieren control de acceso. | |
| 3562 | Seguridad de pasarelas, pasarelas, configuración de pasarelas (19.1.12. C.01.) | Implemente instancias de Amazon Elastic Compute Cloud (Amazon EC2) dentro de una Amazon Virtual Private Cloud (Amazon VPC) para permitir una comunicación segura entre una instancia y otros servicios dentro de la Amazon VPC, sin necesidad de utilizar una puerta de enlace de internet, un dispositivo NAT ni una conexión de VPN. Todo el tráfico permanece seguro dentro de la nube de AWS. Debido a su aislamiento lógico, los dominios que residen dentro de una Amazon VPC tienen una capa adicional de seguridad en comparación con los dominios que utilizan puntos de conexión públicos. Asigne instancias de Amazon EC2 a una Amazon VPC para gestionar correctamente el acceso. | |
| 3562 | Seguridad de pasarelas, pasarelas, configuración de pasarelas (19.1.12. C.01.) | Este control comprueba si los dominios de Elasticsearch están en una nube privada virtual (VPC). No evalúa la configuración de direccionamiento de subred de VPC para determinar el acceso público. Debe asegurarse de que los dominios de Elasticsearch no están asociados a subredes públicas. Los dominios de Elasticsearch implementados en una VPC pueden comunicarse con los recursos de la VPC a través de la red privada de AWS, sin necesidad de atravesar la Internet pública. Esta configuración aumenta la posición de seguridad al limitar el acceso a los datos en tránsito. Las VPC proporcionan una serie de controles de red para proteger el acceso a los dominios de Elasticsearch, incluidas las ACL de red y los grupos de seguridad. | |
| 3562 | Seguridad de pasarelas, pasarelas, configuración de pasarelas (19.1.12. C.01.) | Gestione el acceso a los recursos de la nube de AWS asegurándose de que las instancias de Amazon Relational Database Service (Amazon RDS) no sean públicas. Las instancias de base de datos de Amazon RDS pueden contener información confidencial y principios. Además, dichas cuentas requieren control de acceso. | |
| 3562 | Seguridad de pasarelas, pasarelas, configuración de pasarelas (19.1.12. C.01.) | Gestione el acceso a los recursos de la nube de AWS asegurándose de que los clústeres de Amazon Redshift no sean públicos. Los clústeres de Amazon Redshift pueden contener información confidencial y principios. Además dichas cuentas requieren control de acceso. | |
| 3562 | Seguridad de pasarelas, pasarelas, configuración de pasarelas (19.1.12. C.01.) | Gestione el acceso a los recursos en la nube de AWS asegurándose de que no se pueda acceder públicamente a los buckets de Amazon Simple Storage Service (Amazon S3). Esta regla ayuda a proteger los datos confidenciales de usuarios remotos no autorizados al impedir el acceso público. Esta regla establece ignore PublicAcls en TRUE, block PublicPolicy en TRUE, block PublicAcls en TRUE y restricted en TRUE. PublicBuckets | |
| 3562 | Seguridad de pasarelas, pasarelas, configuración de pasarelas (19.1.12. C.01.) | Los grupos de seguridad de Amazon Elastic Compute Cloud (Amazon EC2) pueden ayudar en la administración del acceso a la red al proporcionar un filtrado continuo del tráfico de red de entrada y salida a los recursos de AWS. Restringir todo el tráfico en el grupo de seguridad predeterminado ayuda a restringir el acceso remoto a los recursos de AWS. | |
| 3562 | Seguridad de pasarelas, pasarelas, configuración de pasarelas (19.1.12. C.01.) | Los registros de flujo de la nube privada virtual (VPC) proporcionan registros detallados con información sobre el tráfico IP que entra y sale de las interfaces de red de su Amazon VPC. De forma predeterminada, el registro de flujo incluye valores para los distintos componentes del flujo de IP, incluido el origen, el destino y el protocolo. | |
| 3623 | Seguridad de pasarelas, pasarelas, zonas desmilitarizadas (19.1.14. C.02.) | Este control comprueba si los dominios de Elasticsearch están en una nube privada virtual (VPC). No evalúa la configuración de direccionamiento de subred de VPC para determinar el acceso público. Debe asegurarse de que los dominios de Elasticsearch no están asociados a subredes públicas. Los dominios de Elasticsearch implementados en una VPC pueden comunicarse con los recursos de la VPC a través de la red privada de AWS, sin necesidad de atravesar la Internet pública. Esta configuración aumenta la posición de seguridad al limitar el acceso a los datos en tránsito. Las VPC proporcionan una serie de controles de red para proteger el acceso a los dominios de Elasticsearch, incluidas las ACL de red y los grupos de seguridad. | |
| 36/23 | Seguridad de pasarelas, pasarelas, zonas desmilitarizadas (19.1.14. C.02.) | Gestione el acceso a los recursos de la nube de AWS asegurándose de que las instancias de Amazon Relational Database Service (Amazon RDS) no sean públicas. Las instancias de base de datos de Amazon RDS pueden contener información confidencial y principios. Además, dichas cuentas requieren control de acceso. | |
| 3623 | Seguridad de pasarelas, pasarelas, zonas desmilitarizadas (19.1.14. C.02.) | Gestione el acceso a los recursos de la nube de AWS asegurándose de que los clústeres de Amazon Redshift no sean públicos. Los clústeres de Amazon Redshift pueden contener información confidencial y principios. Además dichas cuentas requieren control de acceso. | |
| 3875 | Seguridad de redes, detección y prevención de intrusiones, gestión y correlación de eventos (18.4.12). C.01.) | AWS Security Hub ayuda a supervisar el personal, las conexiones, los dispositivos y el software no autorizados. AWS Security Hub agrupa, organiza y prioriza las alertas de seguridad, o hallazgos, de varios servicios de AWS. Algunos de estos servicios son Amazon Security Hub, Amazon Inspector, Amazon Macie, AWS Identity and Access Management (IAM) Access Analyzer, AWS Firewall Manager y las soluciones de socios de AWS. | |
| 4441 | Gestión de datos, bases de datos, archivos de bases de datos (20.4.4. C.02.) | Este control comprueba si los dominios de Elasticsearch tienen habilitada la configuración de cifrado en reposo. La comprobación falla si el cifrado en reposo no está habilitado. Para obtener una capa adicional de seguridad para la información confidencial, debe configurar su dominio de Elasticsearch Service de tal manera que esta información se cifre en reposo. Al configurar el cifrado de datos en reposo, Amazon Key Management Service (KMS) almacena y administra las claves de cifrado. Para realizar el cifrado, AWS KMS utiliza el algoritmo del estándar de cifrado avanzado con claves de 256 bits ()AES-256. | |
| 4441 | Gestión de datos, bases de datos, archivos de bases de datos (20.4.4. C.02.) | Para facilitar el registro y el monitoreo en su entorno, asegúrese de que el registro de Amazon Relational Database Service (Amazon RDS) esté habilitado. Con el registro de Amazon RDS, puede capturar eventos tales como conexiones, desconexiones, consultas o tablas consultadas. | |
| 4441 | Gestión de datos, bases de datos, archivos de bases de datos (20.4.4. C.02.) | Asegúrese de que el cifrado esté habilitado para las instantáneas de Amazon Relational Database Service (Amazon RDS). Puesto que puede haber datos confidenciales en reposo, habilite el cifrado en reposo para ayudar a protegerlos. | |
| 4441 | Gestión de datos, bases de datos, archivos de bases de datos (20.4.4. C.02.) | Gestione el acceso a los recursos de la nube de AWS asegurándose de que las instancias de Amazon Relational Database Service (Amazon RDS) no sean públicas. Las instancias de base de datos de Amazon RDS pueden contener información confidencial y principios. Además, dichas cuentas requieren control de acceso. | |
| 4441 | Gestión de datos, bases de datos, archivos de bases de datos (20.4.4. C.02.) | Para ayudar a proteger los datos en reposo, asegúrese de que el cifrado esté habilitado para sus instancias de Amazon Relational Database Service (Amazon RDS). Puesto que puede haber datos confidenciales en reposo en las instancias de Amazon RDS, habilite el cifrado en reposo para ayudar a protegerlos. | |
| 4441 | Gestión de datos, bases de datos, archivos de bases de datos (20.4.4. C.02.) | Para proteger los datos en reposo, asegúrese de que el cifrado esté activado en los clústeres de Amazon Redshift. También debe asegurarse de que las configuraciones necesarias se implementen en los clústeres de Amazon Redshift. El registro de auditoría debería habilitarse para proporcionar información acerca de las conexiones y las actividades de usuario en la base de datos. Esta regla establece cluster DbEncrypted en TRUE y LoggingEnabled en TRUE. | |
| 4445 | Gestión de datos, bases de datos, responsabilidad (20.4.5. C.02.) | Para facilitar el registro y el monitoreo en su entorno, asegúrese de que el registro de Amazon Relational Database Service (Amazon RDS) esté habilitado. Con el registro de Amazon RDS, puede capturar eventos tales como conexiones, desconexiones, consultas o tablas consultadas. | |
| 4445 | Gestión de datos, bases de datos, responsabilidad (20.4.5. C.02.) | Para proteger los datos en reposo, asegúrese de que el cifrado esté activado en los clústeres de Amazon Redshift. También debe asegurarse de que las configuraciones necesarias se implementen en los clústeres de Amazon Redshift. El registro de auditoría debería habilitarse para proporcionar información acerca de las conexiones y las actividades de usuario en la base de datos. Esta regla establece cluster DbEncrypted en TRUE y LoggingEnabled en TRUE. | |
| 4829 | Seguridad de los sistemas empresariales, computación en la nube, disponibilidad del sistema (22.1.23. C.01.) | El escalado automático de Amazon DynamoDB usa el servicio AWS Application Auto Scaling para ajustar la capacidad de rendimiento aprovisionada para que responda automáticamente a los patrones de tráfico reales. Esto permite que una tabla o un índice secundario global aumente su read/write capacidad aprovisionada para hacer frente a los aumentos repentinos del tráfico, sin limitaciones. | |
| 4829 | Seguridad de los sistemas empresariales, computación en la nube, disponibilidad del sistema (22.1.23. C.01.) | Habilite el equilibrio de carga entre zonas para sus Elastic Load Balancers (ELB) para poder conservar la capacidad y la disponibilidad adecuadas. El equilibrio de carga entre zonas reduce la necesidad de mantener automáticamente cantidades equivalentes de instancias en cada zona de disponibilidad habilitada. También mejora la capacidad de la aplicación para gestionar la pérdida de una o más instancias. | |
| 4838 | Seguridad de los sistemas empresariales, computación en la nube, acceso no autorizado (22.1.24. C.03.) | La recopilación de eventos de datos del Simple Storage Service (Amazon S3) ayuda a detectar cualquier actividad anómala. Los detalles incluyen la información de la cuenta de AWS que accedió a un bucket de Amazon S3, la dirección IP y la hora del evento. | |
| 4838 | Seguridad de los sistemas empresariales, computación en la nube, acceso no autorizado (22.1.24. C.03.) | Gestione el acceso a la nube de AWS asegurándose de que las instantáneas de Amazon Elastic Block Store (EBS) no se puedan restaurar públicamente. Las instantáneas de volumen de EBS pueden contener información confidencial y dichas cuentas requieren control de acceso. | |
| 4838 | Seguridad de los sistemas empresariales, computación en la nube, acceso no autorizado (22.1.24. C.03.) | Gestione el acceso a los recursos en la nube de AWS asegurándose de que no se pueda acceder públicamente a los buckets de Amazon Simple Storage Service (Amazon S3). Esta regla ayuda a proteger los datos confidenciales de usuarios remotos no autorizados al impedir el acceso público. Esta regla establece ignore PublicAcls en TRUE, block PublicPolicy en TRUE, block PublicAcls en TRUE y restricted en TRUE. PublicBuckets | |
| 4838 | Seguridad de los sistemas empresariales, computación en la nube, acceso no autorizado (22.1.24. C.03.) | Gestione el acceso a los recursos de la nube de AWS permitiendo que solo los usuarios, procesos y dispositivos autorizados accedan a los depósitos de Amazon Simple Storage Service (Amazon S3). La administración del acceso debe ser coherente con la clasificación de los datos. | |
| 4838 | Seguridad de los sistemas empresariales, computación en la nube, acceso no autorizado (22.1.24. C.03.) | Gestione el acceso a los recursos de la nube de AWS permitiendo que solo los usuarios, procesos y dispositivos autorizados accedan a los depósitos de Amazon Simple Storage Service (Amazon S3). La administración del acceso debe ser coherente con la clasificación de los datos. | |
| 4839 | Seguridad de los sistemas empresariales, computación en la nube, acceso no autorizado (22.1.24. C.04.) | Asegúrese de que el cifrado esté habilitado para las tablas de Amazon DynamoDB. Puesto que puede haber datos confidenciales en reposo en estas tablas, habilite el cifrado en reposo para ayudar a protegerlos. De forma predeterminada, las tablas de DynamoDB se cifran con una clave de Amazon Key Management Service (KMS) propiedad de AWS. | |
| 4839 | Seguridad de los sistemas empresariales, computación en la nube, acceso no autorizado (22.1.24. C.04.) | Puesto que puede haber datos confidenciales, para proteger los datos en reposo, asegúrese de habilitar el cifrado de Amazon Elastic File System (EFS). | |
| 4839 | Seguridad de los sistemas empresariales, computación en la nube, acceso no autorizado (22.1.24. C.04.) | Este control comprueba si los dominios de Elasticsearch tienen habilitada la configuración de cifrado en reposo. La comprobación falla si el cifrado en reposo no está habilitado. Para obtener una capa adicional de seguridad para la información confidencial, debe configurar su dominio de Elasticsearch Service de tal manera que esta información se cifre en reposo. Al configurar el cifrado de datos en reposo, Amazon Key Management Service (KMS) almacena y administra las claves de cifrado. Para realizar el cifrado, AWS KMS utiliza el algoritmo del estándar de cifrado avanzado con claves de 256 bits ()AES-256. | |
| 4839 | Seguridad de los sistemas empresariales, computación en la nube, acceso no autorizado (22.1.24. C.04.) | Este control comprueba si los dominios de Elasticsearch tienen habilitada la encriptación de nodo a nodo. Este control falla si el cifrado de nodo a nodo está deshabilitado en el dominio. HTTPS (TLS) puede utilizarse para ayudar a evitar posibles ataques de espionaje o de manipulación del tráfico de red con ataques de «persona en medio» o similares. Solo se deben permitir las conexiones cifradas a través de HTTPS (TLS). Habilitar el cifrado de nodo a nodo para los dominios de Elasticsearch garantiza que las comunicaciones dentro del clúster se cifren en tránsito. | |
| 4839 | Seguridad de los sistemas empresariales, computación en la nube, acceso no autorizado (22.1.24. C.04.) | Asegúrese de que sus Elastic Load Balancers (ELB) estén configurados con oyentes SSL o HTTPS. Puesto que puede haber datos confidenciales, habilite el cifrado en tránsito para proteger esos datos. | |
| 4839 | Seguridad de los sistemas empresariales, computación en la nube, acceso no autorizado (22.1.24. C.04.) | Puesto que puede haber datos confidenciales, para proteger los datos en reposo, asegúrese de habilitar el cifrado de los volúmenes de Amazon Elastic Block Store (Amazon EBS). | |
| 4839 | Seguridad de los sistemas empresariales, computación en la nube, acceso no autorizado (22.1.24. C.04.) | Asegúrese de que el cifrado esté habilitado para las instantáneas de Amazon Relational Database Service (Amazon RDS). Puesto que puede haber datos confidenciales en reposo, habilite el cifrado en reposo para ayudar a protegerlos. | |
| 4839 | Seguridad de los sistemas empresariales, computación en la nube, acceso no autorizado (22.1.24. C.04.) | Para ayudar a proteger los datos en reposo, asegúrese de que el cifrado esté habilitado para sus instancias de Amazon Relational Database Service (Amazon RDS). Puesto que puede haber datos confidenciales en reposo en las instancias de Amazon RDS, habilite el cifrado en reposo para ayudar a protegerlos. | |
| 4839 | Seguridad de los sistemas empresariales, computación en la nube, acceso no autorizado (22.1.24. C.04.) | Para proteger los datos en reposo, asegúrese de que el cifrado esté activado en los clústeres de Amazon Redshift. También debe asegurarse de que las configuraciones necesarias se implementen en los clústeres de Amazon Redshift. El registro de auditoría debería habilitarse para proporcionar información acerca de las conexiones y las actividades de usuario en la base de datos. Esta regla establece cluster DbEncrypted en TRUE y LoggingEnabled en TRUE. | |
| 4839 | Seguridad de los sistemas empresariales, computación en la nube, acceso no autorizado (22.1.24. C.04.) | Asegúrese de que sus clústeres de Amazon Redshift requieran TLS/SSL cifrado para conectarse a los clientes de SQL. Puesto que puede haber datos confidenciales, habilite el cifrado en tránsito para proteger esos datos. | |
| 4839 | Seguridad de los sistemas empresariales, computación en la nube, acceso no autorizado (22.1.24. C.04.) | Para ayudar a proteger los datos en tránsito, asegúrese de que los buckets de Amazon Simple Storage Service (Amazon S3) requieran solicitudes para usar la capa de sockets seguros (SSL). Puesto que puede haber datos confidenciales, habilite el cifrado en tránsito para proteger esos datos. | |
| 4839 | Seguridad de los sistemas empresariales, computación en la nube, acceso no autorizado (22.1.24. C.04.) | Para ayudar a proteger los datos en reposo, asegúrese de que el cifrado con AWS Key Management Service (AWS KMS) esté habilitado para los secretos de AWS Secrets Manager. Puesto que puede haber datos confidenciales en reposo en secretos de Secrets Manager, habilite el cifrado en reposo para ayudar a protegerlos. | |
| 4849 | Seguridad de sistemas empresariales, computación en la nube, respaldo, recuperación, archivado y permanencia de datos (22.1.26. C.01.) | La función de copia de seguridad de Amazon Relational Database Service (RDS) crea copias de seguridad de sus bases de datos y registros de transacciones. Amazon RDS crea automáticamente una instantánea de volumen de almacenamiento de la instancia de base de datos y realiza una copia de seguridad de toda la instancia. El sistema le permite establecer períodos de retención específicos para cumplir con sus requisitos de resiliencia. | |
| 4849 | Seguridad de sistemas empresariales, computación en la nube, respaldo, recuperación, archivado y permanencia de datos (22.1.26. C.01.) | Active esta regla para comprobar que se haya realizado una copia de seguridad de la información. También mantiene las copias de seguridad al garantizar que la recuperación a un momento dado esté habilitada en Amazon DynamoDB. La recuperación mantiene copias de seguridad continuas de la tabla durante los últimos 35 días. | |
| 4849 | Seguridad de sistemas empresariales, computación en la nube, respaldo, recuperación, archivado y permanencia de datos (22.1.26. C.01.) | Cuando las copias de seguridad automáticas están habilitadas, Amazon ElastiCache crea una copia de seguridad del clúster a diario. La copia de seguridad se puede conservar durante el número de días que especifique su organización. Las copias de seguridad automáticas pueden ayudarle a protegerse frente a la pérdida de datos. En caso de error, puede crear un nuevo clúster y restaurar los datos de la copia de seguridad más reciente. | |
| 4849 | Seguridad de sistemas empresariales, computación en la nube, respaldo, recuperación, archivado y permanencia de datos (22.1.26. C.01.) | Asegúrese de que las instancias de Amazon Relational Database Service (RDS) tengan habilitada la protección contra la eliminación. Utilice la protección contra borrado para evitar que las instancias de RDS se eliminen de forma accidental o malintencionada, lo que puede provocar la pérdida de disponibilidad de sus aplicaciones. | |
| 4849 | Seguridad de sistemas empresariales, computación en la nube, respaldo, recuperación, archivado y permanencia de datos (22.1.26. C.01.) | Asegúrese de que las instancias de Amazon Relational Database Service (Amazon RDS) tengan habilitada la protección contra borrado. Utilice la protección contra borrado para evitar que las instancias de Amazon RDS se eliminen de forma accidental o malintencionada, lo que puede provocar la pérdida de disponibilidad de sus aplicaciones. | |
| 4849 | Seguridad de sistemas empresariales, computación en la nube, respaldo, recuperación, archivado y permanencia de datos (22.1.26. C.01.) | Para facilitar los procesos de copia de seguridad de datos, asegúrese de que sus clústeres de Amazon Redshift tengan instantáneas automatizadas. Cuando las instantáneas automatizadas están habilitadas para un clúster, Redshift realiza instantáneas de ese clúster periódicamente. De manera predeterminada, Redshift realiza una instantánea cada ocho horas o después de cada cambio de datos de 5 GB por nodo, lo que ocurra primero. | |
| 6860 | Control de acceso y contraseñas, gestión, supervisión y revisión del acceso privilegiado (16.4.35. C.02.) | Debe configurarlo CloudTrail con CloudWatch registros para monitorear sus registros de senderos y recibir notificaciones cuando se produzca una actividad específica. Esta regla comprueba si las CloudTrail rutas de AWS están configuradas para enviar registros a Amazon CloudWatch Logs. | |
| 6860 | Control de acceso y contraseñas, administración del acceso privilegiado, monitoreo y revisión (16.4.35). C.02.) | AWS CloudTrail puede ayudar a evitar el repudio registrando las acciones de la consola de administración de AWS y las llamadas a la API. Puede identificar los usuarios y las cuentas de AWS que llamaron a un servicio de AWS, la dirección IP de origen en la que se generaron las llamadas y los horarios de las llamadas. Los detalles de los datos capturados se muestran en el contenido de los CloudTrail registros de AWS. | |
| 6861 | Control de acceso y contraseñas, gestión, supervisión y revisión del acceso privilegiado (16.4.35). C.03.) | Esta regla ayuda a garantizar el uso de las mejores prácticas de seguridad recomendadas por AWS para AWS CloudTrail, ya que comprueba la habilitación de varios ajustes. Estas incluyen el uso del cifrado de registros, la validación de registros y la habilitación de AWS CloudTrail en varias regiones. | |
| 7466 | Seguridad en la nube pública, protección de datos en la nube pública, accesibilidad de los datos (23.4.10. C.01.) | Gestione el acceso a la nube de AWS asegurándose de que no se pueda acceder públicamente a las instancias de replicación del AWS Database Migration Service (DMS). Las instancias de replicación de DMS pueden contener información confidencial y dichas cuentas requieren control de acceso. | |
| 7466 | Seguridad en la nube pública, protección de datos en la nube pública, accesibilidad de los datos (23.4.10. C.01.) | Asegúrese de que el método Servicio de metadatos de instancias versión 2 (IMDSv2) esté habilitado para ayudar a proteger el acceso y el control de los metadatos de instancia de Amazon Elastic Compute Cloud (Amazon EC2). El método IMDSv2 utiliza controles basados en sesiones. IMDSv2 permite implementar controles para restringir los cambios en los metadatos de la instancia. | |
| 7466 | Seguridad en la nube pública, protección de datos en la nube pública, accesibilidad de los datos (23.4.10. C.01.) | Gestione el acceso a la nube de AWS asegurándose de que no se pueda acceder públicamente a las instancias de Amazon Elastic Compute Cloud (Amazon EC2). Las instancias de Amazon EC2 pueden contener información confidencial y dichas cuentas requieren control de acceso. | |
| 7466 | Seguridad en la nube pública, protección de datos en la nube pública, accesibilidad de los datos (23.4.10. C.01.) | Implemente instancias de Amazon Elastic Compute Cloud (Amazon EC2) en una Amazon Virtual Private Cloud (Amazon VPC) para permitir una comunicación segura entre una instancia y otros servicios de la Amazon VPC, sin necesidad de una pasarela de Internet, un dispositivo NAT o una conexión VPN. Todo el tráfico permanece seguro dentro de la nube de AWS. Debido a su aislamiento lógico, los dominios que residen dentro de una Amazon VPC tienen una capa adicional de seguridad en comparación con los dominios que utilizan puntos de conexión públicos. Asigne instancias de Amazon EC2 a una Amazon VPC para gestionar correctamente el acceso. | |
| 7466 | Seguridad en la nube pública, protección de datos en la nube pública, accesibilidad de los datos (23.4.10. C.01.) | Este control comprueba si los dominios de Elasticsearch están en una nube privada virtual (VPC). No evalúa la configuración de direccionamiento de subred de VPC para determinar el acceso público. Debe asegurarse de que los dominios de Elasticsearch no están asociados a subredes públicas. Los dominios de Elasticsearch implementados en una VPC pueden comunicarse con los recursos de la VPC a través de la red privada de AWS, sin necesidad de atravesar la Internet pública. Esta configuración aumenta la posición de seguridad al limitar el acceso a los datos en tránsito. Las VPC proporcionan una serie de controles de red para proteger el acceso a los dominios de Elasticsearch, incluidas las ACL de red y los grupos de seguridad. | |
| 7466 | Seguridad en la nube pública, protección de datos en la nube pública, accesibilidad de los datos (23.4.10. C.01.) | Gestione el acceso a los recursos de la nube de AWS asegurándose de que las instancias de Amazon Relational Database Service (Amazon RDS) no sean públicas. Las instancias de base de datos de Amazon RDS pueden contener información confidencial y principios. Además, dichas cuentas requieren control de acceso. | |
| 7466 | Seguridad en la nube pública, protección de datos en la nube pública, accesibilidad de los datos (23.4.10. C.01.) | Gestione el acceso a los recursos de la nube de AWS asegurándose de que los clústeres de Amazon Redshift no sean públicos. Los clústeres de Amazon Redshift pueden contener información confidencial y principios. Además dichas cuentas requieren control de acceso. | |
| 7466 | Seguridad en la nube pública, protección de datos en la nube pública, accesibilidad de los datos (23.4.10. C.01.) | Gestione el acceso a los recursos en la nube de AWS asegurándose de que no se pueda acceder públicamente a los buckets de Amazon Simple Storage Service (Amazon S3). Esta regla ayuda a proteger los datos confidenciales de usuarios remotos no autorizados al impedir el acceso público. Esta regla establece ignore PublicAcls en TRUE, block PublicPolicy en TRUE, block PublicAcls en TRUE y restricted en TRUE. PublicBuckets | |
| 7466 | Seguridad en la nube pública, protección de datos en la nube pública, accesibilidad de los datos (23.4.10. C.01.) | Asegúrese de que los documentos de AWS Systems Manager (SSM) no sean públicos, ya que esto podría permitir el acceso no deseado a los documentos de SSM. Un documento de SSM público puede exponer información sobre su cuenta, sus recursos y sus procesos internos. | |
| 7466 | Seguridad en la nube pública, protección de datos en la nube pública, accesibilidad de los datos (23.4.10. C.01.) | Los grupos de seguridad de Amazon Elastic Compute Cloud (Amazon EC2) pueden ayudar en la administración del acceso a la red al proporcionar un filtrado continuo del tráfico de red de entrada y salida a los recursos de AWS. Restringir todo el tráfico en el grupo de seguridad predeterminado ayuda a restringir el acceso remoto a los recursos de AWS. | |
| 7466 | Seguridad en la nube pública, protección de datos en la nube pública, accesibilidad de los datos (23.4.10. C.01.) | Los registros de flujo de la nube privada virtual (VPC) proporcionan registros detallados con información sobre el tráfico IP que entra y sale de las interfaces de red de su Amazon VPC. De forma predeterminada, el registro de flujo incluye valores para los distintos componentes del flujo de IP, incluido el origen, el destino y el protocolo. | |
| 7496 | Seguridad en la nube pública, registro y alertas en la nube pública, requisitos de registro (23.5.11). C.01.) | Utilice la validación de archivos de CloudTrail registro de AWS para comprobar la integridad de CloudTrail los registros. La validación de los archivos de registro ayuda a determinar si un archivo de registro se modificó, se eliminó o no se modificó después de CloudTrail entregarlo. Esta función se ha creado con algoritmos estándares del sector: SHA-256 para el cifrado y SHA-256 con RSA para la firma digital. Esto hace que sea computacionalmente inviable modificar, eliminar o CloudTrail falsificar los archivos de registro sin ser detectados. | |
| 7496 | Seguridad en la nube pública, registro y alertas en la nube pública, requisitos de registro (23.5.11). C.01.) | Este control comprueba si el registro de acceso al servidor está habilitado en CloudFront las distribuciones. El control falla si el registro de acceso no está habilitado para una distribución. CloudFront los registros de acceso proporcionan información detallada sobre cada solicitud de usuario que CloudFront recibe. Cada registro contiene información como la fecha y la hora en que se recibió la solicitud, la dirección IP del espectador que realizó la solicitud, el origen de la solicitud y el número de puerto de la solicitud del espectador. Estos registros son útiles para aplicaciones como auditorías de seguridad y acceso y para investigaciones forenses. Esta regla debe aplicarse en la región us-east-1. | |
| 7496 | Seguridad en la nube pública, registro y alertas en la nube pública, requisitos de registro (23.5.11). C.01.) | AWS CloudTrail puede ayudar a evitar el repudio registrando las acciones de la consola de administración de AWS y las llamadas a la API. Puede identificar los usuarios y las cuentas de AWS que llamaron a un servicio de AWS, la dirección IP de origen en la que se generaron las llamadas y los horarios de las llamadas. Los detalles de los datos capturados se muestran en el contenido de los CloudTrail registros de AWS. | |
| 7496 | Seguridad en la nube pública, registro y alertas en la nube pública, requisitos de registro (23.5.11). C.01.) | Para ayudar a proteger los datos confidenciales en reposo, asegúrate de que el cifrado esté activado en tus Amazon CloudWatch Log Groups. | |
| 7496 | Seguridad en la nube pública, registro y alertas en la nube pública, requisitos de registro (23.5.11). C.01.) | La actividad de Elastic Load Balancing es un punto central de comunicación dentro de un entorno. Asegúrese de que el registro de ELB esté habilitado. Los datos recopilados proporcionan información detallada sobre las solicitudes enviadas al ELB. Cada registro contiene distintos datos, como el momento en que se recibió la solicitud, la dirección IP del cliente, las latencias, las rutas de solicitud y las respuestas del servidor. | |
| 7496 | Seguridad en la nube pública, registro y alertas en la nube pública, requisitos de registro (23.5.11). C.01.) | Para facilitar el registro y el monitoreo en su entorno, asegúrese de que el registro de Amazon Relational Database Service (Amazon RDS) esté habilitado. Con el registro de Amazon RDS, puede capturar eventos tales como conexiones, desconexiones, consultas o tablas consultadas. | |
| 7545 | Control de acceso y contraseñas, identificación, autenticación y autenticación, contraseñas y política (16.1.31. C.02.) | Se requieren cambios anuales de contraseña en los sistemas que no han implementado la autenticación multifactor (MFA) o la autenticación sin contraseña. Como este paquete de conformidad contiene la regla de configuración iam-user-mfa-enabled, este control garantiza que la contraseña se cambie cada tres años. | |
| 7546 | Control de acceso y contraseñas, identificación, autenticación y autenticación, contraseñas y política (16.1.31. C.03.) | Asegúrese de que la contraseña tenga una longitud mínima de 16 caracteres (por ejemplo, cuatro palabras). Las contraseñas deben ser largas, seguras y únicas. No se imponen requisitos de complejidad explícitos (por ejemplo, números o caracteres especiales); sin embargo, las contraseñas deben ser únicas o aleatorias y, para lograrlo, pueden incluir caracteres y números especiales. |
Plantilla
################################################################################## # # Conformance Pack: # Operational Best Practices for NZISM NZ Transition # # This conformance pack helps verify compliance with NZISM requirements. # ################################################################################## Resources: AcmCertificateExpirationCheck: Controls: [ '1667' ] Type: AWS::Config::ConfigRule Properties: ConfigRuleName: acm-certificate-expiration-check InputParameters: daysToExpiration: '30' Scope: ComplianceResourceTypes: - AWS::ACM::Certificate Source: Owner: AWS SourceIdentifier: ACM_CERTIFICATE_EXPIRATION_CHECK Description: "SHOULD 14.5.8.C.01[CID:1667]| Software security/Web Application Development/Web applications" AlbHttpToHttpsRedirectionCheck: Controls: [ '1847', '2090' ] Type: AWS::Config::ConfigRule Properties: ConfigRuleName: alb-http-to-https-redirection-check Source: Owner: AWS SourceIdentifier: ALB_HTTP_TO_HTTPS_REDIRECTION_CHECK Description: "MUST 16.1.37.C.01[CID:1847], MUST 17.1.55.C.02[CID:2090]| Access Control and Passwords/Identification, Authentication and Passwords/Protecting authentication data in t..." CloudTrailCloudWatchLogsEnabled: Controls: [ '1998', '6860' ] Type: AWS::Config::ConfigRule Properties: ConfigRuleName: cloud-trail-cloud-watch-logs-enabled Source: Owner: AWS SourceIdentifier: CLOUD_TRAIL_CLOUD_WATCH_LOGS_ENABLED Description: "SHOULD 16.6.6.C.02[CID:1998], MUST 16.4.35.C.02[CID:6860]| Access Control and Passwords: (Event Logging and Auditing/Maintaining system management logs and Privileged..." CloudTrailEncryptionEnabled: Controls: [ '2082' ] Type: AWS::Config::ConfigRule Properties: ConfigRuleName: cloud-trail-encryption-enabled Source: Owner: AWS SourceIdentifier: CLOUD_TRAIL_ENCRYPTION_ENABLED Description: "SHOULD 17.1.53.C.04[CID:2082]| Cryptography/Cryptographic Fundamentals/Reducing storage and physical transfer requirements" CloudTrailLogFileValidationEnabled: Controls: [ '2022', '7496' ] Type: AWS::Config::ConfigRule Properties: ConfigRuleName: cloud-trail-log-file-validation-enabled Source: Owner: AWS SourceIdentifier: CLOUD_TRAIL_LOG_FILE_VALIDATION_ENABLED Description: "MUST 16.6.12.C.01[CID:2022], MUST 23.5.11.C.01[CID:7496]| Access Control and Passwords/Event Logging and Auditing/Event log protection and Public Cloud Security/Loggi..." CloudfrontAccesslogsEnabled: Condition: IsEdge Controls: [ '2013', '7496' ] Type: AWS::Config::ConfigRule Properties: ConfigRuleName: cloudfront-accesslogs-enabled Source: Owner: AWS SourceIdentifier: CLOUDFRONT_ACCESSLOGS_ENABLED Description: "SHOULD 16.6.10.C.02[CID:2013], MUST 23.5.11.C.01[CID:7496]| Access Control and Passwords/Event Logging and Auditing/Additional events to be logged and Public Cloud Se..." CloudfrontAssociatedWithWaf: Condition: IsEdge Controls: [ '3562' ] Type: AWS::Config::ConfigRule Properties: ConfigRuleName: cloudfront-associated-with-waf Source: Owner: AWS SourceIdentifier: CLOUDFRONT_ASSOCIATED_WITH_WAF Description: "MUST 19.1.12.C.01[CID:3562]| Gateway security/Gateways/Configuration of gateways" CloudfrontDefaultRootObjectConfigured: Condition: IsEdge Controls: [ '1661' ] Type: AWS::Config::ConfigRule Properties: ConfigRuleName: cloudfront-default-root-object-configured Source: Owner: AWS SourceIdentifier: CLOUDFRONT_DEFAULT_ROOT_OBJECT_CONFIGURED Description: "SHOULD 14.5.6.C.01[CID:1661]| Software security/Web Application Development/Agency website content" CloudfrontViewerPolicyHttps: Condition: IsEdge Controls: [ '1847' ] Type: AWS::Config::ConfigRule Properties: ConfigRuleName: cloudfront-viewer-policy-https Source: Owner: AWS SourceIdentifier: CLOUDFRONT_VIEWER_POLICY_HTTPS Description: "MUST 16.1.37.C.01[CID:1847]| Access Control and Passwords/Identification, Authentication and Passwords/Protecting authentication data in transit" CloudtrailEnabled: Controls: [ '1998', '2013', '6860', '7496' ] Type: AWS::Config::ConfigRule Properties: ConfigRuleName: cloudtrail-enabled Source: Owner: AWS SourceIdentifier: CLOUD_TRAIL_ENABLED Description: "SHOULD 16.6.6.C.02[CID:1998], SHOULD 16.6.10.C.02[CID:2013], MUST 16.4.35.C.02[CID:6860], MUST 23.5.11.C.01[CID:7496]| Access Control and Passwords: (Event Logging and..." CloudtrailS3DataeventsEnabled: Controls: [ '4838' ] Type: AWS::Config::ConfigRule Properties: ConfigRuleName: cloudtrail-s3-dataevents-enabled Source: Owner: AWS SourceIdentifier: CLOUDTRAIL_S3_DATAEVENTS_ENABLED Description: "SHOULD 22.1.24.C.03[CID:4838]| Enterprise systems security/Cloud Computing/Unauthorised Access" CloudtrailSecurityTrailEnabled: Controls: [ '6861' ] Type: AWS::Config::ConfigRule Properties: ConfigRuleName: cloudtrail-security-trail-enabled Source: Owner: AWS SourceIdentifier: CLOUDTRAIL_SECURITY_TRAIL_ENABLED Description: "MUST 16.4.35.C.03[CID:6861]| Access Control and Passwords/Privileged Access Management/Monitoring and Review" CloudwatchLogGroupEncrypted: Controls: [ '2022', '7496' ] Type: AWS::Config::ConfigRule Properties: ConfigRuleName: cloudwatch-log-group-encrypted Source: Owner: AWS SourceIdentifier: CLOUDWATCH_LOG_GROUP_ENCRYPTED Description: "MUST 16.6.12.C.01[CID:2022], MUST 23.5.11.C.01[CID:7496]| Access Control and Passwords/Event Logging and Auditing/Event log protection and Public Cloud Security/Loggi..." CmkBackingKeyRotationEnabled: Controls: [ '3021' ] Type: AWS::Config::ConfigRule Properties: ConfigRuleName: cmk-backing-key-rotation-enabled Source: Owner: AWS SourceIdentifier: CMK_BACKING_KEY_ROTATION_ENABLED Description: "SHOULD 17.9.25.C.01[CID:3021]| Cryptography/Key Management/Contents of KMPs" CwLoggroupRetentionPeriodCheck: Controls: [ '1998', '2028' ] Type: AWS::Config::ConfigRule Properties: ConfigRuleName: cw-loggroup-retention-period-check InputParameters: MinRetentionTime: '545' Source: Owner: AWS SourceIdentifier: CW_LOGGROUP_RETENTION_PERIOD_CHECK Description: "SHOULD 16.6.6.C.02[CID:1998], MUST 16.6.13.C.01[CID:2028]| Access Control and Passwords/Event Logging and Auditing: (Maintaining system management logs and Event log ..." DbInstanceBackupEnabled: Controls: [ '4849' ] Type: AWS::Config::ConfigRule Properties: ConfigRuleName: db-instance-backup-enabled Scope: ComplianceResourceTypes: - AWS::RDS::DBInstance Source: Owner: AWS SourceIdentifier: DB_INSTANCE_BACKUP_ENABLED Description: "MUST 22.1.26.C.01[CID:4849]| Enterprise systems security/Cloud Computing/Backup, Recovery Archiving and Data Remanence" DmsReplicationNotPublic: Controls: [ '3562', '7466' ] Type: AWS::Config::ConfigRule Properties: ConfigRuleName: dms-replication-not-public Source: Owner: AWS SourceIdentifier: DMS_REPLICATION_NOT_PUBLIC Description: "MUST 19.1.12.C.01[CID:3562], MUST 23.4.10.C.01[CID:7466]| Gateway security/Gateways/Configuration of gateways and Public Cloud Security/Data Protection in Public Clou..." DynamodbAutoscalingEnabled: Controls: [ '4829' ] Type: AWS::Config::ConfigRule Properties: ConfigRuleName: dynamodb-autoscaling-enabled Scope: ComplianceResourceTypes: - AWS::DynamoDB::Table Source: Owner: AWS SourceIdentifier: DYNAMODB_AUTOSCALING_ENABLED Description: "MUST 22.1.23.C.01[CID:4829]| Enterprise systems security/Cloud Computing/System Availability" DynamodbPitrEnabled: Controls: [ '4849' ] Type: AWS::Config::ConfigRule Properties: ConfigRuleName: dynamodb-pitr-enabled Scope: ComplianceResourceTypes: - AWS::DynamoDB::Table Source: Owner: AWS SourceIdentifier: DYNAMODB_PITR_ENABLED Description: "MUST 22.1.26.C.01[CID:4849]| Enterprise systems security/Cloud Computing/Backup, Recovery Archiving and Data Remanence" DynamodbTableEncryptedKms: Controls: [ '4839' ] Type: AWS::Config::ConfigRule Properties: ConfigRuleName: dynamodb-table-encrypted-kms Scope: ComplianceResourceTypes: - AWS::DynamoDB::Table Source: Owner: AWS SourceIdentifier: DYNAMODB_TABLE_ENCRYPTED_KMS Description: "SHOULD 22.1.24.C.04[CID:4839]| Enterprise systems security/Cloud Computing/Unauthorised Access" EbsSnapshotPublicRestorableCheck: Controls: [ '4838' ] Type: AWS::Config::ConfigRule Properties: ConfigRuleName: ebs-snapshot-public-restorable-check Source: Owner: AWS SourceIdentifier: EBS_SNAPSHOT_PUBLIC_RESTORABLE_CHECK Description: "SHOULD 22.1.24.C.03[CID:4838]| Enterprise systems security/Cloud Computing/Unauthorised Access" Ec2EbsEncryptionByDefault: Controls: [ '2082' ] Type: AWS::Config::ConfigRule Properties: ConfigRuleName: ec2-ebs-encryption-by-default Source: Owner: AWS SourceIdentifier: EC2_EBS_ENCRYPTION_BY_DEFAULT Description: "SHOULD 17.1.53.C.04[CID:2082]| Cryptography/Cryptographic Fundamentals/Reducing storage and physical transfer requirements" Ec2Imdsv2Check: Controls: [ '3562', '7466' ] Type: AWS::Config::ConfigRule Properties: ConfigRuleName: ec2-imdsv2-check Scope: ComplianceResourceTypes: - AWS::EC2::Instance Source: Owner: AWS SourceIdentifier: EC2_IMDSV2_CHECK Description: "MUST 19.1.12.C.01[CID:3562], MUST 23.4.10.C.01[CID:7466]| Gateway security/Gateways/Configuration of gateways and Public Cloud Security/Data Protection in Public Clou..." Ec2InstanceNoPublicIp: Controls: [ '3562', '7466' ] Type: AWS::Config::ConfigRule Properties: ConfigRuleName: ec2-instance-no-public-ip Scope: ComplianceResourceTypes: - AWS::EC2::Instance Source: Owner: AWS SourceIdentifier: EC2_INSTANCE_NO_PUBLIC_IP Description: "MUST 19.1.12.C.01[CID:3562], MUST 23.4.10.C.01[CID:7466]| Gateway security/Gateways/Configuration of gateways and Public Cloud Security/Data Protection in Public Clou..." Ec2InstancesInVpc: Controls: [ '3562', '7466' ] Type: AWS::Config::ConfigRule Properties: ConfigRuleName: ec2-instances-in-vpc Scope: ComplianceResourceTypes: - AWS::EC2::Instance Source: Owner: AWS SourceIdentifier: INSTANCES_IN_VPC Description: "MUST 19.1.12.C.01[CID:3562], MUST 23.4.10.C.01[CID:7466]| Gateway security/Gateways/Configuration of gateways and Public Cloud Security/Data Protection in Public Clou..." EfsEncryptedCheck: Controls: [ '2082', '4839' ] Type: AWS::Config::ConfigRule Properties: ConfigRuleName: efs-encrypted-check Source: Owner: AWS SourceIdentifier: EFS_ENCRYPTED_CHECK Description: "SHOULD 17.1.53.C.04[CID:2082], SHOULD 22.1.24.C.04[CID:4839]| Cryptography/Cryptographic Fundamentals/Reducing storage and physical transfer requirements and Enterpri..." ElasticacheRedisClusterAutomaticBackupCheck: Controls: [ '4849' ] Type: AWS::Config::ConfigRule Properties: ConfigRuleName: elasticache-redis-cluster-automatic-backup-check Source: Owner: AWS SourceIdentifier: ELASTICACHE_REDIS_CLUSTER_AUTOMATIC_BACKUP_CHECK Description: "MUST 22.1.26.C.01[CID:4849]| Enterprise systems security/Cloud Computing/Backup, Recovery Archiving and Data Remanence" ElasticsearchEncryptedAtRest: Controls: [ '2082', '4441', '4839' ] Type: AWS::Config::ConfigRule Properties: ConfigRuleName: elasticsearch-encrypted-at-rest Source: Owner: AWS SourceIdentifier: ELASTICSEARCH_ENCRYPTED_AT_REST Description: "SHOULD 17.1.53.C.04[CID:2082], SHOULD 20.4.4.C.02[CID:4441], SHOULD 22.1.24.C.04[CID:4839]| Cryptography/Cryptographic Fundamentals/Reducing storage and physical trans..." ElasticsearchInVpcOnly: Controls: [ '3562', '3623', '7466' ] Type: AWS::Config::ConfigRule Properties: ConfigRuleName: elasticsearch-in-vpc-only Source: Owner: AWS SourceIdentifier: ELASTICSEARCH_IN_VPC_ONLY Description: "MUST 19.1.12.C.01[CID:3562], SHOULD 19.1.14.C.02[CID:3623], MUST 23.4.10.C.01[CID:7466]| Gateway security/Gateways: (Configuration of gateways and Demilitarised zones..." ElasticsearchNodeToNodeEncryptionCheck: Controls: [ '1847', '4839' ] Type: AWS::Config::ConfigRule Properties: ConfigRuleName: elasticsearch-node-to-node-encryption-check Scope: ComplianceResourceTypes: - AWS::Elasticsearch::Domain Source: Owner: AWS SourceIdentifier: ELASTICSEARCH_NODE_TO_NODE_ENCRYPTION_CHECK Description: "MUST 16.1.37.C.01[CID:1847], SHOULD 22.1.24.C.04[CID:4839]| Access Control and Passwords/Identification, Authentication and Passwords/Protecting authentication data in..." ElbCrossZoneLoadBalancingEnabled: Controls: [ '4829' ] Type: AWS::Config::ConfigRule Properties: ConfigRuleName: elb-cross-zone-load-balancing-enabled Scope: ComplianceResourceTypes: - AWS::ElasticLoadBalancing::LoadBalancer Source: Owner: AWS SourceIdentifier: ELB_CROSS_ZONE_LOAD_BALANCING_ENABLED Description: "MUST 22.1.23.C.01[CID:4829]| Enterprise systems security/Cloud Computing/System Availability" ElbCustomSecurityPolicySslCheck: Controls: [ '2598', '2600' ] Type: AWS::Config::ConfigRule Properties: ConfigRuleName: elb-custom-security-policy-ssl-check InputParameters: sslProtocolsAndCiphers: 'Protocol-TLSv1.2,ECDHE-ECDSA-AES256-GCM-SHA384' Scope: ComplianceResourceTypes: - AWS::ElasticLoadBalancing::LoadBalancer Source: Owner: AWS SourceIdentifier: ELB_CUSTOM_SECURITY_POLICY_SSL_CHECK Description: "SHOULD 17.4.16.C.01[CID:2598], SHOULD NOT 17.4.16.C.02[CID:2600]| Cryptography/Transport Layer Security/Using TLS" ElbLoggingEnabled: Controls: [ '2013', '7496' ] Type: AWS::Config::ConfigRule Properties: ConfigRuleName: elb-logging-enabled Scope: ComplianceResourceTypes: - AWS::ElasticLoadBalancing::LoadBalancer - AWS::ElasticLoadBalancingV2::LoadBalancer Source: Owner: AWS SourceIdentifier: ELB_LOGGING_ENABLED Description: "SHOULD 16.6.10.C.02[CID:2013], MUST 23.5.11.C.01[CID:7496]| Access Control and Passwords/Event Logging and Auditing/Additional events to be logged and Public Cloud Se..." ElbTlsHttpsListenersOnly: Controls: [ '1667', '1847', '2090', '4839' ] Type: AWS::Config::ConfigRule Properties: ConfigRuleName: elb-tls-https-listeners-only Scope: ComplianceResourceTypes: - AWS::ElasticLoadBalancing::LoadBalancer Source: Owner: AWS SourceIdentifier: ELB_TLS_HTTPS_LISTENERS_ONLY Description: "SHOULD 14.5.8.C.01[CID:1667], MUST 16.1.37.C.01[CID:1847], MUST 17.1.55.C.02[CID:2090], SHOULD 22.1.24.C.04[CID:4839]| Software security/Web Application Development/We..." EncryptedVolumes: Controls: [ '2082', '4839' ] Type: AWS::Config::ConfigRule Properties: ConfigRuleName: encrypted-volumes Scope: ComplianceResourceTypes: - AWS::EC2::Volume Source: Owner: AWS SourceIdentifier: ENCRYPTED_VOLUMES Description: "SHOULD 17.1.53.C.04[CID:2082], SHOULD 22.1.24.C.04[CID:4839]| Cryptography/Cryptographic Fundamentals/Reducing storage and physical transfer requirements and Enterpri..." IamPasswordPolicy: Controls: [ '7545', '7546' ] Type: AWS::Config::ConfigRule Properties: ConfigRuleName: iam-password-policy InputParameters: MaxPasswordAge: '1095' MinimumPasswordLength: '16' PasswordReusePrevention: '24' RequireUppercaseCharacters: 'false' RequireLowercaseCharacters: 'false' RequireSymbols: 'false' RequireNumbers: 'false' Source: Owner: AWS SourceIdentifier: IAM_PASSWORD_POLICY Description: "MUST 16.1.31.C.02[CID:7545], MUST 16.1.31.C.03[CID:7546]| Access Control and Passwords/Identification, Authentication and Authentication/Passwords and policy" RdsAutomaticMinorVersionUpgradeEnabled: Controls: [ '3452' ] Type: AWS::Config::ConfigRule Properties: ConfigRuleName: rds-automatic-minor-version-upgrade-enabled Scope: ComplianceResourceTypes: - AWS::RDS::DBInstance Source: Owner: AWS SourceIdentifier: RDS_AUTOMATIC_MINOR_VERSION_UPGRADE_ENABLED Description: "SHOULD 12.4.4.C.05[CID:3452]| Product Security/Product Patching and Updating/Patching vulnerabilities in products" RdsClusterDeletionProtectionEnabled: Controls: [ '4849' ] Type: AWS::Config::ConfigRule Properties: ConfigRuleName: rds-cluster-deletion-protection-enabled Scope: ComplianceResourceTypes: - AWS::RDS::DBCluster Source: Owner: AWS SourceIdentifier: RDS_CLUSTER_DELETION_PROTECTION_ENABLED Description: "MUST 22.1.26.C.01[CID:4849]| Enterprise systems security/Cloud Computing/Backup, Recovery Archiving and Data Remanence" RdsInstanceDeletionProtectionEnabled: Controls: [ '4849' ] Type: AWS::Config::ConfigRule Properties: ConfigRuleName: rds-instance-deletion-protection-enabled Scope: ComplianceResourceTypes: - AWS::RDS::DBInstance Source: Owner: AWS SourceIdentifier: RDS_INSTANCE_DELETION_PROTECTION_ENABLED Description: "MUST 22.1.26.C.01[CID:4849]| Enterprise systems security/Cloud Computing/Backup, Recovery Archiving and Data Remanence" RdsInstancePublicAccessCheck: Controls: [ '3562', '3623', '7466' ] Type: AWS::Config::ConfigRule Properties: ConfigRuleName: rds-instance-public-access-check Scope: ComplianceResourceTypes: - AWS::RDS::DBInstance Source: Owner: AWS SourceIdentifier: RDS_INSTANCE_PUBLIC_ACCESS_CHECK Description: "MUST 19.1.12.C.01[CID:3562], SHOULD 19.1.14.C.02[CID:3623], MUST 23.4.10.C.01[CID:7466]| Gateway security/Gateways: (Configuration of gateways and Demilitarised zones..." RdsLoggingEnabled: Controls: [ '2013', '4441', '4445', '7496' ] Type: AWS::Config::ConfigRule Properties: ConfigRuleName: rds-logging-enabled Scope: ComplianceResourceTypes: - AWS::RDS::DBInstance Source: Owner: AWS SourceIdentifier: RDS_LOGGING_ENABLED Description: "SHOULD 16.6.10.C.02[CID:2013], SHOULD 20.4.4.C.02[CID:4441], SHOULD 20.4.5.C.02[CID:4445], MUST 23.5.11.C.01[CID:7496]| Access Control and Passwords/Event Logging and ..." RdsSnapshotEncrypted: Controls: [ '2082', '4441', '4839' ] Type: AWS::Config::ConfigRule Properties: ConfigRuleName: rds-snapshot-encrypted Scope: ComplianceResourceTypes: - AWS::RDS::DBSnapshot - AWS::RDS::DBClusterSnapshot Source: Owner: AWS SourceIdentifier: RDS_SNAPSHOT_ENCRYPTED Description: "SHOULD 17.1.53.C.04[CID:2082], SHOULD 20.4.4.C.02[CID:4441], SHOULD 22.1.24.C.04[CID:4839]| Cryptography/Cryptographic Fundamentals/Reducing storage and physical trans..." RdsSnapshotsPublicProhibited: Controls: [ '4441' ] Type: AWS::Config::ConfigRule Properties: ConfigRuleName: rds-snapshots-public-prohibited Scope: ComplianceResourceTypes: - AWS::RDS::DBSnapshot - AWS::RDS::DBClusterSnapshot Source: Owner: AWS SourceIdentifier: RDS_SNAPSHOTS_PUBLIC_PROHIBITED Description: "SHOULD 20.4.4.C.02[CID:4441]| Data management/Databases/Database files" RdsStorageEncrypted: Controls: [ '2082', '4441', '4839' ] Type: AWS::Config::ConfigRule Properties: ConfigRuleName: rds-storage-encrypted Scope: ComplianceResourceTypes: - AWS::RDS::DBInstance Source: Owner: AWS SourceIdentifier: RDS_STORAGE_ENCRYPTED Description: "SHOULD 17.1.53.C.04[CID:2082], SHOULD 20.4.4.C.02[CID:4441], SHOULD 22.1.24.C.04[CID:4839]| Cryptography/Cryptographic Fundamentals/Reducing storage and physical trans..." RedshiftBackupEnabled: Controls: [ '4849' ] Type: AWS::Config::ConfigRule Properties: ConfigRuleName: redshift-backup-enabled Scope: ComplianceResourceTypes: - AWS::Redshift::Cluster Source: Owner: AWS SourceIdentifier: REDSHIFT_BACKUP_ENABLED Description: "MUST 22.1.26.C.01[CID:4849]| Enterprise systems security/Cloud Computing/Backup, Recovery Archiving and Data Remanence" RedshiftClusterConfigurationCheck: Controls: [ '4441', '4445', '4839' ] Type: AWS::Config::ConfigRule Properties: ConfigRuleName: redshift-cluster-configuration-check InputParameters: clusterDbEncrypted: 'true' loggingEnabled: 'true' Scope: ComplianceResourceTypes: - AWS::Redshift::Cluster Source: Owner: AWS SourceIdentifier: REDSHIFT_CLUSTER_CONFIGURATION_CHECK Description: "SHOULD 20.4.4.C.02[CID:4441], SHOULD 20.4.5.C.02[CID:4445], SHOULD 22.1.24.C.04[CID:4839]| Data management/Databases: (Database files and Accountability) and Enterpr..." RedshiftClusterMaintenancesettingsCheck: Controls: [ '3449', '3453' ] Type: AWS::Config::ConfigRule Properties: ConfigRuleName: redshift-cluster-maintenancesettings-check InputParameters: allowVersionUpgrade: 'true' Scope: ComplianceResourceTypes: - AWS::Redshift::Cluster Source: Owner: AWS SourceIdentifier: REDSHIFT_CLUSTER_MAINTENANCESETTINGS_CHECK Description: "MUST 12.4.4.C.02[CID:3449], SHOULD 12.4.4.C.06[CID:3453]| Product Security/Product Patching and Updating/Patching vulnerabilities in products" RedshiftClusterPublicAccessCheck: Controls: [ '3562', '3623', '7466' ] Type: AWS::Config::ConfigRule Properties: ConfigRuleName: redshift-cluster-public-access-check Scope: ComplianceResourceTypes: - AWS::Redshift::Cluster Source: Owner: AWS SourceIdentifier: REDSHIFT_CLUSTER_PUBLIC_ACCESS_CHECK Description: "MUST 19.1.12.C.01[CID:3562], SHOULD 19.1.14.C.02[CID:3623], MUST 23.4.10.C.01[CID:7466]| Gateway security/Gateways: (Configuration of gateways and Demilitarised zones..." RedshiftRequireTlsSsl: Controls: [ '2090', '4839' ] Type: AWS::Config::ConfigRule Properties: ConfigRuleName: redshift-require-tls-ssl Scope: ComplianceResourceTypes: - AWS::Redshift::Cluster Source: Owner: AWS SourceIdentifier: REDSHIFT_REQUIRE_TLS_SSL Description: "MUST 17.1.55.C.02[CID:2090], SHOULD 22.1.24.C.04[CID:4839]| Cryptography/Cryptographic Fundamentals/Information and Systems Protection and Enterprise systems security..." RestrictedSsh: Controls: [ '2726' ] Type: AWS::Config::ConfigRule Properties: ConfigRuleName: restricted-ssh Scope: ComplianceResourceTypes: - AWS::EC2::SecurityGroup Source: Owner: AWS SourceIdentifier: INCOMING_SSH_DISABLED Description: "SHOULD 17.5.8.C.02[CID:2726]| Cryptography/Secure Shell/Automated remote access" S3AccountLevelPublicAccessBlocksPeriodic: Controls: [ '3562', '4838', '7466' ] Type: AWS::Config::ConfigRule Properties: ConfigRuleName: s3-account-level-public-access-blocks-periodic Source: Owner: AWS SourceIdentifier: S3_ACCOUNT_LEVEL_PUBLIC_ACCESS_BLOCKS_PERIODIC Description: "MUST 19.1.12.C.01[CID:3562], SHOULD 22.1.24.C.03[CID:4838], MUST 23.4.10.C.01[CID:7466]| Gateway security/Gateways/Configuration of gateways and Enterprise systems se..." S3BucketPublicReadProhibited: Controls: [ '4838' ] Type: AWS::Config::ConfigRule Properties: ConfigRuleName: s3-bucket-public-read-prohibited Scope: ComplianceResourceTypes: - AWS::S3::Bucket Source: Owner: AWS SourceIdentifier: S3_BUCKET_PUBLIC_READ_PROHIBITED Description: "SHOULD 22.1.24.C.03[CID:4838]| Enterprise systems security/Cloud Computing/Unauthorised Access" S3BucketPublicWriteProhibited: Controls: [ '4838' ] Type: AWS::Config::ConfigRule Properties: ConfigRuleName: s3-bucket-public-write-prohibited Scope: ComplianceResourceTypes: - AWS::S3::Bucket Source: Owner: AWS SourceIdentifier: S3_BUCKET_PUBLIC_WRITE_PROHIBITED Description: "SHOULD 22.1.24.C.03[CID:4838]| Enterprise systems security/Cloud Computing/Unauthorised Access" S3BucketServerSideEncryptionEnabled: Controls: [ '2082' ] Type: AWS::Config::ConfigRule Properties: ConfigRuleName: s3-bucket-server-side-encryption-enabled Scope: ComplianceResourceTypes: - AWS::S3::Bucket Source: Owner: AWS SourceIdentifier: S3_BUCKET_SERVER_SIDE_ENCRYPTION_ENABLED Description: "SHOULD 17.1.53.C.04[CID:2082]| Cryptography/Cryptographic Fundamentals/Reducing storage and physical transfer requirements" S3BucketSslRequestsOnly: Controls: [ '4839' ] Type: AWS::Config::ConfigRule Properties: ConfigRuleName: s3-bucket-ssl-requests-only Scope: ComplianceResourceTypes: - AWS::S3::Bucket Source: Owner: AWS SourceIdentifier: S3_BUCKET_SSL_REQUESTS_ONLY Description: "SHOULD 22.1.24.C.04[CID:4839]| Enterprise systems security/Cloud Computing/Unauthorised Access" SecretsmanagerUsingCmk: Controls: [ '4839' ] Type: AWS::Config::ConfigRule Properties: ConfigRuleName: secretsmanager-using-cmk Scope: ComplianceResourceTypes: - AWS::SecretsManager::Secret Source: Owner: AWS SourceIdentifier: SECRETSMANAGER_USING_CMK Description: "SHOULD 22.1.24.C.04[CID:4839]| Enterprise systems security/Cloud Computing/Unauthorised Access" SecurityhubEnabled: Controls: [ '3875' ] Type: AWS::Config::ConfigRule Properties: ConfigRuleName: securityhub-enabled Source: Owner: AWS SourceIdentifier: SECURITYHUB_ENABLED Description: "SHOULD 18.4.12.C.01[CID:3875]| Network security/Intrusion Detection and Prevention/Event management and correlation" SsmDocumentNotPublic: Controls: [ '7466' ] Type: AWS::Config::ConfigRule Properties: ConfigRuleName: ssm-document-not-public Source: Owner: AWS SourceIdentifier: SSM_DOCUMENT_NOT_PUBLIC Description: "MUST 23.4.10.C.01[CID:7466]| Public Cloud Security/Data Protection in Public Cloud/Data accessibility" VpcDefaultSecurityGroupClosed: Controls: [ '3562', '7466' ] Type: AWS::Config::ConfigRule Properties: ConfigRuleName: vpc-default-security-group-closed Scope: ComplianceResourceTypes: - AWS::EC2::SecurityGroup Source: Owner: AWS SourceIdentifier: VPC_DEFAULT_SECURITY_GROUP_CLOSED Description: "MUST 19.1.12.C.01[CID:3562], MUST 23.4.10.C.01[CID:7466]| Gateway security/Gateways/Configuration of gateways and Public Cloud Security/Data Protection in Public Clou..." VpcFlowLogsEnabled: Controls: [ '3562', '7466' ] Type: AWS::Config::ConfigRule Properties: ConfigRuleName: vpc-flow-logs-enabled Source: Owner: AWS SourceIdentifier: VPC_FLOW_LOGS_ENABLED Description: "MUST 19.1.12.C.01[CID:3562], MUST 23.4.10.C.01[CID:7466]| Gateway security/Gateways/Configuration of gateways and Public Cloud Security/Data Protection in Public Clou..." VpcSgOpenOnlyToAuthorizedPorts: Controls: [ '3205' ] Type: AWS::Config::ConfigRule Properties: ConfigRuleName: vpc-sg-open-only-to-authorized-ports InputParameters: authorizedTcpPorts: '443' Scope: ComplianceResourceTypes: - AWS::EC2::SecurityGroup Source: Owner: AWS SourceIdentifier: VPC_SG_OPEN_ONLY_TO_AUTHORIZED_PORTS Description: "SHOULD 18.1.13.C.02[CID:3205]| Network security/Network Management/Limiting network access"
