Limiti regionali sui controlli CSPM di Security Hub

[ElastiCache.4] i gruppi di ElastiCache replica devono essere crittografati quando sono inattivi

[ElastiCache.5] i gruppi di ElastiCache replica devono essere crittografati in transito

[ElastiCache.6] ElastiCache (Redis OSS) i gruppi di replica delle versioni precedenti devono avere Redis OSS AUTH abilitato

[ElastiCache.7] i ElastiCache cluster non devono utilizzare il gruppo di sottoreti predefinito

[GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati

[S3.24] Gli access point S3 Multi-Region devono avere le impostazioni di blocco dell'accesso pubblico abilitate

[AppSync.1]AWS AppSyncLe cache delle API devono essere crittografate quando sono inattive

[AppSync.6]AWS AppSyncLe cache delle API devono essere crittografate in transito

[CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato

[CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito

[CloudFront.4] le CloudFront distribuzioni dovrebbero avere il failover di origine configurato

[CloudFront.5] CloudFront le distribuzioni dovrebbero avere la registrazione abilitata

[CloudFront.6] le CloudFront distribuzioni devono avere WAF abilitato

[CloudFront.7] CloudFront le distribuzioni devono utilizzare certificati personalizzati SSL/TLS

[CloudFront.8] CloudFront le distribuzioni devono utilizzare SNI per soddisfare le richieste HTTPS

[CloudFront.9] CloudFront le distribuzioni devono crittografare il traffico verso origini personalizzate

[CloudFront.10] CloudFront le distribuzioni non devono utilizzare protocolli SSL obsoleti tra edge location e origini personalizzate

[CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti

[CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine

[CloudFront.14] CloudFront le distribuzioni devono essere etichettate

[CloudFront.15] CloudFront le distribuzioni devono utilizzare la politica di sicurezza TLS consigliata

[CloudFront.16] CloudFront le distribuzioni dovrebbero utilizzare il controllo dell'accesso all'origine per le origini degli URL della funzione Lambda

[CloudFront.17] CloudFront le distribuzioni devono utilizzare gruppi di chiavi affidabili per URL e cookie firmati

[Connect.1] I tipi di oggetto Amazon Connect Customer Profiles devono essere etichettati

[Connect.2] Le istanze Connect Customer devono avere la CloudWatch registrazione abilitata

[EC2.24] I tipi di istanze paravirtuali di Amazon EC2 non devono essere utilizzati

[EC2.173] Le richieste EC2 Spot Fleet con parametri di avvio dovrebbero abilitare la crittografia per i volumi EBS collegati

[ECR.4] Gli archivi pubblici ECR devono essere etichettati

[GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati

[IAM.26] SSL/TLS I certificati scaduti gestiti in IAM devono essere rimossi

[IoTTwinMaker.1]AWSI lavori di TwinMaker sincronizzazione IoT devono essere etichettati

[IoTTwinMaker.2]AWS TwinMaker Gli spazi di lavoro IoT devono essere etichettati

[IoTTwinMaker.3]AWS TwinMaker Le scene IoT devono essere etichettate

[IoTTwinMaker.4]AWS TwinMaker Le entità IoT devono essere etichettate

[IoTWireless.1]AWSI gruppi multicast IoT Wireless devono essere etichettati

[IoTWireless.2]AWSI profili dei servizi IoT Wireless devono essere etichettati

[IoTWireless.3]AWSLe attività IoT FUOTA devono essere etichettate

[IVS.1] Le coppie di tasti di riproduzione IVS devono essere etichettate

[IVS.2] Le configurazioni di registrazione IVS devono essere etichettate

[IVS.3] I canali IVS devono essere etichettati

[RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati

[Route53.1] I controlli sanitari della Route 53 devono essere etichettati

[Route53.2] Le zone ospitate pubbliche di Route 53 devono registrare le query DNS

[S3.24] Gli access point S3 Multi-Region devono avere le impostazioni di blocco dell'accesso pubblico abilitate

[WAF.1]AWS WAFLa registrazione ACL Global Web classica deve essere abilitata

[WAF.6]AWS WAFLe regole globali classiche devono avere almeno una condizione

[WAF.7]AWS WAFI gruppi di regole globali classici devono avere almeno una regola

[WAF.8]AWS WAFGli ACL Web globali classici devono avere almeno una regola o un gruppo di regole

[WorkSpaces.1] i volumi WorkSpaces utente devono essere crittografati quando sono inattivi

[WorkSpaces.2] i volumi WorkSpaces root devono essere crittografati quando sono inattivi

[AppRunner.1] I servizi App Runner devono essere etichettati

[AppRunner.2] I connettori VPC App Runner devono essere etichettati

[AppSync.1]AWS AppSyncLe cache delle API devono essere crittografate quando sono inattive

[AppSync.6]AWS AppSyncLe cache delle API devono essere crittografate in transito

[BedrockAgentCore.1] I AgentCore runtime Bedrock devono essere configurati con la modalità di rete VPC

[BedrockAgentCore.2] Bedrock AgentCore Gateways dovrebbe richiedere l'autorizzazione per le richieste in entrata

[BedrockAgentCore.3] Bedrock AgentCore Memory deve essere crittografata e gestita dal clienteAWS KMSkeys

[BedrockAgentCore.4] Bedrock AgentCore Gateway deve essere crittografato con Customer ManagedAWS KMSkeys

[BedrockAgentCore.5] I browser personalizzati AgentCore Bedrock non devono utilizzare la modalità di rete pubblica

[BedrockAgentCore.6] I browser AgentCore personalizzati Bedrock devono avere la registrazione delle sessioni abilitata

[CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato

[CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito

[CloudFront.4] le CloudFront distribuzioni dovrebbero avere il failover di origine configurato

[CloudFront.5] CloudFront le distribuzioni dovrebbero avere la registrazione abilitata

[CloudFront.6] le CloudFront distribuzioni devono avere WAF abilitato

[CloudFront.7] CloudFront le distribuzioni devono utilizzare certificati personalizzati SSL/TLS

[CloudFront.8] CloudFront le distribuzioni devono utilizzare SNI per soddisfare le richieste HTTPS

[CloudFront.9] CloudFront le distribuzioni devono crittografare il traffico verso origini personalizzate

[CloudFront.10] CloudFront le distribuzioni non devono utilizzare protocolli SSL obsoleti tra edge location e origini personalizzate

[CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti

[CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine

[CloudFront.14] CloudFront le distribuzioni devono essere etichettate

[CloudFront.15] CloudFront le distribuzioni devono utilizzare la politica di sicurezza TLS consigliata

[CloudFront.16] CloudFront le distribuzioni dovrebbero utilizzare il controllo dell'accesso all'origine per le origini degli URL della funzione Lambda

[CloudFront.17] CloudFront le distribuzioni devono utilizzare gruppi di chiavi affidabili per URL e cookie firmati

[CodeArtifact.1] i CodeArtifact repository devono essere etichettati

[CodeGuruProfiler.1] I gruppi CodeGuru di profilazione Profiler devono essere etichettati

[CodeGuruReviewer.1] Le associazioni CodeGuru dei repository dei revisori devono essere etichettate

[Connect.1] I tipi di oggetto Amazon Connect Customer Profiles devono essere etichettati

[Connect.2] Le istanze Connect Customer devono avere la CloudWatch registrazione abilitata

[DocumentDB.1] I cluster Amazon DocumentDB devono essere crittografati quando sono inattivi

[DocumentDB.2] I cluster Amazon DocumentDB devono avere un periodo di conservazione dei backup adeguato

[DocumentDB.3] Le istantanee manuali dei cluster di Amazon DocumentDB non devono essere pubbliche

[DocumentDB.4] I cluster Amazon DocumentDB devono pubblicare i log di controllo su Logs CloudWatch

[DocumentDB.5] I cluster Amazon DocumentDB devono avere la protezione da eliminazione abilitata

[DocumentDB.6] I cluster Amazon DocumentDB devono essere crittografati in transito

[EC2.173] Le richieste EC2 Spot Fleet con parametri di avvio dovrebbero abilitare la crittografia per i volumi EBS collegati

[ECR.4] Gli archivi pubblici ECR devono essere etichettati

[FraudDetector.1] I tipi di entità Amazon Fraud Detector devono essere etichettati

[FraudDetector.2] Le etichette di Amazon Fraud Detector devono essere etichettate

[FraudDetector.3] I risultati di Amazon Fraud Detector devono essere etichettati

[FraudDetector.4] Le variabili di Amazon Fraud Detector devono essere etichettate

[GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati

[IAM.26] SSL/TLS I certificati scaduti gestiti in IAM devono essere rimossi

[Inspector.3] La scansione del codice Amazon Inspector Lambda deve essere abilitata

[IoTEvents.1]AWSGli input di IoT Events devono essere etichettati

[IoTEvents.2]AWSI modelli di rilevatori IoT Events devono essere etichettati

[IoTEvents.3]AWSI modelli di allarme IoT Events devono essere etichettati

[IoTSiteWise.1]AWSI modelli di SiteWise asset IoT devono essere etichettati

[IoTSiteWise.2]AWSI SiteWise dashboard IoT devono essere etichettati

[IoTSiteWise.3]AWS SiteWise I gateway IoT devono essere etichettati

[IoTSiteWise.4]AWS SiteWise I portali IoT devono essere etichettati

[IoTSiteWise.5]AWS SiteWise I progetti IoT devono essere etichettati

[IoTTwinMaker.1]AWSI lavori di TwinMaker sincronizzazione IoT devono essere etichettati

[IoTTwinMaker.2]AWS TwinMaker Gli spazi di lavoro IoT devono essere etichettati

[IoTTwinMaker.3]AWS TwinMaker Le scene IoT devono essere etichettate

[IoTTwinMaker.4]AWS TwinMaker Le entità IoT devono essere etichettate

[IoTWireless.1]AWSI gruppi multicast IoT Wireless devono essere etichettati

[IoTWireless.2]AWSI profili dei servizi IoT Wireless devono essere etichettati

[IoTWireless.3]AWSLe attività IoT FUOTA devono essere etichettate

[IVS.1] Le coppie di tasti di riproduzione IVS devono essere etichettate

[IVS.2] Le configurazioni di registrazione IVS devono essere etichettate

[IVS.3] I canali IVS devono essere etichettati

[] RDS.35 I cluster RDS DB devono avere l'aggiornamento automatico delle versioni secondarie abilitato

[RDS.47] I cluster DB RDS per PostgreSQL devono essere configurati per copiare i tag nelle istantanee del DB

[RDS.48] I cluster RDS per MySQL DB devono essere configurati per copiare i tag nelle istantanee del DB

[Redshift.18] I cluster Redshift dovrebbero avere le implementazioni abilitate Multi-AZ

[Route53.1] I controlli sanitari della Route 53 devono essere etichettati

[Route53.2] Le zone ospitate pubbliche di Route 53 devono registrare le query DNS

[S3.24] Gli access point S3 Multi-Region devono avere le impostazioni di blocco dell'accesso pubblico abilitate

[S3.25] I bucket di directory S3 devono avere configurazioni del ciclo di vita

[WAF.1]AWS WAFLa registrazione ACL Global Web classica deve essere abilitata

[WAF.6]AWS WAFLe regole globali classiche devono avere almeno una condizione

[WAF.7]AWS WAFI gruppi di regole globali classici devono avere almeno una regola

[WAF.8]AWS WAFGli ACL Web globali classici devono avere almeno una regola o un gruppo di regole

[WorkSpaces.1] i volumi WorkSpaces utente devono essere crittografati quando sono inattivi

[WorkSpaces.2] i volumi WorkSpaces root devono essere crittografati quando sono inattivi

[AppSync.1]AWS AppSyncLe cache delle API devono essere crittografate quando sono inattive

[AppSync.6]AWS AppSyncLe cache delle API devono essere crittografate in transito

[BedrockAgentCore.3] Bedrock AgentCore Memory deve essere crittografata e gestita dal clienteAWS KMSkeys

[CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato

[CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito

[CloudFront.4] le CloudFront distribuzioni dovrebbero avere il failover di origine configurato

[CloudFront.5] CloudFront le distribuzioni dovrebbero avere la registrazione abilitata

[CloudFront.6] le CloudFront distribuzioni devono avere WAF abilitato

[CloudFront.7] CloudFront le distribuzioni devono utilizzare certificati personalizzati SSL/TLS

[CloudFront.8] CloudFront le distribuzioni devono utilizzare SNI per soddisfare le richieste HTTPS

[CloudFront.9] CloudFront le distribuzioni devono crittografare il traffico verso origini personalizzate

[CloudFront.10] CloudFront le distribuzioni non devono utilizzare protocolli SSL obsoleti tra edge location e origini personalizzate

[CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti

[CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine

[CloudFront.14] CloudFront le distribuzioni devono essere etichettate

[CloudFront.15] CloudFront le distribuzioni devono utilizzare la politica di sicurezza TLS consigliata

[CloudFront.16] CloudFront le distribuzioni dovrebbero utilizzare il controllo dell'accesso all'origine per le origini degli URL della funzione Lambda

[CloudFront.17] CloudFront le distribuzioni devono utilizzare gruppi di chiavi affidabili per URL e cookie firmati

[EC2.173] Le richieste EC2 Spot Fleet con parametri di avvio dovrebbero abilitare la crittografia per i volumi EBS collegati

[ECR.4] Gli archivi pubblici ECR devono essere etichettati

[IAM.26] SSL/TLS I certificati scaduti gestiti in IAM devono essere rimossi

[Route53.1] I controlli sanitari della Route 53 devono essere etichettati

[Route53.2] Le zone ospitate pubbliche di Route 53 devono registrare le query DNS

[WAF.1]AWS WAFLa registrazione ACL Global Web classica deve essere abilitata

[WAF.6]AWS WAFLe regole globali classiche devono avere almeno una condizione

[WAF.7]AWS WAFI gruppi di regole globali classici devono avere almeno una regola

[WAF.8]AWS WAFGli ACL Web globali classici devono avere almeno una regola o un gruppo di regole

[Amplify.1] Le app Amplify devono essere taggate

[Amplify.2] I rami Amplify devono essere etichettati

[AppRunner.1] I servizi App Runner devono essere etichettati

[AppRunner.2] I connettori VPC App Runner devono essere etichettati

[AppSync.1]AWS AppSyncLe cache delle API devono essere crittografate quando sono inattive

[AppSync.6]AWS AppSyncLe cache delle API devono essere crittografate in transito

[BedrockAgentCore.1] I AgentCore runtime Bedrock devono essere configurati con la modalità di rete VPC

[BedrockAgentCore.2] Bedrock AgentCore Gateways dovrebbe richiedere l'autorizzazione per le richieste in entrata

[BedrockAgentCore.3] Bedrock AgentCore Memory deve essere crittografata e gestita dal clienteAWS KMSkeys

[BedrockAgentCore.4] Bedrock AgentCore Gateway deve essere crittografato con Customer ManagedAWS KMSkeys

[BedrockAgentCore.5] I browser personalizzati AgentCore Bedrock non devono utilizzare la modalità di rete pubblica

[BedrockAgentCore.6] I browser AgentCore personalizzati Bedrock devono avere la registrazione delle sessioni abilitata

[CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato

[CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito

[CloudFront.4] le CloudFront distribuzioni dovrebbero avere il failover di origine configurato

[CloudFront.5] CloudFront le distribuzioni dovrebbero avere la registrazione abilitata

[CloudFront.6] le CloudFront distribuzioni devono avere WAF abilitato

[CloudFront.7] CloudFront le distribuzioni devono utilizzare certificati personalizzati SSL/TLS

[CloudFront.8] CloudFront le distribuzioni devono utilizzare SNI per soddisfare le richieste HTTPS

[CloudFront.9] CloudFront le distribuzioni devono crittografare il traffico verso origini personalizzate

[CloudFront.10] CloudFront le distribuzioni non devono utilizzare protocolli SSL obsoleti tra edge location e origini personalizzate

[CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti

[CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine

[CloudFront.14] CloudFront le distribuzioni devono essere etichettate

[CloudFront.15] CloudFront le distribuzioni devono utilizzare la politica di sicurezza TLS consigliata

[CloudFront.16] CloudFront le distribuzioni dovrebbero utilizzare il controllo dell'accesso all'origine per le origini degli URL della funzione Lambda

[CloudFront.17] CloudFront le distribuzioni devono utilizzare gruppi di chiavi affidabili per URL e cookie firmati

[CodeArtifact.1] i CodeArtifact repository devono essere etichettati

[CodeGuruProfiler.1] I gruppi CodeGuru di profilazione Profiler devono essere etichettati

[CodeGuruReviewer.1] Le associazioni CodeGuru dei repository dei revisori devono essere etichettate

[Cognito.1] I pool di utenti di Cognito dovrebbero avere la protezione dalle minacce attivata con la modalità di imposizione completa delle funzioni per l'autenticazione standard

[DMS.10] Gli endpoint DMS per i database Neptune devono avere l'autorizzazione IAM abilitata

[DocumentDB.1] I cluster Amazon DocumentDB devono essere crittografati quando sono inattivi

[DocumentDB.2] I cluster Amazon DocumentDB devono avere un periodo di conservazione dei backup adeguato

[DocumentDB.3] Le istantanee manuali dei cluster di Amazon DocumentDB non devono essere pubbliche

[DocumentDB.4] I cluster Amazon DocumentDB devono pubblicare i log di controllo su Logs CloudWatch

[DocumentDB.5] I cluster Amazon DocumentDB devono avere la protezione da eliminazione abilitata

[DocumentDB.6] I cluster Amazon DocumentDB devono essere crittografati in transito

[DynamoDB.3] I cluster DynamoDB Accelerator (DAX) devono essere crittografati quando sono inattivi

[DynamoDB.7] I cluster DynamoDB Accelerator devono essere crittografati in transito

[EC2.4] Le istanze EC2 interrotte devono essere rimosse dopo un periodo di tempo specificato

[EC2.14] I gruppi di sicurezza non dovrebbero consentire l'ingresso da 0.0.0. 0/0 oppure: :/0 alla porta 3389

[EC2.24] I tipi di istanze paravirtuali di Amazon EC2 non devono essere utilizzati

[EC2.58] I VPC devono essere configurati con un endpoint di interfaccia per Systems Manager Incident Manager Contacts

[EC2.60] I VPC devono essere configurati con un endpoint di interfaccia per Systems Manager Incident Manager

[EC2.173] Le richieste EC2 Spot Fleet con parametri di avvio dovrebbero abilitare la crittografia per i volumi EBS collegati

[EC2.177] Le sessioni Traffic Mirror di EC2 devono essere etichettate

[EC2.179] Gli obiettivi del traffic mirror di EC2 devono essere etichettati

[ECR.4] Gli archivi pubblici ECR devono essere etichettati

[ELB.2] I sistemi Classic Load Balancer con SSL/HTTPS listener devono utilizzare un certificato fornito daAWS Certificate Manager

[ES.3] I domini Elasticsearch devono crittografare i dati inviati tra i nodi

[EventBridge.4] gli endpoint EventBridge globali dovrebbero avere la replica degli eventi abilitata

[FraudDetector.1] I tipi di entità Amazon Fraud Detector devono essere etichettati

[FraudDetector.2] Le etichette di Amazon Fraud Detector devono essere etichettate

[FraudDetector.3] I risultati di Amazon Fraud Detector devono essere etichettati

[FraudDetector.4] Le variabili di Amazon Fraud Detector devono essere etichettate

[GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati

[IAM.18] Assicurati che sia stato creato un ruolo di supporto per gestire gli incidenti conSupporto AWS

[IAM.26] SSL/TLS I certificati scaduti gestiti in IAM devono essere rimossi

[Inspector.3] La scansione del codice Amazon Inspector Lambda deve essere abilitata

[IoT.1]AWS IoT Device Defenderi profili di sicurezza devono essere etichettati

[IoT.2]AWS IoT Corele azioni di mitigazione devono essere etichettate

[IoT.3]AWS IoT Corele dimensioni devono essere etichettate

[IoT.4]AWS IoT Coregli autorizzatori devono essere etichettati

[IoT.5]AWS IoT Coregli alias di ruolo devono essere etichettati

[IoT.6]AWS IoT Corele politiche devono essere etichettate

[IoTEvents.1]AWSGli input di IoT Events devono essere etichettati

[IoTEvents.2]AWSI modelli di rilevatori IoT Events devono essere etichettati

[IoTEvents.3]AWSI modelli di allarme IoT Events devono essere etichettati

[IoTSiteWise.1]AWSI modelli di SiteWise asset IoT devono essere etichettati

[IoTSiteWise.2]AWSI SiteWise dashboard IoT devono essere etichettati

[IoTSiteWise.3]AWS SiteWise I gateway IoT devono essere etichettati

[IoTSiteWise.4]AWS SiteWise I portali IoT devono essere etichettati

[IoTSiteWise.5]AWS SiteWise I progetti IoT devono essere etichettati

[IoTTwinMaker.1]AWSI lavori di TwinMaker sincronizzazione IoT devono essere etichettati

[IoTTwinMaker.2]AWS TwinMaker Gli spazi di lavoro IoT devono essere etichettati

[IoTTwinMaker.3]AWS TwinMaker Le scene IoT devono essere etichettate

[IoTTwinMaker.4]AWS TwinMaker Le entità IoT devono essere etichettate

[IoTWireless.1]AWSI gruppi multicast IoT Wireless devono essere etichettati

[IoTWireless.2]AWSI profili dei servizi IoT Wireless devono essere etichettati

[IoTWireless.3]AWSLe attività IoT FUOTA devono essere etichettate

[IVS.1] Le coppie di tasti di riproduzione IVS devono essere etichettate

[IVS.2] Le configurazioni di registrazione IVS devono essere etichettate

[IVS.3] I canali IVS devono essere etichettati

[Keyspaces.1] Gli spazi chiave di Amazon Keyspaces devono essere etichettati

[MSK.3] I connettori MSK Connect devono essere crittografati in transito

[MSK.5] I connettori MSK devono avere la registrazione abilitata

[RDS.1] L'istantanea RDS deve essere privata

[RDS.14] I cluster Amazon Aurora dovrebbero avere il backtracking abilitato

[RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati

[RedshiftServerless.1] I gruppi di lavoro Serverless di Amazon Redshift devono utilizzare un routing VPC avanzato

[RedshiftServerless.2] Le connessioni ai gruppi di lavoro Serverless di Redshift devono essere necessarie per utilizzare SSL

[RedshiftServerless.3] I gruppi di lavoro Serverless di Redshift dovrebbero vietare l'accesso pubblico

[RedshiftServerless.4] I namespace Serverless di Redshift devono essere crittografati con gestione del clienteAWS KMS keys

[RedshiftServerless.5] I namespace Redshift Serverless non devono utilizzare il nome utente amministratore predefinito

[RedshiftServerless.6] I namespace Redshift Serverless dovrebbero esportare i log in Logs CloudWatch

[Route53.1] I controlli sanitari della Route 53 devono essere etichettati

[Route53.2] Le zone ospitate pubbliche di Route 53 devono registrare le query DNS

[S3.24] Gli access point S3 Multi-Region devono avere le impostazioni di blocco dell'accesso pubblico abilitate

[S3.25] I bucket di directory S3 devono avere configurazioni del ciclo di vita

[SageMaker.9] le definizioni dei lavori SageMaker relativi alla qualità dei dati devono avere abilitata la crittografia del traffico tra container

[SageMaker.10] le definizioni dei processi di spiegabilità dei SageMaker modelli devono avere abilitata la crittografia del traffico tra container

[SageMaker.11] le definizioni dei processi di qualità SageMaker dei dati devono avere l'isolamento della rete abilitato

[SageMaker.12] le definizioni dei job di SageMaker model bias devono avere l'isolamento della rete abilitato

[SageMaker.13] le definizioni dei processi di qualità SageMaker del modello dovrebbero avere la crittografia del traffico tra container abilitata

[SageMaker.14] le pianificazioni di SageMaker monitoraggio dovrebbero avere l'isolamento della rete abilitato

[SageMaker.15] Le definizioni dei job di SageMaker model bias devono avere abilitata la crittografia del traffico tra container

[WAF.1]AWS WAFLa registrazione ACL Global Web classica deve essere abilitata

[WAF.6]AWS WAFLe regole globali classiche devono avere almeno una condizione

[WAF.7]AWS WAFI gruppi di regole globali classici devono avere almeno una regola

[WAF.8]AWS WAFGli ACL Web globali classici devono avere almeno una regola o un gruppo di regole

[AppFlow.1] I AppFlow flussi Amazon devono essere etichettati

[AppRunner.1] I servizi App Runner devono essere etichettati

[AppRunner.2] I connettori VPC App Runner devono essere etichettati

[AppSync.1]AWS AppSyncLe cache delle API devono essere crittografate quando sono inattive

[AppSync.6]AWS AppSyncLe cache delle API devono essere crittografate in transito

[BedrockAgentCore.1] I AgentCore runtime Bedrock devono essere configurati con la modalità di rete VPC

[BedrockAgentCore.2] Bedrock AgentCore Gateways dovrebbe richiedere l'autorizzazione per le richieste in entrata

[BedrockAgentCore.3] Bedrock AgentCore Memory deve essere crittografata e gestita dal clienteAWS KMSkeys

[BedrockAgentCore.4] Bedrock AgentCore Gateway deve essere crittografato con Customer ManagedAWS KMSkeys

[BedrockAgentCore.5] I browser personalizzati AgentCore Bedrock non devono utilizzare la modalità di rete pubblica

[BedrockAgentCore.6] I browser AgentCore personalizzati Bedrock devono avere la registrazione delle sessioni abilitata

[CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato

[CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito

[CloudFront.4] le CloudFront distribuzioni dovrebbero avere il failover di origine configurato

[CloudFront.5] CloudFront le distribuzioni dovrebbero avere la registrazione abilitata

[CloudFront.6] le CloudFront distribuzioni devono avere WAF abilitato

[CloudFront.7] CloudFront le distribuzioni devono utilizzare certificati personalizzati SSL/TLS

[CloudFront.8] CloudFront le distribuzioni devono utilizzare SNI per soddisfare le richieste HTTPS

[CloudFront.9] CloudFront le distribuzioni devono crittografare il traffico verso origini personalizzate

[CloudFront.10] CloudFront le distribuzioni non devono utilizzare protocolli SSL obsoleti tra edge location e origini personalizzate

[CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti

[CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine

[CloudFront.14] CloudFront le distribuzioni devono essere etichettate

[CloudFront.15] CloudFront le distribuzioni devono utilizzare la politica di sicurezza TLS consigliata

[CloudFront.16] CloudFront le distribuzioni dovrebbero utilizzare il controllo dell'accesso all'origine per le origini degli URL della funzione Lambda

[CloudFront.17] CloudFront le distribuzioni devono utilizzare gruppi di chiavi affidabili per URL e cookie firmati

[CodeArtifact.1] i CodeArtifact repository devono essere etichettati

[CodeGuruProfiler.1] I gruppi CodeGuru di profilazione Profiler devono essere etichettati

[CodeGuruReviewer.1] Le associazioni CodeGuru dei repository dei revisori devono essere etichettate

[Cognito.1] I pool di utenti di Cognito dovrebbero avere la protezione dalle minacce attivata con la modalità di imposizione completa delle funzioni per l'autenticazione standard

[Connect.1] I tipi di oggetto Amazon Connect Customer Profiles devono essere etichettati

[Connect.2] Le istanze Connect Customer devono avere la CloudWatch registrazione abilitata

[DynamoDB.3] I cluster DynamoDB Accelerator (DAX) devono essere crittografati quando sono inattivi

[DynamoDB.7] I cluster DynamoDB Accelerator devono essere crittografati in transito

[EC2.24] I tipi di istanze paravirtuali di Amazon EC2 non devono essere utilizzati

[EC2.58] I VPC devono essere configurati con un endpoint di interfaccia per Systems Manager Incident Manager Contacts

[EC2.60] I VPC devono essere configurati con un endpoint di interfaccia per Systems Manager Incident Manager

[EC2.173] Le richieste EC2 Spot Fleet con parametri di avvio dovrebbero abilitare la crittografia per i volumi EBS collegati

[ECR.4] Gli archivi pubblici ECR devono essere etichettati

[EventBridge.4] gli endpoint EventBridge globali dovrebbero avere la replica degli eventi abilitata

[FraudDetector.1] I tipi di entità Amazon Fraud Detector devono essere etichettati

[FraudDetector.2] Le etichette di Amazon Fraud Detector devono essere etichettate

[FraudDetector.3] I risultati di Amazon Fraud Detector devono essere etichettati

[FraudDetector.4] Le variabili di Amazon Fraud Detector devono essere etichettate

[GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati

[IAM.26] SSL/TLS I certificati scaduti gestiti in IAM devono essere rimossi

[Inspector.3] La scansione del codice Amazon Inspector Lambda deve essere abilitata

[IoTEvents.1]AWSGli input di IoT Events devono essere etichettati

[IoTEvents.2]AWSI modelli di rilevatori IoT Events devono essere etichettati

[IoTEvents.3]AWSI modelli di allarme IoT Events devono essere etichettati

[IoTSiteWise.1]AWSI modelli di SiteWise asset IoT devono essere etichettati

[IoTSiteWise.2]AWSI SiteWise dashboard IoT devono essere etichettati

[IoTSiteWise.3]AWS SiteWise I gateway IoT devono essere etichettati

[IoTSiteWise.4]AWS SiteWise I portali IoT devono essere etichettati

[IoTSiteWise.5]AWS SiteWise I progetti IoT devono essere etichettati

[IoTTwinMaker.1]AWSI lavori di TwinMaker sincronizzazione IoT devono essere etichettati

[IoTTwinMaker.2]AWS TwinMaker Gli spazi di lavoro IoT devono essere etichettati

[IoTTwinMaker.3]AWS TwinMaker Le scene IoT devono essere etichettate

[IoTTwinMaker.4]AWS TwinMaker Le entità IoT devono essere etichettate

[IoTWireless.1]AWSI gruppi multicast IoT Wireless devono essere etichettati

[IoTWireless.2]AWSI profili dei servizi IoT Wireless devono essere etichettati

[IoTWireless.3]AWSLe attività IoT FUOTA devono essere etichettate

[IVS.1] Le coppie di tasti di riproduzione IVS devono essere etichettate

[IVS.2] Le configurazioni di registrazione IVS devono essere etichettate

[IVS.3] I canali IVS devono essere etichettati

[MSK.3] I connettori MSK Connect devono essere crittografati in transito

[MSK.5] I connettori MSK devono avere la registrazione abilitata

[RDS.14] I cluster Amazon Aurora dovrebbero avere il backtracking abilitato

[RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati

[RedshiftServerless.1] I gruppi di lavoro Serverless di Amazon Redshift devono utilizzare un routing VPC avanzato

[RedshiftServerless.2] Le connessioni ai gruppi di lavoro Serverless di Redshift devono essere necessarie per utilizzare SSL

[Route53.1] I controlli sanitari della Route 53 devono essere etichettati

[Route53.2] Le zone ospitate pubbliche di Route 53 devono registrare le query DNS

[S3.24] Gli access point S3 Multi-Region devono avere le impostazioni di blocco dell'accesso pubblico abilitate

[S3.25] I bucket di directory S3 devono avere configurazioni del ciclo di vita

[SES.1] Gli elenchi di contatti SES devono essere etichettati

[SES.2] I set di configurazione SES devono essere etichettati

[SES.3] I set di configurazione SES devono avere TLS abilitato per l'invio di e-mail

[WAF.1]AWS WAFLa registrazione ACL Global Web classica deve essere abilitata

[WAF.6]AWS WAFLe regole globali classiche devono avere almeno una condizione

[WAF.7]AWS WAFI gruppi di regole globali classici devono avere almeno una regola

[WAF.8]AWS WAFGli ACL Web globali classici devono avere almeno una regola o un gruppo di regole

[WorkSpaces.1] i volumi WorkSpaces utente devono essere crittografati quando sono inattivi

[WorkSpaces.2] i volumi WorkSpaces root devono essere crittografati quando sono inattivi

[Account.2]Account AWSdovrebbe far parte di unAWS Organizationsorganizzazione

[APIGateway.8] Le rotte API Gateway devono specificare un tipo di autorizzazione

[APIGateway.9] La registrazione degli accessi deve essere configurata per API Gateway V2 Stages

[Amplify.1] Le app Amplify devono essere taggate

[Amplify.2] I rami Amplify devono essere etichettati

[AppConfig.1]AWS AppConfigle applicazioni devono essere etichettate

[AppConfig.2]AWS AppConfigi profili di configurazione devono essere etichettati

[AppConfig.3]AWS AppConfiggli ambienti devono essere etichettati

[AppFlow.1] I AppFlow flussi Amazon devono essere etichettati

[AppRunner.1] I servizi App Runner devono essere etichettati

[AppRunner.2] I connettori VPC App Runner devono essere etichettati

[AppSync.1]AWS AppSyncLe cache delle API devono essere crittografate quando sono inattive

[AppSync.6]AWS AppSyncLe cache delle API devono essere crittografate in transito

[Backup.1]AWS Backupi punti di ripristino devono essere crittografati quando sono inattivi

[BedrockAgentCore.1] I AgentCore runtime Bedrock devono essere configurati con la modalità di rete VPC

[BedrockAgentCore.2] Bedrock AgentCore Gateways dovrebbe richiedere l'autorizzazione per le richieste in entrata

[BedrockAgentCore.3] Bedrock AgentCore Memory deve essere crittografata e gestita dal clienteAWS KMSkeys

[BedrockAgentCore.4] Bedrock AgentCore Gateway deve essere crittografato con Customer ManagedAWS KMSkeys

[BedrockAgentCore.5] I browser personalizzati AgentCore Bedrock non devono utilizzare la modalità di rete pubblica

[BedrockAgentCore.6] I browser AgentCore personalizzati Bedrock devono avere la registrazione delle sessioni abilitata

[CloudFormation.3] gli CloudFormation stack dovrebbero avere la protezione dalla terminazione abilitata

[CloudFormation.4] gli CloudFormation stack devono avere ruoli di servizio associati

[CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato

[CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito

[CloudFront.4] le CloudFront distribuzioni dovrebbero avere il failover di origine configurato

[CloudFront.5] CloudFront le distribuzioni dovrebbero avere la registrazione abilitata

[CloudFront.6] le CloudFront distribuzioni devono avere WAF abilitato

[CloudFront.7] CloudFront le distribuzioni devono utilizzare certificati personalizzati SSL/TLS

[CloudFront.8] CloudFront le distribuzioni devono utilizzare SNI per soddisfare le richieste HTTPS

[CloudFront.9] CloudFront le distribuzioni devono crittografare il traffico verso origini personalizzate

[CloudFront.10] CloudFront le distribuzioni non devono utilizzare protocolli SSL obsoleti tra edge location e origini personalizzate

[CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti

[CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine

[CloudFront.14] CloudFront le distribuzioni devono essere etichettate

[CloudFront.15] CloudFront le distribuzioni devono utilizzare la politica di sicurezza TLS consigliata

[CloudFront.16] CloudFront le distribuzioni dovrebbero utilizzare il controllo dell'accesso all'origine per le origini degli URL della funzione Lambda

[CloudFront.17] CloudFront le distribuzioni devono utilizzare gruppi di chiavi affidabili per URL e cookie firmati

[CloudTrail.6] Assicurati che il bucket S3 utilizzato per archiviare i CloudTrail log non sia accessibile al pubblico

[CloudTrail.7] Assicurati che la registrazione degli accessi al bucket S3 sia abilitata sul bucket S3 CloudTrail

[CodeArtifact.1] i CodeArtifact repository devono essere etichettati

[CodeGuruProfiler.1] I gruppi CodeGuru di profilazione Profiler devono essere etichettati

[CodeGuruReviewer.1] Le associazioni CodeGuru dei repository dei revisori devono essere etichettate

[Cognito.1] I pool di utenti di Cognito dovrebbero avere la protezione dalle minacce attivata con la modalità di imposizione completa delle funzioni per l'autenticazione standard

[Cognito.2] I pool di identità di Cognito non dovrebbero consentire identità non autenticate

[Connect.1] I tipi di oggetto Amazon Connect Customer Profiles devono essere etichettati

[Connect.2] Le istanze Connect Customer devono avere la CloudWatch registrazione abilitata

[Detective.1] I grafici del comportamento dei Detective devono essere etichettati

[DMS.2] I certificati DMS devono essere etichettati

[DMS.3] Le sottoscrizioni agli eventi DMS devono essere contrassegnate

[DMS.4] Le istanze di replica DMS devono essere etichettate

[DMS.5] I sottoreti di replica DMS devono essere etichettati

[DMS.6] L'aggiornamento automatico delle versioni secondarie delle istanze di replica DMS deve essere abilitato

[DMS.7] Le attività di replica DMS per il database di destinazione devono avere la registrazione abilitata

[DMS.8] Le attività di replica DMS per il database di origine devono avere la registrazione abilitata

[DMS.9] Gli endpoint DMS devono utilizzare SSL

[DMS.10] Gli endpoint DMS per i database Neptune devono avere l'autorizzazione IAM abilitata

[DMS.11] Gli endpoint DMS per MongoDB dovrebbero avere un meccanismo di autenticazione abilitato

[DMS.12] Gli endpoint DMS per Redis OSS devono avere TLS abilitato

[DMS.13] Le istanze di replica DMS devono essere configurate per utilizzare più zone di disponibilità

[DynamoDB.3] I cluster DynamoDB Accelerator (DAX) devono essere crittografati quando sono inattivi

[DynamoDB.7] I cluster DynamoDB Accelerator devono essere crittografati in transito

[EC2.14] I gruppi di sicurezza non dovrebbero consentire l'ingresso da 0.0.0. 0/0 oppure: :/0 alla porta 3389

[EC2.22] I gruppi di sicurezza Amazon EC2 non utilizzati devono essere rimossi

[EC2.24] I tipi di istanze paravirtuali di Amazon EC2 non devono essere utilizzati

[EC2.25] I modelli di lancio di Amazon EC2 non devono assegnare IP pubblici alle interfacce di rete

[EC2.34] Le tabelle delle rotte dei gateway di transito EC2 devono essere etichettate

[EC2.40] I gateway NAT EC2 devono essere etichettati

[EC2.51] Gli endpoint EC2 Client VPN devono avere la registrazione della connessione client abilitata

[EC2.58] I VPC devono essere configurati con un endpoint di interfaccia per Systems Manager Incident Manager Contacts

[EC2.60] I VPC devono essere configurati con un endpoint di interfaccia per Systems Manager Incident Manager

[EC2.170] I modelli di avvio EC2 devono utilizzare Instance Metadata Service Version 2 (IMDSv2)

[EC2.173] Le richieste EC2 Spot Fleet con parametri di avvio dovrebbero abilitare la crittografia per i volumi EBS collegati

[EC2.175] I modelli di lancio di EC2 devono essere etichettati

[EC2.177] Le sessioni Traffic Mirror di EC2 devono essere etichettate

[EC2.179] Gli obiettivi del traffic mirror di EC2 devono essere etichettati

[EC2.180] Le interfacce di rete EC2 dovrebbero avere il controllo abilitato source/destination

[EC2.181] I modelli di lancio EC2 dovrebbero abilitare la crittografia per i volumi EBS collegati

[ECR.4] Gli archivi pubblici ECR devono essere etichettati

[EFS.1] Elastic File System deve essere configurato per crittografare i dati dei file archiviati utilizzandoAWS KMS

[EFS.2] I volumi Amazon EFS devono essere inclusi nei piani di backup

[ELB.14] Classic Load Balancer deve essere configurato con la modalità di mitigazione della desincronizzazione difensiva o più rigorosa

[ELB.17] Gli Application and Network Load Balancer con listener devono utilizzare le politiche di sicurezza consigliate

[ELB.18] I listener di Application e Network Load Balancer devono utilizzare protocolli sicuri per crittografare i dati in transito

I cluster [ElastiCache.1] ElastiCache (Redis OSS) devono avere i backup automatici abilitati

[ElastiCache.6] ElastiCache (Redis OSS) i gruppi di replica delle versioni precedenti devono avere Redis OSS AUTH abilitato

[ElastiCache.7] i ElastiCache cluster non devono utilizzare il gruppo di sottoreti predefinito

[ElasticBeanstalk.1] Gli ambienti Elastic Beanstalk dovrebbero avere la reportistica sanitaria avanzata abilitata

[ElasticBeanstalk.2] Gli aggiornamenti della piattaforma gestita da Elastic Beanstalk devono essere abilitati

[ElasticBeanstalk.3] Elastic Beanstalk dovrebbe trasmettere i log a CloudWatch

[EMR.1] I nodi primari del cluster Amazon EMR non devono avere indirizzi IP pubblici

[ES.4] La registrazione degli errori del dominio Elasticsearch nei log deve essere abilitata CloudWatch

[EventBridge.4] gli endpoint EventBridge globali dovrebbero avere la replica degli eventi abilitata

[FraudDetector.1] I tipi di entità Amazon Fraud Detector devono essere etichettati

[FraudDetector.2] Le etichette di Amazon Fraud Detector devono essere etichettate

[FraudDetector.3] I risultati di Amazon Fraud Detector devono essere etichettati

[FraudDetector.4] Le variabili di Amazon Fraud Detector devono essere etichettate

[GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati

[Glue.4]AWS GlueI job Spark devono essere eseguiti su versioni supportate diAWS Glue

[GuardDuty.2] GuardDuty i filtri devono essere etichettati

[IAM.1] Le politiche IAM non dovrebbero consentire privilegi amministrativi «*» completi

[IAM.2] Gli utenti IAM non devono avere policy IAM allegate

[IAM.3] Le chiavi di accesso degli utenti IAM devono essere ruotate ogni 90 giorni o meno

[IAM.5] L'MFA deve essere abilitata per tutti gli utenti IAM che dispongono di una password di console

[IAM.8] Le credenziali utente IAM non utilizzate devono essere rimosse

[IAM.18] Assicurati che sia stato creato un ruolo di supporto per gestire gli incidenti conSupporto AWS

[IAM.19] L'MFA deve essere abilitata per tutti gli utenti IAM

[IAM.21] Le policy gestite dai clienti IAM che crei non dovrebbero consentire azioni jolly per i servizi

[IAM.22] Le credenziali utente IAM non utilizzate per 45 giorni devono essere rimosse

[IAM.24] I ruoli IAM devono essere etichettati

[IAM.25] Gli utenti IAM devono essere etichettati

[IAM.26] SSL/TLS I certificati scaduti gestiti in IAM devono essere rimossi

[IAM.27] Le identità IAM non devono avere la AWSCloudShellFullAccess policy allegata

[Inspector.1] La scansione di Amazon Inspector EC2 deve essere abilitata

[Inspector.2] La scansione ECR di Amazon Inspector deve essere abilitata

[Inspector.3] La scansione del codice Amazon Inspector Lambda deve essere abilitata

[Inspector.4] La scansione standard di Amazon Inspector Lambda deve essere abilitata

[IoT.1]AWS IoT Device Defenderi profili di sicurezza devono essere etichettati

[IoT.2]AWS IoT Corele azioni di mitigazione devono essere etichettate

[IoT.3]AWS IoT Corele dimensioni devono essere etichettate

[IoT.4]AWS IoT Coregli autorizzatori devono essere etichettati

[IoT.5]AWS IoT Coregli alias di ruolo devono essere etichettati

[IoT.6]AWS IoT Corele politiche devono essere etichettate

[IoTEvents.1]AWSGli input di IoT Events devono essere etichettati

[IoTEvents.2]AWSI modelli di rilevatori IoT Events devono essere etichettati

[IoTEvents.3]AWSI modelli di allarme IoT Events devono essere etichettati

[IoTSiteWise.1]AWSI modelli di SiteWise asset IoT devono essere etichettati

[IoTSiteWise.2]AWSI SiteWise dashboard IoT devono essere etichettati

[IoTSiteWise.3]AWS SiteWise I gateway IoT devono essere etichettati

[IoTSiteWise.4]AWS SiteWise I portali IoT devono essere etichettati

[IoTSiteWise.5]AWS SiteWise I progetti IoT devono essere etichettati

[IoTTwinMaker.1]AWSI lavori di TwinMaker sincronizzazione IoT devono essere etichettati

[IoTTwinMaker.2]AWS TwinMaker Gli spazi di lavoro IoT devono essere etichettati

[IoTTwinMaker.3]AWS TwinMaker Le scene IoT devono essere etichettate

[IoTTwinMaker.4]AWS TwinMaker Le entità IoT devono essere etichettate

[IoTWireless.1]AWSI gruppi multicast IoT Wireless devono essere etichettati

[IoTWireless.2]AWSI profili dei servizi IoT Wireless devono essere etichettati

[IoTWireless.3]AWSLe attività IoT FUOTA devono essere etichettate

[IVS.1] Le coppie di tasti di riproduzione IVS devono essere etichettate

[IVS.2] Le configurazioni di registrazione IVS devono essere etichettate

[IVS.3] I canali IVS devono essere etichettati

[Keyspaces.1] Gli spazi chiave di Amazon Keyspaces devono essere etichettati

[KMS.1] Le politiche gestite dai clienti IAM non dovrebbero consentire azioni di decrittografia su tutte le chiavi KMS

[KMS.2] I responsabili IAM non dovrebbero disporre di policy IAM in linea che consentano azioni di decrittografia su tutte le chiavi KMS

[Lambda.7] Le funzioni Lambda dovrebbero avereAWS X-Raytracciamento attivo abilitato

[Macie.1] Amazon Macie dovrebbe essere abilitato

[Macie.2] Il rilevamento automatico dei dati sensibili di Macie deve essere abilitato

[MQ.2] I broker ActiveMQ devono trasmettere i log di controllo a CloudWatch

[MQ.4] I broker Amazon MQ devono essere etichettati

[MQ.5] I broker ActiveMQ devono utilizzare la modalità di distribuzione active/standby

[MQ.6] I broker RabbitMQ dovrebbero utilizzare la modalità di distribuzione del cluster

[MSK.3] I connettori MSK Connect devono essere crittografati in transito

[MSK.4] L'accesso pubblico ai cluster MSK dovrebbe essere disabilitato

[MSK.5] I connettori MSK devono avere la registrazione abilitata

[MSK.6] I cluster MSK devono disabilitare l'accesso non autenticato

[Neptune.1] I cluster Neptune DB devono essere crittografati quando sono inattivi

[Neptune.2] I cluster Neptune DB devono pubblicare i log di controllo su Logs CloudWatch

[Neptune.3] Le istantanee del cluster Neptune DB non devono essere pubbliche

[Neptune.4] I cluster Neptune DB dovrebbero avere la protezione da eliminazione abilitata

[Neptune.5] I cluster Neptune DB dovrebbero avere i backup automatici abilitati

[Neptune.6] Le istantanee del cluster Neptune DB devono essere crittografate quando sono inattive

[Neptune.7] I cluster Neptune DB devono avere l'autenticazione del database IAM abilitata

[Neptune.8] I cluster Neptune DB devono essere configurati per copiare i tag nelle istantanee

[Neptune.9] I cluster Neptune DB devono essere distribuiti su più zone di disponibilità

[Opensearch.1] OpenSearch i domini devono avere la crittografia a riposo abilitata

[Opensearch.2] i OpenSearch domini non devono essere accessibili al pubblico

[Opensearch.3] i OpenSearch domini devono crittografare i dati inviati tra i nodi

[Opensearch.4] la registrazione degli errori di OpenSearch dominio nei registri dovrebbe essere abilitata CloudWatch

[Opensearch.5] i OpenSearch domini devono avere la registrazione di controllo abilitata

[Opensearch.6] i OpenSearch domini devono avere almeno tre nodi di dati

[Opensearch.7] i OpenSearch domini devono avere un controllo granulare degli accessi abilitato

[Opensearch.8] Le connessioni ai OpenSearch domini devono essere crittografate utilizzando la politica di sicurezza TLS più recente

[Opensearch.9] i OpenSearch domini devono essere etichettati

[Opensearch.10] OpenSearch sui domini dovrebbe essere installato l'ultimo aggiornamento software

[Opensearch.11] OpenSearch i domini devono avere almeno tre nodi primari dedicati

[RDS.14] I cluster Amazon Aurora dovrebbero avere il backtracking abilitato

[RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati

[] RDS.35 I cluster RDS DB devono avere l'aggiornamento automatico delle versioni secondarie abilitato

[RDS.37] I cluster Aurora PostgreSQL DB devono pubblicare i log in Logs CloudWatch

[Redshift.10] I cluster Redshift devono essere crittografati a riposo

[Redshift.18] I cluster Redshift dovrebbero avere le implementazioni abilitate Multi-AZ

[RedshiftServerless.1] I gruppi di lavoro Serverless di Amazon Redshift devono utilizzare un routing VPC avanzato

[RedshiftServerless.2] Le connessioni ai gruppi di lavoro Serverless di Redshift devono essere necessarie per utilizzare SSL

[RedshiftServerless.3] I gruppi di lavoro Serverless di Redshift dovrebbero vietare l'accesso pubblico

[RedshiftServerless.4] I namespace Serverless di Redshift devono essere crittografati con gestione del clienteAWS KMS keys

[RedshiftServerless.5] I namespace Redshift Serverless non devono utilizzare il nome utente amministratore predefinito

[RedshiftServerless.6] I namespace Redshift Serverless dovrebbero esportare i log in Logs CloudWatch

[Route53.1] I controlli sanitari della Route 53 devono essere etichettati

[Route53.2] Le zone ospitate pubbliche di Route 53 devono registrare le query DNS

[S3.24] Gli access point S3 Multi-Region devono avere le impostazioni di blocco dell'accesso pubblico abilitate

[S3.25] I bucket di directory S3 devono avere configurazioni del ciclo di vita

[SageMaker.1] Le istanze di SageMaker notebook Amazon non devono avere accesso diretto a Internet

[SageMaker.2] le istanze di SageMaker notebook devono essere avviate in un VPC personalizzato

[SageMaker.3] Gli utenti non devono avere accesso root alle istanze dei SageMaker notebook

[SageMaker.5] SageMaker i modelli dovrebbero avere l'isolamento della rete abilitato

[SageMaker.6] le configurazioni delle immagini delle SageMaker app devono essere contrassegnate

[SageMaker.7] SageMaker le immagini devono essere taggate

[SageMaker.9] le definizioni dei lavori SageMaker relativi alla qualità dei dati devono avere abilitata la crittografia del traffico tra container

[SageMaker.10] le definizioni dei processi di spiegabilità dei SageMaker modelli devono avere abilitata la crittografia del traffico tra container

[SageMaker.11] le definizioni dei processi di qualità SageMaker dei dati devono avere l'isolamento della rete abilitato

[SageMaker.12] le definizioni dei job di SageMaker model bias devono avere l'isolamento della rete abilitato

[SageMaker.13] le definizioni dei processi di qualità SageMaker del modello dovrebbero avere la crittografia del traffico tra container abilitata

[SageMaker.14] le pianificazioni di SageMaker monitoraggio dovrebbero avere l'isolamento della rete abilitato

[SageMaker.15] Le definizioni dei job di SageMaker model bias devono avere abilitata la crittografia del traffico tra container

[SageMaker.16] SageMaker i modelli dovrebbero utilizzare il registro privato in VPC per i contenitori primari

[SageMaker.17] i negozi offline del gruppo di SageMaker funzionalità devono essere crittografati conAWS KMSkeys

[SageMaker.18] I negozi online del gruppo di SageMaker funzionalità con archiviazione standard devono essere crittografati conAWS KMSkeys

[SageMaker.19] SageMaker i modelli dovrebbero utilizzare il registro privato in VPC per pipeline di inferenza multi-contenitore

[SES.3] I set di configurazione SES devono avere TLS abilitato per l'invio di e-mail

[SQS.1] Le code di Amazon SQS devono essere crittografate quando sono inattive

[] Le code SQS devono essere etichettate SQS.2

[SQS.3] Le politiche di accesso alla coda di SQS non dovrebbero consentire l'accesso pubblico

[SSM.6] SSM Automation dovrebbe avere la registrazione abilitata CloudWatch

[SSM.7] I documenti SSM devono avere l'impostazione di condivisione pubblica a blocchi abilitata

[Transfer.3] I connettori Transfer Family dovrebbero avere la registrazione abilitata

[Transfer.4] Gli accordi Transfer Family devono essere etichettati

[WAF.1]AWS WAFLa registrazione ACL Global Web classica deve essere abilitata

[WAF.3]AWS WAFI gruppi di regole regionali classici devono avere almeno una regola

[WAF.6]AWS WAFLe regole globali classiche devono avere almeno una condizione

[WAF.7]AWS WAFI gruppi di regole globali classici devono avere almeno una regola

[WAF.8]AWS WAFGli ACL Web globali classici devono avere almeno una regola o un gruppo di regole

[WAF.10]AWS WAFgli ACL web devono avere almeno una regola o un gruppo di regole

[WorkSpaces.1] i volumi WorkSpaces utente devono essere crittografati quando sono inattivi

[WorkSpaces.2] i volumi WorkSpaces root devono essere crittografati quando sono inattivi

[Account.2]Account AWSdovrebbe far parte di unAWS Organizationsorganizzazione

[APIGateway.8] Le rotte API Gateway devono specificare un tipo di autorizzazione

[APIGateway.9] La registrazione degli accessi deve essere configurata per API Gateway V2 Stages

[Amplify.1] Le app Amplify devono essere taggate

[Amplify.2] I rami Amplify devono essere etichettati

[AppFlow.1] I AppFlow flussi Amazon devono essere etichettati

[AppRunner.1] I servizi App Runner devono essere etichettati

[AppRunner.2] I connettori VPC App Runner devono essere etichettati

[AppSync.1]AWS AppSyncLe cache delle API devono essere crittografate quando sono inattive

[AppSync.6]AWS AppSyncLe cache delle API devono essere crittografate in transito

[Backup.1]AWS Backupi punti di ripristino devono essere crittografati quando sono inattivi

[BedrockAgentCore.1] I AgentCore runtime Bedrock devono essere configurati con la modalità di rete VPC

[BedrockAgentCore.2] Bedrock AgentCore Gateways dovrebbe richiedere l'autorizzazione per le richieste in entrata

[BedrockAgentCore.3] Bedrock AgentCore Memory deve essere crittografata e gestita dal clienteAWS KMSkeys

[BedrockAgentCore.4] Bedrock AgentCore Gateway deve essere crittografato con Customer ManagedAWS KMSkeys

[BedrockAgentCore.5] I browser personalizzati AgentCore Bedrock non devono utilizzare la modalità di rete pubblica

[BedrockAgentCore.6] I browser AgentCore personalizzati Bedrock devono avere la registrazione delle sessioni abilitata

[CloudFormation.3] gli CloudFormation stack dovrebbero avere la protezione dalla terminazione abilitata

[CloudFormation.4] gli CloudFormation stack devono avere ruoli di servizio associati

[CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato

[CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito

[CloudFront.4] le CloudFront distribuzioni dovrebbero avere il failover di origine configurato

[CloudFront.5] CloudFront le distribuzioni dovrebbero avere la registrazione abilitata

[CloudFront.6] le CloudFront distribuzioni devono avere WAF abilitato

[CloudFront.7] CloudFront le distribuzioni devono utilizzare certificati personalizzati SSL/TLS

[CloudFront.8] CloudFront le distribuzioni devono utilizzare SNI per soddisfare le richieste HTTPS

[CloudFront.9] CloudFront le distribuzioni devono crittografare il traffico verso origini personalizzate

[CloudFront.10] CloudFront le distribuzioni non devono utilizzare protocolli SSL obsoleti tra edge location e origini personalizzate

[CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti

[CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine

[CloudFront.14] CloudFront le distribuzioni devono essere etichettate

[CloudFront.15] CloudFront le distribuzioni devono utilizzare la politica di sicurezza TLS consigliata

[CloudFront.16] CloudFront le distribuzioni dovrebbero utilizzare il controllo dell'accesso all'origine per le origini degli URL della funzione Lambda

[CloudFront.17] CloudFront le distribuzioni devono utilizzare gruppi di chiavi affidabili per URL e cookie firmati

[CodeArtifact.1] i CodeArtifact repository devono essere etichettati

[CodeBuild.1] Gli URL del repository di origine di CodeBuild Bitbucket non devono contenere credenziali sensibili

[CodeBuild.2] le variabili di ambiente CodeBuild del progetto non devono contenere credenziali di testo non crittografato

[CodeBuild.3] I log CodeBuild S3 devono essere crittografati

[CodeBuild.4] gli ambienti di CodeBuild progetto dovrebbero avere una registrazioneAWS Config• Durata

[CodeGuruProfiler.1] I gruppi CodeGuru di profilazione Profiler devono essere etichettati

[CodeGuruReviewer.1] Le associazioni CodeGuru dei repository dei revisori devono essere etichettate

[Cognito.1] I pool di utenti di Cognito dovrebbero avere la protezione dalle minacce attivata con la modalità di imposizione completa delle funzioni per l'autenticazione standard

[Connect.1] I tipi di oggetto Amazon Connect Customer Profiles devono essere etichettati

[Connect.2] Le istanze Connect Customer devono avere la CloudWatch registrazione abilitata

[Detective.1] I grafici del comportamento dei Detective devono essere etichettati

[DMS.2] I certificati DMS devono essere etichettati

[DMS.3] Le sottoscrizioni agli eventi DMS devono essere contrassegnate

[DMS.4] Le istanze di replica DMS devono essere etichettate

[DMS.5] I sottoreti di replica DMS devono essere etichettati

[DMS.6] L'aggiornamento automatico delle versioni secondarie delle istanze di replica DMS deve essere abilitato

[DMS.7] Le attività di replica DMS per il database di destinazione devono avere la registrazione abilitata

[DMS.8] Le attività di replica DMS per il database di origine devono avere la registrazione abilitata

[DMS.9] Gli endpoint DMS devono utilizzare SSL

[DMS.10] Gli endpoint DMS per i database Neptune devono avere l'autorizzazione IAM abilitata

[DMS.11] Gli endpoint DMS per MongoDB dovrebbero avere un meccanismo di autenticazione abilitato

[DMS.12] Gli endpoint DMS per Redis OSS devono avere TLS abilitato

[DMS.13] Le istanze di replica DMS devono essere configurate per utilizzare più zone di disponibilità

[DocumentDB.1] I cluster Amazon DocumentDB devono essere crittografati quando sono inattivi

[DocumentDB.2] I cluster Amazon DocumentDB devono avere un periodo di conservazione dei backup adeguato

[DocumentDB.3] Le istantanee manuali dei cluster di Amazon DocumentDB non devono essere pubbliche

[DocumentDB.4] I cluster Amazon DocumentDB devono pubblicare i log di controllo su Logs CloudWatch

[DocumentDB.5] I cluster Amazon DocumentDB devono avere la protezione da eliminazione abilitata

[DocumentDB.6] I cluster Amazon DocumentDB devono essere crittografati in transito

[DynamoDB.3] I cluster DynamoDB Accelerator (DAX) devono essere crittografati quando sono inattivi

[DynamoDB.7] I cluster DynamoDB Accelerator devono essere crittografati in transito

[EC2.14] I gruppi di sicurezza non dovrebbero consentire l'ingresso da 0.0.0. 0/0 oppure: :/0 alla porta 3389

[EC2.22] I gruppi di sicurezza Amazon EC2 non utilizzati devono essere rimossi

[EC2.24] I tipi di istanze paravirtuali di Amazon EC2 non devono essere utilizzati

[EC2.51] Gli endpoint EC2 Client VPN devono avere la registrazione della connessione client abilitata

[EC2.58] I VPC devono essere configurati con un endpoint di interfaccia per Systems Manager Incident Manager Contacts

[EC2.60] I VPC devono essere configurati con un endpoint di interfaccia per Systems Manager Incident Manager

[EC2.173] Le richieste EC2 Spot Fleet con parametri di avvio dovrebbero abilitare la crittografia per i volumi EBS collegati

[EC2.177] Le sessioni Traffic Mirror di EC2 devono essere etichettate

[EC2.179] Gli obiettivi del traffic mirror di EC2 devono essere etichettati

[ECR.4] Gli archivi pubblici ECR devono essere etichettati

[EFS.1] Elastic File System deve essere configurato per crittografare i dati dei file archiviati utilizzandoAWS KMS

[EFS.2] I volumi Amazon EFS devono essere inclusi nei piani di backup

[ELB.17] Gli Application and Network Load Balancer con listener devono utilizzare le politiche di sicurezza consigliate

[ELB.18] I listener di Application e Network Load Balancer devono utilizzare protocolli sicuri per crittografare i dati in transito

I cluster [ElastiCache.1] ElastiCache (Redis OSS) devono avere i backup automatici abilitati

[ElastiCache.6] ElastiCache (Redis OSS) i gruppi di replica delle versioni precedenti devono avere Redis OSS AUTH abilitato

[ElastiCache.7] i ElastiCache cluster non devono utilizzare il gruppo di sottoreti predefinito

[ElasticBeanstalk.1] Gli ambienti Elastic Beanstalk dovrebbero avere la reportistica sanitaria avanzata abilitata

[EventBridge.4] gli endpoint EventBridge globali dovrebbero avere la replica degli eventi abilitata

[FraudDetector.1] I tipi di entità Amazon Fraud Detector devono essere etichettati

[FraudDetector.2] Le etichette di Amazon Fraud Detector devono essere etichettate

[FraudDetector.3] I risultati di Amazon Fraud Detector devono essere etichettati

[FraudDetector.4] Le variabili di Amazon Fraud Detector devono essere etichettate

[GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati

[GuardDuty.2] GuardDuty i filtri devono essere etichettati

[IAM.18] Assicurati che sia stato creato un ruolo di supporto per gestire gli incidenti conSupporto AWS

[IAM.26] SSL/TLS I certificati scaduti gestiti in IAM devono essere rimossi

[Inspector.3] La scansione del codice Amazon Inspector Lambda deve essere abilitata

[IoT.1]AWS IoT Device Defenderi profili di sicurezza devono essere etichettati

[IoT.2]AWS IoT Corele azioni di mitigazione devono essere etichettate

[IoT.3]AWS IoT Corele dimensioni devono essere etichettate

[IoT.4]AWS IoT Coregli autorizzatori devono essere etichettati

[IoT.5]AWS IoT Coregli alias di ruolo devono essere etichettati

[IoT.6]AWS IoT Corele politiche devono essere etichettate

[IoTEvents.1]AWSGli input di IoT Events devono essere etichettati

[IoTEvents.2]AWSI modelli di rilevatori IoT Events devono essere etichettati

[IoTEvents.3]AWSI modelli di allarme IoT Events devono essere etichettati

[IoTSiteWise.1]AWSI modelli di SiteWise asset IoT devono essere etichettati

[IoTSiteWise.2]AWSI SiteWise dashboard IoT devono essere etichettati

[IoTSiteWise.3]AWS SiteWise I gateway IoT devono essere etichettati

[IoTSiteWise.4]AWS SiteWise I portali IoT devono essere etichettati

[IoTSiteWise.5]AWS SiteWise I progetti IoT devono essere etichettati

[IoTTwinMaker.1]AWSI lavori di TwinMaker sincronizzazione IoT devono essere etichettati

[IoTTwinMaker.2]AWS TwinMaker Gli spazi di lavoro IoT devono essere etichettati

[IoTTwinMaker.3]AWS TwinMaker Le scene IoT devono essere etichettate

[IoTTwinMaker.4]AWS TwinMaker Le entità IoT devono essere etichettate

[IoTWireless.1]AWSI gruppi multicast IoT Wireless devono essere etichettati

[IoTWireless.2]AWSI profili dei servizi IoT Wireless devono essere etichettati

[IoTWireless.3]AWSLe attività IoT FUOTA devono essere etichettate

[IVS.1] Le coppie di tasti di riproduzione IVS devono essere etichettate

[IVS.2] Le configurazioni di registrazione IVS devono essere etichettate

[IVS.3] I canali IVS devono essere etichettati

[Keyspaces.1] Gli spazi chiave di Amazon Keyspaces devono essere etichettati

[Macie.1] Amazon Macie dovrebbe essere abilitato

[Macie.2] Il rilevamento automatico dei dati sensibili di Macie deve essere abilitato

[MSK.3] I connettori MSK Connect devono essere crittografati in transito

[MSK.5] I connettori MSK devono avere la registrazione abilitata

[Neptune.1] I cluster Neptune DB devono essere crittografati quando sono inattivi

[Neptune.2] I cluster Neptune DB devono pubblicare i log di controllo su Logs CloudWatch

[Neptune.3] Le istantanee del cluster Neptune DB non devono essere pubbliche

[Neptune.4] I cluster Neptune DB dovrebbero avere la protezione da eliminazione abilitata

[Neptune.5] I cluster Neptune DB dovrebbero avere i backup automatici abilitati

[Neptune.6] Le istantanee del cluster Neptune DB devono essere crittografate quando sono inattive

[Neptune.7] I cluster Neptune DB devono avere l'autenticazione del database IAM abilitata

[Neptune.8] I cluster Neptune DB devono essere configurati per copiare i tag nelle istantanee

[Neptune.9] I cluster Neptune DB devono essere distribuiti su più zone di disponibilità

[Opensearch.5] i OpenSearch domini devono avere la registrazione di controllo abilitata

[Opensearch.6] i OpenSearch domini devono avere almeno tre nodi di dati

[RDS.14] I cluster Amazon Aurora dovrebbero avere il backtracking abilitato

[RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati

[RedshiftServerless.1] I gruppi di lavoro Serverless di Amazon Redshift devono utilizzare un routing VPC avanzato

[RedshiftServerless.2] Le connessioni ai gruppi di lavoro Serverless di Redshift devono essere necessarie per utilizzare SSL

[Route53.1] I controlli sanitari della Route 53 devono essere etichettati

[Route53.2] Le zone ospitate pubbliche di Route 53 devono registrare le query DNS

[] I bucket S3 per uso generico devono S3.11 avere le notifiche degli eventi abilitate

[S3.24] Gli access point S3 Multi-Region devono avere le impostazioni di blocco dell'accesso pubblico abilitate

[S3.25] I bucket di directory S3 devono avere configurazioni del ciclo di vita

[SageMaker.9] le definizioni dei lavori SageMaker relativi alla qualità dei dati devono avere abilitata la crittografia del traffico tra container

[SageMaker.10] le definizioni dei processi di spiegabilità dei SageMaker modelli devono avere abilitata la crittografia del traffico tra container

[SageMaker.11] le definizioni dei processi di qualità SageMaker dei dati devono avere l'isolamento della rete abilitato

[SageMaker.12] le definizioni dei job di SageMaker model bias devono avere l'isolamento della rete abilitato

[SageMaker.13] le definizioni dei processi di qualità SageMaker del modello dovrebbero avere la crittografia del traffico tra container abilitata

[SageMaker.14] le pianificazioni di SageMaker monitoraggio dovrebbero avere l'isolamento della rete abilitato

[SageMaker.15] Le definizioni dei job di SageMaker model bias devono avere abilitata la crittografia del traffico tra container

[SageMaker.16] SageMaker i modelli dovrebbero utilizzare il registro privato in VPC per i contenitori primari

[SageMaker.19] SageMaker i modelli dovrebbero utilizzare il registro privato in VPC per pipeline di inferenza multi-contenitore

[ServiceCatalog.1] I portafogli Service Catalog devono essere condivisi all'interno di unAWSsolo organizzazione

[SQS.1] Le code di Amazon SQS devono essere crittografate quando sono inattive

[] Le code SQS devono essere etichettate SQS.2

[SQS.3] Le politiche di accesso alla coda di SQS non dovrebbero consentire l'accesso pubblico

[WAF.1]AWS WAFLa registrazione ACL Global Web classica deve essere abilitata

[WAF.3]AWS WAFI gruppi di regole regionali classici devono avere almeno una regola

[WAF.6]AWS WAFLe regole globali classiche devono avere almeno una condizione

[WAF.7]AWS WAFI gruppi di regole globali classici devono avere almeno una regola

[WAF.8]AWS WAFGli ACL Web globali classici devono avere almeno una regola o un gruppo di regole

[WAF.10]AWS WAFgli ACL web devono avere almeno una regola o un gruppo di regole

[WorkSpaces.1] i volumi WorkSpaces utente devono essere crittografati quando sono inattivi

[WorkSpaces.2] i volumi WorkSpaces root devono essere crittografati quando sono inattivi

[ACM.1] ACM-issued I certificati importati devono essere rinnovati dopo un periodo di tempo specificato

[ACM.2] I certificati RSA gestiti da ACM devono utilizzare una lunghezza di chiave di almeno 2.048 bit

[Account.1] Le informazioni di contatto per la sicurezza devono essere fornite per unAccount AWS

[Account.2]Account AWSdovrebbe far parte di unAWS Organizationsorganizzazione

[APIGateway.8] Le rotte API Gateway devono specificare un tipo di autorizzazione

[APIGateway.9] La registrazione degli accessi deve essere configurata per API Gateway V2 Stages

[Amplify.1] Le app Amplify devono essere taggate

[Amplify.2] I rami Amplify devono essere etichettati

[AppConfig.1]AWS AppConfigle applicazioni devono essere etichettate

[AppConfig.2]AWS AppConfigi profili di configurazione devono essere etichettati

[AppConfig.3]AWS AppConfiggli ambienti devono essere etichettati

[AppConfig.4]AWS AppConfigle associazioni di estensioni devono essere etichettate

[AppFlow.1] I AppFlow flussi Amazon devono essere etichettati

[AppRunner.1] I servizi App Runner devono essere etichettati

[AppRunner.2] I connettori VPC App Runner devono essere etichettati

[AppSync.1]AWS AppSyncLe cache delle API devono essere crittografate quando sono inattive

[AppSync.2]AWS AppSyncdovrebbe avere la registrazione a livello di campo abilitata

[AppSync.5]AWS AppSyncLe API GraphQL non devono essere autenticate con chiavi API

[AppSync.6]AWS AppSyncLe cache delle API devono essere crittografate in transito

[Athena.4] I gruppi di lavoro Athena dovrebbero avere la registrazione abilitata

[AutoScaling.2] Il gruppo Amazon EC2 Auto Scaling dovrebbe coprire più zone di disponibilità

[AutoScaling.3] Le configurazioni di avvio del gruppo Auto Scaling devono configurare le istanze EC2 in modo che richiedano Instance Metadata Service Version 2 (IMDSv2)

[AutoScaling.6] I gruppi di Auto Scaling devono utilizzare più tipi di istanze in più zone di disponibilità

[AutoScaling.9] I gruppi Amazon EC2 Auto Scaling devono utilizzare i modelli di lancio di Amazon EC2

[Backup.1]AWS Backupi punti di ripristino devono essere crittografati quando sono inattivi

[Backup.2]AWS Backupi punti di ripristino devono essere etichettati

[Backup.4]AWS Backupi piani di report devono essere etichettati

[Batch.1] Le code di lavoro in batch devono essere etichettate

[Batch.2] Le politiche di pianificazione dei batch devono essere etichettate

[Batch.3] Gli ambienti di calcolo in batch devono essere etichettati

[Batch.4] Le proprietà delle risorse di calcolo negli ambienti di calcolo Batch gestiti devono essere etichettate

[BedrockAgentCore.1] I AgentCore runtime Bedrock devono essere configurati con la modalità di rete VPC

[BedrockAgentCore.2] Bedrock AgentCore Gateways dovrebbe richiedere l'autorizzazione per le richieste in entrata

[BedrockAgentCore.3] Bedrock AgentCore Memory deve essere crittografata e gestita dal clienteAWS KMSkeys

[BedrockAgentCore.4] Bedrock AgentCore Gateway deve essere crittografato con Customer ManagedAWS KMSkeys

[BedrockAgentCore.5] I browser personalizzati AgentCore Bedrock non devono utilizzare la modalità di rete pubblica

[BedrockAgentCore.6] I browser AgentCore personalizzati Bedrock devono avere la registrazione delle sessioni abilitata

[CloudFormation.3] gli CloudFormation stack dovrebbero avere la protezione dalla terminazione abilitata

[CloudFormation.4] gli CloudFormation stack devono avere ruoli di servizio associati

[CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato

[CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito

[CloudFront.4] le CloudFront distribuzioni dovrebbero avere il failover di origine configurato

[CloudFront.5] CloudFront le distribuzioni dovrebbero avere la registrazione abilitata

[CloudFront.6] le CloudFront distribuzioni devono avere WAF abilitato

[CloudFront.7] CloudFront le distribuzioni devono utilizzare certificati personalizzati SSL/TLS

[CloudFront.8] CloudFront le distribuzioni devono utilizzare SNI per soddisfare le richieste HTTPS

[CloudFront.9] CloudFront le distribuzioni devono crittografare il traffico verso origini personalizzate

[CloudFront.10] CloudFront le distribuzioni non devono utilizzare protocolli SSL obsoleti tra edge location e origini personalizzate

[CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti

[CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine

[CloudFront.14] CloudFront le distribuzioni devono essere etichettate

[CloudFront.15] CloudFront le distribuzioni devono utilizzare la politica di sicurezza TLS consigliata

[CloudFront.16] CloudFront le distribuzioni dovrebbero utilizzare il controllo dell'accesso all'origine per le origini degli URL della funzione Lambda

[CloudFront.17] CloudFront le distribuzioni devono utilizzare gruppi di chiavi affidabili per URL e cookie firmati

[CloudTrail.6] Assicurati che il bucket S3 utilizzato per archiviare i CloudTrail log non sia accessibile al pubblico

[CloudTrail.7] Assicurati che la registrazione degli accessi al bucket S3 sia abilitata sul bucket S3 CloudTrail

[CloudTrail.10] I data store di eventi di CloudTrail Lake devono essere crittografati con Customer ManagedAWS KMS keys

[CloudWatch.17] le azioni CloudWatch di allarme devono essere attivate

[CodeArtifact.1] i CodeArtifact repository devono essere etichettati

[CodeBuild.1] Gli URL del repository di origine di CodeBuild Bitbucket non devono contenere credenziali sensibili

[CodeBuild.2] le variabili di ambiente CodeBuild del progetto non devono contenere credenziali di testo non crittografato

[CodeBuild.3] I log CodeBuild S3 devono essere crittografati

[CodeBuild.4] gli ambienti di CodeBuild progetto dovrebbero avere una registrazioneAWS Config• Durata

[CodeBuild.7] Le esportazioni dei gruppi di CodeBuild report devono essere crittografate quando sono inattive

[CodeGuruProfiler.1] I gruppi CodeGuru di profilazione Profiler devono essere etichettati

[CodeGuruReviewer.1] Le associazioni CodeGuru dei repository dei revisori devono essere etichettate

[Cognito.1] I pool di utenti di Cognito dovrebbero avere la protezione dalle minacce attivata con la modalità di imposizione completa delle funzioni per l'autenticazione standard

[Cognito.2] I pool di identità di Cognito non dovrebbero consentire identità non autenticate

[Cognito.3] Le politiche relative alle password per i pool di utenti di Cognito devono avere configurazioni avanzate

[Cognito.4] I pool di utenti di Cognito dovrebbero avere la protezione dalle minacce attivata con la modalità di imposizione completa delle funzioni per l'autenticazione personalizzata

[Cognito.5] L'MFA deve essere abilitata per i pool di utenti di Cognito

[Cognito.6] I pool di utenti di Cognito devono avere la protezione dall'eliminazione abilitata

[Connect.1] I tipi di oggetto Amazon Connect Customer Profiles devono essere etichettati

[Connect.2] Le istanze Connect Customer devono avere la CloudWatch registrazione abilitata

[DataFirehose.1] I flussi di distribuzione di Firehose devono essere crittografati quando sono inattivi

[DataSync.1] DataSync le attività dovrebbero avere la registrazione abilitata

[DataSync.2] le DataSync attività devono essere etichettate

[Detective.1] I grafici del comportamento dei Detective devono essere etichettati

[DMS.2] I certificati DMS devono essere etichettati

[DMS.3] Le sottoscrizioni agli eventi DMS devono essere contrassegnate

[DMS.4] Le istanze di replica DMS devono essere etichettate

[DMS.5] I sottoreti di replica DMS devono essere etichettati

[DMS.6] L'aggiornamento automatico delle versioni secondarie delle istanze di replica DMS deve essere abilitato

[DMS.7] Le attività di replica DMS per il database di destinazione devono avere la registrazione abilitata

[DMS.8] Le attività di replica DMS per il database di origine devono avere la registrazione abilitata

[DMS.9] Gli endpoint DMS devono utilizzare SSL

[DMS.10] Gli endpoint DMS per i database Neptune devono avere l'autorizzazione IAM abilitata

[DMS.11] Gli endpoint DMS per MongoDB dovrebbero avere un meccanismo di autenticazione abilitato

[DMS.12] Gli endpoint DMS per Redis OSS devono avere TLS abilitato

[DMS.13] Le istanze di replica DMS devono essere configurate per utilizzare più zone di disponibilità

[DocumentDB.1] I cluster Amazon DocumentDB devono essere crittografati quando sono inattivi

[DocumentDB.2] I cluster Amazon DocumentDB devono avere un periodo di conservazione dei backup adeguato

[DocumentDB.3] Le istantanee manuali dei cluster di Amazon DocumentDB non devono essere pubbliche

[DocumentDB.4] I cluster Amazon DocumentDB devono pubblicare i log di controllo su Logs CloudWatch

[DocumentDB.5] I cluster Amazon DocumentDB devono avere la protezione da eliminazione abilitata

[DocumentDB.6] I cluster Amazon DocumentDB devono essere crittografati in transito

[DynamoDB.3] I cluster DynamoDB Accelerator (DAX) devono essere crittografati quando sono inattivi

[DynamoDB.4] Le tabelle DynamoDB devono essere presenti in un piano di backup

[DynamoDB.6] Le tabelle DynamoDB devono avere la protezione da eliminazione abilitata

[DynamoDB.7] I cluster DynamoDB Accelerator devono essere crittografati in transito

[EC2.4] Le istanze EC2 interrotte devono essere rimosse dopo un periodo di tempo specificato

[EC2.21] Gli ACL di rete non dovrebbero consentire l'ingresso a partire dalla versione 0.0.0. 0/0 alla porta 22 o alla porta 3389

[EC2.22] I gruppi di sicurezza Amazon EC2 non utilizzati devono essere rimossi

[EC2.23] I gateway di transito Amazon EC2 non dovrebbero accettare automaticamente richieste di allegati VPC

[EC2.24] I tipi di istanze paravirtuali di Amazon EC2 non devono essere utilizzati

[EC2.25] I modelli di lancio di Amazon EC2 non devono assegnare IP pubblici alle interfacce di rete

[EC2.28] I volumi EBS devono essere coperti da un piano di backup

[EC2.34] Le tabelle delle rotte dei gateway di transito EC2 devono essere etichettate

[EC2.40] I gateway NAT EC2 devono essere etichettati

[EC2.51] Gli endpoint EC2 Client VPN devono avere la registrazione della connessione client abilitata

[EC2.53] I gruppi di sicurezza EC2 non dovrebbero consentire l'ingresso da 0.0.0. 0/0 alle porte di amministrazione del server remoto

[EC2.54] I gruppi di sicurezza EC2 non dovrebbero consentire l'accesso da: :/0 alle porte di amministrazione remota del server

[EC2.55] I VPC devono essere configurati con un endpoint di interfaccia per l'API ECR

[EC2.56] I VPC devono essere configurati con un endpoint di interfaccia per Docker Registry

[EC2.57] I VPC devono essere configurati con un endpoint di interfaccia per Systems Manager

[EC2.58] I VPC devono essere configurati con un endpoint di interfaccia per Systems Manager Incident Manager Contacts

[EC2.60] I VPC devono essere configurati con un endpoint di interfaccia per Systems Manager Incident Manager

[EC2.170] I modelli di avvio EC2 devono utilizzare Instance Metadata Service Version 2 (IMDSv2)

[EC2.171] Le connessioni VPN EC2 devono avere la registrazione abilitata

[EC2.173] Le richieste EC2 Spot Fleet con parametri di avvio dovrebbero abilitare la crittografia per i volumi EBS collegati

[EC2.174] I set di opzioni DHCP EC2 devono essere etichettati

[EC2.175] I modelli di lancio di EC2 devono essere etichettati

[EC2.176] Gli elenchi di prefissi EC2 devono essere etichettati

[EC2.177] Le sessioni Traffic Mirror di EC2 devono essere etichettate

[EC2.178] I filtri Traffic Mirror EC2 devono essere etichettati

[EC2.179] Gli obiettivi del traffic mirror di EC2 devono essere etichettati

[EC2.180] Le interfacce di rete EC2 dovrebbero avere il controllo abilitato source/destination

[EC2.181] I modelli di lancio EC2 dovrebbero abilitare la crittografia per i volumi EBS collegati

[EC2.183] Le connessioni VPN EC2 devono utilizzare il protocollo IKEv2

[ECR.1] I repository privati ECR dovrebbero avere la scansione delle immagini configurata

[ECR.2] I repository privati ECR devono avere configurata l'immutabilità dei tag

[ECR.3] I repository ECR devono avere almeno una politica del ciclo di vita configurata

[ECR.4] Gli archivi pubblici ECR devono essere etichettati

[ECR.5] I repository ECR devono essere crittografati e gestiti dal clienteAWS KMS keys

[ECS.3] Le definizioni delle attività ECS non devono condividere lo spazio dei nomi dei processi dell'host

[ECS.4] I contenitori ECS devono essere eseguiti come non privilegiati

[ECS.5] Le definizioni delle attività ECS devono configurare i contenitori in modo che siano limitati all'accesso in sola lettura ai filesystem root

[ECS.8] I segreti non devono essere passati come variabili di ambiente del contenitore

[ECS.9] Le definizioni delle attività ECS devono avere una configurazione di registrazione

[ECS.10] I servizi ECS Fargate devono essere eseguiti sulla versione più recente della piattaforma Fargate

[ECS.12] I cluster ECS devono utilizzare Container Insights

[ECS.17] Le definizioni delle attività ECS non devono utilizzare la modalità di rete host

[ECS.19] I provider di capacità ECS dovrebbero avere abilitato la protezione gestita dalle terminazioni

[EFS.1] Elastic File System deve essere configurato per crittografare i dati dei file archiviati utilizzandoAWS KMS

[EFS.2] I volumi Amazon EFS devono essere inclusi nei piani di backup

[EFS.3] I punti di accesso EFS devono applicare una directory principale

[EFS.4] I punti di accesso EFS devono applicare un'identità utente

[EFS.6] I target di montaggio EFS non devono essere associati a sottoreti che assegnano indirizzi IP pubblici all'avvio

[EFS.7] I file system EFS devono avere i backup automatici abilitati

[EFS.8] I file system EFS devono essere crittografati a riposo

[EKS.2] I cluster EKS devono essere eseguiti su una versione Kubernetes supportata

[EKS.3] I cluster EKS devono utilizzare segreti Kubernetes crittografati

[EKS.7] Le configurazioni dei provider di identità EKS devono essere contrassegnate

[EKS.8] I cluster EKS dovrebbero avere la registrazione di controllo abilitata

[ELB.10] Classic Load Balancer dovrebbe estendersi su più zone di disponibilità

[ELB.12] Application Load Balancer deve essere configurato con la modalità di mitigazione della desincronizzazione difensiva o più rigorosa

[ELB.13] I Load Balancer per applicazioni, reti e gateway devono estendersi su più zone di disponibilità

[ELB.14] Classic Load Balancer deve essere configurato con la modalità di mitigazione della desincronizzazione difensiva o più rigorosa

[ELB.17] Gli Application and Network Load Balancer con listener devono utilizzare le politiche di sicurezza consigliate

[ELB.18] I listener di Application e Network Load Balancer devono utilizzare protocolli sicuri per crittografare i dati in transito

I cluster [ElastiCache.1] ElastiCache (Redis OSS) devono avere i backup automatici abilitati

[ElastiCache.2] i ElastiCache cluster dovrebbero avere gli aggiornamenti automatici delle versioni secondarie abilitati

[ElastiCache.3] i gruppi di ElastiCache replica devono avere il failover automatico abilitato

[ElastiCache.4] i gruppi di ElastiCache replica devono essere crittografati quando sono inattivi

[ElastiCache.5] i gruppi di ElastiCache replica devono essere crittografati in transito

[ElastiCache.6] ElastiCache (Redis OSS) i gruppi di replica delle versioni precedenti devono avere Redis OSS AUTH abilitato

[ElastiCache.7] i ElastiCache cluster non devono utilizzare il gruppo di sottoreti predefinito

[ElasticBeanstalk.1] Gli ambienti Elastic Beanstalk dovrebbero avere la reportistica sanitaria avanzata abilitata

[ElasticBeanstalk.2] Gli aggiornamenti della piattaforma gestita da Elastic Beanstalk devono essere abilitati

[ElasticBeanstalk.3] Elastic Beanstalk dovrebbe trasmettere i log a CloudWatch

[EMR.1] I nodi primari del cluster Amazon EMR non devono avere indirizzi IP pubblici

[EMR.2] L'impostazione di accesso pubblico a blocchi di Amazon EMR deve essere abilitata

[EMR.3] Le configurazioni di sicurezza di Amazon EMR devono essere crittografate quando sono inattive

[EMR.4] Le configurazioni di sicurezza di Amazon EMR devono essere crittografate in transito

[ES.4] La registrazione degli errori del dominio Elasticsearch nei log deve essere abilitata CloudWatch

[ES.9] I domini Elasticsearch devono essere etichettati

[EventBridge.3] i bus di eventi EventBridge personalizzati dovrebbero avere una politica basata sulle risorse allegata

[EventBridge.4] gli endpoint EventBridge globali dovrebbero avere la replica degli eventi abilitata

[FraudDetector.1] I tipi di entità Amazon Fraud Detector devono essere etichettati

[FraudDetector.2] Le etichette di Amazon Fraud Detector devono essere etichettate

[FraudDetector.3] I risultati di Amazon Fraud Detector devono essere etichettati

[FraudDetector.4] Le variabili di Amazon Fraud Detector devono essere etichettate

[FSx.1] I file system FSx per OpenZFS devono essere configurati per copiare i tag su backup e volumi

[FSx.2] I file system FSx for Lustre devono essere configurati per copiare i tag nei backup

[FSx.3] I file system FSx for OpenZFS devono essere configurati per la distribuzione Multi-AZ

[FSx.4] I file system FSx for NetApp ONTAP devono essere configurati per l'implementazione Multi-AZ

[FSx.5] I file system FSx for Windows File Server devono essere configurati Multi-AZ per la distribuzione

[GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati

[Glue.1]AWS Gluei lavori devono essere etichettati

[Glue.3]AWS Gluele trasformazioni di apprendimento automatico devono essere crittografate quando sono inutilizzate

[Glue.4]AWS GlueI job Spark devono essere eseguiti su versioni supportate diAWS Glue

[GuardDuty.2] GuardDuty i filtri devono essere etichettati

[GuardDuty.5] GuardDuty EKS Audit Log Monitoring deve essere abilitato

[GuardDuty.6] La protezione GuardDuty Lambda deve essere abilitata

[GuardDuty.7] GuardDuty EKS Runtime Monitoring deve essere abilitato

[GuardDuty.8] La protezione GuardDuty da malware per EC2 deve essere abilitata

[GuardDuty.9] La protezione GuardDuty RDS deve essere abilitata

[GuardDuty.10] La protezione GuardDuty S3 deve essere abilitata

[GuardDuty.11] Il monitoraggio del GuardDuty runtime deve essere abilitato

[GuardDuty.12] Il monitoraggio del runtime GuardDuty ECS deve essere abilitato

[GuardDuty.13] Il monitoraggio del runtime GuardDuty EC2 deve essere abilitato

[IAM.1] Le politiche IAM non dovrebbero consentire privilegi amministrativi «*» completi

[IAM.2] Gli utenti IAM non devono avere policy IAM allegate

[IAM.3] Le chiavi di accesso degli utenti IAM devono essere ruotate ogni 90 giorni o meno

[IAM.4] La chiave di accesso utente root IAM non dovrebbe esistere

[IAM.5] L'MFA deve essere abilitata per tutti gli utenti IAM che dispongono di una password di console

[IAM.6] La MFA hardware deve essere abilitata per l'utente root

[IAM.7] Le politiche relative alle password per gli utenti IAM devono avere configurazioni solide

[IAM.8] Le credenziali utente IAM non utilizzate devono essere rimosse

[IAM.9] L'MFA deve essere abilitata per l'utente root

[IAM.10] Le politiche relative alle password per gli utenti IAM devono avere configurazioni solide

[IAM.11] Assicurati che la politica delle password IAM richieda almeno una lettera maiuscola

[IAM.12] Assicurati che la politica delle password IAM richieda almeno una lettera minuscola

[IAM.13] Assicurati che la politica delle password IAM richieda almeno un simbolo

[IAM.14] Assicurati che la policy sulle password di IAM richieda almeno un numero

[IAM.15] Assicurati che la politica delle password di IAM richieda una lunghezza minima della password pari o superiore a 14

[IAM.16] Assicurati che la politica delle password di IAM impedisca il riutilizzo delle password

[IAM.17] Assicurati che la policy sulle password di IAM faccia scadere le password entro 90 giorni o meno

[IAM.18] Assicurati che sia stato creato un ruolo di supporto per gestire gli incidenti conSupporto AWS

[IAM.19] L'MFA deve essere abilitata per tutti gli utenti IAM

[IAM.21] Le policy gestite dai clienti IAM che crei non dovrebbero consentire azioni jolly per i servizi

[IAM.22] Le credenziali utente IAM non utilizzate per 45 giorni devono essere rimosse

[IAM.24] I ruoli IAM devono essere etichettati

[IAM.25] Gli utenti IAM devono essere etichettati

[IAM.26] SSL/TLS I certificati scaduti gestiti in IAM devono essere rimossi

[IAM.27] Le identità IAM non devono avere la AWSCloudShellFullAccess policy allegata

[IAM.28] L'analizzatore di accesso esterno IAM Access Analyzer deve essere abilitato

[Inspector.1] La scansione di Amazon Inspector EC2 deve essere abilitata

[Inspector.2] La scansione ECR di Amazon Inspector deve essere abilitata

[Inspector.3] La scansione del codice Amazon Inspector Lambda deve essere abilitata

[Inspector.4] La scansione standard di Amazon Inspector Lambda deve essere abilitata

[IoTEvents.1]AWSGli input di IoT Events devono essere etichettati

[IoTEvents.2]AWSI modelli di rilevatori IoT Events devono essere etichettati

[IoTEvents.3]AWSI modelli di allarme IoT Events devono essere etichettati

[IoTSiteWise.1]AWSI modelli di SiteWise asset IoT devono essere etichettati

[IoTSiteWise.2]AWSI SiteWise dashboard IoT devono essere etichettati

[IoTSiteWise.3]AWS SiteWise I gateway IoT devono essere etichettati

[IoTSiteWise.4]AWS SiteWise I portali IoT devono essere etichettati

[IoTSiteWise.5]AWS SiteWise I progetti IoT devono essere etichettati

[IoTTwinMaker.1]AWSI lavori di TwinMaker sincronizzazione IoT devono essere etichettati

[IoTTwinMaker.2]AWS TwinMaker Gli spazi di lavoro IoT devono essere etichettati

[IoTTwinMaker.3]AWS TwinMaker Le scene IoT devono essere etichettate

[IoTTwinMaker.4]AWS TwinMaker Le entità IoT devono essere etichettate

[IoTWireless.1]AWSI gruppi multicast IoT Wireless devono essere etichettati

[IoTWireless.2]AWSI profili dei servizi IoT Wireless devono essere etichettati

[IoTWireless.3]AWSLe attività IoT FUOTA devono essere etichettate

[IVS.1] Le coppie di tasti di riproduzione IVS devono essere etichettate

[IVS.2] Le configurazioni di registrazione IVS devono essere etichettate

[IVS.3] I canali IVS devono essere etichettati

[Keyspaces.1] Gli spazi chiave di Amazon Keyspaces devono essere etichettati

[Kinesis.1] Gli stream Kinesis devono essere crittografati quando sono inattivi

[Kinesis.3] I flussi Kinesis devono avere un periodo di conservazione dei dati adeguato

[KMS.1] Le politiche gestite dai clienti IAM non dovrebbero consentire azioni di decrittografia su tutte le chiavi KMS

[KMS.2] I responsabili IAM non dovrebbero disporre di policy IAM in linea che consentano azioni di decrittografia su tutte le chiavi KMS

[KMS.5] Le chiavi KMS non devono essere accessibili al pubblico

[Lambda.5] Le funzioni VPC Lambda devono funzionare in più zone di disponibilità

[Lambda.7] Le funzioni Lambda dovrebbero avereAWS X-Raytracciamento attivo abilitato

[Macie.1] Amazon Macie dovrebbe essere abilitato

[Macie.2] Il rilevamento automatico dei dati sensibili di Macie deve essere abilitato

[MQ.2] I broker ActiveMQ devono trasmettere i log di controllo a CloudWatch

[MQ.4] I broker Amazon MQ devono essere etichettati

[MQ.5] I broker ActiveMQ devono utilizzare la modalità di distribuzione active/standby

[MQ.6] I broker RabbitMQ dovrebbero utilizzare la modalità di distribuzione del cluster

[MSK.1] I cluster MSK devono essere crittografati durante il transito tra i nodi del broker

[MSK.2] I cluster MSK dovrebbero avere configurato un monitoraggio avanzato

[MSK.3] I connettori MSK Connect devono essere crittografati in transito

[MSK.4] L'accesso pubblico ai cluster MSK dovrebbe essere disabilitato

[MSK.5] I connettori MSK devono avere la registrazione abilitata

[MSK.6] I cluster MSK devono disabilitare l'accesso non autenticato

[Neptune.1] I cluster Neptune DB devono essere crittografati quando sono inattivi

[Neptune.2] I cluster Neptune DB devono pubblicare i log di controllo su Logs CloudWatch

[Neptune.3] Le istantanee del cluster Neptune DB non devono essere pubbliche

[Neptune.4] I cluster Neptune DB dovrebbero avere la protezione da eliminazione abilitata

[Neptune.5] I cluster Neptune DB dovrebbero avere i backup automatici abilitati

[Neptune.6] Le istantanee del cluster Neptune DB devono essere crittografate quando sono inattive

[Neptune.7] I cluster Neptune DB devono avere l'autenticazione del database IAM abilitata

[Neptune.8] I cluster Neptune DB devono essere configurati per copiare i tag nelle istantanee

[Neptune.9] I cluster Neptune DB devono essere distribuiti su più zone di disponibilità

[NetworkFirewall.1] I firewall Network Firewall devono essere distribuiti su più zone di disponibilità

[NetworkFirewall.2] La registrazione del Network Firewall deve essere abilitata

[NetworkFirewall.3] Le politiche del Network Firewall devono avere almeno un gruppo di regole associato

[NetworkFirewall.4] L'azione stateless predefinita per le policy di Network Firewall dovrebbe essere drop or forward per pacchetti completi

[NetworkFirewall.5] L'azione stateless predefinita per le policy di Network Firewall dovrebbe essere drop or forward per i pacchetti frammentati

[NetworkFirewall.6] Il gruppo di regole Stateless Network Firewall non deve essere vuoto

[NetworkFirewall.9] I firewall Network Firewall devono avere la protezione da eliminazione abilitata

[NetworkFirewall.10] I firewall Network Firewall devono avere la protezione da cambio di sottorete abilitata

[Opensearch.1] OpenSearch i domini devono avere la crittografia a riposo abilitata

[Opensearch.2] i OpenSearch domini non devono essere accessibili al pubblico

[Opensearch.3] i OpenSearch domini devono crittografare i dati inviati tra i nodi

[Opensearch.4] la registrazione degli errori di OpenSearch dominio nei registri dovrebbe essere abilitata CloudWatch

[Opensearch.5] i OpenSearch domini devono avere la registrazione di controllo abilitata

[Opensearch.6] i OpenSearch domini devono avere almeno tre nodi di dati

[Opensearch.7] i OpenSearch domini devono avere un controllo granulare degli accessi abilitato

[Opensearch.8] Le connessioni ai OpenSearch domini devono essere crittografate utilizzando la politica di sicurezza TLS più recente

[Opensearch.9] i OpenSearch domini devono essere etichettati

[Opensearch.10] OpenSearch sui domini dovrebbe essere installato l'ultimo aggiornamento software

[Opensearch.11] OpenSearch i domini devono avere almeno tre nodi primari dedicati

[PCA.1]AWS Private CAl'autorità di certificazione principale deve essere disabilitata

[PCA.2]AWSLe autorità di certificazione CA private devono essere contrassegnate

[RDS.14] I cluster Amazon Aurora dovrebbero avere il backtracking abilitato

[RDS.24] I cluster di database RDS devono utilizzare un nome utente di amministratore personalizzato

[RDS.25] Le istanze del database RDS devono utilizzare un nome utente amministratore personalizzato

[RDS.26] Le istanze DB RDS devono essere protette da un piano di backup

[RDS.27] I cluster RDS DB devono essere crittografati quando sono inattivi

[RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati

[RDS.34] I cluster Aurora MySQL DB devono pubblicare i log di controllo su Logs CloudWatch

[] RDS.35 I cluster RDS DB devono avere l'aggiornamento automatico delle versioni secondarie abilitato

[RDS.36] Le istanze DB di RDS per PostgreSQL devono pubblicare i log in Logs CloudWatch

[RDS.37] I cluster Aurora PostgreSQL DB devono pubblicare i log in Logs CloudWatch

[RDS.38] Le istanze DB RDS per PostgreSQL devono essere crittografate in transito

[RDS.39] Le istanze DB RDS per MySQL devono essere crittografate in transito

[RDS.40] Le istanze DB di RDS per SQL Server devono pubblicare i log in Logs CloudWatch

[RDS.41] Le istanze DB di RDS per SQL Server devono essere crittografate in transito

[RDS.42] Le istanze RDS per MariaDB DB dovrebbero pubblicare i log su Logs CloudWatch

[] I proxy RDS DB devono richiedere la crittografia TLS per le connessioni RDS.43

[RDS.44] Le istanze RDS per MariaDB DB devono essere crittografate in transito

[RDS.45] I cluster Aurora MySQL DB devono avere la registrazione di controllo abilitata

[RDS.46] Le istanze DB RDS non devono essere distribuite in sottoreti pubbliche con percorsi verso gateway Internet

[RDS.47] I cluster DB RDS per PostgreSQL devono essere configurati per copiare i tag nelle istantanee del DB

[RDS.51] I cluster globali RDS devono essere eseguiti su una versione Aurora MySQL supportata

[Redshift.8] I cluster Amazon Redshift non devono utilizzare il nome utente di amministratore predefinito

[Redshift.10] I cluster Redshift devono essere crittografati a riposo

[Redshift.15] I gruppi di sicurezza Redshift dovrebbero consentire l'ingresso sulla porta del cluster solo da origini limitate

[Redshift.16] I gruppi di sottoreti del cluster Redshift devono avere sottoreti provenienti da più zone di disponibilità

[Redshift.17] I gruppi di parametri del cluster Redshift devono essere etichettati

[Redshift.18] I cluster Redshift dovrebbero avere le implementazioni abilitate Multi-AZ

[RedshiftServerless.1] I gruppi di lavoro Serverless di Amazon Redshift devono utilizzare un routing VPC avanzato

[RedshiftServerless.2] Le connessioni ai gruppi di lavoro Serverless di Redshift devono essere necessarie per utilizzare SSL

[RedshiftServerless.3] I gruppi di lavoro Serverless di Redshift dovrebbero vietare l'accesso pubblico

[RedshiftServerless.4] I namespace Serverless di Redshift devono essere crittografati con gestione del clienteAWS KMS keys

[RedshiftServerless.5] I namespace Redshift Serverless non devono utilizzare il nome utente amministratore predefinito

[RedshiftServerless.6] I namespace Redshift Serverless dovrebbero esportare i log in Logs CloudWatch

[Route53.1] I controlli sanitari della Route 53 devono essere etichettati

[Route53.2] Le zone ospitate pubbliche di Route 53 devono registrare le query DNS

[S3.7] I bucket S3 per uso generico devono utilizzare la replica tra regioni

[S3.10] I bucket S3 per uso generico con il controllo delle versioni abilitato devono avere configurazioni del ciclo di vita

[] I bucket S3 per uso generico devono S3.11 avere le notifiche degli eventi abilitate

[S3.12] Gli ACL non devono essere utilizzati per gestire l'accesso degli utenti ai bucket generici S3

[S3.13] I bucket S3 per uso generico devono avere configurazioni del ciclo di vita

[S3.19] I punti di accesso S3 devono avere le impostazioni di blocco dell'accesso pubblico abilitate

[S3.20] I bucket S3 per uso generico devono avere l'eliminazione MFA abilitata

[S3.22] I bucket S3 per uso generico devono registrare gli eventi di scrittura a livello di oggetto

[S3.23] I bucket S3 per uso generico devono registrare gli eventi di lettura a livello di oggetto

[S3.24] Gli access point S3 Multi-Region devono avere le impostazioni di blocco dell'accesso pubblico abilitate

[S3.25] I bucket di directory S3 devono avere configurazioni del ciclo di vita

[SageMaker.1] Le istanze di SageMaker notebook Amazon non devono avere accesso diretto a Internet

[SageMaker.2] le istanze di SageMaker notebook devono essere avviate in un VPC personalizzato

[SageMaker.3] Gli utenti non devono avere accesso root alle istanze dei SageMaker notebook

[SageMaker.4] Le varianti di produzione di SageMaker endpoint devono avere un numero iniziale di istanze superiore a 1

[SageMaker.5] SageMaker i modelli dovrebbero avere l'isolamento della rete abilitato

[SageMaker.6] le configurazioni delle immagini delle SageMaker app devono essere contrassegnate

[SageMaker.7] SageMaker le immagini devono essere taggate

[SageMaker.8] le istanze SageMaker notebook devono essere eseguite su piattaforme supportate

[SageMaker.9] le definizioni dei lavori SageMaker relativi alla qualità dei dati devono avere abilitata la crittografia del traffico tra container

[SageMaker.10] le definizioni dei processi di spiegabilità dei SageMaker modelli devono avere abilitata la crittografia del traffico tra container

[SageMaker.11] le definizioni dei processi di qualità SageMaker dei dati devono avere l'isolamento della rete abilitato

[SageMaker.12] le definizioni dei job di SageMaker model bias devono avere l'isolamento della rete abilitato

[SageMaker.13] le definizioni dei processi di qualità SageMaker del modello dovrebbero avere la crittografia del traffico tra container abilitata

[SageMaker.14] le pianificazioni di SageMaker monitoraggio dovrebbero avere l'isolamento della rete abilitato

[SageMaker.15] Le definizioni dei job di SageMaker model bias devono avere abilitata la crittografia del traffico tra container

[SageMaker.16] SageMaker i modelli dovrebbero utilizzare il registro privato in VPC per i contenitori primari

[SageMaker.17] i negozi offline del gruppo di SageMaker funzionalità devono essere crittografati conAWS KMSkeys

[SageMaker.18] I negozi online del gruppo di SageMaker funzionalità con archiviazione standard devono essere crittografati conAWS KMSkeys

[SageMaker.19] SageMaker i modelli dovrebbero utilizzare il registro privato in VPC per pipeline di inferenza multi-contenitore

[SES.3] I set di configurazione SES devono avere TLS abilitato per l'invio di e-mail

[ServiceCatalog.1] I portafogli Service Catalog devono essere condivisi all'interno di unAWSsolo organizzazione

[SNS.4] Le politiche di accesso agli argomenti SNS non dovrebbero consentire l'accesso pubblico

[SQS.1] Le code di Amazon SQS devono essere crittografate quando sono inattive

[] Le code SQS devono essere etichettate SQS.2

[SQS.3] Le politiche di accesso alla coda di SQS non dovrebbero consentire l'accesso pubblico

[SSM.4] I documenti SSM non devono essere pubblici

[SSM.5] I documenti SSM devono essere etichettati

[SSM.6] SSM Automation dovrebbe avere la registrazione abilitata CloudWatch

[SSM.7] I documenti SSM devono avere l'impostazione di condivisione pubblica a blocchi abilitata

[StepFunctions.1] Le macchine a stati Step Functions dovrebbero avere la registrazione attivata

[Transfer.2] I server Transfer Family non devono utilizzare il protocollo FTP per la connessione agli endpoint

[Transfer.3] I connettori Transfer Family dovrebbero avere la registrazione abilitata

[Transfer.4] Gli accordi Transfer Family devono essere etichettati

[Transfer.5] I certificati Transfer Family devono essere etichettati

[Transfer.6] I connettori Transfer Family devono essere etichettati

[Transfer.7] I profili Transfer Family devono essere etichettati

[WAF.1]AWS WAFLa registrazione ACL Global Web classica deve essere abilitata

[WAF.2]AWS WAFLe regole regionali classiche devono avere almeno una condizione

[WAF.3]AWS WAFI gruppi di regole regionali classici devono avere almeno una regola

[WAF.4]AWS WAFGli ACL Web regionali classici devono avere almeno una regola o un gruppo di regole

[WAF.6]AWS WAFLe regole globali classiche devono avere almeno una condizione

[WAF.7]AWS WAFI gruppi di regole globali classici devono avere almeno una regola

[WAF.8]AWS WAFGli ACL Web globali classici devono avere almeno una regola o un gruppo di regole

[WAF.10]AWS WAFgli ACL web devono avere almeno una regola o un gruppo di regole

[WAF.12]AWS WAFle regole dovrebbero avere le metriche abilitate CloudWatch

[WorkSpaces.1] i volumi WorkSpaces utente devono essere crittografati quando sono inattivi

[WorkSpaces.2] i volumi WorkSpaces root devono essere crittografati quando sono inattivi

[APIGateway.8] Le rotte API Gateway devono specificare un tipo di autorizzazione

[APIGateway.9] La registrazione degli accessi deve essere configurata per API Gateway V2 Stages

[Amplify.1] Le app Amplify devono essere taggate

[Amplify.2] I rami Amplify devono essere etichettati

[AppFlow.1] I AppFlow flussi Amazon devono essere etichettati

[AppRunner.1] I servizi App Runner devono essere etichettati

[AppRunner.2] I connettori VPC App Runner devono essere etichettati

[AppSync.1]AWS AppSyncLe cache delle API devono essere crittografate quando sono inattive

[AppSync.2]AWS AppSyncdovrebbe avere la registrazione a livello di campo abilitata

[AppSync.5]AWS AppSyncLe API GraphQL non devono essere autenticate con chiavi API

[AppSync.6]AWS AppSyncLe cache delle API devono essere crittografate in transito

[Backup.1]AWS Backupi punti di ripristino devono essere crittografati quando sono inattivi

[Batch.1] Le code di lavoro in batch devono essere etichettate

[Batch.3] Gli ambienti di calcolo in batch devono essere etichettati

[Batch.4] Le proprietà delle risorse di calcolo negli ambienti di calcolo Batch gestiti devono essere etichettate

[BedrockAgentCore.1] I AgentCore runtime Bedrock devono essere configurati con la modalità di rete VPC

[BedrockAgentCore.2] Bedrock AgentCore Gateways dovrebbe richiedere l'autorizzazione per le richieste in entrata

[BedrockAgentCore.3] Bedrock AgentCore Memory deve essere crittografata e gestita dal clienteAWS KMSkeys

[BedrockAgentCore.4] Bedrock AgentCore Gateway deve essere crittografato con Customer ManagedAWS KMSkeys

[BedrockAgentCore.5] I browser personalizzati AgentCore Bedrock non devono utilizzare la modalità di rete pubblica

[BedrockAgentCore.6] I browser AgentCore personalizzati Bedrock devono avere la registrazione delle sessioni abilitata

[CloudFormation.3] gli CloudFormation stack dovrebbero avere la protezione dalla terminazione abilitata

[CloudFormation.4] gli CloudFormation stack devono avere ruoli di servizio associati

[CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato

[CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito

[CloudFront.4] le CloudFront distribuzioni dovrebbero avere il failover di origine configurato

[CloudFront.5] CloudFront le distribuzioni dovrebbero avere la registrazione abilitata

[CloudFront.6] le CloudFront distribuzioni devono avere WAF abilitato

[CloudFront.7] CloudFront le distribuzioni devono utilizzare certificati personalizzati SSL/TLS

[CloudFront.8] CloudFront le distribuzioni devono utilizzare SNI per soddisfare le richieste HTTPS

[CloudFront.9] CloudFront le distribuzioni devono crittografare il traffico verso origini personalizzate

[CloudFront.10] CloudFront le distribuzioni non devono utilizzare protocolli SSL obsoleti tra edge location e origini personalizzate

[CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti

[CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine

[CloudFront.14] CloudFront le distribuzioni devono essere etichettate

[CloudFront.15] CloudFront le distribuzioni devono utilizzare la politica di sicurezza TLS consigliata

[CloudFront.16] CloudFront le distribuzioni dovrebbero utilizzare il controllo dell'accesso all'origine per le origini degli URL della funzione Lambda

[CloudFront.17] CloudFront le distribuzioni devono utilizzare gruppi di chiavi affidabili per URL e cookie firmati

[CodeArtifact.1] i CodeArtifact repository devono essere etichettati

[CodeGuruProfiler.1] I gruppi CodeGuru di profilazione Profiler devono essere etichettati

[CodeGuruReviewer.1] Le associazioni CodeGuru dei repository dei revisori devono essere etichettate

[Cognito.1] I pool di utenti di Cognito dovrebbero avere la protezione dalle minacce attivata con la modalità di imposizione completa delle funzioni per l'autenticazione standard

[Connect.1] I tipi di oggetto Amazon Connect Customer Profiles devono essere etichettati

[Connect.2] Le istanze Connect Customer devono avere la CloudWatch registrazione abilitata

[Detective.1] I grafici del comportamento dei Detective devono essere etichettati

[DMS.2] I certificati DMS devono essere etichettati

[DMS.3] Le sottoscrizioni agli eventi DMS devono essere contrassegnate

[DMS.4] Le istanze di replica DMS devono essere etichettate

[DMS.5] I sottoreti di replica DMS devono essere etichettati

[DMS.6] L'aggiornamento automatico delle versioni secondarie delle istanze di replica DMS deve essere abilitato

[DMS.7] Le attività di replica DMS per il database di destinazione devono avere la registrazione abilitata

[DMS.8] Le attività di replica DMS per il database di origine devono avere la registrazione abilitata

[DMS.9] Gli endpoint DMS devono utilizzare SSL

[DMS.10] Gli endpoint DMS per i database Neptune devono avere l'autorizzazione IAM abilitata

[DMS.11] Gli endpoint DMS per MongoDB dovrebbero avere un meccanismo di autenticazione abilitato

[DMS.12] Gli endpoint DMS per Redis OSS devono avere TLS abilitato

[DMS.13] Le istanze di replica DMS devono essere configurate per utilizzare più zone di disponibilità

[DocumentDB.1] I cluster Amazon DocumentDB devono essere crittografati quando sono inattivi

[DocumentDB.2] I cluster Amazon DocumentDB devono avere un periodo di conservazione dei backup adeguato

[DocumentDB.3] Le istantanee manuali dei cluster di Amazon DocumentDB non devono essere pubbliche

[DocumentDB.4] I cluster Amazon DocumentDB devono pubblicare i log di controllo su Logs CloudWatch

[DocumentDB.5] I cluster Amazon DocumentDB devono avere la protezione da eliminazione abilitata

[DocumentDB.6] I cluster Amazon DocumentDB devono essere crittografati in transito

[DynamoDB.3] I cluster DynamoDB Accelerator (DAX) devono essere crittografati quando sono inattivi

[DynamoDB.7] I cluster DynamoDB Accelerator devono essere crittografati in transito

[EC2.4] Le istanze EC2 interrotte devono essere rimosse dopo un periodo di tempo specificato

[EC2.14] I gruppi di sicurezza non dovrebbero consentire l'ingresso da 0.0.0. 0/0 oppure: :/0 alla porta 3389

[EC2.22] I gruppi di sicurezza Amazon EC2 non utilizzati devono essere rimossi

[EC2.23] I gateway di transito Amazon EC2 non dovrebbero accettare automaticamente richieste di allegati VPC

[EC2.24] I tipi di istanze paravirtuali di Amazon EC2 non devono essere utilizzati

[EC2.25] I modelli di lancio di Amazon EC2 non devono assegnare IP pubblici alle interfacce di rete

[EC2.34] Le tabelle delle rotte dei gateway di transito EC2 devono essere etichettate

[EC2.40] I gateway NAT EC2 devono essere etichettati

[EC2.58] I VPC devono essere configurati con un endpoint di interfaccia per Systems Manager Incident Manager Contacts

[EC2.60] I VPC devono essere configurati con un endpoint di interfaccia per Systems Manager Incident Manager

[EC2.170] I modelli di avvio EC2 devono utilizzare Instance Metadata Service Version 2 (IMDSv2)

[EC2.173] Le richieste EC2 Spot Fleet con parametri di avvio dovrebbero abilitare la crittografia per i volumi EBS collegati

[EC2.175] I modelli di lancio di EC2 devono essere etichettati

[EC2.181] I modelli di lancio EC2 dovrebbero abilitare la crittografia per i volumi EBS collegati

[ECR.4] Gli archivi pubblici ECR devono essere etichettati

[EFS.1] Elastic File System deve essere configurato per crittografare i dati dei file archiviati utilizzandoAWS KMS

[EFS.2] I volumi Amazon EFS devono essere inclusi nei piani di backup

[ELB.14] Classic Load Balancer deve essere configurato con la modalità di mitigazione della desincronizzazione difensiva o più rigorosa

[ELB.17] Gli Application and Network Load Balancer con listener devono utilizzare le politiche di sicurezza consigliate

[ELB.18] I listener di Application e Network Load Balancer devono utilizzare protocolli sicuri per crittografare i dati in transito

I cluster [ElastiCache.1] ElastiCache (Redis OSS) devono avere i backup automatici abilitati

[ElastiCache.2] i ElastiCache cluster dovrebbero avere gli aggiornamenti automatici delle versioni secondarie abilitati

[ElastiCache.3] i gruppi di ElastiCache replica devono avere il failover automatico abilitato

[ElastiCache.4] i gruppi di ElastiCache replica devono essere crittografati quando sono inattivi

[ElastiCache.5] i gruppi di ElastiCache replica devono essere crittografati in transito

[ElastiCache.6] ElastiCache (Redis OSS) i gruppi di replica delle versioni precedenti devono avere Redis OSS AUTH abilitato

[ElastiCache.7] i ElastiCache cluster non devono utilizzare il gruppo di sottoreti predefinito

[ElasticBeanstalk.1] Gli ambienti Elastic Beanstalk dovrebbero avere la reportistica sanitaria avanzata abilitata

[ElasticBeanstalk.2] Gli aggiornamenti della piattaforma gestita da Elastic Beanstalk devono essere abilitati

[ElasticBeanstalk.3] Elastic Beanstalk dovrebbe trasmettere i log a CloudWatch

[EMR.1] I nodi primari del cluster Amazon EMR non devono avere indirizzi IP pubblici

[ES.4] La registrazione degli errori del dominio Elasticsearch nei log deve essere abilitata CloudWatch

[EventBridge.4] gli endpoint EventBridge globali dovrebbero avere la replica degli eventi abilitata

[FraudDetector.1] I tipi di entità Amazon Fraud Detector devono essere etichettati

[FraudDetector.2] Le etichette di Amazon Fraud Detector devono essere etichettate

[FraudDetector.3] I risultati di Amazon Fraud Detector devono essere etichettati

[FraudDetector.4] Le variabili di Amazon Fraud Detector devono essere etichettate

[FSx.1] I file system FSx per OpenZFS devono essere configurati per copiare i tag su backup e volumi

[FSx.3] I file system FSx for OpenZFS devono essere configurati per la distribuzione Multi-AZ

[GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati

[Glue.4]AWS GlueI job Spark devono essere eseguiti su versioni supportate diAWS Glue

[GuardDuty.2] GuardDuty i filtri devono essere etichettati

[IAM.1] Le politiche IAM non dovrebbero consentire privilegi amministrativi «*» completi

[IAM.2] Gli utenti IAM non devono avere policy IAM allegate

[IAM.3] Le chiavi di accesso degli utenti IAM devono essere ruotate ogni 90 giorni o meno

[IAM.5] L'MFA deve essere abilitata per tutti gli utenti IAM che dispongono di una password di console

[IAM.6] La MFA hardware deve essere abilitata per l'utente root

[IAM.8] Le credenziali utente IAM non utilizzate devono essere rimosse

[IAM.10] Le politiche relative alle password per gli utenti IAM devono avere configurazioni solide

[IAM.11] Assicurati che la politica delle password IAM richieda almeno una lettera maiuscola

[IAM.12] Assicurati che la politica delle password IAM richieda almeno una lettera minuscola

[IAM.13] Assicurati che la politica delle password IAM richieda almeno un simbolo

[IAM.14] Assicurati che la policy sulle password di IAM richieda almeno un numero

[IAM.15] Assicurati che la politica delle password di IAM richieda una lunghezza minima della password pari o superiore a 14

[IAM.16] Assicurati che la politica delle password di IAM impedisca il riutilizzo delle password

[IAM.17] Assicurati che la policy sulle password di IAM faccia scadere le password entro 90 giorni o meno

[IAM.18] Assicurati che sia stato creato un ruolo di supporto per gestire gli incidenti conSupporto AWS

[IAM.19] L'MFA deve essere abilitata per tutti gli utenti IAM

[IAM.21] Le policy gestite dai clienti IAM che crei non dovrebbero consentire azioni jolly per i servizi

[IAM.22] Le credenziali utente IAM non utilizzate per 45 giorni devono essere rimosse

[IAM.24] I ruoli IAM devono essere etichettati

[IAM.25] Gli utenti IAM devono essere etichettati

[IAM.26] SSL/TLS I certificati scaduti gestiti in IAM devono essere rimossi

[IAM.27] Le identità IAM non devono avere la AWSCloudShellFullAccess policy allegata

[Inspector.1] La scansione di Amazon Inspector EC2 deve essere abilitata

[Inspector.2] La scansione ECR di Amazon Inspector deve essere abilitata

[Inspector.3] La scansione del codice Amazon Inspector Lambda deve essere abilitata

[Inspector.4] La scansione standard di Amazon Inspector Lambda deve essere abilitata

[IoT.1]AWS IoT Device Defenderi profili di sicurezza devono essere etichettati

[IoT.2]AWS IoT Corele azioni di mitigazione devono essere etichettate

[IoT.3]AWS IoT Corele dimensioni devono essere etichettate

[IoT.4]AWS IoT Coregli autorizzatori devono essere etichettati

[IoT.5]AWS IoT Coregli alias di ruolo devono essere etichettati

[IoT.6]AWS IoT Corele politiche devono essere etichettate

[IoTEvents.1]AWSGli input di IoT Events devono essere etichettati

[IoTEvents.2]AWSI modelli di rilevatori IoT Events devono essere etichettati

[IoTEvents.3]AWSI modelli di allarme IoT Events devono essere etichettati

[IoTSiteWise.1]AWSI modelli di SiteWise asset IoT devono essere etichettati

[IoTSiteWise.2]AWSI SiteWise dashboard IoT devono essere etichettati

[IoTSiteWise.3]AWS SiteWise I gateway IoT devono essere etichettati

[IoTSiteWise.4]AWS SiteWise I portali IoT devono essere etichettati

[IoTSiteWise.5]AWS SiteWise I progetti IoT devono essere etichettati

[IoTTwinMaker.1]AWSI lavori di TwinMaker sincronizzazione IoT devono essere etichettati

[IoTTwinMaker.2]AWS TwinMaker Gli spazi di lavoro IoT devono essere etichettati

[IoTTwinMaker.3]AWS TwinMaker Le scene IoT devono essere etichettate

[IoTTwinMaker.4]AWS TwinMaker Le entità IoT devono essere etichettate

[IoTWireless.1]AWSI gruppi multicast IoT Wireless devono essere etichettati

[IoTWireless.2]AWSI profili dei servizi IoT Wireless devono essere etichettati

[IoTWireless.3]AWSLe attività IoT FUOTA devono essere etichettate

[IVS.1] Le coppie di tasti di riproduzione IVS devono essere etichettate

[IVS.2] Le configurazioni di registrazione IVS devono essere etichettate

[IVS.3] I canali IVS devono essere etichettati

[Keyspaces.1] Gli spazi chiave di Amazon Keyspaces devono essere etichettati

[Kinesis.1] Gli stream Kinesis devono essere crittografati quando sono inattivi

[KMS.1] Le politiche gestite dai clienti IAM non dovrebbero consentire azioni di decrittografia su tutte le chiavi KMS

[KMS.2] I responsabili IAM non dovrebbero disporre di policy IAM in linea che consentano azioni di decrittografia su tutte le chiavi KMS

[Macie.1] Amazon Macie dovrebbe essere abilitato

[Macie.2] Il rilevamento automatico dei dati sensibili di Macie deve essere abilitato

[MQ.6] I broker RabbitMQ dovrebbero utilizzare la modalità di distribuzione del cluster

[MSK.3] I connettori MSK Connect devono essere crittografati in transito

[MSK.5] I connettori MSK devono avere la registrazione abilitata

[Neptune.1] I cluster Neptune DB devono essere crittografati quando sono inattivi

[Neptune.2] I cluster Neptune DB devono pubblicare i log di controllo su Logs CloudWatch

[Neptune.3] Le istantanee del cluster Neptune DB non devono essere pubbliche

[Neptune.4] I cluster Neptune DB dovrebbero avere la protezione da eliminazione abilitata

[Neptune.5] I cluster Neptune DB dovrebbero avere i backup automatici abilitati

[Neptune.6] Le istantanee del cluster Neptune DB devono essere crittografate quando sono inattive

[Neptune.7] I cluster Neptune DB devono avere l'autenticazione del database IAM abilitata

[Neptune.8] I cluster Neptune DB devono essere configurati per copiare i tag nelle istantanee

[Neptune.9] I cluster Neptune DB devono essere distribuiti su più zone di disponibilità

[Opensearch.1] OpenSearch i domini devono avere la crittografia a riposo abilitata

[Opensearch.2] i OpenSearch domini non devono essere accessibili al pubblico

[Opensearch.3] i OpenSearch domini devono crittografare i dati inviati tra i nodi

[Opensearch.4] la registrazione degli errori di OpenSearch dominio nei registri dovrebbe essere abilitata CloudWatch

[Opensearch.5] i OpenSearch domini devono avere la registrazione di controllo abilitata

[Opensearch.6] i OpenSearch domini devono avere almeno tre nodi di dati

[Opensearch.7] i OpenSearch domini devono avere un controllo granulare degli accessi abilitato

[Opensearch.8] Le connessioni ai OpenSearch domini devono essere crittografate utilizzando la politica di sicurezza TLS più recente

[Opensearch.9] i OpenSearch domini devono essere etichettati

[Opensearch.10] OpenSearch sui domini dovrebbe essere installato l'ultimo aggiornamento software

[Opensearch.11] OpenSearch i domini devono avere almeno tre nodi primari dedicati

[RDS.1] L'istantanea RDS deve essere privata

[RDS.14] I cluster Amazon Aurora dovrebbero avere il backtracking abilitato

[RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati

[] RDS.35 I cluster RDS DB devono avere l'aggiornamento automatico delle versioni secondarie abilitato

[RDS.37] I cluster Aurora PostgreSQL DB devono pubblicare i log in Logs CloudWatch

[RedshiftServerless.1] I gruppi di lavoro Serverless di Amazon Redshift devono utilizzare un routing VPC avanzato

[RedshiftServerless.2] Le connessioni ai gruppi di lavoro Serverless di Redshift devono essere necessarie per utilizzare SSL

[RedshiftServerless.3] I gruppi di lavoro Serverless di Redshift dovrebbero vietare l'accesso pubblico

[RedshiftServerless.4] I namespace Serverless di Redshift devono essere crittografati con gestione del clienteAWS KMS keys

[RedshiftServerless.5] I namespace Redshift Serverless non devono utilizzare il nome utente amministratore predefinito

[RedshiftServerless.6] I namespace Redshift Serverless dovrebbero esportare i log in Logs CloudWatch

[Route53.1] I controlli sanitari della Route 53 devono essere etichettati

[Route53.2] Le zone ospitate pubbliche di Route 53 devono registrare le query DNS

[S3.24] Gli access point S3 Multi-Region devono avere le impostazioni di blocco dell'accesso pubblico abilitate

[S3.25] I bucket di directory S3 devono avere configurazioni del ciclo di vita

[SageMaker.1] Le istanze di SageMaker notebook Amazon non devono avere accesso diretto a Internet

[SageMaker.2] le istanze di SageMaker notebook devono essere avviate in un VPC personalizzato

[SageMaker.3] Gli utenti non devono avere accesso root alle istanze dei SageMaker notebook

[SageMaker.5] SageMaker i modelli dovrebbero avere l'isolamento della rete abilitato

[SageMaker.6] le configurazioni delle immagini delle SageMaker app devono essere contrassegnate

[SageMaker.7] SageMaker le immagini devono essere taggate

[SageMaker.8] le istanze SageMaker notebook devono essere eseguite su piattaforme supportate

[SageMaker.9] le definizioni dei lavori SageMaker relativi alla qualità dei dati devono avere abilitata la crittografia del traffico tra container

[SageMaker.10] le definizioni dei processi di spiegabilità dei SageMaker modelli devono avere abilitata la crittografia del traffico tra container

[SageMaker.11] le definizioni dei processi di qualità SageMaker dei dati devono avere l'isolamento della rete abilitato

[SageMaker.12] le definizioni dei job di SageMaker model bias devono avere l'isolamento della rete abilitato

[SageMaker.13] le definizioni dei processi di qualità SageMaker del modello dovrebbero avere la crittografia del traffico tra container abilitata

[SageMaker.14] le pianificazioni di SageMaker monitoraggio dovrebbero avere l'isolamento della rete abilitato

[SageMaker.15] Le definizioni dei job di SageMaker model bias devono avere abilitata la crittografia del traffico tra container

[SageMaker.16] SageMaker i modelli dovrebbero utilizzare il registro privato in VPC per i contenitori primari

[SageMaker.17] i negozi offline del gruppo di SageMaker funzionalità devono essere crittografati conAWS KMSkeys

[SageMaker.18] I negozi online del gruppo di SageMaker funzionalità con archiviazione standard devono essere crittografati conAWS KMSkeys

[SageMaker.19] SageMaker i modelli dovrebbero utilizzare il registro privato in VPC per pipeline di inferenza multi-contenitore

[SES.1] Gli elenchi di contatti SES devono essere etichettati

[SES.2] I set di configurazione SES devono essere etichettati

[SES.3] I set di configurazione SES devono avere TLS abilitato per l'invio di e-mail

[SQS.1] Le code di Amazon SQS devono essere crittografate quando sono inattive

[] Le code SQS devono essere etichettate SQS.2

[SQS.3] Le politiche di accesso alla coda di SQS non dovrebbero consentire l'accesso pubblico

[SSM.4] I documenti SSM non devono essere pubblici

[SSM.7] I documenti SSM devono avere l'impostazione di condivisione pubblica a blocchi abilitata

[StepFunctions.1] Le macchine a stati Step Functions dovrebbero avere la registrazione attivata

[Transfer.3] I connettori Transfer Family dovrebbero avere la registrazione abilitata

[Transfer.4] Gli accordi Transfer Family devono essere etichettati

[WAF.1]AWS WAFLa registrazione ACL Global Web classica deve essere abilitata

[WAF.6]AWS WAFLe regole globali classiche devono avere almeno una condizione

[WAF.7]AWS WAFI gruppi di regole globali classici devono avere almeno una regola

[WAF.8]AWS WAFGli ACL Web globali classici devono avere almeno una regola o un gruppo di regole

[WorkSpaces.1] i volumi WorkSpaces utente devono essere crittografati quando sono inattivi

[WorkSpaces.2] i volumi WorkSpaces root devono essere crittografati quando sono inattivi

[AppSync.1]AWS AppSyncLe cache delle API devono essere crittografate quando sono inattive

[AppSync.6]AWS AppSyncLe cache delle API devono essere crittografate in transito

[CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato

[CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito

[CloudFront.4] le CloudFront distribuzioni dovrebbero avere il failover di origine configurato

[CloudFront.5] CloudFront le distribuzioni dovrebbero avere la registrazione abilitata

[CloudFront.6] le CloudFront distribuzioni devono avere WAF abilitato

[CloudFront.7] CloudFront le distribuzioni devono utilizzare certificati personalizzati SSL/TLS

[CloudFront.8] CloudFront le distribuzioni devono utilizzare SNI per soddisfare le richieste HTTPS

[CloudFront.9] CloudFront le distribuzioni devono crittografare il traffico verso origini personalizzate

[CloudFront.10] CloudFront le distribuzioni non devono utilizzare protocolli SSL obsoleti tra edge location e origini personalizzate

[CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti

[CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine

[CloudFront.14] CloudFront le distribuzioni devono essere etichettate

[CloudFront.15] CloudFront le distribuzioni devono utilizzare la politica di sicurezza TLS consigliata

[CloudFront.16] CloudFront le distribuzioni dovrebbero utilizzare il controllo dell'accesso all'origine per le origini degli URL della funzione Lambda

[CloudFront.17] CloudFront le distribuzioni devono utilizzare gruppi di chiavi affidabili per URL e cookie firmati

[CodeGuruProfiler.1] I gruppi CodeGuru di profilazione Profiler devono essere etichettati

[CodeGuruReviewer.1] Le associazioni CodeGuru dei repository dei revisori devono essere etichettate

[Connect.1] I tipi di oggetto Amazon Connect Customer Profiles devono essere etichettati

[Connect.2] Le istanze Connect Customer devono avere la CloudWatch registrazione abilitata

[EC2.24] I tipi di istanze paravirtuali di Amazon EC2 non devono essere utilizzati

[EC2.173] Le richieste EC2 Spot Fleet con parametri di avvio dovrebbero abilitare la crittografia per i volumi EBS collegati

[ECR.4] Gli archivi pubblici ECR devono essere etichettati

[FraudDetector.1] I tipi di entità Amazon Fraud Detector devono essere etichettati

[FraudDetector.2] Le etichette di Amazon Fraud Detector devono essere etichettate

[FraudDetector.3] I risultati di Amazon Fraud Detector devono essere etichettati

[FraudDetector.4] Le variabili di Amazon Fraud Detector devono essere etichettate

[GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati

[IAM.26] SSL/TLS I certificati scaduti gestiti in IAM devono essere rimossi

[Inspector.3] La scansione del codice Amazon Inspector Lambda deve essere abilitata

[IoTTwinMaker.4]AWS TwinMaker Le entità IoT devono essere etichettate

[IoTWireless.1]AWSI gruppi multicast IoT Wireless devono essere etichettati

[IoTWireless.2]AWSI profili dei servizi IoT Wireless devono essere etichettati

[IoTWireless.3]AWSLe attività IoT FUOTA devono essere etichettate

[RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati

[Route53.1] I controlli sanitari della Route 53 devono essere etichettati

[Route53.2] Le zone ospitate pubbliche di Route 53 devono registrare le query DNS

[S3.24] Gli access point S3 Multi-Region devono avere le impostazioni di blocco dell'accesso pubblico abilitate

[WAF.1]AWS WAFLa registrazione ACL Global Web classica deve essere abilitata

[WAF.6]AWS WAFLe regole globali classiche devono avere almeno una condizione

[WAF.7]AWS WAFI gruppi di regole globali classici devono avere almeno una regola

[WAF.8]AWS WAFGli ACL Web globali classici devono avere almeno una regola o un gruppo di regole

[ACM.1] ACM-issued I certificati importati devono essere rinnovati dopo un periodo di tempo specificato

[ACM.2] I certificati RSA gestiti da ACM devono utilizzare una lunghezza di chiave di almeno 2.048 bit

[Account.1] Le informazioni di contatto per la sicurezza devono essere fornite per unAccount AWS

[Account.2]Account AWSdovrebbe far parte di unAWS Organizationsorganizzazione

[APIGateway.1] API Gateway REST e la registrazione dell'esecuzione dell' WebSocket API devono essere abilitati

[APIGateway.2] Le fasi API REST di API Gateway devono essere configurate per utilizzare i certificati SSL per l'autenticazione del backend

[APIGateway.3] Le fasi API REST di API Gateway dovrebbero avereAWS X-Raytracciamento abilitato

[APIGateway.4] API Gateway deve essere associato a un ACL Web WAF

[APIGateway.5] I dati della cache dell'API REST di API Gateway devono essere crittografati quando sono inattivi

[APIGateway.8] Le rotte API Gateway devono specificare un tipo di autorizzazione

[APIGateway.9] La registrazione degli accessi deve essere configurata per API Gateway V2 Stages

[APIGateway.10] Le integrazioni API Gateway V2 devono utilizzare HTTPS per le connessioni private

[APIGateway.11] I nomi di dominio API Gateway devono utilizzare le politiche di sicurezza consigliate

[Amplify.1] Le app Amplify devono essere taggate

[Amplify.2] I rami Amplify devono essere etichettati

[AppConfig.1]AWS AppConfigle applicazioni devono essere etichettate

[AppConfig.2]AWS AppConfigi profili di configurazione devono essere etichettati

[AppConfig.3]AWS AppConfiggli ambienti devono essere etichettati

[AppConfig.4]AWS AppConfigle associazioni di estensioni devono essere etichettate

[AppFlow.1] I AppFlow flussi Amazon devono essere etichettati

[AppRunner.1] I servizi App Runner devono essere etichettati

[AppRunner.2] I connettori VPC App Runner devono essere etichettati

[AppSync.1]AWS AppSyncLe cache delle API devono essere crittografate quando sono inattive

[AppSync.2]AWS AppSyncdovrebbe avere la registrazione a livello di campo abilitata

[AppSync.4]AWS AppSyncLe API GraphQL devono essere etichettate

[AppSync.5]AWS AppSyncLe API GraphQL non devono essere autenticate con chiavi API

[AppSync.6]AWS AppSyncLe cache delle API devono essere crittografate in transito

[Athena.2] I cataloghi di dati Athena devono essere etichettati

[Athena.3] I gruppi di lavoro Athena devono essere etichettati

[Athena.4] I gruppi di lavoro Athena dovrebbero avere la registrazione abilitata

[AutoScaling.2] Il gruppo Amazon EC2 Auto Scaling dovrebbe coprire più zone di disponibilità

[AutoScaling.3] Le configurazioni di avvio del gruppo Auto Scaling devono configurare le istanze EC2 in modo che richiedano Instance Metadata Service Version 2 (IMDSv2)

[AutoScaling.6] I gruppi di Auto Scaling devono utilizzare più tipi di istanze in più zone di disponibilità

[AutoScaling.9] I gruppi Amazon EC2 Auto Scaling devono utilizzare i modelli di lancio di Amazon EC2

[Backup.1]AWS Backupi punti di ripristino devono essere crittografati quando sono inattivi

[Backup.2]AWS Backupi punti di ripristino devono essere etichettati

[Backup.4]AWS Backupi piani di report devono essere etichettati

[Batch.1] Le code di lavoro in batch devono essere etichettate

[Batch.2] Le politiche di pianificazione dei batch devono essere etichettate

[Batch.3] Gli ambienti di calcolo in batch devono essere etichettati

[Batch.4] Le proprietà delle risorse di calcolo negli ambienti di calcolo Batch gestiti devono essere etichettate

[BedrockAgentCore.1] I AgentCore runtime Bedrock devono essere configurati con la modalità di rete VPC

[BedrockAgentCore.2] Bedrock AgentCore Gateways dovrebbe richiedere l'autorizzazione per le richieste in entrata

[BedrockAgentCore.3] Bedrock AgentCore Memory deve essere crittografata e gestita dal clienteAWS KMSkeys

[BedrockAgentCore.4] Bedrock AgentCore Gateway deve essere crittografato con Customer ManagedAWS KMSkeys

[BedrockAgentCore.5] I browser personalizzati AgentCore Bedrock non devono utilizzare la modalità di rete pubblica

[BedrockAgentCore.6] I browser AgentCore personalizzati Bedrock devono avere la registrazione delle sessioni abilitata

[CloudFormation.3] gli CloudFormation stack dovrebbero avere la protezione dalla terminazione abilitata

[CloudFormation.4] gli CloudFormation stack devono avere ruoli di servizio associati

[CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato

[CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito

[CloudFront.4] le CloudFront distribuzioni dovrebbero avere il failover di origine configurato

[CloudFront.5] CloudFront le distribuzioni dovrebbero avere la registrazione abilitata

[CloudFront.6] le CloudFront distribuzioni devono avere WAF abilitato

[CloudFront.7] CloudFront le distribuzioni devono utilizzare certificati personalizzati SSL/TLS

[CloudFront.8] CloudFront le distribuzioni devono utilizzare SNI per soddisfare le richieste HTTPS

[CloudFront.9] CloudFront le distribuzioni devono crittografare il traffico verso origini personalizzate

[CloudFront.10] CloudFront le distribuzioni non devono utilizzare protocolli SSL obsoleti tra edge location e origini personalizzate

[CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti

[CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine

[CloudFront.14] CloudFront le distribuzioni devono essere etichettate

[CloudFront.15] CloudFront le distribuzioni devono utilizzare la politica di sicurezza TLS consigliata

[CloudFront.16] CloudFront le distribuzioni dovrebbero utilizzare il controllo dell'accesso all'origine per le origini degli URL della funzione Lambda

[CloudFront.17] CloudFront le distribuzioni devono utilizzare gruppi di chiavi affidabili per URL e cookie firmati

[CloudTrail.6] Assicurati che il bucket S3 utilizzato per archiviare i CloudTrail log non sia accessibile al pubblico

[CloudTrail.7] Assicurati che la registrazione degli accessi al bucket S3 sia abilitata sul bucket S3 CloudTrail

[CloudTrail.10] I data store di eventi di CloudTrail Lake devono essere crittografati con Customer ManagedAWS KMS keys

[CloudWatch.17] le azioni CloudWatch di allarme devono essere attivate

[CodeArtifact.1] i CodeArtifact repository devono essere etichettati

[CodeBuild.1] Gli URL del repository di origine di CodeBuild Bitbucket non devono contenere credenziali sensibili

[CodeBuild.2] le variabili di ambiente CodeBuild del progetto non devono contenere credenziali di testo non crittografato

[CodeBuild.3] I log CodeBuild S3 devono essere crittografati

[CodeBuild.4] gli ambienti di CodeBuild progetto dovrebbero avere una registrazioneAWS Config• Durata

[CodeBuild.7] Le esportazioni dei gruppi di CodeBuild report devono essere crittografate quando sono inattive

[CodeGuruProfiler.1] I gruppi CodeGuru di profilazione Profiler devono essere etichettati

[CodeGuruReviewer.1] Le associazioni CodeGuru dei repository dei revisori devono essere etichettate

[Cognito.1] I pool di utenti di Cognito dovrebbero avere la protezione dalle minacce attivata con la modalità di imposizione completa delle funzioni per l'autenticazione standard

[Cognito.2] I pool di identità di Cognito non dovrebbero consentire identità non autenticate

[Cognito.3] Le politiche relative alle password per i pool di utenti di Cognito devono avere configurazioni avanzate

[Cognito.4] I pool di utenti di Cognito dovrebbero avere la protezione dalle minacce attivata con la modalità di imposizione completa delle funzioni per l'autenticazione personalizzata

[Cognito.5] L'MFA deve essere abilitata per i pool di utenti di Cognito

[Cognito.6] I pool di utenti di Cognito devono avere la protezione dall'eliminazione abilitata

[Connect.1] I tipi di oggetto Amazon Connect Customer Profiles devono essere etichettati

[Connect.2] Le istanze Connect Customer devono avere la CloudWatch registrazione abilitata

[DataFirehose.1] I flussi di distribuzione di Firehose devono essere crittografati quando sono inattivi

[DataSync.1] DataSync le attività dovrebbero avere la registrazione abilitata

[DataSync.2] le DataSync attività devono essere etichettate

[Detective.1] I grafici del comportamento dei Detective devono essere etichettati

[DMS.2] I certificati DMS devono essere etichettati

[DMS.3] Le sottoscrizioni agli eventi DMS devono essere contrassegnate

[DMS.4] Le istanze di replica DMS devono essere etichettate

[DMS.5] I sottoreti di replica DMS devono essere etichettati

[DMS.6] L'aggiornamento automatico delle versioni secondarie delle istanze di replica DMS deve essere abilitato

[DMS.7] Le attività di replica DMS per il database di destinazione devono avere la registrazione abilitata

[DMS.8] Le attività di replica DMS per il database di origine devono avere la registrazione abilitata

[DMS.9] Gli endpoint DMS devono utilizzare SSL

[DMS.10] Gli endpoint DMS per i database Neptune devono avere l'autorizzazione IAM abilitata

[DMS.11] Gli endpoint DMS per MongoDB dovrebbero avere un meccanismo di autenticazione abilitato

[DMS.12] Gli endpoint DMS per Redis OSS devono avere TLS abilitato

[DMS.13] Le istanze di replica DMS devono essere configurate per utilizzare più zone di disponibilità

[DocumentDB.1] I cluster Amazon DocumentDB devono essere crittografati quando sono inattivi

[DocumentDB.2] I cluster Amazon DocumentDB devono avere un periodo di conservazione dei backup adeguato

[DocumentDB.3] Le istantanee manuali dei cluster di Amazon DocumentDB non devono essere pubbliche

[DocumentDB.4] I cluster Amazon DocumentDB devono pubblicare i log di controllo su Logs CloudWatch

[DocumentDB.5] I cluster Amazon DocumentDB devono avere la protezione da eliminazione abilitata

[DocumentDB.6] I cluster Amazon DocumentDB devono essere crittografati in transito

[DynamoDB.3] I cluster DynamoDB Accelerator (DAX) devono essere crittografati quando sono inattivi

[DynamoDB.4] Le tabelle DynamoDB devono essere presenti in un piano di backup

[DynamoDB.6] Le tabelle DynamoDB devono avere la protezione da eliminazione abilitata

[DynamoDB.7] I cluster DynamoDB Accelerator devono essere crittografati in transito

[EC2.4] Le istanze EC2 interrotte devono essere rimosse dopo un periodo di tempo specificato

[EC2.21] Gli ACL di rete non dovrebbero consentire l'ingresso a partire dalla versione 0.0.0. 0/0 alla porta 22 o alla porta 3389

[EC2.22] I gruppi di sicurezza Amazon EC2 non utilizzati devono essere rimossi

[EC2.23] I gateway di transito Amazon EC2 non dovrebbero accettare automaticamente richieste di allegati VPC

[EC2.24] I tipi di istanze paravirtuali di Amazon EC2 non devono essere utilizzati

[EC2.25] I modelli di lancio di Amazon EC2 non devono assegnare IP pubblici alle interfacce di rete

[EC2.28] I volumi EBS devono essere coperti da un piano di backup

[EC2.34] Le tabelle delle rotte dei gateway di transito EC2 devono essere etichettate

[EC2.40] I gateway NAT EC2 devono essere etichettati

[EC2.51] Gli endpoint EC2 Client VPN devono avere la registrazione della connessione client abilitata

[EC2.53] I gruppi di sicurezza EC2 non dovrebbero consentire l'ingresso da 0.0.0. 0/0 alle porte di amministrazione del server remoto

[EC2.54] I gruppi di sicurezza EC2 non dovrebbero consentire l'accesso da: :/0 alle porte di amministrazione remota del server

[EC2.55] I VPC devono essere configurati con un endpoint di interfaccia per l'API ECR

[EC2.56] I VPC devono essere configurati con un endpoint di interfaccia per Docker Registry

[EC2.57] I VPC devono essere configurati con un endpoint di interfaccia per Systems Manager

[EC2.58] I VPC devono essere configurati con un endpoint di interfaccia per Systems Manager Incident Manager Contacts

[EC2.60] I VPC devono essere configurati con un endpoint di interfaccia per Systems Manager Incident Manager

[EC2.170] I modelli di avvio EC2 devono utilizzare Instance Metadata Service Version 2 (IMDSv2)

[EC2.171] Le connessioni VPN EC2 devono avere la registrazione abilitata

[EC2.172] Le impostazioni VPC Block Public Access di EC2 dovrebbero bloccare il traffico del gateway Internet

[EC2.173] Le richieste EC2 Spot Fleet con parametri di avvio dovrebbero abilitare la crittografia per i volumi EBS collegati

[EC2.174] I set di opzioni DHCP EC2 devono essere etichettati

[EC2.175] I modelli di lancio di EC2 devono essere etichettati

[EC2.176] Gli elenchi di prefissi EC2 devono essere etichettati

[EC2.177] Le sessioni Traffic Mirror di EC2 devono essere etichettate

[EC2.178] I filtri Traffic Mirror EC2 devono essere etichettati

[EC2.179] Gli obiettivi del traffic mirror di EC2 devono essere etichettati

[EC2.180] Le interfacce di rete EC2 dovrebbero avere il controllo abilitato source/destination

[EC2.181] I modelli di lancio EC2 dovrebbero abilitare la crittografia per i volumi EBS collegati

[EC2.182] Le impostazioni di blocco dell'accesso pubblico devono essere abilitate per gli snapshot di Amazon EBS

[EC2.183] Le connessioni VPN EC2 devono utilizzare il protocollo IKEv2

[ECR.1] I repository privati ECR dovrebbero avere la scansione delle immagini configurata

[ECR.2] I repository privati ECR devono avere configurata l'immutabilità dei tag

[ECR.3] I repository ECR devono avere almeno una politica del ciclo di vita configurata

[ECR.4] Gli archivi pubblici ECR devono essere etichettati

[ECR.5] I repository ECR devono essere crittografati e gestiti dal clienteAWS KMS keys

[ECS.3] Le definizioni delle attività ECS non devono condividere lo spazio dei nomi dei processi dell'host

[ECS.4] I contenitori ECS devono essere eseguiti come non privilegiati

[ECS.5] Le definizioni delle attività ECS devono configurare i contenitori in modo che siano limitati all'accesso in sola lettura ai filesystem root

[ECS.8] I segreti non devono essere passati come variabili di ambiente del contenitore

[ECS.9] Le definizioni delle attività ECS devono avere una configurazione di registrazione

[ECS.10] I servizi ECS Fargate devono essere eseguiti sulla versione più recente della piattaforma Fargate

[ECS.12] I cluster ECS devono utilizzare Container Insights

[ECS.16] I set di attività ECS non devono assegnare automaticamente indirizzi IP pubblici

[ECS.17] Le definizioni delle attività ECS non devono utilizzare la modalità di rete host

[ECS.18] Le definizioni delle attività ECS devono utilizzare la crittografia in transito per i volumi EFS

[ECS.19] I provider di capacità ECS dovrebbero avere abilitato la protezione gestita dalle terminazioni

[ECS.20] Le definizioni delle attività ECS devono configurare gli utenti non root nelle definizioni dei container Linux

[ECS.21] Le definizioni delle attività ECS devono configurare gli utenti non amministratori nelle definizioni dei contenitori Windows

[EFS.1] Elastic File System deve essere configurato per crittografare i dati dei file archiviati utilizzandoAWS KMS

[EFS.2] I volumi Amazon EFS devono essere inclusi nei piani di backup

[EFS.3] I punti di accesso EFS devono applicare una directory principale

[EFS.4] I punti di accesso EFS devono applicare un'identità utente

[EFS.6] I target di montaggio EFS non devono essere associati a sottoreti che assegnano indirizzi IP pubblici all'avvio

[EFS.7] I file system EFS devono avere i backup automatici abilitati

[EFS.8] I file system EFS devono essere crittografati a riposo

[EKS.2] I cluster EKS devono essere eseguiti su una versione Kubernetes supportata

[EKS.3] I cluster EKS devono utilizzare segreti Kubernetes crittografati

[EKS.7] Le configurazioni dei provider di identità EKS devono essere contrassegnate

[EKS.8] I cluster EKS dovrebbero avere la registrazione di controllo abilitata

[EKS.9] I gruppi di nodi EKS devono essere eseguiti su una versione di Kubernetes supportata

[ELB.2] I sistemi Classic Load Balancer con SSL/HTTPS listener devono utilizzare un certificato fornito daAWS Certificate Manager

[ELB.10] Classic Load Balancer dovrebbe estendersi su più zone di disponibilità

[ELB.12] Application Load Balancer deve essere configurato con la modalità di mitigazione della desincronizzazione difensiva o più rigorosa

[ELB.13] I Load Balancer per applicazioni, reti e gateway devono estendersi su più zone di disponibilità

[ELB.14] Classic Load Balancer deve essere configurato con la modalità di mitigazione della desincronizzazione difensiva o più rigorosa

[ELB.16] Application Load Balancers deve essere associato a unAWS WAFACL Web

[ELB.17] Gli Application and Network Load Balancer con listener devono utilizzare le politiche di sicurezza consigliate

[ELB.18] I listener di Application e Network Load Balancer devono utilizzare protocolli sicuri per crittografare i dati in transito

[ELB.21] I gruppi target di Application e Network Load Balancer devono utilizzare protocolli di controllo dello stato crittografati

[ELB.22] I gruppi target ELB devono utilizzare protocolli di trasporto crittografati

I cluster [ElastiCache.1] ElastiCache (Redis OSS) devono avere i backup automatici abilitati

[ElastiCache.2] i ElastiCache cluster dovrebbero avere gli aggiornamenti automatici delle versioni secondarie abilitati

[ElastiCache.3] i gruppi di ElastiCache replica devono avere il failover automatico abilitato

[ElastiCache.4] i gruppi di ElastiCache replica devono essere crittografati quando sono inattivi

[ElastiCache.5] i gruppi di ElastiCache replica devono essere crittografati in transito

[ElastiCache.6] ElastiCache (Redis OSS) i gruppi di replica delle versioni precedenti devono avere Redis OSS AUTH abilitato

[ElastiCache.7] i ElastiCache cluster non devono utilizzare il gruppo di sottoreti predefinito

[ElasticBeanstalk.1] Gli ambienti Elastic Beanstalk dovrebbero avere la reportistica sanitaria avanzata abilitata

[ElasticBeanstalk.2] Gli aggiornamenti della piattaforma gestita da Elastic Beanstalk devono essere abilitati

[ElasticBeanstalk.3] Elastic Beanstalk dovrebbe trasmettere i log a CloudWatch

[EMR.1] I nodi primari del cluster Amazon EMR non devono avere indirizzi IP pubblici

[EMR.2] L'impostazione di accesso pubblico a blocchi di Amazon EMR deve essere abilitata

[EMR.3] Le configurazioni di sicurezza di Amazon EMR devono essere crittografate quando sono inattive

[EMR.4] Le configurazioni di sicurezza di Amazon EMR devono essere crittografate in transito

[ES.3] I domini Elasticsearch devono crittografare i dati inviati tra i nodi

[ES.4] La registrazione degli errori del dominio Elasticsearch nei log deve essere abilitata CloudWatch

[ES.9] I domini Elasticsearch devono essere etichettati

[EventBridge.3] i bus di eventi EventBridge personalizzati dovrebbero avere una politica basata sulle risorse allegata

[EventBridge.4] gli endpoint EventBridge globali dovrebbero avere la replica degli eventi abilitata

[FraudDetector.1] I tipi di entità Amazon Fraud Detector devono essere etichettati

[FraudDetector.2] Le etichette di Amazon Fraud Detector devono essere etichettate

[FraudDetector.3] I risultati di Amazon Fraud Detector devono essere etichettati

[FraudDetector.4] Le variabili di Amazon Fraud Detector devono essere etichettate

[FSx.1] I file system FSx per OpenZFS devono essere configurati per copiare i tag su backup e volumi

[FSx.2] I file system FSx for Lustre devono essere configurati per copiare i tag nei backup

[FSx.3] I file system FSx for OpenZFS devono essere configurati per la distribuzione Multi-AZ

[FSx.4] I file system FSx for NetApp ONTAP devono essere configurati per l'implementazione Multi-AZ

[FSx.5] I file system FSx for Windows File Server devono essere configurati Multi-AZ per la distribuzione

[GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati

[Glue.1]AWS Gluei lavori devono essere etichettati

[Glue.3]AWS Gluele trasformazioni di apprendimento automatico devono essere crittografate quando sono inutilizzate

[Glue.4]AWS GlueI job Spark devono essere eseguiti su versioni supportate diAWS Glue

[GuardDuty.1] GuardDuty dovrebbe essere abilitato

[GuardDuty.2] GuardDuty i filtri devono essere etichettati

[GuardDuty.3] Gli GuardDuty IPSets devono essere etichettati

[GuardDuty.4] i GuardDuty rilevatori devono essere etichettati

[GuardDuty.5] GuardDuty EKS Audit Log Monitoring deve essere abilitato

[GuardDuty.6] La protezione GuardDuty Lambda deve essere abilitata

[GuardDuty.7] GuardDuty EKS Runtime Monitoring deve essere abilitato

[GuardDuty.8] La protezione GuardDuty da malware per EC2 deve essere abilitata

[GuardDuty.9] La protezione GuardDuty RDS deve essere abilitata

[GuardDuty.10] La protezione GuardDuty S3 deve essere abilitata

[GuardDuty.11] Il monitoraggio del GuardDuty runtime deve essere abilitato

[GuardDuty.12] Il monitoraggio del runtime GuardDuty ECS deve essere abilitato

[GuardDuty.13] Il monitoraggio del runtime GuardDuty EC2 deve essere abilitato

[IAM.1] Le politiche IAM non dovrebbero consentire privilegi amministrativi «*» completi

[IAM.2] Gli utenti IAM non devono avere policy IAM allegate

[IAM.3] Le chiavi di accesso degli utenti IAM devono essere ruotate ogni 90 giorni o meno

[IAM.4] La chiave di accesso utente root IAM non dovrebbe esistere

[IAM.5] L'MFA deve essere abilitata per tutti gli utenti IAM che dispongono di una password di console

[IAM.6] La MFA hardware deve essere abilitata per l'utente root

[IAM.7] Le politiche relative alle password per gli utenti IAM devono avere configurazioni solide

[IAM.8] Le credenziali utente IAM non utilizzate devono essere rimosse

[IAM.9] L'MFA deve essere abilitata per l'utente root

[IAM.10] Le politiche relative alle password per gli utenti IAM devono avere configurazioni solide

[IAM.11] Assicurati che la politica delle password IAM richieda almeno una lettera maiuscola

[IAM.12] Assicurati che la politica delle password IAM richieda almeno una lettera minuscola

[IAM.13] Assicurati che la politica delle password IAM richieda almeno un simbolo

[IAM.14] Assicurati che la policy sulle password di IAM richieda almeno un numero

[IAM.15] Assicurati che la politica delle password di IAM richieda una lunghezza minima della password pari o superiore a 14

[IAM.16] Assicurati che la politica delle password di IAM impedisca il riutilizzo delle password

[IAM.17] Assicurati che la policy sulle password di IAM faccia scadere le password entro 90 giorni o meno

[IAM.18] Assicurati che sia stato creato un ruolo di supporto per gestire gli incidenti conSupporto AWS

[IAM.19] L'MFA deve essere abilitata per tutti gli utenti IAM

[IAM.21] Le policy gestite dai clienti IAM che crei non dovrebbero consentire azioni jolly per i servizi

[IAM.22] Le credenziali utente IAM non utilizzate per 45 giorni devono essere rimosse

[IAM.24] I ruoli IAM devono essere etichettati

[IAM.25] Gli utenti IAM devono essere etichettati

[IAM.26] SSL/TLS I certificati scaduti gestiti in IAM devono essere rimossi

[IAM.27] Le identità IAM non devono avere la AWSCloudShellFullAccess policy allegata

[IAM.28] L'analizzatore di accesso esterno IAM Access Analyzer deve essere abilitato

[Inspector.1] La scansione di Amazon Inspector EC2 deve essere abilitata

[Inspector.2] La scansione ECR di Amazon Inspector deve essere abilitata

[Inspector.3] La scansione del codice Amazon Inspector Lambda deve essere abilitata

[Inspector.4] La scansione standard di Amazon Inspector Lambda deve essere abilitata

[IoT.1]AWS IoT Device Defenderi profili di sicurezza devono essere etichettati

[IoT.2]AWS IoT Corele azioni di mitigazione devono essere etichettate

[IoT.3]AWS IoT Corele dimensioni devono essere etichettate

[IoT.4]AWS IoT Coregli autorizzatori devono essere etichettati

[IoT.5]AWS IoT Coregli alias di ruolo devono essere etichettati

[IoT.6]AWS IoT Corele politiche devono essere etichettate

[IoTEvents.1]AWSGli input di IoT Events devono essere etichettati

[IoTEvents.2]AWSI modelli di rilevatori IoT Events devono essere etichettati

[IoTEvents.3]AWSI modelli di allarme IoT Events devono essere etichettati

[IoTSiteWise.1]AWSI modelli di SiteWise asset IoT devono essere etichettati

[IoTSiteWise.2]AWSI SiteWise dashboard IoT devono essere etichettati

[IoTSiteWise.3]AWS SiteWise I gateway IoT devono essere etichettati

[IoTSiteWise.4]AWS SiteWise I portali IoT devono essere etichettati

[IoTSiteWise.5]AWS SiteWise I progetti IoT devono essere etichettati

[IoTTwinMaker.1]AWSI lavori di TwinMaker sincronizzazione IoT devono essere etichettati

[IoTTwinMaker.2]AWS TwinMaker Gli spazi di lavoro IoT devono essere etichettati

[IoTTwinMaker.3]AWS TwinMaker Le scene IoT devono essere etichettate

[IoTTwinMaker.4]AWS TwinMaker Le entità IoT devono essere etichettate

[IoTWireless.1]AWSI gruppi multicast IoT Wireless devono essere etichettati

[IoTWireless.2]AWSI profili dei servizi IoT Wireless devono essere etichettati

[IoTWireless.3]AWSLe attività IoT FUOTA devono essere etichettate

[IVS.1] Le coppie di tasti di riproduzione IVS devono essere etichettate

[IVS.2] Le configurazioni di registrazione IVS devono essere etichettate

[IVS.3] I canali IVS devono essere etichettati

[Keyspaces.1] Gli spazi chiave di Amazon Keyspaces devono essere etichettati

[Kinesis.1] Gli stream Kinesis devono essere crittografati quando sono inattivi

[Kinesis.3] I flussi Kinesis devono avere un periodo di conservazione dei dati adeguato

[KMS.1] Le politiche gestite dai clienti IAM non dovrebbero consentire azioni di decrittografia su tutte le chiavi KMS

[KMS.2] I responsabili IAM non dovrebbero disporre di policy IAM in linea che consentano azioni di decrittografia su tutte le chiavi KMS

[KMS.5] Le chiavi KMS non devono essere accessibili al pubblico

[Lambda.5] Le funzioni VPC Lambda devono funzionare in più zone di disponibilità

[Lambda.7] Le funzioni Lambda dovrebbero avereAWS X-Raytracciamento attivo abilitato

[Macie.1] Amazon Macie dovrebbe essere abilitato

[Macie.2] Il rilevamento automatico dei dati sensibili di Macie deve essere abilitato

[MQ.2] I broker ActiveMQ devono trasmettere i log di controllo a CloudWatch

[MQ.4] I broker Amazon MQ devono essere etichettati

[MQ.5] I broker ActiveMQ devono utilizzare la modalità di distribuzione active/standby

[MQ.6] I broker RabbitMQ dovrebbero utilizzare la modalità di distribuzione del cluster

[MSK.1] I cluster MSK devono essere crittografati durante il transito tra i nodi del broker

[MSK.2] I cluster MSK dovrebbero avere configurato un monitoraggio avanzato

[MSK.3] I connettori MSK Connect devono essere crittografati in transito

[MSK.4] L'accesso pubblico ai cluster MSK dovrebbe essere disabilitato

[MSK.5] I connettori MSK devono avere la registrazione abilitata

[MSK.6] I cluster MSK devono disabilitare l'accesso non autenticato

[Neptune.1] I cluster Neptune DB devono essere crittografati quando sono inattivi

[Neptune.2] I cluster Neptune DB devono pubblicare i log di controllo su Logs CloudWatch

[Neptune.3] Le istantanee del cluster Neptune DB non devono essere pubbliche

[Neptune.4] I cluster Neptune DB dovrebbero avere la protezione da eliminazione abilitata

[Neptune.5] I cluster Neptune DB dovrebbero avere i backup automatici abilitati

[Neptune.6] Le istantanee del cluster Neptune DB devono essere crittografate quando sono inattive

[Neptune.7] I cluster Neptune DB devono avere l'autenticazione del database IAM abilitata

[Neptune.8] I cluster Neptune DB devono essere configurati per copiare i tag nelle istantanee

[Neptune.9] I cluster Neptune DB devono essere distribuiti su più zone di disponibilità

[NetworkFirewall.1] I firewall Network Firewall devono essere distribuiti su più zone di disponibilità

[NetworkFirewall.2] La registrazione del Network Firewall deve essere abilitata

[NetworkFirewall.3] Le politiche del Network Firewall devono avere almeno un gruppo di regole associato

[NetworkFirewall.4] L'azione stateless predefinita per le policy di Network Firewall dovrebbe essere drop or forward per pacchetti completi

[NetworkFirewall.5] L'azione stateless predefinita per le policy di Network Firewall dovrebbe essere drop or forward per i pacchetti frammentati

[NetworkFirewall.6] Il gruppo di regole Stateless Network Firewall non deve essere vuoto

[NetworkFirewall.9] I firewall Network Firewall devono avere la protezione da eliminazione abilitata

[NetworkFirewall.10] I firewall Network Firewall devono avere la protezione da cambio di sottorete abilitata

[Opensearch.1] OpenSearch i domini devono avere la crittografia a riposo abilitata

[Opensearch.2] i OpenSearch domini non devono essere accessibili al pubblico

[Opensearch.3] i OpenSearch domini devono crittografare i dati inviati tra i nodi

[Opensearch.4] la registrazione degli errori di OpenSearch dominio nei registri dovrebbe essere abilitata CloudWatch

[Opensearch.5] i OpenSearch domini devono avere la registrazione di controllo abilitata

[Opensearch.6] i OpenSearch domini devono avere almeno tre nodi di dati

[Opensearch.7] i OpenSearch domini devono avere un controllo granulare degli accessi abilitato

[Opensearch.8] Le connessioni ai OpenSearch domini devono essere crittografate utilizzando la politica di sicurezza TLS più recente

[Opensearch.9] i OpenSearch domini devono essere etichettati

[Opensearch.10] OpenSearch sui domini dovrebbe essere installato l'ultimo aggiornamento software

[Opensearch.11] OpenSearch i domini devono avere almeno tre nodi primari dedicati

[PCA.1]AWS Private CAl'autorità di certificazione principale deve essere disabilitata

[PCA.2]AWSLe autorità di certificazione CA private devono essere contrassegnate

[RDS.14] I cluster Amazon Aurora dovrebbero avere il backtracking abilitato

[RDS.24] I cluster di database RDS devono utilizzare un nome utente di amministratore personalizzato

[RDS.25] Le istanze del database RDS devono utilizzare un nome utente amministratore personalizzato

[RDS.26] Le istanze DB RDS devono essere protette da un piano di backup

[RDS.27] I cluster RDS DB devono essere crittografati quando sono inattivi

[RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati

[RDS.34] I cluster Aurora MySQL DB devono pubblicare i log di controllo su Logs CloudWatch

[] RDS.35 I cluster RDS DB devono avere l'aggiornamento automatico delle versioni secondarie abilitato

[RDS.36] Le istanze DB di RDS per PostgreSQL devono pubblicare i log in Logs CloudWatch

[RDS.37] I cluster Aurora PostgreSQL DB devono pubblicare i log in Logs CloudWatch

[RDS.38] Le istanze DB RDS per PostgreSQL devono essere crittografate in transito

[RDS.39] Le istanze DB RDS per MySQL devono essere crittografate in transito

[RDS.40] Le istanze DB di RDS per SQL Server devono pubblicare i log in Logs CloudWatch

[RDS.41] Le istanze DB di RDS per SQL Server devono essere crittografate in transito

[RDS.42] Le istanze RDS per MariaDB DB dovrebbero pubblicare i log su Logs CloudWatch

[] I proxy RDS DB devono richiedere la crittografia TLS per le connessioni RDS.43

[RDS.44] Le istanze RDS per MariaDB DB devono essere crittografate in transito

[RDS.45] I cluster Aurora MySQL DB devono avere la registrazione di controllo abilitata

[RDS.46] Le istanze DB RDS non devono essere distribuite in sottoreti pubbliche con percorsi verso gateway Internet

[RDS.47] I cluster DB RDS per PostgreSQL devono essere configurati per copiare i tag nelle istantanee del DB

[RDS.48] I cluster RDS per MySQL DB devono essere configurati per copiare i tag nelle istantanee del DB

[RDS.50] I cluster RDS DB devono avere un periodo di conservazione dei backup sufficiente

[RDS.51] I cluster globali RDS devono essere eseguiti su una versione Aurora MySQL supportata

[Redshift.1] I cluster Amazon Redshift dovrebbero vietare l'accesso pubblico

[Redshift.3] I cluster Amazon Redshift devono avere le istantanee automatiche abilitate

[Redshift.4] I cluster Amazon Redshift devono avere la registrazione di controllo abilitata

[Redshift.6] Amazon Redshift dovrebbe avere gli upgrade automatici alle versioni principali abilitati

[Redshift.7] I cluster Redshift devono utilizzare un routing VPC avanzato

[Redshift.8] I cluster Amazon Redshift non devono utilizzare il nome utente di amministratore predefinito

[Redshift.10] I cluster Redshift devono essere crittografati a riposo

[Redshift.11] I cluster Redshift devono essere etichettati

[Redshift.13] Le istantanee del cluster Redshift devono essere etichettate

[Redshift.15] I gruppi di sicurezza Redshift dovrebbero consentire l'ingresso sulla porta del cluster solo da origini limitate

[Redshift.16] I gruppi di sottoreti del cluster Redshift devono avere sottoreti provenienti da più zone di disponibilità

[Redshift.17] I gruppi di parametri del cluster Redshift devono essere etichettati

[Redshift.18] I cluster Redshift dovrebbero avere le implementazioni abilitate Multi-AZ

[RedshiftServerless.1] I gruppi di lavoro Serverless di Amazon Redshift devono utilizzare un routing VPC avanzato

[RedshiftServerless.2] Le connessioni ai gruppi di lavoro Serverless di Redshift devono essere necessarie per utilizzare SSL

[RedshiftServerless.3] I gruppi di lavoro Serverless di Redshift dovrebbero vietare l'accesso pubblico

[RedshiftServerless.4] I namespace Serverless di Redshift devono essere crittografati con gestione del clienteAWS KMS keys

[RedshiftServerless.5] I namespace Redshift Serverless non devono utilizzare il nome utente amministratore predefinito

[RedshiftServerless.6] I namespace Redshift Serverless dovrebbero esportare i log in Logs CloudWatch

[Route53.1] I controlli sanitari della Route 53 devono essere etichettati

[Route53.2] Le zone ospitate pubbliche di Route 53 devono registrare le query DNS

[S3.7] I bucket S3 per uso generico devono utilizzare la replica tra regioni

[S3.10] I bucket S3 per uso generico con il controllo delle versioni abilitato devono avere configurazioni del ciclo di vita

[] I bucket S3 per uso generico devono S3.11 avere le notifiche degli eventi abilitate

[S3.12] Gli ACL non devono essere utilizzati per gestire l'accesso degli utenti ai bucket generici S3

[S3.13] I bucket S3 per uso generico devono avere configurazioni del ciclo di vita

[S3.19] I punti di accesso S3 devono avere le impostazioni di blocco dell'accesso pubblico abilitate

[S3.20] I bucket S3 per uso generico devono avere l'eliminazione MFA abilitata

[S3.22] I bucket S3 per uso generico devono registrare gli eventi di scrittura a livello di oggetto

[S3.23] I bucket S3 per uso generico devono registrare gli eventi di lettura a livello di oggetto

[S3.24] Gli access point S3 Multi-Region devono avere le impostazioni di blocco dell'accesso pubblico abilitate

[S3.25] I bucket di directory S3 devono avere configurazioni del ciclo di vita

[SageMaker.1] Le istanze di SageMaker notebook Amazon non devono avere accesso diretto a Internet

[SageMaker.2] le istanze di SageMaker notebook devono essere avviate in un VPC personalizzato

[SageMaker.3] Gli utenti non devono avere accesso root alle istanze dei SageMaker notebook

[SageMaker.4] Le varianti di produzione di SageMaker endpoint devono avere un numero iniziale di istanze superiore a 1

[SageMaker.5] SageMaker i modelli dovrebbero avere l'isolamento della rete abilitato

[SageMaker.6] le configurazioni delle immagini delle SageMaker app devono essere contrassegnate

[SageMaker.7] SageMaker le immagini devono essere taggate

[SageMaker.8] le istanze SageMaker notebook devono essere eseguite su piattaforme supportate

[SageMaker.9] le definizioni dei lavori SageMaker relativi alla qualità dei dati devono avere abilitata la crittografia del traffico tra container

[SageMaker.10] le definizioni dei processi di spiegabilità dei SageMaker modelli devono avere abilitata la crittografia del traffico tra container

[SageMaker.11] le definizioni dei processi di qualità SageMaker dei dati devono avere l'isolamento della rete abilitato

[SageMaker.12] le definizioni dei job di SageMaker model bias devono avere l'isolamento della rete abilitato

[SageMaker.13] le definizioni dei processi di qualità SageMaker del modello dovrebbero avere la crittografia del traffico tra container abilitata

[SageMaker.14] le pianificazioni di SageMaker monitoraggio dovrebbero avere l'isolamento della rete abilitato

[SageMaker.15] Le definizioni dei job di SageMaker model bias devono avere abilitata la crittografia del traffico tra container

[SageMaker.16] SageMaker i modelli dovrebbero utilizzare il registro privato in VPC per i contenitori primari

[SageMaker.17] i negozi offline del gruppo di SageMaker funzionalità devono essere crittografati conAWS KMSkeys

[SageMaker.18] I negozi online del gruppo di SageMaker funzionalità con archiviazione standard devono essere crittografati conAWS KMSkeys

[SageMaker.19] SageMaker i modelli dovrebbero utilizzare il registro privato in VPC per pipeline di inferenza multi-contenitore

[SES.1] Gli elenchi di contatti SES devono essere etichettati

[SES.2] I set di configurazione SES devono essere etichettati

[SES.3] I set di configurazione SES devono avere TLS abilitato per l'invio di e-mail

[ServiceCatalog.1] I portafogli Service Catalog devono essere condivisi all'interno di unAWSsolo organizzazione

[SNS.4] Le politiche di accesso agli argomenti SNS non dovrebbero consentire l'accesso pubblico

[SQS.1] Le code di Amazon SQS devono essere crittografate quando sono inattive

[] Le code SQS devono essere etichettate SQS.2

[SQS.3] Le politiche di accesso alla coda di SQS non dovrebbero consentire l'accesso pubblico

[SSM.1] Le istanze Amazon EC2 devono essere gestite daAWS Systems Manager

[SSM.2] Le istanze Amazon EC2 gestite da Systems Manager dovrebbero avere uno stato di conformità delle patch pari a COMPLIANT dopo l'installazione della patch

[SSM.3] Le istanze Amazon EC2 gestite da Systems Manager devono avere uno stato di conformità dell'associazione pari a COMPLIANT

[SSM.4] I documenti SSM non devono essere pubblici

[SSM.5] I documenti SSM devono essere etichettati

[SSM.6] SSM Automation dovrebbe avere la registrazione abilitata CloudWatch

[SSM.7] I documenti SSM devono avere l'impostazione di condivisione pubblica a blocchi abilitata

[StepFunctions.1] Le macchine a stati Step Functions dovrebbero avere la registrazione attivata

[Transfer.1]AWS Transfer Familyi flussi di lavoro devono essere etichettati

[Transfer.2] I server Transfer Family non devono utilizzare il protocollo FTP per la connessione agli endpoint

[Transfer.3] I connettori Transfer Family dovrebbero avere la registrazione abilitata

[Transfer.4] Gli accordi Transfer Family devono essere etichettati

[Transfer.5] I certificati Transfer Family devono essere etichettati

[Transfer.6] I connettori Transfer Family devono essere etichettati

[Transfer.7] I profili Transfer Family devono essere etichettati

[WAF.1]AWS WAFLa registrazione ACL Global Web classica deve essere abilitata

[WAF.2]AWS WAFLe regole regionali classiche devono avere almeno una condizione

[WAF.3]AWS WAFI gruppi di regole regionali classici devono avere almeno una regola

[WAF.4]AWS WAFGli ACL Web regionali classici devono avere almeno una regola o un gruppo di regole

[WAF.6]AWS WAFLe regole globali classiche devono avere almeno una condizione

[WAF.7]AWS WAFI gruppi di regole globali classici devono avere almeno una regola

[WAF.8]AWS WAFGli ACL Web globali classici devono avere almeno una regola o un gruppo di regole

[WAF.10]AWS WAFgli ACL web devono avere almeno una regola o un gruppo di regole

[WAF.11]AWS WAFla registrazione ACL web deve essere abilitata

[WAF.12]AWS WAFle regole dovrebbero avere le metriche abilitate CloudWatch

[WorkSpaces.1] i volumi WorkSpaces utente devono essere crittografati quando sono inattivi

[WorkSpaces.2] i volumi WorkSpaces root devono essere crittografati quando sono inattivi

[AppFlow.1] I AppFlow flussi Amazon devono essere etichettati

[AppRunner.1] I servizi App Runner devono essere etichettati

[AppRunner.2] I connettori VPC App Runner devono essere etichettati

[AppSync.1]AWS AppSyncLe cache delle API devono essere crittografate quando sono inattive

[AppSync.6]AWS AppSyncLe cache delle API devono essere crittografate in transito

[Backup.1]AWS Backupi punti di ripristino devono essere crittografati quando sono inattivi

[BedrockAgentCore.1] I AgentCore runtime Bedrock devono essere configurati con la modalità di rete VPC

[BedrockAgentCore.2] Bedrock AgentCore Gateways dovrebbe richiedere l'autorizzazione per le richieste in entrata

[BedrockAgentCore.3] Bedrock AgentCore Memory deve essere crittografata e gestita dal clienteAWS KMSkeys

[BedrockAgentCore.4] Bedrock AgentCore Gateway deve essere crittografato con Customer ManagedAWS KMSkeys

[BedrockAgentCore.5] I browser personalizzati AgentCore Bedrock non devono utilizzare la modalità di rete pubblica

[BedrockAgentCore.6] I browser AgentCore personalizzati Bedrock devono avere la registrazione delle sessioni abilitata

[CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato

[CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito

[CloudFront.4] le CloudFront distribuzioni dovrebbero avere il failover di origine configurato

[CloudFront.5] CloudFront le distribuzioni dovrebbero avere la registrazione abilitata

[CloudFront.6] le CloudFront distribuzioni devono avere WAF abilitato

[CloudFront.7] CloudFront le distribuzioni devono utilizzare certificati personalizzati SSL/TLS

[CloudFront.8] CloudFront le distribuzioni devono utilizzare SNI per soddisfare le richieste HTTPS

[CloudFront.9] CloudFront le distribuzioni devono crittografare il traffico verso origini personalizzate

[CloudFront.10] CloudFront le distribuzioni non devono utilizzare protocolli SSL obsoleti tra edge location e origini personalizzate

[CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti

[CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine

[CloudFront.14] CloudFront le distribuzioni devono essere etichettate

[CloudFront.15] CloudFront le distribuzioni devono utilizzare la politica di sicurezza TLS consigliata

[CloudFront.16] CloudFront le distribuzioni dovrebbero utilizzare il controllo dell'accesso all'origine per le origini degli URL della funzione Lambda

[CloudFront.17] CloudFront le distribuzioni devono utilizzare gruppi di chiavi affidabili per URL e cookie firmati

[CodeArtifact.1] i CodeArtifact repository devono essere etichettati

[CodeGuruProfiler.1] I gruppi CodeGuru di profilazione Profiler devono essere etichettati

[CodeGuruReviewer.1] Le associazioni CodeGuru dei repository dei revisori devono essere etichettate

[Connect.1] I tipi di oggetto Amazon Connect Customer Profiles devono essere etichettati

[Connect.2] Le istanze Connect Customer devono avere la CloudWatch registrazione abilitata

[Detective.1] I grafici del comportamento dei Detective devono essere etichettati

[DMS.7] Le attività di replica DMS per il database di destinazione devono avere la registrazione abilitata

[DMS.8] Le attività di replica DMS per il database di origine devono avere la registrazione abilitata

[DMS.10] Gli endpoint DMS per i database Neptune devono avere l'autorizzazione IAM abilitata

[DocumentDB.1] I cluster Amazon DocumentDB devono essere crittografati quando sono inattivi

[DocumentDB.2] I cluster Amazon DocumentDB devono avere un periodo di conservazione dei backup adeguato

[DocumentDB.3] Le istantanee manuali dei cluster di Amazon DocumentDB non devono essere pubbliche

[DocumentDB.4] I cluster Amazon DocumentDB devono pubblicare i log di controllo su Logs CloudWatch

[DocumentDB.5] I cluster Amazon DocumentDB devono avere la protezione da eliminazione abilitata

[DocumentDB.6] I cluster Amazon DocumentDB devono essere crittografati in transito

[DynamoDB.3] I cluster DynamoDB Accelerator (DAX) devono essere crittografati quando sono inattivi

[DynamoDB.7] I cluster DynamoDB Accelerator devono essere crittografati in transito

[EC2.4] Le istanze EC2 interrotte devono essere rimosse dopo un periodo di tempo specificato

[EC2.14] I gruppi di sicurezza non dovrebbero consentire l'ingresso da 0.0.0. 0/0 oppure: :/0 alla porta 3389

[EC2.22] I gruppi di sicurezza Amazon EC2 non utilizzati devono essere rimossi

[EC2.23] I gateway di transito Amazon EC2 non dovrebbero accettare automaticamente richieste di allegati VPC

[EC2.24] I tipi di istanze paravirtuali di Amazon EC2 non devono essere utilizzati

[EC2.55] I VPC devono essere configurati con un endpoint di interfaccia per l'API ECR

[EC2.56] I VPC devono essere configurati con un endpoint di interfaccia per Docker Registry

[EC2.57] I VPC devono essere configurati con un endpoint di interfaccia per Systems Manager

[EC2.58] I VPC devono essere configurati con un endpoint di interfaccia per Systems Manager Incident Manager Contacts

[EC2.60] I VPC devono essere configurati con un endpoint di interfaccia per Systems Manager Incident Manager

[EC2.173] Le richieste EC2 Spot Fleet con parametri di avvio dovrebbero abilitare la crittografia per i volumi EBS collegati

[ECR.4] Gli archivi pubblici ECR devono essere etichettati

[ELB.2] I sistemi Classic Load Balancer con SSL/HTTPS listener devono utilizzare un certificato fornito daAWS Certificate Manager

I cluster [ElastiCache.1] ElastiCache (Redis OSS) devono avere i backup automatici abilitati

[ElastiCache.7] i ElastiCache cluster non devono utilizzare il gruppo di sottoreti predefinito

[ElasticBeanstalk.1] Gli ambienti Elastic Beanstalk dovrebbero avere la reportistica sanitaria avanzata abilitata

[FraudDetector.1] I tipi di entità Amazon Fraud Detector devono essere etichettati

[FraudDetector.2] Le etichette di Amazon Fraud Detector devono essere etichettate

[FraudDetector.3] I risultati di Amazon Fraud Detector devono essere etichettati

[FraudDetector.4] Le variabili di Amazon Fraud Detector devono essere etichettate

[GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati

[IAM.26] SSL/TLS I certificati scaduti gestiti in IAM devono essere rimossi

[Inspector.3] La scansione del codice Amazon Inspector Lambda deve essere abilitata

[IoT.1]AWS IoT Device Defenderi profili di sicurezza devono essere etichettati

[IoT.2]AWS IoT Corele azioni di mitigazione devono essere etichettate

[IoT.3]AWS IoT Corele dimensioni devono essere etichettate

[IoT.4]AWS IoT Coregli autorizzatori devono essere etichettati

[IoT.5]AWS IoT Coregli alias di ruolo devono essere etichettati

[IoT.6]AWS IoT Corele politiche devono essere etichettate

[IoTEvents.1]AWSGli input di IoT Events devono essere etichettati

[IoTEvents.2]AWSI modelli di rilevatori IoT Events devono essere etichettati

[IoTEvents.3]AWSI modelli di allarme IoT Events devono essere etichettati

[IoTSiteWise.1]AWSI modelli di SiteWise asset IoT devono essere etichettati

[IoTSiteWise.2]AWSI SiteWise dashboard IoT devono essere etichettati

[IoTSiteWise.3]AWS SiteWise I gateway IoT devono essere etichettati

[IoTSiteWise.4]AWS SiteWise I portali IoT devono essere etichettati

[IoTSiteWise.5]AWS SiteWise I progetti IoT devono essere etichettati

[IoTTwinMaker.1]AWSI lavori di TwinMaker sincronizzazione IoT devono essere etichettati

[IoTTwinMaker.2]AWS TwinMaker Gli spazi di lavoro IoT devono essere etichettati

[IoTTwinMaker.3]AWS TwinMaker Le scene IoT devono essere etichettate

[IoTTwinMaker.4]AWS TwinMaker Le entità IoT devono essere etichettate

[IoTWireless.1]AWSI gruppi multicast IoT Wireless devono essere etichettati

[IoTWireless.2]AWSI profili dei servizi IoT Wireless devono essere etichettati

[IoTWireless.3]AWSLe attività IoT FUOTA devono essere etichettate

[IVS.1] Le coppie di tasti di riproduzione IVS devono essere etichettate

[IVS.2] Le configurazioni di registrazione IVS devono essere etichettate

[IVS.3] I canali IVS devono essere etichettati

[Keyspaces.1] Gli spazi chiave di Amazon Keyspaces devono essere etichettati

[MSK.3] I connettori MSK Connect devono essere crittografati in transito

[MSK.5] I connettori MSK devono avere la registrazione abilitata

[RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati

[RedshiftServerless.1] I gruppi di lavoro Serverless di Amazon Redshift devono utilizzare un routing VPC avanzato

[RedshiftServerless.2] Le connessioni ai gruppi di lavoro Serverless di Redshift devono essere necessarie per utilizzare SSL

[RedshiftServerless.3] I gruppi di lavoro Serverless di Redshift dovrebbero vietare l'accesso pubblico

[RedshiftServerless.4] I namespace Serverless di Redshift devono essere crittografati con gestione del clienteAWS KMS keys

[RedshiftServerless.5] I namespace Redshift Serverless non devono utilizzare il nome utente amministratore predefinito

[RedshiftServerless.6] I namespace Redshift Serverless dovrebbero esportare i log in Logs CloudWatch

[Route53.1] I controlli sanitari della Route 53 devono essere etichettati

[Route53.2] Le zone ospitate pubbliche di Route 53 devono registrare le query DNS

[S3.24] Gli access point S3 Multi-Region devono avere le impostazioni di blocco dell'accesso pubblico abilitate

[S3.25] I bucket di directory S3 devono avere configurazioni del ciclo di vita

[SageMaker.16] SageMaker i modelli dovrebbero utilizzare il registro privato in VPC per i contenitori primari

[SageMaker.19] SageMaker i modelli dovrebbero utilizzare il registro privato in VPC per pipeline di inferenza multi-contenitore

[SSM.2] Le istanze Amazon EC2 gestite da Systems Manager dovrebbero avere uno stato di conformità delle patch pari a COMPLIANT dopo l'installazione della patch

[SSM.3] Le istanze Amazon EC2 gestite da Systems Manager devono avere uno stato di conformità dell'associazione pari a COMPLIANT

[WAF.1]AWS WAFLa registrazione ACL Global Web classica deve essere abilitata

[WAF.3]AWS WAFI gruppi di regole regionali classici devono avere almeno una regola

[WAF.6]AWS WAFLe regole globali classiche devono avere almeno una condizione

[WAF.7]AWS WAFI gruppi di regole globali classici devono avere almeno una regola

[WAF.8]AWS WAFGli ACL Web globali classici devono avere almeno una regola o un gruppo di regole

[WAF.10]AWS WAFgli ACL web devono avere almeno una regola o un gruppo di regole

[WorkSpaces.1] i volumi WorkSpaces utente devono essere crittografati quando sono inattivi

[WorkSpaces.2] i volumi WorkSpaces root devono essere crittografati quando sono inattivi

[AppRunner.1] I servizi App Runner devono essere etichettati

[AppRunner.2] I connettori VPC App Runner devono essere etichettati

[AppSync.1]AWS AppSyncLe cache delle API devono essere crittografate quando sono inattive

[AppSync.6]AWS AppSyncLe cache delle API devono essere crittografate in transito

[BedrockAgentCore.3] Bedrock AgentCore Memory deve essere crittografata e gestita dal clienteAWS KMSkeys

[CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato

[CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito

[CloudFront.4] le CloudFront distribuzioni dovrebbero avere il failover di origine configurato

[CloudFront.5] CloudFront le distribuzioni dovrebbero avere la registrazione abilitata

[CloudFront.6] le CloudFront distribuzioni devono avere WAF abilitato

[CloudFront.7] CloudFront le distribuzioni devono utilizzare certificati personalizzati SSL/TLS

[CloudFront.8] CloudFront le distribuzioni devono utilizzare SNI per soddisfare le richieste HTTPS

[CloudFront.9] CloudFront le distribuzioni devono crittografare il traffico verso origini personalizzate

[CloudFront.10] CloudFront le distribuzioni non devono utilizzare protocolli SSL obsoleti tra edge location e origini personalizzate

[CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti

[CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine

[CloudFront.14] CloudFront le distribuzioni devono essere etichettate

[CloudFront.15] CloudFront le distribuzioni devono utilizzare la politica di sicurezza TLS consigliata

[CloudFront.16] CloudFront le distribuzioni dovrebbero utilizzare il controllo dell'accesso all'origine per le origini degli URL della funzione Lambda

[CloudFront.17] CloudFront le distribuzioni devono utilizzare gruppi di chiavi affidabili per URL e cookie firmati

[CodeArtifact.1] i CodeArtifact repository devono essere etichettati

[CodeGuruProfiler.1] I gruppi CodeGuru di profilazione Profiler devono essere etichettati

[CodeGuruReviewer.1] Le associazioni CodeGuru dei repository dei revisori devono essere etichettate

[Cognito.2] I pool di identità di Cognito non dovrebbero consentire identità non autenticate

[DynamoDB.3] I cluster DynamoDB Accelerator (DAX) devono essere crittografati quando sono inattivi

[DynamoDB.7] I cluster DynamoDB Accelerator devono essere crittografati in transito

[EC2.24] I tipi di istanze paravirtuali di Amazon EC2 non devono essere utilizzati

[EC2.173] Le richieste EC2 Spot Fleet con parametri di avvio dovrebbero abilitare la crittografia per i volumi EBS collegati

[EC2.180] Le interfacce di rete EC2 dovrebbero avere il controllo abilitato source/destination

[ECR.4] Gli archivi pubblici ECR devono essere etichettati

[ELB.18] I listener di Application e Network Load Balancer devono utilizzare protocolli sicuri per crittografare i dati in transito

[FraudDetector.1] I tipi di entità Amazon Fraud Detector devono essere etichettati

[FraudDetector.2] Le etichette di Amazon Fraud Detector devono essere etichettate

[FraudDetector.3] I risultati di Amazon Fraud Detector devono essere etichettati

[FraudDetector.4] Le variabili di Amazon Fraud Detector devono essere etichettate

[GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati

[Glue.4]AWS GlueI job Spark devono essere eseguiti su versioni supportate diAWS Glue

[IAM.26] SSL/TLS I certificati scaduti gestiti in IAM devono essere rimossi

[Inspector.3] La scansione del codice Amazon Inspector Lambda deve essere abilitata

[IoTTwinMaker.4]AWS TwinMaker Le entità IoT devono essere etichettate

[IoTWireless.1]AWSI gruppi multicast IoT Wireless devono essere etichettati

[IoTWireless.2]AWSI profili dei servizi IoT Wireless devono essere etichettati

[IoTWireless.3]AWSLe attività IoT FUOTA devono essere etichettate

[Lambda.7] Le funzioni Lambda dovrebbero avereAWS X-Raytracciamento attivo abilitato

[RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati

[Redshift.18] I cluster Redshift dovrebbero avere le implementazioni abilitate Multi-AZ

[Route53.1] I controlli sanitari della Route 53 devono essere etichettati

[Route53.2] Le zone ospitate pubbliche di Route 53 devono registrare le query DNS

[S3.24] Gli access point S3 Multi-Region devono avere le impostazioni di blocco dell'accesso pubblico abilitate

[S3.25] I bucket di directory S3 devono avere configurazioni del ciclo di vita

[SageMaker.19] SageMaker i modelli dovrebbero utilizzare il registro privato in VPC per pipeline di inferenza multi-contenitore

[SSM.6] SSM Automation dovrebbe avere la registrazione abilitata CloudWatch

[SSM.7] I documenti SSM devono avere l'impostazione di condivisione pubblica a blocchi abilitata

[WAF.1]AWS WAFLa registrazione ACL Global Web classica deve essere abilitata

[WAF.6]AWS WAFLe regole globali classiche devono avere almeno una condizione

[WAF.7]AWS WAFI gruppi di regole globali classici devono avere almeno una regola

[WAF.8]AWS WAFGli ACL Web globali classici devono avere almeno una regola o un gruppo di regole

[AppSync.1]AWS AppSyncLe cache delle API devono essere crittografate quando sono inattive

[AppSync.6]AWS AppSyncLe cache delle API devono essere crittografate in transito

[CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato

[CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito

[CloudFront.4] le CloudFront distribuzioni dovrebbero avere il failover di origine configurato

[CloudFront.5] CloudFront le distribuzioni dovrebbero avere la registrazione abilitata

[CloudFront.6] le CloudFront distribuzioni devono avere WAF abilitato

[CloudFront.7] CloudFront le distribuzioni devono utilizzare certificati personalizzati SSL/TLS

[CloudFront.8] CloudFront le distribuzioni devono utilizzare SNI per soddisfare le richieste HTTPS

[CloudFront.9] CloudFront le distribuzioni devono crittografare il traffico verso origini personalizzate

[CloudFront.10] CloudFront le distribuzioni non devono utilizzare protocolli SSL obsoleti tra edge location e origini personalizzate

[CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti

[CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine

[CloudFront.14] CloudFront le distribuzioni devono essere etichettate

[CloudFront.15] CloudFront le distribuzioni devono utilizzare la politica di sicurezza TLS consigliata

[CloudFront.16] CloudFront le distribuzioni dovrebbero utilizzare il controllo dell'accesso all'origine per le origini degli URL della funzione Lambda

[CloudFront.17] CloudFront le distribuzioni devono utilizzare gruppi di chiavi affidabili per URL e cookie firmati

[EC2.173] Le richieste EC2 Spot Fleet con parametri di avvio dovrebbero abilitare la crittografia per i volumi EBS collegati

[ECR.4] Gli archivi pubblici ECR devono essere etichettati

[GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati

[IAM.26] SSL/TLS I certificati scaduti gestiti in IAM devono essere rimossi

[IoTWireless.1]AWSI gruppi multicast IoT Wireless devono essere etichettati

[IoTWireless.2]AWSI profili dei servizi IoT Wireless devono essere etichettati

[IoTWireless.3]AWSLe attività IoT FUOTA devono essere etichettate

[IVS.1] Le coppie di tasti di riproduzione IVS devono essere etichettate

[IVS.2] Le configurazioni di registrazione IVS devono essere etichettate

[IVS.3] I canali IVS devono essere etichettati

[Route53.1] I controlli sanitari della Route 53 devono essere etichettati

[Route53.2] Le zone ospitate pubbliche di Route 53 devono registrare le query DNS

[S3.24] Gli access point S3 Multi-Region devono avere le impostazioni di blocco dell'accesso pubblico abilitate

[S3.25] I bucket di directory S3 devono avere configurazioni del ciclo di vita

[WAF.1]AWS WAFLa registrazione ACL Global Web classica deve essere abilitata

[WAF.6]AWS WAFLe regole globali classiche devono avere almeno una condizione

[WAF.7]AWS WAFI gruppi di regole globali classici devono avere almeno una regola

[WAF.8]AWS WAFGli ACL Web globali classici devono avere almeno una regola o un gruppo di regole

[AppSync.1]AWS AppSyncLe cache delle API devono essere crittografate quando sono inattive

[AppSync.6]AWS AppSyncLe cache delle API devono essere crittografate in transito

[CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato

[CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito

[CloudFront.4] le CloudFront distribuzioni dovrebbero avere il failover di origine configurato

[CloudFront.5] CloudFront le distribuzioni dovrebbero avere la registrazione abilitata

[CloudFront.6] le CloudFront distribuzioni devono avere WAF abilitato

[CloudFront.7] CloudFront le distribuzioni devono utilizzare certificati personalizzati SSL/TLS

[CloudFront.8] CloudFront le distribuzioni devono utilizzare SNI per soddisfare le richieste HTTPS

[CloudFront.9] CloudFront le distribuzioni devono crittografare il traffico verso origini personalizzate

[CloudFront.10] CloudFront le distribuzioni non devono utilizzare protocolli SSL obsoleti tra edge location e origini personalizzate

[CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti

[CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine

[CloudFront.14] CloudFront le distribuzioni devono essere etichettate

[CloudFront.15] CloudFront le distribuzioni devono utilizzare la politica di sicurezza TLS consigliata

[CloudFront.16] CloudFront le distribuzioni dovrebbero utilizzare il controllo dell'accesso all'origine per le origini degli URL della funzione Lambda

[CloudFront.17] CloudFront le distribuzioni devono utilizzare gruppi di chiavi affidabili per URL e cookie firmati

[EC2.173] Le richieste EC2 Spot Fleet con parametri di avvio dovrebbero abilitare la crittografia per i volumi EBS collegati

[ECR.4] Gli archivi pubblici ECR devono essere etichettati

[GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati

[IAM.26] SSL/TLS I certificati scaduti gestiti in IAM devono essere rimossi

[IVS.1] Le coppie di tasti di riproduzione IVS devono essere etichettate

[IVS.2] Le configurazioni di registrazione IVS devono essere etichettate

[IVS.3] I canali IVS devono essere etichettati

[Route53.1] I controlli sanitari della Route 53 devono essere etichettati

[Route53.2] Le zone ospitate pubbliche di Route 53 devono registrare le query DNS

[S3.24] Gli access point S3 Multi-Region devono avere le impostazioni di blocco dell'accesso pubblico abilitate

[S3.25] I bucket di directory S3 devono avere configurazioni del ciclo di vita

[WAF.1]AWS WAFLa registrazione ACL Global Web classica deve essere abilitata

[WAF.6]AWS WAFLe regole globali classiche devono avere almeno una condizione

[WAF.7]AWS WAFI gruppi di regole globali classici devono avere almeno una regola

[WAF.8]AWS WAFGli ACL Web globali classici devono avere almeno una regola o un gruppo di regole

[ACM.1] ACM-issued I certificati importati devono essere rinnovati dopo un periodo di tempo specificato

[ACM.2] I certificati RSA gestiti da ACM devono utilizzare una lunghezza di chiave di almeno 2.048 bit

[ACM.3] I certificati ACM devono essere etichettati

[Account.1] Le informazioni di contatto per la sicurezza devono essere fornite per unAccount AWS

[Account.2]Account AWSdovrebbe far parte di unAWS Organizationsorganizzazione

[APIGateway.1] API Gateway REST e la registrazione dell'esecuzione dell' WebSocket API devono essere abilitati

[APIGateway.2] Le fasi API REST di API Gateway devono essere configurate per utilizzare i certificati SSL per l'autenticazione del backend

[APIGateway.3] Le fasi API REST di API Gateway dovrebbero avereAWS X-Raytracciamento abilitato

[APIGateway.4] API Gateway deve essere associato a un ACL Web WAF

[APIGateway.5] I dati della cache dell'API REST di API Gateway devono essere crittografati quando sono inattivi

[APIGateway.8] Le rotte API Gateway devono specificare un tipo di autorizzazione

[APIGateway.9] La registrazione degli accessi deve essere configurata per API Gateway V2 Stages

[APIGateway.10] Le integrazioni API Gateway V2 devono utilizzare HTTPS per le connessioni private

[APIGateway.11] I nomi di dominio API Gateway devono utilizzare le politiche di sicurezza consigliate

[Amplify.1] Le app Amplify devono essere taggate

[Amplify.2] I rami Amplify devono essere etichettati

[AppConfig.1]AWS AppConfigle applicazioni devono essere etichettate

[AppConfig.2]AWS AppConfigi profili di configurazione devono essere etichettati

[AppConfig.3]AWS AppConfiggli ambienti devono essere etichettati

[AppConfig.4]AWS AppConfigle associazioni di estensioni devono essere etichettate

[AppFlow.1] I AppFlow flussi Amazon devono essere etichettati

[AppRunner.1] I servizi App Runner devono essere etichettati

[AppRunner.2] I connettori VPC App Runner devono essere etichettati

[AppSync.1]AWS AppSyncLe cache delle API devono essere crittografate quando sono inattive

[AppSync.2]AWS AppSyncdovrebbe avere la registrazione a livello di campo abilitata

[AppSync.4]AWS AppSyncLe API GraphQL devono essere etichettate

[AppSync.5]AWS AppSyncLe API GraphQL non devono essere autenticate con chiavi API

[AppSync.6]AWS AppSyncLe cache delle API devono essere crittografate in transito

[Athena.2] I cataloghi di dati Athena devono essere etichettati

[Athena.3] I gruppi di lavoro Athena devono essere etichettati

[Athena.4] I gruppi di lavoro Athena dovrebbero avere la registrazione abilitata

[AutoScaling.1] I gruppi di Auto Scaling associati a un sistema di bilanciamento del carico devono utilizzare i controlli di integrità ELB

[AutoScaling.2] Il gruppo Amazon EC2 Auto Scaling dovrebbe coprire più zone di disponibilità

[AutoScaling.3] Le configurazioni di avvio del gruppo Auto Scaling devono configurare le istanze EC2 in modo che richiedano Instance Metadata Service Version 2 (IMDSv2)

[AutoScaling.6] I gruppi di Auto Scaling devono utilizzare più tipi di istanze in più zone di disponibilità

[AutoScaling.9] I gruppi Amazon EC2 Auto Scaling devono utilizzare i modelli di lancio di Amazon EC2

[AutoScaling.10] I gruppi EC2 Auto Scaling devono essere etichettati

[Autoscaling.5] Le istanze Amazon EC2 avviate utilizzando le configurazioni di avvio del gruppo Auto Scaling non devono avere indirizzi IP pubblici

[Backup.1]AWS Backupi punti di ripristino devono essere crittografati quando sono inattivi

[Backup.2]AWS Backupi punti di ripristino devono essere etichettati

[Backup.3]AWS Backupi vault devono essere etichettati

[Backup.4]AWS Backupi piani di report devono essere etichettati

[Backup.5]AWS Backupi piani di backup devono essere etichettati

[Batch.1] Le code di lavoro in batch devono essere etichettate

[Batch.2] Le politiche di pianificazione dei batch devono essere etichettate

[Batch.3] Gli ambienti di calcolo in batch devono essere etichettati

[Batch.4] Le proprietà delle risorse di calcolo negli ambienti di calcolo Batch gestiti devono essere etichettate

[BedrockAgentCore.1] I AgentCore runtime Bedrock devono essere configurati con la modalità di rete VPC

[BedrockAgentCore.2] Bedrock AgentCore Gateways dovrebbe richiedere l'autorizzazione per le richieste in entrata

[BedrockAgentCore.3] Bedrock AgentCore Memory deve essere crittografata e gestita dal clienteAWS KMSkeys

[BedrockAgentCore.4] Bedrock AgentCore Gateway deve essere crittografato con Customer ManagedAWS KMSkeys

[BedrockAgentCore.5] I browser personalizzati AgentCore Bedrock non devono utilizzare la modalità di rete pubblica

[BedrockAgentCore.6] I browser AgentCore personalizzati Bedrock devono avere la registrazione delle sessioni abilitata

[CloudFormation.2] gli CloudFormation stack devono essere etichettati

[CloudFormation.3] gli CloudFormation stack dovrebbero avere la protezione dalla terminazione abilitata

[CloudFormation.4] gli CloudFormation stack devono avere ruoli di servizio associati

[CloudFront.1] CloudFront le distribuzioni dovrebbero avere un oggetto root predefinito configurato

[CloudFront.3] CloudFront le distribuzioni dovrebbero richiedere la crittografia in transito

[CloudFront.4] le CloudFront distribuzioni dovrebbero avere il failover di origine configurato

[CloudFront.5] CloudFront le distribuzioni dovrebbero avere la registrazione abilitata

[CloudFront.6] le CloudFront distribuzioni devono avere WAF abilitato

[CloudFront.7] CloudFront le distribuzioni devono utilizzare certificati personalizzati SSL/TLS

[CloudFront.8] CloudFront le distribuzioni devono utilizzare SNI per soddisfare le richieste HTTPS

[CloudFront.9] CloudFront le distribuzioni devono crittografare il traffico verso origini personalizzate

[CloudFront.10] CloudFront le distribuzioni non devono utilizzare protocolli SSL obsoleti tra edge location e origini personalizzate

[CloudFront.12] CloudFront le distribuzioni non devono puntare a origini S3 inesistenti

[CloudFront.13] CloudFront le distribuzioni devono utilizzare il controllo dell'accesso all'origine

[CloudFront.14] CloudFront le distribuzioni devono essere etichettate

[CloudFront.15] CloudFront le distribuzioni devono utilizzare la politica di sicurezza TLS consigliata

[CloudFront.16] CloudFront le distribuzioni dovrebbero utilizzare il controllo dell'accesso all'origine per le origini degli URL della funzione Lambda

[CloudFront.17] CloudFront le distribuzioni devono utilizzare gruppi di chiavi affidabili per URL e cookie firmati

[CloudTrail.6] Assicurati che il bucket S3 utilizzato per archiviare i CloudTrail log non sia accessibile al pubblico

[CloudTrail.7] Assicurati che la registrazione degli accessi al bucket S3 sia abilitata sul bucket S3 CloudTrail

[] CloudTrail.9 i trail devono essere etichettati CloudTrail

[CloudTrail.10] I data store di eventi di CloudTrail Lake devono essere crittografati con Customer ManagedAWS KMS keys

[CloudWatch.17] le azioni CloudWatch di allarme devono essere attivate

[CodeArtifact.1] i CodeArtifact repository devono essere etichettati

[CodeBuild.1] Gli URL del repository di origine di CodeBuild Bitbucket non devono contenere credenziali sensibili

[CodeBuild.2] le variabili di ambiente CodeBuild del progetto non devono contenere credenziali di testo non crittografato

[CodeBuild.3] I log CodeBuild S3 devono essere crittografati

[CodeBuild.4] gli ambienti di CodeBuild progetto dovrebbero avere una registrazioneAWS Config• Durata

[CodeBuild.7] Le esportazioni dei gruppi di CodeBuild report devono essere crittografate quando sono inattive

[CodeGuruProfiler.1] I gruppi CodeGuru di profilazione Profiler devono essere etichettati

[CodeGuruReviewer.1] Le associazioni CodeGuru dei repository dei revisori devono essere etichettate

[Cognito.1] I pool di utenti di Cognito dovrebbero avere la protezione dalle minacce attivata con la modalità di imposizione completa delle funzioni per l'autenticazione standard

[Cognito.2] I pool di identità di Cognito non dovrebbero consentire identità non autenticate

[Cognito.3] Le politiche relative alle password per i pool di utenti di Cognito devono avere configurazioni avanzate

[Cognito.4] I pool di utenti di Cognito dovrebbero avere la protezione dalle minacce attivata con la modalità di imposizione completa delle funzioni per l'autenticazione personalizzata

[Cognito.5] L'MFA deve essere abilitata per i pool di utenti di Cognito

[Cognito.6] I pool di utenti di Cognito devono avere la protezione dall'eliminazione abilitata

[Connect.1] I tipi di oggetto Amazon Connect Customer Profiles devono essere etichettati

[Connect.2] Le istanze Connect Customer devono avere la CloudWatch registrazione abilitata

[DataFirehose.1] I flussi di distribuzione di Firehose devono essere crittografati quando sono inattivi

[DataSync.1] DataSync le attività dovrebbero avere la registrazione abilitata

[DataSync.2] le DataSync attività devono essere etichettate

[Detective.1] I grafici del comportamento dei Detective devono essere etichettati

[DMS.1] Le istanze di replica del Database Migration Service non devono essere pubbliche

[DMS.2] I certificati DMS devono essere etichettati

[DMS.3] Le sottoscrizioni agli eventi DMS devono essere contrassegnate

[DMS.4] Le istanze di replica DMS devono essere etichettate

[DMS.5] I sottoreti di replica DMS devono essere etichettati

[DMS.6] L'aggiornamento automatico delle versioni secondarie delle istanze di replica DMS deve essere abilitato

[DMS.7] Le attività di replica DMS per il database di destinazione devono avere la registrazione abilitata

[DMS.8] Le attività di replica DMS per il database di origine devono avere la registrazione abilitata

[DMS.9] Gli endpoint DMS devono utilizzare SSL

[DMS.10] Gli endpoint DMS per i database Neptune devono avere l'autorizzazione IAM abilitata

[DMS.11] Gli endpoint DMS per MongoDB dovrebbero avere un meccanismo di autenticazione abilitato

[DMS.12] Gli endpoint DMS per Redis OSS devono avere TLS abilitato

[DMS.13] Le istanze di replica DMS devono essere configurate per utilizzare più zone di disponibilità

[DocumentDB.1] I cluster Amazon DocumentDB devono essere crittografati quando sono inattivi

[DocumentDB.2] I cluster Amazon DocumentDB devono avere un periodo di conservazione dei backup adeguato

[DocumentDB.3] Le istantanee manuali dei cluster di Amazon DocumentDB non devono essere pubbliche

[DocumentDB.4] I cluster Amazon DocumentDB devono pubblicare i log di controllo su Logs CloudWatch

[DocumentDB.5] I cluster Amazon DocumentDB devono avere la protezione da eliminazione abilitata

[DocumentDB.6] I cluster Amazon DocumentDB devono essere crittografati in transito

[DynamoDB.3] I cluster DynamoDB Accelerator (DAX) devono essere crittografati quando sono inattivi

[DynamoDB.4] Le tabelle DynamoDB devono essere presenti in un piano di backup

[DynamoDB.5] Le tabelle DynamoDB devono essere etichettate

[DynamoDB.6] Le tabelle DynamoDB devono avere la protezione da eliminazione abilitata

[DynamoDB.7] I cluster DynamoDB Accelerator devono essere crittografati in transito

[EC2.4] Le istanze EC2 interrotte devono essere rimosse dopo un periodo di tempo specificato

[EC2.10] Amazon EC2 deve essere configurato per utilizzare gli endpoint VPC creati per il servizio Amazon EC2

[EC2.19] I gruppi di sicurezza non dovrebbero consentire l'accesso illimitato alle porte ad alto rischio

[EC2.21] Gli ACL di rete non dovrebbero consentire l'ingresso a partire dalla versione 0.0.0. 0/0 alla porta 22 o alla porta 3389

[EC2.22] I gruppi di sicurezza Amazon EC2 non utilizzati devono essere rimossi

[EC2.23] I gateway di transito Amazon EC2 non dovrebbero accettare automaticamente richieste di allegati VPC

[EC2.24] I tipi di istanze paravirtuali di Amazon EC2 non devono essere utilizzati

[EC2.25] I modelli di lancio di Amazon EC2 non devono assegnare IP pubblici alle interfacce di rete

[EC2.28] I volumi EBS devono essere coperti da un piano di backup

[EC2.33] Gli allegati del gateway di transito EC2 devono essere etichettati

[EC2.34] Le tabelle delle rotte dei gateway di transito EC2 devono essere etichettate

[EC2.35] Le interfacce di rete EC2 devono essere etichettate

[EC2.36] I gateway per i clienti EC2 devono essere etichettati

[EC2.37] Gli indirizzi IP elastici EC2 devono essere etichettati

[EC2.38] Le istanze EC2 devono essere etichettate

[EC2.39] I gateway Internet EC2 devono essere etichettati

[EC2.40] I gateway NAT EC2 devono essere etichettati

[EC2.41] Gli ACL di rete EC2 devono essere etichettati

[EC2.42] Le tabelle delle rotte EC2 devono essere etichettate

[EC2.43] I gruppi di sicurezza EC2 devono essere etichettati

[EC2.44] Le sottoreti EC2 devono essere etichettate

[EC2.45] I volumi EC2 devono essere etichettati

[EC2.46] I VPC Amazon devono essere etichettati

[EC2.47] I servizi endpoint Amazon VPC devono essere etichettati

[EC2.48] I log di flusso di Amazon VPC devono essere etichettati

[EC2.49] Le connessioni peering Amazon VPC devono essere etichettate

[EC2.50] I gateway VPN EC2 devono essere etichettati

[EC2.51] Gli endpoint EC2 Client VPN devono avere la registrazione della connessione client abilitata

[EC2.52] I gateway di transito EC2 devono essere etichettati

[EC2.53] I gruppi di sicurezza EC2 non dovrebbero consentire l'ingresso da 0.0.0. 0/0 alle porte di amministrazione del server remoto

[EC2.54] I gruppi di sicurezza EC2 non dovrebbero consentire l'accesso da: :/0 alle porte di amministrazione remota del server

[EC2.55] I VPC devono essere configurati con un endpoint di interfaccia per l'API ECR

[EC2.56] I VPC devono essere configurati con un endpoint di interfaccia per Docker Registry

[EC2.57] I VPC devono essere configurati con un endpoint di interfaccia per Systems Manager

[EC2.58] I VPC devono essere configurati con un endpoint di interfaccia per Systems Manager Incident Manager Contacts

[EC2.60] I VPC devono essere configurati con un endpoint di interfaccia per Systems Manager Incident Manager

[EC2.170] I modelli di avvio EC2 devono utilizzare Instance Metadata Service Version 2 (IMDSv2)

[EC2.171] Le connessioni VPN EC2 devono avere la registrazione abilitata

[EC2.172] Le impostazioni VPC Block Public Access di EC2 dovrebbero bloccare il traffico del gateway Internet

[EC2.173] Le richieste EC2 Spot Fleet con parametri di avvio dovrebbero abilitare la crittografia per i volumi EBS collegati

[EC2.174] I set di opzioni DHCP EC2 devono essere etichettati

[EC2.175] I modelli di lancio di EC2 devono essere etichettati

[EC2.176] Gli elenchi di prefissi EC2 devono essere etichettati

[EC2.177] Le sessioni Traffic Mirror di EC2 devono essere etichettate

[EC2.178] I filtri Traffic Mirror EC2 devono essere etichettati

[EC2.179] Gli obiettivi del traffic mirror di EC2 devono essere etichettati

[EC2.180] Le interfacce di rete EC2 dovrebbero avere il controllo abilitato source/destination

[EC2.181] I modelli di lancio EC2 dovrebbero abilitare la crittografia per i volumi EBS collegati

[EC2.182] Le impostazioni di blocco dell'accesso pubblico devono essere abilitate per gli snapshot di Amazon EBS

[EC2.183] Le connessioni VPN EC2 devono utilizzare il protocollo IKEv2

[ECR.1] I repository privati ECR dovrebbero avere la scansione delle immagini configurata

[ECR.2] I repository privati ECR devono avere configurata l'immutabilità dei tag

[ECR.3] I repository ECR devono avere almeno una politica del ciclo di vita configurata

[ECR.4] Gli archivi pubblici ECR devono essere etichettati

[ECR.5] I repository ECR devono essere crittografati e gestiti dal clienteAWS KMS keys

[ECS.2] Ai servizi ECS non dovrebbero essere assegnati automaticamente indirizzi IP pubblici

[ECS.3] Le definizioni delle attività ECS non devono condividere lo spazio dei nomi dei processi dell'host

[ECS.4] I contenitori ECS devono essere eseguiti come non privilegiati

[ECS.5] Le definizioni delle attività ECS devono configurare i contenitori in modo che siano limitati all'accesso in sola lettura ai filesystem root

[ECS.8] I segreti non devono essere passati come variabili di ambiente del contenitore

[ECS.9] Le definizioni delle attività ECS devono avere una configurazione di registrazione

[ECS.10] I servizi ECS Fargate devono essere eseguiti sulla versione più recente della piattaforma Fargate

[ECS.12] I cluster ECS devono utilizzare Container Insights

[ECS.13] I servizi ECS devono essere etichettati

[ECS.14] I cluster ECS devono essere etichettati

[ECS.15] Le definizioni delle attività ECS devono essere contrassegnate

[ECS.16] I set di attività ECS non devono assegnare automaticamente indirizzi IP pubblici

[ECS.17] Le definizioni delle attività ECS non devono utilizzare la modalità di rete host

[ECS.18] Le definizioni delle attività ECS devono utilizzare la crittografia in transito per i volumi EFS

[ECS.19] I provider di capacità ECS dovrebbero avere abilitato la protezione gestita dalle terminazioni

[ECS.20] Le definizioni delle attività ECS devono configurare gli utenti non root nelle definizioni dei container Linux

[ECS.21] Le definizioni delle attività ECS devono configurare gli utenti non amministratori nelle definizioni dei contenitori Windows

[EFS.1] Elastic File System deve essere configurato per crittografare i dati dei file archiviati utilizzandoAWS KMS

[EFS.2] I volumi Amazon EFS devono essere inclusi nei piani di backup

[EFS.3] I punti di accesso EFS devono applicare una directory principale

[EFS.4] I punti di accesso EFS devono applicare un'identità utente

[EFS.5] I punti di accesso EFS devono essere etichettati

[EFS.6] I target di montaggio EFS non devono essere associati a sottoreti che assegnano indirizzi IP pubblici all'avvio

[EFS.7] I file system EFS devono avere i backup automatici abilitati

[EFS.8] I file system EFS devono essere crittografati a riposo

[EKS.1] Gli endpoint del cluster EKS non dovrebbero essere accessibili al pubblico

[EKS.2] I cluster EKS devono essere eseguiti su una versione Kubernetes supportata

[EKS.3] I cluster EKS devono utilizzare segreti Kubernetes crittografati

[EKS.6] I cluster EKS devono essere etichettati

[EKS.7] Le configurazioni dei provider di identità EKS devono essere contrassegnate

[EKS.8] I cluster EKS dovrebbero avere la registrazione di controllo abilitata

[EKS.9] I gruppi di nodi EKS devono essere eseguiti su una versione di Kubernetes supportata

[ELB.2] I sistemi Classic Load Balancer con SSL/HTTPS listener devono utilizzare un certificato fornito daAWS Certificate Manager

[ELB.3] I listener Classic Load Balancer devono essere configurati con terminazione HTTPS o TLS

[ELB.7] I Classic Load Balancer dovrebbero avere abilitato il drenaggio della connessione

[ELB.8] I Classic Load Balancer con listener SSL devono utilizzare una politica di sicurezza predefinita che sia solidaAWS ConfigDurata

[ELB.10] Classic Load Balancer dovrebbe estendersi su più zone di disponibilità

[ELB.12] Application Load Balancer deve essere configurato con la modalità di mitigazione della desincronizzazione difensiva o più rigorosa

[ELB.13] I Load Balancer per applicazioni, reti e gateway devono estendersi su più zone di disponibilità

[ELB.14] Classic Load Balancer deve essere configurato con la modalità di mitigazione della desincronizzazione difensiva o più rigorosa

[ELB.16] Application Load Balancers deve essere associato a unAWS WAFACL Web

[ELB.17] Gli Application and Network Load Balancer con listener devono utilizzare le politiche di sicurezza consigliate

[ELB.18] I listener di Application e Network Load Balancer devono utilizzare protocolli sicuri per crittografare i dati in transito

[ELB.21] I gruppi target di Application e Network Load Balancer devono utilizzare protocolli di controllo dello stato crittografati

[ELB.22] I gruppi target ELB devono utilizzare protocolli di trasporto crittografati

I cluster [ElastiCache.1] ElastiCache (Redis OSS) devono avere i backup automatici abilitati

[ElastiCache.2] i ElastiCache cluster dovrebbero avere gli aggiornamenti automatici delle versioni secondarie abilitati

[ElastiCache.3] i gruppi di ElastiCache replica devono avere il failover automatico abilitato

[ElastiCache.4] i gruppi di ElastiCache replica devono essere crittografati quando sono inattivi

[ElastiCache.5] i gruppi di ElastiCache replica devono essere crittografati in transito

[ElastiCache.6] ElastiCache (Redis OSS) i gruppi di replica delle versioni precedenti devono avere Redis OSS AUTH abilitato

[ElastiCache.7] i ElastiCache cluster non devono utilizzare il gruppo di sottoreti predefinito

[ElasticBeanstalk.1] Gli ambienti Elastic Beanstalk dovrebbero avere la reportistica sanitaria avanzata abilitata

[ElasticBeanstalk.2] Gli aggiornamenti della piattaforma gestita da Elastic Beanstalk devono essere abilitati

[ElasticBeanstalk.3] Elastic Beanstalk dovrebbe trasmettere i log a CloudWatch

[EMR.1] I nodi primari del cluster Amazon EMR non devono avere indirizzi IP pubblici

[EMR.2] L'impostazione di accesso pubblico a blocchi di Amazon EMR deve essere abilitata

[EMR.3] Le configurazioni di sicurezza di Amazon EMR devono essere crittografate quando sono inattive

[EMR.4] Le configurazioni di sicurezza di Amazon EMR devono essere crittografate in transito

[ES.1] I domini Elasticsearch devono avere la crittografia a riposo abilitata

[ES.2] I domini Elasticsearch non devono essere accessibili al pubblico

[ES.3] I domini Elasticsearch devono crittografare i dati inviati tra i nodi

[ES.4] La registrazione degli errori del dominio Elasticsearch nei log deve essere abilitata CloudWatch

[ES.5] I domini Elasticsearch devono avere la registrazione di controllo abilitata

[ES.6] I domini Elasticsearch devono avere almeno tre nodi di dati

[ES.7] I domini Elasticsearch devono essere configurati con almeno tre nodi master dedicati

[ES.8] Le connessioni ai domini Elasticsearch devono essere crittografate utilizzando la più recente politica di sicurezza TLS

[ES.9] I domini Elasticsearch devono essere etichettati

[EventBridge.2] i bus EventBridge degli eventi devono essere etichettati

[EventBridge.3] i bus di eventi EventBridge personalizzati dovrebbero avere una politica basata sulle risorse allegata

[EventBridge.4] gli endpoint EventBridge globali dovrebbero avere la replica degli eventi abilitata

[FraudDetector.1] I tipi di entità Amazon Fraud Detector devono essere etichettati

[FraudDetector.2] Le etichette di Amazon Fraud Detector devono essere etichettate

[FraudDetector.3] I risultati di Amazon Fraud Detector devono essere etichettati

[FraudDetector.4] Le variabili di Amazon Fraud Detector devono essere etichettate

[FSx.1] I file system FSx per OpenZFS devono essere configurati per copiare i tag su backup e volumi

[FSx.2] I file system FSx for Lustre devono essere configurati per copiare i tag nei backup

[FSx.3] I file system FSx for OpenZFS devono essere configurati per la distribuzione Multi-AZ

[FSx.4] I file system FSx for NetApp ONTAP devono essere configurati per l'implementazione Multi-AZ

[FSx.5] I file system FSx for Windows File Server devono essere configurati Multi-AZ per la distribuzione

[GlobalAccelerator.1] Gli acceleratori Global Accelerator devono essere etichettati

[Glue.1]AWS Gluei lavori devono essere etichettati

[Glue.3]AWS Gluele trasformazioni di apprendimento automatico devono essere crittografate quando sono inutilizzate

[Glue.4]AWS GlueI job Spark devono essere eseguiti su versioni supportate diAWS Glue

[GuardDuty.1] GuardDuty dovrebbe essere abilitato

[GuardDuty.2] GuardDuty i filtri devono essere etichettati

[GuardDuty.3] Gli GuardDuty IPSets devono essere etichettati

[GuardDuty.4] i GuardDuty rilevatori devono essere etichettati

[GuardDuty.5] GuardDuty EKS Audit Log Monitoring deve essere abilitato

[GuardDuty.6] La protezione GuardDuty Lambda deve essere abilitata

[GuardDuty.7] GuardDuty EKS Runtime Monitoring deve essere abilitato

[GuardDuty.8] La protezione GuardDuty da malware per EC2 deve essere abilitata

[GuardDuty.9] La protezione GuardDuty RDS deve essere abilitata

[GuardDuty.10] La protezione GuardDuty S3 deve essere abilitata

[GuardDuty.11] Il monitoraggio del GuardDuty runtime deve essere abilitato

[GuardDuty.12] Il monitoraggio del runtime GuardDuty ECS deve essere abilitato

[GuardDuty.13] Il monitoraggio del runtime GuardDuty EC2 deve essere abilitato

[IAM.1] Le politiche IAM non dovrebbero consentire privilegi amministrativi «*» completi

[IAM.2] Gli utenti IAM non devono avere policy IAM allegate

[IAM.3] Le chiavi di accesso degli utenti IAM devono essere ruotate ogni 90 giorni o meno

[IAM.4] La chiave di accesso utente root IAM non dovrebbe esistere

[IAM.5] L'MFA deve essere abilitata per tutti gli utenti IAM che dispongono di una password di console

[IAM.6] La MFA hardware deve essere abilitata per l'utente root

[IAM.7] Le politiche relative alle password per gli utenti IAM devono avere configurazioni solide

[IAM.8] Le credenziali utente IAM non utilizzate devono essere rimosse

[IAM.9] L'MFA deve essere abilitata per l'utente root

[IAM.10] Le politiche relative alle password per gli utenti IAM devono avere configurazioni solide

[IAM.11] Assicurati che la politica delle password IAM richieda almeno una lettera maiuscola

[IAM.12] Assicurati che la politica delle password IAM richieda almeno una lettera minuscola

[IAM.13] Assicurati che la politica delle password IAM richieda almeno un simbolo

[IAM.14] Assicurati che la policy sulle password di IAM richieda almeno un numero

[IAM.15] Assicurati che la politica delle password di IAM richieda una lunghezza minima della password pari o superiore a 14

[IAM.16] Assicurati che la politica delle password di IAM impedisca il riutilizzo delle password

[IAM.17] Assicurati che la policy sulle password di IAM faccia scadere le password entro 90 giorni o meno

[IAM.18] Assicurati che sia stato creato un ruolo di supporto per gestire gli incidenti conSupporto AWS

[IAM.19] L'MFA deve essere abilitata per tutti gli utenti IAM

[IAM.21] Le policy gestite dai clienti IAM che crei non dovrebbero consentire azioni jolly per i servizi

[IAM.22] Le credenziali utente IAM non utilizzate per 45 giorni devono essere rimosse

[IAM.23] Gli analizzatori IAM Access Analyzer devono essere etichettati

[IAM.24] I ruoli IAM devono essere etichettati

[IAM.25] Gli utenti IAM devono essere etichettati

[IAM.26] SSL/TLS I certificati scaduti gestiti in IAM devono essere rimossi

[IAM.27] Le identità IAM non devono avere la AWSCloudShellFullAccess policy allegata

[IAM.28] L'analizzatore di accesso esterno IAM Access Analyzer deve essere abilitato

[Inspector.1] La scansione di Amazon Inspector EC2 deve essere abilitata

[Inspector.2] La scansione ECR di Amazon Inspector deve essere abilitata

[Inspector.3] La scansione del codice Amazon Inspector Lambda deve essere abilitata

[Inspector.4] La scansione standard di Amazon Inspector Lambda deve essere abilitata

[IoT.1]AWS IoT Device Defenderi profili di sicurezza devono essere etichettati

[IoT.2]AWS IoT Corele azioni di mitigazione devono essere etichettate

[IoT.3]AWS IoT Corele dimensioni devono essere etichettate

[IoT.4]AWS IoT Coregli autorizzatori devono essere etichettati

[IoT.5]AWS IoT Coregli alias di ruolo devono essere etichettati

[IoT.6]AWS IoT Corele politiche devono essere etichettate

[IoTEvents.1]AWSGli input di IoT Events devono essere etichettati

[IoTEvents.2]AWSI modelli di rilevatori IoT Events devono essere etichettati

[IoTEvents.3]AWSI modelli di allarme IoT Events devono essere etichettati

[IoTSiteWise.1]AWSI modelli di SiteWise asset IoT devono essere etichettati

[IoTSiteWise.2]AWSI SiteWise dashboard IoT devono essere etichettati

[IoTSiteWise.3]AWS SiteWise I gateway IoT devono essere etichettati

[IoTSiteWise.4]AWS SiteWise I portali IoT devono essere etichettati

[IoTSiteWise.5]AWS SiteWise I progetti IoT devono essere etichettati

[IoTTwinMaker.1]AWSI lavori di TwinMaker sincronizzazione IoT devono essere etichettati

[IoTTwinMaker.2]AWS TwinMaker Gli spazi di lavoro IoT devono essere etichettati

[IoTTwinMaker.3]AWS TwinMaker Le scene IoT devono essere etichettate

[IoTTwinMaker.4]AWS TwinMaker Le entità IoT devono essere etichettate

[IoTWireless.1]AWSI gruppi multicast IoT Wireless devono essere etichettati

[IoTWireless.2]AWSI profili dei servizi IoT Wireless devono essere etichettati

[IoTWireless.3]AWSLe attività IoT FUOTA devono essere etichettate

[IVS.1] Le coppie di tasti di riproduzione IVS devono essere etichettate

[IVS.2] Le configurazioni di registrazione IVS devono essere etichettate

[IVS.3] I canali IVS devono essere etichettati

[Keyspaces.1] Gli spazi chiave di Amazon Keyspaces devono essere etichettati

[Kinesis.1] Gli stream Kinesis devono essere crittografati quando sono inattivi

[Kinesis.2] Gli stream Kinesis devono essere etichettati

[Kinesis.3] I flussi Kinesis devono avere un periodo di conservazione dei dati adeguato

[KMS.1] Le politiche gestite dai clienti IAM non dovrebbero consentire azioni di decrittografia su tutte le chiavi KMS

[KMS.2] I responsabili IAM non dovrebbero disporre di policy IAM in linea che consentano azioni di decrittografia su tutte le chiavi KMS

[KMS.3]AWS KMS keysnon devono essere eliminati involontariamente

[KMS.5] Le chiavi KMS non devono essere accessibili al pubblico

[Lambda.5] Le funzioni VPC Lambda devono funzionare in più zone di disponibilità

[Lambda.6] Le funzioni Lambda devono essere etichettate

[Lambda.7] Le funzioni Lambda dovrebbero avereAWS X-Raytracciamento attivo abilitato

[Macie.1] Amazon Macie dovrebbe essere abilitato

[Macie.2] Il rilevamento automatico dei dati sensibili di Macie deve essere abilitato

[MQ.2] I broker ActiveMQ devono trasmettere i log di controllo a CloudWatch

[MQ.4] I broker Amazon MQ devono essere etichettati

[MQ.5] I broker ActiveMQ devono utilizzare la modalità di distribuzione active/standby

[MQ.6] I broker RabbitMQ dovrebbero utilizzare la modalità di distribuzione del cluster

[MSK.1] I cluster MSK devono essere crittografati durante il transito tra i nodi del broker

[MSK.2] I cluster MSK dovrebbero avere configurato un monitoraggio avanzato

[MSK.3] I connettori MSK Connect devono essere crittografati in transito

[MSK.4] L'accesso pubblico ai cluster MSK dovrebbe essere disabilitato

[MSK.5] I connettori MSK devono avere la registrazione abilitata

[MSK.6] I cluster MSK devono disabilitare l'accesso non autenticato

[Neptune.1] I cluster Neptune DB devono essere crittografati quando sono inattivi

[Neptune.2] I cluster Neptune DB devono pubblicare i log di controllo su Logs CloudWatch

[Neptune.3] Le istantanee del cluster Neptune DB non devono essere pubbliche

[Neptune.4] I cluster Neptune DB dovrebbero avere la protezione da eliminazione abilitata

[Neptune.5] I cluster Neptune DB dovrebbero avere i backup automatici abilitati

[Neptune.6] Le istantanee del cluster Neptune DB devono essere crittografate quando sono inattive

[Neptune.7] I cluster Neptune DB devono avere l'autenticazione del database IAM abilitata

[Neptune.8] I cluster Neptune DB devono essere configurati per copiare i tag nelle istantanee

[Neptune.9] I cluster Neptune DB devono essere distribuiti su più zone di disponibilità

[NetworkFirewall.1] I firewall Network Firewall devono essere distribuiti su più zone di disponibilità

[NetworkFirewall.2] La registrazione del Network Firewall deve essere abilitata

[NetworkFirewall.3] Le politiche del Network Firewall devono avere almeno un gruppo di regole associato

[NetworkFirewall.4] L'azione stateless predefinita per le policy di Network Firewall dovrebbe essere drop or forward per pacchetti completi

[NetworkFirewall.5] L'azione stateless predefinita per le policy di Network Firewall dovrebbe essere drop or forward per i pacchetti frammentati

[NetworkFirewall.6] Il gruppo di regole Stateless Network Firewall non deve essere vuoto

[NetworkFirewall.7] I firewall Network Firewall devono essere etichettati

[NetworkFirewall.8] Le politiche firewall di Network Firewall devono essere etichettate

[NetworkFirewall.9] I firewall Network Firewall devono avere la protezione da eliminazione abilitata

[NetworkFirewall.10] I firewall Network Firewall devono avere la protezione da cambio di sottorete abilitata

[Opensearch.1] OpenSearch i domini devono avere la crittografia a riposo abilitata

[Opensearch.2] i OpenSearch domini non devono essere accessibili al pubblico

[Opensearch.3] i OpenSearch domini devono crittografare i dati inviati tra i nodi

[Opensearch.4] la registrazione degli errori di OpenSearch dominio nei registri dovrebbe essere abilitata CloudWatch

[Opensearch.5] i OpenSearch domini devono avere la registrazione di controllo abilitata

[Opensearch.6] i OpenSearch domini devono avere almeno tre nodi di dati

[Opensearch.7] i OpenSearch domini devono avere un controllo granulare degli accessi abilitato

[Opensearch.8] Le connessioni ai OpenSearch domini devono essere crittografate utilizzando la politica di sicurezza TLS più recente

[Opensearch.9] i OpenSearch domini devono essere etichettati

[Opensearch.10] OpenSearch sui domini dovrebbe essere installato l'ultimo aggiornamento software

[Opensearch.11] OpenSearch i domini devono avere almeno tre nodi primari dedicati

[PCA.1]AWS Private CAl'autorità di certificazione principale deve essere disabilitata

[PCA.2]AWSLe autorità di certificazione CA private devono essere contrassegnate

[RDS.14] I cluster Amazon Aurora dovrebbero avere il backtracking abilitato

[RDS.16] I cluster Aurora DB devono essere configurati per copiare i tag nelle istantanee DB

[RDS.17] Le istanze DB RDS devono essere configurate per copiare i tag negli snapshot

[RDS.19] Le sottoscrizioni esistenti per le notifiche degli eventi RDS devono essere configurate per gli eventi critici del cluster

[RDS.20] Le sottoscrizioni esistenti per le notifiche degli eventi RDS devono essere configurate per gli eventi critici delle istanze di database

[RDS.21] È necessario configurare un abbonamento alle notifiche di eventi RDS per gli eventi critici del gruppo di parametri del database

[RDS.22] È necessario configurare un abbonamento alle notifiche di eventi RDS per gli eventi critici dei gruppi di sicurezza del database

[RDS.23] Le istanze RDS non devono utilizzare una porta predefinita del motore di database

[RDS.24] I cluster di database RDS devono utilizzare un nome utente di amministratore personalizzato

[RDS.25] Le istanze del database RDS devono utilizzare un nome utente amministratore personalizzato

[RDS.26] Le istanze DB RDS devono essere protette da un piano di backup

[RDS.27] I cluster RDS DB devono essere crittografati quando sono inattivi

[RDS.28] I cluster RDS DB devono essere etichettati

[RDS.29] Gli snapshot del cluster RDS DB devono essere etichettati

[RDS.30] Le istanze DB RDS devono essere etichettate

[RDS.31] I gruppi di sicurezza RDS DB devono essere etichettati

[RDS.32] Gli snapshot RDS DB devono essere etichettati

[RDS.33] I gruppi di sottoreti RDS DB devono essere etichettati

[RDS.34] I cluster Aurora MySQL DB devono pubblicare i log di controllo su Logs CloudWatch

[] RDS.35 I cluster RDS DB devono avere l'aggiornamento automatico delle versioni secondarie abilitato

[RDS.36] Le istanze DB di RDS per PostgreSQL devono pubblicare i log in Logs CloudWatch

[RDS.37] I cluster Aurora PostgreSQL DB devono pubblicare i log in Logs CloudWatch

[RDS.38] Le istanze DB RDS per PostgreSQL devono essere crittografate in transito

[RDS.39] Le istanze DB RDS per MySQL devono essere crittografate in transito

[RDS.40] Le istanze DB di RDS per SQL Server devono pubblicare i log in Logs CloudWatch

[RDS.41] Le istanze DB di RDS per SQL Server devono essere crittografate in transito

[RDS.42] Le istanze RDS per MariaDB DB dovrebbero pubblicare i log su Logs CloudWatch

[] I proxy RDS DB devono richiedere la crittografia TLS per le connessioni RDS.43

[RDS.44] Le istanze RDS per MariaDB DB devono essere crittografate in transito

[RDS.45] I cluster Aurora MySQL DB devono avere la registrazione di controllo abilitata

[RDS.46] Le istanze DB RDS non devono essere distribuite in sottoreti pubbliche con percorsi verso gateway Internet

[RDS.47] I cluster DB RDS per PostgreSQL devono essere configurati per copiare i tag nelle istantanee del DB

[RDS.48] I cluster RDS per MySQL DB devono essere configurati per copiare i tag nelle istantanee del DB

[RDS.50] I cluster RDS DB devono avere un periodo di conservazione dei backup sufficiente

[RDS.51] I cluster globali RDS devono essere eseguiti su una versione Aurora MySQL supportata

[Redshift.1] I cluster Amazon Redshift dovrebbero vietare l'accesso pubblico

[Redshift.2] Le connessioni ai cluster Amazon Redshift devono essere crittografate in transito

[Redshift.3] I cluster Amazon Redshift devono avere le istantanee automatiche abilitate

[Redshift.4] I cluster Amazon Redshift devono avere la registrazione di controllo abilitata

[Redshift.6] Amazon Redshift dovrebbe avere gli upgrade automatici alle versioni principali abilitati

[Redshift.7] I cluster Redshift devono utilizzare un routing VPC avanzato

[Redshift.8] I cluster Amazon Redshift non devono utilizzare il nome utente di amministratore predefinito

[Redshift.10] I cluster Redshift devono essere crittografati a riposo

[Redshift.11] I cluster Redshift devono essere etichettati

[Redshift.12] Le sottoscrizioni alle notifiche degli eventi Redshift devono essere contrassegnate

[Redshift.13] Le istantanee del cluster Redshift devono essere etichettate

[Redshift.14] I gruppi di sottoreti del cluster Redshift devono essere etichettati

[Redshift.15] I gruppi di sicurezza Redshift dovrebbero consentire l'ingresso sulla porta del cluster solo da origini limitate

[Redshift.16] I gruppi di sottoreti del cluster Redshift devono avere sottoreti provenienti da più zone di disponibilità

[Redshift.17] I gruppi di parametri del cluster Redshift devono essere etichettati

[Redshift.18] I cluster Redshift dovrebbero avere le implementazioni abilitate Multi-AZ

[RedshiftServerless.1] I gruppi di lavoro Serverless di Amazon Redshift devono utilizzare un routing VPC avanzato

[RedshiftServerless.2] Le connessioni ai gruppi di lavoro Serverless di Redshift devono essere necessarie per utilizzare SSL

[RedshiftServerless.3] I gruppi di lavoro Serverless di Redshift dovrebbero vietare l'accesso pubblico

[RedshiftServerless.4] I namespace Serverless di Redshift devono essere crittografati con gestione del clienteAWS KMS keys

[RedshiftServerless.5] I namespace Redshift Serverless non devono utilizzare il nome utente amministratore predefinito

[RedshiftServerless.6] I namespace Redshift Serverless dovrebbero esportare i log in Logs CloudWatch

[Route53.1] I controlli sanitari della Route 53 devono essere etichettati

[Route53.2] Le zone ospitate pubbliche di Route 53 devono registrare le query DNS

[S3.7] I bucket S3 per uso generico devono utilizzare la replica tra regioni

[S3.10] I bucket S3 per uso generico con il controllo delle versioni abilitato devono avere configurazioni del ciclo di vita

[] I bucket S3 per uso generico devono S3.11 avere le notifiche degli eventi abilitate

[S3.12] Gli ACL non devono essere utilizzati per gestire l'accesso degli utenti ai bucket generici S3

[S3.13] I bucket S3 per uso generico devono avere configurazioni del ciclo di vita

[S3.17] I bucket S3 per uso generico devono essere crittografati quando sono inattivi conAWS KMS keys

[S3.19] I punti di accesso S3 devono avere le impostazioni di blocco dell'accesso pubblico abilitate

[S3.20] I bucket S3 per uso generico devono avere l'eliminazione MFA abilitata

[S3.22] I bucket S3 per uso generico devono registrare gli eventi di scrittura a livello di oggetto

[S3.23] I bucket S3 per uso generico devono registrare gli eventi di lettura a livello di oggetto

[S3.24] Gli access point S3 Multi-Region devono avere le impostazioni di blocco dell'accesso pubblico abilitate

[S3.25] I bucket di directory S3 devono avere configurazioni del ciclo di vita

[SageMaker.1] Le istanze di SageMaker notebook Amazon non devono avere accesso diretto a Internet

[SageMaker.2] le istanze di SageMaker notebook devono essere avviate in un VPC personalizzato

[SageMaker.3] Gli utenti non devono avere accesso root alle istanze dei SageMaker notebook

[SageMaker.4] Le varianti di produzione di SageMaker endpoint devono avere un numero iniziale di istanze superiore a 1

[SageMaker.5] SageMaker i modelli dovrebbero avere l'isolamento della rete abilitato

[SageMaker.6] le configurazioni delle immagini delle SageMaker app devono essere contrassegnate

[SageMaker.7] SageMaker le immagini devono essere taggate

[SageMaker.8] le istanze SageMaker notebook devono essere eseguite su piattaforme supportate

[SageMaker.9] le definizioni dei lavori SageMaker relativi alla qualità dei dati devono avere abilitata la crittografia del traffico tra container

[SageMaker.10] le definizioni dei processi di spiegabilità dei SageMaker modelli devono avere abilitata la crittografia del traffico tra container

[SageMaker.11] le definizioni dei processi di qualità SageMaker dei dati devono avere l'isolamento della rete abilitato

[SageMaker.12] le definizioni dei job di SageMaker model bias devono avere l'isolamento della rete abilitato

[SageMaker.13] le definizioni dei processi di qualità SageMaker del modello dovrebbero avere la crittografia del traffico tra container abilitata

[SageMaker.14] le pianificazioni di SageMaker monitoraggio dovrebbero avere l'isolamento della rete abilitato

[SageMaker.15] Le definizioni dei job di SageMaker model bias devono avere abilitata la crittografia del traffico tra container

[SageMaker.16] SageMaker i modelli dovrebbero utilizzare il registro privato in VPC per i contenitori primari

[SageMaker.17] i negozi offline del gruppo di SageMaker funzionalità devono essere crittografati conAWS KMSkeys

[SageMaker.18] I negozi online del gruppo di SageMaker funzionalità con archiviazione standard devono essere crittografati conAWS KMSkeys

[SageMaker.19] SageMaker i modelli dovrebbero utilizzare il registro privato in VPC per pipeline di inferenza multi-contenitore

[SES.1] Gli elenchi di contatti SES devono essere etichettati

[SES.2] I set di configurazione SES devono essere etichettati

[SES.3] I set di configurazione SES devono avere TLS abilitato per l'invio di e-mail

[SecretsManager.1] I segreti di Secrets Manager devono avere la rotazione automatica abilitata

[SecretsManager.2] I segreti di Secrets Manager configurati con rotazione automatica dovrebbero ruotare correttamente

[SecretsManager.3] Rimuovi i segreti inutilizzati di Secrets Manager

[SecretsManager.4] I segreti di Secrets Manager devono essere ruotati entro un determinato numero di giorni

[SecretsManager.5] I segreti di Secrets Manager devono essere etichettati

[ServiceCatalog.1] I portafogli Service Catalog devono essere condivisi all'interno di unAWSsolo organizzazione

[SNS.3] Gli argomenti SNS devono essere etichettati

[SNS.4] Le politiche di accesso agli argomenti SNS non dovrebbero consentire l'accesso pubblico

[SQS.1] Le code di Amazon SQS devono essere crittografate quando sono inattive

[] Le code SQS devono essere etichettate SQS.2

[SQS.3] Le politiche di accesso alla coda di SQS non dovrebbero consentire l'accesso pubblico

[SSM.1] Le istanze Amazon EC2 devono essere gestite daAWS Systems Manager

[SSM.2] Le istanze Amazon EC2 gestite da Systems Manager dovrebbero avere uno stato di conformità delle patch pari a COMPLIANT dopo l'installazione della patch

[SSM.3] Le istanze Amazon EC2 gestite da Systems Manager devono avere uno stato di conformità dell'associazione pari a COMPLIANT

[SSM.4] I documenti SSM non devono essere pubblici

[SSM.5] I documenti SSM devono essere etichettati

[SSM.6] SSM Automation dovrebbe avere la registrazione abilitata CloudWatch

[SSM.7] I documenti SSM devono avere l'impostazione di condivisione pubblica a blocchi abilitata