本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
NBC TRMG 操作最佳实践
一致性包提供了一个通用的合规框架，旨在使您能够使用托管或自定义 AWS Config 规则和 AWS Config 补救措施来创建安全、运营或成本优化治理检查。作为示例模板，合规包并不是为了完全确保遵守特定的治理或合规标准而设计的。您有责任自行评估自己对服务的使用是否符合适用的法律和监管要求。
以下提供了柬埔寨国家银行 (NBC) 的《技术风险管理 (TRM) 指南》框架与 AWS 托管 Config 规则之间的映射示例。每条 Config 规则都适用于特定 AWS 资源，并与一个或多个 NBC TRM 指南相关。一个 NBC TRM 指南可以与多个 Config 规则相关联。有关这些映射的更多详细信息和指导，请参阅下表。
此示例合规包模板与柬埔寨国家银行（NBC）的《技术风险管理（TRM）指南》框架内的若干控制措施相对应，该框架可在此处访问：柬埔寨国家银行：技术风险管理指南
| 控制 ID | 控制描述 | AWS Config 规则 | 指南 |
|---|---|---|---|
| 3.1.1(d） | d) 需要考虑的重要控制措施包括：-申请和授权创建用户 IDs 和访问控制矩阵的系统过程-进行风险评估并根据该矩阵授予访问权限。-实施基于角色的访问控制，旨在确保有效的职责分工-更改系统的默认用户名、 and/or 密码并禁止共享通用账户的用户IDs 和密码-在角色或责任发生变化时修改访问权限，在雇用/合同终止时取消访问权限-及时通知有关用户添加、删除和角色变更的信息安全功能的流程-定期对系统中的用户进行核对 IDs 以及需要访问和删除任何不必要 IDs的（如果有的话）的实际用户——审计、记录和监控所有用户对IT资产的访问以及-考虑停用长期休假的关键应用程序用户的 IDs 激活 | 通过检查根用户的 AWS 身份和访问管理 (IAM) 角色是否没有附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户 方法来帮助整合功能最少的原则。 | |
| 3.1.1(d） | d) 需要考虑的重要控制措施包括：-申请和授权创建用户 IDs 和访问控制矩阵的系统过程-进行风险评估并根据该矩阵授予访问权限。-实施基于角色的访问控制，旨在确保有效的职责分工-更改系统的默认用户名、 and/or 密码并禁止共享通用账户的用户IDs 和密码-在角色或责任发生变化时修改访问权限，在雇用/合同终止时取消访问权限-及时通知有关用户添加、删除和角色变更的信息安全功能的流程-定期对系统中的用户进行核对 IDs 以及需要访问和删除任何不必要 IDs的（如果有的话）的实际用户——审计、记录和监控所有用户对IT资产的访问以及-考虑停用长期休假的关键应用程序用户的 IDs 激活 | API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。 | |
| 3.1.1(d） | d) 需要考虑的重要控制措施包括：-申请和授权创建用户 IDs 和访问控制矩阵的系统过程-进行风险评估并根据该矩阵授予访问权限。-实施基于角色的访问控制，旨在确保有效的职责分工-更改系统的默认用户名、 and/or 密码并禁止共享通用账户的用户IDs 和密码-在角色或责任发生变化时修改访问权限，在雇用/合同终止时取消访问权限-及时通知有关用户添加、删除和角色变更的信息安全功能的流程-定期对系统中的用户进行核对 IDs 以及需要访问和删除任何不必要 IDs的（如果有的话）的实际用户——审计、记录和监控所有用户对IT资产的访问以及-考虑停用长期休假的关键应用程序用户的 IDs 激活 | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您内部的 API 调用活动的详细信息 AWS 账户。 | |
| 3.1.1(d） | d) 需要考虑的重要控制措施包括：-申请和授权创建用户 IDs 和访问控制矩阵的系统过程-进行风险评估并根据该矩阵授予访问权限。-实施基于角色的访问控制，旨在确保有效的职责分工-更改系统的默认用户名、 and/or 密码并禁止共享通用账户的用户IDs 和密码-在角色或责任发生变化时修改访问权限，在雇用/合同终止时取消访问权限-及时通知有关用户添加、删除和角色变更的信息安全功能的流程-定期对系统中的用户进行核对 IDs 以及需要访问和删除任何不必要 IDs的（如果有的话）的实际用户——审计、记录和监控所有用户对IT资产的访问以及-考虑停用长期休假的关键应用程序用户的 IDs 激活 | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。 | |
| 3.1.1(d） | d) 需要考虑的重要控制措施包括：-申请和授权创建用户 IDs 和访问控制矩阵的系统过程-进行风险评估并根据该矩阵授予访问权限。-实施基于角色的访问控制，旨在确保有效的职责分工-更改系统的默认用户名、 and/or 密码并禁止共享通用账户的用户IDs 和密码-在角色或责任发生变化时修改访问权限，在雇用/合同终止时取消访问权限-及时通知有关用户添加、删除和角色变更的信息安全功能的流程-定期对系统中的用户进行核对 IDs 以及需要访问和删除任何不必要 IDs的（如果有的话）的实际用户——审计、记录和监控所有用户对IT资产的访问以及-考虑停用长期休假的关键应用程序用户的 IDs 激活 | 收集 Simple Storage Service（Amazon S3）数据事件有助于检测任何异常活动。详细 AWS 账户 信息包括访问 Amazon S3 存储桶的信息、IP 地址和事件时间。 | |
| 3.1.1(d） | d) 需要考虑的重要控制措施包括：-申请和授权创建用户 IDs 和访问控制矩阵的系统过程-进行风险评估并根据该矩阵授予访问权限。-实施基于角色的访问控制，旨在确保有效的职责分工-更改系统的默认用户名、 and/or 密码并禁止共享通用账户的用户IDs 和密码-在角色或责任发生变化时修改访问权限，在雇用/合同终止时取消访问权限-及时通知有关用户添加、删除和角色变更的信息安全功能的流程-定期对系统中的用户进行核对 IDs 以及需要访问和删除任何不必要 IDs的（如果有的话）的实际用户——审计、记录和监控所有用户对IT资产的访问以及-考虑停用长期休假的关键应用程序用户的 IDs 激活 | 当某个指标在指定数量的评估周期内突破阈值时，Amazon 会发出 CloudWatch 警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （配置默认值：True）、 insufficientDataAction必填项（配置默认值：True）、 okActionRequired （配置默认值：False）的值。实际值应反映您的环境的警报操作。 | |
| 3.1.1(d） | d) 需要考虑的重要控制措施包括：-申请和授权创建用户 IDs 和访问控制矩阵的系统过程-进行风险评估并根据该矩阵授予访问权限。-实施基于角色的访问控制，旨在确保有效的职责分工-更改系统的默认用户名、 and/or 密码并禁止共享通用账户的用户IDs 和密码-在角色或责任发生变化时修改访问权限，在雇用/合同终止时取消访问权限-及时通知有关用户添加、删除和角色变更的信息安全功能的流程-定期对系统中的用户进行核对 IDs 以及需要访问和删除任何不必要 IDs的（如果有的话）的实际用户——审计、记录和监控所有用户对IT资产的访问以及-考虑停用长期休假的关键应用程序用户的 IDs 激活 | Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息（例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应）。 | |
| 3.1.1(d） | d) 需要考虑的重要控制措施包括：-申请和授权创建用户 IDs 和访问控制矩阵的系统过程-进行风险评估并根据该矩阵授予访问权限。-实施基于角色的访问控制，旨在确保有效的职责分工-更改系统的默认用户名、 and/or 密码并禁止共享通用账户的用户IDs 和密码-在角色或责任发生变化时修改访问权限，在雇用/合同终止时取消访问权限-及时通知有关用户添加、删除和角色变更的信息安全功能的流程-定期对系统中的用户进行核对 IDs 以及需要访问和删除任何不必要 IDs的（如果有的话）的实际用户——审计、记录和监控所有用户对IT资产的访问以及-考虑停用长期休假的关键应用程序用户的 IDs 激活 | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IPs 和机器学习列表，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | |
| 3.1.1(d） | d) 需要考虑的重要控制措施包括：-申请和授权创建用户 IDs 和访问控制矩阵的系统过程-进行风险评估并根据该矩阵授予访问权限。-实施基于角色的访问控制，旨在确保有效的职责分工-更改系统的默认用户名、 and/or 密码并禁止共享通用账户的用户IDs 和密码-在角色或责任发生变化时修改访问权限，在雇用/合同终止时取消访问权限-及时通知有关用户添加、删除和角色变更的信息安全功能的流程-定期对系统中的用户进行核对 IDs 以及需要访问和删除任何不必要 IDs的（如果有的话）的实际用户——审计、记录和监控所有用户对IT资产的访问以及-考虑停用长期休假的关键应用程序用户的 IDs 激活 | 启用此规则有助于在功能发生故障时通过 Amazon Simple Queue Service（Amazon SQS）或 Amazon Simple Notification Service（Amazon SNS）通知相关人员。 | |
| 3.1.1(d） | d) 需要考虑的重要控制措施包括：-申请和授权创建用户 IDs 和访问控制矩阵的系统过程-进行风险评估并根据该矩阵授予访问权限。-实施基于角色的访问控制，旨在确保有效的职责分工-更改系统的默认用户名、 and/or 密码并禁止共享通用账户的用户IDs 和密码-在角色或责任发生变化时修改访问权限，在雇用/合同终止时取消访问权限-及时通知有关用户添加、删除和角色变更的信息安全功能的流程-定期对系统中的用户进行核对 IDs 以及需要访问和删除任何不必要 IDs的（如果有的话）的实际用户——审计、记录和监控所有用户对IT资产的访问以及-考虑停用长期休假的关键应用程序用户的 IDs 激活 | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，则会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | |
| 3.1.1(d） | d) 需要考虑的重要控制措施包括：-申请和授权创建用户 IDs 和访问控制矩阵的系统过程-进行风险评估并根据该矩阵授予访问权限。-实施基于角色的访问控制，旨在确保有效的职责分工-更改系统的默认用户名、 and/or 密码并禁止共享通用账户的用户IDs 和密码-在角色或责任发生变化时修改访问权限，在雇用/合同终止时取消访问权限-及时通知有关用户添加、删除和角色变更的信息安全功能的流程-定期对系统中的用户进行核对 IDs 以及需要访问和删除任何不必要 IDs的（如果有的话）的实际用户——审计、记录和监控所有用户对IT资产的访问以及-考虑停用长期休假的关键应用程序用户的 IDs 激活 | Amazon Simple Storage Service（Amazon S3）服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | |
| 3.1.1(d） | d) 需要考虑的重要控制措施包括：-申请和授权创建用户 IDs 和访问控制矩阵的系统过程-进行风险评估并根据该矩阵授予访问权限。-实施基于角色的访问控制，旨在确保有效的职责分工-更改系统的默认用户名、 and/or 密码并禁止共享通用账户的用户IDs 和密码-在角色或责任发生变化时修改访问权限，在雇用/合同终止时取消访问权限-及时通知有关用户添加、删除和角色变更的信息安全功能的流程-定期对系统中的用户进行核对 IDs 以及需要访问和删除任何不必要 IDs的（如果有的话）的实际用户——审计、记录和监控所有用户对IT资产的访问以及-考虑停用长期休假的关键应用程序用户的 IDs 激活 | AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。 AWS Security Hub 汇总、整理来自多个服务的安全警报或发现，并对其进行优先排序。 AWS 其中一些服务包括Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS 身份和访问管理 (IAM) Access Analyzer、Firewall Manager 以及 AWS 合作伙伴解决方案。 AWS | |
| 3.1.1(d） | d) 需要考虑的重要控制措施包括：-申请和授权创建用户 IDs 和访问控制矩阵的系统过程-进行风险评估并根据该矩阵授予访问权限。-实施基于角色的访问控制，旨在确保有效的职责分工-更改系统的默认用户名、 and/or 密码并禁止共享通用账户的用户IDs 和密码-在角色或责任发生变化时修改访问权限，在雇用/合同终止时取消访问权限-及时通知有关用户添加、删除和角色变更的信息安全功能的流程-定期对系统中的用户进行核对 IDs 以及需要访问和删除任何不必要 IDs的（如果有的话）的实际用户——审计、记录和监控所有用户对IT资产的访问以及-考虑停用长期休假的关键应用程序用户的 IDs 激活 | VPC 流日志详细记录进出 Amazon Virtual Private Cloud（Amazon VPC）网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。 | |
| 3.1.1(d） | d) 需要考虑的重要控制措施包括：-申请和授权创建用户 IDs 和访问控制矩阵的系统过程-进行风险评估并根据该矩阵授予访问权限。-实施基于角色的访问控制，旨在确保有效的职责分工-更改系统的默认用户名、 and/or 密码并禁止共享通用账户的用户IDs 和密码-在角色或责任发生变化时修改访问权限，在雇用/合同终止时取消访问权限-及时通知有关用户添加、删除和角色变更的信息安全功能的流程-定期对系统中的用户进行核对 IDs 以及需要访问和删除任何不必要 IDs的（如果有的话）的实际用户——审计、记录和监控所有用户对IT资产的访问以及-考虑停用长期休假的关键应用程序用户的 IDs 激活 | 确保为日志组保留事件日志数据的最短时间，以帮助进行故障排除和取证调查。缺乏过去的事件日志数据会让重建和识别潜在的恶意事件变得困难。 | |
| 3.1.1(d） | d) 需要考虑的重要控制措施包括：-申请和授权创建用户 IDs 和访问控制矩阵的系统过程-进行风险评估并根据该矩阵授予访问权限。-实施基于角色的访问控制，旨在确保有效的职责分工-更改系统的默认用户名、 and/or 密码并禁止共享通用账户的用户IDs 和密码-在角色或责任发生变化时修改访问权限，在雇用/合同终止时取消访问权限-及时通知有关用户添加、删除和角色变更的信息安全功能的流程-定期对系统中的用户进行核对 IDs 以及需要访问和删除任何不必要 IDs的（如果有的话）的实际用户——审计、记录和监控所有用户对IT资产的访问以及-考虑停用长期休假的关键应用程序用户的 IDs 激活 | 为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service（Amazon RDS）日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。 | |
| 3.1.1(d） | d) 需要考虑的重要控制措施包括：-申请和授权创建用户 IDs 和访问控制矩阵的系统过程-进行风险评估并根据该矩阵授予访问权限。-实施基于角色的访问控制，旨在确保有效的职责分工-更改系统的默认用户名、 and/or 密码并禁止共享通用账户的用户IDs 和密码-在角色或责任发生变化时修改访问权限，在雇用/合同终止时取消访问权限-及时通知有关用户添加、删除和角色变更的信息安全功能的流程-定期对系统中的用户进行核对 IDs 以及需要访问和删除任何不必要 IDs的（如果有的话）的实际用户——审计、记录和监控所有用户对IT资产的访问以及-考虑停用长期休假的关键应用程序用户的 IDs 激活 | 要帮助在您的环境中进行日志记录和监控，请在区域和全球 Web 上启用 AWS WAF (V2) 日志记录。 ACLs AWS WAF 日志记录提供有关您的 Web ACL 所分析的流量的详细信息。这些日志记录了 AWS WAF 从您的 AWS 资源收到请求的时间、有关请求的信息以及每个请求匹配的规则的操作。 | |
| 3.1.1(d） | d) 需要考虑的重要控制措施包括：-申请和授权创建用户 IDs 和访问控制矩阵的系统过程-进行风险评估并根据该矩阵授予访问权限。-实施基于角色的访问控制，旨在确保有效的职责分工-更改系统的默认用户名、 and/or 密码并禁止共享通用账户的用户IDs 和密码-在角色或责任发生变化时修改访问权限，在雇用/合同终止时取消访问权限-及时通知有关用户添加、删除和角色变更的信息安全功能的流程-定期对系统中的用户进行核对 IDs 以及需要访问和删除任何不必要 IDs的（如果有的话）的实际用户——审计、记录和监控所有用户对IT资产的访问以及-考虑停用长期休假的关键应用程序用户的 IDs 激活 | 要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。 | |
| 3.1.1(d） | d) 需要考虑的重要控制措施包括：-申请和授权创建用户 IDs 和访问控制矩阵的系统过程-进行风险评估并根据该矩阵授予访问权限。-实施基于角色的访问控制，旨在确保有效的职责分工-更改系统的默认用户名、 and/or 密码并禁止共享通用账户的用户IDs 和密码-在角色或责任发生变化时修改访问权限，在雇用/合同终止时取消访问权限-及时通知有关用户添加、删除和角色变更的信息安全功能的流程-定期对系统中的用户进行核对 IDs 以及需要访问和删除任何不必要 IDs的（如果有的话）的实际用户——审计、记录和监控所有用户对IT资产的访问以及-考虑停用长期休假的关键应用程序用户的 IDs 激活 | AWS 身份与访问管理 (IAM) Access Management 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果发现了这些未使用的凭证，则应禁用 and/or 删除凭证，因为这可能违反最低权限原则。此规则要求您为 “ maxCredentialUsage年龄” 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。 | |
| 3.1.1(d） | d) 需要考虑的重要控制措施包括：-申请和授权创建用户 IDs 和访问控制矩阵的系统过程-进行风险评估并根据该矩阵授予访问权限。-实施基于角色的访问控制，旨在确保有效的职责分工-更改系统的默认用户名、 and/or 密码并禁止共享通用账户的用户IDs 和密码-在角色或责任发生变化时修改访问权限，在雇用/合同终止时取消访问权限-及时通知有关用户添加、删除和角色变更的信息安全功能的流程-定期对系统中的用户进行核对 IDs 以及需要访问和删除任何不必要 IDs的（如果有的话）的实际用户——审计、记录和监控所有用户对IT资产的访问以及-考虑停用长期休假的关键应用程序用户的 IDs 激活 | Organiz AWS ations AWS 账户 内部的集中管理有助于确保账户合规。缺乏集中式账户管理可能会导致账户配置不一致，从而可能泄露资源和敏感数据。 | |
| 3.1.1(d） | d) 需要考虑的重要控制措施包括：-申请和授权创建用户 IDs 和访问控制矩阵的系统过程-进行风险评估并根据该矩阵授予访问权限。-实施基于角色的访问控制，旨在确保有效的职责分工-更改系统的默认用户名、 and/or 密码并禁止共享通用账户的用户IDs 和密码-在角色或责任发生变化时修改访问权限，在雇用/合同终止时取消访问权限-及时通知有关用户添加、删除和角色变更的信息安全功能的流程-定期对系统中的用户进行核对 IDs 以及需要访问和删除任何不必要 IDs的（如果有的话）的实际用户——审计、记录和监控所有用户对IT资产的访问以及-考虑停用长期休假的关键应用程序用户的 IDs 激活 | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对 AWS 所有密钥管理服务密钥的封锁操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。此规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践价值： kms:解密，）。 kms: ReEncryptFrom实际值应反映贵组织的策略 | |
| 3.1.1(d） | d) 需要考虑的重要控制措施包括：-申请和授权创建用户 IDs 和访问控制矩阵的系统过程-进行风险评估并根据该矩阵授予访问权限。-实施基于角色的访问控制，旨在确保有效的职责分工-更改系统的默认用户名、 and/or 密码并禁止共享通用账户的用户IDs 和密码-在角色或责任发生变化时修改访问权限，在雇用/合同终止时取消访问权限-及时通知有关用户添加、删除和角色变更的信息安全功能的流程-定期对系统中的用户进行核对 IDs 以及需要访问和删除任何不必要 IDs的（如果有的话）的实际用户——审计、记录和监控所有用户对IT资产的访问以及-考虑停用长期休假的关键应用程序用户的 IDs 激活 | AWS Identity and Access Management (IAM) 可以确保 IAM 群组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。 | |
| 3.1.1(d） | d) 需要考虑的重要控制措施包括：-申请和授权创建用户 IDs 和访问控制矩阵的系统过程-进行风险评估并根据该矩阵授予访问权限。-实施基于角色的访问控制，旨在确保有效的职责分工-更改系统的默认用户名、 and/or 密码并禁止共享通用账户的用户IDs 和密码-在角色或责任发生变化时修改访问权限，在雇用/合同终止时取消访问权限-及时通知有关用户添加、删除和角色变更的信息安全功能的流程-定期对系统中的用户进行核对 IDs 以及需要访问和删除任何不必要 IDs的（如果有的话）的实际用户——审计、记录和监控所有用户对IT资产的访问以及-考虑停用长期休假的关键应用程序用户的 IDs 激活 | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有允许对 AWS 所有密钥管理服务密钥执行阻止操作的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。此规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践价值： kms:解密，）。 kms: ReEncryptFrom实际值应反映贵组织的策略。 | |
| 3.1.1(d） | d) 需要考虑的重要控制措施包括：-申请和授权创建用户 IDs 和访问控制矩阵的系统过程-进行风险评估并根据该矩阵授予访问权限。-实施基于角色的访问控制，旨在确保有效的职责分工-更改系统的默认用户名、 and/or 密码并禁止共享通用账户的用户IDs 和密码-在角色或责任发生变化时修改访问权限，在雇用/合同终止时取消访问权限-及时通知有关用户添加、删除和角色变更的信息安全功能的流程-定期对系统中的用户进行核对 IDs 以及需要访问和删除任何不必要 IDs的（如果有的话）的实际用户——审计、记录和监控所有用户对IT资产的访问以及-考虑停用长期休假的关键应用程序用户的 IDs 激活 | AWS 身份与访问管理 (IAM) Access Management 可通过确保用户至少属于一个群组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| 3.1.1(d） | d) 需要考虑的重要控制措施包括：-申请和授权创建用户 IDs 和访问控制矩阵的系统过程-进行风险评估并根据该矩阵授予访问权限。-实施基于角色的访问控制，旨在确保有效的职责分工-更改系统的默认用户名、 and/or 密码并禁止共享通用账户的用户IDs 和密码-在角色或责任发生变化时修改访问权限，在雇用/合同终止时取消访问权限-及时通知有关用户添加、删除和角色变更的信息安全功能的流程-定期对系统中的用户进行核对 IDs 以及需要访问和删除任何不必要 IDs的（如果有的话）的实际用户——审计、记录和监控所有用户对IT资产的访问以及-考虑停用长期休假的关键应用程序用户的 IDs 激活 | EC2 实例配置文件将 IAM 角色传递给 EC2 实例。将实例配置文件附加到您的实例可以帮助实现最低权限和权限管理。 | |
| 3.1.1(d） | d) 需要考虑的重要控制措施包括：-申请和授权创建用户 IDs 和访问控制矩阵的系统过程-进行风险评估并根据该矩阵授予访问权限。-实施基于角色的访问控制，旨在确保有效的职责分工-更改系统的默认用户名、 and/or 密码并禁止共享通用账户的用户IDs 和密码-在角色或责任发生变化时修改访问权限，在雇用/合同终止时取消访问权限-及时通知有关用户添加、删除和角色变更的信息安全功能的流程-定期对系统中的用户进行核对 IDs 以及需要访问和删除任何不必要 IDs的（如果有的话）的实际用户——审计、记录和监控所有用户对IT资产的访问以及-考虑停用长期休假的关键应用程序用户的 IDs 激活 | 确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| 3.1.1(d） | d) 需要考虑的重要控制措施包括：-申请和授权创建用户 IDs 和访问控制矩阵的系统过程-进行风险评估并根据该矩阵授予访问权限。-实施基于角色的访问控制，旨在确保有效的职责分工-更改系统的默认用户名、 and/or 密码并禁止共享通用账户的用户IDs 和密码-在角色或责任发生变化时修改访问权限，在雇用/合同终止时取消访问权限-及时通知有关用户添加、删除和角色变更的信息安全功能的流程-定期对系统中的用户进行核对 IDs 以及需要访问和删除任何不必要 IDs的（如果有的话）的实际用户——审计、记录和监控所有用户对IT资产的访问以及-考虑停用长期休假的关键应用程序用户的 IDs 激活 | 如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。 | |
| 3.1.1(d） | d) 需要考虑的重要控制措施包括：-申请和授权创建用户 IDs 和访问控制矩阵的系统过程-进行风险评估并根据该矩阵授予访问权限。-实施基于角色的访问控制，旨在确保有效的职责分工-更改系统的默认用户名、 and/or 密码并禁止共享通用账户的用户IDs 和密码-在角色或责任发生变化时修改访问权限，在雇用/合同终止时取消访问权限-及时通知有关用户添加、删除和角色变更的信息安全功能的流程-定期对系统中的用户进行核对 IDs 以及需要访问和删除任何不必要 IDs的（如果有的话）的实际用户——审计、记录和监控所有用户对IT资产的访问以及-考虑停用长期休假的关键应用程序用户的 IDs 激活 | 确保 Amazon S OpenSearch ervice 域已启用错误日志，并将其流式传输到 Amazon CloudWatch Logs 以进行保留和响应。域错误日志可以帮助进行安全和访问审核，还可以帮助诊断可用性问题。 | |
| 3.1.1(d） | d) 需要考虑的重要控制措施包括：-申请和授权创建用户 IDs 和访问控制矩阵的系统过程-进行风险评估并根据该矩阵授予访问权限。-实施基于角色的访问控制，旨在确保有效的职责分工-更改系统的默认用户名、 and/or 密码并禁止共享通用账户的用户IDs 和密码-在角色或责任发生变化时修改访问权限，在雇用/合同终止时取消访问权限-及时通知有关用户添加、删除和角色变更的信息安全功能的流程-定期对系统中的用户进行核对 IDs 以及需要访问和删除任何不必要 IDs的（如果有的话）的实际用户——审计、记录和监控所有用户对IT资产的访问以及-考虑停用长期休假的关键应用程序用户的 IDs 激活 | 确保 Amazon S OpenSearch ervice 域已启用错误日志，并将其流式传输到 Amazon CloudWatch Logs 以进行保留和响应。 OpenSearch 服务错误日志可以帮助进行安全和访问审计，还可以帮助诊断可用性问题。 | |
| 3.1.1(f） | f）出于问责目的，确保对用户和 IT 资产进行唯一标识，并确保他们的行为是可审计的。 | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。 | |
| 3.1.1(f） | f）出于问责目的，确保对用户和 IT 资产进行唯一标识，并确保他们的行为是可审计的。 | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，则会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | |
| 3.1.1(f） | f）出于问责目的，确保对用户和 IT 资产进行唯一标识，并确保他们的行为是可审计的。 | 确保在您的 Amazon OpenSearch 服务域上启用审核日志。审核日志允许您跟踪 OpenSearch 网域上的用户活动，包括身份验证成功和失败、对域名的请求 OpenSearch、索引更改以及传入的搜索查询。 | |
| 3.1.1(f） | f）出于问责目的，确保对用户和 IT 资产进行唯一标识，并确保他们的行为是可审计的。 | 要捕获有关您的 Amazon Redshift 集群上的连接和用户活动的信息，请确保已启用审计日志记录。 | |
| 3.1.1(f） | f）出于问责目的，确保对用户和 IT 资产进行唯一标识，并确保他们的行为是可审计的。 | 要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。 | |
| 3.1.1(f） | f）出于问责目的，确保对用户和 IT 资产进行唯一标识，并确保他们的行为是可审计的。 | 确保 Amazon S OpenSearch ervice 域已启用错误日志，并将其流式传输到 Amazon CloudWatch Logs 以进行保留和响应。域错误日志可以帮助进行安全和访问审核，还可以帮助诊断可用性问题。 | |
| 3.1.1(f） | f）出于问责目的，确保对用户和 IT 资产进行唯一标识，并确保他们的行为是可审计的。 | 确保 Amazon S OpenSearch ervice 域已启用错误日志，并将其流式传输到 Amazon CloudWatch Logs 以进行保留和响应。 OpenSearch 服务错误日志可以帮助进行安全和访问审计，还可以帮助诊断可用性问题。 | |
| 3.1.1(h） | h）系统管理员、安全人员、程序员和执行关键操作的工作人员，由于其工作职能和特权访问权限，必然拥有对其维护或操作的金融系统造成严重破坏的能力。对拥有较高系统访问权限的人员应严加监管，并记录他们的所有系统活动，因为他们掌握内幕消息和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全实践：-对特权用户实施双因素身份验证-对特权用户的远程访问进行严格控制-限制特权用户的数量-在 “或 need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计日志-确保特权用户无法访问捕获其活动的系统日志-进行定期审计或管理审查of the logs-禁止共享特权 IDs 代码及其访问代码-禁止供应商和承包商在没有密切监督和监控的情况下获得对系统的特权访问权限以及 _ 保护备份数据免受未经授权的访问 | 通过确保按照组织政策轮换 IAM 访问密钥，对授权的设备、用户和流程的凭证进行审核。定期更改访问密钥是一种安全最佳实践。它会缩短访问密钥的有效期，并降低密钥泄露时对业务的影响。此规则需要访问密钥轮换值（配置默认值：90）。实际值应反映贵组织的策略。 | |
| 3.1.1(h） | h）系统管理员、安全人员、程序员和执行关键操作的工作人员，由于其工作职能和特权访问权限，必然拥有对其维护或操作的金融系统造成严重破坏的能力。对拥有较高系统访问权限的人员应严加监管，并记录他们的所有系统活动，因为他们掌握内幕消息和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全实践：-对特权用户实施双因素身份验证-对特权用户的远程访问进行严格控制-限制特权用户的数量-在 “或 need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计日志-确保特权用户无法访问捕获其活动的系统日志-进行定期审计或管理审查of the logs-禁止共享特权 IDs 代码及其访问代码-禁止供应商和承包商在没有密切监督和监控的情况下获得对系统的特权访问权限以及 _ 保护备份数据免受未经授权的访问 | 通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心（KDC）。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。 | |
| 3.1.1(h） | h）系统管理员、安全人员、程序员和执行关键操作的工作人员，由于其工作职能和特权访问权限，必然拥有对其维护或操作的金融系统造成严重破坏的能力。对拥有较高系统访问权限的人员应严加监管，并记录他们的所有系统活动，因为他们掌握内幕消息和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全实践：-对特权用户实施双因素身份验证-对特权用户的远程访问进行严格控制-限制特权用户的数量-在 “或 need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计日志-确保特权用户无法访问捕获其活动的系统日志-进行定期审计或管理审查of the logs-禁止共享特权 IDs 代码及其访问代码-禁止供应商和承包商在没有密切监督和监控的情况下获得对系统的特权访问权限以及 _ 保护备份数据免受未经授权的访问 | 身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过了 NIST SP 800-63 和密码强度 AWS 基础安全最佳实践标准规定的要求。此规则允许您选择为自己的 IAM 设置 RequireUppercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireSymbols （AWS 基础安全最佳实践值：true）、 RequireNumbers （AWS 基础安全最佳实践值：true）、 MinimumPasswordLength （AWS 基础安全最佳实践值：14）、 PasswordReusePrevention （AWS 基础安全最佳实践值：24）和 MaxPasswordAge （AWS 基础安全最佳实践值：90）密码政策。实际值应反映贵组织的策略。 | |
| 3.1.1(h） | h）系统管理员、安全人员、程序员和执行关键操作的工作人员，由于其工作职能和特权访问权限，必然拥有对其维护或操作的金融系统造成严重破坏的能力。对拥有较高系统访问权限的人员应严加监管，并记录他们的所有系统活动，因为他们掌握内幕消息和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全实践：-对特权用户实施双因素身份验证-对特权用户的远程访问进行严格控制-限制特权用户的数量-在 “或 need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计日志-确保特权用户无法访问捕获其活动的系统日志-进行定期审计或管理审查of the logs-禁止共享特权 IDs 代码及其访问代码-禁止供应商和承包商在没有密切监督和监控的情况下获得对系统的特权访问权限以及 _ 保护备份数据免受未经授权的访问 | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“*” 而不是 “资源”：“*”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| 3.1.1(h） | h）系统管理员、安全人员、程序员和执行关键操作的工作人员，由于其工作职能和特权访问权限，必然拥有对其维护或操作的金融系统造成严重破坏的能力。对拥有较高系统访问权限的人员应严加监管，并记录他们的所有系统活动，因为他们掌握内幕消息和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全实践：-对特权用户实施双因素身份验证-对特权用户的远程访问进行严格控制-限制特权用户的数量-在 “或 need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计日志-确保特权用户无法访问捕获其活动的系统日志-进行定期审计或管理审查of the logs-禁止共享特权 IDs 代码及其访问代码-禁止供应商和承包商在没有密切监督和监控的情况下获得对系统的特权访问权限以及 _ 保护备份数据免受未经授权的访问 | 通过检查根用户的 AWS 身份和访问管理 (IAM) 角色是否没有附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户 方法来帮助整合功能最少的原则。 | |
| 3.1.1(h） | h）系统管理员、安全人员、程序员和执行关键操作的工作人员，由于其工作职能和特权访问权限，必然拥有对其维护或操作的金融系统造成严重破坏的能力。对拥有较高系统访问权限的人员应严加监管，并记录他们的所有系统活动，因为他们掌握内幕消息和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全实践：-对特权用户实施双因素身份验证-对特权用户的远程访问进行严格控制-限制特权用户的数量-在 “或 need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计日志-确保特权用户无法访问捕获其活动的系统日志-进行定期审计或管理审查of the logs-禁止共享特权 IDs 代码及其访问代码-禁止供应商和承包商在没有密切监督和监控的情况下获得对系统的特权访问权限以及 _ 保护备份数据免受未经授权的访问 | 启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证（MFA）。MFA 在登录凭证之上添加一层额外的保护。要求用户进行多重身份验证，从而减少账户被盗事件。 | |
| 3.1.1(h） | h）系统管理员、安全人员、程序员和执行关键操作的工作人员，由于其工作职能和特权访问权限，必然拥有对其维护或操作的金融系统造成严重破坏的能力。对拥有较高系统访问权限的人员应严加监管，并记录他们的所有系统活动，因为他们掌握内幕消息和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全实践：-对特权用户实施双因素身份验证-对特权用户的远程访问进行严格控制-限制特权用户的数量-在 “或 need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计日志-确保特权用户无法访问捕获其活动的系统日志-进行定期审计或管理审查of the logs-禁止共享特权 IDs 代码及其访问代码-禁止供应商和承包商在没有密切监督和监控的情况下获得对系统的特权访问权限以及 _ 保护备份数据免受未经授权的访问 | 该规则确保 AWS 身份和访问管理 (IAM) Access Management 策略仅附加到组或角色以控制对系统和资产的访问权限。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。 | |
| 3.1.1(h） | h）系统管理员、安全人员、程序员和执行关键操作的工作人员，由于其工作职能和特权访问权限，必然拥有对其维护或操作的金融系统造成严重破坏的能力。对拥有较高系统访问权限的人员应严加监管，并记录他们的所有系统活动，因为他们掌握内幕消息和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全实践：-对特权用户实施双因素身份验证-对特权用户的远程访问进行严格控制-限制特权用户的数量-在 “或 need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计日志-确保特权用户无法访问捕获其活动的系统日志-进行定期审计或管理审查of the logs-禁止共享特权 IDs 代码及其访问代码-禁止供应商和承包商在没有密切监督和监控的情况下获得对系统的特权访问权限以及 _ 保护备份数据免受未经授权的访问 | AWS 身份与访问管理 (IAM) Access Management 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果发现了这些未使用的凭证，则应禁用 and/or 删除凭证，因为这可能违反最低权限原则。此规则要求您为 “ maxCredentialUsage年龄” 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。 | |
| 3.1.1(h） | h）系统管理员、安全人员、程序员和执行关键操作的工作人员，由于其工作职能和特权访问权限，必然拥有对其维护或操作的金融系统造成严重破坏的能力。对拥有较高系统访问权限的人员应严加监管，并记录他们的所有系统活动，因为他们掌握内幕消息和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全实践：-对特权用户实施双因素身份验证-对特权用户的远程访问进行严格控制-限制特权用户的数量-在 “或 need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计日志-确保特权用户无法访问捕获其活动的系统日志-进行定期审计或管理审查of the logs-禁止共享特权 IDs 代码及其访问代码-禁止供应商和承包商在没有密切监督和监控的情况下获得对系统的特权访问权限以及 _ 保护备份数据免受未经授权的访问 | 确保所有拥有控制台密码的 AWS 身份和访问管理 (IAM) Access Management 用户都启用 MFA，从而管理对 AWS 云中资源的访问权限。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。 | |
| 3.1.1(h） | h）系统管理员、安全人员、程序员和执行关键操作的工作人员，由于其工作职能和特权访问权限，必然拥有对其维护或操作的金融系统造成严重破坏的能力。对拥有较高系统访问权限的人员应严加监管，并记录他们的所有系统活动，因为他们掌握内幕消息和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全实践：-对特权用户实施双因素身份验证-对特权用户的远程访问进行严格控制-限制特权用户的数量-在 “或 need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计日志-确保特权用户无法访问捕获其活动的系统日志-进行定期审计或管理审查of the logs-禁止共享特权 IDs 代码及其访问代码-禁止供应商和承包商在没有密切监督和监控的情况下获得对系统的特权访问权限以及 _ 保护备份数据免受未经授权的访问 | 确保为根用户启用硬件 MFA，从而管理对 AWS 云中资源的访问权限。根用户是 AWS 账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户进行 MFA，可以减少泄露事件。 AWS 账户 | |
| 3.1.1(h） | h）系统管理员、安全人员、程序员和执行关键操作的工作人员，由于其工作职能和特权访问权限，必然拥有对其维护或操作的金融系统造成严重破坏的能力。对拥有较高系统访问权限的人员应严加监管，并记录他们的所有系统活动，因为他们掌握内幕消息和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全实践：-对特权用户实施双因素身份验证-对特权用户的远程访问进行严格控制-限制特权用户的数量-在 “或 need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计日志-确保特权用户无法访问捕获其活动的系统日志-进行定期审计或管理审查of the logs-禁止共享特权 IDs 代码及其访问代码-禁止供应商和承包商在没有密切监督和监控的情况下获得对系统的特权访问权限以及 _ 保护备份数据免受未经授权的访问 | 通过确保为根用户启用 MFA 来管理对 AWS 云中资源的访问权限。根用户是 AWS 账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户进行 MFA，可以减少泄露事件。 AWS 账户 | |
| 3.1.1(h） | h）系统管理员、安全人员、程序员和执行关键操作的工作人员，由于其工作职能和特权访问权限，必然拥有对其维护或操作的金融系统造成严重破坏的能力。对拥有较高系统访问权限的人员应严加监管，并记录他们的所有系统活动，因为他们掌握内幕消息和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全实践：-对特权用户实施双因素身份验证-对特权用户的远程访问进行严格控制-限制特权用户的数量-在 “或 need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计日志-确保特权用户无法访问捕获其活动的系统日志-进行定期审计或管理审查of the logs-禁止共享特权 IDs 代码及其访问代码-禁止供应商和承包商在没有密切监督和监控的情况下获得对系统的特权访问权限以及 _ 保护备份数据免受未经授权的访问 | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有控制系统和资产访问权限的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。 | |
| 3.1.1(h） | h）系统管理员、安全人员、程序员和执行关键操作的工作人员，由于其工作职能和特权访问权限，必然拥有对其维护或操作的金融系统造成严重破坏的能力。对拥有较高系统访问权限的人员应严加监管，并记录他们的所有系统活动，因为他们掌握内幕消息和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全实践：-对特权用户实施双因素身份验证-对特权用户的远程访问进行严格控制-限制特权用户的数量-在 “或 need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计日志-确保特权用户无法访问捕获其活动的系统日志-进行定期审计或管理审查of the logs-禁止共享特权 IDs 代码及其访问代码-禁止供应商和承包商在没有密切监督和监控的情况下获得对系统的特权访问权限以及 _ 保护备份数据免受未经授权的访问 | API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。 | |
| 3.1.1(h） | h）系统管理员、安全人员、程序员和执行关键操作的工作人员，由于其工作职能和特权访问权限，必然拥有对其维护或操作的金融系统造成严重破坏的能力。对拥有较高系统访问权限的人员应严加监管，并记录他们的所有系统活动，因为他们掌握内幕消息和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全实践：-对特权用户实施双因素身份验证-对特权用户的远程访问进行严格控制-限制特权用户的数量-在 “或 need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计日志-确保特权用户无法访问捕获其活动的系统日志-进行定期审计或管理审查of the logs-禁止共享特权 IDs 代码及其访问代码-禁止供应商和承包商在没有密切监督和监控的情况下获得对系统的特权访问权限以及 _ 保护备份数据免受未经授权的访问 | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您内部的 API 调用活动的详细信息 AWS 账户。 | |
| 3.1.1(h） | h）系统管理员、安全人员、程序员和执行关键操作的工作人员，由于其工作职能和特权访问权限，必然拥有对其维护或操作的金融系统造成严重破坏的能力。对拥有较高系统访问权限的人员应严加监管，并记录他们的所有系统活动，因为他们掌握内幕消息和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全实践：-对特权用户实施双因素身份验证-对特权用户的远程访问进行严格控制-限制特权用户的数量-在 “或 need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计日志-确保特权用户无法访问捕获其活动的系统日志-进行定期审计或管理审查of the logs-禁止共享特权 IDs 代码及其访问代码-禁止供应商和承包商在没有密切监督和监控的情况下获得对系统的特权访问权限以及 _ 保护备份数据免受未经授权的访问 | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。 | |
| 3.1.1(h） | h）系统管理员、安全人员、程序员和执行关键操作的工作人员，由于其工作职能和特权访问权限，必然拥有对其维护或操作的金融系统造成严重破坏的能力。对拥有较高系统访问权限的人员应严加监管，并记录他们的所有系统活动，因为他们掌握内幕消息和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全实践：-对特权用户实施双因素身份验证-对特权用户的远程访问进行严格控制-限制特权用户的数量-在 “或 need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计日志-确保特权用户无法访问捕获其活动的系统日志-进行定期审计或管理审查of the logs-禁止共享特权 IDs 代码及其访问代码-禁止供应商和承包商在没有密切监督和监控的情况下获得对系统的特权访问权限以及 _ 保护备份数据免受未经授权的访问 | 收集 Simple Storage Service（Amazon S3）数据事件有助于检测任何异常活动。详细 AWS 账户 信息包括访问 Amazon S3 存储桶的信息、IP 地址和事件时间。 | |
| 3.1.1(h） | h）系统管理员、安全人员、程序员和执行关键操作的工作人员，由于其工作职能和特权访问权限，必然拥有对其维护或操作的金融系统造成严重破坏的能力。对拥有较高系统访问权限的人员应严加监管，并记录他们的所有系统活动，因为他们掌握内幕消息和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全实践：-对特权用户实施双因素身份验证-对特权用户的远程访问进行严格控制-限制特权用户的数量-在 “或 need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计日志-确保特权用户无法访问捕获其活动的系统日志-进行定期审计或管理审查of the logs-禁止共享特权 IDs 代码及其访问代码-禁止供应商和承包商在没有密切监督和监控的情况下获得对系统的特权访问权限以及 _ 保护备份数据免受未经授权的访问 | Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息（例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应）。 | |
| 3.1.1(h） | h）系统管理员、安全人员、程序员和执行关键操作的工作人员，由于其工作职能和特权访问权限，必然拥有对其维护或操作的金融系统造成严重破坏的能力。对拥有较高系统访问权限的人员应严加监管，并记录他们的所有系统活动，因为他们掌握内幕消息和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全实践：-对特权用户实施双因素身份验证-对特权用户的远程访问进行严格控制-限制特权用户的数量-在 “或 need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计日志-确保特权用户无法访问捕获其活动的系统日志-进行定期审计或管理审查of the logs-禁止共享特权 IDs 代码及其访问代码-禁止供应商和承包商在没有密切监督和监控的情况下获得对系统的特权访问权限以及 _ 保护备份数据免受未经授权的访问 | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，则会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | |
| 3.1.1(h） | h）系统管理员、安全人员、程序员和执行关键操作的工作人员，由于其工作职能和特权访问权限，必然拥有对其维护或操作的金融系统造成严重破坏的能力。对拥有较高系统访问权限的人员应严加监管，并记录他们的所有系统活动，因为他们掌握内幕消息和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全实践：-对特权用户实施双因素身份验证-对特权用户的远程访问进行严格控制-限制特权用户的数量-在 “或 need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计日志-确保特权用户无法访问捕获其活动的系统日志-进行定期审计或管理审查of the logs-禁止共享特权 IDs 代码及其访问代码-禁止供应商和承包商在没有密切监督和监控的情况下获得对系统的特权访问权限以及 _ 保护备份数据免受未经授权的访问 | Amazon Simple Storage Service（Amazon S3）服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | |
| 3.1.1(h） | h）系统管理员、安全人员、程序员和执行关键操作的工作人员，由于其工作职能和特权访问权限，必然拥有对其维护或操作的金融系统造成严重破坏的能力。对拥有较高系统访问权限的人员应严加监管，并记录他们的所有系统活动，因为他们掌握内幕消息和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全实践：-对特权用户实施双因素身份验证-对特权用户的远程访问进行严格控制-限制特权用户的数量-在 “或 need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计日志-确保特权用户无法访问捕获其活动的系统日志-进行定期审计或管理审查of the logs-禁止共享特权 IDs 代码及其访问代码-禁止供应商和承包商在没有密切监督和监控的情况下获得对系统的特权访问权限以及 _ 保护备份数据免受未经授权的访问 | VPC 流日志详细记录进出 Amazon Virtual Private Cloud（Amazon VPC）网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。 | |
| 3.1.1(h） | h）系统管理员、安全人员、程序员和执行关键操作的工作人员，由于其工作职能和特权访问权限，必然拥有对其维护或操作的金融系统造成严重破坏的能力。对拥有较高系统访问权限的人员应严加监管，并记录他们的所有系统活动，因为他们掌握内幕消息和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全实践：-对特权用户实施双因素身份验证-对特权用户的远程访问进行严格控制-限制特权用户的数量-在 “或 need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计日志-确保特权用户无法访问捕获其活动的系统日志-进行定期审计或管理审查of the logs-禁止共享特权 IDs 代码及其访问代码-禁止供应商和承包商在没有密切监督和监控的情况下获得对系统的特权访问权限以及 _ 保护备份数据免受未经授权的访问 | 确保为日志组保留事件日志数据的最短时间，以帮助进行故障排除和取证调查。缺乏过去的事件日志数据会让重建和识别潜在的恶意事件变得困难。 | |
| 3.1.1(h） | h）系统管理员、安全人员、程序员和执行关键操作的工作人员，由于其工作职能和特权访问权限，必然拥有对其维护或操作的金融系统造成严重破坏的能力。对拥有较高系统访问权限的人员应严加监管，并记录他们的所有系统活动，因为他们掌握内幕消息和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全实践：-对特权用户实施双因素身份验证-对特权用户的远程访问进行严格控制-限制特权用户的数量-在 “或 need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计日志-确保特权用户无法访问捕获其活动的系统日志-进行定期审计或管理审查of the logs-禁止共享特权 IDs 代码及其访问代码-禁止供应商和承包商在没有密切监督和监控的情况下获得对系统的特权访问权限以及 _ 保护备份数据免受未经授权的访问 | 为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service（Amazon RDS）日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。 | |
| 3.1.1(h） | h）系统管理员、安全人员、程序员和执行关键操作的工作人员，由于其工作职能和特权访问权限，必然拥有对其维护或操作的金融系统造成严重破坏的能力。对拥有较高系统访问权限的人员应严加监管，并记录他们的所有系统活动，因为他们掌握内幕消息和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全实践：-对特权用户实施双因素身份验证-对特权用户的远程访问进行严格控制-限制特权用户的数量-在 “或 need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计日志-确保特权用户无法访问捕获其活动的系统日志-进行定期审计或管理审查of the logs-禁止共享特权 IDs 代码及其访问代码-禁止供应商和承包商在没有密切监督和监控的情况下获得对系统的特权访问权限以及 _ 保护备份数据免受未经授权的访问 | 要帮助在您的环境中进行日志记录和监控，请在区域和全球 Web 上启用 AWS WAF (V2) 日志记录。 ACLs AWS WAF 日志记录提供有关您的 Web ACL 所分析的流量的详细信息。这些日志记录了 AWS WAF 从您的 AWS 资源收到请求的时间、有关请求的信息以及每个请求匹配的规则的操作。 | |
| 3.1.1(h） | h）系统管理员、安全人员、程序员和执行关键操作的工作人员，由于其工作职能和特权访问权限，必然拥有对其维护或操作的金融系统造成严重破坏的能力。对拥有较高系统访问权限的人员应严加监管，并记录他们的所有系统活动，因为他们掌握内幕消息和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全实践：-对特权用户实施双因素身份验证-对特权用户的远程访问进行严格控制-限制特权用户的数量-在 “或 need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计日志-确保特权用户无法访问捕获其活动的系统日志-进行定期审计或管理审查of the logs-禁止共享特权 IDs 代码及其访问代码-禁止供应商和承包商在没有密切监督和监控的情况下获得对系统的特权访问权限以及 _ 保护备份数据免受未经授权的访问 | 要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。 | |
| 3.1.1(h） | h）系统管理员、安全人员、程序员和执行关键操作的工作人员，由于其工作职能和特权访问权限，必然拥有对其维护或操作的金融系统造成严重破坏的能力。对拥有较高系统访问权限的人员应严加监管，并记录他们的所有系统活动，因为他们掌握内幕消息和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全实践：-对特权用户实施双因素身份验证-对特权用户的远程访问进行严格控制-限制特权用户的数量-在 “或 need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计日志-确保特权用户无法访问捕获其活动的系统日志-进行定期审计或管理审查of the logs-禁止共享特权 IDs 代码及其访问代码-禁止供应商和承包商在没有密切监督和监控的情况下获得对系统的特权访问权限以及 _ 保护备份数据免受未经授权的访问 | Organiz AWS ations AWS 账户 内部的集中管理有助于确保账户合规。缺乏集中式账户管理可能会导致账户配置不一致，从而可能泄露资源和敏感数据。 | |
| 3.1.1(h） | h）系统管理员、安全人员、程序员和执行关键操作的工作人员，由于其工作职能和特权访问权限，必然拥有对其维护或操作的金融系统造成严重破坏的能力。对拥有较高系统访问权限的人员应严加监管，并记录他们的所有系统活动，因为他们掌握内幕消息和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全实践：-对特权用户实施双因素身份验证-对特权用户的远程访问进行严格控制-限制特权用户的数量-在 “或 need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计日志-确保特权用户无法访问捕获其活动的系统日志-进行定期审计或管理审查of the logs-禁止共享特权 IDs 代码及其访问代码-禁止供应商和承包商在没有密切监督和监控的情况下获得对系统的特权访问权限以及 _ 保护备份数据免受未经授权的访问 | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对 AWS 所有密钥管理服务密钥的封锁操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。此规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践价值： kms:解密，）。 kms: ReEncryptFrom实际值应反映贵组织的策略 | |
| 3.1.1(h） | h）系统管理员、安全人员、程序员和执行关键操作的工作人员，由于其工作职能和特权访问权限，必然拥有对其维护或操作的金融系统造成严重破坏的能力。对拥有较高系统访问权限的人员应严加监管，并记录他们的所有系统活动，因为他们掌握内幕消息和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全实践：-对特权用户实施双因素身份验证-对特权用户的远程访问进行严格控制-限制特权用户的数量-在 “或 need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计日志-确保特权用户无法访问捕获其活动的系统日志-进行定期审计或管理审查of the logs-禁止共享特权 IDs 代码及其访问代码-禁止供应商和承包商在没有密切监督和监控的情况下获得对系统的特权访问权限以及 _ 保护备份数据免受未经授权的访问 | AWS Identity and Access Management (IAM) 可以确保 IAM 群组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。 | |
| 3.1.1(h） | h）系统管理员、安全人员、程序员和执行关键操作的工作人员，由于其工作职能和特权访问权限，必然拥有对其维护或操作的金融系统造成严重破坏的能力。对拥有较高系统访问权限的人员应严加监管，并记录他们的所有系统活动，因为他们掌握内幕消息和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全实践：-对特权用户实施双因素身份验证-对特权用户的远程访问进行严格控制-限制特权用户的数量-在 “或 need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计日志-确保特权用户无法访问捕获其活动的系统日志-进行定期审计或管理审查of the logs-禁止共享特权 IDs 代码及其访问代码-禁止供应商和承包商在没有密切监督和监控的情况下获得对系统的特权访问权限以及 _ 保护备份数据免受未经授权的访问 | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有允许对 AWS 所有密钥管理服务密钥执行阻止操作的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。此规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践价值： kms:解密，）。 kms: ReEncryptFrom实际值应反映贵组织的策略。 | |
| 3.1.1(h） | h）系统管理员、安全人员、程序员和执行关键操作的工作人员，由于其工作职能和特权访问权限，必然拥有对其维护或操作的金融系统造成严重破坏的能力。对拥有较高系统访问权限的人员应严加监管，并记录他们的所有系统活动，因为他们掌握内幕消息和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全实践：-对特权用户实施双因素身份验证-对特权用户的远程访问进行严格控制-限制特权用户的数量-在 “或 need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计日志-确保特权用户无法访问捕获其活动的系统日志-进行定期审计或管理审查of the logs-禁止共享特权 IDs 代码及其访问代码-禁止供应商和承包商在没有密切监督和监控的情况下获得对系统的特权访问权限以及 _ 保护备份数据免受未经授权的访问 | AWS 身份与访问管理 (IAM) Access Management 可通过确保用户至少属于一个群组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| 3.1.1(h） | h）系统管理员、安全人员、程序员和执行关键操作的工作人员，由于其工作职能和特权访问权限，必然拥有对其维护或操作的金融系统造成严重破坏的能力。对拥有较高系统访问权限的人员应严加监管，并记录他们的所有系统活动，因为他们掌握内幕消息和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全实践：-对特权用户实施双因素身份验证-对特权用户的远程访问进行严格控制-限制特权用户的数量-在 “或 need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计日志-确保特权用户无法访问捕获其活动的系统日志-进行定期审计或管理审查of the logs-禁止共享特权 IDs 代码及其访问代码-禁止供应商和承包商在没有密切监督和监控的情况下获得对系统的特权访问权限以及 _ 保护备份数据免受未经授权的访问 | EC2 实例配置文件将 IAM 角色传递给 EC2 实例。将实例配置文件附加到您的实例可以帮助实现最低权限和权限管理。 | |
| 3.1.1(h） | h）系统管理员、安全人员、程序员和执行关键操作的工作人员，由于其工作职能和特权访问权限，必然拥有对其维护或操作的金融系统造成严重破坏的能力。对拥有较高系统访问权限的人员应严加监管，并记录他们的所有系统活动，因为他们掌握内幕消息和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全实践：-对特权用户实施双因素身份验证-对特权用户的远程访问进行严格控制-限制特权用户的数量-在 “或 need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计日志-确保特权用户无法访问捕获其活动的系统日志-进行定期审计或管理审查of the logs-禁止共享特权 IDs 代码及其访问代码-禁止供应商和承包商在没有密切监督和监控的情况下获得对系统的特权访问权限以及 _ 保护备份数据免受未经授权的访问 | 确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| 3.1.1(h） | h）系统管理员、安全人员、程序员和执行关键操作的工作人员，由于其工作职能和特权访问权限，必然拥有对其维护或操作的金融系统造成严重破坏的能力。对拥有较高系统访问权限的人员应严加监管，并记录他们的所有系统活动，因为他们掌握内幕消息和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全实践：-对特权用户实施双因素身份验证-对特权用户的远程访问进行严格控制-限制特权用户的数量-在 “或 need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计日志-确保特权用户无法访问捕获其活动的系统日志-进行定期审计或管理审查of the logs-禁止共享特权 IDs 代码及其访问代码-禁止供应商和承包商在没有密切监督和监控的情况下获得对系统的特权访问权限以及 _ 保护备份数据免受未经授权的访问 | 如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。 | |
| 3.1.1(h） | h）系统管理员、安全人员、程序员和执行关键操作的工作人员，由于其工作职能和特权访问权限，必然拥有对其维护或操作的金融系统造成严重破坏的能力。对拥有较高系统访问权限的人员应严加监管，并记录他们的所有系统活动，因为他们掌握内幕消息和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全实践：-对特权用户实施双因素身份验证-对特权用户的远程访问进行严格控制-限制特权用户的数量-在 “或 need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计日志-确保特权用户无法访问捕获其活动的系统日志-进行定期审计或管理审查of the logs-禁止共享特权 IDs 代码及其访问代码-禁止供应商和承包商在没有密切监督和监控的情况下获得对系统的特权访问权限以及 _ 保护备份数据免受未经授权的访问 | 确保 Amazon S OpenSearch ervice 域已启用错误日志，并将其流式传输到 Amazon CloudWatch Logs 以进行保留和响应。域错误日志可以帮助进行安全和访问审核，还可以帮助诊断可用性问题。 | |
| 3.1.1(h） | h）系统管理员、安全人员、程序员和执行关键操作的工作人员，由于其工作职能和特权访问权限，必然拥有对其维护或操作的金融系统造成严重破坏的能力。对拥有较高系统访问权限的人员应严加监管，并记录他们的所有系统活动，因为他们掌握内幕消息和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全实践：-对特权用户实施双因素身份验证-对特权用户的远程访问进行严格控制-限制特权用户的数量-在 “或 need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计日志-确保特权用户无法访问捕获其活动的系统日志-进行定期审计或管理审查of the logs-禁止共享特权 IDs 代码及其访问代码-禁止供应商和承包商在没有密切监督和监控的情况下获得对系统的特权访问权限以及 _ 保护备份数据免受未经授权的访问 | 确保 Amazon S OpenSearch ervice 域已启用错误日志，并将其流式传输到 Amazon CloudWatch Logs 以进行保留和响应。 OpenSearch 服务错误日志可以帮助进行安全和访问审计，还可以帮助诊断可用性问题。 | |
| 3.1.1(h） | h）系统管理员、安全人员、程序员和执行关键操作的工作人员，由于其工作职能和特权访问权限，必然拥有对其维护或操作的金融系统造成严重破坏的能力。对拥有较高系统访问权限的人员应严加监管，并记录他们的所有系统活动，因为他们掌握内幕消息和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全实践：-对特权用户实施双因素身份验证-对特权用户的远程访问进行严格控制-限制特权用户的数量-在 “或 need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计日志-确保特权用户无法访问捕获其活动的系统日志-进行定期审计或管理审查of the logs-禁止共享特权 IDs 代码及其访问代码-禁止供应商和承包商在没有密切监督和监控的情况下获得对系统的特权访问权限以及 _ 保护备份数据免受未经授权的访问 | 确保为 Amazon Relational Database Service（Amazon RDS）快照启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| 3.1.1(h） | h）系统管理员、安全人员、程序员和执行关键操作的工作人员，由于其工作职能和特权访问权限，必然拥有对其维护或操作的金融系统造成严重破坏的能力。对拥有较高系统访问权限的人员应严加监管，并记录他们的所有系统活动，因为他们掌握内幕消息和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全实践：-对特权用户实施双因素身份验证-对特权用户的远程访问进行严格控制-限制特权用户的数量-在 “或 need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计日志-确保特权用户无法访问捕获其活动的系统日志-进行定期审计或管理审查of the logs-禁止共享特权 IDs 代码及其访问代码-禁止供应商和承包商在没有密切监督和监控的情况下获得对系统的特权访问权限以及 _ 保护备份数据免受未经授权的访问 | 为了帮助保护静态数据，请确保您的 Amazon Relational Database Service（Amazon RDS）实例启用了加密。由于 Amazon RDS 实例中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| 3.1.1(h） | h）系统管理员、安全人员、程序员和执行关键操作的工作人员，由于其工作职能和特权访问权限，必然拥有对其维护或操作的金融系统造成严重破坏的能力。对拥有较高系统访问权限的人员应严加监管，并记录他们的所有系统活动，因为他们掌握内幕消息和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全实践：-对特权用户实施双因素身份验证-对特权用户的远程访问进行严格控制-限制特权用户的数量-在 “或 need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计日志-确保特权用户无法访问捕获其活动的系统日志-进行定期审计或管理审查of the logs-禁止共享特权 IDs 代码及其访问代码-禁止供应商和承包商在没有密切监督和监控的情况下获得对系统的特权访问权限以及 _ 保护备份数据免受未经授权的访问 | 为了帮助保护静态数据，请确保为您的 Amazon Elastic Block Store（Amazon EBS）卷启用加密。由于这些卷中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| 3.1.1(h） | h）系统管理员、安全人员、程序员和执行关键操作的工作人员，由于其工作职能和特权访问权限，必然拥有对其维护或操作的金融系统造成严重破坏的能力。对拥有较高系统访问权限的人员应严加监管，并记录他们的所有系统活动，因为他们掌握内幕消息和资源，可以规避系统控制和安全程序。需要考虑下面列举的一些控制和安全实践：-对特权用户实施双因素身份验证-对特权用户的远程访问进行严格控制-限制特权用户的数量-在 “或 need-to-haveneed-to-do” 的基础上授予特权访问权限-维护特权用户执行的系统活动的审计日志-确保特权用户无法访问捕获其活动的系统日志-进行定期审计或管理审查of the logs-禁止共享特权 IDs 代码及其访问代码-禁止供应商和承包商在没有密切监督和监控的情况下获得对系统的特权访问权限以及 _ 保护备份数据免受未经授权的访问 | 由于可能存在敏感数据，并且为了帮助保护静态数据，请确保为您的 Amazon Elastic File System（EFS）启用加密。 | |
| 3.1.2(a） | a）BFI 应在其 IT 基础设施的关键节点安装网络安全设备，如防火墙、防病毒/防恶意软件以及入侵检测和防御系统，以保护网络外围。 | 确保在弹性负载均衡器 (ELB) 上启用 AWS WAF，以帮助保护 Web 应用程序。WAF 有助于保护您的 Web 应用程序或 APIs 免受常见的 Web 漏洞攻击。这些 Web 漏洞可能会影响可用性、损害安全性或消耗环境中过多的资源。 | |
| 3.1.2(a） | a）BFI 应在其 IT 基础设施的关键节点安装网络安全设备，如防火墙、防病毒/防恶意软件以及入侵检测和防御系统，以保护网络外围。 | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IPs 和机器学习列表，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | |
| 3.1.2(a） | a）BFI 应在其 IT 基础设施的关键节点安装网络安全设备，如防火墙、防病毒/防恶意软件以及入侵检测和防御系统，以保护网络外围。 | AWS WAF 允许您配置一组规则（称为 Web 访问控制列表 (Web ACL)），这些规则根据您定义的可自定义 Web 安全规则和条件允许、阻止或计数 Web 请求。确保您的 Amazon API Gateway 阶段与某个 WAF Web ACL 关联，以保护其免受恶意攻击 | |
| 3.1.2(c） | c）应实施控制措施，确保网络中信息的安全，并保护联网服务免遭未经授权的访问。特别是，应考虑以下各项：- 应制定管理网络设备的责任和程序 - 在适当情况下，网络的运营责任应与计算机操作分开 - 应制定特别的控制措施，来保障通过公共网络或无线网络传递的数据的保密性和完整性，并保护所连接的系统和应用程序（在连接到不受信任的系统/网络时，还包括网络加密协议）。- 应进行适当的记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作 - 应密切协调管理活动，以优化为组织提供的服务，并确保在整个信息处理基础设施中始终如一地实施控制措施 - 网络上的系统应经过身份验证 - 应限制不受信任的系统与网络的连接 | 通过确保 X509 证书由 ACM 颁发，确保网络完整性得到保护。 AWS 这些证书必须有效且未过期。此规则需要一个值 daysToExpiration （AWS 基础安全最佳实践值：90）。实际值应反映贵组织的策略。 | |
| 3.1.2(c） | c）应实施控制措施，确保网络中信息的安全，并保护联网服务免遭未经授权的访问。特别是，应考虑以下各项：- 应制定管理网络设备的责任和程序 - 在适当情况下，网络的运营责任应与计算机操作分开 - 应制定特别的控制措施，来保障通过公共网络或无线网络传递的数据的保密性和完整性，并保护所连接的系统和应用程序（在连接到不受信任的系统/网络时，还包括网络加密协议）。- 应进行适当的记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作 - 应密切协调管理活动，以优化为组织提供的服务，并确保在整个信息处理基础设施中始终如一地实施控制措施 - 网络上的系统应经过身份验证 - 应限制不受信任的系统与网络的连接 | 为帮助保护传输中的数据，请确保应用负载均衡器自动将未加密的 HTTP 请求重定向到 HTTPS。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| 3.1.2(c） | c）应实施控制措施，确保网络中信息的安全，并保护联网服务免遭未经授权的访问。特别是，应考虑以下各项：- 应制定管理网络设备的责任和程序 - 在适当情况下，网络的运营责任应与计算机操作分开 - 应制定特别的控制措施，来保障通过公共网络或无线网络传递的数据的保密性和完整性，并保护所连接的系统和应用程序（在连接到不受信任的系统/网络时，还包括网络加密协议）。- 应进行适当的记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作 - 应密切协调管理活动，以优化为组织提供的服务，并确保在整个信息处理基础设施中始终如一地实施控制措施 - 网络上的系统应经过身份验证 - 应限制不受信任的系统与网络的连接 | 由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certifice Manager 通过 AWS 服务和内部资源管理、配置和部署公有和私有 SSL/TLS 证书。 | |
| 3.1.2(c） | c）应实施控制措施，确保网络中信息的安全，并保护联网服务免遭未经授权的访问。特别是，应考虑以下各项：- 应制定管理网络设备的责任和程序 - 在适当情况下，网络的运营责任应与计算机操作分开 - 应制定特别的控制措施，来保障通过公共网络或无线网络传递的数据的保密性和完整性，并保护所连接的系统和应用程序（在连接到不受信任的系统/网络时，还包括网络加密协议）。- 应进行适当的记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作 - 应密切协调管理活动，以优化为组织提供的服务，并确保在整个信息处理基础设施中始终如一地实施控制措施 - 网络上的系统应经过身份验证 - 应限制不受信任的系统与网络的连接 | 确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接 SQL 客户端。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| 3.1.2(c） | c）应实施控制措施，确保网络中信息的安全，并保护联网服务免遭未经授权的访问。特别是，应考虑以下各项：- 应制定管理网络设备的责任和程序 - 在适当情况下，网络的运营责任应与计算机操作分开 - 应制定特别的控制措施，来保障通过公共网络或无线网络传递的数据的保密性和完整性，并保护所连接的系统和应用程序（在连接到不受信任的系统/网络时，还包括网络加密协议）。- 应进行适当的记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作 - 应密切协调管理活动，以优化为组织提供的服务，并确保在整个信息处理基础设施中始终如一地实施控制措施 - 网络上的系统应经过身份验证 - 应限制不受信任的系统与网络的连接 | 为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service（Amazon S3）存储桶需要请求使用安全套接字层（SSL）。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| 3.1.2(c） | c）应实施控制措施，确保网络中信息的安全，并保护联网服务免遭未经授权的访问。特别是，应考虑以下各项：- 应制定管理网络设备的责任和程序 - 在适当情况下，网络的运营责任应与计算机操作分开 - 应制定特别的控制措施，来保障通过公共网络或无线网络传递的数据的保密性和完整性，并保护所连接的系统和应用程序（在连接到不受信任的系统/网络时，还包括网络加密协议）。- 应进行适当的记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作 - 应密切协调管理活动，以优化为组织提供的服务，并确保在整个信息处理基础设施中始终如一地实施控制措施 - 网络上的系统应经过身份验证 - 应限制不受信任的系统与网络的连接 | 确保您的 Elastic Load Balancers（ELB）已配置为丢弃 http 标头。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| 3.1.2(c） | c）应实施控制措施，确保网络中信息的安全，并保护联网服务免遭未经授权的访问。特别是，应考虑以下各项：- 应制定管理网络设备的责任和程序 - 在适当情况下，网络的运营责任应与计算机操作分开 - 应制定特别的控制措施，来保障通过公共网络或无线网络传递的数据的保密性和完整性，并保护所连接的系统和应用程序（在连接到不受信任的系统/网络时，还包括网络加密协议）。- 应进行适当的记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作 - 应密切协调管理活动，以优化为组织提供的服务，并确保在整个信息处理基础设施中始终如一地实施控制措施 - 网络上的系统应经过身份验证 - 应限制不受信任的系统与网络的连接 | 确保启用了 Amazon OpenSearch 服务的 node-to-node加密。 Node-to-node加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| 3.1.2(c） | c）应实施控制措施，确保网络中信息的安全，并保护联网服务免遭未经授权的访问。特别是，应考虑以下各项：- 应制定管理网络设备的责任和程序 - 在适当情况下，网络的运营责任应与计算机操作分开 - 应制定特别的控制措施，来保障通过公共网络或无线网络传递的数据的保密性和完整性，并保护所连接的系统和应用程序（在连接到不受信任的系统/网络时，还包括网络加密协议）。- 应进行适当的记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作 - 应密切协调管理活动，以优化为组织提供的服务，并确保在整个信息处理基础设施中始终如一地实施控制措施 - 网络上的系统应经过身份验证 - 应限制不受信任的系统与网络的连接 | 确保启用了 Amazon OpenSearch 服务的 node-to-node加密。 Node-to-node加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| 3.1.2(c） | c）应实施控制措施，确保网络中信息的安全，并保护联网服务免遭未经授权的访问。特别是，应考虑以下各项：- 应制定管理网络设备的责任和程序 - 在适当情况下，网络的运营责任应与计算机操作分开 - 应制定特别的控制措施，来保障通过公共网络或无线网络传递的数据的保密性和完整性，并保护所连接的系统和应用程序（在连接到不受信任的系统/网络时，还包括网络加密协议）。- 应进行适当的记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作 - 应密切协调管理活动，以优化为组织提供的服务，并确保在整个信息处理基础设施中始终如一地实施控制措施 - 网络上的系统应经过身份验证 - 应限制不受信任的系统与网络的连接 | 确保您的弹性负载均衡器 (ELBs) 配置了 SSL 或 HTTPS 侦听器。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| 3.1.2(c） | c）应实施控制措施，确保网络中信息的安全，并保护联网服务免遭未经授权的访问。特别是，应考虑以下各项：- 应制定管理网络设备的责任和程序 - 在适当情况下，网络的运营责任应与计算机操作分开 - 应制定特别的控制措施，来保障通过公共网络或无线网络传递的数据的保密性和完整性，并保护所连接的系统和应用程序（在连接到不受信任的系统/网络时，还包括网络加密协议）。- 应进行适当的记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作 - 应密切协调管理活动，以优化为组织提供的服务，并确保在整个信息处理基础设施中始终如一地实施控制措施 - 网络上的系统应经过身份验证 - 应限制不受信任的系统与网络的连接 | API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。 | |
| 3.1.2(c） | c）应实施控制措施，确保网络中信息的安全，并保护联网服务免遭未经授权的访问。特别是，应考虑以下各项：- 应制定管理网络设备的责任和程序 - 在适当情况下，网络的运营责任应与计算机操作分开 - 应制定特别的控制措施，来保障通过公共网络或无线网络传递的数据的保密性和完整性，并保护所连接的系统和应用程序（在连接到不受信任的系统/网络时，还包括网络加密协议）。- 应进行适当的记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作 - 应密切协调管理活动，以优化为组织提供的服务，并确保在整个信息处理基础设施中始终如一地实施控制措施 - 网络上的系统应经过身份验证 - 应限制不受信任的系统与网络的连接 | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您内部的 API 调用活动的详细信息 AWS 账户。 | |
| 3.1.2(c） | c）应实施控制措施，确保网络中信息的安全，并保护联网服务免遭未经授权的访问。特别是，应考虑以下各项：- 应制定管理网络设备的责任和程序 - 在适当情况下，网络的运营责任应与计算机操作分开 - 应制定特别的控制措施，来保障通过公共网络或无线网络传递的数据的保密性和完整性，并保护所连接的系统和应用程序（在连接到不受信任的系统/网络时，还包括网络加密协议）。- 应进行适当的记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作 - 应密切协调管理活动，以优化为组织提供的服务，并确保在整个信息处理基础设施中始终如一地实施控制措施 - 网络上的系统应经过身份验证 - 应限制不受信任的系统与网络的连接 | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。 | |
| 3.1.2(c） | c）应实施控制措施，确保网络中信息的安全，并保护联网服务免遭未经授权的访问。特别是，应考虑以下各项：- 应制定管理网络设备的责任和程序 - 在适当情况下，网络的运营责任应与计算机操作分开 - 应制定特别的控制措施，来保障通过公共网络或无线网络传递的数据的保密性和完整性，并保护所连接的系统和应用程序（在连接到不受信任的系统/网络时，还包括网络加密协议）。- 应进行适当的记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作 - 应密切协调管理活动，以优化为组织提供的服务，并确保在整个信息处理基础设施中始终如一地实施控制措施 - 网络上的系统应经过身份验证 - 应限制不受信任的系统与网络的连接 | 收集 Simple Storage Service（Amazon S3）数据事件有助于检测任何异常活动。详细 AWS 账户 信息包括访问 Amazon S3 存储桶的信息、IP 地址和事件时间。 | |
| 3.1.2(c） | c）应实施控制措施，确保网络中信息的安全，并保护联网服务免遭未经授权的访问。特别是，应考虑以下各项：- 应制定管理网络设备的责任和程序 - 在适当情况下，网络的运营责任应与计算机操作分开 - 应制定特别的控制措施，来保障通过公共网络或无线网络传递的数据的保密性和完整性，并保护所连接的系统和应用程序（在连接到不受信任的系统/网络时，还包括网络加密协议）。- 应进行适当的记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作 - 应密切协调管理活动，以优化为组织提供的服务，并确保在整个信息处理基础设施中始终如一地实施控制措施 - 网络上的系统应经过身份验证 - 应限制不受信任的系统与网络的连接 | 当某个指标在指定数量的评估周期内突破阈值时，Amazon 会发出 CloudWatch 警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （配置默认值：True）、 insufficientDataAction必填项（配置默认值：True）、 okActionRequired （配置默认值：False）的值。实际值应反映您的环境的警报操作。 | |
| 3.1.2(c） | c）应实施控制措施，确保网络中信息的安全，并保护联网服务免遭未经授权的访问。特别是，应考虑以下各项：- 应制定管理网络设备的责任和程序 - 在适当情况下，网络的运营责任应与计算机操作分开 - 应制定特别的控制措施，来保障通过公共网络或无线网络传递的数据的保密性和完整性，并保护所连接的系统和应用程序（在连接到不受信任的系统/网络时，还包括网络加密协议）。- 应进行适当的记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作 - 应密切协调管理活动，以优化为组织提供的服务，并确保在整个信息处理基础设施中始终如一地实施控制措施 - 网络上的系统应经过身份验证 - 应限制不受信任的系统与网络的连接 | Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息（例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应）。 | |
| 3.1.2(c） | c）应实施控制措施，确保网络中信息的安全，并保护联网服务免遭未经授权的访问。特别是，应考虑以下各项：- 应制定管理网络设备的责任和程序 - 在适当情况下，网络的运营责任应与计算机操作分开 - 应制定特别的控制措施，来保障通过公共网络或无线网络传递的数据的保密性和完整性，并保护所连接的系统和应用程序（在连接到不受信任的系统/网络时，还包括网络加密协议）。- 应进行适当的记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作 - 应密切协调管理活动，以优化为组织提供的服务，并确保在整个信息处理基础设施中始终如一地实施控制措施 - 网络上的系统应经过身份验证 - 应限制不受信任的系统与网络的连接 | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IPs 和机器学习列表，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | |
| 3.1.2(c） | c）应实施控制措施，确保网络中信息的安全，并保护联网服务免遭未经授权的访问。特别是，应考虑以下各项：- 应制定管理网络设备的责任和程序 - 在适当情况下，网络的运营责任应与计算机操作分开 - 应制定特别的控制措施，来保障通过公共网络或无线网络传递的数据的保密性和完整性，并保护所连接的系统和应用程序（在连接到不受信任的系统/网络时，还包括网络加密协议）。- 应进行适当的记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作 - 应密切协调管理活动，以优化为组织提供的服务，并确保在整个信息处理基础设施中始终如一地实施控制措施 - 网络上的系统应经过身份验证 - 应限制不受信任的系统与网络的连接 | 启用此规则有助于在功能发生故障时通过 Amazon Simple Queue Service（Amazon SQS）或 Amazon Simple Notification Service（Amazon SNS）通知相关人员。 | |
| 3.1.2(c） | c）应实施控制措施，确保网络中信息的安全，并保护联网服务免遭未经授权的访问。特别是，应考虑以下各项：- 应制定管理网络设备的责任和程序 - 在适当情况下，网络的运营责任应与计算机操作分开 - 应制定特别的控制措施，来保障通过公共网络或无线网络传递的数据的保密性和完整性，并保护所连接的系统和应用程序（在连接到不受信任的系统/网络时，还包括网络加密协议）。- 应进行适当的记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作 - 应密切协调管理活动，以优化为组织提供的服务，并确保在整个信息处理基础设施中始终如一地实施控制措施 - 网络上的系统应经过身份验证 - 应限制不受信任的系统与网络的连接 | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，则会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | |
| 3.1.2(c） | c）应实施控制措施，确保网络中信息的安全，并保护联网服务免遭未经授权的访问。特别是，应考虑以下各项：- 应制定管理网络设备的责任和程序 - 在适当情况下，网络的运营责任应与计算机操作分开 - 应制定特别的控制措施，来保障通过公共网络或无线网络传递的数据的保密性和完整性，并保护所连接的系统和应用程序（在连接到不受信任的系统/网络时，还包括网络加密协议）。- 应进行适当的记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作 - 应密切协调管理活动，以优化为组织提供的服务，并确保在整个信息处理基础设施中始终如一地实施控制措施 - 网络上的系统应经过身份验证 - 应限制不受信任的系统与网络的连接 | Amazon Simple Storage Service（Amazon S3）服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | |
| 3.1.2(c） | c）应实施控制措施，确保网络中信息的安全，并保护联网服务免遭未经授权的访问。特别是，应考虑以下各项：- 应制定管理网络设备的责任和程序 - 在适当情况下，网络的运营责任应与计算机操作分开 - 应制定特别的控制措施，来保障通过公共网络或无线网络传递的数据的保密性和完整性，并保护所连接的系统和应用程序（在连接到不受信任的系统/网络时，还包括网络加密协议）。- 应进行适当的记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作 - 应密切协调管理活动，以优化为组织提供的服务，并确保在整个信息处理基础设施中始终如一地实施控制措施 - 网络上的系统应经过身份验证 - 应限制不受信任的系统与网络的连接 | AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。 AWS Security Hub 汇总、整理来自多个服务的安全警报或发现，并对其进行优先排序。 AWS 其中一些服务包括Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS 身份和访问管理 (IAM) Access Analyzer、Firewall Manager 以及 AWS 合作伙伴解决方案。 AWS | |
| 3.1.2(c） | c）应实施控制措施，确保网络中信息的安全，并保护联网服务免遭未经授权的访问。特别是，应考虑以下各项：- 应制定管理网络设备的责任和程序 - 在适当情况下，网络的运营责任应与计算机操作分开 - 应制定特别的控制措施，来保障通过公共网络或无线网络传递的数据的保密性和完整性，并保护所连接的系统和应用程序（在连接到不受信任的系统/网络时，还包括网络加密协议）。- 应进行适当的记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作 - 应密切协调管理活动，以优化为组织提供的服务，并确保在整个信息处理基础设施中始终如一地实施控制措施 - 网络上的系统应经过身份验证 - 应限制不受信任的系统与网络的连接 | 为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service（Amazon RDS）日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。 | |
| 3.1.2(c） | c）应实施控制措施，确保网络中信息的安全，并保护联网服务免遭未经授权的访问。特别是，应考虑以下各项：- 应制定管理网络设备的责任和程序 - 在适当情况下，网络的运营责任应与计算机操作分开 - 应制定特别的控制措施，来保障通过公共网络或无线网络传递的数据的保密性和完整性，并保护所连接的系统和应用程序（在连接到不受信任的系统/网络时，还包括网络加密协议）。- 应进行适当的记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作 - 应密切协调管理活动，以优化为组织提供的服务，并确保在整个信息处理基础设施中始终如一地实施控制措施 - 网络上的系统应经过身份验证 - 应限制不受信任的系统与网络的连接 | 要帮助在您的环境中进行日志记录和监控，请在区域和全球 Web 上启用 AWS WAF (V2) 日志记录。 ACLs AWS WAF 日志记录提供有关您的 Web ACL 所分析的流量的详细信息。这些日志记录了 AWS WAF 从您的 AWS 资源收到请求的时间、有关请求的信息以及每个请求匹配的规则的操作。 | |
| 3.1.2(c） | c）应实施控制措施，确保网络中信息的安全，并保护联网服务免遭未经授权的访问。特别是，应考虑以下各项：- 应制定管理网络设备的责任和程序 - 在适当情况下，网络的运营责任应与计算机操作分开 - 应制定特别的控制措施，来保障通过公共网络或无线网络传递的数据的保密性和完整性，并保护所连接的系统和应用程序（在连接到不受信任的系统/网络时，还包括网络加密协议）。- 应进行适当的记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作 - 应密切协调管理活动，以优化为组织提供的服务，并确保在整个信息处理基础设施中始终如一地实施控制措施 - 网络上的系统应经过身份验证 - 应限制不受信任的系统与网络的连接 | 要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。 | |
| 3.1.2(c） | c）应实施控制措施，确保网络中信息的安全，并保护联网服务免遭未经授权的访问。特别是，应考虑以下各项：- 应制定管理网络设备的责任和程序 - 在适当情况下，网络的运营责任应与计算机操作分开 - 应制定特别的控制措施，来保障通过公共网络或无线网络传递的数据的保密性和完整性，并保护所连接的系统和应用程序（在连接到不受信任的系统/网络时，还包括网络加密协议）。- 应进行适当的记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作 - 应密切协调管理活动，以优化为组织提供的服务，并确保在整个信息处理基础设施中始终如一地实施控制措施 - 网络上的系统应经过身份验证 - 应限制不受信任的系统与网络的连接 | 通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问权限。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| 3.1.2(c） | c）应实施控制措施，确保网络中信息的安全，并保护联网服务免遭未经授权的访问。特别是，应考虑以下各项：- 应制定管理网络设备的责任和程序 - 在适当情况下，网络的运营责任应与计算机操作分开 - 应制定特别的控制措施，来保障通过公共网络或无线网络传递的数据的保密性和完整性，并保护所连接的系统和应用程序（在连接到不受信任的系统/网络时，还包括网络加密协议）。- 应进行适当的记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作 - 应密切协调管理活动，以优化为组织提供的服务，并确保在整个信息处理基础设施中始终如一地实施控制措施 - 网络上的系统应经过身份验证 - 应限制不受信任的系统与网络的连接 | 通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问权限。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| 3.1.2(c） | c）应实施控制措施，确保网络中信息的安全，并保护联网服务免遭未经授权的访问。特别是，应考虑以下各项：- 应制定管理网络设备的责任和程序 - 在适当情况下，网络的运营责任应与计算机操作分开 - 应制定特别的控制措施，来保障通过公共网络或无线网络传递的数据的保密性和完整性，并保护所连接的系统和应用程序（在连接到不受信任的系统/网络时，还包括网络加密协议）。- 应进行适当的记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作 - 应密切协调管理活动，以优化为组织提供的服务，并确保在整个信息处理基础设施中始终如一地实施控制措施 - 网络上的系统应经过身份验证 - 应限制不受信任的系统与网络的连接 | 通过确保无法公开访问亚马逊弹性计算云 (Amazon EC2) 实例来管理对云的访问。 AWS Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| 3.1.2(c） | c）应实施控制措施，确保网络中信息的安全，并保护联网服务免遭未经授权的访问。特别是，应考虑以下各项：- 应制定管理网络设备的责任和程序 - 在适当情况下，网络的运营责任应与计算机操作分开 - 应制定特别的控制措施，来保障通过公共网络或无线网络传递的数据的保密性和完整性，并保护所连接的系统和应用程序（在连接到不受信任的系统/网络时，还包括网络加密协议）。- 应进行适当的记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作 - 应密切协调管理活动，以优化为组织提供的服务，并确保在整个信息处理基础设施中始终如一地实施控制措施 - 网络上的系统应经过身份验证 - 应限制不受信任的系统与网络的连接 | 通过确保亚马逊 OpenSearch 服务（OpenSearch 服务）域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。Amazon VPC 中的 OpenSearch 服务域可实现 OpenSearch 服务与 Amazon VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。 | |
| 3.1.2(c） | c）应实施控制措施，确保网络中信息的安全，并保护联网服务免遭未经授权的访问。特别是，应考虑以下各项：- 应制定管理网络设备的责任和程序 - 在适当情况下，网络的运营责任应与计算机操作分开 - 应制定特别的控制措施，来保障通过公共网络或无线网络传递的数据的保密性和完整性，并保护所连接的系统和应用程序（在连接到不受信任的系统/网络时，还包括网络加密协议）。- 应进行适当的记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作 - 应密切协调管理活动，以优化为组织提供的服务，并确保在整个信息处理基础设施中始终如一地实施控制措施 - 网络上的系统应经过身份验证 - 应限制不受信任的系统与网络的连接 | 通过确保亚马逊 OpenSearch 服务域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。亚马逊 VPC 内的亚马逊 OpenSearch 服务域可实现亚马逊 OpenSearch 服务与亚马逊 VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。 | |
| 3.1.2(c） | c）应实施控制措施，确保网络中信息的安全，并保护联网服务免遭未经授权的访问。特别是，应考虑以下各项：- 应制定管理网络设备的责任和程序 - 在适当情况下，网络的运营责任应与计算机操作分开 - 应制定特别的控制措施，来保障通过公共网络或无线网络传递的数据的保密性和完整性，并保护所连接的系统和应用程序（在连接到不受信任的系统/网络时，还包括网络加密协议）。- 应进行适当的记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作 - 应密切协调管理活动，以优化为组织提供的服务，并确保在整个信息处理基础设施中始终如一地实施控制措施 - 网络上的系统应经过身份验证 - 应限制不受信任的系统与网络的连接 | 通过确保无法公开访问 Amazon EMR 集群主节点来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| 3.1.2(c） | c）应实施控制措施，确保网络中信息的安全，并保护联网服务免遭未经授权的访问。特别是，应考虑以下各项：- 应制定管理网络设备的责任和程序 - 在适当情况下，网络的运营责任应与计算机操作分开 - 应制定特别的控制措施，来保障通过公共网络或无线网络传递的数据的保密性和完整性，并保护所连接的系统和应用程序（在连接到不受信任的系统/网络时，还包括网络加密协议）。- 应进行适当的记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作 - 应密切协调管理活动，以优化为组织提供的服务，并确保在整个信息处理基础设施中始终如一地实施控制措施 - 网络上的系统应经过身份验证 - 应限制不受信任的系统与网络的连接 | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。 | |
| 3.1.2(c） | c）应实施控制措施，确保网络中信息的安全，并保护联网服务免遭未经授权的访问。特别是，应考虑以下各项：- 应制定管理网络设备的责任和程序 - 在适当情况下，网络的运营责任应与计算机操作分开 - 应制定特别的控制措施，来保障通过公共网络或无线网络传递的数据的保密性和完整性，并保护所连接的系统和应用程序（在连接到不受信任的系统/网络时，还包括网络加密协议）。- 应进行适当的记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作 - 应密切协调管理活动，以优化为组织提供的服务，并确保在整个信息处理基础设施中始终如一地实施控制措施 - 网络上的系统应经过身份验证 - 应限制不受信任的系统与网络的连接 | 在 Amazon Virtual Private Cloud（Amazon VPC）内部署 Amazon Elastic Compute Cloud（Amazon EC2）实例，以实现实例与 Amazon VPC 内其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。 | |
| 3.1.2(c） | c）应实施控制措施，确保网络中信息的安全，并保护联网服务免遭未经授权的访问。特别是，应考虑以下各项：- 应制定管理网络设备的责任和程序 - 在适当情况下，网络的运营责任应与计算机操作分开 - 应制定特别的控制措施，来保障通过公共网络或无线网络传递的数据的保密性和完整性，并保护所连接的系统和应用程序（在连接到不受信任的系统/网络时，还包括网络加密协议）。- 应进行适当的记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作 - 应密切协调管理活动，以优化为组织提供的服务，并确保在整个信息处理基础设施中始终如一地实施控制措施 - 网络上的系统应经过身份验证 - 应限制不受信任的系统与网络的连接 | 通过确保互联网网关仅连接到授权的亚马逊虚拟私有 AWS 云（Amazon VPC），来管理对云中资源的访问。互联网网关允许进出 Amazon VPC 的双向互联网访问，这可能会导致未经授权访问 Amazon VPC 资源。 | |
| 3.1.2(c） | c）应实施控制措施，确保网络中信息的安全，并保护联网服务免遭未经授权的访问。特别是，应考虑以下各项：- 应制定管理网络设备的责任和程序 - 在适当情况下，网络的运营责任应与计算机操作分开 - 应制定特别的控制措施，来保障通过公共网络或无线网络传递的数据的保密性和完整性，并保护所连接的系统和应用程序（在连接到不受信任的系统/网络时，还包括网络加密协议）。- 应进行适当的记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作 - 应密切协调管理活动，以优化为组织提供的服务，并确保在整个信息处理基础设施中始终如一地实施控制措施 - 网络上的系统应经过身份验证 - 应限制不受信任的系统与网络的连接 | 通过确保无法公开访问 AWS Lambda 函数来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。 | |
| 3.1.2(c） | c）应实施控制措施，确保网络中信息的安全，并保护联网服务免遭未经授权的访问。特别是，应考虑以下各项：- 应制定管理网络设备的责任和程序 - 在适当情况下，网络的运营责任应与计算机操作分开 - 应制定特别的控制措施，来保障通过公共网络或无线网络传递的数据的保密性和完整性，并保护所连接的系统和应用程序（在连接到不受信任的系统/网络时，还包括网络加密协议）。- 应进行适当的记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作 - 应密切协调管理活动，以优化为组织提供的服务，并确保在整个信息处理基础设施中始终如一地实施控制措施 - 网络上的系统应经过身份验证 - 应限制不受信任的系统与网络的连接 | 在亚马逊虚拟私有云（亚马逊 VPC）中部署 AWS Lambda 函数，以便在亚马逊 VPC 内的函数与其他服务之间进行安全通信。使用此配置时，不需要互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。为了正确管理访问权限，应 AWS 将 Lambda 函数分配给 VPC。 | |
| 3.1.2(c） | c）应实施控制措施，确保网络中信息的安全，并保护联网服务免遭未经授权的访问。特别是，应考虑以下各项：- 应制定管理网络设备的责任和程序 - 在适当情况下，网络的运营责任应与计算机操作分开 - 应制定特别的控制措施，来保障通过公共网络或无线网络传递的数据的保密性和完整性，并保护所连接的系统和应用程序（在连接到不受信任的系统/网络时，还包括网络加密协议）。- 应进行适当的记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作 - 应密切协调管理活动，以优化为组织提供的服务，并确保在整个信息处理基础设施中始终如一地实施控制措施 - 网络上的系统应经过身份验证 - 应限制不受信任的系统与网络的连接 | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| 3.1.2(c） | c）应实施控制措施，确保网络中信息的安全，并保护联网服务免遭未经授权的访问。特别是，应考虑以下各项：- 应制定管理网络设备的责任和程序 - 在适当情况下，网络的运营责任应与计算机操作分开 - 应制定特别的控制措施，来保障通过公共网络或无线网络传递的数据的保密性和完整性，并保护所连接的系统和应用程序（在连接到不受信任的系统/网络时，还包括网络加密协议）。- 应进行适当的记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作 - 应密切协调管理活动，以优化为组织提供的服务，并确保在整个信息处理基础设施中始终如一地实施控制措施 - 网络上的系统应经过身份验证 - 应限制不受信任的系统与网络的连接 | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| 3.1.2(c） | c）应实施控制措施，确保网络中信息的安全，并保护联网服务免遭未经授权的访问。特别是，应考虑以下各项：- 应制定管理网络设备的责任和程序 - 在适当情况下，网络的运营责任应与计算机操作分开 - 应制定特别的控制措施，来保障通过公共网络或无线网络传递的数据的保密性和完整性，并保护所连接的系统和应用程序（在连接到不受信任的系统/网络时，还包括网络加密协议）。- 应进行适当的记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作 - 应密切协调管理活动，以优化为组织提供的服务，并确保在整个信息处理基础设施中始终如一地实施控制措施 - 网络上的系统应经过身份验证 - 应限制不受信任的系统与网络的连接 | 通过确保 Amazon Redshift 集群不公开，管理对 AWS 云端资源的访问权限。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| 3.1.2(c） | c）应实施控制措施，确保网络中信息的安全，并保护联网服务免遭未经授权的访问。特别是，应考虑以下各项：- 应制定管理网络设备的责任和程序 - 在适当情况下，网络的运营责任应与计算机操作分开 - 应制定特别的控制措施，来保障通过公共网络或无线网络传递的数据的保密性和完整性，并保护所连接的系统和应用程序（在连接到不受信任的系统/网络时，还包括网络加密协议）。- 应进行适当的记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作 - 应密切协调管理活动，以优化为组织提供的服务，并确保在整个信息处理基础设施中始终如一地实施控制措施 - 网络上的系统应经过身份验证 - 应限制不受信任的系统与网络的连接 | 通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。 | |
| 3.1.2(c） | c）应实施控制措施，确保网络中信息的安全，并保护联网服务免遭未经授权的访问。特别是，应考虑以下各项：- 应制定管理网络设备的责任和程序 - 在适当情况下，网络的运营责任应与计算机操作分开 - 应制定特别的控制措施，来保障通过公共网络或无线网络传递的数据的保密性和完整性，并保护所连接的系统和应用程序（在连接到不受信任的系统/网络时，还包括网络加密协议）。- 应进行适当的记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作 - 应密切协调管理活动，以优化为组织提供的服务，并确保在整个信息处理基础设施中始终如一地实施控制措施 - 网络上的系统应经过身份验证 - 应限制不受信任的系统与网络的连接 | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | |
| 3.1.2(c） | c）应实施控制措施，确保网络中信息的安全，并保护联网服务免遭未经授权的访问。特别是，应考虑以下各项：- 应制定管理网络设备的责任和程序 - 在适当情况下，网络的运营责任应与计算机操作分开 - 应制定特别的控制措施，来保障通过公共网络或无线网络传递的数据的保密性和完整性，并保护所连接的系统和应用程序（在连接到不受信任的系统/网络时，还包括网络加密协议）。- 应进行适当的记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作 - 应密切协调管理活动，以优化为组织提供的服务，并确保在整个信息处理基础设施中始终如一地实施控制措施 - 网络上的系统应经过身份验证 - 应限制不受信任的系统与网络的连接 | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | |
| 3.1.2(c） | c）应实施控制措施，确保网络中信息的安全，并保护联网服务免遭未经授权的访问。特别是，应考虑以下各项：- 应制定管理网络设备的责任和程序 - 在适当情况下，网络的运营责任应与计算机操作分开 - 应制定特别的控制措施，来保障通过公共网络或无线网络传递的数据的保密性和完整性，并保护所连接的系统和应用程序（在连接到不受信任的系统/网络时，还包括网络加密协议）。- 应进行适当的记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作 - 应密切协调管理活动，以优化为组织提供的服务，并确保在整个信息处理基础设施中始终如一地实施控制措施 - 网络上的系统应经过身份验证 - 应限制不受信任的系统与网络的连接 | 通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对 AWS 云端资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。 | |
| 3.1.2(c） | c）应实施控制措施，确保网络中信息的安全，并保护联网服务免遭未经授权的访问。特别是，应考虑以下各项：- 应制定管理网络设备的责任和程序 - 在适当情况下，网络的运营责任应与计算机操作分开 - 应制定特别的控制措施，来保障通过公共网络或无线网络传递的数据的保密性和完整性，并保护所连接的系统和应用程序（在连接到不受信任的系统/网络时，还包括网络加密协议）。- 应进行适当的记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作 - 应密切协调管理活动，以优化为组织提供的服务，并确保在整个信息处理基础设施中始终如一地实施控制措施 - 网络上的系统应经过身份验证 - 应限制不受信任的系统与网络的连接 | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。 | |
| 3.1.2(c） | c）应实施控制措施，确保网络中信息的安全，并保护联网服务免遭未经授权的访问。特别是，应考虑以下各项：- 应制定管理网络设备的责任和程序 - 在适当情况下，网络的运营责任应与计算机操作分开 - 应制定特别的控制措施，来保障通过公共网络或无线网络传递的数据的保密性和完整性，并保护所连接的系统和应用程序（在连接到不受信任的系统/网络时，还包括网络加密协议）。- 应进行适当的记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作 - 应密切协调管理活动，以优化为组织提供的服务，并确保在整个信息处理基础设施中始终如一地实施控制措施 - 网络上的系统应经过身份验证 - 应限制不受信任的系统与网络的连接 | 通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网（0.0.0.0/0）访问安全组内的资源，可以控制对内部系统的远程访问。 | |
| 3.1.2(c） | c）应实施控制措施，确保网络中信息的安全，并保护联网服务免遭未经授权的访问。特别是，应考虑以下各项：- 应制定管理网络设备的责任和程序 - 在适当情况下，网络的运营责任应与计算机操作分开 - 应制定特别的控制措施，来保障通过公共网络或无线网络传递的数据的保密性和完整性，并保护所连接的系统和应用程序（在连接到不受信任的系统/网络时，还包括网络加密协议）。- 应进行适当的记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作 - 应密切协调管理活动，以优化为组织提供的服务，并确保在整个信息处理基础设施中始终如一地实施控制措施 - 网络上的系统应经过身份验证 - 应限制不受信任的系统与网络的连接 | 确保 Amazon EC2 路由表中没有指向互联网网关的无限制路由。移除或限制 Amazon 内部工作负载的互联网访问权限 VPCs 可以减少您环境中的意外访问。 | |
| 3.1.2(c） | c）应实施控制措施，确保网络中信息的安全，并保护联网服务免遭未经授权的访问。特别是，应考虑以下各项：- 应制定管理网络设备的责任和程序 - 在适当情况下，网络的运营责任应与计算机操作分开 - 应制定特别的控制措施，来保障通过公共网络或无线网络传递的数据的保密性和完整性，并保护所连接的系统和应用程序（在连接到不受信任的系统/网络时，还包括网络加密协议）。- 应进行适当的记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作 - 应密切协调管理活动，以优化为组织提供的服务，并确保在整个信息处理基础设施中始终如一地实施控制措施 - 网络上的系统应经过身份验证 - 应限制不受信任的系统与网络的连接 | 通过确保亚马逊虚拟私有 AWS 云 (VPC) Virtual Private Cloud 子网不会自动分配公有 IP 地址来管理对云的访问。Amazon Elastic Compute Cloud（EC2）实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。 | |
| 3.1.2(c） | c）应实施控制措施，确保网络中信息的安全，并保护联网服务免遭未经授权的访问。特别是，应考虑以下各项：- 应制定管理网络设备的责任和程序 - 在适当情况下，网络的运营责任应与计算机操作分开 - 应制定特别的控制措施，来保障通过公共网络或无线网络传递的数据的保密性和完整性，并保护所连接的系统和应用程序（在连接到不受信任的系统/网络时，还包括网络加密协议）。- 应进行适当的记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作 - 应密切协调管理活动，以优化为组织提供的服务，并确保在整个信息处理基础设施中始终如一地实施控制措施 - 网络上的系统应经过身份验证 - 应限制不受信任的系统与网络的连接 | 如果您使用公有 IP 地址配置网络接口，则可以从互联网访问这些网络接口的相关资源。EC2 资源不应可公开访问，因为这可能会允许意外地访问您的应用程序或服务器。 | |
| 3.1.2(c） | c）应实施控制措施，确保网络中信息的安全，并保护联网服务免遭未经授权的访问。特别是，应考虑以下各项：- 应制定管理网络设备的责任和程序 - 在适当情况下，网络的运营责任应与计算机操作分开 - 应制定特别的控制措施，来保障通过公共网络或无线网络传递的数据的保密性和完整性，并保护所连接的系统和应用程序（在连接到不受信任的系统/网络时，还包括网络加密协议）。- 应进行适当的记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作 - 应密切协调管理活动，以优化为组织提供的服务，并确保在整个信息处理基础设施中始终如一地实施控制措施 - 网络上的系统应经过身份验证 - 应限制不受信任的系统与网络的连接 | 增强型 VPC 路由会强制群集和数据存储库之间的所有 COPY 和 UNLOAD 流量都通过 Amazon VPC。然后，您可以使用安全组和网络访问控制列表等 VPC 功能，来保护网络流量。还可以使用 VPC 流日志来监控网络流量。 | |
| 3.1.2(c） | c）应实施控制措施，确保网络中信息的安全，并保护联网服务免遭未经授权的访问。特别是，应考虑以下各项：- 应制定管理网络设备的责任和程序 - 在适当情况下，网络的运营责任应与计算机操作分开 - 应制定特别的控制措施，来保障通过公共网络或无线网络传递的数据的保密性和完整性，并保护所连接的系统和应用程序（在连接到不受信任的系统/网络时，还包括网络加密协议）。- 应进行适当的记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作 - 应密切协调管理活动，以优化为组织提供的服务，并确保在整个信息处理基础设施中始终如一地实施控制措施 - 网络上的系统应经过身份验证 - 应限制不受信任的系统与网络的连接 | 确保 Amazon API Gateway REST API 阶段配置了 SSL 证书，以允许后端系统验证请求来自 API Gateway。 | |
| 3.1.2(c） | c）应实施控制措施，确保网络中信息的安全，并保护联网服务免遭未经授权的访问。特别是，应考虑以下各项：- 应制定管理网络设备的责任和程序 - 在适当情况下，网络的运营责任应与计算机操作分开 - 应制定特别的控制措施，来保障通过公共网络或无线网络传递的数据的保密性和完整性，并保护所连接的系统和应用程序（在连接到不受信任的系统/网络时，还包括网络加密协议）。- 应进行适当的记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作 - 应密切协调管理活动，以优化为组织提供的服务，并确保在整个信息处理基础设施中始终如一地实施控制措施 - 网络上的系统应经过身份验证 - 应限制不受信任的系统与网络的连接 | 由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certifice Manager 通过 AWS 服务和内部资源管理、配置和部署公有和私有 SSL/TLS 证书。 | |
| 3.1.2(c） | c）应实施控制措施，确保网络中信息的安全，并保护联网服务免遭未经授权的访问。特别是，应考虑以下各项：- 应制定管理网络设备的责任和程序 - 在适当情况下，网络的运营责任应与计算机操作分开 - 应制定特别的控制措施，来保障通过公共网络或无线网络传递的数据的保密性和完整性，并保护所连接的系统和应用程序（在连接到不受信任的系统/网络时，还包括网络加密协议）。- 应进行适当的记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作 - 应密切协调管理活动，以优化为组织提供的服务，并确保在整个信息处理基础设施中始终如一地实施控制措施 - 网络上的系统应经过身份验证 - 应限制不受信任的系统与网络的连接 | 确保 Amazon S OpenSearch ervice 域已启用错误日志，并将其流式传输到 Amazon CloudWatch Logs 以进行保留和响应。域错误日志可以帮助进行安全和访问审核，还可以帮助诊断可用性问题。 | |
| 3.1.2(c） | c）应实施控制措施，确保网络中信息的安全，并保护联网服务免遭未经授权的访问。特别是，应考虑以下各项：- 应制定管理网络设备的责任和程序 - 在适当情况下，网络的运营责任应与计算机操作分开 - 应制定特别的控制措施，来保障通过公共网络或无线网络传递的数据的保密性和完整性，并保护所连接的系统和应用程序（在连接到不受信任的系统/网络时，还包括网络加密协议）。- 应进行适当的记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作 - 应密切协调管理活动，以优化为组织提供的服务，并确保在整个信息处理基础设施中始终如一地实施控制措施 - 网络上的系统应经过身份验证 - 应限制不受信任的系统与网络的连接 | 确保 Amazon S OpenSearch ervice 域已启用错误日志，并将其流式传输到 Amazon CloudWatch Logs 以进行保留和响应。 OpenSearch 服务错误日志可以帮助进行安全和访问审计，还可以帮助诊断可用性问题。 | |
| 3.1.2(c） | c）应实施控制措施，确保网络中信息的安全，并保护联网服务免遭未经授权的访问。特别是，应考虑以下各项：- 应制定管理网络设备的责任和程序 - 在适当情况下，网络的运营责任应与计算机操作分开 - 应制定特别的控制措施，来保障通过公共网络或无线网络传递的数据的保密性和完整性，并保护所连接的系统和应用程序（在连接到不受信任的系统/网络时，还包括网络加密协议）。- 应进行适当的记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作 - 应密切协调管理活动，以优化为组织提供的服务，并确保在整个信息处理基础设施中始终如一地实施控制措施 - 网络上的系统应经过身份验证 - 应限制不受信任的系统与网络的连接 | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置（配置默认值：True）、 ignorePublicAcls （配置默认值：True）、 blockPublicPolicy （配置默认值：True）和参数 blockPublicAcls （配置默认值：True）和 restrictPublicBuckets 参数（配置默认值：True）。实际值应反映贵组织的策略。 | |
| 3.1.2(c） | c）应实施控制措施，确保网络中信息的安全，并保护联网服务免遭未经授权的访问。特别是，应考虑以下各项：- 应制定管理网络设备的责任和程序 - 在适当情况下，网络的运营责任应与计算机操作分开 - 应制定特别的控制措施，来保障通过公共网络或无线网络传递的数据的保密性和完整性，并保护所连接的系统和应用程序（在连接到不受信任的系统/网络时，还包括网络加密协议）。- 应进行适当的记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作 - 应密切协调管理活动，以优化为组织提供的服务，并确保在整个信息处理基础设施中始终如一地实施控制措施 - 网络上的系统应经过身份验证 - 应限制不受信任的系统与网络的连接 | 确保 S AWS ystems Manager (SSM) 文档不公开，因为这可能会允许意外访问您的 SSM 文档。公开 SSM 文档可能会公开有关您的账户、资源和内部流程的信息。 | |
| 3.1.2(e） | e）网络服务的范围可以从简单的非托管带宽到复杂的服务，例如 VPN、IP 语音、VSAT 等。网络服务的安全功能应是：- 用于确保网络服务安全的技术，例如身份验证、加密和网络连接控制 - 根据安全和网络连接规则与网络服务进行安全连接所需的技术参数，以及 - 必要时使用网络服务限制访问网络服务或应用程序的程序 | 通过确保 X509 证书由 ACM 颁发，确保网络完整性得到保护。 AWS 这些证书必须有效且未过期。此规则需要一个值 daysToExpiration （AWS 基础安全最佳实践值：90）。实际值应反映贵组织的策略。 | |
| 3.1.2(e） | e）网络服务的范围可以从简单的非托管带宽到复杂的服务，例如 VPN、IP 语音、VSAT 等。网络服务的安全功能应是：- 用于确保网络服务安全的技术，例如身份验证、加密和网络连接控制 - 根据安全和网络连接规则与网络服务进行安全连接所需的技术参数，以及 - 必要时使用网络服务限制访问网络服务或应用程序的程序 | 为帮助保护传输中的数据，请确保应用负载均衡器自动将未加密的 HTTP 请求重定向到 HTTPS。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| 3.1.2(e） | e）网络服务的范围可以从简单的非托管带宽到复杂的服务，例如 VPN、IP 语音、VSAT 等。网络服务的安全功能应是：- 用于确保网络服务安全的技术，例如身份验证、加密和网络连接控制 - 根据安全和网络连接规则与网络服务进行安全连接所需的技术参数，以及 - 必要时使用网络服务限制访问网络服务或应用程序的程序 | 由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certifice Manager 通过 AWS 服务和内部资源管理、配置和部署公有和私有 SSL/TLS 证书。 | |
| 3.1.2(e） | e）网络服务的范围可以从简单的非托管带宽到复杂的服务，例如 VPN、IP 语音、VSAT 等。网络服务的安全功能应是：- 用于确保网络服务安全的技术，例如身份验证、加密和网络连接控制 - 根据安全和网络连接规则与网络服务进行安全连接所需的技术参数，以及 - 必要时使用网络服务限制访问网络服务或应用程序的程序 | 确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接 SQL 客户端。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| 3.1.2(e） | e）网络服务的范围可以从简单的非托管带宽到复杂的服务，例如 VPN、IP 语音、VSAT 等。网络服务的安全功能应是：- 用于确保网络服务安全的技术，例如身份验证、加密和网络连接控制 - 根据安全和网络连接规则与网络服务进行安全连接所需的技术参数，以及 - 必要时使用网络服务限制访问网络服务或应用程序的程序 | 为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service（Amazon S3）存储桶需要请求使用安全套接字层（SSL）。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| 3.1.2(e） | e）网络服务的范围可以从简单的非托管带宽到复杂的服务，例如 VPN、IP 语音、VSAT 等。网络服务的安全功能应是：- 用于确保网络服务安全的技术，例如身份验证、加密和网络连接控制 - 根据安全和网络连接规则与网络服务进行安全连接所需的技术参数，以及 - 必要时使用网络服务限制访问网络服务或应用程序的程序 | 确保您的 Elastic Load Balancers（ELB）已配置为丢弃 http 标头。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| 3.1.2(e） | e）网络服务的范围可以从简单的非托管带宽到复杂的服务，例如 VPN、IP 语音、VSAT 等。网络服务的安全功能应是：- 用于确保网络服务安全的技术，例如身份验证、加密和网络连接控制 - 根据安全和网络连接规则与网络服务进行安全连接所需的技术参数，以及 - 必要时使用网络服务限制访问网络服务或应用程序的程序 | 确保启用了 Amazon OpenSearch 服务的 node-to-node加密。 Node-to-node加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| 3.1.2(e） | e）网络服务的范围可以从简单的非托管带宽到复杂的服务，例如 VPN、IP 语音、VSAT 等。网络服务的安全功能应是：- 用于确保网络服务安全的技术，例如身份验证、加密和网络连接控制 - 根据安全和网络连接规则与网络服务进行安全连接所需的技术参数，以及 - 必要时使用网络服务限制访问网络服务或应用程序的程序 | 确保启用了 Amazon OpenSearch 服务的 node-to-node加密。 Node-to-node加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| 3.1.2(e） | e）网络服务的范围可以从简单的非托管带宽到复杂的服务，例如 VPN、IP 语音、VSAT 等。网络服务的安全功能应是：- 用于确保网络服务安全的技术，例如身份验证、加密和网络连接控制 - 根据安全和网络连接规则与网络服务进行安全连接所需的技术参数，以及 - 必要时使用网络服务限制访问网络服务或应用程序的程序 | 确保您的弹性负载均衡器 (ELBs) 配置了 SSL 或 HTTPS 侦听器。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| 3.1.2(e） | e）网络服务的范围可以从简单的非托管带宽到复杂的服务，例如 VPN、IP 语音、VSAT 等。网络服务的安全功能应是：- 用于确保网络服务安全的技术，例如身份验证、加密和网络连接控制 - 根据安全和网络连接规则与网络服务进行安全连接所需的技术参数，以及 - 必要时使用网络服务限制访问网络服务或应用程序的程序 | 确保 Amazon API Gateway REST API 阶段配置了 SSL 证书，以允许后端系统验证请求来自 API Gateway。 | |
| 3.1.2(e） | e）网络服务的范围可以从简单的非托管带宽到复杂的服务，例如 VPN、IP 语音、VSAT 等。网络服务的安全功能应是：- 用于确保网络服务安全的技术，例如身份验证、加密和网络连接控制 - 根据安全和网络连接规则与网络服务进行安全连接所需的技术参数，以及 - 必要时使用网络服务限制访问网络服务或应用程序的程序 | 由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certifice Manager 通过 AWS 服务和内部资源管理、配置和部署公有和私有 SSL/TLS 证书。 | |
| 3.1.3(e） | e）使用加密来保护远程访问设备与机构之间的通信渠道，以限制与网络欺骗相关的风险。 | 通过确保 X509 证书由 ACM 颁发，确保网络完整性得到保护。 AWS 这些证书必须有效且未过期。此规则需要一个值 daysToExpiration （AWS 基础安全最佳实践值：90）。实际值应反映贵组织的策略。 | |
| 3.1.3(e） | e）使用加密来保护远程访问设备与机构之间的通信渠道，以限制与网络欺骗相关的风险。 | 为帮助保护传输中的数据，请确保应用负载均衡器自动将未加密的 HTTP 请求重定向到 HTTPS。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| 3.1.3(e） | e）使用加密来保护远程访问设备与机构之间的通信渠道，以限制与网络欺骗相关的风险。 | 由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certifice Manager 通过 AWS 服务和内部资源管理、配置和部署公有和私有 SSL/TLS 证书。 | |
| 3.1.3(e） | e）使用加密来保护远程访问设备与机构之间的通信渠道，以限制与网络欺骗相关的风险。 | 确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接 SQL 客户端。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| 3.1.3(e） | e）使用加密来保护远程访问设备与机构之间的通信渠道，以限制与网络欺骗相关的风险。 | 为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service（Amazon S3）存储桶需要请求使用安全套接字层（SSL）。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| 3.1.3(e） | e）使用加密来保护远程访问设备与机构之间的通信渠道，以限制与网络欺骗相关的风险。 | 确保您的 Elastic Load Balancers（ELB）已配置为丢弃 http 标头。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| 3.1.3(e） | e）使用加密来保护远程访问设备与机构之间的通信渠道，以限制与网络欺骗相关的风险。 | 确保启用了 Amazon OpenSearch 服务的 node-to-node加密。 Node-to-node加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| 3.1.3(e） | e）使用加密来保护远程访问设备与机构之间的通信渠道，以限制与网络欺骗相关的风险。 | 确保启用了 Amazon OpenSearch 服务的 node-to-node加密。 Node-to-node加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| 3.1.3(e） | e）使用加密来保护远程访问设备与机构之间的通信渠道，以限制与网络欺骗相关的风险。 | 确保您的弹性负载均衡器 (ELBs) 配置了 SSL 或 HTTPS 侦听器。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| 3.1.3(e） | e）使用加密来保护远程访问设备与机构之间的通信渠道，以限制与网络欺骗相关的风险。 | 确保 Amazon API Gateway REST API 阶段配置了 SSL 证书，以允许后端系统验证请求来自 API Gateway。 | |
| 3.1.3(e） | e）使用加密来保护远程访问设备与机构之间的通信渠道，以限制与网络欺骗相关的风险。 | 由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certifice Manager 通过 AWS 服务和内部资源管理、配置和部署公有和私有 SSL/TLS 证书。 | |
| 3.1.3(g） | g）维护远程访问通信日志。日志应包括所有远程访问的日期、时间、用户、用户位置、持续时间和目的，包括通过远程访问进行的所有活动 | API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。 | |
| 3.1.3(g） | g）维护远程访问通信日志。日志应包括所有远程访问的日期、时间、用户、用户位置、持续时间和目的，包括通过远程访问进行的所有活动 | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您内部的 API 调用活动的详细信息 AWS 账户。 | |
| 3.1.3(g） | g）维护远程访问通信日志。日志应包括所有远程访问的日期、时间、用户、用户位置、持续时间和目的，包括通过远程访问进行的所有活动 | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。 | |
| 3.1.3(g） | g）维护远程访问通信日志。日志应包括所有远程访问的日期、时间、用户、用户位置、持续时间和目的，包括通过远程访问进行的所有活动 | 收集 Simple Storage Service（Amazon S3）数据事件有助于检测任何异常活动。详细 AWS 账户 信息包括访问 Amazon S3 存储桶的信息、IP 地址和事件时间。 | |
| 3.1.3(g） | g）维护远程访问通信日志。日志应包括所有远程访问的日期、时间、用户、用户位置、持续时间和目的，包括通过远程访问进行的所有活动 | Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息（例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应）。 | |
| 3.1.3(g） | g）维护远程访问通信日志。日志应包括所有远程访问的日期、时间、用户、用户位置、持续时间和目的，包括通过远程访问进行的所有活动 | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，则会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | |
| 3.1.3(g） | g）维护远程访问通信日志。日志应包括所有远程访问的日期、时间、用户、用户位置、持续时间和目的，包括通过远程访问进行的所有活动 | Amazon Simple Storage Service（Amazon S3）服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | |
| 3.1.3(g） | g）维护远程访问通信日志。日志应包括所有远程访问的日期、时间、用户、用户位置、持续时间和目的，包括通过远程访问进行的所有活动 | VPC 流日志详细记录进出 Amazon Virtual Private Cloud（Amazon VPC）网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。 | |
| 3.1.3(g） | g）维护远程访问通信日志。日志应包括所有远程访问的日期、时间、用户、用户位置、持续时间和目的，包括通过远程访问进行的所有活动 | 确保为日志组保留事件日志数据的最短时间，以帮助进行故障排除和取证调查。缺乏过去的事件日志数据会让重建和识别潜在的恶意事件变得困难。 | |
| 3.1.3(g） | g）维护远程访问通信日志。日志应包括所有远程访问的日期、时间、用户、用户位置、持续时间和目的，包括通过远程访问进行的所有活动 | 为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service（Amazon RDS）日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。 | |
| 3.1.3(g） | g）维护远程访问通信日志。日志应包括所有远程访问的日期、时间、用户、用户位置、持续时间和目的，包括通过远程访问进行的所有活动 | 要帮助在您的环境中进行日志记录和监控，请在区域和全球 Web 上启用 AWS WAF (V2) 日志记录。 ACLs AWS WAF 日志记录提供有关您的 Web ACL 所分析的流量的详细信息。这些日志记录了 AWS WAF 从您的 AWS 资源收到请求的时间、有关请求的信息以及每个请求匹配的规则的操作。 | |
| 3.1.3(g） | g）维护远程访问通信日志。日志应包括所有远程访问的日期、时间、用户、用户位置、持续时间和目的，包括通过远程访问进行的所有活动 | 要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。 | |
| 3.1.3(g） | g）维护远程访问通信日志。日志应包括所有远程访问的日期、时间、用户、用户位置、持续时间和目的，包括通过远程访问进行的所有活动 | 确保 Amazon S OpenSearch ervice 域已启用错误日志，并将其流式传输到 Amazon CloudWatch Logs 以进行保留和响应。域错误日志可以帮助进行安全和访问审核，还可以帮助诊断可用性问题。 | |
| 3.1.3(g） | g）维护远程访问通信日志。日志应包括所有远程访问的日期、时间、用户、用户位置、持续时间和目的，包括通过远程访问进行的所有活动 | 确保 Amazon S OpenSearch ervice 域已启用错误日志，并将其流式传输到 Amazon CloudWatch Logs 以进行保留和响应。 OpenSearch 服务错误日志可以帮助进行安全和访问审计，还可以帮助诊断可用性问题。 | |
| 3.1.3(i） | i）对远程访问强制执行双重身份验证流程（例如，带有一次性随机密码生成器的基于 PIN 的令牌卡或基于令牌的 PKI） | 启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证（MFA）。MFA 在登录凭证之上添加一层额外的保护。要求用户进行多重身份验证，从而减少账户被盗事件。 | |
| 3.1.3(i） | i）对远程访问强制执行双重身份验证流程（例如，带有一次性随机密码生成器的基于 PIN 的令牌卡或基于令牌的 PKI） | 确保所有拥有控制台密码的 AWS 身份和访问管理 (IAM) Access Management 用户都启用 MFA，从而管理对 AWS 云中资源的访问权限。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。 | |
| 3.1.3(i） | i）对远程访问强制执行双重身份验证流程（例如，带有一次性随机密码生成器的基于 PIN 的令牌卡或基于令牌的 PKI） | 确保为根用户启用硬件 MFA，从而管理对 AWS 云中资源的访问权限。根用户是 AWS 账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户进行 MFA，可以减少泄露事件。 AWS 账户 | |
| 3.1.3(i） | i）对远程访问强制执行双重身份验证流程（例如，带有一次性随机密码生成器的基于 PIN 的令牌卡或基于令牌的 PKI） | 通过确保为根用户启用 MFA 来管理对 AWS 云中资源的访问权限。根用户是 AWS 账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户进行 MFA，可以减少泄露事件。 AWS 账户 | |
| 3.1.4(c）(e） | c) 补丁管理流程应包括以下方面：-确定获取和验证补丁的方法以确保补丁来自授权来源-识别适用于组织使用的应用程序和系统的漏洞-评估实施补丁（或不实施特定补丁）的业务影响-确保补丁经过测试-描述自动部署补丁的方法-报告整个组织的补丁部署状态以及-包括方法用于处理补丁部署失败（例如，补丁的重新部署）。e) BFIs 应为所有可用且安全的自动补丁管理工具和软件更新工具的系统部署自动补丁管理工具和软件更新工具 | 通过使用 Systems Man AWS ager 管理亚马逊弹性计算云 (Amazon EC2) 实例，可以清点组织内的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发行商和版本以及有关您的环境的其他详细信息。 | |
| 3.1.4(c）(e） | c) 补丁管理流程应包括以下方面：-确定获取和验证补丁的方法以确保补丁来自授权来源-识别适用于组织使用的应用程序和系统的漏洞-评估实施补丁（或不实施特定补丁）的业务影响-确保补丁经过测试-描述自动部署补丁的方法-报告整个组织的补丁部署状态以及-包括方法用于处理补丁部署失败（例如，补丁的重新部署）。e) BFIs 应为所有可用且安全的自动补丁管理工具和软件更新工具的系统部署自动补丁管理工具和软件更新工具 | 使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。 AWS Systems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。 | |
| 3.1.4(c）(e） | c) 补丁管理流程应包括以下方面：-确定获取和验证补丁的方法以确保补丁来自授权来源-识别适用于组织使用的应用程序和系统的漏洞-评估实施补丁（或不实施特定补丁）的业务影响-确保补丁经过测试-描述自动部署补丁的方法-报告整个组织的补丁部署状态以及-包括方法用于处理补丁部署失败（例如，补丁的重新部署）。e) BFIs 应为所有可用且安全的自动补丁管理工具和软件更新工具的系统部署自动补丁管理工具和软件更新工具 | 启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud（Amazon EC2）漏洞。该规则根据贵组织的政策和程序的要求检查 S AWS ystems Manager 中的 Amazon EC2 实例补丁是否合规。 | |
| 3.1.4(c）(e） | c) 补丁管理流程应包括以下方面：-确定获取和验证补丁的方法以确保补丁来自授权来源-识别适用于组织使用的应用程序和系统的漏洞-评估实施补丁（或不实施特定补丁）的业务影响-确保补丁经过测试-描述自动部署补丁的方法-报告整个组织的补丁部署状态以及-包括方法用于处理补丁部署失败（例如，补丁的重新部署）。e) BFIs 应为所有可用且安全的自动补丁管理工具和软件更新工具的系统部署自动补丁管理工具和软件更新工具 | 此规则可确保 Amazon Redshift 集群具有适合贵组织的首选设置。具体而言，就是确保它们有首选的数据库维护窗口和自动快照保留期。此规则要求您设置 allowVersionUpgrade. 默认值为 true。它还允许你选择性地设置 preferredMaintenanceWindow （默认值为 sat：16:00-sat：16:30）和周 automatedSnapshotRetention期（默认值为 1）。实际值应反映贵组织的策略。 | |
| 3.1.4(c）(e） | c) 补丁管理流程应包括以下方面：-确定获取和验证补丁的方法以确保补丁来自授权来源-识别适用于组织使用的应用程序和系统的漏洞-评估实施补丁（或不实施特定补丁）的业务影响-确保补丁经过测试-描述自动部署补丁的方法-报告整个组织的补丁部署状态以及-包括方法用于处理补丁部署失败（例如，补丁的重新部署）。e) BFIs 应为所有可用且安全的自动补丁管理工具和软件更新工具的系统部署自动补丁管理工具和软件更新工具 | 为 Amazon Elastic Beanstalk 环境启用受管平台更新可确保安装环境的最新可用平台修复、更新和功能。及时安装补丁是保护系统的最佳实践。 | |
| 3.1.4(c）(e） | c) 补丁管理流程应包括以下方面：-确定获取和验证补丁的方法以确保补丁来自授权来源-识别适用于组织使用的应用程序和系统的漏洞-评估实施补丁（或不实施特定补丁）的业务影响-确保补丁经过测试-描述自动部署补丁的方法-报告整个组织的补丁部署状态以及-包括方法用于处理补丁部署失败（例如，补丁的重新部署）。e) BFIs 应为所有可用且安全的自动补丁管理工具和软件更新工具的系统部署自动补丁管理工具和软件更新工具 | 启用 Amazon Relational Database Service（RDS）实例的自动次要版本升级，以确保安装关系数据库管理系统（RDBMS）的最新次要版本更新，其中可能包括安全补丁和错误修复。 | |
| 3.1.5(d）(e） | d）适当的密钥管理需要生成、存储、存档、检索、分发、停用和销毁加密密钥的安全流程 e）应保护所有加密密钥免遭修改和丢失。此外，还需要保护密钥和私钥免遭未经授权的使用和泄露。用于生成、存储和存档密钥的设备应受到物理保护 | 为了帮助保护静态数据，请确保在密钥管理服务 (KMSCMKs) 中没有计划删除必要的客户主 AWS 密AWS 钥 ()。由于有时需要删除密钥，因此此规则可以帮助检查所有计划删除的密钥，以防密钥被无意中安排删除。 | |
| 3.1.5(d）(e） | d）适当的密钥管理需要生成、存储、存档、检索、分发、停用和销毁加密密钥的安全流程 e）应保护所有加密密钥免遭修改和丢失。此外，还需要保护密钥和私钥免遭未经授权的使用和泄露。用于生成、存储和存档密钥的设备应受到物理保护 | 启用密钥轮换，确保密钥在加密周期结束后立即进行轮换。 | |
| 3.1.5(d）(e） | d）适当的密钥管理需要生成、存储、存档、检索、分发、停用和销毁加密密钥的安全流程 e）应保护所有加密密钥免遭修改和丢失。此外，还需要保护密钥和私钥免遭未经授权的使用和泄露。用于生成、存储和存档密钥的设备应受到物理保护 | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对 AWS 所有密钥管理服务密钥的封锁操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。此规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践价值： kms:解密，）。 kms: ReEncryptFrom实际值应反映贵组织的策略 | |
| 3.1.5(d）(e） | d）适当的密钥管理需要生成、存储、存档、检索、分发、停用和销毁加密密钥的安全流程 e）应保护所有加密密钥免遭修改和丢失。此外，还需要保护密钥和私钥免遭未经授权的使用和泄露。用于生成、存储和存档密钥的设备应受到物理保护 | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有允许对 AWS 所有密钥管理服务密钥执行阻止操作的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。此规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践价值： kms:解密，）。 kms: ReEncryptFrom实际值应反映贵组织的策略。 | |
| 3.1.5(f） | f）密钥管理系统应基于一套商定的标准、程序和安全方法，用于：- 为不同的加密系统和不同的应用程序生成密钥 - 颁发和获取公钥证书 - 向目标实体分发密钥，包括在收到密钥时应如何激活密钥 - 存储密钥，包括授权用户如何访问密钥 - 更改或更新密钥，包括何时应更改密钥以及如何更改的规则 - 处理遭到泄露的密钥 - 撤销密钥，包括应撤回或停用密钥，例如在密钥遭到泄露或在用户离开组织时（在这种情况下，密钥还应存档）- 恢复丢失或损坏的密钥 - 备份或存档密钥 - 销毁密钥以及 - 记录和审计与密钥管理相关的活动。 | 为了帮助保护静态数据，请确保在密钥管理服务 (KMSCMKs) 中没有计划删除必要的客户主 AWS 密AWS 钥 ()。由于有时需要删除密钥，因此此规则可以帮助检查所有计划删除的密钥，以防密钥被无意中安排删除。 | |
| 3.1.5(f） | f）密钥管理系统应基于一套商定的标准、程序和安全方法，用于：- 为不同的加密系统和不同的应用程序生成密钥 - 颁发和获取公钥证书 - 向目标实体分发密钥，包括在收到密钥时应如何激活密钥 - 存储密钥，包括授权用户如何访问密钥 - 更改或更新密钥，包括何时应更改密钥以及如何更改的规则 - 处理遭到泄露的密钥 - 撤销密钥，包括应撤回或停用密钥，例如在密钥遭到泄露或在用户离开组织时（在这种情况下，密钥还应存档）- 恢复丢失或损坏的密钥 - 备份或存档密钥 - 销毁密钥以及 - 记录和审计与密钥管理相关的活动。 | 启用密钥轮换，确保密钥在加密周期结束后立即进行轮换。 | |
| 3.1.5(f） | f）密钥管理系统应基于一套商定的标准、程序和安全方法，用于：- 为不同的加密系统和不同的应用程序生成密钥 - 颁发和获取公钥证书 - 向目标实体分发密钥，包括在收到密钥时应如何激活密钥 - 存储密钥，包括授权用户如何访问密钥 - 更改或更新密钥，包括何时应更改密钥以及如何更改的规则 - 处理遭到泄露的密钥 - 撤销密钥，包括应撤回或停用密钥，例如在密钥遭到泄露或在用户离开组织时（在这种情况下，密钥还应存档）- 恢复丢失或损坏的密钥 - 备份或存档密钥 - 销毁密钥以及 - 记录和审计与密钥管理相关的活动。 | 通过确保 X509 证书由 ACM 颁发，确保网络完整性得到保护。 AWS 这些证书必须有效且未过期。此规则需要一个值 daysToExpiration （AWS 基础安全最佳实践值：90）。实际值应反映贵组织的策略。 | |
| 3.1.5(f） | f）密钥管理系统应基于一套商定的标准、程序和安全方法，用于：- 为不同的加密系统和不同的应用程序生成密钥 - 颁发和获取公钥证书 - 向目标实体分发密钥，包括在收到密钥时应如何激活密钥 - 存储密钥，包括授权用户如何访问密钥 - 更改或更新密钥，包括何时应更改密钥以及如何更改的规则 - 处理遭到泄露的密钥 - 撤销密钥，包括应撤回或停用密钥，例如在密钥遭到泄露或在用户离开组织时（在这种情况下，密钥还应存档）- 恢复丢失或损坏的密钥 - 备份或存档密钥 - 销毁密钥以及 - 记录和审计与密钥管理相关的活动。 | 由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certifice Manager 通过 AWS 服务和内部资源管理、配置和部署公有和私有 SSL/TLS 证书。 | |
| 3.1.5(f） | f）密钥管理系统应基于一套商定的标准、程序和安全方法，用于：- 为不同的加密系统和不同的应用程序生成密钥 - 颁发和获取公钥证书 - 向目标实体分发密钥，包括在收到密钥时应如何激活密钥 - 存储密钥，包括授权用户如何访问密钥 - 更改或更新密钥，包括何时应更改密钥以及如何更改的规则 - 处理遭到泄露的密钥 - 撤销密钥，包括应撤回或停用密钥，例如在密钥遭到泄露或在用户离开组织时（在这种情况下，密钥还应存档）- 恢复丢失或损坏的密钥 - 备份或存档密钥 - 销毁密钥以及 - 记录和审计与密钥管理相关的活动。 | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。 | |
| 3.1.5(f） | f）密钥管理系统应基于一套商定的标准、程序和安全方法，用于：- 为不同的加密系统和不同的应用程序生成密钥 - 颁发和获取公钥证书 - 向目标实体分发密钥，包括在收到密钥时应如何激活密钥 - 存储密钥，包括授权用户如何访问密钥 - 更改或更新密钥，包括何时应更改密钥以及如何更改的规则 - 处理遭到泄露的密钥 - 撤销密钥，包括应撤回或停用密钥，例如在密钥遭到泄露或在用户离开组织时（在这种情况下，密钥还应存档）- 恢复丢失或损坏的密钥 - 备份或存档密钥 - 销毁密钥以及 - 记录和审计与密钥管理相关的活动。 | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，则会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | |
| 3.1.5(f） | f）密钥管理系统应基于一套商定的标准、程序和安全方法，用于：- 为不同的加密系统和不同的应用程序生成密钥 - 颁发和获取公钥证书 - 向目标实体分发密钥，包括在收到密钥时应如何激活密钥 - 存储密钥，包括授权用户如何访问密钥 - 更改或更新密钥，包括何时应更改密钥以及如何更改的规则 - 处理遭到泄露的密钥 - 撤销密钥，包括应撤回或停用密钥，例如在密钥遭到泄露或在用户离开组织时（在这种情况下，密钥还应存档）- 恢复丢失或损坏的密钥 - 备份或存档密钥 - 销毁密钥以及 - 记录和审计与密钥管理相关的活动。 | 由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certifice Manager 通过 AWS 服务和内部资源管理、配置和部署公有和私有 SSL/TLS 证书。 | |
| 3.1.6(a） | a）BFI 应部署自动化工具和手动技术的组合，定期进行全面的漏洞评估。对于基于 Web 的外部系统，漏洞评估的范围应包括常见的 Web 漏洞，例如 SQL 注入和跨站点脚本。 | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IPs 和机器学习列表，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | |
| 3.1.6(a） | a）BFI 应部署自动化工具和手动技术的组合，定期进行全面的漏洞评估。对于基于 Web 的外部系统，漏洞评估的范围应包括常见的 Web 漏洞，例如 SQL 注入和跨站点脚本。 | 确保在弹性负载均衡器 (ELB) 上启用 AWS WAF，以帮助保护 Web 应用程序。WAF 有助于保护您的 Web 应用程序或 APIs 免受常见的 Web 漏洞攻击。这些 Web 漏洞可能会影响可用性、损害安全性或消耗环境中过多的资源。 | |
| 3.1.6(a） | a）BFI 应部署自动化工具和手动技术的组合，定期进行全面的漏洞评估。对于基于 Web 的外部系统，漏洞评估的范围应包括常见的 Web 漏洞，例如 SQL 注入和跨站点脚本。 | AWS WAF 允许您配置一组规则（称为 Web 访问控制列表 (Web ACL)），这些规则根据您定义的可自定义 Web 安全规则和条件允许、阻止或计数 Web 请求。确保您的 Amazon API Gateway 阶段与某个 WAF Web ACL 关联，以保护其免受恶意攻击 | |
| 3.1.6(c） | c）BFI 应制定程序来补救漏洞评估和 PT 中发现的问题，并随后对补救措施进行重新验证，以验证差距是否已得到充分解决。 | vuln-mitigated-accepted（流程检查） | 确保新发现的漏洞得到补救或记录为可接受的风险。应根据贵组织的合规要求对漏洞进行补救或将其作为风险接受。 |
| 3.1.6(f） | f）安全职能部门应定期向高级管理层提供有关每个部门/分部未缓解的严重漏洞数量的最新状态以及缓解计划 | Amazon 按严重程度对调查结果进行分类：低、中、高，从而 GuardDuty 帮助您了解事件的影响。您可以使用这些分类来确定补救策略和优先级。此规则允许您根据组织政策的 daysLowSev 要求选择性地为非存档的查找结果设置 daysMediumSev （配置默认：30）、 daysHighSev （配置默认值：7）和（配置默认：1）。 | |
| 3.1.8 | 用户培训和意识 | security-awareness-program-exists（流程检查） | 为您的组织制定并维护安全认知计划。安全认知计划教育员工如何保护其组织免受各种安全漏洞或事件的侵害。 |
| 3.1.10(b） | b）系统文档、应用程序源代码和生产交易数据等敏感信息应有更广泛的控制措施以防篡改（例如完整性检查程序、加密哈希）。此外，政策应尽量减少敏感信息的分发，包括包含信息的打印件。 | 由于可能存在敏感数据，为了帮助保护静态数据，请确保为您的 AWS CloudTrail 跟踪启用了加密。 | |
| 3.1.10(b） | b）系统文档、应用程序源代码和生产交易数据等敏感信息应有更广泛的控制措施以防篡改（例如完整性检查程序、加密哈希）。此外，政策应尽量减少敏感信息的分发，包括包含信息的打印件。 | 为帮助保护静态敏感数据，请确保您的 Amazon CloudWatch 日志组启用了加密。 | |
| 3.1.10(b） | b）系统文档、应用程序源代码和生产交易数据等敏感信息应有更广泛的控制措施以防篡改（例如完整性检查程序、加密哈希）。此外，政策应尽量减少敏感信息的分发，包括包含信息的打印件。 | 利用 AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 传送后是否被修改、删除或未更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这使得在没有检测到的情况下修改、删除或伪造 CloudTrail 日志文件在计算上是不可行的。 | |
| 3.1.10(b） | b）系统文档、应用程序源代码和生产交易数据等敏感信息应有更广泛的控制措施以防篡改（例如完整性检查程序、加密哈希）。此外，政策应尽量减少敏感信息的分发，包括包含信息的打印件。 | 由于可能存在敏感数据，并且为了帮助保护静态数据，请确保为您的 Amazon Elastic File System（EFS）启用加密。 | |
| 3.1.10(b） | b）系统文档、应用程序源代码和生产交易数据等敏感信息应有更广泛的控制措施以防篡改（例如完整性检查程序、加密哈希）。此外，政策应尽量减少敏感信息的分发，包括包含信息的打印件。 | 由于敏感数据可能存在，并且为了帮助保护静态数据，请确保您的亚马逊 OpenSearch 服务（OpenSearch 服务）域已启用加密。 | |
| 3.1.10(b） | b）系统文档、应用程序源代码和生产交易数据等敏感信息应有更广泛的控制措施以防篡改（例如完整性检查程序、加密哈希）。此外，政策应尽量减少敏感信息的分发，包括包含信息的打印件。 | 由于敏感数据可能存在，并且为了帮助保护静态数据，请确保对您的 Amazon S OpenSearch ervice 域启用加密。 | |
| 3.1.10(b） | b）系统文档、应用程序源代码和生产交易数据等敏感信息应有更广泛的控制措施以防篡改（例如完整性检查程序、加密哈希）。此外，政策应尽量减少敏感信息的分发，包括包含信息的打印件。 | 由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon Elastic Block Store (Amazon EBS) 卷启用了加密。 | |
| 3.1.10(b） | b）系统文档、应用程序源代码和生产交易数据等敏感信息应有更广泛的控制措施以防篡改（例如完整性检查程序、加密哈希）。此外，政策应尽量减少敏感信息的分发，包括包含信息的打印件。 | 为了帮助保护静态数据，请确保您的 Amazon Relational Database Service（Amazon RDS）实例启用了加密。由于 Amazon RDS 实例中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| 3.1.10(b） | b）系统文档、应用程序源代码和生产交易数据等敏感信息应有更广泛的控制措施以防篡改（例如完整性检查程序、加密哈希）。此外，政策应尽量减少敏感信息的分发，包括包含信息的打印件。 | 要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。 | |
| 3.1.10(b） | b）系统文档、应用程序源代码和生产交易数据等敏感信息应有更广泛的控制措施以防篡改（例如完整性检查程序、加密哈希）。此外，政策应尽量减少敏感信息的分发，包括包含信息的打印件。 | 为了帮助保护静态数据，请确保您的 Amazon Simple Storage Service（Amazon S3）存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用加密以帮助保护这些数据。 | |
| 3.1.10(b） | b）系统文档、应用程序源代码和生产交易数据等敏感信息应有更广泛的控制措施以防篡改（例如完整性检查程序、加密哈希）。此外，政策应尽量减少敏感信息的分发，包括包含信息的打印件。 | 为帮助保护静态数据，请确保您的 SageMaker 终端节点已启用 AWS 密钥管理服务 (AWS KMS) 加密。由于敏感数据可以静态存在于 SageMaker 端点中，因此启用静态加密以帮助保护这些数据。 | |
| 3.1.10(b） | b）系统文档、应用程序源代码和生产交易数据等敏感信息应有更广泛的控制措施以防篡改（例如完整性检查程序、加密哈希）。此外，政策应尽量减少敏感信息的分发，包括包含信息的打印件。 | 为帮助保护静态数据，请确保您的 SageMaker 笔记本电脑启用了 AWS 密钥管理服务 (AWS KMS) 的加密。由于敏感数据可以静态存在于 SageMaker 笔记本中，因此启用静态加密以帮助保护这些数据。 | |
| 3.1.10(b） | b）系统文档、应用程序源代码和生产交易数据等敏感信息应有更广泛的控制措施以防篡改（例如完整性检查程序、加密哈希）。此外，政策应尽量减少敏感信息的分发，包括包含信息的打印件。 | 为了帮助保护静态数据，请确保您的亚马逊简单通知服务 (Amazon SNS) Simple Notification Service 主题需要 AWS 使用密钥管理服务AWS (KMS) 进行加密。由于已发布的消息中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| 3.1.10(b） | b）系统文档、应用程序源代码和生产交易数据等敏感信息应有更广泛的控制措施以防篡改（例如完整性检查程序、加密哈希）。此外，政策应尽量减少敏感信息的分发，包括包含信息的打印件。 | 为了帮助保护静态数据，请确保为您的 Amazon Elastic Block Store（Amazon EBS）卷启用加密。由于这些卷中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| 3.1.10(b） | b）系统文档、应用程序源代码和生产交易数据等敏感信息应有更广泛的控制措施以防篡改（例如完整性检查程序、加密哈希）。此外，政策应尽量减少敏感信息的分发，包括包含信息的打印件。 | 确保为 Amazon Relational Database Service（Amazon RDS）快照启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| 3.1.10(b） | b）系统文档、应用程序源代码和生产交易数据等敏感信息应有更广泛的控制措施以防篡改（例如完整性检查程序、加密哈希）。此外，政策应尽量减少敏感信息的分发，包括包含信息的打印件。 | 确保您的 Amazon Simple Storage Service（Amazon S3）存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| 3.1.10(b） | b）系统文档、应用程序源代码和生产交易数据等敏感信息应有更广泛的控制措施以防篡改（例如完整性检查程序、加密哈希）。此外，政策应尽量减少敏感信息的分发，包括包含信息的打印件。 | 为了帮助保护静态数据，请确保为 API Gateway 阶段的缓存启用加密。由于可能会为 API 方法捕获敏感数据，因此应启用静态加密以帮助保护这些数据。 | |
| 3.1.10(b） | b）系统文档、应用程序源代码和生产交易数据等敏感信息应有更广泛的控制措施以防篡改（例如完整性检查程序、加密哈希）。此外，政策应尽量减少敏感信息的分发，包括包含信息的打印件。 | 确保为 Amazon DynamoDB 表启用加密。由于这些表中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。默认情况下，DynamoDB 表使用自有的客户主密钥 ( AWS CMK) 进行加密。 | |
| 3.1.10(b） | b）系统文档、应用程序源代码和生产交易数据等敏感信息应有更广泛的控制措施以防篡改（例如完整性检查程序、加密哈希）。此外，政策应尽量减少敏感信息的分发，包括包含信息的打印件。 | 为了帮助保护静态数据，请确保您的 Amazon Redshift 集群启用了密 AWS 钥管理服务 (AWS KMS) 的加密。由于 Redshift 集群中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| 3.1.10(b） | b）系统文档、应用程序源代码和生产交易数据等敏感信息应有更广泛的控制措施以防篡改（例如完整性检查程序、加密哈希）。此外，政策应尽量减少敏感信息的分发，包括包含信息的打印件。 | 为了帮助保护静态数据，请确保为 S AWS ecrets Manager 密 AWS 钥启用密钥管理服务 (AWS KMS) 加密。由于 Secrets Manager 机密中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| 3.2.1(h） | h) 为了最大限度地降低与更改相关的风险， BFIs 应在更改之前对受影响的系统或应用程序进行备份。 BFIs 应制定回滚计划，以便在部署期间或部署之后遇到问题时恢复到系统或应用程序的先前版本。 | Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 会自动创建数据库实例的存储卷快照，备份整个数据库实例。系统允许您设置特定的保留期以满足您的弹性要求。 | |
| 3.2.1(h） | h) 为了最大限度地降低与更改相关的风险， BFIs 应在更改之前对受影响的系统或应用程序进行备份。 BFIs 应制定回滚计划，以便在部署期间或部署之后遇到问题时恢复到系统或应用程序的先前版本。 | 启用此规则可检查信息是否已备份。它还通过确保在 Amazon DynamoDB 中启用 point-in-time恢复功能来维护备份。恢复过程会维持表在过去 35 天的连续备份。 | |
| 3.2.1(h） | h) 为了最大限度地降低与更改相关的风险， BFIs 应在更改之前对受影响的系统或应用程序进行备份。 BFIs 应制定回滚计划，以便在部署期间或部署之后遇到问题时恢复到系统或应用程序的先前版本。 | 亚马逊 Elastic Block Store (Amazon EBS) 中的优化实例为亚马逊 EBS 运营提供了额外的专用容量。 I/O 这种优化可最大限度地减少 Amazon EBS I/O 操作与来自您的实例的其他流量之间的争用，从而为您的 EBS 卷提供最高效的性能。 | |
| 3.2.1(h） | h) 为了最大限度地降低与更改相关的风险， BFIs 应在更改之前对受影响的系统或应用程序进行备份。 BFIs 应制定回滚计划，以便在部署期间或部署之后遇到问题时恢复到系统或应用程序的先前版本。 | 启用自动备份后，Amazon ElastiCache 会每天创建集群的备份。备份可保留的天数由贵组织规定。自动备份可以帮助防止数据丢失。发生故障时，您可以通过从最新的备份还原数据来创建新集群。 | |
| 3.2.1(h） | h) 为了最大限度地降低与更改相关的风险， BFIs 应在更改之前对受影响的系统或应用程序进行备份。 BFIs 应制定回滚计划，以便在部署期间或部署之后遇到问题时恢复到系统或应用程序的先前版本。 | Amazon Simple Storage Service（Amazon S3）跨区域复制（CRR）支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。 | |
| 3.2.1(h） | h) 为了最大限度地降低与更改相关的风险， BFIs 应在更改之前对受影响的系统或应用程序进行备份。 BFIs 应制定回滚计划，以便在部署期间或部署之后遇到问题时恢复到系统或应用程序的先前版本。 | Amazon Simple Storage Service（Amazon S3）存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。 | |
| 3.2.1(h） | h) 为了最大限度地降低与更改相关的风险， BFIs 应在更改之前对受影响的系统或应用程序进行备份。 BFIs 应制定回滚计划，以便在部署期间或部署之后遇到问题时恢复到系统或应用程序的先前版本。 | 为了帮助完成数据备份流程，请确保备份计划中包含您的 Amazon DynamoDB 表。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| 3.2.1(h） | h) 为了最大限度地降低与更改相关的风险， BFIs 应在更改之前对受影响的系统或应用程序进行备份。 BFIs 应制定回滚计划，以便在部署期间或部署之后遇到问题时恢复到系统或应用程序的先前版本。 | 为了帮助完成数据备份流程，请确保您的亚马逊弹性区块存储 (Amazon EBS) 卷包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| 3.2.1(h） | h) 为了最大限度地降低与更改相关的风险， BFIs 应在更改之前对受影响的系统或应用程序进行备份。 BFIs 应制定回滚计划，以便在部署期间或部署之后遇到问题时恢复到系统或应用程序的先前版本。 | 为了帮助完成数据备份流程，请确保您的亚马逊弹性文件系统（Amazon EFS）文件系统包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| 3.2.1(h） | h) 为了最大限度地降低与更改相关的风险， BFIs 应在更改之前对受影响的系统或应用程序进行备份。 BFIs 应制定回滚计划，以便在部署期间或部署之后遇到问题时恢复到系统或应用程序的先前版本。 | 为了帮助完成数据备份流程，请确保您的亚马逊关系数据库服务 (Amazon RDS) 实例包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| 3.2.1(h） | h) 为了最大限度地降低与更改相关的风险， BFIs 应在更改之前对受影响的系统或应用程序进行备份。 BFIs 应制定回滚计划，以便在部署期间或部署之后遇到问题时恢复到系统或应用程序的先前版本。 | 为了帮助完成数据备份流程，请确保您的 Amazon Redshift 集群具有自动快照。当某个集群的自动快照处于启用状态时，Redshift 会定期拍摄该集群的快照。默认情况下，Redshift 大约每 8 小时或在每节点数据更改达到 5 GB 时拍摄一次快照，以先到者为准。 | |
| 3.2.1(k） | k）审计和安全日志是有用的信息，有助于调查和故障排除。BFI 应确保启用日志记录功能，以记录迁移过程中执行的活动。 | API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。 | |
| 3.2.1(k） | k）审计和安全日志是有用的信息，有助于调查和故障排除。BFI 应确保启用日志记录功能，以记录迁移过程中执行的活动。 | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您内部的 API 调用活动的详细信息 AWS 账户。 | |
| 3.2.1(k） | k）审计和安全日志是有用的信息，有助于调查和故障排除。BFI 应确保启用日志记录功能，以记录迁移过程中执行的活动。 | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。 | |
| 3.2.1(k） | k）审计和安全日志是有用的信息，有助于调查和故障排除。BFI 应确保启用日志记录功能，以记录迁移过程中执行的活动。 | 收集 Simple Storage Service（Amazon S3）数据事件有助于检测任何异常活动。详细 AWS 账户 信息包括访问 Amazon S3 存储桶的信息、IP 地址和事件时间。 | |
| 3.2.1(k） | k）审计和安全日志是有用的信息，有助于调查和故障排除。BFI 应确保启用日志记录功能，以记录迁移过程中执行的活动。 | Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息（例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应）。 | |
| 3.2.1(k） | k）审计和安全日志是有用的信息，有助于调查和故障排除。BFI 应确保启用日志记录功能，以记录迁移过程中执行的活动。 | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，则会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | |
| 3.2.1(k） | k）审计和安全日志是有用的信息，有助于调查和故障排除。BFI 应确保启用日志记录功能，以记录迁移过程中执行的活动。 | Amazon Simple Storage Service（Amazon S3）服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | |
| 3.2.1(k） | k）审计和安全日志是有用的信息，有助于调查和故障排除。BFI 应确保启用日志记录功能，以记录迁移过程中执行的活动。 | VPC 流日志详细记录进出 Amazon Virtual Private Cloud（Amazon VPC）网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。 | |
| 3.2.1(k） | k）审计和安全日志是有用的信息，有助于调查和故障排除。BFI 应确保启用日志记录功能，以记录迁移过程中执行的活动。 | 确保为日志组保留事件日志数据的最短时间，以帮助进行故障排除和取证调查。缺乏过去的事件日志数据会让重建和识别潜在的恶意事件变得困难。 | |
| 3.2.1(k） | k）审计和安全日志是有用的信息，有助于调查和故障排除。BFI 应确保启用日志记录功能，以记录迁移过程中执行的活动。 | 为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service（Amazon RDS）日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。 | |
| 3.2.1(k） | k）审计和安全日志是有用的信息，有助于调查和故障排除。BFI 应确保启用日志记录功能，以记录迁移过程中执行的活动。 | 要帮助在您的环境中进行日志记录和监控，请在区域和全球 Web 上启用 AWS WAF (V2) 日志记录。 ACLs AWS WAF 日志记录提供有关您的 Web ACL 所分析的流量的详细信息。这些日志记录了 AWS WAF 从您的 AWS 资源收到请求的时间、有关请求的信息以及每个请求匹配的规则的操作。 | |
| 3.2.1(k） | k）审计和安全日志是有用的信息，有助于调查和故障排除。BFI 应确保启用日志记录功能，以记录迁移过程中执行的活动。 | 要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。 | |
| 3.2.1(k） | k）审计和安全日志是有用的信息，有助于调查和故障排除。BFI 应确保启用日志记录功能，以记录迁移过程中执行的活动。 | 确保 Amazon S OpenSearch ervice 域已启用错误日志，并将其流式传输到 Amazon CloudWatch Logs 以进行保留和响应。域错误日志可以帮助进行安全和访问审核，还可以帮助诊断可用性问题。 | |
| 3.2.1(k） | k）审计和安全日志是有用的信息，有助于调查和故障排除。BFI 应确保启用日志记录功能，以记录迁移过程中执行的活动。 | 确保 Amazon S OpenSearch ervice 域已启用错误日志，并将其流式传输到 Amazon CloudWatch Logs 以进行保留和响应。 OpenSearch 服务错误日志可以帮助进行安全和访问审计，还可以帮助诊断可用性问题。 | |
| 3.2.3(a） | a）制定和实施预防、检测、分析和应对信息安全事件的流程。 | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IPs 和机器学习列表，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | |
| 3.2.3(a） | a）制定和实施预防、检测、分析和应对信息安全事件的流程。 | AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。 AWS Security Hub 汇总、整理来自多个服务的安全警报或发现，并对其进行优先排序。 AWS 其中一些服务包括Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS 身份和访问管理 (IAM) Access Analyzer、Firewall Manager 以及 AWS 合作伙伴解决方案。 AWS | |
| 3.3.1(a） | a）在系统设计中，考虑与保持高系统可用性、足够容量、可靠性能、快速响应时间和可扩展性相关的重要因素。 | Amazon DynamoDB 自动扩展 AWS 使用 Application Auto Scaling 服务来调整自动响应实际流量模式的预配置吞吐容量。这使表或全局二级索引能够增加其预配置 read/write 容量，以应对突然增加的流量，而不会受到限制。 | |
| 3.3.1(a） | a）在系统设计中，考虑与保持高系统可用性、足够容量、可靠性能、快速响应时间和可扩展性相关的重要因素。 | 启用此规则可检查信息是否已备份。它还通过确保在 Amazon DynamoDB 中启用 point-in-time恢复功能来维护备份。恢复过程会维持表在过去 35 天的连续备份。 | |
| 3.3.1(a） | a）在系统设计中，考虑与保持高系统可用性、足够容量、可靠性能、快速响应时间和可扩展性相关的重要因素。 | 亚马逊 Elastic Block Store (Amazon EBS) 中的优化实例为亚马逊 EBS 运营提供了额外的专用容量。 I/O 这种优化可最大限度地减少 Amazon EBS I/O 操作与来自您的实例的其他流量之间的争用，从而为您的 EBS 卷提供最高效的性能。 | |
| 3.3.1(a） | a）在系统设计中，考虑与保持高系统可用性、足够容量、可靠性能、快速响应时间和可扩展性相关的重要因素。 | 此规则可确保 Elastic Load Balancing 已启用删除保护。使用此功能可防止负载均衡器被意外或恶意删除，因为这可能导致应用程序丧失可用性。 | |
| 3.3.1(a） | a）在系统设计中，考虑与保持高系统可用性、足够容量、可靠性能、快速响应时间和可扩展性相关的重要因素。 | Amazon Relational Database Service（Amazon RDS）中的多可用区支持为数据库实例提供了增强的可用性和耐久性。当您预置多可用区数据库实例时，Amazon RDS 会自动创建一个主数据库实例，并将数据同步复制到不同可用区中的备用实例。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。 | |
| 3.3.1(a） | a）在系统设计中，考虑与保持高系统可用性、足够容量、可靠性能、快速响应时间和可扩展性相关的重要因素。 | Amazon Simple Storage Service（Amazon S3）跨区域复制（CRR）支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。 | |
| 3.3.1(a） | a）在系统设计中，考虑与保持高系统可用性、足够容量、可靠性能、快速响应时间和可扩展性相关的重要因素。 | Amazon Simple Storage Service（Amazon S3）存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。 | |
| 3.3.1(a） | a）在系统设计中，考虑与保持高系统可用性、足够容量、可靠性能、快速响应时间和可扩展性相关的重要因素。 | 可以实施冗余 Site-to-Site VPN 隧道来满足弹性要求。它使用两条隧道来帮助确保连接，以防其中一个 Site-to-Site VPN 连接不可用。为了防止连接中断，在您的客户网关不可用时，您可以使用第二个客户网关设置与您的亚马逊虚拟私有云 (Amazon VPC) 和虚拟私有网关的第二个 VP Site-to-Site N 连接。 | |
| 3.3.1(a） | a）在系统设计中，考虑与保持高系统可用性、足够容量、可靠性能、快速响应时间和可扩展性相关的重要因素。 | 为您的弹性负载均衡器 (ELBs) 启用跨区域负载均衡，以帮助保持足够的容量和可用性。跨区域负载均衡可降低在每个启用的可用区维持相同数量实例的需求。它还将提高应用程序处理一个或多个实例丢失情况的能力。 | |
| 3.3.1(a） | a）在系统设计中，考虑与保持高系统可用性、足够容量、可靠性能、快速响应时间和可扩展性相关的重要因素。 | 确保 Amazon Relational Database Service（Amazon RDS）实例已启用删除保护。使用删除保护可防止您的 Amazon RDS 实例被意外或恶意删除，这可能会导致您的应用程序丧失可用性。 | |
| 3.3.1(a） | a）在系统设计中，考虑与保持高系统可用性、足够容量、可靠性能、快速响应时间和可扩展性相关的重要因素。 | Amazon Elastic Compute Cloud（Amazon EC2）Auto Scaling 组的 Elastic Load Balancer（ELB）运行状况检查支持维持足够的容量和可用性。负载均衡器会定期发送 ping、尝试进行连接或者发送请求来测试自动扩缩组中的 Amazon EC2 实例。如果实例没有返回报告，则流量会发送到新的 Amazon EC2 实例。 | |
| 3.3.1(a） | a）在系统设计中，考虑与保持高系统可用性、足够容量、可靠性能、快速响应时间和可扩展性相关的重要因素。 | 启用此规则可确保检查您的 Amazon DynamoDB 表上的预置吞吐容量。这是每张表可以支持的 read/write 活动量。DynamoDB 使用这些信息来预留足够的系统资源，以满足吞吐量需求。当吞吐量接近客户账户的最大限制时，此规则会生成警报。此规则允许您选择性地设置账户RCUThreshold百分比（配置默认值：80）和账户WCUThreshold百分比（配置默认值：80）参数。实际值应反映贵组织的策略。 | |
| 3.3.1(a） | a）在系统设计中，考虑与保持高系统可用性、足够容量、可靠性能、快速响应时间和可扩展性相关的重要因素。 | 此规则可确保建立 Lambda 函数的并发上限和下限。这有助于确定函数在任何特定时间提供服务的请求数量的基准。 | |
| 3.4(a）(b）(c）(f）(j） | a）确保对用户访问记录进行唯一地标识和记录，以便进行审计和审查。b）对未经授权的访问进行问责和识别，并记录在案。c）启用对特权用户执行的系统活动的审计日志记录。f）确保应用适当的日志记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作。j）确保事件日志记录为自动监控系统奠定了基础，该系统能够生成有关系统安全的综合报告和警报。 | API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。 | |
| 3.4(a）(b）(c）(f）(j） | a）确保对用户访问记录进行唯一地标识和记录，以便进行审计和审查。b）对未经授权的访问进行问责和识别，并记录在案。c）启用对特权用户执行的系统活动的审计日志记录。f）确保应用适当的日志记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作。j）确保事件日志记录为自动监控系统奠定了基础，该系统能够生成有关系统安全的综合报告和警报。 | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您内部的 API 调用活动的详细信息 AWS 账户。 | |
| 3.4(a）(b）(c）(f）(j） | a）确保对用户访问记录进行唯一地标识和记录，以便进行审计和审查。b）对未经授权的访问进行问责和识别，并记录在案。c）启用对特权用户执行的系统活动的审计日志记录。f）确保应用适当的日志记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作。j）确保事件日志记录为自动监控系统奠定了基础，该系统能够生成有关系统安全的综合报告和警报。 | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。 | |
| 3.4(a）(b）(c）(f）(j） | a）确保对用户访问记录进行唯一地标识和记录，以便进行审计和审查。b）对未经授权的访问进行问责和识别，并记录在案。c）启用对特权用户执行的系统活动的审计日志记录。f）确保应用适当的日志记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作。j）确保事件日志记录为自动监控系统奠定了基础，该系统能够生成有关系统安全的综合报告和警报。 | 收集 Simple Storage Service（Amazon S3）数据事件有助于检测任何异常活动。详细 AWS 账户 信息包括访问 Amazon S3 存储桶的信息、IP 地址和事件时间。 | |
| 3.4(a）(b）(c）(f）(j） | a）确保对用户访问记录进行唯一地标识和记录，以便进行审计和审查。b）对未经授权的访问进行问责和识别，并记录在案。c）启用对特权用户执行的系统活动的审计日志记录。f）确保应用适当的日志记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作。j）确保事件日志记录为自动监控系统奠定了基础，该系统能够生成有关系统安全的综合报告和警报。 | 利用 AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 传送后是否被修改、删除或未更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这使得在没有检测到的情况下修改、删除或伪造 CloudTrail 日志文件在计算上是不可行的。 | |
| 3.4(a）(b）(c）(f）(j） | a）确保对用户访问记录进行唯一地标识和记录，以便进行审计和审查。b）对未经授权的访问进行问责和识别，并记录在案。c）启用对特权用户执行的系统活动的审计日志记录。f）确保应用适当的日志记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作。j）确保事件日志记录为自动监控系统奠定了基础，该系统能够生成有关系统安全的综合报告和警报。 | Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息（例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应）。 | |
| 3.4(a）(b）(c）(f）(j） | a）确保对用户访问记录进行唯一地标识和记录，以便进行审计和审查。b）对未经授权的访问进行问责和识别，并记录在案。c）启用对特权用户执行的系统活动的审计日志记录。f）确保应用适当的日志记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作。j）确保事件日志记录为自动监控系统奠定了基础，该系统能够生成有关系统安全的综合报告和警报。 | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，则会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | |
| 3.4(a）(b）(c）(f）(j） | a）确保对用户访问记录进行唯一地标识和记录，以便进行审计和审查。b）对未经授权的访问进行问责和识别，并记录在案。c）启用对特权用户执行的系统活动的审计日志记录。f）确保应用适当的日志记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作。j）确保事件日志记录为自动监控系统奠定了基础，该系统能够生成有关系统安全的综合报告和警报。 | Amazon Simple Storage Service（Amazon S3）服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | |
| 3.4(a）(b）(c）(f）(j） | a）确保对用户访问记录进行唯一地标识和记录，以便进行审计和审查。b）对未经授权的访问进行问责和识别，并记录在案。c）启用对特权用户执行的系统活动的审计日志记录。f）确保应用适当的日志记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作。j）确保事件日志记录为自动监控系统奠定了基础，该系统能够生成有关系统安全的综合报告和警报。 | VPC 流日志详细记录进出 Amazon Virtual Private Cloud（Amazon VPC）网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。 | |
| 3.4(a）(b）(c）(f）(j） | a）确保对用户访问记录进行唯一地标识和记录，以便进行审计和审查。b）对未经授权的访问进行问责和识别，并记录在案。c）启用对特权用户执行的系统活动的审计日志记录。f）确保应用适当的日志记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作。j）确保事件日志记录为自动监控系统奠定了基础，该系统能够生成有关系统安全的综合报告和警报。 | 为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service（Amazon RDS）日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。 | |
| 3.4(a）(b）(c）(f）(j） | a）确保对用户访问记录进行唯一地标识和记录，以便进行审计和审查。b）对未经授权的访问进行问责和识别，并记录在案。c）启用对特权用户执行的系统活动的审计日志记录。f）确保应用适当的日志记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作。j）确保事件日志记录为自动监控系统奠定了基础，该系统能够生成有关系统安全的综合报告和警报。 | 要帮助在您的环境中进行日志记录和监控，请在区域和全球 Web 上启用 AWS WAF (V2) 日志记录。 ACLs AWS WAF 日志记录提供有关您的 Web ACL 所分析的流量的详细信息。这些日志记录了 AWS WAF 从您的 AWS 资源收到请求的时间、有关请求的信息以及每个请求匹配的规则的操作。 | |
| 3.4(a）(b）(c）(f）(j） | a）确保对用户访问记录进行唯一地标识和记录，以便进行审计和审查。b）对未经授权的访问进行问责和识别，并记录在案。c）启用对特权用户执行的系统活动的审计日志记录。f）确保应用适当的日志记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作。j）确保事件日志记录为自动监控系统奠定了基础，该系统能够生成有关系统安全的综合报告和警报。 | 要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。 | |
| 3.4(a）(b）(c）(f）(j） | a）确保对用户访问记录进行唯一地标识和记录，以便进行审计和审查。b）对未经授权的访问进行问责和识别，并记录在案。c）启用对特权用户执行的系统活动的审计日志记录。f）确保应用适当的日志记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作。j）确保事件日志记录为自动监控系统奠定了基础，该系统能够生成有关系统安全的综合报告和警报。 | 确保 Amazon S OpenSearch ervice 域已启用错误日志，并将其流式传输到 Amazon CloudWatch Logs 以进行保留和响应。域错误日志可以帮助进行安全和访问审核，还可以帮助诊断可用性问题。 | |
| 3.4(a）(b）(c）(f）(j） | a）确保对用户访问记录进行唯一地标识和记录，以便进行审计和审查。b）对未经授权的访问进行问责和识别，并记录在案。c）启用对特权用户执行的系统活动的审计日志记录。f）确保应用适当的日志记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作。j）确保事件日志记录为自动监控系统奠定了基础，该系统能够生成有关系统安全的综合报告和警报。 | 确保 Amazon S OpenSearch ervice 域已启用错误日志，并将其流式传输到 Amazon CloudWatch Logs 以进行保留和响应。 OpenSearch 服务错误日志可以帮助进行安全和访问审计，还可以帮助诊断可用性问题。 | |
| 3.4(f） | f）确保应用适当的日志记录和监控，以记录和检测可能影响信息安全或与信息安全相关的操作。 | AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。 AWS Security Hub 汇总、整理来自多个服务的安全警报或发现，并对其进行优先排序。 AWS 其中一些服务包括Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS 身份和访问管理 (IAM) Access Analyzer、Firewall Manager 以及 AWS 合作伙伴解决方案。 AWS | |
| 3.4(g） | g) 确保事件日志在相关时包括：-用户 IDs-系统活动-关键事件的日期、时间和详细信息，例如登录和注销-设备身份或位置（如果可能）和系统标识符-成功和拒绝的系统访问尝试的记录-成功和拒绝的数据和其他资源访问尝试的记录-系统配置的更改-权限的使用-系统实用程序和应用程序的使用-访问的文件和访问的类型-网络地址和协议-发出警报通过访问控制系统和-用户在应用程序和在线客户交易中执行的交易记录 | 收集 Simple Storage Service（Amazon S3）数据事件有助于检测任何异常活动。详细 AWS 账户 信息包括访问 Amazon S3 存储桶的信息、IP 地址和事件时间。 | |
| 3.4(g） | g) 确保事件日志在相关时包括：-用户 IDs-系统活动-关键事件的日期、时间和详细信息，例如登录和注销-设备身份或位置（如果可能）和系统标识符-成功和拒绝的系统访问尝试的记录-成功和拒绝的数据和其他资源访问尝试的记录-系统配置的更改-权限的使用-系统实用程序和应用程序的使用-访问的文件和访问的类型-网络地址和协议-发出警报通过访问控制系统和-用户在应用程序和在线客户交易中执行的交易记录 | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，则会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | |
| 3.4(g） | g) 确保事件日志在相关时包括：-用户 IDs-系统活动-关键事件的日期、时间和详细信息，例如登录和注销-设备身份或位置（如果可能）和系统标识符-成功和拒绝的系统访问尝试的记录-成功和拒绝的数据和其他资源访问尝试的记录-系统配置的更改-权限的使用-系统实用程序和应用程序的使用-访问的文件和访问的类型-网络地址和协议-发出警报通过访问控制系统和-用户在应用程序和在线客户交易中执行的交易记录 | Amazon Simple Storage Service（Amazon S3）服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | |
| 3.4(g） | g) 确保事件日志在相关时包括：-用户 IDs-系统活动-关键事件的日期、时间和详细信息，例如登录和注销-设备身份或位置（如果可能）和系统标识符-成功和拒绝的系统访问尝试的记录-成功和拒绝的数据和其他资源访问尝试的记录-系统配置的更改-权限的使用-系统实用程序和应用程序的使用-访问的文件和访问的类型-网络地址和协议-发出警报通过访问控制系统和-用户在应用程序和在线客户交易中执行的交易记录 | 为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service（Amazon RDS）日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。 | |
| 3.4(g） | g) 确保事件日志在相关时包括：-用户 IDs-系统活动-关键事件的日期、时间和详细信息，例如登录和注销-设备身份或位置（如果可能）和系统标识符-成功和拒绝的系统访问尝试的记录-成功和拒绝的数据和其他资源访问尝试的记录-系统配置的更改-权限的使用-系统实用程序和应用程序的使用-访问的文件和访问的类型-网络地址和协议-发出警报通过访问控制系统和-用户在应用程序和在线客户交易中执行的交易记录 | 要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。 | |
| 3.4(g） | g) 确保事件日志在相关时包括：-用户 IDs-系统活动-关键事件的日期、时间和详细信息，例如登录和注销-设备身份或位置（如果可能）和系统标识符-成功和拒绝的系统访问尝试的记录-成功和拒绝的数据和其他资源访问尝试的记录-系统配置的更改-权限的使用-系统实用程序和应用程序的使用-访问的文件和访问的类型-网络地址和协议-发出警报通过访问控制系统和-用户在应用程序和在线客户交易中执行的交易记录 | 要帮助在您的环境中进行日志记录和监控，请在区域和全球 Web 上启用 AWS WAF (V2) 日志记录。 ACLs AWS WAF 日志记录提供有关您的 Web ACL 所分析的流量的详细信息。这些日志记录了 AWS WAF 从您的 AWS 资源收到请求的时间、有关请求的信息以及每个请求匹配的规则的操作。 | |
| 3.4(g） | g) 确保事件日志在相关时包括：-用户 IDs-系统活动-关键事件的日期、时间和详细信息，例如登录和注销-设备身份或位置（如果可能）和系统标识符-成功和拒绝的系统访问尝试的记录-成功和拒绝的数据和其他资源访问尝试的记录-系统配置的更改-权限的使用-系统实用程序和应用程序的使用-访问的文件和访问的类型-网络地址和协议-发出警报通过访问控制系统和-用户在应用程序和在线客户交易中执行的交易记录 | Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息（例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应）。 | |
| 3.4(g） | g) 确保事件日志在相关时包括：-用户 IDs-系统活动-关键事件的日期、时间和详细信息，例如登录和注销-设备身份或位置（如果可能）和系统标识符-成功和拒绝的系统访问尝试的记录-成功和拒绝的数据和其他资源访问尝试的记录-系统配置的更改-权限的使用-系统实用程序和应用程序的使用-访问的文件和访问的类型-网络地址和协议-发出警报通过访问控制系统和-用户在应用程序和在线客户交易中执行的交易记录 | API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。 | |
| 3.4(g） | g) 确保事件日志在相关时包括：-用户 IDs-系统活动-关键事件的日期、时间和详细信息，例如登录和注销-设备身份或位置（如果可能）和系统标识符-成功和拒绝的系统访问尝试的记录-成功和拒绝的数据和其他资源访问尝试的记录-系统配置的更改-权限的使用-系统实用程序和应用程序的使用-访问的文件和访问的类型-网络地址和协议-发出警报通过访问控制系统和-用户在应用程序和在线客户交易中执行的交易记录 | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您内部的 API 调用活动的详细信息 AWS 账户。 | |
| 3.4(g） | g) 确保事件日志在相关时包括：-用户 IDs-系统活动-关键事件的日期、时间和详细信息，例如登录和注销-设备身份或位置（如果可能）和系统标识符-成功和拒绝的系统访问尝试的记录-成功和拒绝的数据和其他资源访问尝试的记录-系统配置的更改-权限的使用-系统实用程序和应用程序的使用-访问的文件和访问的类型-网络地址和协议-发出警报通过访问控制系统和-用户在应用程序和在线客户交易中执行的交易记录 | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。 | |
| 3.4(g） | g) 确保事件日志在相关时包括：-用户 IDs-系统活动-关键事件的日期、时间和详细信息，例如登录和注销-设备身份或位置（如果可能）和系统标识符-成功和拒绝的系统访问尝试的记录-成功和拒绝的数据和其他资源访问尝试的记录-系统配置的更改-权限的使用-系统实用程序和应用程序的使用-访问的文件和访问的类型-网络地址和协议-发出警报通过访问控制系统和-用户在应用程序和在线客户交易中执行的交易记录 | VPC 流日志详细记录进出 Amazon Virtual Private Cloud（Amazon VPC）网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。 | |
| 3.4(g） | g) 确保事件日志在相关时包括：-用户 IDs-系统活动-关键事件的日期、时间和详细信息，例如登录和注销-设备身份或位置（如果可能）和系统标识符-成功和拒绝的系统访问尝试的记录-成功和拒绝的数据和其他资源访问尝试的记录-系统配置的更改-权限的使用-系统实用程序和应用程序的使用-访问的文件和访问的类型-网络地址和协议-发出警报通过访问控制系统和-用户在应用程序和在线客户交易中执行的交易记录 | 确保为日志组保留事件日志数据的最短时间，以帮助进行故障排除和取证调查。缺乏过去的事件日志数据会让重建和识别潜在的恶意事件变得困难。 | |
| 3.4(g） | g) 确保事件日志在相关时包括：-用户 IDs-系统活动-关键事件的日期、时间和详细信息，例如登录和注销-设备身份或位置（如果可能）和系统标识符-成功和拒绝的系统访问尝试的记录-成功和拒绝的数据和其他资源访问尝试的记录-系统配置的更改-权限的使用-系统实用程序和应用程序的使用-访问的文件和访问的类型-网络地址和协议-发出警报通过访问控制系统和-用户在应用程序和在线客户交易中执行的交易记录 | 确保 Amazon S OpenSearch ervice 域已启用错误日志，并将其流式传输到 Amazon CloudWatch Logs 以进行保留和响应。域错误日志可以帮助进行安全和访问审核，还可以帮助诊断可用性问题。 | |
| 3.4(g） | g) 确保事件日志在相关时包括：-用户 IDs-系统活动-关键事件的日期、时间和详细信息，例如登录和注销-设备身份或位置（如果可能）和系统标识符-成功和拒绝的系统访问尝试的记录-成功和拒绝的数据和其他资源访问尝试的记录-系统配置的更改-权限的使用-系统实用程序和应用程序的使用-访问的文件和访问的类型-网络地址和协议-发出警报通过访问控制系统和-用户在应用程序和在线客户交易中执行的交易记录 | 确保 Amazon S OpenSearch ervice 域已启用错误日志，并将其流式传输到 Amazon CloudWatch Logs 以进行保留和响应。 OpenSearch 服务错误日志可以帮助进行安全和访问审计，还可以帮助诊断可用性问题。 | |
| 3.6.1(a）(h） | a) BFIs 需要确保为其网络应用程序采取适当的安全措施，并针对各种网络安全风险采取合理的缓解措施。h) BFIs 需要确保为其网络应用程序采取适当的安全措施，并对各种网络安全风险采取合理的缓解措施 | 确保在弹性负载均衡器 (ELB) 上启用 AWS WAF，以帮助保护 Web 应用程序。WAF 有助于保护您的 Web 应用程序或 APIs 免受常见的 Web 漏洞攻击。这些 Web 漏洞可能会影响可用性、损害安全性或消耗环境中过多的资源。 | |
| 3.6.1(a）(h） | a) BFIs 需要确保为其网络应用程序采取适当的安全措施，并针对各种网络安全风险采取合理的缓解措施。h) BFIs 需要确保为其网络应用程序采取适当的安全措施，并对各种网络安全风险采取合理的缓解措施 | AWS WAF 允许您配置一组规则（称为 Web 访问控制列表 (Web ACL)），这些规则根据您定义的可自定义 Web 安全规则和条件允许、阻止或计数 Web 请求。确保您的 Amazon API Gateway 阶段与某个 WAF Web ACL 关联，以保护其免受恶意攻击 | |
| 3.6.1(b） | b) BFIs 需要评估与其网上银行系统和其他相关系统相关的安全要求，并考虑到所需的保密性和完整性程度采用加密解决方案。 | 通过确保 X509 证书由 ACM 颁发，确保网络完整性得到保护。 AWS 这些证书必须有效且未过期。此规则需要一个值 daysToExpiration （AWS 基础安全最佳实践值：90）。实际值应反映贵组织的策略。 | |
| 3.6.1(b） | b) BFIs 需要评估与其网上银行系统和其他相关系统相关的安全要求，并考虑到所需的保密性和完整性程度采用加密解决方案。 | 为帮助保护传输中的数据，请确保应用负载均衡器自动将未加密的 HTTP 请求重定向到 HTTPS。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| 3.6.1(b） | b) BFIs 需要评估与其网上银行系统和其他相关系统相关的安全要求，并考虑到所需的保密性和完整性程度采用加密解决方案。 | 由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certifice Manager 通过 AWS 服务和内部资源管理、配置和部署公有和私有 SSL/TLS 证书。 | |
| 3.6.1(b） | b) BFIs 需要评估与其网上银行系统和其他相关系统相关的安全要求，并考虑到所需的保密性和完整性程度采用加密解决方案。 | 确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接 SQL 客户端。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| 3.6.1(b） | b) BFIs 需要评估与其网上银行系统和其他相关系统相关的安全要求，并考虑到所需的保密性和完整性程度采用加密解决方案。 | 为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service（Amazon S3）存储桶需要请求使用安全套接字层（SSL）。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| 3.6.1(b） | b) BFIs 需要评估与其网上银行系统和其他相关系统相关的安全要求，并考虑到所需的保密性和完整性程度采用加密解决方案。 | 确保您的 Elastic Load Balancers（ELB）已配置为丢弃 http 标头。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| 3.6.1(b） | b) BFIs 需要评估与其网上银行系统和其他相关系统相关的安全要求，并考虑到所需的保密性和完整性程度采用加密解决方案。 | 确保启用了 Amazon OpenSearch 服务的 node-to-node加密。 Node-to-node加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| 3.6.1(b） | b) BFIs 需要评估与其网上银行系统和其他相关系统相关的安全要求，并考虑到所需的保密性和完整性程度采用加密解决方案。 | 确保启用了 Amazon OpenSearch 服务的 node-to-node加密。 Node-to-node加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| 3.6.1(b） | b) BFIs 需要评估与其网上银行系统和其他相关系统相关的安全要求，并考虑到所需的保密性和完整性程度采用加密解决方案。 | 确保您的弹性负载均衡器 (ELBs) 配置了 SSL 或 HTTPS 侦听器。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | |
| 3.6.1(b） | b) BFIs 需要评估与其网上银行系统和其他相关系统相关的安全要求，并考虑到所需的保密性和完整性程度采用加密解决方案。 | 确保 Amazon API Gateway REST API 阶段配置了 SSL 证书，以允许后端系统验证请求来自 API Gateway。 | |
| 3.6.1(b） | b) BFIs 需要评估与其网上银行系统和其他相关系统相关的安全要求，并考虑到所需的保密性和完整性程度采用加密解决方案。 | 由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certifice Manager 通过 AWS 服务和内部资源管理、配置和部署公有和私有 SSL/TLS 证书。 | |
| 3.6.1(d） | d) BFIs 提供网上银行服务应该对异常的网络流量状况/系统性能以及系统资源利用率的突然激增做出反应，这可能表明存在S攻击。 DDo因此，任何先发制人和被动反应行动的成功与否，都取决于是否部署了适当的工具来有效检测、监控和分析网络和系统中的异常情况。 | 确保在弹性负载均衡器 (ELB) 上启用 AWS WAF，以帮助保护 Web 应用程序。WAF 有助于保护您的 Web 应用程序或 APIs 免受常见的 Web 漏洞攻击。这些 Web 漏洞可能会影响可用性、损害安全性或消耗环境中过多的资源。 | |
| 3.6.1(d） | d) BFIs 提供网上银行服务应该对异常的网络流量状况/系统性能以及系统资源利用率的突然激增做出反应，这可能表明存在S攻击。 DDo因此，任何先发制人和被动反应行动的成功与否，都取决于是否部署了适当的工具来有效检测、监控和分析网络和系统中的异常情况。 | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IPs 和机器学习列表，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | |
| 3.6.1(d） | d) BFIs 提供网上银行服务应该对异常的网络流量状况/系统性能以及系统资源利用率的突然激增做出反应，这可能表明存在S攻击。 DDo因此，任何先发制人和被动反应行动的成功与否，都取决于是否部署了适当的工具来有效检测、监控和分析网络和系统中的异常情况。 | AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。 AWS Security Hub 汇总、整理来自多个服务的安全警报或发现，并对其进行优先排序。 AWS 其中一些服务包括Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS 身份和访问管理 (IAM) Access Analyzer、Firewall Manager 以及 AWS 合作伙伴解决方案。 AWS | |
| 3.6.1(d） | d) BFIs 提供网上银行服务应该对异常的网络流量状况/系统性能以及系统资源利用率的突然激增做出反应，这可能表明存在S攻击。 DDo因此，任何先发制人和被动反应行动的成功与否，都取决于是否部署了适当的工具来有效检测、监控和分析网络和系统中的异常情况。 | 要帮助在您的环境中进行日志记录和监控，请在区域和全球 Web 上启用 AWS WAF (V2) 日志记录。 ACLs AWS WAF 日志记录提供有关您的 Web ACL 所分析的流量的详细信息。这些日志记录了 AWS WAF 从您的 AWS 资源收到请求的时间、有关请求的信息以及每个请求匹配的规则的操作。 | |
| 3.6.1(d） | d) BFIs 提供网上银行服务应该对异常的网络流量状况/系统性能以及系统资源利用率的突然激增做出反应，这可能表明存在S攻击。 DDo因此，任何先发制人和被动反应行动的成功与否，都取决于是否部署了适当的工具来有效检测、监控和分析网络和系统中的异常情况。 | AWS WAF 允许您配置一组规则（称为 Web 访问控制列表 (Web ACL)），这些规则根据您定义的可自定义 Web 安全规则和条件允许、阻止或计数 Web 请求。确保您的 Amazon API Gateway 阶段与某个 WAF Web ACL 关联，以保护其免受恶意攻击 | |
| 3.6.1(e） | e) BFIs 需要定期评估信息安全漏洞，评估现有 IT 安全风险管理框架的有效性，进行必要的调整，以确保及时解决新出现的漏洞。这种评估也应作为任何重大变更的一部分进行。 | Amazon 按严重程度对调查结果进行分类：低、中、高，从而 GuardDuty 帮助您了解事件的影响。您可以使用这些分类来确定补救策略和优先级。此规则允许您根据组织政策的 daysLowSev 要求选择性地为非存档的查找结果设置 daysMediumSev （配置默认：30）、 daysHighSev （配置默认值：7）和（配置默认：1）。 | |
| 3.6.4(a）(b） | a）限制互联网访问并将关键系统与通用 IT 环境隔离开来。b）减少攻击面和漏洞。 | 通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问权限。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| 3.6.4(a）(b） | a）限制互联网访问并将关键系统与通用 IT 环境隔离开来。b）减少攻击面和漏洞。 | 通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问权限。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| 3.6.4(a）(b） | a）限制互联网访问并将关键系统与通用 IT 环境隔离开来。b）减少攻击面和漏洞。 | 通过确保无法公开访问亚马逊弹性计算云 (Amazon EC2) 实例来管理对云的访问。 AWS Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| 3.6.4(a）(b） | a）限制互联网访问并将关键系统与通用 IT 环境隔离开来。b）减少攻击面和漏洞。 | 通过确保亚马逊 OpenSearch 服务（OpenSearch 服务）域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。Amazon VPC 中的 OpenSearch 服务域可实现 OpenSearch 服务与 Amazon VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。 | |
| 3.6.4(a）(b） | a）限制互联网访问并将关键系统与通用 IT 环境隔离开来。b）减少攻击面和漏洞。 | 通过确保亚马逊 OpenSearch 服务域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。亚马逊 VPC 内的亚马逊 OpenSearch 服务域可实现亚马逊 OpenSearch 服务与亚马逊 VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。 | |
| 3.6.4(a）(b） | a）限制互联网访问并将关键系统与通用 IT 环境隔离开来。b）减少攻击面和漏洞。 | 通过确保无法公开访问 Amazon EMR 集群主节点来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。 | |
| 3.6.4(a）(b） | a）限制互联网访问并将关键系统与通用 IT 环境隔离开来。b）减少攻击面和漏洞。 | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。 | |
| 3.6.4(a）(b） | a）限制互联网访问并将关键系统与通用 IT 环境隔离开来。b）减少攻击面和漏洞。 | 在 Amazon Virtual Private Cloud（Amazon VPC）内部署 Amazon Elastic Compute Cloud（Amazon EC2）实例，以实现实例与 Amazon VPC 内其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。 | |
| 3.6.4(a）(b） | a）限制互联网访问并将关键系统与通用 IT 环境隔离开来。b）减少攻击面和漏洞。 | 通过确保互联网网关仅连接到授权的亚马逊虚拟私有 AWS 云（Amazon VPC），来管理对云中资源的访问。互联网网关允许进出 Amazon VPC 的双向互联网访问，这可能会导致未经授权访问 Amazon VPC 资源。 | |
| 3.6.4(a）(b） | a）限制互联网访问并将关键系统与通用 IT 环境隔离开来。b）减少攻击面和漏洞。 | 通过确保无法公开访问 AWS Lambda 函数来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。 | |
| 3.6.4(a）(b） | a）限制互联网访问并将关键系统与通用 IT 环境隔离开来。b）减少攻击面和漏洞。 | 在亚马逊虚拟私有云（亚马逊 VPC）中部署 AWS Lambda 函数，以便在亚马逊 VPC 内的函数与其他服务之间进行安全通信。使用此配置时，不需要互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。为了正确管理访问权限，应 AWS 将 Lambda 函数分配给 VPC。 | |
| 3.6.4(a）(b） | a）限制互联网访问并将关键系统与通用 IT 环境隔离开来。b）减少攻击面和漏洞。 | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| 3.6.4(a）(b） | a）限制互联网访问并将关键系统与通用 IT 环境隔离开来。b）减少攻击面和漏洞。 | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| 3.6.4(a）(b） | a）限制互联网访问并将关键系统与通用 IT 环境隔离开来。b）减少攻击面和漏洞。 | 通过确保 Amazon Redshift 集群不公开，管理对 AWS 云端资源的访问权限。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | |
| 3.6.4(a）(b） | a）限制互联网访问并将关键系统与通用 IT 环境隔离开来。b）减少攻击面和漏洞。 | 通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。 | |
| 3.6.4(a）(b） | a）限制互联网访问并将关键系统与通用 IT 环境隔离开来。b）减少攻击面和漏洞。 | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | |
| 3.6.4(a）(b） | a）限制互联网访问并将关键系统与通用 IT 环境隔离开来。b）减少攻击面和漏洞。 | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | |
| 3.6.4(a）(b） | a）限制互联网访问并将关键系统与通用 IT 环境隔离开来。b）减少攻击面和漏洞。 | 通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对 AWS 云端资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。 | |
| 3.6.4(a）(b） | a）限制互联网访问并将关键系统与通用 IT 环境隔离开来。b）减少攻击面和漏洞。 | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。 | |
| 3.6.4(a）(b） | a）限制互联网访问并将关键系统与通用 IT 环境隔离开来。b）减少攻击面和漏洞。 | 通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网（0.0.0.0/0）访问安全组内的资源，可以控制对内部系统的远程访问。 | |
| 3.6.4(a）(b） | a）限制互联网访问并将关键系统与通用 IT 环境隔离开来。b）减少攻击面和漏洞。 | 确保 Amazon EC2 路由表中没有指向互联网网关的无限制路由。移除或限制 Amazon 内部工作负载的互联网访问权限 VPCs 可以减少您环境中的意外访问。 | |
| 3.6.4(a）(b） | a）限制互联网访问并将关键系统与通用 IT 环境隔离开来。b）减少攻击面和漏洞。 | 通过确保亚马逊虚拟私有 AWS 云 (VPC) Virtual Private Cloud 子网不会自动分配公有 IP 地址来管理对云的访问。Amazon Elastic Compute Cloud（EC2）实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。 | |
| 3.6.4(a）(b） | a）限制互联网访问并将关键系统与通用 IT 环境隔离开来。b）减少攻击面和漏洞。 | 如果您使用公有 IP 地址配置网络接口，则可以从互联网访问这些网络接口的相关资源。EC2 资源不应可公开访问，因为这可能会允许意外地访问您的应用程序或服务器。 | |
| 3.6.4(a）(b） | a）限制互联网访问并将关键系统与通用 IT 环境隔离开来。b）减少攻击面和漏洞。 | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置（配置默认值：True）、 ignorePublicAcls （配置默认值：True）、 blockPublicPolicy （配置默认值：True）和参数 blockPublicAcls （配置默认值：True）和 restrictPublicBuckets 参数（配置默认值：True）。实际值应反映贵组织的策略。 | |
| 3.6.4(a）(b） | a）限制互联网访问并将关键系统与通用 IT 环境隔离开来。b）减少攻击面和漏洞。 | 确保 S AWS ystems Manager (SSM) 文档不公开，因为这可能会允许意外访问您的 SSM 文档。公开 SSM 文档可能会公开有关您的账户、资源和内部流程的信息。 |
模板
该模板可在以下网址获得 GitHub：NBC TRMG 运营最佳实践
