Operative Exzellenz

Überprüft, ob Amazon API Gateway CloudWatch Logs auf der gewünschten Protokollierungsstufe aktiviert hat.

Schalten Sie die CloudWatch Protokollierung für REST-API-Methoden oder WebSocket API-Routen in Amazon API Gateway ein, um CloudWatch Ausführungsprotokolle für Anfragen, die von Ihren APIs empfangen wurden, in den Protokollen zu sammeln. Die in den Ausführungsprotokollen enthaltenen Informationen helfen Ihnen dabei, Probleme im Zusammenhang mit Ihrer API zu identifizieren und zu beheben.

Sie können die ID der Protokollierungsebene (ERROR, INFO) im Parameter LoggingLevel in den AWS Config Regeln angeben.

Weitere Informationen zur CloudWatch Anmeldung bei Amazon WebSocket API Gateway finden Sie in der REST-API oder der API-Dokumentation.

c18d2gz125

AWS Config Managed Rule: api-gw-execution-logging-enabled

Gelb: Die CloudWatch Protokollierungseinstellung für die Erfassung von Ausführungsprotokollen ist auf der gewünschten Protokollierungsebene für ein Amazon API Gateway nicht aktiviert.

Schalten Sie die CloudWatch Protokollierung für Ausführungsprotokolle für Ihre Amazon API Gateway-REST-APIs oder WebSocket APIs mit der entsprechenden Protokollierungsstufe (ERROR, INFO) ein.

Weitere Informationen finden Sie unter Erstellen eines Flow-Protokolls.

Prüft, ob für die Amazon API Gateway-REST-APIs die AWS X-Ray Ablaufverfolgung aktiviert ist.

Schalten Sie das X-Ray Tracing für Ihre REST-APIs ein, damit API Gateway API-Aufrufanfragen mit Trace-Informationen abtasten kann. Auf diese Weise können Sie die Vorteile nutzen, um Anfragen AWS X-Ray zu verfolgen und zu analysieren, während sie über Ihre API Gateway-REST-APIs zu den nachgelagerten Diensten übertragen werden.

Weitere Informationen finden Sie unter Verfolgen von Benutzeranfragen an REST-APIs mithilfe von X-Ray.

c18d2gz126

AWS Config Managed Rule: api-gw-xray-enabled

Gelb: Die X-Ray Ablaufverfolgung ist für eine API Gateway-REST-API nicht aktiviert.

Schalten Sie die X-Ray Ablaufverfolgung für Ihre API Gateway-REST-APIs ein.

Weitere Informationen finden Sie unter Einrichtung AWS X-Ray mit API Gateway-REST-APIs.

Prüft, ob CloudFront Amazon-Distributionen so konfiguriert sind, dass sie Informationen aus den Amazon S3-Serverzugriffsprotokollen erfassen. Die Amazon S3-Serverzugriffsprotokolle enthalten detaillierte Informationen zu jeder eingegangenen Benutzeranfrage CloudFront .

Sie können den Namen des Amazon S3-Buckets zum Speichern von Serverzugriffsprotokollen mithilfe des S3BucketName Parameters in Ihren AWS Config Regeln anpassen.

Weitere Informationen finden Sie unter Konfigurieren und Verwenden von Standardprotokollen (Zugriffsprotokollen).

c18d2gz110

AWS Config Managed Rule: cloudfront-accesslogs-enabled

Gelb: Amazon CloudFront Access Logging ist nicht aktiviert

Stellen Sie sicher, dass Sie die CloudFront Zugriffsprotokollierung aktivieren, um detaillierte Informationen zu jeder eingegangenen Benutzeranfrage zu CloudFront erfassen.

Sie können Standardprotokolle aktivieren, wenn Sie eine Verteilung erstellen oder aktualisieren.

Weitere Informationen finden Sie unter Werte, die Sie beim Erstellen oder Aktualisieren einer Verteilung angeben.

Überprüft, ob Ihre CloudWatch Amazon-Alarmaktion deaktiviert ist.

Sie können das verwenden AWS CLI , um die Aktionsfunktion in Ihrem Alarm zu aktivieren oder zu deaktivieren. Oder Sie können die Aktionsfunktion mithilfe des AWS SDK programmgesteuert deaktivieren oder aktivieren. Wenn die Alarmaktionsfunktion ausgeschaltet ist, führt CloudWatch sie in keinem Zustand eine definierte Aktion aus (OK, INSUFFICIENT_DATA, ALARM).

c18d2gz109

AWS Config Managed Rule: cloudwatch-alarm-action-enabled-check

Gelb: Die CloudWatch Amazon-Alarmaktion ist nicht aktiviert. In keinem Alarmzustand wird eine Aktion ausgeführt.

Aktivieren Sie Aktionen in Ihren CloudWatch Alarmen, es sei denn, Sie haben einen triftigen Grund, sie zu deaktivieren, z. B. zu Testzwecken.

Wenn der CloudWatch Alarm nicht mehr benötigt wird, löschen Sie ihn, um unnötige Kosten zu vermeiden.

Weitere Informationen finden Sie unter enable-alarm-actions in der AWS CLI Befehlsreferenz und unter func (*CloudWatch) EnableAlarmActions in der SDK for Go API-Referenz. AWS

Prüft, ob die Amazon EC2-Instances in Ihrem Konto von verwaltet werden. AWS Systems Manager

Systems Manager hilft Ihnen dabei, den aktuellen Status Ihrer Amazon-EC2-Instance und Betriebssystemkonfigurationen zu verstehen und zu kontrollieren. Mit Systems Manager können Sie Softwarekonfigurations- und Bestandsinformationen zu Ihrer Flotte von Instances, einschließlich der darauf installierten Software, erfassen. Auf diese Weise können Sie detaillierte Informationen zu Systemkonfigurationen, Betriebssystem-Patch-Levels, Anwendungskonfigurationen und andere Details zu Ihrer Bereitstellung verfolgen.

Weitere Informationen finden Sie unter Einrichtung von Systems Manager für EC2-Instances.

c18d2gz145

AWS Config Managed Rule: ec2-instance-managed-by-systems-manager

Gelb: Die Amazon-EC2-Instances werden nicht von Systems Manager verwaltet.

Konfigurieren Sie Ihre Amazon-EC2-Instance für die Verwaltung durch Systems Manager.

Diese Prüfung kann nicht von der Anzeige in der Trusted Advisor Konsole ausgeschlossen werden.

Weitere Informationen finden Sie unter Warum wird meine EC2-Instance nicht als verwalteter Knoten angezeigt oder hat den Status „Verbindung getrennt“ in Systems Manager?.

Einrichtung von Systems Manager für EC2-Instances

Prüft, ob in einem privaten Amazon-ECR-Repository die Unveränderlichkeit von Image-Tags aktiviert ist.

Aktivieren Sie die Unveränderlichkeit von Image-Tags für ein privates Amazon-ECR-Repository, um zu verhindern, dass Image-Tags überschrieben werden. So können Sie beschreibende Tags als zuverlässigen Mechanismus zur Nachverfolgung und eindeutigen Identifizierung von Images nutzen. Wenn beispielsweise die Unveränderlichkeit von Image-Tags aktiviert ist, können Benutzer ein Image-Tag zuverlässig verwenden, um eine bereitgestellte Image-Version mit dem Build zu korrelieren, der das Image erzeugt hat.

Weitere Informationen finden Sie unter Veränderlichkeit der Image-Tags.

c18d2gz129

AWS Config Managed Rule: ecr-private-tag-immutability-enabled

Gelb: In einem privaten Amazon-ECR-Repository ist die Unveränderlichkeit von Tags nicht aktiviert.

Aktivieren Sie die Unveränderlichkeit von Image-Tags für Ihre privaten Amazon-ECR-Repositorys.

Weitere Informationen finden Sie unter Veränderlichkeit der Image-Tags.

Überprüft, ob Amazon CloudWatch Container Insights für Ihre Amazon ECS-Cluster aktiviert ist.

CloudWatch Container Insights sammelt, aggregiert und fasst Metriken und Protokolle Ihrer containerisierten Anwendungen und Microservices zusammen. Die Metriken umfassen die Auslastung für Ressourcen wie z  B. CPU, Arbeitsspeicher, Datenträger und Netzwerk.

Weitere Informationen finden Sie unter Amazon ECS Container Insights. CloudWatch

c18d2gz173

AWS Config Managed Rule: ecs-container-insights-enabled

Gelb: Für den Amazon-ECS-Cluster sind Container Insights nicht aktiviert.

Aktivieren Sie CloudWatch Container Insights auf Ihren Amazon ECS-Clustern.

Weitere Informationen finden Sie unter Verwenden von Container Insights.

Amazon ECS CloudWatch Container Insights

Prüft, ob die Protokollkonfiguration für aktive Amazon-ECS-Aufgabendefinitionen festgelegt ist.

Durch die Überprüfung der Protokollkonfiguration in Ihren Amazon-ECS-Aufgabendefinitionen wird sichergestellt, dass die von Containern generierten Protokolle ordnungsgemäß konfiguriert sind und korrekt gespeichert werden. Dies hilft Ihnen dabei, Probleme schneller zu identifizieren und zu beheben, die Leistung zu optimieren und Compliance-Anforderungen zu erfüllen.

Standardmäßig zeigen die erfassten Protokolle die Befehlsausgabe an, die Sie normalerweise in einem interaktiven Terminal sehen, wenn Sie den Container lokal ausführen. Der awslogs-Treiber leitet diese Protokolle von Docker an Amazon Logs weiter. CloudWatch

Weitere Informationen finden Sie unter Verwenden des awslogs-Protokolltreibers.

c18d2gz175

AWS Config Managed Rule: ecs-task-definition-log-configuration

Gelb: Die Amazon-ECS-Aufgabendefinition hat keine Protokollierungskonfiguration.

Erwägen Sie, die Protokolltreiberkonfiguration in der Container-Definition anzugeben, um Protokollinformationen an CloudWatch Logs oder einen anderen Protokollierungstreiber zu senden.

Weitere Informationen finden Sie unter LogConfiguration.

Erwägen Sie, die Protokolltreiberkonfiguration in der Containerdefinition anzugeben, um Protokollinformationen an CloudWatch Logs oder einen anderen Protokollierungstreiber zu senden.

Weitere Informationen finden Sie unter Beispiel für Aufgabendefinitionen.

Prüft, ob Amazon OpenSearch Service-Domains so konfiguriert sind, dass sie Protokolle an Amazon CloudWatch Logs senden.

Die Überwachung von Protokollen ist entscheidend für die Aufrechterhaltung der Zuverlässigkeit, Verfügbarkeit und Leistung des OpenSearch Service.

Protokolle für langsame Suchen, Protokolle für langsame Indizierung und Fehlerprotokolle sind für die Problembehandlung bei Leistungs- und Stabilitätsproblemen Ihrer Workload nützlich. Diese Protokolle müssen aktiviert sein, um Daten zu erfassen.

Mithilfe des LogTypes-Parameters in Ihren AWS Config Regeln können Sie angeben, welche Protokolltypen Sie filtern möchten (Fehler, Suche, Index).

Weitere Informationen finden Sie unter Überwachung von Amazon OpenSearch Service-Domains.

c18d2gz184

AWS Config Managed Rule: opensearch-logs-to-cloudwatch

Gelb: Amazon OpenSearch Service hat keine Protokollierungskonfiguration mit Amazon CloudWatch Logs

Konfigurieren Sie OpenSearch Service-Domains so, dass CloudWatch Protokolle in Logs veröffentlicht werden.

Weitere Informationen finden Sie unter Aktivieren der Veröffentlichung von Protokollen (Konsole).

Wir empfehlen, dass alle DB-Instances im DB-Cluster dieselbe DB-Parametergruppe verwenden.

c1qf5bt010

Gelb: DB-Cluster enthalten die DB-Instances mit heterogenen Parametergruppen.

Ordnen Sie die DB-Instance der DB-Parametergruppe zu, die mit der Writer-Instance in Ihrem DB-Cluster verknüpft ist.

Wenn die DB-Instances in Ihrem DB-Cluster unterschiedliche DB-Parametergruppen verwenden, kann es während eines Failovers zu einem inkonsistenten Verhalten oder zu Kompatibilitätsproblemen zwischen den DB-Instances in Ihrem DB-Cluster kommen.

Weitere Informationen finden Sie unter Arbeiten mit Parametergruppen.

Für Ihre Datenbankressourcen ist Enhanced Monitoring nicht aktiviert. „Erweiterte Überwachung“ bietet Echtzeit-Betriebssystemmetriken für die Überwachung und Fehlerbehebung.

c1qf5bt004

Gelb: Bei Amazon RDS-Ressourcen ist Enhanced Monitoring nicht aktiviert.

Aktivieren Sie die Option „Enhanced Monitoring“.

Enhanced Monitoring für Amazon RDS bietet zusätzliche Einblicke in den Zustand Ihrer DB-Instances. Wir empfehlen, dass Sie Enhanced Monitoring aktivieren. Wenn die Option Enhanced Monitoring für Ihre DB-Instance aktiviert ist, erfasst sie wichtige Betriebssystem-Metriken und Prozessinformationen.

Weitere Informationen finden Sie unter Überwachen von Betriebssystem-Metriken mithilfe von „Erweitere Überwachung“.

Amazon RDS Performance Insights überwacht die Auslastung Ihrer DB-Instance, um Ihnen bei der Analyse und Lösung von Problemen mit der Datenbankleistung zu helfen. Wir empfehlen Ihnen, Performance Insights zu aktivieren.

c1qf5bt012

Gelb: Bei Amazon RDS-Ressourcen ist Performance Insights nicht aktiviert.

Aktivieren Sie Performance Insights.

Performance Insights verwendet eine einfache Datenerfassungsmethode, die die Leistung Ihrer Anwendungen nicht beeinträchtigt. Performance Insights hilft Ihnen dabei, die Datenbanklast schnell einzuschätzen.

Weitere Informationen finden Sie unter Überwachung der DB-Auslastung mit Performance Insights auf Amazon RDS.

Wenn der Parameter track_counts ausgeschaltet ist, erfasst die Datenbank keine Statistiken zur Datenbankaktivität. Die Selbstbereinigung erfordert, dass diese Statistiken korrekt funktionieren.

Wir empfehlen, den Parameter track_counts auf 1 zu setzen

c1qf5bt027

Gelb: Bei DB-Parametergruppen ist der Parameter track_counts deaktiviert.

Setzen Sie den Parameter track_counts auf 1

Wenn der Parameter track_counts deaktiviert ist, wird die Erfassung von Statistiken zur Datenbankaktivität deaktiviert. Der Autovacuum-Daemon benötigt die gesammelten Statistiken, um die Tabellen für Autovakuum und Autoanalyse zu identifizieren.

Weitere Informationen finden Sie unter Run-time Statistics for PostgreSQL auf der PostgreSQL-Dokumentationswebsite.

Überprüft, ob in Ihren Amazon-Redshift-Clustern die Datenbank-Auditprotokollierung aktiviert ist. Amazon Redshift protokolliert Informationen über Verbindungen und Benutzeraktivitäten in Ihrer Datenbank.

Sie können Ihren gewünschten Amazon S3-Bucket-Namen für die Protokollierung so angeben, dass er im BucketNames-Parameter Ihrer Regeln übereinstimmt. AWS Config

Weitere Informationen finden Sie unter Datenbank-Auditprotokollierung.

c18d2gz134

AWS Config Managed Rule: redshift-audit-logging-enabled

Gelb: Bei einem Amazon-Redshift-Cluster ist die Datenbank-Auditprotokollierung deaktiviert

Aktivieren Sie die Protokollierung und Überwachung für Ihre Amazon-Redshift-Cluster.

Weitere Informationen finden Sie unter Konfigurieren von Prüfungen über die Konsole.

Protokollierung und Überwachung in Amazon Redshift

Überprüft die Protokollierungskonfiguration von Amazon Simple Storage Service-Buckets.

Durch die Aktivierung der Serverzugriffsprotokollierung werden stündlich detaillierte Zugriffsprotokolle an einen bestimmten Amazon S3-Bucket gesendet. Die Zugriffsprotokolle enthalten Anforderungsdetails wie Typ, angegebene Ressourcen und Verarbeitung time/date. Die Protokollierung ist standardmäßig deaktiviert. Kunden sollten die Zugriffsprotokollierung aktivieren, um Sicherheitsüberprüfungen durchzuführen oder Benutzerverhalten und Nutzungsmuster zu analysieren.

Wenn die Protokollierung zum ersten Mal aktiviert wird, wird die Konfiguration automatisch validiert. Zukünftige Änderungen können jedoch zu Protokollierungsfehlern führen. Beachten Sie, dass bei dieser Prüfung derzeit die Schreibberechtigungen für Amazon S3-Buckets nicht geprüft werden.

c1fd6b96l4

Aktivieren Sie die Protokollierung des Serverzugriffs für alle relevanten Amazon S3-Buckets. Serverzugriffsprotokolle bieten einen Audit-Trail, der verwendet werden kann, um Bucket-Zugriffsmuster zu verstehen und verdächtige Aktivitäten zu untersuchen. Wenn Sie die Protokollierung für alle relevanten Buckets aktivieren, verbessern Sie den Überblick über Zugriffsereignisse in Ihrer Amazon S3-Umgebung. Weitere Informationen finden Sie unter Aktivieren der Protokollierung mithilfe der Konsole und Aktivieren der programmgesteuerten Protokollierung.

Wenn die Berechtigungen des Ziel-Buckets das Root-Konto nicht umfassen und Trusted Advisor den Protokollierungsstatus überprüfen soll, fügen Sie das Root-Konto als Empfänger hinzu. Weitere Informationen finden Sie unter Editing Bucket Permissions (Bearbeiten von Bucket-Berechtigungen).

Wenn der Ziel-Bucket nicht existiert, wählen Sie einen vorhandenen Bucket als Ziel aus oder erstellen Sie einen neuen und wählen Sie ihn aus. Weitere Informationen finden Sie unter Managing Bucket Logging (Verwalten der Bucket-Protokollierung).

Wenn das Ziel und die Quelle unterschiedliche Eigentümer haben, ändern Sie den Ziel-Bucket in einen Bucket mit demselben Eigentümer wie der Quell-Bucket. Weitere Informationen finden Sie unter Managing Bucket Logging (Verwalten der Bucket-Protokollierung).

Mit Buckets arbeiten

Server access logging (Server-Zugriffsprotokollierung)

Format des Serverzugriffsprotokolls

Löschen von Protokolldateien

Überprüft, ob Amazon-S3-Ereignisbenachrichtigungen aktiviert oder mit den gewünschten Zielen oder Typen korrekt konfiguriert sind.

Die Amazon-S3-Funktion für Ereignisbenachrichtigungen sendet Benachrichtigungen, wenn bestimmte Ereignisse in Ihren Amazon-S3-Buckets eintreten. Amazon S3 kann Benachrichtigungen an Amazon SQS-Warteschlangen, Amazon SNS-Themen und Funktionen senden. AWS Lambda

Sie können das gewünschte Ziel und die Ereignistypen mithilfe der Parameter destinationARN und eventTypes Ihrer Regeln angeben. AWS Config

Weitere Informationen finden Sie unter Amazon-S3-Ereignisbenachrichtigungen.

c18d2gz163

AWS Config Managed Rule: s3-event-notifications-enabled

Gelb: In Amazon S3 sind keine Ereignisbenachrichtigungen aktiviert oder nicht mit dem gewünschten Ziel oder den gewünschten Typen konfiguriert.

Konfigurieren Sie Amazon-S3-Ereignisbenachrichtigungen für Objekt- und Bucket-Ereignisse.

Weitere Informationen finden Sie unter Aktivieren und Konfigurieren von Ereignis-Benachrichtigungen mit der Amazon-S3-Konsole.

Prüft, ob für Amazon-SNS-Themen die Protokollierung des Nachrichtenzustellungsstatus aktiviert ist.

Konfigurieren Sie Amazon-SNS-Themen für die Protokollierung des Nachrichtenzustellungsstatus, um bessere betriebliche Einblicke zu erhalten. Durch die Protokollierung der Nachrichtenzustellung wird beispielsweise überprüft, ob eine Nachricht an einen bestimmten Amazon-SNS-Endpunkt gesendet wurde. Und es hilft auch bei der Ermittlung der Antwort, die vom Endpunkt gesendet wurde.

Weitere Informationen finden Sie unter Amazon-SNS-Nachrichtenzustellungsstatus.

c18d2gz121

AWS Config Managed Rule: sns-topic-message-delivery-notification-enabled

Gelb: Die Protokollierung des Nachrichtenzustellungsstatus ist für ein Amazon-SNS-Thema nicht aktiviert.

Aktivieren Sie die Protokollierung des Nachrichtenzustellungsstatus für Ihre SNS-Themen.

Weitere Informationen finden Sie unter Konfigurieren der Protokollierung des Zustellungsstatus mithilfe der AWS-Managementkonsole.

Prüft, ob Amazon-VPC-Flow-Protokolle für eine Virtual Private Cloud (VPC) erstellt wurden.

Sie können den Verkehrstyp mithilfe des TrafficType-Parameters in Ihren AWS Config Regeln angeben.

Weitere Informationen finden Sie unter Protokollieren von IP-Datenverkehr mit VPC-Flow-Protokollen.

c18d2gz122

AWS Config Managed Rule: vpc-flow-logs-enabled

Gelb: VPCs haben keine Amazon-VPC-Flow-Protokolle.

Erstellen Sie VPC-Flow-Protokolle für jede Ihrer VPCs.

Weitere Informationen finden Sie unter Erstellen eines Flow-Protokolls.

Prüft, ob für Application Load Balancer und Classic Load Balancer die Zugriffsprotokollierung aktiviert ist.

Elastic Load Balancing bietet Zugriffsprotokolle, die detaillierte Informationen zu Anforderungen erfassen, die an Ihren Load Balancer gesendet werden. Jedes Protokoll enthält Informationen wie die Zeit, zu der die Anforderung einging, die Client-IP-Adresse, Latenzen, Anforderungspfade und Serverantworten. Sie können diese Zugriffsprotokolle für die Analyse von Datenverkehrsmustern und zur Problembehebung verwenden.

Zugriffsprotokolle sind ein optionales Feature von Elastic Load Balancing, das standardmäßig deaktiviert ist. Nachdem Sie die Zugriffsprotokolle für Ihren Load Balancer aktiviert haben, erfasst Elastic Load Balancing die Protokolle und speichert sie in dem von Ihnen angegebenen Amazon-S3-Bucket.

Sie können das Zugriffsprotokoll (Amazon S3-Bucket), das Sie überprüfen möchten, mithilfe des BucketNames s3-Parameters in Ihren AWS Config Regeln angeben.

Weitere Informationen finden Sie unter Zugriffsprotokolle für Ihre Application Load Balancer oder Zugriffsprotokolle für Ihre Classic Load Balancer.

c18d2gz167

AWS Config Managed Rule: elb-logging-enabled

Gelb: Die Funktion für Zugriffsprotokolle ist für einen Application Load Balancer oder einen Classic Load Balancer nicht aktiviert.

Aktivieren Sie die Zugriffsprotokolle für Ihre Application Load Balancer und Classic Load Balancer.

Weitere Informationen finden Sie unter Aktivieren der Zugriffsprotokolle für Ihren Application Load Balancer oder Aktivieren der Zugriffsprotokolle für Ihren Classic Load Balancer.

Überprüft, ob alle Ihre CloudFormation Stacks Amazon SNS verwenden, um Benachrichtigungen zu erhalten, wenn ein Ereignis eintritt.

Sie können diese Prüfung so konfigurieren, dass sie mithilfe von Parametern in Ihren Regeln nach bestimmten Amazon SNS-Themen-ARNs sucht. AWS Config

Weitere Informationen finden Sie unter CloudFormation Stack-Optionen festlegen.

c18d2gz111

AWS Config Managed Rule: cloudformation-stack-notification-check

Gelb: Amazon SNS-Ereignisbenachrichtigungen für Ihre CloudFormation Stacks sind nicht aktiviert.

Stellen Sie sicher, dass Ihre CloudFormation Stacks Amazon SNS verwenden, um Benachrichtigungen zu erhalten, wenn ein Ereignis eintritt.

Die Überwachung von Stack-Ereignissen hilft Ihnen, schnell auf unbefugte Aktionen zu reagieren, die Ihre AWS Umgebung verändern könnten.

Wie kann ich eine E-Mail-Benachrichtigung erhalten, wenn mein CloudFormation AWS-Stack in den Status ROLLBACK_IN_PROGRESS wechselt?

Prüft, ob mindestens ein AWS CloudTrail Trail Amazon S3-Datenereignisse für alle Ihre Amazon S3-Buckets protokolliert.

Weitere Informationen finden Sie unter Protokollierung von Amazon-S3-API-Aufrufen mit AWS CloudTrail.

c18d2gz166

AWS Config Managed Rule: cloudtrail-s3-dataevents-enabled

Gelb: Die AWS CloudTrail Ereignisprotokollierung für Amazon S3-Buckets ist nicht konfiguriert

Aktivieren Sie die CloudTrail Ereignisprotokollierung für Amazon S3-Buckets und -Objekte, um Anfragen für den Zugriff auf Ziel-Buckets zu verfolgen.

Weitere Informationen finden Sie unter Aktivieren der CloudTrail Ereignisprotokollierung für S3-Buckets und -Objekte.

Prüft, ob die AWS CodeBuild Projektumgebung Protokollierung verwendet. Bei den Protokollierungsoptionen kann es sich um CloudWatch Protokolle in Amazon Logs oder um integrierte Protokolle in einem bestimmten Amazon S3-Bucket handeln, oder beides. Die Aktivierung der Protokollierung in einem CodeBuild Projekt kann mehrere Vorteile bieten, z. B. Debugging und Auditing.

Sie können den Namen des Amazon S3-Buckets oder der CloudWatch Logs-Gruppe zum Speichern der Protokolle angeben, indem Sie den S3 BucketNames - oder WatchGroupNames Cloud-Parameter in Ihren AWS Config Regeln verwenden.

Weitere Informationen finden Sie unter -Überwachung AWS CodeBuild.

c18d2gz113

AWS Config Managed Rule: codebuild-project-logging-enabled

Gelb: Die AWS CodeBuild Projektprotokollierung ist nicht aktiviert.

Vergewissern Sie sich, dass die Protokollierung in Ihrem AWS CodeBuild Projekt aktiviert ist. Diese Prüfung kann nicht von der Anzeige in der AWS Trusted Advisor Konsole ausgeschlossen werden.

Weitere Informationen finden Sie unter Anmelden und Überwachen AWS CodeBuild.

Überprüft, ob die Bereitstellungsgruppe mit automatischem Rollback und automatischer Überwachung der Bereitstellung mit angehängten Alarmen konfiguriert ist. Wenn während einer Bereitstellung etwas schief geht, wird sie automatisch zurückgesetzt und Ihre Anwendung bleibt in einem stabilen Zustand.

Weitere Informationen finden Sie unter Erneute Bereitstellung und Rollback einer Bereitstellung mit. CodeDeploy

c18d2gz114

AWS Config Managed Rule: codedeploy-auto-rollback-monitor-enabled

Gelb: Das AWS CodeDeploy automatische Rollback der Bereitstellung und die Überwachung der Bereitstellung sind nicht aktiviert.

Konfigurieren Sie eine Bereitstellungsgruppe oder Bereitstellung so, dass sie automatisch zurückgesetzt wird, wenn eine Bereitstellung fehlschlägt oder ein definierter Überwachungsschwellenwert erreicht wird.

Konfigurieren Sie den Alarm so, dass während des Bereitstellungsprozesses verschiedene Metriken wie CPU-Auslastung, Speichernutzung oder Netzwerkdatenverkehr überwacht werden. Wenn eine dieser Metriken bestimmte Schwellenwerte überschreitet, werden die Alarme ausgelöst und die Bereitstellung wird gestoppt oder rückgängig gemacht.

Informationen zur Einrichtung automatischer Rollbacks und zur Konfiguration von Alarmen für Ihre Bereitstellungsgruppen finden Sie unter Konfigurieren von erweiterten Optionen für eine Bereitstellungsgruppe.

Was ist CodeDeploy?

Prüft, ob die AWS CodeDeploy Bereitstellungsgruppe für die AWS Lambda Rechenplattform die All-at-Once-Bereitstellungskonfiguration verwendet.

Um das Risiko von Bereitstellungsfehlern Ihrer Lambda-Funktionen zu verringern CodeDeploy, empfiehlt es sich, die kanarische oder lineare Bereitstellungskonfiguration anstelle der Standardoption zu verwenden, bei der der gesamte Datenverkehr von der ursprünglichen Lambda-Funktion auf die aktualisierte Funktion umgeleitet wird.

Weitere Informationen finden Sie unter Lambda-Funktionsversionen und Bereitstellungskonfiguration.

c18d2gz115

AWS Config Managed Rule: codedeploy-lambda-allatonce-traffic-shift-disabled

Gelb: Die AWS CodeDeploy Lambda-Bereitstellung verwendet die All-at-Once-Bereitstellungskonfiguration, um den gesamten Datenverkehr gleichzeitig auf die aktualisierten Lambda-Funktionen umzuleiten.

Verwenden Sie die Canary- oder Linear-Bereitstellungskonfiguration der CodeDeploy Bereitstellungsgruppe für die Lambda-Rechenplattform.

Bereitstellungskonfiguration

Überprüft, ob eine AWS Elastic Beanstalk Umgebung für erweiterte Integritätsberichte konfiguriert ist.

Die erweiterten Zustandsberichte von Elastic Beanstalk bieten detaillierte Leistungskennzahlen wie CPU-Auslastung, Speichernutzung, Netzwerkdatenverkehr und Informationen zum Zustand der Infrastruktur, wie Anzahl der Instances und Load-Balancer-Status.

Weitere Informationen finden Sie unter Erweiterte Zustandsberichte und -überwachung.

c18d2gz108

AWS Config Managed Rule: beanstalk-enhanced-health-reporting-enabled

Gelb: Die Elastic-Beanstalk-Umgebung ist nicht für erweiterte Zustandsberichte konfiguriert

Stellen Sie sicher, dass eine Elastic-Beanstalk-Umgebung für erweiterte Zustandsberichte konfiguriert ist.

Weitere Informationen finden Sie unter Aktivieren der erweiterten Zustandsberichte mit der Elastic-Beanstalk-Konsole.

Prüft, ob verwaltete Plattformupdates in Elastic-Beanstalk-Umgebungen und Konfigurationsvorlagen aktiviert sind.

AWS Elastic Beanstalk veröffentlicht regelmäßig Plattform-Updates, um Problembehebungen, Softwareupdates und neue Funktionen bereitzustellen. Mit verwalteten Plattformupdates kann Elastic Beanstalk automatisch Plattformupdates für neue Patch- und Unterversionen der Plattform durchführen.

Sie können die gewünschte Aktualisierungsstufe in den UpdateLevel Parametern Ihrer AWS Config Regeln angeben.

Weitere Informationen finden Sie unter Aktualisieren der Plattformversion Ihrer Elastic-Beanstalk-Umgebung.

c18d2gz177

AWS Config Managed Rule: elastic-beanstalk-managed-updates-enabled

Gelb: AWS Elastic Beanstalk Verwaltete Plattformupdates sind überhaupt nicht konfiguriert, auch nicht auf Minor- oder Patch-Ebene.

Aktivieren Sie verwaltete Plattformupdates in Ihren Elastic-Beanstalk-Umgebungen oder konfigurieren Sie sie auf Unterversions- oder Update-Ebene.

Weitere Informationen finden Sie unter Verwaltete Plattformupdates.

Überprüft, ob in Amazon ECS die neueste Plattformversion von AWS Fargate ausgeführt wird. Die Fargate-Plattformversion verweist auf eine bestimmte Laufzeitumgebung für die Fargate-Aufgabeninfrastruktur. Es handelt sich um eine Kombination aus der Kernel-Version und den Container-Laufzeitversionen. Neue Plattformversionen werden veröffentlicht, wenn sich die Laufzeitumgebung weiterentwickelt, weil es beispielsweise Kernel- oder Betriebssystem-Updates, neue Funktionen, Bugfixes oder Sicherheitsupdates gibt.

Weitere Informationen finden Sie unter Fargate-Aufgabenwartung.

c18d2gz174

AWS Config Managed Rule: ecs-fargate-latest-platform-version

Gelb: Amazon ECS wird nicht auf der neuesten Version der Fargate-Plattform ausgeführt.

Aktualisieren Sie auf die neueste Fargate-Plattformversion.

Weitere Informationen finden Sie unter Fargate-Aufgabenwartung.

Überprüft, ob der Status der Zuordnungskompatibilität nach der Ausführung der AWS Systems Manager Zuordnung auf der Instanz COMPLIANT oder NON_COMPLIANT lautet.

State Manager, eine Funktion von AWS Systems Manager, ist ein sicherer und skalierbarer Konfigurationsverwaltungsdienst, der den Prozess automatisiert, bei dem Ihre verwalteten Knoten und anderen AWS Ressourcen in einem von Ihnen definierten Zustand gehalten werden. Eine State Manager-Zuordnung ist eine Konfiguration, die Sie Ihren AWS Ressourcen zuweisen. Die Konfiguration definiert den Status, den Sie für Ihre Ressourcen beibehalten möchten. Dies hilft Ihnen, das Ziel zu erreichen, beispielsweise das Vermeiden von Konfigurationsabweichungen zwischen Ihren Amazon-EC2-Instances.

Weitere Informationen finden Sie unter AWS Systems Manager State Manager.

c18d2gz147

AWS Config Managed Rule: ec2-managedinstance-association-compliance-status-check

Gelb: Der Status der AWS Systems Manager Zuordnungskonformität lautet NON_COMPLIANT.

Überprüfen Sie den Status der State-Manager-Zuordnungen und ergreifen Sie dann alle erforderlichen Maßnahmen, um den Status wieder auf COMPLIANT zurückzusetzen.

Weitere Informationen finden Sie unter Info zu State Manager.

AWS Systems Manager State Manager

Prüft, ob AWS CloudTrail Trails so konfiguriert sind, dass CloudWatch Protokolle an Logs gesendet werden.

Überwachen CloudTrail Sie Protokolldateien mithilfe von CloudWatch Protokollen, um eine automatische Reaktion auszulösen, wenn kritische Ereignisse erfasst werden AWS CloudTrail.

Weitere Informationen finden Sie unter Überwachen von CloudTrail Protokolldateien mit CloudWatch Protokollen.

c18d2gz164

AWS Config Managed Rule: cloud-trail-cloud-watch-logs-enabled

Gelb: AWS CloudTrail ist nicht für die CloudWatch Logs-Integration eingerichtet.

Konfigurieren Sie CloudTrail Trails so, dass Protokollereignisse an CloudWatch Logs gesendet werden.

Weitere Informationen finden Sie unter CloudWatch Alarme für CloudTrail Ereignisse erstellen: Beispiele.

Überprüft, ob der Löschschutz für Ihre Load Balancer aktiviert ist.

Elastic Load Balancing unterstützt den Löschschutz für Ihre Application Load Balancer, Network Load Balancer und Gateway Load Balancer. Aktivieren Sie den Löschschutz, um zu verhindern, dass der Load Balancer versehentlich gelöscht wird. Wenn Sie einen Load Balancer erstellen, ist der Löschschutz standardmäßig deaktiviert. Wenn Ihre Load Balancer Teil einer Produktionsumgebung sind, sollten Sie in Erwägung ziehen, den Löschschutz zu aktivieren.

Zugriffsprotokolle sind ein optionales Feature von Elastic Load Balancing, das standardmäßig deaktiviert ist. Nachdem Sie die Zugriffsprotokolle für Ihren Load Balancer aktiviert haben, erfasst Elastic Load Balancing die Protokolle und speichert sie in dem von Ihnen angegebenen Amazon-S3-Bucket.

Weitere Informationen finden Sie unter Application-Load-Balancer-Löschschutz, Network-Load-Balancer-Löschschutz oder Gateway-Load-Balancer-Löschschutz.

c18d2gz168

AWS Config Managed Rule: elb-deletion-protection-enabled

Gelb: Löschschutz ist für einen Load Balancer nicht aktiviert.

Aktivieren Sie den Löschschutz für Application Load Balancer, Network Load Balancer und Gateway Load Balancer.

Weitere Informationen finden Sie unter Application-Load-Balancer-Löschschutz, Network-Load-Balancer-Löschschutz oder Gateway-Load-Balancer-Löschschutz.

Sucht nach Amazon Elastic Compute Cloud (Amazon EC2) -Instances, die auf der Nitro-Systemversion 4 unter Verwendung veralteter Elastic Network Adapter (ENA) -Treiber ausgeführt werden. Um die Leistungsverbesserungen von Nitro mithilfe des beschleunigten Pfads nutzen zu können, müssen Sie Ihren ENA-Treiber auf eine Version aktualisieren, die mit NitroV4 kompatibel ist, wie im Amazon EC2-Instance-Types-Handbuch beschrieben. Um diese Änderung direkt vorzunehmen, aktualisieren Sie Ihren Treiber, oder Sie können Ihr Betriebssystem auf eine Version aktualisieren, die mit einem kompatiblen Treiber konfiguriert ist.

Für Instances, die auf Nitro-Systemen der Version 5 und höher basieren, sind die Mindesttreiberversionen im Handbuch zu den Amazon EC2-Instance-Typen erforderlich. AWS empfiehlt ein Upgrade auf die neueste ENA-Treiberversion, um von Leistungsverbesserungen, Bugfixes und Sicherheitsverbesserungen zu profitieren. Ab Nitro-Systemversion 5 oder höher können veraltete ENA-Treiber nach dem Start keine Bindung zu Instances herstellen, wodurch die Netzwerkkommunikation verhindert wird.

c17gc3v72d

Gelb: Amazon EC2-Instances auf Nitro-Systemversion 4 verwenden ENA-Treiberversionen, die älter als Linux 2.2.9 oder Windows 2.2.3 sind.

Aktualisieren Sie auf neuere ENA-Treiber (Linux 2.2.9+, Windows 2.2.3+, DPDK ENA PMD v2.2.0+), um auf beschleunigte Pfadfunktionen zuzugreifen, die in älteren Versionen nicht verfügbar sind. DPDK-Benutzer können entweder auf DPDK 20.11+ (einschließlich DPDK ENA PMD v2.2.0+) umsteigen oder DPDK ENA PMD-Backports direkt anwenden, ohne ihre DPDK-Version zu ändern. GitHub

Führen Sie dieses Update für bestehende Instances durch, wenn es Ihnen passt, Ihre Instance neu zu starten. Aktualisieren Sie Ihr Betriebssystem oder Ihren ENA-Treiber auf die neueste unterstützte Version für Ihr Betriebssystem und starten Sie dann Ihre Instance neu. Aktualisieren Sie für Linux-Instances auf die ENA-Treiberversion 2.2.9 oder höher. Aktualisieren Sie für Windows-Instanzen auf Version 2.2.3 oder höher.

Erstellen und verwenden Sie für den Start neuer Instances aktualisierte AMIs mit den neuesten ENA-Treibern, die mithilfe von Amazon EC2 Image Builder vorinstalliert sind.

Überprüft, ob in Ihren Amazon-RDS-DB-Clustern der Löschschutz aktiviert ist.

Wenn Sie für einen DB-Cluster den Löschschutz aktivieren, kann die Datenbank von keinem Benutzer gelöscht werden.

Der Löschschutz ist für Amazon Aurora und RDS für MySQL, RDS für MariaDB, RDS für Oracle, RDS für PostgreSQL und RDS für SQL Server-Datenbank-Instances in allen Regionen verfügbar. AWS

Weitere Informationen finden Sie unter Löschschutz für Aurora-DB-Cluster.

c18d2gz160

AWS Config Managed Rule: rds-cluster-deletion-protection-enabled

Gelb: Sie haben Amazon-RDS-DB-Cluster, bei denen der Löschschutz nicht aktiviert ist.

Aktivieren Sie den Löschschutz, wenn Sie einen Amazon RDS-DB-Cluster erstellen.

Sie können nur Cluster löschen, für die der Löschschutz nicht aktiviert ist. Durch das Aktivieren des Löschschutzes wird eine zusätzliche Schutzebene hinzugefügt und Datenverlust durch versehentliches oder unbeabsichtigtes Löschen einer Datenbank-Instance vermieden. Der Löschschutz trägt auch dazu bei, gesetzliche Anforderungen zu erfüllen und die Geschäftskontinuität zu gewährleisten.

Weitere Informationen finden Sie unter Löschschutz für Aurora-DB-Cluster.

Löschschutz für Aurora-DB-Cluster

Überprüft, ob für Amazon-RDS-DB-Instances automatische Upgrades für Unterversionen konfiguriert sind.

Aktivieren Sie automatische Upgrades von Unterversionen für eine Amazon-RDS-Instance, um sicherzustellen, dass in der Datenbank immer die neueste sichere und stabile Version ausgeführt wird. Upgrades von Unterversionen bieten Sicherheitsupdates, Bugfixes und Leistungsverbesserungen und gewährleisten die Kompatibilität mit bestehenden Anwendungen.

Weitere Informationen finden Sie unter Upgrade der Engine-Version für eine DB-Instance.

c18d2gz155

AWS Config Managed Rule: rds-automatic-minor-version-upgrade-enabled

Gelb: Für die RDS-DB-Instance sind keine automatischen Upgrades von Unterversionen aktiviert.

Aktivieren Sie automatische Upgrades von Unterversionen, wenn Sie eine Amazon-RDS-DB-Instance erstellen.

Wenn Sie automatische Upgrades von Unterversionen aktivieren, wird die Datenbankversion automatisch aktualisiert, wenn sie eine Unterversion der DB-Engine ausführt, die eine niedrigere Versionsnummer hat als in Manuelles Upgraden der Engine-Version.