Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Security Hub CSPM-Steuerelemente für Amazon EFS

Diese Security Hub CSPM-Steuerelemente bewerten den Amazon Elastic File System (Amazon EFS) -Service und die Ressourcen. Die Steuerelemente sind möglicherweise nicht in allen Bereichen verfügbar. AWS-Regionen Weitere Informationen finden Sie unter Verfügbarkeit von Kontrollen nach Regionen.

[EFS.1] Elastic File System sollte so konfiguriert werden, dass Dateidaten im Ruhezustand mit folgenden Methoden verschlüsselt werden AWS KMS

Verwandte Anforderungen: CIS AWS Foundations Benchmark v5.0. 0/23.3.1, CIS AWS Foundations Benchmark v3.0. 0/2.4.1, NIST.800-53.r5 CA-9 (1), NIST.800-53.r5 CM-3 (6),, NIST.800-53.r5 SC-13 NIST.800-53.r5 SC-28, NIST.800-53.r5 SC-28 (1), (10), NIST.800-53.r5 SC-7 (6) NIST.800-53.r5 SI-7

Kategorie: Schützen > Datenschutz > Verschlüsselung ruhender Daten

Schweregrad: Mittel

Art der Ressource: AWS::EFS::FileSystem

AWS Config -Regel: efs-encrypted-check

Zeitplantyp: Periodisch

Parameter: Keine

Dieses Steuerelement überprüft, ob Amazon Elastic File System so konfiguriert ist, dass die Dateidaten mithilfe von AWS KMS verschlüsselt werden. Die Prüfung schlägt in den folgenden Fällen fehl.

Beachten Sie, dass dieses Steuerelement den KmsKeyId-Parameter nicht für efs-encrypted-check verwendet. Es überprüft nur den Wert von Encrypted.

Für eine zusätzliche Sicherheitsebene für Ihre vertraulichen Daten in Amazon EFS sollten Sie verschlüsselte Dateisysteme erstellen. Amazon EFS unterstützt die Verschlüsselung für Dateisysteme im Ruhezustand. Sie können die Verschlüsselung ruhender Daten aktivieren, wenn Sie ein Amazon EFS-Dateisystem erstellen. Weitere Informationen zur Amazon EFS-Verschlüsselung finden Sie unter Datenverschlüsselung in Amazon EFS im Amazon Elastic File System-Benutzerhandbuch.

Abhilfe

Einzelheiten zum Verschlüsseln eines neuen Amazon EFS-Dateisystems finden Sie unter Verschlüsseln von Daten im Ruhezustand im Amazon Elastic File System-Benutzerhandbuch.

[EFS.2] Amazon EFS-Volumes sollten in Backup-Plänen enthalten sein

Verwandte Anforderungen: NIST.800-53.r5 CP-10 NIST.800-53.r5 CP-6, NIST.800-53.r5 CP-6 (1), NIST.800-53.r5 CP-6 (2),, (2) NIST.800-53.r5 CP-9, NIST.800-53.r5 SC-5 (2) NIST.800-53.r5 SI-12, NIST.800-53.r5 SI-13 (5)

Kategorie: Wiederherstellung > Resilienz > Datensicherung

Schweregrad: Mittel

Art der Ressource: AWS::EFS::FileSystem

AWS Config -Regel: efs-in-backup-plan

Zeitplantyp: Periodisch

Parameter: Keine

Dieses Steuerelement überprüft, ob Amazon Elastic File System (Amazon EFS) -Dateisysteme zu den Backup-Plänen in hinzugefügt wurden AWS Backup. Die Steuerung schlägt fehl, wenn Amazon EFS-Dateisysteme nicht in den Backup-Plänen enthalten sind.

Wenn Sie EFS-Dateisysteme in die Backup-Pläne einbeziehen, können Sie Ihre Daten vor Löschung und Datenverlust schützen.

Abhilfe

Informationen zum Aktivieren automatischer Backups für ein vorhandenes Amazon EFS-Dateisystem finden Sie unter Erste Schritte 4: Automatische Amazon EFS-Backups erstellen im AWS Backup Entwicklerhandbuch.

[EFS.3] EFS-Zugriffspunkte sollten ein Stammverzeichnis vorschreiben

Verwandte Anforderungen: NIST.800-53.r5 AC-6 (10)

Kategorie: Schutz > Sichere Zugriffsverwaltung

Schweregrad: Mittel

Art der Ressource: AWS::EFS::AccessPoint

AWS Config -Regel: efs-access-point-enforce-root-directory

Zeitplantyp: Änderung ausgelöst

Parameter: Keine

Diese Steuerung überprüft, ob Amazon EFS-Zugriffspunkte so konfiguriert sind, dass sie ein Stammverzeichnis erzwingen. Die Steuerung schlägt fehl, wenn der Path Wert von auf / (das Standard-Stammverzeichnis des Dateisystems) gesetzt ist.

Wenn Sie ein Stammverzeichnis erzwingen, verwendet der NFS-Client, der den Zugriffspunkt verwendet, das auf dem Zugriffspunkt konfigurierte Stammverzeichnis anstelle des Stammverzeichnisses des Dateisystems. Das Erzwingen eines Stammverzeichnisses für einen Access Point hilft dabei, den Datenzugriff einzuschränken, indem sichergestellt wird, dass Benutzer des Access Points nur auf Dateien des angegebenen Unterverzeichnisses zugreifen können.

Abhilfe

Anweisungen zum Erzwingen eines Stammverzeichnisses für einen Amazon EFS-Zugriffspunkt finden Sie im Amazon Elastic File System-Benutzerhandbuch unter Erzwingen eines Stammverzeichnisses mit einem Access Point.

[EFS.4] EFS-Zugriffspunkte sollten eine Benutzeridentität durchsetzen

Verwandte Anforderungen: NIST.800-53.r5 AC-6 (2), PCI DSS v4.0. 1/73.3.1

Kategorie: Schutz > Sichere Zugriffsverwaltung

Schweregrad: Mittel

Art der Ressource: AWS::EFS::AccessPoint

AWS Config -Regel: efs-access-point-enforce-user-identity

Zeitplantyp: Änderung ausgelöst

Parameter: Keine

Diese Steuerung überprüft, ob Amazon EFS-Zugriffspunkte so konfiguriert sind, dass sie eine Benutzeridentität durchsetzen. Diese Steuerung schlägt fehl, wenn beim Erstellen des EFS-Zugriffspunkts keine POSIX-Benutzeridentität definiert wird.

Amazon-EFS-Zugangspunkte sind anwendungsspezifische Einstiegspunkte in ein EFS-Dateisystem, die das Verwalten des Anwendungszugriffs auf freigegebene Datensätze erleichtern. Zugangspunkte können eine Benutzeridentität, einschließlich der POSIX-Gruppen des Benutzers, für alle Dateisystemanforderungen erzwingen, die über den Zugangspunkt erfolgen. Zugriffspunkte können auch ein anderes Stammverzeichnis für das Dateisystem erzwingen, so dass Clients nur auf Daten im angegebenen Verzeichnis oder in seinen Unterverzeichnissen zugreifen können.

Abhilfe

Informationen zum Erzwingen einer Benutzeridentität für einen Amazon EFS-Zugriffspunkt finden Sie unter Durchsetzen einer Benutzeridentität mithilfe eines Zugriffspunkts im Amazon Elastic File System-Benutzerhandbuch.

[EFS.5] EFS-Zugangspunkte sollten markiert werden

Kategorie: Identifizieren > Inventar > Tagging

Schweregrad: Niedrig

Art der Ressource: AWS::EFS::AccessPoint

AWS Config Regel: tagged-efs-accesspoint (benutzerdefinierte Security Hub CSPM-Regel)

Zeitplantyp: Änderung ausgelöst

Parameter:

Dieses Steuerelement überprüft, ob ein Amazon EFS-Zugangspunkt über Tags mit den spezifischen Schlüsseln verfügt, die im Parameter requiredTagKeys definiert sind. Die Steuerung schlägt fehl, wenn der Access Point keine Tag-Schlüssel hat oder wenn er nicht über alle im Parameter angegebenen Schlüssel verfügtrequiredTagKeys. Wenn der Parameter requiredTagKeys nicht angegeben wird, prüft das Steuerelement nur, ob ein Tag-Schlüssel vorhanden ist, und schlägt fehl, wenn der Access Point mit keinem Schlüssel markiert ist. System-Tags, die automatisch angewendet werden und damit beginnenaws:, werden ignoriert.

Ein Tag ist eine Bezeichnung, die Sie einer AWS Ressource zuweisen. Sie besteht aus einem Schlüssel und einem optionalen Wert. Sie können Tags erstellen, um Ressourcen nach Zweck, Eigentümer, Umgebung oder anderen Kriterien zu kategorisieren. Mithilfe von Tags können Sie Ressourcen identifizieren, organisieren, suchen und filtern. Tagging hilft dir auch dabei, verantwortliche Ressourceninhaber im Hinblick auf Aktionen und Benachrichtigungen im Auge zu behalten. Wenn Sie Tagging verwenden, können Sie die attributbasierte Zugriffskontrolle (ABAC) als Autorisierungsstrategie implementieren, bei der Berechtigungen auf der Grundlage von Stichwörtern definiert werden. Sie können IAM-Entitäten (Benutzern oder Rollen) und Ressourcen Tags zuordnen. AWS Sie können eine einzelne ABAC-Richtlinie oder einen separaten Satz von Richtlinien für Ihre IAM-Prinzipale erstellen. Sie können diese ABAC-Richtlinien so entwerfen, dass sie Operationen zulassen, wenn das Tag des Principals mit dem Ressourcen-Tag übereinstimmt. Weitere Informationen finden Sie unter Wofür ist ABAC gedacht? AWSim IAM-Benutzerhandbuch.

Abhilfe

Informationen zum Hinzufügen von Tags zu einem EFS-Zugangspunkt finden Sie unter Tagging von Amazon EFS-Ressourcen im Amazon Elastic File System-Benutzerhandbuch.

[EFS.6] EFS-Mount-Ziele sollten nicht Subnetzen zugeordnet werden, die beim Start öffentliche IP-Adressen zuweisen

Verwandte Anforderungen: NIST.800-53.r5 SC-7, NIST.800-171.r2 3.1.20, PCI DSS v4.0. 1/13.4.4

Kategorie: Schützen > Netzwerksicherheit > Ressourcen, die nicht öffentlich zugänglich sind

Schweregrad: Mittel

Art der Ressource: AWS::EFS::FileSystem

AWS Config -Regel: efs-mount-target-public-accessible

Zeitplantyp: Periodisch

Parameter: Keine

Dieses Steuerelement überprüft, ob ein Amazon EFS-Mount-Ziel Subnetzen zugeordnet ist, die beim Start öffentliche IP-Adressen zuweisen. Die Steuerung schlägt fehl, wenn das Mount-Ziel Subnetzen zugeordnet ist, die beim Start öffentliche IP-Adressen zuweisen.

Subnetze verfügen über Attribute, die bestimmen, ob Netzwerkschnittstellen, die im Subnetz erstellt wurden, automatisch öffentliche IP-Adressen erhalten. Für IPv4 ist das MapPublicIpOnLaunch Attribut für Standard-Subnetze und TRUE FALSE für Subnetze, die nicht dem Standard entsprechen, auf gesetzt (mit Ausnahme von Subnetzen, die nicht dem Standard entsprechen und über den EC2-Startinstanzassistenten erstellt wurden, wo es auf gesetzt ist). TRUE Für IPv6 ist das AssignIpv6AddressOnCreation Attribut standardmäßig auf für alle Subnetze festgelegt. FALSE

Amazon EFS-Mount-Zielen können zwar keine öffentlichen IPv4-Adressen zugewiesen werden, aber wenn sie in Subnetzen platziert werden, die so konfiguriert sind, dass beim Start öffentliche IP-Adressen zugewiesen werden, deutet darauf hin, dass Instances, die in solchen Subnetzen gestartet werden, die das EFS-Dateisystem mounten können, automatisch öffentliche IP-Adressen empfangen können. Dadurch besteht die Gefahr, dass die Dateisystemdaten von Hosts mit öffentlichen Adressen aus zugänglich sind.

Mount-Ziele in Subnetzen, in denen die automatische Zuweisung öffentlicher IPv6-Adressen aktiviert ist, können global routbare IPv6-Adressen empfangen.

Abhilfe

Um ein vorhandenes Mount-Ziel einem anderen Subnetz zuzuordnen, müssen Sie ein neues Mount-Ziel in einem Subnetz erstellen, das beim Start keine öffentlichen IP-Adressen zuweist, und dann das alte Mount-Ziel entfernen. Informationen zur Verwaltung von Mount-Zielen finden Sie unter Erstellen und Verwalten von Mount-Zielen und Sicherheitsgruppen im Amazon Elastic File System-Benutzerhandbuch.

[EFS.7] Bei EFS-Dateisystemen sollten automatische Backups aktiviert sein

Kategorie: Wiederherstellen > Resilienz > Backups aktiviert

Schweregrad: Mittel

Art der Ressource: AWS::EFS::FileSystem

AWS Config -Regel: efs-automatic-backups-enabled

Zeitplantyp: Änderung ausgelöst

Parameter: Keine

Dieses Steuerelement überprüft, ob in einem Amazon EFS-Dateisystem automatische Backups aktiviert sind. Diese Steuerung schlägt fehl, wenn im EFS-Dateisystem keine automatischen Backups aktiviert sind.

Eine Datensicherung ist eine Kopie Ihrer System-, Konfigurations- oder Anwendungsdaten, die getrennt vom Original gespeichert wird. Durch regelmäßige Backups können Sie wertvolle Daten vor unvorhergesehenen Ereignissen wie Systemausfällen, Cyberangriffen oder versehentlichem Löschen schützen. Eine robuste Backup-Strategie ermöglicht auch eine schnellere Wiederherstellung, einen unterbrechungsfreien Betrieb und ein beruhigendes Gefühl angesichts potenzieller Datenverluste.

Abhilfe

Informationen zur Verwendung AWS Backup für EFS-Dateisysteme finden Sie unter Sichern von EFS-Dateisystemen im Amazon Elastic File System-Benutzerhandbuch.

[EFS.8] EFS-Dateisysteme sollten im Ruhezustand verschlüsselt werden

Verwandte Anforderungen: CIS AWS Foundations Benchmark v5.0. 0/23.3.1

Kategorie: Schützen > Datenschutz > Verschlüsselung ruhender Daten

Schweregrad: Mittel

Art der Ressource: AWS::EFS::FileSystem

AWS Config -Regel: efs-filesystem-ct-encrypted

Zeitplantyp: Änderung ausgelöst

Parameter: Keine

Dieses Steuerelement prüft, ob ein Amazon EFS-Dateisystem Daten mit AWS Key Management Service (AWS KMS) verschlüsselt. Die Steuerung schlägt fehl, wenn ein Dateisystem nicht verschlüsselt ist.

Daten im Ruhezustand beziehen sich auf Daten, die für eine beliebige Dauer in einem persistenten, nichtflüchtigen Speicher gespeichert sind. Durch das Verschlüsseln von Daten im Ruhezustand können Sie deren Vertraulichkeit schützen, wodurch das Risiko verringert wird, dass ein unbefugter Benutzer darauf zugreifen kann.

Abhilfe

Informationen zum Aktivieren der Verschlüsselung im Ruhezustand für ein neues EFS-Dateisystem finden Sie unter Verschlüsseln ruhender Daten im Amazon Elastic File System-Benutzerhandbuch.