Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Security Hub CSPM-Steuerelemente für Elastic Load Balancing

Diese AWS Security Hub CSPM Kontrollen bewerten den Elastic Load Balancing-Dienst und die Ressourcen. Die Steuerelemente sind möglicherweise nicht in allen verfügbar AWS-Regionen. Weitere Informationen finden Sie unter Verfügbarkeit von Kontrollen nach Regionen.

[ELB.1] Application Load Balancer sollte so konfiguriert sein, dass alle HTTP-Anfragen an HTTPS umgeleitet werden

Verwandte Anforderungen: PCI DSS v3.2. 1/21.3, PCI DSS v3.2. 1/4.1, NIST.800-53.r5 AC-17 (2) NIST.800-53.r5 AC-4, NIST.800-53.r5 IA-5 (1), NIST.800-53.r5 SC-12 (3),, (3) NIST.800-53.r5 SC-13 NIST.800-53.r5 SC-23, NIST.800-53.r5 SC-23 (3), NIST.800-53.r5 SC-7 (4) NIST.800-53.r5 SC-8, NIST.800-53.r5 SC-8 (1), NIST.800-53.r5 SC-8 (2), NIST.800-53.r5 SI-7 (6)

Kategorie: Erkennung > Erkennungsservices

Schweregrad: Mittel

Ressourcentyp: AWS::ElasticLoadBalancingV2::LoadBalancer

AWS Config -Regel: alb-http-to-https-redirection-check

Zeitplantyp: Periodisch

Parameter: Keine

Dieses Steuerelement überprüft, ob die HTTP-zu-HTTPS-Umleitung auf allen HTTP-Listenern von Application Load Balancers konfiguriert ist. Die Steuerung schlägt fehl, wenn für einen der HTTP-Listener von Application Load Balancers keine HTTP-zu-HTTPS-Umleitung konfiguriert ist.

Bevor Sie Ihren Application Load Balancer verwenden, müssen Sie einen oder mehrere Listener hinzufügen. Ein Listener ist ein Prozess, der das konfigurierte Protokoll und den Port verwendet, um nach Verbindungsanforderungen zu suchen. Listener unterstützen sowohl das HTTP- als auch das HTTPS-Protokoll. Sie können einen HTTPS-Listener verwenden, um die Verschlüsselung und Entschlüsselung an Ihren Load Balancer zu übertragen. Um die Verschlüsselung während der Übertragung durchzusetzen, sollten Sie Umleitungsaktionen mit Application Load Balancers verwenden, um Client-HTTP-Anfragen an eine HTTPS-Anfrage auf Port 443 umzuleiten.

Weitere Informationen finden Sie unter Listener für Ihre Application Load Balancer im Benutzerhandbuch für Application Load Balancer.

Abhilfe

Um HTTP-Anfragen an HTTPS umzuleiten, müssen Sie eine Application Load Balancer-Listener-Regel hinzufügen oder eine vorhandene Regel bearbeiten.

Anweisungen zum Hinzufügen einer neuen Regel finden Sie unter Hinzufügen einer Regel im Benutzerhandbuch für Application Load Balancers. Wählen Sie für Protokoll: Port die Option HTTP aus , und geben Sie dann Folgendes ein80. Wählen Sie unter Aktion hinzufügen die Option Umleiten zu aus, wählen Sie HTTPS aus, und geben Sie dann Folgendes ein443.

Anweisungen zum Bearbeiten einer vorhandenen Regel finden Sie unter Eine Regel bearbeiten im Benutzerhandbuch für Application Load Balancers. Wählen Sie für Protokoll: Port die Option HTTP aus , und geben Sie dann Folgendes ein80. Wählen Sie unter Aktion hinzufügen die Option Umleiten zu aus, wählen Sie HTTPS aus, und geben Sie dann Folgendes ein443.

[ELB.2] Klassische Load Balancer mit SSL/HTTPS Listenern sollten ein Zertifikat verwenden, das von bereitgestellt wird AWS Certificate Manager

Verwandte Anforderungen: NIST.800-53.r5 AC-17 (2) NIST.800-53.r5 AC-4, NIST.800-53.r5 IA-5 (1), NIST.800-53.r5 SC-12 (3), NIST.800-53.r5 SC-13, NIST.800-53.r5 SC-23 (5) NIST.800-53.r5 SC-23, (4), NIST.800-53.r5 SC-7 (1) NIST.800-53.r5 SC-8, NIST.800-53.r5 SC-8 (2), NIST.800-53.r5 SC-8 NIST.800-53.r5 SI-7 (6), 3.13.8 NIST.800-171.r2

Kategorie: Schützen > Datenschutz > Verschlüsselung von Daten bei der Übertragung

Schweregrad: Mittel

Art der Ressource: AWS::ElasticLoadBalancing::LoadBalancer

AWS Config -Regel: elb-acm-certificate-required

Zeitplantyp: Änderung ausgelöst

Parameter: Keine

Dieses Steuerelement überprüft, ob der Classic Load Balancer von AWS Certificate Manager (ACM) bereitgestellte HTTPS/SSL Zertifikate verwendet. Die Steuerung schlägt fehl, wenn der mit HTTPS/SSL Listener konfigurierte Classic Load Balancer kein von ACM bereitgestelltes Zertifikat verwendet.

Um ein Zertifikat zu erstellen, können Sie entweder ACM oder ein Tool verwenden, das die SSL- und TLS-Protokolle unterstützt, z. B. OpenSSL. Security Hub CSPM empfiehlt, dass Sie ACM verwenden, um Zertifikate für Ihren Load Balancer zu erstellen oder zu importieren.

ACM ist in Classic Load Balancers integriert, sodass Sie das Zertifikat auf Ihrem Load Balancer bereitstellen können. Sie sollten diese Zertifikate auch automatisch erneuern.

Abhilfe

Informationen zum Zuordnen eines SSL/TLS ACM-Zertifikats zu einem Classic Load Balancer finden Sie im AWS Knowledge Center-Artikel Wie kann ich ein SSL/TLS ACM-Zertifikat einem Classic-, Application- oder Network Load Balancer zuordnen?

[ELB.3] Classic Load Balancer-Listener sollten mit HTTPS- oder TLS-Terminierung konfiguriert werden

Verwandte Anforderungen: NIST.800-53.r5 AC-17 (2), NIST.800-53.r5 IA-5 (1) NIST.800-53.r5 AC-4, (3),, NIST.800-53.r5 SC-12 (3) NIST.800-53.r5 SC-13 NIST.800-53.r5 SC-23, NIST.800-53.r5 SC-23 (4), NIST.800-53.r5 SC-7 (1), (2) NIST.800-53.r5 SC-8, NIST.800-53.r5 SC-8 NIST.800-53.r5 SI-7 (6), NIST.800-53.r5 SC-8 NIST.800-171.r2 3.13.8, 3.13.15, PCI DSS NIST.800-171.r2 v4.0. 1/43.2.1

Kategorie: Schützen > Datenschutz > Verschlüsselung von Daten bei der Übertragung

Schweregrad: Mittel

Art der Ressource: AWS::ElasticLoadBalancing::LoadBalancer

AWS Config -Regel: elb-tls-https-listeners-only

Zeitplantyp: Änderung ausgelöst

Parameter: Keine

Dieses Steuerelement überprüft, ob Ihre Classic Load Balancer-Listener mit dem HTTPS- oder TLS-Protokoll für Frontend-Verbindungen (Client zu Load Balancer) konfiguriert sind. Die Steuerung ist anwendbar, wenn ein Classic Load Balancer Listener hat. Wenn für Ihren Classic Load Balancer kein Listener konfiguriert ist, meldet das Steuerelement keine Ergebnisse.

Die Steuerung ist erfolgreich, wenn die Classic Load Balancer-Listener mit TLS oder HTTPS für Frontend-Verbindungen konfiguriert sind.

Die Steuerung schlägt fehl, wenn der Listener nicht mit TLS oder HTTPS für Frontend-Verbindungen konfiguriert ist.

Bevor Sie beginnen, einen Load Balancer zu verwenden, müssen Sie einen oder mehrere Listener hinzufügen. Ein Listener ist ein Prozess, der das konfigurierte Protokoll und den Port verwendet, um nach Verbindungsanforderungen zu suchen. Listener können sowohl HTTP als auch Protokolle unterstützen. HTTPS/TLS Sie sollten immer einen HTTPS- oder TLS-Listener verwenden, damit der Load Balancer die Verschlüsselung und Entschlüsselung während der Übertragung übernimmt.

Abhilfe

Um dieses Problem zu beheben, aktualisieren Sie Ihre Listener so, dass sie das TLS- oder HTTPS-Protokoll verwenden.

[ELB.4] Application Load Balancer sollte so konfiguriert sein, dass ungültige HTTP-Header gelöscht werden

Verwandte Anforderungen: NIST.800-53.r5 SC-7 (4), NIST.800-53.r5 SC-8 (2), PCI DSS v4.0. 1/62.2.4

Kategorie: Schützen > Netzwerksicherheit

Schweregrad: Mittel

Art der Ressource: AWS::ElasticLoadBalancingV2::LoadBalancer

AWS Config -Regel: alb-http-drop-invalid-header-enabled

Zeitplantyp: Änderung ausgelöst

Parameter: Keine

Dieses Steuerelement bewertet, ob ein Application Load Balancer so konfiguriert ist, dass er ungültige HTTP-Header löscht. Die Steuerung schlägt fehl, wenn der Wert von auf gesetzt routing.http.drop_invalid_header_fields.enabled ist. false

Standardmäßig sind Application Load Balancer nicht so konfiguriert, dass sie ungültige HTTP-Header-Werte löschen. Das Entfernen dieser Header-Werte verhindert HTTP-Desync-Angriffe.

Abhilfe

Um dieses Problem zu beheben, konfigurieren Sie Ihren Load Balancer so, dass er ungültige Header-Felder löscht.

[ELB.5] Die Protokollierung von Application und Classic Load Balancers sollte aktiviert sein

Verwandte Anforderungen: NIST.800-53.r5 AC-4 (26), NIST.800-53.r5 AU-10, NIST.800-53.r5 AU-12, NIST.800-53.r5 AU-2, NIST.800-53.r5 AU-3, NIST.800-53.r5 AU-6 (3), NIST.800-53.r5 AU-6 (4) NIST.800-53.r5 CA-7, NIST.800-53.r5 SC-7 (9), NIST.800-53.r5 SI-7 (8)

Kategorie: Identifizieren > Protokollierung

Schweregrad: Mittel

Ressourcentyp: AWS::ElasticLoadBalancing::LoadBalancer, AWS::ElasticLoadBalancingV2::LoadBalancer

AWS Config -Regel: elb-logging-enabled

Zeitplantyp: Änderung ausgelöst

Parameter: Keine

Dieses Steuerelement überprüft, ob für den Application Load Balancer und den Classic Load Balancer die Protokollierung aktiviert ist. Die Steuerung schlägt fehl, wenn dies der Fall ist. access_logs.s3.enabled false

Elastic Load Balancing bietet Zugriffsprotokolle, die detaillierte Informationen zu Anforderungen erfassen, die an Ihren Load Balancer gesendet werden. Jedes Protokoll enthält Informationen wie die Zeit, zu der die Anforderung einging, die Client-IP-Adresse, Latenzen, Anforderungspfade und Serverantworten. Sie können diese Zugriffsprotokolle für die Analyse von Datenverkehrsmustern und zur Problembehebung verwenden.

Weitere Informationen finden Sie unter Zugriffsprotokolle für Ihren Classic Load Balancer im Benutzerhandbuch für Classic Load Balancer.

Abhilfe

Informationen zum Aktivieren von Zugriffsprotokollen finden Sie unter Schritt 3: Konfigurieren von Zugriffsprotokollen im Benutzerhandbuch für Application Load Balancer.

[ELB.6] Für Application, Gateway und Network Load Balancer sollte der Löschschutz aktiviert sein

Verwandte Anforderungen: NIST.800-53.r5 CA-9 (1) NIST.800-53.r5 CM-2, NIST.800-53.r5 CM-2 (2), NIST.800-53.r5 CM-3, NIST.800-53.r5 SC-5 (2)

Kategorie: Wiederherstellung > Resilienz > Hochverfügbarkeit

Schweregrad: Mittel

Art der Ressource: AWS::ElasticLoadBalancingV2::LoadBalancer

AWS Config -Regel: elb-deletion-protection-enabled

Zeitplantyp: Änderung ausgelöst

Parameter: Keine

Dieses Steuerelement überprüft, ob für eine Anwendung, ein Gateway oder ein Network Load Balancer der Löschschutz aktiviert ist. Die Steuerung schlägt fehl, wenn der Löschschutz deaktiviert ist.

Aktivieren Sie den Löschschutz, um Ihre Anwendung, Ihr Gateway oder Ihren Network Load Balancer vor dem Löschen zu schützen.

Abhilfe

Um zu verhindern, dass der Load Balancer versehentlich gelöscht wird, können Sie den Löschschutz aktivieren. Standardmäßig ist der Löschschutz für Ihren Load Balancer deaktiviert.

Wenn Sie den Löschschutz für Ihren Load Balancer aktivieren, müssen Sie den Löschschutz deaktivieren, bevor Sie den Load Balancer löschen können.

Informationen zum Aktivieren des Löschschutzes für einen Application Load Balancer finden Sie unter Löschschutz im Benutzerhandbuch für Application Load Balancer. Informationen zum Aktivieren des Löschschutzes für einen Gateway Load Balancer finden Sie unter Löschschutz im Benutzerhandbuch für Gateway Load Balancer. Informationen zum Aktivieren des Löschschutzes für einen Network Load Balancer finden Sie unter Löschschutz im Benutzerhandbuch für Network Load Balancer.

[ELB.7] Bei Classic Load Balancers sollte das Connection Draining aktiviert sein

Verwandte Anforderungen: NIST.800-53.r5 CA-9 (1), NIST.800-53.r5 CM-2

Kategorie: Erholung > Resilienz

Schweregrad: Niedrig

Art der Ressource: AWS::ElasticLoadBalancing::LoadBalancer

AWS Config Regel: elb-connection-draining-enabled (benutzerdefinierte Security Hub CSPM-Regel)

Zeitplantyp: Änderung ausgelöst

Parameter: Keine

Dieses Steuerelement überprüft, ob bei Classic Load Balancers der Verbindungsabbau aktiviert ist.

Wenn Sie den Verbindungsabbau auf Classic Load Balancern aktivieren, wird sichergestellt, dass der Load Balancer keine Anfragen mehr an Instances sendet, deren Registrierung aufgehoben wird oder deren Fehler auftreten. Es hält die bestehenden Verbindungen offen. Dies ist besonders nützlich für Instances in Auto Scaling-Gruppen, um sicherzustellen, dass Verbindungen nicht abrupt unterbrochen werden.

Abhilfe

Informationen zum Aktivieren des Verbindungsabbaus auf Classic Load Balancern finden Sie unter Konfigurieren des Verbindungsabbaus für Ihren Classic Load Balancer im Benutzerhandbuch für Classic Load Balancer.

[ELB.8] Classic Load Balancer mit SSL-Listenern sollten eine vordefinierte Sicherheitsrichtlinie verwenden, die stark ist AWS Config Dauer

Verwandte Anforderungen: NIST.800-53.r5 AC-17 (2) NIST.800-53.r5 AC-4, NIST.800-53.r5 IA-5 (1), (3),, NIST.800-53.r5 SC-12 (3) NIST.800-53.r5 SC-13 NIST.800-53.r5 SC-23, NIST.800-53.r5 SC-23 (4), NIST.800-53.r5 SC-7 (1) NIST.800-53.r5 SC-8, NIST.800-53.r5 SC-8 (2), NIST.800-53.r5 SI-7 (6), NIST.800-53.r5 SC-8 NIST.800-171.r2 3.13.8, NIST.800-171.r2 3.13.15, PCI DSS v4.0. 1/43.2.1

Kategorie: Schützen > Datenschutz > Verschlüsselung von Daten bei der Übertragung

Schweregrad: Mittel

Art der Ressource: AWS::ElasticLoadBalancing::LoadBalancer

AWS Config -Regel: elb-predefined-security-policy-ssl-check

Zeitplantyp: Änderung ausgelöst

Parameter:

Dieses Steuerelement überprüft, ob Ihre Classic Load HTTPS/SSL Balancer-Listener die vordefinierte Richtlinie verwenden. ELBSecurityPolicy-TLS-1-2-2017-01 Die Steuerung schlägt fehl, wenn die Classic Load HTTPS/SSL Balancer-Listener sie nicht verwenden. ELBSecurityPolicy-TLS-1-2-2017-01

Eine Sicherheitsrichtlinie ist eine Kombination aus SSL-Protokollen, Chiffren und der Option Server Order Preference. Vordefinierte Richtlinien steuern die Verschlüsselungen, Protokolle und Präferenzreihenfolgen, die bei SSL-Verhandlungen zwischen einem Client und einem Load Balancer unterstützt werden.

Mithilfe der Verwendung ELBSecurityPolicy-TLS-1-2-2017-01 können Sie Compliance- und Sicherheitsstandards einhalten, nach denen Sie bestimmte Versionen von SSL und TLS deaktivieren müssen. Weitere Informationen finden Sie unter Vordefinierte SSL-Sicherheitsrichtlinien für Classic Load Balancer im Benutzerhandbuch für Classic Load Balancer.

Abhilfe

Informationen zur Verwendung der vordefinierten Sicherheitsrichtlinie ELBSecurityPolicy-TLS-1-2-2017-01 mit einem Classic Load Balancer finden Sie unter Sicherheitseinstellungen konfigurieren im Benutzerhandbuch für Classic Load Balancer.

[ELB.9] Bei klassischen Load Balancern sollte der zonenübergreifende Load Balancing aktiviert sein

Verwandte Anforderungen: NIST.800-53.r5 CP-10, NIST.800-53.r5 CP-6 (2) NIST.800-53.r5 SC-36, NIST.800-53.r5 SC-5 (2), NIST.800-53.r5 SI-13 (5)

Kategorie: Wiederherstellung > Resilienz > Hochverfügbarkeit

Schweregrad: Mittel

Art der Ressource: AWS::ElasticLoadBalancing::LoadBalancer

AWS Config -Regel: elb-cross-zone-load-balancing-enabled

Zeitplantyp: Änderung ausgelöst

Parameter: Keine

Dieses Steuerelement überprüft, ob der zonenübergreifende Load Balancing für die Classic Load Balancer (CLBs) aktiviert ist. Die Steuerung schlägt fehl, wenn der zonenübergreifende Load Balancing für einen CLB nicht aktiviert ist.

Ein Load Balancer-Knoten verteilt den Datenverkehr nur auf die registrierten Ziele in seiner Availability Zone. Wenn zonenübergreifendes Load Balancing deaktiviert ist, verteilt jeder Load Balancer-Knoten den Datenverkehr gleichmäßig nur auf die registrierten Ziele in seiner Availability Zone. Wenn die Anzahl der registrierten Ziele in den Availability Zones nicht gleich ist, wird der Traffic nicht gleichmäßig verteilt, und die Instances in einer Zone sind möglicherweise im Vergleich zu den Instances in einer anderen Zone überlastet. Wenn zonenübergreifendes Load Balancing aktiviert ist, verteilt jeder Load Balancer-Knoten für Ihren Classic Load Balancer Anfragen gleichmäßig auf die registrierten Instances in allen aktivierten Availability Zones. Einzelheiten finden Sie unter Cross-zone Load Balancing im Elastic Load Balancing-Benutzerhandbuch.

Abhilfe

Informationen zum Aktivieren des zonenübergreifenden Load Balancers in einem Classic Load Balancer finden Sie unter Zonenübergreifendes Load Balancing aktivieren im Benutzerhandbuch für Classic Load Balancer.

[ELB.10] Classic Load Balancer sollte sich über mehrere Availability Zones erstrecken

Verwandte Anforderungen: NIST.800-53.r5 CP-10, NIST.800-53.r5 CP-6 (2), NIST.800-53.r5 SC-36, NIST.800-53.r5 SC-5 (2), NIST.800-53.r5 SI-13 (5)

Kategorie: Wiederherstellung > Resilienz > Hochverfügbarkeit

Schweregrad: Mittel

Art der Ressource: AWS::ElasticLoadBalancing::LoadBalancer

AWS Config -Regel: clb-multiple-az

Zeitplantyp: Änderung ausgelöst

Parameter:

Dieses Steuerelement überprüft, ob ein Classic Load Balancer so konfiguriert wurde, dass er mindestens die angegebene Anzahl von Availability Zones (AZs) abdeckt. Die Steuerung schlägt fehl, wenn der Classic Load Balancer nicht mindestens die angegebene Anzahl von AZs umfasst. Sofern Sie keinen benutzerdefinierten Parameterwert für die Mindestanzahl von AZs angeben, verwendet Security Hub CSPM einen Standardwert von zwei AZs.

Ein Classic Load Balancer kann so eingerichtet werden, dass er eingehende Anfragen auf Amazon EC2-Instances in einer einzigen Availability Zone oder mehreren Availability Zones verteilt. Ein Classic Load Balancer, der sich nicht über mehrere Availability Zones erstreckt, kann den Datenverkehr nicht zu Zielen in einer anderen Availability Zone umleiten, wenn die einzige konfigurierte Availability Zone nicht mehr verfügbar ist.

Abhilfe

Informationen zum Hinzufügen von Availability Zones zu einem Classic Load Balancer finden Sie unter Hinzufügen oder Entfernen von Subnetzen für Ihren Classic Load Balancer im Benutzerhandbuch für Classic Load Balancer.

[ELB.12] Der Application Load Balancer sollte mit einem defensiven oder strengsten Desync-Abwehrmodus konfiguriert werden

Verwandte Anforderungen: NIST.800-53.r5 AC-4 (21), NIST.800-53.r5 CA-9 (1), PCI DSS v4.0. NIST.800-53.r5 CM-2 1/62.4

Kategorie: Schützen > Datenschutz > Datenintegrität

Schweregrad: Mittel

Art der Ressource: AWS::ElasticLoadBalancingV2::LoadBalancer

AWS Config -Regel: alb-desync-mode-check

Zeitplantyp: Änderung ausgelöst

Parameter:

Dieses Steuerelement überprüft, ob ein Application Load Balancer mit einem defensiven oder strengsten Desync-Abwehrmodus konfiguriert ist. Die Steuerung schlägt fehl, wenn ein Application Load Balancer nicht mit dem defensiven oder strengsten Desync-Abwehrmodus konfiguriert ist.

Probleme mit der HTTP-Desynchronisierung können zu Anforderungsschmuggel führen und Anwendungen anfällig für Anforderungswarteschlangen oder Cache-Poisoning machen. Diese Sicherheitslücken können wiederum dazu führen, dass Anmeldeinformationen gespeichert oder nicht autorisierte Befehle ausgeführt werden. Application Load Balancer, die mit einem defensiven oder strengsten Desync-Abwehrmodus konfiguriert sind, schützen Ihre Anwendung vor Sicherheitsproblemen, die durch HTTP-Desync verursacht werden können.

Abhilfe

Informationen zum Aktualisieren des Desync-Abwehrmodus eines Application Load Balancers finden Sie im Abschnitt Desync-Abwehrmodus im Benutzerhandbuch für Application Load Balancer.

[ELB.13] Anwendungs-, Netzwerk- und Gateway-Load Balancer sollten sich über mehrere Availability Zones erstrecken

Verwandte Anforderungen: NIST.800-53.r5 CP-10, NIST.800-53.r5 CP-6 (2), NIST.800-53.r5 SC-36, NIST.800-53.r5 SC-5 (2), NIST.800-53.r5 SI-13 (5)

Kategorie: Wiederherstellung > Resilienz > Hochverfügbarkeit

Schweregrad: Mittel

Art der Ressource: AWS::ElasticLoadBalancingV2::LoadBalancer

AWS Config -Regel: elbv2-multiple-az

Zeitplantyp: Änderung ausgelöst

Parameter:

Dieses Steuerelement überprüft, ob ein Elastic Load Balancer V2 (Application, Network oder Gateway Load Balancer) Instances aus mindestens der angegebenen Anzahl von Availability Zones (AZs) registriert hat. Die Steuerung schlägt fehl, wenn auf einem Elastic Load Balancer V2 keine Instances registriert sind, die mindestens in der angegebenen Anzahl von AZs registriert sind. Sofern Sie keinen benutzerdefinierten Parameterwert für die Mindestanzahl von AZs angeben, verwendet Security Hub CSPM einen Standardwert von zwei AZs.

Elastic Load Balancing verteilt Ihren eingehenden Datenverkehr automatisch auf mehrere Ziele, z. B. EC2-Instances, Container und IP-Adressen oder eine oder mehrere Availability Zones. Elastic Load Balancing skaliert Ihren Load Balancer, wenn sich der eingehende Datenverkehr im Laufe der Zeit ändert. Es wird empfohlen, mindestens zwei Verfügbarkeitszonen zu konfigurieren, um die Verfügbarkeit der Dienste sicherzustellen, da der Elastic Load Balancer den Datenverkehr in eine andere Verfügbarkeitszone weiterleiten kann, falls eine nicht verfügbar ist. Durch die Konfiguration mehrerer Availability Zones wird vermieden, dass es eine einzige Fehlerquelle für die Anwendung gibt.

Abhilfe

Informationen zum Hinzufügen einer Availability Zone zu einem Application Load Balancer finden Sie unter Availability Zones for your Application Load Balancer im Benutzerhandbuch für Application Load Balancer. Informationen zum Hinzufügen einer Availability Zone zu einem Network Load Balancer finden Sie unter Network Load Balancers im Benutzerhandbuch für Network Load Balancer. Informationen zum Hinzufügen einer Availability Zone zu einem Gateway Load Balancer finden Sie unter Erstellen eines Gateway Load Balancers im Benutzerhandbuch für Gateway Load Balancer.

[ELB.14] Classic Load Balancer sollte mit einem defensiven oder strengsten Desync-Abwehrmodus konfiguriert werden

Verwandte Anforderungen: NIST.800-53.r5 AC-4 (21), NIST.800-53.r5 CA-9 (1), PCI DSS v4.0. NIST.800-53.r5 CM-2 1/62.4

Kategorie: Schützen > Datenschutz > Datenintegrität

Schweregrad: Mittel

Art der Ressource: AWS::ElasticLoadBalancing::LoadBalancer

AWS Config -Regel: clb-desync-mode-check

Zeitplantyp: Änderung ausgelöst

Parameter:

Dieses Steuerelement überprüft, ob ein Classic Load Balancer mit einem defensiven oder strengsten Desync-Abwehrmodus konfiguriert ist. Die Steuerung schlägt fehl, wenn der Classic Load Balancer nicht mit dem defensiven oder strengsten Desync-Abwehrmodus konfiguriert ist.

Probleme mit der HTTP-Desynchronisierung können zu Anforderungsschmuggel führen und Anwendungen anfällig für Anforderungswarteschlangen oder Cache-Poisoning machen. Diese Sicherheitslücken können wiederum dazu führen, dass Anmeldeinformationen entwendet oder nicht autorisierte Befehle ausgeführt werden. Klassische Load Balancer, die mit einem defensiven oder strengsten Desync-Abwehrmodus konfiguriert sind, schützen Ihre Anwendung vor Sicherheitsproblemen, die durch HTTP-Desync verursacht werden können.

Abhilfe

Informationen zum Aktualisieren des Desync-Abwehrmodus auf einem Classic Load Balancer finden Sie unter Ändern des Desync-Abwehrmodus im Benutzerhandbuch für Classic Load Balancer.

[ELB.16] Application Load Balancer sollten einem zugeordnet werden AWS WAF Web-ACL

Verwandte Anforderungen: NIST.800-53.r5 AC-4 (21)

Kategorie: Schützen > Schutzdienste

Schweregrad: Mittel

Art der Ressource: AWS::ElasticLoadBalancingV2::LoadBalancer

AWS Config -Regel: alb-waf-enabled

Zeitplantyp: Änderung ausgelöst

Parameter: Keine

Dieses Steuerelement überprüft, ob ein Application Load Balancer einer AWS WAF Classic- oder einer AWS WAF Web Access Control List (Web ACL) zugeordnet ist. Die Steuerung schlägt fehl, wenn das Enabled Feld für die AWS WAF Konfiguration auf false gesetzt ist.

AWS WAF ist eine Webanwendungs-Firewall, die Webanwendungen und APIs vor Angriffen schützt. Mit AWS WAF können Sie eine Web-ACL konfigurieren. Dabei handelt es sich um eine Reihe von Regeln, die Webanfragen auf der Grundlage von anpassbaren Websicherheitsregeln und -bedingungen, die Sie definieren, zulassen, blockieren oder zählen. Wir empfehlen, Ihren Application Load Balancer mit einer AWS WAF Web-ACL zu verknüpfen, um ihn vor böswilligen Angriffen zu schützen.

Abhilfe

Informationen zum Zuordnen eines Application Load Balancers zu einer Web-ACL finden Sie unter Zuordnen oder Aufheben der Zuordnung einer Web-ACL zu einer Ressource im Entwicklerhandbuch. AWS AWS WAF

[ELB.17] Anwendungs- und Network Load Balancer mit Listenern sollten die empfohlenen Sicherheitsrichtlinien verwenden

Verwandte Anforderungen: NIST.800-53.r5 AC-17 (2) NIST.800-53.r5 AC-4, NIST.800-53.r5 IA-5 (1), NIST.800-53.r5 SC-12 (3),, (3) NIST.800-53.r5 SC-13 NIST.800-53.r5 SC-23, NIST.800-53.r5 SC-23 (3), NIST.800-53.r5 SC-7 (4) NIST.800-53.r5 SC-8, NIST.800-53.r5 SC-8 (1), NIST.800-53.r5 SC-8 (2), NIST.800-53.r5 SI-7 (6)

Kategorie: Schützen > Datenschutz > Verschlüsselung von Daten bei der Übertragung

Schweregrad: Mittel

Art der Ressource: AWS::ElasticLoadBalancingV2::Listener

AWS Config -Regel: elbv2-predefined-security-policy-ssl-check

Zeitplantyp: Änderung ausgelöst

Parameter sslPolicies: ELBSecurityPolicy-TLS13-1-3-2021-06, ELBSecurityPolicy-TLS13-1-3-FIPS-2023-04, ELBSecurityPolicy-TLS13-1-2-Res-2021-06, ELBSecurityPolicy-TLS13-1-2-Res-FIPS-2023-04, ELBSecurityPolicy-TLS13-1-2-Res-PQ-2025-09, ELBSecurityPolicy-TLS13-1-3-PQ-2025-09, ELBSecurityPolicy-TLS13-1-2-Res-FIPS-PQ-2025-09, ELBSecurityPolicy-TLS13-1-3-FIPS-PQ-2025-09 (nicht anpassbar)

Dieses Steuerelement überprüft, ob der HTTPS-Listener für einen Application Load Balancer oder der TLS-Listener für einen Network Load Balancer so konfiguriert ist, dass Daten bei der Übertragung mithilfe einer empfohlenen Sicherheitsrichtlinie verschlüsselt werden. Die Steuerung schlägt fehl, wenn der HTTPS- oder TLS-Listener für einen Load Balancer nicht für die Verwendung einer empfohlenen Sicherheitsrichtlinie konfiguriert ist.

Elastic Load Balancing verwendet eine SSL-Aushandlungskonfiguration, die als Sicherheitsrichtlinie bezeichnet wird, um Verbindungen zwischen einem Client und einem Load Balancer auszuhandeln. Die Sicherheitsrichtlinie spezifiziert eine Kombination aus Protokollen und Chiffren. Das Protokoll stellt eine sichere Verbindung zwischen einem Client und einem Server her. Eine Chiffre ist ein Verschlüsselungsalgorithmus, der Verschlüsselungsschlüssel verwendet, um eine verschlüsselte Nachricht zu erstellen. Während der Verbindungsaushandlung präsentieren der Client und der Load Balancer eine Liste von Verschlüsselungsverfahren und Protokollen, die sie jeweils unterstützen, nach Priorität sortiert. Die Verwendung einer empfohlenen Sicherheitsrichtlinie für einen Load Balancer kann Ihnen helfen, Compliance- und Sicherheitsstandards einzuhalten.

Abhilfe

Informationen zu empfohlenen Sicherheitsrichtlinien und zur Aktualisierung von Listenern finden Sie in den folgenden Abschnitten der Elastic Load Balancing-Benutzerhandbücher: Sicherheitsrichtlinien für Application Load Balancer, Sicherheitsrichtlinien für Network Load Balancer, Aktualisieren eines HTTPS-Listeners für Ihren Application Load Balancer und Aktualisieren eines Listeners für Ihren Network Load Balancer.

[ELB.18] Anwendungs- und Network Load Balancer-Listener sollten sichere Protokolle verwenden, um Daten während der Übertragung zu verschlüsseln

Kategorie: Schützen > Datenschutz > Verschlüsselung von Daten bei der Übertragung

Schweregrad: Mittel

Art der Ressource: AWS::ElasticLoadBalancingV2::Listener

AWS Config -Regel: elbv2-listener-encryption-in-transit

Zeitplantyp: Änderung ausgelöst

Parameter: Keine

Dieses Steuerelement überprüft, ob der Listener für einen Application Load Balancer oder Network Load Balancer so konfiguriert ist, dass er ein sicheres Protokoll für die Verschlüsselung von Daten bei der Übertragung verwendet. Die Steuerung schlägt fehl, wenn ein Application Load Balancer-Listener nicht für die Verwendung des HTTPS-Protokolls konfiguriert ist oder ein Network Load Balancer-Listener nicht für die Verwendung des TLS-Protokolls konfiguriert ist.

Um Daten zu verschlüsseln, die zwischen einem Client und einem Load Balancer übertragen werden, sollten Elastic Load Balancer-Listener so konfiguriert werden, dass sie branchenübliche Sicherheitsprotokolle verwenden: HTTPS für Application Load Balancer oder TLS für Network Load Balancer. Andernfalls sind Daten, die zwischen einem Client und einem Load Balancer übertragen werden, anfällig für Abfangen, Manipulation und unbefugten Zugriff. Die Verwendung von HTTPS oder TLS durch einen Listener entspricht den bewährten Sicherheitsmethoden und trägt dazu bei, die Vertraulichkeit und Integrität der Daten während der Übertragung zu gewährleisten. Dies ist besonders wichtig für Anwendungen, die vertrauliche Informationen verarbeiten oder Sicherheitsstandards einhalten müssen, die eine Verschlüsselung der Daten bei der Übertragung erfordern.

Abhilfe

Informationen zur Konfiguration von Sicherheitsprotokollen für Listener finden Sie in den folgenden Abschnitten der Elastic Load Balancing-Benutzerhandbücher: Erstellen Sie einen HTTPS-Listener für Ihren Application Load Balancer und Erstellen Sie einen Listener für Ihren Network Load Balancer.

[ELB.21] Anwendungs- und Network Load Balancer-Zielgruppen sollten verschlüsselte Integritätsprüfungsprotokolle verwenden

Kategorie: Schützen > Datenschutz > Verschlüsselung von Daten bei der Übertragung

Schweregrad: Mittel

Art der Ressource: AWS::ElasticLoadBalancingV2::TargetGroup

AWS Config -Regel: elbv2-targetgroup-healthcheck-protocol-encrypted

Zeitplantyp: Änderung ausgelöst

Parameter: Keine

Dieses Steuerelement überprüft, ob die Zielgruppe für Zustandsprüfungen von Anwendungen und Network Load Balancer ein verschlüsseltes Transportprotokoll verwendet. Die Steuerung schlägt fehl, wenn das Integritätsprüfungsprotokoll HTTPS nicht verwendet. Diese Steuerung gilt nicht für Lambda-Zieltypen.

Load Balancer senden Integritätsprüfungsanfragen an registrierte Ziele, um deren Status zu ermitteln und den Verkehr entsprechend weiterzuleiten. Das in der Zielgruppenkonfiguration angegebene Integritätsprüfungsprotokoll bestimmt, wie diese Prüfungen durchgeführt werden. Wenn Integritätsprüfungsprotokolle unverschlüsselte Kommunikation wie HTTP verwenden, können die Anfragen und Antworten während der Übertragung abgefangen oder manipuliert werden. Auf diese Weise können Angreifer Einblicke in die Infrastrukturkonfiguration gewinnen, die Ergebnisse der Integritätsprüfungen manipulieren oder Man-in-the-Middle-Angriffe durchführen, die Routing-Entscheidungen beeinflussen. Die Verwendung von HTTPS für Integritätsprüfungen sorgt für eine verschlüsselte Kommunikation zwischen dem Load Balancer und seinen Zielen, wodurch die Integrität und Vertraulichkeit der Gesundheitsstatusinformationen geschützt werden.

Abhilfe

Informationen zur Konfiguration verschlüsselter Zustandsprüfungen für Ihre Application Load Balancer-Zielgruppe finden Sie im Elastic Load Balancer-Benutzerhandbuch unter Aktualisieren der Zustandsprüfungseinstellungen einer Application Load Balancer-Zielgruppe. Informationen zur Konfiguration verschlüsselter Zustandsprüfungen für Ihre Network Load Balancer-Zielgruppe finden Sie im Elastic Load Balancer-Benutzerhandbuch unter Aktualisieren der Zustandsprüfungseinstellungen einer Network Load Balancer-Zielgruppe.

[ELB.22] ELB-Zielgruppen sollten verschlüsselte Transportprotokolle verwenden

Kategorie: Schützen > Datenschutz > Verschlüsselung von Daten bei der Übertragung

Schweregrad: Mittel

Art der Ressource: AWS::ElasticLoadBalancingV2::TargetGroup

AWS Config -Regel: elbv2-targetgroup-protocol-encrypted

Zeitplantyp: Änderung ausgelöst

Parameter: Keine

Dieses Steuerelement überprüft, ob eine Elastic Load Balancing-Zielgruppe ein verschlüsseltes Transportprotokoll verwendet. Diese Kontrolle gilt nicht für Zielgruppen mit dem Zieltyp Lambda oder ALB oder für Zielgruppen, die das GENEVE-Protokoll verwenden. Die Steuerung schlägt fehl, wenn die Zielgruppe kein HTTPS-, TLS- oder QUIC-Protokoll verwendet.

Die Verschlüsselung von Daten während der Übertragung schützt sie vor dem Abfangen durch unbefugte Benutzer. Zielgruppen, die unverschlüsselte Protokolle (HTTP, TCP, UDP) verwenden, übertragen Daten ohne Verschlüsselung und sind daher anfällig für Abhören. Die Verwendung verschlüsselter Protokolle (HTTPS, TLS, QUIC) stellt sicher, dass die zwischen Load Balancern und Zielen übertragenen Daten geschützt sind.

Abhilfe

Um ein verschlüsseltes Protokoll zu verwenden, müssen Sie eine neue Zielgruppe mit dem HTTPS-, TLS- oder QUIC-Protokoll erstellen. Das Zielgruppenprotokoll kann nach der Erstellung nicht geändert werden. Informationen zum Erstellen einer Application Load Balancer-Zielgruppe finden Sie unter Erstellen einer Zielgruppe für Ihren Application Load Balancer im Elastic Load Balancing-Benutzerhandbuch. Informationen zum Erstellen einer Network Load Balancer-Zielgruppe finden Sie unter Erstellen einer Zielgruppe für Ihren Network Load Balancer im Elastic Load Balancing-Benutzerhandbuch.