Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Security Hub CSPM-Steuerelemente für Amazon RDS

Diese AWS Security Hub CSPM Kontrollen bewerten den Amazon Relational Database Service (Amazon RDS) und die Amazon RDS-Ressourcen. Die Steuerelemente sind möglicherweise nicht in allen AWS-Regionen verfügbar. Weitere Informationen finden Sie unter Verfügbarkeit von Kontrollen nach Regionen.

[RDS.1] Der RDS-Snapshot sollte privat sein

Verwandte Anforderungen: PCI DSS v3.2. 1/12.2.1, PCI DSS v3.2. 1/12.3.1, PCI DSS Version 3.2. 1/12.3.4, PCI DSS Version 3.2. 1/12.3.6, PCI DSS Version 3.2. 1/7.2.1, NIST.800-53.r5 AC-21 NIST.800-53.r5 AC-3, NIST.800-53.r5 AC-3 (7), NIST.800-53.r5 AC-4 (21) NIST.800-53.r5 AC-4,, (11) NIST.800-53.r5 AC-6 NIST.800-53.r5 SC-7, NIST.800-53.r5 SC-7 (16), NIST.800-53.r5 SC-7 (20), NIST.800-53.r5 SC-7 (21), NIST.800-53.r5 SC-7 (3), NIST.800-53.r5 SC-7 (4), NIST.800-53.r5 SC-7 (9) NIST.800-53.r5 SC-7

Kategorie: Schutz > Sichere Netzwerkkonfiguration

Schweregrad: Kritisch

Ressourcentyp: AWS::RDS::DBClusterSnapshot, AWS::RDS::DBSnapshot

AWS Config -Regel: rds-snapshots-public-prohibited

Zeitplantyp: Änderung ausgelöst

Parameter: Keine

Dieses Steuerelement überprüft, ob Amazon RDS-Snapshots öffentlich sind. Die Steuerung schlägt fehl, wenn RDS-Snapshots öffentlich sind. Dieses Steuerelement bewertet RDS-Instances, Aurora-DB-Instances, Neptune-DB-Instances und Amazon DocumentDB-Cluster.

RDS-Snapshots werden verwendet, um die Daten auf Ihren RDS-Instances zu einem bestimmten Zeitpunkt zu sichern. Sie können verwendet werden, um frühere Zustände von RDS-Instances wiederherzustellen.

Ein RDS-Snapshot darf nur öffentlich sein, wenn dies beabsichtigt ist. Wenn Sie einen unverschlüsselten manuellen Snapshot als öffentlich freigeben, ist der Snapshot dadurch für alle verfügbar. AWS-Konten Dies kann zu einer unbeabsichtigten Offenlegung von Daten Ihrer RDS-Instance führen.

Beachten Sie, dass die AWS Config Regel die Änderung möglicherweise erst nach 12 Stunden erkennen kann, wenn die Konfiguration geändert wird, um öffentlichen Zugriff zu ermöglichen. Bis die AWS Config Regel die Änderung erkennt, ist die Prüfung erfolgreich, obwohl die Konfiguration gegen die Regel verstößt.

Weitere Informationen zum Teilen eines DB-Snapshots finden Sie unter Teilen eines DB-Snapshots im Amazon RDS-Benutzerhandbuch.

Abhilfe

Informationen zum Entfernen des öffentlichen Zugriffs auf RDS-Snapshots finden Sie unter Teilen eines Snapshots im Amazon RDS-Benutzerhandbuch. Für die Sichtbarkeit von DB-Snapshots wählen wir Privat.

[RDS.2] RDS-DB-Instances sollten den öffentlichen Zugriff verbieten, wie in der PubliclyAccessible Konfiguration festgelegt

Verwandte Anforderungen: CIS AWS Foundations Benchmark v5.0. 0/2.2.3, CIS AWS Foundations Benchmark v3.0. 0/2.3.3 NIST.800-53.r5 AC-4, NIST.800-53.r5 AC-4 (21), (11) NIST.800-53.r5 SC-7, NIST.800-53.r5 SC-7 (16), NIST.800-53.r5 SC-7 (21), NIST.800-53.r5 SC-7 (4), NIST.800-53.r5 SC-7 NIST.800-53.r5 SC-7 (5), PCI DSS v3.2. 1/12.2.1, PCI DSS v3.2. 1/12.3.1, PCI DSS Version 3.2. 1/12.3.2, PCI DSS v3.2. 1/12.3.4, PCI DSS Version 3.2. 1/12.3.6, PCI DSS Version 3.2. 1/72.2.1, PCI DSS Version 4.0. 1/12.4.4

Kategorie: Schutz > Sichere Netzwerkkonfiguration

Schweregrad: Kritisch

Art der Ressource: AWS::RDS::DBInstance

AWS Config -Regel: rds-instance-public-access-check

Zeitplantyp: Änderung ausgelöst

Parameter: Keine

Dieses Steuerelement überprüft, ob Amazon RDS-Instances öffentlich zugänglich sind, indem es das PubliclyAccessible Feld im Instance-Konfigurationselement auswertet.

Neptune-DB-Instances und Amazon DocumentDB-Cluster haben das PubliclyAccessible Flag nicht und können nicht ausgewertet werden. Diese Steuerung kann jedoch immer noch Ergebnisse für diese Ressourcen generieren. Sie können diese Ergebnisse unterdrücken.

Der PubliclyAccessible-Wert in der RDS-Instance-Konfiguration gibt an, ob die DB-Instance öffentlich zugänglich ist. Wenn die DB-Instance mit konfiguriert istPubliclyAccessible, handelt es sich um eine Internet-facing Instance mit einem öffentlich auflösbaren DNS-Namen, der in eine öffentliche IP-Adresse aufgelöst wird. Wenn die DB-Instance nicht öffentlich zugänglich ist, handelt es sich um eine interne Instance mit einem DNS-Namen, der in eine private IP-Adresse aufgelöst wird.

Sofern Sie nicht beabsichtigen, dass Ihre RDS-Instance öffentlich zugänglich ist, sollte die RDS-Instance nicht mit einem PubliclyAccessible Wert konfiguriert werden. Dadurch kann es zu unnötigem Datenverkehr auf Ihrer Datenbank-Instance kommen.

Abhilfe

Informationen zum Entfernen des öffentlichen Zugriffs auf RDS-DB-Instances finden Sie unter Modifizieren einer Amazon RDS-DB-Instance im Amazon RDS-Benutzerhandbuch. Wählen Sie für den öffentlichen Zugriff Nein aus.

[RDS.3] Für RDS-DB-Instances sollte die Verschlüsselung im Ruhezustand aktiviert sein

Verwandte Anforderungen: CIS AWS Foundations Benchmark v5.0. 0/22.2.1, CIS AWS Foundations Benchmark v3.0. 0/2.3.1, CIS AWS Foundations Benchmark v1.4. 0/2.3.1, NIST.800-53.r5 CA-9 (1), NIST.800-53.r5 CM-3 (6),, NIST.800-53.r5 SC-13 NIST.800-53.r5 SC-28, NIST.800-53.r5 SC-28 (1), (10), NIST.800-53.r5 SC-7 (6) NIST.800-53.r5 SI-7

Kategorie: Schützen > Datenschutz > Verschlüsselung ruhender Daten

Schweregrad: Mittel

Art der Ressource: AWS::RDS::DBInstance

AWS Config -Regel: rds-storage-encrypted

Zeitplantyp: Änderung ausgelöst

Parameter: Keine

Dieses Steuerelement überprüft, ob die Speicherverschlüsselung für Ihre Amazon RDS-DB-Instances aktiviert ist.

Dieses Steuerelement ist für RDS-DB-Instances vorgesehen. Es kann jedoch auch Ergebnisse für Aurora-DB-Instances, Neptune-DB-Instances und Amazon DocumentDB-Cluster generieren. Wenn diese Ergebnisse nicht nützlich sind, können Sie sie unterdrücken.

Um eine zusätzliche Sicherheitsebene für Ihre sensiblen Daten in RDS-DB-Instances zu erhalten, sollten Sie Ihre RDS-DB-Instances so konfigurieren, dass sie im Ruhezustand verschlüsselt werden. Um Ihre RDS-DB-Instances und Snapshots im Ruhezustand zu verschlüsseln, aktivieren Sie die Verschlüsselungsoption für Ihre RDS-DB-Instances. Daten, die im Ruhezustand verschlüsselt werden, umfassen den zugehörigen Speicherplatz für DB-Instances, deren automatisierte Backups, Read Replicas und Snapshots.

RDS-verschlüsselte DB-Instances verwenden den offenen AES-256 Standard-Verschlüsselungsalgorithmus, um Ihre Daten auf dem Server zu verschlüsseln, der Ihre RDS-DB-Instances hostet. Nachdem Ihre Daten verschlüsselt wurden, übernimmt Amazon RDS die Authentifizierung des Zugriffs und die Entschlüsselung Ihrer Daten auf transparente Weise mit minimalen Auswirkungen auf die Leistung. Sie müssen Ihre Datenbank-Client-Anwendungen nicht ändern, um die Verschlüsselung anzuwenden.

Die Amazon RDS-Verschlüsselung ist derzeit für alle Datenbank-Engines und Speichertypen verfügbar. Amazon-RDS-Verschlüsselung ist für die meisten DB-Instance-Klassen verfügbar. Weitere Informationen zu DB-Instance-Klassen, die die Amazon RDS-Verschlüsselung nicht unterstützen, finden Sie unter Verschlüsseln von Amazon RDS-Ressourcen im Amazon RDS-Benutzerhandbuch.

Abhilfe

Informationen zur Verschlüsselung von DB-Instances in Amazon RDS finden Sie unter Verschlüsseln von Amazon RDS-Ressourcen im Amazon RDS-Benutzerhandbuch.

[RDS.4] RDS-Cluster-Snapshots und Datenbank-Snapshots sollten im Ruhezustand verschlüsselt werden

Verwandte Anforderungen: NIST.800-53.r5 CA-9 (1), NIST.800-53.r5 CM-3 (6),, NIST.800-53.r5 SC-13 NIST.800-53.r5 SC-28, NIST.800-53.r5 SC-28 (1), NIST.800-53.r5 SC-7 (10), NIST.800-53.r5 SI-7 (6)

Kategorie: Schützen > Datenschutz > Verschlüsselung ruhender Daten

Schweregrad: Mittel

Art der Ressource:, AWS::RDS::DBClusterSnapshot AWS::RDS::DBSnapshot

AWS Config -Regel: rds-snapshot-encrypted

Zeitplantyp: Änderung ausgelöst

Parameter: Keine

Dieses Steuerelement überprüft, ob ein RDS-DB-Snapshot verschlüsselt ist. Die Steuerung schlägt fehl, wenn ein RDS-DB-Snapshot nicht verschlüsselt ist.

Dieses Steuerelement ist für RDS-DB-Instances vorgesehen. Es kann jedoch auch Ergebnisse für Snapshots von Aurora-DB-Instances, Neptune-DB-Instances und Amazon DocumentDB-Clustern generieren. Wenn diese Ergebnisse nicht nützlich sind, können Sie sie unterdrücken.

Durch das Verschlüsseln von Daten im Ruhezustand wird das Risiko verringert, dass ein nicht authentifizierter Benutzer Zugriff auf Daten erhält, die auf der Festplatte gespeichert sind. Daten in RDS-Snapshots sollten im Ruhezustand verschlüsselt werden, um eine zusätzliche Sicherheitsebene zu gewährleisten.

Abhilfe

Informationen zum Verschlüsseln eines RDS-Snapshots finden Sie unter Verschlüsseln von Amazon RDS-Ressourcen im Amazon RDS-Benutzerhandbuch. Wenn Sie eine RDS-DB-Instance verschlüsseln, umfassen die verschlüsselten Daten den zugrunde liegenden Speicher für die Instance, ihre automatisierten Backups, Read Replicas und Snapshots.

Sie können eine RDS-DB-Instance nur verschlüsseln, wenn Sie sie erstellen, nicht nachdem die DB-Instance erstellt wurde. Da es jedoch möglich ist, die Kopie eines unverschlüsselten Snapshots zu verschlüsseln, können Sie quasi eine Verschlüsselung zu einer unverschlüsselten DB-Instance hinzufügen. Dies lässt sich durchführen, indem Sie einen Snapshot von Ihrer DB-Instance erstellen und dann eine verschlüsselte Kopie dieses Snapshots erstellen. Anschließend können Sie Ihre DB-Instance aus dem verschlüsselten Snapshot wiederherstellen und verfügen so über eine verschlüsselte Kopie Ihrer ursprünglichen DB-Instance.

[RDS.5] RDS-DB-Instances sollten mit mehreren Availability Zones konfiguriert werden

Verwandte Anforderungen: CIS AWS Foundations Benchmark v5.0. 0/22.4, (2) NIST.800-53.r5 CP-10, NIST.800-53.r5 CP-6 (2) NIST.800-53.r5 SC-36, NIST.800-53.r5 SC-5 (2), NIST.800-53.r5 SI-13 (5)

Kategorie: Wiederherstellung > Resilienz > Hochverfügbarkeit

Schweregrad: Mittel

Art der Ressource: AWS::RDS::DBInstance

AWS Config -Regel: rds-multi-az-support

Zeitplantyp: Änderung ausgelöst

Parameter: Keine

Dieses Steuerelement überprüft, ob Hochverfügbarkeit für Ihre RDS-DB-Instances aktiviert ist. Die Steuerung schlägt fehl, wenn eine RDS-DB-Instance nicht mit mehreren Availability Zones (AZs) konfiguriert ist. Diese Steuerung gilt nicht für RDS-DB-Instances, die Teil einer Multi-AZ DB-Cluster-Bereitstellung sind.

Die Konfiguration von Amazon RDS-DB-Instances mit AZs trägt dazu bei, die Verfügbarkeit der gespeicherten Daten sicherzustellen. Multi-AZ Bereitstellungen ermöglichen ein automatisiertes Failover, wenn es ein Problem mit der AZ-Verfügbarkeit und während der regelmäßigen RDS-Wartung gibt.

Abhilfe

Informationen zur Bereitstellung Ihrer DB-Instances in mehreren AZs finden Sie im Amazon RDS-Benutzerhandbuch unter Ändern einer Multi-AZ DB-Instance als DB-Instance-Bereitstellung.

[RDS.6] Für RDS-DB-Instances sollte eine erweiterte Überwachung konfiguriert werden

Verwandte Anforderungen: NIST.800-53.r5 CA-7, NIST.800-53.r5 SI-2

Kategorie: Erkennung > Erkennungsservices

Schweregrad: Niedrig

Art der Ressource: AWS::RDS::DBInstance

AWS Config -Regel: rds-enhanced-monitoring-enabled

Zeitplantyp: Änderung ausgelöst

Parameter:

Dieses Steuerelement überprüft, ob die erweiterte Überwachung für eine Amazon Relational Database Service (Amazon RDS) -DB-Instance aktiviert ist. Die Steuerung schlägt fehl, wenn die erweiterte Überwachung für die Instance nicht aktiviert ist. Wenn Sie einen benutzerdefinierten Wert für den monitoringInterval Parameter angeben, ist die Steuerung nur erfolgreich, wenn im angegebenen Intervall erweiterte Überwachungsmetriken für die Instance erfasst werden.

In Amazon RDS ermöglicht Enhanced Monitoring eine schnellere Reaktion auf Leistungsänderungen in der zugrunde liegenden Infrastruktur. Diese Leistungsänderungen könnten zu einer mangelnden Verfügbarkeit der Daten führen. Enhanced Monitoring bietet Echtzeit-Metriken des Betriebssystems, auf dem Ihre RDS-DB-Instance ausgeführt wird. Ein Agent ist auf der Instance installiert. Der Agent kann Metriken genauer abrufen, als dies auf der Hypervisor-Ebene möglich ist.

Metriken von Enhanced Monitoring sind nützlich, um zu sehen, wie unterschiedliche Prozesse oder Threads auf einer DB-Instance die CPU nutzen. Weitere Informationen finden Sie unter Enhanced Monitoring (Erweiterte Überwachung) im Amazon-RDS-Benutzerhandbuch.

Abhilfe

Eine ausführliche Anleitung zur Aktivierung von Enhanced Monitoring für Ihre DB-Instance finden Sie unter Einrichtung und Aktivierung von Enhanced Monitoring im Amazon RDS-Benutzerhandbuch.

[RDS.7] Bei RDS-Clustern sollte der Löschschutz aktiviert sein

Verwandte Anforderungen: NIST.800-53.r5 CM-3, NIST.800-53.r5 SC-5 (2)

Kategorie: Schützen > Datenschutz > Schutz vor Datenlöschung

Schweregrad: Mittel

Art der Ressource: AWS::RDS::DBCluster

AWS Config -Regel: rds-cluster-deletion-protection-enabled

Zeitplantyp: Änderung ausgelöst

Parameter: Keine

Dieses Steuerelement überprüft, ob für ein RDS-DB-Cluster der Löschschutz aktiviert ist. Die Steuerung schlägt fehl, wenn für einen RDS-DB-Cluster kein Löschschutz aktiviert ist.

Dieses Steuerelement ist für RDS-DB-Instances vorgesehen. Es kann jedoch auch Ergebnisse für Aurora-DB-Instances, Neptune-DB-Instances und Amazon DocumentDB-Cluster generieren. Wenn diese Ergebnisse nicht nützlich sind, können Sie sie unterdrücken.

Die Aktivierung des Cluster-Löschschutzes ist eine zusätzliche Schutzebene gegen versehentliches Löschen von Datenbanken oder das Löschen durch eine nicht autorisierte Entität.

Wenn der Löschschutz aktiviert ist, kann ein RDS-Cluster nicht gelöscht werden. Bevor eine Löschanfrage erfolgreich sein kann, muss der Löschschutz deaktiviert werden.

Abhilfe

Informationen zum Aktivieren des Löschschutzes für einen RDS-DB-Cluster finden Sie unter Ändern des DB-Clusters mithilfe der Konsole, der CLI und der API im Amazon RDS-Benutzerhandbuch. Wählen Sie unter Löschschutz die Option Löschschutz aktivieren.

[RDS.8] Für RDS-DB-Instances sollte der Löschschutz aktiviert sein

Verwandte Anforderungen: NIST.800-53.r5 CM-3, NIST.800-53.r5 SC-5 (2), NIST.800-53.r5 SI-13 (5)

Kategorie: Schützen > Datenschutz > Schutz vor Datenlöschung

Schweregrad: Niedrig

Art der Ressource: AWS::RDS::DBInstance

AWS Config -Regel: rds-instance-deletion-protection-enabled

Zeitplantyp: Änderung ausgelöst

Parameter:

Dieses Steuerelement überprüft, ob für Ihre RDS-DB-Instances, die eine der aufgelisteten Datenbank-Engines verwenden, der Löschschutz aktiviert ist. Die Steuerung schlägt fehl, wenn für eine RDS-DB-Instance kein Löschschutz aktiviert ist.

Die Aktivierung des Instance-Löschschutzes bietet eine zusätzliche Schutzebene vor versehentlichem Löschen oder Löschen der Datenbank durch eine nicht autorisierte Person.

Solange der Löschschutz aktiviert ist, kann eine RDS-DB-Instance nicht gelöscht werden. Bevor eine Löschanfrage erfolgreich sein kann, muss der Löschschutz deaktiviert werden.

Abhilfe

Informationen zum Aktivieren des Löschschutzes für eine RDS-DB-Instance finden Sie unter Modifizieren einer Amazon RDS-DB-Instance im Amazon RDS-Benutzerhandbuch. Wählen Sie unter Löschschutz die Option Löschschutz aktivieren.

[RDS.9] RDS-DB-Instances sollten CloudWatch Protokolle in Logs veröffentlichen

Verwandte Anforderungen: NIST.800-53.r5 AC-2 (4), NIST.800-53.r5 AC-4 (26), NIST.800-53.r5 AC-6 (9),, NIST.800-53.r5 AU-10, NIST.800-53.r5 AU-12 NIST.800-53.r5 AU-2, NIST.800-53.r5 AU-6 (3) NIST.800-53.r5 AU-3, (4), NIST.800-53.r5 AU-6 (10) NIST.800-53.r5 CA-7, NIST.800-53.r5 SC-7 (9), NIST.800-53.r5 SC-7 (8), NIST.800-53.r5 SI-3 (20), NIST.800-53.r5 SI-4 (8), NIST.800-53.r5 SI-7 (8), PCI DSS v4.0. 1/102.2.1

Kategorie: Identifizieren > Protokollierung

Schweregrad: Mittel

Art der Ressource: AWS::RDS::DBInstance

AWS Config -Regel: rds-logging-enabled

Zeitplantyp: Änderung ausgelöst

Parameter: Keine

Dieses Steuerelement überprüft, ob eine Amazon RDS-DB-Instance für die Veröffentlichung der folgenden Protokolle in Amazon CloudWatch Logs konfiguriert ist. Die Steuerung schlägt fehl, wenn die Instance nicht für die Veröffentlichung der folgenden Protokolle in Logs konfiguriert ist: CloudWatch

Für RDS-Datenbanken sollten die entsprechenden Protokolle aktiviert sein. Die Datenbankprotokollierung bietet detaillierte Aufzeichnungen der an RDS gestellten Anfragen. Datenbankprotokolle können bei Sicherheits- und Zugriffsprüfungen helfen und helfen, Verfügbarkeitsprobleme zu diagnostizieren.

Abhilfe

Informationen zum Veröffentlichen von RDS-Datenbankprotokollen in CloudWatch Logs finden Sie im Amazon RDS-Benutzerhandbuch unter Angeben der CloudWatch Protokolle, die in Logs veröffentlicht werden sollen.

[RDS.10] Die IAM-Authentifizierung sollte für RDS-Instances konfiguriert werden

Verwandte Anforderungen: NIST.800-53.r5 AC-2 (1) NIST.800-53.r5 AC-3, NIST.800-53.r5 AC-3 (15), NIST.800-53.r5 AC-3 (7), NIST.800-53.r5 AC-6

Kategorie: Schützen > Sichere Zugriffsverwaltung > Passwortlose Authentifizierung

Schweregrad: Mittel

Art der Ressource: AWS::RDS::DBInstance

AWS Config -Regel: rds-instance-iam-authentication-enabled

Zeitplantyp: Änderung ausgelöst

Parameter: Keine

Dieses Steuerelement überprüft, ob für eine RDS-DB-Instance die IAM-Datenbankauthentifizierung aktiviert ist. Die Steuerung schlägt fehl, wenn die IAM-Authentifizierung für RDS-DB-Instances nicht konfiguriert ist. Dieses Steuerelement bewertet nur RDS-Instances mit den folgenden Engine-Typen:mysql,postgres, aurora aurora-mysqlaurora-postgresql, und. mariadb Eine RDS-Instance muss sich außerdem in einem der folgenden Zustände befinden, damit ein Ergebnis generiert wird:available, backing-upstorage-optimization, oderstorage-full.

Die IAM-Datenbankauthentifizierung ermöglicht die Authentifizierung bei Datenbank-Instances mit einem Authentifizierungstoken anstelle eines Passworts. Der Netzwerkverkehr zur und von der Datenbank wird mit SSL verschlüsselt. Weitere Informationen finden Sie unter IAM-Datenbank-Authentifizierung im Amazon Aurora-Benutzerhandbuch.

Abhilfe

Informationen zur Aktivierung der IAM-Datenbankauthentifizierung auf einer RDS-DB-Instance finden Sie unter Aktivieren und Deaktivieren der IAM-Datenbankauthentifizierung im Amazon RDS-Benutzerhandbuch.

[RDS.11] Bei RDS-Instances sollten automatische Backups aktiviert sein

Verwandte Anforderungen: NIST.800-53.r5 CP-10 NIST.800-53.r5 CP-6, NIST.800-53.r5 CP-6 (1), NIST.800-53.r5 CP-6 (2),, (2) NIST.800-53.r5 CP-9, NIST.800-53.r5 SC-5 (2) NIST.800-53.r5 SI-12, NIST.800-53.r5 SI-13 (5)

Kategorie: Wiederherstellung > Resilienz > Backups aktiviert

Schweregrad: Mittel

Art der Ressource: AWS::RDS::DBInstance

AWS Config -Regel: db-instance-backup-enabled

Zeitplantyp: Änderung ausgelöst

Parameter:

Mit dieser Steuerung wird überprüft, ob für eine Amazon Relational Database Service-Instance automatische Backups aktiviert sind und ob ein Aufbewahrungszeitraum für Backups größer oder gleich dem angegebenen Zeitrahmen ist. Read Replicas sind von der Bewertung ausgeschlossen. Die Steuerung schlägt fehl, wenn Backups für die Instance nicht aktiviert sind oder wenn der Aufbewahrungszeitraum unter dem angegebenen Zeitrahmen liegt. Sofern Sie keinen benutzerdefinierten Parameterwert für die Aufbewahrungsdauer von Backups angeben, verwendet Security Hub CSPM einen Standardwert von 7 Tagen.

Backups helfen Ihnen, sich nach einem Sicherheitsvorfall schneller zu erholen, und stärken die Widerstandsfähigkeit Ihrer Systeme. Mit Amazon RDS können Sie täglich Snapshots des gesamten Instance-Volumes konfigurieren. Weitere Informationen zu automatisierten Amazon RDS-Backups finden Sie unter Arbeiten mit Backups im Amazon RDS-Benutzerhandbuch.

Abhilfe

Informationen zum Aktivieren automatisierter Backups auf einer RDS-DB-Instance finden Sie unter Aktivieren automatisierter Backups im Amazon RDS-Benutzerhandbuch.

[RDS.12] Die IAM-Authentifizierung sollte für RDS-Cluster konfiguriert werden

Verwandte Anforderungen: NIST.800-53.r5 AC-2 (1) NIST.800-53.r5 AC-3, NIST.800-53.r5 AC-3 (15), NIST.800-53.r5 AC-3 (7), NIST.800-53.r5 AC-6

Kategorie: Schützen > Sichere Zugriffsverwaltung > Passwortlose Authentifizierung

Schweregrad: Mittel

Art der Ressource: AWS::RDS::DBCluster

AWS Config -Regel: rds-cluster-iam-authentication-enabled

Zeitplantyp: Änderung ausgelöst

Parameter: Keine

Dieses Steuerelement überprüft, ob für einen Amazon RDS-DB-Cluster die IAM-Datenbankauthentifizierung aktiviert ist.

Die IAM-Datenbankauthentifizierung ermöglicht eine kennwortfreie Authentifizierung für Datenbank-Instances. Die Authentifizierung verwendet ein Authentifizierungstoken. Der Netzwerkverkehr zur und von der Datenbank wird mit SSL verschlüsselt. Weitere Informationen finden Sie unter IAM-Datenbank-Authentifizierung im Amazon Aurora-Benutzerhandbuch.

Abhilfe

Informationen zum Aktivieren der IAM-Authentifizierung für einen DB-Cluster finden Sie unter Aktivieren und Deaktivieren der IAM-Datenbankauthentifizierung im Amazon Aurora-Benutzerhandbuch.

[RDS.13] Automatische RDS-Upgrades für Nebenversionen sollten aktiviert sein

Verwandte Anforderungen: CIS AWS Foundations Benchmark v5.0. 0/2.2.2, CIS AWS Foundations Benchmark v3.0. 0/2.3.2, NIST.800-53.r5 SI-2 (2) NIST.800-53.r5 SI-2, (4), NIST.800-53.r5 SI-2 NIST.800-53.r5 SI-2 (5), PCI DSS v4.0. 1/6.3.3

Kategorie: Identifizieren > Sicherheitslücken-, Patch- und Versionsmanagement

Schweregrad: Hoch

Art der Ressource: AWS::RDS::DBInstance

AWS Config -Regel: rds-automatic-minor-version-upgrade-enabled

Zeitplantyp: Änderung ausgelöst

Parameter: Keine

Dieses Steuerelement überprüft, ob für eine Amazon RDS-DB-Instance automatische Nebenversions-Upgrades aktiviert sind. Die Steuerung schlägt fehl, wenn automatische Nebenversions-Upgrades für die RDS-DB-Instance nicht aktiviert sind.

Durch automatische Upgrades von Nebenversionen wird eine Datenbank regelmäßig auf die neuesten Versionen des Datenbankmoduls aktualisiert. Das Upgrade beinhaltet jedoch möglicherweise nicht immer die aktuelle Datenbank-Engine-Version. Wenn Sie Ihre Datenbanken zu bestimmten Zeiten auf bestimmten Versionen belassen müssen, empfehlen wir Ihnen, ein manuelles Upgrade auf die Datenbankversionen durchzuführen, die Sie gemäß Ihrem erforderlichen Zeitplan benötigen. Bei kritischen Sicherheitsproblemen oder wenn eine Version das Ende des Supports erreicht, führt Amazon RDS möglicherweise ein Upgrade auf eine Nebenversion durch, auch wenn Sie die Option Automatisches Nebenversions-Upgrade nicht aktiviert haben. Weitere Informationen finden Sie in der Amazon RDS-Upgrade-Dokumentation für Ihre spezifische Datenbank-Engine:

Abhilfe

Informationen zum Aktivieren automatischer Nebenversions-Upgrades für eine bestehende DB-Instance finden Sie unter Modifying an Amazon RDS DB-Instance im Amazon RDS-Benutzerhandbuch. Wählen Sie für ein automatisches Upgrade der Nebenversion Ja aus.

[RDS.14] Bei Amazon Aurora-Clustern sollte Backtracking aktiviert sein

Verwandte Anforderungen: NIST.800-53.r5 CP-10 NIST.800-53.r5 CP-6, NIST.800-53.r5 CP-6 (1), NIST.800-53.r5 CP-6 (2) NIST.800-53.r5 CP-9, NIST.800-53.r5 SI-13 (5)

Kategorie: Wiederherstellung > Resilienz > Backups aktiviert

Schweregrad: Mittel

Art der Ressource: AWS::RDS::DBCluster

AWS Config -Regel: aurora-mysql-backtracking-enabled

Zeitplantyp: Änderung ausgelöst

Parameter:

Dieses Steuerelement überprüft, ob für einen Amazon Aurora-Cluster Backtracking aktiviert ist. Die Steuerung schlägt fehl, wenn für den Cluster Backtracking nicht aktiviert ist. Wenn Sie einen benutzerdefinierten Wert für den BacktrackWindowInHours Parameter angeben, ist das Steuerelement nur gültig, wenn der Cluster für den angegebenen Zeitraum zurückverfolgt wird.

Mithilfe von Backups können Sie sich nach einem Sicherheitsvorfall schneller erholen. Sie stärken auch die Widerstandsfähigkeit Ihrer Systeme. Aurora-Backtracking reduziert die Zeit für die Wiederherstellung einer Datenbank auf einen bestimmten Zeitpunkt. Dazu ist keine Datenbankwiederherstellung erforderlich.

Abhilfe

Informationen zur Aktivierung von Aurora-Backtracking finden Sie unter Backtracking konfigurieren im Amazon Aurora-Benutzerhandbuch.

Beachten Sie, dass Sie Backtracking für einen vorhandenen Cluster nicht aktivieren können. Stattdessen können Sie einen Clone erstellen, für den Backtracking aktiviert ist. Weitere Informationen zu den Einschränkungen von Aurora-Backtracking finden Sie in der Liste der Einschränkungen unter Überblick über Backtracking.

[RDS.15] RDS-DB-Cluster sollten für mehrere Availability Zones konfiguriert werden

Verwandte Anforderungen: CIS AWS Foundations Benchmark v5.0. 0/2.2.4 NIST.800-53.r5 CP-10, NIST.800-53.r5 CP-6 (2), NIST.800-53.r5 SC-5 (2) NIST.800-53.r5 SC-36, NIST.800-53.r5 SI-13 (5)

Kategorie: Wiederherstellung > Resilienz > Hochverfügbarkeit

Schweregrad: Mittel

Art der Ressource: AWS::RDS::DBCluster

AWS Config -Regel: rds-cluster-multi-az-enabled

Zeitplantyp: Änderung ausgelöst

Parameter: Keine

Dieses Steuerelement überprüft, ob Hochverfügbarkeit für Ihre RDS-DB-Cluster aktiviert ist. Die Steuerung schlägt fehl, wenn ein RDS-DB-Cluster nicht in mehreren Availability Zones (AZs) bereitgestellt wird.

RDS-DB-Cluster sollten für mehrere AZs konfiguriert werden, um die Verfügbarkeit der gespeicherten Daten sicherzustellen. Die Bereitstellung auf mehreren AZs ermöglicht ein automatisiertes Failover im Falle eines AZ-Verfügbarkeitsproblems und bei regelmäßigen RDS-Wartungsarbeiten.

Abhilfe

Um Ihre DB-Cluster in mehreren AZs bereitzustellen, finden Sie im Amazon RDS-Benutzerhandbuch die Option Ändern einer Multi-AZ DB-Instance als DB-Instance-Bereitstellung.

Die Schritte zur Behebung unterscheiden sich für globale Aurora-Datenbanken. Um mehrere Availability Zones für eine globale Aurora-Datenbank zu konfigurieren, wählen Sie Ihren DB-Cluster aus. Wählen Sie dann Aktionen und Reader hinzufügen und geben Sie mehrere AZs an. Weitere Informationen finden Sie unter Hinzufügen von Aurora Replicas zu einem DB-Cluster im Amazon Aurora-Benutzerhandbuch.

[RDS.16] Aurora-DB-Cluster sollten so konfiguriert werden, dass sie Tags in DB-Snapshots kopieren

Verwandte Anforderungen: NIST.800-53.r5 CA-9 (1) NIST.800-53.r5 CM-2, NIST.800-53.r5 CM-2 (2)

Kategorie: Identifizieren > Bestand

Schweregrad: Niedrig

Art der Ressource: AWS::RDS::DBCluster

AWS Config Regel: rds-cluster-copy-tags-to-snapshots-enabled (benutzerdefinierte Security Hub CSPM-Regel)

Zeitplantyp: Änderung ausgelöst

Parameter: Keine

Dieses Steuerelement überprüft, ob ein Amazon Aurora-DB-Cluster so konfiguriert ist, dass Tags automatisch in Snapshots des DB-Clusters kopiert werden, wenn die Snapshots erstellt werden. Die Steuerung schlägt fehl, wenn der Aurora-DB-Cluster nicht so konfiguriert ist, dass Tags bei der Erstellung der Snapshots automatisch in Snapshots des Clusters kopiert werden.

Die Identifizierung und Inventarisierung Ihrer IT-Ressourcen ist ein entscheidender Aspekt der Unternehmensführung und Sicherheit. Sie benötigen einen Überblick über alle Ihre Amazon Aurora-DB-Cluster, damit Sie deren Sicherheitslage beurteilen und Maßnahmen gegen potenzielle Schwachstellen ergreifen können. Aurora-DB-Snapshots sollten dieselben Tags wie ihre übergeordneten DB-Cluster haben. In Amazon Aurora können Sie einen DB-Cluster so konfigurieren, dass alle Tags für den Cluster automatisch in Snapshots des Clusters kopiert werden. Wenn Sie diese Einstellung aktivieren, wird sichergestellt, dass DB-Snapshots dieselben Tags wie ihre übergeordneten DB-Cluster erben.

Abhilfe

Informationen zur Konfiguration eines Amazon Aurora-DB-Clusters zum automatischen Kopieren von Tags in DB-Snapshots finden Sie unter Modifying an Amazon Aurora DB-Cluster im Amazon Aurora-Benutzerhandbuch.

[RDS.17] RDS-DB-Instances sollten so konfiguriert werden, dass sie Tags in Snapshots kopieren

Verwandte Anforderungen: NIST.800-53.r5 CA-9 (1) NIST.800-53.r5 CM-2, NIST.800-53.r5 CM-2 (2)

Kategorie: Identifizieren > Bestand

Schweregrad: Niedrig

Art der Ressource: AWS::RDS::DBInstance

AWS Config Regel: rds-instance-copy-tags-to-snapshots-enabled (benutzerdefinierte Security Hub CSPM-Regel)

Zeitplantyp: Änderung ausgelöst

Parameter: Keine

Dieses Steuerelement überprüft, ob RDS-DB-Instances so konfiguriert sind, dass alle Tags in Snapshots kopiert werden, wenn die Snapshots erstellt werden.

Die Identifizierung und Inventarisierung Ihrer IT-Ressourcen ist ein entscheidender Aspekt der Unternehmensführung und Sicherheit. Sie müssen einen Überblick über alle Ihre RDS-DB-Instances haben, damit Sie deren Sicherheitslage beurteilen und Maßnahmen in potenziellen Schwachstellen ergreifen können. Snapshots sollten auf dieselbe Weise gekennzeichnet werden wie ihre übergeordneten RDS-Datenbank-Instances. Wenn Sie diese Einstellung aktivieren, wird sichergestellt, dass Snapshots die Tags ihrer übergeordneten Datenbankinstanzen erben.

Abhilfe

Informationen zum automatischen Kopieren von Tags in Snapshots für eine RDS-DB-Instance finden Sie unter Modifizieren einer Amazon RDS-DB-Instance im Amazon RDS-Benutzerhandbuch. Wählen Sie Tags in Schnappschüsse kopieren aus.

[RDS.19] Bestehende Abonnements für RDS-Ereignisbenachrichtigungen sollten für kritische Cluster-Ereignisse konfiguriert werden

Verwandte Anforderungen: NIST.800-53.r5 CA-7, NIST.800-53.r5 SI-2

Kategorie: Erkennen > Erkennungsdienste > Anwendungsüberwachung

Schweregrad: Niedrig

Art der Ressource: AWS::RDS::EventSubscription

AWS Config Regel: rds-cluster-event-notifications-configured (benutzerdefinierte Security Hub CSPM-Regel)

Zeitplantyp: Änderung ausgelöst

Parameter: Keine

Dieses Steuerelement überprüft, ob für ein vorhandenes Amazon RDS-Event-Abonnement für Datenbank-Cluster Benachrichtigungen für die folgenden Schlüssel-Wert-Paare aus Quelltyp und Ereigniskategorie aktiviert sind:

DBCluster: ["maintenance","failure"]

Die Kontrolle ist gültig, wenn in Ihrem Konto keine Event-Abonnements vorhanden sind.

RDS-Event-Benachrichtigungen verwenden Amazon SNS, um Sie über Änderungen in der Verfügbarkeit oder Konfiguration Ihrer RDS-Ressourcen zu informieren. Diese Benachrichtigungen ermöglichen eine schnelle Reaktion. Weitere Informationen zu RDS-Ereignisbenachrichtigungen finden Sie unter Verwenden der Amazon RDS-Ereignisbenachrichtigung im Amazon RDS-Benutzerhandbuch.

Abhilfe

Informationen zum Abonnieren von RDS-Cluster-Ereignisbenachrichtigungen finden Sie unter Abonnieren der Amazon RDS-Ereignisbenachrichtigung im Amazon RDS-Benutzerhandbuch. Verwenden Sie die folgenden Werte:

[RDS.20] Bestehende Abonnements für RDS-Ereignisbenachrichtigungen sollten für kritische Datenbank-Instance-Ereignisse konfiguriert werden

Verwandte Anforderungen: NIST.800-53.r5 CA-7 NIST.800-53.r5 SI-2, PCI DSS v4.0. 1/115.2

Kategorie: Erkennen > Erkennungsdienste > Anwendungsüberwachung

Schweregrad: Niedrig

Art der Ressource: AWS::RDS::EventSubscription

AWS Config Regel: rds-instance-event-notifications-configured (benutzerdefinierte Security Hub CSPM-Regel)

Zeitplantyp: Änderung ausgelöst

Parameter: Keine

Dieses Steuerelement überprüft, ob für ein vorhandenes Amazon RDS-Event-Abonnement für Datenbank-Instances Benachrichtigungen für die folgenden Schlüssel-Wert-Paare aus Quelltyp und Ereigniskategorie aktiviert sind:

DBInstance: ["maintenance","configuration change","failure"]

Die Kontrolle ist gültig, wenn in Ihrem Konto keine Event-Abonnements vorhanden sind.

RDS-Ereignisbenachrichtigungen verwenden Amazon SNS, um Sie über Änderungen in der Verfügbarkeit oder Konfiguration Ihrer RDS-Ressourcen zu informieren. Diese Benachrichtigungen ermöglichen eine schnelle Reaktion. Weitere Informationen zu RDS-Ereignisbenachrichtigungen finden Sie unter Verwenden der Amazon RDS-Ereignisbenachrichtigung im Amazon RDS-Benutzerhandbuch.

Abhilfe

Informationen zum Abonnieren von RDS-Instance-Ereignisbenachrichtigungen finden Sie unter Abonnieren der Amazon RDS-Ereignisbenachrichtigung im Amazon RDS-Benutzerhandbuch. Verwenden Sie die folgenden Werte:

[RDS.21] Für wichtige Gruppenereignisse mit Datenbankparametern sollte ein Abonnement für RDS-Ereignisbenachrichtigungen konfiguriert werden

Verwandte Anforderungen: NIST.800-53.r5 CA-7 NIST.800-53.r5 SI-2, PCI DSS v4.0. 1/115.2

Kategorie: Erkennen > Erkennungsdienste > Anwendungsüberwachung

Schweregrad: Niedrig

Art der Ressource: AWS::RDS::EventSubscription

AWS Config Regel: rds-pg-event-notifications-configured (benutzerdefinierte Security Hub CSPM-Regel)

Zeitplantyp: Änderung ausgelöst

Parameter: Keine

Dieses Steuerelement überprüft, ob ein Amazon RDS-Event-Abonnement mit aktivierten Benachrichtigungen für die folgenden Schlüssel-Wert-Paare vom Quelltyp, der Ereigniskategorie, besteht. Die Kontrolle ist gültig, wenn in Ihrem Konto keine Event-Abonnements vorhanden sind.

DBParameterGroup: ["configuration change"]

RDS-Ereignisbenachrichtigungen verwenden Amazon SNS, um Sie über Änderungen in der Verfügbarkeit oder Konfiguration Ihrer RDS-Ressourcen zu informieren. Diese Benachrichtigungen ermöglichen eine schnelle Reaktion. Weitere Informationen zu RDS-Ereignisbenachrichtigungen finden Sie unter Verwenden der Amazon RDS-Ereignisbenachrichtigung im Amazon RDS-Benutzerhandbuch.

Abhilfe

Informationen zum Abonnieren von Ereignisbenachrichtigungen für Gruppen mit RDS-Datenbankparametern finden Sie unter Abonnieren der Amazon RDS-Ereignisbenachrichtigung im Amazon RDS-Benutzerhandbuch. Verwenden Sie die folgenden Werte:

[RDS.22] Für kritische Ereignisse der Datenbank-Sicherheitsgruppe sollte ein Abonnement für RDS-Ereignisbenachrichtigungen konfiguriert werden

Verwandte Anforderungen: NIST.800-53.r5 CA-7 NIST.800-53.r5 SI-2, PCI DSS v4.0. 1/115.2

Kategorie: Erkennen > Erkennungsdienste > Anwendungsüberwachung

Schweregrad: Niedrig

Art der Ressource: AWS::RDS::EventSubscription

AWS Config Regel: rds-sg-event-notifications-configured (benutzerdefinierte Security Hub CSPM-Regel)

Zeitplantyp: Änderung ausgelöst

Parameter: Keine

Dieses Steuerelement überprüft, ob ein Amazon RDS-Event-Abonnement mit aktivierten Benachrichtigungen für die folgenden Schlüssel-Wert-Paare vom Quelltyp, der Ereigniskategorie, besteht. Die Kontrolle ist gültig, wenn in Ihrem Konto keine Event-Abonnements vorhanden sind.

DBSecurityGroup: ["configuration change","failure"]

RDS-Ereignisbenachrichtigungen verwenden Amazon SNS, um Sie über Änderungen in der Verfügbarkeit oder Konfiguration Ihrer RDS-Ressourcen zu informieren. Diese Benachrichtigungen ermöglichen eine schnelle Reaktion. Weitere Informationen zu RDS-Ereignisbenachrichtigungen finden Sie unter Verwenden der Amazon RDS-Ereignisbenachrichtigung im Amazon RDS-Benutzerhandbuch.

Abhilfe

Informationen zum Abonnieren von RDS-Instance-Ereignisbenachrichtigungen finden Sie unter Abonnieren der Amazon RDS-Ereignisbenachrichtigung im Amazon RDS-Benutzerhandbuch. Verwenden Sie die folgenden Werte:

[RDS.23] RDS-Instances sollten keinen Standard-Port für die Datenbank-Engine verwenden

Verwandte Anforderungen: NIST.800-53.r5 AC-4, NIST.800-53.r5 AC-4 (21) NIST.800-53.r5 SC-7, NIST.800-53.r5 SC-7 (11), NIST.800-53.r5 SC-7 (16), NIST.800-53.r5 SC-7 (21), NIST.800-53.r5 SC-7 (4), NIST.800-53.r5 SC-7 (5)

Kategorie: Schutz > Sichere Netzwerkkonfiguration

Schweregrad: Niedrig

Art der Ressource: AWS::RDS::DBInstance

AWS Config Regel: rds-no-default-ports (benutzerdefinierte Security Hub CSPM-Regel)

Zeitplantyp: Änderung ausgelöst

Parameter: Keine

Dieses Steuerelement prüft, ob ein RDS-Cluster oder eine RDS-Instance einen anderen Port als den Standard-Port der Datenbank-Engine verwendet. Die Steuerung schlägt fehl, wenn der RDS-Cluster oder die RDS-Instance den Standard-Port verwendet. Diese Steuerung gilt nicht für RDS-Instances, die Teil eines Clusters sind.

Wenn Sie einen bekannten Port verwenden, um einen RDS-Cluster oder eine RDS-Instance bereitzustellen, kann ein Angreifer Informationen über den Cluster oder die Instance erraten. Der Angreifer kann diese Informationen zusammen mit anderen Informationen verwenden, um eine Verbindung zu einem RDS-Cluster oder einer RDS-Instance herzustellen oder zusätzliche Informationen über Ihre Anwendung zu erhalten.

Wenn Sie den Port ändern, müssen Sie auch die vorhandenen Verbindungszeichenfolgen aktualisieren, die für die Verbindung mit dem alten Port verwendet wurden. Sie sollten auch die Sicherheitsgruppe der DB-Instance überprüfen, um sicherzustellen, dass sie eine Eingangsregel enthält, die Konnektivität auf dem neuen Port zulässt.

Abhilfe

Informationen zum Ändern des Standardports einer vorhandenen RDS-DB-Instance finden Sie unter Modifizieren einer Amazon RDS-DB-Instance im Amazon RDS-Benutzerhandbuch. Informationen zum Ändern des Standardports eines vorhandenen RDS-DB-Clusters finden Sie unter Ändern des DB-Clusters mithilfe der Konsole, der CLI und der API im Amazon Aurora-Benutzerhandbuch. Ändern Sie für den Datenbankport den Portwert auf einen anderen Wert als den Standardwert.

[RDS.24] RDS-Datenbank-Cluster sollten einen benutzerdefinierten Administrator-Benutzernamen verwenden

Verwandte Anforderungen: NIST.800-53.r5 CA-9 (1) NIST.800-53.r5 CM-2, PCI DSS v4.0. 1/22.2.2

Kategorie: Identifizieren > Ressourcenkonfiguration

Schweregrad: Mittel

Art der Ressource: AWS::RDS::DBCluster

AWS Config -Regel: rds-cluster-default-admin-check

Zeitplantyp: Änderung ausgelöst

Parameter: Keine

Dieses Steuerelement überprüft, ob ein Amazon RDS-Datenbank-Cluster den Standardwert für den Admin-Benutzernamen geändert hat. Die Steuerung gilt nicht für Engines des Typs Neptune (Neptune DB) oder Docdb (DocumentDB). Diese Regel schlägt fehl, wenn der Admin-Benutzername auf den Standardwert gesetzt ist.

Wenn Sie eine Amazon RDS-Datenbank erstellen, sollten Sie den Standard-Admin-Benutzernamen in einen eindeutigen Wert ändern. Standardbenutzernamen sind allgemein bekannt und sollten bei der Erstellung der RDS-Datenbank geändert werden. Durch das Ändern der Standardbenutzernamen wird das Risiko eines unbeabsichtigten Zugriffs verringert.

Abhilfe

Um den Admin-Benutzernamen zu ändern, der dem Amazon RDS-Datenbank-Cluster zugeordnet ist, erstellen Sie einen neuen RDS-Datenbank-Cluster und ändern Sie den Standard-Admin-Benutzernamen, während Sie die Datenbank erstellen.

[RDS.25] RDS-Datenbank-Instances sollten einen benutzerdefinierten Administrator-Benutzernamen verwenden

Verwandte Anforderungen: NIST.800-53.r5 CA-9 (1) NIST.800-53.r5 CM-2, PCI DSS v4.0. 1/22.2.2

Kategorie: Identifizieren > Ressourcenkonfiguration

Schweregrad: Mittel

Art der Ressource: AWS::RDS::DBInstance

AWS Config -Regel: rds-instance-default-admin-check

Zeitplantyp: Änderung ausgelöst

Parameter: Keine

Dieses Steuerelement überprüft, ob Sie den Administratorbenutzernamen für Amazon Relational Database Service (Amazon RDS) -Datenbank-Instances gegenüber dem Standardwert geändert haben. Die Kontrolle schlägt fehl, wenn der Administrator-Benutzername auf den Standardwert gesetzt ist. Die Steuerung gilt nicht für Engines des Typs Neptune (Neptune DB) oder Docdb (DocumentDB) und für RDS-Instances, die Teil eines Clusters sind.

Die standardmäßigen Administratorbenutzernamen in Amazon RDS-Datenbanken sind allgemein bekannt. Wenn Sie eine Amazon RDS-Datenbank erstellen, sollten Sie den standardmäßigen Administratorbenutzernamen in einen eindeutigen Wert ändern, um das Risiko eines unbeabsichtigten Zugriffs zu verringern.

Abhilfe

Um den Administrator-Benutzernamen zu ändern, der einer RDS-Datenbank-Instance zugeordnet ist, erstellen Sie zunächst eine neue RDS-Datenbank-Instance. Ändern Sie den standardmäßigen Administratorbenutzernamen beim Erstellen der Datenbank.

[RDS.26] RDS-DB-Instances sollten durch einen Backup-Plan geschützt werden

Kategorie: Wiederherstellung > Resilienz > Backups aktiviert

Verwandte Anforderungen: NIST.800-53.r5 CP-10, NIST.800-53.r5 CP-6, NIST.800-53.r5 CP-6 (1), NIST.800-53.r5 CP-6 (2), (2) NIST.800-53.r5 CP-9, NIST.800-53.r5 SC-5 (2) NIST.800-53.r5 SI-12, NIST.800-53.r5 SI-13 (5)

Schweregrad: Mittel

Art der Ressource: AWS::RDS::DBInstance

AWS Config Regel: rds-resources-protected-by-backup-plan

Zeitplantyp: Periodisch

Parameter:

Dieses Steuerelement bewertet, ob Amazon RDS-DB-Instances durch einen Backup-Plan abgedeckt sind. Diese Kontrolle schlägt fehl, wenn die RDS-DB-Instance nicht durch einen Backup-Plan abgedeckt ist. Wenn Sie den backupVaultLockCheck Parameter gleich setzentrue, ist die Steuerung nur gültig, wenn die Instance in einem AWS Backup gesperrten Tresor gesichert wird.

AWS Backup ist ein vollständig verwalteter Backup-Service, der die Sicherung von Daten zentralisiert und automatisiert. AWS-Services Mit können Sie Backup-Richtlinien erstellen AWS Backup, die als Backup-Pläne bezeichnet werden. Mit diesen Plänen können Sie Ihre Sicherungsanforderungen definieren, z. B. wie häufig Ihre Daten gesichert werden sollen und wie lange diese Sicherungen aufbewahrt werden sollen. Wenn Sie RDS-DB-Instances in einen Backup-Plan einbeziehen, können Sie Ihre Daten vor unbeabsichtigtem Verlust oder Löschung schützen.

Abhilfe

Informationen zum Hinzufügen einer RDS-DB-Instance zu einem AWS Backup Backup-Plan finden Sie unter Zuweisen von Ressourcen zu einem Backup-Plan im AWS Backup Developer Guide.

[RDS.27] RDS-DB-Cluster sollten im Ruhezustand verschlüsselt werden

Verwandte Anforderungen: NIST.800-53.r5 CA-9 (1), NIST.800-53.r5 CM-3 (6), NIST.800-53.r5 SC-13, NIST.800-53.r5 SC-28, NIST.800-53.r5 SC-28 (1), NIST.800-53.r5 SC-7 (10), NIST.800-53.r5 SI-7 (6)

Kategorie: Schützen > Datenschutz > Verschlüsselung ruhender Daten

Schweregrad: Mittel

Art der Ressource: AWS::RDS::DBCluster

AWS Config Regel: rds-cluster-encrypted-at-rest

Zeitplantyp: Änderung ausgelöst

Parameter: Keine

Dieses Steuerelement prüft, ob ein RDS-DB-Cluster im Ruhezustand verschlüsselt ist. Die Steuerung schlägt fehl, wenn ein RDS-DB-Cluster im Ruhezustand nicht verschlüsselt ist.

Daten im Ruhezustand beziehen sich auf alle Daten, die für eine beliebige Dauer in einem persistenten, nichtflüchtigen Speicher gespeichert sind. Durch Verschlüsselung können Sie die Vertraulichkeit solcher Daten schützen und das Risiko verringern, dass ein unbefugter Benutzer darauf zugreifen kann. Die Verschlüsselung Ihrer RDS-DB-Cluster schützt Ihre Daten und Metadaten vor unbefugtem Zugriff. Es erfüllt auch die Compliance-Anforderungen für die Verschlüsselung von Produktionsdateisystemen im Ruhezustand.

Abhilfe

Sie können die Verschlüsselung im Ruhezustand aktivieren, wenn Sie einen RDS-DB-Cluster erstellen. Sie können die Verschlüsselungseinstellungen nicht ändern, nachdem Sie einen Cluster erstellt haben. Weitere Informationen finden Sie unter Verschlüsseln eines Amazon Aurora-DB-Clusters im Amazon Aurora-Benutzerhandbuch.

[RDS.28] RDS-DB-Cluster sollten mit Tags versehen werden

Kategorie: Identifizieren > Inventar > Tagging

Schweregrad: Niedrig

Art der Ressource: AWS::RDS::DBCluster

AWS Config Regel: tagged-rds-dbcluster (benutzerdefinierte Security Hub CSPM-Regel)

Zeitplantyp: Änderung ausgelöst

Parameter:

Dieses Steuerelement überprüft, ob ein Amazon RDS-DB-Cluster über Tags mit den spezifischen Schlüsseln verfügt, die im Parameter requiredTagKeys definiert sind. Die Steuerung schlägt fehl, wenn der DB-Cluster keine Tag-Schlüssel hat oder wenn er nicht über alle im Parameter angegebenen Schlüssel verfügtrequiredTagKeys. Wenn der Parameter requiredTagKeys nicht angegeben wird, prüft das Steuerelement nur, ob ein Tag-Schlüssel vorhanden ist, und schlägt fehl, wenn der DB-Cluster mit keinem Schlüssel versehen ist. System-Tags, die automatisch angewendet werden und mit dem beginnenaws:, werden ignoriert.

Ein Tag ist eine Bezeichnung, die Sie einer AWS Ressource zuweisen. Sie besteht aus einem Schlüssel und einem optionalen Wert. Sie können Tags erstellen, um Ressourcen nach Zweck, Eigentümer, Umgebung oder anderen Kriterien zu kategorisieren. Mithilfe von Tags können Sie Ressourcen identifizieren, organisieren, suchen und filtern. Tagging hilft dir auch dabei, verantwortliche Ressourceninhaber im Hinblick auf Aktionen und Benachrichtigungen im Auge zu behalten. Wenn Sie Tagging verwenden, können Sie die attributbasierte Zugriffskontrolle (ABAC) als Autorisierungsstrategie implementieren, bei der Berechtigungen auf der Grundlage von Stichwörtern definiert werden. Sie können IAM-Entitäten (Benutzern oder Rollen) und Ressourcen Tags zuordnen. AWS Sie können eine einzelne ABAC-Richtlinie oder einen separaten Satz von Richtlinien für Ihre IAM-Prinzipale erstellen. Sie können diese ABAC-Richtlinien so entwerfen, dass sie Operationen zulassen, wenn das Tag des Principals mit dem Ressourcen-Tag übereinstimmt. Weitere Informationen finden Sie unter Wofür ist ABAC gedacht? AWSim IAM-Benutzerhandbuch.

Abhilfe

Informationen zum Hinzufügen von Tags zu einem RDS-DB-Cluster finden Sie unter Tagging von Amazon RDS-Ressourcen im Amazon RDS-Benutzerhandbuch.

[RDS.29] RDS-DB-Cluster-Snapshots sollten mit Tags versehen werden

Kategorie: Identifizieren > Inventar > Tagging

Schweregrad: Niedrig

Art der Ressource: AWS::RDS::DBClusterSnapshot

AWS Config Regel: tagged-rds-dbclustersnapshot (benutzerdefinierte Security Hub CSPM-Regel)

Zeitplantyp: Änderung ausgelöst

Parameter:

Dieses Steuerelement überprüft, ob ein Amazon RDS-DB-Cluster-Snapshot Tags mit den spezifischen Schlüsseln enthält, die im Parameter requiredTagKeys definiert sind. Die Steuerung schlägt fehl, wenn der DB-Cluster-Snapshot keine Tag-Schlüssel hat oder wenn er nicht alle im Parameter angegebenen Schlüssel enthältrequiredTagKeys. Wenn der Parameter requiredTagKeys nicht angegeben wird, prüft das Steuerelement nur, ob ein Tag-Schlüssel vorhanden ist, und schlägt fehl, wenn der DB-Cluster-Snapshot mit keinem Schlüssel versehen ist. System-Tags, die automatisch angewendet werden und mit dem beginnenaws:, werden ignoriert.

Ein Tag ist eine Bezeichnung, die Sie einer AWS Ressource zuweisen. Sie besteht aus einem Schlüssel und einem optionalen Wert. Sie können Tags erstellen, um Ressourcen nach Zweck, Eigentümer, Umgebung oder anderen Kriterien zu kategorisieren. Mithilfe von Tags können Sie Ressourcen identifizieren, organisieren, suchen und filtern. Tagging hilft dir auch dabei, verantwortliche Ressourceninhaber im Hinblick auf Aktionen und Benachrichtigungen im Auge zu behalten. Wenn Sie Tagging verwenden, können Sie die attributbasierte Zugriffskontrolle (ABAC) als Autorisierungsstrategie implementieren, bei der Berechtigungen auf der Grundlage von Stichwörtern definiert werden. Sie können IAM-Entitäten (Benutzern oder Rollen) und Ressourcen Tags zuordnen. AWS Sie können eine einzelne ABAC-Richtlinie oder einen separaten Satz von Richtlinien für Ihre IAM-Prinzipale erstellen. Sie können diese ABAC-Richtlinien so entwerfen, dass sie Operationen zulassen, wenn das Tag des Principals mit dem Ressourcen-Tag übereinstimmt. Weitere Informationen finden Sie unter Wofür ist ABAC gedacht? AWSim IAM-Benutzerhandbuch.

Abhilfe

Informationen zum Hinzufügen von Tags zu einem RDS-DB-Cluster-Snapshot finden Sie unter Tagging von Amazon RDS-Ressourcen im Amazon RDS-Benutzerhandbuch.

[RDS.30] RDS-DB-Instances sollten mit Tags versehen werden

Kategorie: Identifizieren > Inventar > Tagging

Schweregrad: Niedrig

Art der Ressource: AWS::RDS::DBInstance

AWS Config Regel: tagged-rds-dbinstance (benutzerdefinierte Security Hub CSPM-Regel)

Zeitplantyp: Änderung ausgelöst

Parameter:

Dieses Steuerelement überprüft, ob eine Amazon RDS-DB-Instance über Tags mit den spezifischen Schlüsseln verfügt, die im Parameter requiredTagKeys definiert sind. Die Steuerung schlägt fehl, wenn die DB-Instance keine Tag-Schlüssel hat oder wenn sie nicht über alle im Parameter angegebenen Schlüssel verfügtrequiredTagKeys. Wenn der Parameter requiredTagKeys nicht angegeben wird, prüft das Steuerelement nur, ob ein Tag-Schlüssel vorhanden ist, und schlägt fehl, wenn die DB-Instance mit keinem Schlüssel versehen ist. System-Tags, die automatisch angewendet werden und mit denen beginnenaws:, werden ignoriert.

Ein Tag ist eine Bezeichnung, die Sie einer AWS Ressource zuweisen. Sie besteht aus einem Schlüssel und einem optionalen Wert. Sie können Tags erstellen, um Ressourcen nach Zweck, Eigentümer, Umgebung oder anderen Kriterien zu kategorisieren. Mithilfe von Tags können Sie Ressourcen identifizieren, organisieren, suchen und filtern. Tagging hilft dir auch dabei, verantwortliche Ressourceninhaber im Hinblick auf Aktionen und Benachrichtigungen im Auge zu behalten. Wenn Sie Tagging verwenden, können Sie die attributbasierte Zugriffskontrolle (ABAC) als Autorisierungsstrategie implementieren, bei der Berechtigungen auf der Grundlage von Stichwörtern definiert werden. Sie können IAM-Entitäten (Benutzern oder Rollen) und Ressourcen Tags zuordnen. AWS Sie können eine einzelne ABAC-Richtlinie oder einen separaten Satz von Richtlinien für Ihre IAM-Prinzipale erstellen. Sie können diese ABAC-Richtlinien so entwerfen, dass sie Operationen zulassen, wenn das Tag des Principals mit dem Ressourcen-Tag übereinstimmt. Weitere Informationen finden Sie unter Wofür ist ABAC gedacht? AWSim IAM-Benutzerhandbuch.

Abhilfe

Informationen zum Hinzufügen von Tags zu einer RDS-DB-Instance finden Sie unter Tagging von Amazon RDS-Ressourcen im Amazon RDS-Benutzerhandbuch.

[RDS.31] RDS-DB-Sicherheitsgruppen sollten mit Tags versehen werden

Kategorie: Identifizieren > Inventar > Tagging

Schweregrad: Niedrig

Art der Ressource: AWS::RDS::DBSecurityGroup

AWS Config Regel: tagged-rds-dbsecuritygroup (benutzerdefinierte Security Hub CSPM-Regel)

Zeitplantyp: Änderung ausgelöst

Parameter:

Dieses Steuerelement überprüft, ob eine Amazon RDS-DB-Sicherheitsgruppe über Tags mit den spezifischen Schlüsseln verfügt, die im Parameter requiredTagKeys definiert sind. Die Steuerung schlägt fehl, wenn die DB-Sicherheitsgruppe keine Tag-Schlüssel hat oder wenn sie nicht über alle im Parameter angegebenen Schlüssel verfügtrequiredTagKeys. Wenn der Parameter requiredTagKeys nicht angegeben wird, prüft das Steuerelement nur, ob ein Tag-Schlüssel vorhanden ist, und schlägt fehl, wenn die DB-Sicherheitsgruppe mit keinem Schlüssel versehen ist. System-Tags, die automatisch angewendet werden und mit dem beginnenaws:, werden ignoriert.

Ein Tag ist eine Bezeichnung, die Sie einer AWS Ressource zuweisen. Sie besteht aus einem Schlüssel und einem optionalen Wert. Sie können Tags erstellen, um Ressourcen nach Zweck, Eigentümer, Umgebung oder anderen Kriterien zu kategorisieren. Mithilfe von Tags können Sie Ressourcen identifizieren, organisieren, suchen und filtern. Tagging hilft dir auch dabei, verantwortliche Ressourceninhaber im Hinblick auf Aktionen und Benachrichtigungen im Auge zu behalten. Wenn Sie Tagging verwenden, können Sie die attributbasierte Zugriffskontrolle (ABAC) als Autorisierungsstrategie implementieren, bei der Berechtigungen auf der Grundlage von Stichwörtern definiert werden. Sie können IAM-Entitäten (Benutzern oder Rollen) und Ressourcen Tags zuordnen. AWS Sie können eine einzelne ABAC-Richtlinie oder einen separaten Satz von Richtlinien für Ihre IAM-Prinzipale erstellen. Sie können diese ABAC-Richtlinien so entwerfen, dass sie Operationen zulassen, wenn das Tag des Principals mit dem Ressourcen-Tag übereinstimmt. Weitere Informationen finden Sie unter Wofür ist ABAC gedacht? AWSim IAM-Benutzerhandbuch.

Abhilfe

Informationen zum Hinzufügen von Tags zu einer RDS-DB-Sicherheitsgruppe finden Sie unter Tagging von Amazon RDS-Ressourcen im Amazon RDS-Benutzerhandbuch.

[RDS.32] RDS-DB-Snapshots sollten mit Tags versehen werden

Kategorie: Identifizieren > Inventar > Tagging

Schweregrad: Niedrig

Art der Ressource: AWS::RDS::DBSnapshot

AWS Config Regel: tagged-rds-dbsnapshot (benutzerdefinierte Security Hub CSPM-Regel)

Zeitplantyp: Änderung ausgelöst

Parameter:

Dieses Steuerelement überprüft, ob ein Amazon RDS-DB-Snapshot Tags mit den spezifischen Schlüsseln enthält, die im Parameter requiredTagKeys definiert sind. Die Steuerung schlägt fehl, wenn der DB-Snapshot keine Tag-Schlüssel hat oder wenn er nicht alle im Parameter angegebenen Schlüssel enthältrequiredTagKeys. Wenn der Parameter requiredTagKeys nicht angegeben wird, prüft das Steuerelement nur, ob ein Tag-Schlüssel vorhanden ist, und schlägt fehl, wenn der DB-Snapshot mit keinem Schlüssel versehen ist. System-Tags, die automatisch angewendet werden und mit dem beginnenaws:, werden ignoriert.

Ein Tag ist eine Bezeichnung, die Sie einer AWS Ressource zuweisen. Sie besteht aus einem Schlüssel und einem optionalen Wert. Sie können Tags erstellen, um Ressourcen nach Zweck, Eigentümer, Umgebung oder anderen Kriterien zu kategorisieren. Mithilfe von Tags können Sie Ressourcen identifizieren, organisieren, suchen und filtern. Tagging hilft dir auch dabei, verantwortliche Ressourceninhaber im Hinblick auf Aktionen und Benachrichtigungen im Auge zu behalten. Wenn Sie Tagging verwenden, können Sie die attributbasierte Zugriffskontrolle (ABAC) als Autorisierungsstrategie implementieren, bei der Berechtigungen auf der Grundlage von Stichwörtern definiert werden. Sie können IAM-Entitäten (Benutzern oder Rollen) und Ressourcen Tags zuordnen. AWS Sie können eine einzelne ABAC-Richtlinie oder einen separaten Satz von Richtlinien für Ihre IAM-Prinzipale erstellen. Sie können diese ABAC-Richtlinien so entwerfen, dass sie Operationen zulassen, wenn das Tag des Principals mit dem Ressourcen-Tag übereinstimmt. Weitere Informationen finden Sie unter Wofür ist ABAC gedacht? AWSim IAM-Benutzerhandbuch.

Abhilfe

Informationen zum Hinzufügen von Tags zu einem RDS-DB-Snapshot finden Sie unter Tagging von Amazon RDS-Ressourcen im Amazon RDS-Benutzerhandbuch.

[RDS.33] RDS-DB-Subnetzgruppen sollten mit Tags versehen werden

Kategorie: Identifizieren > Inventar > Tagging

Schweregrad: Niedrig

Art der Ressource: AWS::RDS::DBSubnetGroup

AWS Config Regel: tagged-rds-dbsubnetgroups (benutzerdefinierte Security Hub CSPM-Regel)

Zeitplantyp: Änderung ausgelöst

Parameter:

Dieses Steuerelement überprüft, ob eine Amazon RDS-DB-Subnetzgruppe über Tags mit den spezifischen Schlüsseln verfügt, die im Parameter definiert sind. requiredTagKeys Die Steuerung schlägt fehl, wenn die DB-Subnetzgruppe keine Tag-Schlüssel hat oder wenn sie nicht über alle im Parameter angegebenen Schlüssel verfügt. requiredTagKeys Wenn der Parameter requiredTagKeys nicht angegeben wird, prüft das Steuerelement nur, ob ein Tag-Schlüssel vorhanden ist, und schlägt fehl, wenn die DB-Subnetzgruppe mit keinem Schlüssel markiert ist. System-Tags, die automatisch angewendet werden und mit dem beginnenaws:, werden ignoriert.

Ein Tag ist eine Bezeichnung, die Sie einer AWS Ressource zuweisen. Sie besteht aus einem Schlüssel und einem optionalen Wert. Sie können Tags erstellen, um Ressourcen nach Zweck, Eigentümer, Umgebung oder anderen Kriterien zu kategorisieren. Mithilfe von Tags können Sie Ressourcen identifizieren, organisieren, suchen und filtern. Tagging hilft dir auch dabei, verantwortliche Ressourceninhaber im Hinblick auf Aktionen und Benachrichtigungen im Auge zu behalten. Wenn Sie Tagging verwenden, können Sie die attributbasierte Zugriffskontrolle (ABAC) als Autorisierungsstrategie implementieren, bei der Berechtigungen auf der Grundlage von Stichwörtern definiert werden. Sie können IAM-Entitäten (Benutzern oder Rollen) und Ressourcen Tags zuordnen. AWS Sie können eine einzelne ABAC-Richtlinie oder einen separaten Satz von Richtlinien für Ihre IAM-Prinzipale erstellen. Sie können diese ABAC-Richtlinien so entwerfen, dass sie Operationen zulassen, wenn das Tag des Principals mit dem Ressourcen-Tag übereinstimmt. Weitere Informationen finden Sie unter Wofür ist ABAC gedacht? AWSim IAM-Benutzerhandbuch.

Abhilfe

Informationen zum Hinzufügen von Tags zu einer RDS-DB-Subnetzgruppe finden Sie unter Tagging von Amazon RDS-Ressourcen im Amazon RDS-Benutzerhandbuch.

[RDS.34] Aurora MySQL-DB-Cluster sollten Audit-Logs in Logs veröffentlichen CloudWatch

Verwandte Anforderungen: NIST.800-53.r5 AC-2 (4), NIST.800-53.r5 AC-4 (26), NIST.800-53.r5 AC-6 (9),,, NIST.800-53.r5 AU-10 NIST.800-53.r5 AU-12 NIST.800-53.r5 AU-2, NIST.800-53.r5 AU-6 (3) NIST.800-53.r5 AU-3, (4), NIST.800-53.r5 AU-6 (9) NIST.800-53.r5 CA-7, NIST.800-53.r5 SC-7 (8), NIST.800-53.r5 SI-3 (20), NIST.800-53.r5 SI-4 (8), NIST.800-53.r5 SI-7 (8), PCI DSS v4.0. 1/102.2.1

Kategorie: Identifizieren > Protokollierung

Schweregrad: Mittel

Art der Ressource: AWS::RDS::DBCluster

AWS Config Regel: rds-aurora-mysql-audit-logging-enabled

Zeitplantyp: Änderung ausgelöst

Parameter: Keine

Dieses Steuerelement überprüft, ob ein Amazon Aurora MySQL-DB-Cluster für die Veröffentlichung von Auditprotokollen in Amazon CloudWatch Logs konfiguriert ist. Die Steuerung schlägt fehl, wenn der Cluster nicht für die Veröffentlichung von Auditprotokollen in Logs konfiguriert ist. CloudWatch Die Steuerung generiert keine Ergebnisse für Aurora Serverless v1-DB-Cluster.

Auditprotokolle erfassen eine Aufzeichnung der Datenbankaktivitäten, einschließlich Anmeldeversuchen, Datenänderungen, Schemaänderungen und anderen Ereignissen, die aus Sicherheits- und Compliance-Gründen überprüft werden können. Wenn Sie einen Aurora MySQL-DB-Cluster so konfigurieren, dass Auditprotokolle in einer Protokollgruppe in Amazon CloudWatch Logs veröffentlicht werden, können Sie die Protokolldaten in Echtzeit analysieren. CloudWatch Logs speichert Protokolle in einem äußerst langlebigen Speicher. Sie können auch Alarme erstellen und Messwerte in anzeigen CloudWatch.

Abhilfe

Informationen zum Veröffentlichen von Aurora CloudWatch MySQL-DB-Cluster-Auditprotokollen in Logs finden Sie unter Veröffentlichen von Amazon Aurora CloudWatch MySQL-Protokollen in Amazon Logs im Amazon Aurora-Benutzerhandbuch.

[RDS.35] Für RDS-DB-Cluster sollte das automatische Nebenversions-Upgrade aktiviert sein

Verwandte Anforderungen: NIST.800-53.r5 SI-2, NIST.800-53.r5 SI-2 (2), NIST.800-53.r5 SI-2 (4), NIST.800-53.r5 SI-2 (5), PCI DSS v4.0. 1/63.3.3

Kategorie: Identifizieren > Sicherheitslücken-, Patch- und Versionsmanagement

Schweregrad: Mittel

Art der Ressource: AWS::RDS::DBCluster

AWS Config Regel: rds-cluster-auto-minor-version-upgrade-enable

Zeitplantyp: Änderung ausgelöst

Parameter: Keine

Dieses Steuerelement prüft, ob das automatische Nebenversions-Upgrade für einen Amazon Multi-AZ RDS-DB-Cluster aktiviert ist. Die Steuerung schlägt fehl, wenn das automatische Nebenversions-Upgrade für den Multi-AZ DB-Cluster nicht aktiviert ist. Diese Steuerung gilt nicht für Aurora-DB-Cluster.

RDS bietet ein automatisches Nebenversions-Upgrade, sodass Sie Ihren Multi-AZ DB-Cluster auf dem neuesten Stand halten können. In Nebenversionen können neue Softwarefunktionen, Bugfixes, Sicherheitspatches und Leistungsverbesserungen eingeführt werden. Durch die Aktivierung des automatischen Nebenversions-Upgrades auf RDS-Datenbank-Clustern erhält der Cluster zusammen mit den Instances im Cluster automatische Updates für die Nebenversion, sobald neue Versionen verfügbar sind. Die Updates werden während des Wartungsfensters automatisch angewendet.

Abhilfe

Informationen zum Aktivieren des automatischen Nebenversions-Upgrades auf Multi-AZ DB-Clustern finden Sie unter Ändern eines Multi-AZ DB-Clusters im Amazon RDS-Benutzerhandbuch.

[RDS.36] RDS für PostgreSQL-DB-Instances sollte Protokolle in Logs veröffentlichen CloudWatch

Verwandte Anforderungen: PCI DSS v4.0. 1/104.4.2

Kategorie: Identifizieren > Protokollierung

Schweregrad: Mittel

Art der Ressource: AWS::RDS::DBInstance

AWS Config -Regel: rds-postgresql-logs-to-cloudwatch

Zeitplantyp: Änderung ausgelöst

Parameter:

Dieses Steuerelement überprüft, ob eine Amazon RDS for PostgreSQL-DB-Instance für die Veröffentlichung von Protokollen in Amazon CloudWatch Logs konfiguriert ist. Die Steuerung schlägt fehl, wenn die PostgreSQL-DB-Instance nicht für die Veröffentlichung der im Parameter genannten Protokolltypen in Logs konfiguriert ist. logTypes CloudWatch

Die Datenbankprotokollierung liefert detaillierte Aufzeichnungen der Anfragen, die an eine RDS-Instance gestellt wurden. PostgreSQL generiert Ereignisprotokolle, die nützliche Informationen für Administratoren enthalten. Durch das Veröffentlichen dieser CloudWatch Protokolle in Logs wird die Protokollverwaltung zentralisiert und Sie können die Protokolldaten in Echtzeit analysieren. CloudWatch Logs speichert Protokolle in einem äußerst langlebigen Speicher. Sie können auch Alarme erstellen und Messwerte in anzeigenCloudWatch.

Abhilfe

Informationen zum Veröffentlichen von PostgreSQL-DB-Instance-Protokollen in CloudWatch Logs finden Sie unter Veröffentlichen von PostgreSQL-Protokollen in Amazon CloudWatch Logs im Amazon RDS-Benutzerhandbuch.

[RDS.37] Aurora PostgreSQL-DB-Cluster sollten Protokolle in Logs veröffentlichen CloudWatch

Verwandte Anforderungen: PCI DSS v4.0. 1/104.4.2

Kategorie: Identifizieren > Protokollierung

Schweregrad: Mittel

Art der Ressource: AWS::RDS::DBCluster

AWS Config -Regel: rds-aurora-postgresql-logs-to-cloudwatch

Zeitplantyp: Änderung ausgelöst

Parameter: Keine

Dieses Steuerelement überprüft, ob ein Amazon Aurora PostgreSQL-DB-Cluster für die Veröffentlichung von Protokollen in Amazon CloudWatch Logs konfiguriert ist. Die Steuerung schlägt fehl, wenn der Aurora PostgreSQL-DB-Cluster nicht für die Veröffentlichung von PostgreSQL-Protokollen in Logs konfiguriert ist. CloudWatch

Die Datenbankprotokollierung liefert detaillierte Aufzeichnungen der Anfragen an einen RDS-Cluster. Aurora PostgreSQL generiert Ereignisprotokolle, die nützliche Informationen für Administratoren enthalten. Die Veröffentlichung dieser CloudWatch Protokolle in Logs zentralisiert die Protokollverwaltung und hilft Ihnen, die Protokolldaten in Echtzeit zu analysieren. CloudWatch Logs speichert Protokolle in einem äußerst langlebigen Speicher. Sie können auch Alarme erstellen und Messwerte in anzeigen CloudWatch.

Abhilfe

Informationen zum Veröffentlichen von Aurora CloudWatch PostgreSQL-DB-Cluster-Protokollen in Logs finden Sie unter Veröffentlichen von Aurora PostgreSQL-Protokollen in Amazon CloudWatch Logs im Amazon RDS-Benutzerhandbuch.

[RDS.38] RDS für PostgreSQL-DB-Instances sollte während der Übertragung verschlüsselt werden

Kategorie: Schützen > Datenschutz > Verschlüsselung von Daten bei der Übertragung

Schweregrad: Mittel

Art der Ressource: AWS::RDS::DBInstance

AWS Config -Regel: rds-postgres-instance-encrypted-in-transit

Zeitplantyp: Periodisch

Parameter: Keine

Dieses Steuerelement überprüft, ob eine Verbindung zu einer Amazon RDS for PostgreSQL Datenbank-Instance (DB) während der Übertragung verschlüsselt ist. Die Steuerung schlägt fehl, wenn der rds.force_ssl Parameter für die Parametergruppe, die der Instance zugeordnet ist, auf 0 (off) gesetzt ist. Dieses Steuerelement bewertet keine RDS-DB-Instances, die Teil eines DB-Clusters sind.

Daten während der Übertragung beziehen sich auf Daten, die von einem Standort zum anderen übertragen werden, z. B. zwischen Knoten in Ihrem Cluster oder zwischen Ihrem Cluster und Ihrer Anwendung. Daten können über das Internet oder innerhalb eines privaten Netzwerks übertragen werden. Die Verschlüsselung von Daten während der Übertragung reduziert das Risiko, dass ein unbefugter Benutzer den Netzwerkverkehr abhören kann.

Abhilfe

Um zu verlangen, dass alle Verbindungen zu Ihrer RDS for PostgreSQL-DB-Instance SSL verwenden, finden Sie im Amazon RDS-Benutzerhandbuch unter Verwenden von SSL mit einer PostgreSQL-DB-Instance.

[RDS.39] RDS für MySQL-DB-Instances sollten während der Übertragung verschlüsselt werden

Kategorie: Schützen > Datenschutz > Verschlüsselung von Daten bei der Übertragung

Schweregrad: Mittel

Art der Ressource: AWS::RDS::DBInstance

AWS Config -Regel: rds-mysql-instance-encrypted-in-transit

Zeitplantyp: Periodisch

Parameter: Keine

Dieses Steuerelement überprüft, ob eine Verbindung zu einer Amazon RDS for MySQL Datenbank-Instance (DB) während der Übertragung verschlüsselt ist. Die Steuerung schlägt fehl, wenn der rds.require_secure_transport Parameter für die Parametergruppe, die der Instance zugeordnet ist, auf 0 (off) gesetzt ist. Dieses Steuerelement bewertet keine RDS-DB-Instances, die Teil eines DB-Clusters sind.

Daten während der Übertragung beziehen sich auf Daten, die von einem Standort zum anderen übertragen werden, z. B. zwischen Knoten in Ihrem Cluster oder zwischen Ihrem Cluster und Ihrer Anwendung. Daten können über das Internet oder innerhalb eines privaten Netzwerks übertragen werden. Die Verschlüsselung von Daten während der Übertragung reduziert das Risiko, dass ein unbefugter Benutzer den Netzwerkverkehr abhören kann.

Abhilfe

Informationen dazu, wie alle Verbindungen zu Ihrer RDS for MySQL-DB-Instance SSL verwenden müssen, finden Sie unter SSL/TLS Support für MySQL-DB-Instances auf Amazon RDS im Amazon RDS-Benutzerhandbuch.

[RDS.40] RDS für SQL Server-DB-Instances sollte CloudWatch Protokolle in Logs veröffentlichen

Verwandte Anforderungen: NIST.800-53.r5 AC-2 (4), NIST.800-53.r5 AC-4 (26), NIST.800-53.r5 AC-6 (9),, NIST.800-53.r5 AU-10, NIST.800-53.r5 AU-12 NIST.800-53.r5 AU-2 NIST.800-53.r5 AU-3, NIST.800-53.r5 AU-6 (3), NIST.800-53.r5 AU-6 (4), (10) NIST.800-53.r5 CA-7, NIST.800-53.r5 SC-7 (9), NIST.800-53.r5 SC-7 (8), NIST.800-53.r5 SI-3 (20), NIST.800-53.r5 SI-4 (8), NIST.800-53.r5 SI-7 (8)

Kategorie: Identifizieren > Protokollierung

Schweregrad: Mittel

Ressourcentyp: AWS::RDS::DBInstance

AWS Config -Regel: rds-sql-server-logs-to-cloudwatch

Zeitplantyp: Änderung ausgelöst

Parameter:

Dieses Steuerelement überprüft, ob eine Amazon RDS für Microsoft SQL Server-DB-Instance für die Veröffentlichung von Protokollen in Amazon CloudWatch Logs konfiguriert ist. Die Steuerung schlägt fehl, wenn die RDS for SQL Server-DB-Instance nicht für die Veröffentlichung von Protokollen in CloudWatch Logs konfiguriert ist. Sie können optional die Protokolltypen angeben, für deren Veröffentlichung eine DB-Instance konfiguriert werden soll.

Die Datenbankprotokollierung bietet detaillierte Aufzeichnungen der Anfragen, die an eine Amazon RDS-DB-Instance gestellt wurden. Die Veröffentlichung von Protokollen in CloudWatch Logs zentralisiert die Protokollverwaltung und hilft Ihnen, Protokolldaten in Echtzeit zu analysieren. CloudWatch Logs speichert Protokolle in einem äußerst langlebigen Speicher. Darüber hinaus können Sie damit Alarme für bestimmte Fehler erstellen, die auftreten können, z. B. häufige Neustarts, die in einem Fehlerprotokoll aufgezeichnet werden. Ebenso können Sie Alarme für Fehler oder Warnungen erstellen, die in SQL Server-Agent-Protokollen aufgezeichnet werden, die sich auf SQL-Agent-Jobs beziehen.

Abhilfe

Informationen zum Veröffentlichen von Protokollen in CloudWatch Logs für eine RDS for SQL Server-DB-Instance finden Sie in den Protokolldateien der Amazon RDS for Microsoft SQL Server-Datenbank im Amazon Relational Database Service-Benutzerhandbuch.

[RDS.41] RDS für SQL Server-DB-Instances sollte während der Übertragung verschlüsselt werden

Kategorie: Schützen > Datenschutz > Verschlüsselung von Daten bei der Übertragung

Schweregrad: Mittel

Art der Ressource: AWS::RDS::DBInstance

AWS Config -Regel: rds-sqlserver-encrypted-in-transit

Zeitplantyp: Periodisch

Parameter: Keine

Dieses Steuerelement überprüft, ob eine Verbindung zu einer Amazon RDS for Microsoft SQL Server-DB-Instance während der Übertragung verschlüsselt ist. Die Steuerung schlägt fehl, wenn der rds.force_ssl Parameter der Parametergruppe, die der DB-Instance zugeordnet ist, auf gesetzt ist0 (off).

Daten während der Übertragung beziehen sich auf Daten, die von einem Standort zum anderen übertragen werden, z. B. zwischen Knoten in einem DB-Cluster oder zwischen einem DB-Cluster und einer Client-Anwendung. Daten können über das Internet oder innerhalb eines privaten Netzwerks übertragen werden. Die Verschlüsselung von Daten während der Übertragung reduziert das Risiko, dass unbefugte Benutzer den Netzwerkverkehr abhören.

Abhilfe

Informationen SSL/TLS zum Aktivieren von Verbindungen zu Amazon RDS-DB-Instances, auf denen Microsoft SQL Server ausgeführt wird, finden Sie unter Using SSL with a Microsoft SQL Server DB Instance im Amazon Relational Database Service-Benutzerhandbuch.

[RDS.42] RDS für MariaDB-DB-Instances sollte Protokolle in Logs veröffentlichen CloudWatch

Verwandte Anforderungen: NIST.800-53.r5 AC-2 (4), NIST.800-53.r5 AC-4 (26), NIST.800-53.r5 AC-6 (9), NIST.800-53.r5 AU-2, NIST.800-53.r5 AU-6 (3) NIST.800-53.r5 AU-3, NIST.800-53.r5 AU-6 (4),,, (9) NIST.800-53.r5 AU-10 NIST.800-53.r5 AU-12 NIST.800-53.r5 CA-7, NIST.800-53.r5 SC-7 (10), NIST.800-53.r5 SC-7 (8), NIST.800-53.r5 SI-3 (20), NIST.800-53.r5 SI-4 (8), NIST.800-53.r5 SI-7 (8)

Kategorie: Identifizieren > Protokollierung

Schweregrad: Mittel

Ressourcentyp: AWS::RDS::DBInstance

AWS Config -Regel: mariadb-publish-logs-to-cloudwatch-logs

Zeitplantyp: Periodisch

Parameter:

Dieses Steuerelement überprüft, ob eine Amazon RDS for MariaDB-DB-Instance so konfiguriert ist, dass sie bestimmte Arten von Protokollen in Amazon CloudWatch Logs veröffentlicht. Die Steuerung schlägt fehl, wenn die MariaDB-DB-Instance nicht für die Veröffentlichung der Protokolle in Logs konfiguriert ist. CloudWatch Sie können optional angeben, für welche Arten von Protokollen eine MariaDB-DB-Instance konfiguriert werden soll.

Die Datenbankprotokollierung bietet detaillierte Aufzeichnungen von Anfragen, die an eine Amazon RDS for MariaDB-DB-Instance gestellt wurden. Die Veröffentlichung von Protokollen in Amazon CloudWatch Logs zentralisiert die Protokollverwaltung und hilft Ihnen, die Protokolldaten in Echtzeit zu analysieren. Darüber hinaus speichert CloudWatch Logs die Protokolle in einem dauerhaften Speicher, der für Sicherheits-, Zugriffs- und Verfügbarkeitsprüfungen und Audits geeignet ist. Mit CloudWatch Logs können Sie auch Alarme erstellen und Kennzahlen überprüfen.

Abhilfe

Informationen zur Konfiguration einer Amazon RDS for MariaDB-DB-Instance zur Veröffentlichung von Protokollen in Amazon CloudWatch Logs finden Sie unter Veröffentlichen von MariaDB-Protokollen in Amazon CloudWatch Logs im Amazon Relational Database Service-Benutzerhandbuch.

[RDS.43] RDS-DB-Proxys sollten eine TLS-Verschlüsselung für Verbindungen erfordern

Kategorie: Schutz > Datenschutz > Verschlüsselung von Daten bei der Übertragung

Schweregrad: Mittel

Art der Ressource: AWS::RDS::DBProxy

AWS Config -Regel: rds-proxy-tls-encryption

Zeitplantyp: Periodisch

Parameter: Keine

Diese Steuerung überprüft, ob ein Amazon RDS-DB-Proxy TLS für alle Verbindungen zwischen dem Proxy und der zugrunde liegenden RDS-DB-Instance benötigt. Die Steuerung schlägt fehl, wenn der Proxy nicht für alle Verbindungen zwischen dem Proxy und der RDS-DB-Instance TLS benötigt.

Amazon RDS Proxy kann als zusätzliche Sicherheitsebene zwischen Client-Anwendungen und den zugrunde liegenden RDS-DB-Instances dienen. Beispielsweise können Sie mithilfe von TLS 1.3 eine Verbindung zu einem RDS-Proxy herstellen, auch wenn die zugrunde liegende DB-Instance eine ältere Version von TLS unterstützt. Mithilfe von RDS Proxy können Sie strenge Authentifizierungsanforderungen für Datenbankanwendungen durchsetzen.

Abhilfe

Informationen zum Ändern der Einstellungen für einen Amazon RDS-Proxy, sodass TLS erforderlich ist, finden Sie unter Modifying an RDS-Proxy im Amazon Relational Database Service-Benutzerhandbuch.

[RDS.44] RDS für MariaDB-DB-Instances sollte während der Übertragung verschlüsselt werden

Kategorie: Schützen > Datenschutz > Verschlüsselung von Daten bei der Übertragung

Schweregrad: Mittel

Art der Ressource: AWS::RDS::DBInstance

AWS Config -Regel: rds-mariadb-instance-encrypted-in-transit

Zeitplantyp: Periodisch

Parameter: Keine

Dieses Steuerelement überprüft, ob Verbindungen zu einer Amazon RDS for MariaDB-DB-Instance während der Übertragung verschlüsselt sind. Die Steuerung schlägt fehl, wenn die der DB-Instance zugeordnete DB-Parametergruppe nicht synchronisiert ist oder der require_secure_transport Parameter der Parametergruppe nicht auf gesetzt ist. ON

Daten während der Übertragung beziehen sich auf Daten, die von einem Ort zum anderen übertragen werden, z. B. zwischen Knoten in einem DB-Cluster oder zwischen einem DB-Cluster und einer Client-Anwendung. Daten können über das Internet oder innerhalb eines privaten Netzwerks übertragen werden. Die Verschlüsselung von Daten während der Übertragung reduziert das Risiko, dass unbefugte Benutzer den Netzwerkverkehr abhören.

Abhilfe

Informationen zum Aktivieren von Verbindungen zu einer Amazon RDS SSL/TLS for MariaDB-DB-Instance finden Sie unter Erfordernis SSL/TLS aller Verbindungen zu einer MariaDB-DB-Instance im Amazon Relational Database Service-Benutzerhandbuch.

[RDS.45] Bei Aurora MySQL-DB-Clustern sollte die Audit-Protokollierung aktiviert sein

Verwandte Anforderungen: NIST.800-53.r5 AC-2 (4), NIST.800-53.r5 AC-4 (26), NIST.800-53.r5 AC-6 (9), NIST.800-53.r5 AU-2 NIST.800-53.r5 AU-3, NIST.800-53.r5 AU-6 (3), NIST.800-53.r5 AU-6 (4),, NIST.800-53.r5 AU-10, NIST.800-53.r5 SC-7 (9) NIST.800-53.r5 AU-12 NIST.800-53.r5 CA-7, (8), NIST.800-53.r5 SI-3 (20), NIST.800-53.r5 SI-4 (8), NIST.800-53.r5 SI-7 (8)

Kategorie: Identifizieren > Protokollierung

Schweregrad: Mittel

Ressourcentyp: AWS::RDS::DBCluster

AWS Config -Regel: aurora-mysql-cluster-audit-logging

Zeitplantyp: Periodisch

Parameter: Keine

Dieses Steuerelement überprüft, ob für einen Amazon Aurora MySQL-DB-Cluster die Audit-Protokollierung aktiviert ist. Die Steuerung schlägt fehl, wenn die dem DB-Cluster zugeordnete DB-Parametergruppe nicht synchronisiert ist, der server_audit_logging Parameter nicht auf 1 gesetzt ist oder der server_audit_events Parameter auf einen leeren Wert gesetzt ist.

Datenbankprotokolle können bei Sicherheits- und Zugriffsprüfungen sowie bei der Diagnose von Verfügbarkeitsproblemen helfen. Auditprotokolle erfassen eine Aufzeichnung der Datenbankaktivitäten, einschließlich Anmeldeversuchen, Datenänderungen, Schemaänderungen und anderen Ereignissen, die aus Sicherheits- und Compliance-Gründen überprüft werden können.

Abhilfe

Informationen zum Aktivieren der Protokollierung für einen Amazon Aurora MySQL-DB-Cluster finden Sie unter Veröffentlichen von Amazon Aurora MySQL-Protokollen in Amazon CloudWatch Logs im Amazon Aurora-Benutzerhandbuch.

[RDS.46] RDS-DB-Instances sollten nicht in öffentlichen Subnetzen mit Routen zu Internet-Gateways bereitgestellt werden

Kategorie: Schützen > Sichere Netzwerkkonfiguration > Ressourcen, die nicht öffentlich zugänglich sind

Schweregrad: Hoch

Art der Ressource: AWS::RDS::DBInstance

AWS Config -Regel: rds-instance-subnet-igw-check

Zeitplantyp: Periodisch

Parameter: Keine

Diese Steuerung überprüft, ob eine Amazon RDS-DB-Instance in einem öffentlichen Subnetz bereitgestellt wird, das über eine Route zu einem Internet-Gateway verfügt. Die Steuerung schlägt fehl, wenn die RDS-DB-Instance in einem Subnetz bereitgestellt wird, das eine Route zu einem Internet-Gateway hat und das Ziel auf 0.0.0.0/0 oder gesetzt ist. ::/0

Indem Sie Ihre Amazon RDS-Ressourcen in privaten Subnetzen bereitstellen, können Sie verhindern, dass Ihre RDS-Ressourcen eingehenden Datenverkehr aus dem öffentlichen Internet empfangen, wodurch ein unbeabsichtigter Zugriff auf Ihre RDS-DB-Instances verhindert werden kann. Wenn RDS-Ressourcen in einem öffentlichen Subnetz bereitgestellt werden, das für das Internet geöffnet ist, sind sie möglicherweise anfällig für Risiken wie Datenexfiltration.

Abhilfe

Informationen zur Bereitstellung eines privaten Subnetzes für eine Amazon RDS-DB-Instance finden Sie unter Arbeiten mit einer DB-Instance in einer VPC im Amazon Relational Database Service-Benutzerhandbuch.

[RDS.47] RDS für PostgreSQL-DB-Cluster sollte so konfiguriert werden, dass Tags in DB-Snapshots kopiert werden

Kategorie: Identifizieren > Inventar > Tagging

Schweregrad: Niedrig

Art der Ressource: AWS::RDS::DBCluster

AWS Config -Regel: rds-pgsql-cluster-copy-tags-to-snapshot-check

Zeitplantyp: Änderung ausgelöst

Parameter: Keine

Dieses Steuerelement überprüft, ob ein Amazon RDS for PostgreSQL-DB-Cluster so konfiguriert ist, dass Tags automatisch in Snapshots des DB-Clusters kopiert werden, wenn die Snapshots erstellt werden. Die Steuerung schlägt fehl, wenn der CopyTagsToSnapshot Parameter für den RDS false for PostgreSQL-DB-Cluster auf gesetzt ist.

Das Kopieren von Tags in DB-Snapshots hilft dabei, die Ressourcen korrekt zu verfolgen, zu verwalten und die Kosten für alle Backup-Ressourcen richtig zuzuweisen. Dies ermöglicht eine konsistente Ressourcenidentifizierung, Zugriffskontrolle und Compliance-Überwachung sowohl für aktive Datenbanken als auch für deren Snapshots. Richtig markierte Snapshots verbessern die Sicherheitsabläufe, indem sie sicherstellen, dass Backup-Ressourcen dieselben Metadaten wie ihre Quelldatenbanken erben.

Abhilfe

Informationen zur Konfiguration eines Amazon RDS for PostgreSQL-DB-Clusters zum automatischen Kopieren von Tags in DB-Snapshots finden Sie unter Tagging Amazon RDS-Ressourcen im Amazon Relational Database Service-Benutzerhandbuch.

[RDS.48] RDS für MySQL-DB-Cluster sollte so konfiguriert werden, dass Tags in DB-Snapshots kopiert werden

Kategorie: Identifizieren > Inventar > Tagging

Schweregrad: Niedrig

Art der Ressource: AWS::RDS::DBCluster

AWS Config -Regel: rds-mysql-cluster-copy-tags-to-snapshot-check

Zeitplantyp: Änderung ausgelöst

Parameter: Keine

Dieses Steuerelement überprüft, ob ein Amazon RDS for MySQL-DB-Cluster so konfiguriert ist, dass Tags automatisch in Snapshots des DB-Clusters kopiert werden, wenn die Snapshots erstellt werden. Die Steuerung schlägt fehl, wenn der CopyTagsToSnapshot Parameter für den RDS false for MySQL-DB-Cluster auf gesetzt ist.

Das Kopieren von Tags in DB-Snapshots hilft dabei, die Ressourcen korrekt zu verfolgen, zu verwalten und die Kosten für alle Backup-Ressourcen richtig zuzuweisen. Dies ermöglicht eine konsistente Ressourcenidentifizierung, Zugriffskontrolle und Compliance-Überwachung sowohl für aktive Datenbanken als auch für deren Snapshots. Richtig markierte Snapshots verbessern die Sicherheitsabläufe, indem sie sicherstellen, dass Backup-Ressourcen dieselben Metadaten wie ihre Quelldatenbanken erben.

Abhilfe

Informationen zur Konfiguration eines Amazon RDS for MySQL-DB-Clusters zum automatischen Kopieren von Tags in DB-Snapshots finden Sie unter Tagging Amazon RDS-Ressourcen im Amazon Relational Database Service-Benutzerhandbuch.

[RDS.50] Für RDS-DB-Cluster sollte ein ausreichender Aufbewahrungszeitraum für Backups festgelegt sein

Kategorie: Wiederherstellung > Resilienz > Backups aktiviert

Schweregrad: Mittel

Art der Ressource: AWS::RDS::DBCluster

AWS Config -Regel: rds-cluster-backup-retention-check

Zeitplantyp: Änderung ausgelöst

Parameter:

Dieses Steuerelement überprüft, ob ein RDS-DB-Cluster eine Mindestaufbewahrungsdauer für Backups hat. Die Steuerung schlägt fehl, wenn die Aufbewahrungsdauer für Backups unter dem angegebenen Parameterwert liegt. Sofern Sie keinen benutzerdefinierten Parameterwert angeben, verwendet Security Hub einen Standardwert von 7 Tagen.

Dieses Steuerelement überprüft, ob ein RDS-DB-Cluster eine Mindestaufbewahrungsdauer für Backups hat. Die Steuerung schlägt fehl, wenn die Aufbewahrungsdauer für Backups unter dem angegebenen Parameterwert liegt. Sofern Sie keinen Kundenparameterwert angeben, verwendet Security Hub einen Standardwert von 7 Tagen. Diese Steuerung gilt für alle Arten von RDS-DB-Clustern, einschließlich Aurora-DB-Cluster, DocumentDB-Cluster, NeptuneDB-Cluster usw.

Abhilfe

Um den Aufbewahrungszeitraum für Backups für einen RDS-DB-Cluster zu konfigurieren, ändern Sie die Cluster-Einstellungen und legen Sie den Aufbewahrungszeitraum für Backups auf mindestens 7 Tage (oder den im Steuerungsparameter angegebenen Wert) fest. Eine ausführliche Anleitung finden Sie unter Aufbewahrungszeitraum für Backups im Amazon Relational Database Service-Benutzerhandbuch. Informationen zu Aurora-DB-Clustern finden Sie unter Überblick über das Sichern und Wiederherstellen eines Aurora-DB-Clusters im Amazon Aurora-Benutzerhandbuch für Aurora. Für andere Arten von DB-Clustern (z. B. DocumentDB-Cluster) finden Sie im entsprechenden Service-Benutzerhandbuch Informationen zur Aktualisierung der Backup-Aufbewahrungsdauer für den Cluster.

[RDS.51] Globale RDS-Cluster sollten auf einer unterstützten Aurora MySQL-Version laufen

Kategorie: Identifizieren > Sicherheitslücken-, Patch- und Versionsmanagement

Schweregrad: Hoch

Art der Ressource: AWS::RDS::GlobalCluster

AWS Config -Regel: rds-global-cluster-aurora-mysql-supported-version

Zeitplantyp: Änderung ausgelöst

Parameter:

Dieses Steuerelement überprüft, ob ein globaler Amazon Aurora MySQL-Cluster auf einer unterstützten Engine-Mindestversion läuft. Die Steuerung schlägt fehl, wenn die globale Cluster-Engine-Version von Aurora MySQL unter der angegebenen unterstützten Mindestversion liegt und nicht im Parameter für die Langzeitunterstützungsversion aufgeführt ist.

Wenn Sie die globalen Aurora MySQL-Datenbanken auf unterstützten Engine-Versionen ausführen, können Sie sicherstellen, dass Sie Zugriff auf die neuesten Sicherheitspatches, Bugfixes und Leistungsverbesserungen haben. Für Aurora MySQL-Nebenversionen sind Termine festgelegt, an denen der Standardsupport endet. Nach Ablauf dieser Frist erhalten sie keine wichtigen Patches mehr. Wenn Sie eine Version ausführen, die nicht unterstützt wird, kann Ihre globale Datenbank Sicherheitslücken ausgesetzt sein und es können Gebühren für Amazon RDS Extended Support anfallen. Da Aurora MySQL einem ununterbrochenen Support-Lebenszyklus folgt, bei dem Long-Term Support (LTS) -Versionen länger unterstützt werden als nachfolgende Nicht-LTS-Versionen, wird bei dieser Kontrolle auch nach LTS-Versionen gesucht, für die noch Standardunterstützung besteht. Weitere Informationen finden Sie unter Versionskalender für Amazon Aurora MySQL in den Amazon Aurora-Versionshinweisen für Aurora MySQL.

Abhilfe

Informationen zum Upgrade einer globalen Aurora MySQL-Datenbank auf eine unterstützte Engine-Version finden Sie unter Aktualisieren einer globalen Amazon Aurora-Datenbank und Aktualisieren von Aurora MySQL durch Ändern der Engine-Version im Amazon Aurora-Benutzerhandbuch.