Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

CIS AWS Foundations es el punto de referencia en Security Hub (CSPM)

El Center for Internet Security (CIS) AWS Foundations Benchmark sirve como un conjunto de mejores prácticas de configuración de seguridad para AWS. Estas mejores prácticas aceptadas por la industria le proporcionan procedimientos claros de step-by-step implementación y evaluación. Desde sistemas operativos hasta servicios en la nube y dispositivos de red, los controles de este punto de referencia le ayudan a proteger los sistemas específicos que utiliza su organización.

AWS Security Hub Cloud Security Posture Management (CSPM) es compatible con las versiones 3.0.0, 1.4.0 y 1.2.0 de CIS AWS Foundations Benchmark. En esta página se enumeran los controles de seguridad compatibles con cada versión. También proporciona una comparación de las versiones.

CIS AWS Foundations Benchmark, versión 3.0.0

Security Hub CSPM es compatible con la versión 3.0.0 (v3.0.0) del CIS Foundations Benchmark. AWS Security Hub CSPM ha cumplido con los requisitos de la certificación de software de seguridad CIS y ha recibido la certificación de software de seguridad CIS para los siguientes puntos de referencia de CIS:

Controles que se aplican a la versión 3.0.0 de CIS AWS Foundations Benchmark

[Cuenta.1] La información de contacto de seguridad debe proporcionarse para un Cuenta de AWS

[CloudTrail.1] CloudTrail debe habilitarse y configurarse con al menos un registro de seguimiento para varias regiones que incluya eventos de administración de lectura y escritura

[CloudTrail.2] CloudTrail debe tener habilitado el cifrado en reposo

[CloudTrail.4] La validación de archivo de CloudTrail registro debe estar habilitada

[CloudTrail.7] Asegúrese de que el registro de acceso al bucket de S3 esté habilitado en el bucket de CloudTrail S3

[Config.1] AWS Config debe estar habilitado y usar el rol vinculado al servicio para el registro de recursos

[EC22] Los grupos de seguridad predeterminados de VPC no deben permitir el tráfico entrante ni saliente

[EC2.6] El registro de flujos de VPC debe estar habilitado en todos VPCs

[EC2.7] El cifrado predeterminado de EBS debe estar activado

[EC2.8] EC2 las instancias deben usar la versión 2 del servicio de metadatos de instancias IMDSv2

[EC2.21] La red no ACLs debe permitir la entrada desde 0.0.0/0 al puerto 22 o al puerto 3389

[EC2.53] Los grupos EC2 de seguridad no deberían permitir la entrada de 0.0.0.0/0 a los puertos de administración de servidores remotos

[EC2.54] Los grupos EC2 de seguridad no deberían permitir la entrada de: :/0 a los puertos de administración de servidores remotos

[EFS.1] El sistema de archivos elástico debe configurarse para cifrar los datos de los archivos en reposo mediante AWS KMS

[IAM.2] Los usuarios de IAM no deben tener políticas de IAM asociadas

[IAM.3] Las claves de acceso de los usuarios de IAM deben rotarse cada 90 días o menos

[IAM.4] La clave de acceso del usuario raíz de IAM no debería existir

[IAM.5] MFA debe estar habilitado para todos los usuarios de IAM que tengan una contraseña de consola

[PCI.IAM.6] La MFA de hardware debe estar habilitada para el usuario raíz

[IAM.9] La MFA debe estar habilitada para el usuario raíz

[IAM.15] Asegurar que la política de contraseñas de IAM requiera una longitud mínima de 14 o más

[IAM.16] Asegurar que la política de contraseñas de IAM impida la reutilización de contraseñas

[IAM.18] Asegurar que se ha creado un rol de soporte para administrar incidentes con AWS Support

[IAM.22] Se deben eliminar las credenciales de usuario de IAM que no se hayan utilizado durante 45 días

[IAM.26] Los certificados SSL/TLS vencidos administrados en IAM deben eliminarse

[IAM.27] Las identidades de IAM no deben tener adjunta la política AWSCloud ShellFullAccess

[IAM.28] El analizador de acceso externo del Analizador de acceso de IAM debe habilitarse

La rotación de AWS KMS teclas [KMS.4] debe estar habilitada

[RDS.2] Las instancias de base de datos de RDS deben prohibir el acceso público, según lo determine la configuración PubliclyAccessible

[RDS.3] Las instancias de base de datos de RDS deben tener habilitado el cifrado en reposo

Las actualizaciones automáticas de las versiones secundarias de RDS [RDS.13] deben estar habilitadas

[S3.1] Los buckets de uso general de S3 deben tener habilitado el bloqueo de acceso público

[S3.5] En las solicitudes de los buckets de uso general de S3, se debe pedir el uso de SSL

[S3.8] Los buckets de uso general de S3 deben bloquear el acceso público

[S3.20] Los buckets de uso general de S3 deben tener habilitada la eliminación de MFA

[S3.22] Los buckets de uso general de S3 deben registrar eventos de escritura a nivel de objeto

[S3.23] Los buckets de uso general de S3 deben registrar eventos de lectura a nivel de objeto

CIS AWS Foundations Benchmark, versión 1.4.0

Security Hub CSPM es compatible con la versión 1.4.0 (v1.4.0) del CIS Foundations Benchmark. AWS

Controles que se aplican a la versión 1.4.0 de CIS Foundations Benchmark AWS

[CloudTrail.1] CloudTrail debe habilitarse y configurarse con al menos un registro de seguimiento para varias regiones que incluya eventos de administración de lectura y escritura

[CloudTrail.2] CloudTrail debe tener habilitado el cifrado en reposo

[CloudTrail.4] La validación de archivo de CloudTrail registro debe estar habilitada

[CloudTrail.5] CloudTrail Los senderos deben estar integrados con Amazon Logs CloudWatch

[CloudTrail.6] Asegurar que los CloudTrail registros del bucket de S3 no son de acceso público

[CloudTrail.7] Asegúrese de que el registro de acceso al bucket de S3 esté habilitado en el bucket de CloudTrail S3

[CloudWatch.1] Debe existir un filtro de métricas de registro y una alarma para el uso del usuario «raíz»

[CloudWatch.4] Asegurar que haya un filtro de métricas de registro y alarma de registro para los cambios de política de IAM

[CloudWatch.5] Asegurar que haya un filtro de métricas de registro y alarma de registro para los cambios de CloudTrail configuración de

[CloudWatch.6] Asegurar que haya un filtro de métricas de registro y alarma de registro para los errores de AWS Management Console autenticación

[CloudWatch.7] Asegurar que haya un filtro de métricas de registro y alarma de registro para la deshabilitación o eliminación programada de claves administradas por el cliente

[CloudWatch.8] Asegurar que haya un filtro de métricas de registro y alarma de registro para los cambios de política de bucket de S3

[CloudWatch.9] Asegurar que haya un filtro de métricas de registro y alarma de registro para los cambios de AWS Config configuración de

[CloudWatch.10] Asegurar que haya un filtro de métricas de registro y alarma de registro para los cambios de grupos de seguridad

[CloudWatch.11] Asegurar que haya un filtro de métricas de registro y alarma de registro para los cambios en las listas de control de acceso a la red (NACL)

[CloudWatch.12] Asegurar que haya un filtro de métricas de registro y alarma de registro para los cambios a las puertas de enlace de la red

[CloudWatch.13] Asegurar que haya un filtro de métricas de registro y alarma de registro para los cambios ala tabla de enrutamiento

[CloudWatch.14] Asegurar que haya un filtro de métricas de registro y alarma de registro para los cambios de VPC

[Config.1] AWS Config debe estar habilitado y usar el rol vinculado al servicio para el registro de recursos

[EC22] Los grupos de seguridad predeterminados de VPC no deben permitir el tráfico entrante ni saliente

[EC2.6] El registro de flujos de VPC debe estar habilitado en todos VPCs

[EC2.7] El cifrado predeterminado de EBS debe estar activado

[EC2.21] La red no ACLs debe permitir la entrada desde 0.0.0/0 al puerto 22 o al puerto 3389

[IAM.1] Las políticas de IAM no deben permitir privilegios administrativos completos “*”

[IAM.3] Las claves de acceso de los usuarios de IAM deben rotarse cada 90 días o menos

[IAM.4] La clave de acceso del usuario raíz de IAM no debería existir

[IAM.5] MFA debe estar habilitado para todos los usuarios de IAM que tengan una contraseña de consola

[PCI.IAM.6] La MFA de hardware debe estar habilitada para el usuario raíz

[IAM.9] La MFA debe estar habilitada para el usuario raíz

[IAM.15] Asegurar que la política de contraseñas de IAM requiera una longitud mínima de 14 o más

[IAM.16] Asegurar que la política de contraseñas de IAM impida la reutilización de contraseñas

[IAM.18] Asegurar que se ha creado un rol de soporte para administrar incidentes con AWS Support

[IAM.22] Se deben eliminar las credenciales de usuario de IAM que no se hayan utilizado durante 45 días

La rotación de AWS KMS teclas [KMS.4] debe estar habilitada

[RDS.3] Las instancias de base de datos de RDS deben tener habilitado el cifrado en reposo

[S3.1] Los buckets de uso general de S3 deben tener habilitado el bloqueo de acceso público

[S3.5] En las solicitudes de los buckets de uso general de S3, se debe pedir el uso de SSL

[S3.8] Los buckets de uso general de S3 deben bloquear el acceso público

[S3.20] Los buckets de uso general de S3 deben tener habilitada la eliminación de MFA

CIS AWS Foundations Benchmark, versión 1.2.0

Security Hub CSPM es compatible con la versión 1.2.0 (v1.2.0) del CIS Foundations Benchmark. AWS Security Hub CSPM ha cumplido con los requisitos de la certificación de software de seguridad CIS y ha recibido la certificación de software de seguridad CIS para los siguientes puntos de referencia de CIS:

Controles que se aplican a la versión 1.2.0 de CIS AWS Foundations Benchmark

[CloudTrail.1] CloudTrail debe habilitarse y configurarse con al menos un registro de seguimiento para varias regiones que incluya eventos de administración de lectura y escritura

[CloudTrail.2] CloudTrail debe tener habilitado el cifrado en reposo

[CloudTrail.4] La validación de archivo de CloudTrail registro debe estar habilitada

[CloudTrail.5] CloudTrail Los senderos deben estar integrados con Amazon Logs CloudWatch

[CloudTrail.6] Asegurar que los CloudTrail registros del bucket de S3 no son de acceso público

[CloudTrail.7] Asegúrese de que el registro de acceso al bucket de S3 esté habilitado en el bucket de CloudTrail S3

[CloudWatch.1] Debe existir un filtro de métricas de registro y una alarma para el uso del usuario «raíz»

[CloudWatch.2] Asegurar que haya un filtro de métricas de registro y alarma para las llamadas a la API no autorizadas

[CloudWatch.3] Asegurar que haya un filtro de métricas de registro y alarma de registro para el inicio de sesión en la Consola de administración sin MFA

[CloudWatch.4] Asegurar que haya un filtro de métricas de registro y alarma de registro para los cambios de política de IAM

[CloudWatch.5] Asegurar que haya un filtro de métricas de registro y alarma de registro para los cambios de CloudTrail configuración de

[CloudWatch.6] Asegurar que haya un filtro de métricas de registro y alarma de registro para los errores de AWS Management Console autenticación

[CloudWatch.7] Asegurar que haya un filtro de métricas de registro y alarma de registro para la deshabilitación o eliminación programada de claves administradas por el cliente

[CloudWatch.8] Asegurar que haya un filtro de métricas de registro y alarma de registro para los cambios de política de bucket de S3

[CloudWatch.9] Asegurar que haya un filtro de métricas de registro y alarma de registro para los cambios de AWS Config configuración de

[CloudWatch.10] Asegurar que haya un filtro de métricas de registro y alarma de registro para los cambios de grupos de seguridad

[CloudWatch.11] Asegurar que haya un filtro de métricas de registro y alarma de registro para los cambios en las listas de control de acceso a la red (NACL)

[CloudWatch.12] Asegurar que haya un filtro de métricas de registro y alarma de registro para los cambios a las puertas de enlace de la red

[CloudWatch.13] Asegurar que haya un filtro de métricas de registro y alarma de registro para los cambios ala tabla de enrutamiento

[CloudWatch.14] Asegurar que haya un filtro de métricas de registro y alarma de registro para los cambios de VPC

[Config.1] AWS Config debe estar habilitado y usar el rol vinculado al servicio para el registro de recursos

[EC22] Los grupos de seguridad predeterminados de VPC no deben permitir el tráfico entrante ni saliente

[EC2.6] El registro de flujos de VPC debe estar habilitado en todos VPCs

[EC2.13] Los grupos de seguridad no deben permitir la entrada desde 0.0.0.0.0.0.0/0 o: :/0 al puerto 22

[EC2.14] Los grupos de seguridad no deben permitir la entrada desde 0.0.0.0.0.0.0/0 o: :/0 al puerto 3389

[IAM.1] Las políticas de IAM no deben permitir privilegios administrativos completos “*”

[IAM.2] Los usuarios de IAM no deben tener políticas de IAM asociadas

[IAM.3] Las claves de acceso de los usuarios de IAM deben rotarse cada 90 días o menos

[IAM.4] La clave de acceso del usuario raíz de IAM no debería existir

[IAM.5] MFA debe estar habilitado para todos los usuarios de IAM que tengan una contraseña de consola

[PCI.IAM.6] La MFA de hardware debe estar habilitada para el usuario raíz

[IAM.8] Deben eliminarse las credenciales de usuario de IAM no utilizadas

[IAM.9] La MFA debe estar habilitada para el usuario raíz

[IAM.11] Asegurar que la política de contraseñas de IAM requiera al menos una letra mayúscula

[IAM.12] Asegurar que la política de contraseñas de IAM requiera al menos una letra minúscula

[IAM.13] Asegurar que la política de contraseñas de IAM requiera al menos un símbolo

[IAM.14] Asegurar que la política de contraseñas de IAM requiera al menos un número

[IAM.15] Asegurar que la política de contraseñas de IAM requiera una longitud mínima de 14 o más

[IAM.16] Asegurar que la política de contraseñas de IAM impida la reutilización de contraseñas

[IAM.17] Asegurar que la política de contraseñas de IAM haga caducar las contraseñas al cabo de 90 días o menos

[IAM.18] Asegurar que se ha creado un rol de soporte para administrar incidentes con AWS Support

La rotación de AWS KMS teclas [KMS.4] debe estar habilitada

Comparación de versiones de CIS AWS Foundations Benchmark

En esta sección se resumen las diferencias entre las versiones específicas del Center for Internet Security (CIS) AWS Foundations Benchmark: v3.0.0, v1.4.0 y v1.2.0. AWS Security Hub Cloud Security Posture Management (CSPM) es compatible con cada una de estas versiones del CIS AWS Foundations Benchmark. Sin embargo, recomendamos utilizar la versión 3.0.0 para mantenerse al día con las mejores prácticas de seguridad. Puede tener varias versiones del estándar habilitadas al mismo tiempo. Para obtener información sobre los estándares habilitantes, consulte. Habilitación de un estándar de seguridad Si desea actualizar a la versión 3.0.0, habilítela antes de deshabilitar una versión anterior. De este modo, se evitan brechas en las comprobaciones de seguridad. Si utiliza la integración CSPM de Security Hub AWS Organizations y desea habilitar por lotes la versión 3.0.0 en varias cuentas, le recomendamos que utilice la configuración central.

Asignación de los controles a los requisitos del CIS en cada versión

Comprenda qué controles admite cada versión del CIS AWS Foundations Benchmark.

ARNs para los puntos de referencia de la AWS Fundación CIS

Cuando habilita una o más versiones del índice de referencia de CIS AWS Foundations, comienza a recibir los resultados en el formato de búsqueda de AWS seguridad (ASFF). En el ASFF, cada versión utiliza el siguiente nombre de recurso de Amazon (ARN):

Puede utilizar el GetEnabledStandardsfuncionamiento de la API CSPM de Security Hub para encontrar el ARN de un estándar habilitado.

Los valores anteriores son para StandardsArn. Sin embargo, StandardsSubscriptionArn hace referencia al recurso de suscripción estándar que Security Hub CSPM crea al suscribirse a un estándar llamando a una BatchEnableStandardsregión.

Los campos de resultados serán diferentes si activa los resultados de los controles consolidados. Para obtener información sobre estas diferencias, consulte. Impacto de la consolidación en los campos y valores ASFF Para ver ejemplos de los resultados de los controles, consulte Muestras de los resultados de los controles.

Requisitos de CIS que no se admiten en Security Hub (CSPM)

Como se indica en la tabla anterior, el Security Hub CSPM no admite todos los requisitos de CIS en todas las versiones del CIS AWS Foundations Benchmark. Muchos de los requisitos no compatibles solo se pueden evaluar revisando manualmente el estado de los recursos. AWS