Registro de cambios de los controles del CSPM de Security Hub

El siguiente registro de cambios registra los cambios importantes en los controles CSPM de AWS Security Hub existentes, lo que puede provocar cambios en el estado general de un control y en el estado de conformidad de sus hallazgos. Para obtener información sobre cómo el CSPM de Security Hub evalúa el estado de un control, consulte Evaluación del estado de cumplimiento y del estado del control. Los cambios pueden tardar unos días después de su entrada en este registro y afectar a todos los elementos Regiones de AWS en los que esté disponible el control.

Este registro realiza el seguimiento de los cambios que se han producido desde abril de 2023. Elija un control para revisar información adicional sobre él. Los cambios en el título se mantienen visibles en la descripción detallada del control durante 90 días.

Fecha del cambio	ID y título de control	Descripción del cambio
15 de diciembre de 2025	[Lambda.2] Las funciones de Lambda deben usar los tiempos de ejecución admitidos	Este control comprueba si la configuración del tiempo de ejecución de una AWS Lambda función coincide con los valores esperados para los tiempos de ejecución compatibles en cada idioma. Security Hub CSPM ya no admite `python3.9` como valor de parámetro para este control. AWS Lambdaya no admite este tiempo de ejecución.
12 de diciembre de 2025	[EKS.2] Los clústeres de EKS deberían ejecutarse en una versión de Kubernetes compatible	Este control comprueba si un clúster de Amazon EKS se ejecuta en una versión de Kubernetes compatible. El CSPM de Security Hub modificó el valor del parámetro de este control de `1.31` a `1.32`. El soporte estándar para la versión 1.31 de Kubernetes en Amazon EKS finalizó el 26 de noviembre de 2025.
21 de noviembre de 2025	[Lambda.2] Las funciones de Lambda deben usar los tiempos de ejecución admitidos	Este control comprueba si la configuración del tiempo de ejecución de una AWS Lambda función coincide con los valores esperados para los tiempos de ejecución compatibles en cada idioma. Security Hub CSPM ahora admite `nodejs24.x` y `python3.14` como valores de parámetros para este control. AWS Lambdase agregó soporte para estos tiempos de ejecución.
14 de noviembre de 2025	[EC2.15] EC2 Las subredes de Amazon no deberían asignar automáticamente direcciones IP públicas	Security Hub CSPM actualizó la descripción y la justificación de este control. Anteriormente, el control solo comprobaba la asignación automática de IP IPv4 pública en las subredes de Amazon VPC mediante el indicador. `MapPublicIpOnLaunch` Este control ahora comprueba tanto IPv4 la asignación automática de direcciones IP IPv6 públicas como la asignación automática. La descripción y la justificación del control se han actualizado para reflejar estos cambios.
14 de noviembre de 2025	[Lambda.2] Las funciones de Lambda deben usar los tiempos de ejecución admitidos	Este control comprueba si la configuración del tiempo de ejecución de una AWS Lambda función coincide con los valores esperados para los tiempos de ejecución compatibles en cada idioma. El CSPM de Security Hub ahora admite `java25` como valor de parámetro para este control. AWS Lambda agregó compatibilidad para este tiempo de ejecución.
13 de noviembre de 2025	[SNS.4] Las políticas de acceso a los temas de SNS no deberían permitir el acceso público	Security Hub CSPM cambió la gravedad de este control de a`HIGH`. `CRITICAL` Permitir el acceso público a los temas de Amazon SNS supone un riesgo de seguridad importante.
13 de noviembre de 2025	[SQS.3] Las políticas de acceso de la cola de SQS no deben permitir el acceso público	Security Hub CSPM cambió la gravedad de este control de a`HIGH`. `CRITICAL` Permitir el acceso público a las colas de Amazon SQS supone un riesgo de seguridad importante.
13 de noviembre de 2025	[GuardDuty.7] La monitorización del tiempo de ejecución de GuardDuty EKS debe estar habilitada	Security Hub CSPM cambió la gravedad de este control de a`MEDIUM`. `HIGH` Este tipo de supervisión del tiempo de ejecución proporciona una detección de amenazas mejorada para los recursos de Amazon EKS.
13 de noviembre de 2025	[MQ.3] Los agentes de Amazon MQ deben tener habilitada la actualización automática de las versiones secundarias	Security Hub CSPM cambió la gravedad de este control de a`LOW`. `MEDIUM` Las actualizaciones de versiones menores incluyen los parches de seguridad necesarios para mantener la seguridad de los corredores de Amazon MQ.
13 de noviembre de 2025	Los OpenSearch dominios [Opensearch.10] deben tener instalada la última actualización de software	Security Hub CSPM cambió la gravedad de este control de a`LOW`. `MEDIUM` Las actualizaciones de software incluyen los parches de seguridad necesarios para mantener la seguridad del OpenSearch dominio.
13 de noviembre de 2025	Los clústeres de RDS [RDS.7] deben tener habilitada la protección contra la eliminación	Security Hub CSPM cambió la gravedad de este control de a`LOW`. `MEDIUM` La protección contra la eliminación ayuda a evitar la eliminación accidental de las bases de datos de Amazon RDS y la eliminación de las bases de datos de RDS por parte de entidades no autorizadas.
13 de noviembre de 2025	[CloudTrail.5] CloudTrail Los senderos deben estar integrados con Amazon Logs CloudWatch	Security Hub CSPM cambió la gravedad de este control de a`LOW`. `MEDIUM` AWS CloudTrailEl registro de datos en Amazon CloudWatch Logs se puede utilizar para actividades de auditoría, alarmas y otras operaciones de seguridad importantes.
13 de noviembre de 2025	[ServiceCatalog.1] Las carteras de Service Catalog solo deben compartirse dentro de una AWS organización	Security Hub CSPM cambió la gravedad de este control de a`HIGH`. `MEDIUM` Compartir AWS Service Catalog carteras con cuentas específicas puede ser intencional y no necesariamente indica que una cartera sea de acceso público.
13 de noviembre de 2025	[CloudFront.7] CloudFront las distribuciones deben usar certificados personalizados SSL/TLS	Security Hub CSPM cambió la gravedad de este control de a`MEDIUM`. `LOW` Los nombres `cloudfront.net` de dominio predeterminados para CloudFront las distribuciones de Amazon se generan de forma aleatoria, lo que reduce el riesgo de seguridad.
13 de noviembre de 2025	[ELB.7] Los equilibradores de carga clásicos deberían tener habilitado el drenaje de conexiones	Security Hub CSPM cambió la gravedad de este control de a`MEDIUM`. `LOW` En las implementaciones de varias instancias, otras instancias en buen estado pueden gestionar las sesiones de usuario cuando una instancia se cierra sin agotar la conexión, lo que reduce el impacto operativo y los riesgos de disponibilidad.
13 de noviembre de 2025	[RedshiftServerless.5] Los espacios de nombres de Redshift Serverless no deben usar el nombre de usuario de administrador predeterminado	Security Hub CSPM actualizó este control para eliminar el parámetro opcional`validAdminUserNames`.
23 de octubre de 2025	[ElastiCache.1] ElastiCache (Redis OSS) los clústeres deben tener habilitadas las copias de seguridad automáticas	El CSPM de Security Hub revirtió los cambios realizados al título, la descripción y la regla de este control el 14 de octubre de 2025.
22 de octubre de 2025	[CloudFront.1] CloudFront las distribuciones deben tener configurado un objeto raíz predeterminado	Security Hub CSPM actualizó este control para no generar resultados para CloudFront las distribuciones de Amazon que utilizan orígenes personalizados.
16 de octubre de 2025	[CloudFront.15] CloudFront las distribuciones deben usar la política de seguridad TLS recomendada	Este control comprueba si una CloudFront distribución de Amazon está configurada para usar una política de seguridad TLS recomendada. El CSPM de Security Hub ahora admite `TLSv1.2_2025` y `TLSv1.3_2025` como valores de parámetros para este control.
14 de octubre de 2025	[ElastiCache.1] ElastiCache (Redis OSS) los clústeres deben tener habilitadas las copias de seguridad automáticas	El CSPM de Security Hub modificó el título, la descripción y la regla de este control. Anteriormente, el control comprobaba los clústeres de Redis OSS y todos los grupos de replicación mediante la regla elasticache-redis-cluster-automatic-backup-check. El título del control era: Los clústeres ElastiCache (Redis OSS) deberían tener habilitadas las copias de seguridad automáticas. Este control ahora comprueba los clústeres de Valkey, además de los clústeres de Redis OSS y todos los grupos de replicación, mediante la elasticache-automatic-backup-check regla -enabled. El nuevo título y la nueva descripción reflejan que el control evalúa ambos tipos de clústeres.
5 de octubre de 2025	Los OpenSearch dominios [Opensearch.10] deben tener instalada la última actualización de software	La regla de este control se actualizó para generar también un `PASSED` resultado si un dominio de Amazon OpenSearch Service no tiene actualizaciones de software disponibles y el estado de la actualización no es apto. Anteriormente, este control solo generaba `PASSED` resultados si un OpenSearch dominio no tenía actualizaciones de software disponibles y el estado de la actualización era completo.
24 de septiembre de 2025	Los clústeres de Redshift [Redshift.9] no deben usar el nombre de base de datos predeterminado [RedshiftServerless.7] Los espacios de nombres Redshift Serverless no deben usar el nombre de base de datos predeterminado	El CSPM de Security Hub retiró estos controles y los eliminó de todos los estándares aplicables. El CSPM de Security Hub retiró estos controles debido a limitaciones inherentes de Amazon Redshift que impedían una remediación efectiva de los resultados `FAILED` generados por estos controles. Anteriormente, los controles se aplicaban al estándar Prácticas recomendadas de seguridad básica de AWS (FSBP), así como al estándar NIST SP 800-53 Rev. 5. El control Redshift.9 también se aplicaba al estándar administrado por el servicio de AWS Control Tower.
9 de septiembre de 2025	[Lambda.2] Las funciones de Lambda deben usar los tiempos de ejecución admitidos	Este control comprueba si la configuración del tiempo de ejecución de una AWS Lambda función coincide con los valores esperados para los tiempos de ejecución admitidos en cada idioma. El CSPM de Security Hub dejó de admitir `nodejs18.x` como valor de parámetro para este control. AWS Lambda dejó de admitir los tiempos de ejecución de Node.js 18.
13 de agosto de 2025	[SageMaker.5] SageMaker los modelos deben tener habilitado el aislamiento de red	El CSPM de Security Hub modificó el título y la descripción de este control. El nuevo título y la descripción reflejan con mayor precisión que el control comprueba la configuración del `EnableNetworkIsolation` parámetro de los modelos alojados en Amazon SageMaker AI. Anteriormente, el título de este control era: SageMaker models should block inbound traffic.
13 de agosto de 2025	[EFS.6] Los destinos de montaje de EFS no deben estar asociados a subredes que asignen direcciones IP públicas en el momento del lanzamiento	El CSPM de Security Hub modificó el título y la descripción de este control. El nuevo título y la nueva descripción describen con mayor exactitud el alcance y la naturaleza de la comprobación que realiza este control. Anteriormente, el título de este control era: EFS mount targets should not be associated with a public subnet.
24 de julio de 2025	[EKS.2] Los clústeres de EKS deberían ejecutarse en una versión de Kubernetes compatible	Este control comprueba si un clúster de Amazon EKS se ejecuta en una versión de Kubernetes compatible. El CSPM de Security Hub modificó el valor del parámetro de este control de `1.30` a `1.31`. La compatibilidad estándar con la versión 1.30 de Kubernetes en Amazon EKS finalizó el 23 de julio de 2025.
23 de julio de 2025	[EC2.173] Las solicitudes de EC2 Spot Fleet con parámetros de lanzamiento deberían permitir el cifrado de los volúmenes de EBS adjuntos	El CSPM de Security Hub modificó el título de este control. El nuevo título refleja con mayor precisión que el control solo comprueba las solicitudes de Amazon EC2 Spot Fleet que especifican los parámetros de lanzamiento. Anteriormente, el título de este control era: EC2 Spot Fleet requests should enable encryption for attached EBS volumes.
30 de junio de 2025	[IAM.13] Asegurar que la política de contraseñas de IAM requiera al menos un símbolo	El CSPM de Security Hub eliminó este control del estándar PCI DSS v4.0.1. PCI DSS v4.0.1 no exige explícitamente el uso de símbolos en las contraseñas.
30 de junio de 2025	[IAM.17] Asegurar que la política de contraseñas de IAM haga caducar las contraseñas al cabo de 90 días o menos	El CSPM de Security Hub eliminó este control del estándar NIST SP 800-171 Revisión 2. NIST SP 800-171 Revisión 2 no exige explícitamente periodos de expiración de contraseñas de 90 días o menos.
30 de junio de 2025	[RDS.16] Los clústeres de bases de datos Aurora se deben configurar para copiar las etiquetas en las instantáneas de bases de datos	El CSPM de Security Hub modificó el título de este control. El nuevo título refleja con mayor precisión que el control solo comprueba los clústeres de bases de datos Amazon Aurora. Anteriormente, el título de este control era: RDS DB clusters should be configured to copy tags to snapshots.
30 de junio de 2025	[SageMaker.8] las instancias de SageMaker notebook deberían ejecutarse en plataformas compatibles	Este control comprueba si una instancia de notebook de Amazon SageMaker AI está configurada para ejecutarse en una plataforma compatible, en función del identificador de plataforma especificado para la instancia de notebook. El CSPM de Security Hub dejó de admitir `notebook-al2-v1` y `notebook-al2-v2` como valores de parámetro para este control. Las instancias de bloc de notas que se ejecutan en estas plataformas llegaron al fin de su periodo de soporte el 30 de junio de 2025.
30 de mayo de 2025	[IAM.10] Las políticas de contraseñas para los usuarios de IAM deben tener una configuración sólida	El CSPM de Security Hub eliminó este control del estándar PCI DSS v4.0.1. Este control verifica si las políticas de contraseñas de las cuentas de usuario de IAM cumplen los requisitos mínimos, incluida una longitud mínima de 7 caracteres. La versión 4.0.1 de PCI DSS ahora requiere que las contraseñas tengan un mínimo de 8 caracteres. Este control aún se aplica al estándar PCI DSS v3.2.1, el cual tiene requisitos distintos para contraseñas. Para evaluar las políticas de contraseñas de cuentas conforme a los requisitos de PCI DSS v4.0.1, puede usar el control IAM.7. Este control exige que las contraseñas tengan un mínimo de 8 caracteres. También admite valores personalizados para la longitud de las contraseñas y otros parámetros. El control IAM.7 forma parte del estándar PCI DSS v4.0.1 en el CSPM de Security Hub.
8 de mayo de 2025	[RDS.46] Las instancias de bases de datos de RDS no se deben implementar en subredes públicas con rutas hacia puertas de enlace de Internet.	El CSPM de Security Hub revirtió la publicación del control RDS.46 en todas las Regiones de AWS. Anteriormente, este control era compatible con el estándar AWS Foundational Security Best Practices (FSBP).
7 de abril de 2025	[ELB.17] Los equilibradores de carga de aplicación y los equilibradores de carga de red con oyentes deben usar políticas de seguridad recomendadas	Este control comprueba si el oyente HTTPS de un equilibrador de carga de aplicación o el oyente TLS de un equilibrador de carga de red están configurados para cifrar los datos en tránsito mediante una política de seguridad recomendada. El CSPM de Security Hub ahora admite dos valores de parámetro adicionales para este control: `ELBSecurityPolicy-TLS13-1-2-Res-2021-06` y `ELBSecurityPolicy-TLS13-1-2-Res-FIPS-2023-04`.
27 de marzo de 2025	[Lambda.2] Las funciones de Lambda deben usar los tiempos de ejecución admitidos	Este control comprueba si la configuración del tiempo de ejecución para una función de AWS Lambda coincide con los valores esperados para los tiempos de ejecución compatibles en cada lenguaje. Security Hub CSPM ahora admite `ruby3.4` como valor de parámetro para este control. AWS Lambdase agregó soporte para este tiempo de ejecución.
26 de marzo de 2025	[EKS.2] Los clústeres de EKS deberían ejecutarse en una versión de Kubernetes compatible	Este control comprueba si un clúster de Amazon Elastic Kubernetes Service (Amazon EKS) se ejecuta en una versión de Kubernetes compatible. Para el parámetro `oldestVersionSupported`, el CSPM de Security Hub cambió el valor de `1.29` a `1.30`. `1.30` es ahora la versión más antigua de Kubernetes que aún es compatible.
10 de marzo de 2025	[Lambda.2] Las funciones de Lambda deben usar los tiempos de ejecución admitidos	Este control comprueba si la configuración del tiempo de ejecución para una función de AWS Lambda coincide con los valores esperados para los tiempos de ejecución compatibles en cada lenguaje. El CSPM de Security Hub ya no admite `dotnet6` ni `python3.8` como valores de parámetro para este control. AWS Lambdaya no admite estos tiempos de ejecución.
7 de marzo de 2025	Las instancias de RDS [RDS.18] deben implementarse en una VPC	Security Hub CSPM eliminó este control del estándar de mejores prácticas de seguridad AWS fundamentales y automatizó las comprobaciones de los requisitos del NIST SP 800-53 Rev. 5. Desde que se retiraron las redes Amazon EC2 -Classic, las instancias de Amazon Relational Database Service (Amazon RDS) ya no se pueden implementar fuera de una VPC. El control aún forma parte del estándar administrado por el servicio de AWS Control Tower.
10 de enero de 2025	[Glue.2] Los trabajos de AWS pegado deberían tener habilitado el registro	El CSPM de Security Hub retiró este control y lo eliminó de todos los estándares.
20 de diciembre de 2024	EC2.61 a 1.69 EC2	Security Hub CSPM anuló la versión de los controles EC2 .61 a EC2 .169.
12 de diciembre de 2024	Las instancias RDS [RDS.23] no deben usar el puerto predeterminado de un motor de base de datos	RDS.23 comprueba si un clúster o una instancia de Amazon Relational Database Service (Amazon RDS) utiliza un puerto distinto al puerto predeterminado del motor de base de datos. Hemos actualizado el control para que la AWS Config regla subyacente devuelva un resultado de `NOT_APPLICABLE` para las instancias de RDS que forman parte de un clúster.
2 de diciembre de 2024	[Lambda.2] Las funciones de Lambda deben usar los tiempos de ejecución admitidos	Lambda.2 comprueba si la configuración de la AWS Lambda función para los tiempos de ejecución coincide con los valores esperados establecidos para los tiempos de ejecución admitidos en cada idioma. El CSPM de Security Hub ahora admite `nodejs22.x` como parámetro.
26 de noviembre de 2024	[EKS.2] Los clústeres de EKS deberían ejecutarse en una versión de Kubernetes compatible	Este control comprueba si un clúster de Amazon Elastic Kubernetes Service (Amazon EKS) se ejecuta en una versión de Kubernetes compatible. `1.29` es ahora la versión más antigua compatible.
20 de noviembre de 2024	[Config.1] AWS Config debe estar habilitado y usar el rol vinculado al servicio para el registro de recursos	La configuración 1 comprueba si AWS Config está habilitada, usa la función vinculada al servicio y registra los recursos para los controles habilitados. El CSPM de Security Hub aumentó la gravedad de este control de `MEDIUM` a `CRITICAL`. El CSPM de Security Hub también agregó nuevos códigos y motivos de estado para los resultados fallidos de Config.1. Estos cambios reflejan la importancia de Config.1 para el funcionamiento de los controles del CSPM de Security Hub. Si tiene deshabilitado el registro de recursos AWS Config o el registro de recursos, puede recibir resultados de control inexactos. Para recibir un resultado `PASSED` para el control Config.1, active el registro de recursos para los tipos de recursos que correspondan a los controles habilitados del CSPM de Security Hub y desactive los controles que no sean necesarios en la organización. Para obtener instrucciones sobre la configuración AWS Config de Security Hub CSPM, consulte. Habilitación y configuración de AWS Config para el CSPM de Security Hub Para ver la lista de los controles del CSPM de Security Hub y sus recursos correspondientes, consulte AWS ConfigRecursos necesarios para los hallazgos de control.
12 de noviembre de 2024	[Lambda.2] Las funciones de Lambda deben usar los tiempos de ejecución admitidos	Lambda.2 comprueba si la configuración de la AWS Lambda función para los tiempos de ejecución coincide con los valores esperados establecidos para los tiempos de ejecución admitidos en cada idioma. El CSPM de Security Hub ahora admite `python3.13` como parámetro.
11 de octubre de 2024	ElastiCache controles	Se han cambiado los títulos de los controles para las versiones ElastiCache 3.3, ElastiCache .4, ElastiCache .5 y ElastiCache .7. Los títulos ya no mencionan Redis OSS porque los controles también se aplican a Valkey. ElastiCache
27 de septiembre de 2024	[ELB.4] El equilibrador de carga de aplicación debe configurarse para eliminar los encabezados http no válidos	Se cambió el título del control de El equilibrador de carga de aplicación debe configurarse para eliminar los encabezados http a El equilibrador de carga de aplicación debe configurarse para eliminar los encabezados http no válidos.
19 de agosto de 2024	El título cambia a DMS.12 y controles ElastiCache	Se han cambiado los títulos de los controles de DMS.12 y ElastiCache de 1.1 a 0.7. ElastiCache Hemos cambiado estos títulos para reflejar un cambio de nombre en el servicio Amazon ElastiCache (Redis OSS).
15 de agosto de 2024	[Config.1] AWS Config debe estar habilitado y usar el rol vinculado al servicio para el registro de recursos	La configuración 1 comprueba si AWS Config está habilitada, usa la función vinculada al servicio y registra los recursos para los controles habilitados. El CSPM de Security Hub agregó un parámetro personalizado para el control llamado `includeConfigServiceLinkedRoleCheck`. Si establece este parámetro en `false`, puede optar por no comprobar si AWS Config utiliza el rol vinculado al servicio.
31 de julio de 2024	Los perfiles de AWS IoT Device Defender seguridad [IoT.1] deben estar etiquetados	Se cambió el título del control de Los perfiles de seguridad de AWS IoT Core deben estar etiquetados a Los perfiles de seguridad de AWS IoT Device Defender deben estar etiquetados.
29 de julio de 2024	[Lambda.2] Las funciones de Lambda deben usar los tiempos de ejecución admitidos	Lambda.2 comprueba si la configuración de la AWS Lambda función para los tiempos de ejecución coincide con los valores esperados establecidos para los tiempos de ejecución admitidos en cada idioma. El CSPM de Security Hub dejó de admitir `nodejs16.x` como parámetro.
29 de julio de 2024	[EKS.2] Los clústeres de EKS deberían ejecutarse en una versión de Kubernetes compatible	Este control comprueba si un clúster de Amazon Elastic Kubernetes Service (Amazon EKS) se ejecuta en una versión de Kubernetes compatible. La versión compatible más antigua es `1.28`.
25 de junio de 2024	[Config.1] AWS Config debe estar habilitado y usar el rol vinculado al servicio para el registro de recursos	Este control comprueba si AWS Config está activado, utiliza la función vinculada al servicio y registra los recursos de los controles habilitados. El CSPM de Security Hub actualizó el título del control para reflejar lo que el control evalúa.
14 de junio de 2024	[RDS.34] Los clústeres de bases de datos Aurora MySQL deberían publicar los registros de auditoría en Logs CloudWatch	Este control comprueba si un clúster de base de datos Amazon Aurora MySQL está configurado para publicar registros de auditoría en Amazon CloudWatch Logs. El CSPM de Security Hub actualizó el control para que no genere resultados para los clústeres de bases de datos de Aurora sin servidor v1.
11 de junio de 2024	[EKS.2] Los clústeres de EKS deberían ejecutarse en una versión de Kubernetes compatible	Este control comprueba si un clúster de Amazon Elastic Kubernetes Service (Amazon EKS) se ejecuta en una versión de Kubernetes compatible. La versión compatible más antigua es `1.27`.
10 de junio de 2024	[Config.1] AWS Config debe estar habilitado y usar el rol vinculado al servicio para el registro de recursos	Este control comprueba si AWS Config está activado y el registro de AWS Config recursos está activado. Anteriormente, el control solo generaba un resultado `PASSED` si se configuraba el registro para todos los recursos. El CSPM de Security Hub actualizó el control para generar un resultado `PASSED` cuando el registro está activado para recursos que se requieren para controles habilitados. El control también se ha actualizado para comprobar si se utiliza la función AWS Config vinculada al servicio, que proporciona permisos para registrar los recursos necesarios.
8 de mayo de 2024	[S3.20] Los buckets de uso general de S3 deben tener habilitada la eliminación de MFA	Este control comprueba si el bucket con control de versiones de uso general de Amazon S3 tiene habilitada la eliminación de la autenticación multifactor (MFA). Anteriormente, el control generaba un resultado `FAILED` para los buckets que tenían una configuración de ciclo de vida. Sin embargo, la eliminación de la MFA con el control de versiones no se puede habilitar en un bucket que tenga una configuración de ciclo de vida. El CSPM de Security Hub actualizó el control para que no genere resultados para los buckets que tienen una configuración de ciclo de vida. La descripción del control se actualizó para reflejar el comportamiento actual.
2 de mayo de 2024	[EKS.2] Los clústeres de EKS deberían ejecutarse en una versión de Kubernetes compatible	El CSPM de Security Hub actualizó la versión más antigua compatible de Kubernetes en la que un clúster de Amazon EKS se puede ejecutar para producir un resultado aprobado. La versión compatible más antigua actual es Kubernetes `1.26`.
30 de abril de 2024	[CloudTrail.3] Debe estar habilitada al menos una CloudTrail ruta	Se ha cambiado el título del control de CloudTrail Debe estar activado a Al menos una CloudTrail ruta debe estar habilitada. Actualmente, este control produce un `PASSED` resultado si un sendero Cuenta de AWS tiene activado al menos un CloudTrail sendero. El título y la descripción se modificaron para reflejar con precisión el comportamiento actual.
29 de abril de 2024	[AutoScaling.1] Los grupos de Auto Scaling asociados a un balanceador de cargas deben usar las comprobaciones de estado del ELB	Se cambió el título del control de Los grupos de escalado automático asociados a un equilibrador de carga clásico deben usar las comprobaciones de estado a Los grupos de escalado automático asociados a un equilibrador de carga deben usar comprobaciones de estado de ELB. Actualmente, este control evalúa los equilibradores de carga clásicos, de red, de puerta de enlace y de aplicaciones. El título y la descripción se modificaron para reflejar con precisión el comportamiento actual.
19 de abril de 2024	[CloudTrail.1] CloudTrail debe habilitarse y configurarse con al menos un registro multirregional que incluya eventos de administración de lectura y escritura	El control comprueba si AWS CloudTrail está habilitado y configurado con al menos un registro multirregional que incluya eventos de administración de lectura y escritura. Anteriormente, el control generaba `PASSED` resultados de forma incorrecta cuando una cuenta tenía CloudTrail habilitada y configurada al menos un registro multirregional, incluso si ningún registro capturaba los eventos de administración de lectura y escritura. El control ahora genera un `PASSED` resultado solo cuando CloudTrail está habilitado y configurado con al menos un registro multirregional que captura los eventos de administración de lectura y escritura.
10 de abril de 2024	[Athena.1] Los grupos de trabajo de Athena deben estar cifrados en reposo	El CSPM de Security Hub retiró este control y lo eliminó de todos los estándares. Los grupos de trabajo de Athena envían registros a buckets de Amazon Simple Storage Service (Amazon S3). Amazon S3 ahora ofrece cifrado predeterminado con claves administradas de S3 (SS3-S3) en buckets S3 nuevos y existentes.
10 de abril de 2024	[AutoScaling.4] La configuración de lanzamiento grupal de Auto Scaling no debe tener un límite de saltos de respuesta de metadatos superior a 1	El CSPM de Security Hub retiró este control y lo eliminó de todos los estándares. Los límites de saltos de respuesta de metadatos para las instancias de Amazon Elastic Compute Cloud (Amazon EC2) dependen de la carga de trabajo.
10 de abril de 2024	[CloudFormation.1] las CloudFormation pilas deben integrarse con el Simple Notification Service (SNS)	El CSPM de Security Hub retiró este control y lo eliminó de todos los estándares. Integrar pilas de AWS CloudFormation con temas de Amazon SNS ya no es una práctica de seguridad recomendada. Si bien puede resultar útil integrar CloudFormation pilas importantes con temas de SNS, no es obligatorio para todas las pilas.
10 de abril de 2024	[CodeBuild.5] Los entornos de CodeBuild proyectos no deberían tener habilitado el modo privilegiado	El CSPM de Security Hub retiró este control y lo eliminó de todos los estándares. Habilitar el modo privilegiado en un CodeBuild proyecto no supone un riesgo adicional para el entorno del cliente.
10 de abril de 2024	[IAM.20] Evitar el uso del usuario raíz	El CSPM de Security Hub retiró este control y lo eliminó de todos los estándares. El propósito de este control está cubierto por otro control, [CloudWatch.1] Debe haber un filtro de métricas de registro y una alarma para que los utilice el usuario «root».
10 de abril de 2024	[SNS.2] Debe habilitarse el registro del estado de la entrega para los mensajes de notificación enviados a un tema	El CSPM de Security Hub retiró este control y lo eliminó de todos los estándares. Registrar el estado de entrega de los temas de SNS ya no es una práctica de seguridad recomendada. Aunque registrar el estado de entrega de los temas importantes del SNS puede resultar útil, no es obligatorio para todos los temas.
10 de abril de 2024	[S3.10] Los buckets de uso general de S3 con el control de versiones habilitado deben tener configuraciones de ciclo de vida	Security Hub CSPM eliminó este control de AWS Foundational Security Best Practices y Service-Managed Standard:. AWS Control Tower El propósito de este control está cubierto por otros dos controles: [S3.13] Los buckets de uso general de S3 deben tener configuraciones de ciclo de vida y [S3.14] Los buckets de uso general de S3 deben tener habilitado el control de versiones. Este control sigue siendo parte del NIST SP 800-53 Rev. 5.
10 de abril de 2024	[S3.11] Los buckets de uso general de S3 deben tener habilitadas las notificaciones de eventos	Security Hub CSPM eliminó este control de AWS Foundational Security Best Practices y Service-Managed Standard:. AWS Control Tower Si bien hay algunos casos en los que las notificaciones de eventos para los buckets de S3 son útiles, no se trata de una práctica de seguridad universal recomendada. Este control sigue siendo parte del NIST SP 800-53 Rev. 5.
10 de abril de 2024	[SNS.1] Los temas de SNS deben cifrarse en reposo mediante AWS KMS	Security Hub CSPM eliminó este control de AWS Foundational Security Best Practices y Service-Managed Standard:. AWS Control Tower De forma predeterminada, SNS cifra los temas en reposo mediante el cifrado de disco. Para más información, consulte Cifrado de datos. Ya no se recomienda AWS KMS su uso para cifrar temas como una mejor práctica de seguridad. Este control sigue siendo parte del NIST SP 800-53 Rev. 5.
8 de abril de 2024	[ELB.6] La protección contra la eliminación de un equilibrador de carga de aplicación, de puerta de enlace y de red debe estar habilitada	Se cambió el título del control de El equilibrador de carga de aplicación debe tener habilitada la protección contra eliminaciones a Los equilibradores de carga de red, de las aplicaciones y de la puerta de enlace deben tener habilitada la protección contra eliminaciones. Actualmente, este control evalúa los equilibradores de carga de red, puertas de enlace y aplicaciones. El título y la descripción se modificaron para reflejar con precisión el comportamiento actual.
22 de marzo de 2024	[Opensearch.8] Las conexiones a los OpenSearch dominios deben cifrarse según la política de seguridad TLS más reciente	Se cambió el título de control de Las conexiones a OpenSearch los dominios deben cifrarse mediante TLS 1.2 a Las conexiones a OpenSearch los dominios deben cifrarse mediante la última política de seguridad de TLS. Anteriormente, el control solo comprobaba si las conexiones a los OpenSearch dominios utilizaban TLS 1.2. El control ahora determina si los OpenSearch dominios están cifrados con la última política de seguridad de TLS. `PASSED` El título y la descripción del control se actualizaron para reflejar el comportamiento actual.
22 de marzo de 2024	[ES.8] Las conexiones a dominios de Elasticsearch deben estar cifradas conforme a la política de seguridad TLS más reciente	Se cambió el título del control de Las conexiones a dominios de Elasticsearch deben estar cifradas a través de TLS 1.2 a Las conexiones a los dominios de Elasticsearch deben estar cifrados a través de la última política de seguridad de TLS. Anteriormente, el control solo comprobaba si las conexiones a los dominios de Elasticsearch utilizaban TLS 1.2. El control ahora genera un resultado `PASSED` si los dominios de Elasticsearch están cifrados a través de la última política de seguridad de TLS. El título y la descripción del control se actualizaron para reflejar el comportamiento actual.
12 de marzo de 2024	[S3.1] Los buckets de uso general de S3 deben tener habilitado el bloqueo de acceso público	El título cambió de La configuración del bloqueo de acceso público de S3 debe estar habilitada a Los buckets de uso general de S3 deben tener el bloqueo de acceso público habilitado. El CSPM de Security Hub cambió el título para considerar un nuevo tipo de bucket de S3.
12 de marzo de 2024	[S3.2] Los buckets de uso general de S3 deben bloquear el acceso público de lectura	Se cambió el título de Los buckets de S3 deben prohibir el acceso de lectura público a Los buckets de uso general de S3 deben bloquear el acceso de lectura público. El CSPM de Security Hub cambió el título para considerar un nuevo tipo de bucket de S3.
12 de marzo de 2024	[S3.3] Los buckets de uso general de S3 deben bloquear el acceso público de escritura	Se cambió el título de Los buckets de S3 deben prohibir el acceso de escritura público a Los buckets de uso general de S3 deben bloquear el acceso de escritura público. El CSPM de Security Hub cambió el título para considerar un nuevo tipo de bucket de S3.
12 de marzo de 2024	[S3.5] En las solicitudes de los buckets de uso general de S3, se debe pedir el uso de SSL	Se cambió el título de Los buckets de S3 deben requerir solicitudes para usar Secure Socket Layer a Los buckets de uso general de S3 deben requerir solicitudes para usar SSL. El CSPM de Security Hub cambió el título para considerar un nuevo tipo de bucket de S3.
12 de marzo de 2024	[S3.6] Las políticas de compartimentos de uso general de S3 deberían restringir el acceso a otros Cuentas de AWS	Se cambió el título de Los permisos de S3 concedidos a otras Cuentas de AWS en las políticas de bucket deben restringirse a Las políticas de bucket de uso general de S3 deben restringir el acceso a otras Cuentas de AWS. El CSPM de Security Hub cambió el título para considerar un nuevo tipo de bucket de S3.
12 de marzo de 2024	[S3.7] Los buckets de uso general de S3 deben usar la replicación entre regiones	Se cambió el título de Los buckets de S3 deben tener la replicación entre regiones habilitada a Los buckets de uso general de S3 deben usar la replicación entre regiones. El CSPM de Security Hub cambió el título para considerar un nuevo tipo de bucket de S3.
12 de marzo de 2024	[S3.7] Los buckets de uso general de S3 deben usar la replicación entre regiones	Se cambió el título de Los buckets de S3 deben tener la replicación entre regiones habilitada a Los buckets de uso general de S3 deben usar la replicación entre regiones. El CSPM de Security Hub cambió el título para considerar un nuevo tipo de bucket de S3.
12 de marzo de 2024	[S3.8] Los buckets de uso general de S3 deben bloquear el acceso público	Se cambió el título de La configuración de acceso público al bloque S3 debe estar habilitada en el nivel de bucket a Los buckets de uso general de S3 deben bloquear el acceso público. El CSPM de Security Hub cambió el título para considerar un nuevo tipo de bucket de S3.
12 de marzo de 2024	[S3.9] Los buckets de uso general de S3 deben tener habilitado el registro de acceso al servidor	Se cambió el título de Se debe habilitar el registro de acceso al bucket de S3 a Se debe habilitar el registro de acceso al servidor para los buckets de uso general de S3. El CSPM de Security Hub cambió el título para considerar un nuevo tipo de bucket de S3.
12 de marzo de 2024	[S3.10] Los buckets de uso general de S3 con el control de versiones habilitado deben tener configuraciones de ciclo de vida	Se cambió el título de Los buckets de S3 con el control de versiones habilitado deben tener configuradas las políticas de ciclo de vida a Los buckets de uso general de S3 con el control de versiones habilitado deben tener configuraciones de ciclo de vida. El CSPM de Security Hub cambió el título para considerar un nuevo tipo de bucket de S3.
12 de marzo de 2024	[S3.11] Los buckets de uso general de S3 deben tener habilitadas las notificaciones de eventos	Se cambió el título de Los buckets de S3 deben tener las notificaciones de eventos habilitadas a Los buckets de uso general de S3 deben tener las notificaciones de eventos habilitadas. El CSPM de Security Hub cambió el título para considerar un nuevo tipo de bucket de S3.
12 de marzo de 2024	[S3.12] no ACLs debe usarse para administrar el acceso de los usuarios a los depósitos de uso general de S3	El título ha cambiado de listas de control de acceso de S3 (ACLs) no debe utilizarse para gestionar el acceso de los usuarios a los depósitos a no ACLs debe utilizarse para gestionar el acceso de los usuarios a los depósitos de uso general de S3. El CSPM de Security Hub cambió el título para considerar un nuevo tipo de bucket de S3.
12 de marzo de 2024	[S3.13] Los buckets de uso general de S3 deben tener configuraciones de ciclo de vida	Se cambió el título de Los buckets de S3 deben tener configuradas las políticas de ciclo de vida a Los buckets de uso general de S3 deben tener configuraciones de ciclo de vida. El CSPM de Security Hub cambió el título para considerar un nuevo tipo de bucket de S3.
12 de marzo de 2024	[S3.14] Los buckets de uso general de S3 deben tener habilitado el control de versiones	Se cambió el título de Los buckets de S3 deben utilizar el control de versiones a Los buckets de uso general de S3 deben tener el control de versiones habilitado. El CSPM de Security Hub cambió el título para considerar un nuevo tipo de bucket de S3.
12 de marzo de 2024	[S3.15] Los buckets de uso general de S3 deben tener habilitado el bloqueo de objetos	Se cambió el título de Los buckets de S3 deben configurarse para usar el Bloqueo de objetos a Los buckets de uso general de S3 deben tener Bloqueo de objetos habilitado. El CSPM de Security Hub cambió el título para considerar un nuevo tipo de bucket de S3.
12 de marzo de 2024	[S3.17] Los depósitos de uso general de S3 deben cifrarse en reposo con AWS KMS keys	Se cambió el título de Los buckets de S3 deben estar cifrados en reposo a través de AWS KMS keys a Los buckets de uso general de S3 deben estar cifrados en reposo a través de AWS KMS keys. El CSPM de Security Hub cambió el título para considerar un nuevo tipo de bucket de S3.
7 de marzo de 2024	[Lambda.2] Las funciones de Lambda deben usar los tiempos de ejecución admitidos	Lambda.2 comprueba si la configuración de la AWS Lambda función para los tiempos de ejecución coincide con los valores esperados establecidos para los tiempos de ejecución admitidos en cada idioma. El CSPM de Security Hub admite ahora `nodejs20.x` y `ruby3.3` como parámetros.
22 de febrero de 2024	[Lambda.2] Las funciones de Lambda deben usar los tiempos de ejecución admitidos	Lambda.2 comprueba si la configuración de la AWS Lambda función para los tiempos de ejecución coincide con los valores esperados establecidos para los tiempos de ejecución admitidos en cada idioma. El CSPM de Security Hub ahora admite `dotnet8` como parámetro.
5 de febrero de 2024	[EKS.2] Los clústeres de EKS deberían ejecutarse en una versión de Kubernetes compatible	El CSPM de Security Hub actualizó la versión más antigua compatible de Kubernetes en la que un clúster de Amazon EKS se puede ejecutar para producir un resultado aprobado. La versión compatible más antigua actual es Kubernetes `1.25`.
10 de enero de 2024	[CodeBuild.1] CodeBuild El repositorio fuente de Bitbucket no URLs debe contener credenciales confidenciales	El título modificado del repositorio fuente de Bitbucket CodeBuild GitHub o el que se URLs debe usar OAuth al repositorio fuente de CodeBuild Bitbucket no debe contener credenciales confidenciales. URLs Security Hub CSPM eliminó la mención OAuth porque otros métodos de conexión también pueden ser seguros. CSPM eliminó la mención de Security Hub GitHub porque ya no es posible tener un token de acceso personal o un nombre de usuario y contraseña en el repositorio de GitHub origen. URLs
8 de enero de 2024	[Lambda.2] Las funciones de Lambda deben usar los tiempos de ejecución admitidos	Lambda.2 comprueba si la configuración de la AWS Lambda función para los tiempos de ejecución coincide con los valores esperados establecidos para los tiempos de ejecución admitidos en cada idioma. El CSPM de Security Hub ya no admite `go1.x` ni `java8` como parámetros porque se trata de tiempos de ejecución retirados.
29 de diciembre de 2023	Las instancias de base de datos de RDS [RDS.8] deben tener habilitada la protección contra la eliminación	RDS.8 comprueba si una instancia de base de datos de Amazon RDS que utiliza uno de los motores de bases de datos compatibles tiene habilitada la protección contra eliminaciones. El CSPM de Security Hub admite ahora `custom-oracle-ee`, `oracle-ee-cdb` y `oracle-se2-cdb` como motores de bases de datos.
22 de diciembre de 2023	[Lambda.2] Las funciones de Lambda deben usar los tiempos de ejecución admitidos	Lambda.2 comprueba si la configuración de la AWS Lambda función para los tiempos de ejecución coincide con los valores esperados establecidos para los tiempos de ejecución admitidos en cada idioma. El CSPM de Security Hub admite ahora `java21` y `python3.12` como parámetros. El CSPM de Security Hub dejó de admitir `ruby2.7` como parámetro.
15 de diciembre de 2023	[CloudFront.1] CloudFront las distribuciones deben tener configurado un objeto raíz predeterminado	CloudFront.1 comprueba si una CloudFront distribución de Amazon tiene configurado un objeto raíz predeterminado. El CSPM de Security Hub redujo la gravedad de este control de CRÍTICA a ALTA porque agregar el objeto raíz predeterminado es una recomendación que depende de la aplicación del usuario y de sus requisitos específicos.
5 de diciembre de 2023	[EC2.13] Los grupos de seguridad no deberían permitir la entrada desde el 0.0.0.0/0 o: :/0 al puerto 22	Se ha cambiado el título del control de Los grupos de seguridad no deben permitir la entrada desde 0.0.0.0/0 al puerto 22 a Los grupos de seguridad no deben permitir la entrada desde 0.0.0.0/0 o ::/0 al puerto 22.
5 de diciembre de 2023	[EC2.14] Los grupos de seguridad no deberían permitir la entrada desde el 0.0.0.0/0 o: :/0 al puerto 3389	Se ha cambiado el título del control de Asegúrese de que ningún grupo de seguridad permita la entrada desde 0.0.0.0/0 al puerto 3389 a Los grupos de seguridad no deben permitir la entrada desde 0.0.0.0/0 o ::/0 al puerto 3389.
5 de diciembre de 2023	[RDS.9] Las instancias de base de datos de RDS deben publicar los registros en Logs CloudWatch	Si se ha cambiado el título del control, el registro de bases de datos debe estar activado y las instancias de base de datos de RDS deben publicar los registros en los CloudWatch registros. Security Hub CSPM identificó que este control solo comprueba si los registros se publican en Amazon CloudWatch Logs y no comprueba si los registros de RDS están habilitados. El control determina si las instancias de `PASSED` base de datos de RDS están configuradas para publicar registros en Logs. CloudWatch El título del control se ha actualizado para reflejar el comportamiento actual.
5 de diciembre de 2023	[EKS.8] Los clústeres de EKS deben tener habilitado el registro de auditoría	Este control comprueba si los clústeres de Amazon EKS tienen habilitado el registro de auditoría. La AWS Config regla que utiliza Security Hub CSPM para evaluar este control cambió de `eks-cluster-logging-enabled` a. `eks-cluster-log-enabled`
17 de noviembre de 2023	[EC2.19] Los grupos de seguridad no deberían permitir el acceso sin restricciones a los puertos de alto riesgo	EC2.19 comprueba si el tráfico entrante sin restricciones de un grupo de seguridad es accesible desde los puertos especificados que se consideran de alto riesgo. El CSPM de Security Hub actualizó este control para tener en cuenta las listas de prefijos administradas cuando se suministran como origen en una regla de grupo de seguridad. El control genera un resultado `FAILED` si las listas de prefijos contienen las cadenas “0.0.0.0/0” o “::/0”.
16 de noviembre de 2023	[CloudWatch.15] CloudWatch las alarmas deben tener configuradas acciones específicas	Se ha cambiado el título del control: CloudWatch las alarmas deberían tener una acción configurada para el estado de ALARMA a CloudWatch las alarmas que deberían tener configuradas las acciones especificadas.
16 de noviembre de 2023	[CloudWatch.16] Los grupos de CloudWatch registros deben conservarse durante un período de tiempo específico	El título de control modificado, de grupos de CloudWatch registros, debe conservarse durante al menos 1 año, a grupos de CloudWatch registros, debe conservarse durante un período de tiempo específico.
16 de noviembre de 2023	[Lambda.5] Las funciones de Lambda de la VPC deben funcionar en varias zonas de disponibilidad	Se ha cambiado el título de control de Las funciones de Lambda de la VPC deben funcionar en más de una zona de disponibilidad a Las funciones de Lambda de la VPC deben funcionar en varias zonas de disponibilidad.
16 de noviembre de 2023	[AppSync.2] AWS AppSync debe tener habilitado el registro a nivel de campo	Se ha cambiado el título de control de AWS AppSync debe tener activado el registro a nivel de solicitud y a nivel de campo a AWS AppSync debe tener habilitado el registro a nivel de campo.
16 de noviembre de 2023	[EMR.1] Los nodos maestros del clúster de Amazon EMR no deben tener direcciones IP públicas	Se cambió el título de control de los nodos maestros del MapReduce clúster de Amazon Elastic no deberían tener direcciones IP públicas a los nodos principales del clúster de Amazon EMR no deberían tener direcciones IP públicas.
16 de noviembre de 2023	Los OpenSearch dominios [Opensearch.2] no deben ser de acceso público	El título de control modificado de OpenSearch los dominios debería estar en una VPC a OpenSearchdominios que no deberían ser de acceso público.
16 de noviembre de 2023	[ES.2] Los dominios de Elasticsearch no deben ser de acceso público	Se ha cambiado el título de control de Los dominios de Elasticsearch deben estar en una VPC a Los dominios de Elasticsearch no deben ser de acceso público.
31 de octubre de 2023	[ES.4] Debe estar habilitado el registro de errores de dominio de Elasticsearch en los CloudWatch registros	ES.4 comprueba si los dominios de Elasticsearch están configurados para enviar registros de errores a Amazon Logs. CloudWatch Anteriormente, el control `PASSED` encontró un dominio de Elasticsearch que tenía todos los registros configurados para enviarlos a Logs. CloudWatch Security Hub CSPM actualizó el control para producir una `PASSED` búsqueda solo para un dominio de Elasticsearch que esté configurado para enviar registros de errores a Logs. CloudWatch El control también se actualizó para excluir de la evaluación versiones de Elasticsearch que no admiten registros de errores.
16 de octubre de 2023	[EC2.13] Los grupos de seguridad no deberían permitir la entrada desde el 0.0.0.0/0 o: :/0 al puerto 22	EC2La versión .13 comprueba si los grupos de seguridad permiten el acceso sin restricciones al puerto 22. El CSPM de Security Hub actualizó este control para tener en cuenta las listas de prefijos administradas cuando se suministran como origen en una regla de grupo de seguridad. El control genera un resultado `FAILED` si las listas de prefijos contienen las cadenas “0.0.0.0/0” o “::/0”.
16 de octubre de 2023	[EC2.14] Los grupos de seguridad no deberían permitir la entrada desde el 0.0.0.0/0 o: :/0 al puerto 3389	EC2.14 comprueba si los grupos de seguridad permiten el acceso de entrada sin restricciones al puerto 3389. El CSPM de Security Hub actualizó este control para tener en cuenta las listas de prefijos administradas cuando se suministran como origen en una regla de grupo de seguridad. El control genera un resultado `FAILED` si las listas de prefijos contienen las cadenas “0.0.0.0/0” o “::/0”.
16 de octubre de 2023	[EC2.18] Los grupos de seguridad solo deberían permitir el tráfico entrante sin restricciones en los puertos autorizados	EC2.18 comprueba si los grupos de seguridad que se utilizan permiten el tráfico entrante sin restricciones. El CSPM de Security Hub actualizó este control para tener en cuenta las listas de prefijos administradas cuando se suministran como origen en una regla de grupo de seguridad. El control genera un resultado `FAILED` si las listas de prefijos contienen las cadenas “0.0.0.0/0” o “::/0”.
16 de octubre de 2023	[Lambda.2] Las funciones de Lambda deben usar los tiempos de ejecución admitidos	Lambda.2 comprueba si la configuración de la AWS Lambda función para los tiempos de ejecución coincide con los valores esperados establecidos para los tiempos de ejecución admitidos en cada idioma. El CSPM de Security Hub ahora admite `python3.11` como parámetro.
4 de octubre de 2023	[S3.7] Los buckets de uso general de S3 deben usar la replicación entre regiones	El CSPM de Security Hub agregó el parámetro `ReplicationType` con un valor `CROSS-REGION` para garantizar que los buckets de S3 tengan habilitada la replicación entre regiones en lugar de la replicación en la misma región.
27 de septiembre de 2023	[EKS.2] Los clústeres de EKS deberían ejecutarse en una versión de Kubernetes compatible	El CSPM de Security Hub actualizó la versión más antigua compatible de Kubernetes en la que un clúster de Amazon EKS se puede ejecutar para producir un resultado aprobado. La versión compatible más antigua actual es Kubernetes `1.24`.
20 de septiembre de 2023	[CloudFront.2] las CloudFront distribuciones deben tener habilitada la identidad de acceso de origen	El CSPM de Security Hub retiró este control y lo eliminó de todos los estándares. En su lugar, consulte [CloudFront.13] CloudFront las distribuciones deben usar el control de acceso al origen. El control de acceso de Origin es la mejor práctica de seguridad actual. Este control se eliminará de la documentación en 90 días.
20 de septiembre de 2023	[EC2.22] Los grupos de EC2 seguridad de Amazon no utilizados deberían eliminarse	Security Hub CSPM eliminó este control de AWS Foundational Security Best Practices (FSBP) y del National Institute of Standards and Technology (NIST) SP 800-53 Rev. 5. Sigue formando parte del estándar de gestión de servicios:. AWS Control Tower Este control produce una comprobación válida si los grupos de seguridad están conectados a EC2 instancias o a una interface de red elástica. Sin embargo, en algunos casos de uso, los grupos de seguridad independientes no representan un riesgo para la seguridad. Puede usar otros EC2 controles, como EC2 .2, EC2 .13, EC2 .14, EC2 .18 y EC2 .19, para monitorear sus grupos de seguridad.
20 de septiembre de 2023	[EC2.29] EC2 las instancias deben lanzarse en una VPC	El CSPM de Security Hub retiró este control y lo eliminó de todos los estándares. Amazon EC2 ha EC2 migrado las instancias clásicas a una VPC. Este control se eliminará de la documentación en 90 días.
20 de septiembre de 2023	[S3.4] Los buckets de S3 deben tener habilitado el cifrado del servidor	El CSPM de Security Hub retiró este control y lo eliminó de todos los estándares. Amazon S3 ahora ofrece cifrado predeterminado con claves administradas de S3 (SS3-S3) en buckets S3 nuevos y existentes. La configuración de cifrado no ha cambiado para los buckets existentes que se cifran con el cifrado SS3 -S3 o SS3 -KMS del lado del servidor. Este control se eliminará de la documentación en 90 días.
14 de septiembre de 2023	[EC2.2] Los grupos de seguridad predeterminados de VPC no deben permitir el tráfico entrante o saliente	Se cambió el título de control de El grupo de seguridad predeterminado de VPC no debe permitir el tráfico entrante ni saliente a Los grupos de seguridad predeterminados de VPC no deben permitir el tráfico entrante ni saliente.
14 de septiembre de 2023	[IAM.9] La MFA debe estar habilitada para el usuario raíz	Se cambió el título de control de La MFA virtual debe estar habilitada para el usuario raíz a La MFA debe estar habilitada para el usuario raíz.
14 de septiembre de 2023	Las suscripciones de notificación de eventos de RDS [RDS.19] existentes deben configurarse para los eventos de clúster críticos	Se cambió el título de control de Se debe configurar una suscripción a las notificaciones de eventos de RDS para los eventos de clúster críticos a Las suscripciones de notificación de eventos de RDS existentes deben configurarse para los eventos de clúster críticos.
14 de septiembre de 2023	Las suscripciones de notificación de eventos de RDS [RDS.20] existentes deben configurarse para eventos críticos de instancias de bases de datos	Se cambió el título de control de Se debe configurar una suscripción a las notificaciones de eventos de RDS para los eventos críticos de instancias de bases de datos a Las suscripciones de notificación de eventos de RDS existentes deben configurarse para los eventos críticos de instancias de bases de datos.
14 de septiembre de 2023	[WAF.2] Las reglas regionales AWS WAF clásicas deben tener al menos una condición	Se cambió el título de control de Una regla regional de WAF debe tener al menos una condición a Las reglas regionales de AWS WAF Classic deben tener al menos una condición.
14 de septiembre de 2023	[WAF.3] Los grupos de reglas regionales AWS WAF clásicos deben tener al menos una regla	Se cambió el título de control de Un grupo de reglas regionales de WAF debe tener al menos una regla a Los grupos de reglas regionales de AWS WAF Classic deben tener al menos una regla.
14 de septiembre de 2023	[WAF.4] La web regional AWS WAF clásica ACLs debe tener al menos una regla o grupo de reglas	Se ha cambiado el título del control: Una ACL web regional de WAF debe tener al menos una regla o grupo de reglas a una web regional AWS WAF clásica, ACLs debe tener al menos una regla o grupo de reglas.
14 de septiembre de 2023	[WAF.6] Las reglas globales AWS WAF clásicas deben tener al menos una condición	Se cambió el título de control de Una regla global de WAF debe tener al menos una condición a Las reglas globales de AWS WAF Classic deben tener al menos una condición.
14 de septiembre de 2023	[WAF.7] Los grupos de reglas globales AWS WAF clásicos deben tener al menos una regla	Se cambió el título de control de Un grupo de reglas globales de WAF debe tener al menos una regla a Los grupos de reglas globales de AWS WAF Classic deben tener al menos una regla.
14 de septiembre de 2023	[WAF.8] La web global AWS WAF clásica ACLs debe tener al menos una regla o grupo de reglas	Se ha cambiado el título del control de una ACL web global de WAF que debe tener al menos una regla o grupo de reglas a una web global AWS WAF clásica que ACLs debe tener al menos una regla o grupo de reglas.
14 de septiembre de 2023	[WAF.10] AWS WAF web ACLs debe tener al menos una regla o grupo de reglas	El título de control cambiado de una ACL WAFv2 web debe tener al menos una regla o grupo de reglas a AWS WAFweb ACLs debe tener al menos una regla o grupo de reglas.
14 de septiembre de 2023	[WAF.11] El registro de ACL AWS WAF web debe estar habilitado	Se cambió el título de control de El registro de la ACL web de AWS WAFv2 debe estar activado a El registro de la ACL web de AWS WAF debe estar habilitado.
20 de julio de 2023	[S3.4] Los buckets de S3 deben tener habilitado el cifrado del servidor	S3.4 comprueba si el bucket de Amazon S3 tiene habilitado el cifrado del lado del servidor o que la política de bucket de S3 deniega explícitamente las solicitudes `PutObject` sin cifrado del lado del servidor. El CSPM de Security Hub actualizó este control para incluir el cifrado de doble capa del lado del servidor con claves de KMS (DSSE-KMS). El control genera un resultado aprobado cuando un bucket de S3 está cifrado con SSE-S3, SSE-KMS o DSSE-KMS.
17 de julio de 2023	[S3.17] Los depósitos de uso general de S3 deben cifrarse en reposo con AWS KMS keys	S3.17 comprueba si un bucket de Amazon S3 está cifrado con un AWS KMS key. El CSPM de Security Hub actualizó este control para incluir el cifrado de doble capa del lado del servidor con claves de KMS (DSSE-KMS). El control genera un resultado aprobado cuando un bucket de S3 está cifrado con SSE-KMS o DSSE-KMS.
9 de junio de 2023	[EKS.2] Los clústeres de EKS deberían ejecutarse en una versión de Kubernetes compatible	EKS.2 comprueba si un clúster de Amazon EKS se está ejecutando en una versión compatible de Kubernetes. La versión compatible más antigua es ahora `1.23`.
9 de junio de 2023	[Lambda.2] Las funciones de Lambda deben usar los tiempos de ejecución admitidos	Lambda.2 comprueba si la configuración de la AWS Lambda función para los tiempos de ejecución coincide con los valores esperados establecidos para los tiempos de ejecución admitidos en cada idioma. El CSPM de Security Hub ahora admite `ruby3.2` como parámetro.
5 de junio de 2023	[APIGateway.5] Los datos de la caché de la API REST de API Gateway deben cifrarse en reposo	APIGateway.5. Comprueba si todos los métodos de las etapas de la API REST de Amazon API Gateway están cifrados en reposo. El CSPM de Security Hub actualizó el control para evaluar el cifrado de un método específico únicamente cuando el almacenamiento en caché está habilitado para ese método.
18 de mayo de 2023	[Lambda.2] Las funciones de Lambda deben usar los tiempos de ejecución admitidos	Lambda.2 comprueba si la configuración de la AWS Lambda función para los tiempos de ejecución coincide con los valores esperados establecidos para los tiempos de ejecución admitidos en cada idioma. El CSPM de Security Hub ahora admite `java17` como parámetro.
18 de mayo de 2023	[Lambda.2] Las funciones de Lambda deben usar los tiempos de ejecución admitidos	Lambda.2 comprueba si la configuración de la AWS Lambda función para los tiempos de ejecución coincide con los valores esperados establecidos para los tiempos de ejecución admitidos en cada idioma. El CSPM de Security Hub dejó de admitir `nodejs12.x` como parámetro.
23 de abril de 2023	[ECS.10] Los servicios Fargate de ECS deberían ejecutarse en la última versión de la plataforma Fargate	ECS.10 comprueba si los servicios Fargate de Amazon ECS ejecutan la versión de la plataforma Fargate más reciente. Los clientes pueden implementar Amazon ECS a través de ECS directamente o mediante CodeDeploy. Security Hub CSPM actualizó este control para generar resultados aprobados cuando se utilizan CodeDeploy para implementar los servicios Fargate de ECS.
20 de abril de 2023	[S3.6] Las políticas de compartimentos de uso general de S3 deberían restringir el acceso a otros Cuentas de AWS	El S3.6 comprueba si una política de bucket de Amazon Simple Storage Service (Amazon S3) impide que los directores de Cuentas de AWS otras entidades realicen acciones denegadas en los recursos del bucket de S3. El CSPM de Security Hub actualizó el control para tener en cuenta los condicionales de una política de bucket.
18 de abril de 2023	[Lambda.2] Las funciones de Lambda deben usar los tiempos de ejecución admitidos	Lambda.2 comprueba si la configuración de la AWS Lambda función para los tiempos de ejecución coincide con los valores esperados establecidos para los tiempos de ejecución admitidos en cada idioma. El CSPM de Security Hub ahora admite `python3.10` como parámetro.
18 de abril de 2023	[Lambda.2] Las funciones de Lambda deben usar los tiempos de ejecución admitidos	Lambda.2 comprueba si la configuración de la AWS Lambda función para los tiempos de ejecución coincide con los valores esperados establecidos para los tiempos de ejecución admitidos en cada idioma. El CSPM de Security Hub dejó de admitir `dotnetcore3.1` como parámetro.
17 de abril de 2023	Las instancias RDS [RDS.11] deben tener habilitadas las copias de seguridad automáticas	RDS.11 comprueba si las instancias de Amazon RDS tienen habilitadas las copias de seguridad automáticas, con un periodo de retención de las copias de seguridad superior o igual a siete días. El CSPM de Security Hub actualizó este control para excluir las réplicas de lectura de la evaluación, ya que no todos los motores admiten copias de seguridad automatizadas en las réplicas de lectura. Además, RDS no ofrece la opción de especificar un periodo de retención de las copias de seguridad al crear réplicas de lectura. Las réplicas de lectura se crean con un periodo de retención predeterminado de la copia de seguridad de `0`.

Aviso JavaScript está desactivado o no está disponible en su navegador.

Para utilizar la documentación de AWS, debe estar habilitado JavaScript. Para obtener más información, consulte las páginas de ayuda de su navegador.

Convenciones del documento

Referencia de controles

Cuenta de AWScontroles