Registro de cambios de los controles del CSPM de Security Hub

Este control comprueba si un clúster de Amazon EKS se ejecuta en una versión de Kubernetes compatible. El CSPM de Security Hub modificó el valor del parámetro de este control de 1.33 a 1.34. El soporte estándar para la versión 1.33 de Kubernetes en Amazon EKS finalizó el 29 de julio de 2026.

Este control comprueba si un grupo de nodos de Amazon EKS se ejecuta en una versión de Kubernetes compatible. El CSPM de Security Hub modificó el valor del parámetro de este control de 1.33 a 1.34. El soporte estándar para la versión 1.33 de Kubernetes en Amazon EKS finalizó el 29 de julio de 2026.

Lambda.2 comprueba si la configuración de las AWS Lambda funciones para los tiempos de ejecución coincide con los valores esperados establecidos para los tiempos de ejecución compatibles en cada idioma. Security Hub CSPM ahora admite java17.al2023, java11.al2023, java8.al2023 como valor de parámetro, y se AWS Lambda ha añadido compatibilidad con este tiempo de ejecución.

Security Hub CSPM ha eliminado este control del estándar AWS Fundational Security Best Practices (FSBP).

El CSPM de Security Hub modificó el valor del parámetro de este control de notebook-al2-v3 a notebook-al2023-v1. SageMaker La IA migró las plataformas de instancias de notebooks de Amazon Linux 2 a AL2023.

Security Hub CSPM cambió la regla de respaldo de este control, que pasó de estar habilitada para service-vpc-endpoint-enabled a vpc-endpoint-enabled. La regla actualizada reconoce que los nombres de los servicios de FIPS-variant punto final cumplen con los requisitos y genera una búsqueda para las VPC que utilizan puntos de enlace FIPS. PASSED

Security Hub CSPM ha agregado este control a los siguientes estándares aplicables: el estándar NIST SP 800-53 Rev. 5, el estándar NIST SP 800-171 Revisión 2 y el estándar PCI DSS v4.0.1. https://docs.aws.amazon.com/securityhub/latest/userguide/pci-standard.html El 30 de julio de 2026, este control se eliminará del estándar Fundational Security Best Practices (FSBP). AWS

Security Hub CSPM notificó que este control se retirará y eliminará de todos los estándares CSPM de Security Hub aplicables a partir del 10 de agosto de 2026. A partir de la versión 1.28 de Kubernetes, los clústeres de Amazon EKS protegen los secretos de Kubernetes con cifrado de sobres de forma predeterminada.

Security Hub CSPM notificó que este control se retirará y eliminará de todos los estándares CSPM de Security Hub aplicables a partir del 7 de julio de 2026. AWS anunció el fin del soporte para el servicio AWS IoT Events a partir del 20 de mayo de 2026.

Security Hub CSPM notificó que este control se retirará y eliminará de todos los estándares CSPM de Security Hub aplicables a partir del 7 de julio de 2026. AWS anunció el fin del soporte para el servicio AWS IoT Events a partir del 20 de mayo de 2026.

Security Hub CSPM notificó que este control se retirará y eliminará de todos los estándares CSPM de Security Hub aplicables a partir del 7 de julio de 2026. AWS anunció el fin del soporte para el servicio AWS IoT Events a partir del 20 de mayo de 2026.

[ECS.1] Las definiciones de tareas de Amazon ECS deben tener modos de red y definiciones de usuario seguros

Security Hub CSPM retiró este control y lo eliminó de todos los estándares aplicables. Anteriormente, el control comprobaba si una definición de tarea de Amazon ECS activa que utilizaba el modo de red de host también tenía privileged definiciones de user contenedor.

[RDS.18] Las instancias de RDS deben implementarse en una VPC

Security Hub CSPM retiró este control y lo eliminó de todos los estándares aplicables. Desde que se retiró la EC2-Classic red de Amazon, las instancias de Amazon Relational Database Service (Amazon RDS) ya no se pueden implementar fuera de una VPC. Anteriormente, el control comprobaba si una instancia de Amazon RDS estaba implementada en una. EC2-VPC

Lambda.2 comprueba si la configuración de las AWS Lambda funciones para los tiempos de ejecución coincide con los valores esperados establecidos para los tiempos de ejecución compatibles en cada idioma. El CSPM de Security Hub ahora admite ruby4.0 como parámetro y ya no lo incluye, ya que AWS Lambda ha dejado de estar disponible este tiempo de nodejs20.x ejecución.

Para simplificar la lógica de evaluación, Security Hub CSPM cambió la regla de respaldo de este control, que pasó de ser ec2-stopped-instance-days-check a una regla CSPM personalizada de Security Hub, denominada ec2-stopped-instance-days-check.

El CSPM de Security Hub modificó el título y la descripción de este control. El nuevo título y la descripción reflejan con mayor precisión que el control comprueba si las instantáneas de Amazon EBS están configuradas para poder restaurarse públicamente. Anteriormente, el título de este control era: Las instantáneas de Amazon EBS no deberían poder restaurarse públicamente.

El CSPM de Security Hub modificó el título y la descripción de este control. El nuevo título y la descripción reflejan con mayor precisión que el control comprueba si el acceso público mediante bloqueos a nivel de cuenta está habilitado para las instantáneas de Amazon EBS. Anteriormente, el título de este control era: Las instantáneas de Amazon EBS no deberían ser de acceso público.

Security Hub CSPM actualizó el valor del parámetro de este control para reflejar las políticas de seguridad recomendadas.

Security Hub CSPM amplió el rango de valores admitidos para el temporaryPasswordValidity parámetro de este control. Ahora puede especificar un valor que oscile entre 1 y 365 días. Anteriormente, el intervalo era de 7 a 365 días.

Este control comprueba si un clúster de Amazon EKS se ejecuta en una versión de Kubernetes compatible. El CSPM de Security Hub modificó el valor del parámetro de este control de 1.32 a 1.33. El soporte estándar para la versión 1.32 de Kubernetes en Amazon EKS finalizó el 23 de marzo de 2026.

Security Hub CSPM actualizó el título del control para reflejar que el control comprueba todos los clústeres de bases de datos de RDS.

Security Hub CSPM actualizó el título y la descripción del control para reflejar que el control comprueba las definiciones de las tareas de ECS. El CSPM de Security Hub también actualizó el control para que no generara resultados para las definiciones de tareas runtimePlatform configuradas para especificar una familia de sistemas operativos. WINDOWS_SERVER

[AppSync.1] Las cachés de las AWS AppSync API deben cifrarse en reposo

Security Hub CSPM retiró este control y lo eliminó del estándar AWS Fundational Security Best Practices (FSBP). AWS AppSync ahora proporciona el cifrado predeterminado en todas las cachés de API actuales y futuras.

[AppSync.6] Las cachés de las AWS AppSync API deben cifrarse durante el tránsito

Security Hub CSPM retiró este control y lo eliminó del estándar AWS Fundational Security Best Practices (FSBP). AWS AppSync ahora proporciona el cifrado predeterminado en todas las cachés de API actuales y futuras.

[ECS.1] Las definiciones de tareas de Amazon ECS deben tener modos de red y definiciones de usuario seguros

Security Hub CSPM retiró este control y lo retiró del estándar AWS Foundational Security Best Practices (FSBP) y del estándar NIST SP 800-53 Rev. 5.

Security Hub CSPM retirará este control y lo eliminará de todos los estándares CSPM de Security Hub aplicables el 9 de marzo de 2026. AWS AppSync proporciona el cifrado predeterminado en todas las cachés de API actuales y futuras.

Security Hub CSPM retirará este control y lo eliminará de todos los estándares CSPM de Security Hub aplicables el 9 de marzo de 2026. AWS AppSync proporciona el cifrado predeterminado en todas las cachés de API actuales y futuras.

[ECS.1] Las definiciones de tareas de Amazon ECS deben tener modos de red y definiciones de usuario seguros

Security Hub CSPM notificó que este control se retirará y se eliminará de todos los estándares de CSPM de Security Hub aplicables a partir del 16 de febrero de 2026.

Security Hub CSPM actualizó este control para eliminar el loggingEnabled parámetro.

[MQ.3] Los agentes de Amazon MQ deben tener habilitada la actualización automática de versiones secundarias

Security Hub CSPM retiró el control y lo eliminó de todos los estándares aplicables. Security Hub CSPM retiró el control debido a los requisitos de Amazon MQ para actualizar automáticamente las versiones secundarias.

Anteriormente, el control se aplicaba al estándar AWS Foundational Security Best Practices (FSBP), al estándar NIST SP 800-53 Rev. 5 y al estándar PCI DSS v4.0.1. https://docs.aws.amazon.com/securityhub/latest/userguide/pci-standard.html

Este control comprueba si la configuración de tiempo de ejecución de una AWS Lambda función coincide con los valores esperados para los tiempos de ejecución compatibles en cada idioma. El CSPM de Security Hub ahora admite este control dotnet10 como valor de parámetro. AWS Lambda se agregó soporte para este tiempo de ejecución.

Este control comprueba si la configuración de tiempo de ejecución de una AWS Lambda función coincide con los valores esperados para los tiempos de ejecución admitidos en cada idioma. Security Hub CSPM ya no admite este control python3.9 como valor de parámetro. AWS Lambda ya no admite este tiempo de ejecución.

Este control comprueba si un clúster de Amazon EKS se ejecuta en una versión de Kubernetes compatible. El CSPM de Security Hub modificó el valor del parámetro de este control de 1.31 a 1.32. El soporte estándar para la versión 1.31 de Kubernetes en Amazon EKS finalizó el 26 de noviembre de 2025.

Este control comprueba si la configuración de tiempo de ejecución de una AWS Lambda función coincide con los valores esperados para los tiempos de ejecución admitidos en cada idioma. El CSPM de Security Hub ahora admite nodejs24.x y python3.14 como valores de parámetros para este control. AWS Lambda se agregó soporte para estos tiempos de ejecución.

Security Hub CSPM actualizó la descripción y la justificación de este control. Anteriormente, el control solo comprobaba la asignación automática de IP públicas de IPv4 en las subredes de Amazon VPC mediante la marca. MapPublicIpOnLaunch Este control ahora comprueba la asignación automática de IP públicas de IPv4 e IPv6. La descripción y la justificación del control se han actualizado para reflejar estos cambios.

Este control comprueba si la configuración de tiempo de ejecución de una AWS Lambda función coincide con los valores esperados para los tiempos de ejecución admitidos en cada idioma. El CSPM de Security Hub ahora admite java25 como valor de parámetro para este control. AWS Lambda agregó compatibilidad para este tiempo de ejecución.

Security Hub CSPM cambió la gravedad de este control de aHIGH. CRITICAL Permitir el acceso público a los temas de Amazon SNS representa un riesgo de seguridad importante.

Security Hub CSPM cambió la gravedad de este control de aHIGH. CRITICAL Permitir el acceso público a las colas de Amazon SQS representa un riesgo de seguridad importante.

Security Hub CSPM cambió la gravedad de este control de aMEDIUM. HIGH Este tipo de supervisión del tiempo de ejecución proporciona una detección de amenazas mejorada para los recursos de Amazon EKS.

[MQ.3] Los agentes de Amazon MQ deben tener habilitada la actualización automática de versiones secundarias

Security Hub CSPM cambió la severidad de este control de a. LOW MEDIUM Las actualizaciones menores de la versión incluyen los parches de seguridad necesarios para mantener la seguridad de los agentes de Amazon MQ.

Security Hub CSPM cambió la gravedad de este control de aLOW. MEDIUM Las actualizaciones de software incluyen parches de seguridad que son necesarios para mantener la seguridad del OpenSearch dominio.

Security Hub CSPM cambió la gravedad de este control de aLOW. MEDIUM La protección contra la eliminación ayuda a evitar la eliminación accidental de las bases de datos de Amazon RDS y la eliminación de bases de datos de RDS por parte de entidades no autorizadas.

Security Hub CSPM cambió la gravedad de este control de aLOW. MEDIUM AWS CloudTrail Los datos de registro de Amazon CloudWatch Logs se pueden usar para actividades de auditoría, alarmas y otras operaciones de seguridad importantes.

Security Hub CSPM cambió la gravedad de este control de aHIGH. MEDIUM Compartir AWS Service Catalog carteras con cuentas específicas puede ser intencional y no necesariamente indica que una cartera sea de acceso público.

Security Hub CSPM cambió la gravedad de este control de aMEDIUM. LOW Los nombres cloudfront.net de dominio predeterminados para CloudFront las distribuciones de Amazon se generan de forma aleatoria, lo que reduce el riesgo de seguridad.

Security Hub CSPM cambió la gravedad de este control de aMEDIUM. LOW En las implementaciones de varias instancias, otras instancias en buen estado pueden gestionar las sesiones de usuario cuando una instancia finaliza sin agotar la conexión, lo que reduce el impacto operativo y los riesgos de disponibilidad.

Security Hub CSPM actualizó este control para eliminar el parámetro opcionalvalidAdminUserNames.

El CSPM de Security Hub revirtió los cambios realizados al título, la descripción y la regla de este control el 14 de octubre de 2025.

Security Hub CSPM actualizó este control para que no generara resultados para CloudFront las distribuciones de Amazon que utilizan orígenes personalizados.

Este control comprueba si una CloudFront distribución de Amazon está configurada para usar una política de seguridad TLS recomendada. El CSPM de Security Hub ahora admite TLSv1.2_2025 y TLSv1.3_2025 como valores de parámetros para este control.

El CSPM de Security Hub modificó el título, la descripción y la regla de este control. Anteriormente, este control comprobaba los clústeres de Redis OSS y todos los grupos de replicación, con la regla elasticache-redis-cluster-automatic-backup-check. El título del control era: ElastiCache (Redis OSS) los clústeres deben tener habilitadas las copias de seguridad automáticas.

Este control ahora comprueba también los clústeres Valkey, además de los clústeres Redis OSS y todos los grupos de replicación, con la regla elasticache-automatic-backup-check-enabled. El nuevo título y la nueva descripción reflejan que el control evalúa ambos tipos de clústeres.

La regla de este control se actualizó para detectar también si un PASSED dominio de Amazon OpenSearch Service no tiene actualizaciones de software disponibles y el estado de la actualización no es apto. Anteriormente, este control solo generaba un PASSED resultado si un OpenSearch dominio no tenía actualizaciones de software disponibles y el estado de la actualización estaba completo.

[Redshift.9] Los clústeres de Redshift no deben usar el nombre de base de datos predeterminado

[RedshiftServerless.7] Los espacios de nombres sin servidor de Redshift no deben usar el nombre de base de datos predeterminado

El CSPM de Security Hub retiró estos controles y los eliminó de todos los estándares aplicables. El CSPM de Security Hub retiró estos controles debido a limitaciones inherentes de Amazon Redshift que impedían una remediación efectiva de los resultados FAILED generados por estos controles.

Anteriormente, los controles se aplicaban al estándar Prácticas recomendadas de seguridad básica de AWS (FSBP), así como al estándar NIST SP 800-53 Rev. 5. El Redshift.9 control también se aplicó al estándar de administración de servicios. AWS Control Tower

Este control comprueba si la configuración de tiempo de ejecución de una AWS Lambda función coincide con los valores esperados para los tiempos de ejecución admitidos en cada idioma. Security Hub CSPM ya no admite este control nodejs18.x como valor de parámetro. AWS Lambda ya no admite Node.js 18 tiempos de ejecución.

El CSPM de Security Hub modificó el título y la descripción de este control. El nuevo título y la descripción reflejan con mayor precisión que el control comprueba la configuración del EnableNetworkIsolation parámetro de los modelos alojados en Amazon SageMaker AI. Anteriormente, el título de este control era: SageMaker models should block inbound traffic.

El CSPM de Security Hub modificó el título y la descripción de este control. El nuevo título y la nueva descripción describen con mayor exactitud el alcance y la naturaleza de la comprobación que realiza este control. Anteriormente, el título de este control era: EFS mount targets should not be associated with a public subnet.

Este control comprueba si un clúster de Amazon EKS se ejecuta en una versión de Kubernetes compatible. El CSPM de Security Hub modificó el valor del parámetro de este control de 1.30 a 1.31. La compatibilidad estándar con la versión 1.30 de Kubernetes en Amazon EKS finalizó el 23 de julio de 2025.

El CSPM de Security Hub modificó el título de este control. El nuevo título refleja con mayor precisión que el control solo comprueba las solicitudes de la flota de spot de Amazon EC2 que especifican parámetros de lanzamiento. Anteriormente, el título de este control era: EC2 Spot Fleet requests should enable encryption for attached EBS volumes.

El CSPM de Security Hub eliminó este control del estándar PCI DSS v4.0.1. PCI DSS v4.0.1 no exige explícitamente el uso de símbolos en las contraseñas.

El CSPM de Security Hub eliminó este control del estándar NIST SP 800-171 Revisión 2. NIST SP 800-171 Revisión 2 no exige explícitamente periodos de expiración de contraseñas de 90 días o menos.

El CSPM de Security Hub modificó el título de este control. El nuevo título refleja con mayor precisión que el control solo comprueba los clústeres de bases de datos Amazon Aurora. Anteriormente, el título de este control era: RDS DB clusters should be configured to copy tags to snapshots.

Este control comprueba si una instancia de bloc de notas de Amazon SageMaker AI está configurada para ejecutarse en una plataforma compatible, en función del identificador de plataforma especificado para la instancia de bloc de notas. El CSPM de Security Hub dejó de admitir notebook-al2-v1 y notebook-al2-v2 como valores de parámetro para este control. Las instancias de bloc de notas que se ejecutan en estas plataformas llegaron al fin de su periodo de soporte el 30 de junio de 2025.

El CSPM de Security Hub eliminó este control del estándar PCI DSS v4.0.1. Este control verifica si las políticas de contraseñas de las cuentas de usuario de IAM cumplen los requisitos mínimos, incluida una longitud mínima de 7 caracteres. La versión 4.0.1 de PCI DSS ahora requiere que las contraseñas tengan un mínimo de 8 caracteres. Este control aún se aplica al estándar PCI DSS v3.2.1, el cual tiene requisitos distintos para contraseñas.

Para evaluar las políticas de contraseñas de las cuentas en función de los requisitos de la versión 4.0.1 de PCI DSS, puede usar el control. IAM.7 Este control exige que las contraseñas tengan un mínimo de 8 caracteres. También admite valores personalizados para la longitud de las contraseñas y otros parámetros. El IAM.7 control forma parte del estándar PCI DSS v4.0.1 de Security Hub CSPM.

Este control comprueba si el oyente HTTPS de un equilibrador de carga de aplicación o el oyente TLS de un equilibrador de carga de red están configurados para cifrar los datos en tránsito mediante una política de seguridad recomendada. El CSPM de Security Hub ahora admite dos valores de parámetro adicionales para este control: ELBSecurityPolicy-TLS13-1-2-Res-2021-06 y ELBSecurityPolicy-TLS13-1-2-Res-FIPS-2023-04.

Este control comprueba si la configuración del tiempo de ejecución para una función de AWS Lambda coincide con los valores esperados para los tiempos de ejecución compatibles en cada lenguaje. El CSPM de Security Hub ahora admite este control ruby3.4 como valor de parámetro. AWS Lambda se agregó soporte para este tiempo de ejecución.

Este control comprueba si un clúster de Amazon Elastic Kubernetes Service (Amazon EKS) se ejecuta en una versión de Kubernetes compatible. Para el parámetro oldestVersionSupported, el CSPM de Security Hub cambió el valor de 1.29 a 1.30. 1.30 es ahora la versión más antigua de Kubernetes que aún es compatible.

Este control comprueba si la configuración del tiempo de ejecución para una función de AWS Lambda coincide con los valores esperados para los tiempos de ejecución compatibles en cada lenguaje. Security Hub CSPM ya no admite dotnet6 y python3.8 como valores de parámetros para este control. AWS Lambda ya no admite estos tiempos de ejecución.

[RDS.18] Las instancias de RDS deben implementarse en una VPC

Config.1 comprueba si AWS Config está habilitada, usa la función vinculada al servicio y registra los recursos de los controles habilitados. El CSPM de Security Hub aumentó la gravedad de este control de MEDIUM a CRITICAL. El CSPM de Security Hub también agregó nuevos códigos de estado y motivos de estado para los hallazgos fallidos. Config.1 Estos cambios reflejan la importancia de los controles CSPM de Security Hub Config.1 para el funcionamiento. Si tiene AWS Config deshabilitada la grabación de recursos, puede recibir resultados de control inexactos.

Para recibir una PASSED búsqueda Config.1, active el registro de recursos para los recursos que corresponden a los controles CSPM de Security Hub habilitados y deshabilite los controles que no sean obligatorios en su organización. Para obtener instrucciones sobre la configuración del AWS Config CSPM de Security Hub, consulte. Activación y configuración AWS Config para Security Hub CSPM Para ver la lista de los controles del CSPM de Security Hub y sus recursos correspondientes, consulte ObligatorioAWS Configrecursos para hallazgos de control.

14 de septiembre de 2023

20 de julio de 2023