Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

CIS AWS Point de référence des fondations en matière de sécurité CSPM

Le benchmark des AWS fondations du Center for Internet Security (CIS) constitue un ensemble de meilleures pratiques de configuration de sécurité pour AWS. Ces meilleures pratiques reconnues par l'industrie vous fournissent des procédures de mise en œuvre et d'évaluation claires, étape par étape. Qu'il s'agisse de systèmes d'exploitation, de services cloud ou de périphériques réseau, les contrôles présentés dans ce benchmark vous aident à protéger les systèmes spécifiques utilisés par votre organisation.

AWS Security Hub CSPM prend en charge les versions 5.0.0, 3.0.0, 1.4.0 et 1.2.0 de CIS AWS Foundations Benchmark. Cette page répertorie les contrôles de sécurité pris en charge par chaque version. Il fournit également une comparaison des versions.

CIS AWS Foundations Benchmark version 5.0.0

Security Hub CSPM prend en charge la version 5.0.0 (v5.0.0) du benchmark CIS Foundations. AWS Security Hub CSPM a satisfait aux exigences de la certification des logiciels de sécurité CIS et a obtenu la certification des logiciels de sécurité CIS pour les benchmarks CIS suivants :

Contrôles qui s'appliquent au CIS AWS Foundations Benchmark version 5.0.0

[Account.1] Les coordonnées de sécurité doivent être fournies pourCompte AWS

[CloudTrail.1] CloudTrail doit être activé et configuré avec au moins un journal multirégional incluant des événements de gestion de lecture et d'écriture

[CloudTrail.2] CloudTrail doit avoir le chiffrement au repos activé

[CloudTrail.4] la validation du fichier CloudTrail journal doit être activée

[CloudTrail.7] Assurez-vous que la journalisation des accès au compartiment S3 est activée sur le compartiment CloudTrail S3

[Config.1] AWS Config doit être activé et utiliser le rôle lié au service pour l'enregistrement des ressources

[EC2.2] Les groupes de sécurité VPC par défaut ne doivent pas autoriser le trafic entrant ou sortant

[EC2.6] La journalisation des flux VPC doit être activée dans tous les VPC

[EC2.7] Le chiffrement par défaut d'EBS doit être activé

[EC2.8] Les instances EC2 doivent utiliser le service de métadonnées d'instance version 2 (IMDSv2)

[EC2.21] Les ACL réseau ne doivent pas autoriser l'entrée à partir de la version 0.0.0. 0/0 vers le port 22 ou le port 3389

[EC2.53] Les groupes de sécurité EC2 ne doivent pas autoriser l'entrée depuis la version 0.0.0. 0/0 vers les ports d'administration de serveurs distants

[EC2.54] Les groupes de sécurité EC2 ne doivent pas autoriser l'entrée depuis : :/0 vers les ports d'administration des serveurs distants

[EFS.1] Elastic File System doit être configuré pour crypter les données des fichiers au repos à l'aide de AWS KMS

[EFS.8] Les systèmes de fichiers EFS doivent être chiffrés au repos

[IAM.2] Les utilisateurs IAM ne doivent pas être associés à des politiques IAM

[IAM.3] Les clés d'accès des utilisateurs IAM doivent être renouvelées tous les 90 jours ou moins

[IAM.4] La clé d'accès de l'utilisateur root IAM ne doit pas exister

[IAM.5] La MFA doit être activée pour tous les utilisateurs IAM disposant d'un mot de passe de console

[IAM.6] Le MFA matériel doit être activé pour l'utilisateur root

[IAM.9] La MFA doit être activée pour l'utilisateur root

[IAM.15] Assurez-vous que la politique de mot de passe IAM exige une longueur de mot de passe minimale de 14 ou plus

[IAM.16] Assurez-vous que la politique de mot de passe IAM empêche la réutilisation des mots de passe

[IAM.18] Assurez-vous qu'un rôle de support a été créé pour gérer les incidents avecAWS Support

[IAM.22] Les informations d'identification utilisateur IAM non utilisées pendant 45 jours doivent être supprimées

[IAM.26] SSL/TLS Les certificats expirés gérés dans IAM doivent être supprimés

[IAM.27] La AWSCloudShellFullAccess politique ne doit pas être attachée aux identités IAM

[IAM.28] L'analyseur d'accès externe IAM Access Analyzer doit être activé

[KMS.4]AWS KMSla rotation des touches doit être activée

[RDS.2] Les instances de base de données RDS doivent interdire l'accès public, comme le détermine la PubliclyAccessible configuration

[RDS.3] Les instances de base de données RDS doivent avoir le chiffrement au repos activé

[RDS.5] Les instances de base de données RDS doivent être configurées avec plusieurs zones de disponibilité

[RDS.13] Les mises à niveau automatiques des versions mineures de RDS doivent être activées

[RDS.15] Les clusters de bases de données RDS doivent être configurés pour plusieurs zones de disponibilité

[S3.1] Les paramètres de blocage de l'accès public aux compartiments S3 à usage général doivent être activés

[S3.5] Les compartiments à usage général S3 devraient nécessiter des demandes d'utilisation du protocole SSL

[S3.8] Les compartiments à usage général S3 devraient bloquer l'accès public

[S3.20] La suppression MFA doit être activée dans les compartiments S3 à usage général

[S3.22] Les compartiments à usage général S3 doivent enregistrer les événements d'écriture au niveau de l'objet

[S3.23] Les compartiments à usage général S3 doivent enregistrer les événements de lecture au niveau de l'objet

CIS AWS Foundations Benchmark version 3.0.0

Security Hub CSPM prend en charge la version 3.0.0 (v3.0.0) du benchmark CIS Foundations. AWS Security Hub CSPM a satisfait aux exigences de la certification des logiciels de sécurité CIS et a obtenu la certification des logiciels de sécurité CIS pour les benchmarks CIS suivants :

Contrôles qui s'appliquent au CIS AWS Foundations Benchmark version 3.0.0

[Account.1] Les coordonnées de sécurité doivent être fournies pourCompte AWS

[CloudTrail.1] CloudTrail doit être activé et configuré avec au moins un journal multirégional incluant des événements de gestion de lecture et d'écriture

[CloudTrail.2] CloudTrail doit avoir le chiffrement au repos activé

[CloudTrail.4] la validation du fichier CloudTrail journal doit être activée

[CloudTrail.7] Assurez-vous que la journalisation des accès au compartiment S3 est activée sur le compartiment CloudTrail S3

[Config.1] AWS Config doit être activé et utiliser le rôle lié au service pour l'enregistrement des ressources

[EC2.2] Les groupes de sécurité VPC par défaut ne doivent pas autoriser le trafic entrant ou sortant

[EC2.6] La journalisation des flux VPC doit être activée dans tous les VPC

[EC2.7] Le chiffrement par défaut d'EBS doit être activé

[EC2.8] Les instances EC2 doivent utiliser le service de métadonnées d'instance version 2 (IMDSv2)

[EC2.21] Les ACL réseau ne doivent pas autoriser l'entrée à partir de la version 0.0.0. 0/0 vers le port 22 ou le port 3389

[EC2.53] Les groupes de sécurité EC2 ne doivent pas autoriser l'entrée depuis la version 0.0.0. 0/0 vers les ports d'administration de serveurs distants

[EC2.54] Les groupes de sécurité EC2 ne doivent pas autoriser l'entrée depuis : :/0 vers les ports d'administration des serveurs distants

[EFS.1] Elastic File System doit être configuré pour crypter les données des fichiers au repos à l'aide de AWS KMS

[IAM.2] Les utilisateurs IAM ne doivent pas être associés à des politiques IAM

[IAM.3] Les clés d'accès des utilisateurs IAM doivent être renouvelées tous les 90 jours ou moins

[IAM.4] La clé d'accès de l'utilisateur root IAM ne doit pas exister

[IAM.5] La MFA doit être activée pour tous les utilisateurs IAM disposant d'un mot de passe de console

[IAM.6] Le MFA matériel doit être activé pour l'utilisateur root

[IAM.9] La MFA doit être activée pour l'utilisateur root

[IAM.15] Assurez-vous que la politique de mot de passe IAM exige une longueur de mot de passe minimale de 14 ou plus

[IAM.16] Assurez-vous que la politique de mot de passe IAM empêche la réutilisation des mots de passe

[IAM.18] Assurez-vous qu'un rôle de support a été créé pour gérer les incidents avecAWS Support

[IAM.22] Les informations d'identification utilisateur IAM non utilisées pendant 45 jours doivent être supprimées

[IAM.26] SSL/TLS Les certificats expirés gérés dans IAM doivent être supprimés

[IAM.27] La AWSCloudShellFullAccess politique ne doit pas être attachée aux identités IAM

[IAM.28] L'analyseur d'accès externe IAM Access Analyzer doit être activé

[KMS.4]AWS KMSla rotation des touches doit être activée

[RDS.2] Les instances de base de données RDS doivent interdire l'accès public, comme le détermine la PubliclyAccessible configuration

[RDS.3] Les instances de base de données RDS doivent avoir le chiffrement au repos activé

[RDS.13] Les mises à niveau automatiques des versions mineures de RDS doivent être activées

[S3.1] Les paramètres de blocage de l'accès public aux compartiments S3 à usage général doivent être activés

[S3.5] Les compartiments à usage général S3 devraient nécessiter des demandes d'utilisation du protocole SSL

[S3.8] Les compartiments à usage général S3 devraient bloquer l'accès public

[S3.20] La suppression MFA doit être activée dans les compartiments S3 à usage général

[S3.22] Les compartiments à usage général S3 doivent enregistrer les événements d'écriture au niveau de l'objet

[S3.23] Les compartiments à usage général S3 doivent enregistrer les événements de lecture au niveau de l'objet

CIS AWS Foundations Benchmark version 1.4.0

Security Hub CSPM prend en charge la version 1.4.0 (v1.4.0) du benchmark CIS Foundations. AWS

Contrôles qui s'appliquent au CIS AWS Foundations Benchmark version 1.4.0

[CloudTrail.1] CloudTrail doit être activé et configuré avec au moins un journal multirégional incluant des événements de gestion de lecture et d'écriture

[CloudTrail.2] CloudTrail doit avoir le chiffrement au repos activé

[CloudTrail.4] la validation du fichier CloudTrail journal doit être activée

[CloudTrail.5] les CloudTrail sentiers doivent être intégrés à Amazon CloudWatch Logs

[CloudTrail.6] Assurez-vous que le compartiment S3 utilisé pour stocker les CloudTrail journaux n'est pas accessible au public

[CloudTrail.7] Assurez-vous que la journalisation des accès au compartiment S3 est activée sur le compartiment CloudTrail S3

[CloudWatch.1] Un filtre de mesure du journal et une alarme devraient exister pour l'utilisation de l'utilisateur « root »

[CloudWatch.4] Assurez-vous qu'un filtre de mesure du journal et une alarme existent pour les modifications de la politique IAM

[CloudWatch.5] Assurez-vous qu'un filtre de mesure du journal et une alarme existent pour les modifications CloudTrail de configuration

[CloudWatch.6] Assurez-vous qu'un filtre de mesure du journal et une alarme existent pour Console de gestion AWS échecs d'authentification

[CloudWatch.7] Assurez-vous qu'un filtre de mesure du journal et une alarme existent pour la désactivation ou la suppression planifiée des clés gérées par le client

[CloudWatch.8] Assurez-vous qu'un filtre de mesure du journal et une alarme existent pour les modifications de la politique du compartiment S3

[CloudWatch.9] Assurez-vous qu'un filtre de mesure du journal et une alarme existent pour AWS Config modifications de configuration

[CloudWatch.10] Assurez-vous qu'un filtre de mesure du journal et une alarme existent pour les modifications apportées au groupe de sécurité

[CloudWatch.11] Assurez-vous qu'un filtre métrique de journal et une alarme existent pour les modifications apportées aux listes de contrôle d'accès réseau (NACL)

[CloudWatch.12] Assurez-vous qu'un filtre de mesure du journal et une alarme existent pour les modifications apportées aux passerelles réseau

[CloudWatch.13] Assurez-vous qu'un filtre de mesure du journal et une alarme existent pour les modifications de la table de routage

[CloudWatch.14] Assurez-vous qu'un filtre de mesure du journal et une alarme existent pour les modifications apportées au VPC

[Config.1] AWS Config doit être activé et utiliser le rôle lié au service pour l'enregistrement des ressources

[EC2.2] Les groupes de sécurité VPC par défaut ne doivent pas autoriser le trafic entrant ou sortant

[EC2.6] La journalisation des flux VPC doit être activée dans tous les VPC

[EC2.7] Le chiffrement par défaut d'EBS doit être activé

[EC2.21] Les ACL réseau ne doivent pas autoriser l'entrée à partir de la version 0.0.0. 0/0 vers le port 22 ou le port 3389

[IAM.1] Les politiques IAM ne doivent pas autoriser des privilèges administratifs « * » complets

[IAM.3] Les clés d'accès des utilisateurs IAM doivent être renouvelées tous les 90 jours ou moins

[IAM.4] La clé d'accès de l'utilisateur root IAM ne doit pas exister

[IAM.5] La MFA doit être activée pour tous les utilisateurs IAM disposant d'un mot de passe de console

[IAM.6] Le MFA matériel doit être activé pour l'utilisateur root

[IAM.9] La MFA doit être activée pour l'utilisateur root

[IAM.15] Assurez-vous que la politique de mot de passe IAM exige une longueur de mot de passe minimale de 14 ou plus

[IAM.16] Assurez-vous que la politique de mot de passe IAM empêche la réutilisation des mots de passe

[IAM.18] Assurez-vous qu'un rôle de support a été créé pour gérer les incidents avecAWS Support

[IAM.22] Les informations d'identification utilisateur IAM non utilisées pendant 45 jours doivent être supprimées

[KMS.4]AWS KMSla rotation des touches doit être activée

[RDS.3] Les instances de base de données RDS doivent avoir le chiffrement au repos activé

[S3.1] Les paramètres de blocage de l'accès public aux compartiments S3 à usage général doivent être activés

[S3.5] Les compartiments à usage général S3 devraient nécessiter des demandes d'utilisation du protocole SSL

[S3.8] Les compartiments à usage général S3 devraient bloquer l'accès public

[S3.20] La suppression MFA doit être activée dans les compartiments S3 à usage général

CIS AWS Foundations Benchmark version 1.2.0

Security Hub CSPM prend en charge la version 1.2.0 (v1.2.0) du benchmark CIS Foundations. AWS Security Hub CSPM a satisfait aux exigences de la certification des logiciels de sécurité CIS et a obtenu la certification des logiciels de sécurité CIS pour les benchmarks CIS suivants :

Contrôles qui s'appliquent au CIS AWS Foundations Benchmark version 1.2.0

[CloudTrail.1] CloudTrail doit être activé et configuré avec au moins un journal multirégional incluant des événements de gestion de lecture et d'écriture

[CloudTrail.2] CloudTrail doit avoir le chiffrement au repos activé

[CloudTrail.4] la validation du fichier CloudTrail journal doit être activée

[CloudTrail.5] les CloudTrail sentiers doivent être intégrés à Amazon CloudWatch Logs

[CloudTrail.6] Assurez-vous que le compartiment S3 utilisé pour stocker les CloudTrail journaux n'est pas accessible au public

[CloudTrail.7] Assurez-vous que la journalisation des accès au compartiment S3 est activée sur le compartiment CloudTrail S3

[CloudWatch.1] Un filtre de mesure du journal et une alarme devraient exister pour l'utilisation de l'utilisateur « root »

[CloudWatch.2] Assurez-vous qu'un filtre de mesure du journal et une alarme existent pour les appels d'API non autorisés

[CloudWatch.3] Assurez-vous qu'un filtre de mesure du journal et une alarme existent pour la connexion à la console de gestion sans MFA

[CloudWatch.4] Assurez-vous qu'un filtre de mesure du journal et une alarme existent pour les modifications de la politique IAM

[CloudWatch.5] Assurez-vous qu'un filtre de mesure du journal et une alarme existent pour les modifications CloudTrail de configuration

[CloudWatch.6] Assurez-vous qu'un filtre de mesure du journal et une alarme existent pour Console de gestion AWS échecs d'authentification

[CloudWatch.7] Assurez-vous qu'un filtre de mesure du journal et une alarme existent pour la désactivation ou la suppression planifiée des clés gérées par le client

[CloudWatch.8] Assurez-vous qu'un filtre de mesure du journal et une alarme existent pour les modifications de la politique du compartiment S3

[CloudWatch.9] Assurez-vous qu'un filtre de mesure du journal et une alarme existent pour AWS Config modifications de configuration

[CloudWatch.10] Assurez-vous qu'un filtre de mesure du journal et une alarme existent pour les modifications apportées au groupe de sécurité

[CloudWatch.11] Assurez-vous qu'un filtre métrique de journal et une alarme existent pour les modifications apportées aux listes de contrôle d'accès réseau (NACL)

[CloudWatch.12] Assurez-vous qu'un filtre de mesure du journal et une alarme existent pour les modifications apportées aux passerelles réseau

[CloudWatch.13] Assurez-vous qu'un filtre de mesure du journal et une alarme existent pour les modifications de la table de routage

[CloudWatch.14] Assurez-vous qu'un filtre de mesure du journal et une alarme existent pour les modifications apportées au VPC

[Config.1] AWS Config doit être activé et utiliser le rôle lié au service pour l'enregistrement des ressources

[EC2.2] Les groupes de sécurité VPC par défaut ne doivent pas autoriser le trafic entrant ou sortant

[EC2.6] La journalisation des flux VPC doit être activée dans tous les VPC

[EC2.13] Les groupes de sécurité ne doivent pas autoriser l'entrée depuis la version 0.0.0. 0/0 ou : :/0 vers le port 22

[EC2.14] Les groupes de sécurité ne doivent pas autoriser l'entrée depuis la version 0.0.0. 0/0 ou : :/0 vers le port 3389

[IAM.1] Les politiques IAM ne doivent pas autoriser des privilèges administratifs « * » complets

[IAM.2] Les utilisateurs IAM ne doivent pas être associés à des politiques IAM

[IAM.3] Les clés d'accès des utilisateurs IAM doivent être renouvelées tous les 90 jours ou moins

[IAM.4] La clé d'accès de l'utilisateur root IAM ne doit pas exister

[IAM.5] La MFA doit être activée pour tous les utilisateurs IAM disposant d'un mot de passe de console

[IAM.6] Le MFA matériel doit être activé pour l'utilisateur root

[IAM.8] Les informations d'identification utilisateur IAM non utilisées doivent être supprimées

[IAM.9] La MFA doit être activée pour l'utilisateur root

[IAM.11] Assurez-vous que la politique de mot de passe IAM nécessite au moins une lettre majuscule

[IAM.12] Assurez-vous que la politique de mot de passe IAM nécessite au moins une lettre minuscule

[IAM.13] Assurez-vous que la politique de mot de passe IAM nécessite au moins un symbole

[IAM.14] Assurez-vous que la politique de mot de passe IAM nécessite au moins un chiffre

[IAM.15] Assurez-vous que la politique de mot de passe IAM exige une longueur de mot de passe minimale de 14 ou plus

[IAM.16] Assurez-vous que la politique de mot de passe IAM empêche la réutilisation des mots de passe

[IAM.17] Assurez-vous que la politique de mot de passe IAM expire les mots de passe dans un délai de 90 jours ou moins

[IAM.18] Assurez-vous qu'un rôle de support a été créé pour gérer les incidents avecAWS Support

[KMS.4]AWS KMSla rotation des touches doit être activée

Comparaison des versions pour CIS AWS Indice de référence des fondations

Cette section résume les différences entre les versions spécifiques du test de référence du Center for Internet Security (CIS) AWS Foundations : v5.0.0, v3.0.0, v1.4.0 et v1.2.0. AWS Security Hub CSPM prend en charge chacune de ces versions du référentiel CIS AWS Foundations. Cependant, nous vous recommandons d'utiliser la version 5.0.0 pour vous tenir au courant des meilleures pratiques de sécurité. Vous pouvez activer plusieurs versions des normes CIS AWS Foundations Benchmark en même temps. Pour plus d'informations sur les normes habilitantes, consultezMise en place d'une norme de sécurité. Si vous souhaitez passer à la version 5.0.0, activez-la avant de désactiver une ancienne version. Cela permet d'éviter des lacunes dans vos contrôles de sécurité. Si vous utilisez l'intégration de Security Hub CSPM AWS Organizations et que vous souhaitez activer la version 5.0.0 par lots sur plusieurs comptes, nous vous recommandons d'utiliser une configuration centralisée. Comprendre la configuration centrale dans Security Hub CSPM

Mise en correspondance des contrôles avec les exigences du CIS dans chaque version

Découvrez les contrôles pris en charge par chaque version du CIS AWS Foundations Benchmark.

ARN pour la CEI AWS Points de référence des fondations

Lorsque vous activez une ou plusieurs versions du test CIS AWS Foundations Benchmark, vous commencez à recevoir les résultats au format ASFF ( AWS Security Finding Format). Dans ASFF, chaque version utilise le nom de ressource Amazon (ARN) suivant :

Vous pouvez utiliser le GetEnabledStandards fonctionnement de l'API CSPM Security Hub pour trouver l'ARN d'une norme activée.

Les valeurs précédentes sont pourStandardsArn. Toutefois, StandardsSubscriptionArn fait référence à la ressource d'abonnement standard que Security Hub CSPM crée lorsque vous vous abonnez à une norme BatchEnableStandards en appelant dans une région.

Les champs de recherche diffèrent si vous activez les résultats de contrôle consolidés. Pour plus d'informations sur ces différences, consultezImpact de la consolidation sur les champs et les valeurs ASFF. Pour les résultats du contrôle des échantillons, voirÉchantillons de résultats de contrôle.

Exigences CIS qui ne sont pas prises en charge dans Security Hub CSPM

Comme indiqué dans le tableau précédent, Security Hub CSPM ne prend pas en charge toutes les exigences du CIS dans toutes les versions du CIS AWS Foundations Benchmark. La plupart des exigences non prises en charge ne peuvent être évaluées qu'en examinant manuellement l'état de vos AWS ressources.