Journal des modifications pour les contrôles CSPM de Security Hub

Ce contrôle vérifie si un cluster Amazon EKS s'exécute sur une version de Kubernetes prise en charge. Security Hub CSPM a modifié la valeur du paramètre pour ce contrôle, la faisant passer de à1.33. 1.34 Le support standard pour la version 1.33 de Kubernetes dans Amazon EKS a pris fin le 29 juillet 2026.

Ce contrôle vérifie si un groupe de nœuds Amazon EKS s'exécute sur une version de Kubernetes prise en charge. Security Hub CSPM a modifié la valeur du paramètre pour ce contrôle, la faisant passer de à1.33. 1.34 Le support standard pour la version 1.33 de Kubernetes dans Amazon EKS a pris fin le 29 juillet 2026.

Lambda.2 vérifie si les paramètres des AWS Lambda fonctions pour les environnements d'exécution correspondent aux valeurs attendues définies pour les environnements d'exécution pris en charge dans chaque langue. Security Hub CSPM prend désormais en charge java17.al2023, java11.al2023, java8.al2023 la valeur de paramètre, tout comme le AWS Lambda support ajouté pour ce runtime.

Security Hub CSPM a supprimé ce contrôle de la norme FSBP (AWS Foundational Security Best Practices).

Security Hub CSPM a modifié la valeur du paramètre pour ce contrôle, la faisant passer de ànotebook-al2-v3. notebook-al2023-v1 SageMaker AI a migré des plateformes d'instance de bloc-notes d'Amazon Linux 2 vers AL2023.

Security Hub CSPM a modifié la règle de sauvegarde pour ce contrôle, passant de service-vpc-endpoint-enabled à vpc-endpoint-enabled. La règle mise à jour reconnaît que les noms des services de FIPS-variant terminaux sont conformes et génère une PASSED recherche pour les VPC qui utilisent des points de terminaison FIPS.

Security Hub CSPM a ajouté ce contrôle aux normes applicables suivantes : la norme NIST SP 800-53 Rev. 5, la norme NIST SP 800-171 Revision 2 et la norme PCI DSS v4.0.1. https://docs.aws.amazon.com/securityhub/latest/userguide/pci-standard.html Le 30 juillet 2026, ce contrôle sera supprimé de la norme FSBP (AWS Foundational Security Best Practices).

Security Hub CSPM a informé que ce contrôle serait retiré et retiré de toutes les normes Security Hub CSPM applicables après le 10 août 2026. À partir de la version 1.28 de Kubernetes, les clusters Amazon EKS disposent de secrets Kubernetes protégés par un cryptage d'enveloppe par défaut.

Security Hub CSPM a informé que ce contrôle serait retiré et supprimé de toutes les normes Security Hub CSPM applicables après le 7 juillet 2026. AWS a annoncé la fin du support pour le service AWS IoT Events à compter du 20 mai 2026.

Security Hub CSPM a informé que ce contrôle serait retiré et supprimé de toutes les normes Security Hub CSPM applicables après le 7 juillet 2026. AWS a annoncé la fin du support pour le service AWS IoT Events à compter du 20 mai 2026.

Security Hub CSPM a informé que ce contrôle serait retiré et supprimé de toutes les normes Security Hub CSPM applicables après le 7 juillet 2026. AWS a annoncé la fin du support pour le service AWS IoT Events à compter du 20 mai 2026.

[ECS.1] Les définitions de tâches Amazon ECS doivent comporter des modes réseau sécurisés et des définitions utilisateur

Security Hub CSPM a retiré ce contrôle et l'a retiré de toutes les normes applicables. Auparavant, le contrôle vérifiait si une définition de tâche Amazon ECS active qui utilisait le mode réseau hôte comportait également privileged des définitions de user conteneurs.

[RDS.18] Les instances RDS doivent être déployées dans un VPC

Security Hub CSPM a retiré ce contrôle et l'a retiré de toutes les normes applicables. Depuis le retrait du EC2-Classic réseau Amazon, les instances Amazon Relational Database Service (Amazon RDS) ne peuvent plus être déployées en dehors d'un VPC. Auparavant, le contrôle vérifiait si une instance Amazon RDS était déployée sur un EC2-VPC.

Lambda.2 vérifie si les paramètres des AWS Lambda fonctions pour les environnements d'exécution correspondent aux valeurs attendues définies pour les environnements d'exécution pris en charge dans chaque langue. Security Hub CSPM prend désormais en charge ce runtime en ruby4.0 tant que paramètre et n'inclut plus ce runtimenodejs20.x, ce AWS Lambda qui est obsolète.

Security Hub CSPM a modifié la règle de sauvegarde pour ce contrôle, passant de ec2-stopped-instance à une règle CSPM Security Hub personnalisée, ec2-stopped-instance-days-check, afin de simplifier la logique d'évaluation.

Security Hub CSPM a modifié le titre et la description de ce contrôle. Le nouveau titre et la nouvelle description reflètent plus précisément le fait que le contrôle vérifie si les instantanés Amazon EBS sont configurés pour être restaurables publiquement. Auparavant, le titre de ce contrôle était le suivant : Les instantanés Amazon EBS ne devraient pas être restaurables publiquement.

Security Hub CSPM a modifié le titre et la description de ce contrôle. Le nouveau titre et la nouvelle description reflètent plus précisément le fait que le contrôle vérifie si l'accès public bloqué au niveau du compte est activé pour les instantanés Amazon EBS. Auparavant, le titre de ce contrôle était le suivant : Les instantanés Amazon EBS ne devraient pas être accessibles au public.

Security Hub CSPM a mis à jour la valeur du paramètre pour ce contrôle afin de refléter les politiques de sécurité recommandées.

Security Hub CSPM a étendu la plage de valeurs prises en charge pour le temporaryPasswordValidity paramètre de ce contrôle. Vous pouvez désormais spécifier une valeur comprise entre 1 et 365 jours. Auparavant, la fourchette était de 7 à 365 jours.

Ce contrôle vérifie si un cluster Amazon EKS s'exécute sur une version de Kubernetes prise en charge. Security Hub CSPM a modifié la valeur du paramètre pour ce contrôle, la faisant passer de à1.32. 1.33 Le support standard pour la version 1.32 de Kubernetes dans Amazon EKS a pris fin le 23 mars 2026.

Security Hub CSPM a mis à jour le titre du contrôle pour indiquer que le contrôle vérifie tous les clusters de bases de données RDS.

Security Hub CSPM a mis à jour le titre et la description du contrôle pour indiquer que le contrôle vérifie les définitions des tâches ECS. Security Hub CSPM a également mis à jour le contrôle afin de ne pas générer de résultats pour les définitions de tâches runtimePlatform configurées pour spécifier une famille de WINDOWS_SERVER systèmes d'exploitation.

[AppSync.1] Les caches d' AWS AppSync API doivent être chiffrés au repos

Security Hub CSPM a retiré ce contrôle et l'a retiré de la norme FSBP (AWS Foundational Security Best Practices). AWS AppSync fournit désormais un cryptage par défaut sur tous les caches d'API actuels et futurs.

[AppSync.6] Les caches d' AWS AppSync API doivent être chiffrés en transit

Security Hub CSPM a retiré ce contrôle et l'a retiré de la norme FSBP (AWS Foundational Security Best Practices). AWS AppSync fournit désormais un cryptage par défaut sur tous les caches d'API actuels et futurs.

[ECS.1] Les définitions de tâches Amazon ECS doivent comporter des modes réseau sécurisés et des définitions utilisateur

Security Hub CSPM a retiré ce contrôle et l'a retiré de la norme FSBP (AWS Foundational Security Best Practices) et de la norme NIST SP 800-53 Rev. 5.

Security Hub CSPM retirera ce contrôle et supprimera de toutes les normes Security Hub CSPM applicables le 9 mars 2026. AWS AppSync fournit un cryptage par défaut sur tous les caches d'API actuels et futurs.

Security Hub CSPM retirera ce contrôle et supprimera de toutes les normes Security Hub CSPM applicables le 9 mars 2026. AWS AppSync fournit un cryptage par défaut sur tous les caches d'API actuels et futurs.

[ECS.1] Les définitions de tâches Amazon ECS doivent comporter des modes réseau sécurisés et des définitions utilisateur

Security Hub CSPM a informé que ce contrôle serait retiré et retiré de toutes les normes Security Hub CSPM applicables après le 16 février 2026.

Security Hub CSPM a mis à jour ce contrôle pour supprimer le loggingEnabled paramètre.

[MQ.3] Les courtiers Amazon MQ devraient activer la mise à niveau automatique des versions mineures

Security Hub CSPM a retiré le contrôle et l'a retiré de toutes les normes applicables. Security Hub CSPM a retiré le contrôle en raison des exigences d'Amazon MQ pour les mises à niveau automatiques des versions mineures.

Auparavant, le contrôle s'appliquait à la norme FSBP (AWS Foundational Security Best Practices), à la norme NIST SP 800-53 Rev. 5 et à la norme PCI DSS v4.0.1.

Ce contrôle vérifie si les paramètres d'exécution d'une AWS Lambda fonction correspondent aux valeurs attendues pour les temps d'exécution pris en charge dans chaque langue. Security Hub CSPM prend désormais en charge dotnet10 comme valeur de paramètre pour ce contrôle. AWS Lambda ajout du support pour ce runtime.

Ce contrôle vérifie si les paramètres d'exécution d'une AWS Lambda fonction correspondent aux valeurs attendues pour les temps d'exécution pris en charge dans chaque langue. Security Hub CSPM ne prend plus en charge python3.9 la valeur de paramètre pour ce contrôle. AWS Lambda ne prend plus en charge ce runtime.

Ce contrôle vérifie si un cluster Amazon EKS s'exécute sur une version de Kubernetes prise en charge. Security Hub CSPM a modifié la valeur du paramètre pour ce contrôle, la faisant passer de à1.31. 1.32 Le support standard pour la version 1.31 de Kubernetes dans Amazon EKS a pris fin le 26 novembre 2025.

Ce contrôle vérifie si les paramètres d'exécution d'une AWS Lambda fonction correspondent aux valeurs attendues pour les temps d'exécution pris en charge dans chaque langue. Security Hub CSPM prend désormais en charge nodejs24.x et en python3.14 tant que valeurs de paramètre pour ce contrôle. AWS Lambda ajout de la prise en charge de ces environnements d'exécution.

Security Hub CSPM a mis à jour la description et la justification de ce contrôle. Auparavant, le contrôle vérifiait uniquement l'attribution automatique des adresses IP publiques IPv4 dans les sous-réseaux Amazon VPC à l'aide de l'indicateur. MapPublicIpOnLaunch Ce contrôle vérifie désormais l'attribution automatique des adresses IP publiques IPv4 et IPv6. La description et la justification du contrôle ont été mises à jour pour refléter ces changements.

Ce contrôle vérifie si les paramètres d'exécution d'une AWS Lambda fonction correspondent aux valeurs attendues pour les temps d'exécution pris en charge dans chaque langue. Security Hub CSPM prend désormais en charge java25 comme valeur de paramètre pour ce contrôle. AWS Lambda ajout du support pour ce runtime.

Security Hub CSPM a modifié la sévérité de ce contrôle de àHIGH. CRITICAL Autoriser l'accès public aux rubriques Amazon SNS représente un risque de sécurité important.

Security Hub CSPM a modifié la sévérité de ce contrôle de àHIGH. CRITICAL Autoriser l'accès public aux files d'attente Amazon SQS représente un risque de sécurité important.

Security Hub CSPM a modifié la sévérité de ce contrôle de àMEDIUM. HIGH Ce type de surveillance de l'exécution permet de mieux détecter les menaces pour les ressources Amazon EKS.

[MQ.3] Les courtiers Amazon MQ devraient activer la mise à niveau automatique des versions mineures

Security Hub CSPM a modifié la sévérité de ce contrôle de àLOW. MEDIUM Les mises à niveau des versions mineures incluent les correctifs de sécurité nécessaires au maintien de la sécurité d'Amazon MQ Broker.

Security Hub CSPM a modifié la sévérité de ce contrôle de àLOW. MEDIUM Les mises à jour logicielles incluent les correctifs de sécurité nécessaires au maintien de la sécurité OpenSearch du domaine.

Security Hub CSPM a modifié la sévérité de ce contrôle de àLOW. MEDIUM La protection contre la suppression permet d'empêcher la suppression accidentelle des bases de données Amazon RDS et la suppression de bases de données RDS par des entités non autorisées.

Security Hub CSPM a modifié la sévérité de ce contrôle de àLOW. MEDIUM AWS CloudTrail les données d'enregistrement dans Amazon CloudWatch Logs peuvent être utilisées pour des activités d'audit, des alarmes et d'autres opérations de sécurité importantes.

Security Hub CSPM a modifié la sévérité de ce contrôle de àHIGH. MEDIUM Le partage de AWS Service Catalog portefeuilles avec des comptes spécifiques peut être intentionnel et ne signifie pas nécessairement qu'un portefeuille est accessible au public.

Security Hub CSPM a modifié la sévérité de ce contrôle de àMEDIUM. LOW Les noms cloudfront.net de domaine par défaut pour les CloudFront distributions Amazon sont générés de manière aléatoire, ce qui réduit les risques de sécurité.

Security Hub CSPM a modifié la sévérité de ce contrôle de àMEDIUM. LOW Dans les déploiements multi-instances, d'autres instances saines peuvent gérer les sessions utilisateur lorsqu'une instance est arrêtée sans épuiser la connexion, ce qui réduit l'impact opérationnel et les risques de disponibilité.

Security Hub CSPM a mis à jour ce contrôle pour supprimer le paramètre facultatifvalidAdminUserNames.

Security Hub CSPM a annulé les modifications apportées au titre, à la description et à la règle de ce contrôle le 14 octobre 2025.

Security Hub CSPM a mis à jour ce contrôle afin de ne pas générer de résultats pour les CloudFront distributions Amazon qui utilisent des origines personnalisées.

Ce contrôle vérifie si une CloudFront distribution Amazon est configurée pour utiliser une politique de sécurité TLS recommandée. Security Hub CSPM prend désormais en charge TLSv1.2_2025 et en TLSv1.3_2025 tant que valeurs de paramètre pour ce contrôle.

Security Hub CSPM a modifié le titre, la description et la règle de ce contrôle. Auparavant, le contrôle vérifiait les clusters Redis OSS et tous les groupes de réplication à l'aide de la règle https://docs.aws.amazon.com/config/latest/developerguide/elasticache-redis-cluster-automatic-backup-check.html elasticache-redis-cluster-automatic-backup-check. Le titre du contrôle était le suivant : ElastiCache (Redis OSS) les sauvegardes automatiques devraient être activées pour les clusters.

Ce contrôle vérifie désormais les clusters Valkey en plus des clusters Redis OSS et de tous les groupes de réplication, à l'aide de la règle https://docs.aws.amazon.com/config/latest/developerguide/elasticache-automatic-backup-check-enabled.html elasticache-automatic-backup-check-enabled. Le nouveau titre et la nouvelle description indiquent que le contrôle vérifie les deux types de clusters.

La règle de ce contrôle a été mise à jour pour également générer une détection si PASSED aucune mise à jour logicielle n'est disponible pour un domaine Amazon OpenSearch Service et si le statut de mise à jour n'est pas éligible. Auparavant, ce contrôle générait un PASSED résultat uniquement si aucune mise à jour logicielle n'était disponible pour un OpenSearch domaine et si l'état de la mise à jour était terminé.

[Redshift.9] Les clusters Redshift ne doivent pas utiliser le nom de base de données par défaut

[RedshiftServerless.7] Les espaces de noms Redshift Serverless ne doivent pas utiliser le nom de base de données par défaut

Security Hub CSPM a retiré ces contrôles et les a retirés de toutes les normes applicables. Security Hub CSPM a retiré ces contrôles en raison des limites inhérentes à Amazon Redshift qui empêchaient de corriger efficacement les FAILED résultats des contrôles.

Auparavant, les contrôles s'appliquaient à la norme FSBP (AWS Foundational Security Best Practices) et à la norme NIST SP 800-53 Rev. 5. Le Redshift.9 contrôle s'appliquait également à la norme de AWS Control Tower gestion des services.

Ce contrôle vérifie si les paramètres d'exécution d'une AWS Lambda fonction correspondent aux valeurs attendues pour les temps d'exécution pris en charge dans chaque langue. Security Hub CSPM ne prend plus en charge nodejs18.x la valeur de paramètre pour ce contrôle. AWS Lambda ne prend plus en charge Node.js 18 temps d'exécution.

Security Hub CSPM a modifié le titre et la description de ce contrôle. Le nouveau titre et la nouvelle description reflètent plus précisément le fait que le contrôle vérifie le réglage du EnableNetworkIsolation paramètre des modèles hébergés par Amazon SageMaker AI. Auparavant, le titre de ce contrôle était : SageMaker models should block inbound traffic

Security Hub CSPM a modifié le titre et la description de ce contrôle. Le nouveau titre et la nouvelle description reflètent plus précisément l'étendue et la nature de la vérification effectuée par le contrôle. Auparavant, le titre de ce contrôle était : EFS mount targets should not be associated with a public subnet

Ce contrôle vérifie si un cluster Amazon EKS s'exécute sur une version de Kubernetes prise en charge. Security Hub CSPM a modifié la valeur du paramètre pour ce contrôle, la faisant passer de à1.30. 1.31 Le support standard pour la version 1.30 de Kubernetes dans Amazon EKS a pris fin le 23 juillet 2025.

Security Hub CSPM a modifié le titre de ce contrôle. Le nouveau titre reflète plus précisément le fait que le contrôle ne vérifie que les demandes Amazon EC2 Spot Fleet qui spécifient des paramètres de lancement. Auparavant, le titre de ce contrôle était : EC2 Spot Fleet requests should enable encryption for attached EBS volumes

Security Hub CSPM a supprimé ce contrôle de la norme PCI DSS v4.0.1. La norme PCI DSS v4.0.1 n'exige pas explicitement l'utilisation de symboles dans les mots de passe.

Security Hub CSPM a supprimé ce contrôle de la norme NIST SP 800-171 Revision 2. Le NIST SP 800-171 Revision 2 n'exige pas explicitement une période d'expiration des mots de passe de 90 jours ou moins.

Security Hub CSPM a modifié le titre de ce contrôle. Le nouveau titre reflète plus précisément le fait que le contrôle vérifie uniquement les clusters de bases de données Amazon Aurora. Auparavant, le titre de ce contrôle était : RDS DB clusters should be configured to copy tags to snapshots.

Ce contrôle vérifie si une instance de bloc-notes Amazon SageMaker AI est configurée pour s'exécuter sur une plate-forme prise en charge, en fonction de l'identifiant de plate-forme spécifié pour l'instance de bloc-notes. Security Hub CSPM ne prend plus en charge notebook-al2-v1 et en notebook-al2-v2 tant que valeurs de paramètre pour ce contrôle. Le support des instances Notebook qui s'exécutent sur ces plateformes a pris fin le 30 juin 2025.

Security Hub CSPM a supprimé ce contrôle de la norme PCI DSS v4.0.1. Ce contrôle vérifie si les politiques relatives aux mots de passe des comptes pour les utilisateurs IAM répondent aux exigences minimales, notamment une longueur de mot de passe minimale de 7 caractères. La norme PCI DSS v4.0.1 exige désormais que les mots de passe comportent au moins 8 caractères. Le contrôle continue de s'appliquer à la norme PCI DSS v3.2.1, qui impose des exigences de mot de passe différentes.

Pour évaluer les politiques de mot de passe des comptes par rapport aux exigences de la norme PCI DSS v4.0.1, vous pouvez utiliser le contrôle. IAM.7 Ce contrôle nécessite que les mots de passe comportent au moins 8 caractères. Il prend également en charge les valeurs personnalisées pour la longueur du mot de passe et d'autres paramètres. Le IAM.7 contrôle fait partie de la norme PCI DSS v4.0.1 de Security Hub CSPM.

Ce contrôle vérifie si l'écouteur HTTPS d'un équilibreur de charge d'application ou l'écouteur TLS d'un équilibreur de charge réseau est configuré pour chiffrer les données en transit à l'aide d'une politique de sécurité recommandée. Security Hub CSPM prend désormais en charge deux valeurs de paramètres supplémentaires pour ce contrôle : ELBSecurityPolicy-TLS13-1-2-Res-2021-06 et. ELBSecurityPolicy-TLS13-1-2-Res-FIPS-2023-04

Ce contrôle vérifie si les paramètres d'exécution d'une AWS Lambda fonction correspondent aux valeurs attendues pour les temps d'exécution pris en charge dans chaque langue. Security Hub CSPM prend désormais en charge ruby3.4 comme valeur de paramètre pour ce contrôle. AWS Lambda ajout du support pour ce runtime.

Ce contrôle vérifie si un cluster Amazon Elastic Kubernetes Service (Amazon EKS) s'exécute sur une version de Kubernetes prise en charge. Pour le oldestVersionSupported paramètre, Security Hub CSPM a modifié la valeur de à1.29. 1.30 La plus ancienne version de Kubernetes prise en charge existe désormais. 1.30

Ce contrôle vérifie si les paramètres d'exécution d'une AWS Lambda fonction correspondent aux valeurs attendues pour les temps d'exécution pris en charge dans chaque langue. Security Hub CSPM ne prend plus en charge dotnet6 et en python3.8 tant que valeurs de paramètre pour ce contrôle. AWS Lambda ne prend plus en charge ces environnements d'exécution.

[RDS.18] Les instances RDS doivent être déployées dans un VPC

Config.1 vérifie si elle AWS Config est activée, utilise le rôle lié au service et enregistre les ressources pour les contrôles activés. Security Hub CSPM a augmenté la sévérité de ce contrôle de àMEDIUM. CRITICAL Security Hub CSPM a également ajouté de nouveaux codes d'état et des raisons d'état pour les erreurs de détection. Config.1 Ces modifications reflètent l'importance des contrôles CSPM de Security Hub Config.1 pour le fonctionnement. Si l'enregistrement AWS Config des ressources est désactivé, vous pouvez recevoir des résultats de contrôle inexacts.

Pour recevoir un PASSED résultat pour Config.1, activez l'enregistrement des ressources correspondant aux contrôles CSPM de Security Hub activés et désactivez les contrôles qui ne sont pas requis dans votre organisation. Pour obtenir des instructions sur la configuration AWS Config de Security Hub CSPM, consultez. Activation et configuration AWS Config pour Security Hub CSPM Pour obtenir la liste des contrôles CSPM de Security Hub et de leurs ressources correspondantes, consultez. ObligatoireAWS Configressources pour les résultats des contrôles

14 septembre 2023

20 juillet 2023