Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
# NIST SP 800-53, révision 5 dans Security Hub CSPM
La publication spéciale 800-53 révision 5 du NIST (NIST SP 800-53 Rev. 5) est un cadre de cybersécurité et de conformité développé par le National Institute of Standards and Technology (NIST), une agence qui fait partie du département du commerce des États-Unis. Ce cadre de conformité fournit un catalogue des exigences de sécurité et de confidentialité pour protéger la confidentialité, l'intégrité et la disponibilité des systèmes d'information et des ressources critiques. Les agences du gouvernement fédéral américain et les sous-traitants doivent se conformer à ces exigences pour protéger leurs systèmes et leurs organisations. Les organisations privées peuvent également utiliser volontairement les exigences comme cadre directeur pour réduire les risques de cybersécurité. Pour plus d'informations sur le framework et ses exigences, consultez le [NIST SP 800-53 Rev. 5](https://csrc.nist.gov/publications/detail/sp/800-53/rev-5/final) dans le *NIST Computer* Security Resource Center.
AWS Security Hub CSPM fournit des contrôles de sécurité qui répondent à un sous-ensemble des exigences du NIST SP 800-53 Revision 5. Les contrôles effectuent des contrôles de sécurité automatisés pour certaines ressources Services AWS et ressources. Pour activer et gérer ces contrôles, vous pouvez activer le framework NIST SP 800-53 Revision 5 en tant que norme dans Security Hub CSPM. Notez que les commandes ne sont pas compatibles avec les exigences du NIST SP 800-53 révision 5 qui nécessitent des vérifications manuelles.
Contrairement à d'autres frameworks, le framework NIST SP 800-53 Revision 5 n'est pas prescriptif quant à la manière dont ses exigences doivent être évaluées. Le cadre fournit plutôt des directives. Dans Security Hub CSPM, la norme NIST SP 800-53 Revision 5 et les contrôles reflètent la compréhension de ces directives par le service.
**Topics**
+ [Configuration de l'enregistrement des ressources pour la norme](#standards-reference-nist-800-53-recording)
+ [Déterminer quels contrôles s'appliquent à la norme](#standards-reference-nist-800-53-controls)
## Configuration de l'enregistrement des ressources pour les contrôles qui s'appliquent à la norme
Pour optimiser la couverture et la précision des résultats, il est important d'activer et de configurer l'enregistrement des ressources AWS Config avant d'activer la norme NIST SP 800-53 Revision 5 dans AWS Security Hub CSPM. Lorsque vous configurez l'enregistrement des ressources, veillez également à l'activer pour tous les types de AWS ressources contrôlés par les contrôles applicables à la norme. Cela concerne principalement les contrôles dotés d'un type de calendrier *déclenché par des modifications*. Toutefois, certains contrôles dotés d'un type de calendrier *périodique* nécessitent également un enregistrement des ressources. Si l'enregistrement des ressources n'est pas activé ou configuré correctement, Security Hub CSPM risque de ne pas être en mesure d'évaluer les ressources appropriées et de générer des résultats précis pour les contrôles qui s'appliquent à la norme.
Pour plus d'informations sur la manière dont Security Hub CSPM utilise l'enregistrement des ressources dans AWS Config, consultez. [Activation et configuration AWS Config pour Security Hub CSPM](securityhub-setup-prereqs.md) Pour plus d'informations sur la configuration de l'enregistrement des ressources dans AWS Config, voir [Utilisation de l'enregistreur de configuration](https://docs.aws.amazon.com/config/latest/developerguide/stop-start-recorder.html) dans le *Guide du AWS Config développeur*.
Le tableau suivant indique les types de ressources à enregistrer pour les contrôles qui s'appliquent à la norme NIST SP 800-53 Revision 5 dans Security Hub CSPM.
| Service AWS | Types de ressources |
| --- | --- |
| Amazon API Gateway | `AWS::ApiGateway::Stage`, `AWS::ApiGatewayV2::Stage` |
| AWS AppSync | `AWS::AppSync::GraphQLApi` |
| AWS Backup | `AWS::Backup::RecoveryPoint` |
| AWS Certificate Manager (ACM) | `AWS::ACM::Certificate` |
| AWS CloudFormation | `AWS::CloudFormation::Stack` |
| Amazon CloudFront | `AWS::CloudFront::Distribution` |
| Amazon CloudWatch | `AWS::CloudWatch::Alarm` |
| AWS CodeBuild | `AWS::CodeBuild::Project` |
| AWS Database Migration Service (AWS DMS) | `AWS::DMS::Endpoint`, `AWS::DMS::ReplicationInstance`, `AWS::DMS::ReplicationTask` |
| Amazon DynamoDB | `AWS::DynamoDB::Table` |
| Amazon Elastic Compute Cloud (Amazon EC2) | `AWS::EC2::ClientVpnEndpoint`, `AWS::EC2::EIP`, `AWS::EC2::Instance`, `AWS::EC2::LaunchTemplate`, `AWS::EC2::NetworkAcl`, `AWS::EC2::NetworkInterface`, `AWS::EC2::SecurityGroup`, `AWS::EC2::Subnet`, `AWS::EC2::TransitGateway`, `AWS::EC2::VPNConnection`, `AWS::EC2::Volume` |
| Amazon EC2 Auto Scaling | `AWS::AutoScaling::AutoScalingGroup`, `AWS::AutoScaling::LaunchConfiguration` |
| Amazon Elastic Container Registry (Amazon ECR) | `AWS::ECR::Repository` |
| Amazon Elastic Container Service (Amazon ECS) | `AWS::ECS::Cluster`, `AWS::ECS::Service`, `AWS::ECS::TaskDefinition` |
| Amazon Elastic File System (Amazon EFS) | `AWS::EFS::AccessPoint` |
| Amazon Elastic Kubernetes Service (Amazon EKS) | `AWS::EKS::Cluster` |
| AWS Elastic Beanstalk | `AWS::ElasticBeanstalk::Environment` |
| Elastic Load Balancing | `AWS::ElasticLoadBalancing::LoadBalancer`, `AWS::ElasticLoadBalancingV2::Listener`, `AWS::ElasticLoadBalancingV2::LoadBalancer` |
| Amazon ElasticSearch | `AWS::Elasticsearch::Domain` |
| Amazon EMR | `AWS::EMR::SecurityConfiguration` |
| Amazon EventBridge | `AWS::Events::Endpoint`, `AWS::Events::EventBus` |
| AWS Glue | `AWS::Glue::Job` |
| Gestion des identités et des accès AWS (JE SUIS) | `AWS::IAM::Group`, `AWS::IAM::Policy`, `AWS::IAM::Role`, `AWS::IAM::User` |
| AWS Key Management Service (AWS KMS) | `AWS::KMS::Alias`, `AWS::KMS::Key` |
| Amazon Kinesis | `AWS::Kinesis::Stream` |
| AWS Lambda | `AWS::Lambda::Function` |
| Amazon Managed Streaming for Apache Kafka (Amazon MSK) | `AWS::MSK::Cluster` |
| Amazon MQ | `AWS::AmazonMQ::Broker` |
| AWS Network Firewall | `AWS::NetworkFirewall::Firewall`, `AWS::NetworkFirewall::FirewallPolicy`, `AWS::NetworkFirewall::RuleGroup` |
| Amazon OpenSearch Service | `AWS::OpenSearch::Domain` |
| Amazon Relational Database Service (Amazon RDS) | `AWS::RDS::DBCluster`, `AWS::RDS::DBClusterSnapshot`, `AWS::RDS::DBInstance`, `AWS::RDS::DBSnapshot`, `AWS::RDS::EventSubscription` |
| Amazon Redshift | `AWS::Redshift::Cluster`, `AWS::Redshift::ClusterSubnetGroup` |
| Amazon Route 53 | `AWS::Route53::HostedZone` |
| Amazon Simple Storage Service (Amazon S3) | `AWS::S3::AccessPoint`, `AWS::S3::AccountPublicAccessBlock`, `AWS::S3::Bucket` |
| AWS Service Catalog | `AWS::ServiceCatalog::Portfolio` |
| Amazon Simple Notification Service (Amazon SNS) | `AWS::SNS::Topic` |
| Amazon Simple Queue Service (Amazon SQS) | `AWS::SQS::Queue` |
| Amazon EC2 Systems Manager (SSM) | `AWS::SSM::AssociationCompliance`, `AWS::SSM::ManagedInstanceInventory`, `AWS::SSM::PatchCompliance` |
| Amazon SageMaker AI | `AWS::SageMaker::NotebookInstance` |
| AWS Secrets Manager | `AWS::SecretsManager::Secret` |
| AWS Transfer Family | `AWS::Transfer::Connector` |
| AWS WAF | `AWS::WAF::Rule`, `AWS::WAF::RuleGroup`, `AWS::WAF::WebACL`, `AWS::WAFRegional::Rule`, `AWS::WAFRegional::RuleGroup`, `AWS::WAFRegional::WebACL`, `AWS::WAFv2::RuleGroup`, `AWS::WAFv2::WebACL` |
## Déterminer quels contrôles s'appliquent à la norme
La liste suivante indique les contrôles qui répondent aux exigences du NIST SP 800-53 Revision 5 et s'appliquent à la norme NIST SP 800-53 Revision 5 dans Security Hub AWS CSPM. Pour plus de détails sur les exigences spécifiques prises en charge par un contrôle, choisissez le contrôle. Reportez-vous ensuite au champ **Exigences connexes** dans les détails du contrôle. Ce champ indique chaque exigence NIST prise en charge par le contrôle. Si le champ ne spécifie aucune exigence NIST particulière, le contrôle ne prend pas en charge cette exigence.
+ [[Compte.1] Les coordonnées de sécurité doivent être fournies pour Compte AWS](account-controls.md#account-1)
+ [[Account.2] Comptes AWS doit faire partie d'une organisation AWS Organizations](account-controls.md#account-2)
+ [[ACM.1] Les certificats importés et émis par ACM doivent être renouvelés après une période spécifiée](acm-controls.md#acm-1)
+ [[APIGateway.1] Le REST d'API Gateway et la journalisation de l'exécution de l' WebSocket API doivent être activés](apigateway-controls.md#apigateway-1)
+ [[APIGateway.2] Les étapes de l'API REST d'API Gateway doivent être configurées pour utiliser des certificats SSL pour l'authentification du backend](apigateway-controls.md#apigateway-2)
+ [[APIGateway.3] Le AWS X-Ray suivi doit être activé sur les étapes de l'API REST d'API Gateway](apigateway-controls.md#apigateway-3)
+ [[APIGateway.4] L'API Gateway doit être associée à une ACL Web WAF](apigateway-controls.md#apigateway-4)
+ [[APIGateway.5] Les données du cache de l'API REST API Gateway doivent être chiffrées au repos](apigateway-controls.md#apigateway-5)
+ [[APIGateway.8] Les routes API Gateway doivent spécifier un type d'autorisation](apigateway-controls.md#apigateway-8)
+ [[APIGateway.9] La journalisation des accès doit être configurée pour les étapes API Gateway V2](apigateway-controls.md#apigateway-9)
+ [[AppSync.5] AWS AppSync GraphQL ne APIs doit pas être authentifié avec des clés d'API](appsync-controls.md#appsync-5)
+ [[AutoScaling.1] Les groupes Auto Scaling associés à un équilibreur de charge doivent utiliser les contrôles de santé ELB](autoscaling-controls.md#autoscaling-1)
+ [[AutoScaling.2] Le groupe Amazon EC2 Auto Scaling doit couvrir plusieurs zones de disponibilité](autoscaling-controls.md#autoscaling-2)
+ [[AutoScaling.3] Les configurations de lancement du groupe Auto Scaling doivent configurer les EC2 instances de manière à ce qu'elles nécessitent la version 2 du service de métadonnées d'instance (IMDSv2)](autoscaling-controls.md#autoscaling-3)
+ [[Autoscaling.5] Les EC2 instances Amazon lancées à l'aide des configurations de lancement de groupe Auto Scaling ne doivent pas avoir d'adresses IP publiques](autoscaling-controls.md#autoscaling-5)
+ [[AutoScaling.6] Les groupes Auto Scaling doivent utiliser plusieurs types d'instances dans plusieurs zones de disponibilité](autoscaling-controls.md#autoscaling-6)
+ [[AutoScaling.9] Les groupes Amazon EC2 Auto Scaling doivent utiliser les modèles de EC2 lancement Amazon](autoscaling-controls.md#autoscaling-9)
+ [[Backup.1] les points AWS Backup de restauration doivent être chiffrés au repos](backup-controls.md#backup-1)
+ [[CloudFront.1] CloudFront les distributions doivent avoir un objet racine par défaut configuré](cloudfront-controls.md#cloudfront-1)
+ [[CloudFront.3] CloudFront les distributions devraient nécessiter un cryptage pendant le transit](cloudfront-controls.md#cloudfront-3)
+ [[CloudFront.4] Le basculement d'origine doit être configuré pour les CloudFront distributions](cloudfront-controls.md#cloudfront-4)
+ [[CloudFront.5] la journalisation des CloudFront distributions doit être activée](cloudfront-controls.md#cloudfront-5)
+ [[CloudFront.6] WAF doit être activé sur les CloudFront distributions](cloudfront-controls.md#cloudfront-6)
+ [[CloudFront.7] les CloudFront distributions doivent utiliser des certificats personnalisés SSL/TLS](cloudfront-controls.md#cloudfront-7)
+ [[CloudFront.8] les CloudFront distributions doivent utiliser le SNI pour traiter les requêtes HTTPS](cloudfront-controls.md#cloudfront-8)
+ [[CloudFront.9] les CloudFront distributions doivent crypter le trafic vers des origines personnalisées](cloudfront-controls.md#cloudfront-9)
+ [[CloudFront.10] les CloudFront distributions ne doivent pas utiliser de protocoles SSL obsolètes entre les emplacements périphériques et les origines personnalisées](cloudfront-controls.md#cloudfront-10)
+ [[CloudFront.12] les CloudFront distributions ne doivent pas pointer vers des origines S3 inexistantes](cloudfront-controls.md#cloudfront-12)
+ [[CloudTrail.1] CloudTrail doit être activé et configuré avec au moins un journal multirégional incluant des événements de gestion de lecture et d'écriture](cloudtrail-controls.md#cloudtrail-1)
+ [[CloudTrail.2] CloudTrail doit avoir le chiffrement au repos activé](cloudtrail-controls.md#cloudtrail-2)
+ [[CloudTrail.4] La validation du fichier CloudTrail journal doit être activée](cloudtrail-controls.md#cloudtrail-4)
+ [[CloudTrail.5] les CloudTrail sentiers doivent être intégrés à Amazon CloudWatch Logs](cloudtrail-controls.md#cloudtrail-5)
+ [[CloudTrail.10] Les magasins de données sur les événements CloudTrail du lac doivent être chiffrés et gérés par le client AWS KMS keys](cloudtrail-controls.md#cloudtrail-10)
+ [[CloudWatch.15] les CloudWatch alarmes doivent avoir des actions spécifiées configurées](cloudwatch-controls.md#cloudwatch-15)
+ [[CloudWatch.16] les groupes de CloudWatch journaux doivent être conservés pendant une période spécifiée](cloudwatch-controls.md#cloudwatch-16)
+ [[CloudWatch.17] les actions CloudWatch d'alarme doivent être activées](cloudwatch-controls.md#cloudwatch-17)
+ [[CodeBuild.1] Le référentiel source de CodeBuild Bitbucket ne URLs doit pas contenir d'informations d'identification sensibles](codebuild-controls.md#codebuild-1)
+ [[CodeBuild.2] les variables d'environnement CodeBuild du projet ne doivent pas contenir d'informations d'identification en texte clair](codebuild-controls.md#codebuild-2)
+ [[CodeBuild.3] Les journaux CodeBuild S3 doivent être chiffrés](codebuild-controls.md#codebuild-3)
+ [[CodeBuild2.4] les environnements de CodeBuild projet doivent avoir une durée de AWS Config journalisation](codebuild-controls.md#codebuild-4)
+ [[Config.1] AWS Config doit être activé et utiliser le rôle lié au service pour l'enregistrement des ressources](config-controls.md#config-1)
+ [[DataFirehose.1] Les flux de diffusion de Firehose doivent être chiffrés au repos](datafirehose-controls.md#datafirehose-1)
+ [[DMS.1] Les instances de réplication du Database Migration Service ne doivent pas être publiques](dms-controls.md#dms-1)
+ [[DMS.6] La mise à niveau automatique des versions mineures doit être activée sur les instances de réplication DMS](dms-controls.md#dms-6)
+ [[DMS.7] La journalisation des tâches de réplication DMS pour la base de données cible doit être activée](dms-controls.md#dms-7)
+ [[DMS.8] La journalisation des tâches de réplication DMS pour la base de données source doit être activée](dms-controls.md#dms-8)
+ [[DMS.9] Les points de terminaison DMS doivent utiliser le protocole SSL](dms-controls.md#dms-9)
+ [[DMS.10] L'autorisation IAM doit être activée sur les points de terminaison DMS des bases de données Neptune](dms-controls.md#dms-10)
+ [[DMS.11] Les points de terminaison DMS pour MongoDB doivent avoir un mécanisme d'authentification activé](dms-controls.md#dms-11)
+ [[DMS.12] Le protocole TLS doit être activé sur les points de terminaison DMS de Redis OSS](dms-controls.md#dms-12)
+ [[DocumentDB.1] Les clusters Amazon DocumentDB doivent être chiffrés au repos](documentdb-controls.md#documentdb-1)
+ [[DocumentDB.2] Les clusters Amazon DocumentDB doivent disposer d'une période de conservation des sauvegardes adéquate](documentdb-controls.md#documentdb-2)
+ [[DocumentDB.3] Les instantanés de cluster manuels Amazon DocumentDB ne doivent pas être publics](documentdb-controls.md#documentdb-3)
+ [[DocumentDB.4] Les clusters Amazon DocumentDB doivent publier les journaux d'audit dans Logs CloudWatch](documentdb-controls.md#documentdb-4)
+ [[DocumentDB.5] La protection contre la suppression des clusters Amazon DocumentDB doit être activée](documentdb-controls.md#documentdb-5)
+ [[DynamoDB.1] Les tables DynamoDB doivent automatiquement adapter la capacité à la demande](dynamodb-controls.md#dynamodb-1)
+ [[DynamoDB.2] La restauration des tables DynamoDB doit être activée point-in-time](dynamodb-controls.md#dynamodb-2)
+ [[DynamoDB.3] Les clusters DynamoDB Accelerator (DAX) doivent être chiffrés au repos](dynamodb-controls.md#dynamodb-3)
+ [[DynamoDB.4] Les tables DynamoDB doivent être présentes dans un plan de sauvegarde](dynamodb-controls.md#dynamodb-4)
+ [[DynamoDB.6] La protection contre la suppression des tables DynamoDB doit être activée](dynamodb-controls.md#dynamodb-6)
+ [[DynamoDB.7] Les clusters DynamoDB Accelerator doivent être chiffrés pendant le transit](dynamodb-controls.md#dynamodb-7)
+ [[EC2.1] Les instantanés Amazon EBS ne doivent pas être configurés pour être restaurables publiquement](ec2-controls.md#ec2-1)
+ [[EC2.2] Les groupes de sécurité VPC par défaut ne doivent pas autoriser le trafic entrant ou sortant](ec2-controls.md#ec2-2)
+ [[EC2.3] Les volumes Amazon EBS attachés doivent être chiffrés au repos](ec2-controls.md#ec2-3)
+ [[EC2.4] Les instances EC2 arrêtées doivent être supprimées après une période spécifiée](ec2-controls.md#ec2-4)
+ [[EC2.6] La journalisation des flux VPC doit être activée dans tous VPCs](ec2-controls.md#ec2-6)
+ [[EC2.7] Le chiffrement par défaut EBS doit être activé](ec2-controls.md#ec2-7)
+ [[EC2.8] Les instances EC2 doivent utiliser le service de métadonnées d'instance version 2 () IMDSv2](ec2-controls.md#ec2-8)
+ [[EC2.9] Les instances Amazon EC2 ne doivent pas avoir d'adresse publique IPv4](ec2-controls.md#ec2-9)
+ [[EC2.10] Amazon EC2 doit être configuré pour utiliser les points de terminaison VPC créés pour le service Amazon EC2](ec2-controls.md#ec2-10)
+ [[EC2.12] L'Amazon EIPs EC2 non utilisé doit être supprimé](ec2-controls.md#ec2-12)
+ [[EC2.13] Les groupes de sécurité ne doivent pas autoriser l'entrée depuis 0.0.0.0/0 ou : :/0 vers le port 22](ec2-controls.md#ec2-13)
+ [[EC2.15] Les sous-réseaux Amazon EC2 ne doivent pas attribuer automatiquement d'adresses IP publiques](ec2-controls.md#ec2-15)
+ [[EC2.16] Les listes de contrôle d'accès réseau non utilisées doivent être supprimées](ec2-controls.md#ec2-16)
+ [[EC2.17] Les instances Amazon EC2 ne doivent pas utiliser plusieurs ENIs](ec2-controls.md#ec2-17)
+ [[EC2.18] Les groupes de sécurité ne devraient autoriser le trafic entrant illimité que pour les ports autorisés](ec2-controls.md#ec2-18)
+ [[EC2.19] Les groupes de sécurité ne doivent pas autoriser un accès illimité aux ports présentant un risque élevé](ec2-controls.md#ec2-19)
+ [[EC2.20] Les deux tunnels VPN pour une connexion AWS Site-to-Site VPN doivent être actifs](ec2-controls.md#ec2-20)
+ [[EC2.21] Le réseau ne ACLs doit pas autoriser l'entrée depuis 0.0.0.0/0 vers le port 22 ou le port 3389](ec2-controls.md#ec2-21)
+ [[EC2.23] Les passerelles de transit Amazon EC2 ne doivent pas accepter automatiquement les demandes de pièces jointes VPC](ec2-controls.md#ec2-23)
+ [[EC2.24] Les types d'instances paravirtuelles Amazon EC2 ne doivent pas être utilisés](ec2-controls.md#ec2-24)
+ [[EC2.25] Les modèles de lancement Amazon EC2 ne doivent pas attribuer IPs le public aux interfaces réseau](ec2-controls.md#ec2-25)
+ [[EC2.28] Les volumes EBS doivent être couverts par un plan de sauvegarde](ec2-controls.md#ec2-28)
+ [[EC2.51] La journalisation des connexions client doit être activée sur les points de terminaison VPN EC2](ec2-controls.md#ec2-51)
+ [[EC2.55] VPCs doit être configuré avec un point de terminaison d'interface pour l'API ECR](ec2-controls.md#ec2-55)
+ [[EC2.56] VPCs doit être configuré avec un point de terminaison d'interface pour Docker Registry](ec2-controls.md#ec2-56)
+ [[EC2.57] VPCs doit être configuré avec un point de terminaison d'interface pour Systems Manager](ec2-controls.md#ec2-57)
+ [[EC2.58] VPCs doit être configuré avec un point de terminaison d'interface pour les contacts de Systems Manager Incident Manager](ec2-controls.md#ec2-58)
+ [[EC2.60] VPCs doit être configuré avec un point de terminaison d'interface pour Systems Manager Incident Manager](ec2-controls.md#ec2-60)
+ [[ECR.1] La numérisation des images doit être configurée dans les référentiels privés ECR](ecr-controls.md#ecr-1)
+ [[ECR.2] L'immuabilité des balises doit être configurée dans les référentiels privés ECR](ecr-controls.md#ecr-2)
+ [[ECR.3] Les référentiels ECR doivent avoir au moins une politique de cycle de vie configurée](ecr-controls.md#ecr-3)
+ [[ECR.5] Les référentiels ECR doivent être chiffrés et gérés par le client AWS KMS keys](ecr-controls.md#ecr-5)
+ [[ECS.1] Les définitions de tâches Amazon ECS doivent comporter des modes réseau et des définitions d'utilisateur sécurisés](ecs-controls.md#ecs-1)
+ [[ECS.2] Aucune adresse IP publique ne doit être attribuée automatiquement aux services ECS](ecs-controls.md#ecs-2)
+ [[ECS.3] Les définitions de tâches ECS ne doivent pas partager l'espace de noms de processus de l'hôte](ecs-controls.md#ecs-3)
+ [[ECS.4] Les conteneurs ECS doivent fonctionner comme des conteneurs non privilégiés](ecs-controls.md#ecs-4)
+ [[ECS.5] Les définitions de tâches ECS doivent configurer les conteneurs de manière à ce qu'ils soient limités à l'accès en lecture seule aux systèmes de fichiers racine](ecs-controls.md#ecs-5)
+ [[ECS.8] Les secrets ne doivent pas être transmis en tant que variables d'environnement de conteneur](ecs-controls.md#ecs-8)
+ [[ECS.9] Les définitions de tâches ECS doivent avoir une configuration de journalisation](ecs-controls.md#ecs-9)
+ [[ECS.10] Les services ECS Fargate doivent fonctionner sur la dernière version de la plateforme Fargate](ecs-controls.md#ecs-10)
+ [[ECS.12] Les clusters ECS doivent utiliser Container Insights](ecs-controls.md#ecs-12)
+ [[ECS.17] Les définitions de tâches ECS ne doivent pas utiliser le mode réseau hôte](ecs-controls.md#ecs-17)
+ [[EFS.1] Le système de fichiers Elastic doit être configuré pour chiffrer les données des fichiers au repos à l'aide de AWS KMS](efs-controls.md#efs-1)
+ [[EFS.2] Les volumes Amazon EFS doivent figurer dans des plans de sauvegarde](efs-controls.md#efs-2)
+ [[EFS.3] Les points d'accès EFS devraient imposer un répertoire racine](efs-controls.md#efs-3)
+ [[EFS.4] Les points d'accès EFS doivent renforcer l'identité de l'utilisateur](efs-controls.md#efs-4)
+ [[EFS.6] Les cibles de montage EFS ne doivent pas être associées à des sous-réseaux qui attribuent des adresses IP publiques au lancement](efs-controls.md#efs-6)
+ [[EKS.1] Les points de terminaison du cluster EKS ne doivent pas être accessibles au public](eks-controls.md#eks-1)
+ [[EKS.2] Les clusters EKS doivent fonctionner sur une version de Kubernetes prise en charge](eks-controls.md#eks-2)
+ [[EKS.3] Les clusters EKS doivent utiliser des secrets Kubernetes chiffrés](eks-controls.md#eks-3)
+ [[EKS.8] La journalisation des audits doit être activée sur les clusters EKS](eks-controls.md#eks-8)
+ [[ElastiCache.1] Les sauvegardes automatiques des clusters ElastiCache (Redis OSS) doivent être activées](elasticache-controls.md#elasticache-1)
+ [[ElastiCache.2] les mises à niveau automatiques des versions mineures doivent être activées sur les ElastiCache clusters](elasticache-controls.md#elasticache-2)
+ [[ElastiCache.3] Le basculement automatique doit être activé pour les groupes de ElastiCache réplication](elasticache-controls.md#elasticache-3)
+ [[ElastiCache.4] les groupes de ElastiCache réplication doivent être chiffrés au repos](elasticache-controls.md#elasticache-4)
+ [[ElastiCache.5] les groupes ElastiCache de réplication doivent être chiffrés pendant le transport](elasticache-controls.md#elasticache-5)
+ [[ElastiCache.6] ElastiCache (Redis OSS) des groupes de réplication des versions antérieures doivent avoir Redis OSS AUTH activé](elasticache-controls.md#elasticache-6)
+ [[ElastiCache.7] les ElastiCache clusters ne doivent pas utiliser le groupe de sous-réseaux par défaut](elasticache-controls.md#elasticache-7)
+ [[ElasticBeanstalk.1] Les environnements Elastic Beanstalk devraient être dotés de rapports de santé améliorés](elasticbeanstalk-controls.md#elasticbeanstalk-1)
+ [[ElasticBeanstalk.2] Les mises à jour de la plateforme gérée par Elastic Beanstalk doivent être activées](elasticbeanstalk-controls.md#elasticbeanstalk-2)
+ [[ELB.1] Application Load Balancer doit être configuré pour rediriger toutes les requêtes HTTP vers HTTPS](elb-controls.md#elb-1)
+ [[ELB.2] Les équilibreurs de charge classiques avec SSL/HTTPS écouteurs doivent utiliser un certificat fourni par AWS Certificate Manager](elb-controls.md#elb-2)
+ [[ELB.3] Les écouteurs Classic Load Balancer doivent être configurés avec une terminaison HTTPS ou TLS](elb-controls.md#elb-3)
+ [[ELB.4] Application Load Balancer doit être configuré pour supprimer les en-têtes HTTP non valides](elb-controls.md#elb-4)
+ [[ELB.5] La journalisation des applications et des équilibreurs de charge classiques doit être activée](elb-controls.md#elb-5)
+ [[ELB.6] La protection contre les suppressions doit être activée sur les équilibreurs de charge des applications, des passerelles et du réseau](elb-controls.md#elb-6)
+ [[ELB.7] Le drainage des connexions doit être activé sur les équilibreurs de charge classiques](elb-controls.md#elb-7)
+ [[ELB.8] Les équilibreurs de charge classiques dotés d'écouteurs SSL doivent utiliser une politique de sécurité prédéfinie d'une durée élevée AWS Config](elb-controls.md#elb-8)
+ [[ELB.9] L'équilibrage de charge entre zones doit être activé sur les équilibreurs de charge classiques](elb-controls.md#elb-9)
+ [[ELB.10] Le Classic Load Balancer doit couvrir plusieurs zones de disponibilité](elb-controls.md#elb-10)
+ [[ELB.12] Application Load Balancer doit être configuré avec le mode défensif ou le mode d'atténuation de désynchronisation le plus strict](elb-controls.md#elb-12)
+ [[ELB.13] Les équilibreurs de charge des applications, des réseaux et des passerelles doivent couvrir plusieurs zones de disponibilité](elb-controls.md#elb-13)
+ [[ELB.14] Le Classic Load Balancer doit être configuré avec le mode défensif ou le mode d'atténuation de désynchronisation le plus strict](elb-controls.md#elb-14)
+ [[ELB.16] Les équilibreurs de charge d'application doivent être associés à une ACL Web AWS WAF](elb-controls.md#elb-16)
+ [[ELB.17] Les équilibreurs de charge des applications et du réseau dotés d'écouteurs doivent utiliser les politiques de sécurité recommandées](elb-controls.md#elb-17)
+ [[EMR.1] Les nœuds principaux du cluster Amazon EMR ne doivent pas avoir d'adresses IP publiques](emr-controls.md#emr-1)
+ [[EMR.2] Le paramètre de blocage de l'accès public à Amazon EMR doit être activé](emr-controls.md#emr-2)
+ [[EMR.3] Les configurations de sécurité Amazon EMR doivent être chiffrées au repos](emr-controls.md#emr-3)
+ [[EMR.4] Les configurations de sécurité d'Amazon EMR doivent être cryptées pendant le transport](emr-controls.md#emr-4)
+ [[ES.1] Le chiffrement au repos doit être activé sur les domaines Elasticsearch](es-controls.md#es-1)
+ [[ES.2] Les domaines Elasticsearch ne doivent pas être accessibles au public](es-controls.md#es-2)
+ [[ES.3] Les domaines Elasticsearch doivent chiffrer les données envoyées entre les nœuds](es-controls.md#es-3)
+ [[ES.4] La journalisation des erreurs du domaine Elasticsearch dans les CloudWatch journaux doit être activée](es-controls.md#es-4)
+ [[ES.5] La journalisation des audits doit être activée dans les domaines Elasticsearch](es-controls.md#es-5)
+ [[ES.6] Les domaines Elasticsearch doivent comporter au moins trois nœuds de données](es-controls.md#es-6)
+ [[ES.7] Les domaines Elasticsearch doivent être configurés avec au moins trois nœuds maîtres dédiés](es-controls.md#es-7)
+ [[ES.8] Les connexions aux domaines Elasticsearch doivent être chiffrées conformément à la dernière politique de sécurité TLS](es-controls.md#es-8)
+ [[EventBridge.3] les bus d'événements EventBridge personnalisés doivent être associés à une politique basée sur les ressources](eventbridge-controls.md#eventbridge-3)
+ [[EventBridge.4] la réplication des événements doit être activée sur les points de terminaison EventBridge globaux](eventbridge-controls.md#eventbridge-4)
+ [[FSx.1] FSx pour OpenZFS, les systèmes de fichiers doivent être configurés pour copier les balises dans les sauvegardes et les volumes](fsx-controls.md#fsx-1)
+ [[FSx.2] FSx pour Lustre, les systèmes de fichiers doivent être configurés pour copier les balises dans les sauvegardes](fsx-controls.md#fsx-2)
+ [[Glue.4] Les tâches AWS Glue Spark doivent s'exécuter sur les versions prises en charge de AWS Glue](glue-controls.md#glue-4)
+ [[GuardDuty.1] GuardDuty doit être activé](guardduty-controls.md#guardduty-1)
+ [[IAM.1] Les politiques IAM ne devraient pas autoriser des privilèges administratifs « \* » complets](iam-controls.md#iam-1)
+ [[IAM.2] Les utilisateurs IAM ne doivent pas être associés à des politiques IAM](iam-controls.md#iam-2)
+ [[IAM.3] Les clés d'accès des utilisateurs IAM doivent être renouvelées tous les 90 jours ou moins](iam-controls.md#iam-3)
+ [[IAM.4] La clé d'accès de l'utilisateur root IAM ne doit pas exister](iam-controls.md#iam-4)
+ [[IAM.5] L’authentification multi-facteurs (MFA) doit être activée pour tous les utilisateurs IAM disposant d'un mot de passe de console](iam-controls.md#iam-5)
+ [[IAM.6] Le périphérique MFA matériel doit être activé pour l'utilisateur racine](iam-controls.md#iam-6)
+ [[IAM.7] Les politiques de mot de passe pour les utilisateurs IAM doivent être configurées de manière stricte](iam-controls.md#iam-7)
+ [[IAM.8] Les informations d'identification utilisateur IAM non utilisées doivent être supprimées](iam-controls.md#iam-8)
+ [[IAM.9] La MFA doit être activée pour l'utilisateur root](iam-controls.md#iam-9)
+ [[IAM.19] Le MFA doit être activé pour tous les utilisateurs IAM](iam-controls.md#iam-19)
+ [[IAM.21] Les politiques gérées par le client IAM que vous créez ne doivent pas autoriser les actions génériques pour les services](iam-controls.md#iam-21)
+ [[Kinesis.1] Les flux Kinesis doivent être chiffrés au repos](kinesis-controls.md#kinesis-1)
+ [[KMS.1] Les politiques gérées par le client IAM ne doivent pas autoriser les actions de déchiffrement sur toutes les clés KMS](kms-controls.md#kms-1)
+ [[KMS.2] Les principaux IAM ne devraient pas avoir de politiques IAM en ligne autorisant les actions de déchiffrement sur toutes les clés KMS](kms-controls.md#kms-2)
+ [[KMS.3] ne AWS KMS keys doit pas être supprimé par inadvertance](kms-controls.md#kms-3)
+ [La rotation des AWS KMS touches [KMS.4] doit être activée](kms-controls.md#kms-4)
+ [[Lambda.1] Les politiques relatives à la fonction Lambda devraient interdire l'accès public](lambda-controls.md#lambda-1)
+ [[Lambda.2] Les fonctions Lambda doivent utiliser les environnements d'exécution pris en charge](lambda-controls.md#lambda-2)
+ [[Lambda.3] Les fonctions Lambda doivent se trouver dans un VPC](lambda-controls.md#lambda-3)
+ [[Lambda.5] Les fonctions Lambda VPC doivent fonctionner dans plusieurs zones de disponibilité](lambda-controls.md#lambda-5)
+ [[Lambda.7] Le suivi actif doit être activé pour les fonctions Lambda AWS X-Ray](lambda-controls.md#lambda-7)
+ [[Macie.1] Amazon Macie devrait être activé](macie-controls.md#macie-1)
+ [[Macie.2] La découverte automatique des données sensibles par Macie doit être activée](macie-controls.md#macie-2)
+ [[MSK.1] Les clusters MSK doivent être chiffrés lors du transit entre les nœuds du broker](msk-controls.md#msk-1)
+ [[MSK.2] La surveillance améliorée des clusters MSK doit être configurée](msk-controls.md#msk-2)
+ [[MQ.2] Les courtiers ActiveMQ devraient diffuser les journaux d'audit à CloudWatch](mq-controls.md#mq-2)
+ [[MQ.3] Les courtiers Amazon MQ devraient activer la mise à niveau automatique des versions mineures](mq-controls.md#mq-3)
+ [[MQ.5] Les courtiers ActiveMQ doivent utiliser le mode déploiement active/standby](mq-controls.md#mq-5)
+ [[MQ.6] Les courtiers RabbitMQ doivent utiliser le mode de déploiement en cluster](mq-controls.md#mq-6)
+ [[Neptune.1] Les clusters de base de données Neptune doivent être chiffrés au repos](neptune-controls.md#neptune-1)
+ [[Neptune.2] Les clusters de base de données Neptune devraient publier les journaux d'audit dans Logs CloudWatch](neptune-controls.md#neptune-2)
+ [[Neptune.3] Les instantanés du cluster de base de données Neptune ne doivent pas être publics](neptune-controls.md#neptune-3)
+ [[Neptune.4] La protection contre la suppression des clusters de base de données Neptune doit être activée](neptune-controls.md#neptune-4)
+ [[Neptune.5] Les sauvegardes automatiques des clusters de base de données Neptune doivent être activées](neptune-controls.md#neptune-5)
+ [[Neptune.6] Les instantanés du cluster de base de données Neptune doivent être chiffrés au repos](neptune-controls.md#neptune-6)
+ [[Neptune.7] L'authentification de base de données IAM doit être activée sur les clusters de base de données Neptune](neptune-controls.md#neptune-7)
+ [[Neptune.8] Les clusters de base de données Neptune doivent être configurés pour copier des balises dans des instantanés](neptune-controls.md#neptune-8)
+ [[Neptune.9] Les clusters de base de données Neptune doivent être déployés dans plusieurs zones de disponibilité](neptune-controls.md#neptune-9)
+ [[NetworkFirewall.1] Les pare-feux Network Firewall doivent être déployés dans plusieurs zones de disponibilité](networkfirewall-controls.md#networkfirewall-1)
+ [[NetworkFirewall.2] La journalisation du Network Firewall doit être activée](networkfirewall-controls.md#networkfirewall-2)
+ [[NetworkFirewall.3] Les politiques de Network Firewall doivent être associées à au moins un groupe de règles](networkfirewall-controls.md#networkfirewall-3)
+ [[NetworkFirewall.4] L'action apatride par défaut pour les politiques de Network Firewall doit être drop or forward pour les paquets complets](networkfirewall-controls.md#networkfirewall-4)
+ [[NetworkFirewall.5] L'action apatride par défaut pour les politiques de Network Firewall doit être drop or forward pour les paquets fragmentés](networkfirewall-controls.md#networkfirewall-5)
+ [[NetworkFirewall.6] Le groupe de règles Stateless Network Firewall ne doit pas être vide](networkfirewall-controls.md#networkfirewall-6)
+ [[NetworkFirewall.9] La protection contre les suppressions doit être activée sur les pare-feux Network Firewall](networkfirewall-controls.md#networkfirewall-9)
+ [[NetworkFirewall.10] La protection contre les modifications de sous-réseau doit être activée sur les pare-feux Network Firewall](networkfirewall-controls.md#networkfirewall-10)
+ [Le chiffrement au repos doit être activé OpenSearch dans les domaines [Opensearch.1]](opensearch-controls.md#opensearch-1)
+ [Les OpenSearch domaines [Opensearch.2] ne doivent pas être accessibles au public](opensearch-controls.md#opensearch-2)
+ [[Opensearch.3] Les OpenSearch domaines doivent crypter les données envoyées entre les nœuds](opensearch-controls.md#opensearch-3)
+ [[Opensearch.4] La journalisation des erreurs de OpenSearch domaine dans CloudWatch Logs doit être activée](opensearch-controls.md#opensearch-4)
+ [[Opensearch.5] la journalisation des audits doit être activée sur les OpenSearch domaines](opensearch-controls.md#opensearch-5)
+ [Les OpenSearch domaines [Opensearch.6] doivent avoir au moins trois nœuds de données](opensearch-controls.md#opensearch-6)
+ [Le contrôle d'accès détaillé des OpenSearch domaines [Opensearch.7] doit être activé](opensearch-controls.md#opensearch-7)
+ [[Opensearch.8] Les connexions aux OpenSearch domaines doivent être cryptées selon la dernière politique de sécurité TLS](opensearch-controls.md#opensearch-8)
+ [Les OpenSearch domaines [Opensearch.10] doivent avoir la dernière mise à jour logicielle installée](opensearch-controls.md#opensearch-10)
+ [[Opensearch.11] OpenSearch les domaines doivent avoir au moins trois nœuds principaux dédiés](opensearch-controls.md#opensearch-11)
+ [[PCA.1] L'autorité de certification AWS CA privée racine doit être désactivée](pca-controls.md#pca-1)
+ [[RDS.1] L'instantané RDS doit être privé](rds-controls.md#rds-1)
+ [[RDS.2] Les instances de base de données RDS doivent interdire l'accès public, tel que déterminé par la configuration PubliclyAccessible](rds-controls.md#rds-2)
+ [[RDS.3] Le chiffrement au repos doit être activé pour les instances DB RDS](rds-controls.md#rds-3)
+ [[RDS.4] Les instantanés du cluster RDS et les instantanés de base de données doivent être chiffrés au repos](rds-controls.md#rds-4)
+ [[RDS.5] Les instances de base de données RDS doivent être configurées avec plusieurs zones de disponibilité](rds-controls.md#rds-5)
+ [[RDS.6] Une surveillance améliorée doit être configurée pour les instances de base de données RDS](rds-controls.md#rds-6)
+ [[RDS.7] La protection contre la suppression des clusters RDS doit être activée](rds-controls.md#rds-7)
+ [[RDS.8] La protection contre la suppression des instances de base de données RDS doit être activée](rds-controls.md#rds-8)
+ [[RDS.9] Les instances de base de données RDS doivent publier des journaux dans Logs CloudWatch](rds-controls.md#rds-9)
+ [[RDS.10] L'authentification IAM doit être configurée pour les instances RDS](rds-controls.md#rds-10)
+ [[RDS.11] Les sauvegardes automatiques des instances RDS doivent être activées](rds-controls.md#rds-11)
+ [[RDS.12] L'authentification IAM doit être configurée pour les clusters RDS](rds-controls.md#rds-12)
+ [[RDS.13] Les mises à niveau automatiques des versions mineures de RDS devraient être activées](rds-controls.md#rds-13)
+ [[RDS.14] Le retour en arrière devrait être activé sur les clusters Amazon Aurora](rds-controls.md#rds-14)
+ [[RDS.15] Les clusters de base de données RDS doivent être configurés pour plusieurs zones de disponibilité](rds-controls.md#rds-15)
+ [[RDS.16] Les clusters de base de données Aurora doivent être configurés pour copier des balises dans des instantanés de base de données](rds-controls.md#rds-16)
+ [[RDS.17] Les instances de base de données RDS doivent être configurées pour copier des balises dans des instantanés](rds-controls.md#rds-17)
+ [[RDS.19] Les abonnements existants aux notifications d'événements RDS doivent être configurés pour les événements critiques du cluster](rds-controls.md#rds-19)
+ [[RDS.20] Les abonnements existants aux notifications d'événements RDS doivent être configurés pour les événements critiques relatifs aux instances de base de données](rds-controls.md#rds-20)
+ [[RDS.21] Un abonnement aux notifications d'événements RDS doit être configuré pour les événements critiques de groupes de paramètres de base de données](rds-controls.md#rds-21)
+ [[RDS.22] Un abonnement aux notifications d'événements RDS doit être configuré pour les événements critiques des groupes de sécurité de base de données](rds-controls.md#rds-22)
+ [[RDS.23] Les instances RDS ne doivent pas utiliser le port par défaut d'un moteur de base de données](rds-controls.md#rds-23)
+ [[RDS.24] Les clusters de base de données RDS doivent utiliser un nom d'utilisateur d'administrateur personnalisé](rds-controls.md#rds-24)
+ [[RDS.25] Les instances de base de données RDS doivent utiliser un nom d'utilisateur d'administrateur personnalisé](rds-controls.md#rds-25)
+ [[RDS.26] Les instances de base de données RDS doivent être protégées par un plan de sauvegarde](rds-controls.md#rds-26)
+ [[RDS.27] Les clusters de base de données RDS doivent être chiffrés au repos](rds-controls.md#rds-27)
+ [[RDS.34] Les clusters de base de données Aurora MySQL doivent publier les journaux d'audit dans Logs CloudWatch](rds-controls.md#rds-34)
+ [[RDS.35] La mise à niveau automatique des versions mineures des clusters de base de données RDS doit être activée](rds-controls.md#rds-35)
+ [[RDS.40] Les instances de base de données RDS pour SQL Server doivent publier les journaux dans Logs CloudWatch](rds-controls.md#rds-40)
+ [[RDS.42] Les instances de base de données RDS pour MariaDB devraient publier les journaux dans Logs CloudWatch](rds-controls.md#rds-42)
+ [[RDS.45] La journalisation des audits doit être activée sur les clusters de base de données Aurora MySQL](rds-controls.md#rds-45)
+ [[Redshift.1] Les clusters Amazon Redshift devraient interdire l'accès public](redshift-controls.md#redshift-1)
+ [[Redshift.2] Les connexions aux clusters Amazon Redshift doivent être chiffrées pendant le transit](redshift-controls.md#redshift-2)
+ [[Redshift.3] Les snapshots automatiques doivent être activés sur les clusters Amazon Redshift](redshift-controls.md#redshift-3)
+ [[Redshift.4] La journalisation des audits doit être activée sur les clusters Amazon Redshift](redshift-controls.md#redshift-4)
+ [[Redshift.6] Amazon Redshift devrait activer les mises à niveau automatiques vers les versions majeures](redshift-controls.md#redshift-6)
+ [[Redshift.7] Les clusters Redshift doivent utiliser un routage VPC amélioré](redshift-controls.md#redshift-7)
+ [[Redshift.8] Les clusters Amazon Redshift ne doivent pas utiliser le nom d'utilisateur d'administrateur par défaut](redshift-controls.md#redshift-8)
+ [[Redshift.10] Les clusters Redshift doivent être chiffrés au repos](redshift-controls.md#redshift-10)
+ [[RedshiftServerless.4] Les espaces de noms Redshift Serverless doivent être chiffrés et gérés par le client AWS KMS keys](redshiftserverless-controls.md#redshiftserverless-4)
+ [[Route53.2] Les zones hébergées publiques de Route 53 doivent enregistrer les requêtes DNS](route53-controls.md#route53-2)
+ [[S3.1] Les paramètres de blocage de l'accès public aux compartiments S3 à usage général devraient être activés](s3-controls.md#s3-1)
+ [[S3.2] Les compartiments à usage général S3 devraient bloquer l'accès public à la lecture](s3-controls.md#s3-2)
+ [[S3.3] Les compartiments à usage général S3 devraient bloquer l'accès public en écriture](s3-controls.md#s3-3)
+ [[S3.5] Les compartiments à usage général S3 devraient nécessiter des demandes d'utilisation du protocole SSL](s3-controls.md#s3-5)
+ [[S3.6] Les politiques générales relatives aux compartiments S3 devraient restreindre l'accès à d'autres Comptes AWS](s3-controls.md#s3-6)
+ [[S3.7] Les compartiments à usage général S3 doivent utiliser la réplication entre régions](s3-controls.md#s3-7)
+ [[S3.8] Les compartiments à usage général S3 devraient bloquer l'accès public](s3-controls.md#s3-8)
+ [[S3.9] La journalisation des accès au serveur doit être activée dans les compartiments S3 à usage général](s3-controls.md#s3-9)
+ [[S3.10] Les compartiments S3 à usage général avec la gestion des versions activée doivent avoir des configurations de cycle de vie](s3-controls.md#s3-10)
+ [[S3.11] Les notifications d'événements devraient être activées dans les compartiments S3 à usage général](s3-controls.md#s3-11)
+ [[S3.12] ne ACLs doit pas être utilisé pour gérer l'accès des utilisateurs aux compartiments S3 à usage général](s3-controls.md#s3-12)
+ [[S3.13] Les compartiments à usage général S3 doivent avoir des configurations de cycle de vie](s3-controls.md#s3-13)
+ [[S3.14] La gestion des versions des compartiments S3 à usage général devrait être activée](s3-controls.md#s3-14)
+ [[S3.15] Object Lock doit être activé dans les compartiments S3 à usage général](s3-controls.md#s3-15)
+ [[S3.17] Les compartiments S3 à usage général doivent être chiffrés au repos avec AWS KMS keys](s3-controls.md#s3-17)
+ [[S3.19] Les paramètres de blocage de l'accès public doivent être activés sur les points d'accès S3](s3-controls.md#s3-19)
+ [[S3.20] La suppression MFA des compartiments S3 à usage général doit être activée](s3-controls.md#s3-20)
+ [[SageMaker.1] Les instances d'Amazon SageMaker Notebook ne doivent pas avoir d'accès direct à Internet](sagemaker-controls.md#sagemaker-1)
+ [[SageMaker.2] les instances de SageMaker bloc-notes doivent être lancées dans un VPC personnalisé](sagemaker-controls.md#sagemaker-2)
+ [[SageMaker.3] Les utilisateurs ne doivent pas avoir d'accès root aux instances de SageMaker bloc-notes](sagemaker-controls.md#sagemaker-3)
+ [[SageMaker.4] Le nombre d'instances initial des variantes de production des SageMaker terminaux doit être supérieur à 1](sagemaker-controls.md#sagemaker-4)
+ [[SecretsManager.1] La rotation automatique des secrets de Secrets Manager doit être activée](secretsmanager-controls.md#secretsmanager-1)
+ [[SecretsManager.2] Les secrets de Secrets Manager configurés avec une rotation automatique devraient être correctement pivotés](secretsmanager-controls.md#secretsmanager-2)
+ [[SecretsManager.3] Supprimer les secrets inutilisés du Gestionnaire de Secrets Manager](secretsmanager-controls.md#secretsmanager-3)
+ [[SecretsManager.4] Les secrets de Secrets Manager doivent être renouvelés dans un délai spécifié](secretsmanager-controls.md#secretsmanager-4)
+ [[ServiceCatalog.1] Les portefeuilles de Service Catalog ne doivent être partagés qu'au sein d'une AWS organisation](servicecatalog-controls.md#servicecatalog-1)
+ [[SNS.1] Les sujets SNS doivent être chiffrés au repos à l'aide de AWS KMS](sns-controls.md#sns-1)
+ [[SQS.1] Les files d'attente Amazon SQS doivent être chiffrées au repos](sqs-controls.md#sqs-1)
+ [[SSM.1] Les instances Amazon EC2 doivent être gérées par AWS Systems Manager](ssm-controls.md#ssm-1)
+ [[SSM.2] Les instances Amazon EC2 gérées par Systems Manager doivent avoir un statut de conformité aux correctifs de COMPLIANT après l'installation d'un correctif](ssm-controls.md#ssm-2)
+ [[SSM.3] Les instances Amazon EC2 gérées par Systems Manager doivent avoir le statut de conformité d'association COMPLIANT](ssm-controls.md#ssm-3)
+ [[SSM.4] Les documents du SSM ne doivent pas être publics](ssm-controls.md#ssm-4)
+ [[Transfer.2] Les serveurs Transfer Family ne doivent pas utiliser le protocole FTP pour la connexion des terminaux](transfer-controls.md#transfer-2)
+ [[Transfer.3] La journalisation des connecteurs Transfer Family doit être activée](transfer-controls.md#transfer-3)
+ [[WAF.1] La journalisation ACL Web globale AWS WAF classique doit être activée](waf-controls.md#waf-1)
+ [[WAF.2] Les règles régionales AWS WAF classiques doivent comporter au moins une condition](waf-controls.md#waf-2)
+ [[WAF.3] Les groupes de règles régionaux AWS WAF classiques doivent avoir au moins une règle](waf-controls.md#waf-3)
+ [[WAF.4] Le Web régional AWS WAF classique ACLs doit comporter au moins une règle ou un groupe de règles](waf-controls.md#waf-4)
+ [[WAF.6] Les règles globales AWS WAF classiques doivent comporter au moins une condition](waf-controls.md#waf-6)
+ [[WAF.7] Les groupes de règles globaux AWS WAF classiques doivent avoir au moins une règle](waf-controls.md#waf-7)
+ [[WAF.8] Le Web global AWS WAF classique ACLs doit comporter au moins une règle ou un groupe de règles](waf-controls.md#waf-8)
+ [[WAF.10] le AWS WAF Web ACLs doit avoir au moins une règle ou un groupe de règles](waf-controls.md#waf-10)
+ [[WAF.11] La journalisation des ACL AWS WAF Web doit être activée](waf-controls.md#waf-11)
+ [Les AWS WAF règles [WAF.12] doivent avoir des métriques activées CloudWatch](waf-controls.md#waf-12)