Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
# Playbooks
Cette solution inclut les correctifs pour les normes de sécurité définies dans le cadre du [ Center for Internet Security (CIS) AWS Foundations Benchmark v1.2.0](https://docs.aws.amazon.com/securityhub/latest/userguide/cis-aws-foundations-benchmark.html#cis1v2-standard), CIS AWS Foundations Benchmark v1.4.0, [ CIS AWS Foundations Benchmark v3.0.0](https://docs.aws.amazon.com/securityhub/latest/userguide/cis-aws-foundations-benchmark.html#cis1v4-standard), [[ AWS Foundational Security Best Practices (FSBP) v1.0.0 ](https://docs.aws.amazon.com/securityhub/latest/userguide/fsbp-standard.html)](https://docs.aws.amazon.com/securityhub/latest/userguide/cis-aws-foundations-benchmark.html#cis3v0-standard), [ Payment Card Industry Data Security Standard () v3.2.1 ](https://docs.aws.amazon.com/securityhub/latest/userguide/pci-standard.html) et National Institute of Standards and Technology (NISTPCI-DSS). [https://docs.aws.amazon.com/securityhub/latest/userguide/nist-standard.html](https://docs.aws.amazon.com/securityhub/latest/userguide/nist-standard.html)
Si les résultats des contrôles consolidés sont activés, ces contrôles sont pris en charge dans toutes les normes. Si cette fonctionnalité est activée, seul le playbook SC doit être déployé. Si ce n'est pas le cas, les playbooks sont pris en charge conformément aux normes répertoriées précédemment.
**Important**
Ne déployez les playbooks que pour les normes activées afin d'éviter d'atteindre les quotas de service.
Pour plus de détails sur une correction spécifique, consultez le document d'automatisation de Systems Manager portant le nom déployé par la solution dans votre compte. Accédez à la console [ AWS Systems Manager](https://console.aws.amazon.com/systems-manager/), puis dans le volet de navigation, choisissez ** Documents**.
| Description | AWS FSBP | CIS v1.2.0 | PCI v3.2.1 | CIS v1.4.0 | NIST | CIS v3.0.0 | ID de contrôle de sécurité |
| --- | --- | --- | --- | --- | --- | --- | --- |
| **Total des mesures correctives ** | 63 | 34 | 29 | 33 | 65 | 19 | 90 |
| **ASR-EnableAutoScalingGroupELBHealthCheck**
Les groupes Auto Scaling associés à un équilibreur de charge doivent utiliser des contrôles de santé de l'équilibreur de charge | AutoScaling.1 | | AutoScaling.1 | | AutoScaling.1 | | AutoScaling.1 |
| **ASR-ConfigureAutoScalingLaunchConfigToRequireIMDSv2**
Les configurations de lancement de groupe Auto Scaling doivent configurer les instances EC2 pour qu'elles nécessitent le service de métadonnées d'instance version 2 (IMDSv2) | | | | | AutoScaling.3 | | AutoScaling.3 |
| **ASR-CreateCloudTrailMultiRegionTrail**
CloudTrail doit être activé et configuré avec au moins un sentier multirégional | CloudTrail.1 | 2.1 | CloudTrail.2 | 3.1 | CloudTrail.1 | 3.1 | CloudTrail.1 |
| **ASR-EnableEncryption**
CloudTrail devrait avoir activé le chiffrement au repos | CloudTrail.2 | 2.7 | CloudTrail.1 | 3.7 | CloudTrail.2 | 3,5 | CloudTrail.2 |
| **ASR-EnableLogFileValidation**
Assurez-vous que la validation du fichier CloudTrail journal est activée | CloudTrail.4 | 2.2 | CloudTrail.3 | 3.2 | CloudTrail.4 | | CloudTrail.4 |
| **ASR-EnableCloudTrailToCloudWatchLogging**
Assurez-vous que les CloudTrail sentiers sont intégrés à Amazon CloudWatch Logs | CloudTrail.5 | 2,4 | CloudTrail.4 | 3.4 | CloudTrail.5 | | CloudTrail.5 |
| **ASR-ConfigureS3BucketLogging**
Assurez-vous que la journalisation de l'accès au compartiment S3 est activée sur le compartiment CloudTrail S3 | | 2.6 | | 3.6 | | 3.4 | CloudTrail.7 |
| **ASR-ReplaceCodeBuildClearTextCredentials**
CodeBuild les variables d'environnement du projet ne doivent pas contenir d'informations d'identification en texte clair | CodeBuild.2 | | CodeBuild.2 | | CodeBuild.2 | | CodeBuild.2 |
| **ASR-EnableAWSConfig**
Assurez-vous qu'AWS Config est activé | Config.1 | 2,5 | Config.1 | 3,5 | Config.1 | 3.3 | Config.1 |
| **ASR-MakeEBSSnapshotsPrivate**
Les instantanés Amazon EBS ne doivent pas être restaurables publiquement | EC2.1 | | EC2.1 | | EC2.1 | | EC2.1 |
| **ASR-RemoveVPCDefaultSecurityGroupRules**
Le groupe de sécurité par défaut du VPC doit interdire le trafic entrant et sortant | EC2.2 | 4.3 | EC2.2 | 5.3 | EC2.2 | 5,4 | EC2.2 |
| **ASR-EnableVPCFlowLogs**
La journalisation des flux VPC doit être activée dans tous les VPC | EC2.6 | 2,9 | EC2.6 | 3.9 | EC2.6 | 3.7 | EC2.6 |
| **ASR-EnableEbsEncryptionByDefault**
Le cryptage EBS par défaut doit être activé | EC2.7 | 2.2.1 | | | EC2.7 | 2.2.1 | EC2.7 |
| **ASR-RevokeUnrotatedKeys**
Les clés d'accès des utilisateurs doivent être renouvelées tous les 90 jours ou moins | IAM.3 | 1.4 | | 1.14 | IAM.3 | 1.14 | IAM.3 |
| **ASR-SetIAMPasswordPolicy**
Politique de mot de passe par défaut d'IAM | IAM.7 | 1,5 à 1,11 | IAM.8 | 1.8 | IAM.7 | 1.8 | IAM.7 |
| **ASR-RevokeUnusedIAMUserCredentials**
Les informations d'identification utilisateur doivent être désactivées si elles ne sont pas utilisées dans les 90 jours | IAM.8 | 1.3 | IAM.7 | | IAM.8 | | IAM.8 |
| **ASR-RevokeUnusedIAMUserCredentials**
Les informations d'identification utilisateur doivent être désactivées si elles ne sont pas utilisées dans les 45 jours | | | | 1.12 | | 1.12 | IAM.22 |
| **ASR-RemoveLambdaPublicAccess**
Les fonctions Lambda devraient interdire l'accès public | Lambda.1 | | Lambda.1 | | Lambda.1 | | Lambda.1 |
| **ASR-MakeRDSSnapshotPrivate**
Les instantanés RDS devraient interdire l'accès public | RDS.1 | | RDS.1 | | RDS.1 | | RDS.1 |
| **ASR-DisablePublicAccessToRDSInstance**
Les instances de base de données RDS doivent interdire l'accès public | RDS.2 | | RDS.2 | | RDS.2 | 2.3.3 | RDS.2 |
| **ASR-EncryptRDSSnapshot**
Les instantanés du cluster RDS et les instantanés de base de données doivent être chiffrés au repos | RDS.4 | | | | RDS.4 | | RDS.4 |
| **ASR-EnableMultiAZOnRDSInstance**
Les instances de base de données RDS doivent être configurées avec plusieurs zones de disponibilité | RDS.5 | | | | RDS.5 | | RDS.5 |
| **ASR-EnableEnhancedMonitoringOnRDSInstance**
Une surveillance améliorée doit être configurée pour les instances et les clusters de bases de données RDS | RDS.6 | | | | RDS.6 | | RDS.6 |
| **ASR-EnableRDSClusterDeletionProtection**
La protection contre la suppression des clusters RDS doit être activée | RDS.7 | | | | RDS.7 | | RDS.7 |
| **ASR-EnableRDSInstanceDeletionProtection**
La protection contre la suppression des instances de base de données RDS doit être activée | RDS.8 | | | | RDS.8 | | RDS.8 |
| **ASR-EnableMinorVersionUpgradeOnRDSDBInstance**
Les mises à niveau automatiques des versions mineures de RDS doivent être activées | RDS.13 | | | | RDS.13 | 2.3.2 | RDS.13 |
| **ASR-EnableCopyTagsToSnapshotOnRDSCluster**
Les clusters de bases de données RDS doivent être configurés pour copier les balises dans les instantanés | RDS.16 | | | | RDS.16 | | RDS.16 |
| **ASR-DisablePublicAccessToRedshiftCluster**
Les clusters Amazon Redshift devraient interdire l'accès public | Redshift.1 | | Redshift.1 | | Redshift.1 | | Redshift.1 |
| **ASR-EnableAutomaticSnapshotsOnRedshiftCluster**
Les snapshots automatiques doivent être activés sur les clusters Amazon Redshift | Redshift.3 | | | | Redshift.3 | | Redshift.3 |
| **ASR-EnableRedshiftClusterAuditLogging**
La journalisation des audits doit être activée pour les clusters Amazon Redshift | Redshift.4 | | | | Redshift.4 | | Redshift.4 |
| **ASR-EnableAutomaticVersionUpgradeOnRedshiftCluster**
Les mises à niveau automatiques vers les versions majeures d'Amazon Redshift devraient être activées | Redshift.6 | | | | Redshift.6 | | Redshift.6 |
| **ASR-ConfigureS3PublicAccessBlock**
Le paramètre S3 Block Public Access doit être activé | S3.1 | 2.3 | S3.6 | 2.1.5.1 | S3.1 | 2.1.4 | S3.1 |
| **ASR-ConfigureS3BucketPublicAccessBlock**
Les compartiments S3 devraient interdire l'accès public en lecture | S3.2 | | S3.2 | 2.1.5.2 | S3.2 | | S3.2 |
| **ASR-ConfigureS3BucketPublicAccessBlock**
Les compartiments S3 devraient interdire l'accès public à l'écriture | | S3.3 | | | | | S3.3 |
| **ASR-EnableDefaultEncryptionS3**
Le chiffrement côté serveur doit être activé pour les compartiments S3 | S3.4 | | S3.4 | 2.1.1 | S3.4 | | S3.4 |
| **ASR-SetSSLBucketPolicy**
Les compartiments S3 devraient nécessiter des requêtes pour utiliser le protocole SSL | S3.5 | | S3.5 | 2.1.2 | S3.5 | 2.1.1 | S3.5 |
| **ASR-S3BlockDenylist**
Les autorisations Amazon S3 accordées à d'autres comptes AWS dans le cadre des politiques de bucket doivent être limitées | S3.6 | | | | S3.6 | | S3.6 |
| Le paramètre S3 Block Public Access doit être activé au niveau du bucket | S3.8 | | | | S3.8 | | S3.8 |
| **ASR-ConfigureS3BucketPublicAccessBlock**
Assurez-vous que le compartiment S3 auquel CloudTrail se connecte n'est pas accessible au public | | 2.3 | | | | | CloudTrail.6 |
| **ASR-CreateAccessLoggingBucket**
Assurez-vous que la journalisation de l'accès au compartiment S3 est activée sur le compartiment CloudTrail S3 | | 2.6 | | | | | CloudTrail.7 |
| **ASR-EnableKeyRotation**
Assurez-vous que la rotation des CMK créés par les clients est activée | | 2,8 | KMS.1 | 3.8 | KMS.4 | 3.6 | KMS.4 |
| **ASR-CreateLogMetricFilterAndAlarm**
Vérifier qu'il existe un filtre de métrique de journaux et une alarme pour les appels d'API non autorisés | | 3.1 | | 4.1 | | | CloudWatch.1 |
| **ASR-CreateLogMetricFilterAndAlarm**
Assurez-vous qu'un filtre de mesure du journal et une alarme existent pour la connexion à AWS Management Console sans MFA | | 3.2 | | 4.2 | | | CloudWatch.2 |
| **ASR-CreateLogMetricFilterAndAlarm**
Assurez-vous qu'un filtre de mesure du journal et une alarme existent pour l'utilisation de l'utilisateur « root » | | 3.3 | CW.1 | 4.3 | | | CloudWatch.3 |
| **ASR-CreateLogMetricFilterAndAlarm**
Vérifier qu'il existe un filtre de métrique de journaux et une alarme pour les modifications de politique IAM | | 3.4 | | 4,4 | | | CloudWatch.4 |
| **ASR-CreateLogMetricFilterAndAlarm**
Assurez-vous qu'un filtre de mesure du journal et une alarme existent pour les modifications CloudTrail de configuration | | 3,5 | | 4,5 | | | CloudWatch.5 |
| **ASR-CreateLogMetricFilterAndAlarm**
Assurez-vous qu'un filtre de mesure du journal et une alarme existent pour les échecs d'authentification d'AWS Management Console | | 3.6 | | 4,6 | | | CloudWatch.6 |
| **ASR-CreateLogMetricFilterAndAlarm**
Vérifier qu'il existe un filtre de métrique de journaux et une alarme pour la désactivation ou la suppression planifiée des clés CMK créées par le client | | 3.7 | | 4,7 | | | CloudWatch.7 |
| **ASR-CreateLogMetricFilterAndAlarm**
Vérifier qu'il existe un filtre de métrique de journaux et une alarme pour les modifications de politique de compartiment S3 | | 3.8 | | 4,8 | | | CloudWatch.8 |
| **ASR-CreateLogMetricFilterAndAlarm**
Assurez-vous qu'un filtre de mesure du journal et une alarme existent pour les modifications de configuration d'AWS Config | | 3.9 | | 4,9 | | | CloudWatch.9 |
| **ASR-CreateLogMetricFilterAndAlarm**
Vérifier qu'il existe un filtre de métrique de journaux et une alarme pour les modifications des groupes de sécurité | | 3,10 | | 4,10 | | | CloudWatch.10 |
| **ASR-CreateLogMetricFilterAndAlarm**
Vérifier qu'il existe un filtre de métrique de journaux et une alarme pour les modifications des listes de contrôle d'accès réseau (ACL réseau) | | 3,11 | | 4,11 | | | CloudWatch.11 |
| **ASR-CreateLogMetricFilterAndAlarm**
Vérifier qu'il existe un filtre de métrique de journaux et une alarme pour les modifications des passerelles réseau | | 3,12 | | 4,12 | | | CloudWatch.12 |
| **ASR-CreateLogMetricFilterAndAlarm**
Vérifier qu'il existe un filtre de métrique de journaux et une alarme pour les modifications des tables de routage | | 3.13 | | 4,13 | | | CloudWatch.13 |
| **ASR-CreateLogMetricFilterAndAlarm**
Vérifier qu'il existe un filtre de métrique de journaux et une alarme pour les modifications VPC | | 3,14 | | 4,14 | | | CloudWatch.14 |
| **AWS-DisablePublicAccessForSecurityGroup**
Assurez-vous qu'aucun groupe de sécurité n'autorise l'entrée depuis la version 0.0.0. 0/0 vers le port 22 | | 4.1 | EC2.5 | | EC2.13 | | EC2.13 |
| **AWS-DisablePublicAccessForSecurityGroup**
Assurez-vous qu'aucun groupe de sécurité n'autorise l'entrée depuis la version 0.0.0. 0/0 vers le port 3389 | | 4.2 | | | EC2.14 | | EC2.14 |
| **ASR-ConfigureSNSTopicForStack** | CloudFormation.1 | | | | CloudFormation.1 | | CloudFormation.1 |
| **ASR-CreateIAMSupportRole** | | 1,20 | | 1,17 | | 1,17 | IAM.18 |
| **ASR-DisablePublicIPAutoAssign**
Les sous-réseaux Amazon EC2 ne doivent pas attribuer automatiquement des adresses IP publiques | EC2.15 | | | | EC2.15 | | EC2.15 |
| **ASR-EnableCloudTrailLogFileValidation** | CloudTrail.4 | 2.2 | CloudTrail.3 | 3.2 | | | CloudTrail.4 |
| **ASR-EnableEncryptionForSNSTopic** | SNS.1 | | | | SNS.1 | | SNS.1 |
| **ASR-EnableDeliveryStatusLoggingForSNSTopic**
L'enregistrement de l'état de livraison doit être activé pour les messages de notification envoyés à un sujet | SNS.2 | | | | SNS.2 | | SNS.2 |
| **ASR-EnableEncryptionForSQSQueue** | SQS.1 | | | | SQS.1 | | SQS.1 |
| **ASR-MakeRDSSnapshotPrivate**L'instantané RDS doit être privé | RDS.1 | | RDS.1 | | | | RDS.1 |
| **ASR-BlockSSMDocumentPublicAccess**
Les documents SSM ne doivent pas être publics | SSM.4 | | | | SSM.4 | | SSM.4 |
| **ASR-EnableCloudFrontDefaultRootObject**
CloudFront les distributions doivent avoir un objet racine configuré par défaut | CloudFront.1 | | | | CloudFront.1 | | CloudFront.1 |
| **ASR-SetCloudFrontOriginDomain**
CloudFront les distributions ne doivent pas pointer vers des origines S3 inexistantes | CloudFront.12 | | | | CloudFront.12 | | CloudFront.12 |
| **ASR-RemoveCodeBuildPrivilegedMode**
CodeBuild les environnements de projet doivent disposer d'une configuration AWS de journalisation | CodeBuild.5 | | | | CodeBuild.5 | | CodeBuild.5 |
| **ASR-TerminateEC2Instance**
Les instances EC2 arrêtées doivent être supprimées après une période spécifiée | EC2.4 | | | | EC2.4 | | EC2.4 |
| **ASR-EnableIMDSV2OnInstance**
Les instances EC2 doivent utiliser le service de métadonnées d'instance version 2 (IMDSv2) | EC2.8 | | | | EC2.8 | 5.6 | EC2.8 |
| **ASR-RevokeUnauthorizedInboudRules**
Les groupes de sécurité ne doivent autoriser le trafic entrant sans restriction que pour les ports autorisés | EC2.18 | | | | EC2.18 | | EC2.18 |
| **ASR-DisableUnrestrictedAccessToHighRiskPorts**
Les groupes de sécurité ne devraient pas autoriser un accès illimité aux ports présentant un risque élevé | EC2.19 | | | | EC2.19 | | EC2.19 |
| **ASR-DisableTGWAutoAcceptSharedAttachments**
Amazon EC2 Transit Gateways ne doit pas accepter automatiquement les demandes de pièces jointes VPC | EC2.23 | | | | EC2.23 | | EC2.23 |
| **ASR-EnablePrivateRepositoryScanning**
La numérisation des images doit être configurée dans les référentiels privés ECR | ECR.1 | | | | ECR.1 | | ECR.1 |
| **ASR-EnableGuardDuty**
GuardDuty doit être activé | GuardDuty.1 | | GuardDuty.1 | | GuardDuty.1 | | GuardDuty.1 |
| **ASR-ConfigureS3BucketLogging**
La journalisation des accès au serveur de compartiments S3 doit être activée | S3.9 | | | | S3.9 | | S3.9 |
| **ASR-EnableBucketEventNotifications**
Les notifications d'événements doivent être activées dans les compartiments S3 | S3.11 | | | | S3.11 | | S3.11 |
| **ASR-SetS3LifecyclePolicy**
Les politiques de cycle de vie des compartiments S3 doivent être configurées | S3.13 | | | | S3.13 | | S3.13 |
| **ASR-EnableAutoSecretRotation**
La rotation automatique des secrets de Secrets Manager doit être activée | SecretsManager.1 | | | | SecretsManager.1 | | SecretsManager.1 |
| **ASR-RemoveUnusedSecret**
Supprimer les secrets non utilisés de Secrets Manager | SecretsManager.3 | | | | SecretsManager.3 | | SecretsManager.3 |
| **ASR-UpdateSecretRotationPeriod**
Les secrets de Secrets Manager doivent faire l'objet d'une rotation dans un délai spécifié | SecretsManager.4 | | | | SecretsManager.4 | | SecretsManager.4 |
| **ASR-EnableAPIGatewayCacheDataEncryption**
Les données du cache de l'API REST API Gateway doivent être chiffrées au repos | | | | | APIGateway.5 | | APIGateway.5 |
| **ASR-SetLogGroupRetentionDays**
CloudWatch les groupes de journaux doivent être conservés pendant une période spécifiée | | | | | CloudWatch.16 | | CloudWatch.16 |
| **ASR-AttachServiceVPCEndpoint**
Amazon EC2 doit être configuré pour utiliser des points de terminaison VPC créés pour le service Amazon EC2 | EC2.10 | | | | EC2.10 | | EC2.10 |
| **ASR-TagGuardDutyResource**
GuardDuty les filtres doivent être balisés | | | | | | | GuardDuty.2 |
| **ASR-TagGuardDutyResource**
GuardDuty les détecteurs doivent être étiquetés | | | | | | | GuardDuty.4 |
| **ASR-AttachSSMPermissionsToEC2**
Les instances Amazon EC2 doivent être gérées par Systems Manager | SSM.1 | | SSM.3 | | | | SSM.1 |
| **ASR-ConfigureLaunchConfigNoPublicIPDocument**
Les instances Amazon EC2 lancées à l'aide des configurations de lancement de groupe Auto Scaling ne doivent pas avoir d'adresses IP publiques | | | | | AutoScaling.5 | | AutoScaling.5 |
| **ASR-EnableAPIGatewayExecutionLogs** | APIGateway.1 | | | | | | APIGateway.1 |
| **ASR-EnableMacie**
Amazon Macie doit être activé | Macie.1 | | | | Macie.1 | | Macie.1 |
| **ASR-EnableAthenaWorkGroupLogging**
La journalisation des groupes de travail Athena doit être activée | Athena.4 | | | | | | Athena.4 |
| **ASR-EnforceHTTPSForALB**
L'équilibreur de charge des applications doit être configuré pour rediriger toutes les requêtes HTTP vers HTTPS | ELB.1 | | ELB.1 | | ELB.1 | | ELB.1 |
| **ASR-LimitECSRootFilesystemAccess**
Les conteneurs ECS doivent être limités à l'accès en lecture seule aux systèmes de fichiers racine | ECS.5 | | | | ECS.5 | | ECS.5 |
| **ASR-EnableElastiCacheBackups**
ElastiCache Les sauvegardes automatiques doivent être activées pour les clusters (Redis OSS) | ElastiCache.1 | | | | ElastiCache.1 | | ElastiCache.1 |
| **ASR-EnableElastiCacheVersionUpgrades**
ElastiCache les mises à niveau automatiques des versions mineures doivent être activées sur les clusters | ElastiCache.2 | | | | ElastiCache.2 | | ElastiCache.2 |
| **ASR-EnableElastiCacheReplicationGroupFailover**
ElastiCache les groupes de réplication doivent avoir le basculement automatique activé | ElastiCache.3 | | | | ElastiCache.3 | | ElastiCache.3 |
| **ASR-ConfigureDynamoDBAutoScaling**
Les tables DynamoDB devraient automatiquement adapter leur capacité à la demande | DynamoDB.1 | | | | DynamoDB.1 | | DynamoDB.1 |
| **ASR-TagDynamoDBTableResource**
Les tables DynamoDB doivent être balisées | | | | | | | DynamoDB.5 |
| **ASR-EnableDynamoDBDeletionProtection**
La protection contre la suppression des tables DynamoDB doit être activée | | | | | DynamoDB.6 | | DynamoDB.6 |