Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.
Kontrol CSPM Hub Keamanan untuk Amazon CloudWatch
AWS Security Hub CSPM Kontrol ini mengevaluasi CloudWatch layanan dan sumber daya Amazon. Kontrol mungkin tidak tersedia di semua Wilayah AWS. Untuk informasi selengkapnya, lihat Ketersediaan kontrol berdasarkan Wilayah.
[CloudWatch.1] Filter metrik log dan alarm harus ada untuk penggunaan pengguna “root”
Persyaratan terkait: CIS Foun AWS dations Benchmark v1.2. 0/1.1, Benchmark AWS Yayasan CIS v1.2. 0/3.3, Benchmark AWS Yayasan CIS v1.4. 0/1.7, Benchmark Yay AWS asan CIS v1.4. 0/4.3, NIST.800-171.r2 3.14.6, 3. NIST.800-171.r2 14.7, PCI DSS v3.2. 1/7.2.1
Kategori: Deteksi > Layanan deteksi
Tingkat keparahan: Rendah
Jenis sumber daya: AWS::Logs::MetricFilter,AWS::CloudWatch::Alarm,AWS::CloudTrail::Trail, AWS::SNS::Topic
AWS Config aturan: Tidak ada (aturan CSPM Hub Keamanan kustom)
Jenis jadwal: Ber kala
Parameter: Tidak ada
Pengguna root memiliki akses tidak terbatas ke semua layanan dan sumber daya dalam. Akun AWS Kami sangat menyarankan Anda menghindari menggunakan pengguna root untuk tugas sehari-hari. Meminimalkan penggunaan pengguna root dan mengadopsi prinsip hak istimewa paling sedikit untuk manajemen akses mengurangi risiko perubahan yang tidak disengaja dan pengungkapan kredenSIAL yang sangat istimewa yang tidak diinginkan.
Sebagai praktik terbaik, gunakan kredentif pengguna root Anda hanya jika diperlukan untuk melakukan tugas manajemen akun dan layanan. Terapkan kebijakan AWS Identity and Access Management (IAM) secara langsung ke grup dan peran tetapi bukan pengguna. Untuk tutorial tentang cara mengatur administrator untuk penggunaan sehari-hari, lihat Membuat pengguna dan grup admin IAM pertama Anda di Panduan Pengguna IAM
Untuk menjalankan pemeriksaan ini, Security Hub CSPM menggunakan logika khusus untuk melakukan langkah-langkah audit yang tepat yang ditentukan untuk kontrol 1.7 di CIS Foun AWS dations Benchmark v1.4.0.
catatan
Ketika Security Hub CSPM melakukan pemeriksaan untuk kontrol ini, ia mencari CloudTrail jejak yang digunakan akun saat ini. Jalur ini mungkin jalur organisasi milik akun lain. Multi-Region jalur juga mungkin berbasis di Wilayah yang berbeda.
Pemeriksaan menghasilkan FAILED temuan dalam kasus-kasus berikut:
Tidak ada jejak yang dikonfigurasi.
Jalur yang tersedia yang ada di Wilayah saat ini dan yang dimiliki oleh rekening giro tidak memenuhi persyaratan kontrol.
Pemeriksaan menghasilkan status kontrol NO_DATA dalam kasus-kasus berikut:
Jalur multi-wilayah berbasis di Wilayah yang berbeda. Security Hub CSPM hanya dapat menghasilkan temuan di Wilayah tempat jejak berbasis.
Jejak multi-wilayah milik akun yang berbeda. Security Hub CSPM hanya dapat menghasilkan temuan untuk akun yang memiliki jejak.
Sebagai praktik terbaik, gunakan jalur organisasi untuk mencatat peristiwa dari banyak akun dalam organisasi. Jejak organisasi adalah jalur multi-wilayah secara default dan hanya dapat dikelola oleh akun AWS Organizations manajemen atau akun administrator yang di CloudTrail delegasikan. Menggunakan jejak organisasi menghasilkan status kontrol
NO_DATAuntuk kontrol yang dievaluasi di akun anggota organisasi. Di akun anggota, Security Hub CSPM hanya menghasilkan temuan untuk sumber daya milik anggota. Temuan yang berkaitan dengan jejak organisasi dihasilkan di akun pemilik sumber daya. Anda dapat melihat temuan ini di akun administrator yang didelegasikan CSPM Hub Keamanan dengan menggunakan agregasi lintas wilayah.
Untuk alarm, akun saat ini harus memiliki topik Amazon SNS yang direferensikan, atau harus mendapatkan akses ke topik Amazon SNS dengan menelepon. ListSubscriptionsByTopic Jika tidak, Security Hub CSPM menghasilkan WARNING temuan untuk kontrol.
Remediasi
Untuk melewati kontrol ini, ikuti langkah-langkah berikut untuk membuat topik Amazon SNS, AWS CloudTrail jejak, filter metrik, dan alarm untuk filter metrik.
Buat topik Amazon SNS. Untuk petunjuk, lihat Mem ulai dengan Amazon SNS di Panduan Pengembang Layanan Pemberitahuan Sederhana Amazon. Buat topik yang menerima semua alarm CIS, dan buat setidaknya satu langganan ke topik tersebut.
Buat CloudTrail jejak yang berlaku untuk semua Wilayah AWS. Untuk petunjuk, lihat Membuat jejak di Panduan AWS CloudTrail Pengguna.
Catat nama grup log CloudWatch log yang Anda kaitkan dengan CloudTrail jejak. Anda membuat filter metrik untuk grup log tersebut di langkah berikutnya.
Membuat sebuah filter metrik. Untuk petunjuk, lihat Membuat filter metrik untuk grup log di Panduan CloudWatch Pengguna Amazon. Gunakan nilai berikut:
Bidang Nilai Tentukan pola, Pola Filter
{$.userIdentity.type="Root" && $.userIdentity.invokedBy NOT EXISTS && $.eventType !="AwsServiceEvent"}Namespace metrik
LogMetricsNilai metrik
1Nilai default
0Buat alarm berdasarkan filter. Untuk petunjuk, lihat Membuat CloudWatch alarm berdasarkan filter metrik grup log di Panduan CloudWatch Pengguna Amazon. Gunakan nilai berikut:
Bidang Nilai Kondisi, Jenis ambang
Statis
Kapan pun
your-metric-name...Greater/Equal
lebih dari...
1
[CloudWatch.2] Pastikan filter metrik log dan alarm ada untuk panggilan API yang tidak sah
Persyaratan terkait: CIS Foun AWS dations Benchmark v1.2. 0/3.1, NIST.800-171.r2 3.13.1, 3.14.6, NIST.800-171.r2 3.14.7 NIST.800-171.r2
Kategori: Deteksi > Layanan deteksi
Tingkat keparahan: Rendah
Jenis sumber daya: AWS::Logs::MetricFilter,AWS::CloudWatch::Alarm,AWS::CloudTrail::Trail, AWS::SNS::Topic
AWS Config aturan: Tidak ada (aturan CSPM Hub Keamanan kustom)
Jenis jadwal: Ber kala
Parameter: Tidak ada
Anda dapat melakukan pemantauan panggilan API secara real-time dengan mengarahkan CloudTrail CloudWatch log ke Log dan menetapkan filter dan alarm metrik yang sesuai.
CIS merekomendasikan agar Anda membuat filter metrik dan alarm untuk panggilan API yang tidak sah. Memantau panggilan API yang tidak sah membantu mengungkapkan kesalahan aplikasi dan dapat mengurangi waktu untuk mendeteksi aktivitas berbahaya.
Untuk menjalankan pemeriksaan ini, Security Hub CSPM menggunakan logika khusus untuk melakukan langkah-langkah audit yang tepat yang ditentukan untuk kontrol 3.1 di CIS Foun AWS dations Benchmark v1.2.
catatan
Ketika Security Hub CSPM melakukan pemeriksaan untuk kontrol ini, ia mencari CloudTrail jejak yang digunakan akun saat ini. Jalur ini mungkin jalur organisasi milik akun lain. Multi-Region jalur juga mungkin berbasis di Wilayah yang berbeda.
Pemeriksaan menghasilkan FAILED temuan dalam kasus-kasus berikut:
Tidak ada jejak yang dikonfigurasi.
Jalur yang tersedia yang ada di Wilayah saat ini dan yang dimiliki oleh rekening giro tidak memenuhi persyaratan kontrol.
Pemeriksaan menghasilkan status kontrol NO_DATA dalam kasus-kasus berikut:
Jalur multi-wilayah berbasis di Wilayah yang berbeda. Security Hub CSPM hanya dapat menghasilkan temuan di Wilayah tempat jejak berbasis.
Jejak multi-wilayah milik akun yang berbeda. Security Hub CSPM hanya dapat menghasilkan temuan untuk akun yang memiliki jejak.
Sebagai praktik terbaik, gunakan jalur organisasi untuk mencatat peristiwa dari banyak akun dalam organisasi. Jejak organisasi adalah jalur multi-wilayah secara default dan hanya dapat dikelola oleh akun AWS Organizations manajemen atau akun administrator yang di CloudTrail delegasikan. Menggunakan jejak organisasi menghasilkan status kontrol
NO_DATAuntuk kontrol yang dievaluasi di akun anggota organisasi. Di akun anggota, Security Hub CSPM hanya menghasilkan temuan untuk sumber daya milik anggota. Temuan yang berkaitan dengan jejak organisasi dihasilkan di akun pemilik sumber daya. Anda dapat melihat temuan ini di akun administrator yang didelegasikan CSPM Hub Keamanan dengan menggunakan agregasi lintas wilayah.
Untuk alarm, akun saat ini harus memiliki topik Amazon SNS yang direferensikan, atau harus mendapatkan akses ke topik Amazon SNS dengan menelepon. ListSubscriptionsByTopic Jika tidak, Security Hub CSPM menghasilkan WARNING temuan untuk kontrol.
Remediasi
Untuk melewati kontrol ini, ikuti langkah-langkah berikut untuk membuat topik Amazon SNS, AWS CloudTrail jejak, filter metrik, dan alarm untuk filter metrik.
Buat topik Amazon SNS. Untuk petunjuk, lihat Mem ulai dengan Amazon SNS di Panduan Pengembang Layanan Pemberitahuan Sederhana Amazon. Buat topik yang menerima semua alarm CIS, dan buat setidaknya satu langganan ke topik tersebut.
Buat CloudTrail jejak yang berlaku untuk semua Wilayah AWS. Untuk petunjuk, lihat Membuat jejak di Panduan AWS CloudTrail Pengguna.
Catat nama grup log CloudWatch log yang Anda kaitkan dengan CloudTrail jejak. Anda membuat filter metrik untuk grup log tersebut di langkah berikutnya.
Membuat sebuah filter metrik. Untuk petunjuk, lihat Membuat filter metrik untuk grup log di Panduan CloudWatch Pengguna Amazon. Gunakan nilai berikut:
Bidang Nilai Tentukan pola, Pola Filter
{($.errorCode="*UnauthorizedOperation") || ($.errorCode="AccessDenied*")}Namespace metrik
LogMetricsNilai metrik
1Nilai default
0Buat alarm berdasarkan filter. Untuk petunjuk, lihat Membuat CloudWatch alarm berdasarkan filter metrik grup log di Panduan CloudWatch Pengguna Amazon. Gunakan nilai berikut:
Bidang Nilai Kondisi, Jenis ambang
Statis
Kapan pun
your-metric-name...Greater/Equal
lebih dari...
1
[CloudWatch.3] Pastikan filter metrik log dan alarm ada untuk login Konsol Manajemen tanpa MFA
Persyaratan terkait: CIS Foun AWS dations Benchmark v1.2. 0/3.2
Kategori: Deteksi > Layanan deteksi
Tingkat keparahan: Rendah
Jenis sumber daya: AWS::Logs::MetricFilter,AWS::CloudWatch::Alarm,AWS::CloudTrail::Trail, AWS::SNS::Topic
AWS Config aturan: Tidak ada (aturan CSPM Hub Keamanan kustom)
Jenis jadwal: Ber kala
Parameter: Tidak ada
Anda dapat melakukan pemantauan panggilan API secara real-time dengan mengarahkan CloudTrail CloudWatch log ke Log dan menetapkan filter dan alarm metrik yang sesuai.
CIS merekomendasikan agar Anda membuat filter metrik dan login konsol alarm yang tidak dilindungi oleh MFA. Pemantauan untuk login konsol faktor tunggal meningkatkan visibilitas ke akun yang tidak dilindungi oleh MFA.
Untuk menjalankan pemeriksaan ini, Security Hub CSPM menggunakan logika khusus untuk melakukan langkah-langkah audit yang tepat yang ditentukan untuk kontrol 3.2 di CIS Foun AWS dations Benchmark v1.2.
catatan
Ketika Security Hub CSPM melakukan pemeriksaan untuk kontrol ini, ia mencari CloudTrail jejak yang digunakan akun saat ini. Jalur ini mungkin jalur organisasi milik akun lain. Multi-Region jalur juga mungkin berbasis di Wilayah yang berbeda.
Pemeriksaan menghasilkan FAILED temuan dalam kasus-kasus berikut:
Tidak ada jejak yang dikonfigurasi.
Jalur yang tersedia yang ada di Wilayah saat ini dan yang dimiliki oleh rekening giro tidak memenuhi persyaratan kontrol.
Pemeriksaan menghasilkan status kontrol NO_DATA dalam kasus-kasus berikut:
Jalur multi-wilayah berbasis di Wilayah yang berbeda. Security Hub CSPM hanya dapat menghasilkan temuan di Wilayah tempat jejak berbasis.
Jejak multi-wilayah milik akun yang berbeda. Security Hub CSPM hanya dapat menghasilkan temuan untuk akun yang memiliki jejak.
Sebagai praktik terbaik, gunakan jalur organisasi untuk mencatat peristiwa dari banyak akun dalam organisasi. Jejak organisasi adalah jalur multi-wilayah secara default dan hanya dapat dikelola oleh akun AWS Organizations manajemen atau akun administrator yang di CloudTrail delegasikan. Menggunakan jejak organisasi menghasilkan status kontrol
NO_DATAuntuk kontrol yang dievaluasi di akun anggota organisasi. Di akun anggota, Security Hub CSPM hanya menghasilkan temuan untuk sumber daya milik anggota. Temuan yang berkaitan dengan jejak organisasi dihasilkan di akun pemilik sumber daya. Anda dapat melihat temuan ini di akun administrator yang didelegasikan CSPM Hub Keamanan Anda dengan menggunakan agregasi lintas wilayah.
Untuk alarm, akun saat ini harus memiliki topik Amazon SNS yang dirujuk, atau harus mendapatkan akses ke topik Amazon SNS dengan menelepon. ListSubscriptionsByTopic Jika tidak, Security Hub CSPM menghasilkan WARNING temuan untuk kontrol.
Remediasi
Untuk melewati kontrol ini, ikuti langkah-langkah berikut untuk membuat topik Amazon SNS, AWS CloudTrail jejak, filter metrik, dan alarm untuk filter metrik.
Buat topik Amazon SNS. Untuk petunjuk, lihat Mem ulai Amazon SNS di Panduan Pengembang Layanan Pem beritahuan Sederhana Amazon. Buat topik yang menerima semua alarm CIS, dan buat setidaknya satu langganan ke topik tersebut.
Buat CloudTrail jejak yang berlaku untuk semua Wilayah AWS. Untuk petunjuk, lihat Membuat jejak di Panduan AWS CloudTrail Pengguna.
Catat nama grup log CloudWatch log yang Anda kaitkan dengan CloudTrail jejak. Anda membuat filter metrik untuk grup log tersebut di langkah berikutnya.
Membuat sebuah filter metrik. Untuk petunjuk, lihat Membuat filter metrik untuk grup log di Panduan CloudWatch Pengguna Amazon. Gunakan nilai berikut:
Bidang Nilai Tentukan pola, Pola Filter
{ ($.eventName = "ConsoleLogin") && ($.additionalEventData.MFAUsed != "Yes") && ($.userIdentity.type = "IAMUser") && ($.responseElements.ConsoleLogin = "Success") }Namespace metrik
LogMetricsNilai metrik
1Nilai default
0Buat alarm berdasarkan filter. Untuk petunjuk, lihat Membuat CloudWatch alarm berdasarkan filter metrik grup log di Panduan CloudWatch Pengguna Amazon. Gunakan nilai berikut:
Bidang Nilai Kondisi, Jenis ambang
Statis
Kapan pun
your-metric-name...Greater/Equal
lebih dari...
1
[CloudWatch.4] Pastikan filter metrik log dan alarm ada untuk perubahan kebijakan IAM
Persyaratan terkait: CIS Foun AWS dations Benchmark v1.2. 0/3.4, Tolok Ukur AWS Yayasan CIS v1.4. 0/4.4, NIST.800-171.r2 3.14.6, 3.14.7 NIST.800-171.r2
Kategori: Deteksi > Layanan deteksi
Tingkat keparahan: Rendah
Jenis sumber daya: AWS::Logs::MetricFilter,AWS::CloudWatch::Alarm,AWS::CloudTrail::Trail, AWS::SNS::Topic
AWS Config aturan: Tidak ada (aturan CSPM Hub Keamanan kustom)
Jenis jadwal: Ber kala
Parameter: Tidak ada
Kontrol ini memeriksa apakah Anda memantau panggilan API secara real time dengan mengarahkan CloudTrail CloudWatch log ke Log dan menetapkan filter dan alarm metrik yang sesuai.
CIS menyarankan Anda membuat filter metrik dan alarm untuk perubahan yang dilakukan pada kebijakan IAM. Pemantauan perubahan ini membantu memastikan bahwa kontrol otentikasi dan otorisasi tetap utuh.
catatan
Ketika Security Hub CSPM melakukan pemeriksaan untuk kontrol ini, ia mencari CloudTrail jejak yang digunakan akun saat ini. Jalur ini mungkin jalur organisasi milik akun lain. Multi-Region jalur juga mungkin berbasis di Wilayah yang berbeda.
Pemeriksaan menghasilkan FAILED temuan dalam kasus-kasus berikut:
Tidak ada jejak yang dikonfigurasi.
Jalur yang tersedia yang ada di Wilayah saat ini dan yang dimiliki oleh rekening giro tidak memenuhi persyaratan kontrol.
Pemeriksaan menghasilkan status kontrol NO_DATA dalam kasus-kasus berikut:
Jalur multi-wilayah berbasis di Wilayah yang berbeda. Security Hub CSPM hanya dapat menghasilkan temuan di Wilayah tempat jejak berbasis.
Jejak multi-wilayah milik akun yang berbeda. Security Hub CSPM hanya dapat menghasilkan temuan untuk akun yang memiliki jejak.
Sebagai praktik terbaik, gunakan jalur organisasi untuk mencatat peristiwa dari banyak akun dalam organisasi. Jejak organisasi adalah jalur multi-wilayah secara default dan hanya dapat dikelola oleh akun AWS Organizations manajemen atau akun administrator yang di CloudTrail delegasikan. Menggunakan jejak organisasi menghasilkan status kontrol
NO_DATAuntuk kontrol yang dievaluasi di akun anggota organisasi. Di akun anggota, Security Hub CSPM hanya menghasilkan temuan untuk sumber daya milik anggota. Temuan yang berkaitan dengan jejak organisasi dihasilkan di akun pemilik sumber daya. Anda dapat melihat temuan ini di akun administrator yang didelegasikan CSPM Hub Keamanan Anda dengan menggunakan agregasi lintas wilayah.
Untuk alarm, akun saat ini harus memiliki topik Amazon SNS yang dirujuk, atau harus mendapatkan akses ke topik Amazon SNS dengan menelepon. ListSubscriptionsByTopic Jika tidak, Security Hub CSPM menghasilkan WARNING temuan untuk kontrol.
Remediasi
catatan
Pola filter yang kami rekomendasikan dalam langkah-langkah remediasi ini berbeda dari pola filter dalam panduan CIS. Filter yang kami rekomendasikan hanya menargetkan peristiwa yang berasal dari panggilan API IAM.
Untuk melewati kontrol ini, ikuti langkah-langkah berikut untuk membuat topik Amazon SNS, AWS CloudTrail jejak, filter metrik, dan alarm untuk filter metrik.
Buat topik Amazon SNS. Untuk petunjuk, lihat Mem ulai Amazon SNS di Panduan Pengembang Layanan Pem beritahuan Sederhana Amazon. Buat topik yang menerima semua alarm CIS, dan buat setidaknya satu langganan ke topik tersebut.
Buat CloudTrail jejak yang berlaku untuk semua Wilayah AWS. Untuk petunjuk, lihat Membuat jejak di Panduan AWS CloudTrail Pengguna.
Catat nama grup log CloudWatch log yang Anda kaitkan dengan CloudTrail jejak. Anda membuat filter metrik untuk grup log tersebut di langkah berikutnya.
Membuat sebuah filter metrik. Untuk petunjuk, lihat Membuat filter metrik untuk grup log di Panduan CloudWatch Pengguna Amazon. Gunakan nilai berikut:
Bidang Nilai Tentukan pola, Pola Filter
{($.eventSource=iam.amazonaws.com) && (($.eventName=DeleteGroupPolicy) || ($.eventName=DeleteRolePolicy) || ($.eventName=DeleteUserPolicy) || ($.eventName=PutGroupPolicy) || ($.eventName=PutRolePolicy) || ($.eventName=PutUserPolicy) || ($.eventName=CreatePolicy) || ($.eventName=DeletePolicy) || ($.eventName=CreatePolicyVersion) || ($.eventName=DeletePolicyVersion) || ($.eventName=AttachRolePolicy) || ($.eventName=DetachRolePolicy) || ($.eventName=AttachUserPolicy) || ($.eventName=DetachUserPolicy) || ($.eventName=AttachGroupPolicy) || ($.eventName=DetachGroupPolicy))}Namespace metrik
LogMetricsNilai metrik
1Nilai default
0Buat alarm berdasarkan filter. Untuk petunjuk, lihat Membuat CloudWatch alarm berdasarkan filter metrik grup log di Panduan CloudWatch Pengguna Amazon. Gunakan nilai berikut:
Bidang Nilai Kondisi, Jenis ambang
Statis
Kapan pun
your-metric-name...Greater/Equal
lebih dari...
1
[CloudWatch.5] Pastikan filter metrik log dan alarm ada untuk perubahan CloudTrail konfigurasi
Persyaratan terkait: CIS Foun AWS dations Benchmark v1.2. 0/3.5, Benchmark Yay AWS asan CIS v1.4. 0/4.5, NIST.800-171.r2 3.3.8, 3.14.6, NIST.800-171.r2 3.14.7 NIST.800-171.r2
Kategori: Deteksi > Layanan deteksi
Tingkat keparahan: Rendah
Jenis sumber daya: AWS::Logs::MetricFilter,AWS::CloudWatch::Alarm,AWS::CloudTrail::Trail, AWS::SNS::Topic
AWS Config aturan: Tidak ada (aturan CSPM Hub Keamanan kustom)
Jenis jadwal: Ber kala
Parameter: Tidak ada
Anda dapat melakukan pemantauan panggilan API secara real-time dengan mengarahkan CloudTrail CloudWatch log ke Log dan menetapkan filter dan alarm metrik yang sesuai.
CIS merekomendasikan agar Anda membuat filter metrik dan alarm untuk perubahan pengaturan CloudTrail konfigurasi. Memantau perubahan ini membantu memastikan visibilitas berkelanjutan terhadap aktivitas di akun.
Untuk menjalankan pemeriksaan ini, Security Hub CSPM menggunakan logika khusus untuk melakukan langkah-langkah audit yang tepat yang ditentukan untuk kontrol 4.5 di CIS Foun AWS dations Benchmark v1.4.0.
catatan
Ketika Security Hub CSPM melakukan pemeriksaan untuk kontrol ini, ia mencari CloudTrail jejak yang digunakan akun saat ini. Jalur ini mungkin jalur organisasi milik akun lain. Multi-Region jalur juga mungkin berbasis di Wilayah yang berbeda.
Pemeriksaan menghasilkan FAILED temuan dalam kasus-kasus berikut:
Tidak ada jejak yang dikonfigurasi.
Jalur yang tersedia yang ada di Wilayah saat ini dan yang dimiliki oleh rekening giro tidak memenuhi persyaratan kontrol.
Pemeriksaan menghasilkan status kontrol NO_DATA dalam kasus-kasus berikut:
Jalur multi-wilayah berbasis di Wilayah yang berbeda. Security Hub CSPM hanya dapat menghasilkan temuan di Wilayah tempat jejak berbasis.
Jejak multi-wilayah milik akun yang berbeda. Security Hub CSPM hanya dapat menghasilkan temuan untuk akun yang memiliki jejak.
Sebagai praktik terbaik, gunakan jalur organisasi untuk mencatat peristiwa dari banyak akun dalam organisasi. Jejak organisasi adalah jalur multi-wilayah secara default dan hanya dapat dikelola oleh akun AWS Organizations manajemen atau akun administrator yang di CloudTrail delegasikan. Menggunakan jejak organisasi menghasilkan status kontrol
NO_DATAuntuk kontrol yang dievaluasi di akun anggota organisasi. Di akun anggota, Security Hub CSPM hanya menghasilkan temuan untuk sumber daya milik anggota. Temuan yang berkaitan dengan jejak organisasi dihasilkan di akun pemilik sumber daya. Anda dapat melihat temuan ini di akun administrator yang didelegasikan CSPM Hub Keamanan Anda dengan menggunakan agregasi lintas wilayah.
Untuk alarm, akun saat ini harus memiliki topik Amazon SNS yang direferensikan, atau harus mendapatkan akses ke topik Amazon SNS dengan menelepon. ListSubscriptionsByTopic Jika tidak, Security Hub CSPM menghasilkan WARNING temuan untuk kontrol.
Remediasi
Untuk melewati kontrol ini, ikuti langkah-langkah berikut untuk membuat topik Amazon SNS, AWS CloudTrail jejak, filter metrik, dan alarm untuk filter metrik.
Buat topik Amazon SNS. Untuk petunjuk, lihat Mem ulai Amazon SNS di Panduan Pengembang Layanan Pem beritahuan Sederhana Amazon. Buat topik yang menerima semua alarm CIS, dan buat setidaknya satu langganan ke topik tersebut.
Buat CloudTrail jejak yang berlaku untuk semua Wilayah AWS. Untuk petunjuk, lihat Membuat jejak di Panduan AWS CloudTrail Pengguna.
Catat nama grup log CloudWatch log yang Anda kaitkan dengan CloudTrail jejak. Anda membuat filter metrik untuk grup log tersebut di langkah berikutnya.
Membuat sebuah filter metrik. Untuk petunjuk, lihat Membuat filter metrik untuk grup log di Panduan CloudWatch Pengguna Amazon. Gunakan nilai berikut:
Bidang Nilai Tentukan pola, Pola Filter
{($.eventName=CreateTrail) || ($.eventName=UpdateTrail) || ($.eventName=DeleteTrail) || ($.eventName=StartLogging) || ($.eventName=StopLogging)}Namespace metrik
LogMetricsNilai metrik
1Nilai default
0Buat alarm berdasarkan filter. Untuk petunjuk, lihat Membuat CloudWatch alarm berdasarkan filter metrik grup log di Panduan CloudWatch Pengguna Amazon. Gunakan nilai berikut:
Bidang Nilai Kondisi, Jenis ambang
Statis
Kapan pun
your-metric-name...Greater/Equal
lebih dari...
1
[CloudWatch.6] Pastikan filter metrik log dan alarm ada untuk Konsol Manajemen AWS kegagalan otentikasi
Persyaratan terkait: CIS Foun AWS dations Benchmark v1.2. 0/3.6, Benchmark Yay AWS asan CIS v1.4. 0/4.6, NIST.800-171.r2 3.14.6, 3.14.7 NIST.800-171.r2
Kategori: Deteksi > Layanan deteksi
Tingkat keparahan: Rendah
Jenis sumber daya: AWS::Logs::MetricFilter,AWS::CloudWatch::Alarm,AWS::CloudTrail::Trail, AWS::SNS::Topic
AWS Config aturan: Tidak ada (aturan CSPM Hub Keamanan kustom)
Jenis jadwal: Ber kala
Parameter: Tidak ada
Anda dapat melakukan pemantauan panggilan API secara real-time dengan mengarahkan CloudTrail CloudWatch log ke Log dan menetapkan filter dan alarm metrik yang sesuai.
CIS merekomendasikan agar Anda membuat filter metrik dan alarm untuk upaya otentikasi konsol yang gagal. Memantau login konsol yang gagal dapat mengurangi waktu tunggu untuk mendeteksi upaya untuk memaksa kredensi secara brute-force, yang mungkin memberikan indikator, seperti IP sumber, yang dapat Anda gunakan dalam korelasi peristiwa lainnya.
Untuk menjalankan pemeriksaan ini, Security Hub CSPM menggunakan logika khusus untuk melakukan langkah-langkah audit yang tepat yang ditentukan untuk kontrol 4.6 di CIS Foun AWS dations Benchmark v1.4.0.
catatan
Ketika Security Hub CSPM melakukan pemeriksaan untuk kontrol ini, ia mencari CloudTrail jejak yang digunakan akun saat ini. Jalur ini mungkin jalur organisasi milik akun lain. Multi-Region jalur juga mungkin berbasis di Wilayah yang berbeda.
Pemeriksaan menghasilkan FAILED temuan dalam kasus-kasus berikut:
Tidak ada jejak yang dikonfigurasi.
Jalur yang tersedia yang ada di Wilayah saat ini dan yang dimiliki oleh rekening giro tidak memenuhi persyaratan kontrol.
Pemeriksaan menghasilkan status kontrol NO_DATA dalam kasus-kasus berikut:
Jalur multi-wilayah berbasis di Wilayah yang berbeda. Security Hub CSPM hanya dapat menghasilkan temuan di Wilayah tempat jejak berbasis.
Jejak multi-wilayah milik akun yang berbeda. Security Hub CSPM hanya dapat menghasilkan temuan untuk akun yang memiliki jejak.
Sebagai praktik terbaik, gunakan jalur organisasi untuk mencatat peristiwa dari banyak akun dalam organisasi. Jejak organisasi adalah jalur multi-wilayah secara default dan hanya dapat dikelola oleh akun AWS Organizations manajemen atau akun administrator yang di CloudTrail delegasikan. Menggunakan jejak organisasi menghasilkan status kontrol
NO_DATAuntuk kontrol yang dievaluasi di akun anggota organisasi. Di akun anggota, Security Hub CSPM hanya menghasilkan temuan untuk sumber daya milik anggota. Temuan yang berkaitan dengan jejak organisasi dihasilkan di akun pemilik sumber daya. Anda dapat melihat temuan ini di akun administrator yang didelegasikan CSPM Hub Keamanan Anda dengan menggunakan agregasi lintas wilayah.
Untuk alarm, akun saat ini harus memiliki topik Amazon SNS yang direferensikan, atau harus mendapatkan akses ke topik Amazon SNS dengan menelepon. ListSubscriptionsByTopic Jika tidak, Security Hub CSPM menghasilkan WARNING temuan untuk kontrol.
Remediasi
Untuk melewati kontrol ini, ikuti langkah-langkah berikut untuk membuat topik Amazon SNS, AWS CloudTrail jejak, filter metrik, dan alarm untuk filter metrik.
Buat topik Amazon SNS. Untuk petunjuk, lihat Mem ulai Amazon SNS di Panduan Pengembang Layanan Pem beritahuan Sederhana Amazon. Buat topik yang menerima semua alarm CIS, dan buat setidaknya satu langganan ke topik tersebut.
Buat CloudTrail jejak yang berlaku untuk semua Wilayah AWS. Untuk petunjuk, lihat Membuat jejak di Panduan AWS CloudTrail Pengguna.
Catat nama grup log CloudWatch log yang Anda kaitkan dengan CloudTrail jejak. Anda membuat filter metrik untuk grup log tersebut di langkah berikutnya.
Membuat sebuah filter metrik. Untuk petunjuk, lihat Membuat filter metrik untuk grup log di Panduan CloudWatch Pengguna Amazon. Gunakan nilai berikut:
Bidang Nilai Tentukan pola, Pola Filter
{($.eventName=ConsoleLogin) && ($.errorMessage="Failed authentication")}Namespace metrik
LogMetricsNilai metrik
1Nilai default
0Buat alarm berdasarkan filter. Untuk petunjuk, lihat Membuat CloudWatch alarm berdasarkan filter metrik grup log di Panduan CloudWatch Pengguna Amazon. Gunakan nilai berikut:
Bidang Nilai Kondisi, Jenis ambang
Statis
Kapan pun
your-metric-name...Greater/Equal
lebih dari...
1
[CloudWatch.7] Pastikan filter metrik log dan alarm ada untuk menonaktifkan atau menjadwalkan penghapusan kunci yang dikelola pelanggan
Persyaratan terkait: CIS Foun AWS dations Benchmark v1.2. 0/3.7, Benchmark Yay AWS asan CIS v1.4. 0/4.7, NIST.800-171.r2 3.13.10, 3.13.16, 3.14.6, NIST.800-171.r2 3.14.7 NIST.800-171.r2 NIST.800-171.r2
Kategori: Deteksi > Layanan deteksi
Tingkat keparahan: Rendah
Jenis sumber daya: AWS::Logs::MetricFilter,AWS::CloudWatch::Alarm,AWS::CloudTrail::Trail, AWS::SNS::Topic
AWS Config aturan: Tidak ada (aturan CSPM Hub Keamanan kustom)
Jenis jadwal: Ber kala
Parameter: Tidak ada
Anda dapat melakukan pemantauan panggilan API secara real-time dengan mengarahkan CloudTrail CloudWatch log ke Log dan menetapkan filter dan alarm metrik yang sesuai.
CIS merekomendasikan agar Anda membuat filter metrik dan alarm untuk kunci yang dikelola pelanggan yang telah mengubah status menjadi dinonaktifkan atau penghapusan terjadwal. Data yang dienkripsi dengan kunci yang dinonaktifkan atau dihapus tidak lagi dapat diakses.
Untuk menjalankan pemeriksaan ini, Security Hub CSPM menggunakan logika khusus untuk melakukan langkah-langkah audit yang tepat yang ditentukan untuk kontrol 4.7 di CIS Foun AWS dations Benchmark v1.4.0. ExcludeManagementEventSources berisikms.amazonaws.com.
catatan
Ketika Security Hub CSPM melakukan pemeriksaan untuk kontrol ini, ia mencari CloudTrail jejak yang digunakan akun saat ini. Jalur ini mungkin jalur organisasi milik akun lain. Multi-Region jalur juga mungkin berbasis di Wilayah yang berbeda.
Pemeriksaan menghasilkan FAILED temuan dalam kasus-kasus berikut:
Tidak ada jejak yang dikonfigurasi.
Jalur yang tersedia yang ada di Wilayah saat ini dan yang dimiliki oleh rekening giro tidak memenuhi persyaratan kontrol.
Pemeriksaan menghasilkan status kontrol NO_DATA dalam kasus-kasus berikut:
Jalur multi-wilayah berbasis di Wilayah yang berbeda. Security Hub CSPM hanya dapat menghasilkan temuan di Wilayah tempat jejak berbasis.
Jejak multi-wilayah milik akun yang berbeda. Security Hub CSPM hanya dapat menghasilkan temuan untuk akun yang memiliki jejak.
Sebagai praktik terbaik, gunakan jalur organisasi untuk mencatat peristiwa dari banyak akun dalam organisasi. Jejak organisasi adalah jalur multi-wilayah secara default dan hanya dapat dikelola oleh akun AWS Organizations manajemen atau akun administrator yang di CloudTrail delegasikan. Menggunakan jejak organisasi menghasilkan status kontrol
NO_DATAuntuk kontrol yang dievaluasi di akun anggota organisasi. Di akun anggota, Security Hub CSPM hanya menghasilkan temuan untuk sumber daya milik anggota. Temuan yang berkaitan dengan jejak organisasi dihasilkan di akun pemilik sumber daya. Anda dapat melihat temuan ini di akun administrator yang didelegasikan CSPM Hub Keamanan Anda dengan menggunakan agregasi lintas wilayah.
Untuk alarm, akun saat ini harus memiliki topik Amazon SNS yang direferensikan, atau harus mendapatkan akses ke topik Amazon SNS dengan menelepon. ListSubscriptionsByTopic Jika tidak, Security Hub CSPM menghasilkan WARNING temuan untuk kontrol.
Remediasi
Untuk melewati kontrol ini, ikuti langkah-langkah berikut untuk membuat topik Amazon SNS, AWS CloudTrail jejak, filter metrik, dan alarm untuk filter metrik.
Buat topik Amazon SNS. Untuk petunjuk, lihat Mem ulai dengan Amazon SNS di Panduan Pengembang Layanan Pemberitahuan Sederhana Amazon. Buat topik yang menerima semua alarm CIS, dan buat setidaknya satu langganan ke topik tersebut.
Buat CloudTrail jejak yang berlaku untuk semua Wilayah AWS. Untuk petunjuk, lihat Membuat jejak di Panduan AWS CloudTrail Pengguna.
Catat nama grup log CloudWatch log yang Anda kaitkan dengan CloudTrail jejak. Anda membuat filter metrik untuk grup log tersebut di langkah berikutnya.
Membuat sebuah filter metrik. Untuk petunjuk, lihat Membuat filter metrik untuk grup log di Panduan CloudWatch Pengguna Amazon. Gunakan nilai berikut:
Bidang Nilai Tentukan pola, Pola Filter
{($.eventSource=kms.amazonaws.com) && (($.eventName=DisableKey) || ($.eventName=ScheduleKeyDeletion))}Namespace metrik
LogMetricsNilai metrik
1Nilai default
0Buat alarm berdasarkan filter. Untuk petunjuk, lihat Membuat CloudWatch alarm berdasarkan filter metrik grup log di Panduan CloudWatch Pengguna Amazon. Gunakan nilai berikut:
Bidang Nilai Kondisi, Jenis ambang
Statis
Kapan pun
your-metric-name...Greater/Equal
lebih dari...
1
[CloudWatch.8] Pastikan filter metrik log dan alarm ada untuk perubahan kebijakan bucket S3
Persyaratan terkait: CIS Foun AWS dations Benchmark v1.2. 0/3.8, Benchmark Yay AWS asan CIS v1.4. 0/4.8, NIST.800-171.r2 3.14.6, 3.14.7 NIST.800-171.r2
Kategori: Deteksi > Layanan deteksi
Tingkat keparahan: Rendah
Jenis sumber daya: AWS::Logs::MetricFilter,AWS::CloudWatch::Alarm,AWS::CloudTrail::Trail, AWS::SNS::Topic
AWS Config aturan: Tidak ada (aturan CSPM Hub Keamanan kustom)
Jenis jadwal: Ber kala
Parameter: Tidak ada
Anda dapat melakukan pemantauan panggilan API secara real-time dengan mengarahkan CloudTrail CloudWatch log ke Log dan menetapkan filter dan alarm metrik yang sesuai.
CIS merekomendasikan agar Anda membuat filter metrik dan alarm untuk perubahan kebijakan bucket S3. Pemantauan perubahan ini dapat mengurangi waktu untuk mendeteksi dan memperbaiki kebijakan permisif pada bucket S3 sensitif.
Untuk menjalankan pemeriksaan ini, Security Hub CSPM menggunakan logika khusus untuk melakukan langkah-langkah audit yang tepat yang ditentukan untuk kontrol 4.8 di CIS Foun AWS dations Benchmark v1.4.0.
catatan
Ketika Security Hub CSPM melakukan pemeriksaan untuk kontrol ini, ia mencari CloudTrail jejak yang digunakan akun saat ini. Jalur ini mungkin jalur organisasi milik akun lain. Multi-Region jalur juga mungkin berbasis di Wilayah yang berbeda.
Pemeriksaan menghasilkan FAILED temuan dalam kasus-kasus berikut:
Tidak ada jejak yang dikonfigurasi.
Jalur yang tersedia yang ada di Wilayah saat ini dan yang dimiliki oleh rekening giro tidak memenuhi persyaratan kontrol.
Pemeriksaan menghasilkan status kontrol NO_DATA dalam kasus-kasus berikut:
Jalur multi-wilayah berbasis di Wilayah yang berbeda. Security Hub CSPM hanya dapat menghasilkan temuan di Wilayah tempat jejak berbasis.
Jejak multi-wilayah milik akun yang berbeda. Security Hub CSPM hanya dapat menghasilkan temuan untuk akun yang memiliki jejak.
Sebagai praktik terbaik, gunakan jalur organisasi untuk mencatat peristiwa dari banyak akun dalam organisasi. Jejak organisasi adalah jalur multi-wilayah secara default dan hanya dapat dikelola oleh akun AWS Organizations manajemen atau akun administrator yang di CloudTrail delegasikan. Menggunakan jejak organisasi menghasilkan status kontrol
NO_DATAuntuk kontrol yang dievaluasi di akun anggota organisasi. Di akun anggota, Security Hub CSPM hanya menghasilkan temuan untuk sumber daya milik anggota. Temuan yang berkaitan dengan jejak organisasi dihasilkan di akun pemilik sumber daya. Anda dapat melihat temuan ini di akun administrator yang didelegasikan CSPM Hub Keamanan Anda dengan menggunakan agregasi lintas wilayah.
Untuk alarm, akun saat ini harus memiliki topik Amazon SNS yang direferensikan, atau harus mendapatkan akses ke topik Amazon SNS dengan menelepon. ListSubscriptionsByTopic Jika tidak, Security Hub CSPM menghasilkan WARNING temuan untuk kontrol.
Remediasi
Untuk melewati kontrol ini, ikuti langkah-langkah berikut untuk membuat topik Amazon SNS, AWS CloudTrail jejak, filter metrik, dan alarm untuk filter metrik.
Buat topik Amazon SNS. Untuk petunjuk, lihat Mem ulai dengan Amazon SNS di Panduan Pengembang Layanan Pemberitahuan Sederhana Amazon. Buat topik yang menerima semua alarm CIS, dan buat setidaknya satu langganan ke topik tersebut.
Buat CloudTrail jejak yang berlaku untuk semua Wilayah AWS. Untuk petunjuk, lihat Membuat jejak di Panduan AWS CloudTrail Pengguna.
Catat nama grup log CloudWatch log yang Anda kaitkan dengan CloudTrail jejak. Anda membuat filter metrik untuk grup log tersebut di langkah berikutnya.
Membuat sebuah filter metrik. Untuk petunjuk, lihat Membuat filter metrik untuk grup log di Panduan CloudWatch Pengguna Amazon. Gunakan nilai berikut:
Bidang Nilai Tentukan pola, Pola Filter
{($.eventSource=s3.amazonaws.com) && (($.eventName=PutBucketAcl) || ($.eventName=PutBucketPolicy) || ($.eventName=PutBucketCors) || ($.eventName=PutBucketLifecycle) || ($.eventName=PutBucketReplication) || ($.eventName=DeleteBucketPolicy) || ($.eventName=DeleteBucketCors) || ($.eventName=DeleteBucketLifecycle) || ($.eventName=DeleteBucketReplication))}Namespace metrik
LogMetricsNilai metrik
1Nilai default
0Buat alarm berdasarkan filter. Untuk petunjuk, lihat Membuat CloudWatch alarm berdasarkan filter metrik grup log di Panduan CloudWatch Pengguna Amazon. Gunakan nilai berikut:
Bidang Nilai Kondisi, Jenis ambang
Statis
Kapan pun
your-metric-name...Greater/Equal
lebih dari...
1
[CloudWatch.9] Pastikan filter metrik log dan alarm ada untuk AWS Config perubahan konfigurasi
Persyaratan terkait: CIS Foun AWS dations Benchmark v1.2. 0/3.9, Benchmark Yay AWS asan CIS v1.4. 0/4.9, NIST.800-171.r2 3.3.8, 3.14.6, NIST.800-171.r2 3.14.7 NIST.800-171.r2
Kategori: Deteksi > Layanan deteksi
Tingkat keparahan: Rendah
Jenis sumber daya: AWS::Logs::MetricFilter,AWS::CloudWatch::Alarm,AWS::CloudTrail::Trail, AWS::SNS::Topic
AWS Config aturan: Tidak ada (aturan CSPM Hub Keamanan kustom)
Jenis jadwal: Ber kala
Parameter: Tidak ada
Anda dapat melakukan pemantauan panggilan API secara real-time dengan mengarahkan CloudTrail CloudWatch log ke Log dan menetapkan filter dan alarm metrik yang sesuai.
CIS merekomendasikan agar Anda membuat filter metrik dan alarm untuk perubahan pengaturan AWS Config konfigurasi. Memantau perubahan ini membantu memastikan visibilitas item konfigurasi yang berkelanjutan di akun.
Untuk menjalankan pemeriksaan ini, Security Hub CSPM menggunakan logika khusus untuk melakukan langkah-langkah audit yang tepat yang ditentukan untuk kontrol 4.9 di CIS Foun AWS dations Benchmark v1.4.0.
catatan
Ketika Security Hub CSPM melakukan pemeriksaan untuk kontrol ini, ia mencari CloudTrail jejak yang digunakan akun saat ini. Jalur ini mungkin jalur organisasi milik akun lain. Multi-Region jalur juga mungkin berbasis di Wilayah yang berbeda.
Pemeriksaan menghasilkan FAILED temuan dalam kasus-kasus berikut:
Tidak ada jejak yang dikonfigurasi.
Jalur yang tersedia yang ada di Wilayah saat ini dan yang dimiliki oleh rekening giro tidak memenuhi persyaratan kontrol.
Pemeriksaan menghasilkan status kontrol NO_DATA dalam kasus-kasus berikut:
Jalur multi-wilayah berbasis di Wilayah yang berbeda. Security Hub CSPM hanya dapat menghasilkan temuan di Wilayah tempat jejak berbasis.
Jejak multi-wilayah milik akun yang berbeda. Security Hub CSPM hanya dapat menghasilkan temuan untuk akun yang memiliki jejak.
Sebagai praktik terbaik, gunakan jalur organisasi untuk mencatat peristiwa dari banyak akun dalam organisasi. Jejak organisasi adalah jalur multi-wilayah secara default dan hanya dapat dikelola oleh akun AWS Organizations manajemen atau akun administrator yang di CloudTrail delegasikan. Menggunakan jejak organisasi menghasilkan status kontrol
NO_DATAuntuk kontrol yang dievaluasi di akun anggota organisasi. Di akun anggota, Security Hub CSPM hanya menghasilkan temuan untuk sumber daya milik anggota. Temuan yang berkaitan dengan jejak organisasi dihasilkan di akun pemilik sumber daya. Anda dapat melihat temuan ini di akun administrator yang didelegasikan CSPM Hub Keamanan Anda dengan menggunakan agregasi lintas wilayah.
Untuk alarm, akun saat ini harus memiliki topik Amazon SNS yang dirujuk, atau harus mendapatkan akses ke topik Amazon SNS dengan menelepon. ListSubscriptionsByTopic Jika tidak, Security Hub CSPM menghasilkan WARNING temuan untuk kontrol.
Remediasi
Untuk melewati kontrol ini, ikuti langkah-langkah berikut untuk membuat topik Amazon SNS, AWS CloudTrail jejak, filter metrik, dan alarm untuk filter metrik.
Buat topik Amazon SNS. Untuk petunjuk, lihat Mem ulai Amazon SNS di Panduan Pengembang Layanan Pem beritahuan Sederhana Amazon. Buat topik yang menerima semua alarm CIS, dan buat setidaknya satu langganan ke topik tersebut.
Buat CloudTrail jejak yang berlaku untuk semua Wilayah AWS. Untuk petunjuk, lihat Membuat jejak di Panduan AWS CloudTrail Pengguna.
Catat nama grup log CloudWatch log yang Anda kaitkan dengan CloudTrail jejak. Anda membuat filter metrik untuk grup log tersebut di langkah berikutnya.
Membuat sebuah filter metrik. Untuk petunjuk, lihat Membuat filter metrik untuk grup log di Panduan CloudWatch Pengguna Amazon. Gunakan nilai berikut:
Bidang Nilai Tentukan pola, Pola Filter
{($.eventSource=config.amazonaws.com) && (($.eventName=StopConfigurationRecorder) || ($.eventName=DeleteDeliveryChannel) || ($.eventName=PutDeliveryChannel) || ($.eventName=PutConfigurationRecorder))}Namespace metrik
LogMetricsNilai metrik
1Nilai default
0Buat alarm berdasarkan filter. Untuk petunjuk, lihat Membuat CloudWatch alarm berdasarkan filter metrik grup log di Panduan CloudWatch Pengguna Amazon. Gunakan nilai berikut:
Bidang Nilai Kondisi, Jenis ambang
Statis
Kapan pun
your-metric-name...Greater/Equal
lebih dari...
1
[CloudWatch.10] Pastikan filter metrik log dan alarm ada untuk perubahan grup keamanan
Persyaratan terkait: CIS Foun AWS dations Benchmark v1.2. 0/3.10, Benchmark Yay AWS asan CIS v1.4. 0/4.10, NIST.800-171.r2 3.14.6, 3.14.7 NIST.800-171.r2
Kategori: Deteksi > Layanan deteksi
Tingkat keparahan: Rendah
Jenis sumber daya: AWS::Logs::MetricFilter,AWS::CloudWatch::Alarm,AWS::CloudTrail::Trail, AWS::SNS::Topic
AWS Config aturan: Tidak ada (aturan CSPM Hub Keamanan kustom)
Jenis jadwal: Ber kala
Parameter: Tidak ada
Anda dapat melakukan pemantauan panggilan API secara real-time dengan mengarahkan CloudTrail CloudWatch log ke Log dan menetapkan filter dan alarm metrik yang sesuai. Grup keamanan adalah filter paket stateful yang mengontrol lalu lintas masuk dan keluar dalam VPC.
CIS merekomendasikan agar Anda membuat filter metrik dan alarm untuk perubahan pada grup keamanan. Memantau perubahan ini membantu memastikan bahwa sumber daya dan layanan tidak terekspos secara tidak sengaja.
Untuk menjalankan pemeriksaan ini, Security Hub CSPM menggunakan logika khusus untuk melakukan langkah-langkah audit yang tepat yang ditentukan untuk kontrol 4.10 di CIS Foun AWS dations Benchmark v1.4.0.
catatan
Ketika Security Hub CSPM melakukan pemeriksaan untuk kontrol ini, ia mencari CloudTrail jejak yang digunakan akun saat ini. Jalur ini mungkin jalur organisasi milik akun lain. Multi-Region jalur juga mungkin berbasis di Wilayah yang berbeda.
Pemeriksaan menghasilkan FAILED temuan dalam kasus-kasus berikut:
Tidak ada jejak yang dikonfigurasi.
Jalur yang tersedia yang ada di Wilayah saat ini dan yang dimiliki oleh rekening giro tidak memenuhi persyaratan kontrol.
Pemeriksaan menghasilkan status kontrol NO_DATA dalam kasus-kasus berikut:
Jalur multi-wilayah berbasis di Wilayah yang berbeda. Security Hub CSPM hanya dapat menghasilkan temuan di Wilayah tempat jejak berbasis.
Jejak multi-wilayah milik akun yang berbeda. Security Hub CSPM hanya dapat menghasilkan temuan untuk akun yang memiliki jejak.
Sebagai praktik terbaik, gunakan jalur organisasi untuk mencatat peristiwa dari banyak akun dalam organisasi. Jejak organisasi adalah jalur multi-wilayah secara default dan hanya dapat dikelola oleh akun AWS Organizations manajemen atau akun administrator yang di CloudTrail delegasikan. Menggunakan jejak organisasi menghasilkan status kontrol
NO_DATAuntuk kontrol yang dievaluasi di akun anggota organisasi. Di akun anggota, Security Hub CSPM hanya menghasilkan temuan untuk sumber daya milik anggota. Temuan yang berkaitan dengan jejak organisasi dihasilkan di akun pemilik sumber daya. Anda dapat melihat temuan ini di akun administrator yang didelegasikan CSPM Hub Keamanan Anda dengan menggunakan agregasi lintas wilayah.
Untuk alarm, akun saat ini harus memiliki topik Amazon SNS yang dirujuk, atau harus mendapatkan akses ke topik Amazon SNS dengan menelepon. ListSubscriptionsByTopic Jika tidak, Security Hub CSPM menghasilkan WARNING temuan untuk kontrol.
Remediasi
Untuk melewati kontrol ini, ikuti langkah-langkah berikut untuk membuat topik Amazon SNS, AWS CloudTrail jejak, filter metrik, dan alarm untuk filter metrik.
Buat topik Amazon SNS. Untuk petunjuk, lihat Mem ulai Amazon SNS di Panduan Pengembang Layanan Pem beritahuan Sederhana Amazon. Buat topik yang menerima semua alarm CIS, dan buat setidaknya satu langganan ke topik tersebut.
Buat CloudTrail jejak yang berlaku untuk semua Wilayah AWS. Untuk petunjuk, lihat Membuat jejak di Panduan AWS CloudTrail Pengguna.
Catat nama grup log CloudWatch log yang Anda kaitkan dengan CloudTrail jejak. Anda membuat filter metrik untuk grup log tersebut di langkah berikutnya.
Membuat sebuah filter metrik. Untuk petunjuk, lihat Membuat filter metrik untuk grup log di Panduan CloudWatch Pengguna Amazon. Gunakan nilai berikut:
Bidang Nilai Tentukan pola, Pola Filter
{($.eventName=AuthorizeSecurityGroupIngress) || ($.eventName=AuthorizeSecurityGroupEgress) || ($.eventName=RevokeSecurityGroupIngress) || ($.eventName=RevokeSecurityGroupEgress) || ($.eventName=CreateSecurityGroup) || ($.eventName=DeleteSecurityGroup)}Namespace metrik
LogMetricsNilai metrik
1Nilai default
0Buat alarm berdasarkan filter. Untuk petunjuk, lihat Membuat CloudWatch alarm berdasarkan filter metrik grup log di Panduan CloudWatch Pengguna Amazon. Gunakan nilai berikut:
Bidang Nilai Kondisi, Jenis ambang
Statis
Kapan pun
your-metric-name...Greater/Equal
lebih dari...
1
[CloudWatch.11] Pastikan filter metrik log dan alarm ada untuk perubahan pada Daftar Kontrol Akses Jaringan (NACL)
Persyaratan terkait: CIS Foun AWS dations Benchmark v1.2. 0/3.11, Benchmark Yay AWS asan CIS v1.4. 0/4.11, NIST.800-171.r2 3.14.6, 3.14.7 NIST.800-171.r2
Kategori: Deteksi > Layanan deteksi
Tingkat keparahan: Rendah
Jenis sumber daya: AWS::Logs::MetricFilter,AWS::CloudWatch::Alarm,AWS::CloudTrail::Trail, AWS::SNS::Topic
AWS Config aturan: Tidak ada (aturan CSPM Hub Keamanan kustom)
Jenis jadwal: Ber kala
Parameter: Tidak ada
Anda dapat melakukan pemantauan panggilan API secara real-time dengan mengarahkan CloudTrail CloudWatch log ke Log dan menetapkan filter dan alarm metrik yang sesuai. NACL digunakan sebagai filter paket stateless untuk mengontrol lalu lintas masuk dan keluar untuk subnet dalam VPC.
CIS merekomendasikan agar Anda membuat filter metrik dan alarm untuk perubahan NACL. Memantau perubahan ini membantu memastikan bahwa AWS sumber daya dan layanan tidak terekspos secara tidak sengaja.
Untuk menjalankan pemeriksaan ini, Security Hub CSPM menggunakan logika khusus untuk melakukan langkah-langkah audit yang tepat yang ditentukan untuk kontrol 4.11 di CIS Foun AWS dations Benchmark v1.4.0.
catatan
Ketika Security Hub CSPM melakukan pemeriksaan untuk kontrol ini, ia mencari CloudTrail jejak yang digunakan akun saat ini. Jalur ini mungkin jalur organisasi milik akun lain. Multi-Region jalur juga mungkin berbasis di Wilayah yang berbeda.
Pemeriksaan menghasilkan FAILED temuan dalam kasus-kasus berikut:
Tidak ada jejak yang dikonfigurasi.
Jalur yang tersedia yang ada di Wilayah saat ini dan yang dimiliki oleh rekening giro tidak memenuhi persyaratan kontrol.
Pemeriksaan menghasilkan status kontrol NO_DATA dalam kasus-kasus berikut:
Jalur multi-wilayah berbasis di Wilayah yang berbeda. Security Hub CSPM hanya dapat menghasilkan temuan di Wilayah tempat jejak berbasis.
Jejak multi-wilayah milik akun yang berbeda. Security Hub CSPM hanya dapat menghasilkan temuan untuk akun yang memiliki jejak.
Sebagai praktik terbaik, gunakan jalur organisasi untuk mencatat peristiwa dari banyak akun dalam organisasi. Jejak organisasi adalah jalur multi-wilayah secara default dan hanya dapat dikelola oleh akun AWS Organizations manajemen atau akun administrator yang di CloudTrail delegasikan. Menggunakan jejak organisasi menghasilkan status kontrol
NO_DATAuntuk kontrol yang dievaluasi di akun anggota organisasi. Di akun anggota, Security Hub CSPM hanya menghasilkan temuan untuk sumber daya milik anggota. Temuan yang berkaitan dengan jejak organisasi dihasilkan di akun pemilik sumber daya. Anda dapat melihat temuan ini di akun administrator yang didelegasikan CSPM Hub Keamanan Anda dengan menggunakan agregasi lintas wilayah.
Untuk alarm, akun saat ini harus memiliki topik Amazon SNS yang direferensikan, atau harus mendapatkan akses ke topik Amazon SNS dengan menelepon. ListSubscriptionsByTopic Jika tidak, Security Hub CSPM menghasilkan WARNING temuan untuk kontrol.
Remediasi
Untuk melewati kontrol ini, ikuti langkah-langkah berikut untuk membuat topik Amazon SNS, AWS CloudTrail jejak, filter metrik, dan alarm untuk filter metrik.
Buat topik Amazon SNS. Untuk petunjuk, lihat Mem ulai Amazon SNS di Panduan Pengembang Layanan Pem beritahuan Sederhana Amazon. Buat topik yang menerima semua alarm CIS, dan buat setidaknya satu langganan ke topik tersebut.
Buat CloudTrail jejak yang berlaku untuk semua Wilayah AWS. Untuk petunjuk, lihat Membuat jejak di Panduan AWS CloudTrail Pengguna.
Catat nama grup log CloudWatch log yang Anda kaitkan dengan CloudTrail jejak. Anda membuat filter metrik untuk grup log tersebut di langkah berikutnya.
Membuat sebuah filter metrik. Untuk petunjuk, lihat Membuat filter metrik untuk grup log di Panduan CloudWatch Pengguna Amazon. Gunakan nilai berikut:
Bidang Nilai Tentukan pola, Pola Filter
{($.eventName=CreateNetworkAcl) || ($.eventName=CreateNetworkAclEntry) || ($.eventName=DeleteNetworkAcl) || ($.eventName=DeleteNetworkAclEntry) || ($.eventName=ReplaceNetworkAclEntry) || ($.eventName=ReplaceNetworkAclAssociation)}Namespace metrik
LogMetricsNilai metrik
1Nilai default
0Buat alarm berdasarkan filter. Untuk petunjuk, lihat Membuat CloudWatch alarm berdasarkan filter metrik grup log di Panduan CloudWatch Pengguna Amazon. Gunakan nilai berikut:
Bidang Nilai Kondisi, Jenis ambang
Statis
Kapan pun
your-metric-name...Greater/Equal
lebih dari...
1
[CloudWatch.12] Pastikan filter metrik log dan alarm ada untuk perubahan gateway jaringan
Persyaratan terkait: CIS Foun AWS dations Benchmark v1.2. 0/3.12, Benchmark Yay AWS asan CIS v1.4. 0/4.12, NIST.800-171.r2 3.3.1, 3.13.1 NIST.800-171.r2
Kategori: Deteksi > Layanan deteksi
Tingkat keparahan: Rendah
Jenis sumber daya: AWS::Logs::MetricFilter,AWS::CloudWatch::Alarm,AWS::CloudTrail::Trail, AWS::SNS::Topic
AWS Config aturan: Tidak ada (aturan CSPM Hub Keamanan kustom)
Jenis jadwal: Ber kala
Parameter: Tidak ada
Anda dapat melakukan pemantauan panggilan API secara real-time dengan mengarahkan CloudTrail CloudWatch log ke Log dan menetapkan filter dan alarm metrik yang sesuai. Gateway jaringan diperlukan untuk mengirim dan menerima lalu lintas ke tujuan di luar VPC.
CIS merekomendasikan agar Anda membuat filter metrik dan alarm untuk perubahan pada gateway jaringan. Pemantauan perubahan ini membantu memastikan bahwa semua lalu lintas masuk dan keluar melintasi perbatasan VPC melalui jalur yang terkontrol.
Untuk menjalankan pemeriksaan ini, Security Hub CSPM menggunakan logika khusus untuk melakukan langkah-langkah audit yang tepat yang ditentukan untuk kontrol 4.12 di CIS Foundations Benchmark v1.2 AWS .
catatan
Ketika Security Hub CSPM melakukan pemeriksaan untuk kontrol ini, ia mencari CloudTrail jejak yang digunakan akun saat ini. Jalur ini mungkin jalur organisasi milik akun lain. Multi-Region jalur juga mungkin berbasis di Wilayah yang berbeda.
Pemeriksaan menghasilkan FAILED temuan dalam kasus-kasus berikut:
Tidak ada jejak yang dikonfigurasi.
Jalur yang tersedia yang ada di Wilayah saat ini dan yang dimiliki oleh rekening giro tidak memenuhi persyaratan kontrol.
Pemeriksaan menghasilkan status kontrol NO_DATA dalam kasus-kasus berikut:
Jalur multi-wilayah berbasis di Wilayah yang berbeda. Security Hub CSPM hanya dapat menghasilkan temuan di Wilayah tempat jejak berbasis.
Jejak multi-wilayah milik akun yang berbeda. Security Hub CSPM hanya dapat menghasilkan temuan untuk akun yang memiliki jejak.
Sebagai praktik terbaik, gunakan jalur organisasi untuk mencatat peristiwa dari banyak akun dalam organisasi. Jejak organisasi adalah jalur multi-wilayah secara default dan hanya dapat dikelola oleh akun AWS Organizations manajemen atau akun administrator yang di CloudTrail delegasikan. Menggunakan jejak organisasi menghasilkan status kontrol
NO_DATAuntuk kontrol yang dievaluasi di akun anggota organisasi. Di akun anggota, Security Hub CSPM hanya menghasilkan temuan untuk sumber daya milik anggota. Temuan yang berkaitan dengan jejak organisasi dihasilkan di akun pemilik sumber daya. Anda dapat melihat temuan ini di akun administrator yang didelegasikan CSPM Hub Keamanan Anda dengan menggunakan agregasi lintas wilayah.
Untuk alarm, akun saat ini harus memiliki topik Amazon SNS yang direferensikan, atau harus mendapatkan akses ke topik Amazon SNS dengan menelepon. ListSubscriptionsByTopic Jika tidak, Security Hub CSPM menghasilkan WARNING temuan untuk kontrol.
Remediasi
Untuk melewati kontrol ini, ikuti langkah-langkah berikut untuk membuat topik Amazon SNS, AWS CloudTrail jejak, filter metrik, dan alarm untuk filter metrik.
Buat topik Amazon SNS. Untuk petunjuk, lihat Mem ulai Amazon SNS di Panduan Pengembang Layanan Pem beritahuan Sederhana Amazon. Buat topik yang menerima semua alarm CIS, dan buat setidaknya satu langganan ke topik tersebut.
Buat CloudTrail jejak yang berlaku untuk semua Wilayah AWS. Untuk petunjuk, lihat Membuat jejak di Panduan AWS CloudTrail Pengguna.
Catat nama grup log CloudWatch log yang Anda kaitkan dengan CloudTrail jejak. Anda membuat filter metrik untuk grup log tersebut di langkah berikutnya.
Membuat sebuah filter metrik. Untuk petunjuk, lihat Membuat filter metrik untuk grup log di Panduan CloudWatch Pengguna Amazon. Gunakan nilai berikut:
Bidang Nilai Tentukan pola, Pola Filter
{($.eventName=CreateCustomerGateway) || ($.eventName=DeleteCustomerGateway) || ($.eventName=AttachInternetGateway) || ($.eventName=CreateInternetGateway) || ($.eventName=DeleteInternetGateway) || ($.eventName=DetachInternetGateway)}Namespace metrik
LogMetricsNilai metrik
1Nilai default
0Buat alarm berdasarkan filter. Untuk petunjuk, lihat Membuat CloudWatch alarm berdasarkan filter metrik grup log di Panduan CloudWatch Pengguna Amazon. Gunakan nilai berikut:
Bidang Nilai Kondisi, Jenis ambang
Statis
Kapan pun
your-metric-name...Greater/Equal
lebih dari...
1
[CloudWatch.13] Pastikan filter metrik log dan alarm ada untuk perubahan tabel rute
Persyaratan terkait: CIS Foun AWS dations Benchmark v1.2. 0/3.13, Benchmark Yay AWS asan CIS v1.4. 0/4.13, NIST.800-171.r2 3.3.1, 3. NIST.800-171.r2 13.1, 3.14.6, 3.14.7 NIST.800-171.r2 NIST.800-171.r2
Kategori: Deteksi > Layanan deteksi
Tingkat keparahan: Rendah
Jenis sumber daya: AWS::Logs::MetricFilter,AWS::CloudWatch::Alarm,AWS::CloudTrail::Trail, AWS::SNS::Topic
AWS Config aturan: Tidak ada (aturan CSPM Hub Keamanan kustom)
Jenis jadwal: Ber kala
Parameter: Tidak ada
Kontrol ini memeriksa apakah Anda memantau panggilan API secara real time dengan mengarahkan CloudTrail CloudWatch log ke Log dan menetapkan filter dan alarm metrik yang sesuai. Tabel routing merutekan lalu lintas jaringan antara subnet dan ke gateway jaringan.
CIS merekomendasikan agar Anda membuat filter metrik dan alarm untuk perubahan pada tabel rute. Pemantauan perubahan ini membantu memastikan bahwa semua lalu lintas VPC mengalir melalui jalur yang diharapkan.
catatan
Ketika Security Hub CSPM melakukan pemeriksaan untuk kontrol ini, ia mencari CloudTrail jejak yang digunakan akun saat ini. Jalur ini mungkin jalur organisasi milik akun lain. Multi-Region jalur juga mungkin berbasis di Wilayah yang berbeda.
Pemeriksaan menghasilkan FAILED temuan dalam kasus-kasus berikut:
Tidak ada jejak yang dikonfigurasi.
Jalur yang tersedia yang ada di Wilayah saat ini dan yang dimiliki oleh rekening giro tidak memenuhi persyaratan kontrol.
Pemeriksaan menghasilkan status kontrol NO_DATA dalam kasus-kasus berikut:
Jalur multi-wilayah berbasis di Wilayah yang berbeda. Security Hub CSPM hanya dapat menghasilkan temuan di Wilayah tempat jejak berbasis.
Jejak multi-wilayah milik akun yang berbeda. Security Hub CSPM hanya dapat menghasilkan temuan untuk akun yang memiliki jejak.
Sebagai praktik terbaik, gunakan jalur organisasi untuk mencatat peristiwa dari banyak akun dalam organisasi. Jejak organisasi adalah jalur multi-wilayah secara default dan hanya dapat dikelola oleh akun AWS Organizations manajemen atau akun administrator yang di CloudTrail delegasikan. Menggunakan jejak organisasi menghasilkan status kontrol
NO_DATAuntuk kontrol yang dievaluasi di akun anggota organisasi. Di akun anggota, Security Hub CSPM hanya menghasilkan temuan untuk sumber daya milik anggota. Temuan yang berkaitan dengan jejak organisasi dihasilkan di akun pemilik sumber daya. Anda dapat melihat temuan ini di akun administrator yang didelegasikan CSPM Hub Keamanan Anda dengan menggunakan agregasi lintas wilayah.
Untuk alarm, akun saat ini harus memiliki topik Amazon SNS yang direferensikan, atau harus mendapatkan akses ke topik Amazon SNS dengan menelepon. ListSubscriptionsByTopic Jika tidak, Security Hub CSPM menghasilkan WARNING temuan untuk kontrol.
Remediasi
catatan
Pola filter yang kami rekomendasikan dalam langkah-langkah remediasi ini berbeda dari pola filter dalam panduan CIS. Filter yang kami rekomendasikan hanya menargetkan peristiwa yang berasal dari panggilan API Amazon Elastic Compute Cloud (EC2).
Untuk melewati kontrol ini, ikuti langkah-langkah berikut untuk membuat topik Amazon SNS, AWS CloudTrail jejak, filter metrik, dan alarm untuk filter metrik.
Buat topik Amazon SNS. Untuk petunjuk, lihat Mem ulai Amazon SNS di Panduan Pengembang Layanan Pem beritahuan Sederhana Amazon. Buat topik yang menerima semua alarm CIS, dan buat setidaknya satu langganan ke topik tersebut.
Buat CloudTrail jejak yang berlaku untuk semua Wilayah AWS. Untuk petunjuk, lihat Membuat jejak di Panduan AWS CloudTrail Pengguna.
Catat nama grup log CloudWatch log yang Anda kaitkan dengan CloudTrail jejak. Anda membuat filter metrik untuk grup log tersebut di langkah berikutnya.
Membuat sebuah filter metrik. Untuk petunjuk, lihat Membuat filter metrik untuk grup log di Panduan CloudWatch Pengguna Amazon. Gunakan nilai berikut:
Bidang Nilai Tentukan pola, Pola Filter
{($.eventSource=ec2.amazonaws.com) && (($.eventName=CreateRoute) || ($.eventName=CreateRouteTable) || ($.eventName=ReplaceRoute) || ($.eventName=ReplaceRouteTableAssociation) || ($.eventName=DeleteRouteTable) || ($.eventName=DeleteRoute) || ($.eventName=DisassociateRouteTable))}Namespace metrik
LogMetricsNilai metrik
1Nilai default
0Buat alarm berdasarkan filter. Untuk petunjuk, lihat Membuat CloudWatch alarm berdasarkan filter metrik grup log di Panduan CloudWatch Pengguna Amazon. Gunakan nilai berikut:
Bidang Nilai Kondisi, Jenis ambang
Statis
Kapan pun
your-metric-name...Greater/Equal
lebih dari...
1
[CloudWatch.14] Pastikan filter metrik log dan alarm ada untuk perubahan VPC
Persyaratan terkait: CIS Foun AWS dations Benchmark v1.2. 0/3.14, Benchmark Yay AWS asan CIS v1.4. 0/4.14, NIST.800-171.r2 3.3.1, 3. NIST.800-171.r2 13.1, 3.14.6, 3.14.7 NIST.800-171.r2 NIST.800-171.r2
Kategori: Deteksi > Layanan deteksi
Tingkat keparahan: Rendah
Jenis sumber daya: AWS::Logs::MetricFilter,AWS::CloudWatch::Alarm,AWS::CloudTrail::Trail, AWS::SNS::Topic
AWS Config aturan: Tidak ada (aturan CSPM Hub Keamanan kustom)
Jenis jadwal: Ber kala
Parameter: Tidak ada
Anda dapat melakukan pemantauan panggilan API secara real-time dengan mengarahkan CloudTrail CloudWatch log ke Log dan menetapkan filter dan alarm metrik yang sesuai. Anda dapat memiliki lebih dari satu VPC dalam akun, dan Anda dapat membuat koneksi peer antara dua VPC, memungkinkan lalu lintas jaringan untuk merutekan antar VPC.
CIS merekomendasikan agar Anda membuat filter metrik dan alarm untuk perubahan pada VPC. Pemantauan perubahan ini membantu memastikan bahwa kontrol otentikasi dan otorisasi tetap utuh.
Untuk menjalankan pemeriksaan ini, Security Hub CSPM menggunakan logika khusus untuk melakukan langkah-langkah audit yang tepat yang ditentukan untuk kontrol 4.14 di CIS Foun AWS dations Benchmark v1.4.0.
catatan
Ketika Security Hub CSPM melakukan pemeriksaan untuk kontrol ini, ia mencari CloudTrail jejak yang digunakan akun saat ini. Jalur ini mungkin jalur organisasi milik akun lain. Multi-Region jalur juga mungkin berbasis di Wilayah yang berbeda.
Pemeriksaan menghasilkan FAILED temuan dalam kasus-kasus berikut:
Tidak ada jejak yang dikonfigurasi.
Jalur yang tersedia yang ada di Wilayah saat ini dan yang dimiliki oleh rekening giro tidak memenuhi persyaratan kontrol.
Pemeriksaan menghasilkan status kontrol NO_DATA dalam kasus-kasus berikut:
Jalur multi-wilayah berbasis di Wilayah yang berbeda. Security Hub CSPM hanya dapat menghasilkan temuan di Wilayah tempat jejak berbasis.
Jejak multi-wilayah milik akun yang berbeda. Security Hub CSPM hanya dapat menghasilkan temuan untuk akun yang memiliki jejak.
Sebagai praktik terbaik, gunakan jalur organisasi untuk mencatat peristiwa dari banyak akun dalam organisasi. Jejak organisasi adalah jalur multi-wilayah secara default dan hanya dapat dikelola oleh akun AWS Organizations manajemen atau akun administrator yang di CloudTrail delegasikan. Menggunakan jejak organisasi menghasilkan status kontrol
NO_DATAuntuk kontrol yang dievaluasi di akun anggota organisasi. Di akun anggota, Security Hub CSPM hanya menghasilkan temuan untuk sumber daya milik anggota. Temuan yang berkaitan dengan jejak organisasi dihasilkan di akun pemilik sumber daya. Anda dapat melihat temuan ini di akun administrator yang didelegasikan CSPM Hub Keamanan Anda dengan menggunakan agregasi lintas wilayah.
Untuk alarm, akun saat ini harus memiliki topik Amazon SNS yang direferensikan, atau harus mendapatkan akses ke topik Amazon SNS dengan menelepon. ListSubscriptionsByTopic Jika tidak, Security Hub CSPM menghasilkan WARNING temuan untuk kontrol.
Remediasi
Untuk melewati kontrol ini, ikuti langkah-langkah berikut untuk membuat topik Amazon SNS, AWS CloudTrail jejak, filter metrik, dan alarm untuk filter metrik.
Buat topik Amazon SNS. Untuk petunjuk, lihat Mem ulai Amazon SNS di Panduan Pengembang Layanan Pem beritahuan Sederhana Amazon. Buat topik yang menerima semua alarm CIS, dan buat setidaknya satu langganan ke topik tersebut.
Buat CloudTrail jejak yang berlaku untuk semua Wilayah AWS. Untuk petunjuk, lihat Membuat jejak di Panduan AWS CloudTrail Pengguna.
Catat nama grup log CloudWatch log yang Anda kaitkan dengan CloudTrail jejak. Anda membuat filter metrik untuk grup log tersebut di langkah berikutnya.
Membuat sebuah filter metrik. Untuk petunjuk, lihat Membuat filter metrik untuk grup log di Panduan CloudWatch Pengguna Amazon. Gunakan nilai berikut:
Bidang Nilai Tentukan pola, Pola Filter
{($.eventName=CreateVpc) || ($.eventName=DeleteVpc) || ($.eventName=ModifyVpcAttribute) || ($.eventName=AcceptVpcPeeringConnection) || ($.eventName=CreateVpcPeeringConnection) || ($.eventName=DeleteVpcPeeringConnection) || ($.eventName=RejectVpcPeeringConnection) || ($.eventName=AttachClassicLinkVpc) || ($.eventName=DetachClassicLinkVpc) || ($.eventName=DisableVpcClassicLink) || ($.eventName=EnableVpcClassicLink)}Namespace metrik
LogMetricsNilai metrik
1Nilai default
0Buat alarm berdasarkan filter. Untuk petunjuk, lihat Membuat CloudWatch alarm berdasarkan filter metrik grup log di Panduan CloudWatch Pengguna Amazon. Gunakan nilai berikut:
Bidang Nilai Kondisi, Jenis ambang
Statis
Kapan pun
your-metric-name...Greater/Equal
lebih dari...
1
[CloudWatch.15] CloudWatch alarm harus memiliki tindakan tertentu yang dikonfigurasi
Persyaratan terkait: NIST.800-53.r5 AU-6 (1), NIST.800-53.r5 AU-6 (5), NIST.800-53.r5 CA-7, NIST.800-53.r5 IR-4 (1), NIST.800-53.r5 IR-4 (5),, NIST.800-53.r5 SI-2 NIST.800-53.r5 SI-20, NIST.800-53.r5 SI-4 (12), NIST.800-53.r5 SI-4 (5), NIST.800-171.r2 3.3.4, 3.14.6 NIST.800-171.r2
Kategori: Deteksi > Layanan deteksi
Tingkat keparahan: Tinggi
Jenis sumber daya: AWS::CloudWatch::Alarm
AWS Config aturan: cloudwatch-alarm-action-check
Jenis jadwal: Perubahan dipicu
Parameter:
| Parameter | Deskripsi | Tipe | Nilai kustom yang diizinkan | Nilai default CSPM Hub Keamanan |
|---|---|---|---|---|
|
|
Kontrol menghasilkan tem |
Boolean |
Tidak dapat disesuaikan |
|
|
|
Kontrol menghasilkan tem |
Boolean |
|
|
|
|
Kontrol menghasilkan tem |
Boolean |
|
|
Kontrol ini memeriksa apakah CloudWatch alarm Amazon memiliki setidaknya satu tindakan yang dikonfigurasi untuk ALARM status. Kontrol gagal jika alarm tidak memiliki tindakan yang dikonfigurasi untuk ALARM status. Secara opsional, Anda dapat menyertakan nilai parameter khusus untuk juga memerlukan tindakan alarm untuk INSUFFICIENT_DATA status OK atau.
catatan
Security Hub CSPM mengevaluasi kontrol ini berdasarkan alarm CloudWatch metrik. Alarm metrik dapat menjadi bagian dari alarm komposit yang memiliki tindakan yang ditentukan dikonfigurasi. Kontrol menghasilkan FAILED temuan dalam kasus-kasus berikut:
Tindakan yang ditentukan tidak dikonfigurasi untuk alarm metrik.
Alarm metrik adalah bagian dari alarm komposit yang memiliki tindakan yang ditentukan dikonfigurasi.
Kontrol ini berfokus pada apakah CloudWatch alarm memiliki tindakan alarm yang dikonfigurasi, sedangkan CloudWatch.17 berfokus pada status aktivasi tindakan CloudWatch alarm.
Kami merekomendasikan tindakan CloudWatch alarm untuk memperingatkan Anda secara otomatis ketika metrik yang dipantau berada di luar ambang batas yang ditentukan. Alarm pemantauan membantu Anda mengidentifikasi aktivitas yang tidak biasa dan dengan cepat menanggapi masalah keamanan dan operasional ketika alarm masuk ke keadaan tertentu. Jenis tindakan alarm yang paling umum adalah memberi tahu satu atau lebih pengguna dengan mengirim pesan ke topik Amazon Simple Notification Service (Amazon SNS).
Remediasi
Untuk informasi tentang tindakan yang didukung oleh CloudWatch alarm, lihat Tind akan alarm di Panduan CloudWatch Pengguna Amazon.
[CloudWatch.16] CloudWatch grup log harus dipertahankan untuk jangka waktu tertentu
Kategori: Identifikasi > Pencatatan
Persyaratan terkait: NIST.800-53.r5 AU-10 NIST.800-53.r5 AU-11,, NIST.800-53.r5 AU-6 (3), NIST.800-53.r5 AU-6 (4), NIST.800-53.r5 CA-7, NIST.800-53.r5 SI-12
Tingkat keparahan: Sedang
Jenis sumber daya: AWS::Logs::LogGroup
AWS Config aturan: cw-loggroup-retention-period-check
Jenis jadwal: Ber kala
Parameter:
| Parameter | Deskripsi | Tipe | Nilai kustom yang diizinkan | Nilai default CSPM Hub Keamanan |
|---|---|---|---|---|
|
|
Periode retensi minimum dalam hari untuk CloudWatch grup log |
Enum |
|
|
Kontrol ini memeriksa apakah grup CloudWatch log Amazon memiliki periode penyimpanan setidaknya jumlah hari yang ditentukan. Kontrol gagal jika periode retensi kurang dari jumlah yang ditentukan. Kecuali Anda memberikan nilai parameter khusus untuk periode retensi, Security Hub CSPM menggunakan nilai default 365 hari.
CloudWatch Log memusatkan log dari semua sistem Anda, aplikasi, dan Layanan AWS dalam satu layanan yang sangat skalabel. Anda dapat menggunakan CloudWatch Log untuk memantau, menyimpan, dan mengakses file log dari instans Amazon Elastic Compute Cloud (EC2) AWS CloudTrail, Amazon Route 53, dan sumber lainnya. Mempertahankan log Anda setidaknya selama 1 tahun dapat membantu Anda mematuhi standar retensi log.
Remediasi
Untuk mengonfigurasi pengaturan penyimpanan log, lihat Meng ubah retensi data CloudWatch log di Log di Panduan CloudWatch Pengguna Amazon.
[CloudWatch.17] tindakan CloudWatch alarm harus diaktifkan
Kategori: Deteksi > Layanan deteksi
Persyaratan terkait: NIST.800-53.r5 AU-6 (1), NIST.800-53.r5 AU-6 (5), NIST.800-53.r5 CA-7, NIST.800-53.r5 SI-2, NIST.800-53.r5 SI-4 (12)
Tingkat keparahan: Tinggi
Jenis sumber daya: AWS::CloudWatch::Alarm
AWS Config aturan: cloudwatch-alarm-action-enabled-check
Jenis jadwal: Perubahan dipicu
Parameter: Tidak ada
Kontrol ini memeriksa apakah tindakan CloudWatch alarm diaktifkan (ActionEnabledharus disetel ke true). Kontrol gagal jika tindakan alarm untuk CloudWatch alarm dinonaktifkan.
catatan
Security Hub CSPM mengevaluasi kontrol ini berdasarkan alarm CloudWatch metrik. Alarm metrik dapat menjadi bagian dari alarm komposit yang mengaktifkan tindakan alarm. Kontrol menghasilkan FAILED temuan dalam kasus-kasus berikut:
Tindakan yang ditentukan tidak dikonfigurasi untuk alarm metrik.
Alarm metrik adalah bagian dari alarm komposit yang mengaktifkan tindakan alarm.
Kontrol ini berfokus pada status aktivasi tindakan CloudWatch alarm, sedangkan CloudWatch.15 berfokus pada apakah ada ALARM tindakan yang dikonfigurasi dalam CloudWatch alarm.
Tindakan alarm secara otomatis mengingatkan Anda ketika metrik yang dipantau berada di luar ambang batas yang ditentukan. Jika tindakan alarm dinonaktifkan, tidak ada tindakan yang dijalankan saat alarm berubah status, dan Anda tidak akan diberi tahu tentang perubahan dalam metrik yang dipantau. Sebaiknya aktifkan tindakan CloudWatch alarm untuk membantu Anda merespons masalah keamanan dan operasional dengan cepat.
Remediasi
Untuk mengaktifkan tindakan CloudWatch alarm (konsol)
Buka CloudWatch konsol di https://console.aws.amazon.com/cloudwatch/
. Di panel navigasi, di bawah Alarm, pilih Semua alarm.
Pilih alarm yang ingin Anda aktifkan tindakannya.
Untuk T ind akan, pilih tindakan alarm—baru, lalu pilih Aktifkan.
Untuk informasi selengkapnya tentang mengaktifkan tindakan CloudWatch alarm, lihat Tind akan alarm di Panduan CloudWatch Pengguna Amazon.
