Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Center for Internet Security (CIS) esegue scansioni per i sistemi operativi di EC2 istanze Amazon

Le scansioni CIS di Amazon Inspector (scansioni CIS) eseguono benchmark dei sistemi operativi delle istanze EC2 Amazon per assicurarsi che siano configurati in base alle raccomandazioni delle best practice stabilite dal Center for Internet Security. CIS Security Benchmarks fornisce linee guida di configurazione standard del settore e best practice per configurare un sistema in modo sicuro. Puoi eseguire o pianificare scansioni CIS dopo aver abilitato la scansione Amazon EC2 Inspector per un account. Per informazioni su come attivare Amazon EC2 Scanning, consulta Attivazione di un tipo di scansione.

Amazon Inspector esegue scansioni CIS su istanze Amazon di destinazione in base ai tag EC2 delle istanze e alla pianificazione di scansione definita. Amazon Inspector esegue una serie di controlli delle istanze su ciascuna istanza di destinazione. Ogni controllo valuta se la configurazione del sistema soddisfa le raccomandazioni specifiche di CIS Benchmark. Ogni controllo ha un ID e un titolo di controllo CIS, che corrispondono a una raccomandazione CIS Benchmark per quella piattaforma. Al termine di una scansione CIS, è possibile visualizzare i risultati per vedere quali controlli di istanza sono stati superati, ignorati o non riusciti per quel sistema.

Requisiti delle EC2 istanze Amazon per le scansioni CIS di Amazon Inspector

Per eseguire una scansione CIS sulla tua EC2 istanza Amazon, l' EC2 istanza Amazon deve soddisfare i seguenti criteri:

Requisiti degli endpoint Amazon Virtual Private Cloud per l'esecuzione di scansioni CIS su istanze Amazon private EC2

Puoi eseguire scansioni CIS su EC2 istanze Amazon su una rete Amazon. Tuttavia, se desideri eseguire scansioni CIS su EC2 istanze Amazon private, devi creare endpoint Amazon VPC. I seguenti endpoint sono necessari per creare endpoint Amazon VPC per Systems Manager:

Per ulteriori informazioni, consulta Creazione di endpoint Amazon VPC per Systems Manager nella Guida per l'AWS Systems Manager utente.

Esecuzione di scansioni CIS

È possibile eseguire una scansione CIS una volta su richiesta o come scansione periodica pianificata. Per eseguire una scansione, è innanzitutto necessario creare una configurazione di scansione.

Quando si crea una configurazione di scansione, si specificano le coppie chiave-valore di tag da utilizzare per indirizzare le istanze. Se sei l'amministratore delegato di Amazon Inspector di un'organizzazione, puoi specificare più account nella configurazione di scansione e Amazon Inspector cercherà le istanze con i tag specificati in ciascuno di questi account. Scegli il livello CIS Benchmark per la scansione. Per ogni benchmark, CIS supporta un profilo di livello 1 e di livello 2 progettato per fornire linee di base per i diversi livelli di sicurezza richiesti da ambienti diversi.

Il livello 2 estende il livello 1. Quando scegli il livello 2, Amazon Inspector verifica tutte le configurazioni consigliate per il livello 1 e il livello 2.

Dopo aver definito i parametri per la scansione, puoi scegliere se eseguirla come scansione singola, che viene eseguita dopo aver completato la configurazione, o come scansione ricorrente. Le scansioni ricorrenti possono essere eseguite giornalmente, settimanalmente o mensilmente, in un momento a scelta.

Considerazioni sulla gestione delle scansioni CIS di Amazon Inspector con AWS Organizations

Quando esegui scansioni CIS in un'organizzazione, gli amministratori delegati e gli account dei membri di Amazon Inspector interagiscono con le configurazioni e i risultati delle scansioni CIS in modo diverso.

In che modo gli amministratori delegati di Amazon Inspector possono interagire con le configurazioni e i risultati delle scansioni CIS

Quando l'amministratore delegato crea una configurazione di scansione, per tutti gli account o per uno specifico account membro, l'organizzazione è proprietaria della configurazione. Le configurazioni di scansione di proprietà di un'organizzazione hanno un ARN che specifica l'ID dell'organizzazione come proprietario:

arn:aws:inspector2:Region:111122223333:owner/OrganizationId/cis-configuration/scanId

L'amministratore delegato può gestire le configurazioni di scansione di proprietà di un'organizzazione, anche se sono state create da un altro account.

L'amministratore delegato può visualizzare i risultati della scansione per qualsiasi account della propria organizzazione.

Se l'amministratore delegato crea una configurazione di scansione e lo specifica SELF come account di destinazione, l'amministratore delegato è proprietario della configurazione di scansione, anche se lascia l'organizzazione. Tuttavia, l'amministratore delegato non può modificare la destinazione di una configurazione di scansione utilizzando come destinazione. SELF

In che modo gli account membri di Amazon Inspector possono interagire con le configurazioni e i risultati delle scansioni CIS

Quando un account membro crea una configurazione di scansione CIS, è proprietario della configurazione. Tuttavia, l'amministratore delegato può visualizzare la configurazione. Se un account membro lascia l'organizzazione, l'amministratore delegato non sarà in grado di visualizzare la configurazione.

Gli account membro, gli amministratori delegati che hanno SELF come destinazione e gli account autonomi possiedono tutti le configurazioni di scansione che creano. Queste configurazioni di scansione hanno un ARN che mostra l'ID dell'account come proprietario:

arn:aws:inspector2:Region:111122223333:owner/111122223333/cis-configuration/scanId

Un account membro può visualizzare i risultati delle scansioni nel proprio account, inclusi i risultati delle scansioni CIS pianificate dall'amministratore delegato.

Bucket Amazon S3 di proprietà di Amazon Inspector utilizzati per le scansioni CIS di Amazon Inspector

Open Vulnerability and Assessment Language (OVAL) è uno strumento di sicurezza delle informazioni che standardizza le modalità di valutazione e segnalazione dello stato delle macchine dei sistemi informatici. La tabella seguente elenca tutti i bucket Amazon S3 di proprietà di Amazon Inspector con definizioni OVAL utilizzati per le scansioni CIS. Amazon Inspector archivia i file di definizione OVAL necessari per le scansioni CIS. I bucket Amazon S3 di proprietà di Amazon Inspector dovrebbero essere inseriti nell'elenco consentito, se necessario. VPCs