As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

O Center for Internet Security (CIS) verifica os sistemas operacionais de EC2 instâncias da Amazon

As varreduras do Amazon Inspector CIS (varreduras CIS) comparam seus sistemas operacionais de instância da EC2 Amazon para garantir que você os tenha configurado de acordo com as recomendações de melhores práticas estabelecidas pelo Center for Internet Security. O CIS Security Benchmark fornece linhas de base com a configuração padrão do setor e práticas recomendadas para configurar um sistema com segurança. Você pode realizar ou programar escaneamentos do CIS depois de habilitar o escaneamento do Amazon EC2 Inspector para uma conta. Para obter informações sobre como ativar o EC2 escaneamento da Amazon, consulte Ativando um tipo de escaneamento.

O Amazon Inspector executa escaneamentos CIS em EC2 instâncias alvo da Amazon com base nas tags de instância e em seu cronograma de escaneamento definido. O Amazon Inspector executa uma série de verificações de instâncias em cada instância de destino. Cada verificação avalia se a configuração do sistema atende às recomendações específicas do CIS Benchmark. Cada verificação tem um ID e um título de verificação do CIS, que correspondem a uma recomendação do CIS Benchmark para essa plataforma. Quando uma verificação do CIS é concluída, você pode visualizar os resultados para ver quais verificações de instância foram aprovadas, ignoradas ou falharam nesse sistema.

Requisitos de EC2 instância da Amazon para escaneamentos do Amazon Inspector CIS

Para executar uma verificação do CIS em sua EC2 instância da Amazon, a EC2 instância da Amazon deve atender aos seguintes critérios:

Requisitos de endpoint da Amazon Virtual Private Cloud para executar escaneamentos do CIS em instâncias privadas da Amazon EC2

Você pode executar escaneamentos do CIS em EC2 instâncias da Amazon em uma rede Amazon. No entanto, se você quiser executar escaneamentos do CIS em EC2 instâncias privadas da Amazon, você deve criar endpoints do Amazon VPC. Os seguintes endpoints são necessários quando você cria endpoints da VPC da Amazon para o Systems Manager:

Para ter mais informações, consulte Criar endpoints da VPC para o Systems Manager no Guia do usuário do AWS Systems Manager .

Executar verificações do CIS

Você pode executar uma verificação do CIS uma vez sob demanda ou como uma verificação recorrente programada. Para executar uma verificação, primeiro crie uma configuração da verificação.

Ao criar uma configuração da verificação, especifique pares de chave/valor de etiqueta a serem usados nas instâncias de destino. Se você for o administrador delegado do Amazon Inspector de uma organização, poderá especificar várias contas na configuração da verificação, e o Amazon Inspector procurará instâncias com as etiquetas especificadas em cada uma dessas contas. Você escolhe o nível de referência do CIS para a verificação. Para cada benchmark, o CIS comporta perfis de nível 1 e 2 projetados para fornecer linhas de base para diferentes níveis de segurança que diferentes ambientes podem exigir.

O nível 2 estende o nível 1. Ao escolher o nível 2, o Amazon Inspector verifica todas as configurações recomendadas para os níveis 1 e 2.

Depois de definir os parâmetros da verificação, você pode escolher se deseja executá-la como verificação única, que é executada após a conclusão da configuração, ou como verificação recorrente. As verificações recorrentes podem ser executadas diária, semanal ou mensalmente, no horário de sua escolha.

Considerações sobre o gerenciamento de escaneamentos do Amazon Inspector CIS com AWS Organizations

Quando você executa verificações do CIS em uma organização, os administradores delegados e as contas-membro do Amazon Inspector interagem com as configurações e os resultados da verificação do CIS de forma diferente.

Como os administradores delegados do Amazon Inspector podem interagir com as configurações e os resultados da verificação do CIS

Quando o administrador delegado cria uma configuração de verificação, seja para todas as contas ou para contas-membro específicas, a organização é proprietária da configuração. As configurações de verificação que uma organização possui têm um ARN especificando o ID da organização como proprietário:

arn:aws:inspector2:Region:111122223333:owner/OrganizationId/cis-configuration/scanId

O administrador delegado pode gerenciar as configurações de verificação que uma organização possui, mesmo que outra conta as tenha criado.

O administrador delegado pode visualizar os resultados da verificação de qualquer conta em sua organização.

Se o administrador delegado criar uma configuração de verificação e especificar SELF como a conta de destino, o administrador delegado será o proprietário da configuração de verificação, mesmo que ele saia da organização. No entanto, o administrador delegado não pode alterar o destino de uma configuração de verificação com SELF como destino.

Como as contas-membro do Amazon Inspector podem interagir com as configurações e os resultados da verificação do CIS

Quando uma conta-membro cria uma configuração de verificação do CIS, ela é proprietária da configuração. No entanto, o administrador delegado pode visualizar a configuração. Se uma conta-membro sair da organização, o administrador delegado não poderá visualizar a configuração.

As contas-membro, os administradores delegados com SELF como destino e as contas independentes possuem todas as configurações de verificação criadas por eles. Essas configurações de verificação têm um ARN que mostra o ID da conta como proprietário:

arn:aws:inspector2:Region:111122223333:owner/111122223333/cis-configuration/scanId

Uma conta-membro pode visualizar os resultados da verificação em sua conta, inclusive os resultados da verificação do CIS programada pelo administrador delegado.

Buckets do Amazon S3 de propriedade do Amazon Inspector usados para verificações do CIS do Amazon Inspector

A Open Vulnerability and Assessment Language (OVAL) é um esforço de segurança da informação que padroniza como avaliar e relatar o estado da máquina dos sistemas de computador. A tabela a seguir lista todos os buckets do Amazon S3 de propriedade do Amazon Inspector com definições OVAL que são usadas para verificações do CIS. O Amazon Inspector envia arquivos de definição OVAL necessários para verificações do CIS. Os buckets Amazon S3 de propriedade do Amazon Inspector devem ser incluídos na lista de permissões, se necessário. VPCs