Verificações do Center for Internet Security (CIS) para sistemas operacionais de instâncias do Amazon EC2

As verificações do Amazon Inspector CIS (verificação do CIS) comparam os sistemas operacionais da sua instância do Amazon EC2 para garantir que você os tenha configurado de acordo com as práticas recomendadas estabelecidas pelo Center for Internet Security. O CIS Security Benchmark fornece linhas de base com a configuração padrão do setor e práticas recomendadas para configurar um sistema com segurança. Você pode executar ou programar verificações do CIS depois de habilitar a verificação do EC2 do Amazon Inspector para uma conta. Para ter informações sobre como ativar a verificação do Amazon EC2, consulte Activating a scan type.

O Amazon Inspector executa verificações do CIS em instâncias de destino do Amazon EC2 com base em etiquetas de instância e na programação de verificação definida. O Amazon Inspector executa uma série de verificações de instâncias em cada instância de destino. Cada verificação avalia se a configuração do sistema atende às recomendações específicas do CIS Benchmark. Cada verificação tem um ID e um título de verificação do CIS, que correspondem a uma recomendação do CIS Benchmark para essa plataforma. Quando uma verificação do CIS é concluída, você pode visualizar os resultados para ver quais verificações de instância foram aprovadas, ignoradas ou falharam nesse sistema.

Requisitos de instância do Amazon EC2 para verificação do CIS do Amazon Inspector

Para executar uma verificação do CIS em sua instância do Amazon EC2, a instância do Amazon EC2 deve atender aos seguintes critérios:

Requisitos de endpoint do Amazon Virtual Private Cloud para executar verificações do CIS em instâncias privadas do Amazon EC2

Você pode executar verificações do CIS em instâncias do Amazon EC2 em uma rede da Amazon. No entanto, para executar verificações do CIS em instâncias privadas do Amazon EC2, você deve criar endpoints da VPC da Amazon. Os seguintes endpoints são necessários quando você cria endpoints da VPC da Amazon para o Systems Manager:

Para ter mais informações, consulte Criar endpoints da VPC para o Systems Manager no Guia do usuário do AWS Systems Manager.

Executar verificações do CIS

Você pode executar uma verificação do CIS uma vez sob demanda ou como uma verificação recorrente programada. Para executar uma verificação, primeiro crie uma configuração da verificação.

Ao criar uma configuração da verificação, especifique pares de chave/valor de etiqueta a serem usados nas instâncias de destino. Se você for o administrador delegado do Amazon Inspector de uma organização, poderá especificar várias contas na configuração da verificação, e o Amazon Inspector procurará instâncias com as etiquetas especificadas em cada uma dessas contas. Você escolhe o nível de referência do CIS para a verificação. Para cada benchmark, o CIS comporta perfis de nível 1 e 2 projetados para fornecer linhas de base para diferentes níveis de segurança que diferentes ambientes podem exigir.

O nível 2 estende o nível 1. Ao escolher o nível 2, o Amazon Inspector verifica todas as configurações recomendadas para os níveis 1 e 2.

Depois de definir os parâmetros da verificação, você pode escolher se deseja executá-la como verificação única, que é executada após a conclusão da configuração, ou como verificação recorrente. As verificações recorrentes podem ser executadas diária, semanal ou mensalmente, no horário de sua escolha.

Considerações sobre o gerenciamento de verificações do CIS do Amazon Inspector com o AWS Organizations

Quando você executa verificações do CIS em uma organização, os administradores delegados e as contas-membro do Amazon Inspector interagem com as configurações e os resultados da verificação do CIS de forma diferente.

Como os administradores delegados do Amazon Inspector podem interagir com as configurações e os resultados da verificação do CIS

Quando o administrador delegado cria uma configuração de verificação, seja para todas as contas ou para contas-membro específicas, a organização é proprietária da configuração. As configurações de verificação que uma organização possui têm um ARN especificando o ID da organização como proprietário:

arn:aws:inspector2:Region:111122223333:owner/OrganizationId/cis-configuration/scanId

O administrador delegado pode gerenciar as configurações de verificação que uma organização possui, mesmo que outra conta as tenha criado.

O administrador delegado pode visualizar os resultados da verificação de qualquer conta em sua organização.

Se o administrador delegado criar uma configuração de verificação e especificar SELF como a conta de destino, o administrador delegado será o proprietário da configuração de verificação, mesmo que ele saia da organização. No entanto, o administrador delegado não pode alterar o destino de uma configuração de verificação com SELF como destino.

Como as contas-membro do Amazon Inspector podem interagir com as configurações e os resultados da verificação do CIS

Quando uma conta-membro cria uma configuração de verificação do CIS, ela é proprietária da configuração. No entanto, o administrador delegado pode visualizar a configuração. Se uma conta-membro sair da organização, o administrador delegado não poderá visualizar a configuração.

As contas-membro, os administradores delegados com SELF como destino e as contas independentes possuem todas as configurações de verificação criadas por eles. Essas configurações de verificação têm um ARN que mostra o ID da conta como proprietário:

arn:aws:inspector2:Region:111122223333:owner/111122223333/cis-configuration/scanId

Uma conta-membro pode visualizar os resultados da verificação em sua conta, inclusive os resultados da verificação do CIS programada pelo administrador delegado.

Buckets do Amazon S3 de propriedade do Amazon Inspector usados para verificações do CIS do Amazon Inspector

A Open Vulnerability and Assessment Language (OVAL) é um esforço de segurança da informação que padroniza como avaliar e relatar o estado da máquina dos sistemas de computador. A tabela a seguir lista todos os buckets do Amazon S3 de propriedade do Amazon Inspector com definições OVAL que são usadas para verificações do CIS. O Amazon Inspector envia arquivos de definição OVAL necessários para verificações do CIS. Os buckets do Amazon S3 de propriedade do Amazon Inspector devem ser permitidos em VPCs, se necessário.