As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.
Controles de CSPM do Security Hub para Amazon ECR
Esses controles CSPM do Security Hub avaliam o serviço e os recursos do Amazon Elastic Container Registry (Amazon ECR).
Esses controles podem não estar disponíveis em todosRegiões da AWS. Para obter mais informações, consulte Disponibilidade de controles por região.
[ECR.1] Os repositórios privados do ECR devem ter a digitalização de imagens configurada
Requisitos relacionados: PCI DSS v4.0.1/6.2.3 NIST.800-53.r5 RA-5, PCI DSS v4.0.1/6.2.4
Categoria: Identificar > Gerenciamento de vulnerabilidades, patches e versões
Gravidade: alta
Tipo de recurso: AWS::ECR::Repository
Regra do AWS Config: ecr-private-image-scanning-enabled
Tipo de programação: Periódico
Parâmetros: nenhum
Esse controle verifica se um repositório privado do Amazon ECR tem a digitalização de imagens configurada. O controle falhará se o repositório ECR privado não estiver configurado para digitalização por push ou varredura contínua.
A verificação de imagens do ECR ajuda a identificar vulnerabilidades de software nas imagens de seu contêiner. A configuração da digitalização de imagens em repositórios ECR adiciona uma camada de verificação da integridade e segurança das imagens que estão sendo armazenadas.
Correção
Para configurar a digitalização de imagens para um repositório ECR, consulte Digitalização de imagens no Guia do usuário do Amazon Elastic Container Registry.
[ECR.2] Os repositórios privados do ECR devem ter a imutabilidade da tag configurada
Requisitos relacionados: NIST.800-53.r5 CA-9 (1), NIST.800-53.r5 CM-2, NIST.800-53.r5 CM-8 (1)
Categoria: Identificar > Inventário > Marcação
Gravidade: média
Tipo de recurso: AWS::ECR::Repository
Regra do AWS Config: ecr-private-tag-immutability-enabled
Tipo de programação: acionado por alterações
Parâmetros: nenhum
Esse controle verifica se um repositório ECR privado tem a imutabilidade de tags ativada. Esse controle falhará se um repositório ECR privado tiver a imutabilidade de tags desativada. Essa regra é aprovada se a imutabilidade da tag estiver ativada e tiver o valor IMMUTABLE.
O Amazon ECR Tag Immutability permite que os clientes confiem nas tags descritivas de uma imagem como um mecanismo confiável para rastrear e identificar imagens de forma exclusiva. Uma tag imutável é estática, o que significa que cada tag se refere a uma imagem exclusiva. Isso melhora a confiabilidade e a escalabilidade, pois o uso de uma tag estática sempre resultará na implantação da mesma imagem. Quando configurada, a imutabilidade das tags evita que elas sejam substituídas, o que reduz a superfície de ataque.
Correção
Para criar um repositório com tags imutáveis configuradas ou para atualizar as configurações de mutabilidade da tag de imagem para um repositório existente, consulte Mutabilidade da tag de imagem no Guia do usuário do Amazon Elastic Container Registry.
[ECR.3] Os repositórios ECR devem ter pelo menos uma política de ciclo de vida configurada
Requisitos relacionados: NIST.800-53.r5 CA-9 (1), NIST.800-53.r5 CM-2, NIST.800-53.r5 CM-2 (2)
Categoria: Identificar > Configuração de recursos
Gravidade: média
Tipo de recurso: AWS::ECR::Repository
Regra do AWS Config: ecr-private-lifecycle-policy-configured
Tipo de programação: acionado por alterações
Parâmetros: nenhum
Esse controle verifica se um repositório do Amazon ECR tem pelo menos uma política de ciclo de vida configurada. Esse controle falhará se um repositório ECR não tiver nenhuma política de ciclo de vida configurada.
As políticas de ciclo de vida do Amazon ECR permitem que você especifique o gerenciamento do ciclo de vida das imagens em um repositório. Ao configurar as políticas de ciclo de vida, você pode automatizar a limpeza de imagens não usadas e a expiração das imagens com base na idade ou contagem. Automatizar essas tarefas pode ajudar você a evitar o uso involuntário de imagens desatualizadas em seu repositório.
Correção
Para configurar uma política de ciclo de vida, consulte Criar uma prévia da política de ciclo de vida no Guia do usuário do Amazon Elastic Container Registry.
[ECR.4] Os repositórios públicos do ECR devem ser marcados
Categoria: Identificar > Inventário > Marcação
Gravidade: baixa
Tipo de recurso: AWS::ECR::PublicRepository
AWS Configregra: tagged-ecr-publicrepository (regra CSPM personalizada do Security Hub)
Tipo de programação: acionado por alterações
Parâmetros:
| Parâmetro | Description | Tipo | Valores personalizados permitidos | Valor padrão do CSPM do Security Hub |
|---|---|---|---|---|
requiredTagKeys
|
A lista de chaves que não são de sistema que o recurso avaliado deve conter. As chaves de tag diferenciam maiúsculas de minúsculas | StringList (máximo de 6 itens) | 1 a 6 chaves de tag que atendam aos requisitos da AWS. | Nenhum valor padrão |
Esse controle verifica se um repositório Public do Amazon ECR Public tem tags com chaves específicas definidas no parâmetro requiredTagKeys. O controle falhará se o repositório público não tiver nenhuma chave de tag ou se não tiver todas as chaves especificadas no parâmetro requiredTagKeys. Se o parâmetro requiredTagKeys não for fornecido, o controle verificará apenas a existência de uma chave de tag e falhará se o repositório público não estiver marcado com nenhuma tag de chave. As tags de sistema, que são aplicadas automaticamente e começam com aws:, são ignoradas.
Uma tag é um rótulo que você atribui a um AWS recurso e consiste em uma chave e um valor opcional. É possível criar tags para categorizar recursos por finalidade, proprietário, ambiente ou outros critérios. As tags podem ajudar você a identificar, organizar, pesquisar e filtrar recursos. A marcação também ajuda você a rastrear os proprietários de recursos responsáveis por ações e notificações. Ao usar tags, é possível implementar o controle de acesso por atributo (ABAC) como uma estratégia de autorização, que define permissões com base nas tags. Você pode anexar tags às entidades do IAM (usuários ou funções) e aos AWS recursos. É possível criar uma única política de ABAC ou um conjunto separado de políticas para as entidades do IAM. É possível criar essas políticas de ABAC para permitir operações quando a tag da entidade principal corresponder à tag do recurso. Para obter mais informações, consulte Para que serve o ABAC? AWS no Guia do usuário do IAM.
nota
Não adicione informações de identificação pessoal (PII) nem outras informações confidenciais ou sensíveis em tags. As tags podem ser acessadas por muitosServiços da AWS, inclusiveAWS Billing. Para obter mais práticas recomendadas de marcação, consulte Como marcar seus AWS recursos no. Referência geral da AWS
Correção
Para adicionar tags a um repositório público do ECR, consulte Tagging an Amazon ECR public repository no Amazon Elastic Container Registry User Guide.
[ECR.5] Os repositórios ECR devem ser criptografados com gerenciamento de clientes AWS KMS keys
Requisitos relacionados: NIST.800-53.r5 SC-1 2 (2), NIST.800-53.r5 CM-3(6), NIST.800-53.r5 SC-1 3, 8, NIST.800-53.r5 SC-2 8 (1), (10), (1), NIST.800-53.r5 SC-7 NIST.800-53.r5 NIST.800-53.r5 SC-2 SI-7 NIST.800-53.r5 CA-9 (6), NIST.800-53.r5 AU-9
Categoria: Proteger > Proteção de dados > Criptografia de data-at-rest
Gravidade: média
Tipo de recurso: AWS::ECR::Repository
Regra do AWS Config: ecr-repository-cmk-encryption-enabled
Tipo de programação: acionado por alterações
Parâmetros:
| Parâmetro | Description | Tipo | Valores personalizados permitidos | Valor padrão do CSPM do Security Hub |
|---|---|---|---|---|
|
|
Uma lista de nomes de recursos da Amazon (ARNs) AWS KMS keys a serem incluídos na avaliação. O controle gerará uma descoberta |
StringList (máximo de 10 itens) |
1 a 10 ARNs das chaves KMS existentes. Por exemplo: |
Nenhum valor padrão |
Esse controle verifica se um repositório do Amazon ECR está criptografado em repouso com uma AWS KMS key gerenciada pelo cliente. O controle falhará se o repositório do ECR não for criptografado com uma chave do KMS gerenciada pelo cliente. Opcionalmente, é possível especificar uma lista de chaves do KMS para o controle incluir na avaliação.
Por padrão, o Amazon ECR criptografa os dados de repositórios com chaves gerenciadas pelo Amazon S3 (SSE-S3), usando um algoritmo AES-256. Para controle adicional, você pode configurar o Amazon ECR para criptografar os dados com um AWS KMS key (SSE-KMS ou DSSE-KMS) em vez disso. A chave do KMS pode ser: uma Chave gerenciada pela AWS que o Amazon ECR cria e gerencia para você e tem o alias aws/ecr, ou uma chave gerenciada pelo cliente que você cria e gerencia em sua Conta da AWS. Com uma chave do KMS gerenciada pelo cliente, você tem controle total sobre a chave. Isso inclui definir e manter a política de chaves, gerenciar concessões, alternar material criptográfico, atribuir tags, criar aliases e habilitar e desabilitar a chave.
nota
AWS KMSoferece suporte ao acesso entre contas às chaves KMS. Se um repositório do ECR for criptografado com uma chave do KMS de propriedade de outra conta, esse controle não executará verificações entre contas ao avaliar o repositório. O controle não avalia se o Amazon ECR pode acessar e usar a chave ao realizar operações criptográficas para o repositório.
Correção
Não é possível alterar as configurações de criptografia de um repositório do ECR existente. No entanto, é possível especificar configurações de criptografia diferentes para repositórios do ECR que você criar posteriormente. O Amazon ECR oferece suporte ao uso de diferentes configurações de criptografia para repositórios individuais.
Para obter mais informações sobre as opções de criptografia para repositórios do ECR, consulte Criptografia em repouso no Guia do usuário do Amazon ECR. Para obter mais informações sobre gerenciamento de clientesAWS KMS keys, consulte AWS KMS keyso Guia do AWS Key Management Service desenvolvedor.
