Controles do Security Hub para o Kinesis
Esses controles do AWS Security Hub CSPM avaliam o serviço e os recursos do Amazon Kinesis.
Esses controles podem não estar disponíveis em todas as Regiões da AWS. Para obter mais informações, consulte Disponibilidade de controles por região.
[Kinesis.1] Os fluxos do Kinesis devem ser criptografados em repouso
Requisitos relacionados: NIST.800-53.r5 CA-9(1), NIST.800-53.r5 CM-3(6), NIST.800-53.r5 SC-13, NIST.800-53.r5 SC-28, NIST.800-53.r5 SC-28(1), NIST.800-53.r5 SC-7(10), NIST.800-53.r5 SI-7(6)
Categoria: Proteger > Proteção de dados > Criptografia de dados em repouso
Gravidade: média
Tipo de recurso: AWS::Kinesis::Stream
AWS Config Regra: kinesis-stream-encrypted
Tipo de programação: acionado por alterações
Parâmetros: nenhum
Esse controle verifica se o Kinesis Data Streams está criptografado em repouso com criptografia do lado do servidor. Esse controle falha se um fluxo do Kinesis não estiver criptografado em repouso com criptografia do lado do servidor.
A criptografia no lado do servidor é um recurso do Amazon Kinesis Data Streams que criptografa automaticamente os dados antes do repouso usando um AWS KMS key. Os dados são criptografados antes de serem gravados na camada de armazenamento do fluxo do Kinesis e descriptografados depois de recuperados do armazenamento. Como resultado, os dados são criptografados em repouso no serviço Amazon Kinesis Data Streams.
Correção
Para obter informações sobre como habilitar a criptografia no lado do servidor para fluxos do Kinesis, consulte Como começar a criptografia no lado do servidor? no Guia do desenvolvedor do Amazon Kinesis.
[Kinesis.2] Os fluxos do Kinesis devem ser marcados
Categoria: Identificar > Inventário > Marcação
Gravidade: baixa
Tipo de recurso: AWS::Kinesis::Stream
Regra AWS Config: tagged-kinesis-stream (regra personalizada do Security Hub)
Tipo de programação: acionado por alterações
Parâmetros:
| Parameter | Descrição | Tipo | Valores personalizados permitidos | Valor padrão do Security Hub |
|---|---|---|---|---|
requiredTagKeys
|
A lista de chaves que não são de sistema que o recurso avaliado deve conter. Chaves de tag fazem distinção entre maiúsculas e minúsculas. | StringList (máximo de 6 itens) | 1 a 6 chaves de tag que atendam aos requisitos da AWS. | Nenhum valor padrão |
Esse controle verifica se um fluxo de dados do Amazon Kinesis tem tags com as chaves específicas definidas no parâmetro requiredTagKeys. O controle falhará se o fluxo de dados não tiver nenhuma chave de tag ou se não tiver todas as chaves especificadas no parâmetro requiredTagKeys. Se o parâmetro requiredTagKeys não for fornecido, o controle verificará apenas a existência de uma chave de tag e falhará se o fluxo de dados não estiver marcado com nenhuma tag de chave. As tags de sistema, que são aplicadas automaticamente e começam com aws:, são ignoradas.
Uma tag é um rótulo que você atribui a um recurso da AWS e consiste em uma chave e um valor opcional. É possível criar tags para categorizar recursos por finalidade, proprietário, ambiente ou outros critérios. As tags podem ajudar você a identificar, organizar, pesquisar e filtrar recursos. A marcação também ajuda você a rastrear os proprietários de recursos responsáveis por ações e notificações. Ao usar tags, é possível implementar o controle de acesso por atributo (ABAC) como uma estratégia de autorização, que define permissões com base nas tags. É possível anexar tags a entidades do IAM (usuários ou perfis) e a recursos da AWS. É possível criar uma única política de ABAC ou um conjunto separado de políticas para as entidades do IAM. É possível criar essas políticas de ABAC para permitir operações quando a tag da entidade principal corresponder à tag do recurso. Para obter mais informações, consulte O que é ABAC para AWS? no Guia do usuário do IAM.
nota
Não adicione informações de identificação pessoal (PII) nem outras informações confidenciais ou sensíveis em tags. As tags são acessíveis a muitos Serviços da AWS, incluindo o AWS Billing. Para saber mais sobre as práticas recomendadas de marcação, consulte Tagging your AWS resources na Referência geral da AWS.
Correção
Para adicionar tags a um fluxo de dados do Kinesis, consulte Tagging your streams in Amazon Kinesis Data Streams no Amazon Kinesis Developer Guide.
[Kinesis.3] Os fluxos do Kinesis devem ter um período de retenção de dados adequado
Gravidade: média
Tipo de recurso: AWS::Kinesis::Stream
AWS ConfigRegra: kinesis-stream-backup-retention-check
Tipo de programação: acionado por alterações
Parâmetros:
| Parameter | Descrição | Tipo | Valores personalizados permitidos | Valor padrão do Security Hub |
|---|---|---|---|---|
minimumBackupRetentionPeriod
|
Número mínimo de horas durante as quais os dados devem ser retidos. | String | 24 a 8.760 | 168 |
Esse controle verifica se um fluxo de dados do Amazon Kinesis tem um período de retenção de dados maior ou igual ao período de tempo especificado. O controle falhará se o período de retenção de dados for inferior ao período de tempo especificado. A menos que você forneça um valor de parâmetro personalizado para o período de retenção de dados, o Security Hub usará um valor padrão de 168 horas.
No Kinesis Data Streams, um fluxo de dados é uma sequência ordenada de registros de dados destinada a ser gravada e lida em tempo real. Os registros de dados são armazenados em fragmentos no fluxo temporariamente. O período entre o momento de adição de um registro e o momento em que ele deixa de estar acessível é chamado de período de retenção. O Kinesis Data Streams torna os registros mais antigos que o novo período de retenção acessíveis quase imediatamente após a redução do período de retenção. Por exemplo, alterar o período de retenção de 24 horas para 48 horas significa que os registros adicionados ao fluxo 23 horas 55 minutos antes ainda estarão disponíveis depois de 24 horas.
Correção
Para alterar o período de retenção de backup do Amazon Kinesis Data Streams, consulte Change the data retention period no Amazon Kinesis Data Streams Developer Guide.
