As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Controles do Security Hub para o Systems Manager

Esses AWS Security Hub controles avaliam o serviço e os recursos AWS Systems Manager (SSM). Os controles podem não estar disponíveis em todos Regiões da AWS. Para obter mais informações, consulte Disponibilidade de controles por região.

[SSM.1] As EC2 instâncias da Amazon devem ser gerenciadas por AWS Systems Manager

Requisitos relacionados: PCI DSS v3.2.1/2.4, NIST.800-53.r5 CA-9 (1), 5 (2), NIST.800-53.r5 CM-2, NIST.800-53.r5 CM-2(2), NIST.800-53.r5 CM-8, NIST.800-53.r5 CM-8(1), NIST.800-53.r5 CM-8(2), NIST.800-53.r5 CM-8(3), NIST.800-53.r5 SA-1 5 (8), NIST.800-53.r5 SA-1 NIST.800-53.r5 SI-2 (3) NIST.800-53.r5 SA-3

Categoria: Identificar > Inventário

Severidade: média

Recurso avaliado: AWS::EC2::Instance

Recursos AWS Config de gravação necessários:AWS::EC2::Instance, AWS::SSM::ManagedInstanceInventory

Regra do AWS Config : ec2-instance-managed-by-systems-manager

Tipo de programação: acionado por alterações

Parâmetros: nenhum

Esse controle verifica se as EC2 instâncias paradas e em execução na sua conta são gerenciadas pelo AWS Systems Manager. O Systems Manager é um AWS service (Serviço da AWS) que você pode usar para visualizar e controlar sua AWS infraestrutura.

Para ajudar você a manter a segurança e a conformidade, o Systems Manager verifica as instâncias gerenciadas interrompidas e em execução. Uma instância gerenciada é uma máquina que foi configurada para uso com o Systems Manager. Em seguida, o Systems Manager relata ou toma medidas corretivas sobre quaisquer violações de políticas detectadas. O Systems Manager também ajuda você a configurar e manter suas instâncias gerenciadas.

Para saber mais, consulte o Guia do usuário do AWS Systems Manager .

Correção

Para gerenciar EC2 instâncias com o Systems Manager, consulte Gerenciamento de EC2 host da Amazon no Guia AWS Systems Manager do usuário. Na seção Opções de configuração, você pode manter as opções padrão ou alterá-las conforme necessário para sua configuração preferida.

[SSM.2] EC2 As instâncias da Amazon gerenciadas pelo Systems Manager devem ter um status de conformidade de patch de COMPATÍVEL após a instalação de um patch

Requisitos relacionados: NIST.800-53.r5 CM-8 (3), NIST.800-53.r5 SI-2, NIST.800-53.r5 SI-2 (2), NIST.800-53.r5 SI-2 (3), NIST.800-53.r5 SI-2 (4), NIST.800-53.r5 SI-2 (5), NIST.800-171.r2 7.1, PCI DSS v3.2.1/6.2, PCI DSS v4.0.1/2.2.1, PCI DSS v4.0.1/6.3.3

Categoria: Detectar > Serviços de detecção

Severidade: alta

Tipo de recurso: AWS::SSM::PatchCompliance

Regra do AWS Config : ec2-managedinstance-patch-compliance-status-check

Tipo de programação: acionado por alterações

Parâmetros: nenhum

Esse controle verifica se o status da conformidade do patch do Systems Manager é COMPLIANT ou NON_COMPLIANT após a instalação do patch na instância. O controle falhará se o status de conformidade for NON_COMPLIANT. O controle verifica somente as instâncias gerenciadas pelo gerenciador de patches do Systems Manager.

A correção de suas EC2 instâncias conforme exigido por sua organização reduz a superfície de ataque de suas Contas da AWS.

Correção

O Systems Manager recomenda o uso de políticas de patch para configurar a correção das suas instâncias gerenciadas. Também é possível usar documentos do Systems Manager, conforme descrito no procedimento a seguir, para corrigir uma instância.

[SSM.3] EC2 As instâncias da Amazon gerenciadas pelo Systems Manager devem ter um status de conformidade de associação de COMPATÍVEL

Requisitos relacionados: NIST.800-53.r5 CA-9 (1), NIST.800-53.r5 CM-2, NIST.800-53.r5 CM-2 (2), NIST.800-53.r5 CM-8, NIST.800-53.r5 CM-8 (1), NIST.800-53.r5 CM-8 (3), NIST.800-53.r5 SI-2 (3), PCI DSS vs 3.2.1/2.4, PCI DSS v4.0.1/2.2.1, PCI DSS v4.0.1/6.3.3

Categoria: Detectar > Serviços de detecção

Severidade: baixa

Tipo de recurso: AWS::SSM::AssociationCompliance

Regra do AWS Config : ec2-managedinstance-association-compliance-status-check

Tipo de programação: acionado por alterações

Parâmetros: nenhum

Esse controle verifica se o status da conformidade da AWS Systems Manager associação é COMPLIANT ou NON_COMPLIANT após a execução da associação em uma instância. O controle falhará se o status de conformidade for NON_COMPLIANT.

Uma associação do State Manager é uma configuração que é atribuída às instâncias gerenciadas. A configuração define o estado que você deseja manter em suas instâncias. Por exemplo, uma associação pode especificar que o software antivírus deve estar instalado e em execução nas instâncias ou que determinadas portas devem ser fechadas.

Depois de criar uma ou mais associações de State Manager, as informações de status de conformidade ficam imediatamente disponíveis para você. Você pode visualizar o status de conformidade no console ou em resposta aos AWS CLI comandos ou às ações correspondentes da API do Systems Manager. Para associações, a Conformidade de configuração mostra o status de conformidade (Compliant ou Non-compliant). Também mostra o nível de severidade atribuído à associação, como Critical ou Medium.

Para saber mais sobre a conformidade da associação State Manager, consulte Sobre a conformidade de associações do Gerenciador de Estados no Guia do usuário do AWS Systems Manager .

Correção

Uma associação reprovada pode estar relacionada a motivos diferentes, incluindo destinos e nomes de documentos Systems Manager. Para corrigir esse problema, você deve primeiro identificar e investigar a associação visualizando o histórico da associação. Para obter instruções sobre como visualizar o histórico de associações, consulte Visualização de históricos de associações no Guia do usuário do AWS Systems Manager .

Depois de investigar, você pode editar a associação para corrigir o problema identificado. É possível editar uma associação para especificar um novo nome, agendamento, nível de gravidade ou destinos. Depois de editar uma associação, AWS Systems Manager cria uma nova versão. Para obter instruções sobre como editar uma associação, consulte Edita e criar uma nova versão de uma associação no Guia do usuário do AWS Systems Manager .

[SSM.4] Os documentos SSM não devem ser públicos

Requisitos relacionados: NIST.800-53.r5 AC-2 1 NIST.800-53.r5 AC-3,, NIST.800-53.r5 AC-3 (7) NIST.800-53.r5 AC-4, NIST.800-53.r5 AC-4 (21), NIST.800-53.r5 AC-6, NIST.800-53.r5 SC-7, NIST.800-53.r5 SC-7 (11), NIST.800-53.r5 SC-7 (16), NIST.800-53.r5 SC-7 (20), NIST.800-53.r5 SC-7 (21), NIST.800-53.r5 SC-7 (3), NIST.800-53.r5 SC-7 (4), NIST.800-53.r5 SC-7 (9)

Categoria: Proteger > Configuração de rede segura > Recursos não acessíveis ao público

Severidade: crítica

Tipo de recurso: AWS::SSM::Document

Regra do AWS Config : ssm-document-not-public

Tipo de programação: Periódico

Parâmetros: nenhum

Esse controle verifica se AWS Systems Manager os documentos pertencentes a uma conta são públicos. O controle falhará se os documentos do Systems Manager que tem Self como proprietário forem públicos.

Documentos Systems Manager que são públicos podem permitir acesso não pretendido aos documentos. Um documento do Systems Manager público pode expor informações valiosas sobre sua conta, recursos e processos internos.

A menos que seu caso de uso exija compartilhamento público, recomendamos que você bloqueie o compartilhamento público de documentos do Systems Manager que tenha Self como proprietário.

Correção

Para obter informações sobre como configurar o compartilhamento de documentos do Systems Manager, consulte Compartilhar um documento SSM no Guia do AWS Systems Manager Usuário.

[SSM.5] Os documentos SSM devem ser marcados

Categoria: Identificar > Inventário > Marcação

Severidade: baixa

Tipo de recurso: AWS::SSM::Document

Regra do AWS Config : ssm-document-tagged

Tipo de programação: acionado por alterações

Parâmetros:

Esse controle verifica se um AWS Systems Manager documento tem as chaves de tag especificadas pelo requiredKeyTags parâmetro. O controle falhará se o documento não tiver nenhuma chave de tag ou se não tiver todas as chaves especificadas pelo requiredKeyTags parâmetro. Se você não especificar nenhum valor para o requiredKeyTags parâmetro, o controle verificará somente a existência de uma chave de tag e falhará se o documento não tiver nenhuma chave de tag. O controle ignora as tags do sistema, que são aplicadas automaticamente e têm o aws: prefixo. O controle não avalia os documentos do Systems Manager que são de propriedade da Amazon.

Uma tag é um rótulo que você cria e atribui a um AWS recurso. Cada tag consiste em uma chave de tag necessária e um valor de tag opcional. Você pode usar tags para categorizar recursos por finalidade, proprietário, ambiente ou outros critérios. Eles podem ajudá-lo a identificar, organizar, pesquisar e filtrar recursos. Eles também podem ajudar você a rastrear ações e notificações dos proprietários de recursos. Você também pode usar tags para implementar o controle de acesso baseado em atributos (ABAC) como uma estratégia de autorização. Para obter mais informações sobre estratégias ABAC, consulte Definir permissões com base em atributos com autorização ABAC no Guia do usuário do IAM. Para obter mais informações sobre tags, consulte o Guia do usuário dos AWS recursos de marcação e do editor de tags.

Correção

Para adicionar tags a um AWS Systems Manager documento, você pode usar a AddTagsToResourceoperação da AWS Systems Manager API ou, se estiver usando a AWS CLI, executar o add-tags-to-resourcecomando. Você também pode usar o console do AWS Systems Manager .

[SSM.6] A automação de SSM deve ter o registro ativado CloudWatch

Categoria: Identificar > Registro em log

Severidade: média

Tipo de recurso: AWS::::Account

Regra do AWS Config : ssm-automation-logging-enabled

Tipo de programação: Periódico

Parâmetros: nenhum

Esse controle verifica se o CloudWatch registro na Amazon está habilitado para automação AWS Systems Manager (SSM). O controle falhará se o CloudWatch registro não estiver habilitado para a automação SSM.

O SSM Automation é uma AWS Systems Manager ferramenta que ajuda você a criar soluções automatizadas para implantar, configurar e gerenciar AWS recursos em grande escala usando runbooks predefinidos ou personalizados. Para atender aos requisitos operacionais ou de segurança da sua organização, talvez seja necessário fornecer um registro dos scripts que ela executa. Você pode configurar o SSM Automation para enviar a saída das aws:executeScript ações em seus runbooks para um grupo de CloudWatch logs do Amazon Logs que você especificar. Com o CloudWatch Logs, você pode monitorar, armazenar e acessar arquivos de log de vários Serviços da AWS.

Correção

Para obter informações sobre como ativar o CloudWatch registro para a automação SSM, consulte Saída da ação do Logging Automation com CloudWatch registros no Guia do AWS Systems Manager usuário.

[SSM.7] Os documentos SSM devem ter a configuração de bloqueio de compartilhamento público habilitada

Categoria: Proteger > Gerenciamento de acesso seguro > Recursos não acessíveis ao público

Severidade: crítica

Tipo de recurso: AWS::::Account

Regra do AWS Config : ssm-automation-block-public-sharing

Tipo de programação: Periódico

Parâmetros: nenhum

Esse controle verifica se a configuração de bloqueio de compartilhamento público está habilitada para AWS Systems Manager documentos. O controle falhará se a configuração de bloqueio de compartilhamento público estiver desativada para documentos do Systems Manager.

A configuração de bloqueio de compartilhamento público para documentos AWS Systems Manager (SSM) é uma configuração no nível da conta. Ativar essa configuração pode impedir o acesso indesejado aos seus documentos SSM. Se você habilitar essa configuração, sua alteração não afetará nenhum documento SSM que você esteja compartilhando atualmente com o público. A menos que seu caso de uso exija que você compartilhe documentos SSM com o público, recomendamos que você ative a configuração de bloqueio de compartilhamento público. A configuração pode ser diferente para cada um Região da AWS.

Correção

Para obter informações sobre como ativar a configuração de bloqueio de compartilhamento público para documentos AWS Systems Manager (SSM), consulte Bloquear compartilhamento público para documentos SSM no Guia do AWS Systems Manager usuário.