本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# IRS 1075 操作最佳实践
<a name="operational-best-practices-for-irs-1075"></a>

合规包提供了一个通用合规框架，旨在使您能够使用托管或自定义 AWS Config 规则和 AWS Config 补救措施来创建安全、运营或成本优化治理检查。作为示例模板，合规包并不是为了完全确保遵守特定的治理或合规标准而设计的。您有责任自行评估自己对服务的使用是否符合适用的法律和监管要求。

下面提供了 IRS 1075 和 AWS 托管 Config 规则之间的映射示例。每条 Config 规则都适用于特定的 AWS 资源，并与一个或多个 IRS 1075 控制相关。一个 IRS 1075 控制可以与多个 Config 规则相关联。有关这些映射的更多详细信息和指导，请参阅下表。


****  

| 控制 ID  | 控制描述  | AWS Config 规则  | 指南  | 
| --- | --- | --- | --- | 
| 3.3.1 云计算 d. 传输中数据加密 | FTI 在云环境内传输时必须加密。用于加密 FTI 的所有机制都必须通过 FIPS 140 认证，并使用符合 FIPS 140 要求的最新模块运行。必须在 SLA 中包含此要求。 | [alb-http-to-https-redirection-check](https://docs.aws.amazon.com/config/latest/developerguide/alb-http-to-https-redirection-check.html) | 为帮助保护传输中的数据，请确保应用负载均衡器自动将未加密的 HTTP 请求重定向到 HTTPS。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| 3.3.1 云计算 d. 传输中数据加密 | FTI 在云环境内传输时必须加密。用于加密 FTI 的所有机制都必须通过 FIPS 140 认证，并使用符合 FIPS 140 要求的最新模块运行。必须在 SLA 中包含此要求。 | [elasticsearch-node-to-node-encryption-check](https://docs.aws.amazon.com/config/latest/developerguide/elasticsearch-node-to-node-encryption-check.html) | 确保 Amazon OpenSearch Service 启用了节点到节点加密。利用节点到节点加密，将能够为 Amazon Virtual Private Cloud (Amazon VPC) 内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| 3.3.1 云计算 d. 传输中数据加密 | FTI 在云环境内传输时必须加密。用于加密 FTI 的所有机制都必须通过 FIPS 140 认证，并使用符合 FIPS 140 要求的最新模块运行。必须在 SLA 中包含此要求。 | [elb-tls-https-listeners-only](https://docs.aws.amazon.com/config/latest/developerguide/elb-tls-https-listeners-only.html) | 确保您的弹性负载均衡器 (ELB) 配置了 SSL 或 HTTPS 侦听器。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| 3.3.1 云计算 d. 传输中数据加密 | FTI 在云环境内传输时必须加密。用于加密 FTI 的所有机制都必须通过 FIPS 140 认证，并使用符合 FIPS 140 要求的最新模块运行。必须在 SLA 中包含此要求。 | [opensearch-https-required](https://docs.aws.amazon.com/config/latest/developerguide/opensearch-https-required.html) | 由于可能存在敏感数据，并且为了帮助保护传输中数据，应确保为与您的 Amazon OpenSearch Service 域的连接启用 HTTPS。 | 
| 3.3.1 云计算 d. 传输中数据加密 | FTI 在云环境内传输时必须加密。用于加密 FTI 的所有机制都必须通过 FIPS 140 认证，并使用符合 FIPS 140 要求的最新模块运行。必须在 SLA 中包含此要求。 | [opensearch-node-to-node-encryption-check](https://docs.aws.amazon.com/config/latest/developerguide/opensearch-node-to-node-encryption-check.html) | 确保 Amazon OpenSearch Service 启用了节点到节点加密。利用节点到节点加密，将能够为 Amazon Virtual Private Cloud (Amazon VPC) 内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| 3.3.1 云计算 d. 传输中数据加密 | FTI 在云环境内传输时必须加密。用于加密 FTI 的所有机制都必须通过 FIPS 140 认证，并使用符合 FIPS 140 要求的最新模块运行。必须在 SLA 中包含此要求。 | [redshift-require-tls-ssl](https://docs.aws.amazon.com/config/latest/developerguide/redshift-require-tls-ssl.html) | 确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| 3.3.1 云计算 d. 传输中数据加密 | FTI 在云环境内传输时必须加密。用于加密 FTI 的所有机制都必须通过 FIPS 140 认证，并使用符合 FIPS 140 要求的最新模块运行。必须在 SLA 中包含此要求。 | [s3-bucket-ssl-requests-only](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-ssl-requests-only.html) | 为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶需要请求使用安全套接字层 (SSL)。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| 3.3.1 云计算 e. 静态数据加密 | 静态数据加密：必须使用最新的 FIPS 140 认证加密机制对云端静态数据进行加密。必须在 SLA 中包含此要求。 | [api-gw-cache-enabled-and-encrypted](https://docs.aws.amazon.com/config/latest/developerguide/api-gw-cache-enabled-and-encrypted.html) | 为了帮助保护静态数据，请确保为 API Gateway 阶段的缓存启用加密。由于可能会为 API 方法捕获敏感数据，因此应启用静态加密以帮助保护这些数据。 | 
| 3.3.1 云计算 e. 静态数据加密 | 静态数据加密：必须使用最新的 FIPS 140 认证加密机制对云端静态数据进行加密。必须在 SLA 中包含此要求。 | [backup-recovery-point-encrypted](https://docs.aws.amazon.com/config/latest/developerguide/backup-recovery-point-encrypted.html) | 确保您的 AWS Backup 恢复点已启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| 3.3.1 云计算 e. 静态数据加密 | 静态数据加密：必须使用最新的 FIPS 140 认证加密机制对云端静态数据进行加密。必须在 SLA 中包含此要求。 | [cloud-trail-encryption-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-encryption-enabled.html) | 由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 AWS CloudTrail 跟踪启用了加密。 | 
| 3.3.1 云计算 e. 静态数据加密 | 静态数据加密：必须使用最新的 FIPS 140 认证加密机制对云端静态数据进行加密。必须在 SLA 中包含此要求。 | [dynamodb-table-encrypted-kms](https://docs.aws.amazon.com/config/latest/developerguide/dynamodb-table-encrypted-kms.html) | 确保为 Amazon DynamoDB 表启用加密。由于这些表中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。默认情况下，DynamoDB 表使用 AWS 拥有的客户主密钥 (CMK) 进行加密。 | 
| 3.3.1 云计算 e. 静态数据加密 | 静态数据加密：必须使用最新的 FIPS 140 认证加密机制对云端静态数据进行加密。必须在 SLA 中包含此要求。 | [ec2-ebs-encryption-by-default](https://docs.aws.amazon.com/config/latest/developerguide/ec2-ebs-encryption-by-default.html) | 为了帮助保护静态数据，请确保为您的 Amazon Elastic Block Store (Amazon EBS) 卷启用加密。由于这些卷中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| 3.3.1 云计算 e. 静态数据加密 | 静态数据加密：必须使用最新的 FIPS 140 认证加密机制对云端静态数据进行加密。必须在 SLA 中包含此要求。 | [efs-encrypted-check](https://docs.aws.amazon.com/config/latest/developerguide/efs-encrypted-check.html) | 由于可能存在敏感数据，并且为了帮助保护静态数据，请确保为您的 Amazon Elastic File System (EFS) 启用加密。 | 
| 3.3.1 云计算 e. 静态数据加密 | 静态数据加密：必须使用最新的 FIPS 140 认证加密机制对云端静态数据进行加密。必须在 SLA 中包含此要求。 | [elasticsearch-encrypted-at-rest](https://docs.aws.amazon.com/config/latest/developerguide/elasticsearch-encrypted-at-rest.html) | 由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon OpenSearch Service (OpenSearch Service) 域启用了加密。 | 
| 3.3.1 云计算 e. 静态数据加密 | 静态数据加密：必须使用最新的 FIPS 140 认证加密机制对云端静态数据进行加密。必须在 SLA 中包含此要求。 | [encrypted-volumes](https://docs.aws.amazon.com/config/latest/developerguide/encrypted-volumes.html) | 由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon Elastic Block Store (Amazon EBS) 卷启用了加密。 | 
| 3.3.1 云计算 e. 静态数据加密 | 静态数据加密：必须使用最新的 FIPS 140 认证加密机制对云端静态数据进行加密。必须在 SLA 中包含此要求。 | [kinesis-stream-encrypted](https://docs.aws.amazon.com/config/latest/developerguide/kinesis-stream-encrypted.html) | 由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon Kinesis Streams 启用了加密。 | 
| 3.3.1 云计算 e. 静态数据加密 | 静态数据加密：必须使用最新的 FIPS 140 认证加密机制对云端静态数据进行加密。必须在 SLA 中包含此要求。 | [opensearch-encrypted-at-rest](https://docs.aws.amazon.com/config/latest/developerguide/opensearch-encrypted-at-rest.html) | 由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon OpenSearch Service 域启用了加密。 | 
| 3.3.1 云计算 e. 静态数据加密 | 静态数据加密：必须使用最新的 FIPS 140 认证加密机制对云端静态数据进行加密。必须在 SLA 中包含此要求。 | [rds-snapshot-encrypted](https://docs.aws.amazon.com/config/latest/developerguide/rds-snapshot-encrypted.html) | 确保为 Amazon Relational Database Service (Amazon RDS) 快照启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| 3.3.1 云计算 e. 静态数据加密 | 静态数据加密：必须使用最新的 FIPS 140 认证加密机制对云端静态数据进行加密。必须在 SLA 中包含此要求。 | [rds-storage-encrypted](https://docs.aws.amazon.com/config/latest/developerguide/rds-storage-encrypted.html) | 为了帮助保护静态数据，请确保您的 Amazon Relational Database Service (Amazon RDS) 实例启用了加密。由于 Amazon RDS 实例中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| 3.3.1 云计算 e. 静态数据加密 | 静态数据加密：必须使用最新的 FIPS 140 认证加密机制对云端静态数据进行加密。必须在 SLA 中包含此要求。 | [redshift-cluster-configuration-check](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-configuration-check.html) | 要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted（Config 默认值：TRUE）和 loggingEnabled（Config 默认值：TRUE）设置值。实际值应反映贵组织的策略。 | 
| 3.3.1 云计算 e. 静态数据加密 | 静态数据加密：必须使用最新的 FIPS 140 认证加密机制对云端静态数据进行加密。必须在 SLA 中包含此要求。 | [redshift-cluster-kms-enabled](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-kms-enabled.html) | 为了帮助保护静态数据，请确保您的 Amazon Redshift 集群启用了使用 AWS Key Management Service (AWS KMS) 的加密。由于 Redshift 集群中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| 3.3.1 云计算 e. 静态数据加密 | 静态数据加密：必须使用最新的 FIPS 140 认证加密机制对云端静态数据进行加密。必须在 SLA 中包含此要求。 | [s3-bucket-server-side-encryption-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-server-side-encryption-enabled.html) | 为了帮助保护静态数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用加密以帮助保护这些数据。 | 
| 3.3.1 云计算 e. 静态数据加密 | 静态数据加密：必须使用最新的 FIPS 140 认证加密机制对云端静态数据进行加密。必须在 SLA 中包含此要求。 | [s3-default-encryption-kms](https://docs.aws.amazon.com/config/latest/developerguide/s3-default-encryption-kms.html) | 确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| 3.3.1 云计算 e. 静态数据加密 | 静态数据加密：必须使用最新的 FIPS 140 认证加密机制对云端静态数据进行加密。必须在 SLA 中包含此要求。 | [sagemaker-endpoint-configuration-kms-key-configured](https://docs.aws.amazon.com/config/latest/developerguide/sagemaker-endpoint-configuration-kms-key-configured.html) | 为了帮助保护静态数据，请确保您的 SageMaker 终端节点启用了使用 AWS Key Management Service (AWS KMS) 的加密。由于 SageMaker 端点中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| 3.3.1 云计算 e. 静态数据加密 | 静态数据加密：必须使用最新的 FIPS 140 认证加密机制对云端静态数据进行加密。必须在 SLA 中包含此要求。 | [sagemaker-notebook-instance-kms-key-configured](https://docs.aws.amazon.com/config/latest/developerguide/sagemaker-notebook-instance-kms-key-configured.html) | 为了帮助保护静态数据，请确保您的 SageMaker 笔记本启用了使用 AWS Key Management Service (AWS KMS) 的加密。由于 SageMaker 笔记本中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| 3.3.1 云计算 e. 静态数据加密 | 静态数据加密：必须使用最新的 FIPS 140 认证加密机制对云端静态数据进行加密。必须在 SLA 中包含此要求。 | [secretsmanager-using-cmk](https://docs.aws.amazon.com/config/latest/developerguide/secretsmanager-using-cmk.html) | 为了帮助保护静态数据，请确保为 AWS Secrets Manager 机密启用 AWS Key Management Service (AWS KMS)。由于 Secrets Manager 机密中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| 3.3.1 云计算 k. 多重身份验证 | 当机构的云解决方案可从互联网访问时（即从机构的可信网络之外访问云解决方案），机构必须实施充分的多重身份验证。 | [iam-user-mfa-enabled](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-mfa-enabled.html) | 启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证 (MFA)。MFA 在登录凭证之上添加一层额外的保护。要求用户进行多重身份验证，从而减少账户被盗事件。 | 
| 3.3.1 云计算 k. 多重身份验证 | 当机构的云解决方案可从互联网访问时（即从机构的可信网络之外访问云解决方案），机构必须实施充分的多重身份验证。 | [mfa-enabled-for-iam-console-access](https://docs.aws.amazon.com/config/latest/developerguide/mfa-enabled-for-iam-console-access.html) | 通过确保为所有拥有控制台密码的 AWS Identity and Access Management (IAM) 用户启用 MFA，来管理对 AWS 云中资源的访问。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。 | 
| 3.3.1 云计算 k. 多重身份验证 | 当机构的云解决方案可从互联网访问时（即从机构的可信网络之外访问云解决方案），机构必须实施充分的多重身份验证。 | [root-account-hardware-mfa-enabled](https://docs.aws.amazon.com/config/latest/developerguide/root-account-hardware-mfa-enabled.html) | 通过确保为根用户启用硬件 MFA，来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户进行 MFA，可以减少 AWS 账户被盗的事件。 | 
| 3.3.1 云计算 k. 多重身份验证 | 当机构的云解决方案可从互联网访问时（即从机构的可信网络之外访问云解决方案），机构必须实施充分的多重身份验证。 | [root-account-mfa-enabled](https://docs.aws.amazon.com/config/latest/developerguide/root-account-mfa-enabled.html) | 通过确保为根用户启用 MFA，来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户进行 MFA，可以减少 AWS 账户被盗的事件。 | 
| 3.3.1 云计算 i. 风险评估： |  该机构必须对用于接收、处理、存储、访问、保护和/或传输 FTI 的所有信息系统的安全和隐私控制措施进行年度评估。 | annual-risk-assessment-performed（流程检查） | 对您的组织进行年度风险评估。风险评估有助于确定已识别的风险和/或漏洞对组织造成影响的可能性和影响。 | 
| 3.3.6 网络边界和基础设施 | 机构必须在其整个系统架构中部署边界保护设备，包括路由器、防火墙、交换机和入侵检测系统，以保护 FTI 和 FTI 系统。 | [guardduty-enabled-centralized](https://docs.aws.amazon.com/config/latest/developerguide/guardduty-enabled-centralized.html) | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。 | 
| 3.3.6 网络边界和基础设施 | 机构必须在其整个系统架构中部署边界保护设备，包括路由器、防火墙、交换机和入侵检测系统，以保护 FTI 和 FTI 系统。 | [guardduty-non-archived-findings](https://docs.aws.amazon.com/config/latest/developerguide/guardduty-non-archived-findings.html) | Amazon GuardDuty 按严重程度（低、中、高）对调查结果进行分类，从而帮助您了解事件的影响。您可以使用这些分类来确定补救策略和优先级。此规则允许您根据组织政策的要求，选择设置非存档调查结果的 daysLowSev（Config 默认值：30）、daysMediumSev（Config 默认值：7）和 daysHighSev（Config 默认值：1）。 | 
| 3.3.6 网络边界和基础设施 | 机构必须在其整个系统架构中部署边界保护设备，包括路由器、防火墙、交换机和入侵检测系统，以保护 FTI 和 FTI 系统。 | [netfw-policy-rule-group-associated](https://docs.aws.amazon.com/config/latest/developerguide/netfw-policy-rule-group-associated.html) | AWS Network Firewall 策略定义您的防火墙如何监控和处理 Amazon VPC 中的流量。您可以配置无状态和有状态规则组来过滤数据包和流量，并定义默认流量处理方式。 | 
| 3.3.6 网络边界和基础设施 | 机构必须在其整个系统架构中部署边界保护设备，包括路由器、防火墙、交换机和入侵检测系统，以保护 FTI 和 FTI 系统。 | [netfw-stateless-rule-group-not-empty](https://docs.aws.amazon.com/config/latest/developerguide/netfw-stateless-rule-group-not-empty.html) | AWS Network Firewall 规则组包含的规则定义您的防火墙如何处理您的 VPC 中的流量。防火墙策略中空的无状态规则组不会处理流量。 | 
| 3.3.6 网络边界和基础设施 | 机构必须在其整个系统架构中部署边界保护设备，包括路由器、防火墙、交换机和入侵检测系统，以保护 FTI 和 FTI 系统。 | [securityhub-enabled](https://docs.aws.amazon.com/config/latest/developerguide/securityhub-enabled.html) | AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。AWSSecurity Hub 可以聚合、组织和优先处理来自多个 AWS 服务的安全告警或结果。其中一些服务包括 Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management (IAM) Access Analyzer、AWS Firewall Manager 和 AWS 合作伙伴解决方案。 | 
| 3.3.6 网络边界和基础设施 | 机构必须在其整个系统架构中部署边界保护设备，包括路由器、防火墙、交换机和入侵检测系统，以保护 FTI 和 FTI 系统。 | [waf-regional-rule-not-empty](https://docs.aws.amazon.com/config/latest/developerguide/waf-regional-rule-not-empty.html) | 确保您的 AWS WAF 有一条不为空的规则。不含条件的规则可能会导致意外行为。 | 
| 3.3.6 网络边界和基础设施 | 机构必须在其整个系统架构中部署边界保护设备，包括路由器、防火墙、交换机和入侵检测系统，以保护 FTI 和 FTI 系统。 | [waf-regional-rulegroup-not-empty](https://docs.aws.amazon.com/config/latest/developerguide/waf-regional-rulegroup-not-empty.html) | 确保您的 AWS WAF 有一个不为空的规则组。空规则组可能会导致意外行为。 | 
| 3.3.6 网络边界和基础设施 | 机构必须在其整个系统架构中部署边界保护设备，包括路由器、防火墙、交换机和入侵检测系统，以保护 FTI 和 FTI 系统。 | [waf-regional-webacl-not-empty](https://docs.aws.amazon.com/config/latest/developerguide/waf-regional-webacl-not-empty.html) | 连接到 AWS WAF 的 Web ACL 可以包含一组用于检查和控制 Web 请求的规则和规则组。如果 Web ACL 为空，Web 流量将直接通过，而不会被 WAF 检测或处理。 | 
| 3.3.6 网络边界和基础设施 | 机构必须在其整个系统架构中部署边界保护设备，包括路由器、防火墙、交换机和入侵检测系统，以保护 FTI 和 FTI 系统。 | [alb-waf-enabled](https://docs.aws.amazon.com/config/latest/developerguide/alb-waf-enabled.html) | 确保在 Elastic Load Balancers (ELB) 上启用 AWS WAF，以帮助保护 Web 应用程序。WAF 有助于保护您的 Web 应用程序或 API 免遭常见 Web 漏洞的侵害。这些 Web 漏洞可能会影响可用性、损害安全性或消耗环境中过多的资源。 | 
| 3.3.6 网络边界和基础设施 | 机构必须在其整个系统架构中部署边界保护设备，包括路由器、防火墙、交换机和入侵检测系统，以保护 FTI 和 FTI 系统。 | [api-gw-associated-with-waf](https://docs.aws.amazon.com/config/latest/developerguide/api-gw-associated-with-waf.html) | 通过 AWS WAF，您可以配置一组规则（称为 Web 访问控制列表，即 Web ACL），基于可自定义的 Web 安全规则以及您定义的条件，允许、阻止 Web 请求或统计 Web 请求数量。确保您的 Amazon API Gateway 阶段与某个 WAF Web ACL 关联，以保护其免受恶意攻击 | 
| AC-2 账户管理 (f) | 根据代理账户管理程序的先决条件创建、启用、修改、禁用和删除账户； | [iam-user-unused-credentials-check](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-unused-credentials-check.html) | AWS Identity and Access Management (IAM) 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥，来帮助您获得访问权限和授权。如果发现这些未使用的凭证，则应禁用和/或删除这些凭证，因为这可能违反最低权限原则。此规则要求您为 maxCredentialUsageAge 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。 | 
| AC-2 账户管理 (f) | 根据代理账户管理程序的先决条件创建、启用、修改、禁用和删除账户； | [account-part-of-organizations](https://docs.aws.amazon.com/config/latest/developerguide/account-part-of-organizations.html) | 在 AWS Organizations 中集中管理 AWS 账户有助于确保账户合规。缺乏集中式账户管理可能会导致账户配置不一致，从而可能泄露资源和敏感数据。 | 
| AC-2 账户管理 (f) | 根据代理账户管理程序的先决条件创建、启用、修改、禁用和删除账户； | [iam-root-access-key-check](https://docs.aws.amazon.com/config/latest/developerguide/iam-root-access-key-check.html) | 通过检查根用户的 AWS Identity and Access Management (IAM) 角色是否拥有访问密钥，可以控制对系统和资产的访问。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户来帮助纳入最少功能原则。 | 
| AC-2 账户管理 (f) | 根据代理账户管理程序的先决条件创建、启用、修改、禁用和删除账户； | [iam-user-mfa-enabled](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-mfa-enabled.html) | 启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证 (MFA)。MFA 在登录凭证之上添加一层额外的保护。要求用户进行多重身份验证，从而减少账户被盗事件。 | 
| AC-2 账户管理 (f) | 根据代理账户管理程序的先决条件创建、启用、修改、禁用和删除账户； | [iam-user-no-policies-check](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-no-policies-check.html) | 此规则可确保仅将 AWS Identity and Access Management (IAM) 策略附加到组或角色，以控制对系统和资产的访问。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。 | 
| AC-2 账户管理 (g) | 监控账户的使用情况 | [cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-enabled.html) | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用 AWS 服务的用户和 AWS 账户、发出调用的源 IP 地址以及调用的时间。捕获的数据的详细信息可在 AWS CloudTrail“记录内容”中查看。 | 
| AC-2 账户管理 (g) | 监控账户的使用情况 | [cloud-trail-cloud-watch-logs-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-cloud-watch-logs-enabled.html) | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您的 AWS 账户中 API 调用活动的详细信息。 | 
| AC-2 账户管理 (g) | 监控账户的使用情况 | [cloud-trail-log-file-validation-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-log-file-validation-enabled.html) | 利用 AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 交付后是否被修改、删除或更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这样，要修改、删除或伪造 CloudTrail 日志文件而不被检测到在计算上是不可行的。 | 
| AC-2 账户管理 (g) | 监控账户的使用情况 | [guardduty-enabled-centralized](https://docs.aws.amazon.com/config/latest/developerguide/guardduty-enabled-centralized.html) | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。 | 
| AC-2 账户管理 (g) | 监控账户的使用情况 | [rds-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/rds-logging-enabled.html) | 为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service (Amazon RDS) 日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。 | 
| AC-2 账户管理 (g) | 监控账户的使用情况 | [redshift-cluster-configuration-check](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-configuration-check.html) | 要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted（Config 默认值：TRUE）和 loggingEnabled（Config 默认值：TRUE）设置值。实际值应反映贵组织的策略。 | 
| AC-2 账户管理 (g) | 监控账户的使用情况 | [s3-bucket-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-logging-enabled.html) | Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | 
| AC-2 账户管理 (g) | 监控账户的使用情况 | [securityhub-enabled](https://docs.aws.amazon.com/config/latest/developerguide/securityhub-enabled.html) | AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。AWSSecurity Hub 可以聚合、组织和优先处理来自多个 AWS 服务的安全告警或结果。其中一些服务包括 Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management (IAM) Access Analyzer、AWS Firewall Manager 和 AWS 合作伙伴解决方案。 | 
| AC-2 账户管理 (j) | 审查账户是否符合账户管理要求 | [root-account-mfa-enabled](https://docs.aws.amazon.com/config/latest/developerguide/root-account-mfa-enabled.html) | 通过确保为根用户启用 MFA，来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户进行 MFA，可以减少 AWS 账户被盗的事件。 | 
| AC-2 账户管理 (j) | 审查账户是否符合账户管理要求 | [secretsmanager-scheduled-rotation-success-check](https://docs.aws.amazon.com/config/latest/developerguide/secretsmanager-scheduled-rotation-success-check.html) | 此规则可确保 AWS Secrets Manager 机密已根据轮换计划成功轮换。定期轮换机密可以缩短机密的有效期，并有可能减少机密泄露时对业务的影响。 | 
| AC-2 账户管理 (j) | 审查账户是否符合账户管理要求 | [secretsmanager-secret-periodic-rotation](https://docs.aws.amazon.com/config/latest/developerguide/secretsmanager-secret-periodic-rotation.html) | 此规则可确保 AWS Secrets Manager 机密已启用定期轮换。定期轮换机密可以缩短机密的有效期，并有可能减少机密泄露时对业务的影响。默认值为 90 天。 | 
| AC-2 账户管理 (j) | 审查账户是否符合账户管理要求 | [secretsmanager-secret-unused](https://docs.aws.amazon.com/config/latest/developerguide/secretsmanager-secret-unused.html) | 如果 AWS Secrets Manager 中存在未使用的凭证，则应禁用和/或删除凭证，因为这可能违反最低权限原则。此规则允许您为 unusedForDays 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。 | 
| AC-2 账户管理 (j) | 审查账户是否符合账户管理要求 | [iam-password-policy](https://docs.aws.amazon.com/config/latest/developerguide/iam-password-policy.html) | 身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过 NIST SP 800-63 和针对密码强度的 AWS 基础安全最佳实践标准规定的要求。此规则允许您为 IAM 密码策略选择设置 RequireUppercaseCharacters（AWS 基础安全最佳实践值：true）、RequireLowercaseCharacters（AWS 基础安全最佳实践值：true）、RequireSymbols（AWS 基础安全最佳实践值：true）、RequireNumbers（AWS 基础安全最佳实践值：true）、MinimumPasswordLength（AWS 基础安全最佳实践值：14）、PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）。实际值应反映贵组织的策略。 | 
| AC-2 账户管理 (j) | 审查账户是否符合账户管理要求 | [access-keys-rotated](https://docs.aws.amazon.com/config/latest/developerguide/access-keys-rotated.html) | 通过确保按照组织政策轮换 IAM 访问密钥，对授权的设备、用户和流程的凭证进行审核。定期更改访问密钥是一种安全最佳实践。它会缩短访问密钥的有效期，并降低密钥泄露时对业务的影响。此规则需要访问密钥轮换值（配置默认值：90）。实际值应反映贵组织的策略。 | 
| AC-2 账户管理 (j) | 审查账户是否符合账户管理要求 | [iam-policy-no-statements-with-full-access](https://docs.aws.amazon.com/config/latest/developerguide/iam-policy-no-statements-with-full-access.html) | 确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| AC-2 账户管理 (j) | 审查账户是否符合账户管理要求 | [iam-policy-no-statements-with-admin-access](https://docs.aws.amazon.com/config/latest/developerguide/iam-policy-no-statements-with-admin-access.html) | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 "Effect": "Allow" with "Action": "\*" over "Resource": "\*"。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| AC-2 账户管理 (j) | 审查账户是否符合账户管理要求 | [iam-root-access-key-check](https://docs.aws.amazon.com/config/latest/developerguide/iam-root-access-key-check.html) | 通过检查根用户的 AWS Identity and Access Management (IAM) 角色是否拥有访问密钥，可以控制对系统和资产的访问。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户来帮助纳入最少功能原则。 | 
| AC-2 账户管理 (j) | 审查账户是否符合账户管理要求 | [iam-user-no-policies-check](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-no-policies-check.html) | 此规则可确保仅将 AWS Identity and Access Management (IAM) 策略附加到组或角色，以控制对系统和资产的访问。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。 | 
| AC-2 账户管理 (j) | 审查账户是否符合账户管理要求 | [iam-user-unused-credentials-check](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-unused-credentials-check.html) | AWS Identity and Access Management (IAM) 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥，来帮助您获得访问权限和授权。如果发现这些未使用的凭证，则应禁用和/或删除这些凭证，因为这可能违反最低权限原则。此规则要求您为 maxCredentialUsageAge 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。 | 
| (CE-1) 自动化系统账户管理 | 支持使用自动化机制管理系统账户。 | [iam-password-policy](https://docs.aws.amazon.com/config/latest/developerguide/iam-password-policy.html) | 身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过 NIST SP 800-63 和针对密码强度的 AWS 基础安全最佳实践标准规定的要求。此规则允许您为 IAM 密码策略选择设置 RequireUppercaseCharacters（AWS 基础安全最佳实践值：true）、RequireLowercaseCharacters（AWS 基础安全最佳实践值：true）、RequireSymbols（AWS 基础安全最佳实践值：true）、RequireNumbers（AWS 基础安全最佳实践值：true）、MinimumPasswordLength（AWS 基础安全最佳实践值：14）、PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）。实际值应反映贵组织的策略。 | 
| (CE-1) 自动化系统账户管理 | 支持使用自动化机制管理系统账户。 | [access-keys-rotated](https://docs.aws.amazon.com/config/latest/developerguide/access-keys-rotated.html) | 通过确保按照组织政策轮换 IAM 访问密钥，对授权的设备、用户和流程的凭证进行审核。定期更改访问密钥是一种安全最佳实践。它会缩短访问密钥的有效期，并降低密钥泄露时对业务的影响。此规则需要访问密钥轮换值（配置默认值：90）。实际值应反映贵组织的策略。 | 
| (CE-1) 自动化系统账户管理 | 支持使用自动化机制管理系统账户。 | [secretsmanager-scheduled-rotation-success-check](https://docs.aws.amazon.com/config/latest/developerguide/secretsmanager-scheduled-rotation-success-check.html) | 此规则可确保 AWS Secrets Manager 机密已根据轮换计划成功轮换。定期轮换机密可以缩短机密的有效期，并有可能减少机密泄露时对业务的影响。 | 
| (CE-3)：禁用账户 | 在 120 天内禁用账户，前提是这些账户：a. 已过期；b. 不再与用户或个人关联；c. 违反组织政策；或 d. 非特权账户 120 天内处于非活动状态，特权账户 60 天内处于非活动状态 | [iam-user-unused-credentials-check](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-unused-credentials-check.html) | AWS Identity and Access Management (IAM) 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥，来帮助您获得访问权限和授权。如果发现这些未使用的凭证，则应禁用和/或删除这些凭证，因为这可能违反最低权限原则。此规则要求您为 maxCredentialUsageAge 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。 | 
| (CE-12) 账户异常使用监控 | 监控系统账户中是否存在机构定义的异常使用情况；并向机构定义的人员或角色报告系统账户的异常使用情况。 | [guardduty-enabled-centralized](https://docs.aws.amazon.com/config/latest/developerguide/guardduty-enabled-centralized.html) | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。 | 
| AC-6 最低权限 | 采用最低权限原则，只允许用户（或代表用户行事的进程）具有完成分配的组织任务所必需的授权访问权限。 | [iam-customer-policy-blocked-kms-actions](https://docs.aws.amazon.com/config/latest/developerguide/iam-customer-policy-blocked-kms-actions.html) | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对所有 AWS Key Management Service 密钥的阻止操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。该规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms:Decrypt、kms:ReEncryptFrom）。实际值应反映贵组织的策略 | 
| AC-6 最低权限 | 采用最低权限原则，只允许用户（或代表用户行事的进程）具有完成分配的组织任务所必需的授权访问权限。 | [iam-policy-no-statements-with-admin-access](https://docs.aws.amazon.com/config/latest/developerguide/iam-policy-no-statements-with-admin-access.html) | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 "Effect": "Allow" with "Action": "\*" over "Resource": "\*"。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| AC-6 最低权限 | 采用最低权限原则，只允许用户（或代表用户行事的进程）具有完成分配的组织任务所必需的授权访问权限。 | [iam-policy-no-statements-with-full-access](https://docs.aws.amazon.com/config/latest/developerguide/iam-policy-no-statements-with-full-access.html) | 确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| AC-6 最低权限 | 采用最低权限原则，只允许用户（或代表用户行事的进程）具有完成分配的组织任务所必需的授权访问权限。 | [iam-user-unused-credentials-check](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-unused-credentials-check.html) | AWS Identity and Access Management (IAM) 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥，来帮助您获得访问权限和授权。如果发现这些未使用的凭证，则应禁用和/或删除这些凭证，因为这可能违反最低权限原则。此规则要求您为 maxCredentialUsageAge 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。 | 
| AC-6 最低权限 | 采用最低权限原则，只允许用户（或代表用户行事的进程）具有完成分配的组织任务所必需的授权访问权限。 | [opensearch-access-control-enabled](https://docs.aws.amazon.com/config/latest/developerguide/opensearch-access-control-enabled.html) | 确保在 Amazon OpenSearch Service 域中启用精细访问控制。精细访问控制提供增强的授权机制，以实现对 Amazon OpenSearch Service 域的最低权限访问。它允许对域进行基于角色的访问控制，以及索引、文档和字段级别的安全性，支持 OpenSearch Service 控制面板多租户，以及 OpenSearch Service 和 Kibana 的 HTTP 基本身份验证。 | 
| AC-6 最低权限 | 采用最低权限原则，只允许用户（或代表用户行事的进程）具有完成分配的组织任务所必需的授权访问权限。 | [secretsmanager-secret-unused](https://docs.aws.amazon.com/config/latest/developerguide/secretsmanager-secret-unused.html) | 如果 AWS Secrets Manager 中存在未使用的凭证，则应禁用和/或删除凭证，因为这可能违反最低权限原则。此规则允许您为 unusedForDays 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。 | 
| AC-6 最低权限 | 采用最低权限原则，只允许用户（或代表用户行事的进程）具有完成分配的组织任务所必需的授权访问权限。 | [codebuild-project-environment-privileged-check](https://docs.aws.amazon.com/config/latest/developerguide/codebuild-project-environment-privileged-check.html) | 为了帮助实现最低权限原则，请确保您的 Amazon CodeBuild 项目环境未启用特权模式。应禁用此设置，以防止意外访问 Docker API 及容器的底层硬件。 | 
| AC-6 最低权限 | 采用最低权限原则，只允许用户（或代表用户行事的进程）具有完成分配的组织任务所必需的授权访问权限。 | [ec2-instance-profile-attached](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-profile-attached.html) | EC2 实例配置文件将 IAM 角色传递给 EC2 实例。将实例配置文件附加到您的实例可以帮助实现最低权限和权限管理。 | 
| AC-6 最低权限 | 采用最低权限原则，只允许用户（或代表用户行事的进程）具有完成分配的组织任务所必需的授权访问权限。 | [ecs-containers-nonprivileged](https://docs.aws.amazon.com/config/latest/developerguide/ecs-containers-nonprivileged.html) | 为了帮助实施最低权限原则，Amazon Elastic Container Service (Amazon ECS) 任务定义不应启用提升权限。在该参数为 true 时，将为该容器提供提升的主机容器实例权限（类似于根用户）。 | 
| AC-6 最低权限 | 采用最低权限原则，只允许用户（或代表用户行事的进程）具有完成分配的组织任务所必需的授权访问权限。 | [ecs-containers-readonly-access](https://docs.aws.amazon.com/config/latest/developerguide/ecs-containers-readonly-access.html) | 启用对 Amazon Elastic Container Service (ECS) 容器的只读访问有助于遵守最低权限原则。此选项可以减少攻击载体，因为除非容器实例具有明确的读写权限，否则无法修改其文件系统。 | 
| AC-6 最低权限 | 采用最低权限原则，只允许用户（或代表用户行事的进程）具有完成分配的组织任务所必需的授权访问权限。 | [ecs-task-definition-nonroot-user](https://docs.aws.amazon.com/config/latest/developerguide/ecs-task-definition-nonroot-user.html) | 为了帮助实施最低权限原则，请确保指定非根用户来访问您的 Amazon Elastic Container Service (Amazon ECS) 任务定义。 | 
| AC-6 最低权限 | 采用最低权限原则，只允许用户（或代表用户行事的进程）具有完成分配的组织任务所必需的授权访问权限。 | [efs-access-point-enforce-user-identity](https://docs.aws.amazon.com/config/latest/developerguide/efs-access-point-enforce-user-identity.html) | 为了帮助实施最低权限原则，请确保为您的 Amazon Elastic File System (Amazon EFS) 启用用户强制执行。启用后，Amazon EFS 会将 NFS 客户端的用户和组 ID 替换为接入点上为所有文件系统操作配置的身份，并只向此强制用户身份授予访问权限。 | 
| AC-6 最低权限 | 采用最低权限原则，只允许用户（或代表用户行事的进程）具有完成分配的组织任务所必需的授权访问权限。 | [emr-kerberos-enabled](https://docs.aws.amazon.com/config/latest/developerguide/emr-kerberos-enabled.html) | 通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心 (KDC)。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。 | 
| AC-6 最低权限 | 采用最低权限原则，只允许用户（或代表用户行事的进程）具有完成分配的组织任务所必需的授权访问权限。 | [iam-user-no-policies-check](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-no-policies-check.html) | 此规则可确保仅将 AWS Identity and Access Management (IAM) 策略附加到组或角色，以控制对系统和资产的访问。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。 | 
| AC-17：远程访问 | 针对允许的每种远程访问类型，制定并记录使用限制、配置/连接要求和实施指南；并在允许此类连接之前，对系统的每种远程访问类型进行授权。 | [iam-password-policy](https://docs.aws.amazon.com/config/latest/developerguide/iam-password-policy.html) | 身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过 NIST SP 800-63 和针对密码强度的 AWS 基础安全最佳实践标准规定的要求。此规则允许您为 IAM 密码策略选择设置 RequireUppercaseCharacters（AWS 基础安全最佳实践值：true）、RequireLowercaseCharacters（AWS 基础安全最佳实践值：true）、RequireSymbols（AWS 基础安全最佳实践值：true）、RequireNumbers（AWS 基础安全最佳实践值：true）、MinimumPasswordLength（AWS 基础安全最佳实践值：14）、PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）。实际值应反映贵组织的策略。 | 
| AC-17：远程访问 | 针对允许的每种远程访问类型，制定并记录使用限制、配置/连接要求和实施指南；并在允许此类连接之前，对系统的每种远程访问类型进行授权。 | [iam-user-mfa-enabled](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-mfa-enabled.html) | 启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证 (MFA)。MFA 在登录凭证之上添加一层额外的保护。要求用户进行多重身份验证，从而减少账户被盗事件。 | 
| AC-17：远程访问 | 针对允许的每种远程访问类型，制定并记录使用限制、配置/连接要求和实施指南；并在允许此类连接之前，对系统的每种远程访问类型进行授权。 | [mfa-enabled-for-iam-console-access](https://docs.aws.amazon.com/config/latest/developerguide/mfa-enabled-for-iam-console-access.html) | 通过确保为所有拥有控制台密码的 AWS Identity and Access Management (IAM) 用户启用 MFA，来管理对 AWS 云中资源的访问。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。 | 
| AC-17：远程访问 | 针对允许的每种远程访问类型，制定并记录使用限制、配置/连接要求和实施指南；并在允许此类连接之前，对系统的每种远程访问类型进行授权。 | [root-account-hardware-mfa-enabled](https://docs.aws.amazon.com/config/latest/developerguide/root-account-hardware-mfa-enabled.html) | 通过确保为根用户启用硬件 MFA，来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户进行 MFA，可以减少 AWS 账户被盗的事件。 | 
| AC-17：远程访问 | 针对允许的每种远程访问类型，制定并记录使用限制、配置/连接要求和实施指南；并在允许此类连接之前，对系统的每种远程访问类型进行授权。 | [root-account-mfa-enabled](https://docs.aws.amazon.com/config/latest/developerguide/root-account-mfa-enabled.html) | 通过确保为根用户启用 MFA，来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户进行 MFA，可以减少 AWS 账户被盗的事件。 | 
| AC-17：远程访问 | 针对允许的每种远程访问类型，制定并记录使用限制、配置/连接要求和实施指南；并在允许此类连接之前，对系统的每种远程访问类型进行授权。 | [api-gw-execution-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/api-gw-execution-logging-enabled.html) | API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。 | 
| AC-17：远程访问 | 针对允许的每种远程访问类型，制定并记录使用限制、配置/连接要求和实施指南；并在允许此类连接之前，对系统的每种远程访问类型进行授权。 | [cloud-trail-cloud-watch-logs-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-cloud-watch-logs-enabled.html) | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您的 AWS 账户中 API 调用活动的详细信息。 | 
| AC-17：远程访问 | 针对允许的每种远程访问类型，制定并记录使用限制、配置/连接要求和实施指南；并在允许此类连接之前，对系统的每种远程访问类型进行授权。 | [elasticsearch-logs-to-cloudwatch](https://docs.aws.amazon.com/config/latest/developerguide/elasticsearch-logs-to-cloudwatch.html) | 确保 Amazon OpenSearch Service 域已启用错误日志，并将其流式传输到 Amazon CloudWatch Logs 以进行保留和响应。域错误日志可以帮助进行安全和访问审核，还可以帮助诊断可用性问题。 | 
| AC-17：远程访问 | 针对允许的每种远程访问类型，制定并记录使用限制、配置/连接要求和实施指南；并在允许此类连接之前，对系统的每种远程访问类型进行授权。 | [cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-enabled.html) | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用 AWS 服务的用户和 AWS 账户、发出调用的源 IP 地址以及调用的时间。捕获的数据的详细信息可在 AWS CloudTrail“记录内容”中查看。 | 
| AC-17：远程访问 | 针对允许的每种远程访问类型，制定并记录使用限制、配置/连接要求和实施指南；并在允许此类连接之前，对系统的每种远程访问类型进行授权。 | [opensearch-logs-to-cloudwatch](https://docs.aws.amazon.com/config/latest/developerguide/opensearch-logs-to-cloudwatch.html) | 确保 Amazon OpenSearch Service 域已启用错误日志，并将其流式传输到 Amazon CloudWatch Logs 以进行保留和响应。OpenSearch Service 错误日志可以帮助进行安全和访问审核，还可以帮助诊断可用性问题。 | 
| AC-17：远程访问 | 针对允许的每种远程访问类型，制定并记录使用限制、配置/连接要求和实施指南；并在允许此类连接之前，对系统的每种远程访问类型进行授权。 | [elb-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/elb-logging-enabled.html) | Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息 (例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。 | 
| AC-17：远程访问 | 针对允许的每种远程访问类型，制定并记录使用限制、配置/连接要求和实施指南；并在允许此类连接之前，对系统的每种远程访问类型进行授权。 | [rds-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/rds-logging-enabled.html) | 为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service (Amazon RDS) 日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。 | 
| AC-17：远程访问 | 针对允许的每种远程访问类型，制定并记录使用限制、配置/连接要求和实施指南；并在允许此类连接之前，对系统的每种远程访问类型进行授权。 | [s3-bucket-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-logging-enabled.html) | Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | 
| AC-17：远程访问 | 针对允许的每种远程访问类型，制定并记录使用限制、配置/连接要求和实施指南；并在允许此类连接之前，对系统的每种远程访问类型进行授权。 | [securityhub-enabled](https://docs.aws.amazon.com/config/latest/developerguide/securityhub-enabled.html) | AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。AWSSecurity Hub 可以聚合、组织和优先处理来自多个 AWS 服务的安全告警或结果。其中一些服务包括 Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management (IAM) Access Analyzer、AWS Firewall Manager 和 AWS 合作伙伴解决方案。 | 
| AC-17：远程访问 | 针对允许的每种远程访问类型，制定并记录使用限制、配置/连接要求和实施指南；并在允许此类连接之前，对系统的每种远程访问类型进行授权。 | [vpc-flow-logs-enabled](https://docs.aws.amazon.com/config/latest/developerguide/vpc-flow-logs-enabled.html) | VPC 流日志详细记录进出 Amazon Virtual Private Cloud (Amazon VPC) 网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。 | 
| AC-17：远程访问 | 针对允许的每种远程访问类型，制定并记录使用限制、配置/连接要求和实施指南；并在允许此类连接之前，对系统的每种远程访问类型进行授权。 | [wafv2-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/wafv2-logging-enabled.html) | 为了帮助在您的环境中进行日志记录和监控，请在区域和全局 Web ACL 上启用 AWS WAF (V2) 日志记录。AWSWAF 日志记录提供有关 Web ACL 分析的流量的详细信息。日志记录 AWS 接收来自 AWS 资源的请求的时间，有关请求的详细信息，以及每个请求所匹配的规则的操作。 | 
| AC-17：远程访问 | 针对允许的每种远程访问类型，制定并记录使用限制、配置/连接要求和实施指南；并在允许此类连接之前，对系统的每种远程访问类型进行授权。 | [cloudwatch-alarm-action-check](https://docs.aws.amazon.com/config/latest/developerguide/cloudwatch-alarm-action-check.html) | 当指标在指定数量的评估期超过阈值时，Amazon CloudWatch 会发出警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired（Config 默认值：True）、insufficientDataActionRequired（Config 默认值：True）、okActionRequired（Config 默认值：False）的值。实际值应反映您的环境的警报操作。 | 
| AC-17：远程访问 | 针对允许的每种远程访问类型，制定并记录使用限制、配置/连接要求和实施指南；并在允许此类连接之前，对系统的每种远程访问类型进行授权。 | [redshift-cluster-configuration-check](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-configuration-check.html) | 要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted（Config 默认值：TRUE）和 loggingEnabled（Config 默认值：TRUE）设置值。实际值应反映贵组织的策略。 | 
| AC-17：远程访问 | 针对允许的每种远程访问类型，制定并记录使用限制、配置/连接要求和实施指南；并在允许此类连接之前，对系统的每种远程访问类型进行授权。 | [redshift-enhanced-vpc-routing-enabled](https://docs.aws.amazon.com/config/latest/developerguide/redshift-enhanced-vpc-routing-enabled.html) | 增强型 VPC 路由会强制群集和数据存储库之间的所有 COPY 和 UNLOAD 流量都通过 Amazon VPC。然后，您可以使用安全组和网络访问控制列表等 VPC 功能，来保护网络流量。还可以使用 VPC 流日志来监控网络流量。 | 
| AT-1：认知和培训 |  为系统用户（包括经理、高级管理人员和承包商）提供安全和隐私知识培训 | security-awareness-program-exists（流程检查） | 为您的组织制定并维护安全认知计划。安全认知计划教育员工如何保护其组织免受各种安全漏洞或事件的侵害。 | 
| AU-2：审计事件 |  确定系统为支持审计功能而能够记录的事件类型 | audit-log-policy-exists（流程检查） | 制定并维护审计日志管理策略，以定义贵组织的日志记录要求。这包括但不限于审查和保留审计日志。 | 
| AU-16：跨组织审计日志记录 | 在跨组织边界传输审计信息时，采用机构定义的方法在外部组织之间协调机构定义的审计信息。 | audit-log-policy-exists（流程检查） | 制定并维护审计日志管理策略，以定义贵组织的日志记录要求。这包括但不限于审查和保留审计日志。 | 
| CA-7：持续监控 | 制定系统级持续监控策略，并根据组织级持续监控策略实施持续监控：制定机构定义的监控指标；根据持续监控策略进行持续控制评估；根据持续监控策略对系统和组织定义的指标进行持续监控；对控制评估和监控产生的信息进行关联和分析；针对控制评估和监控信息分析结果采取应对行动；每年至少向机构定义的人员报告系统的安全和隐私状况。 | [securityhub-enabled](https://docs.aws.amazon.com/config/latest/developerguide/securityhub-enabled.html) | AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。AWSSecurity Hub 可以聚合、组织和优先处理来自多个 AWS 服务的安全告警或结果。其中一些服务包括 Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management (IAM) Access Analyzer、AWS Firewall Manager 和 AWS 合作伙伴解决方案。 | 
| CP-9：系统备份 | a. 每周对系统文档（包括安全相关文档）中包含的用户级别信息进行备份；b. 每周对系统中包含的系统级别信息进行备份；c. 每周备份系统文档，包括与安全和隐私相关的文档；d. 保护备份信息的机密性、完整性和可用性。 | [aurora-resources-protected-by-backup-plan](https://docs.aws.amazon.com/config/latest/developerguide/aurora-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Aurora 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CP-9：系统备份 | a. 每周对系统文档（包括安全相关文档）中包含的用户级别信息进行备份；b. 每周对系统中包含的系统级别信息进行备份；c. 每周备份系统文档，包括与安全和隐私相关的文档；d. 保护备份信息的机密性、完整性和可用性。 | [backup-plan-min-frequency-and-min-retention-check](https://docs.aws.amazon.com/config/latest/developerguide/backup-plan-min-frequency-and-min-retention-check.html) | 为了帮助完成数据备份流程，请确保为 AWS Backup 计划设置最低频率和保留期。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredFrequencyValue（Config 默认值：1）、requiredRetentionDays（Config 默认值：35）和 requiredFrequencyUnit（Config 默认值：days）参数。实际值应反映贵组织的需求。 | 
| CP-9：系统备份 | a. 每周对系统文档（包括安全相关文档）中包含的用户级别信息进行备份；b. 每周对系统中包含的系统级别信息进行备份；c. 每周备份系统文档，包括与安全和隐私相关的文档；d. 保护备份信息的机密性、完整性和可用性。 | [backup-recovery-point-encrypted](https://docs.aws.amazon.com/config/latest/developerguide/backup-recovery-point-encrypted.html) | 确保您的 AWS Backup 恢复点已启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| CP-9：系统备份 | a. 每周对系统文档（包括安全相关文档）中包含的用户级别信息进行备份；b. 每周对系统中包含的系统级别信息进行备份；c. 每周备份系统文档，包括与安全和隐私相关的文档；d. 保护备份信息的机密性、完整性和可用性。 | [backup-recovery-point-manual-deletion-disabled](https://docs.aws.amazon.com/config/latest/developerguide/backup-recovery-point-manual-deletion-disabled.html) | 确保您的 AWS Backup 恢复点附加了基于资源的策略，以防止删除恢复点。使用基于资源的策略来防止删除恢复点有助于防止意外或故意删除。 | 
| CP-9：系统备份 | a. 每周对系统文档（包括安全相关文档）中包含的用户级别信息进行备份；b. 每周对系统中包含的系统级别信息进行备份；c. 每周备份系统文档，包括与安全和隐私相关的文档；d. 保护备份信息的机密性、完整性和可用性。 | [backup-recovery-point-minimum-retention-check](https://docs.aws.amazon.com/config/latest/developerguide/backup-recovery-point-minimum-retention-check.html) | 为了帮助完成数据备份流程，请确保您的 AWS Backup 恢复点设置了最短保留期。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredRetentionDays（Config 默认值：35）参数。实际值应反映贵组织的需求。 | 
| CP-9：系统备份 | a. 每周对系统文档（包括安全相关文档）中包含的用户级别信息进行备份；b. 每周对系统中包含的系统级别信息进行备份；c. 每周备份系统文档，包括与安全和隐私相关的文档；d. 保护备份信息的机密性、完整性和可用性。 | [db-instance-backup-enabled](https://docs.aws.amazon.com/config/latest/developerguide/db-instance-backup-enabled.html) | Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 会自动创建数据库实例的存储卷快照，备份整个数据库实例。系统允许您设置特定的保留期以满足您的弹性要求。 | 
| CP-9：系统备份 | a. 每周对系统文档（包括安全相关文档）中包含的用户级别信息进行备份；b. 每周对系统中包含的系统级别信息进行备份；c. 每周备份系统文档，包括与安全和隐私相关的文档；d. 保护备份信息的机密性、完整性和可用性。 | [dynamodb-in-backup-plan](https://docs.aws.amazon.com/config/latest/developerguide/dynamodb-in-backup-plan.html) | 为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon DynamoDB 表。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CP-9：系统备份 | a. 每周对系统文档（包括安全相关文档）中包含的用户级别信息进行备份；b. 每周对系统中包含的系统级别信息进行备份；c. 每周备份系统文档，包括与安全和隐私相关的文档；d. 保护备份信息的机密性、完整性和可用性。 | [dynamodb-pitr-enabled](https://docs.aws.amazon.com/config/latest/developerguide/dynamodb-pitr-enabled.html) | 启用此规则可检查信息是否已备份。它还通过确保在 Amazon DynamoDB 中启用时间点恢复，来维护备份。恢复过程会维持表在过去 35 天的连续备份。 | 
| CP-9：系统备份 | a. 每周对系统文档（包括安全相关文档）中包含的用户级别信息进行备份；b. 每周对系统中包含的系统级别信息进行备份；c. 每周备份系统文档，包括与安全和隐私相关的文档；d. 保护备份信息的机密性、完整性和可用性。 | [ebs-in-backup-plan](https://docs.aws.amazon.com/config/latest/developerguide/ebs-in-backup-plan.html) | 为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Elastic Block Store (Amazon EBS) 卷。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CP-9：系统备份 | a. 每周对系统文档（包括安全相关文档）中包含的用户级别信息进行备份；b. 每周对系统中包含的系统级别信息进行备份；c. 每周备份系统文档，包括与安全和隐私相关的文档；d. 保护备份信息的机密性、完整性和可用性。 | [ec2-resources-protected-by-backup-plan](https://docs.aws.amazon.com/config/latest/developerguide/ec2-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Elastic Compute Cloud (Amazon EC2) 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CP-9：系统备份 | a. 每周对系统文档（包括安全相关文档）中包含的用户级别信息进行备份；b. 每周对系统中包含的系统级别信息进行备份；c. 每周备份系统文档，包括与安全和隐私相关的文档；d. 保护备份信息的机密性、完整性和可用性。 | [efs-in-backup-plan](https://docs.aws.amazon.com/config/latest/developerguide/efs-in-backup-plan.html) | 为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Elastic File System (Amazon EFS) 文件系统。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CP-9：系统备份 | a. 每周对系统文档（包括安全相关文档）中包含的用户级别信息进行备份；b. 每周对系统中包含的系统级别信息进行备份；c. 每周备份系统文档，包括与安全和隐私相关的文档；d. 保护备份信息的机密性、完整性和可用性。 | [elasticache-redis-cluster-automatic-backup-check](https://docs.aws.amazon.com/config/latest/developerguide/elasticache-redis-cluster-automatic-backup-check.html) | 启用自动备份后，Amazon ElastiCache 会每天为集群创建一个备份。备份可保留的天数由贵组织规定。自动备份可以帮助防止数据丢失。发生故障时，您可以通过从最新的备份还原数据来创建新集群。 | 
| CP-9：系统备份 | a. 每周对系统文档（包括安全相关文档）中包含的用户级别信息进行备份；b. 每周对系统中包含的系统级别信息进行备份；c. 每周备份系统文档，包括与安全和隐私相关的文档；d. 保护备份信息的机密性、完整性和可用性。 | [fsx-resources-protected-by-backup-plan](https://docs.aws.amazon.com/config/latest/developerguide/fsx-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon FSx 文件系统。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CP-9：系统备份 | a. 每周对系统文档（包括安全相关文档）中包含的用户级别信息进行备份；b. 每周对系统中包含的系统级别信息进行备份；c. 每周备份系统文档，包括与安全和隐私相关的文档；d. 保护备份信息的机密性、完整性和可用性。 | [rds-in-backup-plan](https://docs.aws.amazon.com/config/latest/developerguide/rds-in-backup-plan.html) | 为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Relational Database Service (Amazon RDS) 实例。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CP-9：系统备份 | a. 每周对系统文档（包括安全相关文档）中包含的用户级别信息进行备份；b. 每周对系统中包含的系统级别信息进行备份；c. 每周备份系统文档，包括与安全和隐私相关的文档；d. 保护备份信息的机密性、完整性和可用性。 | [rds-resources-protected-by-backup-plan](https://docs.aws.amazon.com/config/latest/developerguide/rds-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Relational Database Service (Amazon RDS) 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CP-9：系统备份 | a. 每周对系统文档（包括安全相关文档）中包含的用户级别信息进行备份；b. 每周对系统中包含的系统级别信息进行备份；c. 每周备份系统文档，包括与安全和隐私相关的文档；d. 保护备份信息的机密性、完整性和可用性。 | [redshift-backup-enabled](https://docs.aws.amazon.com/config/latest/developerguide/redshift-backup-enabled.html) | 为了帮助完成数据备份流程，请确保您的 Amazon Redshift 集群具有自动快照。当某个集群的自动快照处于启用状态时，Redshift 会定期拍摄该集群的快照。默认情况下，Redshift 大约每 8 小时或在每节点数据更改达到 5 GB 时拍摄一次快照，以先到者为准。 | 
| CP-9：系统备份 | a. 每周对系统文档（包括安全相关文档）中包含的用户级别信息进行备份；b. 每周对系统中包含的系统级别信息进行备份；c. 每周备份系统文档，包括与安全和隐私相关的文档；d. 保护备份信息的机密性、完整性和可用性。 | [s3-bucket-replication-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-replication-enabled.html) | Amazon Simple Storage Service (Amazon S3) 跨区域复制 (CRR) 支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。 | 
| IA-2：识别和身份验证（组织用户）(CE-1) 特权账户的多重身份验证 | 为访问特权账户实施多重身份验证 | [root-account-mfa-enabled](https://docs.aws.amazon.com/config/latest/developerguide/root-account-mfa-enabled.html) | 通过确保为根用户启用 MFA，来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户进行 MFA，可以减少 AWS 账户被盗的事件。 | 
| IA-2：识别和身份验证（组织用户）(CE-1) 特权账户的多重身份验证 | 为访问特权账户实施多重身份验证 | [root-account-hardware-mfa-enabled](https://docs.aws.amazon.com/config/latest/developerguide/root-account-hardware-mfa-enabled.html) | 通过确保为根用户启用硬件 MFA，来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户进行 MFA，可以减少 AWS 账户被盗的事件。 | 
| IA-2：识别和身份验证（组织用户）(CE-2) 非特权账户的多重身份验证 | 为访问非特权账户实施多重身份验证。 | [mfa-enabled-for-iam-console-access](https://docs.aws.amazon.com/config/latest/developerguide/mfa-enabled-for-iam-console-access.html) | 通过确保为所有拥有控制台密码的 AWS Identity and Access Management (IAM) 用户启用 MFA，来管理对 AWS 云中资源的访问。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。 | 
| IA-5：身份验证器管理：(CE-1) 基于密码的身份验证：用于基于密码的身份验证 | 强制执行以下构成和复杂度规则：1. 强制要求密码的最小长度为十四 (14) 个字符。2. 强制实施最低密码复杂度，使其包含数字、大写字母、小写字母和特殊字符的组合。3. 在选择使用新密码时，必须至少更改一 (1) 个字符。4. 仅存储和传输受加密保护的密码。5. 强制执行密码有效期限制：i. 最少一 (1) 天，最多 90 天。ii. 服务账户密码应在 366 天（含）内过期。 | [iam-password-policy](https://docs.aws.amazon.com/config/latest/developerguide/iam-password-policy.html) | 身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过 NIST SP 800-63 和针对密码强度的 AWS 基础安全最佳实践标准规定的要求。此规则允许您为 IAM 密码策略选择设置 RequireUppercaseCharacters（AWS 基础安全最佳实践值：true）、RequireLowercaseCharacters（AWS 基础安全最佳实践值：true）、RequireSymbols（AWS 基础安全最佳实践值：true）、RequireNumbers（AWS 基础安全最佳实践值：true）、MinimumPasswordLength（AWS 基础安全最佳实践值：14）、PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）。实际值应反映贵组织的策略。 | 
| PM-5：系统清单 | 不断开发和更新组织系统的清单。 | [ec2-instance-managed-by-systems-manager](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-managed-by-systems-manager.html) | 利用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 实例，可以清点组织中的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发布者和版本以及有关您的环境的其他详细信息。 | 
| PM-5：系统清单 | 不断开发和更新组织系统的清单。 | [ec2-managedinstance-association-compliance-status-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-managedinstance-association-compliance-status-check.html) | 使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。AWSSystems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。 | 
| PM-5：系统清单 | 不断开发和更新组织系统的清单。 | [vpc-network-acl-unused-check](https://docs.aws.amazon.com/config/latest/developerguide/vpc-network-acl-unused-check.html) | 此规则可确保 Amazon Virtual Private Cloud (VPC) 网络访问控制列表正在使用中。监控未使用的网络访问控制列表有助于准确清点和管理您的环境。 | 
| PM-5：系统清单 | 不断开发和更新组织系统的清单。 | [ec2-volume-inuse-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-volume-inuse-check.html) | 此规则可确保附加到 Amazon Elastic Compute Cloud (Amazon EC2) 实例上的 Amazon Elastic Block Store 卷在实例终止时标记为删除。如果在附加到 Amazon EBS 卷的实例终止时，卷没有被删除，则可能违反最少功能的概念。 | 
| RA-5：漏洞监控和扫描 | 在机构网络上安装新的信息系统之前，每三十 (30) 天监控和扫描一次系统和托管应用程序中的漏洞，以确认补救措施，以及在发现和报告可能影响系统的新漏洞时进行扫描 | vuln-scans-performed（流程检查） | 确保根据您的合规要求执行漏洞扫描。扫描节奏、使用的工具和结果的使用应由您的组织定义。 | 
| SA-10：开发人员配置管理 (e.) | 跟踪系统、组件或服务中的安全漏洞和漏洞解决方法，并将发现结果报告给 [分配：组织定义的人员]。 | [guardduty-enabled-centralized](https://docs.aws.amazon.com/config/latest/developerguide/guardduty-enabled-centralized.html) | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。 | 
| SA-10：开发人员配置管理 (e.) | 跟踪系统、组件或服务中的安全漏洞和漏洞解决方法，并将发现结果报告给 [分配：组织定义的人员]。 | [guardduty-non-archived-findings](https://docs.aws.amazon.com/config/latest/developerguide/guardduty-non-archived-findings.html) | Amazon GuardDuty 按严重程度（低、中、高）对调查结果进行分类，从而帮助您了解事件的影响。您可以使用这些分类来确定补救策略和优先级。此规则允许您根据组织政策的要求，选择设置非存档调查结果的 daysLowSev（Config 默认值：30）、daysMediumSev（Config 默认值：7）和 daysHighSev（Config 默认值：1）。 | 
| SA-10：开发人员配置管理 (e.) | 跟踪系统、组件或服务中的安全漏洞和漏洞解决方法，并将发现结果报告给 [分配：组织定义的人员]。 | [securityhub-enabled](https://docs.aws.amazon.com/config/latest/developerguide/securityhub-enabled.html) | AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。AWSSecurity Hub 可以聚合、组织和优先处理来自多个 AWS 服务的安全告警或结果。其中一些服务包括 Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management (IAM) Access Analyzer、AWS Firewall Manager 和 AWS 合作伙伴解决方案。 | 
| SA-10：开发人员配置管理 (a) (c.) | 在系统、组件或服务设计、开发、实施、运行期间执行配置管理；仅对系统、组件或服务实施组织批准的更改； | [ec2-instance-managed-by-systems-manager](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-managed-by-systems-manager.html) | 利用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 实例，可以清点组织中的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发布者和版本以及有关您的环境的其他详细信息。 | 
| SC-4：共享系统资源中的信息 | 防止通过共享系统资源进行未经授权和非预期的信息传输 | [ec2-volume-inuse-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-volume-inuse-check.html) | 此规则可确保附加到 Amazon Elastic Compute Cloud (Amazon EC2) 实例上的 Amazon Elastic Block Store 卷在实例终止时标记为删除。如果在附加到 Amazon EBS 卷的实例终止时，卷没有被删除，则可能违反最少功能的概念。 | 
| SC-7：边界保护 | 监控和控制系统外部边界和系统内关键内部边界的通信；为与内部组织网络分开的可公开访问的系统组件实施子网；仅通过托管接口连接到外部网络或信息系统，这些接口由按照组织安全架构布置的边界保护设备组成。 | [rds-instance-public-access-check](https://docs.aws.amazon.com/config/latest/developerguide/rds-instance-public-access-check.html) | 通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | 
| SC-7：边界保护 | 监控和控制系统外部边界和系统内关键内部边界的通信；为与内部组织网络分开的可公开访问的系统组件实施子网；仅通过托管接口连接到外部网络或信息系统，这些接口由按照组织安全架构布置的边界保护设备组成。 | [rds-snapshots-public-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/rds-snapshots-public-prohibited.html) | 通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | 
| SC-7：边界保护 | 监控和控制系统外部边界和系统内关键内部边界的通信；为与内部组织网络分开的可公开访问的系统组件实施子网；仅通过托管接口连接到外部网络或信息系统，这些接口由按照组织安全架构布置的边界保护设备组成。 | [redshift-cluster-public-access-check](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-public-access-check.html) | 通过确保 Amazon Redshift 集群不是公有的，来管理对 AWS 云中资源的访问。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | 
| SC-7：边界保护 | 监控和控制系统外部边界和系统内关键内部边界的通信；为与内部组织网络分开的可公开访问的系统组件实施子网；仅通过托管接口连接到外部网络或信息系统，这些接口由按照组织安全架构布置的边界保护设备组成。 | [ebs-snapshot-public-restorable-check](https://docs.aws.amazon.com/config/latest/developerguide/ebs-snapshot-public-restorable-check.html) | 通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| SC-7：边界保护 | 监控和控制系统外部边界和系统内关键内部边界的通信；为与内部组织网络分开的可公开访问的系统组件实施子网；仅通过托管接口连接到外部网络或信息系统，这些接口由按照组织安全架构布置的边界保护设备组成。 | [ec2-instance-no-public-ip](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-no-public-ip.html) | 通过确保 Amazon Elastic Compute Cloud (Amazon EC2) 实例无法公开访问来管理对 AWS 云的访问。Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| SC-7：边界保护 | 监控和控制系统外部边界和系统内关键内部边界的通信；为与内部组织网络分开的可公开访问的系统组件实施子网；仅通过托管接口连接到外部网络或信息系统，这些接口由按照组织安全架构布置的边界保护设备组成。 | [lambda-function-public-access-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/lambda-function-public-access-prohibited.html) | 通过确保 AWS Lambda 函数无法公开访问，来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。 | 
| SC-7：边界保护 | 监控和控制系统外部边界和系统内关键内部边界的通信；为与内部组织网络分开的可公开访问的系统组件实施子网；仅通过托管接口连接到外部网络或信息系统，这些接口由按照组织安全架构布置的边界保护设备组成。 | [s3-account-level-public-access-blocks-periodic](https://docs.aws.amazon.com/config/latest/developerguide/s3-account-level-public-access-blocks-periodic.html) | 通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置 ignorePublicAcls（Config 默认：True）、blockPublicPolicy（Config 默认值：True）、blockPublicAcls（Config 默认值：True）和 restrictPublicBuckets 参数（Config 默认值：True）。实际值应反映贵组织的策略。 | 
| SC-7：边界保护 | 监控和控制系统外部边界和系统内关键内部边界的通信；为与内部组织网络分开的可公开访问的系统组件实施子网；仅通过托管接口连接到外部网络或信息系统，这些接口由按照组织安全架构布置的边界保护设备组成。 | [s3-bucket-policy-grantee-check](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-policy-grantee-check.html) | 通过启用 s3\_ bucket\_policy\_grantee\_check 来管理对 AWS 云的访问权限。此规则检查 Amazon S3 存储桶授予的访问权限是否受任何 AWS 委托人、联合身份用户、服务委托人、IP 地址或您提供的 Amazon Virtual Private Cloud (Amazon VPC) ID 的限制。 | 
| SC-7：边界保护 | 监控和控制系统外部边界和系统内关键内部边界的通信；为与内部组织网络分开的可公开访问的系统组件实施子网；仅通过托管接口连接到外部网络或信息系统，这些接口由按照组织安全架构布置的边界保护设备组成。 | [s3-bucket-public-read-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-public-read-prohibited.html) | 通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。 | 
| SC-7：边界保护 | 监控和控制系统外部边界和系统内关键内部边界的通信；为与内部组织网络分开的可公开访问的系统组件实施子网；仅通过托管接口连接到外部网络或信息系统，这些接口由按照组织安全架构布置的边界保护设备组成。 | [s3-bucket-public-write-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-public-write-prohibited.html) | 通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。 | 
| SC-7：边界保护 | 监控和控制系统外部边界和系统内关键内部边界的通信；为与内部组织网络分开的可公开访问的系统组件实施子网；仅通过托管接口连接到外部网络或信息系统，这些接口由按照组织安全架构布置的边界保护设备组成。 | [sagemaker-notebook-no-direct-internet-access](https://docs.aws.amazon.com/config/latest/developerguide/sagemaker-notebook-no-direct-internet-access.html) | 通过确保 Amazon SageMaker 笔记本不允许直接访问互联网，管理对 AWS 云中资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。 | 
| SC-7：边界保护 | 监控和控制系统外部边界和系统内关键内部边界的通信；为与内部组织网络分开的可公开访问的系统组件实施子网；仅通过托管接口连接到外部网络或信息系统，这些接口由按照组织安全架构布置的边界保护设备组成。 | [vpc-sg-open-only-to-authorized-ports](https://docs.aws.amazon.com/config/latest/developerguide/vpc-sg-open-only-to-authorized-ports.html) | 通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。 | 
| SC-7：边界保护 (CE-9) 限制威胁性传出通信流量 | 检测并拒绝对外部系统构成威胁的传出通信流量；以及审计与被拒绝的通信相关的内部用户的身份。 | [wafv2-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/wafv2-logging-enabled.html) | 为了帮助在您的环境中进行日志记录和监控，请在区域和全局 Web ACL 上启用 AWS WAF (V2) 日志记录。AWSWAF 日志记录提供有关 Web ACL 分析的流量的详细信息。日志记录 AWS 接收来自 AWS 资源的请求的时间，有关请求的详细信息，以及每个请求所匹配的规则的操作。 | 
| SC-7：边界保护 (CE-9) 限制威胁性传出通信流量 | 检测并拒绝对外部系统构成威胁的传出通信流量；以及审计与被拒绝的通信相关的内部用户的身份。 | [alb-waf-enabled](https://docs.aws.amazon.com/config/latest/developerguide/alb-waf-enabled.html) | 确保在 Elastic Load Balancers (ELB) 上启用 AWS WAF，以帮助保护 Web 应用程序。WAF 有助于保护您的 Web 应用程序或 API 免遭常见 Web 漏洞的侵害。这些 Web 漏洞可能会影响可用性、损害安全性或消耗环境中过多的资源。 | 
| SC-7：边界保护 (CE-9) 限制威胁性传出通信流量 | 检测并拒绝对外部系统构成威胁的传出通信流量；以及审计与被拒绝的通信相关的内部用户的身份。 | [api-gw-associated-with-waf](https://docs.aws.amazon.com/config/latest/developerguide/api-gw-associated-with-waf.html) | 通过 AWS WAF，您可以配置一组规则（称为 Web 访问控制列表，即 Web ACL），基于可自定义的 Web 安全规则以及您定义的条件，允许、阻止 Web 请求或统计 Web 请求数量。确保您的 Amazon API Gateway 阶段与某个 WAF Web ACL 关联，以保护其免受恶意攻击 | 
| SC-7：边界保护（由 IRS 定义） | 各机构应在信任边界实施和管理边界保护（通常使用防火墙）。应监控每个信任边界，并控制跨越每个边界的通信。 | [netfw-policy-rule-group-associated](https://docs.aws.amazon.com/config/latest/developerguide/netfw-policy-rule-group-associated.html) | AWS Network Firewall 策略定义您的防火墙如何监控和处理 Amazon VPC 中的流量。您可以配置无状态和有状态规则组来过滤数据包和流量，并定义默认流量处理方式。 | 
| SC-7：边界保护（由 IRS 定义） | 各机构应在信任边界实施和管理边界保护（通常使用防火墙）。应监控每个信任边界，并控制跨越每个边界的通信。 | [netfw-stateless-rule-group-not-empty](https://docs.aws.amazon.com/config/latest/developerguide/netfw-stateless-rule-group-not-empty.html) | AWS Network Firewall 规则组包含的规则定义您的防火墙如何处理您的 VPC 中的流量。防火墙策略中空的无状态规则组不会处理流量。 | 
| SC-8：传输机密性和完整性 (CE-1) 加密保护 | 实施加密机制以防止未经授权的信息泄露并检测传输过程中信息的变化。 | [alb-http-to-https-redirection-check](https://docs.aws.amazon.com/config/latest/developerguide/alb-http-to-https-redirection-check.html) | 为帮助保护传输中的数据，请确保应用负载均衡器自动将未加密的 HTTP 请求重定向到 HTTPS。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| SC-8：传输机密性和完整性 (CE-1) 加密保护 | 实施加密机制以防止未经授权的信息泄露并检测传输过程中信息的变化。 | [elasticsearch-node-to-node-encryption-check](https://docs.aws.amazon.com/config/latest/developerguide/elasticsearch-node-to-node-encryption-check.html) | 确保 Amazon OpenSearch Service 启用了节点到节点加密。利用节点到节点加密，将能够为 Amazon Virtual Private Cloud (Amazon VPC) 内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| SC-8：传输机密性和完整性 (CE-1) 加密保护 | 实施加密机制以防止未经授权的信息泄露并检测传输过程中信息的变化。 | [elb-tls-https-listeners-only](https://docs.aws.amazon.com/config/latest/developerguide/elb-tls-https-listeners-only.html) | 确保您的弹性负载均衡器 (ELB) 配置了 SSL 或 HTTPS 侦听器。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| SC-8：传输机密性和完整性 (CE-1) 加密保护 | 实施加密机制以防止未经授权的信息泄露并检测传输过程中信息的变化。 | [opensearch-https-required](https://docs.aws.amazon.com/config/latest/developerguide/opensearch-https-required.html) | 由于可能存在敏感数据，并且为了帮助保护传输中数据，应确保为与您的 Amazon OpenSearch Service 域的连接启用 HTTPS。 | 
| SC-8：传输机密性和完整性 (CE-1) 加密保护 | 实施加密机制以防止未经授权的信息泄露并检测传输过程中信息的变化。 | [opensearch-node-to-node-encryption-check](https://docs.aws.amazon.com/config/latest/developerguide/opensearch-node-to-node-encryption-check.html) | 确保 Amazon OpenSearch Service 启用了节点到节点加密。利用节点到节点加密，将能够为 Amazon Virtual Private Cloud (Amazon VPC) 内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| SC-8：传输机密性和完整性 (CE-1) 加密保护 | 实施加密机制以防止未经授权的信息泄露并检测传输过程中信息的变化。 | [redshift-require-tls-ssl](https://docs.aws.amazon.com/config/latest/developerguide/redshift-require-tls-ssl.html) | 确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| SC-8：传输机密性和完整性 (CE-1) 加密保护 | 实施加密机制以防止未经授权的信息泄露并检测传输过程中信息的变化。 | [s3-bucket-ssl-requests-only](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-ssl-requests-only.html) | 为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶需要请求使用安全套接字层 (SSL)。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| SC-12：加密密钥的建立和管理 | 在系统中使用加密技术时，机构必须根据以下密钥管理要求建立和管理加密密钥：NIST SP 800-57《密钥管理建议》，涉及密钥生成、分发、存储、访问和销毁。 | [kms-cmk-not-scheduled-for-deletion](https://docs.aws.amazon.com/config/latest/developerguide/kms-cmk-not-scheduled-for-deletion.html) | 为了帮助保护静态数据，请确保没有在 AWS Key Management Service (AWS KMS) 中计划删除必要的客户主密钥 (CMK)。由于有时需要删除密钥，因此此规则可以帮助检查所有计划删除的密钥，以防密钥被无意中安排删除。 | 
| SC-12：加密密钥的建立和管理 | 在系统中使用加密技术时，机构必须根据以下密钥管理要求建立和管理加密密钥：NIST SP 800-57《密钥管理建议》，涉及密钥生成、分发、存储、访问和销毁。 | [cmk-backing-key-rotation-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cmk-backing-key-rotation-enabled.html) | 启用密钥轮换，确保密钥在加密周期结束后立即进行轮换。 | 
| SC-13：加密保护 | 实施每种指定加密用途所需的以下加密类型：经过 FIPS-140 验证的最新加密机制；NIST 800-52；传输层安全性协议 (TLS) 实施的选择、配置和使用指南；传输中加密（有效载荷加密）。禁止使用 SHA-1 进行数字签名。 | [elb-acm-certificate-required](https://docs.aws.amazon.com/config/latest/developerguide/elb-acm-certificate-required.html) | 由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certificate Manager 通过 AWS 服务和内部资源管理、预置和部署公有和私有 SSL/TLS 证书。 | 
| SC-13：加密保护 | 实施每种指定加密用途所需的以下加密类型：经过 FIPS-140 验证的最新加密机制；NIST 800-52；传输层安全性协议 (TLS) 实施的选择、配置和使用指南；传输中加密（有效载荷加密）。禁止使用 SHA-1 进行数字签名。 | [alb-http-to-https-redirection-check](https://docs.aws.amazon.com/config/latest/developerguide/alb-http-to-https-redirection-check.html) | 为帮助保护传输中的数据，请确保应用负载均衡器自动将未加密的 HTTP 请求重定向到 HTTPS。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| SC-13：加密保护 | 实施每种指定加密用途所需的以下加密类型：经过 FIPS-140 验证的最新加密机制；NIST 800-52；传输层安全性协议 (TLS) 实施的选择、配置和使用指南；传输中加密（有效载荷加密）。禁止使用 SHA-1 进行数字签名。 | [api-gw-cache-enabled-and-encrypted](https://docs.aws.amazon.com/config/latest/developerguide/api-gw-cache-enabled-and-encrypted.html) | 为了帮助保护静态数据，请确保为 API Gateway 阶段的缓存启用加密。由于可能会为 API 方法捕获敏感数据，因此应启用静态加密以帮助保护这些数据。 | 
| SC-13：加密保护 | 实施每种指定加密用途所需的以下加密类型：经过 FIPS-140 验证的最新加密机制；NIST 800-52；传输层安全性协议 (TLS) 实施的选择、配置和使用指南；传输中加密（有效载荷加密）。禁止使用 SHA-1 进行数字签名。 | [elasticsearch-node-to-node-encryption-check](https://docs.aws.amazon.com/config/latest/developerguide/elasticsearch-node-to-node-encryption-check.html) | 确保 Amazon OpenSearch Service 启用了节点到节点加密。利用节点到节点加密，将能够为 Amazon Virtual Private Cloud (Amazon VPC) 内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| SC-13：加密保护 | 实施每种指定加密用途所需的以下加密类型：经过 FIPS-140 验证的最新加密机制；NIST 800-52；传输层安全性协议 (TLS) 实施的选择、配置和使用指南；传输中加密（有效载荷加密）。禁止使用 SHA-1 进行数字签名。 | [elb-tls-https-listeners-only](https://docs.aws.amazon.com/config/latest/developerguide/elb-tls-https-listeners-only.html) | 确保您的弹性负载均衡器 (ELB) 配置了 SSL 或 HTTPS 侦听器。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| SC-13：加密保护 | 实施每种指定加密用途所需的以下加密类型：经过 FIPS-140 验证的最新加密机制；NIST 800-52；传输层安全性协议 (TLS) 实施的选择、配置和使用指南；传输中加密（有效载荷加密）。禁止使用 SHA-1 进行数字签名。 | [opensearch-https-required](https://docs.aws.amazon.com/config/latest/developerguide/opensearch-https-required.html) | 由于可能存在敏感数据，并且为了帮助保护传输中数据，应确保为与您的 Amazon OpenSearch Service 域的连接启用 HTTPS。 | 
| SC-13：加密保护 | 实施每种指定加密用途所需的以下加密类型：经过 FIPS-140 验证的最新加密机制；NIST 800-52；传输层安全性协议 (TLS) 实施的选择、配置和使用指南；传输中加密（有效载荷加密）。禁止使用 SHA-1 进行数字签名。 | [opensearch-node-to-node-encryption-check](https://docs.aws.amazon.com/config/latest/developerguide/opensearch-node-to-node-encryption-check.html) | 确保 Amazon OpenSearch Service 启用了节点到节点加密。利用节点到节点加密，将能够为 Amazon Virtual Private Cloud (Amazon VPC) 内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| SC-13：加密保护 | 实施每种指定加密用途所需的以下加密类型：经过 FIPS-140 验证的最新加密机制；NIST 800-52；传输层安全性协议 (TLS) 实施的选择、配置和使用指南；传输中加密（有效载荷加密）。禁止使用 SHA-1 进行数字签名。 | [backup-recovery-point-encrypted](https://docs.aws.amazon.com/config/latest/developerguide/backup-recovery-point-encrypted.html) | 确保您的 AWS Backup 恢复点已启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| SC-13：加密保护 | 实施每种指定加密用途所需的以下加密类型：经过 FIPS-140 验证的最新加密机制；NIST 800-52；传输层安全性协议 (TLS) 实施的选择、配置和使用指南；传输中加密（有效载荷加密）。禁止使用 SHA-1 进行数字签名。 | [dynamodb-table-encrypted-kms](https://docs.aws.amazon.com/config/latest/developerguide/dynamodb-table-encrypted-kms.html) | 确保为 Amazon DynamoDB 表启用加密。由于这些表中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。默认情况下，DynamoDB 表使用 AWS 拥有的客户主密钥 (CMK) 进行加密。 | 
| SC-13：加密保护 | 实施每种指定加密用途所需的以下加密类型：经过 FIPS-140 验证的最新加密机制；NIST 800-52；传输层安全性协议 (TLS) 实施的选择、配置和使用指南；传输中加密（有效载荷加密）。禁止使用 SHA-1 进行数字签名。 | [ec2-ebs-encryption-by-default](https://docs.aws.amazon.com/config/latest/developerguide/ec2-ebs-encryption-by-default.html) | 为了帮助保护静态数据，请确保为您的 Amazon Elastic Block Store (Amazon EBS) 卷启用加密。由于这些卷中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| SC-13：加密保护 | 实施每种指定加密用途所需的以下加密类型：经过 FIPS-140 验证的最新加密机制；NIST 800-52；传输层安全性协议 (TLS) 实施的选择、配置和使用指南；传输中加密（有效载荷加密）。禁止使用 SHA-1 进行数字签名。 | [kinesis-stream-encrypted](https://docs.aws.amazon.com/config/latest/developerguide/kinesis-stream-encrypted.html) | 由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon Kinesis Streams 启用了加密。 | 
| SC-13：加密保护 | 实施每种指定加密用途所需的以下加密类型：经过 FIPS-140 验证的最新加密机制；NIST 800-52；传输层安全性协议 (TLS) 实施的选择、配置和使用指南；传输中加密（有效载荷加密）。禁止使用 SHA-1 进行数字签名。 | [opensearch-encrypted-at-rest](https://docs.aws.amazon.com/config/latest/developerguide/opensearch-encrypted-at-rest.html) | 由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon OpenSearch Service 域启用了加密。 | 
| SC-13：加密保护 | 实施每种指定加密用途所需的以下加密类型：经过 FIPS-140 验证的最新加密机制；NIST 800-52；传输层安全性协议 (TLS) 实施的选择、配置和使用指南；传输中加密（有效载荷加密）。禁止使用 SHA-1 进行数字签名。 | [rds-snapshot-encrypted](https://docs.aws.amazon.com/config/latest/developerguide/rds-snapshot-encrypted.html) | 确保为 Amazon Relational Database Service (Amazon RDS) 快照启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| SC-13：加密保护 | 实施每种指定加密用途所需的以下加密类型：经过 FIPS-140 验证的最新加密机制；NIST 800-52；传输层安全性协议 (TLS) 实施的选择、配置和使用指南；传输中加密（有效载荷加密）。禁止使用 SHA-1 进行数字签名。 | [redshift-cluster-kms-enabled](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-kms-enabled.html) | 为了帮助保护静态数据，请确保您的 Amazon Redshift 集群启用了使用 AWS Key Management Service (AWS KMS) 的加密。由于 Redshift 集群中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| SC-13：加密保护 | 实施每种指定加密用途所需的以下加密类型：经过 FIPS-140 验证的最新加密机制；NIST 800-52；传输层安全性协议 (TLS) 实施的选择、配置和使用指南；传输中加密（有效载荷加密）。禁止使用 SHA-1 进行数字签名。 | [s3-default-encryption-kms](https://docs.aws.amazon.com/config/latest/developerguide/s3-default-encryption-kms.html) | 确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| SC-13：加密保护 | 实施每种指定加密用途所需的以下加密类型：经过 FIPS-140 验证的最新加密机制；NIST 800-52；传输层安全性协议 (TLS) 实施的选择、配置和使用指南；传输中加密（有效载荷加密）。禁止使用 SHA-1 进行数字签名。 | [secretsmanager-using-cmk](https://docs.aws.amazon.com/config/latest/developerguide/secretsmanager-using-cmk.html) | 为了帮助保护静态数据，请确保为 AWS Secrets Manager 机密启用 AWS Key Management Service (AWS KMS)。由于 Secrets Manager 机密中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| SC-13：加密保护 | 实施每种指定加密用途所需的以下加密类型：经过 FIPS-140 验证的最新加密机制；NIST 800-52；传输层安全性协议 (TLS) 实施的选择、配置和使用指南；传输中加密（有效载荷加密）。禁止使用 SHA-1 进行数字签名。 | [cloudwatch-log-group-encrypted](https://docs.aws.amazon.com/config/latest/developerguide/cloudwatch-log-group-encrypted.html) | 为了帮助保护静态敏感数据，请确保您的 Amazon CloudWatch 日志组启用了加密。 | 
| SC-13：加密保护 | 实施每种指定加密用途所需的以下加密类型：经过 FIPS-140 验证的最新加密机制；NIST 800-52；传输层安全性协议 (TLS) 实施的选择、配置和使用指南；传输中加密（有效载荷加密）。禁止使用 SHA-1 进行数字签名。 | [efs-encrypted-check](https://docs.aws.amazon.com/config/latest/developerguide/efs-encrypted-check.html) | 由于可能存在敏感数据，并且为了帮助保护静态数据，请确保为您的 Amazon Elastic File System (EFS) 启用加密。 | 
| SC-13：加密保护 | 实施每种指定加密用途所需的以下加密类型：经过 FIPS-140 验证的最新加密机制；NIST 800-52；传输层安全性协议 (TLS) 实施的选择、配置和使用指南；传输中加密（有效载荷加密）。禁止使用 SHA-1 进行数字签名。 | [elasticsearch-encrypted-at-rest](https://docs.aws.amazon.com/config/latest/developerguide/elasticsearch-encrypted-at-rest.html) | 由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon OpenSearch Service (OpenSearch Service) 域启用了加密。 | 
| SC-13：加密保护 | 实施每种指定加密用途所需的以下加密类型：经过 FIPS-140 验证的最新加密机制；NIST 800-52；传输层安全性协议 (TLS) 实施的选择、配置和使用指南；传输中加密（有效载荷加密）。禁止使用 SHA-1 进行数字签名。 | [encrypted-volumes](https://docs.aws.amazon.com/config/latest/developerguide/encrypted-volumes.html) | 由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon Elastic Block Store (Amazon EBS) 卷启用了加密。 | 
| SC-13：加密保护 | 实施每种指定加密用途所需的以下加密类型：经过 FIPS-140 验证的最新加密机制；NIST 800-52；传输层安全性协议 (TLS) 实施的选择、配置和使用指南；传输中加密（有效载荷加密）。禁止使用 SHA-1 进行数字签名。 | [rds-storage-encrypted](https://docs.aws.amazon.com/config/latest/developerguide/rds-storage-encrypted.html) | 为了帮助保护静态数据，请确保您的 Amazon Relational Database Service (Amazon RDS) 实例启用了加密。由于 Amazon RDS 实例中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| SC-13：加密保护 | 实施每种指定加密用途所需的以下加密类型：经过 FIPS-140 验证的最新加密机制；NIST 800-52；传输层安全性协议 (TLS) 实施的选择、配置和使用指南；传输中加密（有效载荷加密）。禁止使用 SHA-1 进行数字签名。 | [redshift-cluster-configuration-check](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-configuration-check.html) | 要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted（Config 默认值：TRUE）和 loggingEnabled（Config 默认值：TRUE）设置值。实际值应反映贵组织的策略。 | 
| SC-13：加密保护 | 实施每种指定加密用途所需的以下加密类型：经过 FIPS-140 验证的最新加密机制；NIST 800-52；传输层安全性协议 (TLS) 实施的选择、配置和使用指南；传输中加密（有效载荷加密）。禁止使用 SHA-1 进行数字签名。 | [redshift-require-tls-ssl](https://docs.aws.amazon.com/config/latest/developerguide/redshift-require-tls-ssl.html) | 确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| SC-13：加密保护 | 实施每种指定加密用途所需的以下加密类型：经过 FIPS-140 验证的最新加密机制；NIST 800-52；传输层安全性协议 (TLS) 实施的选择、配置和使用指南；传输中加密（有效载荷加密）。禁止使用 SHA-1 进行数字签名。 | [s3-bucket-server-side-encryption-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-server-side-encryption-enabled.html) | 为了帮助保护静态数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用加密以帮助保护这些数据。 | 
| SC-13：加密保护 | 实施每种指定加密用途所需的以下加密类型：经过 FIPS-140 验证的最新加密机制；NIST 800-52；传输层安全性协议 (TLS) 实施的选择、配置和使用指南；传输中加密（有效载荷加密）。禁止使用 SHA-1 进行数字签名。 | [s3-bucket-ssl-requests-only](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-ssl-requests-only.html) | 为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶需要请求使用安全套接字层 (SSL)。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| SC-13：加密保护 | 实施每种指定加密用途所需的以下加密类型：经过 FIPS-140 验证的最新加密机制；NIST 800-52；传输层安全性协议 (TLS) 实施的选择、配置和使用指南；传输中加密（有效载荷加密）。禁止使用 SHA-1 进行数字签名。 | [sagemaker-endpoint-configuration-kms-key-configured](https://docs.aws.amazon.com/config/latest/developerguide/sagemaker-endpoint-configuration-kms-key-configured.html) | 为了帮助保护静态数据，请确保您的 SageMaker 终端节点启用了使用 AWS Key Management Service (AWS KMS) 的加密。由于 SageMaker 端点中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| SC-13：加密保护 | 实施每种指定加密用途所需的以下加密类型：经过 FIPS-140 验证的最新加密机制；NIST 800-52；传输层安全性协议 (TLS) 实施的选择、配置和使用指南；传输中加密（有效载荷加密）。禁止使用 SHA-1 进行数字签名。 | [sagemaker-notebook-instance-kms-key-configured](https://docs.aws.amazon.com/config/latest/developerguide/sagemaker-notebook-instance-kms-key-configured.html) | 为了帮助保护静态数据，请确保您的 SageMaker 笔记本启用了使用 AWS Key Management Service (AWS KMS) 的加密。由于 SageMaker 笔记本中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| SC-13：加密保护 | 实施每种指定加密用途所需的以下加密类型：经过 FIPS-140 验证的最新加密机制；NIST 800-52；传输层安全性协议 (TLS) 实施的选择、配置和使用指南；传输中加密（有效载荷加密）。禁止使用 SHA-1 进行数字签名。 | [sns-encrypted-kms](https://docs.aws.amazon.com/config/latest/developerguide/sns-encrypted-kms.html) | 为了帮助保护静态数据，请确保您的 Amazon Simple Notification Service (Amazon SNS) 主题需要使用 AWS Key Management Service (AWS KMS) 进行加密。由于已发布的消息中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| SC-23：会话真实性 | 保护通信会话的真实性。 | [ec2-imdsv2-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-imdsv2-check.html) | 确保启用实例元数据服务版本 2 (IMDSv2) 方法，以帮助保护对 Amazon Elastic Compute Cloud (Amazon EC2) 实例元数据的访问和控制。IMDSv2 方法使用基于会话的控制。使用 IMDSv2，可以实施控制来限制对实例元数据的更改。 | 
| SC-28：静态信息保护 (CE-1) 加密保护 | 实施加密机制，防止终端用户计算系统（即台式电脑、笔记本电脑、移动设备、便携式和可移动存储设备）非易失性存储中的静态 FTI 在未经授权的情况下被泄露和修改。 | [api-gw-cache-enabled-and-encrypted](https://docs.aws.amazon.com/config/latest/developerguide/api-gw-cache-enabled-and-encrypted.html) | 为了帮助保护静态数据，请确保为 API Gateway 阶段的缓存启用加密。由于可能会为 API 方法捕获敏感数据，因此应启用静态加密以帮助保护这些数据。 | 
| SC-28：静态信息保护 (CE-1) 加密保护 | 实施加密机制，防止终端用户计算系统（即台式电脑、笔记本电脑、移动设备、便携式和可移动存储设备）非易失性存储中的静态 FTI 在未经授权的情况下被泄露和修改。 | [backup-recovery-point-encrypted](https://docs.aws.amazon.com/config/latest/developerguide/backup-recovery-point-encrypted.html) | 确保您的 AWS Backup 恢复点已启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| SC-28：静态信息保护 (CE-1) 加密保护 | 实施加密机制，防止终端用户计算系统（即台式电脑、笔记本电脑、移动设备、便携式和可移动存储设备）非易失性存储中的静态 FTI 在未经授权的情况下被泄露和修改。 | [cloud-trail-encryption-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-encryption-enabled.html) | 由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 AWS CloudTrail 跟踪启用了加密。 | 
| SC-28：静态信息保护 (CE-1) 加密保护 | 实施加密机制，防止终端用户计算系统（即台式电脑、笔记本电脑、移动设备、便携式和可移动存储设备）非易失性存储中的静态 FTI 在未经授权的情况下被泄露和修改。 | [cloudwatch-log-group-encrypted](https://docs.aws.amazon.com/config/latest/developerguide/cloudwatch-log-group-encrypted.html) | 为了帮助保护静态敏感数据，请确保您的 Amazon CloudWatch 日志组启用了加密。 | 
| SC-28：静态信息保护 (CE-1) 加密保护 | 实施加密机制，防止终端用户计算系统（即台式电脑、笔记本电脑、移动设备、便携式和可移动存储设备）非易失性存储中的静态 FTI 在未经授权的情况下被泄露和修改。 | [sns-encrypted-kms](https://docs.aws.amazon.com/config/latest/developerguide/sns-encrypted-kms.html) | 为了帮助保护静态数据，请确保您的 Amazon Simple Notification Service (Amazon SNS) 主题需要使用 AWS Key Management Service (AWS KMS) 进行加密。由于已发布的消息中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| SC-28：静态信息保护 (CE-1) 加密保护 | 实施加密机制，防止终端用户计算系统（即台式电脑、笔记本电脑、移动设备、便携式和可移动存储设备）非易失性存储中的静态 FTI 在未经授权的情况下被泄露和修改。 | [dynamodb-table-encrypted-kms](https://docs.aws.amazon.com/config/latest/developerguide/dynamodb-table-encrypted-kms.html) | 确保为 Amazon DynamoDB 表启用加密。由于这些表中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。默认情况下，DynamoDB 表使用 AWS 拥有的客户主密钥 (CMK) 进行加密。 | 
| SC-28：静态信息保护 (CE-1) 加密保护 | 实施加密机制，防止终端用户计算系统（即台式电脑、笔记本电脑、移动设备、便携式和可移动存储设备）非易失性存储中的静态 FTI 在未经授权的情况下被泄露和修改。 | [ec2-ebs-encryption-by-default](https://docs.aws.amazon.com/config/latest/developerguide/ec2-ebs-encryption-by-default.html) | 为了帮助保护静态数据，请确保为您的 Amazon Elastic Block Store (Amazon EBS) 卷启用加密。由于这些卷中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| SC-28：静态信息保护 (CE-1) 加密保护 | 实施加密机制，防止终端用户计算系统（即台式电脑、笔记本电脑、移动设备、便携式和可移动存储设备）非易失性存储中的静态 FTI 在未经授权的情况下被泄露和修改。 | [efs-encrypted-check](https://docs.aws.amazon.com/config/latest/developerguide/efs-encrypted-check.html) | 由于可能存在敏感数据，并且为了帮助保护静态数据，请确保为您的 Amazon Elastic File System (EFS) 启用加密。 | 
| SC-28：静态信息保护 (CE-1) 加密保护 | 实施加密机制，防止终端用户计算系统（即台式电脑、笔记本电脑、移动设备、便携式和可移动存储设备）非易失性存储中的静态 FTI 在未经授权的情况下被泄露和修改。 | [elasticsearch-encrypted-at-rest](https://docs.aws.amazon.com/config/latest/developerguide/elasticsearch-encrypted-at-rest.html) | 由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon OpenSearch Service (OpenSearch Service) 域启用了加密。 | 
| SC-28：静态信息保护 (CE-1) 加密保护 | 实施加密机制，防止终端用户计算系统（即台式电脑、笔记本电脑、移动设备、便携式和可移动存储设备）非易失性存储中的静态 FTI 在未经授权的情况下被泄露和修改。 | [encrypted-volumes](https://docs.aws.amazon.com/config/latest/developerguide/encrypted-volumes.html) | 由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon Elastic Block Store (Amazon EBS) 卷启用了加密。 | 
| SC-28：静态信息保护 (CE-1) 加密保护 | 实施加密机制，防止终端用户计算系统（即台式电脑、笔记本电脑、移动设备、便携式和可移动存储设备）非易失性存储中的静态 FTI 在未经授权的情况下被泄露和修改。 | [kinesis-stream-encrypted](https://docs.aws.amazon.com/config/latest/developerguide/kinesis-stream-encrypted.html) | 由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon Kinesis Streams 启用了加密。 | 
| SC-28：静态信息保护 (CE-1) 加密保护 | 实施加密机制，防止终端用户计算系统（即台式电脑、笔记本电脑、移动设备、便携式和可移动存储设备）非易失性存储中的静态 FTI 在未经授权的情况下被泄露和修改。 | [opensearch-encrypted-at-rest](https://docs.aws.amazon.com/config/latest/developerguide/opensearch-encrypted-at-rest.html) | 由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon OpenSearch Service 域启用了加密。 | 
| SC-28：静态信息保护 (CE-1) 加密保护 | 实施加密机制，防止终端用户计算系统（即台式电脑、笔记本电脑、移动设备、便携式和可移动存储设备）非易失性存储中的静态 FTI 在未经授权的情况下被泄露和修改。 | [rds-snapshot-encrypted](https://docs.aws.amazon.com/config/latest/developerguide/rds-snapshot-encrypted.html) | 确保为 Amazon Relational Database Service (Amazon RDS) 快照启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| SC-28：静态信息保护 (CE-1) 加密保护 | 实施加密机制，防止终端用户计算系统（即台式电脑、笔记本电脑、移动设备、便携式和可移动存储设备）非易失性存储中的静态 FTI 在未经授权的情况下被泄露和修改。 | [rds-storage-encrypted](https://docs.aws.amazon.com/config/latest/developerguide/rds-storage-encrypted.html) | 为了帮助保护静态数据，请确保您的 Amazon Relational Database Service (Amazon RDS) 实例启用了加密。由于 Amazon RDS 实例中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| SC-28：静态信息保护 (CE-1) 加密保护 | 实施加密机制，防止终端用户计算系统（即台式电脑、笔记本电脑、移动设备、便携式和可移动存储设备）非易失性存储中的静态 FTI 在未经授权的情况下被泄露和修改。 | [redshift-cluster-configuration-check](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-configuration-check.html) | 要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted（Config 默认值：TRUE）和 loggingEnabled（Config 默认值：TRUE）设置值。实际值应反映贵组织的策略。 | 
| SC-28：静态信息保护 (CE-1) 加密保护 | 实施加密机制，防止终端用户计算系统（即台式电脑、笔记本电脑、移动设备、便携式和可移动存储设备）非易失性存储中的静态 FTI 在未经授权的情况下被泄露和修改。 | [redshift-cluster-kms-enabled](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-kms-enabled.html) | 为了帮助保护静态数据，请确保您的 Amazon Redshift 集群启用了使用 AWS Key Management Service (AWS KMS) 的加密。由于 Redshift 集群中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| SC-28：静态信息保护 (CE-1) 加密保护 | 实施加密机制，防止终端用户计算系统（即台式电脑、笔记本电脑、移动设备、便携式和可移动存储设备）非易失性存储中的静态 FTI 在未经授权的情况下被泄露和修改。 | [s3-bucket-server-side-encryption-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-server-side-encryption-enabled.html) | 为了帮助保护静态数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用加密以帮助保护这些数据。 | 
| SC-28：静态信息保护 (CE-1) 加密保护 | 实施加密机制，防止终端用户计算系统（即台式电脑、笔记本电脑、移动设备、便携式和可移动存储设备）非易失性存储中的静态 FTI 在未经授权的情况下被泄露和修改。 | [s3-default-encryption-kms](https://docs.aws.amazon.com/config/latest/developerguide/s3-default-encryption-kms.html) | 确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| SC-28：静态信息保护 (CE-1) 加密保护 | 实施加密机制，防止终端用户计算系统（即台式电脑、笔记本电脑、移动设备、便携式和可移动存储设备）非易失性存储中的静态 FTI 在未经授权的情况下被泄露和修改。 | [sagemaker-endpoint-configuration-kms-key-configured](https://docs.aws.amazon.com/config/latest/developerguide/sagemaker-endpoint-configuration-kms-key-configured.html) | 为了帮助保护静态数据，请确保您的 SageMaker 终端节点启用了使用 AWS Key Management Service (AWS KMS) 的加密。由于 SageMaker 端点中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| SC-28：静态信息保护 (CE-1) 加密保护 | 实施加密机制，防止终端用户计算系统（即台式电脑、笔记本电脑、移动设备、便携式和可移动存储设备）非易失性存储中的静态 FTI 在未经授权的情况下被泄露和修改。 | [sagemaker-notebook-instance-kms-key-configured](https://docs.aws.amazon.com/config/latest/developerguide/sagemaker-notebook-instance-kms-key-configured.html) | 为了帮助保护静态数据，请确保您的 SageMaker 笔记本启用了使用 AWS Key Management Service (AWS KMS) 的加密。由于 SageMaker 笔记本中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| SC-28：静态信息保护 (CE-1) 加密保护 | 实施加密机制，防止终端用户计算系统（即台式电脑、笔记本电脑、移动设备、便携式和可移动存储设备）非易失性存储中的静态 FTI 在未经授权的情况下被泄露和修改。 | [secretsmanager-using-cmk](https://docs.aws.amazon.com/config/latest/developerguide/secretsmanager-using-cmk.html) | 为了帮助保护静态数据，请确保为 AWS Secrets Manager 机密启用 AWS Key Management Service (AWS KMS)。由于 Secrets Manager 机密中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| SI-2：缺陷修复（IRS 定义）  | 机构应确保在每天开机并连接到机构网络时，检查工作站（策略中定义的工作站，包括使用 GFE 工作站的远程连接），以确保已应用机构批准的最新补丁，并在必要时应用任何缺失的或新的补丁，或以其他方式每 24 小时（不包括周末、节假日等）检查不少于一次。 | [ec2-instance-managed-by-systems-manager](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-managed-by-systems-manager.html) | 利用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 实例，可以清点组织中的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发布者和版本以及有关您的环境的其他详细信息。 | 
| SI-2：缺陷修复（IRS 定义）  | 机构应确保在每天开机并连接到机构网络时，检查工作站（策略中定义的工作站，包括使用 GFE 工作站的远程连接），以确保已应用机构批准的最新补丁，并在必要时应用任何缺失的或新的补丁，或以其他方式每 24 小时（不包括周末、节假日等）检查不少于一次。 | [ec2-managedinstance-association-compliance-status-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-managedinstance-association-compliance-status-check.html) | 使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。AWSSystems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。 | 
| SI-2：缺陷修复（IRS 定义）  | 机构应确保在每天开机并连接到机构网络时，检查工作站（策略中定义的工作站，包括使用 GFE 工作站的远程连接），以确保已应用机构批准的最新补丁，并在必要时应用任何缺失的或新的补丁，或以其他方式每 24 小时（不包括周末、节假日等）检查不少于一次。 | [ec2-managedinstance-patch-compliance-status-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-managedinstance-patch-compliance-status-check.html) | 启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。此规则根据贵组织的政策和程序的要求检查 AWS Systems Manager 中的 Amazon EC2 实例补丁是否合规。 | 
| SI-2：缺陷修复（IRS 定义）  | 机构应确保在每天开机并连接到机构网络时，检查工作站（策略中定义的工作站，包括使用 GFE 工作站的远程连接），以确保已应用机构批准的最新补丁，并在必要时应用任何缺失的或新的补丁，或以其他方式每 24 小时（不包括周末、节假日等）检查不少于一次。 | [ecs-fargate-latest-platform-version](https://docs.aws.amazon.com/config/latest/developerguide/ecs-fargate-latest-platform-version.html) | AWS Fargate 任务的安全更新和补丁将自动部署。如果安全问题影响 AWS Fargate 平台版本，AWS 将为平台版本提供补丁。为了帮助管理运行 AWS Fargate 的 Amazon Elastic Container Service (ECS) 任务的补丁，请将您的服务独立任务更新为使用最新平台版本。 | 
| SI-2：缺陷修复（IRS 定义）  | 机构应确保在每天开机并连接到机构网络时，检查工作站（策略中定义的工作站，包括使用 GFE 工作站的远程连接），以确保已应用机构批准的最新补丁，并在必要时应用任何缺失的或新的补丁，或以其他方式每 24 小时（不包括周末、节假日等）检查不少于一次。 | [elastic-beanstalk-managed-updates-enabled](https://docs.aws.amazon.com/config/latest/developerguide/elastic-beanstalk-managed-updates-enabled.html) | 为 Amazon Elastic Beanstalk 环境启用受管平台更新可确保安装环境的最新可用平台修复、更新和功能。及时安装补丁是保护系统的最佳实践。 | 
| SI-2：缺陷修复（IRS 定义）  | 机构应确保在每天开机并连接到机构网络时，检查工作站（策略中定义的工作站，包括使用 GFE 工作站的远程连接），以确保已应用机构批准的最新补丁，并在必要时应用任何缺失的或新的补丁，或以其他方式每 24 小时（不包括周末、节假日等）检查不少于一次。 | [rds-automatic-minor-version-upgrade-enabled](https://docs.aws.amazon.com/config/latest/developerguide/rds-automatic-minor-version-upgrade-enabled.html) | 启用 Amazon Relational Database Service (RDS) 实例的自动次要版本升级，以确保安装关系数据库管理系统 (RDBMS) 的最新次要版本更新，其中可能包括安全补丁和错误修复。 | 
| SI-4：系统监控 | 组织：a. 监视信息系统以便：1. 根据 [分配：组织定义的监控目标] 检测攻击和潜在攻击的指标；以及 2. 检测未经授权的本地、网络和远程连接；b. 通过 [分配：组织定义的技术和方法] 识别未经授权使用信息系统的行为；c. 部署监控设备：1. 战略性地在信息系统内收集组织确定的基本信息；以及 2. 在系统内的临时位置跟踪组织感兴趣的特定类型的交易；d. 保护从入侵监控工具获得的信息免遭未经授权的访问、修改和删除； | [guardduty-enabled-centralized](https://docs.aws.amazon.com/config/latest/developerguide/guardduty-enabled-centralized.html) | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。 | 
| SI-4：系统监控 | 组织：a. 监视信息系统以便：1. 根据 [分配：组织定义的监控目标] 检测攻击和潜在攻击的指标；以及 2. 检测未经授权的本地、网络和远程连接；b. 通过 [分配：组织定义的技术和方法] 识别未经授权使用信息系统的行为；c. 部署监控设备：1. 战略性地在信息系统内收集组织确定的基本信息；以及 2. 在系统内的临时位置跟踪组织感兴趣的特定类型的交易；d. 保护从入侵监控工具获得的信息免遭未经授权的访问、修改和删除； | [securityhub-enabled](https://docs.aws.amazon.com/config/latest/developerguide/securityhub-enabled.html) | AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。AWSSecurity Hub 可以聚合、组织和优先处理来自多个 AWS 服务的安全告警或结果。其中一些服务包括 Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management (IAM) Access Analyzer、AWS Firewall Manager 和 AWS 合作伙伴解决方案。 | 
| SI-4：系统监控 | 组织：a. 监视信息系统以便：1. 根据 [分配：组织定义的监控目标] 检测攻击和潜在攻击的指标；以及 2. 检测未经授权的本地、网络和远程连接；b. 通过 [分配：组织定义的技术和方法] 识别未经授权使用信息系统的行为；c. 部署监控设备：1. 战略性地在信息系统内收集组织确定的基本信息；以及 2. 在系统内的临时位置跟踪组织感兴趣的特定类型的交易；d. 保护从入侵监控工具获得的信息免遭未经授权的访问、修改和删除； | [cloudwatch-alarm-action-check](https://docs.aws.amazon.com/config/latest/developerguide/cloudwatch-alarm-action-check.html) | 当指标在指定数量的评估期超过阈值时，Amazon CloudWatch 会发出警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired（Config 默认值：True）、insufficientDataActionRequired（Config 默认值：True）、okActionRequired（Config 默认值：False）的值。实际值应反映您的环境的警报操作。 | 
| SI-4：系统监控 | 组织：a. 监视信息系统以便：1. 根据 [分配：组织定义的监控目标] 检测攻击和潜在攻击的指标；以及 2. 检测未经授权的本地、网络和远程连接；b. 通过 [分配：组织定义的技术和方法] 识别未经授权使用信息系统的行为；c. 部署监控设备：1. 战略性地在信息系统内收集组织确定的基本信息；以及 2. 在系统内的临时位置跟踪组织感兴趣的特定类型的交易；d. 保护从入侵监控工具获得的信息免遭未经授权的访问、修改和删除； | [cloud-trail-cloud-watch-logs-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-cloud-watch-logs-enabled.html) | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您的 AWS 账户中 API 调用活动的详细信息。 | 
| SI-4：系统监控 | 组织：a. 监视信息系统以便：1. 根据 [分配：组织定义的监控目标] 检测攻击和潜在攻击的指标；以及 2. 检测未经授权的本地、网络和远程连接；b. 通过 [分配：组织定义的技术和方法] 识别未经授权使用信息系统的行为；c. 部署监控设备：1. 战略性地在信息系统内收集组织确定的基本信息；以及 2. 在系统内的临时位置跟踪组织感兴趣的特定类型的交易；d. 保护从入侵监控工具获得的信息免遭未经授权的访问、修改和删除； | [ec2-instance-detailed-monitoring-enabled](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-detailed-monitoring-enabled.html) | 启用此规则可帮助改进 Amazon EC2 控制台上的 Amazon Elastic Compute Cloud (Amazon EC2) 实例监控，该控制台以 1 分钟为周期显示实例的监控图。 | 
| SI-4：系统监控（IRS 定义） | 所有互联网接入点/门户都应捕获入站和出站流量标头信息并并保留至少一年，但不包括经机构 CISO 批准的互联网“匿名”连接。 | [elb-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/elb-logging-enabled.html) | Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息 (例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。 | 
| SI-4：系统监控（IRS 定义） | 所有互联网接入点/门户都应捕获入站和出站流量标头信息并并保留至少一年，但不包括经机构 CISO 批准的互联网“匿名”连接。 | [opensearch-audit-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/opensearch-audit-logging-enabled.html) | 确保在 Amazon OpenSearch Service 域中启用审计日志记录。审计日志记录允许您跟踪 OpenSearch 域上的用户活动，包括成功和失败的身份验证、对 OpenSearch 的请求、索引更改以及传入的搜索查询。 | 
| SI-4：系统监控（IRS 定义） | 所有互联网接入点/门户都应捕获入站和出站流量标头信息并并保留至少一年，但不包括经机构 CISO 批准的互联网“匿名”连接。 | [redshift-audit-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/redshift-audit-logging-enabled.html) | 要捕获有关您的 Amazon Redshift 集群上的连接和用户活动的信息，请确保已启用审计日志记录。 | 
| SI-4：系统监控（IRS 定义） | 所有互联网接入点/门户都应捕获入站和出站流量标头信息并并保留至少一年，但不包括经机构 CISO 批准的互联网“匿名”连接。 | [s3-bucket-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-logging-enabled.html) | Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | 
| SI-4：系统监控（IRS 定义） | 所有互联网接入点/门户都应捕获入站和出站流量标头信息并并保留至少一年，但不包括经机构 CISO 批准的互联网“匿名”连接。 | [wafv2-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/wafv2-logging-enabled.html) | 为了帮助在您的环境中进行日志记录和监控，请在区域和全局 Web ACL 上启用 AWS WAF (V2) 日志记录。AWSWAF 日志记录提供有关 Web ACL 分析的流量的详细信息。日志记录 AWS 接收来自 AWS 资源的请求的时间，有关请求的详细信息，以及每个请求所匹配的规则的操作。 | 
| SI-4：系统监控（IRS 定义） | 所有互联网接入点/门户都应捕获入站和出站流量标头信息并并保留至少一年，但不包括经机构 CISO 批准的互联网“匿名”连接。 | [vpc-flow-logs-enabled](https://docs.aws.amazon.com/config/latest/developerguide/vpc-flow-logs-enabled.html) | VPC 流日志详细记录进出 Amazon Virtual Private Cloud (Amazon VPC) 网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。 | 
| SI-4：系统监控（IRS 定义） | 所有互联网接入点/门户都应捕获入站和出站流量标头信息并并保留至少一年，但不包括经机构 CISO 批准的互联网“匿名”连接。 | [api-gw-execution-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/api-gw-execution-logging-enabled.html) | API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。 | 
| SI-4：系统监控（IRS 定义） | 所有互联网接入点/门户都应捕获入站和出站流量标头信息并并保留至少一年，但不包括经机构 CISO 批准的互联网“匿名”连接。 | [cloud-trail-cloud-watch-logs-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-cloud-watch-logs-enabled.html) | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您的 AWS 账户中 API 调用活动的详细信息。 | 
| SI-4：系统监控（IRS 定义） | 所有互联网接入点/门户都应捕获入站和出站流量标头信息并并保留至少一年，但不包括经机构 CISO 批准的互联网“匿名”连接。 | [cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-enabled.html) | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用 AWS 服务的用户和 AWS 账户、发出调用的源 IP 地址以及调用的时间。捕获的数据的详细信息可在 AWS CloudTrail“记录内容”中查看。 | 
| SI-4：系统监控（IRS 定义） | 所有互联网接入点/门户都应捕获入站和出站流量标头信息并并保留至少一年，但不包括经机构 CISO 批准的互联网“匿名”连接。 | [cloud-trail-log-file-validation-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-log-file-validation-enabled.html) | 利用 AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 交付后是否被修改、删除或更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这样，要修改、删除或伪造 CloudTrail 日志文件而不被检测到在计算上是不可行的。 | 
| SI-4：系统监控（IRS 定义） | 所有互联网接入点/门户都应捕获入站和出站流量标头信息并并保留至少一年，但不包括经机构 CISO 批准的互联网“匿名”连接。 | [cw-loggroup-retention-period-check](https://docs.aws.amazon.com/config/latest/developerguide/cw-loggroup-retention-period-check.html) | 确保为日志组保留事件日志数据的最短时间，以帮助进行故障排除和取证调查。缺乏过去的事件日志数据会让重建和识别潜在的恶意事件变得困难。 | 
| SI-7：软件、固件和信息完整性 | 使用完整性验证工具来检测对以下软件、固件和信息的未经授权的更改：系统内核、驱动程序、固件（例如 BIOS、UEFI）、软件（例如操作系统、应用程序、中间件）和安全属性。 | [ec2-instance-managed-by-systems-manager](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-managed-by-systems-manager.html) | 利用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 实例，可以清点组织中的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发布者和版本以及有关您的环境的其他详细信息。 | 
| SI-7：软件、固件和信息完整性 | 使用完整性验证工具来检测对以下软件、固件和信息的未经授权的更改：系统内核、驱动程序、固件（例如 BIOS、UEFI）、软件（例如操作系统、应用程序、中间件）和安全属性。 | [ec2-managedinstance-patch-compliance-status-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-managedinstance-patch-compliance-status-check.html) | 启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。此规则根据贵组织的政策和程序的要求检查 AWS Systems Manager 中的 Amazon EC2 实例补丁是否合规。 | 
| SI-7：软件、固件和信息完整性 | 使用完整性验证工具来检测对以下软件、固件和信息的未经授权的更改：系统内核、驱动程序、固件（例如 BIOS、UEFI）、软件（例如操作系统、应用程序、中间件）和安全属性。 | [cloud-trail-log-file-validation-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-log-file-validation-enabled.html) | 利用 AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 交付后是否被修改、删除或更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这样，要修改、删除或伪造 CloudTrail 日志文件而不被检测到在计算上是不可行的。 | 
| SI-12：信息管理和保留 | 根据适用的法律、行政令、指令、法规、政策、标准、指导方针和操作要求，管理和保留系统内的信息以及系统输出的信息。 | [db-instance-backup-enabled](https://docs.aws.amazon.com/config/latest/developerguide/db-instance-backup-enabled.html) | Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 会自动创建数据库实例的存储卷快照，备份整个数据库实例。系统允许您设置特定的保留期以满足您的弹性要求。 | 
| SI-12：信息管理和保留 | 根据适用的法律、行政令、指令、法规、政策、标准、指导方针和操作要求，管理和保留系统内的信息以及系统输出的信息。 | [dynamodb-in-backup-plan](https://docs.aws.amazon.com/config/latest/developerguide/dynamodb-in-backup-plan.html) | 为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon DynamoDB 表。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| SI-12：信息管理和保留 | 根据适用的法律、行政令、指令、法规、政策、标准、指导方针和操作要求，管理和保留系统内的信息以及系统输出的信息。 | [dynamodb-pitr-enabled](https://docs.aws.amazon.com/config/latest/developerguide/dynamodb-pitr-enabled.html) | 启用此规则可检查信息是否已备份。它还通过确保在 Amazon DynamoDB 中启用时间点恢复，来维护备份。恢复过程会维持表在过去 35 天的连续备份。 | 
| SI-12：信息管理和保留 | 根据适用的法律、行政令、指令、法规、政策、标准、指导方针和操作要求，管理和保留系统内的信息以及系统输出的信息。 | [dynamodb-resources-protected-by-backup-plan](https://docs.aws.amazon.com/config/latest/developerguide/dynamodb-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon DynamoDB 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| SI-12：信息管理和保留 | 根据适用的法律、行政令、指令、法规、政策、标准、指导方针和操作要求，管理和保留系统内的信息以及系统输出的信息。 | [ebs-in-backup-plan](https://docs.aws.amazon.com/config/latest/developerguide/ebs-in-backup-plan.html) | 为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Elastic Block Store (Amazon EBS) 卷。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| SI-12：信息管理和保留 | 根据适用的法律、行政令、指令、法规、政策、标准、指导方针和操作要求，管理和保留系统内的信息以及系统输出的信息。 | [ebs-resources-protected-by-backup-plan](https://docs.aws.amazon.com/config/latest/developerguide/ebs-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Elastic Block Store (Amazon EBS) 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| SI-12：信息管理和保留 | 根据适用的法律、行政令、指令、法规、政策、标准、指导方针和操作要求，管理和保留系统内的信息以及系统输出的信息。 | [ec2-resources-protected-by-backup-plan](https://docs.aws.amazon.com/config/latest/developerguide/ec2-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Elastic Compute Cloud (Amazon EC2) 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| SI-12：信息管理和保留 | 根据适用的法律、行政令、指令、法规、政策、标准、指导方针和操作要求，管理和保留系统内的信息以及系统输出的信息。 | [efs-in-backup-plan](https://docs.aws.amazon.com/config/latest/developerguide/efs-in-backup-plan.html) | 为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Elastic File System (Amazon EFS) 文件系统。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| SI-12：信息管理和保留 | 根据适用的法律、行政令、指令、法规、政策、标准、指导方针和操作要求，管理和保留系统内的信息以及系统输出的信息。 | [efs-resources-protected-by-backup-plan](https://docs.aws.amazon.com/config/latest/developerguide/efs-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Elastic File System (Amazon EFS) 文件系统。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| SI-12：信息管理和保留 | 根据适用的法律、行政令、指令、法规、政策、标准、指导方针和操作要求，管理和保留系统内的信息以及系统输出的信息。 | [elasticache-redis-cluster-automatic-backup-check](https://docs.aws.amazon.com/config/latest/developerguide/elasticache-redis-cluster-automatic-backup-check.html) | 启用自动备份后，Amazon ElastiCache 会每天为集群创建一个备份。备份可保留的天数由贵组织规定。自动备份可以帮助防止数据丢失。发生故障时，您可以通过从最新的备份还原数据来创建新集群。 | 
| SI-12：信息管理和保留 | 根据适用的法律、行政令、指令、法规、政策、标准、指导方针和操作要求，管理和保留系统内的信息以及系统输出的信息。 | [fsx-resources-protected-by-backup-plan](https://docs.aws.amazon.com/config/latest/developerguide/fsx-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon FSx 文件系统。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| SI-12：信息管理和保留 | 根据适用的法律、行政令、指令、法规、政策、标准、指导方针和操作要求，管理和保留系统内的信息以及系统输出的信息。 | [rds-in-backup-plan](https://docs.aws.amazon.com/config/latest/developerguide/rds-in-backup-plan.html) | 为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Relational Database Service (Amazon RDS) 实例。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| SI-12：信息管理和保留 | 根据适用的法律、行政令、指令、法规、政策、标准、指导方针和操作要求，管理和保留系统内的信息以及系统输出的信息。 | [rds-resources-protected-by-backup-plan](https://docs.aws.amazon.com/config/latest/developerguide/rds-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Relational Database Service (Amazon RDS) 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| SI-12：信息管理和保留 | 根据适用的法律、行政令、指令、法规、政策、标准、指导方针和操作要求，管理和保留系统内的信息以及系统输出的信息。 | [redshift-backup-enabled](https://docs.aws.amazon.com/config/latest/developerguide/redshift-backup-enabled.html) | 为了帮助完成数据备份流程，请确保您的 Amazon Redshift 集群具有自动快照。当某个集群的自动快照处于启用状态时，Redshift 会定期拍摄该集群的快照。默认情况下，Redshift 大约每 8 小时或在每节点数据更改达到 5 GB 时拍摄一次快照，以先到者为准。 | 
| SI-12：信息管理和保留 | 根据适用的法律、行政令、指令、法规、政策、标准、指导方针和操作要求，管理和保留系统内的信息以及系统输出的信息。 | [aurora-resources-protected-by-backup-plan](https://docs.aws.amazon.com/config/latest/developerguide/aurora-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Aurora 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| SI-12：信息管理和保留 | 根据适用的法律、行政令、指令、法规、政策、标准、指导方针和操作要求，管理和保留系统内的信息以及系统输出的信息。 | [backup-plan-min-frequency-and-min-retention-check](https://docs.aws.amazon.com/config/latest/developerguide/backup-plan-min-frequency-and-min-retention-check.html) | 为了帮助完成数据备份流程，请确保为 AWS Backup 计划设置最低频率和保留期。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredFrequencyValue（Config 默认值：1）、requiredRetentionDays（Config 默认值：35）和 requiredFrequencyUnit（Config 默认值：days）参数。实际值应反映贵组织的需求。 | 
| SI-12：信息管理和保留 | 根据适用的法律、行政令、指令、法规、政策、标准、指导方针和操作要求，管理和保留系统内的信息以及系统输出的信息。 | [backup-recovery-point-manual-deletion-disabled](https://docs.aws.amazon.com/config/latest/developerguide/backup-recovery-point-manual-deletion-disabled.html) | 确保您的 AWS Backup 恢复点附加了基于资源的策略，以防止删除恢复点。使用基于资源的策略来防止删除恢复点有助于防止意外或故意删除。 | 
| SI-12：信息管理和保留 | 根据适用的法律、行政令、指令、法规、政策、标准、指导方针和操作要求，管理和保留系统内的信息以及系统输出的信息。 | [backup-recovery-point-minimum-retention-check](https://docs.aws.amazon.com/config/latest/developerguide/backup-recovery-point-minimum-retention-check.html) | 为了帮助完成数据备份流程，请确保您的 AWS Backup 恢复点设置了最短保留期。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredRetentionDays（Config 默认值：35）参数。实际值应反映贵组织的需求。 | 
| SI-12：信息管理和保留 | 根据适用的法律、行政令、指令、法规、政策、标准、指导方针和操作要求，管理和保留系统内的信息以及系统输出的信息。 | [s3-lifecycle-policy-check](https://docs.aws.amazon.com/config/latest/developerguide/s3-lifecycle-policy-check.html) | 确保配置了 Amazon S3 生命周期策略，以帮助定义您希望 Amazon S3 在对象生命周期内采取的操作（例如，将对象过渡到其他存储类、将其存档或在指定时间后删除）。 | 
| SI-12：信息管理和保留 | 根据适用的法律、行政令、指令、法规、政策、标准、指导方针和操作要求，管理和保留系统内的信息以及系统输出的信息。 | [s3-version-lifecycle-policy-check](https://docs.aws.amazon.com/config/latest/developerguide/s3-version-lifecycle-policy-check.html) | 确保配置了 Amazon S3 生命周期策略，以帮助定义您希望 Amazon S3 在对象生命周期内采取的操作（例如，将对象过渡到其他存储类、将其存档或在指定时间后删除）。 | 
| SI-12：信息管理和保留 | 根据适用的法律、行政令、指令、法规、政策、标准、指导方针和操作要求，管理和保留系统内的信息以及系统输出的信息。 | [s3-bucket-versioning-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-versioning-enabled.html) | Amazon Simple Storage Service (Amazon S3) 存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。 | 
| SI-12：信息管理和保留 | 根据适用的法律、行政令、指令、法规、政策、标准、指导方针和操作要求，管理和保留系统内的信息以及系统输出的信息。 | [s3-bucket-default-lock-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-default-lock-enabled.html) | 确保默认情况下 Amazon Simple Storage Service (Amazon S3) 存储桶已启用锁定。由于 S3 存储桶中可能存在敏感的静态数据，因此应强制执行静态对象锁定以帮助保护这些数据。 | 

## 模板
<a name="irs-1075-conformance-pack-sample"></a>

该模板可在 GitHub 上找到：[IRS 1075 操作最佳实践](https://github.com/awslabs/aws-config-rules/blob/master/aws-config-conformance-packs/Operational-Best-Practices-for-IRS-1075.yaml)。