AWS Well-Architected Framework 安全支柱操作最佳实践

合规包提供了一个通用合规框架，旨在使您能够使用托管或自定义 AWS Config 规则和 AWS Config 补救措施来创建安全、运营或成本优化治理检查。作为示例模板，合规包并不是为了完全确保遵守特定的治理或合规标准而设计的。您有责任自行评估自己对服务的使用是否符合适用的法律和监管要求。

下面提供了 Amazon Web Services 的 Well-Architected Framework 安全支柱与 AWS 托管 Config 规则之间的映射示例。每条 Config 规则都适用于特定的 AWS 资源，并与支柱的一个或多个设计原则相关。一个 Well-Architected Framework 类别可以与多个 Config 规则相关联。有关这些映射的更多详细信息和指导，请参阅下表。

控制 ID	控制描述	AWS Config 规则	指南
SEC-1	如何安全地操作工作负载？为了安全地操作您的工作负载，您必须将纲领性最佳实践应用于每个安全领域。将您在组织和工作负载级别的卓越运营中定义的要求和流程应用于所有领域。及时了解 AWS 和行业建议及威胁情报可以帮助您发展威胁模型和控制目标。通过自动化安全流程、测试和验证，您可以扩大安全运营规模。	account-part-of-organizations	在 AWS Organizations 中集中管理 AWS 账户有助于确保账户合规。缺乏集中式账户管理可能会导致账户配置不一致，从而可能泄露资源和敏感数据。
SEC-1	如何安全地操作工作负载？为了安全地操作您的工作负载，您必须将纲领性最佳实践应用于每个安全领域。将您在组织和工作负载级别的卓越运营中定义的要求和流程应用于所有领域。及时了解 AWS 和行业建议及威胁情报可以帮助您发展威胁模型和控制目标。通过自动化安全流程、测试和验证，您可以扩大安全运营规模。	mfa-enabled-for-iam-console-access	通过确保为所有拥有控制台密码的 AWS Identity and Access Management（IAM）用户启用 MFA，来管理对 AWS 云中资源的访问。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。
SEC-1	如何安全地操作工作负载？为了安全地操作您的工作负载，您必须将纲领性最佳实践应用于每个安全领域。将您在组织和工作负载级别的卓越运营中定义的要求和流程应用于所有领域。及时了解 AWS 和行业建议及威胁情报可以帮助您发展威胁模型和控制目标。通过自动化安全流程、测试和验证，您可以扩大安全运营规模。	iam-user-mfa-enabled	启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证（MFA）。MFA 在登录凭证之上添加一层额外的保护。要求用户进行多重身份验证，从而减少账户被盗事件。
SEC-1	如何安全地操作工作负载？为了安全地操作您的工作负载，您必须将纲领性最佳实践应用于每个安全领域。将您在组织和工作负载级别的卓越运营中定义的要求和流程应用于所有领域。及时了解 AWS 和行业建议及威胁情报可以帮助您发展威胁模型和控制目标。通过自动化安全流程、测试和验证，您可以扩大安全运营规模。	iam-root-access-key-check	通过检查根用户的 AWS Identity and Access Management（IAM）角色是否拥有访问密钥，可以控制对系统和资产的访问。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户来帮助纳入最少功能原则。
SEC-1	如何安全地操作工作负载？为了安全地操作您的工作负载，您必须将纲领性最佳实践应用于每个安全领域。将您在组织和工作负载级别的卓越运营中定义的要求和流程应用于所有领域。及时了解 AWS 和行业建议及威胁情报可以帮助您发展威胁模型和控制目标。通过自动化安全流程、测试和验证，您可以扩大安全运营规模。	root-account-hardware-mfa-enabled	通过确保为根用户启用硬件 MFA，来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户进行 MFA，可以减少 AWS 账户被盗的事件。
SEC-1	如何安全地操作工作负载？为了安全地操作您的工作负载，您必须将纲领性最佳实践应用于每个安全领域。将您在组织和工作负载级别的卓越运营中定义的要求和流程应用于所有领域。及时了解 AWS 和行业建议及威胁情报可以帮助您发展威胁模型和控制目标。通过自动化安全流程、测试和验证，您可以扩大安全运营规模。	root-account-mfa-enabled	通过确保为根用户启用 MFA，来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户进行 MFA，可以减少 AWS 账户被盗的事件。
SEC-1	如何安全地操作工作负载？为了安全地操作您的工作负载，您必须将纲领性最佳实践应用于每个安全领域。将您在组织和工作负载级别的卓越运营中定义的要求和流程应用于所有领域。及时了解 AWS 和行业建议及威胁情报可以帮助您发展威胁模型和控制目标。通过自动化安全流程、测试和验证，您可以扩大安全运营规模。	ec2-instance-managed-by-systems-manager	利用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud（Amazon EC2）实例，可以清点组织中的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发布者和版本以及有关您的环境的其他详细信息。
SEC-1	如何安全地操作工作负载？为了安全地操作您的工作负载，您必须将纲领性最佳实践应用于每个安全领域。将您在组织和工作负载级别的卓越运营中定义的要求和流程应用于所有领域。及时了解 AWS 和行业建议及威胁情报可以帮助您发展威胁模型和控制目标。通过自动化安全流程、测试和验证，您可以扩大安全运营规模。	ec2-managedinstance-association-compliance-status-check	使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。AWSSystems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。
SEC-1	如何安全地操作工作负载？为了安全地操作您的工作负载，您必须将纲领性最佳实践应用于每个安全领域。将您在组织和工作负载级别的卓越运营中定义的要求和流程应用于所有领域。及时了解 AWS 和行业建议及威胁情报可以帮助您发展威胁模型和控制目标。通过自动化安全流程、测试和验证，您可以扩大安全运营规模。	ec2-managedinstance-patch-compliance-status-check	启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud（Amazon EC2）漏洞。此规则根据贵组织的政策和程序的要求检查 AWS Systems Manager 中的 Amazon EC2 实例补丁是否合规。
SEC-1	如何安全地操作工作负载？为了安全地操作您的工作负载，您必须将纲领性最佳实践应用于每个安全领域。将您在组织和工作负载级别的卓越运营中定义的要求和流程应用于所有领域。及时了解 AWS 和行业建议及威胁情报可以帮助您发展威胁模型和控制目标。通过自动化安全流程、测试和验证，您可以扩大安全运营规模。	codebuild-project-envvar-awscred-check	确保 AWS Codebuild 项目环境中不存在身份验证凭证 AWS_ACCESS_KEY_ID 和 AWS_SECRET_ACCESS_KEY。不要以明文形式存储这些变量。以明文形式存储这些变量会导致意外的数据泄露和未经授权的访问。
SEC-2	您如何管理人员和机器的身份？在操作安全 AWS 工作负载时，您需要管理两类身份。了解您需要管理和授予访问权限的身份类型有助于确保正确的身份能够在适当的条件下访问正确的资源。人类身份：您的管理员、开发人员、操作员和最终用户需要身份才能访问您的 AWS 环境和应用程序。他们是您组织的成员或与您合作的外部用户，他们通过网络浏览器、客户端应用程序或交互式命令行工具与您的 AWS 资源进行交互。机器身份：您的服务应用程序、操作工具和工作负载需要一个身份才能向 AWS 服务发送请求，例如读取数据。这些身份包括运行在您的 AWS 环境（例如 Amazon EC2 实例或 AWS Lambda 函数）中的计算机。您还可以为需要访问权限的外部各方管理计算机身份。此外，您还可以拥有位于 AWS 以外且需要访问您的 AWS 环境的计算机。	iam-password-policy	身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过 NIST SP 800-63 和针对密码强度的 AWS 基础安全最佳实践标准规定的要求。此规则允许您为 IAM 密码策略选择设置 RequireUppercaseCharacters（AWS 基础安全最佳实践值：true）、RequireLowercaseCharacters（AWS 基础安全最佳实践值：true）、RequireSymbols（AWS 基础安全最佳实践值：true）、RequireNumbers（AWS 基础安全最佳实践值：true）、MinimumPasswordLength（AWS 基础安全最佳实践值：14）、PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）。实际值应反映贵组织的策略。
SEC-2	您如何管理人员和机器的身份？在操作安全 AWS 工作负载时，您需要管理两类身份。了解您需要管理和授予访问权限的身份类型有助于确保正确的身份能够在适当的条件下访问正确的资源。人类身份：您的管理员、开发人员、操作员和最终用户需要身份才能访问您的 AWS 环境和应用程序。他们是您组织的成员或与您合作的外部用户，他们通过网络浏览器、客户端应用程序或交互式命令行工具与您的 AWS 资源进行交互。机器身份：您的服务应用程序、操作工具和工作负载需要一个身份才能向 AWS 服务发送请求，例如读取数据。这些身份包括运行在您的 AWS 环境（例如 Amazon EC2 实例或 AWS Lambda 函数）中的计算机。您还可以为需要访问权限的外部各方管理计算机身份。此外，您还可以拥有位于 AWS 以外且需要访问您的 AWS 环境的计算机。	root-account-hardware-mfa-enabled	通过确保为根用户启用硬件 MFA，来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户进行 MFA，可以减少 AWS 账户被盗的事件。
SEC-2	您如何管理人员和机器的身份？在操作安全 AWS 工作负载时，您需要管理两类身份。了解您需要管理和授予访问权限的身份类型有助于确保正确的身份能够在适当的条件下访问正确的资源。人类身份：您的管理员、开发人员、操作员和最终用户需要身份才能访问您的 AWS 环境和应用程序。他们是您组织的成员或与您合作的外部用户，他们通过网络浏览器、客户端应用程序或交互式命令行工具与您的 AWS 资源进行交互。机器身份：您的服务应用程序、操作工具和工作负载需要一个身份才能向 AWS 服务发送请求，例如读取数据。这些身份包括运行在您的 AWS 环境（例如 Amazon EC2 实例或 AWS Lambda 函数）中的计算机。您还可以为需要访问权限的外部各方管理计算机身份。此外，您还可以拥有位于 AWS 以外且需要访问您的 AWS 环境的计算机。	root-account-mfa-enabled	通过确保为根用户启用 MFA，来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户进行 MFA，可以减少 AWS 账户被盗的事件。
SEC-2	您如何管理人员和机器的身份？在操作安全 AWS 工作负载时，您需要管理两类身份。了解您需要管理和授予访问权限的身份类型有助于确保正确的身份能够在适当的条件下访问正确的资源。人类身份：您的管理员、开发人员、操作员和最终用户需要身份才能访问您的 AWS 环境和应用程序。他们是您组织的成员或与您合作的外部用户，他们通过网络浏览器、客户端应用程序或交互式命令行工具与您的 AWS 资源进行交互。机器身份：您的服务应用程序、操作工具和工作负载需要一个身份才能向 AWS 服务发送请求，例如读取数据。这些身份包括运行在您的 AWS 环境（例如 Amazon EC2 实例或 AWS Lambda 函数）中的计算机。您还可以为需要访问权限的外部各方管理计算机身份。此外，您还可以拥有位于 AWS 以外且需要访问您的 AWS 环境的计算机。	iam-user-mfa-enabled	启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证（MFA）。MFA 在登录凭证之上添加一层额外的保护。要求用户进行多重身份验证，从而减少账户被盗事件。
SEC-2	您如何管理人员和机器的身份？在操作安全 AWS 工作负载时，您需要管理两类身份。了解您需要管理和授予访问权限的身份类型有助于确保正确的身份能够在适当的条件下访问正确的资源。人类身份：您的管理员、开发人员、操作员和最终用户需要身份才能访问您的 AWS 环境和应用程序。他们是您组织的成员或与您合作的外部用户，他们通过网络浏览器、客户端应用程序或交互式命令行工具与您的 AWS 资源进行交互。机器身份：您的服务应用程序、操作工具和工作负载需要一个身份才能向 AWS 服务发送请求，例如读取数据。这些身份包括运行在您的 AWS 环境（例如 Amazon EC2 实例或 AWS Lambda 函数）中的计算机。您还可以为需要访问权限的外部各方管理计算机身份。此外，您还可以拥有位于 AWS 以外且需要访问您的 AWS 环境的计算机。	mfa-enabled-for-iam-console-access	通过确保为所有拥有控制台密码的 AWS Identity and Access Management（IAM）用户启用 MFA，来管理对 AWS 云中资源的访问。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。
SEC-2	您如何管理人员和机器的身份？在操作安全 AWS 工作负载时，您需要管理两类身份。了解您需要管理和授予访问权限的身份类型有助于确保正确的身份能够在适当的条件下访问正确的资源。人类身份：您的管理员、开发人员、操作员和最终用户需要身份才能访问您的 AWS 环境和应用程序。他们是您组织的成员或与您合作的外部用户，他们通过网络浏览器、客户端应用程序或交互式命令行工具与您的 AWS 资源进行交互。机器身份：您的服务应用程序、操作工具和工作负载需要一个身份才能向 AWS 服务发送请求，例如读取数据。这些身份包括运行在您的 AWS 环境（例如 Amazon EC2 实例或 AWS Lambda 函数）中的计算机。您还可以为需要访问权限的外部各方管理计算机身份。此外，您还可以拥有位于 AWS 以外且需要访问您的 AWS 环境的计算机。	ecs-task-definition-user-for-host-mode-check	如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。
SEC-2	您如何管理人员和机器的身份？在操作安全 AWS 工作负载时，您需要管理两类身份。了解您需要管理和授予访问权限的身份类型有助于确保正确的身份能够在适当的条件下访问正确的资源。人类身份：您的管理员、开发人员、操作员和最终用户需要身份才能访问您的 AWS 环境和应用程序。他们是您组织的成员或与您合作的外部用户，他们通过网络浏览器、客户端应用程序或交互式命令行工具与您的 AWS 资源进行交互。机器身份：您的服务应用程序、操作工具和工作负载需要一个身份才能向 AWS 服务发送请求，例如读取数据。这些身份包括运行在您的 AWS 环境（例如 Amazon EC2 实例或 AWS Lambda 函数）中的计算机。您还可以为需要访问权限的外部各方管理计算机身份。此外，您还可以拥有位于 AWS 以外且需要访问您的 AWS 环境的计算机。	iam-group-has-users-check	AWS Identity and Access Management（IAM）可以确保 IAM 组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。
SEC-2	您如何管理人员和机器的身份？在操作安全 AWS 工作负载时，您需要管理两类身份。了解您需要管理和授予访问权限的身份类型有助于确保正确的身份能够在适当的条件下访问正确的资源。人类身份：您的管理员、开发人员、操作员和最终用户需要身份才能访问您的 AWS 环境和应用程序。他们是您组织的成员或与您合作的外部用户，他们通过网络浏览器、客户端应用程序或交互式命令行工具与您的 AWS 资源进行交互。机器身份：您的服务应用程序、操作工具和工作负载需要一个身份才能向 AWS 服务发送请求，例如读取数据。这些身份包括运行在您的 AWS 环境（例如 Amazon EC2 实例或 AWS Lambda 函数）中的计算机。您还可以为需要访问权限的外部各方管理计算机身份。此外，您还可以拥有位于 AWS 以外且需要访问您的 AWS 环境的计算机。	iam-no-inline-policy-check	确保 AWS Identity and Access Management（IAM）用户、IAM 角色或 IAM 组没有控制系统和资产访问的内联策略。AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。
SEC-2	您如何管理人员和机器的身份？在操作安全 AWS 工作负载时，您需要管理两类身份。了解您需要管理和授予访问权限的身份类型有助于确保正确的身份能够在适当的条件下访问正确的资源。人类身份：您的管理员、开发人员、操作员和最终用户需要身份才能访问您的 AWS 环境和应用程序。他们是您组织的成员或与您合作的外部用户，他们通过网络浏览器、客户端应用程序或交互式命令行工具与您的 AWS 资源进行交互。机器身份：您的服务应用程序、操作工具和工作负载需要一个身份才能向 AWS 服务发送请求，例如读取数据。这些身份包括运行在您的 AWS 环境（例如 Amazon EC2 实例或 AWS Lambda 函数）中的计算机。您还可以为需要访问权限的外部各方管理计算机身份。此外，您还可以拥有位于 AWS 以外且需要访问您的 AWS 环境的计算机。	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management（IAM）可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 "Effect": "Allow" with "Action": "" over "Resource": ""。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
SEC-2	您如何管理人员和机器的身份？在操作安全 AWS 工作负载时，您需要管理两类身份。了解您需要管理和授予访问权限的身份类型有助于确保正确的身份能够在适当的条件下访问正确的资源。人类身份：您的管理员、开发人员、操作员和最终用户需要身份才能访问您的 AWS 环境和应用程序。他们是您组织的成员或与您合作的外部用户，他们通过网络浏览器、客户端应用程序或交互式命令行工具与您的 AWS 资源进行交互。机器身份：您的服务应用程序、操作工具和工作负载需要一个身份才能向 AWS 服务发送请求，例如读取数据。这些身份包括运行在您的 AWS 环境（例如 Amazon EC2 实例或 AWS Lambda 函数）中的计算机。您还可以为需要访问权限的外部各方管理计算机身份。此外，您还可以拥有位于 AWS 以外且需要访问您的 AWS 环境的计算机。	iam-policy-no-statements-with-full-access	确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
SEC-2	您如何管理人员和机器的身份？在操作安全 AWS 工作负载时，您需要管理两类身份。了解您需要管理和授予访问权限的身份类型有助于确保正确的身份能够在适当的条件下访问正确的资源。人类身份：您的管理员、开发人员、操作员和最终用户需要身份才能访问您的 AWS 环境和应用程序。他们是您组织的成员或与您合作的外部用户，他们通过网络浏览器、客户端应用程序或交互式命令行工具与您的 AWS 资源进行交互。机器身份：您的服务应用程序、操作工具和工作负载需要一个身份才能向 AWS 服务发送请求，例如读取数据。这些身份包括运行在您的 AWS 环境（例如 Amazon EC2 实例或 AWS Lambda 函数）中的计算机。您还可以为需要访问权限的外部各方管理计算机身份。此外，您还可以拥有位于 AWS 以外且需要访问您的 AWS 环境的计算机。	iam-user-group-membership-check	AWS Identity and Access Management（IAM）可通过确保用户至少属于一个组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
SEC-2	您如何管理人员和机器的身份？在操作安全 AWS 工作负载时，您需要管理两类身份。了解您需要管理和授予访问权限的身份类型有助于确保正确的身份能够在适当的条件下访问正确的资源。人类身份：您的管理员、开发人员、操作员和最终用户需要身份才能访问您的 AWS 环境和应用程序。他们是您组织的成员或与您合作的外部用户，他们通过网络浏览器、客户端应用程序或交互式命令行工具与您的 AWS 资源进行交互。机器身份：您的服务应用程序、操作工具和工作负载需要一个身份才能向 AWS 服务发送请求，例如读取数据。这些身份包括运行在您的 AWS 环境（例如 Amazon EC2 实例或 AWS Lambda 函数）中的计算机。您还可以为需要访问权限的外部各方管理计算机身份。此外，您还可以拥有位于 AWS 以外且需要访问您的 AWS 环境的计算机。	iam-user-unused-credentials-check	AWS Identity and Access Management（IAM）可以通过检查指定时间段内未使用的 IAM 密码和访问密钥，来帮助您获得访问权限和授权。如果发现这些未使用的凭证，则应禁用和/或删除这些凭证，因为这可能违反最低权限原则。此规则要求您为 maxCredentialUsageAge 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。
SEC-2	您如何管理人员和机器的身份？在操作安全 AWS 工作负载时，您需要管理两类身份。了解您需要管理和授予访问权限的身份类型有助于确保正确的身份能够在适当的条件下访问正确的资源。人类身份：您的管理员、开发人员、操作员和最终用户需要身份才能访问您的 AWS 环境和应用程序。他们是您组织的成员或与您合作的外部用户，他们通过网络浏览器、客户端应用程序或交互式命令行工具与您的 AWS 资源进行交互。机器身份：您的服务应用程序、操作工具和工作负载需要一个身份才能向 AWS 服务发送请求，例如读取数据。这些身份包括运行在您的 AWS 环境（例如 Amazon EC2 实例或 AWS Lambda 函数）中的计算机。您还可以为需要访问权限的外部各方管理计算机身份。此外，您还可以拥有位于 AWS 以外且需要访问您的 AWS 环境的计算机。	secretsmanager-rotation-enabled-check	此规则可确保 AWS Secrets Manager 机密已启用轮换。定期轮换机密可以缩短机密的有效期，并有可能减少机密泄露时对业务的影响。
SEC-2	您如何管理人员和机器的身份？在操作安全 AWS 工作负载时，您需要管理两类身份。了解您需要管理和授予访问权限的身份类型有助于确保正确的身份能够在适当的条件下访问正确的资源。人类身份：您的管理员、开发人员、操作员和最终用户需要身份才能访问您的 AWS 环境和应用程序。他们是您组织的成员或与您合作的外部用户，他们通过网络浏览器、客户端应用程序或交互式命令行工具与您的 AWS 资源进行交互。机器身份：您的服务应用程序、操作工具和工作负载需要一个身份才能向 AWS 服务发送请求，例如读取数据。这些身份包括运行在您的 AWS 环境（例如 Amazon EC2 实例或 AWS Lambda 函数）中的计算机。您还可以为需要访问权限的外部各方管理计算机身份。此外，您还可以拥有位于 AWS 以外且需要访问您的 AWS 环境的计算机。	secretsmanager-scheduled-rotation-success-check	此规则可确保 AWS Secrets Manager 机密已根据轮换计划成功轮换。定期轮换机密可以缩短机密的有效期，并有可能减少机密泄露时对业务的影响。
SEC-2	您如何管理人员和机器的身份？在操作安全 AWS 工作负载时，您需要管理两类身份。了解您需要管理和授予访问权限的身份类型有助于确保正确的身份能够在适当的条件下访问正确的资源。人类身份：您的管理员、开发人员、操作员和最终用户需要身份才能访问您的 AWS 环境和应用程序。他们是您组织的成员或与您合作的外部用户，他们通过网络浏览器、客户端应用程序或交互式命令行工具与您的 AWS 资源进行交互。机器身份：您的服务应用程序、操作工具和工作负载需要一个身份才能向 AWS 服务发送请求，例如读取数据。这些身份包括运行在您的 AWS 环境（例如 Amazon EC2 实例或 AWS Lambda 函数）中的计算机。您还可以为需要访问权限的外部各方管理计算机身份。此外，您还可以拥有位于 AWS 以外且需要访问您的 AWS 环境的计算机。	secretsmanager-secret-periodic-rotation	此规则可确保 AWS Secrets Manager 机密已启用定期轮换。定期轮换机密可以缩短机密的有效期，并有可能减少机密泄露时对业务的影响。默认值为 90 天。
SEC-2	您如何管理人员和机器的身份？在操作安全 AWS 工作负载时，您需要管理两类身份。了解您需要管理和授予访问权限的身份类型有助于确保正确的身份能够在适当的条件下访问正确的资源。人类身份：您的管理员、开发人员、操作员和最终用户需要身份才能访问您的 AWS 环境和应用程序。他们是您组织的成员或与您合作的外部用户，他们通过网络浏览器、客户端应用程序或交互式命令行工具与您的 AWS 资源进行交互。机器身份：您的服务应用程序、操作工具和工作负载需要一个身份才能向 AWS 服务发送请求，例如读取数据。这些身份包括运行在您的 AWS 环境（例如 Amazon EC2 实例或 AWS Lambda 函数）中的计算机。您还可以为需要访问权限的外部各方管理计算机身份。此外，您还可以拥有位于 AWS 以外且需要访问您的 AWS 环境的计算机。	secretsmanager-secret-unused	如果 AWS Secrets Manager 中存在未使用的凭证，则应禁用和/或删除凭证，因为这可能违反最低权限原则。此规则允许您为 unusedForDays 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。
SEC-2	您如何管理人员和机器的身份？在操作安全 AWS 工作负载时，您需要管理两类身份。了解您需要管理和授予访问权限的身份类型有助于确保正确的身份能够在适当的条件下访问正确的资源。人类身份：您的管理员、开发人员、操作员和最终用户需要身份才能访问您的 AWS 环境和应用程序。他们是您组织的成员或与您合作的外部用户，他们通过网络浏览器、客户端应用程序或交互式命令行工具与您的 AWS 资源进行交互。机器身份：您的服务应用程序、操作工具和工作负载需要一个身份才能向 AWS 服务发送请求，例如读取数据。这些身份包括运行在您的 AWS 环境（例如 Amazon EC2 实例或 AWS Lambda 函数）中的计算机。您还可以为需要访问权限的外部各方管理计算机身份。此外，您还可以拥有位于 AWS 以外且需要访问您的 AWS 环境的计算机。	secretsmanager-using-cmk	为了帮助保护静态数据，请确保为 AWS Secrets Manager 机密启用 AWS Key Management Service（AWS KMS）。由于 Secrets Manager 机密中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
SEC-2	您如何管理人员和机器的身份？在操作安全 AWS 工作负载时，您需要管理两类身份。了解您需要管理和授予访问权限的身份类型有助于确保正确的身份能够在适当的条件下访问正确的资源。人类身份：您的管理员、开发人员、操作员和最终用户需要身份才能访问您的 AWS 环境和应用程序。他们是您组织的成员或与您合作的外部用户，他们通过网络浏览器、客户端应用程序或交互式命令行工具与您的 AWS 资源进行交互。机器身份：您的服务应用程序、操作工具和工作负载需要一个身份才能向 AWS 服务发送请求，例如读取数据。这些身份包括运行在您的 AWS 环境（例如 Amazon EC2 实例或 AWS Lambda 函数）中的计算机。您还可以为需要访问权限的外部各方管理计算机身份。此外，您还可以拥有位于 AWS 以外且需要访问您的 AWS 环境的计算机。	access-keys-rotated	通过确保按照组织政策轮换 IAM 访问密钥，对授权的设备、用户和流程的凭证进行审核。定期更改访问密钥是一种安全最佳实践。它会缩短访问密钥的有效期，并降低密钥泄露时对业务的影响。此规则需要访问密钥轮换值（配置默认值：90）。实际值应反映贵组织的策略。
SEC-3	如何管理人员和机器的权限？管理员、最终用户或其他组件都需要访问工作负载的每个组件或资源。明确定义什么人或什么内容应该有权访问每个组件，选择适当的身份类型以及身份验证和授权方法。	ec2-imdsv2-check	确保启用实例元数据服务版本 2（IMDSv2）方法，以帮助保护对 Amazon Elastic Compute Cloud（Amazon EC2）实例元数据的访问和控制。IMDSv2 方法使用基于会话的控制。使用 IMDSv2，可以实施控制来限制对实例元数据的更改。
SEC-3	如何管理人员和机器的权限？管理员、最终用户或其他组件都需要访问工作负载的每个组件或资源。明确定义什么人或什么内容应该有权访问每个组件，选择适当的身份类型以及身份验证和授权方法。	ec2-instance-profile-attached	EC2 实例配置文件将 IAM 角色传递给 EC2 实例。将实例配置文件附加到您的实例可以帮助实现最低权限和权限管理。
SEC-3	如何管理人员和机器的权限？管理员、最终用户或其他组件都需要访问工作负载的每个组件或资源。明确定义什么人或什么内容应该有权访问每个组件，选择适当的身份类型以及身份验证和授权方法。	ecs-task-definition-user-for-host-mode-check	如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。
SEC-3	如何管理人员和机器的权限？管理员、最终用户或其他组件都需要访问工作负载的每个组件或资源。明确定义什么人或什么内容应该有权访问每个组件，选择适当的身份类型以及身份验证和授权方法。	ecs-task-definition-nonroot-user	为了帮助实施最低权限原则，请确保指定非根用户来访问您的 Amazon Elastic Container Service（Amazon ECS）任务定义。
SEC-3	如何管理人员和机器的权限？管理员、最终用户或其他组件都需要访问工作负载的每个组件或资源。明确定义什么人或什么内容应该有权访问每个组件，选择适当的身份类型以及身份验证和授权方法。	ecs-containers-nonprivileged	为了帮助实施最低权限原则，Amazon Elastic Container Service（Amazon ECS）任务定义不应启用提升权限。在该参数为 true 时，将为该容器提供提升的主机容器实例权限（类似于根用户）。
SEC-3	如何管理人员和机器的权限？管理员、最终用户或其他组件都需要访问工作负载的每个组件或资源。明确定义什么人或什么内容应该有权访问每个组件，选择适当的身份类型以及身份验证和授权方法。	ecs-containers-readonly-access	启用对 Amazon Elastic Container Service（ECS）容器的只读访问有助于遵守最低权限原则。此选项可以减少攻击载体，因为除非容器实例具有明确的读写权限，否则无法修改其文件系统。
SEC-3	如何管理人员和机器的权限？管理员、最终用户或其他组件都需要访问工作负载的每个组件或资源。明确定义什么人或什么内容应该有权访问每个组件，选择适当的身份类型以及身份验证和授权方法。	efs-access-point-enforce-user-identity	为了帮助实施最低权限原则，请确保为您的 Amazon Elastic File System（Amazon EFS）启用用户强制执行。启用后，Amazon EFS 会将 NFS 客户端的用户和组 ID 替换为接入点上为所有文件系统操作配置的身份，并只向此强制用户身份授予访问权限。
SEC-3	如何管理人员和机器的权限？管理员、最终用户或其他组件都需要访问工作负载的每个组件或资源。明确定义什么人或什么内容应该有权访问每个组件，选择适当的身份类型以及身份验证和授权方法。	emr-kerberos-enabled	通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心（KDC）。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。
SEC-3	如何管理人员和机器的权限？管理员、最终用户或其他组件都需要访问工作负载的每个组件或资源。明确定义什么人或什么内容应该有权访问每个组件，选择适当的身份类型以及身份验证和授权方法。	iam-group-has-users-check	AWS Identity and Access Management（IAM）可以确保 IAM 组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。
SEC-3	如何管理人员和机器的权限？管理员、最终用户或其他组件都需要访问工作负载的每个组件或资源。明确定义什么人或什么内容应该有权访问每个组件，选择适当的身份类型以及身份验证和授权方法。	iam-no-inline-policy-check	确保 AWS Identity and Access Management（IAM）用户、IAM 角色或 IAM 组没有控制系统和资产访问的内联策略。AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。
SEC-3	如何管理人员和机器的权限？管理员、最终用户或其他组件都需要访问工作负载的每个组件或资源。明确定义什么人或什么内容应该有权访问每个组件，选择适当的身份类型以及身份验证和授权方法。	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management（IAM）可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 "Effect": "Allow" with "Action": "" over "Resource": ""。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
SEC-3	如何管理人员和机器的权限？管理员、最终用户或其他组件都需要访问工作负载的每个组件或资源。明确定义什么人或什么内容应该有权访问每个组件，选择适当的身份类型以及身份验证和授权方法。	iam-policy-no-statements-with-full-access	确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
SEC-3	如何管理人员和机器的权限？管理员、最终用户或其他组件都需要访问工作负载的每个组件或资源。明确定义什么人或什么内容应该有权访问每个组件，选择适当的身份类型以及身份验证和授权方法。	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management（IAM）可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对所有 AWS Key Management Service 密钥的阻止操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。该规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms:Decrypt、kms:ReEncryptFrom）。实际值应反映贵组织的策略
SEC-3	如何管理人员和机器的权限？管理员、最终用户或其他组件都需要访问工作负载的每个组件或资源。明确定义什么人或什么内容应该有权访问每个组件，选择适当的身份类型以及身份验证和授权方法。	iam-group-has-users-check	AWS Identity and Access Management（IAM）可以确保 IAM 组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。
SEC-3	如何管理人员和机器的权限？管理员、最终用户或其他组件都需要访问工作负载的每个组件或资源。明确定义什么人或什么内容应该有权访问每个组件，选择适当的身份类型以及身份验证和授权方法。	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management（IAM）可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 "Effect": "Allow" with "Action": "" over "Resource": ""。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
SEC-3	如何管理人员和机器的权限？管理员、最终用户或其他组件都需要访问工作负载的每个组件或资源。明确定义什么人或什么内容应该有权访问每个组件，选择适当的身份类型以及身份验证和授权方法。	iam-root-access-key-check	通过检查根用户的 AWS Identity and Access Management（IAM）角色是否拥有访问密钥，可以控制对系统和资产的访问。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户来帮助纳入最少功能原则。
SEC-3	如何管理人员和机器的权限？管理员、最终用户或其他组件都需要访问工作负载的每个组件或资源。明确定义什么人或什么内容应该有权访问每个组件，选择适当的身份类型以及身份验证和授权方法。	iam-user-group-membership-check	AWS Identity and Access Management（IAM）可通过确保用户至少属于一个组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
SEC-3	如何管理人员和机器的权限？管理员、最终用户或其他组件都需要访问工作负载的每个组件或资源。明确定义什么人或什么内容应该有权访问每个组件，选择适当的身份类型以及身份验证和授权方法。	iam-user-unused-credentials-check	AWS Identity and Access Management（IAM）可以通过检查指定时间段内未使用的 IAM 密码和访问密钥，来帮助您获得访问权限和授权。如果发现这些未使用的凭证，则应禁用和/或删除这些凭证，因为这可能违反最低权限原则。此规则要求您为 maxCredentialUsageAge 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。
SEC-3	如何管理人员和机器的权限？建立通用控制措施，限制对组织中所有身份的访问。例如，您可以限制对特定 AWS 区域的访问，或者阻止操作员删除公共资源，例如用于中央安全团队的 IAM 角色	account-part-of-organizations	在 AWS Organizations 中集中管理 AWS 账户有助于确保账户合规。缺乏集中式账户管理可能会导致账户配置不一致，从而可能泄露资源和敏感数据。
SEC-3	如何管理人员和机器的权限？持续监控突显公开和跨账户访问权限的调查结果。减少公众访问和跨账户访问，只允许需要此类访问的资源进行访问。	dms-replication-not-public	通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。
SEC-3	如何管理人员和机器的权限？持续监控突显公开和跨账户访问权限的调查结果。减少公众访问和跨账户访问，只允许需要此类访问的资源进行访问。	ebs-snapshot-public-restorable-check	通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。
SEC-3	如何管理人员和机器的权限？持续监控突显公开和跨账户访问权限的调查结果。减少公众访问和跨账户访问，只允许需要此类访问的资源进行访问。	ec2-instance-no-public-ip	通过确保 Amazon Elastic Compute Cloud（Amazon EC2）实例无法公开访问来管理对 AWS 云的访问。Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。
SEC-3	如何管理人员和机器的权限？持续监控突显公开和跨账户访问权限的调查结果。减少公众访问和跨账户访问，只允许需要此类访问的资源进行访问。	elasticsearch-in-vpc-only	通过确保 Amazon OpenSearch Service（OpenSearch Service）域位于 Amazon Virtual Private Cloud（Amazon VPC）中，来管理对 AWS 云的访问。Amazon VPC 中的 OpenSearch Service 域可实现 Amazon OpenSearch Service 与 Amazon VPC 中其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。
SEC-3	如何管理人员和机器的权限？持续监控突显公开和跨账户访问权限的调查结果。减少公众访问和跨账户访问，只允许需要此类访问的资源进行访问。	opensearch-in-vpc-only	通过确保 Amazon OpenSearch Service 域位于 Amazon Virtual Private Cloud（Amazon VPC）中，来管理对 AWS 云的访问。Amazon VPC 中的 Amazon OpenSearch Service 域可实现 Amazon OpenSearch Service 与 Amazon VPC 中其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。
SEC-3	如何管理人员和机器的权限？持续监控突显公开和跨账户访问权限的调查结果。减少公众访问和跨账户访问，只允许需要此类访问的资源进行访问。	emr-master-no-public-ip	通过确保 Amazon EMR 集群主节点无法公开访问来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。
SEC-3	如何管理人员和机器的权限？持续监控突显公开和跨账户访问权限的调查结果。减少公众访问和跨账户访问，只允许需要此类访问的资源进行访问。	ec2-instances-in-vpc	在 Amazon Virtual Private Cloud（Amazon VPC）内部署 Amazon Elastic Compute Cloud（Amazon EC2）实例，以实现实例与 Amazon VPC 内其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。
SEC-3	如何管理人员和机器的权限？持续监控突显公开和跨账户访问权限的调查结果。减少公众访问和跨账户访问，只允许需要此类访问的资源进行访问。	lambda-function-public-access-prohibited	通过确保 AWS Lambda 函数无法公开访问，来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。
SEC-3	如何管理人员和机器的权限？持续监控突显公开和跨账户访问权限的调查结果。减少公众访问和跨账户访问，只允许需要此类访问的资源进行访问。	lambda-inside-vpc	在 Amazon Virtual Private Cloud（Amazon VPC）中部署 AWS Lambda 函数，以便在 Amazon VPC 中的函数和其他服务之间进行安全通信。使用此配置时，不需要互联网网关、NAT 设备或 VPN 连接。AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。为了正确管理访问权限，应将 AWS Lambda 函数分配给 VPC。
SEC-3	如何管理人员和机器的权限？持续监控突显公开和跨账户访问权限的调查结果。减少公众访问和跨账户访问，只允许需要此类访问的资源进行访问。	rds-instance-public-access-check	通过确保 Amazon Relational Database Service（Amazon RDS）实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
SEC-3	如何管理人员和机器的权限？持续监控突显公开和跨账户访问权限的调查结果。减少公众访问和跨账户访问，只允许需要此类访问的资源进行访问。	rds-snapshots-public-prohibited	通过确保 Amazon Relational Database Service（Amazon RDS）实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
SEC-3	如何管理人员和机器的权限？持续监控突显公开和跨账户访问权限的调查结果。减少公众访问和跨账户访问，只允许需要此类访问的资源进行访问。	redshift-cluster-public-access-check	通过确保 Amazon Redshift 集群不是公有的，来管理对 AWS 云中资源的访问。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
SEC-3	如何管理人员和机器的权限？持续监控突显公开和跨账户访问权限的调查结果。减少公众访问和跨账户访问，只允许需要此类访问的资源进行访问。	s3-account-level-public-access-blocks-periodic	通过确保 Amazon Simple Storage Service（Amazon S3）存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置 ignorePublicAcls（Config 默认：True）、blockPublicPolicy（Config 默认值：True）、blockPublicAcls（Config 默认值：True）和 restrictPublicBuckets 参数（Config 默认值：True）。实际值应反映贵组织的策略。
SEC-3	如何管理人员和机器的权限？持续监控突显公开和跨账户访问权限的调查结果。减少公众访问和跨账户访问，只允许需要此类访问的资源进行访问。	s3-bucket-level-public-access-prohibited	通过确保 Amazon Simple Storage Service（Amazon S3）存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。
SEC-3	如何管理人员和机器的权限？持续监控突显公开和跨账户访问权限的调查结果。减少公众访问和跨账户访问，只允许需要此类访问的资源进行访问。	s3-bucket-public-read-prohibited	通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service（Amazon S3）存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。
SEC-3	如何管理人员和机器的权限？持续监控突显公开和跨账户访问权限的调查结果。减少公众访问和跨账户访问，只允许需要此类访问的资源进行访问。	s3-bucket-public-write-prohibited	通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service（Amazon S3）存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。
SEC-3	如何管理人员和机器的权限？持续监控突显公开和跨账户访问权限的调查结果。减少公众访问和跨账户访问，只允许需要此类访问的资源进行访问。	sagemaker-notebook-no-direct-internet-access	通过确保 Amazon SageMaker 笔记本不允许直接访问互联网，管理对 AWS 云中资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。
SEC-3	如何管理人员和机器的权限？持续监控突显公开和跨账户访问权限的调查结果。减少公众访问和跨账户访问，只允许需要此类访问的资源进行访问。	secretsmanager-secret-unused	如果 AWS Secrets Manager 中存在未使用的凭证，则应禁用和/或删除凭证，因为这可能违反最低权限原则。此规则允许您为 unusedForDays 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。
SEC-3	如何管理人员和机器的权限？持续监控突显公开和跨账户访问权限的调查结果。减少公众访问和跨账户访问，只允许需要此类访问的资源进行访问。	ssm-document-not-public	确保 AWS Systems Manager（SSM）文档不公开，因为这可能会允许意外访问您的 SSM 文档。公开 SSM 文档可能会公开有关您的账户、资源和内部流程的信息。
SEC-3	如何管理人员和机器的权限？持续监控突显公开和跨账户访问权限的调查结果。减少公众访问和跨账户访问，只允许需要此类访问的资源进行访问。	subnet-auto-assign-public-ip-disabled	通过确保 Amazon Virtual Private Cloud（VPC）子网不会自动分配公有 IP 地址，来管理对 AWS 云的访问。Amazon Elastic Compute Cloud（EC2）实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。
SEC-3	如何管理人员和机器的权限？持续监控突显公开和跨账户访问权限的调查结果。减少公众访问和跨账户访问，只允许需要此类访问的资源进行访问。	autoscaling-launch-config-public-ip-disabled	如果您使用公有 IP 地址配置网络接口，则可以从互联网访问这些网络接口的相关资源。EC2 资源不应可公开访问，因为这可能会允许意外地访问您的应用程序或服务器。
SEC-4	您如何检测和调查安全事件？从日志和指标中捕获和分析事件以获得可见性。对安全事件和潜在威胁采取行动，从而保护您的工作负载。	api-gw-execution-logging-enabled	API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。
SEC-4	您如何检测和调查安全事件？从日志和指标中捕获和分析事件以获得可见性。对安全事件和潜在威胁采取行动，从而保护您的工作负载。	opensearch-audit-logging-enabled	确保在 Amazon OpenSearch Service 域中启用审计日志记录。审计日志记录允许您跟踪 OpenSearch 域上的用户活动，包括成功和失败的身份验证、对 OpenSearch 的请求、索引更改以及传入的搜索查询。
SEC-4	您如何检测和调查安全事件？从日志和指标中捕获和分析事件以获得可见性。对安全事件和潜在威胁采取行动，从而保护您的工作负载。	cloud-trail-cloud-watch-logs-enabled	使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您的 AWS 账户中 API 调用活动的详细信息。
SEC-4	您如何检测和调查安全事件？从日志和指标中捕获和分析事件以获得可见性。对安全事件和潜在威胁采取行动，从而保护您的工作负载。	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service（Amazon S3）数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶中对象的 AWS 账户信息、IP 地址和事件时间。
SEC-4	您如何检测和调查安全事件？从日志和指标中捕获和分析事件以获得可见性。对安全事件和潜在威胁采取行动，从而保护您的工作负载。	cw-loggroup-retention-period-check	确保为日志组保留事件日志数据的最短时间，以帮助进行故障排除和取证调查。缺乏过去的事件日志数据会让重建和识别潜在的恶意事件变得困难。
SEC-4	您如何检测和调查安全事件？从日志和指标中捕获和分析事件以获得可见性。对安全事件和潜在威胁采取行动，从而保护您的工作负载。	elasticsearch-logs-to-cloudwatch	确保 Amazon OpenSearch Service 域已启用错误日志，并将其流式传输到 Amazon CloudWatch Logs 以进行保留和响应。域错误日志可以帮助进行安全和访问审核，还可以帮助诊断可用性问题。
SEC-4	您如何检测和调查安全事件？从日志和指标中捕获和分析事件以获得可见性。对安全事件和潜在威胁采取行动，从而保护您的工作负载。	opensearch-logs-to-cloudwatch	确保 Amazon OpenSearch Service 域已启用错误日志，并将其流式传输到 Amazon CloudWatch Logs 以进行保留和响应。OpenSearch Service 错误日志可以帮助进行安全和访问审核，还可以帮助诊断可用性问题。
SEC-4	您如何检测和调查安全事件？从日志和指标中捕获和分析事件以获得可见性。对安全事件和潜在威胁采取行动，从而保护您的工作负载。	elb-logging-enabled	Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息（例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应）。
SEC-4	您如何检测和调查安全事件？从日志和指标中捕获和分析事件以获得可见性。对安全事件和潜在威胁采取行动，从而保护您的工作负载。	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了、AWS从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外，当 AWS 推出新区域时，CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
SEC-4	您如何检测和调查安全事件？从日志和指标中捕获和分析事件以获得可见性。对安全事件和潜在威胁采取行动，从而保护您的工作负载。	rds-logging-enabled	为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service（Amazon RDS）日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。
SEC-4	您如何检测和调查安全事件？从日志和指标中捕获和分析事件以获得可见性。对安全事件和潜在威胁采取行动，从而保护您的工作负载。	s3-bucket-logging-enabled	Amazon Simple Storage Service（Amazon S3）服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。
SEC-4	您如何检测和调查安全事件？从日志和指标中捕获和分析事件以获得可见性。对安全事件和潜在威胁采取行动，从而保护您的工作负载。	vpc-flow-logs-enabled	VPC 流日志详细记录进出 Amazon Virtual Private Cloud（Amazon VPC）网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。
SEC-4	您如何检测和调查安全事件？从日志和指标中捕获和分析事件以获得可见性。对安全事件和潜在威胁采取行动，从而保护您的工作负载。	wafv2-logging-enabled	为了帮助在您的环境中进行日志记录和监控，请在区域和全局 Web ACL 上启用 AWS WAF（V2）日志记录。AWSWAF 日志记录提供有关 Web ACL 分析的流量的详细信息。日志记录 AWS 接收来自 AWS 资源的请求的时间，有关请求的详细信息，以及每个请求所匹配的规则的操作。
SEC-4	您如何检测和调查安全事件？从日志和指标中捕获和分析事件以获得可见性。对安全事件和潜在威胁采取行动，从而保护您的工作负载。	cloudtrail-security-trail-enabled	此规则通过检查多项设置的启用情况，来确保使用 AWS 推荐的 AWS CloudTrail 安全最佳实践。其中包括使用日志加密、日志验证以及在多个区域启用 AWS CloudTrail。
SEC-4	您如何检测和调查安全事件？从日志和指标中捕获和分析事件以获得可见性。对安全事件和潜在威胁采取行动，从而保护您的工作负载。	redshift-cluster-configuration-check	要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted（Config 默认值：TRUE）和 loggingEnabled（Config 默认值：TRUE）设置值。实际值应反映贵组织的策略。
SEC-4	您如何检测和调查安全事件？从日志和指标中捕获和分析事件以获得可见性。对安全事件和潜在威胁采取行动，从而保护您的工作负载。	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。
SEC-4	您如何检测和调查安全事件？从日志和指标中捕获和分析事件以获得可见性。对安全事件和潜在威胁采取行动，从而保护您的工作负载。	securityhub-enabled	AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。AWSSecurity Hub 可以聚合、组织和优先处理来自多个 AWS 服务的安全告警或结果。其中一些服务包括 Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management（IAM）Access Analyzer、AWS Firewall Manager 和 AWS 合作伙伴解决方案。
SEC-4	您如何检测和调查安全事件？从日志和指标中捕获和分析事件以获得可见性。对安全事件和潜在威胁采取行动，从而保护您的工作负载。	cloudwatch-alarm-action-check	当指标在指定数量的评估期超过阈值时，Amazon CloudWatch 会发出警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired（Config 默认值：True）、insufficientDataActionRequired（Config 默认值：True）、okActionRequired（Config 默认值：False）的值。实际值应反映您的环境的警报操作。
SEC-5	您如何保护您的网络资源？任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。	elasticsearch-in-vpc-only	通过确保 Amazon OpenSearch Service（OpenSearch Service）域位于 Amazon Virtual Private Cloud（Amazon VPC）中，来管理对 AWS 云的访问。Amazon VPC 中的 OpenSearch Service 域可实现 Amazon OpenSearch Service 与 Amazon VPC 中其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。
SEC-5	您如何保护您的网络资源？任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。	opensearch-in-vpc-only	通过确保 Amazon OpenSearch Service 域位于 Amazon Virtual Private Cloud（Amazon VPC）中，来管理对 AWS 云的访问。Amazon VPC 中的 Amazon OpenSearch Service 域可实现 Amazon OpenSearch Service 与 Amazon VPC 中其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。
SEC-5	您如何保护您的网络资源？任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。	ec2-instances-in-vpc	在 Amazon Virtual Private Cloud（Amazon VPC）内部署 Amazon Elastic Compute Cloud（Amazon EC2）实例，以实现实例与 Amazon VPC 内其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。
SEC-5	您如何保护您的网络资源？任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。	lambda-inside-vpc	在 Amazon Virtual Private Cloud（Amazon VPC）中部署 AWS Lambda 函数，以便在 Amazon VPC 中的函数和其他服务之间进行安全通信。使用此配置时，不需要互联网网关、NAT 设备或 VPN 连接。AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。为了正确管理访问权限，应将 AWS Lambda 函数分配给 VPC。
SEC-5	您如何保护您的网络资源？任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。	redshift-enhanced-vpc-routing-enabled	增强型 VPC 路由会强制群集和数据存储库之间的所有 COPY 和 UNLOAD 流量都通过 Amazon VPC。然后，您可以使用安全组和网络访问控制列表等 VPC 功能，来保护网络流量。还可以使用 VPC 流日志来监控网络流量。
SEC-5	您如何保护您的网络资源？任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。	alb-waf-enabled	确保在 Elastic Load Balancers（ELB）上启用 AWS WAF，以帮助保护 Web 应用程序。WAF 有助于保护您的 Web 应用程序或 API 免遭常见 Web 漏洞的侵害。这些 Web 漏洞可能会影响可用性、损害安全性或消耗环境中过多的资源。
SEC-5	您如何保护您的网络资源？任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。	api-gw-associated-with-waf	通过 AWS WAF，您可以配置一组规则（称为 Web 访问控制列表，即 Web ACL），基于可自定义的 Web 安全规则以及您定义的条件，允许、阻止 Web 请求或统计 Web 请求数量。确保您的 Amazon API Gateway 阶段与某个 WAF Web ACL 关联，以保护其免受恶意攻击
SEC-5	您如何保护您的网络资源？任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。	dms-replication-not-public	通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。
SEC-5	您如何保护您的网络资源？任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。	ebs-snapshot-public-restorable-check	通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。
SEC-5	您如何保护您的网络资源？任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。	ec2-instance-multiple-eni-check	此规则检查您的 Amazon Elastic Cloud（Amazon EC2）实例是否有多个 ENI。拥有多个 ENI 可能会导致双宿主实例，即具有多个子网的实例。这可能会增加网络安全的复杂性，并引入意想不到的网络路径和访问。
SEC-5	您如何保护您的网络资源？任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。	ec2-instance-no-public-ip	通过确保 Amazon Elastic Compute Cloud（Amazon EC2）实例无法公开访问来管理对 AWS 云的访问。Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。
SEC-5	您如何保护您的网络资源？任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。	emr-master-no-public-ip	通过确保 Amazon EMR 集群主节点无法公开访问来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。
SEC-5	您如何保护您的网络资源？任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。	lambda-function-public-access-prohibited	通过确保 AWS Lambda 函数无法公开访问，来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。
SEC-5	您如何保护您的网络资源？任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。	no-unrestricted-route-to-igw	确保 Amazon EC2 路由表中没有指向互联网网关的无限制路由。移除或限制 Amazon VPC 内工作负载的互联网访问可以减少环境中的意外访问。
SEC-5	您如何保护您的网络资源？任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。	rds-instance-public-access-check	通过确保 Amazon Relational Database Service（Amazon RDS）实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
SEC-5	您如何保护您的网络资源？任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。	rds-snapshots-public-prohibited	通过确保 Amazon Relational Database Service（Amazon RDS）实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
SEC-5	您如何保护您的网络资源？任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。	redshift-cluster-public-access-check	通过确保 Amazon Redshift 集群不是公有的，来管理对 AWS 云中资源的访问。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
SEC-5	您如何保护您的网络资源？任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。	restricted-ssh	Amazon Elastic Compute Cloud（Amazon EC2）安全组可对 AWS 资源的入口和出口网络流量进行有状态过滤，从而帮助管理网络访问。不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。
SEC-5	您如何保护您的网络资源？任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。	s3-account-level-public-access-blocks-periodic	通过确保 Amazon Simple Storage Service（Amazon S3）存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置 ignorePublicAcls（Config 默认：True）、blockPublicPolicy（Config 默认值：True）、blockPublicAcls（Config 默认值：True）和 restrictPublicBuckets 参数（Config 默认值：True）。实际值应反映贵组织的策略。
SEC-5	您如何保护您的网络资源？任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。	s3-bucket-level-public-access-prohibited	通过确保 Amazon Simple Storage Service（Amazon S3）存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。
SEC-5	您如何保护您的网络资源？任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。	s3-bucket-public-read-prohibited	通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service（Amazon S3）存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。
SEC-5	您如何保护您的网络资源？任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。	s3-bucket-public-write-prohibited	通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service（Amazon S3）存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。
SEC-5	您如何保护您的网络资源？任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。	sagemaker-notebook-no-direct-internet-access	通过确保 Amazon SageMaker 笔记本不允许直接访问互联网，管理对 AWS 云中资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。
SEC-5	您如何保护您的网络资源？任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。	ssm-document-not-public	确保 AWS Systems Manager（SSM）文档不公开，因为这可能会允许意外访问您的 SSM 文档。公开 SSM 文档可能会公开有关您的账户、资源和内部流程的信息。
SEC-5	您如何保护您的网络资源？任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。	subnet-auto-assign-public-ip-disabled	通过确保 Amazon Virtual Private Cloud（VPC）子网不会自动分配公有 IP 地址，来管理对 AWS 云的访问。Amazon Elastic Compute Cloud（EC2）实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。
SEC-5	您如何保护您的网络资源？任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。	vpc-default-security-group-closed	Amazon Elastic Compute Cloud（Amazon EC2）安全组可以通过对 AWS 资源的入口和出口网络流量进行有状态筛选，从而帮助管理网络访问。限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。
SEC-5	您如何保护您的网络资源？任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。	autoscaling-launch-config-public-ip-disabled	如果您使用公有 IP 地址配置网络接口，则可以从互联网访问这些网络接口的相关资源。EC2 资源不应可公开访问，因为这可能会允许意外地访问您的应用程序或服务器。
SEC-5	您如何保护您的网络资源？任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。	restricted-common-ports	通过确保在 Amazon Elastic Compute Cloud（Amazon EC2）安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。
SEC-5	您如何保护您的网络资源？任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。	vpc-sg-open-only-to-authorized-ports	通过确保在 Amazon Elastic Compute Cloud（Amazon EC2）安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网（0.0.0.0/0）访问安全组内的资源，可以控制对内部系统的远程访问。
SEC-5	您如何保护自己的计算资源？工作负载中的计算资源需要多层防御，以帮助抵御外部和内部威胁。计算资源包括 EC2 实例、容器、AWS Lambda 函数、数据库服务、物联网设备等。	waf-regional-rule-not-empty	确保您的 AWS WAF 有一条不为空的规则。不含条件的规则可能会导致意外行为。
SEC-5	您如何保护自己的计算资源？工作负载中的计算资源需要多层防御，以帮助抵御外部和内部威胁。计算资源包括 EC2 实例、容器、AWS Lambda 函数、数据库服务、物联网设备等。	waf-regional-rulegroup-not-empty	确保您的 AWS WAF 有一个不为空的规则组。空规则组可能会导致意外行为。
SEC-5	您如何保护自己的计算资源？工作负载中的计算资源需要多层防御，以帮助抵御外部和内部威胁。计算资源包括 EC2 实例、容器、AWS Lambda 函数、数据库服务、物联网设备等。	waf-regional-webacl-not-empty	连接到 AWS WAF 的 Web ACL 可以包含一组用于检查和控制 Web 请求的规则和规则组。如果 Web ACL 为空，Web 流量将直接通过，而不会被 WAF 检测或处理。
SEC-5	您如何保护自己的计算资源？工作负载中的计算资源需要多层防御，以帮助抵御外部和内部威胁。计算资源包括 EC2 实例、容器、AWS Lambda 函数、数据库服务、物联网设备等。	vpc-network-acl-unused-check	此规则可确保 Amazon Virtual Private Cloud（VPC）网络访问控制列表正在使用中。监控未使用的网络访问控制列表有助于准确清点和管理您的环境。
SEC-5	您如何保护您的网络资源？任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。
SEC-5	您如何保护您的网络资源？任何具有某种形式网络连接（无论是互联网还是私有网络）的工作负载都需要多层防御，来帮助抵御基于外部和内部网络的威胁。	vpc-flow-logs-enabled	VPC 流日志详细记录进出 Amazon Virtual Private Cloud（Amazon VPC）网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。
SEC-6	您如何保护自己的计算资源？工作负载中的计算资源需要多层防御，以帮助抵御外部和内部威胁。计算资源包括 EC2 实例、容器、AWS Lambda 函数、数据库服务、物联网设备等。	rds-automatic-minor-version-upgrade-enabled	启用 Amazon Relational Database Service（RDS）实例的自动次要版本升级，以确保安装关系数据库管理系统（RDBMS）的最新次要版本更新，其中可能包括安全补丁和错误修复。
SEC-6	您如何保护自己的计算资源？工作负载中的计算资源需要多层防御，以帮助抵御外部和内部威胁。计算资源包括 EC2 实例、容器、AWS Lambda 函数、数据库服务、物联网设备等。	cloud-trail-log-file-validation-enabled	利用 AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 交付后是否被修改、删除或更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这样，要修改、删除或伪造 CloudTrail 日志文件而不被检测到在计算上是不可行的。
SEC-6	您如何保护自己的计算资源？工作负载中的计算资源需要多层防御，以帮助抵御外部和内部威胁。计算资源包括 EC2 实例、容器、AWS Lambda 函数、数据库服务、物联网设备等。	cloudtrail-security-trail-enabled	此规则通过检查多项设置的启用情况，来确保使用 AWS 推荐的 AWS CloudTrail 安全最佳实践。其中包括使用日志加密、日志验证以及在多个区域启用 AWS CloudTrail。
SEC-6	您如何保护自己的计算资源？工作负载中的计算资源需要多层防御，以帮助抵御外部和内部威胁。计算资源包括 EC2 实例、容器、AWS Lambda 函数、数据库服务、物联网设备等。	elastic-beanstalk-managed-updates-enabled	为 Amazon Elastic Beanstalk 环境启用受管平台更新可确保安装环境的最新可用平台修复、更新和功能。及时安装补丁是保护系统的最佳实践。
SEC-6	您如何保护自己的计算资源？工作负载中的计算资源需要多层防御，以帮助抵御外部和内部威胁。计算资源包括 EC2 实例、容器、AWS Lambda 函数、数据库服务、物联网设备等。	lambda-inside-vpc	在 Amazon Virtual Private Cloud（Amazon VPC）中部署 AWS Lambda 函数，以便在 Amazon VPC 中的函数和其他服务之间进行安全通信。使用此配置时，不需要互联网网关、NAT 设备或 VPN 连接。AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。为了正确管理访问权限，应将 AWS Lambda 函数分配给 VPC。
SEC-6	您如何保护自己的计算资源？工作负载中的计算资源需要多层防御，以帮助抵御外部和内部威胁。计算资源包括 EC2 实例、容器、AWS Lambda 函数、数据库服务、物联网设备等。	ecr-private-image-scanning-enabled	Amazon Elastic Container Repository（ECR）映像扫描可帮助识别容器映像中的软件漏洞。在 ECR 存储库中启用映像扫描功能可为所存储映像的完整性和安全性增加一层验证。
SEC-6	您如何保护自己的计算资源？工作负载中的计算资源需要多层防御，以帮助抵御外部和内部威胁。计算资源包括 EC2 实例、容器、AWS Lambda 函数、数据库服务、物联网设备等。	ecs-container-insights-enabled	监控是保持 Amazon Elastic Container Service（ECS）和您的其他 AWS 解决方案的可靠性、可用性和性能的重要方面。Container Insights 还提供诊断信息（如容器重新启动失败），以帮助您查明问题并快速解决问题。
SEC-6	您如何保护自己的计算资源？工作负载中的计算资源需要多层防御，以帮助抵御外部和内部威胁。计算资源包括 EC2 实例、容器、AWS Lambda 函数、数据库服务、物联网设备等。	ecs-fargate-latest-platform-version	AWS Fargate 任务的安全更新和补丁将自动部署。如果安全问题影响 AWS Fargate 平台版本，AWS 将为平台版本提供补丁。为了帮助管理运行 AWS Fargate 的 Amazon Elastic Container Service（ECS）任务的补丁，请将您的服务独立任务更新为使用最新平台版本。
SEC-6	您如何保护自己的计算资源？工作负载中的计算资源需要多层防御，以帮助抵御外部和内部威胁。计算资源包括 EC2 实例、容器、AWS Lambda 函数、数据库服务、物联网设备等。	redshift-cluster-maintenancesettings-check	此规则可确保 Amazon Redshift 集群具有适合贵组织的首选设置。具体而言，就是确保它们有首选的数据库维护窗口和自动快照保留期。此规则要求您设置 allowVersionUpgrade。默认值为 true。它还允许您选择设置 preferredMaintenanceWindow（默认值为 sat:16:00-sat:16:30）和 automatedSnapshotRetentionPeriod（默认值为 1）。实际值应反映贵组织的策略。
SEC-6	您如何保护自己的计算资源？工作负载中的计算资源需要多层防御，以帮助抵御外部和内部威胁。计算资源包括 EC2 实例、容器、AWS Lambda 函数、数据库服务、物联网设备等。	ec2-imdsv2-check	确保启用实例元数据服务版本 2（IMDSv2）方法，以帮助保护对 Amazon Elastic Compute Cloud（Amazon EC2）实例元数据的访问和控制。IMDSv2 方法使用基于会话的控制。使用 IMDSv2，可以实施控制来限制对实例元数据的更改。
SEC-6	您如何保护自己的计算资源？工作负载中的计算资源需要多层防御，以帮助抵御外部和内部威胁。计算资源包括 EC2 实例、容器、AWS Lambda 函数、数据库服务、物联网设备等。	ec2-instance-multiple-eni-check	此规则检查您的 Amazon Elastic Cloud（Amazon EC2）实例是否有多个 ENI。拥有多个 ENI 可能会导致双宿主实例，即具有多个子网的实例。这可能会增加网络安全的复杂性，并引入意想不到的网络路径和访问。
SEC-6	您如何保护自己的计算资源？工作负载中的计算资源需要多层防御，以帮助抵御外部和内部威胁。计算资源包括 EC2 实例、容器、AWS Lambda 函数、数据库服务、物联网设备等。	ec2-instance-no-public-ip	通过确保 Amazon Elastic Compute Cloud（Amazon EC2）实例无法公开访问来管理对 AWS 云的访问。Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。
SEC-6	您如何保护自己的计算资源？工作负载中的计算资源需要多层防御，以帮助抵御外部和内部威胁。计算资源包括 EC2 实例、容器、AWS Lambda 函数、数据库服务、物联网设备等。	ec2-instance-profile-attached	EC2 实例配置文件将 IAM 角色传递给 EC2 实例。将实例配置文件附加到您的实例可以帮助实现最低权限和权限管理。
SEC-6	您如何保护自己的计算资源？工作负载中的计算资源需要多层防御，以帮助抵御外部和内部威胁。计算资源包括 EC2 实例、容器、AWS Lambda 函数、数据库服务、物联网设备等。	ec2-instance-managed-by-systems-manager	利用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud（Amazon EC2）实例，可以清点组织中的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发布者和版本以及有关您的环境的其他详细信息。
SEC-6	您如何保护自己的计算资源？工作负载中的计算资源需要多层防御，以帮助抵御外部和内部威胁。计算资源包括 EC2 实例、容器、AWS Lambda 函数、数据库服务、物联网设备等。	ec2-security-group-attached-to-eni-periodic	此规则可确保将安全组附加到 Amazon Elastic Compute Cloud（Amazon EC2）实例或 ENI。此规则有助于监控清单中未使用的安全组并管理您的环境。
SEC-6	您如何保护自己的计算资源？工作负载中的计算资源需要多层防御，以帮助抵御外部和内部威胁。计算资源包括 EC2 实例、容器、AWS Lambda 函数、数据库服务、物联网设备等。	ec2-stopped-instance	根据组织的标准，启用此规则可检查 Amazon EC2 实例停止运行的天数是否超过允许的天数，从而帮助进行 Amazon Elastic Compute Cloud（Amazon EC2）实例的基线配置。
SEC-6	您如何保护自己的计算资源？工作负载中的计算资源需要多层防御，以帮助抵御外部和内部威胁。计算资源包括 EC2 实例、容器、AWS Lambda 函数、数据库服务、物联网设备等。	ec2-volume-inuse-check	此规则可确保附加到 Amazon Elastic Compute Cloud（Amazon EC2）实例上的 Amazon Elastic Block Store 卷在实例终止时标记为删除。如果在附加到 Amazon EBS 卷的实例终止时，卷没有被删除，则可能违反最少功能的概念。
SEC-6	您如何保护自己的计算资源？工作负载中的计算资源需要多层防御，以帮助抵御外部和内部威胁。计算资源包括 EC2 实例、容器、AWS Lambda 函数、数据库服务、物联网设备等。	ec2-managedinstance-association-compliance-status-check	使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。AWSSystems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。
SEC-6	您如何保护自己的计算资源？工作负载中的计算资源需要多层防御，以帮助抵御外部和内部威胁。计算资源包括 EC2 实例、容器、AWS Lambda 函数、数据库服务、物联网设备等。	ec2-managedinstance-patch-compliance-status-check	启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud（Amazon EC2）漏洞。此规则根据贵组织的政策和程序的要求检查 AWS Systems Manager 中的 Amazon EC2 实例补丁是否合规。
SEC-8	您如何保护静态数据？通过实施多种控制措施来保护静态数据，以降低未经授权的访问或处理不当的风险。	api-gw-cache-enabled-and-encrypted	为了帮助保护静态数据，请确保为 API Gateway 阶段的缓存启用加密。由于可能会为 API 方法捕获敏感数据，因此应启用静态加密以帮助保护这些数据。
SEC-8	您如何保护静态数据？通过实施多种控制措施来保护静态数据，以降低未经授权的访问或处理不当的风险。	backup-recovery-point-encrypted	确保您的 AWS Backup 恢复点已启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
SEC-8	您如何保护静态数据？通过实施多种控制措施来保护静态数据，以降低未经授权的访问或处理不当的风险。	codebuild-project-artifact-encryption	为了帮助保护静态敏感数据，请确保为 AWS CodeBuild 构件启用加密。
SEC-8	您如何保护静态数据？通过实施多种控制措施来保护静态数据，以降低未经授权的访问或处理不当的风险。	codebuild-project-s3-logs-encrypted	为了帮助保护静态敏感数据，请确保对存储在 Amazon S3 中的 AWS CodeBuild 日志启用加密。
SEC-8	您如何保护静态数据？通过实施多种控制措施来保护静态数据，以降低未经授权的访问或处理不当的风险。	kms-cmk-not-scheduled-for-deletion	为了帮助保护静态数据，请确保没有在 AWS Key Management Service（AWS KMS）中计划删除必要的客户主密钥（CMK）。由于有时需要删除密钥，因此此规则可以帮助检查所有计划删除的密钥，以防密钥被无意中安排删除。
SEC-8	您如何保护静态数据？通过实施多种控制措施来保护静态数据，以降低未经授权的访问或处理不当的风险。	cloud-trail-encryption-enabled	由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 AWS CloudTrail 跟踪启用了加密。
SEC-8	您如何保护静态数据？通过实施多种控制措施来保护静态数据，以降低未经授权的访问或处理不当的风险。	cloudwatch-log-group-encrypted	为了帮助保护静态敏感数据，请确保您的 Amazon CloudWatch 日志组启用了加密。
SEC-8	您如何保护静态数据？通过实施多种控制措施来保护静态数据，以降低未经授权的访问或处理不当的风险。	dynamodb-table-encrypted-kms	确保为 Amazon DynamoDB 表启用加密。由于这些表中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。默认情况下，DynamoDB 表使用 AWS 拥有的客户主密钥（CMK）进行加密。
SEC-8	您如何保护静态数据？通过实施多种控制措施来保护静态数据，以降低未经授权的访问或处理不当的风险。	ec2-ebs-encryption-by-default	为了帮助保护静态数据，请确保为您的 Amazon Elastic Block Store（Amazon EBS）卷启用加密。由于这些卷中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
SEC-8	您如何保护静态数据？通过实施多种控制措施来保护静态数据，以降低未经授权的访问或处理不当的风险。	efs-encrypted-check	由于可能存在敏感数据，并且为了帮助保护静态数据，请确保为您的 Amazon Elastic File System（EFS）启用加密。
SEC-8	您如何保护静态数据？通过实施多种控制措施来保护静态数据，以降低未经授权的访问或处理不当的风险。	elasticsearch-encrypted-at-rest	由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon OpenSearch Service（OpenSearch Service）域启用了加密。
SEC-8	您如何保护静态数据？通过实施多种控制措施来保护静态数据，以降低未经授权的访问或处理不当的风险。	opensearch-encrypted-at-rest	由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon OpenSearch Service 域启用了加密。
SEC-8	您如何保护静态数据？通过实施多种控制措施来保护静态数据，以降低未经授权的访问或处理不当的风险。	encrypted-volumes	由于可能存在敏感数据，并且为了帮助保护静态数据，请确保您的 Amazon Elastic Block Store（Amazon EBS）卷已启用加密。
SEC-8	您如何保护静态数据？通过实施多种控制措施来保护静态数据，以降低未经授权的访问或处理不当的风险。	rds-snapshot-encrypted	确保为 Amazon Relational Database Service（Amazon RDS）快照启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
SEC-8	您如何保护静态数据？通过实施多种控制措施来保护静态数据，以降低未经授权的访问或处理不当的风险。	rds-storage-encrypted	为了帮助保护静态数据，请确保您的 Amazon Relational Database Service（Amazon RDS）实例启用了加密。由于 Amazon RDS 实例中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
SEC-8	您如何保护静态数据？通过实施多种控制措施来保护静态数据，以降低未经授权的访问或处理不当的风险。	redshift-cluster-configuration-check	要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted（Config 默认值：TRUE）和 loggingEnabled（Config 默认值：TRUE）设置值。实际值应反映贵组织的策略。
SEC-8	您如何保护静态数据？通过实施多种控制措施来保护静态数据，以降低未经授权的访问或处理不当的风险。	redshift-cluster-kms-enabled	为了帮助保护静态数据，请确保您的 Amazon Redshift 集群启用了使用 AWS Key Management Service（AWS KMS）的加密。由于 Redshift 集群中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
SEC-8	您如何保护静态数据？通过实施多种控制措施来保护静态数据，以降低未经授权的访问或处理不当的风险。	s3-bucket-server-side-encryption-enabled	为了帮助保护静态数据，请确保您的 Amazon Simple Storage Service（Amazon S3）存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用加密以帮助保护这些数据。
SEC-8	您如何保护静态数据？通过实施多种控制措施来保护静态数据，以降低未经授权的访问或处理不当的风险。	s3-default-encryption-kms	确保您的 Amazon Simple Storage Service（Amazon S3）存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
SEC-8	您如何保护静态数据？通过实施多种控制措施来保护静态数据，以降低未经授权的访问或处理不当的风险。	sagemaker-endpoint-configuration-kms-key-configured	为了帮助保护静态数据，请确保您的 SageMaker 终端节点启用了使用 AWS Key Management Service（AWS KMS）的加密。由于 SageMaker 端点中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
SEC-8	您如何保护静态数据？通过实施多种控制措施来保护静态数据，以降低未经授权的访问或处理不当的风险。	sagemaker-notebook-instance-kms-key-configured	为了帮助保护静态数据，请确保您的 SageMaker 笔记本启用了使用 AWS Key Management Service（AWS KMS）的加密。由于 SageMaker 笔记本中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
SEC-8	您如何保护静态数据？通过实施多种控制措施来保护静态数据，以降低未经授权的访问或处理不当的风险。	secretsmanager-using-cmk	为了帮助保护静态数据，请确保为 AWS Secrets Manager 机密启用 AWS Key Management Service（AWS KMS）。由于 Secrets Manager 机密中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
SEC-8	您如何保护静态数据？通过实施多种控制措施来保护静态数据，以降低未经授权的访问或处理不当的风险。	sns-encrypted-kms	为了帮助保护静态数据，请确保您的 Amazon Simple Notification Service（Amazon SNS）主题需要使用 AWS Key Management Service（AWS KMS）进行加密。由于已发布的消息中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
SEC-8	您如何保护静态数据？通过实施多种控制措施来保护静态数据，以降低未经授权的访问或处理不当的风险。	s3-bucket-versioning-enabled	Amazon Simple Storage Service（Amazon S3）存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。
SEC-8	您如何保护静态数据？通过实施多种控制措施来保护静态数据，以降低未经授权的访问或处理不当的风险。	account-part-of-organizations	在 AWS Organizations 中集中管理 AWS 账户有助于确保账户合规。缺乏集中式账户管理可能会导致账户配置不一致，从而可能泄露资源和敏感数据。
SEC-8	您如何保护静态数据？通过实施多种控制措施来保护静态数据，以降低未经授权的访问或处理不当的风险。	s3-account-level-public-access-blocks-periodic	通过确保 Amazon Simple Storage Service（Amazon S3）存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置 ignorePublicAcls（Config 默认：True）、blockPublicPolicy（Config 默认值：True）、blockPublicAcls（Config 默认值：True）和 restrictPublicBuckets 参数（Config 默认值：True）。实际值应反映贵组织的策略。
SEC-8	您如何保护静态数据？通过实施多种控制措施来保护静态数据，以降低未经授权的访问或处理不当的风险。	s3-bucket-level-public-access-prohibited	通过确保 Amazon Simple Storage Service（Amazon S3）存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。
SEC-8	您如何保护静态数据？通过实施多种控制措施来保护静态数据，以降低未经授权的访问或处理不当的风险。	s3-bucket-public-read-prohibited	通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service（Amazon S3）存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。
SEC-8	您如何保护静态数据？通过实施多种控制措施来保护静态数据，以降低未经授权的访问或处理不当的风险。	s3-bucket-public-write-prohibited	通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service（Amazon S3）存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。
SEC-9	您如何保护传输中数据？通过实施多种控制措施来保护传输中数据，以降低未经授权的访问或丢失的风险。	acm-certificate-expiration-check	通过确保 X509 证书由 AWS ACM 颁发，确保网络完整性得到保护。这些证书必须有效且未过期。此规则要求为 daysToExpiration 设置一个值（AWS 基础安全最佳实践值：90）。实际值应反映贵组织的策略。
SEC-9	您如何保护传输中数据？通过实施多种控制措施来保护传输中数据，以降低未经授权的访问或丢失的风险。	elbv2-acm-certificate-required	由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certificate Manager 通过 AWS 服务和内部资源管理、预置和部署公有和私有 SSL/TLS 证书。
SEC-9	您如何保护传输中数据？通过实施多种控制措施来保护传输中数据，以降低未经授权的访问或丢失的风险。	elb-acm-certificate-required	由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certificate Manager 通过 AWS 服务和内部资源管理、预置和部署公有和私有 SSL/TLS 证书。
SEC-9	您如何保护传输中数据？通过实施多种控制措施来保护传输中数据，以降低未经授权的访问或丢失的风险。	alb-http-drop-invalid-header-enabled	确保您的 Elastic Load Balancers（ELB）已配置为丢弃 http 标头。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
SEC-9	您如何保护传输中数据？通过实施多种控制措施来保护传输中数据，以降低未经授权的访问或丢失的风险。	alb-http-to-https-redirection-check	为帮助保护传输中的数据，请确保应用负载均衡器自动将未加密的 HTTP 请求重定向到 HTTPS。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
SEC-9	您如何保护传输中数据？通过实施多种控制措施来保护传输中数据，以降低未经授权的访问或丢失的风险。	api-gw-ssl-enabled	确保 Amazon API Gateway REST API 阶段配置了 SSL 证书，以允许后端系统验证请求来自 API Gateway。
SEC-9	您如何保护传输中数据？通过实施多种控制措施来保护传输中数据，以降低未经授权的访问或丢失的风险。	elasticsearch-node-to-node-encryption-check	确保 Amazon OpenSearch Service 启用了节点到节点加密。利用节点到节点加密，将能够为 Amazon Virtual Private Cloud（Amazon VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
SEC-9	您如何保护传输中数据？通过实施多种控制措施来保护传输中数据，以降低未经授权的访问或丢失的风险。	opensearch-node-to-node-encryption-check	确保 Amazon OpenSearch Service 启用了节点到节点加密。利用节点到节点加密，将能够为 Amazon Virtual Private Cloud（Amazon VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
SEC-9	您如何保护传输中数据？通过实施多种控制措施来保护传输中数据，以降低未经授权的访问或丢失的风险。	opensearch-https-required	由于可能存在敏感数据，并且为了帮助保护传输中数据，应确保为与您的 Amazon OpenSearch Service 域的连接启用 HTTPS。
SEC-9	您如何保护传输中数据？通过实施多种控制措施来保护传输中数据，以降低未经授权的访问或丢失的风险。	redshift-require-tls-ssl	确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
SEC-9	您如何保护传输中数据？通过实施多种控制措施来保护传输中数据，以降低未经授权的访问或丢失的风险。	s3-bucket-ssl-requests-only	为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service（Amazon S3）存储桶需要请求使用安全套接字层（SSL）。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
SEC-9	您如何保护传输中数据？通过实施多种控制措施来保护传输中数据，以降低未经授权的访问或丢失的风险。	elb-tls-https-listeners-only	确保您的弹性负载均衡器（ELB）配置了 SSL 或 HTTPS 侦听器。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
SEC-9	您如何保护传输中数据？通过实施多种控制措施来保护传输中数据，以降低未经授权的访问或丢失的风险。	vpc-flow-logs-enabled	VPC 流日志详细记录进出 Amazon Virtual Private Cloud（Amazon VPC）网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。
SEC-9	您如何保护传输中数据？通过实施多种控制措施来保护传输中数据，以降低未经授权的访问或丢失的风险。	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。

模板

该模板可在 GitHub 上找到：AWS Well-Architected 安全支柱操作最佳实践。

Javascript 在您的浏览器中被禁用或不可用。

要使用 Amazon Web Services 文档，必须启用 Javascript。请参阅浏览器的帮助页面以了解相关说明。

文档惯例

AWS Well-Architected Framework 可靠性支柱操作最佳实践

BCP 和 DR 操作最佳实践