本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# Security Hub CSPM 中的 PCI DSS
<a name="pci-standard"></a>

支付卡行业数据安全标准（PCI DSS）是一个第三方合规框架，它提供了一套安全处理信用卡和借记卡信息的规则和指南。PCI 安全标准委员会（SSC）负责创建并更新此框架。

AWS Security Hub CSPM 提供了 PCI DSS 标准，可以帮助您保持对该第三方框架的合规性。您可以使用此标准来发现处理持卡人数据的 AWS 资源中的安全漏洞。建议在有资源存储、处理或传输持卡人数据或敏感的身份验证数据的 AWS 账户 中启用此标准。PCI SSC 的评测验证此标准。

Security Hub CSPM 同时支持 PCI DSS v3.2.1 和 PCI DSS v4.0.1。建议使用 v4.0.1 以了解最新的安全最佳实践。您可以同时启用两个版本的标准。有关启用标准的信息，请参阅[启用安全标准](enable-standards.md)。如果您当前使用的是 v3.2.1 版本，但只想使用 v4.0.1 版本，请先启用较新的版本，然后再禁用较旧的版本。这可以防止您的安全检查出现漏洞。如果您使用与 Security Hub CSPM 集成， AWS Organizations 并希望在多个账户中批量启用 v4.0.1，我们建议您使用[集中配置](central-configuration-intro.md)来实现此目的。

以下部分指定了哪些控件适用于 PCI DSS v3.2.1 和 PCI DSS v4.0.1。

## 适用于 PCI DSS v3.2.1 的控件
<a name="pci-controls"></a>

以下列表指定了哪些 Security Hub CSPM 控件适用于 PCI DSS v3.2.1。要查看控件的详细信息，请选择该控件。

 [[AutoScaling.1] 与负载均衡器关联的 Auto Scaling 组应使用 ELB 运行状况检查](autoscaling-controls.md#autoscaling-1) 

 [[CloudTrail.2] CloudTrail 应该启用静态加密](cloudtrail-controls.md#cloudtrail-2) 

 [[CloudTrail.3] 应至少启用一条 CloudTrail 跟踪](cloudtrail-controls.md#cloudtrail-3) 

 [[CloudTrail.4] 应启用 CloudTrail 日志文件验证](cloudtrail-controls.md#cloudtrail-4) 

 [[CloudTrail.5] 应将 CloudTrail 跟踪与 Amazon CloudWatch 日志集成](cloudtrail-controls.md#cloudtrail-5) 

 [[CloudWatch.1] “root” 用户应有日志指标筛选器和警报](cloudwatch-controls.md#cloudwatch-1) 

 [[CodeBuild.1] CodeBuild Bitbucket 源存储库 URLs 不应包含敏感凭证](codebuild-controls.md#codebuild-1) 

 [[CodeBuild.2] CodeBuild 项目环境变量不应包含明文凭证](codebuild-controls.md#codebuild-2) 

 [AWS Config 应启用 [Config.1] 并使用服务相关角色进行资源记录](config-controls.md#config-1) 

 [[DMS.1] Database Migration Service 复制实例不应公开](dms-controls.md#dms-1) 

 [[EC2.1] Amazon EBS 快照不应公开恢复](ec2-controls.md#ec2-1) 

 [[EC2.2] VPC 默认安全组不应允许入站或出站流量](ec2-controls.md#ec2-2) 

 [[EC2.6] 应全部启用 VPC 流量记录 VPCs](ec2-controls.md#ec2-6) 

 [[EC2.12] EIPs 应移除未使用的亚马逊 EC2](ec2-controls.md#ec2-12) 

 [[EC2.13] 安全组不应允许从 0.0.0.0/0 或 ::/0 到端口 22 的入口流量](ec2-controls.md#ec2-13) 

 [[ELB.1] 应用程序负载均衡器应配置为将所有 HTTP 请求重定向到 HTTPS](elb-controls.md#elb-1) 

 [[ES.1] Elasticsearch 域应启用静态加密](es-controls.md#es-1) 

 [[ES.2] Elasticsearch 域名不可供公共访问](es-controls.md#es-2) 

 [[GuardDuty.1] GuardDuty 应该启用](guardduty-controls.md#guardduty-1) 

 [[IAM.1] IAM policy 不应允许完整的“\$1”管理权限](iam-controls.md#iam-1) 

 [[IAM.2] IAM 用户不应附加 IAM policy](iam-controls.md#iam-2) 

 [[IAM.4] 不应存在 IAM 根用户访问密钥](iam-controls.md#iam-4) 

 [[IAM.6] 应该为根用户启用硬件 MFA](iam-controls.md#iam-6) 

 [[IAM.8] 应移除未使用的 IAM 用户凭证](iam-controls.md#iam-8) 

 [[IAM.9] 应为根用户启用 MFA](iam-controls.md#iam-9) 

 [[IAM.10] IAM 用户的密码策略应具有很强的配置](iam-controls.md#iam-10) 

 [[IAM.19] 应为所有 IAM 用户启用 MFA](iam-controls.md#iam-19) 

 [[KMS.4] 应启用 AWS KMS 密钥轮换](kms-controls.md#kms-4) 

 [[Lambda.1] Lambda 函数策略应禁止公共访问](lambda-controls.md#lambda-1) 

 [[Lambda.3] Lambda 函数应位于 VPC 中](lambda-controls.md#lambda-3) 

 [[Opensearch.1] OpenSearch 域名应启用静态加密](opensearch-controls.md#opensearch-1) 

 [[Opensearch.2] OpenSearch 域名不应向公众开放](opensearch-controls.md#opensearch-2) 

 [[RDS.1] RDS 快照应为私有](rds-controls.md#rds-1) 

 [[RDS.2] RDS 数据库实例应禁止公共访问，具体取决于配置 PubliclyAccessible](rds-controls.md#rds-2) 

 [[Redshift.1] Amazon Redshift 集群应禁止公共访问](redshift-controls.md#redshift-1) 

 [[S3.1] S3 通用存储桶应启用屏蔽公共访问权限设置](s3-controls.md#s3-1) 

 [[S3.2] S3 通用存储桶应阻止公共读取访问权限](s3-controls.md#s3-2) 

 [[S3.3] S3 通用存储桶应阻止公共写入访问权限](s3-controls.md#s3-3) 

 [[S3.5] S3 通用存储桶应需要请求才能使用 SSL](s3-controls.md#s3-5) 

 [[S3.7] S3 通用存储桶应使用跨区域复制](s3-controls.md#s3-7) 

 [[SageMaker.1] Amazon SageMaker 笔记本实例不应直接访问互联网](sagemaker-controls.md#sagemaker-1) 

 [[SSM.1] Amazon EC2 实例应由以下人员管理 AWS Systems Manager](ssm-controls.md#ssm-1) 

 [[SSM.2] 由 Systems Manager 管理的 Amazon EC2 实例在安装补丁后应具有 COMPLIANT 的补丁合规性状态](ssm-controls.md#ssm-2) 

 [[SSM.3] 由 Systems Manager 管理的 Amazon EC2 实例的关联合规状态应为 COMPLIANT](ssm-controls.md#ssm-3) 

## 适用于 PCI DSS v4.0.1 的控件
<a name="pci4-controls"></a>

以下列表指定了哪些 Security Hub CSPM 控件适用于 PCI DSS v4.0.1。要查看控件的详细信息，请选择该控件。

[[ACM.1] 导入的证书和 ACM 颁发的证书应在指定的时间段后续订](acm-controls.md#acm-1)

[[ACM.2] 由 ACM 托管的 RSA 证书应使用至少 2,048 位的密钥长度](acm-controls.md#acm-2)

[[APIGateway.9] 应为 API Gateway V2 阶段配置访问日志](apigateway-controls.md#apigateway-9)

[[AppSync.2] AWS AppSync 应该启用字段级日志记录](appsync-controls.md#appsync-2)

[[AutoScaling.3] Auto Scaling 组启动配置应将 EC2 实例配置为需要实例元数据服务版本 2 (IMDSv2)](autoscaling-controls.md#autoscaling-3)

[[Autoscaling.5] 使用 Auto Scaling 组启动配置启动的 EC2 亚马逊实例不应具有公有 IP 地址](autoscaling-controls.md#autoscaling-5)

[[CloudFront.1] CloudFront 发行版应配置默认根对象](cloudfront-controls.md#cloudfront-1)

[[CloudFront.10] CloudFront 分发版不应在边缘站点和自定义源站之间使用已弃用的 SSL 协议](cloudfront-controls.md#cloudfront-10)

[[CloudFront.12] CloudFront 发行版不应指向不存在的 S3 来源](cloudfront-controls.md#cloudfront-12)

[[CloudFront.3] CloudFront 发行版在传输过程中应要求加密](cloudfront-controls.md#cloudfront-3)

[[CloudFront.5] CloudFront 发行版应启用日志记录](cloudfront-controls.md#cloudfront-5)

[[CloudFront.6] CloudFront 发行版应启用 WAF](cloudfront-controls.md#cloudfront-6)

[[CloudFront.9] CloudFront 发行版应加密发往自定义来源的流量](cloudfront-controls.md#cloudfront-9)

[[CloudTrail.2] CloudTrail 应该启用静态加密](cloudtrail-controls.md#cloudtrail-2)

[[CloudTrail.3] 应至少启用一条 CloudTrail 跟踪](cloudtrail-controls.md#cloudtrail-3)

[[CloudTrail.4] 应启用 CloudTrail 日志文件验证](cloudtrail-controls.md#cloudtrail-4)

[[CloudTrail.6] 确保用于存储 CloudTrail 日志的 S3 存储桶不可公开访问](cloudtrail-controls.md#cloudtrail-6)

[[CloudTrail.7] 确保在 S3 存储桶上启用 S CloudTrail 3 存储桶访问日志记录](cloudtrail-controls.md#cloudtrail-7)

[[CodeBuild.1] CodeBuild Bitbucket 源存储库 URLs 不应包含敏感凭证](codebuild-controls.md#codebuild-1)

[[CodeBuild.2] CodeBuild 项目环境变量不应包含明文凭证](codebuild-controls.md#codebuild-2)

[[CodeBuild.3] 应 CodeBuild 对 S3 日志进行加密](codebuild-controls.md#codebuild-3)

[[DMS.1] Database Migration Service 复制实例不应公开](dms-controls.md#dms-1)

[[DMS.10] Neptune 数据库的 DMS 端点应启用 IAM 授权](dms-controls.md#dms-10)

[[DMS.11] MongoDB 的 DMS 端点应启用身份验证机制](dms-controls.md#dms-11)

[[DMS.12] Redis OSS 的 DMS 端点应启用 TLS](dms-controls.md#dms-12)

[[DMS.6] DMS 复制实例应启用自动次要版本升级](dms-controls.md#dms-6)

[[DMS.7] 目标数据库的 DMS 复制任务应启用日志记录](dms-controls.md#dms-7)

[[DMS.8] 源数据库的 DMS 复制任务应启用日志记录](dms-controls.md#dms-8)

[[DMS.9] DMS 端点应使用 SSL](dms-controls.md#dms-9)

[[DocumentDB.2] Amazon DocumentDB 集群应有足够的备份保留期](documentdb-controls.md#documentdb-2)

[[DocumentDB.3] Amazon DocumentDB 手动集群快照不应公开](documentdb-controls.md#documentdb-3)

[[documentDB.4] Amazon DocumentDB 集群应将审计日志发布到日志 CloudWatch](documentdb-controls.md#documentdb-4)

[[DynamoDB.7] DynamoDB Accelerator 集群应在传输过程中进行加密](dynamodb-controls.md#dynamodb-7)

[[EC2.13] 安全组不应允许从 0.0.0.0/0 或 ::/0 到端口 22 的入口流量](ec2-controls.md#ec2-13)

[[EC2.14] 安全组不应允许从 0.0.0.0/0 或 ::/0 到端口 3389 的入口流量](ec2-controls.md#ec2-14)

[[EC2.15] Amazon EC2 子网不应自动分配公有 IP 地址](ec2-controls.md#ec2-15)

[[EC2.16] 应删除未使用的网络访问控制列表](ec2-controls.md#ec2-16)

[[EC2.170] EC2 启动模板应使用实例元数据服务版本 2 () IMDSv2](ec2-controls.md#ec2-170)

[[EC2.171] EC2 VPN 连接应启用日志记录](ec2-controls.md#ec2-171)

[[EC2.21] 网络 ACLs 不应允许从 0.0.0.0/0 进入端口 22 或端口 3389](ec2-controls.md#ec2-21)

[[EC2.25] Amazon EC2 启动模板不应将公共分配 IPs 给网络接口](ec2-controls.md#ec2-25)

[[EC2.51] EC2 Client VPN 端点应启用客户端连接日志记录](ec2-controls.md#ec2-51)

[[EC2.53] EC2 安全组不应允许从 0.0.0.0/0 进入远程服务器管理端口](ec2-controls.md#ec2-53)

[[EC2.54] EC2 安全组不应允许从 ::/0 进入远程服务器管理端口](ec2-controls.md#ec2-54)

[[EC2.8] EC2 实例应使用实例元数据服务版本 2 () IMDSv2](ec2-controls.md#ec2-8)

[[ECR.1] ECR 私有存储库应配置图像扫描](ecr-controls.md#ecr-1)

[[ECS.10] ECS Fargate 服务应在最新的 Fargate 平台版本上运行](ecs-controls.md#ecs-10)

[[ECS.16] ECS 任务集不应自动分配公有 IP 地址](ecs-controls.md#ecs-16)

[[ECS.2] ECS 服务不应自动分配公有 IP 地址](ecs-controls.md#ecs-2)

[[ECS.8] 密钥不应作为容器环境变量传递](ecs-controls.md#ecs-8)

[[EFS.4] EFS 接入点应强制使用用户身份](efs-controls.md#efs-4)

[[EKS.1] EKS 集群端点不应公开访问](eks-controls.md#eks-1)

[[EKS.2] EKS 集群应在支持的 Kubernetes 版本上运行](eks-controls.md#eks-2)

[[EKS.3] EKS 集群应使用加密的 Kubernetes 密钥](eks-controls.md#eks-3)

[[EKS.8] EKS 集群应启用审核日志记录](eks-controls.md#eks-8)

[[ElastiCache.2] ElastiCache 集群应启用自动次要版本升级](elasticache-controls.md#elasticache-2)

[[ElastiCache.5] ElastiCache 复制组在传输过程中应加密](elasticache-controls.md#elasticache-5)

[[ElastiCache.6] ElastiCache （Redis OSS）早期版本的复制组应启用 Redis OSS 身份验证](elasticache-controls.md#elasticache-6)

[[ElasticBeanstalk.2] 应启用 Elastic Beanstalk 托管平台更新](elasticbeanstalk-controls.md#elasticbeanstalk-2)

[[ElasticBeanstalk.3] Elastic Beanstalk 应该将日志流式传输到 CloudWatch](elasticbeanstalk-controls.md#elasticbeanstalk-3)

[[ELB.12] 应用程序负载均衡器应配置为防御性或最严格的异步缓解模式](elb-controls.md#elb-12)

[[ELB.14] 经典负载均衡器应配置为防御性或最严格的异步缓解模式](elb-controls.md#elb-14)

[[ELB.3] 应将经典负载均衡器侦听器配置为 HTTPS 或 TLS 终止](elb-controls.md#elb-3)

[[ELB.4] 应将应用程序负载均衡器配置为丢弃无效的 http 标头](elb-controls.md#elb-4)

[[ELB.8] 带有 SSL 侦听器的经典负载均衡器应使用持续时间较长的预定义安全策略 AWS Config](elb-controls.md#elb-8)

[[EMR.1] Amazon EMR 集群主节点不应有公有 IP 地址](emr-controls.md#emr-1)

[[EMR.2] 应启用 Amazon EMR 屏蔽公共访问权限设置](emr-controls.md#emr-2)

[[ES.2] Elasticsearch 域名不可供公共访问](es-controls.md#es-2)

[[ES.3] Elasticsearch 域应加密节点之间发送的数据](es-controls.md#es-3)

[[ES.5] Elasticsearch 域名应该启用审核日志](es-controls.md#es-5)

[[ES.8] 与 Elasticsearch 域的连接应使用最新的 TLS 安全策略进行加密](es-controls.md#es-8)

[[EventBridge.3] EventBridge 自定义事件总线应附加基于资源的策略](eventbridge-controls.md#eventbridge-3)

[[GuardDuty.1] GuardDuty 应该启用](guardduty-controls.md#guardduty-1)

[[GuardDuty.10] 应启用 GuardDuty S3 保护](guardduty-controls.md#guardduty-10)

[[GuardDuty.6] 应启用 Lamb GuardDuty da 保护](guardduty-controls.md#guardduty-6)

[[GuardDuty.7] 应启用 GuardDuty EKS 运行时监控](guardduty-controls.md#guardduty-7)

[[GuardDuty.9] 应启用 GuardDuty RDS 保护](guardduty-controls.md#guardduty-9)

[[IAM.3] IAM 用户访问密钥应每 90 天或更短时间轮换一次](iam-controls.md#iam-3)

[[IAM.5] 应为拥有控制台密码的所有 IAM 用户启用 MFA](iam-controls.md#iam-5)

[[IAM.6] 应该为根用户启用硬件 MFA](iam-controls.md#iam-6)

[[IAM.7] IAM 用户的密码策略应具有可靠的配置](iam-controls.md#iam-7)

[[IAM.8] 应移除未使用的 IAM 用户凭证](iam-controls.md#iam-8)

[[IAM.9] 应为根用户启用 MFA](iam-controls.md#iam-9)

[[IAM.11] 确保 IAM 密码策略要求包含至少一个大写字母](iam-controls.md#iam-11)

[[IAM.12] 确保 IAM 密码策略要求包含至少一个小写字母](iam-controls.md#iam-12)

[[IAM.14] 确保 IAM 密码策略要求包含至少一个数字](iam-controls.md#iam-14)

[[IAM.16] 确保 IAM 密码策略阻止重复使用密码](iam-controls.md#iam-16)

[[IAM.17] 确保 IAM 密码策略使密码在 90 天或更短时间内失效](iam-controls.md#iam-17)

[[IAM.18] 确保已创建支持角色来管理事件 AWS 支持](iam-controls.md#iam-18)

[[IAM.19] 应为所有 IAM 用户启用 MFA](iam-controls.md#iam-19)

[[Inspector.1] 应启用 Amazon Inspector EC2 扫描](inspector-controls.md#inspector-1)

[[Inspector.2] 应启用 Amazon Inspector ECR 扫描](inspector-controls.md#inspector-2)

[[Inspector.3] 应启用 Amazon Inspector Lambda 代码扫描](inspector-controls.md#inspector-3)

[[Inspector.4] 应启用 Amazon Inspector Lambda 标准扫描](inspector-controls.md#inspector-4)

[[KMS.4] 应启用 AWS KMS 密钥轮换](kms-controls.md#kms-4)

[[Lambda.1] Lambda 函数策略应禁止公共访问](lambda-controls.md#lambda-1)

[[Lambda.2] Lambda 函数应使用受支持的运行时系统](lambda-controls.md#lambda-2)

[[MQ.2] ActiveMQ 经纪人应将审计日志流式传输到 CloudWatch](mq-controls.md#mq-2)

[[MQ.3] Amazon MQ 代理应启用次要版本自动升级](mq-controls.md#mq-3)

[[MSK.1] MSK 集群应在代理节点之间传输时进行加密](msk-controls.md#msk-1)

[[MSK.3] MSK Connect 连接器应在传输过程中进行加密](msk-controls.md#msk-3)

[[Neptune.2] Neptune 数据库集群应将审计日志发布到日志 CloudWatch](neptune-controls.md#neptune-2)

[[Neptune.3] Neptune 数据库集群快照不应公开](neptune-controls.md#neptune-3)

[[Opensearch.10] OpenSearch 域名应安装最新的软件更新](opensearch-controls.md#opensearch-10)

[[Opensearch.5] OpenSearch 域应启用审核日志](opensearch-controls.md#opensearch-5)

[[RDS.13] 应启用 RDS 自动次要版本升级](rds-controls.md#rds-13)

[[RDS.2] RDS 数据库实例应禁止公共访问，具体取决于配置 PubliclyAccessible](rds-controls.md#rds-2)

[[RDS.20] 应为关键数据库实例事件配置现有 RDS 事件通知订阅](rds-controls.md#rds-20)

[[RDS.21] 应为关键数据库参数组事件配置 RDS 事件通知订阅](rds-controls.md#rds-21)

[[RDS.22] 应为关键数据库安全组事件配置 RDS 事件通知订阅](rds-controls.md#rds-22)

[[RDS.24] RDS 数据库集群应使用自定义管理员用户名](rds-controls.md#rds-24)

[[RDS.25] RDS 数据库实例应使用自定义管理员用户名](rds-controls.md#rds-25)

[[RDS.34] Aurora MySQL 数据库集群应将审计日志发布到日志 CloudWatch](rds-controls.md#rds-34)

[[RDS.35] RDS 数据库集群应启用自动次要版本升级](rds-controls.md#rds-35)

[[RDS.36] 适用于 PostgreSQL 数据库实例的 RDS 应将日志发布到日志 CloudWatch](rds-controls.md#rds-36)

[[RDS.37] Aurora PostgreSQL 数据库集群应将日志发布到日志 CloudWatch](rds-controls.md#rds-37)

[[RDS.9] RDS 数据库实例应将日志发布到日志 CloudWatch](rds-controls.md#rds-9)

[[Redshift.1] Amazon Redshift 集群应禁止公共访问](redshift-controls.md#redshift-1)

[[Redshift.15] Redshift 安全组应仅允许从受限来源进入集群端口](redshift-controls.md#redshift-15)

[[Redshift.2] 与 Amazon Redshift 集群的连接应在传输过程中进行加密](redshift-controls.md#redshift-2)

[[Redshift.4] Amazon Redshift 集群应启用审核日志记录](redshift-controls.md#redshift-4)

[[Route53.2] Route 53 公有托管区域应记录 DNS 查询](route53-controls.md#route53-2)

[[S3.1] S3 通用存储桶应启用屏蔽公共访问权限设置](s3-controls.md#s3-1)

[[S3.15] S3 通用存储桶应启用对象锁定](s3-controls.md#s3-15)

[[S3.17] S3 通用存储桶应使用静态加密 AWS KMS keys](s3-controls.md#s3-17)

[[S3.19] S3 接入点已启用屏蔽公共访问权限设置](s3-controls.md#s3-19)

[[S3.22] S3 通用存储桶应记录对象级写入事件](s3-controls.md#s3-22)

[[S3.23] S3 通用存储桶应记录对象级读取事件](s3-controls.md#s3-23)

[[S3.24] S3 多区域接入点应启用屏蔽公共访问权限设置](s3-controls.md#s3-24)

[[S3.5] S3 通用存储桶应需要请求才能使用 SSL](s3-controls.md#s3-5)

[[S3.8] S3 通用存储桶应屏蔽公共访问权限](s3-controls.md#s3-8)

[[S3.9] S3 通用存储桶应启用服务器访问日志记录](s3-controls.md#s3-9)

[[SageMaker.1] Amazon SageMaker 笔记本实例不应直接访问互联网](sagemaker-controls.md#sagemaker-1)

[[SecretsManager.1] Secrets Manager 密钥应启用自动轮换](secretsmanager-controls.md#secretsmanager-1)

[[SecretsManager.2] 配置了自动轮换功能的 Secrets Manager 密钥应成功轮换](secretsmanager-controls.md#secretsmanager-2)

[[SecretsManager.4] Secrets Manager 密钥应在指定的天数内轮换](secretsmanager-controls.md#secretsmanager-4)

[[SSM.2] 由 Systems Manager 管理的 Amazon EC2 实例在安装补丁后应具有 COMPLIANT 的补丁合规性状态](ssm-controls.md#ssm-2)

[[SSM.3] 由 Systems Manager 管理的 Amazon EC2 实例的关联合规状态应为 COMPLIANT](ssm-controls.md#ssm-3)

[[StepFunctions.1] Step Functions 状态机应该开启日志功能](stepfunctions-controls.md#stepfunctions-1)

[[Transfer.2] Transfer Family 服务器不应使用 FTP 协议进行端点连接](transfer-controls.md#transfer-2)

[[WAF.1] 应启用 AWS WAF 经典全局 Web ACL 日志记录](waf-controls.md#waf-1)

[[WAF.11] 应启 AWS WAF 用 Web ACL 日志记录](waf-controls.md#waf-11)