本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

# Security Hub CSPM 中的 CIS AWS Foundations 基準
<a name="cis-aws-foundations-benchmark"></a>

Center for Internet Security (CIS) AWS Foundations Benchmark 可做為一組安全組態最佳實務 AWS。這些業界認可的最佳實務可為您提供清晰的step-by-step實作和評估程序。從作業系統到雲端服務和網路裝置，此基準中的控制項可協助您保護組織使用的特定系統。

AWS Security Hub CSPM 支援 CIS AWS Foundations Benchmark 5.0.0、3.0.0、1.4.0 和 1.2.0 版。此頁面列出每個版本支援的安全性控制項。它也提供 版本的比較。

## CIS AWS Foundations Benchmark 5.0.0 版
<a name="cis5v0-standard"></a>

Security Hub CSPM 支援 CIS AWS Foundations Benchmark 的 5.0.0 版 (5.0.0 版）。Security Hub CSPM 已滿足 CIS 安全軟體認證的要求，並已獲得下列 CIS 基準的 CIS 安全軟體認證：
+ CIS AWS Foundations Benchmark 的 CIS 基準，第 5.0.0 版，第 1 級
+ CIS AWS Foundations Benchmark 的 CIS 基準指標，第 5.0.0 版，第 2 級

### 適用於 CIS AWS Foundations Benchmark 5.0.0 版的控制項
<a name="cis5v0-controls"></a>

[【Account.1】 應針對 提供安全性聯絡資訊 AWS 帳戶](account-controls.md#account-1)

[【CloudTrail.1] CloudTrail 應該啟用並設定至少一個包含讀取和寫入管理事件的多區域追蹤](cloudtrail-controls.md#cloudtrail-1)

[[CloudTrail.2] CloudTrail 應啟用靜態加密](cloudtrail-controls.md#cloudtrail-2)

[【CloudTrail.4] 應啟用 CloudTrail 日誌檔案驗證](cloudtrail-controls.md#cloudtrail-4)

[【CloudTrail.7] 確定 CloudTrail S3 儲存貯體上已啟用 S3 儲存貯體存取記錄](cloudtrail-controls.md#cloudtrail-7)

[【Config.1】 AWS Config 應啟用並使用服務連結角色進行資源記錄](config-controls.md#config-1)

[【EC2.2】 VPC 預設安全群組不應允許傳入或傳出流量](ec2-controls.md#ec2-2)

[【EC2.6】 應在所有 VPC 中啟用 VPCs 流程記錄](ec2-controls.md#ec2-6)

[【EC2.7】 應啟用 EBS 預設加密](ec2-controls.md#ec2-7)

[【EC2.8】 EC2 執行個體應使用執行個體中繼資料服務第 2 版 (IMDSv2)](ec2-controls.md#ec2-8)

[【EC2.21】 網路 ACLs 不應允許從 0.0.0.0/0 傳入連接埠 22 或連接埠 3389](ec2-controls.md#ec2-21)

[【EC2.53】 EC2 安全群組不應允許從 0.0.0.0/0 傳入遠端伺服器管理連接埠](ec2-controls.md#ec2-53)

[【EC2.54】 EC2 安全群組不應允許從 ：：/0 傳入遠端伺服器管理連接埠](ec2-controls.md#ec2-54)

[【EFS.1】 彈性檔案系統應設定為使用 加密靜態檔案資料 AWS KMS](efs-controls.md#efs-1)

[【EFS.8】 EFS 檔案系統應靜態加密](efs-controls.md#efs-8)

[【IAM.2】 IAM 使用者不應連接 IAM 政策](iam-controls.md#iam-2)

[【IAM.3】 IAM 使用者的存取金鑰應每 90 天或更短時間輪換一次](iam-controls.md#iam-3)

[【IAM.4】 IAM 根使用者存取金鑰不應存在](iam-controls.md#iam-4)

[[IAM.5] 應為所有擁有主控台密碼的 IAM 使用者啟用 MFA](iam-controls.md#iam-5)

[[IAM.6] 應為根使用者啟用硬體 MFA](iam-controls.md#iam-6)

[【IAM.9】 應為根使用者啟用 MFA](iam-controls.md#iam-9)

[【IAM.15】 確保 IAM 密碼政策要求密碼長度下限為 14 或更高](iam-controls.md#iam-15)

[【IAM.16】 確保 IAM 密碼政策防止密碼重複使用](iam-controls.md#iam-16)

[【IAM.18】 確保已建立支援角色來使用 管理事件 AWS 支援](iam-controls.md#iam-18)

[【IAM.22】 應移除 45 天內未使用的 IAM 使用者登入資料](iam-controls.md#iam-22)

[【IAM.26】 應移除在 IAM 中管理的過期 SSL/TLS 憑證](iam-controls.md#iam-26)

[【IAM.27】 IAM 身分不應連接 AWSCloudShellFullAccess 政策](iam-controls.md#iam-27)

[【IAM.28】 應啟用 IAM Access Analyzer 外部存取分析器](iam-controls.md#iam-28)

[【KMS.4】 應啟用 AWS KMS 金鑰輪換](kms-controls.md#kms-4)

[【RDS.2】 RDS 資料庫執行個體應禁止公開存取，由 PubliclyAccessible 組態決定](rds-controls.md#rds-2)

[[RDS.3] RDS 資料庫執行個體應啟用靜態加密](rds-controls.md#rds-3)

[【RDS.5】 RDS 資料庫執行個體應該設定多個可用區域](rds-controls.md#rds-5)

[【RDS.13】 應啟用 RDS 自動次要版本升級](rds-controls.md#rds-13)

[【RDS.15】 應為多個可用區域設定 RDS 資料庫叢集](rds-controls.md#rds-15)

[【S3.1】 S3 一般用途儲存貯體應啟用封鎖公開存取設定](s3-controls.md#s3-1)

[【S3.5】 S3 一般用途儲存貯體應要求請求使用 SSL](s3-controls.md#s3-5)

[【S3.8】 S3 一般用途儲存貯體應封鎖公開存取](s3-controls.md#s3-8)

[【S3.20】 S3 一般用途儲存貯體應啟用 MFA 刪除](s3-controls.md#s3-20)

[【S3.22】 S3 一般用途儲存貯體應記錄物件層級寫入事件](s3-controls.md#s3-22)

[【S3.23】 S3 一般用途儲存貯體應記錄物件層級讀取事件](s3-controls.md#s3-23)

## CIS AWS Foundations Benchmark 3.0.0 版
<a name="cis3v0-standard"></a>

Security Hub CSPM 支援 CIS AWS Foundations Benchmark 的 3.0.0 版 (v3.0.0)。Security Hub CSPM 已滿足 CIS 安全軟體認證的要求，並已獲得下列 CIS 基準的 CIS 安全軟體認證：
+ CIS AWS Foundations Benchmark 的 CIS Benchmark，第 3.0.0 版，第 1 級
+ CIS AWS Foundations Benchmark 的 CIS 基準指標，第 3.0.0 版，第 2 級

### 適用於 CIS AWS Foundations Benchmark 3.0.0 版的控制項
<a name="cis3v0-controls"></a>

[【Account.1】 應針對 提供安全性聯絡資訊 AWS 帳戶](account-controls.md#account-1)

[【CloudTrail.1] CloudTrail 應該啟用並設定至少一個包含讀取和寫入管理事件的多區域追蹤](cloudtrail-controls.md#cloudtrail-1)

[[CloudTrail.2] CloudTrail 應啟用靜態加密](cloudtrail-controls.md#cloudtrail-2)

[【CloudTrail.4] 應啟用 CloudTrail 日誌檔案驗證](cloudtrail-controls.md#cloudtrail-4)

[【CloudTrail.7] 確定 CloudTrail S3 儲存貯體上已啟用 S3 儲存貯體存取記錄](cloudtrail-controls.md#cloudtrail-7)

[【Config.1】 AWS Config 應啟用並使用服務連結角色進行資源記錄](config-controls.md#config-1)

[【EC2.2】 VPC 預設安全群組不應允許傳入或傳出流量](ec2-controls.md#ec2-2)

[【EC2.6】 應在所有 VPC 中啟用 VPCs 流程記錄](ec2-controls.md#ec2-6)

[【EC2.7】 應啟用 EBS 預設加密](ec2-controls.md#ec2-7)

[【EC2.8】 EC2 執行個體應使用執行個體中繼資料服務第 2 版 (IMDSv2)](ec2-controls.md#ec2-8)

[【EC2.21】 網路 ACLs 不應允許從 0.0.0.0/0 傳入連接埠 22 或連接埠 3389](ec2-controls.md#ec2-21)

[【EC2.53】 EC2 安全群組不應允許從 0.0.0.0/0 傳入遠端伺服器管理連接埠](ec2-controls.md#ec2-53)

[【EC2.54】 EC2 安全群組不應允許從 ：：/0 傳入遠端伺服器管理連接埠](ec2-controls.md#ec2-54)

[【EFS.1】 彈性檔案系統應設定為使用 加密靜態檔案資料 AWS KMS](efs-controls.md#efs-1)

[【IAM.2】 IAM 使用者不應連接 IAM 政策](iam-controls.md#iam-2)

[【IAM.3】 IAM 使用者的存取金鑰應每 90 天或更短時間輪換一次](iam-controls.md#iam-3)

[【IAM.4】 IAM 根使用者存取金鑰不應存在](iam-controls.md#iam-4)

[[IAM.5] 應為所有擁有主控台密碼的 IAM 使用者啟用 MFA](iam-controls.md#iam-5)

[[IAM.6] 應為根使用者啟用硬體 MFA](iam-controls.md#iam-6)

[【IAM.9】 應為根使用者啟用 MFA](iam-controls.md#iam-9)

[【IAM.15】 確保 IAM 密碼政策要求密碼長度下限為 14 或更高](iam-controls.md#iam-15)

[【IAM.16】 確保 IAM 密碼政策防止密碼重複使用](iam-controls.md#iam-16)

[【IAM.18】 確保已建立支援角色來使用 管理事件 AWS 支援](iam-controls.md#iam-18)

[【IAM.22】 應移除 45 天內未使用的 IAM 使用者登入資料](iam-controls.md#iam-22)

[【IAM.26】 應移除在 IAM 中管理的過期 SSL/TLS 憑證](iam-controls.md#iam-26)

[【IAM.27】 IAM 身分不應連接 AWSCloudShellFullAccess 政策](iam-controls.md#iam-27)

[【IAM.28】 應啟用 IAM Access Analyzer 外部存取分析器](iam-controls.md#iam-28)

[【KMS.4】 應啟用 AWS KMS 金鑰輪換](kms-controls.md#kms-4)

[【RDS.2】 RDS 資料庫執行個體應禁止公開存取，由 PubliclyAccessible 組態決定](rds-controls.md#rds-2)

[[RDS.3] RDS 資料庫執行個體應啟用靜態加密](rds-controls.md#rds-3)

[【RDS.13】 應啟用 RDS 自動次要版本升級](rds-controls.md#rds-13)

[【S3.1】 S3 一般用途儲存貯體應啟用封鎖公開存取設定](s3-controls.md#s3-1)

[【S3.5】 S3 一般用途儲存貯體應要求請求使用 SSL](s3-controls.md#s3-5)

[【S3.8】 S3 一般用途儲存貯體應封鎖公開存取](s3-controls.md#s3-8)

[【S3.20】 S3 一般用途儲存貯體應啟用 MFA 刪除](s3-controls.md#s3-20)

[【S3.22】 S3 一般用途儲存貯體應記錄物件層級寫入事件](s3-controls.md#s3-22)

[【S3.23】 S3 一般用途儲存貯體應記錄物件層級讀取事件](s3-controls.md#s3-23)

## CIS AWS Foundations Benchmark 1.4.0 版
<a name="cis1v4-standard"></a>

Security Hub CSPM 支援 CIS AWS Foundations Benchmark 的 1.4.0 版 (1.4.0 版）。

### 適用於 CIS AWS Foundations Benchmark 1.4.0 版的控制項
<a name="cis1v4-controls"></a>

 [【CloudTrail.1] CloudTrail 應該啟用並設定至少一個包含讀取和寫入管理事件的多區域追蹤](cloudtrail-controls.md#cloudtrail-1) 

 [[CloudTrail.2] CloudTrail 應啟用靜態加密](cloudtrail-controls.md#cloudtrail-2) 

 [【CloudTrail.4] 應啟用 CloudTrail 日誌檔案驗證](cloudtrail-controls.md#cloudtrail-4) 

 [【CloudTrail.5] CloudTrail 追蹤應與 Amazon CloudWatch Logs 整合](cloudtrail-controls.md#cloudtrail-5) 

 [【CloudTrail.6] 確保用於存放 CloudTrail 日誌的 S3 儲存貯體不可公開存取](cloudtrail-controls.md#cloudtrail-6) 

 [【CloudTrail.7] 確定 CloudTrail S3 儲存貯體上已啟用 S3 儲存貯體存取記錄](cloudtrail-controls.md#cloudtrail-7) 

 [【CloudWatch.1] 應該存在日誌指標篩選條件和警示以使用「根」使用者](cloudwatch-controls.md#cloudwatch-1) 

 [【CloudWatch.4] 確保 IAM 政策變更存在日誌指標篩選條件和警示](cloudwatch-controls.md#cloudwatch-4) 

 [【CloudWatch.5] 確保 CloudTrail 組態變更存在日誌指標篩選條件和警示](cloudwatch-controls.md#cloudwatch-5) 

 [【CloudWatch.6] 確保 AWS 管理主控台 驗證失敗時存在日誌指標篩選條件和警示](cloudwatch-controls.md#cloudwatch-6) 

 [【CloudWatch.7] 確保日誌指標篩選條件和警示存在，以停用或排程刪除客戶受管金鑰](cloudwatch-controls.md#cloudwatch-7) 

 [【CloudWatch.8] 確保 S3 儲存貯體政策變更存在日誌指標篩選條件和警示](cloudwatch-controls.md#cloudwatch-8) 

 [【CloudWatch.9] 確保 AWS Config 組態變更存在日誌指標篩選條件和警示](cloudwatch-controls.md#cloudwatch-9) 

 [【CloudWatch.10] 確保安全群組變更存在日誌指標篩選條件和警示](cloudwatch-controls.md#cloudwatch-10) 

 [【CloudWatch.11] 確定網路存取控制清單 (NACL) 的變更存在日誌指標篩選條件和警示](cloudwatch-controls.md#cloudwatch-11) 

 [【CloudWatch.12] 確保網路閘道變更存在日誌指標篩選條件和警示](cloudwatch-controls.md#cloudwatch-12) 

 [【CloudWatch.13] 確保路由表變更存在日誌指標篩選條件和警示](cloudwatch-controls.md#cloudwatch-13) 

 [【CloudWatch.14] 確保 VPC 變更存在日誌指標篩選條件和警示](cloudwatch-controls.md#cloudwatch-14) 

 [【Config.1】 AWS Config 應啟用並使用服務連結角色進行資源記錄](config-controls.md#config-1) 

 [【EC2.2】 VPC 預設安全群組不應允許傳入或傳出流量](ec2-controls.md#ec2-2) 

 [【EC2.6】 應在所有 VPC 中啟用 VPCs 流程記錄](ec2-controls.md#ec2-6) 

 [【EC2.7】 應啟用 EBS 預設加密](ec2-controls.md#ec2-7) 

 [【EC2.21】 網路 ACLs 不應允許從 0.0.0.0/0 傳入連接埠 22 或連接埠 3389](ec2-controls.md#ec2-21) 

 [【IAM.1】 IAM 政策不應允許完整的「\$1」管理權限](iam-controls.md#iam-1) 

 [【IAM.3】 IAM 使用者的存取金鑰應每 90 天或更短時間輪換一次](iam-controls.md#iam-3) 

 [【IAM.4】 IAM 根使用者存取金鑰不應存在](iam-controls.md#iam-4) 

 [[IAM.5] 應為所有擁有主控台密碼的 IAM 使用者啟用 MFA](iam-controls.md#iam-5) 

 [[IAM.6] 應為根使用者啟用硬體 MFA](iam-controls.md#iam-6) 

 [【IAM.9】 應為根使用者啟用 MFA](iam-controls.md#iam-9) 

 [【IAM.15】 確保 IAM 密碼政策要求密碼長度下限為 14 或更高](iam-controls.md#iam-15) 

 [【IAM.16】 確保 IAM 密碼政策防止密碼重複使用](iam-controls.md#iam-16) 

 [【IAM.18】 確保已建立支援角色來使用 管理事件 AWS 支援](iam-controls.md#iam-18) 

 [【IAM.22】 應移除 45 天內未使用的 IAM 使用者登入資料](iam-controls.md#iam-22) 

 [【KMS.4】 應啟用 AWS KMS 金鑰輪換](kms-controls.md#kms-4) 

 [[RDS.3] RDS 資料庫執行個體應啟用靜態加密](rds-controls.md#rds-3) 

 [【S3.1】 S3 一般用途儲存貯體應啟用封鎖公開存取設定](s3-controls.md#s3-1) 

 [【S3.5】 S3 一般用途儲存貯體應要求請求使用 SSL](s3-controls.md#s3-5) 

 [【S3.8】 S3 一般用途儲存貯體應封鎖公開存取](s3-controls.md#s3-8) 

 [【S3.20】 S3 一般用途儲存貯體應啟用 MFA 刪除](s3-controls.md#s3-20) 

## CIS AWS Foundations Benchmark 1.2.0 版
<a name="cis1v2-standard"></a>

Security Hub CSPM 支援 CIS AWS Foundations Benchmark 的 1.2.0 版 (1.2.0 版）。Security Hub CSPM 已滿足 CIS 安全軟體認證的要求，並已獲得下列 CIS 基準的 CIS 安全軟體認證：
+ CIS AWS Foundations Benchmark 的 CIS 基準，第 1.2.0 版，第 1 級
+ CIS AWS Foundations Benchmark 的 CIS Benchmark，第 1.2.0 版，第 2 級

### 適用於 CIS AWS Foundations Benchmark 1.2.0 版的控制項
<a name="cis1v2-controls"></a>

 [【CloudTrail.1] CloudTrail 應該啟用並設定至少一個包含讀取和寫入管理事件的多區域追蹤](cloudtrail-controls.md#cloudtrail-1) 

 [[CloudTrail.2] CloudTrail 應啟用靜態加密](cloudtrail-controls.md#cloudtrail-2) 

 [【CloudTrail.4] 應啟用 CloudTrail 日誌檔案驗證](cloudtrail-controls.md#cloudtrail-4) 

 [【CloudTrail.5] CloudTrail 追蹤應與 Amazon CloudWatch Logs 整合](cloudtrail-controls.md#cloudtrail-5) 

 [【CloudTrail.6] 確保用於存放 CloudTrail 日誌的 S3 儲存貯體不可公開存取](cloudtrail-controls.md#cloudtrail-6) 

 [【CloudTrail.7] 確定 CloudTrail S3 儲存貯體上已啟用 S3 儲存貯體存取記錄](cloudtrail-controls.md#cloudtrail-7) 

 [【CloudWatch.1] 應該存在日誌指標篩選條件和警示以使用「根」使用者](cloudwatch-controls.md#cloudwatch-1) 

 [【CloudWatch.2] 確保未經授權的 API 呼叫存在日誌指標篩選條件和警示](cloudwatch-controls.md#cloudwatch-2) 

 [【CloudWatch.3] 確保沒有 MFA 的管理主控台登入存在日誌指標篩選條件和警示](cloudwatch-controls.md#cloudwatch-3) 

 [【CloudWatch.4] 確保 IAM 政策變更存在日誌指標篩選條件和警示](cloudwatch-controls.md#cloudwatch-4) 

 [【CloudWatch.5] 確保 CloudTrail 組態變更存在日誌指標篩選條件和警示](cloudwatch-controls.md#cloudwatch-5) 

 [【CloudWatch.6] 確保 AWS 管理主控台 驗證失敗時存在日誌指標篩選條件和警示](cloudwatch-controls.md#cloudwatch-6) 

 [【CloudWatch.7] 確保日誌指標篩選條件和警示存在，以停用或排程刪除客戶受管金鑰](cloudwatch-controls.md#cloudwatch-7) 

 [【CloudWatch.8] 確保 S3 儲存貯體政策變更存在日誌指標篩選條件和警示](cloudwatch-controls.md#cloudwatch-8) 

 [【CloudWatch.9] 確保 AWS Config 組態變更存在日誌指標篩選條件和警示](cloudwatch-controls.md#cloudwatch-9) 

 [【CloudWatch.10] 確保安全群組變更存在日誌指標篩選條件和警示](cloudwatch-controls.md#cloudwatch-10) 

 [【CloudWatch.11] 確定網路存取控制清單 (NACL) 的變更存在日誌指標篩選條件和警示](cloudwatch-controls.md#cloudwatch-11) 

 [【CloudWatch.12] 確保網路閘道變更存在日誌指標篩選條件和警示](cloudwatch-controls.md#cloudwatch-12) 

 [【CloudWatch.13] 確保路由表變更存在日誌指標篩選條件和警示](cloudwatch-controls.md#cloudwatch-13) 

 [【CloudWatch.14] 確保 VPC 變更存在日誌指標篩選條件和警示](cloudwatch-controls.md#cloudwatch-14) 

 [【Config.1】 AWS Config 應啟用並使用服務連結角色進行資源記錄](config-controls.md#config-1) 

 [【EC2.2】 VPC 預設安全群組不應允許傳入或傳出流量](ec2-controls.md#ec2-2) 

 [【EC2.6】 應在所有 VPC 中啟用 VPCs 流程記錄](ec2-controls.md#ec2-6) 

 [【EC2.13】 安全群組不應允許從 0.0.0.0/0 或 ：：/0 傳入連接埠 22](ec2-controls.md#ec2-13) 

 [【EC2.14】 安全群組不應允許從 0.0.0.0/0 或 ：：/0 傳入連接埠 3389](ec2-controls.md#ec2-14) 

 [【IAM.1】 IAM 政策不應允許完整的「\$1」管理權限](iam-controls.md#iam-1) 

 [【IAM.2】 IAM 使用者不應連接 IAM 政策](iam-controls.md#iam-2) 

 [【IAM.3】 IAM 使用者的存取金鑰應每 90 天或更短時間輪換一次](iam-controls.md#iam-3) 

 [【IAM.4】 IAM 根使用者存取金鑰不應存在](iam-controls.md#iam-4) 

 [[IAM.5] 應為所有擁有主控台密碼的 IAM 使用者啟用 MFA](iam-controls.md#iam-5) 

 [[IAM.6] 應為根使用者啟用硬體 MFA](iam-controls.md#iam-6) 

 [【IAM.8】 應移除未使用的 IAM 使用者登入資料](iam-controls.md#iam-8) 

 [【IAM.9】 應為根使用者啟用 MFA](iam-controls.md#iam-9) 

 [【IAM.11】 確保 IAM 密碼政策至少需要一個大寫字母](iam-controls.md#iam-11) 

 [【IAM.12】 確保 IAM 密碼政策至少需要一個小寫字母](iam-controls.md#iam-12) 

 [【IAM.13】 確保 IAM 密碼政策至少需要一個符號](iam-controls.md#iam-13) 

 [【IAM.14】 確保 IAM 密碼政策至少需要一個數字](iam-controls.md#iam-14) 

 [【IAM.15】 確保 IAM 密碼政策要求密碼長度下限為 14 或更高](iam-controls.md#iam-15) 

 [【IAM.16】 確保 IAM 密碼政策防止密碼重複使用](iam-controls.md#iam-16) 

 [【IAM.17】 確保 IAM 密碼政策在 90 天內過期密碼](iam-controls.md#iam-17) 

 [【IAM.18】 確保已建立支援角色來使用 管理事件 AWS 支援](iam-controls.md#iam-18) 

 [【KMS.4】 應啟用 AWS KMS 金鑰輪換](kms-controls.md#kms-4) 

## CIS AWS Foundations Benchmark 的版本比較
<a name="cis1.4-vs-cis1.2"></a>

本節摘要說明 Center for Internet Security (CIS) AWS Foundations Benchmark—v5.0.0、v3.0.0、v1.4.0 和 v1.2.0 的特定版本之間的差異。 AWS Security Hub CSPM 支援 CIS AWS Foundations Benchmark 的每個版本。不過，我們建議您使用 v5.0.0 來保持最新的安全最佳實務。您可以同時啟用多個版本的 CIS AWS Foundations Benchmark 標準。如需啟用標準的資訊，請參閱 [啟用安全標準](enable-standards.md)。如果您想要升級至 v5.0.0，請在停用舊版之前啟用它。這可以防止安全檢查中的差距。如果您使用 Security Hub CSPM 與 整合， AWS Organizations 並想要在多個帳戶中批次啟用 v5.0.0，我們建議您使用[中央組態](central-configuration-intro.md)。

### 將控制項映射至每個版本中的 CIS 需求
<a name="cis-version-comparison"></a>

了解哪些 控制 CIS AWS Foundations Benchmark 支援的每個版本。


| 控制項 ID 和標題 | CIS v5.0.0 需求 | CIS v3.0.0 需求 | CIS v1.4.0 需求 | CIS v1.2.0 需求 | 
| --- | --- | --- | --- | --- | 
|  [【Account.1】 應針對 提供安全性聯絡資訊 AWS 帳戶](account-controls.md#account-1)  |  1.2  |  1.2  |  1.2  |  1.18  | 
|  [【CloudTrail.1] CloudTrail 應該啟用並設定至少一個包含讀取和寫入管理事件的多區域追蹤](cloudtrail-controls.md#cloudtrail-1)  |  3.1  |  3.1  |  3.1  |  2.1  | 
|  [[CloudTrail.2] CloudTrail 應啟用靜態加密](cloudtrail-controls.md#cloudtrail-2)  |  3.5  |  3.5  |  3.7  |  2.7  | 
|  [【CloudTrail.4] 應啟用 CloudTrail 日誌檔案驗證](cloudtrail-controls.md#cloudtrail-4)  |  3.2  |  3.2  |  3.2  |  2.2  | 
|  [【CloudTrail.5] CloudTrail 追蹤應與 Amazon CloudWatch Logs 整合](cloudtrail-controls.md#cloudtrail-5)  |  不支援 – CIS 已移除此要求  |  不支援 – CIS 已移除此要求  |  3.4  |  2.4  | 
|  [【CloudTrail.6] 確保用於存放 CloudTrail 日誌的 S3 儲存貯體不可公開存取](cloudtrail-controls.md#cloudtrail-6)  |  不支援 – CIS 已移除此要求  |  不支援 – CIS 已移除此要求  |  3.3  |  2.3  | 
|  [【CloudTrail.7] 確定 CloudTrail S3 儲存貯體上已啟用 S3 儲存貯體存取記錄](cloudtrail-controls.md#cloudtrail-7)  |  3.4  |  3.4  |  3.6  |  2.6  | 
|  [【CloudWatch.1] 應該存在日誌指標篩選條件和警示以使用「根」使用者](cloudwatch-controls.md#cloudwatch-1)  |  不支援 – 手動檢查  |  不支援 – 手動檢查  |  4.3  |  3.3  | 
|  [【CloudWatch.2] 確保未經授權的 API 呼叫存在日誌指標篩選條件和警示](cloudwatch-controls.md#cloudwatch-2)  |  不支援 – 手動檢查  |  不支援 – 手動檢查  |  不支援 – 手動檢查  |  3.1  | 
|  [【CloudWatch.3] 確保沒有 MFA 的管理主控台登入存在日誌指標篩選條件和警示](cloudwatch-controls.md#cloudwatch-3)  |  不支援 – 手動檢查  |  不支援 – 手動檢查  |  不支援 – 手動檢查  |  3.2  | 
|  [【CloudWatch.4] 確保 IAM 政策變更存在日誌指標篩選條件和警示](cloudwatch-controls.md#cloudwatch-4)  |  不支援 – 手動檢查  |  不支援 – 手動檢查  |  4.4  |  3.4  | 
|  [【CloudWatch.5] 確保 CloudTrail 組態變更存在日誌指標篩選條件和警示](cloudwatch-controls.md#cloudwatch-5)  |  不支援 – 手動檢查  |  不支援 – 手動檢查  |  4.5  |  3.5  | 
|  [【CloudWatch.6] 確保 AWS 管理主控台 驗證失敗時存在日誌指標篩選條件和警示](cloudwatch-controls.md#cloudwatch-6)  |  不支援 – 手動檢查  |  不支援 – 手動檢查  |  4.6  |  3.6  | 
|  [【CloudWatch.7] 確保日誌指標篩選條件和警示存在，以停用或排程刪除客戶受管金鑰](cloudwatch-controls.md#cloudwatch-7)  |  不支援 – 手動檢查  |  不支援 – 手動檢查  |  4.7  |  3.7  | 
|  [【CloudWatch.8] 確保 S3 儲存貯體政策變更存在日誌指標篩選條件和警示](cloudwatch-controls.md#cloudwatch-8)  |  不支援 – 手動檢查  |  不支援 – 手動檢查  |  4.8  |  3.8  | 
|  [【CloudWatch.9] 確保 AWS Config 組態變更存在日誌指標篩選條件和警示](cloudwatch-controls.md#cloudwatch-9)  |  不支援 – 手動檢查  |  不支援 – 手動檢查  |  4.9  |  3.9  | 
|  [【CloudWatch.10] 確保安全群組變更存在日誌指標篩選條件和警示](cloudwatch-controls.md#cloudwatch-10)  |  不支援 – 手動檢查  |  不支援 – 手動檢查  |  4.10  |  3.10  | 
|  [【CloudWatch.11] 確定網路存取控制清單 (NACL) 的變更存在日誌指標篩選條件和警示](cloudwatch-controls.md#cloudwatch-11)  |  不支援 – 手動檢查  |  不支援 – 手動檢查  |  4.11  |  3.11  | 
|  [【CloudWatch.12] 確保網路閘道變更存在日誌指標篩選條件和警示](cloudwatch-controls.md#cloudwatch-12)  |  不支援 – 手動檢查  |  不支援 – 手動檢查  |  4.12  |  3.12  | 
|  [【CloudWatch.13] 確保路由表變更存在日誌指標篩選條件和警示](cloudwatch-controls.md#cloudwatch-13)  |  不支援 – 手動檢查  |  不支援 – 手動檢查  |  4.13  |  3.13  | 
|  [【CloudWatch.14] 確保 VPC 變更存在日誌指標篩選條件和警示](cloudwatch-controls.md#cloudwatch-14)  |  不支援 – 手動檢查  |  不支援 – 手動檢查  |  4.14  |  3.14  | 
|  [【Config.1】 AWS Config 應啟用並使用服務連結角色進行資源記錄](config-controls.md#config-1)  |  3.3  |  3.3  |  3.5  |  2.5  | 
|  [【EC2.2】 VPC 預設安全群組不應允許傳入或傳出流量](ec2-controls.md#ec2-2)  |  5.5  |  5.4  |  5.3  |  4.3  | 
|  [【EC2.6】 應在所有 VPC 中啟用 VPCs 流程記錄](ec2-controls.md#ec2-6)  |  3.7  |  3.7  |  3.9  |  2.9  | 
|  [【EC2.7】 應啟用 EBS 預設加密](ec2-controls.md#ec2-7)  |  5.1.1  |  2.2.1  |  2.2.1  |  不支援  | 
|  [【EC2.8】 EC2 執行個體應使用執行個體中繼資料服務第 2 版 (IMDSv2)](ec2-controls.md#ec2-8)  |  5.7  |  5.6  |  不支援  |  不支援  | 
|  [【EC2.13】 安全群組不應允許從 0.0.0.0/0 或 ：：/0 傳入連接埠 22](ec2-controls.md#ec2-13)  |  不支援 – 由需求 5.3 和 5.4 取代  |  不支援 – 由需求 5.2 和 5.3 取代  |  不支援 – 由需求 5.2 和 5.3 取代  |  4.1  | 
|  [【EC2.14】 安全群組不應允許從 0.0.0.0/0 或 ：：/0 傳入連接埠 3389](ec2-controls.md#ec2-14)  |  不支援 – 由需求 5.3 和 5.4 取代  |  不支援 – 由需求 5.2 和 5.3 取代  |  不支援 – 由需求 5.2 和 5.3 取代  |  4.2  | 
|  [【EC2.21】 網路 ACLs 不應允許從 0.0.0.0/0 傳入連接埠 22 或連接埠 3389](ec2-controls.md#ec2-21)  |  5.2  |  5.1  |  5.1  |  不支援  | 
|  [【EC2.53】 EC2 安全群組不應允許從 0.0.0.0/0 傳入遠端伺服器管理連接埠](ec2-controls.md#ec2-53)  |  5.3  |  5.2  |  不支援  |  不支援  | 
|  [【EC2.54】 EC2 安全群組不應允許從 ：：/0 傳入遠端伺服器管理連接埠](ec2-controls.md#ec2-54)  |  5.4  |  5.3  |  不支援  |  不支援  | 
|  [【EFS.1】 彈性檔案系統應設定為使用 加密靜態檔案資料 AWS KMS](efs-controls.md#efs-1)  |  2.3.1  |  2.4.1  |  不支援  |  不支援  | 
|  [【EFS.8】 EFS 檔案系統應靜態加密](efs-controls.md#efs-8)  |  2.3.1  |  不支援  |  不支援  |  不支援  | 
|  [【IAM.1】 IAM 政策不應允許完整的「\$1」管理權限](iam-controls.md#iam-1)  |  不支援   |  不支援   |  1.16  |  1.22  | 
|  [【IAM.2】 IAM 使用者不應連接 IAM 政策](iam-controls.md#iam-2)  |  1.14  |  1.15  |  不支援  |  1.16  | 
|  [【IAM.3】 IAM 使用者的存取金鑰應每 90 天或更短時間輪換一次](iam-controls.md#iam-3)  |  1.13  |  1.14  |  1.14  |  1.4  | 
|  [【IAM.4】 IAM 根使用者存取金鑰不應存在](iam-controls.md#iam-4)  |  1.3  |  1.4  |  1.4  |  1.12  | 
|  [[IAM.5] 應為所有擁有主控台密碼的 IAM 使用者啟用 MFA](iam-controls.md#iam-5)  |  1.9  |  1.10  |  1.10  |  1.2  | 
|  [[IAM.6] 應為根使用者啟用硬體 MFA](iam-controls.md#iam-6)  |  1.5  |  1.6  |  1.6  |  1.14  | 
|  [【IAM.8】 應移除未使用的 IAM 使用者登入資料](iam-controls.md#iam-8)  |  不支援 – 請[【IAM.22】 應移除 45 天內未使用的 IAM 使用者登入資料](iam-controls.md#iam-22)改為參閱  |  不支援 – 請[【IAM.22】 應移除 45 天內未使用的 IAM 使用者登入資料](iam-controls.md#iam-22)改為參閱  |  不支援 – 請[【IAM.22】 應移除 45 天內未使用的 IAM 使用者登入資料](iam-controls.md#iam-22)改為參閱  |  1.3  | 
|  [【IAM.9】 應為根使用者啟用 MFA](iam-controls.md#iam-9)  |  1.4  |  1.5  |  1.5  |  1.13  | 
|  [【IAM.11】 確保 IAM 密碼政策至少需要一個大寫字母](iam-controls.md#iam-11)  |  不支援 – CIS 已移除此要求  |  不支援 – CIS 已移除此要求  |  不支援 – CIS 已移除此要求  |  1.5  | 
|  [【IAM.12】 確保 IAM 密碼政策至少需要一個小寫字母](iam-controls.md#iam-12)  |  不支援 – CIS 已移除此要求  |  不支援 – CIS 已移除此要求  |  不支援 – CIS 已移除此要求  |  1.6  | 
|  [【IAM.13】 確保 IAM 密碼政策至少需要一個符號](iam-controls.md#iam-13)  |  不支援 – CIS 已移除此要求  |  不支援 – CIS 已移除此要求  |  不支援 – CIS 已移除此要求  |  1.7  | 
|  [【IAM.14】 確保 IAM 密碼政策至少需要一個數字](iam-controls.md#iam-14)  |  不支援 – CIS 已移除此要求  |  不支援 – CIS 已移除此要求  |  不支援 – CIS 已移除此要求  |  1.8  | 
|  [【IAM.15】 確保 IAM 密碼政策要求密碼長度下限為 14 或更高](iam-controls.md#iam-15)  |  1.7  |  1.8  |  1.8  |  1.9  | 
|  [【IAM.16】 確保 IAM 密碼政策防止密碼重複使用](iam-controls.md#iam-16)  |  1.8  |  1.9  |  1.9  |  1.10  | 
|  [【IAM.17】 確保 IAM 密碼政策在 90 天內過期密碼](iam-controls.md#iam-17)  |  不支援 – CIS 已移除此要求  |  不支援 – CIS 已移除此要求  |  不支援 – CIS 已移除此要求  |  1.11  | 
|  [【IAM.18】 確保已建立支援角色來使用 管理事件 AWS 支援](iam-controls.md#iam-18)  |  1.16  |  1.17  |  1.17  |  1.2  | 
|  [【IAM.20】 避免使用根使用者](iam-controls.md#iam-20)  |  不支援 – CIS 已移除此要求  |  不支援 – CIS 已移除此要求  |  不支援 – CIS 已移除此要求  |  1.1  | 
|  [【IAM.22】 應移除 45 天內未使用的 IAM 使用者登入資料](iam-controls.md#iam-22)  |  1.11  |  1.12  |  1.12  |  不支援 – CIS 在較新版本中新增此需求  | 
|  [【IAM.26】 應移除在 IAM 中管理的過期 SSL/TLS 憑證](iam-controls.md#iam-26)  |  1.18  |  1.19  |  不支援 – CIS 在較新版本中新增此需求  |  不支援 – CIS 在較新版本中新增此需求  | 
|  [【IAM.27】 IAM 身分不應連接 AWSCloudShellFullAccess 政策](iam-controls.md#iam-27)  |  1.21  |  1.22  |  不支援 – CIS 在較新版本中新增此需求  |  不支援 – CIS 在較新版本中新增此需求  | 
|  [【IAM.28】 應啟用 IAM Access Analyzer 外部存取分析器](iam-controls.md#iam-28)  |  1.19  |  1.20  |  不支援 – CIS 在較新版本中新增此需求  |  不支援 – CIS 在較新版本中新增此需求  | 
|  [【KMS.4】 應啟用 AWS KMS 金鑰輪換](kms-controls.md#kms-4)  |  3.6  |  3.6  |  3.8  |  2.8  | 
|  [【Macie.1】 應啟用 Amazon Macie](macie-controls.md#macie-1)  |  不支援 – 手動檢查  |  不支援 – 手動檢查  |  不支援 – 手動檢查  |  不支援 – 手動檢查  | 
|  [【RDS.2】 RDS 資料庫執行個體應禁止公開存取，由 PubliclyAccessible 組態決定](rds-controls.md#rds-2)  |  2.2.3  |  2.3.3  |  不支援 – CIS 在較新版本中新增此需求  |  不支援 – CIS 在較新版本中新增此需求  | 
|  [[RDS.3] RDS 資料庫執行個體應啟用靜態加密](rds-controls.md#rds-3)  |  2.2.1  |  2.3.1  |  2.3.1  |  不支援 – CIS 在較新版本中新增此需求  | 
|  [【RDS.5】 RDS 資料庫執行個體應該設定多個可用區域](rds-controls.md#rds-5)  |  2.2.4  |  不支援 – CIS 在較新版本中新增此需求  |  不支援 – CIS 在較新版本中新增此需求  |  不支援 – CIS 在較新版本中新增此需求  | 
|  [【RDS.13】 應啟用 RDS 自動次要版本升級](rds-controls.md#rds-13)  |  2.2.2  |  2.3.2  |  不支援 – CIS 在較新版本中新增此需求  |  不支援 – CIS 在較新版本中新增此需求  | 
|  [【RDS.15】 應為多個可用區域設定 RDS 資料庫叢集](rds-controls.md#rds-15)  |  2.2.4  |  不支援 – CIS 在較新版本中新增此需求  |  不支援 – CIS 在較新版本中新增此需求  |  不支援 – CIS 在較新版本中新增此需求  | 
|  [【S3.1】 S3 一般用途儲存貯體應啟用封鎖公開存取設定](s3-controls.md#s3-1)  |  2.1.4  |  2.1.4  |  2.1.5  |  不支援 – CIS 在較新版本中新增此需求  | 
|  [【S3.5】 S3 一般用途儲存貯體應要求請求使用 SSL](s3-controls.md#s3-5)  |  2.1.1  |  2.1.1  |  2.1.2  |  不支援 – CIS 在較新版本中新增此需求  | 
|  [【S3.8】 S3 一般用途儲存貯體應封鎖公開存取](s3-controls.md#s3-8)  |  2.1.4  |  2.1.4  |  2.1.5  |  不支援 – CIS 在較新版本中新增此需求  | 
|  [【S3.20】 S3 一般用途儲存貯體應啟用 MFA 刪除](s3-controls.md#s3-20)  |  2.1.2  |  2.1.2  |  2.1.3  |  不支援 – CIS 在較新版本中新增此需求  | 

### CIS AWS Foundations Benchmarks ARNs
<a name="cisv1.4.0-finding-fields"></a>

當您啟用一個或多個版本的 CIS AWS Foundations Benchmark 時，您會開始在 AWS 安全調查結果格式 (ASFF) 中接收調查結果。在 ASFF 中，每個版本使用以下 Amazon Resource Name (ARN)：

**CIS AWS Foundations Benchmark 5.0.0 版**  
`arn:aws:securityhub:region::standards/cis-aws-foundations-benchmark/v/5.0.0`

**CIS AWS Foundations Benchmark 3.0.0 版**  
`arn:aws:securityhub:region::standards/cis-aws-foundations-benchmark/v/3.0.0`

**CIS AWS Foundations Benchmark 1.4.0 版**  
`arn:aws:securityhub:region::standards/cis-aws-foundations-benchmark/v/1.4.0`

**CIS AWS Foundations Benchmark 1.2.0 版**  
`arn:aws:securityhub:::ruleset/cis-aws-foundations-benchmark/v/1.2.0`

您可以使用 Security Hub CSPM API [https://docs.aws.amazon.com/securityhub/1.0/APIReference/API_GetEnabledStandards.html](https://docs.aws.amazon.com/securityhub/1.0/APIReference/API_GetEnabledStandards.html)的操作來尋找已啟用標準的 ARN。

上述值適用於 `StandardsArn`。不過， `StandardsSubscriptionArn`是指 Security Hub CSPM 在您透過[https://docs.aws.amazon.com/securityhub/1.0/APIReference/API_BatchEnableStandards.html](https://docs.aws.amazon.com/securityhub/1.0/APIReference/API_BatchEnableStandards.html)在區域中呼叫 來訂閱標準時建立的標準訂閱資源。

**注意**  
當您啟用 CIS AWS Foundations Benchmark 的版本時，Security Hub CSPM 最多可能需要 18 小時才能產生控制項的調查結果，這些控制項使用與其他已啟用標準中已啟用控制項相同的 AWS Config 服務連結規則。如需產生控制項問題清單之排程的詳細資訊，請參閱 [執行安全檢查的排程](securityhub-standards-schedule.md)。

如果您開啟合併控制問題清單，問題清單欄位會有所不同。如需這些差異的詳細資訊，請參閱 [整合對 ASFF 欄位和值的影響](asff-changes-consolidation.md)。如需範例控制調查結果，請參閱 [控制問題清單的範例](sample-control-findings.md)。

### Security Hub CSPM 中不支援的 CIS 需求
<a name="securityhub-standards-cis-checks-not-supported"></a>

如上表所述，Security Hub CSPM 不支援每個 CIS AWS Foundations Benchmark 版本中的每個 CIS 要求。許多不支援的需求只能透過手動檢閱 AWS 資源的狀態來評估。