本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。
# 手冊
此解決方案包含網際網路[安全中心 (CIS) AWS Foundations Benchmark v1.2.0](https://docs.aws.amazon.com/securityhub/latest/userguide/cis-aws-foundations-benchmark.html#cis1v2-standard)、[CIS AWS Foundations Benchmark v1.4.0](https://docs.aws.amazon.com/securityhub/latest/userguide/cis-aws-foundations-benchmark.html#cis1v4-standard)、[CIS AWS Foundations Benchmark v3.0.0](https://docs.aws.amazon.com/securityhub/latest/userguide/cis-aws-foundations-benchmark.html#cis3v0-standard)、[AWS Foundational Security Best Practices (FSBP) v1.0.0](https://docs.aws.amazon.com/securityhub/latest/userguide/fsbp-standard.html)、[支付卡產業資料安全標準 (PCI-DSS) v3.2.1](https://docs.aws.amazon.com/securityhub/latest/userguide/pci-standard.html) 和[國家標準技術研究所 (NIST)](https://docs.aws.amazon.com/securityhub/latest/userguide/nist-standard.html) 中所定義安全標準的手冊修補。
如果您已啟用合併控制項調查結果，則所有標準都支援這些控制項。如果啟用此功能，則只需要部署 SC 手冊。如果沒有，則先前列出的標準支援手冊。
**重要**
僅部署已啟用標準的手冊，以避免達到服務配額。
如需特定修復的詳細資訊，請參閱 Systems Manager 自動化文件，其中包含您帳戶中解決方案所部署的名稱。前往 [AWS Systems Manager 主控台](https://console.aws.amazon.com/systems-manager/)，然後在導覽窗格中選擇**文件**。
| 說明 | AWS FSBP | CIS v1.2.0 | PCI 3.2.1 版 | CIS 1.4.0 版 | NIST | CIS 3.0.0 版 | 安全控制 ID |
| --- | --- | --- | --- | --- | --- | --- | --- |
| **總計修補** | 63 | 34 | 29 | 33 | 65 | 19 | 90 |
| **ASR-EnableAutoScalingGroupELBHealthCheck**
與負載平衡器相關聯的 Auto Scaling 群組應使用負載平衡器運作狀態檢查 | AutoScaling.1 | | AutoScaling.1 | | AutoScaling.1 | | AutoScaling.1 |
| **ASR-ConfigureAutoScalingLaunchConfigToRequireIMDSv2**
Auto Scaling 群組啟動組態應該將 EC2 執行個體設定為需要執行個體中繼資料服務第 2 版 (IMDSv2) | | | | | AutoScaling.3 | | AutoScaling.3 |
| **ASR-CreateCloudTrailMultiRegionTrail**
CloudTrail 應該啟用並使用至少一個多區域線索設定 | CloudTrail.1 | 2.1 | CloudTrail.2 | 3.1 | CloudTrail.1 | 3.1 | CloudTrail.1 |
| **ASR-EnableEncryption**
CloudTrail 應該啟用靜態加密 | CloudTrail.2 | 2.7 | CloudTrail.1 | 3.7 | CloudTrail.2 | 3.5 | CloudTrail.2 |
| **ASR-EnableLogFileValidation**
確保 CloudTrail 日誌檔案驗證已啟用 | CloudTrail.4 | 2.2 | CloudTrail.3 | 3.2 | CloudTrail.4 | | CloudTrail.4 |
| **ASR-EnableCloudTrailToCloudWatchLogging**
確保 CloudTrail 追蹤與 Amazon CloudWatch Logs 整合 | CloudTrail.5 | 2.4 | CloudTrail.4 | 3.4 | CloudTrail.5 | | CloudTrail.5 |
| **ASR-ConfigureS3BucketLogging**
確保 CloudTrail S3 儲存貯體已啟用 S3 儲存貯體存取日誌記錄 | | 2.6 | | 3.6 | | 3.4 | CloudTrail.7 |
| **ASR-ReplaceCodeBuildClearTextCredentials**
CodeBuild 專案環境變數不應包含純文字登入資料 | CodeBuild.2 | | CodeBuild.2 | | CodeBuild.2 | | CodeBuild.2 |
| **ASR-EnableAWSConfig**
確保 AWS Config 已啟用 | Config.1 | 2.5 | Config.1 | 3.5 | Config.1 | 3.3 | Config.1 |
| **ASR-MakeEBSSnapshotsPrivate**
Amazon EBS 快照不應可公開還原 | EC2.1 | | EC2.1 | | EC2.1 | | EC2.1 |
| **ASR-RemoveVPCDefaultSecurityGroupRules**
VPC 預設安全群組應禁止傳入和傳出流量 | EC2.2 | 4.3 | EC2.2 | 5.3 | EC2.2 | 5.4 | EC2.2 |
| **ASR EnableVPCFlowLogs**
應在所有 VPC 中啟用 VPCs 流程記錄 | EC2.6 | 2.9 | EC2.6 | 3.9 | EC2.6 | 3.7 | EC2.6 |
| **ASR-EnableEbsEncryptionByDefault**
應啟用 EBS 預設加密 | EC2.7 | 2.2.1 | | | EC2.7 | 2.2.1 | EC2.7 |
| **ASR-RevokeUnrotatedKeys**
使用者存取金鑰應每 90 天或更短時間輪換一次 | IAM.3 | 1.4 | | 1.14 | IAM.3 | 1.14 | IAM.3 |
| **ASR-SetIAMPasswordPolicy**
IAM 預設密碼政策 | IAM.7 | 1.5-1.11 | IAM.8 | 1.8 | IAM.7 | 1.8 | IAM.7 |
| **ASR-RevokeUnusedIAMUserCredentials**
如果未在 90 天內使用，應關閉使用者登入資料 | IAM.8 | 1.3 | IAM.7 | | IAM.8 | | IAM .8 |
| **ASR-RevokeUnusedIAMUserCredentials**
如果未在 45 天內使用，則應關閉使用者登入資料 | | | | 1.12 | | 1.12 | IAM.22 |
| **ASR-RemoveLambdaPublicAccess**
Lambda 函數應該禁止公開存取 | Lambda.1 | | Lambda.1 | | Lambda.1 | | Lambda.1 |
| **ASR-MakeRDSSnapshotPrivate**
RDS 快照應禁止公開存取 | RDS.1 | | RDS.1 | | RDS.1 | | RDS.1 |
| **ASR-DisablePublicAccessToRDSInstance**
RDS 資料庫執行個體應禁止公開存取 | RDS.2 | | RDS.2 | | RDS.2 | 2.3.3 | RDS.2 |
| **ASR-EncryptRDSSnapshot**
RDS 叢集快照和資料庫快照應靜態加密 | RDS.4 | | | | RDS.4 | | RDS.4 |
| **ASR-EnableMultiAZOnRDSInstance**
RDS 資料庫執行個體應該設定多個可用區域 | RDS.5 | | | | RDS.5 | | RDS.5 |
| **ASR-EnableEnhancedMonitoringOnRDSInstance**
應為 RDS 資料庫執行個體和叢集設定增強型監控 | RDS.6 | | | | RDS.6 | | RDS.6 |
| **ASR-EnableRDSClusterDeletionProtection**
RDS 叢集應該已啟用刪除保護 | RDS.7 | | | | RDS.7 | | RDS.7 |
| **ASR-EnableRDSInstanceDeletionProtection**
RDS 資料庫執行個體應該已啟用刪除保護 | RDS.8 | | | | RDS.8 | | RDS.8 |
| **ASR-EnableMinorVersionUpgradeOnRDSDBInstance**
應啟用 RDS 自動次要版本升級 | RDS.13 | | | | RDS.13 | 2.3.2 | RDS.13 |
| **ASR-EnableCopyTagsToSnapshotOnRDSCluster**
RDS 資料庫叢集應設定為將標籤複製到快照 | RDS.16 | | | | RDS.16 | | RDS.16 |
| **ASR-DisablePublicAccessToRedshiftCluster**
Amazon Redshift 叢集應禁止公開存取 | Redshift.1 | | Redshift.1 | | Redshift.1 | | Redshift.1 |
| **ASR-EnableAutomaticSnapshotsOnRedshiftCluster**
Amazon Redshift 叢集應該啟用自動快照 | Redshift.3 | | | | Redshift.3 | | Redshift.3 |
| **ASR-EnableRedshiftClusterAuditLogging**
Amazon Redshift 叢集應該啟用稽核記錄 | Redshift.4 | | | | Redshift.4 | | Redshift.4 |
| **ASR-EnableAutomaticVersionUpgradeOnRedshiftCluster**
Amazon Redshift 應該已啟用主要版本的自動升級 | Redshift.6 | | | | Redshift.6 | | Redshift.6 |
| **ASR-ConfigureS3PublicAccessBlock**
應啟用 S3 封鎖公開存取設定 | S3.1 | 2.3 | S3.6 | 2.1.5.1 | S3.1 | 2.1.4 | S3.1 |
| **ASR-ConfigureS3BucketPublicAccessBlock**
S3 儲存貯體應禁止公開讀取存取 | S3.2 | | S3.2 | 2.1.5.2 | S3.2 | | S3.2 |
| **ASR-ConfigureS3BucketPublicAccessBlock**
S3 儲存貯體應禁止公有寫入存取 | | S3.3 | | | | | S3.3 |
| **ASR-EnableDefaultEncryptionS3**
S3 儲存貯體應啟用伺服器端加密 | S3.4 | | S3.4 | 2.1.1 | S3.4 | | S3.4 |
| **ASR-SetSSLBucketPolicy**
S3 儲存貯體應要求請求使用 SSL | S3.5 | | S3.5 | 2.1.2 | S3.5 | 2.1.1 | S3.5 |
| **ASR-S3BlockDenylist**
應限制授予儲存貯體政策中其他 AWS 帳戶的 Amazon S3 許可 | S3.6 | | | | S3.6 | | S3.6 |
| S3 封鎖公開存取設定應在儲存貯體層級啟用 | S3.8 | | | | S3.8 | | S3.8 |
| **ASR-ConfigureS3BucketPublicAccessBlock**
確保 的 S3 儲存貯體 CloudTrail 日誌不可公開存取 | | 2.3 | | | | | CloudTrail.6 |
| **ASR-CreateAccessLoggingBucket**
確保已在 CloudTrail S3 儲存貯體上啟用 S3 儲存貯體存取記錄 | | 2.6 | | | | | CloudTrail.7 |
| **ASR-EnableKeyRotation**
確保已啟用客戶建立CMKs 輪換 | | 2.8 | KMS.1 | 3.8 | KMS.4 | 3.6 | KMS.4 |
| **ASR-CreateLogMetricFilterAndAlarm**
確保未經授權的 API 呼叫中存在日誌指標篩選條件和警示 | | 3.1 | | 4.1 | | | CloudWatch.1 |
| **ASR-CreateLogMetricFilterAndAlarm**
確保 AWS 管理主控台在沒有 MFA 的情況下登入存在日誌指標篩選條件和警示 | | 3.2 | | 4.2 | | | CloudWatch.2 |
| **ASR-CreateLogMetricFilterAndAlarm**
確保「根」使用者的用量存在日誌指標篩選條件和警示 | | 3.3 | CW.1 | 4.3 | | | CloudWatch.3 |
| **ASR-CreateLogMetricFilterAndAlarm**
確保 IAM 政策變更存在日誌指標篩選條件和警示 | | 3.4 | | 4.4 | | | CloudWatch.4 |
| **ASR-CreateLogMetricFilterAndAlarm**
確保 CloudTrail 組態變更存在日誌指標篩選條件和警示 | | 3.5 | | 4.5 | | | CloudWatch.5 |
| **ASR-CreateLogMetricFilterAndAlarm**
確保 AWS 管理主控台身分驗證失敗存在日誌指標篩選條件和警示 | | 3.6 | | 4.6 | | | CloudWatch.6 |
| **ASR-CreateLogMetricFilterAndAlarm**
確保停用或排定刪除客戶建立的 CMK 存在日誌指標篩選條件和警示 | | 3.7 | | 4.7 | | | CloudWatch.7 |
| **ASR-CreateLogMetricFilterAndAlarm**
確保 S3 儲存貯體政策變更存在日誌指標篩選條件和警示 | | 3.8 | | 4.8 | | | CloudWatch.8 |
| **ASR-CreateLogMetricFilterAndAlarm**
確保 AWS Config 組態變更存在日誌指標篩選條件和警示 | | 3.9 | | 4.9 | | | CloudWatch.9 |
| **ASR-CreateLogMetricFilterAndAlarm**
確保安全群組變更存在日誌指標篩選條件和警示 | | 3.10 | | 4.10 | | | CloudWatch.10 |
| **ASR-CreateLogMetricFilterAndAlarm**
確保網路存取控制清單 (NACL) 變更存在日誌指標篩選條件和警示 | | 3.11 | | 4.11 | | | CloudWatch.11 |
| **ASR-CreateLogMetricFilterAndAlarm**
確保網路閘道變更存在日誌指標篩選條件和警示 | | 3.12 | | 4.12 | | | CloudWatch.12 |
| **ASR-CreateLogMetricFilterAndAlarm**
確保路由表變更存在日誌指標篩選條件和警示 | | 3.13 | | 4.13 | | | CloudWatch.13 |
| **ASR-CreateLogMetricFilterAndAlarm**
確保 VPC 變更存在日誌指標篩選條件和警示 | | 3.14 | | 4.14 | | | CloudWatch.14 |
| **AWS-DisablePublicAccessForSecurityGroup**
確保沒有任何安全群組允許從 0.0.0.0/0 傳入連接埠 22 | | 4.1 | EC2.5 | | EC2.13 | | EC2.13 |
| **AWS-DisablePublicAccessForSecurityGroup**
確保沒有任何安全群組允許從 0.0.0.0/0 傳入連接埠 3389 | | 4.2 | | | EC2.14 | | EC2.14 |
| **ASR-ConfigureSNSTopicForStack** | CloudFormation.1 | | | | CloudFormation.1 | | CloudFormation.1 |
| **ASR-CreateIAMSupportRole** | | 1.20 | | 1.17 | | 1.17 | IAM.18 |
| **ASR-DisablePublicIPAutoAssign**
Amazon EC2 子網路不應自動指派公有 IP 地址 | EC2.15 | | | | EC2.15 | | EC2.15 |
| **ASR-EnableCloudTrailLogFileValidation** | CloudTrail.4 | 2.2 | CloudTrail.3 | 3.2 | | | CloudTrail.4 |
| **ASR-EnableEncryptionForSNSTopic** | SNS.1 | | | | SNS.1 | | SNS.1 |
| **ASR-EnableDeliveryStatusLoggingForSNSTopic**
應針對傳送至主題的通知訊息啟用傳遞狀態記錄 | SNS.2 | | | | SNS.2 | | SNS.2 |
| **ASR-EnableEncryptionForSQSQueue** | SQS.1 | | | | SQS.1 | | SQS.1 |
| **ASR-MakeRDSSnapshotPrivate** RDS 快照應為私有 | RDS.1 | | RDS.1 | | | | RDS.1 |
| **ASR-BlockSSMDocumentPublicAccess**
SSM 文件不應公開 | SSM.4 | | | | SSM.4 | | SSM.4 |
| **ASR-EnableCloudFrontDefaultRootObject**
CloudFront 分佈應該設定預設根物件 | CloudFront.1 | | | | CloudFront.1 | | CloudFront.1 |
| **ASR-SetCloudFrontOriginDomain**
CloudFront 分佈不應指向不存在的 S3 原始伺服器 | CloudFront.12 | | | | CloudFront.12 | | CloudFront.12 |
| **ASR-RemoveCodeBuildPrivilegedMode**
CodeBuild 專案環境應具有記錄 AWS 組態 | CodeBuild.5 | | | | CodeBuild.5 | | CodeBuild.5 |
| **ASR-TerminateEC2Instance**
停止的 EC2 執行個體應該在指定的期間之後移除 | EC2.4 | | | | EC2.4 | | EC2.4 |
| **ASR-EnableIMDSV2OnInstance**
EC2 執行個體應使用執行個體中繼資料服務第 2 版 (IMDSv2) | EC2.8 | | | | EC2.8 | 5.6 | EC2.8 |
| **ASR-RevokeUnauthorizedInboudRules**
安全群組應僅允許授權連接埠不受限制的傳入流量 | EC2.18 | | | | EC2.18 | | EC2.18 |
| **ASR-DisableUnrestrictedAccessToHighRiskPorts**
安全群組不應允許無限制存取高風險的連接埠 | EC2.19 | | | | EC2.19 | | EC2.19 |
| **ASR-DisableTGWAutoAcceptSharedAttachments**
Amazon EC2 Transit Gateways 不應自動接受 VPC 連接請求 | EC2.23 | | | | EC2.23 | | EC2.23 |
| **ASR-EnablePrivateRepositoryScanning**
ECR 私有儲存庫應設定映像掃描 | ECR.1 | | | | ECR.1 | | ECR.1 |
| **ASR-EnableGuardDuty**
GuardDuty 應啟用 | GuardDuty.1 | | GuardDuty.1 | | GuardDuty.1 | | GuardDuty.1 |
| **ASR-ConfigureS3BucketLogging**
應啟用 S3 儲存貯體伺服器存取記錄 | S3.9 | | | | S3.9 | | S3.9 |
| **ASR-EnableBucketEventNotifications**
S3 儲存貯體應該啟用事件通知 | S3.11 | | | | S3.11 | | S3.11 |
| **ASR-SetS3LifecyclePolicy**
S3 儲存貯體應已設定生命週期政策 | S3.13 | | | | S3.13 | | S3.13 |
| **ASR-EnableAutoSecretRotation**
Secrets Manager 秘密應該啟用自動輪換 | SecretsManager.1 | | | | SecretsManager.1 | | SecretsManager.1 |
| **ASR-RemoveUnusedSecret**
移除未使用的 Secrets Manager 秘密 | SecretsManager.3 | | | | SecretsManager.3 | | SecretsManager.3 |
| **ASR-UpdateSecretRotationPeriod**
Secrets Manager 秘密應在指定的天數內輪換 | SecretsManager.4 | | | | SecretsManager.4 | | SecretsManager.4 |
| **ASR-EnableAPIGatewayCacheDataEncryption**
API Gateway REST API 快取資料應靜態加密 | | | | | APIGateway.5 | | APIGateway.5 |
| **ASR-SetLogGroupRetentionDays**
CloudWatch 日誌群組應保留一段指定的時間 | | | | | CloudWatch.16 | | CloudWatch.16 |
| **ASR-AttachServiceVPCEndpoint**
Amazon EC2 應設定為使用為 Amazon EC2 服務建立的 VPC 端點 | EC2.10 | | | | EC2.10 | | EC2.10 |
| **ASR-TagGuardDutyResource**
GuardDuty 篩選條件應加上標籤 | | | | | | | GuardDuty.2 |
| **ASR-TagGuardDutyResource**
GuardDuty 偵測器應加上標籤 | | | | | | | GuardDuty.4 |
| **ASR-AttachSSMPermissionsToEC2**
Amazon EC2 執行個體應由 Systems Manager 管理 | SSM.1 | | SSM.3 | | | | SSM.1 |
| **ASR-ConfigureLaunchConfigNoPublicIPDocument**
使用 Auto Scaling 群組啟動組態啟動的 Amazon EC2 執行個體不應具有公有 IP 地址 | | | | | AutoScaling.5 | | AutoScaling.5 |
| **ASR-EnableAPIGatewayExecutionLogs** | APIGateway.1 | | | | | | APIGateway.1 |
| **ASR-EnableMacie**
應啟用 Amazon Macie | Macie.1 | | | | Macie.1 | | Macie.1 |
| **ASR-EnableAthenaWorkGroupLogging**
Athena 工作群組應該已啟用記錄 | Athena.4 | | | | | | Athena.4 |
| **ASR-EnforceHTTPSForALB**
Application Load Balancer 應設定為將所有 HTTP 請求重新導向至 HTTPS | ELB.1 | | ELB.1 | | ELB.1 | | ELB.1 |
| **ASR-LimitECSRootFilesystemAccess**
ECS 容器應僅限於對根檔案系統的唯讀存取 | ECS.5 | | | | ECS.5 | | ECS.5 |
| **ASR-EnableElastiCacheBackups**
ElastiCache (Redis OSS) 叢集應該啟用自動備份 | ElastiCache.1 | | | | ElastiCache.1 | | ElastiCache.1 |
| **ASR-EnableElastiCacheVersionUpgrades**
ElastiCache 叢集應該啟用自動次要版本升級 | ElastiCache.2 | | | | ElastiCache.2 | | ElastiCache.2 |
| **ASR-EnableElastiCacheReplicationGroupFailover**
ElastiCache 複寫群組應該啟用自動容錯移轉 | ElastiCache.3 | | | | ElastiCache.3 | | ElastiCache.3 |
| **ASR-ConfigureDynamoDBAutoScaling**
DynamoDB 資料表應隨著需求自動擴展容量 | DynamoDB.1 | | | | DynamoDB.1 | | DynamoDB.1 |
| **ASR-TagDynamoDBTableResource**
DynamoDB 資料表應加上標籤 | | | | | | | DynamoDB.5 |
| **ASR-EnableDynamoDBDeletionProtection**
DynamoDB 資料表應該已啟用刪除保護 | | | | | DynamoDB.6 | | DynamoDB.6 |