Límites regionales de los controles del CSPM de Security Hub

[ElastiCache.4] Los grupos de replicación de ElastiCache deben cifrarse en reposo

[ElastiCache.5] Los grupos de replicación de ElastiCache (Redis OSS) deben cifrarse en tránsito

[ElastiCache.6] Los grupos de replicación de ElastiCache (Redis OSS) de versiones anteriores de Redis deben tener Redis OSS AUTH activado

[ElastiCache.7] Los clústeres de ElastiCache no deben usar el grupo de subredes predeterminado

[GlobalAccelerator.1] Los aceleradores de Global Accelerator deben etiquetarse

[S3.24] Los puntos de acceso de varias regiones de S3 deben tener habilitado el bloqueo de acceso público

[AppSync.1] Las cachés de la API de AWS AppSync deben estar cifradas en reposo

[AppSync.6] Las cachés de la API de AWS AppSync deben estar cifradas en tránsito

[CloudFront.1] Las distribuciones de CloudFront deben tener configurado un objeto raíz predeterminado

[CloudFront.3] Las distribuciones de CloudFront deberían requerir el cifrado en tránsito

[CloudFront.4] Las distribuciones de CloudFront deben tener configurada la conmutación por error de origen

[CloudFront.5] Las distribuciones de CloudFront deben tener el registro habilitado

[CloudFront.6] Las distribuciones de CloudFront deben tener WAF habilitado

[CloudFront.7] Las distribuciones de CloudFront deben usar certificados SSL/TLS personalizados

[CloudFront.8] Las distribuciones de CloudFront deben usar SNI para atender las solicitudes HTTPS

[CloudFront.9] Las distribuciones de CloudFront deben cifrar el tráfico a orígenes personalizados

[CloudFront.10] Las distribuciones de CloudFront no deben usar protocolos SSL obsoletos entre las ubicaciones periféricas y los orígenes personalizados

[CloudFront.12] Las distribuciones de CloudFront no deben apuntar a orígenes S3 inexistentes

[CloudFront.13] Las distribuciones de CloudFront deben usar el control de acceso de origen

[CloudFront.14] Las distribuciones de CloudFront deben etiquetarse

[CloudFront.15] Las distribuciones de CloudFront deben usar la política de seguridad TLS recomendada

[CloudFront.16] Las distribuciones de CloudFront deben usar control de acceso a orígenes para orígenes de URL de funciones de Lambda

[Connect.1] Los tipos de objeto de Perfiles de clientes de Amazon Connect deben estar etiquetados.

[Connect.2] Las instancias de Amazon Connect deben tener habilitado el registro en CloudWatch

[EC2.24] No se deben utilizar los tipos de instancias paravirtuales de Amazon EC2

[EC2.173] Las solicitudes de flota de spot de EC2 con parámetros de lanzamiento deben habilitar el cifrado para los volúmenes de EBS asociados

[ECR.4] Los repositorios públicos de ECR deben estar etiquetados

[GlobalAccelerator.1] Los aceleradores de Global Accelerator deben etiquetarse

[IAM.26] Los certificados SSL/TLS vencidos administrados en IAM deben eliminarse

[IoTTwinMaker.1] Los trabajos de sincronización de AWS IoT TwinMaker deben estar etiquetados

[IoTTwinMaker.2] Los espacios de trabajo de AWS IoT TwinMaker deben estar etiquetados

[IoTTwinMaker.3] Las escenas de AWS IoT TwinMaker deben estar etiquetadas

[IoTTwinMaker.4] Las entidades de AWS IoT TwinMaker deben estar etiquetadas

[IoTWireless.1] Los grupos de multidifusión de AWS IoT Wireless deben estar etiquetados

[IoTWireless.2] Los perfiles de servicio de AWS IoT Wireless deben estar etiquetados

[IoTWireless.3] Las tareas FUOTA de AWS IoT deben estar etiquetadas

[IVS.1] Los pares de claves de reproducción de IVS deben estar etiquetados

[IVS.2] Las configuraciones de grabación de IVS deben estar etiquetadas

[IVS.3] Los canales de IVS deben estar etiquetados

[RDS.31] Los grupos de seguridad de bases de datos de RDS deben etiquetarse

[Route53.1] Las comprobaciones de estado de Route 53 deben estar etiquetadas

Las zonas alojadas públicas de Route 53 [Route53.2] deben registrar las consultas de DNS

[S3.24] Los puntos de acceso de varias regiones de S3 deben tener habilitado el bloqueo de acceso público

El registro de AWS WAF [WAF.1] ACL web global clásica debe estar habilitado

Las reglas globales de AWS WAF [WAF.6] clásicas deben tener al menos una condición

Los grupos de reglas globales de AWS WAF [WAF.7] clásicos deben tener al menos una regla

Las ACL web de AWS WAF [WAF.8] globales clásicas deben tener al menos una regla o grupo de reglas

[WorkSpaces.1] Los volúmenes de usuarios de WorkSpaces deben estar cifrados en reposo

[WorkSpaces.2] Los volúmenes raíz de WorkSpaces deben estar cifrados en reposo

[AppRunner.1] Los servicios de App Runner deben estar etiquetados

[AppRunner.2] Los conectores VPC de App Runner deben estar etiquetados.

[AppSync.1] Las cachés de la API de AWS AppSync deben estar cifradas en reposo

[AppSync.6] Las cachés de la API de AWS AppSync deben estar cifradas en tránsito

[CloudFront.1] Las distribuciones de CloudFront deben tener configurado un objeto raíz predeterminado

[CloudFront.3] Las distribuciones de CloudFront deberían requerir el cifrado en tránsito

[CloudFront.4] Las distribuciones de CloudFront deben tener configurada la conmutación por error de origen

[CloudFront.5] Las distribuciones de CloudFront deben tener el registro habilitado

[CloudFront.6] Las distribuciones de CloudFront deben tener WAF habilitado

[CloudFront.7] Las distribuciones de CloudFront deben usar certificados SSL/TLS personalizados

[CloudFront.8] Las distribuciones de CloudFront deben usar SNI para atender las solicitudes HTTPS

[CloudFront.9] Las distribuciones de CloudFront deben cifrar el tráfico a orígenes personalizados

[CloudFront.10] Las distribuciones de CloudFront no deben usar protocolos SSL obsoletos entre las ubicaciones periféricas y los orígenes personalizados

[CloudFront.12] Las distribuciones de CloudFront no deben apuntar a orígenes S3 inexistentes

[CloudFront.13] Las distribuciones de CloudFront deben usar el control de acceso de origen

[CloudFront.14] Las distribuciones de CloudFront deben etiquetarse

[CloudFront.15] Las distribuciones de CloudFront deben usar la política de seguridad TLS recomendada

[CloudFront.16] Las distribuciones de CloudFront deben usar control de acceso a orígenes para orígenes de URL de funciones de Lambda

[CodeArtifact.1] Los repositorios de CodeArtifact deben etiquetarse

[CodeGuruProfiler.1] Los grupos de generación de perfiles del Generador de perfiles de CodeGuru deben estar etiquetados

[CodeGuruReviewer.1] Las asociaciones de repositorio del Revisor de CodeGuru deben estar etiquetadas

[Connect.1] Los tipos de objeto de Perfiles de clientes de Amazon Connect deben estar etiquetados.

[Connect.2] Las instancias de Amazon Connect deben tener habilitado el registro en CloudWatch

[DocumentDB.1] Los clústeres de Amazon DocumentDB deben cifrarse en reposo

[DocumentDb.2] Los clústeres de Amazon DocumentDB deben tener un período de retención de copias de seguridad adecuado

[DocumentDb.3] Las instantáneas de clústeres manuales de Amazon DocumentDB no deben ser públicas

[DocumentDb.4] Los clústeres de Amazon DocumentDB deben publicar registros de auditoría en CloudWatch Logs

[DocumentDb.5] Los clústeres de Amazon DocumentDB deben tener habilitada la protección contra eliminaciones

[DocumentDB.6] Los clústeres de Amazon DocumentDB deben estar cifrados en tránsito

[EC2.173] Las solicitudes de flota de spot de EC2 con parámetros de lanzamiento deben habilitar el cifrado para los volúmenes de EBS asociados

[ECR.4] Los repositorios públicos de ECR deben estar etiquetados

[FraudDetector.1] Los tipos de entidades de Amazon Fraud Detector deben estar etiquetados

[FraudDetector.2] Las etiquetas de categoría de Amazon Fraud Detector deben estar etiquetadas

[FraudDetector.3] Las salidas de Amazon Fraud Detector deben estar etiquetadas.

[FraudDetector.4] Las variables de Amazon Fraud Detector deben estar etiquetadas

[GlobalAccelerator.1] Los aceleradores de Global Accelerator deben etiquetarse

[IAM.26] Los certificados SSL/TLS vencidos administrados en IAM deben eliminarse

[Inspector.3] El análisis de código de Lambda en Amazon Inspector debe estar habilitado

[IoTEvents.1] Las entradas de AWS IoT Events deben estar etiquetadas.

[IoTEvents.2] Los modelos detectores de AWS IoT Events deben estar etiquetados.

[IoTEvents.3] Los modelos de alarmas de AWS IoT Events deben estar etiquetados.

[IoTSiteWise.1] Los modelos de activos de AWS IoT SiteWise deben estar etiquetados

[IoTSiteWise.2] Los paneles de AWS IoT SiteWise deben estar etiquetados

[IoTSiteWise.3] Las puertas de enlace de AWS IoT SiteWise deben estar etiquetadas

[IoTSiteWise.4] Los portales de AWS IoT SiteWise deben estar etiquetados

[IoTSiteWise.5] Los proyectos de AWS IoT SiteWise deben estar etiquetados

[IoTTwinMaker.1] Los trabajos de sincronización de AWS IoT TwinMaker deben estar etiquetados

[IoTTwinMaker.2] Los espacios de trabajo de AWS IoT TwinMaker deben estar etiquetados

[IoTTwinMaker.3] Las escenas de AWS IoT TwinMaker deben estar etiquetadas

[IoTTwinMaker.4] Las entidades de AWS IoT TwinMaker deben estar etiquetadas

[IoTWireless.1] Los grupos de multidifusión de AWS IoT Wireless deben estar etiquetados

[IoTWireless.2] Los perfiles de servicio de AWS IoT Wireless deben estar etiquetados

[IoTWireless.3] Las tareas FUOTA de AWS IoT deben estar etiquetadas

[IVS.1] Los pares de claves de reproducción de IVS deben estar etiquetados

[IVS.2] Las configuraciones de grabación de IVS deben estar etiquetadas

[IVS.3] Los canales de IVS deben estar etiquetados

Los clústeres de bases de datos de RDS [RDS.35] deben tener habilitada la actualización automática de las versiones secundarias

[RDS.47] Los clústeres de bases de datos de RDS para PostgreSQL deben estar configurados para copiar etiquetas en instantáneas de bases de datos

[RDS.48] Los clústeres de bases de datos de RDS para MySQL deben estar configurados para copiar etiquetas en las instantáneas de bases de datos

[Redshift.18] Los clústeres de Redshift deben tener habilitadas las implementaciones Multi-AZ

[Route53.1] Las comprobaciones de estado de Route 53 deben estar etiquetadas

Las zonas alojadas públicas de Route 53 [Route53.2] deben registrar las consultas de DNS

[S3.24] Los puntos de acceso de varias regiones de S3 deben tener habilitado el bloqueo de acceso público

[S3.25] Los buckets de directorio de S3 deben tener configuraciones de ciclo de vida

El registro de AWS WAF [WAF.1] ACL web global clásica debe estar habilitado

Las reglas globales de AWS WAF [WAF.6] clásicas deben tener al menos una condición

Los grupos de reglas globales de AWS WAF [WAF.7] clásicos deben tener al menos una regla

Las ACL web de AWS WAF [WAF.8] globales clásicas deben tener al menos una regla o grupo de reglas

[WorkSpaces.1] Los volúmenes de usuarios de WorkSpaces deben estar cifrados en reposo

[WorkSpaces.2] Los volúmenes raíz de WorkSpaces deben estar cifrados en reposo

[AppSync.1] Las cachés de la API de AWS AppSync deben estar cifradas en reposo

[AppSync.6] Las cachés de la API de AWS AppSync deben estar cifradas en tránsito

[CloudFront.1] Las distribuciones de CloudFront deben tener configurado un objeto raíz predeterminado

[CloudFront.3] Las distribuciones de CloudFront deberían requerir el cifrado en tránsito

[CloudFront.4] Las distribuciones de CloudFront deben tener configurada la conmutación por error de origen

[CloudFront.5] Las distribuciones de CloudFront deben tener el registro habilitado

[CloudFront.6] Las distribuciones de CloudFront deben tener WAF habilitado

[CloudFront.7] Las distribuciones de CloudFront deben usar certificados SSL/TLS personalizados

[CloudFront.8] Las distribuciones de CloudFront deben usar SNI para atender las solicitudes HTTPS

[CloudFront.9] Las distribuciones de CloudFront deben cifrar el tráfico a orígenes personalizados

[CloudFront.10] Las distribuciones de CloudFront no deben usar protocolos SSL obsoletos entre las ubicaciones periféricas y los orígenes personalizados

[CloudFront.12] Las distribuciones de CloudFront no deben apuntar a orígenes S3 inexistentes

[CloudFront.13] Las distribuciones de CloudFront deben usar el control de acceso de origen

[CloudFront.14] Las distribuciones de CloudFront deben etiquetarse

[CloudFront.15] Las distribuciones de CloudFront deben usar la política de seguridad TLS recomendada

[CloudFront.16] Las distribuciones de CloudFront deben usar control de acceso a orígenes para orígenes de URL de funciones de Lambda

[EC2.173] Las solicitudes de flota de spot de EC2 con parámetros de lanzamiento deben habilitar el cifrado para los volúmenes de EBS asociados

[ECR.4] Los repositorios públicos de ECR deben estar etiquetados

[IAM.26] Los certificados SSL/TLS vencidos administrados en IAM deben eliminarse

[Route53.1] Las comprobaciones de estado de Route 53 deben estar etiquetadas

Las zonas alojadas públicas de Route 53 [Route53.2] deben registrar las consultas de DNS

El registro de AWS WAF [WAF.1] ACL web global clásica debe estar habilitado

Las reglas globales de AWS WAF [WAF.6] clásicas deben tener al menos una condición

Los grupos de reglas globales de AWS WAF [WAF.7] clásicos deben tener al menos una regla

Las ACL web de AWS WAF [WAF.8] globales clásicas deben tener al menos una regla o grupo de reglas

[Amplify.1] Las aplicaciones de Amplify deben estar etiquetadas

[Amplify.2] Las ramas de Amplify deben estar etiquetadas

[AppRunner.1] Los servicios de App Runner deben estar etiquetados

[AppRunner.2] Los conectores VPC de App Runner deben estar etiquetados.

[AppSync.1] Las cachés de la API de AWS AppSync deben estar cifradas en reposo

[AppSync.6] Las cachés de la API de AWS AppSync deben estar cifradas en tránsito

[CloudFront.1] Las distribuciones de CloudFront deben tener configurado un objeto raíz predeterminado

[CloudFront.3] Las distribuciones de CloudFront deberían requerir el cifrado en tránsito

[CloudFront.4] Las distribuciones de CloudFront deben tener configurada la conmutación por error de origen

[CloudFront.5] Las distribuciones de CloudFront deben tener el registro habilitado

[CloudFront.6] Las distribuciones de CloudFront deben tener WAF habilitado

[CloudFront.7] Las distribuciones de CloudFront deben usar certificados SSL/TLS personalizados

[CloudFront.8] Las distribuciones de CloudFront deben usar SNI para atender las solicitudes HTTPS

[CloudFront.9] Las distribuciones de CloudFront deben cifrar el tráfico a orígenes personalizados

[CloudFront.10] Las distribuciones de CloudFront no deben usar protocolos SSL obsoletos entre las ubicaciones periféricas y los orígenes personalizados

[CloudFront.12] Las distribuciones de CloudFront no deben apuntar a orígenes S3 inexistentes

[CloudFront.13] Las distribuciones de CloudFront deben usar el control de acceso de origen

[CloudFront.14] Las distribuciones de CloudFront deben etiquetarse

[CloudFront.15] Las distribuciones de CloudFront deben usar la política de seguridad TLS recomendada

[CloudFront.16] Las distribuciones de CloudFront deben usar control de acceso a orígenes para orígenes de URL de funciones de Lambda

[CodeArtifact.1] Los repositorios de CodeArtifact deben etiquetarse

[CodeGuruProfiler.1] Los grupos de generación de perfiles del Generador de perfiles de CodeGuru deben estar etiquetados

[CodeGuruReviewer.1] Las asociaciones de repositorio del Revisor de CodeGuru deben estar etiquetadas

[Cognito.1] Los grupos de usuarios de Cognito deben tener la protección contra amenazas activada con el modo de aplicación obligatoria configurado en función completa para la autenticación estándar

[DMS.10] Los puntos de conexión de DMS para las bases de datos de Neptune deben tener habilitada la autorización de IAM

[DocumentDB.1] Los clústeres de Amazon DocumentDB deben cifrarse en reposo

[DocumentDb.2] Los clústeres de Amazon DocumentDB deben tener un período de retención de copias de seguridad adecuado

[DocumentDb.3] Las instantáneas de clústeres manuales de Amazon DocumentDB no deben ser públicas

[DocumentDb.4] Los clústeres de Amazon DocumentDB deben publicar registros de auditoría en CloudWatch Logs

[DocumentDb.5] Los clústeres de Amazon DocumentDB deben tener habilitada la protección contra eliminaciones

[DocumentDB.6] Los clústeres de Amazon DocumentDB deben estar cifrados en tránsito

[DynamoDB.3] Los clústeres de DynamoDB Accelerator (DAX) deben cifrarse en reposo

[DynamoDB.7] Los clústeres del Acelerador de DynamoDB deben estar cifrados en tránsito

[EC2.4] Las instancias EC2 detenidas deben eliminarse después de un período de tiempo específico

[EC2.14] Los grupos de seguridad no deben permitir la entrada desde 0.0.0.0/0 o ::/0 al puerto 3389

[EC2.24] No se deben utilizar los tipos de instancias paravirtuales de Amazon EC2

[EC2.58] Las VPC se deben configurar con un punto de conexión de interfaz para los contactos del administrador de incidentes de Systems Manager

[EC2.60] Las VPC se deben configurar con un punto de conexión de interfaz para el administrador de incidentes de Systems Manager

[EC2.173] Las solicitudes de flota de spot de EC2 con parámetros de lanzamiento deben habilitar el cifrado para los volúmenes de EBS asociados

[EC2.177] Las sesiones de duplicación de tráfico de EC2 deben estar etiquetadas

[EC2.179] Los destinos de duplicación de tráfico de EC2 deben estar etiquetados

[ECR.4] Los repositorios públicos de ECR deben estar etiquetados

[ELB.2] Los equilibradores de carga clásicos con receptores SSL/HTTPS deben usar un certificado proporcionado por AWS Certificate Manager

[ES.3] Los dominios de Elasticsearch deben cifrar los datos enviados entre nodos

[EventBridge.4] Los puntos finales globales de EventBridge deberían tener habilitada la replicación de eventos

[FraudDetector.1] Los tipos de entidades de Amazon Fraud Detector deben estar etiquetados

[FraudDetector.2] Las etiquetas de categoría de Amazon Fraud Detector deben estar etiquetadas

[FraudDetector.3] Las salidas de Amazon Fraud Detector deben estar etiquetadas.

[FraudDetector.4] Las variables de Amazon Fraud Detector deben estar etiquetadas

[GlobalAccelerator.1] Los aceleradores de Global Accelerator deben etiquetarse

[IAM.18] Asegurar que se ha creado un rol de soporte para administrar incidentes con AWS Support

[IAM.26] Los certificados SSL/TLS vencidos administrados en IAM deben eliminarse

[Inspector.3] El análisis de código de Lambda en Amazon Inspector debe estar habilitado

[IoT.1] Los perfiles de seguridad de AWS IoT Device Defender deben etiquetarse

[IoT.2] Las acciones de mitigación de AWS IoT Core deben etiquetarse

[IoT.3] Las dimensiones de AWS IoT Core deben etiquetarse

[IoT.4] Los autorizadores de AWS IoT Core deben etiquetarse

[IoT.5] Los alias de los roles de AWS IoT Core deben etiquetarse

[IoT.6] Las políticas de AWS IoT Core deben etiquetarse

[IoTEvents.1] Las entradas de AWS IoT Events deben estar etiquetadas.

[IoTEvents.2] Los modelos detectores de AWS IoT Events deben estar etiquetados.

[IoTEvents.3] Los modelos de alarmas de AWS IoT Events deben estar etiquetados.

[IoTSiteWise.1] Los modelos de activos de AWS IoT SiteWise deben estar etiquetados

[IoTSiteWise.2] Los paneles de AWS IoT SiteWise deben estar etiquetados

[IoTSiteWise.3] Las puertas de enlace de AWS IoT SiteWise deben estar etiquetadas

[IoTSiteWise.4] Los portales de AWS IoT SiteWise deben estar etiquetados

[IoTSiteWise.5] Los proyectos de AWS IoT SiteWise deben estar etiquetados

[IoTTwinMaker.1] Los trabajos de sincronización de AWS IoT TwinMaker deben estar etiquetados

[IoTTwinMaker.2] Los espacios de trabajo de AWS IoT TwinMaker deben estar etiquetados

[IoTTwinMaker.3] Las escenas de AWS IoT TwinMaker deben estar etiquetadas

[IoTTwinMaker.4] Las entidades de AWS IoT TwinMaker deben estar etiquetadas

[IoTWireless.1] Los grupos de multidifusión de AWS IoT Wireless deben estar etiquetados

[IoTWireless.2] Los perfiles de servicio de AWS IoT Wireless deben estar etiquetados

[IoTWireless.3] Las tareas FUOTA de AWS IoT deben estar etiquetadas

[IVS.1] Los pares de claves de reproducción de IVS deben estar etiquetados

[IVS.2] Las configuraciones de grabación de IVS deben estar etiquetadas

[IVS.3] Los canales de IVS deben estar etiquetados

[Keyspaces.1] Los espacios de claves de Amazon Keyspaces deben estar etiquetados

[MSK.3] Los conectores de MSK Connect deben cifrarse en tránsito

[MSK.5] Los conectores de MSK deben tener el registro habilitado

[RDS.1] La instantánea de RDS debe ser privada

Los clústeres de Amazon Aurora [RDS.14] deben tener habilitada la característica de búsqueda de datos anteriores

[RDS.31] Los grupos de seguridad de bases de datos de RDS deben etiquetarse

[RedshiftServerless.1] Los grupos de trabajo de Amazon Redshift sin servidor deben usar enrutamiento de VPC mejorado

[RedshiftServerless.2] Las conexiones a los grupos de trabajo de Redshift sin servidor deben requerir el uso de SSL

[RedshiftServerless.3] Los grupos de trabajo de Redshift sin servidor deben prohibir el acceso público

[RedshiftServerless.4] Los espacios de nombres de Redshift sin servidor se deben cifrar con una clave de AWS KMS keys administrada por el cliente

[RedshiftServerless.5] Los espacios de nombres de Redshift sin servidor no deben usar el nombre predeterminado de administrador

[RedshiftServerless.6] Los espacios de nombres de Redshift sin servidor deben exportar registros a Registros de Amazon CloudWatch

[Route53.1] Las comprobaciones de estado de Route 53 deben estar etiquetadas

Las zonas alojadas públicas de Route 53 [Route53.2] deben registrar las consultas de DNS

[S3.24] Los puntos de acceso de varias regiones de S3 deben tener habilitado el bloqueo de acceso público

[S3.25] Los buckets de directorio de S3 deben tener configuraciones de ciclo de vida

[SSM.3] Las instancias Amazon EC2 administradas por Systems Manager deben tener el estado de conformidad de la asociación de COMPLIANT

El registro de AWS WAF [WAF.1] ACL web global clásica debe estar habilitado

Las reglas globales de AWS WAF [WAF.6] clásicas deben tener al menos una condición

Los grupos de reglas globales de AWS WAF [WAF.7] clásicos deben tener al menos una regla

Las ACL web de AWS WAF [WAF.8] globales clásicas deben tener al menos una regla o grupo de reglas

[AppFlow.1] Los flujos de Amazon AppFlow deben estar etiquetados

[AppRunner.1] Los servicios de App Runner deben estar etiquetados

[AppRunner.2] Los conectores VPC de App Runner deben estar etiquetados.

[AppSync.1] Las cachés de la API de AWS AppSync deben estar cifradas en reposo

[AppSync.6] Las cachés de la API de AWS AppSync deben estar cifradas en tránsito

[CloudFront.1] Las distribuciones de CloudFront deben tener configurado un objeto raíz predeterminado

[CloudFront.3] Las distribuciones de CloudFront deberían requerir el cifrado en tránsito

[CloudFront.4] Las distribuciones de CloudFront deben tener configurada la conmutación por error de origen

[CloudFront.5] Las distribuciones de CloudFront deben tener el registro habilitado

[CloudFront.6] Las distribuciones de CloudFront deben tener WAF habilitado

[CloudFront.7] Las distribuciones de CloudFront deben usar certificados SSL/TLS personalizados

[CloudFront.8] Las distribuciones de CloudFront deben usar SNI para atender las solicitudes HTTPS

[CloudFront.9] Las distribuciones de CloudFront deben cifrar el tráfico a orígenes personalizados

[CloudFront.10] Las distribuciones de CloudFront no deben usar protocolos SSL obsoletos entre las ubicaciones periféricas y los orígenes personalizados

[CloudFront.12] Las distribuciones de CloudFront no deben apuntar a orígenes S3 inexistentes

[CloudFront.13] Las distribuciones de CloudFront deben usar el control de acceso de origen

[CloudFront.14] Las distribuciones de CloudFront deben etiquetarse

[CloudFront.15] Las distribuciones de CloudFront deben usar la política de seguridad TLS recomendada

[CloudFront.16] Las distribuciones de CloudFront deben usar control de acceso a orígenes para orígenes de URL de funciones de Lambda

[CodeArtifact.1] Los repositorios de CodeArtifact deben etiquetarse

[CodeGuruProfiler.1] Los grupos de generación de perfiles del Generador de perfiles de CodeGuru deben estar etiquetados

[CodeGuruReviewer.1] Las asociaciones de repositorio del Revisor de CodeGuru deben estar etiquetadas

[Cognito.1] Los grupos de usuarios de Cognito deben tener la protección contra amenazas activada con el modo de aplicación obligatoria configurado en función completa para la autenticación estándar

[Connect.1] Los tipos de objeto de Perfiles de clientes de Amazon Connect deben estar etiquetados.

[Connect.2] Las instancias de Amazon Connect deben tener habilitado el registro en CloudWatch

[DynamoDB.3] Los clústeres de DynamoDB Accelerator (DAX) deben cifrarse en reposo

[DynamoDB.7] Los clústeres del Acelerador de DynamoDB deben estar cifrados en tránsito

[EC2.24] No se deben utilizar los tipos de instancias paravirtuales de Amazon EC2

[EC2.58] Las VPC se deben configurar con un punto de conexión de interfaz para los contactos del administrador de incidentes de Systems Manager

[EC2.60] Las VPC se deben configurar con un punto de conexión de interfaz para el administrador de incidentes de Systems Manager

[EC2.173] Las solicitudes de flota de spot de EC2 con parámetros de lanzamiento deben habilitar el cifrado para los volúmenes de EBS asociados

[ECR.4] Los repositorios públicos de ECR deben estar etiquetados

[EventBridge.4] Los puntos finales globales de EventBridge deberían tener habilitada la replicación de eventos

[FraudDetector.1] Los tipos de entidades de Amazon Fraud Detector deben estar etiquetados

[FraudDetector.2] Las etiquetas de categoría de Amazon Fraud Detector deben estar etiquetadas

[FraudDetector.3] Las salidas de Amazon Fraud Detector deben estar etiquetadas.

[FraudDetector.4] Las variables de Amazon Fraud Detector deben estar etiquetadas

[GlobalAccelerator.1] Los aceleradores de Global Accelerator deben etiquetarse

[IAM.26] Los certificados SSL/TLS vencidos administrados en IAM deben eliminarse

[Inspector.3] El análisis de código de Lambda en Amazon Inspector debe estar habilitado

[IoTEvents.1] Las entradas de AWS IoT Events deben estar etiquetadas.

[IoTEvents.2] Los modelos detectores de AWS IoT Events deben estar etiquetados.

[IoTEvents.3] Los modelos de alarmas de AWS IoT Events deben estar etiquetados.

[IoTSiteWise.1] Los modelos de activos de AWS IoT SiteWise deben estar etiquetados

[IoTSiteWise.2] Los paneles de AWS IoT SiteWise deben estar etiquetados

[IoTSiteWise.3] Las puertas de enlace de AWS IoT SiteWise deben estar etiquetadas

[IoTSiteWise.4] Los portales de AWS IoT SiteWise deben estar etiquetados

[IoTSiteWise.5] Los proyectos de AWS IoT SiteWise deben estar etiquetados

[IoTTwinMaker.1] Los trabajos de sincronización de AWS IoT TwinMaker deben estar etiquetados

[IoTTwinMaker.2] Los espacios de trabajo de AWS IoT TwinMaker deben estar etiquetados

[IoTTwinMaker.3] Las escenas de AWS IoT TwinMaker deben estar etiquetadas

[IoTTwinMaker.4] Las entidades de AWS IoT TwinMaker deben estar etiquetadas

[IoTWireless.1] Los grupos de multidifusión de AWS IoT Wireless deben estar etiquetados

[IoTWireless.2] Los perfiles de servicio de AWS IoT Wireless deben estar etiquetados

[IoTWireless.3] Las tareas FUOTA de AWS IoT deben estar etiquetadas

[IVS.1] Los pares de claves de reproducción de IVS deben estar etiquetados

[IVS.2] Las configuraciones de grabación de IVS deben estar etiquetadas

[IVS.3] Los canales de IVS deben estar etiquetados

[MSK.3] Los conectores de MSK Connect deben cifrarse en tránsito

[MSK.5] Los conectores de MSK deben tener el registro habilitado

Los clústeres de Amazon Aurora [RDS.14] deben tener habilitada la característica de búsqueda de datos anteriores

[RDS.31] Los grupos de seguridad de bases de datos de RDS deben etiquetarse

[RedshiftServerless.1] Los grupos de trabajo de Amazon Redshift sin servidor deben usar enrutamiento de VPC mejorado

[RedshiftServerless.2] Las conexiones a los grupos de trabajo de Redshift sin servidor deben requerir el uso de SSL

[Route53.1] Las comprobaciones de estado de Route 53 deben estar etiquetadas

Las zonas alojadas públicas de Route 53 [Route53.2] deben registrar las consultas de DNS

[S3.24] Los puntos de acceso de varias regiones de S3 deben tener habilitado el bloqueo de acceso público

[S3.25] Los buckets de directorio de S3 deben tener configuraciones de ciclo de vida

[SES.1] Las listas de contactos de SES deben estar etiquetadas

[SES.2] Los conjuntos de configuración de SES deben estar etiquetados

El registro de AWS WAF [WAF.1] ACL web global clásica debe estar habilitado

Las reglas globales de AWS WAF [WAF.6] clásicas deben tener al menos una condición

Los grupos de reglas globales de AWS WAF [WAF.7] clásicos deben tener al menos una regla

Las ACL web de AWS WAF [WAF.8] globales clásicas deben tener al menos una regla o grupo de reglas

[WorkSpaces.1] Los volúmenes de usuarios de WorkSpaces deben estar cifrados en reposo

[WorkSpaces.2] Los volúmenes raíz de WorkSpaces deben estar cifrados en reposo

[Account.2] Cuentas de AWS debe ser parte de una organización de AWS Organizations

[APIGateway.8] Las rutas de API Gateway deben especificar un tipo de autorización

[APIGateway.9] El registro de acceso debe configurarse para las etapas V2 de API Gateway

[Amplify.1] Las aplicaciones de Amplify deben estar etiquetadas

[Amplify.2] Las ramas de Amplify deben estar etiquetadas

[AppConfig.1] Las aplicaciones de AWS AppConfig deben estar etiquetadas

[AppConfig.2] Los perfiles de configuración de AWS AppConfig deben estar etiquetados

[AppConfig.3] Los entornos de AWS AppConfig deben estar etiquetados

[AppFlow.1] Los flujos de Amazon AppFlow deben estar etiquetados

[AppRunner.1] Los servicios de App Runner deben estar etiquetados

[AppRunner.2] Los conectores VPC de App Runner deben estar etiquetados.

[AppSync.1] Las cachés de la API de AWS AppSync deben estar cifradas en reposo

[AppSync.6] Las cachés de la API de AWS AppSync deben estar cifradas en tránsito

Los puntos de recuperación de [Backup.1] AWS Backup deben estar cifrados en reposo

[Backup.4] Los planes de informes de AWS Backup deben etiquetarse

[CloudFront.1] Las distribuciones de CloudFront deben tener configurado un objeto raíz predeterminado

[CloudFront.3] Las distribuciones de CloudFront deberían requerir el cifrado en tránsito

[CloudFront.4] Las distribuciones de CloudFront deben tener configurada la conmutación por error de origen

[CloudFront.5] Las distribuciones de CloudFront deben tener el registro habilitado

[CloudFront.6] Las distribuciones de CloudFront deben tener WAF habilitado

[CloudFront.7] Las distribuciones de CloudFront deben usar certificados SSL/TLS personalizados

[CloudFront.8] Las distribuciones de CloudFront deben usar SNI para atender las solicitudes HTTPS

[CloudFront.9] Las distribuciones de CloudFront deben cifrar el tráfico a orígenes personalizados

[CloudFront.10] Las distribuciones de CloudFront no deben usar protocolos SSL obsoletos entre las ubicaciones periféricas y los orígenes personalizados

[CloudFront.12] Las distribuciones de CloudFront no deben apuntar a orígenes S3 inexistentes

[CloudFront.13] Las distribuciones de CloudFront deben usar el control de acceso de origen

[CloudFront.14] Las distribuciones de CloudFront deben etiquetarse

[CloudFront.15] Las distribuciones de CloudFront deben usar la política de seguridad TLS recomendada

[CloudFront.16] Las distribuciones de CloudFront deben usar control de acceso a orígenes para orígenes de URL de funciones de Lambda

[CloudTrail.6] Asegúrese de que el bucket de S3 utilizado para almacenar los registros de CloudTrail no sea de acceso público

[CloudTrail.7] Asegúrese de que el registro de acceso al bucket S3 esté habilitado en el bucket S3 de CloudTrail

[CodeArtifact.1] Los repositorios de CodeArtifact deben etiquetarse

[CodeGuruProfiler.1] Los grupos de generación de perfiles del Generador de perfiles de CodeGuru deben estar etiquetados

[CodeGuruReviewer.1] Las asociaciones de repositorio del Revisor de CodeGuru deben estar etiquetadas

[Cognito.1] Los grupos de usuarios de Cognito deben tener la protección contra amenazas activada con el modo de aplicación obligatoria configurado en función completa para la autenticación estándar

[Cognito.2] Los grupos de identidades de Cognito no deben permitir identidades no autenticadas

[Connect.1] Los tipos de objeto de Perfiles de clientes de Amazon Connect deben estar etiquetados.

[Connect.2] Las instancias de Amazon Connect deben tener habilitado el registro en CloudWatch

[Detective.1] Los gráficos de comportamiento de Detective deben estar etiquetados

[DMS.2] Los certificados DMS deben estar etiquetados

[DMS.3] Las suscripciones a eventos de DMS deben estar etiquetadas

[DMS.4] Las instancias de replicación de DMS deben etiquetarse

[DMS.5] Los grupos de subredes de replicación del DMS deben estar etiquetados

[DMS.6] Las instancias de replicación de DMS deben tener habilitada la actualización automática de las versiones secundarias

[DMS.7] Las tareas de replicación de DMS para la base de datos de destino deben tener habilitado el registro

[DMS.8] Las tareas de replicación del DMS para la base de datos de origen deben tener habilitado el registro

[DMS.9] Los puntos finales del DMS deben usar SSL

[DMS.10] Los puntos de conexión de DMS para las bases de datos de Neptune deben tener habilitada la autorización de IAM

[DMS.11] Los puntos de conexión de DMS para MongoDB deben tener un mecanismo de autenticación habilitado

[DMS.12] Los puntos de conexión de DMS para Redis OSS deben tener el TLS habilitado

[DMS.13] Las instancias de replicación de DMS se deben configurar para usar varias zonas de disponibilidad

[DynamoDB.3] Los clústeres de DynamoDB Accelerator (DAX) deben cifrarse en reposo

[DynamoDB.7] Los clústeres del Acelerador de DynamoDB deben estar cifrados en tránsito

[EC2.14] Los grupos de seguridad no deben permitir la entrada desde 0.0.0.0/0 o ::/0 al puerto 3389

[EC2.22] Los grupos de seguridad de Amazon EC2 que no se utilicen deben eliminarse

[EC2.24] No se deben utilizar los tipos de instancias paravirtuales de Amazon EC2

[EC2.25] Las plantillas de lanzamiento de Amazon EC2 no deben asignar direcciones IP públicas a las interfaces de red

[EC2.34] Las tablas de enrutamiento de las puertas de enlace de tránsito de EC2 deben etiquetarse

[EC2.40] Las puertas de enlace de NAT de EC2 deben etiquetarse

[EC2.48] Los registros de flujo de Amazon VPC deben etiquetarse

[EC2.51] Los puntos de conexión de Client VPN de EC2 deben tener habilitado el registro de conexiones de clientes

[EC2.58] Las VPC se deben configurar con un punto de conexión de interfaz para los contactos del administrador de incidentes de Systems Manager

[EC2.60] Las VPC se deben configurar con un punto de conexión de interfaz para el administrador de incidentes de Systems Manager

[EC2.170] Las plantillas de lanzamiento de EC2 deben utilizar el servicio de metadatos de instancias versión 2 (IMDSv2)

[EC2.173] Las solicitudes de flota de spot de EC2 con parámetros de lanzamiento deben habilitar el cifrado para los volúmenes de EBS asociados

[EC2.175] Las plantillas de lanzamiento de EC2 deben estar etiquetadas

[EC2.177] Las sesiones de duplicación de tráfico de EC2 deben estar etiquetadas

[EC2.179] Los destinos de duplicación de tráfico de EC2 deben estar etiquetados

[EC2.180] Las interfaces de red de EC2 deben tener habilitada la comprobación de origen y destino

[EC2.181] Las plantillas de lanzamiento de EC2 deben habilitar el cifrado para los volúmenes de EBS asociados

[ECR.4] Los repositorios públicos de ECR deben estar etiquetados

[EFS.1] Elastic File System debe configurarse para cifrar los datos del archivo en reposo con AWS KMS

[EFS.2] Los volúmenes de Amazon EFS deben estar en los planes de respaldo

[ELB.14] El Equilibrador de carga clásico debe configurarse con el modo defensivo o de mitigación de desincronización más estricto

[ELB.17] Los equilibradores de carga de aplicación y los equilibradores de carga de red con oyentes deben usar políticas de seguridad recomendadas

[ELB.18] Los oyentes de los equilibradores de carga de aplicación y de los equilibradores de carga de red deben usar protocolos seguros para cifrar los datos en tránsito

[ElastiCache.1] Los clústeres de ElastiCache (Redis OSS) deben tener habilitada la copia de seguridad automática

[ElastiCache.6] Los grupos de replicación de ElastiCache (Redis OSS) de versiones anteriores de Redis deben tener Redis OSS AUTH activado

[ElastiCache.7] Los clústeres de ElastiCache no deben usar el grupo de subredes predeterminado

[ElasticBeanstalk.1] Los entornos de Elastic Beanstalk deberían tener habilitados los informes de estado mejorados

[ElasticBeanstalk.2] Las actualizaciones de la plataforma gestionada de Elastic Beanstalk deben estar habilitadas

[ElasticBeanstalk.3] Elastic Beanstalk debería transmitir los registros a CloudWatch

[EMR.1] Los nodos maestros del clúster de Amazon EMR no deben tener direcciones IP públicas

[ES.4] Debe estar habilitado el registro de errores del dominio de Elasticsearch en CloudWatch Logs

[EventBridge.4] Los puntos finales globales de EventBridge deberían tener habilitada la replicación de eventos

[FraudDetector.1] Los tipos de entidades de Amazon Fraud Detector deben estar etiquetados

[FraudDetector.2] Las etiquetas de categoría de Amazon Fraud Detector deben estar etiquetadas

[FraudDetector.3] Las salidas de Amazon Fraud Detector deben estar etiquetadas.

[FraudDetector.4] Las variables de Amazon Fraud Detector deben estar etiquetadas

[GlobalAccelerator.1] Los aceleradores de Global Accelerator deben etiquetarse

[Glue.4] Los trabajos de AWS Glue Spark se deben ejecutar en versiones compatibles de AWS Glue

[GuardDuty.2] Los filtros GuardDuty deben estar etiquetados

[IAM.1] Las políticas de IAM no deben permitir privilegios administrativos completos “*”

[IAM.2] Los usuarios de IAM no deben tener políticas de IAM asociadas

[IAM.3] Las claves de acceso de los usuarios de IAM deben rotarse cada 90 días o menos

[IAM.5] MFA debe estar habilitado para todos los usuarios de IAM que tengan una contraseña de consola

[IAM.8] Deben eliminarse las credenciales de usuario de IAM no utilizadas

[IAM.18] Asegurar que se ha creado un rol de soporte para administrar incidentes con AWS Support

[IAM.19] MFA se debe habilitar para todos los usuarios de IAM

[IAM.21] Las políticas de IAM gestionadas por el cliente que usted cree no deberían permitir acciones comodín en los servicios

[IAM.22] Se deben eliminar las credenciales de usuario de IAM que no se hayan utilizado durante 45 días

[IAM.24] Los roles de IAM deben etiquetarse

[IAM.25] Los usuarios de IAM deben etiquetarse

[IAM.26] Los certificados SSL/TLS vencidos administrados en IAM deben eliminarse

[IAM.27] Las identidades de IAM no deben tener adjunta la política AWSCloudShellFullAccess

[Inspector.1] El análisis de EC2 en Amazon Inspector debe estar habilitado

[Inspector.2] El análisis de ECR en Amazon Inspector debe estar habilitado

[Inspector.3] El análisis de código de Lambda en Amazon Inspector debe estar habilitado

[Inspector.4] El análisis estándar de Lambda en Amazon Inspector debe estar habilitado

[IoT.1] Los perfiles de seguridad de AWS IoT Device Defender deben etiquetarse

[IoT.2] Las acciones de mitigación de AWS IoT Core deben etiquetarse

[IoT.3] Las dimensiones de AWS IoT Core deben etiquetarse

[IoT.4] Los autorizadores de AWS IoT Core deben etiquetarse

[IoT.5] Los alias de los roles de AWS IoT Core deben etiquetarse

[IoT.6] Las políticas de AWS IoT Core deben etiquetarse

[IoTEvents.1] Las entradas de AWS IoT Events deben estar etiquetadas.

[IoTEvents.2] Los modelos detectores de AWS IoT Events deben estar etiquetados.

[IoTEvents.3] Los modelos de alarmas de AWS IoT Events deben estar etiquetados.

[IoTSiteWise.1] Los modelos de activos de AWS IoT SiteWise deben estar etiquetados

[IoTSiteWise.2] Los paneles de AWS IoT SiteWise deben estar etiquetados

[IoTSiteWise.3] Las puertas de enlace de AWS IoT SiteWise deben estar etiquetadas

[IoTSiteWise.4] Los portales de AWS IoT SiteWise deben estar etiquetados

[IoTSiteWise.5] Los proyectos de AWS IoT SiteWise deben estar etiquetados

[IoTTwinMaker.1] Los trabajos de sincronización de AWS IoT TwinMaker deben estar etiquetados

[IoTTwinMaker.2] Los espacios de trabajo de AWS IoT TwinMaker deben estar etiquetados

[IoTTwinMaker.3] Las escenas de AWS IoT TwinMaker deben estar etiquetadas

[IoTTwinMaker.4] Las entidades de AWS IoT TwinMaker deben estar etiquetadas

[IoTWireless.1] Los grupos de multidifusión de AWS IoT Wireless deben estar etiquetados

[IoTWireless.2] Los perfiles de servicio de AWS IoT Wireless deben estar etiquetados

[IoTWireless.3] Las tareas FUOTA de AWS IoT deben estar etiquetadas

[IVS.1] Los pares de claves de reproducción de IVS deben estar etiquetados

[IVS.2] Las configuraciones de grabación de IVS deben estar etiquetadas

[IVS.3] Los canales de IVS deben estar etiquetados

[Keyspaces.1] Los espacios de claves de Amazon Keyspaces deben estar etiquetados

[KMS.1] Las políticas gestionadas por los clientes de IAM no deberían permitir acciones de descifrado en todas las claves de KMS

[KMS.2] Los directores de IAM no deberían tener políticas integradas de IAM que permitan realizar acciones de descifrado en todas las claves de KMS

[Lambda.7] Las funciones de Lambda deben tener habilitado el rastreo activo de AWS X-Ray

[Macie.1] Amazon Macie debe estar habilitado

[Macie.2] La detección automática de datos confidenciales de Macie debe estar habilitada

[MQ.2] Los agentes de ActiveMQ deberían transmitir los registros de auditoría a CloudWatch

[MQ.3] Los agentes de Amazon MQ deben tener habilitada la actualización automática de las versiones secundarias

[MQ.4] Los agentes de Amazon MQ deben estar etiquetados

[MQ.5] Los corredores ActiveMQ deben usar el modo de implementación activo/en espera

[MQ.6] Los corredores de RabbitMQ deberían usar el modo de implementación de clústeres

[MSK.3] Los conectores de MSK Connect deben cifrarse en tránsito

[MSK.4] Los clústeres de MSK deben tener el acceso público desactivado

[MSK.5] Los conectores de MSK deben tener el registro habilitado

[MSK.6] Los clústeres de MSK deben desactivar el acceso sin autenticación

[Neptune.1] Los clústeres de bases de datos de Neptune deben cifrarse en reposo

[Neptune.2] Los clústeres de base de datos de Neptune tienen que publicar registros de auditoría en CloudWatch Logs

[Neptune.3] Las instantáneas del clúster de base de datos de Neptune no deben ser públicas

[Neptune.4] Los clústeres de base de datos de Neptune deben tener habilitada la protección de eliminación

[Neptune.5] Los clústeres de bases de datos de Neptune deberían tener habilitadas las copias de seguridad automáticas

[Neptune.6] Las instantáneas del clúster de base de datos de Neptune deben cifrarse en reposo

[Neptune.7] Los clústeres de base de datos de Neptune deben tener habilitada la autenticación de bases de datos de IAM

[Neptune.8] Los clústeres de base de datos de Neptune deben configurarse para copiar etiquetas a las instantáneas

[Neptune.9] Los clústeres de base de datos de Neptune se deben implementar en varias zonas de disponibilidad

[Opensearch.1] Los dominios de OpenSearch deben tener activado el cifrado en reposo

[Opensearch.2] Los dominios de OpenSearch no deben ser de acceso público

Los dominios de OpenSearch [Opensearch.3] deben cifrar los datos enviados entre nodos

Debe estar habilitado el registro de errores del dominio OpenSearch [Opensearch.4] en CloudWatch Logs

Los dominios de OpenSearch [Opensearch.5] deben tener habilitado el registro de auditoría

Los dominios de OpenSearch [Opensearch.6] deben tener al menos tres nodos de datos

Los dominios de OpenSearch [Opensearch.7] deben tener habilitado un control de acceso detallado

[Opensearch.8] Las conexiones a los dominios de OpenSearch deben cifrarse mediante la política de seguridad TLS más reciente

[Opensearch.9] Los dominios de OpenSearch deben estar etiquetados

[Opensearch.10] Los dominios de OpenSearch deben tener instalada la última actualización de software

[Opensearch.11] Los dominios de OpenSearch deben tener al menos tres nodos principales dedicados

Los clústeres de Amazon Aurora [RDS.14] deben tener habilitada la característica de búsqueda de datos anteriores

[RDS.31] Los grupos de seguridad de bases de datos de RDS deben etiquetarse

Los clústeres de bases de datos de RDS [RDS.35] deben tener habilitada la actualización automática de las versiones secundarias

[RDS.37] Los clústeres de base de datos Aurora PostgreSQL deben publicar registros en Registros de CloudWatch

Los clústeres de Redshift [Redshift.10] deben cifrarse en reposo

[Redshift.18] Los clústeres de Redshift deben tener habilitadas las implementaciones Multi-AZ

[RedshiftServerless.1] Los grupos de trabajo de Amazon Redshift sin servidor deben usar enrutamiento de VPC mejorado

[RedshiftServerless.2] Las conexiones a los grupos de trabajo de Redshift sin servidor deben requerir el uso de SSL

[RedshiftServerless.3] Los grupos de trabajo de Redshift sin servidor deben prohibir el acceso público

[RedshiftServerless.4] Los espacios de nombres de Redshift sin servidor se deben cifrar con una clave de AWS KMS keys administrada por el cliente

[RedshiftServerless.5] Los espacios de nombres de Redshift sin servidor no deben usar el nombre predeterminado de administrador

[RedshiftServerless.6] Los espacios de nombres de Redshift sin servidor deben exportar registros a Registros de Amazon CloudWatch

[Route53.1] Las comprobaciones de estado de Route 53 deben estar etiquetadas

Las zonas alojadas públicas de Route 53 [Route53.2] deben registrar las consultas de DNS

[S3.6] Las políticas de buckets de uso general de S3 deben restringir el acceso a otras Cuentas de AWS

[S3.24] Los puntos de acceso de varias regiones de S3 deben tener habilitado el bloqueo de acceso público

[S3.25] Los buckets de directorio de S3 deben tener configuraciones de ciclo de vida

Las instancias de cuaderno de Amazon SageMaker [SageMaker.1] no deberían tener acceso directo a Internet

Las instancias de cuaderno de SageMaker [SageMaker.2] deben lanzarse en una VPC personalizada

Los usuarios [SageMaker.3] no deberían tener acceso raíz a las instancias del cuaderno de SageMaker

[SageMaker.5] Los modelos de SageMaker deben tener habilitado el aislamiento de red

[SageMaker.6] Las configuraciones de imágenes de aplicaciones de SageMaker deben estar etiquetadas

[SageMaker.7] Las imágenes de SageMaker deben estar etiquetadas

[SES.1] Las listas de contactos de SES deben estar etiquetadas

[SES.2] Los conjuntos de configuración de SES deben estar etiquetados

Las colas de Amazon SQS [SQS.1] deben cifrarse en reposo

[SQS.2] Las colas de SQS deben estar etiquetadas

[SQS.3] Las políticas de acceso de la cola de SQS no deben permitir el acceso público

[SSM.3] Las instancias Amazon EC2 administradas por Systems Manager deben tener el estado de conformidad de la asociación de COMPLIANT

[SSM.6] La automatización de SSM debe tener habilitado el registro de CloudWatch

[SSM.7] Los documentos de SSM deben tener habilitada la configuración para bloquear el uso compartido público

[Transfer.3] Los conectores de Transfer Family deben tener habilitado el registro

[Transfer.4] Los acuerdos de Transfer Family deben estar etiquetados

El registro de AWS WAF [WAF.1] ACL web global clásica debe estar habilitado

Los grupos de reglas de AWS WAF [WAF.3] Regionales clásicos deben tener al menos una regla

Las reglas globales de AWS WAF [WAF.6] clásicas deben tener al menos una condición

Los grupos de reglas globales de AWS WAF [WAF.7] clásicos deben tener al menos una regla

Las ACL web de AWS WAF [WAF.8] globales clásicas deben tener al menos una regla o grupo de reglas

Las ACL web de AWS WAF [WAF.10] deben tener al menos una regla o grupo de reglas

[WorkSpaces.1] Los volúmenes de usuarios de WorkSpaces deben estar cifrados en reposo

[WorkSpaces.2] Los volúmenes raíz de WorkSpaces deben estar cifrados en reposo

[Account.2] Cuentas de AWS debe ser parte de una organización de AWS Organizations

[APIGateway.8] Las rutas de API Gateway deben especificar un tipo de autorización

[APIGateway.9] El registro de acceso debe configurarse para las etapas V2 de API Gateway

[Amplify.1] Las aplicaciones de Amplify deben estar etiquetadas

[Amplify.2] Las ramas de Amplify deben estar etiquetadas

[AppFlow.1] Los flujos de Amazon AppFlow deben estar etiquetados

[AppRunner.1] Los servicios de App Runner deben estar etiquetados

[AppRunner.2] Los conectores VPC de App Runner deben estar etiquetados.

[AppSync.1] Las cachés de la API de AWS AppSync deben estar cifradas en reposo

[AppSync.6] Las cachés de la API de AWS AppSync deben estar cifradas en tránsito

Los puntos de recuperación de [Backup.1] AWS Backup deben estar cifrados en reposo

[Backup.4] Los planes de informes de AWS Backup deben etiquetarse

[CloudFront.1] Las distribuciones de CloudFront deben tener configurado un objeto raíz predeterminado

[CloudFront.3] Las distribuciones de CloudFront deberían requerir el cifrado en tránsito

[CloudFront.4] Las distribuciones de CloudFront deben tener configurada la conmutación por error de origen

[CloudFront.5] Las distribuciones de CloudFront deben tener el registro habilitado

[CloudFront.6] Las distribuciones de CloudFront deben tener WAF habilitado

[CloudFront.7] Las distribuciones de CloudFront deben usar certificados SSL/TLS personalizados

[CloudFront.8] Las distribuciones de CloudFront deben usar SNI para atender las solicitudes HTTPS

[CloudFront.9] Las distribuciones de CloudFront deben cifrar el tráfico a orígenes personalizados

[CloudFront.10] Las distribuciones de CloudFront no deben usar protocolos SSL obsoletos entre las ubicaciones periféricas y los orígenes personalizados

[CloudFront.12] Las distribuciones de CloudFront no deben apuntar a orígenes S3 inexistentes

[CloudFront.13] Las distribuciones de CloudFront deben usar el control de acceso de origen

[CloudFront.14] Las distribuciones de CloudFront deben etiquetarse

[CloudFront.15] Las distribuciones de CloudFront deben usar la política de seguridad TLS recomendada

[CloudFront.16] Las distribuciones de CloudFront deben usar control de acceso a orígenes para orígenes de URL de funciones de Lambda

[CodeArtifact.1] Los repositorios de CodeArtifact deben etiquetarse

[CodeBuild.1] Las URL del repositorio de origen de Bitbucket de CodeBuild no deben contener credenciales confidenciales

[CodeBuild.2] Las variables de entorno del proyecto de CodeBuild no deben contener credenciales de texto sin cifrar

[CodeBuild.3] Los registros de CodeBuild S3 deben estar cifrados

[CodeBuild.4] Los entornos del proyecto CodeBuild deben tener una duración de registro de AWS Config

[CodeGuruProfiler.1] Los grupos de generación de perfiles del Generador de perfiles de CodeGuru deben estar etiquetados

[CodeGuruReviewer.1] Las asociaciones de repositorio del Revisor de CodeGuru deben estar etiquetadas

[Cognito.1] Los grupos de usuarios de Cognito deben tener la protección contra amenazas activada con el modo de aplicación obligatoria configurado en función completa para la autenticación estándar

[Connect.1] Los tipos de objeto de Perfiles de clientes de Amazon Connect deben estar etiquetados.

[Connect.2] Las instancias de Amazon Connect deben tener habilitado el registro en CloudWatch

[Detective.1] Los gráficos de comportamiento de Detective deben estar etiquetados

[DMS.2] Los certificados DMS deben estar etiquetados

[DMS.3] Las suscripciones a eventos de DMS deben estar etiquetadas

[DMS.4] Las instancias de replicación de DMS deben etiquetarse

[DMS.5] Los grupos de subredes de replicación del DMS deben estar etiquetados

[DMS.6] Las instancias de replicación de DMS deben tener habilitada la actualización automática de las versiones secundarias

[DMS.7] Las tareas de replicación de DMS para la base de datos de destino deben tener habilitado el registro

[DMS.8] Las tareas de replicación del DMS para la base de datos de origen deben tener habilitado el registro

[DMS.9] Los puntos finales del DMS deben usar SSL

[DMS.10] Los puntos de conexión de DMS para las bases de datos de Neptune deben tener habilitada la autorización de IAM

[DMS.11] Los puntos de conexión de DMS para MongoDB deben tener un mecanismo de autenticación habilitado

[DMS.12] Los puntos de conexión de DMS para Redis OSS deben tener el TLS habilitado

[DMS.13] Las instancias de replicación de DMS se deben configurar para usar varias zonas de disponibilidad

[DocumentDB.1] Los clústeres de Amazon DocumentDB deben cifrarse en reposo

[DocumentDb.2] Los clústeres de Amazon DocumentDB deben tener un período de retención de copias de seguridad adecuado

[DocumentDb.3] Las instantáneas de clústeres manuales de Amazon DocumentDB no deben ser públicas

[DocumentDb.4] Los clústeres de Amazon DocumentDB deben publicar registros de auditoría en CloudWatch Logs

[DocumentDb.5] Los clústeres de Amazon DocumentDB deben tener habilitada la protección contra eliminaciones

[DocumentDB.6] Los clústeres de Amazon DocumentDB deben estar cifrados en tránsito

[DynamoDB.3] Los clústeres de DynamoDB Accelerator (DAX) deben cifrarse en reposo

[DynamoDB.7] Los clústeres del Acelerador de DynamoDB deben estar cifrados en tránsito

[EC2.14] Los grupos de seguridad no deben permitir la entrada desde 0.0.0.0/0 o ::/0 al puerto 3389

[EC2.22] Los grupos de seguridad de Amazon EC2 que no se utilicen deben eliminarse

[EC2.24] No se deben utilizar los tipos de instancias paravirtuales de Amazon EC2

[EC2.51] Los puntos de conexión de Client VPN de EC2 deben tener habilitado el registro de conexiones de clientes

[EC2.58] Las VPC se deben configurar con un punto de conexión de interfaz para los contactos del administrador de incidentes de Systems Manager

[EC2.60] Las VPC se deben configurar con un punto de conexión de interfaz para el administrador de incidentes de Systems Manager

[EC2.173] Las solicitudes de flota de spot de EC2 con parámetros de lanzamiento deben habilitar el cifrado para los volúmenes de EBS asociados

[EC2.177] Las sesiones de duplicación de tráfico de EC2 deben estar etiquetadas

[EC2.179] Los destinos de duplicación de tráfico de EC2 deben estar etiquetados

[ECR.4] Los repositorios públicos de ECR deben estar etiquetados

[EFS.1] Elastic File System debe configurarse para cifrar los datos del archivo en reposo con AWS KMS

[EFS.2] Los volúmenes de Amazon EFS deben estar en los planes de respaldo

[ELB.17] Los equilibradores de carga de aplicación y los equilibradores de carga de red con oyentes deben usar políticas de seguridad recomendadas

[ELB.18] Los oyentes de los equilibradores de carga de aplicación y de los equilibradores de carga de red deben usar protocolos seguros para cifrar los datos en tránsito

[ElastiCache.1] Los clústeres de ElastiCache (Redis OSS) deben tener habilitada la copia de seguridad automática

[ElastiCache.6] Los grupos de replicación de ElastiCache (Redis OSS) de versiones anteriores de Redis deben tener Redis OSS AUTH activado

[ElastiCache.7] Los clústeres de ElastiCache no deben usar el grupo de subredes predeterminado

[ElasticBeanstalk.1] Los entornos de Elastic Beanstalk deberían tener habilitados los informes de estado mejorados

[ElasticBeanstalk.2] Las actualizaciones de la plataforma gestionada de Elastic Beanstalk deben estar habilitadas

[EventBridge.4] Los puntos finales globales de EventBridge deberían tener habilitada la replicación de eventos

[FraudDetector.1] Los tipos de entidades de Amazon Fraud Detector deben estar etiquetados

[FraudDetector.2] Las etiquetas de categoría de Amazon Fraud Detector deben estar etiquetadas

[FraudDetector.3] Las salidas de Amazon Fraud Detector deben estar etiquetadas.

[FraudDetector.4] Las variables de Amazon Fraud Detector deben estar etiquetadas

[GlobalAccelerator.1] Los aceleradores de Global Accelerator deben etiquetarse

[GuardDuty.2] Los filtros GuardDuty deben estar etiquetados

[IAM.18] Asegurar que se ha creado un rol de soporte para administrar incidentes con AWS Support

[IAM.26] Los certificados SSL/TLS vencidos administrados en IAM deben eliminarse

[Inspector.3] El análisis de código de Lambda en Amazon Inspector debe estar habilitado

[IoT.1] Los perfiles de seguridad de AWS IoT Device Defender deben etiquetarse

[IoT.2] Las acciones de mitigación de AWS IoT Core deben etiquetarse

[IoT.3] Las dimensiones de AWS IoT Core deben etiquetarse

[IoT.4] Los autorizadores de AWS IoT Core deben etiquetarse

[IoT.5] Los alias de los roles de AWS IoT Core deben etiquetarse

[IoT.6] Las políticas de AWS IoT Core deben etiquetarse

[IoTEvents.1] Las entradas de AWS IoT Events deben estar etiquetadas.

[IoTEvents.2] Los modelos detectores de AWS IoT Events deben estar etiquetados.

[IoTEvents.3] Los modelos de alarmas de AWS IoT Events deben estar etiquetados.

[IoTSiteWise.1] Los modelos de activos de AWS IoT SiteWise deben estar etiquetados

[IoTSiteWise.2] Los paneles de AWS IoT SiteWise deben estar etiquetados

[IoTSiteWise.3] Las puertas de enlace de AWS IoT SiteWise deben estar etiquetadas

[IoTSiteWise.4] Los portales de AWS IoT SiteWise deben estar etiquetados

[IoTSiteWise.5] Los proyectos de AWS IoT SiteWise deben estar etiquetados

[IoTTwinMaker.1] Los trabajos de sincronización de AWS IoT TwinMaker deben estar etiquetados

[IoTTwinMaker.2] Los espacios de trabajo de AWS IoT TwinMaker deben estar etiquetados

[IoTTwinMaker.3] Las escenas de AWS IoT TwinMaker deben estar etiquetadas

[IoTTwinMaker.4] Las entidades de AWS IoT TwinMaker deben estar etiquetadas

[IoTWireless.1] Los grupos de multidifusión de AWS IoT Wireless deben estar etiquetados

[IoTWireless.2] Los perfiles de servicio de AWS IoT Wireless deben estar etiquetados

[IoTWireless.3] Las tareas FUOTA de AWS IoT deben estar etiquetadas

[IVS.1] Los pares de claves de reproducción de IVS deben estar etiquetados

[IVS.2] Las configuraciones de grabación de IVS deben estar etiquetadas

[IVS.3] Los canales de IVS deben estar etiquetados

[Keyspaces.1] Los espacios de claves de Amazon Keyspaces deben estar etiquetados

[Macie.1] Amazon Macie debe estar habilitado

[Macie.2] La detección automática de datos confidenciales de Macie debe estar habilitada

[MSK.3] Los conectores de MSK Connect deben cifrarse en tránsito

[MSK.5] Los conectores de MSK deben tener el registro habilitado

[Neptune.1] Los clústeres de bases de datos de Neptune deben cifrarse en reposo

[Neptune.2] Los clústeres de base de datos de Neptune tienen que publicar registros de auditoría en CloudWatch Logs

[Neptune.3] Las instantáneas del clúster de base de datos de Neptune no deben ser públicas

[Neptune.4] Los clústeres de base de datos de Neptune deben tener habilitada la protección de eliminación

[Neptune.5] Los clústeres de bases de datos de Neptune deberían tener habilitadas las copias de seguridad automáticas

[Neptune.6] Las instantáneas del clúster de base de datos de Neptune deben cifrarse en reposo

[Neptune.7] Los clústeres de base de datos de Neptune deben tener habilitada la autenticación de bases de datos de IAM

[Neptune.8] Los clústeres de base de datos de Neptune deben configurarse para copiar etiquetas a las instantáneas

[Neptune.9] Los clústeres de base de datos de Neptune se deben implementar en varias zonas de disponibilidad

Los dominios de OpenSearch [Opensearch.5] deben tener habilitado el registro de auditoría

Los dominios de OpenSearch [Opensearch.6] deben tener al menos tres nodos de datos

Los clústeres de Amazon Aurora [RDS.14] deben tener habilitada la característica de búsqueda de datos anteriores

[RDS.31] Los grupos de seguridad de bases de datos de RDS deben etiquetarse

[RedshiftServerless.1] Los grupos de trabajo de Amazon Redshift sin servidor deben usar enrutamiento de VPC mejorado

[RedshiftServerless.2] Las conexiones a los grupos de trabajo de Redshift sin servidor deben requerir el uso de SSL

[Route53.1] Las comprobaciones de estado de Route 53 deben estar etiquetadas

Las zonas alojadas públicas de Route 53 [Route53.2] deben registrar las consultas de DNS

[S3.11] Los buckets de uso general de S3 deben tener habilitadas las notificaciones de eventos

[S3.24] Los puntos de acceso de varias regiones de S3 deben tener habilitado el bloqueo de acceso público

[S3.25] Los buckets de directorio de S3 deben tener configuraciones de ciclo de vida

[ServiceCatalog.1] Las carteras de Service Catalog solo deben compartirse dentro de una organización de AWS

Las colas de Amazon SQS [SQS.1] deben cifrarse en reposo

[SQS.2] Las colas de SQS deben estar etiquetadas

[SQS.3] Las políticas de acceso de la cola de SQS no deben permitir el acceso público

[SSM.3] Las instancias Amazon EC2 administradas por Systems Manager deben tener el estado de conformidad de la asociación de COMPLIANT

El registro de AWS WAF [WAF.1] ACL web global clásica debe estar habilitado

Los grupos de reglas de AWS WAF [WAF.3] Regionales clásicos deben tener al menos una regla

Las reglas globales de AWS WAF [WAF.6] clásicas deben tener al menos una condición

Los grupos de reglas globales de AWS WAF [WAF.7] clásicos deben tener al menos una regla

Las ACL web de AWS WAF [WAF.8] globales clásicas deben tener al menos una regla o grupo de reglas

Las ACL web de AWS WAF [WAF.10] deben tener al menos una regla o grupo de reglas

[WorkSpaces.1] Los volúmenes de usuarios de WorkSpaces deben estar cifrados en reposo

[WorkSpaces.2] Los volúmenes raíz de WorkSpaces deben estar cifrados en reposo

[ACM.1] Los certificados importados y emitidos por ACM deben renovarse después de un período de tiempo específico

[ACM.2] Los certificados RSA administrados por ACM deben utilizar una longitud de clave de al menos 2048 bits

[Account.1] La información de contacto de seguridad debe proporcionarse para una Cuenta de AWS

[Account.2] Cuentas de AWS debe ser parte de una organización de AWS Organizations

[APIGateway.8] Las rutas de API Gateway deben especificar un tipo de autorización

[APIGateway.9] El registro de acceso debe configurarse para las etapas V2 de API Gateway

[Amplify.1] Las aplicaciones de Amplify deben estar etiquetadas

[Amplify.2] Las ramas de Amplify deben estar etiquetadas

[AppConfig.1] Las aplicaciones de AWS AppConfig deben estar etiquetadas

[AppConfig.2] Los perfiles de configuración de AWS AppConfig deben estar etiquetados

[AppConfig.3] Los entornos de AWS AppConfig deben estar etiquetados

[AppConfig.4] Las asociaciones de extensiones de AWS AppConfig deben estar etiquetadas

[AppFlow.1] Los flujos de Amazon AppFlow deben estar etiquetados

[AppRunner.1] Los servicios de App Runner deben estar etiquetados

[AppRunner.2] Los conectores VPC de App Runner deben estar etiquetados.

[AppSync.1] Las cachés de la API de AWS AppSync deben estar cifradas en reposo

[AppSync.2] AWS AppSync debe tener habilitado el registro a nivel de campo

[AppSync.4] Las API de GraphQL de AWS AppSync deben estar etiquetadas

[AppSync.5] Las API de AWS AppSync GraphQL no deben autenticarse con claves de API

[AppSync.6] Las cachés de la API de AWS AppSync deben estar cifradas en tránsito

[Athena.2] Los catálogos de datos de Athena deben estar etiquetados

[Athena.3] Los grupos de trabajo de Athena deben estar etiquetados

[Athena.4] Los grupos de trabajo de Athena deben tener el registro habilitado

[AutoScaling.2] El grupo Amazon EC2 Auto Scaling debe cubrir varias zonas de disponibilidad

[AutoScaling.3] Las configuraciones de lanzamiento de grupos de escalado automático deben configurar las instancias de EC2 para que requieran servicio de metadatos de instancias versión 2 (IMDSv2) (IMDSv2)

[AutoScaling.6] Los grupos de escalado automático deben usar varios tipos de instancias en varias zonas de disponibilidad

[AutoScaling.9] Los grupos de Amazon EC2 Auto Scaling deben utilizar plantillas de lanzamiento de Amazon EC2

Los puntos de recuperación de [Backup.1] AWS Backup deben estar cifrados en reposo

[Backup.2] Los puntos de recuperación de AWS Backup deben etiquetarse

[Backup.3] Los almacenes de AWS Backup deben etiquetarse

[Backup.4] Los planes de informes de AWS Backup deben etiquetarse

[Backup.5] Los planes de copias de seguridad de AWS Backup deben etiquetarse

[Batch.1] Las colas de trabajos de Batch deben estar etiquetadas

[Batch.2] Las políticas de programación de Batch deben estar etiquetadas

[Batch.3] Los entornos de computación de Batch deben estar etiquetados

[Batch.4] Las propiedades de los recursos de computación en los entornos de computación administrados de Batch deben estar etiquetadas.

[CloudFormation.2] Las pilas de CloudFormation deben etiquetarse

[CloudFront.1] Las distribuciones de CloudFront deben tener configurado un objeto raíz predeterminado

[CloudFront.3] Las distribuciones de CloudFront deberían requerir el cifrado en tránsito

[CloudFront.4] Las distribuciones de CloudFront deben tener configurada la conmutación por error de origen

[CloudFront.5] Las distribuciones de CloudFront deben tener el registro habilitado

[CloudFront.6] Las distribuciones de CloudFront deben tener WAF habilitado

[CloudFront.7] Las distribuciones de CloudFront deben usar certificados SSL/TLS personalizados

[CloudFront.8] Las distribuciones de CloudFront deben usar SNI para atender las solicitudes HTTPS

[CloudFront.9] Las distribuciones de CloudFront deben cifrar el tráfico a orígenes personalizados

[CloudFront.10] Las distribuciones de CloudFront no deben usar protocolos SSL obsoletos entre las ubicaciones periféricas y los orígenes personalizados

[CloudFront.12] Las distribuciones de CloudFront no deben apuntar a orígenes S3 inexistentes

[CloudFront.13] Las distribuciones de CloudFront deben usar el control de acceso de origen

[CloudFront.14] Las distribuciones de CloudFront deben etiquetarse

[CloudFront.15] Las distribuciones de CloudFront deben usar la política de seguridad TLS recomendada

[CloudFront.16] Las distribuciones de CloudFront deben usar control de acceso a orígenes para orígenes de URL de funciones de Lambda

[CloudTrail.6] Asegúrese de que el bucket de S3 utilizado para almacenar los registros de CloudTrail no sea de acceso público

[CloudTrail.7] Asegúrese de que el registro de acceso al bucket S3 esté habilitado en el bucket S3 de CloudTrail

[CloudTrail.10] Los almacenes de datos de eventos de CloudTrail Lake deben estar cifrados con claves de AWS KMS keys administradas por el cliente.

[CloudWatch.17] Las acciones de alarma de CloudWatch deben estar activadas

[CodeArtifact.1] Los repositorios de CodeArtifact deben etiquetarse

[CodeBuild.1] Las URL del repositorio de origen de Bitbucket de CodeBuild no deben contener credenciales confidenciales

[CodeBuild.2] Las variables de entorno del proyecto de CodeBuild no deben contener credenciales de texto sin cifrar

[CodeBuild.3] Los registros de CodeBuild S3 deben estar cifrados

[CodeBuild.4] Los entornos del proyecto CodeBuild deben tener una duración de registro de AWS Config

[CodeBuild.7] Las exportaciones de grupos de informes de CodeBuild deben cifrarse en reposo

[CodeGuruProfiler.1] Los grupos de generación de perfiles del Generador de perfiles de CodeGuru deben estar etiquetados

[CodeGuruReviewer.1] Las asociaciones de repositorio del Revisor de CodeGuru deben estar etiquetadas

[Cognito.1] Los grupos de usuarios de Cognito deben tener la protección contra amenazas activada con el modo de aplicación obligatoria configurado en función completa para la autenticación estándar

[Cognito.2] Los grupos de identidades de Cognito no deben permitir identidades no autenticadas

[Cognito.3] Las políticas de contraseñas para los grupos de usuarios de Cognito deben tener configuraciones sólidas

[Connect.1] Los tipos de objeto de Perfiles de clientes de Amazon Connect deben estar etiquetados.

[Connect.2] Las instancias de Amazon Connect deben tener habilitado el registro en CloudWatch

[DataFirehose.1] Los flujos de entrega de Firehose deben estar cifrados en reposo

[DataSync.1] Las tareas de DataSync deben tener el registro habilitado

[DataSync.2] Las tareas de DataSync deben estar etiquetadas

[Detective.1] Los gráficos de comportamiento de Detective deben estar etiquetados

[DMS.2] Los certificados DMS deben estar etiquetados

[DMS.3] Las suscripciones a eventos de DMS deben estar etiquetadas

[DMS.4] Las instancias de replicación de DMS deben etiquetarse

[DMS.5] Los grupos de subredes de replicación del DMS deben estar etiquetados

[DMS.6] Las instancias de replicación de DMS deben tener habilitada la actualización automática de las versiones secundarias

[DMS.7] Las tareas de replicación de DMS para la base de datos de destino deben tener habilitado el registro

[DMS.8] Las tareas de replicación del DMS para la base de datos de origen deben tener habilitado el registro

[DMS.9] Los puntos finales del DMS deben usar SSL

[DMS.10] Los puntos de conexión de DMS para las bases de datos de Neptune deben tener habilitada la autorización de IAM

[DMS.11] Los puntos de conexión de DMS para MongoDB deben tener un mecanismo de autenticación habilitado

[DMS.12] Los puntos de conexión de DMS para Redis OSS deben tener el TLS habilitado

[DMS.13] Las instancias de replicación de DMS se deben configurar para usar varias zonas de disponibilidad

[DocumentDB.1] Los clústeres de Amazon DocumentDB deben cifrarse en reposo

[DocumentDb.2] Los clústeres de Amazon DocumentDB deben tener un período de retención de copias de seguridad adecuado

[DocumentDb.3] Las instantáneas de clústeres manuales de Amazon DocumentDB no deben ser públicas

[DocumentDb.4] Los clústeres de Amazon DocumentDB deben publicar registros de auditoría en CloudWatch Logs

[DocumentDb.5] Los clústeres de Amazon DocumentDB deben tener habilitada la protección contra eliminaciones

[DocumentDB.6] Los clústeres de Amazon DocumentDB deben estar cifrados en tránsito

[DynamoDB.3] Los clústeres de DynamoDB Accelerator (DAX) deben cifrarse en reposo

[DynamoDB.4] Las tablas de DynamoDB deben estar presentes en un plan de copias de seguridad

[DynamoDB.6] Las tablas de DynamoDB deben tener la protección contra eliminación habilitada

[DynamoDB.7] Los clústeres del Acelerador de DynamoDB deben estar cifrados en tránsito

[EC2.4] Las instancias EC2 detenidas deben eliminarse después de un período de tiempo específico

[EC2.21] Las ACL de red no deben permitir la entrada desde 0.0.0.0.0/0 al puerto 22 o al puerto 3389

[EC2.22] Los grupos de seguridad de Amazon EC2 que no se utilicen deben eliminarse

[EC2.23] Amazon EC2 Transit Gateways no debe aceptar automáticamente las solicitudes de adjuntos de VPC

[EC2.24] No se deben utilizar los tipos de instancias paravirtuales de Amazon EC2

[EC2.25] Las plantillas de lanzamiento de Amazon EC2 no deben asignar direcciones IP públicas a las interfaces de red

[EC2.28] Los volúmenes de EBS deben estar cubiertos por un plan de copias de seguridad

[EC2.33] Las conexiones de puerta de enlace de tránsito de EC2 deben etiquetarse

[EC2.34] Las tablas de enrutamiento de las puertas de enlace de tránsito de EC2 deben etiquetarse

[EC2.40] Las puertas de enlace de NAT de EC2 deben etiquetarse

[EC2.48] Los registros de flujo de Amazon VPC deben etiquetarse

[EC2.51] Los puntos de conexión de Client VPN de EC2 deben tener habilitado el registro de conexiones de clientes

[EC2.52] Las puertas de enlace de tránsito de EC2 deben etiquetarse

[EC2.53] Los grupos de seguridad de EC2 no deberían permitir la entrada de 0.0.0.0/0 a los puertos de administración de servidores remotos

[EC2.54] Los grupos de seguridad de EC2 no deberían permitir la entrada de ::/0 a los puertos de administración de servidores remotos

[EC2.55] Las VPC se deben configurar con un punto de conexión de interfaz para la API de ECR

[EC2.56] Las VPC deben estar configuradas con un punto de conexión de interfaz para el registro de Docker

[EC2.57] Las VPC deben estar configuradas con un punto de conexión de interfaz para Systems Manager

[EC2.58] Las VPC se deben configurar con un punto de conexión de interfaz para los contactos del administrador de incidentes de Systems Manager

[EC2.60] Las VPC se deben configurar con un punto de conexión de interfaz para el administrador de incidentes de Systems Manager

[EC2.170] Las plantillas de lanzamiento de EC2 deben utilizar el servicio de metadatos de instancias versión 2 (IMDSv2)

[EC2.171] Las conexiones VPN de EC2 deben tener el registro habilitado

[EC2.173] Las solicitudes de flota de spot de EC2 con parámetros de lanzamiento deben habilitar el cifrado para los volúmenes de EBS asociados

[EC2.174] Los conjuntos de opciones DHCP de EC2 deben estar etiquetados

[EC2.175] Las plantillas de lanzamiento de EC2 deben estar etiquetadas

[EC2.176] Las listas de prefijos de EC2 deben estar etiquetadas

[EC2.177] Las sesiones de duplicación de tráfico de EC2 deben estar etiquetadas

[EC2.178] Los filtros de duplicación de tráfico de EC2 deben estar etiquetados

[EC2.179] Los destinos de duplicación de tráfico de EC2 deben estar etiquetados

[EC2.180] Las interfaces de red de EC2 deben tener habilitada la comprobación de origen y destino

[EC2.181] Las plantillas de lanzamiento de EC2 deben habilitar el cifrado para los volúmenes de EBS asociados

[ECR.1] Los repositorios privados del ECR deben tener configurado el escaneo de imágenes

[ECR.2] Los repositorios privados de ECR deben tener configurada la inmutabilidad de etiquetas

[ECR.3] Los repositorios de ECR deben tener configurada al menos una política de ciclo de vida

[ECR.4] Los repositorios públicos de ECR deben estar etiquetados

[ECR.5] Los repositorios de ECR se deben cifrar con una clave de AWS KMS keys administrada por el cliente

[ECS.3] Las definiciones de tareas de ECS no deben compartir el espacio de nombres de los procesos del anfitrión

[ECS.4] Los contenedores de ECS deben ejecutarse sin privilegios

[ECS.5] Los contenedores ECS deben limitarse al acceso de solo lectura a los sistemas de archivos raíz

[ECS.8] Los secretos no deben pasarse como variables de entorno del contenedor

[ECS.9] Las definiciones de tareas de ECS deben tener una configuración de registro

[ECS.10] Los servicios Fargate de ECS deberían ejecutarse en la última versión de la plataforma Fargate

[ECS.12] Los clústeres de ECS deben usar Container Insights

[ECS.16] Los conjuntos de tareas de ECS no deben asignar automáticamente direcciones IP públicas

[ECS.17] Las definiciones de tareas de ECS no deben utilizar el modo de red de host

[EFS.1] Elastic File System debe configurarse para cifrar los datos del archivo en reposo con AWS KMS

[EFS.2] Los volúmenes de Amazon EFS deben estar en los planes de respaldo

[EFS.3] Los puntos de acceso EFS deben aplicar un directorio raíz

[EFS.4] Los puntos de acceso EFS deben imponer una identidad de usuario

[EFS.5] Los puntos de acceso de EFS deben etiquetarse

[EFS.6] Los destinos de montaje de EFS no deben estar asociados a subredes que asignen direcciones IP públicas en el momento del lanzamiento

[EFS.7] Los sistemas de archivos de EFS deben tener habilitadas las copias de seguridad automáticas

[EFS.8] Los sistemas de archivos de EFS deben cifrarse en reposo

[EKS.2] Los clústeres de EKS deberían ejecutarse en una versión de Kubernetes compatible

[EKS.3] Los clústeres de EKS deben usar secretos de Kubernetes cifrados

[EKS.6] Los clústeres de EKS deben etiquetarse

[EKS.7] Las configuraciones de los proveedores de identidad de EKS deben etiquetarse

[EKS.8] Los clústeres de EKS deben tener habilitado el registro de auditoría

[ELB.10] Equilibrador de carga clásico debe abarcar varias zonas de disponibilidad

[ELB.12] Equilibrador de carga de aplicación debe configurarse con el modo defensivo o de mitigación de desincronización más estricto

[ELB.13] Los equilibradores de carga de aplicaciones, redes y puertas de enlace deben abarcar varias zonas de disponibilidad

[ELB.14] El Equilibrador de carga clásico debe configurarse con el modo defensivo o de mitigación de desincronización más estricto

[ELB.17] Los equilibradores de carga de aplicación y los equilibradores de carga de red con oyentes deben usar políticas de seguridad recomendadas

[ELB.18] Los oyentes de los equilibradores de carga de aplicación y de los equilibradores de carga de red deben usar protocolos seguros para cifrar los datos en tránsito

[ElastiCache.1] Los clústeres de ElastiCache (Redis OSS) deben tener habilitada la copia de seguridad automática

[ElastiCache.2] Los clústeres de ElastiCache deben tener habilitadas las actualizaciones automáticas de versiones secundarias

[ElastiCache.3] Los grupos de replicación de ElastiCache deben tener habilitada la conmutación por error automática

[ElastiCache.4] Los grupos de replicación de ElastiCache deben cifrarse en reposo

[ElastiCache.5] Los grupos de replicación de ElastiCache (Redis OSS) deben cifrarse en tránsito

[ElastiCache.6] Los grupos de replicación de ElastiCache (Redis OSS) de versiones anteriores de Redis deben tener Redis OSS AUTH activado

[ElastiCache.7] Los clústeres de ElastiCache no deben usar el grupo de subredes predeterminado

[ElasticBeanstalk.1] Los entornos de Elastic Beanstalk deberían tener habilitados los informes de estado mejorados

[ElasticBeanstalk.2] Las actualizaciones de la plataforma gestionada de Elastic Beanstalk deben estar habilitadas

[ElasticBeanstalk.3] Elastic Beanstalk debería transmitir los registros a CloudWatch

[EMR.1] Los nodos maestros del clúster de Amazon EMR no deben tener direcciones IP públicas

[EMR.2] La configuración de bloqueo del acceso público de Amazon EMR debe estar habilitada

[EMR.3] Las configuraciones de seguridad de Amazon EMR deben estar cifradas en reposo

[EMR.4] Las configuraciones de seguridad de Amazon EMR deben estar cifradas en tránsito

[ES.4] Debe estar habilitado el registro de errores del dominio de Elasticsearch en CloudWatch Logs

[ES.9] Los dominios de Elasticsearch deben estar etiquetados

[EventBridge.2] Los buses de eventos de EventBridge deben estar etiquetados

[EventBridge.3] Los buses de eventos personalizados de EventBridge deben tener adjunta una política basada en recursos

[EventBridge.4] Los puntos finales globales de EventBridge deberían tener habilitada la replicación de eventos

[FraudDetector.1] Los tipos de entidades de Amazon Fraud Detector deben estar etiquetados

[FraudDetector.2] Las etiquetas de categoría de Amazon Fraud Detector deben estar etiquetadas

[FraudDetector.3] Las salidas de Amazon Fraud Detector deben estar etiquetadas.

[FraudDetector.4] Las variables de Amazon Fraud Detector deben estar etiquetadas

[FSx.1] Los sistemas de archivos de FSx para OpenZFS deben configurarse para copiar etiquetas en copias de seguridad y volúmenes

[FSx.2] Los sistemas de archivos de FSx para Lustre deben configurarse para copiar etiquetas en copias de seguridad

[FSx.3] Los sistemas de archivos FSx para OpenZFS se deben configurar para una implementación Multi-AZ

[FSx.4] Los sistemas de archivos de FSx para NetApp ONTAP se deben configurar para la implementación Multi-AZ

[FSx.5] Los sistemas de archivos FSx para Windows File Server se deben configurar para la implementación Multi-AZ

[GlobalAccelerator.1] Los aceleradores de Global Accelerator deben etiquetarse

[Glue.1] Los trabajos de AWS Glue deben estar etiquetados

[Glue.3] Las transformaciones de machine learning de AWS Glue deben cifrarse en reposo

[Glue.4] Los trabajos de AWS Glue Spark se deben ejecutar en versiones compatibles de AWS Glue

[GuardDuty.2] Los filtros GuardDuty deben estar etiquetados

[GuardDuty.3] Los IPSets de GuardDuty deben estar etiquetados

[GuardDuty.4] Los detectores de GuardDuty deben estar etiquetados

[GuardDuty.5] La supervisión de registros de auditoría de EKS en GuardDuty debe estar habilitada

[GuardDuty.6] La protección de Lambda en GuardDuty debe habilitarse

[GuardDuty.7] La supervisión en tiempo de ejecución de EKS en GuardDuty debe estar habilitada

[GuardDuty.8] La protección contra malware para EC2 en GuardDuty debe estar habilitada

[GuardDuty.9] La protección de RDS en GuardDuty debe habilitarse

[GuardDuty.10] La protección de S3 en GuardDuty debe habilitarse

[GuardDuty.11] La supervisión en tiempo de ejecución de GuardDuty debe estar habilitada

[GuardDuty.12] Se debe habilitar la supervisión en tiempo de ejecución de GuardDuty para ECS

[GuardDuty.13] La supervisión en tiempo de ejecución de EC2 en GuardDuty debe estar habilitada

[IAM.1] Las políticas de IAM no deben permitir privilegios administrativos completos “*”

[IAM.2] Los usuarios de IAM no deben tener políticas de IAM asociadas

[IAM.3] Las claves de acceso de los usuarios de IAM deben rotarse cada 90 días o menos

[IAM.4] La clave de acceso del usuario raíz de IAM no debería existir

[IAM.5] MFA debe estar habilitado para todos los usuarios de IAM que tengan una contraseña de consola

[PCI.IAM.6] La MFA de hardware debe estar habilitada para el usuario raíz

[IAM.7] Las políticas de contraseñas para usuarios de IAM deben tener configuraciones seguras

[IAM.8] Deben eliminarse las credenciales de usuario de IAM no utilizadas

[IAM.9] La MFA debe estar habilitada para el usuario raíz

[IAM.10] Las políticas de contraseñas para usuarios de IAM deben tener configuraciones seguras

[IAM.11] Asegurar que la política de contraseñas de IAM requiera al menos una letra mayúscula

[IAM.12] Asegurar que la política de contraseñas de IAM requiera al menos una letra minúscula

[IAM.13] Asegurar que la política de contraseñas de IAM requiera al menos un símbolo

[IAM.14] Asegurar que la política de contraseñas de IAM requiera al menos un número

[IAM.15] Asegurar que la política de contraseñas de IAM requiera una longitud mínima de 14 o más

[IAM.16] Asegurar que la política de contraseñas de IAM impida la reutilización de contraseñas

[IAM.17] Asegurar que la política de contraseñas de IAM haga caducar las contraseñas al cabo de 90 días o menos

[IAM.18] Asegurar que se ha creado un rol de soporte para administrar incidentes con AWS Support

[IAM.19] MFA se debe habilitar para todos los usuarios de IAM

[IAM.21] Las políticas de IAM gestionadas por el cliente que usted cree no deberían permitir acciones comodín en los servicios

[IAM.22] Se deben eliminar las credenciales de usuario de IAM que no se hayan utilizado durante 45 días

[IAM.23] Los analizadores del Analizador de acceso de IAM deben etiquetarse

[IAM.24] Los roles de IAM deben etiquetarse

[IAM.25] Los usuarios de IAM deben etiquetarse

[IAM.26] Los certificados SSL/TLS vencidos administrados en IAM deben eliminarse

[IAM.27] Las identidades de IAM no deben tener adjunta la política AWSCloudShellFullAccess

[IAM.28] El analizador de acceso externo del Analizador de acceso de IAM debe habilitarse

[Inspector.1] El análisis de EC2 en Amazon Inspector debe estar habilitado

[Inspector.2] El análisis de ECR en Amazon Inspector debe estar habilitado

[Inspector.3] El análisis de código de Lambda en Amazon Inspector debe estar habilitado

[Inspector.4] El análisis estándar de Lambda en Amazon Inspector debe estar habilitado

[IoT.1] Los perfiles de seguridad de AWS IoT Device Defender deben etiquetarse

[IoT.2] Las acciones de mitigación de AWS IoT Core deben etiquetarse

[IoT.3] Las dimensiones de AWS IoT Core deben etiquetarse

[IoT.4] Los autorizadores de AWS IoT Core deben etiquetarse

[IoT.5] Los alias de los roles de AWS IoT Core deben etiquetarse

[IoT.6] Las políticas de AWS IoT Core deben etiquetarse

[IoTEvents.1] Las entradas de AWS IoT Events deben estar etiquetadas.

[IoTEvents.2] Los modelos detectores de AWS IoT Events deben estar etiquetados.

[IoTEvents.3] Los modelos de alarmas de AWS IoT Events deben estar etiquetados.

[IoTSiteWise.1] Los modelos de activos de AWS IoT SiteWise deben estar etiquetados

[IoTSiteWise.2] Los paneles de AWS IoT SiteWise deben estar etiquetados

[IoTSiteWise.3] Las puertas de enlace de AWS IoT SiteWise deben estar etiquetadas

[IoTSiteWise.4] Los portales de AWS IoT SiteWise deben estar etiquetados

[IoTSiteWise.5] Los proyectos de AWS IoT SiteWise deben estar etiquetados

[IoTTwinMaker.1] Los trabajos de sincronización de AWS IoT TwinMaker deben estar etiquetados

[IoTTwinMaker.2] Los espacios de trabajo de AWS IoT TwinMaker deben estar etiquetados

[IoTTwinMaker.3] Las escenas de AWS IoT TwinMaker deben estar etiquetadas

[IoTTwinMaker.4] Las entidades de AWS IoT TwinMaker deben estar etiquetadas

[IoTWireless.1] Los grupos de multidifusión de AWS IoT Wireless deben estar etiquetados

[IoTWireless.2] Los perfiles de servicio de AWS IoT Wireless deben estar etiquetados

[IoTWireless.3] Las tareas FUOTA de AWS IoT deben estar etiquetadas

[IVS.1] Los pares de claves de reproducción de IVS deben estar etiquetados

[IVS.2] Las configuraciones de grabación de IVS deben estar etiquetadas

[IVS.3] Los canales de IVS deben estar etiquetados

[Keyspaces.1] Los espacios de claves de Amazon Keyspaces deben estar etiquetados

[Kinesis.1] Las transmisiones de Kinesis deben cifrarse en reposo

[Kinesis.2] Las transmisiones de Kinesis deben etiquetarse

[Kinesis.3] Las transmisiones de Kinesis deben tener un periodo adecuado de retención de datos

[KMS.1] Las políticas gestionadas por los clientes de IAM no deberían permitir acciones de descifrado en todas las claves de KMS

[KMS.2] Los directores de IAM no deberían tener políticas integradas de IAM que permitan realizar acciones de descifrado en todas las claves de KMS

[KMS.5] Las claves KMS no deben ser de acceso público

[Lambda.5] Las funciones de Lambda de la VPC deben funcionar en varias zonas de disponibilidad

[Lambda.7] Las funciones de Lambda deben tener habilitado el rastreo activo de AWS X-Ray

[Macie.1] Amazon Macie debe estar habilitado

[Macie.2] La detección automática de datos confidenciales de Macie debe estar habilitada

[MQ.2] Los agentes de ActiveMQ deberían transmitir los registros de auditoría a CloudWatch

[MQ.3] Los agentes de Amazon MQ deben tener habilitada la actualización automática de las versiones secundarias

[MQ.4] Los agentes de Amazon MQ deben estar etiquetados

[MQ.5] Los corredores ActiveMQ deben usar el modo de implementación activo/en espera

[MQ.6] Los corredores de RabbitMQ deberían usar el modo de implementación de clústeres

[MSK.1] Los clústeres de MSK deben cifrarse en tránsito entre los nodos intermediarios

[MSK.2] Los clústeres de MSK deberían tener configurada una supervisión mejorada

[MSK.3] Los conectores de MSK Connect deben cifrarse en tránsito

[MSK.4] Los clústeres de MSK deben tener el acceso público desactivado

[MSK.5] Los conectores de MSK deben tener el registro habilitado

[MSK.6] Los clústeres de MSK deben desactivar el acceso sin autenticación

[Neptune.1] Los clústeres de bases de datos de Neptune deben cifrarse en reposo

[Neptune.2] Los clústeres de base de datos de Neptune tienen que publicar registros de auditoría en CloudWatch Logs

[Neptune.3] Las instantáneas del clúster de base de datos de Neptune no deben ser públicas

[Neptune.4] Los clústeres de base de datos de Neptune deben tener habilitada la protección de eliminación

[Neptune.5] Los clústeres de bases de datos de Neptune deberían tener habilitadas las copias de seguridad automáticas

[Neptune.6] Las instantáneas del clúster de base de datos de Neptune deben cifrarse en reposo

[Neptune.7] Los clústeres de base de datos de Neptune deben tener habilitada la autenticación de bases de datos de IAM

[Neptune.8] Los clústeres de base de datos de Neptune deben configurarse para copiar etiquetas a las instantáneas

[Neptune.9] Los clústeres de base de datos de Neptune se deben implementar en varias zonas de disponibilidad

[NetworkFirewall.1] Los firewalls de Network Firewall se deben implementar en varias zonas de disponibilidad

[NetworkFirewall.2] El registro de Network Firewall debe estar habilitado

[NetworkFirewall.3] Las políticas de Network Firewall deben tener asociado al menos un grupo de reglas

[NetworkFirewall.4] La acción sin estado predeterminada para las políticas de Network Firewall debe ser eliminar o reenviar paquetes completos

[NetworkFirewall.5] La acción sin estado predeterminada para las políticas de Network Firewall debe ser eliminar o reenviar paquetes fragmentados

El grupo de reglas de Stateless Network Firewall [NetworkFirewall.6] no debe estar vacío

Los firewalls de Network Firewall [NetworkFirewall.9] deben tener habilitada la protección de eliminación

[NetworkFirewall.10] Los firewalls de Network Firewall deben tener habilitada la protección contra cambios de subred

[Opensearch.1] Los dominios de OpenSearch deben tener activado el cifrado en reposo

[Opensearch.2] Los dominios de OpenSearch no deben ser de acceso público

Los dominios de OpenSearch [Opensearch.3] deben cifrar los datos enviados entre nodos

Debe estar habilitado el registro de errores del dominio OpenSearch [Opensearch.4] en CloudWatch Logs

Los dominios de OpenSearch [Opensearch.5] deben tener habilitado el registro de auditoría

Los dominios de OpenSearch [Opensearch.6] deben tener al menos tres nodos de datos

Los dominios de OpenSearch [Opensearch.7] deben tener habilitado un control de acceso detallado

[Opensearch.8] Las conexiones a los dominios de OpenSearch deben cifrarse mediante la política de seguridad TLS más reciente

[Opensearch.9] Los dominios de OpenSearch deben estar etiquetados

[Opensearch.10] Los dominios de OpenSearch deben tener instalada la última actualización de software

[Opensearch.11] Los dominios de OpenSearch deben tener al menos tres nodos principales dedicados

[PCA.1] La autoridad emisora de certificados raíz de AWS Private CA debe estar deshabilitada

[PCA.2] Las autoridades de certificado CA privadas de AWS deben estar etiquetadas

Los clústeres de Amazon Aurora [RDS.14] deben tener habilitada la característica de búsqueda de datos anteriores

Las instancias de RDS [RDS.18] deben implementarse en una VPC

Los clústeres de bases de datos de RDS [RDS.24] deben usar un nombre de usuario de administrador personalizado

Las instancias de bases de datos de RDS [RDS.25] deben usar un nombre de usuario de administrador personalizado

Las instancias de base de datos de RDS [RDS.26] deben protegerse mediante un plan de copias de seguridad

Los clústeres de bases de datos de RDS [RDS.27] deben cifrarse en reposo

[RDS.31] Los grupos de seguridad de bases de datos de RDS deben etiquetarse

Los clústeres de base de datos Aurora MySQL [RDS.34] deben publicar registros de auditoría en CloudWatch Logs

Los clústeres de bases de datos de RDS [RDS.35] deben tener habilitada la actualización automática de las versiones secundarias

[RDS.36] Las instancias de base de datos de RDS para PostgreSQL deben publicar los registros en Registros de CloudWatch

[RDS.37] Los clústeres de base de datos Aurora PostgreSQL deben publicar registros en Registros de CloudWatch

[RDS.38] Las instancias de bases de datos RDS para PostgreSQL se deben cifrar en tránsito

[RDS.39] Las instancias de bases de datos RDS para MySQL se deben cifrar en tránsito

[RDS.40] Las instancias de bases de datos de RDS para SQL Server deben publicar registros en Registros de CloudWatch.

[RDS.41] Las instancias de RDS para SQL Server se deben cifrar en tránsito

[RDS.42] Las instancias de bases de datos de RDS para MariaDB deben publicar registros en Registros de CloudWatch

[RDS.43] Los proxies de bases de datos de RDS deben exigir cifrado TLS para las conexiones

[RDS.44] Las instancias de bases de datos de RDS para MariaDB se deben cifrar en tránsito

[RDS.45] Los clústeres de bases de datos de Aurora MySQL deben tener habilitado el registro de auditoría

[RDS.46] Las instancias de bases de datos de RDS no se deben implementar en subredes públicas con rutas hacia puertas de enlace de Internet

[RDS.47] Los clústeres de bases de datos de RDS para PostgreSQL deben estar configurados para copiar etiquetas en instantáneas de bases de datos

Los clústeres de Amazon Redshift [Redshift.3] deben tener habilitadas las instantáneas automáticas

Los clústeres de Amazon Redshift [Redshift.8] no deben usar el nombre de usuario de administrador predeterminado

Los clústeres de Redshift [Redshift.10] deben cifrarse en reposo

[Redshift.15] Los grupos de seguridad de Redshift deberían permitir la entrada en el puerto del clúster solo desde orígenes restringidos

[Redshift.16] Los grupos de subredes de clústeres de Redshift deben tener subredes de varias zonas de disponibilidad

[Redshift.17] Los grupos de parámetros de clúster de Redshift deben estar etiquetados

[Redshift.18] Los clústeres de Redshift deben tener habilitadas las implementaciones Multi-AZ

[RedshiftServerless.1] Los grupos de trabajo de Amazon Redshift sin servidor deben usar enrutamiento de VPC mejorado

[RedshiftServerless.2] Las conexiones a los grupos de trabajo de Redshift sin servidor deben requerir el uso de SSL

[RedshiftServerless.3] Los grupos de trabajo de Redshift sin servidor deben prohibir el acceso público

[RedshiftServerless.4] Los espacios de nombres de Redshift sin servidor se deben cifrar con una clave de AWS KMS keys administrada por el cliente

[RedshiftServerless.5] Los espacios de nombres de Redshift sin servidor no deben usar el nombre predeterminado de administrador

[RedshiftServerless.6] Los espacios de nombres de Redshift sin servidor deben exportar registros a Registros de Amazon CloudWatch

[Route53.1] Las comprobaciones de estado de Route 53 deben estar etiquetadas

Las zonas alojadas públicas de Route 53 [Route53.2] deben registrar las consultas de DNS

[S3.7] Los buckets de uso general de S3 deben usar la replicación entre regiones

[S3.10] Los buckets de uso general de S3 con el control de versiones habilitado deben tener configuraciones de ciclo de vida

[S3.11] Los buckets de uso general de S3 deben tener habilitadas las notificaciones de eventos

[S3.12] Las ACL no deben utilizarse para administrar el acceso de los usuarios a los buckets de uso general de S3

[S3.13] Los buckets de uso general de S3 deben tener configuraciones de ciclo de vida

[S3.19] Los puntos de acceso de S3 deben tener habilitada la configuración de Bloqueo de acceso público

[S3.20] Los buckets de uso general de S3 deben tener habilitada la eliminación de MFA

[S3.22] Los buckets de uso general de S3 deben registrar eventos de escritura a nivel de objeto

[S3.23] Los buckets de uso general de S3 deben registrar eventos de lectura a nivel de objeto

[S3.24] Los puntos de acceso de varias regiones de S3 deben tener habilitado el bloqueo de acceso público

[S3.25] Los buckets de directorio de S3 deben tener configuraciones de ciclo de vida

Las instancias de cuaderno de Amazon SageMaker [SageMaker.1] no deberían tener acceso directo a Internet

Las instancias de cuaderno de SageMaker [SageMaker.2] deben lanzarse en una VPC personalizada

Los usuarios [SageMaker.3] no deberían tener acceso raíz a las instancias del cuaderno de SageMaker

[SageMaker.4] Las variantes de producción del punto de conexión de SageMaker deben tener un recuento de instancias inicial superior a 1

[SageMaker.5] Los modelos de SageMaker deben tener habilitado el aislamiento de red

[SageMaker.6] Las configuraciones de imágenes de aplicaciones de SageMaker deben estar etiquetadas

[SageMaker.7] Las imágenes de SageMaker deben estar etiquetadas

[SageMaker.8] Las instancias de cuaderno de SageMaker se deben ejecutar en plataformas con soporte

[SES.1] Las listas de contactos de SES deben estar etiquetadas

[SES.2] Los conjuntos de configuración de SES deben estar etiquetados

[ServiceCatalog.1] Las carteras de Service Catalog solo deben compartirse dentro de una organización de AWS

[SNS.4] Las políticas de acceso a los temas de SNS no deberían permitir el acceso público

Las colas de Amazon SQS [SQS.1] deben cifrarse en reposo

[SQS.2] Las colas de SQS deben estar etiquetadas

[SQS.3] Las políticas de acceso de la cola de SQS no deben permitir el acceso público

[SSM.3] Las instancias Amazon EC2 administradas por Systems Manager deben tener el estado de conformidad de la asociación de COMPLIANT

[SSM.4] Los documentos SSM no deben ser públicos

[SSM.5] Los documentos de SSM deben estar etiquetados

[SSM.6] La automatización de SSM debe tener habilitado el registro de CloudWatch

[SSM.7] Los documentos de SSM deben tener habilitada la configuración para bloquear el uso compartido público

Las máquinas de estado de Step Functions [StepFunctions.1] deberían tener el registro activado

[StepFunctions.2] Las actividades de Step Functions deben etiquetarse

[Transfer.1] Los flujos de trabajo de AWS Transfer Family deben etiquetarse

[Transfer.2] Los servidores de Transfer Family no deben utilizar el protocolo FTP para la conexión del punto de conexión

[Transfer.3] Los conectores de Transfer Family deben tener habilitado el registro

[Transfer.4] Los acuerdos de Transfer Family deben estar etiquetados

[Transfer.5] Los certificados de Transfer Family deben estar etiquetados

[Transfer.6] Los conectores de Transfer Family deben estar etiquetados

[Transfer.7] Los perfiles de Transfer Family deben estar etiquetados

El registro de AWS WAF [WAF.1] ACL web global clásica debe estar habilitado

Las reglas de AWS WAF [WAF.2] Regionales clásicas deben tener al menos una condición

Los grupos de reglas de AWS WAF [WAF.3] Regionales clásicos deben tener al menos una regla

Las ACL web de AWS WAF [WAF.4] Regionales clásicas deben tener al menos una regla o grupo de reglas

Las reglas globales de AWS WAF [WAF.6] clásicas deben tener al menos una condición

Los grupos de reglas globales de AWS WAF [WAF.7] clásicos deben tener al menos una regla

Las ACL web de AWS WAF [WAF.8] globales clásicas deben tener al menos una regla o grupo de reglas

Las ACL web de AWS WAF [WAF.10] deben tener al menos una regla o grupo de reglas

Las reglas de AWS WAF [WAF.12] deben tener habilitadas las métricas de CloudWatch

[WorkSpaces.1] Los volúmenes de usuarios de WorkSpaces deben estar cifrados en reposo

[WorkSpaces.2] Los volúmenes raíz de WorkSpaces deben estar cifrados en reposo

[APIGateway.8] Las rutas de API Gateway deben especificar un tipo de autorización

[APIGateway.9] El registro de acceso debe configurarse para las etapas V2 de API Gateway

[Amplify.1] Las aplicaciones de Amplify deben estar etiquetadas

[Amplify.2] Las ramas de Amplify deben estar etiquetadas

[AppFlow.1] Los flujos de Amazon AppFlow deben estar etiquetados

[AppRunner.1] Los servicios de App Runner deben estar etiquetados

[AppRunner.2] Los conectores VPC de App Runner deben estar etiquetados.

[AppSync.1] Las cachés de la API de AWS AppSync deben estar cifradas en reposo

[AppSync.2] AWS AppSync debe tener habilitado el registro a nivel de campo

[AppSync.5] Las API de AWS AppSync GraphQL no deben autenticarse con claves de API

[AppSync.6] Las cachés de la API de AWS AppSync deben estar cifradas en tránsito

Los puntos de recuperación de [Backup.1] AWS Backup deben estar cifrados en reposo

[Backup.4] Los planes de informes de AWS Backup deben etiquetarse

[Batch.1] Las colas de trabajos de Batch deben estar etiquetadas

[Batch.3] Los entornos de computación de Batch deben estar etiquetados

[Batch.4] Las propiedades de los recursos de computación en los entornos de computación administrados de Batch deben estar etiquetadas.

[CloudFront.1] Las distribuciones de CloudFront deben tener configurado un objeto raíz predeterminado

[CloudFront.3] Las distribuciones de CloudFront deberían requerir el cifrado en tránsito

[CloudFront.4] Las distribuciones de CloudFront deben tener configurada la conmutación por error de origen

[CloudFront.5] Las distribuciones de CloudFront deben tener el registro habilitado

[CloudFront.6] Las distribuciones de CloudFront deben tener WAF habilitado

[CloudFront.7] Las distribuciones de CloudFront deben usar certificados SSL/TLS personalizados

[CloudFront.8] Las distribuciones de CloudFront deben usar SNI para atender las solicitudes HTTPS

[CloudFront.9] Las distribuciones de CloudFront deben cifrar el tráfico a orígenes personalizados

[CloudFront.10] Las distribuciones de CloudFront no deben usar protocolos SSL obsoletos entre las ubicaciones periféricas y los orígenes personalizados

[CloudFront.12] Las distribuciones de CloudFront no deben apuntar a orígenes S3 inexistentes

[CloudFront.13] Las distribuciones de CloudFront deben usar el control de acceso de origen

[CloudFront.14] Las distribuciones de CloudFront deben etiquetarse

[CloudFront.15] Las distribuciones de CloudFront deben usar la política de seguridad TLS recomendada

[CloudFront.16] Las distribuciones de CloudFront deben usar control de acceso a orígenes para orígenes de URL de funciones de Lambda

[CodeArtifact.1] Los repositorios de CodeArtifact deben etiquetarse

[CodeGuruProfiler.1] Los grupos de generación de perfiles del Generador de perfiles de CodeGuru deben estar etiquetados

[CodeGuruReviewer.1] Las asociaciones de repositorio del Revisor de CodeGuru deben estar etiquetadas

[Cognito.1] Los grupos de usuarios de Cognito deben tener la protección contra amenazas activada con el modo de aplicación obligatoria configurado en función completa para la autenticación estándar

[Connect.1] Los tipos de objeto de Perfiles de clientes de Amazon Connect deben estar etiquetados.

[Connect.2] Las instancias de Amazon Connect deben tener habilitado el registro en CloudWatch

[Detective.1] Los gráficos de comportamiento de Detective deben estar etiquetados

[DMS.2] Los certificados DMS deben estar etiquetados

[DMS.3] Las suscripciones a eventos de DMS deben estar etiquetadas

[DMS.4] Las instancias de replicación de DMS deben etiquetarse

[DMS.5] Los grupos de subredes de replicación del DMS deben estar etiquetados

[DMS.6] Las instancias de replicación de DMS deben tener habilitada la actualización automática de las versiones secundarias

[DMS.7] Las tareas de replicación de DMS para la base de datos de destino deben tener habilitado el registro

[DMS.8] Las tareas de replicación del DMS para la base de datos de origen deben tener habilitado el registro

[DMS.9] Los puntos finales del DMS deben usar SSL

[DMS.10] Los puntos de conexión de DMS para las bases de datos de Neptune deben tener habilitada la autorización de IAM

[DMS.11] Los puntos de conexión de DMS para MongoDB deben tener un mecanismo de autenticación habilitado

[DMS.12] Los puntos de conexión de DMS para Redis OSS deben tener el TLS habilitado

[DMS.13] Las instancias de replicación de DMS se deben configurar para usar varias zonas de disponibilidad

[DocumentDB.1] Los clústeres de Amazon DocumentDB deben cifrarse en reposo

[DocumentDb.2] Los clústeres de Amazon DocumentDB deben tener un período de retención de copias de seguridad adecuado

[DocumentDb.3] Las instantáneas de clústeres manuales de Amazon DocumentDB no deben ser públicas

[DocumentDb.4] Los clústeres de Amazon DocumentDB deben publicar registros de auditoría en CloudWatch Logs

[DocumentDb.5] Los clústeres de Amazon DocumentDB deben tener habilitada la protección contra eliminaciones

[DocumentDB.6] Los clústeres de Amazon DocumentDB deben estar cifrados en tránsito

[DynamoDB.3] Los clústeres de DynamoDB Accelerator (DAX) deben cifrarse en reposo

[DynamoDB.7] Los clústeres del Acelerador de DynamoDB deben estar cifrados en tránsito

[EC2.4] Las instancias EC2 detenidas deben eliminarse después de un período de tiempo específico

[EC2.14] Los grupos de seguridad no deben permitir la entrada desde 0.0.0.0/0 o ::/0 al puerto 3389

[EC2.18] Los grupos de seguridad solo deben permitir el tráfico entrante sin restricciones en los puertos autorizados

[EC2.22] Los grupos de seguridad de Amazon EC2 que no se utilicen deben eliminarse

[EC2.23] Amazon EC2 Transit Gateways no debe aceptar automáticamente las solicitudes de adjuntos de VPC

[EC2.24] No se deben utilizar los tipos de instancias paravirtuales de Amazon EC2

[EC2.25] Las plantillas de lanzamiento de Amazon EC2 no deben asignar direcciones IP públicas a las interfaces de red

[EC2.34] Las tablas de enrutamiento de las puertas de enlace de tránsito de EC2 deben etiquetarse

[EC2.40] Las puertas de enlace de NAT de EC2 deben etiquetarse

[EC2.48] Los registros de flujo de Amazon VPC deben etiquetarse

[EC2.58] Las VPC se deben configurar con un punto de conexión de interfaz para los contactos del administrador de incidentes de Systems Manager

[EC2.60] Las VPC se deben configurar con un punto de conexión de interfaz para el administrador de incidentes de Systems Manager

[EC2.170] Las plantillas de lanzamiento de EC2 deben utilizar el servicio de metadatos de instancias versión 2 (IMDSv2)

[EC2.173] Las solicitudes de flota de spot de EC2 con parámetros de lanzamiento deben habilitar el cifrado para los volúmenes de EBS asociados

[EC2.175] Las plantillas de lanzamiento de EC2 deben estar etiquetadas

[EC2.181] Las plantillas de lanzamiento de EC2 deben habilitar el cifrado para los volúmenes de EBS asociados

[ECR.4] Los repositorios públicos de ECR deben estar etiquetados

[EFS.1] Elastic File System debe configurarse para cifrar los datos del archivo en reposo con AWS KMS

[EFS.2] Los volúmenes de Amazon EFS deben estar en los planes de respaldo

[ELB.14] El Equilibrador de carga clásico debe configurarse con el modo defensivo o de mitigación de desincronización más estricto

[ELB.17] Los equilibradores de carga de aplicación y los equilibradores de carga de red con oyentes deben usar políticas de seguridad recomendadas

[ELB.18] Los oyentes de los equilibradores de carga de aplicación y de los equilibradores de carga de red deben usar protocolos seguros para cifrar los datos en tránsito

[ElastiCache.1] Los clústeres de ElastiCache (Redis OSS) deben tener habilitada la copia de seguridad automática

[ElastiCache.2] Los clústeres de ElastiCache deben tener habilitadas las actualizaciones automáticas de versiones secundarias

[ElastiCache.3] Los grupos de replicación de ElastiCache deben tener habilitada la conmutación por error automática

[ElastiCache.4] Los grupos de replicación de ElastiCache deben cifrarse en reposo

[ElastiCache.5] Los grupos de replicación de ElastiCache (Redis OSS) deben cifrarse en tránsito

[ElastiCache.6] Los grupos de replicación de ElastiCache (Redis OSS) de versiones anteriores de Redis deben tener Redis OSS AUTH activado

[ElastiCache.7] Los clústeres de ElastiCache no deben usar el grupo de subredes predeterminado

[ElasticBeanstalk.1] Los entornos de Elastic Beanstalk deberían tener habilitados los informes de estado mejorados

[ElasticBeanstalk.2] Las actualizaciones de la plataforma gestionada de Elastic Beanstalk deben estar habilitadas

[ElasticBeanstalk.3] Elastic Beanstalk debería transmitir los registros a CloudWatch

[EMR.1] Los nodos maestros del clúster de Amazon EMR no deben tener direcciones IP públicas

[ES.4] Debe estar habilitado el registro de errores del dominio de Elasticsearch en CloudWatch Logs

[EventBridge.4] Los puntos finales globales de EventBridge deberían tener habilitada la replicación de eventos

[FraudDetector.1] Los tipos de entidades de Amazon Fraud Detector deben estar etiquetados

[FraudDetector.2] Las etiquetas de categoría de Amazon Fraud Detector deben estar etiquetadas

[FraudDetector.3] Las salidas de Amazon Fraud Detector deben estar etiquetadas.

[FraudDetector.4] Las variables de Amazon Fraud Detector deben estar etiquetadas

[FSx.1] Los sistemas de archivos de FSx para OpenZFS deben configurarse para copiar etiquetas en copias de seguridad y volúmenes

[FSx.3] Los sistemas de archivos FSx para OpenZFS se deben configurar para una implementación Multi-AZ

[GlobalAccelerator.1] Los aceleradores de Global Accelerator deben etiquetarse

[Glue.4] Los trabajos de AWS Glue Spark se deben ejecutar en versiones compatibles de AWS Glue

[GuardDuty.2] Los filtros GuardDuty deben estar etiquetados

[IAM.1] Las políticas de IAM no deben permitir privilegios administrativos completos “*”

[IAM.2] Los usuarios de IAM no deben tener políticas de IAM asociadas

[IAM.3] Las claves de acceso de los usuarios de IAM deben rotarse cada 90 días o menos

[IAM.5] MFA debe estar habilitado para todos los usuarios de IAM que tengan una contraseña de consola

[PCI.IAM.6] La MFA de hardware debe estar habilitada para el usuario raíz

[IAM.8] Deben eliminarse las credenciales de usuario de IAM no utilizadas

[IAM.10] Las políticas de contraseñas para usuarios de IAM deben tener configuraciones seguras

[IAM.11] Asegurar que la política de contraseñas de IAM requiera al menos una letra mayúscula

[IAM.12] Asegurar que la política de contraseñas de IAM requiera al menos una letra minúscula

[IAM.13] Asegurar que la política de contraseñas de IAM requiera al menos un símbolo

[IAM.14] Asegurar que la política de contraseñas de IAM requiera al menos un número

[IAM.15] Asegurar que la política de contraseñas de IAM requiera una longitud mínima de 14 o más

[IAM.16] Asegurar que la política de contraseñas de IAM impida la reutilización de contraseñas

[IAM.17] Asegurar que la política de contraseñas de IAM haga caducar las contraseñas al cabo de 90 días o menos

[IAM.18] Asegurar que se ha creado un rol de soporte para administrar incidentes con AWS Support

[IAM.19] MFA se debe habilitar para todos los usuarios de IAM

[IAM.21] Las políticas de IAM gestionadas por el cliente que usted cree no deberían permitir acciones comodín en los servicios

[IAM.22] Se deben eliminar las credenciales de usuario de IAM que no se hayan utilizado durante 45 días

[IAM.24] Los roles de IAM deben etiquetarse

[IAM.25] Los usuarios de IAM deben etiquetarse

[IAM.26] Los certificados SSL/TLS vencidos administrados en IAM deben eliminarse

[IAM.27] Las identidades de IAM no deben tener adjunta la política AWSCloudShellFullAccess

[Inspector.1] El análisis de EC2 en Amazon Inspector debe estar habilitado

[Inspector.2] El análisis de ECR en Amazon Inspector debe estar habilitado

[Inspector.3] El análisis de código de Lambda en Amazon Inspector debe estar habilitado

[Inspector.4] El análisis estándar de Lambda en Amazon Inspector debe estar habilitado

[IoT.1] Los perfiles de seguridad de AWS IoT Device Defender deben etiquetarse

[IoT.2] Las acciones de mitigación de AWS IoT Core deben etiquetarse

[IoT.3] Las dimensiones de AWS IoT Core deben etiquetarse

[IoT.4] Los autorizadores de AWS IoT Core deben etiquetarse

[IoT.5] Los alias de los roles de AWS IoT Core deben etiquetarse

[IoT.6] Las políticas de AWS IoT Core deben etiquetarse

[IoTEvents.1] Las entradas de AWS IoT Events deben estar etiquetadas.

[IoTEvents.2] Los modelos detectores de AWS IoT Events deben estar etiquetados.

[IoTEvents.3] Los modelos de alarmas de AWS IoT Events deben estar etiquetados.

[IoTSiteWise.1] Los modelos de activos de AWS IoT SiteWise deben estar etiquetados

[IoTSiteWise.2] Los paneles de AWS IoT SiteWise deben estar etiquetados

[IoTSiteWise.3] Las puertas de enlace de AWS IoT SiteWise deben estar etiquetadas

[IoTSiteWise.4] Los portales de AWS IoT SiteWise deben estar etiquetados

[IoTSiteWise.5] Los proyectos de AWS IoT SiteWise deben estar etiquetados

[IoTTwinMaker.1] Los trabajos de sincronización de AWS IoT TwinMaker deben estar etiquetados

[IoTTwinMaker.2] Los espacios de trabajo de AWS IoT TwinMaker deben estar etiquetados

[IoTTwinMaker.3] Las escenas de AWS IoT TwinMaker deben estar etiquetadas

[IoTTwinMaker.4] Las entidades de AWS IoT TwinMaker deben estar etiquetadas

[IoTWireless.1] Los grupos de multidifusión de AWS IoT Wireless deben estar etiquetados

[IoTWireless.2] Los perfiles de servicio de AWS IoT Wireless deben estar etiquetados

[IoTWireless.3] Las tareas FUOTA de AWS IoT deben estar etiquetadas

[IVS.1] Los pares de claves de reproducción de IVS deben estar etiquetados

[IVS.2] Las configuraciones de grabación de IVS deben estar etiquetadas

[IVS.3] Los canales de IVS deben estar etiquetados

[Keyspaces.1] Los espacios de claves de Amazon Keyspaces deben estar etiquetados

[Kinesis.1] Las transmisiones de Kinesis deben cifrarse en reposo

[KMS.1] Las políticas gestionadas por los clientes de IAM no deberían permitir acciones de descifrado en todas las claves de KMS

[KMS.2] Los directores de IAM no deberían tener políticas integradas de IAM que permitan realizar acciones de descifrado en todas las claves de KMS

[Macie.1] Amazon Macie debe estar habilitado

[Macie.2] La detección automática de datos confidenciales de Macie debe estar habilitada

[MQ.6] Los corredores de RabbitMQ deberían usar el modo de implementación de clústeres

[MSK.3] Los conectores de MSK Connect deben cifrarse en tránsito

[MSK.5] Los conectores de MSK deben tener el registro habilitado

[Neptune.1] Los clústeres de bases de datos de Neptune deben cifrarse en reposo

[Neptune.2] Los clústeres de base de datos de Neptune tienen que publicar registros de auditoría en CloudWatch Logs

[Neptune.3] Las instantáneas del clúster de base de datos de Neptune no deben ser públicas

[Neptune.4] Los clústeres de base de datos de Neptune deben tener habilitada la protección de eliminación

[Neptune.5] Los clústeres de bases de datos de Neptune deberían tener habilitadas las copias de seguridad automáticas

[Neptune.6] Las instantáneas del clúster de base de datos de Neptune deben cifrarse en reposo

[Neptune.7] Los clústeres de base de datos de Neptune deben tener habilitada la autenticación de bases de datos de IAM

[Neptune.8] Los clústeres de base de datos de Neptune deben configurarse para copiar etiquetas a las instantáneas

[Neptune.9] Los clústeres de base de datos de Neptune se deben implementar en varias zonas de disponibilidad

[Opensearch.1] Los dominios de OpenSearch deben tener activado el cifrado en reposo

[Opensearch.2] Los dominios de OpenSearch no deben ser de acceso público

Los dominios de OpenSearch [Opensearch.3] deben cifrar los datos enviados entre nodos

Debe estar habilitado el registro de errores del dominio OpenSearch [Opensearch.4] en CloudWatch Logs

Los dominios de OpenSearch [Opensearch.5] deben tener habilitado el registro de auditoría

Los dominios de OpenSearch [Opensearch.6] deben tener al menos tres nodos de datos

Los dominios de OpenSearch [Opensearch.7] deben tener habilitado un control de acceso detallado

[Opensearch.8] Las conexiones a los dominios de OpenSearch deben cifrarse mediante la política de seguridad TLS más reciente

[Opensearch.9] Los dominios de OpenSearch deben estar etiquetados

[Opensearch.10] Los dominios de OpenSearch deben tener instalada la última actualización de software

[Opensearch.11] Los dominios de OpenSearch deben tener al menos tres nodos principales dedicados

[RDS.1] La instantánea de RDS debe ser privada

Los clústeres de Amazon Aurora [RDS.14] deben tener habilitada la característica de búsqueda de datos anteriores

Los clústeres de bases de datos de RDS [RDS.15] deben configurarse para varias zonas de disponibilidad

[RDS.31] Los grupos de seguridad de bases de datos de RDS deben etiquetarse

Los clústeres de bases de datos de RDS [RDS.35] deben tener habilitada la actualización automática de las versiones secundarias

[RDS.37] Los clústeres de base de datos Aurora PostgreSQL deben publicar registros en Registros de CloudWatch

[RedshiftServerless.1] Los grupos de trabajo de Amazon Redshift sin servidor deben usar enrutamiento de VPC mejorado

[RedshiftServerless.2] Las conexiones a los grupos de trabajo de Redshift sin servidor deben requerir el uso de SSL

[RedshiftServerless.3] Los grupos de trabajo de Redshift sin servidor deben prohibir el acceso público

[RedshiftServerless.4] Los espacios de nombres de Redshift sin servidor se deben cifrar con una clave de AWS KMS keys administrada por el cliente

[RedshiftServerless.5] Los espacios de nombres de Redshift sin servidor no deben usar el nombre predeterminado de administrador

[RedshiftServerless.6] Los espacios de nombres de Redshift sin servidor deben exportar registros a Registros de Amazon CloudWatch

[Route53.1] Las comprobaciones de estado de Route 53 deben estar etiquetadas

Las zonas alojadas públicas de Route 53 [Route53.2] deben registrar las consultas de DNS

[S3.24] Los puntos de acceso de varias regiones de S3 deben tener habilitado el bloqueo de acceso público

[S3.25] Los buckets de directorio de S3 deben tener configuraciones de ciclo de vida

Las instancias de cuaderno de Amazon SageMaker [SageMaker.1] no deberían tener acceso directo a Internet

Las instancias de cuaderno de SageMaker [SageMaker.2] deben lanzarse en una VPC personalizada

Los usuarios [SageMaker.3] no deberían tener acceso raíz a las instancias del cuaderno de SageMaker

[SageMaker.5] Los modelos de SageMaker deben tener habilitado el aislamiento de red

[SageMaker.6] Las configuraciones de imágenes de aplicaciones de SageMaker deben estar etiquetadas

[SageMaker.7] Las imágenes de SageMaker deben estar etiquetadas

[SageMaker.8] Las instancias de cuaderno de SageMaker se deben ejecutar en plataformas con soporte

[SES.1] Las listas de contactos de SES deben estar etiquetadas

[SES.2] Los conjuntos de configuración de SES deben estar etiquetados

Las colas de Amazon SQS [SQS.1] deben cifrarse en reposo

[SQS.2] Las colas de SQS deben estar etiquetadas

[SQS.3] Las políticas de acceso de la cola de SQS no deben permitir el acceso público

[SSM.3] Las instancias Amazon EC2 administradas por Systems Manager deben tener el estado de conformidad de la asociación de COMPLIANT

[SSM.4] Los documentos SSM no deben ser públicos

[SSM.7] Los documentos de SSM deben tener habilitada la configuración para bloquear el uso compartido público

Las máquinas de estado de Step Functions [StepFunctions.1] deberían tener el registro activado

[Transfer.3] Los conectores de Transfer Family deben tener habilitado el registro

[Transfer.4] Los acuerdos de Transfer Family deben estar etiquetados

El registro de AWS WAF [WAF.1] ACL web global clásica debe estar habilitado

Las reglas globales de AWS WAF [WAF.6] clásicas deben tener al menos una condición

Los grupos de reglas globales de AWS WAF [WAF.7] clásicos deben tener al menos una regla

Las ACL web de AWS WAF [WAF.8] globales clásicas deben tener al menos una regla o grupo de reglas

[WorkSpaces.1] Los volúmenes de usuarios de WorkSpaces deben estar cifrados en reposo

[WorkSpaces.2] Los volúmenes raíz de WorkSpaces deben estar cifrados en reposo

[AppSync.1] Las cachés de la API de AWS AppSync deben estar cifradas en reposo

[AppSync.6] Las cachés de la API de AWS AppSync deben estar cifradas en tránsito

[CloudFront.1] Las distribuciones de CloudFront deben tener configurado un objeto raíz predeterminado

[CloudFront.3] Las distribuciones de CloudFront deberían requerir el cifrado en tránsito

[CloudFront.4] Las distribuciones de CloudFront deben tener configurada la conmutación por error de origen

[CloudFront.5] Las distribuciones de CloudFront deben tener el registro habilitado

[CloudFront.6] Las distribuciones de CloudFront deben tener WAF habilitado

[CloudFront.7] Las distribuciones de CloudFront deben usar certificados SSL/TLS personalizados

[CloudFront.8] Las distribuciones de CloudFront deben usar SNI para atender las solicitudes HTTPS

[CloudFront.9] Las distribuciones de CloudFront deben cifrar el tráfico a orígenes personalizados

[CloudFront.10] Las distribuciones de CloudFront no deben usar protocolos SSL obsoletos entre las ubicaciones periféricas y los orígenes personalizados

[CloudFront.12] Las distribuciones de CloudFront no deben apuntar a orígenes S3 inexistentes

[CloudFront.13] Las distribuciones de CloudFront deben usar el control de acceso de origen

[CloudFront.14] Las distribuciones de CloudFront deben etiquetarse

[CloudFront.15] Las distribuciones de CloudFront deben usar la política de seguridad TLS recomendada

[CloudFront.16] Las distribuciones de CloudFront deben usar control de acceso a orígenes para orígenes de URL de funciones de Lambda

[CodeGuruProfiler.1] Los grupos de generación de perfiles del Generador de perfiles de CodeGuru deben estar etiquetados

[CodeGuruReviewer.1] Las asociaciones de repositorio del Revisor de CodeGuru deben estar etiquetadas

[Connect.1] Los tipos de objeto de Perfiles de clientes de Amazon Connect deben estar etiquetados.

[Connect.2] Las instancias de Amazon Connect deben tener habilitado el registro en CloudWatch

[EC2.24] No se deben utilizar los tipos de instancias paravirtuales de Amazon EC2

[EC2.173] Las solicitudes de flota de spot de EC2 con parámetros de lanzamiento deben habilitar el cifrado para los volúmenes de EBS asociados

[ECR.4] Los repositorios públicos de ECR deben estar etiquetados

[FraudDetector.1] Los tipos de entidades de Amazon Fraud Detector deben estar etiquetados

[FraudDetector.2] Las etiquetas de categoría de Amazon Fraud Detector deben estar etiquetadas

[FraudDetector.3] Las salidas de Amazon Fraud Detector deben estar etiquetadas.

[FraudDetector.4] Las variables de Amazon Fraud Detector deben estar etiquetadas

[GlobalAccelerator.1] Los aceleradores de Global Accelerator deben etiquetarse

[IAM.26] Los certificados SSL/TLS vencidos administrados en IAM deben eliminarse

[Inspector.3] El análisis de código de Lambda en Amazon Inspector debe estar habilitado

[IoTTwinMaker.4] Las entidades de AWS IoT TwinMaker deben estar etiquetadas

[IoTWireless.1] Los grupos de multidifusión de AWS IoT Wireless deben estar etiquetados

[IoTWireless.2] Los perfiles de servicio de AWS IoT Wireless deben estar etiquetados

[IoTWireless.3] Las tareas FUOTA de AWS IoT deben estar etiquetadas

[RDS.31] Los grupos de seguridad de bases de datos de RDS deben etiquetarse

[Route53.1] Las comprobaciones de estado de Route 53 deben estar etiquetadas

Las zonas alojadas públicas de Route 53 [Route53.2] deben registrar las consultas de DNS

[S3.24] Los puntos de acceso de varias regiones de S3 deben tener habilitado el bloqueo de acceso público

El registro de AWS WAF [WAF.1] ACL web global clásica debe estar habilitado

Las reglas globales de AWS WAF [WAF.6] clásicas deben tener al menos una condición

Los grupos de reglas globales de AWS WAF [WAF.7] clásicos deben tener al menos una regla

Las ACL web de AWS WAF [WAF.8] globales clásicas deben tener al menos una regla o grupo de reglas

[ACM.1] Los certificados importados y emitidos por ACM deben renovarse después de un período de tiempo específico

[ACM.2] Los certificados RSA administrados por ACM deben utilizar una longitud de clave de al menos 2048 bits

[ACM.3] Los certificados ACM deben estar etiquetados

[Account.1] La información de contacto de seguridad debe proporcionarse para una Cuenta de AWS

[Account.2] Cuentas de AWS debe ser parte de una organización de AWS Organizations

[APIGateway.1] El registro de ejecución de REST de API Gateway y API de WebSocket debe estar habilitado

[APIGateway.2] Las etapas de la API de REST de API Gateway deben configurarse para usar certificados SSL para la autenticación de backend

[APIGateway.3] Las etapas de la API de REST de API Gateway deberían tener el rastreo habilitado de AWS X-Ray

[APIGateway.4] La API Gateway debe estar asociada a una ACL web de WAF

[APIGateway.5] Los datos de la caché de la API de REST de API Gateway deben cifrarse en reposo

[APIGateway.8] Las rutas de API Gateway deben especificar un tipo de autorización

[APIGateway.9] El registro de acceso debe configurarse para las etapas V2 de API Gateway

[Amplify.1] Las aplicaciones de Amplify deben estar etiquetadas

[Amplify.2] Las ramas de Amplify deben estar etiquetadas

[AppConfig.1] Las aplicaciones de AWS AppConfig deben estar etiquetadas

[AppConfig.2] Los perfiles de configuración de AWS AppConfig deben estar etiquetados

[AppConfig.3] Los entornos de AWS AppConfig deben estar etiquetados

[AppConfig.4] Las asociaciones de extensiones de AWS AppConfig deben estar etiquetadas

[AppFlow.1] Los flujos de Amazon AppFlow deben estar etiquetados

[AppRunner.1] Los servicios de App Runner deben estar etiquetados

[AppRunner.2] Los conectores VPC de App Runner deben estar etiquetados.

[AppSync.1] Las cachés de la API de AWS AppSync deben estar cifradas en reposo

[AppSync.2] AWS AppSync debe tener habilitado el registro a nivel de campo

[AppSync.4] Las API de GraphQL de AWS AppSync deben estar etiquetadas

[AppSync.5] Las API de AWS AppSync GraphQL no deben autenticarse con claves de API

[AppSync.6] Las cachés de la API de AWS AppSync deben estar cifradas en tránsito

[Athena.2] Los catálogos de datos de Athena deben estar etiquetados

[Athena.3] Los grupos de trabajo de Athena deben estar etiquetados

[Athena.4] Los grupos de trabajo de Athena deben tener el registro habilitado

[AutoScaling.1] Los grupos de escalado automático asociados con un equilibrador de carga deben usar comprobaciones de estado de ELB

[AutoScaling.2] El grupo Amazon EC2 Auto Scaling debe cubrir varias zonas de disponibilidad

[AutoScaling.3] Las configuraciones de lanzamiento de grupos de escalado automático deben configurar las instancias de EC2 para que requieran servicio de metadatos de instancias versión 2 (IMDSv2) (IMDSv2)

[AutoScaling.6] Los grupos de escalado automático deben usar varios tipos de instancias en varias zonas de disponibilidad

[AutoScaling.9] Los grupos de Amazon EC2 Auto Scaling deben utilizar plantillas de lanzamiento de Amazon EC2

[AutoScaling.10] Los grupos de escalado automático de EC2 deben estar etiquetados

[AutoScaling.5] Las instancias de Amazon EC2 lanzadas mediante configuraciones de lanzamiento de grupo de escalado automático no deben tener direcciones IP públicas

Los puntos de recuperación de [Backup.1] AWS Backup deben estar cifrados en reposo

[Backup.2] Los puntos de recuperación de AWS Backup deben etiquetarse

[Backup.3] Los almacenes de AWS Backup deben etiquetarse

[Backup.4] Los planes de informes de AWS Backup deben etiquetarse

[Backup.5] Los planes de copias de seguridad de AWS Backup deben etiquetarse

[Batch.1] Las colas de trabajos de Batch deben estar etiquetadas

[Batch.2] Las políticas de programación de Batch deben estar etiquetadas

[Batch.3] Los entornos de computación de Batch deben estar etiquetados

[Batch.4] Las propiedades de los recursos de computación en los entornos de computación administrados de Batch deben estar etiquetadas.

[CloudFormation.2] Las pilas de CloudFormation deben etiquetarse

[CloudFront.1] Las distribuciones de CloudFront deben tener configurado un objeto raíz predeterminado

[CloudFront.3] Las distribuciones de CloudFront deberían requerir el cifrado en tránsito

[CloudFront.4] Las distribuciones de CloudFront deben tener configurada la conmutación por error de origen

[CloudFront.5] Las distribuciones de CloudFront deben tener el registro habilitado

[CloudFront.6] Las distribuciones de CloudFront deben tener WAF habilitado

[CloudFront.7] Las distribuciones de CloudFront deben usar certificados SSL/TLS personalizados

[CloudFront.8] Las distribuciones de CloudFront deben usar SNI para atender las solicitudes HTTPS

[CloudFront.9] Las distribuciones de CloudFront deben cifrar el tráfico a orígenes personalizados

[CloudFront.10] Las distribuciones de CloudFront no deben usar protocolos SSL obsoletos entre las ubicaciones periféricas y los orígenes personalizados

[CloudFront.12] Las distribuciones de CloudFront no deben apuntar a orígenes S3 inexistentes

[CloudFront.13] Las distribuciones de CloudFront deben usar el control de acceso de origen

[CloudFront.14] Las distribuciones de CloudFront deben etiquetarse

[CloudFront.15] Las distribuciones de CloudFront deben usar la política de seguridad TLS recomendada

[CloudFront.16] Las distribuciones de CloudFront deben usar control de acceso a orígenes para orígenes de URL de funciones de Lambda

[CloudTrail.6] Asegúrese de que el bucket de S3 utilizado para almacenar los registros de CloudTrail no sea de acceso público

[CloudTrail.7] Asegúrese de que el registro de acceso al bucket S3 esté habilitado en el bucket S3 de CloudTrail

[CloudTrail.9] Los registros de seguimiento de CloudTrail deben etiquetarse

[CloudTrail.10] Los almacenes de datos de eventos de CloudTrail Lake deben estar cifrados con claves de AWS KMS keys administradas por el cliente.

[CloudWatch.17] Las acciones de alarma de CloudWatch deben estar activadas

[CodeArtifact.1] Los repositorios de CodeArtifact deben etiquetarse

[CodeBuild.1] Las URL del repositorio de origen de Bitbucket de CodeBuild no deben contener credenciales confidenciales

[CodeBuild.2] Las variables de entorno del proyecto de CodeBuild no deben contener credenciales de texto sin cifrar

[CodeBuild.3] Los registros de CodeBuild S3 deben estar cifrados

[CodeBuild.4] Los entornos del proyecto CodeBuild deben tener una duración de registro de AWS Config

[CodeBuild.7] Las exportaciones de grupos de informes de CodeBuild deben cifrarse en reposo

[CodeGuruProfiler.1] Los grupos de generación de perfiles del Generador de perfiles de CodeGuru deben estar etiquetados

[CodeGuruReviewer.1] Las asociaciones de repositorio del Revisor de CodeGuru deben estar etiquetadas

[Cognito.1] Los grupos de usuarios de Cognito deben tener la protección contra amenazas activada con el modo de aplicación obligatoria configurado en función completa para la autenticación estándar

[Cognito.2] Los grupos de identidades de Cognito no deben permitir identidades no autenticadas

[Cognito.3] Las políticas de contraseñas para los grupos de usuarios de Cognito deben tener configuraciones sólidas

[Connect.1] Los tipos de objeto de Perfiles de clientes de Amazon Connect deben estar etiquetados.

[Connect.2] Las instancias de Amazon Connect deben tener habilitado el registro en CloudWatch

[DataFirehose.1] Los flujos de entrega de Firehose deben estar cifrados en reposo

[DataSync.1] Las tareas de DataSync deben tener el registro habilitado

[DataSync.2] Las tareas de DataSync deben estar etiquetadas

[Detective.1] Los gráficos de comportamiento de Detective deben estar etiquetados

[DMS.1] Las instancias de replicación de Database Migration Service no deben ser públicas

[DMS.2] Los certificados DMS deben estar etiquetados

[DMS.3] Las suscripciones a eventos de DMS deben estar etiquetadas

[DMS.4] Las instancias de replicación de DMS deben etiquetarse

[DMS.5] Los grupos de subredes de replicación del DMS deben estar etiquetados

[DMS.6] Las instancias de replicación de DMS deben tener habilitada la actualización automática de las versiones secundarias

[DMS.7] Las tareas de replicación de DMS para la base de datos de destino deben tener habilitado el registro

[DMS.8] Las tareas de replicación del DMS para la base de datos de origen deben tener habilitado el registro

[DMS.9] Los puntos finales del DMS deben usar SSL

[DMS.10] Los puntos de conexión de DMS para las bases de datos de Neptune deben tener habilitada la autorización de IAM

[DMS.11] Los puntos de conexión de DMS para MongoDB deben tener un mecanismo de autenticación habilitado

[DMS.12] Los puntos de conexión de DMS para Redis OSS deben tener el TLS habilitado

[DMS.13] Las instancias de replicación de DMS se deben configurar para usar varias zonas de disponibilidad

[DocumentDB.1] Los clústeres de Amazon DocumentDB deben cifrarse en reposo

[DocumentDb.2] Los clústeres de Amazon DocumentDB deben tener un período de retención de copias de seguridad adecuado

[DocumentDb.3] Las instantáneas de clústeres manuales de Amazon DocumentDB no deben ser públicas

[DocumentDb.4] Los clústeres de Amazon DocumentDB deben publicar registros de auditoría en CloudWatch Logs

[DocumentDb.5] Los clústeres de Amazon DocumentDB deben tener habilitada la protección contra eliminaciones

[DocumentDB.6] Los clústeres de Amazon DocumentDB deben estar cifrados en tránsito

[DynamoDB.3] Los clústeres de DynamoDB Accelerator (DAX) deben cifrarse en reposo

[DynamoDB.4] Las tablas de DynamoDB deben estar presentes en un plan de copias de seguridad

[DynamoDB.5] Las tablas de DynamoDB deben etiquetarse

[DynamoDB.6] Las tablas de DynamoDB deben tener la protección contra eliminación habilitada

[DynamoDB.7] Los clústeres del Acelerador de DynamoDB deben estar cifrados en tránsito

[EC2.4] Las instancias EC2 detenidas deben eliminarse después de un período de tiempo específico

[EC2.10] Amazon EC2 debe configurarse para utilizar los puntos de enlace de VPC que se crean para el servicio Amazon EC2

[EC2.19] Los grupos de seguridad no deben permitir el acceso ilimitado a los puertos de alto riesgo

[EC2.21] Las ACL de red no deben permitir la entrada desde 0.0.0.0.0/0 al puerto 22 o al puerto 3389

[EC2.22] Los grupos de seguridad de Amazon EC2 que no se utilicen deben eliminarse

[EC2.23] Amazon EC2 Transit Gateways no debe aceptar automáticamente las solicitudes de adjuntos de VPC

[EC2.24] No se deben utilizar los tipos de instancias paravirtuales de Amazon EC2

[EC2.25] Las plantillas de lanzamiento de Amazon EC2 no deben asignar direcciones IP públicas a las interfaces de red

[EC2.28] Los volúmenes de EBS deben estar cubiertos por un plan de copias de seguridad

[EC2.33] Las conexiones de puerta de enlace de tránsito de EC2 deben etiquetarse

[EC2.34] Las tablas de enrutamiento de las puertas de enlace de tránsito de EC2 deben etiquetarse

[EC2.35] Las interfaces de red de EC2 deben etiquetarse

[EC2.36] Las puertas de enlace de cliente de EC2 deben etiquetarse

[EC2.37] Las direcciones IP elásticas de EC2 deben etiquetarse

[EC2.38] Las instancias de EC2 deben etiquetarse

[EC2.39] Las puertas de enlace de Internet de EC2 deben etiquetarse

[EC2.40] Las puertas de enlace de NAT de EC2 deben etiquetarse

[EC2.41] Las ACL de red de EC2 deben etiquetarse

[EC2.42] Las tablas de enrutamiento de EC2 deben etiquetarse

[EC2.43] Los grupos de seguridad de EC2 deben etiquetarse

[EC2.44] Las subredes de EC2 deben etiquetarse

[EC2.45] Los volúmenes de EC2 deben etiquetarse

[EC2.46] Las VPC de Amazon deben etiquetarse

[EC2.47] Los servicios de puntos de conexión de Amazon VPC deben etiquetarse

[EC2.48] Los registros de flujo de Amazon VPC deben etiquetarse

[EC2.49] Las conexiones de emparejamiento de Amazon VPC deben etiquetarse

[EC2.50] Las puertas de enlace de NAT de EC2 deben etiquetarse

[EC2.51] Los puntos de conexión de Client VPN de EC2 deben tener habilitado el registro de conexiones de clientes

[EC2.52] Las puertas de enlace de tránsito de EC2 deben etiquetarse

[EC2.53] Los grupos de seguridad de EC2 no deberían permitir la entrada de 0.0.0.0/0 a los puertos de administración de servidores remotos

[EC2.54] Los grupos de seguridad de EC2 no deberían permitir la entrada de ::/0 a los puertos de administración de servidores remotos

[EC2.55] Las VPC se deben configurar con un punto de conexión de interfaz para la API de ECR

[EC2.56] Las VPC deben estar configuradas con un punto de conexión de interfaz para el registro de Docker

[EC2.57] Las VPC deben estar configuradas con un punto de conexión de interfaz para Systems Manager

[EC2.58] Las VPC se deben configurar con un punto de conexión de interfaz para los contactos del administrador de incidentes de Systems Manager

[EC2.60] Las VPC se deben configurar con un punto de conexión de interfaz para el administrador de incidentes de Systems Manager

[EC2.170] Las plantillas de lanzamiento de EC2 deben utilizar el servicio de metadatos de instancias versión 2 (IMDSv2)

[EC2.171] Las conexiones VPN de EC2 deben tener el registro habilitado

[EC2.172] Los ajustes de Bloqueo de acceso público de las VPC de EC2 deben bloquear el tráfico de las puertas de enlace de Internet

[EC2.173] Las solicitudes de flota de spot de EC2 con parámetros de lanzamiento deben habilitar el cifrado para los volúmenes de EBS asociados

[EC2.174] Los conjuntos de opciones DHCP de EC2 deben estar etiquetados

[EC2.175] Las plantillas de lanzamiento de EC2 deben estar etiquetadas

[EC2.176] Las listas de prefijos de EC2 deben estar etiquetadas

[EC2.177] Las sesiones de duplicación de tráfico de EC2 deben estar etiquetadas

[EC2.178] Los filtros de duplicación de tráfico de EC2 deben estar etiquetados

[EC2.179] Los destinos de duplicación de tráfico de EC2 deben estar etiquetados

[EC2.180] Las interfaces de red de EC2 deben tener habilitada la comprobación de origen y destino

[EC2.181] Las plantillas de lanzamiento de EC2 deben habilitar el cifrado para los volúmenes de EBS asociados

[ECR.1] Los repositorios privados del ECR deben tener configurado el escaneo de imágenes

[ECR.2] Los repositorios privados de ECR deben tener configurada la inmutabilidad de etiquetas

[ECR.3] Los repositorios de ECR deben tener configurada al menos una política de ciclo de vida

[ECR.4] Los repositorios públicos de ECR deben estar etiquetados

[ECR.5] Los repositorios de ECR se deben cifrar con una clave de AWS KMS keys administrada por el cliente

[ECS.1] Las definiciones de tareas de Amazon ECS deben tener modos de red seguros y definiciones de usuario

[ECS.2] Los servicios de ECS no deberían tener direcciones IP públicas asignadas automáticamente

[ECS.3] Las definiciones de tareas de ECS no deben compartir el espacio de nombres de los procesos del anfitrión

[ECS.4] Los contenedores de ECS deben ejecutarse sin privilegios

[ECS.5] Los contenedores ECS deben limitarse al acceso de solo lectura a los sistemas de archivos raíz

[ECS.8] Los secretos no deben pasarse como variables de entorno del contenedor

[ECS.9] Las definiciones de tareas de ECS deben tener una configuración de registro

[ECS.10] Los servicios Fargate de ECS deberían ejecutarse en la última versión de la plataforma Fargate

[ECS.12] Los clústeres de ECS deben usar Container Insights

[ECS.13] Los servicios de ECS deben estar etiquetados

[ECS.14] Los clústeres de ECS deben etiquetarse

[ECS.15] Las definiciones de tareas de ECS deben etiquetarse

[ECS.16] Los conjuntos de tareas de ECS no deben asignar automáticamente direcciones IP públicas

[ECS.17] Las definiciones de tareas de ECS no deben utilizar el modo de red de host

[EFS.1] Elastic File System debe configurarse para cifrar los datos del archivo en reposo con AWS KMS

[EFS.2] Los volúmenes de Amazon EFS deben estar en los planes de respaldo

[EFS.3] Los puntos de acceso EFS deben aplicar un directorio raíz

[EFS.4] Los puntos de acceso EFS deben imponer una identidad de usuario

[EFS.5] Los puntos de acceso de EFS deben etiquetarse

[EFS.6] Los destinos de montaje de EFS no deben estar asociados a subredes que asignen direcciones IP públicas en el momento del lanzamiento

[EFS.7] Los sistemas de archivos de EFS deben tener habilitadas las copias de seguridad automáticas

[EFS.8] Los sistemas de archivos de EFS deben cifrarse en reposo

[EKS.1] Los puntos de enlace del clúster EKS no deben ser de acceso público

[EKS.2] Los clústeres de EKS deberían ejecutarse en una versión de Kubernetes compatible

[EKS.3] Los clústeres de EKS deben usar secretos de Kubernetes cifrados

[EKS.6] Los clústeres de EKS deben etiquetarse

[EKS.7] Las configuraciones de los proveedores de identidad de EKS deben etiquetarse

[EKS.8] Los clústeres de EKS deben tener habilitado el registro de auditoría

[ELB.2] Los equilibradores de carga clásicos con receptores SSL/HTTPS deben usar un certificado proporcionado por AWS Certificate Manager

[ELB.3] Los oyentes de Equilibrador de carga clásico deben configurarse con una terminación HTTPS o TLS

[ELB.7] Los equilibradores de carga clásicos deberían tener habilitado el drenaje de conexiones

[ELB.8] Los equilibradores de carga clásicos con detectores SSL deben usar una política de seguridad predefinida que tenga una duración sólida de AWS Config

[ELB.10] Equilibrador de carga clásico debe abarcar varias zonas de disponibilidad

[ELB.12] Equilibrador de carga de aplicación debe configurarse con el modo defensivo o de mitigación de desincronización más estricto

[ELB.13] Los equilibradores de carga de aplicaciones, redes y puertas de enlace deben abarcar varias zonas de disponibilidad

[ELB.14] El Equilibrador de carga clásico debe configurarse con el modo defensivo o de mitigación de desincronización más estricto

[ELB.16] Los equilibradores de carga de aplicaciones deben estar asociados a una ACL web de AWS WAF

[ELB.17] Los equilibradores de carga de aplicación y los equilibradores de carga de red con oyentes deben usar políticas de seguridad recomendadas

[ELB.18] Los oyentes de los equilibradores de carga de aplicación y de los equilibradores de carga de red deben usar protocolos seguros para cifrar los datos en tránsito

[ElastiCache.1] Los clústeres de ElastiCache (Redis OSS) deben tener habilitada la copia de seguridad automática

[ElastiCache.2] Los clústeres de ElastiCache deben tener habilitadas las actualizaciones automáticas de versiones secundarias

[ElastiCache.3] Los grupos de replicación de ElastiCache deben tener habilitada la conmutación por error automática

[ElastiCache.4] Los grupos de replicación de ElastiCache deben cifrarse en reposo

[ElastiCache.5] Los grupos de replicación de ElastiCache (Redis OSS) deben cifrarse en tránsito

[ElastiCache.6] Los grupos de replicación de ElastiCache (Redis OSS) de versiones anteriores de Redis deben tener Redis OSS AUTH activado

[ElastiCache.7] Los clústeres de ElastiCache no deben usar el grupo de subredes predeterminado

[ElasticBeanstalk.1] Los entornos de Elastic Beanstalk deberían tener habilitados los informes de estado mejorados

[ElasticBeanstalk.2] Las actualizaciones de la plataforma gestionada de Elastic Beanstalk deben estar habilitadas

[ElasticBeanstalk.3] Elastic Beanstalk debería transmitir los registros a CloudWatch

[EMR.1] Los nodos maestros del clúster de Amazon EMR no deben tener direcciones IP públicas

[EMR.2] La configuración de bloqueo del acceso público de Amazon EMR debe estar habilitada

[EMR.3] Las configuraciones de seguridad de Amazon EMR deben estar cifradas en reposo

[EMR.4] Las configuraciones de seguridad de Amazon EMR deben estar cifradas en tránsito

[ES.1] Los dominios de Elasticsearch deben tener habilitado el cifrado en reposo

[ES.2] Los dominios de Elasticsearch no deben ser de acceso público

[ES.3] Los dominios de Elasticsearch deben cifrar los datos enviados entre nodos

[ES.4] Debe estar habilitado el registro de errores del dominio de Elasticsearch en CloudWatch Logs

[ES.5] Los dominios de Elasticsearch deben tener habilitado el registro de auditoría

[ES.6] Los dominios de Elasticsearch deben tener al menos tres nodos de datos

[ES.7] Los dominios de Elasticsearch deben configurarse con al menos tres nodos maestros dedicados

[ES.8] Las conexiones a dominios de Elasticsearch deben estar cifradas conforme a la política de seguridad TLS más reciente

[ES.9] Los dominios de Elasticsearch deben estar etiquetados

[EventBridge.2] Los buses de eventos de EventBridge deben estar etiquetados

[EventBridge.3] Los buses de eventos personalizados de EventBridge deben tener adjunta una política basada en recursos

[EventBridge.4] Los puntos finales globales de EventBridge deberían tener habilitada la replicación de eventos

[FraudDetector.1] Los tipos de entidades de Amazon Fraud Detector deben estar etiquetados

[FraudDetector.2] Las etiquetas de categoría de Amazon Fraud Detector deben estar etiquetadas

[FraudDetector.3] Las salidas de Amazon Fraud Detector deben estar etiquetadas.

[FraudDetector.4] Las variables de Amazon Fraud Detector deben estar etiquetadas

[FSx.1] Los sistemas de archivos de FSx para OpenZFS deben configurarse para copiar etiquetas en copias de seguridad y volúmenes

[FSx.2] Los sistemas de archivos de FSx para Lustre deben configurarse para copiar etiquetas en copias de seguridad

[FSx.3] Los sistemas de archivos FSx para OpenZFS se deben configurar para una implementación Multi-AZ

[FSx.4] Los sistemas de archivos de FSx para NetApp ONTAP se deben configurar para la implementación Multi-AZ

[FSx.5] Los sistemas de archivos FSx para Windows File Server se deben configurar para la implementación Multi-AZ

[GlobalAccelerator.1] Los aceleradores de Global Accelerator deben etiquetarse

[Glue.1] Los trabajos de AWS Glue deben estar etiquetados

[Glue.3] Las transformaciones de machine learning de AWS Glue deben cifrarse en reposo

[Glue.4] Los trabajos de AWS Glue Spark se deben ejecutar en versiones compatibles de AWS Glue

[GuardDuty.1] Debe habilitarse GuardDuty

[GuardDuty.2] Los filtros GuardDuty deben estar etiquetados

[GuardDuty.3] Los IPSets de GuardDuty deben estar etiquetados

[GuardDuty.4] Los detectores de GuardDuty deben estar etiquetados

[GuardDuty.5] La supervisión de registros de auditoría de EKS en GuardDuty debe estar habilitada

[GuardDuty.6] La protección de Lambda en GuardDuty debe habilitarse

[GuardDuty.7] La supervisión en tiempo de ejecución de EKS en GuardDuty debe estar habilitada

[GuardDuty.8] La protección contra malware para EC2 en GuardDuty debe estar habilitada

[GuardDuty.9] La protección de RDS en GuardDuty debe habilitarse

[GuardDuty.10] La protección de S3 en GuardDuty debe habilitarse

[GuardDuty.11] La supervisión en tiempo de ejecución de GuardDuty debe estar habilitada

[GuardDuty.12] Se debe habilitar la supervisión en tiempo de ejecución de GuardDuty para ECS

[GuardDuty.13] La supervisión en tiempo de ejecución de EC2 en GuardDuty debe estar habilitada

[IAM.1] Las políticas de IAM no deben permitir privilegios administrativos completos “*”

[IAM.2] Los usuarios de IAM no deben tener políticas de IAM asociadas

[IAM.3] Las claves de acceso de los usuarios de IAM deben rotarse cada 90 días o menos

[IAM.4] La clave de acceso del usuario raíz de IAM no debería existir

[IAM.5] MFA debe estar habilitado para todos los usuarios de IAM que tengan una contraseña de consola

[PCI.IAM.6] La MFA de hardware debe estar habilitada para el usuario raíz

[IAM.7] Las políticas de contraseñas para usuarios de IAM deben tener configuraciones seguras

[IAM.8] Deben eliminarse las credenciales de usuario de IAM no utilizadas

[IAM.9] La MFA debe estar habilitada para el usuario raíz

[IAM.10] Las políticas de contraseñas para usuarios de IAM deben tener configuraciones seguras

[IAM.11] Asegurar que la política de contraseñas de IAM requiera al menos una letra mayúscula

[IAM.12] Asegurar que la política de contraseñas de IAM requiera al menos una letra minúscula

[IAM.13] Asegurar que la política de contraseñas de IAM requiera al menos un símbolo

[IAM.14] Asegurar que la política de contraseñas de IAM requiera al menos un número

[IAM.15] Asegurar que la política de contraseñas de IAM requiera una longitud mínima de 14 o más

[IAM.16] Asegurar que la política de contraseñas de IAM impida la reutilización de contraseñas

[IAM.17] Asegurar que la política de contraseñas de IAM haga caducar las contraseñas al cabo de 90 días o menos

[IAM.18] Asegurar que se ha creado un rol de soporte para administrar incidentes con AWS Support

[IAM.19] MFA se debe habilitar para todos los usuarios de IAM

[IAM.21] Las políticas de IAM gestionadas por el cliente que usted cree no deberían permitir acciones comodín en los servicios

[IAM.22] Se deben eliminar las credenciales de usuario de IAM que no se hayan utilizado durante 45 días

[IAM.23] Los analizadores del Analizador de acceso de IAM deben etiquetarse

[IAM.24] Los roles de IAM deben etiquetarse

[IAM.25] Los usuarios de IAM deben etiquetarse

[IAM.26] Los certificados SSL/TLS vencidos administrados en IAM deben eliminarse

[IAM.27] Las identidades de IAM no deben tener adjunta la política AWSCloudShellFullAccess

[IAM.28] El analizador de acceso externo del Analizador de acceso de IAM debe habilitarse

[Inspector.1] El análisis de EC2 en Amazon Inspector debe estar habilitado

[Inspector.2] El análisis de ECR en Amazon Inspector debe estar habilitado

[Inspector.3] El análisis de código de Lambda en Amazon Inspector debe estar habilitado

[Inspector.4] El análisis estándar de Lambda en Amazon Inspector debe estar habilitado

[IoT.1] Los perfiles de seguridad de AWS IoT Device Defender deben etiquetarse

[IoT.2] Las acciones de mitigación de AWS IoT Core deben etiquetarse

[IoT.3] Las dimensiones de AWS IoT Core deben etiquetarse

[IoT.4] Los autorizadores de AWS IoT Core deben etiquetarse

[IoT.5] Los alias de los roles de AWS IoT Core deben etiquetarse

[IoT.6] Las políticas de AWS IoT Core deben etiquetarse

[IoTEvents.1] Las entradas de AWS IoT Events deben estar etiquetadas.

[IoTEvents.2] Los modelos detectores de AWS IoT Events deben estar etiquetados.

[IoTEvents.3] Los modelos de alarmas de AWS IoT Events deben estar etiquetados.

[IoTSiteWise.1] Los modelos de activos de AWS IoT SiteWise deben estar etiquetados

[IoTSiteWise.2] Los paneles de AWS IoT SiteWise deben estar etiquetados

[IoTSiteWise.3] Las puertas de enlace de AWS IoT SiteWise deben estar etiquetadas

[IoTSiteWise.4] Los portales de AWS IoT SiteWise deben estar etiquetados

[IoTSiteWise.5] Los proyectos de AWS IoT SiteWise deben estar etiquetados

[IoTTwinMaker.1] Los trabajos de sincronización de AWS IoT TwinMaker deben estar etiquetados

[IoTTwinMaker.2] Los espacios de trabajo de AWS IoT TwinMaker deben estar etiquetados

[IoTTwinMaker.3] Las escenas de AWS IoT TwinMaker deben estar etiquetadas

[IoTTwinMaker.4] Las entidades de AWS IoT TwinMaker deben estar etiquetadas

[IoTWireless.1] Los grupos de multidifusión de AWS IoT Wireless deben estar etiquetados

[IoTWireless.2] Los perfiles de servicio de AWS IoT Wireless deben estar etiquetados

[IoTWireless.3] Las tareas FUOTA de AWS IoT deben estar etiquetadas

[IVS.1] Los pares de claves de reproducción de IVS deben estar etiquetados

[IVS.2] Las configuraciones de grabación de IVS deben estar etiquetadas

[IVS.3] Los canales de IVS deben estar etiquetados

[Keyspaces.1] Los espacios de claves de Amazon Keyspaces deben estar etiquetados

[Kinesis.1] Las transmisiones de Kinesis deben cifrarse en reposo

[Kinesis.2] Las transmisiones de Kinesis deben etiquetarse

[Kinesis.3] Las transmisiones de Kinesis deben tener un periodo adecuado de retención de datos

[KMS.1] Las políticas gestionadas por los clientes de IAM no deberían permitir acciones de descifrado en todas las claves de KMS

[KMS.2] Los directores de IAM no deberían tener políticas integradas de IAM que permitan realizar acciones de descifrado en todas las claves de KMS

[KMS.3] AWS KMS keys no debe eliminarse de forma involuntaria

[KMS.5] Las claves KMS no deben ser de acceso público

[Lambda.5] Las funciones de Lambda de la VPC deben funcionar en varias zonas de disponibilidad

[Lambda.6] Las funciones de Lambda deben estar etiquetadas

[Lambda.7] Las funciones de Lambda deben tener habilitado el rastreo activo de AWS X-Ray

[Macie.1] Amazon Macie debe estar habilitado

[Macie.2] La detección automática de datos confidenciales de Macie debe estar habilitada

[MQ.2] Los agentes de ActiveMQ deberían transmitir los registros de auditoría a CloudWatch

[MQ.3] Los agentes de Amazon MQ deben tener habilitada la actualización automática de las versiones secundarias

[MQ.4] Los agentes de Amazon MQ deben estar etiquetados

[MQ.5] Los corredores ActiveMQ deben usar el modo de implementación activo/en espera

[MQ.6] Los corredores de RabbitMQ deberían usar el modo de implementación de clústeres

[MSK.1] Los clústeres de MSK deben cifrarse en tránsito entre los nodos intermediarios

[MSK.2] Los clústeres de MSK deberían tener configurada una supervisión mejorada

[MSK.3] Los conectores de MSK Connect deben cifrarse en tránsito

[MSK.4] Los clústeres de MSK deben tener el acceso público desactivado

[MSK.5] Los conectores de MSK deben tener el registro habilitado

[MSK.6] Los clústeres de MSK deben desactivar el acceso sin autenticación

[Neptune.1] Los clústeres de bases de datos de Neptune deben cifrarse en reposo

[Neptune.2] Los clústeres de base de datos de Neptune tienen que publicar registros de auditoría en CloudWatch Logs

[Neptune.3] Las instantáneas del clúster de base de datos de Neptune no deben ser públicas

[Neptune.4] Los clústeres de base de datos de Neptune deben tener habilitada la protección de eliminación

[Neptune.5] Los clústeres de bases de datos de Neptune deberían tener habilitadas las copias de seguridad automáticas

[Neptune.6] Las instantáneas del clúster de base de datos de Neptune deben cifrarse en reposo

[Neptune.7] Los clústeres de base de datos de Neptune deben tener habilitada la autenticación de bases de datos de IAM

[Neptune.8] Los clústeres de base de datos de Neptune deben configurarse para copiar etiquetas a las instantáneas

[Neptune.9] Los clústeres de base de datos de Neptune se deben implementar en varias zonas de disponibilidad

[NetworkFirewall.1] Los firewalls de Network Firewall se deben implementar en varias zonas de disponibilidad

[NetworkFirewall.2] El registro de Network Firewall debe estar habilitado

[NetworkFirewall.3] Las políticas de Network Firewall deben tener asociado al menos un grupo de reglas

[NetworkFirewall.4] La acción sin estado predeterminada para las políticas de Network Firewall debe ser eliminar o reenviar paquetes completos

[NetworkFirewall.5] La acción sin estado predeterminada para las políticas de Network Firewall debe ser eliminar o reenviar paquetes fragmentados

El grupo de reglas de Stateless Network Firewall [NetworkFirewall.6] no debe estar vacío

[NetworkFirewall.7] Los firewall de Network Firewall se deben etiquetar

[NetworkFirewall.8] Las políticas de firewall de Network Firewall se deben etiquetar

Los firewalls de Network Firewall [NetworkFirewall.9] deben tener habilitada la protección de eliminación

[NetworkFirewall.10] Los firewalls de Network Firewall deben tener habilitada la protección contra cambios de subred

[Opensearch.1] Los dominios de OpenSearch deben tener activado el cifrado en reposo

[Opensearch.2] Los dominios de OpenSearch no deben ser de acceso público

Los dominios de OpenSearch [Opensearch.3] deben cifrar los datos enviados entre nodos

Debe estar habilitado el registro de errores del dominio OpenSearch [Opensearch.4] en CloudWatch Logs

Los dominios de OpenSearch [Opensearch.5] deben tener habilitado el registro de auditoría

Los dominios de OpenSearch [Opensearch.6] deben tener al menos tres nodos de datos

Los dominios de OpenSearch [Opensearch.7] deben tener habilitado un control de acceso detallado

[Opensearch.8] Las conexiones a los dominios de OpenSearch deben cifrarse mediante la política de seguridad TLS más reciente

[Opensearch.9] Los dominios de OpenSearch deben estar etiquetados

[Opensearch.10] Los dominios de OpenSearch deben tener instalada la última actualización de software

[Opensearch.11] Los dominios de OpenSearch deben tener al menos tres nodos principales dedicados

[PCA.1] La autoridad emisora de certificados raíz de AWS Private CA debe estar deshabilitada

[PCA.2] Las autoridades de certificado CA privadas de AWS deben estar etiquetadas

Los clústeres de Amazon Aurora [RDS.14] deben tener habilitada la característica de búsqueda de datos anteriores

[RDS.16] Los clústeres de bases de datos Aurora se deben configurar para copiar las etiquetas en las instantáneas de bases de datos

Las instancias de base de datos de RDS [RDS.17] deben configurarse para copiar etiquetas en las instantáneas

Las instancias de RDS [RDS.18] deben implementarse en una VPC

Las suscripciones de notificación de eventos de RDS [RDS.19] existentes deben configurarse para los eventos de clúster críticos

Las suscripciones de notificación de eventos de RDS [RDS.20] existentes deben configurarse para eventos críticos de instancias de bases de datos

Se debe configurar una suscripción a las notificaciones de eventos de RDS [RDS.21] para los eventos críticos de los grupos de parámetros de bases de datos

Se debe configurar una suscripción a las notificaciones de eventos de RDS [RDS.22] para los eventos críticos de los grupos de seguridad de bases de datos

Las instancias RDS [RDS.23] no deben usar el puerto predeterminado de un motor de base de datos

Los clústeres de bases de datos de RDS [RDS.24] deben usar un nombre de usuario de administrador personalizado

Las instancias de bases de datos de RDS [RDS.25] deben usar un nombre de usuario de administrador personalizado

Las instancias de base de datos de RDS [RDS.26] deben protegerse mediante un plan de copias de seguridad

Los clústeres de bases de datos de RDS [RDS.27] deben cifrarse en reposo

[RDS.28] Los clústeres de base de datos de RDS deben etiquetarse

[RDS.29] Las instantáneas del clúster de base de datos de RDS deben etiquetarse

[RDS.30] Las instancias de bases de datos de RDS deben etiquetarse

[RDS.31] Los grupos de seguridad de bases de datos de RDS deben etiquetarse

[RDS.32] Las instantáneas de bases de datos de RDS deben etiquetarse

[RDS.33] Los grupos de subredes de bases de datos de RDS deben etiquetarse

Los clústeres de base de datos Aurora MySQL [RDS.34] deben publicar registros de auditoría en CloudWatch Logs

Los clústeres de bases de datos de RDS [RDS.35] deben tener habilitada la actualización automática de las versiones secundarias

[RDS.36] Las instancias de base de datos de RDS para PostgreSQL deben publicar los registros en Registros de CloudWatch

[RDS.37] Los clústeres de base de datos Aurora PostgreSQL deben publicar registros en Registros de CloudWatch

[RDS.38] Las instancias de bases de datos RDS para PostgreSQL se deben cifrar en tránsito

[RDS.39] Las instancias de bases de datos RDS para MySQL se deben cifrar en tránsito

[RDS.40] Las instancias de bases de datos de RDS para SQL Server deben publicar registros en Registros de CloudWatch.

[RDS.41] Las instancias de RDS para SQL Server se deben cifrar en tránsito

[RDS.42] Las instancias de bases de datos de RDS para MariaDB deben publicar registros en Registros de CloudWatch

[RDS.43] Los proxies de bases de datos de RDS deben exigir cifrado TLS para las conexiones

[RDS.44] Las instancias de bases de datos de RDS para MariaDB se deben cifrar en tránsito

[RDS.45] Los clústeres de bases de datos de Aurora MySQL deben tener habilitado el registro de auditoría

[RDS.46] Las instancias de bases de datos de RDS no se deben implementar en subredes públicas con rutas hacia puertas de enlace de Internet

[RDS.47] Los clústeres de bases de datos de RDS para PostgreSQL deben estar configurados para copiar etiquetas en instantáneas de bases de datos

[RDS.48] Los clústeres de bases de datos de RDS para MySQL deben estar configurados para copiar etiquetas en las instantáneas de bases de datos

[Redshift.1] Los clústeres de Amazon Redshift deberían prohibir el acceso público

Las conexiones a los clústeres de Amazon Redshift [Redshift.2] deben cifrarse en tránsito

Los clústeres de Amazon Redshift [Redshift.3] deben tener habilitadas las instantáneas automáticas

Los clústeres de Amazon Redshift [Redshift.4] deben tener habilitado el registro de auditoría

Amazon Redshift [Redshift.6] debería tener habilitadas las actualizaciones automáticas a las versiones principales

Los clústeres de Redshift [Redshift.7] deberían utilizar un enrutamiento de VPC mejorado

Los clústeres de Amazon Redshift [Redshift.8] no deben usar el nombre de usuario de administrador predeterminado

Los clústeres de Redshift [Redshift.10] deben cifrarse en reposo

[Redshift.11] Los clústeres de Redshift deben etiquetarse

[Redshift.12] Las suscripciones a notificaciones de eventos de Redshift deben etiquetarse

[Redshift.13] Las instantáneas del clúster de Redshift deben etiquetarse

[Redshift.14] Los grupos de subredes del clúster de Redshift deben etiquetarse

[Redshift.15] Los grupos de seguridad de Redshift deberían permitir la entrada en el puerto del clúster solo desde orígenes restringidos

[Redshift.16] Los grupos de subredes de clústeres de Redshift deben tener subredes de varias zonas de disponibilidad

[Redshift.17] Los grupos de parámetros de clúster de Redshift deben estar etiquetados

[Redshift.18] Los clústeres de Redshift deben tener habilitadas las implementaciones Multi-AZ

[RedshiftServerless.1] Los grupos de trabajo de Amazon Redshift sin servidor deben usar enrutamiento de VPC mejorado

[RedshiftServerless.2] Las conexiones a los grupos de trabajo de Redshift sin servidor deben requerir el uso de SSL

[RedshiftServerless.3] Los grupos de trabajo de Redshift sin servidor deben prohibir el acceso público

[RedshiftServerless.4] Los espacios de nombres de Redshift sin servidor se deben cifrar con una clave de AWS KMS keys administrada por el cliente

[RedshiftServerless.5] Los espacios de nombres de Redshift sin servidor no deben usar el nombre predeterminado de administrador

[RedshiftServerless.6] Los espacios de nombres de Redshift sin servidor deben exportar registros a Registros de Amazon CloudWatch

[Route53.1] Las comprobaciones de estado de Route 53 deben estar etiquetadas

Las zonas alojadas públicas de Route 53 [Route53.2] deben registrar las consultas de DNS

[S3.7] Los buckets de uso general de S3 deben usar la replicación entre regiones

[S3.10] Los buckets de uso general de S3 con el control de versiones habilitado deben tener configuraciones de ciclo de vida

[S3.11] Los buckets de uso general de S3 deben tener habilitadas las notificaciones de eventos

[S3.12] Las ACL no deben utilizarse para administrar el acceso de los usuarios a los buckets de uso general de S3

[S3.13] Los buckets de uso general de S3 deben tener configuraciones de ciclo de vida

[S3.17] Los buckets de uso general de S3 deben cifrarse en reposo con AWS KMS keys

[S3.19] Los puntos de acceso de S3 deben tener habilitada la configuración de Bloqueo de acceso público

[S3.20] Los buckets de uso general de S3 deben tener habilitada la eliminación de MFA

[S3.22] Los buckets de uso general de S3 deben registrar eventos de escritura a nivel de objeto

[S3.23] Los buckets de uso general de S3 deben registrar eventos de lectura a nivel de objeto

[S3.24] Los puntos de acceso de varias regiones de S3 deben tener habilitado el bloqueo de acceso público

[S3.25] Los buckets de directorio de S3 deben tener configuraciones de ciclo de vida

Las instancias de cuaderno de Amazon SageMaker [SageMaker.1] no deberían tener acceso directo a Internet

Las instancias de cuaderno de SageMaker [SageMaker.2] deben lanzarse en una VPC personalizada

Los usuarios [SageMaker.3] no deberían tener acceso raíz a las instancias del cuaderno de SageMaker

[SageMaker.4] Las variantes de producción del punto de conexión de SageMaker deben tener un recuento de instancias inicial superior a 1

[SageMaker.5] Los modelos de SageMaker deben tener habilitado el aislamiento de red

[SageMaker.6] Las configuraciones de imágenes de aplicaciones de SageMaker deben estar etiquetadas

[SageMaker.7] Las imágenes de SageMaker deben estar etiquetadas

[SageMaker.8] Las instancias de cuaderno de SageMaker se deben ejecutar en plataformas con soporte

[SES.1] Las listas de contactos de SES deben estar etiquetadas

[SES.2] Los conjuntos de configuración de SES deben estar etiquetados

Los secretos de Secrets Manager [SecretsManager.1] deberían tener habilitada la renovación automática

Los secretos de Secrets Manager [SecretsManager.2] configurados con renovación automática deberían renovarse correctamente

[SecretsManager.3] Eliminar los secretos de Secrets Manager no utilizados

Los secretos de Secrets Manager [SecretsManager.4] deben renovarse en un número específico de días

[SecretsManager.5] Los secretos de Secrets Manager deben estar etiquetados

[ServiceCatalog.1] Las carteras de Service Catalog solo deben compartirse dentro de una organización de AWS

[SNS.3] Los temas de SNS deben etiquetarse

[SNS.4] Las políticas de acceso a los temas de SNS no deberían permitir el acceso público

Las colas de Amazon SQS [SQS.1] deben cifrarse en reposo

[SQS.2] Las colas de SQS deben estar etiquetadas

[SQS.3] Las políticas de acceso de la cola de SQS no deben permitir el acceso público

[SSM.1] Las instancias de Amazon EC2 deben administrarse mediante AWS Systems Manager

[SSM.2] Las instancias EC2 de Amazon administradas por Systems Manager deben tener un estado de conformidad de parche de COMPLIANT después de la instalación de un parche

[SSM.3] Las instancias Amazon EC2 administradas por Systems Manager deben tener el estado de conformidad de la asociación de COMPLIANT

[SSM.4] Los documentos SSM no deben ser públicos

[SSM.5] Los documentos de SSM deben estar etiquetados

[SSM.6] La automatización de SSM debe tener habilitado el registro de CloudWatch

[SSM.7] Los documentos de SSM deben tener habilitada la configuración para bloquear el uso compartido público

Las máquinas de estado de Step Functions [StepFunctions.1] deberían tener el registro activado

[StepFunctions.2] Las actividades de Step Functions deben etiquetarse

[Transfer.1] Los flujos de trabajo de AWS Transfer Family deben etiquetarse

[Transfer.2] Los servidores de Transfer Family no deben utilizar el protocolo FTP para la conexión del punto de conexión

[Transfer.3] Los conectores de Transfer Family deben tener habilitado el registro

[Transfer.4] Los acuerdos de Transfer Family deben estar etiquetados

[Transfer.5] Los certificados de Transfer Family deben estar etiquetados

[Transfer.6] Los conectores de Transfer Family deben estar etiquetados

[Transfer.7] Los perfiles de Transfer Family deben estar etiquetados

El registro de AWS WAF [WAF.1] ACL web global clásica debe estar habilitado

Las reglas de AWS WAF [WAF.2] Regionales clásicas deben tener al menos una condición

Los grupos de reglas de AWS WAF [WAF.3] Regionales clásicos deben tener al menos una regla

Las ACL web de AWS WAF [WAF.4] Regionales clásicas deben tener al menos una regla o grupo de reglas

Las reglas globales de AWS WAF [WAF.6] clásicas deben tener al menos una condición

Los grupos de reglas globales de AWS WAF [WAF.7] clásicos deben tener al menos una regla

Las ACL web de AWS WAF [WAF.8] globales clásicas deben tener al menos una regla o grupo de reglas

Las ACL web de AWS WAF [WAF.10] deben tener al menos una regla o grupo de reglas

El registro de ACL web de AWS WAF [WAF.11] debe estar habilitado

Las reglas de AWS WAF [WAF.12] deben tener habilitadas las métricas de CloudWatch

[WorkSpaces.1] Los volúmenes de usuarios de WorkSpaces deben estar cifrados en reposo

[WorkSpaces.2] Los volúmenes raíz de WorkSpaces deben estar cifrados en reposo

[ACM.1] Los certificados importados y emitidos por ACM deben renovarse después de un período de tiempo específico

[AppFlow.1] Los flujos de Amazon AppFlow deben estar etiquetados

[AppRunner.1] Los servicios de App Runner deben estar etiquetados

[AppRunner.2] Los conectores VPC de App Runner deben estar etiquetados.

[AppSync.1] Las cachés de la API de AWS AppSync deben estar cifradas en reposo

[AppSync.6] Las cachés de la API de AWS AppSync deben estar cifradas en tránsito

Los puntos de recuperación de [Backup.1] AWS Backup deben estar cifrados en reposo

[Backup.4] Los planes de informes de AWS Backup deben etiquetarse

[CloudFront.1] Las distribuciones de CloudFront deben tener configurado un objeto raíz predeterminado

[CloudFront.3] Las distribuciones de CloudFront deberían requerir el cifrado en tránsito

[CloudFront.4] Las distribuciones de CloudFront deben tener configurada la conmutación por error de origen

[CloudFront.5] Las distribuciones de CloudFront deben tener el registro habilitado

[CloudFront.6] Las distribuciones de CloudFront deben tener WAF habilitado

[CloudFront.7] Las distribuciones de CloudFront deben usar certificados SSL/TLS personalizados

[CloudFront.8] Las distribuciones de CloudFront deben usar SNI para atender las solicitudes HTTPS

[CloudFront.9] Las distribuciones de CloudFront deben cifrar el tráfico a orígenes personalizados

[CloudFront.10] Las distribuciones de CloudFront no deben usar protocolos SSL obsoletos entre las ubicaciones periféricas y los orígenes personalizados

[CloudFront.12] Las distribuciones de CloudFront no deben apuntar a orígenes S3 inexistentes

[CloudFront.13] Las distribuciones de CloudFront deben usar el control de acceso de origen

[CloudFront.14] Las distribuciones de CloudFront deben etiquetarse

[CloudFront.15] Las distribuciones de CloudFront deben usar la política de seguridad TLS recomendada

[CloudFront.16] Las distribuciones de CloudFront deben usar control de acceso a orígenes para orígenes de URL de funciones de Lambda

[CodeArtifact.1] Los repositorios de CodeArtifact deben etiquetarse

[CodeGuruProfiler.1] Los grupos de generación de perfiles del Generador de perfiles de CodeGuru deben estar etiquetados

[CodeGuruReviewer.1] Las asociaciones de repositorio del Revisor de CodeGuru deben estar etiquetadas

[Connect.1] Los tipos de objeto de Perfiles de clientes de Amazon Connect deben estar etiquetados.

[Connect.2] Las instancias de Amazon Connect deben tener habilitado el registro en CloudWatch

[Detective.1] Los gráficos de comportamiento de Detective deben estar etiquetados

[DMS.7] Las tareas de replicación de DMS para la base de datos de destino deben tener habilitado el registro

[DMS.8] Las tareas de replicación del DMS para la base de datos de origen deben tener habilitado el registro

[DMS.10] Los puntos de conexión de DMS para las bases de datos de Neptune deben tener habilitada la autorización de IAM

[DocumentDB.1] Los clústeres de Amazon DocumentDB deben cifrarse en reposo

[DocumentDb.2] Los clústeres de Amazon DocumentDB deben tener un período de retención de copias de seguridad adecuado

[DocumentDb.3] Las instantáneas de clústeres manuales de Amazon DocumentDB no deben ser públicas

[DocumentDb.4] Los clústeres de Amazon DocumentDB deben publicar registros de auditoría en CloudWatch Logs

[DocumentDb.5] Los clústeres de Amazon DocumentDB deben tener habilitada la protección contra eliminaciones

[DocumentDB.6] Los clústeres de Amazon DocumentDB deben estar cifrados en tránsito

[DynamoDB.3] Los clústeres de DynamoDB Accelerator (DAX) deben cifrarse en reposo

[DynamoDB.7] Los clústeres del Acelerador de DynamoDB deben estar cifrados en tránsito

[EC2.4] Las instancias EC2 detenidas deben eliminarse después de un período de tiempo específico

[EC2.14] Los grupos de seguridad no deben permitir la entrada desde 0.0.0.0/0 o ::/0 al puerto 3389

[EC2.20] Ambos túneles de VPN de una conexión de AWS Site-to-Site VPN deben estar activos

[EC2.22] Los grupos de seguridad de Amazon EC2 que no se utilicen deben eliminarse

[EC2.23] Amazon EC2 Transit Gateways no debe aceptar automáticamente las solicitudes de adjuntos de VPC

[EC2.24] No se deben utilizar los tipos de instancias paravirtuales de Amazon EC2

[EC2.55] Las VPC se deben configurar con un punto de conexión de interfaz para la API de ECR

[EC2.56] Las VPC deben estar configuradas con un punto de conexión de interfaz para el registro de Docker

[EC2.57] Las VPC deben estar configuradas con un punto de conexión de interfaz para Systems Manager

[EC2.58] Las VPC se deben configurar con un punto de conexión de interfaz para los contactos del administrador de incidentes de Systems Manager

[EC2.60] Las VPC se deben configurar con un punto de conexión de interfaz para el administrador de incidentes de Systems Manager

[EC2.173] Las solicitudes de flota de spot de EC2 con parámetros de lanzamiento deben habilitar el cifrado para los volúmenes de EBS asociados

[ECR.4] Los repositorios públicos de ECR deben estar etiquetados

[ELB.1] El equilibrador de carga de aplicación debe configurarse para redirigir todas las solicitudes HTTP a HTTPS

[ELB.2] Los equilibradores de carga clásicos con receptores SSL/HTTPS deben usar un certificado proporcionado por AWS Certificate Manager

[ELB.3] Los oyentes de Equilibrador de carga clásico deben configurarse con una terminación HTTPS o TLS

[ELB.8] Los equilibradores de carga clásicos con detectores SSL deben usar una política de seguridad predefinida que tenga una duración sólida de AWS Config

[ELB.16] Los equilibradores de carga de aplicaciones deben estar asociados a una ACL web de AWS WAF

[ElastiCache.1] Los clústeres de ElastiCache (Redis OSS) deben tener habilitada la copia de seguridad automática

[ElastiCache.7] Los clústeres de ElastiCache no deben usar el grupo de subredes predeterminado

[ElasticBeanstalk.1] Los entornos de Elastic Beanstalk deberían tener habilitados los informes de estado mejorados

[ElasticBeanstalk.2] Las actualizaciones de la plataforma gestionada de Elastic Beanstalk deben estar habilitadas

[EMR.1] Los nodos maestros del clúster de Amazon EMR no deben tener direcciones IP públicas

[FraudDetector.1] Los tipos de entidades de Amazon Fraud Detector deben estar etiquetados

[FraudDetector.2] Las etiquetas de categoría de Amazon Fraud Detector deben estar etiquetadas

[FraudDetector.3] Las salidas de Amazon Fraud Detector deben estar etiquetadas.

[FraudDetector.4] Las variables de Amazon Fraud Detector deben estar etiquetadas

[GlobalAccelerator.1] Los aceleradores de Global Accelerator deben etiquetarse

[IAM.26] Los certificados SSL/TLS vencidos administrados en IAM deben eliminarse

[Inspector.3] El análisis de código de Lambda en Amazon Inspector debe estar habilitado

[IoT.1] Los perfiles de seguridad de AWS IoT Device Defender deben etiquetarse

[IoT.2] Las acciones de mitigación de AWS IoT Core deben etiquetarse

[IoT.3] Las dimensiones de AWS IoT Core deben etiquetarse

[IoT.4] Los autorizadores de AWS IoT Core deben etiquetarse

[IoT.5] Los alias de los roles de AWS IoT Core deben etiquetarse

[IoT.6] Las políticas de AWS IoT Core deben etiquetarse

[IoTEvents.1] Las entradas de AWS IoT Events deben estar etiquetadas.

[IoTEvents.2] Los modelos detectores de AWS IoT Events deben estar etiquetados.

[IoTEvents.3] Los modelos de alarmas de AWS IoT Events deben estar etiquetados.

[IoTSiteWise.1] Los modelos de activos de AWS IoT SiteWise deben estar etiquetados

[IoTSiteWise.2] Los paneles de AWS IoT SiteWise deben estar etiquetados

[IoTSiteWise.3] Las puertas de enlace de AWS IoT SiteWise deben estar etiquetadas

[IoTSiteWise.4] Los portales de AWS IoT SiteWise deben estar etiquetados

[IoTSiteWise.5] Los proyectos de AWS IoT SiteWise deben estar etiquetados

[IoTTwinMaker.1] Los trabajos de sincronización de AWS IoT TwinMaker deben estar etiquetados

[IoTTwinMaker.2] Los espacios de trabajo de AWS IoT TwinMaker deben estar etiquetados

[IoTTwinMaker.3] Las escenas de AWS IoT TwinMaker deben estar etiquetadas

[IoTTwinMaker.4] Las entidades de AWS IoT TwinMaker deben estar etiquetadas

[IoTWireless.1] Los grupos de multidifusión de AWS IoT Wireless deben estar etiquetados

[IoTWireless.2] Los perfiles de servicio de AWS IoT Wireless deben estar etiquetados

[IoTWireless.3] Las tareas FUOTA de AWS IoT deben estar etiquetadas

[IVS.1] Los pares de claves de reproducción de IVS deben estar etiquetados

[IVS.2] Las configuraciones de grabación de IVS deben estar etiquetadas

[IVS.3] Los canales de IVS deben estar etiquetados

[Keyspaces.1] Los espacios de claves de Amazon Keyspaces deben estar etiquetados

[MSK.3] Los conectores de MSK Connect deben cifrarse en tránsito

[MSK.5] Los conectores de MSK deben tener el registro habilitado

[RDS.31] Los grupos de seguridad de bases de datos de RDS deben etiquetarse

[RedshiftServerless.1] Los grupos de trabajo de Amazon Redshift sin servidor deben usar enrutamiento de VPC mejorado

[RedshiftServerless.2] Las conexiones a los grupos de trabajo de Redshift sin servidor deben requerir el uso de SSL

[RedshiftServerless.3] Los grupos de trabajo de Redshift sin servidor deben prohibir el acceso público

[RedshiftServerless.4] Los espacios de nombres de Redshift sin servidor se deben cifrar con una clave de AWS KMS keys administrada por el cliente

[RedshiftServerless.5] Los espacios de nombres de Redshift sin servidor no deben usar el nombre predeterminado de administrador

[RedshiftServerless.6] Los espacios de nombres de Redshift sin servidor deben exportar registros a Registros de Amazon CloudWatch

[Route53.1] Las comprobaciones de estado de Route 53 deben estar etiquetadas

Las zonas alojadas públicas de Route 53 [Route53.2] deben registrar las consultas de DNS

[S3.24] Los puntos de acceso de varias regiones de S3 deben tener habilitado el bloqueo de acceso público

[S3.25] Los buckets de directorio de S3 deben tener configuraciones de ciclo de vida

[SSM.2] Las instancias EC2 de Amazon administradas por Systems Manager deben tener un estado de conformidad de parche de COMPLIANT después de la instalación de un parche

[SSM.3] Las instancias Amazon EC2 administradas por Systems Manager deben tener el estado de conformidad de la asociación de COMPLIANT

El registro de AWS WAF [WAF.1] ACL web global clásica debe estar habilitado

Los grupos de reglas de AWS WAF [WAF.3] Regionales clásicos deben tener al menos una regla

Las reglas globales de AWS WAF [WAF.6] clásicas deben tener al menos una condición

Los grupos de reglas globales de AWS WAF [WAF.7] clásicos deben tener al menos una regla

Las ACL web de AWS WAF [WAF.8] globales clásicas deben tener al menos una regla o grupo de reglas

Las ACL web de AWS WAF [WAF.10] deben tener al menos una regla o grupo de reglas

[WorkSpaces.1] Los volúmenes de usuarios de WorkSpaces deben estar cifrados en reposo

[WorkSpaces.2] Los volúmenes raíz de WorkSpaces deben estar cifrados en reposo

[AppRunner.1] Los servicios de App Runner deben estar etiquetados

[AppRunner.2] Los conectores VPC de App Runner deben estar etiquetados.

[AppSync.1] Las cachés de la API de AWS AppSync deben estar cifradas en reposo

[AppSync.6] Las cachés de la API de AWS AppSync deben estar cifradas en tránsito

[CloudFront.1] Las distribuciones de CloudFront deben tener configurado un objeto raíz predeterminado

[CloudFront.3] Las distribuciones de CloudFront deberían requerir el cifrado en tránsito

[CloudFront.4] Las distribuciones de CloudFront deben tener configurada la conmutación por error de origen

[CloudFront.5] Las distribuciones de CloudFront deben tener el registro habilitado

[CloudFront.6] Las distribuciones de CloudFront deben tener WAF habilitado

[CloudFront.7] Las distribuciones de CloudFront deben usar certificados SSL/TLS personalizados

[CloudFront.8] Las distribuciones de CloudFront deben usar SNI para atender las solicitudes HTTPS

[CloudFront.9] Las distribuciones de CloudFront deben cifrar el tráfico a orígenes personalizados

[CloudFront.10] Las distribuciones de CloudFront no deben usar protocolos SSL obsoletos entre las ubicaciones periféricas y los orígenes personalizados

[CloudFront.12] Las distribuciones de CloudFront no deben apuntar a orígenes S3 inexistentes

[CloudFront.13] Las distribuciones de CloudFront deben usar el control de acceso de origen

[CloudFront.14] Las distribuciones de CloudFront deben etiquetarse

[CloudFront.15] Las distribuciones de CloudFront deben usar la política de seguridad TLS recomendada

[CloudFront.16] Las distribuciones de CloudFront deben usar control de acceso a orígenes para orígenes de URL de funciones de Lambda

[CodeArtifact.1] Los repositorios de CodeArtifact deben etiquetarse

[CodeGuruProfiler.1] Los grupos de generación de perfiles del Generador de perfiles de CodeGuru deben estar etiquetados

[CodeGuruReviewer.1] Las asociaciones de repositorio del Revisor de CodeGuru deben estar etiquetadas

[Cognito.2] Los grupos de identidades de Cognito no deben permitir identidades no autenticadas

[DynamoDB.3] Los clústeres de DynamoDB Accelerator (DAX) deben cifrarse en reposo

[DynamoDB.7] Los clústeres del Acelerador de DynamoDB deben estar cifrados en tránsito

[EC2.24] No se deben utilizar los tipos de instancias paravirtuales de Amazon EC2

[EC2.173] Las solicitudes de flota de spot de EC2 con parámetros de lanzamiento deben habilitar el cifrado para los volúmenes de EBS asociados

[EC2.180] Las interfaces de red de EC2 deben tener habilitada la comprobación de origen y destino

[ECR.4] Los repositorios públicos de ECR deben estar etiquetados

[ELB.18] Los oyentes de los equilibradores de carga de aplicación y de los equilibradores de carga de red deben usar protocolos seguros para cifrar los datos en tránsito

[FraudDetector.1] Los tipos de entidades de Amazon Fraud Detector deben estar etiquetados

[FraudDetector.2] Las etiquetas de categoría de Amazon Fraud Detector deben estar etiquetadas

[FraudDetector.3] Las salidas de Amazon Fraud Detector deben estar etiquetadas.

[FraudDetector.4] Las variables de Amazon Fraud Detector deben estar etiquetadas

[GlobalAccelerator.1] Los aceleradores de Global Accelerator deben etiquetarse

[Glue.4] Los trabajos de AWS Glue Spark se deben ejecutar en versiones compatibles de AWS Glue

[IAM.26] Los certificados SSL/TLS vencidos administrados en IAM deben eliminarse

[Inspector.3] El análisis de código de Lambda en Amazon Inspector debe estar habilitado

[IoTTwinMaker.4] Las entidades de AWS IoT TwinMaker deben estar etiquetadas

[IoTWireless.1] Los grupos de multidifusión de AWS IoT Wireless deben estar etiquetados

[IoTWireless.2] Los perfiles de servicio de AWS IoT Wireless deben estar etiquetados

[IoTWireless.3] Las tareas FUOTA de AWS IoT deben estar etiquetadas

[Lambda.7] Las funciones de Lambda deben tener habilitado el rastreo activo de AWS X-Ray

[MSK.4] Los clústeres de MSK deben tener el acceso público desactivado

[MSK.5] Los conectores de MSK deben tener el registro habilitado

[MSK.6] Los clústeres de MSK deben desactivar el acceso sin autenticación

[RDS.31] Los grupos de seguridad de bases de datos de RDS deben etiquetarse

[Redshift.18] Los clústeres de Redshift deben tener habilitadas las implementaciones Multi-AZ

[Route53.1] Las comprobaciones de estado de Route 53 deben estar etiquetadas

Las zonas alojadas públicas de Route 53 [Route53.2] deben registrar las consultas de DNS

[S3.24] Los puntos de acceso de varias regiones de S3 deben tener habilitado el bloqueo de acceso público

[S3.25] Los buckets de directorio de S3 deben tener configuraciones de ciclo de vida

[SSM.6] La automatización de SSM debe tener habilitado el registro de CloudWatch

[SSM.7] Los documentos de SSM deben tener habilitada la configuración para bloquear el uso compartido público

El registro de AWS WAF [WAF.1] ACL web global clásica debe estar habilitado

Las reglas globales de AWS WAF [WAF.6] clásicas deben tener al menos una condición

Los grupos de reglas globales de AWS WAF [WAF.7] clásicos deben tener al menos una regla

Las ACL web de AWS WAF [WAF.8] globales clásicas deben tener al menos una regla o grupo de reglas

[AppSync.1] Las cachés de la API de AWS AppSync deben estar cifradas en reposo

[AppSync.6] Las cachés de la API de AWS AppSync deben estar cifradas en tránsito

[CloudFront.1] Las distribuciones de CloudFront deben tener configurado un objeto raíz predeterminado

[CloudFront.3] Las distribuciones de CloudFront deberían requerir el cifrado en tránsito

[CloudFront.4] Las distribuciones de CloudFront deben tener configurada la conmutación por error de origen

[CloudFront.5] Las distribuciones de CloudFront deben tener el registro habilitado

[CloudFront.6] Las distribuciones de CloudFront deben tener WAF habilitado

[CloudFront.7] Las distribuciones de CloudFront deben usar certificados SSL/TLS personalizados

[CloudFront.8] Las distribuciones de CloudFront deben usar SNI para atender las solicitudes HTTPS

[CloudFront.9] Las distribuciones de CloudFront deben cifrar el tráfico a orígenes personalizados

[CloudFront.10] Las distribuciones de CloudFront no deben usar protocolos SSL obsoletos entre las ubicaciones periféricas y los orígenes personalizados

[CloudFront.12] Las distribuciones de CloudFront no deben apuntar a orígenes S3 inexistentes

[CloudFront.13] Las distribuciones de CloudFront deben usar el control de acceso de origen

[CloudFront.14] Las distribuciones de CloudFront deben etiquetarse

[CloudFront.15] Las distribuciones de CloudFront deben usar la política de seguridad TLS recomendada

[CloudFront.16] Las distribuciones de CloudFront deben usar control de acceso a orígenes para orígenes de URL de funciones de Lambda

[EC2.173] Las solicitudes de flota de spot de EC2 con parámetros de lanzamiento deben habilitar el cifrado para los volúmenes de EBS asociados

[ECR.4] Los repositorios públicos de ECR deben estar etiquetados

[GlobalAccelerator.1] Los aceleradores de Global Accelerator deben etiquetarse

[IAM.26] Los certificados SSL/TLS vencidos administrados en IAM deben eliminarse

[IoTWireless.1] Los grupos de multidifusión de AWS IoT Wireless deben estar etiquetados

[IoTWireless.2] Los perfiles de servicio de AWS IoT Wireless deben estar etiquetados

[IoTWireless.3] Las tareas FUOTA de AWS IoT deben estar etiquetadas

[IVS.1] Los pares de claves de reproducción de IVS deben estar etiquetados

[IVS.2] Las configuraciones de grabación de IVS deben estar etiquetadas

[IVS.3] Los canales de IVS deben estar etiquetados

[Route53.1] Las comprobaciones de estado de Route 53 deben estar etiquetadas

Las zonas alojadas públicas de Route 53 [Route53.2] deben registrar las consultas de DNS

[S3.24] Los puntos de acceso de varias regiones de S3 deben tener habilitado el bloqueo de acceso público

[S3.25] Los buckets de directorio de S3 deben tener configuraciones de ciclo de vida

El registro de AWS WAF [WAF.1] ACL web global clásica debe estar habilitado

Las reglas globales de AWS WAF [WAF.6] clásicas deben tener al menos una condición

Los grupos de reglas globales de AWS WAF [WAF.7] clásicos deben tener al menos una regla

Las ACL web de AWS WAF [WAF.8] globales clásicas deben tener al menos una regla o grupo de reglas

[AppSync.1] Las cachés de la API de AWS AppSync deben estar cifradas en reposo

[AppSync.6] Las cachés de la API de AWS AppSync deben estar cifradas en tránsito

[CloudFront.1] Las distribuciones de CloudFront deben tener configurado un objeto raíz predeterminado

[CloudFront.3] Las distribuciones de CloudFront deberían requerir el cifrado en tránsito

[CloudFront.4] Las distribuciones de CloudFront deben tener configurada la conmutación por error de origen

[CloudFront.5] Las distribuciones de CloudFront deben tener el registro habilitado

[CloudFront.6] Las distribuciones de CloudFront deben tener WAF habilitado

[CloudFront.7] Las distribuciones de CloudFront deben usar certificados SSL/TLS personalizados

[CloudFront.8] Las distribuciones de CloudFront deben usar SNI para atender las solicitudes HTTPS

[CloudFront.9] Las distribuciones de CloudFront deben cifrar el tráfico a orígenes personalizados

[CloudFront.10] Las distribuciones de CloudFront no deben usar protocolos SSL obsoletos entre las ubicaciones periféricas y los orígenes personalizados

[CloudFront.12] Las distribuciones de CloudFront no deben apuntar a orígenes S3 inexistentes

[CloudFront.13] Las distribuciones de CloudFront deben usar el control de acceso de origen

[CloudFront.14] Las distribuciones de CloudFront deben etiquetarse

[CloudFront.15] Las distribuciones de CloudFront deben usar la política de seguridad TLS recomendada

[CloudFront.16] Las distribuciones de CloudFront deben usar control de acceso a orígenes para orígenes de URL de funciones de Lambda

[EC2.173] Las solicitudes de flota de spot de EC2 con parámetros de lanzamiento deben habilitar el cifrado para los volúmenes de EBS asociados

[ECR.4] Los repositorios públicos de ECR deben estar etiquetados

[GlobalAccelerator.1] Los aceleradores de Global Accelerator deben etiquetarse

[IAM.26] Los certificados SSL/TLS vencidos administrados en IAM deben eliminarse

[IVS.1] Los pares de claves de reproducción de IVS deben estar etiquetados

[IVS.2] Las configuraciones de grabación de IVS deben estar etiquetadas

[IVS.3] Los canales de IVS deben estar etiquetados

[Route53.1] Las comprobaciones de estado de Route 53 deben estar etiquetadas

Las zonas alojadas públicas de Route 53 [Route53.2] deben registrar las consultas de DNS

[S3.24] Los puntos de acceso de varias regiones de S3 deben tener habilitado el bloqueo de acceso público

[S3.25] Los buckets de directorio de S3 deben tener configuraciones de ciclo de vida

El registro de AWS WAF [WAF.1] ACL web global clásica debe estar habilitado

Las reglas globales de AWS WAF [WAF.6] clásicas deben tener al menos una condición

Los grupos de reglas globales de AWS WAF [WAF.7] clásicos deben tener al menos una regla

Las ACL web de AWS WAF [WAF.8] globales clásicas deben tener al menos una regla o grupo de reglas

[ACM.1] Los certificados importados y emitidos por ACM deben renovarse después de un período de tiempo específico

[ACM.2] Los certificados RSA administrados por ACM deben utilizar una longitud de clave de al menos 2048 bits

[ACM.3] Los certificados ACM deben estar etiquetados

[Account.1] La información de contacto de seguridad debe proporcionarse para una Cuenta de AWS

[Account.2] Cuentas de AWS debe ser parte de una organización de AWS Organizations

[APIGateway.1] El registro de ejecución de REST de API Gateway y API de WebSocket debe estar habilitado

[APIGateway.2] Las etapas de la API de REST de API Gateway deben configurarse para usar certificados SSL para la autenticación de backend

[APIGateway.3] Las etapas de la API de REST de API Gateway deberían tener el rastreo habilitado de AWS X-Ray

[APIGateway.4] La API Gateway debe estar asociada a una ACL web de WAF

[APIGateway.5] Los datos de la caché de la API de REST de API Gateway deben cifrarse en reposo

[APIGateway.8] Las rutas de API Gateway deben especificar un tipo de autorización

[APIGateway.9] El registro de acceso debe configurarse para las etapas V2 de API Gateway

[Amplify.1] Las aplicaciones de Amplify deben estar etiquetadas

[Amplify.2] Las ramas de Amplify deben estar etiquetadas

[AppConfig.1] Las aplicaciones de AWS AppConfig deben estar etiquetadas

[AppConfig.2] Los perfiles de configuración de AWS AppConfig deben estar etiquetados

[AppConfig.3] Los entornos de AWS AppConfig deben estar etiquetados

[AppConfig.4] Las asociaciones de extensiones de AWS AppConfig deben estar etiquetadas

[AppFlow.1] Los flujos de Amazon AppFlow deben estar etiquetados

[AppRunner.1] Los servicios de App Runner deben estar etiquetados

[AppRunner.2] Los conectores VPC de App Runner deben estar etiquetados.

[AppSync.1] Las cachés de la API de AWS AppSync deben estar cifradas en reposo

[AppSync.2] AWS AppSync debe tener habilitado el registro a nivel de campo

[AppSync.4] Las API de GraphQL de AWS AppSync deben estar etiquetadas

[AppSync.5] Las API de AWS AppSync GraphQL no deben autenticarse con claves de API

[AppSync.6] Las cachés de la API de AWS AppSync deben estar cifradas en tránsito

[Athena.2] Los catálogos de datos de Athena deben estar etiquetados

[Athena.3] Los grupos de trabajo de Athena deben estar etiquetados

[Athena.4] Los grupos de trabajo de Athena deben tener el registro habilitado

[AutoScaling.1] Los grupos de escalado automático asociados con un equilibrador de carga deben usar comprobaciones de estado de ELB

[AutoScaling.2] El grupo Amazon EC2 Auto Scaling debe cubrir varias zonas de disponibilidad

[AutoScaling.3] Las configuraciones de lanzamiento de grupos de escalado automático deben configurar las instancias de EC2 para que requieran servicio de metadatos de instancias versión 2 (IMDSv2) (IMDSv2)

[AutoScaling.6] Los grupos de escalado automático deben usar varios tipos de instancias en varias zonas de disponibilidad

[AutoScaling.9] Los grupos de Amazon EC2 Auto Scaling deben utilizar plantillas de lanzamiento de Amazon EC2

[AutoScaling.10] Los grupos de escalado automático de EC2 deben estar etiquetados

[AutoScaling.5] Las instancias de Amazon EC2 lanzadas mediante configuraciones de lanzamiento de grupo de escalado automático no deben tener direcciones IP públicas

Los puntos de recuperación de [Backup.1] AWS Backup deben estar cifrados en reposo

[Backup.2] Los puntos de recuperación de AWS Backup deben etiquetarse

[Backup.3] Los almacenes de AWS Backup deben etiquetarse

[Backup.4] Los planes de informes de AWS Backup deben etiquetarse

[Backup.5] Los planes de copias de seguridad de AWS Backup deben etiquetarse

[Batch.1] Las colas de trabajos de Batch deben estar etiquetadas

[Batch.2] Las políticas de programación de Batch deben estar etiquetadas

[Batch.3] Los entornos de computación de Batch deben estar etiquetados

[Batch.4] Las propiedades de los recursos de computación en los entornos de computación administrados de Batch deben estar etiquetadas.

[CloudFormation.2] Las pilas de CloudFormation deben etiquetarse

[CloudFront.1] Las distribuciones de CloudFront deben tener configurado un objeto raíz predeterminado

[CloudFront.3] Las distribuciones de CloudFront deberían requerir el cifrado en tránsito

[CloudFront.4] Las distribuciones de CloudFront deben tener configurada la conmutación por error de origen

[CloudFront.5] Las distribuciones de CloudFront deben tener el registro habilitado

[CloudFront.6] Las distribuciones de CloudFront deben tener WAF habilitado

[CloudFront.7] Las distribuciones de CloudFront deben usar certificados SSL/TLS personalizados

[CloudFront.8] Las distribuciones de CloudFront deben usar SNI para atender las solicitudes HTTPS

[CloudFront.9] Las distribuciones de CloudFront deben cifrar el tráfico a orígenes personalizados

[CloudFront.10] Las distribuciones de CloudFront no deben usar protocolos SSL obsoletos entre las ubicaciones periféricas y los orígenes personalizados

[CloudFront.12] Las distribuciones de CloudFront no deben apuntar a orígenes S3 inexistentes

[CloudFront.13] Las distribuciones de CloudFront deben usar el control de acceso de origen

[CloudFront.14] Las distribuciones de CloudFront deben etiquetarse

[CloudFront.15] Las distribuciones de CloudFront deben usar la política de seguridad TLS recomendada

[CloudFront.16] Las distribuciones de CloudFront deben usar control de acceso a orígenes para orígenes de URL de funciones de Lambda

[CloudTrail.6] Asegúrese de que el bucket de S3 utilizado para almacenar los registros de CloudTrail no sea de acceso público

[CloudTrail.7] Asegúrese de que el registro de acceso al bucket S3 esté habilitado en el bucket S3 de CloudTrail

[CloudTrail.9] Los registros de seguimiento de CloudTrail deben etiquetarse

[CloudTrail.10] Los almacenes de datos de eventos de CloudTrail Lake deben estar cifrados con claves de AWS KMS keys administradas por el cliente.

[CloudWatch.17] Las acciones de alarma de CloudWatch deben estar activadas

[CodeArtifact.1] Los repositorios de CodeArtifact deben etiquetarse

[CodeBuild.1] Las URL del repositorio de origen de Bitbucket de CodeBuild no deben contener credenciales confidenciales

[CodeBuild.2] Las variables de entorno del proyecto de CodeBuild no deben contener credenciales de texto sin cifrar

[CodeBuild.3] Los registros de CodeBuild S3 deben estar cifrados

[CodeBuild.4] Los entornos del proyecto CodeBuild deben tener una duración de registro de AWS Config

[CodeBuild.7] Las exportaciones de grupos de informes de CodeBuild deben cifrarse en reposo

[CodeGuruProfiler.1] Los grupos de generación de perfiles del Generador de perfiles de CodeGuru deben estar etiquetados

[CodeGuruReviewer.1] Las asociaciones de repositorio del Revisor de CodeGuru deben estar etiquetadas

[Cognito.1] Los grupos de usuarios de Cognito deben tener la protección contra amenazas activada con el modo de aplicación obligatoria configurado en función completa para la autenticación estándar

[Cognito.2] Los grupos de identidades de Cognito no deben permitir identidades no autenticadas

[Cognito.3] Las políticas de contraseñas para los grupos de usuarios de Cognito deben tener configuraciones sólidas

[Connect.1] Los tipos de objeto de Perfiles de clientes de Amazon Connect deben estar etiquetados.

[Connect.2] Las instancias de Amazon Connect deben tener habilitado el registro en CloudWatch

[DataFirehose.1] Los flujos de entrega de Firehose deben estar cifrados en reposo

[DataSync.1] Las tareas de DataSync deben tener el registro habilitado

[DataSync.2] Las tareas de DataSync deben estar etiquetadas

[Detective.1] Los gráficos de comportamiento de Detective deben estar etiquetados

[DMS.1] Las instancias de replicación de Database Migration Service no deben ser públicas

[DMS.2] Los certificados DMS deben estar etiquetados

[DMS.3] Las suscripciones a eventos de DMS deben estar etiquetadas

[DMS.4] Las instancias de replicación de DMS deben etiquetarse

[DMS.5] Los grupos de subredes de replicación del DMS deben estar etiquetados

[DMS.6] Las instancias de replicación de DMS deben tener habilitada la actualización automática de las versiones secundarias

[DMS.7] Las tareas de replicación de DMS para la base de datos de destino deben tener habilitado el registro

[DMS.8] Las tareas de replicación del DMS para la base de datos de origen deben tener habilitado el registro

[DMS.9] Los puntos finales del DMS deben usar SSL

[DMS.10] Los puntos de conexión de DMS para las bases de datos de Neptune deben tener habilitada la autorización de IAM

[DMS.11] Los puntos de conexión de DMS para MongoDB deben tener un mecanismo de autenticación habilitado

[DMS.12] Los puntos de conexión de DMS para Redis OSS deben tener el TLS habilitado

[DMS.13] Las instancias de replicación de DMS se deben configurar para usar varias zonas de disponibilidad

[DocumentDB.1] Los clústeres de Amazon DocumentDB deben cifrarse en reposo

[DocumentDb.2] Los clústeres de Amazon DocumentDB deben tener un período de retención de copias de seguridad adecuado

[DocumentDb.3] Las instantáneas de clústeres manuales de Amazon DocumentDB no deben ser públicas

[DocumentDb.4] Los clústeres de Amazon DocumentDB deben publicar registros de auditoría en CloudWatch Logs

[DocumentDb.5] Los clústeres de Amazon DocumentDB deben tener habilitada la protección contra eliminaciones

[DocumentDB.6] Los clústeres de Amazon DocumentDB deben estar cifrados en tránsito

[DynamoDB.3] Los clústeres de DynamoDB Accelerator (DAX) deben cifrarse en reposo

[DynamoDB.4] Las tablas de DynamoDB deben estar presentes en un plan de copias de seguridad

[DynamoDB.5] Las tablas de DynamoDB deben etiquetarse

[DynamoDB.6] Las tablas de DynamoDB deben tener la protección contra eliminación habilitada

[DynamoDB.7] Los clústeres del Acelerador de DynamoDB deben estar cifrados en tránsito

[EC2.4] Las instancias EC2 detenidas deben eliminarse después de un período de tiempo específico

[EC2.10] Amazon EC2 debe configurarse para utilizar los puntos de enlace de VPC que se crean para el servicio Amazon EC2

[EC2.19] Los grupos de seguridad no deben permitir el acceso ilimitado a los puertos de alto riesgo

[EC2.21] Las ACL de red no deben permitir la entrada desde 0.0.0.0.0/0 al puerto 22 o al puerto 3389

[EC2.22] Los grupos de seguridad de Amazon EC2 que no se utilicen deben eliminarse

[EC2.23] Amazon EC2 Transit Gateways no debe aceptar automáticamente las solicitudes de adjuntos de VPC

[EC2.24] No se deben utilizar los tipos de instancias paravirtuales de Amazon EC2

[EC2.25] Las plantillas de lanzamiento de Amazon EC2 no deben asignar direcciones IP públicas a las interfaces de red

[EC2.28] Los volúmenes de EBS deben estar cubiertos por un plan de copias de seguridad

[EC2.33] Las conexiones de puerta de enlace de tránsito de EC2 deben etiquetarse

[EC2.34] Las tablas de enrutamiento de las puertas de enlace de tránsito de EC2 deben etiquetarse

[EC2.35] Las interfaces de red de EC2 deben etiquetarse

[EC2.36] Las puertas de enlace de cliente de EC2 deben etiquetarse

[EC2.37] Las direcciones IP elásticas de EC2 deben etiquetarse

[EC2.38] Las instancias de EC2 deben etiquetarse

[EC2.39] Las puertas de enlace de Internet de EC2 deben etiquetarse

[EC2.40] Las puertas de enlace de NAT de EC2 deben etiquetarse

[EC2.41] Las ACL de red de EC2 deben etiquetarse

[EC2.42] Las tablas de enrutamiento de EC2 deben etiquetarse

[EC2.43] Los grupos de seguridad de EC2 deben etiquetarse

[EC2.44] Las subredes de EC2 deben etiquetarse

[EC2.45] Los volúmenes de EC2 deben etiquetarse

[EC2.46] Las VPC de Amazon deben etiquetarse

[EC2.47] Los servicios de puntos de conexión de Amazon VPC deben etiquetarse

[EC2.48] Los registros de flujo de Amazon VPC deben etiquetarse

[EC2.49] Las conexiones de emparejamiento de Amazon VPC deben etiquetarse

[EC2.50] Las puertas de enlace de NAT de EC2 deben etiquetarse

[EC2.51] Los puntos de conexión de Client VPN de EC2 deben tener habilitado el registro de conexiones de clientes

[EC2.52] Las puertas de enlace de tránsito de EC2 deben etiquetarse

[EC2.53] Los grupos de seguridad de EC2 no deberían permitir la entrada de 0.0.0.0/0 a los puertos de administración de servidores remotos

[EC2.54] Los grupos de seguridad de EC2 no deberían permitir la entrada de ::/0 a los puertos de administración de servidores remotos

[EC2.55] Las VPC se deben configurar con un punto de conexión de interfaz para la API de ECR

[EC2.56] Las VPC deben estar configuradas con un punto de conexión de interfaz para el registro de Docker

[EC2.57] Las VPC deben estar configuradas con un punto de conexión de interfaz para Systems Manager

[EC2.58] Las VPC se deben configurar con un punto de conexión de interfaz para los contactos del administrador de incidentes de Systems Manager

[EC2.60] Las VPC se deben configurar con un punto de conexión de interfaz para el administrador de incidentes de Systems Manager

[EC2.170] Las plantillas de lanzamiento de EC2 deben utilizar el servicio de metadatos de instancias versión 2 (IMDSv2)

[EC2.171] Las conexiones VPN de EC2 deben tener el registro habilitado

[EC2.172] Los ajustes de Bloqueo de acceso público de las VPC de EC2 deben bloquear el tráfico de las puertas de enlace de Internet

[EC2.173] Las solicitudes de flota de spot de EC2 con parámetros de lanzamiento deben habilitar el cifrado para los volúmenes de EBS asociados

[EC2.174] Los conjuntos de opciones DHCP de EC2 deben estar etiquetados

[EC2.175] Las plantillas de lanzamiento de EC2 deben estar etiquetadas

[EC2.176] Las listas de prefijos de EC2 deben estar etiquetadas

[EC2.177] Las sesiones de duplicación de tráfico de EC2 deben estar etiquetadas

[EC2.178] Los filtros de duplicación de tráfico de EC2 deben estar etiquetados

[EC2.179] Los destinos de duplicación de tráfico de EC2 deben estar etiquetados

[EC2.180] Las interfaces de red de EC2 deben tener habilitada la comprobación de origen y destino

[EC2.181] Las plantillas de lanzamiento de EC2 deben habilitar el cifrado para los volúmenes de EBS asociados

[ECR.1] Los repositorios privados del ECR deben tener configurado el escaneo de imágenes

[ECR.2] Los repositorios privados de ECR deben tener configurada la inmutabilidad de etiquetas

[ECR.3] Los repositorios de ECR deben tener configurada al menos una política de ciclo de vida

[ECR.4] Los repositorios públicos de ECR deben estar etiquetados

[ECR.5] Los repositorios de ECR se deben cifrar con una clave de AWS KMS keys administrada por el cliente

[ECS.1] Las definiciones de tareas de Amazon ECS deben tener modos de red seguros y definiciones de usuario

[ECS.2] Los servicios de ECS no deberían tener direcciones IP públicas asignadas automáticamente

[ECS.3] Las definiciones de tareas de ECS no deben compartir el espacio de nombres de los procesos del anfitrión

[ECS.4] Los contenedores de ECS deben ejecutarse sin privilegios

[ECS.5] Los contenedores ECS deben limitarse al acceso de solo lectura a los sistemas de archivos raíz

[ECS.8] Los secretos no deben pasarse como variables de entorno del contenedor

[ECS.9] Las definiciones de tareas de ECS deben tener una configuración de registro

[ECS.10] Los servicios Fargate de ECS deberían ejecutarse en la última versión de la plataforma Fargate

[ECS.12] Los clústeres de ECS deben usar Container Insights

[ECS.13] Los servicios de ECS deben estar etiquetados

[ECS.14] Los clústeres de ECS deben etiquetarse

[ECS.15] Las definiciones de tareas de ECS deben etiquetarse

[ECS.16] Los conjuntos de tareas de ECS no deben asignar automáticamente direcciones IP públicas

[ECS.17] Las definiciones de tareas de ECS no deben utilizar el modo de red de host

[EFS.1] Elastic File System debe configurarse para cifrar los datos del archivo en reposo con AWS KMS

[EFS.2] Los volúmenes de Amazon EFS deben estar en los planes de respaldo

[EFS.3] Los puntos de acceso EFS deben aplicar un directorio raíz

[EFS.4] Los puntos de acceso EFS deben imponer una identidad de usuario

[EFS.5] Los puntos de acceso de EFS deben etiquetarse

[EFS.6] Los destinos de montaje de EFS no deben estar asociados a subredes que asignen direcciones IP públicas en el momento del lanzamiento

[EFS.7] Los sistemas de archivos de EFS deben tener habilitadas las copias de seguridad automáticas

[EFS.8] Los sistemas de archivos de EFS deben cifrarse en reposo

[EKS.1] Los puntos de enlace del clúster EKS no deben ser de acceso público

[EKS.2] Los clústeres de EKS deberían ejecutarse en una versión de Kubernetes compatible

[EKS.3] Los clústeres de EKS deben usar secretos de Kubernetes cifrados

[EKS.6] Los clústeres de EKS deben etiquetarse

[EKS.7] Las configuraciones de los proveedores de identidad de EKS deben etiquetarse

[EKS.8] Los clústeres de EKS deben tener habilitado el registro de auditoría

[ELB.2] Los equilibradores de carga clásicos con receptores SSL/HTTPS deben usar un certificado proporcionado por AWS Certificate Manager

[ELB.3] Los oyentes de Equilibrador de carga clásico deben configurarse con una terminación HTTPS o TLS

[ELB.7] Los equilibradores de carga clásicos deberían tener habilitado el drenaje de conexiones

[ELB.8] Los equilibradores de carga clásicos con detectores SSL deben usar una política de seguridad predefinida que tenga una duración sólida de AWS Config

[ELB.10] Equilibrador de carga clásico debe abarcar varias zonas de disponibilidad

[ELB.12] Equilibrador de carga de aplicación debe configurarse con el modo defensivo o de mitigación de desincronización más estricto

[ELB.13] Los equilibradores de carga de aplicaciones, redes y puertas de enlace deben abarcar varias zonas de disponibilidad

[ELB.14] El Equilibrador de carga clásico debe configurarse con el modo defensivo o de mitigación de desincronización más estricto

[ELB.16] Los equilibradores de carga de aplicaciones deben estar asociados a una ACL web de AWS WAF

[ELB.17] Los equilibradores de carga de aplicación y los equilibradores de carga de red con oyentes deben usar políticas de seguridad recomendadas

[ELB.18] Los oyentes de los equilibradores de carga de aplicación y de los equilibradores de carga de red deben usar protocolos seguros para cifrar los datos en tránsito

[ElastiCache.1] Los clústeres de ElastiCache (Redis OSS) deben tener habilitada la copia de seguridad automática

[ElastiCache.2] Los clústeres de ElastiCache deben tener habilitadas las actualizaciones automáticas de versiones secundarias

[ElastiCache.3] Los grupos de replicación de ElastiCache deben tener habilitada la conmutación por error automática

[ElastiCache.4] Los grupos de replicación de ElastiCache deben cifrarse en reposo

[ElastiCache.5] Los grupos de replicación de ElastiCache (Redis OSS) deben cifrarse en tránsito

[ElastiCache.6] Los grupos de replicación de ElastiCache (Redis OSS) de versiones anteriores de Redis deben tener Redis OSS AUTH activado

[ElastiCache.7] Los clústeres de ElastiCache no deben usar el grupo de subredes predeterminado

[ElasticBeanstalk.1] Los entornos de Elastic Beanstalk deberían tener habilitados los informes de estado mejorados

[ElasticBeanstalk.2] Las actualizaciones de la plataforma gestionada de Elastic Beanstalk deben estar habilitadas

[ElasticBeanstalk.3] Elastic Beanstalk debería transmitir los registros a CloudWatch

[EMR.1] Los nodos maestros del clúster de Amazon EMR no deben tener direcciones IP públicas

[EMR.2] La configuración de bloqueo del acceso público de Amazon EMR debe estar habilitada

[EMR.3] Las configuraciones de seguridad de Amazon EMR deben estar cifradas en reposo

[EMR.4] Las configuraciones de seguridad de Amazon EMR deben estar cifradas en tránsito

[ES.1] Los dominios de Elasticsearch deben tener habilitado el cifrado en reposo

[ES.2] Los dominios de Elasticsearch no deben ser de acceso público

[ES.3] Los dominios de Elasticsearch deben cifrar los datos enviados entre nodos

[ES.4] Debe estar habilitado el registro de errores del dominio de Elasticsearch en CloudWatch Logs

[ES.5] Los dominios de Elasticsearch deben tener habilitado el registro de auditoría

[ES.6] Los dominios de Elasticsearch deben tener al menos tres nodos de datos

[ES.7] Los dominios de Elasticsearch deben configurarse con al menos tres nodos maestros dedicados

[ES.8] Las conexiones a dominios de Elasticsearch deben estar cifradas conforme a la política de seguridad TLS más reciente

[ES.9] Los dominios de Elasticsearch deben estar etiquetados

[EventBridge.2] Los buses de eventos de EventBridge deben estar etiquetados

[EventBridge.3] Los buses de eventos personalizados de EventBridge deben tener adjunta una política basada en recursos

[EventBridge.4] Los puntos finales globales de EventBridge deberían tener habilitada la replicación de eventos

[FraudDetector.1] Los tipos de entidades de Amazon Fraud Detector deben estar etiquetados

[FraudDetector.2] Las etiquetas de categoría de Amazon Fraud Detector deben estar etiquetadas

[FraudDetector.3] Las salidas de Amazon Fraud Detector deben estar etiquetadas.

[FraudDetector.4] Las variables de Amazon Fraud Detector deben estar etiquetadas

[FSx.1] Los sistemas de archivos de FSx para OpenZFS deben configurarse para copiar etiquetas en copias de seguridad y volúmenes

[FSx.2] Los sistemas de archivos de FSx para Lustre deben configurarse para copiar etiquetas en copias de seguridad

[FSx.3] Los sistemas de archivos FSx para OpenZFS se deben configurar para una implementación Multi-AZ

[FSx.4] Los sistemas de archivos de FSx para NetApp ONTAP se deben configurar para la implementación Multi-AZ

[FSx.5] Los sistemas de archivos FSx para Windows File Server se deben configurar para la implementación Multi-AZ

[GlobalAccelerator.1] Los aceleradores de Global Accelerator deben etiquetarse

[Glue.1] Los trabajos de AWS Glue deben estar etiquetados

[Glue.3] Las transformaciones de machine learning de AWS Glue deben cifrarse en reposo

[Glue.4] Los trabajos de AWS Glue Spark se deben ejecutar en versiones compatibles de AWS Glue

[GuardDuty.1] Debe habilitarse GuardDuty

[GuardDuty.2] Los filtros GuardDuty deben estar etiquetados

[GuardDuty.3] Los IPSets de GuardDuty deben estar etiquetados

[GuardDuty.4] Los detectores de GuardDuty deben estar etiquetados

[GuardDuty.5] La supervisión de registros de auditoría de EKS en GuardDuty debe estar habilitada

[GuardDuty.6] La protección de Lambda en GuardDuty debe habilitarse

[GuardDuty.7] La supervisión en tiempo de ejecución de EKS en GuardDuty debe estar habilitada

[GuardDuty.8] La protección contra malware para EC2 en GuardDuty debe estar habilitada

[GuardDuty.9] La protección de RDS en GuardDuty debe habilitarse

[GuardDuty.10] La protección de S3 en GuardDuty debe habilitarse

[GuardDuty.11] La supervisión en tiempo de ejecución de GuardDuty debe estar habilitada

[GuardDuty.12] Se debe habilitar la supervisión en tiempo de ejecución de GuardDuty para ECS

[GuardDuty.13] La supervisión en tiempo de ejecución de EC2 en GuardDuty debe estar habilitada

[IAM.1] Las políticas de IAM no deben permitir privilegios administrativos completos “*”

[IAM.2] Los usuarios de IAM no deben tener políticas de IAM asociadas

[IAM.3] Las claves de acceso de los usuarios de IAM deben rotarse cada 90 días o menos

[IAM.4] La clave de acceso del usuario raíz de IAM no debería existir

[IAM.5] MFA debe estar habilitado para todos los usuarios de IAM que tengan una contraseña de consola

[PCI.IAM.6] La MFA de hardware debe estar habilitada para el usuario raíz

[IAM.7] Las políticas de contraseñas para usuarios de IAM deben tener configuraciones seguras

[IAM.8] Deben eliminarse las credenciales de usuario de IAM no utilizadas

[IAM.9] La MFA debe estar habilitada para el usuario raíz

[IAM.10] Las políticas de contraseñas para usuarios de IAM deben tener configuraciones seguras

[IAM.11] Asegurar que la política de contraseñas de IAM requiera al menos una letra mayúscula

[IAM.12] Asegurar que la política de contraseñas de IAM requiera al menos una letra minúscula

[IAM.13] Asegurar que la política de contraseñas de IAM requiera al menos un símbolo

[IAM.14] Asegurar que la política de contraseñas de IAM requiera al menos un número

[IAM.15] Asegurar que la política de contraseñas de IAM requiera una longitud mínima de 14 o más

[IAM.16] Asegurar que la política de contraseñas de IAM impida la reutilización de contraseñas

[IAM.17] Asegurar que la política de contraseñas de IAM haga caducar las contraseñas al cabo de 90 días o menos

[IAM.18] Asegurar que se ha creado un rol de soporte para administrar incidentes con AWS Support

[IAM.19] MFA se debe habilitar para todos los usuarios de IAM

[IAM.21] Las políticas de IAM gestionadas por el cliente que usted cree no deberían permitir acciones comodín en los servicios

[IAM.22] Se deben eliminar las credenciales de usuario de IAM que no se hayan utilizado durante 45 días

[IAM.23] Los analizadores del Analizador de acceso de IAM deben etiquetarse

[IAM.24] Los roles de IAM deben etiquetarse

[IAM.25] Los usuarios de IAM deben etiquetarse

[IAM.26] Los certificados SSL/TLS vencidos administrados en IAM deben eliminarse

[IAM.27] Las identidades de IAM no deben tener adjunta la política AWSCloudShellFullAccess

[IAM.28] El analizador de acceso externo del Analizador de acceso de IAM debe habilitarse

[Inspector.1] El análisis de EC2 en Amazon Inspector debe estar habilitado

[Inspector.2] El análisis de ECR en Amazon Inspector debe estar habilitado

[Inspector.3] El análisis de código de Lambda en Amazon Inspector debe estar habilitado

[Inspector.4] El análisis estándar de Lambda en Amazon Inspector debe estar habilitado

[IoT.1] Los perfiles de seguridad de AWS IoT Device Defender deben etiquetarse

[IoT.2] Las acciones de mitigación de AWS IoT Core deben etiquetarse

[IoT.3] Las dimensiones de AWS IoT Core deben etiquetarse

[IoT.4] Los autorizadores de AWS IoT Core deben etiquetarse

[IoT.5] Los alias de los roles de AWS IoT Core deben etiquetarse

[IoT.6] Las políticas de AWS IoT Core deben etiquetarse

[IoTEvents.1] Las entradas de AWS IoT Events deben estar etiquetadas.

[IoTEvents.2] Los modelos detectores de AWS IoT Events deben estar etiquetados.

[IoTEvents.3] Los modelos de alarmas de AWS IoT Events deben estar etiquetados.

[IoTSiteWise.1] Los modelos de activos de AWS IoT SiteWise deben estar etiquetados

[IoTSiteWise.2] Los paneles de AWS IoT SiteWise deben estar etiquetados

[IoTSiteWise.3] Las puertas de enlace de AWS IoT SiteWise deben estar etiquetadas

[IoTSiteWise.4] Los portales de AWS IoT SiteWise deben estar etiquetados

[IoTSiteWise.5] Los proyectos de AWS IoT SiteWise deben estar etiquetados

[IoTTwinMaker.1] Los trabajos de sincronización de AWS IoT TwinMaker deben estar etiquetados

[IoTTwinMaker.2] Los espacios de trabajo de AWS IoT TwinMaker deben estar etiquetados

[IoTTwinMaker.3] Las escenas de AWS IoT TwinMaker deben estar etiquetadas

[IoTTwinMaker.4] Las entidades de AWS IoT TwinMaker deben estar etiquetadas

[IoTWireless.1] Los grupos de multidifusión de AWS IoT Wireless deben estar etiquetados

[IoTWireless.2] Los perfiles de servicio de AWS IoT Wireless deben estar etiquetados

[IoTWireless.3] Las tareas FUOTA de AWS IoT deben estar etiquetadas

[IVS.1] Los pares de claves de reproducción de IVS deben estar etiquetados

[IVS.2] Las configuraciones de grabación de IVS deben estar etiquetadas

[IVS.3] Los canales de IVS deben estar etiquetados

[Keyspaces.1] Los espacios de claves de Amazon Keyspaces deben estar etiquetados

[Kinesis.1] Las transmisiones de Kinesis deben cifrarse en reposo

[Kinesis.2] Las transmisiones de Kinesis deben etiquetarse

[Kinesis.3] Las transmisiones de Kinesis deben tener un periodo adecuado de retención de datos

[KMS.1] Las políticas gestionadas por los clientes de IAM no deberían permitir acciones de descifrado en todas las claves de KMS

[KMS.2] Los directores de IAM no deberían tener políticas integradas de IAM que permitan realizar acciones de descifrado en todas las claves de KMS

[KMS.3] AWS KMS keys no debe eliminarse de forma involuntaria

[KMS.5] Las claves KMS no deben ser de acceso público

[Lambda.5] Las funciones de Lambda de la VPC deben funcionar en varias zonas de disponibilidad

[Lambda.6] Las funciones de Lambda deben estar etiquetadas

[Lambda.7] Las funciones de Lambda deben tener habilitado el rastreo activo de AWS X-Ray

[Macie.1] Amazon Macie debe estar habilitado

[Macie.2] La detección automática de datos confidenciales de Macie debe estar habilitada

[MQ.2] Los agentes de ActiveMQ deberían transmitir los registros de auditoría a CloudWatch

[MQ.3] Los agentes de Amazon MQ deben tener habilitada la actualización automática de las versiones secundarias

[MQ.4] Los agentes de Amazon MQ deben estar etiquetados

[MQ.5] Los corredores ActiveMQ deben usar el modo de implementación activo/en espera

[MQ.6] Los corredores de RabbitMQ deberían usar el modo de implementación de clústeres

[MSK.1] Los clústeres de MSK deben cifrarse en tránsito entre los nodos intermediarios

[MSK.2] Los clústeres de MSK deberían tener configurada una supervisión mejorada

[MSK.3] Los conectores de MSK Connect deben cifrarse en tránsito

[MSK.4] Los clústeres de MSK deben tener el acceso público desactivado

[MSK.5] Los conectores de MSK deben tener el registro habilitado

[MSK.6] Los clústeres de MSK deben desactivar el acceso sin autenticación

[Neptune.1] Los clústeres de bases de datos de Neptune deben cifrarse en reposo

[Neptune.2] Los clústeres de base de datos de Neptune tienen que publicar registros de auditoría en CloudWatch Logs

[Neptune.3] Las instantáneas del clúster de base de datos de Neptune no deben ser públicas

[Neptune.4] Los clústeres de base de datos de Neptune deben tener habilitada la protección de eliminación

[Neptune.5] Los clústeres de bases de datos de Neptune deberían tener habilitadas las copias de seguridad automáticas

[Neptune.6] Las instantáneas del clúster de base de datos de Neptune deben cifrarse en reposo

[Neptune.7] Los clústeres de base de datos de Neptune deben tener habilitada la autenticación de bases de datos de IAM

[Neptune.8] Los clústeres de base de datos de Neptune deben configurarse para copiar etiquetas a las instantáneas

[Neptune.9] Los clústeres de base de datos de Neptune se deben implementar en varias zonas de disponibilidad

[NetworkFirewall.1] Los firewalls de Network Firewall se deben implementar en varias zonas de disponibilidad

[NetworkFirewall.2] El registro de Network Firewall debe estar habilitado

[NetworkFirewall.3] Las políticas de Network Firewall deben tener asociado al menos un grupo de reglas

[NetworkFirewall.4] La acción sin estado predeterminada para las políticas de Network Firewall debe ser eliminar o reenviar paquetes completos

[NetworkFirewall.5] La acción sin estado predeterminada para las políticas de Network Firewall debe ser eliminar o reenviar paquetes fragmentados

El grupo de reglas de Stateless Network Firewall [NetworkFirewall.6] no debe estar vacío

[NetworkFirewall.7] Los firewall de Network Firewall se deben etiquetar

[NetworkFirewall.8] Las políticas de firewall de Network Firewall se deben etiquetar

Los firewalls de Network Firewall [NetworkFirewall.9] deben tener habilitada la protección de eliminación

[NetworkFirewall.10] Los firewalls de Network Firewall deben tener habilitada la protección contra cambios de subred

[Opensearch.1] Los dominios de OpenSearch deben tener activado el cifrado en reposo

[Opensearch.2] Los dominios de OpenSearch no deben ser de acceso público

Los dominios de OpenSearch [Opensearch.3] deben cifrar los datos enviados entre nodos

Debe estar habilitado el registro de errores del dominio OpenSearch [Opensearch.4] en CloudWatch Logs

Los dominios de OpenSearch [Opensearch.5] deben tener habilitado el registro de auditoría

Los dominios de OpenSearch [Opensearch.6] deben tener al menos tres nodos de datos

Los dominios de OpenSearch [Opensearch.7] deben tener habilitado un control de acceso detallado

[Opensearch.8] Las conexiones a los dominios de OpenSearch deben cifrarse mediante la política de seguridad TLS más reciente

[Opensearch.9] Los dominios de OpenSearch deben estar etiquetados

[Opensearch.10] Los dominios de OpenSearch deben tener instalada la última actualización de software

[Opensearch.11] Los dominios de OpenSearch deben tener al menos tres nodos principales dedicados

[PCA.1] La autoridad emisora de certificados raíz de AWS Private CA debe estar deshabilitada

[PCA.2] Las autoridades de certificado CA privadas de AWS deben estar etiquetadas

Los clústeres de Amazon Aurora [RDS.14] deben tener habilitada la característica de búsqueda de datos anteriores

[RDS.16] Los clústeres de bases de datos Aurora se deben configurar para copiar las etiquetas en las instantáneas de bases de datos

Las instancias de base de datos de RDS [RDS.17] deben configurarse para copiar etiquetas en las instantáneas

Las instancias de RDS [RDS.18] deben implementarse en una VPC

Las suscripciones de notificación de eventos de RDS [RDS.19] existentes deben configurarse para los eventos de clúster críticos

Las suscripciones de notificación de eventos de RDS [RDS.20] existentes deben configurarse para eventos críticos de instancias de bases de datos

Se debe configurar una suscripción a las notificaciones de eventos de RDS [RDS.21] para los eventos críticos de los grupos de parámetros de bases de datos

Se debe configurar una suscripción a las notificaciones de eventos de RDS [RDS.22] para los eventos críticos de los grupos de seguridad de bases de datos

Las instancias RDS [RDS.23] no deben usar el puerto predeterminado de un motor de base de datos

Los clústeres de bases de datos de RDS [RDS.24] deben usar un nombre de usuario de administrador personalizado

Las instancias de bases de datos de RDS [RDS.25] deben usar un nombre de usuario de administrador personalizado

Las instancias de base de datos de RDS [RDS.26] deben protegerse mediante un plan de copias de seguridad

Los clústeres de bases de datos de RDS [RDS.27] deben cifrarse en reposo

[RDS.28] Los clústeres de base de datos de RDS deben etiquetarse

[RDS.29] Las instantáneas del clúster de base de datos de RDS deben etiquetarse

[RDS.30] Las instancias de bases de datos de RDS deben etiquetarse

[RDS.31] Los grupos de seguridad de bases de datos de RDS deben etiquetarse

[RDS.32] Las instantáneas de bases de datos de RDS deben etiquetarse

[RDS.33] Los grupos de subredes de bases de datos de RDS deben etiquetarse

Los clústeres de base de datos Aurora MySQL [RDS.34] deben publicar registros de auditoría en CloudWatch Logs

Los clústeres de bases de datos de RDS [RDS.35] deben tener habilitada la actualización automática de las versiones secundarias

[RDS.36] Las instancias de base de datos de RDS para PostgreSQL deben publicar los registros en Registros de CloudWatch

[RDS.37] Los clústeres de base de datos Aurora PostgreSQL deben publicar registros en Registros de CloudWatch

[RDS.38] Las instancias de bases de datos RDS para PostgreSQL se deben cifrar en tránsito

[RDS.39] Las instancias de bases de datos RDS para MySQL se deben cifrar en tránsito

[RDS.40] Las instancias de bases de datos de RDS para SQL Server deben publicar registros en Registros de CloudWatch.

[RDS.41] Las instancias de RDS para SQL Server se deben cifrar en tránsito

[RDS.42] Las instancias de bases de datos de RDS para MariaDB deben publicar registros en Registros de CloudWatch

[RDS.43] Los proxies de bases de datos de RDS deben exigir cifrado TLS para las conexiones

[RDS.44] Las instancias de bases de datos de RDS para MariaDB se deben cifrar en tránsito

[RDS.45] Los clústeres de bases de datos de Aurora MySQL deben tener habilitado el registro de auditoría

[RDS.46] Las instancias de bases de datos de RDS no se deben implementar en subredes públicas con rutas hacia puertas de enlace de Internet

[RDS.47] Los clústeres de bases de datos de RDS para PostgreSQL deben estar configurados para copiar etiquetas en instantáneas de bases de datos

[RDS.48] Los clústeres de bases de datos de RDS para MySQL deben estar configurados para copiar etiquetas en las instantáneas de bases de datos

[Redshift.1] Los clústeres de Amazon Redshift deberían prohibir el acceso público

Las conexiones a los clústeres de Amazon Redshift [Redshift.2] deben cifrarse en tránsito

Los clústeres de Amazon Redshift [Redshift.3] deben tener habilitadas las instantáneas automáticas

Los clústeres de Amazon Redshift [Redshift.4] deben tener habilitado el registro de auditoría

Amazon Redshift [Redshift.6] debería tener habilitadas las actualizaciones automáticas a las versiones principales

Los clústeres de Redshift [Redshift.7] deberían utilizar un enrutamiento de VPC mejorado

Los clústeres de Amazon Redshift [Redshift.8] no deben usar el nombre de usuario de administrador predeterminado

Los clústeres de Redshift [Redshift.10] deben cifrarse en reposo

[Redshift.11] Los clústeres de Redshift deben etiquetarse

[Redshift.12] Las suscripciones a notificaciones de eventos de Redshift deben etiquetarse

[Redshift.13] Las instantáneas del clúster de Redshift deben etiquetarse

[Redshift.14] Los grupos de subredes del clúster de Redshift deben etiquetarse

[Redshift.15] Los grupos de seguridad de Redshift deberían permitir la entrada en el puerto del clúster solo desde orígenes restringidos

[Redshift.16] Los grupos de subredes de clústeres de Redshift deben tener subredes de varias zonas de disponibilidad

[Redshift.17] Los grupos de parámetros de clúster de Redshift deben estar etiquetados

[Redshift.18] Los clústeres de Redshift deben tener habilitadas las implementaciones Multi-AZ

[RedshiftServerless.1] Los grupos de trabajo de Amazon Redshift sin servidor deben usar enrutamiento de VPC mejorado

[RedshiftServerless.2] Las conexiones a los grupos de trabajo de Redshift sin servidor deben requerir el uso de SSL

[RedshiftServerless.3] Los grupos de trabajo de Redshift sin servidor deben prohibir el acceso público

[RedshiftServerless.4] Los espacios de nombres de Redshift sin servidor se deben cifrar con una clave de AWS KMS keys administrada por el cliente

[RedshiftServerless.5] Los espacios de nombres de Redshift sin servidor no deben usar el nombre predeterminado de administrador

[RedshiftServerless.6] Los espacios de nombres de Redshift sin servidor deben exportar registros a Registros de Amazon CloudWatch

[Route53.1] Las comprobaciones de estado de Route 53 deben estar etiquetadas

Las zonas alojadas públicas de Route 53 [Route53.2] deben registrar las consultas de DNS

[S3.7] Los buckets de uso general de S3 deben usar la replicación entre regiones

[S3.10] Los buckets de uso general de S3 con el control de versiones habilitado deben tener configuraciones de ciclo de vida

[S3.11] Los buckets de uso general de S3 deben tener habilitadas las notificaciones de eventos

[S3.12] Las ACL no deben utilizarse para administrar el acceso de los usuarios a los buckets de uso general de S3

[S3.13] Los buckets de uso general de S3 deben tener configuraciones de ciclo de vida

[S3.17] Los buckets de uso general de S3 deben cifrarse en reposo con AWS KMS keys

[S3.19] Los puntos de acceso de S3 deben tener habilitada la configuración de Bloqueo de acceso público

[S3.20] Los buckets de uso general de S3 deben tener habilitada la eliminación de MFA

[S3.22] Los buckets de uso general de S3 deben registrar eventos de escritura a nivel de objeto

[S3.23] Los buckets de uso general de S3 deben registrar eventos de lectura a nivel de objeto

[S3.24] Los puntos de acceso de varias regiones de S3 deben tener habilitado el bloqueo de acceso público

[S3.25] Los buckets de directorio de S3 deben tener configuraciones de ciclo de vida

Las instancias de cuaderno de Amazon SageMaker [SageMaker.1] no deberían tener acceso directo a Internet

Las instancias de cuaderno de SageMaker [SageMaker.2] deben lanzarse en una VPC personalizada

Los usuarios [SageMaker.3] no deberían tener acceso raíz a las instancias del cuaderno de SageMaker

[SageMaker.4] Las variantes de producción del punto de conexión de SageMaker deben tener un recuento de instancias inicial superior a 1

[SageMaker.5] Los modelos de SageMaker deben tener habilitado el aislamiento de red

[SageMaker.6] Las configuraciones de imágenes de aplicaciones de SageMaker deben estar etiquetadas

[SageMaker.7] Las imágenes de SageMaker deben estar etiquetadas

[SageMaker.8] Las instancias de cuaderno de SageMaker se deben ejecutar en plataformas con soporte

[SES.1] Las listas de contactos de SES deben estar etiquetadas

[SES.2] Los conjuntos de configuración de SES deben estar etiquetados

Los secretos de Secrets Manager [SecretsManager.1] deberían tener habilitada la renovación automática

Los secretos de Secrets Manager [SecretsManager.2] configurados con renovación automática deberían renovarse correctamente

[SecretsManager.3] Eliminar los secretos de Secrets Manager no utilizados

Los secretos de Secrets Manager [SecretsManager.4] deben renovarse en un número específico de días

[SecretsManager.5] Los secretos de Secrets Manager deben estar etiquetados

[ServiceCatalog.1] Las carteras de Service Catalog solo deben compartirse dentro de una organización de AWS

[SNS.3] Los temas de SNS deben etiquetarse

[SNS.4] Las políticas de acceso a los temas de SNS no deberían permitir el acceso público

Las colas de Amazon SQS [SQS.1] deben cifrarse en reposo

[SQS.2] Las colas de SQS deben estar etiquetadas

[SQS.3] Las políticas de acceso de la cola de SQS no deben permitir el acceso público

[SSM.1] Las instancias de Amazon EC2 deben administrarse mediante AWS Systems Manager

[SSM.2] Las instancias EC2 de Amazon administradas por Systems Manager deben tener un estado de conformidad de parche de COMPLIANT después de la instalación de un parche

[SSM.3] Las instancias Amazon EC2 administradas por Systems Manager deben tener el estado de conformidad de la asociación de COMPLIANT

[SSM.4] Los documentos SSM no deben ser públicos

[SSM.5] Los documentos de SSM deben estar etiquetados

[SSM.6] La automatización de SSM debe tener habilitado el registro de CloudWatch

[SSM.7] Los documentos de SSM deben tener habilitada la configuración para bloquear el uso compartido público

Las máquinas de estado de Step Functions [StepFunctions.1] deberían tener el registro activado

[StepFunctions.2] Las actividades de Step Functions deben etiquetarse

[Transfer.1] Los flujos de trabajo de AWS Transfer Family deben etiquetarse

[Transfer.2] Los servidores de Transfer Family no deben utilizar el protocolo FTP para la conexión del punto de conexión

[Transfer.3] Los conectores de Transfer Family deben tener habilitado el registro

[Transfer.4] Los acuerdos de Transfer Family deben estar etiquetados

[Transfer.5] Los certificados de Transfer Family deben estar etiquetados

[Transfer.6] Los conectores de Transfer Family deben estar etiquetados

[Transfer.7] Los perfiles de Transfer Family deben estar etiquetados

El registro de AWS WAF [WAF.1] ACL web global clásica debe estar habilitado

Las reglas de AWS WAF [WAF.2] Regionales clásicas deben tener al menos una condición

Los grupos de reglas de AWS WAF [WAF.3] Regionales clásicos deben tener al menos una regla

Las ACL web de AWS WAF [WAF.4] Regionales clásicas deben tener al menos una regla o grupo de reglas

Las reglas globales de AWS WAF [WAF.6] clásicas deben tener al menos una condición

Los grupos de reglas globales de AWS WAF [WAF.7] clásicos deben tener al menos una regla

Las ACL web de AWS WAF [WAF.8] globales clásicas deben tener al menos una regla o grupo de reglas

Las ACL web de AWS WAF [WAF.10] deben tener al menos una regla o grupo de reglas

El registro de ACL web de AWS WAF [WAF.11] debe estar habilitado

Las reglas de AWS WAF [WAF.12] deben tener habilitadas las métricas de CloudWatch

[WorkSpaces.1] Los volúmenes de usuarios de WorkSpaces deben estar cifrados en reposo

[WorkSpaces.2] Los volúmenes raíz de WorkSpaces deben estar cifrados en reposo

[ACM.1] Los certificados importados y emitidos por ACM deben renovarse después de un período de tiempo específico

[ACM.2] Los certificados RSA administrados por ACM deben utilizar una longitud de clave de al menos 2048 bits

[Account.1] La información de contacto de seguridad debe proporcionarse para una Cuenta de AWS

[Account.2] Cuentas de AWS debe ser parte de una organización de AWS Organizations

[APIGateway.8] Las rutas de API Gateway deben especificar un tipo de autorización

[APIGateway.9] El registro de acceso debe configurarse para las etapas V2 de API Gateway

[Amplify.1] Las aplicaciones de Amplify deben estar etiquetadas

[Amplify.2] Las ramas de Amplify deben estar etiquetadas

[AppConfig.1] Las aplicaciones de AWS AppConfig deben estar etiquetadas

[AppConfig.2] Los perfiles de configuración de AWS AppConfig deben estar etiquetados

[AppConfig.3] Los entornos de AWS AppConfig deben estar etiquetados

[AppConfig.4] Las asociaciones de extensiones de AWS AppConfig deben estar etiquetadas

[AppFlow.1] Los flujos de Amazon AppFlow deben estar etiquetados

[AppRunner.1] Los servicios de App Runner deben estar etiquetados

[AppRunner.2] Los conectores VPC de App Runner deben estar etiquetados.

[AppSync.1] Las cachés de la API de AWS AppSync deben estar cifradas en reposo

[AppSync.2] AWS AppSync debe tener habilitado el registro a nivel de campo

[AppSync.4] Las API de GraphQL de AWS AppSync deben estar etiquetadas

[AppSync.5] Las API de AWS AppSync GraphQL no deben autenticarse con claves de API

[AppSync.6] Las cachés de la API de AWS AppSync deben estar cifradas en tránsito

[Athena.2] Los catálogos de datos de Athena deben estar etiquetados

[Athena.3] Los grupos de trabajo de Athena deben estar etiquetados

[Athena.4] Los grupos de trabajo de Athena deben tener el registro habilitado

[AutoScaling.2] El grupo Amazon EC2 Auto Scaling debe cubrir varias zonas de disponibilidad

[AutoScaling.3] Las configuraciones de lanzamiento de grupos de escalado automático deben configurar las instancias de EC2 para que requieran servicio de metadatos de instancias versión 2 (IMDSv2) (IMDSv2)

[AutoScaling.6] Los grupos de escalado automático deben usar varios tipos de instancias en varias zonas de disponibilidad

[AutoScaling.9] Los grupos de Amazon EC2 Auto Scaling deben utilizar plantillas de lanzamiento de Amazon EC2

Los puntos de recuperación de [Backup.1] AWS Backup deben estar cifrados en reposo

[Backup.2] Los puntos de recuperación de AWS Backup deben etiquetarse

[Backup.3] Los almacenes de AWS Backup deben etiquetarse

[Backup.4] Los planes de informes de AWS Backup deben etiquetarse

[Backup.5] Los planes de copias de seguridad de AWS Backup deben etiquetarse

[Batch.1] Las colas de trabajos de Batch deben estar etiquetadas

[Batch.2] Las políticas de programación de Batch deben estar etiquetadas

[Batch.3] Los entornos de computación de Batch deben estar etiquetados

[Batch.4] Las propiedades de los recursos de computación en los entornos de computación administrados de Batch deben estar etiquetadas.

[CloudFormation.2] Las pilas de CloudFormation deben etiquetarse

[CloudFront.1] Las distribuciones de CloudFront deben tener configurado un objeto raíz predeterminado

[CloudFront.3] Las distribuciones de CloudFront deberían requerir el cifrado en tránsito

[CloudFront.4] Las distribuciones de CloudFront deben tener configurada la conmutación por error de origen

[CloudFront.5] Las distribuciones de CloudFront deben tener el registro habilitado

[CloudFront.6] Las distribuciones de CloudFront deben tener WAF habilitado

[CloudFront.7] Las distribuciones de CloudFront deben usar certificados SSL/TLS personalizados

[CloudFront.8] Las distribuciones de CloudFront deben usar SNI para atender las solicitudes HTTPS

[CloudFront.9] Las distribuciones de CloudFront deben cifrar el tráfico a orígenes personalizados

[CloudFront.10] Las distribuciones de CloudFront no deben usar protocolos SSL obsoletos entre las ubicaciones periféricas y los orígenes personalizados

[CloudFront.12] Las distribuciones de CloudFront no deben apuntar a orígenes S3 inexistentes

[CloudFront.13] Las distribuciones de CloudFront deben usar el control de acceso de origen