Controles de Security Hub para AWS Transfer Family

Estos controles de AWS Security Hub CSPM evalúan el servicio y los recursos de AWS Transfer Family. Es posible que estos controles no estén disponibles en todas las Regiones de AWS. Para obtener más información, consulte Disponibilidad de los controles por región.

[Transfer.1] Los flujos de trabajo de AWS Transfer Family deben etiquetarse

Categoría: Identificar > Inventario > Etiquetado

Gravedad: baja

Tipo de recurso: AWS::Transfer::Workflow

Regla de AWS Config: tagged-transfer-workflow (regla personalizada de Security Hub)

Tipo de horario: provocado por un cambio

Parámetros:

Este control comprueba si un flujo de trabajo de AWS Transfer Family tiene etiquetas con las claves específicas definidas en el parámetro requiredTagKeys. El control lanza error si el flujo de trabajo no tiene ninguna clave de etiqueta o si no tiene todas las claves especificadas en el parámetro requiredTagKeys. Si no se proporciona el parámetro requiredTagKeys, el control solo comprueba la existencia de una clave de etiqueta y lanza error si el flujo de trabajo no está etiquetado con ninguna clave. Las etiquetas del sistema, que se aplican automáticamente y comienzan con aws:, se ignoran.

Las etiquetas se pueden asignar a los recursos de AWS y constan de una clave y un valor opcional. Puede crear etiquetas para clasificar los recursos según su finalidad, propietario, entorno u otro criterio. Las etiquetas pueden ayudarlo a identificar, organizar, buscar y filtrar recursos. El etiquetado también ayuda a realizar un seguimiento de las acciones y las notificaciones de los propietarios responsables de los recursos. Cuando utiliza el etiquetado, puede implementar el control de acceso basado en atributos (ABAC) como estrategia de autorización, el cual define permisos en función de las etiquetas. Puede asociar etiquetas a entidades de IAM (usuarios o roles) y a recursos de AWS. Puede crear una única política de ABAC o un conjunto independiente de políticas para sus entidades principales de IAM. Puede diseñar estas políticas de ABAC de manera que permitan operaciones cuando la etiqueta de la entidad principal coincida con la etiqueta del recurso. Para obtener más información, consulte ¿Qué es ABAC para AWS? en la Guía del usuario de IAM.

Corrección

[Transfer.2] Los servidores de Transfer Family no deben utilizar el protocolo FTP para la conexión del punto de conexión

Requisitos relacionados: NIST.800-53.r5 CM-7, NIST.800-53.r5 IA-5, NIST.800-53.r5 SC-8, PCI DSS v4.0.1/4.2.1

Categoría: Proteger > Protección de datos > Cifrado de datos en tránsito

Gravedad: media

Tipo de recurso: AWS::Transfer::Server

AWS Config Regla de: transfer-family-server-no-ftp

Tipo de programa: Periódico

Parámetros: ninguno

Este control comprueba si un servidor de AWS Transfer Family utiliza un protocolo distinto de FTP para la conexión del punto de conexión. El control lanza error si el servidor utiliza el protocolo FTP para que un cliente se conecte al punto de conexión del servidor.

El protocolo de transferencia de archivos (FTP) establece la conexión del punto de conexión mediante canales no cifrados, lo que hace que los datos enviados a través de estos canales sean vulnerables a la interceptación. El uso del protocolo de transferencia de archivos de Shell (SFTP), el protocolo de transferencia de archivos (FTPS) o el protocolo de declaración de aplicabilidad 2 (AS2) ofrece un nivel de seguridad adicional mediante el cifrado de los datos en tránsito y se pueden utilizar para ayudar a evitar posibles ataques de “man-in-the-middle” (MitM) o similares para espiar o manipular el tráfico de red.

Corrección

Para modificar el protocolo de un servidor de Transfer Family, consulte Edición de los protocolos de transferencia de archivos en la Guía del usuario de AWS Transfer Family.

[Transfer.3] Los conectores de Transfer Family deben tener habilitado el registro

Requisitos relacionados: NIST.800-53.r5 AC-2(12), NIST.800-53.r5 AC-2(4), NIST.800-53.r5 AC-4(26), NIST.800-53.r5 AC-6(9), NIST.800-53.r5 AU-10, NIST.800-53.r5 AU-12, NIST.800-53.r5 AU-2, NIST.800-53.r5 AU-3, NIST.800-53.r5 AU-6(3), NIST.800-53.r5 AU-6(4), NIST.800-53.r5 AU-9(7), NIST.800-53.r5 CA-7, NIST.800-53.r5 SC-7(9), NIST.800-53.r5 SI-3(8), NIST.800-53.r5 SI-4, NIST.800-53.r5 SI-4(20), NIST.800-53.r5 SI-7(8)

Categoría: Identificar - Registro

Gravedad: media

Tipo de recurso: AWS::Transfer::Connector

AWS Config Regla de: transfer-connector-logging-enabled

Tipo de horario: provocado por un cambio

Parámetros: ninguno

Este control verifica si el registro de Amazon CloudWatch está habilitado para un conector de AWS Transfer Family. El control falla si el registro de CloudWatch no está habilitado para el conector.

Amazon CloudWatch es un servicio de supervisión y observabilidad que proporciona visibilidad de los recursos de AWS, incluidos los recursos de AWS Transfer Family. Para Transfer Family, CloudWatch proporciona auditoría y registro consolidados para el progreso y los resultados de los flujos de trabajo. Esto incluye varias métricas que Transfer Family define para los flujos de trabajo. Puede configurar Transfer Family para registrar automáticamente los eventos del conector en CloudWatch. Para hacerlo, especifica un rol de registro para el conector. Para el rol de registro, crea un rol de IAM y una política de IAM basada en recursos que definen los permisos del rol.

Corrección

Para obtener información sobre cómo habilitar el registro de CloudWatch para un conector de Transfer Family, consulte Registro de Amazon CloudWatch para servidores de AWS Transfer Family en la Guía del usuario de AWS Transfer Family.

[Transfer.4] Los acuerdos de Transfer Family deben estar etiquetados

Categoría: Identificar > Inventario > Etiquetado

Gravedad: baja

Tipo de recurso: AWS::Transfer::Agreement

AWS Config Regla de: transfer-agreement-tagged

Tipo de horario: provocado por un cambio

Parámetros:

Este control verifica si un acuerdo AWS Transfer Family tiene las claves de etiquetas especificadas por el parámetro requiredKeyTags. El control falla si el acuerdo no tiene ninguna clave de etiqueta o si no tiene todas las claves especificadas por el parámetro requiredKeyTags. Si no se especifican valores para el parámetro requiredKeyTags, el control solo verifica la existencia de una clave de etiqueta y falla si el acuerdo no tiene ninguna clave de etiqueta. El control ignora las etiquetas del sistema, que se aplican automáticamente y tienen el prefijo aws:.

Una etiqueta es una marca que crea y asigna a un recurso de AWS. Cada etiqueta consta de una clave de etiqueta necesaria y un valor de etiqueta opcional. Utilice etiquetas para clasificar los recursos según su finalidad, propietario, entorno u otro criterio. También pueden ayudar a identificar, organizar, buscar y filtrar recursos. También pueden ayudar a rastrear propietarios de recursos para acciones y notificaciones. También puede usar etiquetas para implementar control de acceso basado en atributos (ABAC) como estrategia de autorización. Para obtener más información sobre estrategias ABAC, consulte Definición de permisos basados en atributos con autorización ABAC en la Guía del usuario de IAM. Para obtener más información sobre etiquetas, consulte Etiquetado de recursos de AWS y Guía del usuario del Editor de etiquetas.

Corrección

Para obtener información sobre cómo agregar etiquetas a un acuerdo de AWS Transfer Family, consulte Métodos de etiquetado de recursos en Etiquetado de recursos de AWS y Guía del usuario del Editor de etiquetas.

[Transfer.5] Los certificados de Transfer Family deben estar etiquetados

Categoría: Identificar > Inventario > Etiquetado

Gravedad: baja

Tipo de recurso: AWS::Transfer::Certificate

AWS Config Regla de: transfer-certificate-tagged

Tipo de horario: provocado por un cambio

Parámetros:

Este control verifica si un certificado AWS Transfer Family tiene las claves de etiquetas especificadas por el parámetro requiredKeyTags. El control falla si el certificado no tiene ninguna clave de etiqueta o si no tiene todas las claves especificadas por el parámetro requiredKeyTags. Si no se especifican valores para el parámetro requiredKeyTags, el control solo verifica la existencia de una clave de etiqueta y falla si el certificado no tiene ninguna. El control ignora las etiquetas del sistema, que se aplican automáticamente y tienen el prefijo aws:.

Una etiqueta es una marca que crea y asigna a un recurso de AWS. Cada etiqueta consta de una clave de etiqueta necesaria y un valor de etiqueta opcional. Utilice etiquetas para clasificar los recursos según su finalidad, propietario, entorno u otro criterio. También pueden ayudar a identificar, organizar, buscar y filtrar recursos. También pueden ayudar a rastrear propietarios de recursos para acciones y notificaciones. También puede usar etiquetas para implementar control de acceso basado en atributos (ABAC) como estrategia de autorización. Para obtener más información sobre estrategias ABAC, consulte Definición de permisos basados en atributos con autorización ABAC en la Guía del usuario de IAM. Para obtener más información sobre etiquetas, consulte Etiquetado de recursos de AWS y Guía del usuario del Editor de etiquetas.

Corrección

Para obtener información sobre cómo agregar etiquetas a un certificado AWS Transfer Family, consulte Métodos de etiquetado de recursos en Etiquetado de recursos de AWS y Guía del usuario del Editor de etiquetas.

[Transfer.6] Los conectores de Transfer Family deben estar etiquetados

Categoría: Identificar > Inventario > Etiquetado

Gravedad: baja

Tipo de recurso: AWS::Transfer::Connector

AWS Config Regla de: transfer-connector-tagged

Tipo de horario: provocado por un cambio

Parámetros:

Este control verifica si un conector de AWS Transfer Family tiene las claves de etiquetas especificadas por el parámetro requiredKeyTags. El control falla si el conector no tiene ninguna clave de etiqueta o si no tiene todas las claves especificadas por el parámetro requiredKeyTags. Si no se especifican valores para el parámetro requiredKeyTags, el control solo verifica la existencia de una clave de etiqueta y falla si el conector no tiene ninguna. El control ignora las etiquetas del sistema, que se aplican automáticamente y tienen el prefijo aws:.

Una etiqueta es una marca que crea y asigna a un recurso de AWS. Cada etiqueta consta de una clave de etiqueta necesaria y un valor de etiqueta opcional. Utilice etiquetas para clasificar los recursos según su finalidad, propietario, entorno u otro criterio. También pueden ayudar a identificar, organizar, buscar y filtrar recursos. También pueden ayudar a rastrear propietarios de recursos para acciones y notificaciones. También puede usar etiquetas para implementar control de acceso basado en atributos (ABAC) como estrategia de autorización. Para obtener más información sobre estrategias ABAC, consulte Definición de permisos basados en atributos con autorización ABAC en la Guía del usuario de IAM. Para obtener más información sobre etiquetas, consulte Etiquetado de recursos de AWS y Guía del usuario del Editor de etiquetas.

Corrección

Para obtener información sobre cómo agregar etiquetas a un conector de AWS Transfer Family, consulte Métodos de etiquetado de recursos en Etiquetado de recursos de AWS y Guía del usuario del Editor de etiquetas.

[Transfer.7] Los perfiles de Transfer Family deben estar etiquetados

Categoría: Identificar > Inventario > Etiquetado

Gravedad: baja

Tipo de recurso: AWS::Transfer::Profile

AWS Config Regla de: transfer-profile-tagged

Tipo de horario: provocado por un cambio

Parámetros:

Este control verifica si un perfil de AWS Transfer Family tiene las claves de etiquetas especificadas por el parámetro requiredKeyTags. El control falla si el perfil no tiene ninguna clave de etiqueta o si no tiene todas las claves especificadas por el parámetro requiredKeyTags. Si no se especifican valores para el parámetro requiredKeyTags, el control solo verifica la existencia de una clave de etiqueta y falla si el perfil no tiene ninguna. El control ignora las etiquetas del sistema, que se aplican automáticamente y tienen el prefijo aws:. El control evalúa perfiles locales y perfiles de socios.

Una etiqueta es una marca que crea y asigna a un recurso de AWS. Cada etiqueta consta de una clave de etiqueta necesaria y un valor de etiqueta opcional. Utilice etiquetas para clasificar los recursos según su finalidad, propietario, entorno u otro criterio. También pueden ayudar a identificar, organizar, buscar y filtrar recursos. También pueden ayudar a rastrear propietarios de recursos para acciones y notificaciones. También puede usar etiquetas para implementar control de acceso basado en atributos (ABAC) como estrategia de autorización. Para obtener más información sobre estrategias ABAC, consulte Definición de permisos basados en atributos con autorización ABAC en la Guía del usuario de IAM. Para obtener más información sobre etiquetas, consulte Etiquetado de recursos de AWS y Guía del usuario del Editor de etiquetas.

Corrección

Para obtener información sobre cómo agregar etiquetas a un perfil de AWS Transfer Family, consulte Métodos de etiquetado de recursos en Etiquetado de recursos de AWS y la Guía del usuario del Editor de etiquetas.