Cloud Config:ClassifiedProtectionLevel2PreCheck

Nombre de la regla

Código

Descripción del código

Descripción de la regla

eip-bandwidth-limit

7.1.2.1

b) Asegúrese de que el ancho de banda de cada componente de red cumpla con sus requisitos durante las horas pico.

Comprueba si el ancho de banda disponible de cada dirección IP elástica (EIP) es mayor o igual que un valor especificado. De ser así, el resultado de la evaluación es Conforme. Valor predeterminado: 10. Unidad: MB.

slb-loadbalancer-bandwidth-limit

Comprueba si el ancho de banda disponible de cada instancia de Server Load Balancer (SLB) es mayor o igual que el valor especificado. De ser así, el resultado de la evaluación es Conforme. Valor predeterminado: 10. Unidad: MB.

cen-cross-region-bandwidth-check

Comprueba si el ancho de banda asignado a las conexiones interregionales de cada instancia de Cloud Enterprise Network (CEN) es mayor que un valor especificado. De ser así, el resultado de la evaluación es Conforme. Valor predeterminado: 1. Unidad: Mbit/s.

natgateway-snat-eip-bandwidth-check

Comprueba si varias EIP asociadas con cada entrada SNAT de una puerta de enlace NAT se agregan a un plan de ancho de banda de EIP, o si el ancho de banda máximo especificado de estas EIP es el mismo. De ser así, el resultado de la evaluación es Conforme. Esta regla no aplica a las puertas de enlace NAT de Virtual Private Cloud (VPC).

oss-bucket-policy-no-any-anonymous

7.1.3.1

a) Permita únicamente solicitudes de acceso transfronterizo y paquetes de datos transmitidos a través de las interfaces controladas de los dispositivos perimetrales.

Comprueba si se otorgan permisos de lectura y escritura a cada cuenta anónima. De no ser así, el resultado de la evaluación es Conforme. Si no se especifican directivas para los buckets de Object Storage Service (OSS), el resultado de la evaluación es Conforme.

sg-public-access-check

Comprueba si la directiva de autorización entrante de cada security group está establecida en Allow y el rango de puertos está establecido en -1/-1 o la dirección IP autorizada está establecida en 0.0.0.0/0, o si se configura una directiva de autorización con mayor prioridad. De ser así, el resultado de la evaluación es Conforme. Esta regla no aplica a los security groups utilizados por servicios en la nube u operadores de redes virtuales.

rds-public-connection-and-any-ip-access-check

Comprueba si se utiliza una dirección IP pública para la instancia de ApsaraDB RDS dentro de su cuenta o si la lista de permitidos no está habilitada para todas las direcciones IP de origen. De ser así, el resultado de la evaluación es Conforme.

redis-instance-open-auth-mode

Comprueba si la función de autenticación basada en contraseña está habilitada para cada instancia de ApsaraDB for Redis en sus VPC. De ser así, el resultado de la evaluación es Conforme.

cr-instance-any-ip-access-check

Comprueba si se agrega 0.0.0.0/0 a la lista de permitidos de direcciones IP de cada instancia de Container Registry. De no ser así, el resultado de la evaluación es Conforme. Esta regla aplica a instancias de Container Registry Enterprise Edition.

elasticsearch-public-and-any-ip-access-check

7.1.3.1

a) Permita únicamente solicitudes de acceso transfronterizo y paquetes de datos transmitidos a través de las interfaces controladas de los dispositivos perimetrales.

Comprueba si cada clúster de Elasticsearch deniega el acceso desde redes públicas o no permite el acceso desde todas las direcciones IP. De ser así, el resultado de la evaluación es Conforme.

sg-risky-ports-check

7.1.3.2

a) Configure reglas de control de acceso en los límites de la red o entre zonas de red basándose en directivas de control de acceso. Las interfaces gestionadas permiten únicamente solicitudes de comunicación que cumplan con las reglas.

Comprueba si se especifica 0.0.0.0/0 como objeto de autorización en las reglas entrantes de cada security group y si los puertos seleccionados no contienen puertos de riesgo. De ser así, el resultado de la evaluación es Conforme. Si no se especifica 0.0.0.0/0 como objeto de autorización en las reglas entrantes de cada security group, el resultado de la evaluación es Conforme independientemente de si los puertos seleccionados contienen puertos de riesgo. Si una directiva de autorización con mayor prioridad deniega un puerto de alto riesgo, la configuración se considera conforme. Esta regla no aplica a los security groups utilizados por servicios en la nube u operadores de redes virtuales.

nat-risk-ports-check

Comprueba si los puertos de alto riesgo especificados están mapeados mediante las entradas DNAT de NAT Gateway.

vpc-network-acl-risky-ports-check

Comprueba si la dirección IP de destino especificada en la regla entrante para el control de acceso de VPC está establecida en 0.0.0.0/0 y si el rango de puertos especificado no contiene un puerto de alto riesgo. De ser así, el resultado de la evaluación es Conforme.

slb-all-listener-enabled-acl

Comprueba si la función de control de acceso está configurada para los listeners de cada instancia de SLB. De ser así, el resultado de la evaluación es Conforme. Esta regla no aplica a instancias de SLB para las cuales no se han configurado listeners.

alb-all-listener-enabled-acl

Comprueba si la función de control de acceso está habilitada para todos los listeners de cada instancia de ALB. De ser así, el resultado de la evaluación es Conforme. Esta regla no aplica a instancias de SLB para las cuales no se han configurado listeners.

slb-acl-public-access-check

Comprueba si la ACL de cada instancia de SLB no incluye 0.0.0.0/0. De ser así, el resultado de la evaluación es Conforme.

oss-authorization-policy-ip-limit-enabled

Comprueba si el permiso de lectura o escritura de los buckets de OSS está establecido como privado o si las directivas de autorización de los buckets de OSS incluyen listas de permitidos de IP específicas. De ser así, el resultado de la evaluación es Conforme.

use-ddos-instance-for-security-protection

7.1.3.3

Se deben monitorear los ataques de red en nodos de red críticos.

Comprueba si se utiliza Anti-DDoS para prevenir ataques DDoS. De ser así, el resultado de la evaluación es Conforme.

use-cloud-fire-wall-for-security-protection

Comprueba si se utiliza Cloud Firewall para proteger el límite de su red. De ser así, el resultado de la evaluación es Conforme.

security-center-version-check

7.1.3.4

Compruebe si su sistema puede detectar y eliminar código malicioso en nodos de red críticos y si puede actualizar oportunamente el mecanismo de prevención de código malicioso.

Comprueba si se utiliza Security Center Enterprise Edition o una edición más avanzada. De ser así, el resultado de la evaluación es Conforme.

security-center-defense-config-check

Comprueba si una defensa proactiva de un tipo especificado está habilitada en la consola de Security Center. De ser así, el resultado de la evaluación es Conforme.

waf3-instance-enabled-specified-defense-rules

Comprueba si las reglas para el escenario de protección especificado están habilitadas para una instancia de WAF 3.0. De ser así, el resultado de la evaluación es Conforme.

use-waf-instance-for-security-protection

Comprueba si se utiliza Web Application Firewall (WAF) para proteger su sitio web o aplicación. De ser así, el resultado de la evaluación es Conforme.

actiontrail-trail-intact-enabled

7.1.3.5

7.1.4.3

7.1.3.5

b) Proporcione la fecha del evento, hora del evento, usuario, tipo de evento, si el evento fue exitoso y otra información relevante para la auditoría en el registro de auditoría.

7.1.4.3

b) Proporcione la fecha del evento, hora del evento, usuario, tipo de evento, si el evento fue exitoso y otra información relevante para la auditoría en el registro de auditoría.

Comprueba si existe un rastro activo en ActionTrail y si se rastrean eventos de todos los tipos generados en todas las regiones. De ser así, el resultado de la evaluación es Conforme. Si el administrador de un directorio de recursos ha creado un rastro que aplica a todos los miembros, el resultado de la evaluación es Conforme.

rds-instance-enabled-auditing

Comprueba si la función de explorador SQL y auditoría está habilitada para cada instancia de ApsaraDB RDS. De ser así, el resultado de la evaluación es Conforme.

adb-cluster-audit-log-enabled

Comprueba si la función de explorador SQL y auditoría está habilitada para cada clúster de AnalyticDB for MySQL. De ser así, el resultado de la evaluación es Conforme.

vpc-flow-logs-enabled

Comprueba si la función de registro de flujo está habilitada para cada VPC. De ser así, el resultado de la evaluación es Conforme.

ram-password-policy-check

7.1.4.1

b) Gestione los fallos de inicio de sesión y configure las funciones pertinentes para cerrar sesiones automáticamente, limitar el abuso de inicios de sesión y cerrar sesión cuando las sesiones expiren.

Comprueba si la configuración de las directivas de contraseña para cada usuario de RAM cumple con los valores especificados. De ser así, el resultado de la evaluación es Conforme.

ram-user-last-login-expired-check

7.1.4.2

c) Elimine o deshabilite cuentas redundantes y caducadas, y deshabilite cuentas compartidas.

d) Aplique el principio de menor privilegio a los administradores para garantizar la separación de privilegios.

Comprueba si cada usuario de RAM inició sesión en el sistema al menos una vez durante los últimos 90 días. De ser así, el resultado de la evaluación es Conforme. Si un usuario de RAM se actualizó durante los últimos 90 días, el resultado de la evaluación se considera conforme independientemente de si el usuario de RAM inició sesión recientemente en el sistema. La regla no aplica a los usuarios de RAM para los cuales el acceso a la consola está deshabilitado.

ram-policy-in-use-check

Comprueba si una directiva está vinculada a al menos un grupo de usuarios de RAM, rol de RAM o usuario de RAM. De ser así, el resultado de la evaluación es Conforme.

ram-group-has-member-check

Comprueba si cada grupo de usuarios de RAM contiene al menos un usuario de RAM. De ser así, el resultado de la evaluación es Conforme.

ram-user-no-policy-check

Comprueba si una directiva está vinculada a cada usuario de RAM. De ser así, el resultado de la evaluación es Conforme. Se recomienda que los usuarios de RAM hereden permisos de grupos de usuarios de RAM o roles.

ram-user-ak-used-expired-check

Comprueba si la duración entre la fecha en que se utilizó por última vez el par de AccessKey de cada usuario de RAM y la fecha actual es menor que un número especificado de días. De ser así, el resultado de la evaluación es Conforme. Valor predeterminado: 90. Unidad: días.

ram-policy-no-statements-with-admin-access-check

Comprueba si los parámetros Action y Resource de cada usuario de RAM, grupo de usuarios de RAM y rol de RAM no están establecidos en . De ser así, el resultado de la evaluación es Conforme. Un asterisco () indica permisos de superadministrador.

ram-user-login-check

Comprueba si una de las funciones de acceso a la consola y acceso a API está habilitada para cada usuario de RAM. De ser así, el resultado de la evaluación es Conforme.

ecs-instance-enabled-security-protection

7.1.4.4

e) Detecte posibles vulnerabilidades conocidas y corríjalas después de realizar pruebas y evaluaciones exhaustivas.

Permite instalar un agente de CloudMonitor en una instancia para proporcionar servicios de protección de seguridad. Comprueba si hay un agente de Security Center instalado en cada instancia de ECS. De ser así, el resultado de la evaluación es Conforme. Esta regla no aplica a instancias de ECS que no se están ejecutando.

ecs-instance-updated-security-vul

Comprueba si Security Center detecta vulnerabilidades sin corregir de un tipo o nivel especificado en una instancia de ECS. Esta regla no aplica a instancias de ECS que no se están ejecutando.

ecs-disk-auto-snapshot-policy

7.1.4.8

a) Proporcione las funciones necesarias para realizar copias de seguridad y restaurar datos locales importantes.

b) Proporcione las funciones necesarias para realizar copias de seguridad de datos importantes en un sitio de destino remoto en tiempo real a través de redes de comunicación.

Comprueba si se especifica una directiva de instantánea automática para cada disco de ECS. De ser así, el resultado de la evaluación es Conforme. Esta regla no aplica a discos que no están en uso, discos que no admiten directivas de instantánea automática y discos no persistentes conectados al clúster de ACK.