Cloud Config:ClassifiedProtectionPreCheck

Nombre de la regla

Código

Descripción del código

Descripción de la regla

eip-bandwidth-limit

8.1.2.1

b) Asegúrese de que el ancho de banda de cada componente de red cumpla con sus requisitos durante las horas pico.

c) Planifique las zonas de red y asigne direcciones IP a cada zona para gestionar las operaciones de manera eficiente.

Comprueba si el ancho de banda disponible de cada dirección IP elástica (EIP) es mayor o igual que un valor especificado. De ser así, el resultado de la evaluación es Compliant. Valor predeterminado: 10. Unidad: MB.

slb-loadbalancer-bandwidth-limit

Comprueba si el ancho de banda disponible de cada instancia de Server Load Balancer (SLB) es mayor o igual que el valor especificado. De ser así, el resultado de la evaluación es Compliant. Valor predeterminado: 10. Unidad: MB.

cen-cross-region-bandwidth-check

Comprueba si el ancho de banda asignado a las conexiones entre regiones de cada instancia de Cloud Enterprise Network (CEN) es mayor que un valor especificado. De ser así, el resultado de la evaluación es Compliant. Valor predeterminado: 1 Mbit/s.

natgateway-snat-eip-bandwidth-check

Comprueba si varias EIP asociadas con cada entrada SNAT de una puerta de enlace NAT están agregadas a un plan de ancho de banda de EIP, o si el ancho de banda máximo especificado de estas EIP es el mismo. De ser así, el resultado de la evaluación es Compliant. Esta regla no aplica a las puertas de enlace NAT de Virtual Private Cloud (VPC).

ecs-instances-in-vpc

Comprueba si el tipo de red de cada instancia de Elastic Compute Service (ECS) está configurado como VPC cuando no se configura ningún parámetro. Si configura el parámetro obligatorio, el sistema comprueba si la VPC donde residen las instancias ECS coincide con la configuración especificada. De ser así, el resultado de la evaluación es Compliant. Separe varios valores de parámetro con comas (,).

rds-instances-in-vpc

Comprueba si el tipo de red de cada instancia de ApsaraDB RDS es VPC cuando no se configura el parámetro vpcIds. Si cada instancia de ApsaraDB RDS se despliega en una de las VPC especificadas al configurar el parámetro vpcIds, el resultado de la evaluación es Compliant. Separe varios valores de parámetro con comas (,).

redis-instance-in-vpc

Comprueba si el tipo de red de cada instancia de ApsaraDB for Redis está configurado como VPC cuando no se configura el parámetro vpcIds. De ser así, el resultado de la evaluación es Compliant. Si la VPC donde reside cada instancia de ApsaraDB for Redis coincide con una VPC especificada al configurar el parámetro vpcIds, el resultado de la evaluación es Compliant.

slb-all-listenter-tls-policy-check

8.1.2.2

b) Use técnicas criptográficas para garantizar la confidencialidad de los datos durante la comunicación.

Comprueba si los listeners HTTPS de cada instancia de SLB usan una versión específica del conjunto de políticas de seguridad. De ser así, el resultado de la evaluación es Compliant. Esta regla no aplica a las instancias de SLB que no tienen configurado ningún listener HTTPS.

rds-instance-tls-version-check

Comprueba si la función SSL está habilitada en cada instancia de ApsaraDB RDS y si la versión de Transport Layer Security (TLS) usada en la instancia se encuentra dentro de un rango de versiones especificado. De ser así, el resultado de la evaluación es Compliant.

oss-security-access-enabled

Comprueba si la política de bucket de cada bucket de Object Storage Service (OSS) permite el acceso de lectura y escritura mediante HTTPS y deniega el acceso mediante HTTP. De ser así, el resultado de la evaluación es Compliant. Esta regla no aplica a los buckets de OSS que no tienen políticas configuradas.

cdn-domain-tls13-enabled

Comprueba si el protocolo TLS 1.3 está habilitado para cada nombre de dominio acelerado por Alibaba Cloud CDN. De ser así, el resultado de la evaluación es Compliant.

polardb-cluster-enabled-ssl

Comprueba si la función de cifrado SSL está habilitada en cada clúster de PolarDB. De ser así, el resultado de la evaluación es Compliant.

api-gateway-group-https-policy-check

Comprueba si las políticas de seguridad HTTPS configuradas para un grupo de API en API Gateway están incluidas en la lista de políticas especificada por el parámetro de entrada de esta regla. De ser así, el resultado de la evaluación es Compliant.

oss-bucket-policy-no-any-anonymous

Comprueba si se otorgan permisos de lectura y escritura a cada cuenta anónima. Si no se otorgan permisos de lectura y escritura a ninguna cuenta anónima, el resultado de la evaluación es Compliant. Si no se especifican políticas para los buckets de OSS, el resultado de la evaluación es Compliant.

sg-public-access-check

8.1.3.1

8.1.3.2

8.1.3.1

a) Permita únicamente solicitudes de acceso transfronterizo y paquetes de datos transmitidos a través de las interfaces controladas de los dispositivos perimetrales.

b) Aplique control de acceso o compruebe las solicitudes de acceso enviadas desde dispositivos no autorizados a través de la red interna.

8.1.3.2

a) Configure reglas de control de acceso en los perímetros de red o entre zonas de red según las políticas de control de acceso. Las interfaces gestionadas permiten únicamente solicitudes de comunicación que cumplan con las reglas.

c) Compruebe las direcciones IP de origen, las direcciones IP de destino, los puertos de origen, los puertos de destino y los protocolos para permitir o denegar los paquetes entrantes y salientes.

Comprueba si la política de autorización de entrada de cada security group está establecida en Allow y el rango de puertos está establecido en -1/-1, o si la dirección IP autorizada está establecida en 0.0.0.0/0, o si se configura una política de autorización con mayor prioridad. De ser así, el resultado de la evaluación es Compliant. Esta regla no aplica a los security groups usados por servicios en la nube u operadores de redes virtuales.

rds-public-connection-and-any-ip-access-check

Comprueba si se usa una dirección IP pública para la instancia de ApsaraDB RDS dentro de su cuenta o si la lista blanca no está habilitada para todas las direcciones IP de origen. De ser así, el resultado de la evaluación es Compliant.

cr-instance-any-ip-access-check

Comprueba si 0.0.0.0/0 está agregado a la lista blanca de direcciones IP de cada instancia de Container Registry. De no ser así, el resultado de la evaluación es Compliant. Esta regla aplica a las instancias de Container Registry Enterprise Edition.

elasticsearch-public-and-any-ip-access-check

Comprueba si cada clúster de Elasticsearch deniega el acceso desde redes públicas o no permite el acceso desde todas las direcciones IP. De ser así, el resultado de la evaluación es Compliant.

cr-instance-public-access-check

Comprueba si el portal de acceso público está habilitado para una instancia de Container Registry. Si el portal de acceso público no está habilitado, el resultado de la evaluación es Compliant. Esta regla aplica a las instancias de Container Registry Enterprise Edition.

redis-public-and-any-ip-access-check

Comprueba si el acceso a Internet está habilitado para cada instancia de ApsaraDB for Redis y si todos los bloques CIDR están agregados a la lista blanca de IP de la instancia. Si el acceso a Internet está deshabilitado para cada instancia de ApsaraDB for Redis, o si la instancia puede acceder a Internet pero sus listas blancas no contienen 0.0.0.0/0, el resultado de la evaluación es Compliant. Si el acceso a Internet está habilitado para cada instancia de ApsaraDB for Redis y todos los bloques CIDR están agregados a la lista blanca de IP de la instancia, el resultado de la evaluación es Non-compliant.

security-group-high-risk-port-all-disabled

Comprueba si 0.0.0.0/0 se especifica como objeto de autorización en las reglas de entrada de cada security group y si los puertos seleccionados no contienen puertos de riesgo. De ser así, el resultado de la evaluación es Compliant. Si 0.0.0.0/0 no se especifica como objeto de autorización en las reglas de entrada de cada security group, el resultado de la evaluación es Compliant sin importar si los puertos seleccionados contienen puertos de riesgo. Si una política con mayor prioridad deniega un puerto de riesgo, el resultado de la evaluación es Compliant. Esta regla no aplica a los security groups usados por servicios en la nube u operadores de redes virtuales.

nat-risk-ports-check

Comprueba si los puertos de riesgo especificados están mapeados mediante las entradas DNAT de NAT Gateway. Si los puertos de alto riesgo especificados no están mapeados mediante las entradas DNAT de NAT Gateway, el resultado de la evaluación es Compliant.

nas-filesystem-mount-target-access-group-check

8.1.3.1

a) Permita únicamente solicitudes de acceso transfronterizo y paquetes de datos transmitidos a través de las interfaces controladas de los dispositivos perimetrales.

b) Aplique control de acceso o compruebe las solicitudes de acceso enviadas desde dispositivos no autorizados a través de la red interna.

Comprueba si 0.0.0.0/0 está agregado a alguna regla del grupo de permisos del sistema de archivos NAS. Si 0.0.0.0/0 no está agregado a ninguna regla del grupo de permisos del sistema de archivos NAS, el resultado de la evaluación es Compliant. Esta regla no aplica al sistema de archivos NAS que no tiene creado un destino de montaje o cuyo grupo de permisos no tiene reglas.

oss-bucket-policy-outside-organization-check

Comprueba si la lectura pública está habilitada para un bucket de OSS y si existe autorización externa en el resultado del análisis. Si la lectura pública no está habilitada para un bucket de OSS y no existe autorización externa en el resultado del análisis, el resultado de la evaluación es Compliant. Si el resultado del análisis de la política de bucket indica que no se puede analizar dicha política, el resultado de la evaluación es Non-compliant. Si todos los resultados del análisis de la política de bucket existen en el directorio de recursos, el resultado de la evaluación es Compliant. Si la cuenta del directorio de recursos no ejecuta la autorización, el resultado de la evaluación es Non-compliant.

oss-bucket-public-read-prohibited

Comprueba si la política de lista de control de acceso (ACL) de cada bucket de OSS deniega el acceso de lectura desde Internet. De ser así, el resultado de la evaluación es Compliant.

ack-cluster-public-endpoint-check

Comprueba si hay endpoints públicos configurados para el servidor de API en cada clúster de Container Service for Kubernetes (ACK). De ser así, el resultado de la evaluación es Compliant.

ecs-running-instance-no-public-ip

Comprueba si no hay direcciones IPv4 públicas ni EIP asignadas a las instancias ECS en ejecución. De ser así, el resultado de la evaluación es Compliant.

slb-no-public-ip

Comprueba si hay una dirección IP pública asociada con cada instancia de SLB. Si no hay ninguna dirección IP pública asociada con cada instancia de SLB, el resultado de la evaluación es Compliant. Si no desea que una instancia de SLB acceda a redes públicas, se recomienda no vincular una dirección IP pública a la instancia de SLB. Si desea que una instancia de SLB acceda a redes públicas, se recomienda adquirir una EIP y vincularla a la instancia de SLB requerida. Las EIP ofrecen mayor flexibilidad. También puede usar un plan de ancho de banda de EIP para reducir costos.

redis-instance-open-auth-mode

Comprueba si la función de autenticación basada en contraseña está habilitada para cada instancia de ApsaraDB for Redis en sus VPC. De ser así, el resultado de la evaluación es Compliant.

vpc-network-acl-risky-ports-check

8.1.3.2

a) Configure reglas de control de acceso en los perímetros de red o entre zonas de red según las políticas de control de acceso. Las interfaces gestionadas permiten únicamente solicitudes de comunicación que cumplan con las reglas.

c) Compruebe las direcciones IP de origen, las direcciones IP de destino, los puertos de origen, los puertos de destino y los protocolos para permitir o denegar los paquetes entrantes y salientes.

Comprueba si la dirección IP de destino especificada en la regla de entrada para el control de acceso de VPC está establecida en 0.0.0.0/0 y si el rango de puertos especificado no contiene un puerto de riesgo. De ser así, el resultado de la evaluación es Compliant.

slb-all-listener-enabled-acl

8.1.3.2

Comprueba si la función de control de acceso está configurada para los listeners de cada instancia de SLB. De ser así, el resultado de la evaluación es Compliant. Esta regla no aplica a las instancias de SLB que no tienen listeners configurados.

alb-all-listener-enabled-acl

8.1.3.2

Comprueba si la función de control de acceso está habilitada para todos los listeners de cada instancia de ALB. De ser así, el resultado de la evaluación es Compliant. Esta regla no aplica a las instancias de ALB que no tienen listeners configurados.

slb-acl-public-access-check

8.1.3.2

Comprueba si la ACL de cada instancia de SLB no incluye 0.0.0.0/0. De ser así, el resultado de la evaluación es Compliant.

oss-bucket-authorize-specified-ip

8.1.3.2

Comprueba si el permiso de lectura y escritura de los buckets de OSS está establecido como privado o si las políticas de autorización de los buckets de OSS incluyen listas blancas de IP específicas. De ser así, el resultado de la evaluación es Compliant.

slb-listener-risk-ports-check

8.1.3.2

Comprueba si un puerto de riesgo especificado está agregado a un listener de cada instancia de SLB. Si no se agrega un puerto de riesgo especificado a ningún listener de cada instancia de SLB, el resultado de la evaluación es Compliant.

oss-bucket-referer-enabled

8.1.3.2

Comprueba si la lista blanca del bucket de OSS está vacía y si el valor del parámetro AllowEmpty coincide con el valor de un parámetro especificado. Si la lista blanca del bucket de OSS no está vacía y el valor del parámetro AllowEmpty coincide con el valor de un parámetro especificado, el resultado de la evaluación es Compliant.

polardb-public-and-any-ip-access-check

8.1.3.2

Comprueba si el acceso a Internet está habilitado y si se permite cualquier acceso a Internet para cada instancia de PolarDB. De ser así, el resultado de la evaluación es Non-compliant.

use-waf-instance-for-security-protection

8.1.3.3

8.1.3.4

8.1.4.4

8.1.5.4

8.1.3.3

a) Detecte, prevenga o limite los ataques de redes externas hacia nodos de red críticos.

b) Detecte, prevenga o limite los ataques de redes internas hacia nodos de red críticos.

c) Implemente medidas técnicas para analizar el comportamiento de la red y los ataques de red, especialmente los nuevos ataques de red.

d) Registre la dirección IP de origen del ataque, el tipo de ataque, el destino del ataque y la hora del ataque cuando se detecte uno, y emita una alerta cuando ocurra un evento de intrusión grave.

8.1.3.4

a) Detecte y elimine código malicioso en nodos de red críticos, y mantenga actualizado el mecanismo de prevención de código malicioso.

b) Detecte y bloquee correos no deseados en nodos de red críticos, y mantenga actualizado el mecanismo de prevención de correo no deseado.

8.1.4.4

e) Detecte posibles vulnerabilidades conocidas y corríjalas después de probarlas y evaluarlas por completo.

f) Detecte intrusiones en sus servidores y emita una alerta cuando ocurra un evento de intrusión grave.

8.1.5.4

d) Recopile, resuma y analice de manera centralizada los datos de auditoría distribuidos en cada dispositivo, y asegúrese de que el tiempo de retención de los registros de auditoría cumpla con las leyes y regulaciones pertinentes.

e) Gestione de manera centralizada los asuntos relacionados con la seguridad, como las políticas de seguridad, el código malicioso y las actualizaciones de parches.

Comprueba si se usa Web Application Firewall (WAF) para proteger su sitio web o aplicación. De ser así, el resultado de la evaluación es Compliant.

security-center-version-check

Comprueba si se usa Security Center Enterprise Edition o una edición más avanzada. De ser así, el resultado de la evaluación es Compliant.

use-ddos-instance-for-security-protection

8.1.3.3

8.1.4.4

8.1.5.4

8.1.3.3

a) Detecte, prevenga o limite los ataques de redes externas hacia nodos de red críticos.

b) Detecte, prevenga o limite los ataques de redes internas hacia nodos de red críticos.

c) Implemente medidas técnicas para analizar el comportamiento de la red y los ataques de red, especialmente los nuevos ataques de red.

d) Registre la dirección IP de origen del ataque, el tipo de ataque, el destino del ataque y la hora del ataque cuando se detecte uno, y emita una alerta cuando ocurra un evento de intrusión grave.

8.1.4.4

e) Detecte posibles vulnerabilidades conocidas y corríjalas después de probarlas y evaluarlas por completo.

f) Detecte intrusiones en sus servidores y emita una alerta cuando ocurra un evento de intrusión grave.

8.1.5.4

d) Recopile, resuma y analice de manera centralizada los datos de auditoría distribuidos en cada dispositivo, y asegúrese de que el tiempo de retención de los registros de auditoría cumpla con las leyes y regulaciones pertinentes.

e) Gestione de manera centralizada los asuntos relacionados con la seguridad, como las políticas de seguridad, el código malicioso y las actualizaciones de parches.

Comprueba si se usa Anti-DDoS para prevenir ataques DDoS. De ser así, el resultado de la evaluación es Compliant.

use-cloud-fire-wall-for-security-protection

Comprueba si se usa Cloud Firewall para proteger el perímetro de su red. De ser así, el resultado de la evaluación es Compliant.

firewall-asset-open-protect

8.1.3.3

a) Detecte, prevenga o limite los ataques de redes externas hacia nodos de red críticos.

b) Detecte, prevenga o limite los ataques de redes internas hacia nodos de red críticos.

c) Implemente medidas técnicas para analizar el comportamiento de la red y los ataques de red, especialmente los nuevos ataques de red.

d) Registre la dirección IP de origen del ataque, el tipo de ataque, el destino del ataque y la hora del ataque cuando se detecte uno, y emita una alerta cuando ocurra un evento de intrusión grave.

Comprueba si la protección de activos está habilitada en Cloud Firewall. De ser así, el resultado de la evaluación es Compliant. Esta regla aplica únicamente a los usuarios que han activado el servicio Cloud Firewall. No hay datos de detección disponibles para los usuarios que no han activado el servicio o que lo han usado de forma gratuita.

security-center-defense-config-check

8.1.3.5

8.1.5.4

8.1.3.5

b) Incluya en el registro de auditoría la fecha del evento, la hora del evento, el usuario, el tipo de evento, si el evento fue exitoso y otra información relevante para la auditoría.

8.1.5.4

d) Recopile, resuma y analice de manera centralizada los datos de auditoría distribuidos en cada dispositivo, y asegúrese de que el tiempo de retención de los registros de auditoría cumpla con las leyes y regulaciones pertinentes. e) Gestione de manera centralizada los asuntos relacionados con la seguridad, como las políticas de seguridad, el código malicioso y las actualizaciones de parches.

Comprueba si una defensa proactiva de un tipo especificado está habilitada en la consola de Security Center. De ser así, el resultado de la evaluación es Compliant.

waf3-instance-enabled-specified-defense-rules

8.1.3.5

8.1.5.4

Comprueba si las reglas para el escenario de protección especificado están habilitadas en una instancia de WAF 3.0. De ser así, el resultado de la evaluación es Compliant.

actiontrail-trail-intact-enabled

8.1.3.5

8.1.5.4

Comprueba si existe una traza activa en ActionTrail y si se rastrean eventos de todos los tipos generados en todas las regiones. De ser así, el resultado de la evaluación es Compliant. Si el administrador de un directorio de recursos ha creado una traza que aplica a todos los miembros, el resultado de la evaluación es Compliant.

rds-instance-enabled-auditing

8.1.3.5

8.1.5.4

Comprueba si la función de explorador y auditoría de SQL está habilitada para cada instancia de ApsaraDB RDS. De ser así, el resultado de la evaluación es Compliant.

adb-cluster-audit-log-enabled

8.1.3.5

8.1.5.4

Comprueba si la función de explorador y auditoría de SQL está habilitada para cada clúster de AnalyticDB for MySQL. De ser así, el resultado de la evaluación es Compliant.

vpc-flow-logs-enabled

8.1.3.5

8.1.5.4

Comprueba si la función de registro de flujo está habilitada para cada VPC. De ser así, el resultado de la evaluación es Compliant.

ram-password-policy-check

8.1.4.1

b) Gestione los fallos de inicio de sesión y configure las funciones pertinentes para cerrar sesiones automáticamente, limitar el uso indebido de inicios de sesión y cerrar sesión cuando las sesiones caduquen.

d) Use una combinación de dos o más de las siguientes técnicas para autenticar identidades de usuario: contraseña, técnica criptográfica y biotecnología. Se debe usar una técnica criptográfica en cada combinación.

Comprueba si la configuración de las políticas de contraseña de cada usuario de RAM cumple con los valores especificados. De ser así, el resultado de la evaluación es Compliant.

root-mfa-check

8.1.4.1

Comprueba si la autenticación multifactor (MFA) está habilitada para cada cuenta de Alibaba Cloud. De ser así, el resultado de la evaluación es Compliant.

ram-user-mfa-check

8.1.4.1

Comprueba si MFA está habilitado en la configuración de inicio de sesión de cada usuario de RAM que tiene habilitada la función de acceso a la consola. De ser así, el resultado de la evaluación es Compliant.

ram-user-last-login-expired-check

8.1.4.2

c) Elimine o deshabilite cuentas redundantes y caducadas, y deshabilite las cuentas compartidas.

d) Aplique el principio de mínimo privilegio a los administradores para garantizar la separación de privilegios.

Comprueba si cada usuario de RAM ha iniciado sesión en los últimos 90 días. De ser así, el resultado de la evaluación es Compliant. Si un usuario de RAM se actualizó en los 90 días anteriores, el resultado de la evaluación es Compliant sin importar si el usuario de RAM inició sesión recientemente en el sistema. La regla no aplica a los usuarios de RAM que tienen deshabilitado el acceso a la consola.

ram-policy-in-use-check

8.1.4.2

Comprueba si una política está adjunta a como mínimo un grupo de usuarios de RAM, un rol de RAM o un usuario de RAM. De ser así, el resultado de la evaluación es Compliant.

ram-group-has-member-check

8.1.4.2

Comprueba si cada grupo de usuarios de RAM contiene como mínimo un usuario de RAM. De ser así, el resultado de la evaluación es Compliant.

ram-user-no-policy-check

8.1.4.2

Comprueba si una política está adjunta a cada usuario de RAM. De ser así, el resultado de la evaluación es Compliant. Se recomienda que los usuarios de RAM hereden permisos de grupos de usuarios de RAM o roles.

ram-user-ak-used-expired-check

8.1.4.2

Comprueba si la duración entre la fecha en que se usó por última vez el par de AccessKey de cada usuario de RAM y la fecha actual es menor que un número de días especificado. De ser así, el resultado de la evaluación es Compliant. Valor predeterminado: 90. Unidad: días.

ram-policy-no-statements-with-admin-access-check

8.1.4.2

Comprueba si los parámetros Action y Resource de cada usuario de RAM, grupo de usuarios de RAM y rol de RAM no están establecidos en . De ser así, el resultado de la evaluación es Compliant. Un asterisco () indica permisos de superadministrador.

ram-user-login-check

8.1.4.2

c) Elimine o deshabilite cuentas redundantes y caducadas, y deshabilite las cuentas compartidas.

d) Aplique el principio de mínimo privilegio a los administradores para garantizar la separación de privilegios.

Comprueba si una de las funciones de acceso a la consola o acceso a la API está habilitada para cada usuario de RAM. De ser así, el resultado de la evaluación es Compliant.

ecs-instance-enabled-security-protection

8.1.4.4

e) Detecte posibles vulnerabilidades conocidas y corríjalas después de probarlas y evaluarlas por completo. f) Detecte intrusiones en sus servidores y emita una alerta cuando ocurra un evento de intrusión grave.

Le permite instalar un agente de CloudMonitor en una instancia para proporcionar servicios de protección de seguridad. Si se instala un agente de Security Center en cada instancia de ECS, el resultado de la evaluación es Compliant. Esta regla no aplica a las instancias de ECS que no se están ejecutando.

ecs-instance-updated-security-vul

8.1.4.4

Comprueba si Security Center detecta vulnerabilidades sin corregir de un tipo o nivel especificado en una instancia de ECS. De no ser así, el resultado de la evaluación es Compliant. Esta regla no aplica a las instancias de ECS que no se están ejecutando.

security-center-notice-config-check

8.1.4.4

Comprueba si se especifica un método de notificación para cada elemento de notificación de Security Center. De ser así, el resultado de la evaluación es Compliant.

oss-bucket-server-side-encryption-enabled

8.1.4.8

b) Use técnicas criptográficas para garantizar la integridad de los datos importantes durante la transmisión, incluida la autenticación de datos y datos de negocio importantes, datos de auditoría, datos de configuración, videos y datos personales.

Comprueba si el parámetro Encryption Method de la función de cifrado del lado del servidor está establecido en OSS-Managed para cada bucket de OSS. De ser así, el resultado de la evaluación es Compliant.

ecs-in-use-disk-encrypted

8.1.4.8

Comprueba si la función de cifrado está habilitada para cada disco de datos de ECS en uso. De ser así, el resultado de la evaluación es Compliant.

ack-cluster-encryption-enabled

8.1.4.8

Comprueba si el cifrado de Secret está configurado para cada clúster ACK Pro. De ser así, el resultado de la evaluación es Compliant. Esta regla no aplica a los clústeres gestionados que no son profesionales.

redis-instance-enabled-tde

8.1.4.8

Comprueba si la función de cifrado transparente de datos (TDE) está habilitada para cada instancia de ApsaraDB for Redis. De ser así, el resultado de la evaluación es Compliant.

rds-instance-enabled-disk-encryption

8.1.4.8

Comprueba si el cifrado de disco está habilitado para cada instancia de ApsaraDB RDS. De ser así, el resultado de la evaluación es Compliant. Esta regla no aplica a las instancias que usan discos locales o que no admiten cifrado de disco.

sls-logstore-enabled-encrypt

8.1.4.8

Comprueba si el cifrado de datos está habilitado para cada logstore en Simple Log Service. De ser así, el resultado de la evaluación es Compliant.

polardb-cluster-enabled-tde

8.1.4.8

Comprueba si la función TDE está habilitada en la configuración de seguridad de datos de cada clúster de PolarDB. De ser así, el resultado de la evaluación es Compliant.

ecs-disk-auto-snapshot-policy

8.1.4.9

a) Proporcione las funciones necesarias para respaldar y restaurar datos locales importantes.

b) Proporcione las funciones necesarias para respaldar datos importantes en un sitio de destino remoto en tiempo real a través de redes de comunicación.

c) Proporcione redundancia activa para los sistemas de procesamiento de datos importantes a fin de garantizar la disponibilidad del sistema.

Comprueba si se especifica una política de instantáneas automáticas para cada disco de ECS. De ser así, el resultado de la evaluación es Compliant. Esta regla no aplica a los discos que no están en uso, a los discos que no admiten políticas de instantáneas automáticas ni a los discos no persistentes adjuntos al clúster de ACK.

polardb-cluster-level-two-backup-retention

8.1.4.9

Comprueba si el periodo de retención de la copia de seguridad de nivel 2 de cada clúster de PolarDB es mayor o igual que el número de días especificado. De ser así, el resultado de la evaluación es Compliant. Valor predeterminado: 30. Si la copia de seguridad de nivel 2 no está habilitada o el periodo de retención de la copia de seguridad es menor que el número de días especificado, el resultado de la evaluación es Non-compliant.

nas-filesystem-enable-backup-plan

8.1.4.9

Comprueba si se crea un plan de copia de seguridad para cada sistema de archivos de Apsara File Storage NAS. De ser así, el resultado de la evaluación es Compliant.

rds-instance-enabled-log-backup

8.1.4.9

Comprueba si la función de copia de seguridad de registros está habilitada para cada instancia de ApsaraDB RDS. De ser así, el resultado de la evaluación es Compliant.

oss-bucket-versioning-enabled

8.1.4.9

Comprueba si la función de control de versiones está habilitada para cada bucket de OSS. Si la función de control de versiones está deshabilitada, es posible que los datos no se puedan restaurar cuando se sobrescriban o eliminen. Si la función de control de versiones está habilitada para cada bucket de OSS, el resultado de la evaluación es Compliant.

elasticsearch-instance-snapshot-enabled

8.1.4.9

Comprueba si la función de copia de seguridad automática está habilitada para cada clúster de Elasticsearch. De ser así, el resultado de la evaluación es Compliant.

mongodb-instance-backup-log-enabled

8.1.4.9

Comprueba si la función de copia de seguridad de registros está habilitada para cada instancia de ApsaraDB for MongoDB. De ser así, el resultado de la evaluación es Compliant.

rds-instance-has-guard-instance

8.1.4.9

Comprueba si se crea una instancia de recuperación ante desastres para cada instancia de ApsaraDB RDS. De ser así, el resultado de la evaluación es Compliant. Si ocurre un fallo en la región donde reside una instancia de ApsaraDB RDS, la instancia de recuperación ante desastres se puede usar para recuperar los servicios de manera oportuna.

oss-zrs-enabled

8.1.4.9

Comprueba si la función de almacenamiento con redundancia de zona (ZRS) está habilitada para un bucket de OSS. Si la función ZRS está deshabilitada, OSS no puede proporcionar servicios consistentes ni garantizar la recuperación de datos cuando un centro de datos deja de estar disponible. Si la función ZRS está habilitada para un bucket de OSS, el resultado de la evaluación es Compliant.

alb-instance-multi-zone

8.1.4.9

Comprueba si cada instancia de ALB usa la arquitectura multizona. De ser así, el resultado de la evaluación es Compliant. Si ocurre un fallo en una instancia de ALB cuando la despliega en una sola zona, el negocio podría verse interrumpido.

rds-multi-az-support

8.1.4.9

Comprueba si cada instancia de ApsaraDB RDS usa la arquitectura multizona. De ser así, el resultado de la evaluación es Compliant.

polardb-cluster-multi-zone

8.1.4.9

Comprueba si la función de clúster en espera activa está habilitada para cada clúster de PolarDB y si los datos del clúster se distribuyen en varias zonas. De ser así, el resultado de la evaluación es Compliant.

mongodb-instance-multi-zone

8.1.4.9

Comprueba si cada instancia de ApsaraDB for MongoDB tiene arquitectura multizona. De ser así, el resultado de la evaluación es Compliant.

ack-cluster-node-multi-zone

8.1.4.9

Comprueba si se usan clústeres de ACK regionales cuyos nodos se distribuyen en tres o más zonas. De ser así, el resultado de la evaluación es Compliant.

redis-instance-multi-zone

8.1.4.9

Comprueba si cada instancia de ApsaraDB for Redis usa la arquitectura multizona. De ser así, el resultado de la evaluación es Compliant.

elasticsearch-instance-multi-zone

8.1.4.9

Comprueba si cada clúster de Elasticsearch tiene arquitectura multizona. De ser así, el resultado de la evaluación es Compliant.

slb-all-listener-servers-multi-zone

8.1.4.9

Comprueba si cada instancia de SLB usa la arquitectura multizona y si los recursos de varias zonas están agregados al grupo de servidores que usan todos los listeners de la instancia de SLB. De ser así, el resultado de la evaluación es Compliant.