Regras de conformidade de segurança do Cloud Config - Cloud Config: Central de Documentação do Alibaba Cloud

Lista as regras de conformidade padrão do Cloud Config mapeadas para o Pilar de Segurança do Well-Architected Framework, abrangendo segurança de rede, identidade, hosts e dados.

Nome da regra	Descrição da regra
Ativar registro global para o ActionTrail	Em conformidade se o ActionTrail tiver uma trilha ativada que rastreie todas as regiões e tipos de eventos. Contas membro do diretório de recursos também estão em conformidade caso uma trilha de administrador cubra todas as contas membro.
Definir janela de manutenção adequada para clusters ADB	Em conformidade quando a janela de manutenção do cluster ADB estiver dentro do intervalo especificado no parâmetro.
Desativar acesso à rede pública para clusters ADB	Em conformidade se a instância ADB não tiver acesso à rede pública ativado.
Conectar domínios personalizados de grupos de API no API Gateway ao WAF ou WAF 3.0	Em conformidade caso um domínio personalizado vinculado a um grupo do API Gateway esteja conectado ao WAF ou WAF 3.0.
Configure certificado SSL para domínio personalizado de grupo de API no API Gateway	Em conformidade se o grupo do API Gateway possuir um domínio personalizado com certificado SSL configurado.
Verificar discos em nuvem ociosos	Em conformidade se o disco em nuvem estiver em uso. Não se aplica a discos criados dentro do número de dias especificado (padrão: 7).
Ative criptografia para discos de dados ecs em uso	Em conformidade quando o disco de dados ecs em uso tiver criptografia ativada.
Ative proteção do Security Center para instâncias ecs em execução	Em conformidade se o agente do Security Center estiver instalado para proteção do host. Não se aplica a instâncias fora do estado Running.
Anexar função RAM de instância a uma instância ecs	Em conformidade caso a instância ecs tenha uma função RAM de instância anexada.
Garantir que instâncias ecs não estejam paradas	Em conformidade se a instância ecs não estiver no estado Stopped.
Garantir ausência de vulnerabilidades pendentes em instâncias ecs em execução	Em conformidade quando a instância ecs não apresentar vulnerabilidades do tipo e gravidade especificados que exijam correção no Security Center. Não se aplica a instâncias fora do estado Running.
Utilizar instâncias ecs em uma vpc	Se nenhum parâmetro for especificado, em conformidade caso o tipo de rede da instância ecs seja vpc. Se um parâmetro for especificado, a vpc deve estar dentro do intervalo definido. Separe múltiplos valores com vírgulas (,).
Não atribuir endereços ip públicos a instâncias ecs em execução	Em conformidade se a instância ecs em execução não tiver endereço IPv4 público ou Elastic IP Address atribuído.
Verificar grupos de segurança ociosos	Em conformidade quando o grupo de segurança estiver anexado a pelo menos uma instância ecs.
Bloquear portas de risco para o bloco CIDR 0.0.0.0/0 em grupo de segurança para protocolo específico	Em conformidade se as regras de entrada que permitem acesso de 0.0.0.0/0 para um protocolo especificado não incluírem portas de risco definidas. Também em conformidade se existir uma regra de negação com prioridade maior para a porta de risco. Não se aplica a grupos de segurança utilizados por serviços da Alibaba Cloud ou provedores de servidores virtuais.
Restringir acesso de entrada de 0.0.0.0/0 a portas na lista de permissões em um grupo de segurança	Em conformidade caso as regras de entrada que liberam 0.0.0.0/0 estejam configuradas apenas para portas específicas da lista de permissões. Não se aplica a grupos de segurança usados por serviços da Alibaba Cloud ou provedores de servidores virtuais.
Ative criptografia de disco para nós de dados de instâncias Elasticsearch	Em conformidade se a criptografia de disco estiver ativa nos nós de dados da instância Elasticsearch.
Utilizar instâncias Elasticsearch em uma vpc	Se nenhum parâmetro for especificado, em conformidade caso o tipo de rede da instância Elasticsearch seja vpc. Se um parâmetro for especificado, a vpc associada deve pertencer ao intervalo indicado.
Não atribuir endereços IPv4 públicos em configurações do Auto Scaling	Em conformidade quando a configuração do Auto Scaling não atribuir endereço IPv4 público.
Desativar acesso à rede pública para serviços do Function Compute	Em conformidade se o serviço do Function Compute tiver acesso à rede pública desativado.
Configure serviços do Function Compute para invocação exclusiva via vpc específica	Em conformidade quando o serviço do Function Compute aceitar invocações somente a partir de uma vpc determinada.
Não utilizar chaves mestras do KMS de fontes externas	Em conformidade se a origem da chave mestra do KMS não for externa.
Ative rotação automática para chaves mestras de cliente no Key Management Service	Em conformidade caso a rotação automática esteja ativada para chaves mestras de cliente (CMKs) no KMS.
Garantir que chaves mestras do KMS não estejam pendentes de exclusão	Em conformidade quando a chave mestra do KMS não estiver com exclusão pendente.
Ative rotação automática de credenciais no Key Management Service	Em conformidade se a rotação automática de credenciais estiver ativa no KMS.
Ative criptografia para sistemas de arquivos NAS	Em conformidade caso a criptografia esteja ativada no sistema de arquivos NAS.
Ative armazenamento de logs para buckets oss	Em conformidade se o armazenamento de logs estiver ativado nas configurações de Log Management do bucket oss.
Configure política de acesso seguro para bucket oss	Em conformidade quando a política de acesso do bucket oss permitir apenas https ou negar HTTP. Não se aplica a buckets com política de acesso vazia.
Não conceder permissões a contas anônimas em buckets oss	Em conformidade se a política de autorização do bucket oss não conceder permissões de leitura ou escrita para contas anônimas. Também em conformidade caso nenhuma política de autorização esteja configurada.
Proibir acesso de leitura pública para buckets oss	Em conformidade se a ACL do bucket oss proibir acesso de leitura pública.
Proibir acesso de leitura e escrita pública para buckets oss	Em conformidade quando a ACL do bucket oss proibir acesso público de leitura e escrita.
Ative criptografia no lado do servidor para buckets oss	Em conformidade se a criptografia no lado do servidor com chaves oss totalmente gerenciadas estiver ativada para o bucket.
Ative versionamento para buckets oss	Em conformidade caso o versionamento esteja ativo no bucket oss. O versionamento auxilia na recuperação de dados após substituições ou exclusões acidentais.
Utilizar chave KMS personalizada para criptografar bucket oss	Em conformidade quando o bucket oss estiver criptografado com uma chave KMS personalizada.
Ative criptografia para todas as tabelas em uma instância Tablestore	Em conformidade se todas as tabelas de dados da instância Tablestore possuírem criptografia ativada.
Garantir que grupos de usuários RAM não estejam vazios	Em conformidade caso o grupo de usuários RAM contenha pelo menos um usuário RAM.
Garantir que a política de senhas para usuários RAM atenda aos requisitos	Em conformidade quando todas as configurações da política de senhas para usuários RAM corresponderem aos valores dos parâmetros especificados.
Garantir inexistência de superadministradores	Em conformidade se nenhum usuário RAM, grupo de usuários ou função possuir permissões de superadministrador onde Resource esteja definido como * e Action esteja definido como *.
Rotacionar pares AccessKey de usuários RAM dentro de um período especificado	Em conformidade se o par AccessKey do usuário RAM tiver sido criado dentro do período definido (padrão: 90 dias).
Garantir ausência de pares AccessKey ociosos para usuários RAM	Em conformidade quando o par AccessKey do usuário RAM tiver sido utilizado dentro do período especificado (padrão: 90 dias).
Atribuir usuários RAM a grupos de usuários RAM	Todos os usuários RAM atribuídos a um grupo de usuários são considerados em conformidade.
Ative MFA para usuários RAM	Em conformidade se usuários RAM com acesso ao console tiverem MFA ativado para login.
Garantir que usuários RAM e seus grupos não tenham permissões de superadministrador ou administrador específico de produto	Em conformidade caso o usuário RAM não possua permissões administrativas ou de administrador específico de produto, incluindo permissões herdadas de grupos de usuários.
Ative TDE para instâncias rds	Em conformidade se o TDE estiver ativado nas configurações de segurança de dados da instância rds.
Garantir que o período de retenção de logs de auditoria SQL de instâncias rds atenda aos requisitos	Em conformidade quando o SQL Audit estiver ativado para a instância ApsaraDB RDS for MySQL e o período de retenção de logs for igual ou superior ao valor especificado (padrão: 180 dias).
Garantir que instâncias rds não tenham simultaneamente acesso à rede pública e lista de permissões ip aberta para todos	Não conforme se a instância rds tiver acesso à rede pública ativado e sua lista de permissões definida como 0.0.0.0/0.
Garantir inexistência de par AccessKey para conta Alibaba Cloud	Em conformidade caso a conta Alibaba Cloud não possua um par AccessKey.
Ative MFA para conta Alibaba Cloud	Em conformidade se o MFA estiver ativado na conta Alibaba Cloud.
Utilizar Security Center Enterprise Edition	Em conformidade quando o Security Center Enterprise Edition ou edição posterior estiver em uso.
Ative logs de acesso para instâncias slb	Em conformidade se os logs de acesso estiverem ativados para a instância CLB. Não se aplica a instâncias sem listener Layer 7 (logs de acesso não suportados).
Ative listeners https para instâncias slb	Em conformidade caso a instância slb tenha um listener https ativado na porta especificada. Não se aplica a instâncias com apenas listeners TCP ou UDP.
Ative logs de fluxo para vpcs	Em conformidade quando os logs de fluxo estiverem ativos na vpc.
Ative coleta de logs para instâncias WAF	Em conformidade se a coleta de logs estiver ativada para todos os nomes de domínio protegidos pelo WAF 2.0.