O pacote de conformidade BestPracticesForSecurityGroups verifica continuamente a conformidade das regras de grupo de segurança para reduzir riscos. Este tópico descreve as regras gerenciadas disponíveis nesse pacote.
|
Nome da regra |
Descrição da regra |
|
Verifica se cada regra de entrada em um grupo de segurança permite acesso apenas pelas portas de um intervalo especificado quando o parâmetro Authorization Object da regra de entrada está definido como 0.0.0.0/0. Nesse caso, o resultado da avaliação é Compliant. Se serviços de nuvem ou operadores de rede virtual utilizarem os grupos de segurança, o resultado da avaliação será Not Applicable. |
|
|
Avalia se a política de autorização de entrada de cada grupo de segurança está definida como Allow e o intervalo de portas como -1/-1, se o endereço IP autorizado está definido como 0.0.0.0/0 ou se há uma política de autorização com prioridade superior configurada. Se qualquer condição for verdadeira, o resultado da avaliação é Compliant. Para grupos de segurança que serviços de nuvem ou operadores de rede virtual utilizam, o resultado é Not Applicable. |
|
|
Confere se o parâmetro Port Range de uma regra de entrada em um grupo de segurança está definido como All quando o parâmetro Action dessa mesma regra está definido como Allow. Caso contrário, o resultado da avaliação é Compliant. O resultado também será Compliant se o parâmetro Port Range estiver definido como All, mas uma regra de entrada com prioridade maior negar o acesso por todas as portas. Se serviços de nuvem ou operadores de rede virtual usarem os grupos de segurança, o resultado da avaliação é Not Applicable. |
|
|
Analisa se o parâmetro Protocol Type de uma regra de entrada em um grupo de segurança está definido como All quando o parâmetro Action da regra de entrada está definido como Allow. Se não estiver, o resultado da avaliação é Compliant. Mesmo que o parâmetro Protocol Type esteja definido como All, o resultado será Compliant se uma regra de entrada de prioridade superior negar o acesso via todos os protocolos. Quando serviços de nuvem ou operadores de rede virtual utilizarem os grupos de segurança, o resultado da avaliação é Not Applicable. |
|
|
Valida se o parâmetro Authorization Object de uma regra de entrada está definido como um endereço IP público ou um bloco CIDR (Classless Inter-Domain Routing) público quando o parâmetro Action da regra de entrada está definido como Allow. Se não estiver, o resultado da avaliação é Compliant. Se serviços de nuvem ou operadores de rede virtual empregarem os grupos de segurança, o resultado da avaliação é Not Applicable. |
|
|
Examina se as regras de saída de cada grupo de segurança negam acesso de todos os blocos CIDR. Em caso afirmativo, o resultado da avaliação é Compliant. Para grupos de segurança que serviços de nuvem ou operadores de rede virtual utilizam, o resultado da avaliação é Not Applicable. |
|
|
Verifica se cada instância ECS foi adicionada a um grupo de segurança especificado. Se sim, o resultado da avaliação é Compliant. |
|
|
Checa se o endereço 0.0.0.0/0 consta na lista de permissões de endereços IP de cada grupo de segurança e se as portas de alto risco estão desabilitadas. Se ambas as condições forem atendidas, o resultado da avaliação é Compliant. Caso 0.0.0.0/0 não esteja na lista de permissões de endereços IP do grupo de segurança, o resultado será Compliant independentemente do status das portas de alto risco. O resultado também é Compliant se uma política de autorização com prioridade superior negar uma porta de alto risco. Se serviços de nuvem ou operadores de rede virtual usarem os grupos de segurança, o resultado da avaliação é Not Applicable. |