O Cloud Config oferece regras padrão baseadas nos CIS Benchmarks para verificar sua arquitetura de rede e as configurações de segurança de dados, o que reduz o risco de violações. A tabela a seguir lista essas regras.
|
Nome da regra |
Descrição |
|
Verifica se a criptografia está ativada em cada disco de dados ECS em uso. |
|
|
Se vpcIds não estiver configurado, valida se cada instância ECS utiliza o tipo de rede VPC. Caso vpcIds esteja configurado, confirma se cada instância reside na VPC especificada. Separe vários valores com vírgulas (,). |
|
|
Confirma se a criptografia no lado do servidor está habilitada em cada bucket OSS. |
|
|
Assegura que nenhum endpoint público esteja configurado em cada instância RDS. Evite expor instâncias RDS diretamente à Internet em ambientes de produção. |
|
|
Valida se o MFA está habilitado para cada usuário RAM com acesso ao console. |
|
|
Verifica se não há pares de AccessKey criados para a conta Alibaba Cloud. |
|
|
Confirma se a autenticação multifator (MFA) está habilitada na conta Alibaba Cloud. |
|
|
Avalia se as políticas de senha dos usuários RAM atendem aos requisitos especificados. |
|
|
Garante que nenhum usuário RAM, grupo de usuários ou função tenha o parâmetro Action definido como * (permissões de superadministrador). |
|
|
Verifica se nenhuma política está anexada diretamente a qualquer usuário RAM. Usuários RAM devem herdar permissões de grupos de usuários ou funções. |
|
|
Confirma se o registro em log está habilitado em cada bucket OSS. |
|
|
Valida se uma chave KMS personalizada criptografa os dados em cada bucket OSS. |
|
|
Verifica se o SQL Explorer e Audit estão habilitados em cada instância ApsaraDB RDS. |
|
|
Período de retenção de log do SQL Audit para instância RDS está em conformidade |
Assegura que o SQL Explorer e Audit estejam ativos em cada instância ApsaraDB RDS for MySQL e que o período de retenção de logs atenda ao mínimo especificado. Padrão: 180 dias. |
|
Confirma se o parâmetro log_connections está definido como on em cada instância ApsaraDB RDS for PostgreSQL. |
|
|
Valida se o parâmetro log_disconnections está definido como on em cada instância ApsaraDB RDS for PostgreSQL. |
|
|
Verifica se o parâmetro log_duration está definido como on em cada instância ApsaraDB RDS for PostgreSQL. |
|
|
Definir política de acesso para proibir acesso anônimo a buckets OSS públicos |
Assegura que buckets OSS com leitura e escrita públicas possuam uma política de autorização que negue acesso anônimo. Não se aplica a buckets OSS privados. |
|
Definir política de acesso para bucket OSS visando impor acesso seguro |
Confirma se a política de cada bucket OSS impõe acesso exclusivo via HTTPS. Não se aplica a buckets sem política definida. |
|
Definição de restrições de IP na política de autorização de bucket OSS |
Verifica se cada bucket OSS está definido como privado ou possui uma lista de permissões de IP em sua política de autorização. |
|
Buckets OSS não devem ter ACLs de leitura e escrita públicas |
Valida se a política de cada bucket OSS nega acesso público de leitura e escrita pela Internet. |
|
Confirma se a política de cada bucket OSS nega acesso público de leitura pela Internet. |
|
|
Todas as instâncias ECS na conta têm o agente do Security Center instalado |
Verifica se o agente do Security Center está instalado em todas as instâncias ECS da conta. |
|
Todas as vulnerabilidades das instâncias ECS foram corrigidas |
Assegura que todas as vulnerabilidades identificadas pelo Security Center em cada instância ECS tenham sido corrigidas. |
|
Valida se a tabela de rotas inclui pelo menos uma entrada para cada bloco CIDR personalizado da VPC. |
|
|
Último login do usuário RAM dentro de um período especificado |
Verifica se cada usuário RAM fez login ou foi atualizado nos últimos 90 dias. Não se aplica a usuários RAM sem acesso ao console. |
|
Rotacionar AccessKeys de usuário RAM dentro de um período especificado |
Confirma se o par de AccessKey de cada usuário RAM foi criado dentro do período especificado. Padrão: 90 dias. |
|
Verifica se os logs de fluxo estão habilitados em cada VPC. |
|
|
Valida se a Transparent Data Encryption (TDE) está habilitada em cada instância ApsaraDB RDS. |
|
|
Confirma se a criptografia SSL está habilitada em cada instância ApsaraDB RDS. |
|
|
Verifica se uma trilha ativa do ActionTrail rastreia todos os tipos de eventos em todas as regiões. Para diretórios de recursos, valida se uma trilha cobre todas as contas membros. |
|
|
Assegura que a coleta de logs esteja habilitada para cada domínio protegido pelo WAF. |
|
|
Verifica se o cluster ACK utiliza o plugin de rede Terway. |
|
|
O endpoint do cluster ACK não possui conexão de rede pública |
Valida se nenhum endpoint público está configurado para o servidor de API do cluster ACK. |
|
Confirma se um agente do CloudMonitor está instalado e em execução em todos os nós de cada cluster ACK. |
|
|
Um método de notificação está definido para o Security Center |
Verifica se um método de notificação está configurado para cada item de notificação do Security Center. |
|
Assegura que o Security Center Enterprise Edition ou superior esteja em uso. |
|
|
Quando o CIDR de entrada é 0.0.0.0/0, valida se o intervalo de portas para o protocolo especificado exclui portas de risco. Regras de entrada diferentes de 0.0.0.0/0 são sempre compatíveis. Uma porta de risco negada por uma regra de prioridade mais alta também é considerada compatível. Não se aplica a grupos de segurança usados por produtos cloud ou operadores virtuais. |
|
|
Ativar proteção do Security Center em instâncias ECS em execução |
Verifica se um agente do Security Center está instalado em cada instância ECS em execução. Não se aplica a instâncias ECS que não estão em execução. |
|
Definir o nível de severidade para varreduras de vulnerabilidade do Security Center |
Confirma se a varredura de vulnerabilidades para o nível de severidade especificado está configurada no Security Center. |
|
Valida se o TDE está habilitado com uma chave personalizada em cada instância ApsaraDB RDS. |