Cloud Config:ClassifiedProtectionPreCheck

Rule name

Code

Code description

Rule description

eip-bandwidth-limit

8.1.2.1

b) Garanta que a largura de banda de cada componente de rede atenda aos seus requisitos durante os horários de pico.

c) Planeje zonas de rede e atribua endereços IP a cada zona para gerenciar operações com eficiência.

Verifica se a largura de banda disponível de cada Elastic IP Address (EIP) é maior ou igual a um valor especificado. Em caso afirmativo, o resultado da avaliação é Compliant. Valor padrão: 10. Unidade: MB.

slb-loadbalancer-bandwidth-limit

Verifica se a largura de banda disponível de cada instância do Server Load Balancer (SLB) é maior ou igual ao valor especificado. Se for, o resultado da avaliação é Compliant. Valor padrão: 10. Unidade: MB.

cen-cross-region-bandwidth-check

Verifica se a largura de banda alocada às conexões inter-regionais de cada instância do Cloud Enterprise Network (CEN) é maior que um valor especificado. Caso positivo, o resultado da avaliação é Compliant. Valor padrão: 1 Mbit/s.

natgateway-snat-eip-bandwidth-check

Verifica se vários EIPs associados a cada entrada SNAT de um NAT gateway foram adicionados a um plano de largura de banda de EIP ou se a largura de banda máxima especificada desses EIPs é idêntica. Se sim, o resultado da avaliação é Compliant. Esta regra não se aplica a NAT gateways da Virtual Private Cloud (VPC).

ecs-instances-in-vpc

Verifica se o tipo de rede de cada instância do Elastic Compute Service (ECS) está definido como VPC quando nenhum parâmetro é configurado. Se você configurar o parâmetro necessário, o sistema verifica se a VPC onde as instâncias ECS residem corresponde à configuração especificada. Nesse caso, o resultado da avaliação é Compliant. Separe vários valores de parâmetro com vírgulas (,).

rds-instances-in-vpc

Verifica se o tipo de rede de cada instância do ApsaraDB RDS é VPC quando o parâmetro vpcIds não está configurado. Se cada instância do ApsaraDB RDS estiver implantada em uma das VPCs especificadas quando o parâmetro vpcIds estiver configurado, o resultado da avaliação será Compliant. Separe vários valores de parâmetro com vírgulas (,).

redis-instance-in-vpc

Verifica se o tipo de rede de cada instância do ApsaraDB for Redis está definido como VPC quando o parâmetro vpcIds não está configurado. Se estiver, o resultado da avaliação é Compliant. Se a VPC onde cada instância do ApsaraDB for Redis reside for a mesma que uma VPC especificada quando o parâmetro vpcIds estiver configurado, o resultado da avaliação também será Compliant.

slb-all-listenter-tls-policy-check

8.1.2.2

b) Utilize técnicas de criptografia para garantir a confidencialidade dos dados durante a comunicação.

Verifica se os listeners HTTPS de cada instância SLB usam uma versão específica de conjunto de políticas de segurança. Se usarem, o resultado da avaliação é Compliant. Esta regra não se aplica a instâncias SLB nas quais nenhum listener HTTPS está configurado.

rds-instance-tls-version-check

Verifica se o recurso SSL está ativado para cada instância do ApsaraDB RDS e se a versão do Transport Layer Security (TLS) usada na instância está dentro de um intervalo de versões especificado. Em caso afirmativo, o resultado da avaliação é Compliant.

oss-security-access-enabled

Verifica se a política de bucket de cada bucket do Object Storage Service (OSS) permite acesso de leitura e gravação via HTTPS e nega acesso via HTTP. Se permitir, o resultado da avaliação é Compliant. Esta regra não se aplica a buckets OSS sem políticas configuradas.

cdn-domain-tls13-enabled

Verifica se o protocolo TLS 1.3 está ativado para cada nome de domínio acelerado pelo Alibaba Cloud CDN. Se estiver, o resultado da avaliação é Compliant.

polardb-cluster-enabled-ssl

Verifica se o recurso de criptografia SSL está ativado para cada cluster PolarDB. Caso positivo, o resultado da avaliação é Compliant.

api-gateway-group-https-policy-check

Verifica se as políticas de segurança HTTPS configuradas para um grupo de API no API Gateway estão incluídas na lista de políticas especificada pelo parâmetro de entrada desta regra. Se estiverem, o resultado da avaliação é Compliant.

oss-bucket-policy-no-any-anonymous

Verifica se permissões de leitura e gravação foram concedidas a cada conta anônima. Se nenhuma conta anônima tiver essas permissões, o resultado da avaliação é Compliant. Se não houver políticas especificadas para os buckets OSS, o resultado da avaliação também é Compliant.

sg-public-access-check

8.1.3.1

8.1.3.2

8.1.3.1

a) Permita apenas solicitações de acesso transfronteiriço e pacotes de dados transmitidos pelas interfaces controladas dos dispositivos de borda.

b) Realize controle de acesso ou verifique solicitações de acesso enviadas por dispositivos não autorizados pela rede interna.

8.1.3.2

a) Configure regras de controle de acesso nas bordas da rede ou entre zonas de rede com base em políticas de controle de acesso. Interfaces gerenciadas permitem apenas solicitações de comunicação que estejam em conformidade com as regras.

c) Execute uma verificação nos endereços IP de source, endereços IP de destino, portas de source, portas de destino e protocolos para permitir ou negar pacotes de entrada e saída.

Verifica se a política de autorização de entrada de cada grupo de segurança está definida como Allow e o intervalo de portas está definido como -1/-1 ou o endereço IP autorizado está definido como 0.0.0.0/0, ou se uma política de autorização com prioridade mais alta está configurada. Se sim, o resultado da avaliação é Compliant. Esta regra não se aplica aos grupos de segurança usados por serviços de nuvem ou operadores de rede virtual.

rds-public-connection-and-any-ip-access-check

Verifica se um endereço IP público está sendo usado pela instância do ApsaraDB RDS em sua conta ou se a lista de permissões não está habilitada para todos os endereços IP de source. Em caso afirmativo, o resultado da avaliação é Compliant.

cr-instance-any-ip-access-check

Verifica se 0.0.0.0/0 foi adicionado à lista de permissões de endereços IP de cada instância do Container Registry. Se não tiver sido, o resultado da avaliação é Compliant. Esta regra aplica-se a instâncias do Container Registry Enterprise Edition.

elasticsearch-public-and-any-ip-access-check

Verifica se cada cluster Elasticsearch nega acesso proveniente de redes públicas ou não permite acesso de todos os endereços IP. Se atender a essa condição, o resultado da avaliação é Compliant.

cr-instance-public-access-check

Verifica se o portal de acesso público está habilitado para uma instância do Container Registry. Se o portal de acesso público não estiver habilitado, o resultado da avaliação é Compliant. Esta regra aplica-se a instâncias do Container Registry Enterprise Edition.

redis-public-and-any-ip-access-check

Verifica se o acesso à Internet está habilitado para cada instância do ApsaraDB for Redis e se todos os blocos CIDR foram adicionados à lista de permissões de IP da instância. Se o acesso à Internet estiver desabilitado para cada instância do ApsaraDB for Redis, ou se a instância puder acessar a Internet, mas suas listas de permissões não contiverem 0.0.0.0/0, o resultado da avaliação é Compliant. Se o acesso à Internet estiver habilitado para cada instância do ApsaraDB for Redis e todos os blocos CIDR estiverem adicionados à lista de permissões de IP da instância, o resultado da avaliação é Non-compliant.

security-group-high-risk-port-all-disabled

Verifica se 0.0.0.0/0 está especificado como objeto de autorização nas regras de entrada de cada grupo de segurança e se as portas selecionadas não contêm portas de risco. Se sim, o resultado da avaliação é Compliant. Se 0.0.0.0/0 não estiver especificado como objeto de autorização nas regras de entrada de cada grupo de segurança, o resultado da avaliação é Compliant independentemente de as portas selecionadas conterem ou não portas de risco. Se uma porta de risco for negada por uma política com prioridade mais alta, o resultado da avaliação é Compliant. Esta regra não se aplica aos grupos de segurança usados por serviços de nuvem ou operadores de rede virtual.

nat-risk-ports-check

Verifica se as portas de risco especificadas estão mapeadas usando as entradas DNAT do NAT Gateway. Se as portas de alto risco especificadas não estiverem mapeadas usando as entradas DNAT do NAT Gateway, o resultado da avaliação é Compliant.

nas-filesystem-mount-target-access-group-check

8.1.3.1

a) Permita apenas solicitações de acesso transfronteiriço e pacotes de dados transmitidos pelas interfaces controladas dos dispositivos de borda.

b) Realize controle de acesso ou verifique solicitações de acesso enviadas por dispositivos não autorizados pela rede interna.

Verifica se 0.0.0.0/0 foi adicionado a qualquer regra do grupo de permissões do sistema de arquivos NAS. Se 0.0.0.0/0 não tiver sido adicionado a nenhuma regra do grupo de permissões do sistema de arquivos NAS, o resultado da avaliação é Compliant. Esta regra não se aplica ao sistema de arquivos NAS para o qual nenhum ponto de montagem foi criado ou cujo grupo de permissões não possui regras.

oss-bucket-policy-outside-organization-check

Verifica se a leitura pública está habilitada para um bucket OSS e se existe autorização externa no resultado da análise. Se a leitura pública não estiver habilitada para um bucket OSS e não existir autorização externa no resultado da análise, o resultado da avaliação é Compliant. Se o resultado da análise da política do bucket indicar que a análise não pode ser realizada na política do bucket, o resultado da avaliação é Non-compliant. Se todos os resultados da análise da política do bucket existirem no diretório de recursos, o resultado da avaliação é Compliant. Se a autorização não for realizada pela conta no diretório de recursos, o resultado da avaliação é Non-compliant.

oss-bucket-public-read-prohibited

Verifica se a política de lista de controle de acesso (ACL) de cada bucket OSS nega acesso de leitura pela Internet. Em caso afirmativo, o resultado da avaliação é Compliant.

ack-cluster-public-endpoint-check

Verifica se endpoints públicos estão configurados para o servidor de API em cada cluster do Container Service for Kubernetes (ACK). Se estiverem, o resultado da avaliação é Compliant.

ecs-running-instance-no-public-ip

Verifica se nenhum endereço IPv4 público ou EIP está atribuído às instâncias ECS que estão em execução. Se não houver, o resultado da avaliação é Compliant.

slb-no-public-ip

Verifica se um endereço IP público está associado a cada instância SLB. Se nenhum endereço IP público estiver associado a cada instância SLB, o resultado da avaliação é Compliant. Se você não quiser que uma instância SLB acesse redes públicas, recomendamos não vincular um endereço IP público a uma instância SLB. Se desejar que uma instância SLB acesse redes públicas, recomendamos adquirir um EIP e vinculá-lo à instância SLB necessária. Os EIPs oferecem maior flexibilidade. Você também pode usar um plano de largura de banda de EIP para reduzir custos.

redis-instance-open-auth-mode

Verifica se o recurso de autenticação baseada em senha está habilitado para cada instância do ApsaraDB for Redis em suas VPCs. Se estiver, o resultado da avaliação é Compliant.

vpc-network-acl-risky-ports-check

8.1.3.2

a) Configure regras de controle de acesso nas bordas da rede ou entre zonas de rede com base em políticas de controle de acesso. Interfaces gerenciadas permitem apenas solicitações de comunicação que estejam em conformidade com as regras.

c) Execute uma verificação nos endereços IP de source, endereços IP de destino, portas de source, portas de destino e protocolos para permitir ou negar pacotes de entrada e saída.

Verifica se o endereço IP de destino especificado na regra de entrada para controle de acesso da VPC está definido como 0.0.0.0/0 e se o intervalo de portas especificado não contém uma porta de risco. Se atender a esses critérios, o resultado da avaliação é Compliant.

slb-all-listener-enabled-acl

8.1.3.2

Verifica se o recurso de controle de acesso está configurado para os listeners de cada instância SLB. Se estiver, o resultado da avaliação é Compliant. Esta regra não se aplica a instâncias SLB sem listeners configurados.

alb-all-listener-enabled-acl

8.1.3.2

Verifica se o recurso de controle de acesso está habilitado para todos os listeners de cada instância ALB. Caso positivo, o resultado da avaliação é Compliant. Esta regra não se aplica a instâncias ALB sem listeners configurados.

slb-acl-public-access-check

8.1.3.2

Verifica se a ACL de cada instância SLB não inclui 0.0.0.0/0. Se não incluir, o resultado da avaliação é Compliant.

oss-bucket-authorize-specified-ip

8.1.3.2

Verifica se a permissão de leitura/gravação dos buckets OSS está definida como privada ou se as políticas de autorização dos buckets OSS incluem listas de permissões de IP específicas. Se sim, o resultado da avaliação é Compliant.

slb-listener-risk-ports-check

8.1.3.2

Verifica se uma porta de risco especificada foi adicionada a um listener de cada instância SLB. Se nenhuma porta de risco especificada tiver sido adicionada a um listener de cada instância SLB, o resultado da avaliação é Compliant.

oss-bucket-referer-enabled

8.1.3.2

Verifica se a lista de permissões do bucket OSS está vazia e se o valor do parâmetro AllowEmpty é igual ao valor de um parâmetro especificado. Se a lista de permissões do bucket OSS não estiver vazia e o valor do parâmetro AllowEmpty for igual ao valor de um parâmetro especificado, o resultado da avaliação é Compliant.

polardb-public-and-any-ip-access-check

8.1.3.2

Verifica se o acesso à Internet está habilitado e se qualquer acesso à Internet é permitido para cada instância PolarDB. Se sim, o resultado da avaliação é Non-compliant.

use-waf-instance-for-security-protection

8.1.3.3

8.1.3.4

8.1.4.4

8.1.5.4

8.1.3.3

a) Detecte, previna ou limite ataques de rede externa em nós críticos da rede.

b) Detecte, previna ou limite ataques de rede interna em nós críticos da rede.

c) Implemente medidas técnicas para analisar o comportamento da rede e ataques de rede, especialmente novos ataques de rede.

d) Registre o endereço IP de source do ataque, o tipo de ataque, o destino do ataque e o horário do ataque quando um ataque for detectado, e reporte um alerta quando ocorrer um evento de intrusão grave.

8.1.3.4

a) Detecte e remova códigos maliciosos em nós críticos da rede e mantenha a atualização do mecanismo de prevenção de códigos maliciosos.

b) Detecte e bloqueie e-mails de spam em nós críticos da rede e mantenha a atualização do mecanismo de prevenção de spam.

8.1.4.4

e) Detecte possíveis vulnerabilidades conhecidas e corrija-as após testes e avaliações completos.

f) Detecte intrusões em seus servidores e reporte um alerta quando ocorrer um evento de intrusão grave.

8.1.5.4

d) Colete, resuma e analise dados de auditoria dispersos em cada dispositivo de maneira centralizada e garanta que o tempo de retenção dos registros de auditoria esteja em conformidade com as leis e regulamentos relevantes.

e) Gerencie questões relacionadas à segurança, como políticas de segurança, códigos maliciosos e atualizações de patches, de maneira centralizada.

Verifica se o Web Application Firewall (WAF) está sendo usado para proteger seu site ou aplicativo. Se estiver, o resultado da avaliação é Compliant.

security-center-version-check

Verifica se o Security Center Enterprise Edition ou uma edição mais avançada está sendo utilizada. Em caso afirmativo, o resultado da avaliação é Compliant.

use-ddos-instance-for-security-protection

8.1.3.3

8.1.4.4

8.1.5.4

8.1.3.3

a) Detecte, previna ou limite ataques de rede externa em nós críticos da rede.

b) Detecte, previna ou limite ataques de rede interna em nós críticos da rede.

c) Implemente medidas técnicas para analisar o comportamento da rede e ataques de rede, especialmente novos ataques de rede.

d) Registre o endereço IP de source do ataque, o tipo de ataque, o destino do ataque e o horário do ataque quando um ataque for detectado, e reporte um alerta quando ocorrer um evento de intrusão grave.

8.1.4.4

e) Detecte possíveis vulnerabilidades conhecidas e corrija-as após testes e avaliações completos.

f) Detecte intrusões em seus servidores e reporte um alerta quando ocorrer um evento de intrusão grave.

8.1.5.4

d) Colete, resuma e analise dados de auditoria dispersos em cada dispositivo de maneira centralizada e garanta que o tempo de retenção dos registros de auditoria esteja em conformidade com as leis e regulamentos relevantes.

e) Gerencie questões relacionadas à segurança, como políticas de segurança, códigos maliciosos e atualizações de patches, de maneira centralizada.

Verifica se o Anti-DDoS está sendo usado para prevenir ataques DDoS. Se estiver, o resultado da avaliação é Compliant.

use-cloud-fire-wall-for-security-protection

Verifica se o Cloud Firewall está sendo usado para proteger o limite da sua rede. Caso positivo, o resultado da avaliação é Compliant.

firewall-asset-open-protect

8.1.3.3

a) Detecte, previna ou limite ataques de rede externa em nós críticos da rede.

b) Detecte, previna ou limite ataques de rede interna em nós críticos da rede.

c) Implemente medidas técnicas para analisar o comportamento da rede e ataques de rede, especialmente novos ataques de rede.

d) Registre o endereço IP de source do ataque, o tipo de ataque, o destino do ataque e o horário do ataque quando um ataque for detectado, e reporte um alerta quando ocorrer um evento de intrusão grave.

Verifica se a proteção de ativos está habilitada no Cloud Firewall. Se estiver, o resultado da avaliação é Compliant. Esta regra aplica-se apenas a usuários que ativaram o serviço Cloud Firewall. Nenhum dado de detecção está disponível para usuários que não ativaram o serviço ou que usaram o serviço gratuitamente.

security-center-defense-config-check

8.1.3.5

8.1.5.4

8.1.3.5

b) Forneça a data do evento, hora do evento, usuário, tipo de evento, se o evento foi bem-sucedido e outras informações relevantes para a auditoria no registro de auditoria.

8.1.5.4

d) Colete, resuma e analise dados de auditoria dispersos em cada dispositivo de maneira centralizada e garanta que o tempo de retenção dos registros de auditoria esteja em conformidade com as leis e regulamentos relevantes. e) Gerencie questões relacionadas à segurança, como políticas de segurança, códigos maliciosos e atualizações de patches, de maneira centralizada.

Verifica se uma defesa proativa de um tipo especificado está habilitada no console do Security Center. Se estiver, o resultado da avaliação é Compliant.

waf3-instance-enabled-specified-defense-rules

8.1.3.5

8.1.5.4

Verifica se as regras para o cenário de proteção especificado estão habilitadas para uma instância do WAF 3.0. Caso positivo, o resultado da avaliação é Compliant.

actiontrail-trail-intact-enabled

8.1.3.5

8.1.5.4

Verifica se existe uma trilha ativa no ActionTrail e se eventos de todos os tipos gerados em todas as regiões estão sendo rastreados. Se sim, o resultado da avaliação é Compliant. Se o administrador de um diretório de recursos criou uma trilha que se aplica a todos os membros, o resultado da avaliação é Compliant.

rds-instance-enabled-auditing

8.1.3.5

8.1.5.4

Verifica se o recurso SQL explorer and audit está habilitado para cada instância do ApsaraDB RDS. Se estiver, o resultado da avaliação é Compliant.

adb-cluster-audit-log-enabled

8.1.3.5

8.1.5.4

Verifica se o recurso SQL explorer and audit está habilitado para cada cluster do AnalyticDB for MySQL. Em caso afirmativo, o resultado da avaliação é Compliant.

vpc-flow-logs-enabled

8.1.3.5

8.1.5.4

Verifica se o recurso de log de fluxo está habilitado para cada VPC. Se estiver, o resultado da avaliação é Compliant.

ram-password-policy-check

8.1.4.1

b) Trate falhas de logon e configure recursos relevantes para fechar sessões automaticamente, limitar abusos de logon e fazer logout quando as sessões expirarem.

d) Use uma combinação de duas ou mais das seguintes técnicas para autenticar identidades de usuário: senha, técnica de criptografia e biotecnologia. Uma técnica de criptografia deve ser usada em cada combinação.

Verifica se as configurações das políticas de senha definidas para cada usuário RAM atendem aos valores especificados. Se atenderem, o resultado da avaliação é Compliant.

root-mfa-check

8.1.4.1

Verifica se a autenticação multifator (MFA) está habilitada para cada conta da Alibaba Cloud. Se estiver, o resultado da avaliação é Compliant.

ram-user-mfa-check

8.1.4.1

Verifica se o MFA está habilitado nas configurações de logon de cada usuário RAM para o qual o recurso de acesso ao console está ativado. Caso positivo, o resultado da avaliação é Compliant.

ram-user-last-login-expired-check

8.1.4.2

c) Exclua ou desative contas redundantes e expiradas e desative contas compartilhadas.

d) Aplique o princípio do menor privilégio aos administradores para garantir a separação de privilégios.

Verifica se cada usuário RAM fez logon nos últimos 90 dias. Se sim, o resultado da avaliação é Compliant. Se um usuário RAM foi atualizado nos 90 dias anteriores, o resultado da avaliação é Compliant independentemente de o usuário RAM ter feito logon recentemente no sistema. A regra não se aplica aos usuários RAM para os quais o acesso ao console está desabilitado.

ram-policy-in-use-check

8.1.4.2

Verifica se uma política está anexada a pelo menos um grupo de usuários RAM, função RAM ou usuário RAM. Se estiver, o resultado da avaliação é Compliant.

ram-group-has-member-check

8.1.4.2

Verifica se cada grupo de usuários RAM contém pelo menos um usuário RAM. Em caso afirmativo, o resultado da avaliação é Compliant.

ram-user-no-policy-check

8.1.4.2

Verifica se uma política está anexada a cada usuário RAM. Se estiver, o resultado da avaliação é Compliant. Recomendamos que os usuários RAM herdem permissões de grupos de usuários RAM ou funções.

ram-user-ak-used-expired-check

8.1.4.2

Verifica se a duração entre a data em que o par de AccessKey de cada usuário RAM foi usado pela última vez e a data atual é menor que um número especificado de dias. Se for, o resultado da avaliação é Compliant. Valor padrão: 90. Unidade: dias.

ram-policy-no-statements-with-admin-access-check

8.1.4.2

Verifica se os parâmetros Action e Resource de cada usuário RAM, grupo de usuários RAM e função RAM não estão definidos como . Se não estiverem, o resultado da avaliação é Compliant. Um asterisco () indica as permissões de superadministrador.

ram-user-login-check

8.1.4.2

c) Exclua ou desative contas redundantes e expiradas e desative contas compartilhadas.

d) Aplique o princípio do menor privilégio aos administradores para garantir a separação de privilégios.

Verifica se um dos recursos de acesso ao console e acesso à API está habilitado para cada usuário RAM. Se estiver, o resultado da avaliação é Compliant.

ecs-instance-enabled-security-protection

8.1.4.4

e) Detecte possíveis vulnerabilidades conhecidas e corrija-as após testes e avaliações completos. f) Detecte intrusões em seus servidores e reporte um alerta quando ocorrer um evento de intrusão grave.

Permite instalar um agente do CloudMonitor em uma instância para fornecer serviços de proteção de segurança. Se um agente do Security Center estiver instalado em cada instância ECS, o resultado da avaliação é Compliant. Esta regra não se aplica a instâncias ECS que não estão em execução.

ecs-instance-updated-security-vul

8.1.4.4

Verifica se vulnerabilidades não corrigidas de um tipo especificado ou de um nível especificado foram detectadas pelo Security Center em uma instância ECS. Se não houver, o resultado da avaliação é Compliant. Esta regra não se aplica a instâncias ECS que não estão em execução.

security-center-notice-config-check

8.1.4.4

Verifica se um método de notificação está especificado para cada item de notificação do Security Center. Caso positivo, o resultado da avaliação é Compliant.

oss-bucket-server-side-encryption-enabled

8.1.4.8

b) Utilize técnicas de criptografia para garantir a integridade de dados importantes durante a transmissão, incluindo autenticação de dados e dados comerciais importantes, dados de auditoria, dados de configuração, vídeos e dados pessoais.

Verifica se o parâmetro Encryption Method do recurso de criptografia do lado do servidor está definido como OSS-Managed para cada bucket OSS. Se estiver, o resultado da avaliação é Compliant.

ecs-in-use-disk-encrypted

8.1.4.8

Verifica se o recurso de criptografia está habilitado para cada disco de dados ECS que está em uso. Se estiver, o resultado da avaliação é Compliant.

ack-cluster-encryption-enabled

8.1.4.8

Verifica se a criptografia de Secret está configurada para cada cluster ACK Pro. Se estiver, o resultado da avaliação é Compliant. Esta regra não se aplica a clusters gerenciados não profissionais.

redis-instance-enabled-tde

8.1.4.8

Verifica se o recurso de criptografia transparente de dados (TDE) está habilitado para cada instância do ApsaraDB for Redis. Em caso afirmativo, o resultado da avaliação é Compliant.

rds-instance-enabled-disk-encryption

8.1.4.8

Verifica se a criptografia de disco está habilitada para cada instância do ApsaraDB RDS. Se estiver, o resultado da avaliação é Compliant. Esta regra não se aplica a instâncias que usam discos locais ou não suportam criptografia de disco.

sls-logstore-enabled-encrypt

8.1.4.8

Verifica se a criptografia de dados está habilitada para cada Logstore no Simple Log Service. Caso positivo, o resultado da avaliação é Compliant.

polardb-cluster-enabled-tde

8.1.4.8

Verifica se o recurso TDE está habilitado nas configurações de segurança de dados de cada cluster PolarDB. Se estiver, o resultado da avaliação é Compliant.

ecs-disk-auto-snapshot-policy

8.1.4.9

a) Forneça os recursos necessários para fazer backup e restaurar dados locais importantes.

b) Forneça os recursos necessários para fazer backup de dados importantes em um site de destino remoto em tempo real através de redes de comunicação.

c) Forneça redundância ativa para sistemas importantes de processamento de dados para garantir a disponibilidade do sistema.

Verifica se uma política de snapshot automático está especificada para cada disco ECS. Se estiver, o resultado da avaliação é Compliant. Esta regra não se aplica a discos que não estão em uso, discos que não suportam políticas de snapshot automático e discos não persistentes anexados ao cluster ACK.

polardb-cluster-level-two-backup-retention

8.1.4.9

Verifica se o período de retenção do backup de nível 2 de cada cluster PolarDB é maior ou igual ao número especificado de dias. Se for, o resultado da avaliação é Compliant. Valor padrão: 30. Se o backup de nível 2 não estiver habilitado ou o período de retenção do backup for menor que o número especificado de dias, o resultado da avaliação é Non-compliant.

nas-filesystem-enable-backup-plan

8.1.4.9

Verifica se um plano de backup foi criado para cada sistema de arquivos do Apsara File Storage NAS. Em caso afirmativo, o resultado da avaliação é Compliant.

rds-instance-enabled-log-backup

8.1.4.9

Verifica se o recurso de backup de log está habilitado para cada instância do ApsaraDB RDS. Se estiver, o resultado da avaliação é Compliant.

oss-bucket-versioning-enabled

8.1.4.9

Verifica se o recurso de versionamento está habilitado para cada bucket OSS. Se o recurso de versionamento estiver desabilitado, a restauração de dados pode falhar quando os dados forem sobrescritos ou excluídos. Se o recurso de versionamento estiver habilitado para cada bucket OSS, o resultado da avaliação é Compliant.

elasticsearch-instance-snapshot-enabled

8.1.4.9

Verifica se o recurso de backup automático está habilitado para cada cluster Elasticsearch. Se estiver, o resultado da avaliação é Compliant.

mongodb-instance-backup-log-enabled

8.1.4.9

Verifica se o recurso de backup de log está habilitado para cada instância do ApsaraDB for MongoDB. Caso positivo, o resultado da avaliação é Compliant.

rds-instance-has-guard-instance

8.1.4.9

Verifica se uma instância de recuperação de desastres foi criada para cada instância do ApsaraDB RDS. Se sim, o resultado da avaliação é Compliant. Se ocorrer uma falha na região onde uma instância do ApsaraDB RDS reside, a instância de recuperação de desastres pode ser usada para recuperar os serviços em tempo hábil.

oss-zrs-enabled

8.1.4.9

Verifica se o recurso de armazenamento com redundância de zona (ZRS) está habilitado para um bucket OSS. Se o recurso ZRS estiver desabilitado, o OSS não poderá fornecer serviços consistentes e garantir a recuperação de dados quando um data center ficar indisponível. Se o recurso ZRS estiver habilitado para um bucket OSS, o resultado da avaliação é Compliant.

alb-instance-multi-zone

8.1.4.9

Verifica se cada instância ALB usa a arquitetura multizona. Se usar, o resultado da avaliação é Compliant. Se ocorrer uma falha em uma instância ALB quando você implantar a instância em apenas uma zona, os negócios podem ser interrompidos.

rds-multi-az-support

8.1.4.9

Verifica se cada instância do ApsaraDB RDS usa a arquitetura multizona. Em caso afirmativo, o resultado da avaliação é Compliant.

polardb-cluster-multi-zone

8.1.4.9

Verifica se o recurso de cluster standby ativo está habilitado para cada cluster PolarDB e se os dados do cluster estão distribuídos em várias zonas. Se sim, o resultado da avaliação é Compliant.

mongodb-instance-multi-zone

8.1.4.9

Verifica se cada instância do ApsaraDB for MongoDB possui arquitetura multizona. Caso positivo, o resultado da avaliação é Compliant.

ack-cluster-node-multi-zone

8.1.4.9

Verifica se são utilizados clusters ACK de nível regional cujos nós estão distribuídos em três ou mais zonas. Se sim, o resultado da avaliação é Compliant.

redis-instance-multi-zone

8.1.4.9

Verifica se cada instância do ApsaraDB for Redis usa a arquitetura multizona. Se usar, o resultado da avaliação é Compliant.

elasticsearch-instance-multi-zone

8.1.4.9

Verifica se cada cluster Elasticsearch possui arquitetura multizona. Em caso afirmativo, o resultado da avaliação é Compliant.

slb-all-listener-servers-multi-zone

8.1.4.9

Verifica se cada instância SLB usa a arquitetura multizona e se os recursos de várias zonas foram adicionados ao grupo de servidores usado por todos os listeners da instância SLB. Se sim, o resultado da avaliação é Compliant.