Com base nos padrões comuns de controle de riscos de TI do setor financeiro da Malásia, o pacote de conformidade RMiTComplianceCheck verifica continuamente a conformidade dos sistemas de TI na nuvem. Este tópico descreve as regras fornecidas no pacote de conformidade RMiTComplianceCheck.
|
Nome da regra |
Descrição |
|
Verifica se existe uma trilha ativa no ActionTrail e se eventos de todos os tipos gerados em todas as regiões estão sendo rastreados. Nesse caso, o resultado da avaliação é Compliant. O resultado também será Compliant se o administrador de cada diretório de recursos tiver criado uma trilha aplicável a todas as contas-membro. |
|
|
Verifica se há uma trilha habilitada no ActionTrail. Em caso afirmativo, o resultado da avaliação é Compliant. |
|
|
Verifica se uma chave personalizada do Key Management Service (KMS) criptografa os dados de cada bucket do Object Storage Service (OSS). Se sim, o resultado da avaliação é Compliant. |
|
|
Verifica se há uma política de snapshot automático definida para cada disco ECS. Caso esteja, o resultado da avaliação é Compliant. |
|
|
Verifica se a criptografia de disco está ativada para cada instância ECS. Quando ativada, o resultado da avaliação é Compliant. |
|
|
Verifica se nenhuma instância ECS possui um endereço IPv4 público ou EIP especificado. Na ausência desses endereços, o resultado da avaliação é Compliant. |
|
|
Sem a configuração do parâmetro vpcIds, verifica se o tipo de rede de cada instância ECS está definido como VPC; se estiver, o resultado é Compliant. Com o parâmetro vpcIds configurado, verifica se a VPC de cada instância ECS corresponde à VPC especificada, resultando também em Compliant. Separe múltiplos valores de parâmetro com vírgulas (,). |
|
|
Verifica se cada instância do Server Load Balancer (SLB) utiliza certificados emitidos pela Alibaba Cloud. Cumprindo esse requisito, o resultado da avaliação é Compliant. |
|
|
Verifica a validade do certificado de cada instância SLB. Certificados válidos resultam em uma avaliação Compliant. |
|
|
Verifica se o recurso de proteção contra exclusão está ativado em cada instância SLB. Se estiver, o resultado da avaliação é Compliant. |
|
|
Verifica se um listener HTTPS está habilitado nas portas especificadas de cada instância SLB. Em caso positivo, o resultado é Compliant. Se apenas um listener TCP ou UDP estiver ativo nessas portas, o resultado da avaliação é Not Applicable. |
|
|
Verifica se cada grupo de usuários RAM contém pelo menos um usuário RAM. Grupos com membros recebem o resultado de avaliação Compliant. |
|
|
Verifica se as configurações das políticas de senha de cada usuário RAM correspondem aos valores especificados. Configurações adequadas resultam em avaliação Compliant. |
|
|
Verifica se os parâmetros Resource e Action de cada usuário RAM, grupo de usuários RAM e função RAM não estão definidos como . Caso não estejam, o resultado é Compliant. A definição de ambos como concede permissões de superadministrador à identidade. |
|
|
Verifica a ausência de pares de AccessKey criados para cada conta Alibaba Cloud. Contas sem AccessKey recebem o resultado de avaliação Compliant. |
|
|
Verifica a associação de cada usuário RAM a um grupo de usuários RAM. Usuários associados a grupos obtêm o resultado de avaliação Compliant. |
|
|
Para usuários RAM com acesso ao console habilitado, verifica se a autenticação multifator (MFA) está ativada nas configurações de logon. Se sim, o resultado da avaliação é Compliant. |
|
|
Verifica se existe alguma política anexada a cada usuário RAM. A existência de políticas resulta em avaliação Compliant. Recomendamos que usuários RAM herdem permissões de grupos de usuários ou funções RAM. |
|
|
Verifica se cada usuário RAM efetuou logon nos últimos 90 dias. Logons recentes resultam em avaliação Compliant. Atualizações no usuário RAM dentro desse período também garantem o resultado Compliant, independentemente do logon. Para usuários sem acesso ao console, o resultado é Not Applicable. |
|
|
Verifica se nenhum endpoint público está configurado para cada instância RDS. A ausência de endpoints públicos resulta em avaliação Compliant. Para evitar ciberataques, evite configurar acesso direto via Internet a instâncias RDS em ambientes de produção. |
|
|
Verifica se o recurso de histórico de eventos está habilitado em cada instância RDS. Instâncias com esse recurso ativo recebem o resultado de avaliação Compliant. |
|
|
Verifica a utilização da arquitetura multizona em cada instância RDS. O uso dessa arquitetura resulta em avaliação Compliant. |
|
|
Verifica se o recurso Transparent Data Encryption (TDE) está ativado nas configurações de segurança de dados de cada instância RDS. Se ativado, o resultado da avaliação é Compliant. |
|
|
Verifica, na página Logs, se o recurso de logging está habilitado para cada bucket OSS. Buckets com logging ativo obtêm o resultado de avaliação Compliant. |
|
|
Para buckets OSS com o parâmetro Bucket ACL definido como Public Read/Write, verifica se há uma política de bucket configurada que não conceda permissões de leitura ou escrita a contas anônimas. Se atendida, a avaliação é Compliant. Esta regra não se aplica a buckets com Bucket ACL definido como Private. |
|
|
Verifica se o parâmetro Encryption Method do recurso de criptografia no lado do servidor está definido como OSS-Managed para cada bucket OSS. Essa configuração resulta em avaliação Compliant. |
|
|
Verifica se a criptografia no lado do servidor baseada em KMS está habilitada para cada bucket OSS. Em caso afirmativo, o resultado da avaliação é Compliant. |
|
|
Verifica se o versionamento está habilitado em cada bucket OSS. Buckets versionados recebem avaliação Compliant. Sem o versionamento, não é possível recuperar dados sobrescritos ou excluídos. |
|
|
Verifica se o recurso de flow log está habilitado para cada Virtual Private Cloud (VPC). A habilitação desse recurso resulta em avaliação Compliant. |
|
|
Verifica se a conexão IPsec-VPN foi estabelecida com sucesso. Conexões ativas resultam em avaliação Compliant. |
|
|
Verifica se a coleta de logs está habilitada para cada nome de domínio protegido pelo Web Application Firewall (WAF). Domínios com coleta ativa recebem o resultado de avaliação Compliant. |
|
|
Verifica se a política de bucket de cada bucket OSS permite operações de leitura e escrita via HTTPS e nega acesso via HTTP. Políticas restritivas resultam em avaliação Compliant. Buckets sem política definida recebem o resultado Not Applicable. |
|
|
Verifica se a política de autorização de entrada de cada grupo de segurança está definida como Allow com intervalo de portas -1/-1 ou endereço IP autorizado 0.0.0.0/0, ou se existe uma política de prioridade superior configurada. Nessas condições, o resultado é Compliant. Grupos de segurança utilizados por serviços de nuvem ou operadores de rede virtual recebem o resultado Not Applicable. |
|
|
Verifica se o recurso de rotação automática está habilitado para cada chave mestra do cliente (CMK) no KMS. Chaves com rotação automática ativa obtêm avaliação Compliant. |
|
|
Sem o parâmetro vpcIds, verifica se o tipo de rede de cada cluster Elasticsearch está definido como VPC; se estiver, o resultado é Compliant. Caso o parâmetro vpcIds esteja configurado, verifica se a VPC do cluster Elasticsearch corresponde à VPC especificada, resultando também em avaliação Compliant. |