Raccomandazioni sulla sicurezza delle identità e dell'accesso

Questo articolo elenca tutte le raccomandazioni sulla sicurezza di identità e accesso che potrebbero essere visualizzate in Microsoft Defender per il cloud.

Le raccomandazioni visualizzate nell'ambiente sono basate sulle risorse protette e sulla configurazione personalizzata. È possibile visualizzare le raccomandazioni nel portale che si applicano alle risorse.

Per informazioni sulle azioni che è possibile eseguire in risposta a queste raccomandazioni, vedere Correggere le raccomandazioni in Defender per il cloud.

Tip

Se una descrizione della raccomandazione indica Nessun criterio correlato, in genere è perché tale raccomandazione dipende da una raccomandazione diversa.

Ad esempio, è consigliabile correggere gli errori di integrità di Endpoint Protection in base alla raccomandazione che controlla se è installata una soluzione endpoint protection (è necessario installare la soluzione Endpoint Protection). La raccomandazione sottostante dispone di un criterio. La limitazione dei criteri solo alle raccomandazioni fondamentali semplifica la gestione dei criteri.

Raccomandazioni su identità e accesso di Azure

È necessario designare un massimo di 3 proprietari per le sottoscrizioni

Descrizione: per ridurre il rischio di violazioni da parte di account proprietari compromessi, è consigliabile limitare il numero di account proprietario a un massimo di 3 (criterio correlato: un massimo di 3 proprietari deve essere designato per la sottoscrizione).

Gravità: Alta

Gli account Azure Cosmos DB devono usare l'ID Microsoft Entra come unico metodo di autenticazione

Descrizione: il modo migliore per eseguire l'autenticazione ai servizi di Azure consiste nell'usare il controllo degli Controllo di accesso accessi in base al ruolo (RBAC). Il controllo degli accessi in base al ruolo consente di mantenere il principio dei privilegi minimi e supporta la possibilità di revocare le autorizzazioni come metodo efficace di risposta in caso di compromissione. È possibile configurare l'account Azure Cosmos DB per applicare il controllo degli accessi in base al ruolo come unico metodo di autenticazione. Quando l'imposizione è configurata, tutti gli altri metodi di accesso verranno negati (chiavi primarie/secondarie e token di accesso). (Nessun criterio correlato)

Gravità: Media

Gli account bloccati con autorizzazioni di proprietario nelle risorse di Azure devono essere rimossi

Descrizione: gli account che sono stati bloccati per l'accesso in Active Directory devono essere rimossi dalle risorse di Azure. Questi account possono essere obiettivi per utenti malintenzionati che cercano un modo per accedere ai dati senza essere notati. (Nessun criterio correlato)

Gravità: Alta

Gli account bloccati con autorizzazioni di scrittura e lettura nelle risorse di Azure devono essere rimossi

Gravità: Alta

Gli account deprecati devono essere rimossi dalle sottoscrizioni

Descrizione: gli account utente che sono stati bloccati per l'accesso devono essere rimossi dalle sottoscrizioni. Questi account possono essere obiettivi per utenti malintenzionati che cercano un modo per accedere ai dati senza essere notati. (Criterio correlato: Gli account deprecati devono essere rimossi dalla sottoscrizione.

Gravità: Alta

Gli account deprecati con autorizzazioni di proprietario devono essere rimossi dalle sottoscrizioni

Gravità: Alta

I log di diagnostica in Key Vault devono essere abilitati

Descrizione: abilitare i log e conservarli per un massimo di un anno. Ciò consente di ricreare la traccia delle attività per scopi di analisi quando si verifica un evento imprevisto della sicurezza o la rete viene compromessa. (Criterio correlato: È necessario abilitare i log di diagnostica in Key Vault).

Gravità: bassa

Gli account esterni con autorizzazioni di proprietario devono essere rimossi dalle sottoscrizioni

Descrizione: gli account con autorizzazioni di proprietario con nomi di dominio diversi (account esterni) devono essere rimossi dalla sottoscrizione. Questo approccio impedisce l'accesso non monitorato. Questi account possono essere obiettivi per utenti malintenzionati che cercano un modo per accedere ai dati senza essere notati. (Criterio correlato: Gli account esterni con autorizzazioni di proprietario devono essere rimossi dalla sottoscrizione.

Gravità: Alta

Gli account esterni con autorizzazioni di lettura devono essere rimossi dalle sottoscrizioni

Descrizione: gli account con autorizzazioni di lettura con nomi di dominio diversi (account esterni) devono essere rimossi dalla sottoscrizione. Questo approccio impedisce l'accesso non monitorato. Questi account possono essere obiettivi per utenti malintenzionati che cercano un modo per accedere ai dati senza essere notati. (Criterio correlato: Gli account esterni con autorizzazioni di lettura devono essere rimossi dalla sottoscrizione.

Gravità: Alta

Gli account esterni con autorizzazioni di scrittura devono essere rimossi dalle sottoscrizioni

Descrizione: gli account con autorizzazioni di scrittura con nomi di dominio diversi (account esterni) devono essere rimossi dalla sottoscrizione. Questo approccio impedisce l'accesso non monitorato. Questi account possono essere obiettivi per utenti malintenzionati che cercano un modo per accedere ai dati senza essere notati. (Criterio correlato: Gli account esterni con autorizzazioni di scrittura devono essere rimossi dalla sottoscrizione.

Gravità: Alta

Il firewall deve essere abilitato in Key Vault

Descrizione: il firewall dell'insieme di credenziali delle chiavi impedisce al traffico non autorizzato di raggiungere l'insieme di credenziali delle chiavi e offre un ulteriore livello di protezione per i segreti. Abilitare il firewall per assicurarsi che solo il traffico dalle reti consentite possa accedere all'insieme di credenziali delle chiavi. (Criterio correlato: Il firewall deve essere abilitato nell'insieme di credenziali delle chiavi.

Gravità: Media

Gli account guest con autorizzazioni di proprietario nelle risorse di Azure devono essere rimossi

Descrizione: gli account con autorizzazioni di proprietario di cui è stato effettuato il provisioning all'esterno del tenant di Microsoft Entra (nomi di dominio diversi), devono essere rimossi dalle risorse di Azure. Gli account guest non vengono gestiti con gli stessi standard delle identità del tenant aziendale. Questi account possono essere obiettivi per utenti malintenzionati che cercano un modo per accedere ai dati senza essere notati. (Nessun criterio correlato)

Gravità: Alta

Gli account guest con autorizzazioni di lettura nelle risorse di Azure devono essere rimossi

Descrizione: gli account con autorizzazioni di lettura di cui è stato effettuato il provisioning all'esterno del tenant di Microsoft Entra (nomi di dominio diversi), devono essere rimossi dalle risorse di Azure. Gli account guest non vengono gestiti con gli stessi standard delle identità del tenant aziendale. Questi account possono essere obiettivi per utenti malintenzionati che cercano un modo per accedere ai dati senza essere notati. (Nessun criterio correlato)

Gravità: Alta

Gli account guest con autorizzazioni di scrittura nelle risorse di Azure devono essere rimossi

Descrizione: gli account con autorizzazioni di scrittura di cui è stato effettuato il provisioning all'esterno del tenant di Microsoft Entra (nomi di dominio diversi), devono essere rimossi dalle risorse di Azure. Gli account guest non vengono gestiti con gli stessi standard delle identità del tenant aziendale. Questi account possono essere obiettivi per utenti malintenzionati che cercano un modo per accedere ai dati senza essere notati. (Nessun criterio correlato)

Gravità: Alta

Le chiavi degli insiemi di credenziali delle chiavi devono avere una data di scadenza

Descrizione: le chiavi crittografiche devono avere una data di scadenza definita e non essere permanenti. Le chiavi sempre valide offrono a un potenziale utente malintenzionato più tempo per comprometterle. È consigliabile impostare le date di scadenza per le chiavi crittografiche. (Criterio correlato: Le chiavi di Key Vault devono avere una data di scadenza.

Gravità: Alta

I segreti degli insiemi di credenziali delle chiavi devono avere una data di scadenza

Descrizione: i segreti devono avere una data di scadenza definita e non essere permanenti. I segreti validi a tempo indefinito forniscono ai potenziali utenti malintenzionati più tempo per comprometterli. È consigliabile impostare le date di scadenza per i segreti. (Criterio correlato: I segreti di Key Vault devono avere una data di scadenza.

Gravità: Alta

Negli insiemi di credenziali delle chiavi deve essere abilitata la protezione dalla rimozione definitiva

Descrizione: l'eliminazione dannosa di un insieme di credenziali delle chiavi può causare una perdita permanente di dati. Un utente malintenzionato interno all'organizzazione può potenzialmente eliminare e rimuovere definitivamente gli insiemi di credenziali delle chiavi. La protezione dalla rimozione definitiva consente di rispondere a questi tipi di attacco imponendo un periodo di conservazione obbligatorio per gli insiemi di credenziali delle chiavi eliminati temporaneamente. Nessuno all'interno dell'organizzazione o Microsoft sarà in grado di eliminare gli insiemi di credenziali delle chiavi durante il periodo di conservazione dell'eliminazione temporanea. (Criterio correlato: Gli insiemi di credenziali delle chiavi devono avere la protezione di ripulitura abilitata.

Gravità: Media

Negli insiemi di credenziali delle chiavi deve essere abilitata la funzionalità di eliminazione temporanea

Descrizione: l'eliminazione di un insieme di credenziali delle chiavi senza eliminazione temporanea abilitata elimina definitivamente tutti i segreti, le chiavi e i certificati archiviati nell'insieme di credenziali delle chiavi. L'eliminazione accidentale di un key vault può causare una perdita di dati permanente. L'eliminazione temporanea consente di recuperare un key vault eliminato accidentalmente per un periodo di conservazione configurabile. (Criterio correlato: Gli insiemi di credenziali delle chiavi devono avere l'eliminazione temporanea abilitata.

Gravità: Alta

È necessario abilitare Microsoft Defender per Key Vault

Descrizione: Microsoft Defender per il cloud include Microsoft Defender per Key Vault, fornendo un ulteriore livello di intelligence per la sicurezza. Microsoft Defender per Key Vault rileva tentativi insoliti e potenzialmente dannosi di accesso o exploit degli account di Key Vault.

Le protezioni di questo piano vengono addebitate come illustrato nella pagina Piani di Defender. Se non si dispone di insiemi di credenziali delle chiavi in questa sottoscrizione, non verrà addebitato alcun addebito. Se in un secondo momento si creano insiemi di credenziali delle chiavi in questa sottoscrizione, questi verranno protetti automaticamente e inizieranno gli addebiti. Informazioni sui dettagli dei prezzi per area. Per altre informazioni, vedere Introduzione a Microsoft Defender per Key Vault. (Criterio correlato: Azure Defender per Key Vault deve essere abilitato.

Gravità: Alta

Le autorizzazioni delle identità inattive nell’abbonamento di Azure devono essere revocate

Descrizione: Microsoft Defender per il cloud individuato un'identità che non ha eseguito alcuna azione su alcuna risorsa all'interno della sottoscrizione di Azure negli ultimi 45 giorni. È consigliabile revocare le autorizzazioni delle identità inattive per ridurre la superficie di attacco dell'ambiente cloud.

Gravità: Media

L'endpoint privato deve essere configurato per Key Vault

Descrizione: il collegamento privato consente di connettere Key Vault alle risorse di Azure senza inviare traffico tramite Internet pubblico. Il collegamento privato garantisce una protezione con difesa approfondita dall'esfiltrazione di dati. (Criterio correlato: L'endpoint privato deve essere configurato per Key Vault.

Gravità: Media

L'accesso pubblico agli account di archiviazione non deve essere consentito

Descrizione: l'accesso in lettura pubblico anonimo ai contenitori e ai BLOB in Archiviazione di Azure è un modo pratico per condividere i dati, ma potrebbe presentare rischi per la sicurezza. Per evitare violazioni dei dati causate dall'accesso anonimo indesiderato, Microsoft consiglia di impedire l'accesso pubblico a un account di archiviazione, a meno che lo scenario non lo richieda. (Criterio correlato: L'accesso pubblico dell'account di archiviazione non deve essere consentito.

Gravità: Media

Alle sottoscrizioni devono essere assegnati più di un proprietario

Descrizione: designare più di un proprietario della sottoscrizione per avere ridondanza dell'accesso amministratore. (Criterio correlato: Alla sottoscrizione devono essere assegnati più proprietari.

Gravità: Alta

È consigliabile che il periodo di validità dei certificati archiviati in Azure Key Vault non sia superiore a 12 mesi

Descrizione: assicurarsi che i certificati non abbiano un periodo di validità superiore a 12 mesi. (Criterio correlato: I certificati devono avere il periodo di validità massimo specificato.

Gravità: Media

Le identità di Azure sovraprovisionate devono avere solo le autorizzazioni necessarie

Descrizione: le identità con provisioning eccessivo o le identità con autorizzazioni non usano molte delle autorizzazioni concesse. Autorizzazioni di dimensioni regolari di queste identità per ridurre il rischio di uso improprio delle autorizzazioni, accidentali o dannose. Questa azione riduce il potenziale raggio di esplosione durante un evento imprevisto di sicurezza.

Gravità: Media

I ruoli con privilegi non devono avere accesso permanente a livello di sottoscrizione e gruppo di risorse

Descrizione: Microsoft Defender per il cloud individuato un'identità che non ha eseguito alcuna azione su alcuna risorsa all'interno della sottoscrizione di Azure negli ultimi 45 giorni. È consigliabile revocare le autorizzazioni delle identità inattive per ridurre la superficie di attacco dell'ambiente cloud.

Gravità: Alta

Le entità servizio non devono essere assegnate con ruoli amministrativi a livello di sottoscrizione e gruppo di risorse

Descrizione: Defender per il cloud identificate entità servizio assegnate con ruoli con privilegi a livello di gruppo di risorse o sottoscrizione. I ruoli di amministratore con privilegi sono ruoli che possono eseguire operazioni sensibili sulla risorsa, ad esempio Proprietario, Collaboratore o Amministratore accesso utenti. Le entità servizio svolgono un ruolo fondamentale nella gestione delle risorse di Azure in modo efficiente e sicuro, eliminando la necessità di intervento umano. È importante seguire il principio dei privilegi minimi, concedere solo il livello minimo di accesso necessario a una determinata entità servizio per svolgere i propri compiti. Gli amministratori e l'accesso con privilegi sono la destinazione principale degli hacker. Per indicazioni sulle procedure consigliate per l'uso delle assegnazioni di ruoli di amministratore con privilegi elevati, vedere Procedure consigliate per Azure RBAC. Procedure consigliate per il controllo degli accessi in base al ruolo di Azure. Per un elenco dei ruoli disponibili nel controllo degli accessi in base al ruolo di Azure, vedere Ruoli predefiniti di Azure.

Gravità: Alta

Raccomandazioni per l'identità e l'accesso di AWS

I domini di Amazon Elasticsearch Service devono trovarsi in un VPC

Descrizione: VPC non può contenere domini con un endpoint pubblico. In questo modo non viene valutata la configurazione del routing della subnet VPC per determinare la raggiungibilità pubblica.

Gravità: Alta

Le autorizzazioni amazon S3 concesse ad altri account AWS nei criteri bucket devono essere limitate

Descrizione: l'implementazione dell'accesso con privilegi minimi è fondamentale per ridurre il rischio di sicurezza e l'impatto di errori o finalità dannose. Se un criterio bucket S3 consente l'accesso da account esterni, potrebbe comportare l'esfiltrazione di dati da una minaccia Insider o da un utente malintenzionato. Il parametro 'blacklistedactionpatterns' consente di valutare correttamente la regola per i bucket S3. Il parametro concede l'accesso agli account esterni per i modelli di azione che non sono inclusi nell'elenco "blacklistedactionpatterns".

Gravità: Alta

L'accesso anonimo deve essere rimosso nei domini del servizio OpenSearch

Description: Defender per il cloud identificati domini del servizio OpenSearch i cui criteri di accesso consentono l'accesso anonimo (non autenticato) concedendo autorizzazioni all'entità con caratteri jolly "*". Tali criteri aumentano il rischio di esposizione non autorizzata dei dati. (Nessun criterio correlato)

Gravità: Alta

I log di controllo devono essere abilitati nei domini del servizio OpenSearch

Description: Defender per il cloud identificati domini del servizio OpenSearch in cui non sono abilitati i log di controllo. I log di controllo offrono visibilità su tentativi di autenticazione, modelli di accesso e attività operative. Senza log di controllo, la possibilità di rilevare attività non autorizzate o sospette e analizzare gli eventi imprevisti di sicurezza viene ridotta. (Nessun criterio correlato)

Gravità: Media

Evitare l'uso dell'account "root"

Descrizione: l'account "radice" ha accesso illimitato a tutte le risorse nell'account AWS. È consigliabile evitare l'uso di questo account. L'account "root" è l'account AWS con privilegi più elevati. Ridurre al minimo l'uso di questo account e adottare il principio dei privilegi minimi per la gestione degli accessi ridurrà il rischio di modifiche accidentali e divulgazione accidentale di credenziali con privilegi elevati.

Gravità: Alta

Le chiavi del Servizio di gestione delle chiavi AWS non devono essere involontariamente eliminate

Descrizione: questo controllo controlla se le chiavi del Servizio di gestione delle chiavi sono pianificate per l'eliminazione. Il controllo ha esito negativo se è pianificata l'eliminazione di una chiave del Servizio di gestione delle chiavi. Le chiavi del Servizio di gestione delle chiavi non possono essere recuperate una volta eliminate. Anche i dati crittografati in una chiave del Servizio di gestione delle chiavi sono irreversibili se la chiave del Servizio di gestione delle chiavi viene eliminata. Se i dati significativi sono stati crittografati con una chiave del Servizio di gestione delle chiavi pianificata per l'eliminazione, è consigliabile decrittografare i dati o crittografare nuovamente i dati in una nuova chiave del Servizio di gestione delle chiavi, a meno che non si stia intenzionalmente eseguendo una cancellazione crittografica. Quando viene pianificata l'eliminazione di una chiave del Servizio di gestione delle chiavi, viene applicato un periodo di attesa obbligatorio per consentire il tempo di invertire l'eliminazione, se è stato pianificato in errore. Il periodo di attesa predefinito è di 30 giorni, ma può essere ridotto a un massimo di sette giorni quando la chiave del Servizio di gestione delle chiavi è pianificata per l'eliminazione. Durante il periodo di attesa, l'eliminazione pianificata può essere annullata e la chiave del Servizio di gestione delle chiavi non verrà eliminata. Per altre informazioni sull'eliminazione delle chiavi del Servizio di gestione delle chiavi, vedere Eliminazione delle chiavi del Servizio di gestione delle chiavi nella Guida per sviluppatori di AWS Servizio di gestione delle chiavi.

Gravità: Alta

Le identità di AWS sovraprovisionate devono avere solo le autorizzazioni necessarie

Descrizione: un'identità attiva con provisioning eccessivo è un'identità con accesso ai privilegi non usati. Le identità attive con provisioning eccessivo, in particolare per gli account non umani che hanno definito azioni e responsabilità, possono aumentare il raggio di esplosione in caso di compromissione di un utente, di una chiave o di una risorsa. Rimuovere le autorizzazioni non necessarie e stabilire i processi di revisione per ottenere le autorizzazioni con privilegi minimi.

Gravità: Media

È consigliabile abilitare la registrazione ACL globale globale di AWS WAF Classic

Descrizione: questo controllo controlla se la registrazione è abilitata per un elenco di controllo di accesso Web globale di AWS WAF. Questo controllo ha esito negativo se la registrazione non è abilitata per l'ACL Web. La registrazione è una parte importante della gestione globale dell'affidabilità, della disponibilità e delle prestazioni di AWS WAF. Si tratta di un requisito aziendale e di conformità in molte organizzazioni e consente di risolvere i problemi relativi al comportamento dell'applicazione. Fornisce anche informazioni dettagliate sul traffico analizzato dall'ACL Web collegato a AWS WAF.

Gravità: Media

Le distribuzioni CloudFront devono avere un oggetto radice predefinito configurato

Descrizione: questo controllo controlla se una distribuzione Amazon CloudFront è configurata per restituire un oggetto specifico che è l'oggetto radice predefinito. Il controllo ha esito negativo se la distribuzione CloudFront non dispone di un oggetto radice predefinito configurato. Un utente potrebbe talvolta richiedere l'URL radice delle distribuzioni anziché un oggetto nella distribuzione. In questo caso, la specifica di un oggetto radice predefinito consente di evitare di esporre il contenuto della distribuzione Web.

Gravità: Alta

Le distribuzioni CloudFront devono avere l'identità di accesso all'origine abilitata

Descrizione: questo controllo controlla se una distribuzione Amazon CloudFront con il tipo di origine Amazon S3 Origin ha configurato l'identità OAI (Origin Access Identity). Il controllo ha esito negativo se OAI non è configurato. CloudFront OAI impedisce agli utenti di accedere direttamente al contenuto del bucket S3. Quando gli utenti accedono direttamente a un bucket S3, ignorano in modo efficace la distribuzione CloudFront e tutte le autorizzazioni applicate al contenuto del bucket S3 sottostante.

Gravità: Media

La convalida del file di log CloudTrail deve essere abilitata

Descrizione: per garantire un controllo di integrità aggiuntivo dei log CloudTrail, è consigliabile abilitare la convalida dei file in tutti i cloudTrail.

Gravità: bassa

CloudTrail deve essere abilitato

Descrizione: AWS CloudTrail è un servizio Web che registra le chiamate API AWS per l'account e distribuisce i file di log all'utente. Non tutti i servizi abilitano la registrazione per impostazione predefinita per tutte le API e gli eventi. È consigliabile implementare eventuali audit trail aggiuntivi diversi da CloudTrail ed esaminare la documentazione per ogni servizio in Servizi e integrazioni supportati da CloudTrail.

Gravità: Alta

I percorsi CloudTrail devono essere integrati con i log di CloudWatch

Descrizione: oltre all'acquisizione dei log CloudTrail all'interno di un bucket S3 specificato per l'analisi a lungo termine, è possibile eseguire l'analisi in tempo reale configurando CloudTrail per inviare i log ai log di CloudWatch. Per un percorso abilitato in tutte le aree di un account, CloudTrail invia i file di log da tutte le aree a un gruppo di log di Log di CloudWatch. È consigliabile inviare i log di CloudTrail ai log di CloudWatch per assicurarsi che l'attività dell'account AWS venga acquisita, monitorata e allarmata in modo appropriato. L'invio di log CloudTrail ai log di CloudWatch facilita la registrazione delle attività in tempo reale e cronologica in base all'utente, all'API, alla risorsa e all'indirizzo IP e offre l'opportunità di stabilire avvisi e notifiche per attività anomale o di riservatezza dell'account.

Gravità: bassa

I ruoli IAM personalizzati devono essere configurati nei cluster EMR

Descrizione: Defender per il cloud cluster EMR identificati usando una o più identità IAM predefinite di AWS, ad esempio il ruolo del servizio predefinito (EMR_DefaultRole/EMR_DefaultRole_V2), il profilo dell'istanza EC2 predefinito (EMR_EC2_DefaultRole) o il ruolo di ridimensionamento automatico predefinito (EMR_AutoScaling_DefaultRole). Le identità predefinite possono avere autorizzazioni più ampie del necessario e potrebbero non essere allineate ai principi con privilegi minimi, che possono aumentare il rischio di accesso imprevisto alle risorse AWS.

Gravità: Media

La chiave del Servizio di gestione delle chiavi personalizzata deve essere configurata per la crittografia nei pool di utenti Cognito

Description: Defender per il cloud rilevato che il pool di utenti Cognito non usa una chiave del Servizio di gestione delle chiavi gestita dal cliente per la crittografia. Una chiave del Servizio di gestione delle chiavi personalizzata fornisce il controllo sulla rotazione delle chiavi, sui criteri di accesso e sui audit trail per i dati sensibili. Ciò comporta un rischio di riduzione del controllo sulla crittografia dei dati e sulla gestione del ciclo di vita delle chiavi.

Gravità: Media

La registrazione del database deve essere abilitata

Descrizione: questo controllo controlla se i log seguenti di Amazon RDS sono abilitati e inviati ai log di CloudWatch:

Oracolo: (Allerta, Audit, Tracciamento, Ascoltatore)
PostgreSQL: (Postgresql, Aggiornamento)
MySQL: (Audit, Errore, Generale, SlowQuery)
MariaDB: (Audit, Errore, Generale, SlowQuery)
SQL Server: (Errore, Agent)
Aurora: (Audit, Errore, Generale, SlowQuery)
Aurora-MySQL: (Audit, Errore, Generale, SlowQuery)
Aurora-PostgreSQL: (Postgresql, Aggiornamento). Per i database Servizi Desktop remoto devono essere abilitati i log pertinenti. La registrazione del database fornisce record dettagliati delle richieste effettuate a Servizi Desktop remoto. I log del database possono essere utili per controllare la sicurezza e l'accesso e possono aiutare a diagnosticare i problemi di disponibilità.

Gravità: Media

Disabilitare l'accesso diretto a Internet per le istanze del notebook di Amazon Sage Maker

Descrizione: l'accesso diretto a Internet deve essere disabilitato per un'istanza del notebook sage Maker. In questo modo viene verificato se il campo 'DirectInternetAccess' è disabilitato per l'istanza del notebook. L'istanza deve essere configurata con un VPC e l'impostazione predefinita deve essere Disable - Access the Internet through a VPC (Disabilita - Accedere a Internet tramite un VPC). Per consentire l'accesso a Internet per eseguire il training o l'hosting di modelli da un notebook, assicurarsi che il VPC disponga di un gateway NAT e che il gruppo di sicurezza consenta le connessioni in uscita. Assicurarsi che l'accesso alla configurazione di Sage Maker sia limitato solo agli utenti autorizzati e limitare le autorizzazioni IAM degli utenti per modificare le impostazioni e le risorse di Sage Maker.

Gravità: Alta

Non configurare le chiavi di accesso durante la configurazione iniziale dell'utente per tutti gli utenti IAM con una password della console

Descrizione: la console DI AWS usa la casella di controllo per la creazione di chiavi di accesso da abilitare. Ciò comporta la generazione inutilmente di molte chiavi di accesso. Oltre alle credenziali non necessarie, genera anche operazioni di gestione non necessarie nel controllo e nella rotazione di queste chiavi. La richiesta di eseguire ulteriori passaggi da parte dell'utente dopo la creazione del profilo darà un'indicazione più forte dell'intento che le chiavi di accesso sono [a] necessarie per il proprio lavoro e [b] dopo che la chiave di accesso viene stabilita in un account che le chiavi potrebbero essere in uso in un punto qualsiasi dell'organizzazione.

Gravità: Media

Assicurarsi che sia stato creato un ruolo di supporto per gestire gli eventi imprevisti con il supporto AWS

Descrizione: AWS fornisce un centro di supporto che può essere usato per la notifica e la risposta agli eventi imprevisti, nonché il supporto tecnico e i servizi dei clienti. Creare un ruolo IAM per consentire agli utenti autorizzati di gestire gli eventi imprevisti con il supporto AWS. Quando si implementano privilegi minimi per il controllo di accesso, un ruolo IAM richiede un criterio IAM appropriato per consentire l'accesso al Supporto tecnico per gestire gli eventi imprevisti con il supporto AWS.

Gravità: bassa

Assicurarsi che le chiavi di accesso vengano ruotate ogni 90 giorni o meno

Descrizione: le chiavi di accesso sono costituite da un ID chiave di accesso e una chiave di accesso privata, che vengono usati per firmare le richieste a livello di codice eseguite in AWS. Gli utenti DI AWS devono avere le proprie chiavi di accesso per effettuare chiamate a livello di codice ad AWS dall'interfaccia della riga di comando di AWS, strumenti per Windows PowerShell, SDK AWS o chiamate HTTP dirette usando le API per singoli servizi AWS. È consigliabile ruotare regolarmente tutti i tasti di scelta. La rotazione delle chiavi di accesso riduce la finestra di opportunità per l'uso di una chiave di accesso associata a un account compromesso o terminato. I tasti di scelta devono essere ruotati per garantire che non sia possibile accedere ai dati con una chiave precedente, che potrebbe essere stata persa, interrotta o rubata.

Gravità: Media

Verificare che AWS Config sia abilitato in tutte le aree

Descrizione: AWS Config è un servizio Web che esegue la gestione della configurazione delle risorse AWS supportate all'interno dell'account e distribuisce i file di log all'utente. Le informazioni registrate includono l'elemento di configurazione (risorsa AWS), le relazioni tra gli elementi di configurazione (risorse AWS), eventuali modifiche alla configurazione tra le risorse. È consigliabile abilitare AWS Config in tutte le aree.

La cronologia degli elementi di configurazione di AWS acquisita da AWS Config consente l'analisi della sicurezza, il rilevamento delle modifiche delle risorse e il controllo della conformità.

Gravità: Media

Verificare che CloudTrail sia abilitato in tutte le aree

Descrizione: AWS CloudTrail è un servizio Web che registra le chiamate API AWS per l'account e distribuisce i file di log all'utente. Le informazioni registrate includono l'identità del chiamante API, l'ora della chiamata API, l'indirizzo IP di origine del chiamante API, i parametri della richiesta e gli elementi di risposta restituiti dal servizio AWS. CloudTrail fornisce una cronologia delle chiamate API AWS per un account, incluse le chiamate API effettuate tramite La Console di gestione, gli SDK, gli strumenti da riga di comando e i servizi AWS di livello superiore, ad esempio CloudFormation. La cronologia delle chiamate dell'API AWS prodotta da CloudTrail consente l'analisi della sicurezza, il rilevamento delle modifiche delle risorse e il controllo della conformità. Inoltre:

Il controllo dell'esistenza di un trail in più aree garantisce che venga rilevata un'attività imprevista in aree altrimenti inutilizzate.
Verifica che esista un trail di più aree garantisce che la registrazione del servizio globale sia abilitata per un trail per impostazione predefinita per acquisire la registrazione degli eventi generati nei servizi globali AWS.
Per un trail su più aree, verificare che gli eventi di gestione siano configurati per tutti i tipi di lettura/scrittura garantisce la registrazione delle operazioni di gestione eseguite su tutte le risorse in un account AWS.

Gravità: Alta

Verificare che le credenziali inutilizzate per 90 giorni o versione successiva siano disabilitate

Descrizione: gli utenti di AWS IAM possono accedere alle risorse AWS usando diversi tipi di credenziali, ad esempio password o chiavi di accesso. È consigliabile rimuovere o disattivare tutte le credenziali inutilizzate in 90 o più giorni. La disabilitazione o la rimozione di credenziali non necessarie riducono la finestra di opportunità per l'uso delle credenziali associate a un account compromesso o abbandonato.

Gravità: Media

Verificare che i criteri password IAM scadano entro 90 giorni o meno

Descrizione: i criteri password IAM possono richiedere la rotazione o la scadenza delle password dopo un determinato numero di giorni. È consigliabile che i criteri password scadano dopo 90 giorni o meno. La riduzione della durata delle password aumenta la resilienza dell'account rispetto ai tentativi di accesso di forza bruta. Inoltre, la richiesta di modifiche regolari delle password è utile negli scenari seguenti:

Le password possono essere rubate o compromesse a volte senza la tua conoscenza. Ciò può verificarsi tramite una compromissione del sistema, una vulnerabilità del software o una minaccia interna.
Alcuni filtri Web aziendali e governativi o server proxy hanno la possibilità di intercettare e registrare il traffico anche se è crittografato.
Molte persone usano la stessa password per molti sistemi, ad esempio lavoro, posta elettronica e personale.
Le workstation degli utenti finali compromesse potrebbero avere un logger di sequenza di tasti.

Gravità: bassa

Verificare che i criteri password IAM impediscano il riutilizzo delle password

Descrizione: i criteri password IAM possono impedire il riutilizzo di una determinata password da parte dello stesso utente. È consigliabile che i criteri password impediscano il riutilizzo delle password. Impedire il riutilizzo delle password aumenta la resilienza dell'account contro i tentativi di accesso di forza bruta.

Gravità: bassa

Verificare che i criteri password IAM richiedano almeno una lettera minuscola

Descrizione: i criteri password sono, in parte, usati per applicare i requisiti di complessità delle password. I criteri password IAM possono essere usati per garantire che la password sia costituita da set di caratteri diversi. È consigliabile che i criteri password richiedano almeno una lettera minuscola. L'impostazione di criteri di complessità delle password aumenta la resilienza dell'account rispetto ai tentativi di accesso di forza bruta.

Gravità: Media

Verificare che i criteri password IAM richiedano almeno un numero

Descrizione: i criteri password sono, in parte, usati per applicare i requisiti di complessità delle password. I criteri password IAM possono essere usati per garantire che la password sia costituita da set di caratteri diversi. È consigliabile che i criteri password richiedano almeno un numero. L'impostazione di criteri di complessità delle password aumenta la resilienza dell'account rispetto ai tentativi di accesso di forza bruta.

Gravità: Media

Verificare che i criteri password IAM richiedano almeno un simbolo

Descrizione: i criteri password sono, in parte, usati per applicare i requisiti di complessità delle password. I criteri password IAM possono essere usati per garantire che la password sia costituita da set di caratteri diversi. È consigliabile che i criteri password richiedano almeno un simbolo. L'impostazione di criteri di complessità delle password aumenta la resilienza dell'account rispetto ai tentativi di accesso di forza bruta.

Gravità: Media

Verificare che i criteri password IAM richiedano almeno una lettera maiuscola

Descrizione: i criteri password sono, in parte, usati per applicare i requisiti di complessità delle password. I criteri password IAM possono essere usati per garantire che la password sia costituita da set di caratteri diversi. È consigliabile che i criteri password richiedano almeno una lettera maiuscola. L'impostazione di criteri di complessità delle password aumenta la resilienza dell'account rispetto ai tentativi di accesso di forza bruta.

Gravità: Media

Verificare che i criteri password IAM richiedano una lunghezza minima di 14 o superiore

Descrizione: i criteri password sono, in parte, usati per applicare i requisiti di complessità delle password. I criteri password IAM possono essere usati per garantire che la password abbia almeno una lunghezza specifica. È consigliabile che i criteri password richiedano una lunghezza minima della password '14'. L'impostazione di criteri di complessità delle password aumenta la resilienza dell'account rispetto ai tentativi di accesso di forza bruta.

Gravità: Media

Verificare che l'autenticazione a più fattori (MFA) sia abilitata per tutti gli utenti IAM con una password della console

Descrizione: L'autenticazione a più fattori (MFA) aggiunge un ulteriore livello di protezione su un nome utente e una password. Con l'autenticazione a più fattori abilitata, quando un utente accede a un sito Web AWS, verrà richiesto il nome utente e la password, nonché un codice di autenticazione dal dispositivo AWS MFA. È consigliabile abilitare l'autenticazione a più fattori per tutti gli account con una password della console. L'abilitazione dell'autenticazione a più fattori garantisce una maggiore sicurezza per l'accesso alla console perché richiede che l'entità di autenticazione disponga di un dispositivo che genera una chiave sensibile al tempo e che abbia una conoscenza di una credenziale.

Gravità: Media

Il controllo di accesso con granularità fine deve essere abilitato nei domini del servizio OpenSearch

Description: Defender per il cloud identificati domini del servizio OpenSearch che non dispongono di un controllo di accesso con granularità fine abilitato. Senza un controllo di accesso con granularità fine, le autorizzazioni di accesso possono essere eccessivamente ampie, consentendo agli utenti autenticati di accedere o modificare i dati oltre l'ambito previsto, aumentando il rischio di accesso non autorizzato ai dati. (Nessun criterio correlato)

Gravità: Media

GuardDuty deve essere abilitato

Descrizione: per fornire protezione aggiuntiva dalle intrusioni, GuardDuty deve essere abilitato nell'account AWS e nell'area.

GuardDuty potrebbe non essere una soluzione completa per ogni ambiente.

Gravità: Media

L'autenticazione a più fattori hardware deve essere abilitata per l'account "radice"

Descrizione: l'account radice è l'utente con privilegi più elevati in un account. L'autenticazione a più fattori aggiunge un ulteriore livello di protezione su un nome utente e una password. Con l'autenticazione a più fattori abilitata, quando un utente accede a un sito Web AWS, viene richiesto il nome utente e la password e un codice di autenticazione dal dispositivo AWS MFA. Per il livello 2, è consigliabile proteggere l'account radice con un'autenticazione a più fattori hardware. Un'autenticazione a più fattori hardware ha una superficie di attacco inferiore rispetto a un'autenticazione a più fattori virtuale. Ad esempio, un'autenticazione a più fattori hardware non subisce la superficie di attacco introdotta dallo smartphone mobile su cui risiede una MFA virtuale. Quando si usa l'hardware per l'autenticazione a più fattori per molti account, molti account potrebbero creare un problema di gestione logistica dei dispositivi. In questo caso, è consigliabile implementare questa raccomandazione di livello 2 in modo selettivo per gli account di sicurezza più elevati. È quindi possibile applicare la raccomandazione di livello 1 agli account rimanenti.

Gravità: bassa

L'autenticazione IAM deve essere configurata per i cluster Servizi Desktop remoto

Descrizione: questo controllo controlla se un cluster di database Desktop remoto dispone dell'autenticazione del database IAM abilitata. L'autenticazione del database IAM consente l'autenticazione senza password alle istanze del database. L'autenticazione usa un token di autenticazione. Il traffico di rete da e verso il database viene crittografato tramite SSL. Per altre informazioni, vedere Autenticazione del database IAM nella Guida dell'utente di Amazon Aurora.

Gravità: Media

L'autenticazione IAM deve essere configurata per le istanze di Servizi Desktop remoto

Descrizione: questo controllo controlla se per un'istanza del database Servizi Desktop remoto è abilitata l'autenticazione del database IAM. L'autenticazione del database IAM consente l'autenticazione alle istanze del database con un token di autenticazione anziché una password. Il traffico di rete da e verso il database viene crittografato tramite SSL. Per altre informazioni, vedere Autenticazione del database IAM nella Guida dell'utente di Amazon Aurora.

Gravità: Media

I criteri gestiti dai clienti IAM non devono consentire azioni di decrittografia in tutte le chiavi del Servizio di gestione delle chiavi

Descrizione: controlla se la versione predefinita dei criteri gestiti dai clienti IAM consente alle entità di usare le azioni di decrittografia del Servizio di gestione delle chiavi AWS su tutte le risorse. Questo controllo usa Zelkova, un motore di ragionamento automatizzato, per convalidare e avvisare l'utente sui criteri che potrebbero concedere l'accesso ampio ai segreti tra gli account AWS. Questo controllo ha esito negativo se le azioni "kms: Decrypt" o "kms: ReEncryptFrom" sono consentite in tutte le chiavi del Servizio di gestione delle chiavi. Il controllo valuta sia i criteri gestiti dai clienti collegati che non collegati. Non controlla i criteri inline o i criteri gestiti da AWS. Con AWS KMS è possibile controllare chi può usare le chiavi del Servizio di gestione delle chiavi e ottenere l'accesso ai dati crittografati. I criteri IAM definiscono le azioni che possono essere eseguite da un'identità (utente, gruppo o ruolo) su quali risorse. Seguendo le procedure consigliate per la sicurezza, AWS consiglia di consentire privilegi minimi. In altre parole, è necessario concedere alle identità solo le autorizzazioni "kms:Decrypt" o "kms:ReEncryptFrom" e solo per le chiavi necessarie per eseguire un'attività. In caso contrario, l'utente potrebbe usare chiavi non appropriate per i dati. Invece di concedere autorizzazioni per tutte le chiavi, determinare il set minimo di chiavi che gli utenti devono accedere ai dati crittografati. Progettare quindi criteri che consentono agli utenti di usare solo tali chiavi. Ad esempio, non consentire l'autorizzazione "kms: Decrypt" per tutte le chiavi del Servizio di gestione delle chiavi. Consentire invece "kms: Decrypt" solo per le chiavi in una determinata area geografica per l'account. Adottando il principio dei privilegi minimi, è possibile ridurre il rischio di divulgazione involontaria dei dati.

Gravità: Media

I criteri gestiti dai clienti IAM creati non devono consentire azioni con caratteri jolly per i servizi

Descrizione: questo controllo controlla se i criteri basati sull'identità IAM creati dispongono di istruzioni Allow che usano il carattere jolly * per concedere le autorizzazioni per tutte le azioni in qualsiasi servizio. Il controllo ha esito negativo se un'istruzione dei criteri include 'Effect': 'Allow' with 'Action': 'Service:*'. Ad esempio, l'istruzione seguente in un criterio genera una ricerca non riuscita.

'Statement': [
{
  'Sid': 'EC2-Wildcard',
  'Effect': 'Allow',
  'Action': 'ec2:*',
  'Resource': '*'
}

Il controllo ha esito negativo anche se si usa 'Effect': 'Allow' con 'NotAction': 'service:'. In tal caso, l'elemento NotAction fornisce l'accesso a tutte le azioni in un servizio AWS, ad eccezione delle azioni specificate in NotAction. Questo controllo si applica solo ai criteri IAM gestiti dal cliente. Non si applica ai criteri IAM gestiti da AWS. Quando si assegnano autorizzazioni ai servizi AWS, è importante definire l'ambito delle azioni IAM consentite nei criteri IAM. È consigliabile limitare le azioni IAM solo a quelle azioni necessarie. In questo modo è possibile effettuare il provisioning delle autorizzazioni con privilegi minimi. I criteri eccessivamente permissivi possono causare l'escalation dei privilegi se i criteri sono associati a un'entità IAM che potrebbe non richiedere l'autorizzazione. In alcuni casi, è possibile consentire azioni IAM con un prefisso simile, ad esempio DescribeFlowLogs e DescribeAvailabilityZones. In questi casi autorizzati è possibile aggiungere un carattere jolly suffisso al prefisso comune. Ad esempio, ec2:Describe.

Questo controllo passa se si usa un'azione IAM con prefisso con un carattere jolly suffisso. Ad esempio, l'istruzione seguente in un criterio genera una ricerca passata.

 'Statement': [
{
  'Sid': 'EC2-Wildcard',
  'Effect': 'Allow',
  'Action': 'ec2:Describe*',
  'Resource': '*'
}

Quando si raggruppano le azioni IAM correlate in questo modo, è anche possibile evitare di superare i limiti delle dimensioni dei criteri IAM.

Gravità: bassa

L'autenticazione del database IAM deve essere abilitata nel cluster di database

Descrizione: Defender per il cloud rilevato che l'autenticazione del database IAM è disabilitata nel cluster di database. Questa funzionalità usa le credenziali di AWS Identity and Access Management (IAM) per autenticare centralmente l'accesso nell'intero cluster di database. Senza di esso, il cluster si basa sulle credenziali tradizionali del database, aumentando il rischio di accessi non autorizzati e configurazioni errate che potrebbero causare violazioni dei dati.

Gravità: Media

I criteri IAM devono essere associati solo a gruppi o ruoli

Descrizione: per impostazione predefinita, gli utenti, i gruppi e i ruoli IAM non hanno accesso alle risorse AWS. I criteri IAM sono i mezzi con cui vengono concessi privilegi a utenti, gruppi o ruoli. È consigliabile applicare i criteri IAM direttamente a gruppi e ruoli, ma non agli utenti. L'assegnazione di privilegi a livello di gruppo o di ruolo riduce la complessità della gestione degli accessi man mano che il numero di utenti aumenta. La riduzione della complessità della gestione degli accessi potrebbe anche ridurre l'opportunità per un'entità di ricevere o conservare inavvertitamente privilegi eccessivi.

Gravità: bassa

I criteri IAM che consentono privilegi amministrativi completi ":" non devono essere creati

Descrizione: i criteri IAM sono i mezzi con cui vengono concessi privilegi a utenti, gruppi o ruoli. È consigliabile e considerato un consiglio di sicurezza standard per concedere privilegi minimi, ovvero concedere solo le autorizzazioni necessarie per eseguire un'attività. Determinare cosa devono fare gli utenti e quindi creare criteri per loro che consentono agli utenti di eseguire solo tali attività, invece di consentire privilegi amministrativi completi. È più sicuro iniziare con un set minimo di autorizzazioni e concedere autorizzazioni aggiuntive in base alle esigenze, anziché iniziare con le autorizzazioni troppo lenienti e quindi tentare di restringerle in un secondo momento. Fornire privilegi amministrativi completi invece di limitare al set minimo di autorizzazioni che l'utente deve eseguire espone le risorse a azioni potenzialmente indesiderate. Criteri IAM con un'istruzione con "Effect": "Allow" con "Action": "" su "Resource": "" deve essere rimosso.

Gravità: Alta

Le entità IAM non devono avere criteri inline IAM che consentono azioni di decrittografia in tutte le chiavi del Servizio di gestione delle chiavi

Descrizione: controlla se i criteri inline incorporati nelle identità IAM (ruolo, utente o gruppo) consentono le azioni di decrittografia del Servizio di gestione delle chiavi aws in tutte le chiavi del Servizio di gestione delle chiavi. Questo controllo usa Zelkova, un motore di ragionamento automatizzato, per convalidare e avvisare l'utente sui criteri che potrebbero concedere l'accesso ampio ai segreti tra gli account AWS. Questo controllo ha esito negativo se kms:Decrypt o kms:ReEncryptFrom le azioni sono consentite in tutte le chiavi del Servizio di gestione delle chiavi in un criterio inline. Con AWS KMS è possibile controllare chi può usare le chiavi del Servizio di gestione delle chiavi e ottenere l'accesso ai dati crittografati. I criteri IAM definiscono le azioni che possono essere eseguite da un'identità (utente, gruppo o ruolo) su quali risorse. Seguendo le procedure consigliate per la sicurezza, AWS consiglia di consentire privilegi minimi. In altre parole, è necessario concedere alle identità solo le autorizzazioni necessarie e solo per le chiavi necessarie per eseguire un'attività. In caso contrario, l'utente potrebbe usare chiavi non appropriate per i dati. Anziché concedere l'autorizzazione per tutte le chiavi, determinare il set minimo di chiavi che gli utenti devono accedere ai dati crittografati. Progettare quindi i criteri che consentono agli utenti di usare solo tali chiavi. Ad esempio, non consentire kms:Decrypt l'autorizzazione per tutte le chiavi del Servizio di gestione delle chiavi. Consentire invece solo le chiavi in una determinata area geografica per l'account. Adottando il principio dei privilegi minimi, è possibile ridurre il rischio di divulgazione involontaria dei dati.

Gravità: Media

IMDSv2 deve essere configurato nei gruppi di ridimensionamento automatico

Description: Defender per il cloud identificato che la versione 2 del servizio metadati dell'istanza (IMDSv2) non viene applicata per un gruppo di scalabilità automatica. Ciò comporta un rischio di furto di credenziali tramite attacchi Server-Side richiesta di falsificazione (SSRF). IMDSv2 richiede token orientati alla sessione per accedere ai metadati dell'istanza, che attenua gli attacchi SSRF che potrebbero essere usati per rubare le credenziali del ruolo IAM dalle istanze EC2.

Gravità: Alta

L'autenticazione Kerberos deve essere abilitata nei cluster EMR

Descrizione: Defender per il cloud cluster EMR identificati che non dispongono dell'autenticazione Kerberos abilitata. L'assenza di autenticazione Kerberos riduce la possibilità di verificare e attribuire in modo affidabile l'attività dell'utente nei servizi distribuiti nel cluster. Ciò riduce la garanzia di autenticazione, il non ripudio e l'integrità del controllo e può aumentare il rischio di accesso non autorizzato tramite la rappresentazione dell'utente.

Gravità: Media

Le funzioni lambda devono limitare l'accesso pubblico

Descrizione: i criteri basati sulle risorse delle funzioni lambda devono limitare l'accesso pubblico. Questa raccomandazione non controlla l'accesso da parte delle entità interne. Assicurarsi che l'accesso alla funzione sia limitato alle entità autorizzate solo usando criteri basati su risorse con privilegi minimi.

Gravità: Alta

L'autenticazione a più fattori deve essere abilitata per tutti gli utenti IAM

Descrizione: tutti gli utenti IAM devono avere l'autenticazione a più fattori abilitata.

Gravità: Media

L'autenticazione a più fattori deve essere abilitata per l'account "radice"

Descrizione: l'account radice è l'utente con privilegi più elevati in un account. L'autenticazione a più fattori aggiunge un ulteriore livello di protezione su un nome utente e una password. Con l'autenticazione a più fattori abilitata, quando un utente accede a un sito Web AWS, viene richiesto il nome utente e la password e un codice di autenticazione dal dispositivo AWS MFA. Quando si usa l'autenticazione a più fattori virtuale per gli account radice, è consigliabile che il dispositivo usato non sia un dispositivo personale. Usa invece un dispositivo mobile dedicato (tablet o telefono) che gestisci per mantenere i costi e proteggere indipendentemente dai singoli dispositivi personali. Ciò riduce i rischi di perdere l'accesso all'autenticazione a più fattori a causa della perdita di dispositivi, del commercio dei dispositivi o se il proprietario del dispositivo non è più impiegato nell'azienda.

Gravità: bassa

L'autenticazione a più fattori deve essere applicata ai pool di utenti Cognito

Description: Defender per il cloud rilevato che Multi-Factor Authentication (MFA) non viene applicato al pool di utenti Cognito. L'autenticazione a più fattori richiede agli utenti di fornire una seconda forma di autenticazione oltre la password. Ciò comporta un rischio di compromissione dell'account tramite attacchi di phishing e inserimento delle credenziali.

Gravità: Alta

I tag oggetto devono essere mantenuti durante il trasferimento nelle attività DataSync

Description: Defender per il cloud identificato un'attività DataSync che trasferisce i dati tra le posizioni di Amazon S3 configurate per eliminare i tag degli oggetti S3. I tag oggetto applicano i limiti di accesso tramite chiavi di criteri IAM e bucket basate su tag (ad esempio s3:ExistingObjectTag) e determinano i flussi di lavoro relativi al ciclo di vita e alla conformità. Ciò comporta un rischio di concessioni di accesso impreviste o di accessi autorizzati interrotti quando i criteri di Attribute-Based Controllo di accesso (ABAC) non possono valutare i tag mancanti nella destinazione.

Gravità: bassa

I criteri password per gli utenti IAM devono avere configurazioni complesse

Descrizione: controlla se i criteri password dell'account per gli utenti IAM usano le configurazioni minime seguenti.

RequireUppercaseCharacters: richiedere almeno un carattere maiuscolo nella password. (Impostazione predefinita = true)
RequireLowercaseCharacters: richiede almeno un carattere minuscolo nella password. (Impostazione predefinita = true)
RequireNumbers- Richiedi almeno un numero di password. (Impostazione predefinita = true)
MinimumPasswordLength- Lunghezza minima password. (Impostazione predefinita = 7 o più)
PasswordReusePrevention- Numero di password prima di consentire il riutilizzo. (Impostazione predefinita = 4)
MaxPasswordAge- Numero di giorni prima della scadenza della password. (Impostazione predefinita = 90)

Gravità: Media

Il controllo di accesso alle query per utente deve essere configurato sugli indici Amazon Kendra

Description: Defender per il cloud identificati indici Amazon Kendra che non dispongono del controllo degli accessi utente basato su token configurato. Senza UserContextPolicy impostato su USER_TOKEN con una configurazione token valida, l'indice non può convalidare crittograficamente l'identità del chiamante, aumentando il rischio di recupero di dati non autorizzati in cui tutti i documenti possono essere restituiti a qualsiasi chiamante con autorizzazione kendra:Query indipendentemente dagli ACL a livello di documento.

Gravità: bassa

Le autorizzazioni delle identità inattive nel tuo account AWS devono essere revocate.

Descrizione: Microsoft Defender per il cloud individuato un'identità che non ha eseguito alcuna azione su alcuna risorsa all'interno dell'account AWS negli ultimi 45 giorni. È consigliabile revocare le autorizzazioni delle identità inattive per ridurre la superficie di attacco dell'ambiente cloud.

Gravità: Media

Le autorizzazioni POSIX devono essere mantenute durante il trasferimento nelle attività DataSync

Description: Defender per il cloud identificato un'attività DataSync che trasferisce i dati in un file system POSIX (ad esempio Amazon EFS o NFS) configurato per annullare le autorizzazioni dei file POSIX. Le autorizzazioni POSIX (lettura, scrittura, esecuzione per proprietario, gruppo e altri) sono il meccanismo di controllo di accesso principale nei file system compatibili con Linux e POSIX. Ciò comporta un rischio di esposizione dei dati sensibili agli utenti non autorizzati quando i file di destinazione ereditano impostazioni predefinite eccessivamente permissive anziché le autorizzazioni originali.

Gravità: Media

La proprietà dell'utente e del gruppo POSIX deve essere mantenuta durante il trasferimento nelle attività DataSync

Description: Defender per il cloud identificato un'attività DataSync che trasferisce i dati a una destinazione conforme a POSIX (ad esempio Amazon EFS o NFS) configurata per eliminare i metadati ID utente (UID) e ID gruppo (GID). Questi attributi applicano i limiti di accesso. Se rimosso, ai file può essere assegnato un proprietario predefinito. Ciò comporta un rischio di escalation dei privilegi o interruzione del servizio quando gli utenti legittimi perdono l'accesso.

Gravità: Media

La chiave di accesso dell'account radice non deve esistere

Descrizione: l'account radice è l'utente con privilegi più elevati in un account AWS. Le chiavi di accesso AWS forniscono l'accesso a livello di codice a un determinato account AWS. È consigliabile rimuovere tutte le chiavi di accesso associate all'account radice. Rimozione delle chiavi di accesso associate ai vettori di limiti dell'account radice tramite cui l'account può essere compromesso. Inoltre, la rimozione delle chiavi di accesso radice incoraggia la creazione e l'uso di account basati su ruoli con privilegi minimi.

Gravità: Alta

L'impostazione Blocca accesso pubblico S3 deve essere abilitata

Descrizione: l'abilitazione dell'impostazione Blocca accesso pubblico per il bucket S3 consente di evitare perdite di dati sensibili e proteggere il bucket da azioni dannose.

Gravità: Media

L'impostazione Blocca accesso pubblico S3 deve essere abilitata a livello di bucket

Descrizione: questo controllo controlla se i bucket S3 hanno blocchi di accesso pubblico a livello di bucket applicati. Questo controllo ha esito negativo se una delle impostazioni seguenti è impostata su false:

ignorePublicAcls
blockPublicPolicy
blockPublicAcls
restrictPublicBuckets Blocca l'accesso pubblico a livello di bucket S3 fornisce controlli per garantire che gli oggetti non abbiano accesso pubblico. L'accesso pubblico viene concesso a bucket e oggetti tramite elenchi di controllo di accesso (ACL), criteri bucket o entrambi. A meno che non si intenda avere i bucket S3 accessibili pubblicamente, è necessario configurare la funzionalità di accesso pubblico a livello di bucket Amazon S3 Block Public Access.

Gravità: Alta

L'accesso in lettura pubblico ai bucket S3 deve essere rimosso

Descrizione: la rimozione dell'accesso in lettura pubblico al bucket S3 consente di proteggere i dati e prevenire una violazione dei dati.

Gravità: Alta

L'accesso pubblico ai bucket S3 deve essere rimosso

Descrizione: consentire l'accesso in scrittura pubblico al bucket S3 può lasciare vulnerabile a azioni dannose, ad esempio l'archiviazione dei dati a spese, la crittografia dei file per il riscatto o l'uso del bucket per gestire il malware.

Gravità: Alta

I segreti di Secrets Manager devono avere la rotazione automatica abilitata

Descrizione: questo controllo controlla se un segreto archiviato in AWS Secrets Manager è configurato con rotazione automatica. Secrets Manager consente di migliorare il comportamento di sicurezza dell'organizzazione. I segreti includono credenziali del database, password e chiavi API di terze parti. È possibile usare Secrets Manager per archiviare i segreti in modo centralizzato, crittografare automaticamente i segreti, controllare l'accesso ai segreti e ruotare i segreti in modo sicuro e automatico. Secrets Manager può ruotare i segreti. È possibile usare la rotazione per sostituire i segreti a lungo termine con quelli a breve termine. La rotazione dei segreti limita per quanto tempo un utente non autorizzato può usare un segreto compromesso. Per questo motivo, è consigliabile ruotare frequentemente i segreti. Per altre informazioni sulla rotazione, vedere Rotazione dei segreti di AWS Secrets Manager nella Guida dell'utente di AWS Secrets Manager.

Gravità: Media

La strategia di autenticazione sicura deve essere configurata nei broker Amazon MQ

Description: Defender per il cloud identificati broker Amazon MQ che usano una strategia di autenticazione debole. Ciò comporta un rischio di accesso non autorizzato al broker. L'uso di metodi di autenticazione più deboli, ad esempio l'autenticazione SIMPLE, aumenta il rischio di accesso non autorizzato. I meccanismi di autenticazione più avanzati, ad esempio LDAP o l'autenticazione gestita centralmente, consentono di migliorare il controllo di accesso e la sicurezza.

Gravità: Media

Le modalità di autorizzazione sicura devono essere configurate nelle API AppSync

Description: Defender per il cloud identificato che l'API AWS AppSync si basa su API_KEY come modalità di autorizzazione senza un provider sicuro basato su identità, ad esempio AWS_IAM, pool di utenti Amazon Cognito o OpenID Connect. Ciò comporta un rischio di accesso non autorizzato, poiché le chiavi API vengono facilmente perse e mancano del contesto di identità.

Gravità: Alta

Description: Defender per il cloud identificato uno stack di Applicazioni WorkSpaces (AppStream) in cui l'accesso tramite smart card è disabilitato. Ciò comporta un rischio di accesso non autorizzato, perché gli utenti possono eseguire l'autenticazione usando metodi più deboli anziché l'autenticazione tramite smart card a più fattori. L'abilitazione dell'accesso tramite smart card per Active Directory consente di garantire che solo gli utenti con smart card autorizzate possano accedere alle applicazioni all'interno dello stack.

Gravità: Media

I descrittori di sicurezza SMB devono essere mantenuti durante i trasferimenti da Windows a Windows nelle attività DataSync

Description: Defender per il cloud identificato un'attività DataSync che trasferisce dati tra Windows file system (ad esempio Amazon FSx per Windows File Server) configurata per eliminare i descrittori di sicurezza SMB (DACL e informazioni sul proprietario). Le licenze DACL definiscono quali utenti e gruppi possono accedere a file e cartelle. Quando i descrittori vengono rimossi, i file di destinazione ereditano le autorizzazioni NTFS predefinite. Ciò comporta un rischio di accesso più ampio rispetto al previsto e alla perdita del controllo basato su SACL.

Gravità: Media

Le chiavi di accesso non aggiornati devono essere ruotate per gli utenti IAM

Descrizione: Defender per il cloud ha identificato chiavi di accesso primarie non aggiornati negli utenti IAM. Le chiavi non aggiornate sono quelle che non sono state ruotate entro il periodo di 90 giorni consigliato. Il loro uso continuo comporta un rischio aumentando la possibilità di accesso non autorizzato se vengono compromessi. Gli utenti malintenzionati che sfruttano queste credenziali obsolete possono potenzialmente violare i sistemi sensibili e causare la perdita di dati, rendendo essenziale la rotazione regolare delle chiavi per mantenere una sicurezza affidabile.

Gravità: Media

Le istanze EC2 arrestate devono essere rimosse dopo un periodo di tempo specificato

Descrizione: questo controllo controlla se le istanze EC2 sono state arrestate per più del numero di giorni consentito. Un'istanza EC2 ha esito negativo per verificare se è stata arrestata per più tempo del periodo di tempo massimo consentito, che per impostazione predefinita è 30 giorni. Una ricerca non riuscita indica che un'istanza EC2 non è stata eseguita per un periodo di tempo significativo. In questo modo si crea un rischio per la sicurezza perché l'istanza EC2 non viene gestita attivamente (analizzata, sottoposta a patch e aggiornata). Se viene avviato in un secondo momento, la mancanza di manutenzione appropriata potrebbe causare problemi imprevisti nell'ambiente AWS. Per mantenere in modo sicuro un'istanza EC2 nel tempo in uno stato di non esecuzione, avviarla periodicamente per la manutenzione e quindi arrestarla dopo la manutenzione. Idealmente si tratta di un processo automatizzato.

Gravità: Media

I criteri password sicuri devono essere applicati ai pool di utenti Cognito

Description: Defender per il cloud identificato che il pool di utenti Cognito non applica criteri password sicuri. Un criterio sicuro che richiede una lunghezza minima di 12 caratteri con caratteri maiuscoli, minuscoli, numeri e simboli protegge da attacchi di forza bruta e dizionario. Ciò comporta un rischio di compromissione dell'account da password deboli.

Gravità: Media

La protezione dalle minacce deve essere abilitata nei pool di utenti Cognito

Description: Defender per il cloud identificato un pool di utenti Cognito senza la protezione dalle minacce abilitata. Ciò comporta un rischio di tentativi di accesso sospetti e credenziali compromesse non rilevate. La protezione dalle minacce fornisce l'autenticazione adattiva basata sul rischio che rileva e risponde alle credenziali compromesse, al contenuto delle credenziali e ai modelli di accesso anomali.

Gravità: Media

La rotazione tempestiva delle password deve essere abilitata per gli utenti IAM

Descrizione: Defender per il cloud ha rilevato che la rotazione delle password non viene applicata agli account utente IAM. Gli utenti IAM sono singoli account usati per accedere alle risorse cloud e senza aggiornare le password ogni 90 giorni, le credenziali compromesse possono rimanere valide per un periodo illimitato. Ciò può causare accessi non autorizzati e violazioni dei dati, poiché gli utenti malintenzionati ottengono l'opportunità estesa di sfruttare le password non aggiornati.

Gravità: Media

Le condizioni di ambito dei criteri di attendibilità devono essere applicate ai ruoli IAM non autenticati per Amazon Cognito Identity Pool

Description: Defender per il cloud rilevato che i criteri di attendibilità dei ruoli IAM non autenticati per il pool di identità Amazon Cognito mancano le condizioni di ambito necessarie. I criteri di attendibilità devono includere sia una condizione di destinatari (aud) che limita il ruolo a un pool di identità specifico e a una condizione del metodo di autenticazione (amr) che limita l'ipotesi alle identità non autenticate. Senza queste condizioni, le entità non intenzionali potrebbero assumere il ruolo, causando l'escalation dei privilegi e l'accesso non autorizzato alle risorse.

Gravità: Alta

L'accesso non autenticato deve essere disabilitato nei cluster Amazon MSK

Description: Defender per il cloud identificato che i cluster Amazon MSK consentono l'accesso client non autenticato. Ciò comporta un rischio di violazioni dei dati, perdita di dati o consumo di risorse non autorizzate, in quanto qualsiasi client con raggiungibilità di rete può leggere o scrivere in argomenti senza autenticazione. (Nessun criterio correlato)

Gravità: Alta

Le chiavi di accesso inutilizzate devono essere disabilitate per gli utenti IAM

Descrizione: Defender per il cloud ha identificato le chiavi di accesso primarie non usate negli utenti IAM. Le chiavi di accesso consentono l'accesso a livello di codice alle risorse AWS e le chiavi inutilizzate rimangono attive e rappresentano un rischio potenziale se compromesse da utenti malintenzionati. L'uso non autorizzato di chiavi attive e inutilizzate potrebbe causare modifiche impreviste o violazioni dei dati nell'ambiente in uso. La disabilitazione di queste chiavi riduce la superficie di attacco e migliora il comportamento di sicurezza complessivo.

Gravità: Media

Le identità inutilizzate nell'ambiente AWS devono essere rimosse

Descrizione: le identità inattive sono entità umane e non umane che non hanno eseguito alcuna azione su alcuna risorsa negli ultimi 90 giorni. Le identità IAM inattive con autorizzazioni ad alto rischio nell'account AWS possono essere soggette ad attacchi se lasciati così come sono e lasciare le organizzazioni aperte all'uso improprio o allo sfruttamento delle credenziali. Il rilevamento proattivo e la risposta alle identità inutilizzate consentono di impedire alle entità non autorizzate di accedere alle risorse AWS.

Gravità: Media

Le password inutilizzate devono essere disabilitate per gli utenti IAM

Descrizione: Defender per il cloud ha identificato gli utenti IAM con password attive ma inutilizzate in AWS Identity and Access Management (IAM). Le password inutilizzate sono credenziali che rimangono abilitate nonostante non vengano usate di recente, che possono fornire un punto di ingresso sfruttabile per gli utenti malintenzionati. Tali credenziali inattive possono essere sfruttate in scenari di accesso non autorizzato, aumentando il rischio di violazioni dei dati e altre attività dannose. La disabilitazione di queste password è consigliata per rafforzare la sicurezza dell'account AWS.

Gravità: Media

Le entità con caratteri jolly devono essere rimosse dai criteri di attendibilità dei ruoli IAM del pool di identità Amazon Cognito

Description: Defender per il cloud identificati ruoli IAM associati ai pool di identità Amazon Cognito che usano entità con caratteri jolly nei criteri di attendibilità. Le entità con caratteri jolly sono voci, ad esempio "" o "AWS":", che consentono a qualsiasi entità AWS o identità federata di assumere il ruolo. Ciò impone un rischio di presupposto e escalation di ruoli non autorizzati ignorando l'isolamento dell'identità applicato da Cognito.

Gravità: Alta

Raccomandazioni per l'identità e l'accesso GCP

Le chiavi crittografiche non devono avere più di tre utenti

Descrizione: questa raccomandazione valuta i criteri IAM per gli anelli chiave, progetti e organizzazioni e recupera le entità con ruoli che consentono di crittografare, decrittografare o firmare i dati usando chiavi del Servizio di gestione delle chiavi cloud: ruoli/proprietario, ruoli/cloudkms.cryptoKeyEncrypterDecrypter, ruoli/cloudkms.cryptoKeyEncrypter, ruoli/cloudkms.cryptoKeyDecrypter, ruoli/cloudkms.signer e ruoli/cloudkms.signerVerifier.

Gravità: Media

Verificare che le chiavi API non vengano create per un progetto

Descrizione: le chiavi non sono sicure perché possono essere visualizzate pubblicamente, ad esempio dall'interno di un browser o accessibili in un dispositivo in cui risiede la chiave. È consigliabile usare invece il flusso di autenticazione standard.

Di seguito sono riportati i rischi per la sicurezza coinvolti nell'uso delle chiavi API:

Le chiavi API sono stringhe crittografate semplici
Le chiavi API non identificano l'utente o l'applicazione che effettua la richiesta API
Le chiavi API sono in genere accessibili ai client, semplificando l'individuazione e il furto di una chiave API

Per evitare il rischio di sicurezza nell'uso delle chiavi API, è consigliabile usare invece il flusso di autenticazione standard.

Gravità: Alta

Assicurarsi che le chiavi API siano limitate solo alle API necessarie per l'accesso all'applicazione

Descrizione: le chiavi API non sono sicure perché possono essere visualizzate pubblicamente, ad esempio dall'interno di un browser o accessibili in un dispositivo in cui risiede la chiave. È consigliabile limitare le chiavi API per usare (chiamare) solo le API richieste da un'applicazione.

Di seguito sono riportati i rischi per la sicurezza coinvolti nell'uso delle chiavi API:

Le chiavi API sono stringhe crittografate semplici
Le chiavi API non identificano l'utente o l'applicazione che effettua la richiesta API
Le chiavi API sono in genere accessibili ai client, semplificando l'individuazione e il furto di una chiave API

Alla luce di questi potenziali rischi, Google consiglia di usare il flusso di autenticazione standard anziché le chiavi API. Esistono tuttavia casi limitati in cui le chiavi API sono più appropriate. Ad esempio, se è presente un'applicazione per dispositivi mobili che deve usare l'API Google Cloud Translation, ma non ha bisogno di un server back-end, le chiavi API sono il modo più semplice per eseguire l'autenticazione a tale API.

Per ridurre le superfici di attacco fornendo privilegi minimi, le chiavi API possono essere limitate all'uso (chiamata) solo delle API richieste da un'applicazione.

Gravità: Alta

Assicurarsi che le chiavi API siano limitate all'uso solo da host e app specificati

Descrizione: le chiavi senza restrizioni non sono sicure perché possono essere visualizzate pubblicamente, ad esempio dall'interno di un browser o accessibili in un dispositivo in cui risiede la chiave. È consigliabile limitare l'utilizzo delle chiavi API a host attendibili, referrer HTTP e app.

Di seguito sono riportati i rischi per la sicurezza coinvolti nell'uso delle chiavi API:

Le chiavi API sono stringhe crittografate semplici
Le chiavi API non identificano l'utente o l'applicazione che effettua la richiesta API
Le chiavi API sono in genere accessibili ai client, semplificando l'individuazione e il furto di una chiave API

Per ridurre i vettori di attacco, le chiavi API possono essere limitate solo a host attendibili, referrer HTTP e applicazioni.

Gravità: Alta

Verificare che le chiavi API vengano ruotate ogni 90 giorni

Descrizione: è consigliabile ruotare le chiavi API ogni 90 giorni.

Di seguito sono elencati i rischi per la sicurezza coinvolti nell'uso delle chiavi API:

Le chiavi API sono stringhe crittografate semplici
Le chiavi API non identificano l'utente o l'applicazione che effettua la richiesta API
Le chiavi API sono in genere accessibili ai client, semplificando l'individuazione e il furto di una chiave API

A causa di questi potenziali rischi, Google consiglia di usare il flusso di autenticazione standard anziché le chiavi API. Esistono tuttavia casi limitati in cui le chiavi API sono più appropriate. Ad esempio, se è presente un'applicazione per dispositivi mobili che deve usare l'API Google Cloud Translation, ma non ha bisogno di un server back-end, le chiavi API sono il modo più semplice per eseguire l'autenticazione a tale API.

Una volta rubata una chiave, non ha scadenza, ovvero può essere usata per un periodo illimitato, a meno che il proprietario del progetto non revoca o rigenera la chiave. La rotazione delle chiavi API ridurrà la finestra di opportunità per l'uso di una chiave di accesso associata a un account compromesso o terminato.

Le chiavi API devono essere ruotate per garantire che non sia possibile accedere ai dati con una chiave precedente che potrebbe essere stata persa, interrotta o rubata.

Gravità: Alta

Verificare che le chiavi di crittografia del Servizio di gestione delle chiavi vengano ruotate entro un periodo di 90 giorni

Descrizione: Google Cloud Servizio di gestione delle chiavi archivia le chiavi crittografiche in una struttura gerarchica progettata per una gestione utile ed elegante del controllo di accesso. Il formato per la pianificazione della rotazione dipende dalla libreria client usata. Per lo strumento da riga di comando gcloud, il tempo di rotazione successivo deve essere in formato "ISO" o "RFC3339" e il periodo di rotazione deve essere nel formato "INTEGER[UNIT]", dove le unità possono essere uno dei secondi (s), minuti (m), ore (h) o giorni (d). Impostare un periodo di rotazione delle chiavi e l'ora di inizio. È possibile creare una chiave con un "periodo di rotazione" specificato, ovvero il tempo tra il momento in cui vengono generate automaticamente nuove versioni chiave. È anche possibile creare una chiave con un'ora di rotazione successiva specificata. Una chiave è un oggetto denominato che rappresenta una "chiave crittografica" usata per uno scopo specifico. Il materiale della chiave, i bit effettivi usati per la "crittografia", possono cambiare nel tempo man mano che vengono create nuove versioni delle chiavi. Una chiave viene usata per proteggere un "corpus di dati". Una raccolta di file potrebbe essere crittografata con la stessa chiave e le persone con autorizzazioni di "decrittografia" per tale chiave sarebbero in grado di decrittografare tali file. Pertanto, è necessario assicurarsi che il "periodo di rotazione" sia impostato su un orario specifico.

Gravità: Media

Verificare che esistano avvisi e filtri delle metriche dei log per le assegnazioni/modifiche della proprietà del progetto

Descrizione: per evitare assegnazioni di proprietà del progetto non necessarie a utenti/account di servizio e altri usi impropri di progetti e risorse, è necessario monitorare tutte le assegnazioni di "ruoli/proprietario". I membri (users/Service-Accounts) con un'assegnazione di ruolo al ruolo primitivo "roles/Owner" sono proprietari del progetto. Il proprietario del progetto dispone di tutti i privilegi per il progetto a cui appartiene il ruolo. Di seguito sono riepilogati:

Tutte le autorizzazioni del visualizzatore per tutti i servizi GCP all'interno del progetto
Autorizzazioni per le azioni che modificano lo stato di tutti i servizi GCP all'interno del progetto
Gestire ruoli e autorizzazioni per un progetto e tutte le risorse all'interno del progetto
Configurare la fatturazione per un progetto La concessione del ruolo proprietario a un membro (utente/account del servizio) consentirà a tale membro di modificare i criteri di Gestione identità e accesso (IAM). Concedere quindi il ruolo proprietario solo se il membro ha uno scopo legittimo per gestire i criteri IAM. Questo perché il criterio IAM del progetto contiene dati di controllo di accesso sensibili. Avere un set minimo di utenti autorizzati a gestire i criteri IAM semplifica il controllo che potrebbe essere necessario. La proprietà del progetto ha il massimo livello di privilegi per un progetto. Per evitare l'uso improprio delle risorse del progetto, è consigliabile monitorare e avvisare i destinatari interessati per le azioni di proprietà o modifica indicate in precedenza.
Invio di inviti di proprietà del progetto
Accettazione/rifiuto dell'invito di proprietà del progetto da parte dell'utente
Aggiunta role\Owner a un account utente/servizio
Rimozione di un account utente/servizio da role\Owner

Gravità: bassa

Assicurarsi che oslogin sia abilitato per un progetto

Descrizione: l'abilitazione dell'accesso del sistema operativo associa i certificati SSH agli utenti IAM e facilita la gestione efficace dei certificati SSH. L'abilitazione di osLogin garantisce che le chiavi SSH usate per connettersi alle istanze vengano mappate agli utenti IAM. La revoca dell'accesso all'utente IAM revoca tutte le chiavi SSH associate a tale utente specifico. Facilita la gestione centralizzata e automatizzata della coppia di chiavi SSH, utile nella gestione di casi come la risposta alle coppie di chiavi SSH compromesse e/o alla revoca di utenti esterni/di terze parti/fornitori. Per scoprire quale istanza fa sì che il progetto non sia integro, vedere la raccomandazione "Assicurarsi che oslogin sia abilitato per tutte le istanze".

Gravità: Media

Assicurarsi che oslogin sia abilitato per tutte le istanze

Gravità: Media

Assicurarsi che la registrazione di controllo cloud sia configurata correttamente in tutti i servizi e tutti gli utenti di un progetto

Descrizione: è consigliabile configurare La registrazione di controllo cloud per tenere traccia di tutte le attività di amministrazione e l'accesso in lettura e scrittura ai dati utente.

La registrazione di controllo cloud gestisce due log di controllo per ogni progetto, cartella e organizzazione: attività di amministratore e accesso ai dati.

I log attività amministratore contengono voci di log per le chiamate API o altre azioni amministrative che modificano la configurazione o i metadati delle risorse.
I log di controllo dell'attività di amministrazione sono abilitati per tutti i servizi e non possono essere configurati.
I log di controllo di Accesso ai dati registrano chiamate API che creano, modificano o leggono i dati forniti dall'utente. Questi sono disabilitati per impostazione predefinita e devono essere abilitati.

Esistono tre tipi di informazioni sul log di controllo di accesso ai dati:

Lettura amministratore: registra le operazioni che leggono i metadati o le informazioni di configurazione. I log di controllo dell'attività di amministrazione registrano le scritture di metadati e informazioni di configurazione che non possono essere disabilitate.
Dati letti: registra le operazioni che leggono i dati forniti dall'utente.
Scrittura dati: registra operazioni che scrivono dati forniti dall'utente.

È consigliabile configurare una configurazione di controllo predefinita efficace in modo che:

Il tipo di log è impostato su DATA_READ (per registrare il rilevamento delle attività dell'utente) e DATA_WRITES (per registrare modifiche/manomissioni ai dati utente).
La configurazione di controllo è abilitata per tutti i servizi supportati dalla funzionalità Log di controllo di accesso ai dati.
I log devono essere acquisiti per tutti gli utenti, ovvero non esistono utenti esenti nelle sezioni di configurazione del controllo. Ciò garantisce che l'override della configurazione di controllo non sia in contrasto con il requisito.

Gravità: Media

Assicurarsi che le chiavi di crittografia del Servizio di gestione delle chiavi cloud non siano accessibili in modo anonimo o pubblico

Descrizione: è consigliabile che i criteri IAM sulle chiavi di crittografia del Servizio di gestione delle chiavi cloud limitino l'accesso anonimo e/o pubblico. La concessione delle autorizzazioni a "allUsers" o "allAuthenticatedUsers" consente a chiunque di accedere al set di dati. Tale accesso potrebbe non essere utile se i dati sensibili vengono archiviati nella posizione. In questo caso, assicurarsi che l'accesso anonimo e/o pubblico a una chiave di crittografia del Servizio di gestione delle chiavi cloud non sia consentito.

Gravità: Alta

Descrizione: usare le credenziali di accesso aziendale anziché gli account personali, ad esempio gli account Gmail. È consigliabile usare account Google aziendali completamente gestiti per aumentare la visibilità, il controllo e il controllo dell'accesso alle risorse della piattaforma cloud. Gli account Gmail basati all'esterno dell'organizzazione dell'utente, ad esempio gli account personali, non devono essere usati per scopi aziendali.

Gravità: Alta

Assicurarsi che agli utenti IAM non siano assegnati i ruoli Utente account del servizio o Creatore di token dell'account del servizio a livello di progetto

Descrizione: è consigliabile assegnare i ruoli "Account del servizio (iam.serviceAccountUser)" e "Service Account Token Creator (iam.serviceAccountTokenCreator)" a un utente per un account di servizio specifico anziché assegnare il ruolo a un utente a livello di progetto. Un account del servizio è un account Google speciale che appartiene a un'applicazione o a una macchina virtuale anziché a un singolo utente finale. Application/VM-Instance usa l'account del servizio per chiamare l'API Google del servizio in modo che gli utenti non siano direttamente coinvolti. Oltre a essere un'identità, un account del servizio è una risorsa con criteri IAM associati. Questi criteri determinano chi può usare l'account del servizio. Gli utenti con ruoli IAM per aggiornare le istanze del motore di calcolo e del motore di calcolo (ad esempio Deployer del motore di app o Amministratore dell'istanza di calcolo) possono eseguire il codice come account del servizio usati per eseguire queste istanze e ottenere indirettamente l'accesso a tutte le risorse a cui gli account del servizio hanno accesso. Analogamente, l'accesso SSH a un'istanza del motore di calcolo può anche offrire la possibilità di eseguire codice come account di istanza/servizio. In base alle esigenze aziendali, potrebbero essere configurati più account del servizio gestiti dall'utente per un progetto. La concessione dei ruoli "iam.serviceAccountUser" o "iam.serviceAserviceAccountTokenCreatorccountUser" a un utente di un progetto consente all'utente di accedere a tutti gli account di servizio nel progetto, inclusi gli account del servizio che potrebbero essere creati in futuro. Ciò può comportare l'elevazione dei privilegi usando gli account del servizio e le corrispondenti "istanze del motore di calcolo". Per implementare le procedure consigliate per i "privilegi minimi", agli utenti IAM non devono essere assegnati i ruoli "Utente account del servizio" o "Autore token account del servizio" a livello di progetto. Questi ruoli devono invece essere assegnati a un utente per un account di servizio specifico, concedendo all'utente l'accesso all'account del servizio. L'utente "Account del servizio" consente a un utente di associare un account del servizio a un servizio di processo a esecuzione prolungata, mentre il ruolo "Autore token dell'account del servizio" consente a un utente di rappresentare direttamente (o asserire) l'identità di un account del servizio.

Gravità: Media

Descrizione: è consigliabile applicare il principio "Separazione dei compiti" durante l'assegnazione dei ruoli correlati al Servizio di gestione delle chiavi agli utenti. Il ruolo IAM predefinito o predefinito "Amministratore del Servizio di gestione delle chiavi cloud" consente all'utente/identità di creare, eliminare e gestire gli account del servizio. Il ruolo Cloud KMS CryptoKey Encrypter/Decrypter IAM predefinito/predefinito consente all'utente/identità (con privilegi adeguati per le risorse interessate) di crittografare e decrittografare i dati inattivi usando una o più chiavi di crittografia. Il ruolo Cloud KMS CryptoKey Encrypter IAM predefinito/predefinito consente all'utente/identità (con privilegi adeguati per le risorse interessate) di crittografare i dati inattivi usando una o più chiavi di crittografia. Il ruolo Cloud KMS Crypto Key Decrypter IAM predefinito/predefinito consente all'utente/identità (con privilegi adeguati per le risorse interessate) di decrittografare i dati inattivi usando una o più chiavi di crittografia. La separazione dei compiti è il concetto di garantire che un individuo non disponga di tutte le autorizzazioni necessarie per poter completare un'azione dannosa. Nel Servizio di gestione delle chiavi cloud potrebbe trattarsi di un'azione come l'uso di una chiave per accedere e decrittografare i dati a cui un utente normalmente non dovrebbe avere accesso. La separazione dei compiti è un controllo aziendale usato in genere in organizzazioni di grandi dimensioni, progettato per evitare incidenti ed errori di sicurezza o privacy. È considerata una procedura consigliata. Nessun utente deve avere l'amministratore del Servizio di gestione delle chiavi cloud e uno qualsiasi Cloud KMS CryptoKey Encrypter/Decrypterdei ruoli , Cloud KMS CryptoKey Encrypter, Cloud KMS CryptoKey Decrypter assegnati contemporaneamente.

Gravità: Alta

Descrizione: è consigliabile applicare il principio "Separazione dei compiti" durante l'assegnazione di ruoli correlati all'account del servizio agli utenti. Il ruolo IAM predefinito o predefinito "Amministratore account del servizio" consente all'utente/identità di creare, eliminare e gestire gli account del servizio. Il ruolo IAM predefinito o predefinito "Utente account del servizio" consente all'utente/identità (con privilegi adeguati per calcolo e motore di app) di assegnare account di servizio alle app/istanze di calcolo. La separazione dei compiti è il concetto di garantire che un individuo non disponga di tutte le autorizzazioni necessarie per poter completare un'azione dannosa. In Cloud IAM - Account del servizio potrebbe trattarsi di un'azione come l'uso di un account del servizio per accedere alle risorse a cui l'utente normalmente non deve avere accesso. La separazione dei compiti è un controllo aziendale usato in genere in organizzazioni di grandi dimensioni, progettato per evitare incidenti ed errori di sicurezza o privacy. È considerata una procedura consigliata. Nessun utente deve avere ruoli "Amministratore account del servizio" e "Utente account del servizio" assegnati contemporaneamente.

Gravità: Media

Assicurarsi che l'account del servizio non abbia privilegi di amministratore

Descrizione: un account del servizio è un account Google speciale che appartiene a un'applicazione o a una macchina virtuale, anziché a un singolo utente finale. L'applicazione usa l'account del servizio per chiamare l'API Google del servizio in modo che gli utenti non siano direttamente coinvolti. È consigliabile non usare l'accesso amministratore per ServiceAccount. Gli account di servizio rappresentano la sicurezza a livello di servizio delle risorse (applicazione o macchina virtuale) che possono essere determinate dai ruoli assegnati. La registrazione di ServiceAccount con diritti di amministratore consente l'accesso completo a un'applicazione assegnata o a una macchina virtuale. Un titolare dell'accesso ServiceAccount può eseguire azioni critiche, ad esempio eliminare, aggiornare le impostazioni e così via senza l'intervento dell'utente. Per questo motivo, è consigliabile che gli account del servizio non dispongano dei diritti di amministratore.

Gravità: Media

Assicurarsi che i sink siano configurati per tutte le voci di log

Descrizione: è consigliabile creare un sink che esportare copie di tutte le voci di log. Ciò consente di aggregare i log da più progetti ed esportarli in un siem (Security Information and Event Management). Le voci di log vengono mantenute nella registrazione di Stackdriver. Per aggregare i log, esportarli in un sistema SIEM. Per mantenerli più a lungo, è consigliabile configurare un sink di log. L'esportazione comporta la scrittura di un filtro che seleziona le voci di log da esportare e sceglie una destinazione in Archiviazione cloud, BigQuery o Cloud Pub/Sub. Il filtro e la destinazione vengono mantenuti in un oggetto denominato sink. Per assicurarsi che tutte le voci di log vengano esportate in sink, assicurarsi che non sia configurato alcun filtro per un sink. I sink possono essere creati in progetti, organizzazioni, cartelle e account di fatturazione.

Gravità: bassa

Assicurarsi che il filtro e gli avvisi delle metriche del log esistano per le modifiche alla configurazione di controllo

Descrizione: i servizi Google Cloud Platform (GCP) scrivono voci del log di controllo nei log attività di amministratore e accesso ai dati. Le voci aiutano a rispondere alle domande di , "chi ha fatto cosa, dove e quando?" all'interno dei progetti GCP. Le informazioni sui record di registrazione controllo cloud includono l'identità del chiamante API, l'ora della chiamata API, l'indirizzo IP di origine del chiamante API, i parametri della richiesta e gli elementi di risposta restituiti dai servizi GCP. La registrazione di controllo cloud fornisce una cronologia delle chiamate API GCP per un account, incluse le chiamate API effettuate tramite la console, gli SDK, gli strumenti da riga di comando e altri servizi GCP. Le attività di amministratore e i log di accesso ai dati prodotti dalla registrazione di controllo cloud consentono l'analisi della sicurezza, il rilevamento delle modifiche delle risorse e il controllo della conformità. La configurazione del filtro delle metriche e degli avvisi per le modifiche alla configurazione del controllo garantisce che lo stato consigliato della configurazione di controllo venga mantenuto in modo che tutte le attività del progetto siano in grado di essere controllate in qualsiasi momento.

Gravità: bassa

Assicurarsi che il filtro e gli avvisi delle metriche del log esistano per le modifiche al ruolo personalizzato

Descrizione: è consigliabile stabilire un filtro delle metriche e un allarme per le modifiche apportate alla creazione, all'eliminazione e all'aggiornamento dei ruoli di gestione delle identità e degli accessi . Google Cloud IAM fornisce ruoli predefiniti che consentono l'accesso granulare a risorse specifiche di Google Cloud Platform e impediscono l'accesso indesiderato ad altre risorse. Tuttavia, per soddisfare le esigenze specifiche dell'organizzazione, Cloud IAM offre anche la possibilità di creare ruoli personalizzati. I proprietari e gli amministratori del progetto con il ruolo Amministratore ruolo organizzazione o il ruolo Amministratore ruolo IAM possono creare ruoli personalizzati. Il monitoraggio delle attività di creazione, eliminazione e aggiornamento dei ruoli consente di identificare qualsiasi ruolo con privilegi elevati nelle prime fasi.

Gravità: bassa

Verificare che le chiavi gestite dall'utente o esterne per gli account del servizio vengano ruotate ogni 90 giorni o meno

Descrizione: le chiavi dell'account di servizio sono costituite da un ID chiave (Private_key_Id) e una chiave privata, che vengono usati per firmare le richieste a livello di codice che gli utenti effettuano ai servizi cloud Google accessibili a tale account del servizio specifico. È consigliabile ruotare regolarmente tutte le chiavi dell'account del servizio. La rotazione delle chiavi dell'account del servizio ridurrà la finestra di opportunità per l'uso di una chiave di accesso associata a un account compromesso o terminato. Le chiavi dell'account del servizio devono essere ruotate per garantire che non sia possibile accedere ai dati con una chiave precedente che potrebbe essere stata persa, interrotta o rubata. Ogni account del servizio è associato a una coppia di chiavi gestita da Google Cloud Platform (GCP). Viene usato per l'autenticazione da servizio a servizio all'interno di GCP. Google ruota le chiavi ogni giorno. GCP offre la possibilità di creare una o più coppie di chiavi gestite dall'utente (dette anche coppie di chiavi esterne) da usare dall'esterno di GCP (ad esempio, per l'uso con le credenziali predefinite dell'applicazione). Quando viene creata una nuova coppia di chiavi, l'utente deve scaricare la chiave privata (che non viene mantenuta da Google).

Con le chiavi esterne, gli utenti sono responsabili della sicurezza della chiave privata e di altre operazioni di gestione, ad esempio la rotazione delle chiavi. Le chiavi esterne possono essere gestite dall'API IAM, dallo strumento da riga di comando gcloud o dalla pagina Account del servizio in Google Cloud Platform Console.

GCP facilita fino a 10 chiavi dell'account del servizio esterno per ogni account del servizio per facilitare la rotazione delle chiavi.

Gravità: Media

Le chiavi attive devono essere rimosse per gli account del servizio disabilitati

Descrizione: Defender per il cloud ha identificato le chiavi gestite dall'utente attive negli account di servizio disabilitati. Gli account di servizio sono identità non disumane usate per i processi automatizzati. Con un account disabilitato, tutte le chiavi attive ancora presenti possono essere sfruttate se l'account è riabilitato inavvertitamente, fornendo l'accesso immediato all'ambiente. La rimozione di queste chiavi riduce il rischio assicurandosi che nessuna credenziale compromessa possa abilitare l'accesso non autorizzato.

Gravità: bassa

L'autenticazione deve essere abilitata per le istanze dell'archivio memoria per Redis

Descrizione: Defender per Cloud ha rilevato che l'autenticazione è disabilitata nell'istanza di Memorystore per Redis. Redis AUTH è una funzionalità di sicurezza che verifica le credenziali client prima di concedere l'accesso. Senza di esso, qualsiasi carico di lavoro con accesso alla rete può connettersi senza autenticazione, rischiando l'immissione non autorizzata, l'esposizione dei dati e la manipolazione della cache. L'abilitazione dell'autenticazione garantisce che solo i client convalidati possano accedere all'istanza, migliorando così la sicurezza complessiva.

Gravità: Alta

L'account del servizio personalizzato con privilegi limitati deve essere configurato nel cluster Dataproc

Descrizione: i cluster Dataproc identificati da Defender per il cloud usando l'account del servizio motore di calcolo predefinito. Ciò comporta un rischio perché l'account predefinito contiene autorizzazioni generali anziché solo i privilegi minimi necessari. Questo privilegio in eccesso può portare a accessi non autorizzati, a una maggiore superficie di attacco e a potenziali escalation dei privilegi. Un account del servizio personalizzato con privilegi limitati riduce questi rischi applicando il principio dei privilegi minimi e migliorando la controllabilità.

Gravità: Media

Le identità con provisioning eccessivo di GCP devono avere solo le autorizzazioni necessarie

Descrizione: un'identità attiva con provisioning eccessivo è un'identità con accesso ai privilegi non usati. Le identità attive con provisioning eccessivo, soprattutto per gli account non umani che hanno azioni e responsabilità molto definite, possono aumentare il raggio di esplosione in caso di compromissione di un utente, di una chiave o di una risorsa. Il principio dei privilegi minimi indica che una risorsa deve avere accesso solo alle risorse esatte necessarie per funzionare. Questo principio è stato sviluppato per affrontare il rischio di identità compromesse concedendo a un utente malintenzionato l'accesso a un'ampia gamma di risorse.

Il dashboard Web GKE deve essere disabilitato

Descrizione: questa raccomandazione valuta il campo kubernetesDashboard della proprietà addonsConfig per la coppia chiave-valore, 'disabled': false.

Gravità: Alta

L'autorizzazione legacy deve essere disabilitata nei cluster GKE

Descrizione: questa raccomandazione valuta la proprietà legacyAbac di un cluster per la coppia chiave-valore, 'enabled': true.

Gravità: Alta

L'autenticazione token OIDC deve essere abilitata nelle sottoscrizioni push pub/sub

Descrizione: Defender per il cloud ha identificato l'autenticazione token OIDC mancante nelle sottoscrizioni push Pub/Sub. OIDC o OpenID Connect fornisce un metodo sicuro per verificare che i messaggi provengano dal servizio pub/sub attendibile. Senza questa autenticazione, le entità non autorizzate possono rappresentare richieste legittime, esponendo potenzialmente gli endpoint push a violazioni della sicurezza. Per altre informazioni, vedere altre informazioni.

Gravità: Alta

Le autorizzazioni delle identità inattive nel progetto GCP devono essere revocate

Descrizione: Microsoft Defender per il cloud individuato un'identità che non ha eseguito alcuna azione su alcuna risorsa all'interno del progetto GCP negli ultimi 45 giorni. È consigliabile revocare le autorizzazioni delle identità inattive per ridurre la superficie di attacco dell'ambiente cloud.

Gravità: Media

Il ruolo IAM redis non deve essere assegnato a livello di organizzazione o cartella

Descrizione: questa raccomandazione valuta i criteri di autorizzazione IAM nei metadati delle risorse per i ruoli assegnati/redis.admin, roles/redis.editor, roles/redis.viewer a livello di organizzazione o cartella.

Gravità: Alta

I criteri IAM restrittivi devono essere abilitati in DeliveryPipelines

Descrizione: Defender per il cloud ha identificato una pipeline di recapito senza criteri di accesso IAM configurati. I criteri IAM definiscono chi può accedere e modificare le pipeline. In questo caso, l'assenza di criteri di controllo di accesso granulari aumenta il rischio di modifiche non autorizzate, che potrebbero compromettere l'integrità della pipeline.

Gravità: Media

Gli account del servizio devono avere accesso limitato ai progetti in un cluster

Descrizione: questa raccomandazione valuta la proprietà config di un pool di nodi per verificare se non è specificato alcun account di servizio o se viene usato l'account del servizio predefinito.

Gravità: Alta

La creazione di chiavi gestite dall'utente deve essere disabilitata per gli account del servizio predefiniti

Descrizione: Defender per il cloud ha identificato le chiavi gestite dall'utente associate agli account predefiniti del servizio Google Cloud, ad esempio l'account del servizio predefinito del motore di calcolo. Questi account in genere dispongono di autorizzazioni ampie, ad esempio il ruolo Editor, rendendole destinazioni di valore elevato. La creazione di chiavi di lunga durata aumenta il rischio di furto di credenziali e spostamento laterale non autorizzato nell'ambiente.

Gravità: Media

Gli utenti devono avere accesso con privilegi minimi con ruoli IAM granulari

Descrizione: questa raccomandazione valuta i criteri IAM nei metadati delle risorse per qualsiasi entità assegnata ruoli/proprietario, ruoli/writer o ruoli/lettore.

Gravità: Alta

Last updated on 2026-07-24