Стандарт по защите облачной инфраструктуры Yandex Cloud

Идентификатор требования

Требование стандарта безопасности

Идентификаторы проверки в модуле CSPM

Аутентификация и управление доступом

IAM1

Настроена федерация удостоверений (Single Sign-On, SSO)

cspm.access.idp

IAM2

Настроено сопоставление групп пользователей в федерации удостоверений

cspm.access.user-groups-mapping

IAM3

Учетные записи Яндекс ID используются только в исключительных случаях

cspm.yid.organization

IAM4

Таймаут жизни cookie в федерации меньше 6 часов

cspm.cookie-timeout.organization

IAM5

Только необходимые администраторы управляют членством в IAM-группах

cspm.access.user-groups-access

IAM6

Используются сервисные роли вместо примитивных: admin, editor, viewer, auditor

cspm.access.min-privileges

IAM9

Сервисным аккаунтам назначены минимальные привилегии

cspm.access.sa-privileges-org-roles
cspm.access.sa-privileges-service-roles

IAM10

Только доверенные администраторы имеют доступ к сервисным аккаунтам

cspm.access.privileged-sa-access

IAM11

Выполняется периодическая ротация ключей сервисных аккаунтов

cspm.iam.sa-key-rotation

IAM12

Для API-ключей сервисных аккаунтов заданы минимально необходимые области действия

cspm.access.defined-key-scopes

IAM16

На ВМ отключено получение токена через AWS IMDSv1

cspm.aws-token

IAM17

Настроена двухфакторная аутентификация для привилегированных аккаунтов

cspm.access.userpool-mfa

IAM18

Привилегированные роли назначены только доверенным администраторам

cspm.access.check-privileged-roles

IAM22

Для ресурсов в организации отсутствует публичный доступ

cspm.access.public-access

IAM24

На ресурсах используются метки

cspm.o11y.labeled-resources

IAM26

Отслеживается дата последней аутентификации сервисного аккаунта и последнего использования ключей доступа в Identity and Access Management

cspm.iam.unused-service-account
cspm.iam.unused-key

Сетевая безопасность

NET1

Для объектов облака используется межсетевой экран или группы безопасности

cspm.network.firewall

NET2

В Yandex Virtual Private Cloud создана группа безопасности и не используется группа безопасности по умолчанию

cspm.network.network-firewall

NET3

В группах безопасности отсутствует слишком широкое правило доступа

cspm.network.network-firewall-scope
cspm.k8s.network-firewall-scope

NET4

Доступ по управляющим портам открыт только для доверенных IP-адресов

cspm.trusted-ip
cspm.trusted-ip-k8s

NET5

Включена защита от DDoS-атак

cspm.appsec.ddos-protection.l3
cspm.appsec.ddos-protection.l7

NET10

Исходящий доступ в интернет контролируется

cspm.network.check-outgoing-internet-connection

Безопасная конфигурация виртуальной среды

ENV1

Использование серийной консоли контролируется либо отсутствует

cspm.access.serial-console

ENV7

Отсутствует публичный доступ к бакету Object Storage

cspm.access.bucket-public-access

ENV8

В Object Storage используются политики доступа (Bucket Policy)

cspm.access.bucket-access-policy

ENV9

В Object Storage включена функция «Блокировка версии объекта» (objectlock)

cspm.s3.used-object-lock

ENV14

На управляемых базах данных назначена Группа безопасности

cspm.network.db-security-group

ENV15

На управляемых базах данных не назначен публичный IP-адрес

cspm.network.db-ip

ENV16

Включена настройка защиты от удаления (deletion protection)

cspm.db.db-deletion-protection

ENV17

Выключена настройка доступа из DataLens без необходимости

cspm.access.db-datalens-access

ENV18

На управляемых БД выключен доступ из консоли управления

cspm.access.db-console-access

ENV19

Serverless Containers/Cloud Functions использует внутреннюю сеть VPC

cspm.network.serverless-uses-vpc

ENV26

Публичный доступ отсутствует для YDB

cspm.network.ydb-public

ENV28

Настроен ACL по IP-адресам для Yandex Container Registry

cspm.access.acl-container-registry

ENV29

Срок действия сертификата Yandex Certificate Manager составляет как минимум 30 дней

cspm.crypto.certificate-validity

ENV30

Выполняются рекомендации по настройке безопасности инстанса Yandex Managed Service for GitLab

cspm.o11y.gitlab-audited

ENV33

Для подключения к виртуальной машине или узлу Kubernetes используется OS Login

cspm.access.os-login-onto-hosts.vm

ENV37

Используется Cloud Backup или механизм snapshot по расписанию

cspm.backup.compute-disks

Шифрование данных и управление ключами

CRYPT1

В Yandex Object Storage включено шифрование данных at rest с ключом KMS

cspm.data.object-storage-encryption

CRYPT2

В Yandex Object Storage включено HTTPS для хостинга статического сайта

cspm.data.storage-https

CRYPT3

В Yandex Application Load Balancer используется HTTPS

cspm.appsec.alb-https

CRYPT4

В Yandex API Gateway используется HTTPS и собственный домен

cspm.appsec.api-gateway-https

CRYPT5

В Yandex Cloud CDN используется HTTPS и собственный SSL-сертификат

cspm.appsec.cdn-https

CRYPT8

Используется шифрование дисков и снимков виртуальных машин

cspm.crypto.managed-vm-kms

CRYPT9

Ключи Key Management Service хранятся в аппаратном модуле безопасности (HSM)

cspm.crypto.keys-hsm

CRYPT10

Права на управление ключами в KMS выданы контролируемым пользователям

cspm.access.kms-keys-access

CRYPT11

Для ключей KMS включена ротация

cspm.crypto.keys-rotation

CRYPT12

Для ключей KMS включена защита от удаления

cspm.crypto.keys-deletion-protection

CRYPT13

В организации используется Yandex Lockbox для безопасного хранения секретов

cspm.crypto.secrets-lockbox

CRYPT14

Для Serverless Containers и Cloud Functions используются секреты Lockbox

cspm.crypto.secrets-serverless

CRYPT16

Администратор облака имеет инструкцию по действиям в случае компрометации секретов его облака

cspm.crypto.leaked-secrets-detection

Сбор, мониторинг и анализ аудитных логов

AUDIT1

Включен сервис Yandex Audit Trails на уровне организации

cspm.o11y.audit-trails
cspm.o11y.audit-trails-no-errors
cspm.o11y.gitlab-audited

AUDIT3

Настроено реагирование на события Yandex Audit Trails

cspm.o11y.audit-trails-reactions

AUDIT8

Отслеживаются события уровня сервисов

cspm.o11y.data-plane-events

Защита приложений

APPSEC1

Используется Yandex SmartCaptcha

cspm.appsec.use-smartcaptcha

APPSEC2

Docker-образы сканируются при загрузке в Yandex Container Registry

cspm.appsec.secure-registry

APPSEC3

Выполняется периодическое сканирование Docker-образов, хранящихся в Container Registry

cspm.appsec.periodic-scan

APPSEC4

Контейнерные образы, используемые в продакшн-среде, имеют последнюю дату сканирования не позднее недели

cspm.appsec.registry-recently-scan

APPSEC9

Используется профиль безопасности Yandex Smart Web Security

cspm.appsec.use-sws

APPSEC10

Используется Web Application Firewall

cspm.appsec.use-waf

APPSEC11

Используется Advanced Rate Limiter

cspm.appsec.use-arl

Безопасность Kubernetes

K8S3

Нет доступа к API Kubernetes и группам узлов из недоверенных сетей

cspm.k8s.api-security

K8S4

В Managed Service for Kubernetes настроены аутентификация и управление доступом

cspm.k8s.access

K8S5

В Yandex Managed Service for Kubernetes используется безопасная конфигурация

cspm.k8s.secure-configuration
cspm.k8s.cis

K8S11

Используется политика безопасности Kubernetes

cspm.k8s.kspm
cspm.k8s.disallow-k8s-not-regional