69 điểm kiểm tra AWS mà 6WAF quét tự động

No IAM password policy configured

Tài khoản chưa đặt chính sách mật khẩu, người dùng IAM có thể dùng mật khẩu yếu tùy ý

Mật khẩu IAM tối thiểu dưới 14 ký tự

IAM password minimum length below 14

Độ dài tối thiểu trong password policy nhỏ hơn 14 ký tự (ngưỡng khuyến nghị của 6WAF theo CIS)

Không chặn tái sử dụng mật khẩu

Password reuse not prevented

Password policy không ngăn người dùng quay lại mật khẩu cũ

Mật khẩu IAM không có thời hạn hết hạn

IAM password expiry not enforced

Password policy không đặt thời hạn (MaxPasswordAge), mật khẩu bị lộ có thể dùng vô thời hạn

Access key không dùng quá 90 ngày

Access key unused for 90+ days

Access key của IAM user không được dùng trong hơn 90 ngày — nên vô hiệu hóa hoặc xóa

Chưa dùng IAM Identity Center (SSO)

IAM Identity Center (SSO) not configured

Có IAM user đăng nhập console bằng mật khẩu dài hạn thay vì SSO/federation tập trung

EC2 không gắn IAM role (instance profile)

EC2 instance has no IAM role attached

Instance không có instance profile, ứng dụng dễ phải nhúng access key tĩnh vào máy

Bảo vệ dữ liệu (S3, EBS, KMS)

S3 bucket thiếu hoặc chưa đủ Public Access Block

S3 bucket Public Access Block missing or incomplete

Bucket chưa bật đủ 4 cờ Public Access Block hoặc chưa có cấu hình nào — nguy cơ lộ dữ liệu công khai

S3 Public Access Block cấp account chưa đủ

S3 account-level Public Access Block not fully enabled

Chưa bật đủ Block Public Access ở cấp account, bucket mới tạo không được bảo vệ mặc định

S3 bucket mã hóa SSE-S3 thay vì SSE-KMS

S3 bucket uses SSE-S3 instead of SSE-KMS

Bucket mã hóa bằng khóa do S3 quản lý, không có kiểm soát khóa và audit trail riêng của KMS

S3 bucket chưa có cấu hình mã hóa tường minh

S3 bucket has no explicit encryption configuration

Bucket không khai báo mã hóa mặc định tường minh

EBS volume chưa mã hóa

EBS volume not encrypted

Volume không được mã hóa at-rest, snapshot sinh ra từ nó cũng không mã hóa

KMS key chưa bật tự động xoay

KMS key automatic rotation not enabled

Khóa KMS do khách quản lý (đối xứng, đang Enabled) chưa bật key rotation; khóa AWS-managed và khóa bất đối xứng được bỏ qua

Mạng (Security Group, VPC)

Security Group mở toàn bộ traffic ra Internet

CRITICAL

Security Group open to all internet traffic

Rule inbound cho phép mọi giao thức từ 0.0.0.0/0 hoặc ::/0 — mọi port đều có thể truy cập

Port 22 (SSH) mở ra Internet

Port 22 (SSH) open to the internet

Security Group cho phép SSH từ 0.0.0.0/0 — dễ bị brute-force và credential stuffing

Port 3389 (RDP) mở ra Internet

Port 3389 (RDP) open to the internet

Security Group cho phép RDP từ 0.0.0.0/0 — dễ bị brute-force và credential stuffing

VPC chưa bật Flow Logs

VPC has no Flow Logs

Không có log lưu lượng mạng để điều tra sự cố hoặc phát hiện truy cập bất thường

Ghi log & kiểm toán (CloudTrail)

CloudTrail chưa được bật

CloudTrail not enabled

Không có trail nào — hoạt động quản trị trong account không được ghi lại để audit

CloudTrail trail đang bị tạm dừng

CloudTrail trail paused

Trail tồn tại nhưng đã dừng ghi log, tạo khoảng trống trong audit trail

Không có CloudTrail multi-region

No CloudTrail multi-region trail

Không có trail ghi hoạt động ở mọi region, hoạt động ở region ít dùng có thể không được ghi lại

CloudTrail chưa bật log file validation

CloudTrail log file validation not enabled

Không thể chứng minh file log chưa bị sửa hoặc xóa sau khi ghi

CloudTrail chưa gửi log sang CloudWatch Logs

CloudTrail not sending logs to CloudWatch Logs

Không thể đặt metric filter và cảnh báo theo thời gian thực trên sự kiện CloudTrail

Độ tin cậy — tài nguyên production(6)

Chỉ đánh giá resource gắn tag Environment=production hoặc prod; resource không gắn tag được ghi là chưa đánh giá, không tính là đạt.

Khả năng chịu lỗi & phục hồi

RDS production không bật Multi-AZ

Production RDS instance is not Multi-AZ

Instance chạy một Availability Zone — sự cố AZ làm database ngừng cho tới khi khôi phục

DynamoDB production chưa bật point-in-time recovery

Production DynamoDB table has no point-in-time recovery

Xóa nhầm hoặc ghi sai không thể rollback về một thời điểm trong 35 ngày gần nhất

Auto Scaling group production chỉ dùng một AZ

Production Auto Scaling group uses a single Availability Zone

Toàn bộ instance nằm trong một AZ, mất AZ là mất toàn bộ năng lực phục vụ

Subnet production phụ thuộc NAT Gateway ở AZ khác

Production subnets depend on a NAT gateway in another AZ

Subnet định tuyến qua NAT Gateway ở AZ khác — sự cố AZ đó cắt đường ra Internet của subnet còn lại (mức độ là phân loại của 6WAF, không có control Security Hub tương ứng)

Tài nguyên production chưa có recovery point trong AWS Backup

MEDIUM / LOW

Production resource has no AWS Backup recovery point

RDS, DynamoDB (mức Medium) và EBS volume đang dùng (mức Low) chưa nằm trong kế hoạch AWS Backup

S3 bucket production chưa bật versioning