| 分类 |
检测项 |
检测项说明 |
| 权限管理 |
CAM 自定义角色无超级管理员权限或云产品的全读写权限 |
CAM 自定义角色无超级管理员权限或云产品的全读写权限，则符合规则。 |
| 权限管理 |
CAM 用户(含关联的用户组)无超级管理员权限或云产品的全读写权限 |
CAM 用户(含关联的用户组)无超级管理员权限或云产品的全读写权限，则符合规则。 |
| 身份管理 |
主账号下未创建 CAM 用户 |
主账号下创建 CAM 用户，则符合规则。 |
| 身份管理 |
CAM 用户不存在启用状态的访问密钥 AccessKey |
CAM 用户不存在启用状态的 AccessKey ，则符合规则。 |
| 身份管理 |
CAM 用户下不存在已禁用的访问密钥 AccessKey |
CAM 用户下不存在已禁用的 AccessKey，则符合规则。 |
| 身份管理 |
CAM 用户下，避免同时启用两个访问密钥 AccessKey |
CAM 用户只启用了一个访问密钥 AccessKey，则符合规则。 |
| 身份管理 |
CAM 用户必须开启敏感操作 MFA |
账号访问管理开启了敏感操作 MFA，则符合规则。 |
| 身份管理 |
CAM 用户必须开启登录保护 MFA |
账号访问管理开启了登录保护 MFA，则符合规则。 |
| 权限管理 |
CAM 访问管理子用户，用户组，角色下不存在超级管理员权限 |
账号访问管理下的用户，用户组，角色没有超级管理员（AdministratorAccess）权限，则符合规则。 |
| 身份管理 |
CAM 用户不存在闲置的访问密钥 AccessKey |
CAM 用户的访问密钥 AccessKey 最后使用时间与当前时间之差小于参数设置的时间，则符合规则。 |
| 身份管理 |
CAM 访问管理用户在指定时间内有登录行为 |
账号访问管理中，用户在指定时间内若有登录行为，则符合规则。 |
| 身份管理 |
CAM 访问管理用户的密钥 Key 在指定时间内轮换 |
账号访问管理中，用户的密钥在指定时间内有更换，则符合规则。 |
| 分类 |
检测项 |
检测项说明 |
| 架构设计 |
弹性伸缩组关联至少两个交换机 |
弹性伸缩组关联至少两个交换机，视为“合规”。 |
| 备份策略 |
CBS 磁盘设置自动快照策略 |
CBS 磁盘设置了自动快照策略，视为“合规”。 |
| 架构设计 |
使用多可用区的 CDB 实例 |
CDB 实例为多可用区实例，视为“合规”。 |
| 备份策略 |
为 CDB 创建灾备实例 |
为 CDB 实例创建灾备实例，视为“合规”。 |
| 监控管理 |
CDB 实例开启日志备份 |
CDB 实例开启日志备份视为"合规"。 |
| 监控管理 |
CDB 实例开启 SQL 审计 |
CDB 实例的 SQL 审计状态为开启，视为“合规”。 |
| 架构设计 |
为域名设置 CDN 缓存 |
为域名设置了 CDN 缓存和过期时间，视为合规。 |
| 监控管理 |
CDWCH 实例开启日志备份 |
CDWCH 实例开启日志备份，视为“合规”。 |
| 监控管理 |
CDWCH 实例开启 SQL 审计日志 |
CDWCH 实例开启 SQL 审计日志，视为“合规”。 |
| 备份策略 |
为 CFS 文件系统创建备份计划 |
文件存储，备份 |
| 监控管理 |
传统型负载均衡 CLB 实例开启访问日志 |
传统型负载均衡 CLB 实例开启访问日志，视为“合规”。 |
| 架构设计 |
使用多可用区的传统型负载均衡 CLB 实例 |
传统型负载均衡 CLB 实例为多可用区实例，视为“合规”。 |
| 架构设计 |
传统型负载均衡 CLB 实例开启释放保护 |
传统型负载均衡 CLB 实例开启释放保护，视为“合规”。 |
| 架构设计 |
CLB 实例开启释放保护 |
开启删除保护功能，可以防止误操作导致实例被释放。如果“运行中”的实例已配置则视为"合规"。 |
| 架构设计 |
使用多可用区的 CLB 实例 |
CLB 实例为多可用区实例，视为“合规”。 |
| 监控管理 |
COS 存储桶开启日志存储前缀匹配 |
COS 存储桶已启用日志记录且前缀不包括指定值，则符合规则。 |
| 架构设计 |
COS 存储桶开启版本控制 |
如果开启版本控制则视为"合规"。如果已经开启"保留策略"，视为"不适用"。 |
| 架构设计 |
COS 存储空间开启同城冗余存储 |
如果没有开启同城冗余存储，会导致当出现某个机房不可用时，COS 服务无法提供可用性、持久性服务，影响数据恢复目标。COS 存储空间开启同城冗余存储，视为“合规”。 |
| 架构设计 |
CVM 实例开启销毁保护 |
CVM 实例开启销毁保护，视为“合规”。 |
| 监控管理 |
运行中的 CVM 实例安装了云监控插件 |
运行中的 CVM 实例安装云监控插件而且插件状态为运行中，视为“合规”。非运行中状态的实例不适用本规则，视为“不适用”。 |
| 架构设计 |
为 CYNOSDB 集群开启热备集群 |
CYNOSDB 集群开启存储热备集群，数据分布在多个可用区，视为“合规”。 |
| 监控管理 |
CYNOSDB 集群开启 SQL 审计 |
CYNOSDB 集群 SQL 审计状态为开启，视为“合规”。 |
| 架构设计 |
使用多可用区 Elasticsearch 实例 |
使用多可用区的 Elasticsearch 实例，视为“合规”。 |
| 备份策略 |
Elasticsearch 实例开启自动备份 |
Elasticsearch 实例开启了自动备份，视为“合规”。 |
| 架构设计 |
使用多可用区 MongoDB 实例 |
使用多可用区的 MongoDB 实例，视为“合规”。 |
| 备份策略 |
MongoDB 实例打开数据备份 |
MongoDB 实例开启数据备份，视为“合规”。 |
| 架构设计 |
Redis 实例为多可用区实例 |
Redis 实例为多可用区实例，视为“合规”。 |
| 监控管理 |
TKE 集群运行中节点安装云监控插件 |
TKE 集群运行中节点均安装了云监控插件，且监控运行状态正常，视为“合规”。 |
| 架构设计 |
TKE 弹性实例容器组挂载数据卷 |
TKE 弹性实例容器组挂载了数据卷，视为“合规”。 |
| 故障管理 |
TKE 集群建议开启释放保护 |
TKE 集群开启释放保护，视为“合规”。 |
| 监控管理 |
TKE 集群节点安装云监控插件 |
TKE 集群节点均已安装云监控插件，且插件运行状态正常，视为“合规”。 |
| 架构设计 |
使用区域级多可用区 TKE 集群 |
使用区域级 TKE 集群，节点分布在3个及以上可用区，视为“合规”。 |
| 监控管理 |
VPC 开启流日志记录 |
VPC 已开启流日志（Flowlog）记录功能，视为“合规”。 |
| 故障管理 |
IPsec VPN 连接正常 |
IPsec VPN 连接状态为“已建立”，视为“合规”。 |
| 监控管理 |
WAF 实例开启日志采集 |
WAF 实例进行防护的域名均开启日志采集，视为“合规”。 |
| 分类 |
检测项 |
检测项说明 |
| 基础资源安全 |
弹性伸缩组开启 CVM 实例健康检查 |
弹性伸缩组开启对 CVM 实例的健康检查，视为“合规”。 |
| 数据安全 |
待挂载的 CBS 数据磁盘开启加密 |
待挂载的 CBS 数据磁盘已开启加密，视为“合规”。 |
| 数据安全 |
使用中的 CVM 数据磁盘开启加密 |
使用中的 CVM 数据磁盘已开启加密，则符合规则。使用中的 CVM 数据磁盘未开启加密，则不符合规则。 |
| 数据安全 |
CBS 云硬盘开启加密状态 |
CBS 云硬盘开启了加密，则符合规则。 |
| 基础资源安全 |
CDB 实例使用 SSL 证书 |
CDB 实例开启 SSL，视为“合规”。 |
| 基础资源安全 |
CDB 实例使用自定义密钥开启 TDE |
CDB 实例使用自定义密钥开启 TDE，视为“合规”。 |
| 基础资源安全 |
CDB 实例开启 TDE 加密 |
CDB 实例的数据安全性设置开启 TDE 加密，视为“合规”。 |
| 基础资源安全 |
CDB 实例不配置公网地址 |
CDB 实例不配置公网地址，视为“合规”。 |
| 数据安全 |
CDB 实例开启云盘加密 |
CDB 实例开启了云盘加密，视为“合规”。 |
| 基础资源安全 |
开启公网 IP 的 CDB 实例白名单未对所有来源开放 |
CDB 实例未开启公网 IP，或者开启白名单未设置为对所有来源 IP 开放，视为“合规”。 |
| 应用安全 |
CDN 域名开启 HTTPS 加密 |
CDN 域名开启 HTTPS 协议，对数据传输进行加密，视为“合规”。 |
| 应用安全 |
CDN 域名开启 TLS1.3 版本检测 |
检测 CDN 域名是否启用 TLS1.3版本，启用视为“合规”。 |
| 基础资源安全 |
CDWCH 实例未开启公网 |
CDWCH 实例未开启公网访问，视为“合规”。 |
| 数据安全 |
CFS 文件系统设置了加密 |
CFS 文件系统设置了加密，视为“合规”。 |
| 身份权限 |
CFS 文件系统使用的权限组未对所有来源开放 |
CFS 文件系统使用的权限组未对所有访问来源开放，视为“合规”。 |
| 基础资源安全 |
CKafka 实例公网 IP 白名单未设置为对所有 IP 开放 |
CKafka 实例公网 IP 白名单未设置为对所有 IP 开放，视为“合规”。 |
| 基础资源安全 |
CLB 访问控制列表不配置所有地址段 |
CLB 访问控制列表中不包含0.0.0.0/0条目，视为“合规”。 |
| 基础资源安全 |
传统型负载均衡 CLB 实例的所有监听都设置了健康检查 |
传统型负载均衡 CLB 实例的所有监听都设置了健康检查，视为“合规”。 |
| 基础资源安全 |
CLB 负载均衡的所有监听和转发规则都设置了健康检查 |
CLB 负载均衡的所有监听和转发规则均设置了健康检查，视为“合规”。 |
| 基础资源安全 |
传统型负载均衡 CLB 实例未绑定公网 IP |
传统型负载均衡 CLB 实例未绑定公网 IP，视为“合规”。 |
| 数据安全 |
用于存储 CLS 日志的 COS 存储桶不可公开访问 |
存储 CLS 日志的 COS 存储桶没有设置为公开访问，则符合规则。 |
| 数据安全 |
存储桶权限没有设置为公开访问 |
COS 存储桶的权限配置为不允许任何用户公开访问，则符合规则。 |
| 数据安全 |
存储桶中的对象不可公开访问 |
存储桶中的对象没有公开访问权限，则符合规则。 |
| 数据安全 |
禁止在 COS 存储桶中使用明文 HTTP 协议 |
在 COS 存储桶中没有使用明文 HTTP 协议，则符合规则。 |
| 数据安全 |
COS 存储桶权限策略设置安全访问 |
COS 存储桶权限策略中包含了读写操作的访问方式设置为 HTTPS，或者拒绝访问的访问方式设置为 HTTP，则符合规则。 |
| 数据安全 |
COS 存储桶授权策略设置为私有或只允许指定 IP 访问 |
COS Bucket 读写权限设置为私有，或者授权策略中包含只允许特定 IP 访问的策略，则符合规则。 |
| 数据安全 |
COS 存储桶 ACL 策略禁止公共读 |
COS 存储桶的 ACL 策略禁止公共读，则符合规则。 |
| 数据安全 |
COS 存储桶使用自定义 KMS 密钥加密 |
COS 存储桶使用了自定义的 KMS 密钥加密，则符合规则。 |
| 数据安全 |
COS 存储桶开启日志存储 |
COS 存储桶的日志管理中开启日志存储，则符合规则。 |
| 数据安全 |
COS 存储桶开启服务端 COS 完全托管加密 |
COS 存储桶开启服务端 COS 完全托管加密，则符合规则。 |
| 数据安全 |
COS 存储桶开启服务端 KMS 加密 |
COS 存储桶开启服务端 KMS 加密，则符合规则。 |
| 数据安全 |
COS 存储桶 ACL 禁止公共读写 |
COS 存储桶的 ACL 策略禁止公共读写，则符合规则。COS 存储桶的 ACL 策略为公共读或公共读写，则不符合规则。 |
| 身份权限 |
Bucket 策略组织外授权检测 |
COS bucket 如果未开启公共读且分析结果未发现组织外授权，视为“合规”。 |
| 身份权限 |
COS 存储空间不能为匿名账号授予任何权限 |
COS Bucket 授权策略中未授予匿名账号任何读写权限，视为“合规”。若 COS Bucket 未设置任何授权策略，视为“合规”。 |
| 基础资源安全 |
CVM 实例禁止绑定公网地址 |
CVM 实例没有直接绑定 IPv4 公网 IP 或弹性公网 IP，视为“合规”。 |
| 基础资源安全 |
运行中的 CVM 实例未绑定公网地址 |
运行中的 CVM 实例没有直接绑定 IPv4 公网 IP 或弹性公网 IP，视为“合规”。 |
| 应用安全 |
安全组入网设置允许的来源 IP 不包含公网 IP |
安全组入方向授权策略为允许，IP 地址段来源不包含公网 IP，则符合规则。安全组入方向授权策略为允许，IP 地址段来源包含公网 IP，则不符合规则。除 CVM 外的云服务（例如：云防火墙、NAT 网关等）或虚商所使用的安全组不适用本规则，视为“不适用”。 |
| 应用安全 |
安全组入网设置不能有对所有协议开放的访问规则 |
安全组入方向授权策略为允许，当端口的协议类型未设置为 ALL 时，则符合规则；如果端口的协议类型设置为 ALL，但被优先级更高的授权策略拒绝，则符合规则。安全组入方向授权策略为允许，当端口的协议类型设置为 ALL，且未被优先级更高的授权策略拒绝时，则不符合规则。除 CVM 外的云服务（例如：云防火墙、NAT 网关等）或虚商所使用的安全组不适用本规则，视为“不适用”。 |
| 基础资源安全 |
使用密钥对登录 Linux 主机 |
使用密钥对登录 Linux 主机，则符合规则。未使用密钥对登录 Linux 主机，则不符合规则。 |
| 基础资源安全 |
CYNOSDB 集群的所有连接地址都未开启公网 |
CYNOSDB 集群的所有连接地址都未开启公网，视为“合规”。 |
| 基础资源安全 |
CYNOSDB 实例设置 SSL 加密 |
为 CYNOSDB 实例设置 SSL，对数据传输进行加密，视为“合规”。 |
| 基础资源安全 |
CYNOSDB 实例 IP 白名单禁止设置为全网段 |
CYNOSDB 实例 IP 白名单未设置为0.0.0.0/0，视为“合规”。 |
| 基础资源安全 |
CYNOSDB 实例开启 TDE |
CYNOSDB 实例开启 TDE，视为“合规”。 |
| 基础资源安全 |
CYNOSDB 实例不开启公网或 IP 白名单不设置为全网段 |
CYNOSDB 实例不开启公网或 IP 白名单不设置为全网段，视为“合规”。避免被攻击或暴力破解，产生数据泄漏风险。 |
| 应用安全 |
DTS 同步任务源库和目标库使用 SSL 安全链接 |
DTS 实例下同步任务源库和目标库均使用 SSL 安全链接，视为“合规”。 |
| 基础资源安全 |
Elasticsearch 实例使用 HTTPS 传输协议 |
Elasticsearch 实例使用 HTTPS 传输协议，视为“合规”。 |
| 基础资源安全 |
Elasticsearch 实例未开启公网访问 |
Elasticsearch 实例未开启公网访问，视为“合规”。 |
| 数据安全 |
Elasticsearch 实例数据节点开启云盘加密 |
Elasticsearch 实例数据节点开启云盘加密，视为“合规”。 |
| 基础资源安全 |
Elasticsearch 实例未开启公网或不允许任意 IP 访问 |
Elasticsearch 实例未开启公网访问，或者白名单未设置为对所有 IP 开放，视为“合规”。 |
| 应用安全 |
密钥管理服务设置主密钥自动轮转 |
对密钥管理服务中的用户主密钥设置自动轮转，视为“合规”。 |
| 应用安全 |
KMS 主密钥未设置为待删除 |
KMS 主密钥未设置为待删除，视为“合规”。 |
| 基础资源安全 |
Redis 实例设置 TLS 或 SSL 加密 |
为 Redis 实例设置 SSL，对数据传输进行加密，视为“合规”。 |
| 基础资源安全 |
Redis 实例不开启公网 |
Redis 实例不开启公网，视为“合规”。 |
| 基础资源安全 |
Redis 实例开启密码认证 |
Redis 实例专有网络下开启密码认证，视为”合规“。 |
| 基础资源安全 |
函数计算服务禁止访问公网 |
函数计算服务设置了禁止访问公网，视为“合规”。 |
| 身份权限 |
SSM 凭据成功轮转 |
SSM 凭据开启自动轮转并且根据设定的轮转周期成功进行了轮转，视为“合规”。 |
| 身份权限 |
凭据管理系统设置凭据自动轮转 |
凭据设置自动轮转，视为“合规”。 |
| 基础资源安全 |
容器镜像服务实例未打开公网访问入口 |
容器镜像服务实例未打开公网访问入口，视为“合规” |
| 基础资源安全 |
容器镜像服务实例白名单检测 |
容器镜像服务实例白名单不存在任意 IP 条目，视为“合规”。 |
| 身份安全 |
TKE 集群安装 pod-identity-webhook 组件基于 CAM 进行请求认证 |
TKE 集群安装 pod-identity-webhook 组件，实现基于 CAM 的鉴权，视为“合规”。 |
| 数据安全 |
TKE 集群配置 Secret 的落盘加密 |
TKE 集群配置 Secret 的落盘加密，视为“合规”。 |
| 基础资源安全 |
TKE 集群未设置公网连接端点 |
TKE 集群未设置公网连接端点，视为“合规”。 |
| 应用安全 |
安全组不允许全放通规则 |
当安全组设置全网段规则（0.0.0.0/0或：：/0)时，端口范围不能为 ALL，当安全组未设置全网段规则，端口范围可以是 ALL,以上条件满足则符合规则。 |
| 应用安全 |
安全组不允许全网段开启远程访问风险端口 |
当安全组设置全网段规则（0.0.0.0/或：：/0)时，端口范围不包括指定的风险端口，当安全组未设置全网段规则，端口范围可包含指定的风险端口，以上条件满足则符合规则 |
