De forma predeterminada, las instancias de RDS de Amazon no están cifradas. Esto expone los datos a posible robo y acceso no autorizados.

"Resources": {
    "RDSDBExample": {
        "Type": "AWS::RDS::DBInstance",
        "Properties": {
            "StorageEncrypted": false,
            "DBName": "Test DB",
            "DBInstanceClass": "db.m4.large"
        }
    }
}

De forma predeterminada, los clústeres de Amazon Redshift no están cifrados. Esto expone los datos al acceso no autorizado y posible robo.

Ejemplo 1: La siguiente plantilla define un clúster de Redshift sin cifrado habilitado.

"Resources": {
    "RedshiftClusterTest": {
        "Type": "AWS::Redshift::Cluster",
        "Properties": {
            "DBName": "mydb",
            "MasterUsername": "master",
            "MasterUserPassword": "masterPass",
            "NodeType": "ds2.xlarge",
            "ClusterType": "single-node",
        }
    }

De forma predeterminada, los clústeres de Amazon Redshift no requieren cifrado de transporte. Esto expone los datos a acceso no autorizado, manipulaciones y posible robo.

Ejemplo 1: La siguiente plantilla de ejemplo define un clúster de Amazon Redshift que no aplica seguridad de transporte.

{
    "Resources": {
        "RedShiftParms": {
            "Type": "AWS::Redshift::clusterParameterGroup",
            "Properties": {
                "Description": "parameter group",
                "ParameterGroupFamily": "redshift-1.0",
                "Parameters": [
                    {
                        "ParameterName": "require_ssl",
                        "ParameterValue": "false"
                    }
                ]
            }
        }
    }
}

Se crea un contenedor de Amazon S3 sin cifrado del lado del servidor. El cifrado mitiga las vulneraciones de datos al hacer que los datos sean ilegibles para cualquier persona sin las credenciales adecuadas. Como tal, el cifrado en reposo es una medida para cumplir con algunos requisitos de cumplimiento industriales y gubernamentales, como RGPD, HIPAA y PCI.

De forma predeterminada, los temas de SNS no están cifrados en reposo. Esto potencialmente expone los datos a espectadores no autorizados.

Ejemplo 1: La siguiente plantilla de ejemplo no puede cifrar el tema de SNS al no definir un identificador de clave de AWS KMS.

{
    "AWSTemplateFormatVersion": "2010-09-09",
    "Description": "My SNS topic",
    "Resources": {
        "MySNSTopic": {
            "Type": "AWS::SNS::Topic",
            "Properties": {
                "Subscription": [
                    {
                        "Endpoint": "MySNSEndpoint",
                        "Protocol": "sqs"
                    }
                ],
                "TopicName": "MyTopic"
            }
        }
    }
}

El cifrado en reposo no está habilitado. Esto expone los datos a accesos no autorizados y posibles robos.

La ausencia de registros de auditoría limita la capacidad de detectar y responder a incidentes relacionados con la seguridad e impide la investigación forense.

Los valores de configuración que socavan las capacidades de registro incluyen, entre otros:
- deshabilitar deliberadamente el registro de auditoría
- excluir acciones de usuarios, grupos o procesos específicos del registro
- proteger inadecuadamente la integridad del registro
- no habilitar el registro de auditoría opcional
- reducir la frecuencia de muestreo del registro