PCI DSS Security Maturity Model·AWS v1.1.0

Arrastra para explorar · pellizca para ampliar
Inicio / Matriz / Requisito 1 / c1.1
Quick Wins Infrastructure ProtectionDominio de seguridad de la perspectiva de seguridad del AWS Cloud Adoption Framework (CAF), usado para organizar los controles. 🤝 CompartidaModelo de Responsabilidad Compartida de AWS: quién implementa y opera este control. Cliente = es tuyo; AWS = lo opera AWS y tú lo heredas; Compartida = ambos tienen obligaciones.

c1.1 Cerrar puertos abiertos de riesgo en Security Groups

Identificar y eliminar reglas de Security Groups que exponen puertos administrativos o sensibles (p. ej. SSH 22, RDP 3389, bases de datos) a 0.0.0.0/0. Es el control de mayor impacto y menor esfuerzo para reducir la superficie de ataque del CDE.

Quick Wins
Foundational
Efficient
Optimized
Esfuerzo: Bajo Impacto: Alto Aplica al CDE: Sí

Requisito 1

Install and Maintain Network Security Controls

Sub-requisitos PCI cubiertosCobertura mostrada por sub-control de PCI DSS v4.0.1. “Cubierto” = atendido por esta recomendación de AWS. “En roadmap” = técnico, planeado. “Tu responsabilidad” = control organizacional/de proceso. “Fuera de alcance” = control físico o de terceros no implementado en AWS.

1.2 Configuración y mantenimiento de los NSC
  • 1.2.1 NSC config standards defined and applied Cubierto
  • 1.2.2 Changes to network connections and NSCs are approved and managed Tu responsabilidad
  • 1.2.3 Accurate network diagram(s) maintained Tu responsabilidad
  • 1.2.4 Accurate data-flow diagram(s) maintained Tu responsabilidad
  • 1.2.5 All services, protocols, and ports allowed are identified and justified Cubierto
  • 1.2.6 Security features for insecure services/protocols are defined Cubierto
  • 1.2.7 NSC configurations reviewed at least every 6 months Tu responsabilidad
  • 1.2.8 NSC configuration files are secured and consistent with active settings Cubierto
1.3 Restricción del acceso de red hacia y desde el CDE
  • 1.3.1 Inbound traffic to the CDE is restricted to what is necessary Cubierto
  • 1.3.2 Outbound traffic from the CDE is restricted to what is necessary Cubierto
  • 1.3.3 NSCs installed between all wireless networks and the CDE Cubierto
1.4 Control de conexiones de red entre redes confiables y no confiables
  • 1.4.1 NSCs between trusted and untrusted networks Cubierto
  • 1.4.2 Inbound traffic from untrusted networks to trusted is restricted Cubierto
  • 1.4.3 Anti-spoofing measures detect and block forged source IPs Cubierto
  • 1.4.4 System components storing CHD not directly reachable from untrusted networks Cubierto
  • 1.4.5 Disclosure of internal IP/routing information is limited Cubierto

Cómo implementarlo en AWS

Usar AWS Config con las reglas administradas restricted-ssh y restricted-common-ports para detectar exposiciones. Revisar los hallazgos de Security Hub (control EC2.13/EC2.14). Reemplazar reglas 0.0.0.0/0 por rangos CIDR específicos o por referencias a otros Security Groups. Para acceso administrativo, preferir AWS Systems Manager Session Manager en lugar de abrir puertos entrantes.

Implementación práctica

Cómo se implementa este control en cada arquitectura de referencia:

Restringe los security groups de tu VPC única para que ningún puerto administrativo o de base de datos sea alcanzable desde internet, y elimina por completo la necesidad de puertos administrativos entrantes.

  1. Inventaria cada security group y marca las reglas de entrada que permiten 0.0.0.0/0 (o ::/0) en SSH (22), RDP (3389) o puertos de base de datos (p. ej. 3306, 5432, 1433).
    Todas las capas Amazon VPC AWS Config
  2. En el punto de entrada público, deja abiertos desde internet solo los puertos que necesita el ALB (443, y 80 para redirigir); termina TLS en el ALB con un certificado de ACM.
    Subred pública Elastic Load Balancing Certificate Manager AWS WAF
  3. Reemplaza las reglas 0.0.0.0/0 entre capas por referencias al security group de origen: el SG de la capa de app permite solo al SG del ALB en el puerto de la app; el SG de la capa de datos permite solo al SG de la capa de app en el puerto de base de datos.
    Capa de app (CDE) → Capa de datos (CDE) Amazon VPC Amazon EC2 Amazon RDS
  4. Elimina todas las reglas de entrada SSH/RDP y usa Systems Manager Session Manager para el acceso administrativo, de modo que no se exponga ningún puerto administrativo.
    Capa de app (CDE) Systems Manager

Cómo validar: Las reglas de AWS Config restricted-ssh y restricted-common-ports reportan COMPLIANT, y los controles de Security Hub EC2.13/EC2.14 no muestran hallazgos fallidos.

Evita: Dejar una regla SSH 0.0.0.0/0 «temporal» para diagnóstico. Usa Session Manager; los puertos abiertos temporales son la exposición más común del CDE.

Una sola cuenta, 3 capas →

Impón el control en cada cuenta del CDE bajo la OU de PCI con un enfoque preventivo primero: Firewall Manager para aplicar y remediar políticas de security groups en toda la organización, una SCP para bloquear la mala configuración en el momento de la autorización, y Config/Security Hub para la detección centralizada.

  1. Usa AWS Firewall Manager (desde la cuenta de herramientas de seguridad como administrador delegado) para aplicar una política de contenido/auditoría de security groups en toda la OU de PCI que marque y remedie automáticamente las reglas que permiten 0.0.0.0/0 en puertos administrativos o de base de datos.
    Cuenta de herramientas de seguridad → OU de PCI Firewall Manager AWS Organizations
  2. Adjunta una SCP a la OU de PCI que deniegue autorizar ingress 0.0.0.0/0 en puertos administrativos, evitando la mala configuración sin importar los permisos IAM locales.
    OU de PCI (guardarraíl) AWS Organizations
  3. Despliega las reglas administradas de AWS Config (restricted-ssh, restricted-common-ports) en toda la organización mediante un conformance pack y agrega los hallazgos en el Security Hub del administrador delegado, para que las exposiciones residuales se vean en un solo lugar.
    Cuenta de herramientas de seguridad AWS Config Security Hub
  4. Estandariza el acceso administrativo con Session Manager, con el enrutamiento entre VPC y la inspección de salida gestionados por la cuenta de red central.
    Cuenta de red/inspección Systems Manager Transit Gateway Network Firewall

Cómo validar: Firewall Manager reporta la política de security groups como conforme (sin recursos no conformes) en toda la OU de PCI, la SCP deniega un intento de prueba de abrir 0.0.0.0/0 en el puerto 22, y restricted-ssh / restricted-common-ports están en COMPLIANT en Config.

Evita: Confiar solo en las reglas detectivas de Config. La detección por sí sola permite que la exposición exista hasta que alguien reaccione; Firewall Manager remedia automáticamente y la SCP la detiene en el momento de la autorización.

Multi-cuenta con un OU dedicado a PCI →

Validación PCI

Métodos de comprobación: examineobserve

Procedimientos de prueba

  • Examinar los estándares y las configuraciones de los NSC para verificar que solo se usan servicios, protocolos y puertos aprobados, cada uno con justificación de negocio (1.2.5.a, 1.2.5.b).
  • Examinar las configuraciones de los NSC para verificar que el tráfico entrante al CDE se restringe al mínimo necesario y que todo el demás tráfico se deniega (1.3.1.b).
  • Examinar las configuraciones de los NSC para verificar que se restringen las conexiones entre redes confiables y no confiables (1.4.1.b).

Evidencia en AWS

  • Reporte de cumplimiento de las reglas de AWS Config restricted-ssh y restricted-common-ports (todos los recursos COMPLIANT).
  • Hallazgos resueltos de Security Hub EC2.13 y EC2.14.
  • Exportación de reglas de Security Groups mostrando ausencia de 0.0.0.0/0 en puertos administrativos.

Enfoque personalizado

Requiere un análisis de riesgo dirigido (Req 12.3.2).

Objetivo del enfoque personalizado

  • 1.2 — La forma en que se configuran y operan los NSC está definida y se aplica de forma consistente.
  • 1.3 — El tráfico no autorizado no puede entrar al CDE.
  • 1.4 — El tráfico no autorizado no puede atravesar los límites de red entre redes confiables y no confiables.

Servicios AWS

Amazon VPC Security Groups AWS Config AWS Security Hub AWS Systems Manager

Recursos de aprendizaje

Referencias

  • AWS Security Hub: EC2.13, EC2.14
  • AWS Security Maturity Model: Cleanup risky open ports