PCI DSS Security Maturity Model·AWS v1.1.0

Arrastra para explorar · pellizca para ampliar
Inicio / Matriz / Requisito 10 / c10.1
Quick Wins Threat DetectionDominio de seguridad de la perspectiva de seguridad del AWS Cloud Adoption Framework (CAF), usado para organizar los controles. 🤝 CompartidaModelo de Responsabilidad Compartida de AWS: quién implementa y opera este control. Cliente = es tuyo; AWS = lo opera AWS y tú lo heredas; Compartida = ambos tienen obligaciones.

c10.1 Habilitar CloudTrail en toda la organización

Registrar todas las llamadas a la API y accesos a componentes del sistema con un trail organizacional de AWS CloudTrail, base para reconstruir eventos y vincular acciones a usuarios individuales.

Quick Wins
Foundational
Efficient
Optimized
Esfuerzo: Bajo Impacto: Alto Aplica al CDE: Sí

Requisito 10

Log and Monitor All Access to System Components and Cardholder Data

Sub-requisitos PCI cubiertosCobertura mostrada por sub-control de PCI DSS v4.0.1. “Cubierto” = atendido por esta recomendación de AWS. “En roadmap” = técnico, planeado. “Tu responsabilidad” = control organizacional/de proceso. “Fuera de alcance” = control físico o de terceros no implementado en AWS.

10.2 Los registros de auditoría capturan eventos relevantes
  • 10.2.1 Audit logs enabled and active for all system components Cubierto
  • 10.2.1.1 Audit logs capture all individual user access to CHD Cubierto
  • 10.2.1.2 Audit logs capture all admin actions Cubierto
  • 10.2.1.3 Audit logs capture all access to audit logs Cubierto
  • 10.2.1.4 Audit logs capture invalid logical access attempts Cubierto
  • 10.2.1.5 Audit logs capture changes to identification/authentication credentials Cubierto
  • 10.2.1.6 Audit logs capture init/stop/pause of audit logs Cubierto
  • 10.2.1.7 Audit logs capture creation/deletion of system-level objects Cubierto
  • 10.2.2 Audit logs record the required details for each event Cubierto

Cómo implementarlo en AWS

Crear un trail de organización en AWS CloudTrail que cubra todas las cuentas y regiones, entregado a un bucket S3 centralizado en una cuenta de logging dedicada. Habilitar data events para los recursos del CDE cuando sea necesario. Verificar la cobertura con Security Hub/Config.

Implementación práctica

Cómo se implementa este control en cada arquitectura de referencia:

Captura toda la actividad de API como base para reconstruir eventos y ligar acciones a individuos.

  1. Habilita un trail de AWS CloudTrail que capture eventos de gestión, y añade eventos de datos para los recursos del CDE (p. ej. los buckets S3 con CHD).
    Registro de la cuenta CloudTrail
  2. Entrega el trail a un bucket S3 dedicado con acceso restringido.
    Registro de la cuenta Amazon S3
  3. Verifica la cobertura de registro con los controles de Config/Security Hub (cloudtrail-enabled).
    Detección en toda la cuenta AWS Config Security Hub

Cómo validar: CloudTrail está activo para eventos de gestión (y de datos del CDE), los logs llegan al bucket dedicado, y el control cloudtrail-enabled pasa.

Evita: Registrar solo eventos de gestión. El acceso a CHD en S3 necesita eventos de datos; habilítalos para los recursos del CDE.

Una sola cuenta, 3 capas →

Registra cada cuenta automáticamente con un trail de organización entregado a un bucket de log-archive centralizado y dedicado.

  1. Crea un trail de organización de CloudTrail desde la cuenta de gestión para que cada cuenta actual y futura quede registrada sin configuración por cuenta.
    Cuenta de gestión → OU de PCI CloudTrail AWS Organizations
  2. Entrega todos los trails al bucket centralizado en la cuenta dedicada de log-archive.
    Cuenta de log-archive Amazon S3
  3. Habilita eventos de datos para los recursos del CDE y confirma la cobertura con el agregador de Config.
    Cuenta de herramientas de seguridad AWS Config

Cómo validar: El trail de organización muestra todas las cuentas inscritas, los logs llegan al bucket de log-archive, y se capturan los eventos de datos del CDE.

Evita: Un trail separado por cuenta. Las cuentas nuevas se omiten; usa un solo trail de organización.

Multi-cuenta con un OU dedicado a PCI →

Validación PCI

Métodos de comprobación: examineobserve

Procedimientos de prueba

  • Entrevistar al administrador y examinar las configuraciones para verificar que los registros de auditoría están habilitados y activos para todos los componentes del sistema (10.2.1).
  • Examinar las configuraciones y los datos de los registros para verificar la captura de: acceso individual de usuarios a CHD, todas las acciones administrativas, acceso a los registros de auditoría, intentos de acceso inválidos, cambios de credenciales y creación/eliminación de objetos a nivel de sistema (10.2.1.1 a 10.2.1.7).

Evidencia en AWS

  • Trail de organización de CloudTrail activo en todas las cuentas/regiones.
  • Entrega de logs al bucket S3 centralizado en la cuenta de logging.
  • Configuración de data events para recursos del CDE cuando aplique.

Enfoque personalizado

Requiere un análisis de riesgo dirigido (Req 12.3.2).

Objetivo del enfoque personalizado

  • 10.2 — Se capturan registros de todas las actividades que afectan a los componentes del sistema y a los datos del titular de la tarjeta.

Servicios AWS

AWS CloudTrail Amazon S3 AWS Organizations

Recursos de aprendizaje

Referencias

  • AWS Security Maturity Model: API audit logging