PCI DSS Security Maturity Model·AWS v1.1.0

Arrastra para explorar · pellizca para ampliar
Inicio / Matriz / Requisito 10 / c10.2
Foundational Threat DetectionDominio de seguridad de la perspectiva de seguridad del AWS Cloud Adoption Framework (CAF), usado para organizar los controles. 🤝 CompartidaModelo de Responsabilidad Compartida de AWS: quién implementa y opera este control. Cliente = es tuyo; AWS = lo opera AWS y tú lo heredas; Compartida = ambos tienen obligaciones.

c10.2 Centralizar y proteger los logs frente a alteración

Proteger los registros de auditoría frente a modificación o eliminación no autorizada y retenerlos conforme al periodo exigido (al menos 12 meses, con 3 meses de acceso inmediato).

Quick Wins
Foundational
Efficient
Optimized
Esfuerzo: Medio Impacto: Alto Aplica al CDE: Sí

Requisito 10

Log and Monitor All Access to System Components and Cardholder Data

Sub-requisitos PCI cubiertosCobertura mostrada por sub-control de PCI DSS v4.0.1. “Cubierto” = atendido por esta recomendación de AWS. “En roadmap” = técnico, planeado. “Tu responsabilidad” = control organizacional/de proceso. “Fuera de alcance” = control físico o de terceros no implementado en AWS.

10.3 Protección de los registros de auditoría frente a alteración
  • 10.3.1 Read access to audit log files limited to those with a need Cubierto
  • 10.3.2 Audit log files protected to prevent modifications Cubierto
  • 10.3.3 Audit log files promptly backed up to secure central location Cubierto
  • 10.3.4 File integrity monitoring/change detection on audit logs Cubierto
10.5 Retención del historial de registros de auditoría
  • 10.5.1 Audit log history retained >=12 months, 3 months immediately available Cubierto

Cómo implementarlo en AWS

Habilitar validación de integridad de archivos de CloudTrail (log file validation). Aplicar S3 Object Lock (WORM) y políticas restrictivas en el bucket de logs, con acceso limitado en una cuenta dedicada. Cifrar los logs con KMS. Definir S3 Lifecycle para retención >= 12 meses (Glacier para archivado, con 3 meses disponibles de inmediato).

Implementación práctica

Cómo se implementa este control en cada arquitectura de referencia:

Haz los logs resistentes a manipulación y consérvalos al menos 12 meses, con 3 meses disponibles de inmediato.

  1. Habilita la validación de integridad de archivos de log de CloudTrail para que la manipulación sea detectable.
    Registro de la cuenta CloudTrail
  2. Aplica S3 Object Lock (WORM) y una política de bucket restrictiva, y cifra los logs con una clave de KMS.
    Registro de la cuenta Amazon S3 AWS KMS
  3. Configura una política de S3 Lifecycle para retención >=12 meses (nivel de archivado para logs antiguos), manteniendo los 3 meses más recientes disponibles de inmediato.
    Registro de la cuenta Amazon S3

Cómo validar: La validación de integridad está activa, Object Lock protege el bucket, y Lifecycle demuestra retención >=12 meses con 3 meses fácilmente consultables.

Evita: Un bucket de logs del que los administradores pueden borrar. Usa Object Lock (WORM) y restringe el acceso para que los logs no puedan alterarse ni eliminarse.

Una sola cuenta, 3 capas →

Centraliza todos los logs en una cuenta dedicada de log-archive para que sean resistentes a manipulación y estén fuera del alcance incluso del resto de la organización.

  1. Entrega todos los trails a la cuenta dedicada de log-archive con Object Lock y KMS.
    Cuenta de log-archive Amazon S3 AWS KMS
  2. Restringe el acceso al bucket de log-archive para que ni siquiera los administradores de la organización puedan modificar o eliminar logs.
    Cuenta de log-archive AWS Organizations Amazon S3
  3. Aplica una retención de Lifecycle consistente (>=12 meses) en los logs consolidados.
    Cuenta de log-archive Amazon S3

Cómo validar: Los logs de todas las cuentas del CDE llegan al bucket bloqueado de log-archive, el acceso está restringido en toda la organización, y la retención cumple los 12 meses.

Evita: Guardar los logs en la misma cuenta que los genera. Una cuenta comprometida podría manipular sus propios logs; centraliza en una cuenta de archivo bloqueada.

Multi-cuenta con un OU dedicado a PCI →

Validación PCI

Métodos de comprobación: examineobserve

Procedimientos de prueba

  • Examinar las configuraciones y los privilegios para verificar que el acceso de lectura a los registros se limita a quienes tienen necesidad laboral y que los registros están protegidos frente a modificación (10.3.1, 10.3.2).
  • Examinar las configuraciones de respaldo para verificar que los registros se respaldan con prontitud a un servidor central seguro difícil de modificar, con integridad de archivos/detección de cambios en uso (10.3.3, 10.3.4).
  • Examinar las configuraciones de retención para verificar que el historial de registros se retiene al menos 12 meses, con los 3 meses más recientes disponibles de inmediato (10.5.1.b, 10.5.1.c).

Evidencia en AWS

  • Log file validation de CloudTrail habilitada.
  • S3 Object Lock (WORM) y política del bucket de logs con acceso restringido.
  • Reglas de S3 Lifecycle evidenciando retención >= 12 meses y cifrado KMS.

Enfoque personalizado

Requiere un análisis de riesgo dirigido (Req 12.3.2).

Objetivo del enfoque personalizado

  • 10.3 — Los registros de actividad almacenados no pueden ser accedidos por personal no autorizado y están protegidos frente a destrucción y modificación no autorizada.
  • 10.5 — Los registros históricos de actividad están disponibles de inmediato para apoyar la respuesta a incidentes y se retienen al menos 12 meses.

Servicios AWS

AWS CloudTrail Amazon S3 AWS KMS Amazon CloudWatch Logs

Recursos de aprendizaje

Referencias

  • AWS Security Maturity Model: Centralized logging
  • PCI DSS v4.0.1 Requirements 10.3, 10.5