PCI DSS Security Maturity Model·AWS v1.1.0

Arrastra para explorar · pellizca para ampliar
Inicio / Matriz / Requisito 10 / c10.3
Quick Wins Infrastructure ProtectionDominio de seguridad de la perspectiva de seguridad del AWS Cloud Adoption Framework (CAF), usado para organizar los controles. 🤝 CompartidaModelo de Responsabilidad Compartida de AWS: quién implementa y opera este control. Cliente = es tuyo; AWS = lo opera AWS y tú lo heredas; Compartida = ambos tienen obligaciones.

c10.3 Sincronización de tiempo confiable (10.6)

Asegurar que los relojes de los sistemas están sincronizados con una fuente de tiempo confiable para que las marcas de tiempo de los logs sean consistentes y confiables.

Quick Wins
Foundational
Efficient
Optimized
Esfuerzo: Bajo Impacto: Medio Aplica al CDE: Sí

Requisito 10

Log and Monitor All Access to System Components and Cardholder Data

Sub-requisitos PCI cubiertosCobertura mostrada por sub-control de PCI DSS v4.0.1. “Cubierto” = atendido por esta recomendación de AWS. “En roadmap” = técnico, planeado. “Tu responsabilidad” = control organizacional/de proceso. “Fuera de alcance” = control físico o de terceros no implementado en AWS.

10.6 Sincronización de tiempo (NTP)
  • 10.6.1 System clocks and time synchronized using time-sync technology Cubierto
  • 10.6.2 Systems configured to correct and consistent time Cubierto
  • 10.6.3 Time synchronization settings and data protected Cubierto

Cómo implementarlo en AWS

Usar el Amazon Time Sync Service (NTP a 169.254.169.123) en todas las instancias EC2. Restringir quién puede modificar la configuración de tiempo. Verificar la sincronización de forma centralizada. Los servicios gestionados de AWS ya usan tiempo sincronizado.

Implementación práctica

Cómo se implementa este control en cada arquitectura de referencia:

Sincroniza todos los relojes con una fuente confiable para que las marcas de tiempo de los logs sean consistentes y fiables.

  1. Configura el Amazon Time Sync Service (169.254.169.123) en todas las instancias EC2 mediante la imagen base o SSM.
    Capa de app (CDE) / Capa de datos (CDE) Amazon EC2 Systems Manager
  2. Restringe quién puede cambiar la configuración de hora y registra los cambios a la configuración de tiempo en los sistemas críticos.
    Capa de app (CDE) / Capa de datos (CDE) IAM CloudTrail

Cómo validar: Las instancias se sincronizan con el Amazon Time Sync Service, los cambios de configuración de hora están restringidos y registrados, y los relojes coinciden entre componentes.

Evita: Dejar que cada instancia use NTP público arbitrario. Estandariza en el Amazon Time Sync Service para una fuente consistente y confiable.

Una sola cuenta, 3 capas →

Estandariza la fuente de tiempo en cada base de cuenta para que todas las cuentas del CDE coincidan en la hora.

  1. Incorpora el Amazon Time Sync Service en la golden AMI y las bases de cuenta (Control Tower / IaC) para que cada cuenta lo use por defecto.
    Base de cuenta (todas las cuentas) Control Tower EC2 Image Builder
  2. Restringe y registra los cambios de configuración de hora de forma consistente entre cuentas.
    Cada cuenta de carga del CDE IAM CloudTrail

Cómo validar: Cada base de cuenta impone el Amazon Time Sync Service y el registro de cambios de hora es consistente en toda la organización.

Evita: Configurar la hora por cuenta a mano. Incorpórala en la base para que ninguna cuenta se desvíe a una fuente no confiable.

Multi-cuenta con un OU dedicado a PCI →

Validación PCI

Métodos de comprobación: examineobserve

Procedimientos de prueba

  • Examinar los ajustes de configuración para verificar que la tecnología de sincronización de tiempo está implementada y actualizada (10.6.1).
  • Examinar las configuraciones de adquisición, distribución y almacenamiento del tiempo correcto (10.6.2), y verificar que el acceso a los datos de tiempo está restringido y que los cambios de configuración de tiempo en sistemas críticos se registran, monitorean y revisan (10.6.3.a, 10.6.3.b).

Evidencia en AWS

  • Configuración de Amazon Time Sync Service en las instancias en alcance.
  • Restricción de permisos para cambiar la configuración de tiempo.
  • Evidencia de sincronización de relojes en los componentes del sistema.

Enfoque personalizado

Requiere un análisis de riesgo dirigido (Req 12.3.2).

Objetivo del enfoque personalizado

  • 10.6 — Se establece una hora común en todos los sistemas.

Servicios AWS

Amazon Time Sync Service Amazon EC2

Recursos de aprendizaje

Referencias

  • PCI DSS v4.0.1 Requirement 10.6