PCI DSS Security Maturity Model·AWS v1.1.0

Arrastra para explorar · pellizca para ampliar
Inicio / Matriz / Requisito 10 / c10.4
Efficient Threat DetectionDominio de seguridad de la perspectiva de seguridad del AWS Cloud Adoption Framework (CAF), usado para organizar los controles. 🤝 CompartidaModelo de Responsabilidad Compartida de AWS: quién implementa y opera este control. Cliente = es tuyo; AWS = lo opera AWS y tú lo heredas; Compartida = ambos tienen obligaciones.

c10.4 Revisión automatizada de logs y detección de anomalías

Revisar los registros de auditoría de forma automatizada para identificar actividad anómala o sospechosa, superando la revisión manual diaria mediante mecanismos automáticos.

Quick Wins
Foundational
Efficient
Optimized
Esfuerzo: Medio Impacto: Medio Aplica al CDE: Sí

Requisito 10

Log and Monitor All Access to System Components and Cardholder Data

Sub-requisitos PCI cubiertosCobertura mostrada por sub-control de PCI DSS v4.0.1. “Cubierto” = atendido por esta recomendación de AWS. “En roadmap” = técnico, planeado. “Tu responsabilidad” = control organizacional/de proceso. “Fuera de alcance” = control físico o de terceros no implementado en AWS.

10.4 Revisión de los registros de auditoría para identificar anomalías
  • 10.4.1 Daily review of security events and critical component logs Cubierto
  • 10.4.1.1 Automated mechanisms used to perform log reviews Cubierto
  • 10.4.2 Logs of other system components reviewed periodically Tu responsabilidad
  • 10.4.2.1 Frequency of periodic reviews defined by targeted risk analysis Tu responsabilidad
  • 10.4.3 Exceptions and anomalies identified during review are addressed Tu responsabilidad

Cómo implementarlo en AWS

Analizar logs con CloudWatch Logs Insights y detección de anomalías. Correlacionar señales con GuardDuty y consolidar en Security Hub. Definir alarmas y métricas para eventos críticos de seguridad. Documentar la revisión diaria de eventos de alto riesgo mediante mecanismos automatizados.

Implementación práctica

Cómo se implementa este control en cada arquitectura de referencia:

Revisa los logs con mecanismos automatizados (no solo a ojo) para exponer actividad anómala o sospechosa a diario.

  1. Analiza los logs con consultas de CloudWatch Logs Insights y metric filters para eventos de alto riesgo (uso de root, cambios de política, autenticación fallida).
    Detección en toda la cuenta CloudWatch
  2. Correlaciona señales con GuardDuty y consolida en Security Hub como la revisión diaria automatizada.
    Detección en toda la cuenta GuardDuty Security Hub
  3. Define alarmas para eventos de seguridad críticos y documenta que la revisión diaria es automatizada (10.4.1.1).
    Automatización de la cuenta CloudWatch

Cómo validar: Logs Insights/metric filters y GuardDuty alimentan Security Hub, las alarmas se disparan ante eventos de alto riesgo, y el proceso de revisión automatizada está documentado.

Evita: Desplazamiento manual diario de logs. No escala y omite eventos; usa mecanismos automatizados como espera 10.4.1.1.

Una sola cuenta, 3 capas →

Agrega los logs y detecciones de forma central para que la revisión de anomalías abarque cada cuenta del CDE desde un solo panel.

  1. Agrega los hallazgos de GuardDuty y Config/Security Hub en la cuenta de herramientas de seguridad del administrador delegado.
    Cuenta de herramientas de seguridad Security Hub GuardDuty
  2. Opcionalmente ejecuta OpenSearch y/o Amazon Detective sobre los logs centralizados para un análisis de anomalías más profundo.
    Cuenta de herramientas de seguridad OpenSearch Service Amazon Detective
  3. Alerta y rastrea las excepciones de forma central para que las anomalías en cualquier cuenta se revisen y aborden.
    Cuenta de herramientas de seguridad EventBridge

Cómo validar: La cuenta de herramientas de seguridad muestra hallazgos correlacionados en todas las cuentas, y las excepciones de anomalías se rastrean hasta su resolución de forma central.

Evita: Revisar los logs de cada cuenta por separado. Agrega las detecciones de forma central para que la revisión sea completa y consistente.

Multi-cuenta con un OU dedicado a PCI →

Validación PCI

Métodos de comprobación: examineobserve

Procedimientos de prueba

  • Examinar las políticas y observar los procesos para verificar que los registros requeridos se revisan al menos una vez al día (10.4.1.a, 10.4.1.b).
  • Examinar los mecanismos de revisión de registros y entrevistar al personal para verificar que se usan mecanismos automatizados para realizar las revisiones (10.4.1.1).
  • Observar los procesos y entrevistar al personal para verificar que las excepciones y anomalías identificadas durante la revisión se atienden (10.4.3.b).

Evidencia en AWS

  • Consultas/alarmas de CloudWatch Logs Insights sobre eventos de seguridad.
  • Hallazgos de GuardDuty consolidados en Security Hub.
  • Evidencia de revisión automatizada de logs de alto riesgo.

Enfoque personalizado

Requiere un análisis de riesgo dirigido (Req 12.3.2).

Objetivo del enfoque personalizado

  • 10.4 — Las actividades potencialmente sospechosas o anómalas se identifican rápidamente para minimizar el impacto.

Servicios AWS

Amazon CloudWatch Amazon GuardDuty AWS Security Hub Amazon OpenSearch Service

Recursos de aprendizaje

Referencias

  • AWS Security Maturity Model: Alarms and analysis
  • PCI DSS v4.0.1 Requirement 10.4