PCI DSS Security Maturity Model·AWS v1.1.0

Arrastra para explorar · pellizca para ampliar
Inicio / Matriz / Requisito 10 / c10.6
Quick Wins Threat DetectionDominio de seguridad de la perspectiva de seguridad del AWS Cloud Adoption Framework (CAF), usado para organizar los controles. 🤝 CompartidaModelo de Responsabilidad Compartida de AWS: quién implementa y opera este control. Cliente = es tuyo; AWS = lo opera AWS y tú lo heredas; Compartida = ambos tienen obligaciones.

c10.6 Mantén los relojes del sistema consistentes con Amazon Time Sync

Sincroniza y protege la hora del sistema en todos los componentes usando el Amazon Time Sync Service para que las marcas de tiempo de los registros de auditoría sean precisas y consistentes.

Quick Wins
Foundational
Efficient
Optimized
Esfuerzo: Bajo Impacto: Medio Aplica al CDE: Sí

Requisito 10

Log and Monitor All Access to System Components and Cardholder Data

Sub-requisitos PCI cubiertosCobertura mostrada por sub-control de PCI DSS v4.0.1. “Cubierto” = atendido por esta recomendación de AWS. “En roadmap” = técnico, planeado. “Tu responsabilidad” = control organizacional/de proceso. “Fuera de alcance” = control físico o de terceros no implementado en AWS.

10.6 Sincronización de tiempo (NTP)
  • 10.6.1 System clocks and time synchronized using time-sync technology Cubierto
  • 10.6.2 Systems configured to correct and consistent time Cubierto
  • 10.6.3 Time synchronization settings and data protected Cubierto

Cómo implementarlo en AWS

Usa el Amazon Time Sync Service a través del endpoint link-local (169.254.169.123 IPv4 / fd00:ec2::123 IPv6, accesible en EC2 sin acceso a internet) como fuente de hora para todas las instancias. Nota: la fuente NTP es configuración a nivel del SO dentro de la instancia, no un ajuste de IAM; gestiónala e imponla con Systems Manager (State Manager / RunCommand) y restringe quién puede iniciar sesión en las instancias. Monitorea la deriva del reloj con Amazon CloudWatch (por ejemplo, usando ClockBound) y alerta ante fallos de sincronización. Los contenedores y servicios gestionados heredan la hora sincronizada del host.

Implementación práctica

Cómo se implementa este control en cada arquitectura de referencia:

Apunta cada instancia al endpoint link-local de Amazon Time Sync mediante configuración de SO gestionada por SSM, y monitorea la deriva con CloudWatch.

  1. Configura el cliente NTP del SO para usar el endpoint link-local de Amazon Time Sync (169.254.169.123 / fd00:ec2::123).
    Todas las instancias (CDE) Amazon EC2
  2. Gestiona e impón esa configuración NTP a nivel del SO con Systems Manager (asociación de State Manager), y restringe el inicio de sesión en las instancias para que la configuración de hora no pueda cambiarse de forma ad hoc.
    Todas las instancias (CDE) Systems Manager
  3. Monitorea la deriva del reloj y alerta ante fallos de sincronización con CloudWatch (p. ej., métricas de ClockBound).
    Todas las instancias (CDE) CloudWatch

Cómo validar: Las instancias resuelven la hora desde el endpoint de Amazon Time Sync, la configuración NTP se impone vía SSM, y CloudWatch alerta ante deriva/fallo.

Evita: Tratar la configuración de hora como un permiso de IAM o suponer que existe una regla gestionada de Config para NTP; es configuración de SO, impuesta vía SSM y monitoreada vía CloudWatch.

Una sola cuenta, 3 capas →

Estandariza la configuración de SO de Amazon Time Sync mediante imágenes doradas + SSM entre cuentas, y centraliza las alertas de deriva.

  1. Incorpora la configuración NTP de Amazon Time Sync en AMIs doradas / launch templates usados entre cuentas.
    Todas las cuentas Amazon EC2
  2. Impón y remedia la configuración NTP del SO en toda la flota con Systems Manager; usa una regla personalizada de Config (Lambda) si necesitas reporte del estado de configuración (no hay regla gestionada de NTP).
    Todas las cuentas Systems Manager AWS Config
  3. Centraliza las alertas de deriva de reloj y fallo de sincronización en la cuenta de seguridad vía CloudWatch.
    Cuenta de seguridad CloudWatch

Cómo validar: Las imágenes doradas fijan el endpoint de Amazon Time Sync; SSM impone la configuración de SO entre cuentas; CloudWatch centraliza las alertas de deriva.

Evita: Depender de una regla gestionada de Config inexistente para la sincronización de hora. Impón vía SSM; reporta mediante una regla personalizada o CloudWatch.

Multi-cuenta con un OU dedicado a PCI →

Validación PCI

Métodos de comprobación: examineobserve

Procedimientos de prueba

  • Examinar la configuración de hora del SO de las instancias para verificar que usa el Amazon Time Sync Service, que la configuración se impone (p. ej., vía Systems Manager) y que la deriva se monitorea y se alerta.

Evidencia en AWS

  • Configuración NTP/chrony del SO apuntando a 169.254.169.123 / fd00:ec2::123
  • Asociación de State Manager de Systems Manager imponiendo la configuración de hora
  • Alarmas de CloudWatch para deriva de reloj / fallo de sincronización

Enfoque personalizado

Objetivo del enfoque personalizado

  • 10.6 — Los relojes y la hora del sistema están sincronizados y los datos de hora están protegidos.

Servicios AWS

Amazon Time Sync Service Amazon EC2 AWS Systems Manager Amazon CloudWatch

Recursos de aprendizaje

Referencias

  • https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/set-time.html