PCI DSS Security Maturity Model·AWS v1.1.0

Arrastra para explorar · pellizca para ampliar
Inicio / Matriz / Requisito 11 / c11.3
Foundational Threat DetectionDominio de seguridad de la perspectiva de seguridad del AWS Cloud Adoption Framework (CAF), usado para organizar los controles. 🤝 CompartidaModelo de Responsabilidad Compartida de AWS: quién implementa y opera este control. Cliente = es tuyo; AWS = lo opera AWS y tú lo heredas; Compartida = ambos tienen obligaciones.

c11.3 Detección de intrusiones en la red

Usar técnicas de detección de intrusiones para detectar y alertar sobre intrusiones en el perímetro y en puntos críticos del CDE, manteniendo los mecanismos actualizados.

Quick Wins
Foundational
Efficient
Optimized
Esfuerzo: Medio Impacto: Alto Aplica al CDE: Sí

Requisito 11

Test Security of Systems and Networks Regularly

Sub-requisitos PCI cubiertosCobertura mostrada por sub-control de PCI DSS v4.0.1. “Cubierto” = atendido por esta recomendación de AWS. “En roadmap” = técnico, planeado. “Tu responsabilidad” = control organizacional/de proceso. “Fuera de alcance” = control físico o de terceros no implementado en AWS.

11.5 Detección y respuesta ante intrusiones en la red
  • 11.5.1 Intrusion-detection/prevention techniques detect/alert/prevent Cubierto
  • 11.5.1.1 IDS/IPS detects, alerts, and addresses covert malware (SP only) Cubierto
  • 11.5.2 Change-detection mechanism (FIM) alerts on unauthorized changes Cubierto

Cómo implementarlo en AWS

Habilitar GuardDuty (incluyendo análisis de VPC Flow Logs y DNS) para detección de intrusiones sin agentes. Complementar con reglas IPS de AWS Network Firewall (Suricata) en el perímetro del CDE. Alertar y responder a hallazgos mediante Security Hub/EventBridge.

Implementación práctica

Cómo se implementa este control en cada arquitectura de referencia:

Detecta intrusiones en el perímetro y en puntos críticos del CDE con detección sin agente más IPS, y mantén los mecanismos al día.

  1. Habilita GuardDuty con VPC Flow Logs y análisis de DNS para detección de intrusiones sin agente.
    Detección en toda la cuenta GuardDuty Amazon VPC
  2. Añade reglas IPS de AWS Network Firewall (firmas Suricata) en el perímetro del CDE, manteniendo el conjunto de reglas actualizado.
    Subredes de inspección (en la VPC) Network Firewall
  3. Alerta y responde a los hallazgos mediante Security Hub y EventBridge.
    Automatización de la cuenta Security Hub EventBridge

Cómo validar: GuardDuty cubre flow/DNS, el IPS de Network Firewall está activo en el perímetro con firmas actuales, y los hallazgos generan alertas.

Evita: Confiar solo en security groups para la detección de intrusiones. Filtran pero no detectan/alertan; añade GuardDuty e IPS.

Una sola cuenta, 3 capas →

Detecta intrusiones en cada cuenta del CDE con GuardDuty en toda la organización e IPS gestionado de forma central en la VPC de inspección.

  1. Ejecuta GuardDuty en toda la organización (administrador delegado) para que la detección basada en flow/DNS cubra cada cuenta del CDE.
    Cuenta de herramientas de seguridad → OU de PCI GuardDuty AWS Organizations
  2. Aplica IPS de forma central en la VPC de inspección (cuenta de red) con un conjunto de reglas de Network Firewall gestionado de forma consistente.
    Cuenta de red/inspección Network Firewall Transit Gateway
  3. Alerta de forma central desde la cuenta de herramientas de seguridad para que las respuestas sean consistentes.
    Cuenta de herramientas de seguridad Security Hub EventBridge

Cómo validar: GuardDuty está habilitado en toda la organización, todo el tráfico del CDE transita el IPS central, y las alertas de intrusión aparecen de forma central.

Evita: Un IPS separado por cuenta. La política se desvía; centraliza la inspección en la cuenta de red.

Multi-cuenta con un OU dedicado a PCI →

Validación PCI

Métodos de comprobación: examineobserve

Procedimientos de prueba

  • Examinar las configuraciones del sistema y los diagramas de red para verificar que las técnicas de detección/prevención de intrusiones monitorean el tráfico en el perímetro y en puntos críticos del CDE (11.5.1.a).
  • Examinar las configuraciones y entrevistar al personal para verificar que las técnicas alertan al personal ante compromisos sospechados y se mantienen actualizadas (motores, líneas base, firmas) (11.5.1.b, 11.5.1.c).

Evidencia en AWS

  • GuardDuty habilitado con análisis de VPC Flow Logs y DNS.
  • Reglas IPS de AWS Network Firewall activas en el perímetro del CDE.
  • Alertas y tratamiento de hallazgos en Security Hub.

Enfoque personalizado

Requiere un análisis de riesgo dirigido (Req 12.3.2).

Objetivo del enfoque personalizado

  • 11.5 — Se implementan mecanismos para detectar en tiempo real tráfico de red sospechoso o anómalo que pueda indicar actividad de actores de amenaza, y las alertas se atienden.

Servicios AWS

Amazon GuardDuty AWS Network Firewall AWS Security Hub

Recursos de aprendizaje

Referencias

  • PCI DSS v4.0.1 Requirement 11.5