PCI DSS Security Maturity Model·AWS v1.1.0

Arrastra para explorar · pellizca para ampliar
Inicio / Matriz / Requisito 11 / c11.4
Efficient Application SecurityDominio de seguridad de la perspectiva de seguridad del AWS Cloud Adoption Framework (CAF), usado para organizar los controles. 🤝 CompartidaModelo de Responsabilidad Compartida de AWS: quién implementa y opera este control. Cliente = es tuyo; AWS = lo opera AWS y tú lo heredas; Compartida = ambos tienen obligaciones.

c11.4 Detección de cambios no autorizados en páginas de pago

Detectar y alertar sobre cambios o manipulación no autorizada de los encabezados HTTP y del contenido de las páginas de pago recibidas por el navegador del consumidor (nuevo en v4.0).

Quick Wins
Foundational
Efficient
Optimized
Esfuerzo: Alto Impacto: Medio Aplica al CDE: Sí

Requisito 11

Test Security of Systems and Networks Regularly

Sub-requisitos PCI cubiertosCobertura mostrada por sub-control de PCI DSS v4.0.1. “Cubierto” = atendido por esta recomendación de AWS. “En roadmap” = técnico, planeado. “Tu responsabilidad” = control organizacional/de proceso. “Fuera de alcance” = control físico o de terceros no implementado en AWS.

11.6 Detección de cambios y manipulación no autorizada en páginas de pago
  • 11.6.1 Change/tamper detection on payment pages alerts on modifications En roadmap

Cómo implementarlo en AWS

Implementar mecanismos de monitoreo de integridad de scripts y cabeceras (p. ej. CSP con reporte, Subresource Integrity, tamper detection) sirviendo la página vía CloudFront. Enviar reportes de violaciones a un endpoint monitoreado (API Gateway/Lambda) y alertar. Evaluar el contenido de la página al menos cada 7 días.

Implementación práctica

Cómo se implementa este control en cada arquitectura de referencia:

Detecta el skimming/manipulación de scripts y encabezados de la página de pago tal como los recibe el navegador, y alerta ante cambios (nuevo en v4.0).

  1. Sirve las páginas de pago vía CloudFront y añade encabezados de seguridad de respuesta (CSP con reporte) y Subresource Integrity (SRI) en los scripts.
    Subred pública / edge CloudFront
  2. Envía los reportes de violación de CSP / integridad a un endpoint monitoreado (API Gateway + Lambda) y genera una alerta.
    Automatización de la cuenta API Gateway AWS Lambda EventBridge
  3. Evalúa el inventario de scripts/encabezados de la página de pago al menos cada 7 días (o la frecuencia de un análisis de riesgo dirigido).
    Automatización de la cuenta AWS Lambda

Cómo validar: CSP/SRI están configurados en la página de pago, los reportes de violación llegan al endpoint y alertan, y hay evidencia de evaluación al menos semanal.

Evita: Confiar en scripts de terceros en la página de pago sin verificaciones de integridad. Usa SRI + reporte de CSP para que los scripts inyectados/alterados disparen una alerta.

Una sola cuenta, 3 capas →

Estandariza el mecanismo de detección de manipulación en cada cuenta que aloja páginas de pago, reportando a un endpoint central.

  1. Aplica el mismo patrón de CloudFront CSP/SRI a cada cuenta del CDE que sirva páginas de pago.
    Cada cuenta del CDE con páginas de pago CloudFront
  2. Entrega los reportes de violación a un endpoint de monitoreo central (API Gateway/Lambda en una cuenta compartida).
    Cuenta de herramientas de seguridad / compartida API Gateway AWS Lambda
  3. Alerta a través de la cuenta de herramientas de seguridad para que la manipulación de páginas de pago en cualquier lugar se detecte de forma consistente.
    Cuenta de herramientas de seguridad EventBridge Security Hub

Cómo validar: Cada cuenta con páginas de pago aplica CSP/SRI, y los reportes de violación de todas ellas llegan al endpoint central y alertan.

Evita: Detección de manipulación divergente por cuenta. Estandariza el mecanismo y centraliza el reporte para que nada se omita.

Multi-cuenta con un OU dedicado a PCI →

Validación PCI

Métodos de comprobación: examineobserve

Procedimientos de prueba

  • Examinar los ajustes y los resultados de monitoreo para verificar que hay un mecanismo de detección de cambios y manipulación desplegado en las páginas de pago y configurado conforme al requisito (11.6.1.a, 11.6.1.b).
  • Examinar las configuraciones y entrevistar al personal para verificar que el mecanismo se ejecuta al menos una vez por semana o con la frecuencia definida por un análisis de riesgo dirigido (11.6.1.d).

Evidencia en AWS

  • Configuración de CSP/SRI y del mecanismo de detección de manipulación en la página de pago.
  • Endpoint de recepción de reportes (API Gateway/Lambda) y alarmas asociadas.
  • Evidencia de evaluación al menos cada 7 días.

Enfoque personalizado

Requiere un análisis de riesgo dirigido (Req 12.3.2).

Objetivo del enfoque personalizado

  • 11.6 — El código o las técnicas de skimming de comercio electrónico no pueden añadirse a las páginas de pago recibidas por el navegador del consumidor sin que se genere una alerta oportuna.

Servicios AWS

Amazon CloudFront AWS Lambda Amazon API Gateway Amazon CloudWatch

Recursos de aprendizaje

Referencias

  • PCI DSS v4.0.1 Requirement 11.6