PCI DSS Security Maturity Model·AWS v1.1.0

Arrastra para explorar · pellizca para ampliar
Inicio / Matriz / Requisito 2 / c2.1
Quick Wins Infrastructure ProtectionDominio de seguridad de la perspectiva de seguridad del AWS Cloud Adoption Framework (CAF), usado para organizar los controles. 🤝 CompartidaModelo de Responsabilidad Compartida de AWS: quién implementa y opera este control. Cliente = es tuyo; AWS = lo opera AWS y tú lo heredas; Compartida = ambos tienen obligaciones.

c2.1 Eliminar credenciales y configuraciones por defecto

Cambiar o eliminar todas las contraseñas, cuentas y ajustes por defecto de proveedor en componentes del sistema antes de ponerlos en producción. Es un quick win directo contra vías de ataque conocidas.

Quick Wins
Foundational
Efficient
Optimized
Esfuerzo: Bajo Impacto: Alto Aplica al CDE: Sí

Requisito 2

Apply Secure Configurations to All System Components

Sub-requisitos PCI cubiertosCobertura mostrada por sub-control de PCI DSS v4.0.1. “Cubierto” = atendido por esta recomendación de AWS. “En roadmap” = técnico, planeado. “Tu responsabilidad” = control organizacional/de proceso. “Fuera de alcance” = control físico o de terceros no implementado en AWS.

2.2 Configuraciones seguras aplicadas a todos los componentes del sistema
  • 2.2.1 Configuration standards developed, implemented, and maintained Cubierto
  • 2.2.2 Vendor default accounts managed (removed/disabled or secured) Cubierto
  • 2.2.3 Primary functions with different security levels isolated Cubierto
  • 2.2.4 Only necessary services, protocols, daemons, and functions enabled Cubierto
  • 2.2.5 Insecure services/protocols: business justification and mitigations Cubierto
  • 2.2.6 System security parameters configured to prevent misuse Cubierto
  • 2.2.7 All non-console administrative access is encrypted Cubierto

Cómo implementarlo en AWS

Usar imágenes base endurecidas (Golden AMIs) creadas con EC2 Image Builder que no contengan credenciales por defecto. Deshabilitar cuentas por defecto no utilizadas. Gestionar cualquier secreto necesario en AWS Secrets Manager en lugar de valores por defecto embebidos. Prohibir el uso de contraseñas por defecto mediante controles de configuración.

Implementación práctica

Cómo se implementa este control en cada arquitectura de referencia:

Arranca cada instancia del CDE desde una imagen endurecida sin cuentas, contraseñas ni configuraciones por defecto del proveedor, y mantén los secretos fuera de la imagen.

  1. Construye las AMIs de las capas de app y datos con un pipeline de endurecimiento de EC2 Image Builder que elimine o deshabilite las cuentas por defecto del sistema operativo y aplique tu estándar de configuración.
    Base de la cuenta (golden AMIs) EC2 Image Builder
  2. Guarda cualquier secreto de arranque que necesite la instancia en Secrets Manager e inyéctalo al lanzar, en lugar de incrustar valores por defecto en la imagen o en el user data.
    Capa de app (CDE) / Capa de datos (CDE) Secrets Manager
  3. Confirma que las cuentas por defecto sin uso estén deshabilitadas antes de que la instancia se una a las subredes del CDE.
    Capa de app (CDE) / Capa de datos (CDE) Amazon EC2 Systems Manager

Cómo validar: La receta de Image Builder muestra los componentes de endurecimiento/eliminación de cuentas, y un inventario de las instancias en ejecución no muestra cuentas por defecto activas.

Evita: Endurecer las instancias a mano después del lanzamiento. Los pasos manuales se desvían y se omiten; incorpora la base sin valores por defecto en la imagen para que cada instancia arranque conforme.

Una sola cuenta, 3 capas →

Produce una base de golden AMI de forma central y distribúyela a cada cuenta del CDE, para que ninguna cuenta arranque desde una imagen sin endurecer o con valores por defecto.

  1. Ejecuta el pipeline de endurecimiento de golden AMI en la cuenta de shared services para tener una única fuente revisada de imágenes endurecidas.
    Cuenta de shared services EC2 Image Builder
  2. Comparte las AMIs aprobadas a las cuentas del CDE con AWS RAM para que cada cuenta de la OU de PCI arranque desde la misma base sin valores por defecto.
    Cuenta de shared services → OU de PCI AWS RAM AWS Organizations
  3. Añade una SCP en la OU de PCI que deniegue lanzar instancias desde imágenes fuera del catálogo compartido aprobado.
    OU de PCI (guardarraíl) AWS Organizations

Cómo validar: RAM muestra las AMIs endurecidas compartidas con la OU de PCI, y un intento de lanzar una AMI pública no aprobada en una cuenta del CDE es denegado por la SCP.

Evita: Dejar que cada equipo construya su propia imagen base. Las imágenes divergentes reintroducen valores por defecto; centraliza el pipeline y comparte un solo catálogo.

Multi-cuenta con un OU dedicado a PCI →

Validación PCI

Métodos de comprobación: examineinterviewobserve

Procedimientos de prueba

  • Examinar los estándares de configuración para verificar que incluyen la gestión de cuentas por defecto de proveedor, y examinar la documentación del proveedor y observar a un administrador iniciando sesión con cuentas por defecto (2.2.2.a, 2.2.2.b).
  • Examinar los archivos de configuración y entrevistar al personal para verificar que todas las cuentas por defecto no utilizadas se eliminan o deshabilitan (2.2.2.c).

Evidencia en AWS

  • Recetas de EC2 Image Builder y componentes de endurecimiento sin credenciales por defecto.
  • Inventario de cuentas del sistema mostrando cuentas por defecto deshabilitadas o removidas.
  • Estándares de configuración documentados aplicados a las AMIs base.

Enfoque personalizado

Requiere un análisis de riesgo dirigido (Req 12.3.2).

Objetivo del enfoque personalizado

  • 2.2 — Todos los componentes del sistema están configurados de forma segura y consistente, conforme a estándares de endurecimiento aceptados por la industria o a las recomendaciones del proveedor.

Servicios AWS

EC2 Image Builder AWS Secrets Manager AWS Systems Manager AWS Config

Recursos de aprendizaje

Referencias

  • AWS Security Maturity Model: Standard hardened images