PCI DSS Security Maturity Model·AWS v1.1.0

Arrastra para explorar · pellizca para ampliar
Inicio / Matriz / Requisito 5 / c5.1
Quick Wins Threat DetectionDominio de seguridad de la perspectiva de seguridad del AWS Cloud Adoption Framework (CAF), usado para organizar los controles. 🤝 CompartidaModelo de Responsabilidad Compartida de AWS: quién implementa y opera este control. Cliente = es tuyo; AWS = lo opera AWS y tú lo heredas; Compartida = ambos tienen obligaciones.

c5.1 Habilitar detección de malware con Amazon GuardDuty

Activar detección gestionada de amenazas y malware en el entorno, incluyendo Malware Protection para cargas EC2 y ECS, como base costo-eficiente contra software malicioso.

Quick Wins
Foundational
Efficient
Optimized
Esfuerzo: Bajo Impacto: Alto Aplica al CDE: Sí

Requisito 5

Protect All Systems and Networks from Malicious Software

Sub-requisitos PCI cubiertosCobertura mostrada por sub-control de PCI DSS v4.0.1. “Cubierto” = atendido por esta recomendación de AWS. “En roadmap” = técnico, planeado. “Tu responsabilidad” = control organizacional/de proceso. “Fuera de alcance” = control físico o de terceros no implementado en AWS.

5.2 Prevención o detección y atención del malware
  • 5.2.1 Anti-malware deployed on all system components at risk Cubierto
  • 5.2.2 Anti-malware detects/removes/blocks all known malware types Cubierto
  • 5.2.3 System components not at risk are evaluated periodically Tu responsabilidad
  • 5.2.3.1 Frequency of periodic evaluations defined by targeted risk analysis Tu responsabilidad
5.3 Mecanismos anti-malware activos, mantenidos y monitoreados
  • 5.3.1 Anti-malware kept current via automatic updates Cubierto
  • 5.3.2 Anti-malware performs periodic scans and active/real-time scanning Cubierto
  • 5.3.2.1 Scan frequency defined by targeted risk analysis (if applicable) Tu responsabilidad
  • 5.3.3 Anti-malware for removable media scans/behavioral analysis Cubierto
  • 5.3.4 Audit logs for anti-malware enabled and retained Cubierto
  • 5.3.5 Anti-malware cannot be disabled/altered by users unless authorized Cubierto

Cómo implementarlo en AWS

Habilitar Amazon GuardDuty en todas las cuentas y regiones vía la cuenta administradora delegada de la organización. Activar GuardDuty Malware Protection. Enviar hallazgos a Security Hub y alertar con EventBridge. GuardDuty se ejecuta de forma continua y sin agentes para el análisis de amenazas.

Implementación práctica

Cómo se implementa este control en cada arquitectura de referencia:

Activa la detección gestionada de malware y amenazas, sin agente, como base rentable, y enruta los hallazgos a donde el equipo los verá.

  1. Habilita Amazon GuardDuty en la cuenta y activa la función Malware Protection para cargas EC2/ECS.
    Detección en toda la cuenta GuardDuty
  2. Envía los hallazgos de GuardDuty a Security Hub para una vista consolidada.
    Detección en toda la cuenta Security Hub
  3. Enruta y alerta sobre los hallazgos de malware con una regla de EventBridge al canal de notificación del equipo.
    Automatización de la cuenta EventBridge

Cómo validar: GuardDuty y Malware Protection están habilitados, y un hallazgo de prueba (p. ej. los sample findings de GuardDuty) aparece en Security Hub y dispara la alerta.

Evita: Tratar GuardDuty como el único control de malware. Es la base de detección; aun así despliega anti-malware/EDR en el endpoint (c5.2) en las instancias en riesgo.

Una sola cuenta, 3 capas →

Habilita la detección una vez desde el administrador delegado para que cada cuenta del CDE actual y futura se inscriba automáticamente y los hallazgos se agreguen de forma central.

  1. Habilita GuardDuty en toda la organización desde el administrador delegado en la cuenta de herramientas de seguridad, con auto-enable para nuevas cuentas.
    Cuenta de herramientas de seguridad → OU de PCI GuardDuty AWS Organizations
  2. Activa Malware Protection en toda la organización para que cubra cada cuenta del CDE de forma uniforme.
    OU de PCI (todas las cuentas del CDE) GuardDuty
  3. Agrega todos los hallazgos en el Security Hub del administrador delegado para una única vista de detección.
    Cuenta de herramientas de seguridad Security Hub

Cómo validar: El estado de organización de GuardDuty muestra todas las cuentas inscritas con auto-enable activo, y Malware Protection está activo en toda la OU de PCI.

Evita: Habilitar GuardDuty cuenta por cuenta. Las cuentas nuevas se omiten; usa auto-enable de organización desde el administrador delegado.

Multi-cuenta con un OU dedicado a PCI →

Validación PCI

Métodos de comprobación: examineobserve

Procedimientos de prueba

  • Examinar los componentes del sistema para verificar que hay una solución anti-malware desplegada en todos los componentes, salvo los que una evaluación periódica determinó sin riesgo (5.2.1.a).
  • Examinar la documentación del proveedor y las configuraciones para verificar que la solución detecta y elimina/bloquea/contiene todos los tipos conocidos de malware (5.2.2).
  • Examinar el proceso de evaluación periódica para los componentes considerados sin riesgo (5.2.3.a, 5.2.3.c).

Evidencia en AWS

  • GuardDuty habilitado en todas las cuentas/regiones (estado de la organización).
  • GuardDuty Malware Protection activo y hallazgos en Security Hub.
  • Reglas de EventBridge que enrutan y alertan hallazgos de malware.

Enfoque personalizado

Requiere un análisis de riesgo dirigido (Req 12.3.2).

Objetivo del enfoque personalizado

  • 5.2 — Se implementan mecanismos automatizados para evitar que los sistemas se conviertan en un vector de ataque para el malware.
  • 5.3 — Los mecanismos anti-malware pueden detectar y atender las amenazas de malware más recientes.

Servicios AWS

Amazon GuardDuty AWS Security Hub Amazon EventBridge

Recursos de aprendizaje

Referencias

  • AWS Security Maturity Model: Detect common threats