c5.2 Desplegar anti-malware/EDR mantenido y monitoreado en instancias
Instalar y mantener soluciones anti-malware/EDR en los componentes del sistema en riesgo, con actualización automática, ejecución activa y generación de logs de auditoría, sin que los usuarios puedan deshabilitarlas.
Requisito 5
Protect All Systems and Networks from Malicious Software
Sub-requisitos PCI cubiertosCobertura mostrada por sub-control de PCI DSS v4.0.1. “Cubierto” = atendido por esta recomendación de AWS. “En roadmap” = técnico, planeado. “Tu responsabilidad” = control organizacional/de proceso. “Fuera de alcance” = control físico o de terceros no implementado en AWS.
5.2 Prevención o detección y atención del malware
- 5.2.1 Anti-malware deployed on all system components at risk Cubierto
- 5.2.2 Anti-malware detects/removes/blocks all known malware types Cubierto
- 5.2.3 System components not at risk are evaluated periodically Tu responsabilidad
- 5.2.3.1 Frequency of periodic evaluations defined by targeted risk analysis Tu responsabilidad
5.3 Mecanismos anti-malware activos, mantenidos y monitoreados
- 5.3.1 Anti-malware kept current via automatic updates Cubierto
- 5.3.2 Anti-malware performs periodic scans and active/real-time scanning Cubierto
- 5.3.2.1 Scan frequency defined by targeted risk analysis (if applicable) Tu responsabilidad
- 5.3.3 Anti-malware for removable media scans/behavioral analysis Cubierto
- 5.3.4 Audit logs for anti-malware enabled and retained Cubierto
- 5.3.5 Anti-malware cannot be disabled/altered by users unless authorized Cubierto
Cómo implementarlo en AWS
Desplegar el agente EDR/anti-malware mediante SSM Distributor y State Manager para garantizar presencia y versión actualizada en todas las instancias. Impedir la desactivación por usuarios finales. Centralizar logs y estado de salud del agente. Mantener las firmas/mecanismos actualizados automáticamente.
Implementación práctica
Cómo se implementa este control en cada arquitectura de referencia:
Pon un agente anti-malware/EDR mantenido en cada instancia en riesgo, mantenlo actualizado y en ejecución, e impide que los usuarios lo apaguen.
- Despliega el agente EDR/anti-malware en las instancias de las capas de app y datos con SSM Distributor, y mantenlo presente y actualizado con una asociación de State Manager.Capa de app (CDE) / Capa de datos (CDE)
Systems Manager - Endurece la instancia para que los usuarios finales no puedan deshabilitar ni alterar el agente (servicio bloqueado, controles IAM/SO).Capa de app (CDE) / Capa de datos (CDE)
Amazon EC2 - Centraliza los logs y el estado de salud del agente en CloudWatch para monitoreo y evidencia.Registro de la cuenta
CloudWatch
Cómo validar: SSM State Manager reporta el agente instalado, en ejecución y actualizado en cada instancia en alcance, y sus logs fluyen a CloudWatch.
Evita: Instalar el agente una vez en la AMI y nunca comprobar que se ejecuta. Refuerza la presencia/versión de forma continua con State Manager para que no se desvíe ni se deshabilite en silencio.
Gestiona un solo despliegue de EDR y una base de versión de forma central para que cada cuenta del CDE ejecute el mismo agente mantenido, con la salud consolidada.
- Gestiona la instalación de EDR y la base de versión con documentos SSM compartidos / asociaciones de State Manager distribuidas a todas las cuentas del CDE.Cuenta de herramientas de seguridad → OU de PCI Systems Manager
AWS Organizations - Aplica el mismo endurecimiento de no-deshabilitar en todas las cuentas.Cada cuenta de carga del CDE Amazon EC2
- Consolida la salud del agente y el estado de cumplimiento en la cuenta de herramientas de seguridad.Cuenta de herramientas de seguridad
Security Hub
Cómo validar: El State Manager de cada cuenta del CDE muestra la misma versión del agente conforme, y el estado de salud es visible de forma central.
Evita: Que cada equipo elija su propio EDR y versión. Los agentes divergentes crean brechas de cobertura; estandariza y distribuye una única base mantenida.
Validación PCI
Procedimientos de prueba
- Examinar las configuraciones anti-malware, incluida la instalación maestra, para verificar que las actualizaciones automáticas están habilitadas y las definiciones están al día (5.3.1.a, 5.3.1.b).
- Examinar las configuraciones y los resultados de análisis para verificar que la solución realiza análisis periódicos o análisis de comportamiento continuo (5.3.2.a, 5.3.2.c).
- Examinar las configuraciones y entrevistar al personal para verificar que los mecanismos anti-malware no pueden ser deshabilitados/alterados por los usuarios salvo autorización documentada de la dirección por tiempo limitado (5.3.5.a, 5.3.5.b).
Evidencia en AWS
- Reporte de conformidad de SSM State Manager mostrando el agente instalado y actualizado en todas las instancias.
- Configuración que impide la desactivación del agente por usuarios finales.
- Logs del agente anti-malware centralizados en CloudWatch.
Enfoque personalizado
Requiere un análisis de riesgo dirigido (Req 12.3.2).
Objetivo del enfoque personalizado
- 5.2 — Se implementan mecanismos automatizados para evitar que los sistemas se conviertan en un vector de ataque para el malware.
- 5.3 — Los mecanismos anti-malware pueden detectar y atender las amenazas de malware más recientes.
Servicios AWS
AWS Systems Manager Amazon EC2 Amazon CloudWatch Recursos de aprendizaje
Referencias
- AWS Security Maturity Model: EDR / anti-malware