PCI DSS Security Maturity Model·AWS v1.1.0

Arrastra para explorar · pellizca para ampliar
Inicio / Matriz / Requisito 5 / c5.3
Efficient Application SecurityDominio de seguridad de la perspectiva de seguridad del AWS Cloud Adoption Framework (CAF), usado para organizar los controles. 🤝 CompartidaModelo de Responsabilidad Compartida de AWS: quién implementa y opera este control. Cliente = es tuyo; AWS = lo opera AWS y tú lo heredas; Compartida = ambos tienen obligaciones.

c5.3 Protección frente a phishing con controles de correo y navegación

Implementar mecanismos técnicos que detectan y protegen al personal frente a ataques de phishing, complementando la concientización del Requisito 12.6.

Quick Wins
Foundational
Efficient
Optimized
Esfuerzo: Medio Impacto: Medio Aplica al CDE: No

Requisito 5

Protect All Systems and Networks from Malicious Software

Sub-requisitos PCI cubiertosCobertura mostrada por sub-control de PCI DSS v4.0.1. “Cubierto” = atendido por esta recomendación de AWS. “En roadmap” = técnico, planeado. “Tu responsabilidad” = control organizacional/de proceso. “Fuera de alcance” = control físico o de terceros no implementado en AWS.

5.4 Protección frente a ataques de phishing
  • 5.4.1 Processes/automated mechanisms detect and protect against phishing Cubierto

Cómo implementarlo en AWS

Configurar autenticación de correo (SPF, DKIM, DMARC) en dominios gestionados con Amazon SES/Route 53. Integrar filtrado anti-phishing en el gateway de correo. Usar Route 53 Resolver DNS Firewall para bloquear dominios maliciosos conocidos. Correlacionar señales con GuardDuty.

Implementación práctica

Cómo se implementa este control en cada arquitectura de referencia:

Respalda la capacitación de concientización (Req 12.6) con anti-phishing técnico: autentica tu correo y bloquea dominios maliciosos conocidos en el DNS.

  1. Configura SPF, DKIM y DMARC para tus dominios de envío (gestionados con Amazon SES y Route 53) para que el correo suplantado sea rechazado.
    Dominio / correo Amazon SES Route 53 DNS Firewall
  2. Usa Route 53 Resolver DNS Firewall para bloquear dominios maliciosos conocidos desde la VPC de la cuenta.
    Salida DNS de la VPC Route 53 DNS Firewall
  3. Correlaciona señales de phishing/malware con GuardDuty para la detección.
    Detección en toda la cuenta GuardDuty

Cómo validar: DMARC está en quarantine/reject con SPF+DKIM alineados, y una consulta DNS a un dominio de prueba malicioso conocido es bloqueada por DNS Firewall.

Evita: Depender solo de la capacitación de usuarios. Combínala con autenticación de correo y bloqueo DNS para que un clic tenga menos probabilidad de llegar a un destino malicioso.

Una sola cuenta, 3 capas →

Gestiona la autenticación de correo y los rule groups de DNS Firewall de forma central y compártelos, para que los controles DNS anti-phishing sean consistentes en toda la organización.

  1. Gestiona SPF/DKIM/DMARC para los dominios de la organización de forma central (SES + Route 53 en una cuenta compartida).
    Cuenta de red/compartida Amazon SES Route 53 DNS Firewall
  2. Crea los rule groups de DNS Firewall una vez en la cuenta de red y compártelos (AWS RAM) a las VPCs de todas las cuentas.
    Cuenta de red/inspección → todas las VPCs Route 53 DNS Firewall AWS RAM
  3. Correlaciona señales en toda la organización en el GuardDuty/Security Hub del administrador delegado.
    Cuenta de herramientas de seguridad GuardDuty Security Hub

Cómo validar: Los rule groups de DNS Firewall compartidos están asociados a la VPC de cada cuenta, y se verifica la aplicación de DMARC para los dominios de la organización.

Evita: Reglas de DNS Firewall por cuenta mantenidas por separado. Se desvían; créalas una vez de forma central y compártelas a cada VPC.

Multi-cuenta con un OU dedicado a PCI →

Validación PCI

Métodos de comprobación: examineobserve

Procedimientos de prueba

  • Observar los procesos implementados y examinar los mecanismos para verificar que hay controles para detectar y proteger al personal frente a ataques de phishing (5.4.1).

Evidencia en AWS

  • Registros DNS SPF/DKIM/DMARC configurados en Route 53.
  • Reglas de DNS Firewall bloqueando dominios maliciosos.
  • Configuración de filtrado anti-phishing en el gateway de correo.

Enfoque personalizado

Requiere un análisis de riesgo dirigido (Req 12.3.2).

Objetivo del enfoque personalizado

  • 5.4 — Existen mecanismos para proteger y mitigar el riesgo que representan los ataques de phishing.

Servicios AWS

Amazon SES Amazon Route 53 Resolver DNS Firewall Amazon GuardDuty

Recursos de aprendizaje

Referencias

  • PCI DSS v4.0.1 Requirement 5.4