PCI DSS Security Maturity Model·AWS v1.1.0

Arrastra para explorar · pellizca para ampliar
Inicio / Matriz / Requisito 5 / c5.4
Optimized Incident ResponseDominio de seguridad de la perspectiva de seguridad del AWS Cloud Adoption Framework (CAF), usado para organizar los controles. 🤝 CompartidaModelo de Responsabilidad Compartida de AWS: quién implementa y opera este control. Cliente = es tuyo; AWS = lo opera AWS y tú lo heredas; Compartida = ambos tienen obligaciones.

c5.4 Respuesta automatizada ante detección de malware

Automatizar el aislamiento y la respuesta ante detecciones de malware para minimizar el tiempo de exposición y demostrar tratamiento oportuno de las amenazas.

Quick Wins
Foundational
Efficient
Optimized
Esfuerzo: Alto Impacto: Medio Aplica al CDE: Sí

Requisito 5

Protect All Systems and Networks from Malicious Software

Sub-requisitos PCI cubiertosCobertura mostrada por sub-control de PCI DSS v4.0.1. “Cubierto” = atendido por esta recomendación de AWS. “En roadmap” = técnico, planeado. “Tu responsabilidad” = control organizacional/de proceso. “Fuera de alcance” = control físico o de terceros no implementado en AWS.

5.2 Prevención o detección y atención del malware
  • 5.2.1 Anti-malware deployed on all system components at risk Cubierto
  • 5.2.2 Anti-malware detects/removes/blocks all known malware types Cubierto
  • 5.2.3 System components not at risk are evaluated periodically Tu responsabilidad
  • 5.2.3.1 Frequency of periodic evaluations defined by targeted risk analysis Tu responsabilidad
5.3 Mecanismos anti-malware activos, mantenidos y monitoreados
  • 5.3.1 Anti-malware kept current via automatic updates Cubierto
  • 5.3.2 Anti-malware performs periodic scans and active/real-time scanning Cubierto
  • 5.3.2.1 Scan frequency defined by targeted risk analysis (if applicable) Tu responsabilidad
  • 5.3.3 Anti-malware for removable media scans/behavioral analysis Cubierto
  • 5.3.4 Audit logs for anti-malware enabled and retained Cubierto
  • 5.3.5 Anti-malware cannot be disabled/altered by users unless authorized Cubierto

Cómo implementarlo en AWS

Definir playbooks que, ante hallazgos de GuardDuty Malware Protection, aíslen la instancia (Security Group de cuarentena), tomen snapshots forenses y notifiquen. Orquestar con EventBridge + Lambda o Step Functions. Registrar cada acción para evidencia.

Implementación práctica

Cómo se implementa este control en cada arquitectura de referencia:

Alcanza el estado optimizado: ante un hallazgo de malware, aísla automáticamente, toma un snapshot forense y notifica, para que el tiempo de exposición sea mínimo y la respuesta quede evidenciada.

  1. Coincide los hallazgos de GuardDuty Malware Protection con una regla de EventBridge que invoque la función de respuesta.
    Automatización de la cuenta GuardDuty EventBridge
  2. En el playbook de Lambda (o Step Functions), mueve la instancia a un security group de cuarentena (denegar todo), toma un snapshot de EBS para forense y notifica al equipo.
    Capa de app (CDE) / Capa de datos (CDE) AWS Lambda Step Functions Amazon EC2
  3. Registra cada acción realizada para que la respuesta sea auditable.
    Registro de la cuenta CloudTrail Amazon S3

Cómo validar: Un hallazgo de malware simulado dispara el playbook: la instancia queda en el SG de cuarentena, existe un snapshot forense, y se registran la notificación y el log de la acción.

Evita: Eliminar de inmediato una instancia sospechosa de compromiso. Toma primero el snapshot para forense y luego aísla; destruirla pierde la evidencia.

Una sola cuenta, 3 capas →

Ejecuta un solo playbook central de respuesta a malware impulsado por el flujo de GuardDuty de toda la organización, capaz de aislar una instancia comprometida en cualquier cuenta del CDE.

  1. Impulsa el playbook de respuesta (EventBridge + Lambda/Step Functions) desde la cuenta de herramientas de seguridad a partir del flujo de hallazgos de GuardDuty de toda la organización.
    Cuenta de herramientas de seguridad GuardDuty EventBridge Step Functions
  2. Usa un rol IAM entre cuentas con alcance limitado para que la cuenta de seguridad pueda poner en cuarentena y tomar snapshot de una instancia en cualquier cuenta del CDE.
    Cuenta de herramientas de seguridad → cuentas del CDE AWS Lambda Amazon EC2
  3. Entrega el log de acciones y los artefactos forenses a la cuenta central de log-archive.
    Cuenta de log-archive Amazon S3 CloudTrail

Cómo validar: Un hallazgo simulado en cualquier cuenta del CDE dispara el playbook central, que aísla y toma snapshot de la instancia entre cuentas y registra la acción de forma central.

Evita: Duplicar la automatización de respuesta en cada cuenta. Centraliza el playbook con un rol entre cuentas para que el comportamiento sea consistente y se mantenga una sola vez.

Multi-cuenta con un OU dedicado a PCI →

Validación PCI

Métodos de comprobación: examineobserve

Procedimientos de prueba

  • Examinar las configuraciones anti-malware y los logs/resultados de análisis para verificar que la solución está activa y detecta/atiende malware, y que los logs se retienen conforme al Requisito 10.5.1 (5.3.2.c, 5.3.4).

Evidencia en AWS

  • Definición de playbooks de respuesta a malware (EventBridge/Lambda/Step Functions).
  • Historial de ejecuciones de aislamiento y notificación ante hallazgos.
  • Snapshots forenses y registros de las acciones tomadas.

Enfoque personalizado

Requiere un análisis de riesgo dirigido (Req 12.3.2).

Objetivo del enfoque personalizado

  • 5.2 — Se implementan mecanismos automatizados para evitar que los sistemas se conviertan en un vector de ataque para el malware.
  • 5.3 — Los mecanismos anti-malware pueden detectar y atender las amenazas de malware más recientes.

Servicios AWS

Amazon GuardDuty Amazon EventBridge AWS Lambda AWS Step Functions

Recursos de aprendizaje

Referencias

  • AWS Security Maturity Model: Automate response to findings