PCI DSS Security Maturity Model·AWS v1.1.0

Arrastra para explorar · pellizca para ampliar
Inicio / Matriz / Requisito 6 / c6.3
Foundational Application SecurityDominio de seguridad de la perspectiva de seguridad del AWS Cloud Adoption Framework (CAF), usado para organizar los controles. 🤝 CompartidaModelo de Responsabilidad Compartida de AWS: quién implementa y opera este control. Cliente = es tuyo; AWS = lo opera AWS y tú lo heredas; Compartida = ambos tienen obligaciones.

c6.3 Proteger aplicaciones web públicas con AWS WAF

Proteger las aplicaciones web de cara al público frente a ataques mediante una solución técnica automatizada que detecte y bloquee ataques web (WAF), o mediante revisiones de seguridad de aplicaciones.

Quick Wins
Foundational
Efficient
Optimized
Esfuerzo: Medio Impacto: Alto Aplica al CDE: Sí

Requisito 6

Develop and Maintain Secure Systems and Software

Sub-requisitos PCI cubiertosCobertura mostrada por sub-control de PCI DSS v4.0.1. “Cubierto” = atendido por esta recomendación de AWS. “En roadmap” = técnico, planeado. “Tu responsabilidad” = control organizacional/de proceso. “Fuera de alcance” = control físico o de terceros no implementado en AWS.

6.4 Protección de aplicaciones web públicas frente a ataques
  • 6.4.1 Public-facing web apps protected (review or automated solution) Cubierto
  • 6.4.2 Automated technical solution (WAF) deployed for public-facing web apps Cubierto
  • 6.4.3 Payment page scripts managed, authorized, with integrity assurance En roadmap

Cómo implementarlo en AWS

Desplegar AWS WAF en CloudFront/ALB/API Gateway con reglas gestionadas (Core rule set, SQLi, XSS). Activar logging de WAF. Ajustar reglas para reducir falsos positivos. Combinar con AWS Shield para mitigación de DDoS. AWS WAF satisface la opción de solución técnica automatizada de 6.4.2.

Implementación práctica

Cómo se implementa este control en cada arquitectura de referencia:

Antepón AWS WAF a cada app web pública en modo bloqueo con reglas administradas afinadas, satisfaciendo la solución técnica automatizada de 6.4.2.

  1. Adjunta un web ACL de AWS WAF al ALB/CloudFront/API Gateway frente a la capa web, con el Core rule set más los rule groups administrados de SQLi y XSS.
    Subred pública / edge AWS WAF CloudFront Elastic Load Balancing
  2. Habilita el logging de WAF a CloudWatch/S3 y afina las reglas (primero count, luego block) para eliminar falsos positivos antes de aplicar.
    Registro de la cuenta AWS WAF CloudWatch
  3. Añade AWS Shield para mitigación de DDoS en el punto de entrada público.
    Subred pública / edge AWS Shield

Cómo validar: El web ACL está asociado a la app pública en modo bloqueo, los logs de WAF muestran ataques bloqueados, y una solicitud de prueba SQLi/XSS es rechazada.

Evita: Dejar WAF permanentemente en modo solo-count. Contar por sí solo no protege; afina y luego cambia a block para el CDE.

Una sola cuenta, 3 capas →

Gestiona una sola política de WAF compartida y afinada con Firewall Manager para que cada app pública del CDE herede la misma protección automáticamente.

  1. Crea un web ACL y conjunto de reglas de WAF compartido una vez y distribúyelo/aplícalo en la OU de PCI con AWS Firewall Manager.
    Cuenta de herramientas de seguridad → OU de PCI Firewall Manager AWS WAF AWS Organizations
  2. Asegura que Firewall Manager auto-asocie el web ACL a nuevos recursos públicos para que la cobertura no se olvide.
    OU de PCI (todas las cuentas del CDE) Firewall Manager
  3. Centraliza los logs de WAF en la cuenta de log-archive.
    Cuenta de log-archive Amazon S3

Cómo validar: Firewall Manager reporta la política de WAF conforme en toda la OU de PCI, y un ALB público recién creado queda auto-asociado con el web ACL.

Evita: Adjuntar WAF por app a mano. Los endpoints nuevos se escapan; usa Firewall Manager para aplicar y auto-asociar en toda la organización.

Multi-cuenta con un OU dedicado a PCI →

Validación PCI

Métodos de comprobación: examineobserve

Procedimientos de prueba

  • Para las aplicaciones web públicas, examinar los ajustes de configuración del sistema y los registros de auditoría, y entrevistar al personal, para verificar que hay una solución técnica automatizada que detecta y previene ataques web conforme a todos los elementos del requisito (6.4.2).

Evidencia en AWS

  • Web ACL de AWF WAF asociado a la aplicación pública con reglas gestionadas activas.
  • Logs de AWS WAF en CloudWatch/S3 evidenciando detección/bloqueo.
  • Configuración de reglas en modo bloqueo para el CDE.

Enfoque personalizado

Requiere un análisis de riesgo dirigido (Req 12.3.2).

Objetivo del enfoque personalizado

  • 6.4 — Las aplicaciones web públicas están protegidas en tiempo real frente a ataques maliciosos.

Servicios AWS

AWS WAF Amazon CloudFront AWS Shield Elastic Load Balancing

Recursos de aprendizaje

Referencias

  • AWS Security Maturity Model: WAF with managed rules
  • PCI DSS v4.0.1 Requirement 6.4.2