PCI DSS Security Maturity Model·AWS v1.1.0

Arrastra para explorar · pellizca para ampliar
Inicio / Matriz / Requisito 8 / c8.1
Quick Wins Identity and Access ManagementDominio de seguridad de la perspectiva de seguridad del AWS Cloud Adoption Framework (CAF), usado para organizar los controles. 🤝 CompartidaModelo de Responsabilidad Compartida de AWS: quién implementa y opera este control. Cliente = es tuyo; AWS = lo opera AWS y tú lo heredas; Compartida = ambos tienen obligaciones.

c8.1 Exigir MFA para todo acceso a la consola y al CDE

Habilitar autenticación multifactor para todos los accesos, en particular al CDE y a las cuentas administrativas, como quick win de alto impacto contra el uso de credenciales comprometidas.

Quick Wins
Foundational
Efficient
Optimized
Esfuerzo: Bajo Impacto: Alto Aplica al CDE: Sí

Requisito 8

Identify Users and Authenticate Access to System Components

Sub-requisitos PCI cubiertosCobertura mostrada por sub-control de PCI DSS v4.0.1. “Cubierto” = atendido por esta recomendación de AWS. “En roadmap” = técnico, planeado. “Tu responsabilidad” = control organizacional/de proceso. “Fuera de alcance” = control físico o de terceros no implementado en AWS.

8.4 Autenticación multifactor (MFA) para el acceso al CDE
  • 8.4.1 MFA for all non-console admin access into the CDE Cubierto
  • 8.4.2 MFA for all non-console access into the CDE Cubierto
  • 8.4.3 MFA for all remote access originating from outside the network Cubierto
8.5 Configuración correcta de los sistemas MFA
  • 8.5.1 MFA systems resist replay, cannot be bypassed, use strong factors Cubierto

Cómo implementarlo en AWS

Forzar MFA en IAM Identity Center y en el usuario root de cada cuenta. Requerir MFA en políticas IAM para acciones sensibles (condición aws:MultiFactorAuthPresent). Configurar el MFA para que no sea susceptible a repetición y aplique a todo acceso al CDE. Detectar cuentas sin MFA con Security Hub/Config.

Implementación práctica

Cómo se implementa este control en cada arquitectura de referencia:

Exige MFA para cada vía de acceso a la cuenta y al CDE, y marca lo que no lo tenga: un quick win de alto impacto contra credenciales robadas.

  1. Habilita MFA en el usuario root de la cuenta y en cada usuario IAM, y exige MFA al asumir roles IAM. (Si más adelante adoptas IAM Identity Center, fuerza MFA también ahí.)
    Acceso a la cuenta IAM
  2. Exige MFA para acciones sensibles/del CDE mediante condiciones de política IAM (aws:MultiFactorAuthPresent).
    Capa de app (CDE) / Capa de datos (CDE) IAM
  3. Detecta cualquier cuenta o usuario sin MFA con los controles de Security Hub / Config (IAM.*).
    Detección en toda la cuenta Security Hub AWS Config

Cómo validar: Los controles de MFA IAM de Security Hub pasan, root y todos los usuarios IAM tienen MFA, y una acción del CDE intentada sin MFA es denegada por la condición de la política.

Evita: Aplicar MFA solo en el login de consola. Exígelo también para acciones sensibles de API; una access key robada evade el MFA solo-consola.

Una sola cuenta, 3 capas →

Fuerza MFA de forma central para el acceso a todas las cuentas, respáldalo con política y monitorea la postura de MFA en toda la organización.

  1. Fuerza MFA de forma central a través de IAM Identity Center para el acceso a cada cuenta, prefiriendo factores resistentes a phishing.
    Cuenta de identidad/seguridad → OU de PCI IAM Identity Center AWS Organizations
  2. Respáldalo con una SCP en la OU de PCI que deniegue acciones sin MFA presente.
    OU de PCI (guardarraíl) AWS Organizations
  3. Monitorea la postura de MFA en toda la organización desde el Security Hub del administrador delegado.
    Cuenta de herramientas de seguridad Security Hub

Cómo validar: Identity Center exige MFA para todas las cuentas, la SCP deniega una prueba de acción sin MFA, y Security Hub muestra MFA conforme en toda la OU de PCI.

Evita: Configurar MFA por cuenta. Aparecen brechas de cobertura; fuérzalo de forma central mediante Identity Center y una SCP a nivel de OU.

Multi-cuenta con un OU dedicado a PCI →

Validación PCI

Métodos de comprobación: examineobserve

Procedimientos de prueba

  • Examinar las configuraciones de red/sistema para verificar que se requiere MFA para todo el acceso administrativo fuera de consola al CDE y para todo el acceso fuera de consola al CDE (8.4.1.a, 8.4.2.a).
  • Observar a personal/administradores iniciando sesión en el CDE para verificar que se requiere MFA (8.4.1.b, 8.4.2.b).
  • Examinar las configuraciones de MFA para verificar que el sistema no es susceptible a repetición y que concede el acceso solo tras superar todos los factores (8.5.1.a, 8.5.1.b, 8.5.1.d).

Evidencia en AWS

  • MFA habilitado en IAM Identity Center y en el usuario root (evidencia de Config/Security Hub).
  • Políticas IAM con condición aws:MultiFactorAuthPresent para acceso al CDE.
  • Hallazgos de Security Hub sobre MFA (IAM.*) resueltos.

Enfoque personalizado

Requiere un análisis de riesgo dirigido (Req 12.3.2).

Objetivo del enfoque personalizado

  • 8.4 — El acceso administrativo y todo el acceso no de consola al CDE no puede obtenerse con un único factor de autenticación.
  • 8.5 — Los sistemas de MFA son resistentes a ataques y controlan estrictamente cualquier anulación administrativa.

Servicios AWS

AWS IAM AWS IAM Identity Center AWS Security Hub

Recursos de aprendizaje

Referencias

  • AWS Security Maturity Model: MFA everywhere
  • PCI DSS v4.0.1 Requirements 8.4, 8.5