PCI DSS Security Maturity Model·AWS v1.1.0

Arrastra para explorar · pellizca para ampliar
Inicio / Matriz / Requisito 8 / c8.4
Efficient Identity and Access ManagementDominio de seguridad de la perspectiva de seguridad del AWS Cloud Adoption Framework (CAF), usado para organizar los controles. 🤝 CompartidaModelo de Responsabilidad Compartida de AWS: quién implementa y opera este control. Cliente = es tuyo; AWS = lo opera AWS y tú lo heredas; Compartida = ambos tienen obligaciones.

c8.4 Protección avanzada de identidades privilegiadas y detección de anomalías

Reforzar la protección de cuentas privilegiadas y detectar comportamientos de autenticación anómalos para sostener una autenticación robusta a escala.

Quick Wins
Foundational
Efficient
Optimized
Esfuerzo: Alto Impacto: Medio Aplica al CDE: Sí

Requisito 8

Identify Users and Authenticate Access to System Components

Sub-requisitos PCI cubiertosCobertura mostrada por sub-control de PCI DSS v4.0.1. “Cubierto” = atendido por esta recomendación de AWS. “En roadmap” = técnico, planeado. “Tu responsabilidad” = control organizacional/de proceso. “Fuera de alcance” = control físico o de terceros no implementado en AWS.

8.3 Autenticación robusta de usuarios y administradores
  • 8.3.1 All access authenticated via at least one strong auth factor Cubierto
  • 8.3.2 Strong cryptography protects auth factors in transit and storage Cubierto
  • 8.3.3 User identity verified before modifying an auth factor Tu responsabilidad
  • 8.3.4 Invalid auth attempts limited (lockout) — Cognito/IdP; IAM users need MFA En roadmap
  • 8.3.5 Passwords/passphrases set and reset securely Cubierto
  • 8.3.6 Minimum password length and complexity Cubierto
  • 8.3.7 No reuse of the last four passwords/passphrases Cubierto
  • 8.3.8 Authentication policies documented and communicated to users Tu responsabilidad
  • 8.3.9 If single-factor password: change every 90 days or dynamic analysis Cubierto
  • 8.3.10 SP customer password guidance (service providers only) Tu responsabilidad
  • 8.3.11 Physical/logical tokens, smart cards, certificates assigned individually Fuera de alcance
8.5 Configuración correcta de los sistemas MFA
  • 8.5.1 MFA systems resist replay, cannot be bypassed, use strong factors Cubierto

Cómo implementarlo en AWS

Aplicar acceso just-in-time a permisos elevados. Detectar credenciales comprometidas y accesos anómalos con GuardDuty (findings de IAM). Alertar sobre uso del root y cambios en configuraciones de MFA. Preferir factores resistentes a phishing (FIDO2/passkeys).

Implementación práctica

Cómo se implementa este control en cada arquitectura de referencia:

Alcanza el estado optimizado: eleva el privilegio just-in-time, usa factores resistentes a phishing y detecta el uso anómalo de credenciales.

  1. Reemplaza el admin permanente con elevación just-in-time usando IAM nativo: roles privilegiados asumidos vía STS en sesiones de corta duración, condicionados (MFA, aprobación). Evolución: los permission sets de IAM Identity Center con duración de sesión dan a esto una experiencia gestionada una vez que lo adoptas.
    Acceso a la cuenta IAM Sts
  2. Prefiere factores resistentes a phishing (FIDO2 / passkeys) para el MFA de los usuarios privilegiados.
    Acceso a la cuenta IAM
  3. Detecta el uso anómalo de credenciales y alerta sobre el uso de root / cambios de configuración de MFA con GuardDuty y EventBridge.
    Detección en toda la cuenta GuardDuty EventBridge

Cómo validar: El acceso privilegiado tiene límite de tiempo mediante roles asumidos (sin admin permanente), los usuarios privilegiados usan FIDO2, y un hallazgo simulado de anomalía de credenciales de GuardDuty genera una alerta.

Evita: Acceso de administrador permanente 24/7. Es una gran superficie de ataque; otorga la elevación just-in-time (assume-role con MFA/aprobación) y hazla expirar.

Una sola cuenta, 3 capas →

Opera la gestión de acceso privilegiado y la detección de anomalías en toda la organización, vigilando los hallazgos de credenciales y el uso de root en cada cuenta.

  1. Ejecuta el acceso privilegiado just-in-time de forma central mediante Identity Center con MFA resistente a phishing aplicado en toda la organización.
    Cuenta de identidad/seguridad → OU de PCI IAM Identity Center AWS Organizations
  2. Vigila los hallazgos de acceso a credenciales de GuardDuty y el uso de root en cada cuenta del CDE desde el administrador delegado.
    Cuenta de herramientas de seguridad GuardDuty
  3. Alerta e impulsa la respuesta de forma central (EventBridge) para que una anomalía de credenciales en cualquier cuenta se maneje de forma consistente.
    Cuenta de herramientas de seguridad EventBridge Security Hub

Cómo validar: Identity Center aplica JIT + MFA resistente a phishing en toda la organización, y un hallazgo simulado de anomalía de credenciales en cualquier cuenta del CDE se muestra de forma central y dispara la respuesta.

Evita: Vigilar el uso de root cuenta por cuenta. Agrega GuardDuty al administrador delegado para que las anomalías de root/credenciales se detecten en todas partes.

Multi-cuenta con un OU dedicado a PCI →

Validación PCI

Métodos de comprobación: examineobserve

Procedimientos de prueba

  • Examinar la documentación del sistema del proveedor para verificar que el sistema MFA no es susceptible a ataques de repetición (8.5.1.a).
  • Entrevistar al personal y observar procesos para verificar que cualquier solicitud de bypass de MFA está documentada y autorizada por la dirección de forma excepcional y por tiempo limitado (8.5.1.c).

Evidencia en AWS

  • Findings de GuardDuty de tipo credential access/anomalous behavior y su tratamiento.
  • Configuración de acceso just-in-time para permisos elevados.
  • Uso de factores resistentes a phishing (FIDO2) documentado.

Enfoque personalizado

Requiere un análisis de riesgo dirigido (Req 12.3.2).

Objetivo del enfoque personalizado

  • 8.3 — Una cuenta no puede accederse salvo con una combinación de identidad de usuario y un factor de autenticación.
  • 8.5 — Los sistemas de MFA son resistentes a ataques y controlan estrictamente cualquier anulación administrativa.

Servicios AWS

Amazon GuardDuty AWS IAM Identity Center Amazon EventBridge

Recursos de aprendizaje

Referencias

  • AWS Security Maturity Model: Protect privileged accounts