PCI DSS Security Maturity Model·AWS v1.1.0

Arrastra para explorar · pellizca para ampliar
Inicio / Matriz / Requisito 8 / c8.5
Quick Wins Identity and Access ManagementDominio de seguridad de la perspectiva de seguridad del AWS Cloud Adoption Framework (CAF), usado para organizar los controles. 👤 ClienteModelo de Responsabilidad Compartida de AWS: quién implementa y opera este control. Cliente = es tuyo; AWS = lo opera AWS y tú lo heredas; Compartida = ambos tienen obligaciones.

c8.5 Aplica políticas de contraseña y controles de bloqueo de cuenta

Donde se usen contraseñas, aplica longitud, complejidad, historial y reglas de cambio conformes con PCI, y aplica bloqueo de cuenta donde la plataforma lo soporte. Los usuarios IAM no tienen bloqueo nativo, por lo que AWS se apoya en MFA y detección de anomalías para ellos.

Quick Wins
Foundational
Efficient
Optimized
Esfuerzo: Bajo Impacto: Medio Aplica al CDE: Sí

Requisito 8

Identify Users and Authenticate Access to System Components

Sub-requisitos PCI cubiertosCobertura mostrada por sub-control de PCI DSS v4.0.1. “Cubierto” = atendido por esta recomendación de AWS. “En roadmap” = técnico, planeado. “Tu responsabilidad” = control organizacional/de proceso. “Fuera de alcance” = control físico o de terceros no implementado en AWS.

8.3 Autenticación robusta de usuarios y administradores
  • 8.3.1 All access authenticated via at least one strong auth factor Cubierto
  • 8.3.2 Strong cryptography protects auth factors in transit and storage Cubierto
  • 8.3.3 User identity verified before modifying an auth factor Tu responsabilidad
  • 8.3.4 Invalid auth attempts limited (lockout) — Cognito/IdP; IAM users need MFA En roadmap
  • 8.3.5 Passwords/passphrases set and reset securely Cubierto
  • 8.3.6 Minimum password length and complexity Cubierto
  • 8.3.7 No reuse of the last four passwords/passphrases Cubierto
  • 8.3.8 Authentication policies documented and communicated to users Tu responsabilidad
  • 8.3.9 If single-factor password: change every 90 days or dynamic analysis Cubierto
  • 8.3.10 SP customer password guidance (service providers only) Tu responsabilidad
  • 8.3.11 Physical/logical tokens, smart cards, certificates assigned individually Fuera de alcance

Cómo implementarlo en AWS

Configura una política de contraseñas de cuenta de IAM (longitud mínima, complejidad, prevención de reutilización, caducidad) para los usuarios IAM. Importante: IAM NO soporta bloqueo de cuenta tras intentos fallidos de inicio de sesión; la guía de AWS es combinar una política de contraseñas fuerte con MFA y detectar inicios de sesión anómalos con GuardDuty. El bloqueo (PCI 8.3.4) es alcanzable donde controlas la autenticación: Amazon Cognito advanced security (usuarios de aplicación) y el IdP externo o AWS Managed Microsoft AD para usuarios de la plantilla vía IAM Identity Center. Prioriza la federación y MFA para que las contraseñas nunca sean el único factor.

Implementación práctica

Cómo se implementa este control en cada arquitectura de referencia:

Aplica una política de contraseñas conforme en todos los lugares donde existan contraseñas locales; añade bloqueo donde la plataforma lo soporte, y MFA donde no (IAM).

  1. Configura la política de contraseñas de cuenta de IAM: longitud mínima 12+, exige clases de caracteres, impide reutilizar las últimas 4 y define caducidad según tu política. (IAM no tiene parámetro de bloqueo.)
    Toda la cuenta IAM
  2. Exige MFA para todos los usuarios IAM y detecta inicios de sesión por fuerza bruta/anómalos con GuardDuty: los controles compensatorios por la falta de bloqueo en IAM.
    Toda la cuenta IAM GuardDuty
  3. Para los usuarios de aplicación, habilita Amazon Cognito advanced security (autenticación adaptativa / protección ante credenciales comprometidas) y el comportamiento de bloqueo de cuenta tras intentos fallidos repetidos.
    Capa de aplicación (CDE) Cognito
  4. Para los usuarios de la plantilla, aplica el bloqueo en el IdP externo (o AWS Managed Microsoft AD) que respalda su inicio de sesión (conectado a IAM Identity Center donde lo uses).
    IdP de la plantilla Identity Center

Cómo validar: La política de contraseñas de IAM cumple longitud/complejidad/reutilización/caducidad; se exige MFA a los usuarios IAM; Cognito y el IdP de la plantilla aplican bloqueo tras ≤10 intentos fallidos.

Evita: Afirmar que IAM aplica bloqueo. No lo hace: usa MFA + GuardDuty para los usuarios IAM, y bloqueo real en Cognito / el IdP / AD.

Una sola cuenta, 3 capas →

Estandariza la política de contraseñas en toda la organización; aplica bloqueo real en Cognito y en el IdP de la plantilla; compensa a los usuarios IAM con MFA y detección de anomalías a nivel de organización.

  1. Aplica una política de contraseñas de IAM de referencia en cada cuenta mediante un conformance pack de Config y remedia la deriva. (No existe parámetro de bloqueo en IAM.)
    Todas las cuentas AWS Config AWS Organizations
  2. Centraliza el acceso de la plantilla en IAM Identity Center respaldado por un IdP (o AWS Managed Microsoft AD) que aplique el bloqueo de cuenta; exige MFA.
    Cuenta de gestión / identidad Identity Center
  3. Aplica Cognito advanced security y el bloqueo a todas las aplicaciones de cara al cliente.
    Cuentas de aplicación (CDE) Cognito
  4. Agrega los hallazgos de inicio de sesión anómalo de GuardDuty a nivel de organización para compensar la ausencia de bloqueo en IAM.
    Cuenta de seguridad GuardDuty Security Hub

Cómo validar: Config reporta la línea base de la política de contraseñas en conformidad en todas las cuentas; el IdP de la plantilla y Cognito aplican bloqueo; se exige MFA a los usuarios IAM.

Evita: Suponer que un único ajuste de IAM cumple PCI 8.3.4. El bloqueo vive en Cognito / el IdP / AD, no en IAM.

Multi-cuenta con un OU dedicado a PCI →

Validación PCI

Métodos de comprobación: examine

Procedimientos de prueba

  • Examinar la política de contraseñas de cuenta de IAM, las configuraciones de IAM Identity Center / IdP (o AWS Managed Microsoft AD) y de los grupos de usuarios de Cognito para verificar que se aplican los requisitos de longitud, complejidad, reutilización, cambio y, donde se soporte, bloqueo de cuenta.
  • Verificar que se exige MFA a los usuarios IAM como control compensatorio donde el bloqueo nativo no está disponible.

Evidencia en AWS

  • Salida de IAM get-account-password-policy
  • Estado de aplicación de MFA para los usuarios IAM
  • Ajustes de advanced-security y bloqueo de los grupos de usuarios de Cognito
  • Política de bloqueo del IdP de la plantilla / AWS Managed Microsoft AD
  • Hallazgos de GuardDuty por inicios de sesión anómalos

Enfoque personalizado

Objetivo del enfoque personalizado

  • 8.3 — Las cuentas están protegidas contra el acceso no autorizado mediante la aplicación de reglas de factores de autenticación fuertes y bien gestionadas.

Servicios AWS

AWS IAM Amazon Cognito AWS Organizations Amazon GuardDuty

Recursos de aprendizaje

Referencias

  • https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_passwords_account-policy.html
  • https://docs.aws.amazon.com/cognito/latest/developerguide/user-pool-settings-policies.html