PCI DSS Security Maturity Model·AWS v1.1.0

Arraste para explorar · faça pinça para ampliar
Início / Matriz / Requisito 1 / c1.1
Quick Wins Infrastructure ProtectionDomínio de segurança da perspectiva de segurança do AWS Cloud Adoption Framework (CAF), usado para organizar os controles. 🤝 CompartilhadaModelo de Responsabilidade Compartilhada da AWS: quem implementa e opera este controle. Cliente = é seu; AWS = a AWS opera e você o herda; Compartilhada = ambos têm obrigações.

c1.1 Fechar portas abertas de risco em security groups

Identificar e remover regras de security groups que expõem portas administrativas ou sensíveis (por exemplo, SSH 22, RDP 3389, bancos de dados) para 0.0.0.0/0. É o controle de maior impacto e menor esforço para reduzir a superfície de ataque do CDE.

Quick Wins
Foundational
Efficient
Optimized
Esforço: Baixo Impacto: Alto Aplica ao CDE: Sim

Requisito 1

Instalar e Manter Controles de Segurança de Rede

Sub-requisitos PCI cobertosCobertura mostrada por sub-controle do PCI DSS v4.0.1. “Coberto” = atendido por esta recomendação da AWS. “No roadmap” = técnico, planejado. “Sua responsabilidade” = controle organizacional/de processo. “Fora do escopo” = controle físico ou de terceiros não implementado na AWS.

1.2 Os NSCs são configurados e mantidos
  • 1.2.1 NSC config standards defined and applied Coberto
  • 1.2.2 Changes to network connections and NSCs are approved and managed Sua responsabilidade
  • 1.2.3 Accurate network diagram(s) maintained Sua responsabilidade
  • 1.2.4 Accurate data-flow diagram(s) maintained Sua responsabilidade
  • 1.2.5 All services, protocols, and ports allowed are identified and justified Coberto
  • 1.2.6 Security features for insecure services/protocols are defined Coberto
  • 1.2.7 NSC configurations reviewed at least every 6 months Sua responsabilidade
  • 1.2.8 NSC configuration files are secured and consistent with active settings Coberto
1.3 O acesso de rede de e para o CDE é restringido
  • 1.3.1 Inbound traffic to the CDE is restricted to what is necessary Coberto
  • 1.3.2 Outbound traffic from the CDE is restricted to what is necessary Coberto
  • 1.3.3 NSCs installed between all wireless networks and the CDE Coberto
1.4 As conexões de rede entre redes confiáveis e não confiáveis são controladas
  • 1.4.1 NSCs between trusted and untrusted networks Coberto
  • 1.4.2 Inbound traffic from untrusted networks to trusted is restricted Coberto
  • 1.4.3 Anti-spoofing measures detect and block forged source IPs Coberto
  • 1.4.4 System components storing CHD not directly reachable from untrusted networks Coberto
  • 1.4.5 Disclosure of internal IP/routing information is limited Coberto

Como implementar na AWS

Usar o AWS Config com as regras gerenciadas restricted-ssh e restricted-common-ports para detectar exposições. Revisar os achados do Security Hub (controles EC2.13/EC2.14). Substituir regras 0.0.0.0/0 por faixas CIDR específicas ou por referências a outros security groups. Para acesso administrativo, preferir o AWS Systems Manager Session Manager em vez de abrir portas de entrada.

Implementação prática

Como este controle é implementado em cada arquitetura de referência:

Restrinja os security groups da sua VPC única para que nenhuma porta administrativa ou de banco de dados seja alcançável pela internet, e elimine por completo a necessidade de portas administrativas de entrada.

  1. Faça o inventário de cada security group e sinalize as regras de entrada que permitem 0.0.0.0/0 (ou ::/0) em SSH (22), RDP (3389) ou portas de banco de dados (por exemplo, 3306, 5432, 1433).
    Todas as camadas Amazon VPC AWS Config
  2. No ponto de entrada público, mantenha abertas pela internet apenas as portas de que o ALB precisa (443, e 80 para redirecionar); finalize o TLS no ALB com um certificado do ACM.
    Sub-rede pública Elastic Load Balancing Certificate Manager AWS WAF
  3. Substitua as regras 0.0.0.0/0 entre camadas por referências ao security group de origem: o SG da camada de app permite apenas o SG do ALB na porta da app; o SG da camada de dados permite apenas o SG da camada de app na porta do banco de dados.
    Camada de app (CDE) → Camada de dados (CDE) Amazon VPC Amazon EC2 Amazon RDS
  4. Remova todas as regras de entrada SSH/RDP e use o Systems Manager Session Manager para o acesso administrativo, de modo que nenhuma porta administrativa fique exposta.
    Camada de app (CDE) Systems Manager

Como validar: As regras do AWS Config restricted-ssh e restricted-common-ports reportam COMPLIANT, e os controles do Security Hub EC2.13/EC2.14 não mostram achados com falha.

Evite: Deixar uma regra SSH 0.0.0.0/0 «temporária» para diagnóstico. Use o Session Manager; portas abertas temporárias são a exposição mais comum do CDE.

Conta única, 3 camadas →

Imponha o controle em cada conta do CDE sob a OU de PCI com uma abordagem preventiva primeiro: Firewall Manager para aplicar e remediar políticas de security groups em toda a organização, uma SCP para bloquear a configuração incorreta no momento da autorização, e Config/Security Hub para a detecção centralizada.

  1. Use o AWS Firewall Manager (a partir da conta de ferramentas de segurança como administrador delegado) para aplicar uma política de conteúdo/auditoria de security groups em toda a OU de PCI que sinalize e remedie automaticamente as regras que permitem 0.0.0.0/0 em portas administrativas ou de banco de dados.
    Conta de ferramentas de segurança → OU de PCI Firewall Manager AWS Organizations
  2. Anexe uma SCP à OU de PCI que negue autorizar ingress 0.0.0.0/0 em portas administrativas, evitando a configuração incorreta independentemente das permissões IAM locais.
    OU de PCI (guarda-corpo) AWS Organizations
  3. Implante as regras gerenciadas do AWS Config (restricted-ssh, restricted-common-ports) em toda a organização por meio de um conformance pack e agregue os achados no Security Hub do administrador delegado, para que as exposições residuais apareçam em um único lugar.
    Conta de ferramentas de segurança AWS Config Security Hub
  4. Padronize o acesso administrativo com o Session Manager, com o roteamento entre VPCs e a inspeção de saída gerenciados pela conta de rede central.
    Conta de rede/inspeção Systems Manager Transit Gateway Network Firewall

Como validar: O Firewall Manager reporta a política de security groups como em conformidade (sem recursos não conformes) em toda a OU de PCI, a SCP nega uma tentativa de teste de abrir 0.0.0.0/0 na porta 22, e restricted-ssh / restricted-common-ports estão em COMPLIANT no Config.

Evite: Confiar apenas nas regras detectivas do Config. A detecção sozinha permite que a exposição exista até alguém reagir; o Firewall Manager remedia automaticamente e a SCP a interrompe no momento da autorização.

Multi-conta com uma OU dedicada ao PCI →

Validação PCI

Métodos de comprovação: examineobserve

Procedimentos de teste

  • Examinar os padrões e as configurações dos NSCs para verificar que apenas serviços, protocolos e portas aprovados estão em uso, cada um com justificativa de negócio (1.2.5.a, 1.2.5.b).
  • Examinar as configurações dos NSCs para verificar que o tráfego de entrada ao CDE é restringido ao mínimo necessário e que todo o demais tráfego é negado (1.3.1.b).
  • Examinar as configurações dos NSCs para verificar que as conexões entre redes confiáveis e não confiáveis são restringidas (1.4.1.b).

Evidência na AWS

  • Relatório de conformidade das regras do AWS Config restricted-ssh e restricted-common-ports (todos os recursos COMPLIANT).
  • Achados resolvidos do Security Hub EC2.13 e EC2.14.
  • Exportação das regras de security group mostrando ausência de 0.0.0.0/0 em portas administrativas.

Abordagem personalizada

Requer uma análise de risco direcionada (Req 12.3.2).

Objetivo da abordagem personalizada

  • 1.2 — A forma como os NSCs são configurados e operam está definida e é aplicada de forma consistente.
  • 1.3 — O tráfego não autorizado não pode entrar no CDE.
  • 1.4 — O tráfego não autorizado não pode atravessar os limites de rede entre redes confiáveis e não confiáveis.

Serviços AWS

Amazon VPC Security Groups AWS Config AWS Security Hub AWS Systems Manager

Recursos de aprendizado

Referências

  • AWS Security Hub: EC2.13, EC2.14
  • AWS Security Maturity Model: Cleanup risky open ports