PCI DSS Security Maturity Model·AWS v1.1.0

Arraste para explorar · faça pinça para ampliar
Início / Matriz / Requisito 1 / c1.4
Efficient Infrastructure ProtectionDomínio de segurança da perspectiva de segurança do AWS Cloud Adoption Framework (CAF), usado para organizar os controles. 🤝 CompartilhadaModelo de Responsabilidade Compartilhada da AWS: quem implementa e opera este controle. Cliente = é seu; AWS = a AWS opera e você o herda; Compartilhada = ambos têm obrigações.

c1.4 Inspeção de tráfego com o AWS Network Firewall no perímetro do CDE

Implantar controles de segurança de rede com estado (stateful) e inspeção profunda de pacotes nos limites do CDE para filtrar o tráfego por regras de aplicação e domínio, além do que oferecem security groups e NACLs.

Quick Wins
Foundational
Efficient
Optimized
Esforço: Alto Impacto: Médio Aplica ao CDE: Sim

Requisito 1

Instalar e Manter Controles de Segurança de Rede

Sub-requisitos PCI cobertosCobertura mostrada por sub-controle do PCI DSS v4.0.1. “Coberto” = atendido por esta recomendação da AWS. “No roadmap” = técnico, planejado. “Sua responsabilidade” = controle organizacional/de processo. “Fora do escopo” = controle físico ou de terceiros não implementado na AWS.

1.3 O acesso de rede de e para o CDE é restringido
  • 1.3.1 Inbound traffic to the CDE is restricted to what is necessary Coberto
  • 1.3.2 Outbound traffic from the CDE is restricted to what is necessary Coberto
  • 1.3.3 NSCs installed between all wireless networks and the CDE Coberto
1.4 As conexões de rede entre redes confiáveis e não confiáveis são controladas
  • 1.4.1 NSCs between trusted and untrusted networks Coberto
  • 1.4.2 Inbound traffic from untrusted networks to trusted is restricted Coberto
  • 1.4.3 Anti-spoofing measures detect and block forged source IPs Coberto
  • 1.4.4 System components storing CHD not directly reachable from untrusted networks Coberto
  • 1.4.5 Disclosure of internal IP/routing information is limited Coberto

Como implementar na AWS

Implementar o AWS Network Firewall em sub-redes de inspeção dedicadas, com regras Suricata para filtragem por domínio (FQDN) e assinaturas de ameaças. Ativar a validação de IP resolvido do Route 53 para que a lista de permitidos por FQDN não possa ser contornada: o firewall verifica se o IP de destino de cada conexão de saída foi de fato retornado pelo VPC Resolver, o que bloqueia conexões diretas a um IP e cabeçalhos SNI/Host falsificados, e estende a filtragem por domínio a protocolos como SSH e SFTP. Delimitá-la com um grupo de regras do Route 53 Resolver DNS Firewall associado apenas às VPCs do CDE. Centralizar a inspeção em uma VPC de inspeção conectada via Transit Gateway. Registrar o tráfego permitido e bloqueado no CloudWatch Logs ou S3 para evidência.

Implementação prática

Como este controle é implementado em cada arquitetura de referência:

Adicione inspeção profunda de pacotes com estado no limite do CDE com o AWS Network Firewall, indo além do que security groups e NACLs conseguem expressar (regras de FQDN e assinaturas), e torne a lista de permitidos por FQDN impossível de contornar com a validação de IP resolvido.

  1. Implante o AWS Network Firewall em sub-redes de inspeção dedicadas na VPC e atualize as tabelas de rotas para que a saída das sub-redes do CDE passe pelos endpoints do firewall.
    Sub-redes de inspeção (na VPC) Network Firewall Amazon VPC
  2. Crie uma política com listas de permitidos por FQDN para os destinos de que o CDE precisa legitimamente, além de assinaturas de ameaças Suricata e regras anti-spoofing.
    Rota de saída do CDE Network Firewall
  3. Ative a validação de IP resolvido do Route 53 na política do firewall, referenciando um grupo de regras do DNS Firewall associado apenas à VPC do CDE, para que uma conexão a um IP que o VPC Resolver não retornou (conexão direta a um IP, ou um SNI/Host falsificado) não passe pela lista de permitidos. Comece no modo ALERT (requer o logging do firewall), revise os fluxos sinalizados e depois mude para DROP ou REJECT. Roteie cada sub-rede do CDE para o endpoint do firewall da sua própria zona de disponibilidade, porque as resoluções são registradas por zona e as conexões entre zonas falham na validação.
    Rota de saída do CDE Network Firewall Route 53 DNS Firewall
  4. Envie os logs de alerta e de fluxo do firewall para o CloudWatch Logs ou S3 para conservar o tráfego permitido e bloqueado como evidência.
    Registro da conta Network Firewall CloudWatch Amazon S3

Como validar: As tabelas de rotas mostram a saída do CDE atravessando o firewall, os logs do firewall mostram tráfego para FQDNs não permitidos sendo descartado, e uma conexão de teste do CDE para um IP não relacionado usando um domínio permitido é bloqueada pela validação de IP resolvido.

Evite: Implantar o firewall mas não alterar as tabelas de rotas, de modo que o tráfego o contorna, ou confiar apenas em uma lista de permitidos por FQDN. A inspeção só funciona se o roteamento forçar cada fluxo pelos endpoints do firewall, e uma regra de domínio só se sustenta se o IP de destino for validado contra o que o VPC Resolver retornou.

Conta única, 3 camadas →

Execute um único AWS Network Firewall gerenciado centralmente na VPC de inspeção da conta de rede, para que uma única política consistente proteja todas as contas do CDE, com a validação de IP resolvido delimitada às VPCs do CDE.

  1. Implante o AWS Network Firewall na VPC de inspeção da conta de rede central.
    Conta de rede/inspeção Network Firewall
  2. Use o roteamento do Transit Gateway para enviar todo o tráfego leste-oeste e de saída do CDE pela VPC de inspeção, para que nenhuma conta do CDE precise do próprio firewall.
    Conta de rede/inspeção Transit Gateway
  3. Ative a validação de IP resolvido na política central com um grupo de regras do DNS Firewall associado apenas às VPCs do CDE, e defina seus intervalos de IP de origem com os CIDRs das VPCs do CDE. Por padrão só o CIDR da própria VPC do firewall é validado, então sem isso o tráfego do CDE que chega pelo Transit Gateway nunca é verificado. Use um firewall conectado ao Transit Gateway, que leva a zona de disponibilidade do cliente junto com o tráfego. Deixe as VPCs fora do CDE de fora do grupo de regras: todas as VPCs associadas contribuem para um mesmo pool compartilhado de IPs resolvidos.
    Conta de rede/inspeção Network Firewall Route 53 DNS Firewall Transit Gateway
  4. Opcionalmente distribua e aplique a política do Network Firewall nas contas com o Firewall Manager, e entregue os logs do firewall à conta central de log-archive.
    Conta de ferramentas de segurança → Conta de log-archive Firewall Manager Amazon S3

Como validar: As rotas do Transit Gateway provam que todo o tráfego do CDE transita a VPC de inspeção, o Firewall Manager reporta a política do Network Firewall aplicada a cada conta do CDE, e a validação de IP resolvido da política lista os CIDRs das VPCs do CDE como intervalos de origem, com um grupo de regras do DNS Firewall associado apenas a VPCs do CDE.

Evite: Subir um firewall separado para cada conta do CDE, ou ativar a validação de IP resolvido de forma central sem definir os intervalos de origem do CDE. O primeiro multiplica o custo e o desvio de políticas; o segundo não valida, sem avisar, nada do que chega das VPCs do CDE.

Multi-conta com uma OU dedicada ao PCI →

Validação PCI

Métodos de comprovação: examineobserve

Procedimentos de teste

  • Examinar a documentação do fornecedor e as configurações dos NSCs para verificar que o tráfego de entrada de redes não confiáveis para redes confiáveis é restringido (1.4.2).
  • Examinar as configurações dos NSCs para verificar que o tráfego de saída do CDE é restringido ao mínimo necessário (1.3.2.b).
  • Examinar a política do firewall para verificar que as restrições de saída baseadas em domínio não podem ser contornadas conectando-se diretamente a um endereço IP ou falsificando o SNI/Host (validação de IP resolvido em DROP ou REJECT), e que qualquer intervalo de destino isento está documentado e justificado (1.3.2.b).
  • Examinar as configurações dos NSCs para verificar que as medidas anti-spoofing detectam e bloqueiam endereços IP de origem falsificados (1.4.3).

Evidência na AWS

  • Grupos de regras (policy) do AWS Network Firewall mostrando filtragem por domínio e assinaturas.
  • Configurações de validação de IP resolvido da política do firewall: ação, grupo de regras do DNS Firewall delimitado às VPCs do CDE, intervalos de IP de origem e intervalos isentos documentados.
  • Logs de fluxo do firewall no CloudWatch/S3 evidenciando tráfego permitido e negado, incluindo as conexões que falharam na validação de IP resolvido.
  • Arquitetura da VPC de inspeção com as rotas que forçam o tráfego pelo firewall.

Abordagem personalizada

Requer uma análise de risco direcionada (Req 12.3.2).

Objetivo da abordagem personalizada

  • 1.3 — O tráfego não autorizado não pode entrar no CDE.
  • 1.4 — O tráfego não autorizado não pode atravessar os limites de rede entre redes confiáveis e não confiáveis.

Serviços AWS

AWS Network Firewall Amazon Route 53 Resolver DNS Firewall AWS Transit Gateway Amazon CloudWatch Logs

Recursos de aprendizado

Referências

  • AWS Security Maturity Model: Outbound Traffic Control