PCI DSS Security Maturity Model·AWS v1.1.0

Arraste para explorar · faça pinça para ampliar
Início / Matriz / Requisito 10 / c10.1
Quick Wins Threat DetectionDomínio de segurança da perspectiva de segurança do AWS Cloud Adoption Framework (CAF), usado para organizar os controles. 🤝 CompartilhadaModelo de Responsabilidade Compartilhada da AWS: quem implementa e opera este controle. Cliente = é seu; AWS = a AWS opera e você o herda; Compartilhada = ambos têm obrigações.

c10.1 Habilitar o CloudTrail em toda a organização

Registrar todas as chamadas de API e acessos aos componentes do sistema com um trail organizacional do AWS CloudTrail, base para reconstruir eventos e vincular ações a usuários individuais.

Quick Wins
Foundational
Efficient
Optimized
Esforço: Baixo Impacto: Alto Aplica ao CDE: Sim

Requisito 10

Registrar e Monitorar Todo o Acesso aos Componentes do Sistema e aos Dados do Portador do Cartão

Sub-requisitos PCI cobertosCobertura mostrada por sub-controle do PCI DSS v4.0.1. “Coberto” = atendido por esta recomendação da AWS. “No roadmap” = técnico, planejado. “Sua responsabilidade” = controle organizacional/de processo. “Fora do escopo” = controle físico ou de terceiros não implementado na AWS.

10.2 Os logs de auditoria são implementados para apoiar a detecção de anomalias e atividades suspeitas
  • 10.2.1 Audit logs enabled and active for all system components Coberto
  • 10.2.1.1 Audit logs capture all individual user access to CHD Coberto
  • 10.2.1.2 Audit logs capture all admin actions Coberto
  • 10.2.1.3 Audit logs capture all access to audit logs Coberto
  • 10.2.1.4 Audit logs capture invalid logical access attempts Coberto
  • 10.2.1.5 Audit logs capture changes to identification/authentication credentials Coberto
  • 10.2.1.6 Audit logs capture init/stop/pause of audit logs Coberto
  • 10.2.1.7 Audit logs capture creation/deletion of system-level objects Coberto
  • 10.2.2 Audit logs record the required details for each event Coberto

Como implementar na AWS

Criar um trail de organização no AWS CloudTrail que cubra todas as contas e Regiões, entregue a um bucket S3 centralizado em uma conta de logging dedicada. Habilitar data events para os recursos do CDE quando necessário. Verificar a cobertura com o Security Hub/Config.

Implementação prática

Como este controle é implementado em cada arquitetura de referência:

Capture toda a atividade de API como base para reconstruir eventos e vincular ações a indivíduos.

  1. Habilite um trail do AWS CloudTrail que capture eventos de gerenciamento, e adicione eventos de dados para os recursos do CDE (por exemplo, os buckets S3 com CHD).
    Registro da conta CloudTrail
  2. Entregue o trail a um bucket S3 dedicado com acesso restrito.
    Registro da conta Amazon S3
  3. Verifique a cobertura de registro com os controles do Config/Security Hub (cloudtrail-enabled).
    Detecção em toda a conta AWS Config Security Hub

Como validar: O CloudTrail está ativo para eventos de gerenciamento (e de dados do CDE), os logs chegam ao bucket dedicado, e o controle cloudtrail-enabled passa.

Evite: Registrar apenas eventos de gerenciamento. O acesso a CHD no S3 precisa de eventos de dados; habilite-os para os recursos do CDE.

Conta única, 3 camadas →

Registre cada conta automaticamente com um trail de organização entregue a um bucket de log-archive centralizado e dedicado.

  1. Crie um trail de organização do CloudTrail a partir da conta de gerenciamento para que cada conta atual e futura seja registrada sem configuração por conta.
    Conta de gerenciamento → OU de PCI CloudTrail AWS Organizations
  2. Entregue todos os trails ao bucket centralizado na conta dedicada de log-archive.
    Conta de log-archive Amazon S3
  3. Habilite eventos de dados para os recursos do CDE e confirme a cobertura com o agregador do Config.
    Conta de ferramentas de segurança AWS Config

Como validar: O trail de organização mostra todas as contas inscritas, os logs chegam ao bucket de log-archive, e os eventos de dados do CDE são capturados.

Evite: Um trail separado por conta. As contas novas são esquecidas; use um único trail de organização.

Multi-conta com uma OU dedicada ao PCI →

Validação PCI

Métodos de comprovação: examineobserve

Procedimentos de teste

  • Entrevistar o administrador e examinar as configurações para verificar que os logs de auditoria estão habilitados e ativos para todos os componentes do sistema (10.2.1).
  • Examinar as configurações e os dados dos logs para verificar a captura de: acesso individual de usuários a CHD, todas as ações administrativas, acesso aos logs de auditoria, tentativas de acesso inválidas, mudanças de credenciais e criação/exclusão de objetos em nível de sistema (10.2.1.1 a 10.2.1.7).

Evidência na AWS

  • Trail de organização do CloudTrail ativo em todas as contas/Regiões.
  • Entrega de logs ao bucket S3 centralizado na conta de logging.
  • Configuração de data events para recursos do CDE quando aplicável.

Abordagem personalizada

Requer uma análise de risco direcionada (Req 12.3.2).

Objetivo da abordagem personalizada

  • 10.2 — São capturados registros de todas as atividades que afetam os componentes do sistema e os dados do portador do cartão.

Serviços AWS

AWS CloudTrail Amazon S3 AWS Organizations

Recursos de aprendizado

Referências

  • AWS Security Maturity Model: API audit logging