PCI DSS Security Maturity Model·AWS v1.1.0

Arraste para explorar · faça pinça para ampliar
Início / Matriz / Requisito 10 / c10.2
Foundational Threat DetectionDomínio de segurança da perspectiva de segurança do AWS Cloud Adoption Framework (CAF), usado para organizar os controles. 🤝 CompartilhadaModelo de Responsabilidade Compartilhada da AWS: quem implementa e opera este controle. Cliente = é seu; AWS = a AWS opera e você o herda; Compartilhada = ambos têm obrigações.

c10.2 Centralizar e proteger os logs contra adulteração

Proteger os logs de auditoria contra modificação ou exclusão não autorizada e retê-los conforme o período exigido (pelo menos 12 meses, com 3 meses de acesso imediato).

Quick Wins
Foundational
Efficient
Optimized
Esforço: Médio Impacto: Alto Aplica ao CDE: Sim

Requisito 10

Registrar e Monitorar Todo o Acesso aos Componentes do Sistema e aos Dados do Portador do Cartão

Sub-requisitos PCI cobertosCobertura mostrada por sub-controle do PCI DSS v4.0.1. “Coberto” = atendido por esta recomendação da AWS. “No roadmap” = técnico, planejado. “Sua responsabilidade” = controle organizacional/de processo. “Fora do escopo” = controle físico ou de terceiros não implementado na AWS.

10.3 Os logs de auditoria são protegidos contra destruição e modificações não autorizadas
  • 10.3.1 Read access to audit log files limited to those with a need Coberto
  • 10.3.2 Audit log files protected to prevent modifications Coberto
  • 10.3.3 Audit log files promptly backed up to secure central location Coberto
  • 10.3.4 File integrity monitoring/change detection on audit logs Coberto
10.5 O histórico dos logs de auditoria é retido e fica disponível para análise
  • 10.5.1 Audit log history retained >=12 months, 3 months immediately available Coberto

Como implementar na AWS

Habilitar a validação de integridade de arquivos do CloudTrail (log file validation). Aplicar S3 Object Lock (WORM) e políticas restritivas no bucket de logs, com acesso limitado em uma conta dedicada. Criptografar os logs com KMS. Definir S3 Lifecycle para retenção >= 12 meses (Glacier para arquivamento, com 3 meses disponíveis de imediato).

Implementação prática

Como este controle é implementado em cada arquitetura de referência:

Torne os logs resistentes a adulteração e conserve-os por pelo menos 12 meses, com 3 meses disponíveis imediatamente.

  1. Habilite a validação de integridade de arquivos de log do CloudTrail para que a adulteração seja detectável.
    Registro da conta CloudTrail
  2. Aplique o S3 Object Lock (WORM) e uma política de bucket restritiva, e criptografe os logs com uma chave do KMS.
    Registro da conta Amazon S3 AWS KMS
  3. Configure uma política de S3 Lifecycle para retenção >=12 meses (camada de arquivamento para logs antigos), mantendo os 3 meses mais recentes disponíveis imediatamente.
    Registro da conta Amazon S3

Como validar: A validação de integridade está ativa, o Object Lock protege o bucket, e o Lifecycle comprova retenção >=12 meses com 3 meses facilmente consultáveis.

Evite: Um bucket de logs do qual os administradores podem excluir. Use o Object Lock (WORM) e restrinja o acesso para que os logs não possam ser alterados nem removidos.

Conta única, 3 camadas →

Centralize todos os logs em uma conta dedicada de log-archive para que sejam resistentes a adulteração e estejam fora do alcance até do resto da organização.

  1. Entregue todos os trails à conta dedicada de log-archive com Object Lock e KMS.
    Conta de log-archive Amazon S3 AWS KMS
  2. Restrinja o acesso ao bucket de log-archive para que nem mesmo os administradores da organização possam modificar ou excluir logs.
    Conta de log-archive AWS Organizations Amazon S3
  3. Aplique uma retenção de Lifecycle consistente (>=12 meses) nos logs consolidados.
    Conta de log-archive Amazon S3

Como validar: Os logs de todas as contas do CDE chegam ao bucket bloqueado de log-archive, o acesso é restrito em toda a organização, e a retenção atende aos 12 meses.

Evite: Manter os logs na mesma conta que os gera. Uma conta comprometida poderia adulterar os próprios logs; centralize em uma conta de arquivo bloqueada.

Multi-conta com uma OU dedicada ao PCI →

Validação PCI

Métodos de comprovação: examineobserve

Procedimentos de teste

  • Examinar as configurações e os privilégios para verificar que o acesso de leitura aos logs é limitado a quem tem necessidade de trabalho e que os logs são protegidos contra modificação (10.3.1, 10.3.2).
  • Examinar as configurações de backup para verificar que os logs são copiados prontamente para um servidor central seguro difícil de modificar, com integridade de arquivos/detecção de mudanças em uso (10.3.3, 10.3.4).
  • Examinar as configurações de retenção para verificar que o histórico de logs é retido por pelo menos 12 meses, com os 3 meses mais recentes disponíveis de imediato (10.5.1.b, 10.5.1.c).

Evidência na AWS

  • Log file validation do CloudTrail habilitada.
  • S3 Object Lock (WORM) e política do bucket de logs com acesso restrito.
  • Regras de S3 Lifecycle evidenciando retenção >= 12 meses e criptografia KMS.

Abordagem personalizada

Requer uma análise de risco direcionada (Req 12.3.2).

Objetivo da abordagem personalizada

  • 10.3 — Os registros de atividade armazenados não podem ser acessados por pessoal não autorizado e estão protegidos contra destruição e modificação não autorizada.
  • 10.5 — Os registros históricos de atividade estão disponíveis de imediato para apoiar a resposta a incidentes e são retidos por pelo menos 12 meses.

Serviços AWS

AWS CloudTrail Amazon S3 AWS KMS Amazon CloudWatch Logs

Recursos de aprendizado

Referências

  • AWS Security Maturity Model: Centralized logging
  • PCI DSS v4.0.1 Requirements 10.3, 10.5