c10.3 Sincronização de tempo confiável (10.6)
Garantir que os relógios dos sistemas estejam sincronizados com uma fonte de tempo confiável para que os timestamps dos logs sejam consistentes e confiáveis.
Requisito 10
Registrar e Monitorar Todo o Acesso aos Componentes do Sistema e aos Dados do Portador do Cartão
Sub-requisitos PCI cobertosCobertura mostrada por sub-controle do PCI DSS v4.0.1. “Coberto” = atendido por esta recomendação da AWS. “No roadmap” = técnico, planejado. “Sua responsabilidade” = controle organizacional/de processo. “Fora do escopo” = controle físico ou de terceiros não implementado na AWS.
10.6 Os mecanismos de sincronização de tempo garantem configurações de horário consistentes
- 10.6.1 System clocks and time synchronized using time-sync technology Coberto
- 10.6.2 Systems configured to correct and consistent time Coberto
- 10.6.3 Time synchronization settings and data protected Coberto
Como implementar na AWS
Usar o Amazon Time Sync Service (NTP em 169.254.169.123) em todas as instâncias EC2. Restringir quem pode modificar a configuração de tempo. Verificar a sincronização de forma centralizada. Os serviços gerenciados da AWS já usam tempo sincronizado.
Implementação prática
Como este controle é implementado em cada arquitetura de referência:
Sincronize todos os relógios com uma fonte confiável para que os carimbos de data/hora dos logs sejam consistentes e confiáveis.
- Configure o Amazon Time Sync Service (169.254.169.123) em todas as instâncias EC2 pela imagem base ou pelo SSM.Camada de app (CDE) / Camada de dados (CDE)
Amazon EC2 
Systems Manager - Restrinja quem pode alterar as configurações de hora e registre as mudanças na configuração de tempo nos sistemas críticos.Camada de app (CDE) / Camada de dados (CDE)
IAM 
CloudTrail
Como validar: As instâncias sincronizam com o Amazon Time Sync Service, as mudanças de configuração de hora são restritas e registradas, e os relógios concordam entre componentes.
Evite: Deixar cada instância usar NTP público arbitrário. Padronize no Amazon Time Sync Service para uma fonte consistente e confiável.
Padronize a fonte de tempo em cada base de conta para que todas as contas do CDE concordem na hora.
- Incorpore o Amazon Time Sync Service na golden AMI e nas bases de conta (Control Tower / IaC) para que cada conta o use por padrão.Base da conta (todas as contas)
Control Tower 
EC2 Image Builder - Restrinja e registre as mudanças de configuração de hora de forma consistente entre contas.Cada conta de carga do CDE IAM CloudTrail
Como validar: Cada base de conta impõe o Amazon Time Sync Service e o registro de mudanças de hora é consistente em toda a organização.
Evite: Configurar a hora por conta manualmente. Incorpore-a na base para que nenhuma conta desvie para uma fonte não confiável.
Validação PCI
Procedimentos de teste
- Examinar os ajustes de configuração para verificar que a tecnologia de sincronização de tempo está implementada e atualizada (10.6.1).
- Examinar as configurações de aquisição, distribuição e armazenamento do tempo correto (10.6.2), e verificar que o acesso aos dados de tempo é restrito e que as mudanças de configuração de tempo em sistemas críticos são registradas, monitoradas e revisadas (10.6.3.a, 10.6.3.b).
Evidência na AWS
- Configuração do Amazon Time Sync Service nas instâncias em escopo.
- Restrição de permissões para alterar a configuração de tempo.
- Evidência de sincronização de relógios nos componentes do sistema.
Abordagem personalizada
Requer uma análise de risco direcionada (Req 12.3.2).
Objetivo da abordagem personalizada
- 10.6 — É estabelecido um horário comum em todos os sistemas.
Serviços AWS
Amazon EC2 Recursos de aprendizado
Referências
- PCI DSS v4.0.1 Requirement 10.6