PCI DSS Security Maturity Model·AWS v1.1.0

Arraste para explorar · faça pinça para ampliar
Início / Matriz / Requisito 10 / c10.4
Efficient Threat DetectionDomínio de segurança da perspectiva de segurança do AWS Cloud Adoption Framework (CAF), usado para organizar os controles. 🤝 CompartilhadaModelo de Responsabilidade Compartilhada da AWS: quem implementa e opera este controle. Cliente = é seu; AWS = a AWS opera e você o herda; Compartilhada = ambos têm obrigações.

c10.4 Revisão automatizada de logs e detecção de anomalias

Revisar os logs de auditoria de forma automatizada para identificar atividade anômala ou suspeita, indo além da revisão manual diária por meio de mecanismos automáticos.

Quick Wins
Foundational
Efficient
Optimized
Esforço: Médio Impacto: Médio Aplica ao CDE: Sim

Requisito 10

Registrar e Monitorar Todo o Acesso aos Componentes do Sistema e aos Dados do Portador do Cartão

Sub-requisitos PCI cobertosCobertura mostrada por sub-controle do PCI DSS v4.0.1. “Coberto” = atendido por esta recomendação da AWS. “No roadmap” = técnico, planejado. “Sua responsabilidade” = controle organizacional/de processo. “Fora do escopo” = controle físico ou de terceiros não implementado na AWS.

10.4 Os logs de auditoria são revisados para identificar anomalias ou atividades suspeitas
  • 10.4.1 Daily review of security events and critical component logs Coberto
  • 10.4.1.1 Automated mechanisms used to perform log reviews Coberto
  • 10.4.2 Logs of other system components reviewed periodically Sua responsabilidade
  • 10.4.2.1 Frequency of periodic reviews defined by targeted risk analysis Sua responsabilidade
  • 10.4.3 Exceptions and anomalies identified during review are addressed Sua responsabilidade

Como implementar na AWS

Analisar logs com o CloudWatch Logs Insights e detecção de anomalias. Correlacionar sinais com o GuardDuty e consolidar no Security Hub. Definir alarmes e métricas para eventos críticos de segurança. Documentar a revisão diária de eventos de alto risco por meio de mecanismos automatizados.

Implementação prática

Como este controle é implementado em cada arquitetura de referência:

Revise os logs com mecanismos automatizados (não apenas a olho) para expor atividade anômala ou suspeita diariamente.

  1. Analise os logs com consultas do CloudWatch Logs Insights e metric filters para eventos de alto risco (uso de root, mudanças de política, autenticação falha).
    Detecção em toda a conta CloudWatch
  2. Correlacione sinais com o GuardDuty e consolide no Security Hub como a revisão diária automatizada.
    Detecção em toda a conta GuardDuty Security Hub
  3. Defina alarmes para eventos de segurança críticos e documente que a revisão diária é automatizada (10.4.1.1).
    Automação da conta CloudWatch

Como validar: Logs Insights/metric filters e GuardDuty alimentam o Security Hub, os alarmes disparam diante de eventos de alto risco, e o processo de revisão automatizada está documentado.

Evite: Rolagem manual diária de logs. Não escala e perde eventos; use mecanismos automatizados como espera 10.4.1.1.

Conta única, 3 camadas →

Agregue os logs e detecções de forma central para que a revisão de anomalias abranja cada conta do CDE a partir de um único painel.

  1. Agregue os achados do GuardDuty e do Config/Security Hub na conta de ferramentas de segurança do administrador delegado.
    Conta de ferramentas de segurança Security Hub GuardDuty
  2. Opcionalmente execute o OpenSearch e/ou o Amazon Detective sobre os logs centralizados para uma análise de anomalias mais profunda.
    Conta de ferramentas de segurança OpenSearch Service Amazon Detective
  3. Alerte e rastreie as exceções de forma central para que as anomalias em qualquer conta sejam revisadas e tratadas.
    Conta de ferramentas de segurança EventBridge

Como validar: A conta de ferramentas de segurança mostra achados correlacionados em todas as contas, e as exceções de anomalias são rastreadas até a resolução de forma central.

Evite: Revisar os logs de cada conta separadamente. Agregue as detecções de forma central para que a revisão seja completa e consistente.

Multi-conta com uma OU dedicada ao PCI →

Validação PCI

Métodos de comprovação: examineobserve

Procedimentos de teste

  • Examinar as políticas e observar os processos para verificar que os logs requeridos são revisados pelo menos uma vez por dia (10.4.1.a, 10.4.1.b).
  • Examinar os mecanismos de revisão de logs e entrevistar o pessoal para verificar que mecanismos automatizados são usados para realizar as revisões (10.4.1.1).
  • Observar os processos e entrevistar o pessoal para verificar que as exceções e anomalias identificadas durante a revisão são tratadas (10.4.3.b).

Evidência na AWS

  • Consultas/alarmes do CloudWatch Logs Insights sobre eventos de segurança.
  • Achados do GuardDuty consolidados no Security Hub.
  • Evidência de revisão automatizada de logs de alto risco.

Abordagem personalizada

Requer uma análise de risco direcionada (Req 12.3.2).

Objetivo da abordagem personalizada

  • 10.4 — As atividades potencialmente suspeitas ou anômalas são identificadas rapidamente para minimizar o impacto.

Serviços AWS

Amazon CloudWatch Amazon GuardDuty AWS Security Hub Amazon OpenSearch Service

Recursos de aprendizado

Referências

  • AWS Security Maturity Model: Alarms and analysis
  • PCI DSS v4.0.1 Requirement 10.4