PCI DSS Security Maturity Model·AWS v1.1.0

Arraste para explorar · faça pinça para ampliar
Início / Matriz / Requisito 10 / c10.6
Quick Wins Threat DetectionDomínio de segurança da perspectiva de segurança do AWS Cloud Adoption Framework (CAF), usado para organizar os controles. 🤝 CompartilhadaModelo de Responsabilidade Compartilhada da AWS: quem implementa e opera este controle. Cliente = é seu; AWS = a AWS opera e você o herda; Compartilhada = ambos têm obrigações.

c10.6 Mantenha os relógios do sistema consistentes com o Amazon Time Sync

Sincronize e proteja a hora do sistema em todos os componentes usando o Amazon Time Sync Service para que os carimbos de data/hora dos logs de auditoria sejam precisos e consistentes.

Quick Wins
Foundational
Efficient
Optimized
Esforço: Baixo Impacto: Médio Aplica ao CDE: Sim

Requisito 10

Registrar e Monitorar Todo o Acesso aos Componentes do Sistema e aos Dados do Portador do Cartão

Sub-requisitos PCI cobertosCobertura mostrada por sub-controle do PCI DSS v4.0.1. “Coberto” = atendido por esta recomendação da AWS. “No roadmap” = técnico, planejado. “Sua responsabilidade” = controle organizacional/de processo. “Fora do escopo” = controle físico ou de terceiros não implementado na AWS.

10.6 Os mecanismos de sincronização de tempo garantem configurações de horário consistentes
  • 10.6.1 System clocks and time synchronized using time-sync technology Coberto
  • 10.6.2 Systems configured to correct and consistent time Coberto
  • 10.6.3 Time synchronization settings and data protected Coberto

Como implementar na AWS

Use o Amazon Time Sync Service pelo endpoint link-local (169.254.169.123 IPv4 / fd00:ec2::123 IPv6, acessível no EC2 sem acesso à internet) como fonte de hora para todas as instâncias. Observação: a fonte NTP é configuração no nível do SO dentro da instância, não um ajuste do IAM; gerencie-a e imponha-a com o Systems Manager (State Manager / RunCommand) e restrinja quem pode fazer login nas instâncias. Monitore o desvio de relógio com o Amazon CloudWatch (por exemplo, usando o ClockBound) e alerte sobre falhas de sincronização. Contêineres e serviços gerenciados herdam a hora sincronizada do host.

Implementação prática

Como este controle é implementado em cada arquitetura de referência:

Aponte cada instância para o endpoint link-local do Amazon Time Sync por meio de configuração de SO gerenciada pelo SSM, e monitore o desvio com o CloudWatch.

  1. Configure o cliente NTP do SO para usar o endpoint link-local do Amazon Time Sync (169.254.169.123 / fd00:ec2::123).
    Todas as instâncias (CDE) Amazon EC2
  2. Gerencie e imponha essa configuração NTP no nível do SO com o Systems Manager (associação do State Manager), e restrinja o login nas instâncias para que a configuração de hora não possa ser alterada de forma ad hoc.
    Todas as instâncias (CDE) Systems Manager
  3. Monitore o desvio de relógio e alerte sobre falhas de sincronização com o CloudWatch (por exemplo, métricas do ClockBound).
    Todas as instâncias (CDE) CloudWatch

Como validar: As instâncias resolvem a hora pelo endpoint do Amazon Time Sync, a configuração NTP é imposta via SSM, e o CloudWatch alerta sobre desvio/falha.

Evite: Tratar a configuração de hora como uma permissão do IAM ou supor que existe uma regra gerenciada do Config para NTP; é configuração de SO, imposta via SSM e monitorada via CloudWatch.

Conta única, 3 camadas →

Padronize a configuração de SO do Amazon Time Sync por meio de imagens douradas + SSM entre contas, e centralize os alertas de desvio.

  1. Incorpore a configuração NTP do Amazon Time Sync em AMIs douradas / launch templates usados entre contas.
    Todas as contas Amazon EC2
  2. Imponha e remedie a configuração NTP do SO em toda a frota com o Systems Manager; use uma regra personalizada do Config (Lambda) se precisar de relatório do estado de configuração (não há regra gerenciada de NTP).
    Todas as contas Systems Manager AWS Config
  3. Centralize os alertas de desvio de relógio e falha de sincronização na conta de segurança via CloudWatch.
    Conta de segurança CloudWatch

Como validar: As imagens douradas definem o endpoint do Amazon Time Sync; o SSM impõe a configuração de SO entre contas; o CloudWatch centraliza os alertas de desvio.

Evite: Confiar em uma regra gerenciada do Config inexistente para a sincronização de hora. Imponha via SSM; relate por meio de uma regra personalizada ou do CloudWatch.

Multi-conta com uma OU dedicada ao PCI →

Validação PCI

Métodos de comprovação: examineobserve

Procedimentos de teste

  • Examinar a configuração de hora do SO das instâncias para verificar que usa o Amazon Time Sync Service, que a configuração é imposta (por exemplo, via Systems Manager) e que o desvio é monitorado e alertado.

Evidência na AWS

  • Configuração NTP/chrony do SO apontando para 169.254.169.123 / fd00:ec2::123
  • Associação do State Manager do Systems Manager impondo a configuração de hora
  • Alarmes do CloudWatch para desvio de relógio / falha de sincronização

Abordagem personalizada

Objetivo da abordagem personalizada

  • 10.6 — Os relógios e a hora do sistema estão sincronizados e os dados de hora estão protegidos.

Serviços AWS

Amazon Time Sync Service Amazon EC2 AWS Systems Manager Amazon CloudWatch

Recursos de aprendizado

Referências

  • https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/set-time.html