PCI DSS Security Maturity Model·AWS v1.1.0

Arraste para explorar · faça pinça para ampliar
Início / Matriz / Requisito 11 / c11.1
Quick Wins Vulnerability ManagementDomínio de segurança da perspectiva de segurança do AWS Cloud Adoption Framework (CAF), usado para organizar os controles. 🤝 CompartilhadaModelo de Responsabilidade Compartilhada da AWS: quem implementa e opera este controle. Cliente = é seu; AWS = a AWS opera e você o herda; Compartilhada = ambos têm obrigações.

c11.1 Varreduras de vulnerabilidades internas e externas

Executar varreduras de vulnerabilidades internas e externas regularmente e após mudanças significativas, tratando os achados conforme o ranqueamento de risco. As varreduras externas ASV devem ser realizadas trimestralmente.

Quick Wins
Foundational
Efficient
Optimized
Esforço: Baixo Impacto: Alto Aplica ao CDE: Sim

Requisito 11

Testar Regularmente a Segurança dos Sistemas e das Redes

Sub-requisitos PCI cobertosCobertura mostrada por sub-controle do PCI DSS v4.0.1. “Coberto” = atendido por esta recomendação da AWS. “No roadmap” = técnico, planejado. “Sua responsabilidade” = controle organizacional/de processo. “Fora do escopo” = controle físico ou de terceiros não implementado na AWS.

11.3 As vulnerabilidades externas e internas são regularmente identificadas, priorizadas e tratadas
  • 11.3.1 Internal vulnerability scans performed and resolved Coberto
  • 11.3.1.1 Non-high/critical vulnerabilities managed per risk Sua responsabilidade
  • 11.3.1.2 Internal scans via authenticated scanning Coberto
  • 11.3.1.3 Internal scans after significant changes Coberto
  • 11.3.2 External vulnerability scans performed quarterly by ASV Coberto
  • 11.3.2.1 External scans after significant changes Coberto

Como implementar na AWS

Cobrir a varredura interna contínua com o Amazon Inspector. Para a varredura externa trimestral, contratar um Approved Scanning Vendor (ASV). Refazer as varreduras após mudanças significativas. Rastrear a remediação até obter um resultado aprovado. Consolidar no Security Hub.

Implementação prática

Como este controle é implementado em cada arquitetura de referência:

Cubra o escaneamento interno de forma contínua com o Inspector e satisfaça o escaneamento externo trimestral com um Approved Scanning Vendor (ASV).

  1. Use o Amazon Inspector para o escaneamento interno contínuo de vulnerabilidades de EC2/ECR/Lambda, tratando os achados altos/críticos por classificação de risco.
    Detecção em toda a conta Amazon Inspector
  2. Contrate um Approved Scanning Vendor (ASV) do PCI SSC para os escaneamentos externos trimestrais dos seus endpoints expostos à internet.
    Endpoints públicos
  3. Reescaneie após mudanças significativas e rastreie a remediação até um resultado aprovado; consolide no Security Hub.
    Detecção em toda a conta Security Hub

Como validar: Os escaneamentos internos ocorrem pelo menos trimestralmente com os achados altos/críticos resolvidos, e existem relatórios ASV aprovados de cada trimestre de um ASV do PCI SSC.

Evite: Tratar o Inspector como o escaneamento ASV. O escaneamento externo trimestral deve vir de um fornecedor aprovado; o Inspector cobre o lado interno.

Conta única, 3 camadas →

Execute o escaneamento interno em toda a organização e coordene os escaneamentos externos ASV trimestrais para cada endpoint do CDE exposto à internet.

  1. Habilite o Inspector em toda a organização (administrador delegado) para que todas as contas do CDE sejam escaneadas internamente com achados consolidados de forma central.
    Conta de ferramentas de segurança → OU de PCI Amazon Inspector AWS Organizations Security Hub
  2. Coordene escaneamentos externos ASV trimestrais para cada endpoint do CDE exposto à internet em todas as contas.
    Endpoints públicos (por conta)
  3. Rastreie os reescaneamentos após mudanças e a remediação até aprovar, de forma central.
    Conta de ferramentas de segurança Security Hub

Como validar: A cobertura do Inspector em toda a organização é completa, e cada endpoint do CDE exposto à internet tem relatórios ASV trimestrais aprovados.

Evite: Escanear apenas os endpoints de uma conta. Cada endpoint do CDE exposto à internet precisa da própria cobertura ASV trimestral.

Multi-conta com uma OU dedicada ao PCI →

Validação PCI

Métodos de comprovação: examine

Procedimentos de teste

  • Examinar os relatórios de varredura interna dos últimos 12 meses para verificar que as varreduras ocorreram pelo menos a cada 3 meses e que todas as vulnerabilidades altas e críticas foram resolvidas (11.3.1.a, 11.3.1.b).
  • Examinar os relatórios de varredura ASV para verificar que as varreduras externas ocorreram pelo menos a cada 3 meses, atenderam aos critérios de aprovação ASV e foram realizadas por um ASV do PCI SSC (11.3.2.a, 11.3.2.b, 11.3.2.c).

Evidência na AWS

  • Relatórios de varredura interna do Amazon Inspector com evidência de remediação.
  • Relatórios ASV trimestrais aprovados (fornecedor externo).
  • Registro de novas varreduras após mudanças significativas.

Abordagem personalizada

Requer uma análise de risco direcionada (Req 12.3.2).

Objetivo da abordagem personalizada

  • 11.3 — A postura de segurança de todos os componentes do sistema é verificada periodicamente com ferramentas automatizadas projetadas para detectar vulnerabilidades, e as vulnerabilidades detectadas são tratadas conforme o risco.

Serviços AWS

Amazon Inspector AWS Security Hub

Recursos de aprendizado

Referências

  • PCI DSS v4.0.1 Requirement 11.3