PCI DSS Security Maturity Model·AWS v1.1.0

Arraste para explorar · faça pinça para ampliar
Início / Matriz / Requisito 11 / c11.3
Foundational Threat DetectionDomínio de segurança da perspectiva de segurança do AWS Cloud Adoption Framework (CAF), usado para organizar os controles. 🤝 CompartilhadaModelo de Responsabilidade Compartilhada da AWS: quem implementa e opera este controle. Cliente = é seu; AWS = a AWS opera e você o herda; Compartilhada = ambos têm obrigações.

c11.3 Detecção de intrusões na rede

Usar técnicas de detecção de intrusões para detectar e alertar sobre intrusões no perímetro e em pontos críticos do CDE, mantendo os mecanismos atualizados.

Quick Wins
Foundational
Efficient
Optimized
Esforço: Médio Impacto: Alto Aplica ao CDE: Sim

Requisito 11

Testar Regularmente a Segurança dos Sistemas e das Redes

Sub-requisitos PCI cobertosCobertura mostrada por sub-controle do PCI DSS v4.0.1. “Coberto” = atendido por esta recomendação da AWS. “No roadmap” = técnico, planejado. “Sua responsabilidade” = controle organizacional/de processo. “Fora do escopo” = controle físico ou de terceiros não implementado na AWS.

11.5 As intrusões de rede e as mudanças inesperadas de arquivos são detectadas e tratadas
  • 11.5.1 Intrusion-detection/prevention techniques detect/alert/prevent Coberto
  • 11.5.1.1 IDS/IPS detects, alerts, and addresses covert malware (SP only) Coberto
  • 11.5.2 Change-detection mechanism (FIM) alerts on unauthorized changes Coberto

Como implementar na AWS

Habilitar o GuardDuty (incluindo análise de VPC Flow Logs e DNS) para detecção de intrusões sem agentes. Complementar com regras IPS do AWS Network Firewall (Suricata) no perímetro do CDE. Alertar e responder aos achados por meio do Security Hub/EventBridge.

Implementação prática

Como este controle é implementado em cada arquitetura de referência:

Detecte intrusões no perímetro e em pontos críticos do CDE com detecção sem agente mais IPS, e mantenha os mecanismos atualizados.

  1. Habilite o GuardDuty com VPC Flow Logs e análise de DNS para detecção de intrusões sem agente.
    Detecção em toda a conta GuardDuty Amazon VPC
  2. Adicione regras IPS do AWS Network Firewall (assinaturas Suricata) no perímetro do CDE, mantendo o conjunto de regras atualizado.
    Sub-redes de inspeção (na VPC) Network Firewall
  3. Alerte e responda aos achados por meio do Security Hub e do EventBridge.
    Automação da conta Security Hub EventBridge

Como validar: O GuardDuty cobre flow/DNS, o IPS do Network Firewall está ativo no perímetro com assinaturas atuais, e os achados geram alertas.

Evite: Confiar apenas em security groups para a detecção de intrusões. Eles filtram mas não detectam/alertam; adicione GuardDuty e IPS.

Conta única, 3 camadas →

Detecte intrusões em cada conta do CDE com o GuardDuty em toda a organização e IPS gerenciado de forma central na VPC de inspeção.

  1. Execute o GuardDuty em toda a organização (administrador delegado) para que a detecção baseada em flow/DNS cubra cada conta do CDE.
    Conta de ferramentas de segurança → OU de PCI GuardDuty AWS Organizations
  2. Aplique o IPS de forma central na VPC de inspeção (conta de rede) com um conjunto de regras do Network Firewall gerenciado de forma consistente.
    Conta de rede/inspeção Network Firewall Transit Gateway
  3. Alerte de forma central a partir da conta de ferramentas de segurança para que as respostas sejam consistentes.
    Conta de ferramentas de segurança Security Hub EventBridge

Como validar: O GuardDuty está habilitado em toda a organização, todo o tráfego do CDE transita o IPS central, e os alertas de intrusão aparecem de forma central.

Evite: Um IPS separado por conta. A política desvia; centralize a inspeção na conta de rede.

Multi-conta com uma OU dedicada ao PCI →

Validação PCI

Métodos de comprovação: examineobserve

Procedimentos de teste

  • Examinar as configurações do sistema e os diagramas de rede para verificar que as técnicas de detecção/prevenção de intrusões monitoram o tráfego no perímetro e em pontos críticos do CDE (11.5.1.a).
  • Examinar as configurações e entrevistar o pessoal para verificar que as técnicas alertam o pessoal ante comprometimentos suspeitos e são mantidas atualizadas (motores, linhas de base, assinaturas) (11.5.1.b, 11.5.1.c).

Evidência na AWS

  • GuardDuty habilitado com análise de VPC Flow Logs e DNS.
  • Regras IPS do AWS Network Firewall ativas no perímetro do CDE.
  • Alertas e tratamento de achados no Security Hub.

Abordagem personalizada

Requer uma análise de risco direcionada (Req 12.3.2).

Objetivo da abordagem personalizada

  • 11.5 — São implementados mecanismos para detectar em tempo real tráfego de rede suspeito ou anômalo que possa indicar atividade de agentes de ameaça, e os alertas são tratados.

Serviços AWS

Amazon GuardDuty AWS Network Firewall AWS Security Hub

Recursos de aprendizado

Referências

  • PCI DSS v4.0.1 Requirement 11.5