PCI DSS Security Maturity Model·AWS v1.1.0

Arraste para explorar · faça pinça para ampliar
Início / Matriz / Requisito 11 / c11.4
Efficient Application SecurityDomínio de segurança da perspectiva de segurança do AWS Cloud Adoption Framework (CAF), usado para organizar os controles. 🤝 CompartilhadaModelo de Responsabilidade Compartilhada da AWS: quem implementa e opera este controle. Cliente = é seu; AWS = a AWS opera e você o herda; Compartilhada = ambos têm obrigações.

c11.4 Detecção de mudanças não autorizadas nas páginas de pagamento

Detectar e alertar sobre mudanças ou adulteração não autorizada dos cabeçalhos HTTP e do conteúdo das páginas de pagamento recebidas pelo navegador do consumidor (novo na v4.0).

Quick Wins
Foundational
Efficient
Optimized
Esforço: Alto Impacto: Médio Aplica ao CDE: Sim

Requisito 11

Testar Regularmente a Segurança dos Sistemas e das Redes

Sub-requisitos PCI cobertosCobertura mostrada por sub-controle do PCI DSS v4.0.1. “Coberto” = atendido por esta recomendação da AWS. “No roadmap” = técnico, planejado. “Sua responsabilidade” = controle organizacional/de processo. “Fora do escopo” = controle físico ou de terceiros não implementado na AWS.

11.6 As mudanças não autorizadas nas páginas de pagamento são detectadas e tratadas
  • 11.6.1 Change/tamper detection on payment pages alerts on modifications No roadmap

Como implementar na AWS

Implementar mecanismos de monitoramento de integridade de scripts e cabeçalhos (por exemplo, CSP com relatório, Subresource Integrity, detecção de adulteração) servindo a página via CloudFront. Enviar relatórios de violação a um endpoint monitorado (API Gateway/Lambda) e alertar. Avaliar o conteúdo da página pelo menos a cada 7 dias.

Implementação prática

Como este controle é implementado em cada arquitetura de referência:

Detecte o skimming/adulteração de scripts e cabeçalhos da página de pagamento como recebidos pelo navegador, e alerte diante de mudanças (novo na v4.0).

  1. Sirva as páginas de pagamento via CloudFront e adicione cabeçalhos de segurança de resposta (CSP com relatório) e Subresource Integrity (SRI) nos scripts.
    Sub-rede pública / edge CloudFront
  2. Envie os relatórios de violação de CSP / integridade a um endpoint monitorado (API Gateway + Lambda) e gere um alerta.
    Automação da conta API Gateway AWS Lambda EventBridge
  3. Avalie o inventário de scripts/cabeçalhos da página de pagamento pelo menos a cada 7 dias (ou a frequência de uma análise de risco direcionada).
    Automação da conta AWS Lambda

Como validar: CSP/SRI estão configurados na página de pagamento, os relatórios de violação chegam ao endpoint e alertam, e há evidência de avaliação pelo menos semanal.

Evite: Confiar em scripts de terceiros na página de pagamento sem verificações de integridade. Use SRI + relatório de CSP para que scripts injetados/alterados disparem um alerta.

Conta única, 3 camadas →

Padronize o mecanismo de detecção de adulteração em cada conta que hospeda páginas de pagamento, reportando a um endpoint central.

  1. Aplique o mesmo padrão de CloudFront CSP/SRI a cada conta do CDE que sirva páginas de pagamento.
    Cada conta do CDE com páginas de pagamento CloudFront
  2. Entregue os relatórios de violação a um endpoint de monitoramento central (API Gateway/Lambda em uma conta compartilhada).
    Conta de ferramentas de segurança / compartilhada API Gateway AWS Lambda
  3. Alerte por meio da conta de ferramentas de segurança para que a adulteração de páginas de pagamento em qualquer lugar seja detectada de forma consistente.
    Conta de ferramentas de segurança EventBridge Security Hub

Como validar: Cada conta com páginas de pagamento aplica CSP/SRI, e os relatórios de violação de todas elas chegam ao endpoint central e alertam.

Evite: Detecção de adulteração divergente por conta. Padronize o mecanismo e centralize o relatório para que nada seja perdido.

Multi-conta com uma OU dedicada ao PCI →

Validação PCI

Métodos de comprovação: examineobserve

Procedimentos de teste

  • Examinar os ajustes e os resultados de monitoramento para verificar que há um mecanismo de detecção de mudanças e adulteração implantado nas páginas de pagamento e configurado conforme o requisito (11.6.1.a, 11.6.1.b).
  • Examinar as configurações e entrevistar o pessoal para verificar que o mecanismo é executado pelo menos uma vez por semana ou na frequência definida por uma análise de risco direcionada (11.6.1.d).

Evidência na AWS

  • Configuração de CSP/SRI e do mecanismo de detecção de adulteração na página de pagamento.
  • Endpoint de recebimento de relatórios (API Gateway/Lambda) e alarmes associados.
  • Evidência de avaliação pelo menos a cada 7 dias.

Abordagem personalizada

Requer uma análise de risco direcionada (Req 12.3.2).

Objetivo da abordagem personalizada

  • 11.6 — O código ou as técnicas de skimming de comércio eletrônico não podem ser adicionados às páginas de pagamento recebidas pelo navegador do consumidor sem que um alerta oportuno seja gerado.

Serviços AWS

Amazon CloudFront AWS Lambda Amazon API Gateway Amazon CloudWatch

Recursos de aprendizado

Referências

  • PCI DSS v4.0.1 Requirement 11.6