PCI DSS Security Maturity Model·AWS v1.1.0

Arraste para explorar · faça pinça para ampliar
Início / Matriz / Requisito 11 / c11.5
Efficient Vulnerability ManagementDomínio de segurança da perspectiva de segurança do AWS Cloud Adoption Framework (CAF), usado para organizar os controles. 🤝 CompartilhadaModelo de Responsabilidade Compartilhada da AWS: quem implementa e opera este controle. Cliente = é seu; AWS = a AWS opera e você o herda; Compartilhada = ambos têm obrigações.

c11.5 Testes de penetração internos e externos

Realizar testes de penetração internos e externos pelo menos anualmente e após mudanças significativas, incluindo a validação dos controles de segmentação do CDE.

Quick Wins
Foundational
Efficient
Optimized
Esforço: Alto Impacto: Médio Aplica ao CDE: Sim

Requisito 11

Testar Regularmente a Segurança dos Sistemas e das Redes

Sub-requisitos PCI cobertosCobertura mostrada por sub-controle do PCI DSS v4.0.1. “Coberto” = atendido por esta recomendação da AWS. “No roadmap” = técnico, planejado. “Sua responsabilidade” = controle organizacional/de processo. “Fora do escopo” = controle físico ou de terceiros não implementado na AWS.

11.4 Testes de penetração externos e internos são realizados regularmente
  • 11.4.1 Penetration testing methodology defined and implemented Sua responsabilidade
  • 11.4.2 Internal penetration testing performed per methodology Sua responsabilidade
  • 11.4.3 External penetration testing performed per methodology Sua responsabilidade
  • 11.4.4 Exploitable vulnerabilities from pentests corrected and retested Sua responsabilidade
  • 11.4.5 Segmentation controls tested by penetration testing Coberto
  • 11.4.6 Segmentation pentests at least every 6 months (SP only) Coberto
  • 11.4.7 Multi-tenant SPs support customer external pentests (SP only) Sua responsabilidade

Como implementar na AWS

Definir uma metodologia de pentest e contratar equipes qualificadas. A AWS permite testes de penetração do cliente sobre serviços permitidos sem aprovação prévia (política de pentesting da AWS). Validar a segmentação (11.4.5) por meio de testes direcionados. Rastrear a correção de achados exploráveis.

Implementação prática

Como este controle é implementado em cada arquitetura de referência:

Realize testes de penetração internos e externos pelo menos anualmente e após mudanças significativas, e valide que a segmentação realmente isola o CDE.

  1. Defina uma metodologia de pentest (11.4.1) e contrate uma equipe qualificada para testes internos e externos anuais.
    Programa de pentest
  2. Inclua um teste de segmentação (11.4.5) que comprove que as redes fora de escopo não podem alcançar as sub-redes do CDE; observe que a AWS permite testes em serviços aprovados sem autorização prévia.
    Camadas de app/dados (CDE) Amazon VPC
  3. Rastreie os achados exploráveis até o fechamento e reteste.
    Acompanhamento de remediação

Como validar: Existem relatórios de pentest internos/externos vigentes com um teste de segmentação, e os achados exploráveis estão remediados e retestados.

Evite: Ignorar o teste de segmentação. 11.4.5 exige especificamente comprovar o isolamento; um pentest geral não basta.

Conta única, 3 camadas →

O pentest valida os limites de segmentação de conta/OU dos quais esta arquitetura depende; teste cada conta do CDE exposta à internet e o isolamento central.

  1. Teste cada conta do CDE exposta à internet externa e internamente na cadência anual.
    Cada conta do CDE exposta à internet
  2. Valide o isolamento do Transit Gateway / limite de conta como o teste de segmentação (11.4.5), comprovando que as contas fora de escopo não podem alcançar o CDE.
    Limite da OU de PCI Transit Gateway AWS Organizations
  3. Rastreie os achados e os resultados de segmentação de forma central.
    Ferramentas de segurança / repositório de evidência Amazon S3

Como validar: Cada conta do CDE exposta à internet tem relatórios de pentest vigentes, e o teste de segmentação confirma que os limites de OU/Transit Gateway isolam o CDE.

Evite: Testar uma conta e assumir que as demais estão isoladas. Valide os limites reais de conta/OU dos quais o design depende.

Multi-conta com uma OU dedicada ao PCI →

Validação PCI

Métodos de comprovação: examineinterview

Procedimentos de teste

  • Examinar a documentação para verificar que a metodologia de testes de penetração cobre todos os elementos requeridos (11.4.1).
  • Examinar o escopo e os resultados dos testes de penetração internos e externos mais recentes (11.4.2.a, 11.4.3.a) e verificar que os achados exploráveis foram corrigidos (11.4.4).
  • Examinar os controles de segmentação e os resultados do teste mais recente para verificar que todos os métodos de segmentação são testados (11.4.5.a, 11.4.5.b).

Evidência na AWS

  • Metodologia de pentest documentada (alinhada com o 11.4.1).
  • Relatórios de testes de penetração internos e externos com acompanhamento de remediação.
  • Resultados dos testes de segmentação do CDE.

Abordagem personalizada

Requer uma análise de risco direcionada (Req 12.3.2).

Objetivo da abordagem personalizada

  • 11.4 — As vulnerabilidades exploráveis e fraquezas de segurança são identificadas por meio de testes de penetração periódicos e são corrigidas; os controles de segmentação, se usados, são verificados como eficazes.

Serviços AWS

AWS (Customer Penetration Testing Policy)

Recursos de aprendizado

Referências

  • PCI DSS v4.0.1 Requirement 11.4