PCI DSS Security Maturity Model·AWS v1.1.0

Arraste para explorar · faça pinça para ampliar
Início / Matriz / Requisito 2 / c2.1
Quick Wins Infrastructure ProtectionDomínio de segurança da perspectiva de segurança do AWS Cloud Adoption Framework (CAF), usado para organizar os controles. 🤝 CompartilhadaModelo de Responsabilidade Compartilhada da AWS: quem implementa e opera este controle. Cliente = é seu; AWS = a AWS opera e você o herda; Compartilhada = ambos têm obrigações.

c2.1 Remover credenciais e configurações padrão

Alterar ou remover todas as senhas, contas e configurações padrão do fornecedor nos componentes do sistema antes de colocá-los em produção. É um quick win direto contra vetores de ataque conhecidos.

Quick Wins
Foundational
Efficient
Optimized
Esforço: Baixo Impacto: Alto Aplica ao CDE: Sim

Requisito 2

Aplicar Configurações Seguras a Todos os Componentes do Sistema

Sub-requisitos PCI cobertosCobertura mostrada por sub-controle do PCI DSS v4.0.1. “Coberto” = atendido por esta recomendação da AWS. “No roadmap” = técnico, planejado. “Sua responsabilidade” = controle organizacional/de processo. “Fora do escopo” = controle físico ou de terceiros não implementado na AWS.

2.2 Os componentes do sistema são configurados e gerenciados de forma segura
  • 2.2.1 Configuration standards developed, implemented, and maintained Coberto
  • 2.2.2 Vendor default accounts managed (removed/disabled or secured) Coberto
  • 2.2.3 Primary functions with different security levels isolated Coberto
  • 2.2.4 Only necessary services, protocols, daemons, and functions enabled Coberto
  • 2.2.5 Insecure services/protocols: business justification and mitigations Coberto
  • 2.2.6 System security parameters configured to prevent misuse Coberto
  • 2.2.7 All non-console administrative access is encrypted Coberto

Como implementar na AWS

Usar imagens base endurecidas (golden AMIs) criadas com o EC2 Image Builder que não contenham credenciais padrão. Desabilitar contas padrão não utilizadas. Gerenciar quaisquer segredos necessários no AWS Secrets Manager em vez de valores padrão embutidos. Proibir o uso de senhas padrão por meio de controles de configuração.

Implementação prática

Como este controle é implementado em cada arquitetura de referência:

Inicie cada instância do CDE a partir de uma imagem endurecida sem contas, senhas ou configurações padrão do fornecedor, e mantenha os segredos fora da imagem.

  1. Construa as AMIs das camadas de app e dados com um pipeline de endurecimento do EC2 Image Builder que remova ou desabilite as contas padrão do sistema operacional e aplique seu padrão de configuração.
    Base da conta (golden AMIs) EC2 Image Builder
  2. Armazene quaisquer segredos de inicialização de que a instância precise no Secrets Manager e injete-os no lançamento, em vez de embutir valores padrão na imagem ou no user data.
    Camada de app (CDE) / Camada de dados (CDE) Secrets Manager
  3. Confirme que as contas padrão não utilizadas estejam desabilitadas antes de a instância se juntar às sub-redes do CDE.
    Camada de app (CDE) / Camada de dados (CDE) Amazon EC2 Systems Manager

Como validar: A receita do Image Builder mostra os componentes de endurecimento/remoção de contas, e um inventário das instâncias em execução não mostra contas padrão ativas.

Evite: Endurecer as instâncias manualmente após o lançamento. Passos manuais desviam e são pulados; incorpore a base sem valores padrão na imagem para que cada instância inicie em conformidade.

Conta única, 3 camadas →

Produza uma base de golden AMI de forma central e distribua-a para cada conta do CDE, para que nenhuma conta inicie a partir de uma imagem não endurecida ou com valores padrão.

  1. Execute o pipeline de endurecimento de golden AMI na conta de shared services para ter uma única fonte revisada de imagens endurecidas.
    Conta de shared services EC2 Image Builder
  2. Compartilhe as AMIs aprovadas com as contas do CDE usando o AWS RAM para que cada conta da OU de PCI inicie a partir da mesma base sem valores padrão.
    Conta de shared services → OU de PCI AWS RAM AWS Organizations
  3. Adicione uma SCP na OU de PCI que negue lançar instâncias a partir de imagens fora do catálogo compartilhado aprovado.
    OU de PCI (guarda-corpo) AWS Organizations

Como validar: O RAM mostra as AMIs endurecidas compartilhadas com a OU de PCI, e uma tentativa de lançar uma AMI pública não aprovada em uma conta do CDE é negada pela SCP.

Evite: Deixar cada equipe construir sua própria imagem base. Imagens divergentes reintroduzem valores padrão; centralize o pipeline e compartilhe um único catálogo.

Multi-conta com uma OU dedicada ao PCI →

Validação PCI

Métodos de comprovação: examineinterviewobserve

Procedimentos de teste

  • Examinar os padrões de configuração para verificar que incluem a gestão de contas padrão do fornecedor, e examinar a documentação do fornecedor e observar um administrador fazendo login com contas padrão (2.2.2.a, 2.2.2.b).
  • Examinar os arquivos de configuração e entrevistar o pessoal para verificar que todas as contas padrão não utilizadas são removidas ou desabilitadas (2.2.2.c).

Evidência na AWS

  • Receitas do EC2 Image Builder e componentes de endurecimento sem credenciais padrão.
  • Inventário de contas do sistema mostrando contas padrão desabilitadas ou removidas.
  • Padrões de configuração documentados aplicados às AMIs base.

Abordagem personalizada

Requer uma análise de risco direcionada (Req 12.3.2).

Objetivo da abordagem personalizada

  • 2.2 — Todos os componentes do sistema estão configurados de forma segura e consistente, conforme padrões de endurecimento aceitos pelo setor ou às recomendações do fornecedor.

Serviços AWS

EC2 Image Builder AWS Secrets Manager AWS Systems Manager AWS Config

Recursos de aprendizado

Referências

  • AWS Security Maturity Model: Standard hardened images