PCI DSS Security Maturity Model·AWS v1.1.0

Arraste para explorar · faça pinça para ampliar
Início / Matriz / Requisito 5 / c5.1
Quick Wins Threat DetectionDomínio de segurança da perspectiva de segurança do AWS Cloud Adoption Framework (CAF), usado para organizar os controles. 🤝 CompartilhadaModelo de Responsabilidade Compartilhada da AWS: quem implementa e opera este controle. Cliente = é seu; AWS = a AWS opera e você o herda; Compartilhada = ambos têm obrigações.

c5.1 Habilitar detecção de malware com o Amazon GuardDuty

Ativar a detecção gerenciada de ameaças e malware no ambiente, incluindo o Malware Protection para cargas EC2 e ECS, como base econômica contra software malicioso.

Quick Wins
Foundational
Efficient
Optimized
Esforço: Baixo Impacto: Alto Aplica ao CDE: Sim

Requisito 5

Proteger Todos os Sistemas e Redes contra Software Malicioso

Sub-requisitos PCI cobertosCobertura mostrada por sub-controle do PCI DSS v4.0.1. “Coberto” = atendido por esta recomendação da AWS. “No roadmap” = técnico, planejado. “Sua responsabilidade” = controle organizacional/de processo. “Fora do escopo” = controle físico ou de terceiros não implementado na AWS.

5.2 O software malicioso é prevenido ou detectado e tratado
  • 5.2.1 Anti-malware deployed on all system components at risk Coberto
  • 5.2.2 Anti-malware detects/removes/blocks all known malware types Coberto
  • 5.2.3 System components not at risk are evaluated periodically Sua responsabilidade
  • 5.2.3.1 Frequency of periodic evaluations defined by targeted risk analysis Sua responsabilidade
5.3 Os mecanismos e processos anti-malware estão ativos, mantidos e monitorados
  • 5.3.1 Anti-malware kept current via automatic updates Coberto
  • 5.3.2 Anti-malware performs periodic scans and active/real-time scanning Coberto
  • 5.3.2.1 Scan frequency defined by targeted risk analysis (if applicable) Sua responsabilidade
  • 5.3.3 Anti-malware for removable media scans/behavioral analysis Coberto
  • 5.3.4 Audit logs for anti-malware enabled and retained Coberto
  • 5.3.5 Anti-malware cannot be disabled/altered by users unless authorized Coberto

Como implementar na AWS

Habilitar o Amazon GuardDuty em todas as contas e Regiões via a conta administradora delegada da organização. Ativar o GuardDuty Malware Protection. Enviar achados ao Security Hub e alertar com EventBridge. O GuardDuty é executado de forma contínua e sem agentes para a análise de ameaças.

Implementação prática

Como este controle é implementado em cada arquitetura de referência:

Ative a detecção gerenciada de malware e ameaças, sem agente, como base de custo eficiente, e roteie os achados para onde a equipe os verá.

  1. Habilite o Amazon GuardDuty na conta e ative o recurso Malware Protection para cargas EC2/ECS.
    Detecção em toda a conta GuardDuty
  2. Envie os achados do GuardDuty ao Security Hub para uma visão consolidada.
    Detecção em toda a conta Security Hub
  3. Roteie e alerte sobre os achados de malware com uma regra do EventBridge para o canal de notificação da equipe.
    Automação da conta EventBridge

Como validar: O GuardDuty e o Malware Protection estão habilitados, e um achado de teste (por exemplo, os sample findings do GuardDuty) aparece no Security Hub e dispara o alerta.

Evite: Tratar o GuardDuty como o único controle de malware. É a base de detecção; ainda assim implante anti-malware/EDR no endpoint (c5.2) nas instâncias em risco.

Conta única, 3 camadas →

Habilite a detecção uma vez a partir do administrador delegado para que cada conta do CDE atual e futura seja inscrita automaticamente e os achados sejam agregados de forma central.

  1. Habilite o GuardDuty em toda a organização a partir do administrador delegado na conta de ferramentas de segurança, com auto-enable para novas contas.
    Conta de ferramentas de segurança → OU de PCI GuardDuty AWS Organizations
  2. Ative o Malware Protection em toda a organização para que cubra cada conta do CDE de forma uniforme.
    OU de PCI (todas as contas do CDE) GuardDuty
  3. Agregue todos os achados no Security Hub do administrador delegado para uma única visão de detecção.
    Conta de ferramentas de segurança Security Hub

Como validar: O status de organização do GuardDuty mostra todas as contas inscritas com auto-enable ativo, e o Malware Protection está ativo em toda a OU de PCI.

Evite: Habilitar o GuardDuty conta por conta. As contas novas são esquecidas; use auto-enable de organização a partir do administrador delegado.

Multi-conta com uma OU dedicada ao PCI →

Validação PCI

Métodos de comprovação: examineobserve

Procedimentos de teste

  • Examinar os componentes do sistema para verificar que há uma solução anti-malware implantada em todos os componentes, exceto os que uma avaliação periódica determinou sem risco (5.2.1.a).
  • Examinar a documentação do fornecedor e as configurações para verificar que a solução detecta e remove/bloqueia/contém todos os tipos conhecidos de malware (5.2.2).
  • Examinar o processo de avaliação periódica para os componentes considerados sem risco (5.2.3.a, 5.2.3.c).

Evidência na AWS

  • GuardDuty habilitado em todas as contas/Regiões (status da organização).
  • GuardDuty Malware Protection ativo e achados no Security Hub.
  • Regras do EventBridge que roteiam e alertam sobre achados de malware.

Abordagem personalizada

Requer uma análise de risco direcionada (Req 12.3.2).

Objetivo da abordagem personalizada

  • 5.2 — São implementados mecanismos automatizados para evitar que os sistemas se tornem um vetor de ataque para o malware.
  • 5.3 — Os mecanismos anti-malware podem detectar e tratar as ameaças de malware mais recentes.

Serviços AWS

Amazon GuardDuty AWS Security Hub Amazon EventBridge

Recursos de aprendizado

Referências

  • AWS Security Maturity Model: Detect common threats