c5.2 Implantar anti-malware/EDR mantido e monitorado nas instâncias
Instalar e manter soluções anti-malware/EDR nos componentes do sistema em risco, com atualização automática, execução ativa e geração de logs de auditoria, sem que os usuários possam desabilitá-las.
Requisito 5
Proteger Todos os Sistemas e Redes contra Software Malicioso
Sub-requisitos PCI cobertosCobertura mostrada por sub-controle do PCI DSS v4.0.1. “Coberto” = atendido por esta recomendação da AWS. “No roadmap” = técnico, planejado. “Sua responsabilidade” = controle organizacional/de processo. “Fora do escopo” = controle físico ou de terceiros não implementado na AWS.
5.2 O software malicioso é prevenido ou detectado e tratado
- 5.2.1 Anti-malware deployed on all system components at risk Coberto
- 5.2.2 Anti-malware detects/removes/blocks all known malware types Coberto
- 5.2.3 System components not at risk are evaluated periodically Sua responsabilidade
- 5.2.3.1 Frequency of periodic evaluations defined by targeted risk analysis Sua responsabilidade
5.3 Os mecanismos e processos anti-malware estão ativos, mantidos e monitorados
- 5.3.1 Anti-malware kept current via automatic updates Coberto
- 5.3.2 Anti-malware performs periodic scans and active/real-time scanning Coberto
- 5.3.2.1 Scan frequency defined by targeted risk analysis (if applicable) Sua responsabilidade
- 5.3.3 Anti-malware for removable media scans/behavioral analysis Coberto
- 5.3.4 Audit logs for anti-malware enabled and retained Coberto
- 5.3.5 Anti-malware cannot be disabled/altered by users unless authorized Coberto
Como implementar na AWS
Implantar o agente EDR/anti-malware por meio do SSM Distributor e do State Manager para garantir presença e versão atualizada em todas as instâncias. Impedir a desativação pelos usuários finais. Centralizar logs e o estado de saúde do agente. Manter as assinaturas/mecanismos atualizados automaticamente.
Implementação prática
Como este controle é implementado em cada arquitetura de referência:
Coloque um agente anti-malware/EDR mantido em cada instância em risco, mantenha-o atualizado e em execução, e impeça que os usuários o desliguem.
- Implante o agente EDR/anti-malware nas instâncias das camadas de app e dados com o SSM Distributor, e mantenha-o presente e atualizado com uma associação do State Manager.Camada de app (CDE) / Camada de dados (CDE)
Systems Manager - Endureça a instância para que os usuários finais não possam desabilitar ou alterar o agente (serviço bloqueado, controles IAM/SO).Camada de app (CDE) / Camada de dados (CDE)
Amazon EC2 - Centralize os logs e o status de saúde do agente no CloudWatch para monitoramento e evidência.Registro da conta
CloudWatch
Como validar: O SSM State Manager reporta o agente instalado, em execução e atualizado em cada instância em escopo, e seus logs fluem para o CloudWatch.
Evite: Instalar o agente uma vez na AMI e nunca verificar se ele executa. Reforce a presença/versão continuamente com o State Manager para que não desvie nem seja desabilitado silenciosamente.
Gerencie uma única implantação de EDR e uma base de versão de forma central para que cada conta do CDE execute o mesmo agente mantido, com a saúde consolidada.
- Gerencie a instalação de EDR e a base de versão com documentos SSM compartilhados / associações do State Manager distribuídas a todas as contas do CDE.Conta de ferramentas de segurança → OU de PCI Systems Manager
AWS Organizations - Aplique o mesmo endurecimento de não-desabilitar em todas as contas.Cada conta de carga do CDE Amazon EC2
- Consolide a saúde do agente e o status de conformidade na conta de ferramentas de segurança.Conta de ferramentas de segurança
Security Hub
Como validar: O State Manager de cada conta do CDE mostra a mesma versão do agente em conformidade, e o status de saúde é visível de forma central.
Evite: Cada equipe escolher seu próprio EDR e versão. Agentes divergentes criam lacunas de cobertura; padronize e distribua uma única base mantida.
Validação PCI
Procedimentos de teste
- Examinar as configurações anti-malware, incluindo a instalação mestre, para verificar que as atualizações automáticas estão habilitadas e as definições estão atualizadas (5.3.1.a, 5.3.1.b).
- Examinar as configurações e os resultados de varredura para verificar que a solução realiza varreduras periódicas ou análise comportamental contínua (5.3.2.a, 5.3.2.c).
- Examinar as configurações e entrevistar o pessoal para verificar que os mecanismos anti-malware não podem ser desabilitados/alterados pelos usuários, salvo autorização documentada da gestão por tempo limitado (5.3.5.a, 5.3.5.b).
Evidência na AWS
- Relatório de conformidade do SSM State Manager mostrando o agente instalado e atualizado em todas as instâncias.
- Configuração que impede a desativação do agente pelos usuários finais.
- Logs do agente anti-malware centralizados no CloudWatch.
Abordagem personalizada
Requer uma análise de risco direcionada (Req 12.3.2).
Objetivo da abordagem personalizada
- 5.2 — São implementados mecanismos automatizados para evitar que os sistemas se tornem um vetor de ataque para o malware.
- 5.3 — Os mecanismos anti-malware podem detectar e tratar as ameaças de malware mais recentes.
Serviços AWS
AWS Systems Manager Amazon EC2 Amazon CloudWatch Recursos de aprendizado
Referências
- AWS Security Maturity Model: EDR / anti-malware