PCI DSS Security Maturity Model·AWS v1.1.0

Arraste para explorar · faça pinça para ampliar
Início / Matriz / Requisito 5 / c5.3
Efficient Application SecurityDomínio de segurança da perspectiva de segurança do AWS Cloud Adoption Framework (CAF), usado para organizar os controles. 🤝 CompartilhadaModelo de Responsabilidade Compartilhada da AWS: quem implementa e opera este controle. Cliente = é seu; AWS = a AWS opera e você o herda; Compartilhada = ambos têm obrigações.

c5.3 Proteção contra phishing com controles de e-mail e navegação

Implementar mecanismos técnicos que detectam e protegem o pessoal contra ataques de phishing, complementando a conscientização do Requisito 12.6.

Quick Wins
Foundational
Efficient
Optimized
Esforço: Médio Impacto: Médio Aplica ao CDE: Não

Requisito 5

Proteger Todos os Sistemas e Redes contra Software Malicioso

Sub-requisitos PCI cobertosCobertura mostrada por sub-controle do PCI DSS v4.0.1. “Coberto” = atendido por esta recomendação da AWS. “No roadmap” = técnico, planejado. “Sua responsabilidade” = controle organizacional/de processo. “Fora do escopo” = controle físico ou de terceiros não implementado na AWS.

5.4 Mecanismos anti-phishing protegem os usuários contra ataques de phishing
  • 5.4.1 Processes/automated mechanisms detect and protect against phishing Coberto

Como implementar na AWS

Configurar a autenticação de e-mail (SPF, DKIM, DMARC) em domínios gerenciados com Amazon SES/Route 53. Integrar a filtragem anti-phishing no gateway de e-mail. Usar o Route 53 Resolver DNS Firewall para bloquear domínios maliciosos conhecidos. Correlacionar sinais com o GuardDuty.

Implementação prática

Como este controle é implementado em cada arquitetura de referência:

Reforce o treinamento de conscientização (Req 12.6) com anti-phishing técnico: autentique seu e-mail e bloqueie domínios maliciosos conhecidos no DNS.

  1. Configure SPF, DKIM e DMARC para seus domínios de envio (gerenciados com o Amazon SES e o Route 53) para que e-mails falsificados sejam rejeitados.
    Domínio / e-mail Amazon SES Route 53 DNS Firewall
  2. Use o Route 53 Resolver DNS Firewall para bloquear domínios maliciosos conhecidos a partir da VPC da conta.
    Saída DNS da VPC Route 53 DNS Firewall
  3. Correlacione sinais de phishing/malware com o GuardDuty para a detecção.
    Detecção em toda a conta GuardDuty

Como validar: O DMARC está em quarantine/reject com SPF+DKIM alinhados, e uma consulta DNS a um domínio de teste malicioso conhecido é bloqueada pelo DNS Firewall.

Evite: Depender apenas do treinamento de usuários. Combine-o com autenticação de e-mail e bloqueio DNS para que um clique tenha menos probabilidade de chegar a um destino malicioso.

Conta única, 3 camadas →

Gerencie a autenticação de e-mail e os rule groups do DNS Firewall de forma central e compartilhe-os, para que os controles DNS anti-phishing sejam consistentes em toda a organização.

  1. Gerencie SPF/DKIM/DMARC para os domínios da organização de forma central (SES + Route 53 em uma conta compartilhada).
    Conta de rede/compartilhada Amazon SES Route 53 DNS Firewall
  2. Crie os rule groups do DNS Firewall uma vez na conta de rede e compartilhe-os (AWS RAM) com as VPCs de todas as contas.
    Conta de rede/inspeção → todas as VPCs Route 53 DNS Firewall AWS RAM
  3. Correlacione sinais em toda a organização no GuardDuty/Security Hub do administrador delegado.
    Conta de ferramentas de segurança GuardDuty Security Hub

Como validar: Os rule groups do DNS Firewall compartilhados estão associados à VPC de cada conta, e a aplicação de DMARC é verificada para os domínios da organização.

Evite: Regras de DNS Firewall por conta mantidas separadamente. Elas desviam; crie-as uma vez de forma central e compartilhe com cada VPC.

Multi-conta com uma OU dedicada ao PCI →

Validação PCI

Métodos de comprovação: examineobserve

Procedimentos de teste

  • Observar os processos implementados e examinar os mecanismos para verificar que há controles para detectar e proteger o pessoal contra ataques de phishing (5.4.1).

Evidência na AWS

  • Registros DNS SPF/DKIM/DMARC configurados no Route 53.
  • Regras do DNS Firewall bloqueando domínios maliciosos.
  • Configuração de filtragem anti-phishing no gateway de e-mail.

Abordagem personalizada

Requer uma análise de risco direcionada (Req 12.3.2).

Objetivo da abordagem personalizada

  • 5.4 — Existem mecanismos para proteger e mitigar o risco representado pelos ataques de phishing.

Serviços AWS

Amazon SES Amazon Route 53 Resolver DNS Firewall Amazon GuardDuty

Recursos de aprendizado

Referências

  • PCI DSS v4.0.1 Requirement 5.4