PCI DSS Security Maturity Model·AWS v1.1.0

Arraste para explorar · faça pinça para ampliar
Início / Matriz / Requisito 5 / c5.4
Optimized Incident ResponseDomínio de segurança da perspectiva de segurança do AWS Cloud Adoption Framework (CAF), usado para organizar os controles. 🤝 CompartilhadaModelo de Responsabilidade Compartilhada da AWS: quem implementa e opera este controle. Cliente = é seu; AWS = a AWS opera e você o herda; Compartilhada = ambos têm obrigações.

c5.4 Resposta automatizada à detecção de malware

Automatizar o isolamento e a resposta às detecções de malware para minimizar o tempo de exposição e demonstrar o tratamento oportuno das ameaças.

Quick Wins
Foundational
Efficient
Optimized
Esforço: Alto Impacto: Médio Aplica ao CDE: Sim

Requisito 5

Proteger Todos os Sistemas e Redes contra Software Malicioso

Sub-requisitos PCI cobertosCobertura mostrada por sub-controle do PCI DSS v4.0.1. “Coberto” = atendido por esta recomendação da AWS. “No roadmap” = técnico, planejado. “Sua responsabilidade” = controle organizacional/de processo. “Fora do escopo” = controle físico ou de terceiros não implementado na AWS.

5.2 O software malicioso é prevenido ou detectado e tratado
  • 5.2.1 Anti-malware deployed on all system components at risk Coberto
  • 5.2.2 Anti-malware detects/removes/blocks all known malware types Coberto
  • 5.2.3 System components not at risk are evaluated periodically Sua responsabilidade
  • 5.2.3.1 Frequency of periodic evaluations defined by targeted risk analysis Sua responsabilidade
5.3 Os mecanismos e processos anti-malware estão ativos, mantidos e monitorados
  • 5.3.1 Anti-malware kept current via automatic updates Coberto
  • 5.3.2 Anti-malware performs periodic scans and active/real-time scanning Coberto
  • 5.3.2.1 Scan frequency defined by targeted risk analysis (if applicable) Sua responsabilidade
  • 5.3.3 Anti-malware for removable media scans/behavioral analysis Coberto
  • 5.3.4 Audit logs for anti-malware enabled and retained Coberto
  • 5.3.5 Anti-malware cannot be disabled/altered by users unless authorized Coberto

Como implementar na AWS

Definir playbooks que, ao receber achados do GuardDuty Malware Protection, isolem a instância (security group de quarentena), tirem snapshots forenses e notifiquem. Orquestrar com EventBridge + Lambda ou Step Functions. Registrar cada ação para evidência.

Implementação prática

Como este controle é implementado em cada arquitetura de referência:

Alcance o estado otimizado: diante de um achado de malware, isole automaticamente, tire um snapshot forense e notifique, para que o tempo de exposição seja mínimo e a resposta fique evidenciada.

  1. Combine os achados do GuardDuty Malware Protection com uma regra do EventBridge que invoque a função de resposta.
    Automação da conta GuardDuty EventBridge
  2. No playbook do Lambda (ou Step Functions), mova a instância para um security group de quarentena (negar tudo), tire um snapshot do EBS para forense e notifique a equipe.
    Camada de app (CDE) / Camada de dados (CDE) AWS Lambda Step Functions Amazon EC2
  3. Registre cada ação realizada para que a resposta seja auditável.
    Registro da conta CloudTrail Amazon S3

Como validar: Um achado de malware simulado dispara o playbook: a instância fica no SG de quarentena, existe um snapshot forense, e a notificação e o log da ação são registrados.

Evite: Excluir imediatamente uma instância suspeita de comprometimento. Tire primeiro o snapshot para forense e depois isole; destruí-la perde a evidência.

Conta única, 3 camadas →

Execute um único playbook central de resposta a malware impulsionado pelo fluxo do GuardDuty de toda a organização, capaz de isolar uma instância comprometida em qualquer conta do CDE.

  1. Impulsione o playbook de resposta (EventBridge + Lambda/Step Functions) a partir da conta de ferramentas de segurança com base no fluxo de achados do GuardDuty de toda a organização.
    Conta de ferramentas de segurança GuardDuty EventBridge Step Functions
  2. Use um papel IAM entre contas com escopo limitado para que a conta de segurança possa colocar em quarentena e tirar snapshot de uma instância em qualquer conta do CDE.
    Conta de ferramentas de segurança → contas do CDE AWS Lambda Amazon EC2
  3. Entregue o log de ações e os artefatos forenses à conta central de log-archive.
    Conta de log-archive Amazon S3 CloudTrail

Como validar: Um achado simulado em qualquer conta do CDE dispara o playbook central, que isola e tira snapshot da instância entre contas e registra a ação de forma central.

Evite: Duplicar a automação de resposta em cada conta. Centralize o playbook com um papel entre contas para que o comportamento seja consistente e mantido uma única vez.

Multi-conta com uma OU dedicada ao PCI →

Validação PCI

Métodos de comprovação: examineobserve

Procedimentos de teste

  • Examinar as configurações anti-malware e os logs/resultados de varredura para verificar que a solução está ativa e detecta/trata malware, e que os logs são retidos conforme o Requisito 10.5.1 (5.3.2.c, 5.3.4).

Evidência na AWS

  • Definição de playbooks de resposta a malware (EventBridge/Lambda/Step Functions).
  • Histórico de execuções de isolamento e notificação ante achados.
  • Snapshots forenses e registros das ações tomadas.

Abordagem personalizada

Requer uma análise de risco direcionada (Req 12.3.2).

Objetivo da abordagem personalizada

  • 5.2 — São implementados mecanismos automatizados para evitar que os sistemas se tornem um vetor de ataque para o malware.
  • 5.3 — Os mecanismos anti-malware podem detectar e tratar as ameaças de malware mais recentes.

Serviços AWS

Amazon GuardDuty Amazon EventBridge AWS Lambda AWS Step Functions

Recursos de aprendizado

Referências

  • AWS Security Maturity Model: Automate response to findings