PCI DSS Security Maturity Model·AWS v1.1.0

Arraste para explorar · faça pinça para ampliar
Início / Matriz / Requisito 6 / c6.1
Quick Wins Vulnerability ManagementDomínio de segurança da perspectiva de segurança do AWS Cloud Adoption Framework (CAF), usado para organizar os controles. 🤝 CompartilhadaModelo de Responsabilidade Compartilhada da AWS: quem implementa e opera este controle. Cliente = é seu; AWS = a AWS opera e você o herda; Compartilhada = ambos têm obrigações.

c6.1 Varredura automatizada de vulnerabilidades com o Amazon Inspector

Habilitar a varredura contínua e automatizada de vulnerabilidades de EC2, imagens de contêiner (ECR) e funções Lambda para identificar e classificar fraquezas de segurança conhecidas.

Quick Wins
Foundational
Efficient
Optimized
Esforço: Baixo Impacto: Alto Aplica ao CDE: Sim

Requisito 6

Desenvolver e Manter Sistemas e Software Seguros

Sub-requisitos PCI cobertosCobertura mostrada por sub-controle do PCI DSS v4.0.1. “Coberto” = atendido por esta recomendação da AWS. “No roadmap” = técnico, planejado. “Sua responsabilidade” = controle organizacional/de processo. “Fora do escopo” = controle físico ou de terceiros não implementado na AWS.

6.3 As vulnerabilidades de segurança são identificadas e tratadas
  • 6.3.1 Security vulnerabilities identified and risk-ranked Coberto
  • 6.3.2 Inventory of bespoke/custom software and components maintained Coberto
  • 6.3.3 All system components protected via patches (critical within 1 month) Coberto

Como implementar na AWS

Habilitar o Amazon Inspector em toda a organização. Priorizar por severidade e explorabilidade. Enviar achados ao Security Hub e alertar com EventBridge. Alinhar a classificação de risco ao processo de ranqueamento de vulnerabilidades exigido pelo PCI.

Implementação prática

Como este controle é implementado em cada arquitetura de referência:

Escaneie o compute continuamente em busca de vulnerabilidades conhecidas e alimente um backlog priorizado por risco, a base do processo de vulnerabilidades do PCI 6.3.

  1. Habilite o Amazon Inspector na conta para que o EC2, as imagens de contêiner do ECR e as funções Lambda sejam escaneados de forma contínua e automática.
    Detecção em toda a conta Amazon Inspector
  2. Roteie os achados do Inspector ao Security Hub e classifique-os por severidade/explorabilidade para alimentar seu processo de vulnerabilidades documentado.
    Detecção em toda a conta Security Hub
  3. Mantenha o inventário de componentes de software (SBOM) que o Inspector usa para rastrear componentes de terceiros e próprios.
    Build/registro Amazon ECR

Como validar: A cobertura do Inspector mostra EC2/ECR/Lambda escaneados, e os achados aparecem no Security Hub com severidade CVSS alimentando a classificação de risco.

Evite: Executar escaneamentos pontuais antes de uma auditoria. O PCI espera identificação contínua; o Inspector roda continuamente, use-o assim e aja sobre os achados classificados.

Conta única, 3 camadas →

Escaneie cada conta do CDE automaticamente a partir do administrador delegado e consolide os achados priorizados por risco de forma central.

  1. Habilite o Inspector em toda a organização a partir do administrador delegado com auto-enable para novas contas.
    Conta de ferramentas de segurança → OU de PCI Amazon Inspector AWS Organizations
  2. Consolide os achados e a classificação de risco no Security Hub do administrador delegado.
    Conta de ferramentas de segurança Security Hub
  3. Padronize o escaneamento de SBOM/registro para que os componentes próprios e de terceiros sejam cobertos em cada conta.
    Cada conta de carga do CDE Amazon ECR

Como validar: O status de organização do Inspector mostra todas as contas inscritas, e o Security Hub do administrador delegado mostra achados consolidados e classificados.

Evite: Habilitar o Inspector por conta. As contas novas são esquecidas; use auto-enable de organização a partir do administrador delegado.

Multi-conta com uma OU dedicada ao PCI →

Validação PCI

Métodos de comprovação: examineobserve

Procedimentos de teste

  • Examinar as políticas e procedimentos para verificar que há processos definidos para identificar e gerenciar vulnerabilidades de segurança, incluindo o ranqueamento de risco, conforme todos os elementos do requisito (6.3.1.a).
  • Entrevistar o pessoal, examinar documentação e observar processos para verificar que as vulnerabilidades são identificadas a partir de fontes reconhecidas e gerenciadas (6.3.1.b).
  • Verificar que é mantido um inventário de componentes de software sob medida e de terceiros e que é usado para identificar e tratar vulnerabilidades (6.3.2.a).

Evidência na AWS

  • Amazon Inspector habilitado nas contas em escopo e sua cobertura de varredura.
  • Achados do Inspector com severidade/CVSS integrados ao Security Hub.
  • Processo documentado de ranqueamento e tratamento de vulnerabilidades.

Abordagem personalizada

Requer uma análise de risco direcionada (Req 12.3.2).

Objetivo da abordagem personalizada

  • 6.3 — As novas vulnerabilidades de sistemas e software que possam afetar a segurança dos dados da conta são monitoradas, catalogadas e avaliadas por risco, e os patches aplicáveis são instalados em um prazo apropriado.

Serviços AWS

Amazon Inspector Amazon ECR AWS Security Hub Amazon EventBridge

Recursos de aprendizado

Referências

  • AWS Security Maturity Model: Infrastructure vulnerability management