PCI DSS Security Maturity Model·AWS v1.1.0

Arraste para explorar · faça pinça para ampliar
Início / Matriz / Requisito 6 / c6.3
Foundational Application SecurityDomínio de segurança da perspectiva de segurança do AWS Cloud Adoption Framework (CAF), usado para organizar os controles. 🤝 CompartilhadaModelo de Responsabilidade Compartilhada da AWS: quem implementa e opera este controle. Cliente = é seu; AWS = a AWS opera e você o herda; Compartilhada = ambos têm obrigações.

c6.3 Proteger aplicações web públicas com o AWS WAF

Proteger as aplicações web voltadas ao público contra ataques por meio de uma solução técnica automatizada que detecta e bloqueia ataques web (WAF), ou por meio de revisões de segurança de aplicações.

Quick Wins
Foundational
Efficient
Optimized
Esforço: Médio Impacto: Alto Aplica ao CDE: Sim

Requisito 6

Desenvolver e Manter Sistemas e Software Seguros

Sub-requisitos PCI cobertosCobertura mostrada por sub-controle do PCI DSS v4.0.1. “Coberto” = atendido por esta recomendação da AWS. “No roadmap” = técnico, planejado. “Sua responsabilidade” = controle organizacional/de processo. “Fora do escopo” = controle físico ou de terceiros não implementado na AWS.

6.4 As aplicações web públicas são protegidas contra ataques
  • 6.4.1 Public-facing web apps protected (review or automated solution) Coberto
  • 6.4.2 Automated technical solution (WAF) deployed for public-facing web apps Coberto
  • 6.4.3 Payment page scripts managed, authorized, with integrity assurance No roadmap

Como implementar na AWS

Implantar o AWS WAF no CloudFront/ALB/API Gateway com regras gerenciadas (Core rule set, SQLi, XSS). Habilitar o logging do WAF. Ajustar as regras para reduzir falsos positivos. Combinar com o AWS Shield para mitigação de DDoS. O AWS WAF atende à opção de solução técnica automatizada do 6.4.2.

Implementação prática

Como este controle é implementado em cada arquitetura de referência:

Coloque o AWS WAF à frente de cada app web pública em modo de bloqueio com regras gerenciadas ajustadas, satisfazendo a solução técnica automatizada do 6.4.2.

  1. Anexe um web ACL do AWS WAF ao ALB/CloudFront/API Gateway à frente da camada web, com o Core rule set mais os rule groups gerenciados de SQLi e XSS.
    Sub-rede pública / edge AWS WAF CloudFront Elastic Load Balancing
  2. Habilite o logging do WAF para o CloudWatch/S3 e ajuste as regras (primeiro count, depois block) para remover falsos positivos antes de aplicar.
    Registro da conta AWS WAF CloudWatch
  3. Adicione o AWS Shield para mitigação de DDoS no ponto de entrada público.
    Sub-rede pública / edge AWS Shield

Como validar: O web ACL está associado à app pública em modo de bloqueio, os logs do WAF mostram ataques bloqueados, e uma solicitação de teste SQLi/XSS é rejeitada.

Evite: Deixar o WAF permanentemente em modo apenas-count. Contar sozinho não protege; ajuste e depois mude para block para o CDE.

Conta única, 3 camadas →

Gerencie uma única política de WAF compartilhada e ajustada com o Firewall Manager para que cada app pública do CDE herde a mesma proteção automaticamente.

  1. Crie um web ACL e conjunto de regras do WAF compartilhado uma vez e distribua-o/aplique-o na OU de PCI com o AWS Firewall Manager.
    Conta de ferramentas de segurança → OU de PCI Firewall Manager AWS WAF AWS Organizations
  2. Garanta que o Firewall Manager auto-associe o web ACL a novos recursos públicos para que a cobertura não seja esquecida.
    OU de PCI (todas as contas do CDE) Firewall Manager
  3. Centralize os logs do WAF na conta de log-archive.
    Conta de log-archive Amazon S3

Como validar: O Firewall Manager reporta a política do WAF em conformidade em toda a OU de PCI, e um ALB público recém-criado é auto-associado ao web ACL.

Evite: Anexar o WAF por app manualmente. Os endpoints novos escapam; use o Firewall Manager para aplicar e auto-associar em toda a organização.

Multi-conta com uma OU dedicada ao PCI →

Validação PCI

Métodos de comprovação: examineobserve

Procedimentos de teste

  • Para as aplicações web públicas, examinar os ajustes de configuração do sistema e os logs de auditoria, e entrevistar o pessoal, para verificar que há uma solução técnica automatizada que detecta e previne ataques web conforme todos os elementos do requisito (6.4.2).

Evidência na AWS

  • Web ACL do AWS WAF associada à aplicação pública com regras gerenciadas ativas.
  • Logs do AWS WAF no CloudWatch/S3 evidenciando detecção/bloqueio.
  • Configuração de regras em modo de bloqueio para o CDE.

Abordagem personalizada

Requer uma análise de risco direcionada (Req 12.3.2).

Objetivo da abordagem personalizada

  • 6.4 — As aplicações web públicas estão protegidas em tempo real contra ataques maliciosos.

Serviços AWS

AWS WAF Amazon CloudFront AWS Shield Elastic Load Balancing

Recursos de aprendizado

Referências

  • AWS Security Maturity Model: WAF with managed rules
  • PCI DSS v4.0.1 Requirement 6.4.2