PCI DSS Security Maturity Model·AWS v1.1.0

Arraste para explorar · faça pinça para ampliar
Início / Matriz / Requisito 6 / c6.5
Optimized Vulnerability ManagementDomínio de segurança da perspectiva de segurança do AWS Cloud Adoption Framework (CAF), usado para organizar os controles. 🤝 CompartilhadaModelo de Responsabilidade Compartilhada da AWS: quem implementa e opera este controle. Cliente = é seu; AWS = a AWS opera e você o herda; Compartilhada = ambos têm obrigações.

c6.5 Detecção e remediação automatizada de vulnerabilidades em escala

Otimizar o programa de gestão de vulnerabilidades com remediação automatizada, métricas de SLA por severidade e rastreabilidade completa das mudanças para a conformidade contínua.

Quick Wins
Foundational
Efficient
Optimized
Esforço: Alto Impacto: Médio Aplica ao CDE: Sim

Requisito 6

Desenvolver e Manter Sistemas e Software Seguros

Sub-requisitos PCI cobertosCobertura mostrada por sub-controle do PCI DSS v4.0.1. “Coberto” = atendido por esta recomendação da AWS. “No roadmap” = técnico, planejado. “Sua responsabilidade” = controle organizacional/de processo. “Fora do escopo” = controle físico ou de terceiros não implementado na AWS.

6.3 As vulnerabilidades de segurança são identificadas e tratadas
  • 6.3.1 Security vulnerabilities identified and risk-ranked Coberto
  • 6.3.2 Inventory of bespoke/custom software and components maintained Coberto
  • 6.3.3 All system components protected via patches (critical within 1 month) Coberto
6.5 As mudanças em todos os componentes do sistema são gerenciadas de forma segura
  • 6.5.1 Changes to all system components managed through a formal process Sua responsabilidade
  • 6.5.2 Applicable PCI DSS requirements confirmed after significant change Sua responsabilidade
  • 6.5.3 Pre-production environments separated from production Coberto
  • 6.5.4 Roles/functions separated between production and pre-production Sua responsabilidade
  • 6.5.5 Live PANs not used in pre-production environments Sua responsabilidade
  • 6.5.6 Test data and test accounts removed before production Sua responsabilidade

Como implementar na AWS

Orquestrar a remediação automática (SSM Automation) ante achados do Inspector/Security Hub conforme a severidade. Medir SLAs de patching e gerar relatórios. Reconstruir instâncias imutáveis a partir de AMIs corrigidas (padrão de infraestrutura imutável). Correlacionar mudanças com o CloudTrail para rastreabilidade.

Implementação prática

Como este controle é implementado em cada arquitetura de referência:

Alcance o estado otimizado: auto-remedie achados por severidade, rastreie SLAs de patch e reconstrua instâncias imutáveis a partir de AMIs corrigidas.

  1. Conecte runbooks do SSM Automation para remediar automaticamente os achados do Inspector/Security Hub, priorizados por severidade.
    Automação da conta Systems Manager Security Hub
  2. Reconstrua instâncias a partir de golden AMIs recém-corrigidas (infraestrutura imutável) em vez de aplicar patch no local.
    Camada de app (CDE) / Camada de dados (CDE) EC2 Image Builder Amazon EC2
  3. Rastreie métricas de SLA de patch por severidade e correlacione as mudanças com o CloudTrail para rastreabilidade.
    Detecção em toda a conta CloudWatch CloudTrail

Como validar: O SSM Automation mostra o histórico de remediação por severidade, as métricas de SLA atingem a meta, e as instâncias são substituídas (não corrigidas no local) a partir de AMIs atuais.

Evite: Instâncias de longa vida corrigidas no local para sempre. O desvio de configuração se acumula; adote reconstruções imutáveis a partir de AMIs corrigidas.

Conta única, 3 camadas →

Opere a orquestração de remediação e o relatório de SLA de forma central para que cada conta do CDE se autocorrija com rastreabilidade de mudanças agregada.

  1. Correlacione os achados no Security Hub do administrador delegado e impulsione correções automáticas por conta com o SSM Automation central.
    Conta de ferramentas de segurança → contas do CDE Security Hub Systems Manager
  2. Distribua a base de golden AMI corrigida em toda a organização para que cada conta reconstrua de forma imutável a partir de imagens atuais.
    Shared services → OU de PCI EC2 Image Builder AWS RAM
  3. Agregue as métricas de SLA e a rastreabilidade de mudanças (CloudTrail) na conta de log-archive.
    Conta de log-archive CloudTrail Amazon S3

Como validar: O Security Hub central mostra a remediação em todas as contas cumprindo o SLA, e a rastreabilidade de mudanças está consolidada na conta de log-archive.

Evite: Lógica de remediação por conta que diverge. Centralize a orquestração e o relatório para que os SLAs sejam comparáveis e aplicados.

Multi-conta com uma OU dedicada ao PCI →

Validação PCI

Métodos de comprovação: examineobserve

Procedimentos de teste

  • Examinar os componentes do sistema e a informação de patches instalados para verificar que as vulnerabilidades são tratadas por ranqueamento de risco e que os patches críticos/altos são aplicados dentro de um mês (6.3.3.b).
  • Examinar a documentação de controle de mudanças para verificar que os requisitos de mudança gerenciada são atendidos em todas as mudanças de componentes (6.5.1.b).

Evidência na AWS

  • Runbooks do SSM Automation para remediação por severidade e seu histórico.
  • Métricas/relatórios de SLA de remediação de vulnerabilidades.
  • Rastreabilidade de mudanças no CloudTrail correlacionada com os achados.

Abordagem personalizada

Requer uma análise de risco direcionada (Req 12.3.2).

Objetivo da abordagem personalizada

  • 6.3 — As novas vulnerabilidades de sistemas e software que possam afetar a segurança dos dados da conta são monitoradas, catalogadas e avaliadas por risco, e os patches aplicáveis são instalados em um prazo apropriado.
  • 6.5 — Todas as mudanças são rastreadas, autorizadas e avaliadas quanto a impacto e segurança, e são gerenciadas para evitar efeitos indesejados na segurança dos componentes do sistema.

Serviços AWS

AWS Security Hub Amazon Inspector AWS Systems Manager Automation AWS CloudTrail

Recursos de aprendizado

Referências

  • AWS Security Maturity Model: Continuous improvement program