PCI DSS Security Maturity Model·AWS v1.1.0

Arraste para explorar · faça pinça para ampliar
Início / Matriz / Requisito 8 / c8.1
Quick Wins Identity and Access ManagementDomínio de segurança da perspectiva de segurança do AWS Cloud Adoption Framework (CAF), usado para organizar os controles. 🤝 CompartilhadaModelo de Responsabilidade Compartilhada da AWS: quem implementa e opera este controle. Cliente = é seu; AWS = a AWS opera e você o herda; Compartilhada = ambos têm obrigações.

c8.1 Exigir MFA para todo acesso ao console e ao CDE

Habilitar autenticação multifator para todos os acessos, em particular ao CDE e às contas administrativas, como um quick win de alto impacto contra o uso de credenciais comprometidas.

Quick Wins
Foundational
Efficient
Optimized
Esforço: Baixo Impacto: Alto Aplica ao CDE: Sim

Requisito 8

Identificar Usuários e Autenticar o Acesso aos Componentes do Sistema

Sub-requisitos PCI cobertosCobertura mostrada por sub-controle do PCI DSS v4.0.1. “Coberto” = atendido por esta recomendação da AWS. “No roadmap” = técnico, planejado. “Sua responsabilidade” = controle organizacional/de processo. “Fora do escopo” = controle físico ou de terceiros não implementado na AWS.

8.4 A autenticação multifator (MFA) é implementada para proteger o acesso ao CDE
  • 8.4.1 MFA for all non-console admin access into the CDE Coberto
  • 8.4.2 MFA for all non-console access into the CDE Coberto
  • 8.4.3 MFA for all remote access originating from outside the network Coberto
8.5 Os sistemas de MFA são configurados para evitar uso indevido
  • 8.5.1 MFA systems resist replay, cannot be bypassed, use strong factors Coberto

Como implementar na AWS

Impor MFA no IAM Identity Center e no usuário root de cada conta. Exigir MFA em políticas IAM para ações sensíveis (condição aws:MultiFactorAuthPresent). Configurar o MFA para ser resistente a repetição (replay) e aplicar-se a todo acesso ao CDE. Detectar contas sem MFA com o Security Hub/Config.

Implementação prática

Como este controle é implementado em cada arquitetura de referência:

Exija MFA para cada caminho de acesso à conta e ao CDE, e sinalize o que não o tiver: um quick win de alto impacto contra credenciais roubadas.

  1. Habilite o MFA no usuário root da conta e em cada usuário IAM, e exija MFA ao assumir papéis IAM. (Se mais tarde adotar o IAM Identity Center, force o MFA lá também.)
    Acesso à conta IAM
  2. Exija MFA para ações sensíveis/do CDE por meio de condições de política IAM (aws:MultiFactorAuthPresent).
    Camada de app (CDE) / Camada de dados (CDE) IAM
  3. Detecte qualquer conta ou usuário sem MFA com os controles do Security Hub / Config (IAM.*).
    Detecção em toda a conta Security Hub AWS Config

Como validar: Os controles de MFA IAM do Security Hub passam, o root e todos os usuários IAM têm MFA, e uma ação do CDE tentada sem MFA é negada pela condição da política.

Evite: Aplicar MFA apenas no login do console. Exija-o também para ações sensíveis de API; uma access key roubada contorna o MFA apenas-console.

Conta única, 3 camadas →

Force o MFA de forma central para o acesso a todas as contas, respalde-o com política e monitore a postura de MFA em toda a organização.

  1. Force o MFA de forma central por meio do IAM Identity Center para o acesso a cada conta, preferindo fatores resistentes a phishing.
    Conta de identidade/segurança → OU de PCI IAM Identity Center AWS Organizations
  2. Respalde-o com uma SCP na OU de PCI que negue ações sem MFA presente.
    OU de PCI (guarda-corpo) AWS Organizations
  3. Monitore a postura de MFA em toda a organização a partir do Security Hub do administrador delegado.
    Conta de ferramentas de segurança Security Hub

Como validar: O Identity Center exige MFA para todas as contas, a SCP nega um teste de ação sem MFA, e o Security Hub mostra MFA em conformidade em toda a OU de PCI.

Evite: Configurar o MFA por conta. Surgem lacunas de cobertura; force-o de forma central por meio do Identity Center e uma SCP no nível da OU.

Multi-conta com uma OU dedicada ao PCI →

Validação PCI

Métodos de comprovação: examineobserve

Procedimentos de teste

  • Examinar as configurações de rede/sistema para verificar que o MFA é exigido para todo o acesso administrativo fora do console ao CDE e para todo o acesso fora do console ao CDE (8.4.1.a, 8.4.2.a).
  • Observar pessoal/administradores fazendo login no CDE para verificar que o MFA é exigido (8.4.1.b, 8.4.2.b).
  • Examinar as configurações de MFA para verificar que o sistema não é suscetível a repetição e que concede o acesso apenas após todos os fatores serem bem-sucedidos (8.5.1.a, 8.5.1.b, 8.5.1.d).

Evidência na AWS

  • MFA habilitado no IAM Identity Center e no usuário root (evidência do Config/Security Hub).
  • Políticas IAM com a condição aws:MultiFactorAuthPresent para acesso ao CDE.
  • Achados resolvidos do Security Hub sobre MFA (IAM.*).

Abordagem personalizada

Requer uma análise de risco direcionada (Req 12.3.2).

Objetivo da abordagem personalizada

  • 8.4 — O acesso administrativo e todo o acesso fora do console ao CDE não pode ser obtido com um único fator de autenticação.
  • 8.5 — Os sistemas de MFA são resistentes a ataques e controlam estritamente qualquer substituição administrativa.

Serviços AWS

AWS IAM AWS IAM Identity Center AWS Security Hub

Recursos de aprendizado

Referências

  • AWS Security Maturity Model: MFA everywhere
  • PCI DSS v4.0.1 Requirements 8.4, 8.5