PCI DSS Security Maturity Model·AWS v1.1.0

Arraste para explorar · faça pinça para ampliar
Início / Matriz / Requisito 8 / c8.3
Foundational Identity and Access ManagementDomínio de segurança da perspectiva de segurança do AWS Cloud Adoption Framework (CAF), usado para organizar os controles. 🤝 CompartilhadaModelo de Responsabilidade Compartilhada da AWS: quem implementa e opera este controle. Cliente = é seu; AWS = a AWS opera e você o herda; Compartilhada = ambos têm obrigações.

c8.3 Eliminar credenciais de longa duração com acesso temporário

Substituir credenciais estáticas de longa duração por credenciais temporárias e gerenciar de forma segura as contas e os fatores de autenticação usados por aplicações e sistemas.

Quick Wins
Foundational
Efficient
Optimized
Esforço: Médio Impacto: Alto Aplica ao CDE: Sim

Requisito 8

Identificar Usuários e Autenticar o Acesso aos Componentes do Sistema

Sub-requisitos PCI cobertosCobertura mostrada por sub-controle do PCI DSS v4.0.1. “Coberto” = atendido por esta recomendação da AWS. “No roadmap” = técnico, planejado. “Sua responsabilidade” = controle organizacional/de processo. “Fora do escopo” = controle físico ou de terceiros não implementado na AWS.

8.3 A autenticação forte de usuários e administradores é estabelecida e gerenciada
  • 8.3.1 All access authenticated via at least one strong auth factor Coberto
  • 8.3.2 Strong cryptography protects auth factors in transit and storage Coberto
  • 8.3.3 User identity verified before modifying an auth factor Sua responsabilidade
  • 8.3.4 Invalid auth attempts limited (lockout) — Cognito/IdP; IAM users need MFA No roadmap
  • 8.3.5 Passwords/passphrases set and reset securely Coberto
  • 8.3.6 Minimum password length and complexity Coberto
  • 8.3.7 No reuse of the last four passwords/passphrases Coberto
  • 8.3.8 Authentication policies documented and communicated to users Sua responsabilidade
  • 8.3.9 If single-factor password: change every 90 days or dynamic analysis Coberto
  • 8.3.10 SP customer password guidance (service providers only) Sua responsabilidade
  • 8.3.11 Physical/logical tokens, smart cards, certificates assigned individually Fora do escopo
8.6 O uso de contas de aplicações e sistemas e dos fatores de autenticação associados é gerenciado
  • 8.6.1 Interactive login by system/app accounts managed and justified Coberto
  • 8.6.2 Passwords for app/system accounts not hard-coded in scripts/config Coberto
  • 8.6.3 Passwords for app/system accounts protected and changed periodically Coberto

Como implementar na AWS

Usar papéis IAM com credenciais temporárias (STS) para cargas e CI/CD (IAM Roles Anywhere, federação OIDC). Rotacionar e armazenar segredos de aplicações/sistemas no AWS Secrets Manager com rotação automática. Remover access keys estáticas. Aplicar políticas de senha conformes onde existirem credenciais locais.

Implementação prática

Como este controle é implementado em cada arquitetura de referência:

Substitua as chaves estáticas por credenciais temporárias e rotacione automaticamente qualquer segredo de aplicação/sistema que reste.

  1. Use papéis IAM com credenciais STS temporárias para as cargas e o CI/CD (papéis de instância, IAM Roles Anywhere, federação OIDC) em vez de access keys estáticas.
    Camada de app (CDE) / CI IAM
  2. Armazene os segredos de aplicação/sistema no Secrets Manager com rotação automática; remova as credenciais embutidas do código e da configuração.
    Camada de app (CDE) Secrets Manager
  3. Remova as access keys estáticas existentes e confirme com o Credential Report do IAM.
    Toda a conta IAM

Como validar: O Credential Report não mostra access keys estáticas ativas para as cargas, e o Secrets Manager mostra a rotação habilitada nos segredos de aplicação.

Evite: Deixar uma access key estática «para a app». Use um papel com credenciais temporárias; as chaves estáticas vazam e raramente rotacionam.

Conta única, 3 camadas →

Prefira credenciais temporárias baseadas em papéis em todos os lugares e proíba as chaves estáticas por política em toda a organização.

  1. Padronize em credenciais temporárias baseadas em papéis (Roles Anywhere / federação OIDC) para todas as cargas e pipelines.
    Cada conta de carga do CDE / CI IAM
  2. Proíba criar usuários IAM / access keys estáticas com uma SCP na OU de PCI.
    OU de PCI (guarda-corpo) AWS Organizations
  3. Gerencie e rotacione os segredos por conta no Secrets Manager (sem repositórios de segredos compartilhados entre contas).
    Cada conta de carga do CDE Secrets Manager

Como validar: Um teste de SCP bloqueia criar uma access key em uma conta do CDE, e os segredos de cada conta mostram a rotação habilitada.

Evite: Permitir chaves estáticas «apenas em uma conta». Uma exceção se espalha; bloqueie a criação de chaves em toda a organização e use papéis.

Multi-conta com uma OU dedicada ao PCI →

Validação PCI

Métodos de comprovação: examineobserve

Procedimentos de teste

  • Examinar a documentação e observar uma autenticação para verificar que o acesso do usuário é autenticado por pelo menos um fator de autenticação (8.3.1.a, 8.3.1.b).
  • Examinar a documentação do fornecedor e as configurações para verificar que os fatores de autenticação são tornados ilegíveis com criptografia forte em trânsito e em armazenamento (8.3.2.a).
  • Examinar scripts, arquivos de configuração/propriedades e código-fonte para verificar que as senhas/frases das contas de aplicação/sistema não estão embutidas no código (8.6.2.b).

Evidência na AWS

  • Uso de papéis/STS e ausência de access keys estáticas (Credential Report).
  • Rotação automática de segredos configurada no Secrets Manager.
  • Política de senhas conforme onde se apliquem credenciais locais.

Abordagem personalizada

Requer uma análise de risco direcionada (Req 12.3.2).

Objetivo da abordagem personalizada

  • 8.3 — Uma conta não pode ser acessada exceto com uma combinação de identidade de usuário e um fator de autenticação.
  • 8.6 — Quando usadas de forma interativa, todas as ações com contas designadas como de sistema ou aplicação são autorizadas e atribuíveis a uma pessoa individual.

Serviços AWS

AWS STS AWS Secrets Manager AWS IAM

Recursos de aprendizado

Referências

  • AWS Security Maturity Model: Temporary credentials, Secrets management
  • PCI DSS v4.0.1 Requirements 8.3, 8.6