PCI DSS Security Maturity Model·AWS v1.1.0

Arraste para explorar · faça pinça para ampliar
Início / Matriz / Requisito 8 / c8.4
Efficient Identity and Access ManagementDomínio de segurança da perspectiva de segurança do AWS Cloud Adoption Framework (CAF), usado para organizar os controles. 🤝 CompartilhadaModelo de Responsabilidade Compartilhada da AWS: quem implementa e opera este controle. Cliente = é seu; AWS = a AWS opera e você o herda; Compartilhada = ambos têm obrigações.

c8.4 Proteção avançada de identidades privilegiadas e detecção de anomalias

Reforçar a proteção de contas privilegiadas e detectar comportamentos de autenticação anômalos para sustentar uma autenticação forte em escala.

Quick Wins
Foundational
Efficient
Optimized
Esforço: Alto Impacto: Médio Aplica ao CDE: Sim

Requisito 8

Identificar Usuários e Autenticar o Acesso aos Componentes do Sistema

Sub-requisitos PCI cobertosCobertura mostrada por sub-controle do PCI DSS v4.0.1. “Coberto” = atendido por esta recomendação da AWS. “No roadmap” = técnico, planejado. “Sua responsabilidade” = controle organizacional/de processo. “Fora do escopo” = controle físico ou de terceiros não implementado na AWS.

8.3 A autenticação forte de usuários e administradores é estabelecida e gerenciada
  • 8.3.1 All access authenticated via at least one strong auth factor Coberto
  • 8.3.2 Strong cryptography protects auth factors in transit and storage Coberto
  • 8.3.3 User identity verified before modifying an auth factor Sua responsabilidade
  • 8.3.4 Invalid auth attempts limited (lockout) — Cognito/IdP; IAM users need MFA No roadmap
  • 8.3.5 Passwords/passphrases set and reset securely Coberto
  • 8.3.6 Minimum password length and complexity Coberto
  • 8.3.7 No reuse of the last four passwords/passphrases Coberto
  • 8.3.8 Authentication policies documented and communicated to users Sua responsabilidade
  • 8.3.9 If single-factor password: change every 90 days or dynamic analysis Coberto
  • 8.3.10 SP customer password guidance (service providers only) Sua responsabilidade
  • 8.3.11 Physical/logical tokens, smart cards, certificates assigned individually Fora do escopo
8.5 Os sistemas de MFA são configurados para evitar uso indevido
  • 8.5.1 MFA systems resist replay, cannot be bypassed, use strong factors Coberto

Como implementar na AWS

Aplicar acesso just-in-time a permissões elevadas. Detectar credenciais comprometidas e acessos anômalos com o GuardDuty (achados de IAM). Alertar sobre uso do root e mudanças nas configurações de MFA. Preferir fatores resistentes a phishing (FIDO2/passkeys).

Implementação prática

Como este controle é implementado em cada arquitetura de referência:

Alcance o estado otimizado: eleve o privilégio just-in-time, use fatores resistentes a phishing e detecte o uso anômalo de credenciais.

  1. Substitua o admin permanente por elevação just-in-time usando IAM nativo: papéis privilegiados assumidos via STS em sessões de curta duração, condicionados (MFA, aprovação). Evolução: os permission sets do IAM Identity Center com duração de sessão dão a isso uma experiência gerenciada depois que você o adota.
    Acesso à conta IAM Sts
  2. Prefira fatores resistentes a phishing (FIDO2 / passkeys) para o MFA dos usuários privilegiados.
    Acesso à conta IAM
  3. Detecte o uso anômalo de credenciais e alerte sobre o uso de root / mudanças de configuração de MFA com o GuardDuty e o EventBridge.
    Detecção em toda a conta GuardDuty EventBridge

Como validar: O acesso privilegiado tem limite de tempo por meio de papéis assumidos (sem admin permanente), os usuários privilegiados usam FIDO2, e um achado simulado de anomalia de credenciais do GuardDuty gera um alerta.

Evite: Acesso de administrador permanente 24/7. É uma grande superfície de ataque; conceda a elevação just-in-time (assume-role com MFA/aprovação) e faça-a expirar.

Conta única, 3 camadas →

Opere a gestão de acesso privilegiado e a detecção de anomalias em toda a organização, vigiando os achados de credenciais e o uso de root em cada conta.

  1. Execute o acesso privilegiado just-in-time de forma central por meio do Identity Center com MFA resistente a phishing aplicado em toda a organização.
    Conta de identidade/segurança → OU de PCI IAM Identity Center AWS Organizations
  2. Vigie os achados de acesso a credenciais do GuardDuty e o uso de root em cada conta do CDE a partir do administrador delegado.
    Conta de ferramentas de segurança GuardDuty
  3. Alerte e impulsione a resposta de forma central (EventBridge) para que uma anomalia de credenciais em qualquer conta seja tratada de forma consistente.
    Conta de ferramentas de segurança EventBridge Security Hub

Como validar: O Identity Center aplica JIT + MFA resistente a phishing em toda a organização, e um achado simulado de anomalia de credenciais em qualquer conta do CDE aparece de forma central e dispara a resposta.

Evite: Vigiar o uso de root conta por conta. Agregue o GuardDuty ao administrador delegado para que as anomalias de root/credenciais sejam detectadas em todos os lugares.

Multi-conta com uma OU dedicada ao PCI →

Validação PCI

Métodos de comprovação: examineobserve

Procedimentos de teste

  • Examinar a documentação do sistema do fornecedor para verificar que o sistema de MFA não é suscetível a ataques de repetição (8.5.1.a).
  • Entrevistar o pessoal e observar processos para verificar que qualquer solicitação de bypass de MFA está documentada e autorizada pela gestão de forma excepcional e por tempo limitado (8.5.1.c).

Evidência na AWS

  • Achados do GuardDuty do tipo credential access/anomalous behavior e seu tratamento.
  • Configuração de acesso just-in-time para permissões elevadas.
  • Uso documentado de fatores resistentes a phishing (FIDO2).

Abordagem personalizada

Requer uma análise de risco direcionada (Req 12.3.2).

Objetivo da abordagem personalizada

  • 8.3 — Uma conta não pode ser acessada exceto com uma combinação de identidade de usuário e um fator de autenticação.
  • 8.5 — Os sistemas de MFA são resistentes a ataques e controlam estritamente qualquer substituição administrativa.

Serviços AWS

Amazon GuardDuty AWS IAM Identity Center Amazon EventBridge

Recursos de aprendizado

Referências

  • AWS Security Maturity Model: Protect privileged accounts