PCI DSS Security Maturity Model·AWS v1.1.0

Arraste para explorar · faça pinça para ampliar
Início / Matriz / Requisito 8 / c8.5
Quick Wins Identity and Access ManagementDomínio de segurança da perspectiva de segurança do AWS Cloud Adoption Framework (CAF), usado para organizar os controles. 👤 ClienteModelo de Responsabilidade Compartilhada da AWS: quem implementa e opera este controle. Cliente = é seu; AWS = a AWS opera e você o herda; Compartilhada = ambos têm obrigações.

c8.5 Aplique políticas de senha e controles de bloqueio de conta

Onde senhas forem usadas, aplique regras de comprimento, complexidade, histórico e troca em conformidade com o PCI, e aplique o bloqueio de conta onde a plataforma suportar. Os usuários IAM não têm bloqueio nativo, portanto a AWS se apoia em MFA e detecção de anomalias para eles.

Quick Wins
Foundational
Efficient
Optimized
Esforço: Baixo Impacto: Médio Aplica ao CDE: Sim

Requisito 8

Identificar Usuários e Autenticar o Acesso aos Componentes do Sistema

Sub-requisitos PCI cobertosCobertura mostrada por sub-controle do PCI DSS v4.0.1. “Coberto” = atendido por esta recomendação da AWS. “No roadmap” = técnico, planejado. “Sua responsabilidade” = controle organizacional/de processo. “Fora do escopo” = controle físico ou de terceiros não implementado na AWS.

8.3 A autenticação forte de usuários e administradores é estabelecida e gerenciada
  • 8.3.1 All access authenticated via at least one strong auth factor Coberto
  • 8.3.2 Strong cryptography protects auth factors in transit and storage Coberto
  • 8.3.3 User identity verified before modifying an auth factor Sua responsabilidade
  • 8.3.4 Invalid auth attempts limited (lockout) — Cognito/IdP; IAM users need MFA No roadmap
  • 8.3.5 Passwords/passphrases set and reset securely Coberto
  • 8.3.6 Minimum password length and complexity Coberto
  • 8.3.7 No reuse of the last four passwords/passphrases Coberto
  • 8.3.8 Authentication policies documented and communicated to users Sua responsabilidade
  • 8.3.9 If single-factor password: change every 90 days or dynamic analysis Coberto
  • 8.3.10 SP customer password guidance (service providers only) Sua responsabilidade
  • 8.3.11 Physical/logical tokens, smart cards, certificates assigned individually Fora do escopo

Como implementar na AWS

Configure uma política de senha de conta do IAM (comprimento mínimo, complexidade, prevenção de reutilização, expiração) para os usuários IAM. Importante: o IAM NÃO suporta bloqueio de conta após tentativas de login malsucedidas; a orientação da AWS é combinar uma política de senha forte com MFA e detectar logins anômalos com o GuardDuty. O bloqueio (PCI 8.3.4) é alcançável onde você controla a autenticação: Amazon Cognito advanced security (usuários de aplicação) e o IdP externo ou AWS Managed Microsoft AD para usuários do quadro de pessoal via IAM Identity Center. Priorize a federação e o MFA para que as senhas nunca sejam o único fator.

Implementação prática

Como este controle é implementado em cada arquitetura de referência:

Aplique uma política de senha em conformidade em todos os lugares onde existam senhas locais; adicione bloqueio onde a plataforma suportar, e MFA onde não (IAM).

  1. Configure a política de senha de conta do IAM: comprimento mínimo 12+, exija classes de caracteres, impeça a reutilização das últimas 4 e defina a expiração conforme sua política. (O IAM não tem parâmetro de bloqueio.)
    Toda a conta IAM
  2. Exija MFA para todos os usuários IAM e detecte logins por força bruta/anômalos com o GuardDuty: os controles compensatórios pela falta de bloqueio no IAM.
    Toda a conta IAM GuardDuty
  3. Para os usuários de aplicação, habilite o Amazon Cognito advanced security (autenticação adaptativa / proteção contra credenciais comprometidas) e o comportamento de bloqueio de conta após tentativas malsucedidas repetidas.
    Camada de aplicação (CDE) Cognito
  4. Para os usuários do quadro de pessoal, aplique o bloqueio no IdP externo (ou AWS Managed Microsoft AD) que respalda o login deles (conectado ao IAM Identity Center onde você o usa).
    IdP do quadro de pessoal Identity Center

Como validar: A política de senha do IAM atende a comprimento/complexidade/reutilização/expiração; o MFA é exigido para os usuários IAM; o Cognito e o IdP do quadro de pessoal aplicam bloqueio após ≤10 tentativas malsucedidas.

Evite: Afirmar que o IAM aplica bloqueio. Ele não aplica: use MFA + GuardDuty para os usuários IAM, e bloqueio real no Cognito / no IdP / AD.

Conta única, 3 camadas →

Padronize a política de senha em toda a organização; aplique o bloqueio real no Cognito e no IdP do quadro de pessoal; compense os usuários IAM com MFA e detecção de anomalias em toda a organização.

  1. Aplique uma política de senha do IAM de referência em cada conta por meio de um conformance pack do Config e remedie o desvio. (Não existe parâmetro de bloqueio no IAM.)
    Todas as contas AWS Config AWS Organizations
  2. Centralize o acesso do quadro de pessoal no IAM Identity Center respaldado por um IdP (ou AWS Managed Microsoft AD) que aplique o bloqueio de conta; exija MFA.
    Conta de gerenciamento / identidade Identity Center
  3. Aplique o Cognito advanced security e o bloqueio a todas as aplicações voltadas ao cliente.
    Contas de aplicação (CDE) Cognito
  4. Agregue os achados de login anômalo do GuardDuty em toda a organização para compensar a ausência de bloqueio no IAM.
    Conta de segurança GuardDuty Security Hub

Como validar: O Config reporta a baseline da política de senha em conformidade em todas as contas; o IdP do quadro de pessoal e o Cognito aplicam bloqueio; o MFA é exigido para os usuários IAM.

Evite: Supor que um único ajuste do IAM cumpre o PCI 8.3.4. O bloqueio vive no Cognito / no IdP / AD, não no IAM.

Multi-conta com uma OU dedicada ao PCI →

Validação PCI

Métodos de comprovação: examine

Procedimentos de teste

  • Examinar a política de senha de conta do IAM, as configurações do IAM Identity Center / IdP (ou AWS Managed Microsoft AD) e dos grupos de usuários do Cognito para verificar que os requisitos de comprimento, complexidade, reutilização, troca e, onde suportado, bloqueio de conta são aplicados.
  • Verificar que o MFA é exigido para os usuários IAM como controle compensatório onde o bloqueio nativo não está disponível.

Evidência na AWS

  • Saída de IAM get-account-password-policy
  • Status de aplicação de MFA para os usuários IAM
  • Ajustes de advanced-security e bloqueio dos grupos de usuários do Cognito
  • Política de bloqueio do IdP do quadro de pessoal / AWS Managed Microsoft AD
  • Achados do GuardDuty por logins anômalos

Abordagem personalizada

Objetivo da abordagem personalizada

  • 8.3 — As contas estão protegidas contra o acesso não autorizado por meio da aplicação de regras de fatores de autenticação fortes e bem gerenciadas.

Serviços AWS

AWS IAM Amazon Cognito AWS Organizations Amazon GuardDuty

Recursos de aprendizado

Referências

  • https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_passwords_account-policy.html
  • https://docs.aws.amazon.com/cognito/latest/developerguide/user-pool-settings-policies.html