PCI DSS en Security Hub

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

El estándar de seguridad de datos de la industria de tarjetas de pago (PCI DSS) es un marco de cumplimiento externo que proporciona un conjunto de reglas y pautas para el manejo seguro de la información de las tarjetas de crédito y débito. El Consejo de Normas de Seguridad de la PCI (SSC) crea y actualiza este marco.

AWS Security Hub cuenta con un estándar PCI DSS para ayudarle a cumplir con este marco de terceros. Puede utilizar este estándar para descubrir vulnerabilidades de seguridad en los AWS recursos que gestionan los datos de los titulares de tarjetas. Recomendamos habilitar este estándar cuando dispongas de recursos Cuentas de AWS que almacenen, procesen o transmitan datos del titular de la tarjeta o datos de autenticación confidenciales. Las evaluaciones del PCI SSC validaron este estándar.

Security Hub es compatible con PCI DSS v3.2.1 y PCI DSS v4.0.1. Recomendamos utilizar la versión 4.0.1 para mantenerse al día con las mejores prácticas de seguridad. Puede tener ambas versiones del estándar habilitadas al mismo tiempo. Para obtener instrucciones sobre cómo habilitar los estándares, consulte Habilitación de un estándar de seguridad en Security Hub. Si actualmente usa la v3.2.1 pero solo quiere usar la v4.0.1, habilite la versión más reciente antes de deshabilitar la versión anterior. Esto evita brechas en las comprobaciones de seguridad. Si utiliza la integración de Security Hub con varias cuentas AWS Organizations y desea habilitarla por lotes en varias cuentas, le recomendamos que utilice la configuración central para hacerlo.

En las siguientes secciones se muestran los controles que se aplican a PCI DSS v3.2.1 y PCI DSS v4.0.1.

Controles que se aplican a PCI DSS v3.2.1

[AutoScaling.1] Los grupos de Auto Scaling asociados a un balanceador de cargas deben usar las comprobaciones de estado del ELB

[CloudTrail.2] CloudTrail debe tener activado el cifrado en reposo

[CloudTrail.3] Debe estar habilitada al menos una CloudTrail ruta

[CloudTrail.4] La validación del archivo de CloudTrail registro debe estar habilitada

[CloudTrail.5] CloudTrail Los senderos deben integrarse con Amazon Logs CloudWatch

[CloudWatch.1] Debe haber un filtro de métricas de registro y una alarma para que los utilice el usuario «root»

[CodeBuild.1] CodeBuild El repositorio fuente de Bitbucket no URLs debe contener credenciales confidenciales

[CodeBuild.2] Las variables de entorno CodeBuild del proyecto no deben contener credenciales de texto claro

[Config.1] AWS Config debe estar habilitado y usar el rol vinculado al servicio para el registro de recursos

[DMS.1] Las instancias de replicación de Database Migration Service no deben ser públicas

[EC2.1] Las instantáneas de Amazon EBS no deberían poder restaurarse públicamente

[EC2.2] Los grupos de seguridad predeterminados de VPC no deben permitir el tráfico entrante o saliente

[EC2.6] El registro de flujo de VPC debe estar habilitado en todas VPCs

[EC2.12] Amazon no utilizado EC2 EIPs debería retirarse

[EC2.13] Los grupos de seguridad no deberían permitir la entrada desde el 0.0.0.0/0 o: :/0 al puerto 22

[ELB.1] El equilibrador de carga de aplicación debe configurarse para redirigir todas las solicitudes HTTP a HTTPS

[ES.1] Los dominios de Elasticsearch deben tener habilitado el cifrado en reposo

[ES.2] Los dominios de Elasticsearch no deben ser de acceso público

[GuardDuty.1] GuardDuty debe estar activado

[IAM.1] Las políticas de IAM no deben permitir privilegios administrativos completos “*”

[IAM.2] Los usuarios de IAM no deben tener políticas de IAM asociadas

[IAM.4] La clave de acceso del usuario raíz de IAM no debería existir

[PCI.IAM.6] La MFA de hardware debe estar habilitada para el usuario raíz

[IAM.8] Deben eliminarse las credenciales de usuario de IAM no utilizadas

[IAM.9] La MFA debe estar habilitada para el usuario raíz

[IAM.10] Las políticas de contraseñas para los usuarios de IAM deben tener una duración estricta AWS Config

[IAM.19] MFA se debe habilitar para todos los usuarios de IAM

La rotación de AWS KMS teclas [KMS.4] debe estar habilitada

[Lambda.1] Las políticas de función de Lambda deberían prohibir el acceso público

[Lambda.3] Las funciones de Lambda deben estar en una VPC

Los OpenSearch dominios [Opensearch.1] deben tener activado el cifrado en reposo

Los OpenSearch dominios [Opensearch.2] no deben ser de acceso público

[RDS.1] La instantánea de RDS debe ser privada

[RDS.2] Las instancias de base de datos de RDS deben prohibir el acceso público, según lo determine la configuración PubliclyAccessible

[Redshift.1] Los clústeres de Amazon Redshift deberían prohibir el acceso público

[S3.1] Los buckets de uso general de S3 deben tener habilitado el bloqueo de acceso público

[S3.2] Los buckets de uso general de S3 deben bloquear el acceso público de lectura

[S3.3] Los buckets de uso general de S3 deben bloquear el acceso público de escritura

[S3.5] En las solicitudes de los buckets de uso general de S3, se debe pedir el uso de SSL

[S3.7] Los buckets de uso general de S3 deben usar la replicación entre regiones

[SageMaker.1] Las instancias de Amazon SageMaker AI notebook no deberían tener acceso directo a Internet

[SSM.1] EC2 Las instancias de Amazon deben gestionarse mediante AWS Systems Manager

[SSM.2] EC2 Las instancias de Amazon gestionadas por Systems Manager deberían tener el estado de conformidad con los parches de CONFORMIDAD CON LOS PARCHES tras la instalación de un parche

[SSM.3] EC2 Las instancias de Amazon gestionadas por Systems Manager deben tener el estado de conformidad de la asociación de COMPLIANT

Controles que se aplican a PCI DSS v4.0.1

[ACM.1] Los certificados importados y emitidos por ACM deben renovarse después de un período de tiempo específico

[ACM.2] Los certificados RSA administrados por ACM deben utilizar una longitud de clave de al menos 2048 bits

[APIGateway.9] El registro de acceso debe configurarse para las etapas de API Gateway V2

[AppSync.2] AWS AppSync debe tener habilitado el registro a nivel de campo

[AutoScaling.3] Las configuraciones de lanzamiento grupal de Auto Scaling deberían configurar las EC2 instancias para que requieran la versión 2 del Servicio de Metadatos de Instancia (IMDSv2)

[AutoScaling.5] EC2 Las instancias de Amazon lanzadas mediante configuraciones de lanzamiento grupal de Auto Scaling no deben tener direcciones IP públicas

[CloudFront.1] CloudFront las distribuciones deben tener configurado un objeto raíz predeterminado

[CloudFront.10] CloudFront las distribuciones no deberían utilizar protocolos SSL obsoletos entre las ubicaciones de borde y los orígenes personalizados

[CloudFront.12] CloudFront las distribuciones no deben apuntar a orígenes S3 inexistentes

[CloudFront.3] CloudFront las distribuciones deberían requerir el cifrado en tránsito

[CloudFront.5] CloudFront las distribuciones deberían tener el registro activado

[CloudFront.6] CloudFront las distribuciones deben tener WAF activado

[CloudFront.9] las CloudFront distribuciones deberían cifrar el tráfico hacia orígenes personalizados

[CloudTrail.2] CloudTrail debe tener activado el cifrado en reposo

[CloudTrail.3] Debe estar habilitada al menos una CloudTrail ruta

[CloudTrail.4] La validación del archivo de CloudTrail registro debe estar habilitada

[CloudTrail.6] Asegúrese de que el depósito de S3 que se utiliza para almacenar CloudTrail los registros no sea de acceso público

[CloudTrail.7] Asegúrese de que el registro de acceso al bucket de S3 esté habilitado en el CloudTrail bucket de S3

[CodeBuild.1] CodeBuild El repositorio fuente de Bitbucket no URLs debe contener credenciales confidenciales

[CodeBuild.2] Las variables de entorno CodeBuild del proyecto no deben contener credenciales de texto claro

[CodeBuild.3] Los registros de CodeBuild S3 deben estar cifrados

[DMS.1] Las instancias de replicación de Database Migration Service no deben ser públicas

[DMS.10] Los puntos de conexión de DMS para las bases de datos de Neptune deben tener habilitada la autorización de IAM

[DMS.11] Los puntos de conexión de DMS para MongoDB deben tener un mecanismo de autenticación habilitado

[DMS.12] Los puntos de conexión de DMS para Redis OSS deben tener el TLS habilitado

[DMS.6] Las instancias de replicación de DMS deben tener habilitada la actualización automática de las versiones secundarias

[DMS.7] Las tareas de replicación de DMS para la base de datos de destino deben tener habilitado el registro

[DMS.8] Las tareas de replicación del DMS para la base de datos de origen deben tener habilitado el registro

[DMS.9] Los puntos finales del DMS deben usar SSL

[DocumentDb.2] Los clústeres de Amazon DocumentDB deben tener un período de retención de copias de seguridad adecuado

[DocumentDb.3] Las instantáneas de clústeres manuales de Amazon DocumentDB no deben ser públicas

[DocumentDb.4] Los clústeres de Amazon DocumentDB deben publicar los registros de auditoría en Logs CloudWatch

[DynamoDB.7] Los clústeres del Acelerador de DynamoDB deben estar cifrados en tránsito

[EC2.13] Los grupos de seguridad no deberían permitir la entrada desde el 0.0.0.0/0 o: :/0 al puerto 22

[EC2.14] Los grupos de seguridad no deberían permitir la entrada desde el 0.0.0.0/0 o: :/0 al puerto 3389

[EC2.15] EC2 Las subredes de Amazon no deberían asignar automáticamente direcciones IP públicas

[EC2.16] Deben eliminarse las listas de control de acceso a la red no utilizadas

[EC2.170] Las plantillas de EC2 lanzamiento deben utilizar la versión 2 () del Servicio de Metadatos de Instancia IMDSv2

[EC2.171] Las conexiones EC2 VPN deben tener el registro activado

[EC2.21] La red no ACLs debe permitir la entrada desde el 0.0.0.0/0 al puerto 22 o al puerto 3389

[EC2.25] Las plantillas de EC2 lanzamiento de Amazon no deben asignar interfaces públicas IPs a las de red

[EC2.51] Los puntos finales de EC2 Client VPN deben tener habilitado el registro de conexiones de clientes

[EC2.53] los grupos de EC2 seguridad no deberían permitir la entrada desde el 0.0.0.0/0 a los puertos de administración remota del servidor

[EC2.54] Los grupos EC2 de seguridad no deberían permitir la entrada desde: :/0 a los puertos de administración remota del servidor

[EC2.8] EC2 las instancias deben usar la versión 2 del servicio de metadatos de instancias IMDSv2

[ECR.1] Los repositorios privados del ECR deben tener configurado el escaneo de imágenes

[ECS.10] Los servicios Fargate de ECS deberían ejecutarse en la última versión de la plataforma Fargate

[ECS.16] Los conjuntos de tareas de ECS no deben asignar automáticamente direcciones IP públicas

[ECS.2] Los servicios de ECS no deberían tener direcciones IP públicas asignadas automáticamente

[ECS.8] Los secretos no deben pasarse como variables de entorno del contenedor

[EFS.4] Los puntos de acceso EFS deben imponer una identidad de usuario

[EKS.1] Los puntos de enlace del clúster EKS no deben ser de acceso público

[EKS.2] Los clústeres de EKS deberían ejecutarse en una versión de Kubernetes compatible

[EKS.3] Los clústeres de EKS deben usar secretos de Kubernetes cifrados

[EKS.8] Los clústeres de EKS deben tener habilitado el registro de auditoría

[ElastiCache.2] ElastiCache Los clústeres deberían tener habilitadas las actualizaciones automáticas de las versiones secundarias

[ElastiCache.5] los grupos de ElastiCache replicación deben cifrarse en tránsito

[ElastiCache.6] Los grupos de replicación ElastiCache (Redis OSS) de versiones anteriores deberían tener habilitada la autenticación de Redis OSS

[ElasticBeanstalk.2] Las actualizaciones de la plataforma gestionada de Elastic Beanstalk deben estar habilitadas

[ElasticBeanstalk.3] Elastic Beanstalk debería transmitir los registros a CloudWatch

[ELB.12] Equilibrador de carga de aplicación debe configurarse con el modo defensivo o de mitigación de desincronización más estricto

[ELB.14] El Equilibrador de carga clásico debe configurarse con el modo defensivo o de mitigación de desincronización más estricto

[ELB.3] Los oyentes de Equilibrador de carga clásico deben configurarse con una terminación HTTPS o TLS

[ELB.4] El equilibrador de carga de aplicación debe configurarse para eliminar los encabezados http no válidos

[ELB.8] Los balanceadores de carga clásicos con detectores SSL deben usar una política de seguridad predefinida que tenga una duración sólida AWS Config

[EMR.1] Los nodos maestros del clúster de Amazon EMR no deben tener direcciones IP públicas

[EMR.2] La configuración de bloqueo del acceso público de Amazon EMR debe estar habilitada

[ES.2] Los dominios de Elasticsearch no deben ser de acceso público

[ES.3] Los dominios de Elasticsearch deben cifrar los datos enviados entre nodos

[ES.5] Los dominios de Elasticsearch deben tener habilitado el registro de auditoría

[ES.8] Las conexiones a dominios de Elasticsearch deben estar cifradas conforme a la política de seguridad TLS más reciente

[EventBridge.3] Los autobuses de eventos EventBridge personalizados deben incluir una política basada en los recursos

[GuardDuty.1] GuardDuty debe estar activado

[GuardDuty.10] La protección GuardDuty S3 debe estar habilitada

[GuardDuty.6] La protección GuardDuty Lambda debe estar habilitada

[GuardDuty.7] La monitorización del tiempo de ejecución de GuardDuty EKS debe estar habilitada

[GuardDuty.9] La protección GuardDuty RDS debe estar habilitada

[IAM.10] Las políticas de contraseñas para los usuarios de IAM deben tener una duración estricta AWS Config

[IAM.11] Asegurar que la política de contraseñas de IAM requiera al menos una letra mayúscula

[IAM.12] Asegurar que la política de contraseñas de IAM requiera al menos una letra minúscula

[IAM.13] Asegurar que la política de contraseñas de IAM requiera al menos un símbolo

[IAM.14] Asegurar que la política de contraseñas de IAM requiera al menos un número

[IAM.16] Asegurar que la política de contraseñas de IAM impida la reutilización de contraseñas

[IAM.17] Asegurar que la política de contraseñas de IAM haga caducar las contraseñas al cabo de 90 días o menos

[IAM.18] Asegúrese de que se haya creado una función de soporte para gestionar los incidentes con Soporte

[IAM.19] MFA se debe habilitar para todos los usuarios de IAM

[IAM.3] Las claves de acceso de los usuarios de IAM deben rotarse cada 90 días o menos

[IAM.5] MFA debe estar habilitado para todos los usuarios de IAM que tengan una contraseña de consola

[PCI.IAM.6] La MFA de hardware debe estar habilitada para el usuario raíz

[IAM.7] Las políticas de contraseñas para usuarios de IAM deben tener configuraciones seguras

[IAM.8] Deben eliminarse las credenciales de usuario de IAM no utilizadas

[IAM.9] La MFA debe estar habilitada para el usuario raíz

[Inspector.1] El EC2 escaneo de Amazon Inspector debe estar activado

[Inspector.2] El análisis de ECR en Amazon Inspector debe estar habilitado

[Inspector.3] El análisis de código de Lambda en Amazon Inspector debe estar habilitado

[Inspector.4] El análisis estándar de Lambda en Amazon Inspector debe estar habilitado

La rotación de AWS KMS teclas [KMS.4] debe estar habilitada

[Lambda.1] Las políticas de función de Lambda deberían prohibir el acceso público

[Lambda.2] Las funciones de Lambda deben usar los tiempos de ejecución admitidos

[MQ.2] Los corredores de ActiveMQ deberían transmitir los registros de auditoría a CloudWatch

[MQ.3] Los agentes de Amazon MQ deben tener habilitada la actualización automática de las versiones secundarias

[MSK.1] Los clústeres de MSK deben cifrarse en tránsito entre los nodos intermediarios

[MSK.3] Los conectores de MSK Connect deben cifrarse en tránsito

[Neptune.2] Los clústeres de bases de datos de Neptune deberían publicar los registros de auditoría en Logs CloudWatch

[Neptune.3] Las instantáneas del clúster de base de datos de Neptune no deben ser públicas

Los OpenSearch dominios [Opensearch.10] deben tener instalada la última actualización de software

Los OpenSearch dominios [Opensearch.5] deben tener habilitado el registro de auditoría

Las actualizaciones automáticas de las versiones secundarias de RDS [RDS.13] deben estar habilitadas

[RDS.2] Las instancias de base de datos de RDS deben prohibir el acceso público, según lo determine la configuración PubliclyAccessible

Las suscripciones de notificación de eventos de RDS [RDS.20] existentes deben configurarse para eventos críticos de instancias de bases de datos

Se debe configurar una suscripción a las notificaciones de eventos de RDS [RDS.21] para los eventos críticos de los grupos de parámetros de bases de datos

Se debe configurar una suscripción a las notificaciones de eventos de RDS [RDS.22] para los eventos críticos de los grupos de seguridad de bases de datos

Los clústeres de bases de datos de RDS [RDS.24] deben usar un nombre de usuario de administrador personalizado

Las instancias de bases de datos de RDS [RDS.25] deben usar un nombre de usuario de administrador personalizado

[RDS.34] Los clústeres de bases de datos Aurora MySQL deberían publicar los registros de auditoría en Logs CloudWatch

Los clústeres de bases de datos de RDS [RDS.35] deben tener habilitada la actualización automática de las versiones secundarias

[RDS.36] Las instancias de base de datos de RDS para PostgreSQL deben publicar registros en Logs CloudWatch

[RDS.37] Los clústeres de bases de datos Aurora PostgreSQL deberían publicar registros en Logs CloudWatch

[RDS.9] Las instancias de base de datos de RDS deben publicar los registros en Logs CloudWatch

[Redshift.1] Los clústeres de Amazon Redshift deberían prohibir el acceso público

[Redshift.15] Los grupos de seguridad de Redshift deberían permitir la entrada en el puerto del clúster solo desde orígenes restringidos

Las conexiones a los clústeres de Amazon Redshift [Redshift.2] deben cifrarse en tránsito

Los clústeres de Amazon Redshift [Redshift.4] deben tener habilitado el registro de auditoría

Las zonas alojadas públicas de Route 53 [Route53.2] deben registrar las consultas de DNS

[S3.1] Los buckets de uso general de S3 deben tener habilitado el bloqueo de acceso público

[S3.15] Los buckets de uso general de S3 deben tener habilitado el bloqueo de objetos

[S3.17] Los depósitos de uso general de S3 deben cifrarse en reposo con AWS KMS keys

[S3.19] Los puntos de acceso de S3 deben tener habilitada la configuración de Bloqueo de acceso público

[S3.22] Los buckets de uso general de S3 deben registrar eventos de escritura a nivel de objeto

[S3.23] Los buckets de uso general de S3 deben registrar eventos de lectura a nivel de objeto

[S3.24] Los puntos de acceso de varias regiones de S3 deben tener habilitado el bloqueo de acceso público

[S3.5] En las solicitudes de los buckets de uso general de S3, se debe pedir el uso de SSL

[S3.8] Los buckets de uso general de S3 deben bloquear el acceso público

[S3.9] Los buckets de uso general de S3 deben tener habilitado el registro de acceso al servidor

[SageMaker.1] Las instancias de Amazon SageMaker AI notebook no deberían tener acceso directo a Internet

[SecretsManager.1] Los secretos de Secrets Manager deberían tener habilitada la rotación automática

[SecretsManager.2] Los secretos de Secrets Manager configurados con rotación automática deberían rotar correctamente

[SecretsManager.4] Los secretos de Secrets Manager deben rotarse en un número específico de días

[SSM.2] EC2 Las instancias de Amazon gestionadas por Systems Manager deberían tener el estado de conformidad con los parches de CONFORMIDAD CON LOS PARCHES tras la instalación de un parche

[SSM.3] EC2 Las instancias de Amazon gestionadas por Systems Manager deben tener el estado de conformidad de la asociación de COMPLIANT

[StepFunctions.1] Las máquinas de estado de Step Functions deberían tener el registro activado

[Transfer.2] Los servidores de Transfer Family no deben utilizar el protocolo FTP para la conexión del punto de conexión

[WAF.1] El registro AWS WAF Classic Global Web ACL debe estar habilitado

[WAF.11] El registro de ACL AWS WAF web debe estar habilitado