Controles que se aplicam ao PCI DSS v3.2.1 Controles que se aplicam ao PCI DSS v4.0.1

PCI DSS no CSPM do Security Hub

O Padrão de segurança de dados do setor de cartão de pagamento (PCI DSS) é uma estrutura de conformidade de terceiro que fornece um conjunto de regras e diretrizes para o tratamento seguro de informações de cartões de crédito e débito. O Conselho de Normas de Segurança (SSC) da PCI cria e atualiza essa estrutura.

AWSO Security Hub CSPM fornece um padrão PCI DSS que pode ajudá-lo a manter a conformidade com essa estrutura de terceiros. É possível usar esse padrão para descobrir vulnerabilidades de segurança em recursos da AWS que lidam com dados de titulares de cartões. Recomendamos habilitar esse padrão na Contas da AWS que tenha os recursos que armazenem, processem ou transmitam dados do titular do cartão ou dados sensíveis de autenticação. As avaliações do PCI SSC validaram esse padrão.

O CSPM do Security Hub oferece suporte para PCI DSS v3.2.1 e PCI DSS v4.0.1. Sugerimos o uso da v4.0.1 para se manter atualizado sobre as práticas recomendadas de segurança. É possível ter várias versões do padrão habilitadas ao mesmo tempo. Para obter informações sobre a habilitação de padrões, consulte Habilitar um padrão de segurança. Se você usa atualmente a v3.2.1, mas deseja usar somente a v4.0.1, habilite a versão mais recente antes de desabilitar a versão mais antiga. Isso evitará lacunas em suas verificações de segurança. Se você usa a integração CSPM do Security Hub com AWS Organizations e deseja habilitar em lote a v4.0.1 em várias contas, recomendamos usar a configuração central para fazer isso.

As seções a seguir especificam quais controles se aplicam ao PCI DSS v3.2.1 e ao PCI DSS v4.0.1.

Controles que se aplicam ao PCI DSS v3.2.1

A lista a seguir especifica quais controles do CSPM do Security Hub se aplicam ao PCI DSS v3.2.1. Para revisar os detalhes de um controle, escolha o controle.

[AutoScaling.1] Grupos de Auto Scaling associados a um balanceador de carga devem usar verificações de integridade do ELB

[CloudTrail.2] CloudTrail deve ter a criptografia em repouso ativada

[CloudTrail.3] Pelo menos uma CloudTrail trilha deve ser ativada

[CloudTrail.4] a validação do arquivo de CloudTrail log deve estar ativada

[CloudTrail.5] CloudTrail trilhas devem ser integradas com o Amazon CloudWatch Logs

[CloudWatch.1] Um filtro métrico de log e um alarme devem existir para uso do usuário “root”

[CodeBuild.1] Os URLs do repositório CodeBuild de origem do Bitbucket não devem conter credenciais confidenciais

[CodeBuild.2] as variáveis de ambiente CodeBuild do projeto não devem conter credenciais de texto não criptografado

[Config.1]AWS Configdeve ser habilitado e usar a função vinculada ao serviço para registro de recursos

[DMS.1] As instâncias de replicação do Database Migration Service não devem ser públicas

[EC2.1] Os snapshots do Amazon EBS não devem ser configurados para serem restauráveis publicamente

[EC2.2] Os grupos de segurança padrão da VPC não devem permitir tráfego de entrada ou saída

[EC2.6] O registro de fluxo de VPC deve ser ativado em todas as VPCs

[EC2.12] Os EIPs do Amazon EC2 não utilizados devem ser removidos

[EC2.13] Grupos de segurança não devem permitir a entrada a partir de 0.0.0. 0/0 ou: :/0 para a porta 22

[ELB.1] O Application Load Balancer deve ser configurado para redirecionar todas as solicitações HTTP para HTTPS

[ES.1] Os domínios do Elasticsearch devem ter a criptografia em repouso habilitada

[ES.2] Os domínios do Elasticsearch não devem ser acessíveis ao público

[GuardDuty.1] GuardDuty deve ser habilitado

[IAM.1] As políticas do IAM não devem permitir privilégios administrativos “*” completos

[IAM.2] Os usuários do IAM não devem ter políticas do IAM anexadas

[IAM.4] A chave de acesso do usuário raiz do IAM não deve existir

[IAM.6] O MFA de hardware deve estar habilitado para o usuário root

[IAM.8] As credenciais de usuário do IAM não utilizadas devem ser removidas

[IAM.9] O MFA deve estar habilitado para o usuário root

[IAM.10] As políticas de senha para usuários do IAM devem ter configurações fortes

[IAM.19] O MFA deve estar habilitado para todos os usuários do IAM

[KMS.4]AWS KMSa rotação de chaves deve ser ativada

[Lambda.1] As políticas da função Lambda devem proibir o acesso público

[Lambda.3] As funções Lambda devem estar em uma VPC

[Opensearch.1] os OpenSearch domínios devem ter a criptografia em repouso ativada

[Opensearch.2] os OpenSearch domínios não devem ser acessíveis ao público

[RDS.1] O instantâneo do RDS deve ser privado

[RDS.2] As instâncias de banco de dados do RDS devem proibir o acesso público, conforme determinado pela configuração PubliclyAccessible

[Redshift.1] Os clusters do Amazon Redshift devem proibir o acesso público

[S3.1] Os buckets de uso geral do S3 devem ter as configurações de bloqueio de acesso público ativadas

[S3.2] Os buckets de uso geral do S3 devem bloquear o acesso público de leitura

[S3.3] Os buckets de uso geral do S3 devem bloquear o acesso público de gravação

[S3.5] Os buckets de uso geral do S3 devem exigir solicitações para usar SSL

[S3.7] Os buckets de uso geral do S3 devem usar replicação entre regiões

[SageMaker.1] As instâncias de SageMaker notebooks da Amazon não devem ter acesso direto à Internet

[SSM.1] As instâncias do Amazon EC2 devem ser gerenciadas porAWS Systems Manager

[SSM.2] As instâncias do Amazon EC2 gerenciadas pelo Systems Manager devem ter um status de conformidade de patch de COMPATÍVEL após a instalação de um patch

[SSM.3] As instâncias do Amazon EC2 gerenciadas pelo Systems Manager devem ter um status de conformidade de associação de COMPATÍVEL

Controles que se aplicam ao PCI DSS v4.0.1

A lista a seguir especifica quais controles do CSPM do Security Hub se aplicam ao PCI DSS v4.0.1. Para revisar os detalhes de um controle, escolha o controle.

[ACM.1] Importado e ACM-issued os certificados devem ser renovados após um período de tempo especificado

[ACM.2] Os certificados RSA gerenciados pelo ACM devem usar um comprimento de chave de pelo menos 2.048 bits

[APIGateway.9] O registro de acesso deve ser configurado para os estágios do API Gateway V2

[AppSync.2]AWS AppSyncdeve ter o registro em nível de campo ativado

[AutoScaling.3] As configurações de lançamento de grupos do Auto Scaling devem configurar as instâncias do EC2 para exigir o Instance Metadata Service Version 2 (IMDSv2)

[Autoscaling.5] As instâncias do Amazon EC2 lançadas usando as configurações de execução em grupo do Auto Scaling não devem ter endereços IP públicos

[CloudFront.1] CloudFront as distribuições devem ter um objeto raiz padrão configurado

[CloudFront.10] CloudFront as distribuições não devem usar protocolos SSL obsoletos entre pontos de presença e origens personalizadas

[CloudFront.12] CloudFront as distribuições não devem apontar para origens inexistentes do S3

[CloudFront.3] CloudFront as distribuições devem exigir criptografia em trânsito

[CloudFront.5] CloudFront as distribuições devem ter o registro ativado

[CloudFront.6] CloudFront as distribuições devem ter o WAF ativado