PCI DSS en el CSPM de Security Hub

El Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI DSS) es un marco de cumplimiento de terceros que proporciona un conjunto de reglas y directrices para manejar de forma segura la información de tarjetas de crédito y débito. El Consejo de Normas de Seguridad PCI (PCI SSC) crea y actualiza este marco.

El CSPM de AWS Security Hub proporciona un estándar PCI DSS que contribuye a mantener el cumplimiento con este marco externo. Puede utilizar este estándar para descubrir vulnerabilidades de seguridad en los recursos de AWS que gestionan los datos de los titulares de tarjetas. Recomendamos habilitar este estándar en Cuentas de AWS con recursos que almacenan, tratan o transmiten datos de titulares de tarjetas o información confidencial de autenticación. Las evaluaciones realizadas por el PCI SSC validaron este estándar.

El CSPM de Security Hub ofrece compatibilidad con PCI DSS v3.2.1 y PCI DSS v4.0.1. Recomendamos usar la versión v4.0.1 para mantenerse alineado con las prácticas recomendadas de seguridad más recientes. Puede tener ambas versiones del estándar habilitadas al mismo tiempo. Para obtener información sobre cómo habilitar estándares, consulte Habilitación de un estándar de seguridad. Si actualmente usa la versión v3.2.1 pero desea usar únicamente la v4.0.1, habilite primero la versión más reciente antes de desactivar la versión anterior. Esto evita deficiencias en las comprobaciones de seguridad. Si usa la integración del CSPM de Security Hub con AWS Organizations y desea habilitar la versión 4.0.1 de forma masiva en varias cuentas, recomendamos usar la configuración centralizada para hacerlo.

Las siguientes secciones especifican qué controles se aplican a PCI DSS v3.2.1 y a PCI DSS v4.0.1.

Controles que se aplican a PCI DSS v3.2.1

La siguiente lista especifica qué controles del CSPM de Security Hub se aplican a PCI DSS v3.2.1. Para revisar los detalles de un control, seleccione el control.

[AutoScaling.1] Los grupos de escalado automático asociados con un equilibrador de carga deben usar comprobaciones de estado de ELB

[CloudTrail.2] CloudTrail debe tener habilitado el cifrado en reposo

[CloudTrail.3] Al menos un registro de seguimiento de CloudTrail debe habilitarse

[CloudTrail.4] La validación de archivo de registro de CloudTrail debe estar habilitada

[CloudTrail.5] Las rutas de CloudTrail deben integrarse con Registros de Amazon CloudWatch

[CloudWatch.1] Debe existir un filtro de métrica de registro y una alarma para el uso del usuario “raíz”

[CodeBuild.1] Las URL del repositorio de origen de Bitbucket de CodeBuild no deben contener credenciales confidenciales

[CodeBuild.2] Las variables de entorno del proyecto de CodeBuild no deben contener credenciales de texto sin cifrar

[Config.1] AWS Config debe estar habilitado y usar el rol vinculado al servicio para el registro de recursos

[DMS.1] Las instancias de replicación de Database Migration Service no deben ser públicas

[EC2.1] Las instantáneas de Amazon EBS no se deben poder restaurar públicamente

[EC2.2] Los grupos de seguridad predeterminados de VPC no deben permitir el tráfico entrante ni saliente

[EC2.6] El registro de flujo de VPC debe estar habilitado en todas las VPC

[EC2.12] Los EIP EC2 de Amazon sin utilizar deben eliminarse

[EC2.13] Los grupos de seguridad no deben permitir la entrada desde 0.0.0.0/0 o ::/0 al puerto 22

[ELB.1] El equilibrador de carga de aplicación debe configurarse para redirigir todas las solicitudes HTTP a HTTPS

[ES.1] Los dominios de Elasticsearch deben tener habilitado el cifrado en reposo

[ES.2] Los dominios de Elasticsearch no deben ser de acceso público

[GuardDuty.1] Debe habilitarse GuardDuty

[IAM.1] Las políticas de IAM no deben permitir privilegios administrativos completos “*”

[IAM.2] Los usuarios de IAM no deben tener políticas de IAM asociadas

[IAM.4] La clave de acceso del usuario raíz de IAM no debería existir

[PCI.IAM.6] La MFA de hardware debe estar habilitada para el usuario raíz

[IAM.8] Deben eliminarse las credenciales de usuario de IAM no utilizadas

[IAM.9] La MFA debe estar habilitada para el usuario raíz

[IAM.10] Las políticas de contraseñas para usuarios de IAM deben tener configuraciones seguras

[IAM.19] MFA se debe habilitar para todos los usuarios de IAM

La rotación de claves AWS KMS [KMS.4] debe estar habilitada

[Lambda.1] Las políticas de función de Lambda deberían prohibir el acceso público

[Lambda.3] Las funciones de Lambda deben estar en una VPC

[Opensearch.1] Los dominios de OpenSearch deben tener activado el cifrado en reposo

[Opensearch.2] Los dominios de OpenSearch no deben ser de acceso público

[RDS.1] La instantánea de RDS debe ser privada

[RDS.2] Las instancias de base de datos de RDS deben prohibir el acceso público, en función de la configuración PubliclyAccessible

[Redshift.1] Los clústeres de Amazon Redshift deberían prohibir el acceso público

[S3.1] Los buckets de uso general de S3 deben tener habilitado el bloqueo de acceso público

[S3.2] Los buckets de uso general de S3 deben bloquear el acceso público de lectura

[S3.3] Los buckets de uso general de S3 deben bloquear el acceso público de escritura

[S3.5] En las solicitudes de los buckets de uso general de S3, se debe pedir el uso de SSL

[S3.7] Los buckets de uso general de S3 deben usar la replicación entre regiones

Las instancias de cuaderno de Amazon SageMaker [SageMaker.1] no deberían tener acceso directo a Internet

[SSM.1] Las instancias de Amazon EC2 deben administrarse mediante AWS Systems Manager

[SSM.2] Las instancias EC2 de Amazon administradas por Systems Manager deben tener un estado de conformidad de parche de COMPLIANT después de la instalación de un parche

[SSM.3] Las instancias Amazon EC2 administradas por Systems Manager deben tener el estado de conformidad de la asociación de COMPLIANT

Controles que se aplican a PCI DSS v4.0.1

La siguiente lista especifica qué controles del CSPM de Security Hub se aplican a PCI DSS v4.0.1. Para revisar los detalles de un control, seleccione el control.

[ACM.1] Los certificados importados y emitidos por ACM deben renovarse después de un período de tiempo específico

[ACM.2] Los certificados RSA administrados por ACM deben utilizar una longitud de clave de al menos 2048 bits

[APIGateway.9] El registro de acceso debe configurarse para las etapas V2 de API Gateway

[AppSync.2] AWS AppSync debe tener habilitado el registro a nivel de campo

[AutoScaling.3] Las configuraciones de lanzamiento de grupos de escalado automático deben configurar las instancias de EC2 para que requieran servicio de metadatos de instancias versión 2 (IMDSv2) (IMDSv2)

[AutoScaling.5] Las instancias de Amazon EC2 lanzadas mediante configuraciones de lanzamiento de grupo de escalado automático no deben tener direcciones IP públicas

[CloudFront.1] Las distribuciones de CloudFront deben tener configurado un objeto raíz predeterminado

[CloudFront.10] Las distribuciones de CloudFront no deben usar protocolos SSL obsoletos entre las ubicaciones periféricas y los orígenes personalizados

[CloudFront.12] Las distribuciones de CloudFront no deben apuntar a orígenes S3 inexistentes

[CloudFront.3] Las distribuciones de CloudFront deberían requerir el cifrado en tránsito

[CloudFront.5] Las distribuciones de CloudFront deben tener el registro habilitado

[CloudFront.6] Las distribuciones de CloudFront deben tener WAF habilitado

[CloudFront.9] Las distribuciones de CloudFront deben cifrar el tráfico a orígenes personalizados

[CloudTrail.2] CloudTrail debe tener habilitado el cifrado en reposo

[CloudTrail.3] Al menos un registro de seguimiento de CloudTrail debe habilitarse

[CloudTrail.4] La validación de archivo de registro de CloudTrail debe estar habilitada

[CloudTrail.6] Asegúrese de que el bucket de S3 utilizado para almacenar los registros de CloudTrail no sea de acceso público

[CloudTrail.7] Asegúrese de que el registro de acceso al bucket S3 esté habilitado en el bucket S3 de CloudTrail

[CodeBuild.1] Las URL del repositorio de origen de Bitbucket de CodeBuild no deben contener credenciales confidenciales

[CodeBuild.2] Las variables de entorno del proyecto de CodeBuild no deben contener credenciales de texto sin cifrar

[CodeBuild.3] Los registros de CodeBuild S3 deben estar cifrados

[DMS.1] Las instancias de replicación de Database Migration Service no deben ser públicas

[DMS.10] Los puntos de conexión de DMS para las bases de datos de Neptune deben tener habilitada la autorización de IAM

[DMS.11] Los puntos de conexión de DMS para MongoDB deben tener un mecanismo de autenticación habilitado

[DMS.12] Los puntos de conexión de DMS para Redis OSS deben tener el TLS habilitado

[DMS.6] Las instancias de replicación de DMS deben tener habilitada la actualización automática de las versiones secundarias

[DMS.7] Las tareas de replicación de DMS para la base de datos de destino deben tener habilitado el registro

[DMS.8] Las tareas de replicación del DMS para la base de datos de origen deben tener habilitado el registro

[DMS.9] Los puntos finales del DMS deben usar SSL

[DocumentDb.2] Los clústeres de Amazon DocumentDB deben tener un período de retención de copias de seguridad adecuado

[DocumentDb.3] Las instantáneas de clústeres manuales de Amazon DocumentDB no deben ser públicas

[DocumentDb.4] Los clústeres de Amazon DocumentDB deben publicar registros de auditoría en CloudWatch Logs

[DynamoDB.7] Los clústeres del Acelerador de DynamoDB deben estar cifrados en tránsito

[EC2.13] Los grupos de seguridad no deben permitir la entrada desde 0.0.0.0/0 o ::/0 al puerto 22

[EC2.14] Los grupos de seguridad no deben permitir la entrada desde 0.0.0.0/0 o ::/0 al puerto 3389

[EC2.15] Las subredes de Amazon EC2 no deben asignar automáticamente direcciones IP públicas

[EC2.16] Deben eliminarse las listas de control de acceso a la red no utilizadas

[EC2.170] Las plantillas de lanzamiento de EC2 deben utilizar el servicio de metadatos de instancias versión 2 (IMDSv2)

[EC2.171] Las conexiones VPN de EC2 deben tener el registro habilitado

[EC2.21] Las ACL de red no deben permitir la entrada desde 0.0.0.0.0/0 al puerto 22 o al puerto 3389

[EC2.25] Las plantillas de lanzamiento de Amazon EC2 no deben asignar direcciones IP públicas a las interfaces de red

[EC2.51] Los puntos de conexión de Client VPN de EC2 deben tener habilitado el registro de conexiones de clientes

[EC2.53] Los grupos de seguridad de EC2 no deberían permitir la entrada de 0.0.0.0/0 a los puertos de administración de servidores remotos

[EC2.54] Los grupos de seguridad de EC2 no deberían permitir la entrada de ::/0 a los puertos de administración de servidores remotos

[EC2.8] Las instancias EC2 deben utilizar el servicio de metadatos de instancias versión 2 (IMDSv2)

[ECR.1] Los repositorios privados del ECR deben tener configurado el escaneo de imágenes

[ECS.10] Los servicios Fargate de ECS deberían ejecutarse en la última versión de la plataforma Fargate

[ECS.16] Los conjuntos de tareas de ECS no deben asignar automáticamente direcciones IP públicas

[ECS.2] Los servicios de ECS no deberían tener direcciones IP públicas asignadas automáticamente

[ECS.8] Los secretos no deben pasarse como variables de entorno del contenedor

[EFS.4] Los puntos de acceso EFS deben imponer una identidad de usuario

[EKS.1] Los puntos de enlace del clúster EKS no deben ser de acceso público

[EKS.2] Los clústeres de EKS deberían ejecutarse en una versión de Kubernetes compatible

[EKS.3] Los clústeres de EKS deben usar secretos de Kubernetes cifrados

[EKS.8] Los clústeres de EKS deben tener habilitado el registro de auditoría

[ElastiCache.2] Los clústeres de ElastiCache deben tener habilitadas las actualizaciones automáticas de versiones secundarias

[ElastiCache.5] Los grupos de replicación de ElastiCache (Redis OSS) deben cifrarse en tránsito

[ElastiCache.6] Los grupos de replicación de ElastiCache (Redis OSS) de versiones anteriores de Redis deben tener Redis OSS AUTH activado

[ElasticBeanstalk.2] Las actualizaciones de la plataforma gestionada de Elastic Beanstalk deben estar habilitadas

[ElasticBeanstalk.3] Elastic Beanstalk debería transmitir los registros a CloudWatch

[ELB.12] Equilibrador de carga de aplicación debe configurarse con el modo defensivo o de mitigación de desincronización más estricto

[ELB.14] El Equilibrador de carga clásico debe configurarse con el modo defensivo o de mitigación de desincronización más estricto

[ELB.3] Los oyentes de Equilibrador de carga clásico deben configurarse con una terminación HTTPS o TLS

[ELB.4] El equilibrador de carga de aplicación debe configurarse para eliminar los encabezados http no válidos

[ELB.8] Los equilibradores de carga clásicos con detectores SSL deben usar una política de seguridad predefinida que tenga una duración sólida de AWS Config

[EMR.1] Los nodos maestros del clúster de Amazon EMR no deben tener direcciones IP públicas

[EMR.2] La configuración de bloqueo del acceso público de Amazon EMR debe estar habilitada

[ES.2] Los dominios de Elasticsearch no deben ser de acceso público

[ES.3] Los dominios de Elasticsearch deben cifrar los datos enviados entre nodos

[ES.5] Los dominios de Elasticsearch deben tener habilitado el registro de auditoría

[ES.8] Las conexiones a dominios de Elasticsearch deben estar cifradas conforme a la política de seguridad TLS más reciente

[EventBridge.3] Los buses de eventos personalizados de EventBridge deben tener adjunta una política basada en recursos

[GuardDuty.1] Debe habilitarse GuardDuty

[GuardDuty.10] La protección de S3 en GuardDuty debe habilitarse

[GuardDuty.6] La protección de Lambda en GuardDuty debe habilitarse

[GuardDuty.7] La supervisión en tiempo de ejecución de EKS en GuardDuty debe estar habilitada

[GuardDuty.9] La protección de RDS en GuardDuty debe habilitarse

[IAM.3] Las claves de acceso de los usuarios de IAM deben rotarse cada 90 días o menos

[IAM.5] MFA debe estar habilitado para todos los usuarios de IAM que tengan una contraseña de consola

[PCI.IAM.6] La MFA de hardware debe estar habilitada para el usuario raíz

[IAM.7] Las políticas de contraseñas para usuarios de IAM deben tener configuraciones seguras

[IAM.8] Deben eliminarse las credenciales de usuario de IAM no utilizadas

[IAM.9] La MFA debe estar habilitada para el usuario raíz

[IAM.11] Asegurar que la política de contraseñas de IAM requiera al menos una letra mayúscula

[IAM.12] Asegurar que la política de contraseñas de IAM requiera al menos una letra minúscula

[IAM.14] Asegurar que la política de contraseñas de IAM requiera al menos un número

[IAM.16] Asegurar que la política de contraseñas de IAM impida la reutilización de contraseñas

[IAM.17] Asegurar que la política de contraseñas de IAM haga caducar las contraseñas al cabo de 90 días o menos

[IAM.18] Asegurar que se ha creado un rol de soporte para administrar incidentes con AWS Support

[IAM.19] MFA se debe habilitar para todos los usuarios de IAM

[Inspector.1] El análisis de EC2 en Amazon Inspector debe estar habilitado

[Inspector.2] El análisis de ECR en Amazon Inspector debe estar habilitado

[Inspector.3] El análisis de código de Lambda en Amazon Inspector debe estar habilitado

[Inspector.4] El análisis estándar de Lambda en Amazon Inspector debe estar habilitado

La rotación de claves AWS KMS [KMS.4] debe estar habilitada

[Lambda.1] Las políticas de función de Lambda deberían prohibir el acceso público

[Lambda.2] Las funciones de Lambda deben usar los tiempos de ejecución admitidos

[MQ.2] Los agentes de ActiveMQ deberían transmitir los registros de auditoría a CloudWatch

[MQ.3] Los agentes de Amazon MQ deben tener habilitada la actualización automática de las versiones secundarias

[MSK.1] Los clústeres de MSK deben cifrarse en tránsito entre los nodos intermediarios

[MSK.3] Los conectores de MSK Connect deben cifrarse en tránsito

[Neptune.2] Los clústeres de base de datos de Neptune tienen que publicar registros de auditoría en CloudWatch Logs

[Neptune.3] Las instantáneas del clúster de base de datos de Neptune no deben ser públicas

[Opensearch.10] Los dominios de OpenSearch deben tener instalada la última actualización de software

Los dominios de OpenSearch [Opensearch.5] deben tener habilitado el registro de auditoría

Las actualizaciones automáticas de las versiones secundarias de RDS [RDS.13] deben estar habilitadas

[RDS.2] Las instancias de base de datos de RDS deben prohibir el acceso público, en función de la configuración PubliclyAccessible

Las suscripciones de notificación de eventos de RDS [RDS.20] existentes deben configurarse para eventos críticos de instancias de bases de datos

Se debe configurar una suscripción a las notificaciones de eventos de RDS [RDS.21] para los eventos críticos de los grupos de parámetros de bases de datos

Se debe configurar una suscripción a las notificaciones de eventos de RDS [RDS.22] para los eventos críticos de los grupos de seguridad de bases de datos

Los clústeres de bases de datos de RDS [RDS.24] deben usar un nombre de usuario de administrador personalizado

Las instancias de bases de datos de RDS [RDS.25] deben usar un nombre de usuario de administrador personalizado

Los clústeres de base de datos Aurora MySQL [RDS.34] deben publicar registros de auditoría en CloudWatch Logs

Los clústeres de bases de datos de RDS [RDS.35] deben tener habilitada la actualización automática de las versiones secundarias

[RDS.36] Las instancias de base de datos de RDS para PostgreSQL deben publicar los registros en Registros de CloudWatch

[RDS.37] Los clústeres de base de datos Aurora PostgreSQL deben publicar registros en Registros de CloudWatch

[RDS.9] Las instancias de base de datos de RDS deben publicar los registros en Registros de CloudWatch

[Redshift.1] Los clústeres de Amazon Redshift deberían prohibir el acceso público

[Redshift.15] Los grupos de seguridad de Redshift deberían permitir la entrada en el puerto del clúster solo desde orígenes restringidos

Las conexiones a los clústeres de Amazon Redshift [Redshift.2] deben cifrarse en tránsito

Los clústeres de Amazon Redshift [Redshift.4] deben tener habilitado el registro de auditoría

Las zonas alojadas públicas de Route 53 [Route53.2] deben registrar las consultas de DNS

[S3.1] Los buckets de uso general de S3 deben tener habilitado el bloqueo de acceso público

[S3.15] Los buckets de uso general de S3 deben tener habilitado el bloqueo de objetos

[S3.17] Los buckets de uso general de S3 deben cifrarse en reposo con AWS KMS keys

[S3.19] Los puntos de acceso de S3 deben tener habilitada la configuración de Bloqueo de acceso público

[S3.22] Los buckets de uso general de S3 deben registrar eventos de escritura a nivel de objeto

[S3.23] Los buckets de uso general de S3 deben registrar eventos de lectura a nivel de objeto

[S3.24] Los puntos de acceso de varias regiones de S3 deben tener habilitado el bloqueo de acceso público

[S3.5] En las solicitudes de los buckets de uso general de S3, se debe pedir el uso de SSL

[S3.8] Los buckets de uso general de S3 deben bloquear el acceso público

[S3.9] Los buckets de uso general de S3 deben tener habilitado el registro de acceso al servidor

Las instancias de cuaderno de Amazon SageMaker [SageMaker.1] no deberían tener acceso directo a Internet

Los secretos de Secrets Manager [SecretsManager.1] deberían tener habilitada la renovación automática

Los secretos de Secrets Manager [SecretsManager.2] configurados con renovación automática deberían renovarse correctamente

Los secretos de Secrets Manager [SecretsManager.4] deben renovarse en un número específico de días

[SSM.2] Las instancias EC2 de Amazon administradas por Systems Manager deben tener un estado de conformidad de parche de COMPLIANT después de la instalación de un parche

[SSM.3] Las instancias Amazon EC2 administradas por Systems Manager deben tener el estado de conformidad de la asociación de COMPLIANT

Las máquinas de estado de Step Functions [StepFunctions.1] deberían tener el registro activado

[Transfer.2] Los servidores de Transfer Family no deben utilizar el protocolo FTP para la conexión del punto de conexión

El registro de AWS WAF [WAF.1] ACL web global clásica debe estar habilitado

El registro de ACL web de AWS WAF [WAF.11] debe estar habilitado