As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

PCI DSS no Security Hub CSPM

O Padrão de Segurança de Dados do Setor de Cartões de Pagamento (PCI DSS) é uma estrutura de conformidade terceirizada que fornece um conjunto de regras e diretrizes para lidar com segurança com informações de cartões de crédito e débito. O PCI Security Standards Council (SSC) cria e atualiza essa estrutura.

AWS O Security Hub Cloud Security Posture Management (CSPM) fornece um padrão PCI DSS que pode ajudar você a manter a conformidade com essa estrutura de terceiros. Você pode usar esse padrão para descobrir vulnerabilidades de segurança em AWS recursos que lidam com dados de titulares de cartões. Recomendamos habilitar esse padrão para Contas da AWS que haja recursos que armazenem, processem ou transmitam dados do titular do cartão ou dados confidenciais de autenticação. As avaliações do PCI SSC validaram esse padrão.

O Security Hub CSPM oferece suporte para PCI DSS v3.2.1 e PCI DSS v4.0.1. Recomendamos usar a versão 4.0.1 para se manter atualizado com as melhores práticas de segurança. Você pode ter as duas versões do padrão ativadas ao mesmo tempo. Para obter informações sobre a habilitação de padrões, consulteHabilitar um padrão de segurança. Se você usa atualmente a v3.2.1, mas deseja usar somente a v4.0.1, habilite a versão mais recente antes de desativar a versão mais antiga. Isso evita falhas em suas verificações de segurança. Se você usa a integração CSPM do Security Hub com AWS Organizations e deseja habilitar em lote a v4.0.1 em várias contas, recomendamos usar a configuração central para fazer isso.

As seções a seguir especificam quais controles se aplicam ao PCI DSS v3.2.1 e ao PCI DSS v4.0.1.

Controles que se aplicam ao PCI DSS v3.2.1

A lista a seguir especifica quais controles do AWS Security Hub Cloud Security Posture Management (CSPM) se aplicam ao PCI DSS v3.2.1. Para revisar os detalhes de um controle, escolha o controle.

[AutoScaling.1] Grupos de Auto Scaling associados a um balanceador de carga devem usar verificações de integridade do ELB

[CloudTrail.2] CloudTrail deve ter a criptografia em repouso habilitada

[CloudTrail.3] Pelo menos uma CloudTrail trilha deve estar habilitada

[CloudTrail.4] a validação do arquivo de CloudTrail log deve estar habilitada

[CloudTrail.5] CloudTrail trilhas devem ser integradas ao Amazon CloudWatch Logs

CloudWatchUm filtro de métrica de log e um alarme devem existir para o uso do usuário “raiz”

[CodeBuild.1] O repositório CodeBuild de origem do Bitbucket não URLs deve conter credenciais confidenciais

[CodeBuild.2] as variáveis de ambiente CodeBuild do projeto não devem conter credenciais de texto não criptografado

[Config.1] AWS Config deve estar habilitado e usar a função vinculada ao serviço para gravação de recursos

[DMS.1] As instâncias de replicação do Database Migration Service não devem ser públicas

[EC2.1] Os snapshots do Amazon EBS não devem ser restauráveis publicamente

[EC22] Os grupos de segurança padrão da VPC não devem permitir o tráfego de entrada e saída

[EC2.6] O registro em log do fluxo de VPC deve ser ativado em todos VPCs

[EC2.12] A Amazon não utilizada EC2 EIPs deve ser removida

[EC2.13] Os grupos de segurança não devem permitir a entrada de 0.0.0/0 ou: :/0 na porta 22

[ELBv2.1] O Application Load Balancer deve ser configurado para redirecionar todas as solicitações HTTP para HTTPS

[ES.1] Os domínios do Elasticsearch devem ter a criptografia em repouso habilitada.

[ES.2] Os domínios do Elasticsearch não devem ser publicamente acessíveis

[GuardDuty.1] GuardDuty deve ser ativado

[IAM.1] As políticas do IAM não devem permitir privilégios administrativos completos "*"

[IAM.2] Os usuários do IAM não devem ter políticas do IAM anexadas

[IAM.4] A chave de acesso do usuário raiz do IAM não deve existir

[IAM.6] A MFA de hardware deve estar habilitada para o usuário raiz

[IAM.8] As credenciais de usuário do IAM não utilizadas devem ser removidas

[IAM.9] A MFA deve estar habilitada para o usuário raiz

[IAM.7] Políticas de senha para usuários do IAM que devem ter configurações fortes

[IAM.19] A MFA deve estar habilitada para todos os usuários do IAM

A rotação de AWS KMS teclas [KMS.4] deve estar ativada

[Lambda.1] As funções do Lambda.1 devem proibir o acesso público

[Lambda.3] As funções do Lambda devem estar em uma VPC

Os OpenSearch domínios [Opensearch.1] devem ter a criptografia em repouso ativada

Os OpenSearch domínios [Opensearch.2] não devem ser acessíveis ao público

[RDS.1] Os instantâneos do RDS devem ser privados

[RDS.2] As instâncias de banco de dados do RDS devem proibir o acesso público, conforme determinado pela configuração PubliclyAccessible

[PCI.Redshift.1] Os clusters do Amazon Redshift devem proibir o acesso público

[S3.1] Os buckets de uso geral do S3 devem ter as configurações de bloqueio de acesso público habilitadas

[S3.2] Os buckets de uso geral do S3 devem bloquear o acesso público para leitura

[S3.3] Os buckets de uso geral do S3 devem bloquear o acesso público para gravação

[S3.5] Os buckets de uso geral do S3 devem exigir que as solicitações usem SSL

[S3.7] Os buckets de uso geral do S3 devem usar a replicação entre regiões

[SageMaker.1] As instâncias de SageMaker notebooks da Amazon não devem ter acesso direto à Internet

PCI.SSM.3 As EC2 instâncias da Amazon devem ser gerenciadas pelo AWS Systems Manager

[PCI.SSM.1] EC2 As instâncias da Amazon gerenciadas pelo devem ter um status de conformidade de patch de COMPLIANT (Em conformidade) após a instalação do patch

[PCI.SSM.3] EC2 As instâncias da Amazon gerenciadas pelo devem ter um status de conformidade de associação de COMPATÍVEL

Controles que se aplicam ao PCI DSS v4.0.1

A lista a seguir especifica quais controles do AWS Security Hub Cloud Security Posture Management (CSPM) se aplicam ao PCI DSS v4.0.1. Para revisar os detalhes de um controle, escolha o controle.

[ACM.1] Os certificados importados e emitidos pelo ACM devem ser renovados após um período de tempo especificado

[ACM.2] Os certificados RSA gerenciados pelo ACM devem usar um comprimento de chave de pelo menos 2.048 bits

[APIGateway.9] O registro de acesso deve ser configurado para os estágios V2 do API Gateway

[AppSync.2] AWS AppSync deve ter o registro em nível de campo ativado

[AutoScaling.3] As configurações de lançamento em grupo do Auto Scaling devem EC2 configurar as instâncias para exigir o Instance Metadata Service versão 2 () IMDSv2

[Autoscaling.5] As instâncias da EC2 Amazon lançadas usando as configurações de execução em grupo do Auto Scaling não devem ter endereços IP públicos

[CloudFront.1] CloudFront As distribuições devem ter um objeto raiz padrão configurado

[CloudFront.10] CloudFront As distribuições não devem usar protocolos SSL obsoletos entre pontos de presença e origens personalizadas

[CloudFront.12] CloudFront As distribuições não devem apontar para origens inexistentes do S3

[CloudFront.3] CloudFront As distribuições devem exigir criptografia em trânsito

[CloudFront.5] CloudFront As distribuições devem ter o registro de log ativado

[CloudFront.6] as CloudFront distribuições devem ter a WAF ativada

[CloudFront.9] CloudFront As distribuições devem criptografar o tráfego para origens personalizadas

[CloudTrail.2] CloudTrail deve ter a criptografia em repouso habilitada

[CloudTrail.3] Pelo menos uma CloudTrail trilha deve estar habilitada

[CloudTrail.4] a validação do arquivo de CloudTrail log deve estar habilitada

[CloudTrail.6] Verifique se o bucket do S3 usado para armazenar CloudTrail registros não é acessível publicamente

[CloudTrail.7] Verifique se o registro de acesso ao bucket do S3 está habilitado no bucket do CloudTrail S3

[CodeBuild.1] O repositório CodeBuild de origem do Bitbucket não URLs deve conter credenciais confidenciais

[CodeBuild.2] as variáveis de ambiente CodeBuild do projeto não devem conter credenciais de texto não criptografado

[CodeBuild.3] Os registros do CodeBuild S3 devem ser criptografados

[DMS.1] As instâncias de replicação do Database Migration Service não devem ser públicas

[DMS.10] Os endpoints do DMS para bancos de dados Neptune devem ter a autorização do IAM habilitada

[DMS.11] Os endpoints do DMS para o MongoDB devem ter um mecanismo de autenticação habilitado

[DMS.12] Os endpoints do DMS para o Redis OSS devem ter o TLS habitado

[DMS.6] As instâncias de replicação do DMS devem ter a atualização automática de versões secundárias habilitada

[DMS.7] As tarefas de replicação do DMS para o banco de dados de destino devem ter o registro em log ativado

[DMS.8] As tarefas de replicação do DMS para o banco de dados de origem devem ter o registro em log ativado

[DMS.9] Os endpoints do DMS devem usar SSL

[DocumentDB.2] Os clusters do Amazon DocumentDB devem ter um período de retenção de backup adequado

[DocumentDB.3] Os instantâneos manuais do cluster do Amazon DocumentDB não devem ser públicos

[DocumentDB.4] Os clusters do Amazon DocumentDB devem publicar registros de auditoria no Logs CloudWatch

[DynamoDB.7] Os clusters do acelerador do DynamoDB devem ser criptografados em trânsito

[EC2.13] Os grupos de segurança não devem permitir a entrada de 0.0.0/0 ou: :/0 na porta 22

[EC2.14] Os grupos de segurança não devem permitir a entrada de 0.0.0/0 ou: :/0 na porta 3389

[EC2.15] As EC2 sub-redes da Amazon não devem atribuir automaticamente endereços IP públicos

[EC2.16] As listas de controle de acesso à rede não utilizadas devem ser removidas

Os modelos de EC2 inicialização devem usar o Instance Metadata Service versão 2 () EC2 IMDSv2

[EC2.171] As conexões de EC2 VPN devem ter o registro em log habilitado

[EC2.21] A rede não ACLs deve permitir a entrada de 0.0.0.0/0 para a porta 22 ou porta 3389

[EC2.25] Os modelos de EC2 lançamento da Amazon não devem atribuir interfaces públicas IPs às de rede

[EC2.51] Os endpoints da EC2 Client VPN devem ter o registro em log de conexão do cliente habilitado

[EC2.53] os grupos EC2 de segurança não devem permitir a entrada de 0,0.0.0/0 nas portas de administração de servidor remoto

[EC2.54] os grupos EC2 de segurança não devem permitir a entrada de: :0 nas portas de administração de servidor remoto

[EC2.8] as EC2 instâncias devem usar o Instance Metadata Service versão 2 () IMDSv2

[ECR.1] Os repositórios privados do ECR devem ter a digitalização de imagens configurada

[ECS.10] Os serviços ECS Fargate devem ser executados na versão mais recente da plataforma Fargate

[ECS.16] Os conjuntos de tarefas do ECS não devem atribuir automaticamente endereços IP públicos

[ECS.2] Os serviços do ECS não devem ter endereços IP públicos atribuídos a eles automaticamente

[ECS.8] Os segredos não devem ser passados como variáveis de ambiente do contêiner

[EFS.4] Os pontos de acesso do EFS devem executar uma identidade de usuário

[EKS.1] Os endpoints do cluster EKS não devem ser acessíveis ao público

[EKS.2] Os clusters EKS devem ser executados em uma versão compatível do Kubernetes

[EKS.3] Os clusters do EKS devem usar segredos criptografados do Kubernetes

[EKS.8] Os clusters do EKS devem ter o registro em log de auditoria habilitado

[ElastiCache.2] os ElastiCache clusters devem ter atualizações automáticas de versões secundárias habilitadas

[ElastiCache.5] os grupos de ElastiCache replicação devem ser criptografados em trânsito

[ElastiCache.6] ElastiCache (Redis OSS) grupos de replicação de versões anteriores devem ter o Redis OSS AUTH ativado

[ElasticBeanstalk.2] As atualizações da plataforma gerenciada do Elastic Beanstalk devem estar habilitadas

[ElasticBeanstalk.3] O Elastic Beanstalk deve transmitir registros para CloudWatch

[ELB.12] O Application Load Balancer deve ser configurado com o modo defensivo ou com o modo de mitigação de dessincronização mais rigoroso

O Classic Load Balancer deve ser configurado com o modo defensivo ou com o modo de mitigação de dessincronização mais rigoroso

Os receptores do Classic Load Balancer devem ser configurados com terminação HTTPS ou TLS

[ELB.4] O Application Load Balancer deve ser configurado para descartar cabeçalhos http inválidos

[ELB.8] Os Classic Load Balancers com receptores SSL devem usar uma política de segurança predefinida que tenha uma configuração forte AWS Config

[EMR.1] Os nós primários do cluster do Amazon EMR não devem ter endereços IP públicos

[EMR.2] A configuração de bloqueio de acesso público do Amazon EMR deve estar habilitada

[ES.2] Os domínios do Elasticsearch não devem ser publicamente acessíveis

[ES.3] Os domínios do Elasticsearch devem criptografar os dados enviados entre os nós

[ES.5] Os domínios do Elasticsearch devem ter o registro em log de auditoria ativado

[ES.8] As conexões com os domínios do Elasticsearch devem ser criptografadas usando a política de segurança TLS mais recente

[EventBridge.3] os ônibus de eventos EventBridge personalizados devem ter uma política baseada em recursos anexada

[GuardDuty.1] GuardDuty deve ser ativado

[GuardDuty.10] A proteção do GuardDuty S3 deve estar habilitada

[GuardDuty.6] A Proteção do GuardDuty Lambda deve estar habilitada

[GuardDuty.7] O Monitoramento de Runtime do GuardDuty EKS deve estar habilitado

[GuardDuty.9] A proteção do GuardDuty RDS deve estar habilitada

1.5 Certifique-se de que política de senha do IAM exija pelo menos uma letra maiúscula

1.6 Certifique-se de que política de senha do IAM exija pelo menos uma letra minúscula

1.7 Certifique-se de que política de senha do IAM exija pelo menos um símbolo

Certifique-se de que política de senha do IAM exija pelo menos um número

1.10 Certifique-se de que a política de senha do IAM impeça a reutilização de senhas

1.11 Certifique-se de que a política de senha do IAM expire senhas em até 90 dias ou menos

[IAM.18] Certifique-se de que um perfil de suporte tenha sido criado para gerenciar incidentes com AWS Support

[IAM.19] A MFA deve estar habilitada para todos os usuários do IAM

[IAM.3] As chaves de acesso dos usuários do IAM devem ser mudadas a cada 90 dias ou menos

[IAM.5] A MFA deve estar habilitada para todos os usuários do IAM com uma senha do console

[IAM.6] A MFA de hardware deve estar habilitada para o usuário raiz

[IAM.7] As políticas de senha para usuários do IAM devem ter configurações fortes

[IAM.8] As credenciais de usuário do IAM não utilizadas devem ser removidas

[IAM.9] A MFA deve estar habilitada para o usuário raiz

[Inspector.1] O escaneamento do Amazon Inspector deve estar ativado EC2

[Inspector.2] A varredura do ECR do Amazon Inspector deve estar habilitada

[Inspector.3] A varredura de código do Lambda do Amazon Inspector deve estar habilitada

[Inspector.4] A varredura padrão do Lambda do Amazon Inspector deve estar habilitada

A rotação de AWS KMS teclas [KMS.4] deve estar ativada

[Lambda.1] As funções do Lambda.1 devem proibir o acesso público

[Lambda.2] As funções do Lambda devem usar os tempos de execução compatíveis

[MQ.2] Os corretores do ActiveMQ devem transmitir os registros de auditoria para CloudWatch

[MQ.3] Os agentes do Amazon MQ devem ter a atualização automática de versões secundárias habilitada

[MSK.1] Os clusters MSK devem ser criptografados em trânsito entre os nós do agente

[MSK.3] Os conectores da MSK Connect devem ser criptografados em trânsito

[Neptune.2] Os clusters de banco de dados Neptune devem publicar registros de auditoria no Logs CloudWatch

[Neptune.3] Os instantâneos do cluster de banco de dados do Neptune não devem ser públicos

Os OpenSearch domínios [Opensearch.10] devem ter a atualização de software mais recente instalada

Os OpenSearch domínios [Opensearch.5] devem ter o registro de auditoria ativado

[RDS.13] As atualizações automáticas de versões secundárias do RDS devem ser ativadas

[RDS.2] As instâncias de banco de dados do RDS devem proibir o acesso público, conforme determinado pela configuração PubliclyAccessible

[RDS.20] As assinaturas existentes de notificação de eventos do RDS devem ser configuradas para eventos críticos de instâncias de bancos de dados

[RDS.21] Uma assinatura de notificações de eventos do RDS deve ser configurada para eventos críticos do grupo de parâmetros do banco de dados

[RDS.22] Uma assinatura de notificações de eventos do RDS deve ser configurada para eventos críticos do grupo de segurança do banco de dados

[RDS.24] Os clusters de banco de dados do RDS devem usar um nome de usuário de administrador personalizado

[RDS.25] As instâncias de banco de dados do RDS devem usar um nome de usuário de administrador personalizado

[RDS.34] Os clusters de banco de dados Aurora MySQL devem publicar registros de auditoria no Logs CloudWatch

[RDS.35] Os clusters de banco de dados do RDS devem ter a atualização automática de versões secundárias ativada

[RDS.36] O RDS para instâncias de banco de dados PostgreSQL deve publicar registros em Logs CloudWatch

[RDS.37] Os clusters de banco de dados Aurora PostgreSQL devem publicar registros no Logs CloudWatch

[RDS.9] As instâncias de banco de dados do RDS devem publicar registros no Logs CloudWatch

[PCI.Redshift.1] Os clusters do Amazon Redshift devem proibir o acesso público

[Redshift.15] Os grupos de segurança do Redshift devem permitir a entrada somente na porta do cluster de origens restritas

[Redshift.2] As conexões com os clusters do Amazon Redshift devem ser criptografadas em trânsito

[Redshift.4] Os clusters do Amazon Redshift devem ter o registro de auditoria ativado

[Route53.2] As zonas hospedadas públicas do Route 53 devem registrar consultas de DNS

[S3.1] Os buckets de uso geral do S3 devem ter as configurações de bloqueio de acesso público habilitadas

[S3.15] Os buckets de uso geral do S3 devem ter o Bloqueio de Objetos habilitado

[S3.17] Os buckets de uso geral do S3 devem ser criptografados em repouso com AWS KMS keys

[S3.19] Os pontos de acesso do S3 devem ter configurações de bloqueio do acesso público habilitadas

[S3.22] Os buckets de uso geral do S3 devem registrar em log os eventos de gravação ao nível do objeto

[S3.23] Os buckets de uso geral do S3 devem registrar em log os eventos de leitura ao nível do objeto

[S3.24] Os pontos de acesso multirregionais do S3 devem ter as configurações de bloqueio do acesso público habilitadas

[S3.5] Os buckets de uso geral do S3 devem exigir que as solicitações usem SSL

[S3.8] Os buckets de uso geral do S3 devem bloquear o acesso público

[S3.9] Os buckets de uso geral do S3 devem ter o registro em log de acesso ao servidor habilitado

[SageMaker.1] As instâncias de SageMaker notebooks da Amazon não devem ter acesso direto à Internet

[SecretsManager.1] Os segredos do Secrets Manager devem ter a rotação automática ativada

[SecretsManager.2] Os segredos do Secrets Manager configurados com rotação automática devem girar com sucesso

[SecretsManager.4] Os segredos do Secrets Manager devem ser alternados dentro de um determinado número de dias

[PCI.SSM.1] EC2 As instâncias da Amazon gerenciadas pelo devem ter um status de conformidade de patch de COMPLIANT (Em conformidade) após a instalação do patch

[PCI.SSM.3] EC2 As instâncias da Amazon gerenciadas pelo devem ter um status de conformidade de associação de COMPATÍVEL

[StepFunctions.1] As máquinas de estado do Step Functions devem ter o registro ativado

[Transfer.2] Os servidores do Transfer Family não devem usar o protocolo FTP para conexão de endpoints

[WAF.1] O registro em log AWS WAF Classic Global Web ACL deve estar ativado

[WAF.11] O registro em log de ACL AWS WAF da web deve estar ativado