Standar Keamanan Data Industri Kartu Pembayaran (PCI DSS)

Standar Keamanan Data Industri Kartu Pembayaran (PCI DSS) di Security Hub menyediakan serangkaian praktik terbaik AWS keamanan untuk menangani data pemegang kartu. Anda dapat menggunakan standar ini untuk menemukan kerentanan keamanan dalam sumber daya yang menangani data pemegang kartu. Security Hub saat ini mencakup kontrol di tingkat akun. Kami menyarankan Anda mengaktifkan kontrol ini di semua akun Anda yang memiliki sumber daya yang menyimpan, memproses, atau mengirimkan data pemegang kartu.

Standar ini divalidasi oleh AWS Security Assurance Services LLC (AWS SAS), yang merupakan tim Qualified Security Assesors (QSAs) yang disertifikasi untuk memberikan panduan PCI DSS, dan penilaian oleh PCI DSS Security Standards Council (PCI SSC). AWS SAS telah mengkonfirmasi bahwa pemeriksaan otomatis dapat membantu pelanggan dalam mempersiapkan penilaian PCI DSS.

Halaman ini berisi daftar ID dan judul kontrol keamanan. Di Wilayah AWS GovCloud (US) Region dan China, ID dan judul kontrol khusus standar digunakan. Untuk pemetaan ID kontrol keamanan dan judul ke ID dan judul kontrol khusus standar, lihat. Bagaimana konsolidasi memengaruhi ID dan judul kontrol

Kontrol yang berlaku untuk PCI DSS

[AutoScaling.1] Grup Auto Scaling yang terkait dengan penyeimbang beban harus menggunakan pemeriksaan kesehatan ELB

[CloudTrail.2] CloudTrail harus mengaktifkan enkripsi saat istirahat

[CloudTrail.3] Setidaknya satu CloudTrail jejak harus diaktifkan

[CloudTrail.4] validasi file CloudTrail log harus diaktifkan

[CloudTrail.5] CloudTrail jalur harus diintegrasikan dengan Amazon Logs CloudWatch

[CloudWatch.1] Filter metrik log dan alarm harus ada untuk penggunaan pengguna “root”

[CodeBuild.1] URL repositori sumber CodeBuild Bitbucket tidak boleh berisi kredensyal sensitif

[CodeBuild.2] variabel lingkungan CodeBuild proyek tidak boleh berisi kredensil teks yang jelas

[Config.1] AWS Config harus diaktifkan dan menggunakan peran terkait layanan untuk perekaman sumber daya

[DMS.1] Instans replikasi Layanan Migrasi Database tidak boleh bersifat publik

[EC2.1] Snapshot Amazon EBS tidak boleh dipulihkan secara publik

[EC2.2] Grup keamanan default VPC tidak boleh mengizinkan lalu lintas masuk atau keluar

[EC2.6] Pencatatan aliran VPC harus diaktifkan di semua VPC

[EC2.12] EIP Amazon EC2 yang tidak digunakan harus dihapus

[EC2.13] Grup keamanan tidak boleh mengizinkan masuknya dari 0.0.0.0/0 atau: :/0 ke port 22

[ELB.1] Application Load Balancer harus dikonfigurasi untuk mengalihkan semua permintaan HTTP ke HTTPS

[ES.1] Domain Elasticsearch harus mengaktifkan enkripsi saat istirahat

[ES.2] Domain Elasticsearch tidak boleh diakses publik

[GuardDuty.1] GuardDuty harus diaktifkan

[IAM.1] Kebijakan IAM seharusnya tidak mengizinkan hak administratif “*” penuh

[IAM.2] Pengguna IAM seharusnya tidak memiliki kebijakan IAM yang dilampirkan

[IAM.4] Kunci akses pengguna root IAM seharusnya tidak ada

[IAM.6] MFA perangkat keras harus diaktifkan untuk pengguna root

[IAM.8] Kredensyal pengguna IAM yang tidak digunakan harus dihapus

[IAM.9] MFA harus diaktifkan untuk pengguna root

[IAM.10] Kebijakan kata sandi untuk pengguna IAM harus memiliki urasi yang kuat AWS Config

[IAM.19] MFA harus diaktifkan untuk semua pengguna IAM

[KMS.4] rotasi AWS KMS tombol harus diaktifkan

[Lambda.1] Kebijakan fungsi Lambda harus melarang akses publik

[Lambda.3] Fungsi Lambda harus dalam VPC

[Opensearch.1] OpenSearch domain harus mengaktifkan enkripsi saat istirahat

[Opensearch.2] OpenSearch domain tidak boleh diakses publik

[RDS.1] Snapshot RDS harus pribadi

[RDS.2] Instans RDS DB harus melarang akses publik, sebagaimana ditentukan oleh urasi PubliclyAccessible AWS Config

[Redshift.1] Cluster Amazon Redshift harus melarang akses publik

[S3.1] Bucket tujuan umum S3 harus mengaktifkan pengaturan akses publik blok

[S3.2] Bucket tujuan umum S3 harus memblokir akses baca publik

[S3.3] Bucket tujuan umum S3 harus memblokir akses tulis publik

[S3.5] Bucket tujuan umum S3 harus memerlukan permintaan untuk menggunakan SSL

[S3.7] Ember tujuan umum S3 harus menggunakan replikasi lintas wilayah

[SageMaker.1] Instans SageMaker notebook Amazon seharusnya tidak memiliki akses internet langsung

[SSM.1] Instans Amazon EC2 harus dikelola oleh AWS Systems Manager

[SSM.2] Instans Amazon EC2 yang dikelola oleh Systems Manager harus memiliki status kepatuhan patch COMPLIANT setelah instalasi patch

[SSM.3] Instans Amazon EC2 yang dikelola oleh Systems Manager harus memiliki status kepatuhan asosiasi COMPLIANT