El paquete de cumplimiento de PCI DSS verifica sus recursos en la nube con base en los estándares de protección de datos de PCI DSS v4.0 para ayudarle a cumplir con los requisitos de seguridad de la industria de tarjetas de pago.
Contexto
PCI DSS (Payment Card Industry Data Security Standard) es un estándar global que proporciona bases técnicas y operativas para proteger los datos de los titulares de tarjetas.
Este paquete de cumplimiento se basa en los estándares de protección de datos de PCI DSS v4.0 y ofrece verificaciones de cumplimiento recomendadas para la gestión de recursos en la nube.
El estándar completo está disponible en el sitio web de PCI Security Standards.
Escenarios
Utilice este paquete si opera en la industria financiera, maneja datos sensibles de tarjetas de pago o tiene requisitos estrictos de seguridad de datos.
Reglas predeterminadas
Las plantillas de paquetes de cumplimiento proporcionan un marco general para escenarios específicos. Un recurso conforme cumple con la descripción de la regla, pero esto no garantiza el cumplimiento total de regulaciones específicas o estándares de la industria.
|
Nombre de la regla |
Descripción de la regla |
|
La recopilación de registros está habilitada para instancias de WAF |
Un recurso es conforme si la recopilación de registros está habilitada para todos los nombres de dominio protegidos por WAF 2.0. |
|
Un recurso es conforme si la función de registro de flujo está habilitada para la VPC. |
|
|
Los nombres de dominio vinculados a grupos de API en API Gateway están protegidos por WAF |
Un recurso es conforme si un nombre de dominio personalizado está vinculado a un grupo de API en API Gateway y está protegido por WAF. |
|
Los módulos de protección especificados están habilitados para nombres de dominio protegidos por WAF |
Un recurso es conforme si los módulos de protección especificados están habilitados para un nombre de dominio protegido por WAF. |
|
Un recurso es conforme si una regla de entrada configurada como Allow no tiene simultáneamente el rango de puertos establecido en -1/-1 y el origen en 0.0.0.0/0. También es conforme si una regla con mayor prioridad deniega el acceso. Esta regla no aplica a security groups utilizados por servicios de Alibaba Cloud o proveedores de servidores virtuales. |
|
|
Un recurso es conforme si el rango de puertos de un protocolo especificado no contiene los puertos de alto riesgo indicados cuando el bloque CIDR de entrada de un security group es 0.0.0.0/0. Si el bloque CIDR de entrada no es 0.0.0.0/0, el recurso es conforme incluso si el rango de puertos contiene los puertos de alto riesgo especificados. También es conforme si una regla con mayor prioridad deniega el acceso a un puerto de alto riesgo detectado. Esta regla no aplica a security groups utilizados por servicios de Alibaba Cloud o proveedores de servidores virtuales. |
|
|
Un recurso es conforme si ninguna regla de entrada permite el acceso desde el origen 0.0.0.0/0 para ningún puerto, excepto para los puertos especificados en la lista de permitidos. Esta regla no aplica a security groups utilizados por servicios de Alibaba Cloud o proveedores de servidores virtuales. |
|
|
Un recurso es conforme si se ha configurado una directiva de autorización para un bucket de OSS público y dicha directiva no otorga permisos de lectura o escritura a cuentas anónimas. Esta regla no aplica a buckets de OSS con listas de control de acceso (ACL) privadas. |
|
|
No hay direcciones IP públicas asociadas con instancias de ECS |
Un recurso es conforme si no hay ninguna dirección IPv4 pública o Elastic IP Address asociada directamente con la instancia de ECS. |
|
Una instancia de RDS no es conforme si permite el acceso público y su lista de permitidos de direcciones IP está establecida en 0.0.0.0/0. |
|
|
Una instancia de PolarDB no es conforme si permite el acceso público y su lista de permitidos de direcciones IP está establecida en 0.0.0.0/0. |
|
|
Un recurso es conforme si todos los activos están protegidos por Cloud Firewall. Esta regla solo aplica a usuarios de ediciones de pago de Cloud Firewall. Si no ha activado Cloud Firewall o utiliza la edición gratuita, sus recursos son conformes de forma predeterminada. |
|
|
La protección de seguridad está habilitada para instancias de ECS en ejecución en Security Center |
Security Center proporciona protección de seguridad para sus hosts después de instalar el agente de Security Center. Un recurso es conforme si el agente de Security Center está instalado. Esta regla no aplica a instancias que no se encuentran en estado Running. |
|
Un recurso es conforme si utiliza Security Center Enterprise Edition o una edición posterior. |
|
|
Las instancias de ECS en ejecución no tienen vulnerabilidades pendientes de corrección |
Un recurso es conforme si no existen vulnerabilidades del tipo y nivel de riesgo especificados que requieran corrección para la instancia de ECS en Security Center. Esta regla no aplica a instancias que no se encuentran en estado Running. |
|
Un recurso es conforme si SQL Audit está habilitado para la instancia de RDS. |
|
|
La recopilación completa de registros está habilitada para ActionTrail |
Un recurso es conforme si hay una pista habilitada en ActionTrail para registrar todos los eventos en todas las regiones. Para una cuenta miembro en un directorio de recursos, la cuenta es conforme si el administrador crea una pista que aplica a todas las cuentas miembros. |
|
Un recurso es conforme si SQL Audit está habilitado para una instancia de ApsaraDB RDS for MySQL y el periodo de retención de registros es mayor o igual al valor especificado. El valor predeterminado es 180 días. |
|
|
El periodo de retención de instantáneas automáticas para instancias de ECS cumple con los requisitos |
Un recurso es conforme si el periodo de retención de instantáneas especificado en la directiva de instantáneas automáticas para una instancia de ECS es mayor que el número de días indicado. El valor predeterminado es 7 días. |
|
Un recurso es conforme si el periodo de retención de copias de seguridad de nivel 1 de un clúster de PolarDB es mayor o igual al número de días especificado. El valor predeterminado es 7 días. |
|
|
Un recurso es conforme si el cifrado transparente de datos (TDE) está habilitado para el clúster de PolarDB. |
|
|
La rotación automática está habilitada para credenciales en Key Management Service |
Un recurso es conforme si la rotación automática está habilitada para credenciales en Key Management Service (KMS). |
|
La rotación automática está habilitada para claves maestras de cliente en Key Management Service |
Un recurso es conforme si la rotación automática está habilitada para claves maestras de cliente (CMK) en KMS. |
|
La protección contra eliminación está habilitada para claves maestras de cliente de KMS |
Un recurso es conforme si la protección contra eliminación está habilitada para claves maestras de cliente de KMS. |
|
Los buckets de OSS están cifrados mediante claves personalizadas de KMS |
Un recurso es conforme si el bucket de OSS está cifrado mediante una clave personalizada de KMS. |
|
TDE está habilitado para instancias de RDS mediante claves personalizadas |
Un recurso es conforme si TDE está habilitado para la instancia de RDS mediante una clave personalizada. |
|
TDE está habilitado para instancias de Redis mediante claves personalizadas |
Un recurso es conforme si TDE está habilitado para la instancia de Redis mediante una clave personalizada. |
|
Un recurso es conforme si HTTPS está habilitado para el nombre de dominio acelerado. |
|
|
Un recurso es conforme si las API en API Gateway con acceso público están configuradas para usar HTTPS. Esta regla no aplica a las API que solo pueden invocarse a través de la red privada. |
|
|
Un recurso es conforme si la instancia de Elasticsearch utiliza el protocolo HTTPS. |
|
|
El acceso seguro está configurado en las directivas de autorización de los buckets de OSS |
Un recurso es conforme si la directiva de autorización de un bucket de OSS especifica que las operaciones de lectura y escritura deben usar HTTPS o que se deniega el acceso por HTTP. Esta regla no aplica a buckets de OSS con directivas de autorización vacías. |
|
Un recurso es conforme si todos los listeners HTTPS de una instancia de SLB utilizan la versión especificada del conjunto de directivas de seguridad. Esta regla no aplica a instancias de SLB sin listeners HTTPS. |
|
|
Un recurso es conforme si una función de Function Compute está vinculada a un nombre de dominio personalizado y la versión de TLS especificada está habilitada. |
|
|
El agente de Security Center está instalado en todas las instancias de ECS bajo la cuenta |
Un recurso es conforme si el agente de Security Center está instalado en todas las instancias de ECS bajo la cuenta. |
|
Un recurso es conforme si el escaneo de vulnerabilidades para un nivel de riesgo especificado está configurado en Security Center. |
|
|
Los métodos de notificación están configurados para los elementos de notificación en Security Center |
Un recurso es conforme si los métodos de notificación están configurados para todos los elementos de notificación en Security Center. |
|
Se ha configurado una ventana de mantenimiento adecuada para instancias de RDS |
Un recurso es conforme si la ventana de mantenimiento de una instancia de RDS se encuentra dentro de uno de los rangos horarios especificados por el parámetro. Su negocio podría verse afectado si la ventana de mantenimiento se superpone con las horas pico de operación. |
|
Se ha configurado una ventana de mantenimiento adecuada para clústeres de PolarDB |
Un recurso es conforme si la ventana de mantenimiento de un clúster de PolarDB se encuentra dentro de uno de los rangos horarios especificados por el parámetro. Su negocio podría verse afectado si la ventana de mantenimiento se superpone con las horas pico de operación. |
|
Un recurso es conforme si un usuario de RAM no tiene adjunta una directiva de acceso que cumpla las condiciones del parámetro. Esto incluye directivas heredadas de grupos de usuarios. El valor predeterminado del parámetro especifica permisos administrativos. Un recurso no es conforme si un usuario de RAM tiene permisos administrativos. |
|
|
Un recurso es conforme si ningún usuario de RAM, grupo de usuarios de RAM o rol de RAM tiene permisos de superadministrador donde Resource es y Action es . |
|
|
Los pares de AccessKey de usuarios de RAM se rotan dentro de un periodo especificado |
Un recurso es conforme si el par de AccessKey de un usuario de RAM se creó dentro del número de días especificado a partir de la fecha de verificación. El valor predeterminado es 90 días. |
|
Todos los usuarios de RAM están asignados a grupos de usuarios de RAM y se consideran conformes. |
|
|
Los modos de acceso para usuarios de RAM están separados para acceso humano y programático |
Un recurso es conforme si un usuario de RAM no tiene habilitados simultáneamente el acceso a la consola y el acceso por API. |
|
No existe ningún par de AccessKey para la cuenta de Alibaba Cloud |
Un recurso es conforme si no existe ningún par de AccessKey en cualquier estado para la cuenta de Alibaba Cloud. |
|
Un recurso es conforme si el inicio de sesión único (SSO) está habilitado para el usuario de RAM. |
|
|
Un recurso es conforme si el número de días transcurridos desde el último uso del par de AccessKey de un usuario de RAM es menor que el valor especificado por el parámetro. El valor predeterminado es 90 días. |
|
|
Los usuarios de RAM han iniciado sesión dentro de un periodo especificado |
Un recurso es conforme si un usuario de RAM ha iniciado sesión en los últimos 90 días. Si la hora del último inicio de sesión está vacía, se comprueba la hora de actualización en su lugar. El recurso es conforme si la actualización ocurrió dentro de los últimos 90 días. Esta regla no aplica a usuarios sin acceso a la consola. |
|
Un recurso es conforme si una directiva de acceso de RAM está adjunta a como mínimo un grupo de usuarios de RAM, rol de RAM o usuario de RAM. |
|
|
Un grupo de usuarios de RAM se considera conforme si contiene como mínimo un usuario de RAM. |
|
|
La directiva de contraseñas para usuarios de RAM cumple con los requisitos |
Un recurso es conforme si todas las configuraciones en la directiva de contraseñas para usuarios de RAM cumplen con los valores de parámetros especificados. |
|
Un recurso es conforme si la autenticación multifactor (MFA) está habilitada para la cuenta de Alibaba Cloud. |
|
|
Un recurso es conforme si MFA está habilitado para usuarios de RAM que tienen acceso a la consola. |
|
|
Un recurso es conforme si Security Center no detecta información de pares de AccessKey filtrados. |
|
|
Un recurso es conforme si SQL Audit está habilitado para el clúster de PolarDB. |
|
|
La copia de seguridad de registros está habilitada para instancias de RDS |
Si la copia de seguridad de registros no está habilitada, no podrá restaurar datos en caso de pérdida de registros binarios. Un recurso es conforme si la copia de seguridad de registros está habilitada para la instancia de RDS. |
|
Crear un plan de copia de seguridad del sistema de archivos NAS |
Un recurso es conforme si se ha creado un plan de copia de seguridad para el sistema de archivos NAS. |
|
Un recurso es conforme si el periodo de retención de copias de seguridad de registros de un clúster de PolarDB es mayor o igual al número de días especificado. El valor predeterminado es 30 días. Un recurso no es conforme si la copia de seguridad de registros está deshabilitada o el periodo de retención es menor que el número de días especificado. |
|
|
El almacenamiento redundante de zona está habilitado para buckets de OSS |
Si el almacenamiento redundante de zona (ZRS) no está habilitado, OSS no puede proporcionar un servicio consistente cuando un centro de datos deja de estar disponible, lo cual afecta la restauración de datos. Un recurso es conforme si ZRS está habilitado para el bucket de OSS. |
|
El cifrado de datos está configurado para Logstores en Simple Log Service |
Un recurso es conforme si el cifrado de datos está configurado para el Logstore en Simple Log Service. |
|
El cifrado del lado del servidor está habilitado para buckets de OSS |
Un recurso es conforme si el cifrado del lado del servidor con claves totalmente administradas por OSS está habilitado para el bucket de OSS. |
|
Los eventos históricos están habilitados para instancias de RDS |
Un recurso es conforme si el registro de eventos para eventos históricos está habilitado para la instancia de RDS. |
|
El parámetro de zona horaria predeterminada para clústeres de PolarDB no está establecido en System |
Un recurso es conforme si el parámetro |
|
Las instancias de ECS utilizan una versión de sistema operativo especificada |
Puede estandarizar las versiones de SO dentro de su empresa y requerir que todos los hosts en el entorno de producción utilicen la misma versión de SO. También debe actualizar oportunamente los sistemas operativos que ya no reciben mantenimiento oficial para prevenir vulnerabilidades de seguridad. Un recurso es conforme si el nombre en inglés del sistema operativo utilizado por una instancia de ECS está en la lista de permitidos especificada o no está en la lista de bloqueados especificada. |
|
El agente de CloudMonitor está instalado en instancias de ECS en ejecución |
Un recurso es conforme si el agente de CloudMonitor está instalado y ejecutándose en una instancia de ECS. Esta regla no aplica a instancias que no se encuentran en estado Running. |
|
Un recurso es conforme si como mínimo una regla de alerta está configurada en CloudMonitor para un servicio de Alibaba Cloud en el namespace especificado. |
|
|
Un recurso es conforme si el cifrado está habilitado para el disco de datos de ECS. |
|
|
Un recurso es conforme si el cifrado de disco está habilitado para la instancia de RDS. |