O pacote de conformidade PCI DSS verifica seus recursos em nuvem com base nas linhas de base de proteção de dados do PCI DSS v4.0 para ajudar você a atender aos requisitos de segurança do setor de cartões de pagamento.
Contexto
O PCI DSS (Payment Card Industry Data Security Standard) é um padrão global que fornece linhas de base técnicas e operacionais para proteger dados de titulares de cartões.
Este pacote de conformidade baseia-se nas linhas de base de proteção de dados do PCI DSS v4.0 e oferece verificações de conformidade recomendadas para o gerenciamento de recursos em nuvem.
O padrão completo está disponível no site do PCI Security Standards.
Cenários
Use este pacote se você atua no setor financeiro, lida com dados sensíveis de cartões de pagamento ou tem altos requisitos de segurança de dados.
Regras padrão
Os modelos de pacotes de conformidade fornecem uma estrutura geral para cenários específicos. Um recurso conforme atende à descrição da regra, mas isso não garante conformidade total com regulamentações específicas ou padrões do setor.
|
Nome da regra |
Descrição da regra |
|
O recurso é considerado conforme quando a coleta de logs está habilitada para todos os nomes de domínio protegidos pelo WAF 2.0. |
|
|
O recurso é conforme se o recurso de log de fluxo estiver ativado na VPC. |
|
|
Nomes de domínio vinculados a grupos de API no API Gateway são protegidos pelo WAF |
O recurso é considerado conforme caso um nome de domínio personalizado esteja vinculado a um grupo de API no API Gateway e protegido pelo WAF. |
|
Módulos de proteção especificados estão habilitados para domínios protegidos pelo WAF |
O recurso atende à conformidade quando os módulos de proteção especificados estão ativos para um nome de domínio protegido pelo WAF. |
|
Um recurso é conforme se uma regra de entrada definida como Permitir não tiver simultaneamente o intervalo de portas definido como -1/-1 e a origem como 0.0.0.0/0. Também é considerado conforme se uma regra com prioridade maior negar o acesso. Esta regra não se aplica a grupos de segurança usados por serviços da Alibaba Cloud ou provedores de servidores virtuais. |
|
|
O recurso é considerado conforme se o intervalo de portas de um protocolo especificado não contiver as portas de alto risco definidas quando o bloco CIDR de entrada do grupo de segurança for 0.0.0.0/0. Caso o bloco CIDR de entrada seja diferente de 0.0.0.0/0, o recurso permanece conforme mesmo que o intervalo inclua tais portas. A conformidade também ocorre se uma regra de maior prioridade bloquear o acesso a uma porta de alto risco detectada. Esta regra não se aplica a grupos de segurança usados por serviços da Alibaba Cloud ou provedores de servidores virtuais. |
|
|
Regras de entrada para portas fora da lista de permissões em grupos de segurança são válidas |
O recurso é conforme quando nenhuma regra de entrada permite acesso a partir da origem 0.0.0.0/0 para qualquer porta, exceto aquelas explicitamente listadas na lista de permissões. Esta regra não se aplica a grupos de segurança usados por serviços da Alibaba Cloud ou provedores de servidores virtuais. |
|
O recurso é conforme se houver uma política de autorização configurada para um bucket OSS público e essa política não conceder permissões de leitura ou escrita para contas anônimas. Esta regra não se aplica a buckets OSS com listas de controle de acesso (ACLs) privadas. |
|
|
O recurso é considerado conforme quando nenhum endereço IPv4 público ou Elastic IP Address estiver diretamente associado à instância ECS. |
|
|
Acesso público desabilitado para instâncias RDS ou listas de permissões de endereços IP restritas |
Uma instância RDS é considerada não conforme se permitir acesso público e sua lista de permissões de endereços IP estiver definida como 0.0.0.0/0. |
|
Uma instância PolarDB é classificada como não conforme caso permita acesso público e tenha a lista de permissões de endereços IP configurada como 0.0.0.0/0. |
|
|
O recurso é considerado conforme se todos os ativos estiverem protegidos pelo Cloud Firewall. Esta regra aplica-se apenas a usuários das edições pagas do Cloud Firewall. Se você não ativou o Cloud Firewall ou usa a edição gratuita, seus recursos são considerados conformes por padrão. |
|
|
Proteção de segurança habilitada para instâncias ECS em execução no Security Center |
O Security Center fornece proteção de segurança para seus hosts após a instalação do agente. Um recurso é considerado conforme quando o agente do Security Center está instalado. Esta regra não se aplica a instâncias que não estejam no estado de execução. |
|
O recurso é conforme se você usar o Security Center Enterprise Edition ou uma edição superior. |
|
|
O recurso é considerado conforme quando não há vulnerabilidades do tipo e nível de risco especificados que precisem ser corrigidas na instância ECS no Security Center. Esta regra não se aplica a instâncias fora do estado de execução. |
|
|
O recurso é considerado conforme se o SQL Audit estiver ativado na instância RDS. |
|
|
O recurso é conforme quando uma trilha está ativa no ActionTrail para registrar todos os eventos em todas as regiões. Para uma conta membro em um diretório de recursos, a conta é considerada conforme se o administrador criar uma trilha aplicável a todas as contas membros. |
|
|
Período de retenção de logs de auditoria SQL para instâncias RDS atende aos requisitos |
O recurso é conforme se o SQL Audit estiver habilitado para uma instância ApsaraDB RDS for MySQL e o período de retenção de logs for igual ou superior ao valor especificado. O valor padrão é 180 dias. |
|
Período de retenção de snapshots automáticos para instâncias ECS atende aos requisitos |
O recurso é conforme se o período de retenção de snapshot definido na política de snapshot automático de uma instância ECS for maior que o número de dias especificado. O valor padrão é 7 dias. |
|
Período de retenção de backup de nível 1 para clusters PolarDB atende aos requisitos |
O recurso é considerado conforme quando o período de retenção de backup de nível 1 de um cluster PolarDB for igual ou superior ao número de dias especificado. O valor padrão é 7 dias. |
|
O recurso é considerado conforme se a criptografia transparente de dados (TDE) estiver ativada no cluster PolarDB. |
|
|
Rotação automática habilitada para credenciais no Key Management Service |
O recurso é conforme quando a rotação automática está ativa para credenciais no Key Management Service (KMS). |
|
Rotação automática habilitada para chaves mestras de cliente no Key Management Service |
O recurso é conforme se a rotação automática estiver habilitada para chaves mestras de cliente (CMKs) no KMS. |
|
Proteção contra exclusão habilitada para chaves mestras de cliente do KMS |
O recurso é considerado conforme quando a proteção contra exclusão está ativada para chaves mestras de cliente do KMS. |
|
O recurso é conforme se o bucket OSS estiver criptografado com uma chave KMS personalizada. |
|
|
TDE habilitado para instâncias RDS usando chaves personalizadas |
O recurso é considerado conforme se o TDE estiver ativado na instância RDS com o uso de uma chave personalizada. |
|
TDE habilitado para instâncias Redis usando chaves personalizadas |
O recurso é conforme quando o TDE está habilitado na instância Redis com uma chave personalizada. |
|
O recurso é considerado conforme caso o HTTPS esteja ativo para o nome de domínio acelerado. |
|
|
O recurso é conforme se as APIs no API Gateway acessíveis publicamente estiverem configuradas para usar HTTPS. Esta regra não se aplica a APIs invocáveis exclusivamente pela rede privada. |
|
|
O recurso é conforme quando a instância Elasticsearch opera com o protocolo HTTPS. |
|
|
Acesso seguro configurado nas políticas de autorização de buckets OSS |
O recurso é considerado conforme se a política de autorização de um bucket OSS determinar que operações de leitura e escrita devem usar HTTPS ou se o acesso via HTTP for negado. Esta regra não se aplica a buckets OSS com políticas de autorização vazias. |
|
Listeners HTTPS de instâncias SLB usam o conjunto de políticas de segurança especificado |
O recurso é conforme se todos os listeners HTTPS de uma instância SLB usarem a versão especificada do conjunto de políticas de segurança. Esta regra não se aplica a instâncias SLB sem listeners HTTPS. |
|
O recurso é considerado conforme quando uma função do Function Compute estiver vinculada a um nome de domínio personalizado e a versão TLS especificada estiver ativa. |
|
|
Agente do Security Center instalado em todas as instâncias ECS da conta |
O recurso é conforme se o agente do Security Center estiver instalado em todas as instâncias ECS associadas à conta. |
|
Verificação de vulnerabilidades de nível de risco especificado configurada no Security Center |
O recurso é conforme se a verificação de vulnerabilidades para um nível de risco especificado estiver configurada no Security Center. |
|
Métodos de notificação configurados para itens de notificação no Security Center |
O recurso é considerado conforme quando métodos de notificação estiverem definidos para todos os itens de notificação no Security Center. |
|
Janela de manutenção adequada configurada para instâncias RDS |
O recurso é conforme se a janela de manutenção de uma instância RDS estiver dentro de um dos intervalos de tempo especificados pelo parâmetro. Suas operações podem ser afetadas caso a janela de manutenção coincida com horários de pico. |
|
Janela de manutenção adequada configurada para clusters PolarDB |
O recurso é considerado conforme quando a janela de manutenção de um cluster PolarDB estiver contida em um dos intervalos de tempo definidos pelo parâmetro. Seu negócio pode ser afetado se a janela de manutenção coincidir com os horários de pico operacional. |
|
O recurso é conforme se um usuário RAM não tiver uma política de acesso anexada que atenda às condições do parâmetro, incluindo políticas herdadas de grupos de usuários. O valor padrão do parâmetro refere-se a permissões administrativas. Um recurso é considerado não conforme caso um usuário RAM tenha permissões administrativas. |
|
|
O recurso é conforme se nenhum usuário RAM, grupo de usuários RAM ou função RAM tiver permissões de superadministrador onde Resource seja e Action seja . |
|
|
Pares AccessKey de usuários RAM rotacionados dentro de um período especificado |
O recurso é considerado conforme se o par AccessKey de um usuário RAM tiver sido criado dentro do número de dias especificado a partir da data de verificação. O valor padrão é 90 dias. |
|
Todos os usuários RAM atribuídos a grupos de usuários RAM são considerados conformes. |
|
|
Modos de acesso separados para usuários RAM (humano e programático) |
O recurso é conforme quando um usuário RAM não tem simultaneamente o acesso ao console e o acesso à API habilitados. |
|
O recurso é conforme se não existir nenhum par AccessKey, em qualquer estado, associado à conta Alibaba Cloud. |
|
|
O recurso é considerado conforme quando o single sign-on (SSO) estiver ativo para o usuário RAM. |
|
|
O recurso é conforme se o número de dias desde a última utilização do par AccessKey de um usuário RAM for inferior ao valor especificado pelo parâmetro. O valor padrão é 90 dias. |
|
|
Usuários RAM fizeram login dentro de um período especificado |
O recurso é considerado conforme se um usuário RAM tiver feito login nos últimos 90 dias. Caso o horário do último login esteja vazio, verifica-se o horário da última atualização. O recurso é conforme se a atualização ocorreu nos últimos 90 dias. Esta regra não se aplica a usuários sem acesso ao console. |
|
O recurso é conforme quando uma política de acesso RAM está anexada a pelo menos um grupo de usuários RAM, função RAM ou usuário RAM. |
|
|
Um grupo de usuários RAM é considerado conforme se contiver pelo menos um usuário RAM. |
|
|
O recurso é conforme se todas as configurações da política de senha para usuários RAM atenderem aos valores dos parâmetros especificados. |
|
|
O recurso é considerado conforme quando a autenticação multifator (MFA) estiver ativa para a conta Alibaba Cloud. |
|
|
O recurso é conforme se o MFA estiver habilitado para usuários RAM que têm acesso ao console. |
|
|
O recurso é considerado conforme se o Security Center não detectar nenhuma informação de par AccessKey vazado. |
|
|
O recurso é conforme quando o SQL Audit está ativo no cluster PolarDB. |
|
|
Sem o backup de logs habilitado, a restauração de dados torna-se impossível em caso de perda de logs binários. O recurso é conforme se o backup de logs estiver ativado na instância RDS. |
|
|
O recurso é considerado conforme caso exista um plano de backup criado para o sistema de arquivos NAS. |
|
|
Período de retenção de backup de logs para clusters PolarDB atende aos requisitos |
O recurso é conforme se o período de retenção de backup de logs de um cluster PolarDB for igual ou superior ao número de dias especificado. O valor padrão é 30 dias. Um recurso é classificado como não conforme se o backup de logs estiver desabilitado ou se o período de retenção for menor que o número de dias definido. |
|
Armazenamento com redundância de zona habilitado para buckets OSS |
Sem o armazenamento com redundância de zona (ZRS), o OSS não consegue garantir serviço consistente durante a indisponibilidade de um data center, o que afeta a restauração de dados. O recurso é conforme se o ZRS estiver habilitado no bucket OSS. |
|
Criptografia de dados configurada para Logstores no Simple Log Service |
O recurso é conforme quando a criptografia de dados está configurada para o Logstore no Simple Log Service. |
|
Criptografia no lado do servidor habilitada para buckets OSS |
O recurso é considerado conforme se a criptografia no lado do servidor com chaves OSS totalmente gerenciadas estiver ativa no bucket OSS. |
|
O recurso é considerado conforme quando o log de eventos para eventos históricos estiver habilitado na instância RDS. |
|
|
Parâmetro de fuso horário padrão para clusters PolarDB não definido como System |
O recurso é conforme se o parâmetro |
|
Instâncias ECS usam versão de sistema operacional especificada |
Você pode padronizar as versões de SO na empresa e exigir que todos os hosts do ambiente de produção usem a mesma versão. Além disso, sistemas operacionais sem suporte oficial devem ser atualizados prontamente para evitar vulnerabilidades de segurança. O recurso é conforme se o nome em inglês do sistema operacional usado pela instância ECS estiver na lista de permissões especificada ou ausente na lista de bloqueios especificada. |
|
Agente do CloudMonitor instalado em instâncias ECS em execução |
O recurso é considerado conforme se o agente do CloudMonitor estiver instalado e em execução na instância ECS. Esta regra não se aplica a instâncias fora do estado de execução. |
|
Regras de alerta do CloudMonitor configuradas para serviços Alibaba Cloud especificados |
O recurso é conforme quando pelo menos uma regra de alerta está configurada no CloudMonitor para um serviço Alibaba Cloud no namespace especificado. |
|
O recurso é considerado conforme caso a criptografia esteja ativa no disco de dados ECS. |
|
|
O recurso é conforme se a criptografia de disco estiver habilitada na instância RDS. |