PCI DSS 4.0 要求 11.3 和 11.4 : 实际测试的内容

大多数安全框架围绕穿透测试展开讨论。 他们要求"技术保证"或"独立核查",其余留待解释. PCI DSS没有. 这是遵义家族中唯一一个明确进行名字渗透测试并修正日历的框架 & mdash; 和4. 0版本收紧螺丝而不是松开螺丝. 如果您的评估窗口今年落地, 问题就不再是您是否需要笔试, 而是您是否将在QSA的读数中存活下来 。

混乱几乎总是从同一个地方开始:团队将"扫描"和"测试"作为同一活动的两个单词,附表一,并在评估时间发现标准同时需要两个词. 要求11.3和11.4是故意为此而分开的。 一个是自动的,季度的, 并回答一个复选框。 另一种是手动的,每年一次,回答一个更难的问题 & mdash; 有人真的能到达卡片数据吗?

何谓范围

周边不是"支付服务器". 它是卡持有者数据环境 & mdash; CDE & mdash; 加上每一个能够连接到它或影响它的安全的系统. 第二项条款是大多数范围界定论点丢失的地方。 行政工作站、认证系统、监测平台和连通的服务提供商都坐落在边界内,因为每个工作站、监测平台和连通的服务提供商都是一个合理的通道。

系统真正位于周边之外,必须位于 " em > 技术上 之外,而不仅仅是在图表上。 而这种区分是通过分化测试而不是通过文件证明的. 评估中最常见的惊喜是VLAN,建筑图画称为"隔离",但仍通过被遗忘的防火墙规则或跳过管理工作站到达CDE. 未显示的分区不会缩小你的周边。 它悄悄地扩充它,并拖动所有的要求。

注意:一个显示公司IT和CDE之间清洁分离的网络图本身无法证明什么。 如果您无法显示试图跨越边界和失败的测试者, QSA必须假定边界不存在 。

Required 11. 3: 脆弱性扫描

第11.3条要求包括扫描,严格地讲,它既涉及粗略又涉及作者。 您需要至少每季度进行一次内部和外部扫描, 加上一次在任何重大更改后进行的扫描 & mdash; 一个新的公共显示服务, 重新存档的部分, 一个主要应用程序的部署 。 更改时钟重排,而不是在日历上。

外部扫描必须由经PCI安全标准理事会授权的经核准的扫描供应商ASV进行。 内部扫描可在内部进行,但由独立于管理扫描系统的工作人员进行。 这一独立条款不是一个形式;它是扫描和自我评估之间的区别。 而"通过"扫描则有具体的含义: 零高精度弱点. 不是"我们记录了全部" 不是"我们接受了风险" 0.

(中文(简体) ). 这是要求团队最常认为他们满足了要求。 一份装满未标注关键词的季度扫描报告不是遵守和mdash的证据;它是已知的、未解决的暴露的证据,是你自己的供应商印的。

要求11.4:渗透测试

在此,标准变得异常具体,值得将次级要求理解为一种规格而非建议。 11.4 要求至少每年在基础设施或应用发生重大变化后,采用有文件记载的方法进行外部和内部测试,覆盖整个CDE周边的网络和应用层,并补救可开发的脆弱性,然后重新测试。 有两项条款进一步提高了对服务提供者的限制。 11.4.6 要求每六个月而不是每年进行一次分区试验。 11.4.7 要求增加了对多租户供应商和mdash的客户之间的隔离测试;要求准确赶上SaaS支付平台的实际运作情况,即一个租户的配置不当可成为另一个租户的违约情况。

要求 > 检测到的最小频率 11.3.1 内部脆弱性扫描 Qt>Qt>Qt+t+t+d > 11.3.2 > 通过核准的ASV进行外部扫描 季度+ 变化 11.4.2 d>t>d>t>t>t>d>t>t>t+d+t>t>t>t>t>t>t>t>t>t>d>t>d>t>d>t>t>t>d>t>t>d>t>t>d>t>t>t>d>t>t>d>d>t>t>d>t>d>t>t>d>t>d>t>t>d>t>d>t>t>d>d>t>t> 按适用的分区要求

将该表读为覆盖图,而非核对表. 每年一次的笔试,触及外部的网络层并在那里停止,并不能满足11.4.2的要求,因为11.4.2明确要求内部网络和应用程序层。 两层捕捉到不同的东西:网络测试找到路径,应用程序测试找到端端左开的门.

QSA在报告

中要求的. 报告本身是参战的胜负所在。 QSA 不读取您的调查结果以娱乐; 他们正在检查工作是否符合要求 。 有六件事一再出现。 工业 & mdash; PTES、 OWASP, 或 NIST SP 800-115 & mdash; 不是为参与而发明的标语程序。

A 周边理由:为什么这些系统而不是其他系统与持卡人数据流图挂钩。

证明测试既包括网络层也包括应用层。

用于分解:从CDE之外尝试了哪些控制,以及每次尝试的结果。

有记录地重新测试每个可开采的脆弱性,并有日期和最后地位。

证明测试者独立于管理测试中系统的团队.

最后一点是悄悄地破坏承诺。 如果管理防火墙的同一个工程师也对他们进行测试,无论结果如何好,都不符合独立性要求。

重要:重试不是可选的清理. 11.4 要求预计,可利用的脆弱性将得到补救,然后进行重新测试,并有文件证明进行重新测试。 没有结案证据的查询清单是一个未完成的项目,而不是一个完成的要求。

扫描和测试不能替代

唯一最有用的心理模型是: 扫描发现在暴露的服务上已知的弱点; 渗透测试试图利用它们,把它们连在一起, 并实际到达卡片数据。 一是烟雾探测器. 另一个是晚上在楼里走的人,检查你相信的窗户是否被锁着。

ASV扫描是自动化的,季度的,外部的,回答是11.3.2. 渗透测试是人工的,年度的,回答是11.4。 标准要求两者兼而有之,因为两者都忽略了其他渔获物。 自动化对于已知的和对小说视而不见的人来说是详尽无遗的;一个人类的测试者是相反的. 在PCI DSS评估中,将一个替换为另一个是最常见的 & mdash; 最容易被捕获的 & mdash; 快捷键 。

您的预算和计划也会产生实际后果。 扫描机价格低廉,频繁,可以基本运行. 渗透测试费用昂贵,每年一次,依赖稀缺的专业知识. 将它们作为一行项目处理意味着其中之一的资金不足,通常需要真正的技能才能做得好。

从3.2.1变为4.0

。 测试要求重新编号为 & mdash; 11.3 改为扫描, 11.4 改为渗透测试 & mdash; 但结果的改变更为实质性。 对多租户隔离和多要素认证出现了新的要求,一套以前被视为"最佳做法"的项目在2025年3月31日后成为强制性要求. 定制方法也问世了,允许一个实体通过替代控制方式达到要求的目标,但文件要求和验证要求比简单的书面行为要重得多。 对大多数组织来说,实际效果是宽限期已经结束. 现在对可以推迟的要求进行评估,曾经是笔试的静态附件的分区测试本身就已成为可交付的中心。

这是否适用于你?

PCI DSS不是法律。 这是卡片计划通过收购银行和加工商而规定的合同要求,适用于储存、处理或传送卡片数据的任何实体,不论国家如何。 对于摩尔多瓦的公司来说,债务一般通过收购银行或合伙人处理器运抵,审定的程度取决于年度交易量。 这意味着触发器是商业的,而不是立法的和mdash;你可以完全遵守国家法律,并且仍按合同要求下季度编写笔试报告。

如果你正在准备进行这一对话,有用的工作就发生在测试者到达之前:绘制真实的数据流,测试你的分解是否实际持有,而不是假设,并且确认进行测试的人是否真正独立于操作系统的人。 这三件事决定了你的评估结果多于报告中的任何工具