03 февраля 2009
Н. Зосимовская. Оценка защищенности в соответствии с требованиями стандарта PCI DSS.
Н. Зосимовская
Банковские технологии №8, 2008
В последнее время одной из популярных тем в банковском сообществе является тема аудита на соответствие требованиям стандарта PCI DSS. Но стоит отметить, что сама процедура аудита является лишь небольшой частью из того, что требуется стандартом. В данной статье мы остановимся на двух важных требованиях стандарта, которые также обязательны для исполнения. Это прохождение ежеквартальных сканирований сети и ежегодный тест на проникновение.
Сканирование сети
Как было отмечено выше, сканирования сети нужно проходить ежеквартально (или при любом существенном изменении сетевой инфраструктуры) с привлечением сторонней компании, сертифицированной на проведение данных работ и имеющей статус Approved Scanning Vendor (ASV). Процесс сканирования регламентирован и проводится в соответствии с PCI DSS Security Scanning Procedures и PCI DSS Technical and Operational Requirements for Approved Scanning Vendors.
Границы проведения сканирования
Если говорить в целом, то сканирование проводится через Интернет и сканированию подлежат все публичные IP-адреса компании.
К ним относятся:
- системы и сервисы, непосредственно участвующие в обработке данных платежных карточек (например, сайты е-commerce, платежные шлюзы и т. д.);
- системы и сервисы, компрометация которых может повысить риск компрометации данных платежных карточек (например: электронная почта, DNS и т. д.).
Проще говоря, если сервер, на котором обрабатываются или хранятся данные платежных карточек, стоит в одной и той же сети с любым другим сервером, который виден из Интернета, сканировать надо оба сервера, так как компрометация одного может повысить риск компрометации другого.
Процедура сканирования
Процедура сканирования представлена на рис. 1 и реализуется в четыре основных этапа.
Рисунок 1
Во-первых, компанией самостоятельно определяется перечень IP-адресов, которые следует просканировать. Для помощи в определении данного перечня можно привлечь компанию ASV, чтобы быть уверенными в том, что все необходимые IP-адреса включены. Дело в том, что если компания подлежит и ежегодной процедуре аудита, то при некорректном определении перечня адресов аудитор обязательно укажет на это и отметит в отчете. Кроме того, к моменту прохождения аудита (или заполнению опросника самооценки) у компании должно быть за плечами минимум четыре успешных сканирования. Успешным считается сканирование, по результатам которого не было выявлено ни одной уязвимости.
Следующий этап — это согласование времени и даты сканирования для того, чтобы компания успела выключить IDS/IPS (это обязательное требование процедуры) и обеспечить присутствие администратора, который будет контролировать данный процесс со стороны компании.
Далее осуществляется уже непосредственно само сканирование и по его результатам составляется «Сводный отчет о тестировании защищенности». Он содержит перечень IP-адресов узлов, для которых проводилось тестирование защищенности и статус каждого узла, определенный по результатам проведенного тестирования.
Составляется также «Детализированный отчет о тестировании защищенности», включающий полный перечень выявленных уязвимостей данного узла в порядке убывания степени их критичности, содержащий детальное описание каждой уязвимости:
- название уязвимости;
- ссылка производителя;
- степень критичности;
- оценка уязвимости по CVSS;
- подробное описание уязвимости;
- рекомендации по устранению или снижению риска.
IP-адрес соответствует требованиям стандарта PCI DSS, если при его сканировании не обнаружено ни одной уязвимости с CVSS - 4 или уровня High, Critical или Urgent. И компания соответствует требованиям PCI DSS, если все сканируемые IP-адреса соответствуют требованиям PCIDSS.
Данное сканирование не стоит путать с обычным «внешним» сканированием, которое в качестве услуги предлагает большое количество компаний. Особенность сканирования PCI состоит в том, что оно проводится сертифицированной компанией — ASV, в четком соответствии с требованиями процедур сканирования и направлено на определение соответствия именно требованиям PCI DSS.
Тест на проникновение
Теперь что касается теста на проникновение. В соответствии с требованиями стандарта PCI DSS (11.3,11.3.1,11.3.2) компании обязаны ежегодно проводить тест на проникновение — как на сетевом, так и на прикладном уровне. Тест на проникновение представляет собой имитацию действий злоумышленника, пытающегося проникнуть в сеть компании и в нашем случае получить данные платежных карточек и/или взять под свой контроль управление системами, где обрабатываются, передаются или хранятся данные платежных карточек.
Для реализации теста на проникновение можно привлечь любую стороннюю компанию, обладающую необходимой компетенцией, или выполнить его самостоятельно, но для этого сотрудники компании должны иметь необходимый опыт и квалификацию.
Тест на проникновение на сетевом уровне реализуется по схеме, представленной на рис. 2.
Рисунок 2
Изначально компанией-исполнителем собирается вся информация, касающаяся структуры сети компании и ее доступных сервисов. Все это делается исполнителем самостоятельно, без привлечения информаторов от компании, в отношении которой проводится тест на проникновение.
Далее производится поиск уязвимостей на выявленных ранее доступных сервисах, включая Wi-Fi. После этого формируется сценарий проникновения и производятся атаки на серверы и рабочие станции как с целью эксплуатации технических уязвимостей, так и с использованием методов социальной инженерии. После этого как исполнитель получает доступ к серверам и рабочим станциям, производится попытка получения доступа к системам, содержащим данные платежных карточек. Получив необходимую информацию, исполнитель удаляет все следы проникновения.
По результатам теста на проникновение составляется отчет, содержащий в себе описание методики проведения работ, перечень выявленных уязвимостей и рисков, а также рекомендации по снижению данных рисков. В отчете также описывается ход работ, т. е. все те действия, которые были предприняты и их результаты.
В результате проведения теста на проникновение и ежеквартальных сканирований сети компания не только выполняет обязательные требования стандартаPCI DSS, но и получает объективную оценку защищенности от внешнего злоумышленника, действующего через сеть Интернет и от действий квалифицированного инсайдера, имеющего возможность подключения к локальной сети. Используя предоставленные рекомендации, компания сможет также повысить общий уровень защищенности сети от наиболее вероятных атак.
Об авторе: Наталья Зосимовская, ведущий специалист компании «Информзащита»
