搜索

[2781] 2016-05-04_PCIDSS3.2第三方支付行业安全性提升指南

文档创建者：s7ckTeam
浏览次数：33
最后更新：2025-01-16
2016-05-04_PCIDSS3.2第三方支付行业安全性提升指南 P C I   D S S   3 . 2 第 三 方 支 付 行 业 安 全 性 提 升 指 南 原 创   E 安 全   E 安 全   2 0 1 6 - 0 5 - 0 4 P C I   S S C （ 全 称 P a y m e n t   C a r d   I n d u s t r y   ( P C I )   D a t a   S e c u r i t y   S t a n d a r d , 第 三 方 支 付 行 业 ( 支 付 卡 行 业 P C I   D S S ) 数 据 安 全 标 准 ） 日 前 发 布 了 P C I   D S S   3 . 2 ， 即 针 对 各 企 业 及 供 应 商 在 客 户 信 用 卡 及 借 记 卡 交 易 处 理 方 面 必 须 遵 循 的 最 新 版 本 技 术 安 全 要 求 。 出 现 于 3 . 1 版 本 （ 2 0 1 5 年 4 月 1 5 日 发 布 ） 一 年 后 的 最 新 升 级 方 案 在 安 全 成 熟 度 方 面 得 到 极 大 提 升 ， 具 体 包 括 敦 促 系 统 管 理 员 采 用 多 因 素 验 证 机 制 、 要 求 利 用 更 多 渗 透 与 检 查 手 段 实 现 安 全 控 制 弹 性 ， 并 延 长 了 由 S S L 及 早 期 T L S 版 本 迁 移 至 更 新 T L S 版 本 的 期 限 。
这 一 新 的 客 户 信 用 卡 与 借 记 卡 数 据 保 护 标 准 显 示 ， 攻 击 者 正 利 用 窃 取 或 者 由 社 交 工 程 方 式 骗 取 的 登 录 凭 证 轻 松 接 入 企 业 系 统 内 以 进 一 步 掠 夺 客 户 数 据 。 这 些 失 窃 凭 证 允 许 攻 击 者 在 持 卡 人 数 据 环 境 （ 简 称 C D E ） 下 冒 充 合 法 用 户 任 意 妄 为 而 无 需 担 心 被 发 现 。 持 卡 人 数 据 环 境 （ 简 称 持 卡 人 数 据 环 境 （ 简 称 C D E ） ） 代 表 用 于 处 理 、 存 储 及 代 表 用 于 处 理 、 存 储 及 / 或 传 输 持 卡 人 数 据 的 一 套 计 算 机 系 统 或 或 传 输 持 卡 人 数 据 的 一 套 计 算 机 系 统 或 I T 系 统 联 网 体 系 。 其 中 系 统 联 网 体 系 。 其 中 还 包 含 有 任 意 直 接 接 入 或 者 用 于 支 持 这 套 网 络 的 组 件 ， 例 如 防 火 墙 、 交 换 机 、 接 入 点 、 安 全 设 备 、 销 售 点 系 统 、 还 包 含 有 任 意 直 接 接 入 或 者 用 于 支 持 这 套 网 络 的 组 件 ， 例 如 防 火 墙 、 交 换 机 、 接 入 点 、 安 全 设 备 、 销 售 点 系 统 、 W e b 服 务 器 、 应 用 服 务 器 、 全 部 应 用 程 序 以 及 虚 拟 组 件 等 等 。 服 务 器 、 应 用 服 务 器 、 全 部 应 用 程 序 以 及 虚 拟 组 件 等 等 。 扩 展 扩 展 多 因 素 验 证 多 因 素 验 证 机 制 机 制 的 使 用 范 的 使 用 范 围 围 P C I   D S S 的 上 个 版 本 要 求 使 用 多 因 素 验 证 以 保 护 指 向 C D E 的 远 程 访 问 ， 旨 在 预 防 基 于 接 入 的 数 据 泄 露 攻 击 活 动 。 而 新 的 多 因 素 验 证 标 准 8 . 3 版 本 则 迎 来 进 一 步 扩 展 ， 包 括 要 求 任 意 系 统 管 理 员 以 本 地 方 式 接 入 C D E 并 强 制 使 用 多 因 素 验 证 — — 无 论 是 第 三 方 抑 或 内 部 多 因 素 机 制 。 系 统 管 理 员 可 以 在 网 络 之 内 变 更 系 统 及 其 它 凭 证 ， 从 而 有 效 防 止 攻 击 者 肆 虐 甚 至 夺 取 企 业 系 统 控 制 权 。 新 版 本 建 议 大 家 在 企 业 内 部 为 每 位 用 户 添 加 多 因 素 验 证 机 制 建 议 大 家 在 企 业 内 部 为 每 位 用 户 添 加 多 因 素 验 证 机 制 。 攻 击 者 通 常 还 会 将 目 标 设 定 为 非 权 限 用 户 ， 包 括 立 足 于 内 部 环 境 进 行 追 踪 并 搜 索 可 资 利 用 的 客 户 数 据 。 这 意 味 着 大 家 需 要 为 市 场 营 销 、 人 力 资 源 、 销 售 以 及 其 它 团 队 提 供 与 系 统 管 理 员 相 对 等 的 保 护 措 施 。 单 因 素 验 证 （ 例 如 用 户 名 加 密 码 ） 已 经 无 法 实 现 C D E 的 远 程 接 入 ， P C I   S S C 首 席 技 术 官 T r o y   L e a c h 介 绍 称 。 另 外 ， 其 描 述 也 由 双 因 素 验 证 变 更 为 多 因 素 验 证 ， 旨 在 声 明 流 程 中 可 引 入 两 种 以 上 验 证 因 素 。 如 何 如 何 面 向 新 的 面 向 新 的 8 . 3 子 子 要 求 标 准 做 好 准 备 要 求 标 准 做 好 准 备 那 么 企 业 该 如 何 应 对 这 些 变 更 ？ 根 据 P C I   S S C 的 官 方 博 客 所 言 ， 迎 接 P C I   D S S   3 . 2 应 做 好 如 下 准 备 ： ·   审 查 现 有 审 查 现 有 C D E 验 证 管 理 方 式 验 证 管 理 方 式 ·   审 查 现 有 管 理 员 角 色 与 访 问 机 制 审 查 现 有 管 理 员 角 色 与 访 问 机 制
·   评 估 新 要 求 提 出 的 验 证 变 更 可 能 造 成 哪 些 影 响 评 估 新 要 求 提 出 的 验 证 变 更 可 能 造 成 哪 些 影 响 检 测 检 测 并 报 告 安 全 控 制 问 题 并 报 告 安 全 控 制 问 题 新 的 P C I   D S S 要 求 1 0 . 8 及 子 要 求 1 0 . 8 . 1 要 求 服 务 供 应 商 检 测 并 报 告 其 关 键 性 安 全 控 制 系 统 中 的 问 题 （ 将 于 2 0 1 8 年 2 月 1 日 起 全 面 生 效 ） 。 这 些 控 制 系 统 包 括 防 火 墙 、 I D S / I P S （ 即 入 侵 检 测 / 保 护 系 统 ） 、 杀 毒 、 物 理 与 逻 辑 访 问 控 制 、 审 计 登 录 机 制 以 及 细 化 控 制 等 。 P C I   D S S   3 . 2 指 出 ： 此 举 旨 在 确 保 相 关 系 统 能 够 警 告 企 业 关 系 性 控 制 机 制 问 题 ， 从 而 避 免 因 入 侵 活 动 未 被 发 现 而 引 发 的 系 统 入 侵 及 数 据 窃 取 后 果 。 渗 透 测 试 检 查 与 平 衡 渗 透 测 试 检 查 与 平 衡 根 据 新 的 子 要 求 1 1 . 3 . 4 . 1 ， 为 了 确 保 弹 性 ， 服 务 供 应 商 现 在 需 要 至 少 每 六 个 月 进 行 一 次 针 对 细 化 控 制 方 服 务 供 应 商 现 在 需 要 至 少 每 六 个 月 进 行 一 次 针 对 细 化 控 制 方 案 的 渗 透 测 试 。 案 的 渗 透 测 试 。 P C I   S S C 还 添 加 了 一 项 测 试 规 程 1 1 . 3 . 4 ， 旨 在 确 保 渗 透 测 试 工 作 由 合 格 的 内 部 或 者 外 部 第 三 方 负 责 执 行 。 强 化 强 化 安 全 事 务 中 的 人 为 因 素 安 全 事 务 中 的 人 为 因 素
其 它 要 求 则 希 望 确 保 涵 盖 安 全 工 作 中 的 管 理 层 面 — — 1 2 . 4 要 求 企 业 高 管 确 保 安 全 政 策 及 规 程 面 向 每 一 位 员 工 的 具 体 信 息 安 全 责 任 实 现 确 切 定 义 。 与 此 同 时 ， 子 要 求 1 2 . 4 . 1 还 要 求 高 管 团 队 肩 负 保 护 持 卡 人 数 据 及 遵 循 P C I   D S S 合 规 计 划 的 责 任 。 要 求 1 2 . 6 要 求 建 立 正 式 的 安 全 意 识 培 训 项 目 ， 旨 在 确 保 企 业 中 的 每 位 个 人 充 分 了 解 持 卡 人 数 据 安 全 策 略 与 规 程 。 迁 移 迁 移 至 至 T L S ？ 大 家 将 有 更 多 时 间 ？ 大 家 将 有 更 多 时 间 P C I   D S S   3 . 2 现 在 对 S S L / 早 期 版 本 T L S 的 迁 移 时 限 做 出 延 后 ， 希 望 增 加 两 周 时 间 以 降 低 面 向 更 安 全 T L S 版 本 （ 1 . 1 或 者 更 高 ） 的 过 渡 难 度 — — 企 业 现 在 需 要 在 企 业 现 在 需 要 在 2 0 1 8 年 年 7 月 月 1 日 之 前 迁 移 至 日 之 前 迁 移 至 T L S 新 版 本 新 版 本 。 不 受 不 受 支 持 的 旧 应 用 被 视 为 支 持 的 旧 应 用 被 视 为 非 非 安 全 因 素 安 全 因 素 此 次 要 求 还 提 出 新 的 条 目 ， 用 于 限 定 P C I   D S S 与 P A - D S S （ 即 支 付 应 用 数 据 安 全 标 准 ） 间 的 关 系 以 约 束 相 关 应 用 程 序 对 持 卡 人 数 据 的 存 储 、 处 理 或 者 传 输 。 “ 随 着 安 全 威 胁 不 断 演 进 ， 不 再 受 到 供 应 商 支 持 的 应 用 程 序 （ 例 如 已 经 被 供 应 商 确 定 为 随 着 安 全 威 胁 不 断 演 进 ， 不 再 受 到 供 应 商 支 持 的 应 用 程 序 （ 例 如 已 经 被 供 应 商 确 定 为 ‘ 生 命 周 期 结 束 生 命 周 期 结 束 ’ ） 将 无 法 提 供 ） 将 无 法 提 供
与 受 支 持 版 本 相 对 等 的 安 全 性 水 平 。 与 受 支 持 版 本 相 对 等 的 安 全 性 水 平 。 ” 这 项 意 见 基 本 上 是 将 任 何 过 时 或 者 不 受 支 持 应 用 程 序 划 为 不 合 格 的 敏 感 财 务 数 据 载 体 ， 这 也 反 映 出 如 今 安 全 威 胁 开 始 越 来 越 多 地 针 对 旧 版 本 中 的 已 知 安 全 漏 洞 。 零 日 威 胁 几 乎 很 少 被 作 为 实 际 攻 击 手 段 — — 攻 击 者 往 往 会 选 择 难 度 更 低 且 更 加 有 效 的 陈 旧 b u g 作 为 突 破 口 。 W i n d o w s   X P 以 及 I E   1 0 等 早 期 软 件 版 本 正 是 生 命 周 期 结 束 项 目 的 典 型 代 表 ， 这 些 已 经 不 再 拥 有 官 方 补 丁 支 持 的 技 术 方 案 在 安 全 性 方 面 自 然 无 法 与 新 版 本 相 提 并 论 。 大 家 最 好 的 选 择 是 利 用 软 件 供 应 商 发 布 的 补 丁 进 行 常 规 升 级 或 者 紧 急 修 复 ， 从 而 确 保 自 身 不 存 在 明 显 的 安 全 缺 口 。 利 用 D u o 公 司 的 D e v i c e   I n s i g h t 功 能 ， 大 家 可 以 找 出 任 何 已 经 过 期 的 设 备 ， 甚 至 利 用 E n d p o i n t   R e m e d i a t i o n 策 略 及 控 制 功 能 将 其 屏 蔽 ， 直 到 其 被 升 级 至 最 安 全 版 本 。 其 它 其 它 P C I   D S S   3 . 2 资 源 资 源 这 里 还 要 强 调 3 . 2 版 本 制 定 的 时 间 表 ： 《 P C I   D S S   3 . 2 计 划 ： 关 键 日 期 》 。 其 中 一 项 重 要 日 期 在 于 3 . 1 版 本 的 淘 汰 时 间 ， 即 2 0 1 6 年 1 0 月 — — 3 . 2 版 本 发 布 的 六 个 月 之 后 。 这 意 味 着 一 切 合 规 审 计 评 估 都 将 在 那 时 遵 循 新 的 3 . 2 版 本 标 准 。 大 家 可 查 看 P C I   D S S   3 . 2 的 完 整 版 本 的 完 整 版 本 以 及 由 3 . 1 到 到 3 . 2 版 本 的 变 更 内 容 汇 总 版 本 的 变 更 内 容 汇 总 。 关 于 由 S S L 及 T L S 早 期 版 本 迁 移 至 T L S 新 版 本 的 概 述 内 容 及 完 整 常 见 问 题 解 答 ， 请 查 看 P C I   S S C 方 面 提 供 的 《 《 S S L 与 与 T L S 早 期 早 期 版 本 迁 移 公 告 ： 资 源 指 南 》 版 本 迁 移 公 告 ： 资 源 指 南 》 （ P D F 格 式 ） 。 上 述 标 记 的 所 有 源 文 件 请 在 E 安 全 微 信 公 众 号 内 回 复 “ P C I D S S ” 获 取 。 E 安 全 / 文   转 载 请 注 明 E 安 全 E 安 全 — — 全 球 网 络 安 全 新 传 媒 E 安 全 微 信 公 众 号 安 全 微 信 公 众 号 ：   E A Q a p p E 安 全 新 浪 微 博 安 全 新 浪 微 博 ： w e i b o . c o m / E A Q a p p
E 安 全 安 全 P C 站 点 站 点 ： w w w . e a s y a q . c o m E 安 全 客 服 安 全 客 服 & 投 稿 邮 箱 投 稿 邮 箱 ： e a p p @ e a s y a q . c o m 点 击 下 方 ” 阅 读 原 文 阅 读 原 文 “ 即 可 下 载 安 装 E 安 全 a p p 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理