Соответствие PCI DSS через сегментацию сети: полное техническое руководство

PCI DSS — это стандарт безопасности, который охватывает не только уровень контроля, но и архитектурные аспекты инфраструктуры. Решений, которые напрямую влияют на сферу действия соответствия, не так много, и сегментация сети — одно из них.

Каждая новая система, добавляемая в сферу действия PCI, создаёт новые проблемы, такие как увеличение количества средств контроля, подлежащих аудиту, увеличение объёма журналов, требующих проверки, и другие. Забытый DNS-сервер может включить половину сети в сферу действия стандарта.

В данном случае тестирование сегментации сети чрезвычайно важно, поскольку оно выступает в качестве стратегической границы, обозначающей, где начинается и заканчивается соответствие требованиям.

Определение тестирования сегментации сети  

Тестирование сегментации сети можно охарактеризовать как процесс проверки того, что все средства контроля, такие как брандмауэры, списки доступа (ACL) и правила, встроенные в облачную среду, изолированы в среде данных держателей карт (CDE) от остальной части сети. Такой подход гарантирует отсутствие непреднамеренного обмена данными между системами CDE и системами, не относящимися к CDE.

Важность тестирования сегментации сети

Активное сокращение площади атаки при аудите PCI

С помощью сегментации сети можно изменить границы области применения стандарта PCI, причём на архитектурном уровне доступно лишь несколько вариантов. Этот подход основан на установке четких границ вокруг CDE, что позволяет напрямую минимизировать зону аудита.

Если у вас гибридное или крупное развертывание, такой метод также может снизить операционные трения, сократить время на обеспечение соответствия и уменьшить инженерные накладные расходы. Это может стать значимым фактором для сред, характеризующихся высокой стоимостью ресурсов и сложностью аудита.

Замедлите злоумышленников

В плоских сетях у злоумышленников есть множество возможностей для проникновения в систему, тогда как сегментированные сети гораздо более безопасны.

Если проверка сегментации в настоящее время входит в вашу систему безопасности, проблемы за пределами CDE не перерастут в проблемы, связанные с PCI. Это может рассматриваться как сдерживание угроз до проникновения. Для большинства поставщиков услуг PCI SDD это является ключевым фактором, демонстрирующим зрелость системы безопасности.

Минимальные привилегии на сетевом уровне

Сегментацию можно охарактеризовать как последнюю линию защитных механизмов. Это означает, что даже при неверной настройке ролей сегментация гарантирует, что системы могут взаимодействовать друг с другом только в тех случаях, когда это явно разрешено.

При таком подходе можно реализовать принцип «нулевого доверия» в группах безопасности и VLAN, а также обеспечить возможность ведения физического журнала аудита. Такой уровень ведения журналов аудита ожидается большинством ведущих компаний, сертифицированных по стандарту PCI QSA.

Контрольный список для сегментации сети

Перед началом любой обработки убедитесь, что:

• Для необходимой зоны определены тестовые системы.
• Границы CDE хорошо задокументированы.
• Имеются доступные и подготовленные инструменты для тестирования.
•  Проверены все правила сегментации и списки доступа (ACL).
• Результаты тестирования зафиксированы и зарегистрированы.

Пошаговый процесс тестирования сегментации сети

Определение сегментированных зон и CDE

Первым шагом является выявление областей, в которых обрабатывается вся информация о держателях карт. После этого крайне важно составить схему смежных систем, таких как серверы, базы данных, DNS или вспомогательные инструменты.

Затем определите, какие системы следует выделить в отдельные сегменты, чтобы они находились за пределами зоны действия, а какие — в пределах зоны действия.

Определение систем для тестирования

Следующим шагом является выбор систем для тестирования, которые находятся за пределами зоны действия и в пределах зоны действия. Это может касаться различных сетей, облачных сред и центров обработки данных, в частности тех, которые отвечают за управление системами и аутентификацию.

Тестирование двунаправленного доступа

Этот процесс связан с использованием различных инструментов, таких как traceroute или nmap. Они необходимы для проверки того, могут ли системы в CDE инициировать взаимодействие с внешними системами.

По завершении этого этапа необходимо убедиться, что взаимодействие между CDE и внешними системами происходит только по необходимости и в полностью контролируемой среде.

Проверка вспомогательных служб

Существует множество служб, которые необходимо проверить после завершения тестирования доступа. Речь идет о syslog, DNS, Active Directory, NTP, серверах резервного копирования и других службах, способных объединять сегментированные зоны. Необходимо проверить, не возникают ли через них косвенные пути доступа.

Подготовьте полную документацию по результатам

Процесс документирования всех результатов так же важен, как и другие вышеупомянутые этапы. Постарайтесь сохранить все необходимые детали и даже скриншоты. Это значительно упростит работу команд по безопасности и обеспечению соответствия требованиям.

Запишите все детали, касающиеся зон, имен хостов, IP-адресов и правил сегментации. Затем систематизируйте всю информацию в структурированном формате. Кроме того, документация должна сопоставляться с инвентаризацией CDE.

Стандартные сценарии тестирования

Теперь перейдем к некоторым наиболее часто используемым стратегиям сегментации.

Только VLAN

Для обеспечения соответствия стандарту PCI DSS использования только сегментации по VLAN уже недостаточно. Её следует применять только в том случае, если она дополняется брандмауэром, списками контроля доступа (ACL) или другими дополнительными уровнями контроля. Как правило, при такой сегментации отсутствует документация или контроль трафика, в результате чего система попадает в сферу действия стандарта PCI.

Облачные среды

Azure, AWS и другие облачные платформы обычно используют сетевые списки контроля доступа (Network ACL), группы безопасности (Security Groups) и сетевые группы безопасности (NSG). Такой подход обеспечивает большую гибкость и высокую динамичность, но при этом склонен к отклонениям. Стандартные операции, такие как автомасштабирование и изменение правил, могут негативно повлиять на всю систему и нарушить изоляцию. Поэтому настоятельно рекомендуется проводить регулярную проверку правил входящего и исходящего трафика.

Гибридная среда

При объединении нескольких подходов частные каналы связи и VPN-туннели могут негативно повлиять на изолированную зону. Поэтому необходимо тщательно планировать обеспечение сегментации на конечных точках туннелей. Такая среда требует более пристального внимания к политикам маршрутизации и потокам трафика.

Как выбрать подходящего партнера для проверки сегментации?

Поскольку требование 11.4.5 делает сегментацию важнее, чем когда-либо, вам следует четко понимать, как выбрать правильного партнера. Вот несколько важных критериев, на которые следует обратить внимание:

Реальный опыт работы с PCI DSS, а не просто случайное тестирование безопасности

Выбранный поставщик должен глубоко понимать PCI DSS v4.0, в частности в аспектах обоснованности результатов аудита, сокращения области охвата и интерпретации требования 11.4.5. Ещё одним большим преимуществом будет, если выбранный поставщик также участвует в проведении аудитов.

Гибридный подход к тестированию

Проблемы с сегментацией редко обнаруживаются при использовании базовых стратегий тестирования. Проблемы обычно обнаруживаются в резервных вариантах DNS, неявных путях доверия и устаревших правилах брандмауэра.

Хорошим выбором станет поставщик, использующий как ручную проверку, так и автоматизированные инструменты. Тестирование должно проводиться на реальных потоках трафика, что даст более глубокое понимание, чем просто использование сканирования на соответствие стандарту PCI.

Знание вашей инфраструктуры

Выбранный партнер должен иметь практический опыт работы с вашей инфраструктурой, будь то VLAN, облако или гибридная среда. Это означает, что такие эксперты будут лучше понимать, какие конкретные области следует тщательнее протестировать.

Наличие надлежащей документации

При поиске поставщика вам следует рассчитывать на более глубокое тестирование с предоставлением структурированной документации, в которой упомянуты все необходимые аспекты.

У вас должен быть доступ к результатам выполнения команд, определениям зон, скриншотам, обоснованию рисков и прочему.

Требования PCI DSS к сегментации сети

Почему сегментация вам необходима?

Сегментация не является обязательным требованием PCI DSS. Именно поэтому вам следует четко понимать, зачем вам нужна сегментация. Такой подход позволяет лучше понять, что именно следует подвергать аудиту, благодаря чему вы сможете сосредоточиться на конкретных задачах, а не пытаться охватить всё сразу.

Требование 11.4.5 вводит сегментацию

Вместе с версией 4.0 появилось новое требование 11.4.5. Где можно найти предписания о том, что сегментация должна проверяться не реже одного раза в шесть месяцев? Проверка — это не просто опциональный вариант, а обязательное требование.

Логического разделения недостаточно

CDE должна быть изолирована не только концептуально, но и технически. Это может быть достигнуто с помощью различных средств, таких как брандмауэры, встроенные в облако средства контроля (например, Azure), VLAN или списки контроля доступа (ACL). Должны быть реальные доказательства изоляции, а не только планы и намерения.

Исключить взаимодействие между CDE и не-CDE

Наиболее рискованная ситуация возникает тогда, когда через вашу систему можно попасть в те области, о которых вы не имеете представления. Главный приоритет — убедиться в отсутствии непреднамеренных путей связи между системами, не относящимися к CDE, и системами CDE. Это может касаться общих служб, таких как сети управления, NTP и другие.  

Тестирование после каждой смены

Тестирование следует проводить не просто два раза в год, а каждый раз после изменения конфигурации среды. Это может касаться реструктуризации облачных ресурсов, обновлений брандмауэров, выведенных из эксплуатации зон и т. д.

Методы проверки при аудитах сегментации

• Сканирование портов: инструменты, такие как nmap, должны указывать участки, где связь между системами запрещена. Журналы сканирования или скриншоты должны чётко указывать протоколы и заблокированные порты.
• Схемы сети: они должны отражать реальную маршрутизацию с указанием сегментированных зон, путей связи и границ.
• Журналы доступа: должны включать системные журналы, в которых фиксируются случаи отказа в доступе. Эта информация необходима для проверки эффективности мер контроля реального трафика.
• Прослеживаемость в соответствии с требованием 11.4.5 стандарта PCI DSS: весь процесс документирования и тестирования должен соотноситься с требованием 11.4.5. Это необходимо для того, чтобы аудиторы могли легко отслеживать доказательства и понимать их значимость.  

Заключительные замечания

Сегментация сети — один из тех стратегических подходов, которые полезны как для обеспечения безопасности, так и для сокращения объема аудита. Если все правильно спланировано и реализовано, вокруг наиболее уязвимых систем будут созданы четкие границы.

Проверку сегментации следует рассматривать как меру по ужесточению контроля, а не просто как обязательное требование.