Забезпечення відповідності стандарту PCI DSS за допомогою сегментації мережі: повний технічний посібник

PCI DSS — це стандарт безпеки, який охоплює не лише рівень контролю, а й архітектурні аспекти інфраструктури. Існує не так багато рішень, які безпосередньо впливають на сферу застосування відповідності, і сегментація мережі є одним із них.

Кожна нова система, що додається до сфери застосування PCI, створює певні нові виклики, такі як збільшення кількості елементів контролю, що підлягають аудиту, збільшення кількості журналів, що підлягають перегляду, та інші. Забутий DNS-сервер може включити половину мережі до сфери дії стандарту.

У цьому випадку тестування сегментації мережі є надзвичайно важливим, оскільки воно виконує функцію стратегічної межі, що показує, де починається і закінчується відповідність вимогам.

Визначення тестування сегментації мережі  

Тестування сегментації мережі можна описати як процес перевірки того, чи всі засоби контролю, такі як брандмауери, списки контролю доступу (ACL) та правила, властиві хмарним середовищам, ізольовані в середовищі даних власників карток (CDE) від решти мережі. Такий підхід гарантує відсутність будь-яких ненавмисних обмінів даними між системами CDE та системами, що не належать до CDE.

Важливість тестування сегментації мережі

Активне мінімізування площі аудиту PCI

За допомогою сегментації мережі можна змінити межі сфери застосування PCI, і на архітектурному рівні для цього є лише кілька варіантів. Цей підхід базується на чітких межах навколо CDE, що дозволяє безпосередньо мінімізувати площу аудиту.

У разі гібридного або великого розгортання такий метод також може зменшити операційні перешкоди, час на забезпечення відповідності вимогам та інженерні накладні витрати. Це може стати важливим фактором для середовищ, де високі витрати на ресурси та складність аудиту.

Уповільнюйте зловмисників

У плоских мережах зловмисники мають безліч можливостей для проникнення в систему, тоді як сегментовані мережі набагато безпечніші.

Якщо перевірка сегментації наразі є частиною вашої системи безпеки, проблеми поза межами CDE не переростуть у порушення вимог PCI. Це можна розглядати як запобіжний захід до порушення безпеки. Для більшості постачальників послуг PCI SDD це є вирішальним фактором, що свідчить про зрілість системи безпеки.

Мінімальні привілеї на рівні мережі

Сегментацію можна охарактеризувати як останню лінію оборонних механізмів. Це означає, що навіть у разі неправильної конфігурації ролей сегментація гарантує, що системи можуть взаємодіяти між собою лише тоді, коли це явно дозволено.

Завдяки такому підходу можна реалізувати модель «нульової довіри» у групах безпеки та VLAN, а також забезпечити можливість фізичного аудиторського сліду. Такий рівень аудиторських слідів очікується більшістю провідних компаній-сертифікаторів PCI (QSA).

Перелік заходів для сегментації мережі

Перед початком будь-якої обробки переконайтеся, що:

• Для необхідної зони визначено зразкові системи.
• Межі CDE добре задокументовані.
• Наявні та підготовлені інструменти тестування.
•  Перевірено всі правила сегментації та списки контролю доступу (ACL).
• Результати тестування зафіксовано та зареєстровано.

Покроковий процес тестування сегментації мережі

Визначення сегментованих зон та CDE

Першим кроком є визначення областей, де обробляється вся інформація про власників карток. Після цього надзвичайно важливо скласти карту суміжних систем, таких як сервери, бази даних, DNS або допоміжні інструменти.

Потім слід визначити, які системи слід сегментувати, щоб вивести їх за межі зони дії, а які — залишити в межах зони дії.

Визначення систем для тестування

Наступним кроком є вибір систем для тестування, які перебувають поза зоною дії та в зоні дії. Це може стосуватися різних мереж, хмарних середовищ та центрів обробки даних, зокрема тих, що відповідають за управління системами та аутентифікацію.

Тестування двостороннього доступу

Цей процес пов’язаний із використанням різних інструментів, таких як traceroute або nmap. Вони необхідні для перевірки того, чи можуть системи в CDE ініціювати взаємодію із зовнішніми системами.

Після завершення цього етапу слід переконатися, що взаємодія між CDE та зовнішніми системами відбувається лише за необхідності та в повністю контрольованому середовищі.

Перевірка служб підтримки

Існує чимало служб, які слід перевірити після завершення тестування доступу. Це стосується syslog, DNS, Active Directory, NTP, серверів резервного копіювання та інших служб, які можуть об’єднувати сегментовані зони. Вони повинні перевірити, чи не проходять через них непрямі шляхи.

Повна документація результатів

Процес документування всіх результатів є настільки ж важливим, як і інші вищезазначені етапи. Намагайтеся зберегти всі деталі та навіть необхідні знімки екрана. Це значно спростить роботу команд з безпеки та дотримання нормативних вимог.

Зафіксуйте всі деталі щодо зон, імен хостів, IP-адрес та правил сегментації. Потім упорядкуйте всю інформацію у структурованому форматі. Крім того, документація має бути прив’язана до інвентаризаційного реєстру CDE.

Стандартні сценарії тестування

Тепер перейдемо до деяких стратегій сегментації, які використовуються найчастіше.

Тільки VLAN

Для дотримання вимог PCI DSS використання лише сегментації за допомогою VLAN вже не є достатнім. Її слід застосовувати лише у поєднанні з брандмауером, списками контролю доступу (ACL) або іншими додатковими рівнями контролю. Зазвичай така сегментація налаштовується без належної документації або контролю трафіку, тому система потрапляє в сферу дії PCI.

Хмарні середовища

Azure, AWS та інші хмарні платформи зазвичай використовують мережеві списки контролю доступу (Network ACL), групи безпеки (Security Groups) та мережеві групи безпеки (NSG). Такий підхід забезпечує більшу гнучкість та високу динамічність, але схильний до відхилень. Стандартні операції, такі як автомасштабування та зміна правил, можуть негативно вплинути на всю систему та порушити ізоляцію. Саме тому настійно рекомендується регулярно перевіряти правила вхідного та вихідного трафіку.

Гібридне середовище

Коли поєднуються кілька підходів, приватні канали та VPN-тунелі можуть негативно впливати на ізольовану зону. Тому необхідно ретельніше планувати застосування сегментації на кінцевих точках тунелів. Таке середовище вимагає більшої уваги до політик маршрутизації та потоків трафіку.

Як обрати належного партнера для перевірки сегментації?

Оскільки вимога 11.4.5 робить сегментацію важливішою, ніж будь-коли раніше, вам слід чітко розуміти, як обрати правильного партнера. Ось кілька важливих критеріїв, на які слід звернути увагу:

Реальний досвід роботи з PCI DSS, а не лише випадкові тестування безпеки

Обраний постачальник послуг повинен глибоко розуміти PCI DSS v4.0, зокрема в аспектах обґрунтованості під час аудиту, скорочення сфери застосування та тлумачення вимоги 11.4.5. Ще одним значним плюсом буде, якщо обраний постачальник також бере участь у проведенні аудитів.

Гібридний підхід до тестування

Проблеми із сегментацією рідко виявляються за допомогою базових стратегій тестування. Проблеми зазвичай виявляються у резервних варіантах DNS, неявних шляхах довіри та застарілих правилах брандмауера.

Хорошим вибором буде постачальник, який використовує як ручну перевірку, так і автоматизовані інструменти. Тестування має проводитися на реальних потоках трафіку, що дасть глибше розуміння, ніж просто використання сканування на відповідність вимогам PCI.

Знання вашої інфраструктури

Обраний партнер повинен мати практичний досвід роботи з вашою інфраструктурою, будь то VLAN, хмара чи гібридна система. Це означає, що такі експерти краще розумітимуть, які саме області слід ретельніше перевірити.

Наявність належної документації

Під час пошуку постачальника послуг слід розраховувати на більш глибоке тестування з наявністю структурованої документації, в якій зазначені всі необхідні аспекти.

Ви повинні мати доступ до результатів виконання команд, визначень зон, знімків екрана, обґрунтування ризиків тощо.

Вимоги PCI DSS щодо сегментації мережі

Чому сегментація є необхідною?

Сегментація не є обов’язковою вимогою PCI DSS. Саме тому вам слід чітко розуміти, навіщо вам потрібна сегментація. Такий підхід дає вам краще розуміння того, що насправді слід перевіряти, тож ви зможете зосередитися на конкретних заходах, а не на всьому одночасно.

Вимога 11.4.5 передбачає сегментацію

Разом із версією 4.0 з’явилася нова вимога 11.4.5. У ній зазначено, що сегментацію слід перевіряти щонайменше раз на 6 місяців. Перевірка — це не просто опціональний варіант, а обов’язкова вимога.

Логічного поділу недостатньо

CDE має бути ізольованим не лише концептуально, а й технічно. Цього можна досягти за допомогою різноманітних засобів, таких як брандмауери, хмарні засоби контролю (наприклад, Azure), VLAN або ACL. Повинні бути реальні докази ізоляції, а не лише плани та наміри.

Унеможливити взаємодію між CDE та не-CDE

Найризикованіша ситуація — це коли через вашу систему можна дістатися до тих областей, про які ви навіть не здогадуєтеся. Головним пріоритетом є переконатися, що між системами, що не належать до CDE, та системами CDE немає непередбачених шляхів зв’язку. Це може стосуватися спільних служб, таких як мережі управління, NTP та інші.  

Тестування після кожної зміни

Тестування слід проводити не лише двічі на рік, а щоразу після зміни середовища. Це може стосуватися реструктуризації хмарних ресурсів, оновлень брандмауерів, знятих з експлуатації зон тощо.

Методи перевірки для аудитів сегментації

• Сканування портів: інструменти, такі як nmap, повинні вказувати ділянки, де зв’язок між системами заборонений. Журнали сканування або знімки екрана повинні чітко вказувати протоколи та заблоковані порти.
• Мережеві схеми: вони повинні відображати реальну маршрутизацію із сегментованими зонами, шляхами зв’язку та межами.
• Журнали доступу: мають містити системні журнали, що вказують на відмову в доступі. Ця інформація необхідна для перевірки ефективності заходів контролю реального трафіку.
• Простежуваність згідно з PCI DSS 11.4.5: весь процес документування та тестування повинен відповідати вимозі 11.4.5. Це потрібно для того, щоб під час аудитів можна було легко відстежити докази та зрозуміти їхню релевантність.  

Заключні зауваження

Сегментація мережі — це один із тих стратегічних підходів, який є корисним як для безпеки, так і для зменшення обсягу аудиту. Коли все правильно сплановано та впроваджено, навколо найбільш вразливих систем будуть встановлені чіткі межі.

Перевірку сегментації слід розглядати як зміну, спрямовану на посилення контролю, а не лише як обов’язок.