Twoje miasto – Twoje życie – miasta świetokrzyskie

Monitorowanie zdarzeń na PCI DSS

Ten artykuł został wyprodukowany, aby pomóc wszystkich zainteresowanych z zapewnieniem ich organizacji może spełniać zobowiązania PCI DSS do zarządzania dzienniku zdarzeń – „…. PCI DSS 10 2 § Wdrożenie automatycznych ścieżek audytu dla wszystkich komponentów systemu” Są dwa typowe problemy, które muszą się zająć – po pierwsze, „co jest najlepszym sposobem gromadzenia i scentralizować dzienniki zdarzeń” A po drugie, „co musimy zrobić z dzienników zdarzeń, gdy będziemy mieli ich przechowywane centralnie? (A jak będziemy radzić sobie z wielkości?)” Pismo z PCI DSS, są Państwo zobowiązani do korzystania z przypadku i dzienników kontroli w celu śledzenia aktywności użytkownika dla każdego urządzenia w zakresie i. e. wszystkich urządzeń, które albo ‘touch’ dane posiadacza karty lub mieć dostęp do karty systemów przetwarzania danych. Pełne pozycji Zaloguj sekcji Śledzenie PCI DSS jest w następujący sposób – „Wymagania PCI DSS 10: Śledzenie i monitorowanie wszystkich dostępu do zasobów sieciowych i danych posiadacza karty” mechanizmy logowania i możliwość śledzenia aktywności użytkowników są niezbędne w celu zapobiegania, wykrywania, lub zminimalizowania wpływu kompromisu danych. Obecność dzienników we wszystkich środowiskach umożliwia dokładne śledzenie, ostrzegania i analizy, gdy coś pójdzie nie tak. Ustalenie pochodzenia kompromisu jest bardzo trudne bez logów aktywności systemu. Biorąc pod uwagę, że wiele majątków PCI DSS będzie zasięg geograficzny jest zawsze dobrym pomysłem jest używanie niektórych środków centralizacji wiadomości dziennika, jednak jesteś zobowiązany do podjęcia tej drogi i tak jeśli czytasz rozdział 10. 5. 3 z PCI DSS – „Szybko kopii zapasowych plików audytu do centralnego serwera dziennika lub mediów, że trudno jest zmienić” Pierwszą przeszkodą do pokonania jest gromadzenie dzienników zdarzeń. Unix i Linux mogą korzystać z komputerów ojczystym syslogd możliwości, ale serwerów Windows będą musieli korzystać trzeciej agenta systemu Windows Sylog przenieść Dzienniki zdarzeń systemu Windows za pomocą syslog. Zapewni to wszystkich komunikatów dziennika zdarzeń postaci serwerów Windows są wspierane centralnie zgodnie z PCI DSS. Podobnie, Oracle i SQL Server aplikacji będzie wymagać także pełnomocnik Syslog, aby wyodrębnić wpisy do przesyłania do centralnego serwera syslog. Podobnie, IBM z / OS mainframe lub AS/400 muszą również specyficzne dla platformy technologii agentów w celu zapewnienia, dzienniki zdarzeń są wspierane. Oczywiście, zapory i Intrusion Protection / Detection System (IPS / IDS), jak również większość przełączników i routerów wszystkie natywnie generowanie komunikatów syslog. Plik-Integrity Monitoring i ScanningWhile luki jesteśmy na temat wdrażania agentów na platformy do monitorowania zdarzeń, warto rozważyć inne wymiary PCI DSS, a mianowicie plik integralności monitorowania i skanowania słabych punktów / oceny. Obie te funkcje można rozwiązać za pomocą agenta na pokładzie serwerów i stacji roboczych. Plik-Integrity monitorowania (patrz punkt 11. 5 z PCI DSS) jest niezbędne do zapewnienia kluczowych programów i plików systemu operacyjnego nie przeniknęły przez trojany lub inne szkodliwe oprogramowanie, i że „backdoor” kod nie jest włożona w aplikacjach. Plik-Integrity Monitoring powinny być stosowane do wszystkich komputerów i systemów Epos, serwerów Windows, Unix i Linux gospodarzy. Luka Skanowanie jest kolejny element PCI DSS i wymaga od wszystkich urządzeń do skanowania regularnie na obecność luk w zabezpieczeniach. Kluczową zaletą środka podejście oparte jest to, że skanuje luka może być wykonywane w sposób ciągły, a wszelkie zmiany konfiguracji renderowania komputery / Epos / Servers mniej bezpieczne lub mniej „hartowane” zostaną zidentyfikowane i sygnalizowane na. Agent będzie musiał ważne ustawienia PCI Security / Vulnerability Assessment / PCI Listy kontrolne Hartowanie być stosowane. Archiwizacja dziennika zdarzeń do scentralizowanego montowane ServerOnce, historia Ścieżka audytu muszą być wsparte w taki sposób, że „trudno jest zmienić”. Tradycyjnie, do jednorazowego zapisu zostały wykorzystane do zapewnienia historie przypadku nie może być zmieniony, ale najbardziej scentralizowanych rozwiązań serwerowych log teraz zatrudniać plików monitorowania integralności jako sposób wykrywania wszelkich prób zmiany lub edycji kopii zapasowej dziennika zdarzeń. Więc jeśli chodzi o nasze dwa pytania początkowego, mamy w pełni obejmuje pierwszych, ale co z następnym pytaniem logiczny „Co robimy z – oraz w jaki sposób radzić sobie z – dzienniki zdarzeń zebranych” PCI DSS 10 pkt. 6 Przegląd operacji dla wszystkich elementów systemu co najmniej raz dziennie „To jest część standardu, który powoduje największe obawy. Jeśli wziąć pod uwagę wielkość dzienników zdarzeń, które mogą być generowane przez typowy firewall może to być istotne, ale jeśli zarządzający detalicznej osiedle 800 sklepach z 7500 urządzeń w zakresie PCI DSS, zadania kontroli logów z urządzeń jest będzie możliwy do osiągnięcia. Może to być dobry moment, aby rozważyć kilka automatyzacji procesu. . . ? Bezpieczeństwo informacji i zarządzanie zdarzeniami lub rynku SIEM zdefiniowane przez firmę Gartner obejmuje zaawansowane generacji rozwiązań audytu zbiorów i dzienników zdarzeń, a następnie analizować i interpretować wydarzenia e. g. wydarzenia wagę urządzenia, zdarzenia rodzaju i ciężkości, i analizować dane w dziennikach zdarzeń, jak są one przechowywane. W rzeczywistości, PCI DSS uznaje potencjalną wartość tego rodzaju technologii „zbioru Zaloguj się, analizowania i narzędzi ostrzegania może być używany do celów zgodności z wymogiem 10. 6 PCI DSS” technologii SIEM pozwala dzienniki zdarzeń zostają automatycznie i inteligentnie zarządzane tak, że tylko naprawdę poważnego zdarzenia zabezpieczeń są powiadamiani. Najlepsza technologia SIEM w stanie odróżnić prawdziwej działalności hakerów działa „brute force” atak i użytkownik, który po prostu zapomniał swojego hasła i wielokrotnie próbuje uzyskać dostęp do ich konta. Oczywiście istnieje kwota dostosowywania wymagana dla każdego środowiska, każdej organizacji sieci, systemów, aplikacji i sposób użytkowania są niepowtarzalne, jakie są odpowiednie wartości log zdarzeń i typach. Wydarzenie PCI log procesu zarządzania można realizować w trzech etapach, zapewniając, że nie jest prostą progresję poprzez coraz zgodnych ze standardem PCI DSS i staje się w pełni kontrolować swoje PCI Estate. Fazy ​​drzewa pomoże Ci w zrozumieniu w jaki sposób funkcje Estate PCI normalnie i, w rezultacie, umieszczenie wszystkich rzeczywistych zagrożeń bezpieczeństwa w centrum uwagi. 1. ZEBRANIE – Wdrożenie systemu SIEM i zebrać wszystkie dzienniki zdarzeń centralnie – technologia SIEM zapewni indeks słów kluczowych wszystkich zdarzeń, zgłaszanych przez typ urządzenia, nasilenia zdarzeń, a nawet tylko podstawowe, wstępnie zdefiniowane reguły stosowane, wielkość dzienników, typu można ustalić. Należy zapoznać się z typami komunikatów dziennika zdarzeń zebranych a tym, co „dobre” wygląda jak dla nieruchomości. 2. PROFIL – Udoskonalenie identyfikacji typu zdarzenia i progów – po początkowym okresie oceny bieżącego stanu została zakończona możemy następnie dostosować przepisy i progi aby sprostać profil posiadłości, w celu utworzenia profilowane, „stanu stacjonarnego” widzenia typów zdarzeń i wielkości. Mimo, że wszystkie dzienniki muszą być zebrane i przechowywane przez PCI DSS, istnieje duża część wydarzeń, które nie są istotne na dzień na dzień podstawie i celem jest de-podkreślić te, w celu promowania skupić się na tych zdarzeń, które są znaczące. 3. FOCUS – proste obcinanie typów zdarzeń jest odpowiednie dla niektórych istotnych zdarzeń związanych z bezpieczeństwem, takich jak programy antywirusowe alertów lub IPS wykrywania podpisu, ale dla innych zdarzeń związanych z bezpieczeństwem konieczne jest skorelowanie i wzorca meczu kombinacji i sekwencji zdarzeń. SIEM tylko staje się cenny, gdy jest z informacją o zarządzaniu liczbę znaczących zdarzeń bezpieczeństwa. Ważne jest, aby pamiętać, że nawet wtedy, gdy pewne zdarzenia są de-podkreślił, są one nadal przechowywane zgodnie z wytycznymi PCI DSS, które aby dzienniki na 12 miesięcy. Co najmniej 3 miesiące dzienników zdarzeń musi być on-line, format wyszukiwania dla co najmniej 3 miesiące, i archiwizowane przez 12 miesięcy.
Ponownie, archiwizowane i on-line repozytoriów dziennika musi być chroniony od edycji lub manipulowania tak jednorazowego zapisu i monitorowanie integralności pliku musi być stosowany w celu zachowania integralności pliku dziennika.