PCI DSS (Ödeme Kartı Sektörü Veri Güvenliği Standardı) 4.0.1'e göre dosya güvenliği kapsamınızda eksiklikler tespit ettiyseniz, bir sonraki soru pratik bir sorudur: Bu eksikliklerin giderilmesi aslında nasıl gerçekleşir?
PCI DSS, CDE’yi (Kart Sahibi Veri Ortamı) kart sahibi verilerini depolayan, işleyen veya ileten her sistem ile bu tür bir sisteme sınırsız erişimi olan her sistem olarak tanımlamaktadır. Bu sınır, ağ ve erişim kontrolü düzeyinde uygulanmaktadır; ancak dosya düzeyinde sürekli olarak aşılmaktadır. Web trafiği, dosyaları CDE’ye taşır. E-posta, CHD’yi (Kart Sahibi Verileri) işleyen sistemlere ekleri iletir. Çıkarılabilir ortamlar, ağ denetimlerinin ulaşamadığı fiziksel sınırların ötesine dosyaları taşır. Dosya güvenliği, içerik katmanında CDE sınırını uygulayan unsurdur.
MetaDefender OPSWATkritik altyapı koruması için geliştirdiği yapay zeka destekli MetaDefender . Bu makale, standardın temel gerekliliklerini MetaDefender özelliklerle eşleştirerek, güvenlik ekiplerinin ve uyumluluk paydaşlarının kapsama alanını ayrıntılı bir şekilde değerlendirebilmelerini sağlar.
MetaDefender , çok motorlu kötü amaçlı yazılım algılama, dosya temizleme, güvenlik açığı değerlendirmesi, çıkarılabilir ortam kontrolü ve merkezi günlük kaydı yoluyla PCI DSS 4.0.1’in 1, 2, 5, 6, 8, 9, 10, 11 ve 12 numaralı gerekliliklerini MetaDefender ; böylece CDE’nin maruz kaldığı her dosya alım kanalını kapsar.
Bu konu size yeni mi geliyor? PCI DSS uyumluluk programınızda dosya güvenliğinin neden hayati önem taşıdığını anlatan blog yazımızla başlayın; bu yazıda, 4.0.1 maddesinin yedi dosya alım kanalı genelinde öngördüğü tüm gereklilikler ele alınmaktadır.
1. Bölüm: Dosya Güvenliği Gereklilikleri
5, 6 ve 11 numaralı gereklilikler, dosya güvenliğinin uyumluluk üzerinde en doğrudan etkiye sahip olduğu alanlardır. Bunlar aynı zamanda finansal hizmetler ortamlarında en çok kapsama eksikliğinin ortaya çıktığı alanlardır.
5. Gereklilik: Tüm Sistemleri ve Ağları Kötü Amaç Software Korumak
5. Gereklilik, kuruluşların CDE’deki tüm sistemlerde kötü amaçlı yazılımları önleyen, tespit eden ve bunlarla mücadele eden kapsamlı kötü amaçlı yazılım önleme çözümlerini devreye almasını ve sürdürmesini gerektirmektedir. Bu, aktif ve güncel savunma mekanizmalarının kurulmasını, gerçek zamanlı veya periyodik taramaların gerçekleştirilmesini ve kimlik avı önleme mekanizmalarının uygulanmasını içermektedir. Kapsam, web ve e-posta ağ geçitlerini, bulut depolama alanlarını, uç cihazları ve çıkarılabilir ortamları da kapsamaktadır.
OPSWAT , Sistemleri ve Ağları Kötü Amaçlı SoftwareNasıl OPSWAT ?
OPSWAT Metascan™ Multiscanning teknolojisi, 30’dan fazla ticari kötü amaçlı yazılım önleme motorunu kullanarak bilinen kötü amaçlı yazılımları olağanüstü bir doğrulukla tespit ederken, Deep CDR™ Teknolojisi ise dosyaları güvenli ve kullanılabilir biçimlere dönüştürerek sıfırıncı gün ve gömülü tehditleri proaktif olarak etkisiz hale getirir.
- MetaDefender , tüm başlıca dosya alım kanallarında çok katmanlı derin içerik denetimi sağlar.
- MetaDefender gelişmiş sanal ortam teknolojisi, imza tabanlı algılama yöntemlerinin gözden kaçırdığı, algılamayı atlatmaya yönelik veya dosyasız kötü amaçlı yazılımları ortaya çıkarır.
- MetaDefender ve MetaDefender , USB takıldığı anda güvenli USB sağlar.
- MetaDefender Security™, kimlik avı amaçlı ekleri ve şüpheli içerikleri teslim edilmeden önce engeller.
- MetaDefender ICAP , HTTP/S trafiğini tarayarak, aktarım halindeki zararlı dosyaları iç sistemlere ulaşmadan önce tespit eder ve engeller
- My Central ManagementMy , tüm dağıtım genelinde günlük kaydı, motor güncellemeleri ve uyumluluk görünürlüğünü tek bir merkezden yönetir.
6. Gereklilik: Secure ve Software Geliştirmek ve Bunların Bakımını Yapmak
Gereklilik 6, CDE içindeki tüm sistemlerin ve yazılımların yaşam döngüleri boyunca güvenli bir şekilde geliştirilmesini, bakımının yapılmasını ve korunmasını sağlar. PCI DSS 4.0.1, iki hedefe odaklanır: güvenlik açıklarının istismar edilmesini önlemek ve özel veya üçüncü taraf yazılımlar yoluyla ortaya çıkan riski azaltmak. Gereklilik 6.3.2, güvenlik açığı yönetimi için bu bileşenlerin envanterinin düzenli olarak tutulmasını özellikle şart koşar. Bu, yamaların zamanında uygulanması, güvenli SDLC (Software Yaşam Döngüsü) uygulamalarının benimsenmesi ve güvenli kod depolarının sürdürülmesi anlamına gelir.
OPSWAT , Secure ve Software Secure Nasıl OPSWAT ? Software Geliştirme ve Bakım
MetaDefender , yazılım bileşenlerine ve dosya paketlerine, bunların üretim ortamına girmeden önce derinlemesine bir görünürlük sağlayarak 6. Gerekliliği MetaDefender .
- Çok motorlu dosya güvenlik açığı değerlendirmesi, ikili dosyalarda, yükleyicilerde ve bağımlılıklarda bilinen CVE (Common Vulnerability and Exposure) kayıtlarını tespit eder; böylece ortama yalnızca güvenli ve değerlendirilmiş bileşenler ulaşır.
- MetaDefender Core MetaDefender ICAP Server , web uygulamaları için dosya güvenliğiniServer ve harici veya güvenilir olmayan kaynaklardan gelen içeriğin trafiğini denetler.
- MetaDefender Software Chain™, üçüncü taraf kütüphaneleri analiz ederek, kod bileşenlerini kötü amaçlı veya güvenlik açığı içeren unsurlar açısından tarayarak ve bağımlılık şeffaflığını artıran SBOM (Software MalzemeSoftware ) çıktıları oluşturarak geliştirme iş akışlarını güçlendirir.
Gereklilik 11: Sistemlerin ve Ağların Güvenliğini Düzenli Olarak Test Etmek
Gereklilik 11, sistemlerin ortaya çıkan tehditlere karşı dayanıklılığını korumak amacıyla sürekli güvenlik testlerinin (güvenlik açığı değerlendirmeleri, sızma testleri ve izinsiz giriş algılama dahil) yapılmasını zorunlu kılar. Gereklilik 11.3.1.2 ise kimlik doğrulamalı iç tarama yapılmasını şart koşar.
OPSWAT , Secure ve Software Secure Nasıl OPSWAT ? Software Güvenlik Testleri
MetaDefender , file-based vulnerability assessment, çoklu tarama, sanal ortam analizi ve kritik veri giriş noktalarında tehdit tespiti yoluyla 11. Gerekliliği MetaDefender .
- MetaDefender Core, MetaDefender ICAP Server, MetaDefender Security™, MetaDefender File Transfer™ ve MetaDefender Software Supply Chain , dağıtım öncesinde dosyalarda, yükleyicilerde ve yazılım paketlerinde bilinen CVE’leriSupply Chain .
- MetaDefender (Ağ Algılama ve Müdahale), ağ trafiğini şüpheli dosya davranışları ve güvenlik ihlali göstergeleri açısından analiz eder.
- MetaDefender , tam sistem düzeyinde güvenlik açığı taramaları veya ağ genelinde saldırı tespiti MetaDefender ; ancak, dosya kaynaklı tehditlerin çoğunun ortama girdiği noktalarda dosyaları doğrular.
2. Bölüm: CDE Genelinde Gereksinimlerin Desteklenmesi
Dosya güvenliği, Gereklilik 5, 6 ve 11’in merkezinde yer almaktadır; ancak MetaDefender kapsamı, standardın diğer birçok alanına da uzanmaktadır. İşte bu alanlarda katkı sağladığı noktalar.
Gereklilik 1: Ağ Güvenliği Kontrollerinin Kurulması ve Sürdürülmesi
1. Gereklilik, CDE’yi korumak amacıyla güvenlik duvarları, yönlendiriciler ve sınır koruma cihazları dahil olmak üzere ağ güvenlik kontrollerinin kurulmasını ve sürdürülmesini zorunlu kılar. Buna ağ segmentasyonunun uygulanması, ilkelerin yapılandırılması ve veri akışlarının belgelenmesi de dahildir.
Fiziksel erişim kontrolleri, ağ düzeyinde sınır güvenliğini sağlar; ancak dosyalar, MetaDefender kontrollerin uygulandığı içerik katmanında bu sınırı sürekli olarak aşmaktadır.
OPSWAT , Ağ Güvenliği Kontrollerinin Sürdürülmesini Nasıl OPSWAT ?
OPSWAT , ağdaki kilit kontrol noktalarında içerik tabanlı tehdit önleme özelliği ekleyerek 1. Gerekliliği OPSWAT .
- MetaDefender , e-posta, web, depolama, çıkarılabilir ortamlar ve uç nokta kanalları üzerinden aktarılan dosyaları inceler, temizler ve doğrular; böylece ağ denetimleri trafiğe izin verse bile içerik katmanındaki riski azaltır.
- Metascan Multiscanning, Deep CDR™ Teknolojisi ve Proactive DLP , kötü niyetli içeriğin bölümlere ayrılmış ortamlara girmesini veya bu ortamlar içinde yayılmasını önlemek için birlikte çalışır.
2. Gereklilik: Tüm Sistem Bileşenlerine Secure Uygulayın
2. Gereklilik, sunucular, uygulamalar ve ağ cihazları dahil olmak üzere tüm sistem bileşenlerinin güvenli bir şekilde yapılandırılmasını ve tutarlı bir şekilde bakımının yapılmasını sağlar. Bu, gereksiz hizmetlerin ortadan kaldırılmasını, güvenlik güçlendirme standartlarının uygulanmasını ve sistemlerin zaman içinde bu yapılandırmalara uygunluğunun doğrulanmasını içerir.
OPSWAT , Sistem Bileşenlerinde Secure Nasıl OPSWAT ?
MetaDefender , dosyaları, yazılım paketlerini ve yükleyicileri, üretim sistemlerine ulaşmadan önce kötü amaçlı yazılımlara ve bilinen güvenlik açıklarına karşı tarayarak bu gereksinimi MetaDefender . Böylece, yalnızca güvenli ve doğrulanmış bileşenlerin farklı güven düzeylerine sahip ortamlar arasında geçiş yapmasını sağlar.
- MetaDefender Endpoint , yama uygulamayı ve güvenlik durumunun doğrulanmasınıEndpoint ; öte yandan
- MetaDefender Software Supply Chain , üçüncü taraf ve açık kaynaklı bileşenlerdeki güvenlik açıklarınıSupply Chain . Gereklilik 8: Kullanıcıları Tanımlama ve Sistem Bileşenlerine Erişimin Doğrulanması
8. Gereklilik: Kullanıcıları Tanımlama ve Sistem Bileşenlerine Erişimin Doğrulanması
8. Gereklilik, CDE içindeki sistemlere erişimi güvence altına almak amacıyla, MFA (Çok Faktörlü Kimlik Doğrulama) dahil olmak üzere benzersiz kullanıcı kimliklendirme ve güçlü kimlik doğrulama kontrollerinin uygulanmasını zorunlu kılar. Bu gereklilik, şifre standartlarını, hesap yönetimini, kimlik doğrulamayı ve kimlik bilgilerinin çalınmasına karşı alınacak önlemleri düzenler.
OPSWAT , Kullanıcı Kimlik Tespiti ve Erişim Kimlik Doğrulamasını Nasıl OPSWAT ?
MetaDefender , MetaDefender Active Directory ve SSO (Tek Oturum Açma) platformları gibi harici IAM (Kimlik ve Erişim Yönetimi) sağlayıcılarıyla entegre ederek, güçlü kimlik doğrulama ve güvenli yönetim erişimi sağlayarak 8. Gerekliliği MetaDefender .
- Konsol oturum açma işlemleri HTTPS ile korunmaktadır ve My OPSWAT Central Management , yerel yönetici hesaplarına yönelik kimlik doğrulama ilkeleriniCentral Management .
- Proactive DLP , taranan dosyalarda açıkta kalan kimlik bilgilerini de tespit edebilir.
9. Gereklilik: Kart Sahibi Verilerine Fiziksel Erişimi Kısıtlama
9. Gereklilik, kart sahibi verilerini depolayan veya işleyen sistemler, cihazlar ve ortamlar üzerinde sıkı fiziksel güvenlik önlemlerinin sağlanmasına odaklanmaktadır. Bu gereklilik, fiziksel erişimin kısıtlanması, ziyaretçilerin yönetimi, hassas ortamların takibi ve fiziksel formdaki kart sahibi verilerinin güvenli bir şekilde işlenmesi ve imha edilmesini sağlamak için gerekli kontrolleri içermektedir.
Çıkarılabilir ortamlar, hem ağ segmentasyonunu hem de geleneksel çevre kontrollerini atlatan az sayıdaki fiziksel saldırı vektöründen biridir. Bu, Gereklilik 9 ile MetaDefender arasındaki özel kesişme noktasıdır.
OPSWAT , Kart Sahibi Verilerine Secure Erişimin Secure Nasıl OPSWAT ?
Bir ağa fiziksel erişim için ağ bağlantısı gerekmez. Çıkarılabilir depolama ortamları, hava boşluklu sistemler de dahil olmak üzere ödeme ortamlarında en doğrudan fiziksel saldırı vektörlerinden biridir.
- MetaDefender Kiosk MetaDefender Endpoint , dosyalar güvenli ağlara girmeden veya bu ağlardan çıkmadan önce USB Endpoint ve temizler; böylece fiziksel ortamlar yoluyla kötü amaçlı yazılım aktarımını önler.
- My OPSWAT Central Management ’daki merkezi politika denetimleri, tutarlı bir şekilde uygulanmasınıCentral Management . Fiziksel erişim kontrolü, kuruluşun sorumluluğunda olmaya devam eder; ancak MetaDefender , fiziksel sınırda dosya katmanının MetaDefender .
Gereklilik 10: Sistem Bileşenlerine ve Kart Sahibi Verilerine Yapılan Tüm Erişimleri Kaydetme ve İzleme
10. Gereklilik, sistemlere, kart sahibi verilerine ve güvenlikle ilgili olaylara yönelik tüm erişimleri izleyen kapsamlı günlük kaydı ve izleme sistemine duyulan ihtiyacı tanımlamaktadır. Eksiksiz denetim günlükleri, adli analizlerin yapılmasını, kullanıcıların hesap verebilirliğini ve şüpheli faaliyetlerin hızlı bir şekilde tespit edilmesini sağlar.
OPSWAT , Kart Sahibi Verileri Ortamlarında Günlük Kaydı ve İzleme İşlemlerini Nasıl OPSWAT ?
MetaDefender , tüm modüllerinde kötü amaçlı yazılım tarama faaliyetleri, yönetimsel işlemler, tehdit tespitleri ve motor güncellemeleri için ayrıntılı günlükler oluşturarak 10. Gerekliliğe MetaDefender .
- OPSWAT Central Management My , bu bilgileriCentral Management ve daha kapsamlı korelasyon analizi ile uzun vadeli veri saklama amacıyla SIEM (Güvenlik Bilgisi ve Olay Yönetimi) platformlarıyla entegre olur.
- MetaDefender , işletim sistemi veya ağ düzeyindeki günlük kaydı sistemlerinin yerini MetaDefender ; ancak dağıtım genelinde dosya tabanlı tehditlere ve MetaDefender faaliyetlerine ilişkin güvenilir bir görünürlük sağlar.
Gereklilik 12: Kurumsal Politikalar ve Programlarla Bilgi Güvenliğini Desteklemek
12. Gereklilik, sürekli bir bilgi güvenliği programı için kurumsal çerçeveyi belirler. Kart sahibi verilerinin tutarlı bir şekilde korunmasını sağlamak amacıyla resmi politikalar, çalışan eğitimi, olay müdahale süreçleri ve sürekli risk yönetimini zorunlu kılar.
Kurumsal güvenlik politikaları, MetaDefender genelinde dosyaların nasıl işlendiğini, denetlendiğini ve günlüğe kaydedildiğini kapsar. MetaDefender , bu gerekliliğe merkezi uygulama yoluyla MetaDefender .
OPSWAT , Kurumsal Politikalar ve Programlar Aracılığıyla Bilgi Güvenliğini Nasıl OPSWAT ?
MetaDefender , kötü amaçlı dosya faaliyetlerini tespit ederek ve beklenen konumların dışında bulunan, hassas olabilecek kart sahibi verilerini belirleyerek 12. Gerekliliği MetaDefender .
- OPSWAT Central Management My MetaDefender genelinde tarama sonuçları, güvenlik olayları ve politika uygulamasına ilişkin merkezi bir görünürlükCentral Management
Hepsini Bir Araya Getirmek
OPSWATPCI DSS 4.0.1’e yaptığı katkı, uyumluluk mimarisinin tamamını kapsamaktadır: çoklu motorlu algılama, dosya temizleme, güvenlik açığı değerlendirmesi, çıkarılabilir ortam kontrolü, merkezi günlük kaydı ve tedarik zinciri görünürlüğü. Bu yetenekler, CDE’nin maruz kaldığı her veri alım kanalında, standardın tanımladığı dosya kaynaklı tehdit yüzeyini ele almaktadır.
Uyum açıklarını sorunsuz bir şekilde kapatan ekipler, daha fazla araç kullanmıyorlar. Doğru denetim noktalarında doğru kontrolleri uyguluyorlar ve tüm bu kontrollere ilişkin merkezi bir görünürlük sağlıyorlar.
PCI DSS Eşleştirme Kılavuzu + PCI DSS Başlangıç Kontrol Listesi’ni indirinMetaDefender her bir gerekliliğe tam olarak nasıl MetaDefender görmek ve mevcut programınızda hangi alanlarda eksiklikler olduğunu belirlemek için.
Okumaya Devam Et
PCI DSS Uyumluluk Programınızda Dosya Güvenliği Neden Önemlidir?
PCI DSS 4.0.1’in dosya güvenliği konusuna yeni mi bakıyorsunuz? Bu blog yazısı, standardın yedi farklı dosya alım kanalında ne tür gereklilikler getirdiğini ortaya koyuyor ve uç nokta korumasının neden bunlardan sadece birini kapsadığını açıklıyor.
