PCI DSS 4.0.1 Dosya Güvenliği: Endpoint Neden Yeterli Değil?

PCI DSS 4.0.1, dosya güvenliğini çok kanallı bir disiplin olarak ele alır. Kötü amaçlı yazılımdan koruma kapsamı, yalnızca uç noktalara değil, web, e-posta, bulut, yönetilen dosya aktarımı, çıkarılabilir ortamlar ve yazılım bağımlılıklarını da kapsamalıdır.

Tek bir uç noktakoruması, diğer tüm kanalların son aşamasındadır. Bir dosya uç nokta aracısına ulaştığında, diğer altı denetim noktası bu dosyayı çoktan onaylamış ya da reddetmiştir.

Yalnızca imza tespiti, standardı karşılamaya yetmez. 5. gereklilik , tüm kötü amaçlı yazılım türlerinin kapsanmasını ve sıfırıncı gün tehditlerinin davranışsal olarak tespit edilmesini öngörmektedir.

Çıkarılabilir ortamlar için açık bir yükümlülük bulunmaktadır. 5.3.3 numaralı gereklilik , çıkarılabilir ortamların takıldığında otomatik olarak taranmasını zorunlu kılar; manuel prosedürler bu şartı karşılamaz.

Software kapsam dahilindedir. 6.3.2 numaralı gereklilik , özel ve kişiye özel yazılımların güvenli bir şekilde geliştirilmesini ve üçüncü taraf bileşenlerin envanterinin tutulmasını şart koşmaktadır.

Kanalları tek tek incelemeden önce, argümanı spesifikasyonun kendisine dayandırmak yerinde olacaktır.

5. Gereklilik, tehdit yüzeyini açık bir şekilde tanımlamaktadır: "Kötü amaçlı yazılımlar, çalışanların e-posta kullanımı (örneğin, oltalama yoluyla) ve İnternet, mobile ile depolama aygıtlarının kullanımı dahil olmak üzere, iş amaçlı onaylanmış birçok faaliyet sırasında ağa sızabilir ve bu da sistemdeki güvenlik açıklarının istismar edilmesine yol açabilir." Bu, ödeme ortamlarındaki dosya tabanlı saldırılar için temel tehdit modelidir.

Standart ayrıca, yalnızca imza tabanlı algılamanın yeterli olmadığını da belirtmektedir: “Her tür kötü amaçlı yazılımı ele alan kötü amaçlı yazılım önleme çözümlerinin kullanılması, sistemleri mevcut ve gelişmekte olan kötü amaçlı yazılım tehditlerinden korumaya yardımcı olur.” Burada kilit ifadeler “her tür” ve “mevcut ve gelişmekte olan”dır. Yalnızca bilinen tehditleri tanıyan algılama yöntemi, standardın açıkça işaret ettiği bir güvenlik açığına yol açar.

5.2.1 numaralı gereklilik daha da ileri gider – standarttaki İyi Uygulama kılavuzunda, “kuruluşların ‘sıfırıncı gün’ saldırılarının (daha önce bilinmeyen bir güvenlik açığından yararlanan saldırılar) farkında olmalarının ve davranışsal özelliklere odaklanan, beklenmedik davranışlara karşı uyarı veren ve buna tepki gösteren çözümleri değerlendirmenin faydalı olduğu” belirtilmektedir. Bu, davranışsal ve sezgisel algılamanın kapsamın tam olması açısından önemli olduğunun standart tarafından kabul edildiğini göstermektedir.

6 ve 11 numaralı gereklilikler kapsamı daha da genişletmektedir. 6.3.2 numaralı gereklilik, özel olarak geliştirilmiş ve özelleştirilmiş yazılımlardaki güvenlik açıklarının tespit edilmesini şart koşarak, yazılım tedarik zinciri riskini doğrudan ele almaktadır. 11.3.1.2 numaralı gereklilik ise kimlik doğrulamalı dahili tarama yapılmasını şart koşmaktadır. Bu iki gereklilik bir araya geldiğinde, PCI DSS uyumlu bir ortamda dosya güvenliğinin tek bir kontrol önlemi değil, tüm mimariye yayılan bir disiplin olduğunu ortaya koymaktadır.

İşte burada, pek çok uyum programında henüz ölçülmemiş bir eksiklik bulunmaktadır.

1. Web trafiği: HTTPS üzerinden bir web portalına indirilen veya yüklenen dosyalar, herhangi bir uç noktaya ulaşmadan önce ağdan geçer.
2. E-posta ve ekler: E-posta, dosya tabanlı tehditlerin yayılmasında hâlâ en yaygın yol olmaya devam ediyor. Ek taraması, imza eşleştirmenin ötesine geçmelidir. Sıkıştırılmış arşivler, makro içeren belgeler ve gömülü istismar kodları barındıran dosyaların tümü, bu taramayı atlatmak üzere tasarlanmıştır.
3. Yerel ve Cloud : Dosyalar, SharePoint, OneDrive, S3 ve benzeri platformlarla sürekli olarak senkronize edilir.
4. Yönetilen dosya aktarımı: Tedarikçilerle yapılan alışverişler, iş ortaklarıyla entegrasyonlar ve müşterilerin gönderdiği dosyalar, her birinin kendine özgü risk profiline sahip gelen dosya akışları oluşturur.
5. Çıkarılabilir ortamlar: 5.3.3 numaralı gereklilik, standarttaki daha spesifik yükümlülüklerden biridir: Kötü amaçlı yazılımdan koruma yazılımı, çıkarılabilir ortamlar takıldığında bunları otomatik olarak taramalıdır. USB , ödeme ortamlarında aktif bir saldırı vektörüdür; özellikle de genellikle tek harici veri yolu olarak kullanılan hava boşluklu sistemlerde durum böyledir.
6. Software ve bağımlılıklar. Gereklilik 6.3.2, üçüncü taraf kütüphaneler ve gömülü bileşenlerin CDE (Common Vulnerability and Exposure) maruziyetinin önemli bir kaynağı olması nedeniyle getirilmiştir. Bir bağımlılıkta bilinen bir CVE (Common Vulnerability and Exposure) içeren bir ikili dosya, imza tabanlı kötü amaçlı yazılım algılamasının yakalayamayacağı bir risk oluşturur. Bu, geleneksel anlamda bir kötü amaçlı yazılım değil, istismar edilmeyi bekleyen bir güvenlik açığıdır.
7. Uç Noktalar. Bu, çoğu ekibin kapsama alanına dahil ettiği tek kanaldır. Endpoint , bir cihaza gelen, üzerinde çalıştırılan veya cihazda kalıcı hale gelen öğeleri tarar. Bu kapsama gereklidir, ancak bu listedeki diğer tüm kanalların son aşamasını oluşturur. Bir dosya uç noktaya ulaştığında, diğer altı denetim noktası zaten geçilmiş veya başarısızlıkla sonuçlanmıştır.

EDR ve tek uç noktalı antivirüs programları mükemmel araçlardır, ancak kapsamları tasarım gereği sınırlıdır.

Endpoint , cihazlarda neler olup bittiğini izleyerek cihazları korur: diske yazılan dosyalar, yürütülen işlemler, başlatılan ağ bağlantıları. Web proxy’si, e-posta ağ geçidi, bulut senkronizasyon API veya USB üzerinden aktarılan dosyaları incelemezler. Bu, kapsamla ilgili bir konudur; bir ürün eksikliği değildir.

PCI DSS 4.0.1, bu kapsam sorusuna kesin bir yanıt vermektedir. Standart, tehdit yüzeyini, dosyaların ağa girdiği her kanal olarak tanımlamaktadır. Endpoint , CDE’nin içinde halihazırda bulunan verileri güvence altına alır. Dosya güvenliği ise ağa giriş sürecini güvence altına alır.

Bu güvenlik açığı teorik bir sorun değildir. Bir saldırganın, yalnızca tek motorlu bir ağ geçidi tarafından taranan bir oltalama eki yoluyla, bir yazılım tedarikçisi tarafından sağlanan bir yazılım paketindeki kötü amaçlı bir bağımlılık yoluyla ya da bakım süresi sırasında takılan bir USB yoluyla bir yük iletmesi durumunda — bu yolların hiçbiri, iş işten geçene kadar uç nokta ajanıyla temas etmez. Standart, sizden bu kanalları kapatmanızı istemektedir.

Dosya güvenliği konusunda 4.0.1 denetimlerinden temiz çıkan kuruluşlar, ortak bir mimariye sahiptir: her veri alım noktasında denetim ve çok katmanlı savunma sistemi.

Bu, ağ geçidi düzeyinde çoklu motorlu tarama anlamına gelir. Dosyaları birden fazla antivirüs motorunda eşzamanlı olarak taramak, algılama oranlarını önemli ölçüde artırır ve standardın “tüm türler” ifadesinin gerektirdiği kapsam derinliğini sağlar. Bu, antivirüsün algılayamadığı unsurları etkisiz hale getiren dosya temizleme anlamına gelir: Deep CDR™ Teknolojisi, henüz kataloglanmamış sıfırıncı gün istismarları da dahil olmak üzere potansiyel olarak zararlı içeriği ayıklayarak dosyaları güvenli ve kullanılabilir biçimlere dönüştürür. Bu, yazılım paketleri ve ikili dosyaların üretim sistemlerine ulaşmadan önce bilinen CVE’lere karşı dosya düzeyinde güvenlik açığı değerlendirmesi yapılması anlamına gelir. Ayrıca, sadece uç nokta telemetrisi ile sınırlı kalmayıp tüm kanallarda merkezi günlük kaydı tutulması anlamına gelir; böylece Gereklilik 11’in denetim şartları fiilen karşılanabilir.

MetaDefender™, dosyaların CDE’ye ulaşmadan önce tüm alım kanallarında taranması, temizlenmesi ve değerlendirilmesi amacıyla tasarlanmış OPSWAT dosya güvenlik platformudur.

OPSWAT uyumluluk kılavuzunda belirtildiği üzere:OPSWAT MetaDefender , 5. Gereklilik için sektörün en güçlü yeteneklerinden bazılarınıMetaDefender . Metascan™ Multiscanning , 30’dan fazla ticari antivirüs motorunu Multiscanning bilinen kötü amaçlı yazılımları olağanüstü bir doğrulukla tespit ederken, Deep CDR™ Teknolojisi ise dosyaları güvenli ve kullanılabilir biçimlere dönüştürerek sıfırıncı gün ve gömülü tehditleri proaktif olarak etkisiz hale getirir.”

Bu eksiklik, güvenlik ekiplerinin dikkatsizliği nedeniyle değil, PCI DSS 4.0.1 standardının daha kapsamlı bir yaklaşım gerektirmesi nedeniyle ortaya çıkmaktadır. Denetimden önce bu eksikliği gideren ekipler, standardın gerektirdiğinden fazlasını yapmıyorlar. Sadece standardın gerektirdiği her şeyi yerine getiriyorlar.

4.0.1 sürümünün gerektirdiği tüm unsurlar ışığında mevcut kapsamınızı değerlendirmeye hazır mısınız?

PCI DSS Eşleştirme Kılavuzu + PCI DSS Başlangıç Kontrol Listesi’ni indirin Mevcut kontrollerinizle yedi dosya alım kanalının her birini karşılaştırarak eksikliklerin nerede olduğunu belirleyin.