29、PCI合规：漏洞管理与日志监控全面解析

PCI合规：漏洞管理与日志监控全面解析

1. 漏洞管理案例分析

在当今数字化时代，PCI（Payment Card Industry，支付卡行业）合规对于处理支付信息的企业至关重要。下面通过两个具体案例，深入了解PCI漏洞管理的实际操作。

1.1 Paula的PCI漏洞管理项目

Paula负责为Sarah的业务进行PCI漏洞管理。起初，由于扫描是临时进行的，且未覆盖正确的系统范围，Paula对Sarah的安全状况了解有限。于是，她重新确定了扫描范围，具体步骤如下：
1. 涵盖所有可扫描的面向互联网的系统。
2. 纳入处理支付或与处理支付的系统相连的内部系统。
3. 包含虽不与支付处理相连，但对业务至关重要的系统。

确定内部系统范围颇具挑战，例如，补丁管理系统因向交易处理服务器推送安全补丁，被列为相关系统。整个PCI漏洞管理过程采用分阶段方法，耗时数月。此外，尽管公司此前未实施入侵检测，但QSA（Qualified Security Assessor，合格安全评估员）强烈建议考虑相关方案。Paula选择用统一威胁管理（UTM）设备升级防火墙，结合了防火墙和网络入侵防御系统（IPS）的功能，并部署了外部顾问建议的初始入侵预防规则集。最终，该项目成功实现了PCI要求11，采用扫描服务和UTM设备替代了原有的防火墙。

1.2 Anna的电商网站PCI合规项目

Anna的音频订阅服务网站开始接受支付后，意识到需要符合PCI合规要求。她评估了当前的安全监控措施，包括在非军事区（DMZ）服务器上使用主机IPS，以及每三个月进行一次内部和外部漏洞扫描。但她发现还需满足渗透测试和文件完整性检查的要求。