Surveillance de l'intégrité des fichiers pour la conformité PCI DSS

La surveillance de l'intégrité des fichiers (FIM) est essentielle pour sécuriser les données et respecter les réglementations de conformité. En particulier, la norme Data Security Standard (PCI DSS) exige que les organisations utilisent le FIM pour aider à sécuriser leurs systèmes commerciaux contre le vol de données de cartes en détectant les modifications apportées aux fichiers système critiques. Cet article explique ces exigences PCI DSS et comment atteindre la conformité en utilisant le FIM.

Quelles sont les exigences de conformité PCI DSS ?

PCI DSS est un ensemble de normes de sécurité techniques et opérationnelles conçues pour garantir la sécurité des données des titulaires de carte. La conformité avec PCI DSS est requise pour toutes les organisations qui acceptent, traitent, utilisent, stockent, gèrent ou transmettent des informations de carte de crédit.

Types de données réglementées par PCI DSS

PCI DSS couvre deux catégories de données :

• Informations sur le titulaire de la carte, y compris les numéros de compte, les noms des titulaires, les codes de service et les dates d'expiration des cartes
• Données d'authentification sensibles, telles que les données de bande magnétique ou l'équivalent pour les puces, les blocs de NIP et les NIP, et les valeurs de vérification des cartes (CAV2/CVC2/CVV2/CID)

Exigences fondamentales

Pour protéger ces données contre la manipulation inappropriée et les violations, PCI DSS comprend les 12 exigences essentielles suivantes :

• Établissez une configuration de pare-feu sécurisée pour aider à sécuriser les données des titulaires de carte.
• Évitez d'utiliser les paramètres par défaut fournis par le fournisseur pour les mots de passe système et autres paramètres de sécurité.
• Protégez toutes les données de titulaire de carte stockées.
• Chiffrez les données des titulaires de carte lors de la transmission sur tous les réseaux, en particulier les réseaux publics.
• Minimisez la vulnérabilité de tous les systèmes aux logiciels malveillants, y compris en assurant des mises à jour régulières du logiciel antivirus.
• Développez et maintenez des systèmes et des programmes sécurisés
• Mettez en œuvre des contrôles d'accès aux données rigoureux qui restreignent l'accès aux données des titulaires de carte dans l'environnement sur la base du besoin de savoir.
• Détectez et vérifiez l'accès aux différents composants du système.
• Restreignez l'accès physique aux données des titulaires de carte.
• Surveillez toutes les demandes d'accès aux ressources réseau et aux données des titulaires de carte.
• Testez régulièrement les systèmes de sécurité.
• Créez et maintenez une politique de sécurité de l'information pour tout le personnel.

Pénalités

Le non-respect des exigences du PCI DSS peut entraîner de lourdes pénalités et amendes. Le contrat entre un commerçant et un processeur de paiement définit la taille et les conditions de l'amende pour une violation, qui peut atteindre 5 000 à 100 000 dollars par mois. En plus de l'impact financier de ces amendes, une seule violation peut sérieusement nuire à la réputation de votre entreprise sur le marché et entraîner des poursuites judiciaires coûteuses, voire la suspension de votre capacité à accepter les paiements par carte de crédit.

Comment la surveillance de l'intégrité des fichiers peut-elle aider à la conformité PCI DSS ?

Qu'est-ce que la surveillance de l'intégrité des fichiers ?

La surveillance de l'intégrité des fichiers (FIM) permet de suivre les modifications apportées aux fichiers système et de configuration sensibles et d'alerter les équipes de sécurité sur toute modification présentant des risques de sécurité. Par exemple, une modification inappropriée d'un fichier de configuration critique ou du registre, qu'elle soit délibérée ou accidentelle, pourrait permettre aux attaquants de prendre le contrôle de ressources systèmes clés, d'exécuter des scripts malveillants et d'accéder à des données sensibles. En conséquence, le FIM est une pratique de sécurité fortement recommandée et exigée par de nombreuses normes de conformité, y compris la PCI DSS.

Dans le contexte de la conformité PCI, file integrity monitoring peut aider à assurer la protection des données sensibles de cartes de crédit. Par exemple, une manière dont les attaquants extraient les données de cartes de crédit est en injectant du code malveillant dans les fichiers de configuration du système d'exploitation. Un outil FIM peut détecter ce changement en vérifiant ces fichiers par rapport à la base de référence établie. Le processus utilise un algorithme de hachage sécurisé (SHA) qui garantit que même de petits changements de fichier entraînent une valeur de hachage très différente de celle générée par le fichier correctement configuré, provoquant l'échec du contrôle d'intégrité. En conséquence, FIM rend pratiquement impossible la non-détection de code malveillant injecté dans des fichiers système authentiques.

Exigences PCI DSS pour la surveillance de l'intégrité des fichiers

La norme PCI DSS énumère la surveillance de l'intégrité des fichiers comme l'une de ses exigences fondamentales. Plus précisément, l'Exigence 11.5 stipule que les organisations doivent « Utiliser un logiciel de surveillance de l'intégrité des fichiers ou de détection des modifications sur les journaux pour garantir que les données de journal existantes ne peuvent pas être modifiées sans générer d'alertes. »

Les logiciels de surveillance des fichiers peuvent également aider les organisations à répondre à d'autres exigences du PCI DSS, y compris :

• Exigence 1 : Installez et gérez une configuration de pare-feu pour construire un réseau sécurisé pour les données des titulaires de carte
• Exigence 2 : Évitez d'utiliser les paramètres par défaut fournis par le fournisseur pour les mots de passe système et autres paramètres de sécurité
• Exigence 6 : Développez et maintenez des systèmes et programmes sécurisés
• Exigence 10. Surveillez et suivez régulièrement toutes les demandes d'accès aux ressources réseau et aux données des titulaires de carte
• Exigence 11. Testez régulièrement les systèmes de sécurité

Quels types de données doivent être surveillés pour leur intégrité ?

La surveillance de l'intégrité doit inclure tous les types de données suivants :

Fichiers système et bibliothèques

Dans les systèmes d'exploitation Windows, vous devez surveiller ces fichiers système et dossiers de bibliothèques :

• C:WindowsSystem32
• Démarrer, mot de passe, Active Directory, Exchange SQL, etc.

Si vous disposez d'un système Linux, vous devriez surveiller ces répertoires critiques :

• /trash
• /sbin
• /usr/bin
• /usr/sbin

Fichiers d'application

Il est important de surveiller de près les fichiers de programme tels que les pare-feu, les lecteurs multimédias, les logiciels antivirus, les fichiers de configuration et les bibliothèques.

Sur les systèmes Windows, ce sont des fichiers stockés dans :

• C:Program Files
• C:Program Files (x86)

Sur les systèmes Linux, ces fichiers sont stockés dans :

• /opt
• /usr/bin
• /usr/sbin

Fichiers de configuration

Les fichiers de configuration contrôlent les fonctions d'un appareil et d'une application. Des exemples incluent le registre Windows et les fichiers de configuration basés sur du texte sur les systèmes Linux.

Fichiers journaux

Les fichiers journaux contiennent des enregistrements d'événements, y compris les détails d'accès et de transaction ainsi que les erreurs. Dans les systèmes d'exploitation Windows, les fichiers journaux sont stockés dans le visualiseur d'événements. Dans les systèmes basés sur UNIX, ils se trouvent dans le répertoire /var/log du système.

Comment Netwrix peut-il aider ?

Netwrix Change Tracker aide les organisations à atteindre et à maintenir la conformité PCI DSS en permettant aux équipes informatiques de maintenir des configurations sécurisées pour les systèmes critiques. En particulier, la solution peut vous aider à :

• Renforcez les systèmes critiques avec des modèles de construction personnalisables provenant de plusieurs organismes de normalisation, y compris CIS, DISA STIG et SCAP/OVAL.
• Vérifiez que vos fichiers systèmes critiques sont authentiques en suivant toutes les modifications apportées et en facilitant la révision d'un historique complet de tous les changements.
• Détectez rapidement les logiciels malveillants et autres menaces et accélérez la réponse efficace aux incidents.
• Réduisez le temps et l'effort consacrés aux rapports de conformité avec plus de 250 rapports certifiés CIS couvrant NIST, PCI DSS, CMMC, STIG et NERC CIP.

FAQ

Quelles sont les pénalités pour non-conformité avec PCI DSS ?

Les marques de paiement peuvent imposer des amendes sévères de 5 000 à 100 000 dollars par mois pour les violations du PCI DSS. De plus, la réputation de votre entreprise peut subir des dommages irréparables, et votre activité peut être suspendue pour l'acceptation des paiements par carte.

Pourquoi les organisations devraient-elles surveiller l'intégrité des fichiers ?

En surveillant l'intégrité des fichiers, les organisations s'assurent que les fichiers de configuration système critiques ne sont pas modifiés sans autorisation. L'utilisation de la technologie de surveillance de l'intégrité des fichiers (FIM) pour les exigences PCI DSS aidera votre organisation à éviter les violations de conformité.

La FIM est-elle requise par la norme PCI DSS ?

Oui. La norme PCI DSS exigence 11.5 stipule explicitement que les organisations soumises à cette obligation doivent déployer FIM pour garantir que le système génère des alertes à chaque fois que les données de journal sont modifiées.