ファイル整合性モニタリング（File integrity monitoring, FIM） はデータの保護と、コンプライアンス規制の遵守に不可欠です。特に、データセキュリティ 標準（PCI DSS）では、重要なシステムファイルへの変更を検知することでカードデータの盗難を防ぎ、業務システムを保護するために、組織が FIM を使用することを求めています。この記事では、これらの PCI DSS 要件と、FIM を使用してコンプライアンスを達成する方法を解説します。
厳選した関連コンテンツ：
PCI DSS 準拠（コンプライアンス）の要件とは？
PCI DSS は、カード会員データの安全を確保するために設計された、技術的および運用上のセキュリティ基準の集合です。PCI DSS に準拠することは、クレジットカード情報を受け取る、処理する、使用する、保存する、管理する、または送信するすべての組織に求められます。
PCI DSS によって規制されるデータの種類
PCI DSS は次の2種類のデータを対象としています。
- カード会員情報（口座番号、カード会員名、サービスコード、カードの有効期限などを含む）
- 機密性の高い認証データ（磁気ストライプのデータ、またはそれに相当するチップのデータ、PIN ブロックと PIN、カード検証値（CAV2/CVC2/CVV2/CID）など）
中核となる要件
不適切な取り扱いや侵害からこのデータを保護するために、PCI DSS には次の 12 の必須要件が含まれています。
- カード会員データを保護するために、安全なファイアウォール構成を確立します。
- システムのパスワードやその他のセキュリティ関連パラメータに、ベンダーが用意したデフォルト値を使用しないでください。
- 保存されているすべてのカード会員データを保護します。
- すべてのネットワーク（特にパブリックなネットワーク）を介した送信中に、カード会員データを暗号化します。
- すべてのシステムのマルウェアに対する脆弱性を最小化し、特にアンチウイルスソフトウェアの定期的な更新を確実に行います。
- 安全なシステムとプログラムを開発し、維持管理します
- 必要に応じて（need-to-know）環境内のカード会員データへのアクセスを制限する強力なデータアクセス制御を実装します。
- さまざまなシステムコンポーネントへのアクセスを検出し、確認します。
- カード会員データへの物理的アクセスを制限します。
- ネットワークリソースおよびカード会員データへのすべてのアクセス要求を監視します。
- セキュリティシステムを定期的にテストします。
- すべての人員に対して 情報セキュリティポリシーを作成し、維持します。
罰則
PCI DSS の要件を満たせない場合、厳しい罰則や罰金が科されることがあります。加盟店と決済代行業者の契約では、違反時の手数料の金額と条件が定められており、場合によっては 月 $5,000 to $100,000 per month に達することもあります。これらの罰金による金銭的な影響に加えて、単一の違反でも企業の市場での評判を大きく損ね、高額な訴訟につながるほか、クレジットカード決済を受け付ける能力が停止されることさえあります。
ファイルの完全性監視は PCI DSS の準拠にどのように役立ちますか？
ファイルの完全性監視とは何ですか？
ファイルの完全性監視 (FIM) ソフトウェアは、機密性の高いシステムおよび設定ファイルへの変更を追跡し、セキュリティ上のリスクをもたらす可能性のある変更を検知するとセキュリティチームに通知します。たとえば、重要な設定ファイルやレジストリを不適切に変更した場合（意図的であっても偶発的であっても）、攻撃者が主要なシステムリソースの制御を奪い、悪意のあるスクリプトを実行して機密データにアクセスできるようになるおそれがあります。したがって、FIM は PCI DSS を含む多くの準拠（コンプライアンス）基準で義務付けられている推奨のベストプラクティスです。
PCI 準拠の文脈では、file integrity monitoring は、機密性の高いクレジットカードデータを保護するのに役立ちます。たとえば、攻撃者がクレジットカードデータを抜き取る方法の1つは、OS の設定ファイルに悪意のあるコードを注入することです。FIM ツールは、これらのファイルを確立されたベースラインと照合することで、その変更を検知できます。このプロセスでは、安全なハッシュ アルゴリズム（SHA）を使用し、適切に構成されたファイルによって生成されたハッシュ値とは比べ物にならないほど異なるハッシュ値になるようにします。その結果、整合性チェック（integrity check）が失敗します。結果として、真正なシステムファイルに注入された悪意のあるコードが未検出のまま見逃されることは、ほぼ不可能になります。
ファイル整合性監視（file integrity monitoring）に関する PCI DSS の要件
PCI DSS では、ファイル整合性監視（file integrity monitoring）が中核となる要件の1つとして挙げられています。具体的には、要件 11.5 において、組織は「既存のログ・データが、アラートを生成することなく変更されないようにするため、ログに対して File-Integrity Monitoring または Change-Detection ソフトウェアを使用しなければならない」とされています。
ファイル監視ソフトウェアは、以下を含む他の PCI DSS 要件を満たすうえでも役立ちます。
- 要件 1: カード会員データ（cardholder data）のための安全なネットワークを構築することを目的に、ファイアウォール構成（firewall configuration）をインストールし、管理する
- 要件 2： システムのパスワードやその他のセキュリティパラメータに、ベンダー提供の初期値を使用しないでください
- 要件 6： 安全なシステムおよびプログラムを開発し、維持管理してください
- 要件 10。 ネットワークリソースおよびカード会員データへのすべてのアクセス要求を定期的に監視し、追跡してください
- 要件 11。 セキュリティシステムを定期的にテストしてください
完全性の観点で監視すべきデータの種類はどれですか？
整合性（インテグリティ）の監視には、次のすべての種類のデータを含める必要があります:
システムファイルとライブラリ
Windows オペレーティングシステムでは、次のシステムファイルとライブラリフォルダーを監視する必要があります:
- C:WindowsSystem32
- 起動/スタート、パスワード、 Active Directory、Exchange SQL など。
Linux システムをお使いの場合は、次の重要なディレクトリを監視する必要があります。
- /trash
- /sbin
- /usr/bin
- /usr/sbin
アプリケーションファイル
ファイアウォール、メディアプレーヤー、アンチウイルスソフトウェア、構成ファイル、ライブラリなどのプログラムファイルを、綿密に監視することが重要です。
Windows システムでは、これらのファイルは次の場所に保存されます:
- C:Program Files
- C:Program Files (x86)
Linux システムでは、これらのファイルは次の場所に保存されます:
- /opt
- /usr/bin
- /usr/sbin
設定ファイル
構成ファイルは、デバイスやアプリケーションの機能を制御します。例として、Windows レジストリや Linux システム上のテキストベースの構成ファイルなどがあります。
ログファイル
ログファイルには、アクセスや取引（トランザクション）の詳細、エラーなどのイベント記録が含まれます。Windows のオペレーティングシステムでは、ログファイルはイベント ビューアに保存されます。UNIX 系のシステムでは、システムの /var/log ディレクトリにあります。
Netwrix はどのように役立てますか？
Netwrix Change Tracker は、IT チームが重要なシステムの安全な構成を維持できるようにすることで、組織が PCI DSS に準拠して達成し、その状態を維持することを支援します。特に、このソリューションは次のことに役立ちます：
- CIS、DISA STIG、SCAP/OVAL を含む複数の標準化団体のカスタマイズ可能なビルドテンプレートで、重要なシステムを強化します。
- 重要なシステムファイルに対するすべての変更を追跡し、すべての変更履歴を完全な形で確認しやすくすることで、そのファイルが真正であることを検証します。
- マルウェアやその他の脅威をいち早く検知し、効果的なインシデント対応を迅速化します。
- NIST、PCI DSS、CMMC、STIG、NERC CIP をカバーする 250 以上の CIS 認定レポートで、コンプライアンス報告にかかる時間と手間を削減します。
よくある質問
PCI DSS を遵守しない場合の罰則は何ですか？
決済ブランドは、PCI DSS 違反に対して月額 5,000～100,000 ドルの高額な罰金を科すことができます。さらに、会社の評判が取り返しのつかない損害を受ける可能性があり、カード決済の受け入れが停止される場合もあります。
なぜ組織はファイルの整合性（インテグリティ）を監視する必要があるのですか？
ファイルの整合性（インテグリティ）を監視することで、重要なシステム設定ファイルが無許可で変更されないようにできます。PCI DSS の要件に対してファイル整合性監視（FIM）技術を利用すれば、組織がコンプライアンス違反を回避するのに役立ちます。
PCI DSS では FIM が必須ですか？
はい。PCI DSS の要件 11.5 では、対象となる組織は、ログデータが変更されたときにシステムがアラートを生成することを保証するために、FIM を導入しなければならないと明確に定めています。
共有する
もっと詳しく
著者について
Dirk Schrader
セキュリティ リサーチの VP
Dirk Schrader は Netwrix の Resident CISO (EMEA) であり、セキュリティ リサーチの VP です。CISSP (ISC²) および CISM (ISACA) の資格を持つ、IT セキュリティ分野で 25 年のベテランとして、サイバー脅威に取り組むための現代的なアプローチであるサイバー レジリエンスの推進に取り組んでいます。Dirk はキャリアの初期に技術およびサポートの役割からスタートし、その後、大規模な多国籍企業から小さなスタートアップまでで、営業、マーケティング、プロダクト マネジメントのポジションへと移行しながら、世界中のサイバーセキュリティ プロジェクトに携わってきました。彼はサイバー レジリエンスを実現するために、変更管理と脆弱性管理に取り組む必要性について、多数の記事を発表しています。