用于符合 PCI DSS 的文件完整性监控

文件完整性监控（File integrity monitoring, FIM） 对于保护数据并满足合规规定至关重要。特别是支付卡行业数据安全标准（Payment Card Industry 数据安全 标准，PCI DSS）要求组织使用 FIM，通过检测关键系统文件的变更，帮助保护其业务系统免受信用卡数据盗窃。本文将说明这些 PCI DSS 要求，以及如何使用 FIM 实现合规。

PCI DSS 合规要求是什么？

PCI DSS 是一套旨在确保持卡人数据安全的技术与运营安全标准。所有接受、处理、使用、存储、管理或传输信用卡信息的组织都必须遵守 PCI DSS。

PCI DSS 监管的数据类型

PCI DSS 涵盖两类数据：

• 持卡人信息，包括账号号码、持卡人姓名、服务代码以及卡片到期日期
• 敏感的身份验证数据，例如磁条数据或芯片等效数据、PIN 块和 PIN，以及卡片验证值（CAV2/CVC2/CVV2/CID）

核心要求

为防止该数据因不当处理和数据泄露而受到影响，PCI DSS 包含以下 12 项必备要求：

• 建立安全的防火墙配置，以帮助保护持卡人数据。
• 避免使用供应商提供的默认系统密码和其他安全参数。
• 保护所有已存储的持卡人数据。
• 在所有网络（尤其是公用网络）上传输持卡人数据时进行加密。
• 尽可能降低所有系统对恶意软件的易受攻击性，包括确保防病毒软件定期更新。
• 开发并维护安全的系统和程序
• 实施强有力的数据访问控制，仅在“按需知悉”（need-to-know）的基础上限制环境中对持卡人数据的访问。
• 检测并验证对不同系统组件的访问。
• 限制对持卡人数据的物理访问。
• 监控对网络资源和持卡人数据的所有访问请求。
• 定期测试安全系统。
• 为所有人员创建并维护一份信息 安全政策。

处罚

未能满足 PCI DSS 要求可能会导致高额的处罚和罚款。商户与支付处理商之间的合同会规定违规费用的金额和条款，最高可达 $5,000 to $100,000 per month。除了罚款带来的经济影响之外，单次违规还可能严重损害贵公司的市场声誉，并引发昂贵的诉讼，甚至导致暂停接受信用卡支付的能力。

文件完整性监控如何帮助实现 PCI DSS 合规？

什么是文件完整性监控？

文件完整性监控 (FIM) 软件会跟踪对敏感系统和配置文件的更改，并对任何可能带来安全风险的修改发出警报，通知安全团队。例如，不恰当地修改关键配置文件或注册表（无论是蓄意还是意外），都可能使攻击者获得对关键系统资源的控制权，执行恶意脚本并访问敏感数据。因此，FIM 是许多合规标准（包括 PCI DSS）要求的推荐最佳安全实践。

在符合 PCI 的要求方面，file integrity monitoring 可帮助确保对敏感信用卡数据的保护。例如，攻击者窃取信用卡数据的一种方式，是向操作系统配置文件中注入恶意代码。FIM 工具可以通过将这些文件与既定基线进行对比来检测这种变更。该过程使用安全哈希算法（SHA），以确保即使对文件进行很小的修改，也会产生与正确配置文件所生成的哈希值显著不同的结果，从而导致完整性校验失败。结果是，向真实系统文件中注入的恶意代码几乎不可能不被发现。

用于文件完整性监控（file integrity monitoring）的 PCI DSS 要求

PCI DSS 将文件完整性监控（file integrity monitoring）列为其核心要求之一。具体而言，第 11.5 条要求规定：组织必须“在日志上使用文件完整性监控（File-Integrity Monitoring）或变更检测（Change-Detection）软件，以确保现有日志数据在不触发告警的情况下无法被更改”。

文件监控软件也可以帮助组织满足其他 PCI DSS 要求，包括：

• 要求 1： 安装并管理防火墙配置，以构建用于持卡人数据（cardholder data）的安全网络
• 要求 2： 不要为系统密码及其他安全参数使用供应商提供的默认值
• 要求 6： 开发并维护安全的系统和程序
• 要求 10。 定期监控并跟踪对网络资源和持卡人数据的所有访问请求
• 要求 11。 定期测试安全系统

应监控哪些类型的数据以确保其完整性？

完整性监控应包含以下所有类型的数据：

系统文件和库

在 Windows 操作系统中，您需要监控以下系统文件和库文件夹：

• C:WindowsSystem32
• 启动/开机、密码、 Active Directory、Exchange SQL 等。

如果你有一套 Linux 系统，应该监控这些关键目录：

• /trash
• /sbin
• /usr/bin
• /usr/sbin

应用程序文件

重要的是要密切监控防火墙、媒体播放器、杀毒软件、配置文件和库等程序文件。

在 Windows 系统上，这些文件存储在：

• C:Program Files
• C:Program Files (x86)

在 Linux 系统上，这些文件存储在：

• /opt
• /usr/bin
• /usr/sbin

配置文件

配置文件控制设备和应用程序的功能。例如包括 Windows 注册表以及 Linux 系统上的基于文本的配置文件。

日志文件

日志文件包含事件记录，包括访问和交易详情以及错误信息。在 Windows 操作系统中，日志文件存储在事件查看器中。在基于 UNIX 的系统中，它们位于系统的 /var/log 目录中。

Netwrix 如何提供帮助？

Netwrix Change Tracker 通过使 IT 团队能够为关键系统维护安全配置，帮助组织实现并保持 PCI DSS 合规性。特别是，该解决方案可以帮助您：

• 使用来自多个标准机构（包括 CIS、DISA STIG 和 SCAP/OVAL）的可自定义构建模板来加固关键系统。
• 通过跟踪对关键系统文件的所有修改来验证其真实性，并让您能够轻松查看所有变更的完整历史记录。
• 及时发现恶意软件和其他威胁，并加速有效的事件响应。
• 借助 250+ CIS 认证报告，覆盖 NIST、PCI DSS、CMMC、STIG 和 NERC CIP，从而减少合规报告所花费的时间与精力。

常见问题

不符合 PCI DSS 会有哪些处罚？

支付品牌可能会对违反 PCI DSS 的行为处以高额罚款，每月 5,000 美元至 100,000 美元不等。此外，你们公司的声誉可能会遭受难以挽回的损害，而且你的业务可能会被暂停接受刷卡支付。

为什么组织需要监控文件完整性？

通过监控文件完整性，组织可以确保关键系统配置文件不会在未经授权的情况下被更改。针对 PCI DSS 要求使用文件完整性监控（FIM）技术，将有助于你的组织避免合规违规。

PCI DSS 是否要求使用 FIM？

是的。PCI DSS 要求 11.5 明确指出，受该强制要求约束的组织必须部署 FIM，以确保系统在日志数据发生更改时生成告警。