PCI-DSS kayıt yönetimi, ödeme güvenliği uyumluluğunun en yanlış anlaşılan kısımlarından biridir. Birçok kuruluş, sadece kayıtları toplamanın denetimi geçmek için yeterli olduğunu varsayar, ancak değerlendiriciler varsayılan bir kayıt kurulumunun nadiren sağladığı belirli saklama sürelerini, kurcalama korumasını ve gerçek zamanlı uyarıları arar. Bu makale, denetime hazır bir kayıt mimarisinin aslında ne gerektirdiğini ve Bigs Bilişim'in kart sahibi verilerini işleyen kuruluşlar için bu sistemleri nasıl tasarladığını açıklamaktadır.
PCI-DSS 10. Gereksinimi Gerçekte Ne İstiyor?
PCI-DSS Gereksinimi 10, ağ kaynaklarına ve kart sahibi verilerine yapılan tüm erişimlerin izlenmesine ve denetlenmesine odaklanmaktadır. Uygulamada bu, her günlük kaydının güvenilir bir zaman damgasına, net bir kullanıcı kimliğine, olay türüne, başarılı olup olmadığına ve isteğin kaynağına sahip olması gerektiği anlamına gelir. Günlükler ayrıca en az on iki ay saklanmalı ve son üç aylık veriler analiz için hemen kullanılabilir olmalıdır. Çok az kuruluş, günlük kaydı süreçlerini ilk günden itibaren bu özel gereksinimlere göre tasarlar; bu nedenle eksiklikler genellikle yalnızca denetim sırasında ortaya çıkar.
Mevcut Günlük Kayıt Sistemlerinde Sık Görülen Eksiklikler
En sık karşılaşılan sorun, kayıt eksikliği değil, merkezileştirme eksikliğidir. Sunucular, güvenlik duvarları ve uygulamaların her biri kendi yerel kayıtlarını tutar; bu da bir olay veya denetim sırasında tam bir zaman çizelgesini yeniden oluşturmayı neredeyse imkansız hale getirir. İkinci yaygın eksiklik ise bütünlüktür: Kayıtlar, izlenmesi amaçlanan aynı yöneticiler tarafından düzenlenebiliyor veya silinebiliyorsa, kanıt niteliğini kaybederler. Üçüncü bir eksiklik ise uyarıdır; olaydan sonra kayıt toplamak, ayrıcalıklı bir hesabın tekrar tekrar kimlik doğrulaması yapamaması veya kayıt toplama işleminin kendisinin çalışmayı durdurması durumunda gerçek zamanlı olarak bilgilendirilmekle aynı şey değildir.
Pratik Bir Mimari: Ham Kayıtlardan Denetim İzine
İşlevsel bir mimari, sunuculara, uygulamalara ve ağ aygıtlarına kurulan hafif günlük göndericilerle başlar ve olayları Elasticsearch gibi merkezi bir depoya iletir. Buradan, genellikle Grafana veya Kibana üzerine kurulu bir görselleştirme ve uyarı katmanı, güvenlik ekibine olayları aramak, ilişkilendirmek ve incelemek için tek bir yer sağlar. Uzun süreli saklama için, günlükler yazma korumalı depolama alanına taşınır, böylece bir kez yazıldıktan sonra sessizce değiştirilemezler. Bu, bizim belgelediğimiz yaklaşıma yakındır. Elasticsearch ve Grafana log görselleştirme örneği, Burada özellikle genel operasyonel görünürlükten ziyade uyumluluk, veri saklama ve bütünlük gereksinimlerine göre uyarlanmıştır.
Otomasyonun Denetim Riskini Azalttığı Alanlar
Günlük kayıtlarını manuel olarak inceleyerek anormallikleri tespit etmek ölçeklenebilir bir yöntem değildir ve denetim bulgularının çoğu da buradan kaynaklanır. Otomatik bütünlük kontrolleri, geçmişe ait günlük kayıtlarını değiştirme veya silme girişimlerini işaretleyebilir. Otomatik ilişkilendirme kuralları, PCI-DSS günlük yönetimi için önemli olan kalıpları (örneğin, yönetici hesaplarında tekrarlanan başarısız oturum açma girişimleri veya mesai saatleri dışında kart sahibi verilerine erişim) tespit edebilir ve üç aylık incelemeyi beklemek yerine bunları hemen üst kademeye iletebilir. Bu, daha geniş kapsamlı yaklaşımımızın da temelini oluşturan aynı prensiptir. İzleme ve Kayıt Yönetimi Ve Bilgi Güvenliği Hizmetler: Amaç sadece veri toplamak değil, bir olayın gerçekleşmesi ile bir insanın bu olaya müdahale edebilmesi arasındaki süreyi kısaltmaktır.
PCI-DSS Kayıt Yönetimi Hakkında Sıkça Sorulan Sorular
PCI-DSS kayıtları ne kadar süreyle saklanmalıdır?
En az on iki ay süreyle, arşivden geri yükleme gerektirmeden analiz için hemen erişilebilen en az üç aylık kayıtlar bulunmalıdır.
PCI-DSS kayıtlarının kurcalamaya karşı korumalı olması gerekiyor mu?
Evet. Değerlendirme uzmanları, soruşturma sırasında kayıtlar delil olarak kabul edildiğinden, yöneticiler de dahil olmak üzere kayıtların değiştirilmesini veya silinmesini önleyen kontrolleri özellikle ararlar.
Elasticsearch gibi açık kaynaklı araçlar PCI-DSS uyumluluğu için kullanılabilir mi?
Evet, doğru şekilde yapılandırıldığında. Değerlendiricilerin onayladığı şey araçların kendisi değil; önemli olan, belirtilen şekilde, bu araçların etrafında oluşturulan saklama politikası, erişim kontrolleri ve bütünlük korumalarıdır. PCI Güvenlik Standartları Konseyi.
Günlük kaydı toplama ve günlük kaydı izleme arasındaki fark nedir?
Kayıt toplama, olayları bir yere kaydetmek anlamına gelir. Kayıt izleme ise, şüpheli faaliyetleri tespit etmek ve bunlara yanıt vermek için bu olayları neredeyse gerçek zamanlı olarak aktif bir şekilde analiz etmek anlamına gelir; PCI-DSS denetçilerinin en yakından odaklandığı kısım da budur.
Otomasyon, PCI-DSS denetimi sırasında nasıl yardımcı olabilir?
Otomasyon, izleme faaliyetlerine ilişkin tutarlı, zaman damgalı kayıtlar üreterek ve uyarı kurallarının denetim dönemi boyunca aktif ve işlevsel olduğunu göstererek, manuel kanıt toplama yükünü azaltır.
PCI-DSS kayıt yönetimi mimarisi oluşturmak, doğru aracı seçmekten ziyade, değerlendiricilerin gerçekten görmek isteyeceği şeylere göre saklama, bütünlük ve uyarı mekanizmalarını tasarlamakla ilgilidir. Kuruluşunuz bir PCI-DSS değerlendirmesine hazırlanıyorsa veya kart sahibi verilerine erişim konusunda daha iyi görünürlük istiyorsanız, ekibimiz mevcut kayıt kurulumunuzu inceleyebilir ve bir denetçi incelemeden önce eksiklikleri belirleyebilir.