一、PCI-DSS主要概述

image.png

浏览了这六个主要模块以及对应的概述内容，决定先头脑风暴一波，看看自己这两年对这六个模块有没有什么比较切身的接触和体会。

（1）建立并维护安全的网络和系统：

从概述的两点中摘取了两个关键词：防火墙和默认密码。
防火墙的安装和配置这个在平时的不管是靶场还是实战中都会遇到，或者说，都怕遇到，从我个人主观的测试角度来看，安装配置防火墙会给攻击测试过程造成很大的麻烦，甚至会因此放弃继续测试的念头。当然，防火墙不是万能的，网上也有很多层出不穷的绕过姿势，大多是都是钻防火墙规则的空子。所以除了安装和配置供应商提供的防火墙外，对防火墙的规则设置、定期的维护也十分重要。
第二点默认密码就不用多说了，弱口令的危害是巨大的，利用难度低，影响范围广。很多时候，弱口令都是攻击测试的切入点，加强密码强度是很必要的一件事。后面所提及到的安全参数，这个我倒没有什么直观的想法。但是就问题说问题，一些参数的设置确实十分的重要，例如cookie、csrf-token、refer等等，这些参数的设定，会降低被攻击的风险，降低不代表避免。

（2）保护持卡人数据：

保护存储的持卡人数据，这个说的是不是过于宽泛了？可能没往底下看具体的实施方法吧。不知道为什么，看到这一点我立马会想到未授权访问？ladp、redis等，里面存放着大量的用户登陆信息和其他数据。第二点，加密数据的传输过程，明文传输肯定是不靠谱的，前几天帮忙测试一家公司的后台和app安全，数据的加密做的十分好，给测试过程造成了极大的困难，大部分的时间，学长都耗在了理解加密过程、编写解密脚本上。不仅仅是加密，我觉得更重要的是加密的方式，用base64直接加密也是加密，将公私钥组合进加密的过程里也是一种方式，当然，肯定是后者的安全性更高，这里谈安全性，我是从解密的难易程度来说的。

（3）维护漏洞管理计划

杀毒软件？？360全家桶？?但是确实，大厂的杀软还是值得信赖的，这一点没什么特别的想法。下面说的开发并维护安全的系统和应用程序。这也太难为开发人员了。即得有个学长的一句话说的很正确，漏洞永远是和系统并存的，很多时候，不是我们找到漏洞说明该系统有漏洞，而是相反的过程。

（4）实施强效访问控制措施

第一点按业务知情需要限制对持卡人数据的访问，是为了避免水平权限、垂直权限该类事件的发生吧。水平权限很常见，前几天还看到个HTTP参数污染，一开始误会成水平权限，其实发现实现的过程完全是两码事，后者是通过参数覆盖做到的。第二点识别并验证对系统组件的访问，这点倒是经常在对app的测试过程中看到，一些app的漏扫经常记录开设对系统组件的访问这一条作为高危或中危。第三点就有点玄学了，物理渗透确实也是门学问吧，这种方法的存在必然有与此相对应的安全事件发生，不会平白无故冒出来。

（5）定期监控并测试网络

跟踪并监控对网络资源和持卡人数据的所有访问这一点，就我个人感觉（可能理解的不到位）耗时耗力，一般不会每天对网络资源和数据访问进行监控，更多的是发生安全事件之后，或者已经被*了几个月后（尹老师上课po的那几个调查图表可以说明这个问题）。第二点定期测试安全系统和流程，这个跟我每个月做的安全业务很契合。业务、域名、ip、端口梳理、安全测试、漏洞报告等。每个月对甲方的整体资产和业务进行梳理的过程，不仅可以及时发现并指出潜在/已有的安全威胁，同时还可以帮助自己更好的熟悉对方、了解对方，譬如，本月相对于上个月，某个ip关闭了某些端口，或者某个ip开放了某些端口，通过这些大致都可以猜到对方最近在搞些什么小动作，可能会有怎样的风险，这样当风险变为安全事件时，不谈说是可以立刻响应并解决，至少自己的状态可以很快的融入进去。（当然我本人很少参与应急响应工作，最大的原因还是自己的能力、资质不足）

（6）维护信息安全政策

这点可以跟零信任网络架构挂上钩，维护针对所有工作人员的信息安全政策，
具体细节继续学习。

二、PCI-DSS具体实现

（1）建立并维护安全的网络和系统

image.png
image.png

防火墙是任何计算机网络的关键防护机制，其中还提到了不可信网络的非授权访问，通常而言，连接到不可信网络会使关键系统遭受无保护的访问。
除此之外，还提到了网络图的重要性，通过网络图可以清晰直观的说明网络的配置情况和所有网络设备的位置。这么做的目的也很明确，怕漏掉某些设备的检查。完成网络图后，也需要和负责人员进行确认。除了设备的连接之外，数据在网络间以及单个系统和设备间的流动方式也需要在图中标识。
最后一点，外网与DMZ，DMZ与内网之间的防火墙要求。

image.png

本身DMZ区便是信息安全纵深防护体系的第一道屏障，同时需要对两个防火墙检查防火墙配置标准，将任何不受保护的连接访问内部网络的几率降到最低。

image.png
三个关键词：服务、协议、端口，组织必须清楚了解非安全的服务和端口会导致的威胁，服务和端口也对应着一些已知的漏洞。但是很多组织都不会去修补与业务无关的漏洞。所以明确界定和记录对业务所需的服务、协议和端口可以确保组织禁用或删除所有与业务无关的其他服务、协议和端口。
image.png
明确概念：
不可信网络：指受审核实体所属网络之外的网络，和不受实体控制或管理的网络。

这一页讲的是防火墙规则的设定审核时间周期和配置标准。检查所有入站、出站连接，根据源地址或目的地址检查并限制流量，从而避免不可信和可信环境之间未授权的访问。

image.png
无线安全，通过无线网入侵的案例。 image.png

再次强调了DMZ的概念，DMZ管理者不可信网络和服务（web服务器）之间的连接，旨在阻止恶个人通过互联网访问内网或以非授权的方式使用服务、协议和端口。其次，反欺骗措施，是为了避免数据包遭到假冒，所以光检测refer头我觉得是不够的，这点可以跟csrf联系起来，加入类似于csrf-token之类的认证信息在数据包中，可以有效的降低风险，当然了，也很难做到完全避免。

image.png

敏感数据的放置区域，肯定是越深越好，大部分情况都是防止在内网中。强调不能放置在DMZ区域里，是因为DMZ区也直接跟外网以及不可信网络打交道，虽然在DMZ区和外网之间部署了防火墙，但是这样攻击者的攻击代价只在这一层中，风险会增加。其次禁止泄露私人ip和路由信息，具体的掩盖ip地址的方法在途中标注了。

image.png

这是对员工的政策。

（2）不要使用提供的默认系统密码和其他安全参数

image.png

这一点深有体会，很多cms和web服务包括许多后台等，都存在默认密码或默认账户的情况，所以修改默认密码为强密码，禁止或删除默认账户变得十分的重要，以防止未授权访问和非法登陆等安全事件的发生。

image.png

SNMP的概念如下：

image.png
image.png

这一点讲的应该是服务隔离，其实也很好理解，安全性要求高的服务若是和安全性低的服务存在于同一台服务器上的话，必然整体安全性会被降低。所以组织要确保需要不同安全级别的功能不会并存于同一台服务器上。

image.png

加强安全协议。

image.png