最后更新于2024年2月20日星期二17:03:38 GMT

作者:多米尼克·维托洛，megplanit安全服务副总裁

作为认证合格安全评估(QSA)公司和值得信赖的Rapid7合作伙伴, MegaplanIT致力于通过遵从性和安全标准的复杂性来指导组织.

PCI DSS 版本4.0是即将到来的重大更新，将于2025年3月31日生效. 此更新中围绕漏洞扫描的关键更改之一是需求11.3.1.2. 这个新要求要求进行身份验证的内部漏洞扫描.

在这里, 我们将阐明为什么组织应该立即过渡到经过身份验证的漏洞扫描，以及Rapid7如何 InsightVM 能促进这一根本性的改变吗.

PCI DSS的移位.0

新要求11.3.1.2

PCI dss4下.0、要求11.3.1.2引入了对经过身份验证的内部漏洞扫描的需求, 标志着与广泛使用的未经认证的扫描不同.

目前, 许多组织依赖于未经身份验证的扫描, 而有用的, 提供对系统漏洞的有限可见性. 在以前的版本中，PCI DSS从未在内部明确指出需要进行身份验证的漏洞扫描, 哪一个导致需求服从于解释.

这是退休后的既定程序.3.1仍然适用，并由要求进行身份验证的内部漏洞扫描的新要求补充.

  • 扫描必须至少每三个月进行一次.
  • 所有高风险和关键漏洞-由实体自己在要求6中建立的风险排名定义.3.1 -必须加以补救.
  • 后续扫描需要验证这些高风险和关键漏洞的解决.
  • 请定期更新扫描工具的漏洞信息.
  • 扫描必须由有资质的人员进行, 并且在测试人员和他们正在测试的系统之间必须有一个组织上的分离.

从MegaplanIT的角度来看:为什么在需求生效之前采用身份验证扫描?

  1. 更深入的安全见解:经过身份验证的扫描更深入地研究系统, 发现未经身份验证的扫描可能错过的漏洞. 这种深度对于维护健壮的安全性至关重要.
  2. 主动合规策略我们一贯主张尽早采用新标准. 它允许更平稳的过渡，并避免与即将到来的合规截止日期相关的匆忙. 经过身份验证的漏洞扫描通常比未经身份验证的扫描发现更多的漏洞. 因此, 这将需要为规划和执行补救战略分配更多的内部资源.
  3. 加强风险管理:经过身份验证的扫描可以更有效地识别和修复漏洞, 从而加强对潜在破坏的防御. 通过身份验证的漏洞扫描还可以减少误报的数量.
  4. 运营效率早期采用允许改进扫描过程, 确保它们成为您安全程序的无缝部分，也可能导致误报的数量减少.

Rapid7的InsightVM如何适应这种转变

基于证书扫描

InsightVM使用提供的凭据执行扫描的能力完全符合PCI DSS 4的身份验证扫描要求.0. 使用凭证扫描允许您收集有关您的网络和资产的信息，否则您无法访问这些信息. 您可以检查资产是否存在更大范围的漏洞或违反安全策略的情况.

另外, 经过身份验证的扫描可以检查软件应用程序和包，也可以验证补丁. 当您使用凭据扫描站点时, 该站点中的目标资产对扫描引擎进行身份验证，就像对授权用户进行身份验证一样.

利用Rapid7 Insight Agent

Rapid7的通用Insight Agent收集了大量漏洞数据, 有效支持已认证的扫描进程.

实现InsightVM的优势

  • 全面的检测: InsightVM配备了一个庞大且不断更新的已知漏洞和配置问题识别库.
  • 针对性补救指导详细的见解有助于优先化和有效的补救工作.
  • 友好的用户界面IT团队经历了简化的转换，使过程不那么令人生畏.

过渡到认证的内部漏洞扫描，以满足PCI DSS 4的控制要求.0是加强组织安全态势的关键步骤. 作为认证的QSA, MegaplanIT强烈建议组织现在就开始这种转变.

Rapid7的InsightVM等工具在这一过程中起到了关键作用, 提供全面的, 可伸缩的, 用户友好的解决方案. 今天就拥抱这个改变吧, 您的组织将不仅是合规的, 而且在应对不断变化的网络威胁方面也更加安全.