PCI DSS 4.0.1 Segurança de ficheiros: Por que razão Endpoint não é suficiente

A norma PCI DSS 4.0.1 encara a segurança de ficheiros como uma disciplina multicanal. A proteção contra malware deve abranger a Web, o e-mail, a nuvem, a transferência gerida de ficheiros, os suportes removíveis e as dependências de software, e não apenas os terminais.

A proteçãonum único terminalocorre a jusante de todos os outros canais. Quando um ficheiro chega ao agente do terminal, já passou ou foi rejeitado em seis outros pontos de inspeção.

A deteção por assinatura, por si só, não cumpre a norma. O requisito n.º 5 exige a cobertura de todos os tipos de malware e a deteção comportamental de ameaças de dia zero.

Os suportes amovíveis estão sujeitos a uma obrigação explícita. O requisito 5.3.3 exige a verificação automática dos suportes amovíveis no momento da inserção; as políticas manuais não são consideradas válidas.

Software estão abrangidas. O requisito 6.3.2 exige que o software desenvolvido à medida e personalizado seja desenvolvido de forma segura e que seja mantido um inventário dos componentes de terceiros.

Antes de analisar os canais, vale a pena basear a argumentação na própria especificação.

O requisito 5 descreve claramente a superfície de ameaça: «O malware pode entrar na rede durante muitas atividades aprovadas pela empresa, incluindo o correio eletrónico dos colaboradores (por exemplo, através de phishing) e a utilização da Internet, mobile e de dispositivos de armazenamento, resultando na exploração de vulnerabilidades do sistema.» Este é o principal modelo de ameaça para ataques baseados em ficheiros em ambientes de pagamento.

A norma estabelece também que a deteção de assinaturas, por si só, não é suficiente: «A utilização de soluções antimalware que abordem todos os tipos de malware ajuda a proteger os sistemas contra ameaças de malware atuais e em evolução.» As expressões-chave são «todos os tipos» e «atuais e em evolução». A deteção que apenas reconhece ameaças conhecidas deixa uma lacuna que a norma identifica explicitamente.

O requisito 5.2.1 vai mais longe — as suas orientações de boas práticas referem que é «benéfico que as entidades estejam cientes dos ataques de “dia zero” (aqueles que exploram uma vulnerabilidade até então desconhecida) e considerem soluções que se centrem nas características comportamentais e que alertem e reajam a comportamentos inesperados». Trata-se do próprio reconhecimento da norma de que a deteção comportamental e heurística é importante para uma cobertura completa.

Os requisitos 6 e 11 alargam ainda mais o âmbito de aplicação. O requisito 6.3.2 exige que as vulnerabilidades de segurança em software desenvolvido à medida e personalizado sejam identificadas, abordando diretamente o risco da cadeia de abastecimento de software. O requisito 11.3.1.2 exige a realização de análises internas autenticadas. Em conjunto, estabelecem que a segurança dos ficheiros num ambiente em conformidade com a norma PCI DSS não é um controlo isolado, mas sim uma disciplina aplicada em toda a arquitetura.

É aqui que muitos programas de conformidade apresentam uma lacuna que ainda não foi avaliada.

1. Tráfego web: Os ficheiros descarregados ou carregados num portal web através de HTTPS passam pela rede antes de chegarem a qualquer terminal.
2. E-mail e anexos: O e-mail continua a ser o mecanismo de distribuição mais comum para ameaças baseadas em ficheiros. A análise de anexos tem de ir além da comparação de assinaturas. Arquivos comprimidos, documentos com macros ativadas e ficheiros com exploits incorporados são todos concebidos para contornar essa análise.
3. Cloud local e Cloud : os ficheiros são sincronizados constantemente de e para o SharePoint, o OneDrive, o S3 e plataformas semelhantes.
4. Transferência de ficheiros gerida: as trocas com fornecedores, as integrações com parceiros e os envios de ficheiros por parte dos clientes criam fluxos de ficheiros recebidos que apresentam o seu próprio perfil de risco.
5. Suportes removíveis: O requisito 5.3.3 é uma das obrigações mais específicas da norma: o software antimalware deve analisar automaticamente os suportes removíveis quando estes são inseridos. USB constituem um vetor de ataque ativo em ambientes de pagamento, incluindo sistemas isolados (air-gapped), onde são frequentemente a única via de transferência de dados externa.
6. Software e dependências. O requisito 6.3.2 existe porque as bibliotecas de terceiros e os componentes incorporados constituem uma fonte significativa de exposição a CDE. Um ficheiro binário que inclua uma vulnerabilidade CVE (Common Vulnerability and Exposure) conhecida numa das suas dependências representa um risco que a deteção de malware baseada em assinaturas não consegue identificar. Trata-se de uma vulnerabilidade à espera de ser explorada, e não de malware no sentido tradicional.
7. Terminais. Este é o canal que a maioria das equipas já tem coberto. Endpoint analisam o que chega, é executado ou permanece num dispositivo. Essa cobertura é necessária, mas surge a jusante de todos os outros canais desta lista. Quando um ficheiro chega a um terminal, já passou ou falhou em seis outros pontos de inspeção.

O EDR e o antivírus para um único terminal são excelentes ferramentas, mas o seu âmbito de aplicação é limitado por definição.

Endpoint protegem os dispositivos ao monitorizar o que acontece no equipamento: ficheiros gravados no disco, processos executados, ligações de rede iniciadas. Não inspecionam ficheiros que transitam por um proxy da Web, um gateway de e-mail, uma API de sincronização na nuvem ou um USB . Trata-se de uma questão de âmbito, não de uma deficiência do produto.

A norma PCI DSS 4.0.1 responde de forma definitiva a essa questão relativa ao âmbito de aplicação. A norma descreve a superfície de ameaça como todos os canais através dos quais os ficheiros entram na rede. Endpoint protege o que já se encontra dentro do CDE. A segurança dos ficheiros protege a transição.

A lacuna não é teórica. Um atacante que introduza uma carga maliciosa através de um anexo de phishing analisado apenas por um gateway de motor único, ou através de uma dependência maliciosa num pacote de software fornecido pelo fabricante, ou ainda através de um USB ligado durante uma janela de manutenção — nenhuma dessas vias passa por um agente de terminal até ser tarde demais. São esses os canais que a norma lhe pede para bloquear.

As organizações com auditorias 4.0.1 sem irregularidades em matéria de segurança de ficheiros partilham uma arquitetura comum: inspeção em todos os pontos de entrada de dados, com várias camadas de defesa.

Isso significa uma análise com múltiplos motores ao nível do gateway. A análise simultânea de ficheiros com vários motores antivírus aumenta drasticamente as taxas de deteção e proporciona a profundidade de cobertura exigida pela formulação «todos os tipos» da norma. Significa a sanitização de ficheiros que neutraliza o que o antivírus não consegue detetar: a tecnologia Deep CDR™ reconstrói os ficheiros em formatos seguros e utilizáveis, removendo conteúdo potencialmente malicioso, incluindo exploits de dia zero que ainda não foram catalogados. Significa uma avaliação de vulnerabilidades ao nível do ficheiro em relação a CVEs conhecidos para pacotes de software e ficheiros binários antes de estes chegarem aos sistemas de produção. E significa um registo centralizado em todos os canais, e não apenas na telemetria dos terminais, para que os requisitos de auditoria do Requisito 11 possam ser efetivamente cumpridos.

O MetaDefender™ é a plataforma de segurança de ficheiros OPSWAT, concebida para analisar, sanitizar e avaliar ficheiros em todos os canais de ingestão antes de estes chegarem ao CDE.

Conforme referido no guia de conformidade OPSWAT: «OPSWAT MetaDefender algumas das funcionalidades mais robustas do setor no que diz respeito ao Requisito 5. Multiscanning Metascan™ Multiscanning mais de 30 motores antivírus comerciais para detetar malware conhecido com uma precisão excecional, enquanto a tecnologia Deep CDR™ neutraliza de forma proativa ameaças de dia zero e ameaças incorporadas, reconstruindo os ficheiros em formatos seguros e utilizáveis.»

Essa lacuna existe não porque as equipas de segurança tenham sido negligentes, mas porque a norma PCI DSS 4.0.1 exige algo mais abrangente. As equipas que a colmatam antes de uma auditoria não estão a fazer mais do que o exigido pela norma. Estão apenas a cumprir tudo o que esta exige.

Está pronto para avaliar a sua cobertura atual em relação a todos os requisitos da versão 4.0.1?

Descarregue o Guia de Mapeamento da PCI DSS + Lista de Verificação para Iniciantes da PCI DSS para mapear os seus controlos existentes em relação a cada um dos sete canais de ingestão de ficheiros e identificar onde existem lacunas.