30
セキュリティ監査人はバカです。彼が望む情報をどのように彼に与えるのですか？
サーバーのセキュリティ監査員は、2週間以内に次のことを要求しています。 すべてのサーバー上のすべてのユーザーアカウントの現在のユーザー名とプレーンテキストパスワードのリスト 過去6か月間のすべてのパスワード変更のリスト、再びプレーンテキスト 過去6か月間に「リモートデバイスからサーバーに追加されたすべてのファイル」のリスト SSHキーの公開キーと秘密キー ユーザーがパスワードを変更するたびに彼に送信された、プレーンテキストのパスワードを含むメール LDAP認証を使用してRed Hat Linux 5/6およびCentOS 5ボックスを実行しています。 私の知る限り、そのリストのすべては入手が不可能または非常に困難ですが、この情報を提供しないと、移行期間中に支払いプラットフォームへのアクセスが失われ、収入が失われます新しいサービス。この情報を解決または偽造する方法についての提案はありますか？ すべてのプレーンテキストパスワードを取得する唯一の方法は、全員にパスワードをリセットさせ、設定した内容をメモしてもらうことです。過去6か月間のパスワード変更の問題を解決することはできません。その種のものをさかのぼってログに記録することはできないためです。同じことがすべてのリモートファイルの記録にも当てはまります。 すべてのパブリックおよびプライベートSSHキーを取得することは可能ですが（面倒ですが）、ユーザーとコンピューターはわずかしかありません。これを行う簡単な方法を見逃していない限り？ 彼が求めていることは不可能だと何度も説明してきました。私の懸念に応えて、彼は次のメールで返信しました。 私は10年以上のセキュリティ監査の経験とレッドハットのセキュリティ手法の完全な理解を持っているので、何が可能で何ができないかについてあなたの事実を確認することをお勧めします。この情報を入手できる企業はないということですが、私はこの情報がすぐに利用できる場所で何百もの監査を実施しました。[一般的なクレジットカード処理プロバイダー]クライアントはすべて、新しいセキュリティポリシーに準拠する必要があり、この監査は、これらのポリシーが正しく実装されていることを確認することを目的としています*。 *「新しいセキュリティポリシー」は監査の2週間前に導入されたもので、ポリシーが変更されるまで6か月間の履歴ログは必要ありませんでした。 要するに、私は必要です。 6か月分のパスワード変更を「偽造」し、有効に見えるようにする方法 6か月間のインバウンドファイル転送を「偽造」する方法 使用されているすべてのSSH公開鍵と秘密鍵を収集する簡単な方法 セキュリティ監査に失敗すると、カード処理プラットフォーム（システムの重要な部分）にアクセスできなくなり、別の場所に移動するのに2週間かかります。私はどのようにねじ込まれていますか？ アップデート1（23日土） すべてのご回答に感謝します。これが標準的な慣行ではないことを知って非常に安心しています。 現在、状況を説明する彼へのメールの返信を計画しています。あなたの多くが指摘したように、私たちは、プレーンテキストのパスワードにアクセスする方法はないはずであると明示的に示しているPCIに準拠する必要があります。メールを書き終わったら投稿します。残念ながら、彼はただ私たちをテストしているとは思わない。これらは現在、会社の公式のセキュリティポリシーに含まれています。ただし、当分の間、車輪を動かしてPayPalに移動するように設定しました。 アップデート2（土23日） これは私が作成したメールで、追加/削除/変更するものについての提案はありますか？ こんにちは[名前]、 残念ながら、主にプレーンテキストパスワード、パスワード履歴、SSHキー、リモートファイルログなど、要求された情報の一部を提供する方法はありません。これらの事柄が技術的に不可能であるだけでなく、この情報を提供できることは、PCI基準に違反することと、データ保護法の違反になることの両方になります。 PCI要件を引用するには、 8.4強力な暗号化を使用して、すべてのシステムコンポーネントでの送信および保存中にすべてのパスワードを読み取り不能にします。 私たちのシステムで使用されるユーザー名とハッシュ化されたパスワードのリスト、SSH公開キーと許可されたホストファイルのコピーを提供できます（これにより、サーバーに接続できる一意のユーザーの数、および暗号化使用される方法）、パスワードセキュリティ要件とLDAPサーバーに関する情報ですが、この情報はオフサイトに持ち込まれない場合があります。現在、PCIおよびデータ保護法に準拠したままこの監査に合格する方法はないため、監査要件を確認することを強くお勧めします。 よろしく、 [私] 会社のCTOとアカウントマネージャーでCCを行います。CTOがこの情報が利用できないことを確認できることを望んでいます。また、PCI Security Standards Councilに連絡し、彼からの要望を説明します。 更新3（26日） 交換したメールは次のとおりです。 RE：最初のメール。 説明したように、この情報は、適切に管理されたシステムで有能な管理者が簡単に利用できる必要があります。この情報を提供できなかったため、システムのセキュリティ上の欠陥に気づいており、それらを明らかにする準備ができていないと思わせます。私たちの要求はPCIガイドラインに沿っており、両方を満たすことができます。強力な暗号化とは、ユーザーがパスワードを入力している間にパスワードを暗号化する必要があるだけで、後で使用できるように回復可能な形式に移動することを意味します。 これらのリクエストにはデータ保護の問題はありません。データ保護は企業ではなく消費者にのみ適用されるため、この情報に問題はないはずです。 ただ、何ができない、でも... 「強力な暗号化とは、ユーザーがパスワードを入力している間だけパスワードを暗号化する必要があることを意味しますが、後で使用できるように回復可能な形式に移動する必要があります。」 私はそれを額に入れて壁に置きます。 私は外交にうんざりし、このスレッドに彼を向けて、私が得た反応を見せました。 この情報を提供することは、PCIガイドラインのいくつかの要件と直接矛盾します。私が引用したセクションにはstorage 、「ディスク上のデータを保存する場所への実装」とさえ書かれています。ServerFault.com（sys-adminの専門家向けのオンラインコミュニティ）でディスカッションを開始しましたが、大きな反響があり、この情報はすべて提供できないことを示唆しています。自由に読んでください https://serverfault.com/questions/293217/ …