Thử thách của PCI DSS 4.0: Cuộc đua tuân thủ liên tục và bề mặt tấn công thay đổi

Tiêu chuẩn bảo mật dữ liệu ngành thanh toán thẻ (PCI DSS) không còn là mối lo ngại trong tương lai; toàn bộ quy định của nó, bao gồm các yêu cầu đã được lên kế hoạch trước đây, đã có hiệu lực vào một ngày gần đây. Sự chuyển đổi này đã gây ra một cuộc chạy đua đáng kể trong toàn ngành, đặc biệt đối với các nhà cung cấp dịch vụ và người bán đang điều hướng sự phức tạp của việc tuân thủ liên tục trong một bối cảnh mối đe dọa đang phát triển nhanh chóng. Các vòng báo cáo tuân thủ (ROC) hậu chuyển đổi ban đầu đang tiết lộ một mô hình nhất quán: các tổ chức đang vượt qua, nhưng các 'vấn đề tin cậy' cơ bản vẫn tồn tại.

Điều gì đã xảy ra

Bản cập nhật PCI DSS đại diện cho một sự thay đổi đáng kể so với phiên bản tiền nhiệm. Tiêu chuẩn toàn cầu, được duy trì bởi Hội đồng Tiêu chuẩn Bảo mật PCI, yêu cầu tất cả các thực thể lưu trữ, xử lý hoặc truyền dữ liệu chủ thẻ phải được đánh giá theo phiên bản cập nhật kể từ một ngày gần đây, với tất cả các yêu cầu mới trở thành bắt buộc vào một ngày cụ thể trong tương lai. Sự thay đổi này đã buộc phải đánh giá lại tình hình bảo mật, chuyển từ các cuộc chạy đua thời gian kiểm toán hàng năm sang một mô hình tuân thủ liên tục. Các tổ chức hiện đang vật lộn với các yêu cầu Xác thực đa yếu tố (MFA) mạnh mẽ và rộng hơn, các kiểm soát tính toàn vẹn trang thanh toán nâng cao, và việc giới thiệu 'phương pháp tiếp cận tùy chỉnh' cho các tổ chức trưởng thành để triển khai các kiểm soát phù hợp với kiến trúc của họ, được hỗ trợ bởi phân tích rủi ro mục tiêu có tài liệu.

Tuy nhiên, tác động tức thời trên thực tế cho thấy một sự ngắt kết nối. Mặc dù các thực thể đang đạt được tuân thủ về mặt kỹ thuật, các thách thức bảo mật cơ bản, chẳng hạn như Nhà cung cấp danh tính (IdP) như một bề mặt tấn công, các tác nhân AI tự đưa mình vào phạm vi, và rủi ro tập trung nhà cung cấp, vẫn chưa được giải quyết phần lớn. Tiêu chuẩn, theo thiết kế, mã hóa các kiểm soát với tốc độ chậm hơn so với sự phát triển của mối đe dọa, dẫn đến một tình huống mà tuân thủ không phải lúc nào cũng tương đương với bảo mật mạnh mẽ chống lại các vectơ tấn công hiện đại.

Tại sao mô hình này cứ lặp đi lặp lại

Khoảng cách dai dẳng giữa tuân thủ và bảo mật bắt nguồn từ một hạn chế cố hữu của các tiêu chuẩn bảo mật. Các tiêu chuẩn như vậy, bao gồm PCI DSS, được thiết kế để mã hóa các kiểm soát ngành đã được thống nhất. Quá trình này cố ý chậm để đảm bảo sự ổn định và khả năng áp dụng rộng rãi. Tuy nhiên, tốc độ chuyển đổi số và sự tinh vi của các tác nhân đe dọa đã vượt xa chu kỳ cập nhật của các tiêu chuẩn này. Bề mặt tấn công đã mở rộng đáng kể, vượt ra ngoài các lỗ hổng phía máy chủ truyền thống sang các cuộc tấn công phía máy khách và các sự cố chuỗi cung ứng.

Trong một thời gian đáng kể, việc tuân thủ PCI DSS thường liên quan đến Bảng câu hỏi tự đánh giá (SAQ) hàng năm, một số cấu hình mạng và quét lỗ hổng định kỳ. Mô hình này hiệu quả khi bề mặt tấn công phần lớn bị giới hạn trong các máy chủ nội bộ của một tổ chức. Trọng tâm là khóa cơ sở dữ liệu, mã hóa truyền dẫn và hạn chế quyền truy cập quản trị. Phương pháp tiếp cận tập trung vào kiểm toán này, trong khi đáp ứng các nghĩa vụ tuân thủ, đã nuôi dưỡng một tư duy trong đó việc vượt qua kiểm toán là mục tiêu chính, chứ không phải là việc xây dựng một tình hình bảo mật kiên cường liên tục.

Kế hoạch tấn công của kẻ tấn công từng bước

Những kẻ tấn công hiện đại đang khai thác bề mặt tấn công mở rộng, thường nhắm mục tiêu vào các khu vực không được đề cập rõ ràng trong các cuộc kiểm toán PCI DSS truyền thống. Kế hoạch của chúng đã phát triển vượt xa các cuộc tấn công trực tiếp vào máy chủ. Một phương pháp phổ biến liên quan đến các cuộc tấn công phía máy khách, chẳng hạn như tiêm mã JavaScript độc hại vào các tập lệnh của bên thứ ba mà một nhóm tiếp thị có thể đã phê duyệt từ nhiều tháng trước. Điều này cho phép đánh cắp thẻ trực tiếp trong trình duyệt của khách hàng. Vi phạm xảy ra mà không bao giờ chạm vào môi trường cục bộ hoặc máy chủ nội bộ của người bán.

Một vectơ khác liên quan đến việc xâm phạm các Nhà cung cấp danh tính (IdP) để giành quyền truy cập trái phép, tận dụng niềm tin đặt vào các hệ thống này. Khi các tác nhân AI ngày càng được tích hợp vào các quy trình kinh doanh, chúng cũng có thể trở thành một bề mặt tấn công, có khả năng đưa các hệ thống nhạy cảm vào phạm vi theo những cách không lường trước được. Sự tập trung của nhà cung cấp, nơi nhiều dịch vụ quan trọng dựa vào một nhà cung cấp bên thứ ba duy nhất, tạo ra các rủi ro dây chuyền. Một sự cố tại một nhà cung cấp duy nhất có thể ảnh hưởng đến nhiều tổ chức, ngay cả khi các tổ chức đó tuân thủ PCI DSS về mặt kỹ thuật.

Những gì người bảo vệ đã bỏ lỡ

Những người bảo vệ, quen với mô hình bảo mật tập trung vào máy chủ, thường bỏ lỡ sự thay đổi trong việc dữ liệu chủ thẻ dễ bị tổn thương ở đâu. Trọng tâm vẫn là cơ sở hạ tầng nội bộ và phân đoạn mạng, như được nêu trong các yêu cầu PCI DSS truyền thống. Mặc dù rất quan trọng, trọng tâm nội bộ này không chuẩn bị đầy đủ cho các tổ chức đối với việc đánh cắp phía máy khách hoặc các cuộc tấn công chuỗi cung ứng bắt nguồn từ các tập lệnh của bên thứ ba. Nhật ký máy chủ, các công cụ pháp y truyền thống, thường không cho thấy bằng chứng về các vi phạm này vì việc rút dữ liệu xảy ra phía máy khách, trước khi nó thậm chí còn đến hệ thống của người bán.

Sự phụ thuộc vào các cuộc kiểm toán hàng năm cũng tạo ra một cảm giác an toàn giả tạo. Một cuộc kiểm toán có thể sạch sẽ, nhưng một vi phạm có thể đã xảy ra thông qua một tập lệnh của bên thứ ba bị xâm phạm. PCI DSS hiện tại cố gắng giải quyết một số vấn đề này bằng cách nhấn mạnh việc tuân thủ liên tục và tính toàn vẹn của trang thanh toán, nhưng sự thay đổi tư duy cần thiết để thực sự bảo vệ chống lại các mối đe dọa đang phát triển này vẫn đang bắt kịp. Người bán cần vượt ra ngoài việc chỉ đơn thuần chứng minh sự tuân thủ để chủ động xác định và giảm thiểu các mối đe dọa bỏ qua các kiểm soát truyền thống.

Sự chuyển đổi từ tuân thủ tập trung vào kiểm toán sang bảo mật liên tục, chủ động không còn là tùy chọn; đó là một yêu cầu cơ bản để duy trì khả năng xử lý thanh toán.

Danh sách kiểm tra phòng thủ thực tế

• Lập bản đồ và liên tục giám sát tất cả các tập lệnh của bên thứ ba: Hiểu rõ mọi tập lệnh đang chạy trên các trang thanh toán của bạn, nguồn gốc của chúng và tác động tiềm tàng của chúng đối với dữ liệu chủ thẻ. Thường xuyên xem xét và xác thực tính toàn vẹn của chúng.
• Triển khai các kiểm soát bảo mật phía máy khách mạnh mẽ: Triển khai các chính sách bảo mật nội dung (CSP) và tính toàn vẹn tài nguyên phụ (SRI) để ngăn chặn việc tiêm và sửa đổi tập lệnh trái phép.
• Tăng cường bảo mật IdP: Coi Nhà cung cấp danh tính của bạn là một bề mặt tấn công quan trọng, triển khai MFA nâng cao, phân tích hành vi và giám sát liên tục các hoạt động đáng ngờ.
• Thực hiện kiểm tra thâm nhập thường xuyên ngoài CDE: Mở rộng kiểm tra để bao gồm các lỗ hổng phía máy khách, tích hợp bên thứ ba và chuỗi cung ứng kỹ thuật số rộng hơn tương tác với hệ sinh thái thanh toán của bạn.
• Sử dụng các nền tảng thanh toán có tích hợp tuân thủ PCI DSS: Giảm bớt các yêu cầu kỹ thuật và phạm vi bằng cách sử dụng các nhà cung cấp đảm bảo thông tin thanh toán nhạy cảm không bao giờ chạm vào môi trường cục bộ của bạn và duy trì chứng nhận Nhà cung cấp dịch vụ cấp 1.
• Phát triển một kế hoạch ứng phó sự cố mạnh mẽ cho các vi phạm phía máy khách: Đảm bảo nhóm của bạn được chuẩn bị để phát hiện, ứng phó và phục hồi sau các vi phạm có thể không xuất hiện trong nhật ký máy chủ truyền thống.
• Áp dụng Phương pháp tiếp cận tùy chỉnh: Đối với các tổ chức trưởng thành, hãy tận dụng phương pháp tiếp cận tùy chỉnh của PCI DSS để triển khai các kiểm soát phù hợp với kiến trúc độc đáo của bạn, được hỗ trợ bởi phân tích rủi ro mục tiêu kỹ lưỡng, thay vì tuân thủ cứng nhắc các phương pháp quy định có thể không bao gồm các mối đe dọa mới nổi.

Cách kiểm thử tấn công hiện đại đã phát hiện ra điều này

Hạn chế của bảo mật truyền thống, dựa trên tuân thủ làm nổi bật nhu cầu cấp thiết về kiểm thử tấn công hiện đại. Nền tảng của chúng tôi giải quyết vấn đề này bằng cách cung cấp kiểm thử tấn công tự động với các Bằng chứng khái niệm (PoC) có thể thực thi. Phương pháp này vượt ra ngoài các lỗ hổng lý thuyết và quét tĩnh để chủ động mô phỏng các cuộc tấn công trong thế giới thực.

Ví dụ, một kiểm thử tấn công tự động có thể thăm dò có hệ thống các tập lệnh phía máy khách để tìm lỗ hổng tiêm, xác định các phần phụ thuộc của bên thứ ba bị xâm phạm và thậm chí cố gắng rút dữ liệu chủ thẻ mô phỏng thông qua các vectơ này. Các PoC có thể thực thi sẽ chứng minh chính xác cách kẻ tấn công có thể khai thác những điểm yếu này, cung cấp bằng chứng cụ thể mà các cuộc kiểm toán truyền thống hoặc kiểm tra thâm nhập phía máy chủ có thể bỏ lỡ. Tư thế tấn công liên tục này đảm bảo rằng các tổ chức không chỉ tuân thủ trên giấy tờ mà còn thực sự kiên cường chống lại kế hoạch tấn công đang phát triển. Nó xác thực hiệu quả của các kiểm soát, bao gồm bằng chứng về phương pháp tiếp cận tùy chỉnh mới, bằng cách chủ động cố gắng bỏ qua chúng, cung cấp một đánh giá động và liên tục về tình hình bảo mật bổ sung cho các đánh giá QSA.

Xem gì tiếp theo

Tương lai gần sẽ chứng kiến các tổ chức tiếp tục tinh chỉnh việc triển khai PCI DSS của họ, đặc biệt khi toàn bộ phạm vi các yêu cầu đã được lên kế hoạch trong tương lai có hiệu lực. Trọng tâm sẽ chuyển dịch hơn nữa sang tuân thủ liên tục, tránh xa các cuộc chạy đua thời gian kiểm toán hàng năm. Dự kiến sẽ tăng cường giám sát các kiểm soát tính toàn vẹn trang thanh toán và hiệu quả của MFA trên các ứng dụng rộng hơn. Động thái của Hội đồng Tiêu chuẩn Bảo mật PCI hướng tới một phương pháp tiếp cận tùy chỉnh biểu thị sự thừa nhận rằng các kiểm soát một kích thước phù hợp cho tất cả là không đủ cho các kiến trúc hiện đại, phức tạp.

Ngoài PCI DSS, ngành sẽ vật lộn với những tác động của một bề mặt tấn công ngày càng phân tán. Trọng tâm sẽ mở rộng để bao gồm bảo mật chuỗi cung ứng mạnh mẽ hơn, đặc biệt đối với các thành phần phía máy khách và môi trường đám mây gốc. Thách thức đối với các CISO sẽ là tích hợp các nỗ lực tuân thủ vào một kiến trúc bảo mật toàn diện, chủ động có thể thích ứng với những thay đổi công nghệ nhanh chóng, chứ không chỉ đơn thuần là vượt qua các cuộc kiểm toán. Khả năng thực hiện thanh toán sẽ ngày càng phụ thuộc vào việc các tổ chức có thể bảo vệ hiệu quả các chu vi động và mở rộng này hay không, biến kiểm thử bảo mật chủ động, tấn công trở thành một phần không thể thiếu trong chiến lược của họ.