11.6.1
Определенные Требования к Подходу:
Механизм обнаружения изменений и несанкционированного доступа развертывается следующим образом:
- Для предупреждения персонала о несанкционированном изменении (включая признаки компрометации, изменения, добавления и удаления) заголовков HTTP и содержимого платежных страниц, полученных браузером пользователя.
- Механизм настроен на оценку полученного HTTP-заголовка и страницы оплаты.
- Функции механизма выполняются следующим образом:
- Не реже одного раза в семь дней
- ИЛИ
- Периодически (с периодичностью, определенной в целевом анализе рисков организации, который выполняется в соответствии со всеми элементами, указанными в Требовании 12.3.1).
Цель Индивидуального подхода:
Код или методы скимминга электронной коммерции не могут быть добавлены на страницы платежей, полученные браузером потребителя, без своевременного оповещения. Меры по борьбе со скиммингом не могут быть удалены со страниц платежей без создания оперативного предупреждения.
Примечания по применению:
Цель этого требования заключается не в том, чтобы организация устанавливала программное обеспечение в системах или браузерах своих потребителей, а скорее в том, чтобы организация использовала методы, подобные тем, которые описаны в разделе Примеры в колонке Руководства, для предотвращения и обнаружения непредвиденных действий скрипта.
Это требование является наилучшей практикой до 31 марта 2025 года, после чего оно станет обязательным и должно быть полностью рассмотрено во время оценки PCI DSS.
Определенные Процедуры Тестирования Подхода:
- 11.6.1.a Изучить системные настройки, отслеживаемые платежные страницы и результаты действий по мониторингу, чтобы проверить использование механизма обнаружения изменений и несанкционированного доступа.
- 11.6.1.b Проверьте параметры конфигурации, чтобы убедиться, что механизм настроен в соответствии со всеми элементами, указанными в этом требовании.
- 11.6.1.c Если функции механизма выполняются с определенной организацией периодичностью, изучите целевой анализ рисков организации для определения периодичности, чтобы убедиться, что анализ рисков был выполнен в соответствии со всеми элементами, указанными в Требовании 12.3.1.
- 11.6.1.d Изучите параметры конфигурации и опросите персонал, чтобы убедиться, что функции механизма выполняются либо: • Не реже одного раза в семь дней, ЛИБО • С периодичностью, определенной в целевом анализе рисков организации, выполняемом для этого требования.
Цель:
Многие веб-страницы теперь полагаются на сборку объектов, включая активный контент (в первую очередь JavaScript), из нескольких интернет-местоположений. Кроме того, содержимое многих веб-страниц определяется с помощью систем управления контентом и управления тегами, которые, возможно, невозможно отслеживать с помощью традиционных механизмов обнаружения изменений.
Таким образом, единственное место, где можно обнаружить изменения или признаки вредоносной активности, - это браузер пользователя при создании страницы и интерпретации всего JavaScript.
Сравнивая текущую версию HTTP-заголовка и активного содержимого платежных страниц, полученных браузером пользователя, с предыдущими или известными версиями, можно обнаружить несанкционированные изменения, которые могут указывать на атаку скимминга.
Кроме того, при поиске известных признаков компрометации и элементов сценария или поведения, типичных для скиммеров, могут быть подняты подозрительные предупреждения.
Примеры:
Механизмы, которые обнаруживают изменения в заголовках и содержимом платежной страницы и сообщают об этом, включают, но не ограничиваются ими:
- О нарушениях Политики безопасности контента (CSP) можно сообщить объекту, используя директивы CSP reportto или report-uri.
- Изменения в самом CSP могут указывать на вмешательство.
- Внешний мониторинг с помощью систем, которые запрашивают и анализируют полученные веб-страницы (также известный как синтетический мониторинг пользователей), может обнаруживать изменения в JavaScript на страницах платежей и предупреждать персонал.
- Внедрение защищенного от несанкционированного доступа скрипта обнаружения несанкционированного доступа на страницу оплаты может предупреждать и блокировать при обнаружении вредоносного поведения скрипта.
- Обратные прокси-серверы и сети доставки контента могут обнаруживать изменения в сценариях и предупреждать персонал.
Часто эти механизмы основаны на подписке или облаке, но также могут основываться на пользовательских и индивидуальных решениях.
