Поделиться через

Требование 7 идентификатора записи Майкрософт и PCI-DSS

  • Статья

Требование 7. Ограничение доступа к системным компонентам и данным заполнителей карт по бизнесу необходимо знать
определенные требования к подходу

7.1 Процессы и механизмы ограничения доступа к системным компонентам и данным заполнителей карт бизнесом должны быть определены и понятны.

Требования к определенному подходу PCI-DSS Рекомендации и рекомендации Microsoft Entra
7.1.1 . Все политики безопасности и операционные процедуры, определенные в требовании 7, являются:
Документированные
сохраненные актуальные сведения
об использовании
известных всем затронутым сторонам		 Интеграция доступа к приложениям среды данных владельцев карт (CDE) с идентификатором Microsoft Entra для проверки подлинности и авторизации.
Документируйте политики условного доступа для технологий удаленного доступа. Автоматизация с помощью API Microsoft Graph и PowerShell. Условный доступ. Программный доступ
архивирует журналы аудита Microsoft Entra для записи изменений политики безопасности и конфигурации клиента Microsoft Entra. Чтобы записать использование, архивируйте журналы входа Microsoft Entra в систему безопасности и управления событиями (SIEM). Журналы действий Microsoft Entra в Azure Monitor
7.1.2 Роли и обязанности по выполнению действий в требованиях 7 документируются, назначаются и понимаются. Интеграция доступа к приложениям CDE с идентификатором Microsoft Entra для проверки подлинности и авторизации.
— Назначение ролей пользователям приложениям или членства
в группах . Использование Microsoft Graph для перечисления назначений приложений — используйте журналы
аудита Microsoft Entra для отслеживания изменений назначений.
Перечисление приложений appRoleAssignment, предоставленных пользователю
Get-MgServicePrincipalAppRoleAssignedTo

Привилегированный доступ
Используйте журналы аудита Microsoft Entra для отслеживания назначений ролей каталога. Роли администратора, относящиеся к этому требованию PCI:
global - Application
- Authentication — Политика
проверки подлинности — гибридная идентификация

для реализации минимального привилегированного доступа, используйте идентификатор Microsoft Entra ID для создания пользовательских
ролей каталога.
Если вы создаете части CDE в Azure, назначения привилегированных ролей документа, такие как владелец, участник, администратор доступа пользователей и т. д., а также пользовательские роли подписки, в которых развертываются ресурсы CDE.
Корпорация Майкрософт рекомендует включить JIT-доступ к ролям с помощью управление привилегированными пользователями (PIM). PIM позволяет JIT-доступ к группам безопасности Microsoft Entra для сценариев, когда членство в группах представляет привилегированный доступ к приложениям или ресурсам CDE. Руководство по
управлению удостоверениями и операциями управления доступом в Microsoft Entra, встроенное в
Microsoft Entra ID, обеспечивает привилегированный доступ для гибридных и облачных развертываний в Microsoft Entra ID, что такое Microsoft Entra id

управление привилегированными пользователями?
Рекомендации по использованию всех архитектур
изоляции PIM для групп

7.2 Доступ к системным компонентам и данным определяется соответствующим образом и назначается.

Требования к определенному подходу PCI-DSS Рекомендации и рекомендации Microsoft Entra
7.2.1 Модель управления доступом определена и включает предоставление доступа следующим образом:
соответствующий доступ в зависимости от потребностей организации и доступа.
Доступ к системным компонентам и ресурсам данных, основанным на классификации и функциях заданий пользователей.
Минимальные привилегии, необходимые (например, пользователю, администратору) для выполнения функции задания.		 Используйте идентификатор Microsoft Entra, чтобы назначить пользователей ролям в приложениях напрямую или через членство в группах.
Организации с стандартизованной таксономией, реализованной как атрибуты, могут автоматизировать предоставление доступа на основе классификации заданий пользователей и функций. Используйте группы Microsoft Entra с членством в группах и пакеты управления правами Microsoft Entra с политиками динамического назначения.
Используйте управление правами, чтобы определить разделение обязанностей для определения наименьших привилегий.
PIM позволяет JIT-доступ к группам безопасности Microsoft Entra для пользовательских сценариев, в которых членство в группах представляет привилегированный доступ к приложениям или ресурсам CDE. Управление правилами для динамических групп
членства Настройка политики автоматического назначения для пакета доступа в управлении
правами настройте разделение обязанностей для пакета доступа в PIM управления правами
для групп
Доступ 7.2.2 назначается пользователям, включая привилегированных пользователей, на основе:
классификации заданий и функций.
Минимальные привилегии, необходимые для выполнения обязанностей по заданию.		 Используйте идентификатор Microsoft Entra, чтобы назначить пользователей ролям в приложениях напрямую или через членство в группах.
Организации с стандартизованной таксономией, реализованной как атрибуты, могут автоматизировать предоставление доступа на основе классификации заданий пользователей и функций. Используйте группы Microsoft Entra с членством в группах и пакеты управления правами Microsoft Entra с политиками динамического назначения.
Используйте управление правами, чтобы определить разделение обязанностей для определения наименьших привилегий.
PIM позволяет JIT-доступ к группам безопасности Microsoft Entra для пользовательских сценариев, в которых членство в группах представляет привилегированный доступ к приложениям или ресурсам CDE. Управление правилами для динамических групп
членства Настройка политики автоматического назначения для пакета доступа в управлении
правами настройте разделение обязанностей для пакета доступа в PIM управления правами
для групп
7.2.3 Обязательные привилегии утверждены авторизованным персоналом. Управление правами поддерживает рабочие процессы утверждения для предоставления доступа к ресурсам и периодических проверок доступа. Утверждение или отклонение запросов на доступ к доступу к пакету управления
правами в
PIM управления правами поддерживает рабочие процессы утверждения для активации ролей каталога Microsoft Entra, а также ролей Azure и облачных групп. Утверждение или отклонение запросов для ролей Microsoft Entra в PIM
Утверждение запросов на активацию для участников группы и владельцев
7.2.4 Все учетные записи пользователей и связанные с ними привилегии доступа, включая сторонние или поставщики, проверяются следующим образом:
по крайней мере один раз в шесть месяцев.
Чтобы гарантировать, что учетные записи пользователей и доступ остаются соответствующими на основе функции задания.
Устранен любой недопустимый доступ. Управление признает, что доступ остается подходящим.		 Если вы предоставляете доступ к приложениям с помощью прямого назначения или членства в группах, настройте проверки доступа Microsoft Entra. Если вы предоставляете доступ к приложениям с помощью управления правами, включите проверки доступа на уровне пакета доступа. Создайте проверку доступа пакета доступа в управлении
правами используйте Внешняя идентификация Microsoft Entra для сторонних учетных записей и учетных записей поставщиков. Вы можете выполнять проверки доступа, предназначенные для внешних удостоверений, например сторонних или поставщиков учетных записей. Управление гостевым доступом с помощью проверок доступа
7.2.5 Все учетные записи приложений и системных учетных записей и связанные привилегии доступа назначаются и управляются следующим образом:
на основе минимальных привилегий, необходимых для работы системы или приложения.
Доступ ограничен системами, приложениями или процессами, которые требуют их использования.		 Используйте идентификатор Microsoft Entra, чтобы назначить пользователей ролям в приложениях напрямую или через членство в группах.
Организации с стандартизованной таксономией, реализованной как атрибуты, могут автоматизировать предоставление доступа на основе классификации заданий пользователей и функций. Используйте группы Microsoft Entra с членством в группах и пакеты управления правами Microsoft Entra с политиками динамического назначения.
Используйте управление правами, чтобы определить разделение обязанностей для определения наименьших привилегий.
PIM позволяет JIT-доступ к группам безопасности Microsoft Entra для пользовательских сценариев, в которых членство в группах представляет привилегированный доступ к приложениям или ресурсам CDE. Управление правилами для динамических групп
членства Настройка политики автоматического назначения для пакета доступа в управлении
правами настройте разделение обязанностей для пакета доступа в PIM управления правами
для групп
7.2.5.1 Все доступы по учетным записям приложений и системным учетным записям и связанным привилегиям доступа проверяются следующим образом:
периодически (на частоте, определенной в целевом анализе рисков сущности, который выполняется в соответствии со всеми элементами, указанными в требовании 12.3.1).
Доступ к приложению или системе остается подходящим для выполняемой функции.
Устранен любой недопустимый доступ.
Управление признает, что доступ остается подходящим.		 Рекомендации по просмотру разрешений учетных записей служб. Управление учетными записями
службы Microsoft Entra управляет локальными учетными записями служб
7.2.6 . Доступ всех пользователей к репозиториям репозиториев хранимых карт ограничен следующим образом:
с помощью приложений или других программных методов с доступом и разрешенными действиями на основе ролей пользователей и минимальных привилегий.
Только ответственные администраторы могут напрямую обращаться к репозиториям хранимых карточек (CHD).		 Современные приложения обеспечивают программные методы, ограничивающие доступ к репозиториям данных.
Интеграция приложений с идентификатором Microsoft Entra с помощью современных протоколов проверки подлинности, таких как OAuth и Подключение OpenID (OIDC). Протоколы OAuth 2.0 и OIDC в платформа удостоверений Майкрософт
определение ролей, относящихся к приложению, для модели привилегированного и непривилегированного доступа пользователей. Назначение пользователям или группам ролей. Добавьте роли приложения в приложение и получите их в маркере
API, предоставляемых приложением, определите области OAuth, чтобы включить согласие пользователя и администратора. Области и разрешения в платформа удостоверений Майкрософт
Привилегированный и не привилегированный доступ к репозиториям с помощью следующего подхода и избегайте прямого доступа к репозиторию. Если администраторам и операторам требуется доступ, предоставьте его на базовую платформу. Например, назначения IAM ARM в Azure, окнах списков контроль доступа (списки управления доступом) и т. д.
Ознакомьтесь с рекомендациями по архитектуре, включающими защиту платформы приложений как службы (PaaS) и инфраструктуры как службы (IaaS) в Azure. Центр архитектуры Azure

7.3 Доступ к системным компонентам и данным управляется с помощью системы управления доступом.

Требования к определенному подходу PCI-DSS Рекомендации и рекомендации Microsoft Entra
7.3.1 Система управления доступом находится на месте, которая ограничивает доступ на основе необходимости пользователя знать и охватывать все системные компоненты. Интеграция доступа к приложениям в CDE с идентификатором Microsoft Entra в качестве проверки подлинности и авторизации системы управления доступом. Политики условного доступа с назначениями приложений управляют доступом к приложениям. Что такое условный доступ?
Назначение пользователей и групп приложению
7.3.2 Система управления доступом настроена для применения разрешений, назначенных отдельным лицам, приложениям и системам на основе классификации заданий и функций. Интеграция доступа к приложениям в CDE с идентификатором Microsoft Entra в качестве проверки подлинности и авторизации системы управления доступом. Политики условного доступа с назначениями приложений управляют доступом к приложениям. Что такое условный доступ?
Назначение пользователей и групп приложению
7.3.3 Система управления доступом по умолчанию имеет значение "запретить все". Используйте условный доступ для блокировки доступа на основе условий запроса доступа, таких как членство в группах, приложения, сетевое расположение, сила учетных данных и т. д. Условный доступ. Блокировка
неправильно настроенной политики блокировки может способствовать непреднамеренным блокировкам. Разработка стратегии аварийного доступа. Управление учетными записями администратора аварийного доступа в идентификаторе Microsoft Entra

Следующие шаги

Требования PCI-DSS 3, 4, 9 и 12 не применимы к идентификатору Microsoft Entra, поэтому нет соответствующих статей. Чтобы просмотреть все требования, перейдите к pcisecuritystandards.org: официальный сайт Совета безопасности PCI.

Сведения о настройке идентификатора Microsoft Entra для соответствия ТРЕБОВАНИЯМ PCI-DSS см. в следующих статьях.