Каморка

/me рыдал!

http://serverfault.com/questions/293217 ... n-he-wants

A security auditor for our servers has demanded the following within two weeks:

A list of current usernames and plain-text passwords for all user accounts on all servers
A list of all password changes for the past six months, again in plain-text
A list of "every file added to the server from remote devices" in the past six months
The public and private keys of any SSH keys
An email sent to him every time a user changes their password, containing the plain text password

We're running Red Hat Linux 5/6 and CentOS 5 boxes with LDAP authentication.

As far as I'm aware, everything on that list is ether impossible or incredibly difficult to get, but if I don't provide this information we lose access to our payments platform, and any income we might have got while we move away. Any suggestions for how I can solve or fake this information?

Дык не смешно. PCI audit вообще вещь малоинтересная, а когда еще такие идиоты попадаются...

На самом деле сисадмин тупак... Изн'т ит?

Stanislav писал(а):На самом деле сисадмин тупак... Изн'т ит?

Где конкретно? Даже если иметь систему при которой мониторятся все изменения файлов, с паролями и ключами что делать-то?

mrskhris писал(а):

Stanislav писал(а):На самом деле сисадмин тупак... Изн'т ит?

Где конкретно? Даже если иметь систему при которой мониторятся все изменения файлов, с паролями и ключами что делать-то?

А какого рожна на сервере, где у вас даза банных с кредитнымни карточками, делают юзеры??????????

БТВ, когда вы делаете PCI, вам дают опросник по вашей инфраструктуре. Так вот, там надо указать, что сервера, где хранятся данные карточек, физически изолированы от пользователей и Интернета. Никаких пользователей там нет, кроме рута и оракла - для них можете написать список из нескольких паролей (любых! - это невозможно проверить!). Никакие файлы извне не поступали.
Фсе.

А что, правила изменились?
Когда мы такой аудит проходили, шерстили _все_ наши сервера. Есть там база, нет ее...

Еще советую сходить по ссылке и почитать ответы "аудитора". По его словам, получение списка паролей - basic practice on Unix. И вообще, это все легко, и он их получал много-много раз. Его все еще можно считать нормальным специалистом?

mrskhris писал(а):А что, правила изменились?
Когда мы такой аудит проходили, шерстили _все_ наши сервера. Есть там база, нет ее...

Вы не обратили внимание на слова: физически изолированы. С тем же успехом можно было проверить ваш домашний компутер на предмет соответствия вашей компании PCI.

mrskhris писал(а):Еще советую сходить по ссылке и почитать ответы "аудитора". По его словам, получение списка паролей - basic practice on Unix. И вообще, это все легко, и он их получал много-много раз. Его все еще можно считать нормальным специалистом?

А это неважно - важен результат - важно пройти аудит Все остальные компании его 10 лет проходили

. Так вот, там надо указать, что сервера, где хранятся данные карточек, физически изолированы от пользователей и Интернета.

До меня все равно не доходит.
Лежит у нас база в сильно защищенной сети. Нет, лежать ей не надо, пусть лучше стоит Взведена.
Пришел день "D", когда по всем карточкам надо платеж проводить. Например. Кто это делать будет? Скрипт на другом сервере? А под кем он на сервер с базой стучаться будет? А этого пользователя/сервера который платежи проводит - их не надо будет проверять на соответствие стандартам? Или они тоже изолированы? А коли так, то откуда данные, извините, берутся? Их вручную вводили, через перфокарты?

mrskhris писал(а):

. Так вот, там надо указать, что сервера, где хранятся данные карточек, физически изолированы от пользователей и Интернета.

До меня все равно не доходит.
Лежит у нас база в сильно защищенной сети. Нет, лежать ей не надо, пусть лучше стоит Взведена.
Пришел день "D", когда по всем карточкам надо платеж проводить.

Прекрасно! Но ведь сильно защищенная сеть не значит, что к ней нет доступа: авторизованного и безопасного. PCI не требует сделать данные абсолютно недоступными - зачем тогда такая даза банных, если через нее нельзя перевести старушку?

mrskhris писал(а): Например. Кто это делать будет? Скрипт на другом сервере?

Да.

mrskhris писал(а): А под кем он на сервер с базой стучаться будет?

DB user - в нашем случае пользователь Оракл.

mrskhris писал(а): А этого пользователя/сервера который платежи проводит - их не надо будет проверять на соответствие стандартам? Или они тоже изолированы?

Что значит пользователя проверять на соответствие стандартам?

PCI требует, чтобы данные были защищены в соответствии с сегодняшним уровнем знаний и технологий. Это не значит, что их нельзя украсть. Просто работа с этими данными должна быть организована соответственно.

Например, захотел Vims забабахать веб-сайт - поставил сервер в подвале, написал аппликуху, у него миллион кредиток на сервере - сидит деньги стрижет. Потом вышел в магазин, к дому подошел злоумышленник, пнул стенку ногой - стенка упала, злоумышленник скрылся с сервером под мышкой... Это не секьюрно и стандарту не соответствует.
А вот у нас сервер стоит в железной клетке, на клетке здоровенный замок, клетка в колокейшене PEER1, где на входе проверяют фэйсы и пускают только кого надо. Это секьюрно.

Далее. С данными работает аппликуха. Если вы посылаете пароль по http - это не соответсвует стандарту, а если по https и у вас есть сертификат на веб-сайт - то соответствует. Ну разумеется, веб-сайт должен иметь все обновления софта, не допускать sql инжекшн и т.д. - этим занимается служба тестирования PCI - они наш сайт раз в квартал по-моему бомбардируют...

Если на сервер имеет доступ только root и никаких аккаунтов больше просто нет, и если на сервере тусуется еще сотня разных пользователей - есть разница? Если много пользователей - за всеми можно и не усмотреть! Кто-нить может просто скопировать БД и выкинуть ее по ФТП куда угодно. Пользователи забывают пароли -> записывают их на бумажке и клеят на монитор, т.е. пользователи - это очень не секьюрно. Хотя для меня немного странно - ну зачем пользователи ходят на Линукс сервак? Они такие продвинутые?

mrskhris писал(а): А коли так, то откуда данные, извините, берутся? Их вручную вводили, через перфокарты?

как откуда? Клиенты сами вводят свои карточки, когда регистрируются. Разумеется, через https
Платежи вводятся - у нас платежный шлюз - аппликуха посылает данные, получает ответ и регистрирует оответ в базе данных.
Пользователи даже не видят номер карточки - только XXXX XXXX XXXX 1234
Ну есть конечно, те, кто может смотреть на row data в таблицах БД, но узок круг этих людей, страшно далеки они от народа...

Stanislav писал(а):Пользователи даже не видят номер карточки - только XXXX XXXX XXXX 1234

О! Молодец. Я тоже более параноидный, чем того требует PCI стандарт. По стандарту разрешается ещё и первые шесть цифр открывать, но на мой взгляд это уже перебор. Потому что, скажем, в случае карт Diners Club цифр может быть 14. Если открывать первые шесть и последние четыре, в маске остаётся совсем ничего.