Domanda:
requisiti di registrazione per PCI per applicazioni web
Casey
2010-12-24 01:45:45 UTC
view on stackexchange narkive permalink

Il PCI determina quanto dovrebbe essere registrato a livello di applicazione o semplicemente cosa non dovrebbe essere registrato?

Sto lottando con troppe registrazioni in questo momento e alcune persone pensano che dovremmo averlo . Dal punto di vista del debug, in passato ho trovato un logging eccessivo quasi inutile e sono d'accordo con Jeff Atwood sul logging solo eccezioni.

Attualmente sto usando AspectJ per circa Il 99% dei log nelle applicazioni che supporto, quindi non è un grosso problema in entrambi i casi tranne quando si esaminano i log per queste eccezioni e anche che stanno iniziando a occupare una discreta quantità di spazio.

Due risposte:
Jeff Ferland
2010-12-24 02:40:21 UTC
view on stackexchange narkive permalink

Dovresti registrare:

  • Tutti gli accessi individuali ai dati dei titolari di carta
  • Tutte le azioni intraprese da qualsiasi individuo con privilegi di root o amministrativi
  • Accesso a tutti gli audit trail
  • Tentativi di accesso logico non validi
  • Uso di meccanismi di identificazione e autenticazione
  • Inizializzazione dei log di audit
  • Creazione e cancellazione di oggetti a livello di sistema

Questi devono essere registrati con una data verificabile & time (corretta sincronizzazione dell'ora abilitata) in modo immutabile. Dovresti: "Conservare la cronologia dell'audit trail per almeno un anno, con un minimo di tre mesi immediatamente disponibili per l'analisi (ad esempio, online, archiviati o ripristinabili dal backup)".

Tu " Voglio esaminare l'intero documento e comprendere tutti i requisiti secondari che compongono il grande 12. https://www.pcisecuritystandards.org/documents/pci_dss_v2.pdf

Per rispondere alla teoria di Jeff Atwood, tuttavia, e mantenere la propria sanità mentale, è necessario mantenere i registri relativi allo standard PCI DSS separati dai registri delle attività dell'applicazione. Suggerirei di copiare le eccezioni in una struttura di registro separata in modo che, dal punto di vista dello sviluppatore, i registri siano leggibili e sparsi. Dal punto di vista del revisore, i tuoi registri completi possono essere, beh, esaurienti e utilizzati per ricostruire l'attività.

+1 per l'ultimo paragrafo. Sono tutti a favore del fatto che i registri per diversi motivi vadano in luoghi diversi, è abbastanza facile combinarli per l'analisi qualora fosse necessario.
Tate Hansen
2010-12-24 02:51:19 UTC
view on stackexchange narkive permalink

Ho visto più aziende contrassegnate per la conformità al livello 1 ottenere la conformità con uno sforzo minimo o nullo per modificare la registrazione dell'applicazione oltre a quanto fornito per impostazione predefinita. Per ottenere un segno di spunta di conformità, probabilmente puoi farlo mostrando molto poco (l'incoerenza del revisore è ancora un carattere jolly).

Detto questo, ecco i frammenti di registrazione pertinenti dal Payment Application Data Security Standard (v. 2.0 / ottobre 2010) per quanto riguarda l ' attività di richiesta di pagamento :

alt text alt text



ⓘ
Questa domanda e risposta è stata tradotta automaticamente dalla lingua inglese. Il contenuto originale è disponibile su stackexchange, che ringraziamo per la licenza cc by-sa 2.0 con cui è distribuito.
Loading...