Microsoft PowerPoint - ASVプログラムガイド解説 [互換モード]

Size: px

Start display at page:

Download "Microsoft PowerPoint - ASVプログラムガイド解説 [互換モード]"

あいぞうあると
5 years ago
Views:

1 2012 年 1 月 26 日 ( 木 ) ASV の要件 (PCISSC のプログラムガイド Ver1.2 より ) 日本カード情報セキュリティ協議会ベンダー部会事務局 / 森大吾

2 ASV 認定の国内ベンダー NRI セキュアテクノロジーズ株式会社 NTT データ先端技術株式会社京セラコミュニケーションシステム株式会社三和コムテック株式会社 ( 米国 McAfee Inc. 社 /McAfee Secure) TI S( ソラン株式会社を統合 ) 日本アイビーエム株式会社未掲載の会員企業様はご連絡ください日本オフィスシステム株式会社 ( 米国 Control Case 社 /ControlCaseGRC) プロティビティジャパンベライゾンビジネス出典 :( 日本カード情報セキュリティ協議会 ) サイト PCIDSS 要件 11.2 内部および外部ネットワークの脆弱性スキャンを少なくとも四半期に一度およびネットワークでの大幅な変更 ( 新しいシステムコンポーネントのインストールネットワークトポロジーの変更ファイアウォール規則の変更製品アップグレードなど ) 後に実行する四半期に一度の外部の脆弱性スキャンは PCISSC によって資格を与えられた認定スキャニングベンダー (ASV) によって実行される必要がある Page-2

3 各種検査の範囲 ( イメージ ) Internet 各種ルーター外部 N/W スキャン, 外部ペネトレーションテスト IDS/IPS( 侵入検知防止装置 ) ファイアウォール DMZ 社内 PC Mail Web 内部 N/W スキャン, 内部ペネトレーションテストアプリケーションサーバー DB サーバー ( 機密情報顧客情報 ) OWASP テスト Page-3

4 ASV プログラムガイド PCISSC( 国際協議会 ) が規定している ASV による外部 N/W スキャンの実施基準 ASV の認定を得るための検査内容の品質について定めている ( 英語版のみ ) Page-4

5 1. 確認する範囲 (P12 掲載の抜粋 ) 顧客から ASV に以前提供された IP アドレスやドメインで顧客の要望で除外されたものでも対象に含めます顧客から提供されたそれぞれのドメインが顧客からすでに提供されたものであるかを確認するためにドメインの IP アドレスを調べます提供されたそれぞれのドメインに普通のホスト名の DNS 検索を実行します顧客が提供しなかった www メールその他など DNS 検索による MX 記録で見つかるすべての IP アドレスを確認しますウェブで到達できる範囲外の IP アドレスでもすべてウェブサーバーを確認します (JavaScript Meta redirect HTTP codes 30x を再調査に含めます ) 文書化されていない領域で顧客が所有しているドメインがないか確認します顧客がインターネットサービスプロバイダ (ISP) やホスティングプロバイダーを利用している場合 ASV がスキャンできるよう調整をする必要があります特定の IP アドレスをスキャン対象から除外する場合は適切な検査範囲とネットワークの分割を顧客は証明する必要があります Page-5

6 2.ASV スキャンの検査項目 (P13 掲載の抜粋 ) ASV スキャンはすべての伝送制御プロトコル (TCP) ポートのスキャンを実行するまた以下のサービスに関連した UDP ポートを含む一般のユーザーデータグラムプロトコル (UDP) ポートのスキャンも実行する認証サービス ( 例えばラディウスと Kerberos) バックドアとリモートアクセスアプリケーションバックアップアプリケーションデータベースサーバー DNS( ドメインネームシステム ) NetBIOS と CIFS NFS( ネットワークファイルシステム ) NTP( ネットワークタイムプロトコル ) P2P( ピアツーピア ) とチャットアプリケーション RIP( ルーティングインフォメーションプロトコル ) を含むルーティングプロトコル RPC( リモートプロシージャ呼出し ) と RPC エンドポイントマッピング SNMP(Simple Network Management Protocol) と SNMP トラップ syslog TFTP(Trivial File Transfer Protocol) ISAKMP L2TP とナッタを含む VPN( 仮想プライベートネットワーク ) スキャン顧客を悪意のある活動と関連したポートを含む脆弱さにさらすかもしれない他の一般の UDP ポート Page-6

3.ASV スキャンの必須構成要素 (P15 掲載の抜粋 ) テストする必要のあるサービスデバイスオペレーティングシステム Firewalls & Routers すべてのフィルタリングデバイス Operating Systems オペレーティングシステムがベンダーがサポートしているバージョンであるかを調べられなければならない DB サーバー Web サーバーアプリケーションサーバー

7 3.ASV スキャンの必須構成要素 (P15 掲載の抜粋 ) テストする必要のあるサービスデバイスオペレーティングシステム Firewalls & Routers すべてのフィルタリングデバイス Operating Systems オペレーティングシステムがベンダーがサポートしているバージョンであるかを調べられなければならない DB サーバー Web サーバーアプリケーションサーバー Common Web Scripts CGI スクリプトや電子商取引関連のスクリプト ASP PHP などのような一般に見つかるスクリプトを見つけて脆弱さを探索する Built-in Accounts ルーターのビルトインかデフォルトアカウントであるかファイアウォールオペレーティングシステムウェブサーバーデータベースサーバーアプリケーション POS システムまたは他の構成要素を調べる DNS サーバーメールサーバー Web アプリケーションその他のアプリケーションワイヤレスアクセスポイントバックドア SSL/TLS リモートアクセス Point-of-sale (POS) ソフトウェア Page-7

4.ASV 側の責任禁止事項 (P13 掲載の抜粋 ) Be Non-disruptive 破壊的でないこと次のようなテストは認められません : Denial of service (DoS) DOS 攻撃 Buffer overflow exploit バッファオーバーフロー Brute-force attack resulting in a password lockout パスワード

8 4.ASV 側の責任禁止事項 (P13 掲載の抜粋 ) Be Non-disruptive 破壊的でないこと次のようなテストは認められません : Denial of service (DoS) DOS 攻撃 Buffer overflow exploit バッファオーバーフロー Brute-force attack resulting in a password lockout パスワードロックアウト中の暴力的な攻撃 Excessive usage of available communication bandwidth 利用できるコミュニケーション帯域幅の過度の使用 Perform host discovery ホストの探索 ASV スキャンは ICMP 反響 ( ping) に応じない運転中のシステムを確認する理にかなった試みをしなければなりませんスキャンが顧客のシステム環境に影響を与えないようにする顧客のシステム環境を故意に変更したり侵入したりしない END Page-8

Symantec Endpoint Protection 12.1 の管理練習問題例題 1. 管理外検出でネットワーク上のシステムを識別するとき次のどのプロトコルが使用されますか a. ICMP b. TCP c. ARP a. UDP 2. ある管理者が Symantec Endpoint P

Symantec Endpoint Protection 12.1 の管理練習問題例題 1. 管理外検出でネットワーク上のシステムを識別するとき次のどのプロトコルが使用されますか a. ICMP b. TCP c. ARP a. UDP 2. ある管理者が Symantec Endpoint Protection Manager を正常にインストールしましたこの時点でサーバーに配備されるコンポーネントは