PCI DSS 4.0.1 Seguridad de los archivos: por qué Endpoint no es suficiente

La norma PCI DSS 4.0.1 considera la seguridad de los archivos como una disciplina multicanal. La protección contra el malware debe abarcar la web, el correo electrónico, la nube, la transferencia gestionada de archivos, los soportes extraíbles y las dependencias de software, y no limitarse únicamente a los terminales.

La protecciónde un único terminalse sitúa después de todos los demás canales. Para cuando un archivo llega al agente del terminal, ya ha pasado o ha fallado en otros seis puntos de inspección.

La detección basada en firmas por sí sola no cumple con la norma. El requisito 5 exige que se cubran todos los tipos de malware y que se aplique la detección basada en el comportamiento de las amenazas de día cero.

Los soportes extraíbles conllevan una obligación explícita. El requisito 5.3.3 exige el análisis automático de los soportes extraíbles en el momento de su inserción; las políticas manuales no cumplen este requisito.

Software están incluidas en el ámbito de aplicación. El requisito 6.3.2 exige que el software a medida y personalizado se desarrolle de forma segura, y que se mantenga un inventario de los componentes de terceros.

Antes de analizar los distintos canales, conviene basar el argumento en la propia especificación.

El requisito 5 describe claramente la superficie de amenaza: «El malware puede introducirse en la red a través de numerosas actividades autorizadas por la empresa, entre las que se incluyen el correo electrónico de los empleados (por ejemplo, mediante phishing) y el uso de Internet, mobile y dispositivos de almacenamiento, lo que da lugar a la explotación de vulnerabilidades del sistema». Este es el principal modelo de amenaza para los ataques basados en archivos en entornos de pago.

La norma también establece que la detección de firmas por sí sola no es suficiente: «El uso de soluciones antimalware que aborden todos los tipos de malware ayuda a proteger los sistemas frente a las amenazas de malware actuales y en constante evolución». Las expresiones clave son «todos los tipos» y «actuales y en constante evolución». La detección que solo reconoce amenazas conocidas deja un vacío que la norma identifica explícitamente.

El requisito 5.2.1 va más allá: en sus directrices de buenas prácticas se señala que «resulta beneficioso que las entidades sean conscientes de los ataques de “día cero” (aquellos que aprovechan una vulnerabilidad hasta entonces desconocida) y consideren soluciones que se centren en las características de comportamiento y que alerten y reaccionen ante comportamientos inesperados». Esto supone el propio reconocimiento por parte de la norma de que la detección basada en el comportamiento y la detección heurística son fundamentales para lograr una cobertura completa.

Los requisitos 6 y 11 amplían aún más el alcance. El requisito 6.3.2 exige que se identifiquen las vulnerabilidades de seguridad en el software a medida y personalizado, abordando directamente el riesgo de la cadena de suministro de software. El requisito 11.3.1.2 exige la realización de análisis internos autenticados. En conjunto, establecen que la seguridad de los archivos en un entorno que cumple con la norma PCI DSS no es un control aislado, sino una disciplina que se aplica en toda la arquitectura.

Aquí es donde muchos programas de cumplimiento presentan una laguna que aún no han evaluado.

1. Tráfico web: Los archivos que se descargan o se suben a un portal web a través de HTTPS pasan por la red antes de llegar a cualquier dispositivo final.
2. Correo electrónico y archivos adjuntos: El correo electrónico sigue siendo el medio más habitual de distribución de amenazas basadas en archivos. El análisis de archivos adjuntos debe ir más allá de la simple comparación de firmas. Los archivos comprimidos, los documentos con macros activadas y los archivos con exploits incrustados están diseñados para eludir dicho análisis.
3. Cloud local y Cloud : los archivos se sincronizan constantemente con SharePoint, OneDrive, S3 y otras plataformas similares.
4. Transferencia gestionada de archivos: los intercambios con proveedores, las integraciones con socios y los envíos de archivos por parte de los clientes generan flujos de archivos entrantes que conllevan su propio perfil de riesgo.
5. Soportes extraíbles: El requisito 5.3.3 es una de las obligaciones más específicas de la norma: el software antimalware debe analizar automáticamente los soportes extraíbles cuando se insertan. USB constituyen un vector de ataque activo en entornos de pago, incluidos los sistemas aislados físicamente, en los que a menudo son la única vía de acceso externa a los datos.
6. Software y dependencias. El requisito 6.3.2 existe porque las bibliotecas de terceros y los componentes integrados constituyen una fuente significativa de exposición a CDE. Un binario que se distribuya con un CVE (Common Vulnerability and Exposure) conocido en una de sus dependencias supone un riesgo que la detección de malware basada en firmas no detectará. Se trata de una vulnerabilidad a la espera de ser explotada, no de malware en el sentido tradicional.
7. Terminales. Este es el único canal que la mayoría de los equipos tienen cubierto. Endpoint analizan lo que llega, se ejecuta o permanece en un dispositivo. Esa cobertura es necesaria, pero se sitúa después de todos los demás canales de esta lista. Para cuando un archivo llega a un terminal, ya ha superado o no ha superado otros seis puntos de inspección.

El EDR y los antivirus para un único dispositivo son herramientas excelentes, pero su alcance está limitado por su propio diseño.

Endpoint protegen los dispositivos supervisando lo que ocurre en el equipo: los archivos que se guardan en el disco, los procesos que se ejecutan y las conexiones de red que se establecen. No inspeccionan los archivos que pasan por un proxy web, una pasarela de correo electrónico, una API de sincronización en la nube o un USB . Se trata de una cuestión de alcance, no de una deficiencia del producto.

La norma PCI DSS 4.0.1 responde de forma definitiva a esa pregunta sobre el alcance. La norma describe la superficie de amenaza como todos los canales a través de los cuales los archivos entran en la red. Endpoint protege lo que ya se encuentra dentro del CDE. La seguridad de los archivos protege el paso de los archivos.

La brecha no es teórica. Un atacante que introduzca una carga maliciosa a través de un archivo adjunto de phishing analizado únicamente por una puerta de enlace de un solo motor, o a través de una dependencia maliciosa en un paquete de software suministrado por un proveedor, o mediante un USB conectado durante una ventana de mantenimiento… Ninguna de esas vías pasa por un agente de punto final hasta que ya es demasiado tarde. Esos son los canales que la norma te pide que cierres.

Las organizaciones que cuentan con auditorías 4.0.1 sin incidencias en materia de seguridad de los archivos comparten una arquitectura común: la inspección en cada punto de entrada, con múltiples capas de defensa.

Esto implica un análisis con múltiples motores a nivel de puerta de enlace. El análisis simultáneo de los archivos con varios motores antivirus aumenta drásticamente las tasas de detección y proporciona la profundidad de cobertura que exige la expresión «todos los tipos» de la norma. Implica una desinfección de archivos que neutraliza lo que los antivirus no pueden detectar: la tecnología Deep CDR™ reconstruye los archivos en formatos seguros y utilizables, eliminando el contenido potencialmente malicioso, incluidas las vulnerabilidades de día cero que aún no se han catalogado. Implica una evaluación de vulnerabilidades a nivel de archivo frente a CVE conocidos para paquetes de software y binarios antes de que lleguen a los sistemas de producción. Y supone un registro centralizado en todos los canales, no solo en la telemetría de los terminales, de modo que se puedan cumplir realmente los requisitos de auditoría del Requisito 11.

MetaDefender™ es la plataforma de seguridad de archivos OPSWAT, diseñada para analizar, depurar y evaluar los archivos en todos los canales de ingesta antes de que lleguen al CDE.

Tal y como señala la guía de cumplimiento OPSWAT:OPSWAT MetaDefender algunas de las capacidades más sólidas del sector para el Requisito 5. Multiscanning Metascan™ Multiscanning más de 30 motores antivirus comerciales para detectar malware conocido con una precisión excepcional, mientras que la tecnología Deep CDR™ neutraliza de forma proactiva las amenazas de día cero y las amenazas incrustadas mediante la reconstrucción de los archivos en formatos seguros y utilizables».

Esta laguna no se debe a que los equipos de seguridad hayan sido descuidados, sino a que la norma PCI DSS 4.0.1 exige algo más amplio. Los equipos que la subsanan antes de una auditoría no están haciendo más de lo que exige la norma. Simplemente lo están cumpliendo todo.

¿Estás listo para evaluar tu cobertura actual en relación con todos los requisitos de la versión 4.0.1?

Descarga la Guía de correspondencias de PCI DSS + la Lista de comprobación para principiantes de PCI DSS para comparar sus controles actuales con cada uno de los siete canales de recepción de archivos e identificar dónde existen deficiencias.