■ Tripwire EnterpriseのPCI DSS対応
| PCI DSSの要件 | Tripwire Enterpriseで実現できる事 | |
| ■要件1 | ||
| カード会員データを保護するためにファイアウォールを導入し、最適な設定を維持すること | ネットワーク機器の重要な設定の整合性監視と、ネットワーク機器が守るべきセキュリティポリシーへの可視化します。 | |
| ■要件2 | ||
| システム・パスワードと他のセキュリティ・パラメータにベンダー提供のデフォルトを使用しないこと | アクセス管理、プロトコル設定、監査/ログ設定、特権等の領域に対するセキュリティ構成を検証し、コンプライアンスを維持します。 | |
| ■要件4 | ||
| オープンなパブリック・ネットワーク経由で転送されるカード名義人データを暗号化する | セキュリティ設定をテストし、安全でない暗号化アルゴリズム等、規定されたポリシーからの逸脱について警告します。 | |
| ■要件6 | ||
| 安全性の高いシステムとアプリケーションを開発し、保守すること | 開発環境では、変更管理手順の実行に役立ちます。さらに、監視ルールやポリシーテストは特定のセキュリティまたは監査要件に適用するように調整できるため、開発やQAに柔軟で強力なツールを提供します。 | |
| ■要件7 | ||
| カード会員データへのアクセスを業務上の必要範囲内に制限すること | 強固なアクセス管理と特権設定を維持します。 不正に権限が変更された場合は、警告します。 |
|
| ■要件8 | ||
| コンピュータにアクセスする利用者ごとに個別のIDを割り当てること | サードパーティ製品やカスタム製品のアカウントルールの検証や、ユーザアカウントやパスワードに関する要件項目を守ります。 | |
| ■要件10 | ||
| ネットワーク資源およびカード会員データに対するすべてのアクセスを追跡し、監視すること | システムの活動を監視し、個々のイベントに関連したユーザアカウントを特定できます。 さらに、監査機能のための構成設定およびセキュリティ設定を監視し、それらが遵守状態にあることを証明します。 |
|
| ■要件11 | ||
| セキュリティ・システムおよび管理手順を定期的にテストすること | ファイルの整合性監視機能は、変更を検知し、プログラムによって各変更を分析して、承認された変更であったかどうかを判断します。 チケッティングシステムとの連携やステージング環境を参照することにより、未承認の変更を明らかにします。 |
|
| ■要件12 | ||
| すべての担当者の情報セキュリティに対応するポリシーを維持する | ポリシー順守の証跡提出をサポートします。 システムの変更を検知し、承認された変更であるかを判断し、コンプライアンスの維持に貢献します。 |
|
■ Tripwire EnterpriseのWeb改ざん対応
| Web改ざん発生時の対応 | Tripwire Enterpriseで実現できる事 | |
| ■迅速な検知 | ||
Web改ざんを迅速に検知し、対外的影響を最小限に抑える
|
|
|
| ■詳細な被害状況の把握 | ||
改ざんされたファイルを特定し、すべての変更点を発見する
|
|
|
| ■原因究明 | ||
悪意のあるプログラムの設置の有無、改ざん実行犯などWeb改ざんの原因を究明すると同時に、証拠を自動収集し、証拠保全を行う
|
|
|
| ■対策 | ||
セキュリティパッチの適用や、セキュリティ設定の修正などの対策
|
|
|
| ■復旧 | ||
追加された不正なファイルを削除し、バックアップからリストアすることでWebサーバを正常な状態に復旧
|
|
|
