Lors de notre audit PCI DSS, les QSA vont prendre un certains nombres de preuves confidentielles de l’entreprise. Cette obligation de communiquer les preuves aux formats électroniques posent bien entendu les problèmes de confidentialité ainsi que la façon dont celles-ci vont être sauvegardés.
Dans la continuité de notre certification, nous constatons que le durcissement des composants des bases de données Open Source soulève des difficultés aux équipes de prod. MySQL n’échappe pas à la règle. Il faut durcir ce composant tout en permettant la continuité de la production. Ce guide de durcissement pourra sans doute aider quelques administrateurs…
Pour répondre aux exigences PCI DSS du chapitre 2 et en particulier la 2.2.2, nous devons savoir quel sont les ports TCP/UDP ouverts sur nos serveurs. Je vous propose le billet suivant pour vos plateformes Linux. L’auditeur appréciera la concordance des résultats avec votre documentation.
Le durcissement des composants Open Source est aussi une obligation dans une démarche PCI DSS. Je vous propose ce billet pour commencer votre guide de durcissement (Hardening) pour le composant Postfix (SMTP). Ce billet est à destination des équipes techniques et responsables de ceux-ci. Il arrive qu’une solution clé en main nous livre des solutions…
Le guide de durcissement d’un système Linux peut contenir plusieurs centaines de pages suivant l’exposition de celui-ci aux risques. Je vais aborder le durcissement de son serveur Linux en quelques minutes du coté des services réseaux. Attention cela ne vous dispense pas de faire le reste (WAF, Patch Management, Anti-virus….). Avant de modifier votre configuration,…
Dans la suite de notre durcissement, nous allons installer des mesures (Composants techniques) qui vont nous permettre de savoir si notre serveur dispose d’un rootkit malveillant. On n’apprécie pas particulièrement que notre plateforme héberge des accès non autorisés dans notre approche PCI DSS. Je vous propose de voir les outils suivants qui peuvent répondre à…
