Tres formas en que la MFA sin agentes aborda con éxito los desafíos de PCI DSS 3

Una de las preguntas más comunes que recibimos de los clientes es sobre el requisito 8.3.1 de PCI DSSv3.2:

En su última revisión, PCI amplía MFA como requisito para todo el personal con acceso administrativo (consola y no consola), además de cualquier personal con acceso remoto al Entorno de datos del titular de la tarjeta (CDE).

El requisito de asegurar todo el acceso administrativo al CDE con MFA no debería sorprender. Después de todo, la mayoría de las filtraciones de datos en el sector minorista implican un acceso no autorizado al entorno de datos de los titulares de tarjetas.

PCI explica que la eficacia de las contraseñas como mecanismo de autenticación es cuestionable, por lo que se requieren medidas de seguridad adicionales. De hecho, en un entrevista Con Troy Leach, director de tecnología del PCI Security Standards Council, explica:

“El punto más importante es que el cambio del requisito está destinado a todo el acceso administrativo al entorno de datos del titular de la tarjeta, incluso desde la propia red de una empresa. Esto se aplica a cualquier administrador, ya sea un tercero o interno, que tenga la capacidad de cambiar sistemas y otras credenciales dentro de esa red para comprometer potencialmente la seguridad del entorno”.

Así que no hay duda de que el requisito tiene sentido. Sin embargo, abordar este requisito no es trivial en la mayoría de los entornos CDE debido a la naturaleza de los sistemas y herramientas incluidos.

¿Dónde está el desafío?

El alcance del entorno CDE incluye cualquier sistema que procese, almacene y/o transmita datos de pagos y titulares de tarjetas, así como cualquier cosa que se conecte directamente a este entorno o lo admita.
Esto significa que debe aplicar MFA en la siguiente lista de sistemas y herramientas que normalmente se encuentran en los CDE:

• • Cualquier sistema propio que procese, almacene o transmita datos de pagos y tarjetas de crédito.
  • Todos los servidores de producción relevantes: Windows y Linux
  • Infraestructura de TI crítica: incluidos hipervisores, V-Center, dispositivos de red, archivos compartidos y bases de datos
  • Red Privada Virtual (VPN)
  • Infraestructura de escritorio virtual (VDI)
  • Soluciones PAM (como CyberArk)
  • Escritorio remoto (RDP)
  • Secure Shell (SSH)
  • Cualquier servicio en la nube que pueda ser parte del procesamiento.

Como puede ver, dependiendo de la combinación de sistemas y herramientas en su entorno CDE, no sólo necesitará implementar múltiples Soluciones MFA o segmentaciones de redes complejas (una tarea difícil en sí misma) sería inviable para muchos de estos sistemas. ¿Por qué? Porque no hay soporte disponible listo para usar o porque su naturaleza sensible y crítica no le permitirá implementar ningún agente de software o proxy, ni realizar ningún cambio de configuración. Después de todo, nadie quiere arriesgar la disponibilidad y estabilidad de ningún sistema de producción crítico.

Asegurar todo el acceso al CDE con SilverfortMFA sin agentes

SilverfortLa plataforma de autenticación integral de permite a las organizaciones agregar MFA a cualquier sistema, incluidos los sistemas que hasta hoy se consideraban inprotegibles, sin implementar ningún agente de software, implementar servidores proxy ni requerir ningún cambio de configuración. Esto permite a nuestros clientes proteger fácilmente todos sus sistemas CDE, así como cualquier acceso a esos sistemas y cumplir con el requisito 8.3.1 de PCI DSS. Así es cómo:

¿Cómo funciona?

1) Silverfort monitorea y analiza todas las solicitudes de acceso de los usuarios en todos los sistemas y entornos observando los protocolos de autenticación. Esto significa que no necesita integrarse con ningún sistema CDE ni requiere el uso de ningún agente de software.

2) Al agregar MFA además de los protocolos de autenticación, en lugar de por sistema, Silverfort puede proteger cualquier sistema, incluidas aplicaciones locales, servidores de producción sensibles, PAM soluciones y acceso administrativo (RDP, SSH), infraestructura de TI y más.

3) Silverfort analiza continuamente los niveles de riesgo y confianza en toda la red utilizando un motor de riesgo avanzado impulsado por IA. Porque Silverfort monitorea y analiza todas las solicitudes de acceso de usuarios y máquinas, y no se limita a sistemas protegidos específicos: analiza alrededor de 50 veces más información que cualquier otro autenticación adaptativa solución. Esto le permite detectar con precisión anomalías basadas en el comportamiento y reconocer patrones maliciosos como ataques de fuerza bruta y movimientos laterales, ransomware y más, y aplique políticas efectivas de autenticación basadas en riesgos para bloquear amenazas en tiempo real. Lo que es mejor, hace todo esto mientras permite a los usuarios legítimos continuar su trabajo con interrupciones mínimas. También puede aumentar los requisitos de autenticación en respuesta a alertas de seguridad de terceros.

Muy bueno, pero ¿qué pasa con un escenario de la vida real? ¡Nos alegra que hayas preguntado!

Estudio de caso de cliente de BlueSnap:

Para cumplir con el requisito 8.3 de PCI DSS, BlueSnap, un procesador de pagos global, necesitaba implementar MFA en VMware vCenter Servidor, que es la infraestructura de TI que soporta el Entorno de Datos del Titular de la Tarjeta, así como para cualquier acceso a los servidores Linux de producción. Necesitaban una solución MFA que no requiriera integración o instalación especial de agentes de software.

Ellos seleccionaron Silverfort para proteger todo el acceso privilegiado, incluido RDP, SSH y acceso de administrador a vCenter. La implementación fue rápida y sencilla. Se configuró una prueba de concepto en solo un par de horas y, en un mes, BlueSnap amplió la solución para asegurar el acceso privilegiado en todas las oficinas de todo el mundo.

Estudio-de-caso-de-BlueSnap-MFA-para-activos-sensibles.pdf

Descargue el resumen de la solución

Además del requisito 8.3.1, Silverfort puede abordar otros requisitos de PCI DSS con un enfoque único y holístico: Pídenos una demostración para obtener más información.