PCI-DSS-Konformität durch Netzwerksegmentierung: Ein umfassender technischer Leitfaden

PCI DSS ist ein Sicherheitsstandard, der nicht nur das Kontrollniveau, sondern auch die architektonischen Aspekte der Infrastruktur umfasst. Es gibt nicht allzu viele Entscheidungen, die sich direkt auf den Geltungsbereich der Compliance auswirken, und die Netzwerksegmentierung ist eine davon.

Jedes neue System, das in den PCI-Geltungsbereich aufgenommen wird, bringt neue Herausforderungen mit sich, wie beispielsweise mehr zu prüfende Kontrollmaßnahmen, mehr zu überprüfende Protokolle und Ähnliches. Ein vergessener DNS-Server kann die Hälfte des Netzwerks in den Geltungsbereich ziehen.

Hier sind Tests zur Netzwerksegmentierung äußerst wichtig, da sie als strategische Grenze fungieren, die aufzeigt, wo die Compliance beginnt und endet.

Definition von Tests zur Netzwerksegmentierung  

Tests zur Netzwerksegmentierung lassen sich als ein Prozess beschreiben, bei dem überprüft wird, ob alle Kontrollmaßnahmen – wie Firewalls, ACLs und cloud-native Regeln – in der CDE (Cardholder Data Environment) vom Rest des Netzwerks isoliert sind. Ein solcher Ansatz gewährleistet, dass keine unbeabsichtigte Kommunikation zwischen CDE- und Nicht-CDE-Systemen stattfindet.

Die Bedeutung von Tests zur Netzwerksegmentierung

Aktive Minimierung der Angriffsfläche bei PCI-Audits

Mithilfe der Netzwerksegmentierung ist es möglich, den PCI-Umfang neu zu definieren, und es gibt nur wenige Optionen, die auf architektonischer Ebene umgesetzt werden können. Dieser Ansatz basiert auf präzisen Abgrenzungen rund um die CDE, sodass Sie die Prüfungsfläche direkt minimieren können.

Bei einer hybriden oder großen Bereitstellung kann eine solche Methode zudem den Betriebsaufwand, den Zeitaufwand für die Compliance und den technischen Aufwand reduzieren. Dies kann ein wesentlicher Faktor für Umgebungen sein, in denen hohe Ressourcenkosten und eine hohe Audit-Komplexität herrschen.

Angreifer ausbremsen

In flachen Netzwerken gibt es für Angreifer zahlreiche Möglichkeiten, in das System einzudringen, während segmentierte Netzwerke wesentlich sicherer sind.

Falls die Segmentierungsvalidierung derzeit Teil Ihrer Sicherheitsstrategie ist, eskalieren Probleme außerhalb der CDE nicht zu PCI-Problemen. Dies kann als Eindämmung vor einem Sicherheitsverstoß angesehen werden. Für die meisten PCI-SDD-Dienstleister ist dies ein entscheidender Faktor, der die Reife der Sicherheitsstrategie verdeutlicht.

Minimale Berechtigungen auf Netzwerkebene

Segmentierung lässt sich als letzte Verteidigungslinie charakterisieren. Das bedeutet: Selbst wenn Rollen falsch konfiguriert sind, gewährleistet die Segmentierung, dass Systeme nur dann miteinander kommunizieren können, wenn dies ausdrücklich erlaubt ist.

Mit einem solchen Ansatz ist es möglich, Zero Trust in Sicherheitsgruppen und VLANs zu realisieren und zudem die Möglichkeit eines physischen Prüfpfads zu schaffen. Ein solches Niveau an Prüfpfaden wird von den meisten führenden PCI-QSA-Unternehmen erwartet.

Checkliste für die Netzwerksegmentierung

Vor Beginn jeglicher Bearbeitung ist Folgendes zu überprüfen:

• Beispielsysteme für die erforderliche Zone sind identifiziert.
• Die CDE-Grenzen sind gut dokumentiert.
• Es stehen Testtools zur Verfügung, die vorbereitet sind.
•  Alle Segmentierungsregeln und ACLs überprüft wurden.
• Testergebnisse erfasst und protokolliert wurden.

Schritt-für-Schritt-Anleitung zum Testen der Netzwerksegmentierung

Festlegung der segmentierten Zonen und der CDE

Der erste Schritt besteht darin, die Bereiche zu identifizieren, in denen alle Karteninhaberdaten verarbeitet werden. Sobald dies geschehen ist, ist es entscheidend, die Struktur der angrenzenden Systeme wie Server, Datenbanken, DNS oder Support-Tools zu ermitteln.

Anschließend wird festgelegt, welche Systeme segmentiert und aus dem Testumfang ausgeschlossen werden sollen und welche im Testumfang enthalten sein sollen.

Festlegung der zu testenden Systeme

Der nächste Schritt ist die Auswahl der Testsysteme, die außerhalb des Testumfangs liegen bzw. in den Testumfang einbezogen werden. Dies kann sich auf verschiedene Netzwerke, Clouds und Rechenzentren beziehen, insbesondere auf solche, die mit Systemmanagement und Authentifizierung zu tun haben.

Test des bidirektionalen Zugriffs

Dieser Prozess bezieht sich auf den Einsatz verschiedener Tools wie traceroute oder nmap. Sie sind erforderlich, um zu überprüfen, ob Systeme in der CDE eine Interaktion mit externen Systemen initiieren können.

Sobald diese Phase abgeschlossen ist, sollten Sie sicherstellen, dass die Interaktion zwischen der CDE und externen Systemen nur bei Bedarf und in einer vollständig kontrollierten Umgebung stattfindet.

Supportdienste prüfen

Es gibt zahlreiche Dienste, die nach Abschluss der Zugriffstests überprüft werden sollten. Dies betrifft Syslog, DNS, Active Directory, NTP, Backup-Server und andere Dienste, die segmentierte Zonen miteinander verbinden können. Es sollte geprüft werden, ob über diese Dienste keine indirekten Pfade entstehen.

Vollständige Dokumentation der Ergebnisse

Die Dokumentation aller Ergebnisse ist ebenso wichtig wie die anderen oben beschriebenen Schritte. Versuchen Sie, alle erforderlichen Details und sogar Screenshots zu speichern. Das wird viele Aufgaben für die Sicherheits- und Compliance-Teams vereinfachen.

Halten Sie alle Details zu Zonen, Hostnamen, IP-Adressen und Segmentierungsregeln fest. Organisieren Sie anschließend alle Informationen in einem strukturierten Format. Zudem sollte die Dokumentation dem CDE-Bestand zugeordnet werden.

Standard-Testszenarien

Kommen wir nun zu einigen der am häufigsten verwendeten Segmentierungsstrategien.

Nur VLAN

Für die PCI-DSS-Compliance reicht die ausschließliche Verwendung von VLAN-Segmentierung nicht mehr aus. Sie sollte nur dann eingesetzt werden, wenn sie durch eine Firewall, ACLs oder andere zusätzliche Kontrollstufen durchgesetzt wird. In der Regel fehlt bei einer solchen Segmentierung die Dokumentation oder die Durchsetzung des Datenverkehrs, sodass das System in den PCI-Geltungsbereich fällt.

Cloud-Umgebungen

Azure, AWS und andere Cloud-Plattformen verwenden in der Regel Netzwerk-ACLs, Sicherheitsgruppen und NSGs. Ein solcher Ansatz bietet mehr Flexibilität und hohe Dynamik, neigt jedoch zu Abweichungen. Standardaufgaben wie automatische Skalierung und Regeländerungen können sich negativ auf das gesamte System auswirken und die Isolation aufheben. Daher wird dringend empfohlen, regelmäßige Überprüfungen der ausgehenden und eingehenden Regeln durchzuführen.

Hybride Umgebung

Wenn mehrere Ansätze kombiniert werden, können private Verbindungen und VPN-Tunnel die isolierte Zone beeinträchtigen. Daher ist es erforderlich, eine bessere Durchsetzung der Segmentierung an den Tunnel-Endpunkten zu planen. Eine solche Umgebung erfordert mehr Aufmerksamkeit hinsichtlich Routing-Richtlinien und Datenverkehrsströmen.

Wie wählt man einen geeigneten Partner für die Segmentierungsvalidierung aus?

Da die Anforderung 11.4.5 der Segmentierung eine größere Bedeutung verleiht als je zuvor, sollten Sie genau wissen, wie Sie den richtigen Partner auswählen. Hier sind einige wichtige Kriterien, auf die Sie achten sollten:

Echte Erfahrung mit PCI DSS, nicht nur zufällige Sicherheitstests

Der ausgewählte Anbieter sollte über fundierte Kenntnisse von PCI DSS v4.0 verfügen, insbesondere in Bezug auf die Verteidigungsfähigkeit bei Audits, die Reduzierung des Umfangs und die Auslegung von 11.4.5. Ein weiterer großer Vorteil ist es, wenn der ausgewählte Anbieter auch bei Audits mitwirkt.

Hybrider Testansatz

Probleme bei der Segmentierung werden mit den grundlegenden Teststrategien selten erkannt. Die Probleme werden in der Regel bei DNS-Fallbacks, impliziten Vertrauenspfaden und veralteten Firewall-Regeln entdeckt.

Eine gute Wahl ist ein Anbieter, der sowohl manuelle Validierung als auch automatisierte Tools einsetzt. Die Tests sollten am tatsächlichen Datenverkehr durchgeführt werden, was ein tieferes Verständnis ermöglicht als die bloße Nutzung eines PCI-Compliance-Scans.

Vertrautheit mit Ihrer Infrastruktur

Der ausgewählte Partner sollte über praktische Erfahrung mit Ihrer Infrastruktur verfügen, unabhängig davon, ob es sich um VLAN, Cloud oder eine Hybridlösung handelt. Das bedeutet, dass solche Experten besser verstehen, welche spezifischen Bereiche genauer getestet werden sollten.

Verfügbarkeit einer angemessenen Dokumentation

Bei der Suche nach einem Anbieter sollten Sie darauf achten, dass tiefgehende Tests mit einer strukturierten Dokumentation durchgeführt werden, die alle notwendigen Aspekte abdeckt.

Sie sollten Zugriff auf Befehlsausgaben, Zonendefinitionen, Screenshots, Risikobegründungen und mehr haben.

Anforderungen an die Netzwerksegmentierung gemäß PCI DSS

Warum ist Segmentierung für Sie notwendig?

Segmentierung ist für PCI DSS nicht zwingend vorgeschrieben. Deshalb sollten Sie genau verstehen, warum Sie eine Segmentierung benötigen. Ein solcher Ansatz verschafft Ihnen ein besseres Verständnis dafür, was tatsächlich geprüft werden sollte, sodass Sie sich stärker auf spezifische Maßnahmen konzentrieren können, anstatt alles gleichzeitig anzugehen.

Anforderung 11.4.5 schreibt die Segmentierung vor

Mit Version 4.0 wurde die neue Anforderung 11.4.5 eingeführt. Dort finden Sie die Vorgabe, dass die Segmentierung mindestens alle sechs Monate überprüft werden muss. Die Validierung ist nicht nur eine optionale Variante, sondern eine Erwartung.

Eine logische Aufteilung reicht nicht aus

Die CDE sollte nicht nur konzeptionell, sondern auch technisch isoliert sein. Dies kann durch verschiedene Maßnahmen erreicht werden, wie z. B. Firewalls, cloudnative Kontrollen wie Azure, VLANs oder ACLs. Es sollte tatsächliche Nachweise für die Isolierung geben, nicht nur Pläne und Absichten.

Interaktion zwischen CDE und Nicht-CDE ausschließen

Die risikoreichste Situation entsteht, wenn es über Ihr System möglich ist, Bereiche zu erreichen, von denen Sie keine Ahnung haben. Oberste Priorität hat es, sicherzustellen, dass es keine unbeabsichtigten Pfade zwischen Nicht-CDE- und CDE-Bereichen gibt. Dies kann sich auf gemeinsam genutzte Dienste wie Verwaltungsnetzwerke, NTP und andere beziehen.  

Tests nach jeder Umstellung

Die Tests sollten nicht nur zweimal im Jahr durchgeführt werden, sondern jedes Mal nach einer Umstellung der Umgebung. Dies kann sich auf die Umstrukturierung von Cloud-Ressourcen, Firewall-Updates, stillgelegte Zonen und vieles mehr beziehen.

Validierungsmethoden für Segmentierungsaudits

• Port-Scans: Tools wie nmap sollten Bereiche anzeigen, in denen die Kommunikation zwischen den Systemen unterbunden ist. Scan-Protokolle oder Screenshots sollten Protokolle und blockierte Ports eindeutig angeben.
• Netzwerkdiagramme: Sie sollten das tatsächliche Routing mit den segmentierten Zonen, Kommunikationspfaden und Grenzen darstellen.
• Zugriffsprotokolle: Enthalten Sie Systemprotokolle, die verweigerte Zugriffe aufzeigen. Diese Informationen sind für die Validierung der Kontrollen des Live-Datenverkehrs erforderlich.
• Rückverfolgbarkeit gemäß PCI DSS 11.4.5: Der gesamte Dokumentationsprozess und die Tests sollten auf die Anforderung 11.4.5 abgestimmt sein. Dies ist erforderlich, damit die Auditoren Nachweise leicht zurückverfolgen und deren Relevanz nachvollziehen können.  

Schlussbemerkungen

Die Netzwerksegmentierung ist einer jener strategischen Ansätze, die sowohl der Sicherheit als auch der Reduzierung des Prüfungsumfangs zugutekommen. Wenn alles korrekt geplant und umgesetzt wird, entstehen klare Abgrenzungen um die am stärksten gefährdeten Systeme herum.

Die Validierung der Segmentierung sollte als Maßnahme zur Verschärfung der Kontrollen und nicht nur als Verpflichtung betrachtet werden.