Die aktuelle Version 3.2.1 und die neuere Version 4.0 des Sicherheitsstandards PCI DSS schreiben die Durchführung von Penetrationstests vor. Der PCI-Standard stellt detaillierte Anforderungen, die ein Penetrationstest erfüllen muss. In PCI DSS 3.2.1 ist die Anforderung in Requirement 11.3 geregelt, in PCI DSS 4.0 in Requirement 11.4.
Diese Anforderungen sind in beiden Versionen, 3.2.1 und 4.0, im Wesentlichen identisch:
- basierend auf branchenüblichen Penetrationstest-Ansätzen
- Abdeckung des gesamten CDE-Perimeters und kritischer Systeme
- Testen von innerhalb und außerhalb des Netzwerks
- Validierung aller Segmentierungs- und Scope-Reduzierungs-Kontrollen
- Testen auf Netzwerk- und Anwendungsschicht
- Einbezug von Prüfung und Berücksichtigung der in den letzten 12 Monaten festgestellten Bedrohungen und Schwachstellen
- Durchführung von externen, internen und Segmentierungstests alle 12 Monate und nach jeder wesentlichen Änderung
- Dienstleister müssen Segmentierungstests nur alle 6 Monate durchführen
Es gibt zwei Themen, bei denen die beiden Standards voneinander abweichen, wobei PCI 4.0 die ausgereiftere Variante ist. So verfolgt PCI 4.0 bei den Anforderungen an den Penetrationstest auf der Anwendungsschicht einen leicht anderen Ansatz:
- PCI v3.2.1 enthält Requirement 6.5 für Tests auf der Anwendungsschicht zum Prüfen auf:
- Injection-Schwachstellen (z. B. SQL, LDAP, OS Commant, XPath)
- Pufferüberläufe
- unsichere kryptografische Speicherung, unsichere Kommunikation
- unsachgemäße Fehlerbehandlung
- XSS
- unsachgemäße Zugriffskontrollen
- CSRF
- fehlerhafte Authentifizierungs- und Sitzungsverwaltung
- ebenso die Einbeziehung aktueller Best Practices (z. B. OWASP Top 10)
- PCI v4.0: einschließlich Requirement 6.2.4 für Tests auf der Anwendungsschicht, um mindestens durchzuführen:
- Injection-Angriffe (einschließlich SQL, LDAP, XPath, Kommando-Parameter, Objektfehler oder Schwachstellen vom Typ Injection)
- Angriffe auf Daten und Datenstrukturen (zum Beispiel Manipulation von Puffern, Eingabedaten)
- Angriffe auf die Verwendung von Kryptografie
- Angriffe auf die Geschäftslogik einschließlich XSS und CSRF
- Angriffe auf Zugriffskontrollmechanismen
In PCI 4.0 muss der Segmentierungstest außerdem die Wirksamkeit aller eingesetzten Isolierungstechniken für unterschiedliche Sicherheitslevel bestätigen (siehe Requirement 2.2.3).
Unabhängig von der Version des PCI-Standards muss der angewandte Penetrationstest-Ansatz natürlich die Behebung und erneute Prüfung aller relevanten, zuvor erkannten Schwachstellen umfassen.