Im Juli habe ich einen Blogartikel über die geänderte Requirement 6.6 in PCI DSS 3.0 geschrieben. Ich gehe nicht noch einmal auf die Details ein, es reicht festzuhalten, dass der neue Standard erlaubt, eine WAF im reinen Monitoring-Modus ohne Blocken von Requests zu betreiben:
6.6 For public-facing web applications, ensure that either of the following methods is in place as follows:
[..]
- Is configured to either block web-based attacks, or generate an alert.
Das war eine sehr merkwürdige Änderung in PCI DSS 3.0 und ich vermutete eine Art Tippfehler. Ich beschloss, eine E-Mail an das PCI Council zu schreiben, um zu dieser Änderung Klarheit zu bekommen. Es hat eine Weile gedauert, aber schließlich habe ich eine Antwort erhalten. Zusammengefasst: Es ist kein Tippfehler.
Die Antwort des Response Teams des PCI Security Standards Council:
The intent of Requirement 6.6 is to ensure web-facing applications are protected from known attacks. One of the options defined by the requirement is to install an automated technical solution (such as WAF) that “detects and prevents” web-based attacks. The solution used can encompass a combination of technology and process. Where the solution includes a reliance on process, there must be mechanisms to ensure that processes are followed in order to prevent attacks and meet the intent of the requirement. For example, if a WAF is configured to “monitor only” rather than “block” attacks, there must also be real-time alerting and response procedures in place to react to, and thus prevent, incoming attacks in a timely manner.
The requirement wording is intended to allow organizations flexibility to choose protection methods that best meet their needs. Whichever mechanisms are employed, the required result is that attacks are prevented, not just identified.
Ich kann das Bedürfnis eines Unternehmens verstehen, keine blockende WAF einzusetzen. Es geht um False Positives und darum, wie man mit diesem Problem umgeht. Jeder, der ein Intrusion Detection System betreibt, kennt das: False Positives sind ein Graus und wirklich schwer loszuwerden, aber dieses Problem stört den Geschäftsbetrieb nicht. Bei einer WAF im Enforcing-Modus ist das anders. Ein False-Positive-Block einer WAF blockt tatsächlich legitimen Traffic und kann Geschäftsprozesse stören. Das ist ziemlich schwer zu verhindern.
Damit lässt sich eine WAF nun tatsächlich im Monitoring-Only-Modus betreiben, ohne gegen PCI DSS zu verstoßen – sofern es ein 24/7-Response-Team gibt, das in der Lage ist, sehr schnell auf einen WAF-Alarm zu reagieren.