security - PCI 合规性 - 未经身份验证的数据库

Question

我不知道去哪里解决 PCI 合规性问题，所以我想我会试一试。如果有人可以指出我可以去哪里提问的正确方向，请分享。我也很乐意将其标记为答案。

如果符合 PCI 标准的网站连接到一个数据库，该数据库不存储任何用户信息，但包含可能在支付过程中呈现的 HTML 和 JavaScript 片段，那么该数据库是否需要进行身份验证才能保持 PCI 标准？我正在评估 MongoDB，发现它在配置副本集时不提供身份验证。

Answer 1

分几部分回答:

• 正如我在顶部的评论中所说，我不是 QSA(特别不是您的 QSA)，并且无权以任何方式允许您。要获得明确的答案，您需要您的 QSA 来签署它。 (嗯，IANAQSA 是新的 IANAL……？)
• 严格来说，PCI 不:“验证对任何包含持卡人数据的数据库的所有访问”
• 虽然您可能不需要对数据库进行身份验证，但您确实需要根据 PCI DSS 要求 1.3.7 将其隔离在内部网络上，与 DMZ 分开。
• 根据要求 6.1，您仍然需要确保补丁(它提到了数据库，但没有提及CHD 数据库)。
• 综上所述，从安全的角度来看，您应该考虑虽然从数据库中窃取数据可能不是问题，但注入(inject)代码到 你的数据库可能是一个严重的漏洞，ala Persistent XSS。根据要求 6.5.1，这当然会间接使您的 PCI 合规性无效。

同样，您可能会在 http://security.stackexchance.com/ 上获得更好的答案...