linux - PCI-DSS 1.3.3/1.3.5，限制从 DMZ 到 Internet 的出站访问

Question

我们正在获取 PCI 1 级，如果有人能帮助阐明 PCI-DSS 1.3.3 和 1.3.5 要求，我将不胜感激，其中规定:

1.3.3 -“不允许互联网和持卡人数据环境之间的流量有任何直接入站或出站路由”1.3.5 -“限制从持卡人数据环境到 Internet 的出站流量，使出站流量只能访问 DMZ 内的 IP 地址。”

现在，我们正在使用 Juniper SRX 防火墙，并在 DMZ 中使用网络服务器，在受信任的环境中使用 mysql 数据库服务器。对于 Trusted，我们刚刚完成了对公共(public)导出的锁定，并且必须在 DMZ 中设置一个代理服务器来获取更新(yum、clamav、waf-rules 等...)以从中获取更新。

但我们并不真正期望 DMZ 也需要像我们在 Trusted 上所做的那样完全锁定导出。而且我确实发现在 DMZ 上进行导出锁定有点挑战(除非我弄错了)，因为我们的代理也住在那里并且需要对公众进行出站访问以获取更新等等。通过 IP 将它们列入白名单具有挑战性，因为第 3 方供应商的 IP 不断变化。

所以我的问题是，到底需要多少“限制”？对于我们的 Trusted，我们有一个“拒绝所有”导出和一个它可以访问的选定 IP 地址的白名单。 DMZ 是否也需要这个？或者 DMZ 是否可以仅具有基于端口的“全部拒绝”，这会使事情变得容易得多，因为我们不必担心镜像和第 3 方服务不断变化的 IP 地址。

我发现一些代理设备可以根据“主机名”进行智能过滤(换句话说，动态 IP 白名单)，但它们似乎要花不少钱。

如您所见，我正在寻找一些答案，我们的审计员帮不上什么忙，他只是说需要锁定它。如果这里有人有 PCI 审计经验，我很想听听您的意见。

Answer 1

如果您限制了对您的 DMZ 的入站和出站访问，并且没有从 DMZ 到 Internet 的直接访问，那么您就满足了要求。

通过使用代理，大多数 QSA 会同意您已删除直接访问权限。如果有代理不可用的服务，那么您可以将它们从与持卡人数据环境相同的 DMZ 中删除(例如，如果它们不是即时服务的一部分)或与您的 QSA 讨论这个问题。您可能需要实现补偿控制或查看其他创造性解决方案。

您需要让您的 QSA 相信这些是对限制的合法放宽。这确实是他们应该能够查看您的文档和实现并直接给您肯定或否定的地方。

与许多 PCI 要求一样，解释也很灵活。您可以在本文档中找到有关每个要求的意图的更多信息:https://www.pcisecuritystandards.org/documents/navigating_dss_v20.pdf