PCI DSS 4.0.1
выполнение требований
6.4.3 и 11.6.1

6.4.3

Все скрипты на платежных страницах, которые загружаются и выполняются в браузере пользователя, управляются следующим образом:

• реализован метод для подтверждения, что каждый скрипт авторизован;
• реализован метод для обеспечения целостности каждого скрипта;
• ведется инвентаризация всех скриптов с письменным бизнес- или техническим обоснованием, как используется скрипт.

11.6.1

Механизм обнаружения изменений и вмешательства развернут следующим образом:

• для оповещения персонала о несанкционированных изменениях (включая индикаторы компрометации, изменения, добавления и удаления) в заголовках HTTP и содержимом скриптов платежных страниц, как они получаются браузером пользователя;
• механизм настроен для оценки получаемых заголовков HTTP и платежных страниц;
• функции механизма выполняются либо не реже одного раза в неделю, либо с частотой, определенной в целевом анализе рисков организации, который проводится в соответствии со всеми элементами, указанными в Требовании 12.3.1.

6.4.3

• Вести реестр разрешенных скриптов на платежных страницах, в котором отображать дату утверждения, владельца, назначение и обоснование по каждому из них, а также разработать соответствующую документацию в виде регламентов и журналов
• Внедрить механизм, сравнивающий список текущих скриптов на платежных страницах с актуальным реестром разрешенных скриптов
• Внедрить механизм сравнивающий текущий скрипт с разрешенной версией, например, через сравнение хеш-сумм или другим способом

11.6.1

• Внедренный механизм обнаружения должен контролировать изменения в HTTP-заголовках, связанных с безопасностью, контролировать изменения в скриптах, учитывая индикаторы компрометации, а также направлять оповещение уполномоченному лицу в случае срабатывания
• Периодичность обнаружения должна настраиваться и составлять не меньше, чем один раз в неделю, либо с частотой, определенной для этого требования в документе по оценке рисков (Требование 12.3.1)

6.4.3

• Авторизация скриптов. Разрешенными считаются только скрипты, которые были добавлены в список разрешенных через интерфейс анализатора. Каждое утверждение скрипта остается в логах, где отображается, кто и когда их утвердил. В случае выявления неавторизованного скрипта приходит оповещение
• Контроль целостности скриптов. Высчитывает и сравнивает хеш-суммы текущих скриптов на платежной странице с разрешенными, оповещает в случае несоответствия.
• Инвентаризация скриптов. Ведет подробную инвентаризацию как скриптов, так и других активных элементов, выполняемых на платежной странице с возможностью просмотра текущего списка разрешенных скриптов как из интерфейса решения, так и экспортом списка в удобном формате.

• По результатам развернутых данных сканирования определяется, что должно быть добавлено в CSP, чтобы это не сказалось на пользовательском опыте.

11.6.1

• Оповещение. Ведет журнал оповещений, в котором сохраняются результаты каждого сканирования с возможностью отследить историю изменений по любому скрипту и другому активному элементу с момента первого скана. Система оповещений, может быть настроена на почту, а может быть настроен webhook для отправки отчётов напрямую в SOC/SIEM
• Контроль изменений в HTTP-заголовках. Ведется контроль за изменениями в HTTP-заголовках, связанных с безопасностью, в случае несанкционированных изменений приходит оповещение.
• Контроль изменений в скриптах. Текущий актуальный реестра разрешенных скриптов сопоставляется с результатом сканирования текущих платежных страниц в один клик.
• Индикаторы компрометации в скриптах. В решении используется гибкая система правил, позволяющая выявлять подозрительные действия в скриптах.
• Частота. Регулярность сканирования выставляется в настройках, реальная частота проведенных сканирований видна по времени их завершения.

• Встраивается в CI/CD пайплайн и автоматически сканирует как в среде разработки перед выпуском, так и на проде для контроля текущего состояния, как эти веб-страницы видит реальный пользователь.