Revisión de Reglas de Network Security Controls (NSC) para Cumplimiento con PCI DSS v4.0.1

La versión 4.0.1 de PCI DSS establece requisitos para proteger la información en redes y sistemas. En particular, la revisión y gestión de las reglas de los Network Security Controls (NSC), como firewalls y sistemas de detección de intrusos, es esencial para mantener la seguridad de la red.

Este artículo describe los pasos necesarios para llevar a cabo una revisión efectiva de las reglas de NSC, en conformidad con los requisitos de PCI DSS v4.0.1, y se complementa con las mejores prácticas recomendadas en la guía de SANS para la revisión de reglas de firewall.

1. Requisitos de PCI DSS v4.0.1 para la Revisión de Reglas de NSC

La versión 4.0.1 de PCI DSS introduce expectativas más detalladas para la gestión de la seguridad de red. Los controles de seguridad de red deben estar bien configurados, monitoreados y revisados regularmente para cumplir con los siguientes requisitos:

• Requisito 1.2.1: Asegurar que las configuraciones de los NSC sean definidas, implementadas, y mantenidas.
• Requisito 1.2.2: Todos los cambios en las conexiones de red y en las configuraciones de los NSC deben ser aprobados y gestionados de acuerdo con el proceso de control de cambios definido en el Requisito 6.5.1.
• Requisito 1.2.3: Mantener diagramas de red precisos que muestren todas las conexiones entre el entorno de datos de los titulares de tarjetas (CDE) y otras redes, incluyendo redes inalámbricas.
• Requisito 1.2.4: Mantener diagramas de flujo de datos que muestren todos los flujos de datos a través de los sistemas y redes involucrados, actualizándolos según sea necesario ante cambios en el entorno.
• Requisito 1.2.5: Identificar y aprobar todos los servicios, protocolos y puertos permitidos, asegurando que tengan una necesidad de negocio definida.
• Requisito 1.2.6: Definir e implementar configuraciones de seguridad para servicios, protocolos y puertos considerados inseguros para mitigar el riesgo.
• Requisito 1.2.7: Revisar las configuraciones de los NSC al menos cada seis meses para confirmar que son pertinentes y eficientes.
• Requisito 1.2.8: Asegurar los archivos de configuración de los NSC contra el acceso no autorizado y mantenerlos consistentes con las configuraciones de red activas.

2. Pasos para Realizar una Revisión de Reglas de NSC

Paso 1: Documentación y Auditoría de las Reglas Existentes

Es fundamental contar con una documentación completa y actualizada de todas las reglas de firewall o controles de red implementados. La documentación debe incluir:

• Descripción de cada regla.
• Justificación del propósito de la regla.
• Puertos, protocolos y direcciones IP permitidas o bloqueadas.
• Identificación del sistema o segmento de red al que se aplica la regla.

La documentación adecuada permite evaluar si cada regla sigue siendo relevante y efectiva, cumpliendo con el Requisito 1.2.1.

Paso 2: Identificación de Reglas Redundantes o Innecesarias

Las reglas de firewall pueden acumularse con el tiempo, llevando a configuraciones obsoletas. Durante la revisión, se deben identificar:

• Reglas no utilizadas: Reglas que no se han activado en un período determinado.
• Reglas duplicadas: Reglas que se solapan con otras.
• Reglas con permisos demasiado amplios: Reglas que permiten acceso a una amplia gama de IPs o puertos.

Eliminar o ajustar estas reglas reduce el riesgo de ataque y cumple con el Requisito 1.2.7.

Paso 3: Validación de Reglas Permisivas

Las reglas permisivas deben ser revisadas cuidadosamente, ya que pueden ser vectores para el acceso no autorizado. Se debe verificar:

• Reglas “allow any”: Estas reglas deben ser restringidas o eliminadas.
• Puertos y protocolos específicos: Asegurar que solo los puertos necesarios estén permitidos.

La guía del SANS recomienda aplicar el principio de least privilege para asegurar que cada regla permita solo el acceso necesario.

Paso 4: Aplicación del Principio de Segmentación de Red

PCI DSS enfatiza la segmentación de redes que manejan datos de titulares de tarjetas (CHD). Las reglas de NSC deben implementar una segmentación clara:

• Filtrar tráfico entre segmentos de red: Permitir solo el tráfico necesario entre redes.
• Aislar sistemas críticos: Los sistemas críticos deben estar aislados de redes no seguras mediante reglas restrictivas.

El Requisito 1.3 subraya la necesidad de una segmentación clara y la revisión continua de las reglas.

Paso 5: Prueba y Verificación de las Reglas

Después de modificar las reglas, es esencial probar las configuraciones para asegurar que se aplican correctamente:

• Pruebas de penetración: Simular intrusiones para verificar que las reglas bloquean tráfico malicioso.
• Monitoreo en tiempo real: Revisar logs y eventos para identificar configuraciones incorrectas.
• Auditorías periódicas: Programar auditorías regulares, al menos cada seis meses, como exige PCI DSS en el Requisito 1.1.7.

La guía del SANS recomienda el uso de herramientas de análisis de configuraciones para automatizar la revisión y garantizar la seguridad y el rendimiento.

Paso 6: Mantenimiento de las Configuraciones y Documentación

Documentar nuevamente las configuraciones del firewall después de la revisión facilita futuras auditorías:

• Guardar copias de las configuraciones: Almacenar versiones anteriores y actuales permite comparar y restaurar configuraciones.
• Monitoreo continuo: Implementar herramientas que alerten sobre cambios no autorizados o actividades inusuales en la red.

3. Buenas Prácticas de SANS para la Revisión de Reglas de Firewall

El SANS Institute recomienda:

• Revisión por un equipo multidisciplinario: Involucrar tanto al equipo de seguridad como al operativo.
• Uso de herramientas de análisis de reglas: Herramientas como FireMon o AlgoSec pueden automatizar la revisión.
• Auditoría de logs: Realizar revisiones periódicas de los logs para identificar patrones anómalos y posibles vulnerabilidades.

La revisión periódica de las reglas de Network Security Controls (NSC) es esencial para cumplir con PCI DSS v4.0.1. Asegurarse de que las reglas se mantengan alineadas con las mejores prácticas de seguridad protege los datos de los titulares de tarjetas y mejora la seguridad general de la organización.

Metodología para la Revisión de Firewalls/NSC para el Cumplimiento de PCI

La metodología del SANS Institute para la revisión de firewalls/NSC en el contexto del cumplimiento de PCI DSS se enfoca en una serie de pasos sistemáticos para garantizar que las configuraciones de los firewalls/NSC cumplan con los requisitos de seguridad establecidos.  Dicha metodologia puede ser usada para la revisión de los NSCs de forma general. A continuación, se presenta un resumen de los puntos clave de la metodología:

1. Documentación de Reglas Existentes:
   • Inventario Completo: Mantener un inventario detallado de todas las reglas y configuraciones de los firewalls.
   • Descripción y Justificación: Cada regla debe tener una descripción clara y una justificación para su existencia.
2. Evaluación de Reglas:
   • Identificación de Reglas Redundantes: Identificar y eliminar reglas duplicadas o innecesarias.
   • Revisión de Permisos: Verificar que las reglas de acceso no sean demasiado amplias y que permitan solo el tráfico necesario.
3. Aplicación del Principio de Mínimo Privilegio:
   • Restricción de Acceso: Aplicar el principio de menor privilegio para permitir solo el acceso necesario para operaciones específicas.
   • Revisión de Reglas Permisivas: Evaluar y ajustar las reglas que permiten tráfico amplio o no especificado.
4. Segmentación de Red:
   • Filtrado de Tráfico: Implementar reglas para filtrar el tráfico entre segmentos de red de manera que se minimicen los riesgos de seguridad.
   • Aislamiento de Sistemas Críticos: Asegurar que los sistemas que manejan datos sensibles estén aislados de redes no seguras.
5. Pruebas y Validación:
   • Pruebas de Penetración: Realizar pruebas para simular intentos de intrusión y verificar la efectividad de las reglas.
   • Monitoreo y Auditoría: Implementar herramientas para monitorear el tráfico en tiempo real y auditar logs para detectar actividades inusuales.
6. Mantenimiento y Actualización:
   • Revisión Periódica: Revisar y actualizar las reglas de firewall regularmente, al menos cada seis meses, para asegurarse de que sigan siendo efectivas y pertinentes.
   • Documentación Actualizada: Mantener documentación actualizada de las configuraciones y cambios realizados.
7. Colaboración Multidisciplinaria:
   • Involucrar Equipos: Asegurarse de que tanto el equipo de seguridad como el operativo participen en la revisión para asegurar que las reglas sean seguras y funcionales.
8. Uso de Herramientas de Análisis:
   • Automatización: Utilizar herramientas especializadas para automatizar la revisión de reglas y detectar configuraciones inseguras.

La metodología del SANS proporciona un marco estructurado para revisar y mantener las reglas de firewall, garantizando que cumplan con los requisitos de PCI DSS y protejan adecuadamente la red y los datos sensibles.

Referencias

• Payment Card Industry Security Standards Council. (2022). PCI DSS v4.0.1. Recuperado de https://www.pcisecuritystandards.org
• https://www.sans.org/white-papers/34195/ Methodology for Firewall Reviews for PCI Compliance
• SANS Institute. (2021). Firewall Rule Base Security Review. Recuperado de https://www.sans.org