« Nous effectuons déjà un scan de vulnérabilités chaque trimestre. N’est-ce pas un test d’intrusion ? » Nous entendons souvent cette question. La réponse est non, et la norme PCI DSS les traite comme des exigences distinctes. Cet article explique la différence entre les scans de vulnérabilités internes, les scans ASV externes et les tests d’intrusion, ainsi que les attentes de la version 4.0.1 de la norme PCI DSS au titre des exigences 11.3 et 11.4.
Trois activités différentes
- Un scan de vulnérabilités est une vérification automatisée des faiblesses connues, telles que des correctifs manquants ou des configurations non sécurisées. Il est large et reproductible, mais il ne tente pas de s’introduire dans le système.
- Un scan ASV est un scan de vulnérabilités externe effectué par un fournisseur de scan approuvé (Approved Scanning Vendor). Il examine vos systèmes de la même manière qu’Internet les voit.
- Un test d’intrusion est un exercice manuel axé sur un objectif. Un testeur qualifié tente d’exploiter les faiblesses, de les enchaîner et d’atteindre les systèmes sensibles, comme le ferait un véritable attaquant.
Les scans vous indiquent ce qui pourrait ne pas aller. Un test d’intrusion vous indique ce qu’un attaquant pourrait réellement faire avec ces failles.
Exigence 11.3 : scan de vulnérabilités
Scans internes. Les scans de vulnérabilités internes sont requis trimestriellement. Sous la v4, il doit s’agir de scans authentifiés, ce qui signifie que l’outil doit pouvoir s’authentifier auprès des systèmes afin de voir au-delà de la surface. Les vulnérabilités critiques et à haut risque doivent être résolues et faire l’objet d’un nouveau scan. Les autres vulnérabilités sont traitées selon un calendrier défini par une analyse de risque ciblée. Des scans internes sont également requis après des changements significatifs.
Scans externes. Des scans externes sont également requis trimestriellement et après des changements significatifs. Les scans externes trimestriels doivent être effectués par un Approved Scanning Vendor (ASV) du PCI SSC. Le Conseil décrit un ASV comme une organisation disposant d’outils et de services pour effectuer des scans de vulnérabilités externes afin de valider le respect des exigences de scan externe de l’exigence 11.3.2 de la norme PCI DSS. Un résultat positif est requis, ce qui signifie généralement corriger les constatations et relancer le scan jusqu’à ce que le résultat soit vierge.
Exigence 11.4 : tests d’intrusion
L’exigence 11.4 demande une méthodologie de test d’intrusion documentée et des tests réguliers. En résumé :
- Méthodologie. Les tests doivent suivre une approche reconnue par le secteur. Les praticiens s’alignent généralement sur des cadres tels que NIST SP 800-115, les guides de test OWASP, PTES ou OSSTMM.
- Couverture. Des tests externes (depuis Internet) et internes (depuis l’intérieur du réseau) sont requis, couvrant le périmètre de l’environnement des données de titulaires de carte (CDE) et les systèmes critiques, tant au niveau du réseau que des applications.
- Fréquence. Au moins une fois tous les 12 mois et après toute mise à niveau ou modification significative de l’infrastructure ou des applications.
- Qui l’effectue. Une ressource interne qualifiée ou un tiers externe qualifié, avec une indépendance organisationnelle par rapport aux systèmes testés. Le testeur n’a pas besoin d’être un QSA ou un ASV.
- Remédiation. Les vulnérabilités exploitables doivent être corrigées et la correction vérifiée par un nouveau test.
- Segmentation. Si vous utilisez la segmentation pour réduire la portée, les exigences 11.4.5 et 11.4.6 ajoutent des tests de segmentation spécifiques. Nous les abordons dans un article séparé.
Le supplément d’information Penetration Testing Guidance du Conseil reste une référence utile pour la définition de la portée, la méthodologie et le reporting.
Comparaison côte à côte
- Scan interne : automatisé ; trimestriel et après changement significatif ; effectué par du personnel qualifié.
- Scan ASV externe : automatisé ; trimestriel et après changement significatif ; scans trimestriels effectués par un Approved Scanning Vendor.
- Test d’intrusion : manuel ; au moins une fois par an et après changement significatif ; effectué par un testeur qualifié et indépendant.
Erreurs courantes
- Soumettre un rapport de scan automatisé en tant que test d’intrusion.
- Manquer un trimestre de scans ASV, ce qui laisse une lacune difficile à expliquer plus tard.
- Tester uniquement le périmètre externe et omettre les tests internes.
- Ne pas refaire de test après avoir corrigé les constatations, de sorte qu’il n’y a aucune preuve que la correction a fonctionné.
- Oublier de tester après un changement significatif tel qu’un nouveau pare-feu, un déménagement de centre de données ou une version majeure d’application.
Au-delà de la conformité
Même en dehors de la norme PCI DSS, la combinaison est logique : des scans pour une hygiène continue, et des tests d’intrusion pour comprendre l’exposition réelle. De nombreuses organisations se préparant à l’ISO 27001 ou au SOC 2 utilisent la même approche.
En savoir plus sur notre page tests de sécurité. Ubitrak propose des tests d’intrusion et des scans ASV, et accompagne ses clients lors des évaluations PCI DSS. Consultez notre aperçu de la norme PCI DSS pour en savoir plus, ou contactez-nous pour définir la portée d’un test.
Sources
Est-ce que cela s’applique à vous? Une consultation gratuite de 30 minutes relie l’exigence à vos systèmes et vous indique quoi faire ensuite.
Réserver une consultation gratuite