扫一扫
分享文章到微信
扫一扫
关注官方公众号
至顶头条
Oracle 数据库安全性提供强大的数据保护和访问控制解决方案以满足 PCI-DSS 1.1 要求。Oracle Database Vault 可防范高权限用户访问信用卡信息，另外可通过职责分离、多因素身份验证和命令规则协助减少内部威胁。Oracle Advanced Security 透明数据加密 (TDE) 提供业内最先进的数据库加密解决方案，支持对信用卡号码进行加密，同时该过程对现有应用程序完全透明。Oracle Audit Vault 可对整个企业内的数据库审计数据进行整合与保护。Oracle Audit Vault 报表和警报可对信用卡信息的访问提供预见性的通知。Oracle 企业管理器提供安全配置扫描，以确保您的数据库保持安全配置。Oracle Label Security 扩展了用户安全授权以协助贯彻需要知道的原则。
| 章节 | PCI 1.1 要求 | 符合要求的 Oracle 特性 | ||
|---|---|---|---|---|
| 构建和维护安全的网络 | ||||
| 1. | 安装和维护防火墙配置以保护数据 | |||
| 2. | 系统口令和其他安全性参数不要采用供应商提供的默认配置 | |||
| 黑客（来自企业内部和外部）常常使用供应商的默认口令和其他默认设置来侵害系统。这些口令和设置在黑客界非常熟知，同时可通过公开信息轻松确定。 | ||||
| 2.1: | 在将系统安装到网络之前，始终先更改供应商提供的默认设置（如，口令、简单网络管理协议 [SNMP] 社区字符串和清除不必要的帐户）。 | Oracle 在安装时对默认帐户和口令进行了锁定并使其过期。管理帐户的口令在安装时会进行提示。 | ||
| 2.2: | 为所有的系统组件开发配置标准。确保这些标准可解决所有已知的安全漏洞，同时与业界公认的系统强化标准一致，这些标准的定义机构有 SysAdmin 审计网络安全网络 (SANS)、国家标准技术协会 (NIST) 和互联网安全中心 (CIS) 等。 | Oracle 企业管理器配置包提供了即需即用的互联网安全中心 (CIS) 基准，使得拥有配置包的用户可以对他们的企业数据库进行扫描以检查合规性。 | ||
| 2.2.3: | 配置系统安全性参数以防止误用。 | 遵循 Oracle 数据库安全配置指导原则。利用 Oracle 企业管理器配置包进行监测。 Oracle Audit Vault 可对整个企业内的审计数据进行整合。 Oracle Audit Vault 可就审计数据提供报表和警告。 Oracle Database Vault 的职责分离功能可防范 Oracle 数据库内的未授权管理行为。 | ||
| 2.2.4: | 删除所有不必要的功能，如脚本、驱动程序、特性、子系统和文件系统（如不必要的 Web 服务器）。 | Oracle 数据库自定义安装允许安装或删除特定组件。 | ||
| 2.3: | 加密所有非控制台的管理访问。使用 SSH、VPN 或 SSL/TLS（传输层安全性）技术进行基于 web 的管理和其他非控制台的管理访问。 | Oracle Advanced Security 选件可提供网络加密功能（SSL 和本地），以便对中间层和数据库、客户端和数据库以及数据库之间的 SQL*Net 上的全部流量进行加密。另外，一些管理工具（如企业管理器）提供 SSL 许可的有限使用权以保护管理流量。 | ||
| 2.4: | 托管提供商必须保护每个实体的寄宿环境和数据。这些提供商必须满足附录 A“托管提供商的 PCI DSS 适用性”中详述的特定要求。 | 见附录 A： | ||
| 保护持卡人数据 | ||||
| 3: | 保护存储的持卡人数据 | |||
| 加密是持卡人数据保护的一个关键组成部分。如果入侵者规避了其他网络安全控件并访问了加密数据，但若没有正确的加密密钥，这些数据对他/她是不可读、不可用的。保护存储数据的其他有效方法应被看作潜在的减少风险的机会。例如，将风险降至最低的方法包括除非必要则不存储持卡人数据，如果不需要完整的 PAN 则截断持卡人数据，以及不在未加密邮件中发送 PAN。 | ||||
| 3.3: | 显示 PAN 时对其进行屏蔽（前六位和后四位是需要显示的最大位数）。 注：这一要求并不适用于员工和其他要求看到完整 PAN 的情况，另外它也不能取代现有的针对显示持卡人数据的更为严格的要求（例如，针对销售点 [POS] 收据的要求）。 |
应用程序特定的；应用程序可利用带有列相关策略的虚拟专用数据库 (VPD) 来屏蔽掉整个卡号。如果应用程序将卡号存储在不同的域中，可使用 VPD 按域屏蔽掉卡号的相关部分。 Oracle Label Security 标签因素提供的安全属性有助于确定谁能访问该卡号。 Oracle Database Vault Realms 可用于防止高权限的用户访问任意应用程序数据。 | ||
| 3.4: | 至少，不论将 PAN 存储在哪里（包括便携式数字介质、备份介质和日志中的数据以及来自或存储在无线网络上的数据），都要采用下面的某一方法使其不可读：
如果某公司因某原因不能对持卡人数据进行加密，参见附录 B：《存储数据加密的补偿性控制措施》。 |
Oracle Advanced Security 透明数据加密 (TDE) 可用于在介质和备份上对卡号进行加密。当数据备份到磁盘时，可选方法是结合使用 TDE 与 Oracle RMAN 以对整个备份进行加密。 Oracle 安全备份提供的解决方案可用于直接备份到磁盘存储并进行加密。 支持的加密算法有 AES 和密钥长度为 128、192（默认值）或 256 位的 3DES。 Oracle Advanced Security 透明数据加密 (TDE) 具有内置的密钥管理。加密的列数据在数据文件、撤销日志、重做日志以及系统全局区 (SGA) 的缓冲缓存中都保持加密状态。SHA-1 和 MD5 用于保证完整性。 | ||
| 3.5: | 保护用于对持卡人数据进行加密的加密密钥，既要避免暴露也要避免误用。 | Oracle Advanced Security 透明数据加密 (TDE) 密钥存储在数据库中，并使用一个存储在 Oracle 钱夹中的单独万能密钥进行加密。Oracle 钱夹是操作系统中的一个 PKCS#12 文件。 Oracle 钱夹通过钱夹口令进行加密。为了从内部打开钱夹，数据库要求有“alter system”权限。 可实施 Oracle Database Vault 命令规则以进一步限制何人、何时及何地执行“alter system”权限。 | ||
| 3.5.1: | 将对密钥的访问权限局限于尽可能少的必要保管人。 | Oracle Advanced Security 透明数据加密 (TDE) 支持的客户内部策略。 TDE 要求至少有一名指定的专人有权访问钱夹口令。(DBA 或安全性 DBA) 可实施 Oracle Database Vault 命令规则以限制何人、何时及何地执行“alter system”权限。 | ||
| 3.5.2: | 在尽可能少的地点和以尽可能少的形式存储密钥。 | Oracle Advanced Security 透明数据加密 (TDE) 支持的客户内部策略。 每个数据库仅有一个万能密钥。密钥可存储在 Oracle 钱夹中。 Oracle 数据库 11g TDE 可与符合 PKCS#11 标准的硬件供应商集成，以实现集中的万能密钥生成和管理。 | ||
| 3.6.1: | 生成强密钥 | Oracle Advanced Security 透明数据加密 (TDE) 使用一个 FIPS 认证的 RNG（随机数生成器）。万能密钥也可使用证书或 PKI 密钥对生成。 | ||
| 3.6.2: | 安全的密钥分发 | （客户内部策略）。 在分布式环境中（包括真正应用集群），需要将钱夹复制到所有参与的 RAC 实例中并打开。 | ||
| 3.6.3: | 安全的密钥存储 | Oracle Advanced Security 透明数据加密 (TDE) 表钥存储在数据库中，由万能密钥加密，后者存储在 Oracle 钱夹中。 钱夹可存储在外部 USB 设备（记忆棒）或单独的硬件平台上，如具有更高安全保护的 Linux 箱。 Oracle 数据库 11g 支持在硬件安全模块 (HSM) 设备上生成和管理万能加密密钥。 | ||
| 3.6.4: | 定期更改密钥：
|
Oracle Advanced Security 透明数据加密 (TDE) 提供独立地重新生成万能密钥和/或表密钥的功能。 | ||
| 3.6.5: | 旧密钥的销毁 | 万能密钥应按照备份和恢复要求从钱夹中删除。 | ||
| 3.6.6: | 将密钥的掌握和双重控制的建立分隔开（这就需要两或三个人来构建整个密钥，每个人只知道他们各自掌握的密钥部分） | 在执行 alter system 命令打开 TDE 钱夹时，Oracle Database Vault 可用于执行双人登录要求。 有关 Oracle 电子商务套件，参见 metalink 说明 338756.1 | ||
| 3.6.7: | 防止未授权的密钥替换 | 由 Oracle Advanced Security 透明数据加密 (TDE) 实施 | ||
| 3.6.8: | 更换已知或怀疑被损坏的密钥 | （参见 3.6.4） | ||
| 3.6.9: | 撤消旧的或无效的密钥 | （参见 3.6.5） | ||
| 4: | 对持卡人数据在公开、公共网络上的传输进行加密 | |||
| 对于黑客可以在上面轻松和经常截取、修改和转移传输数据的网络，必须对敏感信息在该网络上的传输进行加密。 | ||||
| 4.1: | 使用强加密和安全协议对敏感的持卡人数据在公开、公共网络上的传输进行保护，这些协议包括安全套接字层 (SSL)/传输层安全性 (TLS) 和互联网协议安全性 (IPSEC)。 PCI DSS 范畴内的公开、公共网络包括 Internet、WiFi (IEEE 802.11x)、全球移动通信系统 (GSM) 和通用分组无线业务 (GPRS)。 |
Oracle 数据库和 Oracle 融合中间件都支持使用 SSL/TLS 对网络流量进行加密。 对于 Oracle 数据库，SSL/TLS 支持由 Oracle Advanced Security 选件提供。 | ||
| 维护漏洞管理程序 | ||||
| 5. | 使用并定期更新防病毒软件或程序 | |||
| 6. | 开发并维护安全的系统和应用程序 | |||
| 缺乏道德的人会利用安全漏洞获得对系统的访问。很多这种漏洞可通过供应商提供的安全补丁得以解决。所有的系统都必须装有最新发布的适宜的软件补丁，以防范员工、外部黑客和病毒的侵扰。注：适宜的软件补丁是指经过充分地评估和测试，被证明不会与现有安全配置冲突的补丁。对于内部开发的应用程序，采用标准的系统开发过程和安全的编码技术可避免大量的漏洞。 | ||||
| 6.1: | 确保所有的系统组件和软件都已安装供应商提供的最新安全补丁。在相关安全补丁发布一月内将其安装。 | 由 Oracle 企业管理器网格控制自动完成 | ||
| 6.2: | 建立一个流程以识别新发现的安全漏洞（如，订阅 Internet 上免费可得的警报服务）。更新标准以解决新的漏洞问题。 | （客户内部策略） 在 OTN 上订阅“Electronic Subscriptions”部分，一定要选中 Oracle Security Alerts 旁的复选框，然后单击“Continue”确认。 | ||
| 6.4: | 按照更改控制过程进行所有的系统和软件配置更改。该过程必须包括： | 更改控制过程可借助 Oracle 企业管理器网格控制实现自动化。此外，BPEL 流程管理器也可用于对更改控制和一般安全过程进行过程管理。 | ||
| 6.5.1: | 未经验证的输入 | 通过“dbms_assert”解决 | ||
| 6.5.6: | 注入攻击（例如，结构化查询语言 (SQL) 注入） | 通过“dbms_assert”得以解决 | ||
| 6.5.8: | 不安全的存储 | Oracle Advanced Security 透明数据加密 (TDE) 可用于在介质和备份上对卡号进行加密。将数据备份到磁盘时，可选方法是结合使用 TDE 与 Oracle RMAN 以对整个备份进行加密。Oracle 安全备份提供的解决方案可用于直接对磁带存储进行备份和加密。支持的加密算法有 3DES168 和密钥长度为 128、192（默认值）或 256 位的 AES。 | ||
| 6.5.10: | 不安全的配置管理 | Oracle 企业管理器配置包提供了安全的配置扫描和互联网安全中心 (CIS) 基准。 | ||
| 实施强访问控制措施 | ||||
| 7. | 将对持卡人数据的访问局限到有相关需要的业务单元 | |||
| 此要求确保了关键数据只能由经授权的人员访问。 | ||||
| 7.1: | 将对计算资源和持卡人信息的访问仅限于有工作需要的个体。 | Oracle Database Vault 领域限制高权限用户/DBA 访问应用程序/持卡人数据。 Oracle Database Vault 因素和命令规则支持对应用程序、数据和数据库的访问进行严格控制。 Oracle Database Vault 的职责分离功能可防范 Oracle 数据库内的未授权管理行为。 Oracle Label Security 标签因素可提供额外的安全属性以确定谁有访问需要。 Oracle 虚拟专用数据库可根据访问需要提供彻底的屏蔽。 Oracle 数据库对象权限和数据库角色可提供基本的安全性。 Oracle 身份管理可将企业用户供应提供给计算资源。 | ||
| 7.2: | 为多用户系统建立一个机制，根据用户的业务需要对访问进行限制，同时在未特别允许的情况下设置为“全部拒绝”。 | Oracle Database Vault 领域限制高权限用户/DBA 访问应用程序/持卡人数据。 Oracle Database Vault 因素和命令规则支持对应用程序、数据和数据库的访问进行严格控制。 Oracle Database Vault 的职责分离功能可防范 Oracle 数据库内的未授权管理行为。 Oracle Label Security 标签因素可提供额外的安全属性以确定谁有访问需要。 Oracle 虚拟专用数据库可根据访问需要提供彻底的屏蔽。 Oracle 数据库对象权限和数据库角色可提供基本的安全性。 Oracle 身份管理可提供企业用户供应。 | ||
| 8. | 为每个有计算机访问权限的人分配一个唯一的 ID | |||
| 为每个有访问权限的人分配一个唯一的标识 (ID)，以确保对重要数据和系统的操作由已知和授权的用户完成并可追溯到这些用户。 | ||||
| 8.1: | 在允许用户访问系统组件或持卡人数据前，确认所有的用户都有唯一的用户名。 | Oracle 数据库验证支持对专用用户帐户、共享模式和代理验证进行唯一用户名验证。 Oracle 身份管理提供企业用户供应。 | ||
| 8.2: | 除分配唯一的 ID 外，采用下面的至少一种方法对所有用户进行验证：
|
Oracle Advanced Security 选件通过 Kerberos、PKI 和 RADIUS 提供强验证。 | ||
| 8.3: | 对于员工、管理员和第三方的远程网络访问，实施双因素验证。使用相关技术，如远程验证和拨号服务 (RADIUS) 或带令牌的终端访问控制器访问控制系统 (TACACS)；或者采用使用个人证书的 VPN 技术（基于 SSL/TLS 或 IPSEC）。 | Oracle Advanced Security 选件通过 Kerberos、PKI 和 RADIUS 提供强验证。 | ||
| 8.4: | 在所有系统组件上进行传输和存储时，要对全部口令进行加密。 | Oracle 数据库对在线路上传输的和存储在数据库中的数据库用户口令进行加密。 | ||
| 8.5: | 在所有系统组件上，确保为非客户用户和管理员进行适当的用户验证和口令管理： | Oracle 身份管理 | ||
| 8.5.1: | 对 ID、证书和其他标识符对象的添加、删除和修改进行控制。 | 限制对 Oracle 管理帐户 SYSDBA 的访问 部署 Oracle Database Vault 进行额外的职责分离 部署 Oracle 身份管理进行企业用户供应。 | ||
| 8.5.2: | 重设口令前验证用户身份 | Oracle 数据库验证 Oracle Database Vault 职责分离 | ||
| 8.5.3: | 为每个用户设置一个唯一的初始口令，并在首次使用后立即更改。 | 使用过期口令创建 Oracle 数据库帐户 | ||
| 8.5.4: | 立即撤消对终止用户的访问权限 | Oracle 身份管理和 Oracle 数据库企业用户安全性 | ||
| 8.5.5: | 至少每 90 天清理一次不活动的用户帐户 | Oracle 身份管理和 Oracle 数据库企业用户安全性 | ||
| 8.5.6: | 仅在需要时支持对供应商使用的帐户进行远程维护 | Oracle 企业管理器帐户管理 Oracle Database Vault 因素和命令规则 Oracle Database Vault 领域用于防止对应用程序数据的访问 Oracle Database Vault 职责分离 | ||
| 8.5.8: | 不要使用组、共享或一般帐户和口令 | （客户内部策略）；Oracle 数据库企业用户安全性；Oracle 数据库代理验证 | ||
| 8.5.9: | 至少每 90 天更改一次用户口令 | Oracle 数据库配置文件 | ||
| 8.5.10: | 要求口令最小长度为七个字符 | Oracle 数据库配置文件 | ||
| 8.5.11: | 使用包含字母和数字的口令 | Oracle 数据库口令复杂性检查 | ||
| 8.5.12: | 不允许个人提交与他/她用过的四个口令中任意一个相同的新口令 | Oracle 数据库配置文件 | ||
| 8.5.13: | 在最多进行六次访问尝试后锁定用户 ID 以限制重复的访问请求 | Oracle 数据库配置文件 | ||
| 8.5.14: | 将锁定时间设置为三十分钟或直到管理员启用该用户 ID | Oracle 数据库配置文件 | ||
| 8.5.15: | 如果会话闲置时间超过 15 分钟，要求用户重新输入口令以再次激活终端 | Oracle 数据库配置文件 | ||
| 8.5.16: | 验证所有对包含持卡人数据的数据库的访问。这包含由应用程序、管理员和所有其他用户进行的访问。 | Oracle 数据库验证 Oracle Advanced Security Kerberos、PKI 和 RADIUS 支持 | ||
| 9. | 限制对持卡人数据的物理访问 | |||
| 定期监视和测试网络 | ||||
| 10. | 跟踪和监视对网络资源和持卡人数据的所有访问 | |||
| 日志机制和追踪用户活动的能力非常关键。在所有环境中保留日志允许在出错时进行彻底的追踪和分析。如果没有系统活动日志，确定损害原因会非常难。 | ||||
| 10.1: | 建立一个流程，将对系统组件的所有访问（尤其是具有管理权限如根用户的访问）与每个个体用户链接到一起。 | （客户内部策略）；在数据库中建立单独的 DBA 帐户。可选的方法是，使用代理验证限制具有 DBA 权限的帐户数量，但仍要进行审计。 Oracle Database Vault 职责分离可对数据库管理进行更为严格的控制。 Oracle Audit Vault 审计数据整合可用于提供企业报表和警告。 Oracle 身份管理可提供企业用户供应。 | ||
| 10.2: | 为所有系统组件实施自动化审计线索以重建下列事件： | （参见下面的回复） | ||
| 10.2.1: | 所有个人用户都可访问持卡人数据 | Oracle 数据库审计；针对持卡人数据的 Oracle 数据库细粒度审计 (FGA)；Oracle Audit Vault 报表和警告 | ||
| 10.2.2: | 具有根权限或管理权限的任意个人执行的全部操作 | 在数据库中建立单独的 DBA 帐户。可选的方法是，使用代理验证限制具有 DBA 权限的帐户数量，但仍要进行审计。 Oracle Database Vault 领域和职责分离可对数据库管理进行更为严格的控制。 Oracle Database Vault 领域报表。 Oracle Audit Vault 审计数据整合可用于提供企业报表和警告。 Oracle 身份管理可提供企业用户供应。 | ||
| 10.2.3: | 对所有审计线索的访问 | OS 审计线索需在 OS 一级进行保护；对 Oracle（数据库或 Oracle Audit Vault）中生成和存储的审计线索的访问受到 Oracle Database Vault 和 Oracle Advanced Security 的保护（在传输和存储时进行加密） | ||
| 10.2.4: | 无效的逻辑访问尝试 | Oracle Audit Vault 受到 Oracle Database Vault 的保护。 | ||
| 10.2.5: | 识别和验证机制的应用 | Oracle 数据库验证 Oracle Advanced Security Kerberos、PKI、RADIUS 验证。 Oracle 身份管理访问管理套件 | ||
| 10.2.7: | 系统级对象的创建和删除 | Oracle 数据库审计 | ||
| 10.3: | 针对每个事件，要为所有系统组件至少记录如下审计线索： | |||
| 10.3.1: | 用户识别 | Oracle 数据库审计 Oracle Audit Vault 审计数据整合、报告、警示和保护 Oracle 客户端标识符用于在单一连接上进行身份传播。 | ||
| 10.3.2: | 事件类型 | |||
| 10.3.3: | 日期和时间 | |||
| 10.3.4: | 成功或失败指示 | |||
| 10.3.5: | 事件的发源 | |||
| 10.3.6: | 受影响数据、系统组件或资源的身份或名称 | |||
| 10.5: | 确保审计线索的安全，以避免被他人更改。 | Oracle Audit Vault 审计数据整合可保护传输中和已存储的审计数据。 | ||
| 10.5.1: | 限制为仅具有相关工作需要的人员才能查看审计线索 | Oracle Audit Vault 职责分离限制了对审计数据的访问。 | ||
| 10.5.2: | 防止审计线索文件受到未经授权的修改 | Oracle Audit Vault 职责分离可防范管理员 (DBA) 对审计数据的访问和修改 | ||
| 10.5.3: | 及时把审计线索文件备份到较难改变的中心日志服务器或介质上 | Oracle Audit Vault 审计数据整合提供可伸缩和安全的审计仓库 | ||
| 10.5.4: | 将无线网络的日志复制到内部 LAN 的日志服务器上。 | Audit Vault（未来版本）将为客户提供开发自定义审计收集器的能力（即，网络日志、OS 日志等） | ||
| 10.5.5: | 对日志应用文件完整性监测和更改检测软件，确保现有日志不会在未生成警报的情况下发生改动（不过在添加新数据时不应导致警报）。 | Oracle Audit Vault 审计数据整合可通过 SHA-1 和 MD5 数据完整性保护传输中的审计数据。 Oracle Audit Vault 职责分离可防范管理员 (DBA) 对审计数据的访问和修改。 | ||
| 10.6: | 每天至少要查看一次所有系统组件的日志。日志检查必须涉及那些执行安全功能的服务器，如入侵检测系统 (IDS) 和验证、授权和审计 (AAA) 服务器（如 RADIUS）。 注：可使用日志采集、分析和报警工具来满足要求 10.6。 |
Oracle Audit Vault 提供即需即用的报表、可定制的警报和警报仪表盘来监测审计数据。 自定义报表可通过 Oracle Application Express、Oracle BI Publisher 和第三方工具生成。Oracle Audit Vault 仓库模式已发布。 | ||
| 10.7: | 审计线索历史记录至少保留一年，在线提供至少三个月。 | Oracle Audit Vault 提供了一个可伸缩的安全审计仓库，以存储大量（TB 级）的审计数据。 | ||
| 11. | 定期测试安全系统和流程 | |||
| 维护信息安全策略 | ||||
| 12. | 维护可满足员工与合同方信息安全性的策略 | |||
| 附录 A：托管提供商的 PCI DSS 适用性 | ||||
| 解答： | 托管提供商保护持卡人数据环境 | |||
| 如要求 12.8 中提到的那样，所有有权访问持卡人数据的服务提供商（包括托管提供商）必须遵循 PCI DSS。此外，要求 2.4 指出托管提供商必须保护每个实体的寄宿环境和数据。因此，托管提供商必须对以下各方面进行专门考虑： | ||||
| A.1： | 按照 A.1.1 到 A.1.4 的要求，保护每个实体（商户、服务提供商或其他实体）的寄宿环境和数据： | |||
| A.1.1： | 确保每个实体只有权访问自己的持卡人数据环境。 | Oracle Database Vault 领域限制高权限用户/DBA 访问应用程序/持卡人数据。 Oracle Database Vault 因素和命令规则支持对应用程序、数据和数据库的访问进行严格控制。 Oracle Database Vault 的职责分离功能可防范 Oracle 数据库内的未授权管理行为。 Oracle Label Security 标签因素可提供额外的安全属性以确定谁有访问需要。 Oracle 虚拟专用数据库可根据访问需要提供彻底的屏蔽。 Oracle 数据库对象权限和数据库角色可提供基本的安全性。 Oracle 身份管理可将企业用户供应提供给计算资源。 | ||
| A.1.2： | 将各个实体的访问和权限仅限于它们自己的持卡人数据环境。 | Oracle Database Vault 领域限制高权限用户/DBA 访问应用程序/持卡人数据。 Oracle Database Vault 因素和命令规则支持对应用程序、数据和数据库的访问进行严格控制。 Oracle Database Vault 的职责分离功能可防范 Oracle 数据库内的未授权管理行为。 Oracle Label Security 标签因素可提供额外的安全属性以确定谁有访问需要。 Oracle 虚拟专用数据库可根据访问需要提供彻底的屏蔽。 Oracle 数据库对象权限和数据库角色可提供基本的安全性。 Oracle 身份管理可将企业用户供应提供给计算资源。 | ||
| A.1.3： | 确保启用日志和审计线索，并且它们对每个实体的持卡人数据环境都是唯一的，同时符合 PCI DSS 要求 10。 | Oracle Audit Vault 策略可轻松地部署到企业数据库，从而实现对持卡人数据访问的一致审计。 | ||
| A.1.4： | 在寄宿商户或服务提供商遭受损失时，启动相关流程进行及时的取证调查。 | Oracle Audit Vault 提供即需即用的报表、可定制的警报和警报仪表盘来监测审计数据。 自定义报表可通过 Oracle Application Express、Oracle BI Publisher 和第三方工具生成。Oracle Audit Vault 仓库模式已发布。 | ||
| 托管提供商必须履行这些要求以及 PCI DSS 的其他相关内容。 注：尽管某个托管提供商可以满足这些要求，但使用该托管提供商的实体的合规性却不一定能保证。每个实体都 必须符合 PCI DSS 的要求，并验证合规性是否适用。 | ||||
| 附录 B：补偿性控制措施 | ||||
| B： | 要求 3.4 的补偿性控制措施 | |||
| 对于因技术局限或业务限制而不能使持卡人数据保持不可读状态（如通过加密）的公司，可考虑采用补偿性控制措施。只有那些进行了风险分析并具有合法技术局限或有案可查的业务局限的公司，才可以考虑采用补偿性控制措施来实现合规性。 如果考虑采用补偿性控制措施使持卡人数据不可读，必须充分理解因持卡人数据依然可读所带来的风险。一般来说，控制措施必须提供额外的保护以减轻因持卡人数据依然可读所带来的额外风险。考虑采用的控制措施必须是 PCI DSS 之外的措施，同时必须符合 PCI DSS Glossary 中的“补偿性控制措施”定义。补偿性控制措施可以由一台设备，或者由设备、应用程序和满足下列全部条件的控制措施构成： | ||||
| B.2： | 能够根据下列条件对持卡人数据或数据库的访问进行限制：
|
Oracle Database Vault 领域限制高权限用户/DBA 访问应用程序/持卡人数据。 Oracle Database Vault 因素（IP 地址、子网、程序名）和命令规则支持对应用程序、数据和数据库的访问进行严格控制。 Oracle Database Vault 的职责分离功能可防范 Oracle 数据库内的未授权管理行为。 Oracle Label Security 标签因素可提供额外的安全属性以确定谁有访问需要。 Oracle 虚拟专用数据库可根据访问需要提供彻底的屏蔽。 Oracle 数据库对象权限和数据库角色可提供基本的安全性。 Oracle 身份管理可将企业用户供应提供给计算资源。 | ||
| B.3： | 限制对数据库的逻辑访问
|
Oracle Database Vault 领域限制高权限用户/DBA 访问应用程序/持卡人数据。 Oracle Database Vault 因素和命令规则支持对应用程序、数据和数据库的访问进行严格控制。 Oracle Database Vault 的职责分离功能可防范 Oracle 数据库内的未授权管理行为。 Oracle Label Security 标签因素可提供额外的安全属性以确定谁有访问需要。 Oracle 虚拟专用数据库可根据访问需要提供彻底的屏蔽。 Oracle 数据库对象权限和数据库角色可提供基本的安全性。 | ||
| B0.4： | 防范/检测常见应用程序或数据库攻击（如 SQL 注入攻击）。 | Oracle Database Vault 领域限制高权限用户/DBA 访问应用程序/持卡人数据。 Oracle Database Vault 因素和命令规则支持对应用程序、数据和数据库的访问进行严格控制。 Oracle Database Vault 的职责分离功能可防范 Oracle 数据库内的未授权管理行为。 Oracle Label Security 标签因素可提供额外的安全属性以确定谁有访问需要。 | ||
如果您非常迫切的想了解IT领域最新产品与技术信息，那么订阅至顶网技术邮件将是您的最佳途径之一。
京公网安备 11010802021500号