• 安装并维护网络安全控制。
• 对所有系统组件应用安全配置。

• 保护存储的账户数据。
• 在开放的公共网络上传输时，使用强加密保护持卡人数据。

• 保护所有系统和网络免受恶意软件侵害。
• 开发和维护安全系统与软件。

• 按业务需知原则限制对系统组件和持卡人数据的访问。
• 识别用户并认证对系统组件的访问。
• 限制对持卡人数据的物理访问。

• 记录并监控所有对系统组件和持卡人数据的访问。
• 定期测试系统和网络的安全性。

• 通过组织政策和计划支持信息安全。

Endpoint Central 通过其威胁评估功能，识别网络中的脆弱入口（端口、易受攻击软件等），并应用修复措施。

参见： 
端口审计的设备控制 (#)
软件审计 (#)

限制来自 CDE 的出站流量，具体如下：

• 仅允许必要的流量。
• 明确拒绝所有其他流量。

Endpoint Central 的高级数据丢失防护技术，结合其有效的邮件和云上传保护方案，仅允许关键企业数据通过邮件或云上传共享到受信任域。

参见： 
邮件安全 (#)
云保护 (#)

Endpoint Central 的网络中立架构允许管理员管理和保护即使与互联网隔离的 CDE 系统。

参见：
Endpoint Central 的 DMZ 架构
 

在连接到非受信任网络（包括互联网）和 CDE 的任何计算设备上实施安全控制，包括公司和员工自有设备：

• 定义特定配置以防止威胁进入实体网络。
• 安全控制处于活动状态。
• 除非有管理层具体记录和授权，安全控制不得被设备用户更改，且仅限有限时间且逐案授权。

制定、执行并维护配置标准以：

• 覆盖所有系统组件。
• 解决所有已知安全漏洞。
• 与行业通行的系统加固标准或供应商加固建议保持一致。
• 按要求 6.3.1，在识别到新漏洞时更新。
• 在配置新系统时应用，并在系统组件连接至生产环境前或后立即验证。

供应商默认账户管理如下：

• 若使用供应商默认账户，默认密码根据要求 8.3.6 更改。
• 若不使用供应商默认账户，则移除或禁用该账户。

利用 Endpoint Central，可对终端用户机器应用严格密码策略，移除未使用账户。

参见：

密码策略
用户管理
用户账户状态报告

通过应用 Endpoint Central 对应配置，可修改注册表设置、账户、文件、目录权限及功能、端口、协议和远程连接的安全参数。

参见： 
配置注册表设置

若下一代防病毒引擎检测到端点存在可疑行为，可隔离该端点，并在彻底取证分析后允许其重新投入生产。 

Endpoint Central 还通过利用微软的卷影复制服务，每三小时提供网络中文件的即时且不可删除备份。

如果文件受勒索软件感染，可使用最新备份文件进行恢复。

反恶意软件解决方案通过自动更新保持最新状态。

Endpoint Central 配置为执行自动更新。

每当任何外设设备尝试连接到端点时，无论是通过插入还是蓝牙，都会触发自动扫描过程，并根据创建的策略执行审核扫描。这是除了我们的 NGAV 启动扫描以检测任何恶意软件存在之外的功能。

参见： 
设备扫描和审核 (#)

安全漏洞的识别和管理如下：
 

• 利用行业认可的安全漏洞信息来源识别新安全漏洞，包括来自国际和国家计算机应急响应团队（CERT）的警报。
• 根据行业最佳实践和潜在影响，将漏洞分配风险等级。
• 风险等级至少涵盖所有被视为高风险或对环境至关重要的漏洞。
• 涵盖定制、第三方软件（例如操作系统和数据库）的漏洞。

Endpoint Central 识别网络中的安全漏洞，并根据应优先处理的顺序列出漏洞。可根据产品控制台触发修复措施。

参见： 
漏洞管理 (#)

通过安装相关安全补丁/更新保护所有系统组件免受已知漏洞影响，如下所示：

• 对关键漏洞（根据要求 6.3.1 的风险排名过程识别）发布后一月内安装补丁/更新。

• 其他相关安全补丁/更新根据实体对环境风险严重性的评估，在适当的时间内安装（风险严重程度参照要求 6.3.1 的风险排名过程）。

利用漏洞评估和修复功能，Endpoint Central 确保网络中所有系统均对关键威胁完全防护。

自动补丁部署（APD）功能使系统管理员可以在无人干预的情况下，自动更新所有缺失补丁。

参见： 
补丁部署流程

应用控制模块中的最小权限原则（PoLP）功能支持将广泛的权限降至仅执行功能所需的最低限度。该功能不仅限于用户，系统、应用程序和服务同样受益。

参见： 
权限管理 (#)

Endpoint Central 使 IT 管理员能够查找并删除非活跃用户账户。

参见： 
用户管理
活动目录用户报告

Endpoint Central 通过其电源管理配置，能设定终端用户设备执行诸如调暗或关闭显示、计算机从睡眠状态恢复时提示输入密码等活动。

参见：
电源管理

用户和管理员对系统组件的访问通过以下至少一种身份验证因素认证：

• 用户知道的内容，例如密码或口令。
• 用户拥有的物品，例如令牌设备或智能卡。
• 用户的生物特征，例如生物识别元素。

Endpoint Central 能辅助创建和配置强密码，保护设备安全，防止未经授权访问组织端点。

参见：
密码策略 
MDM 密码配置文件

限制无效认证尝试：

• 用户 ID 在尝试次数不超过 10 次后被锁定。
• 锁定时长设置至少为 30 分钟或直至确认用户身份。

Endpoint Central 的移动设备管理功能支持维护多个密码历史记录，管理员可设定历史密码数量，防止用户重新使用旧密码。

参见： 
MDM 密码

Endpoint Central 的 MDM 功能可配置密码策略，如密码长度、最大密码期限等，并能生成即将过期密码用户的自定义报告。

参见： 
MDM 密码

一旦数据被识别并分类为包含 PCI 相关信息的敏感数据，Endpoint Central 利用数据丢失防护技术，限制关键企业数据通过可移动存储媒介暴露、泄漏、打印甚至通过剪贴板方式复制。

参见： 
设备控制 （#） 
内部威胁 (#)

借助 Endpoint Central 简化而有效的数据规则，识别包含银行代码、ABA 路由号码、IBAN（国际银行账号）和信用卡号的企业关键数据更为准确和高效。

参见： 
数据发现 （#） 
数据分类 (#)

内部漏洞扫描执行如下：

• 至少每三个月一次。
• 解决高风险或关键漏洞（根据实体定义的漏洞风险等级，见要求 6.3.1）。
• 进行复扫以确认所有高风险和关键漏洞（如上所述）均已解决。
• 扫描工具保持最新漏洞信息。
• 扫描由合格人员执行，并确保测试者组织独立性。

Endpoint Central 识别网络中的安全漏洞，并根据应优先处理的顺序列出漏洞。可根据产品控制台触发修复措施。

参见：

漏洞管理 （#）

Endpoint Central 可启用 使用条款 文档部署到员工设备上，仅在员工同意后才开始管理设备，实际获得用户对设备管理的授权。

管理员还可通过其 内容目录.

 

分发组织的可接受 IT 使用政策。

• 使用中的硬件和软件技术至少每 12 个月审查一次，内容包括：
• 分析技术是否持续获得厂商及时安全修复。
• 分析技术是否支持（且不阻碍）实体遵循 PCI DSS 合规性。
• 记录与技术相关的任何行业公告或趋势，例如厂商宣布的“终止支持”计划。

记录获得高级管理层批准的过时技术修复计划，包括厂商宣布“终止支持”计划的技术。

参见： 
Endpoint Central 持续监控实体网络中的软件寿命终止（EOL）情况，并在必要时应用安全修复。 (#)

维护并更新针对 PCI DSS 范围内的系统组件清单，包括功能/用途描述。

参见： 
Endpoint Central 维护 IT 资产清单及其对应 IT 组件的详细信息，结合其先进的数据防泄漏技术，保护敏感数据免受日益增长的威胁。 (#)
扫描、管理和保护数据