使用 Endpoint Central 轻松满足 PCI DSS 标准

Endpoint Central 利用其威胁评估能力，识别网络中脆弱的入口点（端口、易受攻击的软件等）并进行修复。

参考： 
设备控制用于端口审计 (#)
软件审计 (#)

限制来自 CDE（持卡人数据环境）的出站流量如下：

• 只允许必要的流量。
• 明确拒绝所有其他流量。

Endpoint Central 的先进数据丢失防护技术，配合有效的电子邮件和云上传保护解决方案，限制关键企业数据仅共享至受信任域，无论是通过电子邮件还是云上传。

参考： 
邮件安全 (#)
云保护 (#)

Endpoint Central 的网络中立架构允许管理员管理和保护即便与互联网隔离的 CDE 系统。

参考：
Endpoint Central 的 DMZ 架构
 

针对连接至不受信任网络（包括互联网）和 CDE 的计算设备（包括公司和员工所有设备）实施安全控制如下：

• 定义特定配置设置以防止威胁进入实体网络。
• 安全控制处于活动运行状态。
• 除非经管理层逐案授权且有限时，用户不得更改安全控制。

制定、实施和维护配置标准，以：

• 涵盖所有系统组件。
• 解决所有已知安全漏洞。
• 与行业接受的系统加固标准或供应商加固建议保持一致。
• 根据需求 6.3.1，在识别新漏洞后进行更新。
• 在新系统配置时应用，并在生产环境中连接系统组件之前或之后立即确认生效。

供应商默认账户管理如下：

• 若使用供应商默认账户，需根据要求 8.3.6 更改默认密码。
• 若不使用供应商默认账户，则移除或禁用该账户。

使用 Endpoint Central，可以对终端应用严格密码策略，并删除未使用账户。

参考：

密码策略
用户管理
用户账户状态报告

可通过 Endpoint Central 应用相应配置，修改注册表设置、账户、文件、目录权限以及功能、端口、协议和远程连接的安全参数。

参考： 
配置注册表设置

PAN（主账号）在存储的任何地方均通过以下任一方法进行不可读化处理：

• 基于强加密的单向哈希整个 PAN。
• 截断（哈希不能替代截断的 PAN 段）。- 如果环境中存在相同 PAN 的哈希和截断版本，或不同的截断格式，则采取附加控制，避免不同版本的关联重构出原始 PAN。
• 索引令牌。
• 具备相关密钥管理流程和程序的强加密。

如果使用磁盘级或分区级加密（而非文件、列或字段级数据库加密）使 PAN 不可读，则仅在以下情况下实施：

• 在可移除电子媒介上

或

• 如果用于不可移除电子媒介，则通过另一满足需求 3.5.1 的机制使 PAN 不可读。

若使用磁盘级或分区级加密（非文件、列或字段级数据库加密）使 PAN 不可读，则管理如下：

• 逻辑访问独立管理，区别于操作系统本地认证和访问控制机制。
• 解密密钥不与用户账户相关联。
• 允许访问未加密数据的身份验证因素（密码、短语或加密密钥）被安全存储。

已定义并实施保护用于保护存储账户数据的加密密钥免受泄露和滥用的程序，包括：
include:

• 访问密钥的权限限制在必要的最少数量的管理人员范围内。
• 密钥加密密钥至少与其保护的数据加密密钥一样强。
• 密钥加密密钥与数据加密密钥分开存储。
• 密钥以尽可能少的位置和形式安全存储。

部署的反恶意软件解决方案：

• 检测所有已知类型的恶意软件。
• 移除、阻止或隔离所有已知类型的恶意软件。

Endpoint Central 内置的下一代防病毒引擎通过 AI 辅助的实时行为检测和深度学习技术，主动检测网络威胁。

除实时威胁检测外，Endpoint Central 还积极执行事件取证，以便安全运营人员分析威胁的根本原因和严重程度。

如果下一代防病毒引擎在端点检测到可疑行为，可以隔离这些端点，经过彻底的取证分析后再部署回生产环境。

Endpoint Central 还利用微软的卷影复制服务，每三小时提供网络中文件的即时、不可擦除备份。

如果文件被勒索软件感染，可以通过最近的备份副本恢复该文件。

反恶意软件解决方案：

• 执行定期扫描和主动或实时扫描。

或

• 持续对系统或进程进行行为分析。

只要任何外部设备试图通过插入或蓝牙连接端点，即会触发自动扫描过程，并根据创建的策略执行审计扫描。除此之外，我们的下一代防病毒也会主动启动扫描检测恶意软件。

参考： 
设备扫描和审计 (#)

安全漏洞的识别与管理如下：

• 通过行业认可的安全漏洞信息来源，包括国际和国家计算机应急响应团队（CERT）发布的警报，识别新的安全漏洞。
• 根据行业最佳实践和潜在影响，漏洞被分配风险等级。
• 风险等级至少确定所有被视为对环境高风险或关键的漏洞。
• 定制和第三方软件（例如操作系统和数据库）的漏洞都包含在内。

Endpoint Central 识别网络中的安全漏洞，并按优先级列出需解决的漏洞。可以从产品控制台触发修复。

参考： 
漏洞管理 (#)

通过安装适用的安全补丁/更新保护所有系统组件免受已知漏洞影响，具体如下：

• 针对关键漏洞（根据需求 6.3.1 风险评估进程确定的）发布后一个月内安装补丁/更新。

• 其他适用的安全补丁/更新根据实体评估的环境风险关键性，在适当时间内安装。

利用漏洞评估和修复能力，Endpoint Central 确保网络内所有系统完全覆盖关键威胁。

自动补丁部署（APD）功能允许系统管理员自动更新所有或部分缺失补丁，无需人工干预。

参考： 
补丁部署过程

应用控制模块中的最小权限原则（PoLP）功能支持将广泛权限降低到仅足以执行职能的最低程度。该功能不仅限于用户，也适用于系统、应用和服务。

参考： 
权限管理 (#)

Endpoint Central 使 IT 管理员能够查找并删除非活跃用户账户。

参考： 
用户管理
活动目录用户报告

Endpoint Central 配合其电源管理配置，可设置终端执行屏幕变暗或关闭、恢复时提示输入密码等操作。

参考：
电源管理

所有用户和管理员对系统组件的访问均通过以下至少一种认证因素进行认证：

• 你知道的东西，如密码或口令。
• 你拥有的东西，如令牌设备或智能卡。
• 你是的东西，如生物识别元素。

Endpoint Central 可以帮助创建和配置强密码，保护设备安全，防止入侵者访问组织端点。

参考：
密码策略 
移动设备管理（MDM）配置文件的密码设置

限制无效认证尝试：

• 用户 ID 不超过 10 次尝试后锁定。
• 锁定时间至少为 30 分钟，或直至用户身份确认。

Endpoint Central 的移动设备管理功能可维护多个密码历史记录，允许 IT 管理员指定需保存的历史密码数，防止用户重复使用。

参考： 
MDM 密码

如果密码/口令作为唯一认证因素使用（即单因素认证），则：

• 密码/口令至少每 90 天更改一次，

或

• 动态分析账户安全状态，并根据分析结果自动确定实时资源访问权限。

Endpoint Central 的 MDM 功能可配置密码策略，允许设定密码长度、最大密码年龄等特征。还可生成密码即将过期用户的自定义报告。

参考： 
MDM 密码

当数据被识别并归类为包含 PCI 相关敏感信息时，Endpoint Central 通过数据防泄漏技术限制关键企业数据通过可移动存储介质泄露、打印或使用剪贴板复制。

参考： 
设备控制 （#）
内部威胁 (#)

通过 Endpoint Central 简化且高效的数据规则，更有效、精确地识别包含银行代码、ABA 路由号码、国际银行账号（IBAN）和信用卡号码的企业关键数据。

参考： 
数据发现 （#）
数据分类 (#)

内部漏洞扫描执行如下：

• 至少每三个月一次。
• 解决所有高风险或关键漏洞（根据需求 6.3.1 所定义的风险级别）。
• 重新扫描确认所有高风险和关键漏洞已被解决。
• 扫描工具保持最新漏洞信息更新。
• 由具备资质的人员执行扫描，且测试人员具有组织独立性。

Endpoint Central 识别网络中的安全漏洞，并按优先级列出需解决的漏洞。可以从产品控制台触发修复。

参考：

漏洞管理（#）

终端用户技术的可接受使用政策被记录和实施，包括：

• 经授权方的明确批准。
• 技术的可接受使用范围。
• 公司批准供员工使用的硬件和软件产品清单。

Endpoint Central 可以启用 使用条款 文档部署到员工设备，只有获得员工同意后，Endpoint Central 才开始管理设备，有效获取用户设备管理同意。

管理员还可以通过其 内容目录.

 

发布组织的可接受 IT 使用政策。

• 使用的硬件和软件技术每 12 个月至少审查一次，包括以下内容：
• 供应商是否及时提供安全修复。
• 技术支持实体的 PCI DSS 合规性（且不妨碍合规）。
• 任何供应商宣布技术“生命终止”计划的行业公告或趋势。

经高级管理层批准的旧技术修复计划，包括供应商声明的“生命终止”技术。

参考： 
Endpoint Central 持续监控实体网络中软件的生命周期终止，并在必要时应用安全补丁。 (#)

维护并保持最新的 PCI DSS 范围内系统组件清单，包括功能/用途描述。

参考： 
Endpoint Central 管理 IT 资产清单，并映射至对应 IT 组件。结合其先进数据防泄漏技术，保护敏感数据免受日益增长的威胁。 (#)
扫描、管理和保护数据