SchildmarkPCI DSS v4.0.1
PCI DSS 4.0.1: Logs, Patches und Angriffserkennung, die Ihr Assessor prüfen kann
Die automatisierte Log-Prüfung ist jetzt Pflicht, kritische Patches haben eine Monatsfrist, und Logs müssen ein Jahr zurückreichen. Schildmark wertet die Logs der Systeme in Ihrer Karteninhaberdaten-Umgebung aus, patcht sie mit Nachweis und exportiert die Aufzeichnungen für den Bewertungszeitraum.
Was PCI DSS technisch verlangt
PCI DSS 4.0.1 ist die geprüfte Version, seit 4.0 Ende 2024 zurückgezogen wurde, und die bis 31. März 2025 als Best Practice geltenden Anforderungen zählen jetzt. Diese hier berührt eine Plattform für Erkennung und Patching.
- 5 Schutz vor Schadsoftware
- Alle Systeme und Netze vor Schadsoftware schützen; die Mechanismen aktuell halten und protokollieren lassen.
- 6.3.1 und 6.3.3 Schwachstellen
- Schwachstellen aus Branchenquellen ermitteln und nach Risiko einstufen; Patches für kritische innerhalb eines Monats nach Veröffentlichung installieren.
- 10.2 Audit-Logs
- Audit-Logs, die Ereignisse wie Administratoraktionen und ungültige Zugriffsversuche erfassen und Erkennung und forensische Analyse ermöglichen.
- 10.4.1.1 Automatisierte Log-Prüfung
- Audit-Logs werden mit automatisierten Mechanismen geprüft. Pflicht seit 31. März 2025.
- 10.5.1 Aufbewahrung
- Mindestens 12 Monate Audit-Log-Historie, die letzten drei Monate sofort verfügbar.
- 10.7 Ausfälle von Kontrollen
- Ausfälle kritischer Sicherheitskontrollen wie Angriffserkennung, Änderungserkennung, Malware-Schutz und Audit-Logging werden zeitnah erkannt, gemeldet und behoben.
- 11.5.1 und 11.5.2 Erkennung
- Angriffserkennung oder -verhinderung für den Netzwerkverkehr und ein Mechanismus zur Änderungserkennung, etwa Dateiintegritätsüberwachung, der bei unbefugten Änderungen kritischer Dateien alarmiert.
- 12.10 Reaktion auf Vorfälle
- Auf vermutete und bestätigte Vorfälle sofort reagieren, nach Ihrem Incident-Response-Plan.
Anforderung, Umsetzung, Nachweis
Erkennungsregeln ordnen ihre Alarme PCI-DSS-Anforderungen zu, und die Compliance-Seite zählt sie je Anforderung.
| Anforderung | Was Schildmark tut | Nachweis, der entsteht |
|---|---|---|
| 5 | Kein Virenschutzprodukt. Alarme von Microsoft Defender for Endpoint und Sophos Central landen in derselben Liste wie alles andere. | Alarme mit Rechner und Zeit. |
| 6.3.1, 6.3.3 | Verwundbare Pakete, alle 30 Minuten mit Hersteller- und NVD-Daten abgeglichen, aktiv ausgenutzte zuerst. Fixes geprobt, freigegeben, in genau der Version im Wartungsfenster installiert und erst erledigt, wenn nachweislich behoben. | vulnerabilities_fixed.csv mit Nachweis; patch_activity.csv mit Daten von Freigabe und Ausführung, abzugleichen mit den Veröffentlichungsdaten. |
| 10.2, 10.4.1.1 | Logs von Rechnern, Firewalls, Microsoft 365, AWS und Google Cloud werden beim Eintreffen von Erkennungsregeln ausgewertet, das ist die automatisierte Prüfung; Alarme tragen Regel und dekodierte Logzeile. | controls.csv je Anforderung; audit_trail.csv für Aktivitäten in der Konsole. |
| 10.5.1 | Alarme und Netzwerkereignisse bleiben 7 bis 3.650 Tage; unter 365 warnt die Seite, dass PCI DSS 365 verlangt. | Eine Unterschreitung steht in README.txt. |
| 10.7 | Die Agenten-Seite zeigt Zustand und letzte Meldung jedes Rechners, und Gesperrte IPs zeigt, wenn eine Sperre nicht überall greift. | Konsolenansichten; der Reaktionsprozess liegt bei Ihnen. |
| 11.5.1, 11.5.2 | Ein Netzwerksensor löst Alarme der Angriffserkennung aus; der Überwachungsagent auf jedem Rechner meldet Änderungen der Dateiintegrität. | Netzwerk- und Dateiintegritätsalarme des Zeitraums. |
| 12.10 | Die Quelle auf Ihrer Firewall sperren, aus dem Alarm, einer Regel oder dem Analysten; eine Begründung ist Pflicht, geschützte Adressen werden nie gesperrt. | audit_trail.csv mit jeder Reaktion. |
Zwei Punkte zur Abstimmung mit Ihrem Assessor: Schildmark hält Alarme und Netzwerkereignisse vor; klären Sie, ob das 10.5.1 für alle Ereignisarten aus 10.2 erfüllt oder ein separates Log-Archiv nötig ist. Und bestätigen Sie, dass die überwachten Dateien die sind, die Ihre Bewertung als kritisch einstuft. Mehr zu Erkennung, geprüftem Patching, Compliance-Seite und Nachweispaket, und in der Dokumentation: Compliance, Patching.
Was Schildmark nicht abdeckt
PCI DSS hat zwölf Anforderungen; der größte Teil liegt außerhalb dessen, was eine Erkennungsplattform leistet.
- Geltungsbereich und Netzwerk
- Abgrenzung und Segmentierung der Karteninhaberdaten-Umgebung und Ihre Firewall-Regeln. Schildmark ergänzt und entfernt nur eigene Sperreinträge.
- Kontodaten
- Schutz gespeicherter Kontodaten und Verschlüsselung bei der Übertragung (3 und 4).
- Entwicklung und Zugriff
- Sichere Softwareentwicklung, Zugriffskontrolle und Multi-Faktor-Authentifizierung für Ihre Systeme (6.2, 7 und 8) und physische Sicherheit (9).
- Tests
- Interne und ASV-Schwachstellenscans und Penetrationstests (11.3, 11.4).
- Richtlinien und Bewertung
- Richtlinien, gezielte Risikoanalysen, Schulungen, Dienstleistersteuerung, der Incident-Response-Plan selbst und die Bewertung durch QSA oder SAQ.
Wie eine Einführung abläuft
Meist Tage, nicht Monate. Auf Ihren Firewalls wird nichts installiert.
Betrieb wählen
Von uns betrieben oder auf einem oder zwei eigenen Linux-Servern. In jedem Fall mit eigener Installation.
Rechner anbinden
Ein Befehl pro Rechner unter Windows, macOS und Linux, oder ein MSI für Intune, Configuration Manager oder Gruppenrichtlinien.
--patchingfügt Patching hinzu.Quellen anbinden
Firewall-Logs, Microsoft 365, AWS und Google Cloud sowie die Firewalls, auf denen gesperrt wird, eingerichtet in der Konsole.
PCI DSS wählen, 365 Tage
PCI DSS auf der Compliance-Seite einschalten, die Aufbewahrung auf mindestens 365 Tage setzen und das Nachweispaket für den Bewertungszeitraum exportieren.
Häufige Fragen
Was verlangt PCI DSS 10.4.1.1?
Dass Audit-Logs mit automatisierten Mechanismen geprüft werden, statt dass Menschen Logs lesen. Bis 31. März 2025 war das eine Best Practice, seitdem ist es Pflicht. Erkennungsregeln, die die Logs jedes Systems im Geltungsbereich auswerten und Alarme auslösen, sind ein solcher Mechanismus.
Seit wann sind die neuen Anforderungen von PCI DSS 4 verpflichtend?
Seit dem 31. März 2025; bis dahin waren sie Best Practice. Dazu gehören die automatisierte Log-Prüfung (10.4.1.1) und das Erkennen von Ausfällen kritischer Sicherheitskontrollen für alle Unternehmen (10.7.2). PCI DSS 4.0 wurde Ende 2024 zurückgezogen; geprüft wird nach Version 4.0.1.
Wie schnell müssen kritische Patches nach PCI DSS installiert werden?
Patches für kritische Schwachstellen, eingestuft nach Ihrem Verfahren gemäß 6.3.1, innerhalb eines Monats nach Veröffentlichung (6.3.3). Andere Patches innerhalb einer Frist, die Ihre eigene Bewertung festlegt.
Wie lange müssen Logs nach PCI DSS aufbewahrt werden?
Mindestens 12 Monate, die letzten drei Monate sofort für die Analyse verfügbar (10.5.1). Schildmark warnt unter Nennung von 10.5.1, wenn die eingestellte Aufbewahrung kürzer ist.
Ersetzt Schildmark den Virenschutz nach Anforderung 5?
Nein. Schildmark ist kein Virenschutzprodukt. Ihren Malware-Schutz betreiben Sie weiter; Schildmark holt die Alarme von Microsoft Defender for Endpoint oder Sophos Central in dieselbe Liste wie alles andere, damit sie geprüft und bearbeitet werden.
Assessment im Kalender?
Nennen Sie uns die Systeme in Ihrer Karteninhaberdaten-Umgebung und die Firewalls davor. Wir zeigen Ihnen, was Schildmark abdeckt, bevor Ihr Assessor fragt. Preis pro geschütztem Rechner.