כרגע מוצג התיעוד של Apigee Edge.
כניסה למסמכי התיעוד של
Apigee X. מידע
כדי שלקוח יעמוד בתאימות ל-PCI ב-Apigee Edge Public Cloud, יש כמה פעולות ותהליכים שבבעלות הלקוח במסגרת 'מודל האחריות המשותפת'. הפריטים הבאים צריכים להיבדק על ידי לקוחות שרכשו את חבילת התאימות ל-PCI והם נדרשים לעמוד בתאימות ל-PCI. הפריטים האלה מיועדים לשימוש עצמי ב-Edge ויש לטפל בהם כדי שהארגון של הלקוח (org) יפעל בהתאם ל-PCI. הקונספט המרכזי הוא "Google מאבטחת את הפלטפורמה, הלקוח מאבטח את הנתונים שלו".
מטריצת אחריות הלקוח
הלקוחות צריכים לעיין במטריצת האחריות של Google Apigee PCI-DSS 3.2.1 ולשתף את המידע עם מעריך האבטחה המוסמכת ל-PCI כאשר הם מבצעים ביקורת PCI משלהם.
מיפוי דרישות PCI
| דרישות PCI | Section |
|---|---|
| דרישה 7: הגבלת הגישה של העסק לנתונים של בעלי כרטיסים שצריך לדעת | |
| דרישה 3: הגנה על נתונים שמורים של בעלי כרטיסים | |
| דרישה 10: מעקב אחרי כל הגישה למשאבי רשת ולנתונים של בעלי כרטיסים, ומעקב אחריה | |
| דרישה 8: הקצאת מזהה ייחודי לכל אדם שיש לו גישה למחשב | |
| דרישה 11: בדיקה קבועה של מערכות ותהליכי אבטחה | |
| דרישה 4: הצפנה של העברת הנתונים של בעלי כרטיסים ברשתות פתוחות וציבוריות | |
| דרישה 3: הגנה על נתונים שמורים של בעלי כרטיסים | |
| דרישה 4: הצפנה של העברת הנתונים של בעלי כרטיסים ברשתות פתוחות וציבוריות |
כדי לקבל אישור PCI Data Security Standard Attestation of Compliance (AOC), צריך לפתוח פנייה לתמיכה של Apigee או לפנות לצוות המכירות של Apigee.
אתר / ניפוי באגים
Trace/Debug הוא כלי לפתרון בעיות שמאפשר למשתמש לראות את הסטטוס והתוכן של קריאה ל-API, בזמן שהיא מעובדת באמצעות מעבד ההודעות של Apigee. Trace ו-Debug הם שני שמות של אותו שירות, אבל הגישה אליהם מתבצעת דרך מנגנונים שונים. Trace הוא השם של השירות הזה בתוך ממשק המשתמש של Edge. ניפוי הבאגים הוא השם של אותו שירות כשמשתמשים בו בקריאות ל-API. השימוש במונח Trace במסמך הזה תקף גם עבור 'מעקב' וגם עבור 'ניפוי באגים'.
במהלך סשן מעקב, מתבצעת אכיפה של 'אנונימיזציה של נתונים'. הכלי הזה יכול לחסום הצגת נתונים במהלך מעקב. עיינו בסעיף אנונימיזציה של נתונים בהמשך.
לקוחות PCI יכולים להשתמש במפות ערך מוצפן של מפתח (KVMs). אם נעשה שימוש ב-KVM מוצפן, עדיין אפשר יהיה להשתמש ב-Trace, אבל חלק מהמשתנים לא יופיעו במסך תצוגת המעקב. יש אפשרות לבצע שלבים נוספים כדי להציג גם את המשתנים האלה במהלך נתוני המעקב.
הוראות מפורטות על השימוש ב-Trace זמינות במאמר שימוש בכלי המעקב.
פרטים על מכונות KVM, כולל מכונות KVM מוצפנות, זמינים במאמר עבודה עם מפות של ערכי מפתח.
שימוש/הרשאות
הגישה ל-Trace מנוהלת דרך מערכת RBAC (בקרת גישה מבוססת-תפקיד) לחשבונות משתמשים ב-Edge. אפשר למצוא הוראות מפורטות לגבי השימוש במערכת RBAC כדי לתת ולבטל הרשאות של מעקב בקישורים הקצאת תפקידים ויצירת תפקידים בהתאמה אישית בממשק המשתמש. הרשאות המעקב מאפשרות למשתמש להפעיל מעקב, להפסיק מעקב, ולגשת לפלט מפעילות מעקב.
ל-Trace יש גישה למטען הייעודי (payload) של קריאות ל-API (נקרא באופן רשמי 'גוף ההודעה'), לכן חשוב לבדוק למי יש גישה להפעלת מעקב. מאחר שניהול המשתמשים הוא באחריות הלקוח, גם הענקת הרשאות המעקב היא באחריות הלקוח. לאפיג'י, כבעלים של הפלטפורמה, יש אפשרות להוסיף משתמש לארגון לקוחות ולהקצות את ההרשאות. האפשרות הזו משמשת רק לבקשת לקוח לקבלת תמיכה במצב שבו נראה ששירות הלקוחות נכשל, ובדיקה של סשן מעקב אמורה לספק את המידע הטוב ביותר לשורש הבעיה.
אנונימיזציה של נתונים
אנונימיזציה של נתונים מונעת הצגה של מידע אישי רגיש רק במהלך סשן של מעקב או ניפוי באגים, גם ב-Trace (ממשק משתמש של קצה) וגם בקצה העורפי על ידי ניפוי באגים (Edge API). פרטים על אופן הגדרת התממה זמינים במאמר מיסוך והסתרה של נתונים. אנונימיזציה של מידע אישי רגיש היא חלק מדרישה 3 של PCI – הגנה על נתונים של בעלי כרטיסים מאוחסנים
אנונימיזציה של נתונים לא מונעת את הצגת הנתונים בקובצי יומן, במטמון, בניתוח נתונים וכו'. לקבלת עזרה עם אנונימיזציה של נתונים ביומנים, כדאי להוסיף תבנית של ביטוי רגולרי לקובץ Logback.xml. בדרך כלל אין לכתוב מידע אישי רגיש למטמון או לניתוח נתונים ללא הצדקה עסקית משמעותית ובדיקה על ידי צוות אבטחת הלקוח וצוות משפטי.
מטמון L1 ו-L2
שמירה במטמון זמינה ללקוחות PCI לשימוש עם נתונים לא בפיקוח בלבד. אין להשתמש במטמון לנתונים של PCI Card Holder (CHD), הוא לא מאושר על ידי בדיקת התאימות ל-Apigee PCI בתור מיקום אחסון עבור CHD. בהתאם להנחיות PCI (דרישה 3: הגנה על נתונים שמורים של בעלי כרטיסים) , יש לאחסן נתוני PCI רק במיקום שתואם ל-PCI. שימוש במטמון L1 ישתמש באופן אוטומטי גם במטמון L2. המטמון L1 הוא "זיכרון בלבד", בעוד שהמטמון של L2 כותב נתונים בדיסק כדי לסנכרן אותם בין מספר מטמוני L1. מטמון L2 הוא האמצעי ששומר על סנכרון של מספר מעבדי הודעות בתוך אזור וגלובלי. בשלב זה לא ניתן להפעיל מטמון L1 בלי מטמון L2 מאחוריו. הנתונים במטמון L2 נכתבים בדיסק, כדי שניתן יהיה לסנכרן אותם עם מעבדי הודעות אחרים בארגון הלקוח. מכיוון שמטמון L2 כותב את הנתונים בדיסק, אין תמיכה בשימוש במטמון ל-CHD או לנתונים מוגבלים אחרים.
הלקוחות יכולים להשתמש במטמון הנתונים שאינם CHD ונתונים אחרים שאינם מוגבלים. אנחנו לא משביתים את המטמון כברירת מחדל ללקוחות PCI, כי חלק מהלקוחות מריצים קריאות ל-API שקשורות ל-PCI וגם שלא קשורות ל-PCI דרך ארגון אחד. מאחר שהיכולת עדיין מופעלת ללקוחות PCI, באחריות הלקוח להשתמש בשירות באופן הולם ולהדריך את המשתמשים להימנע משימוש במטמון כאשר סביר להניח שנתוני PCI נכללים בקריאה ל-API. בדיקת התאימות ל-Apigee PCI לא תומכת ב-CHD שמאוחסן במטמון.
הוראות מפורטות על השימוש במטמון זמינות במאמר הוספה של שמירה במטמון והתמדה.
נתיב ביקורת
לקוחות יכולים לבדוק את נתיב הביקורת של כל הפעילויות הניהוליות שבוצעו בארגון של הלקוח, כולל השימוש ב-Trace. הוראות מפורטות זמינות כאן ובשימוש בכלי המעקב. (דרישה 10 PCI: מעקב אחר כל הגישה למשאבי רשת ולנתונים של בעלי כרטיסים)
דרישות סיסמה מורכבות או SAML
לקוחות עם דרישות סיסמה ספציפיות צריכים להשתמש ב-SAML כדי לעמוד בדרישות שלהם. לפרטים, קראו את המאמר הפעלה של אימות SAML עבור Edge. Edge מציע גם אימות רב-שלבי (דרישות PCI 8: הקצאת מזהה ייחודי לכל אדם שיש לו גישה למחשב). למידע נוסף, כדאי לעיין בקטע הפעלה של אימות דו-שלבי לחשבון Apigee.
אבטחה של נקודות קצה (endpoint)
סריקה של נקודות קצה
נדרשות סריקה ובדיקה של מארחים לצורך תאימות ל-PCI (דרישה 11: בדיקה קבועה של מערכות ותהליכי אבטחה). ב-Edge Cloud, הלקוחות אחראים לסריקה והבדיקה של נקודות הקצה שלהם ב-API (שנקראות לפעמים 'רכיבי זמן הריצה') ב-Edge. בדיקות של לקוחות צריכות לכלול את שירותי ה-API בפועל שמתארחים ב-Edge, שבהם תעבורת ה-API נשלחת אל Edge לפני העיבוד ואז מועברת למרכז הנתונים של הלקוחות. לקוחות פרטיים לא יכולים לבדוק משאבים משותפים, כמו ממשק המשתמש של פורטל הניהול (דוח של צד שלישי שכולל בדיקה של השירותים המשותפים זמין ללקוחות בכפוף להסכם סודיות ולפי בקשה).
כדאי ללקוחות לבדוק את נקודות הקצה של ה-API שלהם, ואנחנו מעודדים אותם לבצע אותן. ההסכם שלך עם Apigee לא אוסר על בדיקה של נקודות הקצה ל-API, אבל לא ניתן לבדוק את ממשק המשתמש לניהול משותף. אם נדרשת הבהרות נוספות, אפשר לפתוח בקשת תמיכה שכוללת התייחסות לבדיקות המתוכננות שלך. אנחנו מעריכים את ההודעה מראש ל-Apigee כדי שנוכל להיות מודעים לתנועת הבדיקה.
לקוחות שבודקים את נקודות הקצה שלהם צריכים לחפש בעיות ספציפיות ל-API, בעיות שקשורות לשירותי Apigee, וגם לבדוק את ה-TLS (אבטחת שכבת התעבורה) ופריטים אחרים שניתן להגדיר. את כל הפריטים שנמצאו כקשורים לשירותי Apigee יש להודיע ל-Apigee באמצעות בקשת תמיכה.
רוב הפריטים שקשורים לנקודת הקצה הם פריטים בשירות עצמי של הלקוחות, ואפשר לתקן אותם במסמכי התיעוד של Edge. אם יש פריטים שלא ברור להם איך לתקן אותם, אפשר לפתוח בקשת תמיכה.
הגדרת TLS
בהתאם לתקני PCI, צריך להעביר את SSL ואת ה-TLS המוקדם לגרסאות מאובטחות. הלקוחות אחראים להגדרה ולהגדרה של נקודות קצה ב-TLS (אבטחת שכבת התעבורה) שלהם לשרתי proxy ל-API. זוהי תכונה בשירות עצמי ב-Edge. הדרישות של הלקוחות בנוגע לבחירות בנושא הצפנה, פרוטוקול ואלגוריתם משתנות מאוד וספציפיות לתרחישי השימוש השונים. ל-Apigee אין גישה לפרטים על עיצוב ה-API ועל מטענים ייעודיים של נתונים של כל לקוח, ולכן הלקוחות אחראים לקבוע את ההצפנה המתאימה לנתונים במעבר. הוראות מפורטות להגדרה של TLS (אבטחת שכבת התעבורה) זמינות בכתובת TLS/SSL (אבטחת שכבת התעבורה).
אחסון נתונים
אין צורך לאחסן נתונים ב-Edge כדי לפעול כראוי. עם זאת, יש שירותים זמינים לאחסון נתונים ב-Edge. לקוחות יכולים לבחור להשתמש במטמון, במפות של ערכי מפתח או בניתוח נתונים לאחסון נתונים. אף אחד מהשירותים האלה לא מורשה לאחסן CHD בהתאם לביקורת של Apigee PCI. בהתאם לדרישה ל-PCI 3 (הגנה על נתונים של בעלי כרטיסים מאוחסנים), יש לאחסן נתוני PCI רק במיקומים שתואמים ל-PCI. הלקוחות יכולים להשתמש בשירותים האלה כדי לאחסן נתונים שאינם PCI או נתונים לא מוגבלים אחרים, בכפוף לדרישות האבטחה והדרישות המשפטיות של הלקוח. השירותים האלה הם פריטים בשירות עצמי של הלקוח, ולכן באחריות הלקוח להגדיר אותם לא לתעד או לאחסן CHD. מומלץ לבדוק את ההגדרות, המדיניות והפריסות על ידי אדמינים של לקוחות כדי למנוע שימוש מקרי או זדוני בשירותי אחסון נתונים ב-Edge באופן שלא תואם למדיניות .
הצפנת נתונים
לקוחות לא מציעים כלים להצפנת נתונים כדי להשתמש בהם ב-Edge. עם זאת, הלקוחות יכולים להצפין את נתוני ה-PCI שלהם לפני השליחה ל-Edge. דרישה PCI 4: (הצפנת העברה של נתונים של בעלי כרטיסים ברשתות פתוחות וציבוריות) מומלץ להצפין את הנתונים של בעלי כרטיסים ברשתות פתוחות וציבוריות. הנתונים המוצפנים במטען הייעודי (payload) (או בגוף ההודעה) לא מונעים מ-Edge לפעול. יכול להיות שלחלק מכללי המדיניות של Edge לא תהיה אפשרות לבצע אינטראקציה עם הנתונים אם הם התקבלו באופן מוצפן על ידי הלקוח. לדוגמה: טרנספורמציה אינה אפשרית אם הנתונים עצמם לא זמינים לשינוי ל-Edge. עם זאת, כללי מדיניות אחרים, כללי מדיניות וחבילות בהתאמה אישית יפעלו גם אם המטען הייעודי של הנתונים מוצפן.