Atenda aos padrões PCI DSS sem esforço com o Endpoint Central 

Todos os serviços, protocolos e portas permitidos são identificados, aprovados e têm uma necessidade comercial definida.

A SecOps pode fazer uma  auditoria de portas em seu ambiente e reduzir bastante sua superfície de ataque, no caso de exploração zero-day usando o Endpoint Central.

Os recursos de segurança são definidos e implementados para todos os serviços, protocolos e portas que estão em uso e considerados inseguros, de forma que o risco seja mitigado.

O Endpoint Central, com suas capacidades de avaliação de ameaças, identifica pontos de entrada vulneráveis (portas, software vulnerável etc.) em sua rede e aplica correções para os mesmos.

Consulte:
Controle de dispositivos para auditorias de portas (#)
Auditoria de software (#)

O tráfego de saída do CDE (Cardholder Data Environment), Ambiente de dados do titular do cartão, é restrito da seguinte forma:

• Somente para o tráfego necessário.
• Todos os outros tráfegos são especificamente negados.

As técnicas avançadas de prevenção de perda de dados do Endpoint Central, com sua solução eficaz de proteção de e-mail e upload na nuvem, restringem o compartilhamento de dados corporativos essenciais somente com domínios confiáveis, seja por e-mail ou upload na nuvem.

Consulte:
Segurança de e-mail (#)
Proteção na nuvem (#)

Os NSCs (Network Security Controls), Controles de segurança de rede, são implementados entre redes confiáveis e não confiáveis.
 

A arquitetura neutra de rede do Endpoint Central permite que nossos administradores gerenciem e protejam os sistemas de CDE, mesmo que estejam isolados da Internet.

Consulte :
Arquitetura de DMZ do Endpoint Central
 

A divulgação de endereços IP internos e informações de roteamento é limitada somente às partes autorizadas.

Os administradores podem definir as  configurações de NAT para o servidor do Endpoint Central para que os endpoints gerenciados possam contatar o servidor usando o FQDN (Fully Qualified Domain Name), Nome de domínio totalmente qualificado

Os controles de segurança são implementados em qualquer dispositivo de computação, incluindo dispositivos de propriedade da empresa e dos funcionários, que se conectam a redes não confiáveis (incluindo a Internet) e ao CDE da seguinte forma:

• Definições de configuração específicas são definidas para evitar que ameaças sejam introduzidas na rede da entidade.
• Os controles de segurança estão em execução ativa.
• Os controles de segurança não podem ser alterados pelos usuários dos dispositivos de computação, a menos que especificamente documentados e autorizados pela gestão, caso a caso, por um período limitado.

Usando o módulo de controle de dispositivos do Endpoint Central, a estratégia zero trust pode ser implementada e até mesmo automatizada para garantir a proteção e a restrição ideais de todos os dados do endpoint a partir de dispositivos periféricos não aprovados. O Endpoint Central também permite que você implemente várias políticas e configurações de segurança nas máquinas dos usuários finais para impor restrições que determinam se eles podem conectar dispositivos USB externos ou se conectar a redes não confiáveis.

Consulte :
Segurança zero trust (#)
Protegendo dispositivos USB
Políticas de segurança
Configurações seguras do navegador (#)
Proteção contra malware

Os padrões de configuração são desenvolvidos, implementados e mantidos para:

• Cobrir todos os componentes do sistema.
• Resolver todas as vulnerabilidades de segurança conhecidas.
• Serem consistentes com os padrões de endurecimento de sistemas aceitos pelo setor ou com as recomendações de endurecimento do fornecedor.
• Ficarem atualizados à medida que novos problemas de vulnerabilidade forem identificados, conforme definido no Requisito 6.3.1.
• Serem aplicados quando novos sistemas forem configurados e verificados como existentes antes ou imediatamente após um componente do sistema ser conectado a um ambiente de produção.

O Endpoint Central permite identificar superfícies de ataque vulneráveis na rede e, consequentemente, aplicar as etapas de correção necessárias nas máquinas dos agentes. O processo de aplicação de patch pode ser agendado pelo administrador com base na gravidade da vulnerabilidade detectada.

Consulte :
Implementação automatizada de patches (#)
Alcance a conformidade com o CIS (#)

As contas padrão do fornecedor são gerenciadas da seguinte forma:

• Se a conta padrão do fornecedor for usada, a senha padrão será mudada de acordo com os requisitos 8.3.6
• Se a conta padrão do fornecedor não for usada, a conta será removida ou desativada.

Usando o Endpoint Central, políticas de senha rigorosas podem ser aplicadas às máquinas dos usuários finais. As contas que não estão em uso podem ser removidas.

Consulte :

Política de senha
Gerenciamento de usuários
Relatório de status da conta de usuário

Somente serviços, protocolos, daemons e funções necessários são habilitados, e todas as funcionalidades desnecessárias são removidas ou desabilitadas.

As configurações de lista de bloqueio baseadas em políticas, parte do módulo de controle de aplicações, auxiliam na segurança ao restringir processos desnecessários. Configurações seguras, como proteção do USB, gerenciamento de permissões, políticas de segurança e configurações de firewall, podem ser aplicadas usando o Endpoint Central.

Consulte :
Lista de bloqueio de aplicações (#)
Protegendo dispositivos USB
Políticas de segurança
Configurações seguras do navegador

Se algum serviço, protocolo ou daemon inseguro estiver presente:
• A justificativa comercial é documentada.
• Recursos de segurança adicionais são documentados e implementados para reduzir o risco de usar serviços, protocolos ou daemons inseguros.

O Endpoint Central pode ajudar a identificar  configurações incorretas de segurança, o que inclui a presença de protocolos inseguros e legados.

Os parâmetros de segurança do sistema são configurados para evitar o uso indevido.

Parâmetros de segurança, como configurações de registro, contas, arquivos, configurações de permissão de diretório e definições de funções, portas, protocolos e conexões remotas, podem ser modificados aplicando as configurações correspondentes do Endpoint Central.

Consulte :
Definindo as configurações de registro

Todo o acesso administrativo fora do console é criptografado usando criptografia forte

O Endpoint Central utiliza protocolos de criptografia AES (Advanced Encryption Standard), Padrão avançado de criptografia, de 256 bits durante operações remotas de solução de problemas. O Endpoint também pode ser executado no  modo FIPS, para garantir uma operação segura e protegida.

Os SAD (Sensitive Authentication Data), Dados de autenticação sensíveis, que são armazenados eletronicamente antes da conclusão da autorização são criptografados usando criptografia forte.

O Endpoint Central pode ajudar os administradores a criptografar dispositivos Windows de usuários finais usando seu Bitlocker Management e dispositivos Mac com criptografia FileVault.  Dispositivos Android e iOS também podem ser criptografados usando nosso recurso de MDM.

O PAN (Primary Account Number), Número da conta primária, é tornado ilegível em qualquer lugar em que esteja armazenado usando qualquer uma das seguintes abordagens:

• Hashes unidirecionais baseados em criptografia forte de todo o PAN.
• Truncamento (o hash não pode ser usado para substituir o segmento truncado do PAN).  - Se versões com hash e truncadas do mesmo PAN, ou diferentes formatos de truncamento do mesmo PAN, estiverem presentes em um ambiente, controles adicionais serão implementados de forma que as diferentes versões não possam ser correlacionadas para reconstruir o PAN original.
• Tokens de índice.
• Criptografia forte com processos e procedimentos associados de gerenciamento de chaves.

O Endpoint Central pode ajudar os administradores a criptografar dispositivos Windows de usuários finais usando seu Bitlocker Management e dispositivos Mac com criptografia FileVault. Dispositivos Android e iOS também podem ser criptografados usando nosso recurso de MDM.

Se a criptografia em nível de disco ou de partição (em vez de criptografia de database em nível de arquivo, coluna ou campo) for usada para tornar o PAN ilegível, ela será implementada somente da seguinte forma:

• Em mídia eletrônica removível

OU

• Se usada para mídia eletrônica não removível, o PAN também se torna ilegível por meio de outro mecanismo que atenda ao Requisito 3.5.1.

Dispositivos Android e iOS e seus cartões SD podem ser criptografados usando nosso recurso de MDM.

Se a criptografia em nível de disco ou de partição for usada (em vez de criptografia de database em nível de arquivo, coluna ou campo) para tornar o PAN ilegível, ela será gerenciada da seguinte forma:

• O acesso lógico é gerenciado separadamente e independentemente dos mecanismos nativos de autenticação e controle de acesso do sistema operacional.
• ∙ As chaves de decodificação não são associadas às contas de usuário.
• Os fatores de autenticação (senhas, frases secretas ou chaves criptográficas) que permitem o acesso a dados

Endpoint Central can help admins to encrypt end-users Windows devices using its Bitlocker Management and Mac devices with FileVault encryption. Our Bitlocker management feature is more granular and could meet the requirements mentioned here.

Os procedimentos são definidos e implementados para proteger as chaves criptográficas usadas para proteger os dados da conta armazenada contra a divulgação e o uso indevido, o
que inclui:

• O acesso às chaves é restrito ao menor número de custodiantes necessário.
• As chaves de criptografia de chaves são, pelo menos, tão fortes quanto as chaves de criptografia de dados que elas protegem.
• As chaves de criptografia de chaves são armazenadas separadamente das chaves de criptografia de dados.
• As chaves são armazenadas com segurança no menor número possível de locais e formas.

O BitLocker Management do Endpoint Central tem provisões para  chaves de recuperação  recovery keys

Uma solução antimalware é implementada em todos os componentes do sistema, exceto naqueles identificados em avaliações periódicas de acordo com o Requisito 5.2.3, que conclui que os componentes do sistema não correm risco de malware.

O Endpoint Central tem um  mecanismo antivírus next-gen integrado (atualmente disponível como acesso antecipado) que detecta proativamente ameaças cibernéticas com sua tecnologia de detecção de comportamento em tempo real e aprendizado profundo assistida por IA.

A solução antimalware implementada:

• Detecta todos os tipos conhecidos de malware.
• Remove, bloqueia ou contém todos os tipos conhecidos de malware.

O Endpoint Central tem um mecanismo antivírus next-gen integrado que detecta proativamente ameaças cibernéticas com sua tecnologia de detecção de comportamento em tempo real e aprendizado profundo assistida por IA.

Além da detecção de ameaças em tempo real, o Endpoint Central também realiza ativamente análises forenses de incidentes para que as SecOps analisem a causa raiz e a gravidade das ameaças.

Se o mecanismo de antivírus next-gen detectar um comportamento suspeito em endpoints, ele poderá colocar esses endpoints em quarentena e, após uma análise forense completa, poderá ser implantado de volta à produção.

O Endpoint Central também fornece backup instantâneo e não apagável dos arquivos em sua rede a cada três horas, aproveitando o serviço de cópia shadow de volume da Microsoft.

Se um arquivo estiver infectado com ransomware, ele poderá ser restaurado com sua cópia de backup mais recente.

As soluções antimalware são mantidas atualizadas por meio de updates automáticos.

O Endpoint Central está configurado para realizar atualizações automáticas.

As soluções anti-malware:

• Executam escaneamentos periódicos e escaneamentos ativos ou em tempo real.

OU

• Executam análises comportamentais contínuas de sistemas ou processos.

O antivírus next-gen do Endpoint Central pode fazer escaneamentos em tempo real sempre que um processo é criado, quando uma DLL é carregada ou quando um novo arquivo é baixado ou introduzido nos endpoints. 

Nosso antivírus next-gen também tem um mecanismo de comportamento que analisa os processos nos endpoints em busca de atividades suspeitas. 

Executa escaneamentos automáticos quando a mídia é inserida, conectada ou montada logicamente

Um processo de escaneamento automatizado é acionado sempre que qualquer dispositivo periférico tenta se conectar a um endpoint, seja por meio de conexão via plugue ou bluetooth, e executa o escaneamento de auditoria com base na política criada. Isso é diferente do nosso escaneamento inicial do antivírus next-gen para detectar qualquer presença de malware.

Consulte :
Escaneamento e auditoria de dispositivos (#)

Os logs de auditoria das soluções antimalware são habilitados e retidos de acordo com o Requisito 10.5.1. 
 

Com base no período de tempo (por exemplo: 12 meses) configurado pelo administrador, os incidentes detectados podem ser retidos no console até o horário configurado. Nossa solução também se integra às ferramentas de SIEM, como Eventlog Analyzer, Splunk, Rapid 7 etc.

Os mecanismos antimalware não podem ser desabilitados ou alterados pelos usuários, a menos que sejam especificamente documentados e autorizados pela gerência, caso a caso, por um período limitado.
 

Nosso antivírus next-gen é inviolável. Ele não pode ser desabilitado pelos usuários finais.  O Endpoint Central também tem  controle de acesso baseado em funções para que apenas administradores limitados tenham acesso ao console do Endpoint Central.

Existem processos e mecanismos automatizados para detectar e proteger o pessoal contra ataques de phishing.
 

O Endpoint Central aproveita suas  configurações seguras de navegador, especialmente filtros de phishing, para proteger os usuários finais contra esse tipo de ataque

As vulnerabilidades de segurança são identificadas e gerenciadas da seguinte forma:

• Novas vulnerabilidades de segurança são identificadas usando fontes reconhecidas pelo setor para obter informações sobre vulnerabilidades de segurança, incluindo alertas de CERTs (Computer Emergency Response Teams), Equipes de resposta a emergências de computadores, internacionais e nacionais.
• As vulnerabilidades recebem uma classificação de risco com base nas melhores práticas do setor e na consideração do impacto potencial.
• ∙ As classificações de risco identificam, no mínimo, todas as vulnerabilidades consideradas de alto risco ou críticas para o ambiente.
• As vulnerabilidades de softwares personalizados e de terceiros (por exemplo, sistemas operacionais e databases) estão cobertas.

O Endpoint Central identifica vulnerabilidades de segurança na rede, listando-as de acordo com a prioridade na qual elas devem ser tratadas. As correções podem então ser acionadas adequadamente a partir do console do produto.

Consulte :
Gerenciamento de vulnerabilidades (#)

Todos os componentes do sistema são protegidos contra vulnerabilidades conhecidas por meio da instalação de patches/atualizações de segurança aplicáveis da seguinte forma:

• Os patches/atualizações para vulnerabilidades críticas (identificadas de acordo com o processo de classificação de risco no Requisito 6.3.1) são instalados dentro de um mês após o lançamento.

 

• Todos os outros patches/atualizações de segurança aplicáveis são instalados dentro de um prazo apropriado, conforme determinado pela avaliação da entidade sobre a criticidade do risco para o ambiente, conforme identificado de acordo com o processo de classificação de riscos no Requisito 6.3.1.

Usando seus recursos de avaliação e correção de vulnerabilidades, o Endpoint Central garante que todos os sistemas da rede estejam totalmente cobertos contra ameaças críticas.

A funcionalidade de APD (Automated Patch Deployment), Acionamento automático de patches, concede aos administradores de sistemas a capacidade de atualizar automaticamente qualquer um ou todos os patches ausentes sem intervenção humana.

Consulte :
Processo de acionamento de patches

Os privilégios mínimos necessários (por exemplo, usuário ou administrador) para executar uma função de trabalho

O recurso PoLP (Principle of Least Privileges), Princípio do privilégio mínimo, incluído no módulo de controle de aplicações, suporta o conceito de reduzir uma ampla variedade de privilégios ao mínimo suficiente para executar a função. Esse recurso não está restrito aos usuários, pois sistemas, aplicações e serviços também são beneficiados.

Consulte :
Gerenciamento de privilégios (#)

Há um sistema de controle de acesso que restringe o acesso com base na necessidade de conhecimento do usuário e abrange todos os componentes do sistema.

O módulo de controle de aplicações do Endpoint Central permite que os administradores  permitam ou bloqueiem aplicações de software em seus sistemas. Ele impõe  políticas de acesso condicional, garantindo que somente usuários autorizados possam acessar sistemas comerciais essenciais e dados confidenciais.

O acesso para usuários encerrados é imediatamente revogado.

O Endpoint Central ajuda os administradores a realizar  limpezas remotas para garantir a segurança dos dados corporativos

As contas de usuário inativas são removidas ou desativadas dentro de 90 dias após a inatividade.

O Endpoint Central permite que os administradores de TI encontrem as contas de usuário inativas e as removam.

Consulte :
Gerenciamento de usuários
Relatórios de usuários do Active Directory

Se uma sessão do usuário estiver inativa por mais de 15 minutos, o usuário deverá se autenticar novamente para reativar o terminal ou a sessão.

O Endpoint Central, com sua configuração de gerenciamento de energia, pode configurar as máquinas do usuário final para realizar várias atividades, como escurecer ou desligar a tela, solicitar que o usuário digite a senha quando o computador voltar do modo de hibernação etc.

Consulte :
Gerenciamento de energia

Todo o acesso do usuário aos componentes do sistema para usuários e administradores é autenticado por meio de pelo menos um dos seguintes fatores de autenticação:

• Algo que você saiba, como uma senha ou frase secreta.

• Algo que você tenha, como um dispositivo de token ou um smart card.

• Algo que você é, como um elemento biométrico.

O Endpoint Central pode ajudar a criar e configurar senhas fortes para proteger dispositivos e impedir que intrusos acessem os endpoints da organização.

Consulte :
Política de senhas
Perfis de MDM para senhas

As tentativas de autenticação inválidas são limitadas ao:

• Bloquear o ID do usuário após um máximo de 10 tentativas.

• Definir a duração do bloqueio para no mínimo 30 minutos ou até que a identidade do usuário seja confirmada.

Os recursos de gerenciamento de vulnerabilidades do Endpoint Central permitem que o administrador de TI especifique o número permitido de entradas de senha, antes de restringir a conta, para evitar o acesso não autorizado. Ele também permite que os administradores definam  políticas de senhas para dispositivos móveis com Android, Apple e Windows, garantindo que os usuários finais criem senhas fortes para seus dispositivos.

Consulte :
Duração do bloqueio da conta (#)

Os indivíduos não podem enviar uma nova senha/frase secreta que seja igual a qualquer uma das últimas quatro senhas/frases secretas usadas.

As capacidades de gerenciamento de dispositivos móveis do Endpoint Central permitem que várias senhas sejam mantidas no histórico, o que significa que um administrador de TI pode especificar o número de senhas anteriores a serem mantidas, para que os usuários não as reutilizem.

Consulte :
Senha de MDM

Se senhas/frases secretas forem usadas como o único fator de autenticação para acesso do usuário (ou seja, em qualquer implementação de autenticação de fator único), então:

• As senhas/frases secretas devem ser alteradas pelo menos uma vez a cada 90 dias,

OU

• A postura de segurança das contas deve ser analisada dinamicamente e o acesso em tempo real aos recursos será automaticamente determinado de acordo.

As funcionalidades de MDM do Endpoint Central podem ser usadas para configurar políticas de senha que permitem estabelecer certas características de senha, como comprimento, idade máxima etc. Você também pode gerar um relatório personalizado com os detalhes dos usuários cujas senhas expirarão em breve.

Consulte :
Senha de MDM

O acesso físico a pontos de acesso sem fio, gateways, hardware de rede/comunicação e linhas de telecomunicações dentro da instalação é restrito.

O Endpoint Central tem  Políticas de Wi-Fi,  Restrições e  Autenticação baseada em certificados (para acessar pontos de acesso sem fio) para dispositivos móveis.

Todas as mídias com dados do titular do cartão são fisicamente protegidas.

Quando os dados são identificados e categorizados como dados confidenciais contendo detalhes relevantes do PCI, o Endpoint Central, com suas técnicas de prevenção de perda de dados, restringe que os dados corporativos críticos sejam expostos ou vazados por mídia de armazenamento removível ou sejam impressos ou até mesmo copiados usando a abordagem da área de transferência.

Consulte :
Controle do dispositivo (#)
Ameaças internas (#)

Todas as mídias com dados do titular do cartão são classificadas de acordo com a confidencialidade dos dados.

Com as regras de dados simplificadas, mas eficazes, do Endpoint Central, a identificação de dados corporativos críticos contendo códigos bancários, números de roteamento ABA, IBAN (International Bank Account Numbers), Números de contas bancárias internacionais, e números de cartão de crédito agora é mais eficaz e precisa.

Consulte :
Descoberta de dados (#)
Classificação de dados (#)

Os escaneamentos internos de vulnerabilidade são realizados da seguinte forma:

• Pelo menos uma vez a cada três meses.
• As vulnerabilidades de alto risco ou críticas (de acordo com as classificações de risco de vulnerabilidade da entidade definidas no Requisito 6.3.1) são resolvidas.
• São realizados novos escaneamentos para confirmar que todas as vulnerabilidades críticas e de alto risco (conforme mencionado acima) foram resolvidas.
• A ferramenta de verificação é mantida atualizada com as informações mais recentes sobre vulnerabilidades.
• As digitalizações são realizadas por pessoal qualificado e existe independência organizacional do testador.

O Endpoint Central identifica vulnerabilidades de segurança na rede, listando-as de acordo com a prioridade na qual elas devem ser tratadas. As correções podem então ser acionadas adequadamente a partir do console do produto.

Consulte :

Gerenciamento de vulnerabilidades  (#)

Políticas de uso aceitável para tecnologias de usuário final são documentadas e implementadas, incluindo:

• Aprovação explícita por partes autorizadas.
• Usos aceitáveis da tecnologia.
• Lista de produtos aprovados pela empresa para uso dos funcionários, incluindo hardware e software.

O Endpoint Central pode habilitar os documentos de  Termos de uso a serem implantados nos dispositivos de seus funcionários, e somente com o consentimento deles o Endpoint Central começa a gerenciar o dispositivo, obtendo efetivamente o consentimento do usuário para gerenciamentos de dispositivos. Os administradores também podem distribuir o uso aceitável de TI da organização por meio de seu  catálogo de conteúdo.

As tecnologias de hardware e software em uso são revisadas pelo menos uma vez a cada 12 meses, incluindo, no mínimo, o seguinte:

• Análise de que as tecnologias continuam recebendo prontamente correções de segurança dos fornecedores.

• Análise de que as tecnologias continuam apoiando (e não impedem) a conformidade com o PCI DSS da entidade.

• Documentação de qualquer anúncio ou tendência do setor relacionada a uma tecnologia, como quando um fornecedor anunciou planos de “fim de vida útil” de uma tecnologia.

• Documentação de um plano, aprovado pela gerência sênior, para corrigir tecnologias desatualizadas, incluindo aquelas para as quais os fornecedores anunciaram planos de “fim de vida útil”.

O Endpoint Central monitora constantemente a rede da entidade quanto ao fim da vida útil de um software e também pode aplicar correções de segurança para o software quando necessário.

Consulte :
Software de auditoria de fim da vida útil (#)

Um inventário dos componentes do sistema que estão no escopo do PCI DSS, incluindo uma descrição da função/uso, é mantido e atualizado.

O Endpoint Central mantém um inventário de ativos de TI com detalhes mapeados para os componentes de TI correspondentes. Combinado com suas técnicas avançadas de prevenção de perda de dados, o Endpoint Central protege dados confidenciais contra o número cada vez maior de vetores de ameaças.

Consulte :
Escaneie, gerencie e proteja dados (#)
Gerenciamento de inventário