PCI Compliance Distribution

Naviga le tue risposte
2

Gestisco un piccolo sito di e-commerce ospitato su un server dedicato con Debian 6 Squeeze.

Devo diventare conforme PCI (lo standard del settore delle carte per la sicurezza).

Pertanto mi sono registrato con TrustWave TrustKeeper che esegue la scansione del mio sito per potenziali vulnerabilità di sicurezza.

La scansione ha segnalato molte vulnerabilità e ho bisogno di aggiornare PHP (cosa che ho fatto) e Apache. Il problema è che la versione di Apache che è raccomandata non è disponibile per Debian 6.

Sta diventando un incubo per risolvere tutti i problemi segnalati.

Sei a conoscenza di una distribuzione che sarebbe preconfigurata per essere conforme PCI? Una sorta di perfetto settaggio con Apache / MySQL / PHP / SSL / eMail: IMAP & SMTP-SSL.

Grazie per il tuo aiuto.

    
posta Ren 27.11.2013 - 19:17
fonte

2 risposte

2

Normalmente la versione di Apache in Debian squeeze dovrebbe essere aggiornata con tutte le patch di sicurezza. Ciò significa che la versione potrebbe essere in esecuzione ma che tutti gli aggiornamenti di sicurezza sono stati applicati sotto forma di correzioni backport (spesso questo è fatto da Debian).

Dovresti seguire anche una guida di approfondimento, la maggior parte di questi rapporti di vulnerabilità di Trustwave dipendono esclusivamente dalle intestazioni HTTP pubblicizzate. Le guide di indurimento ti aiuteranno anche a rendere più sicura la tua configurazione man mano che esponi meno informazioni sulla tua configurazione.

    
risposta data 27.11.2013 - 19:44
fonte
0

Distribuzioni come Gentoo e Arch (nessuna versione specifica, solo aggiornamenti continui di tutti i pacchetti) di solito hanno le versioni più recenti ma possono ancora esserci gli stessi tipi di problemi.

Ho installato OpenSSH 6.1 su uno dei miei server Gentoo, e il banner ha dichiarato chiaramente il 6.1, ma lo scanner di sicurezza ha insistito sul fatto che era necessario aggiornare passato OpenSSH 2. La parte divertente è più tardi nello stesso report ha identificato correttamente la versione OpenSSH .

    
risposta data 29.11.2013 - 11:40
fonte

Leggi altre domande sui tag

individuazione del traffico generato dal bot attraverso il comportamento richiesto dell'oggetto "tenendo aperto" casa criptata con ssh locale