Lista blanca de ASV para escaneo externo de PCI

De acuerdo con la Guía de ASV de PCI DSS :

  

5.6 Interferencia de escaneo ASV
  Si un ASV detecta que un sistema de protección activo ha bloqueado o filtrado activamente un análisis, entonces el ASV es   requerido para manejarlo de acuerdo con la Sección 7.6, “Resolución de   Exploraciones no concluyentes. ”

En la sección 7.6:

  

El cliente de escaneo realiza los cambios de configuración temporales adecuados para eliminar   interferencia durante un escaneo ASV

Como Cloudflare es una " defensa activa " (WAF) de acuerdo con la definición en PCI-DSS, tiene sentido que la ASV la pase por alto. No estoy seguro de que Cloudflare pueda configurarse para permitir los análisis y, en última instancia, es más fácil permitir temporalmente la IP de ASV en el firewall.

Sí, es muy normal que el software de escaneo de cumplimiento requiera que la IP del escáner esté en la lista blanca del firewall local.

El concepto de escaneo de cumplimiento es escanear todo el sistema para garantizar al menos una línea de base totalmente adherida. Es excelente que el firewall esté haciendo su trabajo, ahora lo sabes. Pero también necesita el escáner de cumplimiento para escanear el sistema para garantizar parches, cuentas, seguridad local, configuración general, etc., también el cumplimiento. Para permitir eso, deberá proporcionar al escáner externo acceso completo a la red a los sistemas de destino, lo que incluye incluir en la lista blanca las IP de los escáneres en el firewall.

¿Todo esto tiene sentido?

No es necesario modificar los cortafuegos para el escaneo PCI, solo se deben modificar los sistemas IDS / IPS.

Fuente: PCI DSS 3.2 y Guías DSV de PCI DSS

Según PCI DSS 3.2, solo se deben modificar los sistemas de seguridad dinámica. Los sistemas de seguridad estáticos, como las listas de control de acceso, que no tienen un comportamiento dinámico, incluidos los puertos disponibles y las direcciones IP de origen permitidas, NO necesitan modificarse.