{"id":2045,"date":"2017-10-28T12:10:44","date_gmt":"2017-10-28T09:10:44","guid":{"rendered":"http:\/\/www.profelis.com.tr\/tr\/blog\/?p=2045"},"modified":"2023-02-01T10:58:00","modified_gmt":"2023-02-01T07:58:00","slug":"postgresql-ile-pci-dss-uyumlulugunu-saglamak","status":"publish","type":"post","link":"https:\/\/profelis.com.tr\/en\/2017\/10\/28\/postgresql-ile-pci-dss-uyumlulugunu-saglamak\/","title":{"rendered":"PostgreSQL ile PCI-DSS Uyumlulu\u011funu Sa\u011flamak"},"content":{"rendered":"

PostgreSQL ile PCI-DSS Uyumlulu\u011funu Sa\u011flamak<\/h2>\n

Not: Yak\u0131n zamanda, (Kas\u0131m 2017’de bekliyoruz<\/em>) d\u00f6rd\u00fcnc\u00fc s\u00fcr\u00fcm\u00fc duyurulacak olan PCI-DSS standartlar\u0131nda getirilecek olan yenilikleri anlatan yaz\u0131m\u0131z gelecek hafta yay\u0131nlanacakt\u0131r. Dolay\u0131s\u0131 ile bu yaz\u0131 \u00f6n\u00fcm\u00fczdeki g\u00fcnlerde g\u00fcncellenebilir.<\/p>\n

PCI-DSS Nedir?<\/h2>\n

PCI-DSS kredi kartlar\u0131 ile al\u0131\u015fveri\u015f yap\u0131l\u0131rken, g\u00fcvenlik standartlar\u0131n\u0131 belirlemekte olan ve t\u00fcccarlar\u0131n seviyelerine g\u00f6re sertifikalar\u0131n zorunlu tutuldu\u011fu uluslararas\u0131 bir g\u00fcvenlik mevzuat\u0131d\u0131r. PCI-DSS standartlar\u0131 (reg\u00fclasyon), \u00fcyeleri aras\u0131nda Mastercard, Visa, Amerikan Express, Discover Services, Veracode gibi b\u00fcy\u00fck kurulu\u015flar\u0131n da bulundu\u011fu bir kurul taraf\u0131ndan d\u00fczenlenmektedir.<\/p>\n

2006 y\u0131l\u0131nda duyurulan ilk s\u00fcr\u00fcm\u00fcnden itibaren \u00e7e\u015fitli de\u011fi\u015fikliklere u\u011fram\u0131\u015f ve ge\u00e7en zaman i\u00e7erisinde uluslararas\u0131 olarak ge\u00e7erlilik kazanm\u0131\u015ft\u0131r. 28 Ekim 2017 tarihi itibariyle ge\u00e7erli olan s\u00fcr\u00fcm 3.2 olmakla beraber yak\u0131n zamanda PCI-DSS 4.0 s\u00fcr\u00fcm\u00fc duyurulacakt\u0131r.<\/p>\n

Kimler PCI-DSS Standartlar\u0131na Uymak Zorunda?<\/h3>\n

Kart verisi tutan her \u015firket veya kurum PCI-DSS reg\u00fclasyonuna tabidir.<\/p>\n

Hangi Kart Verileri Ne \u015eekilde Tutulmal\u0131?<\/h3>\n

Bu bilgiler i\u00e7in kurulu\u015fun kendi belgesine g\u00f6z atman\u0131zda fayda var, zira denetim yapan kurumlar bazen kurallar\u0131 kendilerine g\u00f6re yorumlayabiliyorlar.<\/p>\n

\"\" Technical Guidelines for PCI Data Storage<\/p>\n

T\u00fcccar Seviyeleri ve\u00a0PCI-DSS Gereksinimleri<\/h2>\n

Ticarethanenin yapt\u0131\u011f\u0131 i\u015flem say\u0131s\u0131na g\u00f6re belirlen 4 farkl\u0131 d\u00fczey vard\u0131r. \u0130\u015flem hacmi para birimi cinsinden de\u011fil i\u015flem say\u0131s\u0131 olarak de\u011ferlendirilir.<\/p>\n\n\n\n\n\n\n\n\n
#<\/th>\nLevel 1<\/th>\nLevel 2<\/th>\nLevel 3<\/th>\nLevel 4<\/th>\n<\/tr>\n<\/thead>\n
\u0130\u015flem Hacmi<\/th>\nY\u0131lda 6 milyondan fazla i\u015flem yapan firmalar<\/td>\nY\u0131lda 1-6 milyon aras\u0131 i\u015flem yapan firmalar<\/td>\nY\u0131lda 20 bin-1 milyon aras\u0131 i\u015flem yapan firmalar<\/td>\nY\u0131lda 20 binden az i\u015flem yapan firmalar<\/td>\n<\/tr>\n
Yerinde Denetleme<\/th>\nY\u0131lda bir kez<\/td>\nYok<\/td>\nYok<\/td>\nYok<\/td>\n<\/tr>\n
A\u011f Taramas\u0131<\/th>\n\u00dc\u00e7 ayda bir<\/td>\n\u00dc\u00e7 ayda bir<\/td>\n\u00dc\u00e7 ayda bir<\/td>\n\u00dc\u00e7 ayda bir<\/td>\n<\/tr>\n
\u00d6z De\u011ferlendirme Formu Doldurulmas\u0131<\/th>\nY\u0131lda bir kez<\/td>\nY\u0131lda bir kez<\/td>\nY\u0131lda bir kez<\/td>\nY\u0131lda bir kez<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Farkl\u0131 seviyelere g\u00f6re farkl\u0131 y\u00f6ntem ve s\u0131kl\u0131klarla belli d\u00f6nemlerde resmi denetim kurumlar\u0131 taraf\u0131ndan incelenerek yeterlilik ve uyumluluklar\u0131 de\u011ferlendirilir.<\/p>\n

PostgreSQL ile PCI-DSS Nas\u0131l Kar\u015f\u0131lan\u0131r?<\/h2>\n

1. Kart hamili verilerini korumak i\u00e7in bir g\u00fcvenlik duvar\u0131n\u0131n (firewall) kurulmas\u0131<\/h3>\n

pg_hba.conf<\/strong>\u00a0herhangi bir firewall olsa da olmasa da i\u00e7eriden ve d\u0131\u015far\u0131dan ba\u011flant\u0131 isteklerine kar\u015f\u0131 koruma sa\u011flamaktad\u0131r. Bu koruma IP adresi, adres blo\u011fu, kullan\u0131c\u0131 ad\u0131 vb \u015fekillerde tan\u0131mlanabilir ve kabul et, geri kalan\u0131 reddet \u015feklinde yap\u0131land\u0131r\u0131labilir.<\/p>\n

Ayr\u0131ca\u00a0log_connections\/disconnections ayar\u0131 ile ba\u011flant\u0131lar\u0131n takibi merkezi kay\u0131t sunucusu \u00fczerinden takip edilebilir.<\/p>\n

2. Tedarik\u00e7ilerden al\u0131nan ilk \u015fifre ve di\u011fer g\u00fcvenlik parametrelerinin de\u011fi\u015ftirilmeden kullan\u0131lmamas\u0131<\/h3>\n

Veritaban\u0131na eri\u015fim root kullan\u0131c\u0131s\u0131 ile yap\u0131lmas\u0131na izin verilmemektedir. Eri\u015fim i\u00e7in kullan\u0131lan, varsay\u0131lan \u201cpostgres<\/strong>\u201d kullan\u0131c\u0131s\u0131 i\u00e7in g\u00fc\u00e7l\u00fc parola atanmal\u0131d\u0131r. pg_hba.conf dosyas\u0131 \u00fczerinde host ad\u0131\/ip adresi ve kullan\u0131c\u0131 tan\u0131mlar\u0131 ile g\u00fcvenilir kullan\u0131c\u0131, host, IP adresi vb kabul edilerek yap\u0131lan yetkilendirme kullan\u0131lmamal\u0131d\u0131r. Ayr\u0131ca template1 ve postgres varsay\u0131lan veritabanlar\u0131 \u00fczerine uzak ba\u011flant\u0131 eri\u015fimi kapat\u0131lmal\u0131d\u0131r.<\/p>\n

Monit\u00f6r kullan\u0131c\u0131s\u0131na gereken kadar izinler verilmelidir.\u00a0 PUBLIC \u00fczerindeki nesne eri\u015fim izinleri kald\u0131r\u0131lmal\u0131d\u0131r. \u00d6rnek monit\u00f6r kullan\u0131c\u0131s\u0131 i\u00e7in yetkilendirme ve fonksiyon tan\u0131mlama:<\/p>\n

CREATE ROLE monitoruser WITH NOSUPERUSER NOCREATEROLE NOCREATEDB LOGIN PASSWORD 'X!2{K@Jnalaks-23<932_1ks2HS\u2019;\nALTER ROLE monitoruser SET search_path TO secure_check_postgres, pg_catalog;\nSET search_path to secure_check_postgres;\nCREATE FUNCTION pg_ls_dir(text) RETURNS SETOF text AS $begin return query(select pg_catalog.pg_ls_dir('pg_xlog')); end$ LANGUAGE plpgsql SECURITY DEFINER;<\/pre>\n
3. Kaydedilen kritik kart hamili verilerinin korunmas\u0131<\/h3>\n
\u201c\u015eifreleme, sonunu kesme, maskeleme ve hash kullanmak gibi kart sahibi verilerinde kullan\u0131labilecek olan g\u00fcvenlik y\u00f6ntemleri kullan\u0131lmal\u0131d\u0131r.\u00a0Bir sald\u0131rgan di\u011fer g\u00fcvenlik y\u00f6ntemlerini a\u015far ve bir \u015fekilde kart sahibi verilerine ula\u015f\u0131rsa, bu verilerin kullan\u0131lan g\u00fcvenlik y\u00f6ntemlerine ait anahtar, sertifika vb ara\u00e7lar\u0131 olmadan kullan\u0131lamaz halde olmas\u0131 beklenir…\u201d<\/p><\/blockquote>\n
PCI-DSS 3.2 s\u00fcr\u00fcm\u00fcn\u00fcn 3. gereksinim maddesinin alt maddeleri yukar\u0131da giri\u015fi yap\u0131lan konuyu maddeler halinde a\u00e7arak t\u00fcm yap\u0131lmas\u0131 gerekenleri detayl\u0131 olarak anlatmaktad\u0131r. Bunlar\u0131n aras\u0131nda \u015fifreleme i\u00e7in kullan\u0131lan sertifika veya anahtarlar\u0131n nas\u0131l korunmas\u0131 gerekti\u011fi, kimlerin eri\u015fiminde olmas\u0131 gereklili\u011fi gibi konular da detayl\u0131ca anlat\u0131lmaktad\u0131r. Buna y\u00f6nelik olarak PostgreSQL taraf\u0131nda kullan\u0131labilecek ara\u00e7, \u00f6zellik ve fonksiyonlar mevcuttur.<\/p>\n
\u00d6rne\u011fin, “PAN bilgisinin tamam\u0131 hash’lenerek saklanmal\u0131d\u0131r”<\/em> konusunda kullan\u0131lmas\u0131 gereken hash metodu olarak MD5 yerine AES, SHA-256 kriptolama y\u00f6ntemleri tercih edilmelidir.<\/p>\n
pgcrypto<\/strong> paketi, PCI-DSS taraf\u0131ndan gereksinim duyulan t\u00fcm \u015fifreleme isteklerini kar\u015f\u0131lamaktad\u0131r. (Bkz: https:\/\/www.postgresql.org\/docs\/current\/static\/pgcrypto.html<\/a>)<\/p>\n
4. Kamusal a\u011flar \u00fczerinden iletilen kart hamili verilerinin ve hassas bilgilerin \u015fifrelenmesi<\/h3>\n
D\u0131\u015far\u0131ya a\u00e7\u0131k, araya girilebilecek olan a\u011flarda verilerin \u015fifreli olarak iletilmesini, di\u011fer taraftan performans a\u00e7\u0131s\u0131ndan, veri merkeziniz veya kendi g\u00fcvenli a\u011f\u0131n\u0131z i\u00e7erisinde bu verilerin \u015fifrelenmeden trafi\u011fini sa\u011flamak i\u00e7in yine pg_hba.conf<\/strong> dosyas\u0131n\u0131 kullanabilirsiniz.\u00a0pg_hba.conf dosyas\u0131 \u00fczerinden sistem y\u00f6neticisi rahatl\u0131kla eri\u015fim esnas\u0131nda \u015fifreleme (SSL vb) kullanmas\u0131 gereken host veya a\u011flar\u0131 ayr\u0131, gerekmeyenleri ayr\u0131 olarak belirleyebilir.<\/p>\n
5. Anti-vir\u00fcs yaz\u0131l\u0131m\u0131 kullan\u0131lmas\u0131 ve yaz\u0131l\u0131m\u0131n d\u00fczenli olarak g\u00fcncellenmesi<\/h3>\n
PostgreSQL sunucu sisteminizin Linux\/Unix olmas\u0131 MS Windows olmas\u0131ndan daha g\u00fcvenlidir. \u00d6zellikle anti-vir\u00fcs vb konularda i\u015fletim sisteminizin se\u00e7imi ve koruma \u00f6nlemleri daha \u00f6nce \u00e7\u0131kar.<\/p>\n
6. G\u00fcvenlik sistemleri ve uygulamalar\u0131 geli\u015ftirilmesi ve devaml\u0131l\u0131\u011f\u0131n\u0131n sa\u011flanmas\u0131<\/h3>\n
G\u00fcvenlik g\u00fcncellemelerinin h\u0131zl\u0131ca yap\u0131labilmesi i\u00e7in altyap\u0131 sunulmaktad\u0131r. Community PostgreSQL kullan\u0131yorsan\u0131z Linux da\u011f\u0131t\u0131m\u0131z\u0131n iyi olmas\u0131na ve g\u00fcncelleme paketlerinin s\u00fcrekli yap\u0131ld\u0131\u011f\u0131ndan emin olun. EnterpriseDB Postgres Advanced Server kullan\u0131yorsan\u0131z, g\u00fcvenlik g\u00fcncellemeleri kulland\u0131\u011f\u0131n\u0131z s\u00fcr\u00fcm i\u00e7in s\u00fcrekli olarak repoda olacak ve size duyurular\u0131 gelecektir.<\/p>\n
7. \u0130\u015f tan\u0131m\u0131 gere\u011fi ihtiya\u00e7 duymayan firma \u00e7al\u0131\u015fanlar\u0131n\u0131n kart hamili verilerine eri\u015fiminin s\u0131n\u0131rlanmas\u0131<\/h3>\n
PostgreSQL \u00e7ok uzun zamandan beri (8.4 s\u00fcr\u00fcm\u00fcnden itibaren) s\u00fctun seviyesinde eri\u015fim yetkilendirme desteklemektedir. Kart sahibi verilerini veya nitelikli verileri standart kullan\u0131c\u0131 ve geli\u015ftiricilerden gizlerken kullanabilir veya onlara \u00f6zel g\u00f6r\u00fcn\u00fcmler veya sanal \u00f6zel veritaban\u0131 deste\u011fini kullanabilirsiniz.<\/p>\n
8. Bilgisayar eri\u015fimi olan her bir ki\u015fi i\u00e7in ayr\u0131 bir kullan\u0131c\u0131 kimli\u011fi ve \u015fifre tan\u0131mlanmas\u0131<\/span><\/p>\n
Ortak kullan\u0131c\u0131 ile veritaban\u0131na eri\u015fim, parola payla\u015fma kullanmay\u0131n\u0131z. Yetkilendirmede sadece parola ile yetinmeyip multi-fakt\u00f6r yetkilendirme kullanabilirsiniz.<\/p>\n
9. Kart hamili verilerine fiziksel eri\u015fimin s\u0131n\u0131rland\u0131r\u0131lmas\u0131<\/h3>\n
pg_stat_statements<\/strong> eklentisini kurup t\u00fcm veritaban\u0131na yap\u0131lan sorgular\u0131 (SELECT, INSERT, UPDATE, DELETE) takibe alabilirsiniz. Audit kay\u0131tlar\u0131n\u0131 uzun s\u00fcreli olarak tutman\u0131z \u00f6nerilir. Ba\u011flant\u0131 istekleri, \u00f6zellikle ba\u015far\u0131s\u0131z ba\u011flant\u0131 denemelerine alarm atamal\u0131s\u0131n\u0131z. PAN bilgilerinin tutultu\u011fu tabloya yap\u0131lan sorgular ve eri\u015fimleri mutlaka monit\u00f6r etmelisiniz.<\/p>\n
\u00d6deme sistemlerinde kullan\u0131lan \u015fifreleme mekanizmalar\u0131n\u0131n veritaban\u0131 sisteminden farkl\u0131 olmas\u0131 daha s\u0131k rastlanan bir hale gelmi\u015ftir. Web servisi, API \u00fczerinden sunulan kart bilgisinin daha veritaban\u0131na yaz\u0131lmadan \u00f6nce, farkl\u0131 bir sistem \u00fczerinde tutulan anahtar ve kriptolama cihaz\u0131 veya uygulamas\u0131 ile \u015fifrelenerek saklanmas\u0131 en ge\u00e7erli koruma olarak g\u00f6r\u00fcnmektedir. \u00d6zellikle \u015fifreleme i\u00e7in kullan\u0131lan sertifikan\u0131n\u00f6 \u00e7\u00f6zme i\u00e7in kullan\u0131lacak olan private anahtarlar\u0131n\u0131 kesinlikle veritaban\u0131 sunucusu \u00fczerinde bulundurmamal\u0131s\u0131n\u0131z.<\/p>\n
Kay\u0131tlar\u0131n uzun s\u00fcreli saklaman\u0131z\u0131 \u00f6nerece\u011fim. Uzun s\u00fcreden kas\u0131t en az 3 sene olmal\u0131. Bu tamamen benim \u015fahsi g\u00f6r\u00fc\u015f\u00fcm olmakla beraber bu yarg\u0131ya varmam\u0131n sebebi, SONY, VISA gibi kurumlar\u0131n u\u011frad\u0131\u011f\u0131 sald\u0131r\u0131lar ve bu sald\u0131r\u0131lar\u0131n bazen \u00e7ok sonra farkedilmi\u015f olmas\u0131d\u0131r. E\u011fer ge\u00e7mi\u015f d\u00f6nemde yap\u0131lan bir sald\u0131r\u0131ya maruz kald\u0131\u011f\u0131n\u0131z\u0131 \u00f6\u011frenirseniz, bunu bildirme y\u00fck\u00fcml\u00fcl\u00fc\u011f\u00fcn\u00fcn yan\u0131 s\u0131ra, tekrar maruz kalmamak i\u00e7in a\u00e7\u0131\u011f\u0131 bulman\u0131za yard\u0131mc\u0131 olabilecek tek \u015fey kay\u0131tlard\u0131r.<\/p>\n
10. A\u011f kaynaklar\u0131na ve kart hamili verilerine eri\u015fimin izlenmesi<\/h3>\n
G\u00fcvenlik testi yapt\u0131rma zorunlulu\u011funuz olmayabilir, ama yat\u0131r\u0131rsan\u0131z kimse size neden yapt\u0131rd\u0131n demeyecektir. G\u00fcvenlik testleri kurum d\u0131\u015f\u0131 personel taraf\u0131ndan yap\u0131lmas\u0131n\u0131 tavsiye ederim veya sadece bu konuda \u00e7al\u0131\u015fan ayr\u0131 bir birim veya personel bulunmal\u0131d\u0131r. Yani bu testleri veritaban\u0131 veya uygulamay\u0131 y\u00f6neten sistem y\u00f6neticileri yapmamal\u0131d\u0131r.<\/p>\n
11. G\u00fcvenlik sistemlerinin ve s\u00fcre\u00e7lerinin d\u00fczenli olarak s\u0131nanmas\u0131<\/h3>\n
D\u00fczenlinin anlam\u0131 takvimi bilinen anlam\u0131na gelmemelidir. M\u00fcmk\u00fcn ise d\u0131\u015far\u0131dan yap\u0131lan g\u00fcvenlik testlerinde sistem y\u00f6neticilerine haber vermeyebilirsiniz. Bu bir karga\u015faya yol a\u00e7abilir, a\u00e7arsa da \u015funu g\u00f6rm\u00fc\u015f olursunuz, d\u0131\u015far\u0131dan yap\u0131lan bir tarama veya sald\u0131r\u0131 esnas\u0131nda kurum personeli nas\u0131l tepki vermektedir…<\/p>\n
12. Bilgi g\u00fcvenli\u011fine y\u00f6nelik bir politika belirlenmesi<\/h3>\n
G\u00fcvenli\u011fin %80’i insan ve s\u00fcre\u00e7lerden, geri kalan\u0131 ancak teknolojiden olu\u015fmaktad\u0131r. Bunun kan\u0131t\u0131 neredeyse %80 g\u00fcvenlik ihlallerinin tamam\u0131 yetkili kullan\u0131c\u0131 parolas\u0131n\u0131n veya bilgilerinin ele ge\u00e7irilmesinden kaynaklanmaktad\u0131r. Dolay\u0131s\u0131yla e\u011fer g\u00fcvenlik konusuna daha fazla yat\u0131r\u0131m yapmak gerekiyorsa teknolojiden de\u011fil insandan ba\u015flamal\u0131s\u0131n\u0131z!<\/strong><\/p>","protected":false},"excerpt":{"rendered":"
PCI-DSS 4 s\u00fcr\u00fcm\u00fc yay\u0131nlanmak \u00fczere. PCI-DSS kredi kartlar\u0131 ile al\u0131\u015fveri\u015f yap\u0131l\u0131rken, g\u00fcvenlik standartlar\u0131n\u0131 belirlemekte olan ve t\u00fcccarlar\u0131n seviyelerine g\u00f6re sertifikalar\u0131n zorunlu tutuldu\u011fu uluslararas\u0131 bir g\u00fcvenlik mevzuat\u0131d\u0131r. PCI-DSS standartlar\u0131 (reg\u00fclasyon), \u00fcyeleri aras\u0131nda Mastercard, Visa, Amerikan Express, Discover Services, Veracode gibi b\u00fcy\u00fck kurulu\u015flar\u0131n da bulundu\u011fu bir kurul taraf\u0131ndan d\u00fczenlenmektedir.<\/p>","protected":false},"author":3,"featured_media":15530,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[76,75,45],"tags":[48,61,60],"class_list":["post-2045","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-linux","category-postgresql","category-yazi","tag-enterprisedb","tag-linux","tag-postgresql"],"_links":{"self":[{"href":"https:\/\/profelis.com.tr\/en\/wp-json\/wp\/v2\/posts\/2045","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/profelis.com.tr\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/profelis.com.tr\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/profelis.com.tr\/en\/wp-json\/wp\/v2\/users\/3"}],"replies":[{"embeddable":true,"href":"https:\/\/profelis.com.tr\/en\/wp-json\/wp\/v2\/comments?post=2045"}],"version-history":[{"count":0,"href":"https:\/\/profelis.com.tr\/en\/wp-json\/wp\/v2\/posts\/2045\/revisions"}],"wp:attachment":[{"href":"https:\/\/profelis.com.tr\/en\/wp-json\/wp\/v2\/media?parent=2045"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/profelis.com.tr\/en\/wp-json\/wp\/v2\/categories?post=2045"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/profelis.com.tr\/en\/wp-json\/wp\/v2\/tags?post=2045"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}