PSTools psexec und PCI

7

Ich frage mich nur, ob jemand einen Grund kennt, warum die Verwendung von psexec zum Fehlschlagen eines PCI-DSS-Audits führen würde.

Ich war nie in der Lage, Informationen zu finden, obwohl mir immer gesagt wurde, dass sie von Administratoren nicht für irgendetwas in der CDE oder Umgebung verwendet werden können.

Ich frage mich, ob die FUD mit dem gleichnamigen MetaSpolit-Skript zu tun hat. Ich bin mir nicht sicher, was das bedeutet, aber ich habe gehört, dass es Verwirrung gestiftet haben könnte.

Könnte jemand Aufschluss darüber geben, ob dies rechtmäßig verwendet werden kann oder ob es hoch verpönt / verboten ist?

Um es ins rechte Licht zu rücken: psexec wird genauso behandelt wie Telnet, das auf Geräten wie Druckern usw. aktiviert ist.

Vielen Dank

pci-dss pstools pci 89okl
quelle

Antworten:

9

psexec weist mehrere Probleme auf , die es für die Verwendung in einer einigermaßen sicheren Umgebung ungeeignet machen:

  1. Es ist nicht verschlüsselt.
  2. Es erfordert die Bereitstellung von Verwaltungsfreigaben.
  3. Es verfügt über einen Modus, mit dem eine Backdoor-Verwaltungsaufforderung für die Welt trivial verfügbar gemacht werden kann .

Und wahrscheinlich andere Themen, an die ich momentan nicht denken kann.

Wenn Ihre Umgebung ausreichend modern ist (alles ist 2008 oder später), können Sie stattdessen PowerShell-Remoting verwenden . Dies läuft standardmäßig über WinRM mit HTTPS-Transport und erfordert keine Reduzierung Ihrer Sicherheit.

Michael Hampton
quelle
Danke für die Antwort. Ich dachte, dass Sie so viel über irgendetwas Spezifisches im Standard wissen oder was ein QSA spezifizieren würde?
89okl
Direkt aus dem Standard: "2.3 Verschlüsseln Sie alle administrativen Zugriffe außerhalb der Konsole mit starker Kryptografie. Verwenden Sie Technologien wie SSH, VPN oder SSL / TLS für die webbasierte Verwaltung und andere administrative Zugriffe außerhalb der Konsole."
Michael Hampton