LAN 中的反向代理设备是否需要兼容 pci-dss

Question

我们创建了一个反向代理设备（网桥），用于将所有数据传输进出网络。见下图。

|------------------------LAN----------------------------|
 User --- Access Point --- Switch ---- Proxy --- Gateway --- WAN

假设付款是通过该 LAN 完成的，但代理中没有存储或处理任何 HTTPS 数据。

反向代理（使用 Ubuntu 14.04 和 bridge-utils）是否需要符合 PCI-DSS？

Answer 1

范围是 PCI-DSS 的一个复杂部分。一般规则是，如果设备可以连接到 CDE，则它在范围内。

解决这个问题的最简单方法是准确找出 CDE 所在的位置，然后使用限制性极强的防火墙将其隔离。当您打开防火墙端口以允许服务（即您的反向代理）连接到 CDE 时，将这些服务添加到您的范围。或者，您可以进行思想实验。如果一个高度恶意的行为者控制了设备 a，他/她能否将信用卡数据转移到其他地方？