安全评估准备：评估范围确定、数据流图绘制、网络拓扑梳理
各位好，欢迎来到咱们实战指南的第三章。
说实话，很多新手 QSA 最容易犯的错误，就是一头扎进技术细节里。防火墙规则看了一整天，结果发现，嗯…这个系统压根不在范围内。
评估准备，说白了就是“画圈、画图、画拓扑”三件事。圈画错了，后面全白干。我个人的习惯是，在正式开始评估前，至少花半天时间跟客户的系统架构师聊透，把这三个东西定下来。今天我就把这三步怎么落地，掰开了讲给你听。
1. 评估范围确定：你的“战场”在哪儿？
PCI DSS 要求我们明确“持卡人数据环境”（CDE）。这听起来简单，但实战中往往是最大的坑。
范围确定的核心原则就一句话：人在哪，卡在哪，钱在哪，CDE就在哪。
- 有卡数据的地方：存储、处理、传输 PAN（主账号）的系统。这是铁打的范围。
- 连接卡数据的地方：能直接访问 CDE 的网络设备、服务器、管理终端。
- 影响卡数据安全的地方：比如认证服务器、日志服务器、甚至空调系统（如果它能通过网络攻击 CDE）。
避坑指南：
我曾经遇到一个电商客户，他们信誓旦旦地说 CDE 就一个数据库。结果我一问，他们的客服系统能直接查询那个数据库来帮客户核对卡号后四位。那个客服系统，以及所有连到客服系统的终端，瞬间全变成了 CDE 的一部分。范围直接翻了三倍。
我建议用下面的清单来框定范围：
| 类别 | 典型组件 | 是否必须纳入CDE |
|---|---|---|
| 存储 | 数据库、文件服务器、备份磁带 | 是（只要存了PAN） |
| 处理 | 支付网关、应用程序服务器 | 是 |
| 传输 | 交换机、路由器、防火墙（仅CDE段） | 是 |
| 管理 | 跳板机、堡垒机、运维PC | 是（能管理CDE就必须包含） |
| 安全 | IDS/IPS、WAF、日志服务器 | 是（监控CDE流量的） |
| 隔离 | 内部办公网、打印机、门禁系统 | 否（通过严格的网络分割隔离后） |
这里有个小技巧：如果客户想用“网络分割”来缩小范围。你必须亲自验证这个分割是不是“硬分割”。说白了，就是看防火墙策略有没有允许非CDE流量访问CDE。如果有，那就别想了，老老实实把整个网络段都画进来。
2. 数据流图绘制：卡数据是怎么“跑”的？
范围定下来后，就要画数据流图了。这图不是给客户看的PPT，而是我们评估人员自己的“作战地图”。
数据流图的核心是回答三个问题：
- 数据从哪来？（持卡人刷卡、网站输入）
- 经过了哪？（终端、POS机、收单行、处理中心）
- 最后存哪了？（数据库、日志、备份）
我个人习惯用 “泳道图” 的形式来画。每一道代表一个系统或组件，箭头代表数据流动，旁边标注传输协议（TLS 1.2？内部API？明文？）。
注意！我发现很多同行画数据流图时，只画“正常流程”。
举个例：用户正常结账，数据从浏览器到WAF到应用服务器到数据库。这没问题。
但如果你没画 “异常流程”——比如支付失败后，日志里记录了完整的PAN和CVV2——那这个日志服务器就成了一个巨大的风险点。我在一次评估中就是这么发现漏洞的，客户主管当时脸都绿了。
所以，数据流图至少包含两部分：
- 全景视图：所有系统、网络设备、人的交互。
- 细节视图：每个步骤里，数据的具体字段（PAN、姓名、过期日）是否被记录、是否被加密。
最终，这张图要能帮你找出所有“潜在的风险点”。
3. 网络拓扑梳理：物理与逻辑的“双保险”
拓扑图是数据流图的物理基础。你说你做了网络分割，怎么证明？拓扑图就是第一道证据。
梳理拓扑时，我要求团队做到三点：
- 画图要“新”：不要拿客户半年前的拓扑图。一定要让他们提供当前的，并且你亲自去核对核心交换机上的配置。
- 画图要“全”：不仅要画出CDE，还要画出所有“声称被隔离”的非CDE区域。标记清楚所有互访的端口和协议。
- 画图要“清”：CDE和非CDE之间，必须用虚线或醒目的颜色标出防火墙策略。每一行策略都要有备注。
实战中的典型陷阱：
客户说：“我们CDE和办公网在同一个交换机上，但通过VLAN隔离了。” 看起来没问题？
但如果你发现这台交换机同时跑着 “VLAN间路由” 功能，又没有做严格的 ACL——那么实际上，两个VLAN之间是可以通信的。这等于没有隔离。
我曾经在一个项目中就遇到这种情况，客户的技术经理自信满满，结果我一查，发现办公网的一台打印机都能ping通CDE的数据库。那个项目后来花了三个月重构网络。
所以，拓扑梳理不能只看图，还要验证。验证方式包括：
- 登录设备：看running-config，确认ACL和VLAN配置。
- 做traceroute：从办公网PC tracert 到 CDE服务器，看经过了几跳，有没有防火墙。
- 做端口扫描：从非CDE段扫描CDE段的IP，看有哪些端口开放（如果开了，多半是没隔离好）。
| 验证维度 | 检查方法 | 常见失败场景 |
|---|---|---|
| 物理隔离 | 查看网线连接、光纤连接 | 共用核心交换机，未做硬件VLAN |
| 逻辑隔离 | 检查防火墙策略、ACL | ACL规则放行了any any |
| 默认网关 | 查看每台设备的默认路由 | 非CDE的默认网关指向了CDE的网段 |
| 管理通道 | 检查跳板机策略 | 运维人员用VPN直连CDE，没有经过跳板机 |
4. 环境准备检查清单
最后，我习惯在出发去客户现场前，自己过一遍这个清单。别嫌麻烦，这能帮你省下至少一天的无用功。
- 系统清单：已获取最新的资产台账（IP、主机名、用途）。
- 人员访谈：已约好网络管理员、系统管理员、安全官。
- 文档初稿：客户已提供初始的数据流图草稿。
- 工具准备：Nmap、Wireshark、Burp Suite 已装好，且获得客户授权。
- 权限开通：已申请临时管理员账号（用于查看防火墙配置和系统盘）。
个人经验：第一次去现场，多带一根网线、一个USB Hub。很多时候客户说“准备好了”，结果到了发现网口不够用，或者Console线找不到。临时去IT仓库翻半天，很影响状态。
好了，关于评估准备这三大块，咱们今天就聊到这儿。记住，范围、数据流、拓扑，这三样东西越清晰，后面的20多章评估工作就越顺。你想想看，如果连自己的战场都搞不清楚，怎么打仗呢？