PCI DSS 2.0 要求 5.1 规定：
5.1 在通常受恶意软件影响的所有系统（尤其是个人计算机和服务器）上部署防病毒软件。
这个要求（虽然我不是 100% 肯定它是唯一的）导致我们公司的 IT 安全团队要求所有能够以某种方式连接到生产环境的工作站（可能还有所有 CHD 服务器）都具有防病毒和防火墙安装。
在我看来，如果工作站或服务器的唯一操作系统是 GNU/Linux（在这种情况下是 Debian Wheezy），那么这个要求有点疯狂。据我所知，在 Linux 发行版上运行的 AV 软件的主要目的是检测 Windows 恶意软件，更不用说这些工具都没有提供“实时”保护。您可以获得的最佳保护是计划扫描（而且，由于要求 5.1.1，这是一个相当大的问题）。
此外，所有工作站也需要防火墙（PCI DSS 1.4）。有趣的是，虽然几乎所有 Linux 安装都有防火墙（iptables），但实际上它们都没有任何规则。
你能通过 PCI DSS 而不在所有 linux 工作站和服务器上安装防病毒软件吗？
你能通过 PCI DSS 而不在所有 linux 工作站上安装额外的防火墙或配置 iptables 吗？
补充：如果需要 AV，那么要求 5.1.1 呢？
5.1.1 确保所有防病毒程序都能够检测、删除和防御所有已知类型的恶意软件。
我不认为 Linux AV 能够进行“实时保护”，例如扫描用户运行或即将运行的所有内容。至少与最近的内核不兼容。
认证后更新：我们公司现在通过了 PCI DSS 3.0认证，我们不必在每台运行 GNU/Linux 的计算机上安装防病毒软件。我们不必与评估员争论，因为他们直接说他们认为 Linux 工作站不需要 AV。