由于自动化工具唾手可得，加之被盗凭据让以牟利为目的的应用攻击变得相当容易，网络犯罪不断增加，并将继续增长。这进而推动行业和政府制定更严格的安全标准，以确保合规并维护信任。此类行业安全标准的一个例子是支付卡行业数据安全标准（PCI-DSS），该标准已发布v4版要求。此次发布的目标之一是更新客户端安全的整体防护体系。
PCI-DSS是一项至关重要的标准，有助于支付处理商与服务提供商相互信任、相互保护。为满足电子交易日益增长的需求，各类商户和服务提供商已将应用迁移到云基础设施，以确保运营具备可扩展性和低延迟。无论商户和服务提供商使用何种基础设施处理付款，PCI-DSS合规标准均适用于所有电子交易。PCI-DSS涵盖网络安全、数据加密和管理，但未涉及如何保护应用（及数据）免受自动化攻击。
为保护云端应用和数据免受自动化（或人工）攻击，支付处理商和商户依靠第三方安全服务提供商，为应用和数据提供分布式保护。SaaS安全供应商通过PCI-DSS认证，对于支付发行方保持合规并维持与其互联及开展业务的其他供应商之间的信任至关重要。如果安全即服务供应商不符合PCI-DSS要求，支付发行方将更难保持或证明合规性，也更难持续获得与其互联以处理支付的第三方组织的信任。
根据PCI-DSS术语表，服务提供商是指代表其他实体处理、存储或传输持卡人数据，但本身并非直接参与这些活动的支付品牌的商业实体。服务提供商还包括所提供的服务能够控制或可能影响持卡人数据安全的公司，例如提供托管防火墙、入侵检测系统及其他服务的托管服务提供商，以及托管服务商和其他实体。
F5 Distributed Cloud (XC) Bot Defense是一款SaaS解决方案，可保护应用免受自动化攻击，并以服务提供商的身份满足PCI-DSS合规要求。F5 XC Bot Defense为支付卡发行机构及类似组织提供自动化攻击防护，广泛适用于全球金融服务、零售和电子商务、医疗保健及政府等行业。
F5作为服务提供商，能够满足PCI-DSS合规要求，一个很好的例证是其在政策、运营和文档方面严格遵循以下PCI要求：
1.3 对持卡人数据环境（CDE）的入站和出站网络访问受到限制。
1.3.1 对CDE的入站流量限制如下：
- 仅限必要的流量。
- 明确拒绝所有其他流量。
1.3.2 CDE的出站流量受到以下限制：
- 仅限必要的流量。
- 明确拒绝所有其他流量。
1.4.1 在可信网络与不可信网络之间实施NSC。
1.4.2 从不受信任网络到受信任网络的入站流量仅限于：
- 与获准提供可公开访问的服务、协议和端口的系统组件进行通信。
- 对可信网络中系统组件发起的通信进行有状态响应。
- 拒绝所有其他流量。
1.4.3 已实施反欺骗措施，用于检测并阻止伪造源IP地址进入可信网络。
作为PCI-DSS服务提供商，F5不仅必须满足PCI-DSS要求，还必须在此基础上进一步加强防护，以便有效保护分布式应用和数据，抵御可快速扩大规模和/或变异的自动化攻击。
要详细了解F5 Distributed Cloud Bot Defense如何保护应用和数据免受攻击，同时简化PCI-DSS合规流程，请参阅：
关于作者
相关博客文章
Thingbot正转变为攻击平台
Lori MacVittie重点介绍了F5 Labs对2018年1月至6月全球物联网设备攻击的研究，并指出了其中令人警醒的影响。物联网设备不仅持续遭到利用，还被转变为攻击平台，这意味着攻击者可以更充分地利用这个必然增长的市场。
借助F5全新Quick Start，在AWS上快速开展业务
在AWS re:Invent开幕前，我们很高兴与大家分享F5与AWS之间全新的Quick Start集成。F5的Tom Atkins将介绍该服务如何启动、配置和运行在AWS上部署工作负载所需的计算、网络、存储及其他AWS服务。