近年来，表单劫持和Magecart攻击激增，已成为电子商务和数字支付领域的主要威胁。这些客户端攻击直接从用户浏览器中暗中窃取信用卡号、登录凭据和个人身份信息（PII）等敏感数据，全程无需接触组织的服务器。攻击者通过向第三方脚本或前端代码直接注入恶意JavaScript，绕过传统的边界防御和服务器端防御。
了解表单劫持和Magecart
表单劫持通过向在线表单注入恶意JavaScript，在浏览器端捕获用户输入。攻击者通常会利用第三方脚本或内容分发网络（CDN）中的漏洞实施此类攻击，因此服务器端安全工具难以检测。
Magecart是对一系列专门从事网页窃取的网络犯罪团伙的统称。这些网络犯罪团伙通常通过注入JavaScript代码来入侵电子商务网站，并在结账过程中窃取支付数据。随后，窃取的数据会被外传至攻击者控制的域名，通常经过混淆处理，或隐藏在看似合法的请求中。
这两类攻击都利用同一个载体：浏览器。攻击能否得逞，取决于组织对客户端实际执行内容的可见性有多低。
PCI DSS v4.0.1 应运而生：加强客户端安全
随着支付卡行业数据安全标准（PCI DSS）v4.0.1的发布，PCI安全标准委员会开始直接应对日益严重的客户端攻击威胁。PCI SSC首次纳入两项客户端要求，并于2025年3月31日生效，以直接应对这一新的攻击途径：
要求6.4.3：所有在消费者浏览器中加载并执行的支付页面脚本均按以下方式进行管理：
- 已实施一种方法，用于确认每个脚本均已获得授权。
- 已实施一种方法，以确保每个脚本的完整性。
- 维护所有脚本的清单，并以书面形式说明每个脚本不可或缺的业务或技术理由。
要求 11.6.1：按以下方式部署变更和篡改检测机制：
- 在消费者浏览器接收的支付页面中，当影响安全的HTTP标头和脚本内容遭到未经授权的修改（包括失陷指标、更改、添加和删除）时，向相关人员发出警报。
- 该机制已配置为评估接收到的HTTP标头和支付页面。
这些新要求揭示了一个基本事实：客户端脚本如今已成为PCI攻击面中的关键部分。然而，对许多组织而言，满足这些要求仍面临运营和技术障碍，尤其是考虑到JavaScript生态系统的动态特性以及对第三方服务的依赖。
弥合可见性差距
传统Web应用防火墙（WAF）、安全信息和事件管理（SIEM）解决方案以及端点工具在服务器端或网络边界运行，无法洞察最终执行环境，也就是用户的浏览器。一旦恶意代码通过遭入侵的标签管理器、CDN或第三方供应链攻击注入，服务器端工具往往完全无法发现此类安全事件。此时，F5 Distributed Cloud Client-Side Defense便可发挥作用。
与服务器端工具不同，Distributed Cloud Client-Side Defense直接在浏览器中运行，可实时监控、验证完整性，并在恶意行为发生时发出警报。我们近期还更新了这项服务，使其专门用于应对PCI DSS v4.0.1第6.4.3和11.6.1项要求中所述的威胁。
F5 Distributed Cloud Client-Side Defense 专为满足 PCI DSS v4.0.1 中规定的客户端要求而设计。
它可通过以下方式提供帮助：
- 脚本清单和授权：Distributed Cloud Client-Side Defense持续跟踪并维护支付页面上运行的所有第一方和第三方脚本清单。组织可以建立脚本允许列表并提供书面理由，还可在出现新脚本或未经授权的脚本时收到警报，从而帮助证明符合6.4.3的要求。
- 脚本完整性验证：Distributed Cloud Client-Side Defense通过检测 Web 应用运行时，监控可能表明存在意外及潜在恶意行为的显著行为变化，尤其是新的网络请求和数据访问，从而验证脚本的完整性。
- ·脚本及影响安全的HTTP标头监控：Distributed Cloud Client-Side Defense会定期检查脚本及影响安全的HTTP标头是否存在未经授权的修改；如检测到更改，则会发出警报，帮助组织证明符合11.6.1的要求。
- 数据外泄检测：高级威胁模型会监控出站请求，识别数据外泄迹象。如果脚本尝试将捕获的表单数据发送到可疑端点，系统将触发警报，组织可直接采取缓解措施，阻止网络调用和表单字段读取。
- 企业级警报和报告：安全与合规团队可获得有关脚本行为、域关系和浏览器端数据流的丰富遥测数据，非常适合用于PCI审计跟踪和取证调查。
从合规迈向韧性
随着基于浏览器的威胁不断突破传统防御，仅仅满足合规要求已远远不够。组织必须采用安全控制措施，深入了解最终用户体验中实际发生的情况，同时增强抵御未来威胁的韧性。F5 Distributed Cloud Client-Side Defense提供所需的可观测性、控制和自动化能力，帮助组织提前防范表单劫持和Magecart威胁，同时紧密契合PCI DSS v4.0.1的新要求。
如需了解更多信息，请访问F5 Distributed Cloud Client-Side Defense网页。如果您计划参加今年的RSA Conference，欢迎参加我们于4月29日举办的“携手增强实力：应用安全与交付的统一方法”主题会议，并莅临N-4335展位。
相关博客文章
Thingbot正转变为攻击平台
Lori MacVittie重点介绍了F5 Labs对2018年1月至6月全球物联网设备攻击的研究，并指出了其中令人警醒的影响。物联网设备不仅持续遭到利用，还被转变为攻击平台，这意味着攻击者可以更充分地利用这个必然增长的市场。
借助F5全新Quick Start，在AWS上快速开展业务
在AWS re:Invent开幕前，我们很高兴与大家分享F5与AWS之间全新的Quick Start集成。F5的Tom Atkins将介绍该服务如何启动、配置和运行在AWS上部署工作负载所需的计算、网络、存储及其他AWS服务。