F5助您满足新版PCI DSS v4.0要求

F5生态系统 | 2024年12月13日

2022年3月，支付卡行业（PCI）安全标准委员会（SSC）发布了其数据安全标准的最新版本PCI DSS v4.0，并于2024年3月底正式停用PCI DSS v3.2.1。PCI DSS是一项全球性标准，规定了任何存储、处理或传输支付卡数据的组织为实现合规而必须满足的最低技术和运营安全要求。

PCI DSS v4.0及其更新版本（PCI DSS标准的最新版本为v4.0.1）在设计上比以往版本具有更高的灵活性和更强的风险控制能力，推动支付卡数据安全实现重大进步，并为组织提供了可遵循的良好实践。然而，再过略多于3个月（即2025年3月31日之后），这些PCI DSS v4.x“良好实践”将转为适用于所有PCI DSS评估的要求。

PCI DSS v4.x强调，在支付卡的整个生命周期内保护敏感持卡人数据至关重要。无论持卡人数据处于传输中还是静态存储状态，都必须进行加密，这凸显了保护支付交易和数据的重要性，同时有助于主动防范新兴威胁。

PCI DSS与WAF

在PCI DSS v3.2.1中，组织可以选择至少每年一次或在应用发生重大变更后，采用人工方式或自动化应用漏洞安全评估工具来保护面向公众的Web应用。组织也可以选择在任何面向公众的Web应用前部署自动化解决方案，以持续检测和防范基于Web的攻击，并将其配置为阻止攻击或在发生攻击时生成警报。但PCI DSS v4.x将要求组织在面向公众的Web应用前部署解决方案，以持续检测和防范基于Web的攻击，并在发生攻击时生成警报（PCI DSS v4.0第6.4.2小节）。

这正是Web应用防火墙（WAF）的作用。WAF部署在面向公众的应用前端，用于检查应用流量，检测并防御各种基于Web的攻击。WAF可防御应用层攻击，包括可能利用应用及其软件供应链中常见和未知漏洞的攻击。软件供应链包括构成当今复杂先进应用的核心代码、第三方库、构建工具及其他代码。WAF还可防御试图利用实施或配置缺陷的攻击，以及针对支付、凭据和已安装应用的自动化攻击。

F5如何提供帮助

无论应用和API位于何处，F5都能为其提供安全防护。无论应用部署在哪里，F5的WAF解决方案都可以部署在应用前端。无论需要保护本地、数据中心还是云端的应用，F5都能提供WAF解决方案，实现全面的应用层安全防护，抵御漏洞利用和攻击。F5 WAF提供设备、软件和云端部署方式；云端部署可采用自助服务或托管服务，为容器化应用、Kubernetes等提供安全防护。

F5产品已通过PCI DSS一级服务提供商认证。服务提供商是指PCI SSC所定义的不提供品牌支付卡或其他支付载体，但为其他组织处理、存储或传输持卡人数据或敏感身份验证数据的组织。提供控制或影响持卡人数据或敏感身份验证数据安全性的服务的公司，例如F5通过F5 Distributed Cloud Services提供此类服务，也被归类为PCI DSS v4.0服务提供商。F5产品功能可帮助作为商户的客户满足PCI DSS要求。商户由PCI SSC定义为接受带有任何参与支付品牌标识的支付卡，以收取商品和／或服务款项的任何实体。

F5 Distributed Cloud Services提供多项服务，可帮助存储、处理或传输支付卡数据的组织满足PCI DSS v4.0标准中多个章节和子章节的要求。

F5 Distributed Cloud WAF可保护部署在任何位置的应用，包括云、数据中心和边缘位置。作为中间代理，Distributed Cloud WAF会检查应用请求和响应，阻止攻击并缓解风险，例如OWASP十大类别、威胁活动、恶意用户、应用层DDoS威胁、机器人和自动化攻击等。它通过全面、一致的安全控制和策略来缓解Web应用攻击和漏洞，并提供易于配置、部署、管理和扩展的可观测性。F5 Distributed Cloud WAF可简单、无缝地将防护集成到应用开发流程中，从而加快应用交付和发布周期，并提高安全性。F5 Distributed Cloud WAF采用基于签名和AI的检测技术以及自动签名调优，以高效方式提供快速、简单的应用层安全防护。Distributed Cloud Services中新增的AI助手通过自然语言界面提供实时洞察、可行的建议和数据报告摘要，帮助简化分布式应用和API的安全防护。

F5 NGINX App Protect是一款轻量级、高性能的WAF，旨在为分布式架构和混合环境中的API及现代应用提供一致的保护。NGINX App Protect不受平台限制，可无缝集成到应用开发流程中，检测并防御应用攻击，包括第7层拒绝服务（DoS）攻击和机器人攻击。作为一款功能强大、低延迟的应用安全解决方案，NGINX App Protect支持在Kubernetes集群和云端扩展应用安全能力，有助于显著降低计算成本。它提供多层防御，可缓解活跃的网络攻击活动，并提供超越OWASP十大类别的保护。

F5 BIG-IP Advanced WAF是F5的旗舰级Web应用防火墙。屡获殊荣的Advanced WAF所采用的检测和缓解技术，是Distributed Cloud WAF和NGINX App Protect的核心引擎。BIG-IP Advanced WAF通过行为分析、第7层DoS缓解、应用层敏感数据加密和威胁情报服务，保护分布式混合环境中的应用免受各种应用攻击。BIG-IP Advanced WAF提供专用的动态仪表板，可快速、轻松地防范OWASP十大风险中列出的威胁。BIG-IP Advanced WAF提供常见WAF用例的引导式配置和学习引擎，并支持对安全策略进行精细自定义。

F5提供广泛防护

此外，F5还可满足PCI DSS v4.0标准中更多适用领域的要求。

API是各行业和组织几乎所有交易的关键组成部分。PCI DSS v4.0.1引入了多项新要求，旨在保护定制和自定义软件中的API并确保其安全。F5 Distributed Cloud API Security有助于满足其中许多新要求，提供保护API的控制措施，同时帮助防范或缓解常见的软件攻击和漏洞。要深入了解PCI DSS v4.0.1中的API安全要求，请阅读Ian Dinno的博客《PCI DSS 4.0.1更新：客户支付处理机构必须实施重要的API安全升级》，并关注2025年初发布的新博客，了解更多详情。
F5 Distributed Cloud Web App Scanning可动态、持续扫描外部攻击面，发现暴露的Web应用和API。Distributed Cloud Web App Scanning利用自动化渗透测试功能，识别并报告可能被利用的漏洞，包括软件供应链深层的漏洞，帮助更好地保护应用和API免受攻击和利用。Distributed Cloud Web App Scanning还有助于满足PCI DSS v4.0第6.3.2小节的要求。
F5 Distributed Cloud Mobile App Shield可无缝保护移动应用免受恶意软件、机器人、数据泄露、未经授权的访问和中间人（MiTM）攻击，避免由此导致的合规违规、财务损失、客户流失和声誉受损。Distributed Cloud Mobile App Shield提供出色的运行时和静态保护，主动强化移动应用，防止篡改，并阻止恶意机器人、数据外泄和API滥用。
PCI DSS v4.0第8.4.2小节要求，对持卡人数据环境（CDE）的所有访问实施多重身份验证（MFA）。CDE可能包括存储、处理或传输持卡人数据或敏感身份验证数据的系统组件，或可不受限制地连接到这些系统的系统组件。F5 BIG-IP Access Policy Manager (BIG-IP APM)支持零信任应用访问，包括根据日期和时间等多种因素，按权限限制对应用和数据的访问。BIG-IP APM可以保护传输中的持卡人数据和敏感身份验证数据。它还支持增强身份验证，要求指定用户（例如访问CDE的用户或远程用户）输入一组不同于初始访问时所用凭据的身份验证凭据，包括不同的MFA凭据。
要检测并及时处理关键安全控制系统（包括入侵检测系统（IDS）、入侵防御系统（IPS）和反恶意软件解决方案）的故障，可以使用F5 BIG-IP SSL Orchestrator。BIG-IP SSL Orchestrator通过解密加密流量，并借助可自定义的动态服务链将解密后的流量引导至现有安全堆栈，从而提供加密威胁防护。它还可以在安全堆栈中的各个解决方案之间对流量进行负载均衡，监控所有解决方案的运行状况，并管理安全解决方案的密码套件更新。此外，如果某个安全解决方案离线，可以通过BIG-IP SSL Orchestrator的动态服务链快速降低风险，绕过离线解决方案，并减轻意外绕过流量等不利影响。需要更换安全解决方案时，BIG-IP SSL Orchestrator可以高效处理安全服务的变更和插入，在不中断流量的情况下，将解密后的流量无缝转发以供检查。BIG-IP SSL Orchestrator有助于满足PCI DSS v4.0第10.7.2、10.7.3和11.5.1.1小节的要求。