PCI DSS 4.0.1更新：客户支付处理机构须实施重要的API安全升级

F5生态系统 | 2024年8月30日

Ian Dinno高级产品营销经理 | F5

最新的支付卡行业数据安全标准（PCI DSS）4.0.1更新意义重大，更加重视软件供应链，包括API和客户端脚本。

随着PCI DSS 3.2.1停止使用，支付处理组织必须适应不断变化的技术环境，包括基于微服务的现代应用、多云环境以及日益广泛的API实施。

本篇博文将探讨PCI DSS 4.0.1 中引入的一些关键新要求。这些要求专门用于保护API，而API已成为几乎所有行业和组织开展交易不可或缺的一部分。

新要求包括：

部署前测试 6.2.3：该要求强调，在发布定制软件（包括API）之前，应进行严格的审查和测试，并遵循安全开发实践，以识别和修复代码漏洞。
防范常见威胁 6.2.4：组织必须实施控制措施，以防止或缓解针对定制软件的常见软件攻击及相关漏洞。重点包括滥用业务逻辑、注入攻击（例如SQL、LDAP、XPATH或其他命令、参数、对象、故障等注入），以及针对访问控制和数据的攻击。这些措施对于保护API都至关重要。
定制软件的清单与洞察 6.3.2：企业还必须确保定制软件（包括API和第三方组件）的可见性并维护其清单，以便开展漏洞管理和修补工作，从而构建全面的安全态势。
生产环境可见性、威胁检测和测试（6.4.1和6.4.2）：此次更新强调，需要定期测试，并持续监控和保护面向公众的Web应用和API，使其免受漏洞、已知攻击和新兴威胁的影响。相关要求包括：
- 定期（至少每年一次）扫描和测试面向公众的Web应用和API
- 部署在面向公众的Web应用和API前端，用于检测和防御基于Web和API的攻击的技术解决方案

组织须在2025年3月的截止日期前达到合规要求

PCI安全标准委员会于2024年6月发布了PCI DSS 4.0标准的最新修订，以应对近年来商业和技术领域的变革。这些变更反映了API的广泛采用，以及应用和基础设施的持续演进。这些应用和基础设施支持着日益增多的服务与交互，为当今数字化程度不断提高的经济提供动力，其中包括线下、Web和移动支付系统。

“PCI DSS 4.0.1对API安全的重视，标志着在当今复杂且不断演变的IT环境中保护数字交易迈出了关键一步。”

API带来了威胁范式的转变，并面临一系列特有威胁，详见API OWASP十大安全风险。API容易遭受传统Web应用所面临的大多数攻击和漏洞影响，但通常会直接暴露业务逻辑，因此正日益成为攻击者青睐的目标。此外，API还需要一套专门的控制措施，防止数据遭到未经授权的访问、篡改或泄露，从而保障隐私，维护用户和利益相关方的信任，并确保API通信的机密性、完整性和可用性。

组织须在2025年3月前达到合规要求，这一期限凸显了企业亟须遵循这些新规范，以保护API及其客户端脚本。

确保合规的一些策略

为有效满足PCI DSS 4.0标准并保护整个威胁面，组织应评估现有的安全基础设施、流程和能力，并考虑实施可提供以下功能的解决方案：

全面的API发现：首先与代码存储库集成，直接根据源代码构建完整、准确的清单和文档。此外，还包括基于流量的分析和域名爬取，以识别影子API、僵尸API、未受管理的API和第三方API。
全面的API测试：此类测试将API代码的预生产分析与面向公众的应用和API动态测试相结合，可持续识别漏洞，并提供相关背景信息和修复指导。
运行时保护：这需要采用内联执行和控制机制，以阻止和限制不当行为，并确保API行为符合规范。其中包括WAF及其他API专用功能，用于实施API保护规则、速率限制、数据掩码和架构强制执行功能，从而实现正向安全模型。
持续监控和异常检测：包括基于AI/ML的行为分析和对API流量的持续检查，用于识别潜在攻击、敏感数据暴露，以及其他可能表明API端点遭到滥用或入侵的异常API行为。