Bot-Abwehr sollte auch zur Einhaltung des PCI DSS beitragen

Die Cyberkriminalität hat zugenommen und wird weiter wachsen, da leicht verfügbare Automatisierungstools und gestohlene Zugangsdaten es relativ einfach machen, Anwendungen mit Gewinnerzielungsabsicht anzugreifen. Dies wiederum hat zu strengeren Sicherheitsstandards in Wirtschaft und Verwaltung geführt, um Compliance und Vertrauen zu gewährleisten. Ein Beispiel für einen solchen Sicherheitsstandard der Branche ist der Payment Card Industry Data Security Standard (PCI-DSS), dessen Anforderungen mit Version 4 aktualisiert wurden. Eines der Ziele dieser Version ist die Aktualisierung des gesamten Schutzkonzepts für die clientseitige Sicherheit.

PCI-DSS ist ein wichtiger Standard, da er Zahlungsabwicklern und Dienstleistern ermöglicht, einander zu vertrauen und sich gegenseitig zu schützen. Um den wachsenden Anforderungen elektronischer Transaktionen gerecht zu werden, haben verschiedene Händler und Dienstleister ihre Anwendungen auf cloudbasierte Infrastrukturen migriert, die einen skalierbaren Betrieb mit geringer Latenz gewährleisten. Die PCI-DSS-Compliance-Standards gelten für alle elektronischen Transaktionen, unabhängig davon, welche Infrastruktur Händler und Dienstleister zur Zahlungsabwicklung nutzen. PCI-DSS deckt Netzwerksicherheit, Datenverschlüsselung und Datenverwaltung ab, befasst sich jedoch nicht mit dem Schutz von Anwendungen (und Daten) vor automatisierten Angriffen.

Um cloudbasierte Anwendungen und Daten vor automatisierten (oder manuellen) Angriffen zu schützen, greifen Zahlungsabwickler und Händler auf externe Sicherheitsdienstleister zurück, die einen verteilten Schutz für Anwendungen und Daten bereitstellen. Die PCI-DSS-Zertifizierung eines SaaS-Sicherheitsanbieters ist für Zahlungsdienstleister von entscheidender Bedeutung, damit sie die Compliance-Anforderungen erfüllen und das Vertrauen anderer Anbieter wahren können, mit denen sie verbunden sind und Geschäftsbeziehungen unterhalten. Ein Security-as-a-Service-Anbieter ohne PCI-DSS-Konformität erschwert es Zahlungsdienstleistern erheblich, ihre Compliance und das fortbestehende Vertrauen der Drittorganisationen, mit denen sie zur Zahlungsabwicklung verbunden sind, aufrechtzuerhalten oder nachzuweisen.

Laut dem PCI-DSS-Glossar ist ein Dienstleister ein Unternehmen, das keine Zahlungsmarke ist und im Auftrag eines anderen Unternehmens direkt an der Verarbeitung, Speicherung oder Übertragung von Karteninhaberdaten beteiligt ist. Dazu gehören auch Unternehmen, die Dienstleistungen erbringen, welche die Sicherheit von Karteninhaberdaten kontrollieren oder beeinträchtigen könnten. Beispiele hierfür sind Managed-Service-Provider, die verwaltete Firewalls, Systeme zur Erkennung von Eindringversuchen und andere Dienste bereitstellen, sowie Hosting-Anbieter und andere Unternehmen.

F5 Distributed Cloud (XC) Bot Defense ist eine SaaS-Lösung, die Anwendungen vor automatisierten Angriffen schützt und die PCI-DSS-Compliance-Anforderungen erfüllt – und zwar als Dienstanbieter. F5 XC Bot Defense schützt Zahlungskartenherausgeber und ähnliche Unternehmen in zahlreichen Branchen wie Finanzdienstleistungen, Einzelhandel und E-Commerce, Gesundheitswesen sowie Behörden weltweit vor automatisierten Angriffen.

Ein gutes Beispiel dafür, wie F5 als Dienstanbieter die PCI-DSS-Compliance-Anforderungen erfüllen kann, ist die strikte Einhaltung (in Bezug auf Richtlinien, Betrieb und Dokumentation) der nachfolgend aufgeführten PCI-Anforderungen:

1.3 Der Netzwerkzugriff auf die und aus der Karteninhaberdatenumgebung (CDE) ist eingeschränkt.

1.3.1 Eingehender Datenverkehr zur CDE wird wie folgt eingeschränkt:

• Nur auf den erforderlichen Datenverkehr.
• Jeglicher sonstige Datenverkehr wird ausdrücklich verweigert.

1.3.2 Ausgehender Datenverkehr aus der CDE wird wie folgt eingeschränkt:

• Nur auf den erforderlichen Datenverkehr.
• Jeglicher sonstige Datenverkehr wird ausdrücklich verweigert.

1.4.1 NSCs werden zwischen vertrauenswürdigen und nicht vertrauenswürdigen Netzwerken implementiert.

1.4.2 Eingehender Datenverkehr von nicht vertrauenswürdigen Netzwerken zu vertrauenswürdigen Netzwerken ist beschränkt auf:

• Kommunikation mit Systemkomponenten, die zur Bereitstellung öffentlich zugänglicher Dienste, Protokolle und Ports autorisiert sind.
• Zustandsbehaftete Antworten auf Kommunikationen, die von Systemkomponenten in einem vertrauenswürdigen Netzwerk initiiert wurden.
• Jeglicher sonstige Datenverkehr wird blockiert.

1.4.3 Es sind Anti-Spoofing-Maßnahmen implementiert, um gefälschte Quell-IP-Adressen zu erkennen und daran zu hindern, in das vertrauenswürdige Netzwerk einzudringen.

Als PCI-DSS-Dienstanbieter muss F5 nicht nur die PCI-DSS-Anforderungen erfüllen, sondern auch darauf aufbauen, um verteilte Anwendungen und Daten zuverlässig vor automatisierten Angriffen zu schützen, die schnell skalieren und/oder sich verändern können.

Weitere Informationen dazu, wie F5 Distributed Cloud Bot Defense nicht nur Ihre Anwendungen und Daten vor Angriffen schützen, sondern auch Ihren PCI-DSS-Compliance-Prozess optimieren kann, finden Sie hier:

• Neue Anforderungen von PCI DSS v4.0 befassen sich mit browserbasierten Angriffen
• PCI-Konformität für mobile Sicherheit durch App-Abschirmung erreichen
• F5 Distributed Cloud Bot Defense