Das neueste Update desPCI DSS (Payment Card Industry Data Security Standard) 4.0.1 ist von großer Bedeutung und legt einen stärkeren Fokus auf Software-Lieferketten, einschließlich APIs und clientseitiger Skripte.
Mit der Ablösung von PCI DSS 3.2.1 müssen sich Organisationen, die Zahlungen verarbeiten, an die sich wandelnde Landschaft moderner, auf Microservices basierender Anwendungen, Multicloud-Umgebungen und die zunehmende Implementierung von APIs anpassen.
In diesem Blogbeitrag werden einige der wichtigen neuen Anforderungen vorgestellt, die mit PCI DSS 4.0.1 eingeführt wurden und speziell auf den Schutz von APIs abzielen, die für Transaktionen in nahezu allen Branchen und Organisationen unverzichtbar geworden sind.
Zu den neuen Vorgaben gehören:
- Tests vor der Bereitstellung 6.2.3: Dies unterstreicht die Bedeutung strenger Prüf-, Test- und sicherer Entwicklungsverfahren für maßgeschneiderte und kundenspezifische Software, einschließlich APIs, vor der Veröffentlichung, um Schwachstellen im Code zu identifizieren und zu beheben.
- Schutz vor gängigen Bedrohungen 6.2.4: Unternehmen müssen Kontrollen implementieren, um gängige Softwareangriffe und damit verbundene Schwachstellen in individuell entwickelter und angepasster Software zu verhindern oder einzudämmen. Der Schwerpunkt liegt dabei auf dem Missbrauch der Geschäftslogik, Injektionsangriffen (z. B. SQL, LDAP, XPATH oder andere Befehls-, Parameter-, Objekt- oder Fehlerinjektionen usw.) sowie Angriffen auf die Zugriffskontrolle und Daten. All diese Maßnahmen sind für den Schutz von APIs von entscheidender Bedeutung.
- Bestandsübersicht und Einblick in maßgeschneiderte Software 6.3.2: Unternehmen müssen außerdem die Transparenz und Bestandsübersicht über maßgeschneiderte und individuell entwickelte Software, einschließlich APIs und Komponenten von Drittanbietern, aufrechterhalten, um das Schwachstellenmanagement und die Bereitstellung von Patches zu erleichtern und so eine umfassende Sicherheitslage zu gewährleisten.
- Transparenz in der Produktionsumgebung, Bedrohungserkennung und Tests gemäß 6.4.1 und 6.4.2: Diese Aktualisierung unterstreicht die Notwendigkeit regelmäßiger Tests sowie der kontinuierlichen Überwachung und des Schutzes öffentlich zugänglicher Webanwendungen und APIs vor Schwachstellen, bekannten Angriffen und neu auftretenden Bedrohungen. Zu diesen Anforderungen gehören:
- Regelmäßige (mindestens jährliche) Überprüfung und Tests öffentlich zugänglicher Webanwendungen und APIs
- Eine technische Lösung, die öffentlichen Webanwendungen und APIs vorgeschaltet ist, um web- und API-basierte Angriffe zu erkennen und zu verhindern
Unternehmen müssen die Vorgaben bis März 2025 erfüllen
Die jüngsten Überarbeitungen des Standards PCI DSS 4.0 wurden im Juni 2024 vom PCI Security Standards Council veröffentlicht und tragen den geschäftlichen und technischen Veränderungen der vergangenen Jahre Rechnung. Diese Änderungen berücksichtigen die breite Einführung von APIs sowie die Weiterentwicklung der Anwendungen und Infrastrukturen, die eine wachsende Zahl von Diensten und Interaktionen unterstützen und damit die zunehmend digitale Wirtschaft von heute ermöglichen – darunter Zahlungssysteme für den stationären Handel, das Web und mobile Geräte.
“Der Fokus von PCI DSS 4.0.1 auf API-Sicherheit ist ein entscheidender Schritt zum Schutz digitaler Transaktionen in den komplexen und sich ständig weiterentwickelnden IT-Umgebungen von heute.”
APIs stellen einen Wandel im Bedrohungsparadigma dar und weisen eigene spezifische Bedrohungen auf, die in den API OWASP TOP 10 behandelt werden. Sie sind für die meisten Angriffe und Schwachstellen anfällig, die auch herkömmliche Webanwendungen betreffen, legen jedoch häufig die Geschäftslogik direkt offen, wodurch sie zu einem zunehmend attraktiven Ziel für Angreifer werden. Zudem erfordern sie spezielle Kontrollen, um Daten vor unbefugtem Zugriff, Manipulation oder Offenlegung zu schützen, den Datenschutz zu gewährleisten und das Vertrauen von Nutzern und Stakeholdern zu erhalten sowie die Vertraulichkeit, Integrität und Verfügbarkeit der API-Kommunikation sicherzustellen.
Die Frist für Unternehmen zur Einhaltung der Vorgaben im März 2025 unterstreicht, wie dringend sie sich an diese neuen Spezifikationen anpassen müssen, um APIs und ihre clientseitigen Skripte zu schützen.
Einige Strategien zur Sicherstellung der Compliance
Um die Anforderungen von PCI DSS 4.0 wirksam zu erfüllen und ihre gesamte Angriffsfläche zu schützen, sollten Unternehmen ihre bestehende Sicherheitsinfrastruktur, ihre Prozesse und ihre Fähigkeiten bewerten und die Implementierung von Lösungen in Betracht ziehen, die Folgendes bieten:
- Umfassende API-Erkennung: Dies beginnt mit der Integration von Code-Repositorys, um vollständige und präzise Bestandsverzeichnisse und Dokumentationen direkt aus der bzw. den Quelle(n) zu erstellen. Dazu gehören jedoch auch die verkehrsbasierte Analyse und das Crawlen von Domains, um Schatten-, Zombie-, nicht verwaltete und Drittanbieter-APIs zu identifizieren.
- Umfassende API-Tests: Solche Tests ermöglichen die Analyse von API-Code vor der Produktivsetzung in Kombination mit dynamischen Tests öffentlich zugänglicher Anwendungen und APIs. Dadurch werden Schwachstellen kontinuierlich identifiziert und mit Kontext sowie Hinweisen zur Behebung versehen.
- Laufzeitschutz: Dieser erfordert Inline-Durchsetzungs- und Kontrollmechanismen, um unerwünschtes API-Verhalten zu blockieren und einzuschränken sowie ordnungsgemäßes API-Verhalten durchzusetzen. Dazu gehören WAF- und andere API-spezifische Funktionen, mit denen sich API-Schutzregeln, Ratenbegrenzung, Datenmaskierung und Schemaerzwingung umsetzen lassen, um ein positives Sicherheitsmodell zu gewährleisten.
- Kontinuierliche Überwachung und Anomalieerkennung: Umfasst KI-/ML-basierte Verhaltensanalysen und die kontinuierliche Überprüfung des API-Datenverkehrs, um potenzielle Angriffe, die Offenlegung sensibler Daten und anderes ungewöhnliches API-Verhalten zu erkennen, das auf einen Missbrauch oder eine Kompromittierung eines API-Endpunkts hindeuten könnte.
Die Aktualisierung ist umfangreich, doch die Einhaltung der Vorgaben muss keine unüberwindbare Herausforderung sein
Der Fokus von PCI DSS 4.0.1 auf API-Sicherheit stellt einen entscheidenden Schritt zum Schutz digitaler Transaktionen in den heutigen komplexen und sich ständig weiterentwickelnden IT-Umgebungen dar.
Da die Frist näher rückt, werden proaktive Maßnahmen zur Verbesserung der API-Sicherheit entscheidend sein, um die Compliance zu erreichen und dauerhaft zu gewährleisten. Sie erhöhen zudem die Widerstandsfähigkeit Ihrer Infrastruktur gegenüber Cyberbedrohungen und Angriffen auf APIs und clientseitige Skripte, verbessern den Schutz der Zahlungskartendaten und -informationen Ihrer Kunden und stärken das Vertrauen von Kunden und Aufsichtsbehörden in Ihr Unternehmen sowie dessen Glaubwürdigkeit.
“Die Frist im März 2025 verdeutlicht, wie dringend Unternehmen diese neuen Vorgaben erfüllen müssen, um APIs und die zugehörigen clientseitigen Skripte zu schützen.”
Sie können Ihr Unternehmen auf die Einhaltung von PCI DSS 4.0.1 vorbereiten, indem Sie Ihre aktuellen API-Sicherheitspraktiken bewerten, Lücken identifizieren und notwendige Verbesserungen umsetzen. Informieren Sie sich laufend über zusätzliche Ressourcen und Leitlinien des PCI Security Standards Council, um bis März 2025 vorbereitet zu sein.
Das muss keine überwältigende Aufgabe sein. F5 verfügt über das Fachwissen und die Lösungen, um Unternehmen dabei zu unterstützen, Kontrollen zu bewerten und zu implementieren, die den neuen Anforderungen entsprechen und die Sicherheit ihrer Webanwendungen und APIs verbessern.
Sehen Sie sich diese Demo der umfassenden API-Sicherheitslösung von F5 in Aktion an und kontaktieren Sie uns noch heute, um einen Termin mit einem unserer Experten zu vereinbaren.
Über den Autor
Ähnliche Blogbeiträge
F5 und Equinix bündeln ihre Kräfte, um die sichere Anwendungsbereitstellung in Multicloud-Umgebungen zu vereinfachen
F5 und Equinix ermöglichen es Unternehmen, sich weltweit sicher und zuverlässig mit ihren Partnern zu vernetzen.
API-Sicherheitsrisiken und -herausforderungen
Erfahren Sie, warum APIs für die moderne App-Entwicklung unverzichtbar sind und wie Sie sie vor den häufigsten Sicherheitslücken schützen. Profitieren Sie von Expertentipps und direkt umsetzbaren Strategien.
Ein Meilenstein für die Community Impact Grants von F5
F5 feiert das fünfjährige Bestehen seines innovativen Community Impact Grant-Programms, das gemeinnützige Organisationen, bei denen sich F5-Mitarbeitende ehrenamtlich engagieren, mit Fördermitteln in Höhe von 5.000 US-Dollar unterstützt.
Mit moderner, anpassungsfähiger und sicherer Gesundheits-IT Leben retten
Die IT-Investitionen im Gesundheitswesen tragen dazu bei, die schnellsten Wege zu einer besseren Versorgung zu finden, indem sie die medizinische Betreuung näher an die Patientinnen und Patienten bringen. Viele Gesundheitsunternehmen nutzen riesige Mengen an klinischen und anderen Gesundheitsdaten, um Entwicklungen zu verfolgen und übergreifende Trends in der gesamten Gesundheitslandschaft zu erkennen. Gleichzeitig nähern sie sich einer möglichst präzisen, individuell zugeschnittenen Versorgung an.
Verbesserung der Benutzer- und Administrationserfahrung durch sicheren hybriden Zugriff
Diese Kombination aus BIG-IP Access Policy Manager und Azure Active Directory ermöglicht Identitätsföderation, zentralisierten Benutzerzugriff (über Single Sign-on) und erhöhte Anwendungssicherheit (durch Multi-Faktor-Authentifizierung) für geschäftskritische Anwendungen sowie cloudbasierte und SaaS-Anwendungen. Dieser Ansatz vereinfacht die Einrichtung und Bereitstellung, reduziert den Verwaltungsaufwand und verbessert die gesamte Administration.
Das Internet der Sicherheitsdinge
Nein, das ist keine Tirade über die Sicherheit des IoT. Es ist eine Geschichte über Veränderung – genauer gesagt über Veränderung und ihre Auswirkungen auf die Sicherheit. Veränderung ist allgegenwärtig. Es gibt unzählige Axiome und Sprichwörter über Veränderung, also ist es ...