F5で新しいPCI DSS v4.0要件に対応

F5エコシステム | 2024年12月13日

2022年3月、Payment Card Industry（PCI）Security Standards Council（SSC）は、データセキュリティ基準の最新版であるPCI DSS v4.0を公開し、2024年3月末にPCI DSS v3.2.1を正式に廃止しました。PCI DSSは、決済カードデータを保存、処理、または送信するあらゆる組織が準拠するために必要な、技術面および運用面での最低限のセキュリティ要件を定めた世界共通の基準です。

PCI DSS v4.0とその更新版（PCI DSS規格の最新バージョンはv4.0.1）は、従来のバージョンよりも高い柔軟性とリスク管理を実現するよう設計されており、決済カードデータのセキュリティを大きく前進させるものとして、組織が従うべきベストプラクティスを提示しました。しかし、3か月余り後（2025年3月31日以降）には、これらPCI DSS v4.xの「ベストプラクティス」が、あらゆるPCI DSS評価に適用される要件へと移行します。

PCI DSS v4.xでは、決済カードのライフサイクル全体を通じて、機密性の高いカード会員データを保護することの重要性が強調されています。カード会員データが転送中か保存中かを問わず暗号化を必須とすることで、決済トランザクションとデータの保護の重要性を明確にするとともに、新たな脅威に対する予防的な防御を実現します。

PCI DSSとWAF

PCI DSS v3.2.1では、組織は、少なくとも年1回またはアプリケーションに大幅な変更があった後に、手動または自動化されたアプリケーション脆弱性セキュリティ評価ツールを使用して、公開Webアプリケーションを保護することを選択できました。あるいは、公開Webアプリケーションの前段に自動化されたソリューションを導入し、Webベースの攻撃を継続的に検知および防止するとともに、攻撃をブロックするかアラートを生成するよう設定することも選択できました。しかし、PCI DSS v4.xでは、公開Webアプリケーションの前段にソリューションを導入し、Webベースの攻撃を継続的に検知、防止し、アラートを生成することが組織に義務付けられます（PCI DSS v4.0のサブセクション6.4.2）。

これはまさに、Webアプリケーションファイアウォール（WAF）が担う役割です。WAFは、一般公開されているアプリケーションの前段に導入され、アプリケーショントラフィックを検査して、Webベースの攻撃を検知し、防御します。また、アプリケーションやそのソフトウェアサプライチェーン（今日の複雑で高度なアプリケーションを構成するコアコード、サードパーティライブラリ、ビルドツール、その他のコード）に存在する既知および未知の脆弱性を悪用する可能性のある攻撃を含め、アプリケーションレイヤーへの攻撃を防ぎます。さらに、実装や設定の不備を悪用しようとする攻撃や、決済、認証情報、インストール済みアプリケーションを標的とする自動化された攻撃からも保護します。

F5ができること

F5は、場所を問わず、あらゆるアプリケーションとAPIを保護します。F5のWAFソリューションは、アプリケーションの稼働場所にかかわらず、あらゆるアプリケーションの前段に導入できます。オンプレミス、データセンター、クラウドのいずれにあるアプリケーションを保護するWAFが必要な場合でも、F5は包括的なアプリケーションレイヤーセキュリティを提供し、エクスプロイトや攻撃から保護するWAFソリューションを用意しています。F5 WAFは、アプライアンス、ソフトウェア、またはセルフサービスやマネージドサービスを通じたクラウドサービスとして利用でき、コンテナ化されたアプリケーションやKubernetesなどを保護します。

F5製品は、PCI DSSレベル1サービスプロバイダーとして認定されています。サービスプロバイダーとは、PCI SSCの定義によると、ブランド決済カードやその他のフォームファクターを提供せず、別の組織のためにカード会員データまたは機密認証データを処理、保存、伝送する組織です。F5がF5 Distributed Cloud Servicesを通じて提供しているような、カード会員データまたは機密認証データのセキュリティを制御する、またはこれに影響を与えるサービスを提供する企業も、PCI DSS v4.0のサービスプロバイダーに分類されます。F5製品の機能は、お客さまが加盟店としてPCI DSS要件を満たすうえで役立ちます。加盟店とは、PCI SSCの定義では、参加している決済ブランドのロゴが付いた決済カードを、商品やサービスの代金の支払い手段として受け付ける事業体を指します。

F5 Distributed Cloud Servicesは、決済カードデータを保存、処理、または送信する組織向けに、PCI DSS v4.0規格の多くのセクションおよびサブセクションに対応するさまざまなサービスを提供します。

F5 Distributed Cloud WAFは、クラウド、データセンター、エッジロケーションなど、場所を問わずアプリを保護します。中間プロキシとして、Distributed Cloud WAFはアプリケーションのリクエストとレスポンスを検査し、OWASP Top 10の各カテゴリー、脅威キャンペーン、悪意のあるユーザー、レイヤー7 DDoS脅威、ボット、自動化された攻撃などをブロックし、リスクを軽減します。包括的かつ一貫したセキュリティ制御とポリシーにより、Webアプリケーションへの攻撃と脆弱性を軽減するとともに、設定、導入、管理、拡張が容易なオブザーバビリティを提供します。F5 Distributed Cloud WAFは、アプリ開発プロセスに保護機能をシンプルかつシームレスに統合し、より迅速で安全なアプリケーションデリバリーとリリースサイクルを実現します。シグネチャの自動チューニングに加え、シグネチャベースおよびAIベースの検出技術を活用することで、F5 Distributed Cloud WAFは最大限の有効性を備えた、迅速でシンプルなアプリケーションレイヤーセキュリティを提供します。Distributed Cloud Servicesの新しいAIアシスタントは、リアルタイムのインサイト、実行可能な推奨事項、データレポートの要約を提供する自然言語インターフェースを通じて、分散アプリとAPIのセキュリティ簡素化を支援します。

F5 NGINX App Protectは、分散アーキテクチャやハイブリッド環境全体でAPIとモダンアプリケーションを一貫して保護するよう設計された、軽量で高性能なWAFです。プラットフォームに依存しないNGINX App Protectは、アプリケーション開発プロセスにシームレスに統合され、レイヤー7のサービス拒否（DoS）攻撃やボットなどのアプリケーション攻撃を検知し、防御します。強力かつ低レイテンシーのアプリセキュリティソリューションであるNGINX App Protectにより、Kubernetesクラスターやクラウドでアプリセキュリティを拡張でき、コンピューティングコストの大幅な削減に役立ちます。多層防御によって進行中のサイバー攻撃キャンペーンを緩和し、OWASP Top 10カテゴリーの範囲を超える保護を提供します。

F5 BIG-IP Advanced WAFは、F5の主力Webアプリケーションファイアウォールです。受賞歴のあるAdvanced WAFの検知・緩和機能は、Distributed Cloud WAFとNGINX App Protectの中核を担います。BIG-IP Advanced WAFは、行動分析、レイヤー7 DoS攻撃の緩和、アプリケーションレイヤーでの機密データ暗号化、脅威インテリジェンスサービスにより、分散型のハイブリッド環境にあるアプリケーションをさまざまな攻撃から保護します。専用の動的ダッシュボードにより、OWASP Top 10に挙げられている脅威に対するセキュリティを迅速かつ容易に確保できます。また、一般的なWAFユースケース向けのガイド付き設定と学習エンジンを備え、セキュリティポリシーをきめ細かくカスタマイズできます。

F5による広範な保護

さらにF5は、PCI DSS v4.0規格が適用される、より多くの領域に対応できます。

APIは、業界や組織を問わず、ほぼすべてのトランザクションを支える重要な要素です。PCI DSS v4.0.1では、個別に調整されたカスタムソフトウェアの一部としてAPIを保護し、セキュリティを確保するための新たな要件が複数導入されています。F5 Distributed Cloud API Securityは、こうした新要件の多くへの対応を支援します。APIを保護する制御を提供し、一般的なソフトウェア攻撃や脆弱性の防止または軽減にも役立ちます。PCI DSS v4.0.1のAPIセキュリティ要件について詳しくは、Ian Dinnoのブログ「PCI DSS 4.0.1アップデート：顧客の決済処理事業者に求められるAPIセキュリティの大幅な強化」をご覧ください。また、詳細を追加した新しいブログを2025年初頭に公開予定です。
F5 Distributed Cloud Web App Scanningは、外部攻撃対象領域を動的かつ継続的にスキャンし、外部に露出しているWebアプリケーションとAPIを検出します。自動ペネトレーションテスト機能により、Distributed Cloud Web App Scanningは、ソフトウェアサプライチェーンの奥深くに存在するものも含め、悪用される可能性のある脆弱性を特定して報告します。アプリとAPIを攻撃や脆弱性の悪用からより適切に保護するのに役立ちます。また、Distributed Cloud Web App Scanningは、PCI DSS v4.0の6.3.2項への対応にも役立ちます。
F5 Distributed Cloud Mobile App Shieldは、コンプライアンス違反、金銭的損失、顧客離れ、評判の低下につながるマルウェア、ボット、データ漏えい、不正アクセス、中間者（MiTM）攻撃からモバイルアプリをシームレスに保護します。Distributed Cloud Mobile App Shieldは、他に類を見ない実行時および保存時の保護を提供し、モバイルアプリをプロアクティブに強化して、改ざんを防止し、悪意のあるボット、データ流出、APIの不正利用をブロックします。
PCI DSS v4.0のサブセクション8.4.2では、カード会員データまたは機密認証データを保存、処理、伝送するシステムコンポーネント、あるいはそれらのシステムに制限なく接続できるシステムコンポーネントで構成される可能性があるカード会員データ環境（CDE）へのすべてのアクセスに、多要素認証（MFA）を実装することが義務付けられています。 F5 BIG-IP Access Policy Manager (BIG-IP APM)は、ゼロトラストのアプリケーションアクセスを実現します。これには、日時を含むさまざまな要素に基づき、権限に応じてアプリケーションやデータへのアクセスを制限することが含まれます。BIG-IP APMは、伝送中のカード会員データと機密認証データを保護できます。また、ステップアップ認証にも対応しています。これにより、CDEにアクセスするユーザーやリモートユーザーなど、指定されたユーザーに対し、初回アクセス時とは異なるMFA認証情報を含む、別の認証情報の入力を求めることができます。
IDS、IPS、マルウェア対策ソリューションなど、重要なセキュリティ制御システムの障害を検出し、迅速に対処するために、F5 BIG-IP SSL Orchestratorを利用できます。BIG-IP SSL Orchestratorは、暗号化されたトラフィックを復号し、カスタマイズ可能な動的サービスチェーンを介して既存のセキュリティスタックに転送することで、暗号化された脅威から保護します。また、セキュリティスタック内のソリューションへのトラフィックを負荷分散し、すべてのソリューションの稼働状態を監視するほか、セキュリティソリューションの暗号スイートの更新も管理できます。さらに、セキュリティソリューションのいずれかがオフラインになった場合は、BIG-IP SSL Orchestratorの動的サービスチェーンを使用してそのソリューションを迂回できるため、意図しないトラフィックのバイパスなどの悪影響を軽減し、危険に迅速に対処できます。セキュリティソリューションを入れ替える必要がある場合も、BIG-IP SSL Orchestratorはセキュリティサービスの変更や追加に効率的に対応し、トラフィックフローを中断することなく、復号されたトラフィックを検査用にシームレスに転送します。BIG-IP SSL Orchestratorは、PCI DSS v4.0のサブセクション10.7.2、10.7.3、11.5.1.1への対応に役立ちます。