O cibercrime cresceu e continuará crescendo devido à ampla disponibilidade de ferramentas de automação e credenciais roubadas, que tornam bastante simples atacar aplicações com fins lucrativos. Isso, por sua vez, levou à adoção de padrões de segurança mais rigorosos por parte do setor e dos governos para garantir a conformidade e a confiança. Um exemplo desse tipo de padrão de segurança do setor é o Padrão de Segurança de Dados da Indústria de Cartões de Pagamento (PCI-DSS), com o lançamento dos requisitos da versão 4. Um dos objetivos dessa versão é atualizar o modelo geral de proteção da segurança no lado do cliente.
O PCI-DSS é um padrão essencial, pois permite que processadores de pagamentos e prestadores de serviços confiem uns nos outros e se protejam mutuamente. Para atender às crescentes demandas das transações eletrônicas, diversos comerciantes e prestadores de serviços migraram suas aplicações para uma infraestrutura baseada em nuvem, a fim de garantir operações escaláveis e de baixa latência. Os padrões de conformidade com o PCI-DSS se aplicam a todas as transações eletrônicas, independentemente da infraestrutura usada por comerciantes e prestadores de serviços para processar pagamentos. O PCI-DSS abrange segurança de rede, criptografia e gerenciamento de dados, mas não trata da proteção de aplicações (e dados) contra ataques automatizados.
Para proteger aplicações e dados baseados em nuvem contra ataques automatizados (ou manuais), processadores de pagamentos e comerciantes recorrem a provedores terceirizados de serviços de segurança para oferecer proteção distribuída a aplicações e dados. A certificação PCI-DSS de um fornecedor de segurança SaaS é fundamental para que os emissores de meios de pagamento mantenham a conformidade e a confiança dos demais fornecedores com os quais estão conectados e realizam negócios. Um fornecedor de Segurança como Serviço sem conformidade com o PCI-DSS torna muito mais difícil para os emissores de meios de pagamento manter ou comprovar a conformidade e a confiança contínua junto às organizações terceirizadas às quais estão conectados para o processamento de pagamentos.
De acordo com o glossário do PCI-DSS, um prestador de serviços é uma entidade comercial que não é uma bandeira de cartão e que participa diretamente do processamento, armazenamento ou transmissão de dados de titulares de cartão em nome de outra entidade. Isso também inclui empresas que prestam serviços que controlam ou podem afetar a segurança dos dados de titulares de cartão. Entre os exemplos estão prestadores de serviços gerenciados que fornecem firewalls gerenciados, sistemas de detecção de intrusões e outros serviços, bem como provedores de hospedagem e outras entidades.
O F5 Distributed Cloud (XC) Bot Defense é uma solução SaaS que protege aplicações contra ataques automatizados e atende aos requisitos de conformidade com o PCI-DSS como provedor de serviços. O F5 XC Bot Defense protege emissores de meios de pagamento e organizações semelhantes contra ataques automatizados em diversos setores, como serviços financeiros, varejo e comércio eletrônico, saúde e governos em todo o mundo.
Um bom exemplo de como a F5, na qualidade de prestadora de serviços, consegue atender aos requisitos de conformidade com o PCI-DSS é a adesão rigorosa (em termos de políticas, operações e documentação) aos requisitos do PCI listados abaixo:
1.3 O acesso à rede de e para o ambiente de dados do titular do cartão (CDE) é restrito.
1.3.1 O tráfego de entrada para o CDE é restrito da seguinte forma:
- Apenas ao tráfego necessário.
- Todo o tráfego restante é expressamente negado.
1.3.2 O tráfego de saída do CDE é restrito da seguinte forma:
- Apenas ao tráfego necessário.
- Todo o tráfego restante é expressamente negado.
1.4.1 Os NSCs são implementados entre redes confiáveis e não confiáveis.
1.4.2 O tráfego de entrada de redes não confiáveis para redes confiáveis é restrito a:
- Comunicações com componentes do sistema autorizados a fornecer serviços, protocolos e portas acessíveis publicamente.
- Respostas com estado a comunicações iniciadas por componentes do sistema em uma rede confiável.
- Todo o tráfego restante é bloqueado.
1.4.3 São implementadas medidas antisspoofing para detectar e impedir que endereços IP de origem falsificados entrem na rede confiável.
Como provedora de serviços PCI-DSS, a F5 deve não apenas atender aos requisitos do PCI-DSS, mas também ir além deles para proteger prontamente aplicações distribuídas e dados contra ataques automatizados que podem aumentar rapidamente de escala e/ou sofrer mutações.
Para saber mais sobre como o F5 Distributed Cloud Bot Defense pode não apenas proteger seus aplicativos e dados contra ataques, mas também simplificar seu processo de conformidade com o PCI-DSS, confira:
- Novos requisitos do PCI DSS v4.0 abordam ataques baseados em navegador
- Atenda aos requisitos de conformidade de segurança móvel do PCI com a proteção de aplicativos
- F5 Distributed Cloud Bot Defense
Sobre o autor
Publicações relacionadas no blog
Entrega e proteção de agentes de IA em fábricas de IA: F5 para a arquitetura de referência NVIDIA OpenShell para agentes de IA seguros
As soluções da F5 ampliam a Arquitetura de Referência NVIDIA OpenShell para agentes de IA seguros.
Como medir – e minimizar – o custo total de propriedade do seu Kubernetes
O Kubernetes pode ser baixado e executado gratuitamente, mas sua manutenção está longe de não ter custos. Assim como outras grandes plataformas de código aberto que são “gratuitas” apenas em um sentido simplista, o Kubernetes quase certamente exigirá investimentos para ser implantado e operado.
As-Code: a pilha de TI contínua
Infraestrutura, configuração, pipeline, operações. De repente, tudo é “como código”. Lori MacVittie busca esclarecer a terminologia e identificar os diferentes componentes de uma stack contínua de TI.
O estado da entrega de aplicações em 2017: automação, APIs e DevOps
Explore o relatório State of Application Delivery de 2017. Leia o blog retrospectivo da F5 sobre o início da ascensão das redes declarativas e dos pipelines de DevOps.
DevOps Summit: onde a rede foi convidada para a festa
No DevOps Summit NY, falou-se muito não apenas sobre DevOps, mas também sobre contêineres, IoT e microsserviços. As sessões se concentraram não só na mudança cultural necessária para crescer em escala com uma abordagem DevOps, mas também fizeram questão de incluir...
F5 e Nutanix convergem em infraestrutura no .NEXT
Aplicações empresariais como Microsoft SharePoint e Exchange, juntamente com a VDI, continuam sendo a espinha dorsal da sua empresa. A produtividade, embora não seja tão atraente quanto o lucro, é um fator essencial para o sucesso das operações empresariais atuais. Deixar de...