Em março de 2022, o Conselho de Padrões de Segurança do Setor de Cartões de Pagamento (PCI SSC) lançou a versão mais recente de seu Padrão de Segurança de Dados, o PCI DSS v4.0, e descontinuou oficialmente o PCI DSS v3.2.1 no final de março de 2024. O PCI DSS é um padrão mundial que define os requisitos mínimos de segurança técnica e operacional para a conformidade de qualquer organização que armazene, processe ou transmita dados de cartões de pagamento.
Representando um grande avanço na segurança de dados de cartões de pagamento ao oferecer maior flexibilidade e controle de riscos do que as versões anteriores, o PCI DSS v4.0 e suas atualizações (a versão mais recente do padrão PCI DSS é a v4.0.1) estabeleceram práticas recomendadas a serem seguidas pelas organizações. No entanto, em pouco mais de três meses (após 31 de março de 2025), essas “práticas recomendadas” do PCI DSS v4.x passarão a ser requisitos aplicáveis a qualquer avaliação do PCI DSS.
O PCI DSS v4.x ressalta a importância crucial de proteger os dados confidenciais dos titulares de cartões durante todo o ciclo de vida de um cartão de pagamento. A exigência de criptografia, independentemente de os dados dos titulares de cartões estarem em trânsito ou em repouso, reforça a importância da proteção das transações de pagamento e dos dados, ao mesmo tempo que oferece uma defesa preventiva contra ameaças emergentes.
PCI DSS e WAFs
Na PCI DSS v3.2.1, as organizações tinham a opção de proteger aplicações web voltadas ao público manualmente ou com ferramentas automatizadas de avaliação de segurança de vulnerabilidades de aplicações, pelo menos uma vez por ano ou após alterações significativas nas aplicações. Outra opção era instalar uma solução automatizada à frente de qualquer aplicação web voltada ao público para detectar e impedir continuamente ataques baseados na web, configurada para bloquear ataques ou gerar alertas. No entanto, a PCI DSS v4.x exigirá que as organizações implantem uma solução à frente das aplicações web voltadas ao público para detectar e impedir continuamente ataques baseados na web, além de gerar alertas sobre eles (subseção 6.4.2 da PCI DSS v4.0).
É exatamente isso que um firewall de aplicações web (WAF) faz. Um WAF é instalado à frente de aplicações acessíveis publicamente para inspecionar o tráfego das aplicações, detectando ataques baseados na web e oferecendo proteção contra eles. Um WAF impede ataques à camada de aplicação, inclusive aqueles que podem explorar vulnerabilidades conhecidas e desconhecidas nas aplicações e em sua cadeia de suprimentos de software — o código principal, bibliotecas de terceiros, ferramentas de compilação e outros códigos que compõem as aplicações complexas e sofisticadas atuais. Os WAFs também oferecem proteção contra ataques que tentam explorar falhas de implementação ou configuração e contra ataques automatizados direcionados a pagamentos, credenciais e aplicações instaladas.
Como a F5 pode ajudar
A F5 protege qualquer aplicação e API, em qualquer lugar. Nossas soluções de WAF podem ser implantadas à frente de qualquer aplicação, independentemente de onde ela esteja hospedada. Se você precisa de um WAF para proteger aplicações locais, em data centers ou na nuvem, a F5 tem uma solução de WAF que oferece segurança abrangente na camada de aplicação e proteção contra explorações e ataques. O F5 WAF está disponível como appliance, software ou na nuvem, por meio de autoatendimento ou serviço gerenciado, protegendo aplicações em contêineres, Kubernetes e muito mais.
Os produtos da F5 são certificados como provedor de serviços PCI DSS de Nível 1. Um provedor de serviços, conforme definido pelo PCI SSC, é uma organização que não fornece cartões de pagamento de marca ou outros formatos, mas que processa, armazena ou transmite dados de titulares de cartões ou dados confidenciais de autenticação para outra organização. As empresas que prestam serviços para controlar ou afetar a segurança dos dados de titulares de cartões ou dos dados confidenciais de autenticação, como a F5 por meio do F5 Distributed Cloud Services, também são classificadas como provedores de serviços segundo o PCI DSS v4.0. Os recursos dos produtos da F5 ajudam nossos clientes a atender aos requisitos do PCI DSS na qualidade de comerciantes, definidos pelo PCI SSC como qualquer entidade que aceita cartões de pagamento com os logotipos de qualquer marca de pagamento participante como forma de pagamento por bens e/ou serviços.
Os serviços do F5 Distributed Cloud oferecem diversos recursos que abrangem muitas seções e subseções do padrão PCI DSS v4.0 para organizações que armazenam, processam ou transmitem dados de cartões de pagamento.
F5 Distributed Cloud WAF protege aplicativos em qualquer lugar — em nuvens, data centers e locais de borda. Como um proxy intermediário, o Distributed Cloud WAF inspeciona solicitações e respostas de aplicativos, bloqueando e mitigando riscos, incluindo as categorias do OWASP Top 10, campanhas de ameaças, usuários mal-intencionados, ameaças de DDoS na camada 7, bots e ataques automatizados, entre outros. Ele mitiga ataques e vulnerabilidades em aplicações web por meio de políticas e controles de segurança abrangentes e consistentes, com observabilidade fácil de configurar, implantar, gerenciar e dimensionar. O F5 Distributed Cloud WAF integra a proteção ao processo de desenvolvimento de aplicativos de forma simples e transparente, permitindo ciclos de entrega e lançamento de aplicativos mais rápidos e seguros. Ao utilizar técnicas de detecção baseadas em assinaturas e IA, com ajuste automatizado de assinaturas, o F5 Distributed Cloud WAF oferece segurança rápida e simples para a camada de aplicação, com máxima eficácia. O novo assistente de IA nos Distributed Cloud Services ajuda a simplificar a segurança de aplicativos distribuídos e APIs por meio de uma interface de linguagem natural, com insights em tempo real, recomendações práticas e um resumo dos relatórios de dados.
F5 NGINX App Protect é um WAF leve e de alto desempenho, desenvolvido para proteger APIs e aplicações modernas em arquiteturas distribuídas e ambientes híbridos com proteção consistente. Independente de plataforma, o NGINX App Protect integra-se perfeitamente ao processo de desenvolvimento de aplicações, detectando e protegendo contra ataques a aplicações, incluindo ataques de negação de serviço (DoS) na camada 7 e bots. Como uma solução avançada de segurança de aplicações e baixa latência, o NGINX App Protect permite dimensionar a segurança de aplicações em clusters do Kubernetes e na nuvem, ajudando a reduzir significativamente os custos de computação. Ele oferece uma defesa em várias camadas, mitigando campanhas ativas de ataques cibernéticos e indo além da proteção das categorias do OWASP Top 10.
F5 BIG-IP Advanced WAF é o principal firewall de aplicações web da F5. Os recursos de detecção e mitigação do premiado Advanced WAF são a base do Distributed Cloud WAF e do NGINX App Protect. Com análise comportamental, mitigação de ataques de negação de serviço (DoS) na camada 7, criptografia de dados confidenciais na camada de aplicação e serviços de inteligência contra ameaças, o BIG-IP Advanced WAF protege aplicações em ambientes híbridos e distribuídos contra diversos ataques a aplicações. O BIG-IP Advanced WAF oferece um painel dedicado e dinâmico que garante, de forma rápida e simples, a proteção contra as ameaças listadas no OWASP Top 10. O BIG-IP Advanced WAF inclui configurações guiadas para casos de uso comuns de WAF, um mecanismo de aprendizado e permite a personalização granular das políticas de segurança.
Proteção abrangente da F5
Além disso, a F5 pode abordar outras áreas aplicáveis ao padrão PCI DSS v4.0.
- As APIs são um componente essencial de quase todas as transações em diferentes setores e organizações. O PCI DSS v4.0.1 introduz vários novos requisitos destinados a proteger e tornar seguras as APIs como parte de softwares personalizados e desenvolvidos sob medida. F5 Distributed Cloud API Security ajuda a atender a muitos desses novos requisitos, oferecendo controles que protegem as APIs e também ajudam a prevenir ou mitigar ataques e vulnerabilidades comuns de software. Para entender melhor os requisitos de segurança de APIs presentes no PCI DSS v4.0.1, leia o blog de Ian Dinno, Atualização do PCI DSS 4.0.1: importantes novos aprimoramentos de segurança de APIs exigidos para processadores de pagamentos de clientes, e aguarde um novo blog no início de 2025 com mais detalhes.
- F5 Distributed Cloud Web App Scanning verifica de forma dinâmica e contínua sua superfície de ataque externa, revelando aplicações web e APIs expostas. Por meio de seus recursos automatizados de testes de invasão, Distributed Cloud Web App Scanning identifica e relata vulnerabilidades potencialmente exploráveis, inclusive aquelas presentes nas camadas mais profundas da cadeia de suprimentos de software. Isso ajuda você a proteger melhor suas aplicações e APIs contra ataques e exploração de vulnerabilidades. Distributed Cloud Web App Scanning também ajuda você a atender à subseção 6.3.2 do PCI DSS v4.0.
- F5 Distributed Cloud Mobile App Shield protege perfeitamente seus aplicativos móveis contra malware, bots, vazamento de dados, acesso não autorizado e ataques man-in-the-middle (MiTM), que resultam em violações de conformidade, perdas financeiras, perda de clientes e danos à reputação. O Distributed Cloud Mobile App Shield oferece proteção incomparável em tempo de execução e em repouso para reforçar proativamente a segurança dos seus aplicativos móveis, impedir adulterações e bloquear bots mal-intencionados, exfiltração de dados e abuso de APIs.
- A subseção 8.4.2 do PCI DSS v4.0 exige a implementação da autenticação multifator (MFA) para todos os acessos ao Ambiente de Dados do Titular do Cartão (CDE), que pode ser composto por componentes de sistema que armazenam, processam ou transmitem dados do titular do cartão ou dados confidenciais de autenticação, ou que tenham conectividade irrestrita com esses sistemas. F5 BIG-IP Access Policy Manager (BIG-IP APM) permite o acesso a aplicações com confiança zero, o que inclui limitar o acesso a aplicações e dados de acordo com os privilégios, com base em diversos fatores, incluindo data e hora. O BIG-IP APM pode proteger dados do titular do cartão e dados confidenciais de autenticação em trânsito. Ele também permite a autenticação reforçada, que exige que usuários específicos — como aqueles que acessam o CDE ou usuários remotos — insiram um conjunto de credenciais de autenticação diferente daquele usado no acesso inicial, incluindo credenciais de MFA diferentes.
- Para detectar e solucionar prontamente falhas em sistemas críticos de controle de segurança, incluindo soluções de IDS / IPS e antimalware, existe o F5 BIG-IP SSL Orchestrator. O BIG-IP SSL Orchestrator oferece proteção contra ameaças criptografadas, descriptografando o tráfego criptografado e direcionando-o pela sua pilha de segurança existente por meio de cadeias de serviços dinâmicas e personalizáveis. Ele também distribui a carga do tráfego entre as soluções da sua pilha de segurança, monitora a integridade de todas elas e pode gerenciar a atualização das cifras usadas por suas soluções de segurança. Além disso, se uma das suas soluções de segurança ficar indisponível, você poderá reduzir rapidamente o risco por meio das cadeias de serviços dinâmicas do BIG-IP SSL Orchestrator, contornando a solução indisponível e minimizando possíveis impactos negativos, como o desvio não intencional de tráfego. E, quando for necessário substituir uma solução de segurança, o BIG-IP SSL Orchestrator gerenciará com eficiência as alterações e inserções de serviços de segurança, transferindo de forma transparente o tráfego descriptografado para inspeção sem interromper o fluxo. O BIG-IP SSL Orchestrator ajudará você a atender às subseções 10.7.2, 10.7.3 e 11.5.1.1 do PCI DSS v4.0.
Juntando tudo
Conforme mencionado acima, a F5 ajudará você a atender a muitos dos novos requisitos do PCI DSS v4.0 — sejam quais forem suas necessidades específicas e prioridades relacionadas — antes que eles se tornem obrigatórios em 31 de março de 2025.
Para obter mais informações sobre a capacidade da F5 de atender aos padrões PCI DSS v4.0, consulte os seguintes materiais:
Mudanças importantes no PCI DSS 4.0.1 que você precisa conhecer
O prazo do PCI DSS 3.2.1 chegou ao fim... Você está pronto para a versão 4.0?
A defesa contra bots também deve ajudar a promover a conformidade com o PCI DSS
O que é PCI DSS? Visão geral, requisitos e benefícios
Para obter mais informações, entre em contato com seu gerente de contas da F5, gerente de canais ou parceiro de canal da F5.
Sobre o autor
Publicações relacionadas no blog
Entrega e proteção de agentes de IA em fábricas de IA: F5 para a arquitetura de referência NVIDIA OpenShell para agentes de IA seguros
As soluções da F5 ampliam a Arquitetura de Referência NVIDIA OpenShell para agentes de IA seguros.
Como medir – e minimizar – o custo total de propriedade do seu Kubernetes
O Kubernetes pode ser baixado e executado gratuitamente, mas sua manutenção está longe de não ter custos. Assim como outras grandes plataformas de código aberto que são “gratuitas” apenas em um sentido simplista, o Kubernetes quase certamente exigirá investimentos para ser implantado e operado.
As-Code: a pilha de TI contínua
Infraestrutura, configuração, pipeline, operações. De repente, tudo é “como código”. Lori MacVittie busca esclarecer a terminologia e identificar os diferentes componentes de uma stack contínua de TI.
O estado da entrega de aplicações em 2017: automação, APIs e DevOps
Explore o relatório State of Application Delivery de 2017. Leia o blog retrospectivo da F5 sobre o início da ascensão das redes declarativas e dos pipelines de DevOps.
DevOps Summit: onde a rede foi convidada para a festa
No DevOps Summit NY, falou-se muito não apenas sobre DevOps, mas também sobre contêineres, IoT e microsserviços. As sessões se concentraram não só na mudança cultural necessária para crescer em escala com uma abordagem DevOps, mas também fizeram questão de incluir...
F5 e Nutanix convergem em infraestrutura no .NEXT
Aplicações empresariais como Microsoft SharePoint e Exchange, juntamente com a VDI, continuam sendo a espinha dorsal da sua empresa. A produtividade, embora não seja tão atraente quanto o lucro, é um fator essencial para o sucesso das operações empresariais atuais. Deixar de...