A mais recente atualização do PCI DSS (Padrão de Segurança de Dados da Indústria de Cartões de Pagamento) 4.0.1 é significativa e dá maior ênfase às cadeias de suprimentos de software, incluindo APIs e scripts executados no lado do cliente.
Com a descontinuação do PCI DSS 3.2.1, as organizações que processam pagamentos precisam se adaptar ao cenário em constante evolução das aplicações modernas baseadas em microsserviços, dos ambientes multinuvem e da crescente implementação de APIs.
Esta publicação no blog explora alguns dos novos requisitos críticos introduzidos no PCI DSS 4.0.1 voltados especificamente à proteção de APIs, que se tornaram essenciais para transações em praticamente todos os setores e organizações.
Os novos requisitos incluem:
- Testes de pré-implantação 6.2.3: Isso enfatiza práticas rigorosas de revisão, testes e desenvolvimento seguro para softwares sob medida e personalizados, incluindo APIs, antes do lançamento, a fim de identificar e corrigir vulnerabilidades no código.
- Proteção contra ameaças comuns 6.2.4: As organizações devem implementar controles para prevenir ou mitigar ataques comuns a softwares e vulnerabilidades relacionadas em softwares sob medida e personalizados. O foco inclui o abuso da lógica de negócios, ataques de injeção (por exemplo, SQL, LDAP, XPATH ou outros tipos de injeção de comandos, parâmetros, objetos, falhas etc.) e ataques ao controle de acesso e aos dados. Todos são essenciais para a proteção de APIs.
- Inventário e visibilidade de software sob medida 6.3.2: As empresas também devem manter a visibilidade e o inventário de softwares sob medida e personalizados, incluindo APIs e componentes de terceiros, para facilitar o gerenciamento de vulnerabilidades e a aplicação de patches, garantindo uma postura de segurança abrangente.
- Visibilidade em produção, detecção de ameaças e testes 6.4.1 e 6.4.2: Esta atualização destaca a necessidade de realizar testes regulares, bem como monitorar e proteger continuamente aplicações web e APIs voltadas ao público contra vulnerabilidades, ataques conhecidos e ameaças emergentes. Entre esses requisitos:
- Varredura e testes regulares (pelo menos anuais) de aplicações web e APIs acessíveis ao público
- Uma solução técnica, implantada à frente de aplicativos web e APIs voltados ao público, para detectar e prevenir ataques baseados na web e em APIs
As organizações têm até março de 2025 para entrar em conformidade
As revisões mais recentes do padrão PCI DSS 4.0 foram publicadas pelo PCI Security Standards Council em junho de 2024 em resposta às transformações empresariais e tecnológicas observadas nos últimos anos. Essas mudanças reconhecem a ampla adoção de APIs e a evolução dos aplicativos e da infraestrutura que dão suporte a um número crescente de serviços e interações que impulsionam a economia atual, cada vez mais digital, incluindo sistemas de pagamento presenciais, via web e dispositivos móveis.
“O foco do PCI DSS 4.0.1 na segurança de APIs representa um passo fundamental para proteger as transações digitais nos ambientes de TI complexos e em constante evolução de hoje.”
As APIs representam uma mudança no paradigma de ameaças, com seu próprio conjunto de ameaças específicas abordadas no OWASP API Security Top 10. Elas estão sujeitas à maioria dos mesmos ataques e vulnerabilidades que as aplicações web tradicionais, mas muitas vezes expõem diretamente a lógica de negócios, tornando-se um alvo cada vez mais atraente para invasores. Além disso, exigem um conjunto específico de controles para proteger os dados contra acesso não autorizado, manipulação ou exposição, a fim de garantir a privacidade e manter a confiança dos usuários e das partes interessadas, bem como assegurar a confidencialidade, a integridade e a disponibilidade das comunicações via API.
O prazo de março de 2025 para que as organizações estejam em conformidade reforça a urgência de as empresas se adequarem a essas novas especificações para proteger as APIs e seus scripts do lado do cliente.
Algumas estratégias para garantir a conformidade
Para atender de forma eficaz aos padrões PCI DSS 4.0 e proteger toda a sua superfície de ameaças, as organizações devem avaliar a infraestrutura, os processos e os recursos de segurança existentes e considerar a implementação de soluções que ofereçam o seguinte:
- Descoberta abrangente de APIs: Isso começa com a integração aos repositórios de código para criar inventários e documentação completos e precisos diretamente a partir das fontes. Também inclui análise baseada em tráfego e rastreamento de domínios para identificar APIs ocultas, zumbis, não gerenciadas e de terceiros.
- Testes robustos de APIs: Esses testes fornecem análise do código das APIs antes da entrada em produção, combinada com testes dinâmicos de aplicativos e APIs voltados ao público, permitindo a identificação contínua de vulnerabilidades, com contexto e orientações para correção.
- Proteção em tempo de execução: Ela exige mecanismos de aplicação e controle em linha para bloquear, limitar e garantir o comportamento adequado da API. Isso inclui WAF e outras funcionalidades específicas de API para implementar regras de proteção de APIs, limitação de taxa, mascaramento de dados e recursos de aplicação de esquemas, proporcionando um modelo de segurança positivo.
- Monitoramento contínuo e detecção de anomalias: Inclui análise comportamental baseada em IA/ML e inspeção contínua do tráfego de APIs para identificar possíveis ataques, exposição de dados confidenciais e outros comportamentos anormais de APIs que possam indicar abuso ou comprometimento de um endpoint de API.
A atualização é significativa, mas estar em conformidade não precisa ser uma tarefa assustadora
O foco do PCI DSS 4.0.1 na segurança de APIs representa um passo crucial para proteger as transações digitais nos ambientes de TI complexos e em constante evolução de hoje.
À medida que o prazo se aproxima, medidas proativas para reforçar a segurança das APIs serão fundamentais para alcançar e manter a conformidade. Elas também aumentarão a resiliência da sua infraestrutura contra ameaças cibernéticas e ataques direcionados a APIs e scripts do lado do cliente, reforçarão a proteção dos dados e das informações de cartões de pagamento dos seus clientes e ampliarão a confiança e a credibilidade da sua organização perante clientes e órgãos reguladores.
“O prazo de março de 2025 reforça a urgência de as organizações se adequarem a essas novas especificações para proteger as APIs e seus scripts do lado do cliente.”
Você pode preparar sua organização para estar em conformidade com o PCI DSS 4.0.1 ao avaliar suas práticas atuais de segurança de APIs, identificar lacunas e implementar as melhorias necessárias. Mantenha-se informado sobre os recursos e as orientações adicionais fornecidos pelo PCI Security Standards Council para garantir que tudo esteja pronto até março de 2025.
Essa não precisa ser uma tarefa assustadora. A F5 conta com a experiência e as soluções necessárias para ajudar as organizações a avaliar e implementar controles alinhados aos novos requisitos e aprimorar a postura de segurança de suas aplicações web e APIs.
Confira esta demonstração da segurança completa de APIs da F5 em ação e entre em contato conosco hoje mesmo para agendar uma reunião com um de nossos especialistas.
Sobre o autor
Publicações relacionadas no blog
Entrega e proteção de agentes de IA em fábricas de IA: F5 para a arquitetura de referência NVIDIA OpenShell para agentes de IA seguros
As soluções da F5 ampliam a Arquitetura de Referência NVIDIA OpenShell para agentes de IA seguros.
Como medir – e minimizar – o custo total de propriedade do seu Kubernetes
O Kubernetes pode ser baixado e executado gratuitamente, mas sua manutenção está longe de não ter custos. Assim como outras grandes plataformas de código aberto que são “gratuitas” apenas em um sentido simplista, o Kubernetes quase certamente exigirá investimentos para ser implantado e operado.
As-Code: a pilha de TI contínua
Infraestrutura, configuração, pipeline, operações. De repente, tudo é “como código”. Lori MacVittie busca esclarecer a terminologia e identificar os diferentes componentes de uma stack contínua de TI.
O estado da entrega de aplicações em 2017: automação, APIs e DevOps
Explore o relatório State of Application Delivery de 2017. Leia o blog retrospectivo da F5 sobre o início da ascensão das redes declarativas e dos pipelines de DevOps.
DevOps Summit: onde a rede foi convidada para a festa
No DevOps Summit NY, falou-se muito não apenas sobre DevOps, mas também sobre contêineres, IoT e microsserviços. As sessões se concentraram não só na mudança cultural necessária para crescer em escala com uma abordagem DevOps, mas também fizeram questão de incluir...
F5 e Nutanix convergem em infraestrutura no .NEXT
Aplicações empresariais como Microsoft SharePoint e Exchange, juntamente com a VDI, continuam sendo a espinha dorsal da sua empresa. A produtividade, embora não seja tão atraente quanto o lucro, é um fator essencial para o sucesso das operações empresariais atuais. Deixar de...