La cybercriminalité s’est développée et continuera de progresser, car les outils d’automatisation facilement accessibles et les identifiants volés permettent d’attaquer des applications à des fins lucratives en toute simplicité. Cette situation a conduit les secteurs d’activité et les pouvoirs publics à renforcer leurs normes de sécurité afin de garantir la conformité et la confiance. Parmi ces normes de sécurité sectorielles figure la norme « Norme de sécurité des données de l’industrie des cartes de paiement (PCI-DSS) », avec la publication des exigences de la version 4. L’un des objectifs de cette version est d’actualiser le dispositif global de protection de la sécurité côté client.
La norme PCI-DSS est essentielle, car elle permet aux prestataires de services de paiement et aux fournisseurs de services de se faire mutuellement confiance et de se protéger. Pour répondre aux besoins croissants liés aux transactions électroniques, divers commerçants et fournisseurs de services ont migré leurs applications vers une infrastructure cloud afin de garantir des opérations évolutives et à faible latence. Les exigences de conformité PCI-DSS s’appliquent à toutes les transactions électroniques, quelle que soit l’infrastructure utilisée par les commerçants et les fournisseurs de services pour traiter les paiements. La norme PCI-DSS couvre la sécurité des réseaux, le chiffrement et la gestion des données, mais ne traite pas de la protection des applications (et des données) contre les attaques automatisées.
Afin de protéger les applications et les données hébergées dans le cloud contre les attaques automatisées (ou manuelles), les prestataires de services de paiement et les commerçants font appel à des prestataires de services de sécurité tiers pour assurer une protection distribuée des applications et des données. La certification PCI-DSS d’un fournisseur de solutions de sécurité SaaS est essentielle pour permettre aux émetteurs de moyens de paiement de rester en conformité et de conserver la confiance des autres fournisseurs auxquels ils sont connectés et avec lesquels ils réalisent des transactions. Le recours à un fournisseur de services de sécurité à la demande non conforme à la norme PCI-DSS complique considérablement la tâche des émetteurs de moyens de paiement lorsqu’il s’agit de maintenir ou de démontrer leur conformité et de préserver la confiance des organismes tiers auxquels ils sont connectés pour le traitement des paiements.
Selon le glossaire PCI-DSS, un prestataire de services est une entité commerciale qui n’est pas une marque de paiement et qui intervient directement dans le traitement, le stockage ou la transmission des données des titulaires de carte pour le compte d’une autre entité. Cela inclut également les entreprises qui fournissent des services contrôlant ou susceptibles d’affecter la sécurité des données des titulaires de carte. Il peut notamment s’agir de prestataires de services gérés proposant des pare-feu administrés, des systèmes de détection d’intrusion et d’autres services, ainsi que de fournisseurs d’hébergement et d’autres entités.
F5 Distributed Cloud (XC) Bot Defense est une solution SaaS qui protège les applications contre les attaques automatisées et répond aux exigences de conformité PCI-DSS en tant que prestataire de services. F5 XC Bot Defense protège les émetteurs de moyens de paiement et autres acteurs similaires contre les attaques automatisées dans de nombreux secteurs, tels que les services financiers, la vente au détail et le commerce électronique, la santé et les administrations publiques du monde entier.
Un bon exemple de la manière dont F5, en tant que fournisseur de services, satisfait aux exigences de conformité PCI-DSS réside dans le strict respect (en matière de politiques, d’exploitation et de documentation) des exigences PCI énumérées ci-dessous :
1.3 L’accès réseau vers et depuis l’environnement des données des titulaires de cartes (CDE) est restreint.
1.3.1 Le trafic entrant vers le CDE est limité comme suit :
- Uniquement au trafic nécessaire.
- Tout autre trafic est explicitement refusé.
1.3.2 Le trafic sortant du CDE est limité comme suit :
- Uniquement au trafic nécessaire.
- Tout autre trafic est explicitement refusé.
1.4.1 Les NSC sont mis en œuvre entre les réseaux de confiance et les réseaux non fiables.
1.4.2 Le trafic entrant provenant de réseaux non approuvés et à destination de réseaux approuvés est limité à :
- Communications avec les composants système autorisés à fournir des services, des protocoles et des ports accessibles au public.
- Réponses avec suivi d’état aux communications initiées par des composants système au sein d’un réseau de confiance.
- Tout autre trafic est refusé.
1.4.3 Des mesures anti-usurpation sont mises en œuvre afin de détecter et d’empêcher les adresses IP sources falsifiées de pénétrer dans le réseau de confiance.
En tant que prestataire de services PCI-DSS, F5 doit non seulement satisfaire aux exigences de la norme PCI-DSS, mais aussi aller au-delà afin de sécuriser efficacement les applications distribuées et les données contre les attaques automatisées susceptibles de monter rapidement en puissance et/ou de muter.
Pour en savoir plus sur la manière dont F5 Distributed Cloud Bot Defense peut non seulement protéger vos applications et vos données contre les attaques, mais aussi simplifier votre processus de conformité PCI-DSS, consultez :
- Les nouvelles exigences de la norme PCI DSS v4.0 répondent aux attaques basées sur les navigateurs
- Assurez la conformité de la sécurité mobile aux normes PCI grâce à la protection des applications
- F5 Distributed Cloud Bot Defense
À propos de l’auteur
Articles de blog associés
F5 NGINXaaS pour Google Cloud : des applications résilientes et évolutives
Découvrez comment NGINXaaS s’intègre à Google Cloud pour renforcer les performances et la sécurité, et préparer vos applications critiques à un avenir propulsé par l’IA.
L’intégration de F5 Web Application Firewall (WAF) à AWS est disponible dès aujourd’hui
En faisant appel à un partenaire de déploiement AWS WAF tel que F5, vous pouvez renforcer la sécurité de vos applications web grâce à des règles personnalisées qui bloquent les schémas d’attaque courants, comme les injections SQL ou les attaques par scripts intersites (XSS).
Appliquer le principe de Peter Parker à l’inspection TLS
« Un grand pouvoir implique de grandes responsabilités. » Si l’on en trouve des échos chez Voltaire et Churchill, cette citation est surtout connue grâce aux bandes dessinées Spider-Man, où elle est attribuée à l’oncle Ben. Bien entendu, si cette phrase est si répandue dans la culture populaire, c’est notamment parce qu’elle peut s’appliquer à une multitude de situations et de sujets, y compris à l’inspection TLS.
Le NetOps a besoin de défenseurs, pas d’adversaires
Il est important de reconnaître que les équipes NetOps ne sont pas toujours celles qui font obstacle au déploiement de la dernière nouveauté, application ou service. Les freins à la rapidité sont souvent dus au fait que les organisations n’adoptent pas tous les principes du DevOps lorsqu’elles cherchent à transformer leurs opérations informatiques.
Mise à jour des services applicatifs : sécurité, rapidité et visiteurs suspects
Il est de nouveau temps de nous pencher sur les services applicatifs que les entreprises utilisent réellement pour rendre leurs applications plus rapides et plus sûres. On constate notamment une hausse du recours aux services de protection contre les bots, ainsi que la progression lente mais régulière de HTTP/2. Bien qu’il ne s’agisse pas d’une application…
Les templates prennent le contrôle du cloud
Les modèles s’imposent dans le cloud. Lisez le blog de F5 pour découvrir comment l’infrastructure en tant que code et les API déclaratives automatisent la mise à disposition des applications.