无标题 橡树和斧头 设计 (21)
2022 年 3 月，支付卡行业安全标准委员会发布了其数据安全标准的修订版，通常称为 PCI DSS v4.0。此更新包括许多增强功能，以确保消费者在网上购物时受到保护。与之前的更新一样，v4.0 中的变化反映了 PCI 委员会努力跟上不断变化的威胁形势，并确保解决我们对手的新攻击方法。
该标准的一个至关重要的部分明确指出，客户端网络安全对于任何接受在线支付的企业都是必不可少的。这对我们来说并不意外，因为客户端攻击的速度几年来一直在上升，这些攻击的风险已被证明对一些世界上最大的组织（及其客户）至关重要，例如英国航空、梅西百货和赛格威等。这些变化可能会让您感到有点意外，这就是为什么我们要确保您了解本指南的含义。负责接受付款的面向公众的网站的每一个安全从业人员都应该彻底了解这一看似简单的变化的影响。
客户端安全和在线支付
客户端安全，简单地说，就是 whatsapp 号码数据 确保访问者的 Web 浏览器中的 Web 应用程序部分是安全的并且按预期运行。这包括内部应用程序团队开发的代码，以及外部供应商提供的代码。客户端
安全带来了独特的挑战，原因有三：
它处理的是不在组织控制“范围”内的软件（Web 应用程序的前端）…扩大了您需要保护的攻击面。
它涉及由外部方（例如，供应商）编写的代码，这些代码从不受组织控制的服务器下载并执行……使其成为需要重点关注的第三方风险的关键领域。
完全信任扩展到客户端（例如，Web浏览器）内运行的任何代码，而无需任何安全控制或报告功能……如果您不解决这个问题，那么您实施零信任安全策略的尝试就会失败。
客户端安全性的这些方面导致了容易受到攻击的环境。客户端攻击可能源自不安全开发或托管的内部开发代码。它也可能来自供应商代码（有时称为第三方或第四方代码），Web 应用程序会在访问者的 Web 浏览器中下载并动态执行这些代码。
攻击的形式包括数据窃取、内容篡改、用户会话劫持、恶意软件感染等。此外，由于攻击难以检测，因此可能持续数月甚至数年。如需了解客户端攻击的入门知识，请阅读我们最近发布的白皮书。
PCI 采取严厉措施
客户端安全至少十年来一直是众 出哪些客户能为您带来最丰 所周知的安全挑战，然而，PCI DSS v4.0 给处理在线支付的组织带来了真正的压力。强化 Web 应用程序的前端不仅是一道不错的防线，而且是合规性和安全策略的关键组成部分。我们甚至可以说，如果不解决客户端问题，您的 Web 安全策略就是不完整的。
PCI DSS v4.0 第 6.4.3 节具体规定：
在消费者浏览器中加载和执行的[所有]支付页面脚本均按以下方式管理：
本节列出的第二项要求验证每个 細胞數據 脚本的“完整性”。简而言之，这意味着存在某种机制来确保代码自被验证为非恶意的某个时间点以来没有发生改变。
由于客户端代码的性质，这一要求很难实现。在第一种情况下，它经常变化。供应商不断更新其产品以发布新功能并修复错误。通过静态评估或通过子资源完整性等技术满足这一要求表明，安全团队可以经常审查供应商代码，然后将该代码冻结到特定版本。如果代码托管在外部，这通常是不可能的。
满足此要求的另一个更根本的困难是，客户端代码通常会在网页加载时根据设计发生变化。当 Web 浏览器请求供应商代码时，它可能会更改变量，或添加用于识别访问者的令牌，或执行在发送到 Web 浏览器时嵌入到代码中的其他动态功能。如果代码在加载时发生变化，如何识别代码的完整性？
PCI DSS v4.0 的此部分概述的增强安全措施是朝着客户端安全成熟迈出的有效且重要的一步，在客户端安全中，付款在 Web 浏览器中进行。尽管这些措施相对简单，但要遵守这些规则所需的努力实际上相当巨大。在清点脚本、识别必要行为、确定代码行为的基准、管理供应商、数字营销团队、应用程序开发和安全人员之间的关系以及无数其他任务之间，PCI DSS v4.0 6.4.3 是一项艰巨的要求。
时间、金钱和精力
满足这些新法规的挑战当然是可能的。有些技术可以帮助满足这些要求，有些甚至包含在 DSS v4.0 本身中。然而，在决定如何处理这套规则时，还需要考虑其他因素。
我的安全团队可以投入多少时间来满足这些要求？我们内部是否具备必要的技能，还是需要额外招聘？此外，应用程序开发、数字营销或其他参与满足这些标准的团队需要投入多少时间？
这要花多少钱？支付页面中集成的代码是任何 Web 应用程序中最重要的代码之一——它确实会产生收入。由于安全需求直接影响收入产生，会出现哪些类型的摩擦？如何缓解这种摩擦？如果因漏洞而需要停机进行补救，那么收入损失怎么办？
我们的组织现在是否有兴趣实施另一项网络安全计划？尽管 PCI 仅增加了几句话来说明客户端安全性，但正确解决这些问题并保持合规性需要政策、程序、人员、管理和维护。这是否符合组织的目标和优先事项，还是在争夺注意力和资源的其他计划中又是一场艰苦的战斗。
这些是安全领导者在未来几年需要解决的新问题，这不仅是因为 PCI DSS 的这些修订，还因为客户端安全整体的持续快速发展。正如谚语所说，“万丈高楼都是小橡子长成的。”
问题、技术和解决方案
但是——如果您可以解决客户端不断扩大的攻击面，减轻第三方风险，领先于 PCI 合规性，支持您的零信任目标……并且在不需要构建另一个安全程序的情况下完成所有操作，那会怎样？
好消息是，Source Defense 预见到了这一切，并且我们已经开发出一种解决方案，可以帮助您明确地或通过展示补偿控制来实现预期的结果。