F5로 새로운 PCI DSS v4.0 요구 사항에 대응하세요

F5 에코시스템 | 2024년 12월 13일

2022년 3월, 결제 카드 산업(PCI) 보안 표준 위원회(SSC)는 데이터 보안 표준의 최신 버전인 PCI DSS v4.0을 발표했으며, 2024년 3월 말에 PCI DSS v3.2.1을 공식적으로 폐기했습니다. PCI DSS는 결제 카드 데이터를 저장, 처리 또는 전송하는 모든 조직이 준수해야 하는 최소한의 기술적·운영적 보안 요구 사항을 규정한 국제 표준입니다.

이전 버전보다 뛰어난 유연성과 위험 통제 기능을 갖춰 결제 카드 데이터 보안을 크게 발전시킨 PCI DSS v4.0 및 그 업데이트 버전(PCI DSS 표준의 최신 버전은 v4.0.1)은 조직이 따라야 할 모범 사례를 제시했습니다. 그러나 3개월여 후인 2025년 3월 31일 이후부터는 이러한 PCI DSS v4.x의 ‘모범 사례’가 모든 PCI DSS 평가에 적용되는 필수 요구 사항으로 전환됩니다.

PCI DSS v4.x는 결제 카드의 전체 수명 주기에 걸쳐 민감한 카드 소유자 데이터를 안전하게 보호하는 것이 매우 중요하다고 강조합니다. 카드 소유자 데이터가 전송 중이든 저장된 상태이든 관계없이 암호화를 요구함으로써 결제 거래 및 데이터 보호의 중요성을 강조하는 동시에 새롭게 등장하는 위협에 선제적으로 대응할 수 있도록 합니다.

PCI DSS와 WAF

PCI DSS v3.2.1에서 조직은 선택적으로 외부에 공개된 웹 애플리케이션을 수동으로 또는 자동화된 애플리케이션 취약점 보안 평가 도구를 사용하여 최소 연 1회 또는 애플리케이션에 중대한 변경이 발생한 후 보호할 수 있었습니다. 또는 외부에 공개된 모든 웹 애플리케이션 앞단에 자동화된 솔루션을 설치하여 웹 기반 공격을 지속적으로 탐지하고 방지하며, 공격을 차단하거나 경고를 생성하도록 구성할 수도 있었습니다. 그러나 PCI DSS v4.x에서는 조직이 외부에 공개된 웹 애플리케이션 앞단에 솔루션을 배포하여 웹 기반 공격을 지속적으로 탐지 및 방지하고 경고를 생성하도록 요구합니다(PCI DSS v4.0 하위 조항 6.4.2).

이것이 바로 웹 애플리케이션 방화벽(WAF)의 역할입니다. WAF는 외부에 공개된 애플리케이션 앞단에 설치되어 애플리케이션 트래픽을 검사하고, 웹 기반 공격을 탐지하여 차단합니다. WAF는 애플리케이션과 소프트웨어 공급망(오늘날의 복잡하고 정교한 애플리케이션을 구성하는 핵심 코드, 서드 파티 라이브러리, 빌드 도구 및 기타 코드)의 알려진 취약점과 알려지지 않은 취약점을 악용할 수 있는 공격을 비롯한 애플리케이션 계층 공격을 방지합니다. 또한 WAF는 구현 또는 구성상의 결함을 악용하려는 공격과 결제, 자격 증명 및 설치된 애플리케이션을 노리는 자동화된 공격으로부터 보호합니다.

F5가 지원하는 방법

F5는 어디서나 모든 애플리케이션과 API를 보호합니다. F5의 WAF 솔루션은 애플리케이션이 어디에 있든 관계없이 모든 애플리케이션의 전면에 배포할 수 있습니다. 온프레미스, 데이터 센터 또는 클라우드의 애플리케이션을 보호하기 위한 WAF가 필요한 경우, F5는 포괄적인 애플리케이션 계층 보안을 제공하고 익스플로잇과 공격으로부터 보호하는 WAF 솔루션을 제공합니다. F5 WAF는 어플라이언스, 소프트웨어 또는 셀프서비스나 관리형 서비스를 통한 클라우드 형태로 제공되며, 컨테이너화된 애플리케이션과 Kubernetes 등을 보호합니다.

F5 제품은 PCI DSS 레벨 1 서비스 제공업체로 인증받았습니다. 서비스 제공업체는 PCI SSC의 정의에 따르면 브랜드 결제 카드나 기타 폼 팩터를 제공하지는 않지만, 다른 조직을 위해 카드 소유자 데이터 또는 민감한 인증 데이터를 처리, 저장 또는 전송하는 조직입니다. F5가 F5 Distributed Cloud Services를 통해 제공하는 것처럼 카드 소유자 데이터 또는 민감한 인증 데이터의 보안을 제어하거나 이에 영향을 미치는 서비스를 제공하는 기업도 PCI DSS v4.0의 서비스 제공업체로 분류됩니다. F5 제품의 기능은 고객이 가맹점으로서 PCI DSS 요구 사항을 충족하도록 지원합니다. 가맹점은 PCI SSC에서 상품 및/또는 서비스의 대가로 참여 결제 브랜드의 로고가 표시된 결제 카드를 받는 모든 주체로 정의됩니다.

F5 Distributed Cloud Services는 결제 카드 데이터를 저장, 처리 또는 전송하는 조직을 위해 PCI DSS v4.0 표준의 여러 조항과 하위 조항을 충족하는 다양한 서비스를 제공합니다.

F5 Distributed Cloud WAF는 클라우드, 데이터 센터, 엣지 위치 등 어디서나 앱을 보호합니다. 중간 프록시 역할을 하는 Distributed Cloud WAF는 애플리케이션 요청과 응답을 검사하여 OWASP Top 10 범주, 위협 캠페인, 악의적 사용자, 레이어 7 DDoS 위협, 봇 및 자동화된 공격 등의 위험을 차단하고 완화합니다. 구성, 배포, 관리 및 확장이 용이한 관측 기능과 포괄적이고 일관된 보안 제어 및 정책을 통해 웹 애플리케이션 공격과 취약점을 완화합니다. F5 Distributed Cloud WAF는 앱 개발 프로세스에 보호 기능을 간편하고 원활하게 통합하여 애플리케이션을 더 빠르고 안전하게 제공하고 출시할 수 있도록 지원합니다. 자동화된 시그니처 튜닝과 함께 시그니처 및 AI 기반 탐지 기술을 활용하는 F5 Distributed Cloud WAF는 효과를 극대화하면서 빠르고 간편한 애플리케이션 계층 보안을 제공합니다. Distributed Cloud Services에 새롭게 도입된 AI 어시스턴트는 실시간 인사이트, 실행 가능한 권장 사항 및 데이터 보고서 요약을 제공하는 자연어 인터페이스를 통해 분산 앱과 API의 보안을 간소화하도록 지원합니다.

F5 NGINX App Protect는 분산 아키텍처와 하이브리드 환경 전반에서 API와 최신 애플리케이션을 일관되게 보호하도록 설계된 경량 고성능 WAF입니다. 플랫폼에 구애받지 않는 NGINX App Protect는 애플리케이션 개발 프로세스에 원활하게 통합되어 레이어 7 서비스 거부(DoS) 공격과 봇을 비롯한 애플리케이션 공격을 탐지하고 차단합니다. 강력한 저지연 애플리케이션 보안 솔루션인 NGINX App Protect를 사용하면 Kubernetes 클러스터와 클라우드에서 애플리케이션 보안을 확장하여 컴퓨팅 비용을 크게 절감할 수 있습니다. 또한 다계층 방어를 제공하여 현재 진행 중인 사이버 공격 캠페인을 완화하고 OWASP Top 10 범주를 뛰어넘는 보호 기능을 제공합니다.

F5 BIG-IP Advanced WAF는 F5의 대표적인 웹 애플리케이션 방화벽입니다. 수상 경력에 빛나는 Advanced WAF의 탐지 및 완화 기능은 Distributed Cloud WAF와 NGINX App Protect의 엔진 역할을 합니다. BIG-IP Advanced WAF는 행동 분석, 레이어 7 DoS 완화, 민감한 데이터의 애플리케이션 계층 암호화 및 위협 인텔리전스 서비스를 통해 분산형 하이브리드 환경 전반의 애플리케이션을 다양한 애플리케이션 공격으로부터 보호합니다. BIG-IP Advanced WAF는 전용 동적 대시보드를 제공하여 OWASP Top 10에 명시된 위협으로부터 빠르고 간편하게 보안을 유지할 수 있도록 합니다. BIG-IP Advanced WAF에는 일반적인 WAF 사용 사례를 위한 안내형 구성과 학습 엔진이 포함되어 있으며, 보안 정책을 세부적으로 맞춤 설정할 수 있습니다.

F5의 광범위한 보호

또한 F5는 PCI DSS v4.0 표준이 적용되는 더 많은 영역을 지원할 수 있습니다.

API는 산업과 조직 전반에서 이루어지는 거의 모든 트랜잭션의 핵심 구성 요소입니다. PCI DSS v4.0.1에는 맞춤형 및 사용자 지정 소프트웨어의 일부로 API를 보호하고 안전하게 유지하기 위한 몇 가지 새로운 요구 사항이 도입되었습니다. F5 Distributed Cloud API Security는 이러한 새로운 요구 사항 중 다수를 충족하는 데 도움이 되며, API를 보호하는 제어 기능을 제공하여 일반적인 소프트웨어 공격과 취약성을 방지하거나 완화하는 데도 기여합니다. PCI DSS v4.0.1의 API 보안 요구 사항에 대해 더 자세히 알아보려면 Ian Dinno의 블로그 PCI DSS 4.0.1 업데이트: 고객 결제 처리업체에 요구되는 주요 신규 API 보안 업그레이드를 읽어보시고, 자세한 추가 정보가 담긴 2025년 초의 새 블로그도 확인해 보시기 바랍니다.
F5 Distributed Cloud Web App Scanning은 외부 공격 표면을 동적이고 지속적으로 스캔하여 노출된 웹 애플리케이션과 API를 찾아냅니다. 자동화된 침투 테스트 기능을 통해 Distributed Cloud Web App Scanning은 소프트웨어 공급망 깊숙한 곳에 있는 취약점을 포함하여 잠재적으로 악용될 수 있는 취약점을 식별하고 보고합니다. 이를 통해 앱과 API를 공격 및 악용으로부터 더욱 안전하게 보호할 수 있습니다. Distributed Cloud Web App Scanning은 PCI DSS v4.0의 하위 섹션 6.3.2를 준수하는 데도 도움이 됩니다.
F5 Distributed Cloud Mobile App Shield는 규정 준수 위반, 재정적 손실, 고객 이탈 및 평판 훼손을 초래하는 멀웨어, 봇, 데이터 유출, 무단 액세스, 중간자(MiTM) 공격으로부터 모바일 앱을 원활하게 보호합니다. Distributed Cloud Mobile App Shield는 독보적인 런타임 및 저장 데이터 보호 기능을 제공하여 모바일 앱의 보안을 선제적으로 강화하고, 변조를 방지하며, 악성 봇, 데이터 유출 및 API 악용을 차단합니다.
PCI DSS v4.0 하위 섹션 8.4.2에서는 카드 소유자 데이터 또는 민감한 인증 데이터를 저장, 처리 또는 전송하거나 해당 시스템에 제한 없이 연결할 수 있는 시스템 구성 요소로 이루어질 수 있는 카드 소유자 데이터 환경(CDE)에 대한 모든 액세스에 다단계 인증(MFA)을 구현하도록 규정합니다. F5 BIG-IP Access Policy Manager (BIG-IP APM)는 제로 트러스트 애플리케이션 액세스를 지원하며, 여기에는 날짜와 시간을 비롯한 다양한 요소를 기반으로 권한에 따라 애플리케이션 및 데이터에 대한 액세스를 제한하는 기능이 포함됩니다. BIG-IP APM은 전송 중인 카드 소유자 데이터와 민감한 인증 데이터를 보호할 수 있습니다. 또한 단계별 강화 인증을 지원하므로 CDE에 액세스하는 사용자나 원격 사용자와 같은 지정된 사용자는 최초 액세스에 사용한 인증 정보와 다른 MFA 인증 정보를 포함하여 별도의 인증 정보를 입력해야 합니다.
IDS/IPS 및 맬웨어 방지 솔루션을 비롯한 핵심 보안 제어 시스템의 장애를 탐지하고 신속하게 해결할 수 있도록 F5 BIG-IP SSL Orchestrator가 지원합니다. BIG-IP SSL Orchestrator는 암호화된 트래픽을 복호화하고, 사용자 지정 가능한 동적 서비스 체인을 통해 복호화된 트래픽을 기존 보안 스택으로 전달하여 암호화된 위협으로부터 보호합니다. 또한 보안 스택 내 솔루션으로 전달되는 트래픽의 부하를 분산하고, 모든 솔루션의 상태를 모니터링하며, 보안 솔루션의 암호화 알고리즘 업데이트를 관리할 수 있습니다. 아울러 보안 솔루션 중 하나가 오프라인 상태가 되면 BIG-IP SSL Orchestrator의 동적 서비스 체인을 통해 해당 솔루션을 우회하여 위험을 신속하게 완화하고, 의도치 않은 트래픽 우회와 같은 부정적인 영향을 줄일 수 있습니다. 보안 솔루션을 교체해야 할 때도 BIG-IP SSL Orchestrator는 보안 서비스의 변경 및 추가를 효율적으로 처리하고, 트래픽 흐름을 중단하지 않으면서 검사를 위해 복호화된 트래픽을 원활하게 전달합니다. BIG-IP SSL Orchestrator는 PCI DSS v4.0의 하위 조항 10.7.2, 10.7.3 및 11.5.1.1을 준수하는 데 도움이 됩니다.