NGINX App Protect PCI DSS 규정 준수 달성

오늘 다룰 주제는 PCI DSS 규정을 준수하는 앱 보안 솔루션에 관한 내용입니다. 디지털 혁신은 보안 환경을 변화시켰습니다. 조직이 비즈니스 민첩성을 높이기 위해 모놀리식 애플리케이션에서 클라우드 네이티브 마이크로서비스 아키텍처로 전환함에 따라 기존의 디지털 보안은 더 이상 존재하지 않습니다.
마이크로서비스는 네트워크를 통해 통신하기 때문에 최신 웹사이트와 웹 애플리케이션은 모놀리식보다 사이버 공격에 더 취약하며 모든 규모의 회사 네트워크를 손상시키는 가장 쉬운 방법 중 하나가 되었습니다. 조직은 보안과 민첩성 간의 적절한 균형을 찾아야 합니다.

신용카드 업계는 계속해서 사이버 공격의 빈번한 표적이 되고 있습니다.
이 포스트에서는 기업이 신용 카드 거래를 처리할 때 직면하는 특정 보안 및 규정 준수 문제와 WAF(웹 애플리케이션 방화벽), 특히 NGINX App Protect와 같은 기술이 규제 요구 사항을 충족하는 데 어떻게 도움이 되는지 설명합니다.

목차

1. PCI DSS 규정 준수는 오늘날의 최신 애플리케이션에 매우 중요합니다.
2. NGINX App Protect는 PCI DSS 요구 사항을 충족하거나 능가합니다.

1. PCI DSS 규정 준수는 오늘날의 최신 애플리케이션에 매우 중요합니다.

PCI DSS (Payment Card Industry Data Security Standard)는 신용 카드 결제 처리와 관련된 모든 당사자가 카드 소유자 데이터를 보호하기 위해 취해야 하는 조치를 설명합니다.
첫 번째 요구 사항은 “카드 소유자 데이터를 보호하기 위해 방화벽 구성을 설치하고 유지 관리”하는 것입니다.
요구 사항 6.6은 또한 공개 웹 애플리케이션의 소유자가 “웹 기반 공격(예: 웹 애플리케이션 방화벽)을 탐지하고 방지하는 자동화된 기술 솔루션을 설치”하여 이를 보호해야 한다고 명시합니다.

안타깝게도 WAF를 설치하는 것은 “설정하고 잊어버리는” 간단한 문제가 아닙니다.
다양한 공격이 가능하며 공격자는 지속적으로 새로운 공격을 시도합니다.
따라서 PCI DSS 규정 준수를 유지하는 것은 최신 애플리케이션이 직면한 가장 중요한 과제 중 하나입니다.

표준의 요구 사항 6.5에는 WAF가 “최소한” 방어해야 하는 취약성이 나열되어 있습니다.

  • Injection flaws, 특히 SQL Injection, OS Command Injection, LDAP 및 XPath injection flaws 등
  • Buffer overflows
  • Insecure cryptographic storage
  • Insecure communications
  • Improper error handling
  • Cross‑site scripting (XSS)
  • Cross‑site request forgery (CSRF)
  • Broken authentication and session management
  • Improper access control (such as insecure direct object references and failure to restrict URL access)

OWASP(Open Web Application Security Project) Top 10에는 XML 외부 엔티티, 잘못된 구성(예: 기본 구성 사용), 안전하지 않은 역직렬화(deserialization), 불충분한 로깅 및 모니터링이 포함됩니다.

2. NGINX App Protect 는 PCI DSS 요구 사항을 충족하거나 능가합니다.

PCI DSS를 준수하고 계속 증가하는 취약성으로부터 앱을 보호하려면 NGINX App Protect 와 같은 최신 WAF 솔루션이 필요합니다.
나열된 PCI DSS 취약점, OWASP Top 10으로부터 보호합니다.

NGINX App Protect는 최신 인프라용으로 설계되었으며 어디에나 설치할 수 있습니다. CI/CD 파이프라인에 “as code” 직접 삽입되며 기존 WAF보다 애플리케이션에 더 가깝기 때문에 보안 정책을 신속하게 업데이트할 수 있습니다. NGINX App Protect는 모든 플랫폼(Public 및 Private Cloud, VM, 컨테이너 등)과 사용 사례(API 게이트웨이 및 Kubernetes Ingress Controller 포함)에 배포되므로 전체 인프라에서 일관된 성능과 동일한 수준의 보호를 얻을 수 있습니다.

NGINX App Protect는 알려진 최신 공격을 처리하기 위해 최소 2개월마다 업데이트되는 6,000개 이상의 서명을 처리합니다.

또한 서명 외에도 NGINX App Protect 는 다음을 수행합니다.

  • 요청별로 HTTP 프로토콜 및 회피 매개 변수 검사를 수행하여 HTTP 메시지 내용의 잘못된 메타 문자, 잘못된 길이 등과 같은 오류를 탐지합니다. 이러한 이상 징후는 알 수 없는 가능한 공격(zero-day)을 나타낼 수 있으며 이러한 공격의 존재는 트래픽에 존재할 수 있는 다른 증거를 강화합니다.
  • JSON 및 XML 콘텐츠를 처리하고 잠재적으로 악의적인 주입에 대한 payload를 확인할 수 있습니다.
  • response scrubbing이라고도 하는 데이터 마스킹(data masking)을 통해 응답이 중요한 정보를 노출하지 않도록 하는 고유한 기능을 제공합니다.
    애플리케이션이 노출되어서는 안 되는 기밀 데이터를 반환할 때는 항상 response scrubbing을 활성화하는 것이 좋습니다.

NGINX App Protect를 30일 동안 무료로 사용해 보세요. 강력한 WAF의 성능과 기능이 NGINX Plus의 가볍고 프로그래밍 가능한 특성과 결합되어 PCI DSS 규정 준수 문제를 해결하기 위한 완벽한 조합인 이유를 알게 될 것입니다.