Client-Side Protection & Compliance：抵御威胁，助力遵守 PCI DSS v4

攻击范围扩大

尽管 JavaScript 已成为必不可少的工具，但同时也带来了新的安全风险。由于 JavaScript 分散运行在各个客户端上且依赖于第三方提供，因此企业想要监控和管理 JavaScript 就变得极为困难。攻击者正是利用了这一盲点，通过脚本中的漏洞，从浏览器向网站注入有害代码。然后，他们便可从最终用户那里获得并泄露敏感信息，包括支付卡数据。

这些攻击（包括 Web 数据窃取、 Magecart和表单劫持）的 复杂程度逐年增加， 可能会给企业带来毁灭性的打击。受害者面临客户信任度下降、停工、收入损失等问题，并且可能要承担 巨额监管处罚。

新的客户端 JavaScript 安全要求

尽管客户端攻击会造成很大影响，但大多数企业并未将客户端攻击的预防作为安全防范的重点，许多网站仍然未受任何保护。为保护浏览器中的支付数据， 支付卡行业数据安全标准 引入了 2022 年 3 月发布的最新版 PCI DSS（版本 4.0） 中新增的客户端 JavaScript 安全要求。

为满足合规性要求，在线处理支付卡数据的任何企业都必须了解其网站上正在执行哪些脚本、这些脚本正在执行什么操作并及时发现被篡改的脚本。 PCI DSS v4.0 将于 2025 年 3 月全面生效，企业需要在此短暂的时间窗口内满足这些要求。

Akamai Client-Side Protection & Compliance 简介

Akamai Client-Side Protection & Compliance 是一款 Web 应用程序安全解决方案，旨在保护网站免遭 JavaScript 威胁，并有助于遵守 PCI DSS v4.0 中列出的全新 JavaScript 安全要求（6.4.3 和 11.6.1）。

Client-Side Protection & Compliance 在最终用户的浏览器中运行，用于监控客户端 JavaScript 在受保护网页上的执行情况。当脚本的行为发生更改时，机器学习技术会评估未经授权操作或不当操作的风险，并触发实时告警，供安全团队进行调查。

用户只需轻松点击一下，即可抵御潜在威胁，避免恶意 JavaScript 访问并泄露最终用户的敏感信息，包括支付卡数据。

满足专门的 PCI DSS v4.0 合规性要求

Client-Side Protection & Compliance 可提供广泛的支持，助力企业满足 PCI DSS v4.0 中的 6.4.3 和 11.6.1 要求。该解决方案会自动跟踪并清点支付页面上的脚本，确保其完整性和授权。安全团队可以通过预定义的依据和自动套用的规则，轻松判定支付页面上所执行脚本的目的。

该解决方案还会监控 HTTP 标头和支付页面保护机制中的变更，以防范网页遭篡改。借助综合仪表板和专门的 PCI 告警，安全团队可以轻松快速地应对合规相关事件，并为审计提供证据。

对 JavaScript 威胁的广泛监测能力

人们普遍误认为 Web 应用程序防火墙 (WAF) 可防范客户端攻击。之所以称为误解，是由于 WAF 分析的是服务器端流量，因此无法检测或抵御最终用户浏览器中发生的攻击。Akamai Client-Side Protection & Compliance 对于网站的客户端攻击面具有卓越的监测能力，可以弥补 WAF 的不足。它可以跟踪脚本执行行为，检测 常见漏洞和风险 (CVE)，以及评估每个脚本的覆盖范围和影响。

Client-Side Protection & Compliance 还提供有关脚本所访问的数据以及潜在威胁的情报，消除盲点并确保提供全面保护。该解决方案可与卓越的 Akamai App & API Protector完美配合，全面抵御服务器端和客户端威胁。

客户端概况

Client-Side Protection & Compliance 是一款与 CDN 无关的解决方案，可在 Akamai Connected Cloud 上部署，也可以脱离 Akamai Connected Cloud 进行部署，且不需要额外的 Akamai 安全解决方案。它适用于复杂网站和单页应用程序，且不会对页面性能造成任何显著影响。通过快速配置，企业可立即抵御 JavaScript 威胁，并简化 PCI DSS v4.0 的合规工作流程。