Am fost întrebat de ceva timp în urmă ce fel de lucruri poate fi luată în considerare atunci când se uită la Internet Banking.
Mai jos este o listă de lucruri care ar putea fi luate în considerare. A fost doar un creier dump şi, ca atare, nu poate fi completă.
Nu subestimaţi valoarea standard pentru infrastructură, site-ul de configurare, motorul de baze de date de configurare / arhitectură, de aşteptare şi de mediu de dezvoltare / QA medii.
Unele ganduri:
- Multe nu blocarea conturilor după autentificările X nu a reuşit, în mod normal, acest lucru este făcut pentru buna serviciului de relaţii cu clienţii, dar pleaca de la sistemul de vulnerabile.
- Şi toate celelalte lucruri de aşteptat pentru o distanţă sesiune de conectare (forţată parola modificări, imbatranire, etc))
- Instrumente, cum ar fi Brutus se pot utiliza pentru a brute force hack autentificate sesiuni.
- Multe permite sesiune secvenţă numere să fie incremented, care să permită un utilizator autentificat pentru a vedea alte client sesiune.
- Acestea pot fi server parte, partea de client, pe bază de "cookie", etc
- Ia cineva, pentru a verifica dezvoltarea metodologiilor şi codul de a fi utilizate.
- Query siruri de caractere poate fi plasat într-test de intrare domenii, care să permită splin tabel pentru a browser-ului.
- Verifica toate paginile servit sunt sigure şi să conţină autentificarea utilizatorului steaguri.
- Clientul de date nu pot fi separate, acest lucru trebuie să fie verificate.
- Clientul de date nu ar trebui să se găsesc pe serverul de web.
- Autentificare baze de date / sistem de date ar trebui să nu se găsesc pe web.
- Bazele de date ar trebui să se găsesc pe un privat / semi-reţea privată.
- Un alt segment de la principalele sistemul bancar.
- Web ar trebui să fie dublu homed sau echivalent (VLAN unele tehnici sunt bune)
- Separate publice şi private de reţea carduri, monitorizare / backup / administrare
- Infrastructură set-up pentru a respinge în mod explicit inbound / outbound porturi, private IP & monitorizare se sustragă de la reţea.
- La toate datele de segregare puncte asigura reguli sunt puse în care apreciază în trafic, deşi acest aspect.
- Toate client de date, dacă este posibil, ar trebui să fie obţinute de la o sursă sigură de back-end de baze de date.
- Aceasta poate fi o escală de mediu. adică nu principalele sistemul bancar.
- Aceasta permite de obicei, pentru tranzacţiile să apară în timp real către client.
- Multe tranzacţiile pot fi batched în realitate. (interne sau externe la banca)
- Asigurarea potrivit normelor au fost set-up pe firewall-uri.
- Ar trebui să existe inbound şi outbound reguli pe firewall-uri şi routere de filtrare.
- Nu se permite nici o infrastructură de pe front-end, pentru a permite conexiuni de la distanţă administrative. (Telnet, etc)
- Utilizaţi consola serială de port pentru a se conecta la un server de back-end sau terminal server.
- Uita-te pentru segregare / oprire de online client conţinut din principalele bancar sistemelor
- Asiguraţi-vă că o dezvoltare / QA / sistem de producţie şi de mediu adecvate proces este în derulare.
- Servicii care nu sunt utilizate de sistem sunt active
- Acestea ar trebui să fie dezactivate.
- Port de scanare de sprijinire a infrastructurii (routere / switch-uri) şi server (e).
- Investiga motivele pentru toate porturile deschise.
- Nu se utilizează în principal partener de încredere pentru gateway de acces (cliring / RAS / etc)
- Fă tot ce standard IIS controale şi verificări NT (Exemplu de script-uri, managementul schimbării, patching metodologii, etc)
- Asiguraţi-vă Denial of Service precautie au fost luate în considerare pentru întreaga infrastructură şi server de echipamente.
- Verificaţi la gradul de adecvare al escaladarea procedurile utilizate.
- Uită-te pentru monitorizarea în timp real şi de alertare.
- Uită-te pentru responsabilitate matrice.
- Uite ce e de proprietate de probleme.
- Luaţi în considerare în amonte de transport (e) de vulnerabilitate (denial of service, falsificarea de IP, DNS hacking, etc)
- Luaţi în considerare inginerie socială de client, administrative, de partener de conturi / sisteme / infrastructură.
- Procedurile şi politicile de asistenţă şi / sau tehnologii alternative (Caller ID, IP Gateway, etc.)
- Utilizaţi parole dinamic, acolo unde este posibil (SecureID, TACACS, etc.)
- Utilizaţi tunnelling criptate, dacă este cazul (IPSec, Firewall 1, etc)
- Luaţi în considerare uita la alte client autentificare metode de a îmbunătăţi metodele existente.
- Digital Cert, adresa de IP pentru a blocat contul, etc
- Luaţi în considerare utilizarea de CVV sau CVN pentru banca a emis carduri.
- Luaţi în considerare cât de parole sunt distribuite / schimbat pentru clienţi.
- Plain text e-mail, telefon, etc
- Pot fi schimbat parolele online?
- Este suplimentar de autentificare utilizat între segmente de servicii, o dată autentificat?
- Luaţi în considerare ceea ce clientul are acces la o dată autentificat.
- Uită-te la SWIFT, RBTR, inter-transferuri bancare, acces la carduri de credit, etc
- Dacă un atacator nu lua în, ceea ce poate face?
- Utilizarea tehnicilor de pagini pentru a se asigura, client detalii nu sunt în cache la ISP, sau sistem de client.
- Acestea sunt indicatori care pot fi stabilite în termen de pagini.
- În mod normal, SSL este în cache, dar unele proxy vânzătorii au fost joaca cu tehnici de a face acest lucru.
- Cache de SSL pagini la client, sistemul poate fi pornit de pe unele browsere.
- Mai băncile utiliza un Java (sau similare) pentru toate applet client interacţiune, care restrânge toate caching probleme.
- Asiguraţi-vă pe suport hârtie şi on-line de răspundere clauze sunt disponibile sunt efectuate adresa toate zonele.
- Asiguraţi-vă în cadrul client semneze procesul-bancar răspundere este redusă.
- Am văzut declaraţiile de genul "folosi acest sistem, pe propriul risc, responsabilitatea pentru nici o răspundere sau cerere NU vor ... ..."
- Nu foarte concentrat client, dar asta e ceea ce lor departamentului juridic recomandată.
Toate cele de mai sus pot efect de securitate şi / sau funcţionarea unei on-line de sistemul bancar.
Alte lucruri pe care trebuie să ia în considerare:
- Externe de dezvoltare şi sprijinul cererii.
- Proprietate şi de gestionare a hardware / aplicaţii
- Editura puncte pentru conţinut nou (intern / privat / de încredere, de reţea sau Internet)
- Topologie de front-end. Adică arhitectură de securitate document ar trebui să fie în locul şi gestionate corespunzător.
- Sunt limitate AP testelor efectuate, ori de câte ori sunt făcute schimbări pentru mediu? adică AP integrate în procesul de gestionare a Change.
- Baza de date de acces. Este tamponat sau este de a trăi în centrul bancar sisteme.
- Ce facilitati sunt oferite? Debit direct + Card de credit + SWIFT + ... .... Luaţi în considerare diferite scenarii de atac în funcţie de caracteristică.
- Ce alte servicii sunt partajate în cadrul reţelei de segment că serviciul de Internet Banking este difuzat. Pot fi folosite pentru acest compromis de Internet Banking site-ului. de ex. diferite de sprijin / de afaceri / dezvoltare cu diferite organizaţii de securitate strategii / profiluri.
- Luaţi în considerare toate serviciile de sprijin în termen de externe ai AP. Uita-te la intern / extern DNS intoxicaţie de şanse, mail releu, etc Ce IPS facem pe care o folosesc are ISP orice ocazie pentru a accesa sau a sistemelor de sprijin, care pot afecta serviciile de Internet Banking.
- În funcţie de mărimea băncii, multe organizaţii nu se vor utiliza aceleaşi grupuri de sprijin pentru infrastructură şi a cererii. Ca rezultat conexiuni externe la infrastructura pot fi acordate pentru un extern sprijinul organizaţiei de a administra infrastructura.
- Uita-te la mediul de afaceri şi autentificarea utilizatorului metode şi căi (partea clientului certs, sigure de identificare, Smart Card, etc.) Luaţi în considerare două factor de autentificare moderne de utilizator şi metodele de identificare. de ex. ceea ce este preferata alimente în plus faţă de normal un nume de utilizator si parole. Fă-sistem de administrare a personalului de utilizare dinamic parole (secureID, etc)?
- Vezi daca de Internet Banking aplicare trimite e-mail pentru utilizatorii care ar putea conţine informaţii interesante.
- Un acces mai bun la cerere pot fi, în general, dobândită după accesul la sistem. legitim, adică obţine un cont în sistem. Am descoperit că unele eşantion / ecrane de administrare au fost limitate la autentificat doar utilizatorii.
- Luaţi în considerare de inginerie socială Ajutor birou pentru a avea un cont de reiniţializare a parolei.
