Jag blev tillfrågad för ett tag sedan vilken typ av saker som kan beaktas när man tittar på Internet Banking.
Nedan visas en förteckning över saker som skulle kunna övervägas. Det var bara en hjärna dumpa och som sådan kanske inte är fullständiga.
Underskatta inte värdet av standarden för din infrastruktur webbplats konfiguration databas motor / arkitektur, mellanstationen miljö och utveckling / QA miljöer.
Några tankar:
- Många inte låsa konton efter X misslyckade inloggningar, detta görs normalt för god kundservice, men lämnar systemet sårbart.
- Och alla andra saker som förväntas för en fjärransluten inloggningssession (tvingas lösenord förändringar, åldrande etc.))
- Verktyg som Brutus kan använda för att brute force hack autentiserade sessioner.
- Många tillåta session sekvens nummer skall ökas så att en autentiserad användare att visa andra kunder session.
- Det kan röra server sidan klientsidan, cookie-baserad, etc.
- Få någon att kontrollera utvecklingen metoder och den kod som används.
- Databasfrågan strängar kan placeras i test inträde områden, vilket gör att tabellen tippar att webbläsaren.
- Kontrollera alla sidor som serveras är säker och innehålla användarverifiering flaggor.
- En annan del av centrala banksystemet.
- Webbservern bör dubbla homing eller motsvarande (vissa VLAN tekniker är bra)
- Separat privata och offentliga nätverkskort, övervakning / backup / administration
- Infrastruktur-set-up för att uttryckligen förneka inkommande / utgående hamnar, privata IP & övervakning flyr från nätet.
- I alla uppgifter segregation punkter säkerställa regler finns på plats som uppskattar trafiken trots detta.
- Alla kunduppgifter om möjligt bör anskaffas från en säker back-end-databasen.
- Detta kan vara en mellanstation miljön. dvs de viktigaste banksystemet.
- Denna regel tillåter transaktioner ska visas i realtid till kunden.
- Många transaktioner får batched i verkligheten. (intern eller extern till banken)
- Se lämpliga regler har satts upp brandväggar.
- Det bör finnas för inkommande och utgående regler om brandväggar och filtrering routrar.
- Låt inte någon infrastruktur på front för att möjliggöra fjärrkörning administrativa anslutningar. (Telnet, etc.)
- Använd seriekonsoll port för att ansluta till en server eller back-end terminal server.
- Se till att en separat utveckling / QA / produktionsmiljö och lämplig process är på plats.
- Tjänster som inte används av systemet är aktiva
- Dessa bör vara inaktiverade.
- Port scan av infrastruktur (routrar / växlar) och server (s).
- Undersöka orsakerna till alla öppna portar.
- Får inte användas som huvudsaklig inkörsport för tillförlitliga partner tillgång (clearing / RAS / mm)
- Göra allt som standard IIS kontroller och NT kontroller (Exempelskript, change management, korrigeringsprocessen metoder etc.)
- Se funktionsförlust försiktighetsåtgärd har beaktats för all infrastruktur och server utrustning.
- Kontrollera huruvida den upptrappning som används.
- Kolla för övervakning i realtid och larm.
- Leta efter ansvar matris.
- Leta efter ägande frågor.
- Överväg uppströms transportör (er) sårbarhet (denial of service, IP-spoofing, DNS hacking, osv)
- Överväg social ingenjörskonst av kund-, administrativa, partner redovisning / system / infrastruktur.
- Helpdesk och politik och / eller alternativa tekniker (nummerpresentation, Gateway IP, etc.).
- Använd dynamiska lösenord där så är möjligt (SecureID, TACACS, etc.).
- Använd krypterade tunnlar där det behövs (IPSec, Firewall 1, etc)
- Överväg att titta på andra kunden autentiseringsmetoder att förbättra befintliga metoder.
- Digital cert, IP-adress låst till svars, etc.
- Överväga användningen av CVV eller CVN för banken utfärdat kort.
- Fundera på hur lösenord distribueras / förändrats för kunderna.
- Vanlig text e-post, telefon etc.
- Kan lösenord ändras online?
- Är ytterligare verifiering användas mellan delar av de tjänster som en gång verifieras?
- Fundera vad kunden har tillgång till en gång verifieras.
- Titta på SWIFT, RTGS, mellan banköverföringar, tillgång till kreditkort, etc.
- Om en angripare inte hoppa in, vad kan de göra?
- Använda tekniker för att säkerställa sidor, kundens uppgifter inte cachas på ISP eller klient system.
- Det är flaggor som kan ställas in i sidorna.
- Normalt SSL cachas, men vissa fullmaktshavare säljare har spelat med teknik att göra det.
- Caching av SSL sidor på kundens system kan kopplas på om vissa webbläsare.
- Maj banker använder en Java (eller liknande) appleten för alla kundsamverkan, begränsar alla cachelagring frågor.
- Se pappersbaserade och on-line ansvar klausuler finns är itu med alla de berörda områdena.
- Sörja inom kunden registrerar sig process bank ansvar minskar.
- Jag har sett rapporter som "använda detta system på egen risk, ansvar för någon skuld eller fordran kommer inte ... ..."
- Inte mycket kundorienterade, men det är vad deras juridiska avdelning rekommenderas.
Alla dessa kan påverka säkerheten och / eller drift av en on-line banking system.
Andra saker att tänka på:
- Extern utveckling och stöd för ansökan.
- Ägande och förvaltning av hårdvara / program
- Publishing poäng för nytt innehåll (intern / privat / betrodda nätverk eller Internet)
- Topologi av användargränssnitt. Dvs Security Architecture dokument bör vara på plats och hanteras på lämpligt sätt.
- Är begränsade AP tester utförs när förändringar görs för miljön? dvs integrerat AP i Förändringshanteringsprocessen.
- Databas access. Är det buffrad eller är det levande till centrala banksystem.
- Vilka möjligheter ges? Direktdebitering + Kreditkort + SWIFT + ... .... Överväg olika scenarier för din attack beroende på funktion.
- Vilka andra tjänster som är gemensamma inom nätverket segment att Internet Banking körs. Kan det användas för att äventyra Internet Banking webbplats. t.ex.. olika stöd / företag / organisationer med olika säkerhetsstrategier / profiler.
- Betänk alla externa stödtjänster inom dig AP. Titta på intern / extern DNS-förgiftning möjligheter post relä, etc. Vad IPS's använder de har ISP någon möjlighet att få tillgång till system eller stödtjänster som kan påverka Internet Banking.
- Beroende på storleken på banken många organisation inte använder samma stöd grupper för infrastruktur och program. Som ett resultat av externa anslutningar till infrastrukturen kan ges för ett externt stöd organisation för att förvalta infrastruktur.
- Titta på företag och användarverifiering metoder och vägar (klientsidan CERT, säkra ID, smartkort, etc). Betrakta två faktor autentisering och moderna användaren identifieringsmetoder. t.ex.. Vilken är din favoritmat utöver normala användarnamn och lösenord. Har systemadministration personal använda dynamiska lösenord (SecureID, etc.)?
- Se om Internet Banking ansökan skickar e-post till användarna som kan innehålla intressant information.
- Bättre tillgång till ansökan kan i allmänhet fick efter tillträde till systemet. dvs få ett legitimt konto i systemet. Jag har upptäckt att vissa prov / administration skärmar har begränsats till autentiserade användare.
- Överväg social ingenjörskonst Helpdesk ha ett konto lösenordsåterställning.
