Ako ay nagtanong ng ilang oras nakaraan kung ano ang uri ng mga bagay-bagay ay maaaring isaalang alang kapag naghahanap sa Internet Banking.
Sa ibaba ay isang listahan ng mga bagay-bagay na maaaring pag-isipan. Ito ay lamang ng isang utak ng basura at bilang ganoon ay maaaring hindi kumpleto.
Huwag maliitin ang halaga ng mga pamantayan para sa iyong mga infrastructure, website configuration, database engine configuration / architecture, pagtatanghal ng dula kapaligiran at pag-unlad / QA kapaligiran.
Ang ilang mga saloobin:
- Maraming mga hindi lock account pagkatapos ng X Nabigo ang pag-login, ito ay normal na ginawa para sa mga mabuting customer service, ngunit dahon ng sistema masusugatan.
- At ang lahat ng iba pang mga bagay na inaasahan para sa isang remote na login session (sapilitang password pagbabago, aging, etc))
- Tools tulad ng Brutus ay maaaring gamitin sa malupit na puwersa tadtarin Authenticated session.
- Maraming mga session payagan ang mga numero ng pagkakasunod-sunod na incremented, na nagpapahintulot sa isang Authenticated user upang makita ang iba pang mga customer session.
- Ang mga ito ay maaaring maging bahagi ng server, client side, cookie base, atbp
- Kumuha ng isang tao upang suriin ang development methodologies at ang mga code na ginagamit.
- Database query string ay maaaring ilagay sa test entry na larangan, na nagpapahintulot sa table lungkot sa browser.
- Suriin ang lahat ng mga pahina ay nagsilbi secure at naglalaman ng user authentication bandera.
- Customer data ay maaaring hindi segregated, ang mga pangangailangan upang maging checked.
- Customer data ay hindi dapat manirahan sa Web Server.
- Authentication database / system data ay hindi dapat manirahan sa webserver.
- Ang database ay dapat na naninirahan sa isang pribadong / semi-pribadong network.
- Ang iba't-ibang mga segment na ang pangunahing banking system.
- Webserver homed ay dapat na kambal o katumbas (ilang VLAN pamamaraan ay magandang)
- Ihiwalay ang mga pribadong at pampublikong network cards, pagmamanman / backup / pangangasiwa
- Infrastructure-set-up sa explicitly tanggihan dumarating / palabas port, pribadong IP & pagmamanman escaping mula sa network.
- Sa lahat ng mga data points paghiwalay masiguro ang mga patakaran sa lugar na kung saan appreciates ang trapiko kahit na point.
- Lahat ng mga customer data na kung saan maaari ay dapat na sourced mula sa isang secure na back-end database.
- Ito ay maaaring maging isang pagtatanghal ng dula kapaligiran. walang ibig sabihin ang pangunahing banking system.
- Ito ay karaniwang nagbibigay-daan para sa mga transaksyon sa real-time na lalabas ang customer.
- Maraming mga transaksyon ay maaaring batched sa katotohanan. (panloob o panlabas na sa bangko)
- Masiguro ang nababagay na mga patakaran ay na-set-up sa firewalls.
- May ay dapat na dumarating at palabas patakaran sa firewalls at filtering routers.
- Hindi nagpapahintulot ng anumang infrastructure sa front end upang payagan ang remote administrative na koneksyon. (Telnet, atbp)
- Gamitin ang serial console port para kumonekta sa isang server o back-end terminal server.
- Masiguro na ang isang hiwalay na pag-unlad / QA / produksyon ng kapaligiran na sistema at angkop na proseso ay sa lugar.
- Mga serbisyo na hindi ginagamit ng sistema ay aktibo
- Ang mga ito ay dapat na may kapansanan.
- Port-scan ng mga sumusuporta sa imprastraktura (routers / switch) at server (s).
- Imbestigahan ang mga dahilan para sa lahat ng mga bukas na port.
- Huwag gamitin ang mga pangunahing gateway para sa mga mapagkakatiwalaang mga kasosyo sa pag-access (clearing / Ras / atbp)
- Gawin ang lahat na standard IIS checks at NT checks (Halimbawang script, palitan management, patching methodologies, etc)
- Masiguro ang pagtanggi ng mga serbisyong pangangalaga ay dadalhin sa account para sa lahat ng mga infrastructure at server na kagamitan.
- Suriin ang adequacy ang pagdami ng mga pamamaraan na ginagamit.
- Hanapin sa real-time monitoring at alertuhan.
- Hanapin ang responsibilidad para sa matris.
- Hanapin ang pagmamay-ari ng mga isyu.
- Isaalang-alang ang salungat sa agos carrier (s) kahinaan (pagtanggi ng mga serbisyo, IP spoofing, DNS pataga, etc)
- Isaalang-alang ang social engineering ng mga customer, administrative, partner accounts / system / infrastructure.
- Helpdesk pamamaraan at mga patakaran at / o alternatibong teknolohiya (Caller ID, Gateway IP, atbp).
- Gamitin ang pabago-bagong password kung saan posibleng (SecureID, TACACS, atbp).
- Gamitin encrypt tunnelling kung saan kinakailangan (IPSec, Firewall 1, etc)
- Isaalang-alang ang naghahanap sa iba pang mga customer authentication mga pamamaraan upang mapahusay ang umiiral na mga pamamaraan.
- Digital cert, IP address na naka-lock sa account, atbp
- Isaalang-alang ang paggamit ng CVV o CVN para sa bank-issue card.
- Consider how passwords are distributed /changed for customers.
- Plain text email, telepono, atbp
- Maaari password ay nagbago online?
- Ay karagdagang authentication na ginagamit sa pagitan ng mga seksyon ng ng mga serbisyo ng isang beses Authenticated?
- Isaalang-alang kung ano ang mga customer ay ang pag-access sa kapag Authenticated.
- Hanapin sa SWIFT, RTGS, maki-bank transfer, ang pag-access sa credit card, atbp
- Kung ang isang magsasalakay ang makakuha ng in, kung ano ang maaaring gawin?
- Gumamit ng mga pamamaraan upang matiyak ang mga pahina, sa customer mga detalye ay hindi cache at ISP, o client system.
- Ang mga ito ay mga flags na maaaring itakda sa loob ng mga pahina.
- Karaniwan ay SSL-cache na, ngunit ang ilang mga proxy vendor ay sa mga pamamaraan upang gawin ito.
- Caching ng SSL pahina sa client system ay maaaring-on sa ilang mga browser.
- May mga bangko gumamit ng Java (o mga katulad na) applet para sa lahat ng mga customer na pakikipag-ugnayan, restricting caching lahat ng mga isyu.
- Matiyak na papel na base at on-line sa pananagutan clauses ay magagamit na ang mga address ng lahat ng effected lugar.
- Masiguro sa loob ng mga customer na mag-sign up na proseso ng pagbabangko pananagutan ay nabawasan.
- I've seen pahayag tulad ng "gamitin ang sistemang ito sa iyong sariling panganib, responsibilidad o pananagutan para sa anumang paghahabol ay HINDI ... ..."
- Hindi masyadong customer na pokus, ngunit na kung ano ang kanilang legal department inirerekomenda.
Lahat ng sa itaas ay maaaring epekto sa seguridad at / o mga operasyon ng isang on-line banking system.
Iba pang mga bagay na isaalang-alang:
- Panlabas na pag-unlad at suporta ng mga application.
- Pagmamay-ari at pamamahala ng hardware / application
- Publishing points para sa bagong nilalaman (internal / pribado / pinagkakatiwalaang network o Internet)
- Topology ng front end. Ibig sabihin Security Architecture dokumento ay dapat na sa lugar at pinamamahalaan nang naaangkop.
- Ay limitado AP pagsubok na ginanap sa tuwing ang mga pagbabago ay ginawa sa kapaligiran? ibig sabihin integrated AP Baguhin ang pamamahala sa proseso.
- Database access. Ay ito buffered o ito ay nakatira sa core banking system.
- Ano ang mga pasilidad ay ibinigay? Direct debit + Credit Card + SWIFT + ... .... Isaalang-alang ang iba't-ibang pangyayari para sa iyong atake depende sa mga tampok.
- Ano ang iba pang mga serbisyo ay shared sa loob ng network ng segment na ang Internet Banking serbisyo ay tumatakbo. Maaari na ito ay ginamit sa kompromiso ang Internet Banking site. hal. iba't-ibang mga support / negosyo / pag-unlad na samahan sa differing seguridad estratehiya / profile.
- Isaalang-alang ang lahat ng mga panlabas na sumusuporta sa mga serbisyo sa loob mo AP. Hanapin sa panloob / panlabas na DNS sa pagkain pagkakataon, mail riley, atbp Ano ang IPs ng gawin nila ay gamitin ang ISP anumang pagkakataon na ma-access ang system o sumusuporta sa mga serbisyo na maaaring makaapekto sa Internet Banking.
- Depende sa laki ng Bank, maraming mga organisasyon ay hindi gamitin ang parehong suporta sa mga grupo para sa infrastructure at ang application. Bilang isang resulta ng panlabas na mga koneksyon sa imprastraktura ay maaaring ibinigay para sa isang panlabas na sumusuporta sa organisasyon upang tumulong sa infrastructure.
- Hanapin sa negosyo at user authentication pamamaraan at mga landas (client side certs, secure ID, SMART Card, etc). Isaalang-alang ang dalawang factor authentication at modernong user pagkakakilanlan pamamaraan. hal. kung ano ang iyong mga paboritong pagkain bukod sa normal na mga username at password. Do sistema ng pamamahala ng mga tauhan gamitin ang dynamic na mga password (secureID, etc)?
- Tingnan kung ang Internet Banking application nagpapadala ng email sa mga gumagamit na maaaring maglaman ng mga kagiliw-giliw na impormasyon.
- Mas mahusay na pag-access sa aplikasyon ay maaari sa pangkalahatan ay nagkamit pagkatapos ng access sa sistema. ibig sabihin makakuha ng isang lehitimong account sa sistema. Ako ay natagpuan na ang ilang mga sample / pangangasiwa screen ay limitado sa mga Authenticated users lamang.
- Isaalang-alang ang social engineering ang Help desk na magkaroon ng isang account password reset.
