Tôi đã hỏi một số cách đây những gì sắp xếp thời gian của sự vật có thể được xem xét khi nhìn vào Internet Ngân hàng.
Dưới đây là một danh sách các vật có thể được xem xét. Nó đã được chỉ là một biến não và như vậy có thể không được hoàn tất.
Không thấp sự giá trị của tiêu chuẩn cho các cơ sở hạ tầng, trang web cấu hình, cơ sở dữ liệu động cơ cấu hình / kiến trúc, staging môi trường và phát triển / QA môi trường.
Một số suy nghĩ:
- Nhiều người không khóa X tài khoản sau khi đăng nhập không thành công, điều này là bình thường làm cho các dịch vụ khách hàng tốt, nhưng hệ thống lá dễ bị tổn thương.
- Và tất cả những thứ khác cho một mong muốn xa phiên đăng nhập (bắt buộc mật khẩu thay đổi, lão hóa, vv))
- Công cụ như Brutus có thể được sử dụng để brute lực hack xác nhận phiên.
- Cho phép nhiều phiên chuỗi số điện thoại để được incremented, cho phép một người dùng xác nhận để xem các phiên của khách hàng.
- Đây có thể được phục vụ bên, phía khách hàng, dựa trên tập tin cookie, vv
- Nhận một ai đó để kiểm tra sự phát triển phương pháp và các mã đang được sử dụng.
- Cơ sở dữ liệu truy vấn strings có thể được đặt vào thử nghiệm vào lĩnh vực, cho phép bảng dumps để trình duyệt.
- Kiểm tra tất cả các trang web phục vụ được an toàn và các nội dung người dùng xác thực cờ.
- Xác nhận các cơ sở dữ liệu / hệ thống dữ liệu không nên nằm trên web.
- Các cơ sở dữ liệu phải nằm trên một cá nhân / bán tư nhân mạng.
- Một phân khác nhau cho chính hệ thống ngân hàng.
- Web nên có đôi homed hoặc tương đương (một số VLAN kỹ thuật tốt)
- Phân cách riêng tư và công khai mạng lưới thẻ, giám sát / dự phòng / hành chính
- Cơ sở hạ tầng thiết lập rõ ràng để từ chối Inbound / đi cảng, tư nhân Sở hữu Trí tuệ & escaping giám sát từ mạng.
- Hiện tất cả các dữ liệu segregation điểm đảm bảo quy định là nơi mà trong đánh giá lưu lượng truy cập mặc dù điểm đó.
- Tất cả các khách hàng dữ liệu mà có thể cần được sourced an toàn từ một cơ sở dữ liệu back-end.
- Điều này có thể có được một staging môi trường. tức là không có chính của hệ thống ngân hàng.
- Điều này cho phép các giao dịch xuất hiện thời gian thực cho khách hàng.
- Rất nhiều các giao dịch có thể được batched trên thực tế. (nội bộ hay bên ngoài vào ngân hàng)
- Bảo đảm phù hợp với quy định đã được cài đặt trên bức tường lửa.
- Cần có các quy tắc Inbound và đi về bức tường lửa và lọc routers.
- Không cho phép bất kỳ cơ sở hạ tầng trên mặt trước hết để cho phép kết nối từ xa cơ quan hành chính. (Telnet, vv)
- Sử dụng bàn giao tiếp nối tiếp cổng để kết nối với một máy chủ hoặc quay lại cuối terminal server.
- Tìm segregation / staging trực tuyến của khách hàng từ các nội dung chính của hệ thống ngân hàng
- Đảm bảo rằng riêng phát triển / QA / sản xuất hệ thống và môi trường phù hợp với quá trình hợp đồng.
- Dịch vụ không được sử dụng bởi các hệ thống đang hoạt động
- Nhưng phải được vô hiệu hoá.
- Cảng quét hỗ trợ của các cơ sở hạ tầng (routers / tắc) và máy chủ (s).
- Điều tra các lý do cho tất cả các cổng mở.
- Không sử dụng chính là cửa ngõ cho các đối tác đáng tin cậy truy cập (clearing / RAS / vv)
- Làm tất cả những tiêu chuẩn mà IIS kiểm tra kiểm tra và NT (script mẫu, thay đổi quản lý, patching phương pháp, vv)
- Đảm bảo từ chối dịch vụ precaution đã được đưa vào tài khoản cho tất cả các cơ sở hạ tầng và máy chủ trang thiết bị.
- Kiểm tra adequacy của escalation các thủ tục được sử dụng.
- Tìm theo thời gian thực giám sát và cảnh báo.
- Hãy tìm ma trận trách nhiệm.
- Tìm chủ sở hữu của các vấn đề.
- Upstream xem xét nhà cung cấp dịch vụ (s) dễ bị tổn thương (từ chối dịch vụ, IP spoofing, DNS hacking, vv)
- Xã hội, xem xét kỹ thuật của khách hàng, cơ quan hành chính, đối tác tài khoản / hệ thống / cơ sở hạ tầng.
- Helpdesk thủ tục và các chính sách và / hoặc thay thế các công nghệ (Caller ID, IP Gateway, etc.)
- Sử dụng năng động, nơi có thể có mật khẩu (SecureID, TACACS, vv).
- Sử dụng mật mã tunnelling nơi cần thiết (IPSec, Firewall 1, vv)
- Hãy cân nhắc xem xét các khách hàng khác xác phương pháp để tăng cường các phương pháp hiện hành.
- Kỹ thuật số CERT, địa chỉ IP bị khóa cho tài khoản, vv
- Cân nhắc việc sử dụng các CVV CVN hoặc cho các ngân hàng phát hành thẻ.
- Xem xét như thế nào là phân phối mật khẩu / thay đổi cho khách hàng.
- Văn bản thuần tuý gửi thư điện tử, điện thoại, vv
- Có thể được thay đổi mật khẩu trực tuyến?
- Bổ sung là xác thực được sử dụng giữa các phần của các dịch vụ sau khi xác nhận?
- Hãy cân nhắc những gì khách hàng có quyền truy cập vào một lần xác nhận.
- Nhìn vào SWIFT, RTGS, quốc tế, chuyển tiền ngân hàng, truy cập vào thẻ tín dụng, vv
- Nếu một người tấn công nhận được hiện tại, những gì có thể làm gì?
- Sử dụng kỹ thuật để đảm bảo các trang web, khách hàng chi tiết đều được lưu trữ tại không cung cấp dịch vụ internet, hoặc hệ thống của khách hàng.
- Đây là những cờ có thể được thiết lập trong trang.
- Thông thường SSL bộ nhớ đệm, nhưng một số nhà cung cấp máy chủ đã được chơi với các kỹ thuật để làm như thế.
- Caching SSL của các trang web trên các hệ thống khách hàng có thể được bật trên một số các trình duyệt.
- May các ngân hàng sử dụng một Java (hay tương tự) applet cho tất cả các khách hàng tương tác, hạn chế tất cả các vấn đề trong bộ nhớ đệm.
- Giấy bảo đảm dựa trên mạng và các điều khoản trách nhiệm pháp lý nào sẵn có được địa chỉ ảnh hưởng tất cả các lĩnh vực.
- Bảo đảm khách hàng trong quá trình đăng ký ngân hàng là trách nhiệm hữu giảm.
- Tôi đã nhìn thấy lời tuyên bố như "sử dụng hệ thống này tại rủi ro của riêng bạn, trách nhiệm đối với bất kỳ trách nhiệm pháp lý hoặc yêu cầu bồi thường sẽ KHÔNG ... ..."
- Không phải khách hàng rất tập trung, nhưng đó là những gì các bộ phận pháp lý được đề nghị.
Tất cả các bên trên có thể ảnh hưởng an ninh và / hoặc các hoạt động của một on-line hệ thống ngân hàng.
Những thứ khác để xem xét:
- Bên ngoài phát triển và hỗ trợ của ứng dụng.
- Quyền sở hữu và quản lý phần cứng / ứng dụng
- Công bố điểm cho các nội dung mới (nội bộ / riêng tư / tin cậy mạng hoặc Internet)
- Topology về phía trước kết thúc. Ví dụ: Bảo mật Kiến trúc tài liệu phải được đặt đúng chỗ và quản lý một cách thích hợp.
- AP được giới hạn các bài kiểm tra thực hiện bất cứ khi nào có thay đổi đối với môi trường? ví dụ như tích hợp vào AP Thay đổi quy trình quản lý.
- Cơ sở dữ liệu truy cập. Is it buffered hoặc là nó sống với lõi hệ thống ngân hàng.
- Các cơ sở được cung cấp những gì? Ghi nợ trực tiếp: + Thẻ tín dụng: + SWIFT + ... .... Xem xét cho các kịch bản khác nhau của bạn tấn công tùy thuộc vào tính năng.
- Những gì các dịch vụ khác được chia sẻ trong mạng lưới phân rằng Internet Ngân hàng dịch vụ đang chạy. Này có thể được sử dụng để nguy cho Internet Ngân hàng trang web. ví dụ. khác nhau hỗ trợ / kinh doanh / phát triển các tổ chức khác nhau với an ninh chiến lược / hồ sơ.
- Xem xét tất cả các bên ngoài các dịch vụ hỗ trợ bạn trong vòng AP. Nhìn vào nội bộ / bên ngoài DNS cơ hội ngộ độc, thư relay, vv làm gì IP của họ sử dụng có cung cấp dịch vụ internet có cơ hội để truy cập vào hệ thống hay hỗ trợ mà có thể ảnh hưởng đến các dịch vụ Internet Banking.
- Tùy thuộc vào kích cỡ của các Ngân hàng, rất nhiều tổ chức không sử dụng cùng một nhóm hỗ trợ cho các cơ sở hạ tầng và ứng dụng. Kết quả là bên ngoài kết nối vào cơ sở hạ tầng có thể được cung cấp cho một bên ngoài hỗ trợ, tổ chức quản lý cơ sở hạ tầng.
- Nhìn vào các doanh nghiệp và người sử dụng xác thực các phương pháp và các đường dẫn (phía khách hàng certs, an toàn ID, SMART thẻ, vv). Xem xét hai yếu tố xác thực và hiện đại, người sử dụng xác định phương pháp. ví dụ. những gì được yêu thích nhất của bạn, thêm vào thức ăn bình thường tên người dùng và mật khẩu. Do hệ thống quản lý nhân viên năng động, sử dụng mật khẩu (secureID, vv)?
- Xem Internet Ngân hàng ứng dụng gửi thư điện tử cho người sử dụng mà có thể chứa các thông tin thú vị.
- Hơn truy cập vào các ứng dụng thông thường có thể được sau khi đã đạt được quyền truy cập vào hệ thống. nghĩa là chính đáng nhận được một tài khoản trên hệ thống. Tôi đã thấy rằng một số mẫu / màn hình quản lý đã được nhập bị giới hạn để xác nhận người sử dụng mà thôi.
- Xem xét xã hội, kỹ thuật Trợ giúp bàn làm việc phải có một tài khoản thiết lập lại mật khẩu.
