مهندسی امنیت و بانکداری دیجیتال:مدلسازی تهدید
نفوذ در تراکنش
در مثالی در مقاله زیر ضعف در درک صحیح «عملکرد مورد انتظار سیستم» و «جریان کاری کاربران» در سیستم بانکداری اینترنتی را بررسی کرده ام که باعث میشود مهاجم با سوءاستفاده از نقاط کور در منطق اعتبارسنجی و مدیریت نشست، فرآیندهای تراکنش بانکی را دور بزند.
مهاجم با ترکیب ضعف‌های workflow، تزریق رفتارهای خارج از مسیر طراحی‌شده، و دستکاری توالی درخواست‌ها، یک تراکنش جعلی ایجاد کرد که در کنترل‌های امنیتی تشخیص داده نشد. از دید CISSP، ریشه حمله در نقص Threat Modeling و Security-by-Design ،اعتبارسنجی ناکامل state، سوءمدیریت session، و فقدان کنترل‌های توالی رویدادها امکان بهره‌برداری را فراهم کردند.
امنیت سایبری در بانکداری فراتر از خرید WAF و پیاده‌سازی SSL است. این سناریو نشان می‌دهد که خطرناک‌ترین حملات، آن‌هایی هستند که «طبق قوانین سیستم» رفتار می‌کنند اما آخر سر سیستم را دور می‌زنند.
https://vrgl.ir/y9plN
🎉متن کامل را در ویرگول بخوانید
تبصره: بنا به ضروریات محرمانگی و قانونی ، بخشهایی ساده سازی شده اند.
نفوذ در تراکنش
در مثالی در مقاله زیر ضعف در درک صحیح «عملکرد مورد انتظار سیستم» و «جریان کاری کاربران» در سیستم بانکداری اینترنتی را بررسی کرده ام که باعث میشود مهاجم با سوءاستفاده از نقاط کور در منطق اعتبارسنجی و مدیریت نشست، فرآیندهای تراکنش بانکی را دور بزند.
مهاجم با ترکیب ضعف‌های workflow، تزریق رفتارهای خارج از مسیر طراحی‌شده، و دستکاری توالی درخواست‌ها، یک تراکنش جعلی ایجاد کرد که در کنترل‌های امنیتی تشخیص داده نشد. از دید CISSP، ریشه حمله در نقص Threat Modeling و Security-by-Design ،اعتبارسنجی ناکامل state، سوءمدیریت session، و فقدان کنترل‌های توالی رویدادها امکان بهره‌برداری را فراهم کردند.
امنیت سایبری در بانکداری فراتر از خرید WAF و پیاده‌سازی SSL است. این سناریو نشان می‌دهد که خطرناک‌ترین حملات، آن‌هایی هستند که «طبق قوانین سیستم» رفتار می‌کنند اما آخر سر سیستم را دور می‌زنند.
https://vrgl.ir/y9plN
🎉متن کامل را در ویرگول بخوانید
تبصره: بنا به ضروریات محرمانگی و قانونی ، بخشهایی ساده سازی شده اند.
Comments
Be the first to add a comment
Log in to comment