Система дистанционного банковского обслуживания является одним из ключевых ресурсов Банка, безопасности которого следует уделять особое внимание. При этом следует учитывать, что такие системы также уязвимы, как и любые другие. Тот факт, что они разрабатывались специально для банков вовсе не означает, что они безопасны. А в связи с ростом преступлений, связанных именно с системами ИНТЕРНЕТ-БАНК, стоит особенно внимательно отнестись к вопросам безопасности и качеству используемого программного обеспечения.
Кроме того, задача обеспечения безопасности лежит именно на программном обеспечении, реализующем систему ДБО, любые уязвимости в котором могут скомпрометировать счета клиентов и систему в целом. Помимо серверной части, очень часто программное обеспечение систем ДБО содержит компоненты и для клиентов, поэтому важно убедится в безопасности и этой составляющей ПО, так как клиенты систем ДБО – наиболее вероятные цели для злоумышленников.

Методика аудита и содержание работ

Аудит проводится специалистами Digital Security как с использованием инструментальных средств (сканеров, скриптов), так и вручную, с учетом особенностей каждой отдельной системы. В ходе работ осуществляется комплексная оценка защищенности и разрабатываются детальные рекомендации по устранению выявленных в тестируемой системе уязвимостей.
При проведении аудита используется обширный опыт специалистов исследовательского центра DSecRG по поиску и анализу уязвимостей, в том числе в популярных системах известных производителей, таких как INIST, R-Style, BSS, публикуемых на закрытом форуме Ассоциации Российских Членов Европей.

Проводимые работы

В рамках проводимых работ осуществляются:

- Проверка безопасности веб-сервера и серверов приложений;
- Проверка стойкости паролей и парольной политики;
- Поиск уязвимостей в программном обеспечении серверной части системы ДБО;
- Проверка возможности компрометации ОС или СУБД;
- Проверка возможности компрометации данных клиентов;
- Анализ безопасности клиентской части ДБО;
- Анализ безопасности ключей ЭЦП и механизмов их использования;
- И многие другие.

Результаты аудита

По итогам работ вы получаете детальный отчёт, содержащий:

- Описание выявленных уязвимостей;
- Обнаруженные недостатки конфигурации служб WEB, прав доступа и пр.
- Описание результатов реализации выявленных уязвимостей;
- Возможные сценарии атак, реализующие обнаруженные уязвимости с оценкой их критичности для бизнеса;
- Детальные рекомендации по повышению защищенности системы ДБО с учетом особенностей тестируемой системы, а также комментарии по внедрению рекомендаций.

Статьи по теме:
Проблемы защищенности банк-клиентов

Примеры выполненных работ:
Компания Digital Security завершила проект по аудиту информационной безопасности интернет-банка «Альфа-Клик»

наверх