Ако некогаш сте морале да напишете апликација за обработка на плаќања со картички, не како интегрирање на PayPal, туку како PayPal. 
 
 Стандардот за безбедност на податоците на индустријата за платежни картички (PCI DSS) е стандард за безбедност на информации за организациите кои се занимаваат со брендирани кредитни картички од големите картички. е стандард за безбедност на информациите за организациите кои се занимаваат со брендирани кредитни картички од главните картички. Стандард за безбедност на податоците за платежните картички (PCI DSS) Википедија Со други зборови, тоа е огромна контролна листа која вели: "Еј, ако сакате да ги чувате или обработувате парите на луѓето, можеби не ја оставајте вашата база на податоци отворена за светот." Why Am I Even Writing This? Зошто дури и го пишувам ова? Откако работев на апликација која е компатибилна со PCI DSS, имав егзистенцијална криза и се запрашав: „Зошто сите апликации не треба да ги следат практиките за безбедно кодирање на PCI DSS?“ Верувајте ми, PCI DSS не е толку страшно како што звучи. Усогласеност и приватност луѓето имаат начин да се направи секој едноставен процес звучи огромен да се чувствуваат добро за себе.Сакате да имате стресен ден? Слушајте ги да разговараат за PIA, DPIA, DSAR или ROPA. За да не ги поедноставиме работите, усогласеноста може да биде болна. но ако тоа помага да ги заштитите вашите податоци и да не завршите на „Јас бев измачен“. Совети за безбедно кодирање Ако градите систем за плаќање или само се обидувате да спиете подобро во текот на ноќта, тука се некои лесни начини за да го обезбедите кодирањето што ќе ве приближи до усогласеноста со PCI DSS. Subnets, NAT Gateways, and the Drama of Networking Ако базата на податоци на вашата апликација е во јавна под-мрежа, ќе ви треба да престанете да читате и да го поправите тоа. Осигурајте се дека користите приватни под-мрежи за нешто чувствително, а потоа насочете го нивниот сообраќај преку NAT Gateway за да можат да пристапат до интернет (за исправки, ажурирања, меми, итн.) без да бидат директно изложени. За љубителите на „Матрицата“, светот на Матрицата е приватна под-мрежа, реалниот свет е јавна под-мрежа, а безбедниот телефон кој Нео и неговите пријатели го користат за да патуваат помеѓу светови е NAT Gateway. Ми се допаѓа оваа референца, се надевам дека ќе го направите истото. Encrypt All the Things Сте го слушнале ова порано, ќе го слушнете повторно. 
 
 
 
 Криптирање на одмор. Криптиран во транзит. Шифрирајте ги дневниците, резервните копии, па дури и променливите на животната средина ако се чувствувате зачинети. За услугите во облак, управувањето со енкрипцијата е лесно. И ве молам, Base64 не е енкрипција. Тоа е за луѓе кои лажат на себе. Знаете кој сте. Секако, има свои намени, но безбедноста не е една од нив. Security Headers Заглавките за безбедност се заглавките за HTTP одговор кои го информираат прелистувачот за тоа како да се справи со аспектите поврзани со безбедноста на веб-страницата. Тие ви помагаат да ги спречите нападите како што се Cross-Site Scripting (XSS), clickjacking и човечки напади. Во најмала рака, додадете: 
 
 
 
 
 Строга транспортна безбедност Опции за X-Content-Type Политика за содржина-безбедност X-Frame опции Тие се лесни за конфигурирање во повеќето рамки и услуги во облак. Правете го тоа еднаш, и веќе сте подобри од повеќето. Firewalls? Definitely Firewalls Насочете јавни барања до вашата апликација преку заштитен ѕид. Тоа е како да ставите отпорник пред вашата апликација. За разлика од деновите на бумерите, каде што конфигурирањето на заштитен ѕид е како собирање на вашиот мебел со инструкции од Asgard. Можеби ќе го добиете да работи, но по која цена? Денешните апликации го олеснуваат овој процес. Облачните услуги како AWS WAF и Azure Firewall веќе доаѓаат со претходно конфигурирани правила за заеднички закани; само треба да ги вклучите и тие ќе работат. Заштитните ѕидови со минимален напор ќе ви помогнат да ги запрете познатите модели на напад, да ги филтрирате лошите IP-адреси и да го блокирате оној човек кој сè уште се обидува да инјектира SQL од 2008 година. Access Control Вашата апликација не е јавна библиотека. Не им давајте на сите услуги целосен пристап до сè само затоа што е полесно. Вие не сте Опра Винфри: “Ти добиваш администратор! Ти добиваш администратор! Сите добиваат администратор!” Следете го принципот на најмала привилегија, што значи дека секој корисник добива само она што му е апсолутно потребно. Обидете се редовно да ги ротирате вештините и клучевите и да користите улоги над статични клучеви кога е можно. Staging Is Not Production Вашата сценичка средина треба да ја одразува продукцијата во структура, а не во тајни. 
 
 
 
 Напаѓачите не се грижат од каде добиваат податоци. Не ги копирајте тајните на производството во сцени. Имплементирајте го надгледувањето и правилата за WAF тука исто така. Хакерите сакаат сценарија со помалку аларми.Каде е подобро место за тестирање на нивните скрипти? Change Management PCI DSS бара од вас да имате процедури за следење на промените во кодот, инфраструктурата и безбедносните политики. Во едноставни зборови, користете Git, користете Инфраструктура како код (Serverless Framework, Terraform, AWS CDK, итн.) и поставете аларми. Logging Saves Lives Логови се од суштинско значење. Се надевате дека никогаш нема да ви бидат потребни, но ако го направите тоа, навистина ви се потребни. 
 
 
 
 
 Логи на апликации: Логирајте грешки од апликации и други важни информации за да ви помогнете во дебаг. Пристапни дневници: Логирај кој направил што и кога. Дневници на базата на податоци: Зафатете бавни барања, чудни модели на пристап и потенцијални прекршувања. Логи за ревизија: Логирајте ги промените на дозволите, правилата за заштитен ѕид и примената на код. Алатки како AWS CloudTrail, GuardDuty и Config може да ви помогнат со ова. Prefer ORMs Ова е вашата прва линија на одбрана (и здрав разум). Заборавете на суровиот SQL освен ако не сте волшебник за база на податоци со желба за смрт. Користете ORM. Да, можете да го параметризирате вашиот суров SQL и да ја подобрите безбедноста; сепак, сè уште постои голема шанса дека во иднина вие или вашиот колега ќе заборавите правилно да го параметризирате прашањето, и исто така, сте подготвени. ORMs ги апстрактираат вашите бази на податоци интеракции, што го прави кодот полесно да се одржува и помалку подложни на напади со вбризгување.Повеќето модерни ORMs параметризираат барања надвор од кутијата. За време на доцната ноќ на ангажманот. DROP TABLE users; In Conclusion Во заклучок Сега, сериозно, тоа беше толку длабоко? Тоа е долга листа, но јас сум сигурен дека е полн со работи што веќе ги правите. Само неколку прилагодувања тука и таму, и вие сте усогласени! Усогласеноста е досадна, но исто така е и прекршување на податоците. PCI DSS може да се чувствува како огромна листа на „Не, не можете“, но само се обидува да ве задржи вас и вашите клиенти безбедни. На облачните платформи како AWS, Azure и GCP, нема изговор да не ги следите овие најдобри практики. Останете безбедни. Останете усогласени. И за љубовта на сè што е добро, не чувајте некриптирани броеви на картички во колона на базата на податоци наречена . card_number

Software and DevOps engineer. I write about my software development experiences.

2021 - HackerNoon Contributor of the Year - CODING

2022 - HackerNoon Contributor of the Year - Amazon

2022 - HackerNoon Contributor of the Year - Aws

2022 - HackerNoon Contributor of the Year - Coding Skills

2022 - No No No Nodejs

Portfolio

2021 - HackerNoon Contributor of the Year - NODEJS

2021 - HackerNoon Contributor of the Year - TESTING

Nominated for 2022 - HackerNoon Contributor of the Year - Coding Skills

Nominated for 2022 - HackerNoon Contributor of the Year - Aws

Nominated for 2022 - HackerNoon Contributor of the Year - Amazon

Nominated for 2022 - No No No Nodejs

Ова аудио е произведено на оригиналниот јазик на приказната!

Премногу долго; Да чита

Ако PCI-DSS усогласеноста ги прави апликациите побезбедни, зошто не го правиме тоа сите?

Ако PCI-DSS усогласеноста ги прави апликациите побезбедни, зошто не го правиме тоа сите?

About Author

КОМЕНТАРИ

ВИСЕТЕ ТАГОВИ

ОВОЈ СТАТИЈА БЕШЕ ПРЕТСТАВЕН ВО

Related Stories

Light-Mode

Classic

Newspaper

Minty

Dark-Mode

Neon Noir

Minty

HN StartUps