Kart ödemeleri işlemek için bir uygulama yazmanız gerekiyorsa, PayPal'ı entegre etmek gibi değil, PayPal gibi. 
 
 Ödeme Kartları Endüstrisi Veri Güvenliği Standartı (PCI DSS), büyük kart sistemlerinden markalı kredi kartlarını ele alan kuruluşlar için bir bilgi güvenliği standartıdır. Ödeme Kartları Endüstrisi Veri Güvenliği Standartı (PCI DSS), büyük kart sistemlerinden markalı kredi kartlarını ele alan kuruluşlar için bir bilgi güvenliği standartıdır. Başka bir deyişle, dev bir kontrol listesidir: “Evet, insanların paranızı depolamak veya işlemek istiyorsanız, belki de veritabanınızı dünyaya açmayın.” Why Am I Even Writing This? Bunu neden bile yazıyorum? PCI DSS uyumlu bir uygulama üzerinde çalıştıktan sonra, varoluşsal bir kriz yaşadım ve kendime sordum: “Neden tüm uygulamalar PCI DSS güvenli kodlama uygulamalarını takip etmemelidir?” İnanın bana, PCI DSS ses kadar korkutucu değil. Uyumluluk ve gizlilik insanları kendileri hakkında iyi hissetmek için her basit süreci büyük ses getirmek için bir yol vardır. Stresli bir gün istiyor musunuz? PIA, DPIA, DSAR veya ROPA hakkında konuşmaları dinleyin. İşleri aşırı derecede basitleştirmek için, uyum acı verici olabilir. ancak verilerinizi korumaya yardımcı olursa ve “Have I Been Pwned” ile sona ermemenizi engeller. Güvenli kodlama için ipuçları Bir ödeme sistemi oluşturuyorsanız veya sadece geceleri daha iyi uyumaya çalışıyorsanız, PCI DSS uyumluluğunuza daha yaklaştıracak kodlama güvenliğini sağlamak için bazı kolay yollar şunlardır. Subnets, NAT Gateways, and the Drama of Networking Uygulamanızın veritabanı kamuya açık bir alt ağda ise, okumayı durdurmanızı ve bunu düzeltmenizi istiyorum. Hassas bir şey için özel alt ağları kullandığınızdan emin olun, sonra trafiklerini bir NAT Gateway aracılığıyla yönlendirin, böylece doğrudan maruz kalmadan (patchler, güncellemeler, memes vb.) internete erişebilirler. “The Matrix” severler için, Matrix dünyası özel bir alt ağıdır, gerçek dünya kamuya açık alt ağıdır ve güvenli telefon Neo ve arkadaşları dünyalar arasında seyahat etmek için kullanıyor NAT Gateway. ben de çok beğendim. umarım siz de beğenirsiniz. biraz zaman aldı. Encrypt All the Things Bunu daha önce duymuşsunuzdur, bir daha duyacaksınız. 
 
 
 
 dinlenmek için şifrelenir. Trafikte şifreleme yapılır. Kirli hissediyorsanız günlükleri, yedekleme ve hatta çevre değişkenlerini şifreleyin. Bulut hizmetleri için, şifrelemeyi yönetmek kolaydır. Ve lütfen, Base64 bir şifreleme değildir. Kendilerine yalan söyleyenler için. Kim olduğunuzu biliyorsunuz. Tabii ki, kullanımı vardır, ancak güvenlik bunlardan biri değildir. Security Headers Güvenlik başlıkları, tarayıcınızı bir web sitesinin güvenlikle ilgili yönlerini nasıl yöneteceğinizi öğreten HTTP yanıt başlıklarıdır.XSS (Cross-Site Scripting), clickjacking ve man-in-the-middle saldırıları gibi saldırıları önlemenize yardımcı olurlar. En azından ekleyin: 
 
 
 
 
 Sıkı trafik güvenliği X-Content-Type Seçenekleri İçerik Güvenlik Politikası X-Frame Seçenekleri Çoğu çerçeve ve bulut hizmetlerinde kolayca yapılandırılabilirler. Bir kez yapın ve zaten çoğundan daha iyi durumda olursunuz. Firewalls? Definitely Firewalls Bir güvenlik duvarı aracılığıyla uygulamanıza halka açık istekleri yönlendirin. uygulamanızın önüne bir bouncer koymak gibidir. Boomer günlerine göre, bir güvenlik duvarı yapılandırmak mobilyalarınızı Asgard'dan talimatlarla birleştirmek gibidir. Bunu çalıştırabilirsiniz, ancak ne pahasına? Günümüzde uygulamalar bu süreci çok daha kolay hale getirir. Bulut üzerindeyseniz daha iyidir. AWS WAF ve Azure Güvenlik Duvarı gibi bulut hizmetleri zaten yaygın tehditler için önceden yapılandırılmış kurallar içerir; bunları devre dışı bırakmanız yeterli. Minimum çaba ile güvenlik duvarları, bilinen saldırı desenlerini durdurmanıza, kötü IP'leri filtrelemenize ve 2008'den beri hala SQL enjeksiyonu denediğiniz birini engellemenize yardımcı olacaktır. Access Control Uygulamanız halka açık bir kütüphane değildir. Her hizmetin her şeye tam erişimini kolay olduğu için vermeyin. Sen Oprah Winfrey değilsin: “Admin alırsın!Admin alırsın! “En az ayrıcalığın ilkesini” uygulayın, yani her kullanıcı, kesinlikle ihtiyacı olanı alır. Bilgileri ve anahtarları düzenli olarak döndürmeye çalışın ve mümkün olduğunca statik anahtarlar üzerinde roller kullanın. Staging Is Not Production Sahne ortamınız, üretiminizi yapıda, sırlarda değil yansıtmalıdır. 
 
 
 
 Saldırganlar, verileri nereden aldığının umurunda değil. Üretim sırlarını sahneye kopyalamayın. Burada da gözetim ve WAF kurallarını uygulayın. Hackerlar daha az alarm ile bir sahne ortamını severler. senaryolarını test etmek için daha iyi bir yer neresi? Change Management PCI DSS, kod, altyapı ve güvenlik politikalarında değişiklikleri izlemek için prosedürler gerektirir. Basitçe söylemek gerekirse, Git'i kullanın, Infrastructure-as-code (Serverless Framework, Terraform, AWS CDK, vb.) kullanın ve uyarıları ayarlayın. Logging Saves Lives Günlükleri çok önemli. Onlara asla ihtiyacınız olmayacağını umuyorsunuz, ama yaparsanız, gerçekten ihtiyacınız var. Önemli olan her şey için güvenli ve merkezi günlükleri tutun: 
 
 
 
 
 Uygulama günlükleri: Uygulama hatalarını ve diğer önemli bilgileri kaydetmenize yardımcı olmak için. hassas bilgileri kaydetmemeye dikkat edin. Erişim günlükleri: Kimin ne yaptığını ve ne zaman yaptığını kaydedin. Veritabanı günlükleri: Yavaş sorgular, garip erişim desenleri ve potansiyel ihlaller yakalamak. Denetim günlükleri: İzinler, güvenlik duvarı kuralları ve kod dağıtımlarındaki değişiklikleri kaydedin. AWS CloudTrail, GuardDuty ve Config gibi araçlar bu konuda size yardımcı olabilir. Prefer ORMs Bu, ilk savunma hattınızdır (ve akıl sağlığınız). Öldürme isteği olan bir veritabanı büyücüsü değilseniz ham SQL'yi unutun. ORM'yi kullanın. Evet, ham SQL'inizi parametre edebilir ve güvenliğinizi iyileştirebilirsiniz; ancak gelecekte siz veya meslektaşınızın bir sorguyi düzgün bir şekilde parametre etmeyi unuttuğu hala büyük bir olasılık var ve sadece bu şekilde pişiriliyorsunuz. ORMs, veritabanı etkileşimlerinizi özetler, kodunuzu daha kolay tutmasını ve en az enjeksiyon saldırılarına maruz kalmasını sağlar. Gece geç saatlerde komplo yapılır. DROP TABLE users; In Conclusion Sonuç olarak Şimdi, ciddi olarak, o kadar derin miydi? Uzun bir liste, ama eminim ki zaten yaptığınız şeylerle doludur. Uyumluluk rahatsız edici, ama aynı zamanda bir veri ihlali. PCI DSS “Hayır, yapamazsınız” büyük bir listesi gibi hissedebilir, ancak sizi ve müşterilerinizi güvende tutmaya çalışıyor. AWS, Azure ve GCP gibi bulut platformlarında, bu en iyi uygulamaları takip etmemek için bir bahane yok. Aletleri var, belgeleri var ve şimdi çok ikna edici bir blog yazısı var. Güvenli kalın. Uyumlu kalın. Ve iyi olan her şeyin sevgisi için, şifrelenmemiş kart numaralarını bir veritabanı sütununda saklamayın. . card_number

Software and DevOps engineer. I write about my software development experiences.

2021 - HackerNoon Contributor of the Year - CODING

2022 - HackerNoon Contributor of the Year - Amazon

2022 - HackerNoon Contributor of the Year - Aws

2022 - HackerNoon Contributor of the Year - Coding Skills

2022 - No No No Nodejs

Portfolio

2021 - HackerNoon Contributor of the Year - NODEJS

2021 - HackerNoon Contributor of the Year - TESTING

Nominated for 2022 - HackerNoon Contributor of the Year - Coding Skills

Nominated for 2022 - HackerNoon Contributor of the Year - Aws

Nominated for 2022 - HackerNoon Contributor of the Year - Amazon

Nominated for 2022 - No No No Nodejs

Bu ses hikayenin orijinal dilinde üretilmiştir!

Çok uzun; Okumak

PCI-DSS uyumluluğu uygulamaları daha güvenli hale getiriyorsa, neden hepimiz bunu yapmıyoruz?

PCI-DSS uyumluluğu uygulamaları daha güvenli hale getiriyorsa, neden hepimiz bunu yapmıyoruz?

About Author

YORUMLAR

ETİKETLERİ ASIN

BU YAZI

Related Stories

Forumlardan Feed'lere: Sosyal Medya Algoritmaları Dijital Etkileşimi Nasıl Şekillendiriyor

Kazanmak için Dokun: Telegram, Solana'dan Önce Sonraki 10 Milyar Kripto Kullanıcısına Katılabilir

Sulara Yelken Açmak: Data Lakes ile Üretim Sınıfında RAG Uygulamaları Geliştirme

Yapay Zekanın Gücünü Ortaya Çıkarıyoruz. En Son Tekniklerin Sistematik Bir İncelemesi: Özet ve Giriş

Forumlardan Feed'lere: Sosyal Medya Algoritmaları Dijital Etkileşimi Nasıl Şekillendiriyor

Kazanmak için Dokun: Telegram, Solana'dan Önce Sonraki 10 Milyar Kripto Kullanıcısına Katılabilir

Sulara Yelken Açmak: Data Lakes ile Üretim Sınıfında RAG Uygulamaları Geliştirme

Yapay Zekanın Gücünü Ortaya Çıkarıyoruz. En Son Tekniklerin Sistematik Bir İncelemesi: Özet ve Giriş

Light-Mode

Classic

Newspaper

Minty

Dark-Mode

Neon Noir

Minty

HN StartUps