减少攻击面和漏洞[SWIFT CSP 3/8]

这篇文章是一个由八部分组成的系列文章的第三部分，该系列文章帮助企业领导者寻求确保其团队已正确遵守新控制制度的保证。

在这篇文章中，我们研究第二个原则：减少攻击面和漏洞。

这适用于具有本地SWIFT实现的用户和使用局服务的用户。 它旨在最大程度地减少攻击者已知的漏洞的暴露，并防止攻击者使用默认设置来访问您的系统。

有什么风险？

您的支付基础架构自然具有并且确实需要启动交易的能力。 这使其成为希望从您和客户的帐户中窃取金钱的犯罪分子的目标。

坚持使用我们先前文章中的银行金库类比-安装金库时，您将确保使用的材料经过适当硬化以保护金库中的物品（例如钢筋混凝土和钢材！）。 如果通过沉降出现裂缝，则应确保将其检出并修补。 您还要确保未将库门上的组合设置为默认值1234！

在成功进行网络攻击的地方，攻击者可以轻松使用已知的漏洞和默认密码来访问操作员PC。

控制目标：

此原则中的强制控制的目的是确保硬件和软件从其供应商处接收更新，从而阻止攻击者利用已知漏洞或默认设置来破坏系统的机会。

此原则中的控件旨在确保您遵循维护技术的过程。 这样，通过使攻击者更难使用已知的漏洞和设置来破坏操作员PC和SWIFT基础结构，可以减少成功攻击的可能性。

要问的问题：

在寻求确保他们已履行此控制的义务时，高级管理人员应考虑以下问题，以使他们对证明和降低风险有信心：

我们是否对SWIFT“安全区域”中的所有硬件和软件都有积极的支持安排？

SWIFT安全区内的所有硬件（例如，网络设备，服务器）和软件（例如，操作系统，应用程序）都应在其供应商的支持生命周期内。 这样一来，您将收到安全更新，这些更新将减少攻击者使用已知漏洞来破坏您的支付系统的能力。

在什么时间范围内将“关键”和“高”安全补丁应用于系统？

许多组织将基于风险的方法应用于补丁程序管理。 考虑到供应商的重要性，对业务的运营影响以及您可能已经实施的其他补偿性控制。 通常，这将在组织的“修补政策”中定义。 作为指导，应用评级为“关键”（CVSS-通用漏洞评分系统-分数9.0以上）的安全更新所花费的时间不应超过1个月。 “高”（CVSS得分7.0+）不应超过2个月。

我们如何加强操作员PC的操作系统？
我们如何加强与SWIFT相关的应用程序？
我们如何加强支持基础设施？ （例如防火墙，路由器等）

在回答这些问题时，您的团队应该能够确认他们已遵循行业标准指南。 他们可能会提到CIS，NIST或当地监管机构的要求。 他们至少应能够向您确认所有设备上的默认密码均已更改，未使用的系统和用户帐户已被禁用，以及不必要的软件/服务也已被禁用或删除。

以下内容仅适用于“架构A”（内部）SWIFT部署：

我们如何加密网络上与SWIFT相关的应用程序之间的流量？

机器对机器的接口应使用TLS等加密技术来保护。 加密应该是“双向”的，这意味着两个应用程序都相互验证身份，并对它们之间的流量进行加密。

我们如何加密从操作员PC到SWIFT应用程序的流量？

来自运营商PC的用于发起交易的连接也应使用TLS进行加密。 通常，这将是“单向的”，这意味着仅验证服务器的身份。 对于Web应用程序，用户将在地址栏中看到挂锁。

结论

通常，为了成功地按照此原则实施控件，您的团队将确定用于提供SWIFT付款服务的硬件和软件。

IT团队将具有强大的补丁程序管理程序，以及时识别，评估和部署来自供应商的更新。

他们还将审查SWIFT安全区域中的硬件和软件以一致的方式增强以抵抗攻击的方式。

这样，您的团队将使攻击者更难利用已知漏洞并使用默认密码。 这将减少攻击者成功破坏您的SWIFT网关和运营商PC的可能性。

在本系列的下一篇博客文章中，我们将着眼于物理上保护您的环境。

您还可以查看本系列的其余文章。

请记住跟随并联系，以便您得到通知，同时，如果您有任何疑问，请随时发表评论，或给我发消息以获取更多信息。