PCI安全标准委员会和零售和酒店直接督导下发表联合公报强调一个新兴威胁需要紧急意识和关注。可以查看完整的公告在这里。
威胁是什么?
一个越来越大的威胁,所有商家和服务提供者应该意识到基于网络或网上浏览。这些攻击和恶意代码感染电子商务网站,被称为嗅探器或JavaScript (JS)嗅探器很难检测到。一旦感染了一个网站,支付卡信息“脱脂”在事务商家或消费者没有意识到信息的身份被识破了。
一个术语有时用于这个威胁是Magecart的新闻。Magecart一些安全研究人员所使用的是一个总括的术语描述几个犯罪黑客团体负责各种在线浏览的攻击。这个术语通常也被用于识别攻击被团体所使用的类型。这些攻击自2015年以来一直很活跃,代表了不断发展的网络威胁背后几个高调的攻击国际组织。
这些攻击是如何工作的?
这些威胁演员使用各种方法,包括利用脆弱的插件,蛮力登录尝试(凭证填料),钓鱼和其他社会工程技术,所有为了获得和注入恶意代码。这些攻击是直接进入电子商务网站或经常到一个第三方的软件商人依赖的库。这些服务提供商可能不知道他们为他们的客户创造的风险如果不关注安全和潜在威胁目标。
这些攻击第三方应用程序和服务的例子包括广告脚本,即时聊天功能,和客户评级功能。一旦妥协,这些第三方服务被攻击者用来注入恶意JavaScript到目标网站。因为这些第三方函数通常由多个电子商务网站使用,其中一个函数的妥协可以让攻击者妥协很多网站同时通过质量分布的恶意的JavaScript。
代码通常是受害者时会触发提交他们的付款信息在结帐。演员收集不同的细节包括不同的威胁,帐单地址,姓名,电子邮件,电话号码,信用卡信息,用户名和密码。恶意代码记录支付数据破坏网站上本地或远程计算机控制的演员的威胁。
最危险的是谁?
任何电子商务实现没有有效的安全控制可能是脆弱的。攻击目标电子商务网站,第三方服务提供商,公司提供网站上的应用程序使用。Magecart黑客和类似的威胁演员正在继续发展和修改他们的攻击,包括定制为不同的目标和恶意代码利用漏洞在应用补丁的网站的软件。
此外,威胁是持久的。五分之一Magecart-infected商店重新感染的几天内,据安全研究员威廉de Groot。出于这个原因,它是至关重要的,影响系统清洗和潜在漏洞打补丁或者减轻。如果一个潜在的弱点不是解决,或者一些攻击者的代码仍然在系统上,它可能会导致再感染。
检测的最佳实践是什么?
能够探测到这些威胁才能造成损害明显重要。一些方法来检测这种类型的攻击:
- 使用脆弱的安全漏洞评估工具来测试web应用程序
- 使用文件完整性监视或变化检测软件
- 执行内部和外部网络漏洞扫描
- 执行阶段渗透测试来确定安全漏洞
一些预防的最佳实践是什么?
最好的保护,以减轻对这些攻击是采用分层防御,包括操作系统和软件的最新安全补丁更新。一些建议来阻止这些攻击的类型包括:
- 实现恶意软件保护和保持更新
- 所有软件的应用安全补丁
- 只限制在默认情况下是绝对必要的,拒绝所有其他访问
- 使用强大的身份验证所有系统组件的访问
——记录引用特洛伊Leach,首席技术官,PCI安全标准委员会:
“我们已经收到我们的许多利益相关者支付社区,这些类型的攻击是一个越来越明显的趋势对许多企业来说,大型和小型,“特洛伊Leach说,首席技术官(CTO) PCI安全标准委员会。“我们认为,作为一个领导者在支付安全,现在是时候发出公告与我们的朋友和同事从零售和酒店部门每天对抗这些威胁。”
“。net framework里有办法阻止这些攻击,然而,“利奇说。“深度防护方法与持续承诺安全,特别是由第三方合作伙伴,将有助于防范成为受害者的威胁。”
“PCI后SSC标准和指导软件和定期审查等密切监测环境的变化可以帮助抵御这些攻击。”
“现在比以往任何时候都更,组织需要优先考虑日常的网络安全,”“这些攻击可以达到业务无论大小。每个人都需要理解他们是一个目标,需要有一个计划来保护他们的数据。”
副总裁公开引用卡洛斯Kizzee情报、零售和酒店直接督导下的
“这些攻击技术是提高零售和酒店行业的意义,“
“重要的是,企业成长的本质的认识这些攻击和安全控制的必要检测并打败他们。”
“我们必须努力确保集中注意力,承诺和同行合作在零售和酒店行业内电子商务网络安全的努力超过这些威胁的增长和发展。”
“我们今天共同发布的公告应该行动呼吁那些在商界增强意识,警惕这些技巧。没有人会认为他们不能或不会被用于他们的企业目标。”半岛官网入口
.gif)
