继续浏览»
或等待 15

文章

PCI,客户数据和信息亭

在TJX之后,信息亭仍然是收集,存储和传输客户数据中的脆弱步骤。这是支撑它们的方法。

PCI,客户数据和信息亭


|通过

如果以前客户数据安全是一个大问题,那么在臭名昭著的2007年,它就成了一个巨大的问题 TJX公司的安全漏洞。超过4,500万条客户记录被盗用,导致该公司花费超过2,000万美元来调查违规行为,并通知客户并雇用律师进行多次诉讼。
这场危机几乎引起了所有人的关注-从消费者那里(从多个媒体那里听到许多故事和警告)到零售商以及其他客户数据处理者。保护财务信息的需要不再被视为次要问题。
输入由多个金融机构组成的理事会制定的“支付卡行业数据安全标准”,以增强支付帐户数据的安全性。它包括有关用户身份验证,防火墙,加密,防病毒措施等的指南。
然而,尽管人们越来越关注,但从消费者到商店后勤部门以及银行的信用卡和其他信息的一种途径仍未得到足够的重视:信息亭。
自助服务中的自助服务亭制造商和软件开发人员应了解安全的自助服务亭网络的重要性及其对客户的影响,并准备引入合适的合作伙伴来帮助客户构建,部署和管理强大的自助服务亭网络,以满足其需求。 PCI DSS。
故事在下面继续...

这个故事和我们所有的免费免费内容均受以下支持:
哥伦布数据服务哥伦布数据服务 以具有成本效益的价格为中小型金融机构和ATM部署人员提供最先进的技术。

信息亭部署者和最终用户不仅应该了解如何最好地保护其网络以符合PCI DSS,而且还应指派其团队中的某个人,甚至雇用连接和安全专家,以承担保护信息亭网络及其客户数据的最终责任。捕获并传输。
PCI委员会的成立于2006年9月宣布,其成员包括美国运通,Discover Financial Services,JCB International,MasterCard Worldwide和VisaInc。建议用于保护信息亭网络的网络组件。
相关问题包括保护静态数据(存储信用卡信息)和移动数据(发送信用卡信息进行处理)。问题在于网络是通过无线(蜂窝)网络还是通过有线(DSL,电缆)网络连接到支付中心或公司总部,以及哪种设备和安全设置最适合保护数据并保护网络免受入侵者的侵害?
防火墙
在为自助服务行业提供网络专业知识的多年经验中,我们在TeraNova看到自助服务终端部署人员在自助服务终端中同时利用基于软件的防火墙和基于硬件的防火墙来保护从用户捕获的数据。这是两者的一些观点:   软件。 许多信息亭部署者都使用基于软件的防火墙来保护其网络免受漏洞的危害,因为它的成本较低。他们只是使用信息亭中的服务器/处理单元(通常是装有Windows操作系统的计算机)来抵御病毒,蠕虫,特洛伊木马,机器人和其他种类的计算机恶意软件。它们可以阻止某些常用的进入端口,例如端口80和其他端口。这些部署人员不希望招致额外的设备或维护费用,以建立单独的防火墙来启动基于硬件的VPN隧道,并使用可用于对运动数据进行“加密”的加密算法。
这直接与TJX崩溃有关。根据《信息周刊》的报道,安全性差的店内信息亭部分地应归咎于充当公司IT系统的网关。 TJX的许多零售店都有售货亭,人们可以用电子方式申请工作,它们直接连接到公司的网络和服务器。这些信息亭不受防火墙保护。一位不愿透露姓名的消息人士说:“开始入侵的人打开了这些终端的背面,并使用USB驱动器将软件加载到这些终端上。”
消息人士称,USB驱动器包含一个实用程序,让入侵者可以控制这些计算机信息亭,从本质上将每个信息亭变成可以连接到主网络的远程终端。 TJX主网络上的防火墙未设置为抵御来自服务亭的恶意流量。
根据防火墙和其他网络安全产品制造商WatchGuard Technologies Inc.的高级网络安全分析师Corey Nachreiner的说法,如果有人在保护移动计算机(例如用于商务旅行的笔记本电脑),则需要结合其他安全软件的软件防火墙可能“足够好”。
但是,如果有人在保护不移动的计算机或计算机网络(例如信息亭系统),则硬件防火墙通常会提供更好的保护。
硬件。 软件防火墙被设计为仅仅是防火墙:它们通常不能阻止电子邮件或基于Web的恶意软件。 “恶意软件”可以定义为未经所有者同意而渗透或破坏计算机系统的软件。如果恶意软件确实感染了带有软件防火墙的系统,则该恶意软件可以轻松绕过该软件防火墙,或者只是将其关闭。
过去,许多蠕虫,特洛伊木马程序和Bot客户端都是为了向各种流行的软件防火墙实际添加策略而设计的,从而绕过软件防火墙并允许恶意流量随意进入和退出网络。如果软件防火墙位于系统上(信息亭中的服务器/ PC),并且恶意软件感染了系统,则恶意软件可以轻松地重新配置防火墙。如果有一个外部硬件防火墙,即使恶意软件感染了内部系统之一,它也不能对该防火墙进行策略更改,因为它在系统外部。
对于信息亭,安全目标通常是双重的。需要保护系统免受Internet和网络威胁,也要保护自助服务终端用户免受攻击。信息亭通常设计为仅允许用户执行特定操作。通常,这些类型的信息亭系统执行安全控制,这些安全控件试图防止用户获得对信息亭操作系统某些区域的未授权访问。
不幸的是,信息亭攻击者已成为绕过这些限制并获得未经授权访问操作系统的专家。如果有人仅在信息亭上使用软件防火墙,并且攻击者能够绕过本地安全限制,则攻击者将完全控制该软件防火墙,并可以轻松禁用它。但是,如果在自助服务亭外部使用了硬件防火墙,即使本地用户可以访问自助服务亭,他也无法禁用防火墙。
此外,软件防火墙有时无法有效地防止针对系统操作系统的攻击。由于软件防火墙在 最佳 操作系统的操作系统通常必须处理网络流量 之前 软件防火墙可以。如果该操作系统的某些组件遭受安全漏洞的攻击,则攻击者可以利用它们 之前 攻击流量实际上到达了软件防火墙。届时,骇客已经建立了资讯站处理器的路径。
空降攻击
让我们再看看黑客如何进入TJX公司的网络。
据《华尔街日报》报道,另一个单独的入口点是不正确的Wi-Fi网络,盗贼从明尼苏达州圣保罗的马歇尔商店停车场进入盗贼。据报道,盗贼使用了一种称为“ wardriving ”,并利用了老化的“有线等效保密”(WEP)无线安全协议的缺陷。尽管WEP是可以启用以保护Wi-Fi网络(802.11)的安全算法,但它容易受到黑客攻击。
请勿将Wi-Fi与手机混淆。蜂窝是指直接在设备和运营商的基站之间传输的数据。 Wi-Fi是一种流行的无线网络技术的名称,该技术可使用802.11标准在无线局域网(WLAN)中提供高速Internet和网络连接。
WEP Wi-Fi的安全协议基于64位或128位共享密钥算法。另一方面,WPA(Wi-Fi保护访问)是一种增强的无线加密机制。但是,即使WPA也可能具有固有的弱点,尽管破解起来比WEP困难得多。危险在于,如果访问点被黑客入侵,黑客现在可以嗅探专用Wi-Fi网络上的所有数据包。
WPA可以采用多种措施来确保更高的黑客入侵壁垒。例如,您可以选择一个长密码短语而不是一个简单的密码,并确保它不是由常用单词组成; “强力”词典程序可以运行所有常见的英语单词以发现密码短语。如果黑客检索到密码短语,则会使WPA安全性变得无用或至少非常脆弱。
信息亭网络的构建者必须注意如何锁定802.11安全性。自助服务终端部署者可能正在利用客户的局域网(LAN),并使用802.11(Wi-Fi)将连通性广播到自助服务终端。或者他们可能会带入自己的网络,但会广播到该位置的多个信息亭。无论哪种方式,他们都需要保护LAN的Wi-Fi部分和数据的安全性,因为它们是通过广域网(WAN)隧道传输,加密和传输到目的地(例如付款处理中心)的。
实际上,除非有非常具体且对业务至关重要的理由,否则大多数安全专家都不建议使用Wi-Fi。如果是这样,则将无线流量放在单独的VLAN或网段上非常重要。此外,请确保已启用WPA / WPA2加密和PCI-DSS指示的适当身份验证。在某些情况下,与运行DSL / able或为每个信息亭使用单个蜂窝连接所需的费用相比,使用Wi-Fi可以增加更多的PCI遵从性负担。
捕获点
Tempus Technologies Inc.总裁Jason Sweitzer说:“评估PCI合规性是一个时机。”
Tempus Technologies是一家技术供应商,专注于零售公司的销售点应用程序,数据仓库和付款处理。
确实,PCI合规性是一个不断发展的目标,公司需要专家和托管解决方案才能从维护安全性的持续过程中消除复杂性和成本。认证成本很高,如果部署者不知道自己在做什么,那么他不仅会面临违规和潜在安全漏洞的危险,而且还会花更多的钱来处理信用卡付款。对于处理中的错误,可以从商家银行收取1.5%的费用到3%收取费用。
这里有一些潜在的解决方案,可以确保捕获时的安全性以及保护静态数据。
  • Sweitze说,Magnesafe技术可以对读卡器头上的轨道数据进行加密,从而可以在信息亭网络上从未加密数据的情况下进行数据传输。这是一道防线。然后,数据应通过至少具有三重DES加密的IPSec隧道传输到数据中心。同样,这需要启用软件的隧道和防火墙,或者需要独立的设备才能启动隧道,加密数据并防御网络上的入侵者。
  • 文件完整性管理产品可以“保护”静止的数据,例如防止数据被更改以及在数据被篡改时提供警报。这从本质上确保了信息亭的“原始”状态,以便可以在计算机上运行的唯一程序是已加载的程序。即使信息亭网络受到威胁,恶意软件也无法运行其程序。

其他信息亭部署者如何处理PCI合规性问题? Coinstar工程部副总裁Alex Doumani表示,欺诈和安全问题一直是人们关注的问题,他们不仅在PCI合规性方面投入了巨资,而且还在信息亭和Coinstar数据中心之间进行访问和数据传输的多层身份验证和加密方面进行了大量投资。

但是,较小的信息亭部署者需要注意部署网络和审核PCI的成本,仔细权衡潜在的安全风险以及对更强大的安全选项的需求,而不是对网络安全进行最低限度的评估。通过使用适当的网络设备,购买一些负担得起的托管服务,并利用行业专家的帮助,这些部署人员将可以减轻设计,部署和维护安全网络的复杂性。以合理的成本,他们可以确保他们不违反安全要求来保护公司和客户资产。
Natasha Royer Coons是TeraNova Consulting Group Inc.的董事总经理。要对此评论发表评论,请发送电子邮件 特蕾西小猫.



掌握ATM和数字银行的最新消息和趋势

立即注册 ATM市场 时事通讯,并将最新新闻直接发送到您的收件箱。

隐私政策


交互式客户体验(ICX)峰会
2021年6月2-4日|俄亥俄州哥伦布

已经是会员?在下面登录。

  要么 现在注册

忘记密码了吗?


您可以使用登录凭据登录该网站
来自以下任何Networld Media Group网站: