9 Услуги бизнес-клиент

9.1 Исходные данные

Этот сценарий должен рассматриваться организациями, осуществляющими операции с клиентами. Услуги бизнес-клиент, также известные как услуги электронного бизнеса, включают в себя такие услуги, как электронная торговля, электронные банковские услуги, а также электронное правительство. В услугах бизнес-клиент безопасность должна уравновешивать возможность сделок с сохранением торговой марки и ценности бизнеса. К требованиям информационной безопасности относятся требования, связанные с: - конфиденциальностью (особенно в отношении оказания электронных банковских услуг); - аутентификацией; - целостностью; - безопасностью передачи данных там, где конечный пользователь ожидает обеспечения услугами бизнеса для защиты маршрута транзакции между пользователем и поставщиком. Сопротивление изощренным атакам (таким как, атаки "человек посредине" или "человек в браузере"); - доступностью, которая является важным аспектом для поставщика электронного бизнеса. Характеристики информационной безопасности включают: - безопасность, которая "гарантирована" только на оконечной платформе , обычно находящейся под управлением организации, что обеспечивает благоприятные условия для реализации мер и средств контроля и управления, а также поддержки хорошего уровня безопасности платформы; _______________  Платформа - общий термин, обозначающий программную, аппаратную и (или) сетевую среду, в (на) которой выполняется или строится, например, прикладная система (приложение). - безопасность на клиентской платформе, часто это персональный компьютер, как правило, может быть недостаточной. Меры и средства контроля и управления реализовать в такой среде труднее, поэтому клиентская платформа будет представлять значительный риск (без "условий для безопасного соединения" - набора требований в договоре, которые может быть трудно навязать в таких условиях). В нижеследующих пунктах описываются угрозы безопасности и рекомендации по методам проектирования безопасности, а также меры и средства контроля и управления для уменьшения сопутствующих рисков, как только для внутреннего, так и для внутреннего и внешнего использования.

9.2 Угрозы безопасности

Угрозы безопасности, связанные с услугами бизнес-клиент, следующие: - вирусные атаки и внедрение вредоносных программ: - использование вредоносных программ приводит к проникновению в системы, ведущему к сбоям или несанкционированному доступу к конфиденциальной информации, - уязвимости веб-браузеров или других веб-приложений могут быть использованы вредоносными программами, что приведет к заражению вирусом и установке троянов; - неавторизованный доступ: - неавторизованный доступ к серверным базам данных (например, атаки, распространяемые на языке SQL , и межсайтовые скриптовые  атаки), _______________  SQL (Structured Query Language) - язык структурированных запросов.  Скрипт - небольшая программа или макрос, исполняемые приложением или операционной системой при конкретных обстоятельствах, например, при регистрации пользователя в системе. Скрипты часто хранятся в виде текстовых файлов, которые интерпретируются во время исполнения. - сбор учетных записей, что дает возможность, в зависимости от того, как веб-приложение реагирует на попытки аутентифицировать пользователя, получить достоверную информацию об активности пользователя. Автоматизированные сценарии часто используются для сбора действительных идентификаторов и имен учетных записей пользователей, - кража идентификационных данных в режиме онлайн, используя успешные атаки социальной инженерии (с использованием мошеннических методов), например, атаки фишинга и атаки на основе DNS, соединяющие пользователей с мошенническим веб-сервером, который выглядит легитимным, но не является таковым, - несанкционированный доступ к системам или сетям со злым умыслом, чтобы скопировать, изменить или уничтожить данные, - незаконная расшифровка содержания приводит к нарушению авторских прав и краже содержания; - атаки "отказ в обслуживании"; - подделка информационного наполнения транзакции (сообщения не доходят до получателя или данные изменяются при передаче).