[ad_1]
Güvenli bir uygulama oluşturmak birçok güvenlik önlemi gerektirir, ancak açık ara en önemlileri uygulamadaki verilerin güvenliğini sağlayanlardır. Bunlar aynı zamanda uygulanması en zor olanlardır.
Uygulama verilerinin güvenliği söz konusu olduğunda, güvence altına alınması gereken iki farklı veri türü vardır:
- Bekleyen veriler. Bu, bir veri deposunda, veritabanında, önbellekte, dosya sisteminde veya başka bir havuzda depolanan verilerdir. Uygulamanın veritabanından günlük dosyalarına, sistem yapılandırma dosyalarına, yedeklemelere ve arşivlere kadar her şeyi içerir.
- Hareket halindeki veriler. Bu, uygulama tarafından aktif olarak erişilen ve kullanılan verilerdir. İstemci ve sunucu arasında veya iki farklı uygulama veya hizmet arasında olduğu gibi uygulamanın bir bölümünden uygulamanın başka bir bölümüne aktarılan veriler olabilir.
Bekleyen verilere basit bir örnek, bir SaaS uygulamasındaki kullanıcı profilinizdir. Bu profil, kullanıcı adınızı, şifrenizi, profil resminizi, e-posta adresinizi, fiziksel adresinizi ve diğer iletişim bilgilerinizi içerebilir. Uygulamayı nasıl kullandığınızla ilgili uygulama bilgilerini içerebilir. Daha yerel bir ortamda, hareketsiz veriler, bilgisayarınızda depolanan tüm dosyaları (e-tablolarınız, Word belgeleriniz, sunumlarınız, fotoğraflarınız, videolarınız, her şey) içerir.
Hareket halindeki verilere basit bir örnek, sizden kullanıcı adınızı ve şifrenizi istediğinde aynı SaaS uygulamasıdır. Bu bilgiler bilgisayarınızdan, tabletinizden veya akıllı telefonunuzdan SaaS uygulamasının arka uç sunucularına aktarılıyor. Veri iletilirken, hareket halindedir. Klavyenize yazdığınız, e-postayla gönderdiğiniz, kısa mesaja yazdığınız veya API isteğinde gönderdiğiniz tüm veriler, bunların tümü hareket halindeki verilerdir.
Durağan verilerin güvenliğini sağlamak için kullanılan teknikler, hareket halindeki verilerin güvenliğini sağlamak için kullanılan tekniklerden çok farklıdır.
Bekleyen verilerin güvenliğini sağlama
Duran verilerin güvenliğini sağlamak için iki temel strateji vardır: Verileri depolayan sistemin güvenliğini sağlamak ve verilerin kendisini şifrelemek.
Güvenli bir depolama sistemi, en az güvenli modeldir. Verileri içeren veritabanının veya veri deposunun kötü aktörlerden fiziksel olarak erişilemez olmasını sağlamayı içerir. Bu genellikle güvenlik duvarlarını ve diğer fiziksel kısıtlamaları içerir. Bunlar genellikle dışarıdaki kötü aktörlerin verilere erişmesini engellemede başarılı olsa da, kötü bir aktör sisteminize sızarsa, sistemde depolanan tüm veriler tehlikeye açık hale gelir. Bu model yalnızca daha az hassas veriler için kullanılmalıdır.
Hassas verileri depolamanın daha güvenli bir yöntemi, verileri depolandıkça şifrelemeyi içerir. Bu şekilde, herhangi biri depolanan verilere içeriden veya dışarıdan erişmeye çalışırsa, uygun şifreleme/şifre çözme anahtarları ve izinleri olmadan bilgileri okuyamaz veya kullanamaz.
Saklanan verilerin şifrelenmesiyle ilgili kritik bir sorun, şifreleme anahtarlarını nerede ve nasıl sakladığınızdır. Bunları verilerin kendisiyle aynı yerde saklamak istemezsiniz, çünkü bu, şifre çözmenin güvenlik avantajlarını ortadan kaldırır (aynı nedenle evinizin ön kapısının anahtarını paspasınızın altında saklamazsınız). Bunun yerine, anahtarlar, depolama sistemi ihlal edildiğinde kötü bir aktörün erişemeyeceği bağımsız bir yerde saklanmalıdır.
Şifreleme/şifre çözme anahtarlarını depolamak için birçok seçenek vardır; bazıları basit ve bazıları karmaşıktır. Bir bulut uygulaması için mükemmel bir seçenek, bulut sağlayıcınızın anahtar depolama hizmetini kullanmaktır. Örneğin Amazon Web Services, tam da bu amaç için AWS Key Management Service (KMS) sunmaktadır. Şifreleme/şifre çözme anahtarlarınızı saklamaya ek olarak, bu tür hizmetler, anahtarları organize etme ve anahtarları güvenli ve emniyetli tutmak için düzenli olarak değiştirme (anahtar döndürme) konusunda yardım sağlar.
Bazen, bekleyen verilerin güvenliğini sağlamak, verileri hiç depolamamakla en iyi şekilde yapılır. Klasik bir örnek, kredi kartı bilgileridir. Çoğu web sitesinin durmadan kredi kartı bilgilerini (şifreli veya şifresiz) uygulama içinde saklayın. Bu, e-ticaret mağazaları ve içerik abonelik siteleri için geçerlidir. Müşterinin kredi kartından sürekli olarak ücret alan sitelerin bile kredi kartı bilgilerini uygulama içinde saklamasına gerek yoktur.
Kredi kartı bilgilerini depolamak yerine en iyi uygulama, bir kredi kartı işleme hizmetinden yararlanmak ve sizin için bilgileri saklamasına izin vermektir. Ardından, uygulamanızın bir işlem için kredi kartına erişmesine izin vermek için yalnızca kredi kartına atıfta bulunan bir jeton saklamanız gerekir.
Stripe, Square ve PayPal dahil olmak üzere birçok kredi kartı işleme hizmeti vardır. Ek olarak, bazı büyük e-ticaret mağazaları, Amazon ve Shopify dahil olmak üzere kredi kartı işleme hizmetleri sağlar. Bu şirketler, kredi kartlarını başarılı bir şekilde saklamak ve işlemek için tüm güvenlik özelliklerini sağlar ve tüm yasal gereklilikleri karşılar. Jetonları kullanarak, müşterilerinize kredi kartlarını doğal olarak işliyormuşsunuz gibi görünen bir arayüz sağlayabilirsiniz – ancak kredi kartlarını asla saklamazsınız ve dolayısıyla güvenlikleri konusunda asla endişelenmenize gerek kalmaz.
Hareket halindeki verilerin güvenliğini sağlama
Hareket halindeki verileri koruma, verilerin bir hizmetten diğerine, bir uygulamadan diğerine veya bir sunucu ile bir istemci arasında gönderilirken ele geçirilmesini önleme sürecidir. Hareket halindeki veriler, dahili hizmetler arasındaki iletişimi (bir alışveriş sepeti ve bir ürün kataloğu gibi), dahili hizmetler ile harici hizmetler arasındaki iletişimi (kredi kartı işleme hizmeti gibi) ve dahili hizmetler ile müşterinin web tarayıcısı veya cep telefonu arasındaki iletişimi içerir. başvuru.
Hareket halindeki veriler için üç ana risk vardır:
- Veri okuma. Veri okuma riski, verilerin kötü bir aktör tarafından görüntülenmesinin taviz veren bir durum yaratacağı anlamına gelir. Veri okuma riskine açık veri örnekleri arasında parolalar, kredi kartı numaraları ve kişisel olarak tanımlanabilir bilgiler bulunur. Bu tür hassas veriler açığa çıkabileceğinde, aktarım halindeki verilerin kötü bir aktör tarafından okunmasını önlemek çok önemlidir.
- Veri değişikliği. Veri değişikliği riski, hassas verilerin bir konumdan diğerine aktarılırken kötü bir kişi tarafından değiştirilmeye açık olduğu anlamına gelir. Uçuş verilerinin değiştirilmesi, kötü bir aktörün bir sisteme ek erişim sağlamasına veya verilere ve verilerin tüketicisine bir şekilde zarar verebilir. Örnekler, bir banka havalesinin dolar miktarını değiştirmeyi veya bir banka havalesinin hedefini değiştirmeyi içerir.
- Veri kaynağı değişikliği. Veri kaynağı riski, kötü bir aktörün verileri başka biri tarafından oluşturulmuş gibi göstererek veri oluşturabileceği anlamına gelir. Bu tehdit, veri değişikliği tehdidine benzer ve aynı türde sonuçlarla sonuçlanır, ancak mevcut verileri (bir depozitonun dolar miktarı gibi) değiştirmek yerine, kötü aktör yeni anlamlara sahip yeni veriler oluşturur. Örnekler arasında sahte banka havaleleri oluşturma ve şüphelenmeyen bir kurban adına yasa dışı veya zarar verici taleplerde bulunma sayılabilir.
Aktarılan verileri korumayı düşündüğümüzde, normalde verileri şifrelemekten bahsederiz. Şifreleme, hem veri okuma saldırılarına hem de veri değiştirme saldırılarına karşı koruma sağlar. Veri kaynağı saldırıları için, iletilerin doğru yerden gelmesini sağlamak için kimlik doğrulama belirteçleri, imzalı sertifikalar ve diğer stratejiler gibi ek stratejiler kullanılmalıdır.
Modern uygulamalarda, TLS (Aktarım Katmanı Güvenliği) ve SSL (Güvenli Yuva Katmanı), aktarım sırasındaki verileri korumak için kullanılan başlıca araçlardır. Bu güvenlik protokolleri, mesajların uygun şekilde oluşturulmasını sağlamak için sertifikalarla birlikte uçtan uca şifreli iletişim sağlar. Günümüzde, anında SSL şifrelemesi o kadar basit ve yaygın ki, neredeyse tüm web uygulamaları, hassas veriler aktarılsın veya aktarılmasın, tüm web sayfası iletişimleri için SSL’yi (özellikle HTTPS protokolü) kullanır.
Verileri güvenli ve emniyetli tutmak çoğu modern dijital uygulamada kritik öneme sahiptir. Her modern işletme, ticari hizmetlerini sağlamak için güvenli ve güvenli iletişime ihtiyaç duyar. Kötü aktörler çoktur, bu nedenle uygulamaları ve verilerini güvenli ve emniyetli tutmak, işletmenizi çalışır durumda tutmak için kritik öneme sahiptir.
Telif Hakkı © 2022 IDG Communications, Inc.
[ad_2]
Kaynak : https://www.infoworld.com/article/3666500/securing-data-at-rest-and-data-in-motion.html#tk.rss_all