觀點

劫後重生之(五)CardSystems Solutions案例

2010 / 05 / 10
文/MICHAEL S. MIMOSO 翻譯/夏克
劫後重生之(五)CardSystems Solutions案例

Joe Christensen去年6月在CardSystems Solutions辦公室裡來回踱步,臨危受命建立一套資訊安全管理程序,以便協助諸多問題的交易處理公司可以合乎PCIPayment Card Industry)的安全標準。

 

我們來了解一下事情的來龍去脈:約莫二個月前,CardSystems Solutions不僅被駭客偷走263千多筆的客戶信用卡卡號資料,而且VisaMasterCard二大公司還要中止對它的交易代理權。隨著時間一分一秒地流逝,現在執行長John Perry終於確認之前在國會證詞中的某些事。在那裡他說過,因為VisaMasterCard所採取的行動,使得這間公司即將面臨倒閉的危機!

 

一股壓力、恐懼還有對未來充滿不確定性的氣氛,彌漫在CardSystems Solutions亞特蘭大的辦公室。不知怎麼的,新任的安全處理部副總裁Christensen,並沒有在這個節骨眼上選擇放棄。

 

CardSystems Solutions如果沒有關門大吉,至少是有機會再次取得代理權的。但是,在資安問題未解決前,再加上也未符合PCI規範的時候,這事可是一點機會也沒有!事實上,為了要讓CardSystems Solutions取得代理權,VisaMasterCard曾二度延長處理期限,一次是在20051031,第二次則是在今年的131

 

幸運地是,Christensen說,補強的工作正順利在進行當中。CardSystems Solutions雇用了AmbironTrustWave公司幫忙作了一場鑑識分析,並協助提供法規遵循上的諮詢。至此,終於對CardSystems Solutions本身的弱點,以及要處理的優先順序有明確的了解。之後,Christensen的首要任務就是要去了解信用卡資料要保存在何處?要如何存取?才能確保駭客無法複製到這些資料。

 

回顧20049月,駭客在CardSystems Solutions的應用程式平台上,種下了一隻惡意程式,並滲透到客戶用來存取帳戶資料的Web應用程式當中。這隻程式,每隔4天會自動執行一次,它不僅取得用戶的記錄,並且將資料壓縮起來,傳送到某一個FTP站台。它的功能在於只搜尋會遺留資料的伺服器,資料範圍包含姓名、信用卡卡號,信用卡到期日,還有信用卡背面磁條上的CVV檢查碼。Perry在國會上報告說,唯一一次將資料成功匯出的日期是在322當天,外洩的資料都是失敗的交易記錄,為的只是作研究目的;不過,卻是存成一種可讀的格式,這明顯不符合PCI的安全規範。

 

過了良久,Christensen才說,CardSystems Solutions致力於遞送它的核心交易至商業市場上-安排交易授權的訊息,將其從POS終端機送到帳款處理網路,然後再將款項扣給商家在整個過程中,並沒有顧及到資料安全的問題。雖然安全是IT科技的一項功用,但倘若欠缺專責的安全人員,壞事情就是特別容易找上你。「維護系統安全的認知,不是在於要到達那一個等級。」,Christensen繼續說,「而是安全倘若無法有其獨特性的話,那就不是一種安全的文化了!」

 

數月間的徹底改頭換面之後,由於管理高層的支持,Christensen和他的小組,終於將公司的後端系統完全地加密,這也是只有少數交易處理代理商才有辦到的事情。不僅如此,他們也將作業程序置於適當處,在進行處理作業之前,所有流經的程式都得通過「開放性Web應用程式安全專案」(OWASP, Open Web Application Security Project) 的前十大嚴重弱點的測試才行!再加上每個月的弱點掃描,還有集中式弱點修補系統的提升強化,嚴格把關可存取用戶帳戶資料的內部存取控制機制,讓整體更有如磐石般的堅固。另外,筆記型電腦的安全問題也廣為宣傳,並且強化的安全政策也能兼容未來的代理對象的需要。更進一步地,Christensen計畫一個行動:將磁帶備份轉換成遠端加密資料的備份。另外,他也想藉由新的雇用訓練、年更新訓練課程、安排安全認知日,還有處理資料態度的政策-特別是將文件遺留在開放式的桌子上和傳真機裡面的事情,以此來提高員工對安全的重視。經過這些努力,不但使得CardSystems Solutions合乎PCI的規範(免除與VisaMasterCard中止合作),而且也將部份資產保存下來。另外,此舉還間接引來PayByTouch,同意在200510月收購CardSystems Solutions

 

「先前所經歷過的事情完全改變公司的整體文化!」,Christensen說,「遵循PCI標準是一個必要的底線,是安全基礎,而非所要挑戰的最高限度!」

 

對於CardSystems Solutions舊系統來說,這場教訓來的是稍嫌晚了點!?