Анализ безопасности ТОП-11 онлайн-банкинга Азербайджанских банков

В этой заметке я хотел бы рассказать о небольшом исследовании, которое решил так же, как и в прошлый раз, посвятить онлайн-банкингу в Азербайджане. А точнее безопасности в конфигурациях веб сервера.
Злоумышленники обычно идут по пути от простого к сложному: выявляют явные уязвимости с помощью популярных утилит и сканеров и пытаются эксплуатировать выявленные уязвимости. Параллельно могут проводить фишинговые атаки с рассылкой вредоносных файлов или ссылок. Основная цель — с минимальными усилиями получить необходимые данные. Злоумышленник может использовать бреши в конфигурации самого веб сервера, ошибки в коде приложения или недочеты в конфигурациях файрвола. Существует множество атак, от которых можно защититься только с помощью правильно настроенного веб сервера и файрвола!

Итак, приступим непосредственно к исследованию онлайн банкинга.

Методика исследования:

Для исследования были взяты ТОП-11 банков (онлайн банкинг) в Азербайджане. Каждый сайт был проверен бесплатными онлайн-инструментами для тестирования надежности настроек веб сервера от компании High-Tech Bridge

Банки, которые не имеют в наличии онлайн-банкинга, были исключены из списка.

Результаты исследования

Банк	Адрес сайта	HTB
Bank VTB Azerbaijan	https://online.vtb.az	A+
AGBank	https://online.agbank.az	B
Respublika Bank	https://www.bankim.az	C+
AccessBank	https://myaccess.az	F
Unibank	https://online.unibank.az	F
Bank Of Baku	https://e-bankofbaku.com	F
Nikoil	https:// ibank.nikoil.az	C
Kapital Bank	https://e-banking.kapitalbank.az/	C
YapiKredi Bank	https://intbank.yapikredi.com.az/	С
Pasha Bank	https://ib.pashabank.az	F
AZ Turk Bank	https://ebank.azerturkbank.az	F

Итак,

Самую высокую оценку A+ по результатам сканирования HTB получил следующий банк: 

*    Bank VTB Azerbaijan

Также удовлетворяют требованиям безопасности с некоторыми оговорками следующий банк:

*    AGBank

Итоги

По итогам тестирования девять проверенных сайтов получили оценку С, С+, F, что говорит о небезопасных настройках или наличии уязвимостей, позволяющих осуществить атаку на клиентов банков. При этом, требованиям методологии OWASP соответствуют два из одиннадцати проверенных сайтов.

По версии HTB, сайты банков с оценкой А+ и B являются безопасными для использования в общественных сетях.

Рекомендации:

За последнее время мы очень часто слышим об успешных атаках на тот или иной банк и если вчера про безопасность говорили с ухмылкой, то сегодня все чаще и чаще задумываемся об усилении безопасности! Существует много подходов к безопасности, некоторые больше ссылаются к технической безопасности, некоторые физической, некоторые к информационной, но на самом деле все это безопасность и каждый этот компонент взаимосвязан друг с другом и является неотъемлемой его частью!

Многие считают, что вот куплю поставлю WAF (Web Application Firewall) и буду я в танке, но это заблуждение, по сути WAF это больше мониторинг, чем защитник. Важно понимать, что ни один WAF не сможет вас защитить от целенаправленных и хорошо организованных атак! 

Необходимо постоянно проводить аудит критически важных систем и делать это надо как минимум два раза в год и это без учета изменений или доработок!

Быть всегда на чеку. Настроить уведомления на своих файрволах, включить блокирование учетных данных (Brute force Attacks), наблюдать за событиями, отслеживать аномалии итд.

Есть японская притча о важности мелочей в нашей жизни.
Потеряли гвоздь.
Из-за не забитого гвоздя - потеряли подкову.
Из-за потерянной подковы - потеряли коня.
Из-за потерянного коня - не доставили донесение.

Из-за того что не доставили донесение - проиграли войну!

Автор: Namik Heydarov