Basis-Laag Client-Side Security voor Iedereen

We geloven dat elk individu en elke operatie zichzelf moet kunnen beveiligen. De impact van een beveiligingsincident reikt verder dan het bedrijf, echte menselijke data wordt gelekt en dat kan desastreus zijn. We begrijpen dat niet elk bedrijf de middelen heeft om de juiste beveiligingsmaatregelen te nemen, maar het minste wat we kunnen doen is opties bieden. Daarom willen we bijdragen door dit basisniveau van beveiliging gratis aan te bieden.

Vereiste 6.4.3 en 11.6.1 van PCI DSS mandateert dat script inhoud en beveiligingsimpacterende HTTP headers worden gemonitord op wijzigingen. Een Content Security Policy kan alleen de bronnen controleren van waar scripts worden opgehaald en sommige acties die het neemt. Het heeft geen zichtbaarheid op de script payload. Het kan niet aan alle vereisten voldoen van client-side beveiliging om aan PCI DSS eisen te voldoen.

CSP is een goed startpunt als het gaat om client-side beveiliging. Afhankelijk van je behoeften kan het voldoende beveiliging bieden, maar het is niet het hoogste niveau dat bereikbaar is en kan pijnlijk zijn om te onderhouden met veel gebruikers die problemen ondervinden wanneer scripts wijzigen. Een CSP kan de inhoud van het script niet zien. Mochten ze kwaadaardig worden, hoe strak je je CSP instelt bepaalt of het kwaadaardige gedrag zou worden gedetecteerd.

CSP producten laten je vertrouwde domeinen en endpoints opsommen om data naartoe te sturen. De browser blokkeert dan al het andere. Maar het kijkt nooit naar de JavaScript zelf. Als een aanvaller slechte code op een goedgekeurde CDN slipt zou CSP het niet vangen.

cside werkt andersom: elk script wordt geanalyseerd op payload niveau. We hashen ze en in geval van een kwaadaardige wijziging serveren we een schone versie van daarvoor of blokkeren voordat de browser het ziet. Onze oplossing biedt een dedicated dashboard view voor PCI DSS compliance, het werd zelfs beoordeeld door VikingCloud die er een white paper over schreef.

Je kunt een Content Security Policy deployen en het cside endpoint gebruiken dat in je plan is inbegrepen. We bieden een single pane of glass om CSP rapportage te behandelen gecombineerd met onze client-side script beveiligingsoplossing. Wat je volledige zichtbaarheid geeft in verdacht script gedrag.

Terwijl andere vendors apart rekenen voor CSP report endpoints. Met cside is deze functionaliteit inbegrepen in je plan zonder extra kosten. Onze geïntegreerde aanpak betekent dat CSP schendingen verschijnen in hetzelfde dashboard als je andere client-side beveiligingsinzichten.

Op sommige manieren zou het kunnen, maar het is geen expliciete vereiste. Het benutten van beveiligingsbest practices is een indicatieve vereiste van AVG. En CSP zou een goede basis beveiligingsmaatregel zijn om te adopteren. Maar het meer fundamentele beveiligingsvoordeel is dat je de script bronnen kunt definiëren die je wilt toestaan en onverwachte data exfiltratie gebeurtenissen kunt voorkomen. Dat gaat een lange weg in de context van AVG. Het helpt zeker, maar merk op dat CSP een lastig ding is om te onderhouden en vaak incidenten heeft veroorzaakt voor degenen die het adopteren.