Änderungen an Zahlungsseiten: Überwachung und Sicherheitsprüfung verbinden

Die Überwachung von Zahlungsseiten kann unerwartete Änderungen aufdecken. Um bösartige Skriptausführung zu verhindern, braucht es jedoch mehr als den Vergleich eines HTML-Snapshots. Ergänzen Sie überwachte Seitenfelder durch Änderungskontrolle, Zugriffskontrollen und die Prüfung geladener Skripte.

Geladene Komponenten inventarisieren

Erfassen Sie eigene Skripte, Zahlungskomponenten, Tag-Manager-Container und weitere Drittanbieter. Weisen Sie jeder Integration einen Verantwortlichen und einen dokumentierten Zweck zu. Prüfen Sie die Konfiguration mit autorisiertem Zugriff und halten Sie sensible Karteninhaberdaten aus Überwachungsaufzeichnungen und Screenshots heraus.

Beobachtung von Prävention trennen

SearchBastion Site Monitor prüft konfigurierte URLs zeitgesteuert und vergleicht ausgewählte Antwortfelder sowie eine Prüfsumme. Es führt keinen vollständigen authentifizierten Zahlungsvorgang aus, untersucht nicht jede dynamische Abhängigkeit und entfernt keinen Schadcode automatisch. Ein erfolgreicher statischer Abruf belegt keine sichere Zahlungstransaktion.

Beispiel: Nach einem Deployment erscheint ein unbekanntes Skript

Angenommen, ein Release ergänzt ein Drittanbieterskript außerhalb der genehmigten Integrationsliste. Vergleichen Sie die Änderung mit Release- und Tag-Management-Aufzeichnungen. Reproduzieren Sie das Laden autorisiert und verlangen Sie eine Begründung vom Verantwortlichen. Ist es unautorisiert, folgen Sie dem Incident-Prozess und stellen Sie die genehmigte Konfiguration wieder her. Behaupten Sie nicht, die Prüfsummenwarnung selbst habe Datendiebstahl verhindert. Dies ist eine hypothetische Prüfungsübung.

Den legitimen Transaktionspfad prüfen

Testen Sie nach Richtlinien- oder Skriptänderungen eine unterstützte Zahlungsart in einer autorisierten Testumgebung. Prüfen Sie Fehlerbehandlung, Weiterleitungen und Bestätigung. Bewerten Sie Content Security Policy bewusst; eine pauschale Freigabeliste oder eine kopierte strenge Richtlinie können beide ungeeignet sein.

Bewahren Sie Belege für Erkennungszeit, Prüfung, Umfang und Wiederherstellung auf. Erfinden Sie aus einer Seitenwarnung keine Kundenergebnisse oder vermiedenen Schadensbeträge.

Verwenden Sie die OWASP-Hinweise zum Management von Drittanbieter-JavaScript. Eine Header-Prüfung ist eine Eingangsgröße dieses Prozesses, keine Zahlungssicherheitszertifizierung.