Amazon SP-API Entegrasyonu Sırasında Dikkate Alınması Gereken 10 Kritik Güvenlik Önlemi
Parola Yönetimi
Kişisel bilgiler ve kimlik bilgileri, kötü niyetli kişiler tarafından en sık hedef alınan veri kategorilerindendir. Elde edilen parolalar sayesinde saldırganlar; sunucular, veritabanları ve çalışanlara ait cihazlar gibi kaynaklara yetkisiz erişim sağlayarak hassas verileri ele geçirebilir.
Alınan Güvenlik Önlemleri:
Geliştiricilerimiz, AWS Directory Service kullanarak IAM kullanıcılarının parola karmaşıklığını zorunlu kılar.
Microsoft Active Directory ile Grup İlkeleri aracılığıyla parola benzersizliği sağlanır.
Amazon SP-API entegrasyonunda çok faktörlü kimlik doğrulama (MFA) kullanılarak parola saldırılarına karşı direnç artırılır.
Zafiyet Yönetimi
Saldırganlar, ele geçirdikleri bilgilerle sistemlere zararlı yazılım (malware) yerleştirebilir. Fidye yazılımları, uzaktan erişim truva atları (RAT), ve tuş kaydediciler, kullanıcı izni olmadan ödeme bilgilerini ve giriş bilgilerini çalmak için kullanılabilir.
Alınan Güvenlik Önlemleri:
Geliştiricilerimiz düzenli olarak zafiyet taramaları ve sızma testleri gerçekleştirir.
Nessus, Kali Linux ve Burp Suite gibi araçlar ile güvenlik analizleri yapılır.
Depolama ve Şifreleme
İşlenen verinin hassasiyet düzeyine göre uygun şifreleme tekniklerinin kullanılması kritik önem taşır.
Alınan Güvenlik Önlemleri:
Kişisel olarak tanımlanabilir bilgi (PII) içeren veritabanları ve dosya depolama sistemleri tespit edilip envantere alınır.
Bu sistemler üzerinde güçlü şifreleme yöntemleri uygulanarak veri güvenliği sağlanır.
Taşınabilir Medya Kontrolleri
USB bellek gibi taşınabilir aygıtlar, veri hırsızlığına, kaybolmaya veya kötüye kullanılmaya karşı savunmasızdır. PII verilerinin bu tür ortamlarda veya halka açık bulut sistemlerinde saklanması ciddi güvenlik riskleri taşır.
Alınan Güvenlik Önlemleri:
Geliştiricilerimiz, taşınabilir aygıtlarda ve genel erişime açık platformlarda PII veri saklanmasını engelleyen politikaları uygular.
USB portları devre dışı bırakılır ve çalışanların bu tür cihazlara erişimi sınırlandırılır.
Veri Dinlenirken (At Rest) Şifreleme
Dinlenme halindeki verilerin şifrelenmesi, hassas bilgilerin korunmasında önemli bir rol oynar.
Alınan Güvenlik Önlemleri:
Hangi sistemlerin ve veri kümelerinin şifrelenmesi gerektiğini belirlemek için veri sınıflandırma belgeleri hazırlanır.
Amazon SP-API anahtarları şifrelenerek güvenli şekilde saklanır, açık metin olarak veya e-posta ile paylaşılmaz.
Veri Saklama ve İmha Süreçleri
PII verilerinin yalnızca yasal zorunluluklar süresince saklanması gerekir. Bu verilerin gereksiz yere uzun süre tutulması, güvenlik açıklarını artırır.
Alınan Güvenlik Önlemleri:
Geliştiricilerimiz, PII verilerini geçici bellekte sakladıktan sonra siler veya yasal gereklilik varsa şifreli arşivlerde tutar.
Kötü Amaçlı Yazılımlara Karşı Önlemler
Kötü amaçlı yazılımlar genellikle dış tehditler tarafından sistemlere bulaştırılır. E-postalar ve zararlı web siteleri en sık kullanılan taşıyıcılardır.
Alınan Güvenlik Önlemleri:
Bulut ve yerel ağ mimarilerinde ağ segmentasyonu uygulanır.
Uç noktalar, sunucular ve uygulama katmanlarında güncel antivirüs yazılımları ve güvenlik duvarları kullanılır.
Güvenli Yazılım Geliştirme Yaşam Döngüsü (SDLC) kapsamında yazılıma zafiyet tarama ve güvenlik testleri entegre edilir.
Gerekli durumlarda, gelişmiş tehditlere karşı önleyici güvenlik sistemleri ve siber güvenlik çerçeveleri devreye alınır.
Olay Yönetimi Stratejisi
Güvenlik olaylarının etkili biçimde yönetilmesi için olay tespiti, müdahale, kurtarma ve analiz gibi adımları içeren bir olay yönetim planı gereklidir.
Alınan Güvenlik Önlemleri:
Geliştiricilerimiz, herhangi bir güvenlik olayı meydana geldiğinde Amazon’a 24 saat içinde [email protected] adresinden bilgi verir.
Kıdemli yöneticilerimiz, olay yönetim planını yılda en az iki kez gözden geçirip onaylar.
Erişim Gözden Geçirme
Kullanıcı ve servis hesaplarının periyodik olarak incelenmesi, yetkisiz erişimlerin önüne geçilmesi açısından zorunludur.
Alınan Güvenlik Önlemleri:
Parola ve erişim yönetim politikaları belgelendirilir.
Hesapların erişim yetkileri belirli periyotlarla (en az üç ayda bir) gözden geçirilir, ihtiyaç kalmayan hesaplar devre dışı bırakılır.
Potansiyel Güvenlik Olaylarının Tespiti
Kimlik avı (phishing) kurbanı olan kullanıcılar çoğu zaman sistemlerinin ele geçirildiğini fark etmez. Geniş çaplı DDoS saldırıları, sistemlerin kullanılabilirliğini tehlikeye atabilir.
Alınan Güvenlik Önlemleri:
Geliştiricilerimiz, veri varlıklarının izlenmesi ve olası ihlallerin tespit edilmesi amacıyla saldırı tespit ve önleme sistemleri (IDS/IPS) uygular.