Implementazione del DNS: considerazioni sulla sicurezza

Per i clienti che desiderano una soluzione "plug and play", CrowdHandler configura una CDN a monte del loro server di origine tramite una modifica del DNS. Ciò consente di instradare tutto il traffico attraverso la nostra applicazione per la messa in coda e il controllo degli accessi. Tuttavia, l'implementazione del DNS comporta ulteriori implicazioni in termini di sicurezza che i clienti dovrebbero comprendere prima di abilitare questa funzionalità.

AWS isolate#

La distribuzione CloudFront e le risorse correlate per l'implementazione del DNS vengono implementate all'interno dell'account AWS dedicato di CrowdHandler. I clienti non hanno accesso diretto per configurare tali risorse.

dei dati#

Le nostre funzioni Lambda@Edge chiamano la nostra API per instradare le richieste e le risposte, ma hanno accesso solo alle intestazioni delle richieste, non al corpo della richiesta né al corpo della risposta originale. Non abbiamo alcuna visibilità sui dati sensibili trasmessi. Tuttavia, il cliente non è in grado di verificarlo autonomamente a causa dell'isolamento delle risorse AWS.

Utilizzo della

Tutte le comunicazioni tra gli utenti finali, CloudFront e le applicazioni di origine vengono crittografate in transito tramite TLS. CloudFront supporta inoltre la crittografia a livello di campo per proteggere ulteriormente i dati sensibili.

Nessun PAN#

La nostra implementazione DNS non supporta la trasmissione di informazioni di pagamento che consentono l'identificazione personale, come i numeri delle carte di credito. Qualsiasi dato PAN deve essere gestito al di fuori dell'ambito di questa funzionalità, in modo che CrowdHandler rimanga al di fuori dell'ambiente dei dati dei titolari di carta del cliente ai fini della conformità PCI.

condivisa#

Mentre noi ci occupiamo della configurazione e della gestione di CloudFront, Route 53 e Lambda@Edge, il cliente rimane responsabile della sicurezza e della conformità dei propri contenuti di origine. Raccomandiamo di:

  • Abilitazione del TLS all’origine e aggiornamento dei certificati
  • Utilizzo di un'intestazione "No-Bypass" con un segreto condiviso per impedire l'aggiramento di CrowdHandler
  • Rafforzamento dell'infrastruttura e attivazione dei firewall solo per le porte e i protocolli necessari
  • Effettuare scansioni periodiche delle vulnerabilità e applicare le patch ai sistemi di origine
  • Rispettare i requisiti normativi e di conformità applicabili ai propri dati e al proprio settore

L'implementazione DNS di CrowdHandler mira a fornire ai clienti un controllo degli accessi e una distribuzione semplici. Tuttavia, essa si basa sull'adozione di adeguate pratiche di sicurezza a livello di origine per salvaguardare i dati sensibili e soddisfare gli obblighi di conformità. I clienti dovrebbero valutare l'utilizzo di questa funzionalità per definire i controlli e le responsabilità in base alle proprie esigenze specifiche.