Schützen Sie Ihre Daten
Lernziele
Nachdem Sie diese Lektion abgeschlossen haben, sind Sie in der Lage, die folgenden Aufgaben auszuführen:
- Schützen Ihrer Daten
- Verwalten von OAuth-Token und Anmeldeinformationen
- Erstellen von sicheren API-Integrationen
Vermeiden gängiger Sicherheitsrisiken
Unabhängig davon, wie Sie Ihre Anwendungen und externen Systeme in Marketing Cloud Engagement integrieren, gibt es Richtlinien zum Schutz Ihrer Daten, die Sie befolgen sollten. Die in dieser Einheit erörterten bewährten Vorgehensweisen helfen Ihnen bei der Vermeidung gängiger Sicherheitsrisiken wie Cross-Site Scripting, Offenlegung sensibler Daten und HTML-Injection. Sehen wir uns die potenziellen Bedrohungen einmal genauer an.
Cross-Site Request Forgery
Bei dieser Praxis wird ein authentifizierter Benutzer dazu gebracht, eine unerwünschte Aktion auf einem anfälligen Server durchzuführen.
HTML-Injection
Bei diesem Angriff wird HTML in eine anfällige Website eingebracht, beispielsweise ein iFrame, der eine andere Seite anzeigt als gewünscht.
Cross-Site Scripting
Ein Angreifer nutzt JavaScript in einer anfälligen Domäne und bringt einen Benutzer dazu, auf einen schädlichen Link zu klicken. Der Browser führt das JavaScript aus und schon geht der Ärger los.
Arbitrary Redirect (URL-Umleitung)
Bei diesem Angriff klickt ein Benutzer auf einen typischen Server-URL, doch der Link leitet ihn an eine schädliche Website weiter.
Remote Code Execution (Remote-Code-Ausführung)
Bei diesem Angriff werden Schwachstellen auf Zielservern ausgemacht und Eingaben ausgeführt.
Und jetzt kommt die gute Nachricht: Obwohl diese Sicherheitsbedrohungen recht beängstigend sind, gibt es Mittel und Wege, Ihre Daten zu schützen. Lassen Sie uns einige bewährte Vorgehensweisen zur Datensicherheit durchgehen:
Bewährte Vorgehensweisen für die Datensicherheit
Berechtigungen einschränken
Achten Sie bei der Erstellung von OAuth-Zugriffstoken darauf, dass sie nur für erforderliche Aufgaben gültig sind. Schließlich würden Sie einem Nachbarn, der etwas aus Ihrer Garage braucht, auch nicht gleich Schlüssel für das ganze Haus geben, oder? Mit anderen Worten: Weisen Sie den Token und dem installierten Paket nur die erforderlichen Berechtigungen zu.
Token schützen
Achten Sie beim Speichern Ihrer Tokenwerte darauf, nur das Aktualisierungstoken auf dem externen Server abzulegen. Fordern Sie bei Bedarf ein neues Zugriffstoken an und speichern Sie nur diesen Wert. Diese Token müssen dieselbe Priorität und dieselben Sicherheitsvorkehrungen erhalten, wie die Anmeldeinformationen des Salesforce-Accounts.
Aktuelle TLS-Konfiguration verwenden
Achten Sie darauf, dass für Ihre externen Webserver eine aktuelle TLS-Konfiguration verwendet wird und erzwingen Sie TLS in Ihren Anforderungen an Marketing Cloud Engagement-APIs. Ihr Zugriffstoken sollte nur in der Autorisierungskopfzeile angezeigt werden.
Fehlermeldungen prüfen
Natürlich sollten Ihre Fehlermeldungen etwas aussagekräftiger sein als ERROR: #12345. Dennoch sollten Sie in einer Fehlermeldung auch nicht zu viele Informationen preisgeben. Nehmen Sie weder Stapelverfolgung noch Debug-Protokolle in Ihre Fehlermeldungen auf, damit Angreifer diese Informationen nicht gegen Sie verwenden können.
Sichere Sitzungen
Achten Sie darauf, dass bei Ihren Sitzungen für autorisierte Benutzer sichere Verfahren zum Erstellen, Verwalten und Beenden verwendet werden. Rotieren Sie die Sitzungs-IDs, damit Angreifer diese Werte nicht für Zugriffe speichern können. Sorgen Sie außerdem dafür, dass Ihre Integration Benutzersitzungen und Berechtigungsebenen verifiziert, bevor Zugriff auf zugangsbeschränkte Daten oder Funktionen gewährt wird. Halten Sie sich an das Need-to-know-Prinzip (Kenntnis nur bei Bedarf). Darüber hinaus sollten Sie nach Möglichkeit mandantenspezifische Endpunkte verwenden, damit Ihre Anforderungen über möglichst sichere Verbindungen abgewickelt werden.
Sensible Daten ordnungsgemäß speichern
Speichern Sie alle sensiblen Informationen in Ihrem eigenen System. Beachten Sie dabei die bewährten Vorgehensweisen Ihrer Plattform für eine sichere Speicherung. Sie möchten wissen, warum sensible Informationen wie Kennwörter, Kreditkartennummern und Sozialversicherungsnummern sicher im eigenen System gespeichert werden sollen? Weil diese Informationen niemals auf Servern von Marketing Cloud Engagement gespeichert werden dürfen!
Sicherheitslücken in wichtiger Soft- und Hardware schließen
Verhindern Sie durch Remote-Code-Ausführung entstehende Probleme, indem Sie Schwachstellen bei Services beheben, die an Webserver-Ports lauschen, Softwarepakete aktualisieren und beim Umgang mit deserialisierten Benutzerdaten Vorsicht walten lassen.
Fühlen Sie sich jetzt sicherer? Sicherheit ist ein ständiges Anliegen und Sie sollten Ihre Sicherheitsanforderungen daher regelmäßig neu bewerten. Diese Informationen verschaffen Ihnen jedoch eine solide Grundlage dafür. Gute Arbeit!
