شرکت DMG Blockchain Solutions در تاریخ ۳۱ اکتبر اعلام کرد که این شرکت و شرکت‌های وابسته به آن تحت تأثیر حادثه امنیتی بایننس قرار نگرفته‌اند و دارایی‌های مشتریان امن باقی مانده است. این شرکت به دسترسی محدود، تفکیک وظایف و چندین سطح تأیید برای جلوگیری از این موضوع اشاره کرد که یک دستگاه آلوده بتواند تراکنشی غیرمجاز را تأیید کند.
بیانیه این شرکت دو سوال متمایز را مطرح می‌کند: کجا یک کسب‌وکار در معرض خطر قرار دارد و چگونه حرکت دارایی‌ها را کنترل می‌کند.
دامنه بیانیه حادثه
شرکتی که اعلام می‌کند تحت تأثیر قرار نگرفته است، اطلاعاتی را در مورد ارزیابی خود از یک رویداد خاص به سرمایه‌گذاران می‌دهد. این موضوع زمانی مفید است که اختلال در یک سرویس، سوالاتی را در مورد زیان‌ها یا دسترسی مختل شده در جاهای دیگر ایجاد کند.
با این حال، بیانیه همچنان باید برای آنچه که بیان می‌کند، خوانده شود. «تحت تأثیر قرار نگرفتن» به تنهایی، تمام ترازنامه‌های طرف مقابل، روابط قراردادی یا وابستگی‌های بالقوه آینده را فاش نمی‌کند. ممکن است یک کسب‌وکار رابطه تجاری با یک سرویس داشته باشد بدون اینکه از یک حادثه خاص متحمل زیان شود.
این تمایز از تبدیل اعلامیه ایمنی دارایی به ادعای عدم ریسک (که شرکت مطرح نکرده است) جلوگیری می‌کند. همچنین به سرمایه‌گذاران کمک می‌کند تا سوالات دقیق‌تری در مورد ترتیب نگهداری، موجودی عملیاتی و خدمات مورد نیاز برای ادامه تراکنش‌ها بپرسند.
جداسازی تأییدیه‌ها، محدودکننده حساب آلوده
اصل امنیتی پشت وظایف تقسیم شده ساده است: فرد یا دستگاهی که قادر به آماده‌سازی یک اقدام است، نباید همچنین اختیار کافی برای تکمیل آن را داشته باشد. واژه‌نامه NIST، جداسازی وظیفه را به عنوان محدود کردن امتیازات موجود برای هر کاربر، از جمله از طریق کنترل دو نفره، تعریف می‌کند.
در یک فرآیند مالی، این می‌تواند به معنای جدا کردن انتقال پیشنهادی از بررسی‌های مستقلی باشد که آن را تأیید می‌کنند. هدف این است که مهاجم قبل از انتقال دارایی‌ها، مجبور به عبور از بیش از یک مانع شود.
کیفیت جداسازی بیش از تعداد درخواست‌های تأیید روی صفحه اهمیت دارد. دو تأییدیه استقلال کمتری دارند اگر هر دو به اعتبارنامه‌ها، دستگاه یا منبع اطلاعات تراکنش آلوده یکسان متکی باشند. بازبینان برای بررسی مبدأ و مبلغ مورد نظر به یک مبنای قابل اعتماد نیاز دارند.
اینها ملاحظات کلی طراحی هستند، نه یافته‌هایی در مورد ضعف در سیستم‌های DMG. بیانیه عمومی، رویکرد شرکت را بدون انتشار پیکربندی دقیق مورد نیاز برای ارزیابی فنی خارجی، توصیف می‌کند.
طراحی کنترل و شواهد، پاسخگوی سوالات متفاوت
شرح یک کنترل، هدف آن را توضیح می‌دهد. شواهدی مبنی بر اینکه کنترل به طور مداوم کار می‌کند، به موضوع متفاوتی رسیدگی می‌کند: آیا حقوق دسترسی واقعی، سوابق تأیید و رسیدگی به استثنائات با آن طراحی مطابقت دارد.
برای یک مشتری یا طرف مقابل سازمانی، شواهد مناسب می‌تواند به سرویس بستگی داشته باشد. یک بررسی ممکن است بررسی کند که چه کسی می‌تواند مجوزها را تغییر دهد، چگونه تراکنش‌های غیرعادی پیگیری می‌شوند و چه اتفاقی می‌افتد وقتی یک تأیید کننده در دسترس نیست. هدف، درک فرآیند در حال اجرا، از جمله لحظات کمتر راحت آن است.
بنابراین، یک اطمینان عمومی باید در کنار کار مداوم نظارت قرار گیرد. این می‌تواند ارزیابی حادثه را به سرعت منتقل کند بدون اینکه جایگزین اطلاعات عمیق‌تری شود که ممکن است یک رابطه قراردادی نیاز داشته باشد.
در دسترس بودن در کنار حفاظت
جلوگیری از انتقال غیرمجاز، یک بخش از مدیریت قابل اعتماد دارایی است. یک کسب‌وکار همچنین به روشی برای تکمیل فعالیت‌های قانونی در صورت خرابی دستگاه، غیبت کارمند یا در دسترس نبودن سرویس خارجی نیاز دارد.
این یک تعادل عملی ایجاد می‌کند. ترتیب‌های بازیابی باید عملیات مجاز را بازگرداند بدون اینکه بی‌صدا محافظت‌هایی را که سیستم را انعطاف‌پذیر می‌سازند، حذف کند. یک مسیر اضطراری که از تمام کنترل‌های معمولی عبور می‌کند، ارزیابی امنیتی را به طور قابل توجهی تغییر می‌دهد.
به‌روزرسانی DMG، موقعیت شرکت را در مورد ایمنی دارایی و فلسفه کنترل پشت فرآیند تراکنش آن، با تاریخ مشخص ارائه می‌دهد. برای سرمایه‌گذاران، تمایز مفید بین نتیجه گزارش شده این حادثه و شواهد مداوم مورد نیاز برای ارزیابی نگهداری، تأییدها و تداوم عملیاتی در طول زمان است.
