MILAD_A
کاربر نگاه دانلود
- [h=2]اولین گام در امنیت اطلاعات شبکه [/h]
عبارتهای «امنیت شبکه» و «امنیت اطلاعات» اغلب به جای یگدیگر مورد استفاده قرار می گیرند. عدم آشنایی بسیاری از کاربران و کارکنان سازمان ها، به نفوذگران کمک می کند تا به راحتی وارد یک شبکه کامپیوتری شده و از داخل آن به اطلاعات محرمانه دست پیدا کنند یا این که به اعمال خرابکارانه بپردازند. هر چه رشد اینترنت و اطلاعات روی آن بیشتر می شود نیاز به اهمیت امنیت شبکه افزایش پیدا می کند. امنیت شبکه به طور کلی برای فراهم کردن امکان حفاظت از مرزهای یک سازمان در برابر نفوذگران (مانند هکرها) به کار می رود. برای تامین امنیت بر روی یک شبکه، یکی از بحرانی ترین و خطیرترین مراحل، تامین امنیت دسترسی و کنترل تجهیزات شبکه است. تجهیزاتی همچون مسیریاب، سوئیچ یا دیوارهای آتش. با این حال، امنیت اطلاعات به صراحت بر روی محافظت از منابع اطلاعاتی در برابر حمله ویروسها یا اشتباهات ساده توسط افراد درون سازمان متمرکز شده است و برای این منظور از تکنیکهای جلوگیری از از دست رفتن دادهها (DLP) بهره می برد. یکی از این تکنیک ها، تقسیم بندی شبکههای بزرگ توسط مرزهای داخلی است.امنیت شبکه از تصدیق هویّت کاربر و معمولاً توسط یک نام کاربری و یک رمز عبور آغاز می شود. از آنجایی که این موضوع تنها نیازمند به یک چیز در کنار نام کاربری ( یعنی رمز عبور) است، لذا گاهی اوقات تحت عنوان «احراز هویت تک عامله» نامیده می شود. با «احراز هویت دو عامله» برخی از چیزهایی که شما دارید، نیز استفاده می شود (به عنوان مثال یک توکن امنیتی یا قفل سخت افزاری، یک کارت ATM و یا تلفن همراه شما)، و یا با «احراز هویت سه عامله» بعضی از چیزهایی که معرف شماست نیز استفاده می شود (مانند اثر انگشت).
پس از تصدیق هویت، دیوارآتشین(فایروال) اجرای سیاستهای دسترسی را اعمال می کند؛ از قبیل اینکه چه خدماتی مجاز هستند که در دسترس کاربران شبکه قرار بگیرند. اگر چه برای جلوگیری از دسترسی غیر مجاز، این اجزا ممکن است برای بررسی اجزای مضر بالقوه، مانند کرمهای کامپیوتری یا تروجان هایی که از طریق شبکه منتقل می شوند، شکست بخورند و امنيت شبکه به خطر نیافتد. نرمافزارهای آنتی ویروس و یا سیستمهای پیشگیری از نفوذ (IPS) کمک شایانی به شناسایی و مهار عملکرد چنین نرمافزارهای مخربی می کند. یک سیستم تشخیص نفوذ مبتنی بر آنومالی نیز ممکن است بر شبکه و ترافیک موجود در آن از حیث محتوا یا رفتار ناخواسته و مشکوک و یا سایر ناهنجاریها نظارت داشته باشد تا از منابع محافظت کند؛ به عنوان مثال از حمله ممانعت از سرویس دهی و یا دسترسی به فایلهای کارمندی در زمانهای غیر متعارف. حوادث منحصربهفردی هم که در شبکه رخ می دهد ممکن است به منظور بازبینی و تجزیه و تحلیل سطح بالاتر در آینده، ثبت گردد.
ارتباط بین دو میزبان که از یک شبکه استفاده می کنند، می تواند به منظور حفظ حریم خصوصی رمزنگاری شود.
کندوهای عسل (Honeypots) که اساساً منابع فریبنده قابل دسترس در شبکه هستند، می توانند به منظور نظارت و ابزارهای هشدار زود هنگام در شبکه مستقر شوند تا نشان دهند که چه وقت یک کندوی عسل به طور معمول قابل دستیابی نمیباشد. تکنیک هایی که مهاجمان در تلاش برای دستیابی به این منابع فریبنده به کار می بندند، در طول حمله و پس از آن مورد مطالعه قرار می گیرند تا نگاهی بر تکنیکهای بهره برداری جدید وجود داشته باشد. چنین تجزیه و تحلیل هایی می تواند به منظور تأمین امنیت بیشتر یک شبکه واقعی توسط روش کندوی عسل، مورد استفاده قرار خواهد گرفت /
مدیریت امنیت
مدیریت امنیت برای شبکه ها، برای انواع شرایط مختلف، متفاوت است. یک خانه کوچک یا یک دفتر تنها به یک امنیت ابتدایی نیاز دارد؛ در حالی که کسب و کارهای بزرگ نیازمند محافظت در سطح بالا و داشتن نرمافزارها و سخت افزارهای پیشرفته برای جلوگیری از حملات بدخواهانه ای چون هک کردن و ارسال ایمیلهای ناشناس هستند.
برای منازل کوچک
- از یک دیوار آتش یا یک سیستم مدیریت تهدید یکپارچه ابتدایی استفاده کنید.
- برای کاربران ویندوز، نرمافزار آنتی ویروس ابتدایی مناسب است. یک برنامه ضد جاسوسی نیز ایده خوبی می باشد. تعداد بسیاری از انواع دیگر آنتی ویروسها یا برنامههای ضد جاسوسی نیز وجود دارد که می تواند مد نظر قرار بگیرد.
- هنگام استفاده از اتصال بی سیم، از یک رمز عبور قوی استفاده کنید. همچنین سعی کنید، از بالاترین امنیتی که توسط دستگاههای بی سیم شما پشتیبانی می شود، استفاده کنید؛ مانند WPA2 با رمزنگاری AES .
- اگر از اتصال بی سیم استفاده می کنید، نام شبکه پیش فرض در SSID را تغییر دهید. همچنین امکان انتشار در SSID را غیر فعال کنید. زیرا این قابلیتها برای استفاده در منزل غیرضروری است. اگر چه بسیاری از کارشناسان امنیتی این موضوع را نسبتاً بی فایده در نظر می گیرند.
- فیلترسازی آدرس MAC را فعال کنید تا اینکه تمام اتصالهای دستگاههای MAC موجود در شبکه خانگی به مسیریاب شما ثبت گردد.
- به همه دستگاههای موجود در شبکه IP ثابت اختصاص دهید.
- امکان تشخیص اتصال ICMP در مسیریاب را غیر فعال کنید.
- فهرست ثبت وقایع مسیریاب یا دیوار آتش را مورد بازبینی قرار دهید تا بتوانید اتصالها و ترافیکهای غیر عادی روی اینترنت را تشخیص بدهید.
- برای همه حسابهای کاربری، رمز عبور تعیین کنید.
- برای هر یک از اعضای خانواده حساب کاربری جداگانه ای در نظر بگیرید و برای فعالیتهای روزانه از حسابهای کاربری غیر مدیریتی استفاده نمایید. حساب کاربری مهمان را غیر فعال کنید. (کنترل پنل> ابزارهای مدیریتی> مدیریت کامپیوتر> کاربران)
- میزان آگاهی کودکان در مورد امنیت اطلاعات را بالا ببرید.
برای کسب و کارهای متوسط
- از یک دیوار آتش یا یک سیستم مدیریت تهدید یکپارچه نسبتاً قوی استفاده کنید.
- از نرمافزارهای آنتی ویروس قوی و نرمافزارهای امنیت اینترنت استفاده کنید.
- برای احراز هویت، از رمزهای عبور قوی استفاده کرده و هر دو هفته یکبار یا ماهانه آنها را تغییر دهید.
- هنگام استفاده از اتصال بی سیم، از یک رمز عبور قوی استفاده نماید.
- میزان آگاهی کارکنان در خصوص امنیت فیزیکی را بالا ببرید.
- از یک تحلیل گر شبکه و یا کنترل کننده شبکه با قابلیت انتخاب استفاده کنید.
- وجود یک مدیر روشن فکر نیز ضروری است.
برای کسب و کارهای بزرگ
- از یک دیوار آتش و پروکسی قوی استفاده کنید تا افراد ناخواسته را دور نگه دارید.
- از یک بسته حاوی نرمافزارهای آنتی ویروس قوی و نرمافزارهای امنیت اینترنت استفاده کنید.
- برای احراز هویت، از رمزهای عبور قوی استفاده کرده و به طور هفتگی یا هر دو هفته یکبار آنها را تغییر دهید.
- هنگام استفاده از اتصال بی سیم، از یک رمز عبور قوی استفاده نماید.
- اقدامات احتیاطی در خصوص امنیت فیزیکی را به کارمندان تمرین دهید.
- یک تحلیل گر شبکه یا کنترل کننده شبکه فراهم کرده تا در صورت نیاز از آن استفاده نمایید.
- مدیریت امنیت فیزیکی، مانند تلویزیون مدار بسته برای مبادی ورودی و مناطق محدود شده را پیاده سازی نمایید.
- حصار امنیتی را برای علامت گذاری محیط شرکت به کار ببندید.
- وجود کپسول آتش نشانی برای فضاهای حساس به آتش، مانند اتاق سرور و اتاقهای امنیتی لازم است.
- حفاظهای امنیتی می تواند به بیشینه کردن امنیت کمک کند.
برای دانشکده
- از یک دیوار آتش و پروکسی قابل تنظیم استفاده کنید تا امکان دسترسی از داخل و خارج را برای افراد مجاز فراهم سازید.
- از یک بسته حاوی نرمافزارهای آنتی ویروس قوی و نرمافزارهای امنیت اینترنت استفاده کنید.
- از اتصالات بی سیم مجهز به دیوار آتش بهره بگیرید.
- قانون حمایت از کودکان در برابر اینترنت را رعایت نمایید.
- نظارت بر شبکه به منظور تضمین به روز رسانی و تغییرات بر اساس استفاده از سایتهای محبوب، عملی مؤثر است.
- نظارت مداوم توسط معلمان، کتابداران و مدیران به منظور تضمین حفاظت در برابر حملات از سوی هم منابع اینترنتی و هم منابع شبکه ای لازم است.
برای دولت بزرگ
- از یک دیوار آتش و پروکسی قوی استفاده کنید تا افراد ناخواسته را دور نگه دارید.
- از یک بسته حاوی نرمافزارهای آنتی ویروس قوی و نرمافزارهای امنیت اینترنت استفاده کنید.
- رمزنگاری قوی را به کار ببندید.
- فهرست bvcfgbcvbnvbcسایر موارد را مسدود می کند.
- همه سخت افزارهای شبکه در محلهای امنی وجود دارند.
- همه میزبانها می بایست در یک شبکه خصوصی باشند تا از زاویه بیرونی، نامرئی به نظر آیند.
- از خارج و از داخل، nvnbvدر یک DMZ یا یک دیوار آتش قرار دهید.
- حصار امنیتی را برای علامت گذاری محیط و تخصیص محدودههای بی سیم به آنها، به کار ببندید.
انواع و منابع تهدیدهای شبکه
در حال حاضر ما آنقدر اطلاعات در زمینه شبکه گذاری داریم که می توانیم وارد جنبه های امنیتی آن شویم. اول از همه ما وارد انواع تهدیدهایی که شبکه با آنها مواجه است می شویم و آنگاه برخی از کارهایی که می توان برای حفاظت از خود در مقابل آنها انجام دهیم ،توضیح می دهیم.
Denial-of-Service
احتمالاً حملات DoS خطرناکترین تهدیدها است. آنها بدین دلیل خطرناکترین هستند که به آسانی می توانند اجرا شوند ، به سختی رهگیری می شوند (برخی مواقع غیرممکن است) ، و سرپیچی از درخواست حمله کننده آسان نیست حتی اگر این درخواست غیر قانونی باشد.
منطق یک حمله DoS ساده است . درخواستهای زیادی به ماشین ارسال می شود که از اداره ماشین خارج است. ابزارهای در دسترسی در محافل زیر زمینی وجود دارد که که این کار را به صورت یک برنامه در می آورند و به آن می گویند در چه میزبانی درخواستها را منتشر کنند.
برخی کارهایی که می توان برای کاهش خطر مواجه شدن با یک حمله DoS ( رد درخواست) انجام داد عبارتند از:
- عدم اجرای خدمات قابل مشاهده به صورت جهانی در نزدیکی ظرفیت اجرایی
- استفاده از فیلترینگ بسته برای جلوگیری از بسته های جعل شده در ورودی به فضای آدرس شبکه شما .
مشخصاً بسته های جعلی شامل آنهایی هستند که ادعا می کنند از طرف میزبان شما آمدهاند ،بر اساس RFC1918 برای شبکه های خصوصی و شبکه loopback آدرس دهی شده اند.
- موارد مربوط به امنیت سیستمهای عامل میزبان خود را به روز کنید.
دسترسی غیر مجاز
دسترسی غیر مجاز یک واژه سطح بالا است که می تواند به انواع مختلف حملات مرتبط باشد. هدف از این نوع حملات دسترسی به برخی منابع است که ماشین شما نبایستی آنرا در اختیار حمله کنندگان قرار دهد
تخریب اطلاعات
برخی از مهاجمهان به آسانی با افرادی همکاری می کنند که دوست دارند همه چیز را از بین ببرند. در چنین حالتی، تأثیر روی توان محاسباتی شما و در نتیجه شرکت شما ، میتواند چیزی کمتر از یک حریق یا بلایای دیگری باشد که باعث می شود تجهیزات محاسباتی شما بطور کامل تخریب شوند.
اجرای فرامین غیر قانونی
مشخص است که یک فرد ناشناس و غیر مطمئن نبایستی بتواند فرامین را روی ماشینهای سرور شما اجرا کند. دو طبقه بندی عمده امنیتی برای این مشکل وجود دارد: دسترسی کاربر معمولی و دسترسی مدیریت .یک کاربر معمولی می تواند تعدادی از موارد سیستم را اجرا نماید ( همانند خواندن فایلها ، ارسال ایمیل به سایر افراد و غیره) که افراد مهاجم قادر به اجرای آنها نیستند . [۱]
انواع فایروالها
سه نوع عمده فایروال وجود دارد که ما آنها را مورد بررسی قرار میدهیم:
مسیر کاربردی
اولین فایروال ، مسیر کاربردی هستند که بعنوان پراکسی مسیری شناخته می شوند.آنها از باستین هاستهایی ساخته شده اند که برای عمل کردن به صورت پراکسی سرور یک نرمافزار خاص را اجرا می کند. این نرمافزار در لایه کاربردی دوست قدیمی ما مدل مرجع ISO/OSI اجرا می شود. کلاینتهای پشت سر فایروال بایستی proxitized (به این معنا که بایستی دانست که چگونه از پراکسی استفاده کرد و آنها را پیکربندی نمود)شوند تا از خدمات اینترنتی استفاده کرد.معمولاً اینها دارای ویژگی امنیتی هستند ، زیرا آنها به همه چیز اجازه عبور بدون اشکال را نمیدهند و نیاز به برنامه هایی دارند که برای عبور از ترافیک نوشته و اجرا شده اند.
فیـلتـ*ـر کردن بسته
فیـلتـ*ـر کردن بسته تکنیکی است که بواسطه آن روتورها دارای ACL های (لیستهای کنترل دسترسی) فعال می شوند. به طور پیش فرض ،یک روتور تمامی ترافیک به سمت خود را عبور می دهد و همه نوع کار را بدون هیچ محدودیتی انجام می دهد .استفاده از ACLها روشی برای اعمال سیاست امنیتی شما با توجه به نوع دسترسی که می خواهید جهان خارج به شبکه داخلی شما داشته باشد و غیره ، می باشد.
استفاده از فیـلتـ*ـر کردن بسته بجای مدخل کاربردی دارای هزینه اضافی است زیرا ویژگی کنترل دسترسی در لایه پایینتر ISO/OSI اجرا می شود. (عموماً لایه انتقال یا لایه session). با توجه به سربار کمتر و این واقعیت که فیلترینگ بوسیله روتورهایی انجام میشوند که به صورت کامپیوترهای خاص برای اجرای موارد مرتبط با شبکه بندی ،بهینه شدهاند ،یک مسیر فیلترینگ بسته اغلب بسیار سریعتر از لایه کاربردی آن است.
سیستمهای ترکیبی (Hybrid systems)
در یک تلاش برای هماهنگ کردن مسیرهای لایه کاربردی با انعطاف پذیری و سرعت فیلترینگ بسته ، برخی از فروشندگان سیستمهایی را ایجاد کردند که از هر دو اصل استفاده می کنند.در چنین سیستمهایی ،اتصالات جدید باید در لایه کاربردی تایید وبه تصویب برسند. زمانی که این اتفاق افتاد ،بقیه اتصال به لایه session فرستاده می شود، که در آن برای فیلترهای بسته اتصال را کنترل می کنند تا مطمئن شوند که تنها بسته هایی که بخشی از یک محاوره در حال پیشرفت ( که همچنین مجاز و مورد تایید هستند) عبور میکنند.
سایر احتمالات شامل استفاده از هر دو پراکسی فیلترینگ بسته و لایه کاربردی است. مزیتهای این حالت شامل ،ارائه معیاری برای محافظت از ماشینهای شما در مقابل خدماتی که به اینترنت ارائه میکند (همانند یک سرور عمومی وب ) و همچنین ارائه امنیت یک مسیر لایه کاربردی به شبکه داخلی است.
