بخش امنیت

نگاهی نو به امنیت در آی تی

امنیت دو قسم دارد

Feeling ( بعد احساسی): بخش احساسی شامل تفکر و اطمینان از امن بودن بستر آی تی مانند شبکه داخلی دارید. این احساس می تواند درست و یا نادرست باشد. بعنوان مثال صرف داشتن یک آنتی و یروس بر روی سیستم و یا شبکه دلیل بر اطمینان از ویروسی نشدن آن نیست. زیرا ممکن است آنتی ویروس فقط نصب باشد و مشکلی در بروز رسانی آن وجود داشته باشد.

مثال دیگر داشتن دیواره آتش در شبکه است که معمولا باعث اطمینان خاطر کاربران و مدیران شبکه می شود در حالی که پیکربندی نادرست بر روی دیواره آتش می تواند صدمات جبران ناپذیری را بر سیستم ها وارد نماید. بعبارت ساده تر می توان گفت که ما امن نیستیم ولی احساس امنیت می کنیم.

Realistic (بعد واقعی): این قسم از امنیت دقیقا برعکس حالت احساسی می باشد. یعنی ضریب امنیتی ما در حد مطلوب است ولی این احساس در ما وجود ندارد و موجب درگیری ذهن مدیران امنیتی و شبکه و در حالت بد کاربران سیستم ها می باشد.

حال چرا در بحث امنیت چنین احساس می شود؟

دلیل این نوع تفکر حالت  Transparent بودن امنیت می باشد. یعنی اکثر کارها و تنظیماتی که در زمینه امنیت بر روی سیستم ها و شبکه انجام می شود جنبه فیزیکی نداشته و قابل لمس نمی باشد و این خود این حس عدم امنیت در سیستم ها را تقویت می نماید. بعنوان مثال زمانیکه یک سیستم چک کردن اثر انگشت به منظور ورود به سازمان وجود داشته باشند و یا داشتن نگهبان با وسیله های حفاظتی در یک سازمان حس امنیت را به صورت واقعی در ذهن کاربران ایجاد می کند. حال شما بالاترین ضریب امنیتی را در سیستم ها پیاده سازی کنید آیا این حس به کاربر دست می دهد که سیستمش امن باشد؟ خیر!

حال چه کنیم که حس امن بودن در سازمان بین مدیران و کاربران فراهم شود؟

در اولین قدم می بایست کلیه سیاست های امنیتی را برای کاربران شرح داد. ارائه دفترچه های بسیار کوچک و توضیع بین کاربران، درج خبر و توضیح در سایت های داخلی سازمان، زدن اعلامیه در تابلو اعلانات سازمان و در بهترین حالت برگزاری کلاس های لازم به منظور آشنائی و توضیح برای مدیران و کاربران سازمان راه حل های مفید و نتیجه گذاری برای این امر می باشد.

در این ضمینه چه چیزهائی را می بایست توضیح داد؟

جلسات توضیح پیرامون امنیت بدلیل داشتن موارد بسیار زیاد تخصصی و نا آشنائی بسیاری از مدیران و کارکنان سازمان،یک جلسه خشک و غیر جداب می باشد،لذا می بایست در زمان مشخص و کم کلیه مطالب طوری پوشش داده شود که از نگاه کاربر هم قابل درک و هم جذاب به نظر برسد.دلیل انجام موارد امنیتی، چگونگی انجام آن،تلاش ها برای رسیدن به این نتیجه به منظور پیاده سازی آن در سازمان،نتیجه پیاده سازی آن مواردی است که می بایست در این جلسات در مورد آن با زبان ساده  و قابل درک برای حاضرین در جلسه گفته شود.

اینکه کاربر بداند در مقابل چه خطراتی امین شده و این سیاست های امنیتی چه سودی برای وی سازمان دارد خود حس اشتیاق به کارکرد و آسودگی خاطر برای وی به ارمغان میاورد.

سه بعد اصلی امنیت در آی تی

در شکل زیر مثلث معروف امنیت وجود دارد که هر ضلع آن بیانگر مبحث و قابلیتی به منظور امن کردن و ایجاد احساس امنیتی می باشد.

Confidentiality یا محرمانگی به منظور نگه داشتن صحیح اطلاعات از دسترسی های غیر مجاز و حفظ حریم خصوصی آن می باشد. این امر هم باید بصورت فیزیکی و هم بصورت منطقی انجام شود.

بعنوان مثال:

**استفاده از تعریف سطح دسترسی (ACL) بمنظور جلوگیری از دسترسی های غیر مجاز

** استفاده از نام کاربری و پسورد به منظور دسترسی به منابع سازمان

** رمز نگاری اطلاعات با استفاده از الگوریتم های قوی

Integrity یا یکپارچگی به منظور حفظ اطلاعات از گزند تغییر و یا آلوده شدن؛ به تعبیر کلی تر در آی تی.

یکپارچگی کلیه اجزاء و هماهنگ بودن آنها به منظور انجام کار می باشد. مانند اینکه همه چی بخوبی کارکند ولی لینک های ارتباطی قطع باشد. حال به مثال هائی در این ضمینه می پردازیم:

**رمزنگاری اطلاعات به منظور انتقال

**شناسائی دو طرف به منظور ارسال و دریافت

** مدیریت و رصد کلیه سرویس ها به منظور یکپارچه بودن و نبود اختلال در سیستم ها

Availability یا در دسترس بودن بدین معنی می باشد که سیستم برای افراد مجاز می بایست در شرایط تعیین شده همیشه قابل دسترس بوده و سرویس های موجود همیشه بصورت کامل به کلیه درخواست ها پاسخ دهند.

نگهداری سیستمی بدین شکل در ظاهر بسیار ساده بنظر می رسد ولی در عمل بسیار مشکل می باشد زیرا عوامل زیادی در دسترس بودن یک سیستم را تحت الشعاع قرار می دهد:

**تجهیزات سخت افزاری

** برق و سیستم های مولد آن

**حملات بر علیه سرویس های یک سیستم

**اختلال ناشی در پیکربندی های نادرست

موارد تفکر اشتباه درباره امنیت

همانطور که در ابتدای مقاله درباره دو قسم امنیت توضیح داده شد که شامل بحث احساسی و واقعی امنیت بود، ذکر تفکرات اشتباه در این زمینه هم لازم است. بسیاری از سازمان ها براین باورند که داشتن فقط یک آنتی ویروس و یک دیواره آتش آنها را از بسیاری از خطرات امن نگه می دارد و هیچ وقت به تنظیمات و پیکربندی های آنها توجه نمی کنند زیرا این علم برای آنها وجود ندارد که پیکربندی اشتباه گاه می تواند مخرب باشد و نتیجه عکس دهد. پس صرف داشتن چنین محصولاتی تضمینی برای امنیت سیستم ما نیست. همچنین امنیت یک سیستم مفهوم می باشد نه یک محصول؛ و مکمل سیستم آی تی می باشد.

سیستم های آی تی به تنهائی مشکلی ندارند. مشکل زمانی پیش میاید که کاربران مشکل دار شروع به فعالیت های خرابکارانه می کنند. بسیاری از کاربران با دانستن ضعف یک سیستم در صورتی ناراضی بودن و یا از حس کنجکاوی شروع به انجام فعالیت هائی می کنند که سیستم مذکور قادر به انجام آن نیست و یا کاربران به منظور عدم پذیرش سیاست های سازمان شروع به استفاده از ابزارهای غیر مجاز می کنند.

با توجه به موارد فوق می توان نتیجه گرفت که در دنیای آی تی امنیت یک سیستم و مفهوم کلی به منظور تکمیل و برطرف نمودن ضعف های پیش آمده آی تی می باشد نه یک یا چند محصول.

ایمیل یکی از ابزار ضروری امروزی در برقراری ارتباط و فعالیت های اینترنتی است، به همین دلیل بسیار مورد توجه کلاهبرداران، مجرمان اینترنتی و شرکت های تبلیغاتی است. به منظور حفاظت خود در برابر فیشینگ و کلاهبرداری های اینترنتی ضروری است که مدیریت امن ایمیل ها را یاد بگیریم.

در این مقاله شما با مدیریت پیوست های ایمیل و نکاتی برای مبارزه با اسپم ها آشنا خواهید شد. علاوه بر این خواهید آموخت که چگونه از حملات فیشینگ جلوگیری کرده و آنها را شناسایی کنید.

   اسپم

اسپم یا هرزنامه به ایمیل هایی اطلاق می گردد که ناخواسته و معمولا تبلیغاتی هستند. امروزه قسمت اعظم ایمیل ها را اسپم ها تشکیل می دهند. این امر به دلیل آن است که ارسال هزاران اسپم در یک زمان کار ساده و بدون هزینه ای است، همچنین می توان بطور ناشناس این کار را انجام داد و در بسیاری از موارد از قوانین محدود کننده فرار کرد. کلاهبرداری از راه فیشینگ و برنامه های مخرب معمولا از طریق جاسازی در هرزنامه ها انجام می شود. بنابراین بسیار مهم است که قادر به مدیریت موثر هرزنامه ها در میل باکس خود باشیم.

نکاتی برای مقابله با هرزنامه (اسپم) :

• از مسدود کننده هرزنامه (اسپم بلاکر) استفاده کنید - اسپم بلاکرها در مسدود کردن اسپم ها به خوبی عمل می کنند و تا حدود بسیار زیادی از تعداد هرزنامه ها خواهند کاست. بسیاری از سرویس های ارائه دهنده ایمیل مانند یاهو و جیمیل از برنامه های اسپم بلاکر بسیار قدرتمندی استفاده می کنند که آنها را بطور رایگان در اختیار شما قرار می دهند. همچنین می توانید از برنامه های جداگانه مانند Mail Washer بر روی اوتلوک یا هر برنامه ایمیل دیگر استفاده کنید. متاسفانه با وجود اسپم بلاکرهای قدرتمند باز هم برخی اسپم ها با استفاده از ترفند های مختلف خود را به اینباکس ما می رسانند.
• به اسپم ها جواب ندهید - ممکن است وسوسه شوید تا به اسپمی جواب دهید و یا بر روی لینک های آن کلیک کنید و یا حتی برای خلاص شدن از شر آن ها بر روی لینک های لغو اشتراک درون اسپم ها کلیک کنید. کلیک بر روی لینک لغو اشتراک در ایمیل های معتبر معمولا جواب می دهد اما اسپمر ها از این راه ایمیل های فعال را شناسایی می کنند و با چندین برابر توان روی شما متمرکز خواهند شد. در واقع شما با جواب دادن به اسپم ها و یا کلیک بر روی لینک های آنها خود را فعال نشان داده و باعث ارسال چندین برابر اسپم به خود خواهید شد.
• نمایش تصاویر در ایمیل ها را خاموش کنید - برخی ایمیل ها حاوی تصاویری هستند که اسپمرها می توانند از طریق آن به شناسایی ایمیل های فعال بپردازند. زمانی که شما ایملتان را باز کنید و تصاویر لود شود، اسپمر متوجه زنده بودن ایمیل شما خواهد شد و مورد قبل تکرار خواهد شد!
• پنجره پیش نمایش ایمیل ها را خاموش کنید - برخی از سرویس های ایمیل پنجره پیش نمایشی برای مرور اولیه ایمیل های دریافتی ارائه می دهند. پیشنهاد می کنیم این امکان را خاموش کنید، زیرا با لود قسمتی از ایمیل نیز اسپمرها می توانند به شناسایی ایمیل های فعال بپردازند.
• به طور منظم به کنترل پوشه هرزنامه ها بپردازید - برخی اوقات اسپم بلاکر ها ایمیل های معتبر را نیز به اشتباه به پوشه هرزنامه ها ارسال می کنند. یه همین خاطر همیشه و در فواصل زمانی کوتاه به کنترل پوشه هرزنامه ها بپردازید تا ایمیل مهمی را به اشتباه از دست ندهید.

کلاهبرداری از طریق ایمیل

بسیاری از اسپم ها تبلیغاتی نبوده و در تلاش فروش چیزی به شما نیستند – آنها در تلاش برای دزدی اطلاعات، یا پول شما هستند. کلاهبرداری های ایمیلی فرم های مختلفی دارند. اما به طور کلی امیدها و وعده هایی به شما داده می شود که بیش از حد خوب و عالی به نظر می رسند و یا شما را از اتفاقی می ترسانند که در مقابل شما قرار دارد و برای مقابله مجبور به استفاده از وعده های آنها هستید! در کلاهبرداری های معمول شما با وعده های مختلفی مانند پیشنهادات کار در منزل، برنامه های کاهش وزن، برنامه های بخشودگی مالیاتی و برنامه های اینچنینی مواجه خواهید بود.

فیشینگ

فیشینگ نوعی از کلاهبرداری آنلاین است که فرمی از یک سایت معتبر مانند سایت بانکی شما را ساخته و درصدد ایجاد اعتماد برای گرفتن اطلاعات شماست. خرابکاران از این اطلاعات می توانند برای خالی کردن حساب شما یا دزدی هویست استفاده نمایند. ایمیل های فیشینگ معمولا با ایجاد ترس و فوریت انجام امری شما را برای اقدام به عملی آماده می کنند. برای مثال به شما اطلاع داده می شود که ورود مشکوکی به اکانت بانکی شما صورت گرفته و از شما خواسته می شود تا با کلیک بر روی لینک اقدام به تغییر رمز کنید. که لینک ارسال شده لینکی جعلی بوده و شما را به سایتی تقلبی وارد می سازد.

در زیر یک ایمیل فیشینگ آورده شده است که برخی از قسمت های آن را در ادامه توضیح خواهیم داد

   آدرس های ایمیل فریبنده - کلاهبرداران می کوشند تا سایت ها و آدرس هایی ایجاد کننده که بیشترین شباهت را با آدرس سایت اصلی داشته باشد تا بتوانند به راحتی کاربران را فریب دهند. به دقت به آدرس ایمیل فرستنده نگاه کنید. آدرس در واقع با یک N اضافه در americaN ساخته شده است. بجز این مورد باید یاد آور شویم که خرابکاران می توانند هر ایمیلی را در این فیلد وارد نمایند، حتی آدرس های کاملا معتبر را؛ پس مراقب باشید در دام این نوع کلاهبرداری قرار نگیرید. قرار گرفتن نام و آدرس معتبر ایمیل در بخش فرستننده به معنای معتبر بودن ایمیل نیست.

موضوعات نگران کننده - ایمیل های جعلی معمولا دارای موضوعاتی هستند که نامه را بسیار مهم و حاوی هشدارهای امنیتی نشان دهد، و چه کسی می تواند درمورد هشدارهای حساب بانکی اش بی تفاوت باشد !؟ در زیر چند مثال از موضوعاتی که کلاهبرداران بسیاری از آنها استفاده کرده اند آورده ایم. توجه داشته باشید که جاعلان و کلاهبرداران هر روز از ترفندهای مختلفی استفاده می کنند و ممکن است موضوعات استفاده شده آنها کاملا با این موارد تفاوت داشته باشد:

• شما یک پیغام مهم دارید.
• تنظیمات مهم بانکداری الکترونیک تغییر یافته است
• برنامه جدید حفظ حریم خصوصی (آگوست 2013)
• ورود غیرمجاز به اکانت شما
• به روز رسانی امنیتی حساب بانکی شما
• تایید ایمیل مورد نیاز است

جعل لوگو - اگر ایمیل جعلی بالا معتبر به نظر می رسد بخاطر جعل لوگوی بانک مرکزی آمریکاست، در حالی که این تصویر تنها یک کپی از لوگوی این بانک است که تاثیر زیادی در فریب کاربران دارد. بخاطر داشته باشید استفاده از هر لوگویی در ایمیل ها به راحتی قابل انجام است.

لینک های جعلی و گمراه کننده - در هنگام استفاده از لینک ها همیشه دقت داشته باشید و لینک اصلی سایت ها را خودتان وارد کنید. در تصویر ایمیل جعلی می بینید که آدرس بانک آمریکا بصورت لینک درآمده است اما با کلیک بر روی این لینک شما به صفحه ای همانند صفحه بانک آمریکا هدایت خواهید شد با این تفاوت که این سایت یک صفحه تقلبی است. هکرها این کار را از طریق ساخت صفحات همانند سایت اصلی و بالا آوردن آنها در یک آدرس که شباهت زیادی به آدرس اصلی دارد انجام می دهند و به راحتی با فریب شما از طریق این لینک ها در ایمیلتان شما را فریب داده و شما با دست های خودتان اطلاعات محرمانه بانکی تان را دودستی به آنها تقدیم می کنید! همیشه مراقب باشید، کلیک بر روی http://yahoo.com به معنی باز شدن سایت یاهو نیست! خودتان امتحان کنید.  و همیشه همیشه همیشه یادتان باشد آدرس سایت های مهم را خودتان وارد کنید و درصورتی که نمی توانید بنا به هر دلیلی این کار را انجام دهید حتما آدرس سایت را حروف به حروف کنترل کرده و موارد امنیتی را به یاد داشته باشید.

ترساندن و اورژانسی نشان دادن قضایا - در پاراگراف دوم ایمیل می بینید که شما را از عواقب بی توجهی به مسائل می ترسانند. این شگرد جالبی برای مجبور کردن شما به کاری که آنها خواسته اند است. قبل از هرکاری مستقیما به بانک مورد نظرتان مراجعه و یا تماس بگیرید و در مورد ایمیل ارسالی از آنها سوال بپرسید تا دچار دردسر نگردید.

دیگر نکات و منابع :

به لینک ها اعتباری نیست! آنها را دنبال نکنید – برای ایمیل ها بسیار ساده است تا لوگوی یک شرکت معتبر را درون ایمیل گذاشته و خود را به جای آنها جا بزند و لینکی هم به سایتی شبیه به آنها بدهد اما همیشه یادتان باشد که لینک ها را یا خودتان تایپ کنید و یا از بوکمارک های خودتان برای ورود به سایت مورد نظر استفاده کنید. هیچگاه به لینک های درون ایمیل اطمینان نکنید.

حتما کلاهبرداری ها و اسپم ها را گزارش دهید - بسیاری از سرویس های ایمیل دکمه ای با نام This is Spam یا علامت گذاری به عنوان هرزنامه دارند، که بتوانید اسپم هایی که از دست آنها فرار کرده اند را گزارش دهید. همچنین امکانی برای گزارش Scam ها یا کلاهبرداری ها وجود دارد که می توانید از آن طریق به معرفی کلاهبرداری های ایمیلی بپردازید. در کشورهای توسعه یافته دولت نیز در این امر به کمک کاربران آمده و کاربران می توانند موارد مختلف را به آنها گزارش دهند اما متاسفانه در ایران چنین چیزی وجود ندارد.

اطلاعات بیشتری بیاموزید - آموزش بهترین روش برای جلوگیری از اتفاقات ناگوار است. هر روز اخبار و اطلاعات مختلفی درباره امنیت  داده ها در مجلات مختلف مانند گویا آی تی بخوانید. خود را محدود به یک منبع نکرده و اطلاعات خود را از منابع معتبر و مختلف کسب کنید.

 برخورد با پیوست های ایمیل

پیوست های ایمیل یا اتچمنت ها، در موارد بسیاری می توانند خطرناک باشند. چرا؟ چون آنها می توانند حاوی ویروس ها و بدافزارهای مختلفی باشند. زمانی که شما بدافزاری را دانلود و باز کنید، این بدافزار می تواند بطور خودکار و بدون نیاز به دخالت شما در سیستم شما نصب و اقدام به خرابکاری کند. شما حتی شک هم نخواهید کرد که سیستم در دست بدافزارهاست! بدافزارها می توانند به فایل های شما آسیب برسانند، رمزهای عبور شما را بدزدند و حتی از شما جاسوسی کنند پس بسیار باید مراقب باشید مخصوصا در مواجهه با پیوست های ایمیل هایی که به دستتان رسیده است.

نکاتی برای برخورد امن تر با پیوست ها

• پیوست هایی که آشنا نبوده و شما منتظر آنها نبودید را باز نکنید - حتی اگر ایمیلی از طرف یکی از دوستان شما ارسال شده باشد ممکن است این ایمیل بصورت خودکار و از طریق ویروس ها ارسال شده باشد. اگر فایلی از طریق دوستی برای شما ارسال شد حتما از طریق تلفن و یا ایمیل صحت داده های ارسالی را از وی جویا شوید.
• نرم افزار های امنیتی و آنتی ویروستان را همیشه بروزرسانی کنید - ویروس ها می توانند به سرعت گسترش پیدا کنند و اگر آنتی ویروس شما بروزرسانی نشده باشد نمی تواند در مقابل ویروس های جدید به مقابله برخیزد.
• فایر وال یا دیواره آتش خود را روشن کنید - دیواره های آتش از دسترسی افراد تبهکار و بدافزار ها به کامپیوتر شما از طریق اینترنت ممانعت به عمل خواهند آورد.
• فایل های پیوست شده را قبل از دانلود اسکن کنید - بسیاری از سرویس های معتبر ایمیل امکان اسکن فایل های اتچ شده به ایمیل را به رایگان در اختیار کاربران قرار می دهند، فایل ها را همیشه قبل از دانلود اسکن کرده و پس از آن نیز با آنتی ویروس آپدیت شده خودتان کنترل کنید.

منبع : گویا ای تی