كليــــــاتي درباره امنيت شبكه

[psychic]

پرشین هک:وقتي از امنيت شبكه صحبت می کنیم، مباحث زيادي قابل طرح و بررسی هستند، موضوعاتي كه هر كدام به تنهايي مي توانند در عین حال جالب، پرمحتوا و قابل درك باشند. اما وقتي صحبت كار عملي به ميان می آید، قضيه تا حدودي پيچيده مي شود. تركيب علم و عمل، احتياج به تجربه دارد و نهايت هدف يك علم بعد كاربردي آن است.
وقتي دوره تئوري امنيت شبكه را با موفقيت پشت سر گذاشتيد و وارد محيط كار شديد، ممكن است اين سوال برایتان مطرح شود كه " حالا بايد از كجا شروع كرد؟ اول كجا بايد ايمن شود؟ چه استراتژي را در پيش گرفت و كجا كار را تمام كرد؟ به اين ترتيب " انبوهي از اين قبيل سوالات فكر شما را مشغول مي كند و كم كم حس مي كنيد كه تجربه كافي نداريد (كه البته اين حسي طبيعي است ).
پس اگر شما نيز چنين احساسي داريد و مي خواهيد يك استراتژي علمي - كاربردي داشته باشيد، تا انتهاي اين مقاله را بخوانيد.
هميشه در امنيت شبكه موضوع لايه هاي دفاعي، موضوع داغ و مهمي است. در اين خصوص نيز نظرات مختلفي وجود دارد. عده اي فايروال را اولين لايه دفاعي مي دانند، بعضي ها هم Access List رو اولين لايه دفاعي مي دانند، اما واقعيت اين است كه هيچكدام از اين‌ها، اولين لايه دفاعي محسوب نمي شوند. به خاطر داشته باشيد كه اولين لايه دفاعي در امنيت شبكه و حتي امنيت فيزيكي وجود يك خط مشي (Policy) هست. بدون policy، ليست كنترل، فايروال و هر لايه ديگر، بدون معني مي شود و اگر بدون policy شروع به ايمن سازي شبكه كنيد، محصول وحشتناكي از كار در مي آید.
با اين مقدمه، و با توجه به اين كه شما policy مورد نظرتان را كاملا تجزيه و تحليل كرديد و دقيقا مي دانيد كه چه مي خواهید و چه نمي خواهيد، كار را شروع مي‌شود. حال بايد پنج مرحله رو پشت سر بگذاريم تا كار تمام شود. اين پنج مرحله عبارت اند از :

1- Inspection ( بازرسي )

2- Protection ( حفاظت )

3- Detection ( رديابي )

4- Reaction ( واكنش )

5- Reflection ( بازتاب)

در طول مسير ايمن سازي شبكه از اين پنج مرحله عبور مي كنيم، ضمن آن كه اين مسير، احتياج به يك تيم امنيتي دارد و يك نفر به تنهايي نمي تواند اين پروسه را طي كند.
1- اولين جايي كه ايمن سازي را شروع مي كنيم، ايمن كردن كليه سنديت هاي (authentication) موجود است. معمولا رايج ترين روش authentication، استفاده از شناسه كاربري و كلمه رمز است.
مهمترين قسمت هايي كه بايد authentication را ايمن و محكم كرد عبارتند از :

- كنترل كلمات عبور كاربران، به ويژه در مورد مديران سيستم.

- كلمات عبور سوييچ و روتر ها ( در اين خصوص روي سوييچ تاكيد بيشتري مي شود، زيرا از آنجا كه اين ابزار (device) به صورت plug and play كار مي كند، اكثر مديرهاي شبكه از config كردن آن غافل مي شوند. در حالي توجه به اين مهم مي تواند امنيت شبكه را ارتقا دهد. لذا به مديران امنيتي توصيه ميشود كه حتما سوييچ و روتر ها رو كنترل كنند ).

- كلمات عبور مربوط به SNMP.

- كلمات عبور مربوط به پرينت سرور.

- كلمات عبور مربوط به محافظ صفحه نمايش.

در حقيقت آنچه كه شما در كلاس‌هاي امنيت شبكه در مورد Account and Password Security ياد گرفتيد اين جا به كار مي رود.

2- گام دوم نصب و به روز رساني آنتي ويروس ها روي همه كامپيوتر ها، سرورها و ميل سرورها است. ضمن اينكه آنتي ويروس هاي مربوط به كاربران بايد به صورت خودكار به روز رساني شود و آموزش هاي لازم در مورد فايل هاي ضميمه ايميل ها و راهنمايي لازم جهت اقدام صحيح در صورت مشاهده موارد مشكوك نيز بايد به كاربران داده شود.

3 - گام سوم شامل نصب آخرين وصله هاي امنيتي و به روز رساني هاي امنيتي سيستم عامل و سرويس هاي موجود است. در اين مرحله علاوه بر اقدامات ذكر شده، كليه سرورها، سوييچ ها، روتر ها و دسك تاپ ها با ابزار هاي شناسايي حفره هاي امنيتي بررسي مي شوند تا علاوه بر شناسايي و رفع حفره هاي امنيتي، سرويس هاي غير ضروري هم شناسايي و غيرفعال بشوند.

4-در اين مرحله نوبت گروه بندي كاربران و اعطاي مجوزهاي لازم به فايل ها و دايركتوري ها است. ضمن اينكه اعتبارهاي( account) قديمي هم بايد غير فعال شوند.

گروه بندي و اعطاي مجوز بر اساس يكي از سه مدل استاندارد Access Control Techniques يعني MAC , DAC يا RBAC انجام مي شود. بعد از پايان اين مرحله، يك بار ديگر امنيت سيستم عامل بايد چك شود تا چيزي فراموش نشده باشد.

5- حالا نوبت device ها است كه معمولا شامل روتر، سوييچ و فايروال مي شود. بر اساس policy موجود و توپولوژي شبكه، اين ابزار بايد config شوند. تكنولوژي هايي مثل NAT , PAT و filtering و غيره در اين مرحله مطرح مي شود و بر همين علت اين مرحله خيلي مهم است. حتي موضوع مهم IP Addressing كه از وظايف مديران شبكه هست نيز مي تواند مورد توجه قرار گيرد تا اطمينان حاصل شود كه از حداقل ممكن براي IP Assign به شبكه ها استفاده شده است.

6- قدم بعد تعيين استراژي تهيه پشتيبان(backup) است. نكته مهمي كه وجود دارد اين است كه بايد مطمئن بشويم كه سيستم backup و بازيابي به درستي كار كرده و در بهترين حالت ممكن قرار دارد.

7- امنيت فيزيكي. در اين خصوص اول از همه بايد به سراغ UPS ها رفت. بايد چك كنيم كه UPS ها قدرت لازم رو براي تامين نيروي الكتريكي لازم جهت كار كرد صحيح سخت افزار هاي اتاق سرور در زمان اضطراري را داشته باشند. نكات بعدي شامل كنترل درجه حرارت و ميزان رطوبت،ايمني در برابر سرقت و آتش سوزي است. سيستم كنترل حريق بايد به شكلي باشد كه به نيروي انساني و سيستم هاي الكترونيكي آسيب وارد نكند. به طور كل آنچه كه مربوط به امنيت فيزيكي مي شود در اين مرحله به كار مي رود.

8- امنيت وب سرور يكي از موضوعاتي است كه بايد وسواس خاصي در مورد آن داشت.به همين دليل در اين قسمت، مجددا و با دقت بيشتر وب سرور رو چك و ايمن مي كنيم. در حقيقت، امنيت وب نيز در اين مرحله لحاظ مي شود.

(توجه:هيچ گاه اسكريپت هاي سمت سرويس دهنده را فراموش نكنيد )

9 - حالا نوبت بررسي، تنظيم و آزمايش سيستم هاي Auditing و Logging هست. اين سيستم ها هم مي تواند بر پايه host و هم بر پايه network باشد. سيستم هاي رد گيري و ثبت حملات هم در اين مرحله نصب و تنظيم مي شوند. بايد مطمئن شوید كه تمام اطلاعات لازم ثبت و به خوبي محافظت مي شود. در ضمن ساعت و تاريخ سيستم ها درست باشد چرا كه در غير اين صورت كليه اقداما قبلي از بين رفته و امكان پيگيري هاي قانوني در صورت لزوم نيز ديگر وجود نخواهد داشت.

10- ايمن كردن Remote Access با پروتكل و تكنولوژي هاي ايمن و Secure گام بعدي محسوب مي شود. در اين زمينه با توجه به شرايط و امكانات، ايمن ترين پروتكل و تكنولوژي ها را بايد به خدمت گرفت.

11 - نصب فايروال هاي شخصي در سطح host ها، لايه امنيتي مضاعفي به شبكه شما ميدهد. پس اين مرحله را نبايد فراموش كرد.

12 - شرايط بازيابي در حالت هاي اضطراري را حتما چك و بهينه كنيد. اين حالت ها شامل خرابي قطعات كامپيوتري، خرابكاري كاربران، خرابي ناشي از مسايل طبيعي ( زلزله - آتش سوزي – ضربه خوردن - سرقت - سيل) و خرابكاري ناشي از نفوذ هكرها، است. استاندارد هاي warm site و hot site را در صورت امكان رعايت كنيد.

به خاطر داشته باشید كه " هميشه در دسترس بودن اطلاعات "، جز، قوانين اصلي امنيتي هست.

13- و قدم آخر اين پروسه كه در حقيقت شروع يك جريان هميشگي هست، عضو شدن در سايت ها و بولتن هاي امنيتي و در آگاهي ازآخرين اخبار امنيتي است.

 

[psychic]

مفاهیم امنیت شبکه

مفاهیم امنیت شبکه

امنیت شبکه یا Network Security پردازه ای است که طی آن یک شبکه در مقابل انواع مختلف تهدیدات داخلی و خارجی امن می شود. مراحل ذیل برای ایجاد امنیت پیشنهاد و تایید شده اند:
1- شناسایی بخشی که باید تحت محافظت قرار گیرد.
2- تصمیم گیری درباره مواردی که باید در مقابل آنها از بخش مورد نظر محافظت کرد.
3- تصمیم گیری درباره چگونگی تهدیدات
4- پیاده سازی امکاناتی که بتوانند از دارایی های شما به شیوه ای محافظت کنند که از نظر هزینه به صرفه باشد.
5- مرور مجدد و مداوم پردازه و تقویت آن درصورت یاقتن نقطه ضعف

مفاهیم امنیت شبکه
برای درک بهتر مباحث مطرح شده در این بخش ابتدا به طرح بعضی مفاهیم در امنیت شبکه می پردازیم.

1- منابع شبکه
در یک شبکه مدرن منابع بسیاری جهت محافظت وجود دارند. لیست ذیل مجموعه ای از منابع شبکه را معرفی می کند که باید در مقابل انواع حمله ها مورد حفاظت قرار گیرند.
1- تجهیزات شبکه مانند روترها، سوئیچ ها و فایروالها
2- اطلاعات عملیات شبکه مانند جداول مسیریابی و پیکربندی لیست دسترسی که بر روی روتر ذخیره شده اند.
3- منابع نامحسوس شبکه مانند عرض باند و سرعت
4- اطلاعات و منابع اطلاعاتی متصل به شبکه مانند پایگاه های داده و سرورهای اطلاعاتی
5- ترمینالهایی که برای استفاد هاز منابع مختلف به شبکه متصل می شوند.
6- اطلاعات در حال تبادل بر روی شبکه در هر لحظه از زمان
7- خصوصی نگهداشتن عملیات کاربرن و استفاده آنها از منابع شبکه جهت جلوگیری از شناسایی کاربران.
مجموعه فوق به عنوان دارایی های یک شبکه قلمداد می شود.

2- حمله
حال به تعریف حمله می پردازیم تا بدانیم که از شبکه در مقابل چه چیزی باید محافظت کنیم. حمله تلاشی خطرناک یا غیر خطرناک است تا یک منبع قابل دسترسی از طریق شبکه ، به گونه ای مورد تغییر یا استفاده قرار گیرد که مورد نظر نبوده است.برای فهم بهتر بد نیست حملات شبکه را به سه دسته عمومی تقسیم کنیم:
1- دسترسی غیرمجاز به منابع و اطلاعات از طریق شبکه
2- دستکاری غیرمجاز اطلاعات بر روی یک شبکه
3- حملاتی که منجر به اختلال در ارائه سرویس می شوند و اصطلاحا Denial of Service نام دارند.
کلمه کلیدی در دو دسته اول انجام اعمال به صورت غیرمجاز است. تعریف یک عمل مجاز یا غیرمجاز به عهده سیاست امنیتی شبکه است، اما به عبارت کلی می توان دسترسی غیرمجاز را تلاش یک کاربر جهت دیدن یا تغییر اطلاعاتی که برای وی در نظر گرفته نشده است، تعریف نمود اطلاعات روی یک شبکه نیز شامل اطلاعات موجود بر روی رایانه های متصل به شبکه مانند سرورهای پایگاه داده و وب ، اطلاعات در حال تبادل بر روی شبکه و اطلاعات مختص اجزاء شبکه جهت انجام کارها مانند جداول مسیریابی روتر است. منابع شبکه را نیز می توان تجهیزات انتهایی مانند روتر و فایروال یا مکانیزمهای اتصال و ارتباط دانست.
هدف از ایجاد امنیت شبکه ، حفاظت از شبکه در مقابل حملات فوق است، لذا می توان اهداف را نیز در سه دسته ارائه کرد:
1- ثابت کردن محرمانگی داده
2- نگهداری جامعیت داده
3- نگهداری در دسترس بودن داده

3- حلیل خطر
پس از تعیین دارایی های شبکه و عوامل تهدیدکننده آنها ، باید خطرات مختلف را ارزیابی کرد. در بهترین حالت باید بتوان از شبکه در مقابل تمامی انواع خطا محافظت کرد، اما امنیت ارزان به دست نمی آید. بنابراین باید ارزیابی مناسبی را بر روی انواع خطرات انجام داد تا مهمترین آنها را تشخیص دهیم و از طرف دیگر منابعی که باید در مقابل این خطرات محافظت شوند نیز شناسایی شوند. دو فاکتور اصلی در تحلیل خطر عبارتند از :
1- احتمال انجام حمله
2- خسارت وارده به شبکه درصورت انجام حمله موفق

4- سیاست امنیتی
پس از تحلیل خطر باید سیاست امنیتی شبکه را به گونه ای تعریف کرد که احتمال خطرات و میزان خسارت را به حداقل برساند. سیاست امنیتی باید عمومی و در حوزه دید کلی باشد و به جزئیات نپردازد. جزئیات می توانند طی مدت کوتاهی تغییر پیدا کنند اما اصول کلی امنیت یک شبکه که سیاست های آن را تشکیل می دهند ثابت باقی می مانند.در واقع سیاست امنیتی سه نقش اصلی را به عهده دارد:
1- چه و چرا باید محافظت شود.
2- چه کسی باید مسئولیت حفاظت را به عهده بگیرد.
3- زمینه ای را بوجود آورد که هرگونه تضاد احتمالی را حل و فصل کند.
سیاستهای امنیتی را می توان به طور کلی به دو دسته تقسیم کرد:
1- مجاز (Permissive) : هر آنچه بطور مشخص ممنوع نشده است ، مجاز است.
2- محدود کننده (Restrictive) : هر آنچه بطور مشخص مجاز نشده است ، ممنوع است.
معمولا ایده استفاده از سیاستهای امنیتی محدودکننده بهتر و مناسبتر است چون سیاستهای مجاز دارای مشکلات امنیتی هستند و نمی توان تمامی موارد غیرمجاز را برشمرد. المانهای دخیل در سیاست امنیتی در RFC 2196 لیست و ارائه شده اند.

5- طرح امنیت شبکه
با تعریف سیاست امنیتی به پیاده سازی آن در قالب یک طرح امنیت شبکه می رسیم. المانهای تشکیل دهنده یک طرح امنیت شبکه عبارتند از :
1- ویژگیهای امنیتی هر دستگاه مانند کلمه عبور مدیریتی و یا بکارگیری SSH
2- فایروالها
3- مجتمع کننده های VPN برای دسترسی از دور
4- تشخیص نفوذ
5- سرورهای امنیتی AAA ( Authentication، Authorization and Accounting) و سایر خدمات AAA برای شبکه
6- مکانیزمهای کنترل دسترسی و محدودکننده دسترسی برای دستگاههای مختلف شبکه

6- نواحی امنیتی
تعریف نواحی امنیتی نقش مهمی را در ایجاد یک شبکه امن ایفا می کند. در واقع یکی از بهترین شیوه های دفاع در مقابل حملات شبکه ، طراحی امنیت شبکه به صورت منطقه ای و مبتنی بر توپولوژی است و یکی از مهمترین ایده های مورد استفاده در شبکه های امن مدرن ، تعریف نواحی و تفکیک مناطق مختلف شبکه از یکدیگر است. تجهیزاتی که در هر ناحیه قرار می گیرند نیازهای متفاوتی دارند و لذا هر ناحیه حفاظت را بسته به نیازهای امنیتی تجهیزات نصب شده در آن ، تامین می کند. همچنین منطقه بندی یک شبکه باعث ایجاد ثبات بیشتر در آن شبکه نیز می شود.
نواحی امنیتی بنابر استراتژی های اصلی ذیل تعریف می شوند.
1- تجهیزات و دستگاههایی که بیشترین نیاز امنیتی را دارند (شبکه خصوصی) در امن ترین منطقه قرار می گیرند. معمولا اجازه دسترسی عمومی یا از شبکه های دیگر به این منطقه داده نمی شود. دسترسی با کمک یک فایروال و یا سایر امکانات امنیتی مانند دسترسی از دور امن (SRA) کنترل می شود. کنترل شناسایی و احراز هویت و مجاز یا غیر مجاز بودن در این منطقه به شدت انجام می شود.
2- سرورهایی که فقط باید از سوی کاربران داخلی در دسترس باشند در منطقه ای امن ، خصوصی و مجزا قرار می گیرند. کنترل دسترسی به این تجهیزات با کمک فایروال انجام می شود و دسترسی ها کاملا نظارت و ثبت می شوند.
3- سرورهایی که باید از شبکه عمومی مورد دسترسی قرار گیرند در منطقه ای جدا و بدون امکان دسترسی به مناطق امن تر شبکه قرار می گیرند. درصورت امکان بهتر است هر یک از این سرورها را در منطقه ای مجزا قرار داد تا درصورت مورد حمله قرار گرفتن یکی ، سایرین مورد تهدید قرار نگیرند. به این مناطق DMZ یا Demilitarized Zone می گویند.
4- استفاده از فایروالها به شکل لایه ای و به کارگیری فایروالهای مختلف سبب می شود تا درصورت وجود یک اشکال امنیتی در یک فایروال ، کل شبکه به مخاطره نیفتد و امکان استفاده از Backdoor نیز کم شود.

منبع: WWW.ITCERT.COM​