چگونه برای شبکه ی خود امنیت ایجاد کنیم؟

شبکه های کامپیوتری زیر ساخت لازم برای عرضه اطلاعات در یک سازمان را فراهم می نمایند. به موازات رشد و گسترش تکنولوژی اطلاعات ، مقوله امنیت در شبکه های کامپیوتری ، بطور چشمگیری مورد توجه قرار گرفته و همه روزه بر تعداد افرادی که علاقه مند به آشنائی با اصول سیستم های امنیتی در این زمینه می باشند ، افزوده می گردد.در این بخش به شما آموزش خواهیم داد که چگونه محیطی امن برای شبکه خود ایجاد نمائیم.

سیاست امنیتی

یک سیاست امنیتی، اعلامیه ای رسمی مشتمل بر مجموعه ای از قوانین است که می بایست توسط افرادی که به یک تکنولوژی سازمان و یا سرمایه های اطلاعاتی دستیابی دارند ، رعایت و به آن پایبند باشند. به منظور تحقق اهداف امنیتی ، می بایست سیاست های تدوین شده در رابطه با تمام کاربران ، مدیران شبکه و مدیران عملیاتی سازمان ، اعمال گردد. اهداف مورد نظر عموما ( با تاکید بر گزینه های اساسی زیر مشخص می گردند.)
سرویس های عرضه شده در مقابل امنیت ارائه شده ، استفاده ساده در مقابل امنیت و هزینه ایمن سازی در مقابل ریسک از دست دادن اطلاعات می باشد.
مهمترین هدف یک سیاست امنیتی ، دادن آگاهی لازم به کاربران، مدیران شبکه و مدیران عملیاتی یک سازمان در رابطه با امکانات و تجهیزات لازم ، به منظور حفظ و صیانت از تکنولوژی و سرمایه های اطلاعاتی است.سیاست امنیتی ، می بایست مکانیزم و راهکارهای مربوطه را با تاکید بر امکانات موجود تبین نماید.از دیگر اهداف یک سیاست امنیتی ، ارائه یک خط اصولی برای پیکربندی و ممیزی سیستم های کامپیوتری و شبکه ها ، به منظور تبعیت از سیاست ها است.یک سیاست امنیتی مناسب و موثر، می بایست رضایت و حمایت تمام پرسنل موجود در یک سازمان را بدنبال داشته باشد.

یک سیاست امنیتی خوب دارای ویژگی های زیر است :

امکان پیاده سازی عملی آن به کمک روش های متعددی نظیر رویه های مدیریتی، وجود داشته باشد .

امکان تقویت آن توسط ابزارهای امنیتی ویا دستورات مدیریتی در مواردی که پیشگیری واقعی از لحاظ فنی امکان پذیر نیست ، وجود داشته باشد.

محدوده مسئولیت کاربران ، مدیران شبکه و مدیران عملیاتی بصورت شفاف مشخص گردد .

پس از استقرار، قابلیت برقرای ارتباط با منابع متفاوت انسانی را دارا باشد. ( یک بار گفتن و همواره در گوش داشتن )

دارای انعطاف لازم بمنظور برخورد با تغییرات درشبکه باشد.( سیاست های تدوین شده ، نمونه ای بارز از مستندات زنده تلقی می گردنند. )

 

سیستم های عامل و برنامه های کاربردی:نسخه ها و به هنگام سازی

در صورت امکان، می بایست از آخرین نسخه سیستم های عامل و برنامه های کاربردی بر روی تمامی کامپیوترهای موجود در شبکه ( سرویس گیرنده ، سرویس دهنده ، سوئیچ، روتر، فایروال و سیستم های تشخیص مزاحمین ) استفاده شود.سیستم های عامل و برنامه های کاربردی می بایست به هنگام بوده و همواره از آخرین امکانات موجود به هنگام سازی ( patches , service pack , hotfixes) استفاده گردد.در این راستا می بایست حساسیت بیشتری نسبت به برنامه های آسیب پذیر که زمینه لازم برای متجاوزان اطلاعاتی را فراهم می نمایند ، وجود داشته باشد .
برنامه های: IIS ,OutLook , Internet Explorer , BIND و sendmail بدلیل وجود نقاط آسیب پذیر می بایست مورد توجه جدی قرار گیرند. متجاوزان اطلاعاتی، به دفعات از نقاط آسیب پذیر برنامه های فوق برای خواسته های خود استفاده کرده اند.

شناخت شبکه موجود

به منظور پیاده سازی و پشتیبانی سیستم امنیتی ، لازم است لیستی از تمام دستگاههای سخت افزاری و برنامه های نصب شده ، تهیه گردد.آگاهی از برنامه هایی که به صورت پیش فرض نصب شده اند، نیز دارای اهمیت خاص خود است برای مثال(برنامه IIS به صورت پیش فرض توسط SMS و یا سرویس دهنده SQL در شبکه های مبتنی بر ویندوز نصب می گردد). فهرست برداری از سرویس هائی که بر روی شبکه در حا ل اچراء می باشند ، زمینه را برای پیمایش و تشخیص مسائل مربوطه ، هموار خواهد کرد .

سرویس دهندگان TCP/UDP و سرویس های موجود در شبکه

تمامی سرویس دهندگان TCP/UDP در شبکه به همراه سرویس های موجود بر روی هر کامپیوتر در شبکه ، می بایست شناسائی و مستند گردند.در صورت امکان ، سرویس دهندگان و سرویس های غیر ضروری، غیر فعال گردند.برای سرویس دهندگانی که وجود آنان ضروری تشخیص داده می شود ، دستیابی به آنان محدود به کامپیوترهایی گردد که به خدمات آنان نیازمند می باشند.امکانات عملیاتی را که به ندرت از آنان استفاده و دارای آسیب پذیری بیشتری می باشند ، غیر فعال تا زمینه بهره برداری آنان توسط متجاوزان اطلاعاتی سلب گردد. توصیه می گردد ، برنامه های نمونه (Sample) تحت هیچ شرایطی بر روی سیستم های تولیدی ( سیستم هائی که محیط لازم برای تولید نرم افزار بر روی آنها ایجاد و با استفاده از آنان محصولات نرم افزاری تولید می گردند ) نصب نگردند.
 

رمزعبور

انتخاب رمزعبور ضعیف ، همواره یکی از مسائل اصلی در رابطه با هر نوع سیستم امنیتی است.کاربران ، می بایست متعهد و مجبور به تغییر رمز عبور خود به صورت ادواری گردند.تنظیم مشخصه های رمز عبور در سیستم های مبتنی بر ویندوز، به کمک Account Policy صورت می پذیرد.مدیران شبکه ، می بایست برنامه های مربوط به تشخیص رمز عبور را تهیه و آنها را اجراء تا آسیب پذیری سیستم در بوته نقد و آزمایش قرار گیرد.
برنامه های john the Ripper ، LOphtcrack و Crack ، نمونه هائی در این زمینه می باشند.به کاربرانی که رمز عبور آنان ضعیف تعریف شده است ، مراتب اعلام و در صورت تکرار اخطار داده شود (عملیات فوق ، می بایست به صورت متناوب انجام گیرد).با توجه به اینکه برنامه های تشخیص رمزعبور، زمان زیادی از پردازنده را به خود اختصاص خواهند داد ، توصیه می گردد ، رمز عبورهای کد شده ( لیست SAM بانک اطلاعاتی در ویندوز) را بر روی سیستمی دیگر که در شبکه نمی باشد ، منتقل تا زمینه بررسی رمزهای عبور ضعیف ، فراهم گردد. با انجام عملیات فوق برروی یک کامپیوتر غیر شبکه ای ، نتایج به دست آمده برای هیچ کس قابل استفاده نخواهد بود ( مگراینکه افراد بصورت فیزیکی به سیستم دستیابی پیدا نمایند).

برای تعریف رمز عبور، موارد زیر پیشنهاد می گردد :

حداقل طول رمز عبور، دوازده و یا بیشتر باشد.

دررمز عبور از حروف کوچک ، اعداد ، کاراکترهای خاص و Underline استفاده شود.

از کلمات موجود در دیکشنری استفاده نگردد.

رمز های عبور ، در فواصل زمانی مشخصی ( سی و یا نود روز) به صورت ادواری تغییر داده شوند.

کاربرانی که رمزهای عبور ساده و قابل حدسی را برای خود تعریف نموده اند ، تشخیص و به آنها تذکر داده شود.( عملیات فوق بصورت متناوب و در فواصل زمانی یک ماه انجام گردد).

عدم اجرای برنامه ها ئی که منابع آنها تایید نشده است .

در اغلب حالات ، برنامه های کامپیوتری در یک چارچوب امنیتی خاص مربوط به کاربری که آنها را فعال می نماید ، اجراء می گردند. دراین زمینه ممکن است ، هیچ گونه توجه ای به ماهیت منبع ارائه دهنده برنامه توسط کاربران انجام نگردد. وجود یک زیر ساخت PKI ) Public key infrastructure ) ، در این زمینه می تواند مفید باشد.در صورت عدم وجود زیرساخت امنیتی فوق ، می بایست مراقبت های لازم در رابطه با ترفندهای استفاده شده توسط برخی از متجاوران اطلاعاتی را انجام داد. مثل (ممکن است برخی آسیب ها در ظاهری کاملا)موجه از طریق یک پیام الکترونیکی جلوه نمایند . هرگز یک ضمیمه پیام الکترونیکی و یا برنامه ای را که از منبع ارسال کننده آن مطمئن نشده اید ، فعال و یا اجراء ننمائید.همواره از برنامه ای نظیر Outlook به منظور دریافت پیام های الکترونیکی استفاده گردد.برنامه فوق در یک ناحیه محدوده شده اجراء و می بایست امکان اجرای تمام اسکریپت ها و محتویات فعال برای ناحیه فوق ، غیر فعال گردد .

ایجاد محدودیت در برخی از ضمائم پست الکترونیکی

ضرورت توزیع و عرضه تعداد زیادی از انواع فایل های ضمیمه ، به صورت روزمره در یک سازمان وجود ندارد.به منظور پیشگیری از اجرای کدهای مخرب ، پیشنهاد می گردد این نوع فایل ها ، غیر فعال گردند. سازمان هائی که از Outlook استفاده می نمایند ، می توانند با استفاده از نسخه ۲۰۰۲ اقدام به بلاک نمودن آنها نمایند.(برای سایر نسخه های Outlook می توان از Patch امنیتی مربوطه استفاده کرد).

فایل های زیر را می توان بلاک کرد :.

bas .hta .msp .url .bat .inf .mst .vb .chm .ins .pif .vbe

cmd .isp .pl .vbs .com .js .reg .ws .cpl .jse .scr .wsc .crt

lnk .sct .wsf .exe .msi .shs .wsh

در صورت ضرورت می توان ، به لیست فوق برخی از فایل ها را اضافه و یا حذف کرد. مثلا (با توجه به وجود عناصر اجرائی در برنامه های آفیس ، می توان امکان اجرای برنامه ها را در آنان بلاک نمود.مهمترین نکته در این راستا به برنامه Access بر می گردد که برخلاف سایر اعضاء خانواده آفیس ، دارای امکانات حفاظتی ذاتی در مقابل ماکروهای آسیب رسان نمی باشد.

پایبندی به مفهوم کمترین امتیاز

اختصاص حداقل امتیاز به کاربران ، محور اساسی درپیاده سازی یک سیتم امنیتی است.رویکرد فوق بر این اصل مهم استوار است که کاربران می بایست صرفا (دارای حقوق و امتیازات لازم به منظور انجام کارهای مربوطه باشند(بذل و بخشش امتیازات در این زمینه شایسته نمی باشد!).رخنه در سیستم امنیتی از طریق کدهای مخربی که توسط کاربران اجراء می گردند ، تحقق می یابد.در صورتیکه کاربر، دارای حقوق و امتیازات بیشتری باشد ، آسیب پذیری اطلاعات در اثر اجرای کدها ی مخرب ، بیشتر خواهد شد.

موارد زیر برای اختصاص حقوق کاربران، پیشنهاد می گردد :

تعداد account مربوط به مدیران شبکه ، می بایست حداقل باشد.
مدیران شبکه ، می بایست به منظور انجام فعالیت های روزمره نظیر خواندن پیام های پست الکترونیکی ، از یک account روزمره در مقابل ورود به شبکه به عنوان administrator استفاده نمایند.
مجوزهای لازم برای منابع به درستی تنظیم و پیکربندی گردد.در این راستا می بایست حساسیت بیشتری نسبت به برخی از برنامه ها که همواره مورد استفاده متجاوزان اطلاعاتی است ، وجود داشته باشد. این نوع برنامه ها ، شرایط مناسبی برای متجاوزان اطلاعاتی را فراهم می نمایند. جدول زیر برخی از این نوع برنامه ها را نشان می دهد.

برنامه های مورد توجه متجاوزان اطلاعاتی

explorer.exe, regedit.exe, poledit.exe, taskman.exe, at.exe

cacls.exe,cmd.exe, finger.exe, ftp.exe, nbstat.exe, net.exe

net۱.exe,netsh.exe, rcp.exe, regedt۳۲.exe, regini.exe

regsvr۳۲.exe,rexec.exe, rsh.exe, runas.exe, runonce.exe

svrmgr.exe,sysedit.exe, telnet.exe, tftp.exe, tracert.exe

usrmgr.exe,wscript.exe,xcopy.exe

  

رویکرد حداقل امتیاز ، می تواند به برنامه های سرویس دهنده نیز تعمیم یابد.در این راستا می بایست حتی المقدور، سرویس ها و برنامه ها توسط یک account که حداقل امتیاز را دارد ،اجراء گردند.

ممیزی برنامه ها

اغلب برنامه های سرویس دهنده ، دارای قابلیت های ممیزی گسترده ای می باشند.ممیزی می تواند شامل دنبال نمودن حرکات مشکوک و یا برخورد با آسیب های واقعی باشد.با فعال نمودن ممیزی برای برنامه های سرویس دهنده و کنترل دستیابی به برنامه های کلیدی نظیر برنامه هائی که لیست آنها در جدول قبل ارائه گردید ، شرایط مناسبی به منظور حفاظت از اطلاعات فراهم می گردد .

چاپگر شبکه

امروزه اغلب چاپگرهای شبکه دارای قابلیت های از قبل ساخته شده برای سرویس های FTP, WEB و Telnet به عنوان بخشی از سیستم عامل مربوطه ، می باشند.منابع فوق پس از فعال شدن ، مورد استفاده قرار خواهند گرفت.امکان استفاده از چاپگرهای شبکه به صورت FTP Bound servers ، Telnet و یا سرویس های مدیریتی وب ، وجود خواهد داشت.رمز عبور پیش فرض را به یک رمز عبور پیچیده تغییر و با صراحت پورت های چاپگر را در محدوده روتر/ فایروال بلاک نموده و در صورت عدم نیاز به سرویس های فوق ، آنها را غیر فعال نمائید.

پروتکل SNMP)Simple Network Management Protocol)

پروتکل SNMP ، در مقیاس گسترده ای توسط مدیران شبکه به منظور مشاهده و مدیریت تمام کامپیوترهای موجود در شبکه (سرویس گیرنده ، سرویس دهنده، سوئیچ ، روتر، فایروال) استفاده می گردد.SNMP ، به منظور تایید اعتبار کاربران ، از روشی غیر رمز شده استفاده می نماید.متجاوزان اطلاعاتی ، می توانند از نفطه ضعف فوق در جهت اهداف سوء خود استفاده نمایند.در چنین حالتی ، آنان قادر به اخذ اطلاعات متنوعی در رابطه با عناصر موجود در شبکه بوده و حتی امکان غیر فعال نمودن یک سیستم از راه دور و یا تغییر پیکربندی سیستم ها وجود خواهد داشت.در صورتیکه یک متجاوز اطلاعاتی قادر به جمع آوری ترافیک SNMP دریک شبکه گردد ، از اطلاعات مربوط به ساختار شبکه موجود به همراه سیستم ها و دستگاههای متصل شده به آن ، نیز آگاهی خواهد یافت.سرویس دهندگان SNMP موجود بر روی هر کامپیوتری را که ضرورتی به وجود آنان نمی باشد ، غیر فعال نمائید.در صورتیکه به هر دلیلی استفاده از SNMP ضروری باشد، می بایست امکان دستیابی به صورت فقط خواندنی در نظر گرفته شود.در صورت امکان، صرفا به تعداد اندکی از کامپیوترها امتیاز استفاده از سرویس دهنده SNMP اعطاء گردد.

تست امنیت شبکه

مدیران شبکه های کامپیوترهای می بایست ، به صورت ادواری اقدام به تست امنیتی تمام کامپیوترهای موجود در شبکه (سرویس گیرندگان، سرویس دهندگان، سوئیچ ها ، روترها ، فایروال ها و سیتستم های تشخیص مزاحمین) نمایند.تست امنیت شبکه ، پس از اعمال هر گونه تغییر اساسی در پیکربندی شبکه ، نیز می بایست انجام شود.

 

 

 

 

به اشتراک بگذارید