مدیریت اطلاعات و امنیت شبکه

زمان

در مورد هکر کلاه سفید

هک چیست؟

هک چیست؟
دریابید که چگونه هکرها به سیستم های کامپیوتری نفوذ می کنند: هکر شخصی است که به یک سیستم کامپیوتری نفوذ می کند. دلایل هک می تواند بسیار باشد: نصب بدافزار، سرقت یا از بین بردن داده ها، اختلال در سرویس و موارد دیگر. هک کردن را می توان به دلایل اخلاقی نیز انجام داد، مانند تلاش برای یافتن آسیب پذیری های نرم افزاری برای رفع آنها.

هک چگونه کار می کند؟
هکرها برای دسترسی غیرمجاز به رایانه‌ها، تلفن‌ها، تبلت‌ها، دستگاه‌های اینترنت اشیا، شبکه‌ها یا کل سیستم‌های محاسباتی، سیستم‌های دفاعی را نقض می‌کنند. هکرها همچنین از نقاط ضعف در امنیت شبکه برای دستیابی به دسترسی استفاده می کنند. نقاط ضعف می تواند ماهیت فنی یا اجتماعی داشته باشد.

نقاط ضعف فنی:
هکرها می‌توانند از آسیب‌پذیری‌های نرم‌افزار یا اقدامات امنیتی ضعیف برای دستیابی به دسترسی غیرمجاز یا تزریق بدافزار، برای مثال، سوء استفاده کنند.

ضعف‌های اجتماعی:
هکرها همچنین می‌توانند از مهندسی اجتماعی برای متقاعد کردن افرادی که دسترسی ممتاز به سیستم‌های هدف دارند، متقاعد کنند تا روی پیوندهای مخرب کلیک کنند، فایل‌های آلوده را باز کنند یا اطلاعات شخصی را فاش کنند، و در نتیجه به زیرساخت‌های سخت‌تر دسترسی پیدا کنند.

چه چیزی باعث می شود کسی هکر شود؟
بسیاری از هک کامپیوترهای امروزی به صورت خودکار انجام شده است - به همین دلیل است که در حال حاضر چنین تهدیدی برای امنیت اینترنت ایجاد می کند. برخی از هکرها هنوز هم متخصصان فنی بسیار آموزش دیده هستند، اما برخی دیگر مهارت بسیار کمتری دارند و می توانند به سادگی با خرید ابزار حمله، حملات موفقیت آمیزی را انجام دهند.

جمعیت شناسی هکرها:
قبلاً چنین بود که هکرها اغلب نوجوانانی بودند که سعی می کردند به سازمان های برجسته نفوذ کنند تا به بدنامی دست یابند. اما جامعه هکرهای امروزی بسیار متنوع تر است و از افرادی با انگیزه های مختلف تشکیل شده است.

انگیزه های هکرها:
برخی از انگیزه های اصلی برای هک آنلاین سود مالی، فعالیت، جاسوسی شرکتی (جاسوسی از رقبا)، حملات تحت حمایت دولت علیه دولت-ملت های مخالف یا حتی تروریسم سایبری است.

چگونه از هک محافظت کنم؟
امروزه هک اشکال بسیار زیادی به خود گرفته و انواع مختلفی از سازمان ها را هدف قرار می دهد که یک استراتژی دفاعی چند لایه برای هر شرکت و سازمان دولتی ضروری است. این استراتژی باید به افراد، فرآیندها و فناوری بپردازد.

افراد:
مطمئن شوید که کارمندان شما در مورد تکنیک‌های هک محبوب مانند فیشینگ و باج‌افزار آموزش دیده‌اند و سیاست‌هایی را برای اقداماتی که باید هنگام مواجهه با این نوع حملات انجام دهند، تدوین کنید. اطمینان حاصل کنید که کارمندان از مزایای رمزهای عبور قوی نسبت به گذرواژه‌های راحت‌تر و آسان‌تر برای حدس زدن آگاه هستند.

فرآیندها:
سیاست‌ها و پادمان‌هایی را در مورد رفتار محاسباتی ایجاد کنید - هم برای داخل و هم برای خارج از دفتر. خط‌مشی‌ها باید به دستگاه‌هایی که کارمندان مجاز به استفاده از آنها برای دسترسی به منابع شرکتی هستند، وب‌سایت‌هایی که مجاز به بازدید از آنها هستند و نوع فایل‌هایی که می‌توانند دانلود کنند اشاره کند.

فناوری:
مطمئن شوید که فناوری‌های امنیتی شما تمام نقاط دسترسی بالقوه را در زیرساخت شما پوشش می‌دهند و قادر به شناسایی و اصلاح طیف وسیعی از انواع حملات هستند. نقاط دسترسی تحت پوشش باید شامل تمام دستگاه های کاربر نهایی باشد که مجاز به تعامل با سیستم ها و داده های سازمان شما هستند.

هوشیاری مداوم:
مهم نیست که چه زمانی امنیت شرکتی نقض شود. اطمینان حاصل کنید که در صورت بروز یک حادثه امنیتی، به طور مکرر از تمام داده های شما نسخه پشتیبان تهیه می شود. در مورد جدیدترین انواع حملات و جدیدترین فناوری های امنیتی طراحی شده برای مبارزه با آنها به روز باشید. و تمام سیستم ها را وصله و به روز نگه دارید.

هک اخلاقی چیست؟
هک اخلاقی شامل استفاده قانونی از تکنیک های هک برای اهداف خیرخواهانه در برابر اهداف مخرب است. هکرهای اخلاقی از تست نفوذ و تاکتیک‌های دیگر برای یافتن آسیب‌پذیری‌های نرم‌افزار و سایر نقاط ضعف امنیتی استفاده می‌کنند تا بتوان به سرعت به آنها رسیدگی کرد.

انواع هکرها

مجرمان سایبری
مجرمان سایبری هکرهایی هستند که اغلب از ابزارهایی مانند بدافزار، فیشینگ و باج افزار برای انجام حملات برای منافع مالی یا سایر مقاصد شرور استفاده می کنند. آنها اطلاعات اعم از آدرس ایمیل و رمز عبور گرفته تا شماره امنیت اجتماعی و جزئیات کارت اعتباری را می دزدند تا آنها را برای سود بفروشند.

هکتیویست ها
Hacktivists از تکنیک های هک به عنوان ابزاری برای فعالیت اجتماعی استفاده می کنند. آن‌ها اغلب به سازمان‌هایی که با آن‌ها مخالفت می‌کنند نفوذ می‌کنند تا پیامی ارسال کنند، به‌عنوان مثال با مخدوش کردن وب‌سایت‌شان، راه‌اندازی حملات DDoS، سرقت و ارسال اطلاعات شخصی یا محرمانه، و غیره. Anonymous یکی از نمونه های یک گروه هکتیویست معروف است.

هکرهای اخلاقی
هکرهای اخلاقی از نظر قانونی مجاز به نفوذ به سیستم های رایانه ای خاص برای یافتن نقص هستند. کسب‌وکارها و سازمان‌های دولتی اغلب هکرهای اخلاقی را برای کشف آسیب‌پذیری‌های نرم‌افزار یا سایر ضعف‌های امنیتی استخدام می‌کنند تا بتوان آن‌ها را قبل از سوء استفاده توسط هکرهای مخرب برطرف کرد.

Kiddies اسکریپت
Script kiddies بخشی از موج جدیدتر هکرها هستند که برای حملات خود به سطوح بالایی از مهارت متکی نیستند. در عوض آنها اسکریپت های آماده و ابزارهای هک را خریداری و استفاده می کنند.

تست نفوذپذیری

آزمون نفوذپذیری یا آزمون نفوذ (به انگلیسی: Penetration test) روشی برای تخمین میزان امنیت یک کامپیوتر (معمولاً سرور) یا یک شبکه است که با شبیه‌سازی حملات یک حمله‌کننده (هکر) صورت می‌گیرد. در این روش تمام سیستم و نرم‌افزارها و سرویس‌های نصب شده روی آن برای یافتن مشکلات امنیتی آزمایش می‌شوند و سپس اقدام به رفع مشکلات موجود می‌شود.
فرایند تست نفوذ:
مشخص کردن دامنه (هدف، تارگت)
جمع‌آوری اطلاعات
ارزیابی آسیب‌پذیری
تست نفوذ
گزارش و ارائه راهکار
رویکرد تست نفوذ

رویکرد تست نفوذ:
تست نفوذ به روش‌های متفاوتی قابل انجام است. بیشترین تفاوت میان این روش‌ها، در میزان اطلاعات مرتبط با جزئیات پیاده‌سازی سیستم در حال تست می‌باشد که در اختیار تیم تست نفوذ قرار داده می‌شود. با توجه به این موضوع تست نفوذ را می‌توان به چهار دسته:
Covert،
Black-Box،
White–Box،
Gray-Box،
تقسیم نمود.

Black-Box
تست Black-Box (جعبه سیاه) با فرض فقدان دانش قبلی از زیرساخت‌هایی است که قرار است مورد تست قرار گیرند. متخصصان باید پیش از آنالیز و بررسی، ابتدا مکان و گستره سیستم‌ها را به‌طور دقیق مشخص کنند. تست Black-Box در واقع شبیه‌سازی کردن حمله‌ای است که توسط نفوذگری انجام می‌شود که در ابتدا با سیستم آشنایی ندارد.

White-Box
تست White-Box (جعبه سفید یا تست شفاف) اطلاعات ضروری مانند معماری شبکه، کدهای منبع، اطلاعات آدرس IP و شاید حتی دسترسی به بعضی از کلمات عبور، در اختیار تیم ارزیابی امنیتی قرار می‌گیرد. تست White-Box حمله‌ای را شبیه‌سازی می‌کند که ممکن است در اثر افشای اطلاعات محرمانه از شبکه داخلی یا حضور نفوذگر در داخل سازمان به‌وجود آید. تست White-Box دارای گستردگی وسیعی می‌باشد و محدوده آن شامل بررسی شبکه محلی تا جستجوی کامل منبع نرم‌افزارهای کاربردی به منظور کشف آسیب‌پذیری‌هایی که تا کنون از دید برنامه نویسان مخفی مانده‌است، می‌باشد.

Gray-Box
روش‌های متنوع دیگری نیز وجود دارد که در واقع مابین دو روش ذکر شده در بالا قرار می‌گیرند که معمولاً از آنها به تست‌های Gray-Box (جعبه خاکستری) تعبیر می‌شود.

Covert
این نوع تست که به تست نفوذ double-blind نیز مشهور است اشاره به زمانی دارد که تقریباً هیچ‌کس از جمله افراد متخصص امنیت شبکه در شرکت مورد هدف اطلاعی از این حملهٔ کنترل شده ندارند. در این نوع تست نفوذ بسیار اهمیت دارد که متخصصین امنیت اجراکنندهٔ تست اطلاعاتی پایه‌ای دربارهٔ موضوع داشته باشند که از مشکلات قانونی جلوگیری شود.

External
به انواع تست‌هایی اطلاق می‌شود که در خارج از محدوده سازمانی که قرار است مورد تست نفوذ قرار بگیرد، انجام می‌شود در واقع سناریویی را بررسی می‌کند که مهاجم با دسترسی داشتن به منابع مورد نیاز خود، از جمله آدرس‌های IP که از سازمان مورد نظر در اختیار دارد یا با در اختیار داشتن کد منبع نرم‌افزارهایی که در سازمان استفاده می‌شوند و در اینترنت موجود می‌باشند اقدام به پویش و کشف آسیب‌پذیری نماید.

Internal
در حوزه مکانی آن سازمان و در میان افرادی که آن سازمان فعالیت می‌کنند انجام می‌شود. سناریویی بررسی می‌شود که مهاجم به هر طریق ممکن موفق به ورود به سازمان مورد نظر شده و با جمع‌آوری داده‌های مورد نظر اقدام به حمله می‌کند. با ورود به محدوده مکانی یک سازمان مهاجم می‌تواند سناریوهای مختلفی را پیاده‌سازی نماید. برای نمونه با استفاده از شبکه بی‌سیم داخلی و بررسی داده‌های به اشتراک گذاشته شده که می‌تواند اطلاعات کارمندان باشد، حدس زدن کلمات عبور اصلی برای مهاجم ساده‌تر خواهد شد.

انواع تست نفوذ
تحلیل ریسک‌های امنیت
برنامه‌ریزی تست امنیت
طراحی و اجرای تست امنیت
تکنیک‌های جمع‌آوری اطلاعات یک برنامه کاربردی (عمدتاً وب سایتها)
تست مدیریت پیکربندی (Configuration Management)
تست منطق کاری (Business Logic)
تست مدیریت نشست (Session Management)
تست احراز هویت (Authentication)
تست کنترل دسترسی (Authorization)
تست‌های مربوط به اعتبارسنجی داده‌های ورودی (Injections, Buffer overflow)

تست نفوذ در ایران
با توجه به اهمیت دادن مسئولان و سران نظام به مسئله امنیت در ایران، امنیت در حوزه فناوری اطلاعات نیز از اهمیت ویژه‌ای برخوردار است. این مسئله سبب شده بر خلاف سایر حوزه‌های تضمین کیفیت و تست نرم‌افزار، برای این حوزه اهمیت خیلی زیادی قائل شوند. علاوه بر این، جذابیت مباحث هک و نفوذ سبب شده افراد زیادی به این موضوع علاقه پیدا کنند. به دلیل بومی نبودن تکنولوژی مربوط، دانش سطحی و نبود زیر ساخت‌های لازم، تعداد متخصصین و افراد خبره در این موضوع بسیار اندک است، اما در چند سال اخیر گروه‌های تخصصی و فنی مجرب زیادی شروع به کار کرده‌اند که آینده روشنی را برای ایران در حوزه امنیت تداعی می‌کنند.

ارزیابی امنیتی سامانه‌ها و تست نفوذ:
تست نفوذ یا آزمون نفوذپذیری (به انگلیسی: Penetration test) روشی برای تخمین میزان امنیت یک کامپیوتر (معمولاً سرور) یا یک شبکه یا یک سایت یا یک نرم‌افزار است که با شبیه‌سازی حملات یک حمله‌کننده (هکر) صورت می‌گیرد. در این روش تمام سیستم و نرم‌افزارها و سرویس‌های نصب شده روی آن برای یافتن مشکلات امنیتی آزمایش می‌شوند و سپس اقدام به رفع مشکلات موجود می‌شود. امروز بر روی سایت، نرم‌افزار، اپلیکیشن و شبکه اینترنت تست نفوذ انجام می‌گیرد. اولین اقدام برای اطمینان از امنیت یک سایت یا نرم‌افزار انجام تست نفوذ بر روی آن است.