Skip to Content

آرشیو

حملات DDoS

حملات DDoS

حملات DDoS همواره یکی از نگرانی های ارائه دهندگان سرویس های اینترنتی بوده است. به همین دلیل در این مقاله قصد داریم شما عزیزان را با این گروه از حملات سایبری آشنا کنیم. ولی پیش از شرح مفهوم حملات DDoS، لازم است توضیحاتی در مورد پدر آنها یعنی حملات DoS داده شود.

حملات DDoS

حملات DDoS

حمله DoS چیست؟

اصطلاح DoS مخفف واژه Denial-of-service است. حملات DoS به حملاتی گفته می شوند که در آنها فرد مهاجم تلاش می کند دسترسی کاربران به اطلاعات و یا سرویس های مورد نظرشان را مختل نماید. در این نوع، حمله مهاجم یا مستقیما به رایانه و شبکه قربانیان حمله می کند و یا به شبکه و سرور های ارائه دهندگان سرویس ها حمله می کند. این حملات خرابکارانه با اهداف گوناگونی ممکن است صورت گیرد. بعنوان مثال در بعضی حملات دسترسی کاربران به ایمیل های شخصی شان ناممکن می گردد، در برخی دیگر از باز شدن صفحات یک وب سایت توسط بازدیدکنندگان جلوگیری می شود و در بعضی دیگر امکان لاگین کردن به حساب های بانکی از بین می رود.

حملات DoS به طرق گوناگونی ممکن است انجام پذیرند. در رایج ترین نوع این حمله، فرد مهاجم سیل عظیمی از اطلاعات را به سمت شبکه هدف می فرستد و بصورت لحظه ای، بار زیادی را بر روی سرور یا سرور های هدف وارد می آورد. هنگامی که شما بعنوان یک کاربر معمولی آدرس سایتی را در مرورگر خود وارد می کنید و کلید اینتر را فشار می دهید، درخواستی از کامپیوتر شما به سمت سرور مربوطه، با هدف باز شدن صفحه مورد نظرتان، ارسال می شود. توجه داشته باشید که هر سروری ظرفیتی محدود دارد و در هر لحظه تنها می تواند به تعداد مشخصی از درخواست ها پاسخ دهد. مهاجمان از همین ظرفیت محدود برای انجام اعمال خرابکارانه خود استفاده می کنند و با ارسال درخواست های بسیار زیاد (بیش از ظرفیت پاسخ گویی سرور هدف)، بار سنگینی را بر روی سرور وارد کرده و باعث می شوند سرور نتواند به درخواست های کاربران پاسخ دهد. به این حالت denial-of-service گفته می شود چرا که فرد مهاجم از ارائه سرویس توسط سرور به کاربران جلوگیری کرده است. حملاتی که با این تفکر و هدف انجام می شوند در اصطلاح حملات DoS نامیده می شوند.

یکی دیگر از انواع رایج این دسته از حملات، حمله به ایمیل های افراد می باشد. در این گروه از حملات، مهاجم با ارسال حجم زیادی از هرزنامه ها به حساب ایمیل شما، دریافت ایمیل شما را دچار اشکال می کند. شما از هر سرویس ایمیلی که استفاده کنید، حجم محدودی از فضا را برای دریافت ایمیل های ورودی در اختیار خواهید داشت. مهاجمان با استفاده از این محدودیت و با ارسال تعداد زیادی ایمیل با حجم های بالا این ظرفیت محدود را مورد هدف قرار می دهند و از دریافت ایمیل توسط سرویس ایمیل مورد استفاده شما جلوگیری می کنند.

اکنون که با مفهوم حملات DoS آشنا شدیم به سراغ نوع پیشرفته تر این حملات یعنی حملات DDoS می رویم.

به چه حملاتی DdoS گفته می شود؟

اصطلاح DDoS مخفف Distributed Denial-of-service می باشد که همانطور که از ظاهر آن نیز برداشت می شود، نوع توزیع شده حملات DoS به شمار می رود. در حملات DoS مهاجم حملات خود را از طریق یک ماشین انجام می داد. این مسئله او را با محدودیت هایی مواجه می کند. یکی از این محدودیت ها شناسایی IP مهاجم توسط سرورها و بلاک کردن فرد مهاجم است. محدود بودن توان تخریبی فرد مهاجم هم یکی دیگر از این محدودیت ها بشمار می رود.

در حملات DDoS مهاجمان با استفاده از حفره های امنیتی موجود در کامپیوتر های کاربران، به سیستم های انان نفوذ کرده و بصورت نا محسوس از این سیستم ها استفاده سوء می کنند. آنها با استفاده از سیستم های فربانیان خود حجم بالایی از درخواست ها را به سمت سرور یا شبکه مورد هدف خود ارسال می کنند. در این حملات مهاجمان معمولا به چندین کامپیوتر نفوذ کرده و حملات خود را بطور همزمان از طریق آنها انجام می دهند. بهمین دلیل به این حملات توزیع شده گفته می شود. طبیعی است که حجم اطلاعات این نوع حملات و شدت آن نسبت به حملا DoS بسیار بیشتر خواهد بود.

روش های مقابله با حملات DoS و DDoS

برای مقابله با این حملات راهکار های اندکی وجود دارد که برخی از آنها را در ادامه می آوریم:

1- کنترل پیوسته ترافیک ورودی به سرور

2- افزودن فیلتر هایی به روتر ها، به منظور حذف بسته های دریافتی از منبع های مشکوک

3- استفاده از سرویس های مقابله با حملات DDoS

4- استفاده از فایروال یا دیواره آتش  به منظور محدود کردن ترافیک ورودی

اگر چه استفاده از سرویس های CDN به تنهایی جلوی وقوع این حملات را نمی گیرند، اما آستانه ظرفیت وب سایت و یا سرویس شما را در مواجهه با این حملات افزایش می دهند. با این وجود بکارگیری راهکار های گفته شده در سرویس های CDN برای مقابله با حملات DDoS همچنان یک ضرورت بحساب می آید که ارائه دهندگان سرویس های CDN باید به آن توجه ویژه داشته باشند.

ادامه مطلب

نکات کلیدی در خرید فایروال

نکات کلیدی در خرید فایروال

نکات کلیدی در خرید فایروال

نکات کلیدی در خرید فایروال

نکات کلیدی در خرید فایروال: فایروال ها نقش بسیار مهمی در شبکه ها ایفا میکنند. آنها شبکه را در برابر لیستی پایان ناپذیر از تهدیدات ایمن میکنند و دسترسی های خراب کاران را محدود میکنند. بسیاری از آنها بوسیله پروتکل های خاص ارتباطی، امکان ارتباط ایمن مراکز مختلف با یکدیگر را فراهم میکنند.

ما در این مقاله ۱۰ نکته ای که شما در هنگام خرید فایروال باید در نظر بگیرید یادآوری میکنیم:

ایمنی در سطح مناسب

بسیاری از شرکت های دنیا، اعم از خارجی و داخلی، در حال تولید دستگاه های یو تی ام و فایروال هستند. تمامی آنها ادعاهایی در مورد ویژگی های دستگاه های خود دارند. بر اساس ویژگی های دستگاه ها و قابلیت های امنیتی آنها، مدل های مختلفی عرضه میشوند که ویژگی های متفاوتی دارند.

شما میبایست مطمئن شوید که ویژگی هایی که انتخاب میکنید تمامی نیازهای شبکه شما را پوشش دهد و استانداردهای بین المللی دستگاه ها را رعایت کنند. مرجع تمامی استانداردهای بین اللملی ICSA Industry Standards for Packet Inspection میباشد. این استاندارد مخفف “استاندارهای صنعت برای بررسی پکت ها” میباشد.

قابلیت دسترسی از طریق رابط کاربری

بسیاری از دستگاه ها بر مبنای سیستم های نوشتاری دستور (Command-Line-only) طراحی شده اند که کار را برای بسیاری از متخصصین سخت میکند. مطمئن شوید که دستگاهی که تهیه میکنید از رابط کاربری استاندارد و مناسبی برخوردار است. بسیاری از دستگاه ها تلاش میکنند که دستگاهی با رابط کاربری آسان و کاربرپسند ارائه دهند. این قابلیت فواید بسیاری دارد. از جمله آنها اجتنباب از اشتباهات در حین تنظیمات و نصب است. همچنین رابط کاربری آسان باعث میشود که خطاها و مشکلات سریعتر شناسایی و رفع شوند، کاربران سیستم و مدیران راحت تر و سریعتر آموزش ببینند، و تغییرات درون شبکه سریعتر اتفاق بیفتد.

پشتیبانی از VPN

یکی از مهم ترین ویژگی های دستگاه های فایروال ایجاد بستر ارتباطی بر اساس تونل ایمن است که هکرها و کاربران نامعتمد را از شبکه دور میکند. یک فایروال خوب میتواند یک شبکه مجازی ایمن ایجاد کند و آن را به طور کامل مانیتور نماید. در صورتیکه ارتباط ایمن بین مراکز برای شما مهم است، حتما به دنبال دستگاه ای باشید که کانال های SSL و IPSec را ساپورت کنند.

قدرت پشتیبانی از پهنای باند بالا

در برخی از شبکه ها، فایروال ها تنها برای مباحث امنیتی و کنترل پورت ها استفاده میشود. برخی دیگر از ویژگی های سوئیچینگ و روتینگ دستگاه ها نیز استفاده میکنند و به عنوان Internet Gateway از آن استفاده میکنند. بدیهی است نیاز سخت افزاری در هریک از این دستگاه ها متفاوت بوده و میبایست دستگاه هایی متناسب با نیاز شبکه تهیه کرد.

ساپورت مناسب

مطمئن شوید که دستگاهی که تهیه میکنید، دارای ساپورت ۲۴ ساعت و هفت روزه هفته است. وقتی یک دستگاه جدید و گران قیمت است، این اصلا بدان معنی نیست که شما مشکلی با آن نخواهید داشت. در هنگام خرید دستگاه ها دقت نمایید که از کیفیت خدمات پس از فروشی که از فروشنده دریافت میکنید آگاه گردید.

سیستم بی سیم ایمن

در بسیاری از موارد ، سرویس های بی سیم در سازمان ارائه نمیشوند و خیلی از کارشناسان IT تمایلی به داشتن دستگاه هایی که قابلیت کنترل سیستم بی سیم را داشته باشند احتیاجی ندارند. ولی تهیه این قابلیت این امکان را به کارشناسان میدهد که در صورت نیاز به این قابلیت، مثلا در هنگامیکه سرویس اینترنت بی سیم به مهمان ها ارائه میشود، این امکان را با چند تغییر ساده در ساختار شبکه و بدون هزینه اضافی در اختیار داشته باشند.

ایمنی در Gateway

داشتن قابلیت هایی نظیر آنتی ویروس مرکزی، آنتی اسپم، Spyware، و غیره، میتواند تا حد زیادی نیاز شبکه به پراکندگی این سرویس ها در سرورهای مختلف و یا حتی خارج از شبکه را حل نماید.

فیلترینگ محتوا

در حالیکه بسیاری از کارشناسان شبکه، فیلترینگ محتوا را بوسیله ابزارهایی نظیر OpenDNS انجام میدهند، برخی تولید کنندگان فایروال و یو تی ام این قابلیت ها را در دستگاه های خود قرار داده اند. مزیت این روش این است که تمامی سرویس هایی که در شبکه شما نیاز است، از Gateway Security تا Content Filtering در یک دستگاه جمع شده اند. تنها نکته این دستگاه ها قیمت بیشتر آنها نسبت به سایر دستگاه ها خواهد بود.

مانیتورینگ پیشرفته و گزارش گیری یکپارچه

تعداد گزارشات و لاگ هایی که یک دستگاه فایروال در طی یک روز تولید میکند بسیار زیاد است. در یک روز کاری، یک دستگاه فایروال هزاران حمله نفوذ را شناسایی و بلاک میکند، ویروس ها و بدافزارها را شناسایی میکند و تعداد زیادی اتصالات موفق و ناموفق را مدیریت و ثبت میکند. اما این اطلاعات تنها زمانی مفید هستند که در یک سیستم جامع و گویای گزارش گیری ارائه شوند.

شما باید به دنبال دستگاهی باشید که گزارشات دقیق، گویا و کاربردی تولید و ارائه میدهند. یک فایروال خوب میبایست سیستم ایجاد و ارسال ایمیل در مواقع هشدار را نیز پشتیبانی کند.

قابلیت Failover

بعضی سازمان ها نیازمند قابلیت Failover هستند. این قابلیت به دستگاه ها اجازه میدهند که بصورت رزرو در کنار یکدیگر کار کرده و در صورتیکه، به هر دلیلی، یکی از آنها از مدار خارج شد، دیگری وارد مدار شده و ادامه فعالیت بدون هیچگونه خللی ادامه یابد. بسیاری از دستگاه های فایروال قابلیت Automatic Failover را پشتیبانی نمیکنند. پس اگر قصد خرید یک دستگاه را دارید و این قابلیت برای شما مهم است، حتما در بین ویژگی های آن این مطلب را جستجو کنید.

 

 

ادامه مطلب

نقش پروتکل SSL یا Secure Socket Layer در امنیت ارتباطات شبکه

نقش پروتکل SSL یا Secure Socket Layer در امنیت ارتباطات شبکه

SSL یا Secure Socket Layer راه حلی جهت برقراری ارتباطات ایمن میان یک سرویس‌دهنده و یک سرویس‌گیرنده است که توسط شرکت Netscape ارائه شده است. درواقع SSL پروتکلی است که پایین‌تر از لایه کاربرد (لایه ۴ از مدل TCP/IP) و بالاتر از لایه انتقال (لایه سوم از مدل TCP/IP) قرار می‌گیرد.

پروتکل SSL بهره‌گیری از موارد امنیتی تعبیه شده آن برای امن کردن پروتکل‌های غیر امن لایه کاربردی نظیر HTTP، LDAP، IMAP و غیره است. الگوریتم‌های رمزنگاری بر اساس پروتکل SSL بر روی داده‌های خام (plain text) که قرار است از یک کانال ارتباطی غیر امن مثل اینترنت عبور کنند، اعمال می‌شود و محرمانه ماندن داده‌ها را در طول کانال انتقال تضمین می‌کند. به‌بیان‌دیگر شرکتی که صلاحیت صدور و اعطای گواهی‌های دیجیتال SSL را دارد برای هرکدام از دو طرفی که قرار است ارتباطات میان شبکه‌ای امن داشته باشند، گواهی‌های مخصوص سرویس‌دهنده و سرویس‌گیرنده را صادر می‌کند و با مکانیسم‌های احراز هویت خاص خود، هویت هرکدام از طرفین را برای طرف مقابل تأیید می‌کند. البته غیر از این کار می‌بایست تضمین کند که اگر اطلاعات حین انتقال مورد سرقت قرار گرفت، برای رباینده قابل‌درک و استفاده نباشد که این کار را با کمک الگوریتم‌های رمزنگاری و کلیدهای رمزنگاری نامتقارن و متقارن انجام می‌دهد.

ملزومات یک ارتباط مبتنی بر پروتکل امنیتی SSL

برای داشتن ارتباطات امن مبتنی بر SSL عموماً به دو نوع گواهی دیجیتال SSL نیاز است. گواهی اول برای سرویس‌دهنده و گواهی دیگر برای سرویس‌گیرنده است. همچنین به یک مرکز صدور و اعطای گواهینامه دیجیتال یا CA نیاز است. وظیفه CA این است که هویت طرفین ارتباط، نشانی‌ها، حساب‌های بانکی و تاریخ انقضای گواهینامه را بداند و بر اساس آن‌ها هویت‌ها را تعیین نماید.

مکانیسم‌های تشکیل‌دهنده SSL

۱– تأیید هویت سرویس‌دهنده

با استفاده از این ویژگی در SSL، یک کاربر از صحت هویت یک سرویس‌دهنده مطمئن می‌شود. نرم‌افزارهای مبتنی بر SSL سمت سرویس‌گیرنده، مثلاً یک مرورگر وب نظیر Internet Explorer می‌تواند از تکنیک‌های استاندارد رمزنگاری مبتنی بر کلید عمومی و مقایسه با کلیدهای عمومی یک سرویس‌دهنده، (مثلاً یک برنامه سرویس‌دهنده وب نظیر IIS) و از هویت آنها مطلع شود و پس از اطمینان کامل، کاربر می‌تواند نسبت به وارد نمودن اطلاعات خود مانند شماره کارت‌های اعتباری و یا گذرواژه‌ها اقدام نماید.

۲- تأیید هویت سرویس‌گیرنده

برعکس حالت قبلی در اینجا سرویس‌دهنده است که می‌بایست از صحت هویت سرویس‌گیرنده اطمینان یابد. طی این مکانیسم، نرم‌افزار مبتنی بر SSL سمت سرویس‌دهنده پس از مقایسه نام سرویس‌گیرنده با نام‌های مجاز موجود در لیست سرویس‌گیرنده‌های مجاز که در داخل سرویس‌دهنده تعریف می‌شود، اجازه استفاده از سرویس‌های مجاز را به او می‌دهد.

۳- ارتباطات رمز شده

کلیه اطلاعات مبادله شده میان سرویس‌دهنده و گیرنده می‌بایست توسط نرم‌افزارهای موجود در سمت سرویس‌دهنده و سرویس‌گیرنده رمزنگاری (Encrypt) شده و در طرف مقابل رمزگشایی (Decrypt) شوند تا حداکثر محرمانگی (Confidentiality) در این‌گونه سیستم‌ها لحاظ شود.

اجزای پروتکل SSL

پروتکل SSL دارای دو زیرپروتکل تحت عناوین زیر است:

۱- SSL Rocord Protocol که نوع قالب‌بندی داده‌های ارسالی را تعیین می‌کند.

۲- SSL Handshake Protocol که بر اساس قالب تعیین‌شده در پروتکل قبلی، مقدمات ارسال داده‌ها میان سرویس‌دهنده‌ها و سرویس‌گیرنده‌های مبتنی بر SSL را تهیه می‌کند.

بخش‌بندی پروتکل SSL به دو زیرپروتکل دارای مزایایی است ازجمله:

اول: در ابتدای کار و طی مراحل اولیه ارتباط (Handshake) هویت سرویس‌دهنده برای سرویس‌گیرنده مشخص می‌گردد.

دوم: در همان ابتدای شروع مبادلات، سرویس‌دهنده و گیرنده بر سر نوع الگوریتم رمزنگاری تبادلی توافق می‌کنند.

سوم: در صورت لزوم، هویت سرویس‌گیرنده نیز برای سرویس‌دهنده احراز می‌گردد.

چهارم: در صورت استفاده از تکنیک‌های رمزنگاری مبتنی بر کلید عمومی، می‌توانند کلیدهای اشتراکی مخفی را ایجاد نمایند.

پنجم: ارتباطات بر مبنای SSL رمزنگاری می‌شود.

الگوریتم‌های رمزنگاری پشتیبانی شده در SSL

در استاندارد SSL، از اغلب الگوریتم‌های عمومی رمزنگاری و مبادلات کلید (Key Exchcenge Algorithm) نظیر RSA، RC4، RC2،MD5، KEA، DSA، DES و RSA Key Exchauge، SHA1، Skipjack و DES3 پشتیبانی می‌شود. بسته به این که نرم‌افزارهای سمت سرویس‌دهنده و سرویس‌گیرنده نیز از موارد مذکور پشتیبانی نمایند، ارتباطات SSL می‌تواند بر اساس هرکدام از این الگوریتم‌ها صورت پذیرد. البته بسته به طول کلید مورد استفاده در الگوریتم و قدرت ذاتی الگوریتم، می‌توان آن‌ها را در رده‌های مختلفی قرار داد که توصیه می‌شود با توجه به سناریوهای موردنظر، از الگوریتم‌های قوی‌تر نظیر DES۳ با طول کلید ۱۶۸ بیت برای رمزنگاری داده‌ها و همچنین الگوریتم SHA-1 برای مکانیسم‌های تأیید پیغام MD5 استفاده شود و یا این که اگر امنیت در این حد مورد نیاز نبود، می‌توان در مواردی خاص از الگوریتم رمزنگاری RC4 با طول کلید ۴۰ بیت و الگوریتم تأیید پیغام MD5 استفاده نمود.

نحوه عملکرد داخلی پروتکل SSL

همان‌طور که می‌دانید SSL می‌تواند از ترکیب رمزنگاری متقارن و نامتقارن استفاده کند. رمزنگاری کلید متقارن سریع‌تر از رمزنگاری کلید عمومی است و از طرف دیگر رمزنگاری کلید عمومی تکنیک‌های احراز هویت قوی‌تری را ارائه می‌کند. یک جلسه (SSL (Session با یک تبادل پیغام ساده تحت عنوان SSL Handshake شروع می‌شود. این پیغام اولیه به سرویس‌دهنده این امکان را می‌دهد تا خودش را به سرویس‌دهنده دارای کلید عمومی معرفی نماید و سپس به سرویس‌گیرنده و سرویس‌دهنده این اجازه را می‌دهد که یک کلید متقارن را ایجاد نمایند که برای رمزنگاری‌ها و رمزگشایی سریع‌تر در جریان ادامه مبادلات مورد استفاده قرار می‌گیرد. گام‌هایی که قبل از برگزاری این جلسه انجام می‌شوند بر اساس الگوریتم RSA Key Exchangeعبارت‌اند از:

۱- سرویس‌گیرنده، نسخه SSL مورد استفاده خود، تنظیمات اولیه درباره نحوه رمزگذاری و یک داده تصادفی را برای شروع درخواست یک ارتباط امن مبتنی بر SSL به سمت سرویس‌دهنده ارسال می‌کند.

۲- سرویس‌دهنده نیز در پاسخ نسخه SSL مورد استفاده خود، تنظیمات رمزگذاری و داده تصادفی تولیدشده توسط خود را به سرویس‌گیرنده می‌فرستد و همچنین سرویس‌دهنده گواهینامه خود را نیز برای سرویس‌گیرنده ارسال می‌کند و اگر سرویس‌گیرنده از سرویس‌دهنده، درخواستی داشت که نیازمند احراز هویت سرویس‌گیرنده بود، آن را نیز از سرویس‌گیرنده درخواست می‌کند.

۳- سپس سرویس‌گیرنده با استفاده از اطلاعاتی که از سرویس‌دهنده مجاز در خود دارد، داده‌ها را بررسی می‌کند و اگر سرویس‌دهنده مذکور تأیید هویت شد، وارد مرحله بعدی می‌شود و در غیر این صورت با پیغام هشداری به کاربر، ادامه عملیات قطع می‌گردد.

نقش پروتکل SSL یا Secure Socket Layer در امنیت ارتباطات شبکه

نقش پروتکل SSL یا Secure Socket Layer در امنیت ارتباطات شبکه

شکل 1 : SSL

۴- سرویس‌گیرنده یک مقدار به نام Secret Premaster را برای شروع جلسه ایجاد می‌کند و آن را با استفاده از کلید عمومی (که اطلاعات آن معمولاً در سرویس‌دهنده موجود است) رمزنگاری می‌کند و این مقدار رمز شده را به سرویس‌دهنده ارسال می‌کند.

۵- اگر سرویس‌دهنده به گواهینامه سرویس‌گیرنده نیاز داشت می‌بایست در این گام برای سرویس‌دهنده ارسال شود و اگر سرویس‌گیرنده نتواند هویت خود را به سرویس‌دهنده اثبات کند، ارتباط در همین‌جا قطع می‌شود.

۶- به‌محض این که هویت سرویس‌گیرنده برای سرویس‌دهنده احراز شد، سرویس‌دهنده با استفاده از کلید اختصاصی خودش مقدار Premaster Secret را رمزگشایی می‌کند و سپس اقدام به تهیه مقداری به نام Master Secret می‌نماید.

۷- هم سرویس‌دهنده و هم سرویس‌گیرنده با استفاده از مقدار Master Secret کلید جلسه (Session Key) را تولید می‌کنند که درواقع کلید متقارن مورد استفاده در عمل رمزنگاری و رمزگشایی داده‌ها حین انتقال اطلاعات است و در این مرحله به‌نوعی جامعیت داده‌ها بررسی می‌شود.

۸- سرویس‌گیرنده پیغامی را به سرویس‌دهنده می‌فرستد تا به او اطلاع دهد، داده بعدی که توسط سرویس‌گیرنده ارسال می‌شود به‌وسیله کلید جلسه رمزنگاری خواهد شد و در ادامه، پیغام رمز شده نیز ارسال می‌شود تا سرویس‌دهنده از پایان یافتن Handshake سمت سرویس‌گیرنده مطلع شود.

۹- سرویس‌دهنده پیغامی را به سرویس‌گیرنده ارسال می‌کند تا او را از پایان Handshake سمت سرویس‌دهنده آگاه نماید و همچنین این که داده بعدی که ارسال خواهد شد توسط کلید جلسه رمز می‌شود.

۱۰- در این مرحلهSSL Handshake  تمام می‌شود و از این به بعد جلسه SSL شروع می‌شود و هر دو عضو سرویس‌دهنده و گیرنده شروع به رمزنگاری و رمزگشایی و ارسال داده‌ها می‌کنند.

ادامه مطلب

اصول مهم امنیت اطلاعات

اصول مهم امنیت اطلاعات

اصول مهم امنیت اطلاعات

اصول مهم امنیت اطلاعات

تفکر امنیت در شبکه برای دستیابی به سه عامل مهم است که با یک دیگر مثلث امنیتی را تشکیل می دهند. این عوامل عبارتند از راز داری و امانت داری (Confidentiality) ، یکپارچگی (Integrity) و در نهایت در دسترس بودن همیشگی (Availability) این سه عامل (CIA) اصول اساسی امنیت اطلاعات – در شبکه و یا بیرون آن – را تشکیل می دهند بگونه ای که تمامی تمهیدات لازمی که برای امنیت شبکه اتخاذ میشود و یا تجهیزاتی که ساخته می شوند، همگی ناشی از نیاز به اعمال این سه پارامتر در محیط های نگهداری و تبادل اطلاعات است.

Confidentiality :  به معنای آن است که اطلاعات فقط در دسترس کسانی قرار گیرد که به آن نیاز دارند و اینگونه تعریف شده است. بعنوان مثال از دست دادن این خصیصه امنیتی معادل است با بیرون رفتن قسمتی از پرونده محرمانه یک شرکت و امکان دسترسی به آن توسط مطبوعات.

Integrity : بیشتر مفهومی است که به علوم سیستمی باز می گردد و بطور خلاصه می توان آنرا اینگونه تعریف کرد :

– تغییرات در اطلاعات فقط باید توسط افراد یا پروسه های مشخص و مجاز انجام گیرد.

– تغییرات بدون اجاز و بدون دلیل حتی توسط افراد یا پروسه های مجاز نباید صورت بگیرد.

– یکپارچگی اطلاعات باید در درون و بیرون سیستم حفظ شود. به این معنی که یک داده مشخص چه در درون سیستم و چه در خارج آن باید یکسان باشد و اگر تغییر می کند باید همزمان درون و برون سیستم از آن آگاه شوند.

Availability : این پارامتر ضمانت می کند که یک سیستم – مثلا” اطلاعاتی – همواره باید در دسترس باشد و بتواند کار خود را انجام دهد. بنابراین حتی اگر همه موارد ایمنی مد نظر باشد اما عواملی باعث خوابیدن سیستم شوند – مانند قطع برق – از نظر یک سیستم امنیتی این سیستم ایمن نیست.

اما جدای از مسائل بالا مفاهیم و پارامترهای دیگری نیز هستند که با وجود آنکه از همین اصول گرفته می شوند برای خود شخصیت جداگانه ای پیدا کرده اند. در این میان می توان به مفاهیمی نظیر Identification به معنی تقاضای شناسایی به هنگام دسترسی کاربر به سیستم، Authentication به معنی مشخص کردن هویت کاربر، Authorization به معنی مشخص کردن میزان دسترسی کاربر به منابع، Accountability به معنی قابلیت حسابرسی از عملکرد سیستم و … اشاره کرد.

 

ادامه مطلب

مقدمه ای بر امنیت فناوری اطلاعات در عصر ديجيتال

مقدمه ای بر امنیت فناوری اطلاعات در عصر ديجيتال

مقدمه ای بر امنیت فناوری اطلاعات در عصر ديجيتال

مقدمه ای بر امنیت فناوری اطلاعات در عصر ديجيتال

مقدمه ای بر امنیت فناوری اطلاعات در عصر ديجيتال: ظهور فناوري ديجيتال يكي از بارزترين پیشرفتهای فناوری در نيم قرن اخير به شمار ميايد كـه در زنـدگي كنـوني بـشر براي بسياري از ما ايـن بصورت عاملي حياتي درآمده است. نوع فناوري در قالب رايانه هاي ديجيتالي تجلـي كـرده و بـه ابزاري لازم براي انجام كارها و رفع نيازهاي شخصي تبـديل شده اسـت. در سـال ۱۹۵۱ مـيلادي زمانيكـه اولـين رايانـة ديجيتال تجاري موسوم به UNIVAC I بـه سـازمان آمـار و سرشماري ايالات متحده آمريكا تحويل داده شد، بسياري از مردم در مورد رايانه ها چيزي نميدانستند و آن رايانـه هـا نيـز تنها در تعداد انگشت شماري از دانشگاهها و آزمايـشگاههاي تحقيقاتي مورد استفاده قرار داشتند. اين رايانه ها بزرگ، گران و مملو از اشكال بودند. در مقابل، رايانه هاي امروزي اندازهاي نسبتاً كوچك دارند، ارزان و قابل اطمينان هستند و میتوان آنها را در هر كشوري يافت.

به فاصله کوتاهی پـس از رواج رايانه ها در دانـشگاهها، پروژههاي تحقيقاتي براي مرتبط ساختن آنها بـا يكـديگر بـه نحوي كه امكان مبادلة اطلاعات ميان آنها بوجـود آيـد آغـاز شــدند. از ميــان ايــن پــروژه هــا، پروژه توسعه شبکه ARPANET موفقيت بيشتري كسب كرد و بـه آن چيزي تبديل شد كه امروز آنرا بعنوان “اينترنت” ميشناسيم و درحال حاضر بيش از ۳۰۰ ميليون رايانه را در سراسر جهان بـه هـم مرتبط كرده است.

شبكة جهاني وب در مركز تحقيقات هسته اي اروپا در اوايل دهة ۹۰ ميلادي و در شهر ژنو ايجاد شد سرويس قدرتمندي است كه از اينترنت براي ايجاد يـك سيـستم اطلاعـاتي جهـاني بهـره جـسته و بهره وري و جذابيت اينترنت را به مراتب افـزايش داده اسـت . هر چند بسياري از مردم تفـاوتي ميـان شـبكة جهـاني وب و اينترنت قائل نيـستند، ولـي در واقـع وب تنهـا يكـي از ايـن خدمات (و البته مهمترين آنها) است كه اينترنت را به چنين ابزار ٧ قدرتمندي براي اطـلاعرسـاني و برقـراري ارتباطـات تبـديل كرده است. طي ده سال اخير اينترنت به يك ابـزار مهـم ارتبـاطي ميـان تمامي اقشار جامعه تبديل شده و ما براي دسترسـي آنـي بـه اطلاعات، ارتباطـات اختـصاصي، تمـامي انـواع برنامـه هـاي كاربردي، تجاري، روابط كاري و نقل و انتقالات مالي بـه آن وابستهايم. قابليت اطمينان و دسترسي آسان به اينترنت براي موفقيت پايدار و مداوم كـشورهاي توسـعه يافتـه يـك عامـل حياتي بشمار ميرود و اهميت آن بـراي كـشورهـاي درحـال توسعه نيز بسرعت رو به افزايش است. آثار استفاده از رايانه ها و نتايج حاصله از انقلاب اينترنت از مرز فوايـد مـستقيم آنهـا فراتر رفته و پيشبيني ميشود كه تأثيرات بيشتري نيز در راه باشند. اول از همه اينكه اينترنت مرزهاي جغرافيايي ميـان كـاربران متصل به خود را كمرنگ كرده و روند جهانيسازي را با ارائـه قابليتهاي رسانههاي ارتباطي تسهيل نموده و لـذا هـر كـسي مستقل از محل فيزيكي خود قادر به برقـراري ارتبـاط بـا آن بـر رونـد ايـن تغييـر تـأثيري ٨ ميباشد. موتورهـاي جـستجو مضاعف داشته اند؛ چراكه نتايج جستجو بر اساس موضـوعات ظاهر ميشوند و نه بر اساس فاصلهاي كه كاربر با آنهـا دارد؛ بطوريكــه پايگــاه وبِ كارخانجــات و شــركتهاي واقــع در كشورهاي توسعهيافته و درحال توسـعه از موقعيـت يكـساني براي نظارهشدن توسط مراجعين برخوردار هستند. دومين مسئله اين است كه اينترنت تأثيري شگرف در فرآينـد حذف واسطههاي تجاري داشته است. بعنوان مثال مـيتـوان بـه كـاهش چـشمگير نـرخ اسـتخدام منـشي در كـشورهاي توسعهيافته اشاره كرد كه دليل آن اين است كه نوشتن متن و چاپ و ارسال پيام شخصي براي افـراد از طريـق تـسهيلاتي چون پردازشگر كلمات و پست الكترونيكـي آسـانتر از ديكتـه كـردن مـتن بـراي يـك منـشي اسـت. بـه همـين ترتيـب گردشگريِ دسته جمعي نيز درحال حاضر رو به انقراض است، چراكه گردشـگران مـيتواننـد بليطهـاي هـوايي يـا قطـار و رزرو ٩ همچنين اتاقهاي هتل مورد نظر خود را بصورت بـرخط كنند و اين امر موجب صرفهجويي در هزينه و وقت مـشتري شده و باعث شده بتوان با كمي دقت روي سفارشات، از يـك سفر مفرح لـذت بـرد. پيـدايش شـركتهاي فروشـندة كتـاب، موسيقي و محـصولات الكترونيكـي بـصورت بـرخط موجـب تهديــد و ضــربه بــه فروشــگاههاي عرضــهكننــدة اينگونــه محصولات شده، اما در عين حال در بسياري از بخشهاي اين صنف به گستردهتر شدن طيف بازار هدف نيز انجاميده است. از آنجا كه حرفـههـا و صـنايع سـنتي بـه وجـود خـود ادامـه ميدهند، تمايل دارند افراد كمتـري بـه اسـتخدام درآورنـد و حتي ممكن است بجـاي ارائـه خـدمات عمـومي بـه سـمت بازارهاي تخصصي حركت كنند. تأثيرات مشهود رونـد حـذف واسطهها كه با ظهور اين فنـاوري شـروع شـد بـراي مـدتي طولاني ادامه خواهد يافـت و بـا اهميـت روزافـزون فنـاوري اطلاعات، صنايع و حرفههاي بيشتري با آن جايگزين خواهند شد. سومين پيامد اين است كه نرخ بهـرهوري حـداقل در صـنايع وابسته به فناوري اطلاعات با شتابي چشمگير افزايش خواهد يافت. به كمـك پـست الكترونيكـي امكـان ارسـال و تبـادل اطلاعات در سراسر جهان طي تنها چند ثانيـه ممكـن شـده، بطوريكه مباحث و مذاكرات جهاني را ميتوان بسيار سـريعتر از گذشته پيگيري كرد و به نتيجه رساند. امور بازرگاني كه تـا چندي قبل از طريق پست، تلكس و تلفـن انجـام مـي شـدند اكنون با بكارگيري مفاهيمي نوين در صنعت مخابرات سـيار، سريعتر و كارآمدتر به انجام مـيرسـند و ايـن مـسئله چرخـة زماني انجام فعاليتها را كاهش داده است. نكتة آخر اينكه ايمن نگاه داشـتن محـل ذخيـرة اطلاعـات و خطوط ارتباطي مخابراتي نيـز در ايـن محـيط جديـد الزامـي است. صنعت و فناوري امروز به شدت در تكاپوي يافتن راهي بـراي تـضمين امنيـت زيرسـاختهاي خـود هـستند، چراكـه دستاندركاران آن دريافته اند كه بيشتر نقايص امنيتي اينترنت ناشي از وجـود سـخت افزارهـا و نـرم افزارهـاي نـاامن در آن ميباشند. در اين محيط ايجاد اطمينـان و اعتمـاد بـه رايانـه ، شبكه و دادههاي ذخيره شده نـسبت بـه محيطـي كـه در آن روابط كاري بر اساس گفتگوهـاي رو در رو انجـام مـيگيـرد كمابيش از اهميت يكساني برخوردار است. اين مطلب در مورد كشورهاي درحال توسعه نيز واضح اسـت: سازمانهايي كه به سـطح امنيتـي مناسـبي در زيـر سـاختهاي ديجيتالي خود دست نيافته و از ارسال اطلاعـات خـويش بـه نحو مطلوبي محافظت نميكنند شايستة اعتماد نخواهند بـود و از كاروان اقتصاد نوين جهاني عقب خواهند ماند.

 

 

 

ادامه مطلب

حملات Back door

حملات Back door

حملات Back door

حملات Back door

حملات Back door: حملات Back door برنامه ای است که امکان دستيابی به يک سيستم را بدون بررسی و کنترل امنيتی ، فراهم می نمايد . برنامه نويسان معمولا” چنين پتانسيل هائی  را در برنامه ها پيش بينی تا امکان اشکال زدائی و ويرايش کدهای نوشته شده در زمان تست بکارگيری نرم افزار ، فراهم گردد. با توجه به اين که تعداد زيادی از امکانات فوق ، مستند نمی گردند ، پس از اتمام مرحله تست به همان وضعيت باقی مانده و تهديدات امنيتی متعددی را به دنبال خواهند داشت .
برخی از متداولترين نرم افزارها ئی که از آنان به عنوان back door استفاده می گردد ، عبارتند از :

  • Back Orifice : برنامه فوق يک ابزار مديريت از راه دور می باشد که به مديران سيستم امکان کنترل يک کامپيوتر را از راه دور ( مثلا” از  طريق اينترنت ) ، خواهد داد. نرم افزار فوق ، ابزاری  خطرناک است که  توسط گروهی با نام Cult of the Dead Cow Communications ، ايجاد شده است . اين نرم افزار دارای دو بخش مجزا می باشد : يک بخش سرويس گيرنده و يک بخش سرويس دهنده . بخش سرويس گيرنده بر روی يک ماشين اجراء و زمينه مانيتور نمودن و کنترل يک ماشين ديگر که بر روی آن بخش سرويس دهنده اجراء شده است را فراهم می نمايد .
  • NetBus : اين برنامه نيز نظير Back Orifice ، امکان دستيابی و کنترل از راه دور يک ماشين از طريق اينترنت را فراهم می نمايد.. برنامه فوق تحت سيستم عامل ويندوز ( نسخه های متفاوت از NT تا 95 و 98 ) ، اجراء و از دو بخش جداگانه تشکيل شده است :  بخش  سرويس دهنده ( بخشی که بر روی کامپيوتر قربانی مستقر خواهد شد ) و  بخش سرويس گيرنده ( برنامه ای که مسوليت يافتن و کنترل سرويس دهنده را برعهده دارد ) . برنامه فوق ، به حريم خصوصی کاربران در زمان اتصال به اينترنت ، تجاوز و تهديدات امنيتی متعددی را به دنبال خواهد داشت .
  • Sub7) SubSeven) ،  اين برنامه برنامه نيز تحت ويندوز اجراء شده  و دارای عملکردی مشابه Back Orifice و NetBus می باشد . پس از فعال شدن برنامه فوق بر روی سيستم هدف و اتصال به اينترنت ،هر شخصی که دارای نرم افزار سرويس گيرنده باشد ، قادر به دستيابی نامحدود به سيستم خواهد بود .

نرم افزارهای Back Orifice ، NetBus,  Sub7 دارای دو بخش ضروری سرويس دهنده و سرويس گيرنده، می باشند . سرويس دهنده بر روی ماشين آلوده مستقر شده و از بخش سرويس گيرنده به منظور کنترل از راه دور سرويس دهنده ، استفاده می گردد.به نرم افزارهای فوق ، ” سرويس دهندگان غيرقانونی ”  گفته می شود .

برخی از نرم افزارها از اعتبار بالائی برخوردار بوده ولی ممکن است توسط کاربرانی که اهداف مخربی دارند ، مورد استفاده قرار گيرند :

  • Virtual Network Computing)VNC) : نرم افزار فوق توسط آزمايشگاه AT&T و با هدف کنترل از راه دور يک سيستم ، ارائه شده است . با استفاده از برنامه فوق ، امکان مشاهده محيط Desktop از هر مکانی نظير اينترنت ، فراهم می گردد . يکی از ويژگی های جالب اين نرم افزار ، حمايت گسترده از معماری های متفاوت است .
  • PCAnywhere : نرم افزار فوق توسط شرکت Symantec ، با هدف کنترل از راه دور يک سيستم با لحاظ نمودن فن آوری رمزنگاری و تائيد اعتبار ، ارائه شده است . با توجه به سهولت استفاده از نرم افزار فوق ، شرکت ها و موسسات فراوانی در حال حاضر از آن و به منظور دستيابی به يک سيستم از راه دور استفاده می نمايند .
  • Terminal Services : نرم افزار فوق توسط شرکت مايکروسافت و به همراه سيستم عامل ويندوز و به منظور کنترل از راه دور يک سيستم ، ارائه شده است .

همانند ساير نرم افزارهای کاربردی ، نرم افزارهای فوق را می توان هم در جهت اهداف مثبت و هم در جهت اهداف مخرب بکارگرفت.
بهترين روش به منظور پيشگيری از حملات  Back doors ، آموزش کاربران و مانيتورينگ عملکرد هر يک از نرم افزارهای موجود می باشد. به کاربران می بايست آموزش داده شود که صرفا” از منابع و سايت های مطمئن اقدام به دريافت و نصب نرم افزار بر روی سيستم خود نمايند . نصب و استفاده از برنامه های آنتی ويروس می تواند کمک قابل توجهی در بلاک نمودن عملکرد اينچنين نرم افزارهائی ( نظير : Back Orifice, NetBus, and Sub7 ) را به دنبال داشته باشد . برنامه های آنتی ويروس می بايست به صورت مستمر بهنگام شده تا امکان شناسائی نرم افزارهای جديد ، فراهم گردد .

 

 

 

ادامه مطلب

حمله Man in The Middle یا مرد میانی چیست؟

حمله Man in The Middle یا مرد میانی چیست؟

حمله Man in The Middle یا مرد میانی چیست؟ حمله Man in The Middle (به اختصار MITM) یا مرد میانی به نوعی از حملات گفته می شود که در آن شخص سوم اقدام به استراق سمع و تجسس اطلاعات در حال مبادله بین دو سیستم می کند. در این مطلب شما را با مفهوم حملات MITM آشنا می کنیم و همچنین در صورتی که علاقه مند به مطالعه بیشتر در این زمینه باشید ، می توانید کتاب PDF معرفی شده در ادامه را دانلود کنید.

حمله Man in The Middle یا مرد میانی چیست؟

حمله Man in The Middle یا مرد میانی چیست؟

توسط حملات middle-the-in-Man که به اختصار MITM و به فارسی حمله مردی در میان خوانده می شود امکان استراق سمع و تجسس بر اطلاعات رد و بدل شده بین دو سیستم میسر می گردد. برای نمونه هنگام مبادله اطلاعات از نوع HTTP ،هدف حمله، ارتباط TCP میان کاربر و سرور است. شخص مهاجم با استفاده از روشهای مختلف، ارتباط TCP اصلی را به دو ارتباط جدید تقسیم می کند. همان طور که در تصویر ۱ مشخص است، این دو ارتباط شامل ارتباط میان حمله کننده و کاربر و ارتباط میان حمله کننده و سرور می باشد. هنگامی که ارتباط TCP ردیابی شد، شخص حمله کننده به عنوان یک فیلتر که قادر به خواندن، تغییر و اضافه کردن اطلاعات است عمل می کند.

حمله Man in The Middle یا مرد میانی چیست؟

شکل ۱ .نمونه تصویری حمله شخص میانی

از آنجایی که برنامه های http و انتقال داده بر پایه ASCII طراحی شده اند، حملات MITM می تواند بسیار مؤثر باشد. توسط این حملات، امکان مشاهده یا جمع آوری اطلاعات موجود در http و همچنین اطلاعات مبادله شده براحتی میسر می شود. بنابراین وقتی بتوان یک کوکی session را که در حال خواندن اطلاعات http می باشد کنترل کرد، پس این امکان نیز وجود خواهد داشت که مثلاً عدد مربوط به مقدار پول را در برنامه تراکنش تغییر داد.

حمله Man in The Middle یا مرد میانی چیست؟

شکل ۲ .نمونه تصویری یک بسته http که توسط Proxy Paros ردیابی شده است

با استفاده از روش های مشابه، می توان اقدام به حمله MITM به ارتباطات https نمود. تنها تفاوت این حمله، در نحوه برقراری دو session SSL مستقل در دوسر ارتباط TCP می باشد. در این حالت، مرورگر اینترنت یک ارتباط SSL با فرد حمله کننده ایجاد نموده و شخص حمله کننده نیز یک ارتباط SSL دیگر با سرور برقرار می نماید. در این هنگام، معمولاً مرورگر اینترنت یک پیغام هشدار دهنده برای کاربر ارسال می کند ولی کاربر به علت عدم آگاهی از وجود تهدید، این پیغام را نادیده می گیرد. در برخی موارد امکان دارد پیغام هشدار برای کاربر ارسال نگردد. به عنوان مثال، هنگامی که تأییده سرور مورد حمله قرار گرفته باشد یا در شرایطی که شخص حمله کننده مورد تأیید یک CA معتمد قرار گرفته باشد که CN آن همان CN وب سایت اصلی باشد. حملات MITM فقط به منظور حمله به سیستم ها در شبکه استفاده نمی شوند، معمولاً از این حملات هنگام اجرای یک برنامه شبکه یا در جهت کمک به آسیب پذیر نمودن شبکه نیز استفاده می گردد.

 

 

 

 

ادامه مطلب

ایمنی شبکه بی سیم Wireless Security

ایمنی شبکه بی سیم Wireless Security

ایمنی شبکه بی سیم Wireless Security

ایمنی شبکه بی سیم Wireless Security

اهمیت سامانه های بی سیم، به دلیل صرفه جویی های فراوانی که در استفاده از منابع شبکه به همراه دارند، بر کسی پوشیده نیست. همچنین با توجه به مزایای متعدد این نوع از شبکه ها، استفاده از آنها در محیط های آموزشی، مراکز تفریحی، اقامتی و حتی اداری و سازمانی با استقبال فراوانی روبه رو بوده است. از جمله مزایای عمومی و تخصصی استفاده از شبکه های بی سیم در این اماکن میتوان به این موارد اشاره کرد:

 

  • سرعت استقرار: سیستم های بی سیم در سریعترین زمان و با ایجاد کمترین تغییر در یک مکان استقرار میابند.
  • بهره وری هزینه: هزینه های راه اندازی سیستم های بی سیم در دراز مدت بسیار کم تر از شبکه های با سیم است.
  • قابلیت توسعه پذیری: این سیستم ها به سرعت در مقیاس های وسیع قابل گسترش اند.
  • افزایش دسترسی و قابلیت جابه جایی: کاربران سیستم های بیسیم میتوانند در هر لحظه و در هر موقعیتی به سیستم متصل گردند.
  • توسعه آموزش الکترونیک در فضاهای آموزشی: با افزایش ضریب دسترسی به شبکه و اینترنت در درون دانشگاه ها و موسسات آموزشی و پژوهشی
  • امکان ارائه سرویس های متنوع: ارائه سرویس های اختصاصی به انواع گروه های سازمانی در موسسات آموزشی نظیر اساتید، کارمندان، دانشجویان، میهمان و مدعوین،…

 

چالش های شبکه های بی سیم که ما آنها را به فرصت تبدیل میکنیم

عدم رعایت برخی استاندارد ها در مورد تجهیزات شبکه های بی سیم و بی توجهی به اصول ایمنی در ایجاد این شبکه ها میتواند مخاطرات زیادی را بهمراه داشته باشد، از جمله:

۱- عدم امنیت شبکه

در این شبکه ها نفوذ پذیری شبکه توسط افراد غیر مجاز زیاد است. بسیاری از پروتکل های رایج امنیت شبکه در سیستم های بی سیم در مراکز بزرگ کارایی نداشته و به راحتی قابل نفوذ میباشند. به همین دلیل است که بسیاری از سازمان ها و شبکه ها بزرگ برای ایجاد شبکه های داخلی خود به بستر های سیمی روی می آورند. در برخی سازمان ها برای ایمن سازی شبکه های بی سیم اقدام به جداسازی فیزیکی تجهیزات شبکه های بیسیم از بستر شبکه های داخلی و با سیم مینمایند. این اقدام شاید باعث امنیت بالای شبکه داخلی و دوری از مخاطرات شبکه های بی سیم گردد، ولی هزینه های سر سام آوری را نیز به دنبال خواهد داشت !

در برخی از سازمان ها شبکه های بی سیم را به شبکه ها داخلی متصل نموده که میزان آسیب پذیری این شبکه ها را به شدت افزایش میدهد. کاربرانی که گاه بصورت میهمان به این شبکه ها متصل میگردند میتوانند شبکه را آلوده کنند، به بسیاری از منابع شبکه و اطلاعات محرمانه سازمانی دسترسی پیدا کنند و یا اطلاعات غیر مجازی را در شبکه قرار دهند.

۲- افت شدید کیفیت سرویس دهی در شبکه های بزرگ

همچنین عدم پشتیبانی از سامانه جابه جایی میتواند مرتباً باعث افت کیفیت ارائه خدمات و قطع آن گردد. در این شرایط تعداد اتصال به اکسس پوینت های خاص زیاد شده و باعث کاهش کیفیت دسترسی و گاهاً خارج شدن از گردونه سرویس دهی میگردد. بسیاری از دستگاه های رایج و غیر استاندارد مدعی داشتن این قابلیت هستند، در صورتیکه در عمل به اثبات رسیده است که بسیار ی از آنها از این سرویس پشتیبانی نمیکنند. با سرویس های استاندارد Roaming به راحتی میتوان بار اتصال را در اکسس پوینت ها تقسیم و بصورت کاملاٌ اتوماتیک مدیریت کرد. کیفیت ارائه سرویس در این نوع از شبکه ها بسیار بالا و پایدار است.

۳- مدیریت اتصال و تبادل اطلاعات کاربران در شبکه

در برخی شبکه های بیسیم، به علت عدم وجود سیستم مدیریت دسترسی کاربران، امکان تبادل اطلاعات بین بسیاری از کاربران وجود دارد. این مطلب میتواند تبدیل به یک مخاطره برای امنیت شبکه، بارگذاری اطلاعات غیر مجاز، دزدیده شدن اطلاعات شبکه،… گردد. این مساله همینطور باعث افزایش ترافیک اطلاعات روی اکسس پوینت ها گردیده و سرویس دهی آنها را با مشکل مواجه میکند. با ایجاد یک سیستم مدیریت دسترسی کاربران و Client ها به شبکه بی سیم، میتوان به شدت از این مخاطرات کاست. در این صورت کاربران داری حدود دسترسی و فعالیت خاص خود خواهند بود. شرکت مهندسین تحلیلگران آتی نگر راهکار شبکه های بی سیم خود را با این بینش ارائه میدهد که شبکه ای پایدار، سریع و ایمن را ایجاد نماید. بدینوسیله این دیدگاه در بین کاربران ایجاد میشودکه بستر های بی سیم نیز میتوانند به اندازه شبکه های با سیم، امن و پایدار گردند. از این رو این مجموعه در پی آن است که زیر ساخت های بی سیم را با بروزترین و ایمن ترین استاندارد ها ایجاد نماید.

خدمات شرکت آتی نگر در راه اندازی سیستم های بی سیم

  • امکان سنجی طرح: در طی این مرحله موقعیت مکانی پروژه بررسی و امکان سنجی طرح بر اساس ویژگی های محل انجام می پذیرد.
  • پیشنهاد بر اساس نیازهای محل: پس از انجام بررسی های اولیه و مشخص شدن ابعاد فیزیکی پروژه و همچنین اطلاع از نیاز های مدیران شبکه، بهترین پیشنهادات در زمینه تجهیزات ارائه میگردند.
  • ارائه راهکارهای امنیت شبکه: در این مرحله و با توجه به گستردگی و نیاز های شبکه داخلی، پیشنهادات ایمن سازی ارائه میگردند. این پیشنهادات میتوانند شامل تجهیزات فیزیکی و یا نرم افزاری باشند.
  • پیاده سازی و راه اندازی: در این مرحله بسترهای لازم جهت راه اندازی شبکه بی سیم آماده و در صورت لزوم، برخی تغییرات در ساختار فعلی شبکه ها صورت میگیرد.
  • تکمیل پروژه: با ایجاد قابلیت هایی نظیر سیستم های مدیریت مصرف اینترنت، سیستم های Captive Portal، سامانه های پرداخت الکترونیک،…

 

 

ادامه مطلب

مفهوم IDS

مفهوم IDS

مفهوم IDS

مفهوم IDS

IDS یك سیستم محافظتی است كه خرابكاریهای در حال وقوع روی شبكه را شناسایی می كند و با استفاده از تشخیص نفوذ كه شامل مراحل جمع آوری اطلاعات ، پویش پورتها ، به دست آوری كنترل كامپیوترها و نهایتا هک كردن می باشد ، می تواند نفوذ خرابكاریها را گزارش و كنترل كند.

روش كار به این صورت است كه با استفاده از تشخیص نفوذ كه شامل مراحل جمع آوری اطلاعات ، پویش پورتها ، به دست آوری كنترل كامپیوترها و نهایتا هك كردن می باشد ، می تواند نفوذ خرابكاری ها را گزارش و كنترل كند.
از قابلیتهای دیگر IDS ، امكان تشخیص ترافیك غیرمتعارف از بیرون به داخل شبكه و اعلام آن به مدیر شبكه و یا بستن ارتباط های مشكوك و مظنون می باشد. ابزار IDS قابلیت تشخیص حملات از طرف كاربران داخلی و كاربران خارجی را دارد.

بر خلاف نظر عمومی كه معتقدند هر نرم افزاری را می توان به جای IDS استفاده كرد، دستگاه های امنیتی زیر نمی توانند به عنوان IDS مورد استفاده قرار گیرند:
۱- سیستم هایی كه برای ثبت وقابع شبكه مورد استفاده قرار می گیرند مانند : دستگاههایی كه برای تشخیص آسیب پذیری در جهت از كار انداختن سرویس و یا حملات مورد استفاده قرار می گیرند.

۲- ابزارهای ارزیابی آسیب پذیری كه خطاها و یا ضعف در تنظیمات را گزارش می دهند.

۳-نرم افزارهای ضدویروس كه برای تشخیص انواع كرمها، ویروسها و به طوركلی نرم افزارهای خطرناك تهیه شده اند.

۴-دیواره آتش (Firewall )

۵-مكانیزمهای امنیتی مانند SSL ، VPN و Radius و … .

چرا دیواره آتش به تنهایی كافی نیست ؟

به دلایل زیر دیواره های آتش نمی توانند امنیت شبكه را به طور كامل تامین كنند :
۱. چون تمام دسترسی ها به اینترنت فقط از طریق دیواره آتش نیست.
۲.تمام تهدیدات خارج از دیواره آتش نیستند.
۳.امنیت كمتر در برابر حملاتی كه توسط نرم افزارها مختلف به اطلاعات و داده های سازمان می شود ، مانند Active ، Java Applet، Virus Programs.

تكنولوژی IDS

۱- Plain Hand Work
۲- Network Based
۳- Host Based
۴- Honey pot

(NIDS (Network Bas

گوش دادن به شبكه و جمع آوری اطلاعات ازطریق كارت شبكه ای كه در آن شبكه وجود دارد.
به تمامی ترافیك های موجود گوش داده و در تمام مدت در شبكه مقصد فعال باشد.

(HIDS (Host Base

تعداد زیادی از شركتها در زمینه تولید این نوع IDS فعالیت می كنند.
روی PC نصب می شود و از CPU و هارد سیستم استفاده می كنند.
دارای اعلان خطر در لحظه می باشد.
جمع آوری اطلاعات در لایه Application
مثال این نوع IDS ، نرم افزارهای مدیریتی می باشند كه ثبت وقایع را تولید و كنترل می كنند.

●Honey pot

سیستمی می باشد كه عملا طوری تنظیم شده است كه در معرض حمله قرار بگیرد. اگر یك پویشگری از NIDS ، HIDS و دیواره آتش با موفقیت رد شود متوجه نخواهد شد كه گرفتار یك Honey pot شده است. و خرابكاری های خود را روی آن سیستم انجام می دهد و می توان از روشهای این خرابكاریی ها برای امن كردن شبكه استفاده كرد.

محل قرارگیری IDS

محل قراگیری IDS ها كجاست ؟
بیرون دیواره آتش ؟
داخل دیواره آتش (داخل DMZ یا شبكه داخلی )؟
چه ترافیكی را می بایست كنترل كند؟
چه چیزهایی را می بایست كنترل كند؟

كارآیی یك IDS خوب وقتی مشخص می شود كه :

بتوان كنترل و مدیریت آن را به صورت ۲۴ ساعته و ۷ روز در هفته انجام داد.
توسط یك مدیر با دانش بالا مدیریت شود تا بتواند از وقایع بدست آمده كنترل های جدیدی را روی دیوار آتش پیاده سازی كند.مرتب كنترل وبا توجه به حوادث روزانه (ویروس ها و ورم ها و روش های هك جدید) به روزرسانی شود.

حملات به طور كلی به دو بخش تقسیم می شوند:

۱-غیرفعال: فكر دسترسی به سیستم های آسیب پذیر بدون دستیابی به اطلاعات
۲-فعال: دستیابی بدون اجازه به همراه تغییر در منابع و اطلاعات یك سازمان

از نظر شخص نفوذگر حملات به گروههای زیر تقسیم می شوند:

۱-داخلی: یعنی اینكه حملات از طریق كاركنان و یا شركای تجاری و یا حتی مشتریانی كه به شبكه شما متصل می باشند.
۲- خارجی: حملاتی كه از خارج سازمان و معمولا از طریق اینترنت انجام می گیرد.●شما درمعرض خطر هستید!

برای تشخیص خطرات وحملات احتمالی می بایست سیستم خود را در برابر تقاضاهایی كه سرویس های نامناسب درخواست می كنند مورد بررسی قرار دهید.این بررسی ها در تشخیص حملات واقعی به ما كمك می كند. با توجه به انواع راه هایی كه نفوذ گران برای دسترسی به سیستمها استفده می كنند نگاهی اجمالی به روشهای آسیب رسانی و نفوذ می اندازیم.

استفاده از آسیب پذیری های معروف

دراكثر موارد حمله به معنی تلاش برای استفاده از نقص یا ایجاد آن در سیستم امنیتی یك سازمان اطلاق می شود و این یكی از راههای نفوذگری در شبكه می باشد.اغلب خود سازمان ممكن است از ابزاری برای امن كردن شبكه استفاده كند كه كار حمله كننده را آسان می سازد به بیان واضح تر اینكه ابزارهای امنیتی نیز خود دارای نواقص و حفره های امنیتی می باشد كه اختیارات بیشتری را به نفوذگر می دهد. این نرم افزارها اغلب مانند شمشیر دو لبه عمل می كنند و مورد استفاده هردو گروه كاربران وحمله كنندگان قرارمی گیرد مانند نرم افزارهای كنترل صحت و یكپارچگی فایل یا نرم افزارهایی كه جهت تست آسیب پذیری شبكه مورد استفاده قرارمی گیرند.چك كردن یكپارچگی فایلها با استفاده از روش های سیستمی و با قابلیت ادغام روشهای مختلف با یكدیگر و با ابزارهایی نظیر anti-SATAN یا Courtney امكان پذیر می باشد.

ترافیك خروجی غیر معمول

یك نفوذگر با استفاده از تعداد زیادی Exploit و حتی نفوذ های ناموفق سعی در به دست آوردن كنترل كامپیوتر مقصد دارد. این عملیات نفوذگرانه، ترافیك معمول شبكه را افزایش می دهد و نشانه وقوع یك حمله درآینده می باشد. هر ابزار تست آسیب پذیری می بایست قابلیت تشخیص فعالیت های مشكوك و غیر متعارف را داشته باشد و با ارائه گزارش ، اعلام خطر لازم را به مدیر شبكه بدهد.
حد تكرار برای كمك به تشخیص فعالیتهای واقعی و مشكوك :فعالیتهای شبكه بوسیله دریافت و كنترل بعضی پارامترها قابل شناسایی است مانند User Profile یا از Session State .

زمان بین تكرار فعالیتها

 پارامتری برای تشخیص زمان سپری شده بین دو واقعه متوالی. مثلا” وقتی بخواهید با نام كاربری اشتباه وارد سیستم شوید، سه تلاش برای ورود با نام غلط بین فاصله زمانی ۲ دقیقه یك فعالیت مشكوك به نظر می رسد.
اشتباه در تایپ ویا جوابهایی كه در یك Session ایجاد می شود.

پروتكل ها وسرویس های شبكه به صورت كاملا دقیقی مستند شده اند و از ابزارهای نرم افزاری خاص استفاده می كنند. هرگونه ناهماهنگی با قالب شناخته شده( مثل اشتباه در تایپ یك دستور ) ممكن است اطلاعاتی برای شناسایی سرویسهای كه می توانند مورد حمله یك نفوذگر قراربگیرند باشد.اگر امكان Audit در سیستم فعال شده باشد ،مثل Send Mail Relaying، توالی ارتباط Log بصورت معمولی و قابل پیش بینی اتفاق می افتد.هرچند كه اگر در Log دریافت شده دستورات غیر مجاز دیده شود ممكن است نتیجه موارد اشتباه غیر عمدی ویا سعی در Spoofing باشد.( Spoofing به این معنی است كه نفوذگر آدرس خود را به آدرسی كه برای سیستم شناخته شده است تغییر داده و به این ترتیب به سیستم نفوذ می كند.)

تست تلاشهای مخرب ممكن است شامل موارد زیر باشد:
▪ شناسایی تلاشهای متعدد برای جبران خطاهای تایپی و تكرار دستورات
▪ تشخیص خطاهای مكرر برای یافتن پروتكل ها كه بدنبال یك تلاش موفق انجام می شود.
▪ تشخیص خطا و یادگیری در جهت شناسایی نرم افزارهای و یا سیستم عامل های موجود در سایت مقصد.

ناهماهنگی در جهت ارسال و دریافت اطلاعات

هرگونه ناهماهنگی ترافیكی در Packetها یا یك Session نشانه ای از یك حمله پنهانی است. بررسی آدرس مبداء و مقصد ( به صورت ورودی یا خروجی) میتواند جهت Packet را تشخیص بدهد. روند برقراری یك session با تشخیص اولین پیام ارسال شده شناسایی می شود. یك درخواست برای دریافت یك سرویس از شبكه محلی به صورت یك session ورودی است و پروسه فعال كردن یك سرویس بر پابهWeb از یك شبكه محلی یك session خروجی است.

موارد زیر می تواند به عنوان حمله محسوب شود:
▪Packet -هایی كه منشاء آنها اینترنت است بدون اینكه در خواستی از سمت شبكه محلی داشته باشد و وارد شبكه شود.
این حالت ممكن است نشان دهنده یك حمله IP Spoofing از خارج باشد. این مشكلات می توانند در روترهایی كه قابلیت مقایسه آدرس مبداء و مقصد را دارند بر طرف شوند .در عمل تعداد اندكی از Router ها در شبكه می توانند به عنوان فایروال عمل كنند.

▪ بر عكس حالت قبلPacket هایی كه به صورت خروجی در یك شبكه محلی ایجاد می شوند و به یك شبكه خارجی فرستاده می شوند.

▪ Packet ها با پورت های مبداء و مقصد غیر مشخص. اگر منبع پورت در مورد یك درخواست ورود یا خروج اطلاعات با نوع سرویس یكسان نباشد ممكن است به عنوان یك تلاش برای نفوذ یا پویش سیستم تلقی شود. بطور مثال در خواست Telnet از روی پورت ۱۰۰ در محیطی كه انتظار چنین پشتیبانی برای سرویس وجود ندارد.ترافیك غیر معمول بیشتر توسط فایروال شناسایی شده و Packet های مشكوك را ازبین می برد. با توجه به اینكه فایروالها همیشه با سیستم های تشخیص نفوذ ادغام نمی شوند ، بنابراین ممكن است كه سیستمهای تشخیص نفوذ راه حلی برای این مشكل باشد.

علائم نفوذ

معمولا با اجرای برنامه های خاص در سیستم انتظار مواجهه با رفتارهای خاص و مشابه وجود دارد
بعضی از موارد مانند موارد زیر :

▪مشخصات تاریخ و زمان : در بعضی محیط های خاص بطور معمول بعضی رفتارها در زمان خاصی در شبكه اتفاق می افتد. مثلا فرض كنید بطور معمول شنبه صبح یكسری اطلاعات به بخش مركزی شركت ارسال می شود كه مربوط به اطلاعات مالی است. چنین ترافیكی در شنبه صبح همیشه اتفاق می افتد و عادی است در صورتیكه چنین ترافیكی روز جمعه اتفاق بیفتد و ثبت شود ، غیر معمول است و باید به عنوان یك رفتار غیر معمول یا نفوذ به سیستم مورد بررسی دقیق قرارگیرد.

▪مشخصات منابع سیستم: بعضی نفوذ های خاص باعث خرابی بعضی پارامترهای خاص سیستم میشود مثلا یك حمله Brute Force برای شكستن حرف رمز باعث در گیر كردن CPU میشود در حالیكه یك حمله DoS همین كاررا با سرویس های سیستم انجام میدهد. استفاده سنگین از منابع سیستم ( پروسسور، حافظه، دیسك سخت ، سرویسها و اتصالات شبكه ) كه در زمانهای غیر معمول اتفاق می افتد برای شناسایی حمله بسیار مفید هستند و باید به آنها بسیار توجه كرد.

▪ Packet هایی با تایید های TCP غیر معمول : اگر در یك Packet نشانه مربوط به ACK فعال باشد و قبل از آن هیچ SYN-Packet ارسال نشده باشد، ممكن است نتیجه یك حمله در سیستم باشدهمچنین این حالت ممكن است اثر یكPacket خراب هم باشد كه در یك شبكه با نرم افزار های خراب ایجاد می شود و واقعا” حمله نفوذی نباشد.

▪ سرویس های مختلف با علایم مختلف : ممكن است در بعضی موارد انتظار ایجاد ترافیك خاص از یك كاربر مشخص داشته باشیم مثلا كاربری كه در یك ماموریت اداری بسر می برد معمولا” فقط نامه های خود را چك می كند ویا فایلی را انتقال می دهد . در صورتیكه دسترسی این كاربر به پورت های مختلف از طریق Tel net ، دلیلی بر امكان نفوذ یا حمله است .

موارد غیر معمول – علامت نفوذ

یك نفوذ كننده بالقوه ممكن است عملیات نفوذ خود را به گونه ای طراحی كند كه اثر جانبی آن باعث رفتارهای غیر معمول در سیستم باشد. مانیتورینگ اثرات جانبی بسیار سخت است چون پیدا كردن محل آنها به سادگی امكان پذیر نیست از موارد غیر منتظره سیستم به موارد زیر می توان اشاره كرد:

۱-مشكلات تعریف نشده در سخت افزار یا نرم افزارسیستم مثل خاموش شدن بدون علت سرور، عدم كاركرد بعضی برنامه های نرم افزاری مانند IIS ، موارد غیر معمول restart شدن سیستم ها ، تغییرات در تنظیم clock سیستم
۲- بروزاشكالات نامشخص در منابع سیستم مثل File System Overflow یا مشغول بودن بیش از حد CPU
۳- دریافت پیام های غیر متعارف از بعضی برنامه های خود اجرا ، مثل پیغامهایی كه نشان دهنده عدم اجرا و یا خطا در هنگام اجرای یك برنامه ایجاد شده باشد.بخصوص برنامه هایی كه برای مانیتور كردن سیستم طراحی شده اند مثل Syslog .
۴- بروز اشكالات نامشخص در كارایی سیستم مثلا” در Router ها یا سرویس های سیستم مثل كند شدن سرور
۵- بروز رفتارهای مشكوك در اجرای برنامه های كاربرمثل اشكال در دسترسی به بعضی منابع شبكه
۶- عملكرد مشكوك در فایلهای ثبت وقایع ( Log ها)بررسی این فایل ها از نظر سایز برای اینكه حجم فایل از اندازه متعارف خیلی بیشتر یا كمتر نباشد. مگر اینكه مدیر شبكه خود چنین تغییری ایجاد كرده باشد.

چه باید كرد؟

مهمترین كار یك سیستم كشف نفوذگر،دفاع از كامپیوتر بوسیله شناسایی حمله و جلوگیری از آن است. شناسایی حمله هكر بستگی به نوع و تعداد عكس العمل مورد نظر دارد.

مقابله با نفوذ، نیاز به یك سیستم تركیبی دام گذاری و تله اندازی دارد كه هردو این پروسه ها باید با بررسی و دقت انجام شود. از كارهای دیگری كه باید انجام داد ، تغییر دادن جهت توجه هكر است.هر دوسیستم واقعی و مجازی(Honeypot) به دام اندازی هكر به طور دائمی دیده بانی (Monitor ) می شوند و داده های تولید شده توسط سیستم شناسایی نفوذ گر(IDS) برای شناسایی نحوه عملكرد حمله به دقت بررسی می شود كه این مهمترین وظیفه یك IDS جهت شناسایی حملات و یا نفوذهای احتمالی می باشد.

وقتی كه یك حمله یا نفوذ شناسایی شد، IDS سرپرست شبكه را مطلع می سازد. مرحله بعدی كار می تواند بر عهده سرپرست شبكه یا خود IDS باشد كه از بررسی های به عمل آمده نتیجه گیری كرده و اقدام متقابل را انجام دهد.(مانند جلوگیری از عملكرد یك قسمت بخصوص برای پایان بخشیدن به Session های مشكوك یا تهیه نسخه پشتیبان از سیستم برا ی حفاظت از اطلاعات ، و یا انتقال ارتباط به یك سیستم گمراه كننده مانند Honeypot و چیزهای دیگر كه بر اساس سیاستهای (Policy ) شبكه قابل اجرا باشد . در حقیقت IDS یك از عناصر سیاستهای امنیتی شبكه است.در بین وظایف مختلف IDS ، شناسایی نفوذگر از اساسی ترین آنهاست .حتی ممكن است در مراجع قانونی از نتایج و گزارشات حوادثی كه IDS اعلام می كند استفاده نمود، و از حملاتی كه در آینده اتفاق خواهد افتاد با اعمال وصله های امنیتی مناسب از حمله به یك كامپیوتر بخصوص ویا یك منبع شبكه جلوگیری كرد.
شناسایی نفوذ ممكن است گاهی اوقات زنگ خطر اشتباهی را به صدا در آورد. برای مثال نتیجه خراب كاركردن یك كارت شبكه و یا ارسال شرح یك حمله و یا اثر یك نفوذ ازطریق Email .

ساختار و معماری سیستم تشخیص نفوذ:

سیستم تشخیص نفوذ یك هسته مركزی دارد و یك تشخیص دهنده(موتور تشخیص) است كه مسئولیت تشخیص نفوذ را دارد. این سنسور یك مكانیزم تصمیم گیری بر اساس نوع نفوذ دارد.

این سنسور اطلاعات خام را از سه منبع دریافت می كند.
۱-از اطلاعات موجود در بانك اطلاعلتی خود IDS.
۲-فایل ثبت وقایع سیستم (syslog).
۳-آثار ترافیك عبوری و دیده بانی شبكه.

فایل ثبت وقایع سیستم (syslog) ممكن است به طور مثال اطلاعات پیكربندی سیستم و دسترسی های كاربران باشد. این اطلاعات اساس تصمیم گیری های بعدی مكانیزم سنسور خواهد بود.این سنسور با یك Event Generator كه مسئول جمع آوری اطلاعات است با هم كار می كنند. قوانین جمع آوری اطلاعات كه به وسیله سیاست های Event generator مشخص می شود ، تعیین كننده نوع فیلترینگ از روی حوادث و اطلاعات ثبت شده است.

Event Generator ، مثل سیستم عامل یا شبكه یا یك برنامه اجرایی ، تولید كنندهPolicy هایی هستند كه ممكن است یك واقعه ایجاد شده در سیستم عامل یا Packet های شبكه را ثبت كنند. این مجموعه به همراه اطلاعات Policy می تواند در یك سیستم محافظت شده یا خارج از شبكه قرار داده شود. در بعضی شرایط خاص هیچ محل مشخصی به عنوان محل حفظ اطلاعات ایجاد نمی شود مثل وقتی كه اطلاعات جمع آوری شده از وقایع مستقیما” به یك سیستم آنالیز ارسال می شود.
وظیفه سنسور فیلتر كردن اطلاعات است و حذف كردن هر داده غیر مرتبط كه از طرف منابع دریافت اطلاعات می رسد. تحلیل كننده برای دستیابی به این هدف از Policy های موجود استفاده می كند.تحلیل گر نكاتی مانند اثر و نتیجه حمله ، پرو فایل رفتارهای نرمال و صحیح و پارامترهای مورد نیاز مثل Threshold ها را بررسی می كند .

علاوه بر همه اینها بانك اطلاعاتی كه پارامترهای پیكربندی IDS را در خود نگه می دارد، روشهای مختلف ارتباطی را ایجاد می كنند.سنسور یا گیرنده هم بانك اطلاعاتی خاص خود را دارد، كه شامل تاریخچه پویایی از نفوذهای پیچیده بوده یا با توجه به تعدد حمله مورد تحلیل قرارگرفته است.سیستم تشخیص نفوذ می تواند به صورت متمركز مثل برقراری یك فایروال فیزیكی یا به صورت غیر متمركز انجام شود.یك IDS غیر متمركز شامل تعداد زیادی سیستم تشخیص نفوذ در یك شبكه بزرگ است كه هركدام از آنها با هم در ارتباط هستند.سیستم های پیچیده تر از ساختاری پیروی می كنند كه ماژول های مشابه برنامه های خود اجرایی دارند كه روی هر كامپیوتر اجرا می شوند.

عملكرد این سیستم جایگزین ، مونیتور و فیلتر كردن تمام فعالیتهای مرتبط با یك بخش محافظت شده است كه بتواند یك آنالیز دقیق و پاسخ متناسب از شبكه دریافت كند.یكی از قسمت های بسیار مهم IDS برنامه ای است كه به سرور آنالیز كننده گزارش می دهد ، DIDS(Database IDS) و دارای ابزار آنالیز پیچیده تری است كه حملات غیر متمركز را نیز شناسایی می كند. دلیل دیگری كه وجود دارد مربوط به قابلیت حمل و انتقال درچند منطقه فیزیكی است.علاوه بر این عامل جایگزین مشخص برای تشخیص و شناسایی اثر حمله های شناخته شده می باشد.یك راه حل ساختاری چند برنامه ای كه در سال ۱۹۹۴ ایجاد شد

AAFID یا Autonomous Agent for Intrusion Detection است. این ساختار از یك جایگزین استفاده می كند كه بخش به خصوصی از رفتار سیستم را در زمان خاص دیده بانی می كند. به طور مثال یك جایگزین می تواند تعداد دفعاتی را كه به سیستم Telnet شده تشخیص داده و در صورتی كه این عدد منطقی به نظر نرسد آنرا گزارش كند. یك جایگزین همچنین قابلیت ایجاد زنگ خطر در زمان وقوع یك حادثه مشكوك را دارد.جایگزین ها می توانند مشابه سازی شوند و به سیستم دیگر منتقل گردند.به غیر از جایگزین ها ، سیستم می تواند رابط هایی برای دیده بانی كل فعالیتهای یك كامپیوتر بخصوص داشته باشد.این رابط ها همیشه نتایج عملیات خود را به یك مونیتور مشخص ارسال می كنند. سیستم های مانیتور اطلاعات را از نقاط مختلف و مشخص شبكه دریافت می كنند و این بدین معنی است كه می توانند اطلاعات غیر متمركز را بهم ارتباط دهند و نتیجه گیری نهایی را انجام دهند.به انضمام اینكه ممكن است فیلتر هایی گذاشته شود تا داده های تولید شده را بصورت انتخابی در یافت نماید.

 

ادامه مطلب