مراحل اوليه ايجاد امنيت در شبکه
شبکه های کامپيوتری زير ساخت لازم برای عرضه اطلاعات در يک سازمان را فراهم می نمايند . بموازات رشد و گسترش تکنولوژی اطلاعات، مقوله امنيت در شبکه های کامپيوتری ، بطور چشمگيری مورد توجه قرار گرفته و همه روزه بر تعداد افرادی که علاقه مند به آشنائی با اصول سيستم های امنيتی در اين زمينه می باشند ، افزوده می گردد . در اين مقاله ، پيشنهاداتی در رابطه با ايجاد يک محيط ايمن در شبکه ، ارائه می گردد .
سياست امنيتی
يک سياست امنيتی، اعلاميه ای رسمی مشتمل بر مجموعه ای از قوانين است که می بايست توسط افراديکه به يک تکنولوژی سازمان و يا سرمايه های اطلاعاتی دستيابی دارند، رعايت و به آن پايبند باشند . بمنظور تحقق اهداف امنيتی ، می بايست سياست های تدوين شده در رابطه با تمام کاربران ، مديران شبکه و مديران عملياتی سازمان، اعمال گردد . اهداف مورد نظر عموما” با تاکيد بر گزينه های اساسی زير مشخص می گردند .
” سرويس های عرضه شده در مقابل امنيت ارائه شده ، استفاده ساده در مقابل امنيت و هزينه ايمن سازی در مقابل ريسک از دست دادن اطلاعات ”
مهمترين هدف يک سياست امنيتی ، دادن آگاهی لازم به کاربران، مديران شبکه و مديران عملياتی يک سازمان در رابطه با امکانات و تجهيزات لازم ، بمنظور حفظ و صيانت از تکنولوژی و سرمايه های اطلاعاتی است . سياست امنيتی ، می بايست مکانيزم و راهکارهای مربوطه را با تاکيد بر امکانات موجود تبين نمايد . از ديگر اهداف يک سياست امنيتی ، ارائه يک خط اصولی برای پيکربندی و مميزی سيستم های کامپيوتری و شبکه ها ، بمنظور تبعيت از سياست ها است . يک سياست امنيتی مناسب و موثر ، می بايست رضايت و حمايت تمام پرسنل موجود در يک سازمان را بدنبال داشته باشد .
يک سياست امنيتی خوب دارای ويژگی های زير است :
امکان پياده سازی عملی آن بکمک روش های متعددی نظير رويه های مديريتی، وجود داشته باشد .
امکان تقويت آن توسط ابزارهای امنيتی ويا دستورات مديريتی در موارديکه پيشگيری واقعی از لحاظ فنی امکان پذير نيست ، وجود داشته باشد .
محدوده مسئوليت کاربران ، مديران شبکه و مديران عملياتی بصورت شفاف مشخص گردد .
پس از استقرار، قابليت برقرای ارتباط با منابع متفاوت انسانی را دارا باشد . ( يک بار گفتن و همواره در گوش داشتن )
دارای انعطاف لازم بمنظور برخورد با تغييرات درشبکه باشد .( سياست های تدوين شده ، نمونه ای بارز از مستندات زنده تلقی می گردنند . )
سيستم های عامل و برنامه های کاربردی : نسخه ها و بهنگام سازی
در صورت امکان، می بايست از آخرين نسخه سيستم های عامل و برنامه های کاربردی بر روی تمامی کامپيوترهای موجود در شبکه ( سرويس گيرنده ، سرويس دهنده ، سوئيچ، روتر، فايروال و سيستم های تشخيص مزاحمين ) استفاده شود . سيستم های عامل و برنامه های کاربردی می بايست بهنگام بوده و همواره از آخرين امکانات موجود بهنگام سازی ( patches , service pack , hotfixes) استفاده گردد . در اين راستا می بايست حساسيت بيشتری نسبت به برنامه های آسيب پذير که زمينه لازم برای متجاوزان اطلاعاتی را فراهم می نمايند ، وجود داشته باشد .
برنامه های : IIS ,OutLook , Internet Explorer , BIND و sendmail بدليل وجود نقاط آسيب پذير می بايست مورد توجه جدی قرار گيرند . متجاوزان اطلاعاتی ، بدفعات از نقاط آسيب پذير برنامه های فوق برای خواسته های خود استفاده کرده اند .
شناخت شبکه موجود
بمنظور پياده سازی و پشتيبانی سيستم امنيتی ، لازم است ليستی از تمام دستگاههای سخت افزاری و برنامه های نصب شده ، تهيه گردد . آگاهی از برنامه هائی که بصورت پيش فرض نصب شده اند، نيز دارای اهميت خاص خود است ( مثلا” برنامه IIS بصورت پيش فرض توسط SMS و يا سرويس دهنده SQL در شبکه های مبتنی بر ويندوز نصب می گردد ) . فهرست برداری از سرويس هائی که بر روی شبکه در حا ل اچراء می باشند، زمينه را برای پيمايش و تشخيص مسائل مربوطه ، هموار خواهد کرد .
سرويس دهندگان TCP/UDP و سرويس های موجود در شبکه
تمامی سرويس دهندگان TCP/UDP در شبکه بهمراه سرويس های موجود بر روی هر کامپيوتر در شبکه ، می بايست شناسائی و مستند گردند . در صورت امکان، سرويس دهندگان و سرويس های غير ضروری، غير فعال گردند . برای سرويس دهندگانی که وجود آنان ضروری تشخيص داده می شود، دستيابی به آنان محدود به کامپيوترهائی گردد که به خدمات آنان نيازمند می باشند . امکانات عملياتی را که بندرت از آنان استفاده و دارای آسيب پذيری بيشتری می باشند ، غير فعال تا زمينه بهره برداری آنان توسط متجاوزان اطلاعاتی سلب گردد. توصيه می گردد ، برنامه های نمونه (Sample) تحت هيچ شرايطی بر روی سيستم های توليدی ( سيستم هائی که محيط لازم برای توليد نرم افزار بر روی آنها ايجاد و با استفاده از آنان محصولات نرم افزاری توليد می گردند ) نصب نگردند .
رمزعبور
انتخاب رمزعبور ضعيف ، همواره يکی از مسائل اصلی در رابطه با هر نوع سيستم امنيتی است . کاربران، می بايست متعهد و مجبور به تغيير رمز عبور خود بصورت ادواری گردند . تنظيم مشخصه های رمز عبور در سيستم های مبتنی بر ويندوز، بکمک Account Policy صورت می پذيرد . مديران شبکه، می بايست برنامه های مربوط به تشخيص رمز عبور را تهيه و آنها را اجراء تا آسيب پذيری سيستم در بوته نقد و آزمايش قرار گيرد .
برنامه های john the Ripper ، LOphtcrack و Crack ، نمونه هائی در اين زمينه می باشند . به کاربرانی که رمز عبور آنان ضعيف تعريف شده است ، مراتب اعلام و در صورت تکرار اخطار داده شود ( عمليات فوق، می بايست بصورت متناوب انجام گيرد ) . با توجه به اينکه برنامه های تشخيص رمزعبور،زمان زيادی از پردازنده را بخود اختصاص خواهند داد، توصيه می گردد، رمز عبورهای کد شده ( ليست SAM بانک اطلاعاتی در ويندوز ) را بر روی سيستمی ديگر که در شبکه نمی باشد، منتقل تا زمينه بررسی رمزهای عبور ضعيف ، فراهم گردد . با انجام عمليات فوق برروی يک کامپيوتر غير شبکه ای ، نتايج بدست آمده برای هيچکس قابل استفاده نخواهد بود( مگراينکه افراد بصورت فيزيکی به سيستم دستيابی پيدا نمايند) .
برای تعريف رمز عبور، موارد زير پيشنهاد می گردد :
حداقل طول رمز عبور، دوازده و يا بيشتر باشد .
دررمز عبور از حروف کوچک، اعداد، کاراکترهای خاص و Underline استفاده شود .
از کلمات موجود در ديکشنری استفاده نگردد .
رمز های عبور ، در فواصل زمانی مشخصی ( سی و يا نود روز) بصورت ادواری تغيير داده شوند .
کاربرانی که رمزهای عبور ساده و قابل حدسی را برای خود تعريف نموده اند، تشخيص و به آنها تذکر داده شود .( عمليات فوق بصورت متناوب و در فواصل زمانی يک ماه انجام گردد).
عدم اجرای برنامه ها ئی که منابع آنها تاييد نشده است .
در اغلب حالات ، برنامه های کامپيوتری در يک چارچوب امنيتی خاص مربوط به کاربری که آنها را فعال می نمايد ، اجراء می گردند.دراين زمينه ممکن است، هيچگونه توجه ای به ماهيت منبع ارائه دهنده برنامه توسط کاربران انجام نگردد . وجود يک زير ساخت PKI ) Public key infrastructure ) ، در اين زمينه می تواند مفيد باشد . در صورت عدم وجود زيرساخت امنيتی فوق ،می بايست مراقبت های لازم در رابطه با طرفندهای استفاده شده توسط برخی از متجاوران اطلاعاتی را انجام داد. مثلا” ممکن است برخی آسيب ها در ظاهری کاملا” موجه از طريق يک پيام الکترونيکی جلوه نمايند . هرگز يک ضميمه پيام الکترونيکی و يا برنامه ای را که از منبع ارسال کننده آن مطمئن نشده ايد ، فعال و يا اجراء ننمائيد . همواره از برنامه ای نظير Outlook بمنظور دريافت پيام های الکترونيکی استفاده گردد . برنامه فوق در يک ناحيه محدوده شده اجراء و می بايست امکان اجرای تمام اسکريپت ها و محتويات فعال برای ناحيه فوق ، غير فعال گردد.
ايجاد محدوديت در برخی از ضمائم پست الکترونيکی
ضرورت توزيع و عرضه تعداد زيادی از انواع فايل های ضميمه ، بصورت روزمره در يک سازمان وجود ندارد .بمنظور پيشگيری از اجرای کدهای مخرب ، پيشنهاد می گردد اين نوع فايل ها ،غير فعال گردند . سازمان هائی که از Outlook استفاده می نمايند، می توانند با استفاده از نسخه 2002 اقدام به بلاک نمودن آنها نمايند .
( برای ساير نسخه های Outlook می توان از Patch امنيتی مربوطه استفاده کرد .)
فايل های زير را می توان بلاک کرد :
| نوع فايل هائی که می توان آنها را بلاک نمود . |
| .bas .hta .msp .url .bat .inf .mst .vb .chm .ins .pif .vbe .cmd .isp .pl .vbs .com .js .reg .ws .cpl .jse .scr .wsc .crt .lnk .sct .wsf .exe .msi .shs .wsh |
در صورت ضرورت می توان ، به ليست فوق برخی از فايل ها را اضافه و يا حذف کرد. مثلا” با توجه به وجود عناصر اجرائی در برنامه های آفيس ، ميتوان امکان اجرای برنامه ها را در آنان بلاک نمود . مهمترين نکته در اين راستا به برنامه Access بر می گردد که برخلاف ساير اعضاء خانواده آفيس ، دارای امکانات حفاظتی ذاتی در مقابل ماکروهای آسيب رسان نمی باشد .
پايبندی به مفهوم کمترين امتياز
اختصاص حداقل امتياز به کاربران، محور اساسی درپياده سازی يک سيتم امنيتی است. رويکرد فوق بر اين اصل مهم استوار است که کاربران می بايست صرفا” دارای حقوق و امتيازات لازم بمنظور انجام کارهای مربوطه باشند ( بذل و بخشش امتيازات در اين زمينه شايسته نمی باشد!) . رخنه در سيستم امنيتی از طريق کدهای مخربی که توسط کاربران اجراء می گردند، تحقق می يابد . در صورتيکه کاربر، دارای حقوق و امتيازات بيشتری باشد ، آسيب پذيری اطلاعات در اثر اجرای کدها ی مخرب ، بيشتر خواهد شد . موارد زير برای اختصاص حقوق کاربران ، پيشنهاد می گردد :
تعداد account مربوط به مديران شبکه، می بايست حداقل باشد .
مديران شبکه ، می بايست بمنظور انجام فعاليت های روزمره نظير خواندن پيام های پست الکترونيکی ، از يک account روزمره در مقابل ورود به شبکه بعنوان administrator ،استفاده نمايند .
مجوزهای لازم برای منابع بدرستی تنظيم و پيکربندی گردد . در اين راستا می بايست حساسيت بيشتری نسبت به برخی از برنامه ها که همواره مورد استفاده متجاوزان اطلاعاتی است ، وجود داشته باشد . اين نوع برنامه ها ، شرايط مناسبی برای متجاوزان اطلاعاتی را فراهم می نمايند. جدول زير برخی از اين نوع برنامه ها را نشان می دهد .
| برنامه های مورد توجه متجاوزان اطلاعاتی |
| explorer.exe, regedit.exe, poledit.exe, taskman.exe, at.exe, cacls.exe,cmd.exe, finger.exe, ftp.exe, nbstat.exe, net.exe, net1.exe,netsh.exe, rcp.exe, regedt32.exe, regini.exe, regsvr32.exe,rexec.exe, rsh.exe, runas.exe, runonce.exe, svrmgr.exe,sysedit.exe, telnet.exe, tftp.exe, tracert.exe, usrmgr.exe,wscript.exe,xcopy.exe |
رويکرد حداقل امتياز ، می تواند به برنامه های سرويس دهنده نيز تعميم يابد . در اين راستا می بايست حتی المقدور، سرويس ها و برنامه ها توسط يک account که حداقل امتياز را دارد ،اجراء گردند .
مميزی برنامه ها
اغلب برنامه های سرويس دهنده ، دارای قابليت های مميزی گسترده ای می باشند . مميزی می تواند شامل دنبال نمودن حرکات مشکوک و يا برخورد با آسيب های واقعی باشد . با فعال نمودن مميزی برای برنامه های سرويس دهنده و کنترل دستيابی به برنامه های کليدی نظير برنامه هائی که ليست آنها در جدول قبل ارائه گرديد، شرايط مناسبی بمنظور حفاظت از اطلاعات فراهم می گردد .
چاپگر شبکه
امروزه اغلب چاپگرهای شبکه دارای قابليت های از قبل ساخته شده برای سرويس های FTP,WEB و Telnet بعنوان بخشی از سيستم عامل مربوطه ، می باشند . منابع فوق پس از فعال شدن ، مورد استفاده قرار خواهند گرفت . امکان استفاده از چاپگرهای شبکه بصورت FTP Bound servers ، Telnet و يا سرويس های مديريتی وب ، وجود خواهد داشت . رمز عبور پيش فرض را به يک رمز عبور پيچيده تغيير و با صراحت پورت های چاپگر را در محدوده روتر / فايروال بلاک نموده و در صورت عدم نياز به سرويس های فوق ، آنها را غير فعال نمائيد .
پروتکل SNMP (Simple Network Management Protocol )
پروتکل SNMP ، در مقياس گسترده ای توسط مديران شبکه بمنظور مشاهده و مديريت تمام کامپيوترهای موجود در شبکه ( سرويس گيرنده ، سرويس دهنده، سوئيچ ، روتر، فايروال ) استفاده می گردد .SNMP ، بمنظور تاييد اعتبار کاربران ، از روشی غير رمز شده استفاده می نمايد . متجاوزان اطلاعاتی ، می توانند از نفطه ضعف فوق در جهت اهداف سوء خود استفاده نمايند . در چنين حالتی، آنان قادر به اخذ اطلاعات متنوعی در رابطه با عناصر موجود در شبکه بوده و حتی امکان غير فعال نمودن يک سيستم از راه دور و يا تغيير پيکربندی سيستم ها وجود خواهد داشت . در صورتيکه يک متجاوز اطلاعاتی قادر به جمع آوری ترافيک SNMP دريک شبکه گردد، از اطلاعات مربوط به ساختار شبکه موجود بهمراه سيستم ها و دستگاههای متصل شده به آن ، نيز آگاهی خواهد يافت . سرويس دهندگان SNMP موجود بر روی هر کامپيوتری را که ضرورتی به وجود آنان نمی باشد ، غير فعال نمائيد . در صورتيکه بهر دليلی استفاده از SNMP ضروری باشد ، می بايست امکان دستيابی بصورت فقط خواندنی در نظر گرفته شود . در صورت امکان، صرفا” به تعداد اندکی از کامپيوترها امتياز استفاده از سرويس دهنده SNMP اعطاء گردد .
تست امنيت شبکه
مديران شبکه های کامپيوترهای می بايست، بصورت ادواری اقدام به تست امنيتی تمام کامپيوترهای موجود در شبکه (سرويس گيرندگان، سرويس دهندگان، سوئيچ ها ، روترها ، فايروال ها و سيتستم های تشخيص مزاحمين) نمايند. تست امنيت شبکه ، پس از اعمال هر گونه تغيير اساسی در پيکربندی شبکه ، نيز می بايست انجام شود .