پیکربندی FirewallD در CentOS

  • ۰

پیکربندی FirewallD در CentOS

پیکربندی FirewallD در CentOS

پیکربندی FirewallD در CentOS

همانطور که می‌دانید فایروال FirewallD جایگزین iptables در CentOS 7 و بسیاری از لینوکس‌های نسل جدید شده است. شما عزیزان می توانید در صورت نیاز به شناخت بیشتر این قابلیت به پست معرفی فایروال FirewallD که در دانشنامه منتشر شده است مراجعه نمایید. در این مطلب از سری آموزش‌های FirewallD با کانفیگ FirewallD در CentOS در خدمت شما خواهیم بود.

این فایروال که نسخه داینامیک iptables بشمار می‌رود از تنظیمات بسیار خوب و ساده‌ای برخوردار است و برای تنظیم آن شما می‌توانید از دستور firewall-cmd و یا محیط گرافیکی آن استفاده کنید.

در ابتدا شایان ذکر است که این فایروال دارای zone ها و تنظیمات زیادی است و در این مطلب به نحوه تنظیم zone ، پورت فورواردینگ ، کار کردن با سرویس ها و حذف و اضافه کردن پورت ها در خدمت شما خواهیم بود.

کانفیگ FirewallD در CentOS

ست کردن کانفیگ FirewallD در CentOS

برای وارد کردن و اعمال دستورات FirewallD به 2 شکل می‌توان اقدام کرد.

Permanent : هنگامی که از permanent در دستورات خود استفاده می‌کنید ، دستورات در فایل XML فایروال وارد شده ولی تا زمانی که فایروال را reload نکنید یا سیستم ریبوت نشود ، اعمال نمی گردد.

RunTime : هنگامی که دستوری را بدون هیچ سوییچی جهت ست کردن وارد کنید، دستور بلادرنگ اجرا شده ولی پس از Reload و یا ریبوت CentOS حذف می‌گردد.

به عنوان مثال برای اضافه کردن سرویس http در FirewallD به صورت Permanent به شکل زیر دستور وارد می‌شود.

و همین دستور برای اجرای RunTime به شکل زیر می باشد.

حال پس از وارد کردن دستور اول به صورت Permanent ، برای اجرای آن باید دستور زیر را وارد کنید.

با وارد کردن دستور بالا ، فایروال یک بار دیگر راه اندازی شده و دستورات وارد شده را اعمال می‌نماید.

نکته مهم: هنگام Reload کردن فایروال برای چند لحظه تمام تنظیمات وارد شده برای فایروال متوقف شده و دوباره شروع بکار می‌کنند. ترجیحاً در صورت ترافیک زیاد بر روی سرور دستور را به صورت RunTime و Permanentt وارد کنید تا تنظیم شما اعمال شده و پس از ریبوت CentOS همچنان پا برجا باقی بماند.

Zone های FirewallD

zone ها به عنوان یک ساختار از پیش تنظیم شده می‌باشند و شما می توانید آنها را نسبت به شرایط امنیتی و قرار گیری سرور در اینترنت یا شبکه داخلی و یا … انتخاب نمایید.

هر یک از Zone ها برای یک شبکه خاص تنظیم شده‌اند و ترافیک را نسبت به آن تنظیمات کنترل می‌کنند.

Zone پیش فرض در ابتدای فعال سازی فایروال Public می باشد.

Zone ها همچنین می‌توانند بر روی کارت شبکه‌های مختلف تنظیم شوند و هر کارت شبکه و ترافیک آن توسط قوانین یک Zone کنترل شود.

برای دیدن Zone فعال در FirewallD دستور زیر را وارد کنید.

برای تغییر Zone پیشفرض می‌توانید از دستور زیر استفاده نمایید.

برای دیدن کارت شبکه و Zone فعال بر روی آن از دستور زیر استفاده می‌شود.

همچنین برای دیدن تمام تنظیمات Zone مورد نظر از دستور زیر می‌توان بهره برد.

خروجی دستور بالا مشابه تصویر زیر خواهد بود.

پیکربندی FirewallD در CentOS

با توجه به خروجی در تصویر بالا ، نشان می‌دهد IPv4 و IPv6 در این zone فعال است و پورت‌های 80 ، 2222 و 2323 باز می باشند.

همچنین این Zone بر روی اینترفیس eno16777728 فعال می باشد.

برای دریافت تنظیمات تمام zone ها دستور زیر کاربردی است.

کار با سرویس‌های FirewallD

FirewallD برای سادگی کار مدیران لینوکسی ، تنظیمات سرویس‌هایی را از پیش کانفیگ کرده و شما تنها نیاز است که از نام آنها استفاده کنید تا تنظیمات بر zone مورد نظر اعمال شود.

همچنین شما می‌توانید به دلخواه خود سرویس را معرفی کنید.

فایل تنظیمات تمام سرویس‌ها از پیش تعیین شده در دایرکتوری usr/lib/firewalld/services/ و سرویس‌هایی که کاربران تعریف می‌کنند در دایرکتوری etc/firewalld/services/ قرار دارند.

برای دریافت لیست سرویس‌های از پیش تنظیم شده دستور زیر را وارد کنید.

برای فعال و یا غیرفعال کردن یک سرویس می‌توانید از دستورات زیر بهره ببرید.

Allow و Deny کردن پورت و پروتکل دلخواه در FirewallD

برای دسترسی دادن به یک پورت به مانند پورت 12345 به شکل زیر اقدام کنید.

همچنین برای حذف پورت 12345 که در دستور قبل دسترسی داده شد ، از دستور زیر استفاده می‌گردد.

تفاوت دو دستور قبل تنها در کلمات add و remove است که به ترتیب یک پورت را اضافه و یا حذف می‌کنند.

port forwarding در فایروال FirewallD

برای فوروارد کردن یک پورت به پورتی دیگر همانند دستور زیر می‌توان اقدام کرد.

در مثال بالا پورت 80 به پورت 12345 فوروارد شده است.

حال برای فوروارد کردن یک پورت به سرور دیگر از روش زیر استفاده می گردد.

ابتدا قابلیت masquerade را با دستور زیر در zone مورد نظر فعال کنید.

سپس به شکل زیر می‌توانید پورت را بر روی یک سرور دیگر فوروارد کنید.

در مثال بالا پورت 80 به پورت 8080 در سرور 192.168.1.1 فوروارد شده است.

در نهایت برای حذف دستور پورت فوروارد بالا از دستور زیر استفاده کنید.

در این آموزش نحوه باز و بستن پورت ها ، اضافه کردن و حذف سرویس ها و همچنین port Forwarding را در FirewallD فرا گرفتید.

در مقالات بعدی به تنظیمات پیشرفته کانفیگ FirewallD در CentOS و آموزش دستورات Rich Rules می‌پردازیم.

امیدواریم آموزش کانفیگ FirewallD در CentOS برای شما مفید واقع شده باشد.

 

 


  • ۰

فایروال چگونه کار می کند؟

فایروال چگونه کار می کند؟

فایروال

فایروال چگونه کار می کند؟ در صورتیکه تاکنون مدت زمان کوتاهی از اینترنت استفاده کرده باشید و یا در یک اداره  مشغول بکار هستید که بستر لازم برای دستیابی به اینترنت فراهم شده باشد،  احتمالا” واژه  ” فایروال ” را  شنیده اید. مثلا” اغلب گفته می شود که : ” در اداره ما امکان استفاده از این سایت وجود ندارد ، چون سایت فوق را از طریق فایروال بسته اند ” .  در صورتیکه از طریق خط تلفن به مرکز ارائه دهنده خدمات اینترنت (ISP) متصل و  از اینترنت استفاده می نمائید ، امکان استفاده  فایروال توسط ISP مربوطه نیز وجود دارد. امروزه در کشورهائی که دارای خطوط ارتباطی با سرعت بالا نظیر DSL و یا مودم های کابلی می باشند ، بهه کاربران خانگی توصیه می گردد که هر یک از فایروال استفاده نموده و با استقرار لایه فوق بین شبکه داخلی در منزل و اینترنتت ، مسائل ایمنی را رعایت نمایند. بدین ترتیب با استفاده از یک فایروال می توان یک شبکه را در مقابل عملیات غیر مجاز توسط افراد مجاز و عملیات مجاز توسط افراد غیرمجاز حفاظت کرد.

فایروال چگونه کار می کند؟

فایروال چگونه کار می کند؟

فایروال چیست ؟

فایروال نرم افزار و یا سخت افزاری است که اطلاعات ارسالی از طریق  اینترنت  به شبکه خصوصی و یا کامپیوتر شخصی را فیلتر می نماید. اطلاعات فیلترشده ، فرصت توزیع  در شبکه را بدست نخواهند آورد.

فرض کنید، سازمانی دارای 500 کارمند باشد. سازمان فوق دارای ده ها کامپیوتر بوده که بر روی هر کدام یک کارت شبکه نصب شده و یک شبکه درون سازمانی ( خصوصی ) ایجاد شده است . سازمان فوق دارای یک یا چند خط اختصاصی ( T1 و یا T3 ) برای استفاده از اینترنت است . بدون استفاده از فایروال تمام کامپیوترهای موجود در شبکه داخلی، قادر به ارتباط با هر سایت و هر شخص بر روی اینترنت می باشند. کاربران مربوطه قادر به استفاده از برنامه هائی همچون FTP و یا Telnet بمنظور ارتباط مستقیم با افراد حقوقی و یا حقیقی موجود بر روی اینترنت می باشند. عدم رعایت مسائل ایمنی توسط پرسنل سازمان، می تواند زمینه دستیابی به اطلاعات موجود در شبکه داخلی را برای سارقین و متجاوزان اطلاعاتی اینترنت فراهم نماید.

زمانیکه در سازمان فوق از فایروال استفاده گردد، وضعیت کاملا”  تغییر خواهد کرد. سازمان مربوطه می تواند برروی هر یک از خطوط ارتباطی اینترنت یک فایروال نصب نماید.فایروال مجموعه سیاست های امنیتی را پیاده سازی می نماید. مثلا” یکی از قوانین فوق می تواند بصورت زیر باشد :

– تمام کامپیوترهای موجود در شبکه مجاز به استفاده از اینترنت می باشند ، فقط یک فرد مجاز به استفاده از سرویس FTP است و سایر پرسنل مجاز به استفاده از سرویس فوق نخواهند بود.

یک سازمان می تواند برای هر یک از سرویس دهندگان خود ( وب ، FTP،  Telnet و … ) قوانین مشابه تعریف نماید. سازمان قادر به کنترل پرسنل  بهمراه  لیست سایت های مشاهده  خواهد بود.  با استفاده از  فایروال یک سازمان قادر به کنترل کاربران شبکه  خواهد بود .

فایروال ها بمنظور کنترل ترافیک یک شبکه از روش های زیر استفاده می نمایند:

فیلتر نمودن بسته های اطلاعاتی . بسته های اطلاعاتی با استفاده ازتعدادی فیلتر، آنالیز خواهند شد. بسته هائی که از آنالیز فوق سربلند بیرون  آیند از فایروال عبور داده شده و  بسته ها ئی  که شرایط لازم را برای عبور از فایروال را نداشته باشند دور انداخته شده و از فایروال عبور نخواهند کرد.

سرویس Proxy . اطلاعات درخواستی از طریق اینترنت توسط فایروال بازیابی و در ادامه در اختیار  درخواست کننده گذاشته خواهد شد. وضعیت فوق در مواردیکه کامپیوتر موجود در شبکه داخلی، قصد ارسال  اطلاعاتی را برای خارج از شبکه خصوصی  داشته باشند ، نیز صدق می کند.

بهینه سازی استفاده از فایروال

فایروال ها را می توان با توجه به اهداف سازمانی بصورت کاملا” سفارشی نصب و پیکربندی کرد. در این راستا امکان اضافه  و یا حذف فیلترهای متعدد بر اساس شرایط متفاوت وجود خواهد داشت  :

آدرس های IP . هر ماشین بر روی اینترنت دارای یک آدرس منحصر بفرد با نام IP است . IP یک عدد 32 بیتی بوده که بصورت چهار عدد دهدهی که توسط نقظه از هم جدا می گردند نمایش داده می شود (Octet) . در صورتیکه یک آدرس IP خارج از شبکه، فایل های زیادی را از سرویس دهنده می خواند ( ترافیک و حجم عملیات سرویس دهنده را افزایش خواهد داد) فایروال می تواند ترافیک از مبداء آدرس فوق و یا به مقصد آدرس فوق را بلاک نماید.

اسامی دامنه ها ( حوزه ) . تمام سرویس دهندگان بر روی اینترنت دارای اسامی منحصر بفرد با نام ” اسامی حوزه”  می باشند. یک سازمان می تواند با استفاده از فایروال، دستیابی به سایت هائی را غیرممکن  و یا صرفا” امکان استفاده از یک سایت خاص را برای پرسنل خود فراهم نماید.

پروتکل ها . پروتکل نحوه گفتگوی بین سرویس دهنده و سرویس گیرنده را مشخص می نماید . پروتکل های متعدد با توجه به اهداف گوناگون در اینترنت استفاده می گردد. مثلا”  http  پروتکل وب و Ftpp پروتکل مربوط به دریافت و یا ارسال فایل هاا است . با استفاده از فایروال می توان، میدان  فیلتر نمودن را  بر روی  پروتکل ها متمرکز کرد.   برخی از پروتکل های رایج که می توان بر روی آنها فیلتر اعمال نمود بشرح زیر می باشند :

§       IP)Internet Protocol) پروتکل اصلی برای عرضه اطلاعات بر روی اینترنت است .

§       TCP)Transport Control Protocol ) مسئولیت تقسیم یک بسته اطلاعاتی به بخش های کوچکتر را دارد.

§       HTTP)Hyper Text Transfer Protocol) . پروتکل فوق برای عرضه  اطلاعات در وب است.

§       FTP)File Transfer Protocol) . پروتکل فوق برای دریافت و ارسال فایل ها استفاده می گردد.

§       UDP)User Datagram Protocol) . از پروتکل فوق برای اطلاعاتی که به پاسخ نیاز ندارند استفاده می شود( پخش صوت و تصویر)

§       ICMP)Internet control  Message Protocol). پروتکل فوق توسط روترها و بمنظور تبادل اطلاعات فی المابین استفاده می شود.

§       SMTP)Simple Mail Transfer Protocol) . از پروتکل فوق برای ارسال e-mail استفاده می گردد.

§       SNMP)Simple Network  Management Protocol).از پروتکل فوق بمنظور اخذ  اطلاعات از یک کامپیوتر راه دور استفاده  میشود

§       Telnet . برای اجرای دستورات بر روی یک کامپیوتر از راه دور استفاده می گردد.

پورت ها . هر سرویس دهنده ، خدمات مورد نظر خود را با استفاده از پورت های شماره گذاری شده بر روی اینترنت ارائه می دهد. مثلا” سرویس دهنده وب اغلب از پورت 80 و سرویس دهنده Ftp از پورت 21 استفاده می نماید.  یک سازمان ممکن است با استفاده از فایروال امکان دستیابی به پورت 21 را بلاک نماید.

کلمات و عبارات خاص . می توان با استفاده از فایروال کلمات و یا عباراتی را مشخص نمود تا امکان کنترل بسته های اطلاعاتی حاوی کلمات و عبارات فراهم گردد. هر بسته اطلاعاتی  که حاوی  کلمات مشخص شده  باشد  توسط فایروال بلاک خواهد شد.

همانگونه که اشاره شد فایروال ها به  دو صورت نرم افزاری وسخت افزاری استفاده می گردند.فایروال های نرم افزاری بر روی کامپیوتری نصب می گردند که خط اینترنت به آنها متصل است .کامپیوتر فوق بمنزله یک Gateway رفتار می نماید چون تنها نقطه قابل تماس، بمنظور ارتباط کامپیوتر و اینترنت است . زمانیکه فایروال بصورت سخت افزاری در نظر گرفته شود ، تمام بخش فوق بصورت Gateway خواهد بود.  امنیت فایروال های سخت افزاری بمراتب بیشتر از فایروال های نرم افزاری است .

تهدیدات

حمله کنندگان به شبکه های کامپیوتری از روش های متعددی استفاده می نمایند.

Remote Login .  امکان برقراری ارتباط با کامپیوتر و کنترل آن توسط فرد غیرمجاز است .  دامنه عملیات فوق می تواند از مشاهده و دستیابی به برخی از فایل ها تا اجرای برخی برنامه ها بر روی کامپیوتر باشد.

Application Backdoors . برخی از برنامه ها دارای امکانات ویژه ای برای دستیابی از راه دور می باشند. برخی دیگر از برنامه ها دارای اشکالاتی بوده بگونه ای که یک Backdoor را ایجاد و یا امکان دستیابی مخفی را ارائه می دهند. در هر حالتت امکان کنترل برنامه فراهم خواهد گردید.

SMTP session hijacking . پروتکل SMTP رایج ترین روش برای ارسال e-mail است . با دستیابی به لیستی از آدرس های e-mail ، یک شخص قادر به ارسال e-mail به هزاران کاربر دیگر خواهد شد.

اشکالات سیستم های عامل . سیستم های عامل نظیر سایر برنامه های کاربردی ممکن است دارای Backdoor باشند.

انفجار E-mail . یک شخص قادر به ارسال صدها و هزاران e-mail مشابه در مقاطع زمانی متفاوت است . با توجه به وضعیت فوق سیستم پست الکترونیکی قادر به دریافت تمام نامه های ارسالی نخواهد بود.

ماکرو. اغلب برنامه های کاربردی این امکان را برای کاربران خود فراهم می نمایند که مجموعه ای از اسکریپت ها را بمنظور انجام عملیات خاصی نوشته و نرم افزار مربوطه آنها را اجراء نماید. اسکریپت های فوق ” ماکرو ” نامیده می شوند. حمله کنندگان به شبکه های کامپیوتری با آگاهی از واقعیت فوق، اقدام به ایجاد اسکریپت های خاص خود نموده که با توجه به نوع برنامه ممکن است داده ها را حذف  و یا باعث از کار افتادن کامپیوتر گردند.

ویروس . رایج ترین روش جهت آسیب رساندن به اطلاعات، ویروس است . ویروس یک برنامه کوجک است که قادر به تکثیر خود بر روی کامپیوتر دیگر است . عملکرد ویروس ها بسیار متفاوت بوده و از اعلام یک پیام ساده  تا حذف تمام داده ها  را میی تواند شامل گردد.

سرویس دهنده Proxy

سرویس دهنده Proxy اغلب با یک فایروال ترکیب می گردد. سرویس دهنده Proxy بمنظور دستیابی به صفحات وب توسط سایر کامپیوترها استفاده می گردد. زمانیکه  کامپیوتری درخواست یک صفحه وب را می نماید،  صفحه مورد نظر توسط سرویس دهنده Proxy بازیابی و در ادامه برای کامپیوتر متقاضی ارسال خواهد شد. بدین ترتیب تمام ترافیک ( درخواست و پاسخ ) بین درخواست کننده یک صفحه وب و پاسخ دهنده از طریق سرویس دهنده Proxy انجام می گیرد.

سرویس دهنده Proxy می تواند کارائی استفاده از اینترنت را افزایش دهد. پس از دستیابی  به یک صفحه وب ،  صفحه فوق بر روی سرویس دهنده Proxy  نیز ذخیره (Cache) می گردد. در صورتیکه در آینده قصد استفاده از صفحه فوق را داشته باشید  صفحه مورد نظر از روی سرویس دهنده Proxy در اختیار شما گذاشته می شود( الزامی به برقراری ارتباط مجدد و درخواست صفحه مورد نظر نخواهد بود)

 


  • ۰

نکات کلیدی در خرید فایروال

نکات کلیدی در خرید فایروال

نکات کلیدی در خرید فایروال

نکات کلیدی در خرید فایروال

۱۰ ویژگی مهمی که در خرید یک دستگاه فایروال باید به دنبال آن باشید چیست؟

نکات کلیدی در خرید فایروال: فایروال ها نقش بسیار مهمی در شبکه ها ایفا میکنند. آنها شبکه را در برابر لیستی پایان ناپذیر از تهدیدات ایمن میکنند و دسترسی های خراب کاران را محدود میکنند. بسیاری از آنها بوسیله پروتکل های خاص ارتباطی، امکان ارتباط ایمن مراکز مختلف با یکدیگر را فراهم میکنند.

ما در این مقاله ۱۰ نکته ای که شما در هنگام خرید فایروال باید در نظر بگیرید یادآوری میکنیم:

 

  • ایمنی در سطح مناسب

بسیاری از شرکت های دنیا، اعم از خارجی و داخلی، در حال تولید دستگاه های یو تی ام و فایروال هستند. تمامی آنها ادعاهایی در مورد ویژگی های دستگاه های خود دارند. بر اساس ویژگی های دستگاه ها و قابلیت های امنیتی آنها، مدل های مختلفی عرضه میشوند که ویژگی های متفاوتی دارند.

شما میبایست مطمئن شوید که ویژگی هایی که انتخاب میکنید تمامی نیازهای شبکه شما را پوشش دهد و استانداردهای بین المللی دستگاه ها را رعایت کنند. مرجع تمامی استانداردهای بین اللملیICSA(Industry Standards for Packet Inspection) میباشد. این استاندارد مخفف “استاندارهای صنعت برای بررسی پکت ها” میباشد.

 

  • قابلیت دسترسی از طریق رابط کاربری

بسیاری از دستگاه ها بر مبنای سیستم های نوشتاری دستور (Command-Line-only) طراحی شده اند که کار را برای بسیاری از متخصصین سخت میکند. مطمئن شوید که دستگاهی که تهیه میکنید از رابط کاربری استاندارد و مناسبی برخوردار است. بسیاری از دستگاه ها تلاش میکنند که دستگاهی با رابط کاربری آسان و کاربرپسند ارائه دهند. این قابلیت فواید بسیاری دارد. از جمله آنها اجتنباب از اشتباهات در حین تنظیمات و نصب است. همچنین رابط کاربری آسان باعث میشود که خطاها و مشکلات سریعتر شناسایی و رفع شوند، کاربران سیستم و مدیران راحت تر و سریعتر آموزش ببینند، و تغییرات درون شبکه سریعتر اتفاق بیفتد.

 

  • پشتیبانی از VPN

یکی از مهم ترین ویژگی های دستگاه های فایروال ایجاد بستر ارتباطی بر اساس تونل ایمن است که هکرها و کاربران نامعتمد را از شبکه دور میکند. یک فایروال خوب میتواند یک شبکه مجازی ایمن ایجاد کند و آن را به طور کامل مانیتور نماید. در صورتیکه ارتباط ایمن بین مراکز برای شما مهم است، حتما به دنبال دستگاه ای باشید که کانال های SSL و IPSec را ساپورت کنند.

 

  • قدرت پشتیبانی از پهنای باند بالا

در برخی از شبکه ها، فایروال ها تنها برای مباحث امنیتی و کنترل پورت ها استفاده میشود. برخی دیگر از ویژگی های سوئیچینگ و روتینگ دستگاه ها نیز استفاده میکنند و به عنوان Internet Gateway از آن استفاده میکنند. بدیهی است نیاز سخت افزاری در هریک از این دستگاه ها متفاوت بوده و میبایست دستگاه هایی متناسب با نیاز شبکه تهیه کرد.

 

  • ساپورت مناسب

مطمئن شوید که دستگاهی که تهیه میکنید، دارای ساپورت ۲۴ ساعت و هفت روزه هفته است. وقتی یک دستگاه جدید و گران قیمت است، این اصلا بدان معنی نیست که شما مشکلی با آن نخواهید داشت. در هنگام خرید دستگاه ها دقت نمایید که از کیفیت خدمات پس از فروشی که از فروشند دریافت میکنید آگاه گردید.

 

  • سیستم بی سیم ایمن

در بسیاری از موارد ، سرویس های بی سیم در سازمان ارائه نمیشوند و خیلی از کارشناسان IT تمایلی به داشتن دستگاه هایی که قابلیت کنترل سیستم بی سیم را داشته باشند احتیاجی ندارند. ولی تهیه این قابلیت این امکان را به کارشناسان میدهد که در صورت نیاز به این قابلیت، مثلا در هنگامیکه سرویس اینترنت بی سیم به مهمان ها ارائه میشود، این امکان را با چند تغییر ساده در ساختار شبکه و بدون هزینه اضافی در اختیار داشته باشند.

 

  • ایمنی در Gateway

داشتن قابلیت هایی نظیر آنتی ویروس مرکزی، آنتی اسپم، Spyware، و غیره، میتواند تا حد زیادی نیاز شبکه به پراکندگی این سرویس ها در سرورهای مختلف و یا حتی خارج از شبکه را حل نماید.

 

  • فیلترینگ محتوا

در حالیکه بسیاری از کارشناسان شبکه، فیلترینگ محتوا را بوسیله ابزارهایی نظیر OpenDNS انجام میدهند، برخی تولید کنندگان فایروال و یو تی ام این قابلیت ها را در دستگاه های خود قرار داده اند. مزیت این روش این است که تمامی سرویس هایی که در شبکه شما نیاز است، از Gateway Security تا Content Filtering در یک دستگاه جمع شده اند. تنها نکته این دستگاه ها قیمت بیشتر آنها نسبت به سایر دستگاه ها خواهد بود.

 

  • مانیتورینگ پیشرفته و گزارش گیری یکپارچه

تعداد گزارشات و لاگ هایی که یک دستگاه فایروال در طی یک روز تولید میکند بسیار زیاد است. در یک روز کاری، یک دستگاه فایروال هزاران حمله نفوذ را شناسایی و بلاک میکند، ویروس ها و بدافزارها را شناسایی میکند و تعداد زیادی اتصالات موفق و ناموفق را مدیریت و ثبت میکند. اما این اطلاعات تنها زمانی مفید هستند که در یک سیستم جامع و گویای گزارش گیری ارائه شوند.

شما باید به دنبال دستگاهی باشید که گزارشات دقیق، گویا و کاربردی تولید و ارائه میدهند. یک فایروال خوب میبایست سیستم ایجاد و ارسال ایمیل در مواقع هشدار را نیز پشتیبانی کند.

 

  • قابلیت Failover

بعضی سازمان ها نیازمند قابلیت Failover هستند. این قابلیت به دستگاه ها اجازه میدهند که بصورت رزرو در کنار یکدیگر کار کرده و در صورتیکه، به هر دلیلی، یکی از آنها از مدار خارج شد، دیگری وارد مدار شده و ادامه فعالیت بدون هیچگونه خللی ادامه یابد. بسیاری از دستگاه های فایروال قابلیت Automatic Failover را پشتیبانی نمیکنند. پس اگر قصد خرید یک دستگاه را دارید و این قابلیت برای شما مهم است، حتما در بین ویژگی های آن این مطلب را جستجو کنید.

 

 


  • ۰

نقش پروتکل SSL یا Secure Socket Layer در امنیت ارتباطات شبکه

نقش پروتکل SSL یا Secure Socket Layer در امنیت ارتباطات شبکه

SSL یا Secure Socket Layer راه حلی جهت برقراری ارتباطات ایمن میان یک سرویس‌دهنده و یک سرویس‌گیرنده است که توسط شرکت Netscape ارائه شده است. درواقع SSL پروتکلی است که پایین‌تر از لایه کاربرد (لایه ۴ از مدل TCP/IP) و بالاتر از لایه انتقال (لایه سوم از مدل TCP/IP) قرار می‌گیرد.

پروتکل SSL بهره‌گیری از موارد امنیتی تعبیه شده آن برای امن کردن پروتکل‌های غیر امن لایه کاربردی نظیر HTTP، LDAP، IMAP و غیره است. الگوریتم‌های رمزنگاری بر اساس پروتکل SSL بر روی داده‌های خام (plain text) که قرار است از یک کانال ارتباطی غیر امن مثل اینترنت عبور کنند، اعمال می‌شود و محرمانه ماندن داده‌ها را در طول کانال انتقال تضمین می‌کند. به‌بیان‌دیگر شرکتی که صلاحیت صدور و اعطای گواهی‌های دیجیتال SSL را دارد برای هرکدام از دو طرفی که قرار است ارتباطات میان شبکه‌ای امن داشته باشند، گواهی‌های مخصوص سرویس‌دهنده و سرویس‌گیرنده را صادر می‌کند و با مکانیسم‌های احراز هویت خاص خود، هویت هرکدام از طرفین را برای طرف مقابل تأیید می‌کند. البته غیر از این کار می‌بایست تضمین کند که اگر اطلاعات حین انتقال مورد سرقت قرار گرفت، برای رباینده قابل‌درک و استفاده نباشد که این کار را با کمک الگوریتم‌های رمزنگاری و کلیدهای رمزنگاری نامتقارن و متقارن انجام می‌دهد.

ملزومات یک ارتباط مبتنی بر پروتکل امنیتی SSL

برای داشتن ارتباطات امن مبتنی بر SSL عموماً به دو نوع گواهی دیجیتال SSL نیاز است. گواهی اول برای سرویس‌دهنده و گواهی دیگر برای سرویس‌گیرنده است. همچنین به یک مرکز صدور و اعطای گواهینامه دیجیتال یا CA نیاز است. وظیفه CA این است که هویت طرفین ارتباط، نشانی‌ها، حساب‌های بانکی و تاریخ انقضای گواهینامه را بداند و بر اساس آن‌ها هویت‌ها را تعیین نماید.

مکانیسم‌های تشکیل‌دهنده SSL

۱– تأیید هویت سرویس‌دهنده

با استفاده از این ویژگی در SSL، یک کاربر از صحت هویت یک سرویس‌دهنده مطمئن می‌شود. نرم‌افزارهای مبتنی بر SSL سمت سرویس‌گیرنده، مثلاً یک مرورگر وب نظیر Internet Explorer می‌تواند از تکنیک‌های استاندارد رمزنگاری مبتنی بر کلید عمومی و مقایسه با کلیدهای عمومی یک سرویس‌دهنده، (مثلاً یک برنامه سرویس‌دهنده وب نظیر IIS) و از هویت آنها مطلع شود و پس از اطمینان کامل، کاربر می‌تواند نسبت به وارد نمودن اطلاعات خود مانند شماره کارت‌های اعتباری و یا گذرواژه‌ها اقدام نماید.

۲- تأیید هویت سرویس‌گیرنده

برعکس حالت قبلی در اینجا سرویس‌دهنده است که می‌بایست از صحت هویت سرویس‌گیرنده اطمینان یابد. طی این مکانیسم، نرم‌افزار مبتنی بر SSL سمت سرویس‌دهنده پس از مقایسه نام سرویس‌گیرنده با نام‌های مجاز موجود در لیست سرویس‌گیرنده‌های مجاز که در داخل سرویس‌دهنده تعریف می‌شود، اجازه استفاده از سرویس‌های مجاز را به او می‌دهد.

۳- ارتباطات رمز شده

کلیه اطلاعات مبادله شده میان سرویس‌دهنده و گیرنده می‌بایست توسط نرم‌افزارهای موجود در سمت سرویس‌دهنده و سرویس‌گیرنده رمزنگاری (Encrypt) شده و در طرف مقابل رمزگشایی (Decrypt) شوند تا حداکثر محرمانگی (Confidentiality) در این‌گونه سیستم‌ها لحاظ شود.

اجزای پروتکل SSL

پروتکل SSL دارای دو زیرپروتکل تحت عناوین زیر است:

۱- SSL Rocord Protocol که نوع قالب‌بندی داده‌های ارسالی را تعیین می‌کند.

۲- SSL Handshake Protocol که بر اساس قالب تعیین‌شده در پروتکل قبلی، مقدمات ارسال داده‌ها میان سرویس‌دهنده‌ها و سرویس‌گیرنده‌های مبتنی بر SSL را تهیه می‌کند.

بخش‌بندی پروتکل SSL به دو زیرپروتکل دارای مزایایی است ازجمله:

اول: در ابتدای کار و طی مراحل اولیه ارتباط (Handshake) هویت سرویس‌دهنده برای سرویس‌گیرنده مشخص می‌گردد.

دوم: در همان ابتدای شروع مبادلات، سرویس‌دهنده و گیرنده بر سر نوع الگوریتم رمزنگاری تبادلی توافق می‌کنند.

سوم: در صورت لزوم، هویت سرویس‌گیرنده نیز برای سرویس‌دهنده احراز می‌گردد.

چهارم: در صورت استفاده از تکنیک‌های رمزنگاری مبتنی بر کلید عمومی، می‌توانند کلیدهای اشتراکی مخفی را ایجاد نمایند.

پنجم: ارتباطات بر مبنای SSL رمزنگاری می‌شود.

الگوریتم‌های رمزنگاری پشتیبانی شده در SSL

در استاندارد SSL، از اغلب الگوریتم‌های عمومی رمزنگاری و مبادلات کلید (Key Exchcenge Algorithm) نظیر RSA، RC4، RC2،MD5، KEA، DSA، DES و RSA Key Exchauge، SHA1، Skipjack و DES3 پشتیبانی می‌شود. بسته به این که نرم‌افزارهای سمت سرویس‌دهنده و سرویس‌گیرنده نیز از موارد مذکور پشتیبانی نمایند، ارتباطات SSL می‌تواند بر اساس هرکدام از این الگوریتم‌ها صورت پذیرد. البته بسته به طول کلید مورد استفاده در الگوریتم و قدرت ذاتی الگوریتم، می‌توان آن‌ها را در رده‌های مختلفی قرار داد که توصیه می‌شود با توجه به سناریوهای موردنظر، از الگوریتم‌های قوی‌تر نظیر DES۳ با طول کلید ۱۶۸ بیت برای رمزنگاری داده‌ها و همچنین الگوریتم SHA-1 برای مکانیسم‌های تأیید پیغام MD5 استفاده شود و یا این که اگر امنیت در این حد مورد نیاز نبود، می‌توان در مواردی خاص از الگوریتم رمزنگاری RC4 با طول کلید ۴۰ بیت و الگوریتم تأیید پیغام MD5 استفاده نمود.

نحوه عملکرد داخلی پروتکل SSL

همان‌طور که می‌دانید SSL می‌تواند از ترکیب رمزنگاری متقارن و نامتقارن استفاده کند. رمزنگاری کلید متقارن سریع‌تر از رمزنگاری کلید عمومی است و از طرف دیگر رمزنگاری کلید عمومی تکنیک‌های احراز هویت قوی‌تری را ارائه می‌کند. یک جلسه (SSL (Session با یک تبادل پیغام ساده تحت عنوان SSL Handshake شروع می‌شود. این پیغام اولیه به سرویس‌دهنده این امکان را می‌دهد تا خودش را به سرویس‌دهنده دارای کلید عمومی معرفی نماید و سپس به سرویس‌گیرنده و سرویس‌دهنده این اجازه را می‌دهد که یک کلید متقارن را ایجاد نمایند که برای رمزنگاری‌ها و رمزگشایی سریع‌تر در جریان ادامه مبادلات مورد استفاده قرار می‌گیرد. گام‌هایی که قبل از برگزاری این جلسه انجام می‌شوند بر اساس الگوریتم RSA Key Exchangeعبارت‌اند از:

۱- سرویس‌گیرنده، نسخه SSL مورد استفاده خود، تنظیمات اولیه درباره نحوه رمزگذاری و یک داده تصادفی را برای شروع درخواست یک ارتباط امن مبتنی بر SSL به سمت سرویس‌دهنده ارسال می‌کند.

۲- سرویس‌دهنده نیز در پاسخ نسخه SSL مورد استفاده خود، تنظیمات رمزگذاری و داده تصادفی تولیدشده توسط خود را به سرویس‌گیرنده می‌فرستد و همچنین سرویس‌دهنده گواهینامه خود را نیز برای سرویس‌گیرنده ارسال می‌کند و اگر سرویس‌گیرنده از سرویس‌دهنده، درخواستی داشت که نیازمند احراز هویت سرویس‌گیرنده بود، آن را نیز از سرویس‌گیرنده درخواست می‌کند.

۳- سپس سرویس‌گیرنده با استفاده از اطلاعاتی که از سرویس‌دهنده مجاز در خود دارد، داده‌ها را بررسی می‌کند و اگر سرویس‌دهنده مذکور تأیید هویت شد، وارد مرحله بعدی می‌شود و در غیر این صورت با پیغام هشداری به کاربر، ادامه عملیات قطع می‌گردد.

نقش پروتکل SSL یا Secure Socket Layer در امنیت ارتباطات شبکه

نقش پروتکل SSL یا Secure Socket Layer در امنیت ارتباطات شبکه

شکل 1 : SSL

۴- سرویس‌گیرنده یک مقدار به نام Secret Premaster را برای شروع جلسه ایجاد می‌کند و آن را با استفاده از کلید عمومی (که اطلاعات آن معمولاً در سرویس‌دهنده موجود است) رمزنگاری می‌کند و این مقدار رمز شده را به سرویس‌دهنده ارسال می‌کند.

۵- اگر سرویس‌دهنده به گواهینامه سرویس‌گیرنده نیاز داشت می‌بایست در این گام برای سرویس‌دهنده ارسال شود و اگر سرویس‌گیرنده نتواند هویت خود را به سرویس‌دهنده اثبات کند، ارتباط در همین‌جا قطع می‌شود.

۶- به‌محض این که هویت سرویس‌گیرنده برای سرویس‌دهنده احراز شد، سرویس‌دهنده با استفاده از کلید اختصاصی خودش مقدار Premaster Secret را رمزگشایی می‌کند و سپس اقدام به تهیه مقداری به نام Master Secret می‌نماید.

۷- هم سرویس‌دهنده و هم سرویس‌گیرنده با استفاده از مقدار Master Secret کلید جلسه (Session Key) را تولید می‌کنند که درواقع کلید متقارن مورد استفاده در عمل رمزنگاری و رمزگشایی داده‌ها حین انتقال اطلاعات است و در این مرحله به‌نوعی جامعیت داده‌ها بررسی می‌شود.

۸- سرویس‌گیرنده پیغامی را به سرویس‌دهنده می‌فرستد تا به او اطلاع دهد، داده بعدی که توسط سرویس‌گیرنده ارسال می‌شود به‌وسیله کلید جلسه رمزنگاری خواهد شد و در ادامه، پیغام رمز شده نیز ارسال می‌شود تا سرویس‌دهنده از پایان یافتن Handshake سمت سرویس‌گیرنده مطلع شود.

۹- سرویس‌دهنده پیغامی را به سرویس‌گیرنده ارسال می‌کند تا او را از پایان Handshake سمت سرویس‌دهنده آگاه نماید و همچنین این که داده بعدی که ارسال خواهد شد توسط کلید جلسه رمز می‌شود.

۱۰- در این مرحلهSSL Handshake  تمام می‌شود و از این به بعد جلسه SSL شروع می‌شود و هر دو عضو سرویس‌دهنده و گیرنده شروع به رمزنگاری و رمزگشایی و ارسال داده‌ها می‌کنند.


  • ۰

تکنولوژی نوین کدهای مخرب

تکنولوژی نوین کدهای مخرب

تکنولوژی نوین کدهای مخرب

تکنولوژی نوین کدهای مخرب

شاید 15 سال پیش، هیچ کس گمان نمی‌کرد که کد‌های مخرب تا این حد در ساده‌ترین کار‌های روزمره ما نیز دخالت کنند.

آن روز‌ها وقتی یک ویروس جدید طراحی و خلق می‌شد، انتشار آن، هفته‌ها و یا حتی ماه‌ها طول می‌کشید؛ چرا که یک فلاپی دیسک می‌تواند وسیله‌ای سریع برای انتشار ویروس‌ها نباشد!!

فناوری‌های مورد استفاده برای حفاظت سیستم‌ها در برابر این ویروس‌های ماقبل تاریخ بسیار ساده و ابتدایی بودند، درست هماهنگ با فناوری‌های مورد استفاده برای طراحی، خلق و انتشار این ویروس‌ها.

بنابراین در آن زمان، تعدادی روش محدود و ابتدایی برای مقابله با تهدیدات رایانه ای و قابل قبول بودن سطح شرایط ایمنی سیستم‌ها کفایت می‌نمود.

اما اکنون ساختار و نحوه طراحی ویروس‌ها بسیار پیچیده‌تر شده است. هکر‌ها قدرتمند و توانا شده‌اند و عرصه‌های جدیدی را فتح کرده‌اند مانند پست الکترونیک و نیز فناوری ویروس‌هایی که بدون نیاز به باز شدن پیغام‌ها از طرف کاربر به طور خودکار منتشر می‌شوند.

اکنون ویروس‌هایی وجود دارند که می‌توانند رایانه‌ها را آلوده کنند فقط به این دلیل ساده که کاربر به اینترنت متصل شده است.

 

هرکدام از این مراحل طی شده توسط هکر‌ها، نشان دهنده روند رو به رشد آنان در استفاده از فناوری‌های جدید برای طراحی، خلق و انتشار ویروس‌ها بوده است.

بنابراین برای حفاظت سیستم‌ها در مقابل این کد‌های مخرب، روش‌های نوین منطبق بر فناوری‌های جدید لازم است.

برای نمونه اگر نامه‌های الکترونیکی منبع بالقوه تهدیدات باشد، بررسی و جست‌وجوی مستمر یک برنامه ضدویروس، باید نقل و انتقالات اطلاعاتی POP3 را نیز دربربگیرد.

اما امسال، سال 2006، واقعاً چه اتفاقاتی در حال رخ دادن است؟ آیا ما شاهد انقلاب‌های جدید در فناوری‌های مربوط به طراحی وخلق کد‌های مخرب خواهیم بود؟

هرگز. شاید بشود گفت که طراحان کد‌های مخرب در خلاقیت و فناوری، حتی یک گام هم به عقب برداشته‌اند. روش‌های استفاده شده برای انتقال و انتشار کد‌های مخرب در رایانه‌ها، کمی ابتدایی‌تر نیز شده‌اند. مدت زمانی است که از ایده‌های خلاق و پی درپی برای نفوذ در سیستم‌ها مانند استفاده از روش‌های EPO (Entry Point Obscuring) و آلوده کردن فایل‌های PE ویندوز اثری نیست.

پیشرفته ترین روش‌ها در حال حاضر از یک rootkit استفاده می‌کنند که چه از نوع تجاری و چه از نوع غیرتجاری، اغلب اوقات توسط یک طراح حرفه‌ای ویروس، خلق نمی‌شوند.

خلاقیت و پیشرفت بسیار دشوار است و نیاز به تلاش فراوان و تخیل خلاق دارد که گمان نمی‌رود طراحان ویروس دارای چنین ویژگی‌های مثبتی باشند!!

شرکت‌های امنیتی نیز به نوبه خود همواره در حال پژوهش، بررسی، طراحی و تولید فناوری‌های قدرتمند و مؤثر در مقابله با هکر‌ها هستند و به نظر می‌رسد که امنیت و حفاظت گوی سبقت را از طراحان کد‌های مخرب ربوده است و از لحاظ تکنولوژی درجایی بالاتر از آن‌ها ایستاده است.

استراتژی جدید هکر‌ها، روی استفاده از فناوری‌ها و خلاقیت‌های نوین تمرکز نمی‌کند، بلکه جهت‌گیری آن به سمت رشد ارتکاب جرم‌های اینترنتی است.

 

تا چند سال قبل طراحان و خالقان ویروس به خود می‌بالیدند از اینکه ویروس‌های ساخت آن‌ها تا چه حد درسطح انتشار و تخریب موفق عمل می‌کردند. اما اکنون در خصوص مبالغی که از طریق کلاهبرداری‌های اینترنتی به سرقت می‌برند به خود می‌بالند.

 

برای دستیابی به این هدف، آنها نیازی به تلاش فراوان و دانش پیشرفته برای تحلیل API ها و آشنایی با سیستم‌های جدید تخریب ندارند.

یک روش قدیمی و نخ نما برای فریب کاربر نیز کافی است که پول وی به سرقت رود.

در دهه 30 در ایالات متحده آمریکا، فروشنده‌ای اعلام کرد که روش قطعی مبارزه با آفات سیب زمینی را یافته و حاضر است آن را با قیمتی مناسب در اختیار کشاورزان قرار دهد.

بسیاری از تولیدکنندگان سیب زمینی نیز با خرید این روش موافقت کردند و حتی حاضر شدند مبلغ آن را نیز پیش پرداخت کنند.

پس از پرداخت مبلغ، آنها دو تکه چوب به شکل مکعب مستطیل و به اندازه پاکت سیگار دریافت کردند. در راهنمای روش قاطع دفع آفات سیب زمینی ذکر شده بود که آنها می‌بایست یک حشره را گرفته، آن را روی یکی از تکه‌های چوب گذاشته و با چوب دیگر روی آن ضربه بزنند تا آن حشره از بین برود و آنها باید تا دفع کامل آفات این عمل تکرار کنند!!

 

بله؛ این فقط یک شگرد تبلیغاتی فریبکارانه بود.

آیا شباهتی بین این روش کهنه دهه 30 و روش‌های مورد استفاده طراحان کد‌های مخرب در سال 2006 دیده نمی‌شود؟

 

با غلبه امنیت و حفاظت بر کد‌های مخرب و ویروس‌ها در عرصه تکنولوژی و دانش، اکنون فناوری‌های امنیتی حفاظتی مبارزه دوم را آغاز می‌کنند.

مقابله با کد‌های مخربی که دارای تکنولوژی پیشرفته‌ای نیستند، اما از عملکرد کاربرانی که در دام هکر‌ها گرفتار شده‌اند سوءاستفاده می‌کنند.

هیچ حفره امنیتی در زمینه امنیت IT از یک کاربر بی‌تجربه و ساده خطرناک‌تر نیست. بنابراین فناوری‌های حفاظتی جدید باید به رفع این مشکل بپردازند.

از آنجا که تکنولوژی و دانش هکر‌ها برای مدت زمانی است که متوقف مانده و رو به پیشرفت نمی‌رود، سیستم‌های حفاظت جدید یقیناً قادر خواهند بود تا بسادگی حملات هک را دفع کنند.

 

 

 


  • ۰

کوکی (Cookie) چیست؟

کوکی (Cookie) چیست؟

کوکی (Cookie) چیست؟

کوکی (Cookie) چیست؟

تقریبا تمام سایت هایی که بازدید می کنید اطلاعاتی را در قالب یک فایل کوچک متنی (Text) بر روی کامپیوتر شما ذخیره می کنند به این فایل کوکی می گویند محل ذخیره شدن این فایل در فولدر Temporary Internet Files در اینترنت اکسپولرر و در نت اسکیپ در فولدر Cashe است در اپرا و موزیلا و نسخه های قدیمی تر اینترنت اکسپولرر در فولدر جدایی به نام کوکی است.

انواع مختلفی از کوکی ها وجود دارد و شما در نسخه های جدیدتر وب بروسر ها (Web Browsers) این امکان را دارید که انتخاب کنید کدام کوکی ها برروی کامپیوتر شما ذخیره شوند در صورتی که کوکی ها را کاملا غیر فعال کنید ممکن است بعضی سایت های اینترنتی را نتوانید ببیند و یا از بعضی امکانات مثل به یاد داشتن شناسه و رمز عبور شما در آن سایت محروم شوید و یا انتخاب هایی که داشتید مثل ساعت محلی و یا دمای هوای محلی و کلا از تنظیمات شخصی ای که در آن وب سایت انجام داده اید نتوانید استفاده کنید.

کوکی ها چگونه مورد استفاده قرار می گیرند؟

همانطوری که گفتیم کوکی یک فایل است که توسط یک وب سایت برای حفظ اطلاعات بر روی کامپیوتر شما قرار می گیرد یک کوکی می تواند شامل اطلاعاتی باشد که شما در آن سایت وارد کرده اید مانند ای میل – آدرس – شماره تلفن و سایر اطلاعات شخصی – همچنین کوکی ها می توانند صفحات و یا کارهایی را که در آن وب سایت انجام داده اید مثل تعداد کلیک لینک های بازدید شده و مدت بازدیدرا نیز ضبط کنند. این به سایت کمک می کند تا دفعه بعد که به آن سایت بازگشتید اطلاعات شما را به خاطر داشته باشد و از وارد کردن تکراری اطلاعات خودداری کنید نمونه بارز این مطلب لاگ این ماندن شما در آن سایت است و یا پیغام های Welcome Back و یا حفظ تنظیماتی که درآن سایت انجام داده این به عنوان مثال می توان به خصوصی کردن صفحه My MSN اشاره کرد. نکته ای را که باید به خاطر داشته باشید این است که هر وب سایت فقط می تواند از اطلاعاتی که شما وارد کرده اید استفاده کند نه بیشتر مثلا اگر ای میل خود را در آن سایت وارد نکرده اید آن وب سایت نمی تواند ای میل شما را به دست آورد و یا به سایر اطلاعات کامپیوتر شما دست یابد .

مورد دیگر اینکه وب سایت ها فقط می توانند کوکی هایی را که خود ایجاد کرده اند بخوانند و نمی توانند از سایر کوکی های موجود استفاده کنند. وقتی که از یک وب سایت برای بار دوم بازدید می کنید آن وب سایت به دنبال کوکی مربوط به خود می گرد و در صورت وجود از آن استفاده می کند.( البته باز هم با توجه به تنظیماتی که انجام داده اید )

 

انواع کوکی ها:

کوکی های پایا – دائمی (presistent Cookies):

این نوع کوکی ها به عنوان یک فایل بر روی کامپیوتر شما ذخیره می شوند و بعد از بستن مرورگر اینترنتی شما پاک نخواهند شد و همچنان باقی می مانند. این کوکی ها قابلیت به روز شدن توسط سایت ایجاد کننده خود را دارند همچنین سایت اجازه دسترسی مستقیم به این کوکی ها رو نیز دارد حدود 80 درصد کوکی های مورد استفاده از این نوع هستند.

کوکی های موقت (Temporary Cookies):

کوکی هایی هستند که بعد از بستن مرورگر اینترنتی شما و یا خروج از سایت استفاده کننده از کوکی پاک می شوند.

نوع دیگر کوکی های موقت کوکی های زمان دار هستند که زمانی برای کار دارند و بعد از آن اصطلاحا Expire می شوند و از کار می افتند ولی پاک نمی شوند و در صورت بازدید مجدد از سایت ممکن است به روز رسانی شوند و مجددا مورد استفاده قرار بگیرند.

 

کوکی های ناخوشایند؟(Un$$$isfactory cookies)

این کوکی ها اجازه دسترسی به اطلاعات خصوصی شما را برای استفاده دویاره بدون پرسیدن از شما دارند از این کوکی ها بیشتر در خرید های اینترنتی و سایت امن (SSL*) مورد استفاده قرار می گیرند.

مقایسه کوکی های متعلق به سایت اصلی (First Party) و کوکی های متعلق به سایت های دیگر (Third Party)

دوستان قبل از هر چیز اجازه بدین با دو مفهوم First & third party اشنا شویم این مفاهیم در حقیقت مفاهیم بیمه ای هستند :

First Party: عضو اصلی یک خانواده و یا شرکت صاحب حقوق و مزایای اصلی کسی که بیمه نامه اصلی را داراست (Policy Holder)

Second party : شرکت بیمه کننده

Third Party : هر شخص سومی غیر از این دو کلا بقیه افراد

 

و اما این مفاهیم در کوکی ها چه معنایی می دهند؟

First Party : کوکی هایی هستند که فقط اطلاعات آنها به سایت که توسط آنها ایجاد شده اند فرستاده می شود و کار آنها همانطور که اشاره شد یادآوری اطلاعات ماست.

Third Party : کوکی هایی هستند که اطلاعات را به چندین سایت مختلف غیر از آنچه بازدید می کنید می فرستند استفاده این کوکی ها معمولا تجاری است بدینگونه که شما از سایتی بازدید می کنید و آن سایت دارای بنرهای تجاری و تبلیغات از سایت دیگری (Third Party) می باشد در اینجاست که کوکی Third Party وارد عمل شده و اطلاعات شما را ثبت می کند به عنوان مثال صاحب تبلیغ با استفاده از این امکان می تواند ببیند که شما چه نوع تبلیغ هایی را بازدید می کنید و در کدام سایت ها. این نوع کوکی هم می توانند از نوع دائمی و هم موقت باشند. اصولا این نوع کوکی ها استاندارد نیستند و توسط مرورگرهای جدید بلوک می شوند. همچنین این کوکی ها ممکن است به هکر ها کمک کنند تا اطلاعات شخصی شما را بدست بیاورند.( برای جلوگیری از آخرین پچ های مرورگر خود استفاده کنید*) اصولا پیشنهاد می شود تا این کوکی ها را که هیچ استفاده مفیدی برای کاربر ندارند بلوک کنید.

 

 

 

 


  • ۰

Adware و Spyware چیست؟

Adware و Spyware چیست؟

Adware و Spyware چیست؟

Adware و Spyware چیست؟

آیا از صفحات مختلفی که گاه و بیگاه ، نا خواسته روی صفحه مانیتورتان ظاهر می شود بستوه آمده اید ؟
آیا می دانیدکه سیستم شما آلوده به برنامه های جاسوسی شده است؟
می دانید در هنگام استفاده از سرویس های File Sharing مانند Kazza و … سیستم شما آلوده به Spyware و Adware میگردد؟
Spyware و Adware فایل هائی هستند که روی کامپیوتر شما نصب می شوند حتی بدون اینکه شما چنین چیزی را درخواست کرده باشید! این برنامه ها شرکت های بزرگ را قادر می سازند تمام اعمال شما را در هنگام گشت و گذار در اینترنت ردیابی کنند . بدانند چه می خواهید ؛ چه می خرید و حتی به چه چیزهائی علاقه دارید.

 

ابزار جاسوسی Spy ware در حالت کلی به هر تکنولوژی برمی گردد که منجر به جمع آوری اطلاعات درباره یک  شخص یا سازمان بدون اینکه آنها بدانند می شود.در حیطه اینترنت،نرم افزاری است که طوری برنامه نویسی شده  است که بر روی کامپیوتر یک شخص قرار  می گیرد  تا درباره کاربر و  مطالب مورد علاقه وی اطلاعاتی را بطور  محرمانه جمع آوری کند.Spyware می تواند به  صورت یک ویروس نرم افزاری یا در نتیجه نصب یک  برنامه جدید در یافت شود.مثلا کوکی ها از این نوع هستند و کاربر می تواند دستیابی به اطلاعات کوکی را غیر مجاز کند.مدیاهای مختلفی که رایگان بر روی وب هستند نیز به همین منظور می  باشند.
متاسفانه در اکثر حالات این جاسوسی قانونی است زیرا این شرکت ها موافقت شما را با نصب این برنامه ها در متن یادداشت License agreement خویش برای اینکه از برنامه های آنها (برنامه هائی مانند Kazza و…) استفاده کنید ؛ دریافت کرده اند و در واقع کاربر از همه جا بی خبر که بدون خواندن متن این License ها آنها را تائید می کند ؛ با دست خویش سیستم خود را به سمت هلاکت سوق داده است.
بنا بر این اگر در هنگام گشت و گذار در اینترنت ؛ ناگهان صفحات ناخواسته ای روی مونیتور شما ظاهر شد
که اکثر آنها شما را ترغیب به کلیک روی لینک خاصی می نمایند ؛ شک نکنید که سیستم شما آلوده به Spyware می باشد .
خوب با این اوصاف چه باید کرد؟
نگران نباشید چون برنامه های متعددی جهت پاکسازی سیستم از شر این مهمان های ناخوانده وجود دارد . همچنین سایتهای متعددی وجود دارند که بصورت Online سیستم شما را از حیث وجود این برنامه ها بررسی می کنند. شما با مراجعه به آدرس
http://www.spywareguide.com/txt_onlinescan.html
می توانید سیستم خود را پویش کنید . همچنین در سایت زیر نیز برنامه های Desktop ای

کامپیوترتان وجود دارد که می توانید دانلود نمائید.
http://www2.palsol.com/spyrem_offer/index.html?hop=cyberw

 

 

 


  • ۰

کاربرد پراکسی در امنیت شبکه

کاربرد پراکسی در امنیت شبکه

کاربرد پراکسی در امنیت شبکه

کاربرد پراکسی در امنیت شبکه

پراکسی چیست؟

در دنیای امنیت شبکه، افراد از عبارت «پراکسی» برای خیلی چیزها استفاده می‌کنند. اما عموماً، پراکسی ابزار است که بسته‌های دیتای اینترنتی را در مسیر دریافت می‌کند، آن دیتا را می‌سنجد و عملیاتی برای سیستم مقصد آن دیتا انجام می‌دهد. در اینجا از پراکسی به معنی پروسه‌ای یاد می‌شود که در راه ترافیک شبکه‌ای قبل از اینکه به شبکه وارد یا از آن خارج شود، قرار می‌گیرد و آن را می‌سنجد تا ببیند با سیاست‌های امنیتی شما مطابقت دارد و سپس مشخص می‌کند که آیا به آن اجازه عبور از فایروال را بدهد یا خیر. بسته‌های مورد قبول به سرور موردنظر ارسال و بسته‌های ردشده دور ریخته می‌شوند.

پراکسی چه چیزی نیست؟

پراکسی‌ها بعضی اوقات با دو نوع فایروال اشتباه می‌شوند«Packet filter  و  Stateful packet filter» که البته هر کدام از روش‌ها مزایا و معایبی دارد، زیرا همیشه یک مصالحه بین کارایی و امنیت وجود دارد.

پراکسی با Packet filter تفاوت دارد

ابتدایی‌ترین روش صدور اجازه عبور به ترافیک بر اساس TCP/IP این نوع فیلتر بود. این نوع فیلتر بین دو یا بیشتر رابط شبکه قرار می‌گیرد و اطلاعات آدرس را در header IP ترافیک دیتایی که بین آنها عبور می‌کند، پیمایش می‌کند. اطلاعاتی که این نوع فیلتر ارزیابی می‌کند عموماً شامل آدرس و پورت منبع و مقصد می‌شود. این فیلتر بسته به پورت و منبع و مقصد دیتا و براساس قوانین ایجادشده توسط مدیر شبکه بسته را می‌پذیرد یا نمی‌پذیرد. مزیت اصلی این نوع فیلتر سریع بودن آن است چرا که header، تمام آن چیزی است که سنجیده می‌شود. و عیب اصلی ان این است که هرگز آنچه را که در بسته وجود دارد، نمی‌بیند و به محتوای آسیبشرسان اجازه عبور از فایروال را می‌دهد. بعلاوه، این نوع فیلتر با هر بسته بعنوان یک واحد مستقل رفتار می‌کند و وضعیت (State) ارتباط را دنبال نمی‌کند.

 

 

 پراکسی با Stateful packet filter تفاوت دارد

این فیلتر اعمال فیلتر نوع قبل را انجام می‌دهد، بعلاوه اینکه بررسی می‌کند کدام کامپیوتر در حال ارسال چه دیتایی است و چه نوع دیتایی باید بیاید. این اطلاعات بعنوان وضعیت (State) شناخته می‌شود.

پروتکل ارتباطی TCP/IP به ترتیبی از ارتباط برای برقراری یک مکالمه بین کامپیوترها نیاز دارد. در آغاز یک ارتباط TCP/IP عادی، کامپیوتر A سعی می‌کند با ارسال یک بسته SYN (synchronize) به کامپیوتر B ارتباط را برقرار کند. کامپیوتر B در جواب یک بسته SYN/ACK (Acknowledgement)  برمی‌گرداند، و کامپیوتر A یک ACK به کامپیوتر ‍B می‌فرستد و به این ترتیب ارتباط برقرار می‌شود. TCP اجازه وضعیتهای دیگر، مثلاً   FIN (finish) برای نشان‌دادن آخرین بسته در یک ارتباط را نیز می‌دهد.

هکرها در مرحله آماده‌سازی برای حمله، به جمع‌آوری اطلاعات در مورد سیستم شما می‌پردازند. یک روش معمول ارسال یک بسته در یک وضعیت غلط به‌منظوری خاص است. برای مثال، یک بسته با عنوان پاسخ (Reply) به سیستمی که تقاضایی نکرده، می‌فرستند. معمولاً، کامپیوتر دریافت‌کننده بیاید پیامی بفرستد و بگوید “I don’t understand”. به‌این ترتیب، به هکر نشان می‌دهد که وجود دارد، و آمادگی برقراری ارتباط دارد. بعلاوه، قالب پاسخ می‌تواند سیستم‌عامل مورد استفاده را نیز مشخص کند، و برای یک هکر گامی به جلو باشد. یک فیلتر Stateful packet منطق یک ارتباط TCP/IP را می‌فهمد و می‌تواند یک “Reply” را که پاسخ به یک تقاضا نیست، مسدود کند ـــ آنچه که یک فیلتر packet ردگیری نمی‌کند و نمی‌تواند انجام دهد. فیلترهای Stateful packet می‌توانند در همان لحظه قواعدی را مبنی بر‌اینکه بسته مورد انتظار در یک ارتباط عادی چگونه باید بنظر رسد، برای پذیرش یا رد بسته بعدی تعیین کنند. فایده این کار امنیت محکم‌تر است. این امنیت محکم‌تر، بهرحال، تا حدی باعث کاستن از کارایی می‌شود.  نگاهداری لیست قواعد ارتباط بصورت پویا برای هر ارتباط و فیلترکردن دیتای بیشتر، حجم پردازشی بیشتری به این نوع فیلتر اضافه می‌کند.

 

پراکسی ها یا Application Gateways

Application Gateways که عموماً پراکسی نامیده می‌شود، پیشرفته‌ترین روش استفاده شده برای کنترل ترافیک عبوری از فایروال‌ها هستند. پراکسی بین کلاینت و سرور قرار می‌گیرد و تمام جوانب گفتگوی بین آنها را برای تایید تبعیت از قوانین برقرارشده، میشسنجد. پراکسی بار واقعی تمام بسته‌های عبوری بین سرور وکلاینت را می‌سنجد، و می‌تواند چیزهایی را که سیاستهای امنیتی را نقض می‌کنند، تغییر دهد یا محروم کند. توجه کنید که فیلترهای بسته‌ها فقط headerها را می‌سنجند، در حالیکه پراکسی‌ها محتوای بسته را با مسدودکردن کدهای آسیب رسان همچون فایلهای اجرایی، اپلت های جاوا، ActiveX و … غربال می‌کنند.

پراکسی‌ها همچنین محتوا را برای اطمینان از اینکه با استانداردهای پروتکل مطابقت دارند، می‌سنجند. برای مثال، بعضی اَشکال حمله کامپیوتری شامل ارسال متاکاراکترها برای فریفتن سیستم قربانی است؛ حمله‌های دیگر شامل تحت تاثیر قراردادن سیستم با دیتای بسیار زیاد است. پراکسی‌ها می‌توانند کاراکترهای غیرقانونی یا رشته‌های خیلی طولانی را مشخص و مسدود کنند. بعلاوه، پراکسی‌ها تمام اعمال فیلترهای ذکرشده را انجام می‌دهند. بدلیل تمام این مزیتها، پراکسی‌ها بعنوان یکی از امن‌ترین روشهای عبور ترافیک شناخته می‌شوند. آنها در پردازش ترافیک از فایروالها کندتر هستند زیرا کل بسته‌ها را پیمایش می‌کنند. بهرحال «کندتر» بودن یک عبارت نسبی است.

آیا واقعاً کند است؟ کارایی پراکسی بمراتب سریعتر از کارایی اتصال اینترنت کاربران خانگی و سازمانهاست. معمولاً خود اتصال اینترنت گلوگاه سرعت هر شبکه‌ای است. پراکسی‌ها باعث کندی سرعت ترافیک در تست‌های آزمایشگاهی می‌شوند اما باعث کندی سرعت دریافت کاربران نمی‌شوند. در شماره بعد بیشتر به پراکسی خواهیم پرداخت.

 

 

 


  • ۰

امنیت نامه های الکترونیکی

امنیت نامه های الکترونیکی

امنیت نامه های الکترونیکی

امنیت نامه های الکترونیکی

الکترونیکی با هر یک از سطوح فوق متفاوت است . این نوع برنامه ها ، امکان اجرای کدهای موجود در فایل اینترنت چالش های جدیدی را در عرصه ارتباطات ایجاد کرده است. کاربران اینترنت با استفاده از روش های متفاوت ،امکان ارتباط با یکدیگر را بدست آورده اند .اینترنت زیر ساخت مناسب برای ارتباطات نوین را فراهم و زمینه ای مساعد و مطلوب بمنظور بهره برداری از سرویس های ارتباطی  توسط کاربران فراهم شده است .  بدون شک ، پست الکترونیکی در این زمینه دارای جایگاهی خاص است .

پست الکترونیکی،  یکی از قدیمی ترین و پرکاربردترین سرویس موجود در اینترنت است .  شهروندان اینترنت، روزانه میلیون ها نامه الکترونیکی را برای یکدیگر ارسال می دارند. ارسال و دریافت  نامه الکترونیکی، روش های سنتی ارسال اطلاعات ( نامه های دستی ) را بشدت دستخوش تحول نموده و حتی در برخی از کشورها ،اغلب مردم تمایل به استفاده از نامه الکترونیکی در مقابل تماس تلفتی با همکاران و خویشاوندان خود دارند . در این مقاله قصد نداریم به بررسی مزایای سیستم پست الکترونیکی اشاره نمائیم. در صورتیکه بپذیریم که سیستم پست الکترونیکی عرصه جدیدی را در ارتباطات افراد ساکن در کره زمین ایجاد کرده است، می بایست بگونه ای حرکت نمائیم که از آسیب های احتمالی تکنولوژی فوق نیز در امان باشیم .

طی سالیان اخیر، بدفعات شنیده ایم که شبکه های کامپیوتری از طریق یک نامه الکترونیکی آلوده و دچار مشکل و تخریب اطلاعاتی  شده اند. صرفنظر از وجود نواقص امنیتی در برخی از محصولات نرم افزاری که در جای خود تولید کنندگان این نوع نرم افزارها بمنظور استمرار حضور موفقیت آمیز خود در عرصه بازار رقابتی موجود، می بایست مشکلات و حفره های امنیتی محصولات خود را برطرف نمایند ، ما نیز بعنوان استفاده کنندگان از این نوع نرم افزارها در سطوح متفاوت ، لازم است با ایجاد یک سیستم موثر پیشگیرانه ضریب بروز و گسترش این نوع حوادث را به حداقل مقدار خود برسانیم . عدم وجود سیستمی مناسب جهت مقابله با این نوع حوادث ، می تواند مسائلی بزرگ را در یک سازمان بدنبال داشته که گرچه ممکن است تولیدکننده نرم افزار در این زمینه مقصر باشد ولی سهل انگاری و عدم توجه به ایجاد یک سیستم امنیتی مناسب ، توسط استفاده کنندگان مزید بر علت خواهد بود ( دقیقا” مشابه عدم بستن کمربند ایمنی توسط سرنشین یک خودرو با نواقص امنیتی ) . در این مقاله ، به بررسی روش های پیشگیری از تخریب  اطلاعات در شبکه های کامپیوتری از طریق پست الکترونیکی پرداخته و با ارائه راهکارهای مناسب ، یک سیستم حفاظتی مطلوب پیشنهاد می گردد . در این راستا ، عمدتا” بر روی برنامه سرویس گیرنده پست الکترونیکی ماکروسافت (Outlook) متمرکز خواهیم شد( بدلیل نقش بارز و مشهود این نوع از برنامه ها در جملات اینترنتی اخیر) .

سیل ناگهانی حملات اینترنتی مبتنی بر کدهای مخرب،  با ظهور کرم ILOVEYOU  ، وارد عرصه جدیدی شده است . سیتسم های مدرن پست الکترونیکی بمنظور مقابله با این نوع از تهدیدات ، تدابیر لازم را در جهت ایجاد یک حفاظ امنیتی مناسب برای  مقابله با عرضه و توزیع کدهای مخرب آغاز نموده اند .برنامه های سرویس گیرنده پست الکترونیکی متعلق به شرکت ماکروسافت ، هدفی جذاب برای اغلب نویسندگان کدهای مخرب می باشند . شاید یکی از دلایل آن ،  گستردگی و مدل برنامه نویسی خاص  بکارگرفته شده در آنان باشد . تاکنون  کدهای مخرب فراوانی ، محصولات ماکروسافت را هدف قرار داده اند . عملکرد قدرتمند سه نوع ویروس ( و یا کرم ) در زمینه تخریب اطلاعات از طریق اینترنت ، شرکت ماکروسافت را وادار به اتخاذ  تصمیمات امنیتی خاص در اینگونه موارد نمود . این ویروس ها عبارتند از :

ویروس Melissa  ، هدف خود را بر اساس  یک فایل ضمیمه Word مورد حمله ویرانگر قرار می دهد . بمحض باز نمودن فایل ضمیمه ،  کد مخرب بصورت اتوماتیک فعال می گردد .

ویروس BubbleBoy ، همزمان با مشاهده ( پیش نمایش ) یک پیام ، اجراء می گردد . در این رابطه ضرورتی به باز نمودن فایل ضمیمه بمنظور فعال شدن و اجرای کدهای مخرب وجود ندارد . در  ویروس فوق ، کدهای نوشته شده  در بدنه نامه الکترونیکی قرار می گیرند . بدین ترتیب، بمحض نمایش پیام توسط برنامه مربوطه ، زمینه اجرای کدهای مخرب فراهم می گردد .

کرم ILOVEYOU  از لحاظ مفهومی شباهت زیادی با ویروس Mellisa داشته و بصورت  یک فایل ضمیمه همراه یک نامه الکترونیکی جابجا می گردد . در این مورد خاص،  فایل ضمیمه خود را بشکل یک سند Word تبدیل نکرده و در مقابل فایل ضمیمه از نوع یک اسکریپت ویژوال بیسیک (vbs . ) بوده و بمحض فعال شدن، توسط میزبان اسکریپت ویندوز (Windows Scripting Host :WSH) تفسیر و اجراء می گردد .

 

 

پیشگیری ها

در این بخش به ارائه پیشنهادات لازم در خصوص پیشگیری از حملات اطلاعاتی مبتنی بر سرویس گیرندگان پست الکترونیکی خواهیم پرداخت.رعایت مواردیکه در ادامه بیان می گردد، بمنزله حذف کامل تهاجمات اطلاعاتی از این نوع نبوده بلکه زمینه تحقق این نوع حوادث را کاهش خواهد داد .

پیشگیری اول  : Patch های برنامه پست الکترونیکی ماکروسافت

بدنبال ظهور کرم ILOVEYOU  و سایر وقایع امنیتی در رابطه با امنیت کامپیوترها در شبکه اینترنت،  شرکت ماکروسافت یک Patch امنیتی برای برنامه های outlook 98  و outlook 2000 عرضه نموده است . Patch فوق، با ایجاد محدودیت در رابطه با  برخی از انواع فایل های ضمیمه ، زمینه اجرای کدهای مخرب را حذف می نماید . با توجه به احتمال وجود کدهای مخرب در فایل های ضمیمه  و میزان مخرب بودن آنان،  تقسیمات خاصی توسط ماکروسافت انجام گرفته است .فایل های ضمیمه ای که دارای بیشترین احتمال تهدید برای سیستم های کامپیوتری می باشند ،  سطح یک و فایل هائی با احتمال تخریب اطلاعاتی کمتر  سطح دو ، نامیده شده اند. نحوه برخورد برنامه های سرویس گیرنده پست های ضمیمه از نوع سطح یک را بلاک می نمایند. جدول زیر انواع فایل ها ی موجود در سطح یک را نشان می دهد .

 

انشعاب شرح
ade Microsoft Access project extension
adp Microsoft Access project
bas Visual Basic class module
bat Batch file
chm Compiled HTML Help file
cmd Windows NT Command script
com MS-DOS program
cpl Control Panel extension
crt Security certificate
exe Program
hlp Help file
hta HTML
inf Setup Information
ins Internet Naming Service
isp Internet Communication settings
js JScript Script file
jse JScript Encoded Script file
lnk Shortcut
mdb Microsoft Access program
mde Microsoft Access MDE database
msc Microsoft Common Console document
msi Windows Installer package
msp Windows Installer patch
mst Visual Test source files
pcd Photo CD image
pif Shortcut to MS-DOS program
reg Registration entries
scr Screen saver
sct Windows Script Component
shs Shell Scrap Object
url Internet shortcut
vb VBScript file
vbe VBScript encoded script file

 

Patch فوق،  در رابطه با ضمائمی که با نام سطح دو( مثلا” فایل هائی از نوع zip )  ، شناخته می شوند از رویکردی دیگر استفاده می نماید . این نوع ضمائم بلاک نمی گردند ولی لازم است که کاربر قبل از اجراء آنان را بر روی کامپیوتر خود ذخیره نماید . بدین ترتیب در روند اجراء یک توقف ناخواسته بوجود آمده و زمینه فعال شدن ناگهانی آنان بدلیل سهل انگاری ، حذف می گردد. در رابطه با این نوع از فایل ها ، پیامی مشابه زیر ارائه می گردد .

فایل هائی بصورت پیش فرض درسطح دو ،  وجود نداشته و مدیرسیستم می تواند فایل هائی با نوع خاص را اضافه نماید (در رابطه با فایل های سطح یک نیز امکان حذف و یا افزودن فایل هائی وجود دارد ) . در زمان تغییر نوع فایل های سطح یک و دو، می بایست به دو نکته مهم توجه گردد : عملیات فوق،  صرفا” برای کاربرانی که به سرویس دهنده پست الکترونیکی Exchange متصل هستند امکان پذیر بوده و کاربرانی که از فایل ها ی pst . برای ذخیره سازی پیام های الکترونیکی خود استفاده می نمایند را شامل نمی شود. قابلیت تغییر تعاریف ارائه شده سطح یک و دو،  می تواند بعنوان یک رویکرد مضاعف در رابطه با سیاست های امنیتی محلی، مورد استفاده قرار گیرد . مثلا” می توان با استفاده از ویژگی فوق،  فایل های با انشعاب doc . ( فایل های word) را به لیست فایل های سطح یک اضافه کرد. برای انجام تغییرات مورد نظر در نوع فایل ضمیمه تعریف شده در سطح یک ، می بایست مراحل زیر را دنبال نمود :

برنامه Regedit.exe را اجراء نمائید .

کلید HKEY_CURRENT_USER\SOFTWARE\Policies\Microsoft\Security key را انتخاب نمائید . ( در صورتیکه کلید فوق وجود ندارد می بایست آن را ایجاد کرد) .

از طریق منوی Edit  دستور New  و در ادامه String Value انتخاب گردد .

نام جدید را Level1AttachmentAdd  منظور نمائید.

گزینه new Level1AttachmentAdd value را انتخاب و دکمه Enter را فعال نمائید .

یک رشته شامل انشعاب فایل های مورد نظر را که قصد اضافه کردن آنها را داریم ، وارد نمائید ( هر یک از انشعاب فایل ها توسط  “;” از یکدیگر تفکیک می گردند )

Example:
Name: Level1AttachmentAdd
Type: REG_SZ
Data: doc;xls

در زمان بازنمودن فایل های ضمیمه ای که از نوع سطح یک و یا دو نمی باشند( فایل های آفیس نظیر  Word ,Powerpoint بجزء فایل های مربوط به Access  )  ، پیامی مطابق شکل زیر ارائه و کاربران دارای حق انتخاب بمنظور فعال نمودن ( مشاهده ) فایل ضمیمه و یا ذخیره آن بر روی کامپیوتر را دارند . پیشنهاد می گردد که در چنین مواردی فایل ذخیره و پس از اطمینان از عدم وجود کدهای مخرب ، فعال و مشاهده گردد . در این رابطه می توان از ابزارهای موجود استفاده کرد .

 

Patch فوق، همچنین امکان دستیابی به دفترچه آدرس Outlook را از طریق مدل شی گراء Outlook و  CDO)Collaborative Data Objects)   ، توسط کدهای برنامه نویسی کنترل  می نماید .بدین ترتیب، پیشگیری لازم در مقابل کدهای مخربی که بصورت خودکار و تکراری اقدام به تکثیر نسخه هائی از خود  برای لیست افراد موجود در دفترچه آدرس می نمایند ، انجام خواهد یافت . Patch فوق، صرفا” برای نسخه  های Outlook 98 و outlook 2000 ارائه شده است ( برای نسخه های قبلی و یا Outlook Express  نسخه مشابهی ارائه نشده است ) .

 

پیشگیری دوم  : استفاده از نواحی امنیتی Internet Explorer

سرویس گیرندگان Outlook 98/2000  و Outlook Express 4.0/5.0  امکان استفاده از مزایای نواحی (Zones) امنیتی مرورگر IE را بمنظور حفاظت در مقابل کدهای مخرب ( کنترل های ActiveX ، جاوا  و یا اسکریپت ها ) موجود در بدنه پیام ها ،خواهند داشت . مرورگر IE ، امکان اعمال محدودیت در اجرای کدها را بر اساس چهار ناحیه فراهم می نماید . قبل از پرداختن به نحوه استفاده از تنظیمات فوق توسط برنامه outlook ، لازم است که به کاربرد هر یک ازنواحی در مرورگر IE ، اشاره گردد :

 

Local Intranet zone :ناحیه فوق، شامل آدرس هائی است که قبل  از فایروال سازمان و یا سرویس دهنده Proxy قرار می گیرند . سطح امنیتی پیش فرض برای ناحیه فوق ، ” medium -low” است .

Trusted Sites zone : ناحیه فوق، شامل سایت هائی است که مورد اعتماد می باشند . ( سایت هائی که  شامل فایل هائی بمنظور تخریب اطلاعاتی نمی باشند )  . سطح امنیتی پیش فرض برای ناحیه فوق،  ” low” است .

Restricted Sites zone :  ناحیه فوق، شامل لیست سایت هائی است که مورد اعتماد و تائید نمی باشند . ( سایت هائی که ممکن است دارای محتویاتی باشند که در صورت دریافت و اجرای آنها ، تخریب اطلاعات را بدنبال داشته باشد ) .سطح امنیتی پیش فرض برای ناحیه فوق ،” high” است .

Internet zone  : ناحیه فوق ، بصورت پیش فرض شامل هرچیزی که بر روی کامپیوتر و یا اینترانت موجود نمی باشد ، خواهد بود . سطح امنیتی پیش فرض برای ناحیه فوق، ” medium ” است .

برای هر یک از نواحی فوق، می توان یک سطح  امنیتی بالاتر را نیز تعریف نمود. ماکروسافت در این راستا سیاست هائی با نام : low , medium-low , medium  و high را تعریف کرده است . کاربران می توانند هر یک از پیش فرض های فوق را انتخاب و متناسب با نیاز خود آنان را تغییر نمایند .

برنامه outlook می تواند از نواحی فوق استفاده نماید . در این حالت کاربر قادر به انتخاب دو ناحیه ( Internet zone و Restricted Zone ) خواهد بود .

 

 

تنظیمات تعریف شده برای ناحیه انتخاب شده در رابطه با تمام پیام های outlook اعمال خواهد شد . پیشنهاد می گردد ناحیه restricted انتخاب گردد . بدین منظور گزینه Tools/Options  و در ادامه گزینه Security را انتخاب نموده و از لیست مربوطه ناحیه Restricted sites را انتخاب نمائید.  در ادامه و بمنظور انجام تنظیمات مورد نظر ، دکمه Zone Settings را فعال و گزینه Custom Level  را انتخاب نمائید . تغییرات اعمال شده در زمان استفاده  از برنامه مرورگر برای دستیابی به وب سایت ها  نیز مورد توجه قرار خواهند گرفت . پیشنهادات ارائه شده مختص برنامه IE 5.5 بوده و در نسخه های 5 و 4 نیز از امکانات مشابه با اندکی تغییرات استفاده می گردد. در این رابطه تتظیمات زیر پیشنهاد می گردد :

گزینه وضعیت
Download signed ActiveX controls DISABLE
Download unsigned ActiveX controls DISABLE
Initialize and script ActiveX controls not marked as safe DISABLE
Run ActiveX controls and plug-ins DISABLE
Script ActiveX controls marked safe for scripting DISABLE
Allow per-session cookies (not stored) DISABLE
File download DISABLE
Font download DISABLE
Java permissions DISABLE  JAVA
Access data sources across domains DISABLE
Don�t prompt for client certificate selection when no certificates or only one certificate exists DISABLE
Drag and drop or copy and paste files DISABLE
Installation of desktop items DISABLE
Launching programs within an IFRAME DISABLE
Navigate sub-frames across different domains DISABLE
Software channel permissions HIGH SAFETY
Submit nonencrypted form data DISABLE
Userdata persistence DISABLE
Active scripting DISABLE
Allow paste operations via script DISABLE
Scripting of Java Applets DISABLE
Logon Anonymous logon

 

با غیر فعال نمودن گزینه های فوق، امکانات پیشرفته ای از کاربر سلب می گردد. امکانات فوق برای تعداد زیادی از کاربران پست الکترونیکی ،  دارای کاربردی  خاص نخواهند بود . اکثر نامه های الکترونیکی ، پیام های ساده متنی بهمراه ضمائم مربوطه می باشند. گزینه های فوق، عموما” به غیر فعال نمودن اسکریپت ها و کنترل های موجود در بدنه یک پیام الکترونیکی اشاره داشته و برای کاربران معمولی سیستم پست الکترونیکی دارای کاربردی خاص نمی باشند. تنظیمات فوق، بصورت مشترک توسط مرورگر IE نیز استفاده خواهند شد (صفحات وبی که از برخی از ویژگی های فوق استفاده می نمایند) . در این رابطه لازم است مجددا” به این موضوع اشاره گردد که  ناحیه Restricted  صرفا” شامل سایت هائی است که مورد اعتماد نبوده و مشکلی ( عدم فعال بودن برخی از پتانسیل های مرورگر ) را در رابطه با  مشاهده صفحات وب از سایت های تائید شده ،نخواهیم داشت.مهمترین دستاورد تنظیمات فوق،پیشگیری از حملاتی است که سیاست تخریبی خود را بر اساس درج  محتویات فعال در بدنه نامه های  الکترونیکی،  تبین نموده اند . ( نظیر ویروس BubbleBoy  ) .

 

پیشگیری سوم :  تغییر فایل مرتبط و یا غیر فعال نمودن WSH

patch امنیتی ارائه شده در پیشگیری اول، باعث حفاظت سیستم در مقابل ویروس هائی نظیر ILOVEYOU ،  در outlook 98 و outlook 2000 می گردد . متاسفانه روش مشابهی بمنظور استفاده در outlook Express ، وجود ندارد. بمنظور حفاظت سیستم در مقابل نامه های الکترونیکی که دارای عملکردی نظیر ILOVEYOU  می باشند ، می توان از روشی دیگر در outlook express استفاده کرد. بدین منظورمی توان تغییراتی را در سطح  برنامه هائی که مسئول فعال نمودن فایل مورد نظر( File Associations ) می باشند ، اعمال نمود.  کرم ILOVEYOU ، از طریق یک فایل اسکریپت ویژوال بیسیک ( vbs .) ، که توسط میزبان اسکریپت ویندوز (Windows Scripting Host :WSH ) تفسیر می گردد ، فعال خواهد شد. در حقیقت WSH محیط ( شرایط)  لازم برای ILOVEYOU  را فراهم می نماید. اعمال محدودیت در رابطه با WSH و یا تغییر در فایل پیش فرض مربوطه ای که مسئول برخورد( نمایش ، ایجاد شرایط اجراء)  با فایل مورد نظر می باشد ، می تواند یک سطح مناسب امنیتی را در رابطه با ضمائم نامه های الکترونیکی که حاوی کدهای مخرب می باشند ، فراهم می نماید.  در این رابطه از راهکارهای متفاوتی می توان استفاده کرد .

روش اول : یکی از روش های پیشگیری موثر در مقابل این نوع  از حملات ، تغییر واکنش پیش فرض در زمانی است که کاربر باعث فعال شدن اینچنین فایل های می گردد ( double click بر روی فایلی با انشعاب vbs . )  .در ویندوز NT ، این عملیات از طریق  Windows Explorer  و بصورت زیر انجام می شود.

 

View | Folder Options  ==>
Select VBScript Script File ==> Click Edit ==> Highlight Edit ==> Click Set Default

پس از اعمال تغییرات فوق ، در صورتیکه کاربری  فایلی ضمیمه با انشعاب vbs . را فعال نماید ، فایل مورد نظر توسط WSH اجراء نخواهد شد ، در مقابل ، فایل فوق ، بدون نگرانی توسط ادیتور پیش فرض ( معمولا” notepad ) ، فعال و نمایش داده خواهد شد. فرآیند فوق را می توان به فایل های دیگر نیز تعمیم داد. فایل هائی  که دارای یکی از انشعابات زیر باشند ، توسط WSH فعال خواهند شد . بنابراین می توان تغییرات لازم را مطابق آنچه اشاره گردید ، در رابطه با آنها نیز اعمال نمود.

WSC , WSH ,WS ,WSF,VBS,VBE,JS,JSE

روش ارائه شده در رابطه با  outlook Express  بخوبی کار خواهد کرد . در این راستا ، لازم است به این مسئله مهم اشاره گردد که تضمینی وجود ندارد که سرویس گیرندگان پست الکترونیکی از تنظیمات پیش فرض، زمانیکه کاربر یک فایل ضمیمه را فعال می نماید،  استفاده نمایند . مثلا” زمانیکه یک فایل ضمیمه vbs. ، توسط Netscape messenger فعال می گردد ، کاربر دارای گزینه های open  و یا Save خواهد بود. در صورتیکه کاربر گزینه open را انتخاب نماید ،  کد مورد نظر صرفنظر از تنظیمات پیش فرض فعال خواهد شد.( نادیده گرفتن تنظیمات پیش فرض )

روش دوم : راهکار دیگری که می توان بکمک آن باعث پیشگیری از بروز چنین مسائلی گردید ، غیر فعال نمودن WSH است .  برای انجام عملیات فوق ( غیر فعال نمودن WSH ) می بایست برنامه های ویندوز را که باعث حمایت و پشتیبانی از اجراء اسکریپت ها می گردند ( برنامه های wscript.exe و csscript ) را تغییر نام داد .در سیستم هائی شامل ویندوزNT ، این فایل ها  در مسیر %System%\System32 ، قرار دارند( معمولا” C:\Winnt\System32 ) .  بمنظور تغییر نام فایل های  فوق ، بهتر است از طریق خط دستور ( command prompt) این کار انجام شود. در برخی از نسخه های سیستم عامل، بموازات تغییر نام فایل مرتبط با یک نوع حاص از فایل ها ،  بصورت اتوماتیک برنامه مرتبط با  آنان  به نام جدید تغییر داده خواهد شد. بدین ترتیب تغییر اعمال شده هیچگونه تاثیر مثبتی را از لحاظ امنیتی بدنبال نخواهد داشت .

روش سوم : گزینه سوم در خصوص غیر فعال نمودن WSH ، تغییر مجوز فایل ( File Permission ) در رابطه با فایل های Wscript.exe  و CSscript.exe است . روش فوق ، نسبت به دو روش اشاره شده ، ترجیح داده می شود. در چنین مواردی امکان استفاده از پتانسیل های WSH برای مدیران سیستم  وجود داشته در حالیکه  امکان استفاده از پتانسیل فوق از کاربران  معمولی سلب می گردد .

لازم است به این نکته مهم اشاره گردد که با اینکه پیشگیری فوق ، در رابطه با کرم هائی نظیر ILOVEYOU و موارد مشابه موثرخواهد بود ، ولی نمی تواند تمام ریسک های مربوط در این خصوص و در رابطه با سایر  فایل ها ئی که ممکن است شامل کدهای اسکریپت باشند را  حذف نماید. در این رابطه می توان به فایل های با انشعاب exe .  ،  اشاره نمود. این نوع فایل ها دارای نقشی حیاتی در رابطه با انجام عملیات بر روی یک کامپیوتر بوده  و نمی توان آنها را غیر فعال نمود . بدین ترتیب متجاوزان اطلاعاتی می توانند از این نوع فایل ها ، بعنوان مکانیزمی جهت توزیع کدهای مخرب ، استفاده  نمایند .

 

پیشگیری چهارم : حفاظت ماکروهای آفیس و آموزش کاربران

ماکروسافت در رابطه با حفاظت در مقابل فایل های ضمیمه حاوی کدهای مخرب از طریق سایر برنامه های جانبی، نیز تدابیری اندیشیده است . مثلا” با اینکه  patch امنیتی ارائه شده در پیشگیری اول ، بصورت پیش فرض در رابطه با ماکروهای word موثر واقع نمی شود ، ولی در بطن این نوع نرم افزارها امکانات خاصی قرار گرفته شده است که می توان بکمک آنان ، یک سطح امنیتی اولیه در رابطه با فعال شدن ماکروها را اعمال نمود. مثلا” آفیس 97 ، گزینه اختیاری  حفاظت ماکرو را ارائه  که می توان بکمک آن یک لایه حفاظتی را در رابطه با عملکرد ماکروها ، ایجاد نمود. در چنین مواردی به کاربران پیامی ارائه و کاربران می توانند قبل از فعال شدن ماکرو در رابطه با آن تصمیم گیری نمایند ( ارائه پاسخ مناسب توسط کاربران ) . لازم است در این خصوص به کاربران آموزش های ضروری و مستمر  در رابطه با خطرات احتمالی عدم رعایت اصول اولیه امنیتی خصوصا” در رابطه با دریافت نامه های الکترونیکی از منابع غیرمطمئن داده شود . گزینه فوق را می توان از طریق Tools|options|General| Enable macro virus protection ، فعال نمود. آفیس 2000 و XP وضعیت فوق را بهبود و می توان تنظیمات لازم در خصوص اجرای ماکروهای دریافتی از یک منبع موثق و همراه با امضاء دیجیتالی  را انجام داد . در word , Powerpoint .Excel  می توان ، گزینه فوق را از طریق Tools|macro|Security ، استفاده و تنظیمات لازم را انجام داد. با انتخاب گزینه High ،  حداکثر میزان حفاظت ، در نظر گرفته خواهد شد.

 

پیشگیری پنجم : نمایش و انشعاب فایل 

یکی از روش متداول بمنظور ایجاد مصونیت در مقابل فایل های حاوی کدهای مخرب ، تبدیل فایل فوق به فایلی بی خاصیت ( عدم امکان اجراء) است . بدین منظور می توان از یک انشعاب فایل اضافه استفاده نمود .(مثلا” فایل :  ILOVYOU.TXT.VBS) .  در صورتیکه ویندوز برای  نمایش این نوع فایل ها ( با در نظر گرفتن انشعاب فایل ها ) ، پیکربندی نشده باشد ، فایل فوق بصورت یک فایل متن تفسیر خواهد شد. ( ILOVEYOU.TXT )  . بمنظور پیاده سازی روش فوق می بایست دو فاز عملیاتی را دنبال نمود : در اولین مرحله می بایست به ویندوز اعلام گردد که انشعاب فایل ها را از طریق   Windows Explorer ، نمایش دهد . ( انتخاب  Options|View  و غیر فعال نمودن Hide file extensions for known file types ) . متاسفانه برای برخی فایل های خاص  که می توانند شامل عناصر اجرائی و یا اشاره گری به آنان باشند ، تنظیم فوق ، تاثیری را بدنبال نداشته و در این رابطه لازم است کلید های ریجستری زیر ، بمنظور پیکربندی ویندوز برای نمایش انشعاب این نوع از فایل ها ، حذف گردد ( مرحله دوم.)

 

انشعاب فایل کلید ریجستری توضیحات
.lnk HKEY_CLASSES_ROOT\lnkfile\NeverShowExt Shortcut
.pif HKEY_CLASSES_ROOT\piffile\NeverShowExt Program information file
(shortcut to a DOS program)
.scf HKEY_CLASSES_ROOT\SHCmdFile\NeverShowExt Windows Explorer
Command file
.shb HKEY_CLASSES_ROOT\DocShortcut\NeverShowExt Shortcut into a document
.shs HKEY_CLASSES_ROOT\ShellScrap Shell Scrap Object
.xnk HKEY_CLASSES_ROOT\xnkfile\NeverShowExt Shortcut to an Exchange
folder
.url HKEY_CLASSES_ROOT\InternetShortcut\NeverShowExt Internet shortcut
.maw HKEY_CLASSES_ROOT\Access.Shortcut.DataAccessPage.1\NeverShowExt Shortcuts to elements of an MS Access database.
Most components of an Access database can containan executable component.
.mag HKEY_CLASSES_ROOT\Access.Shortcut.Diagram.1\NeverShowExt
.maf HKEY_CLASSES_ROOT\Access.Shortcut.Form.1\NeverShowExt
.mam HKEY_CLASSES_ROOT\Access.Shortcut.Macro.1\NeverShowExt
.mad HKEY_CLASSES_ROOT\Access.Shortcut.Module.1\NeverShowExt
.maq HKEY_CLASSES_ROOT\Access.Shortcut.Query.1\NeverShowExt
.mar HKEY_CLASSES_ROOT\Access.Shortcut.Report.1\NeverShowExt
.mas HKEY_CLASSES_ROOT\Access.Shortcut.StoredProcedure.1\NeverShowExt
.mat HKEY_CLASSES_ROOT\Access.Shortcut.Table.1\NeverShowExt
.mav HKEY_CLASSES_ROOT\Access.Shortcut.View.1\NeverShowExt

پیشگیری ششم : از Patch های بهنگام شده، استفاده گردد

اغلب حملات  مبتنی بر اینترنت  از  نقاط آسیب پذیر یکسانی بمنظور نیل به اهداف خود استفاده می نمایند . ویروس Bubbleboy ، نمونه ای مناسب در این زمینه بوده که تهیه کننده آن از نفاط آسیب پذیر شناخته شده در مرورگر اینترنت ( IE  ) ، استفاده کرده است . ماکروسافت بمنظور حل مشکل این نوع از نقاط آسیب پذیر در محصولات خود خصوصا” برنامه مرورگر اینترنت ، patch های امنیتی خاصی را ارائه نموده است . با توجه به امکان بروز حوادث مشابه و بهره برداری از نقاط آسیب پذیر در محصولات نرم افزاری استفاده شده ، خصوصا” نرم افزارهائی که بعنوان ابزار ارتباطی در اینترنت محسوب می گردند ، پیشنهاد می گردد که patch های ارائه شده را بر روی سیستم خود نصب تا حداقل از بروز حوادث مشابه قبلی بر روی سیستم خود جلوگیری نمائیم .

پیشگیری هفتم : محصولات آنتی ویروس

اغلب محصولات تشخیص ویروس های کامپیوتری، عملیات تشخیص خود را بر اساس  ویروس های شناخته شده  ، انجام خواهند داد . بنابراین  اینگونه محصولات همواره در مقابل حملات جدید و نامشخص ، غیرموثر خواهند بود. محصولات فوق ، قادر به برخورد و پیشگیری از تکرار مجدد ، حملات مشابه تهاجمات سابق می باشند. برخی از محصولات آنتی ویروس ، امکان بلاک نمودن ضمائم نامه های الکترونیکی را در سطح سرویس دهنده پست الکترونیکی فراهم می نمایند. پتانسیل فوق می تواند عاملی مهم بمنظور بلاک نمودن ضمائم نامه های الکترونیکی حاوی کدهای مخرب قبل از اشاعه آنان باشد .

پیشگیری هشتم : رعایت و پایبندی به اصل ” کمترین امتیاز

” کمترین امتیاز ” ، یک رویکرد پایه در رابطه با اعمال امنیت در کامپیوتر است . بر این اساس توصیه می شود  که  به کاربران صرفا” امتیازاتی واگذار گردد که  قادر به انجام عملیات  خود باشند . کدهای مخرب بمنظور تحقق اهداف خود به یک محیط ، نیاز خواهند داشت . محیط فوق ، می تواند از طریق اجرای یک برنامه توسط یک کاربر خاص بصورت ناآگاهانه ایجاد گردد. در این رابطه پیشنهاد می گردد ، پس از آنالیز نوع فعالیت هائی که هر کاربر می بایست انجام دهد ، مجوزها ی لازم برای وی تعریف و از بذل و بخشش مجوز در این رابطه می بایست جدا” اجتناب ورزید.

 

پیشگیری نهم : امنیت سیستم عامل

حفاظت در مقابل کدهای مخرب می تواند به میزان قابل محسوسی از طریق کلیدهای اساسی سیستم ، کنترل و بهبود یابد. در این راستا از سه  رویکرد خاص استفاده می گردد : حفاظت عناصر کلیدی در ریجستری سیستم ،  ایمن سازی اشیاء پایه  و محدودیت در دستیابی به دایرکتوری سیستم ویندوز NT . در ادامه به بررسی هر یک از رویکردهای فوق ، خواهیم پرداخت .

 

پیشگیری نهم – رویکرد  اول : ایمن سازی ریجستری سیستم

کرم ILOVEYOU از مجوزهای ضعیف نسبت داده شده  به کلیدهای ریجستری  RUN و RUNSERVICES ، استفاده  و اهداف خود را تامین نموده است . مجوزهای دستیابی پیش فرض در رابطه با کلیدهای فوق ،  امکان تغییر محتویات و یا حتی ایجاد محتویات جدید را در اختیار کاربران قرار می دهد.مثلا” می توان با  اعمال تغییراتی خاص در رابطه با کلیدهای فوق ، زمینه اجرای اسکریپت های خاصی را پس از ورود کاربران به شبکه و اتصال به سرویس دهنده بصورت  تکراری فراهم نمود . ( پس  از ورود کاربران به شبکه ، اسکریپت ها بصورت اتوماتیک اجراء خواهند شد ) . بدین منظور پیشنهاد می گردد که مجوزهای مربوط به کلیدهای فوق بصورت جدول زیر تنظیم گردد : ( پیشنهادات ارائه شده شامل کلیدهای اساسی و مشخصی است که توسط ILOVEYOU  استفاده و علاوه بر آن کلیدهای اضافه دیگر را نیز شامل می شود) :

 

مجوزهای پیشنهادی User / Groups کلید ریجستری
Full Control
Read, Write, Execute
Full Control
Full Control
Administrators
Authenticated Users
CREATOR OWNER
SYSTEM
MACHINE\SOFTWARE\Microsoft\Windows

کلیدها و زیر کلیدها
پارامترهای استفاده شده توسط زیر سیستم های win32

Full Control
Read, Execute
Full Control
Administrators
Authenticated Users
SYSTEM
\MACHINE\SOFTWARE\Microsoft\Windows\
CurrentVersion\Runکلیدها و زیر کلیدها
شامل اسامی امورد نظر که در هر مرتبه راه اندازی سیستم ، اجراء خواهند شد.
Full Control
Read, Execute
Full Control
Administrators
Authenticated Users
SYSTEM
\MACHINE\SOFTWARE\Microsoft\Windows\
CurrentVersion\RunOnceکلیدها و زیر کلیدها
شامل نام برنامه ای که در اولین مرتبه ورود به شبکه کاربر ، اجراء می گردد.
Full Control
Read, Execute
Full Control
Administrators
Authenticated Users
SYSTEM
\MACHINE\SOFTWARE\Microsoft\Windows\
CurrentVersion\RunOnceExکلیدها و زیر کلیدها
شامل اطلاعات پیکربندی برای برخی از عناصر سیستم و مرورگر. عملکرد آنان مشابه کلید RunOnce است.
Full Control
Read, Execute
Full Control
Full Control
Administrators
Authenticated Users
CREATOR OWNER
SYSTEM
\MACHINE\SOFTWARE\Microsoft\Windows\
CurrentVersion\Shell Extensionsکلیدها و زیر کلیدها
شامل تمام تنظیمات Shell Extebsion که از آنان بمنظور توسعه اینترفیس ویندوز NT استفاده می گردد.

 

بمنظور اعمال محدودیت در دستیابی به ریجستری ویندوز از راه دور ، پیشنهاد می گردد  یک کلید ریجستری ایجاد و مقدار آن مطابق زیر تنظیم گردد :

 

Hive: HKEY_LOCAL_MACHINE
Key: \System\CurrentControlSet\Control\SecurePipeServers\winreg
Name: RestrictGuestAccess
Type: REG_DWORD
Value: 1

 

 

پیشگیری نهم – رویکرد دوم : ایمن سازی اشیاء پایه

ایمن سازی اشیاء پایه باعث ممانعت کدهای مخرب در ابطه با اخذ مجوزها و امتیازات مدیریتی توسط یک ( DLL(Dynamic lonk Library می گردد . بدون پیاده سازی سیاست امنیتی فوق ، کدها ی مخرب قادر به استقرار در حافظه و لود نمودن فایلی با نام مشابه بعنوان یک DLL سیستم و هدایت برنامه به آن خواهند بود. در این راستا لازم است ، با استفاده از برنامه ویرایشگر ریجستری ، یک کلید ریجستری ایجاد و مقدار آن مطابق زیر  تنظیم گردد :

 

Hive: HKEY_LOCAL_MACHINE
Key: \System\CurrentControlSet\Control\Session Manager
Name: AdditionalBaseNamedObjectsProtectionMode
Type: REG_DWORD
Value: 1

 

پیشگیری نهم – رویکرد سوم : ایمن سازی دایرکتوری های سیستم 

کاربران دارای مجوز لازم در خصوص نوشتن در دایرکتوری های سیستم  ( winnt/system32 و winnt/system )  می باشند . کرم ILOVEYOU از وضعیت فوق ، استفاده و اهداف خود را دنبال نموده است . پیشنهاد می گردد ، کاربران تائید شده  صرفا” دارای  مجوز Read دررابطه با دایرکتوری های و فایل ها ی مربوطه بوده  و امکان ایجاد و یا نوشتن در دایرکتوری های  سیستم، از آنها سلب گردد. در این رابطه ، تنظیمات زیر پیشنهاد می گردد :

مجوزهای پیشنهادی User / Groups فایل / فولدر
Full Control
Read, Execute
Full Control
Full Control
Administrators
Authenticated Users
CREATOR OWNER
SYSTEM
%WINNT%

فایل ها ، فولدرها
شامل تعداد زیادی از فایل های اجرائی سیستم عامل

Full Control
Read, Execute
Full Control
Full Control
Administrators
Authenticated Users
CREATOR OWNER
SYSTEM
%WINNT/SYSTEM%

فایل ها ، فولدرها
شامل تعداد زیادی از فایل های DLL ، درایور و برنامه های اجرائی

Full Control
Read, Execute
Full Control
Full Control
Administrators
Authenticated Users
CREATOR OWNER
SYSTEM
%WINNT/SYSTEM32%

فایل ها ، فولدرها
شامل تعداد زیادی از فایل های DLL ، درایور و برنامه های اجرائی  ( برنامه های سی و دو بیتی )

 

 

رمزنگاری

 

۱معرفی و اصطلاحات

رمزنگاری علم کدها و رمزهاست. یک هنر قدیمی است و برای قرنها بمنظور محافظت از پیغامهایی که بین فرماندهان، جاسوسان،‌ عشاق و دیگران ردوبدل می‌شده، استفاده شده است تا پیغامهای آنها محرمانه بماند.

هنگامی که با امنیت دیتا سروکار داریم، نیاز به اثبات هویت فرستنده و گیرنده پیغام داریم و در ضمن باید از عدم تغییر محتوای پیغام مطمئن شویم. این سه موضوع یعنی محرمانگی، تصدیق هویت و جامعیت در قلب امنیت ارتباطات دیتای مدرن قرار دارند و می‌توانند از رمزنگاری استفاده کنند.

اغلب این مساله باید تضمین شود که یک پیغام فقط میتواند توسط کسانی خوانده شود که پیغام برای آنها ارسال شده است و دیگران این اجازه را ندارند. روشی که تامین کننده این مساله باشد “رمزنگاری” نام دارد. رمزنگاری هنر نوشتن بصورت رمز است بطوریکه هیچکس بغیر از دریافت کننده موردنظر نتواند محتوای پیغام را بخواند.

رمزنگاری مخفف‌ها و اصطلاحات مخصوص به خود را دارد. برای درک عمیق‌تر به مقداری از دانش ریاضیات نیاز است. برای محافظت از دیتای اصلی ( که بعنوان plaintext شناخته می‌شود)، آنرا با استفاده از یک کلید (رشته‌ای محدود از بیتها) بصورت رمز در می‌آوریم تا کسی که دیتای حاصله را می‌خواند قادر به درک آن نباشد. دیتای رمزشده (که بعنوان ciphertext شناخته می‌شود) بصورت یک سری بی‌معنی از بیتها بدون داشتن رابطه مشخصی با دیتای اصلی بنظر می‌رسد. برای حصول متن اولیه دریافت‌کننده آنرا رمزگشایی می‌کند. یک شخص ثالت (مثلا یک هکر) می‌تواند برای اینکه بدون دانستن کلید به دیتای اصلی دست یابد، کشف رمز‌نوشته (cryptanalysis) کند. بخاطرداشتن وجود این شخص ثالث بسیار مهم است.

رمزنگاری دو جزء اصلی دارد، یک الگوریتم و یک کلید. الگوریتم یک مبدل یا فرمول ریاضی است. تعداد کمی الگوریتم قدرتمند وجود دارد که بیشتر آنها بعنوان استانداردها یا مقالات ریاضی منتشر شده‌اند. کلید، یک رشته از ارقام دودویی (صفر و یک) است که بخودی‌خود بی‌معنی است. رمزنگاری مدرن فرض می‌کند که الگوریتم شناخته شده است یا می‌تواند کشف شود. کلید است که باید مخفی نگاه داشته شود و کلید است که در هر مرحله پیاده‌سازی تغییر می‌کند. رمزگشایی ممکن است از همان جفت الگوریتم و کلید یا جفت متفاوتی استفاده کند.

دیتای اولیه اغلب قبل از رمزشدن بازچینی می‌شود؛  این عمل عموما بعنوان scrambling شناخته می‌شود. بصورت مشخص‌تر، hash functionها بلوکی از دیتا را (که می‌تواند هر اندازه‌ای داشته باشد) به طول از پیش مشخص‌شده کاهش می‌دهد. البته دیتای اولیه نمی‌تواند از hashed value بازسازی شود. Hash functionها اغلب بعنوان بخشی از یک سیستم تایید هویت مورد نیاز هستند؛ خلاصه‌ای از پیام (شامل مهم‌ترین قسمتها مانند شماره پیام، تاریخ و ساعت، و نواحی مهم دیتا) قبل از رمزنگاری خود پیام، ساخته ‌و hash می‌شود.

یک چک تایید پیام (Message Authentication Check) یا MAC یک الگوریتم ثابت با تولید یک امضاء برروی پیام با استفاده از یک کلید متقارن است. هدف آن نشان دادن این مطلب است که پیام بین ارسال و دریافت تغییر نکرده است. هنگامی که رمزنگاری توسط کلید عمومی برای تایید هویت فرستنده پیام استفاده می‌شود، منجر به ایجاد امضای دیجیتال (digital signature) می‌شود.

۲الگوریتم‌ها

طراحی الگوریتمهای رمزنگاری مقوله‌ای برای متخصصان ریاضی است. طراحان سیستمهایی که در آنها از رمزنگاری استفاده می‌شود، باید از نقاط قوت و ضعف الگوریتمهای موجود مطلع باشند و برای تعیین الگوریتم مناسب قدرت تصمیم‌گیری داشته باشند. اگرچه رمزنگاری از اولین کارهای شانون (Shannon) در اواخر دهه ۴۰ و اوایل دهه ۵۰ بشدت پیشرفت کرده است، اما کشف رمز نیز پابه‌پای رمزنگاری به پیش آمده است و الگوریتمهای کمی هنوز با گذشت زمان ارزش خود را حفظ کرده‌اند. بنابراین تعداد الگوریتمهای استفاده شده در سیستمهای کامپیوتری عملی و در سیستمهای برپایه کارت هوشمند بسیار کم است.

 

 

۱-۲ سیستمهای کلید متقارن

یک الگوریتم متقارن از یک کلید برای رمزنگاری و رمزگشایی استفاده می‌کند. بیشترین شکل استفاده از رمزنگاری که در کارتهای هوشمند و البته در بیشتر سیستمهای امنیت اطلاعات وجود دارد data encryption algorithm یا DEA  است که بیشتر بعنوان DES‌ شناخته می‌شود. DES یک محصول دولت ایالات متحده است که امروزه بطور وسیعی بعنوان یک استاندارد بین‌المللی شناخته ‌می‌شود. بلوکهای ۶۴بیتی دیتا توسط یک کلید تنها که معمولا ۵۶بیت طول دارد، رمزنگاری و رمزگشایی می‌شوند. DES‌ از نظر محاسباتی ساده است و براحتی می‌تواند توسط پردازنده‌های کند (بخصوص آنهایی که در کارتهای هوشمند وجود دارند) انجام گیرد.

 

این روش بستگی به مخفی‌بودن کلید دارد. بنابراین برای استفاده در دو موقعیت مناسب است: هنگامی که کلیدها می‌توانند به یک روش قابل اعتماد و امن توزیع و ذخیره شوند یا جایی که کلید بین دو سیستم مبادله می‌شوند که قبلا هویت یکدیگر را تایید کرده‌اند عمر کلیدها بیشتر از مدت تراکنش طول نمی‌کشد. رمزنگاری DES عموما برای حفاظت دیتا از شنود در طول انتقال استفاده می‌شود.

کلیدهای DES ۴۰بیتی امروزه در عرض چندین ساعت توسط کامپیوترهای معمولی شکسته می‌شوند و بنابراین نباید برای محافظت از اطلاعات مهم و با مدت طولانی اعتبار استفاده شود. کلید ۵۶بیتی عموما توسط سخت‌افزار یا شبکه‌های بخصوصی شکسته می‌شوند. رمزنگاری DES سه‌تایی عبارتست از کدکردن دیتای اصلی با استفاده از الگوریتم DES‌ که در سه مرتبه انجام می‌گیرد. (دو مرتبه با استفاده از یک کلید به سمت جلو (رمزنگاری)  و یک مرتبه به سمت عقب (رمزگشایی) با یک کلید دیگر) مطابق شکل زیر:

این عمل تاثیر دوبرابر کردن طول مؤثر کلید را دارد؛ بعدا خواهیم دید که این یک عامل مهم در قدرت رمزکنندگی است.

الگوریتمهای استاندارد جدیدتر مختلفی پیشنهاد شده‌اند. الگوریتمهایی مانند Blowfish و IDEA برای زمانی مورد استفاده قرار گرفته‌اند اما هیچکدام پیاده‌سازی سخت‌افزاری نشدند بنابراین بعنوان رقیبی برای DES  برای استفاده در کاربردهای میکروکنترلی مطرح نبوده‌اند. پروژه استاندارد رمزنگاری پیشرفته دولتی ایالات متحده (AES) الگوریتم Rijndael را برای جایگزیتی DES بعنوان الگوریتم رمزنگاری اولیه انتخاب کرده است. الگوریتم Twofish مشخصا برای پیاده‌سازی در پردازنده‌های توان‌ـ‌پایین مثلا در کارتهای هوشمند طراحی شد.

در ۱۹۹۸ وزارت دفاع ایالات متحده تصمیم گرفت که الگوریتمها Skipjack و مبادله کلید را که در کارتهای Fortezza استفاده شده بود، از محرمانگی خارج سازد. یکی از دلایل این امر تشویق برای پیاده‌سازی بیشتر کارتهای هوشمند برپایه این الگوریتمها بود.

برای رمزنگاری جریانی (streaming encryption) (که رمزنگاری دیتا در حین ارسال صورت می‌گیرد بجای اینکه دیتای کدشده در یک فایل مجزا قرار گیرد) الگوریتم RC4‌ سرعت بالا و دامنه‌ای از طول کلیدها از ۴۰ تا ۲۵۶ بیت فراهم می‌کند. RC4 که متعلق به امنیت دیتای RSA‌ است، بصورت عادی برای رمزنگاری ارتباطات دوطرفه امن در اینترنت استفاده می‌شود.

 

۲-۲ سیستمهای کلید نامتقارن

سیستمهای کلید نامتقارن از کلید مختلفی برای رمزنگاری و رمزگشایی استفاده می‌کنند. بسیاری از سیستمها اجازه می‌دهند که یک جزء (کلید عمومی یا public key) منتشر شود در حالیکه دیگری (کلید اختصاصی یا private key) توسط صاحبش حفظ شود. فرستنده پیام، متن را با کلید عمومی گیرنده کد می‌کند و گیرنده آن را با کلید اختصاصی خودش رمزنگاری میکند. بعبارتی تنها با کلید اختصاصی گیرنده می‌توان متن کد شده را به متن اولیه صحیح تبدیل کرد. یعنی حتی فرستنده نیز اگرچه از محتوای اصلی پیام مطلع است اما نمی‌تواند از متن کدشده به متن اصلی دست یابد، بنابراین پیام کدشده برای هرگیرنده‌ای بجز گیرنده مورد نظر فرستنده بی‌معنی خواهد بود. معمولترین سیستم نامتقارن بعنوان RSA‌ شناخته می‌شود (حروف اول پدیدآورندگان آن یعنی Rivest ، Shamir و Adlemen است). اگرچه چندین طرح دیگر وجود دارند. می‌توان از یک سیستم نامتقارن برای نشاندادن اینکه فرستنده پیام همان شخصی است که ادعا می‌کند استفاده کرد که این عمل اصطلاحا امضاء نام دارد.  RSA شامل دو تبدیل است که هرکدام احتیاج به بتوان‌رسانی ماجولار با توانهای خیلی طولانی دارد:

امضاء، متن اصلی را با استفاده از کلید اختصاصی رمز می‌کند؛

  • رمزگشایی عملیات مشابه‌ای روی متن رمزشده اما با استفاده از کلید عمومی است. برای تایید امضاء بررسی می‌کنیم که آیا این نتیجه با دیتای اولیه یکسان است؛ اگر اینگونه است، امضاء توسط کلید اختصاصی متناظر رمزشده است.

به بیان ساده‌تر چنانچه متنی از شخصی برای دیگران منتشر شود، این متن شامل متن اصلی و همان متن اما رمز شده توسط کلید اختصاصی همان شخص است. حال اگر متن رمزشده توسط کلید عمومی آن شخص که شما از آن مطلعید رمزگشایی شود، مطابقت متن حاصل و متن اصلی نشاندهنده صحت فرد فرستنده آن است، به این ترتیب امضای فرد تصدیق می‌شود. افرادی که از کلید اختصاصی این فرد اطلاع ندارند قادر به ایجاد متن رمز‌شده‌ نیستند بطوریکه با رمزگشایی توسط کلید عمومی این فرد به متن اولیه تبدیل شود.

 

اساس سیستم RSA  این فرمول است: X = Yk (mod r)

که X متن کد شده، Y متن اصلی، k کلید اختصاصی و r حاصلضرب دو عدد اولیه بزرگ است که با دقت انتخاب شده‌اند. برای اطلاع از جزئیات بیشتر می‌توان به مراجعی که در این زمینه وجود دارد رجوع کرد. این شکل محاسبات روی پردازنده‌های بایتی بخصوص روی ۸ بیتی‌ها که در کارتهای هوشمند استفاده می‌شود بسیار کند است. بنابراین، اگرچه RSA هم تصدیق هویت و هم رمزنگاری را ممکن می‌سازد، در اصل برای تایید هویت منبع پیام از این الگوریتم در کارتهای هوشمند استفاده می‌شود و برای نشاندادن عدم تغییر پیام در طول ارسال و رمزنگاری کلیدهای آتی استفاده می‌شود.

سایر سیستمهای کلید نامتقارن شامل سیستمهای لگاریتم گسسته می‌شوند مانند Diffie-Hellman، ElGamal و سایر طرحهای چندجمله‌ای و منحنی‌های بیضوی. بسیاری از این طرحها عملکردهای یک‌ـ‌طرفه‌ای دارند که اجازه تاییدهویت را می‌دهند اما رمزنگاری ندارند. یک رقیب جدیدتر الگوریتم RPK‌ است که از یک تولیدکننده مرکب برای تنظیم ترکیبی از کلیدها با مشخصات مورد نیاز استفاده می‌کند. RPK یک پروسه دو مرحله‌ای است: بعد از فاز آماده‌سازی در رمزنگاری و رمزگشایی (برای یک طرح کلید عمومی) رشته‌هایی از دیتا بطور استثنایی کاراست و می‌تواند براحتی در سخت‌افزارهای رایج پیاده‌سازی شود. بنابراین بخوبی با رمزنگاری و تصدیق‌هویت در ارتباطات سازگار است.

طولهای کلیدها برای این طرحهای جایگزین بسیار کوتاهتر از کلیدهای مورد استفاده در RSA‌ است که آنها برای استفاده در چیپ‌کارتها مناسب‌تر است. اما ‌RSA‌ محکی برای ارزیابی سایر الگوریتمها باقی مانده است؛ حضور و بقای نزدیک به سه‌دهه از این الگوریتم، تضمینی در برابر ضعفهای عمده بشمار می‌رود.

 

 

 

 


  • ۰

ویروس ها و بدافزارها

ویروس ها و بدافزارها

ویروس ها و بدافزارها

ویروس ها و بدافزارها

 

توصیف نام
خود را به یک برنامه متصل کرده و کپی های از خود را به برنامه های دیگر منتقل می کند. Virus
برنامه ای که کپی های خود را به کامپیوتر های دیگر منتقل می کند. Worm
وقتی فعال می شود که پیشامد خاصی روی دهد. Logic bomb
برنامه ای که شامل قابلیت های اضافی غیر منتظره است. Trojan horse
دستکاری یک برنامه به طوری که دست یابی غیر مجاز به عملیاتی را امکان پذیر نماید. Backdoor(trapdoor)
کد مختص به یک آسیب پذیری منفرد یا مجموعه ای از آسیب پذیری ها. Exploits
برنامه ای که اقلام جدیدی را روی ماشین مورد تهاجم نصب می کند. یک downloader معمولا با یک برنامه ی الکترونیک ارسال می شود. Downloaders
ابزارهای یک نفوذگر بداندیش که از آنها برای ورود به ماشین های جدید از راه دور استفاده میکند. Auto-rooter
مجموعه ای از ابزارها برای تولید ویروس های جدید به صورت خودکار. Kit (virus generator)
برای ارسال حجم زیادی از هرزنامه های الکترونیک به کار می رود. Spammer programs
برای حمله به شبکه های کامپیوتری از طریق ایجاد حجم بالایی از ترافیک به کار می رود تا یک حمله ی انکار سرویس (dos) را سازمان دهد. Flooders
حرکات صفحه کلید در یک کامپیوتر مورد حمله را می یابد. Keyloggers
مجموعه ای از ابزارهای نفوذگری که پس از این که نفوذگر به سیستم راه یافت از آن ها برای دسترسی به root-level استفاده می کند. Rootkit
برنامه ای که روی یک سیستم آلوده شده فعال می شود تا حملات بر روی ماشین های دیگر را سازمان دهد. Zombie

 

 ویروس کامپیوتری چیست؟

ویروس کامپیوتر برنامه‌ای است که می‌تواند نسخه‌های اجرایی خود را در برنامه‌های دیگر قرار دهد. هر برنامه آلوده می‌تواند به نوبه خود نسخه‌های دیگری از ویروس را در برنامه‌های دیگر قرار دهد. برنامه‌ای را برنامه ویروس می نامیم که  همه ویژگیهای زیر را داراباشد:

1) تغییر نرم افزارهایی که به برنامه ویروس متعلق نیستند با چسباندن قسمتهایی از این برنامه به برنامه‌های دیگر

2) قابلیت انجام تغییر در بعضی از برنامه‌ها.

3) قابلیت تشخیص این نکته که برنامه قبلاً دچار تغییر شده است یا خیر.

4) قابلیت جلوگیری از تغییر بیشتر یک برنامه در صورت تغییراتی در آن بواسطه ی ویروس .

5) نرم افزارهای تغییر یافته ویژگیهای 1 الی 4 را دارا هستند . اگر برنامه‌ای فاقد یک یا چند ویژگی از ویژگیهای فوق باشد،  نمی توان به طور قاطع آنرا ویروس نامید .

 

آشنایی با انواع مختلف برنامه‌های مخرب :

 

E-mail virus –

ویروسهایی که از طریق E-mail وارد سیستم می‌شوند معمولاً به صورت مخفیانه درون یک فایل ضمیمه شده قرار دارند  که با گشودن یک صفحه ی HTML یا یک فایل قابل اجرای برنامه‌ای (یک فایل کد شده قابل اجرا) و یا یک word document  می توانند فعال‌ شوند.

 

 

 

Marco virus –

این نوع ویروسها معمولاً به شکل ماکرو در فایلهایی قرار می گیرند که حاوی صفحات متنی (word document) نظیر فایلهای برنامه‌های Ms office ( همچون Microsoft word و Excel )هستند .

توضیح ماکرو: نرم افزارهایی مانند Microsoft word و Excel این امکان را برای کاربر بوجود می آورند که در صفحه متن خود ماکرویی ایجاد نماید،این ماکرو حاوی یکسری دستور العملها، عملیات‌ و یا keystroke ها است که تماماً توسط خود کاربر تعیین میگردند.

ماکرو ویروسها معمولاً طوری تنظیم شده‌اند که به راحتی خود را در همه صفحات متنی ساخته شده با همان نرم افزار (Excel , ms word) جای می‌‌دهند.

 

  • اسب تروآ:

این برنامه حداقل به اندازه خود اسب تروآی اصلی قدمت دارد . عملکرد این برنامه‌ها ساده و در عین حال خطرناک است.

در حالیکه کاربر متوجه نیست و با تصاویر گرافیکی زیبا و شاید همراه با موسیقی محسور شده ، برنامه عملیات مخرب خود را آغاز می کند.

برای مثال به خیال خودتان بازی جدید و مهیجی را از اینترنت Download کرده‌اید ولی وقتی آنرا اجرا می‌کنید متوجه خواهید شد که تمامی فایلهای روی هارد دیسک پاک شده و یا به طور کلی فرمت گردیده است.

 

  • کرمها (worm)

برنامه کرم برنامه‌ای است که با کپی کردن خود تولید مثل می‌کند. تفاوت اساسی میان کرم و ویروس این است که کرمها برای تولید مثل نیاز به برنامه میزبان ندارند. کرمها بدون استفاده از یک برنامه حامل به تمامی سطوح سیستم کامپیوتری «خزیده» و نفوذ می‌کنند.

 

  • ویروسهای بوت سکتور و پارتیشن

Boot sector قسمتی از دیسک سخت و فلاپی دیسک است که هنگام راه اندازی سیستم از روی آن به وسیله کامپیوتر خوانده می‌شود. Boot Sector یا دیسک سیستم ، شامل کدی است که برای بار کردن فایلهای سیستم ضروری است. این دیسکها داده هایی در خود دارند و همچنین حاوی کدی هستند که برای نمایش پیغام راه اندازی شدن کامپیوتر بوسیلهی آن لازم است .

سکتور پارتیشن اولین بخش یک دیسک سخت است که پس از راه‌اندازی سیستم خوانده می‌شود. این سکتور راجع به دیسک اطلاعاتی نظیر تعداد سکتورها در هر پارتیشن و نیز موقعیت همه ی پارتیشن‌ها را در خود دارد.

سکتور پارتیشن، رکورد اصلی راه‌اندازی یا Master Boot Record -MBR نیز نامیده می‌شود.

بسیاری ازکامپیوترها به گونه ای پیکربندی شده‌‌اند که ابتدا از روی درایو: A راه‌اندازی میشوند. (این قسمت در بخش Setup سیستم قابل تغییر و دسترسی است) اگر بوت سکتور یک فلاپی دیسک آلوده باشد، و شما سیستم را از روی آن راه‌اندازی کنید، ویروس نیز اجرا شده و دیسک سخت را آلوده می‌کند.

اگر دیسکی حاوی فایلهای سیستمی هم نبوده باشد ولی‌ به یک ویروس بوت سکتوری آلوده باشد وقتی اشتباهاً دیسکت را درون فلاپی درایو قرار دهید و کامپیوتر را دوباره‌ راه‌اندازی کنید پیغام زیر مشاهده می‌شود. ولی به هر حال ویروس بوت سکتوری پیش از این اجرا شده و ممکن است کامپیوتر شما را نیز آلوده کرده باشد.

Non-system disk or disk error

Replace and press any key when ready

 

کامپیوترهای بر پایه Intel در برابر ویروسهای Boot Sector و Partition Table آسیب پذیر هستند.

تا قبل از اینکه سیستم بالا بیاید و بتواند اجرا شود صرفنظر از نوع سیستم عامل می تواند هر کامپیوتری را آلوده سازد.

 

 

HOAX –  (گول زنک‌ها)

این نوع ویروسها در قالب پیغامهای فریب آمیزی ، کاربران اینترنت را گول زده و به کام خود می‌کشد. این نوع ویروسها معمولاً به همراه یک نامه ضمیمه شده از طریق پست الکترونیک وارد سیستم می‌شوند. متن نامه مسلماً متن مشخصی نیست و تا حدودی به روحیات شخصی نویسنده ویروس بستگی دارد، پیغامها می توانند مضمونی تحدید آمیز یا محبت آمیز داشته باشند و یا در قالب هشداری ، مبنی بر شیوع یک ویروس جدید ئر اینترنت ، یا درخواستی در قبال یک مبلغ قابل توجه و یا هر موضوع وسوسه انگیز دیگر باشد . لازم به ذکر است که همه این نامه‌ها اصل نمی‌باشند یعنی ممکن است بسیاری از آنها پیغام شخص سازنده ویروس نباشند بلکه شاید پیغام ویرایش شده یا تغییر یافته از یک کاربر معمولی و یا شخص دیگری باشد که قبلا این نامه‌ها را دریافت کرده و بدینوسیله ویروس را با پیغامی کاملاً جدید مجدداً ارسال می‌کند.

نحوه تغییر پیغام و ارسال مجدد آن بسیار ساده بوده ، همین امر باعث گسترش سریع Hoax‌ها شده،‌ با یک دستور Forward می‌توان ویروس و متن تغییر داده شده را برای شخص دیگری ارسال کرد. اما خود ویروس چه شکلی دارد؟ ویروسی که در پشت این پیغامهای فریب آمیز مخفی شده می‌تواند به صورت یک بمب منطقی ، یک اسب تروا و یا یکی از فایلهای سیستمی ویندوز باشد. شیوه‌ای که ویروس Magistre-A از آن استفاده کرده و خود را منتشر می‌کند.

 

SULFNBK –  یک ویروس، یک شوخی و یا هردو ؟!

سایت خبری سافس چندی پیش خبری مبنی بر شناخته شدن یک ویروس جدید منتشر کرد، ویروسی با مشخصه SULFNBK (SULFNBK.EXE)که ممکن است نام آن اغلب برای شما آشنا باشد .

SULFNBK.EXE نام فایلی در سیستم عامل ویندوز 98می باشد که وظیفه بازیابی اسامی طولانی فایلها را به عهده دارد و در سیستم عامل ویندوز 98 فایلی سودمند می باشد .

اینجاست که می توان به مفهوم واقی HOAX ها پی برد ، فایل SULFNBK.EXE که معمولا از طریق پست الکترونیکی به همراه یک نامه ی فریب آمیز و شاید تهدید آمیز به زبان پروتکلی وارد سیستمها می شود دقیقا در جایی ساکن می شود که فایل سالم SULFNBK.EXEدر آنجاست به بیان بهتر اینکه جایگزین آن فایل سالم می شود. فایل SULFNBK.EXE آلوده در شاخه Command ویندوز 98 ساکن شده و چون به همان شکل و سایز می‌باشد به همین منظور کاربر متوجه حضور یک ویروس جدید در سیستم خود نخواهد شد ، اینجاست که فریب خورده، ویروس خطرناک Magistre-A که در هسته این فایل وجود دارد در اول ماه ژوین فعال شده و سازنده خود را به مقصودش می‌رساند. نسخه‌ای دیگر از این ویروس را می‌توان یافت که در 25 ماه می فعال می شود. تفاوتی که این ویروس نسخه قبلی خود دارد آنست که روی فایل SULFNBK.EXE آلوده در درایو C ساکن می‌شود. لازم به ذکر است این ویروس در سیستم عامل ویندوز 98فعال شده و حوزه فعالیتش در درایو C می‌باشد.

تشخیص اینکه فایل SULFNBK.EXE واقعاً آلوده است یا خیر دشوار می باشد . البته شاید بعد از ماه ژوئن 2002 از طریق ویروس یابهای جدید مانند Norton Mcafee بتوان آنها را تشخیص داد ، اما در صورت در سترس نبودن ویروس یابهای مذکور ، حداقل می توان SULFNBK.EXE را چه آلوده و چه غیر آلوده پاک کرد ، البته از آنجایی که فایل SULFNBK.EXE یک فایل سیستمی ویندوز به شمار می‌رود ممکن است پاک کردن آن به سیستم عامل لطمه وارد کند، از اینرو بد نیست قبل از پاک کردن، نسخه‌ای از آن را بر روی یک فلاپی کپی کرده و نگه داریم. حقیقت آنست که کمتر کسی ریسک می کند و این قبیل فایلها را اجرا می کند .

پیغامی که ضمیمه این فایل ارسال می‌شود نیز در چندین نسخه وجود دارد. همانطور که قبلا ذکر شد نسخه ی اصل پیغام به زبان پرتغالی است اما ترجمه ی انگلیسی و اسپانیولی آن میز یافت شده است .

به هرحال هر ویروس چه از نوع HOAX باشد و چه از انواع دیگر، مدتی چه طولانی و چه کوتاه روی بورس است و معمولاً لطمه‌های جبران ناپذیر خود را در همان بدو تولد به جای گذاشته و بعد از مدتی مهار می‌شود . نکته ی قابل توجه اینست که با داشتن خداقل آشنایی از این ویروسها در همان شروع کار به راحتی می‌توان با نسخه‌های جدیدتر آن ویروس و یا ویروسهای مشابه مبارزه کرد.

 

تروجان چیست ؟ چگونه کار می کند ؟

یک تروجان یک برنامه کامپیوتری می باشد که جاسوس کامپیوتری نیز نامیده میشود . یک تروجان وقتی در کامپیوتری اجرا می شود  در آن کامپیوتر ماندگار می شود ﴿ مانند ویروسها که در کامپیوتر می مانند ﴾ .  با نصب فایروال و آنتی ویروسها می توانیم جلوی ورود بعضی از آنها را به سیستم خود بگیریم . البته همه تروجانها را آنتی ویروسها نمیتوانند تشخیص دهند .

 

تروجانها  اطلاعاتی از کامپیوتر را ﴿ کامپیوتری که فایل سرور در آن اجرا شده ﴾ به شخصی که ﴿ هکرها ﴾ آن تروجان را به کامپوتر قربانی فرستاده , می فرستد . این اطلاعات میتواند پسوردهای کامپیوتر مانند پسورد Admin و یا پسوردهای اینترنتی مانند      Yahoo Password و Internet Connection Password و یا  آدرس IP باشد.

این اطلاعات می توانند در قالب یک ایمیل ﴿ E-Mail ﴾ به شخص هکر فرستاده شوند .

بعضی از تروجان ها توانایی سرویس دهی برای هکرها را نیز دارند ; یعنی اگر تروجانی در کامپیوتری اجرا شود فرستنده آن تروجان میتواند کامپیوتر قربانی را با استفاده از کامپیوتر خود و از راه دور کنترل کند و عملیاتی بر روی کامپیوتر ﴿ مانند : حذف فایل , مشاهده  درایوها , فرمت کردن درایوها و … ﴾ انجام دهد . البته باید سرور ﴿ فایل اجرا شده در  کامپیوتر قربانی ﴾ این سرویس دهی ها را دارا باشد .

 

CELLSAVER –  یک اسب تروا

a.k.a CellSaver- Celcom Screen Saver نیر ویروسی از نوع HOAX می‌باشد و علیرغم مدت زیادی که از اولین انتشار آن می گذرد کاربران زیادی را دچار مشکل ساخته است . این ویروس برای کاربران اینترنت ارسال شده است . نسخه نخست آن در سال 1998 و نسخه جدیدتر آن کمی بعد در آوریل 1999 به همراه یک پیغام دروغین منتشر شد.

هرگاه نامه‌ای با عنوان CELLSAVER.EXE به همراه فایلی با همین نام دریافت کردید سریعا آنرا پاک کرده و از Forward کردن برای شخصی دیگر بپرهیزبد ،اینکار هیچ گونه لذتی نداشته ، فقط به انتشار و بقای بیشتر آن کمک می کند .

این فایل یک اسب تروا کامل می‌باشد ، یک فایل Screen Saver زیبا برای ویندوز که به محض اجرا شدن هر کسی را مجذوب و مسحور می‌گرداند.

احتیاط کنید! CELLSAVER.EXE به محض اجرا شدن ، یک گوشی تلفن بی‌سیم Nokia را بصورت یک Screen Saver بر روی صفحه نمایش نشان می دهد . در صفحه نمایش این گوشی، می توان زمان و پیغامهارا دید. بعد از یکبار اجرا شدن، ویروس فعال شده و شما خیلی زود متوجه خواهید شد که سیستم بسیار کند عمل کرده ، قادر به بوت شدن نخواهد بود و اطلاعات رود هارد دیسک نیز پاکسازی می‌شوند .در نتیجه مجبور به نصب مجددکلیه برنامه‌ها خواهید بود.

در آخر باز هم یادآور می‌شویم که هرگز نامه های دریافتی که کمی ناشناخته و مشکوک به نظر می‌رسند را باز نکنید.

 

  • ویروسهای چند جزئی Multipartite virus

بعضی از ویروسها، ترکیبی از تکنیکها را برای انتشار استفاده کرده ، فایلهای اجرائی، بوت سکتور و پارتیشن را آلوده می سازند. اینگونه ویروسها معمولاً تحت windows 98یا Win.Nt انتشار نمی‌یابند.

 

چگونه ویروسها گسترش می‌یابند؟

زمانی که یک کد برنامه آلوده به ویروس را اجرا می‌کنید، کد ویروس هم پس از اجرا به همراه کد برنامه اصلی ، در وهله اول تلاش می‌کند برنامه‌های دیگر را آلوده کند. این برنامه ممکن است روی همان کامپیوتر میزان یا برنامه‌ای بر روی کامپیوتر دیگر واقع در یک شبکه باشد. حال برنامه تازه آلوده شده نیز پس از اجرا دقیقاً عملیات مشابه قبل را به اجرا درمی‌اورد. هنگامیکه بصورت اشتراکی یک کپی از فایل آلوده را در دسترس کاربران دیگر کامپیوترها قرار می دهید ، با اجرای فایل کامپیوترهای دیگر نیز آلوده خواهند شد. همچنین طبیعی است با اجرای هرچه بیشتر فایلهای آلوده فایلهای بیشتری آلوده خواهند شد.

اگر کامپیوتری آلوده به یک ویروس بوت سکتور باشد، ویروس تلاش می‌کند در فضاهای سیستمی فلاپی دیسکها و هارد دیسک از خود کپی هایی بجا بگذارد . سپس فلاپی آلوده می‌تواند کامپیوترهایی را که از روی‌آن بوت می‌شوند و نیز یک نسخه از ویروسی که قبلاً روی فضای بوت یک هارد دیسک نوشته شده نیز می‌تواند فلاپی‌های جدید دیگری را نیز آلوده نماید.

به ویروسهایی که هم قادر به آلوده کردن فایلها و هم آلوده نمودن فضاهای بوت می‌باشند اصطلاحاً ویروسهای چند جزئی (multipartite) می گویند.

فایلهایی که به توزیع ویروسها کمک می‌کنند حاوی یک نوع عامل بالقوه می‌باشند که می توانند هر نوع کد اجرائی را آلوده ‌کنند. برای مثال بعضی ویروسها کدهای را آلوده می‌کنند که در بوت سکتور فلاپی دیسکها و فضای سیستمی هارد دیسکها وجود دارند.

نوع دیگر این ویروس ها که به ویروسهای ماکرو شناخته می شوند ، می‌توانند عملیات پردازش کلمه‌ای (word processing) یا صفحه‌های حاوی متن را که از این ماکروها استفاده می‌کنند ، آلوده می کنند. این امر برای صفحه‌هایی با فرمت HTMl نیز صادق است.

از آنجائیکه یک کد ویروس باید حتماً قابل اجرا شدن باشد تا اثری از خود به جای بگذارد از اینرو فایلهایی که کامپیوتر به عنوان داده‌های خالص و تمیز با آنها سرو کار دارد امن هستند.

فایلهای گرافیکی و صدا مانند فایلهایی با پسوند gif . ، jpg ، mp3، wav،…هستند .

برای مثال زمانی که یک فایل با فرمت picture را تماشا می‌کنید کامپیوتر شما آلوده نخواهد شد.

یک کد ویروس مجبور است که در قالب یک فرم خاص مانند یک فایل برنامه‌ای .exe یا یک فایل متنی doc که کامپیوتر واقعاً آن را اجرا می‌کند ، قرار گیرد .

 

عملیات مخفیانه ویروس در کامپیوتر

همانطور که می‌دانید ویروسها برنامه‌های نرم افزاری هستند .آنها می‌‌توانند مشابه برنامه‌هایی باشند که به صورت عمومی در یک کامپیوتر اجرا می گردند .

اثر واقعی یک ویروس بستگی به نویسنده آن دارد. بعضی از ویروسها با هدف خاص ضربه زدن به فایلها طراحی می شوند و یا اینکه در عملیات مختلف کامپیوتر دخالت کرده و ایجاد مشکل می‌کنند.

ویروسها براحتی بدون آنکه متوجه شوید خود را تکثیر کرده ، گسترش می‌یابند ، در حین گسترش یافتن به فایلها صدمه رسانده و یا ممکن است باعث مشکلات دیگری شوند.

نکته: ویروسها قادر نیستند به سخت افزار کامپیوتر صدمه ای وارد کنند . مثلاً نمی توانند باعث ذوب شدن CPU ، سوختن هارد دیسک و یا انفجار مانیتور و غیره شوند .

 

 

ویروسها و E-mail

 

شما صرفا با خواندن یک متن ساده e-mail یا استفاده از netpost ، ویروسی دریافت نخواهید کرد. بلکه باید مراقب پیغامهای رمز دار حاوی کدهای اجرائی و یا پیغامهایی بود که حاوی فایل اجرائی ضمیمه شده (یک فایل برنامه‌ای کد شده و یا یک word document که حاوی ماکروهایی باشد) می باشند. از این رو برای به کار افتادن یک ویروس یا یک برنامه اسب تروا ، کامپیوتر مجبور به اجرای کدهایی است می‌توانند یک برنامه ضمیمه شده به e-mail ، یک word document دانلود شده از اینترنت و یا حتی مواردی از روی یک فلاپی دیسک باشند.

 

نکاتی جهت جلوگیری از آلوده شدن سیستم

 

اول از هرچیزی به خاطر داشته باشید اگر برنامه ای درست کار نکند یا کلا کامپیوتر در بعضی از عملیات سریع نباشد بدان معنا نیست که به ویروس آلوده شده است .

اگر از یک نرم افزار آنتی ویروس شناخته شده و جدید استفاده نمی‌کنید در قدم اول ابتدا این نرم افزار را به همراه کلیه امکاناتش بر روی سیستم نصب کرده و سعی کنید آنرا به روز نگه دارید.

اگر فکر می‌کنید سیستمتان آلوده است سعی کنید قبل از انجام هر کاری از برنامه آنتی ویروس خود استفاده کنید.( البته اگر قبل از استفاده از آن، آنرا بروز کرده باشید بهتر است). سعی کنید بیشتر نرم افزارهای آنتی ویروس را محک زده و مطمئن ترین آنها را برگزینید.

البته بعضی وقتها اگر از نرم افزارهای آنتی ویروس قدیمی هم استفاده کنید، بد نیست. زیرا تجربه ثابت کرده که ویروس یابهای قدیمی بهتر می توانند ویروسهایی را که برای مدتی فعال بوده و به مرور زمان بدست فراموشی سپرده شده اند را شناسایی و پاکسازی کنند .

ولی اگر جزء افرادی هستید که به صورت مداوم با اینترنت سروکار دارید حتماً به یک آنتی ویروس جدید و به روز شده نیاز خواهید داشت .

برای درک بهتر و داشتن آمادگی در هر لحظه برای مقابله با نفوذ ویروسها به نکات ساده ی زیر توجه کنید :

1- همانطور که در بالا ذکر شد از یک کمپانی مشهور و شناخته شده‌ بر روی سیستم تان یک نرم افزار آنتی ویروس نصب کرده و سعی کنید همیشه آنرا به روز نگه دارید.

2- همیشه احتمال ورود ویروسهای جدید به سیستم وجود دارد . پس یک برنامه آنتی ویروس که چند ماه به روز نشده نمی‌تواند در مقابل جریان ویروسها مقابله کند.

3-توصیه می شود برای آنکه سیستم امنیتی کامپیوتر از نظم و سازماندهی برخوردار باشد برنامه a.v (آنتی ویروس) خود را سازماندهی نمائید ، مثلاً قسمت configuration نرم افزار a.v. خود را طوری تنظیم کنید که به صورت اتوماتیک هر دفعه که سیستم بوت می‌شود آن را چک نماید، این امر باعث می‌شود سیستم شما در هر لحظه در مقابل ورود ویروس و یا هنگام اجرای یک فایل اجرائی ایمن شود.

4- برنامه‌های آنتی ویروس در یافتن برنامه‌های اسب تروآ خیلی خوب عمل نمی‌کنند از این رو در باز کردن فایلهای باینری و فایلهای برنامه‌های excel و Word که از منابع ناشناخته و احیاناً مشکوک می‌باشند محتاط عمل کنید.

5-اگر برای ایمیل و یا اخبار اینترنتی بر روی سیستم خود نرم افزار کمکی خاصی دارید که قادر است به صورت اتوماتیک صفحات Java script و word macro ها و یا هر گونه کد اجرائی موجود و یا ضمیمه شده به یک پیغام را اجرا نماید توصیه می‌شود این گزینه را غیر فعال (disable) نمائید.

6-از باز کردن فایلهایی که از طریق چت برایتان فرستاده می شوند ، پرهیز کنید.

7- اگر احیاناً بر روی هارد دیسک خوداطلاعات مهمی دارید حتماً از همه آنها نسخه پشتیبان تهیه کنید تا اگر اطلاعات شما آلوده شده اند یا از بین رفتند بتوانید جایگزین کنید.

 

نکاتی برای جلوگیری از ورود کرمها به سیستم :

از آنجائیکه این نوع برنامه‌ها (worms) امروزه گسترش بیشتری یافته و باید بیشتر از سایر برنامه‌های مخرب از آنها دوری کنیم، از این رو به این نوع برنامه های مخرب بیشتر می‌پردازیم.

کرمها برنامه‌های کوچکی هستند که با رفتاری بسیار موذیانه به درون سیستم رسوخ کرده، بدون واسطه خود را تکثیر کرده و خیلی زود سراسر سیستم را فرا می‌گیرند. در زیر نکاتی برای جلوگیری از ورود کرمها آورده شده است.

1) بیشتر کرمهایی که از طریق E-mail گسترش پیدا می‌کنند از طریق نرم افزارهای microsoft outlook و یا out look express وارد سیستم می‌شوند. اگر شما از این نرم افزار استفاده می‌کنید پیشنهاد می شود همیشه آخرین نسخه security patch این نرم افزار را از سایت microsoft دریافت و به روز کنید.

همچنین بهتر است علاوه بر به روز کردن این قسمت از نرم افزار outlook سعی کنید سایر نرم افزارها و حتی سیستم عامل خود را نیز در صورت امکان همیشه به روز نگه دارید، و یا حداقل بعضی از تکه‌های آنها را که به صورت بروز درآمده قابل دسترسی است.

اگر از روی اینترنت بروز می‌کنید و یا از cd ها و بسته‌های نرم افزاری آماده در بازار ،از اصل بودن آنها اطمینان حاصل کنید.

2) تا جای ممکن در مورد e-mail attachment ها محتاط باشید. چه در دریافت e-mail و چه در ارسال آنها.

3) همیشه ویندوز خود را در حالت show file extensions قرار دهید.

این گزینه در منوی Tools/folder option/view با عنوان “Hide file extensions for known file Types” قرار داردکه به صورت پیش فرض این گزینه تیک خورده است، تیک آنرا بردارید.

4) فایلهای attach شده با پسوندهای SHS و VBS و یا PIF را هرگز باز نکنید. این نوع فایلها در اکثر موارد نرمال نیستند و ممکن است حامل یک ویروس و یا کرم باشند.

5) هرگز ضمائم دو پسوندی را باز نکنید.

email attachment هایی با پسوندهایی مانند Neme.BMP.EXE و یا Name.TxT.VBS و …

6) پوشه‌های موجود بر روی سیستم خود رابجز در مواقع ضروری با دیگر کاربران به اشتراک نگذارید . اگر مجبور به این کار هستید، اطمینان حاصل کنید که کل درایو و یا شاخه ویندوز خود را به اشتراک نگذاشته اید.

7) زمانی که از کامپیوتر استفاده نمی‌کنید کابل شبکه و یا مودم را جدا کرده و یا آنها را خاموش کنید.

8) اگر از دوستی که به نظر می رسد ناشناس است ایمیلی دریافت کردید قبل از باز کردن ضمائم آن حتماً متن را چند بار خوانده و زمانی که مطمئن شدید از طرف یک دوست است ، آنگاه سراغ ضمائم آن بروید.

9)توصیه می شود فایلهای ضمیمه شده به ایمیل‌های تبلیغاتی و یا احیاناً weblink های موجود در آن‌ها را حتی الامکان باز نکنید.

10) از فایلهای ضمیمه شده‌ای که به هر نحوی از طریق تصاویر و یا عناوین خاص، به تبلیغ مسائل جنسی و مانند آن می پردازند ، دوری کنید. عناوینی مانند porno.exe و یا pamela-Nude.VBS که باعث گول خوردن کاربران می‌شود.

11) به آیکون فایلهای ضمیمه شده نیز به هیچ عنوان اعتماد نکنید. چرا که ممکن است کرمهایی در قالب فایل عکس و یا یک فایل متنی فرستاده شود ولی در حقیقت این فایل یک فایل اجرائی بوده و باعث فریب خوردن کاربر می‌شود.

12)در massenger هایی مانند IRC، ICQ و یا AOL به هیچ عنوان فایلهای ارسالی از جانب کاربران ناشناس on-line درchat system ها را قبول (accept) نکنید.

13) از Download کردن فایل از گروه‌های خبری همگانی نیز پرهیز کنید.(usenet news) زیرا اغلب گروه‌های خبری خود یکی از علل پخش ویروس می باشند .

 

 

CODERED یک نوع کرم اینترنتی

مرکز تطبیق و هماهنگی Cert در پتیسبورگ که مرکزی برای بررسی اطلاعات سری کامپیوتری است، اذعان می‌دارد که ویروس CODERED احتمالاً به درون بیش از 280000 دستگاه متصل به اینترنت که از سیستم عاملهای NT4.0 و ویندوز 2000 استفاده می‌کنند نفوذ کرده است. حال آنکه این سیستم عاملها ، دارای مزیت محافظتی به وسیله نرم افزارهای خطایاب IIS5 و IIS4 می باشند .

هنگامی که هر دو گونه این ویروس (نسخه‌های 29.A و codered II ) تلاش می‌کنند تا روی سرورهایی که به وسیله سرویس‌های شاخص نرم افزارهاییکه IIS از لحاظ ضعفهای عبوری یا مقاومت در برابر ویروسهای جدید اصلاح نشده‌اند ، نفوذ و منتشر شوند،‌ یکی از دو نسخه قدیمی این ویروس طوری تنظیم شده است که صفحات اولیه اتصال اینترنتی معروف به Homepage و یا start page مربوط به وب سرور آلوده شده را از حالت طبیعی خارج سازد.

این ویروس طوری تنظیم شده است که تا بیستمین روز ماه منتشر می‌شود ،آنگاه با حالتی که cert آن را مرحله ویرانگر نامیده است، چنان عمل می‌کند که خود سرویس محافظ شخصی را بر علیه آدرس اینترنتی داده شده وادار به خرابکاری می‌کند. جالب است بدانید اولین آدرس اینترنتی داده شده به ویروس وب سرور کاخ سفید بوده است.

به نظر می رسد که این ویروس در آخرین ساعت بیست و هفتیمن روز ماه، بمباران و انتشارهای خود را متوقف کرده ، وارد مرحله خواب موقتی شده و خود را غیر فعال می‌کند. حال آیا ویروس قدرت این را دارد که در اولین روز ماه بعد ، خود را برای فعالیتی دوباره بیدار کند.

یک مرکز تحقیقات تخصصی که در اوهایو ایالات کلمبیا شرکتی مشاوره‌ای و فنی است، به بررسی و تست ویروس Codered پرداخته و به این نتیجه رسیده است که این مزاحم خواب آلود می‌تواند دوباره خود را فعال کرده و فرآیند جستجوی میزبانان جدید را از سر بگیرد.

بررسیها و نتایج به دست آمده نشان می دهند که codered برای شروع فعالیت مجدد، فایل مخصوصی را جستجو کرده و تا زمان پیدا کردن آن فایل و ساختن درایو مجازی خاصی به نام تروآ (Trojan) در حالت خواب باقی می‌ماند.

کارشناسان فنی بر این عقیده‌اند که این ویروس مجبور نیست خود را بیدار و فعال کند تا برای سیستمها تحدیدی جدی به حساب آید. در حال حاضر سیستم‌های آلوده ی بسیاری وجود دارند که ناخودآگاه برای انتشار و سرایت ویروس به سیستم‌های دیگر تلاش می‌کنند. یکی از کارشناسان SARC یکی از مراکز تحقیقاتی می‌گوید : از آنجا که کامپیوترهای زیادی هستند که ساعتها درست تنظیم نشده ، شاهد انتشار مجدد این ویروس خواهیم بود. تنها یکی از سیستم‌های آلوده، برای انتشار موج جدیدی از اختلالات کافی خواهد بود.

محاسبات مرکز تطبیق و هماهنگی CERT نشان می‌دهد که ویروس Codered 250000 ، سرور ویندوزهایی که در خلال 9 ساعت اول فعالیت زود هنگام خود، سرور ویندوزهایی که آسیب پذیر بوده اند را آلوده ساخته است. بولتن خبری CERT تخمین می‌زند که با شروع فعالیت ویروس از یک میزبان آلوده، زمان لازم برای آلوده شدن تمام سیستم‌هایی که علیرغم استفاده از نرم افزارهای IIS (البته نسخه‌های قدیمی آن) همچنان آسیب پذیر مانده‌اند، کمتر از 18 ساعت است! این رخدادها، این سوال را تداعی می کنند که چه تعداد از کامپیوترهای آلوده شده قبلی، تاکنون اصلاح و پاکسازی شده‌اند؟ اگرچه سرور کاخ سفید، هدف اصلی حملات خرابکارانه Codered بوده است،‌ با این حال این کرم کینه جو هنوز مشکلات بسیاری را برای میزبانان به وجود می‌آورد.

 

ویروس ها چگونه کار می کنند ؟

ویروس های رایانه ای بسیار اسرار آمیز هستند و توجه بسیاری از برنامه ویسان مشاوران امنیتی شبکه های اینترنتی و حتی افراد عادی که از رایانه برای کارهای معمولی خود استفاده میکنند را به خود جلب کرده اند و سالانه هزینه هنگفتی برای جلوگیری ازانتشار و بالا بردن امنیت شبکه ها و رایانه ها د رمقابل ویروس ها صرف می شود. اگر بخواهیم از دید دیگری به ویروس ها نگاه کنیم نقاط آسیب پذیری و میزان آسیب پذیر بودن سیستم رایانه ای خود و یا اکنیت شبکه ای که ما د رحال کار با آن هستیم به ما نشان می دهند که البته ممکن است این کار کمی برایمان گران تمام شود!

یک ویروس که از طراحی و زیر ساخت پیچیده و سازمان یافته ای بهره مند باشد می تواند تاثیرات شگفت انگیز و در بعضی موارد مخرب بر روی شبکه اینترنت بگذارد. اثراتی که این ویروس ها بر اینترنت میگذارند و تعداد رایانه ها یی که آلوده می کنند خود گواه ارتباطات پیچیده و عظیم انسان ها و رایانه ها و شبکه های اطلاع زسانی در اینترنت می باشد.

برای مثال ویروس جدید مایدمMydoom worm)) تخمین زده شده که در یک روز حدود 255 هزار رایانه را آلوده کرده باشد. ویروس ملیسا( Melissa virus ) در سال 99 و من شما را دوست دارم I LOVE YOU در سال 2000 که ویروس های قدرتمندی که مایکروسافت و بسیاری از شرکت های ارائه دهنده سرویس ایمیل را مجبور کرد تا زمان پاک سازی و رفع مشکلات بوجود آمده توسط ویروس سرورهای خود را خاموش کنند . شاید وقتی کمی تحقیق کنید و عملکرد این ویروس ها را مورد مطالعه قرار دهید بسیار شگفت زده خواهید شد وقتی بفهمید که این ویروس ها بطرز بسیار ساده ای این کار ها را انجام می دهند. اگر در زمینه برنامه نویسی اطلاعات مختصر و یا حتی زبان برنامه نویسی بلد باشید با دیدن کد های برنامه این ویروس ها به ساده بودن و طرز کار ساده آن ها پی خواهید برد و از آن شگفت زده می شوید.

  • کرمهای اینترنتی مفید

خبرگزاری BBC در می ۲۰۰۱ خبر از ظهور و گسترش کرمی به نام کرم پنیر (Cheese worm) داد. محتوای خبر نشان از فعالیت این کرم علیه هکرها میداد، نه به نفع آنان!

«یک ویروس مفید در حال گشت در اینترنت است و شکاف امنیتی کامپیوترها را بررسی و در صورت یافتن، آنها را می‌بندد. هدف این کرم، کامپیوترهای با سیستم عامل لینوکس است که توسط یک برنامه مشابه اما زیان‌رسان قبلا مورد حمله قرار گرفته‌اند.»

اما این کرم توسط شرکت‌های تولید آنتی‌ویروس تحویل گرفته نشد! چراکه آنان معتقد بودند هر نرم‌افزاری که تغییراتی را بدون اجازه در یک کامپیوتر ایجاد کند، بالقوه خطرناک است.

در مارس همین سال یک برنامه زیان‌رسان با عنوان Lion worm (کرم شیر) سرویس‌دهندگان تحت لینوکس بسیاری را آلوده و درهای پشتی روی آنها نصب کرده بود تا ایجادکنندگان آن بتوانند از سرورها بهره‌برداری کنند. کرم همچنین کلمات عبور را می‌دزدید و به هکرهایی که از این ابزار برای ورود غیرمجاز استفاده می‌کردند، می‌فرستاد. این درهای پشتی می‌توانستند برای حملات DoS نیز استفاده شوند.

کرم پنیر تلاش می‌کرد بعضی از خسارات وارده توسط کرم شیر را بازسازی کند. در حقیقت کرم پنیر شبکه‌هایی با آدرسهای مشخص را پیمایش می‌کرد تا آنکه درهای پشتی ایجاد شده توسط کرم شیر را بیابد،‌ سپس برای بستن سوراخ، وصله آنرا بکار می‌گرفت و خود را در کامپیوتر ترمیم‌شده کپی می‌کرد تا برای پیمایش شبکه‌های دیگر با همان شکاف امنیتی از این کامپیوتر استفاده کند.

مدیران سیستمها که متوجه تلاشهای بسیاری برای پیمایش سیستمهایشان شده بودند، دنبال علت گشتند و کرم پنیر را مقصر شناختند. ارسال گزارشهای آنها به CERT باعث اعلام یک هشدار امنیتی گردید.

این برنامه با مقاصد بدخواهانه نوشته نشده بود و برای جلوگیری از فعالیت هکرهای مزاحم ایجاد گشته بود. اما بهرحال یک «کرم» بود. چرا که یک شبکه را می‌پیمایید و هرجا که میرفت خود را کپی ‌می‌کرد.

زمانیکه بحث کرم پنیر مطرح شد، بعضی متخصصان امنیت شبکه‌های کامپیوتری احساس کردند که ممکن است راهی برای مبارزه با شکافهای امنیتی و هکرهای آسیب‌رسان پیدا شده باشد. یکی از بزرگترین علتهای وجود رخنه‌های امنیتی و حملات در اینترنت غفلت یا تنبلی بسیاری از مدیران سیستمهاست. بسیاری از مردم سیستمهای خود را با شکافهای امنیتی به امان خدا! رها می‌کنند و تعداد کمی زحمت نصب وصله‌های موجود را می‌دهند.

بسیاری از مدیران شبکه‌ها از ورود برنامه‌ها و بارگذاری وصله‌ها ابراز نارضایتی می‌کنند. این نکته‌ای صحیح است که یک وصله ممکن است با برنامه‌های موجود در کامپیوتر ناسازگار باشد. اما در مورد یک کرم مفید که وجود شکافهای امنیتی در سیستمها را اعلام می‌کند، چه؟ این روش مشکل مدیرانی را که نمی‌توانند تمام شکافهای امنیتی را ردیابی کنند، حل می‌کند.  بعضی می‌گویند که برنامه‌های ناخواسته را روی سیستم خود نمی‌خواهند. در پاسخ به آنها گفته می‌شود «اگر شکاف امنیتی در سیستم شما وجود نداشت که این برنامه‌ها نمی‌توانستند وارد شوند. یک برنامه را که سعی می‌کند به شما کمک کند، ترجیح می‌دهید یا آنهایی را که به سیستم شما آسیب می‌رسانند و ممکن است از سیستم شما برای حمله به سایرین استفاده کنند؟ »

این آخری، یک نکته مهم است. رخنه‌های امنیتی کامپیوتر شما فقط مشکل شما نیستند؛ بلکه ممکن است برای سایر شبکه‌ها نیز مساله‌ساز شوند. ممکن است فردی نخواهد علیه بیماریهای مسری واکسینه شود، اما بهرحال بخشی از جامعه‌ای است که در آن همزیستی وجود دارد.

آنچه که در این میان آزاردهنده است این است که هرساله برای امنیت اتفاقات بدی رخ میدهد، و هرچند تلاشهایی برای بهبود زیرساختهای امنیتی انجام می‌گیرد، اما برای هر گام به جلو، دو گام باید به عقب بازگشت. چرا که هکرها باهوش‌تر و در نتیجه تهدیدها خطرناکتر شده‌اند. و شاید بدلیل تنبلی یا بار کاری زیاد مدیران شبکه باشد.

در بیشتر موارد، مشکلات بزرگ امنیتی که هر روزه درباره آنها می‌خوانید، بخاطر وجود حملاتی است که برروی سیستمهایی صورت می‌گیرد که به علت عدم اعمال وصله‌ها، هنوز مشکلات قدیمی را درخود دارند.

بنابه عقیده بعضی، اکنون زمان استفاده از تدبیر براساس کرم! و ساختن کرمهای مفید برای ترمیم مشکلات است. درباره این روش قبلا در مجامع مربوط به امنیت بحث شده است و البته هنوز اعتراضات محکمی علیه استفاده از آنها وجود دارد. اما در مواجهه با شبکه های zombie (کامپیوترهای آلوده ای که برای حملات DoS گسترده، مورد استفاده قرار می گیرند) که تعداد آنها به دههاهزار کامپیوتر میرسد، می توانند یک شبه! توسط کرمهای مفید از کار انداخته شوند.

البته،  یک کرم مفید هنوز یک کرم است و بحث دیگری که در اینجا مطرح می شود این است که کرمها ذاتا غیرقابل کنترل هستند، به این معنی که کرمهای مفید هم باعث بروز مشکلات ترافیک می شوند و بصورت غیرقابل کنترلی گسترده می گردند. این مساله در مورد بیشتر کرمها صدق می کند، اما دلیل آن این است که تاکنون هیچ کس یک کرم قانونی! و بدرستی برنامه نویسی شده ایجاد نکرده است. می توان براحتی کنترلهای ساده ای همچون انقضاء در زمان مناسب و مدیریت پهنای باند را که این تاثیرات ناخوشایند را محدود یا حذف کند، برای یک کرم مفید تصور کرد.

اشکال وارده به ایجاد یک کرم قانونی و مناسب این است که زمان زیادی می طلبد، بسیار بیشتر از زمانی که یک کرم گسترش پیدا می کند. در پاسخ می توان گفت بیشتر کرمها از مسائل تازه کشف شده بهره نمی برند. بیشتر آنها از شکافهای امنیتی استفاده می کنند که مدتهاست شناخته شده اند.

تعدادی پرسش وجود دارد که باید پاسخ داده شوند. چه کسی این کرمها را طراحی و مدیریت می کند؟ دولت، CERT، فروشندگان یا اینکه باید تشکل هایی براه انداخت؟ برای ترمیم چه ایراداتی باید مورد استفاده قرار گیرند؟ روند اخطار برای سیستمهایی که توسط یک کرم مفید وصله شده اند، چیست؟ آیا پیامی برای مدیر شبکه بگذارد؟ که البته هیچ کدام موانع غیرقابل حلی نیستند.

بهرحال، بهترین کار مدیریت صحیح سیستمهایتان است، بنحوی که با آخرین ابزار و وصله های امنیتی بروز شده باشند. در این صورت دیگر چندان نگران وجود کرمها در سیستمهایتان نخواهید بود.

آنچه که نمی توان در مورد آن با اطمنیان صحبت کرد، امن و موثر بودن یک کرم مفید است، که این مطلب مطالعات و تحقیقات جدی را می طلبد. بعلاوه اینکه، اگر برنامه نوشته شده در دنیای بیرون متفاوت از آزمایشگاه رفتار کند، چه کسی مسوولیت آنرا می پذیرد؟ مساله بعدی اینست که تحت قانون جزایی بعضی کشورها، هک کردن یک سیستم و تغییر دیتای آن بدون اجازه زیان محسوب می شود و چنانچه این زیان به حد مشخصی مثلا ۵هزار دلار برسد، تبهکاری بحساب می آید، حتی اگر قانون جنایی حمایتی برای نویسندگان کرمهای مفید درنظر بگیرد. ایده اصلی در این بین، اجازه و اختیار برای دستیابی به کامپیوتر و تغییر دیتای آن یا انجام عملیاتی بر روی آن است. از منظر قانونی، این اجازه می تواند از طرقی اعطاء شود. بعلاوه اینکه سیستمهایی که امنیت در آنها رعایت نشود، اساسا به هر کس اجازه تغییر دیتا را می دهند.

خوشبختانه، روشهای محدودی برای اخذ اجازه وجود دارد. برای مثال، ISPها از پیش بواسطه شرایط خدمات رسانی به مشتریانشان اجازه تغییر دیتا را دارند. یک ISP معتبر ممکن است حتی سرویس بروز رسانی رایگان یک برنامه ضدویروس را نیز به مشتریانش ارائه کند.

راه دیگر اخذ اجازه از طریق پروانه های دولتی است. مثلا در بعضی کشورها، افسران پلیس این قدرت را دارند که بتوانند تحت قوانین محدود و شرایط خاصی وارد فضای خصوصی افراد شوند. مثال دیگر در مورد سارس است. افراد می توانند بخاطر سلامت عمومی قرنطینه شوند، اما فقط توسط افرادی که اختیارات دولتی دارند.

در آخر توجه شما را به یک مساله جلب می کنیم: اجرای قوانین سلامت بیشتر بصورت محلی است، در حالیکه اینترنت ماهیت دیگری دارد. ممکن است بتوان در بعضی کشورها به سوالات مربوط در مورد نوشتن و گسترش کرمهای مفید جواب داد، اما کاربران کشورهای دیگر را شامل نمی شود.

 

 

 


آخرین دیدگاه‌ها

    دسته‌ها