امنیت شبکه

موزش كلیات امنیت شبكه
وقتی بحث امنیت شبكه پیش می اید ، مباحث زیادی قابل طرح و ارائه هستند ، موضوعاتی كه هر كدام به تنهایی می توانند جالب ، پرمحتوا و قابل درك باشند ، اما وقتی صحبت كار عملی به میان می اید ، قضیه یك جورایی پیچیده می شود . تركیب علم و عمل ، احتیاج به تجربه دارد و نهایت هدف یك علم هم ، به كار امدن ان هست . 
وقتی دوره تئوری امنیت شبكه را با موفقیت پشت سر گذاشتید و وارد محیط كار شدید ، ممكن است این سوال برایتان مطرح شود كه " خب ، حالا از كجا شروع كنم ؟ اول كجا را ایمن كنم ؟ چه استراتژی را پیش بگیرم و كجا كار را تمام كنم ؟ " انبوهی از این قبیل سوالات فكر شما را مشغول می كند و كم كم حس می كنید كه تجربه كافی ندارید و این البته حسی طبیعی هست . پس اگر این حس رو دارید و می خواهید یك استراتژی علمی - كاربردی داشته باشید ، تا انتهای این مقاله با من باشید تا قدم به قدم شما رو به امنیت بیشتر نزدیك كنم. 
همیشه در امنیت شبكه موضوع لایه های دفاعی ، موضوع داغی هست و نظرات مختلفی وجود دارد . عده ای فایروال را اولین لایه دفاعی می دانند ، بعضی ها هم Access List رو اولین لایه دفاعی می دانند ، اما واقعیت پنهان این هست كه هیچكدام از اینها ، اولین لایه دفاعی نیستند . یادتون باشد كه اولین لایه دفاعی در امنیت شبكه و حتی امنیت فیزیكی ، Policy هست . بدون policy ، لیست كنترل ، فایروال و هر لایه دیگر ، بدون معنی می شود و اگر بدون policy شروع به ایمن كردن شبكه كنید ، محصول یك آبكش واقعی از كار در می اید . 
با این مقدمه ، و با توجه به این كه شما policy مورد نظرتان را كاملا تجزیه و تحلیل كردید و دقیقا می دانید كه چه چیزی رو می خواهید و چی را احتیاج ندارید ، كار را شروع می كنیم . ما باید پنج مرحله رو پشت سر بگذاریم تا كارمان تمام بشود . این پنج مرحله عبارتند از : 

1- Inspection ( بازرسی ) 
2- Protection ( حفاظت ) 
3- Detection ( ردیابی ) 
4- Reaction ( واكنش ) 
5- Reflection ( بازتاب) 

در طول مسیر ، از این پنج مرحله عبور می كنیم ، ضمن اینكه ایمن كردن شبكه به این شكل ، احتیاج به تیم امنیتی دارد و یك نفر به تنهایی نمی تواند این پروسه رو طی كند و اگر هم بتواند ، خیلی طولانی می شود و قانون حداقل زمان ممكن را نقض می كند . 

1- اولین جایی كه ایمن كردن رو شروع می كنیم ، ایمن كردن كلیه authentication های موجود هست . معمولا رایج ترین روش authentication كه مورد استفاده قرار می گیرد ، استفاده از شناسه كاربری و كلمه رمز هست. 
مهمترین جاهایی كه باید authentication را ایمن و محكم كرد عبارتند از : 

- كلمات عبور كاربران ، به ویژه مدیران سیستم . 
- كلمات عبور سوییچ و روتر ها ( من روی سوییچ خیلی تاكید میكنم ، چون این device به صورت plug and play كار می كند ، اكثر مدیرهای شبكه از config كردن ان غافل می شوند ، در حالی كه می تواند امنیت خیلی خوبی به شبكه بدهد ، به مدیران امنیتی توصیه میكنم كه حتما این device رو كنترل كنند ) . 
- كلمات عبور مربوط به SNMP . 
- كلمات عبور مربوط به پرینت سرور . 
- كلمات عبور مربوط به محافظ صفحه نمایش . 

آنچه كه شما در كلاسهای امنیت شبكه در مورد Account and Password Security یاد گرفتید را اینجا به كار می برید . كه من به خاطر طولانی نشدن بحث به انها اشاره نمیكنم . 

2- قدم دوم نصب و به روز كردن آنتی ویروس بر روی همه دسكتاپ ، سرور و میل سرورها هست . ضمن اینكه آنتی ویروس های مربوط به كاربران باید به طور اتوماتیك به روز رسانی بشود و آموزشهای لازم در مورد فایلهای ضمیمه ایمیل ها و راهنمایی لازم جهت اقدام صحیح در صورت مشاهده موارد مشكوك یا اضطراری به كاربران هم داده بشود . 

3 - مرحله سوم شامل نصب آخرین به روز رسانی های امنیتی سیستم عامل و سرویسهای موجود هست . در این مرحله علاوه بر كارهای ذكر شده ، كلیه سرورها و device ها و دسك تاپ ها با ابزار های شناسایی حفره های امنیتی بررسی می شوند تا علاوه بر شناسایی و رفع حفره های امنیتی ، سرویس های غیر ضروری هم شناسایی و غیرفعال بشوند . 

4-در این مرحله نوبت گروه بندی كاربران و اعطای مجوزهای لازم به فایلها و دایركتوری ها میباشد . ضمن اینكه account های قدیمی هم باید غیر فعال شوند . گروه بندی و اعطای مجوز بر اساس یكی از سه مدل استاندارد Access Control Techniques یعنی MAC , DAC یا RBAC انجام می شود . بعد از پایان این مرحله ، یك بار دیگه امنیت سیستم عامل باید چك بشود تا چیزی فراموش نشده باشد . 

5- حالا نوبت device ها هست كه معمولا شامل روتر ، سوییچ و فایروال می شود . بر اساس policy موجود و توپولوژی شبكه ، این box ها باید config بشوند . تكنولوژی هایی مثل NAT , PAT و filtering و غیره در این مرحله مطرح می شود و بر همین اساس این مرحله خیلی مهم هست. حتی موضوع مهم IP Addressing كه از وظایف مدیران شبكه هست می تواند مورد توجه قرار بگیرد تا اطمینان حاصل بشود كه از حداقل ممكن برای IP Assign به شبكه ها استفاده شده است. 

6- قدم بعد تعیین استراژی backup گیری هست . نكته مهم كه اینجا وجود دارد این هست كه باید مطمئن بشویم كه سیستم backup گیری و بازیابی به درستی كار می كند و بهترین حالت ممكن باشد . 

7- امنیت فیزیكی . اول از همه به سراغ UPS ها می رویم . باید چك كنیم كه UPS ها قدرت لازم رو برای تامین نیروی الكتریكی لازم جهت كار كرد صحیح سخت افزار های اتاق سرور در زمان اضطراری رو داشته باشند . نكات بعدی شامل كنترل درجه حرارت و میزان رطوبت هست. همینطور ایمنی در برابر سرقت و آتش سوزی. سیستم كنترل حریق باید به شكلی باشد كه به نیروی انسانی و سیستم های الكترونیكی آسیب وارد نكند . به طور كل آنچه كه در مورد امنیت فیزیكی یاد گرفتید را در این مرحله به كار می برید . 

8- امنیت وب سرور یكی از موضوعاتی هست كه روش باید وسواس داشته باشید. به همین دلیل در این قسمت كار ، مجددا و با دقت بیشتر وب سرور رو چك و ایمن می كنیم . در حقیقت ، امنیت وب رو اینجا لحاظ می كنیم . 
( اسكریپت های سمت سرویس دهنده رو هیج وقت فراموش نكنید ) 

9 - حالا نوبت چك ، تنظیم و تست سیستم های Auditing و Logging هست . این سیستم ها هم می تواند بر پایه host و هم بر پایه network باشد . سیستم های رد گیری و ثبت حملات هم در این مرحله نصب و تنظیم می شوند. باید مطمئن شوید كه تمام اطلاعات لازم ثبت و به خوبی محافظت می شود . در ضمن ساعت و تاریخ سیستم ها درست باشد ، مبادا كه اشتباه باشه كه تمام زحماتتان در این مرحله به باد میرود . و امكان پیگیری های قانونی در صورت لزوم دیگر وجود ندارد . 

10- ایمن كردن Remote Access با پروتكل ها و تكنولوژی های ایمن و Secure قدم بعدی رو تشكیل می دهد. در این زمینه با توجه به شرایط و امكانات ، ایمن ترین پروتكل و تكنولوژی ها رو به خدمت بگیرید . 

11 - نصب فایروال های شخصی در سطح host ها ، لایه امنیتی مضاعفی به شبكه شما میدهد . پس این مرحله رو فراموش نكنید . 

12 - شرایط بازیابی در حالت های اضطراری رو حتما چك و بهینه كنید . این حالت ها شامل خرابی قطعات كامپیوتری ، خرابكاری كاربران عادی ، خرابی ناشی از بلایای طبیعی ( زلزله - آتش سوزی - افتادن - سرقت - سیل و ... ) و خرابكاری ناشی از نفوذ هكرها ، میباشد . استاندارد های warm site و hot site را در صورت امكان رعایت كنید. 
یادتون باشد كه " همیشه در دسترس بودن اطلاعات " ، جز، قوانین اصلی امنیتی هست . 

13- و قدم آخر این پروسه كه در حقیقت شروع یك جریان همیشگی هست ، عضو شدن در سایتها و بولتن های امنیتی و در جریان آخرین اخبار امنیتی قرار گرفتن هست . 
برای همه شما عزیزان آرزوی سلامتی و موفقیت را دارم . 


مفاهیم امنیت شبکه

امنیت شبکه یا Network Security پردازه ای است که طی آن یک شبکه در مقابل انواع مختلف تهدیدات داخلی و خارجی امن می شود. مراحل ذیل برای ایجاد امنیت پیشنهاد و تایید شده اند:

1- شناسایی بخشی که باید تحت محافظت قرار گیرد.

2- تصمیم گیری درباره مواردی که باید در مقابل آنها از بخش مورد نظر محافظت کرد.

3- تصمیم گیری درباره چگونگی تهدیدات

4- پیاده سازی امکاناتی که بتوانند از دارایی های شما به شیوه ای محافظت کنند که از نظر هزینه به صرفه باشد.

5- مرور مجدد و مداوم پردازه و تقویت آن درصورت یاقتن نقطه ضعف



مفاهیم امنیت شبکه

برای درک بهتر مباحث مطرح شده در این بخش ابتدا به طرح بعضی مفاهیم در امنیت شبکه می پردازیم.



1- منابع شبکه

در یک شبکه مدرن منابع بسیاری جهت محافظت وجود دارند. لیست ذیل مجموعه ای از منابع شبکه را معرفی می کند که باید در مقابل انواع حمله ها مورد حفاظت قرار گیرند.

1- تجهیزات شبکه مانند روترها، سوئیچ ها و فایروالها

2- اطلاعات عملیات شبکه مانند جداول مسیریابی و پیکربندی لیست دسترسی که بر روی روتر ذخیره شده اند.

3- منابع نامحسوس شبکه مانند عرض باند و سرعت

4- اطلاعات و منابع اطلاعاتی متصل به شبکه مانند پایگاه های داده و سرورهای اطلاعاتی

5- ترمینالهایی که برای استفاد هاز منابع مختلف به شبکه متصل می شوند.

6- اطلاعات در حال تبادل بر روی شبکه در هر لحظه از زمان

7- خصوصی نگهداشتن عملیات کاربرن و استفاده آنها از منابع شبکه جهت جلوگیری از شناسایی کاربران.

مجموعه فوق به عنوان دارایی های یک شبکه قلمداد می شود.



2- حمله

حال به تعریف حمله می پردازیم تا بدانیم که از شبکه در مقابل چه چیزی باید محافظت کنیم. حمله تلاشی خطرناک یا غیر خطرناک است تا یک منبع قابل دسترسی از طریق شبکه ، به گونه ای مورد تغییر یا استفاده قرار گیرد که مورد نظر نبوده است.برای فهم بهتر بد نیست حملات شبکه را به سه دسته عمومی تقسیم کنیم:

1- دسترسی غیرمجاز به منابع و اطلاعات از طریق شبکه

2- دستکاری غیرمجاز اطلاعات بر روی یک شبکه

3- حملاتی که منجر به اختلال در ارائه سرویس می شوند و اصطلاحا Denial of Service نام دارند.

کلمه کلیدی در دو دسته اول انجام اعمال به صورت غیرمجاز است. تعریف یک عمل مجاز یا غیرمجاز به عهده سیاست امنیتی شبکه است، اما به عبارت کلی می توان دسترسی غیرمجاز را تلاش یک کاربر جهت دیدن یا تغییر اطلاعاتی که برای وی در نظر گرفته نشده است، تعریف نمود اطلاعات روی یک شبکه نیز شامل اطلاعات موجود بر روی رایانه های متصل به شبکه مانند سرورهای پایگاه داده و وب ، اطلاعات در حال تبادل بر روی شبکه و اطلاعات مختص اجزاء شبکه جهت انجام کارها مانند جداول مسیریابی روتر است. منابع شبکه را نیز می توان تجهیزات انتهایی مانند روتر و فایروال یا مکانیزمهای اتصال و ارتباط دانست.

هدف از ایجاد امنیت شبکه ، حفاظت از شبکه در مقابل حملات فوق است، لذا می توان اهداف را نیز در سه دسته ارائه کرد:

1- ثابت کردن محرمانگی داده

2- نگهداری جامعیت داده

3- نگهداری در دسترس بودن داده



3- حلیل خطر 

پس از تعیین دارایی های شبکه و عوامل تهدیدکننده آنها ، باید خطرات مختلف را ارزیابی کرد. در بهترین حالت باید بتوان از شبکه در مقابل تمامی انواع خطا محافظت کرد، اما امنیت ارزان به دست نمی آید. بنابراین باید ارزیابی مناسبی را بر روی انواع خطرات انجام داد تا مهمترین آنها را تشخیص دهیم و از طرف دیگر منابعی که باید در مقابل این خطرات محافظت شوند نیز شناسایی شوند. دو فاکتور اصلی در تحلیل خطر عبارتند از :

1- احتمال انجام حمله 

2- خسارت وارده به شبکه درصورت انجام حمله موفق



4- سیاست امنیتی

پس از تحلیل خطر باید سیاست امنیتی شبکه را به گونه ای تعریف کرد که احتمال خطرات و میزان خسارت را به حداقل برساند. سیاست امنیتی باید عمومی و در حوزه دید کلی باشد و به جزئیات نپردازد. جزئیات می توانند طی مدت کوتاهی تغییر پیدا کنند اما اصول کلی امنیت یک شبکه که سیاست های آن را تشکیل می دهند ثابت باقی می مانند.در واقع سیاست امنیتی سه نقش اصلی را به عهده دارد: 

1- چه و چرا باید محافظت شود.

2- چه کسی باید مسئولیت حفاظت را به عهده بگیرد.

3- زمینه ای را بوجود آورد که هرگونه تضاد احتمالی را حل و فصل کند.

سیاستهای امنیتی را می توان به طور کلی به دو دسته تقسیم کرد:

1- مجاز (Permissive) : هر آنچه بطور مشخص ممنوع نشده است ، مجاز است.

2- محدود کننده (Restrictive) : هر آنچه بطور مشخص مجاز نشده است ، ممنوع است.

معمولا ایده استفاده از سیاستهای امنیتی محدودکننده بهتر و مناسبتر است چون سیاستهای مجاز دارای مشکلات امنیتی هستند و نمی توان تمامی موارد غیرمجاز را برشمرد. المانهای دخیل در سیاست امنیتی در RFC 2196 لیست و ارائه شده اند.



5- طرح امنیت شبکه

با تعریف سیاست امنیتی به پیاده سازی آن در قالب یک طرح امنیت شبکه می رسیم. المانهای تشکیل دهنده یک طرح امنیت شبکه عبارتند از :

1- ویژگیهای امنیتی هر دستگاه مانند کلمه عبور مدیریتی و یا بکارگیری SSH

2- فایروالها

3- مجتمع کننده های VPN برای دسترسی از دور

4- تشخیص نفوذ

5- سرورهای امنیتی AAA ( Authentication، Authorization and Accounting) و سایر خدمات AAA برای شبکه

6- مکانیزمهای کنترل دسترسی و محدودکننده دسترسی برای دستگاههای مختلف شبکه 



6- نواحی امنیتی

تعریف نواحی امنیتی نقش مهمی را در ایجاد یک شبکه امن ایفا می کند. در واقع یکی از بهترین شیوه های دفاع در مقابل حملات شبکه ، طراحی امنیت شبکه به صورت منطقه ای و مبتنی بر توپولوژی است و یکی از مهمترین ایده های مورد استفاده در شبکه های امن مدرن ، تعریف نواحی و تفکیک مناطق مختلف شبکه از یکدیگر است. تجهیزاتی که در هر ناحیه قرار می گیرند نیازهای متفاوتی دارند و لذا هر ناحیه حفاظت را بسته به نیازهای امنیتی تجهیزات نصب شده در آن ، تامین می کند. همچنین منطقه بندی یک شبکه باعث ایجاد ثبات بیشتر در آن شبکه نیز می شود.

نواحی امنیتی بنابر استراتژی های اصلی ذیل تعریف می شوند.

1- تجهیزات و دستگاههایی که بیشترین نیاز امنیتی را دارند (شبکه خصوصی) در امن ترین منطقه قرار می گیرند. معمولا اجازه دسترسی عمومی یا از شبکه های دیگر به این منطقه داده نمی شود. دسترسی با کمک یک فایروال و یا سایر امکانات امنیتی مانند دسترسی از دور امن (SRA) کنترل می شود. کنترل شناسایی و احراز هویت و مجاز یا غیر مجاز بودن در این منطقه به شدت انجام می شود.

2- سرورهایی که فقط باید از سوی کاربران داخلی در دسترس باشند در منطقه ای امن ، خصوصی و مجزا قرار می گیرند. کنترل دسترسی به این تجهیزات با کمک فایروال انجام می شود و دسترسی ها کاملا نظارت و ثبت می شوند.

3- سرورهایی که باید از شبکه عمومی مورد دسترسی قرار گیرند در منطقه ای جدا و بدون امکان دسترسی به مناطق امن تر شبکه قرار می گیرند. درصورت امکان بهتر است هر یک از این سرورها را در منطقه ای مجزا قرار داد تا درصورت مورد حمله قرار گرفتن یکی ، سایرین مورد تهدید قرار نگیرند. به این مناطق DMZ یا Demilitarized Zone می گویند. 

4- استفاده از فایروالها به شکل لایه ای و به کارگیری فایروالهای مختلف سبب می شود تا درصورت وجود یک اشکال امنیتی در یک فایروال ، کل شبکه به مخاطره نیفتد و امکان استفاده از Backdoor نیز کم شود.

منابع: 118فایل

www.cloob.com