آموزش رایگان سکیوریتی پلاس: چگونه اطلاعاتی در ارتباط با آسیب‌پذیری‌ها به دست آوریم

برای مطالعه بخش قبل روی این آدرس کلیک کنید.

منابع هوش تهدید می‌توانند به یک شرکت کمک کنند تا مشخص کند که آیا احتمال دارد در برابر حملات سایبری آسیب‌پذیر باشد یا خیر. موارد زیر منابع هوش تهدیداتی هستند که هکرها یا کارشناسان امنیتی ممکن است برای کشف تهدیدات یک سازمان از آن‌ها استفاده کنند:

■   اطلاعات منبع باز (OSINT): ابزارهای هوش منبع باز (OSINT) به شکل رایگان قابل استفاده هستند و برای خودکارسازی جمع‌آوری اطلاعات آنلاین درباره یک شرکت استفاده می‌شوند. از این ابزارها می‌توان برای کشف سیستم‌های موجود در شبکه، اطلاعات تماس کارکنان و حتی دستگاه‌های اینترنت اشیا متصل به اینترنت استفاده کرد. ابزارهایی مانند theHarvester و Recon-ng را می‌توان برای کشف نام مخاطب، آدرس ایمیل و اطلاعات آدرس آی‌پی یک شرکت استفاده کرد. Shodan یک موتور جستجو است که برای کشف سرورها یا دستگاه‌های IoT متصل به اینترنت یک شرکت خاص استفاده می‌شود.

■   بسته/اختصاصی (Closed/proprietary):  ابزارهای بسته یا اختصاصی ابزارهای تجاری هستند که برای استفاده به عنوان منابع هوش  تهدید باید آن‌ها را خریداری کنید. این ابزارها معمولاً همان اطلاعات ابزارهای OSINT را جمع‌آوری و نمایش می‌دهند، اما قابلیت‌های کاربردی‌تر بیشتری را ارایه می‌کنند.

■   پایگاه‌های اطلاعاتی مربوط به آسیب‌پذیری‌ها: پایگاه‌داده آسیب‌پذیری سایتی است که می‌توانید با استفاده از آن آسیب‌پذیری‌های یک محصول خاص را جستجو و شناسایی کنید. پایگاه داده آسیب‌پذیری به شکل طبقه‌بندی شده گزارشی در ارتباط با آسیب‌پذیری‌ها را گزارش می‌کند و برای هر یک از آن‌ها رتبه‌بندی کم، متوسط ​​یا زیاد را اختصاص می‌دهد. استفاده از اسکنر آسیب‌پذیری می‌تواند تحقیقات در مورد آسیب‌پذیری‌های موجود در محیط شما را خودکار کند.

■   مراکز اشتراک‌گذاری اطلاعات عمومی/خصوصی: مراکز اشتراک‌گذاری اطلاعات معمولاً وب‌سایت‌هایی هستند که برای به اشتراک گذاشتن اطلاعات درباره تهدیدات رایج سازمان‌ها استفاده می‌شوند. یک مرکز اشتراک‌گذاری اطلاعات ممکن است ماهیت عمومی داشته باشد، به این معنی که هر کسی به اطلاعات دسترسی دارد یا ممکن است جنبه اختصاصی داشته باشد.

■    وب تاریک: وب تاریک بخشی از اینترنت است که به افراد امکان می‌دهد به صورت ناشناس تجارت خود را انجام دهند. کاربران در وب تاریک معمولاً از فناوری‌هایی مانند Tor برای ناشناس ماندن و مخفی کردن مکان خود استفاده می‌کنند.

■   Indicators of compromise: عناصری هستند که در یک سیستم یافت می‌شوند و نشان می‌دهند که یک نقض امنیتی اتفاق افتاده است. شرکت‌ها می‌توانند از اطلاعات فایل‌های گزارش، فایل‌های روی یک سیستم و حتی معیارهای بی‌درنگ برای جمع‌آوری اطلاعات در مورد یک تهدید امنیتی که اتفاق افتاده است استفاده کنند.

■   Automated Indicator Sharing: آژانس امنیت سایبری و امنیت زیرساخت (CISA) زیرساخت اشتراک‌گذاری خودکار شاخص (AIS) را پدید آورده‌اند که امکان اشتراک‌گذاری اطلاعات هوش تهدید در زمان واقعی را میان جامعه CISA به منظور کمک به جلوگیری از حملات سایبری را ارایه می‌کند.

■   تحلیل پیش‌بینی‌کننده: تحلیل پیش‌بینی‌کننده یکی از ویژگی‌های کاربردی و رایج ابزارهای مدیریت تهدید است که به نرم‌افزار اجازه می‌دهد گام‌های آتی مربوط به یک تهدید را پیش‌بینی و تعیین کند و مکانیزم‌های حفاظتی را زودتر از موعد فعال کند.

■   نقشه‌های تهدید: به عنوان نقشه حمله نیز شناخته می‌شود، خطوطی را نشان می‌دهد که منبع حمله و هدف حمله را در زمان واقعی نشان می‌دهد. برای دیدن نمونه‌ای از یک نقشه تهدید به سایت https://threatmap.checkpoint.com مراجعه کنید.

■   مخزن‌های فایل/کد: مخزن‌های فایل یا کد، وب‌سایت‌هایی هستند که حاوی فهرستی از سوء استفاده‌ها (تهدیدات) رایج علیه محصولات هستند و معمولاً کد یا فایل کامپایل شده‌ای را منتشر می‌کنند که می‌توانید از آن برای آزمایش اکسپلویت استفاده کنید.

نکته: برای آزمون سکیوریتی پلاس باید اطلاعات جامعی در ارتباط با منابع مختلف هوش تهدید و نقشه تهدید به همراه OSINT و پایگاه‌های داده آسیب‌پذیری داشته باشید.

منابع تحقیقاتی

چالش بزرگ کارشناسان امنیتی، به‌روز نگه داشتن دانش خود در ارتباط با انواع تهدیدها و آسیب‌پذیری‌هایی است که برای انواع مختلف سیستم‌ها و دارایی‌های سازمان به وجود می‌آید. کلید حل این مشکل تحقیق مستمر است! شما می‌توانید از منابع مختلفی برای به‌روز نگه داشتن دانش خود در ارتباط با تهدیدها و آسیب‌پذیری‌هایی که ممکن است شرکت شما را تحت تاثیر قرار دهند استفاده کنید. برخی از این منابع به شرح زیر هستند:

■   وب‌سایت‌های فروشنده: برخی وب‌سایت‌ها اطلاعاتی در ارتباط با محصولات کلیدی ارایه می‌کنند. به عنوان مثال، اگر از روترها و سوئیچ‌های سیسکو استفاده می‌کنید، حتماً سایت سیسکو را برای اطلاع در مورد به‌روزرسانی‌ها و هشدارهای امنیتی زیر نظر بگیرید.

■   فیدهای آسیب‌پذیری: فید آسیب‌پذیری یک فید خبری است که به‌طور مداوم با اطلاعات به‌روز در مورد آسیب‌پذیری‌های فعلی موجود در محصولات مختلف دانش کافی در اختیار کارشناسان امنیتی قرار می‌دهند.

■   کنفرانس‌ها: می‌توانید در کنفرانس‌های امنیتی شرکت کنید و درباره روندهای فعلی در مورد تهدیدها و آسیب‌پذیری‌ها اطلاعات جدیدی به‌دست آورید.

■   مجلات آکادمیک: می‌توانید در مجلات ماهانه یا سالانه مشترک شوید که اطلاعات دقیقی درباره محصولاتی که استفاده می‌کنید ارائه می‌دهند.

■   RFC‌ها: استانداردهای منتشر شده و استانداردهای پیشنهادی برای فناوری‌ها و پروتکل‌های اینترنت هستند. می‌توانید اسناد RFC را بخوانید تا درک بهتری از پروتکل‌ها یا فناوری‌های کلیدی که نرم‌افزارها و سخت‌افزارها از آن‌ها استفاده می‌کنند به دست آورید.

■   گروه‌های صنعتی محلی: می‌توانید بررسی کنید که آیا گروه‌های بحث محلی در منطقه شما وجود دارند که درباره تهدیدات رایج برای محصولات اطلاعات جدیدتری در اختیارتان قرار دهند یا خیر.

■   شبکه‌های اجتماعی: بررسی کنید که آیا گروه‌های رسانه اجتماعی وجود دارند که بتوانید به آن‌ها ملحق شوید و اطلاعاتی درباره تهدیدات رایج به‌دست آورده یا به اشتراک قرار دهید.

■   فیدهای تهدید: یک فید تهدید مشابه فید آسیب‌پذیری است، اما اطلاعاتی درباره تهدیدهای مختلف نوظهور در صنایع ارائه می‌دهد.

■   تاکتیک‌ها: به روش‌هایی اشاره دارند که توصیف‌کننده رفتارهای یک عامل تهدید هستند. تاکتیک سطح بالایی از اقداماتی را توصیف می‌کند که یک عامل تهدید انجام می‌دهد. این تاکتیک‌ها جزئیات گام به گامی در ارتباط با رفتار عامل تهدید ارایه می‌کنند.

نگاهی به نقش‌ها و مسئولیت‌های امنیتی

امنیت دغدغه همه کارشناسان امنیتی و مدیران ارشد سازمانی است و هر فرد نقش متفاوتی را در دنیای امنیت بازی می‌کند. شناسایی نقش‌های مختلفی که افراد در سازمان خواهند داشت، مانند مالک داده، نگهبان، کاربر و افسر امنیتی مهم است.

مالک سیستم و مالک داده

اصطلاح مهمی که باید هنگام تعامل با امنیت اطلاعات بدانیم مالک است. مالک - اعم از مالک سیستم یا مالک داده - شخصی است که تصمیم می‌گیرد چقدر دارایی ارزشمند است و چه نوع کنترل‌های امنیتی باید برای محافظت از دارایی اعمال شود. مالک همچنین در مورد حساسیت اطلاعات، مانند محرمانه بودن در هنگام برخورد با سیستم‌های طبقه‌بندی، تصمیم می‌گیرد.

مالک دارایی، به مدیریت سطح بالا اشاره دارد و مسئولیت نهایی تامین امنیت دارایی‌ها و امنیت درون سازمان را بر عهده دارد.

کنترل‌کننده داده و پردازشگر داده

در اروپا، مقررات عمومی حفاظت از داده‌ها (GDPR) بر حفاظت و حریم خصوصی داده‌های شخصی نظارت می‌کند. در GDPR، کنترل‌کننده‌ها و پردازشگرهای داده تعریف خاص خود را دارند. کنترل‌کننده داده‌ها نهادی است که نحوه و چرایی پردازش داده‌های شخصی را تعیین می‌کند. پردازشگر داده نهادی است که در واقع پردازش داده‌های شخصی را طبق دستورالعمل‌های تنظیم شده توسط کنترل‌کننده داده انجام می‌دهد.

مدیر سیستم

مدیر سیستم شخصی است که مسئول پیکربندی یک سیستم یا شبکه است. مدیر سیستم اهداف پیکربندی را از طراحان یا متخصصان امنیتی درون سازمان دریافت می‌کند و سیستم‌ها را به گونه‌ای پیکربندی می‌کند که آن اهداف را برآورده کند. مهم است که متخصص امنیت فردی غیر از مدیر سیستم باشد تا متخصص امنیت بتواند وظایف پیکربندی مدیر سیستم را بررسی کند تا مطمئن شود که پیکربندی یک سیستم را در حالت ایمن قرار می‌دهد.

کاربر

کاربر هر فردی است که به منابع درون سازمان دسترسی پیدا کرده و از آن‌ها استفاده می‌کند. کاربر تحت تأثیر کنترل‌های امنیتی تعیین‌شده توسط مالک قرار می‌گیرد و توسط سرپرست منصوب می‌شود.

کاربر ممتاز

کاربر ممتاز به فردی گفته می‌شود که برای انجام وظایف اداری امتیازات بیشتری به او داده شده است. مهم است که به چند دلیل تعداد کاربرانی که کاربران ممتاز هستند را محدود کنید. به عنوان مثال، یک کاربر دارای امتیاز ممکن است هنگام استفاده از سیستم اشتباه کند و به دلیل برخورداری از امتیازات اضافی، ممکن است به‌طور تصادفی چیزی را حذف کند یا سیستم را ناامن کند. همچنین، یک کاربر ممتاز می‌تواند به‌طور تصادفی برنامه یا کدی را در یک وب‌سایت اجرا کند که می‌تواند بدون اطلاع تغییرات مخربی در سیستم ایجاد کند.

کاربر اجرایی

کاربر اجرایی یک مدیر تجاری سطح بالا است، مانند رئیس شرکت، معاون رئیس، یا مدیرعامل. چالش امنیتی هنگام برخورد با این نوع کاربران این است که آن‌ها معمولاً برای انجام کارها و دسترسی به منابع شرکت به امتیازات بیشتری نیاز دارند. از آن‌جایی که کاربران اجرایی نیاز به دسترسی بالاتری به منابع خاصی دارند، بسیار مهم است که اقداماتی را برای ایمن کردن حساب‌هایشان با اقدامات متقابلی مانند رمزهای عبور قوی، انقضای رمز عبور و احراز هویت دو مرحله‌ای انجام دهید.

نقش‌ها و مسئولیت‌های داده

تعدادی نقش‌ها در ارتباط با داده‌های یک سازمان وجود دارد. برای آزمون سکیوریتی پلاس باید با نقش‌های داده زیر آشنا باشید:

■   مالک داده: مالک داده معمولاً مالک شرکت، تیم اجرایی یا رئیس بخش است که تصمیم می‌گیرد کدام داده به عنوان دارایی در نظر گرفته شود و چگونه از آن داده‌ها محافظت شود.

■   نگهبان/مشاور داده: نگهبان فردی است که کنترل امنیتی را بر اساس ارزش دارایی تعیین شده توسط مالک اجرا می‌کند. متولی، مدیر فناوری اطلاعات است که وظایف رایجی مانند پشتیبان‌گیری، پیکربندی مجوزها، پیکربندی فایروال‌ها و سخت‌سازی سیستم‌ها را انجام می‌دهد. به یاد داشته باشید که مالک کنترل‌های مورد نیاز را تعیین می‌کند، در حالی که متولی در واقع با اجرای آن کنترل‌ها، دارایی را ایمن می‌کند.

■   مأمور حریم خصوصی داده‌ها (DPO): مامور حریم خصوصی که به عنوان مدیر ارشد حریم خصوصی (CPO) نیز شناخته می‌شود، مسئول توسعه خط‌مشی‌هایی است که به داده‌های شخصی کارمندان و داده‌های شخصی مشتری مرتبط است. خط‌مشی حفظ حریم خصوصی باید مشخص کند که چگونه داده‌های شخصی باید در سازمان مدیریت و ذخیره شوند.

نکته: برای آزمون، نقش‌ها و مسئولیت‌های امنیتی مختلف را بدانید. به خصوص نقش مالک داده، نگهبان داده، کنترل‌کننده داده و پردازشگر داده را به یاد داشته باشید.

مدیر امنیتی

مدیر امنیتی نقش بسیار مهمی دارد و رابط بین مدیریت (مالک) و کارکنان فناوری اطلاعات (متولی) است. مدیر امنیتی با آموزش دادن به همه در مورد نقش آن‌ها در سازمان، مسئول اطمینان از رعایت سیاست‌ها است. مدیر امنیتی به مدیریت کمک می‌کند تا ارزش کنترل‌های امنیتی اعمال شده را با اطمینان از درک مسئولیت‌های قانونی خود و مزایای مالی اجرای کنترل‌ها درک کند.

اصطلاحات امنیتی

برای آن‌که دانش خود در ارتباط با اصطلاحات امنیتی را محک بزنید، اصطلاحات نشان داده شده در تصویر زیر را با توضیحات آن‌ها تطبیق دهید.

خلاصه گواهی‌نامه‌ها

تا این بخش از مقاله با اصطلاحات و اصول امنیتی آشنا شدیم. اصطلاحاتی که کمک می‌کنند به سؤالات مرتبط با آزمون گواهینامه Security+ پاسخ دهید. نکته مهمی که در ارتباط با اصطلاحات مذکور باید بدانید این است که این اصطلاحات به‌طور گسترده‌ای در دنیای امنیت استفاده می‌شوند و بنابراین مهم است که دانش خود در ارتباط با این اصطلاحات را بهبود بخشید. در زیر چند نکته کلیدی در مورد مفاهیم و اصول امنیتی که آموخته‌اید را به شکل فهرست‌وار آماده کرده‌ایم:

■   اهداف اساسی امنیت، محرمانگی، یکپارچگی و دسترس‌پذیری (CIA) است.

■   قبل از این‌که کاربر در یک سیستم احراز هویت شود باید خود را به سیستم معرفی کند. یک روش معمول برای شناسایی یک کاربر، دادن یک نام کاربری منحصر به فرد به او است.

■   مجوزدهی پس از احراز هویت انجام می‌شود و معمولاً شامل دسترسی کاربران به منابع مناسب است. تخصیص مجوزها نمونه‌ای از مجوز دادن به کاربران است.

■    انواع مختلفی از امنیت وجود دارد که امنیت فیزیکی، امنیت ارتباطات، امنیت رایانه و امنیت شبکه و... را شامل می‌شود.

■   اصل حداقل امتیاز به این معنی است که شما فقط حداقل سطح امتیازات یا مجوزهای لازم را برای انجام یک کار به کاربر می‌دهید.

■   هدف از تفکیک وظایف این است که اطمینان حاصل شود که وظایف حیاتی مشاغل جداگانه از هم متمایز شده‌اند و هر شغل توسط شخص مشخصی انجام می‌شود. رویکرد فوق به حفظ یکپارچگی کمک می‌کند.

■   تغییر وظایف (چرخش کارمندان): تضمین می‌کند که کارمندان را به‌طور منظم در پست‌های مختلف جابجا می‌کنید. رویکرد فوق به جلوگیری و شناسایی فعالیت‌های فریبکارانه توسط کارمندی که قبلاً در یک موقعیت شغلی خاص بوده کمک می‌کند.

با درک قوی از مطالب ارائه شده تا این بخش از آموزش هیچ مشکلی در ارتباط با سوالات آزمون نخواهید داشت. دقت کنید مطالب ارائه شده در این دوره آموزشی نه تنها برای آزمون مهم هستند، بلکه برای مطالب بعدی این دوره آموزشی نیز حائز اهمیت هستند.

اهداف امنیت اطلاعات

همان‌گونه که اشاره شد، اهدافی که امنیت اطلاعات دنبال می‌کند پیرامون محرمانگی، یکپارچگی و دسترس‌پذیری است.

محرمانگی شامل محرمانه نگه داشتن داده‌ها و ارتباطات برای طرفین یک کانال ارتباطی است. محبوب‌ترین روش برای اجرای محرمانگی رمزگذاری است، اما می‌توانید با استفاده از مجوزها نیز به حفظ محرمانگی کمک کنید.

یکپارچگی یعنی اطمینان از اینکه داده‌ها در حالت اصلی خود هستند و تغییری در آن‌ها به وجود نیامده است. به‌طور معمول، یکپارچگی داده‌ها از طریق یک الگوریتم هش حفظ می‌شود که یک عملیات ریاضی است که بر روی داده‌ها برای تولید یک پاسخ (مقدار هش) استفاده می‌شود. سپس این مقدار هش زمانی که می‌خواهید یکپارچگی داده‌ها را تأیید کنید، مقایسه می‌شود.

دسترس‌پذیری به حصول اطمینان از دسترس‌پذیری داده‌ها اشاره دارد. از فناوری‌های محبوبی که کمک به دسترس‌پذیری اطلاعات می‌کنند باید به پشتیبان‌گیری، رید (RAID) آرایه‌ها و فناوری خوشه‌بندی اشاره کرد.

مسئولیت‌پذیری به یک مبحث مهم امنیت اطلاعات تبدیل شده است و به پاسخگویی کاربران در قبال اعمال‌شان مرتبط است. شما می‌توانید مسئولیت‌پذیری را با استفاده از ورود به سیستم و ممیزی در محیط خود پیاده‌سازی کنید.

درک احراز هویت و مجوز

فرآیند دستیابی به منابع در هر محیطی تابع شناسایی، احراز هویت و سپس مجوز‌دهی است.

شناسایی با کاربرانی که در شبکه ابتدا خودشان را معرفی می‌کنند، مرتبط است و معمولاً از طریق استفاده از یک نام کاربری یا ID انجام می‌شود.

هنگامی که کاربر در یک سیستم یا شبکه شناسایی شد، سپس با ارائه یک رمز عبور با نام کاربری، احراز هویت می‌شود. سپس نام کاربری و رمز عبور با یک سرور احراز هویت مقایسه می‌شود تا تأیید شود که اعتبار ارائه شده صحیح است.

پس از احراز هویت کاربر، مجوز‌دهی انجام می‌شود. مجوزدهی به معنای تعریف مجموعه خط‌مشی‌هایی است که به یک کاربر اجازه می‌دهد به منابع دسترسی داشته باشد. این فرایند می‌تواند از طریق فهرست کنترل دسترسی (ACL) انجام شود.

نگاهی به نقش‌ها و مسئولیت‌های امنیتی

به‌طور معمول از اصطلاحات مختلفی برای شناسایی نقش‌های امنیتی کارکنان در یک سازمان استفاده می‌شود.

مالک سیستم یا داده‌ها در نهایت مسئول امنیت دارایی‌ها است. مالک ارزش دارایی را تعیین می‌کند و همچنین سطح حفاظتی که دارایی نیاز دارد را تعیین می‌کند.

متولی، کارکنان فناوری اطلاعات هستند که مسئول اجرای کنترل‌های امنیتی تعیین شده توسط مالک است. تکنسین‌ها وظایفی مانند پیکربندی مجوزها و فایروال‌ها و انجام پشتیبان‌گیری را عهده‌دار هستند.

کاربر هر فردی در سازمان است که به عنوان بخشی از نقش شغلی خود به دارایی‌های روزانه دسترسی دارد.

مأمور امنیتی وظیفه دارد که اطمینان حاصل کند سطح امنیتی تعیین شده توسط مالک واقعاً توسط متولی اجرا می‌شود. مدیر امنیتی رابط بین مالک و تکنسین است.

در شماره آینده مبحث فوق را ادامه می‌دهیم.

برای مطالعه تمام قسمت‌های آموزش سکوریتی پلاس اینجا کلیک کنید.

معرفی آموزشگاه شبکه و امنیت

• تهران: آموزشگاه عصر رایان شبکه
• مهندس اطلاعات 

تلفن: 02188549150           کانال: Asrehshabakeh@

تبلیغات لینکی: 

استخدام متخصص شبکه