تست نفوذ و امنیت اطلاعات

امنیت اطلاعات، حفاظت، پشتیبانی و نگهداری از داده های رایانه ای، اطلاعات مهم، برنامه های حساس و نرم افزارهای مورد نیاز و یا هر داده ای که مورد اهمیت باشد امنیت رایانه ای می گویند. با توجه به خطراتی که امروزه در دنیای اطلاعات تمام شرکت ها و سازمان ها را تهدید می کند، نیاز به یک شبکه امن و سیستمی کاملا محفوظ و قابل اعتماد ملموس می باشد. امنیت اطلاعات شبکه های تجاری Enterprise Network نیازی می­ باشد که امروزه تمام شرکت­ها در سطوح مختلف آن را درک کرده و دغدغه­ ی آن را دارند که در دنیای مجازی با کمترین ریسک و خطر، اطلاعات مورد نیاز خود را منتقل سازند. از این رو با توجه به اهمیت امنیت اطلاعات، شناخت از بستر شبکه و همچنین بررسی نیازهای کارفرما متخصصان شرکت فناوران عصر شبکه آترا اقدام به معرفی فایروال های سخت افزاری و نرم افزاری می نمایند. همچنین با لایه بندی شبکه درخواست کننده و استفاده از راه کارهای پیشنهادی و به روز مایکروسافت، سیسکو و دیگر شرکت های بزرگ فعال در زمینه امنیت اطلاعات بستر شبکه را تا حد ممکن امن می نماید به طوری که شما می­توانید سیستمی امن با بالاترین درجه امنیتی تحویل گرفته و در زمینه پشتیبانی شبکه هیچ گونه دغدغه ای نداشته باشید.

سه عامل رازداری confidentiality و یکپارچگی integrity و در دسترس بودن availability مثلث امنیتی شبکه را تشکیل می دهند.

security1

امنیت اطلاعات به دو دسته تقسیم می شود:

۱- امنیت فیزیکی :

 

امنیت فیزیکی به از جمله اقداماتی گفته میشود که دسترسی فیزیکی به تجهیزات زیر ساخت و فعال شبکه را به شدت محدود می کند و همچنین میزان خطرات و خسارات را نیز به تجهیزات فیزیکی به حداقل خواهد رساند برای مثال اقدامات زیر جزو امنیت فیزیکی محسوب می شوند:

ـ نصب سیستم اعلام و اطفاء حریق
ـ نصب  سیستم های کنترل تردد هوشمند با امکان ثبت log
ـ نصب تجهیزات ضد شک و اعلام هشدار ضربه به تجهیزات زیرساخت
ـ نصب سیستم تامین برق اضطراری و ups و ژنراتور جهت تامین برق تجهیزات در زمان قطع برق
ـ نصب دوربین های مدار بسته در تمامی نقاط حساس

۲- امنیت نرم افزاری یا فعال (active) :

 

امنیت نرم افزاری نیز از جمله اقداماتی است که برای حفظ و ارتقای سطح امنیت دستگاه های موجود در شبکه ما انجام می شود و از هر گونه خرابکاری و یا ایجاد وقفه در کار شبکه جلوگیری می نماید برای مثال برخی از اقدامات نرم افزاری امنیتی شبکه را برای شما در زیر خواهیم آورد:

ـ امنیت شبکه
ـ امنیت نرم افزار ها
ـ تست نفوذ

 

در بالا مشاهده می کنید نصب تجهیزات امنیتی مانند فایوال ها و یا UTM ها جز دسته امنیت شبکه می باشند و همچنین به روز رسانی نرم افزار ها و نصب پچ های امنیتی و غیره در قسمت امنیت نرم افزارها هستند و بخش تست نفوذ که نشان دهنده میزان موفق بودن دو مرحله قبل از آن است و این باعث خواهد شد که مشکلات موجود در شبکه قابل شناسایی شوند و راهبر سیستم از وجود آنها با خبر شوند.

راهکارهای افزایش امنیت اطلاعات چیست؟

 

از جمله راهکارهای افزایش امنیت اطلاعات استفاده از نرم افزارهای آنتی ويروس،سيستم های سخت افزاری يا نرم افزاری Firewall،سيستم های تشخيص مقابله با نفوذ (IDP) ، راهکارهای مديريت اصلاحيه های امنيتی،راهکارهای جمع آوری، ثبت و مديريت رويداد ها،راهکارهای ارتباطی امن (VPN) می باشد.

تست نفوذ چیست؟

 

تست نفوذ یا Penetration Test یک پروسه مجاز، برنامه ریزی شده و سیستماتیک برای شناسایی و به کارگیری آسیب پذیری ها جهت نفوذ به سرور، شبکه و یا منابع برنامه های کاربردی است. در واقع تست نفوذ روشی برای ارزیابی امنیتی یک سیستم یا شبکه کامپیوتری است که از طریق شبیه سازی حمله یک هکر یا نفوذگر خرابکار صورت می گیرد. پروسه تست نفوذ یک تحلیل فعال از سیستم برای یافتن هر حفره، آسیب پذیری و نقص فنی است که بالقوه یک ضعف امنیتی سیستم محسوب می شود.این تحلیل در مقام یک هکر بالقوه انجام می شود و در آن می توان از آسیب پذیری های امنیتی فعال برای اجرای حملات استفاده کرد.همه مشکلات امنیتی باید همراه با ارزیابی میزان اهمیت آنها و همچنین پیشنهاد هایی برای کاهش اثر خطرات و یا راه حل های فنی به صاحب سیستم ارائه شوند. تست نفوذ می تواند با استفاده از منابع داخلی همچون سیستم امنیتی میزبان و یا منابع خارجی همچون اتصالات شرکت به اینترنت هدایت شود. در این تست معمولاً از یک سری ابزارهای اتوماتیک و یا دستی برای آزمودن منابع سیستم استفاده می شود.

 

نکته مهم :

 

انجام تست نفوذ بر روی سیستم های فعال، خطر از هم گسستن آنها را در پی دارد زیرا اجرا کردن حملات فعال بر روی سیستم ممکن است منجر به از کار افتادگی، بروز برخی رفتارهای غیر قابل پیش بینی و بی ثباتی سیستم شود. ورود و نفود به شبکه های کامپیوتری به خودی خود امری غیر قانونی تلقی می شود اما اگر این کار به منظور شناسایی مشكلات و شكافهاي امنيتي باشد امری سودمند می باشد.

تست  نفوذ به چند دسته تقسیم می شوند :

 

۱- تست نفوذ جعبه سیاه (Black Box):

 

در این روش هیچ گونه اطلاعاتی را در اختیار تیم نفوذ قرار نمی دهند و این تیم باید با کمک دانش خود و همچنین مهندسی اجتماعی عملیات نفوذ را بر روی شبکه هدف انجام دهد.

 

۲- تست نفوذ جعبه خاکستری (Gray Box):

 

در این روش اطلاعات مختصر و جزیی از شبکه و زیر ساخت و اهداف مورد نظر در اختیار تیم نفوذ قرار داده می شود و براساس همین اطلاعات مختصر باید بر روی هدف مورد نظر کار کرد.

 

۳- تست نفوذ جعبه سفید یا شفاف (White Box):

 

در این نوع تست نفوذ تمامی اطلاعات زیر ساخت و جزئیات شبکه در اختیار تیم تست قرار داده می شود و از آنها دقیقا تمامی زاهکار ها و حفره های نفوذ دریافت خواهد شد. در این روش تست نفوذ اطلاعات بسیار زیاد و حساسی در اختیار تیم تست نفوذ قرار می گیرد که از این رو وجود شرکت معتبر و با دارای ارززش های اخلاقی برای این امر بسیار حیاتی می باشد.اما این تست کلیه قسمت های شبکه و راههای نفوذ آن را برای شما روشن خواهد  کرد.

نکته مهم :

 

دانش و مهارت تیم تست نفوذ در میزان موفیقت آمیز بودن آن و همچنین کیفیت این تست بسیار موثر است.لازم به ذکر است تست نفوذ کاری تیمی بوده و از سپردن آن به یک نفر جدا خودداری کنید چرا که دانش یک نفر در همه حوزه های لازم برای تست نفوذ بسیار محدود بوده و تست انجام شده اعتبار لازم و کافی را نخواهد داشت.

چرا برای خدمات تست نفوذ باید از شرکت های معتبر در این زمینه استفاده کرد؟

 

زیرا هنگامی که خدمات تست نفوذ توسط شرکتی ارائه می شود شما می بایست اطلاعات زیادی را در اختیار آن قرار دهید تا بتواند از تمامی زوایا امنیت سیستم شما را تامین نماید. همکاری با شرکت های معتبر به دلیل قراردادی که توسط طرفین به امضاء می رسد سبب می شود تا شرکت و یا سازمان به شرکت خدمات دهنده اطمینان لازم را داشته باشد.

چرا باید عملیات تست نفوذ انجام شود؟

 

در تست نفوذ شما از طریق شبیه سازی یک حمله واقعی، می توانید حفره های امنیتی را کشف نمایید. این حملات می تواند بر پایه حملات فنی( Script-base ) و یا حملات بر پایه منابع انسانی (human-base) در شبکه صورت گیرد.

 

به طور کلی تست نفوذ موارد زیر را به همراه خواهد داشت:

 

ـ شناسایی تهدیداتی که اطلاعات شما را تهدید می نماید.

ـ کاهش هزینه های فناوری سازمان یا شرکت از طریق شناسایی آسیب پذیری ها و نقاط ضعف.

ـ ارزیابی سیستم های امنیتی که نصب کرده اید از قبیل فایروال ها، روترها و وب سرورها و دیگر تجهیزات زیرساخت.

ـ برنامه ریزی مناسب و مبتنی بر واقعیت برای خرید های نرم افزاری، سخت افزاری و طراحی های شبکه.

 

امروزه امنیت اطلاعات با اهمیت تر از هر زمان دیگری است. در حال حاضر ابزار هک به طور گسترده ای در دسترس می باشد، شبکه شما نیاز به هر نوع تمهیدی برای مقابله با تهدید های داخلی و خارجی دارد.

مراحل ایجاد امنیت و تست نفوذ توسط شرکت آترا :

 

۱ـ کسب اطلاعات کافی :

 

قبل از انجام هر اقدامی کسب اطلاعات لازم امری ضروری می باشد. هر چه اطلاعات به دست آمده دقیق تر باشد حملات امنیتی با قدرت بیشتری انجام می شود. این اطلاعات شامل محدوده ip ودامنه سایت و… می باشد.

 

۲ـ جستجوی حفره های امنیتی :

 

در پاره ای از موارد شرکت و یا سازمان از سرویس هایی استفاده می کنند که دارای حفره های امنیتی بوده و راه را برای نفوذ هکر ها هموار می سازند. به همین دلیل با یافتن این حفره ها می توان از نفوذ پذیری آن ها جلوگیری کرد.

 

۳ـ کسب اطلاعات کافی در رابطه با حفره های امنیتی :

 

تمامی قسمت ها باید مورد برسی دقیق قرار گرفته و اطلاعات کافی در رابطه با حفره های امنیتی و برنامه امنیتی استفاده شده بدست آورد.

 

۴ـ ایجاد امنیت و مقابله با حمله هکر ها :

 

در آخر بعد از بررسی کلی نقاط ضعف تلاش برای رفع آنها آغاز می شود. در واقع استفاده از این عملیات در راستای جلوگیری از نفوذ هکر ها صورت می گیرد زیرا قبل از آنکه آنها دست به کار شوند تمامی قسمت هایی که می تواند ایجاد مشکل نماید مورد بررسی قرار گرفته و رفع می شود.

 

ایجاد امنیت اطلاعات و تست نفود توسط تیم فنی شرکت آترا:

 

پس از تماس با شرکت کارشناسان آترا شبکه شما را بررسی کرده و کلیه قسمت هایی که ممکن است امنیت آن را به خطر بیاندازد به صورت چک لیست در اختیار کارفرما قرار می دهد. پس از آن نیروهای امنیت شرکت کلیه راه های نفوذ به شبکه را مسدود می نمایند.
شرکت فناوران عصر شبکه آترا ، با تکیه بر توان فنی و دانش متخصصین خود و همچنین روزمه کاری خوداین توانایی را دارد تا نقش سازنده ای را در راستای ارتقا و بهبود سطح امنیت زیر ساخت جامع فناوری اطلاعات، در لایه ها، بخش ها و حوزه های مختلف ایفا نماید.

تیم امنیت اطلاعات شرکت فناوران عصر شبکه آترا تخصص لازم و کافی را برای محافظت از شبکه و اطلاعات در مقابل تهدیدهای داخلی و خارجی دارد.

سوالات متداول قبل از انجام پروژه

همان طور که گفته شد با نصب سیستم اعلام و اطفاء حریق ، سیستم های کنترل تردد ، تجهیزات ضد شک و اعلام هشدار ضربه به تجهیزات زیرساخت ، سیستم تامین برق اضطراری در زمان قطع برق و دوربین های مدار بسته می توان امنیت دیتا سنتر را در برابر حوادث تامین کرد. اما جهت تامین امنیت در برابر نفوذ هکر ها می توان از تجهیزات سخت افزاری فایروال ها استفاده کرد.

شما با آموزش کاربران و معرفی عوامل تهدید به آن ها می توانید سبب افزایش امنیت شبکه شوید . برای مثال یکی از این موارد ایمیل های فیشینگ می باشد.شما باید با آموزش دادن کاربران خود و با معرفی این تهدیدات و اقدامات مربوطه، آسیب پذیری آن ها را به حداقل برسانید.

بررسی ترافیک به منظور جلوگیری از استفاده آن با مقصد دیگر انجام می گیرد. پس می تواند به عنوان یک عامل کنترل کننده امنیت شبکه محسوب شود.