امنیت شبکه های کامپیوتری

فهرست
مقدمه اي بر تشخيص نفوذ (Intrusion Detection) 
 مقدمه اي بر شبکه خصوصي مجازي (VPN) 
 مقدمه اي بر IPSec 
 مقدمه اي بر فايروال
 مفاهيم امنيت شبکه
 رويدادهاي امنيتي و اقدامات لازم در برخورد با آنها (Incident Handling) 
 امنيت در توليد نرم افزارها
 مقايسه تشخيص نفوذ و پيش گيري از نفوذ
 10 نکته براي حفظ امنيت
 امنيت تجهيزات شبکه
  هفت مشکل امنيتي مهم شبکه هاي بي سيم 802.11 :‌بخش اول
هفت مشکل امنيتي مهم شبکه هاي بي سيم 802.11 :‌بخش دوم
  امنيت شبکه لايه بندي شده  (۱)
 امنيت شبکه لايه بندي شده  (۲)
 امنيت شبکه لايه بندي شده  (۳)
 امنيت شبکه لايه بندي شده  (۴)
 امنيت شبکه لايه بندي شده  ( (۵
 امنيت شبکه لايه بندي شده (۶)
  اولين اتصال يک کامپيوتر به اينترنت(۱)
 اولين اتصال يک کامپيوتر به اينترنت(۲)
  کاربرد پراکسي در  امنيت شبکه (۱)
 کاربرد پراکسي در  امنيت شبکه (۲)
 کاربرد پراکسي در  امنيت شبکه (۳)
  امنيت در شبکه هاي بي سيم(بخش اول): مقدمه
امنيت در شبکه هاي بي سيم(بخش دوم): شبکه‌هاي محلي بي‌سيم
امنيت در شبکه هاي بي سيم (بخش سوم): عناصر فعال و سطح پوشش WLAN
امنيت در شبکه هاي بي سيم (بخش چهارم): امنيت در شبکه هاي محلي بر اساس استاندارد 802.11
امنيت در شبکه هاي بي سيم (بخش پنجم): سرويس‌هاي امنيتي WEP – Authentication
امنيت در شبکه هاي بي سيم (بخش ششم): سرويس هاي امنيتي 802.11b – Privacy و Integrity
امنيت در شبکه هاي بي سيم (بخش هفتم) : ضعف هاي اوليه ي امنيتي WEP
امنيت در شبکه هاي بي سيم-بخش هشتم
روش‌هاي معمول حمله به کامپيوترها (۱)
روش هاي معمول حمله به کامپيوترها (۲)
عدم پذيرش سرويس يا DoS (بخش اول)
عدم پذيرش سرويس(۳):روش هاي مقابله
عدم پذيرش سرويس (۲) : انواع حملات
کرمهاي اينترنتي مفيد (۱)
کرمهاي اينترنتي مفيد (۲)
نرم‌افزارهاي جاسوسي و مقابله با آنها (۱)
نرم‌افزارهاي جاسوسي و مقابله با آنها (۲)
نرم‌افزارهاي جاسوسي و مقابله با آنها (۳)
نبرد فيلترها و توليدکنندگان اسپم (۱)
نبرد فيلترها و توليدکنندگان اسپم (۲)
ويروس و ضدويروس
طرز کار برنامه هاي ضد ويروس
قابليت‌هاي نرم‌افزارهاي ضدويروس
DomainKeys: اثبات هويت فرستنده ايميل و حفاظت از آن
محافظت در مقابل خطرات ايميل (۱)
محافظت در مقابل خطرات ايميل (۲)
پروتکل هاي انتقال فايل امن
حمله به برنامه‌هاي وبي (۱)
حمله به برنامه‌هاي وبي (۲)
حمله به برنامه هاي وبي (۳)
حمله به برنامه هاي وبي (4): حملات پيشرفته تر
حمله به برنامه هاي وبي (5):حمله به نشست
رمزنگاري
کليدها در رمزنگاري
شکستن کليدهاي رمزنگاري
رمزنگاري در پروتکل‌هاي انتقال
دنياي هکرها
پنجره آسيب پذيري، دليلي براي هک شدن
مقدمه :
دو تا سه دهه قبل شبکه های کامپیوتر ی معمولا در دو محیط وجود خارجی داشت :
• محیط های نظامی که طبق آئین نامه های حفاظتی ویژه به صورت فیزیکی حراست میشد و چون سایتها و تجهیزات شبکه نیز در محیط خفاظت شده نظامی مستقر بود و هیچ ارتباط مستقیم با دنیای خارج نداشتند لذا دغدغه کمتری برای خفظ اسرار و اطلاعات وجود داشت . نمونه بارز این شبکه APARNET در وزارت دفاع آمریکا بود
• محیطهای علمی و دانشگاهی که برای مبادله دستاوردهای تحقیقی و دستذسی به اطلاعات علمی از شبکه استفاده می کردند ومعمولا بر روی چنین شبکه هایی اطلاعاتی مبادله می شد که آشکار شدن آنها لطمه چندانی به کسی وارد نمی کرد
با گسترش روز افزون شبکه های بهم پیوسته و ازیاد حجم اطلاعات مورد مبادله و متکی شدن قسمت زیادی از امور روز مره به شبکه های کامپیوتری و ایجاد شبکه های جهانی چالش بزرگی برای صاحبان اطلاعات پدید آمده است امروزه سرقت دانشی که برای آن وقت و هزینه صرف شده یکی از خطرات بالقوه شبکه های کامپیوتری به شمار می آید.
در جهان امروز با محول شدن امور اداری و مالی به شبکه های کامپیوتری زنگ خطر برای تمام مردم به صدا در آمده است و بر خلاف گذشته که خطراتی نیز دزدی و راهزنی معمولاً توسط افراد کم سواد و ولگرد متوجه مردم بود امروزه این خطر توسط افرادی تحمیل میشود که باهوش و باسواند و قدرت نفوذ و ضربه به شبکه را دارند معمولا هدف افرادی که به شبکه های کامپیوتری نفوذ یا حمله میکنند یکی از موارد زیر است:
1. تفریخ یا اندازه گیری ضریب توانایی فردی یا کنجکاوی (معمولا دانشچویان)
2. دزدین دانشی که برای تهیه آن بایستی صرف هزینه کرد (راهزنان دانش)
3. انتقام جوئی و.ضربه زدن به رقیب
4. آزار رسانی و کسب شهرت از طریق مردم آزاری
5. جاسوسی و کسب اطلاعت از وضعیت نظامی و سیاسی یک کشور یا منطقه
6. جابجا کردن مستقیم پول واعتبار از حسابهای بانکی و دزدیدن شماره کارتهای اعتبار
7. رقابت ناسالم در عرصه تجارت و اقتصاد
8. بدست آوردن نرم افزار نرم افزار یا داده های که تهیه آنها منوط به صرف هزینه است
9. کسب اخبار جهت اعمال خرابکاری و موذیانه
به هر حال امروزه امنیت ملی و اقتدار سیاسی و اقتصادی به طرز پیچیده ای به امنیت اطلاعات گره خورده و نه تنها دولتها بلکه تک تک افراد را نیز تهدید میکند برای ختم مقدمه از شما سوال میکنیم که چه حالی به شما دست میدهد وقتی متوجه شدید که شماره حساب بانکی یا کارت اعتباریتان توسط فرد ناشناس فاش شده و انبوهی هزینه روی دست شما گذاشته است ؟ پس به عنوان یک فرد مطلع از خطراتی که یک شبکه کامپیوتری را تهدید میکند این پروژه را دنبال کنید.
مفاهیم امنیت شبکه
امنیت شبکه یا Network Security پردازه ای است که طی آن یک شبکه در مقابل انواع مختلف تهدیدات داخلی و خارجی امن می شود. مراحل ذیل برای ایجاد امنیت پیشنهاد و تایید شده اند:
1-     شناسایی بخشی که باید تحت محافظت قرار گیرد.
2-     تصمیم گیری درباره  مواردی که باید در مقابل آنها از بخش مورد نظر محافظت کرد.
3-     تصمیم گیری درباره چگونگی تهدیدات
4-  پیاده سازی امکاناتی که بتوانند از دارایی های شما به شیوه ای محافظت کنند که از نظر هزینه به صرفه باشد.
5-     مرور مجدد و مداوم پردازه و تقویت آن درصورت یاقتن نقطه ضعف
1- مفاهیم امنیت شبکه
برای درک بهتر مباحث مطرح شده در این بخش ابتدا به طرح بعضی مفاهیم در امنیت شبکه می پردازیم.
1-1منابع شبکه
در یک شبکه مدرن منابع بسیاری جهت محافظت وجود دارند. لیست ذیل مجموعه ای از منابع شبکه را معرفی می کند که باید در مقابل انواع حمله ها مورد حفاظت قرار گیرند.
1-     تجهیزات شبکه مانند روترها، سوئیچ ها و فایروالها
2-  اطلاعات عملیات شبکه مانند جداول مسیریابی و پیکربندی لیست دسترسی که بر روی روتر ذخیره شده اند.
3-     منابع نامحسوس شبکه مانند عرض باند و سرعت
4-     اطلاعات و منابع اطلاعاتی متصل به شبکه مانند پایگاه های داده و سرورهای اطلاعاتی
5-     ترمینالهایی که برای استفاد هاز منابع مختلف به شبکه متصل می شوند.
6-     اطلاعات در حال تبادل بر روی شبکه در هر لحظه از زمان
7-     خصوصی نگهداشتن عملیات کاربرن و استفاده آنها از منابع شبکه جهت جلوگیری از شناسایی کاربران.
مجموعه فوق به عنوان دارایی های یک شبکه قلمداد می شود.

1-2 حمله
حال به تعریف حمله می پردازیم تا بدانیم که از شبکه در مقابل چه چیزی باید محافظت کنیم. حمله تلاشی خطرناک یا غیر خطرناک است تا یک منبع قابل دسترسی از طریق شبکه ، به گونه ای مورد تغییر یا استفاده قرار گیرد که مورد نظر نبوده است.برای فهم بهتر بد نیست حملات شبکه را به سه دسته عمومی تقسیم کنیم:
1-     دسترسی غیرمجاز به منابع و اطلاعات از طریق شبکه
2-     دستکاری غیرمجاز اطلاعات بر روی یک شبکه
3-     حملاتی که منجر به اختلال در ارائه سرویس می شوند و اصطلاحا Denial of Service نام دارند.
کلمه کلیدی در دو دسته اول انجام اعمال به صورت غیرمجاز است. تعریف یک عمل مجاز یا غیرمجاز به عهده سیاست امنیتی شبکه است، اما به عبارت کلی می توان دسترسی غیرمجاز را تلاش یک کاربر جهت دیدن یا تغییر اطلاعاتی که برای وی در نظر گرفته نشده است، تعریف نمود اطلاعات روی یک شبکه نیز شامل اطلاعات موجود بر روی رایانه های متصل به شبکه مانند سرورهای پایگاه داده و وب ، اطلاعات در حال تبادل بر روی شبکه و اطلاعات مختص اجزاء شبکه جهت انجام کارها مانند جداول مسیریابی روتر است. منابع شبکه را نیز می توان تجهیزات انتهایی مانند روتر و فایروال یا مکانیزمهای اتصال و ارتباط دانست.
هدف از ایجاد امنیت شبکه ، حفاظت از شبکه در مقابل حملات فوق است، لذا می توان اهداف را نیز در سه دسته ارائه کرد:
1-     ثابت کردن محرمانگی داده
2-     نگهداری جامعیت داده
3-     نگهداری در دسترس بودن داده

1-3 حلیل خطر
پس از تعیین دارایی های شبکه و عوامل تهدیدکننده آنها ، باید خطرات مختلف را ارزیابی کرد. در بهترین حالت باید بتوان از شبکه در مقابل تمامی انواع خطا محافظت کرد، اما امنیت ارزان به دست نمی آید. بنابراین باید ارزیابی مناسبی را بر روی انواع خطرات انجام داد تا مهمترین آنها را تشخیص دهیم و از طرف دیگر منابعی که باید در مقابل این خطرات محافظت شوند نیز شناسایی شوند. دو فاکتور اصلی در تحلیل خطر عبارتند از :
1-     احتمال انجام حمله
2-     خسارت وارده به شبکه درصورت انجام حمله موفق
1-4 سیاست امنیتی
پس از تحلیل خطر باید سیاست امنیتی شبکه را به گونه ای تعریف کرد که احتمال خطرات و میزان خسارت را به حداقل برساند. سیاست امنیتی باید عمومی و در حوزه دید کلی باشد و به جزئیات نپردازد. جزئیات می توانند طی مدت کوتاهی تغییر پیدا کنند اما اصول کلی امنیت یک شبکه که سیاست های آن را تشکیل می دهند ثابت باقی می مانند.در واقع سیاست امنیتی سه نقش اصلی را به عهده دارد:
1-     چه و چرا باید محافظت شود.
2-     چه کسی باید مسئولیت حفاظت را به عهده بگیرد.
3-     زمینه ای را بوجود آورد که هرگونه تضاد احتمالی را حل و فصل کند.
سیاستهای امنیتی را می توان به طور کلی به دو دسته تقسیم کرد:
1-     مجاز (Permissive) : هر آنچه بطور مشخص ممنوع نشده است ، مجاز است.
2-     محدود کننده (Restrictive) : هر آنچه بطور مشخص مجاز نشده است ، ممنوع است.
معمولا ایده استفاده از سیاستهای امنیتی محدودکننده بهتر و مناسبتر است چون سیاستهای مجاز دارای مشکلات امنیتی هستند و نمی توان تمامی موارد غیرمجاز را برشمرد. المانهای دخیل در سیاست امنیتی در RFC 2196 لیست و ارائه شده اند.
1-5 طرح امنیت شبکه
با تعریف سیاست امنیتی به پیاده سازی آن در قالب یک طرح امنیت شبکه می رسیم. المانهای تشکیل دهنده یک طرح امنیت شبکه عبارتند از :
1-     ویژگیهای امنیتی هر دستگاه مانند کلمه عبور مدیریتی و یا بکارگیری SSH
2-     فایروالها
3-     مجتمع کننده های VPN برای دسترسی از دور
4-     تشخیص نفوذ
5-  سرورهای امنیتی AAA ( Authentication، Authorization and Accounting) و سایر خدمات AAA برای شبکه
6-     مکانیزمهای کنترل دسترسی و محدودکننده دسترسی برای دستگاههای مختلف شبکه
1- 6 نواحی امنیتی
تعریف نواحی امنیتی نقش مهمی را در ایجاد یک شبکه امن ایفا می کند. در واقع یکی از بهترین شیوه های دفاع در مقابل حملات شبکه ، طراحی امنیت شبکه به صورت منطقه ای و مبتنی بر توپولوژی است و یکی از مهمترین ایده های مورد استفاده در شبکه های امن مدرن ، تعریف نواحی و تفکیک مناطق مختلف شبکه از یکدیگر است. تجهیزاتی که در هر ناحیه قرار می گیرند نیازهای متفاوتی دارند و لذا هر ناحیه حفاظت را بسته به نیازهای امنیتی تجهیزات نصب شده در آن ، تامین می کند. همچنین منطقه بندی یک شبکه باعث ایجاد ثبات بیشتر در آن شبکه نیز می شود.
نواحی امنیتی بنابر استراتژی های اصلی ذیل تعریف می شوند.
1-  تجهیزات و دستگاههایی که بیشترین نیاز امنیتی را دارند (شبکه خصوصی) در امن ترین منطقه قرار می گیرند. معمولا اجازه دسترسی عمومی یا از شبکه های دیگر به این منطقه داده نمی شود. دسترسی با کمک یک فایروال و یا سایر امکانات امنیتی مانند دسترسی از دور امن (SRA) کنترل می شود. کنترل شناسایی و احراز هویت و مجاز یا غیر مجاز بودن در این منطقه به شدت انجام می شود.
2-  سرورهایی که فقط باید از سوی کاربران داخلی در دسترس باشند در منطقه ای امن ، خصوصی و مجزا قرار می گیرند. کنترل دسترسی به این تجهیزات با کمک فایروال انجام می شود و دسترسی ها کاملا نظارت و ثبت می شوند.
3-  سرورهایی که باید از شبکه عمومی مورد دسترسی قرار گیرند در منطقه ای جدا و بدون امکان دسترسی به مناطق امن تر شبکه قرار می گیرند. درصورت امکان بهتر است هر یک از این سرورها را در منطقه ای مجزا قرار داد تا درصورت مورد حمله قرار گرفتن یکی ، سایرین مورد تهدید قرار نگیرند. به این مناطق DMZ یا Demilitarized Zone می گویند.
4-  استفاده از فایروالها به شکل لایه ای و به کارگیری فایروالهای مختلف سبب می شود تا درصورت وجود یک اشکال امنیتی در یک فایروال ، کل شبکه به مخاطره نیفتد و امکان استفاده از Backdoor نیز کم شود.
2- اولین اتصال یک کامپیوتر به اینترنت
در این فصل چندین راهنمایی برای اتصال یک کامپیوتر جدید (یا ارتقاء یافته) برای اولین بار به اینترنت آورده شده است و مخاطبان آن کاربران خانگی، دانشجویان، شرکت های تجاری کوچک، یا هر مکانی با اتصال پرسرعت (مودم کابلی، DSL) یا از طریق خط تلفن است. {گروه امداد امنیت کامپیوتری ایران}
2-1 انگیزه
این مطلب بدلیل ریسک فزاینده برای کاربران اینترنتِ بدون حمایت مختص IT  است. در ماه های اخیر،  جهان شاهد گرایش به سمت سوءاستفاده از کامپیوترهای جدید یا محافظت نشده بوده است. این جریان بدلیل بعضی دلایل تشدید می شود:
بسیاری از پیکربندی های پیش فرض کامپیوترها نا امن هستند.
شکاف های امنیتی تازه ای ممکن است در مدت زمان ساخت و پیکربندی کامپیوتر توسط سازنده و تنظیم کامپیوتر برای اولین بار توسط کاربر، کشف شده باشد.
هنگام ارتقا نرم افزار از طریق ابزار مرسوم (مانند CD-ROM و DVD-ROM) شکافهای امنیتی جدید ممکن است از زمان ساخت دیسک تا کنون کشف شده باشد.
حمله کنندگان دامنه آدرس های IP خطوط پرسرعت و dial-up را می دانند و بطورمنظم پیمایش می کنند.
تعداد زیادی از کرمها از قبل در حال چرخیدن در اینترنت هستند و بطور پیوسته کامپیوترهای جدید را بمنظور سوءاستفاده پیمایش می کنند.