بررسی امنیت در مرورگر IE نسخه 9

چرا امنیت مرورگر نسبت به گذشته اهمیت بیشتری دارد؟

دو جزء برای امنیت وب وجود دارد: امنیت وب سایت­ها و سرورهایی كه این سایت­ها روی آنها قرار دارند، و امنیت نرم افزارهای كلاینت، یعنی همان مرورگرهای وب كه این وب سایت­ها توسط آنها مشاهده می­شوند. زمانی مرورگر وب فقط یك برنامه در میان تعداد زیادی از برنامه های كاربردی اینترنتی بود، ولی اكنون اینگونه نیست.

در حالیكه ما زمانی از كلاینت­های پست الكترونیكی، كلاینت­های FTP، كلاینت­های IRC، خوانندگان گروه خبری و ... به صورت مجزا استفاده می­كردیم، امروزه بسیاری از كاربران كامپیوتر اكثریت كارهای محاسباتی خود را توسط مرورگرها انجام می­دهند.

اكنون مرورگر وب در كانون توجهات قرار گرفته و شامل گزینه هایی است كه بیشتر كاربران از این گزینه ها در كامپیوتر خود استفاده می­كنند. این موارد باعث می­شود كه امنیت مرورگر اكنون از هر زمانی مهمتر باشد. مرورگر باید نه تنها برای گشت و گذار در سایت­ها برای كسب اطلاعات، بلكه برای انجام فعالیت­های حساس، یك محیط امن را فراهم كند. مرورگر وب یكی از برنامه های كاربردی است كه اغلب مورد سوء استفاده قرار می­گیرد. در مسابقات سالانه هك مرورگرهای Pwn2Own، پژوهشگران امنیتی برای شكست دادن مرورگرهای محبوب وب باهم به رقابت می­پردازند. در رقابت سال گذشته، IE نسخه 8 و Safari نسخه 5.0.3 با موفقیت هك شدند.

ادامه مطلب امنیت در مرورگر IE نسخه 9

ادامه نوشته

دستگاه های خود را پیش از دور انداختن پاكسازی كنید!

اگر قصد دارید كامپیوتر، تلفن هوشمند یا رایانه لوحی خود را دور بیندازید، هدیه دهید یا اینكه به فروش برسانید، یك مشكل بزرگ وجود دارد كه ممكن است به آن توجه نكنید: اگر شما داده های موجود بر روی این دستگاه ها را به خوبی پاك نكنید، ممكن است قربانی حملات سرقت هویت گردید. پاك كردن فایل­ها با ابزارهای معمول سیستمی این تهدید را برطرف نمی­كند. بلكه باید كار پاكسازی دستگاه خود را بسیار عمیق­تر و با دقت بیشتری انجام دهید. در این مقاله به چگونگی انجام این كار می­پردازیم.

پاكسازی تلفن­های موبایل، تلفن­های هوشمند و رایانه های لوحی

تلفن­های هوشمند و رایانه های لوحی كل زندگی شما شامل لیست­های تماس، ایمیل­ها، ركوردهای تلفن­هایی كه زده اید و تلفن­هایی كه به شما شده است، اطلاعات رسانه های اجتماعی و ... را در یك بسته كوچك قرار می­دهند. بنابراین بسیار مهم است كه اطمینان حاصل كنید كه سایرین قادر نیستند به این اطلاعات دسترسی پیدا كنند.

یك راه حل برای این مشكل این است كه برنامه ها و اطلاعات تماس خود را یكی یكی حذف نمایید، ولی احتمال انجام این كار به صورت موثر تقریبا نزدیك به صفر است. شما باید به نحوی تلفن خود را به طور كلی ریست نموده، داده های آن را حذف كرده و آن را به تنظیمات پیش فرض كارخانه بازگردانید.

نحوه انجام این كار به نوع سیستم عامل و همچنین گاهی به دستگاه شما بستگی دارد.

اندروید

برای نسخه های پیش از اندروید 4.0، كلید Menu را از اسكرین Home فشار داده و Settings/Privacy/Factory data reset را انتخاب نمایید. با این كار هشداری به شما نمایش داده خواهد شد. در این هشدار بر روی Reset phone كلیك كنید. همچنین اگر كارت SD در تلفن خود دارید (و نمی­خواهید از داده های آن در تلفن بعدی خود استفاده نمایید)، اطمینان حاصل كنید كه گزینه Erase SD card را نیز انتخاب كرده باشید.

برای اندروید 4.0 یا نسخه های پس از آن، به بخش Settings رفته و به دنبال Backup and reset بگردید. آن را انتخاب كرده و سپس در صفحه بعدی، بر روی Factory data reset كلیك كنید. در این مرحله با یك پنجره هشدار با فهرستی از حساب­های كاربری كه در حال حاضر داخل آنها هستید مواجه می­گردید.

ادامه مطلب پاکسازی دستگاه ها پیش از دور انداختن

ادامه نوشته

خطرناك ترین آسیب پذیری امنیتی

چه باور كنید چه باور نكنید، بزرگترین تهدید برای سیستم های رایانه ای محل كارتان و یا رایانه شخصیتان، خود شما هستید. در واقع، این شما هستید كه هر روزه سیستم خود و سیستم های رایانه ای شركت را در معرض خطر قرار می دهید.
 دلسوزی شما نسبت به یك فرد غریبه می تواند امنیت شخصی و حرفه ای شما را در معرض خطر بزرگی قرار دهد كه گاه جبران آن بسیار هزینه بر است.

همواره مهاجمانی هستند كه می خواهند به شبكه شما نفوذ كرده و یا داده های شما را برای رسیدن به اهداف خود سرقت كنند. در صورتی كه سیستم های شما به روز نباشد و آخرین اصلاحیه ها بر روی آن نصب نشده باشد، آنها از این طریق حمله كرده و كنترل آنها را در اختیار می گیرند. در صورتی كه شبكه شما از امنیت كافی برای دفاع در برابر نفوذ برخوردار نباشد، آنها به راحتی از طریق این روزنه باز وارد می شوند. همچنین در صورتی كه امنیت فیزیكی دفتر شما جدی نباشد، به زودی ضرر آن را خواهید دید، چرا كه افراد مهاجم بدون اینكه متوجه شوید، وارد دفتر كار شده، ممكن است یك درایو USB را سرقت كرده و یا اطلاعاتی را از روی میزهای كار جمع آوری كند، یا حتی ممكن است به دنبال رایانه ای كه قفل نشده است، بگردد. در پایان نیز، در صورتی كه كارمندان شما، برای مقابله با حملات مهندسی اجتماعی آمادگی نداشته باشند، تمام دفاع های دیگر شما بلااستفاده است.

 

مشكل چیست؟

 

از نقطه نظر شركت، تیم امنیت شبكه و مدیران آن، مسئول به روز نگاه داشتن سیستم ها و نصب نرم افزارهای امنیتی هستند، اما متأسفانه آنها نمی توانند شما را اصلاح كنند. هیچ اصلاحیه ای برای ترمیم آسیب پذیری های شما وجود ندارد. مهندسی اجتماعی موثرترین روش حمله بر روی هر سیستم یا شبكه كامپیوتری است. این نوع حملات معمولاً صد در صد موفق است. در ضمن این نوع حملات كمترین رد پا را به جا می گذارد و همواره با فردی در داخل سازمان مرتبط است كه كاری را انجام می دهد یا چیزی می گوید كه فضای كافی را برای مهاجم جهت دسترسی به سیستم ها، داده ها و اطلاعات فراهم می كند.

ادامه متن خطرناك ترین آسیب پذیری امنیتی

ادامه نوشته

پاسخگویی به انواع مختلف رخدادهای امنیتی- قسمت سوم

رخدادهای نوع پنجم: جاسوسی

جاسوسی عبارت است از سرقت اطلاعات برای تخریب منافع یك سازمان یا یك دولت. در بسیاری از موارد دسترسی غیر مجاز به سیستم­های یك شركت نیز برای مقاصد جاسوسی انجام می­گیرد.

 

فعالیت 1: یك گروه هسته ای بسیار كوچك داشته باشید

در موارد جاسوسی و اعمال مجرمانه داخلی سازمان، در اختیار داشتن تعداد زیادی نیروی كمكی چندان هم مفید نیست. با افزایش تعداد اعضای گروه تحقیق، خطر نشت اطلاعات یا تخریب شواهد نیز افزایش می­یابد. رهبر فنی باید یكی از معتدل­ترین اعضای گروه مدیریت رخداد، و كسی باشد كه در شرایط حساس گذشته، قابلیت­های خود را اثبات كرده باشد. مساله ای كه اغلب پیش می آید این است كه آیا مسئولیت سیستمی كه در یك حمله هدف قرار گرفته است باید بر عهده مدیر سیستم قرار بگیرد یا خیر؟ اگر شما به اندازه كافی اطمینان دارید كه شخص مدیر سیستم در عملیات جاسوسی درگیر نیست، پاسخ این سوال احتمالا مثبت خواهد بود.

 

فعالیت 2: بیشترین داده ها را جمع آوری كنید

اطمینان حاصل كنید كه ركوردهای دسترسی مربوط به دستگاه­ های تحت تاثیر حمله، جمع آوری شده و كاملا محافظت می­شوند. این ركوردها ممكن است شامل ركوردهایی از سیستم­های دسترسی مشخص، ركوردهای تلفن از PBX سازمان شما، كتاب­های لاگ، لاگ­های سیستم، لاگ­های شبكه و ویدئوهای دوربین­های كنترلی باشند. تا حد امكان داده های بیشتری را جمع آوری نمایید.

ادامه متن رخدادهای امنیتی...

ادامه نوشته

پاسخگویی به انواع مختلف رخدادهای امنیتی- قسمت دوم

رخدادهای نوع چهارم: استفاده نامناسب

استفاده نامناسب به معنای استفاده از منابع كامپیوتر و شبكه به روشی است كه سیاست­ها یا قوانین یك شبكه را نقض نماید. استفاده نامناسب، از سرقت از منابع برای دسترسی شخصی یا سرگرمی تا استفاده از منابع برای مقاصد مجرمانه را شامل می­شود. جدی­ترین مشكل در این موارد عبارت است از دسترسی، ذخیره سازی یا انتقال داده های غیر اخلاقی. معمولا تحقیقات مربوط به استفاده نامناسب، از اتهامی آغاز می­شود كه باید با آزمون و تحلیل ثابت شده یا رد گردد.

 

فعالیت 1: اطمینان حاصل كنید كه سیاستهای شما برای تحقیقات شما كافی است

آیا سیاست­های شما به اندازه كافی به افراد تحت تحقیق اطلاع رسانی می­كنند كه در این مورد هیچ فرضیه ای مبنی بر حریم شخصی یا دارایی شخصی وجود ندارد؟ آیا سیستم­ها دارای علائم هشدار دهنده لازم هستند؟

 

فعالیت 2: قانون را بشناسید

اطمینان حاصل كنید كه قانون را به تمامی می­شناسید. عدم اطلاع از قوانین كشوری و محلی، باعث می­شود كه یك دیوار دفاعی و قانونی مناسب شكل نگیرد. شما باید مانند یك بازجو قوانین مرتبط با حرفه خود را بشناسید. اگر در جایی شك دارید، توقف كرده و با مشاور خود مشورت نمایید.

 

فعالیت 3: با مشاور مشورت نمایید

چنانچه هر بخشی از یك درخواست برای دریافت اطلاعات، به طور مستقیم یا غیر مستقیم از نهادهای اجرایی قانون نشأت می­گیرد، با مشاور خود در این مورد مشورت كنید. ممكن است شما به عامل یك آژانس اجرایی قانون تبدیل گردید و در معرض قوانین دیگری قرار بگیرید كه توانایی شما را برای تست كردن منابع شركتتان در زمان نیاز محدود نماید.

ادامه نوشته

پاسخگویی به انواع مختلف رخدادهای امنیتی- 1

رخدادهای نوع اول: حملات كدهای خرابكار

كد خرابكار، نامی است كه به برنامه هایی مانند ویروسها ، تروجان ها كرم­ها و اسكریپت­هایی اطلاق می­گردد كه توسط هكرها برای به دست آوردن حق دسترسی، جمع آوری كلمات عبور و تغییر لاگ­های بررسی به منظور پنهان سازی فعالیت­های غیر مجاز مورد استفاده قرار می­گیرند. كد خرابكار معمولا طوری طراحی می­شود كه تشخیص و ردیابی آن مشكل باشد. ویروس­های خاص حتی می­توانند امضای خود را نیز تغییر دهند.

توجه: حتی وقتی فایروال ها و سایر ابزارهای دفاعی شما دشمنان را متوقف می­سازند، باز هم ممكن است این مهاجمان قادر باشند از طریق یك كد تروجان از پیش نصب شده بر روی كامپیوتر شما به هدف خود برسند. به طور معمول شما نباید فقط به یك ابزار امنیتی، مانند یك فایروال یا یك آنتی ویروس به تنهایی اكتفا كنید، زیرا در آن صورت ممكن است نتوانید در برابر كدهای خرابكار از خود محافظت نمایید.

 

فعالیت1: از آنتی ویروس­ها استفاده كنید

یك نرم افزار آنتی ویروس می­تواند برای محافظت در برابر انتشار ویروس­های معمول، تروجان­ها و كرم­ها موثر باشد. اطمینان حاصل كنید كه نرم افزار آنتی ویروس شما به طور گسترده در دسترس بوده و فایل­های امضای ویروس آن به روز هستند. از مكانیزم­هایی استفاده كنید كه به روز رسانی امضاهای ویروس­ها را به طور خودكار انجام می­دهند.

ادامه متن در ادامه مطلب...

ادامه نوشته

پیشگیری از نشت داده‌ها

موضوع نشت داده‌ها همواره از داده‌های مستقر در كامپیوتر، داده‌های در حال انتقال، پست الكترونیكی، IM و كانال‌های اینترنتی دیگر بوجود آمده است. با این‌حال در حال حاضر با ظهور فناوری موبایل، نشت داده‌ها راحت‌تر اتفاق می‌افتد. تهدید نشت داده‌ها از خارج شركت هنوز یك نگرانی به حساب می‌آید، با این‌حال بخش قابل توجهی از نشت داده‌ها از فعالیت‌های داخلی نیز نتیجه می‌شود.

هر كارمند و هر دستگاه كه حاوی داده‌های شركت باشد یك تهدید بالقوه به حساب می‌آید، یك لپ تاپ گم شده اگر توسط یك بیگانه با نیت بدخواهانه مورد بازیابی قرار بگیرد، به سرعت می‌تواند تبدیل به یك تهدید برای نشت داده‌ها شود. نشت داده‌ها می‌تواند نتیجه عدم آگاهی كارمندان باشد، آن‌ها ممكن است نسبت به این حقیقت كه رفتار آن‌ها یا عمل آن‌ها ناامن است، بی‌توجه باشند. اغلب توصیه می‌شود كه همه كارمندان از اقدامات امنیتی و احتیاطی برای حفاظت از داده‌های حساس شركت آگاه باشند.

برخی رفتارهای متداول كه به طور بالقوه منجر به نشت داده‌ها می‌شود

·          بلند صحبت كردن درباره داده‌های حساس شركت در محیط‌های عمومی

·         قصور در خاموش كردن لپ تاپ

·         اجازه استفاده از كلمه عبور حفاظت نشده

·         دسترسی به وب سایت‌های غیر مجاز

·         از دست دادن یا سرقت دستگاه‌های شركت ( لپ‌تاپ‌ها، تلفن‌های همراه، درایوهای هارد قابل حمل)

·         از دست دادن یا سرقت دستگاه‌های شخصی كه در حال حاضر برای شركت‌ها استفاده می‌شوند

·         درایوهای thumb

·         رسانه نوری

·         پست الكترونیكی

·         پیام‌های فوری

·         كنترل دسترسی فیزیكی و منطقی 

·         فقدان رمزگذاری

·         فقدان دو فاكتور احرازهویت

·         فقدان كنترل دسترسی از راه دور

ادامه متن در ادامه مطلب...

ادامه نوشته

اصول برنامه نویسی امن

عنصر اصلی در كدنویسی امن با زبان های مختلف برنامه نویسی، مستند سازی خوب و استفاده از استانداردهای قابل اجرا است. استانداردهای كدنویسی، برنامه نویسان را ترغیب به پیروی از مجموعه ای متحدالشكل از قوانین و راهنماییها می كند كه بر اساس نیازمندی های پروژه و سازمان تعیین شده است، نه بر اساس سلایق و مهارت های مختلف برنامه نویسان. به محض تعیین استانداردهای مذكور، می توان از آن به عنوان معیاری برای ارزیابی كدهای منبع، چه به صورت دستی و چه به صورت اتوماتیك استفاده كرد.

از استانداردهای معروف در این زمینه می توان به استانداردCERT برای كدنویسی امن اشاره كرد كه یك سری از قوانین و پیشنهادات را برای كد نویسی امن با زبان های برنامه نویسی C، C++ و جاوا ارائه می دهد. هدف از این قوانین و پیشنهادات، حذف عادت های كدنویسی ناامن و رفتارهای تعریف نشده است كه منجر به آسیب پذیری های قابل سوءاستفاده می شود. به كارگیری استانداردهای مذكور منجر به تولید سیستم های با كیفیت بالاتر می شود كه در برابر حملات بالقوه، پایدارتر و مقاوم تر هستند.

قوانین در برابر پیشنهادات

استانداردهای CERT برای كدنویسی امن شامل یك سری قوانین و پیشنهادات می شوند. در زیر تعریف هر كدام از آنها آورده شده است.

قوانین

یك روش برنامه نویسی زمانی به عنوان قانون تعریف می شود كه دارای خصوصیات زیر باشد:
سرپیچی از روش فوق احتمالاً منجر به یك نقص امنیتی شده و ممكن است به یك آسیب پذیری قابل سوءاستفاده تبدیل شود.

پیروی از روش فوق را بتوان توسط تحلیل اتوماتیك، راهكارهای رسمی یا تكنیك های بازرسی دستی تشخیص داد.

ادامه متن در ادامه مطلب...

ادامه نوشته

طبقه‌بندی آسیب‌پذیری‌های نرم‌افزار

طراحی و مهندسی ضعیف نرم‌افزار و یا بهره‌برداری ناامن از آن، ریشه‌ اصلی بسیاری از آسیب‌پذیری‌های امنیتی در سیستم‌های رایانه‌ای است، به همین دلیل امنیت نرم‌افزار به عنوان یكی از مباحث كلیدی مهندسی نرم‌افزار شناخته شده است. جهت تضمین امنیت نرم‌افزار لازم است آسیب‌پذیری‌های مربوط به نرم‌افزار شناسایی شده و راهكارهای مناسب برای جلوگیری و یا مقابله با آنها تهیه گردد.

نرم‌افزارها به طور كلی دارای دو نوع آسیب‌پذیری هستند، نوع اول مربوط به ضعف‌های بنیادی موجود در نرم‌افزارها می‌شود كه اینگونه از ضعف‌های امنیتی را نمی توان از بین برد، لذا برای مقابله با آنها لازم است ابتدا آنها را شناسایی كرده و سپس با استفاده از استراتژی دفاع چند لایه، احتمال سوءاستفاده از آنها را كاهش داد. نوع دیگری از ضعف‌های امنیتی نیز وجود دارند كه در زمان طراحی و پیاده‌سازی نرم افزار ایجاد می‌گردند. معمولاً اینگونه از ضعف‌های امنیتی قابل پیشگیری هستند. این امر تا حد زیادی با رعایت الزامات امنیتی در زمان طراحی، پیاده‌سازی و تست نرم‌افزار محقق می‌گردد. لازم است برای آن دسته از آسیب‌پذیری‌هایی كه به هر دلیل در حین پیاده‌سازی نرم‌افزار مخفی می‌مانند و بعد از تولید نرم‌افزار شناسایی می‌شوند، بلافاصله اصلاحیه مربوطه ایجاد و نصب گردد و در غیر اینصورت راهكاری برای كاهش خطر تا زمانی كه اصلاحیه مربوطه تهیه گردد، ارائه شود. به همین دلیل نصب به موقع اصلاحیه‌ها یكی از الزامات امنیتی در بهره برداری از انواع نرم‌افزارها است.در ادامه طبقه‌بندی آسیب‌پذیری‌های نرم‌افزار شرح داده شده است.

ادامه متن در ادامه مطلب...

ادامه نوشته

حمله به برنامه های وبی

حمله به نشست

این گونه حملات برنامه هایی را هدف قرار می دهند که مدیریت ارتباطات کاربران به خوبی در آنها انجام نمی شود و نقاط ضعفی در این فرایند وجود دارد. پروتکل HTTP ذاتاً برای ارسال گسسته اطلاعات از سرور به سمت سرویس  گیرنده طراحی شده است. در این شرایط هر برنامه ای که برای ارائه خدمات خود ناچار به نگه داری سابقه فعالیت هایی که کاربر بر روی سایت انجام داده باشد، باید بر این چالش غلبه کرده و پیام های گسسته را به یک نشست پیوسته تبدیل نماید. راه حل هایی که برای این مسئله ارائه می شوند همه در لایه کاربرد هستند و مستقل از وب سرور می باشند.

 

طبعا مشابه همه کد نویسی ها ممکن است مدیریت نشست با امنیت بالا پیاده سازی شود و یا ضعف هایی در پیاده سازی وجود داشته باشد، که این به معنای وجود نقاط آسیب پذیر در برنامه می باشد. خطراتی که در چنین شرایطی برنامه و سرمایه های سایت را تهدید می کند به دو دسته کلی زیر قابل تقسیم بندی هستند:

افزایش افقی اختیارات

در این نوع حملات کاربر قادر است به گونه ای نشانه نشست را مورد استفاده قرار دهد که اطلاعات و قابلیت های کاربر دیگری در دسترسش قرار گیرد. برای انجام این نوع حملات هکر باید در گروه کاربر قربانی عضو باشد.

ادامه متن را در ادامه مطلب بخوانید...

ادامه نوشته