کليات امنيت شبکه کامپيوتري

حفاظت، پشتيباني و نگهداري از داده‌هاي رايانه‌اي، اطلاعات مهم، برنامه‌هاي حساس، نرم‌افزارهاي مورد نياز و يا هر آنچه كه در حافظه جانبي رايانه مورد توجه بوده و با اهميت مي‌باشد، امنيت رايانه‌اي ناميده مي‌شود. تفکر امنیت در شبکه برای دستیابی به سه عامل مهم است که با یک دیگر مثلث امنیتی را تشکیل می دهند. این عوامل عبارتند از رازداری و امانت داری (Confidentiality)، یکپارچگی (Integrity) و در نهایت در دسترس بودن همیشگی (Availability). این سه عامل (CIA) اصول اساسی امنیت اطلاعات- در شبکه و یا بیرون آن - را تشکیل می دهند بگونه ای که تمامی تمهیدات لازمی که برای امنیت شبکه اتخاذ میشود و یا تجهیزاتی که ساخته می شوند، همگی ناشی از نیاز به اعمال این سه پارامتر در محیط های نگهداری و تبادل اطلاعات است.

Confidentiality

به معنای آن است که اطلاعات فقط در دسترس کسانی قرار گیرد که به آن نیاز دارند و اینگونه تعریف شده است. بعنوان مثال از دست دادن این خصیصه امنیتی معادل است با بیرون رفتن قسمتی از پرونده محرمانه یک شرکت و امکان دسترسی به آن توسط مطبوعات.

Integrity

بیشتر مفهومی است که به علوم سیستمی باز می گردد و بطور خلاصه می توان آنرا اینگونه تعریف کرد:
  • تغییرات در اطلاعات فقط باید توسط افراد یا پروسه های مشخص و مجاز انجام گیرد.
  • تغییرات بدون اجازه و بدون دلیل حتی توسط افراد یا پروسه های مجاز نباید صورت بگیرد.
  • یکپارچگی اطلاعات باید در درون و بیرون سیستم حفظ شود. به این معنی که یک داده مشخص چه در درون سیستم و چه در خارج آن باید یکسان باشد و اگر تغییر می کند باید همزمان درون و برون سیستم از آن آگاه شوند.

Availability

این پارامتر ضمانت می کند که یک سیستم (مثلا اطلاعاتی) همواره باید در دسترس باشد و بتواند کار خود را انجام دهد. بنابراین حتی اگر همه موارد ایمنی مد نظر باشد اما عواملی باعث خوابیدن سیستم شوند (مانند قطع برق) از نظر یک سیستم امنیتی این سیستم ایمن نیست. اما جدای از مسائل بالا مفاهیم و پارامترهای دیگری نیز هستند که با وجود آنکه از همین اصول گرفته می شوند برای خود شخصیت جداگانه ای پیدا کرده اند. در این میان می توان به مفاهیمی نظیر Identification به معنی تقاضای شناسایی به هنگام دسترسی کاربر به سیستم، Authentication به معنی مشخص کردن هویت کاربر، Authorization به معنی مشخص کردن میزان دسترسی کاربر به منابع، Accountability به معنی قابلیت حسابرسی از عملکرد سیستم و ... اشاره کرد. امنيت در يك شبكه به 2 روش صورت مي پذيرد: 1- برنامه هاي نر‌م‌افزاري 2- قطعه‌هاي سخت‌افزاري. در بهترين حالت از برنامه هاي نرم افزاري و قطعات سخت افزاري بطور همزمان استفاده مي گردد. عموماً برنامه‌هاي نرم‌افزاري شامل برنامه‌هاي ضدمخرب (مخرب‌ها شامل ويروس، كرم‌هاي مهاجم، اسب‌هاي تراوا، مخفي‌شده‌ها و .... ) و دیوار آتش مي‌باشد. قطعات سخت‌افزاري نيز عموماً شامل دیوار آتش مي‌شود. اين قطعه‌ها موجب كنترل درگاه‌هاي ورودي و خروجي به رايانه و شناخت كامل از حمله‌كننده‌ها بخصوص نشانه‌هاي خاص مهاجم را ايجاد مي نمايد. در مرحله دوم امن سازي يك شبكه بايد از دستگاه تقسيم‌ كننده استفاده نمود. دستگاه هاي فوق خود بر دومدل قابل تنظيم و پيكربندي و غيرقابل تنظيم و غير قابل پيكربندي تقسيم مي شوند. ممكن است در گروه اول نيز قطعاتي يافت شود كه تنظيمات جزئي پيكربندي را انجام دهند اما بطور كامل و با تمامي امكاناتي كه در گروه دوم قطعات ديده مي شوند، مجهز نمي‌باشند. عموماً اين دستگاه تقسيم كننده از مدل Core و براي ارتباط سرويس‌دهنده‌هاي مركزي به يكديگر و انجام خدمات به شبكه داخلي يا دنياي اينترنت تهيه مي‌شود و در لايه اصلي تقسيم ارتباط شبكه، از طرف سرويس‌دهنده‌هاي مركزي به سرويس‌ گيرنده هاي داخلي و بالعكس قرار گيرد. اين قطعه مي تواند از تكثير يك برنامه ضدمخرب و همچنين ورود و خروج مهاجمان پنهان، در درون شبكه داخلي از يك رايانه به رايانه ديگر تا حد بسيار زيادي جلوگيري نمايد. اما اگر تعداد كاربران و سرويس‌گيرنده‌هاي يك سازمان بيش از تعداد درگاههاي خروجي يك تقسيم‌كننده مركزي Core Switch‌ باشد، در اين صورت از تقسيم كننده هاي ديگري كه قابليت پيكربندي را دارا بوده و مقرون به صرفه نيز مي‌باشند، مي‌توان استفاده نمود، تا كنترل ورودي و خروجي هاي هر طبقه يا واحد را بيمه نماييم. در مرحله سوم امن سازي، نياز به خريد برنامه نرم افزاري و يا قطعه سخت‌ افزاري دیوار آتش احساس مي شود. بیشترین تأکید بر روي قطعه سخت افزاري استوار است زيرا كه از ثبات، قدرت بيشتر و ايرادات كمتري نسبت به نرم افزارهاي مشابه خود برخوردار است. قطعه سخت‌افزاري دژ ايمن مي بايست در مسير ورودي اينترنت به يك سازمان قرار گيرد. دقيقاً همانجايي كه اينترنت غيرامن به يك سازمان تزريق مي گردد. فراموش نشود استفاده از دو دستگاه همزمان موازي قطعاً نياز ارجح هر سازمان مي باشد چرا كه با ايست، و توقف سرويس‌دهي يكي از قطعه‌ها، دستگاه ديگر كنترل ورودي ها و خروجي ها را بدست مي‌گيرد. اما در برنامه نرم‌افزاري نياز به نصب نرم‌افزار بر روي يك سرويس‌دهنده مركزي دیوار آتش بوده كه ورود اينترنت ناامن تنها از مسير اين سرويس‌ دهنده مركزي انجام پذيرد. بايد توجه داشت در صورت تهيه قطعه‌هاي سخت‌افزاري خاصي استفاده نمود تا در قبل و بعد از قطعه مسيرياب‌ها قرار گيرد. در مرحله چهارم امن سازي نياز به وجود قطعه سخت‌افزاري ديگري به نام مسيرياب براي شبكه داخلي مي‌باشد كه ضمن قابليت پيكربندي، براي نشان دادن مسير ورودي ها و خروجي ها، اشتراك اينترنت، تنظيم ورودي ها و خروجي هاي ديوار آتشين، و همچنين خروج اطلاعات به شكل اينترنتي از سازمان به رايانه هاي شهري و يا بين شهري از طريق خطوط تلفن و ... استفاده نمود. در مرحله بعدي امن سازي يك سازمان نياز به وجود دستگاه هاي تنظيم جريان برق و دستگاه هاي پشتيبان جريان برق اضطراري براي ارائه خدمات به صورت تمام وقت، بدون قطعي و تنظيم جريان برق، تمامي قطعه‌هاي سخت افزاري راهبر يك شبكه شامل تقسيم‌كنند‌ه‌ها، مسيرياب ها ، سرويس‌دهند‌ه‌هامي باشد. اين سيستم به دليل ايجاد خطرات احتمالي ناشي از قطع جريان برق نظير از بين رفتن اطلاعات در حال ثبت بر روي سرويس‌دهنده ها، تقسيم كننده ها، مسيرياب ها مي‌باشد. به عنوان آخرين مرحله امن سازي، تهيه از اطلاعات و فايلهاي مورد نياز به صورت پشتيبان از برنامه‌هاي اصلي نرم‌‌افزاري بر روي يك سرويس‌دهنده پشتيبان ، آخرين لايه امن سازي درون سازماني را تكميل مي نمايد.

دیواره آتش Firewall

دیواره آتش برای جدا کردن شبکه ها از همدیگر به کار می رود با استفاده از یک Firewall مناسب اهداف زیر محقق می گردد.
  • می توان سیاستها و سرویسهای ارائه شده در شبکه ها را از همدیگر بصورت مجزا نگهداری، مدیریت و کنترل نمود.
  • انتخاب سرویس های داخلی ارائه شوند به بیرون از شبکه و یا بالعکس.
  • کنترل امنیت و مدیریت دسترسی های کاربران.
  • حفاظت از اطلاعات در ماقبل کسانی که قصد نفوذ به شبکه داخلی را دارند.
ديوار آتش سیستمی است که در بین کاربران یک شبکه محلی و شبکه جهانی قرار می‌‌گیرد و ضمن نظارت بردسترسی‌ها در تمام سطوح ورود و خروج اطلاعات راتحت نظر دارد. در این ساختار هر سازمان یا نهادی که بخواهد ورود و خروج اطلاعات را کنترل‌کند موظف است تمام ارتباطات مستقیم شبکه داخلی خود را با دنیای خارج قطع کرده و هرگونه ارتباط خارجی از طریق یک دروازه که دیوارآتش یا فیلتر نام دارد انجام‌شود. بسته‌های TCP وIP قبل از ورود به شبکه یا خروج ازآن ابتدا وارد دیواره آتش می‌شوند تا طبق معیارهای حفاظتی و امنیتی پردازش شوند.

انواع فایروال

انواع مختلف فایروال کم و بیش کارهایی را که اشاره کردیم ، انجام می دهند، اما روش انجام کار توسط انواع مختلف ، متفاوت است که این امر منجر به تفاوت در کارایی و سطح امنیت پیشنهادی فایروال می شود.بر این اساس فایروالها را به 5 گروه تقسیم می کنند.
  • فایروالهای سطح مدار (Circuit-Level): این فایروالها به عنوان یک رله برای ارتباطات TCP عمل می کنند. آنها ارتباط TCP را با رایانه پشتشان قطع می کنند و خود به جای آن رایانه به پاسخگویی اولیه می پردازند.تنها پس از برقراری ارتباط است که اجازه می دهند تا داده به سمت رایانه مقصد جریان پیدا کند و تنها به بسته های داده ای مرتبط اجازه عبور می دهند. این نوع از فایروالها هیچ داده درون بسته های اطلاعات را مورد بررسی قرار نمی دهند و لذا سرعت خوبی دارند. ضمنا امکان ایجاد محدودیت بر روی سایر پروتکلها غیر از TCPرا نیز نمی دهند.
  • فایروالهای پروکسی سرور : فایروالهای پروکسی سرور به بررسی بسته های اطلاعات در لایه کاربرد می پردازد. یک پروکسی سرور درخواست ارائه شده توسط برنامه های کاربردی پشتش را قطع می کند و خود به جای آنها درخواست را ارسال می کند.نتیجه درخواست را نیز ابتدا خود دریافت و سپس برای برنامه های کاربردی ارسال می کند. این روش با جلوگیری از ارتباط مستقیم برنامه با سرورها و برنامه های کاربردی خارجی امنیت بالایی را تامین می کند. از آنجایی که این فایروالها پروتکلهای سطح کاربرد را می شناسند، لذا می توانند بر مبنای این پروتکلها محدودیتهایی را ایجاد کنند. همچنین آنها می توانند با بررسی محتوای بسته های داده ای به ایجاد محدودیتهای لازم بپردازند. البته این سطح بررسی می تواند به کندی این فایروالها بیانجامد. همچنین از آنجایی که این فایروالها باید ترافیک ورودی و اطلاعات برنامه های کاربردی کاربر انتهایی را پردازش کند، کارایی آنها بیشتر کاهش می یابد. اغلب اوقات پروکسی سرورها از دید کاربر انتهایی شفاف نیستند و کاربر مجبور است تغییراتی را در برنامه خود ایجاد کند تا بتوان این فایروالها را به کار بگیرد.هر برنامه جدیدی که بخواهد از این نوع فایروال عبور کند ، باید تغییراتی را در پشته پروتکل فایروال ایجاد کرد.
  • فیلترهای : Nosstateful packet این فیلترها روش کار ساده ای دارند. آنها بر مسیر یک شبکه می نشینند و با استفاده از مجموعه ای از قواعد ، به بعضی بسته ها اجازه عبور می دهند و بعضی دیگر را بلوکه می کنند. این تصمیمها با توجه به اطلاعات آدرس دهی موجود در پروتکلهای لایه شبکه مانند IP و در بعضی موارد با توجه به اطلاعات موجود در پروتکلهای لایه انتقال مانند سرآیندهای TCP و UDP اتخاذ می شود. این فیلترها زمانی می توانند به خوبی عمل کنند که فهم خوبی از کاربرد سرویسهای مورد نیاز شبکه جهت محافظت داشته باشند. همچنین این فیلترها می توانند سریع باشند چون همانند پروکسی ها عمل نمی کنند و اطلاعاتی درباره پروتکلهای لایه کاربرد ندارند.
  • فیلترهای ٍStateful Packet :ٍ این فیلترها بسیار باهوشتر از فیلترهای ساده هستند. آنها تقریبا تمامی ترافیک ورودی را بلوکه می کنند اما می توانند به ماشینهای پشتشان اجازه بدهند تا به پاسخگویی بپردازند. آنها این کار را با نگهداری رکورد اتصالاتی که ماشینهای پشتشان در لایه انتقال ایجاد می کنند، انجام می دهند.این فیلترها ، مکانیزم اصلی مورد استفاده جهت پیاده سازی فایروال در شبکه های مدرن هستند.این فیلترها می توانند ردپای اطلاعات مختلف را از طریق بسته هایی که در حال عبورند ثبت کنند. برای مثال شماره پورت های TCP و UDP مبدا و مقصد، شماره ترتیب TCP و پرچمهای TCP. بسیاری از فیلترهای جدید Stateful می توانند پروتکلهای لایه کاربرد مانند FTP و HTTP را تشخیص دهند و لذا می تواننداعمال کنترل دسترسی را با توجه به نیازها و سرعت این پروتکلها انجام دهند.
  • فایروالهای شخصی : فایروالهای شخصی ، فایروالهایی هستند که بر روی رایانه های شخصی نصب می شوند.آنها برای مقابله با حملات شبکه ای طراحی شده اند. معمولا از برنامه های در حال اجرا در ماشین آگاهی دارند و تنها به ارتباطات ایجاد شده توسط این برنامه ها اجازه می دهند که به کار بپردازند نصب یک فایروال شخصی بر روی یک PC بسیار مفید است زیرا سطح امنیت پیشنهادی توسط فایروال شبکه را افزایش می دهد. از طرف دیگر از آنجایی که امروزه بسیاری از حملات از درون شبکه حفاظت شده انجام می شوند ، فایروال شبکه نمی تواند کاری برای آنها انجام دهد و لذا یک فایروال شخصی بسیار مفید خواهد بود. معمولا نیازی به تغییر برنامه جهت عبور از فایروال شخصی نصب شده (همانند پروکسی) نیست .
نصب و تنظیم فایروال
  • تشخیص و تعیین کامپیوترهایی که نیاز به نصب فایروال روی آنها وجود دارد (مخصوصا سرورها)
  • نصب نرم افزار فایروال مناسب روی کامپیوترها جهت جلوگیری از دسترسی های غیر مجاز
  • انجام تنظیمات لازم در فایروالهای نصب شده بگونه ای که اختلالی در سرویسها و ارتباطات معمول ایجاد نگردد
  • انجام آزمایشات لازم جهت کسب اطمینان از صحت و کارایی فایروال

نرم افزار Sunbelt Personal Firewall

قطع ترافیک ورودی و خروجی رایانه: بسیار مناسب برای زمانی که حرکات مشکوک و نا خوشایند بر روی شبکه رخ می دهد.
نگارش وقایع: با ثبت تمامی ارتباطات شبکه به شما امکان مرور و پیدا کردن مشکل احتمالی را می دهد.
آمارگیری از وقایع: آمارگیری دقیق از ارتباطات برقرار شده و پورت های باز توسط نرم افزارهای دیگر و موقعیت بلاک شده ها و زمان های حمله و جلوگیری را نمایش می دهد. به روز رسانی: با بروز شدن نرم افزار آخرین ویرایش و قویترین آن همیشه در دسترس خواهد بود .
این شرکت با بهره گیری از متخصصین مجرب و توانمند آماده راه اندازی انواع فایروال های سخت افزاری و نرم افزاری می باشد .

مطالب مرتبط با امنیت


1