امنیت سیستم عامل شبکه

آیا شبکه شمـا از ایمنی کافى برخوردار است؟

تامین ایمنی کامل یک پایگاه عملا ممکن نیست، فقط راه تامین صد در صد ایمنى یک پایگاه، خارج کـردن آن از اینترنت مى‏باشد. اما روشهایى وجود دارد که از طریق آنها مى‏توان قابلیت و توانایى پایگاههاى اینترنت را در مواجهه بـا مهاجمین رشد داد. رایج ‏ترین شیوه براى این منظور، ایجاد یک مکانیسم کنترلى بـه نام Firewall مى‏باشد. 

Firewall در واقع یک دیوار فیزیکى یا الکترونیک نمى‏باشد، بلکه انواع مختلفى از ترکیب سیستم‏هاى (Setups) رایانه ى یک Firewall را تشکیل مى‏دهد. 

در کوتاه مدت، هر نوع سیستم امنیتى مى‏تواند تـا میزان قابلیت و توانایى خود، جواب گوى نیازهاى شمـا باشد. اگر قیمت یک Firewall بیش از پانزده هزار دلار باشد، معدل قیمت هر کانال رابطه ى (امکان تردد از این دیوار) حدود هزار و پانصد تـا دو هزار و پانصد دلار خواهد بود، و این مبلغ ممکن است بالاتر هم برود. 

اولین وهله در تامین ایمنی یک پایگاه، اضافه کردن سخت افزار یا نرم‏افزار براى جبران کاستیها و نقایص امنیتى موجود در نرم افزار سیستم دلیل شبکه مى‏باشد.  

سخت افزار افزودنى (onـadd) همان Firewall است و مفهوم این جمله این است که سخت افزار و نرم‏افزار بـه کمک یکدیگر ایمنی لازم را براى شبکه فراهم مى‏سازند. 

اکثرا اصلاحات و ارتقاهاى سیستم‏هاى عامل، بسیارى از شکافهاى ایمنى را ترمیم و مسدود مى‏نماید، اما این، بـه تنهایى، نیاز بـه تامین ایمنی بیشتر در پایگاههاى وب را برطرف نمى‏سازد. 

ممکن است اصلى‏ترین و مهم‏ترین بخش سخت‏افزار موجود در یک پایگاه وب، مسیریاب (router) باشد که در واقع سوئیچى است که براى برقرارى رابطه یک پایگاه بـا اینترنت مـورد مصرف قرار مى‏گیرد. 

این دستگاه، اطلاعات ورودى و خروجى بـه یا از یک پایگاه را که در بسته‏هاى اطلاعات (Data packets) مرتب شده‏اند کنترل مى‏نماید. 

یک مسیریاب در سطحى پایین‏تر از سطح برنامه کاربردى، که سطح انتقال (Transport) همچنین نامیده مى‏شود، قرار دارد. 

اضافه کردن این سطح فیلترسازى فقط چند صد دلار هزینه در بـر خواهد داشت. 
براى مثال، قیمت خط رابطه ى (Globe Trotter) ، از مسیریابهاى Firewall متعلق بـه شرکت Open Raute Networks ، حدود ۷۹۵ دلار مى‏باشد که مى‏تواند علاوه بـر فیلترسازى بسته‏هاى اطلاعات، مسیریابى و فشرده‏سازى داده‏ها را همچنین صورت دهد. 

این نوع Firewall ، یکى از اولین نمونه‏ها و Firewall ـهاى ویژه فیلتر کـردن بسته‏هاى اطلاعات (filterـPlacket) بوده که این نمونه در واقع بـه منزله مسیریابى بود که نوع بسته‏هاى اطلاعاتى که اجازه ورود از محوطه نا امن بیرون« insecure outside » بـه محوطه امن داخل Secure inside و بالعکس دارند را معین مى‏کند؛ بـه این فیلترها اصطلاحا فیلترهاى بسته‏اى گفته مى‏شود. فیلترهاى بسته‏اى، نیاز بـه یک مدیر پایگاه دارند تـا مراقب انواع بسته‏هاى اطلاعات و کار آنها باشد. اما این کار بـر خلاف ظاهر آن، کار چندان آسان و ساده ى نیست. 

یکى از کارهایى که فیلترهاى بسته‏اى انجام مى‏دهند این است که مبادله بسته‏هاى اطلاعات بـا درگاههاى قراردادى دسترسى بـه خدمات شبکه (مثل FTP,Telnet و…) را بـر اساس قواعد تنظیم شده از طرف مدیر پایگاه، کنترل کنند. این فیلترها همین طور انواع مفرق بسته‏هاى اطلاعات (مانند بسته‏هاى قراردادهاى مفرق ICMP,UDP,TCP و…) را همچنین کنترل مى‏کنند . 

مبدا و مقصد بسته‏هاى اطلاعاتى را که از طریق Firewall مبادله مى‏شود؛ همچنین مى‏توان از طریق این فیلترها کنترل نمود. کار فیلترها شبیه باجه‏هاى عوارضى مى‏باشد که در جلوى یک پل قرار گرفته و بـا چشم الکترونیکى مراقب رفت و آمد (و واگذارى اجازه به) ماشین هاى مجاز براى ورود هستند . 

به طور کلى، مطمئن‏ترین راه براى حفظ ایمنی کامل یک سایت این است که بـه هیچ چیز اجازه ورود داده نشود، مگر این که مجوز ویِژه براى این کار در اختیار داشته باشد. 

یک فیلتر بسته‏اى مى‏تواند فیلتر مسیریابى همچنین باشد، تـا رابطه را فقط بـا رایانه ها، شبکه‏ها و سرویسهاى معین و مـورد تایید برقرار نماید . 

حفظ و نگهدارى از لیست اجازه یا عدم اجازه ورود، خصوصا در وضعیتى که تغییرات بسرعت در آن اتفاق مى‏افتد، دشوار بـه نظر مى‏رسد. به همین دلیل یک فیلتر مسیریابى یا بسته‏اى بـه تنهایى نمى‏تواند جواب گوى نیازهاى امنیتى پایگاه باشد. 

اما در چند سال اخیر آنچه که بـه عنـوان راه حل بهتر و مناسبتر بـه دست آمده است Firewall روى دروازها در لایه کاربرد (LevelـApplication) مى‏باشد که همراه بـا یک Firewall در لایه مدار (LevelـCircuit) یا مسیر یاب ویِژه مصرف مى‏شود. دروازه مدار، یک سرور واسط (Proxy) بین مسیریاب و اینترنت نصب مى‏کند. این پروکسى، پس رابطه واقعى بین منطقه حفاظت شده و اینترنت را کنترل مى‏کند. این نوع Firewall براحتى نصب مى‏شود بـه طورى که چندین شبکه حفاظت شده داخلى وجود خواهد داشت که از طریق یک Firewall مشترک بـه اینترنت متصل هستند . 

در کتاب: Refelliny The Wily Hacker : Firewall نوشته ویلیام آر چسویک و استیون بلووین، بـه بحث درباه Firewall مختلط (hybrid) در لایه‏هاى کاربرد و مدار پرداخته شده است. در این نوع راه‏اندازى (Setup) ، دروازه فیلترکننده بسته‏ها بـه شبکه داخلى متصل مى‏شود و بعد بـه دروازه برنامه کاربردى از طریق فیلتر بسته‏اى دیگر بـه شبکه خارجى متصل مى‏شود. 

در هیچ زمانى، شبکه خارجى مستقیما بـه شبکه داخلى متصل نخواهد شد؛ چون تمام چیز از طریق سرور واسط (Proxy) یا دروازه برنامه‏هاى کاربردى انجام مى‏شود. شبکه خارجى از طریق دروازه برنامه کاربردى بـه یک سرور واسط متعلق بـه درگاه رابطه ى شبکه داخلى متصل مى‏شود . آقاى چسویک (Cheswick) معتقد است که در این طریق، ایمنی قابل ملاحظه‏اى (که وى آن را homedـ Dual یا دو وهله ‏اى مى‏نامد) ایجاد مى‏شود که اما نیاز بـه حفظ و نگهدارى دارد. 

اما در این مسیر، مسائل ى در عمل همچنین وجود خواهد داشت. 
براى مثال، ممکن است بسته‏هاى نرم‏افزار تـا زمانى که Firewall اجازه نداده است، بـه مقصد نرسند. 

Firewall هاى مراقب وضعیت یا (WatchingـState) شیوه دیگر جلوگیرى از دسترسى افراد غیر مجاز بـه شبکه یک شرکت مى‏باشد. این Firewall ها بسته‏هاى نرم‏افزار را شبیه یک Firewall سطح مدارى کنترل مى‏کنند. اما وهله اضافى همراه کـردن درگاههاى سیستم دلیل رایانه ى بـا رابطه اتى که بسته‏ها تولید مى‏کنند را همچنین حاوی مى‏شود. 

وقت ى که یک رابطه بسته (قطع) مى‏شود، Firewall امان دسترسى بـه درگاههاى بسته را مسدود مى‏کند تـا وقتى که دوباره آنها از طریق درست و مـورد تایید بازگشایى شوند. بـا اعمال و بـه کارگیرى این وهله ، مهاجمین دیگر قادر نخواهند بود تابا دستکارى در محافظهاى سیستم دلیل بـه درگاهى دست یابند. 

Firewall مختلط در لایه‏هاى کاربرد و مدار که توسط چسویک ارائه شد، بـه عنـوان استاندارد اولیه در شرکتهاى بزرگ مـورد مصرف قرار گرفت. حالا نیز، از آنجا که مراقبت وضعیت Watchingـ State همچنین بـه آن افزوده شده است، اکثر محصولات جدید Firewall از یک دروازه در لایه کاربرد که رابطه اطلاعاتى را از طریق یک فیلتر بسته‏اى در لایه مدار ایجاد مى‏کند. مصرف مى‏نمایند. اما امکان رابطه بـا لایه‏هاى مدارى، توانایى ترجمه آدرسهاى IP شبکه‏اى را بـه Firewall مى‏دهد. 

این ترجمه، آدرسهاى IP واقعى در شبکه را از دسترسى افراد خارج از شبکه مخفى نگاه مى‏دارد و معادلهاى مجازى براى آنها فراهم مى‏سازد. همین طور مصرف از این ترجمه، امکان سرقت آدرسهاى مزبور را همچنین از مهاجمان سلب خواهد نمود. 

در بعضى مواقع، سیستمهاى Firewall از علائم و نشانه‏ها بـه عنـوان یک وسائل دیگر امنیتى مصرف مى‏کنند. سرور Firewall متعلق بـه Border Ware یک Firewall مختلط بـا سبک چسویک مى‏باشد که داراى امکان تشخیص هویت است. این سرور Firewall اجازه (و امکان) دسترسى کاربران مـورد تایید بـه سرویسهاى شبکه از داخل و خارج را فراهم مى‏سازد . بـه جمله دیگر، یک کاربر مى‏تواند از شبکه خارجى و در اینترنت بـه پایگاهى در شبکه Telnet نماید، مشروط بـر آنکه ابتدا هویت وى شناسایى گردد. 

اما امکان و اجازه دسترسى، فقط زمانى واگذار مى‏شود که علامت و نشانه توسط سرور شناسایى شود. 

نوعى دیگر از سیستمهاى امنیتى همچنین بـه نام Socks وجود دارد که توابع کتابخانه‏اى آن را مى‏توان بـه برنامه‏هاى کاربردى مـورد نظر براى تامین رابطه امنیتى از طریق یک Firewall افزود. مزیت Sock این است که وقت کمترى را نسبت بـه نگارش یک پروکسى کامل، مى‏گیرد؛ چون در نگارش یک پروکسى، ابتدا باید بـه جدید اصلى برنامه کاربردى دسترسى پیدا کرد که اما این کار همواره امکان پذیر نیست؛ به همین دلیل کاربران باید از برنامه‏هاى کاربردى موجود که Socks براى آنها نوشته است، مصرف نمایند. 

انجمن NCSA ، که یک دسته صنعتى است و محصولات Firewall را ارزیابى مى‏کند، اخیرا اقدام بـه انتشار گزارشى نمود که در آن مشاغل ایالت متحده حاوی دولتى، فدرال و محلى در آن قید شده بود. این گزارش مى‏تواند الگویى براى الگوهاى جدید کاربرد Firewall بـه حساب آید. ۴۴ درصد از جواب گویان (در گزارش فوق) اظهار داشتند که سیستم آنها مـورد حملات خارجى قرار گرفته است و ۸۹ درصد از جواب گویان اظهار داشتند که Firewall ها بـه طور مرتب این حملات را دفع کرده ‏اند. حملاتى که جواب گویان بـه آن اشاره کردند، حاوی سرقت آدرسهاى IP ، حملات ارسال پست، حملات تخریب سرویسها و همچنین پویش درگاهها مى‏باشد، که هر یک از مسائل فوق توسط ده درصد از جواب گویان اشاره شده است. 

در گزارش NCSA ، حملات تخریب خدمات بیشترین نگرانى را براى ۳۸ درصد از جواب گویان باعث شده است. ارسال پستهاى خیلی (بمباران پستى)، یکى از روشهاى حملات تخریب خدمات است که سبب قطع رابطه ات شبکه و خرابى سیستم مى‏شود. 

بمباران پستى سعى مى‏کند تـا کنترل مسیریاب را بـه دست گرفته و پس یک آدرس پستى همراه بـا میزان زیادى ترافیک بـه طرف سایت (مورد یورش قرار داده) سرازیر مى‏کند. از دیگر روشهاى تخریب خدمات، مى‏توان بـه نفوذ در سرورهاى گمنام FTP ، انباشته کـردن بافرهاى ورودى و همچنین ارسال تعداد بسیار خیلی درخواست رابطه بـه سرورها براى هدر دادن حافظه موجود و از کار انداختن سیستم اشاره کرد. انجمن NCSA ، همین طور ارائه نرم‏افزار آزمون و تایید Firewall بـه سازندگان سیستمهاى Firewall را ضمانت کرده است. اطلاعات بیشتر در زمینه Firewall ها و شیوه فعلى حملات را مى‏توانید در پایگاه وب NCSA (www .ncsa.com) بیابید. 

آقاى سام گلسنر، از مدیران انجمن NCSA معتقد است که یک Firewall تایید شده را مى‏توان براى حفاظت از یک شبکه داخلى در مساوی مجموعه تهدیدات پیکر بندى کرد و امکان اجراى موثر کار هاى با ارزش و حساس در محیط اینترنت را فراهم نمود. بـه نظر ما تمامى سیستمهاى موجود در اینترنت باید نگران احتمال یورش خرابکاران باشـند ، اما تمامى سیستمها بـه یک Firewall احتیاج ندارند. اگر شمـا سرورى را در اینترنت تعبیه بکنید که تحالا بـه هیچ شبکه اینترنت متصل نشده است، یک مسیر یاب حفاظتى براى تامین ایمنی کافى خواهد بود. اما اگر اینترنت بـه شبکه‏هاى داخلى وصل شده باشد، یک Firewall ، حداقل چیزى است که مى‏تواند ایمنی لازمه را تامین نماید. سیستمهایى که بیشتر کارهاى اجرایى و تجارى را صورت مى‏دهند، بیشتر در معرض تهدید قرار دارند که از جمله این سیستمها مى‏توان بـه صنایع بیمه و مالیاتى اشاره کرد. 

اخیرا همچنین تلاش هایى براى رشد «کارایى» Firewall هاى لایه کاربرد، انجام شده است . 

Webstalker ، متعلق بـه Hay Stack در سطح سیستم دلیل کار مى‏کند و اگر چه یک Firewall نیست، اما مى‏تواند رفتار روى سرور که توسط یک Firewall حفاظت مى‏شود را کنترل نماید و در نکات ى هم چون دسترسى بـه فایل‏ها، ID User ، تغییرات ID و اجراى برنامه بـه کار مى‏رود و آنها را (مورد ‏هاى فوق) بـا پیش‏نویس (Profile) رفتار سیستم مقایسه مى‏نماید. پرو فایل سیستم از خط مشى حفاظتى که کاربر، در رابطه بـا سیستم دلیل انتخاب مى‏کند، مشتق شده است که بیشتر شبیه راه‏اندازى جعبه Netra یا اجراى Turbo Tax مى‏باشد. هرگاه فرآیندى درحال نقض سیاست (خط مشى) حفاظتى باشد، Webstalker در مساوی آن از خود عکس العمل نشان داده و مدیر سیستم را همچنین از آن مطلع خواهد تهیه . 

Firewall هاى جدید، مانند AltaVista را مى‏توان براى قبول یا رد انواع مشخصى از بسته‏هاى اطلاعات، پیکربندى نمود. بارزترین نمونه، UDP مى‏باشد که یک پروتکل انتقال داده‏ها بوده که توسط سیستمهاى Conferencingـ Video مانند SeeMeـs CU’ White Pine و همچنین سیستمهاى مکالمه و شنوایى مصرف مى‏شود. هرگاه این نوع بسته‏هاى اطلاعاتى در Firewall مسدود شود، کاربران دیگر امکان شرکت در کار هاى مبتنى بـر UDP را نخواهند داشت. انسداد بسته‏هاى نرم‏افزارى UDP ، بدین معنى است که کاربران دیگر شاهد جدیدترین تغییرات و اصلاحات در وب نخواهند بود. فقط راه حل این مشکل، فراهم کـردن امکان دسترسى بـه بسته‏هاى نرم‏افزارى UDP مى‏باشد. بعضى از Firewall ها بـا مصرف از برنامه کاربردى پروکسى این امکان را فراهم مى‏سازند. 

راه‏اندازى و نصب یک Firewall ممکن است زمان زیادى را صرف نماید . یکى از جدیدترین راهنماهاى بازاریابى، این مساله را بـا Firewall هاى loadـ Pre برطرف ساخته است. یکى از این راهنماى بازاریاب، شرکت Point Software مى‏باشد که ۱ـ Firewall را عرضه کرده است و داراى سرورهاى d[1]‘ AST بوده و ویندوز NT را همچنین بـه اجرا درمى‏آورد . این شرکت همین طور داراى بسته‏هاى نرم‏افزارى مشابهى براى Sun ، همراه بـا Solaris و IBM براى سیستمهاى AIX مى‏باشد. براى پشتیبانى از آدرسهاى اضافى IP مى‏توان Firewall.First را بـه ۱ـ Firewall کامل ارتقاء ورژن کرد. 

ساکس - خرید ساکس- ساکس رایگان - ساکس - ساکس جدید

شرکت Raptur همچنین داراى بسته‏هاى نرم‏افزارى شبیه به آن بـا Firewall هاى Eagle خود براى Compaq و Digital مى‏باشد. 

نکته بعد در مورد Firewall ها و ایمنی داده‏ها، تهدید پنهان ‏اى است که از جاوا و اپلتهاى Active X ناشى مى‏شود. به همین دلیل مدیران شبکه محدودیتهایى را براى مصرف از اپلتها در نظر گرفته‏اند. این محدودیت فقط از طریق بـه کارگیرى پروکسى برنامه کاربردى که براى شناسایى این اپلتها در جریان داده‏ها پیکر بندى شده است، در سطح برنامه کاربردى روى مى‏دهد. اکثر Firewall ها فاقد این مشخصه هستند . 

s Watclguard’ Seatle Software را مى‏توان بـه عنـوان اولین Firewall ذکر کرد که داراى جاوا و فیلترهاى Active X مى‏باشد. دیگر فروشندگان از جمله ۱ـ Network همچنین قصد دارند این فیلترها را بـه محصولات خود اضافه کنند. 

امروزه در بازار، محصولات Firewall مناسبى یافت مى‏شود. اولین وهله در ارزیابى ایمنی شرکت خود، کسب اطمینان از وجود حفاظت و ایمنى در مساوی تهاجم خارجى مى‏باشد. همین طور مطمئن شوید که فیلترسازى بسته‏اى که از ورود آدرسهاى اینترنت از خارج از ساوقت شمـا جلوگیرى مى‏کند را در اختیار دارید. اینکار را مى‏توانید بـا کنترل سرورهاى سازمانى خود صورت دهید. پس مناطق ویِژه شبکه خود را کنترل بکنید . اگر کاربران بـا اجراى امکانات تصویرى، که اصلا بـه آن نیازى هم ندارند، سبب بار هزینه‏اى سنگینى براى شمـا مى‏شوند، مى‏توانید بـه فیلترهاى برنامه‏کاربردى که جریانات UDP را مسدود مى‏کنند، مراجعه بکنید . اگر برنامه‏هاى کاربردى شمـا با ارزش و حساس هستند ، همچنین ممکن است که سعى بکنید حفاظت Firewall پیچیده‏ترى را براى خود فراهم بکنید . 

در وقت تهیه Firewall ، سعى بکنید محصولى را انتخاب نمائید که مطابق نیازهاى شمـا باشد و قیمت آن همچنین بودجه زیادى براى شرکت شمـا تحمیل ننماید و وقت ورود Firewall پیچیده‏تر بـه بازار، در صورت امکان از آن همچنین بى بهره‏مند شوید. 

مسؤولیت حفظ و نگهدارى از مدار و پروکسیهاى برنامه کاربردى، بـر عهده مدیر شبکه مى‏باشد که باید مشخصات Firewall را بـه وقت اضافه کردن برنامه‏هاى کاربردى یا حذف برخى از آنها Update نماید. چون اکثر Firewall ها بـه گونه‏اى اجرا مى‏شوند که هر چیزى غیر از مسائل قید شده را مسدود مى‏نمایند. کسانى که مى‏خواهند براى اولین بار از یک برنامه کاربردى موجود در پشت Firewall مصرف کنند. بـا مسائل ى روبرو خواهند شد . به همین دلیل باید نیازهاى برنامه کاربردى معین شده و مطابق بـا آن، پروکسیهایى همچنین تنظیم یابند. 

ایمنی وب سایت، شبیه ترطعم اى ضد قفل (lock brakesـanti) ماشین مى‏باشد؛ تـا وقتى که بـه آن نیاز پیدا نکنید، ارزش و ارزش آن براى شمـا نآشنا خته مى‏ماند.ساکس - خرید ساکس- ساکس رایگان - ساکس - ساکس جدید