اينترنت و به دنبال آن وب ، دنياي نرم افزار را دستخوش تحولات فراواني نموده است . ظهور نسل جديدي از برنامه هاي كامپيوتري موسوم به "برنامه هاي وب " از جمله اين تحولات عظيم است . پس از ارائه سرويس وب در سال 1991، وب سايت هاي متعددي ايجاد گرديد . اينگونه سايت ها به منظور ارائه اطلاعات به مخاطبان خود از صفحات وب ايستا استفاده مي كردند . در چنين وب سايت هائي ، امكان تعامل كاربر با برنامه وجود نداشت .
با توجه به اين كه رويكرد فوق با ماهيت و يا روح نرم افزار چندان سازگار نمي باشد ، تلاش هاي گسترده اي در جهت ايجاد محتويات پويا انجام و متعاقب آن ، فن آوري هاي متعددي ايجاد گرديد . به عنوان نمونه ، با پياده سازي فن آوري CGI ( برگرفته از Common Gateway Interface ) ، امكان استفاده از برنامه هاي خارجي به منظور توليد محتويات پويا فراهم گرديد . بدين ترتيب ، كاربران قادر به درج اطلاعات و ارسال آنها براي يك برنامه خارجي و يا اسكريپت سمت سرويس دهنده شدند . برنامه موجود در سمت سرويس دهنده پس از دريافت اطلاعات و انجام پردازش هاي تعريف شده ، نتايج را توليد و آنها را براي كاربر ارسال مي نمود .
رويكرد فوق ، به عنوان نقطه عطفي در برنامه هاي وب تلقي مي گردد چراكه براي اولين مرتبه امكان توليد محتويات پويا در وب سايت ها فراهم گرديد . از آن زمان تاكنون فن آوري هاي متعددي به منظور توليد برنامه هاي وب ايجاد شده است . PHP و ASP.NET نمونه هائي در اين زمينه مي باشند . صرفنظر از اين كه از كدام فن آوري به منظور ايجاد برنامه هاي وب استفاده مي گردد ، ايمن سازي آنان از جمله اهداف مشترك تمامي پياده كنندگان است .
امنيت برنامه هاي وب و برداشت هاي اوليه
زماني كه در رابطه با امنيت برنامه هاي وب سخن به ميان مي آيد ، تهاجم عليه يك سايت ، سرقت كارت هاي اعتباري ، بمباران وب سايت ها در جهت مستاصل كردن آنان به منظور ارائه خدمات و سرويس هاي تعريف شده ، ويروس ها ، تروجان ها ، كرم ها و ... در ذهن تداعي مي گردد . صرفنظر از نوع برداشت ما در رابطه با موارد فوق ، مي بايست بپذيريم كه تهديدات امنيتي متعددي متوجه برنامه هاي وب با توجه به ماهيت آنان مي باشد . سازمان ها و يا موسساتي كه از اينگونه برنامه ها استفاده مي نمايند و يا در صدد طراحي و پياده سازي آنان مي باشند ، مي بايست به اين نكته مهم توجه نمايند كه ايمن سازي يك برنامه وب ، محدود به بكارگيري يك فن آوري خاص نبوده و فرآيندي است مستمر كه عوامل انساني و غيرانساني متعددي مي توانند بر روي آن تاثيرگذار باشند .
امنيت برنامه هاي وب را مي بايست با توجه به نوع معماري و رفتار آنان بررسي نمود .
برداشت هاي غيرواقعي از امنيت برنامه هاي وب
متاسفانه به دليل عدم شناخت لازم در خصوص ماهيت برنامه هاي وب از يك طرف و از سوي ديگر عدم آشنائي لازم با مفاهيم امنيت ، شاهد برداشت هاي نادرست در خصوص امنيت برنامه هاي وب مي باشيم . اجازه دهيد به چند نمونه در اين خصوص اشاره نمائيم :
• ما ايمن هستيم چون از يك فايروال استفاده مي نمائيم . اين تصور كاملا" اشتباه است و به نوع تهديد بستگي خواهد داشت . مثلا" يك فايروال قادر به تشخيص داده ورودي مخرب جهت ارسال به يك برنامه وب نمي باشد . فايروال ها داراي عملكردي قابل قبول در رابطه با اعمال محدوديت بر روي پورت ها مي باشند و برخي از آنان مي توانند همزمان با بررسي اطلاعات مبادله شده ، امكانات برجسته حفاظتي را ارائه نمايند . فايروال ها جزء لاينفك در يك فريمورك امنيتي مي باشند ولي نمي توان آنان را به عنوان يك راهكار جامع به منظور ايجاد و برپائي يك محيط ايمن در نظر گرفت .
• ما ايمن هستيم چون از SSL ( برگرفته ازSecure Sokets Layer ) استفاده مي نمائيم . SSL براي رمزنگاري ترافيك موجود بر روي شبكه يك گزينه ايده آل است ولي قادر به بررسي داده ورودي يك برنامه نمي باشد .
• ما ايمن هستيم چون از سيستم عاملي استفاده مي نمائيم كه نسبت به ساير سيستم هاي عامل داراي امنيت بيشتري است . استدلال فوق با فرض درست بودن اصل قضيه ، نادرست و غيرمنطقي است چراكه امنيت يك فرآيند است نه يك محصول . بنابراين با بكارگيري يك محصول خاص ( به عنوان نمونه يك سيستم عامل ) نمي توان اين ادعا را داشت كه ما به يك محيط ايمن به منظور ايجاد برنامه هاي وب دست يافته ايم .
با رد امنيت يك سيستم عامل نمي توان امنيت يك سيستم عامل ديگر را تائيد نمود.
( من خوبم چون شما بد هستيد ! )
امنيت چيست ؟
اولين رسالت امنيت ، حفاظت از سرمايه هاي يك سازمان است كه ممكن است شامل آيتم هاي ملموسي نظير يك صفحه وب و يا بانك اطلاعاتي مشتريان و يا آيتم هاي غيرملموسي نظير شهرت و اعتبار يك سازمان باشد. امنيت يك مسير است نه يك مقصد و به موازات تجزيه و تحليل زيرساخت و برنامه هاي موجود ، مي بايست اقدام به شناسائي تهديدات و خطرات ناشي از آنان نمود . در واقع ، امنيت به مديريت خطرات و پياده سازي يك سيستم به منظور پاسخگوئي و مقابله با تهديدات اشاره داشته و در ارتباط با عتاصر كليدي زير است :
• Authentication ، فرآيندي است كه به كمك آن به صورت منحصربفرد سرويس گيرندگان يك برنامه شناسائي مي گردند . كاربران ، سرويس ها ، فرآيندها و كامپيوترها ، نمونه هائي از سرويس گيرندگان يك برنامه مي باشند . در واقع ، authentication هويت استفاده كنندگان يك برنامه را بررسي مي نمايد .
• Authorization ، فرآيندي است كه به كمك آن دستيابي سرويس گيرندگان تائيد شده به منابع و عملياتي كه قصد انجام آن را دارند بررسي و مجوز لازم صادر مي گردد. فايل ها ، بانك هاي اطلاعاتي ، جداول ، سطرها ، منابع موجود در سطح سيستم نظير كليدهاي ريجتسري و داده پيكربندي ، نمونه هائي از منابع مورد درخواست سرويس گيرندگان مي باشند . انجام تراكنش هائي خاص نظير خريد يك محصول ، واريز و انتقال پول از يك حساب به حساب ديگر و يا افزايش اعتبار يك كارت اعتباري از جمله عملياتي مي باشند كه مي بايست مجوز استفاده از آنان براي سرويس گيرندگان صادر گردد . در واقع ، authorization محدوده مجاز عملياتي را كه يك سرويس گيرنده مي تواند انجام دهد را مشخص مي نمايد .
• Auditing : مميزي موثر و ثبت عمليات انجام شده يكي از اصول مهم در جلوگيري از انجام اعمال خلاف قانون است . بدين ترتيب اين اطمينان ايجاد خواهد شد كه يك كاربر نمي تواند باعث عدم انحام يك كار و يا فعاليت در سيستم گردد و يا يك تراكنش را مقداردهي اوليه نمايد . مثلا" در يك سيستم e-commerce مي بايست از مكانيزم هائي استفاده گردد تا اين اطمينان حاصل گردد كه يك مصرف كننده نمي تواند سفارش انجام شده براي خريد يكصد نسخه از يك كتاب را انكار نمايد .
• Confidentiality ، كه از آن با نام privacy نيز نام برده مي شود ، فرآيندي است كه به كمك آن اين اطمينان ايجاد مي گردد كه حريم خصوصي داده رعايت و امكان مشاهده آن توسط كاربران غيرمجاز و يا ساير افرادي كه قادر به رديابي ترافيك يك شبكه مي باشند ، وجود نخواهد داشت .
• Integrity ، فرآيندي است كه به كمك آن اين اطمينان ايجاد مي گردد كه داده در مقابل تغييرات تصادفي و يا تعمدي حفاظت خواهد شد . همانند privacy ، يكپارچگي اطلاعات يك فاكتور اساسي در خصوص امنيت داده محسوب مي گردد ، خصوصا" در مواردي كه داده در طول شبكه مبادله خواهد شد . يكپارچگي داده در حال حمل ،عموما" با استفاده از روش هائي نظير hashing و يا كدهاي تائيد پيام انجام مي شود .
• Availability ، فرآيندي است كه به كمك آن اين اطمينان ايجاد خواهد شد كه همواره داده براي كاربران مجاز در دسترس و قابل استفاده خواهد بود . در اغلب حملات از نوع DoS ، مهاجمان اين هدف را دنبال مي نمايند كه بتوانند امكان استفاده و در دسترس بودن برنامه براي كاربران مجاز را غيرممكن و عملا" آن را از كار بيندازند .
تعاريف اوليه برخي از اصطلاحات امنيتي : تهديدات ، نقاط آسيب پذير و حملات
• تهديد ( threat ) : به هرگونه پتانسيل بروز يك رويداد مخرب و يا ساير موارد ديگر كه مي تواند به سرمايه هاي يك سازمان آسيب برساند ، تهديد گفته مي شود . به عبارت ديگر، هر رويدادي كه بتواند به سرمايه هاي يك سازمان آسيب برساند ، در زمره تهديدات محسوب مي گردد .
• نقاط آسيب پذير (vulnerability) : ضعف هاي موجود در يك سيستم مي باشند كه پتانسيل اوليه بروز يك رويداد مخرب را فراهم مي نمايند . ضعف در طراحي ، پيكربندي اشتباه ، استفاده از روش هاي كدينگ غيرايمن مهمترين دلايل ايجاد يك ضعف در سيستم مي باشند . ضعف در بررسي صحت داده ورودي توسط كاربر ، نمونه اي از يك لايه آسيب پذير در يك برنامه است كه مي تواند زمينه بروز يك تهاجم را فراهم نمايد .
• تهاجم (attack) : عملياتي است كه محوريت آن سوء استفاده از نقاط آسيب پذير و پتانسيل هاي بروز يك رويداد مخرب مي باشد . ارسال ورودي مخرب به يك برنامه و يا flooding يك شبكه به منظور از كار انداختن يك سرويس ، نمونه هائي در اين زمينه مي باشد .
يك تهديد پتانسيل بروز يك رويداد مخرب را فراهم مي نمايد كه مي تواند به سرمايه هاي يك سازمان آسيب برساند
در حالي كه در يك تهاجم موفقيت آميز از نقاط آسيب پذير موجود در سيستم استفاده مي گردد .
چگونه مي توان يك برنامه وب ايمن را ايجاد نمود ؟
تا زماني كه شناخت مناسبي نسبت به تهديدات وجود نداشته باشد ، امكان ايجاد يك برنامه وب ايمن وجود نخواهد داشت . بنابراين قبل از هر چيز لازم است كه با "مدل تهديدات " موجود آشنا شويم . هدف مدل فوق، آناليز معماري و نحوه طراحي برنامه به منظور شناسائي نقاط آسيب پذيري است كه ممكن است به صورت تصادفي توسط يك كاربر ناآگاه و يا مهاجمان با اهداف مخرب مورد سوء استفاده قرار گرفته تا با استناد به آنان بتوانند موجوديت و امنيت سيستم را با خطر مواجه نمايند .
پس از آسنائي با تهديدات ، مي بايست با بكارگيري مجموعه اي از اصول امنيتي اقدام به طراحي سيستم نمود . در ادامه ، پياده كنندگان مي بايست از روش هاي ايمن به منظور نوشتن كدهاي مطمئن ، مستحكم و قابل اعتماد استفاده نمايند . پس از طراحي و پياده سازي برنامه ، مي بايست از يك شبكه ايمن ، يك host مطمئن و يك پيكربندي مناسب بر روي سرويس دهنده ، استفاده گردد .
ايجاد يك برنامه وب ايمن ، مستلزم اقدامات امنيتي چند جانبه اي است كه موفقيت در تمامي آنان ، ايمن بودن برنامه هاي وب را تضمين خواهد كرد . ايمن سازي شبكه ، host و برنامه ، رئوس مثلث امنيتي ايجاد برنامه هاي وب ايمن را تشكيل مي دهند .
ايمن سازي شبكه ، host و برنامه
به منظور ايجاد برنامه هاي وب ايمن ، تبعيت از يك رويكرد جامع امري است الزامي . بنابراين ، مي بايست امنيت برنامه هاي وب را در سه لايه متفاوت بررسي و اقدامات لازم را در هر لايه با توجه به جايگاه آن انجام داد .
وجود يك نقطه آسيب پذير در شبكه به يك مهاجم اجازه مي دهد تا كنترل يك host و يا برنامه را بدست بگيرد .
وجود يك نقطه آسيب پذير در host به يك مهاجم اجازه مي دهد تا بتواند كنترل يك شبكه و يا برنامه را بدست بگيرد .
وجود يك نقطه آسيب پذير در برنامه به يك مهاجم اجازه مي دهد تا كنترل يك host و يا شبكه را بدست بگيرد .
ايمن سازي شبكه
شبكه ، نقطه ورود به يك برنامه وب است و اولين لايه حفاظتي به منظور كنترل دستيابي به سرويس دهندگان متعدد موجود در محيط عملياتي را فراهم مي نمايد . با اين كه سرويس دهندگان توسط سيستم هاي عامل نصب شده بر روي خود حفاظت مي گردند ولي نمي بايست به اين موضوع صرفا" اكتفاء نمود و لازم است كه تدابير لازم به منظور حفاظت آنها در مقابل ساير تهديدات ( نظير ارسال سيلابي از بسته هاي اطلاعاتي از طريق لايه شبكه ) نيز انديشيده گردد .
ايمن سازي شبكه ، شامل حفاظت از دستگاه هاي شبكه اي و داده مبادله شده بر روي آنها مي باشد . روتر ، فايروال و سوئيچ عناصر اوليه زيرساخت يك شبكه را تشكيل مي دهند .
يك برنامه وب بر روي يك زيرساخت شبكه اي ايمن فعاليت و به كاربران خود سرويس هاي لازم را ارائه مي نمايد . براي ايمن سازي شبكه ، علاوه بر اين كه شبكه مي بايست در مقابل حملات مبتني بر TCP/IP از خود محافظت نمايد ، بلكه لازم است اقدامات متعدد ديگري نيز در اين رابطه انجام شود . ايجاد اينترفيس هاي مديريتي ايمن، استفاده از رمزهاي عبور قدرتمند ، حصول اطمينان از صحت ترافيك ارسالي از جمله اقدامات ديگر در خصوص ايجاد يك شبكه ايمن مي باشد . بدين منظور لازم است كه پورت ها و پروتكل هاي استفاده شده در هر لايه به دقت بررسي و در صورتي كه وجود آنها غيرضروري تشخيص داده شود و يا استفاده از آنها زمينه بروز تهديداتي را فراهم مي نمايد ، مي بايست در همان لايه با آنان برخورد و از يك راهكار مناسب امنيتي استفاده گردد .
وجود ضعف امنيتي در يك شبكه زمينه بروز تهديدات متعددي را فراهم مي نمايد . بدون شناسائي اينگونه تهديدات ، امكان مقابله منطقي با آنان وجود نخواهد داشت .
تهديدات
يك مهاجم به منظور برنامه ريزي حملات خود به دنبال دستگاه هاي شبكه اي است كه بر روي آنها پيكربندي ضعيفي اعمال شده است . تنظيمات ضعيف پيش فرض ، دستيابي بدون ضابطه به منابع موجود بر روي شبكه ، وجود دستگاه هائي كه به درستي patch و يا بهنگام نشده اند، حفره هاي امنيتي متعددي را در يك شبكه ايجاد مي نمايد . وجود حفره هاي امنتيي فوق و عدم برخورد مناسب با آنها ، احتمال موفقيت مهاجمان را افزايش مي دهد .
مهمترين تهديدات در يك شبكه عبارتند از :
• جمع آوري اطلاعات
• sniffing
• spoofing
• session hijacking
• DoS ( برگرفته از Denial of Service )
با آگاهي از ماهيت هر يك از تهديدات فوق و نحوه تاثير آنها بر روي عملكرد شبكه ، مي توان امكانات حفاظتي و تدافعي مناسبي را در يك شبكه پيش بيني و پياده سازي نمود.
در ادامه به بررسي مختصر هر يك از تهديدات فوق خواهيم پرداخت .
جمع آوري اطلاعات
مهاجمان در اولين مرحله ،اقدام به جمع آوري اطلاعات در رابطه با اهداف خود مي نمايند . جمع آوري اطلاعات مي تواند باعث افشاي اطلاعات توپولوژي شبكه ، پيكربندي سيستم و دستگاه هاي شبكه اي گردد . يك مهاجم مي تواند در ادامه با استفاده از اطلاعات جمع آوري شده بر روي نقاط آسيب پذير متمركز و از حفره هاي امنيتي موجود در جهت تامين خواسته هاي مخرب خود استفاده نمايد .
نقاط آسيب پذير
متداولترين نقاط آسيب پذيري كه شبكه را مستعد اين نوع از حملات مي نمايد عبارتند از :
• ماهيت غيرايمن ذاتي پروتكل TCP/IP
• پيكربندي ضعيف دستگاه هاي شبكه اي
• استفاده غيرايمن از سرويس هائي كه به وجود آنها در يك شبكه نياز نمي باشد .
حملات
متداولترين حملات مبتني بر "جمع آوري اطلاعات" عبارتند از :
• استفاده از Tracert به منظور تشخيص توپولوژي شبكه
• استفاده از Telnet به منظور باز نمودن پورت ها و جمع آوري اطلاعات اوليه
• استفاده از پويشگرهاي پورت به منظور تشخيص وضعيت پورت ها
• استفاده از درخواست هاي broadcast براي شمارش تعداد host موجود بر روي يك subnet
پيشگيري و مقابله با تهديدات
به منظور پيشگيري و مقابله با اين نوع حملات مي توان از روش هاي زير استفاده نمود :
• استفاده از امكاناتي كه اطلاعات اضافه اي را در خصوص پيكربندي نظير نام و شماره نسخه نرم افزار ارائه نمي نمايد .
• استفاده از فايروال ها به منظور پوشش سرويس هائي كه نمي بايست در معرض ديد و استفاده عموم قرار داده شوند .
sniffing
sniffing كه به آن "استراق سمع " نيز گفته مي شود ، مانيتورينگ ترافيك شبكه براي داده هائي نظير رمزهاي عبور ( رمزنشده) و يا اطلاعات پيكربندي است . با استفاده از يك برنامه packet sniffer ، مي توان به سادگي تمامي ترافيك plain text ( رمز نشده ) را مشاهده نمود .
نقاط آسيب پذير
متداولترين نقاط آسيب پذيري كه شبكه را مستعد اين نوع از حملات مي نمايد عبارتند از :
• ضعف امنيت فيزيكي
• ضعف رمزنگاري در زمان ارسال داده حساس و مهم
• وجود سرويس هائي كه با يكديگر به صورت متن معمولي ( رمز نشده ) ارتباط برقرار مي نمايند .
• استفاده از الگوريتم هاي ضعيف رمزنگاري
حملات
مهاجمان با قرار دادن يك packet sniffer بر روي شبكه مي توانند تمامي ترافيك را capture و آناليز نمايند .
پيشگيري و مقابله با تهديدات
به منظور پيشگيري و مقابله با اين نوع حملات مي توان از روش هاي زير استفاده نمود :
• استفاده از يك سيستم امنيت فيزيكي مناسب به منظور پيشگيري از نصب دستگاه هاي مخرب بر روي شبكه
• رمزنگاري اطلاعات حساس و ترافيك برنامه بر روي شبكه
Spoofing
spoofing ، كه به آن "هويت مبهم " نيز گفته مي شود ، به كتمان هويت واقعي بر روي شبكه اطلاق مي گردد . در اين رابطه از يك آدرس مبداء جعلي كه بيانگر آدرس اوليه صادركننده پيام نمي باشد ، استفاده مي گردد . در بسياري موارد از spoofing به منظور مخفي كردن منبع بروز يك تهاجم استفاده مي شود. در برخي موارد كه دستيابي به منابع موجود بر روي شبكه بر اساس آدرس متقاضيان انجام مي شود ، مهاجمان با تغيير آدرس مبداء سعي مي نمايند به اينگونه از منابع دستيابي پيدا نمايند .
نقاط آسيب پذير
متداولترين نقاط آسيب پذيري كه شبكه را مستعد اين نوع از حملات مي نمايد عبارتند از :
• ماهيت غيرايمن ذاتي پروتكل TCP/IP
• ضعف در فيلترينگ بسته هاي اطلاعاتي ورودي و خروجي : ترافيك ورودي و خروجي شبكه به درستي كنترل و فيلتر نمي گردد (ingress & egress filtering )
حملات
يك مهاجم مي تواند از ابزارهاي متعددي به منظور تغيير آدرس بسته هاي خروجي استفاده نمايد تا اينچنين وانمود نمايد كه آنها از يك host و يا شبكه ديگر ارسال شده اند .
پيشگيري و مقابله با تهديدات
به منظور پيشگيري و مقابله با اين نوع حملات مي توان از از فيلترينگ egress و ingress بر روي روتر هاي perimeter استفاده نمود .
session Hijacking
با استفاده از اين نوع حملات كه به آنها man in middle نيز گفته مي شود ، مهاجمان مي توانند از يك برنامه براي تغيير شكل ظاهري خود به عنوان يك سرويس گيرنده و يا سرويس دهنده موجه استفاده نمايند . بدين ترتيب ، يك سرويس دهنده و يا سرويس گيرنده واقعي فريب خورده و فكر مي كنند كه با يك host معتبر و مجاز ارتباط برقرار نموده اند . در واقع ، اين نوع كامپيوترهاي ميزبان متعلق به مهاجمان بوده كه سعي مي نمايند با دستكاري شبكه خود را به عنوان مقصد مورد نظر وانمود نمايند . از اين نوع حملات به منظور آگاهي از اطلاعات logon و دستيابي به سيستم و ساير اطلاعات محرمانه استفاده مي گردد .
نقاط آسيب پذير
متداولترين نقاط آسيب پذيري كه شبكه را مستعد اين نوع از حملات مي نمايد عبارتند از :
• ضعف در امنيت فيزيكي
• ماهيت غيرايمن ذاتي پروتكل TCP/IP
• مبادله اطلاعات به صورت رمزنشده
حملات
يك مهاجم مي تواند از ابزارهاي متعددي به منظور انجام عمليات spoofing ، تغيير روتينگ و دستكاري بسته هاي اطلاعاتي استفاده نمايد.
پيشگيري و مقابله با تهديدات
به منظور پيشگيري و مقابله با اين نوع حملات مي توان از روش هاي زير استفاده نمود :
• رمزنگاري Session
• استفاده از روش Stateful inspection در سطح فايروال
DoS
در اين نوع از حملات ، امكان دستيابي كاربران مجاز به يك سرويس دهنده و يا سرويس خاص سلب مي گردد .در حملات DoS لايه شبكه ، معمولا" مهاجمان با ارسال سيلابي از بسته هاي اطلاعاتي امكان استفاده از يك سرويس توسط ساير كاربران را سلب مي نمايند . علاوه بر مشكل فوق ، در چنين مواردي از پهناي باند و منابع موجود بر روي شبكه استفاده بهينه نخواهد شد .
نقاط آسيب پذير
متداولترين نقاط آسيب پذيري كه شبكه را مستعد اين نوع از حملات مي نمايد عبارتند از :
• ماهيت غيرايمن ذاتي پروتكل TCP/IP
• ضعف در پيكربندي روتر و سوئيچ
• باگ در سرويسهاي نرم افزاري
حملات
متداولترين حملات DoS عبارتند از :
• ارسال سيلابي از بسته هاي اطلاعاتي نظير حملات cascading broadcast
• بسته هاي اطلاعاتي SYN flood
• سوء استفاده از برخي سرويس ها
پيشگيري و مقابله با تهديدات
به منظور پيشگيري و مقابله با اين نوع حملات مي توان از روش هاي زير استفاده نمود :
• فيلترينگ درخواست هاي broadcast
• فيلترينگ درخواست هاي ICMP ( برگرفته از Internet Control Message Protocol )
• بهنگام سازي و نصب patches سرويس هاي نرم افزاري
بدون آناليز صحيح تهديدات ، امكان ايجاد يك محيط و يا شبكه ايمن وجود نخواهد داشت .
براي ايمن سازي شبكه از كجا مي بايست شروع كرد ؟
براي ايمن سازي شبكه مي بايست بر روي هر يك از دستگاه هاي استفاده شده در شبكه متمركز و پس از بررسي چالش هاي امنيتي هر يك ، از راهكارهاي خاصي به منظور ايمن سازي آنها استفاده نمود.
همانگونه كه اشاره گرديد در زيرساخت شبكه از روتر ، فايروال و سوئيچ استفاده مي گردد كه مي بايست ضمن آشنائي با جايگاه آنها در يك شبكه با نحوه عملكرد و ايمن سازي آنها از منظر برنامه هاي وب نيز آشنا شويم .