امنيت اطلاعات و ايمن سازي زير ساخت فن آوري اطلاعات ( فردي ، سازماني ، ملي ) از جمله وظايف يكايك كاربران و استفاده كنندگان شبكه هاي كامپيوتري است . به منظور ايمن سازي و ايمن نگهداشتن زيرساخت منابع اطلاعاتي تاكنون مقالات متعددي نوشته شده و توصيه هاي فراواني ارائه شده است . اگر بخواهيم برخي از نكات مهم و كليدي در اين رابطه را ليست نمائيم ، مي توان به ده قانون تغيير ناپذير در اين زمينه اشاره نمود كه صرفنظر از نوع سيستم كامپيوتري، با رعايت آنان يك سطح مطلوب امنيتي و حفاظتي براي كاربران ايجاد مي گردد.
•
قانون اول : زماني كه يك برنامه را جهت اجراء انتخاب مي نمائيد ، در واقع شما اين تصميم را گرفته ايد كه كنترل كامپيوتر خود را به آن واگذار نمائيد . يك برنامه پس از فراهم شدن شرايط لازم جهت اجراء ، قادر به انجام هر كاري مي باشد و حتي مي تواند محدوديت هائي را به منظور استفاده از سيستم براي شما ايجاد نمايد
در صورتي كه يك مهاجم بتواند شما را ترغيب به اجراي برنامه خود بر روي كامپيوتر نمايد ، ديگر كامپيوتر متعلق به شما نخواهد بود . |
•
قانون دوم : يك سيستم عامل (نظير ساير برنامه هاي كامپيوتري) از مجموعه اي صفر و يك تشكيل مي گردد كه پس از تفسير توسط پردازنده ، باعث انجام عمليات خاصي در كامپيوتر مي شود . در صورتي كه صفر و يك ها تغيير يابند، سيستم عامل كارها را بگونه اي ديگر انجام مي دهد . صفر و يك ها در فايل هائي بر روي كامپيوتر شما ذخيره شده اند و اگر يك مهاجم بتواند به آنان دستيابي و آنان را تغيير دهد ، مي تواند مشكلات متعددي را براي سيستم ايجاد نمايد .
در صورتي كه يك مهاجم بتواند سيستم عامل موجود بر روي كامپيوتر شما را تغيير دهد ، ديگر كامپيوتر متعلق به شما نخواهد بود . |
•
قانون سوم : در صورتي كه افرادي بتوانند بطور فيريكي به كامپيوتر شما دستيابي داشته باشند ، مي توانند كنترل كامپيوتر شما را بطور كامل دراختيار گرفته و هر كاري را كه دوست دارند انجام دهند (تغيير داده ، سرقت اطلاعات ، سرقت سخت افزار و يا ايجاد اشكال فيزيكي در كامپيوتر) .
در صورتي كه يك مهاجم بتواند بطور فيريكي به كامپيوتر شما دستيابي داشته باشد ، ديگر كامپيوتر متعلق به شما نخواهد بود. |
•
قانون چهارم : در صورتي كه داراي يك وب سايت مي باشيد ، مي بايست محدوديت هاي لازم در خصوص اين كه كاربران قادر به انجام چه نوع عملياتي مي باشند را ايجاد نمائيد( تائيد كاربران و صدور مجوزهاي لازم با توجه به سطوح دستيابي تعريف شده جهت استفاده از منابع موجود بر روي يك وب سايت ) . بر روي يك وب سايت صرفا" مي بايست برنامه هائي را اجراء نمود كه توسط افراد و يا شركت هاي تائيد شده نوشته شده باشند . در بسياري از موارد رويكرد امنيتي فوق به تنهائي كافي نخواهد بود و در صورتي كه وب سايت شما بر روي يك سرويس دهنده مشترك host شده باشد ، مي بايست اقدامات احتياطي بيشتري را انجام داد . در صورتي كه يك مهاجم بتواند به ساير سايت هاي موجود بر روي يك سرويس دهنده دستيابي نمايد ، در ادامه مي تواند فعاليت خود را گسترش و ساير سايت هاي موجود را نيز مديريت و متناسب با خواسته خود با آنان برخورد نمايد .
در صورتي كه يك مهاجم بتواند فايل هائي را بر روي وب سايت شما ارسال نمايد ، ديگر وب سايت متعلق به شما نخواهد بود . |
•
قانون پنجم : در صورتي كه يك مهاجم بتواند به رمز عبور شما دستيابي پيدا نمايد ، وي مي تواند به كامپيوتر شما log on نموده و هر نوع عملياتي را انجام دهد. سعي نمائيد كه همواره از رمزهاي عبور مناسب و در عين حال پيچيده استفاده نمائيد .رمزهاي عبوري نظير تاريخ تولد ، شماره شناسنامه ، شماره تلفن ، شماره دانشجوئي ، شماره پرسنلي و مواردي از اين قبيل ، گزينه هاي مناسبي در اين زمينه نمي باشند . در ضمن ، هرگز واژه password را به عنوان رمز عبور انتخاب ننمائيد .
رمزهاي عبور ضعيف ، مشكلات امنيتي متعددي را ايجاد مي نمايند و مانع جدي ايجاد يك سيستم ايمن و با ضريب امنيتي بالا مي باشند . |
•
قانون ششم : يك مدير غيرقابل اعتماد مي تواند ساير اقدامات انجام شده در خصوص امنيت اطلاعات را خنثي نمايد . اين نوع مديران با توجه به جايگاه خود قادر به انجام هر گونه عملياتي مي باشند . تغيير مجوزها ، تغيير سياست هاي امنيتي سيستم ، نصب برنامه هاي مخرب و تعريف كاربران خيالي ، نمونه هائي در اين زمينه مي باشد. عملكرد اين گونه مديران تمامي اقدامات پيشگيرانه در سيستم عامل را بي اثر مي نمايد ، چراكه آنان بطور كامل به سيستم دستيابي داشته و قادر به انجام هر نوع عملياتي مي باشند . از همه بدتر ، آنان مي توانند عمليات اشاره شده را بگونه اي انجام دهند كه هيچگونه ردپائي از خود را بر جاي نگذارند . در صورتي كه شما از يك مدير غيرقابل اعتماد استفاده مي نمائيد ، عملا" نمي توانيد امنيت را در سازمان خود ايجاد نمائيد .
يك كامپيوتر و يا سيستم كامپيوتري صرفا" زماني مي تواند ايمن گردد كه مديريت آن در اختيار افراد قابل اعتماد باشد . |
•
قانون هفتم : تعداد زيادي از سيستم هاي عامل و محصولات نرم افزاري رمزنگاري ، اين امكان را فراهم مي نمايند تا بتوان كليدهاي رمزگشائي را به صورت مخفي بر روي كامپيوتر ذخيره نمود .بدين ترتيب كاربران در خصوص مديريت اين كليدها نگران نبوده و همه چيز با استفاده از امكانات نرم افزاري موجود مديريت مي گردد . صرفنظر از اين كه كليدها به چه صورت مخفي شده اند ، همواره اين احتمال وجود دارد كه بتوان به آنان دستيابي داشت . حتي المقدور سعي نمائيد كه از فضاي ذخيره سازي offline براي كليدها استفاده نمائيد ( امكان دستيابي به كليدها توسط ساير كاربران online وجود نداشته باشد ) .
رمزنگاري اطلاعات و رمزگشائي اطلاعات دو كفه يك ترازو مي باشند كه هر يك داراي جايگاه خاص خود مي باشند و نمي توان اهميت يكي را بيش از ديگري در نظر گرفت . بنابراين ، مي بايست به منظور حفاظت از كليدهاي رمزگشائي تدابير لازم انديشيده گردد . |
•
قانون هشتم : نرم افزارهاي آنتي ويروس با مقايسه داده موجود بر روي كامپيوتر با مجموعه اي از الگوهاي ويروس ، قادر به تشخيص آلودگي آنان مي باشند . هر الگو خصايص منحصربفرد يك ويروس را مشخص مي نمايد كه پس از يافتن آن در يك فايل و يا email ، پيام لازم از طرف برنامه دراختيار كاربر گذاشته مي شود . نرم افزارهاي آنتي ويروس صرفا" قادر به يافتن ويروس هائي مي‌باشند كه قبلا" الگوي آنان مشخص و مستند شده باشد . بديهي است با توجه به اين كه بطور مستمر ويروس هاي جديدي نوشته و عرضه مي گردد ، مي بايست برنامه هآي آنتي ويروس را بهنگام نگهداشت تا بتوانند با ويروس هاي جديد نيز برخورد نمايند .
داشتن يك نرم افزار آنتي ويروس بهنگام نشده بهتر از نداشتن يك برنامه آنتي ويروس است . |
•
قانون نهم : بهترين روش حفاظت از حريم خصوصي خود در اينترنت ، رعايت مسائل ايمني است ( مشابه حفاظت از حريم خصوصي خود در زندگي روزمره ) . در زمان استفاده از وب سايت ها قبل از هر چيز privacy آنان را مطالعه نموده و صرفا" با افراد و يا موسساتي ارتباط برقرار نمائيد كه نسبت به privacy آنان شناخت كاملي وجود داشته باشد . در صورتي كه نگران كوكي هستيد ، آنان را غيرفعال نمائيد .
گمنامي مطلق نه در زندگي عادي امكان پذير است و نه در وب |
•
قانون دهم : امنيت كامل نيازمند يك سطح تكاملي قابل قبول است كه در عمل امكان آن وجود ندارد . پياده سازي نرم افزار يك علم غيركامل است و از لحاظ مجازي تمامي نرم افزارها داراي باگ هستند كه برخي از آنان ممكن است باعث ايجاد حفره هاي امنيتي خطرناك در سيستم گردند . حتي در صورتي كه يك نرم افزار به نظر كامل باشد ، نمي تواند تمام مسائل امنيتي را بطور كامل برطرف نمايد . چراكه درصد بسيار زيادي از حملات مبتني بر مهندسي اجتماعي مي باشند كه گرچه ساختار امنيتي يك نرم افزار مي تواند يك سطح حفاظتي مناسب را ايجاد نمايد ولي در مقابله با اين نوع حملات نمي تواند نقش موثري را داشته باشد .
فن آوري هاي موجود را نمي توان به عنوان يك اكسير و يا راه حل جامع به منظور ايجاد يك محيط ايمن در نظر گرفت . |