اصول امنيت برنامه های وب

**akbar** Sat Sep 05, 2009 4:21 pm

اينترنت و به دنبال آن وب ، دنيای نرم افزار را دستخوش تحولات فراوانی نموده است . ظهور نسل جديدی از برنامه های كامپيوتری موسوم به "برنامه های وب " از جمله اين تحولات عظيم است . پس از ارائه سرويس وب در سال 1991، وب سايت های متعددی ايجاد گرديد . اينگونه سايت ها به منظور ارائه اطلاعات به مخاطبان خود از صفحات وب ايستا استفاده می كردند . در چنين وب سايت هائی ، امكان تعامل كاربر با برنامه وجود نداشت .

با توجه به اين كه رويكرد فوق با ماهيت و يا روح نرم افزار چندان سازگار نمی باشد ، تلاش های گسترده ای در جهت ايجاد محتويات پويا انجام و متعاقب آن ، فن آوری های متعددی ايجاد گرديد . به عنوان نمونه ، با پياده سازی فن آوری CGI ( برگرفته از Common Gateway Interface ) ، امكان استفاده از برنامه های خارجی به منظور توليد محتويات پويا فراهم گرديد . بدين ترتيب ، كاربران قادر به درج اطلاعات و ارسال آنها برای يك برنامه خارجی و يا اسكريپت سمت سرويس دهنده شدند . برنامه موجود در سمت سرويس دهنده پس از دريافت اطلاعات و انجام پردازش های تعريف شده ، نتايج را توليد و آنها را برای كاربر ارسال می نمود .

رويكرد فوق ،‌ به عنوان نقطه عطفی در برنامه های وب تلقی می گردد چراكه برای اولين مرتبه امكان توليد محتويات پويا در وب سايت ها فراهم گرديد . از آن زمان تاكنون فن آوری های متعددی به منظور توليد برنامه های وب ايجاد شده است . PHP و ASP.NET نمونه هائی در اين زمينه می باشند . صرفنظر از اين كه از كدام فن آوری به منظور ايجاد برنامه های وب استفاده می گردد ، ايمن سازی آنان از جمله اهداف مشترك تمامی پياده كنندگان است .

**akbar** Sat Sep 05, 2009 4:21 pm

زمانی كه در رابطه با امنيت برنامه های وب سخن به ميان می آيد ، تهاجم عليه يك سايت ،‌ سرقت كارت های اعتباری ، بمباران وب سايت ها در جهت مستاصل كردن آنان به منظور ارائه خدمات و سرويس های تعريف شده ، ويروس ها ، تروجان ها ، كرم ها و ... در ذهن تداعی می گردد . صرفنظر از نوع برداشت ما در رابطه با موارد فوق ،‌ می بايست بپذيريم كه تهديدات امنيتی متعددی متوجه برنامه های وب با توجه به ماهيت آنان می باشد . سازمان ها و يا موسساتی كه از اينگونه برنامه ها استفاده می نمايند و يا در صدد طراحی و پياده سازی آنان می باشند ، می بايست به اين نكته مهم توجه نمايند كه ايمن سازی يك برنامه وب ، محدود به بكارگيری يك فن آوری خاص نبوده و فرآيندی است مستمر كه عوامل انسانی و غيرانسانی متعددی می توانند بر روی آن تاثيرگذار باشند .

امنيت برنامه های وب را می بايست با توجه به
نوع معماری و رفتار آنان بررسی نمود

**akbar** Sat Sep 05, 2009 4:22 pm

برداشت های غيرواقعی از امنيت برنامه های وب

متاسفانه به دليل عدم شناخت لازم در خصوص ماهيت برنامه های وب از يك طرف و از سوی ديگر عدم آشنائی لازم با مفاهيم امنيت ،‌ شاهد برداشت های نادرست در خصوص امنيت برنامه های وب می باشيم . اجازه دهيد به چند نمونه در اين خصوص اشاره نمائيم :

lما ايمن هستيم چون از يك فايروال استفاده می نمائيم . اين تصور كاملا" اشتباه است و به نوع تهديد بستگی خواهد داشت . مثلا" يك فايروال قادر به تشخيص داده ورودی مخرب جهت ارسال به يك برنامه وب نمی باشد . فايروال ها دارای عملكردی قابل قبول در رابطه با اعمال محدوديت بر روی پورت ها می باشند و برخی از آنان می توانند همزمان با بررسی اطلاعات مبادله شده ،‌ امكانات برجسته حفاظتی را ارائه نمايند . فايروال ها جزء لاينفك در يك فريمورك امنيتی می باشند ولی نمی توان آنان را به عنوان يك راهكار جامع به منظور ايجاد و برپائی يك محيط ايمن در نظر گرفت .

ما ايمن هستيم چون از SSL ( برگرفته ازSecure Sokets Layer ) استفاده می نمائيم . SSL برای رمزنگاری ترافيك موجود بر روی شبكه يك گزينه ايده آل است ولی قادر به بررسی داده ورودی يك برنامه نمی باشد .

ما ايمن هستيم چون از سيستم عاملی استفاده می نمائيم كه نسبت به ساير سيستم های عامل دارای امنيت بيشتری است . استدلال فوق با فرض درست بودن اصل قضيه ، نادرست و غيرمنطقی است چراكه امنيت يك فرآيند است نه يك محصول . بنابراين با بكارگيری يك محصول خاص ( به عنوان نمونه يك سيستم عامل ) نمی توان اين ادعا را داشت كه ما به يك محيط ايمن به منظور ايجاد برنامه های وب دست يافته ايم .

با رد امنيت يك سيستم عامل نمی توان امنيت يك سيستم عامل ديگر را تائيد نمود.
( من خوبم چون شما بد هستيد ! )

**akbar** Sat Sep 05, 2009 4:22 pm

اولين رسالت امنيت ، حفاظت از سرمايه های يك سازمان است كه ممكن است شامل آيتم های ملموسی نظير يك صفحه وب و يا بانك اطلاعاتی مشتريان و يا آيتم های غيرملموسی نظير شهرت و اعتبار يك سازمان باشد. امنيت يك مسير است نه يك مقصد و به موازات تجزيه و تحليل زيرساخت و برنامه های موجود ، می بايست اقدام به شناسائی تهديدات و خطرات ناشی از آنان نمود . در واقع ، امنيت به مديريت خطرات و پياده سازی يك سيستم به منظور پاسخگوئی و مقابله با تهديدات اشاره داشته و در ارتباط با عتاصر كليدی زير است :

Authentication ، فرآيندی است كه به كمك آن به صورت منحصربفرد سرويس گيرندگان يك برنامه شناسائی می گردند . كاربران ، سرويس ها ، فرآيندها و كامپيوترها ، نمونه هائی از سرويس گيرندگان يك برنامه می باشند . در واقع ، authentication هويت استفاده كنندگان يك برنامه را بررسی می نمايد .

Authorization ، فرآيندی است كه به كمك آن دستيابی سرويس گيرندگان تائيد شده به منابع و عملياتی كه قصد انجام آن را دارند بررسی و مجوز لازم صادر می گردد. فايل ها ، بانك های اطلاعاتی ، جداول ، سطرها ، منابع موجود در سطح سيستم نظير كليدهای ريجتسری و داده پيكربندی ، نمونه هائی از منابع مورد درخواست سرويس گيرندگان می باشند . انجام تراكنش هائی خاص نظير خريد يك محصول ، واريز و انتقال پول از يك حساب به حساب ديگر و يا افزايش اعتبار يك كارت اعتباری از جمله عملياتی می باشند كه می بايست مجوز استفاده از آنان برای سرويس گيرندگان صادر گردد . در واقع ، authorization محدوده مجاز عملياتی را كه يك سرويس گيرنده می تواند انجام دهد را مشخص می نمايد .
Auditing : مميزی موثر و ثبت عمليات انجام شده يكی از اصول مهم در جلوگيری از انجام اعمال خلاف قانون است . بدين ترتيب اين اطمينان ايجاد خواهد شد كه يك كاربر نمی تواند باعث عدم انحام يك كار و يا فعاليت در سيستم گردد و يا يك تراكنش را مقداردهی اوليه نمايد . مثلا" در يك سيستم e-commerce می بايست از مكانيزم هائی استفاده گردد تا اين اطمينان حاصل گردد كه يك مصرف كننده نمی تواند سفارش انجام شده برای خريد يكصد نسخه از يك كتاب را انكار نمايد .
Confidentiality ، كه از آن با نام privacy نيز نام برده می شود ، فرآيندی است كه به كمك آن اين اطمينان ايجاد می گردد كه حريم خصوصی داده رعايت و امكان مشاهده آن توسط كاربران غيرمجاز و يا ساير افرادی كه قادر به رديابی ترافيك يك شبكه می باشند ، وجود نخواهد داشت .
Integrity ، فرآيندی است كه به كمك آن اين اطمينان ايجاد می گردد كه داده در مقابل تغييرات تصادفی و يا تعمدی حفاظت خواهد شد . همانند privacy ، يكپارچگی اطلاعات يك فاكتور اساسی در خصوص امنيت داده محسوب می گردد ، خصوصا" در مواردی كه داده در طول شبكه مبادله خواهد شد . يكپارچگی داده در حال حمل ،‌عموما" با استفاده از روش هائی نظير hashing و يا كدهای تائيد پيام انجام می شود .
Availability ، فرآيندی است كه به كمك آن اين اطمينان ايجاد خواهد شد كه همواره داده برای كاربران مجاز در دسترس و قابل استفاده خواهد بود . در اغلب حملات از نوع DoS ، مهاجمان اين هدف را دنبال می نمايند كه بتوانند امكان استفاده و در دسترس بودن برنامه برای كاربران مجاز را غيرممكن و عملا" آن را از كار بيندازند

**akbar** Sat Sep 05, 2009 4:23 pm

تهديد ( threat ) : به هرگونه پتانسيل بروز يك رويداد مخرب و يا ساير موارد ديگر كه می تواند به سرمايه های يك سازمان آسيب برساند ، تهديد گفته می شود . به عبارت ديگر، هر رويدادی كه بتواند به سرمايه های يك سازمان آسيب برساند ، در زمره تهديدات محسوب می گردد .
نقاط آسيب پذير (vulnerability) : ضعف های موجود در يك سيستم می باشند كه پتانسيل اوليه بروز يك رويداد مخرب را فراهم می نمايند . ضعف در طراحی ، پيكربندی اشتباه ، استفاده از روش های كدينگ غيرايمن مهمترين دلايل ايجاد يك ضعف در سيستم می باشند . ضعف در بررسی صحت داده ورودی توسط كاربر ، نمونه ای از يك لايه آسيب پذير در يك برنامه است كه می تواند زمينه بروز يك تهاجم را فراهم نمايد .
تهاجم (attack) : عملياتی است كه محوريت آن سوء استفاده از نقاط آسيب پذير و پتانسيل های بروز يك رويداد مخرب می باشد . ارسال ورودی مخرب به يك برنامه و يا flooding يك شبكه به منظور از كار انداختن يك سرويس ، نمونه هائی در اين زمينه می باشد .

يك تهديد پتانسيل بروز يك رويداد مخرب را فراهم می نمايد كه می تواند به سرمايه های يك سازمان آسيب برساند

در حالی كه در يك تهاجم موفقيت آميز از نقاط آسيب پذير موجود در سيستم استفاده می گردد

**akbar** Sat Sep 05, 2009 4:23 pm

تا زمانی كه شناخت مناسبی نسبت به تهديدات وجود نداشته باشد ، امكان ايجاد يك برنامه وب ايمن وجود نخواهد داشت . بنابراين قبل از هر چيز لازم است كه با "مدل تهديدات " موجود آشنا شويم . هدف مدل فوق، آناليز معماری و نحوه طراحی برنامه به منظور شناسائی نقاط آسيب پذيری است كه ممكن است به صورت تصادفی توسط يك كاربر ناآگاه و يا مهاجمان با اهداف مخرب مورد سوء استفاده قرار گرفته تا با استناد به آنان بتوانند موجوديت و امنيت سيستم را با خطر مواجه نمايند .

پس از آسنائی با تهديدات ، می بايست با بكارگيری مجموعه ای از اصول امنيتی اقدام به طراحی سيستم نمود . در ادامه ، پياده كنندگان می بايست از روش های ايمن به منظور نوشتن كدهای مطمئن ، مستحكم و قابل اعتماد استفاده نمايند . پس از طراحی و پياده سازی برنامه ، می بايست از يك شبكه ايمن ، يك host مطمئن و يك پيكربندی مناسب بر روی سرويس دهنده ،‌ استفاده گردد .

ايجاد يك برنامه وب ايمن ، مستلزم اقدامات امنيتی چند جانبه ای است كه موفقيت در تمامی آنان ، ايمن بودن برنامه های‌ وب را تضمين خواهد كرد . ايمن سازی شبكه ، host و برنامه ، رئوس مثلث امنيتی ايجاد برنامه های وب ايمن را تشكيل می دهند

**akbar** Sat Sep 05, 2009 4:24 pm

به منظور ايجاد برنامه های وب ايمن ، تبعيت از يك رويكرد جامع امری است الزامی . بنابراين ، می بايست امنيت برنامه های‌ وب را در سه لايه متفاوت بررسی و اقدامات لازم را در هر لايه با توجه به جايگاه آن انجام داد . شكل زير سه لايه مهم به منظور ايجاد برنامه های وب ايمن را نشان می دهد .

وجود يك نقطه آسيب پذير در شبكه به يك مهاجم اجازه می دهد تا كنترل يك host و يا برنامه را بدست بگيرد .
وجود يك نقطه آسيب پذير در host به يك مهاجم اجازه می دهد تا بتواند كنترل يك شبكه و يا برنامه را بدست بگيرد .
وجود يك نقطه آسيب پذير در برنامه به يك مهاجم اجازه می دهد تا كنترل يك host و يا شبكه را بدست بگيرد

**akbar** Sat Sep 05, 2009 4:25 pm

شبكه ، نقطه ورود به يك برنامه وب است و اولين لايه حفاظتی به منظور كنترل دستيابی به سرويس دهندگان متعدد موجود در محيط عملياتی را فراهم می نمايد . با اين كه سرويس دهندگان توسط سيستم های عامل نصب شده بر روی خود حفاظت می گردند ولی نمی بايست به اين موضوع صرفا" اكتفاء نمود و لازم است كه تدابير لازم به منظور حفاظت آنها در مقابل ساير تهديدات ( نظير ارسال سيلابی ‌از بسته های اطلاعاتی از طريق لايه شبكه ) نيز انديشيده گردد .

ايمن سازی شبكه ، شامل حفاظت از دستگاه های شبكه ای و داده مبادله شده بر روی آنها می باشد . روتر ،‌ فايروال و سوئيچ عناصر اوليه زيرساخت يك شبكه را تشكيل می دهند . شكل زير نحوه استفاده از عناصر فوق را در يك شبكه نشان می دهد

يك برنامه وب بر روی يك زيرساخت شبكه ای ايمن فعاليت و به كاربران خود سرويس های لازم را ارائه می نمايد . برای ايمن سازی شبكه ، علاوه بر اين كه شبكه می بايست در مقابل حملات مبتنی بر TCP/IP از خود محافظت نمايد ، بلكه لازم است اقدامات متعدد ديگری نيز در اين رابطه انجام شود . ايجاد اينترفيس های مديريتی ايمن، استفاده از رمزهای عبور قدرتمند ، حصول اطمينان از صحت ترافيك ارسالی از جمله اقدامات ديگر در خصوص ايجاد يك شبكه ايمن می باشد . بدين منظور لازم است كه پورت ها و پروتكل های استفاده شده در هر لايه به دقت بررسی و در صورتی كه وجود آنها غيرضروری تشخيص داده شود و يا استفاده از آنها زمينه بروز تهديداتی را فراهم می نمايد ،‌ می بايست در همان لايه با آنان برخورد و از يك راهكار مناسب امنيتی استفاده گردد .

وجود ضعف امنيتی در يك شبكه زمينه بروز تهديدات متعددی را فراهم می نمايد . بدون شناسائی اينگونه تهديدات ، امكان مقابله منطقی با آنان وجود نخواهد داشت

**akbar** Sat Sep 05, 2009 4:26 pm

يك مهاجم به منظور برنامه ريزی حملات خود به دنبال دستگاه های شبكه ای است كه بر روی آنها پيكربندی ضعيفی اعمال شده است . تنظيمات ضعيف پيش فرض ، دستيابی بدون ضابطه به منابع موجود بر روی شبكه ، وجود دستگاه هائی كه به درستی patch و يا بهنگام نشده اند، حفره های امنيتی متعددی را در يك شبكه ايجاد می نمايد . وجود حفره های امنتيی فوق و عدم برخورد مناسب با آنها ، احتمال موفقيت مهاجمان را افزايش می دهد .
مهمترين تهديدات در يك شبكه عبارتند از :

جمع آوری اطلاعات
sniffing
spoofing
session hijacking
DoS ( برگرفته از Denial of Service )
با آگاهی از ماهيت هر يك از تهديدات فوق و نحوه تاثير آنها بر روی عملكرد شبكه ، می توان امكانات حفاظتی و تدافعی مناسبی را در يك شبكه پيش بينی و پياده سازی نمود.
در ادامه به بررسی مختصر هر يك از تهديدات فوق خواهيم پرداخت

**akbar** Sat Sep 05, 2009 4:26 pm

مهاجمان در اولين مرحله ،‌اقدام به جمع آوری اطلاعات در رابطه با اهداف خود می نمايند . جمع آوری اطلاعات می تواند باعث افشای اطلاعات توپولوژی شبكه ، پيكربندی سيستم و دستگاه های شبكه ای گردد . يك مهاجم می تواند در ادامه با استفاده از اطلاعات جمع آوری شده بر روی نقاط آسيب پذير متمركز و از حفره های امنيتی موجود در جهت تامين خواسته های مخرب خود استفاده نمايد .

نقاط آسيب پذير
متداولترين نقاط آسيب پذيری كه شبكه را مستعد اين نوع از حملات می نمايد عبارتند از :

ماهيت غيرايمن ذاتی پروتكل TCP/IP
پيكربندی ضعيف دستگاه های شبكه ای
استفاده غيرايمن از سرويس هائی كه به وجود آنها در يك شبكه نياز نمی باشد .

حملات
متداولترين حملات مبتنی بر "جمع آوری اطلاعات" عبارتند از :

استفاده از Tracert به منظور تشخيص توپولوژی شبكه
استفاده از Telnet به منظور باز نمودن پورت ها و جمع آوری اطلاعات اوليه
استفاده از پويشگرهای پورت به منظور تشخيص وضعيت پورت ها
استفاده از درخواست های broadcast برای شمارش تعداد host موجود بر روی يك subnet

پيشگيری و مقابله با تهديدات
به منظور پيشگيری و مقابله با اين نوع حملات می توان از روش های زير استفاده نمود :

استفاده از امكاناتی كه اطلاعات اضافه ای را در خصوص پيكربندی نظير نام و شماره نسخه نرم افزار ارائه نمی نمايد .
استفاده از فايروال ها به منظور پوشش سرويس هائی كه نمی بايست در معرض ديد و استفاده عموم قرار داده شوند .

**akbar** Sat Sep 05, 2009 4:27 pm

كه به آن "استراق سمع " نيز گفته می شود ، مانيتورينگ ترافيك شبكه برای داده هائی نظير رمزهای عبور ( رمزنشده) و يا اطلاعات پيكربندی است . با استفاده از يك برنامه packet sniffer ، می توان به سادگی تمامی ترافيك plain text ( رمز نشده ) را مشاهده نمود .

نقاط آسيب پذير
متداولترين نقاط آسيب پذيری كه شبكه را مستعد اين نوع از حملات می نمايد عبارتند از :

ضعف امنيت فيزيكی
ضعف رمزنگاری در زمان ارسال داده حساس و مهم
وجود سرويس هائی كه با يكديگر به صورت متن معمولی ( رمز نشده ) ارتباط برقرار می نمايند .
استفاده از الگوريتم های ضعيف رمزنگاری
حملات
مهاجمان با قرار دادن يك packet sniffer بر روی شبكه می توانند تمامی ترافيك را capture و آناليز نمايند .

پيشگيری و مقابله با تهديدات
به منظور پيشگيری و مقابله با اين نوع حملات می توان از روش های زير استفاده نمود :

استفاده از يك سيستم امنيت فيزيكی مناسب به منظور پيشگيری از نصب دستگاه های مخرب بر روی شبكه
رمزنگاری اطلاعات حساس و ترافيك برنامه بر روی شبكه

**akbar** Sat Sep 05, 2009 4:30 pm

در اين نوع از حملات ، امكان دستيابی كاربران مجاز به يك سرويس دهنده و يا سرويس خاص سلب می گردد .در حملات DoS لايه شبكه ، معمولا" مهاجمان با ارسال سيلابی از بسته های اطلاعاتی امكان استفاده از يك سرويس توسط ساير كاربران را سلب می نمايند . علاوه بر مشكل فوق ، در چنين مواردی از پهنای باند و منابع موجود بر روی شبكه استفاده بهينه نخواهد شد .

نقاط آسيب پذير
متداولترين نقاط آسيب پذيری كه شبكه را مستعد اين نوع از حملات می نمايد عبارتند از :

ماهيت غيرايمن ذاتی پروتكل TCP/IP
ضعف در پيكربندی روتر و سوئيچ
باگ در سرويسهای نرم افزاری

حملات
متداولترين حملات DoS عبارتند از :

ارسال سيلابی از بسته های اطلاعاتی نظير حملات cascading broadcast
بسته های اطلاعاتی SYN flood
سوء استفاده از برخی سرويس ها

پيشگيری و مقابله با تهديدات
به منظور پيشگيری و مقابله با اين نوع حملات می توان از روش های زير استفاده نمود :

فيلترينگ درخواست های broadcast
فيلترينگ درخواست های ICMP ( برگرفته از Internet Control Message Protocol )
بهنگام سازی و نصب patches سرويس های نرم افزاری

بدون آناليز صحيح تهديدات ،
امكان ايجاد يك محيط و يا شبكه ايمن وجود نخواهد داشت

**akbar** Sat Sep 05, 2009 4:30 pm

برای ايمن سازی شبكه می بايست بر روی هر يك از دستگاه های استفاده شده در شبكه متمركز و پس از بررسی چالش های امنيتی هر يك ، از راهكارهای خاصی به منظور ايمن سازی آنها استفاده نمود.

همانگونه كه اشاره گرديد در زيرساخت شبكه از روتر ، فايروال و سوئيچ استفاده می گردد كه می بايست ضمن آشنائی با جايگاه آنها در يك شبكه با نحوه عملكرد و ايمن سازی آنها از منظر برنامه های وب نيز آشنا شويم . در بخش سوم به بررسی موارد فوق خواهيم پرداخت .

**akbar** Sat Sep 05, 2009 4:31 pm

زير ساخت شبكه را می توان به سه لايه متفاوت دستيابی ، توزيع و هسته تقسيم نمود . اين لايه ها شامل تمامی سخت افزارهای مورد نياز به منظور كنترل دستيابی به منابع داخلی و خارجی است . روتر ،‌سوئيچ و فايروال مهمترين عناصر موجود در زير ساخت يك شبكه می باشند .
روتر ، حلقه ارتباطی شبكه به دنيای خارج است و كانال بسته های اطلاعاتی به پورت ها و پروتكل های مورد نياز در برنامه های وب را ايجاد می نمايد . مسئوليت روتر ارسال بسته های اطلاعاتی IP به شبكه هائی است كه به آنها متصل شده است . بسته های اطلاعاتی ممكن است درخواست های ارسالی سرويس گيرندگان به سرويس دهنده وب ، پاسخ به درخواست های ارسالی و يا درخواست های صادره توسط سرويس گيرندگان داخلی شبكه باشد . پيكربندی روتر می بايست بگونه ای انجام شود تا ترافيك غيرضروری و غير مجاز را بين شبكه ها فيلتر نمايد . همچنين ، روتر می بايست در مقابل پيكربندی مجدد غيرمطمئن حفاظت و از اينترفيس های مديريتی ايمن به منظور پيكربندی مطمئن آن استفاده نمود . با توجه به نقش كليدی نرم افزار IOS در روتر ، می بايست همواره آخرين patch و نسخه های بهنگام شده بر روی آنها نصب گردد .
فايروال ، مسئوليت بلاك كردن تمامی پورت های غيرضروری را برعهده داشته و اين امكان را فراهم می نمايد كه ترافيك صرفا" از طريق پورت های شناخته شده انجام پذيرد. فايروال ها به منظور پيشگيری از حملات شناخته شده ، می بايست دارای امكانات مناسبی به منظور مانيتورينگ درخواست های ورودی باشند . فايروال ها با همكاری نرم افزارهائی كه از آنها به منظور تشخيص مزاحمين استفاده می گردد ، قادر به ايجاد يك محيط ايمن عملياتی می باشند . همانند روتر ، فايروال ها بر روی محيطی اجراء می گردند كه مسئوليت مديريت آن بر عهده يك سيستم عامل گذاشته شده است . بنابراين لازم است كه در فواصل زمانی خاص نرم افزارهای تكميلی و بهنگام شده بر روی آنها نصب گردد . همچنين ، مديريت فايروال می بايست از طريق اينترفيس های ايمن انجام و پورت هائی كه به وجود آنها نياز نمی باشد را غيرفعال نمود .
از سوئيچ به منظور تقسيم شبكه به چندين سگمنت استفاده می گردد . سوئيچ دارای كمترين نقش در خصوص ايمن سازی يك شبكه می باشد . يكی از علل طراحی سوئيچ ، بهبود كارآئی و تسهيل در امر مديريت شبكه است

**akbar** Sat Sep 05, 2009 4:32 pm

اولين خط دفاعی در يك شبكه را روتر تشكيل می دهد . روتر علاوه بر قابليت روتينگ بسته های اطلاعاتی می تواند بگونه ای پيكربندی گردد تا بسته های اطلاعاتی را بر اساس نوع آنها شناسائی و آندسته از بسته های اطلاعاتی را كه ممكن است زمينه بروز حملات و تهديدات در يك شبكه را ايجاد نمايد ، بلاك نمايد . نظير ICMP ( برگرفته از Internet Control Message Protocol ) و يا SNMP ( برگرفته از Simple Network Management Protocol ) .
برای پيكربندی روتر با رعايت ملاحظات امنيتی ، اقدامات متعددی را می بايست در هر يك از گروه های زير انجام داد :

نصب آخرين نسخه های بهنگام شده و patch ارائه شده

پروتكل ها
دستيابی مديريت
سرويس ها
تشخيص مزاحمين
مميزی و لاگ نمودن
در ادامه به بررسی هر يك از موارد فوق خواهيم پرداخت

**akbar** Sat Sep 05, 2009 4:32 pm

عضويت در خبرنامه شركت هائی كه از محصولات نرم افزاری و يا سخت افزاری آنها در زيرساخت فن آوری اطلاعات استفاده شده است ،‌ می توان به سرعت از توصيه های امنيتی آنها آگاهی يافت . شركت های معتبر در صورت بروز مشكل در يك محصول سخت افزاری و يا نرم افزاری در اولين فرصت اقدام به ارائه patch مربوطه می نمايند و اين موضوع را از طريق پست الكترونيكی به اطلاع مشتركان خود می رسانند . توجه داشته باشيد كه همواره قبل از بكارگيری نسخه های بهنگام شده در يك محيط عملياتی ، آنها را تست و پس از حصول اطمينان از صحت عملكرد اقدام به نصب نهائی آنها در محيط واقعی نمود

**akbar** Sat Sep 05, 2009 4:33 pm

برخی از حملات نظير DoS به دليل وجود ضعف امنيتی در پروتكل ها اتفاق می افتد . به عنوان نمونه ، مهاجمان می توانند با ارسال سيلابی از بسته های اطلاعاتی سرويس و يا سرويس های ارائه شده توسط يك سرويس دهنده را غيرفعال نمايند. به منظور پيشگيری و پاسخ به موقع به اين نوع از حملات می بايست اقدامات زير را انجام داد :
استفاده از فيلترينگ ورودی و خروجی : بسته های اطلاعاتی مشكوك می تواند بيانگر كنكاش در شبكه ، تهاجم و يا يك كسب آگاهی لازم از وضعيت شبكه موجود توسط يك مهاجم باشد . بسته های اطلاعاتی دريافتی شامل يك آدرس داخلی می تواند نشاندهنده تلاش جهت نفوذ به شبكه و آناليز آن باشد . با اين نوع بسته های اطلاعاتی می بايست در اولين محل ممكن برخورد نمود ( Perimeter network ) . همچنين ، می بايست پيكربندی روتر بگونه ای انجام شود كه صرفا" اجازه خروج بسته های اطلاعاتی با آدرس های IP داخلی معتبر را بدهد . بررسی بسته های اطلاعاتی خروجی ، يك شبكه را در مقابل حملات از نوع DoS محافظت نخواهد كرد ولی اين تضمين را ايجاد خواهد كرد كه حمله ای با محوريت يكی از سرويس گيرندگان شبكه داخلی شكل نخواهد گرفت .
مشاهده ترافيك ICMP از شبكه داخلی : ICMP يك پروتكل stateless است كه اجازه بررسی اطلاعات در دسترس هاست را از يك هاست به هاست ديگر فراهم می نمايد . از پيام های مبتتی بر ICMP در موارد متداول زير استفاده می گردد :
Echo request : مشخص می نمايد كه يك گره IP ( يك هاست و يا روتر ) بر روی شبكه در دسترس است .
Echo reply : پاسخ به يك درخواست ICMP echo
Destination unreachable : به هاست اعلام می شود كه ديتاگرام نمی تواند توزيع گردد .
Source quench : به هاست اعلام می شود كه ديتاگرام ارسالی را با نرخ پائين تری ارسال نمايد ( به دليل شلوغی )
Redirect : به هاست يك مسير روت بهتر اعلام می شود .
Time Exceeded : نشاندهنده اين موضوع است كه عمر مفيد (TTL : Time to live ) يك ديتاگرام به اتمام رسيده است .
بلاك كردن ترافيك ICMP برروی روتر perimeter باعث حفاظت شبكه در مقابل حملاتی نظير Cascading ping floods می گردد . برای بلاك كردن اين پروتكل دلايل قانع كننده متعددی وجود دارد . عليرغم ديد انتقادی امنيتی نسبت به اين پروتكل ، از آن در موارد متعددی نظير اشكال زدائی شبكه استفاده می گردد. بنابراين لازم است كه استفاده از پروتكل ICMP كاملا" كنترل شده باشد .

پيشگيری از پيام های TTL كه اعتبار آنها به اتمام رسيده است با مقادير صفر و يك : برای شمارش تعداد hop بين يك سرويس گيرنده و يك سرويس دهنده ، trace routing از مقادير TTL صفر و يا يك استفاده می نمايد . trace routing ، به مفهوم جمع آوری اطلاعات توپولوژی شبكه است . با بلاك كردن اينچنين بسته های اطلاعاتی ، از ارائه اطلاعات تكميلی كه بيانگر جزئيات شبكه موجود است پيشگيری می گردد .

عدم دريافت و يا فوروارد ترافيك directed broadcast: ترافيك هائی اينچنين قادر به شمارش تعداد هاست موجود بر روی‌ يك شبكه می باشند و از آن به عنوان ابزاری جهت آماده سازی و تدارك حملات DoS استفاده می گردد . بسته های اطلاعاتی كه حاوی آدرس های مبداء زير می باشند را می بايست بلاك نمود :

**akbar** Sat Sep 05, 2009 4:39 pm

پيكربندی روتر از چه مكانی و به چه صورت انجام می شود ؟ كدام پورت ها و اينترفيس ها فعال است و مديران شبكه از چه شبكه و يا هاستی برای پيكربندی روتر استفاده می نمايند ؟ دستيابی به مكان پيكربندی روتر می‌بايست محدود و هرگز از اينترفيس های مديريتی تحت وب بدون رمزنگاری و رعايت مسائل امنيتی نمی بايست استفاده گردد . علاوه بر اين رعايت موارد زير نيز توصيه می گردد :

غيرفعال كردن اينترفيس هائی كه از آنان استفاده نمی گردد : صرفا" می بايست اينترفيس های مورد نياز بر روی روتر فعال گردند .

ايجاد رمزهای قوی: از رمزهای عبور مناسب و قدرتمند به منظور استفاده در هر mode روتر می بايست استفاده گردد . استفاده تركيبی از حروف الفبائی ، اعداد و حروف ويژه به منظور تعريف يك رمز عبور مناسب توصيه می گردد .

استفاده از روتينگ استاتيك : روتينگ ايستا از تغيير اطلاعات موجود در جدول روتينگ پيشگيری می نمايد . يك مهاجم ممكن است بتواند با تغيير مسيرها حملات از نوع DoS را برنامه ريزی و يا درخواست ها را به يك سرويس دهنده مخرب هدايت نمايد .
بازبينی اينترفيس های مديريتی وب : حتی المقدور سعی گردد كه اينترفيس های مديريتی خارجی غيرفعال و از روش های دستيابی داخلی به همراه ليست های دستيابی استفاده گردد .

**akbar** Sat Sep 05, 2009 4:40 pm

بر روی يك روتر پيكربندی شده هر پورت فعال با يك سرويس خاص مرتبط می گردد . به منظور كاهش ميدان عملياتی مهاجمان ، سرويس های پيش فرض كه به وجود آنان نياز نمی باشد را می بايست غيرفعال نمود . به عنوان نمونه سرويس های bootps و finger كه از آنان بندرت استفاده می گردد را می توان غيرفعال نمود . همچنين لازم است پورت های‌فعال بر روی روتر بررسی و پورت هائی را كه به وجود آْنها نياز نمی باشد را غيرفعال نمود

**akbar** Sat Sep 05, 2009 4:41 pm

به صورت پيش فرض ، روتر تمامی عمليات deny را لاگ می نمايد . وضعيت فوق نمی بايست تغيير داده شود .همچنين لازم است كه فايل های لاگ شده به صورت اداواری بررسی تا از وقوع حملات احتمالی پيشگيری بعمل آيد . برخی از روترهای مدرن دارای مجموعه ای از امكانات جديد به منظور انجام عمليات مختلف و آماری بر روی داده لاگ شده می باشند

**akbar** Sat Sep 05, 2009 4:41 pm

به منظور پيشگيری از حملات مبتنی بر TCP/IP ، روتر می بايست قادر به شناسائی زمان بروز يك تهاجم و اعلام آن به مدير سيستم باشد . مهاجمان در ابتدا سعی می نمايند كه با اولويت های امنيتی يك شبكه آشنا شده و در ادامه با تمركز بر روی آنها حملات خود را برنامه ريزی می نمايند . با استفاده از سيستم های تشخيص دهنده مزاحمين ( IDS برگرفته شده از Intrusion Detection Systems ) ، می توان زمان و ماهيت وقوع يك تهاجم را بررسی نمود .

**akbar** Sat Sep 05, 2009 4:42 pm

در اين مطلب ضمن بيان عناصر كليدی موجود در زيرساخت يك شبكه به مسائل امنيتی مرتبط با روتر اشاره گرديد . به منظور پيكربندی ايمن روتر ، اقدامات متعددی را می بايست انجام داد :

نصب آخرين patch و نسخه های بهنگام شده
عضويت در خبرنامه امنيتی توليد كنندگان (سخت افزار، نرم افزار )
بلاك كردن پورت های شناخته شده
كنترل و نظارت بر ترافيك ورودی و خروجی شبكه
مانيتورينگ ترافيك ICMP
مديريت و كنترل ايمن اينترفيس ها
غيرفعال كردن امكان مديريت از طريق وب
استفاده از روتينگ ايستا
غيرفعال كردن سرويس های استفاده نشده نظير bootps و Finger
استفاده از از رمزهای عبور قدرتمند
لاگ كردن فعاليت ها به منظور تشخيص و بررسی ادواری ترافيك غيرطبيعی
مشاهده و كنترل ping بسته های اطلاعاتی با ظرفيت بالا
غير فعال كردن بسته های اطللاعاتی RIP ( برگرفته از Routing Information Protocol در صورت استفاده بر روی روتر مرزی)

**akbar** Sat Sep 05, 2009 4:42 pm

با عضويت در خبرنامه شركت هائی كه از محصولات نرم افزاری و يا سخت افزاری آنها در زيرساخت فن آوری اطلاعات استفاده شده است ،‌ می توان به سرعت از توصيه های امنيتی آنها آگاهی يافت . شركت های معتبر در صورت بروز مشكل در يك محصول سخت افزاری و يا نرم افزاری در اولين فرصت اقدام به ارائه patch مربوطه می نمايند و اين موضوع را از طريق پست الكترونيكی به اطلاع مشتركان خود می رسانند . توجه داشته باشيد كه همواره قبل از بكارگيری نسخه های بهنگام شده در يك محيط عملياتی ، آنها را تست و پس از حصول اطمينان از صحت عملكرد ، اقدام به نصب نهائی آنها در محيط واقعی نمود

**akbar** Sat Sep 05, 2009 4:43 pm

فيلترينگ پورت ها بر روی فايروال روشی موثر و كارآمد برای بلاك كردن بسته های اطلاعاتی مخرب و payload می باشد. امروزه از فناوری های متعددی به منظور فيلترينگ بسته های اطلاعاتی استفاده می گردد . عملكرد اين فايروال ها می تواند ساده نظير فايروال های packet filter باشد كه با بررسی هدر IP در لايه شبكه قادر به فيلترينگ بسته های اطلاعاتی بر اساس آدرس مبداء ، آدرس مقصد و شماره پورت می باشند و يا فايروال های پيچيده نظير فايروال هائی باشد كه قادر به بررسی payload يك برنامه خاص می باشند . در استراتژی دفاع در عمق ، استفاده از فيلترهای لايه ای به عنوان يك روش موثر به منظور بلاك كردن حملات پيشنهاد می گردد .
فايروال ها برای فيلترينگ از روش های متعددی استفاده می نمايند :

Packet filters : اين نوع فيلترها قادر به فيلترينگ بسته های اطلاعاتی بر اساس پروتكل ، آدرس مبداء و مقصد ، شماره پورت مبداء و مقصد و يا نام كامپيوتر می باشند . فيلترينگ بسته های اطلاعاتی IP ايستا می باشد و مبادله داده از طريق يك پورت خاص بلاك و يا امكان پذير می گردد . بسته های اطلاعاتی بلاك شده لاگ می گردد تا در آينده بتوان رفتار غيرطبيعی شبكه را در مقاطع زمانی خاص بررسی نمود . در لايه شبكه ، payload ناشناخته است و می تواند خطرناك باشد . بدين منظور لازم است از نوع های خاصی از فيلترينگ هوشمند استفاده گردد تا امكان بررسی payload و اتخاذ تصميم بر اساس قوانين كنترل دستيابی فراهم گردد .

Circuit-level filters : در اين نوع فيلترها در مقابل بررسی داده payload ، اطلاعات مربوط به session بررسی می گردد . پس از ايجاد يك درخواست توسط سرويس گيرنده و ارسال مستقيم آن برای فايروال ( و يا gateway ) ، در پاسخ gateway يك ارتباط به سرويس دهنده برای وی را مقداردهی اوليه كرده و خود به عنوان يك كارگزار بين دو نقطه ارتباطی ايفای وظيفه می نمايد . اين نوع فيلترها با آگاهی از قوانين اتصال سطح برنامه ها اين اطمينان را ايجاد می نمايند كه صرفا" بين سرويس گيرنده و سرويس دهنده ارتباطات معتبر برقرار می گردد . همانگونه كه اشاره گرديد فيلترهای فوق payload واقعی را بررسی نمی نمايند و در مقابل ، به منظور حصول اطمينان از يكپارچگی بسته های اطلاعاتی و پيشگيری از سرقت session ، اقدام به شمارش تعداد فريم ها می نمايند .
LI dir=rtl>Application filters : فيلترهای هوشمند application قادر به آناليز داده ارسالی برای يك برنامه بوده و می توانند پردازش های مختص برنامه شامل بررسی ، گزينش ، بلاك نمودن ، تغيير مسير و حتی تغيير داده را در زمان ارسال از طريق فايروال انجام دهند . اين نوع فيلترها قادر به ارائه يك سيستم تدافعی مناسب در مقابل حملاتی نظير دستورات غيرايمن SMTP ، تهاجم بر عليه سرويس دهندگان داخلی DNS ، حملات مبتنی بر HTTP ( نظير Code Red و Nimda كه از دانش در ارتباط با برنامه ها استفاده می كردند ) ، می باشند . به عنوان نمونه ، يك application filter قادر به بلاك نمودن يك دستور HTTP DELETE می باشد ولی امكان اجرای دستوری نظير يك HTTP GET را فراهم می نمايد . قابليت گزينش محتويات شامل تشخيص ويروس و آناليز واژه ای ، اين نوع فايروال ها را به عنوان گزينه ای مطلوب در وب مطرح نموده است .

Stateful inspection : فيلترهای Application محدود به دانش Payload يك بسته اطلاعاتی می باشند و صرفا" سيستم تصميم گيری آنها بر اساس payload انجام می شود . فيلترهای Stateful از payload و context آن به منظور تشخيص قوانين فيلترينگ استفاده می نمايند . استفاده از payload و محتويات بسته اطلاعاتی توسط فايروال های فوق، يكپارچگی session و communication را تضمين می نمايد .
Custom application filters : اين نوع فيلترها يكپارچگی مبادله اطلاعات بين سرويس دهنده و سرويس گيرنده را ايجاد می نمايند .
در صورت استفاده از فيلترينگ در چندين سطح شبكه ، امنيت محيط عملياتی بيشتر می گردد . به عنوان نمونه ، از يك packet filter می توان به منظور بلاك نمودن ترافيك IP بر روی هر پورتی غير از پورت 80 استفاده نمود و از يك application filter به منظور اعمال محدوديت در ترافيك بر اساس ماهيت توابع HTTP استفاده نمود ( به عنوان نمونه می توان HTTP DELETE را بلاك نمود )

**akbar** Sat Sep 05, 2009 4:43 pm

تمامی درخواست های ورودی و خروجی را می بايست صرفنظر از قوانين فايروال لاگ نمود تا امكان تشخيص تلاش برای نفوذ در شبكه و يا حملات موفيقت آميزی كه قبلا" اتفاق افتاده و امكان تشخيص آنها وجود نداشته است ، فراهم گردد . مديران شبكه در برخی موارد مجبور خواهند بود به منظور آگاهی از نحوه انجام يك تهاجم موفقيت آميز ، لاگ های سيستم را بررسی تا نقاط ضعف امنيتی موجود را ترميم و سيستم تدافعی خود را مستحكم تر نمايند . برای ايجاد لاگ و مميزی بكارگيری قوانين زير پيشنهاد می گردد :

لاگ نمودن تمامی ترافيكی كه از طريق فايروال انجام می شود

نگهداری ايمن و مطمئن فايل های لاگ و بررسی آن در بازه های زمانی خاص ( حتی المقدور می بايست سعی شود كه حجم فايل های لاگ زياد نگردد چراكه بررسی آنها به همان ميزان به زمان بيشتری نياز خواهد داشت ) .
يكسان نمودن زمان و تاريخ فايروال با ساير تجهيزات شبكه ای

اصول امنيت برنامه های وب

اصول امنيت برنامه های وب

امنيت برنامه های‌ وب و برداشت های اوليه

برداشت های غيرواقعی از امنيت برنامه های وب

امنيت چيست ؟

تعاريف اوليه برخی از اصطلاحات امنيتی : تهديدات ، نقاط آسيب پذير و حملات

چگونه می توان يك برنامه وب ايمن را ايجاد نمود ؟

ايمن سازی شبكه ، host و برنامه

ايمن سازی شبكه

تهديدات

جمع آوری اطلاعات

sniffing

DoS

برای ايمن سازی شبكه از كجا می بايست شروع كرد ؟

عناصر موجود در زيرساخت شبكه

روتر و ملاحظات امنيتی آن

نصب آخرين نسخه های بهنگام شده و patch ارائه شده

پروتكل ها

دستيابی مديريت

سرويس ها

بازبينی و لاگينگ

تشخيص مزاحمين

خلاصه

بهنگام سازی و نصب patches

فيلترها

مميزی و لاگ