امنسازی شبکه (Network Security)
طی سنوات اخیر و با افزایش وابستگی به زیرساخت فاوا، امن سازی این سامانهها از اهمیت بالایی برخوردار شده است. شرکت پرشان تک افزار همگام با این موضوع، ارتقاء امنیت را به عنوان یکی از محورهای اصلی فعالیت خود برگزیده است و با تأمین توان فنی و نیروی کارشناسی متخصص، در این زمینه به مشتریان خود خدمت مینماید. در زیر رئوس کلان خدمات این حوزه مرور میشوند.
- تأمین امنیت مراکز نگهداری و پردازش داده (Data-Center)
- امن سازی ارتباطات شبکههای گسترده و سایتهای میزبانی سرور
- امن سازی شبکههای محلی و دسترسی ایستگاههای کاری به شبکه
- راهکارهای امن سازی مسیر انتها تا انتهای مبادله داده ما بین ایستگاههای کاری و سرورها
- استقرار فناوری‌های دیوارهآتش، تجهیزات تشخیص و مقابله با نفوذ و کنترل دسترسی کاربران RAS
- راهکارهای تخصصی احراز هویت، احراز اصالت، واگذاری سطوح دسترسی و ثبت عملکرد AAA
- استقرار فناوری‌های رمزگذاری تبادل داده همچون IPSec و …
- تأمین تمهیدات امنیتی سیستمهای چندرسانه‌ای (VoIP, IP Telephony, Video Conferencing & …)
- دروازههای اتصال به شبکه اینترنت (Internet Gateways)
- سیستمهای Cache، Filtering و …
متدلوژیهای مقابله با نفوذپذیری
شرکت پرشان تک افزار با نگاهی تخصصی به مجموعه کارهای لازم به انجام برای تأمین امنیت فاوا، به استانداردهای در حال توسعه در این حوزه هم تکیه دارد که در این بخش برخی از آن‌ها به عنوان پایه متدلوژی امنسازی مرور میشوند.
OSST (the Open Source Security Testing Methodology Manual)
متدلوژی OSSTM روشی است که نحوه اجرای آزمون‌های امنیت و استفاده از معیارها و استانداردهای موجود را بیان می‌کند . مباحثی که در آزمون‌های OSSTM مورد بررسی قرار می‌گیرند به پنج دسته کلی ذیل تقسیم میشوند:
- کنترل‌های مربوط به اطلاعات و داده‌ها
- سطوح آگاهی امنیتی کارکنان
- سطوح کنترلی در خصوص جرائم رایانه‌ای و مهندسی اجتماعی (Social Engineering)
- شبکههای رایانه‌ای و ارتباطی (مثل دستگاه‌های بی‌سیم –موبایل‌ها و….)
- کنترل‌های مربوط به سطوح فیزیکی و محیطی امنیت (ساختمان‌ها، انواع محیط‌های فیزیکی )
متدلوژی فوق با تمرکز بر روی جزئیات فنی به بررسی اقدامات پیش‌گیرنده، نگهدارنده و مقابله‌کننده پرداخته و در این راستا به معرفی روشهای اندازه‌گیری بر روی نتایج به دست آمده نیز میپردازد .
ISSAF (Information Systems Security Assessment Framework)
متدلوژیISSAF روشی است ساخت‌یافته و جدید که در بررسی و ارزیابی امنیت سیستمهای اطلاعاتی، آن‌ها را به حوزههای مختلف تقسیم نموده و به بررسی و ارزیابی جزئیات در حیطه هر یک از حوزههای مذکور میپردازد. هدف روش مذکور ایجاد ورودی‌های خاص سیستمی به گونه‌ای است که امنیت را در یک سناریوی واقعی مورد بررسی قرار دهد. در حقیقت ISSAF به عنوان روشی اولیه جهت تکمیل ارزیابی امنیتی یک سازمان به کار می رود. البته این روش همچنان در مراحل اولیه اجرایی خود قرار دارد.
آزمون نفوذپذیری : Penetration Test
این متدلوژی به بخش‌های کلی ذیل تقسیم می‌گردد:
- اسکن پورت ها
- کاری که همزمان با اسکن پورت ها جهت بررسی امنیت انجام می‌شود .
- انجام عمل Fingerprint بر روی سیستم
- بررسی و کاوش سرویسها
آزمون نفوذپذیری برنامههای تحت وب
این نوع آزمون مجموعهای از سرویسهایی است که جهت بررسی امنیت برنامههای تحت وب بکار میروند.
این سرویسها عموماً به تشخیص موارد مربوط به موضوعات ذیل می‌پردازند:
- تشخیص نقاط نفوذپذیر و ریسکهای موجود در برنامههای تحت وب به صورت عمومی
- تشخیص نقاط نفوذپذیر شناخته‌شده و یا ناشناخته جهت مبارزه با تهدیدها در فاصله زمانی یافتن راه حل مناسب جهت رفع مشکل امنیتی
- تشخیص نفوذپذیری‌های فنی ( اسکرپتهای سایتها، تشخیص هویت کاربران توسط برنامه، کلمات رمز موجود در حافظه، سر ریز بافرها، مدیریت اختیارات کاربران، دست‌کاری آدرس‌های URLو…)
- تشخیص ریسکهای تجاری (از دست دادن اعتماد مشتری، انتقال غیرمجاز وجوه و سرمایه، ورودهای غیرمجاز به سیستم، استخراج اطلاعات شخصی و…)
با بیان توضیحات فوق وجهت تکمیل موضوع ارائه یک مثال عملی از نحوه ارائه نتیجه اقدامات یک آزمون نفوذپذیری خالی از لطف نیست .
[1] Authentication & Authorization & Accounting