هر روز که میگذرد بر علم گسترده و بزرگ کامپیوتر و شبکه اطلاعات بیشتری اضافه میشود.هر روز حفره های گوناگون کشف میشود و پچ های جدید ساخته میشود و...در دنیای امروز دیگر هکرها فکر و ذهن خودشان را به هک کردن سایتها مشغول نمی کنند.
هدف امروز هکرها سرورها و شبکه های گسترده میباشند.با خک کردن یک سرور میزبان میتوان صدها سایت را هک کرد.
وقتی یک شبکه مثلا شبکه لن یک دانشگاه هک میشود٬ می توان با استفاده از ابزار گوناگون به هزار کامپیوتر نفوذ کرد.
با توجه به این موارد باید برای محافظت از سرورهای خود کارهایی انجام داد.سیستم یکی از اقداماتی است که در این زمینه
میتوان انجام داد.
(IDS) تشخیص نفوذ
امنیت اطلاعات در اینترنت
امروزه شبکه جهانی اینترنت و خدمات متنوع آن به عنوان یک ابزار نوین جهت اطلاع رسانی و تجارت الکترونیکی شناخته شده است.
بسیاری از سازمان ها و مؤسسات دولتی و خصوصی، تلاش گسترده ای را برای ورود به دنیای ارتباطات و استفاده از خدمات وسیع اینترنت آغاز نموده اند.
با توجه به خدمات متنوع و مختلفی که اینترنت به کاربران خود ارائه می دهد، تعداد کاربران آن روز به روز رو به افزایش می باشد، طوری که در حال حاضر میلیون ها رایانه در سطح اینترنت به یکدیگر متصل می باشند و خدمات مختلفی را در اختیار کاربران خود قرار می دهند.
با توجه به گستردگی بیش از حد شبکه جهانی اینترنت و عدم امکان استفاده از کنترل مرکزی بر کاربران آن، حفظ امنیت اطلاعات در اینترنت یکی از مسائل مهم و اساسی می باشد زیرا همواره افرادی در دنیا پیدا می شوند که بنا به دلایل مختلفی از جمله ارضای حس کنجکاوی خود، مایل به حمله به اطلاعات موجود در سایت های اینترنت می باشند.
با گسترش تجارت الکترونیکی و استفاده از اینترنت به عنوان ابزار نوین برای تجارت جهانی، مسئله امنیت اطلاعات در اینترنت اهمیت خود را به خوبی نشان می دهد.
سازمان ها و اداراتی که به اینترنت متصل می باشند، برای حفظ اطلاعات خود باید از سیستم های امنیتی خاصی استفاده کنند.
در این زمینه اولین قدم، تعیین یک سیاستگذاری و شیوه امنیتی مناسب می باشد.
مدیریت حفاظت اطلاعات در شبکه های رایانه ای، از سه بخش اصلی تشکیل شده است که عبارتند از: حفاظت اطلاعات در مقابل دسترسی های غیرمجاز، اطمینان از صحت و درستی اطلاعات و اطمینان از در دسترس بودن به موقع اطلاعات.
یکی از روش های حفاظت شبکه های رایانه ای متصل به اینترنت، کنترل دسترسی داخلی و خارجی به خدمات خاص شبکه می باشد.
در این روش با استفاده از یک سیستم خاص به نام دیواره آتشین، سیاستگذاری حفاظتی یک سازمان که به اینترنت متصل می باشد، پیاده سازی می شود.
با استفاده از یک دیواره آتشین، مدیر شبکه امکان دسترسی کاربران غیرمجاز و نفوذگران از بیرون شبکه را به خدمات داخلی شبکه، محدود می سازد.
هر چند استفاده از سیستم های امنیتی، سهولت و دسترسی اطلاعات را برای کاربران مجاز شبکه تا حدی با مشکل روبرو می سازد، ولی جهت حفظ اطلاعات و جلوگیری از دسترسی های غیرمجاز، امری لازم و ضروری می باشد.
انواع مختلف حملات و ابزار کار مخربین در اینترنت
برای مقابله با نفوذ افراد مخرب در شبکه اینترنت، شناخت و بررسی دقیق انواع مختلف و روش های گوناگونی که نفوذ گران برای حملات خود استفاده می کنند، از اهمیت خاصی برخوردار می باشد.
یکی از ساده ترین روش های حمله در اینترنت جعل آدرس IP مبدأ، بسته هایی را به درون شبکه ارسال می دارد که آدرس مبدأ آنها جعلی می باشد و نشان دهنده آدرس یک سیستم داخلی است.
روش مقابله با این نوع حملات آن است که هر بسته ورودی که حاوی یک آدرس مبدأ داخلی است، ولی از درگاه خارجی مسیریاب دریافت شده است، دور انداخته شود.
علاوه بر جعل آدرس IP مبدأ، روش های دیگری از حمله وجود دارند که عبارتند از : حملات مسیریابی مبدأ و حمله به بسته های تکه شده بسته های IP2.
نفوذگران به شبکه، در اولین قدم نگاه دقیقی به نقاط ضعف هر میزبان از لحاظ امنیتی دارند.
برای این کار از ابزار و نرم افزارهای خاصی استفاده می شود و بعد از آن که موفق به نفوذ و حمله به یک سیستم حفاظت شده گردیدند، مدارک و مستندات مربوط به حمله خود را از بین می برند و سپس با استفاده از مکنده های بسته اقدام به جمع آوری نام حساب ها و کلمات رمز مربوط به خدمات FTP و TELNER ، می کنند که این امر امکان گسترش حمله و نفوذ به سایر سیستم ها را فراهم می آورد.
چنانچه نفوذ گر بتواند به قابلیت دسترسی خاصی دست یابد، آنگاه می تواند به پیام های پستی دسترسی یافته و فایل های خصوصی را بدزدد و داده های پراهمیتی را خراب نماید.
در ادامه، برخی از مهم ترین جعبه ابزارها و نرم افزارهایی را که نفوذگران به شبکه برای حملات خود استفاده می کنند، که حتی برخی از آنها به صورت رایگان بر روی اینترنت وجود دارد، معرفی می گردند.
سیستم تشخیص نفوذ چیست؟
سیستم تشخیص نفوذ یک سیستم محافظتی است که خرابکاریهای در حال وقوع روی شبکه را شناسایی میکند.
این خرابکاریها جهت دسترسی غیر مجاز به شبکه یا کاهش کارآیی آن انجام میشود.
یک سیستم تشخیص نفوذ ترافیک شبکه و فعالیتهای را مطلع (Alarm) را با تولید اخطار (Administrator) مشکوک را کنترل میکند و در صورت لزوم سیستم یا مدیرشبکه
میکند.
در برخی موارد سیستم تشخیص نفوذ در مقابل ترافیک مخرب عکس العمل نشان داده و آن را با بلاک کردن دسترسی به شبکه کنترل میکند.
IPکاربر یا منبع آدرس
انواع حملات شبکه ای با توجه به طریقه حمله یک نفوذ به شبکه معمولا یک حمله قلمداد می شود.
حملات شبکه ای را می توان بسته به چگونگی انجام آن به دو گروه اصلی تقسیم کرد.
یک حمله شبکه ای را می توان با هدف نفوذگر از حمله توصیف و مشخص کرد.
این اهداف معمولا از کار یادسترسی غیر مجاز به منابع شبکه است.
(DOS یا Denial of Service) سرویس انداختن حملات از کار انداختن سرویس-1 در این نوع حملات ، هکر استفاده از سرویس ارائه شده توسط ارائه کننده خدمات برای کاربرانش را مختل می کند.
در این حملات حجم بالایی از درخواست ارائه خدمات به سرور فرستاده می شود تا امکان خدمات رسانی را از آن بگیرد.
در واقع سرور به پاسخگویی به درخواستهای بی شمار هکر مشغول می شود و از پاسخگویی به کاربران واقعی باز می ماند.
حملات دسترسی به شبکه-2 در این نوع از حملات، نفوذگر امکان دسترسی غیرمجاز به منابع شبکه را پیدا می کند و از این امکان برای انجام فعالیتهای خود استفاده میکند تا در DOS غیرمجاز و حتی غیرقانونی خود استفاده می کند.
برای مثال از شبکه به عنوان مبدا حملات صورت شناسایی مبدا خود گرفتار نشود.
دسترسی به شبکه را می توان به دو گروه تقسیم کرد: الف– دسترسی به داده : در این نوع دسترسی ، نفوذگر به داده موجود بر روی اجزاء شبکه دسترسی غیرمجاز پیدا می کند.
حمله کننده می تواند یک کاربر داخلی یا یک فرد خارج از مجموعه باشد.
داده های ممتاز و مهم معمولا تنها در اختیار بعضی کاربران شبکه قرار می گیرد و سایرین حق دسترسی به آنها را ندارند.
در واقع سایرین امتیاز کافی را جهت دسترسی به اطلاعات محرمانه ندارند، اما می توان با افزایش امتیاز به شکل غیر مجاز به اطلاعات محرمانه دسترسی پیدا کرد.
این مشهور است.
Privilege Escalation روش به تعدیل امتیاز یا ب- دسترسی به سیستم : این نوع حمله خطرناکتر و بدتر است و طی آن حمله کننده به منابع سیستم و دستگاهها دسترسی پیدا می کند.
این دسترسی می تواند شامل اجرای برنامه ها بر روی سیستم و به کار گیری منابع آن در جهت اجرای دستورات حمله کننده باشد.
همچنین حمله کننده می تواند به تجهیزات شبکه مانند دوربینها ، پرینترها و وسایل ذخیره سازی دسترسی پیدا کند.
حملات اسب ترواها ، و یا استفاده از ابزارهایی جهت تشخیص نقاط ضعف یک نرم افزار نصب شده بر روی سیستم از جمله نمونه های قابل ذکر از این نوع حملات هستند.
: انواع حملات شبکه ای با توجه به حمله کننده حملات شبکه ای را می توان با توجه به حمله کننده به چهار گروه تقسیم کرد: 1- حملات انجام شده توسط کاربر مورد اعتماد (داخلی) : این حمله یکی از مهمترین و خطرناکترین نوع حملات است، چون از یک طرف کاربر به منابع مختلف شبکه دسترسی دارد و از طرف دیگر سیاستهای امنیتی معمولا محدودیتهای کافی درباره این کاربران اعمال نمی کنند..
2- حملات انجام شده توسط افراد غیر معتمد (خارجی) : این معمولترین نوع حمله است که یک کاربر خارجی که مورد اعتماد نیست شبکه را مورد حمله قرار می دهد.
این افراد معمولا سخت ترین راه را پیش رو دارند زیرا بیشتر سیاستهای امنیتی درباره این افراد تنظیم شده اند.
3- حملات انجام شده توسط هکرهای بی تجربه : بسیاری از ابزارهای حمله و نفوذ بر روی اینترنت وجود دارند.
در واقع بسیاری از افراد می توانند بدون تجربه خاصی و تنها با استفاده از ابزارهای آماده برای شبکه ایجاد مشکل کنند.
4- حملات انجام شده توسط کاربران مجرب : هکرهای با تجربه و حرفه ای در نوشتن انواع کدهای خطرناک متبحرند.
آنها از شبکه و پروتکلهای آن و همچنین از انواع سیستم های عمل آگاهی کامل دارند.
معمولا این افراد ابزارهایی تولید می کنند که توسط گروه اول به کار گرفته می شوند.
آنها معمولا پیش از هر حمله ، آگاهی کافی درباره قربانی خود کسب می کنند.
چرا سیستم تشخیص نفوذ؟
بر خلاف نظر عمومی که معتقدند هر نرم افزاری را میتوان به جای سیستم تشخیص تفوذ به کار برد٬ دسنگاههای امنیتی زیر نمیتوانند به جای سیستم تشخیص نفوذ به کار روند: 1- سیستم هایی که برای ثبت وقایع شبکه مورد استفاده قرار میگیرند:مانند دستگاههایی که برای تشخیص آسیب پذیری در جهت از کار انداختن سزویس و یا حملات مورد استفاده قرار میگیرند.
2- ابزارهای ارزیابی آسیب پذیری که خطاها و یا نقاط ضعف در تنظیمات را گزارش میدهند.
(FIREWALL) 3- دیواره های آتش برای تشخیص کرم و ویروس و به طور کلی نرم افزارهای خطرناک(Anti viruses) ویروس یاب ها-4 ساختار و معماری سیستم تشخیص نفوذ سیستم تشخیص نفوذ از سه قسمت اصلی تشکیل شده است: 1- بخش جمع آوری اطلاعات 2- هسته مرکزی(موتور تشخیص) 3- بخش پاسخ دهی (عکس العمل) مناسب در بخش اول سیستم تشخیص نفوذ به جمع آوری اطلاعات بر اساس سیاستهای تعریف شده می پردازد.
در این قسمت جمع با استفاده از آثار ترافیک عبوری و دیده بانی شبکه اطلاعات لازم را جمع آوری (Event Generator)کننده اطلاعات میکند.
در هسته مرکزی٬ اطلاعات رسیده از بخش اول با اطلاعات بانک اطلاعاتی سیستم تشخیص نفوذ و اطلاعات فایل ثبت همراه میشود.
هم چنین هسته مرکزی با فیلتر کردن اطلاعات رسیده از بخش اول٬ داده های غیر (Sys log)وقایع سیستم مرتبط را حذف میکند.سپس تمامی اطلاعات جمع آوری شده را به بخش پاسخ دهی ارسال میکند.
در بخش آخر٬ سیستم با تحلیل نکات رسیده از قسمتهای قبل و با استفاده از سیاستهای تعریف شده٬ پاسخ مناسب را ارائه میکند.
دو روش اصلی برای تشخیص نفوذ به شبکه : (Anomaly IDS) 1- سیستم تشخیص نفوذ مبتنی بر خلاف قاعده آماری روش اول مبتنی بر تعیین آستانه انواع فعالیتها بر روی شبکه است، مثلا چند بار یک دستور مشخص توسط یک کاربر در یک تماس با یک میزبان اجرا می شود.
لذا در صورت بروز یک نفوذ امکان تشخیص آن به علت خلاف معمول بودن آن وجود دارد.
اما بسیاری از حملات به گونه ای هستند که نمی توان براحتی و با کمک این روش آنها را تشخیص داد.
متن[1] مزایا: دزدی را یافت(account) 1- میتوان حملات داخلی یا اشتراکهای کار میکند برای حمله کننده فهمیدن اینکه چه فعالیتی (customize profile) 2- چون سیستم بر پایه پرونده اختصاصی میتواند بکند بدون اینکه هشدار به وجود آید مشکل است.
3- این روش مبتنی بر یک ترافیک خاص نیست و بنابراین یک سیستم تشخیص نفوذ مبتنی بر خلاف قاعده آماری میتواند چنین حمله ای را در اولین بار تشخیص دهد.
معایب: 1- سیستم باید برای هر کاربر یک پرونده اختصاصی ایجاد کند.
2- در زمانی که سیستم آموزش داده میشود تا ترافیک نرمال در شبکه شما چیست٬ شبکه از حمله ها در امان نیست.
3- محافظت و نگهداری از پرونده ها کاری وقت گیر است.
4- مهم ترین مشکل این روش٬ پیچیدگی آن و مرتبط کردن هشدار تولید شده با واقعه ای است که آن را تولید کرده است.
هم چنین تضمینی برای اینکه یک حمله ی خاص تولید هشدار کند نیست.
(Signature Base IDS) 2- سیستم تشخیص نفوذ مبتنی بر امضا یا تطبیق الگو در واقع روشی که در بیشتر سیستمهای موفق تشخیص نفوذ به کار گرفته می شود، سیستم تشخیص نفوذ مبتنی بر امضا یا تطبیق الگو است.منظور از امضا