اخبار شرکت فناوری اطلاعات رجاء

,

استراتژی‌های مدیریت ریسک: گنجاندن WAF‌های ابری

در دنیای دیجیتال امروز، اهمیت محافظت از دارایی‌های آنلاین شما بسیار مهمتر از همیشه است. همانطور که تهدیدات سایبری به طور فزاینده‌ای پیچیده می‌شوند، ادغام اقدامات امنیتی پیشرفته در استراتژی مدیریت ریسک شما، امری ضروری است. یکی از این اقدامات، پیاده‌سازی فایروال‌های کاربردی وب فضای ابری یا Cloud Web Application Firewall (WAF) است. در این مقاله، ما بررسی خواهیم کرد که چگونه WAF‌های ابری می‌توانند استراتژی مدیریت ریسک شما را بهبود بخشند و همچنین نکات عملی را برای ترکیب موثر آنها ارائه دهیم.

‌

درک Cloud WAFs

اساسا WAF‌های ابری راه‌حل‌های امنیتی هستند که برای محافظت از برنامه‌های کاربردی وب در برابر انواع مختلف حملات سایبری، از‌جمله تزریق SQL، اسکریپت بین سایتی (XSS) و حملات Distributed Denial-of-Service (DDoS) طراحی شده‌اند. برخلاف فایروال‌های سنتی که از کل شبکه‌ها محافظت می‌کنند، Cloud WAF به طور خاص بر روی ایمن‌سازی برنامه‌های وب با فیلتر کردن و نظارت بر ترافیک HTTP/HTTPS بین برنامه وب و اینترنت تمرکز می‌کنند.

‌

چرا WAF‌های ابری برای مدیریت ریسک حیاتی هستند؟

١. محافظت در برابر تهدیدات رایج: WAF‌های ابری امکان محافظت قوی در برابر آسیب‌پذیری‌های رایج برنامه‌های وب ارائه می‌دهند. با قوانین امنیتی از پیش پیکربندی شده و به روز‌رسانی‌های منظم، آنها می‌توانند در برابر طیف گسترده‌ای از حملات دفاع کنند و خطر نقض داده‌ها و خرابی‌ها را کاهش دهند.

‌

٢. مقیاس‌پذیری و انعطاف‌پذیری: همانطور که تجارت شما رشد می‌کند، سطح حمله به شما نیز افزایش می‌یابد. WAF‌های ابری به گونه‌ای طراحی شده‌اند که بدون دردسر با ترافیک وب شما مقیاس شوند و بدون در نظر گرفتن حجم درخواست‌ها یا پیچیدگی برنامه‌های وب شما، از محافظت مداوم محصول شما اطمینان حاصل کنند.

‌

٣. نظارت و پاسخ در لحظه: WAF‌های ابری نظارت و تشخیص تهدید را در لحظه ارائه می‌دهند و به شما این امکان را می‌دهند که به حوادث امنیتی احتمالی، سریعا واکنش نشان دهید. این‌رویکرد پیشگیرانه در جهت به حداقل رساندن تاثیر حملات کمک می‌کند و احتمال اختلالات قابل توجه را کاهش می‌دهد.

‌

٤. انطباق و گزارش: WAF‌های ابری می‌توانند با ارائه گزارش‌ها و لاگ‌های دقیق از رویداد‌ها و حوادث امنیتی به اطمینان از انطباق با استاندارد‌هایی مانند GDPR، HIPAA و PCI-DSS کمک کنند.

‌

گنجاندن WAF‌های ابری در برنامه مدیریت ریسک

١. نیاز‌های خود را ارزیابی کنید: نیاز‌ها و خطرات امنیتی سازمان خود را ارزیابی کنید. عواملی مانند حساسیت داده‌هایی که مدیریت می‌کنید، ماهیت برنامه‌های کاربردی وب و تاثیر بالقوه انواع مختلف حملات را در نظر بگیرید. این ارزیابی به شما کمک می‌کند راه‌حل Cloud WAF را انتخاب کنید که با نیاز‌های شما همسو باشد.

‌

٢. راه‌حل مناسب Cloud WAF را انتخاب کنید: همه WAF‌های ابری یکسان ایجاد نمی‌شوند. راه‌حلی را انتخاب کنید که ویژگی‌های متناسب با نیاز‌های شما را ارائه دهد، مانند قوانین امنیتی قابل تنظیم، ادغام با سایر ابزار‌های امنیتی، و پشتیبانی از آخرین اطلاعات تهدید. به دنبال تامین‌کنندگان معتبر با سابقه اثبات شده در امنیت برنامه‌های وب باشید.

‌

٣. ادغام با اقدامات امنیتی موجود: WAF‌های ابری باید مکمل اقدامات امنیتی موجود شما باشند، نه جایگزین. آنها را با ابزار‌های مدیریت ریسک موجود خود، مانند سیستم‌های تشخیص نفوذ (IDS) و اطلاعات امنیتی و راه‌حل‌های مدیریت رویداد (SIEM) ترکیب کنید تا یک وضعیت امنیتی کامل و موثر ایجاد کنید.

‌

٤. نظارت و تنظیم: پس از استقرار Cloud WAF، به طور مداوم بر عملکرد و اثربخشی آن نظارت کنید. به طور منظم گزارش‌های امنیتی را بررسی کنید، الگو‌های ترافیک را تجزیه‌و‌تحلیل کنید، و قوانین امنیتی را در صورت نیاز برای مقابله با تهدیدات نوظهور تنظیم کنید. این ارزیابی مداوم به حفظ حفاظت بهینه از شما، کمک خواهد کرد.

‌

۵. تیم خود را آموزش و رشد دهید: مهم است که تیم‌های فناوری اطلاعات و امنیت شما به خوبی در عملکرد و مدیریت WAF‌های ابری مهارت داشته باشند. ارائه آموزش در مورد بهترین شیوه‌ها برای پیکربندی و نگهداری WAF و همچنین پاسخگویی به حوادث امنیتی، امری ضروری است.

‌

گنجاندن WAF‌های ابری در استراتژی مدیریت ریسک، گامی پیشگیرانه در جهت ارتقای وضعیت امنیتی سازمان شما است. WAF‌های ابری با ارائه حفاظت قوی در برابر حملات برنامه‌های کاربردی وب، مقیاس‌پذیری و نظارت در لحظه، نقش مهمی در حفاظت از دارایی‌های دیجیتال شما ایفا می‌کنند.

با ارزیابی کامل الزامات امنیتی خاص خود، انتخاب راه‌حل مناسب Cloud WAF، و ادغام یکپارچه آن با زیرساخت امنیتی فعلی خود، می‌توانید به طور قابل‌ملاحظه‌ای تهدیدات سایبری را کاهش داده و امنیت کلی آنلاین خود را افزایش دهید.

/توسط
,

نشت اطلاعات و بررسی تمام آنچه که باید درباره آن بدانید

نشت اطلاعات چیست؟

امروزه ارتباط و همکاری بیش از هر زمان دیگری در سازمان‌ها آسان شده است. کارها و وظایف‌، میتوانند از راه دور انجام شوند و به اتوماسیون اداری و اسناد سازمانی حتی از طریق تلفن‌های همراه هوشمند نیز میتوان دسترسی داشت.

تصور پیامدهای افشای داده‌های محرمانه‌ای که در بسیاری از دستگاه‌ها (سرورها، پایگاه های داده، رایانه های رومیزی، لپ تاپ ها، درایوهای USB و تلفن های همراه) وجود داشته و از طریق روش‌های مختلف در حال انتقال هستند، بسیار هولناک است.

نشت اطلاعات در ساده‌ترین حالت، وقتی اتفاق می‌افتد که اطلاعات مهم و حساستان به دست فرد دیگری می‌افتد و شما از نظر شخصی، حرفه‌ای، احساسی یا اقتصادی دچار مشکل می‌شوید.

هر چند گاهی اصطلاح نشست اطلاعات به جای اصطلاح از دست دادن داده (data loss) استفاده می‌شود اما از دست دادن داده بیشتر به معنی این است که داده‌های شما خراب شده یا دچار نقص و مشکلی می‌شوند.

بیشتر اطلاعات محرمانه از چه طریقی نشت پیدا کرده اند؟

جواب این سوال مرورگر است.

مرورگر کامپیوتر دروازه اصلی ورود به اینترنت است و احتمالاً پرکاربردترین اپلیکیشن روی کامپیوتر شمتا به حساب می آید. شاید این موضوع برای شما چندان قابل توجه نباشد چون استفاده از مرورگر تبدیل به یک عادت روزمره شده اما مجرمین سایبری از این موضوع به خوبی آگاه هستند. به همین دلیل این مجرمین از آسیب‌پذیری‌های مرورگر  برای پیدا کردن حفره‌های امنیتی استفاده می‌کنند تا کامپیوتر را به بدافزارهای مختلف آلوده کنند. هدف بدافزارها صرفا خرابکاری نیست چون این کار برایشان سودی ندارد (به‌جز باج افزارها). در واقع هدف اصلی این حملات این است که در فاز اول، کنترل سیستم شما را بدست بگیرند و در فاز بعد حداکثر اطلاعات ارزشمند را از آن استخراج کنند.

انواع اطلاعات قابل نشت

اطلاعاتی که می‌توانند دچار نشت شوند شامل طیف گسترده‌ای بوده و می‌توان آن‌ها را در گروه‌های زیر دسته‌بندی نمود:

  • اطلاعات آماری
  • اطلاعات پروفایلی
  • اطلاعات خبری – تحلیلی
  • دانش علمی – فنی
  • اطلاعات دسترسی به منابع سازمان

چرا مجرمین سایبری به دنبال داده‌های شما هستند؟

احتمالاً حجم بسیار زیاد داده‌هایی که توسط مجرمین سایبری به سرقت می‌روند موجب تعجب شما شده چون از علت سرقت این داده‌ها مطلع نیستید. مجرمین سایبری به دو دلیل اطلاعات مردم را به سرقت می‌برند.

  1. فروش اطلاعات
  2. باج گیری از قربانی ( معمولا در این صورت قربانی تهدید میشود که در صورت پرداخت نکردن مبلغ مورد نظرشان، اطلاعات او را منتشر می‌کنند)

مجرمین سایبری به این دلیل نام کاربری و پسورد ایمیل شما را هک می‌کنند تا به محتویات آن دسترسی پیدا کنند. این افراد می‌توانند از ایمیل‌ها و پیام‌های شما اطلاعات ارزشمندی استخراج کنند مثلا اطلاعات مربوط به اکانت‌های مختلف شما، رسید خریدهای آنلاین (که اغلب اوقات حاوی اطلاعات شخصی زیادی است)، زمان‌بندی سفر و خیلی از جزئیات دیگر…

مجرمین سایبری از کانتکت‌های موجود در ایمیل یا تلفن شما برای افزایش میزان گسترش بدافزارها استفاده می‌کنند بنابراین ممکن است کانتکت‌های شما قربانی کمپین‌های اسپم مختلفی شوند که همه نوع بدافزار را منتشر می‌کنند یا این که قربانی حملات فیشینگ شوند.

مجرمین سایبری اطلاعاتی مثل آدرس پستی، تاریخ تولد و سایر اطلاعات شخصی شما را به سرقت می‌برند تا از این داده‌ها برای ورود به سایر اکانت‌های شما یا جعل هویت (یا به عبارتی سرقت هویت) شما استفاده کنند. به همین دلیل است که این افراد به دنبال صورت‌حساب‌ها، قراردادها و سایر اسناد مهم شما هستند.

چه کار هایی باعث نشت اطلاعات میشوند؟

  1. عدم بروزرسانی مکرر نرم‌افزارها (اپلیکیشن‌ها، مرورگرها و …) سیستم‌عامل به محض انتشار جدیدترین نسخه
  2. عدم استفاده از آنتی‌ویروس و سایر لایه‌های امنیتی برای محافظت در برابر بدافزارهای نسل دوم (مثل فیلتر ترافیک یا traffic filtering)
  3. عدم توجه به امنیت رمز عبور و استفاده از رمز عبور تکراری
  4. استفاده از شبکه‌های وای‌فای عمومی برای کارهایی مثل بانکداری آنلاین و خرید اینترنتی
  5. انتشار اطلاعات شخصی در شبکه‌های اجتماعی یا ایمیل
  6. عدم استفاده از احراز هویت دومرحله‌ای
  7. عدم تنظیم دریافت هشدار از طرف بانک
  8. باز کردن ایمیل‌های ارسال شده از سوی افراد ناشناس
  9. دانلود و باز کردن ضمیمه‌های ارسال شده توسط افراد ناشناس

راهکارهای جلوگیری از نشت اطلاعات

با افزایش بی‌سابقه حجم اطلاعات سازمان‌ها و تعداد دستگاه‌های متصل به اینترنت، مدیریت و محافظت از اطلاعات محرمانه سازمانی تبدیل به یک امر حیاتی شده و نیازمند راهکاری جامع برای حفاظت از اطلاعات است. در این راستا محققان اقدام به ایجاد راهبردهای مختلف جهت جلوگیری از نشت اطلاعات نموده اند که با نام اختصاری DLP ( Data Leakage Preventionیا سامانه جلوگیری از نشت داده) از آن‌ها یاد می‌شود.

DLP یک راهکار فناورانه برای اطمینان از عدم خروج اطلاعات و منابع سازمان از شبکه و فضای ابری آن است. این راهکار شامل راه حل‌ها، فرایندها و سیاست‌هایی است که عملیات انتقال داده‌های حساس را شناسایی، ردیابی و کنترل می‌کند.

/توسط
,

برنامه های محبوب اندرویدی که بدافزار سرقت اطلاعات از آب درآمدند!

محققان اخیراً متوجه شده‌اند که دو اپلیکیشن محبوب مدیریت فایل که در فروشگاه پلی (Google Play Store) چیزی در حدود 1.5 میلیون دانلود و نصب موفق داشته اند، با نام‌های File Recovery & Data Recovery و File Manager بدافزارهای سرقت اطلاعات هستند و داده‌های کاربران را به سرورهای مستقر خود در چین انتقال می‌دهند.

بد افزار های اندروید

اگرچه، Play Store به طور کلی محلی قابل اعتماد برای دانلود اپلیکیشن‌های اندرویدی محسوب می‌شود، اما هر از چند گاهی هکرها موفق می‌شوند که برنامه‌های مخرب و آلوده به بدافزار خود را در این فروشگاه منتشر کنند. این دو اپلیکیشن جدیدترین اپلیکیشن‌هایی هستند که مشخص شده با وجود میلیون‌ها کاربر یک ابزار جاسوسی هستند.

شرکت امنیت سایبری Pradeo با انتشار گزارش جدیدی اعلام کرد که این اپلیکیشن‌های آلوده توسط یک توسعه‌دهنده منتشر شده و بالغ بر 2 میلیون کاربر دارند. به گفته محققان، این دو اپلیکیشن با ظاهر نرم‌افزارهای مدیریت فایل بر روی گوشی کاربر نصب می‌شوند، با این حال در ذات خود کدهای جاسوسی را دارند که اطلاعات مهم کاربر را بی‌سروصدا به سرورهای خود هدایت میکنند.

اپلیکیشن File Recovery and Data Recovery بیشتر از یک میلیون بار از فروشگاه گوگل پلی دانلود و روی گوشی کاربران نصب شده، در حالی که این رقم برای اپلیکیشن File Manager حدود 500 هزار دانلود اعلام شده است.

جمع‌آوری داده‌هایی که برای این برنامه‌ها (بدافزار) منطقی نیست!

در بخش توضیحات مربوط به این دو نرم‌افزار گفته شده که هیچ داده‌ ای از گوشی تلفن  کاربر جمع‌آوری نخواهد شد، اما با این حال محققان شرکت امنیت سایبری Pradeo خلاف این ادعا را ثابت کردند.

بر اساس آنچه در گزارش Pradeo آمده است، بدافزارهای فوق‌الذکر داده‌های شخصی کاربر از جمله موارد ذیل را جمع‌آوری می‌کنند:

  • اطلاعات مربوط به مخاطبین ذخیره شده
  • ایمیل و مخاطبین شبکه‌های اجتماعی
  • تصاویر، صدا‌ها و ویدئوهای جمع‌آوری شده در این برنامه‌ها
  • موقعیت مکانی کاربر به صورت آنی
  • کد کشور
  • نام ارائه‌دهنده شبکه تلفن همراه
  • شماره مربوط به نسخه سیستم‌عامل
  • مدل دستگاه و …

به گزارش Phonearena، این برنامه‌ها اخیراً از Google Play Store حذف شده‌اند، با این حال به نظر می‌رسد که گوشی تعداد بسیار زیادی از کاربران اندرویدی را آلوده کرده‌اند. نیازی به توضیح نیست که اگر این اپلیکیشن‌ها را روی گوشی خود دارید، باید هرچه سریع‌تر آن‌ها را حذف کنید.

/توسط
,

راهکارهای تأمین امنیت نقاط پایانی

براساس مطالعات و اخبار ها، حدود 70 درصد از سازمان‌ها، تجربه حداقل یک حمله به نقاط پایانی (Endpoint Protection) را داشته اند. این حملات معمولاً داده‌ها ویا زیرساخت فناوری اطلاعات آنها را به خطر انداخته است. امروزه مدیریت و ایمن‌سازی نقاط پایانی امری بسیار مهم است. در این مقاله بررسی می‌کنیم که چه گام‌هایی برای ساده‌تر شدن این فرایند باید طی شود.

نقاط پایانی، دروازه‌هایی هستند که مهاجمان از آنها برای رسیدن به داده‌های سازمان‌ استفاده می‌کنند. عدم حفاظت از این نقاط، سازمان‌ را در معرض حملات بالقوه و مخاطرات قرار دادکه و پیامدهای اقتصادی، اعتباری و حقوقی بسیار زیادی برای سازمان به همراه خواهد داشت. ایجاد یک استراتژی امنیتی برای نقاط پایانی، با در پیش گرفتن رویکردهای منسجم جهت حفاظت شروع می‌شود. بهترین روش دسترسی به این هدف، نظارت پیوسته بر تهدیدات، تشخیص و اتوماسیون کارهای امنیتی مهم برای نقاط پایانی است.

نصب وصله‌های امنیتی در اسرع وقت

مدیریت بروزرسانی‌های نرم‌افزاری، به خصوص وصله‌های امنیتی نقاط پایانی، به ایمن‌سازی سازمان در برابر تهدیدات شناخته شده کمک می‌کند. براساس مطالعات و تحقیقات صورت گرفته، حدود 60 درصد از قربانیان رخنه‌ها، خبر از وجود یک آسیب‌پذیری شناخته شده و رفع نشده داده‌اند. عدم نصب وصله امنیتی علت اصلی رخنه اطلاعاتی ذکر شده است.

ظهور اشکال جدید نقاط پایانی مثل اینترنت اشیا، سیاست استفاده از دستگاه های خود در محل کار و سایر آسیب‌پذیری‌ها در سیستم عامل و نرم‌افزارها، منجر به انتشار موجی از وصله‌های امنیتی در 5 سال اخیر شده است.

قرار گرفتن در جریان تازه‌ترین ابتکارات

هکرها و مهاجمان همواره در حال بروزرسانی فناوری و روش‌های خود هستند. شما و سازمان‌تان هم باید همین کار را برای افزایش مقاومت‌ در برابر آنها انجام دهید. باید همواره در جریان تازه‌ترین ابتکارات دنیای IT با استفاده از بروزرسانی‌های امنیتی، رعایت استانداردها و راهکارهای امنیتی باشید. پیشرفت‌های ایجاد شده در حوزه اتوماسیون، یادگیری ماشینی و غیره، به روان شدن امنیت نقاط پایانی کمک کرده و حجم تشخیص‌های مثبت کاذب را کاهش می‌دهد. تیم‌های امنیت و آی‌تی هم می‌توانند با منابع کمتر، کارهای بیشتری انجام دهند.

در نظر گرفتن امنیت نقاط پایانی به عنوان یک اولویت

امنیت نقاط پایانی باید اولویت باشد. از جهات مختلف، نقاط پایانی گوناگون تبدیل به محیط شبکه شده‌اند اما برای بسیاری از سازمان‌ها این طور نیست. امنیت نقاط پایانی فقط از یک کسب‌وکار حفاظت نمی‌کند بلکه اعتبار آن را حفظ میکند، به مشتریان اطمینان خاطرمیدهد و فرایندهای کاری را روان می‌کند. بدون اولویت‌بندی‌های مورد نیاز برای امنیت سایبری، احتمالاً تلاش جهت حفظ امنیت نقاط پایانی چندان مؤثر نخواهد بود.

در ادامه به بررسی آماری حملات به نقاط پایانی میپردازیم:

81 درصد از سازمان‌ها، یک حمله به نقاط پایانی را تجربه کرده‌اند که شامل نوعی بدافزار بوده است.

79 درصد از افرادی که برای کسب‌وکار سفر می‌کنند، دستگاه‌شان را به یک پورت USB یا پایانه شارژ عمومی متصل کرده‌اند.

33 درصد از کارمندان برای دورکاری از یک گوشی هوشمند یا کامپیوتر شخصی استفاده می‌کنند.

فقط 47 درصد از سازمان‌ها، به صورت شبانه‌روزی بر شبکه‌های خودشان نظارت دارند.

موارد بررسی شده فقط تعدادی نکات و مراحل ساده بودند که به حفاظت از امنیت نقاط پایانی سازمان شما کمک می‌کنند. سازمان‌ها باید برای حفاظت کامل از خود در برابر تهدیدات رو به رشد نقاط پایانی، از راهکارهای قدرتمند جدید استفاده کنند.

/توسط
,

حملات API در سال ۲۰۲۲ به مهم‌ترین تهدید سایبری تبدیل شدند

چشم انداز تهدیدات سایبری در حال تغییر است.

ما اکنون با نوع جدیدی از تهدید روبرو هستیم که از رابط های برنامه نویسی برنامه (API) به عنوان عامل حمله اولیه استفاده می کند. این حملات پیچیده و مخرب هستند و در حال حاضر در صنایع مختلف گسترش یافته اند.

طبق  گزارشی  از گارتنر، امسال سالی است که API ها به عامل حمله پیشرو برای برنامه های کاربردی وب سازمانی تبدیل خواهند شد. از آنجایی که کسب‌وکارها به انتقال بیشتر عملیات خود به فضای ابری ادامه می‌دهند و داده‌های بیشتری به API منتقل می‌شوند، شاهد افزایش زیادی در حملات مبتنی بر API هستیم.

سازمان‌ها از API ها برای ساخت برنامه‌های کاربردی پیچیده استفاده می‌کنند که به‌عنوان پایه‌ای برای مدل‌های کسب‌وکارشان عمل می‌کنند، زیرا آنها روشی مؤثر برای استفاده از داده‌ها و عملکرد ارائه‌شده توسط برنامه‌ها و خدمات دیجیتال سازمان ارائه می‌دهند.

آنها به دلیل توانایی آنها در ارائه اتصال بین سیستم های متفاوت محبوب تر می شوند. به عنوان مثال، یک API برای یک بانک می تواند به شما امکان دسترسی به اطلاعات حساب خود را از یک برنامه تلفن همراه یا وب سایت بدهد. علاوه بر این، شرکت ها ممکن است از API ها برای فرآیندهای داخلی، مانند مدیریت صورتحساب یا موجودی استفاده کنند.

این فقط در مورد آسان کردن یا سریعتر کردن کار نیست. این در مورد ایجاد فرصت های جدید برای نوآوری و رشد از طریق یکپارچه سازی با دیگر پلتفرم ها یا خدمات خارج از کنترل سازمان است. اما، از آنجایی که شرکت‌ها API را برای خدمت به عنوان هسته مدل‌های کسب‌وکار خود اتخاذ می‌کنند، اغلب جنبه‌ای حیاتی از امنیت API را نادیده می‌گیرند.

مشکل API ها این است که توسط بسیاری از برنامه ها و افراد استفاده می شود.  API ها را می توان به طرق مختلف مورد استفاده قرار داد و آنها را به هدف اصلی هکرها تبدیل می کند.

روند حملات مبتنی بر API در سال های اخیر رشد قابل توجهی داشته است.

گزارش ها  حاکی از آن است که 95 درصد از شرکت ها در 12 ماه گذشته یک حادثه امنیتی API داشته و مطالعه دیگری  نشان می‌دهد که آسیب‌پذیری‌های API سالانه ۷۵ میلیارد دلار برای کسب‌وکارها هزینه دارد.

تهدیدهای رایج برای امنیت API عبارتند از:

بدافزار و حملات DDoS : حملات  انکار سرویس توزیع شده (DDoS) شامل ارسال حجم زیادی از ترافیک به وب سایت مورد نظر برای غلبه بر آن است که باعث از کار افتادن یا غیرقابل استفاده شدن آن می شود. حملات DDoS را می‌توان توسط بات‌نت‌ها انجام داد . گروه‌هایی از دستگاه‌های IoT که توسط بدافزار در معرض خطر قرار گرفته‌اند و به ربات‌هایی تبدیل شده‌اند که درخواست‌ها را به عقب و جلو ارسال می‌کنند. سایر حملات بدافزار شامل تزریق SQL است.

مدیریت نامناسب دارایی‌ها:   نسخه‌های قدیمی‌تر API آنها را در برابر حملات و نقض داده‌ها باز می‌کند. این شبیه به اسناد نامناسب است که داده‌های حساس را در معرض تهدیدات ناشناس قرار می‌دهد و یافتن آسیب‌پذیری‌هایی را که باید اصلاح شوند چالش برانگیز می‌کند. مهاجمان ممکن است نسخه‌های غیر تولیدی API مانند نسخه‌های مرحله‌ای، آزمایشی یا بتا را بیابند و از آنها در حمله استفاده کنند.

پیکربندی نادرست API  ها : هنگامی که یک برنامه وب به گونه ای پیکربندی می شود که داده ها و عملکردهایی را که می تواند در یک حمله مورد استفاده قرار گیرد در معرض دید قرار می دهد، گفته می شود که دارای پیکربندی اشتباه امنیتی است. مهاجمان ممکن است از سرورهای API با تنظیم نادرست، از جمله سیستم‌های وصله‌نشده یا فایل‌ها و پوشه‌های محافظت‌نشده سوء استفاده کنند. این شامل هدرهای HTTP نادرست، تنظیمات پیش‌فرض ناامن، پیام‌های خطای پرمخاطب و غیره است.

هر سازمانی باید تمام اقدامات ممکن را برای ایمن سازی API های خود در هر سطح انجام دهد، از جمله محافظت از آنها در برابر تهدیدهای خارجی و سوء استفاده داخلی. در غیر این صورت، آنها خود را در معرض نقض احتمالی مانند مواردی که  Uber  و  Equifax  تجربه کردند، در معرض خطر قرار می‌گیرند.

سازمان‌ها باید از راه‌حل‌های امنیتی API برای تشخیص زمانی که یک کاربر احراز هویت شده و تلاش می‌کند تا دسترسی غیرمجاز به داده‌های کاربر دیگر را برای جلوگیری از حملات BOLA به دست آورد، استفاده کنند. این اتفاق نیاز به بررسی دقیق همه گزینه‌های احراز هویت API را نشان می‌دهد. هر جریان API باید فرآیند احراز هویت استاندارد خود را با استفاده از راه حل امنیتی API ارزیابی کند.

آمارهای جهانی به یک روند واضح اشاره می کنند: هرچه به سمت آینده حرکت می کنیم عامل های حمله ابری API بیشتر و بیشتر رایج می شوند. برای محافظت واقعی از برنامه ها و کاربران خود در برابر عوامل مخرب، مشاغل امروزی باید API ها را در برابر تهدیدات در هر سطح از سازمان خود تقویت کنند.

 

/توسط
,

High availability چیست؟

 

High availability یا به اختصار HA در شبکه به معنی تلاش برای بالا بردن سطح دسترسی پذیری و افزایش زمان uptime یک دستگاه است. یک دستگاه برای high available بودن، باید بتواند هنگام بروز مشکل، در سریع‌ترین زمان ممکن آن را شناسایی کند و اگر یک سرویس به این دلیل از دسترس خارج شده بود، برای آن جایگزینی داشته باشد و تا زمان رفع مشکل به درخواست‌های کاربران پاسخ بدهد. از آن‌جایی که امکان بروز یک مشکل در برنامه‌ی در حال اجرا،‌ یا برای سرور‌های سرویس ‌دهنده همیشه وجود دارد، عملا مدت زمان uptime سرویس‌ها هیچ‌وقت 100% نخواهد بود. ولی هرچه این مقدار به 100 نزدیک‌تر باشد به این معنی است که سرویس ارایه شده پایدار‌تر است.

یکی از راه‌های پیاده‌سازی HA، استفاده از redundancy یا افزونگی است. به این معنی که برای هر سرویس ارایه شده، حداقل دو پشتیبان وجود داشته باشد. شیوه‌ی توزیع ترافیک بین دو پشتیبان می‌تواند متفاوت باشد. در یکی از معماری‌ها به نام active-active، هر دو پشتیبان به طور هم‌زمان ترافیک ورودی و درخواست‌های کاربران را دریافت می‌کنند و زمانی که یکی از آن‌ها به هر دلیلی از دسترس خارج شود، تمام ترافیک تا زمانی که اشکال به وجود آمده برطرف شود، به پشتیبان دوم ارسال می‌شود. در مقابل، در معماری active-passive، در شرایط عادی تنها یکی از پشتیبان‌ها درخواست‌ها را دریافت می‌کند و پشتیبان دیگر در زمان بروز مشکل، جایگزین آن می‌شود که در حال حاضر Raja PAM از معماری active-passive استفاده می کند.

با استفاده از افزونگی از به جود آمدن تک نقطه‌ی شکست یا SPOF (single point of failure) جلوگیری می‌شود. وجود SPOF به معنی ساختار سیستم دستگاهی است که هیچ جایگزینی ندارد و اگر از دسترس خارج شود، برای مدتی سرویسی که ارایه می‌کند، قطع می‌شود. برای نمونه، شبکه‌ای از سرور‌ها را در نظر بگیرید که در آن یک فایروال وظیفه‌ی کنترل ترافیک ورودی را برعهده دارد. اگر فایروال برای مدتی خاموش شود، احتمالا سرور‌ها قادر به دریافت ترافیک ورودی یا حتی ارسال بسته نیستند و اگر چنین اتفاقی رخ دهد،‌ حمله‌ کردن به این سرور‌ها بسیار راحت‌تر از قبل خواهد بود.

 

چرا high available بودن اهمیت دارد؟

همان‌طور که پیش‌تر بیان شد،  HA بودن یک سرویس سبب می‌شود  در زمان بروز مشکل‌های غیرقابل پیش‌بینی، سرویس دادن به کاربران هم‌چنان ادامه داشته باشد.

در رابطه با ذخیره کردن اطلاعات و نگه‌داری پایگاه‌های داده، این موضوع اهمیت بیش‌‌تری پیدا می‌کند. زمانی که یک سرویس دچار مشکل می‌شود، تا هنگامی که مشکل برطرف شود، به درخواست‌های کاربران پاسخ داده نمی‌شود. ولی زمانی که یک پایگاه داده از دسترس خارج می‌شود یا عملکردی مانند قبل ندارد، احتمالا اطلاعات و داده‌های کاربران تا زمان رفع مشکل ذخیره نخواهند شد. مشکل اساسی‌تر هنگامی اتفاق می‌افتد که تمام داده‌هایی که روی یک حافظه وجود دارند، از بین بروند. در این شرایط اگر این اطلاعات روی هیچ حافظه‌ی دیگری وجود نداشته باشند، به طور کلی از بین می‌روند و شاید دیگر قابل برگشت نباشند.

 

نحوه طراحی سیستم‌های High availability

در دنیای آمار و احتمال و ریاضی چیزی به اسم 100 درصد وجود ندارد. نمی‌توان انتظار داشت که در صددرصد مواقع حالتی مطلوبی رخ دهد. نمی‌توان تصور کرد که حتی یک ماشین تمامی وظایف خود را در 100 در 100 زمان به‌خوبی انجام دهد. غیرممکن است که در سیستم و سرویسی نمره 100 از 100 را در عملکرد آن ثبت کرد. مطلوب‌ترین حالت ممکن، نزدیک‌ترین عدد ممکن به صد خواهد بود که در High availability این عدد 99.999 است.

یعنی در دسترسی‌های سطح بالا انتظار می‌رود که به‌احتمال 1 هزارم امکان ازدست‌رفتن دسترسی وجود دارد. این رقم قابل‌قبول و حتی بسیار مطلوب بوده و تا میزان زیادی اطمینان و اعتماد به یک service را برآورده می‌سازد. اما برای رسیدن به آن، باید 3 نکته مهم و اساسی را در طراحی سیستم‌های HA در نظر داشت :

  • نبود نقطه شکست یکتا
  • Crossover قابل اعتماد
  • تشخیص شکست

 

نبود نقاط شکست یکتا

منظور از نقاط شکست، اجزاء مختلفی از سیستم‌ها و سرویس‌ها بوده که در صورت خرابی و ازدست‌دادن آن‌ها، کل سیستم  سرویس از دسترس خارج خواهد شد. حال در طراحی سیستم‌های دسترسی بالا باید این نکته مهم را در نظر داشت که در کل سیستم نباید حتی یک نقطه شکست تنها وجود داشته باشد. یعنی اجزائی که نقطه شکست محسوب می‌شوند، حداقل باید ۲ عدد از آن‌ها وجود داشته باشد .

برای مثال در شبکه (network) سازمان‌ها و شرکت‌ها، سرور یک نقطه شکست است. زیرا در صورت خرابی آن نتورکی وجود نخواهد داشت. از‌این‌رو در طراحی High availability یک شبکه  باید از ۲ سرور (حداقل) استفاده کرد تا ریسک ازدست ‌رفتن سیستم کاهش یابد.

 

Crossover معبر قابل‌اعتماد

معبر یا crossover مولفه‌ای است که به‌عنوان راه ‌حل پشتیبان از آن یاد می‌شود. مانند استفاده از Y به‌جای X برای جلوگیری از آفلاین شدن سرویس یا سیستم در زمانی که X را از دست دهیم.

تشخیص شکست

دو نکته بالا برای جلوگیری از قطع دسترسی کامل سرویس‌ها در زمان شکست اجزاء بودند، درحالی‌که تشخیص شکست، بیشتر به‌منظور بهبود عملکرد HA استفاده می‌شود. یعنی در یک سرویس و سیستم باید شکست‌ها و خرابی‌ها قابل‌مشاهده باشند تا هم به‌سرعت تعمیر شوند و هم در آینده از وقوع دوباره آن‌ها تاحدامکان جلوگیری کرد.

 

برای اطمینان از تحقق High availability، علاوه بر سه نکته مهم و اساسی ذکر شده، استفاده از سیستم متعادل‌کننده بار نیز در طراحی دسترسی بالا لازم است. زمانی که کاربران زیادی از سرویس ارائه شده استفاده می‌کنند، نیاز است تا حجم بالای درخواست‌ها دریافتی و پاسخ‌های ارسالی بر اساس منابع موجود متعادل شود.

نحوه کارکرد HA

PAM را در دو سرور مجزا deploy میکنیم. به pam اصلی لایسنس ha-master و به دومین سرور pam ،لایسنس ha-slave را اختصاص میدهیم.

نکته :HA Raja PAM  از معماری active-passive استفاده می کند.

تنظیمات

به سرور pam master رفته:

از منوی side bar وارد setting شده سپس به بخش high availability میرویم.

  • صفحه ی باز شده تنها یک قسمت دارد که با فشردن دکمه ی refresh یک secret code ساخته میشود.

به سرور pam slave رفته:

از منوی side bar وارد setting شده سپس به بخش high availability میرویم.

صفحه ی باز شده 5 آیتم دارد:

  • Master URL Address: در واقع همان آدرس ip سرور pam master که بصورت -> Http://ip server master / data-service وارد میشود.
  • Master Secret:  همان Secret Code   تولید شده را در این بخش می گذاریم.
  • Sync Interval Minutes: چند ثانیه یکبار میخواهید pam slave با pam master همگام سازی شود؟
  • High Availibility Sync Activate: برای انجام عملیات همکام سازی باید این گزینه فعال باشد.
  • Last Sync AT: آخرین زمانی که PAM SLAVE و PAM MASTER همگام سازی شده است.

چگونگی کار

طبق Sync Interval Minutes که در قسمت pam slave انتخاب کردیم هر n ثانیه یک بار pam slave به pam master متصل می شود و اطلاعات را در پایگاه داده خود ذخیره میکند.

هنگامی که به هر دلیلی PAM Master از سرویسی ارائه ندهد PAM Slave جای آن را می گیرد و کاربران می توانند از PAM Slave بدون  downtime از PAM  استفاده نمایند.

 

 

 

 

/توسط

مشارکت در توسعه زیرساخت های شبکه دولت با بیش از بیست هزار Node

شبکه دولت، مجموعه‌ای امن، قابل اطمینان و با پهنای باند مناسب از زیرساخت‌های ارتباطی، سخت‌افزاری و نرم‌افزاری استاندارد با برخورداری از سرمایه‌های معنوی و بر اساس قوانین، مقررات و توافقات است که به هدف تسهیل، تسریع و امن سازی تبادل اطلاعات بین ذی‌نفعان و ارائه خدمات الکترونیکی به آن‌ها، در لایه‌های عمومی و اختصاصی با رعایت الزامات امنیتی متناسب با سطوح دسترسی ایجادشده است.

در تعریف فوق نکات زیر حائز اهمیت است:

  • در تعریف فوق امنیت به مفهوم رعایت محرمانگی (تنها کاربران یا سیستم‌های مجاز اجازه و قابلیت دسترسی به اطلاعات محافظت‌شده را دارا باشند)، صحت (سرمایه‌های داده‌ای تنها توسط عامل‌های احراز هویت شده و یا راه‌های تأییدشده، دست‌کاری شوند) و در دسترس بودن (به معنای دسترسی به‌موقع به داده‌ها و منابع توسط افراد مجاز) می‌باشد.
  • در تعریف فوق، قابلیت اطمینان به معنای توانایی عملیاتی نگه‌داشتن خدمات شبکه دولت باقابلیت عملکردی مناسب در طول زمان می‌باشد.
  • در تعریف فوق پهنای باند مناسب به معنای شبکه پهن باند است که قابلیت انتقال انواع داده و اطلاعات اعم از متن، صدا و تصویر را دارا می‌باشد.
  • در تعریف فوق زیرساخت‌های ارتباطی شامل کانال‌های ارتباطی اعم از فیبر نوری، اترنت، کابل کواکسیال، زوج سیم و سایر بسترهای مخابراتی می‌شود. زیرساخت سخت‌افزاری، شامل تجهیزات مخابراتی و سخت‌افزارهای سوییچینگ، مسیریاب، سرورها، تجهیزات امنیتی و ذخیره‌سازی می‌شود. زیرساخت نرم‌افزاری نیز، شامل انواع سامانه‌های نرم‌افزاری موجود بر روی شبکه دولت اعم از سامانه‌های کاربردی، ارتباطی، امنیتی، زیرساختی می‌شود.
  • تمامی زیرساخت‌های ارتباطی، سخت‌افزاری و نرم‌افزاری که در شبکه دولت مورد استفاده قرار می‌گیرند باید در چارچوب استانداردهای اختصاصی شبکه دولت اعم از استانداردهای فنی، تعامل‌پذیری و مدیریتی ارائه شوند.
  • سرمایه‌های معنوی در شبکه دولت طیف گسترده‌ای از کاربران، نیروی انسانی (مدیران و کارشناسان)، دارایی‌های فکری، مستندات، داده‌ها، اطلاعات و سایر دارایی‌های غیر مشهود را شامل می‌شود. سرمایه‌های معنوی با گذر زمان رشد چشم‌گیری داشته و ارزش افزودهٔ زیادی به شبکه دولت اضافه خواهند کرد که همین امر منجر به توجیه اقتصادی هزینه‌های توسعه و نگهداری شبکه دولت می‌شود.
  • شبکه دولت، به عنوان طرح ملی باید بر اساس قوانین، مصوبات، آیین‌نامه‌ها و دستورالعمل‌های اجرایی توسعه و پشتیبانی یابد و در سایر مصوبه‌ها و قوانین به عنوان زیرساخت اصلی ارتباطی بین دستگاهی به رسمیت شناخته شود.
  • شبکه دولت به دلیل حذف مکاتبات کاغذی برای تبادلات اطلاعات بین ذی‌نفعان می‌تواند منجر به تسریع این تبادلات شود. همچنین به دلیل ارائه خدمات متنوع در قالب این شبکه برای پشتیبانی از تبادلات اطلاعات بین دستگاه‌های کشور، این شبکه منجر به تسهیل تبادل اطلاعات خواهد شد. در نهایت به دلیل جدا بودن زیرساخت این شبکه از اینترنت، و رعایت الزامات امنیتی متناسب با سطوح دسترسی، این شبکه می‌تواند منجر به امن‌سازی تبادل اطلاعات بین ذی‌نفعان شود.
  • خدماتی که بر روی شبکه دولت ارائه خواهند شد، به لحاظ امنیت، مقیاس‌پذیری و ماهیت کاربران در دو گروه عادی و طبقه‌بندی شده قرار می‌گیرند. خدمات طبقه‌بندی شده به گروه محدودی از ذی‌نفعان ارائه خواهند شد که رعایت الزامات امنیتی حداکثری در مورد آن‌ها حائز اهمیت بیشتری خواهد بود و خدمات عادی به تمامی ذی‌نفعان ارائه خواهند شد که مقیاس‌پذیری شبکه و تعامل‌پذیری با سایر شبکه‌های موجود در مورد آن‌ها حائز اهمیت بیشتری خواهند بود. لذا به منظور پوشش مناسب این خدمات، شبکه دولت در دو لایه عمومی جهت ارائه خدمات عادی و اختصاصی جهت ارائه خدمات طبقه‌بندی شده توسعه خواهد یافت.

نهاد ریاست جمهوری ستاد اداری رییس‌جمهور برای اداره و مدیریت کشور است با توجه به نقش فناوری اطلاعات در کمک به انجام مطلوب مأموریت‌های اصلی نهاد، شبکه دولت برای ایجاد جریان اطلاعات صحیح و بهنگام جهت تصمیم‌سازی به‌منظور هماهنگی و نظارت برای تعاملات بین دستگاهی، باهدف ارتباط امن و باکیفیت در سطح مدیران اجرایی کشور توسط نهاد ریاست جمهوری ایجاد گردید.

از سال ۱۳۷۶ به‌منظور تبادل اطلاعات و مکاتبات در سطح دستگاه‌های عضو هیأت دولت شبکه دولت راه‌اندازی و مورد بهره‌برداری قرار گرفت. این شبکه اثربخشی قابل‌توجهی از حیث افزایش سرعت و کاهش هزینه در ارسال و دریافت مکاتبات بین دستگاه‌های متصل داشت.

در سال ۱۳۸۰ با توجه به تأمین بخش عمده‌ای از اطلاعات موردنیاز دولت و وزارتخانه‌ها توسط سازمان‌ها و ادارات کل استانی، اتصال سایر دستگاه‌های اجرایی و ادارات کل استانی به شبکه دولت آغاز شد.

از سال ۱۳۸۰ تا ۱۳۸۵ با حمایت نهاد ریاست جمهوری و همکاری استانداری‌ها، شبکه دولت در استان‌ها تا سطح ادارات کل توسعه یافت.

از سال ۱۳۸۵ تا ۱۳۸۸ با برقراری ارتباط شبکه‌های استانی با هسته مرکزی، شبکه یکپارچه دولت ایجاد و در تاریخ ۲۳/۷/۱۳۸۸ توسط رییس‌جمهور محترم وقت الزام استفاده از شبکه دولت برای انجام تبادل مکاتبات و اطلاعات بین دستگاه‌های دولتی ابلاغ گردید.

طی سال‌های ۱۳۸۸ تا ۱۳۹۳ شبکه دولت در سطح شهرستان‌ها توسط استانداری‌ها با مشارکت فرمانداری‌ها و هماهنگی نهاد ریاست جمهوری گسترش یافت.

شبکه دولت تا تیرماه ۱۳۹۳ با ۸۳۸۸ نقطه، ۶ سامانه کاربردی فرا سازمانی (سامانه یکپارچه مراسلات الکترونیکی دولت (سیماد)، سامانه الکترونیکی ارتباط مردم و دولت (سامد)، سامانه نظارت الکترونیکی (دیوان محاسبات کشور)، سامانه نظارت آنی معاونت نظارت مالی و خزانه‌داری کل کشور (سناما) و سامانه سفرهای خارجی کارکنان دولت) با بیش از ۲۴۰۰۰ کاربر با مدیریت و راهبری مرکز فناوری اطلاعات، ارتباطات و امنیت نهاد ریاست جمهوری توسعه‌یافته است.

تا پایان بهمن ماه ۱۳۹۴ شبکه دولت با اتصال ۱۲۶۵۰ واحد اداری در سطح کشور از ۲۴ سامانه و خدمت شبکه دولت استفاده نموده اند.

شبکه دولت با ایجاد بستری قابل‌اعتماد در برقراری ارتباط و تبادل الکترونیکی اطلاعات بین ستاد وزارتخانه‌ها، سازمان‌ها، استانداری‌ها و ادارات کل استانی را با امنیت و پایداری بیشتر میسر ساخت. این بستر با به حداقل رساندن مکاتبات کاغذی، تأمین اطلاعات موردنیاز سازمان‌ها و مدیران دولتی را تسریع نموده و امکان فعالیت نظام مدیریت اطلاعات و نظام‌های پشتیبانی تصمیم را در راستای تحقق دولت الکترونیکی فراهم نموده است.

  • هدف شبکه دولت

چشم‌انداز:

شبکه دولت به عنوان مهم‌ترین شبکه ارتباطی بین دستگاهی، با نقش مؤثر در همسوسازی و هماهنگی به منظور استفاده از تمامی ظرفیت‌ها و سرمایه‌های فناوری اطلاعات و ارتباطات کشور و ارائه همه خدمات الکترونیکی دولت به صورت یکپارچه و امن به ذی‌نفعان، زمینه تحقق دولتی فراگیر، هوشمند و با سطح بالایی از شفافیت و سلامت اداری را فراهم خواهد نمود.

بیانیه مأموریت

شبکه دولت با بهره‌گیری از استانداردها و نظام‌های مدیریتی، زیرساخت‌های ارتباطی، سخت‌افزاری و نرم‌افزاری را فراهم می‌نماید تا تعاملات الکترونیکی، جریان صحیح اطلاعات و خدمات یکپارچه به صورت آسان، امن و سریع به ذی‌نفعان ارائه گردد.

اهداف عالی شبکه دولت

اهداف عالی شبکه دولت عبارت‌اند از:

  • بهبود سرعت، صحت، امنیت و قابلیت اطمینان جریان اطلاعات بین ذی‌نفعان شبکه دولت
  • انجام تمامی تعاملات الکترونیکی بین دستگاهی کشور از طریق شبکه دولت
  • استانداردسازی تعاملات و ارتباطات الکترونیکی بین ذی‌نفعان
  • گسترش شبکه دولت در سطح کشور به منظور فراهم نمودن امکان دسترسی کلیه ذی‌نفعان
  • فراهم‌سازی بستری مناسب برای پیاده‌سازی فرآیندهای مرتبط با ماموریت‌های دولت
  • تأمین امنیت اطلاعات حیاتی کشور در فضای مجازی و مقابله با تهدیدات امنیتی
  •  تأمین زیرساخت‌های لازم جهت برقراری ارتباطات بین مقامات کشور در شرایط بحرانی

شرکت فناوری اطلاعات رجاء مشارکت گسترده ای در بهبود امنیت و توسعه زیرساخت های شبکه دولت از سال 95 تا کنون داشته است.

/توسط

مشاور فناوری اطلاعات طرح ملی ادغام پنج بانک در بانک سپه

شرکت فناوری اطلاعات رجاء مشاوره در حوزه فناوری اطلاعات، طرح ادغام پنج بانک در بانک سپه

شرکت فناوری اطلاعات رجاء مشاوره در حوزه فناوری اطلاعات، پروژه مهاجرت به بانکداری الکترونیک نوین بانک سپه (Core-Banking)

/توسط